JP5948442B2 - ネットワーク構造内のアプリケーション機能によって提供されるサービスへのユーザ側デバイスのアクセスを提供するための方法、及びネットワーク構造 - Google Patents

Description

本発明は、ネットワーク構造内のアプリケーション機能（ＡＦ）によって提供されるサービスへのユーザ側デバイス（ＵＥ）のアクセスを提供するための方法に関し、ＵＥは、ＵＥが繋げられ、広帯域アクセスネットワーク（ＢＢアクセスネットワーク）を介して、ＡＦへのアクセスを提供する、ゲートウェイ（ＧＷ）によって認証される。

更に、本発明は、ネットワーク構造に関し、前述のネットワーク構造内のＡＦによって提供されるサービスへのＵＥのアクセスが提供され、ＵＥは、ＵＥが繋げられ、ＢＢアクセスネットワークを介して、ＡＦへのアクセスを提供する、ＧＷによって認証される。

以下の説明において、用語「ＵＥ」は、「ユーザ側デバイス」に使用される。しかしながら、この使用される用語「ＵＥ」と共に、全ての種類の「ユーザ装置」も本発明に含まれるものとする。

上記の方法及びネットワーク構造は、現時点の実践から既知である。非限定的な実施例として、本発明は、時に「ホームゲートウェイ」（ＨＧＷ）とも称される、レジデンシャルゲートウェイ（ＲＧ）の形態で配置されるＧＷを用いて、以下に説明される。

携帯電話ネットワークが、携帯電話ユーザ側デバイス（ＵＥ）を直接ネットワークに繋げることによって、それらを識別する一方で、これは、固定電話広帯域アクセスにおいて、これ以上提供されない。２０００年代初頭、単一ＰＣ（パーソナルコンピュータ）等のエンドデバイスは、ＰＰＰｏＥ／ｏＡ（イーサネット上又はＡＴＭ上のポイント・ツー・ポイント・プロトコル）クライアントを実行し、ネットワーク及びインターネットに直接繋げられ、グローバルにルーティング可能なＩＰ（インターネット・プロトコル）アドレスを得ていた。複数のデバイスが、同一のアクセス回線を使用してインターネットにアクセスすることを可能にするための、ＲＧの導入により、ＲＧは、ＰＰＰ終端点としての役割を引き継ぎ、新しく構築されたホームネットワークの内側の全てのデバイスに対する、デフォルトゲートウェイとしての役割を果たした。ホームネットワークは、ＩＰｖ４展開において、ローカルな重要性のみを有するプライベートＩＰアドレス［ＲＦＣ １９１８］を使用し、インターネット（又は更なるプライベートネットワーク）に向かって、ネットワーク・アドレス・ポート・トランスレーション（ＮＡＰＴ）を実施し、１つのグローバルに到達可能なＩＰアドレスの背後に、全てのデバイスを効率的に隠す。固定回線アクセスは、セッションが現在、デバイス毎ではなくアクセス回線毎であるため、スケーラビリティの観点から、この即時の手段から大きな恩恵を受ける。複数のスマートフォンを単一のＲＧに繋げることは、ネットワークアクセスセッションに関して、広帯域ネットワークスケーラビリティに何の影響も及ぼさない。これは、３ＧＰＰの「ＵＥ毎」アプローチとは完全に対照的である。ＩＰｖ６ ＮＡＴ（ネットワーク・アドレス・トランスレーション）の有無にかかわらず、ＲＧの背後のＵＥがＩＰｖ４アドレスの代わりにＩＰｖ６アドレスを使用するときにも、問題は存在する。ＩＰｖ６ ＮＡＴでは、問題はＩＰｖ４と同一である。ＩＰｖ６ ＮＡＴがない場合、アドレス変換の問題はないが、それでもなお、ＵＥによって自動的に作成されるＩＰｖ６アドレスを使用する問題は生じる。１つのＩＰｖ６プレフィックスのみ又は複数のプレフィックスがＲＧに割り当てられるため、デバイスは、ＲＧによっても、アクセスネットワークプロバイダによっても割り当てられていないＩＰｖ６アドレスを使用し、任意の外部エンティティは、どのＩＰｖ６アドレスが何のＵＥに割り当てられているのか容易に知ることはない。

主な欠点は、ネットワークが、どのＵＥがどのＴＣＰ／ＩＰフローを生じさせているのかに関するいかなる知識も有していないことである。特に、ＴＣＰ又はＵＤＰ（ユーザ・データグラム・プロトコル）ポートを割り当てるＮＡＰＴ機構がランダムであり得るためである。

基準及びＲ＆Ｄにおいて、固定と携帯の融合（ＦＭＣ）の範囲内で、新しい使用事例が現れた。３ＧＰＰ ＵＥがローカルホームネットワークに繋げられ、このホームネットワークは、固定広帯域アクセスに繋げられる。ＩＥＥＥ ８０２．１ｘ認証を使用することによって、ＲＧは、ＵＥを認証し、ＵＥ及び加入者プロフィール上の状態を保持することができる。加入者プロフィールは、図１に示される３ＧＰＰホームサービスプロバイダから、ＲＧ（図１のレジデンシャルゲートウェイに対して示されるＲＧ）によって得られ得る。

図１において、ＵＥは、サービスに対して、ＢＢアクセスネットワークを介してＡＦ（一般的に言えば、「ＡＦネットワーク」と示される別のネットワークでホストされるＡＦ）に接続する。

最先端技術において、ＵＥが携帯電話ネットワークとやりとりする全てのフローは、トンネリングされ（図２の点線）、したがって、ＵＥ毎に少なくとも１つのトンネルがあり、ＡＦがこのトンネルを使用してＵＥ及び加入者を識別するために、３ＧＰＰネットワークにクエリを行うことができるため、ＵＥと容易に相関し得る。

興味深い問題は、ＢＢアクセス及びそれに接続されたアプリケーションに向かった、経由ホームネットワークにオフロードされたＵＥのトラフィックの状況があるときに現れる。それらのフローは、使用されるアプリケーションに向かって、ＲＧのＮＡＴを通過する。ランダムなＮＡＴルールのため、考えられるＵＥとの相関はない。２つのＵＥからのフロー（図２の実線）は、どのＵＥがそれらを生じさせたのかに関して、ＡＦ側で区別できない。効果的に、ホームネットワーク構造トポロジーは、ＲＧにおけるＮＡＴ機能性によって隠されている。

これを回避するための１つのアプローチは、各ＵＥに対してＬ４ポート範囲を予約し、アプリケーション及び／又は３ＧＰＰホームネットワークにこれを信号伝達することである。しかし、これは、特に、範囲が超過し、次いで、どのようにフローが管理され得るかという場合、かかるポート範囲の管理で深刻な欠陥を有する。

同等の問題記述は、「Ａｎａｌｙｓｉｓ ｏｆ Ｓｏｌｕｔｉｏｎ Ｃａｎｄｉｄａｔｅｓ ｔｏ Ｒｅｖｅａｌ ａ Ｈｏｓｔ Ｉｄｅｎｔｉｆｉｅｒ ｉｎ Ｓｈａｒｅｄ Ａｄｄｒｅｓｓ Ｄｅｐｌｏｙｍｅｎｔｓ ｄｒａｆｔ−ｂｏｕｃａｄａｉｒ−ｉｎｔａｒｅａ−ｎａｔ−ｒｅｖｅａｌ−ａｎａｌｙｓｉｓ−０４」（ｈｔｔｐ：／／ｄａｔａｔｒａｃｋｅｒ．ｉｅｔｆ．ｏｒｇ／ｄｏｃ／ｄｒａｆｔ−ｂｏｕｃａｄａｉｒ−ｉｎｔａｒｅａ−ｎａｔ−ｒｅｖｅａｌ−ａｎａｌｙｓｉｓ／）から得られる。ＮＡＴの機能性の記載は、「Ａｎａｔｏｍｙ：Ａ Ｌｏｏｋ Ｉｎｓｉｄｅ Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒｓ」
（ｈｔｔｐ：／／ｗｗｗ．ｃｉｓｃｏ．ｃｏｍ／ｗｅｂ／ａｂｏｕｔ／ａｃ１２３／ａｃ１４７／ａｒｃｈｉｖｅｄ＿ｉｓｓｕｅｓ／ｉｐｊ＿７−３／ａｎａｔｏｍｙ．ｈｔｍｌ）から得られる。

本発明の一目的は、ネットワーク構造内のＡＦによって提供されるサービスへのＵＥのアクセスを提供するための方法、及びＡＦ側からのＧＷの背後のＵＥの単純かつ確実な区別を可能にするための従ったネットワーク構造を改善し、更に展開することである。

請求項１によると、方法は、ＧＷが、認証されたＵＥへの、又は認証されたＵＥからＡＦへのサービスフロー要求に関して、状態データベース（ＳＤＢ）に通知すること、ＧＷが更に、認証されたＵＥ及びそれぞれのサービスフロー要求に関する、ＧＷによって作成されるそれぞれのＮＡＴ又はＮＡＰＴバインディングのＮＡＴ又はＮＡＰＴバインディング情報を、ＳＤＢに送信すること、並びにＡＦが、ＧＷからサービスフロー要求を受信した後に、認証されたＵＥをサービスフロー要求と相関させることができるように、ＳＤＢが、ＮＡＴ若しくはＮＡＰＴバインディング情報又はＵＥ識別子をＡＦに送信することを特徴とする。実際のバインディングの代わりに、直接的なＵＥ情報、例えばＩＤも、ＳＤＢからＡＦに送信され得る。

請求項３７によると、ネットワーク構造は、ＧＷが、認証されたＵＥへの、又は認証されたＵＥからＡＦへの任意のサービスフロー要求に関して、状態データベース（ＳＤＢ）に通知するための手段を含むこと、ＧＷが更に、認証されたＵＥ及びそれぞれのサービスフロー要求に関する、ＧＷによって作成されるそれぞれのＮＡＴ又はＮＡＰＴバインディングのＮＡＴ又はＮＡＰＴバインディング情報を、ＳＤＢに送信するための手段を含むこと、並びにＡＦが、ＧＷからサービスフロー要求を受信した後に、認証されたＵＥをサービスフロー要求と相関させることができるように、ＳＤＢが、ＮＡＴ若しくはＮＡＰＴバインディング情報又はＵＥ識別子をＡＦに送信するための手段を含むことを特徴とする。

本発明によると、上記の目的が、認証されたＵＥへの、又は認証されたＵＥからＡＦへの任意のサービスフロー要求に関してＧＷにより通知される、ＳＤＢを単純に実装することによって、非常に容易な方法で達成され得ることが認識されている。具体的には、ＧＷは更に、認証されたＵＥ及びそれぞれのサービスフロー要求に関するＮＡＴ又はＮＡＰＴバインディング情報を、ＳＤＢに送信し、ＳＤＢは、ＮＡＴ若しくはＮＡＰＴバインディング情報又はＵＥ識別子を、更にＡＦに送信する。ＧＷからサービスフロー要求を受信した後、ＡＦはここで、前述のＮＡＴ若しくはＮＡＰＴバインディング情報又はＵＥ識別子に基づき、認証されたＵＥをサービスフロー要求と相関させることができる。この手順によって、ＧＷの背後のＵＥの単純かつ確実な区別が、ＡＦ側から実施され得る。

前述の実施された相関に基づき（成功した場合）、ＡＦは、異なる好ましい手順を実行し得る。好ましい実施形態内で、ＡＦは、要求されたサービス又はセッションがセットアップされることを可能にし得る。あるいは又は加えて、ＡＦは、例えば、実施されたトラフィックに関する会計手順を開始し得るか、若しくはすでに指定されたポリシーを適用し得るか、又は特定のポリシーが、ＵＥによって要求されたサービス利用若しくはサービスフローに適用されることを可能にし得る。

更なる好ましい実施形態内で、ＡＦは、少なくとも１つの定義可能なパラメータに応じて、認証されたＵＥにトラフィックを提供し得る。有利に、パラメータは、トラフィックの優先度及び／又は品質及び／又は内容を含み得る。加入者がプレミアム加入者としての資格がある場合、トラフィックは、それぞれのＵＥに対して高優先度で提供され得る。あるいは又は加えて、加入者がプレミアム加入者である場合、同一の内容がより高い品質で提供され得るか、又はプレミアム加入者が更なるプレミアムな内容若しくはサービスを受けられ得る。

更なる好ましい実施形態内で、相関に基づき、ＳＤＢが、ＮＡＴ又はＮＡＰＴバインディング情報に加えてＡＦにログイン／認証データを送信する場合、ＡＦは、認証されたＵＥの加入者からのログインを必要とすることなく、認証されたＵＥにサービス及び／又は内容を提供し得る。この場合、サービスへの非常に単純なアクセスが実施され得、アクセスのためのデバイスを識別するのに十分である。

単純な認証に関して、ＧＷは、ユーザデータベース及びプロフィールを含有するエンティティ（ＵＤＢ）と情報を交換することによって、ＵＥを認証し得る。単純化のために、全てのこれらの機能は、前述のエンティティ内で実現され得る。

好ましい実施形態内で、ＧＷは、上記のエンティティからの認証応答と共に、サービスフロー要求又はサービスフロー要求の指定サブセットをＳＤＢに通知するように、それに命令する、ポリシーを受信し得る。かかるポリシーは、それぞれの宛先、例えば、ＩＰサブネットワークへの後続のフローに対して、更なるポートを予約するための命令を含み得る。

別の好ましい実施形態内で、ＳＤＢは、将来のＮＡＴ又はＮＡＰＴマッピングのために、ある特定のＵＥに対して複数のポートを予約するように、ＧＷに要求し得る。

非常に効果的なＧＷの背後のＵＥの区別に関して、ＮＡＴ又はＮＡＰＴバインディング情報は、ＳＤＢ所有者によって同意される、ＵＥ識別子（ＩＤ）を含み得る。

更なる好ましい実施形態内で、ＧＷは、ＳＤＢが同時にＮＡＴ又はＮＡＰＴバインディング情報をＡＦに送信する間に、サービスフロー要求をＡＦに転送し得る。あるいは、不一致を回避するために、ＡＦが、それがＳＤＢからＮＡＴバインディング情報を受信したことを、ＧＷに通知した後に、ＧＷは、ＡＦにサービスフロー要求を送信し得る。このようにして、高度な同時性が達せられ得る。

更なる好ましい実施形態内で、ＧＷは、ＵＥからＡＦへのデータフローに、更なる情報を追加し得る。好ましくは、データフローは、ＴＣＰ／ＩＰ（伝送制御プロトコル／インターネット・プロトコル）フローであり得る。ＵＥの非常に確実な区別に関して、更なる情報は、認証トークン又はＵＥ ＩＤであり得る。有利に、更なる情報は、サービス提供に必要とされる情報を見つけるために、ＡＦによってＳＤＢにクエリを行うために使用され得る。したがって、非常に確実なサービス提供が実施され得る。

高度な保守に関して、ＳＤＢは、ＵＥが依然としてＧＷに接続されているかどうか、間隔をあけてＧＷにクエリを行い得る。これは、ＧＷへの適切なメッセージによって実施され得る。

更に、ＳＤＢは、ＧＷにおいてアクティブな他のＵＥ関連ＮＡＴ又はＮＡＰＴバインディングについて、ＧＷにクエリを行い得る。

ＧＷにおいてＵＥを認証するために使用される認証機構がそれをサポートする場合、ＳＤＢは、ＧＷに適切なメッセージを送信することによって、ＵＥ再認証を要求し得る。このようにして、認証状態が更新され得る。

更なる好ましい実施形態内で、ＳＤＢは、加入が取り消された場合、ＮＡＴ又はＮＡＰＴバインディングを終了するように、ＧＷに命令し得る。結果的に、ＳＤＢは、取り消された加入をＡＦに通知し得る。

別の好ましい実施形態内で、ＧＷは、変更されたＮＡＴ又はＮＡＰＴバインディングをＳＤＢに通知し得る。結果的に、ＳＤＢは、変更されたＮＡＴ又はＮＡＰＴバインディングに関して、ＡＦを通知し得る。

更なる好ましい実施形態内で、ＧＷは、ＵＥがＧＷから切断している場合、ＳＤＢに通知し得る。結果的に、ＳＤＢは、切断されたＵＥに関して、ＡＦに通知し得る。

ネットワーク構造内の高度なセキュリティに関して、ＡＦは、企業レベルの合意に従って、その登録中に認証され得る。かかる企業レベルの合意は、ネットワーク構造内のエンティティを動作する当事者間で実施され得る。

個々のネットワーク構造に応じて、ＧＷとＳＤＢとの間の通信は、直接的又は間接的に実施され得る。

更なる好ましい実施形態内で、認証されたＵＥは、同一のＧＷに繋げられているが、認証手順を実施していない別のＵＥに、そのアクセス権を譲渡し得る。換言すれば、認証されたデバイスは、例えば、同一のローカルホームネットワーク中の異なるデバイスを、その認証グループの一部にさせ得る。

具体的に、認証されたＵＥは、識別に関して両方のＵＥをバンドルするために、ＧＷに認証チャンネルを介して、メッセージを送信し得る。好ましくは、前述のメッセージの送信は、例えば、ブルートゥースとのローカル交換を使用して、他のＵＥとのペアリング手順を実施した後に、実施され得る。

更なる好ましい実施形態内で、２つ以上のＮＡＴ又はＮＡＰＴが、カスケード配列で実現され得る。好ましくは、かかる場合において、少なくとも第２のＮＡＴ又はＮＡＰＴが、ＢＢアクセスネットワークに位置し得る。

更なる好ましい実施形態内で、方法は、ＵＥが動的に変化しているホスト部を有するＩＰｖ６アドレスを使用するとき、ＮＡＴ又はＮＡＰＴの有無にかかわらず、セットアップで同一のフレームワークを使用し得る。

更なる好ましい実施形態内で、ＳＤＢとＧＷとの間の信号伝達は、Ｒａｄｉｕｓ又はＤｉａｍｅｔｅｒ等のＰＰＰｏＥ又は３ＧＰＰ ＧＡＡ／ＧＢＡ又はＡＡＡプロトコル等、ネットワークアタッチメントチャンネル／プロトコルを介して行われ得る。

ネットワーク構造の更なる好ましい実施形態は、両方のＵＥのローカルペアリングに基づき、認証されたＵＥのトラフィックに属するものとして、ＢＢアクセスネットワークに報告されている二次的な認証されていないＵＥのトラフィックを可能にするための手段を含み得る。

本発明は、予め割り当てられたＮＡＴ又はＮＡＰＴポート範囲を使用するか、又はトランスポートプロトコルを「ハッキング」することなく、ＵＥ識別子を含むための手段を提供する。ＦＭＣ使用事例への適用可能性を超えて、本発明は、サービスにアクセスするためのデバイスを識別するのに十分である、シングルサインオン使用事例への大きな成果をもたらす、デバイス識別を提供する。一実施例として、現在、ネットワークにおいて認証されていないＰＣを使用するとき、アクセスされる各サービス（フェイスブック、グーグル等）に対して、ユーザは、ユーザ名及びパスワードを入力する必要がある。我々のアプローチは、アクセスされるサービス（例えば、本実施例ではフェイスブック）が、ユーザのＲＧ又はＧＷがすでに認証されたユーザＤＢにクエリを行うことによって、サービス要求を認証することができることを可能にする。

本発明は、例えば、ＳＡＭＬ（セキュリティ・アサーション・マークアップ・ランゲージ）技術を使用した、最先端のシングルサインオン技術と互換性があり、ユーザは、認証プロバイダに向かってアクティブに認証し、それは次いで、要求されたサービスにユーザ認証情報を送る。
ａ）図２に示されるユーザＤＢは、要求されたサービスに認証のＳＡＭＬトークンを提供し得る。
ｂ）図２に示されるユーザＤＢは、認証情報を認証プロバイダに提供し得、それは次いで、要求されたサービスに認証のＳＡＭＬトークンを送る。

本発明の重要な態様は、以下の通りである。
１）プロトコルフィールドとデバイスアイデンティティとの間のマッピングを認識しているエンティティから、データを転送することによって達成される、ネットワーク中のある点においてネットワークに繋げられるデバイスと、パケットデータフローを関連付けるための方法。
２）設定されたフィルタリングルールに従って、ＡＦに通知するブローカーエンティティに転送される、ＮＡＰＴ−デバイスのＮＡＴテーブルの細分割を使用することによって、ＮＡＴ又はＮＡＰＴを使用する、実装。
３）ＮＡＴ又はＮＡＰＴと同一の転送機構を使用して、変化するホスト識別子を有するＩＰｖ６を使用する、実装。
４）管理システムが、パケットデータフロー又はデバイスアイデンティティが特定の基準に一致するときのみ、パケットデータフロー相関情報を転送するように、関与しているノードに命令する、実装。
５）デバイスアイデンティティ及びパケットデータフローを、デバイスを繋げる段階以降に実施された認証と相関させるための方法。
６）両方のデバイスのローカルペアリングに基づき、認証されたデバイスのトラフィックに属するものとして、ネットワークに報告されている二次的な認証されていないデバイスのトラフィックを可能にするための手段。
７）ＳＤＢとＲＧ又はＧＷとの間の信号伝達が、ＰＰＰｏＥ又は３ＧＰＰ ＧＡＡ／ＧＢＡ等のネットワークアタッチメントチャンネル／プロトコルを介して行われる、手段／実装。
８）ＳＤＢが、将来のＮＡＴ又はＮＡＰＴマッピングのために、ある特定のデバイスに対して複数のポートを予約するように要求し、信号伝達の必要性の低減をもたらす可能性がある、実装。
９）例えば、ＴＣＰオプションを追加することによって、例えば、ＲＧにおいて、ネットワーク中のデバイスに関する更なる情報を追加すること。

本発明は、ＮＡＴ又はＮＡＰＴを通してアクセス可能なアプリケーションに対するデバイス識別、及びデバイスに対するシームレスな機能性を可能にする。更に、本発明は、ユーザがサービスにおけるユーザ名／パスワードスキーム等の認証機構に関与することなく、ウェブサービスに対する認証及び／又は請求を可能にする。例えば、単純なインターネット−ＴＶに対して、ＵＥからの許可の委任もまた可能である。プロトコルハックは必要ではない。更に、本発明はまた、任意のＮＡＴ若しくはＮＡＰＴ又はキャリアグレードＮＡＴ（ＣＧＮ）等の変化形なしで、展開に適用できる。本発明に基づき、ＵＥ上でのプロトコル変更は必要ない。

有利な方法で本発明の教示を設計及び更に展開する方法はいくつかある。この目的のために、一方では特許請求項１に従属する特許請求項、及び他方では、図面によって例示される本発明の実施形態の好ましい実施例の以下の説明が参照されるものとする。図面を用いた本発明の好ましい実施形態の説明と関連して、概して好ましい実施形態及び教示の更なる展開が説明される。

図面中、
ＵＥがＲＧによって認証されている既知のネットワーク構造を、概略的に示している。 トンネル機構を介したＵＥと携帯電話ネットワークとの間のフローの交換を示す、ネットワーク構造を、概略的に示している。 ＳＤＢを含む、本発明の一実施形態に従ったネットワーク構造を、概略的に示している。 本発明に従って進行するセッション構築を、概略的に示している。 ２つのＮＡＰＴがカスケードされるネットワーク構造を、概略的に示している。

以下に、本発明の好ましい実施形態が説明され、ＵＥを認証するＧＷは、ＲＧとして実現される。

第１の実施形態内で、ＲＧは、ユーザデータベース及びプロフィールを含有するエンティティと情報を交換することによって、ＵＥを認証する。簡略化のため、本発明の概念を制限することなく、我々は、これらの全ての機能をエンティティＵＤＢに入れた。この手順は、例えば、規格（ブロードバンドフォーラム）で現在考察される、何らかの強化された８０２．１ｘ手順によって、実装され得る。

実施形態の重要な特徴は以下の通りである。
ａ）セットアップ
認証応答を受けて、ＲＧは、ＵＥへの、又はＵＥから、例えば、添付のアクセス制御リストによって分類されるサブネット中にあるＡＦへの、任意のＩＰフロー要求に関して、新規のエンティティＳＤＢ（状態データベース）に通知するように、それに命令するポリシーを更に受信する。かかるポリシーは以下を含有し得る。

第１の入力が、新しいフローがホスト１４５．２５３．２．１でセットアップされる場合、すぐにＳＤＢに通知するようにＲＧに命令する一方で、第２の回線は、フローが、指定の宛先（この場合、ＩＰサブネットワーク）への後続フローに使用されるために、残りの９個のポートでセットアップされる場合、１０個のポートを予約するように、それに命令する。

ｂ）動作モード
ポリシーをインストールすると、アクションは、図３及び図４内に示されるように実施される。

ＲＧが、セッション構築パケット、例えば、それが知っているＵＥからのＴＣＰ ＳＹＮパケットを観察する場合（何らかの方法で、例えば上記の８０２．１ｘスキームを使用して、このパケットを送信する前に認証したもの）、それは、このパケットを隠し、ＮＡＴバインディングを作成し、それがポリシーによって定義された基準、例えば宛先アドレスに一致するかチェックし、次いで、それが作成したＮＡＴバインディングに関する情報と共に、ＳＤＢに通知パケットを送信する。実施例：
ＴＣＰ ｓｒｃ ｐｏｒｔ ３２１６８ ｄｅｓｔ ｐｏｒｔ ８０ ｄｅｓｔ １４５．２５３．２．１ ｄｅｖｉｃｅ＝＝Ｆｒａｎｋ’ｓ ＩＰｈｏｎｅ

（複数のポートポリシーに対しては、以下の通りであり得る。
ＴＣＰ ｓｒｃ ｐｏｒｔ ３２１６９−７９ ｄｅｓｔ ｐｏｒｔ ８０ ｄｅｓｔ ９２．５．６７．１ ｄｅｖｉｃｅ＝＝Ｊｏｈｎｎｙ’ｓ ＩＰｈｏｎｅ）

デバイスＩＤは、ＳＤＢ所有者によって同意される任意の識別子、例えばＩＭＳＩ（国際移動電話加入者識別番号）又はその部分であってもよい。

次の工程として、ＲＧは、ＳＤＢが同時にＡＦに通知する間に、ＡＦに向かってセッション構築パケットを転送する。機構の有益な変化形において、同時性が望ましい場合、ＲＧは、ＡＦがそれがＳＤＢ情報を受信したことをＲＧに通知した後に、ＡＦに向かってＡＦセッション構築パケットを転送するのみであり、この方法では状況及び状態の不一致は生じ得ない。

別の実施形態では、ＲＧは、ＵＥからＡＦへのデータフローに、更なる情報を追加してもよく、このデータフローは、ＴＣＰ／ＩＰフローであってもよい。この更なる情報は、認証トークン又はＵＥ ＩＤであってもよい。この情報は次いで、サービス提供のために必要とされる任意の情報、例えば、ユーザがそれにアクセスすることが許可されているかどうかを見出すために、ＡＦによってＳＤＢにクエリを行うために使用される。この情報を追加する１つの可能な方法は、ＴＣＰが使用される場合、オプションが認証トークン又はＵＥ ＩＤを含有するＴＣＰヘッダに、ＴＣＰオプションを追加することである。これは、［ｄｒａｆｔ−ｂｏｕｃａｄｉｒ］（本願文書の初めに引用される第１の参考文献を参照されたい）が提案するものと同様であるが、それが、オプションが端末によって挿入されるという事実に頼る一方で、我々は、ＲＧにこれを追加する。

ＡＦはここで、受信ＴＣＰ ＳＹＮをデバイス情報と相関させることができ、以下のような手順を実行することができる。
・セッションがセットアップされることを可能にする
・会計を開始する
・例えば、加入者がプレミアム加入者であり得る際の優先度により、異なって、この特定のＵＥにトラフィックを提供する
・追加若しくはプレミアム内容若しくはサービスをＵＥに、又は加入者がプレミアム加入者である場合、より高い品質で同一内容を提供する
・ＳＤＢ情報がＡＦにログイン／認証データを提供したため、ＵＥの加入者からのログインを必要とすることなく、サービス及び内容をＵＥに提供する

ａ）保守
ＳＤＢは、適切なメッセージによって、ＵＥが、依然としてＲＧに接続されているかどうか、間隔をあけてＲＧにクエリを行うことができる。

ＳＤＢは、ＲＧにおいてアクティブな別のＵＥ関連ＮＡＰＴバインディングについて、ＲＧにクエリを行うことができる。

ＲＧにおいてＵＥを認証するために使用される認証機構がそれをサポートする場合、ＳＤＢは、ＲＧに適切なメッセージを送信することによって、ＵＥ再認証を要求してもよい。

ＳＤＢは、加入が取り消された場合、ＮＡＰＴバインディングを終了するように、ＲＧに命令することができる。ＲＧは、この命令を無視してもよい。いずれの場合においても、ＳＤＢは、取り消された加入をＡＦにも通知する。

認証されたＵＥに関連するＲＧ上のＮＡＰＴバインディングを変更する場合、ＲＧは、適切なメッセージ（全てのＵＥ関連ＮＡＰＴバインディング、あるいは更新されたＮＡＰＴバインディングのみのいずれかを含有する）で、ＳＤＢに通知する。ＳＤＢは、影響を受けていることを、指示された全てのＡＦに通知することができる。

ＵＥがＲＧから切断している場合、ＲＧは、退出を知らせる（INFORM LEAVE）メッセージによってこれをＳＤＢに通知する。ＳＤＢは、それが以前にＵＥに関して通知した全てのＡＦに通知する。

ｂ）制御チャンネル
これを可能にするために、ＳＤＢ又は中間エンティティは、ＡＦと通信する必要がある。これは、エンティティを動作する当事者間の企業レベルの合意に従って、その登録中にＡＦの認証を含む必要がある。

ＳＤＢとＲＧとの間の通信は、直接的又は間接的であってもよい。実施例として、以下の方法が使用され得る。
・ＰＰＰｏＥにおけるインライン信号伝達（ＰＰＰ制御レベル上でのＢＲＡＳ（ブロードバンドリモートアクセスサーバ）とＲＧとの間の強化されたプロトコル）
・Ｒａｄｉｕｓ又はＤｉａｍｅｔｅｒプロトコル等の明示的なＡＡＡ信号伝達を使用すること
・ＳＩＰ（セッション初期化プロトコル）を使用すること、及びＲＧを最初にＳＩＰサーバに登録させること（国際公開第ＷＯ ２０１０／０２８８５０ Ａ１号、ＨＲＡＣＳからのフレームワークを使用して）
・ＩＰの上、ＩＰの内、又はＩＰの下の別の標準化又は所有プロトコル

ｅ）識別転送
強化された実施形態において、認証されたデバイスは、同一のローカルホームネットワーク中の異なるデバイスを、その認証グループの一部にすることができる。この場合、認証グループへの加入の許可は、例えば、携帯電話からラップトップ型ＰＣに転送され、ＰＣが、ユーザ又はデバイスに認証手順を踏ませることなく、同一のサービスにアクセスすることを可能にし得る。これは、例えば、訪問されたネットワーク中の権利をそこのデバイスに転送することを可能にし、例えば、ＴＶは、訪問している携帯電話のアイデンティティを使用して、マルチメディアストリームを展開することができる。手順は以下の通りであり得る。
ＵＥは、ネットワークに到達し、それ自体を認証し、したがって、ＵＥは、ＲＧにおいて既知である。

ＵＥは、例えば、両方がブルートゥースを介して接続するという意味で、別のデバイスと「結合」するか、又はＵＥは、他方のデバイスのＩＰ／ＭＡＣアドレスに関する情報を含む、他方のデバイスのスクリーンからのＱＲコードを読み取る。

ＵＥは、識別に関して、それらの２つのデバイスをバンドルするために、認証チャンネルを介してＲＧにメッセージを送信する。ＲＧは次いで、それらがＵＥからであるかのように、他方のデバイスからのセッションセットアップ関連要求を処理し、ＳＤＢとの相互作用をもたらす。加えて、ＲＧは、ＳＤＢに対して、製品及び製造コード等、ＵＥではなく、別のデバイス及び任意にデバイスの属性及び／又は種類及び／又は一意識別子でもある、指標を示し得る。ＳＤＢは、ＡＦが、例えば、提供された内容の解像度に対して、この情報をサービス提供において考慮に入れる場合があるため、利用可能である場合、この情報をＡＦに伝える可能性がある。

この委任シナリオの強化された実施形態において、ＡＦホストサービスは、ＵＥに請求するように試み、ＳＤＢは、請求が生じるＲＧを介して、ＵＥに通知するために、特別なメッセージを使用してもよい。このメッセージは、請求を認証するために、ＵＥの確認を必要とし得る。

ここで、他方のデバイスが、ＲＧにおけるポリシールールに一致するとき、例えば、ＴＣＰ又はＵＤＰ又はＤＣＣＰ（データグラムコンジェスチョンコントロールプロトコル）であるがこれらに限定されない、任意のフローを開始する場合、ＵＥ ＩＤは、ＡＦへの信号伝達において、ＲＧによって添付される。これは、ＵＥ、又はＵＥのどの名前で求められているか、例えば、それがＴＶセットであるかに関する更なる情報を追加するために、例えば、ＴＣＰオプションの上記の利用を使用することによって、行われ得る。

本発明がＩＰｖ４技術に関する実施例を含有する一方で、ＮＡＰＴと同様の機構がＲＧ上で使用される場合、ＩＰｖ６がサポートされる。たとえＩＰｖ６の場合でも、ＮＡＰＴ技術は、ＲＧにおいて使用されず、ＵＥがＲＧにおいて認証される場合、ＲＧは、本発明の原理に従うことができ、したがって、それを条件とする。ＲＧは、ＵＥ識別子及び宛先ＡＦアドレスをＳＤＢに通知するために、又は更なる情報をデータフローに追加するために、ＴＣＰ ＳＹＮ等のセッションセットアップ信号伝達を遅延させる。ＳＤＢは次いで、ＡＦに通知することができ、ＡＦは、認証、警備等のためにＳＤＢ情報を使用することができる。

ＮＡＴ又はＮＡＰＴがＩＰｖ６に対して使用されていない場合でさえ、ＲＧはなお、どのＩＰｖ６アドレスがＵＥによって使用されているか知る必要がある。典型的には、ＵＥは、ＤＨＣＰｖ６又はＲｏｕｔｅｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔｓ（ＲＡ）によって、ルーティングプレフィックス、すなわち、ＩＰｖ６アドレスの最初の６４ビットを知り、残りの６４ビット、すなわち、それらのＬ２識別子に基づく、それら自体のホスト識別部、例えば、イーサネットＭＡＣアドレスを構築する。ＲＧによって完全に生成されるＩＰｖ６アドレスを割り当てる単純な方法は、ＤＨＣＰｖ６を使用する。しかしながら、ほとんどの場合、ＵＥは、どのＩＰｖ６アドレスがどのＵＥに、又は、ＵＥがＲＧに接続される多くのインターフェースを有する場合、ＵＥのインターフェースのどれに結合されているかさえ、任意のＡＦにすぐに明らかにならないように、それ自体のホスト識別子を割り当てる。ＵＥによって生成されるこのホスト部はまた、クリプトグラフィカリージェネレーテッドＩＰｖ６アドレス（ＣＧＡ）も使用し得る。更に、ＵＥは、同時に複数のＩＰｖ６アドレスを使用し、リモートホストとの新しい通信を開始するときに、どちらかのＩＰｖ６アドレスを選ぶように決定し得る。

パケットが、例えば、カスケードされる２つ以上のＮＡＴを経由させられる連鎖環境において、本発明はなお適用可能である。デバイスが繋げられているＮＡＴ要素のみが、デバイスアイデンティティ及びパケットフローを、変更されたポート／アドレスと相関させることができる一方で、中間ノードに、ＳＤＢに同一の方法でそれらのＮＡＴマッピングを報告させることによって、連鎖を再構築することがなお可能である。唯一の利用可能ではない情報がデバイスアイデンティティであるため、同様のフィルタリングルールが提供され得る。ＳＤＢは次いで、情報を統合し、ＡＦに送信されるフローパラメータを知ることができる。図５は、第２のＮＡＰＴがＢＢアクセスネットワークに位置する環境を示す。

本明細書に記載される本発明の多くの修正及び他の実施形態が、上記の説明及び関連図面に示された教示の利益を得る、本発明が関連する当業者に想到されるであろう。したがって、本発明が開示された特定の実施形態に限定されず、修正及び他の実施形態が添付の特許請求の範囲内に含まれるように意図されることを理解されたい。特定の用語が本明細書で採用されるが、それらは、限定の目的ではなく、一般的かつ説明的意味で使用される。

Claims (14)

1. ネットワーク構造内のアプリケーション機能（ＡＦ）によって提供されるサービスへのユーザ側デバイス（ＵＥ）のアクセスを提供するための方法であって、前記ＵＥが、前記ＵＥが繋げられ、広帯域アクセスネットワーク（ＢＢアクセスネットワーク）を介して、前記ＡＦへのアクセスを提供する、ゲートウェイ（ＧＷ）によって認証され、
   前記ＧＷが、前記認証されたＵＥへの、又は前記認証されたＵＥから前記ＡＦへのサービスフロー要求に関して、状態データベース（ＳＤＢ）に通知し、
   前記ＧＷが更に、前記認証されたＵＥ及びそれぞれのサービスフロー要求に関する、前記ＧＷによって作成されるそれぞれのＮＡＴ又はＮＡＰＴバインディングのＮＡＴ（ネットワーク・アドレス・トランスレーション）又はＮＡＰＴ（ネットワーク・アドレス・ポート・トランスレーション）バインディング情報を、前記ＳＤＢに送信し、
   前記ＡＦが、前記ＧＷから前記サービスフロー要求を受信した後に、前記認証されたＵＥを前記サービスフロー要求と相関させることができるように、前記ＳＤＢが、前記ＮＡＴ若しくはＮＡＰＴバインディング情報又はＵＥ識別子を前記ＡＦに送信し、
   前記ＡＦが、それが前記ＳＤＢから前記ＮＡＴ又はＮＡＰＴバインディング情報を受信したことを前記ＧＷに通知した後に、前記ＧＷが、前記ＡＦに前記サービスフロー要求を送信する、方法。
2. 前記相関に基づき、前記ＡＦが、次の：（ａ）前記要求されたサービス又はセッションがセットアップされることを可能にすること、（ｂ）特定のポリシーが前記ＵＥによる前記要求されたサービス利用又はサービスフローに適用されるようになることを可能にすること、及び（ｃ）会計手順を開始すること、のうちの少なくとも１つを実施し得る、請求項１に記載の方法。
3. 前記相関に基づき、前記ＡＦが、少なくとも１つの定義可能なパラメータに応じて、前記認証されたＵＥにトラフィックを提供し、前記パラメータが、好ましくは、前記トラフィックの優先度及び／又は品質及び／又は内容を含む、請求項１に記載の方法。
4. 前記相関に基づき、前記ＳＤＢが、前記ＮＡＴ又はＮＡＰＴバインディング情報に加えてログイン／認証データを前記ＡＦに送信する場合、前記ＡＦが、前記認証されたＵＥの加入者からのログインを必要とすることなく、前記認証されたＵＥにサービス及び／又は内容を提供する、請求項１に記載の方法。
5. 前記ＧＷが、ユーザデータベース及びプロフィールを含有するエンティティ（ＵＤＢ）と、情報を交換することによって、前記ＵＥを認証する、請求項１に記載の方法。
6. 前記エンティティ（ＵＤＢ）からの認証応答を受けて、前記ＧＷが、前記サービスフロー要求又はそれらの指定サブセットに関して前記ＳＤＢに通知するように、それに命令する、ポリシーを受信する、請求項５に記載の方法。
7. 前記ＮＡＴ又はＮＡＰＴバインディング情報が、ＳＤＢ所有者によって同意される、ＵＥ識別子（ＩＤ）を含む、請求項１に記載の方法。
8. 前記ＧＷが、前記ＵＥから前記ＡＦへのデータフローに、更なる情報を追加し、前記更なる情報が、好ましくは、認証トークン又はＵＥ ＩＤである、請求項１に記載の方法。
9. 前記更なる情報が、サービス提供に必要とされる情報を見つけるために、前記ＡＦによって前記ＳＤＢにクエリを行うために使用される、請求項８に記載の方法。
10. 前記ＳＤＢが、前記ＧＷにおいてアクティブな他のＵＥ関連ＮＡＴ又はＮＡＰＴ（ネットワーク・アドレス・ポート・トランスレーション）バインディングについて、前記ＧＷにクエリを行う、請求項１に記載の方法。
11. 前記ＡＦが、企業レベルの合意に従って、その登録中に認証される、請求項１に記載の方法。
12. 前記認証されたＵＥが、同一のＧＷに繋げられているが、認証手順を実施していない別のＵＥに、そのアクセス権を譲渡する、請求項１に記載の方法。
13. 前記認証されたＵＥが、識別に関して両方のＵＥをバンドルするために、認証チャンネルを介して、前記ＧＷにメッセージを送信する、請求項１２に記載の方法。
14. ネットワーク構造であって、前記ネットワーク構造内のアプリケーション機能（ＡＦ）によって提供されるサービスへの、ユーザ側デバイス（ＵＥ）のアクセスが提供され、前記ＵＥが繋げられ、広帯域アクセスネットワーク（ＢＢアクセスネットワーク）を介して前記ＡＦへのアクセスを提供する、ゲートウェイ（ＧＷ）によって認証され、
    前記ＧＷが、前記認証されたＵＥへの、又は前記認証されたＵＥから前記ＡＦへの任意のサービスフロー要求に関して、状態データベース（ＳＤＢ）に通知するための手段を含み、
    前記ＧＷが更に、前記認証されたＵＥ及びそれぞれのサービスフロー要求に関する、前記ＧＷによって作成されるそれぞれのＮＡＴ又はＮＡＰＴバインディングのＮＡＴ（ネットワーク・アドレス・トランスレーション）又はＮＡＰＴ（ネットワーク・アドレス・ポート・トランスレーション）バインディング情報を、前記ＳＤＢに送信するための手段を含み、
    前記ＡＦが、前記ＧＷから前記サービスフロー要求を受信した後に、前記記認証されたＵＥを前記サービスフロー要求と相関させることができるように、前記ＳＤＢが、前記ＮＡＴ若しくはＮＡＰＴバインディング情報又はＵＥ識別子を前記ＡＦに送信し、前記ＡＦが、それが前記ＳＤＢから前記ＮＡＴ又はＮＡＰＴバインディング情報を受信したことを前記ＧＷに通知した後に、前記ＧＷが、前記ＡＦに前記サービスフロー要求を送信するための手段を含む、ネットワーク構造。

Images