JP2015502694A - セキュアトンネリング・プラットフォームシステムならびに方法 - Google Patents

Abstract

システムは、ユーザが無線ルータの背後いる場合であってもユーザを識別し、ユーザとの通信のために、インターネット上に仮想トンネルを提供する。インターネットサービスプロバイダのデータセンタは、ユーザを認証するため、さらに、例えばレイヤ２トンネリングプロトコルおよびポイント・ツー・ポイント・データリンクプロトコル（ＰＰＰ）を用いたアクセスを提供するために、集中データセンタと連携して動作することができる。レイヤ２トンネリングプロトコル・ネットワークサーバ（ＬＮＳ）は、パブリックＩＰアドレス変換サービスを提供することができる。【選択図】図１−１

Description

［関連出願の相互参照］
本出願は、２０１１年１１月１４日に出願された米国仮特許出願第６１／５５９，４６０号の優先権を主張するものであり、その全内容が参照により本明細書に組み込まれる。本出願は、以下のすべての出願の全内容が参照により本明細書に組み込まれる：２０１１年１１月１４日に出願された米国仮特許出願第６１／５５９，４６０号および２０１０年１２月３０日に出願された米国仮特許出願第６１／４２８，６２０号の優先権を主張して、２０１１年１２月２９日に出願された米国特許出願第１３／３３９，８０７号。

本出願は、広くは、ネットワーク帯域共有に関し、より具体的には、セキュアトンネリング、ならびにユーザを識別することに関するものである。

Ｗｉ−Ｆｉなどによる帯域共有は、本出願と譲受人が同一である２０１１年４月１２日に発行された米国特許第７９２４７８０号に記載されているような利点がある実際的なソリューションであり、該文献の全内容は参照により本明細書に組み込まれる。Ｗｉ−Ｆｉを介して、インターネットなどの通信ネットワークにアクセスするユーザは、多くの場合、パブリック・インターネットプロトコル（「ＩＰ」）アドレスを共有している。例えば、個々のインターネットサービスプロバイダ（「ＩＳＰ」）は、１つまたは限定数のＩＰアドレスによるインターネットアクセスを提供する。インターネット帯域幅を、Ｗｉ−Ｆｉアクセスポイントを介して利用することができる。ユーザＡは、ｉＰｏｄ ｔｏｕｃｈを操作して、インターネット上のウェブページにアクセスするために、Ｗｉ−Ｆｉサービスを探してこれにアクセスする。ユーザＢは、ラップトップコンピュータを操作して、インターネット上の異なるウェブページにアクセスするために、同じＷｉ−Ｆｉサービスを探し出す。ユーザＡとユーザＢにより操作されるデバイスは、ＩＳＰにより提供される１つの同じパブリックＩＰアドレスを共有している。この例では、どちらのユーザ（ユーザＡまたはユーザＢ）が、どちらのインターネットウェブページにアクセスにしたのか判断することは、両方のユーザが同じパブリックＩＰアドレスを共有しているため、不可能である。

上記の例では、２人のユーザが、異なるコンピュータデバイスを操作して、２つの異なるウェブページに同時にアクセスする。残念ながら、ＩＳＰが検出できるのは、アクセスした両ユーザが共有している１つのＩＰアドレスのみである。従って、個々のユーザを識別することはできない。

ハンドヘルド無線デバイスまたはスマートフォンまたは他の無線もしくは有線デバイスなどのユーザデバイスを用いたユーザの通信のための仮想トンネルをインターネット上に提供するとともに、ユーザを明確に識別するための装置、コンピュータ可読媒体、システム、方法、ならびにその方法を実施する手段について、開示する。

Ｗｉ−Ｆｉまたは他の帯域共有によって通信ネットワークにアクセスする個々のユーザを、両方のユーザが同時に帯域を共有している場合であっても、識別するためのシステムならびに方法を提供する。本明細書の教示によるシステムならびに方法は、さらに、１つまたは限定数の共有されたパブリックＩＰアドレスで提供される帯域幅を含む、Ｗｉ−Ｆｉサービスにより提供される帯域幅を、使用する個々のユーザの識別および開示を提供する。

本開示による方法は、ユーザのデバイスによってユーザが認証の要求を送信することと、リモートでウェブサーバがユーザの資格情報を認証することと、成功した場合に、ユーザを許可するためのランダムなワンタイムパスワードハッシュを送信することを含めて、ユーザデバイス上のユーザのブラウザにＨＴＴＰリダイレクト要求を送信することと、を含む。その後、ユーザのブラウザは、パスワードまたはパスワードハッシュを含む許可要求を、設定済みルータのキャプティブポータルにＨＴＴＰによって送信し、また、設定済みルータがユーザ構内でユーザのデバイスと通信することより提供されるトンネル許可により、インターネットサービスプロバイダ・データセンタにあるプライマリシステム・レイヤ２トンネリングプロトコル・ネットワークサーバ（ＬＮＳ）へのＬ２ＴＰトンネルを確立して、設定済みルータは、確立されたＬ２ＴＰトンネルを介してＬＮＳにＰＰＰ許可要求を送信し、該要求はパスワードを含み、ＬＮＳは、ＩＳＰデータセンタ構内から離れたリモートの集中データセンタに許可ＲＡＤＩＵＳ要求を送信し、リモートのデータセンタは許可を承認し、ＬＮＳルータは、ＰＰＰトンネルを受諾するとともに、ユーザのＰＰＰセッションにプライベートＩＰアドレスを割り当てる。

よって、ユーザを認証するためのインターネットアクセスは、ユーザがユーザ構内の設定済みルータを介して要求をインターネットで送信することによって進められ、その要求は確立済みＰＰＰトンネル内でカプセル化される。この時点で、ＬＮＳは、例えばポートアドレス変換（ＰＡＴ）を用いて、プライベートＩＰアドレスおよびポートをパブリックＩＰアドレスに変換する。ＰＡＴログを、異なるサーバまたは同一のサーバに、例えば公開サーバに、保存することができ、ＬＮＳは、インターネット要求を転送し、リプライを受信して、ＩＰ変換を逆変換し、そしてＬＮＳは、ＰＰＰトンネルを介して設定済みルータに応答を返し、これにより、リプライをユーザのデバイスに転送することができる。

本出願は、ネットワークトンネリング・プラットフォームを含み、これにより、ユーザまたはユーザのコンピュータデバイスが、１つまたは複数のＮＡＴ（ネットワークアドレス変換）サービスの背後にある場合でも、通信ネットワークを介してユーザ識別が提供されるようにルータが構成される。登録されたユーザ識別情報を、１つ以上のデータベースに受け取って保存する。よって、ネットワークユーザは、加入者であり、従って、明確に識別することが可能である。例えば、ユーザは、ユーザ名とパスワードを提示することにより認証され、また、ユーザの認証ステータスに応じて、追加料金なしで、またはわずかな料金で、他のユーザのネットワーク帯域を共有することが許可されることがある。本明細書の教示では、ユーザを識別するために、ユーザの接続ＩＰアドレスおよびＴＣＰ／ＵＤＰポートをユーザの認証情報（例えば、ユーザ名およびパスワード）と関連付けることについて、規定する。

本明細書の教示により提供されるユーザ識別機能は、最も厳しいインターネットサービスプロバイダであっても、そのセキュリティポリシーおよび法的要件の遵守を提供するものである。

ユーザ識別情報は、少なくとも一部は、レイヤ２トンネリングプロトコル（「Ｌ２ＴＰ」）トンネルを介して、ＰＰＰセッションにより提示される。各ユーザセッションは、Ｌ２ＴＰトンネルを介して確立され，これにより、各ＰＰＰトンネルに対して、よって各ユーザに対して、独立なインターネットプロトコル（「ＩＰ」）アドレスを与える。例えば、認証およびアカウンティング・プロセスもサポートし得るリモート認証ダイヤルインユーザサービス（「ＲＡＤＩＵＳ：Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ」）サーバによって、ユーザ資格情報および個々のセッションＩＰアドレスはログ記録される。

本明細書の教示によるトンネリング・ソリューションは、さらに、限られたＩＰアドレスを使用可能な環境を提供する。各ユーザにプライベートＩＰアドレスを割り当てることによって、パブリックＩＰアドレスの節約を提供することができる。この実施形態では、個々のプライベートＩＰアドレスは、ネットワークトラフィックがインターネットに達する前に、例えば１つ以上のネットワークアドレス変換（「ＮＡＴ」）サーバによって、１つまたは複数のパブリックＩＰアドレスに変換される。一実施形態では、複数のプライベートＩＰアドレスが、単一のパブリックＩＰアドレスでネットワークアドレス変換される（ＰＡＴまたはＮＡＴオーバロードとも呼ばれる）。ＮＡＴアカウンティングログを提供することにより、明確なユーザ識別が提供される。

本明細書における例の多くはＩＰ節約に関するものであるが、限定または削減された数のＩＰアドレスをサポートするためのＮＡＴ変換を提供またはサポートしていない実施形態では、プライベートＩＰアドレスをＮＡＴにより変換して１つ以上のパブリックＩＰアドレスを共有するのではなく、代わりに、任意の時点で接続されているユーザに独立なパブリックＩＰアドレスを単に割り当てることによって、より単純で安価とすることができる。

また、一実施形態におけるインフラストラクチャは、例えばデータセンタおよび通信プロバイダの冗長度に応じたアベイラビリティを実質的に提供する。さらに、例えば、設定済みルータとのトンネルを終端するネットワーク装置を追加することによって、例えば、数百から数千の同時ユーザをサポートするためのスケーラビリティが実質的にサポートされる。同時ユーザ数がより少ない場合には、機能性およびコストに関して適切にスケーリングするように、システムならびにプラットフォームコストを調整可能である。

一実施形態において、本明細書の教示による設定済みルータは、ＲＡＤＩＵＳ要求をシステムのＲＡＤＩＵＳプロキシサーバに送信して、そこから、例えば、ホワイトリストされたドメイン、ウェルカムページのユニフォームリソースロケータ（「ＵＲＬ」）、Ｌ２ＴＰサーバ（「ＬＮＳ」）の詳細などを含む構成プロファイル情報を取得する。システムのＲＡＤＩＵＳプロキシは、構成プロファイルを設定済みルータに送信する。ユーザがアクセスを許可または認可されたドメイン（「ホワイトリストされた」ドメイン）へのハイパーテキスト転送プロトコル（「ＨＴＴＰ」）要求を、ユーザが送信した場合、設定済みルータは、その要求をユーザに転送し、これにより、そのトラフィックをＮＡＴによりルータのパブリックＩＰアドレスで変換して、それをインターネットに転送する。ＨＴＴＰ応答が、ユーザのブラウザに送信される。

ユーザが、ホワイトリストされていないドメインへのアクセスを試みた場合、設定済みルータのキャプティブポータルが要求をインタセプトして、ユーザのブラウザに、例えば、ハイパーテキストマークアップ言語（「ＨＴＭＬ」）ウェルカムページへのＨＴＴＰリダイレクトを送信する。ユーザのブラウザは、ウェルカムページを要求し、セキュリティ保護された（「ＨＴＴＰＳ」）ウェルカムページがユーザに提供される。一実施形態において、ユーザは、ウェルカムページで、自身の資格情報（例えば、ユーザ名とパスワード）を入力する。１つまたは複数のウェブサーバが、システムのデータベース内のユーザ資格情報にアクセスすることにより、認証プロセスを実行する。認証に成功した場合、ウェブサーバは、許可フェーズで用いられるランダムなワンタイムパスワードハッシュを含むＨＴＴＰリダイレクト要求を、ユーザのウェブブラウザ・ソフトウェアアプリケーションに送信する。ユーザのブラウザは、設定済みルータのキャプティブポータルに、許可要求をＨＴＴＰによって送信し、それはワンタイムパスワードを含んでいる。

認証されたら、例えば、以前の接続によってトンネルが未だ確立されていない場合に、設定済みルータは、そのプライマリシステムＬＮＳへのＬ２ＴＰトンネルを確立する。プライマリＬＮＳへの接続に失敗した場合、設定済みルータは、好ましくはセカンダリＬＮＳへの接続を試みる。設定済みルータは、Ｌ２ＴＰトンネルを介して、ＰＰＰ許可要求をＬＮＳに送信し、それはワンタイムパスワードを含むことができる。これに応じて、ＬＮＳは、許可ＲＡＤＩＵＳ要求を、例えばＩＳＰにあるシステムＲＡＤＩＵＳプロキシに送信する。一実施形態では、ＩＳＰは、本明細書の教示によるシステムおよび方法の提供者または所有者と提携している。

この実施形態について続けると、ＩＳＰのＲＡＤＩＵＳプロキシは、ＤＣＲルータ間に確立された暗号化仮想プライベートネットワーク（「ＶＰＮ」）を介して、許可要求を、本明細書の教示によるシステムおよび方法の提供者または所有者により提供または管理されるＲＡＤＩＵＳサーバに転送し、それは世界のどの場所にあってもよい。許可に成功した場合、システムにより提供されるＲＡＤＩＵＳプロキシは、暗号化ＶＰＮを介して、ＩＳＰのＲＡＤＩＵＳプロキシにアクセス許可（ａｃｃｅｓｓ−ａｃｃｅｐｔ）を返信する。その後、ＩＳＰのＲＡＤＩＵＳプロキシは、アクセス許可パケットをＬＮＳへ転送し、これにより、ＰＰＰトンネルを受諾して、ＰＰＰセッションにプライベートＩＰアドレスを割り当てる。

一実施形態では、キャプティブポータル認証がサポートされる。例えば、設定済みルータは、上記のワンタイムパスワードを含むＲＡＤＩＵＳ許可要求を、ＩＳＰのＲＡＤＩＵＳプロキシに送信する。ＲＡＤＩＵＳ要求は、本明細書の教示によるシステムおよび方法の提供者または所有者により提供または管理されるＲＡＤＩＵＳプロキシサーバに転送される。資格情報は、好ましくは上記のＰＰＰトンネルの許可に用いた資格情報と同じであり、このため、要求は受諾されると予想される。アクセス許可パケット（複数の場合もある）が、世界のどの場所にあってもよいシステムＲＡＤＩＵＳプロキシに送信され、次に、設定済みルータに伝送される。アクセス許可パケットは、好ましくは、ユーザのネットワークプロファイルを含んでいる。その後、設定済みルータは、個々のユーザにインターネットアクセスを提供し、それには、ＬＮＳによりＰＰＰセッションに割り当てられるプライベートＩＰアドレスと、設定済みルータにより動的ホスト制御プロトコル（「ＤＨＣＰ」）でユーザのデバイスに割り当てられるプライベートＩＰアドレスとの間の、静的ネットワークアドレス変換（「ＮＡＴ」）を含むことができる。

ユーザが認証されたら、ユーザは、設定済みルータを介してインターネットに要求を送信する。要求は、上述したＰＰＰトンネル内でカプセル化される。ＬＮＳは、要求に対してポートアドレス変換（「ＰＡＴ」）を実施して、要求の中のプライベートＩＰアドレスおよびポート番号を、パブリックＩＰアドレス（異なるポートであってもよい）に変換する。その後、ＰＡＴログが、公開サーバに保存される。要求は、ＨＴＴＰサーバなど個々のサーバにインターネットを介して転送され、そこから、応答がインターネットを介して別のＰＡＴプロセスに向けて送信される。ＩＰ（およびポート）は効果的に逆変換され、ＬＮＳは、ＰＰＰトンネルを介して、その応答を設定済みルータへ伝送する。設定済みルータは、応答をユーザのソフトウェアアプリケーションに転送する。

このように、また、上記の例示的実施形態に関連して説明したように、本明細書の教示は、ユーザ接続フローを提供するものであり、それには、ホワイトリストされたドメインおよびホワイトリストされていないドメインへのアクセスと、ウェブサーバ認証、トンネル許可、およびキャプティブポータル認証を含むユーザ認証および許可と、が含まれる。

一実施形態では、少なくとも３つのセッション・アカウンティングの統合が含まれる。１つは、本明細書の教示の所有者により管理または維持される１つまたは複数のＲＡＤＩＵＳサーバによるＰＰＰセッション・アカウンティングである。第２のものは、同様にシステムのＲＡＤＩＵＳサーバ（複数の場合もある）により生成されるキャプティブポータルセッション・アカウンティングである。第３のものは、ＬＮＳルータにより提供されるＮＡＴアカウンティングである。ＰＰＰセッション・アカウンティングは、ユーザのセッション開始時刻、停止時刻、およびＰＰＰセッションが終了した個々のＬＮＳのＩＰアドレスを、少なくとも含むことができる。また、ＣＰＥ（顧客構内機器）は、設定済みルータの広域ネットワーク（「ＷＡＮ」）ＩＰアドレスを変換（ＮＡＴ）するので、ＰＰＰセッション・アカウンティングは、さらに、ＬＮＳへのトンネルのＩＰソースであるＣＰＥのＩＰアドレスを含むことができる。ＰＰＰセッション・アカウンティングに含まれるその他情報は、ＰＰＰセッション用にＬＮＳにより設定済みルータに割り当てられるプライベートＩＰアドレス、ユーザのユーザ名、アカウンティングパケットのタイプ、およびＦＯＮ固有セッション識別子（キャプティブポータルセッションのものと同一）である。

一実施形態において、キャプティブポータルは、設定済みルータにおけるユーザの認可およびアカウンティングを管理する。キャプティブポータルセッション・アカウンティングは、好ましくは、ユーザのセッション開始時刻、セッション停止時刻、ユーザのユーザ名、ユーザのデバイスタイプ（スマートフォンなど）および媒体アクセス制御（「ＭＡＣ」）アドレス、ユーザのＣＰＥのＭＡＣアドレス、設定済みルータによりＤＨＣＰで割り当てられたユーザのコンピュータデバイス（スマートフォンなど）のＩＰアドレス、固有セッション識別子（上記のようにＰＰＰセッションに関連付けられたものと同一）のうち、１つまたは複数を含む。

また、ＮＡＴ変換セッション・アカウンティングは、ＬＮＳルータにより生成され、変換作成時刻、変換削除時刻、アカウンティングのタイプ（例えば、ＮＡＴ作成またはＮＡＴ削除）、レイヤ４通信プロトコル（ＵＤＰまたはＴＣＰ）、ＰＰＰセッションＩＰアドレス（内部アドレス）およびポート、変換に用いられるＬＮＳパブリックＩＰアドレスおよびポート、ユーザが目指すインターネットＩＰアドレスおよびポートのうち、１つまたは複数を含む。

このように、個々のセッション・アカウンティングによって、ユーザの追跡および識別が提供される。例えば、ユーザのパブリックＩＰアドレス、ＴＣＰまたはＵＤＰポート、および時間フレームは、予め分かっている。本明細書の教示では、その情報を用いて、ＰＰＰセッションに割り当てられたプライベートＩＰアドレスを特定し、それは、もし時間フレームが適切であれば、単一のＰＰＰセッションに関するものである（すなわち、２４時間の時間フレームとすると、時を異にして同じプライベートＩＰアドレスを共有するいくつかのＰＰＰセッションがあり得る）。さらに、そのＰＰＰセッションＩＰアドレスを用いて、そのＩＰアドレスのＰＰＰセッション・アカウンティングを特定することが可能であり、ユーザのユーザ名およびＣＰＥアドレスを特定することが可能である。

また、さらなる情報（すなわち、ユーザデバイスのＭＡＣアドレス）が必要である場合には、固有セッションＩＤを取得することができ、そして同じ固有セッションＩＤを持つキャプティブポータルのユーザセッションを特定することができる。従って、ユーザデバイスのＭＡＣアドレス、および設定済みルータのＭＡＣアドレスを特定することができる。

さらに、本明細書の教示により、スケーラビリティおよび冗長性の確保を容易にするためのモジュール設計を有する「ライブプラットフォーム（Ｌｉｖｅ Ｐｌａｔｆｏｒｍ）」を提供する。一実施形態では、ＬＮＳサブプラットフォームが、設定済みルータを始点とするＬ２ＴＰ ＰＰＰトンネルを終端する。ＬＮＳサブプラットフォームは、さらに、ユーザのセッションにプライベートＩＰアドレスを割り当て、プライベートＩＰアドレスをパブリックＩＰアドレスに変換し、ＮＡＴアカウンティングを生成して外部のシスログ（Ｓｙｓｌｏｇ）にそれを転送し、ＲＡＤＩＵＳプロトコルを用いてユーザのセッションを認証し、ＲＡＤＩＵＳプロトコルを用いてセッション・アカウンティングを生成することができる。

セキュリティ保護されたＲＡＤＩＵＳ認証および他のトランザクションのため、システムのプラットフォームとの暗号化トンネル（Ｇｒｅ／ＩＰＳｅｃ）を提供し得る、１つまたは複数の設定済みルータ／ファイアウォールを含む、情報技術（「ＩＴ」）サービス・サブプラットフォームを、さらに設けることもできる。ＩＴサービス・プラットフォームは、さらに、データセンタに設置されたサーバを保護するために、１つ以上のファイアウォール機能を実装することもできる。ＩＴサービス・プラットフォームは、さらに、ＲＡＤＩＵＳプロキシサーバを含むことができ、それは、一実施形態では、ＲＡＤＩＵＳ認証およびアカウンティングを集中させて、それに関する情報を、本明細書の教示によるシステムおよび方法の提供者または所有者により維持または管理されるシステムＲＡＤＩＵＳプロキシに転送するものであり、それは世界のどの場所にあってもよい。さらに、監視サーバを含むことができ、これは、ネットワーク装置およびサーバ装置のヘルスステータスをチェックし、その情報を、本明細書の教示によるシステムおよび方法の提供者または所有者により維持または管理することができる集中監視プラットフォームに転送するように、構成される。さらに、公開サーバを含むことができ、これは、公開アクション（ＲＡＤＩＵＳログ、ＮＡＴアカウンティングなど）に必要な情報を保存するとともに、データ抽出のためのセキュリティ保護されたウェブ・インタフェースを提供する。

ＬＮＳサブプラットフォームの他、本明細書に記載のプラットフォームは、境界スイッチによって、ＬＮＳおよびＩＴサービス・サブプラットフォームからのトラフィックを集約するように構成されるとともに、ＩＳＰアグリゲーション・プラットフォームとのＩＰ接続を提供し、さらに冗長性のためにデータセンタ間接続を提供するように構成される。

本出願は、さらに、添付の付録Ａおよび付録Ｂに関して記載および説明され、それらの全内容は参照により本明細書に組み込まれる。付録Ｂでは、例えば、ＰＰＰおよびＬ２ＴＰが、ＰＰＰｏＥ技術で置き換えられている。さらに、第２のルータ装置（例えば、「Ｆｏｎｅｒａ」装置）と「ＣＰＥ」との組み合わせが、ＩＳＰ提供による単一の顧客装置（例えば、「ＣＰＥ」装置）で置き換えられている。この実施形態は、例えば、機器が削減されることから、より効率的で、より低コストである。

本明細書の教示により、Ｗｉ−Ｆｉまたは他の共有帯域によって通信ネットワークにアクセスする個々のユーザを識別するためのシステムならびに方法を提供する。共有パブリックＩＰアドレス（複数の場合もある）を経由するＷｉ−Ｆｉサービスの個々のユーザを識別し、例えば行政当局に開示することが可能である。

本発明の他の特徴ならびに効果は、添付の図面を参照した本発明の以下の説明から明らかになるであろう。

本開示の一態様によるシステムのユーザ接続フロー図および主な構造体の概観の例である。 本開示の一態様によるシステムのユーザ接続フロー図および主な構造体の概観の例である。

本開示の一態様によるレイヤ２トンネリングプロトコルの例である。

本開示の一態様によるレイヤ２トンネリングプロトコル・トンネルおよびＰＰＰセッション図の例である。

本開示の一態様によるＩＰ接続を表すライブプラットフォームマップおよびデータセンタにおけるシステムモジュールの例である。

本開示の一態様によるシステムプラットフォームとＩＳＰデータセンタとの間のリンク接続を示すレイヤ２ライブプラットフォームマップの例である。 本開示の一態様によるシステムプラットフォームとＩＳＰデータセンタとの間のリンク接続を示すレイヤ２ライブプラットフォームマップの例である。

本開示の一態様によるシステムのデータセンタモジュールの構造体の例を示している。 本開示の一態様によるシステムのデータセンタモジュールの構造体の例を示している。

本開示の一態様による２つのデータセンタにおけるラック内の機器配置の例を示している。 本開示の一態様による２つのデータセンタにおけるラック内の機器配置の例を示している。

本開示の一態様によるＩＳＰデータセンタおよび集中データセンタにおける帯域外監視ネットワークのためのＩＰ接続の例を示している。 本開示の一態様によるＩＳＰデータセンタおよび集中データセンタにおける帯域外監視ネットワークのためのＩＰ接続の例を示している。

本開示の一態様による、ＩＳＰにおけるシステムの帯域外監視ネットワークプラットフォームでのリンク接続、およびＩＳＰプラットフォームとの相互接続の例を表すレイヤ２ ＯＢＳＮプラットフォームマップの例である。 本開示の一態様による、ＩＳＰにおけるシステムの帯域外監視ネットワークプラットフォームでのリンク接続、およびＩＳＰプラットフォームとの相互接続の例を表すレイヤ２ ＯＢＳＮプラットフォームマップの例である。

本開示の一態様によるプロセスフローの例を示すフローチャートである。 本開示の一態様によるプロセスフローの例を示すフローチャートである。 本開示の一態様によるプロセスフローの例を示すフローチャートである。

本開示の一態様によるトンネリング手法でのＥＡＰの実例の概略図である。

本開示の一態様による、オンデマンド・トンネリングを含むトンネリング手法でのＥＡＰの他の例の概略図である。

本開示の一態様による、サーバが３つの要素で構成されている場合の、トンネリング手法の実例の概略図である。

サプリカント（Supplicant）からオーセンティケータへのＥＡＰメッセージングおよびＥＡＰＯＬ通信を用いるサプリカント／オーセンティケータ／サーバ・モデルの一例である。

本開示の一態様による、サーバが２つの要素を有し、ＰＡＰメッセージの転送にＵＡＭを用いる場合の、トンネリングの例の概略図である。

本開示の一態様による、２つの要素を有するサーバにおいてトンネリングを用いないＥＡＰの例の概略図である。

本開示の一態様によるユーザ管理図の概略図である。

本開示の一態様によるＰＰＰｏＥ技術の手法を用いたシステムの例を示す図である。

レイヤ２トンネリングプロトコル・ネットワークサーバ（ＬＮＳ）を介したトンネル許可、ユーザ識別、およびアクセスのユーザ接続フロー図の一例について、図１−１，図１−２および図１０Ａないし図１０Ｃを参照して、以下で説明する。スマートフォン、ラップトップ、デスクトップ、または他のタイプのハンドヘルドデバイス２１など、ユーザのデバイスにアクセスを提供するために、無線ルータなどの設定済みルータ２２をユーザの自宅またはオフィスに配置することができる。本明細書では無線ルータ２２として記載するが、当然のことながら、有線接続を提供することもできる。また、複数のそのようなユーザデバイス２１で、無線ルータ２２を介したインターネットへの同じ接続を共有することができる。同様に、ユーザ構内２０に同じく設けることができるＩＳＰルータＣＰＥ（顧客構内機器）として図１−１，図１−２に示すＩＳＰルータ２４を介した接続を、複数のデバイスで共有することができる。

ユーザは、ユーザデバイス２１のブラウザを用いて、図１−１に通信矢印１で示すように無線ルータ２２を介してインターネットへの接続を試みる。設定済みルータ２２は、ＩＳＰ（インターネットサービスプロバイダ）に配置することができるシステムのＲＡＤＩＵＳプロキシサーバに、ＲＡＤＩＵＳ要求を送信する。本明細書ではＲＡＤＩＵＳプロキシとして記載しているが、当然のことながら、他のタイプのユーザ認証を提供してもよく、また、他のタイプのサーバが本機能を果たすこともできる。ルータによるこのプロファイル要求の伝送を、図１０ＡにステップＳ１で示している。これに応答して、ＩＳＰのシステムＲＡＤＩＵＳプロキシ３５は、図１０Ａのステップ２に示し、さらに図１−１に通信矢印２で示すように、構成プロファイルを設定済みルータ２２に送信する。

本開示の一態様によれば、このとき、ユーザは、ホワイトリストされたドメインへのＨＴＴＰ要求を自由に送信することができ、そのような要求を、設定済みルータ２２はＩＳＰルータ２４に伝送し、これによって、それ自身のパブリックＩＰアドレスで、要求はＮＡＴ変換されて、それがインターネットに転送される。ステップ２におけるプロファイル構成の際に、ＩＳＰのサーバは、さらなるセキュリティ対策なく受諾可能とすることができるホワイトリストされたドメインのリスト、ウェルカムページのＵＲＬ、レイヤ２トンネリングプロトコル・ネットワークサーバ３１の詳細などの情報を、設定済みルータ２２に送信している。このため、発明の本態様によれば、設定済みルータ２２からの、ホワイトリストされたドメインへの要求は、図１−１に通信矢印４で示すように、応答される。

一方、設定済みルータ２２が、通信矢印５で示すように、ホワイトリストされていないドメインへのＨＴＴＰ要求を送信する場合は、キャプティブポータルサービスを用いたユーザのブラウザのこの要求を、設定済みルータのキャプティブポータルがインタセプトして、通信矢印６で示すように、ウェルカムページへのＨＴＴＰリダイレクトをユーザのブラウザに送信する。図１−１に通信矢印７で示すように、ユーザのブラウザはウェルカムページを要求し、通信矢印８で示すように、ＨＴＴＰＳウェルカムページがユーザに表示される。

この時点で、ユーザは、例えばユーザのＩＳＰにより発行されたユーザ名とパスワード、またはユーザに提供されたその他のものなど、自身の資格情報を、通信矢印９で示すように、ウェルカムページで入力することが可能である。ウェルカムページは、ＩＳＰのデータセンタ３０とは異なる場所に配置されたウェブサーバ４１によって送信することができ、例えば、ウェブサーバ４１は、本明細書で記載するようなユーザの識別ならびにトンネリングをサポートするためのサービスを提供する集中データセンタ４０に配置することができる。それは、世界のどの場所に配置されてもよく、あるいは、それと、さらに／またはデータセンタ４０の一部として図１−２に示す他の機器は、ＩＳＰの構内に配置されてもよい。図１−１、図１−２では、ウェブサーバ４１、ユーザデータベース４３、プロキシＲＡＤＩＵＳ ４５、およびＶＣＲ ４０が、集中データセンタ４０に配置されるものとして示している。ユーザのウェルカムページは、図１−１，図１−２では、集中ロケーション４０に配置されたウェブサーバ４１から送信されるものとして示している。

ユーザは、ユーザ構内２０でユーザ機器２１を使用して上述のように自身の資格情報を入力することが可能であり、これらの資格情報はウェブサーバ４１に転送されることができ、そしてこれにより、通信矢印１０で示し、さらに図１０Ａのステップ３に示すように、ユーザデータベース４３などのデータベースにアクセスすることで、ユーザを認証するために資格情報を処理する。これに応じて、ウェブサーバ４１は、認証が成功である場合は、図１０Ａに示し、さらに図１−１に通信矢印１１で示すように、パスワードまたはワンタイムパスワードハッシュを送信することにより、ユーザを認証する。また、ウェブサーバ４１は、ＨＴＴＰ要求をユーザのブラウザ２１にリダイレクトする。この時点で、ユーザのブラウザは、通信矢印１２で示すように、許可要求を、ＨＴＴＰで（または他のプロトコルを用いて）設定済みルータのキャプティブポータルに送信し、この要求は、ウェブサーバ４１から受信したワンタイムパスワードを含んでいる。設定済みルータのキャプティブポータルは、図１０ＡのステップＳ５に示すように、ウェブサーバ４１から受信したワンタイムパスワードを含む許可要求を受信する。

図１０Ａのステップ６に示すように、設定済みルータ２２は、ＩＳＰデータセンタのＬＮＳ ３１とのＬ２ＴＰトンネルを、これが以前の接続によって未だ確立されていない場合には、確立する。この通信を、図１−１に通信矢印１３で示している。プライマリＬＮＳへの接続に失敗した場合、設定済みルータ２２は、そのセカンダリＬＮＳへの接続を試みる。設定済みルータ２２は、図１０ＡのＳ７に示し、さらに図１−１に通信矢印１４で示すように、ＰＰＰ（ポイント・ツー・ポイント・プロトコル）セッション許可要求を、確立済みのＬ２ＴＰトンネルを介してＬＮＳに送信する。この許可要求は、ユーザデバイスから受信したワンタイムパスワードを含んでいる。

次に、ＬＮＳ ３１は、ＩＳＰデータセンタ３０に配置することができるシステムＲＡＤＩＵＳプロキシ３５への許可ＲＡＤＩＵＳ要求の送信を試みる。これを、図１−２に通信矢印１５として示し、さらに図１０ＡのステップＳ８に示している。これに応えて、システムＲＡＤＩＵＳプロキシ３５は、その要求を、ＩＳＰデータセンタ３０と集中データセンタ４０にあるＤＣルータ間に確立された暗号化ＶＰＭ（仮想プライベートネットワーク）を介して、集中データベース４０のシステムＲＡＤＩＵＳに転送する。これを、図１０Ａのステップ９に示し、さらに図１−２に通信矢印１６として示している。この時点で、図１０ＡのステップＳ１０に示すように、要求の中に受け取ったパスワードに基づき、許可するかどうか判断され、肯定判断された場合には、図１−２に通信矢印１７，１８で示し、さらに図１０ＡのＳ１１に示すように、集中データセンタ４０のシステムＲＡＤＩＵＳプロキシ４５は、このアクセス許可（ａｃｃｅｓｓ−ａｃｃｅｐｔ）をＩＳＰのＲＡＤＩＵＳプロキシに通知し、これがＬＮＳ ３１に転送される。ＬＮＳ ３１は、ＲＡＤＩＵＳプロキシ３５から受信したアクセス許可メッセージに応じて、図１−１に通信矢印１９で示し、さらに図１０ＢのステップＳ１３に示すように、ＰＰＰトンネルを受諾し、ユーザデバイス２１のＰＰＰセッションにプライベートＩＰアドレスを割り当てる。

ここで、図１−１，図１−２に示す通信矢印２０〜２４を参照して、キャプティブポータル認証について説明すると、設定済みルータ２２は、図１−１に通信矢印２０で示すように、ＲＡＤＩＵＳ許可要求のための要求を、ＩＳＰデータセンタ３０のＲＡＤＩＵＳプロキシ３５に送信し、その要求は、以前に受け取ったワンタイムパスワードを含むものである。これを、図１０ＢにＳ１４として示している。これに応えて、ＲＡＤＩＵＳプロキシ３５により、ＲＡＤＩＵＳ要求は、集中データセンタのシステムＲＡＤＩＵＳプロキシ４５に転送される。この要求は、パスワードを含む送信された資格情報がＰＰＰ許可資格情報と同じであるため、必ず受諾される。図１−２に矢印通信２２で示すように、アクセス許可パケットが、プロキシＲＡＤＩＵＳ ４５からＩＳＰのプロキシＲＡＤＩＵＳ ３５に返信され、図１−１に通信矢印２３で示すように、ユーザのネットワークプロファイルを含むアクセス許可が、設定済みルータ２２に送られる。これらのステップを、図１０ＢにステップＳ１６〜Ｓ１８として示している。この時点で、図１−１に通信矢印２４で示すように、設定済みルータ２２は、ユーザデバイス２１用にインターネットアクセスを構成し、この構成には、ＬＮＳ ３１によりユーザデバイス２１のＰＰＰセッションに割り当てられたプライベートＩＰアドレスと、設定済みルータ２２によりユーザデバイス２１にＤＨＣＰで割り当てられたプライベートＩＰアドレスとの間の静的ＮＡＴを提供することが含まれる。

認証されたユーザに対して、以下で説明するように、インターネットへのアクセスが提供される。図１−１に通信矢印２５で示し、さらに図１０Ｂのステップ１９に示すように、ユーザは、インターネット上のターゲットにアクセスするための要求を、設定済みルータ２２を介して送信する。要求は、図１−１に通信矢印２６で示し、さらに図１０Ｂのステップ２０に示すように、確立済みのＰＰＰトンネル内でカプセル化することができる。これに応えて、ＬＮＳ ３１は、図１−２に通信矢印２７で示し、さらに図１０ＢのＳ２１に示すように、ユーザからのインターネット要求に対してＰＡＴ（ポートアドレス変換）を実行し、これにより、要求のプライベートＩＰアドレスおよびポートを、パブリックＩＰアドレス（プライベートＩＰアドレスとは別のポート上であってもよい）に変換する。これに関連して、図１−２に通信矢印２８で示し、さらに図１０ＢのステップＳ２２に示すように、ＰＡＴログが、ＩＳＰの公開サーバ３３に保存される。要求は、図１−２に通信矢印２９で示し、さらに図１０ＢのステップＳ２３に示すように、ＬＮＳ ３１によって、インターネットに転送される。

ＬＮＳ ３１は、通信矢印３０で示し、さらに図１０ＢのステップＳ２４およびＳ２５に示すように、インターネット要求に応答したインターネットから、応答を受信し、ＬＮＳ ３１は、続いてＰＡＴプロセスを実行する。このようにして、ＩＰ変換を逆変換し、これにより、ＬＮＳは、再び、ユーザデバイス２１のプライベートＩＰアドレスを得る。図１−１に通信矢印３２で示し、さらに図１０ＣにＳ４０で示すように、ＬＮＳ ３１は、インターネット要求への応答を、ＰＰＰトンネルを介して設定済みルータ２２に伝送する。次に、設定済みルータ２２は、その応答をユーザデバイス２１に転送する。

ライブプラットフォーム（Ｌｉｖｅ Ｐｌａｔｆｏｒｍ）：
さらに企図されるのは、システムのスケーラビリティの確保を容易とするため、また、冗長性ソリューションを提供するために、モジュール設計を有する、ライブ通信プラットフォームである。ライブプラットフォームは、設定済みルータ２２を始点とするＬ２ＴＰ／ＰＰＰトンネルを終端するＬＮＳサブプラットフォームを含むことができる。レイヤ３ライブプラットフォームマップを、図４に示している。図４は、ＩＳＰデータセンタおよび集中データセンタにおけるシステムキャビネット内のＩＰ接続を表している。

図５−１，図５−２は、レイヤ２ライブプラットフォームマップを示している。図５−１，図５−２は、ＩＳＰデータセンタおよび他のＩＳＰデータセンタと、識別およびセキュアトンネリングサービスをサポートする集中データセンタにおける、システム機器間のリンク接続を示している。図６−１，図６−２は、ＩＳＰデータネットワークを介して接続されたデータセンタ１とデータセンタ２における機器間の関係を示すレイヤ２ライブネットワークマップである。

ＬＮＳサブプラットフォームは、上述のように、設定済みルータ２２を始点とするＬ２ＴＰ／ＰＰＰトンネルを終端するなどの機能を提供することができ、加えて、ＬＮＳサブプラットフォームは、ユーザのセッションにプライベートアドレスを割り当てること、そのプライベートＩＰアドレスをパブリックＩＰアドレスに変換すること、ＮＡＴアカウンティングを生成すること、そのようなＮＡＴ結果を外部のシステムログに転送すること、例えばＲＡＤＩＵＳプロトコルを用いてユーザのセッションを認証すること、が可能であり、さらに、ＲＡＤＩＵＳプロトコルを用いてセッション・アカウンティングを生成することが可能である。

同時に、ＩＴサービス・サブプラットフォームは、セキュリティ保護されたＲＡＤＩＵＳ認証および他のトランザクションのために、集中データセンタとの暗号化トンネル（Ｇｒｅ／ＩＰＳｅｃ）を提供するためのルータ／ファイアウォールを提供することができ、データセンタに設置されたサーバを保護するためのファイアウォール機能を実現することができる。ＩＴサービス・サブプラットフォームは、さらに、ＲＡＤＩＵＳ認証およびアカウンティングを集中させて、その結果を集中データセンタのシステムＲＡＤＩＵＳプロキシに転送する、ＲＡＤＩＵＳプロキシサーバを提供することができる。加えて、ＩＴサービス・サブプラットフォームは、ネットワーク装置およびサーバ装置のヘルスステータスをチェックするための監視サーバとして機能することができ、また、その情報を集中データセンタの集中監視プラットフォームに転送することができる。さらに、それは、ＲＡＤＩＵＳログ、ＮＡＴアカウンティングなどを含む公開アクションに必要な情報を保存するための公開サーバとして機能することができる。それは、さらに、データ抽出のためのセキュリティ保護されたウェブ・インタフェースを提供することができる。最後に、境界スイッチによって、ＬＮＳおよびＩＴサービス・サブプラットフォームからのトラフィックを集約することができるとともに、ＩＳＰデータセンタおよびＩＳＰ全体としてのプラットフォームとのＩＰ接続を提供し、さらに冗長性を提供するためにデータセンタ間接続を提供することができる。

ライブプラットフォームのスケーラビリティを、次のように提供することができる。ＬＮＳサブプラットフォームは、いくつかのＬＮＳルータを備えることができ、これにより、それらすべてのＬＮＳルータ間にトンネルセッションおよびＮＡＴサービスが分散される。このようにして、ネットワークトラフィックの輻輳およびネットワークの単一点障害を回避することができ、この場合、ＬＮＳルータの追加によるスケーリングが可能となる。ＩＴサービスは、監視、ＲＡＤＩＵＳプロキシ、および公開サービスを含む複数の目的で、ＨＰのＤＬ ３８０などのサーバファームによって提供することができ、さらにサーバを追加することで拡張することが可能である。ＩＴサービス・ルータは、追加のハードウェアでアップグレードするか、またはセカンダリルータを加えることが可能な、モジュラルータ（例えば、Ｃｉｓｃｏ３９４５）を含むことができる。境界スイッチは、例えば、６４ギガバイトのバックボーンで最大９台までのスイッチを集約することが可能なＳｔａｃｋＷｉｓｅ Ｐｌｕｓ技術を用いたＣｉｓｃｏ ３７５０Ｅなどのコアスイッチを含むことができる。それぞれのＬＮＳは、その他のものから独立しており、図１−１，図１−２に示すように、２つ以上の地理的に離れたデータセンタに分散させることができるので、ＬＮＳサブプラットフォームによって冗長性を提供することができる。設定済みルータ２２は、ＩＳＰのプライマリＬＮＳ ３１だけではなく、第２のデータセンタのセカンダリＬＮＳを動的に構成することができる。従って、1つ以上のＬＮＳサーバに障害が発生した場合、ユーザは、セカンダリＬＮＳまたはターシャリＬＮＳに再接続される。

また、冗長性は、ＬＮＳのフェイルオーバによっても提供され、これによれば、ＬＮＳプラットフォームは、複数のＬＮＳで障害が発生した場合に、最大使用のシナリオであってもサービスが確保されるように、余力を持った規模とすることができる。データセンタにおいてＩＴサービス・ルータおよびサーバを重複させることで、すべてのＬＮＳルータは、ローカルに、またはデータセンタ間リンクを介して、両ＩＴサービス・プラットフォームに到達することが可能であり、例えばＲＡＤＩＵＳプロキシに障害が発生した場合は、ＬＮＳルータはセカンダリＲＡＤＩＵＳプロキシに接続することができる。同様に、各データセンタにおいて境界スイッチはクラスタに構成され、これにより、あるデータセンタでマスタスイッチに障害が発生した場合に、サービスを中断することなく、同じデータセンタの１つまたは複数のスレーブスイッチがマスタとなる。このように、すべてのＬＮＳルータおよびＩＰサービス・ルータは、マスタスイッチとスレーブスイッチとに冗長接続されている。

典型的には、図１−１，図１−２に示すように、２つのデータセンタは、地理的に冗長化され、相互に離れていることが必要である。しかしながら、単一のデータセンタ、または近くに位置する２つ以上のデータセンタであっても、本明細書に記載の発明を実施および実現するのに十分であることは、理解できるであろう。典型的には、スイッチ付きＰＤＵは、リモート電源オン／オフを実施することができるラック電源バーを有し、例えば、ネットワークオペレーションセンタは、起こり得る問題に対処できるようにサポートされ、例として、システムが停電を報告する必要があり得ること、適切な処置が必要となり得ること、がある。例えば、停電の場合、または本明細書に記載の１つ以上の構造体または装置または機器にワイヤが正しく接続されていない場合など、緊急の物理的処置が必要な場合には、その任務に対応できるエンジニアが準備されていなければならない。ライブネットワークの通信には、一般に、各データセンタのユーザトラフィックで２×１０Ｇｂｐｓ（計４×１０Ｇｂｐｓ）のインターネットリンクが必要となり得る。典型的には、例えばＬＲまたはＳＲなどのインタフェースタイプを提供することができ、各リンクは、冗長性のために別々のルータに接続することができる。

ネットワークの帯域外監視を、リモート管理用の１×高速インターネットリンク（２×１００Ｍｂｐｓ）として提供することができ、これらのリンクは、冗長性のために、ライブネットワーク接続用の他のものとは異なるルータに接続することができる。インターネット−データセンタ・プライベートネットワークは、それぞれのデータセンタに配置された両ラック間に、１×高速イーサネット（登録商標、以下同じ）・プライベートリンクを含むことができる。これは、クリティカルなリンクと考えることができ、従って、（同じく冗長性のため）複数のパスに対して多様な保護を実施することができる。多様な保護が実現不可能である場合は、第２のリンクを実現することができる。

ネットワークの帯域外監視（ＯＢＳＮ：Ｏｕｔ ｏｆ Ｂａｎｄ Ｓｕｐｅｒｖｉｓｉｏｎ ｆｏｒ Ｎｅｔｗｏｒｋ）は、集中データセンタのＯＢＳＮルータからＩＳＰデータセンタのシステムＯＢＳＮルータへ確立されたＩＰＳｅｃトンネルを含む、セキュリティ保護された信頼性の高いリモート管理機能を含むことができる。集中データセンタのデータセンタからＩＳＰデータセンタの機器への接続は、完全に暗号化することができ、ＯＢＳＮのトラフィックは、例えば仮想ルーティング転送（ＶＲＦ）を用いて、ユーザのトラフィックから分離される。各機器へのアクセスは、リモートでＳＳＨによって、あるいはコンソールによって、セキュリティ保護することができ、これにより、接続に問題があるか、またはブートシーケンスを実行するためにリモートアクセスを必要とする場合でも、機器を使用可能であり、機器に到達可能であることが保証される。

ＯＢＳＮネットワークは、ＶＬＡＮ設定機能を備えた２４ポート高速イーサネットカードを有するＤＣＲルータに配置される。各機器（ルータ、サーバ、ＰＤＵなど）が、リモート管理のために、このネットワークに接続される。

機器がＶＲＦ（仮想ルーティング転送）機能を備えるかどうかにかかわらず、他のネットワークからのＯＢＳＮの分離が保証されるように構成されなければならない。機器がこの機能を持たない場合は、それは、ＯＢＳＮネットワークにのみ接続されるか、または、ＯＢＳＮがセキュリティ侵害を受けることを防ぐために最も厳しいセキュリティレベルで構成されるか、いずれかである。

ＯＳＲルータは、ＤＣＲのローカルＯＢＳＮ ＶＬＡＮに到達することができ、境界スイッチを介して他のデータセンタのＯＢＳＮ ＶＬＡＮに到達することができ、ＩＰＳｅｃ／Ｇｒｅトンネルを介してＭａｄｒｉｄプラットフォームに到達することができる。

ＤＣＲルータは、直接接続されたＯＢＳＮ ＶＬＡＮを有し、境界スイッチを介して他のデータセンタのＯＢＳＮ ＶＬＡＮに達する経路を提供することができる。そのデフォルト経路は、ローカルＯＳＲとすることができる。

境界スイッチは、ＤＣＲのローカルＯＢＳＮ ＶＬＡＮに達する経路と、ポイント・ツー・ポイント・リンクを介して他のデータセンタのＯＢＳＮ ＶＬＡＮに達する経路と、ローカルＯＳＲとのデフォルト経路と、を有することができる。

設定済みルータのファームウェアを、このプラットフォームに接続するように変更して、Ｌ２ＴＰオーバＰＰＰトンネルが、そのＩＳＰが設置されている国の異なるＩＳＰによるフィルタリングを通過しないことを確認することができる。

ＳＮＭＰプロトコルを用いてネットワーク機器を監視するために、ＯｐｅｎＮＭＳプラットフォームを展開することができる。

ローカルエージェントを用いてサーバおよびサービス（ＲＡＤＩＵＳプロキシなど）を監視するために、Ｚａｂｂｉｘプラットフォームを展開することができる。

提携パートナのデータセンタにおいてプライマリ監視プラットフォームが正常に動作していること、提携パートナのデータセンタおよびＭａｄｒｉｄにおいてシステムプラットフォーム間の通信が正常に動作すること、アラートがシステム管理者のＢｌａｃｋｂｅｒｒｙデバイスに電子メール／ＳＭＳでエスカレーションされていること、を確認するために、セカンダリ監視プラットフォームを集中データセンタプラットフォームに構成することができる。

リモートの監視プラットフォームは、提携パートナのデータセンタのシステム機器に到達するために、ＯＢＳＮを用いることができる。

ｉＯＳおよびＡｎｄｒｏｉｄデバイス上で、さらには他のタイプの電話機、ハンドヘルドデバイスおよびポータブルデバイス上で、モバイルクライアントアプリケーションを提供することができる。Ｌｉｎｕｘ（登録商標）上で動作するＡｐａｃｈｅウェブサーバを用いることができる。しかしながら、他のシステムを用いてもよいことは、理解できるであろう。

本方法、機能、システム、コンピュータ可読媒体プロダクトなどは、ハードウェア、ソフトウェア、ファームウェア、またはそれらの組み合わせを用いて実現することができ、また、人的操作が不要となり得るように、１つ以上のコンピュータシステムまたは他の処理システムに実装することができる。つまり、本方法および機能は、マシンの運用により全自動で実施することができるが、すべてをマシンによって実施する必要はない。同様に、システムおよびコンピュータ可読媒体は、マシンの運用により全自動で実施してもよいが、必ずしもそうである必要はない。コンピュータシステムは、本開示によるシステムを実施するための１つまたは複数のユニットに、１つ以上のプロセッサを含むことができ、それらのコンピュータまたはプロセッサは、クラウド内に配置することができ、または、サードパーティ契約者のローカルなエンタプライズ設定で、もしくは構外に提供することができる。同様に、記憶される情報は、クラウド内に保存することができ、またはローカルもしくはリモートに保存することができる。コンピュータシステム、またはユーザと対話するためのシステムは、ＧＵＩ（グラフィカルユーザインタフェース）を含むことができ、または、グラフィックス、テキストおよび他のタイプの情報を含むことができ、デスクトップ、ラップトップコンピュータを介して、または、ハンドヘルドデバイス、電話機、携帯電話機、スマートフォン、もしくは他のタイプの電子通信デバイスおよびシステムを含む他のタイプのプロセッサを介して、ユーザとのインタフェースを提供することができる。上述の方法、機能、システム、およびコンピュータ可読記憶媒体を実現するためのコンピュータシステムは、好ましくはランダムアクセスメモリであるメモリを含むことができ、また、２次メモリを含むことができる。従って、システムデータベースとして例示されていても、そのデータベースは、同じマシンの一部とするか、またはオフサイトに配置することができ、また、フロッピー（登録商標）ディスクドライブ、磁気テープドライブ、光ディスクドライブ、リムーバブルストレージドライブ、それらの組み合わせ、または任意のタイプの記録媒体として、実現することができる。メモリまたはコンピュータ可読記憶媒体プロダクトの例として、消去可能プログラマブルＲＯＭ（ＥＰＲＯＭ）、プログラマブルＲＯＭ（ＰＲＯＭ）のようなリムーバブルメモリチップ、リムーバブルストレージユニットなどが含まれる。

通信インタフェースは、ＴＣＰ／ＩＰパラダイムまたは他のタイプのプロトコルによって通信する有線または無線インタフェースを含むことができ、また、ワイヤ、ケーブル、光ファイバ、電話線、セルラリンク、Ｗｉ−ＦｉまたはＢｌｕｅｔｏｏｔｈ（登録商標）のような無線周波数リンク、ＬＡＮ、ＷＡＮ、ＶＰＮ、ワールドワイドウェブ、もしくは他のそのような通信チャネルおよびネットワークを介して、またはそれらの組み合わせによって、通信することができる。

本開示の一態様によれば、パブリックＩＰアドレスは、システムに必要なパブリックＩＰアドレスの数を削減するように、節約される。従って、インターネットからユーザデバイス２１への入り通信がなく、そのＩＳＰのユーザ間での直接通信がないときには、ＩＰ節約ソリューションを提供することができる。このように、各ＬＮＳ ３１による分散ＮＡＴを実施することができる。これにより、すべてのユーザトラフィックは（例えば、７２００ Ｃｉｓｃｏルータ内の）ＮＡＴを経ることになり、ＮＡＴアカウンティングはＮＡＴルータによって生成されることになるので、パフォーマンスを向上させることができる。ＮＡＴは分散されており、それぞれのＬＮＳは他のＬＮＳから完全に独立しているので、実際にはスケーラビリティの限界はないものとすることができる。また、システムは既存のネットワーク機器に依拠するため、追加の障害点が導入されることはないので、信頼性も向上させることができる。

ライブプラットフォーム用または他の通信シナリオ用のＩＰアドレッシング手法の一例について、以下で説明する。ＰＰＰセッションに、１０．１２８．０．０／９の範囲のプライベートＩＰアドレスを割り当てることができる。ユーザのＰＰＰトンネル用として各ＬＮＳに、プライベート／１８プールを割り当てることができる。各ＬＮＳは、ＰＰＰセッションをＮＡＴ変換するために、パブリック／２６プールを有する。また、パブリックＩＰアドレスは、プラットフォーム構成用にも必要である。このように、各データセンタで、ＮＡＴプール用、プラットフォーム構成用、および将来のサービス拡張用として、合計で、おそらくパブリック／２２ネットワークが必要となる。ＯＢＳＮプラットフォーム用のＩＰアドレッシングは、例えば、セキュリティ強化およびＩＰ節約を実現するように、ＯＢＳＮプラットフォームにおいてプライベートＩＰアドレスを設定することにより、実施することができる。この実施方法によれば、ＩＳＰデータセンタを介してインターネットに接続されたＯＳＲルータにおいて、ＯＢＳＮプラットフォームにおける唯一のパブリックＩＰアドレスを設定することができる。このようにして、パブリックＩＰアドレスを、ある程度節約することができる。

分散モデルで、ＬＮＳルータによりトンネルおよびＮＡＴソリューションが提供される場合、かなり拡張性の高いソリューションを提供することができる。各データセンタで、少なくとも１４台のＬＮＳルータを集約するために、２つの境界スイッチを含むことができる。各ＬＮＳルータは、例えば１０，０００件のユーザセッションをサポートすることができ、それぞれ１．８Ｇｂｐｓのスループット、および２ＧｂｐｓのメモリＲＡＭを有し、これにより、ピーク同時利用による各ユーザのスループットは１００Ｋｂｐｓ、平均して１００件のＮＡＴ変換とすることができる。サービス性能によっては、ＮＡＴログ保存用に追加の機器が必要となることがある。

一実施形態によれば、３つのアクタ、すなわち、サプリカント、オーセンティケータ、サーバが用いられ、さらにトンネリングを採用するか、あるいはトンネリングを採用しなくてもよい。図１４は、サプリカント、オーセンティケータ、認証サーバを示している。一実施形態では、例えば、ＥＡＰ（「拡張認証プロトコル」）メッセージがＥＡＰＯＬからＰＰＰに転送され、次いでＲＡＤＩＵＳに転送される。代替実施形態では、「オンデマンド」トンネリングアーキテクチャが採用され、これによると、ＥＡＰＯＬをＰＰＰに変換するステップが排除され、製造業者にとっては実施がより容易となり得る。代替実施形態では、プロキシＲＡＤＩＵＳ（ＰＰＰ認証をトリガするように修正することができる）が採用されるか、または改良ＥＡＰデーモンを適用することができる。これら２つの実施形態の各々については、図１１、１２、および１３に関連して、より詳細に後述する。

一実施形態において、本出願は、無線ネットワークおよびポイント・ツー・ポイント接続においてよく用いられる認証フレームワークである拡張認証プロトコル（「ＥＡＰ」）を採用する。ＥＡＰは、例えばＩＥＥＥ ８０２．１１（Ｗｉ−Ｆｉ）で広く使用されており、また、ＷＰＡおよびＷＰＡ２標準では、複数のＥＡＰタイプを持つＩＥＥＥ ８０２．１ｘを認証機構に採用している。認証プロトコルとして使用する場合、ＥＡＰは、キャプティブポータルで使用することができ、また、ＷＰＡおよび／またはＷＰＡ２で用いる場合に適している。例えば、１つ以上の資格情報および／またはプロセスに関連して、ＬＥＡＰ（ライトウェイトＥＡＰ）、ＥＡＰ−ＴＬＳ、ＥＡＰ−ＴＴＬＳ、ＥＡＰ−ＦＡＳＴ、ＥＡＰ−ＳＩＭ、ＥＡＰ−ＡＫＡを適用することができる。一実施形態では、８０２．１ｘは、サプリカント（例えば、スマートフォン、ＰＤＡなどのモバイルコンピュータデバイス）と、オーセンティケータ（例えば、設定済みルータ）と、サーバと、に関わる。８０２．１ｘは、ＥＡＰオーバＬＡＮ（「ＥＡＰＯＬ」）によってサプリカントからオーセンティケータにＥＡＰメッセージを転送し、さらにその後、ＲＡＤＩＵＳ／ＤＩＡＭＥＴＥＲによってオーセンティケータからサーバへ転送するために、用いられる。

このような実施形態では、パスワード認証プロトコル（「ＰＡＰ」）メッセージを転送するために、ユニバーサルアクセス方式（「ＵＡＭ」）が用いられる。その後、サプリカントからＵＡＭサーバへデータを転送するために、ＨＴＴＰＳを用いることができ、サプリカントからオーセンティケータへはＨＴＴＰが用いられ、オーセンティケータからサーバへはＲＡＤＩＵＳが用いられる。

図１１〜１３は、本開示の一態様による実施形態を実例によって示している。上述のように、ユーザ認証の場合などに、資格情報を送信するために、ＥＡＰを用いることができる。しかしながら、周知のシステムでは、スマートフォンなどのモバイルコンピュータデバイスから、ＲＡＤＩＵＳサーバ１１０などの認証サーバへの資格情報の送信に、ＥＡＰを使用することができない。

本明細書では、特定のタイプの機器、特定の帯域要件、特定のネットワークソリューションおよびプロトコルに関して記載しているが、当然のことながら、他のタイプの機器、帯域制限、プロトコルのアプローチも企図され、その場合でも、本明細書に記載の発明を実現および実施するには十分にうまく機能するであろう。

一実施形態において、データは、１つの形式でカプセル化されて、スマートフォンであるコンピュータデバイス１０４など、あるデバイスから送信され、その後、別のデバイスに伝送されて、これにより、ＥＡＰカプセルを解除し、例えばＰＰＰである別のプロトコルを用いて認証情報をカプセル化し、それを、例えばＲＡＤＩＵＳサーバ１１０である別のデバイスに伝送する。ＲＡＤＩＵＳサーバ１１０が、ＰＰＰカプセル化された資格情報を受信すると、ＲＡＤＩＵＳサーバ１１０は、認証資格情報を用いてユーザを認証し（あるいは、資格情報が正しくないか、またはその他の理由で認証せず）、ＲＡＤＩＵＳサーバ１１０は、リプライをＰＰＰで送信する。ＰＰＰによるリプライは、コンピュータデバイス１０４に返信される前に、受信され、開封され、再びＥＡＰにカプセル化される。

図１１は、例示的なハードウェア構成１１００と、データ伝送およびそれで用いるそれぞれの通信プロトコルを示している。図１１に示すように、認証は１フェーズで生じる。ハンドセット１０４を使用するユーザは、８０２．１ｘ（ＥＡＰＯＬ）を用いてアソシエートを試み、このプロトコルでカプセル化されたＥＡＰメッセージを送信する（ステップＳ１１０２）。設定済みルータ３０２は、ＥＡＰメッセージをＥＡＰＯＬからＰＰＰに変換し、それらをＬＮＳに送る（ステップＳ１１０４）。ＬＮＳサーバ１０８は、ＥＡＰメッセージをそのＰＰＰカプセルからＲＡＤＩＵＳカプセルに変換し、それらをＲＡＤＩＵＳサーバ１１０に転送する（ステップＳ１１０６）。

この場合、図１１に示すように、設定済みルータ３０２は、資格情報をＥＡＰＯＬカプセルで受信して、ＥＡＰＯＬカプセルを解除し、資格情報をＰＰＰにカプセル化して、それをＬＮＳサーバ１０８に伝送する。ＬＮＳサーバ１０８は、ＰＰＰパケットを受信して、ＥＡＰ資格情報をＲＡＤＩＵＳサーバ１１０にＲＡＤＩＵＳプロトコルで転送する。認証の成功は、ルータ３０２とＬＮＳサーバ１０８との間にＰＰＰ／Ｌ２ＴＰトンネルが確立されたことを意味する。トンネルは、ユーザのハンドセット１０４に専用のものであり、セッションが停止するまでに、このデバイスに出入りするすべてのトラフィックは、このトンネルを通ってルーティングされる。

図１２は、例示的なハードウェア構成１２００と、データ伝送およびそれで用いるそれぞれの通信プロトコルを示している。図１２に示す例では、トンネルの確立が、２フェーズで生じる。フェーズ１は、ユーザ認証に関する。ユーザは、８０２．１ｘ（ＥＡＰＯＬ）を用いた信号でアソシエートを試み、このプロトコルでカプセル化されたＥＡＰメッセージを送信する（ステップＳ１２０２）。設定済みルータ３０２は、ＥＡＰメッセージをＥＡＰＯＬカプセルから変換して、それらをＲＡＤＩＵＳ形式にし、そしてそれらをＲＡＤＩＵＳサーバ１１０に直接送信する（ステップＳ１２０４）。フェーズ２では、ユーザが、例えばＲＡＤＩＵＳサーバ１１０により認証される場合に、ＲＡＤＩＵＳサーバ１１０は、オプションで、ワンタイムパスワードを設定済みルータ３０２に返信し、それを用いて、設定済みルータはＬＮＳ １０８とのＬ２ＴＰ／ＰＰＰトンネルを確立し、その後、このトンネルを用いてユーザのトラフィックがルーティングされる（ステップＳ１２０６）。

この場合、図１２に関連して、ユーザデバイス１０４は、ユーザ資格情報（図示せず）を有し、８０２．１ｘ（ＥＡＰＯＬ）プロトコルを用いて設定済みルータ３０２とのアソシエートを開始する。ユーザを認証するメッセージを伝送するために、ＥＡＰが用いられる。ＥＡＰメッセージは、使用されるＥＡＰのタイプ（ＥＡＰ−ＳＩＭ、ＥＡＰ−ＡＫＡ、ＥＡＰ−ＴＴＬＳ、または他の適切なタイプ）によって、異なり得る。設定済みルータ３０２は、８０２．１ｘ（ＥＡＰＯＬ）でカプセル化されたＥＡＰメッセージを受け取り、それらをＲＡＤＩＵＳパケットにカプセル化し、それはユーザ認証のためにＲＡＤＩＵＳサーバに送信される。ＲＡＤＩＵＳサーバ１１０は、新しいＥＡＰメッセージで、ＲＡＤＩＵＳカプセル化範囲内のＬＮＳサーバ１０８に応答する（当該技術分野で知られているように、このプロセスは、資格情報が正当であるとみなされるまで、複数回、生じることがある）。受諾メッセージと共に、（オプションの）ワンタイムパスワードを、設定済みルータ３０２に送信することができる。ＲＡＤＩＵＳサーバ１１０がワンタイムパスワードを送信した場合（パラメータで識別することができる）には、設定済みルータ３０２は、受け取ったワンタイムパスワードでＬ２ＴＰ／ＰＰＰパケットを構築し、ＬＮＳサーバ１０８へのＰＰＰセッションを（例えば、ＰＡＰ、ＣＨＡＰ、ＥＡＰである、適切な認証プロトコルによって）確立する（ステップＳ１２０８）。

引き続き図１２を参照して、ＲＡＤＩＵＳサーバ１１０の受諾表示を受信した後、または（状況に応じて）ＰＰＰが確立された後に、設定済みルータ３０２は、ＲＡＤＩＵＳサーバ１１０からのＥＡＰメッセージをクライアントデバイス１０４に転送し、アソシエートを許可する。その後、トラフィックは、トンネルが確立されたのであればこれを用いて、インターネットに転送される。

図１３は、例示的なハードウェア構成１３００と、データ伝送およびそれで用いるそれぞれの通信プロトコルを示している。図１３に示す実施形態は、図３を参照して上記で図示および説明した実施形態の簡略図である。

図１５は、サプリカント、オーセンティケータ、サーバの一実施形態を示しており、サーバは２つの要素を有し、ＰＡＰメッセージを転送するために、トンネリングを必要とすることなく、ユニバーサルアクセス方式を用いる。サプリカントからＵＡＭサーバへは、ＨＴＴＰＳを用いることができ、サプリカントからオーセンティケータへは、ＨＴＴＰを用いることができ、オーセンティケータからサーバへは、ＲＡＤＩＵＳを用いることができる。

図１６は、ＰＡＰメッセージの転送にＵＡＭを使用し、トンネリングを用いないＥＡＰを示しており、サプリカントからオーセンティケータへは、ＨＴＴＰが用いられ、オーセンティケータからサーバへは、ＲＡＤＩＵＳが用いられる。

図１７は、ユーザ管理図である。

図１８は、ＰＰＰおよびＬ２ＴＰの代わりに用いることができるＰＰＰｏＥ技術の利用を示している。さらに、例えばＦｏｎｅｒａ装置である第２のルータ装置とＣＰＥとの組み合わせを、ＩＳＰ提供による例えばＣＰＥ装置である単一の顧客装置で置き換えることができる。このようなＰＰＰｏＥ技術の手法を用いると、例えば、必要な機器の数が削減されることから、より効率的で、より低コストとなり得るソリューションを提供することができる。

本発明の好ましい実施形態について例示および説明したが、記載した構造体およびステップの変形および適応、ならびに他の組み合わせまたは構成は、本出願の趣旨および範囲ならびに請求項の範囲内にある。

Claims (20)

1. ユーザを識別するとともに、前記ユーザの通信のための仮想トンネルをインターネット上に提供するためのシステムであって、該システムは、
   仮想トンネリングプロトコルによって前記仮想トンネルを介して通信するための許可を求めるユーザ要求を受信し、前記ユーザ要求に基づいて許可要求を許可モジュールに送信するように構成されたトンネリングサーバモジュールを備え、
   前記許可モジュールは、前記トンネリングサーバモジュールから前記許可要求を受信し、前記ユーザ要求に含まれるパスワードに基づく許可判定によって、前記ユーザが認証されたと判断した場合にのみ、前記ユーザに対する許可受諾メッセージを前記トンネリングサーバモジュールに送信するように構成されており、
   前記パスワードは、リモートのサーバモジュールによって前記ユーザに送信され、また、前記許可判定を示す伝送は、前記許可モジュールからリモートにあるサーバから、前記許可モジュールによって受信され、
   前記トンネリングサーバモジュールは、前記トンネリングサーバモジュールが前記ユーザに対する前記許可受諾メッセージを受信した後にのみ、前記仮想トンネルを介して前記ユーザと通信を実行して、前記仮想トンネルを介して前記ユーザからインターネット要求を受信し、前記インターネット要求に含まれる宛先アドレスに前記インターネット要求を転送するように構成されており、
   前記トンネリングサーバモジュールは、前記インターネット要求に応答されたリプライを、インターネットを介して受信し、該リプライを前記ユーザに伝送するように構成されている
   システム。
2. 前記トンネリングサーバモジュールは、さらに、前記ユーザのユーザセッションにパブリックＩＰアドレスを割り当てるように構成されており、
   前記リプライは、前記割り当てられたパブリックＩＰアドレス宛のものとして、前記トンネリングサーバモジュールにより受信され、
   前記トンネリングサーバモジュールは、さらに、前記リプライを前記ユーザに伝送する前に、前記パブリックＩＰアドレスを前記ユーザのプライベートＩＰアドレスに変換するように構成されていた
   請求項１に記載のシステム。
3. 前記仮想トンネルは、レイヤ２トンネリングプロトコル・トンネルである請求項１に記載のシステム。
4. 前記仮想トンネルには、ポイント・ツー・ポイント・データリンクプロトコル・セッションが確立される請求項１に記載のシステム。
5. 前記トンネリングサーバモジュールは、レイヤ２トンネリングプロトコル・ネットワークサーバであり、前記許可モジュールは、前記レイヤ２トンネリングプロトコル・ネットワークサーバとは別個のプロキシＲＡＤＩＵＳサーバである請求項１に記載のシステム。
6. 前記トンネリングサーバモジュールは、レイヤ２トンネリングプロトコル・ネットワークサーバであり、前記許可モジュールは、プロキシＲＡＤＩＵＳであり、両方の前記プロキシＲＡＤＩＵＳがインターネットサービスプロバイダのデータセンタに配置された請求項１に記載のシステム。
7. 前記許可モジュールからリモートのサーバが、前記インターネットサービスプロバイダのデータセンタからリモートの集中データセンタに配置された請求項６に記載のシステム。
8. 前記集中データセンタと前記インターネットサービスプロバイダのデータセンタとは、ダイナミックコンテキストルータを介して通信する請求項７に記載のシステム。
9. 前記集中データセンタに配置され、前記パスワードに基づく許可判定を行うように構成されたプロキシＲＡＤＩＵＳをさらに備える請求項７に記載のシステム。
10. 前記リモートのサーバモジュールは、前記集中データセンタに配置された請求項７に記載のシステム。
11. 前記トンネリングサーバモジュールは、ポートアドレス変換により、前記ユーザセッションに前記パブリックＩＰアドレスを割り当て、前記プライベートＩＰアドレスとポートを要求する請求項２に記載のシステム。
12. 当該システムは、インターネットを介した前記ユーザとリモートの宛先との間のリアルタイム通信用のライブプラットフォームを提供する請求項１に記載のシステム。
13. ユーザを識別するとともに、インターネットを介した前記ユーザの通信のための仮想トンネルを提供する方法であって、該方法は、
    仮想トンネリングプロトコルによって前記仮想トンネルを介して通信するための許可を求めるユーザ要求を、トンネリングサーバにより受信することと、
    前記ユーザ要求に基づき、前記トンネリングサーバモジュールにより、許可要求を許可モジュールに送信することと、
    前記トンネリングサーバモジュールからの前記許可要求を、前記許可モジュールにより予見し、前記ユーザがリモートのユーザ情報サーバから受信したパスワードであって前記ユーザ要求に含まれるパスワードに基づく許可判定を求める要求を、リモートの許可サーバに送信することと、
    許可判定を求める前記要求に応答された許可判定を、前記許可モジュールにより受信し、該応答を前記トンネリングサーバモジュールに伝送することと、
    前記トンネリングサーバモジュールが、前記ユーザへの許可受諾メッセージを受信した後にのみ、前記トンネリングサーバモジュールにより、前記仮想トンネルを介した前記ユーザとの通信を実行することと、
    前記トンネリングサーバモジュールにより、前記ユーザから前記仮想トンネルを介してインターネット要求を受信し、該インターネット要求に含まれる宛先アドレスに該インターネット要求を転送することと、
    前記インターネット要求に応答された、前記インターネット要求へのリプライを、インターネットを介して前記トンネリングサーバモジュールにより受信し、該リプライを前記ユーザに伝送することと
    を含む方法。
14. 前記トンネリングサーバモジュールにより、通信セッションにパブリックＩＰアドレス割り当てることを、さらに含み、
    前記リプライは、前記割り当てられたパブリックＩＰアドレス宛のものとして、前記トンネリングサーバモジュールにより受信され、
    前記トンネリングサーバモジュールにより、前記パブリックＩＰアドレスを前記ユーザのプライベートＩＰアドレスに変換することと、
    前記ユーザに前記リプライを伝送することと、をさらに含む
    請求項１３に記載の方法。
15. 確立された前記仮想トンネルは、ポイント・ツー・ポイント・データリンクプロトコル・セッションとして実施されるレイヤ２トンネリングプロトコル・トンネルである請求項１３に記載の方法。
16. 前記トンネリングサーバモジュールによる変換は、前記プライベートＩＰアドレスおよびポートを前記パブリックＩＰアドレスに変換する、前記要求のポートアドレス変換を含む請求項１４に記載の方法。
17. 前記ユーザの通信は、リアルタイム情報を伴うライブ通信プラットフォームである請求項１３に記載の方法。
18. 前記リアルタイム通信は、ボイスオーバＩＰ通信である請求項１７に記載の方法。
19. 前記トンネリングサーバモジュールは、インターネットサービスプロバイダのデータセンタに配置されたサーバであり、前記許可モジュールは、前記インターネットサービスプロバイダのデータセンタに配置されたＲＡＤＩＵＳプロキシサーバであり、前記リモートのサーバは、前記トンネリングサーバモジュールおよび集中識別支援システムのデータセンタにある前記許可モジュールからリモートに配置されている請求項１３に記載の方法。
20. ポイント・ツー・ポイント・オーバ・イーサネット・カプセル化が用いられる請求項１３に記載の方法。

Images