JP6076276B2 - Communication system and communication method - Google Patents
Communication system and communication method Download PDFInfo
- Publication number
- JP6076276B2 JP6076276B2 JP2014028928A JP2014028928A JP6076276B2 JP 6076276 B2 JP6076276 B2 JP 6076276B2 JP 2014028928 A JP2014028928 A JP 2014028928A JP 2014028928 A JP2014028928 A JP 2014028928A JP 6076276 B2 JP6076276 B2 JP 6076276B2
- Authority
- JP
- Japan
- Prior art keywords
- virtual gateway
- subscriber
- terminal
- server
- gateway
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Mobile Radio Communication Systems (AREA)
Description
本発明は、通信システム及び通信方法に関する。 The present invention relates to a communication system and a communication method.
仮想化技術の進歩により、これまで宅内に設置されていた加入者ホームゲートウェイは仮想化され、仮想ゲートウェイ（vGW：virtual GateWay）として通信事業者の網側に収容されるようになることが想定される。宅内には各加入者の仮想ゲートウェイと紐づけられたアクセスポイント（AP：Access Point）が設置される。そのアクセスポイントと接続された端末は、そのアクセスポイントに対応した仮想ゲートウェイから提供されるポリシー制御やAAA（Authentication, Authorization, Accounting）管理、セキュリティ等に従って通信する（非特許文献１参照）。 With the advancement of virtualization technology, it is expected that the subscriber home gateways that have been installed in the home until now will be virtualized and accommodated on the network side of the carrier as a virtual gateway (vGW: virtual GateWay). The In the house, an access point (AP) associated with each subscriber's virtual gateway is installed. A terminal connected to the access point communicates according to policy control, AAA (Authentication, Authorization, Accounting) management, security, and the like provided from a virtual gateway corresponding to the access point (see Non-Patent Document 1).
上記のように、アクセスポイントは仮想ゲートウェイと紐づけられるため、加入者が端末を宅外に持ち出した際、自身が契約している仮想ゲートウェイではなく、外出時のアクセスポイントに対応した仮想ゲートウェイから提供されるポリシー制御やAAA管理、セキュリティ等の制御機能に従うこととなる。 As mentioned above, since the access point is linked to the virtual gateway, when the subscriber takes the terminal out of the house, the virtual gateway corresponding to the access point at the time of going out is not the virtual gateway with which the subscriber has contracted. It follows the control functions such as policy control, AAA management, and security provided.
図１に、端末が外出先からネットワークに接続する状況を示す。端末Aが加入者の宅内のアクセスポイントAP-1に接続している場合、端末Aは、アクセスポイントAP-1に紐づけられた仮想ゲートウェイvGW-1から提供されるポリシー制御等の制御機能に従って通信することができる。例えば、ペアレンタルコントロールによって不適切なウェブページへのアクセスを規制したい場合には、仮想ゲートウェイvGW-1に設定された端末毎のポリシー制御を適用することができる。 FIG. 1 shows a situation in which a terminal connects to a network from an outside location. When the terminal A is connected to the access point AP-1 in the subscriber's home, the terminal A follows the control function such as policy control provided from the virtual gateway vGW-1 associated with the access point AP-1. Can communicate. For example, when it is desired to restrict access to an inappropriate web page by parental control, the policy control for each terminal set in the virtual gateway vGW-1 can be applied.
しかし、加入者が宅外に出てしまった場合、端末Aは、外出先のアクセスポイントAP-kに紐づけられた仮想ゲートウェイvGW-kから提供されるポリシー制御等の制御機能に従って通信することになる。従って、外出先からはペアレンタルコントロールによるアクセスの規制をかけることはできない。また、宅内では守られていたセキュリティも、宅外では効果が無くなってしまい、ウィルスへの感染の危険性が高くなる。 However, if the subscriber goes out of the house, terminal A communicates according to the control function such as policy control provided from the virtual gateway vGW-k linked to the access point AP-k of the destination. become. Therefore, it is impossible to restrict access by parental control from outside. In addition, the security that was protected at home is no longer effective outside the home, and the risk of virus infection increases.
本発明は、端末が加入者の宅外のアクセスポイントに接続しても、加入者の宅内のアクセスポイントに対応する仮想ゲートウェイから提供される制御機能を実現することを目的とする。 An object of the present invention is to realize a control function provided from a virtual gateway corresponding to an access point in the subscriber's house even when the terminal is connected to the access point outside the subscriber's house.
また、本発明の一形態に係る通信システムは、
加入者端末と、仮想ゲートウェイのインスタンスを生成して加入者端末と通信するゲートウェイ装置と、加入者情報を管理するサーバとを有する通信システムであって、
前記加入者端末は、
前記加入者端末の宅内のアクセスポイントに対応する仮想ゲートウェイ（以下、第１の仮想ゲートウェイと呼ぶ）への接続を前記サーバに対して要求し、加入者情報を前記サーバに送信する接続クライアントを有し、
前記サーバは、
加入者端末の加入者情報が格納された加入者データベースと、
前記加入者データベースを参照して、前記加入者端末から送信された加入者情報を認証する加入者情報認証部と、
前記加入者端末が接続しているゲートウェイ装置に前記第１の仮想ゲートウェイのインスタンスを生成する仮想ゲートウェイインスタンス管理部と、
を有し、
前記仮想ゲートウェイインスタンス管理部は、
前記第１の仮想ゲートウェイのインスタンスが存在するゲートウェイ装置から、前記第１の仮想ゲートウェイを削除可能であるか否かを判断し、削除可能である場合、前記第１の仮想ゲートウェイのインスタンスを削除する。
In addition, a communication system according to one aspect of the present invention includes:
A communication system having a subscriber terminal, a gateway device that generates an instance of a virtual gateway and communicates with the subscriber terminal, and a server that manages subscriber information,
The subscriber terminal is
There is a connection client that requests the server to connect to a virtual gateway (hereinafter referred to as a first virtual gateway) corresponding to an access point in the subscriber terminal's home and transmits subscriber information to the server. And
The server
A subscriber database storing subscriber information of subscriber terminals;
Referring to the subscriber database, a subscriber information authenticating unit for authenticating subscriber information transmitted from the subscriber terminal;
A virtual gateway instance management unit for generating an instance of the first virtual gateway in the gateway device to which the subscriber terminal is connected;
I have a,
The virtual gateway instance management unit
It is determined whether or not the first virtual gateway can be deleted from the gateway device in which the instance of the first virtual gateway exists. If the first virtual gateway can be deleted, the instance of the first virtual gateway is deleted. .
また、本発明の一形態に係る通信方法は、
加入者端末と、仮想ゲートウェイのインスタンスを生成して加入者端末と通信するゲートウェイ装置と、加入者情報を管理するサーバとを有する通信システムにおける通信方法であって、
前記加入者端末が、前記加入者端末の宅内のアクセスポイントに対応する仮想ゲートウェイ（以下、第１の仮想ゲートウェイと呼ぶ）への接続を前記サーバに対して要求し、加入者情報を前記サーバに送信するステップと、
前記サーバが、加入者端末の加入者情報が格納された加入者データベースを参照して、前記加入者端末から送信された加入者情報を認証するステップと、
前記サーバが、前記加入者端末が接続しているゲートウェイ装置に前記第１の仮想ゲートウェイのインスタンスを生成するステップと、
前記サーバが、前記第１の仮想ゲートウェイのインスタンスが存在するゲートウェイ装置から、前記第１の仮想ゲートウェイを削除可能であるか否かを判断し、削除可能である場合、前記第１の仮想ゲートウェイのインスタンスを削除するステップと、
を有する。
In addition, a communication method according to an aspect of the present invention includes:
A communication method in a communication system including a subscriber terminal, a gateway device that generates an instance of a virtual gateway and communicates with the subscriber terminal, and a server that manages subscriber information,
The subscriber terminal requests the server to connect to a virtual gateway (hereinafter referred to as a first virtual gateway) corresponding to a home access point of the subscriber terminal, and subscriber information is sent to the server. Sending, and
The server authenticating the subscriber information transmitted from the subscriber terminal with reference to a subscriber database storing subscriber information of the subscriber terminal; and
The server generating an instance of the first virtual gateway in a gateway device to which the subscriber terminal is connected;
The server determines whether or not the first virtual gateway can be deleted from the gateway device in which the instance of the first virtual gateway exists, and if the server can delete the first virtual gateway, Deleting the instance;
Have
本発明によれば、端末が加入者の宅外のアクセスポイントに接続しても、加入者の宅内のアクセスポイントに対応する仮想ゲートウェイから提供される制御機能を実現することが可能になる。 According to the present invention, even if the terminal is connected to an access point outside the subscriber's home, the control function provided from the virtual gateway corresponding to the access point inside the subscriber's home can be realized.
本発明の実施例では、端末が加入者の宅外のアクセスポイントに接続しても、加入者の宅内のアクセスポイントに対応する仮想ゲートウェイから提供される制御機能を実現するための通信システムについて説明する。 The embodiment of the present invention describes a communication system for realizing a control function provided from a virtual gateway corresponding to an access point in the subscriber's house even when the terminal is connected to the access point outside the subscriber's house. To do.
＜第１の実施例＞
本発明の第１の実施例では、端末Aが加入者の宅外のアクセスポイントAP-kに接続した場合、キャリア網内のパケットフローを制御し、宅外のアクセスポイントAP-kに対応する仮想ゲートウェイvGW-kを介して、端末Aから宅内のアクセスポイントAP-1に対応する仮想ゲートウェイvGW-1への通信を確立する。
<First embodiment>
In the first embodiment of the present invention, when the terminal A is connected to the access point AP-k outside the subscriber's home, it controls the packet flow in the carrier network and corresponds to the access point AP-k outside the home. Communication from the terminal A to the virtual gateway vGW-1 corresponding to the home access point AP-1 is established via the virtual gateway vGW-k.
端末Aから仮想ゲートウェイvGW-1への通信を確立する手法として、仮想ゲートウェイvGW-kを介して端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定する手法と、仮想ゲートウェイvGW-1と仮想ゲートウェイvGW-kとの間で端末Aのパケットのフローを制御する手法とが存在する。以下の説明では、トンネルを設定する手法について説明する。 As a method for establishing communication from terminal A to virtual gateway vGW-1, a method of setting a tunnel between terminal A and virtual gateway vGW-1 via virtual gateway vGW-k, and virtual gateway vGW-1 There is a method for controlling the packet flow of the terminal A with the virtual gateway vGW-k. In the following description, a method for setting a tunnel will be described.
図２に示すように、本発明の実施例に係る通信システムは、端末A（１０）と、アクセスポイントAP-1及びAP-k（２０−１及び２０−ｋ）と、仮想ゲートウェイvGW-1及びvGW-k（３０−１及び３０−ｋ）と、仮想ゲートウェイ接続サーバ４０とを有する。
As shown in FIG. 2, the communication system according to the embodiment of the present invention includes a terminal A (10), access points AP-1 and AP-k (20-1 and 20-k), and a virtual gateway vGW-1. And vGW-k (30-1 and 30-k) and a virtual
端末A（１０）は、加入者が使用する無線又は有線の端末であり、例えば、パーソナルコンピュータ、スマートフォン等である。端末A（１０）には、宅外のアクセスポイントAP-kに接続した場合に、宅内のアクセスポイントAP-1に紐づけられた仮想ゲートウェイvGW-1への接続を要求する仮想ゲートウェイ接続クライアントが存在する。 The terminal A (10) is a wireless or wired terminal used by the subscriber, such as a personal computer or a smartphone. When the terminal A (10) is connected to an access point AP-k outside the home, a virtual gateway connection client that requests connection to the virtual gateway vGW-1 associated with the home access point AP-1 Exists.
アクセスポイントAP-1（２０−１）は、加入者宅内に設置され、端末Aをキャリア網に接続するためのルータである。アクセスポイントAP-k（２０−ｋ）は、加入者宅外に設置され、端末Aをキャリア網に接続するためのルータである。 The access point AP-1 (20-1) is a router that is installed in the subscriber's house and connects the terminal A to the carrier network. The access point AP-k (20-k) is a router that is installed outside the subscriber's home and connects the terminal A to the carrier network.
仮想ゲートウェイvGW-1（３０−１）は、ゲートウェイ装置1内に生成された仮想ゲートウェイのインスタンスであり、アクセスポイントAP-1に紐づけられている。仮想ゲートウェイvGW-1（３０−１）は、アクセスポイントAP-1を介した端末Aからの通信をインターネット網、電話網、IPTV（Internet Protocol Television）網等のネットワークに接続する。また、仮想ゲートウェイvGW-1（３０−１）は、ポリシー制御やAAA（Authentication, Authorization, Accounting）管理、セキュリティ等の制御機能を適用する。同様に、仮想ゲートウェイvGW-k（３０−ｋ）は、ゲートウェイ装置2内に生成された仮想ゲートウェイのインスタンスであり、アクセスポイントAP-kに紐づけられている。
The virtual gateway vGW-1 (30-1) is an instance of a virtual gateway generated in the
仮想ゲートウェイ接続サーバ４０は、端末Aが仮想ゲートウェイvGW-kに接続した場合、端末Aからの要求に従って、仮想ゲートウェイvGW-kを介して端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定するサーバである。仮想ゲートウェイ接続サーバ４０は、加入者情報を管理する加入者データベースを有する。図示しないが、仮想ゲートウェイvGW-1と仮想ゲートウェイvGW-kとの間のルータに対してトンネルを設定するトンネル管理サーバが存在してもよい。具体的には、端末Aと仮想ゲートウェイvGW-kとの間に例えばGRE（Generic Routing Encapsulation）トンネルを生成し、さらに仮想ゲートウェイvGW-1と仮想ゲートウェイとの間にGREトンネル生成を行う。ただし、トンネルのプロトコルはこの例に限らない。
When the terminal A connects to the virtual gateway vGW-k, the virtual
図３に、仮想ゲートウェイ接続サーバ４０の加入者データベースで管理される情報の例を示す。加入者データベースには、例えば、加入者名、加入者の収容エッジルータの識別情報（ゲートウェイ装置のID、ゲートウェイ装置内の仮想ゲートウェイvGW-1に割り当てられたVLANラベル、IPアドレス等）、加入者のID及びパスワード、端末Aの情報（端末名、MACアドレス等）が登録されている。
FIG. 3 shows an example of information managed in the subscriber database of the virtual
図４に、本発明の第１の実施例に係る通信方法のシーケンス図を示す。図４の通信方法について、図５〜図７も参照しつつ説明する。 FIG. 4 shows a sequence diagram of the communication method according to the first embodiment of the present invention. The communication method of FIG. 4 will be described with reference to FIGS.
まず、端末Aが宅外のアクセスポイントAP-kとのコネクション手順を経由して、アクセスポイントAP-kに接続した場合、端末Aは、認証要求を仮想ゲートウェイ接続サーバに送信する（ステップＳ１０１）。具体的には、図５に示すように、端末Aの送受信機能部は、アクセスポイントAP-kの送受信機能部を介してアクセス管理機能部との間で接続を確立する。そして、加入者及び機器情報を管理する端末Aの仮想ゲートウェイ接続クライアントは、仮想ゲートウェイ接続サーバの加入者情報認証機能部に対して、認証を要求する。認証要求には、端末AのMACアドレスや、加入者のID及びパスワード等の情報が含まれる。 First, when the terminal A connects to the access point AP-k via the connection procedure with the access point AP-k outside the home, the terminal A transmits an authentication request to the virtual gateway connection server (step S101). . Specifically, as shown in FIG. 5, the transmission / reception function unit of terminal A establishes a connection with the access management function unit via the transmission / reception function unit of access point AP-k. Then, the virtual gateway connection client of the terminal A that manages the subscriber and device information requests authentication from the subscriber information authentication function unit of the virtual gateway connection server. The authentication request includes information such as the MAC address of the terminal A and the subscriber ID and password.
仮想ゲートウェイ接続サーバは、加入者データベースを参照して、端末Aを認証し（ステップＳ１０３）、認証応答を端末Aに送信する（ステップＳ１０５）。具体的には、図５に示すように、仮想ゲートウェイ接続サーバの加入者認証機能部は、認証要求が送信されてきた仮想ゲートウェイvGW-kのアドレスが加入者データベースで管理されている仮想ゲートウェイvGW-1のアドレスと異なる場合、端末Aが宅外のアクセスポイントAP-kから接続を要求していると判断できる。端末Aの仮想ゲートウェイ接続クライアントから送信された認証要求を用いて加入者の認証が終了した場合、仮想ゲートウェイ接続サーバの加入者認証機能部は、認証が成功したか否かを端末Aの仮想ゲートウェイ接続クライアントに返信する。 The virtual gateway connection server refers to the subscriber database, authenticates terminal A (step S103), and transmits an authentication response to terminal A (step S105). Specifically, as shown in FIG. 5, the subscriber authentication function unit of the virtual gateway connection server, the virtual gateway vGW in which the address of the virtual gateway vGW-k to which the authentication request is transmitted is managed in the subscriber database. If it is different from the address −1, it can be determined that the terminal A is requesting connection from the access point AP-k outside the home. When the authentication of the subscriber is completed using the authentication request transmitted from the virtual gateway connection client of the terminal A, the subscriber authentication function unit of the virtual gateway connection server determines whether the authentication is successful or not. Reply to connected client.
端末Aの仮想ゲートウェイ接続クライアントは、仮想ゲートウェイvGW-1への接続を仮想ゲートウェイ接続サーバに要求する（ステップＳ１０７）。この実施例では、端末Aから仮想ゲートウェイvGW-1との間にトンネルを生成するように、仮想ゲートウェイ接続サーバに要求する。 The virtual gateway connection client of terminal A requests the virtual gateway connection server to connect to the virtual gateway vGW-1 (step S107). In this embodiment, the virtual gateway connection server is requested to create a tunnel between the terminal A and the virtual gateway vGW-1.
仮想ゲートウェイ接続サーバは、仮想ゲートウェイvGW-1の状態等を問い合わせ（ステップＳ１０９）、その応答を受信して（ステップＳ１１１）、仮想ゲートウェイvGW-kを介して端末Aと仮想ゲートウェイvGW-1との間にトンネルを生成できるか判断し（ステップＳ１１３）、その結果を端末Aに報告する（ステップＳ１１５）。具体的には、図６に示す仮想ゲートウェイ接続サーバのトンネル生成判断機能部は、仮想ゲートウェイvGW-1に対してキープアライブパケットを送信し、仮想ゲートウェイvGW-1からの応答を受信した場合に、トンネルを生成することができると判断してもよい。 The virtual gateway connection server inquires about the status of the virtual gateway vGW-1 (step S109), receives the response (step S111), and communicates between the terminal A and the virtual gateway vGW-1 via the virtual gateway vGW-k. It is determined whether a tunnel can be generated between them (step S113), and the result is reported to terminal A (step S115). Specifically, when the tunnel generation determination function unit of the virtual gateway connection server shown in FIG. 6 transmits a keep-alive packet to the virtual gateway vGW-1 and receives a response from the virtual gateway vGW-1, It may be determined that a tunnel can be created.
仮想ゲートウェイ接続サーバは、トンネル生成サーバを介して、仮想ゲートウェイvGW-1と仮想ゲートウェイvGW-kとの間のルータに対して端末AのIPアドレス等を送信して、端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定するように要求する（ステップＳ１１７及びＳ１１９）。具体的には、図６に示す仮想ゲートウェイ接続サーバのトンネル設定機能部は、トンネル生成判断機能部においてトンネルを生成することができると判断された場合、トンネル生成サーバに対して、端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定するように要求する。この要求に従い、端末Aのトンネル終端機能部と仮想ゲートウェイvGW-1のトンネル終端機能部との間でIPsec等のトンネル生成手順が実施され、図７に示すように、トンネルが生成される。 The virtual gateway connection server transmits the IP address of the terminal A to the router between the virtual gateway vGW-1 and the virtual gateway vGW-k via the tunnel generation server, and the terminal A and the virtual gateway vGW- A request is made to set a tunnel with 1 (steps S117 and S119). Specifically, the tunnel setting function unit of the virtual gateway connection server shown in FIG. 6 determines that the tunnel generation determination function unit can generate a tunnel and the terminal A with respect to the tunnel generation server. Requests to set up a tunnel with gateway vGW-1. In accordance with this request, a tunnel creation procedure such as IPsec is performed between the tunnel termination function unit of terminal A and the tunnel termination function unit of virtual gateway vGW-1, and a tunnel is created as shown in FIG.
その結果、端末Aは、仮想ゲートウェイvGW-1の端末管理機能部により提供される接続端末のアクセス制限、端末毎のポリシー制御等を受けることができ、また、仮想ゲートウェイvGW-1のインターネット接続機能部によるインターネット接続、Firewall機能部によるセキュリティ、HTTPプロキシ機能部によるプロキシ機能等を受けることが可能になる。 As a result, the terminal A can receive access restriction of the connection terminal provided by the terminal management function unit of the virtual gateway vGW-1, policy control for each terminal, and the like, and the Internet connection function of the virtual gateway vGW-1 Can be connected to the Internet, security by the Firewall function, proxy function by the HTTP proxy function, etc.
なお、上記の説明では、仮想ゲートウェイvGW-kを介して端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定する手法について説明したが、仮想ゲートウェイvGW-1と仮想ゲートウェイvGW-kとの間で端末Aのパケットのフローを制御することも可能である。この場合、仮想ゲートウェイ接続サーバは、トンネル生成サーバを介して、仮想ゲートウェイvGW-1と仮想ゲートウェイvGW-kとの間のルータに対して端末AのIPアドレス等を送信して、端末Aのパケットのフローを制御するように要求する（ステップＳ１１７及びＳ１１９）。この要求に従い、端末Aと仮想ゲートウェイvGW-1との間でパケットが転送される。 In the above description, the method of setting a tunnel between the terminal A and the virtual gateway vGW-1 via the virtual gateway vGW-k has been described, but the virtual gateway vGW-1 and the virtual gateway vGW-k It is also possible to control the packet flow of the terminal A in between. In this case, the virtual gateway connection server sends the IP address of the terminal A to the router between the virtual gateway vGW-1 and the virtual gateway vGW-k via the tunnel generation server, and the packet of the terminal A Is requested to control the flow (steps S117 and S119). In accordance with this request, the packet is transferred between the terminal A and the virtual gateway vGW-1.
＜第２の実施例＞
本発明の第２の実施例では、端末Aが加入者の宅外のアクセスポイントAP-kに接続した場合、端末Aが接続しているゲートウェイ装置に、宅内のアクセスポイントAP-1に対応する仮想ゲートウェイvGW-1のインスタンスを生成する。
<Second embodiment>
In the second embodiment of the present invention, when the terminal A is connected to the access point AP-k outside the subscriber's home, the gateway device to which the terminal A is connected corresponds to the home access point AP-1. Create an instance of virtual gateway vGW-1.
図８に示すように、本発明の実施例に係る通信システムは、端末A（１０）と、アクセスポイントAP-1及びAP-k（２０−１及び２０−ｋ）と、仮想ゲートウェイvGW-1及びvGW-k（３０−１及び３０−ｋ）と、仮想ゲートウェイ接続サーバ４０とを有する。
As shown in FIG. 8, the communication system according to the embodiment of the present invention includes a terminal A (10), access points AP-1 and AP-k (20-1 and 20-k), and a virtual gateway vGW-1. And vGW-k (30-1 and 30-k) and a virtual
端末A（１０）、アクセスポイントAP-1（２０−１）、アクセスポイントAP-k（２０−ｋ）、仮想ゲートウェイvGW-1（３０−１）及び仮想ゲートウェイvGW-k（３０−ｋ）は、第１の実施例で説明したとおりであるため、ここでは説明を省略する。 Terminal A (10), access point AP-1 (20-1), access point AP-k (20-k), virtual gateway vGW-1 (30-1) and virtual gateway vGW-k (30-k) Since it is as having demonstrated in the 1st Example, description is abbreviate | omitted here.
仮想ゲートウェイ接続サーバ４０は、端末Aが仮想ゲートウェイvGW-kに接続した場合、端末Aからの要求に従って、端末Aが接続しているゲートウェイ装置2に仮想ゲートウェイvGW-1のインスタンスを生成するサーバである。仮想ゲートウェイ接続サーバ４０は、加入者情報を管理する加入者データベースを有する。加入者データベースでは、図３に示すような情報が管理される。なお、新たな仮想ゲートウェイのインスタンスが生成された場合、加入者データベースに新たな項目が追加されてもよく、既存の項目が更新されてもよい。図示しないが、端末Aと新たに生成された仮想ゲートウェイvGW-1との間のルータに対してトンネルを設定するトンネル管理サーバが存在してもよい。
The virtual
図９に、本発明の第２の実施例に係る通信方法のシーケンス図を示す。図９の通信方法について、図１０〜図１３も参照しつつ説明する。 FIG. 9 shows a sequence diagram of a communication method according to the second embodiment of the present invention. The communication method of FIG. 9 will be described with reference to FIGS.
まず、端末Aが宅外のアクセスポイントAP-kとのコネクション手順を経由して、アクセスポイントAP-kに接続した場合、端末Aは、認証要求を仮想ゲートウェイ接続サーバに送信する（ステップＳ２０１）。具体的には、図１０に示すように、端末Aの送受信機能部は、アクセスポイントAP-kの送受信機能部を介してアクセス管理機能部との間で接続を確立する。そして、加入者及び機器情報を管理する端末Aの仮想ゲートウェイ接続クライアントは、仮想ゲートウェイ接続サーバの加入者情報認証機能部に対して、認証を要求する。認証要求には、端末AのMACアドレスや、加入者のID及びパスワード等の情報が含まれる。 First, when the terminal A connects to the access point AP-k via the connection procedure with the access point AP-k outside the home, the terminal A transmits an authentication request to the virtual gateway connection server (step S201). . Specifically, as shown in FIG. 10, the transmission / reception function unit of terminal A establishes a connection with the access management function unit via the transmission / reception function unit of access point AP-k. Then, the virtual gateway connection client of the terminal A that manages the subscriber and device information requests authentication from the subscriber information authentication function unit of the virtual gateway connection server. The authentication request includes information such as the MAC address of the terminal A and the subscriber ID and password.
仮想ゲートウェイ接続サーバは、加入者データベースを参照して、端末Aを認証し（ステップＳ２０３）、認証応答を端末Aに送信する（ステップＳ２０５）。具体的には、図１０に示すように、仮想ゲートウェイ接続サーバの加入者認証機能部は、認証要求が送信されてきた仮想ゲートウェイvGW-kのアドレスが加入者データベースで管理されている仮想ゲートウェイvGW-1のアドレスと異なる場合、端末Aが宅外のアクセスポイントAP-kから接続を要求していると判断できる。端末Aの仮想ゲートウェイ接続クライアントから送信された認証要求を用いて加入者の認証が終了した場合、仮想ゲートウェイ接続サーバの加入者認証機能部は、認証が成功したか否かを端末Aの仮想ゲートウェイ接続クライアントに返信する。 The virtual gateway connection server refers to the subscriber database, authenticates terminal A (step S203), and transmits an authentication response to terminal A (step S205). Specifically, as shown in FIG. 10, the subscriber authentication function unit of the virtual gateway connection server, the virtual gateway vGW in which the address of the virtual gateway vGW-k to which the authentication request is transmitted is managed in the subscriber database. If it is different from the address −1, it can be determined that the terminal A is requesting connection from the access point AP-k outside the home. When the authentication of the subscriber is completed using the authentication request transmitted from the virtual gateway connection client of the terminal A, the subscriber authentication function unit of the virtual gateway connection server determines whether the authentication is successful or not. Reply to connected client.
端末Aの仮想ゲートウェイ接続クライアントは、仮想ゲートウェイvGW-1への接続を仮想ゲートウェイ接続サーバに要求する（ステップＳ２０７）。この実施例では、端末Aが接続しているゲートウェイ装置2に仮想ゲートウェイvGW-1のインスタンスを生成するように、仮想ゲートウェイ接続サーバに要求する。
The virtual gateway connection client of terminal A requests the virtual gateway connection server to connect to the virtual gateway vGW-1 (step S207). In this embodiment, the virtual gateway connection server is requested to generate an instance of the virtual gateway vGW-1 in the
仮想ゲートウェイ接続サーバは、仮想ゲートウェイvGW-1の状態等を問い合わせ（ステップＳ２０９）、その応答を受信して（ステップＳ２１１）、仮想ゲートウェイvGW-1を移動できるか、或いは、仮想ゲートウェイvGW-1をゲートウェイ装置2に複製すべきかを判断する。具体的には、図１１に示す仮想ゲートウェイ接続サーバの仮想ゲートウェイインスタンス管理機能部は、仮想ゲートウェイvGW-1の状態を確認し、仮想ゲートウェイvGW-1に接続している端末が存在する場合には、仮想ゲートウェイvGW-1を移動できず、ゲートウェイ装置2に仮想ゲートウェイvGW-1を複製すべきであると判断する。一方、仮想ゲートウェイvGW-1に接続している端末が存在しない場合には、ゲートウェイ装置2に仮想ゲートウェイvGW-1を移動可能であると判断してもよい。
The virtual gateway connection server inquires about the status of the virtual gateway vGW-1 (step S209), receives the response (step S211), and can move the virtual gateway vGW-1 or It is determined whether or not to replicate to the
仮想ゲートウェイ接続サーバは、ゲートウェイ装置2に仮想ゲートウェイvGW-1の複製又は移動を指示し（ステップＳ２１３）、その応答を受信して（ステップＳ２１５）、端末Aに結果を報告する（ステップＳ２１７）。なお、仮想ゲートウェイvGW-1の移動の場合には、仮想ゲートウェイ接続サーバは、ゲートウェイ装置1に仮想ゲートウェイvGW-1の削除を指示する。
The virtual gateway connection server instructs the
端末Aの仮想ゲートウェイ接続クライアントは、新たに生成された仮想ゲートウェイvGW-1への接続を仮想ゲートウェイ接続サーバに要求する（ステップＳ２１９）。この実施例では、端末Aから新たに生成された仮想ゲートウェイvGW-1との間にトンネルを生成するように、仮想ゲートウェイ接続サーバに要求する。 The virtual gateway connection client of terminal A requests the virtual gateway connection server to connect to the newly generated virtual gateway vGW-1 (step S219). In this embodiment, the virtual gateway connection server is requested to create a tunnel between the terminal A and the newly generated virtual gateway vGW-1.
仮想ゲートウェイ接続サーバは、ゲートウェイ装置2に生成された仮想ゲートウェイvGW-1の状態等を問い合わせ（ステップＳ２２１）、その応答を受信して（ステップＳ２２３）、端末Aと仮想ゲートウェイvGW-1との間にトンネルを生成できるか判断し（ステップＳ２２５）、その結果を端末Aに報告する（ステップＳ２２７）。具体的には、図１２に示す仮想ゲートウェイ接続サーバのトンネル生成判断機能部は、仮想ゲートウェイvGW-1に対してキープアライブパケットを送信し、仮想ゲートウェイvGW-1からの応答を受信した場合に、トンネルを生成することができると判断してもよい。 The virtual gateway connection server inquires about the state of the virtual gateway vGW-1 generated in the gateway device 2 (step S221), receives the response (step S223), and between the terminal A and the virtual gateway vGW-1 (Step S225), and reports the result to terminal A (step S227). Specifically, when the tunnel generation determination function unit of the virtual gateway connection server illustrated in FIG. 12 transmits a keep-alive packet to the virtual gateway vGW-1 and receives a response from the virtual gateway vGW-1, It may be determined that a tunnel can be created.
仮想ゲートウェイ接続サーバは、トンネル生成サーバを介して、仮想ゲートウェイvGW-1に対して端末AのIPアドレス等を送信して、端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定するように要求する（ステップＳ２２９及びＳ２３１）。具体的には、図１２に示す仮想ゲートウェイ接続サーバのトンネル設定機能部は、トンネル生成判断機能部においてトンネルを生成することができると判断された場合、トンネル生成サーバに対して、端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定するように要求する。この要求に従い、端末Aのトンネル終端機能部と仮想ゲートウェイvGW-1のトンネル終端機能部との間でIPsec等のトンネル生成手順が実施され、図１３に示すように、トンネルが生成される。 The virtual gateway connection server sends the IP address of the terminal A to the virtual gateway vGW-1 via the tunnel generation server, and sets up a tunnel between the terminal A and the virtual gateway vGW-1. A request is made (steps S229 and S231). Specifically, when the tunnel setting function unit of the virtual gateway connection server shown in FIG. 12 determines that the tunnel generation determination function unit can generate a tunnel, the tunnel generation server makes a virtual connection with the terminal A. Requests to set up a tunnel with gateway vGW-1. In accordance with this request, a tunnel creation procedure such as IPsec is performed between the tunnel termination function unit of terminal A and the tunnel termination function unit of virtual gateway vGW-1, and a tunnel is created as shown in FIG.
その結果、端末Aは、仮想ゲートウェイvGW-1の端末管理機能部により提供される接続端末のアクセス制限、端末毎のポリシー制御等を受けることができ、また、仮想ゲートウェイvGW-1のインターネット接続機能部によるインターネット接続、Firewall機能部によるセキュリティ、HTTPプロキシ機能部によるプロキシ機能等を受けることが可能になる。 As a result, the terminal A can receive access restriction of the connection terminal provided by the terminal management function unit of the virtual gateway vGW-1, policy control for each terminal, and the like, and the Internet connection function of the virtual gateway vGW-1 Can be connected to the Internet, security by the Firewall function, proxy function by the HTTP proxy function, etc.
以上のように、本発明の実施例によれば、端末が加入者の宅外のアクセスポイントに接続しても、加入者の宅内のアクセスポイントに対応する仮想ゲートウェイから提供される制御機能を実現することが可能になる。 As described above, according to the embodiment of the present invention, even if the terminal is connected to the access point outside the subscriber's home, the control function provided from the virtual gateway corresponding to the subscriber's home access point is realized. It becomes possible to do.
説明の便宜上、本発明の実施例に係る通信システムは機能的なブロック図を用いて説明しているが、本発明の実施例に係る通信システムは、ハードウェア、ソフトウェアまたはそれらの組み合わせで実現されてもよい。また、各機能部が必要に応じて組み合わせて使用されてもよい。また、本発明の実施例に係る方法は、実施例に示す順序と異なる順序で実施されてもよい。 For convenience of explanation, the communication system according to the embodiment of the present invention is described using a functional block diagram. However, the communication system according to the embodiment of the present invention is realized by hardware, software, or a combination thereof. May be. In addition, the functional units may be used in combination as necessary. In addition, the method according to the embodiment of the present invention may be performed in an order different from the order shown in the embodiment.
以上、端末が加入者の宅外のアクセスポイントに接続しても、加入者の宅内のアクセスポイントに対応する仮想ゲートウェイから提供される制御機能を実現するための手法について説明したが、本発明は、上記の実施例に限定されることなく、特許請求の範囲内において、種々の変更・応用が可能である。 As described above, the method for realizing the control function provided from the virtual gateway corresponding to the access point in the subscriber's house even when the terminal is connected to the access point outside the subscriber's house has been described. Without being limited to the above embodiments, various modifications and applications are possible within the scope of the claims.
１０ 端末
２０ アクセスポイント
３０ 仮想ゲートウェイ
４０ 仮想ゲートウェイ接続サーバ
10 terminal 20
Claims (2)
前記加入者端末は、
前記加入者端末の宅内のアクセスポイントに対応する仮想ゲートウェイ（以下、第１の仮想ゲートウェイと呼ぶ）への接続を前記サーバに対して要求し、加入者情報を前記サーバに送信する接続クライアントを有し、
前記サーバは、
加入者端末の加入者情報が格納された加入者データベースと、
前記加入者データベースを参照して、前記加入者端末から送信された加入者情報を認証する加入者情報認証部と、
前記加入者端末が接続しているゲートウェイ装置に前記第１の仮想ゲートウェイのインスタンスを生成する仮想ゲートウェイインスタンス管理部と、
を有し、
前記仮想ゲートウェイインスタンス管理部は、
前記第１の仮想ゲートウェイのインスタンスが存在するゲートウェイ装置から、前記第１の仮想ゲートウェイを削除可能であるか否かを判断し、削除可能である場合、前記第１の仮想ゲートウェイのインスタンスを削除する通信システム。 A communication system having a subscriber terminal, a gateway device that generates an instance of a virtual gateway and communicates with the subscriber terminal, and a server that manages subscriber information,
The subscriber terminal is
There is a connection client that requests the server to connect to a virtual gateway (hereinafter referred to as a first virtual gateway) corresponding to an access point in the subscriber terminal's home and transmits subscriber information to the server. And
The server
A subscriber database storing subscriber information of subscriber terminals;
Referring to the subscriber database, a subscriber information authenticating unit for authenticating subscriber information transmitted from the subscriber terminal;
A virtual gateway instance management unit for generating an instance of the first virtual gateway in the gateway device to which the subscriber terminal is connected;
I have a,
The virtual gateway instance management unit
It is determined whether or not the first virtual gateway can be deleted from the gateway device in which the instance of the first virtual gateway exists. If the first virtual gateway can be deleted, the instance of the first virtual gateway is deleted. Communications system.
前記加入者端末が、前記加入者端末の宅内のアクセスポイントに対応する仮想ゲートウェイ（以下、第１の仮想ゲートウェイと呼ぶ）への接続を前記サーバに対して要求し、加入者情報を前記サーバに送信するステップと、
前記サーバが、加入者端末の加入者情報が格納された加入者データベースを参照して、前記加入者端末から送信された加入者情報を認証するステップと、
前記サーバが、前記加入者端末が接続しているゲートウェイ装置に前記第１の仮想ゲートウェイのインスタンスを生成するステップと、
前記サーバが、前記第１の仮想ゲートウェイのインスタンスが存在するゲートウェイ装置から、前記第１の仮想ゲートウェイを削除可能であるか否かを判断し、削除可能である場合、前記第１の仮想ゲートウェイのインスタンスを削除するステップと、
を有する通信方法。 A communication method in a communication system including a subscriber terminal, a gateway device that generates an instance of a virtual gateway and communicates with the subscriber terminal, and a server that manages subscriber information,
The subscriber terminal requests the server to connect to a virtual gateway (hereinafter referred to as a first virtual gateway) corresponding to a home access point of the subscriber terminal, and subscriber information is sent to the server. Sending, and
The server authenticating the subscriber information transmitted from the subscriber terminal with reference to a subscriber database storing subscriber information of the subscriber terminal; and
The server generating an instance of the first virtual gateway in a gateway device to which the subscriber terminal is connected;
The server determines whether or not the first virtual gateway can be deleted from the gateway device in which the instance of the first virtual gateway exists, and if the server can delete the first virtual gateway, Deleting the instance;
A communication method comprising:
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014028928A JP6076276B2 (en) | 2014-02-18 | 2014-02-18 | Communication system and communication method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014028928A JP6076276B2 (en) | 2014-02-18 | 2014-02-18 | Communication system and communication method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2015154423A JP2015154423A (en) | 2015-08-24 |
| JP6076276B2 true JP6076276B2 (en) | 2017-02-08 |
Family
ID=53896220
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2014028928A Active JP6076276B2 (en) | 2014-02-18 | 2014-02-18 | Communication system and communication method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6076276B2 (en) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP6346208B2 (en) * | 2016-02-12 | 2018-06-20 | 日本電信電話株式会社 | Communications system |
| JP6806255B2 (en) | 2017-07-31 | 2021-01-06 | 日本電気株式会社 | Virtualized home communication equipment, policy management server and service provision method |
| JP6933184B2 (en) * | 2018-04-05 | 2021-09-08 | 日本電信電話株式会社 | Communication system and bandwidth control method |
Family Cites Families (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP3669459B2 (en) * | 1996-07-01 | 2005-07-06 | Ｋｄｄｉ株式会社 | Mobile computer communication system |
| KR101358838B1 (en) * | 2008-11-17 | 2014-02-10 | 퀄컴 인코포레이티드 | Remote access to local network |
| JP2012060357A (en) * | 2010-09-08 | 2012-03-22 | Kddi Corp | Remote access control method for mobile body system |
| JP5570463B2 (en) * | 2011-03-22 | 2014-08-13 | 株式会社国際電気通信基礎技術研究所 | Wireless relay device, virtual machine creation server, wireless relay method, and virtual machine creation method |
| US8812670B2 (en) * | 2011-10-11 | 2014-08-19 | Telefonaktiebolaget L M Ericsson (Publ) | Architecture for virtualized home IP service delivery |
| JP5818362B2 (en) * | 2012-05-21 | 2015-11-18 | 日本電信電話株式会社 | Network system, network management device, network management program, and network management method |
-
2014
- 2014-02-18 JP JP2014028928A patent/JP6076276B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2015154423A (en) | 2015-08-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10791506B2 (en) | Adaptive ownership and cloud-based configuration and control of network devices | |
| US9992187B2 (en) | Single sign-on authentication via browser for client application | |
| US10171504B2 (en) | Network access with dynamic authorization | |
| EP1942629B1 (en) | Method and system for object-based multi-level security in a service oriented architecture | |
| WO2015101125A1 (en) | Network access control method and device | |
| US20140075505A1 (en) | System and method for routing selected network traffic to a remote network security device in a network environment | |
| US20230412581A1 (en) | Methods and systems for onboarding network equipment | |
| US10530699B2 (en) | Processing method, apparatus, and system for a service flow processing policy | |
| US20180198786A1 (en) | Associating layer 2 and layer 3 sessions for access control | |
| JP4279792B2 (en) | Communication control system and method | |
| US20160345170A1 (en) | Wireless network segmentation for internet connected devices using disposable and limited security keys and disposable proxies for management | |
| Kantola | Trust networking for beyond 5G and 6G | |
| JP6076276B2 (en) | Communication system and communication method | |
| EP2153599B1 (en) | Methods and arrangements for security support for universal plug and play system | |
| CA2912774C (en) | Providing single sign-on for wireless devices | |
| JP2007257507A (en) | System for updating software of terminal in access authentication of terminal | |
| KR20180081965A (en) | Apparatus and methdo for providing network service | |
| KR101628534B1 (en) | VIRTUAL 802.1x METHOD AND DEVICE FOR NETWORK ACCESS CONTROL | |
| Nguyen et al. | An SDN-based connectivity control system for Wi-Fi devices | |
| KR102333028B1 (en) | Apparatus and method for controling firewall policy | |
| TW201721498A (en) | Wired area network user management system and method with security and function scalability wherein a network controller is used to control a programmable network switch, and divert a non-authenticated terminal device to an authentication server | |
| KR102224454B1 (en) | Method, apparatus, system and computer program for controlling network traffic | |
| KR101821794B1 (en) | Apparatus, method and system for providing of secure IP communication service | |
| Cisco | Easy VPN Server | |
| CN107135226B (en) | Transport layer proxy communication method based on socks5 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20160113 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20160817 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20160830 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20161020 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20170104 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20170110 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6076276 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |