JP5864453B2 - 通信サービス提供システムおよびその方法 - Google Patents

Description

本発明は、第１の通信網（以下、単に「網」）に管理される通信端末（以下、単に「端末」）が、当該第１の網とは異なる第２の網を介して第１および第２の網のいずれとも物理的あるいは論理的に異なる第３の網と接続する際に、当該端末に対して予め網側に設定したポリシに従う通信サービスを提供可能とする技術に関する。

特に、網に接続される端末の通信を網内に具備されたフィルタ機能でフィルタリングする場合において、端末の接続するアクセスポイント（例えばＷｉＦｉ ＡＰ）においてＮＡＴ（ＮＡＰＴを含む）によりアドレス集約が行われる場合に、送信元アドレスおよび送信元ポートをキーとしてフィルタリングを行うことができるようにする技術に関する。

なお、以下の説明では、移動網を運営する移動事業者が提供する移動通信端末（以下、単に「移動端末」）が、ＮＡＴ装置が接続されている固定網を用いてインターネットにアクセスする場合について記述するが、これに限るものではない。また、通信サービスとしてパケットフィルタリングを例にとって記述しているが、ＱｏＳ制御やトラフィックのハンドリング等の、アドレス集約が行われる場合に送信元アドレスおよび送信元ポートをキーとして処理を行うものであれば、これに限るものではない。

＜従来技術１＞
移動端末を用いてその移動網経由でインターネットにアクセスする場合、図１に示すように、当該移動網に設けられたフィルタ機能により、当該移動網内で管理している加入者情報に基づきパケットフィルタリングを行うことができる。この際、パケットの送信元を識別するために、端末ＩＰアドレスが用いられる（非特許文献１参照）。

＜従来技術２＞
図２は端末のアクセスポイント（例えば、固定網における宅内等のＧＷ）におけるＮＡＴ（Network Address Translation）技術を示したもので、ＮＡＴ装置は、配下の端末に対してプライベートＩＰアドレスを払い出す。また、ＮＡＴ装置配下の端末が外部網（例えばインターネット）と通信を行う場合、ＮＡＴ装置はＩＰアドレスの変換・集約を行い、ＩＰパケットのＩＰヘッダを書き換える（非特許文献２参照）。

本技術は、例えば非特許文献３に示すように、固定網のアクセスポイント（ブロードバンドルータ）に広く使われている。

＜従来技術３＞
移動端末を用いて固定網経由でインターネットにアクセスする場合、図３に示すように、当該固定網内に設けられたフィルタ機能により、当該固定網内で管理している加入者情報に基づきパケットフィルタリングを行うことができる。この際、パケットの送信元を識別するために、基地局に割り当てられたＩＰアドレス（ＩＳＰのＩＤで認証された上で払いだされたＩＰアドレス）が用いられる（非特許文献４参照）。

＜従来技術４＞
図４は端末自体の機能によるフィルタリング技術を示したもので、本技術においては端末内の専用ブラウザにフィルタ機能を具備し、端末内にユーザが設定したポリシに基づきフィルタリングが行う。この技術においては、当該パケットが経由する網の種別によらず、フィルタリングが可能である（非特許文献５参照）。

＜従来技術１および２に対する課題＞
従来技術１においては、移動網内のフィルタ機能が受信するＩＰパケットの送信元ＩＰアドレスが端末に割り当てられているアドレスと一致するため、パケット送信元アドレスをキーとした端末単位でのフィルタリングが実現されている。

しかしながら、従来技術２に示すように家庭や公衆ホットスポット等で利用されている固定網においては、アクセスポイントにおいてＮＡＴが行われ、アドレス集約が行われることが一般的であるため、従来技術１のような送信元ＩＰアドレスをキーとした端末単位でのフィルタリングが行えないという問題があった。

この問題を解決するため、従来技術３、従来技術４のような技術が提案されたが、それぞれ、以下のような問題があった。

＜従来技術３に対する課題＞
従来技術３においては、回線単位で集約されたＩＰアドレスをキーとしてフィルタリングを行うが、回線に接続された端末それぞれを区別してフィルタリングポリシを適用することが出来ない。例えば、小学生、高校生、大人、が同一の回線に接続している場合、これらを区別してペアレンタルコントロールフィルタリングを行うことができない。

＜従来技術４に対する課題＞
従来技術４においては、端末においてフィルタリングを行う方式があるが、端末の初期化や改造にロバストでないという問題や、フィルタ設定に当たって管理者（例えば親権者など）が端末操作を行う必要があるという問題があった。

本発明は、上記に鑑みてなされたものであり、アクセスポイントにおいて行われるＮＡＴについて、特定のポートを端末と紐づけ、さらに網内のフィルタ機能がパケットの送信元アドレスと前記特定のポートを組み合わせて端末を識別することで、ＮＡＴ装置配下の端末に対しても、端末単位のフィルタリングを網内のフィルタ機能により行う方式を提案するものである。

本発明では、前記目的を達成するため、
第１の通信網に管理される端末が、当該第１の通信網とは異なる第２の通信網を介して第１および第２の通信網のいずれとも物理的あるいは論理的に異なる第３の通信網と接続する際に、当該端末に対して予め設定したポリシに従う通信サービスを提供する通信サービス提供システムであって、
前記第１の通信網は、
前記第２の通信網から前記端末に対する認証要求を受信して当該端末を認証し、当該端末のＩＤを含む認証応答を第２の通信網へ送信する認証手段を有し、
前記第２の通信網は、
前記第１の通信網に対して前記端末に対する認証要求を送信し、当該端末のＩＤを含む認証応答を受信する認証要求手段と、
端末ごとにプライベートアドレスを割り当てるとともに第３の通信網との通信に使用するポートを当該端末ごとに確保し、前記端末から受信したパケットのプライベートアドレスを第３の通信網との通信のためのグローバルアドレスおよび当該端末に対応するポートに書き換えるアドレス変換手段と、
予め設定された端末のＩＤごとのポリシを、前記第３の通信網との通信のためのグローバルアドレスおよび当該端末に対応するポートとともに保持するポリシ記憶手段と、
アドレス変換後の前記端末からのパケットに対し、当該パケット中の第３の通信網との通信のためのグローバルアドレスおよびポートに対応して前記ポリシ記憶手段に記憶されたポリシに従い、当該パケットに対する通信サービスを実行するサービス提供手段とを有する
ことを特徴とする。

また、本発明では、前記目的を達成するため、
第１の通信網に管理される端末が、当該第１の通信網とは異なる第２の通信網を介して第１および第２の通信網のいずれとも物理的あるいは論理的に異なる第３の通信網と接続する際に、当該端末に対して予め設定したポリシに従う通信サービスを提供する通信サービス提供方法であって、
前記第２の通信網が、前記端末からの接続要求を受け付ける第１のステップと、
前記第２の通信網が、前記第１の通信網に対して前記端末に対する認証要求を送信する第２のステップと、
前記第２の通信網が、前記第１の通信網から当該端末のＩＤを含む認証応答を受信する第３のステップと、
前記第２の通信網が、端末ごとにプライベートアドレスを割り当てるとともに第３の通信網との通信に使用するポートを当該端末ごとに確保する第４のステップと、
前記第２の通信網が、前記端末へ接続完了を通知する第５のステップと、
前記第２の通信網が、予め設定された端末のＩＤごとのポリシを保持するポリシ記憶手段に、第３の通信網との通信のためのグローバルアドレスおよび当該端末に対応するポートを追加する第６のステップと、
前記第２の通信網が、前記端末から受信したパケットのプライベートアドレスを前記第３の通信網との通信のためのグローバルアドレスおよび当該端末に対応するポートに書き換える第７のステップと、
前記第２の通信網が、アドレス変換後の前記端末からのパケットに対し、当該パケット中の第３の通信網との通信のためのグローバルアドレスおよびポートに対応して前記ポリシ記憶手段に記憶されたポリシに従い、当該パケットに対する通信サービスを実行する第８のステップとを含む
ことを特徴とする。

本発明によれば、ＮＡＴ装置配下にある端末を、到着パケットの送信元ＩＰアドレスおよびポート情報の組み合わせで識別することが可能になり、端末にインパクトを与えることなく端末単位のパケットフィルタリングを行えるようになる。

これにより、同一のユーザ・端末（端末に具備されたＳＩＭレベルの識別）の送受信するトラフィックについては、固定・移動どちらの網を通る場合にも同一のポリシによるフィルタリングが可能となった。

従来技術３においては、固定網において回線単位でフィルタリングを行う方式であったが、基地局配下には複数の端末が接続されることが想定され、ＮＡＴ装置によりアドレス集約が行われる場合に端末ごとに異なるポリシでフィルタリングが行えないという問題があった。本発明では、アドレスとポートの組み合わせで端末を識別してフィルタリングを行うため、端末単位のポリシでフィルタリングを行うことが出来る。

従来技術４においては、端末に設定されているポリシによりフィルタリングを行う方式であったが、この方式においては、ユーザによる端末の改造や初期化によりフィルタ機能が回避されてしまうという問題があった。本発明では、固定網内のフィルタ機能でフィルタリングを行う方式であり、この問題が存在しない。

移動端末に対する移動網によるフィルタリング技術の説明図 端末のアクセスポイントにおけるＮＡＴ技術の説明図 移動端末に対する固定網によるフィルタリング技術の説明図 移動端末に対する端末自体の機能によるフィルタリング技術の説明図 本発明の通信サービス提供システムの実施の形態の一例を示す機能構成の説明図 本発明の通信サービス提供システムの実施の形態の一例を示す動作シーケンスの説明図

以下、図面に従って本発明の実施の形態について説明する。

＜機能構成＞
図５は本発明の通信サービス提供システムの機能構成を示すもので、図中、１０は移動網、２０は固定網、３０は外部ネットワーク（例えばインターネットあるいはインターネットサービスプロバイダ（ＩＳＰ）網）、４０は移動網１０に管理される端末である。

ここで、移動網１０は、端末（ユーザ）４０の認証・認可・アカウンティングを行い、固定網２０から端末４０の特定および認証のための情報（ＩＤとパスワード）を受信して当該端末４０を認証し、認証ＯＫであれば当該端末４０のＩＤ、ここでは移動網１０における電話番号を含む応答を固定網２０へ送信するＡＡＡサーバ（例えばＨＬＲ，ＨＳＳなど）（認証手段）１１を具備する。

また、固定網２０は、
端末４０の接続する基地局（ＷｉＦｉ ＡＰ）２１と、
コア網内のルータあるいはゲートウェイとの間で接続（例えばＰＰＰｏＥトンネルによる接続など）を行うホームゲートウェイ（ＨＧＷ）２２と、
固定網２０内でトラフィックを転送するルータ２３と、
外部ネットワーク３０に接続するゲートウェイ２４と、
移動網１０のＡＡＡサーバ１１との間で送受信する認証のためのメッセージを中継するＡＡＡプロキシ２５と、
（サービスオーダ投入あるいはポータルサイトを利用したユーザによる投入などが考えられるが、これらに限られない手段により）予め端末４０の電話番号ごとに設定されたフィルタリングポリシを、外部ネットワーク３０との通信のためのアドレスであるグローバルＩＰアドレスおよび前記端末４０ごとに割り当てられた送信元ポート（ＴＣＰ／ＵＤＰの外部ポート帯または外部ポート番号のリスト）とともに保持・管理するポリシデータベース（ＤＢ）２６と、
受信したＩＰパケット中の送信元ＩＰアドレスおよび送信元ポートに対応するポリシＤＢ２６中のフィルタリングポリシに従い、当該ＩＰパケットを通過させまたは破棄するＨＴＴＰプロキシ（フィルタリング手段）２７と、
受信したＩＰパケット中の送信元ＩＰアドレスおよび送信元ポートに対応するポリシＤＢ２６中のフィルタリングポリシの有無に従い、ポリシがあればＨＴＴＰプロキシ２７へ転送し、ポリシがなければそのまま外部ネットワーク３０へ転送するＷｅｂリダイレクタ（リダイレクト手段）２８と、
固定網２０の基地局２１に払い出したグローバルＩＰアドレス、端末４０ごとに割り当てられた送信元ポートおよび端末４０ごとの電話番号を管理するセッション管理サーバ２９と、
を具備する。なお、Ｗｅｂリダイレクタ２８は必ずしも必要ではなく、任意で良い。

また、基地局２１（またはＨＧＷ２２）は、
端末４０の特定および認証のための情報を移動網１０へ送信し、当該端末４０のＩＤ（電話番号）を含む応答を受信する認証機能（認証要求手段）２１１と、
端末４０の接続を契機に、あるいはパケットの到着の度に都度ＮＡＴテーブルを作成し、端末４０ごとにプライベートアドレスを割り当てるとともに送信元ポートを端末４０ごとに確保し、また、端末４０から受信したパケットのプライベートアドレスをグローバルＩＰアドレスおよび当該端末４０に対応する送信元ポートに書き換える（詳細は後述する）ＮＡＴ機能（アドレス変換手段）２１２とを具備する。

また、ユーザが操作する端末４０は、無線などにより移動網１０の基地局（図示せず）に接続する機能と、無線または有線により固定網２０の基地局２１に接続する機能と、内部に保存した認証情報を用いて移動網１０のＡＡＡサーバ１１から認証を受けるための機能とを具備する。

＜シーケンス＞
図６は本発明の通信サービス提供システムにおける動作シーケンスを示すもので、以下、本システムにおける動作を説明する。

［端末の接続時］
（１）固定網２０の基地局２１は、端末４０からのＩＤとパスワードを含む接続要求を受信する。

（２）基地局２１は、ＮＡＴ機能２１２により当該端末４０に対するＮＡＴテーブルを作成し、仮確保を行う。これにより、例えばグローバルＩＰアドレスの外部ポート11000番から11999番までが当該端末４０用に仮確保される。

（３）基地局２１は、認証機能２１１により上記（１）で取得したＩＤとパスワードをルータ２３を通じてＡＡＡプロキシ２５に送信する。ＡＡＡプロキシ２５は、このＩＤとパスワードを移動網１０のＡＡＡサーバ１１に送信する。

（４）ＡＡＡサーバ１１は、ＩＤとパスワードをキーとして端末４０を認証し、ＡＡＡプロキシ２５に対して認証結果と端末ＩＤ（ここでは端末電話番号など）を通知する。ＡＡＡプロキシ２５は、上記データを基地局２１の認証機能２１１に通知する。

（５）認証ＯＫを受信した基地局２１は、ＮＡＴ機能２１２により仮確保したＮＡＴテーブルを確定する。

（６）また、認証ＯＫを受信した基地局２１は、認証機能２１１により端末４０に対して接続完了通知を送信する。

（７）基地局２１は、セッション管理サーバ２９に対して、（端末電話番号、自らに割り当てられているグローバルＩＰアドレス、当該端末４０用に確保したポート帯）の組を通知する。

（８）セッション管理サーバ２９は、上記データをポリシＤＢ２６、ＨＴＴＰプロキシ２７およびＷｅｂリダイレクタ２８に通知する。ポリシＤＢ２６では、受信したデータ中の端末電話番号に対応して、グローバルＩＰアドレスおよびポート帯を追加する。

［端末の通信時］
（９）端末４０は、外部ネットワーク３０を宛先として、固定網２０の基地局２１（またはＨＧＷ２２）にパケットを送出する。基地局２１はルータ２３にパケットを転送する。ルータ２３はＨＴＴＰプロキシ２７にパケットを転送する。なお、ＨＴＴＰプロキシ２７にパケットを転送する手前でＷｅｂリダイレクタ２８を経由し、ＨＴＴＰプロキシ２７に転送するパケットを選別しても良く、このとき選別されなかったパケットは、次に述べるフィルタポリシの適用を受けることなく外部ネットワーク３０に転送されても良い。ＨＴＴＰプロキシ２７は、パケットの送信元ＩＰアドレスおよびポート帯とをキーとしてポリシＤＢ２６を参照し、パケットのＨＴＴＰヘッダ中のＵＲＩがフィルタポリシ（例えば、端末電話番号や、移動網１０から通知を受けたポリシが考えられるが、これに限らない）に合致しているかを確認し、ＯＫであれば外部ネットワーク３０にパケットを通過させ、ＯＫでなければパケットを廃棄する。

＜その他＞
なお、前記実施の形態では、端末の認証にＩＤ，パスワードにより行われる平文認証を用いるとしているが、これに限らない。例えば、チャレンジレスポンス認証や、ＥＡＰ認証（例えば端末内に具備されたハードウェアを用いるＥＡＰ−ＳＩＭなど）が考えられる。

また、前記実施の形態では、端末に対するＩＰアドレス払い出し（ＮＡＴテーブル確保）は認証完了後と説明しているが、これに限らない。例えば、端末にＩＰアドレスを払い出してから認証を行う方法なども考えられる。

また、前記実施の形態では、端末に対するＩＰアドレス払い出し（ＮＡＴテーブル確保）は、上記の端末接続時の他、基地局とコア網あるいは外部ネットワークとの接続（例えばＰＰＰｏＥトンネルなど）が切断されるなどによりグローバルＩＰアドレスが変わった場合に再度実行しても良い。

また、前記実施の形態では、（２）において送信元ポートとしてポート帯（連続したポート番号）を確保し、この情報を（７）でセッション管理サーバ２９に対して送出するとしているが、連続してないポート番号のリストであっても良い。

また、前記実施の形態では、端末接続時にＮＡＴテーブルを一括して作成し、セッション管理サーバ２９にアドレス・ポート帯の情報を送出するとしているが、例えば端末の通信時（ＴＣＰコネクションの確立により新しいポート利用がなされた際）に個別にＮＡＴテーブルを作成し、セッション管理サーバ２９にアドレス・ポート帯の情報を送出しても良い。

さらにまた、前記実施の形態では、端末４０が外部ネットワーク３０にパケットを送出するシーケンスについて説明しているが、外部ネットワーク３０から端末４０に対してパケットを送出するシーケンスも同様である。

１０：移動網、１１：ＡＡＡサーバ、２０：固定網、２１：基地局（ＷｉＦｉ ＡＰ）、２２：ホームゲートウェイ（ＨＧＷ）、２３：ルータ、２４：ゲートウェイ、２５：ＡＡＡプロキシ、２６：ポリシデータベース（ＤＢ）、２７：ＨＴＴＰプロキシ、２８：Ｗｅｂリダイレクタ、２９：セッション管理サーバ、２１１：認証機能、２１２：ＮＡＴ機能、３０：外部ネットワーク、４０：端末。

ＮＴＴ ＤＯＣＯＭＯ テクニカル・ジャーナル、Vol.18、No.3、2010、pp.38-44 IETF RFC 1631 "ブロードバンド・ルータ徹底攻略ガイド 3. IPアドレス／ポート変換機能 −−IPマスカレード／NAT−− "、［ｏｎｌｉｎｅ］、アイティメディア株式会社、［２０１２年１１月２７日検索］、インターネット＜ＵＲＬ：http://www.atmarkit.co.jp/fpc/special/bbrouter#desc/ipmasq#nat.html＞ "ネットバリアベーシック"、［ｏｎｌｉｎｅ］、株式会社ＮＴＴぷらら、［２０１２年１１月２６日検索］、インターネット＜ＵＲＬ：http://www.plala.or.jp/option/nbb/＞ "Yahoo! あんしんネット"、［ｏｎｌｉｎｅ］、ヤフー株式会社、［２０１２年６月１３日検索］、インターネット＜ＵＲＬ：http://anshin.yahoo.co.jp/promo/app/＞

Claims (12)

1. 第１の通信網に管理される端末が、当該第１の通信網とは異なる第２の通信網を介して第１および第２の通信網のいずれとも物理的あるいは論理的に異なる第３の通信網と接続する際に、当該端末に対して予め設定したポリシに従う通信サービスを提供する通信サービス提供システムであって、
   前記第１の通信網は、
   前記第２の通信網から前記端末に対する認証要求を受信して当該端末を認証し、当該端末のＩＤを含む認証応答を第２の通信網へ送信する認証手段を有し、
   前記第２の通信網は、
   前記第１の通信網に対して前記端末に対する認証要求を送信し、当該端末のＩＤを含む認証応答を受信する認証要求手段と、
   端末ごとにプライベートアドレスを割り当てるとともに第３の通信網との通信に使用するポートを当該端末ごとに確保し、前記端末から受信したパケットのプライベートアドレスを第３の通信網との通信のためのグローバルアドレスおよび当該端末に対応するポートに書き換えるアドレス変換手段と、
   予め設定された端末のＩＤごとのポリシを、前記第３の通信網との通信のためのグローバルアドレスおよび当該端末に対応するポートとともに保持するポリシ記憶手段と、
   アドレス変換後の前記端末からのパケットに対し、当該パケット中の第３の通信網との通信のためのグローバルアドレスおよびポートに対応して前記ポリシ記憶手段に記憶されたポリシに従い、当該パケットに対する通信サービスを実行するサービス提供手段とを有する
   ことを特徴とする通信サービス提供システム。
2. 前記ポリシが前記端末からのパケットのうち特定のパケットのみを第３の通信網に通過させるフィルタリングポリシである場合において、
   前記サービス提供手段が、
   アドレス変換後の前記端末からのパケットに対し、当該パケット中の第３の通信網との通信のためのグローバルアドレスおよびポートに対応して前記ポリシ記憶手段に記憶されたフィルタリングポリシに従い、当該パケットを通過させまたは破棄するフィルタリング手段である
   ことを特徴とする請求項１に記載の通信サービス提供システム。
3. 前記に加え、
   アドレス変換後の前記端末からのパケットに対し、当該パケット中の第３の通信網との通信のためのグローバルアドレスおよびポートに対応して前記ポリシ記憶手段に記憶されたフィルタリングポリシの有無に従い、ポリシがあればフィルタリング手段へ転送し、ポリシがなければそのまま第３の通信網へ転送するリダイレクト手段を有する
   ことを特徴とする請求項２に記載の通信サービス提供システム。
4. 前記アドレス変換手段は、端末の接続を契機に、端末ごとにプライベートアドレスを割り当てるとともに第３の通信網との通信に使用するポートを当該端末ごとに確保し、前記端末から受信したパケットのプライベートアドレスを第３の通信網との通信のためのグローバルアドレスおよび当該端末に対応するポートに書き換える
   ことを特徴とする請求項１乃至３のいずれかに記載の通信サービス提供システム。
5. 前記アドレス変換手段は、端末の接続を契機に端末ごとにプライベートアドレスを割り当て、端末が通信相手とＴＣＰあるいはＵＤＰの通信を開始する際に第３の通信網との通信に使用するポートを当該端末ごとに確保し、前記端末から受信したパケットのプライベートアドレスを第３の通信網との通信のためのグローバルアドレスおよび当該端末に対応するポートに書き換える
   ことを特徴とする請求項１乃至３のいずれかに記載の通信サービス提供システム。
6. 前記アドレス変換手段は、第２の通信網の網内あるいは第３の通信網の装置との接続切断等を契機に第３の通信網との通信のためのグローバルアドレスが変更された際、ポリシ記憶手段を当該変更後のグローバルアドレスおよび当該端末に対応するポートで更新するとともに、前記端末から受信したパケットのプライベートアドレスを前記変更後のグローバルアドレスおよび当該端末に対応するポートに書き換える
   ことを特徴とする請求項１乃至３のいずれかに記載の通信サービス提供システム。
7. 第１の通信網に管理される端末が、当該第１の通信網とは異なる第２の通信網を介して第１および第２の通信網のいずれとも物理的あるいは論理的に異なる第３の通信網と接続する際に、当該端末に対して予め設定したポリシに従う通信サービスを提供する通信サービス提供方法であって、
   前記第２の通信網が、前記端末からの接続要求を受け付ける第１のステップと、
   前記第２の通信網が、前記第１の通信網に対して前記端末に対する認証要求を送信する第２のステップと、
   前記第２の通信網が、前記第１の通信網から当該端末のＩＤを含む認証応答を受信する第３のステップと、
   前記第２の通信網が、端末ごとにプライベートアドレスを割り当てるとともに第３の通信網との通信に使用するポートを当該端末ごとに確保する第４のステップと、
   前記第２の通信網が、前記端末へ接続完了を通知する第５のステップと、
   前記第２の通信網が、予め設定された端末のＩＤごとのポリシを保持するポリシ記憶手段に、第３の通信網との通信のためのグローバルアドレスおよび当該端末に対応するポートを追加する第６のステップと、
   前記第２の通信網が、前記端末から受信したパケットのプライベートアドレスを前記第３の通信網との通信のためのグローバルアドレスおよび当該端末に対応するポートに書き換える第７のステップと、
   前記第２の通信網が、アドレス変換後の前記端末からのパケットに対し、当該パケット中の第３の通信網との通信のためのグローバルアドレスおよびポートに対応して前記ポリシ記憶手段に記憶されたポリシに従い、当該パケットに対する通信サービスを実行する第８のステップとを含む
   ことを特徴とする通信サービス提供方法。
8. 前記ポリシが前記端末からのパケットのうち特定のパケットのみを第３の通信網に通過させるフィルタリングポリシである場合において、
   前記第８のステップが、
   アドレス変換後の前記端末からのパケットに対し、当該パケット中の第３の通信網との通信のためのグローバルアドレスおよびポートに対応して前記ポリシ記憶手段に記憶されたフィルタリングポリシに従い、当該パケットを通過させまたは破棄するステップである
   ことを特徴とする請求項７に記載の通信サービス提供方法。
9. 前記第８のステップの前に、
   アドレス変換後の前記端末からのパケットに対し、当該パケット中の第３の通信網との通信のためのグローバルアドレスおよびポートに対応して前記ポリシ記憶手段に記憶されたフィルタリングポリシの有無に従い、ポリシがあれば第８のステップへ進み、ポリシがなければそのまま第３の通信網へ転送するステップを含む
   ことを特徴とする請求項８に記載の通信サービス提供方法。
10. 前記第４のステップは、
    端末の接続を契機に、端末ごとにプライベートアドレスを割り当てるとともに第３の通信網との通信に使用するポートを当該端末ごとに確保するステップからなる
    ことを特徴とする請求項７乃至９のいずれかに記載の通信サービス提供方法。
11. 前記第４のステップは、
    端末の接続を契機に端末ごとにプライベートアドレスを割り当てるステップと、
    端末が通信相手とＴＣＰあるいはＵＤＰの通信を開始する際に第３の通信網との通信に使用するポートを当該端末ごとに確保するステップとからなる
    ことを特徴とする請求項７乃至９のいずれかに記載の通信サービス提供方法。
12. 前記第４のステップは、
    第２の通信網の網内あるいは第３の通信網の装置との接続切断等を契機に第３の通信網との通信のためのグローバルアドレスが変更された際、ポリシ記憶手段を当該変更後のグローバルアドレスおよび当該端末に対応するポートで更新するステップからなる
    ことを特徴とする請求項７乃至９のいずれかに記載の通信サービス提供方法。

Images