JP3774191B2

JP3774191B2 - ファイアウォールおよびネットワークアドレス変換を有するオーディオ−ビデオ回線技術

Info

Publication number: JP3774191B2
Application number: JP2002515801A
Authority: JP
Inventors: リード，ステファン，マイケル
Original assignee: Ridgeway Systems and Software Ltd
Current assignee: Tandberg Telecom UK Ltd
Priority date: 2000-07-28
Filing date: 2001-07-24
Publication date: 2006-05-10
Anticipated expiration: 2021-07-24
Also published as: EP1305927B1; EP1515515A1; DE60113435D1; GB0018547D0; CA2415357C; CN1198433C; ATE304773T1; AU2001275697B2; JP2004505552A; EP1305927A1; WO2002011400A1; HK1051101A1; GB2365256A; US20040037268A1; CA2415357A1; AU7569701A; US8499344B2; CN1444815A; DE60113435T2

Description

【０００１】
本発明はマルチメディア呼（multimedia calls）を行う通信システムに関する。
【０００２】
急速に発展するIP（インターネットプロトコル）データネットワークはマルチメディアおよび音声通信サービスプロバイダにとっての新たな機会と課題を作りだしている。現職のテレコミュニケーション運営者、および次世代の通信事業者やサービスプロバイダによって、データネットワークバックボーンへの、未曾有の投資がなされている。同時にDSLやケーブルモデムといったブロードバンドアクセス技術が広範囲のユーザーに高速なインターネットアクセスを提供している。サービスプロバイダは、IPデータネットワークを利用して新たな音声・ビデオサービスおよびデータサービスを高速インターネットと平行してデスクトップ、オフィス、家庭に直接届けることを目指している。
【０００３】
広域通信において、異なる製造業者による端末が相互運用される場合には、スタンダード（標準）が根本的な重要性を有する。マルチメディア分野において、パケットネットワーク（例えばIPデータネットワーク）を介してのリアルタイム通信に関する現在のスタンダードはITUスタンダードH.323である。H.323は現在では比較的成熟したスタンダードであり、マイクロソフト社、シスコ社、インテル社などの企業を含むマルチメディア通信業界の支持を得ている。例えばパーソナルコンピュータの７５％にマイクロソフト社のNetMeeting（商標）プログラムがインストールされていると推計される。NetMeetingはH.323に準拠したマルチメディア（音声、ビデオおよびデータ）通信用のアプリケーションソフトウエアである。
【０００４】
現在では異なる製造業者による装置間での相互運用性が達成されている。International Multimedia Communication Consortium (IMTC)の主催する最近の相互運用性イベントには世界の１２０を越える企業が参加した。このIMTCはマルチメディア通信装置の相互運用性を促進するための独立組織である。このイベントは製造業者が相互動作問題をテストし、かつ解決するために定期的に行われている。
【０００５】
これまで、マルチメディア（特にビデオ）通信を大規模に取り込むには数多くの障害があった。かつては利用の簡便性、品質、コスト、通信帯域幅のすべてが市場の成長を妨げていた。しかし、ビデオエンコーディング技術の進歩、安価なIPアクセスがどこでも得られる状況、およびデータネットワークへの現在の投資が、DSLやISDNやケーブルモデムの浸透と結びついて、現在ではほとんどの問題をある程度解決し、マルチメディア通信および音声通信を可能にしている。
【０００６】
H.323がスタンダードとして策定された際には、プライベートネットワーク間の広いエリアにおけるトランスポートのためにH.323をH.320に変換するH.323-H.320ゲートウェイがネットワークドメインの端部に作られるものと想定されていた。したがってIP上のH.323の導入は単一ネットワーク内の通信に集中していた。
【０００７】
しかしながら、IPは広域プロトコルとして愛顧を受け続けている。ますます多くの組織が、データネットワーク全体についてIPに基礎を置き続けている。高速インターネットアクセス、管理されたイントラネット、ヴァーチャル・プライベート・ネットワークス（VPNｓ）のすべてにおいてIPに基礎を置くことが普通である。このIPトレンドがH.320のマルチメディアプロトコルとしての衰退を引き起こしている。市場の要求はH.320を完全にIP上のH.323に置き換えることにある。
【０００８】
残念ながら、H.323の実際の広域配備には、予見できなかった技術的諸障害がいまなお存在する。この技術的諸障害はIPデータネットワークの境界における通信インフラストラクチュアに関するものである。
【０００９】
H.323スタンダードはそのサービス品質に保証のないパケットベースのネットワーク上でのマルチメディア通信に適用される。それは背景にあるトランスポートネットワークおよびプロトコルからは独立して設計されている。今日IPデータネットワークはデフォールト（既定の）かつユビキタスな（遍在する）パケットネットワークであり、H.323の導入はその大部分が（全部ではないにせよ）IPデータネットワーク上でのものである。そうは言っても、今日成功しているマルチメディアおよび音声通信の導入はイントラネットすなわちプライベートに（私的に）管理されているIPネットワークに限られている。これはプライベート(私的)ネットワークとパブリックな（公共の）インターネットまたは共有され管理されるIPネットワークとの間でのH.323の広域的配備を妨げるIPトポロジーの問題（IP topological problem）があるからである。
【００１０】
これらの問題は２つのIP技術、すなわちネットワークアドレス変換（NAT）およびファイアウォールに起因する。
【００１１】
NATは「アドレス不足問題」を解決するところまで来た。IPネットワークのいずれのエンドポイントあるいは「ホスト」も、該エンドポイントを同定するひとつの「IPアドレス」を有しており、データパケットは正確にそこに送られるすなわちそこにルート付けされることができ、かつそこで受け取られたパケットがどこからやってきたのかを同定することができる。IPアドレスフィールドを規定した時点では、誰もデスクトップ装置の広大な成長を予見することができなかった。グローバルIPの展開の何年後かに、IPプロトコルを用いての通信を求めるエンドポイントの数がアドレスフィールドにおいて可能な固有IPアドレスの数を越えることが程なくして明らかになった。アドレスフィールドを増やし、より多くのアドレスを利用可能とするには、IPインフラストラクチュア全体を更新することが必要であった（当業界はある点において、これをIPバージョン６によって行うことを計画している。）
【００１２】
今日のソリューション（解決方法）は現在NATと呼ばれているものである。IETF RFC1631で規定されたシンプルNAT（Simple NAT）と呼ばれる最初のNATソリューションは1対1マッピングを利用しており、ワールド・ワイド・ウェブが存在する前の、組織内のいくつかのホスト（例えばメールサーバやファイル転送サーバ）のみが組織外部と通信する必要があった頃に生まれたものである。NATにより企業内にプライベートIPネットワークを構築することが可能となるが、そこでは該企業内の各エンドポイントはその企業内のみで唯一固有（unique）であるが、グローバルには唯一固有ではないアドレスを有している。すなわちこれらはプライベートIPアドレスである。このことにより、ある組織内の各ホストは該組織内の任意の他のホストと通信する（すなわちアドレスする）ことが可能である。外部と通信するためには、パブリックな（公の）すなわちグローバルに唯一固有のIPアドレスが必要である。こうしたプライベートIPネットワークの端部にはプライベートIPアドレスとパブリックIPアドレスとを相互変換するNAT機能を行う装置が配備される。企業はその企業に独占的に（排他的に）属するひとつ以上のパブリックアドレスを有するが、一般的には必要なパブリックアドレスの数はホストの数よりも少ない。その理由は、外部と通信する必要があるのはいくつかのホストのみであるか、あるいは同時に外部通信する数はホスト数よりも少ないからである。より洗練された形態のNATはパブリックアドレスのプールを有し、それらのパブリックIPアドレスをファーストカム−ファーストサーブド方式（先着順方式）で外部通信を必要とするホストに動的（流動的）に割り当てている。外部装置が特定の内部装置に勝手にパケットを送る必要がある場合には固定ネットワーク規則（fixed network rules）が必要となる。
【００１３】
今日ほとんどのプライベートネットワークは10.x.x.xアドレスレンジ（10.x.x.x address range）からのプライベートIPアドレスを使用している。外部通信はたいていの場合管理されたあるいは共有されたIPネットワークまたは公共のインターネットを介したサービスを提供するサービスプロバイダーを介している。各ネットワークの境界において、アドレスをパケットが伝達されるIPネットワーク内で唯一固有のものとするためのNATが用いられる。シンプル NATは完全なIPアドレスを1対1マッピングによって変換している。このマッピングは当該通信セッションが続く間、固定的または動的にもたらされる。
【００１４】
NATを用いることにより、ホストのプライベートIPアドレスは外部からは不可視となる。このことによりセキュリティ(安全性)が向上する。
ウェブサーバ、メールサーバ、およびプロキシサーバなどが、それらに到達する外部通信を許容するために静的な（static）1対1NATマッピングを必要とするホストの例である。
【００１５】
共通のIPプロトコルを介して接続されたコンピュータおよびネットワークは通信を容易にしたが、他方でプライバシーやセキュリティの侵害をさらに容易にもした。比較的わずかなコンピュータスキルにより、プライベートなあるいは内密の(コンフィデンシャルな)データおよびファイルにアクセスし、そうしたビジネス情報を悪用することが可能である。そのような攻撃に対する当業界における解決方法はプライベートネットワークの境界に「ファイアウォール」を配備することである。
【００１６】
ファイアウォールはプライベートIPネットワークとパブリックのIPネットワークとの間を通過するIPトラフィックの種類を制限するすなわち「フィルタする（ろ過する）」ようになされている。ファイアウォールはいくつかのレベルの規則によって制限を課することができる。制限は、IPアドレス、ポート、IPトランスポートプロトコル（たとえばTCPやUDP）またはアプリケーションに対して課することができる。制限は対称ではない。すなわち典型的にはプライベートネットワーク側（ファイアウォールの内側）からパブリックネットワーク側（ファイアウォールの外側）に向かう方向に関しては、その反対方向よりも多くの通信を許容する。
【００１７】
ワールド・ワイド・ウェブの誕生と共に、ファイアウォール規則をIPアドレスだけに適用することは次第に難しくなってきている。内部のホスト（すなわちあなたのPC）のいずれもが地球上に点在するいずれかの外部ホスト（ウェブサーバ）に接続することを望むかもしれないからである。この問題に対しては「well-known port（よく知られたポート）」の概念が適用される。ポートは2つのホスト間のポイント対ポイントのトランスポート接続における一方の端部を同定する。「well-known port」はひとつの「既知の(知られた)」種類のトラフィックを担うものである。IANAすなわちInternet Assigned Number Authorityはあらかじめ割り当てられたよく知られたポートおよびそれらポートの担うトラフィックの種類を特定している。例えばポート８０はウェブサーフィン（httpプロトコル）トラフィックに割り当てられ、ポート２５はシンプル・メール・トランスポート・プロトコル(Simple Mail Transport Protocol)に割り当てられる、等である。
【００１８】
ウェブサーフィンに対するファイアウォールのフィルタリング規則の例は以下のようなものである：
・どの内部IPアドレス／ポート番号（port number）も、TCP（Transport Connection protocol）およびHTTP（ウェブサーフィン用のアプリケーションプロトコル）を用いて、どの外部IPアドレス／ポート８０に接続してもよい。
この接続は双方向的であり、したがってトラフィックはウェブサーバから同一の経路を逆に流れることができる。ポイントとなるのは接続は内部側から開始されなければならないという点である。
【００１９】
ｅ−メール用のファイアウォールフィルタリング規則の例は以下のようなものである。
・どの外部IPアドレス／どのポート番号も、TCPおよびSMTPを用いてIPアドレス192.3.4.5／ポート25に接続してよい。
NAT機能は目的IPアドレス192.3.4.5をメールサーバの内部アドレスである10.6.7.8に変換することができる。
【００２０】
以下のようなフィルタリング規則はIT管理者に好まれない。
・どの内部IPアドレス／どのポート番号もTCPまたはUDP用のどの外部IPアドレス／どのポート番号に接続してもよい、その逆も可能。
このような規則はあまりにも広いフィルタであり、ファイアウォールを開放するに等しい。
【００２１】
NAT機能およびファイアウォール機能はいずれもNATとファイアウォール機能がエンドポイント間に存在する場合にH.323通信業務を妨げる。これは典型的には、両エンドポイントが異なるプライベートネットワークに属している場合、または一方のエンドポイントがプライベートネットワーク内にあり他方のエンドポイントがインターネット内にある場合、または両エンドポイントが異なる管理されたIPネットワーク（managed IP network）に属している場合である。
【００２２】
H.323は背景にあるネットワークおよびトランスポートプロトコルからは独立して設計されてきた。それでもH.323のIPネットワークへの導入は以下の主要概念の対応付け（mapping）によって可能となる。
H.323アドレス : IPアドレス
H.323論理チャネル : TCP／UDPポートコネクション
【００２３】
IP上でのH.323の導入においては、H.323プロトコルメッセージはTCPまたはUDPのいずれかを用いてIPパケットのペイロードとして送信される。多くのH.323メッセージは送信元のエンドポイントまたは送信先のエンドポイントあるいはその両方のエンドポイントのH.323アドレスを含む。これはIP世界においては、そのヘッダに送信元ホストと送信先ホストのIPアドレスを有するIPパケット内で送信されるH.323メッセージの内部にIPアドレスを有しているということを意味する。
【００２４】
しかしながら、シンプル NAT機能はH.323ペイロード内のH.323アドレスを変えることなく送信元ホストと送信先ホストのIPアドレスを変換する点に問題が生ずる。このことはH.323プロトコルの破壊を引き起こすものであり、H.323ペイロードアドレスを取り扱うには媒介インテリジェンス（intermediary intelligence）が必要となるからである。
【００２５】
マルチメディア通信の複雑性により、H.323はエンドポイント間にいくつかの論理チャネルを開くことを要求する。論理チャネルは、呼制御、能力交換（capabilities exchange）、オーディオ、ビデオ、データについて必要である。オーディオとビデオのみを含む単純なポイント対ポイントのH.323マルチメディアセッションにおいては、少なくとも６つの論理チャネルが必要となる。H.323のIP配備においては、論理チャネルはTCPまたはUDPポートコネクションにマッピングされ、それらの多くは動的に割り当てられる。
【００２６】
また別の問題として、ファイアウォール機能は規則の設定されていないポート上のトラフィックをフィルタによって排除してしまうということがある。すなわちファイアウォールを開放するか（この場合ファイアウォールの目的が無効になる）、あるいは多くのH.323トラフィックが通過不能になるか、の二つに一つとなってしまう。
【００２７】
したがってH.323通信はファイアウォールにとって忌まわしいものである。ファイアウォールがH.323を認識できるようにするか、あるいはなんらかの媒介インテリジェンスによって安全なやり方でポートの割り当てを制御しなければならない。
【００２８】
この問題の可能な解決方法のひとつは完全なIP H.323アップグレード（complete IP H.323 upgrade）である。これは以下のことを要求する：
・各IPネットワーク境界にあるシンプル NAT機能に対するH.323アップグレード。NAT機能はすべてのH.323ペイロードを走査し、一貫性をもってIPアドレスを変換しなければならない。
・各IPネットワーク境界にあるファイアウォール機能に対するH.323アップグレード。ファイアウォールは、動的に割り当てられるポートを開くことができるようにすべてのH.323通信を認識しおよび監視し、かつそれらのポート上のすべての非H.323トラフィックをフィルタしなければならない。
・境界あるいは共有されたIPネットワーク内においてH.323インテリジェンスを配備し、アドレスを分析しかつ調停すること（resolve and arbitrate addresses）。ユーザーがIPアドレスを直接用いることはほとんどない。実際には別名IPアドレス（エイリアス）を用いる。インテリジェンスはエイリアスをIPアドレスに分析する必要がある。このH.323機能はゲートキーパーと呼ばれるH.323要素（H.323 entities）に含まれる。
【００２９】
この可能な解決方法の欠点は以下の通りである：
・各組織／プライベートネットワークは既存のH.323通信に対する同一レベルのアップグレードを有さなければならない。
・アップグレードには費用がかかる。新たな機能性または新たな装置を購入し、計画し、配備しなければならない。IT管理者はH.323について学習しなければならない。
・シンプル NATおよびファイアウォール機能を分析する間断ないH.323パケット解析は各ネットワーク境界において信号に待ち時間を課す。そしてオーディオおよびビデオに対する待ち時間の許容量はきわめて小さい。
【００３０】
これらの問題により、ファイアウォールまたはネットワークアドレス変換（NAT）が存在する場合には、音声およびマルチメディア通信に対してH.323プロトコルは用いられていない。ひとつのアプローチとして、H.323システムをファイアウォールおよびNAT機能のパブリック側に配置するというものがある。こうすることにより、ファイアウォールおよびNAT機能はそれらのネットワークの残りの部分を保護しつつ、H.323を用いることができる。このやり方の欠点は以下のようなものである：
１．最も普及している（ユビキタスな）ビデオ通信装置はデスクトップPCである。そしてすべてのデスクトップコンピュータをパブリック側に置くのはナンセンスである。
２．ファイアウォールのパブリック側では、H.323システムは攻撃者から保護されない。
３．特別なシステムのみがH.323通信を許されることになるので、各団体はH.323の潜在的遍在性の利点を享受できない。
４．ファイアウォールがH.323システムのデータアクセスを妨げるので、各団体はH.323のデータ共有機能をフルに活用することができない。H.323システムからのデータ転送機能を可能とするためにファイアウォールを開放することはできない。なぜならその場合、攻撃者がH.323システムをリレーとして用いることができるからである。
【００３１】
H.323システムはIPネットワーク上でのリアルタイムな音声およびマルチメディア通信に現在用いられている唯一のプロトコルであるわけではない。SIP（IETF RFC 2543で規定されたセッション開始プロトコルSession Initiation Protocol）、MGCP(メディアゲートウェイ制御プロトコル Media Gateway Control Protocol)、H.248（Megacoと呼ばれることもあり、ITUにおいてMGCPに相当する）といったものも当業界で受け入れられている。これらすべてのプロトコルがファイアウォールおよびNATの引き起こす同じインフラストラクチュアの問題に直面しており、なんらかの助けなしにそれら問題を解決することができないでいる。
【００３２】
本発明のひとつの目的は、ファイアウォールおよびNATを介しての音声およびマルチメディア通信においてファイアウォールおよびNATの引き起こす問題を、すべてのプロトコルに対して共通の方法で解決することである。したがって、本発明をH.323プロトコルに関連して説明しているが、本発明はH.323、SIP、MGCP、Megacoおよびその他すべてのリアルタイムIP通信プロトコルに適用される。同様に、本発明はマルチメディア通信だけでなく音声のみの通信にも適用される。したがって、本明細書においては「マルチメディア」という語は音声および／またはビデオ通信の任意の組み合わせを意味するものである。
【００３３】
かくして、本発明は次のような通信システムを提供する、すなわち、マルチメディア呼を行うための通信システムであって、第１のマルチメディア端末と、第２のマルチメディア端末と、共有された通信ネットワーク上でマルチメディア呼を行うための通信手段であって、それぞれ第１のマルチメディア端末および第２のマルチメディア端末と関連する第１の通信手段と第２の通信手段とを含む通信手段を備え、該第１の通信手段はマルチメディア呼が通過しなければならない第１のファイアウォールを有しており、
i) 第１のファイアウォールは第１の端末と共有された通信ネットワークとの間のある種類の通信を制限するようになされており、
ii) 各端末はマルチメディア呼を送信および／または受信するためのいくつかの論理通信ポートを有し、該論理通信ポートは少なくともひとつの動的に割り当てられるポートを含んでおり、
iii) マルチメディア呼を設定する過程において、該端末の少なくとも一方は、他方の端末に要求を送り、該要求は要求を受けた側の端末内の１つ以上の動的ポートを開くための要求である、
ような通信システムにおいて、
iv) 該システムはマルチメディア呼の過程の間、各端末に対して他方の端末のプロキシ（代理）として動作するプロキシサーバを第１の端末と第２の端末との間に備え、
ｖ）該プロキシサーバは端末と通信するための論理通信ポートを有し、該論理通信ポートは第１の端末との通信用の１つ以上のあらかじめ割り当てられたポートを含んでおり、
vi) 第１のファイアウォールは第１の端末とプロキシサーバのあらかじめ割り当てられたポートとの間の通信を制限しないようになされており、
vii) プロキシサーバは前記動的ポートを開く要求を、そのあらかじめ割り当てられたポートのひとつを介して受信しかつ送出するようになされている、ことを特徴とする通信システムである。
【００３４】
本発明はまた、以下のようなマルチメディア呼を行う方法を提供する、すなわち、第１のマルチメディア端末と、第２のマルチメディア端末と、該第１のマルチメディア端末と第２のマルチメディア端末にそれぞれ関連する第１の通信手段と第２の通信手段とを含む通信手段とを有する通信システムであって、各端末はマルチメディア呼を送信および／または受信するためのいくつかの論理通信ポートを有し、該論理通信ポートは少なくともひとつの動的に割り当てられるポートを含んでおり、第１の通信手段は第１の端末と共有された通信ネットワークとの間のある種類の通信を制限するようになされた第１のファイアウォールを備えている通信システムを用いて、
a) 第１の通信手段と第２の通信手段を用いて、共有されたネットワーク上で第１のマルチメディア端末と第２のマルチメディア端末との間でファイアウォールを介してマルチメディア呼を設定し、
ｂ）マルチメディア呼の設定の過程において、端末の少なくとも一方が他方の端末に要求を送って該要求を受け取る側の端末内の１つ以上の動的ポートを開かせる、
ステップを含むマルチメディア呼を行う方法において、
ｃ）第１の端末と第２の端末との間に、マルチメディア呼の過程の間、各端末に対して他方の端末のプロキシとして動作するプロキシサーバであって、第１の端末と通信するための１つ以上のあらかじめ割り当てられたポートを含む端末との通信用の論理通信ポートを有するプロキシサーバを設け、
ｄ）第１のファイアウォールを、第１の端末とプロキシサーバのあらかじめ割り当てられたポートとの間の通信を制限しないように構成し、
ｅ）プロキシサーバを、動的ポートを開くための要求を、そのあらかじめ割り当てられたポートの１つを介して受信しかつ送出するように構成する、ことを特徴とするマルチメディア呼を行う方法である。
【００３５】
このようなシステムは国際電気通信連合(International Telecommunication Union)のH.323またはH.248スタンダードに準拠するマルチメディア呼を行うために用いることができる。あるいは、このシステムをインターネット・エンジニアリング・タスク・フォース（Internet Engineering Task Force）のSIPまたはMGCPスタンダードに準拠するマルチメディア呼を行うために用いてもよい。更に、混合したプロトコル環境をサポートするようにプロキシを構成してもよい。
【００３６】
共有された通信ネットワークとは加入電話網(PSTN: public switched telephone network)や公共インターネットデータネットワークなどの公共の（パブリックな）ネットワークであってもよいし、またはネットワークの境界を通過するトラフィックを分離し制限するためにファイアウォールが配備されるその他のIPネットワークであってもよい。例えば、本発明の一実施例においては、プロキシサーバはある企業のネットワークの非武装地帯（DMZ）に置かれ、ファイアウォールはDMZからプライベートネットワーク内へと入るトラフィックを制限している。
【００３７】
たいていの場合、プロキシサーバは第１のマルチメディア端末からも第２のマルチメディア端末からも遠方にある。例えば、第１および第２の端末の両方に対して、共有されたIPネットワークを通じて接続される。
【００３８】
多くの場合、第２の通信手段もまたマルチメディア呼が通過しなければならない第２のファイアウォールを備える。第２のファイアウォールは第２の端末と共有されたネットワークとの間のある種類の通信を制限するように構成される。その場合、プロキシサーバは１つ以上の第２の端末との通信用のあらかじめ割り当てられたポートを含む、端末との通信のための論理通信ポートを備える。ここで第２のファイアウォールは第２の端末とプロキシサーバのあらかじめ割り当てられたポートとの間の通信は制限しないように構成することができる。
【００３９】
本発明の好適な実施例において、プロキシサーバのあらかじめ割り当てられたポートの数は端末に動的に割り当てられるポートの総数以下である。例えば、プロキシサーバに２つのあらかじめ割り当てられたポート、好適には３つのあらかじめ割り当てられたポートを設けることができ、そのうち１つはTCP用であり、２つはUDP用である。
【００４０】
端末をマルチメディア制御信号と共にマルチメディアのメディア信号を送信および／または受信するように構成してもよい。ここで制御信号はあらかじめ割り当てられたポートの１つに送られ、メディア信号はその他のあらかじめ割り当てられたポートに送られる。
【００４１】
好適には少なくとも１つの論理通信ポートをあらかじめ割り当てられたポートとし、前記要求は通信リンク上の通信を開始するための初期要求としてそのあらかじめ割り当てられたポートに送るようにする。
通信手段は、少なくとも部分的にインターネットを介してマルチメディア呼を行うように構成することができ、その場合、プロキシサーバはパブリックなインターネットプロトコルアドレスを有し、それによって端末または端末のそれぞれがプロキシサーバと通信し、ファイアウォールは端末とプロキシサーバのあらかじめ割り当てられたポートとの間の通信を制限しないように構成される。
【００４２】
本発明は第１の端末と第２の端末の１つ以上の組が存在する場合に適用される。例えば、ひとつのサイトのいくつかの第１のマルチメディア端末のそれぞれが他の様々なサイトの対応する他の第２の諸端末に接続ようにしてもよい。
【００４３】
添付図面を参照し、例を用いて本発明を説明する。
完全なH.323アップグレードの代替となるものを図１に関連して説明する例として示す。この図は第１の企業２および第２の企業４を含む通信システムを示している。各企業はプライベートネットワーク６，８を有しており、それらは共に１つ以上のH.323端末１０，１２を備えている。各プライベートネットワーク６，８はプライベートIPアドレス１４，１６を有し、これらのアドレスは共に10.x.x.xアドレスレンジ内にある。これらのIPアドレス１４，１６は静的（固定的）に割り当てられたものであっても、通常のDHCP手続きによって動的(流動的)に割り当てられたものであってもよい。外部通信は共有された、あるいは管理された、あるいは公共のインターネット２０を介して行う。外部通信用に、第１の企業２は192.1.1.1から始まるパブリックIPアドレスのプール２２を有し、第２の企業４は206.1.1.1から始まるパブリックIPアドレスのプール２４を有する。各企業はシンプルネットワークアドレス変換（NAT）機能を行う変換規則でプログラムされたルータ３２，３４を有する。該シンプルNAT機能は内部アドレス１４，１６（プライベート）と外部アドレス２２，２４（パブリック）との間の固定マッピングであるかまたは動的マッピングであり、それらに基づいてプライベートネットワーク６，８上の端末１０，１２のH.323は対応するルータ３２，３４を介して、共有ネットワーク２０にまず接続する。
【００４４】
それぞれのプライベートネットワーク６，８は、それらの端部おいてファイアウォール機能２６，２８によって保護されている。このファイアウォール機能は表１に示す規則によって設定されており、H.323トラフィックを許容する。これら規則はH.323およびT.120についてのよく知られたポート（well known ports）、すなわち1718,1719,1720および1503を取り入れており、かつまた本発明の提案する新たなよく知られたポート（XおよびYと名づける）をも取り入れている。
【００４５】
【表１】

【００４６】
上記表において、具体的に挙げられたポート番号はIANAによって合意されたスタンダードによる登録されたポート番号である。
第１の企業２内のH.323端末１０が第２の企業４内の別のH.323端末１２と通信するためには、例えばルータ３８を介してプロキシサーバ４０が接続された共有ネットワーク２０が存在しなければならない。プロキシサーバ４０は例えば45.6.7.8というパブリックIPアドレス４４を有する。プロキシサーバはまた2つの新たなよく知られたポート番号X,Y４６を有する。これらの新たなよく知られたポート番号は前もってIANAで合意され、登録されなければならない。
【００４７】
H.323端末にとってプロキシサーバ４０は該端末のH.323ゲートキーパー（あるいはSIP端末に対してのSIPレジストラ（SIP registrar）など）であるかのように見える。呼（call）の間、プロキシサーバはどのひとつの端末にとっても他方の端末すなわちリモート端末であるように見える。ゲートキーパーにとってはプロキシサーバはそれらゲートキーパーのすべてのエンドポイントであるように見える。ゲートキーパー機能（不図示）はプロキシサーバと同じ所に設けてもよいし、あるいはそれとは別に設けてもよい。
【００４８】
H.323端末１０，１２のスイッチが入れられると、該端末は自身がマルチメディア呼を発信するあるいは受信する準備ができていることを知らしめるために、プロキシサーバ４０を介してゲートキーパー機能をまず探索し、そして登録する。登録プロセスにおいては、ターミナルがH.323メッセージ内の自身のIPアドレス１４，１６をプロキシサーバ４０を介してゲートキーパー機能に送る必要がある。端末を出る時点では、IPパケットのソース（送信元）アドレスフィールドは端末１４，１６のプライベートIPアドレスである。しかし、そのIPパケットがシンプルNAT機能を通過する際にIPパケット内の送信元アドレスはそれに対応するパブリックIPアドレスに変換される。NAT機能は端末のプライベートIPアドレスを含むH.323ペイロードを認識しないので、こちらのIPアドレスは変換されない。
【００４９】
登録メッセージがゲートキーパーへの途上でプロキシサーバを通過するとき、プロキシサーバ４０は端末の「見かけの(apparent)」IPアドレス２２，２４（すなわち、NAT変換後にパケットがどこからきたように見えるか）を端末のプライベートIPアドレスすなわち「実際の(real)」IPアドレスと共に記憶する。以降のゲートキーパー機能への呼制御要求の際、プロキシサーバはすべての呼制御がプロキシサーバのIPアドレス４０においてプロキシサーバ内のさまざまな機能（呼制御、メディア制御およびメディア処理）によって行われるように命令する。ここでの本発明の説明において、プロキシサーバは単一のIPアドレスを有する単一の装置であると仮定している。本発明の他の実施形態においては、「プロキシサーバ」は協働するいくつかの装置であってもよい。また１つまたはそれ以上のプロキシサーバのそれぞれが１つまたは複数のIPアドレスを有していてもよい。複数のIPアドレスを用いる場合、通常ではそれらのIPアドレスを単一のサブネットから割り当て、そしてファイアウォール規則のプログラミングは個々のIPアドレスではなくサブネットへ出入りする許容されたポートを特定するようにする。
【００５０】
H.323端末１０，１２がゲートキーパー登録機能をサポートしていない場合、端末は固定の(static静的な)プライベートアドレスを与えられていなければならない。その場合、ルータ３２，３４のシンプルNAT機能において固定NAT規則が作成されなければならず、プロキシサーバ４０は端末１０，１２の実際のIPアドレス２２，２４および固定の見かけIPアドレス１４，１６でプログラムされなければならない。端末１０，１２は前の例と同様に、すべての呼制御要求をプロキシサーバ４０へ送るようプログラムされる。
【００５１】
図２乃至９は本発明の好適な実施形態においてマルチメディア呼を設定する方法を示す。これらの図面は以下に説明するように７つの段階もしくは局面を示している。
【００５２】
第１段階、図２および図３
A1端末１０のユーザAはB1端末１２のユーザBにH.323ソフトウェアを用いてマルチメディア呼を発する。A1端末１０において動作しているソフトウェアはAおよびBの同定（identities）およびA1端末１０の真の（true）IPアドレス１４およびプロキシサーバ４２の真のIPアドレス４４を含むH.323設定メッセージを作成する。そして、このメッセージ５０は１以上のTCP IPパケットとしてローカルポートPA1 １１から送られる。これらのTCP IPパケットはA1端末１０のIPアドレス１６を送信元（ソース）、プロキシサーバ４２のIPアドレス４４を送信先としてラベル付けされている。設定メッセージはプロキシサーバ４２のあらかじめ割り当てられたポート４１（ここではポート番号1720）に送られる。これらのパケット５０はルータ３２のシンプルネットワークアドレス変換（NAT）機能を通過するので、IPパケット内の送信元IPアドレス１４はそれに対応するパブリックのIPアドレス１８に変換される（例えば、10.1.1.1が192.1.1.1になる）。H.323メッセージ自体は変更されない。
【００５３】
A1端末１０から送信されるこの設定メッセージは以下のように表される：

【００５４】
この設定メッセージはルータ３２によって変更されるが、それは以下のように表される：

【００５５】
第２段階、図３および図４
H.323設定メッセージ５１はプロキシサーバ４２に到達し、プロキシサーバ４２はユーザBの位置を決定し（例えばなんらかのゲートキーパー機能と連動して）、同様の新たなH.323設定メッセージ５２を作成してそこに送る。この新たな設定メッセージ５２はAおよびBの同定（identities）およびプロキシサーバ４２の真のIPアドレス４４（例えば45.6.7.8）およびB1端末１２の真のIPアドレス１６(例えば10.1.1.1)を含んでいる。プロキシサーバはこのメッセージ５２をあらかじめ割り当てられたポート５５（ここではポート番号2777）から端末B1のパブリックIPアドレス１７（例えば206.1.1.1）へ送出する。このIPパケットはプロキシサーバ４２のIPアドレスを送信元、B1端末１２のパブリックIPアドレス１７を送信先としてラベル付けされている。
【００５６】
プロキシサーバ４２によって送られる新たな設定メッセージ５２は以下のように表される：

【００５７】
第３段階、図４および図５
ルータ３４内のシンプルNAT機能はIPパケットの送信先アドレスがB1端末１２の真のIPアドレス１６となるようにIPパケットを変更する。パケットに含まれるH.323メッセージ５３は変更されないが、プロキシサーバ４２がメッセージ５２を送る前に真のIPアドレス１６を挿入しているので、ルータ３４によって送られるメッセージ５３はいまや正しいIPアドレス１６を持っている。このように送られるメッセージ５３はA1端末１０のユーザから生じた呼であることを識別する情報を含んでいる。
【００５８】
ルータ３４によって変更された設定メッセージは以下のように表される：

【００５９】
第４段階、図６
A1端末１０およびB1端末１２は、例えば公知の国際的に合意されたスタンダードによって設定されたプロセスによって、それらがオーディオおよび／またはビデオ信号を送信することを決定する。プロセスは双方向について同一であり、またオーディオとビデオについても同一である。
【００６０】
B1端末１２は新たなTCPポートPB1 １３を準備し、このポートを通してH.245通信からの接続を受信する。その後この端末はH.323「接続」メッセージ５４をプロキシサーバ４２に送り返す。新たなポートのアドレス10.1.1.1/PB1はメッセージ５４内に含まれる。
【００６１】
これは以下のように表される：

【００６２】
ルータ３４はこのメッセージを以下のように変換する：

【００６３】
第５段階、図７
プロキシサーバ４２はIPアドレス192.1.1.1/PA1のA1端末１０にH.323「接続」メッセージ５６を送る。このメッセージはIPアドレス45.6.7.8/2777をA1端末がH.245接続を行うべきポートとして指名する。
【００６４】
これは以下のように表される。

【００６５】
ルータ３４はメッセージ５７を変換し、これを以下のようなものとしてA1端末１０に送る：

【００６６】
第６段階、図８
続いて２つの事態が独立にまたは順を追って起こる。第１にA1端子１０がプロキシサーバ４２とのH.245通信を確立する。H.245通信を担うIPパケット５８，５９はルータ３２において上述の初期設定メッセージとして変換を受ける。第２にプロキシサーバ４２はルータ３４を介してB1端末１２に対して同様のH.245接続６０，６１を行う。その際、上記と同様の仕方でアドレス変換を行う。この段階で、H.245メッセージ５８，５９；６０，６１中にはIPアドレスはない。
【００６７】
第７段階、図９ A 乃至９ E
A1端子１０およびB1端子１２は通常のH.245プロトコルにしたがってオーディオおよび／またはビデオ信号を送るための論理チャネルを開く。各チャネルはオーディオまたはビデオのいずれかを搬送するものであり、両方を搬送することはない。このプロセスはすべてのチャネルについて同一である。図９Aの概括図に示すように、端末１０，１２およびプロキシサーバ４２の両方においていくつかのポートが開かれる。
【００６８】
さまざまなポートが開かれる順番はさまざまであるが、ここにひとつの特定の例を示す。特に、図９Eに示す諸ステップは図９Dの諸ステップの後に起こるものとして示されているが、図９Eの諸ステップは図９Cの諸ステップの前、あるいは図９Cと９Dの諸ステップの間に起こってもよい。
【００６９】
第１に図９Bに示すように、A1端子１０は動的ポート対（dynamic port pair）PA3/UDPおよびPA4/UDP ３１をオーディオを送信するためのオーディオチャネルとして設定する。数値としては、RTP通信の諸規則（IETF RFC 1889のスタンダード）にしたがって、PA4 = PA3 + 1であり、またPA3は偶数である。ポートPA3はRTP通信に用いられ、ポートPA4はRTCP通信に用いられる。
【００７０】
A1端子１０は必要な「開論理チャネル(open logical channel)」メッセージ６２をプロキシサーバ４２に送る。ルータ３２のNAT機能は変換されたメッセージ６３およびIPパケットを以下のようにして送出する：

【００７１】
その後、図９Cに示すように、プロキシサーバ４２はB1端末１２への同様の新たなメッセージ６４を作成する。プロキシサーバ４２はこのメッセージ内に信号の素性を示す情報と共に、あらかじめ割り当てられたポートの識別(identity)を入れる。メッセージ６４は45.6.7.8/2777をプロキシサーバにおけるRTCPアドレスとして構成される。エンコード方式はA1端末によって選択されたエンコード方式と同一としてもよく、または異なるものとしてもよい。その後プロキシサーバ４２はメッセージ６４をIPパケット内でB1端末のパブリックIPアドレス１７に送信する。
【００７２】
このメッセージはルータ３４のシンプルNAT機能を通過する。これによりパケット内の送信先IPアドレスはB1端子１２の真のアドレス１６に変更される。端末はメッセージ６５を受信し、一対の動的ポート３５を開いて信号を受信する。
【００７３】
これは以下のように表される：

【００７４】
その後、図９Dに示すように、B1端末１２はB1端末１２の真のIPアドレス１６およびB1端末が開いた動的ポート３５のポート番号を含む「開論理チャネル承認」応答６６によって応答する。
【００７５】
この「開論理チャネル承認」メッセージ６６はB1端末１２のRTPおよびRTCPアドレス（ここでは10.1.1/PB2および10.1.1.1/PB3）を与える。この例では、PB2は偶数であり、かつPB3 = PB2 + 1である。このメッセージ６６はB1端末１２の真のIPアドレス１６に等しい送信元アドレスとプロキシサーバ４２のIPアドレス４４に等しい送信先アドレスとを有するIPパケット内に入れられる。メッセージ６６はルータ３４を通過し、該ルータ３４はシンプルNAT機能を用い、B1端末１２の真のIPアドレス１６をパブリックIPアドレス１７に変換した変換メッセージ６７をプロキシサーバ４２に送る。パケットはプロキシサーバ４２に到達する。プロキシサーバ４２はメッセージから得た動的ポート番号およびB1端末１２のパブリックIPアドレス（206.1.1.1）を用いて、そのあらかじめ割り当てられたポート３３を開き、B1端末１２にオーディオ信号を送る。ルータ３４はH.323メッセージ内のアドレスは変更しない。
【００７６】
これは以下のように表される：

【００７７】
最後に図９Eに示すように、プロキシサーバ４２は「開論理チャネル承認」応答６８をA1端末１０のパブリックIPアドレス１８に送信し、該端末にオーディオ信号を受信するであろうポートを知らせる。この例ではメッセージはプロキシサーバ４２のあらかじめ割り当てられたポート2776/UDPおよび2777/UDPをそれぞれRTPおよびRTCP用のポートとして挙示する。ルータ３２は送られたメッセージ６９のIPパケット内の端末のIPアドレスを変更するが、応答自体は変更しない。端末はこのメッセージ６９を受信し、オーディオ信号の送信を開始する。
【００７８】
ルータ３２によって変更される設定メッセージは以下のように変換される：

【００７９】
その後、マルチメディア通信（「メディアデータ」）が２つの端末１０，１２の間を流れることができる。A1端末１０が新たなチャネル用のメディアデータを生成すると、A1端末はそれを新たな第３のポート10.1.1.1/PA3から45.6.7.8/2776のプロキシサーバ４２に送る。プロキシサーバ４２はメディアデータを受信し、見かけの送信元アドレスからパケットが論理チャネルに宛てられたものであることを判別し、それを45.6.7.8/2776から206.1.1.1/PB2におけるB1端末１２という経路でB1端末１２に送出する。プロキシサーバ４２は処理を加えてからメディアデータを送ってもよいし、あるいはメディアデータを変更せずに送出してもよい。
【００８０】
この例ではプロキシサーバ４２はA1端末の見かけのIPアドレス、すなわち「パブリック」IPアドレス１８（ここでは192.1.1.1）を記録しなければならない。なぜならメディアデータのパケットを受け取るとき、プロキシサーバ４２は真の元アドレス１４（ここでは10.1.1.1）に直接アクセスすることはないからである。
【００８１】
以上に説明した本発明により、異なる安全なプライベートIPデータネットワークのH.323エンドポイントどうしの通信が、個別のプライベートネットワークのデータプライバシーおよびデータセキュリティを損なうことなく可能となる。本発明の方法および装置は既存のファイアウォール、ルータおよびプロキシと協働することができ、したがってそれらの装置を完全にH.323に準拠したものにアップグレードしたり、付加的なH.323装置を配備したりする費用がかからないという利点を有する。ここに示した本発明のひとつの態様は、プライベートネットワークの端部においてシンプル（１対１）NAT（ネットワークアドレス変換）マッピングが適用された設備にも、NATをバイパスした設備にも適用される。本発明の別の態様は、プライベートネットワークの端部にNAPT（ネットワークアドレスおよびポート変換）が適用された設備に適用される。これらの２つの態様は共存可能であって、そのような装置により、一方の方法を採用したプライベートネットワークと他方の方法を採用したプライベートネットワーク間での通信を行うことが可能となる。同様に単一のプライベートネットワーク内で、一部の端末（例えば専用ルームシステム）が一方の方法を用い、他の端末（例えばデスクトップのクライアントPC）が第２の方法を用いるようにしてもよい。
【００８２】
ここでは発明をITU H.323スタンダードに関連して説明したが、これはこのスタンダードがIPネットワークを含むパケットネットワーク上でのマルチメディア通信用に広く行われているスタンダードであるからである。しかし、本発明は、例えばSIP、MGCP、H.248などのように双方向的に情報を送るためにポートを動的に割り当てることを必要とする他のスタンダードまたは方法にも同様に適用することができる。
【００８３】
総括すると、本発明はプライベートネットワーク内でH.323端末を許容する方法およびシステムであって、既存のセキュリティ方式および方法を損なわず、既存のファイアウォールやルータやプロキシをアップグレードする必要がなく、プライベートネットワーク内に付加的な専用H.323装置を配備することもないような方法およびシステムを提供する。また本発明は、ひとつのプライベートIPネットワーク内のスタンダードなH.323装置が、同一のあるいは別のプライベートおよび／またはパブリックIPネットワーク内の他のH.323端末と、H.323プロキシサーバを介して、共有されたあるいは公共のIPネットワークを用いて通信することを可能とする。
【００８４】
なお、H.323端末の静的(static)IPアドレスは実際上それがマッピングされたパブリックIPアドレスと同一であってもよい。この場合マッピングは素通し（transparent）となる。
【００８５】
以上に説明したアプローチの利点は以下のようなものである：
・ NAT機能およびファイアウォール機能をアップグレードする必要がない。
・接続は共有ネットワークを介してサービスプロバイダによって、または公共のインターネットを用いて企業自身によって提供されうる。
・信号待ち時間が最小に保たれる。
【００８６】
したがって各組織は共有IPネットワーク内の共有資源を定期利用することができる。コストは最小限になり／負担分割され、かつセキュリティを損なうこともない。
【図面の簡単な説明】
【図１】マルチメディア呼を行うための本発明の好適な実施例による通信システムの図式的な説明図である。
【図２】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図３】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図４】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図５】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図６】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図７】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図８】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図９Ａ】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図９Ｂ】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図９Ｃ】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図９Ｄ】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。
【図９Ｅ】本発明の好適な実施例によるマルチメディア呼を設定する方法を示す図式的説明図である。

Claims

マルチメディア呼を行うための通信システム（１）であって、第１のマルチメディア端末（１０）と、第２のマルチメディア端末（１２）と、共有された通信ネットワーク上でマルチメディア呼を行うための通信手段であって、それぞれ第１のマルチメディア端末（１０）および第２のマルチメディア端末（１２）と関連する第１の通信手段と第２の通信手段とを含む通信手段を備え、該第１の通信手段はマルチメディア呼が通過しなければならない第１のファイアウォール（２６）を有しており、
i) 第１のファイアウォール（２６）は第１の端末（１０）と共有された通信ネットワーク（２０）との間のある種類の通信を制限するようになされており、
ii) 各端末（１０，１２）はマルチメディア呼を送信および／または受信するためのいくつかの論理通信ポート（２７，２９）を有し、該論理通信ポート（２７，２９）は少なくともひとつの動的に割り当てられるポート（３１，３５）を含んでおり、
iii) マルチメディア呼を設定する過程において、該端末（１０，１２）の少なくとも一方は、他方の端末に要求（６２）を送り、該要求は要求を受けた側の端末内の１つ以上の動的ポート（３５）を開くための要求である、
ような通信システム（１）において、
iv) 該システム（１）はマルチメディア呼の過程の間、各端末（１０，１２）に対して他方の端末のプロキシとして動作するプロキシサーバ（４０）を第１の端末（１０）と第２の端末（１２）との間に備え、
ｖ）該プロキシサーバ（４０）は端末（１０，１２）と通信するための論理通信ポート（３３）を有し、該論理通信ポート（３３）は第１の端末（１０）との通信用の１つ以上のあらかじめ割り当てられたポート（４１，５５）を含んでおり、
vi) 第１のファイアウォール（２６）は第１の端末（１０）とプロキシサーバ（４０）のあらかじめ割り当てられたポート（４１，５５）との間の通信を制限しないようになされており、
vii) プロキシサーバ(４０)は前記動的ポートを開く要求（６２）を、そのあらかじめ割り当てられたポート（４１，５５）の１つを介して受信しかつ送出（６４）するようになされている、
ことを特徴とする通信システム（１）。
請求項１の通信システム（１）において、
viii) 前記第２の通信手段はマルチメディア呼が通過しなければならない第２のファイアウォール（２８）を有し、
ix) 該第２のファイアウォール（２８）は第２の端末（１２）と共有された通信ネットワーク（２０）との間のある種類の通信を制限するようになされており、
ｘ）該プロキシサーバ（４０）は端末（１０，１２）と通信するための論理通信ポート（３３）を有し、該論理通信ポート（３３）は第２の端末（１２）との通信用の１つ以上のあらかじめ割り当てられたポート（４１，５５）を含んでおり、
ｘi) 第２のファイアウォール（２８）は第２の端末（１２）とプロキシサーバ（４０）のあらかじめ割り当てられたポート（４１，５５）との間の通信を制限しないようになされている、
ことを特徴とする通信システム（１）。
プロキシサーバ(４０)のあらかじめ割り当てられたポート（４１，５５）の数は端末（１０，１２）に動的に割り当てられるポート（３１，３５）の総数以下であることを特徴とする請求項１または２記載の通信システム（１）。
プロキシサーバ（４０）は少なくともひとつのあらかじめ割り当てられたポート番号を有することを特徴とする請求項３記載の通信システム（１）。
プロキシサーバ(４０)は２つのあらかじめ割り当てられたポート番号を有することを特徴とする請求項４記載の通信システム（１）。
端末（１０，１２）はマルチメディアのメディア信号を関連するマルチメディア制御信号（５９，６０）と共に送信および／または受信するように構成されており、該制御信号はあらかじめ割り当てられたポートの一つ（４１）に送られ、かつメディア信号は他のあらかじめ割り当てられたポート（５５）に送られることを特徴とする請求項１乃至５のいずれかに記載の通信システム（１）。
前記論理通信ポートの少なくとも１つはあらかじめ割り当てられたポートであり、前記要求（６２）は通信リンク上で通信を開始するための初期要求として、そのあらかじめ割り当てられたポート（４１）に送られることを特徴とする請求項１乃至６のいずれかに記載の通信システム（１）。
前記通信手段はマルチメディア呼を少なくとも部分的にインターネットを通じて行い、前記プロキシサーバ（４０）は前記端末（１０，１２）または該端末の各々がプロキシサーバ（４０）と通信する１つまたは複数のパブリックインターネットプロトコルアドレスを有し、前記ファイアウォール（２６，２８）は端末（１０，１２）とプロキシサーバ（４０）の該インターネットプロトコルアドレスおよびあらかじめ割り当てられた論理ポート番号（４１，５５）との間の通信を制限しないようになされていることを特徴とする請求項１乃至７のいずれかに記載の通信システム（１）。
第１の端末（１０）と第２の端末（１２）の複数の組を含むことを特徴とする請求項１乃至８のいずれかに記載の通信システム（１）。
該システム（１）は国際電気通信連合のH.323スタンダードに準拠するマルチメディア呼を行うためのものであることを特徴とする請求項１乃至９のいずれかに記載の通信システム（１）。
該システム（１）はインターネット・エンジニアリング・タスク・フォースのSIPスタンダードに準拠するマルチメディア呼を行うためのものであることを特徴とする請求項１乃至１０のいずれかに記載の通信システム（１）。
該システム（１）はインターネット・エンジニアリング・タスク・フォースのMGCPスタンダードに準拠するマルチメディア呼を行うためのものであることを特徴とする請求項１乃至１１のいずれかに記載の通信システム（１）。
該システム（１）は国際電気通信連合のH.248スタンダードに準拠するマルチメディア呼を行うためのものであることを特徴とする請求項１乃至１２のいずれかに記載の通信システム（１）。
前記第２の端末（１２）は諸端末と諸エンドポイントのリモートコミュニティを提供する別のプロキシサーバ（４０）であることを特徴とする請求項１乃至１３のいずれかに記載の通信システム（１）。
企業間の通信サービスを提供するためにサードパーティがプロキシサーバ（４０）を設置することを特徴とする請求項１乃至１４のいずれかに記載の通信システム（１）。
第１の端末の企業が、他の企業またはサービスプロバイダまたは該企業の遠方の支社との外部通信サービスを提供するためにプロキシサーバ（４０）を設置することを特徴とする請求項１乃至１５のいずれかに記載の通信システム（１）。
ゲートキーパ機能がプロキシサーバ（４０）と同一箇所にあることを特徴とする請求項１乃至１６のいずれかに記載の通信システム（１）。
ゲートキーパ機能がプロキシサーバ（４０）とは別のシステムとしてあることを特徴とする請求項１乃至１６のいずれかに記載の通信システム（１）。
第１のマルチメディア端末（１０）と、第２のマルチメディア端末（１２）と、該第１のマルチメディア端末（１０）と第２のマルチメディア端末（１２）にそれぞれ関連する第１の通信手段と第２の通信手段とを含む通信手段とを有する通信システム（１）であって、各端末（１０，１２）はマルチメディア呼を送信および／または受信するためのいくつかの論理通信ポート（１１，１３）を有し、該論理通信ポート（１１，１３）は少なくともひとつの動的に割り当てられるポート（３１，３５）を含んでおり、第１の通信手段は第１の端末（１０）と共有された通信ネットワーク（２０）との間のある種類の通信を制限するようになされた第１のファイアウォール（２６）を備えている通信システム（１）を用いて、
a) 第１の通信手段と第２の通信手段を用いて、共有されたネットワーク（２０）上で第１のマルチメディア端末（１０）と第２のマルチメディア端末（１２）との間でファイアウォール（２６）を介してマルチメディア呼を設定し、
ｂ）マルチメディア呼の設定の過程において、端末（１０，１２）の少なくとも一方が他方の端末に要求（６２）を送って該要求を受け取る側の端末内の１つ以上の動的ポート（３５）を開かせる、
ステップを含むマルチメディア呼を行う方法において、
ｃ）第１の端末（１０）と第２の端末（１２）との間に、マルチメディア呼の過程の間、各端末（１０，１２）に対して他方の端末のプロキシとして動作するプロキシサーバ（４０）であって、第１の端末（１０）と通信するための１つ以上のあらかじめ割り当てられたポート（４１，５５）を含む端末（１０，１２）との通信用の論理通信ポート（３３）を有するプロキシサーバを設け、
ｄ）第１のファイアウォール（２６）を、第１の端末（１０）とプロキシサーバ（４０）のあらかじめ割り当てられたポート（４１，５５）との間の通信を制限しないように構成し、
e) プロキシサーバ（４０）を、動的ポート（３５）を開くための要求（６２）を、そのあらかじめ割り当てられたポート（４１，５５）の１つを介して受信しかつ送出（６４）するように構成する、
ことを特徴とするマルチメディア呼を行う方法。