WO2004028089A1 - 複数のデータ通信ネットワークを接続する 中間ネットワーク要素におけるアクセス制御 - Google Patents

複数のデータ通信ネットワークを接続する 中間ネットワーク要素におけるアクセス制御 Download PDF

Info

Publication number
WO2004028089A1
WO2004028089A1 PCT/JP2003/012046 JP0312046W WO2004028089A1 WO 2004028089 A1 WO2004028089 A1 WO 2004028089A1 JP 0312046 W JP0312046 W JP 0312046W WO 2004028089 A1 WO2004028089 A1 WO 2004028089A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
node
state
local
global
Prior art date
Application number
PCT/JP2003/012046
Other languages
English (en)
French (fr)
Inventor
Chan-Wah Ng
Pek-Yew Tan
Toyoki Ue
Original Assignee
Matsushita Electric Industrial Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co., Ltd. filed Critical Matsushita Electric Industrial Co., Ltd.
Priority to AU2003264538A priority Critical patent/AU2003264538A1/en
Priority to US10/514,834 priority patent/US7784084B2/en
Priority to DE60324567T priority patent/DE60324567D1/de
Priority to EP03797720A priority patent/EP1533944B8/en
Priority to KR1020047016450A priority patent/KR100687568B1/ko
Priority to JP2004538009A priority patent/JP4174049B2/ja
Publication of WO2004028089A1 publication Critical patent/WO2004028089A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/15—Flow control; Congestion control in relation to multipoint traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/74—Admission control; Resource allocation measures in reaction to resource unavailability
    • H04L47/741—Holding a request until resources become available
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/74—Admission control; Resource allocation measures in reaction to resource unavailability
    • H04L47/745—Reaction in network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Definitions

  • the invention relates to the use of access control in multiple data communication networks.
  • Intermediate nodes control access from edge 'nodes to network resources in one or more data communication networks. Grant of access to network resources is determined by external entities that are not co-located with intermediate nodes. Such deployment scenarios are particularly common in wireless data communication networks where intermediate nodes do not make decisions about access requests due to the need to reduce processing load or due to administrative simplicity. It is not limited. Background art
  • Non-Patent Document 1 IEEE 802.1 Working Group issued in June 2001
  • Non-Patent Document 3 "Charter of Protocol for carrying", an IETF PANA WG Charter by Basavaraj Patil and A. Yegin issued in May 2002
  • Non-Patent Document 4 C. Rigney, S. Willens, A. Rubens, issued in June 2000
  • Non-Patent Document 5 IETF Internet Draft: draft-ietf-aaa-diameter- working by R R. Calhoun, J. Arkko, E. Guttman, G. Zorn, and J. Loughney, published in July 2002. 12.txt "Diameter Base Protocol J
  • Non-Patent Document 6 "The Network Access IdentifierJ," an IETF RFC 2486 by B. Aboba published in January
  • the Internet today has evolved to the point where many peripheral data communication networks are deployed around a system of fixed network nodes. Most of these peripheral networks are controlled by various service providers or organizations. Therefore, in these networks, access control is performed using various methods.
  • the underlying network 'infrastructure is very different between these peripheral networks (eg, wireless vs. wired networks). Possible access control methods are limited by the underlying infrastructure used. As a result, a wide range of access control methods exist. For example, the 802.1X standard of the Institute of Electrical and Electronics Engineers (IEEE) defines a network access protocol for a local area network (Non-Patent Document 1).
  • This standard is an extensible certification pro- cess of the Internet Engineering Task Force (IETF) for use on IEEEE802 networks, such as I £ EE £ 2.3 Ethernet or IEEEE802.il wireless networks. It defines an extended part of the protocol (EAP) (Non-Patent Document 2). Another example appears to be the ongoing effort of the IETF in the Working Group of the Protocol (PANA) to Authenticate Network Access (3). Such network 'access' protocols are typically deployed for local area 'networks', but access control messages are restricted to that local network.
  • the servers granting access may be located in different local 'area' networks. This situation occurs when a single administrative domain consists of multiple local-area networks. To control these local 'area' networks, access information is easier to manage and maintain if it is collected in one central area rather than distributed over different networks. Typically, a central access server is used. In addition, such a scenario could be a mopile-network where a mobile device roams across multiple wireless networks within a single remote area and can be authenticated by a server in its home area. Deployments are becoming more and more common.
  • Non-Patent Document 4 the IETF's widely deployed remote authentication dial-in 'user service (RAD IUS)' protocol
  • DI AMETER the currently defined Diameter
  • Non-Patent Document 5 These protocols are generally used to provide a backbone infrastructure for authentication, authorization, and billing servers to communicate with each other. These protocols are usually very large and are often considered too expensive (both computational and memory) to be deployed at the terminating terminal.
  • the terminal will execute an access request to a local intermediary using a local access protocol such as IEEE 802.1X.
  • the intermediary then contacts a remote Global server using RAD I US or DI AMETER to perform the actual authorization and authentication.
  • RAD I US or DI AMETER Such an arrangement is such that the wireless mobile node requests access using EAP and the wireless access point verifies the wireless user with a server on the wired network using RAD IUS or DI AMETER. It is most commonly found in wireless network environments, but is not so limited.
  • the local 'node uses one or more low-level access-protocols, such as PANA, IEEE 802.1x, and other EAP-based protocols
  • the global authentication server uses In a network-access environment that uses other global access protocols, there is no efficient way to maintain a session between the two protocols in the intermediary.
  • the implementation of the mediator is often tightly coupled to the access protocol, so that changing the access protocol would require considerable effort to modify the mediator.
  • Non-Patent Document 5 Of the prior arts studied, only the di- ameter (Non-Patent Document 5) is called a “conversion agent” and specifies the possibility of an intermediary that can link two different protocols. However, there is no such agent specification.
  • 802.1x Non-Patent Document 1
  • an intermediate “authentication system” is defined. However, this is limited to intermediaries that use the same 802.1X protocol when communicating with both endpoints of the authentication session.
  • the charter of the PANA Working Group specifically identifies the PANA protocol to be used within one hop, that is, PANA to communicate with both the local node and the global server. There can be no medium using the protocol.
  • the intermediary would have to use a different protocol to relay the authentication session to the global authentication server.
  • the architecture and operation of such an intermediary has not been defined.
  • the purpose is to provide a control method.
  • the intermediary can synchronize between two or more access protocols using a high-level state machine.
  • the actual access protocols used are abstracted into a set of generic control messages for use in the state machine. For this reason, the problem of changing the access protocol is limited to only the affected protocol changes.
  • the invention disclosed herein has been designed with frequent and temporary loss of connectivity.
  • the present invention has a means to allow multiple local nodes to communicate with each other even if the global 'server cannot be contacted.
  • the invention includes the operation of an intermediate node to control access of a local node in one or more data communication networks. If the local 'node needs network' access, the intermediate nodes are configured to contact the global 'server to grant the request.
  • the protocols used by the local 'node and the global server can be the same or different. If the connection to the Global 'server is lost momentarily, The present invention allows an intermediary to temporarily grant network access to a local node, so that multiple local nodes can still communicate with each other.
  • FIG. 1 is a diagram showing a communication network 'scenario', showing a communication network connected to an 'intermediate network' node in a typical scenario.
  • the global server allows intermediate nodes to control access by local nodes to local and global network resources.
  • FIG. 2 is a diagram showing a message 'flow sequence in the access control, and is a diagram showing a general flow sequence of a control message when the access control of the local node is executed by the global server.
  • Intermediate nodes function as relay agents between local nodes and global servers. 14.
  • Figure 3 is a state transition diagram, showing the state transition diagram when an intermediate node receives a new data 'packet from a local' node that has no associated active sessions.
  • Figure 4 is a state transition diagram, showing the state transition diagram when an intermediate node receives new data buckets from a local node that has no associated active session. This state diagram is simplified from Figure 3 when it is not necessary to confirm the release of network resources.
  • FIG. 5 is a flowchart for processing a packet, and illustrates an algorithm used by an intermediate node to process a bucket received from a local node.
  • Figure 6 shows the architecture of the intermediate node, where the local node and the global server use the access and local and global access to process the protocol messages.
  • Actual access ⁇ Protocol ⁇
  • a “packet” is a self-contained unit of data of any possible format that can be delivered over a data network.
  • immediate is equivalent, and unless otherwise specified, the gateway, access router, or intelligent device to which the present invention applies ⁇ network hub Used interchangeably to indicate.
  • FIG. 2 shows a typical flow sequence of a control message between an intermediate node (103), a local node (101), and a global server (105).
  • the local node (10 1) Normally, the local node (10 1) must request access by sending a local access request message to the intermediate node (10 3) as indicated by the L-ACCE SS-REQ (20 2). Disappears. This message will usually identify the local 'node (101) and indicate the required network resources. However, the local 'node (101) assumes that such a request is not necessary, and may include one or more nodes in other local' networks (102) or global networks (104). You can directly try to use network resources, such as sending a bucket to data.
  • the intermediate node (103) Upon receiving such a packet from a local 'node (101) whose access has not been previously granted (or the previous grant has expired), the intermediate node (103) The L 'AC CE SS-INIT (201) message can be sent to notify the local' node (101) to send the L-AC CES S-REQ (202) message.
  • the intermediate node (103) When the intermediate node (103) receives the L-ACCE SS-REQ (202), it contacts the global server (105) using the G-ACCE SS-REQ (203) message. This control message notifies the global server of a new access request from the local 'node (101). The Global 'server (105) can then accept, reject, or authenticate the request. To accept the request, the global 'server (105) sends a G — ACCE SS — OK (208) message to the intermediate node (103). When the intermediate node (103) receives this, the intermediate node (101) sends an L— ACCE SS— OK (209) message to the local node (101) to send it to the local node (101). Accept access to.
  • the local node (101) has access to the requested network resource until it chooses to release it or its consent expires.
  • the local 'node (101) can send an L-LOGOF F (210) message to the intermediate node (103).
  • the intermediate node (103) confirms the release by responding with the L-LOGOF F-ACK (2 1 1) message.
  • the intermediate node (103) sends a G—LOGOFF (2 1 2) to notify the global server (105) that the local node (105) has released the resource. Will be notified.
  • the Global 'server (105) acknowledges with a G—LOGOF F—ACK (2 1 3) control message. It should be noted that confirmation of release of network resources is optional. In such a case, the L-LOGOFF-ACK (2 1 1) and G-LOG OFF-ACK (2 1 3) control messages are not required.
  • the global server (105) rejects the request, it sends a G—ACCE S S-REJ (2 14) control message to the intermediate node (103). Upon receipt of this, the intermediate node notifies the local node (101) with an L-ACCE S S-REJ (2 15) message.
  • the global 'server (105) authenticates the local' node (101) by sending a G- AUTH-REQ (204) message to the intermediate node (103). That you can choose.
  • the intermediate node (103) relays this to the local 'node (101) via the L-AUTH-REQ (205) message.
  • the local 'node (101) must respond to its authentication with an L-AUTH-RES (206) message sent to the intermediate node (103).
  • the intermediate node (103) forwards this to the global server (105) with the G-AUTH-RES (207) control message.
  • the global server (105) can then accept or reject the request based on the authentication response. Wear.
  • the global 'server may choose to further authenticate the local' node (101) with another G-AUTH-REQ (204) control message.
  • L-LOGOF F-ACK (2 1 1) and the G-LOGO F F-ACK (2 1 3) messages are optional, two sets of general-purpose control messages can be identified.
  • a full set consists of all 15 messages defined above, as listed in Feature (3) below.
  • Second, one set of reduced sets does not include L-LOGOFF-ACK (2 1 1) and G-LOGOFF-ACK (2 1 3) messages, as listed in feature (2) below. Consists of only three messages.
  • the intermediate node (103) has a message between the local-node (101) and a message between the global server (105). State must be maintained during the access request session in order to synchronize.
  • the data format 'session' contains three main finoredos: 1 oca 1 node 1 info, state, packet 'array.
  • 1 oca 1 nod e_ info Fino redo is used to store the identification information of the low power node (101). This can include user identification, network-access identifier (Non-Patent Document 6), and any unique identifier of the network interface card.
  • the state field is used to store the current status of the access request. Its usage is in the intermediate node (1 A further disclosure of the operation of 0 3) will become clear later in this specification.
  • Bucket ⁇ The array is connected to the local node (101) when the access request of the local node (101) is pending or when the global network connectivity is temporarily lost. Used to temporarily store outgoing data packets sent between them. The use of the bucket 1 array will be further disclosed later herein.
  • a set of states is required.
  • a set of transitions between states are required.
  • Features (1 1) and (1 2) described below specify a set of states and a minimum set of state transitions that are important for the operation of the present invention. However, for the present invention to work properly, a more complete set of states and state transitions is required. As described in the state transition diagrams shown in Figs. 3 and 4 in connection with the features (14), (15), (17), and (18) described later, two sets of such complete Disclose a complete set. It should be apparent to one of ordinary skill in the art that other sets of states and state transitions can be defined to implement the disclosed invention. Nevertheless, such a set will somehow incorporate the minimum set listed in the features (1 1) and (1 2) described below.
  • FIG. 3 shows a state diagram where one set of generic control messages includes a L-LOGOFF-ACK and a G-LOGOF F-ACK message. If these messages are not needed, the state diagram can be simplified to that shown in Figure 4. A total of nine distinct states are defined, which are as follows:
  • a new session structure has been allocated for this local 'node (1 0 1). Will be initialized.
  • This session structure will exist until the S-DIS CONN (307) state is reached. Therefore, the way to check if the local node (101) has pending or granted access is to locate the local node (101) by locating a session structure with a similar local-node_info. ) Is to check if there is an active session structure associated with it.
  • This state is a transient state that will always transition to another state. The state after the transition depends on the received bucket type.
  • the next state is S—RES—WAIT (30 3), as indicated by the transition indicated by reference numeral 311. .
  • the variable try is set to a number n RES that defines the number of G-ACCE S S-REQ (203) to send before declaring a connection failure.
  • the next state is S—ACC—WAIT (302), as indicated by the transition denoted by reference numeral 310.
  • the variable try is set to a number n ACC that defines the number of L — AC CE SS — INIT (201) to send before declaring a connection failure.
  • This state is entered when the intermediate node (103) receives a regular packet from the local 'node (101) which has not received an L-ACCE SS-REQ (202) from it. This is the state where the intermediate node (103) is waiting for the local node (10 1) to send an L- ACCE SS-REQ (202) message.
  • an L-ACCE S S-INIT (2 0 1) message is sent to the local 'node (1 0 1) and the variable try is decremented.
  • the timer with the value t ACC is started. When this timer expires, a new state transition is triggered. If try is greater than 0, a self-transition occurs, ie, the transition denoted by 320 is Re-enter the S-ACC-WAIT (302) state as shown.
  • the connection attempt with the local-node (10 1) is considered to have failed, and as indicated by the transition denoted by reference numeral 322, the next The transition state is S—DIS CONN (307).
  • Receiving an L— ACCE SS— REQ (202) message from the local node (101) may cause a state transition to S— RES-WAIT (303) regardless of the timer. is there. This is an expected state transition.
  • the variable pkt is set to G—ACCS SS -REQ (203) and try is set to n RES .
  • This state is entered when the intermediate node (103) receives L- ACCE S S-REQ (202) from the local node (10 1).
  • G—AC CESS— ⁇ K (208) to allow the global server (105) to accept the access request
  • G—AC CESS—RE J (214) to reject the access request
  • the intermediate node (103) is waiting to send back a response in the form of G—AUTH—REQ (204) for acknowledgment and proof.
  • the intermediate node (103) sends G—A CCE S S-REQ (203) or G—AUTH—RES (207) according to the value of pkt to the global server (1 05). ), Decrementing the variable try and starting a timer with the value t RES . When this timer expires, a new state transition is triggered. If try is greater than 0, a self-transition occurs, ie, re-entering the S—RES—WAIT (303) state, as indicated by the transition denoted by reference numeral 330. If try is 0 when the timer expires, the transition indicated by reference numeral 332 will occur.
  • the next state is either S—CONN—LO ST (308) or S—DIS CONN (307). become.
  • the policy I If the intermediate node (103) assumes that it will accept access when it cannot contact the global server (105) (Lost), the next state is S— CONN— LOS It becomes T (308), and the L-ACCE SS—OK (209) message is sent to the low power node (101) as indicated by the transition indicated by reference numeral 334.
  • S-RES-WAIT Even if the timer has not expired, a transition from S-RES-WAIT (303) to another state may occur.
  • This intermediate node (1 03) is generated when a message is received from GLO one Bruno Honoré. Server (1 0 5). If the received message is G—ACCE SS—RE J (2 14), a transition to state S—DIS CONN (307) will occur, as indicated by reference numeral 331. This transition results in L—AC CESS—REJ (2 1 5) being sent to the local-node (1 0 1). If the received message is G—AC CES SO (208), a transition to state S—C ONN (305) will occur, as shown at 336.
  • the L-ACCES S-OK (209) message is sent to the local node (101), and the variable try is set to nC0NN . Otherwise, if the received message is a G-AUTH-R EQ (204), the next state will be S—AUTH_WAIT (304). During this transition, indicated by the symbol 3 3 5, the variable try is n
  • This state is entered when the intermediate node (103) receives a G—AUTH-R EQ (204) from the global server (105). This means that the local node (101) responds to the authentication with a L-AUTH-RES (206) message. In this state, the intermediate node (103) is waiting to execute. Upon entering this state, an L-AUTH-REQ (205) is sent to the local 'node (101) and the variable try is decremented. In addition, each time a timer with value tAUTH is set.
  • a state transition can also occur if the intermediate node (103) receives an L-AUTH-RES (206) response from the local node (10 1).
  • the next state is S—RE S-WA IT (303).
  • the variable try is set to n RES
  • the variable pkt is set to G—AUTH— RES (207).
  • This state is entered when the intermediate node (103) receives a G_ACCESS-OK (208) message indicating that the access request of the local node (101) has been granted.
  • the variable try is decremented and a timer with value t CONN is set.
  • a state transition will occur. If the try force is greater than SO when the timer expires, a self-transition will occur, as shown at 350. If try is 0 when the timer expires, the intermediate-node (103) has not received any packets from the local-node (101), so the local-node It is assumed that the connection with the code (101) has been lost.
  • a transition to the state S_LOGOF F (306) is performed as indicated by reference numeral 353.
  • the transition indicated by reference numeral 452 is performed, and as a result, the state directly goes to the S-DISCONN (307) state.
  • a G—LOG OF F (2 1 2) message will be sent to the global server (105).
  • a state transition may occur when the intermediate node (103) receives a packet from the local-node (101). If the received packet is an L—LOG OF F (2 10) message to indicate release of network resources, if it is a full set of generic messages ( Figure 3), the next state is S—LOGO FF (306). ) become. During this transition, denoted by reference numeral 52, the intermediate node (1 0 3) sends an L—LOGOF F-ACK (2 1 1) message to the local node (1 0 1) and sets the variable try to n 0FF Variable.
  • transition indicated by reference numeral 452 is performed, and the state S_DISCONN (307) is reached.
  • a G—LOGOF F (2 1 2) message will be sent to the global server (105). If the bucket is a regular data packet, a self-transition to S—CONN (305) will occur, and the variable try is set to n Reset to the value C0NN .
  • G—LOGOF F (2 1 2) message is sent to the server, and G—LO GOF F-ACK (21 3) Waiting for confirmation.
  • a G—LOGOFF (2 1 2) message is sent to the global server and the variable try is decremented.
  • a timer with the value t 0FF is set. If the timer expires while try is greater than 0, a self-transition occurs as indicated by the state transition indicated by reference numeral 360. If try is equal to 0 and the timer expires, or if a G—LOGO FF—ACK (21 3) message is received from the global server (1 0 5), S—DIS CONN (3 0 7). Transition (36 1) will occur.
  • This state is entered when the intermediate node (103) determines that the local node (101) no longer needs its network resources.
  • the intermediate node (103) determines that the connection to the global network (104) has been lost, and its policy is to move the local node (104) until the connection to the global 'network (104) is restored. Enter this state if the access request in 1) is to assume that it will be granted. This session will always stay in this state until it receives an L-LOGOFF (2 1 0) message from the local node (1 0 1) or until the connection to the global 'network (104) is restored. Will be.
  • This state is entered when the intermediate node (103) has regained connection to the global network. It will receive the packet sent from the node (101) and verify that the local node (101) is still active before resuming the previous access request session. It is in the state of waiting for. Upon entering this state, the variable t ry is decremented and the timer is set with the value t RST. If this timer expires and t ry is greater than 0, a self transition (390) occurs.
  • variable try is set to n 0FF, L- LOGOF F -.
  • Low power Honoré with AC K (2 1 1) message node is confirmed. Otherwise, if the reduced set is used instead ( Figure 4), the next state will be S—DIS CONN (309), as indicated by the transition denoted by reference numeral 492. During this transition 492, a G—LOGOFF (2 1 2) control message will be sent to the global server (105).
  • the received packet has the L_LOGO FF (2 10) message If not, the local node is still actively using network resources and must restart the access request session. This is indicated by the state transition to state S—ACC—WAIT (302), as shown at 393. During this transition, the variable try is called n ACC.
  • the intermediate node (103) may temporarily grant access to the local 'node (101) when the connection to the global' network (104) is down.
  • Such a configuration option in its simplest form, can represent itself as a bit, in which case a bit value of 0 implies that the policy is to temporarily deny access.
  • a bit value of 1, implies that the policy is to grant access temporarily. It should be apparent to those skilled in the art that other types of embodiments are possible, such as using a bit string to indicate the switch on or switch off of a configuration option.
  • the policy is to grant access to the local 'node (101) while the connection to the global' network (104) is down.
  • the local 'node (101) sends to another local' node (101) in the local 'network (102) connected to the intermediate node (103). All data 'packets are transferred. However, not all data packets for the global network (104) can be transferred. These are stored in a buffer coupled to the local node (101), as listed in features (26) and (27) below.
  • Packet arrays can also be used when the connection to the global 'network (104) is live. This includes the local 'network' (102) when the global server (105) must still accept the access request, as listed in features (24) and (25) below. It is to store the data-packet sent from the local 'node (101) to any destination. For example, if the session is still in the state S—RES—WAIT (303) or S—AUTH—WAIT (304). If access is granted, the data queued in the packet array ⁇ The packet is processed as if it had been received after access was granted.
  • Fig. 5 shows the algorithm used by the intermediate node (103) when receiving a packet from the local node (101) in connection with features (22) and (23) described later. .
  • First as shown in the step denoted by reference numeral 501, first search the list of session structures to find the local 'node (1 0 1) Locate the session bound to. This search can be a simple search that spans the entire session structure, or it can use a hash function in the local-node-info field. If no structure is found, instantiate a new state machine dominated by the state machine shown in FIG. 3 or 4, as shown in steps labeled 502 and 503.
  • the packet is then sent to the L-ACCE SS-REQ (202) message, the L-AUTH-RES (206) message, or Check if it is an L-LOGOFF (2 1 0) message. If so, the message is processed as indicated by the state transition diagram, as indicated by the step denoted by reference numeral 505. If not, check its status to see if it is S—CONN (305) or S—CONN—LOST (308), as shown in steps 506 and 508. I do. If the state is S—CONN (305), the packet is transmitted normally, as indicated by the step denoted by reference numeral 507, and the state machine transitions to the next state.
  • the state is S—CONN—LOST (308), check whether the packet is for a global / network (104) or low-power network (102). If the packet is destined for the local network (102), it is transmitted and the state machine transitions to the next state, as shown in the step labeled 512. If the packet is destined for the global network (104), it is enqueued into a session structure, as indicated by the step denoted by 511 and the state machine transitions to the next state. On the other hand, if the state is not S—C ONN (305) or S_C ⁇ NN—LOST (308), the step denoted by reference numeral 509 is performed. In this step, the packets are queued in a session structure and the state machine moves to the next state.
  • Fig. 6 shows the architecture of the intermediate node (103) in relation to the feature (1) described later. This is the access used by local 'nodes (101) in the local network (102). ⁇ Single or multiple local' access 'processing protocols. ⁇ Protocol' units (601). It consists of a single or multiple single-access / protocol-units (602) that process the access' protocol used by the global server (105).
  • Messages to and from the local 'node (101) are processed by the local access and protocol unit (601), as indicated by the data path denoted by reference numeral 611.
  • Messages to and from the global 'server' (105) are processed by the global 'access. Protocol' unit (602), as indicated by the data path denoted by reference numeral 615.
  • the architecture shown in Figure 6 consists of a message ⁇ mapping ⁇ unit (603) that maps the messages used by the local and global access protocols into one of the '15 control messages defined in Figure 2. Also includes a state machine (604) that implements the state transition diagram described in 3 or Figure 4.
  • the messages from the low-speed access protocol unit (601) and the global access-protocol unit (602) are transmitted as indicated by the data paths indicated by reference numerals 612 and 614, respectively. , Is mapped to the generic control message.
  • the mapped message is passed to the state machine (604), as indicated by the data path denoted by reference numeral 613.
  • the state machine (604) decides to send messages to the local 'node (101) or to the global' server (105), these messages are sent via the data path denoted by reference numeral 613. Passed to the mating unit (603) and mapped to the actual control message.
  • the actual control messages are sent to the local access unit via the data paths denoted by reference numerals 612 and 614, respectively, to the protocol unit (601) or the global access unit 'proto-conore' unit (602). It is passed to the local node (101) or the global server (105).
  • the state machine (604) can be based on the state transition diagram disclosed in FIG. 3 or FIG. In practice, using the state transition diagram shown in Figure 3 is a common solution. When a reduced set of general-purpose control messages is used, n OFF is set to 1 and the timer value t OFF is set to a non-zero value, such as 1 microsecond, as listed in the features (21) and (22) described later. By always setting a small value, the operation of the state transition diagram shown in Fig. 4 can be derived.
  • the present invention it is possible to provide an intermediary for controlling network access of a single or a plurality of local data communication networks within a local communication network. This allows the decision to grant network access to be located on an external global server, so that the intermediary does not have to be overloaded with authentication and access issues.
  • intermediate nodes can easily synchronize access request messages between the local 'node and the global server.
  • the disclosed invention also allows an intermediary to temporarily grant access to a local node when the Global 'network is disrupted.
  • the network's access control framework device of the present invention is a network 'access control framework device for controlling access to resources in a plurality of bucket exchange data communication networks. Allows local 'nodes in one or more local networks to be access controlled, global nodes in one or more global' networks to be uncontrolled,
  • a global access protocol unit that receives an access response from one or more global network servers in the global network and provides an authentication response to an access request from a local node.
  • a control message used in the single or multiple local access protocol units and a control message used in the single or multiple global access protocol units are a set of control messages. Messages that map to a generic set of
  • a state machine for controlling operation of the network-access control framework device based on the universal set of control messages.
  • L-ACCE SS REQ general control message sent from local 'node to request i to access controlled network resources, and iii. Local' node requests access to controlled network resources
  • G AC CESS—REQ general control message used to notify the global server
  • L i AUTH RE generic control message sent by the local node to provide authentication information sent by the local node to request access to the controlled network resource
  • G A UTH-RES generic control message used to send authentication information from the local-node to the global server requesting access to controlled network resources
  • the L-ACCE S S OK general control message used to notify the local node that the request to access the controlled network resource has been granted;
  • Access protocol unit and single or multiple access A general set of control messages that the message mapping unit maps to and from a number of control messages used by the global 'access' protocol unit.
  • L-LOGOFF ACK generic control message used to confirm to the local node that access to the controlled network resource has been released
  • the message mapping unit may be a single or a plurality of local access described in the above (1) ⁇ a protocol unit and a single or a plurality of global access ⁇
  • the control messages used by the protocol unit are mapped to one of the general-purpose sets of control messages described in (2) above.
  • the device described in (3) above may be configured such that the message 'mapping' unit is a single or a plurality of local 'access' protocol units 1 and a single or a plurality of global units described in (1) above. Control messages used by the valve access protocol unit are mapped to one of the general-purpose sets of control messages described in (3) above.
  • the method of the present invention generalizes the general-purpose set consisting of 15 control messages described in (3) to a reduced general-purpose set consisting of 13 control messages described in (2). Therefore, in the method for mapping in the network access control framework device message mapping unit described in (1) above,
  • L-LOGOF F Mapping of ACK generic control messages to null messages, including access to controlled network resources. Steps in which no real message is sent from the local ⁇ access 'protocol' unit when no confirmation is required for release,
  • G LogOF F—The step of mapping the ACK generic control message to a virtual message, wherein the access to the controlled network resource is performed when no confirmation is necessary to release access to the controlled network resource.
  • the G-LOGO FF-ACK generic control message is assumed to have been received immediately after the indication of the release of the process has been sent to the global server.
  • the device described in the above (1) uses the method described in the above (6) to allow the message 'mapping' unit to
  • the general-purpose set consisting of five general-purpose control messages is generalized to the reduced general-purpose set consisting of 13 control messages described in (2) above.
  • the device described in (1) above is used for the network ⁇ data used by the access control framework device during the session from the request for access to the controlled network resource to the release to the controlled network resource.
  • the structure of the mat is related to a local node, and the data format is a field for storing information about the i. Related local node, and the information can be used to identify the related local node. A field to store enough information for
  • the switching method according to the present invention adopts the policy of the network-access control framework device described in (1) above.
  • connection to the global server is determined to be lost momentarily or otherwise, all ongoing or new connections to the global server during the period in which the connection is determined to be lost will continue.
  • a control message indicating that an access request is required is sent to the local-node, and the state machine is waiting for an access request message to be sent from the local node.
  • a control message is sent to the global-server indicating that an access request has been made and the state machine is waiting for a response to be sent from the global server.
  • Access to the requested network resource is to the local 'node S—CONN state granted to
  • the state machine determines that the connection to the global 'server has been lost, and the policy described in (9) above should allow for temporary access when the connection to the global server is lost.
  • the state machine determines that the previous state was the S—CONN—LO S T state while the connection to the global server was restored.
  • the specified threshold is the number of self-transitions performed, caused by the condition that no control message has been received from the global server in response to a request for access to the controlled network resource after a specified period of time.
  • the policy is configured to deny access requests as described in (9) and (10) above.
  • a policy is configured to accept the access request to transition from the S—RES-WAIT state to the S—CONN—LOST state;
  • a control message is sent to the local node to indicate the event, the transition from the S—RES—WAIT state to the S—CONN state,
  • V i Globally, a control message is sent by the server to accept denied access to the controlled network resource, during the transition the request for access to the controlled network resource is denied.
  • a control message indicating the fact is transmitted to the local node; a transition from the S—RES-WAIT state to the S_DISCONN state;
  • V ii The number of self-transitions performed exceeds the specified threshold, caused by the condition that no bucket has been received from the local 'node after a specified period of time, S-CONN state to S-DIS Transition to the CONN state,
  • V ii is caused by the condition that a control message indicating release of the controlled network resource is received from the local node, and during this transition, a control message for confirming release of the controlled network resource is locally transmitted.
  • the state machine uses the set of states described in (1 1) and the set of state transitions described in (1 2). Then, the operation of the network access control framework device is controlled.
  • S— INIT state whose structure is associated with the local node that initiates the state machine
  • a control message is sent to the global server indicating that an access request has been made, and the state machine is waiting for a response to be sent from the global server.
  • V i A S-LOGOFF state where a control message indicating the release of the requested network resource is sent to the global server and the state machine is waiting for a confirmation message to be sent from the global-server;
  • V ii The local node releases access to all network resources, and the structure with the data format described in (8) above, which is related to the local node, is deleted.
  • DIS CONN state
  • V iii The state machine determines that the connection to the global server has been lost, and the policy described in (9) above is set to temporarily enable access when the connection to the global server is lost.
  • the state machine determines that the previous state was the S—CONN—LO ST state while the connection to the global server was restored.
  • the specified threshold is the number of self-transitions performed, caused by the condition that no control message has been received from the local node to request access to the controlled network resource after the specified period. Not exceed S, ACC—WAIT state self-transition,
  • V ii The number of self-transitions performed, which is caused by the condition that a control message in response to a request for access to a controlled network resource has not been received from the global server after a specified period, and the specified threshold is specified Value is exceeded and the access request will be denied as described in (9) and (10) above.
  • the policy is configured as follows: transition from the S—RE S-WA IT state to the S_D IS CONN state,
  • the specified threshold is the number of self-transitions performed, caused by the condition that no control message has been received from the global server in response to a request for access to the controlled network resource after a specified period of time. Value, and the policy is configured to accept access requests as described in (9) and (10) above, from the S—RES—WAIT state to the S—CONN—LOST state. Transition and
  • a control message is sent to the local node, indicating that the S has been accepted, a transition from the S—RE S—WAIT state to the S—CONN state,
  • the number of self-transitions performed is greater than the specified threshold, caused by the condition that no packets have been received from the local 'node after the specified time period, S-CONN state to S-LOGOF Transition to the F state,
  • the number of self-transitions performed is greater than a specified threshold, caused by the condition that no acknowledgment of release of the controlled network resource has been received from the global server after a specified period of time, S— Transition from LOGOF F state to S—DIS CONN state, xxi. The transition from the S—LOGOF F state to the S—DISC ONN state, provided by the acknowledgment of the release of the controlled network resource from the global server;
  • the number of self-transitions performed is not greater than the specified threshold, caused by the condition that no packet has been sent from the local node after the specified time period, S— RE SE Self-transition of T-WA IT state,
  • the state machine uses the set of states described in (14) and the set of state transitions described in (15). Thus, the operation of the network 'access control framework device is controlled.
  • a structure with the data format described in (8) above is initialized and the structure is associated with the local 'node that starts the state machine;
  • a control message indicating that an access request is required is sent to the local-node, and the state machine is waiting for an access request message to be sent from the local node.
  • a control message indicating that an access request has been made is sent to the global server and the state machine is waiting for a response to be sent from the global server;
  • a control message indicating that authentication information is required is sent to the local 'node, and the state machine is waiting for an authentication response message from the local' node.
  • S AUTH—WAIT state;
  • V ii The state machine determines that the connection to the global server has been lost, and the policy described in (9) above is set to temporarily enable access when the connection to the global server is lost.
  • the state machine determines that the previous state is the S—CONN—LO ST state, but the connection to the global server has been restored, and the S—RESE T-WAIT state;
  • the specified threshold for the number of self-transitions to be performed caused by the condition that no control message has been received from the global server in response to a request for access to the controlled network resource after a specified period of time.
  • S—RE S—WA IT state self-transition
  • V ii The number of self-transitions performed, which is caused by the condition that no control message has been received from the Global Server in response to a request for access to the controlled network resource after a specified Transition from the S—RES—WAIT state to the S—CONN—LOST state, where the policy is configured to accept access requests as described in (9) and (10) above.
  • a control message has been sent by the global server to accept the denial of access to the controlled network resource, which is caused by the relay condition, and during this transition, a request for access to the controlled network resource is made.
  • a control message is sent to the local node, indicating that the S has been denied, a transition from the S—RES S-WAIT state to the S—DIS CONN state,
  • the number of self-transitions performed is greater than a specified threshold, caused by the condition that no control message has been received from the oral 'node after a specified period of time in response to a request for authentication information. Transition from the S-AUTH-WAIT state to the S-DIS CONN state,
  • the number of self-transitions performed is caused by the condition that no packets have been received from the local node after the specified time period, and the number of self-transitions performed exceeds the specified threshold.
  • a control message indicating the release of access to the network resource is sent to the global server, the transition from the S—C NN state to the S—DIS CONN state,
  • the state machine uses one set of states described in (17) and one set of state transitions described in (18). Then, the operation of the network 'access control framework device is controlled.
  • the method of the present invention comprises combining the set of states described in (14) above and the set of transitions between states described in (15) with one set of states described in (17) above. Status And a set of transitions between states described in (18) above, in a method for generalizing
  • the designated period is a value that is negligibly small for the processing cycle of the network access control framework device, and the designated period is set so that no self transition can occur.
  • the number of self-transitions performed exceeds the specified threshold, which is caused by the condition that the confirmation of release of the controlled network resource has not been received from the global knowledge server after the specified period.
  • the specified period is so small that it can be ignored for the processing cycle of the network access control framework device, and the specified period is A network in which the specified threshold is set to a value of 0 so that a transition to the S-DIS CONN state must occur when the time elapses ⁇ Configure the parameters of the access control framework device Steps and
  • the device described in (1) above can be configured such that the state machine uses the method described in (20) above to generate the set of states described in (14) above and the set of states described in (14) above.
  • the described set of transitions between states is used to control the operation of the network-access control framework device.
  • ii does not include any control message corresponding to one of the general-purpose sets of control messages described in (2) and (3) above, and the state of the state machine described in (1) above. Have access to the controlled network resource granted, and the packet is forwarded to its intended recipient;
  • the packet does not include any control messages corresponding to one of the general-purpose sets of control messages described in (2) and (3) above, and the state of the state machine described in (1) above. However, it is not in a state where access to the global server is determined to be lost, nor is access to the controlled network resource granted, and the packet is associated with the local node. Queuing the structure to
  • the packet does not include any control messages corresponding to one of the general sets of control messages described in (2) and (3) above, and the state of the state machine described in (1) above. However, it is determined that access to the global server has been interrupted, and the policy described in (9) above is configured to accept the access request, and the intended recipient of the packet A step in a data communication network controlled by an access control framework device, wherein said packet is forwarded to an intended recipient; vi.
  • the packet does not include any control message corresponding to one of the general-purpose sets of control messages described in (2) and (3) above, and the state machine described in (1) above.
  • the state is a state where access to the global server is determined to be interrupted, and the policy described in (9) above is configured to accept the access request, and the intended receiving side of the packet In a data communication network not controlled by an access control framework device, wherein said packets are queued in a structure associated with a local node.
  • the device according to (1) processes the bucket transmitted from the local node by using the method described in (22).
  • the method of the present invention comprises the steps of: (1) sending a packet transmitted from a local node for another node when access to a controlled network resource has not yet been granted to a low-level node; ).
  • the bucket is not in the state, access to the controlled network resource is not granted, and the bucket is in the state described in (8) above. Is queued to the structure with data Four mat comprises a step in which the structure is associated with the local node.
  • the method of the present invention uses the mechanism in the network access control framework device described in (1) above, wherein access to the controlled network resource by the global server is performed by a local node.
  • the mechanism allows the network ⁇ access control framework to temporarily store packets sent from the local node when data has not yet been accepted for the connection to the network ⁇ ⁇ Data communication for other nodes in the data communication network not controlled by the access control framework device, the packet of which is included in one of the general sets of control messages described in (2) and (3) above. It does not include any corresponding control messages, and is described in (1) above.
  • the state of the state machine is determined to be that access to the global server has been interrupted, and the policy described in (9) above is configured to accept access requests, and the intended bucket Receiving in a data communication network not controlled by a network access control framework device, wherein the bucket is queued in a structure associated with a local node.
  • the method of the present invention uses the mechanism in the network access control framework device described in (1) above, wherein access to the controlled network resource by the global server is performed by a local node.
  • the device sends a packet sent from the local 'node using the mechanism described in (26) above when the connection has not yet been accepted.
  • the packet is for another node in the data communication network that is not controlled by the network access control framework device, and the packet is stored in the control described in (2) and (3) above. Without including any control message corresponding to one of the general set of messages, the state of the state machine described in (1) above becomes the state where access to the global server is determined to have been lost.
  • the policy described in (9) above is configured to accept the access request, and the intended recipient of the packet is in a data communication network that is not controlled by the network access control framework device, and the packet is Is queued in the structure associated with the local node.
  • the present invention can be applied to access control in an intermediate network element connecting a plurality of data communication networks.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

中間ノード（１０３）とグローバル・サーバ（１０５）との接続が瞬間的に機能停止する場合であっても、複数のローカル・ノード（１０１）が相互に通信することができる、複数のデータ通信ネットワークにおけるアクセス制御方法。本方法では、グローバル・サーバ（１０５）への接続が途絶えたとき、中間ノード（１０３）は、グローバル・サーバ（１０５）の代わりに、所定の方針に応じて、ローカル・ノード（１０１）に対して一時的にアクセスを承諾することができる。これにより、グローバル・ネットワーク（１０４）への接続が再開されるまでローカル・ネットワーク（１０２）は通常通り動作を行うことができる。

Description

明 細 書 複数のデータ通信ネットワークを接続する 中間ネットワーク要素におけるアクセス制御 技術分野
本発明は、 複数のデータ通信ネットワークにおけるアクセス制御の使用に 関する。 中間ノードは、 エッジ ' ノードから単一又は複数のデータ通信ネッ トワーク内のネットワーク資源へのアクセスを制御する。 ネットワーク資源 へのアクセスの承諾は、 中間ノードと同じ場所に配置されていない外部ェン ティティによって決定される。 このような配備シナリオは、 処理負荷を低減 する必要性のため又は管理しゃすさのために中間ノードがアクセス要求に関 する決定を行わない無線データ通信ネットワークで特に一般的であるが、 そ れに限定されるわけではない。 背景技術
まず、 本明細書中で参照する先行技術の文献情報を開示する。
非特許文献 1 : 2 0 0 1年 6月発行の IEEE 802.1 Working Groupによる
IEEE 802. IX Standardである 「； Port-Based Network Access Controlj 非特許文献 2 ： 1 9 9 8年 3月発行の L. Blunk及び J. Vollbrechtによる
IETF RFC 2284である 「PPP Extensible Authentication Protocol (EAP)」 非特許文献 3 ： 2 0 0 2年 5月発行の Basavaraj Patil及び A. Yeginによ る IETF PANA WG Charter である 「 Charter of Protocol for carrying
Authentication for Network Access j
非特許文献 4 : 2 0 0 0年 6月発行の C. Rigney、 S. Willens、 A. Rubens,
W. Simpsonによる IETF RFC 2865である「Remote Authentication Dial In
User Service (RADIUS)」 非特許文献 5 : 2 0 0 2年 7月発行の R R. Calhoun, J. Arkko, E. Guttman, G. Zorn、 J. Loughney による作業中の IETF Internet Draft: draft-ietf-aaa-diameter-12.txtである 「Diameter Base ProtocolJ
非特許文献 6 ： 1 9 9 9年 1月発行の B. Abobaによる IETF RFC 2486 である 「The Network Access IdentifierJ
今日のインターネットは、 複数の固定ネットワーク · ノードからなるシス テムの周りに多数の周辺データ通信ネットワークが配備されるという段階ま で進化している。 これらの周辺ネットワークのほとんどは、 各種サービス - プロバイダ又は組織によって制御されている。 このため、 これらのネットヮ ークでは、 種々の方法を使用してアクセス制御を実施している。 そのうえ、 基礎をなすネットワーク 'インフラストラクチャはこれらの周辺ネットフ一 ク間 （例えば、 無線ネットワーク対有線ネットワーク） で非常に異なってい る。 可能なアクセス制御方法は、 使用する基礎的インフラス トラクチャによ つて制限される。 その結果、 広範囲のアクセス制御方法が存在している。 例えば、 米国電気電子通信学会 （ I EE E) の 80 2.1 X規格では、 ロー カル 'エリア ·ネッ トワーク用のネッ 卜ワーク · アクセス · プロ トコルを定 義している （非特許文献 1)。 この規格は、 1 £££ 80 2.3ィーサネット 又は I EEE 80 2.i l無線ネッ トワークなどの I EEE 8 0 2ネットヮ ークで使用するためのインターネット技術標準化委員会 （ I ETF) の拡張 可能認証プロ トコル （EAP) の拡張部分を定義している （非特許文献 2)。 もう一つの例は、 ネットワーク 'アクセスの認証を実施するためのプロ トコ ル （PANA) の作業部会における I ETFの進行中の努力であると思われ る（非特許文献 3)。 このようなネッ トワーク 'アクセス 'プロ トコルは通常、 ローカル■エリア 'ネットワークのために配備されるが、 アクセス制御メッ セージはそのローカル ·ネットワークに限定される。
状況によっては、そのローカル'エリア'ネットワークを越えてアクセス - 制御メッセージを移送することが必要になる場合もあるだろう。 例えば、 ァ クセスを承諾するサーバが異なるローカル 'エリア 'ネッ トワーク内に位置 する場合もある。 このような状況は、単一の管理ドメインが複数のローカル - エリア .ネットワークで構成されるときに発生する。 アクセス情報が様々な ローカル ·エリア .ネットワークに分散しているのではなく 1つの中央エリ ァに収集されている方が管理及び維持が容易なので、 これらのローカル 'ェ リア 'ネットワークを制御するために、 通常、 中央アクセス ·サーバを使用 する。 さらに、 このようなシナリオは、 モパイル端末が 1つのリモート -ェ リァ内の複数の無線ネットワーク内をローミングし、 そのホーム ·エリァに あるサーバによって認証することができるモパイル -ネットワーク ■インフ ラス トラクチャの広範囲にわたる配備により、 ますます一般的なものになつ ている。
これらの状況の場合、 通常、 1つ又は複数のパケット交換網を横断可能な プロ トコルが望ましい。 このようなプロ トコルの例は、 I ETFの広く配備 されたリモート認証ダイヤルイン 'ユーザ ·サービス （RAD I US) プロ トコル（非特許文献 4)及び現在定義中のダイァメータ（D I AMETER) · プロ トコル （非特許文献 5) である。 これらのプロ トコルは、 一般に、 認証 サーバ、 許可サーバ、 課金サーバが相互に通信するためのバックボーン 'ィ ンフラストラクチャを提供するために使用する。これらのプロ トコルは通常、 極めて広大なので、 終端端末に配備するには （計算及びメモリの両面で） 費 用がかかりすぎると見なされる場合が多い。
典型的な配備では、 端末が I EEE 8 0 2.1 Xなどのローカル ' ァクセ ス ■ プロ トコルを使用してローカル媒介に対するアクセス要求を実行するこ とになる。 次に、 この媒介は、 実際の許可及び認証を実行する RAD I US 又は D I AMETERを使用するリモート ■グローバノレ ·サーバと連絡をと る。 このような配置は、 無線モバイル■ ノードが EAPを使用してアクセス を要求し、 無線アクセス 'ポイントが RAD I US又は D I AMETERを 使用して有線ネットワーク上のサーバによって無線ユーザを検証するという 無線ネットワーク環境で最も一般的に見られるが、 それに限定されるわけで はない。
しかしながら、 ローカル 'ノードが P A N A、 I E E E 8 0 2 . 1 x、 その 他の E A Pベース■プロトコノレなどの 1つ又は複数のロー力ノレ■アクセス - プロトコルを使用し、 グローバル認証サー がダイァメータ又は R A D I U Sなどの他のグローバル■アクセス ·プロトコルを使用するネットワーク - アクセス環境では、 媒介において 2つのプロトコル間でセッションを維持す る効率のよい方法が存在しない。 そのうえ、 アクセス .プロトコルを変更す ると媒介を修正するために相当な努力を要することになるように、 媒介の実 施はアクセス ·プロトコルに緊密に連結されている場合が多い。
検討した従来技術のうち、 「変換エージェント」 と呼ばれ、 2つの異なるプ 口トコルをリンク可能な媒介の可能性を指定しているのはダイァメータ （非 特許文献 5 ) だけである。 しかし、 このようなエージェントの仕様は存在し ない。 8 0 2 . 1 x (非特許文献 1 ) の場合、 中間の 「認証システム」 が定義 されている。 しかし、 これは、 認証セッションの両方のエンドポイントと通 信するときに同じ 8 0 2 . 1 Xプロトコルを使用する媒介に制限される。 P A N A作業部会の憲章 （非特許文献 3 ) では 1つのホップ内で使用すべき P A N Aプロ トコルを具体的に識別しており、 すなわち、 ローカル . ノードとグ ローバル ·サーバの両方と通信するために P A N Aプロトコルを使用する媒 介はまったく存在し得ない。
このような場合、 媒介は、 認証セッションをグローバル認証サーバにリレ 一するために異なるプロトコルを使用しなければならなくなる。残念ながら、 このような媒介のアーキテクチャ及び動作は定義されていない。
さらに、 無線環境ではこのような媒介が多数配備されるので、 それ自体が 移動式である媒介を予想できる可能性は高い。 例えば、 列車又は航空機内の 無線アクセス ■ポイントである。 このような設定では、 中間ノードとグロ一 バル■サーバとの接続が瞬間的に機能停止するという重大な可能性が存在す る。 これは、 基地局間で高頻度のハンドオーバが発生するときに特に当ては まることである。 アクセス制御のほとんどの実施例はこのようなシナリオ向 けに最適化されていない。 中間ノードがグローバル■サーバを突き止めるこ とができないときに、 ローカル . ノードのアクセス要求が拒否又は保留され る場合が多い。 これは、 ローカル 'ノードが相互に通信する必要がある場合 には逆効果になる。 発明の開示
本発明の目的は、 中間ノードとグローバル■サーバとの接続が瞬間的に機 能停止する場合であっても、 複数のローカル 'ノードが相互に通信すること ができる、 複数のデータ通信ネットワークにおけるアクセス制御方法を提供 することである。
本発明では、 媒介が高レベルの状態マシンを使用して 2つ又はそれ以上の アクセス ·プロトコル間の同期を取ることができる。 特に、 使用する実際の アクセス ■プロトコルは、 状態マシンで使用するために 1組の汎用制御メッ セージ .セットに抽象化される。 このため、 アクセス .プロトコルの変更の 問題は、 影響を受けたプロトコルの変化のみに限定される。
そのうえ、 本明細書で開示する本発明は、 頻繁に接続が一時的に途絶える ことを考慮して設計されている。 したがって、 本発明は、 グローバル 'サー バと連絡を取ることができない場合でも複数のローカル · ノードが相互に通 信できるようにする手段を有する。
本発明は、 単一又は複数のデータ通信ネットワーク内のローカル ' ノード のアクセスを制御する中間ノードの動作を含む。 ローカル ' ノードがネット ワーク ' アクセスを必要とする場合、 中間ノードは、 その要求を許可するた めにグローバル 'サーバと連絡を取るよう構成されている。 ローカル ' ノー ドとグローバル ·サーバが使用するプロ トコルは同一のものか又は異なるも のにすることができる。グローバル'サーバへの接続が瞬間的に途絶えると、 本発明により、 媒介はローカル · ノードに対してネットワーク · アクセスを 一時的に承諾することができ、 したがって、 複数のローカル . ノードは依然 として相互に通信することができる。 図面の簡単な説明
図 1は、 通信ネットワーク ' シナリオを示す図であり、 典型的なシナリオ で中間ネットワーク'ノードに接続された通信ネットワークを示す図である。 グローバル .サーバにより、 中間ノードはローカル · ノードによるローカル 及びグ口一バル 'ネットワーク資源へのァクセスを制御する。
図 2は、 アクセス制御におけるメッセージ ' フロー · シーケンスを示す図 であり、 グローバル■サーバによりローカル · ノードのアクセス制御を実行 するときの制御メッセージの一般的なフロー · シーケンスを示す図である。 中間ノードは、 ローカル■ ノードとグローバル .サーバとの間のリ レー ·ェ 一ジェントとして機能する。 1 4個の汎用制御メッセージが示されている。 図 3は、 状態遷移図であり、 それに関連するアクティブ . セッションを一 切持 ていないローカル ' ノードから中間ノードが新しいデータ 'パケット を受信したときの状態遷移図を示している。
図 4は、 状態遷移図であり、 それに関連するアクティブ ' セッションを一 切持っていないローカル . ノードから中間ノードが新しいデータ ■バケツト を受信したときの状態遷移図を示している。 この状態図は、 ネットワーク資 源の解除の確認が不要なときに、 図 3から簡略化されたものである。
図 5は、 パケットを処理するためのフローチャートであり、 ローカル - ノ 一ドから受信したバケツトを処理するために中間ノードが使用するアルゴリ ズムを示す図である。
図 6は、 中間ノードのアーキテクチャを示す図であり、 ローカル . ノード とグローバル .サーバが使用するアクセス 'プロトコノレ■ メッセージを処理 するためのローカル及びグローバル■ アクセス ■プロ トコノレ ·ュニットと、 実際のアクセス ■プロトコル■メッセージを 1 5個の汎用制御メッセージの 1つにマツビングするメッセージ ·マツビング ·ュニットと、 状態遷移図を 実施する状態マシンとで構成される中間ノードのアーキテクチャを示す図で ある。 発明を実施するための最良の形態
以下、本発明の実施の形態について、添付図面を参照して詳細に説明する。 ここでは、 中間ネットワーク要素でネットワーク資源を制御するための装 置を開示する。 本発明を理解しやすくするため、 以下の定義を使用する。 ·「パケット」 は、 データ ·ネットワーク上で送達可能な任意の可能なフォー マツトのデータの自己完結型単位である。
-「媒介」、 「中間ネットワーク要素」、 及び 「中間ノード」 は同等のものであ り、特に明記していない限り、本発明が適用されるゲートウエイ、アクセス · ルータ、 又はィンテリジェント ■ネットワーク ·ハブを指すために区別なく 使用する。
以下の記述では、 説明のため、 本発明を完全に理解するために、 具体的な 数、 時間、 構造、 その他のパラメータを示す。 しかし、 このような具体的な 詳細がなくても本発明を 施できることは当業者には明らかになるだろう。 本明細書で開示する本発明は、 図 1に示すように、 2つ又はそれ以上のデ ータ通信ネットワークに接続された中間ネットワーク ·ノードで使用するよ う設計されている。本発明の主題である中間ノード（ 10 3) は、 ローカル - ノード（1 0 1) によるローカル-ネットワーク （1 02)及ぴグ口一バル · ネットワーク (1 04) へのアクセスを制御している。 ネットワーク ·ァク セスを要求している新しいローカル ' ノード （10 1) が存在するときは、 中間ノード （1 0 3) は、 ローカル ' ノード （10 2) に対してネットヮー ク -アクセスを承諾する際の権限者であるグローバル .サーバ （1 0 5) に 相談しなければならなくなる。 図 2は、 中間ノード （ 1 03 )、 ローカル 'ノード （ 1 0 1 )、 グロ一バル · サーバ （1 0 5) 間の制御メッセージの典型的なフロー■ シーケンスを示し ている。
通常、 ローカル . ノード （10 1) は、 L一 ACCE S S—REQ (20 2) が示すようにローカル ·アクセス要求メッセージを中間ノード （1 0 3) に送信することによってアクセスを要求しなければならなくなる。 このメッ セージは、 普通はローカル ' ノード （1 0 1) を識別し、 必要なネットヮー ク資源を表明することになる。 しかし、 ローカル ' ノード （10 1) は、 こ のような要求は不要であるものと想定し、 他のローカル 'ネットワーク （1 02) 又はグローバル .ネットワーク （1 04) 内の単一又は複数のノード にデータ ■バケツトを送信するなど、 ネットワーク資源の使用を直接試行す ることができる。 中間ノード （1 03) 力 あらかじめアクセスが承諾され ていない （又は、 以前の承諾が満了している） ローカル ' ノード （1 0 1) からこのようなパケットを受信すると、 中間ノード （1 03) は、 L— AC CE S S— I N I T (20 1) メッセージを送信することにより、 L— AC CES S— REQ (202) メッセージを送信するようローカル'ノード（1 0 1) に通知することができる。
中間ノード （1 03) は、 L一 ACCE S S— REQ (202) を受信す ると、 G— ACCE S S— REQ (20 3) メッセージによりグローバノレ ■ サーバ （1 0 5) と連絡を取る。 この制御メッセージは、 ローカル ' ノード (101) からの新しいアクセス要求をグローバル ·サーバに通知する。 次 にグローバル 'サーバ （1 05) は、 その要求を受理、 拒否、 又は認証する ことができる。 要求を受理するために、 グローバル 'サーバ （1 05) は G — ACCE S S—OK (208) メッセージを中間ノード （103) に送信 する。 中間ノード （1 03) は、 これを受信すると、 L— ACCE S S— O K (20 9) メッセージをローカル - ノード (1 0 1) に送信することによ り、 ローカル . ノード （1 0 1) に対してアクセスを承諾する。 これ以降、 ローカル . ノード （1 0 1) は、 それを解除することを選択するまで又は承 諾が満了するまで、 要求ネッ トワーク資源にアクセスすることができる。 ネットワーク資源を解除するために、 ローカル ' ノード （10 1) は、 L -LOGOF F (21 0) メッセージを中間ノード （1 0 3) に送信するこ とができる。 中間ノード （1 03) は、 L一 LOGOF F— ACK (2 1 1) メッセージで応答することにより、その解除を確認することになる。同時に、 中間ノード （1 0 3) は、 G— LOGOFF (2 1 2) を送信することによ り、 ローカル . ノード （1 0 5) が資源を解除したことをグローバル■サ一 バ (105) に通知することになる。 グローバル 'サーバ （1 05) は、 G —LOGOF F— ACK (2 1 3) 制御メッセージで確認する。 ネットヮー ク資源の解除に関する確認は任意のものであることに留意しなければならな い。 このような場合、 L— LOGOFF— ACK (2 1 1) 及び G— LOG OFF— ACK (2 1 3) 制御メッセージは不要である。
グローバル .サーバ （1 05) は、 要求を拒否する場合、 G— ACCE S S-RE J (2 14) 制御メッセージを中間ノード （1 0 3) に送信する。 これを受信すると、 中間ノードは、 L—ACCE S S— RE J (2 1 5) メ ッセージでローカル■ ノード （1 01) に通知する。
また、 別の方法として、 グローバル 'サーバ （1 05) は、 G— AUTH -REQ (204) メッセージを中間ノード （103) に送信することによ り、 ローカル ' ノード （1 0 1) を認証することを選択することができる。 中間ノード （1 03) は、 L一 AUTH— REQ (20 5) メッセージによ り、 これをローカル'ノード （1 0 1) にリレーする。 ローカル 'ノード （1 0 1) は、 中間ノード （1 0 3) に送信された L— AUTH— RE S (20 6) メッセージにより、 その認証に応答しなければならなくなる。 中間ノー ド （103) は、 G— AUTH—RE S (207) 制御メッセージにより、 これをグローバル 'サーバ （1 0 5) に転送する。 次にグローバル 'サーバ (105) は、 認証応答に基づいて、 その要求を受理又は拒否することがで きる。 そのうえ、 グローバル 'サーバは、 もう 1つの G— AUTH— R E Q (204) 制御メッセージによりローカル ' ノード （1 0 1) をさらに認証 することを選択することができる。
L-LOGOF F-ACK (2 1 1) 及び G— L O G O F F— A C K (2 1 3)メッセージが任意のものであることから、 2組の汎用制御メッセージ' セットを識別することができる。 第 1に、 1組のフルセッ トは、 後述する特 徴 （3) に列挙するように、 上記で定義した 1 5個のメッセージすべてで構 成される。 第 2に、 1組の縮小セットは、 後述する特徴 （2) に列挙するよ うに、 L— LOGOFF— ACK (2 1 1) 及び G— L O G O F F— A C K (2 1 3) メッセージを含まない、 1 3個のメッセージのみで構成される。 上記の例示で鮮明に示すように、 中間ノード （1 0 3) は、 ローカル - ノ ード （1 0 1) との間のメッセージと、 グローバノレ 'サーバ （1 0 5) との 間のメッセージとの同期を取るために、 アクセス要求セッション中の状態を 維持しなければならなくなる。 容易にするため、 後述する特徴 （8) に列挙 するように、 以下のデータ 'フォーマット 1に示すデータ構造を定義する。 t y p e d e f s t r u c t一 s e s s i o n― t a g一 [
NODE一 I NFO l o c a l _n o d e_ i n f o ；
S TATE s t a t e ;
BUFFER p a c k e t □ ;
} SE S S I ON ;
データ ·フォーマッ ト 'セッションは、 1 o c a 1一 n o d e一 i n f o、 s t a t e, パケット 'アレイという 3つの主要フィーノレドを含む。 1 o c a 1一 n o d e_ i n f oフィーノレドは、 ロー力ノレ ' ノード （1 0 1) の識 別情報を記憶するために使用する。 これは、 ユーザ識別、 ネットワーク -ァ クセス識別子 （非特許文献 6)、 ネットワーク ·ィンタフェース ·カードの何 らかの固有の識別子を含むことができる。 s t a t eフィールドは、 ァクセ ス要求の現行状況を記憶するために使用する。その使用法は、中間ノード（1 0 3 )の動作をさらに開示するときに本明細書で後ほど明らかになるだろう。 バケツト ■アレイは、 ローカル ' ノード （1 0 1) のアクセス要求が保留に なっているときに又はグローバル■ネットワークの接続性が一時的に途絶え たときに、 ローカル.ノード （1 0 1) との間で送信される発信データ ·パ ケットを一時的に記憶するために使用する。 バケツト ■アレイの使用につい ては、 本明細書で後ほどさらに開示する。
一方はローカル 'ノード （1 0 1) と媒介との間であり、 もう一方は媒介 とグローバノレ'サーバ （1 05) との間という 2つのセッションを正常に維 持するために、 1組の状態と状態間遷移のセットが必要である。 後述する特 徴 （1 1) 及び （1 2) は、 本発明の動作にとって重要な 1組の状態と状態 遷移の最小セットを指定している。 しかし、 本発明が正しく動作するために は、 より完全な 1組の状態と状態遷移のセットが必要である。 後述する特徴 (14)、 （1 5)、 （1 7)、 (1 8) に関連して図 3及び図 4に示す状態遷移 図で説明するように、 本書では 2組のこのような完全なセットを開示する。 開示した本発明を実施するために他の状態と状態遷移のセットを定義できる ことは当業者には明らかであるはずである。 にもかかわらず、 このような 1 組のセットは、 後述する特徴 （1 1) 及び （1 2) に列挙した最小セットを 何らかの形で取り込むことになる。
図 3は、 1組の汎用制御メッセージ 'セットが L— LOGOFF—ACK 及び G— LOGOF F— ACKメッセージを含む場合の状態図を示している。 これらのメッセージが不要な場合、 状態図は図 4に示すものに簡略化するこ とができる。 合計 9通りの別個の状態が定義されているが、 これらは以下の 通りである。
■ S— I N I T (30 1) ：
あらかじめアクセスが承諾されておらず、 保留アクセス承諾がまったくな いローカル .ノード （1 0 1) から新しいパケットを受信したときの初期状 態である。 このローカル ' ノード （1 0 1) 用に新しいセッション構造が割 り振られ、 初期設定されることになる。 このセッション構造は、 S— D I S CONN (307)状態に達するまで存在し続けることになる。 したがって、 ローカル . ノード （1 0 1) が保留又は承諾アクセスを有するかどうかをチ ェックする方法は、 同様の l o c a l— n o d e_ i n f oを有するセッシ ヨン構造を突き止めることにより、 ローカル 'ノード （1 0 1) に関連する アクティブ■セッション構造があるかどうかをチェックすることである。 この状態は、 必ず他の状態に遷移することになる過渡状態である。 遷移後 の状態は、 受信バケツト ■タイプによって決まる。 受信データ ■バケツトが L一 ACCE S S— REQ (20 2) メッセージである場合、 符号 3 1 1で 示される遷移が示すように、 次の状態は S— RE S— WA I T (30 3) に なる。 この遷移で変数 t r yは、 接続失敗を宣言する前に送信するための G -ACCE S S-REQ ( 20 3) の回数を定義する数値 nRESに設定され る。 受信したパケットが普通のデータ ·パケットであ'る場合、 符号 3 1 0で 示される遷移が示すように、 次の状態は S—ACC— WA I T (30 2) に なる。 この遷移で変数 t r yは、 接続失敗を宣言する前に送信するための L — AC CE S S— I N I T (20 1) の回数を定義する数値 nACCに設定さ れる。
■ S— ACC— WA I T (30 2) :
中間ノード （1 03) がそれから L一 ACCE S S— REQ (202) を 受信していないローカル ' ノード （1 0 1) から普通のパケットを受信する と、 この状態に入る。 これは、 ローカル ' ノード （10 1) が L— ACCE S S—REQ (202) メッセージを送信するのを中間ノード （1 03) が 待っている状態である。この状態に入ると、 L一 ACCE S S- I N I T (2 0 1) メッセージがローカル ' ノード （1 0 1) に送信され、 変数 t r yが 減分されることになる。 また、 同時に、 値 tACCのタイマが始動することに なる。 このタイマが切れると、 新しい状態遷移が誘発される。 t r yが 0よ り大きい場合、 自己遷移が発生し、 すなわち、 符号 320で示される遷移が 示すように、 S—ACC— WA I T (302) 状態に再び入る。
これに対して、 t r yが 0に等しい状態でタイマが切れた場合、ローカル- ノード （10 1) との接続試行が失敗したと思われ、 符号 3 22で示される 遷移が示すように、 次の遷移状態は S— D I S CONN (307) になる。 ローカル 'ノード （1 0 1) から L— ACCE S S— REQ (202) メッ セージを受信すると、 タイマにかかわらず、 S— RE S -WA I T (30 3) への状態遷移が発生する可能性がある。これは、予期された状態遷移である。 符号 321で示されるように、 この遷移の間、 変数 p k tは G— ACCE S S -REQ (203) に設定され、 t r yは nRESに設定される。
■ S— R E S -WA I T (30 3) :
中間ノード （1 03) がローカル ' ノード （10 1) から L— ACCE S S—REQ (202) を受信すると、 この状態に入る。 これは、 グローバル · サーバ （105) がアクセス要求を受理するための G— AC C E S S—〇K (208)、アクセス要求を拒否するための G— AC C E S S—RE J (21 4)、 アクセス要求を認、証するための G— AUTH— REQ ( 204) のいず れかの形で応答を返送するのを中間ノード （1 03) が待っている状態であ る。
この状態に入ると、 中間ノード （1 03) は、 p k tの値に応じて G— A CCE S S-REQ (203) 又は G— AUTH— RE S (207) をグロ 一バル 'サーバ （1 05) に送信し、 変数 t r yを減分し、 値 t RESのタイ マを始動することになる。 このタイマが切れると、 新しい状態遷移が誘発さ れる。 t r yが 0より大きい場合、 自己遷移が発生し、 すなわち、 符号 33 0で示される遷移が示すように、 S— RE S— WA I T (303) 状態に再 び入る。 タイマが切れたときに t r yが 0である場合、 符号 33 2で示され る遷移が行われることになる。 後述する特徴 （9) 及ぴ （1 0) に列挙した 中間ノード （103) の方針に応じて、 次の状態は S— CONN— LO ST (308) 又は S— D I S CONN (307) のいずれかになる。 その方針 I 中間ノード （1 03) がグローバル ·サーバ (1 0 5) と連絡を取れな いとき （Lost時） にアクセスを受理するものと想定することである場合、 次 の状態は S— CONN— LOS T (308) になり、 符号 3 34で示される 遷移が示すように、 L一 ACCE S S— OK (20 9) メッセージがロー力 ノレ 'ノード（1 0 1) に送信されることになる。 これに対して、 その方針が、 ' Lost時にアクセスを拒否するものと想定することである場合、次の状態は S 一 D I S CONN (307) になり、 符号 3 3 3で示される遷移が示すよう に、 L— ACCE S S— RE J (2 1 5) メッセージがローカル'ノード （1 0 1 ) に送信される。
タイマが切れていなくても S— RE S—WA I T (30 3) から他の状態 への遷移が発生する可能性がある。 これは、 中間ノード （1 03) がグロ一 ノ ノレ .サーバ （1 05) からメッセージを受信したときに発生する。 受信メ ッセージが G— ACCE S S— RE J (2 14) である場合、 符号 3 3 1で 示されるように、 状態 S— D I S CONN (307) への遷移が発生するこ とになる。 この遷移で L— AC C E S S— R E J (2 1 5) がローカル - ノ ード （1 0 1) に送信されることになる。 受信メッセージが G— AC C E S S-O (208) である場合、 符号 3 36で示されるように、 状態 S— C ONN (305) への遷移が発生することになる。 この遷移中に L一 ACC E S S-OK (209) メッセージがローカスレ ' ノード （1 0 1) に送信さ れ、 変数 t r yが nC0NNに設定される。 そうではなく、 受信メッセージが G -AUTH-R E Q (204) である場合、 次の状態は S— AU T H _ WA I T (304) になる。 符号 3 3 5で示されるこの遷移中に変数 t r yが n
AUTH 設定される。
• S— AUTH— WA I T (304) ：
中間ノード （1 03) .がグローバル 'サーバ （1 05) から G— AUTH -R EQ (204) を受信すると、 この状態に入る。 これは、 ローカル . ノ ード （1 0 1) が L一 AUTH— RES (206) メッセージで認証に応答 するのを中間ノード（1 03)が待っている状態である。 この状態に入ると、 L-AUTH-REQ (20 5) がローカル'ノード （1 01 ) に送信され、 変数 t r yが減分される。 そのうえ、 値 tAUTHのタイマが設定されるごとに なる。
このタイマが切れるか又はローカル ' ノード （1 0 1) から応答を受信す ると、 状態遷移が発生することになる。 t r yが 0より大きい状態でタイマ が切れた場合、符号 340で示されるように自己遷移が発生することになる。 タイマが切れたときに t r yが 0である場合、 ローカル ' ノード （1 0 1) との接続が途絶えたものと想定され、 符号 342で示される遷移が示すよう に、.汎用制御メッセージのフルセットを使用する場合 （図 3) は次の状態が S— LOGOF F (3 06) になる。 これに対して、 汎用制御メッセージの 縮小セットを使用する場合は、 符号 442で示される遷移が示すように、 次 の状態が S_D I S CONN (307) になる。
中間ノード （103) がローカル · ノード （10 1) から L— AUTH— RE S (206) 応答を受信した場合も状態遷移が発生する可能性がある。 この場合、 次の状態は S—RE S -WA I T (30 3) である。 符号 341 で示される遷移が示すように、 変数 t r yは nRESに設定され、 変数 p k t は G— AUTH— RE S (20 7) に設定される。
• S— CONN (30 5) :
ローカル ' ノード （1 01) のアクセス要求が承諾されたことを示す G_ ACCE S S -OK (208) メッセージを中間ノード （1 03) が受信す ると、 この状態に入る。 この状態に入ると、 変数 t r yが減分されることに なり、 値 tCONNのタイマが設定されることになる。 タイマが切れると、 状態 遷移が発生することになる。 タイマが切れたときに t r y力 SOより大きい場 合、 符号 350で示されるように自己遷移が発生することになる。 タイマが 切れたときに t r yが 0である場合、 中間ノード （1 0 3) はローカル - ノ ード （101) からいかなるパケットも受信していないので、 ローカル - ノ ード （1 0 1) との接続が途絶えたものと想定される。
これが発生すると、 汎用制御メッセージのフルセットを使用する場合 （図
3) は、 符号 3 5 3で示されるように状態 S_ LOGOF F (306) への 遷移が行われることになる。 縮小セットを使用する場合 （図 4) は、 符号 4 5 2で示される遷移が行われることになり、 その結果、 直接、 S— D I S C ONN (307) 状態になる。 符号 45 2で示される遷移中に、 G— LOG OF F (2 1 2) メッセージがグローバル ·サーバ ( 1 0 5) に送信される ことになる。
タイマがまだ切れていない場合でも、 中間ノード （1 03) がローカル - ノード （101) からパケットを受信すると状態遷移が発生する可能性があ る。 受信したパケットが、 ネットワーク資源の解除を示すための L— LOG OF F (2 10) メッセージである場合、 汎用メッセージのフルセッ トの場 合 （図 3)、 次の状態は S— LOGO F F (306) になる。 符号 3 52で示 されるこの遷移中に、 中間ノード （1 0 3) はローカル ' ノード （1 0 1) に L— LOGOF F-ACK (2 1 1) メッセージを送信し、 変数 t r yを n0FFという変数に設定することになる。
これに対して、縮小セットを使用する場合（図 4)、符号 45 2で示される 遷移が行われることになり、 状態 S_D I S CONN (307) に至る。 遷 移 452中に G— LOGOF F (2 1 2) メッセージがグローバル■サーバ ( 1 05) に送信されることになる。 し力、し、そのバケツトが通常のデータ · パケットである場合、 S— CONN (30 5) への自己遷移が発生すること になり、 符号 35 1で示される遷移が示すように、 変数 t r yが nC0NNとい う値にリセットされる。
• S-LOGOFF (306) ：
中間ノード （1 03) がローカル ' ノード （101) から L一 LOGOF F (21 0) メッセージを受信し、 汎用制御メッセージのフルセットを使用 する場合 （図 3)、 この状態に入る。 これは、 中間ノード （1 03) がグロ一 2003/012046
17 バル .サーバに G— LOGOF F (2 1 2) メ ッセージを送信し、 G— LO GOF F-ACK (21 3) 確認を待っている状態である。 この状態に入る と、 G— LOGOFF (2 1 2) メッセージがグローバル 'サーバに送信さ れ、 変数 t r yが減分される。 さらに、 値 t 0FFのタイマが設定されること になる。 t r yが 0より大きい状態でタイマが切れた場合、 符号 360で示 される状態遷移が示すように自己遷移が発生する。 t r yが 0に等しい状態 でタイマが切れた場合又はグローバル 'サーバ （1 0 5) から G— LOGO F F— ACK (21 3) メッセージを受信した場合、 S— D I S CONN (3 0 7) への状態遷移 （36 1) が発生することになる。
■ S— D I S CONN (30 7) ：
ローカル■ ノード （1 0 1) がもはやそのネットワーク資源を必要として いないと中間ノード （1 03) が判断すると、 この状態に入る。 この状態に 入ると、 ローカル 'ノード （ 1 0 1) に関連するセッション 'データ構造が 削除されることになる。 これ以上の状態遷移は一切発生しない。
■ S— CONN— LOST (308) ：
グローバル.ネットワーク （1 04)への接続が途絶えたと中間ノード（1 0 3) が判断し、 その方針が、 グローバル ' ネッ トワーク （104) への接 続が復元されるまでローカル ' ノード （1 0 1) のアクセス要求が承諾され るものを想定することである場合に、 この状態に入る。 それがローカル -ノ —ド （1 0 1) から L一 LOGOFF (2 1 0) メッセージを受信するまで 又はグローバル 'ネットワーク （104) への接続が復元されるまで、 この セッションは必ずこの状態に留まることになる。
前者の場合、汎用制御メッセージのフルセットを使用する場合（図 3)、符 号 3 8 1で示される遷移が示すように、 L— LOGOFF— ACK (2 1 1) メッセージがローカル ' ノード （10 1) に回答され、 次の状態は S— D I S CONN (307) である。 代わりに縮小セットを使用する場合 （図 4)、 符号 48 1で示される遷移が示すように、次の状態は S— D I S CONN (3 0 7) である。 これに対して、 グローバル 'ネットワーク (1 04) への接 続が復元された場合、 状態は S— RE S ET— WA I T (309) になる。 符号 38 0で示されるこの遷移中に変数 t r yは nRST という値に設定され る。
- S - R E S E T-WA I T (309) ：
中間ノード（1 03)がグローバル■ネットワークへの接続を回復すると、 この状態に入る。 これは、 前のアクセス要求セッションを再開する前に、 口 一カル ' ノード (1 01) から送信されたパケットを受信して、 ローカル · ノード (1 0 1) が依然としてアクティブであることを検証するのを待って いる状態である。 この状態に入ると、 変数 t r yが減分され、 タイマは値 t RSTで設定される。 このタイマが切れ、 t r yが 0より大きい場合、 自己遷 移 （390) が発生する。
一方、そうではなく、 t r yが 0に等しい状態でこのタイマが切れた場合、 ローカル ' ノード （101) はもはやそのネットワーク資源を必要としない ものと想定される。 この場合、 符号 3 9 1で示されるように状態 S— D I S CONN (307) への遷移が発生する。 ローカル ' ノード （1 0 1) 力 ら パケットを受信すると、 セッションはこの状態から出ることになる。 そのパ ケッ トが L一 LOGOFF (2 1 0) メッセージである場合、 汎用制御メッ セージのフルセットを使用する場合（図 3)、次の状態は S— LOGO F F (3 06 ) になる。
符号 3 9 2で示されるこの状態遷移とともに、 変数 t r yが n 0FFに設定 され、 L- LOGOF F - AC K (2 1 1) メッセージでロー力ノレ . ノード が確認される。 そうではなく、 代わりに縮小セットを使用する場合 （図 4)、 符号 49 2で示される遷移が示すように、次の状態は S— D I S CONN (3 0 9) になる。 この遷移 49 2中に、 G— LOGOFF (2 1 2) 制御メッ セージがグローバル .サーバ (1 05) に送信されることになる。
これに対して、 受信したパケッ トが L_ LOGO F F (2 10) メッセ一 ジではない場合、 ローカル■ ノードは依然としてアクティブにネットワーク 資源を使用しており、 したがって、 アクセス要求セッションを再開しなけれ ばならない。 これは、 符号 3 93で示されるように状態 S— ACC— WA I T (302) への状態遷移によって示される。 この遷移中に変数 t r yは n ACC 疋される。
状態図の上 己の雷兑明では、 II ACC！、 nREs、 nAUTH、 nRST、 ncoNN、 n OFF について数回言及している。 これらは、 再伝送試行の回数を制御するために 使用する 「再試行パラメータ」 である。 いずれかの制御パケットの再伝送が 望ましくないか又はそうではなく禁止された場合、 対応する 「再試行パラメ ータ」 を 1という値に設定することにより、 開示した状態遷移図が依然とし て適用可能であることは、 当業者にとって明らかであるはずである。 そのう え、 t ACCヽ t RESヽ t AUTHヽ t CONNヽ t RST、 t OFFにつレヽて数回目及してレ、 る。 これらは、 再伝送期間及び状態遷移タイミングを制御するためのタイム アウト 'パラメータである。
本発明により、 中間ノード （1 03) は、 グローバル 'ネットワーク （1 04) への接続が機能停止しているときにローカル ' ノード （1 0 1) に対 して一時的にアクセスを承諾することができる。後述する特徴（9)及び（1 0)に列挙するように、これは、方針に応じて構成可能なォプションである。 このような構成オプションは、 その最も単純な形式では、 それ自体をビット として表すことができ、 その場合、 0というビット値は方針が一時的にァク セスを拒否することであることを暗示し、 1というビット値は方針が一時的 にアクセスを承諾することであることを暗示する。 構成ォプションのスィッ チオン又はスィッチオフを示すためにビット ·ストリングを使用するなど、 他の形式の実施例も可能であることは当業者にとつて明らかであるはずであ る。
グローバル 'ネットワーク （1 04) への接続が機能停止している期間中 に、 方針がローカル ' ノード （1 0 1) に対してアクセスを承諾することで ある場合、 そのローカル 'ノード （1 0 1) から中間ノード （1 0 3) に接 続されたローカル 'ネットワーク （1 0 2) 内の他のローカル ' ノード （1 0 1) に送信されたすベてのデータ 'パケットが転送される。 しカゝし、 グロ 一バル 'ネットワーク （104) 向けのデータ .パケットはすべてが転送で きるわけではない。 これらは、 後述する特徴 （26) 及び （27) に列挙す るように、 ローカル.ノード（1 0 1) に結合されたバッファに記憶される。 このため、 セッション構造内のパケット ·アレイを使用する。 これは、 グ ローバル ' ネッ トワーク （1 04) への接続が機能停止したときにグローバ ル ·ネットワーク （1 04) 向けにローカル ' ノード （1 0 1) から送信さ れたデータ ·パケットを記憶するために使用することができる。 接続が復元 され、 グローバル 'サーバ （1 05) によってアクセスが承諾されている場 合、 バケツト ■ァレイに待ち行列化されたパケットは、 アクセスが承諾され た後で受信された場合と同様に処理される。
パケット ·アレイは、 グローバル ' ネッ トワーク （104) への接続が通 じているときにも使用することができる。 これは、 後述する特徴 （24) 及 び （25) に列挙するように、 グローバル ·サーバ （1 05) がまだァクセ ス要求を承諾しなければならないときに、 ローカル 'ネットワーク （1 02) を含む、 任意の宛先にローカル 'ノード （1 0 1) から送信されたデータ - パケットを記憶することである。 例えば、 セッションが依然として状態 S— RE S— WA I T (303) 又は S— AU T H— WA I T (304) にある 場合である。 アクセスが承諾されると、 パケット ·アレイに待ち行列化され たデータ ■パケットは、 アクセスが承諾された後で受信した場合と同様に処 理される。
図 5は、 後述する特徴 （22) 及び （2 3) に関連して、 ローカル ' ノー ド （10 1) からパケットを受信したときに中間ノード （1 03) が使用す るアルゴリズムを示している。符号 50 1で示されるステップに示すように、 まず、 セッション構造のリストをサーチして、 ローカル 'ノード （1 0 1) に結合されたセッションを突き止める。 このサーチはすべてのセッション構 造に及ぶ単純なサーチである場合もあれば、 l o c a l— n o d e— i n f oフィールドでのハッシュ関数を使用する場合もある。 いかなる構造も見つ からない場合、 符号 502及び 503で示されるステップに示すように、 図 3又は図 4に示す状態マシンが支配する新しい状態マシンをィンスタンス化 する。
セッション構造が見つかった場合、 符号 504で示されるステップが示す ように、 次にそのパケットが L一 ACCE S S— REQ (202) メ ッセ一 ジ、 L— AUTH— RE S (206) メッセージ、 又は L一 LOGOFF (2 1 0) メッセージであるかどうかをチェックする。 そうである場合、 メッセ ージは、 符号 50 5で示されるステップに示すように、 状態遷移図が指図す る通りに処理される。 そうではない場合、 符号 506及び 508で示される ステップに示すように、 その状態をチェックして、 それが S— CONN (3 05) 又は S— C ONN— L O S T (308) であるかどうかを確認する。 その状態が S— CONN (30 5) である場合、 符号 507で示されるス テツプが示すように、 パケットは通常通りに送信され、 状態マシンは次の状 態へ移行する。 その状態が S— CONN— LOST (308) である場合、 そのパケットがグローバ/レ 'ネットワーク (1 04) 又はロー力ノレ 'ネッ ト ワーク （1 0 2) 向けであるかどうかをチェックする。 そのパケッ トがロー カル 'ネッ トワーク （ 1 02) 向けである場合、 符号 5 1 2で示されるステ ップに示すように、 それは送信され、 状態マシンは次の状態へ移行する。 そ のパケットがグローバル .ネットワーク （1 04) 向けである場合、 符号 5 1 1で示されるステップに示すように、 それはセッション構造に待ち行列化 され、 状態マシンは次の状態へ移行する。 これに対して、 その状態が S— C ONN (305) 又は S _ C〇 N N— L O S T (308) のいずれでもない 場合、 符号 50 9で示されるステップが行われる。 このステップでは、 パケ ットはセッシヨン構造に待ち行列化され、状態マシンは次の状態へ移行する。 開示した本発明の実用的な実施例では、 待ち行列化すべきバケツトの数に 制限を設定することは非常に妥当なことである。 パケット 'アレイが一杯で あるときにより多くのパケットを待ち行列化する必要がある場合、 着信パケ ットを通知なしで廃棄することができる。 さらに、 パケット ·アレイのサイ ズを 0に設定することにより、 パケットの待ち行列化を一切行わないシステ ムに本発明を縮小することは、 当業者には明白であるはずである。
後述する特徴 （1) に関連して、 図 6は中間ノード （1 03) のァーキテ クチャを示している。 これは、 ローカル ·ネットワーク (102) 内のロー カル 'ノード （1 0 1) が使用するアクセス ■プロトコルを処理する単一又 は複数のローカル ' アクセス ■ プロ トコル 'ユニット （60 1) と、 グロ一 バル .サーバ （1 05) が使用するアクセス ' プロ トコルを処理する単一又 は複数のグ口一バル ·アクセス 'プロ トコル -ユニット （602) で構成さ れる。
ローカル ' ノード （1 0 1) との間のメッセージは、 符号 6 1 1で示され るデータ経路が示すように、 ローカル ·アクセス ,プロトコル ·ュニット ( 6 0 1) によって処理される。 グローバル ' サーバ （1 0 5) との間のメッセ ージは、 符号 6 1 5で示されるデータ経路が示すように、 グローバル 'ァク セス . プロ トコル ' ユニッ ト （602) によって処理される。 図 6に示すァ ーキテクチヤは、 ローカル及びグローバル ·アクセス ·プロトコルが使用す るメッセージを図 2で定義した' 1 5個の制御メッセージの 1つにマッピング するメッセージ■マッピング■ユニット （603) と、 図 3又は図 4に記述 した状態遷移図を実施する状態マシン （604) も含む。
ロー力ノレ · アクセス .プロトコル■ュ-ット (60 1) 及びグローバノレ - アクセス ·プロトコノレ . ュニット (60 2) からのメッセージは、 それぞれ 符号 6 1 2及び 6 14で示されるデータ経路が示すように、 汎用制御メッセ ージにマッピングされる。 次に、 マッピングしたメッセージは、 符号 6 1 3 で示されるデータ経路が示すように、 状態マシン （604) に渡される。 状 態マシン （604) がローカル ' ノード （1 0 1) 又はグローバル 'サーバ (105) にメッセージを送信することを決定すると、 これらのメッセージ は、 符号 6 1 3で示されるデータ経路を介してメッセージ ·マツビング ·ュ ニット （603) に渡されて、 実際の制御メッセージにマッピングされる。 実際の制御メッセージは、 それぞれ符号 6 1 2及び 6 1 4で示されるデータ 経路を介してローカル ·アクセス ■プロトコル■ュニット （60 1) 又はグ ローバノレ · アクセス 'プロト コノレ ' ユニッ ト (60 2) に渡されて、 ロー力 ル ·ノード （1 0 1) 又はグローバル ·サーバ （1 05) に送信される。
1 5個の汎用制御メッセージのフルセットを使用するか又は L一 LOGO F F-ACK (2 1 1) 及び G— L O G O F F— A C K (2 1 3) を含まな い縮小セットを使用するかは、 実施者の責務である。 したがって、 メッセ一 ジ -マッピング .ユニット (603) は、 後述する特徴 (4) 及び （5) に 列挙するように機能するはずである。実際には、後述する特徴（6)及び（7) に関連して、フルセットを使用することが一般的な解決策であり、その場合、 L-LOGOF F-AC (2 1 1) 汎用メッセージはヌル■メッセージに マッピングし、 すなわち、 実際の制御メッセージはローカル■アクセス ·プ ロトコル .ユニット (60 1) によってまったく送信されず、 G— LOGO F F-ACK (2 1 3) 汎用メッセージは仮想メッセージにマッピングし、 そのメッセージは常に G _ L〇 G〇 F Fメッセージを送信するときに必ず受 信済みであることが暗示される。
同様に、 実施者は、 後述する特徴 （1 7) に列挙する汎用制御メッセージ のフルセッ ト又は後述する特徴 （1 9) に列挙するように使用する汎用制御 メッセージの縮小セッ トの選択に応じて、 状態マシン （604) を図 3又は 図 4に開示した状態遷移図に基づくものにすることができる。 実際には、 図 3に示す状態遷移図を使用することが一般的な解決策である。 汎用制御メッ セージの縮小セッ トを使用すると、 後述する特徴 （2 1) 及び （22) に列 挙するように、 n OFFを 1に設定し、 タイマ値 t OFFを 1マイクロ秒などの非 常に小さい値に設定することにより、 図 4に示す状態遷移図の動作を導出す ることができる。
本発明により、 単一又は複数のローカル■データ通信ネッ トワーク内の口 一カル , ネッ トワーク ■ ノードのネッ トワーク · アクセスを制御する媒介が 可能になる。 これにより、 ネットワーク 'アクセスを承諾する決定が外部グ ローバル .サーバに位置することができ、 したがって、 媒介は認証及ぴァク セス問題で過負荷になる必要がない。 本発明の使用により、 中間ノードは、 ローカル ' ノードとグローバル .サーバとのアクセス要求メッセージを容易 に同期させることができる。 そのうえ、 開示した本発明により、 媒介は、 グ ローバル 'ネッ トワークが途絶えたときにローカル■ ノードに対して一時的 にアクセスを承諾することもできる。
これにより、 ローカル ' ノードは、 グローバル接続が一時的に機能停止し ているときに相互に通信し続けることができる。 また、 グローバル 'ネット ワークに送信されたバケツ トは、 グ口一バル接続が復元される (そしてァク セスが承諾される） と、 ローカル · ノードが再送信するのを待つ必要なしに これらのバケツトを直ちに送信できるように待ち行列化される。
なお、 以下に本発明の特徴を列記しておく。
( 1 ) 本発明のネットワーク 'アクセス制御フレームワーク装置は、 複数 のバケツト交換データ通信ネットワーク内の資源へのアクセスを制御するた めのネッ トワーク ' アクセス制御フレームワーク装置において、 前記ァクセ ス制御フレームワークにより、 1つ又は複数のローカル ·ネットワーク内の ローカル ' ノードはアクセス制御され、 1つ又は複数のグローバル 'ネット ワーク内のグローバル · ノードはアクセス制御されず、
i . 単一又は複数のローカル ·アクセス ·プロ トコル'ュニットであって、 特定のアクセス ·プロ トコルを使用してローカル · ノードからアクセス要求 を受信するローカル · アクセス ·プロ トコル 'ュニットと、
i i . 単一又は複数のグローノ ノレ 'アクセス 'プロ トコノレ 'ユニットであ つて、 グローバ^ ネッ トワーク内の 1つ又は複数のグローバノレ■ サーバか らアクセス応答を受信し、 ローカル ' ノードからのアクセス要求に対して認 証応答を提供するグローバル · アクセス ·プロ トコル 'ュニットと、
i i i . 前記単一又は複数のローカル ·アクセス ·プロ トコル■ュニッ ト で使用する制御メッセージと、 前記単一又は複数のグローバル · アクセス - プロ トコル .ュニットで使用する制御メッセージを、 1組の制御メッセージ の汎用セットにマッビングするメッセージ■マッビング ·ュニッ トと、
i v . 前記制御メッセージの汎用セットに基づいて前記ネットワーク -ァ クセス制御フレームワーク装置の動作を制御するための状態マシンと、 を有する。
(2) 上記 （1) 記載の装置は、 制御メッセージの汎用セットが、 i . アクセス要求が必要であることをローカル · ノードに通知するために 使用する L一 ACCE S S— I N I T汎用制御メッセージと、
i に 被制御ネットワーク資源へのアクセスを要求するためにローカル ' ノードから送信される L一 ACCE S S— REQ汎用制御メッセージと、 i i i . ローカル ' ノードが被制御ネットワーク資源へのアクセスを要求 していることをグローバル ·サーバに通知するために使用する G— AC C E S S— REQ汎用制御メッセージと、
i v . 被制御ネッドワーク資源へのアクセスを要求しているローカル - ノ —ドに関する認証情報を要求するためにグローバル■サーバから送信される 0— 11丁1^ー1 £0汎用制御メッセージと、
v . 前記ローカル · ノードから認証情報を要求するために、 被制御ネット ワーク資源へのアクセスを要求しているローカル · ノードに送信される L— AUTH— REQ汎用制御メッセージと、
V i . 被制御ネットワーク資源へのアクセスを要求するためにローカル ' ノードから送信される認証情報を提供するために、 ローカル · ノードから送 信される L一 AUTH— RE S汎用制御メッセージと、 v i i . 被制御ネットワーク資源へのアクセスを要求しているローカル - ノードからグローバル ·サーバに認証情報を送信するために使用する G— A UTH-RE S汎用制御メッセージと、
v i i に ローカル . ノードによる被制御ネットワーク資源へのアクセス の要求が承諾されたことを示すために、 グローバル 'サーバから送信される
G-AC CE S S—〇K汎用制御メッセージと、
i X . 被制御ネットワーク資源にアクセスするための要求が承諾されたこ とをローカル 'ノードに通知するために使用する L一 AC CE S S— OK汎 用制御メッセージと、
X . 被制御ネットワーク資源へのアクセスの解除を示すためにローカル - ノードから送信される L一 LOGOF F汎用制御メッセージと、
X に ローカル 'ノードによる被制御ネットワーク資源へのアクセスの解 除を示すためにグローバル■サーバに送信される G— LOGOF F汎用制御 メッセージと、
X i i . ローカル ' ノードによる被制御ネットワーク資源へのアクセスの 要求が拒否されたことを示すためにグローバル■サーバから送信される G— ACCE S S-RE J汎用制御メッセージと、
X i i i . 被制御ネッ トワーク資源にアクセスするための要求が拒否され たことをローカル 'ノードに通知するために使用する L一 AC C E S S-R E J汎用制御メッセージと、 を有し、
それにより、 メッセージ 'マッピング .ユニットが、 単一又は複数のロー カル■アクセス ·プロ トコル■ュニット及ぴ単一又は複数のグローバノレ ·ァ クセス 'プロトコル ·ュ-ットが使用する制御メッセージとの間で制御メッ セージの汎用セットをマッピングする。
(3) 上記 （2) 記載の装置は、 被制御ネットワーク資源へのアクセスの 解除の表示が必要なときに確認が必要である場合に、 上記 （1) に記載する 単一又は複数のローカル ·アクセス■プロトコル ·ュニット及ぴ単一又は複 数のグローバル 'アクセス 'プロ トコル■ュニットが使用する制御メッセー ジとの間でメッセージ ·マッピング ·ュニットがマッピングする制御メッセ ージの汎用セットが、
i . 被制御ネットワーク資源へのアクセスが解除されたことをローカル · ノードに確認するために使用する L一 LOGOFF—AC K汎用制御メッセ ージと、
i i . ローカル ' ノードによる被制御ネットワーク資源へのアクセスの解 除を確認するためにグローバノレ ·サーバから送信される G— LOGO F F- ACK汎用制御メッセージと、
をさらに有する。
(4) 上記 （2) 記載の装置は、 メッセージ ·マッピング■ユニットが、 上記 （1) に記載する単一又は複数のローカル ' アクセス ■ プロ トコル -ュ ニット及び単一又は複数のグローバル ·アクセス ■プロ トコル■ュニットが 使用する制御メッセージを、 上記 （2) に記載する制御メッセージの汎用セ ッ トのうちの 1つにマツピングする。
(5) 上記 （3) 記載の装置は、 メッセージ 'マッピング 'ユエットが、 上記 （1) に記載する単一又は複数のローカル ' アクセス ' プロ トコル 'ュ ニッ 1、及び単一又は複数のグロ一バル■アクセス ·プロ トコル -ュニットが 使用する制御メッセージを、 上記 （3) に記載する制御メッセージの汎用セ ットのうちの 1つにマッビングする。
(6) 本発明の方法は、 上記 （3) に記載する 1 5個の制御メッセージか らなる汎用セットを上記 （2) に記載する 1 3個の制御メッセージからなる 縮小汎用セットに一般化するために上記 （1) に記載するネットワーク ·ァ クセス制御フレームワーク装置のメッセージ ·マツビング ·ュニット内でマ ッビングするための方法において、
i . L-LOGOF F— AC K汎用制御メッセージをヌル · メッセージに マッピングするステップであって、 被制御ネットワーク資源へのアクセスの 解除のために確認が一切不要なときにローカル■アクセス 'プロトコル 'ュ ニットから実際のメッセージがまったく送信されないステップと、
i i . G— LOGOF F— ACK汎用制御メッセージを仮想メ ッセージに マッピングするステップであって、 被制御ネットワーク資源へのアクセスの 解除のために確認が一切不要なときに、 被制御ネットワーク資源へのァクセ スの解除の表示がグローバル■サーバに送信された直後に G— LOGO F F -AC K汎用制御メッセージが受信されているものと想定されるステップと、 を有する。
(7) 上記 （1) 記載の装置は、 上記 （6) に記載する方法を使用するこ とにより、 メッセージ 'マッピング 'ユニットが、 上記 （3) に記載する 1
5個の汎用制御メッセージからなる汎用セットを上記 （2) に記載する 1 3 個の制御メッセージからなる縮小汎用セットに一般化する。
(8) 上記 （1) 記載の装置は、 被制御ネットワーク資源へのアクセスの 要求から始まり被制御ネットワーク資源への解除までのセッションの間中、 ネットワーク ■ アクセス制御フレームワーク装置が使用するデータ ■ フォー マツトの構造がローカル ·ノードに関連し、 前記データ · フォーマツトが、 i .関連のローカル'ノードに関する情報を記憶するフィールドであって、 その情報を使用することにより関連のローカル■ ノードを識別できるように 十分な情報を記憶するフィールドと、
i 状態マシンの現行状況を記憶するフィールドと、
i i i . 関連のローカル ' ノードから送信されるデータ 'パケットを一時 的に記憶するために使用することができるフィールドと、
を有する。
(9) 上記 （1) 記載の装置は、 前記ネットワーク ■アクセス制御フレー ムワーク装置の方針を、
i . グローバル ·サーバへの接続が瞬間的に又はそれ以外に途絶えたと判 断された場合に、 グローバル 'サーバへの接続が途絶えたと判断された状態 が持続する期間中にすべての進行中又は新たに開始したネットワーク資源へ のアクセスの要求を拒否するという方針、 又は
i i . グローバル 'サーバへの接続が瞬間的に又はそれ以外に途絶えたと 判断された場合に、 グローバル■サーバへの接続が途絶えたと判断された状 態が持続する期間中にすべての進行中又は新たに開始したネットワーク資源 へのアクセスの要求を受理するという方針、
のうちの 1つに切り替えるためのメカニズムをさらに有する。
( 1 0 ) 本発明の切り替え方法は、 上記 （1 ) に記載するネットワーク - アクセス制御フレームワーク装置の方針を、.
グローバル 'サーバへの接続が瞬間的に又はそれ以外に途絶えたと判 断された場合に、 グローバル ·サーバへの接続が途絶えたと判断された状態 が持続する期間中にすベての進行中又は新たに開始したネットワーク資源へ のアクセスの要求を拒否するという方針、 又は
i i . グローバル .サーバへの接続が瞬間的に又はそれ以外に途絶えたと 判断された場合に、 グローバル 'サーバへの接続が途絶えたと判断された状 態が持続する期間中にすべての進行中又は新たに開始したネットワーク資源 へのアクセスの要求を受理するという方針、
のうちの 1つに切り替える。
( 1 1 )上記（1 )記載の装置は、 1組の状態が状態マシン内で使用され、 前記 1組の状態が、
i . アクセス要求が必要であることを示す制御メッセージがローカル - ノ 一ドに送信され、 ローカル■ ノードからアクセス要求メッセージが送信され るのを状態マシンが待っている S - A C C - WA I T状態と、
i i . アクセス要求が行われたことを示す制御メッセージがグローバル - サーバに送信され、 グローバル ·サーバから応答が送信されるのを状態マシ ンが待っている S— R E S— WA I T状態と、
i i i . 要求されたネットワーク資源へのアクセスがローカル ' ノードに 対して承諾される S— CONN状態と、
i v . ローカル · ノードによるすベてのネットワーク資原へのアクセスが 解除され、 ローカル■ノードに関連し、 上記 （8) に記載するデータ . フォ 一マツトを備えた構造が削除される S— D I S CONN状態と、
v . グローバル 'サーバへの接続が途絶えたと状態マシンが判断し、 グロ 一バル ·サーバへの接続が途絶えたときに一時的にアクセスを可能にするた めに上記（ 9 )に記載する方針が設定される S— CONN— LOST状態と、
V に 前の状態が S— CONN— LO S T状態であるのに対し、 グローバ ノレ -サーバへの接続が回復されたと状態マシンが判断する S— RE SET— WA I T状態と、
を有する。
(1 2) 上記 （1 1) 記載の装置は、 1組の状態間遷移が状態マシン内で 使用され、 前記 1組の遷移が、
i . 被制御ネットワーク資源へのァクセスを要求するための制御メッセ一 ジをローカル ·ノードが送信したという条件によってもたらされる、 S— A C C-WA I T状態から S— R E S -WA I T状態への遷移と、
i i . 指定の期間後に被制御ネットワーク資源へのアクセスの要求に応答 する制御メッセージをグローバル■サーバから受信していないという条件に よってもたらされ、 実行される自己遷移の回数が指定のしきい値を超えてい ない、 S— R E S— WA I T状態の自己遷移と、
i i i . 指定の期間後に被制御ネットワーク資源へのアクセスの要求に応 答する制御メッセージをグローバル ·サーバから受信していないという条件 によってもたらされ、 実行される自己遷移の回数が指定のしきい値を超えて おり、 上記 （9) 及び （1 0) に記載するようにアクセス要求を拒否するよ うに方針が構成される、 S— RE S— WA I T状態から S— D I S CONN 状態への遷移と、
i v . 指定の期間後に被制御ネットワーク資源へのアクセスの要求に応答 する制御メッセージをグローバノレ■サーバから受信していないという条件に よってもたらされ、 実行される自己遷移の回数が指定のしきい値を超えてお り、 上記 （9) 及ぴ （10) に記載するようにアクセス要求を受理するよう に方針が構成される、 S— R E S -WA I T状態から S— C ONN— L O S T状態への遷移と、
v. 被制御ネットワーク資源へのアクセスの要求を受理するための制御メ ッセージをグローバル■サーバが送信したという条件によってもたらされ、 前記遷移中に、 被制御ネットワーク資源へのアクセスの要求が受理されたこ とを示す制御メッセージがローカル · ノードに送信される、 S— RE S— W A I T状態から S— CONN状態への遷移と、
V i . 被制御ネットワーク資源へのァクセスの拒否を受理するための制御 メッセージをグローバル.サーバが送信したという条件によってもたらされ、 前記遷移中に、 被制御ネットワーク資源へのアクセスの要求が拒否されたこ とを示す制御メッセージがローカル■ ノ一ドに送信される、 S— R E S -W A I T状態から S _D I S CONN状態への遷移と、
V i i . 指定の期間後にローカル ' ノードからバケツトを受信していない という条件によってもたらされ、 実行される自己遷移の回数が指定のしきい 値を超えている、 S— CONN状態から S— D I S CONN状態への遷移と、
V i i に 被制御ネットワーク資源の解除を示すための制御メッセージを ローカル ·ノードから受信するという条件によってもたらされ、 この遷移中 に、 被制御ネットワーク資源の解除を確認するための制御メッセージがロー カル■ ノードに送信される、 S— CONN状態から S—D I S CONN状態 への遷移と、
i X . 被制御ネットワーク資源の解除を示すための制御メッセージをロー カル 'ノードから受信するという条件によってもたらされ、 この遷移中に、 被制御ネットワーク資源の解除を確認するための前記制御メッセージがロー カル■ ノードに送信される、 S— CONN— LOST状態から S—D I S C ONN状態への遷移と、
x . グローバル ·サーバへの接続が回復されたものと判断されるという条 件によってもたらされる、 S— CONN— LOST状態から S— RE S ET 一 WA I T状態への遷移と、
X i . 指定の期間後にローカル · ノードから送信されたパケットを受信し ていないという条件によってもたらされ、 実行される自己遷移の回数が指定 のしきい値を超えていない、 S— RE S ET-WA I T状態の自己遷移と、
X i i . 指定の期間後にローカル · ノードから送信されたパケットを受信 していないという条件によってもたらされ、 実行される自己遷移の回数が指 定のしきい値を超えている、 S— RE S ET—WA I T状態から S_D I S CONN状態への遷移と、
X i i i . 被制御ネットワーク資源の解除を示すための制御メッセージを ローカル■ ノードから受信するという条件によってもたらされ、 前記遷移中 に、 被制御ネットワーク資源の解除を確認するための制御メッセージがロー カル 'ノードに送信される、 S— RE S ET— WA I T状態から S— D I S CONN状態への遷移と、
X i V . ロー力ノレ.ノードからノヽ0ケットを受信したものの、 そのハ °ケット が被制御ネットワーク資源の解除を示すための制御メッセージではないとい う条件によってもたらされる、 S— RE S E T-WA I T状態から S— AC C一 WA I T状態への遷移と、
を有する。
(1 3) 上記 （1) 記載の装置は、 状態マシンが、 上記 （1 1) に記載す る 1組の状態と、 上記 （1 2) に記載する前記 1組の状態間遷移とを使用し て、前記ネットワーク.アクセス制御フレームワーク装置の動作を制御する。
(14) 上記 （1 1) 記載の装置は、 1組の状態が状態マシン内で使用さ れ、 前記 1組の状態が、
i . 上記 （8) に記載するデータ 'フォーマッ トを備えた構造が初期設定 され、 その構造が状態マシンを開始するローカル■ ノードに関連する S— I N I T状態と、
i に アクセス要求が必要であることを示す制御メッセージがローカル ' ノードに送信され、 ローカル ' ノードからアクセス要求メッセージが送信さ れるのを状態マシンが待っている S— ACC— WA I T状態と、
i i i . アクセス要求が行われたことを示す制御メッセージがグローバ ル ·サーバに送信され、 グローバル ·サーバから応答が送信されるのを状態 マシンが待っている S _R E S -WA I T状態と、
i v . 認証情報が必要であることを示す制御メッセージがローカル . ノー ドに送信され、 ローカル · ノードから認証応答メッセージが送信されるのを 状態マシンが待っている S - AUTH-WA I T状態と、
v . 要求されたネットワーク資源へのアクセスがローカル■ ノードに対し て承諾される S— CONN状態と、
V i . 要求されたネットワーク資源の解除を示す制御メ ッセージがグロ一 バル■サーバに送信され、 グローバル -サーバから確認メッセージが送信さ れるのを状態マシンが待っている S一 LOGOFF状態と、
V i i . ローカル■ ノードによるすベてのネットワーク資?原へのアクセス が解除され、 ローカル ' ノードに関連し、 上記 （8) に記載するデータ . フ ォーマットを備えた構造が削除される S— D I S CONN状態と、
V i i i .グローバル 'サーバへの接続が途絶えたと状態マシンが判断し、 グローバル .サーバへの接続が途絶えたときに一時的にアクセスを可能にす るために上記 （9) に記載する方針が設定される S— CONN— LOST状 態と、
i . 前の状態が S— CONN— LO ST状態であるのに対し、 グローバ ル ·サーバへの接続が回復されたと状態マシンが判断する S— RE SET— WA I T状態と、
をさらに有する。 ( 1 5 ) 上記 （1 4 ) 記載の装置は、 1組の状態間遷移が状態マシン内で 使用され、 前記 1組の遷移が、
i . 被制御ネットワーク資源へのァクセスを要求するための制御メ ッセ一 ジをローカル■ ノードが送信していないという条件によってもたらされる、 S— I N I T状態から S— A C C—WA I T状態への遷移と、
i に ネットワーク資源へのアクセスを要求するための制御メッセージを ローカル ·ノードが送信したという条件によってもたらされる、 S— I N I T状態から S— R E S—WA I T状態への遷移と、
i i i . 指定の期間後に被制御ネットワーク資源へのアクセスを要求する ための制御メッセージをローカル ·ノードから受信していないという条件に よってもたらされ、 実行される自己遷移の回数が指定のしきい値を超えてい ない、 S— A C C—WA I T状態の自己遷移と、
i v . 指定の期間後に被制御ネットワーク資源へのアクセスを要求するた めの制御メッセージをローカル · ノードから受信していないという条件によ つてもたらされ、実行される自己遷移の回数が指定のしきい値を超えている、 S - A C C -WA I T状態から S— D I S C O N N状態への遷移と、
V . 被制御ネットワーク資源へのァクセスを要求するための制御メッセ一 ジをローカル . ノードが送信したという条件によってもたらされる、 S— A C C -WA I T状態から S— R E S— WA I T状態への遷移と、
v i . 指定の期間後に被制御ネットワーク資源へのアクセスの要求に応答 する制御メッセージをグローバル ,サーバから受信していないという条件に よってもたらされ、 実行される自己遷移の回数が指定のしきい値を超えてい ない、 S _ R E S— WA I T状態の自己遷移と、
V i i . 指定の期間後に被制御ネットワーク資源へのアクセスの要求に応 答する制御メッセージをグローバル 'サーバから受信していないという条件 によってもたらされ、 実行される自己遷移の回数が指定のしきい値を超えて おり、 上記 （9 ) 及び （1 0 ) に記載するようにアクセス要求を拒否するよ うに方針が構成される、 S— RE S-WA I T状態から S_D I S CONN 状態への遷移と、
V i i i . 指定の期間後に被制御ネットワーク資源へのアクセスの要求に 応答する制御メッセージをグローバル■サーバから受信していないという条 件によってもたらされ、 実行される自己遷移の回数が指定のしきい値を超え ており、 上記 （9) 及び （1 0) に記載するようにアクセス要求を受理する ように方針が構成される、 S— RE S— WA I T状態から S— CONN— L O S T状態への遷移と、
i X . 被制御ネットワーク資源へのアクセスの要求を受理するための制御 メッセージをグ口—バル ·サーバが送信したという条件によってもたらされ、 この遷移中に、 被制御ネットワーク資源へのアクセスの要求が受理されたこ とを示す制御メッセージがローカル■ ノードに送信される、 S— RE S—W A I T状態から S— CONN状態への遷移と、
X . 被制御ネットワーク資源へのアクセスの拒否を受理するための制御メ ッセージをグローバル ·サーバが送信したという条件によってもたらされ、 この遷移中に、 被制御ネットワーク資源へのアクセスの要求が拒否されたこ とを示す制御メッセージがローカル■ ノードに送信される、 S—RE S -W A I T状態から S -D I S CONN状態への遷移と、
X i . ローカル .ノードから認証情報を要求するための制御メッセージを グローバル 'サーバが送信したという条件によってもたらされる、 S— RE S一 WA I T状態から S— AUTH— WA I T状態への遷移と、
X i i . 指定の期間後に認証情報の要求に応答する制御メッセージをロー カル ·ノードから受信していないという条件によってもたらされ、 実行され る自己遷移の回数が指定のしきい値を超えていない、 S— AUTH— WA I T状態の自己遷移と、
X i i i . 指定の期間後に認証情報の要求に応答する制御メッセージを口 一カル · ノードから受信していないという条件によってもたらされ、 実行さ れる自己遷移の回数が指定のしきい値を超えている、 S -AUTH-WA I T状態から S— LOGOFF状態への遷移と、
X i V . ローカル 'ノードから認証情報を要求するための制御メッセージ をグローバル■サーバが送信したという条件によってもたらされる、 S—R E S -WA I T状態から S—AUTH— WA I T状態への遷移と、
X v . 指定の期間後にローカル ·ノードからパケットを受信していないと いう条件によってもたらされ、 実行される自己遷移の回数が指定のしきい値 を超えていない、 S— CONN状態の自己遷移と、
X V i . 指定の期間後にローカル ' ノードからパケットを受信していない という条件によってもたらされ、 実行される自己遷移の回数が指定のしきい 値を超えている、 S— CONN状態から S— LOGOF F状態への遷移と、
X V i i . ローカル · ノードからバケツトを受信したという条件によって もたらされ、 そのバケツトが被制御ネットワーク資源の解除を示すための制 御メッセージではない、 S— CONN状態の自己遷移と、
X V i i i . 被制御ネットワーク資源の解除を示すための制御メッセージ をローカル · ノードから受信するという条件によってもたらされ、 この遷移 中に、 被制御ネットワーク資源の解除を確認するための制御メッセージが口 一カル■ ノードに送信される、 S— CONN状態から S— LOGOF F状態 への遷移と、
i X . 指定の期間後に被制御ネットワーク資源の解除の確認をグローバ ル■サーバから受信していないという条件によってもたらされ、 実行される 自己遷移の回数が指定のしきい値を超えていない、 S— LOGOF F状態の 自己遷移と、
. 指定の期間後に被制御ネットワーク資源の解除の確認をグローバ ル ·サーバから受信していないという条件によってもたらされ、 実行される 自己遷移の回数が指定のしきい値を超えている、 S— LOGOF F状態から S— D I S CONN状態への遷移と、 x x i . 被制御ネットワーク資源の解除の確認をグローバル ·サーバから 受信したという条件によってもたらされる、 S— LOGOF F状態から S— D I S C ONN状態への遷移と、
X X i i . 被制御ネットワーク資源の解除を示すための制御メッセージを ローカル . ノードから受信するという条件によってもたらされ、 この遷移中 に、 被制御ネットワーク資源の解除を確認するための制御メッセージがロー カル · ノードに送信される、 S— CONN— LOST状態から S—D I S C ONN状態への遷移と、
X X I i i . グローバル 'サーバへの接続が回復されたものと判断される という条件によってもたらされる、 S— CONN— LOST状態から S— R E S ET-WA I T状態への遷移と、
X X i v . 指定の期間後にローカル · ノードから送信されたパケットを受 信していないという条件によってもたらされ、 実行される自己遷移の回数が 指定のしきい値を超えていない、 S— RE S E T-WA I T状態の自己遷移 と、
X X V . 指定の期間後にローカル ' ノードから送信されたパケットを受信 していないという条件によってもたらされ、 実行される自己遷移の回数が指 定のしきい値を超えている、 S— RE S E T-WA I T状態から S— D I S C ONN状態への遷移と、
X X V i . 被制御ネットワーク資源の解除を示すための制御メッセージを ロー力ノレ■ノードから受信するという条件によってもたらされ、 この遷移中 に、 被制御ネットワーク資源の解除を確認するための制御メッセ一ジが口一 カル .ノードに送信される、 S— RE SET— WA I T状態から S— LOG OF F状態への遷移と、
V i i . ローカル 'ノードからパケットを受信したものの、 そのパケ ットが被制御ネットワーク資源の解除を示すための制御メッセージではない という条件によってもたらされる、 S— RE S ET— WA I T状態から S_ AC C一 WA I T状態への遷移と、
を有する。
(1 6) 上記 （1) 記載の装置は、 状態マシンが、 上記 （14) に記載す る 1組の状態と、 上記 （1 5) に記載する前記 1組の状態間遷移とを使用し て、前記ネットワーク'アクセス制御フレームワーク装置の動作を制御する。
(1 7) 上記 （1 1) 記載の装置は、 1組の状態が状態マシン内で使用さ れ、 前記 1組の状態が、
i . 上記 （8) に記載するデータ ·フォーマットを備えた構造が初期設定 され、 その構造が状態マシンを開始するローカル ' ノードに関連する S— I N I T状態と、
i アクセス要求が必要であることを示す制御メッセージがローカル - ノードに送信され、 ローカル · ノードからアクセス要求メッセージが送信さ れるのを状態マシンが待っている S— AC C—WA I T状態と、
i i i . アクセス要求が行われたことを示す制御メッセージがグローバ ル ·サーバに送信され、 グローバル■サーバから応答が送信されるのを状態 マシンが待っている S—RE S一 WA I T状態と、
i v . 認証情報が必要であることを示す制御メッセージがローカル ' ノー ドに送信され、 ローカル 'ノードから認証応答メッセージが送信されるのを 状態マシンが待っている S— AUTH— WA I T状態と、
v . 要求されたネットワーク資源へのアクセスがローカル 'ノードに対し て承諾される S— CONN状態と、
V i . ローカル ·ノードによるすベてのネットワーク資源へのアクセスが 解除され、 ローカル 'ノードに関連し、 上記 （8) に記載するデータ 'フォ 一マツトを備えた構造が削除される S— D I S CONN状態と、
V i i . グローバル 'サーバへの接続が途絶えたと状態マシンが判断し、 グローバル ·サーバへの接続が途絶えたときに一時的にアクセスを可能にす るために上記 （9) に記載する方針が設定される S— CONN— LO S T状 態と、
v i i i . 前の状態が S— CONN—LO S T状態であるのに対し、 グロ 一バル ·サーバへの接続が回復されたと状態マシンが判断する S— RE S E T-WA I T状態と、
をさらに有する。
(1 8) 上記 （1 7) 記載の装置は、 1組の状態間遷移が状態マシン内で 使用され、 前記 1組の遷移が、
i . 被制御ネットワーク資源へのアクセスを要求するための制御メッセー ジをローカル · ノードが送信していないという条件によってもたらされる、 S - I N I T状態から S— ACC— WA I T状態への遷移と、
i i . ネットワーク資源へのアクセスを要求するための制御メッセージを ローカル■ノードが送信したという条件によってもたらされる、 S— I N I T状態から S— RE S— WA I T状態への遷移と、
i i に 指定の期間後に被制御ネッ トワーク資源へのアクセスを要求する ための制御メッセージをローカル ' ノードから受信していないという条件に よってもたらされ、 実行される自己遷移の回数が指定のしきい値を超えてい ない、 S—ACC— WA I T状態の自己遷移と、
i v. 指定の期間後に被制御ネットワーク資源へのアクセスを要求するた めの制御メッセージをローカル · ノードから受信していないという条件によ つてもたらされ、実行される自己遷移の回数が指定のしきい値を超えている、 S— ACC— WA I T状態から S— D I S C O NN状態への遷移と、
V - 被制御ネットワーク資源へのァクセスを要求するための制御メッセ一 ジをローカル . ノードが送信したという条件によってもたらされる、 S— A C C-WA I T状態から S— RE S-WA I T状態への遷移と、
V に 指定の期間後に被制御ネットワーク資源へのアクセスの要求に応答 する制御メッセージをグローバル ·サーバから受信していないという条件に よってもたらされ、 実行される自己遷移の回数が指定のしきい値を超えてい ない、 S—RE S—WA I T状態の自己遷移と、
ν i i . 指定の期間後に被制御ネットワーク資源へのアクセスの要求に応 答する制御メッセージをグローバル■サーバから受信していないという条件 によってもたらされ、 実行される自己遷移の回数が指定のしきい値を超えて おり、 上記 （9) 及び （1 0) に記載するようにアクセス要求を拒否するよ うに方針が構成される、 S— RE S -WA I T状態から S— D I S CONN 状態への遷移と、
V i i 指定の期間後に被制御ネットワーク資源へのアクセスの要求に 応答する制御メッセージをグローバル■サーバから受信していないという条 件によってもたらされ、 実行される自己遷移の回数が指定のしきい値を超え ており、 上記 （9) 及び （1 0) に記載するようにアクセス要求を受理する ように方針が構成される、 S— RE S— WA I T状態から S— CONN— L O S T状態への遷移と、
i X . 被制御ネットワーク資源へのアクセスの要求を受理するための制御 メッセージをグ口一バル 'サーバが送信したという条件によってもたらされ、 この遷移中に、 被制御ネットワーク資源へのアクセスの要求が受理されたこ とを示す制御メッセージがローカル · ノ一ドに送信される、 S— RE S— W A I T状態から S— CONN状態への遷移と、
x. 被制御ネットワーク資源へのアクセスの拒否を受理するための制御メ ッセージをグローバル■サーバが.送信したとレヽぅ条件によってもたらされ、 この遷移中に、 被制御ネットワーク資源へのアクセスの要求が拒否されたこ とを示す制御メッセージがローカル■ ノードに送信される、 S— RE S -W A I T状態から S—D I S CONN状態への遷移と、
X i . ローカル■ノードから認証情報を要求するための制御メッセージを グローバル ·サーバが送信したという条件によってもたらされる、 S—RE S-WA I T状態から S— AUTH— WA I T状態への遷移と、
X i i . 指定の期間後に認証情報の要求に応答する制御メッセージをロー カル■ノードから受信していないという条件によってもたらされ、 実行され る自己遷移の回数が指定のしきい値を超えていない、 S— AUTH— WA I T状態の自己遷移と、
X i i i . 指定の期間後に認証情報の要求に応答する制御メッセージを口 一カル ' ノードから受信していないという条件によってもたらされ、 実行さ れる自己遷移の回数が指定のしきい値を超えている、 S -AUTH-WA I T状態から S—D I S CONN状態への遷移と、
X i v . ローカル 'ノードから認証情報を要求するための制御メッセージ をグローバル■サーバが送信したという条件によってもたらされる、 S— R E S一 WA I T状態から S— AUTH— WA I T状態への遷移と、
X v . 指定の期間後にローカル ·ノードからバケツトを受信していないと いう条件によってもたらされ、 実行される自己遷移の回数が指定のしきい値 を超えていない、 S— CONN状態の自己遷移と、
X V i . 指定の期間後にローカル ' ノードからパケットを受信していない という条件によってもたらされ、 実行される自己遷移の回数が指定のしきい 値を超えており、 この遷移中に、 被制御ネッ トワーク資源へのアクセスの解 除を示すための制御メッセージがグローバル 'サーバに送信される、 S— C ◦ NN状態から S— D I S CONN状態への遷移と、
X V i i . ローカル · ノードからバケツトを受信したという条件によって もたらされ、 そのパケットが被制御ネットワーク資源の解除を示すための制 御メッセージではない、 S— CONN状態の自己遷移と、
X V i i i . 被制御ネットワーク資源の解除を示すための制御メッセージ をローカル . ノードから受信するという条件によってもたらされ、 この遷移 中に、 被制御ネットワーク資源へのアクセスの解除を示す制御メッセージが グローバル ·サーバに送信される、 S一 C ONN状態から S -D I S CON N状態への遷移と、
i X . 被制御ネットワーク資源の解除を示すための制御メッセージを口 一カル■ ノードから受信するという条件によってもたらされる、 S— CON N- LO S T状態から S _D I S CONN状態への遷移と、
X X . グローバル -サーバへの接続が回復されたものと判断されるという 条件によってもたらされる、 S— CONN— LOST状態から S— RE S E T一 WA I T状態への遷移と、
X X i . 指定の期間後にローカル ' ノードから送信されたバケツトを受信 していないという条件によってもたらされ、 実行される自己遷移の回数が指 定のしきい値を超えていなレ、、 S— RE S E T-WA I T状態の自己遷移と、
X X i i . 指定の期間後にローカル ' ノードから送信されたパケットを受 信していないという条件によってもたらされ、 実行される自己遷移の回数が 指定のしきい値を超えている、 S—RE S E T-WA I T状態から S— D I S CONN状態への遷移と、
X X i i i . 被制御ネットワーク資源の解除を示すための制御メッセージ をローカル · ノードから受信するという条件によってもたらされ、 この遷移 中に、 被制御ネットワーク資源へのァクセスの解除を示す制御メッセージが グローバル ·サーバに送信される、 S -R E S ET-WA I T状態から S— D I S C ONN状態への遷移と、
X X i V . ローカル · ノードからバケツトを受信したものの、 そのパケッ トが被制御ネットワーク資源の解除を示すための制御メッセージではないと いう条件によってもたらされる、 S— R E S E T— WA I T状態から S—A C C-WA I T状態への遷移と、
を有する。
(1 9) 上記 （1) 記載の装置は、 状態マシンが、 上記 （1 7) に記載す る 1組の状態と、 上記 （1 8) に記載する前記 1組の状態間遷移とを使用し て、前記ネットワーク'アクセス制御フレームワーク装置の動作を制御する。 , (20) 本発明の方法は、 上記 （14) に記載する 1組の状態と上記 （1 5) に記載する 1組の状態間遷移とを、 上記 （1 7) に記載する 1組の状態 と上記 （1 8) に記载する 1組の状態間遷移とに、 それぞれ一般化するため の方法において、
i . 指定の期間後に被制御ネットワーク資源の解除の確認をグローバル - サーバから受信していないという条件によってもたらされ、 実行される自己 遷移の回数が指定のしきい値を超えていない、 S— LOGOFF状態の自己 遷移の場合に、 前記指定の期間が前記ネットワーク ·アクセス制御フレーム ワーク装置の処理サイクルにとって無視してよいほど小さい値であり、 自己 遷移がまったく発生し得ないように前記指定のしきい値が 0という値に設定 されるようなネットワーク ·アクセス制御フレームワーク装置のパラメータ を構成するステップと、
i に 指定の期間後に被制御ネットワーク資源の解除の確認をグローバ ノレ■サーバから受信していないという条件によってもたらされ、 実行される 自己遷移の回数が指定のしきい値を超えている、 S— LOGO F F状態から S-D I S CONN状態への遷移の場合に、 前記指定の期間が前記ネットヮ ーク 'アクセス制御フレームワーク装置の処理サイクルにとって無視してよ いほど小さい値であり、 指定の期間が経過したときに S—D I S CONN状 態への遷移が発生しなければならないように前記指定のしきい値が 0という 値に設定されるようなネットワーク ■アクセス制御フレームワーク装置のパ ラメータを構成するステップと、
を有する。
(21) 上記 （1) 記載の装置は、 状態マシンが、 上記 （20) に記載す る方法を使用することにより、 上記 （14) に記載する 1組の状態と、 上記 (1 5)に記載する前記 1組の状態間遷移とを使用して、前記ネットワーク - アクセス制御フレームワーク装置の動作を制御する。
(22) 本発明の方法は、 上記 （1) に記載するネットワーク ·アクセス 制御フレームワーク装置内でローカル ' ノードから送信されるデータ 'パケ ットを処理するための方法において、 i . ローカル ' ノードに関連し、 上記 （8) に記載するデータ 'フォーマ ットを備えた構造をサーチし、 見つからない場合に、 上記 （1) に記載する 状態マシンの新しいィンスタンスをィンスタンス化して前記パケッ 1、を処理 するステップと、
i i . 前記構造が見つかった場合、 それが上記 （2) 及び （3) に記載す る制御メッセージの汎用セットのうちの 1つに対応する制御メッセージを含 む場合に上記 （1) に記載する状態マシンによって前記パケットが処理され るステップと、
i i に そのパケットが上記 （2) 及ぴ （3) に記載する制御メッセージ の汎用セットのうちの 1つに対応するいずれかの制御メッセージを含まず、 上記 （1) に記載する状態マシンの状態が、 被制御ネットワーク資源へのァ クセスが承諾される状態になっており、 そのパケットがその所期の受信側に 転送されるステップと、
i v . 前記パケットが上記 （2) 及び （3) に記載する制御メッセージの 汎用セットのうちの 1つに対応するいずれかの制御メッセージを含まず、 上 記 （1) に記載する状態マシンの状態が、 グローバル 'サーバへのアクセス が途絶えたと判断される状態になっておらず、 被制御ネットワーク資源への アクセスが承諾される状態にもなつておらず、 そのパケットがローカル . ノ 一ドに関連する構造に待ち行列化されるステップと、
v . 前記パケットが上記 （2) 及び （3) に記載する制御メッセージの汎 用セットのうちの 1つに対応するいずれかの制御メッセージを含まず、 上記 (1) に記載する状態マシンの状態が、 グローバル 'サーバへのアクセスが 途絶えたと判断される状態になっており、 アクセス要求を受理するように上 記 （9) に記載する方針が構成され、 前記パケットの所期の受信側が前記ネ ットワーク 'アクセス制御フレームワーク装置によって制御されるデータ通 信ネットワーク内にあり、 前記パケットが所期の受信側に転送されるステツ プと、 v i . 前記パケットが上記 （2) 及び （3) に記載する制御メ ッセージの 汎用セットのうちの 1つに対応するいずれかの制御メッセージを含まず、 上 記 (1) に記載する状態マシンの状態が、 グローバル■サーバへのアクセス が途絶えたと判断される状態になっており、 アクセス要求を受理するように 上記 （9) に記載する方針が構成され、 前記パケットの所期の受信側が前記 ネットワーク ·アクセス制御フレームワーク装置によって制御されないデー タ通信ネットワーク内にあり、 前記パケットがローカル · ノードに関連する 構造に待ち行列化されるステップと - を有する。
(23) 上記 （1) 記載の装置は、 上記 （22) に記载する方法を使用し て、 ローカル ·ノードから送信されるデータ ■バケツトを処理する。
(24) 本発明の方法は、 被制御ネットワーク資源へのアクセスがロー力 ル■ ノードに対してまだ承諾されていないときに他のノード用にローカル · ノードから送信されたパケットを、 上記 (1) に記載するネッ トワーク ·ァ クセス制御フレームワーク装置内のネットワーク · アクセス制御フレームヮ ークが一時的に記憶できるようにするための方法において、 前記バケツトが 上記 （2) 及び （3) に記載する制御メッセージの汎用セッ トのうちの 1つ に対応するいずれかの制御メ ッセージを含まず、 上記 （1) に記载する状態 マシンの状態が、 グローバル .サーバへのアクセスが途絶えたと判断される 状態になっておらず、 被制御ネットワーク資源へのアクセスが承諾される状 態にもなつておらず、 前記バケツトが上記 （8) に記載するデータ ·フォー マツトを備えた構造に待ち行列化され、 その構造がローカル ·ノードに関連 するステップを有する。
(25) 上記 （1) 記載の装置は、 ネットワーク · アクセス制御フレーム ワークが上記 （24) に記載する方法を使用して、 被制御ネットワーク資源 へのアクセスがローカル■ノードに対してまだ承諾されていないときに他の ノード用にローカル ' ノードから送信されたバケツトを一時的に記憶し、 前 記パケットが上記 （2 ) 及び （3 ) に記載する制御メッセージの汎用セット のうちの 1つに対応するいずれかの制御メッセージを含まず、 上記 （1 ) に 記載する状態マシンの状態が、 グローバル■サーバへのアクセスが途絶えた と判断される状態になっておらず、 被制御ネットワーク資源へのァクセスが 承諾される状態にもなつておらず、 そのパケットが上記 （8 ) に記載するデ ータ ■フォーマツトを備えた構造に待ち行列化され、 前記構造がローカル - ノードに関連するステップを有する。
( 2 6 ) 本発明の方法は、 上記 （1 ) に記載するネットワーク ' アクセス 制御フレームワーク装置内のメカニズムを使用する方法において、 グローバ ル ·サーバによる被制御ネットワーク資源へのアクセスがローカル 'ノード との接続に対してまだ承諾されていないときに、 前記メカニズムによってネ ッ トワーク ■ アクセス制御フレームワークが前記ローカル■ ノードから送信 されたパケットを一時的に記憶することができ、 データ ■パケットがネット ワーク ■ アクセス制御フレームワーク装置によって制御されないデータ通信 ネットワーク内の他のノード用のものであって、 そのパケットが上記 （2 ) 及び （3 ) に記載する制御メッセージの汎用セッ トのうちの 1つに対応する いずれかの制御メッセージを含まず、 上記 （1 ) に記载する状態マシンの状 態が、 グローバル■サーバへのアクセスが途絶えたと判断される状態になつ ており、 アクセス要求を受理するように上記 （9 ) に記載する方針が構成さ れ、 バケツトの所期の受信側がネットワーク · アクセス制御フレームワーク 装置によって制御されないデータ通信ネットワーク内にあり、 前記バケツト がローカル■ノードに関連する構造に待ち行列化されるステップを有する。
( 2 7 ) 本発明の方法は、 上記 （1 ) に記載するネットワーク ·アクセス 制御フレームワーク装置内のメカニズムを使用する方法において、 グローバ ノレ .サーバによる被制御ネットワーク資源へのアクセスがローカル 'ノード との接続に対してまだ承諾されていないときに、 前記装置が上記 （2 6 ) に 記載するメカニズムを使用して、 ローカル 'ノードから送信されたパケット を一時的に記憶し、 データ ■バケツトがネットワーク ·アクセス制御フレー ムワーク装置によって制御されないデータ通信ネットワーク内の他のノード 用のものであり、 そのパケットが上記 （2) 及び （3) に記載する制御メッ セージの汎用セットのうちの 1つに対応するいずれかの制御メッセージを含 まず、 上記 （1) に記載する状態マシンの状態が、 グローバル 'サーバへの ァクセスが途絶えたと判断される状態になっており、 ァクセス要求を受理す るように上記 （9) に記載する方針が構成され、 パケットの所期の受信側が ネットワーク ·アクセス制御フレームワーク装置によって制御されないデー タ通信ネットワーク内にあり、 そのバケツトがローカル■ ノードに関連する 前記構造に待ち行列化されるステップを有する。
本明細書は、 2002年 9月 20日出願の特願 2002— 276 1 9 5に 基づく。 この内容はすべてここに含めておく。 産業上の利用可能性
本発明は、 複数のデータ通信ネットワークを接続する中間ネットワーク要 素におけるアクセス制御に適用することができる。

Claims

請求の範囲
1 . 口一力ノレ ' ネッ トワークとグローバノレ ' ネッ トワークとを含む複数の データ通信ネッ トワークを接続する中間ネットワーク要素におけるアクセス 制御方法であって、
前記ロー力ノレ · ネッ トワーク内のロー力ノレ■ ノードから前記グローバノレ · ネットワーク内のグローバル · ノードへの接続が途絶えたか否かを判断する 前記判断ステップで前記ローカル · ノードから前記グローバル ' ノードへ の接続が途絶えたと判断した場合、 前記ローカル ' ノードから前記グローバ ル . ノードへのアクセスを受理するステップと、 を有するアクセス制御方法。
2 . 前記判断ステップで前記ロー力ノレ · ノードから前記グローバル■ ノー ドへの接続が途絶えたと判断した場合、 前記ローカル ' ノードから前記グロ 一バル - ノードへのアクセスを拒否するステップ、 をさらに有し、
前記受理ステップと前記拒否ステップを、 前記中間ネットワーク要素の方 針に応じて切り替える、 請求の範囲 1記載のアクセス制御方法。
3 . 前記受理ステップで前記ローカル ' ノードから前記グローバル ' ノー ドへのアクセスを受理した場合、 前記グローバル . ノードへのアクセスが受 理されたことを示すメッセージを前記ローカル 'ノードへ送信するステップ、 をさらに有する請求の範囲 1記載のアクセス制御方法。
4 . 前記拒否ステップで前記ローカル ' ノードから前記グローバル ' ノー ドへのアクセスを拒否した場合、 前記グローバル ' ノードへのアクセスが拒 否されたことを示すメッセージを前記ローカル 'ノードへ送信するステップ、 をさらに有する請求の範囲 2記載のアクセス制御方法。
PCT/JP2003/012046 2002-09-20 2003-09-22 複数のデータ通信ネットワークを接続する 中間ネットワーク要素におけるアクセス制御 WO2004028089A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
AU2003264538A AU2003264538A1 (en) 2002-09-20 2003-09-22 Control of access by intermediate network element for connecting data communication networks
US10/514,834 US7784084B2 (en) 2002-09-20 2003-09-22 Access control at an intermediate network element connecting a plurality of data communications networks
DE60324567T DE60324567D1 (de) 2002-09-20 2003-09-22 Tes netzwerkelement zur verbindung von datenkommunikationsnetzen
EP03797720A EP1533944B8 (en) 2002-09-20 2003-09-22 Control of access by intermediate network element for connecting data communication networks
KR1020047016450A KR100687568B1 (ko) 2002-09-20 2003-09-22 복수의 데이터 통신 네트워크를 접속하는 중간 네트워크요소에 있어서의 액세스 제어
JP2004538009A JP4174049B2 (ja) 2002-09-20 2003-09-22 複数のデータ通信ネットワークを接続する中間ネットワーク要素におけるアクセス制御

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2002276195 2002-09-20
JP2002-276195 2002-09-20

Publications (1)

Publication Number Publication Date
WO2004028089A1 true WO2004028089A1 (ja) 2004-04-01

Family

ID=32025062

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2003/012046 WO2004028089A1 (ja) 2002-09-20 2003-09-22 複数のデータ通信ネットワークを接続する 中間ネットワーク要素におけるアクセス制御

Country Status (8)

Country Link
US (1) US7784084B2 (ja)
EP (1) EP1533944B8 (ja)
JP (1) JP4174049B2 (ja)
KR (1) KR100687568B1 (ja)
CN (2) CN101505275A (ja)
AU (1) AU2003264538A1 (ja)
DE (1) DE60324567D1 (ja)
WO (1) WO2004028089A1 (ja)

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7624431B2 (en) * 2003-12-04 2009-11-24 Cisco Technology, Inc. 802.1X authentication technique for shared media
US20060259760A1 (en) * 2005-05-10 2006-11-16 Utstarcom, Inc. Method and apparatus to support communication services using delayed authentication
US8565194B2 (en) 2005-10-27 2013-10-22 Qualcomm Incorporated Puncturing signaling channel for a wireless communication system
US20070002737A1 (en) * 2005-06-29 2007-01-04 Manoj Paul Access control dissemination
US7512408B2 (en) * 2006-02-16 2009-03-31 Softwired Ag Scalable wireless messaging system
US7739391B2 (en) * 2006-02-16 2010-06-15 Softwired Ag Gateway for wireless mobile clients
US8301115B1 (en) * 2006-03-08 2012-10-30 Alcatel Lucent Method for inverse port-based authentication
US8245281B2 (en) * 2006-12-29 2012-08-14 Aruba Networks, Inc. Method and apparatus for policy-based network access control with arbitrary network access control frameworks
US7809818B2 (en) 2007-03-12 2010-10-05 Citrix Systems, Inc. Systems and method of using HTTP head command for prefetching
US8037126B2 (en) 2007-03-12 2011-10-11 Citrix Systems, Inc. Systems and methods of dynamically checking freshness of cached objects based on link status
US8074028B2 (en) * 2007-03-12 2011-12-06 Citrix Systems, Inc. Systems and methods of providing a multi-tier cache
US7584294B2 (en) 2007-03-12 2009-09-01 Citrix Systems, Inc. Systems and methods for prefetching objects for caching using QOS
US8701010B2 (en) 2007-03-12 2014-04-15 Citrix Systems, Inc. Systems and methods of using the refresh button to determine freshness policy
US20080228864A1 (en) * 2007-03-12 2008-09-18 Robert Plamondon Systems and methods for prefetching non-cacheable content for compression history
US8504775B2 (en) 2007-03-12 2013-08-06 Citrix Systems, Inc Systems and methods of prefreshening cached objects based on user's current web page
US8103783B2 (en) * 2007-03-12 2012-01-24 Citrix Systems, Inc. Systems and methods of providing security and reliability to proxy caches
US7783757B2 (en) 2007-03-12 2010-08-24 Citrix Systems, Inc. Systems and methods of revalidating cached objects in parallel with request for object
CN101682621B (zh) * 2007-03-12 2014-07-09 思杰系统有限公司 用于高速缓存操作的系统和方法
US7720936B2 (en) 2007-03-12 2010-05-18 Citrix Systems, Inc. Systems and methods of freshening and prefreshening a DNS cache
US9049015B2 (en) * 2007-09-12 2015-06-02 Cisco Technology, Inc. Allowing TCP ACK to pass a gateway while queuing data for parsing
KR101408109B1 (ko) * 2009-09-14 2014-06-17 닛본 덴끼 가부시끼가이샤 통신 시스템, 노드, 제어 장치, 및 제어 방법
CN102918811B (zh) * 2010-05-11 2016-03-23 知惠创出株式会社 双向通信系统和用于该系统的服务器装置
US8352603B2 (en) * 2010-08-10 2013-01-08 Telefonaktiebolaget L M Ericsson (Publ) Limiting resources consumed by rejected subscriber end stations
WO2013049730A1 (en) * 2011-09-29 2013-04-04 Fingi Inc. Systems, methods and devices that allow hotel guests to interface with a hotel via an integrated network system
GB201306891D0 (en) * 2013-04-16 2013-05-29 Truphone Ltd International converged mobile services
US20170093730A1 (en) 2015-09-25 2017-03-30 FSA Technologies,Inc. Flow control system and method

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1998059463A1 (fr) * 1997-06-24 1998-12-30 Ntt Mobile Communications Network Inc. Systeme de communication, procede de commande des transmissions et controleur de communication
JP2001111544A (ja) * 1999-10-05 2001-04-20 Nec Corp 無線ｌａｎシステムにおける認証方法と認証装置

Family Cites Families (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US2688A (en) * 1842-06-22 Improvement in i ron
US5918017A (en) * 1996-08-23 1999-06-29 Internatioinal Business Machines Corp. System and method for providing dynamically alterable computer clusters for message routing
US6229787B1 (en) * 1996-09-11 2001-05-08 Nortel Networks Limited Mechanism to achieve very fast failover in ATM backbone networks using multi-homed circuits
US6003084A (en) * 1996-09-13 1999-12-14 Secure Computing Corporation Secure network proxy for connecting entities
US5941988A (en) * 1997-01-27 1999-08-24 International Business Machines Corporation Session and transport layer proxies via TCP glue
US6516416B2 (en) * 1997-06-11 2003-02-04 Prism Resources Subscription access system for use with an untrusted network
US6360265B1 (en) * 1998-07-08 2002-03-19 Lucent Technologies Inc. Arrangement of delivering internet protocol datagrams for multimedia services to the same server
US6167445A (en) * 1998-10-26 2000-12-26 Cisco Technology, Inc. Method and apparatus for defining and implementing high-level quality of service policies in computer networks
US6757289B1 (en) * 1999-04-23 2004-06-29 Nortel Networks Limited Apparatus and method for managing communication between a failed application and other executing applications
US6463474B1 (en) * 1999-07-02 2002-10-08 Cisco Technology, Inc. Local authentication of a client at a network device
US6957247B1 (en) * 1999-09-22 2005-10-18 Ates Gorkem I Internet system
US6880005B1 (en) * 2000-03-31 2005-04-12 Intel Corporation Managing policy rules in a network
JP2002082907A (ja) * 2000-09-11 2002-03-22 Nec Corp データ通信におけるセキュリティ機能代理方法、セキュリティ機能代理システム、及び、記録媒体
FI20002094A (fi) * 2000-09-22 2002-03-23 Nokia Networks Oy Matkaviestinten välisten yhteyksien järjestäminen langattomassa tietoliikennejärjestelmässä
JP2002152279A (ja) * 2000-11-10 2002-05-24 Sony Corp ネットワーク接続制御装置及びその方法
US7095747B2 (en) * 2001-03-28 2006-08-22 Siemens Communications, Inc. Method and apparatus for a messaging protocol within a distributed telecommunications architecture
US20020178365A1 (en) * 2001-05-24 2002-11-28 Shingo Yamaguchi Method and system for controlling access to network resources based on connection security
US6847649B2 (en) * 2001-08-24 2005-01-25 Ericsson Inc. Methods, systems and computer program products for accessing an embedded web server on a broadband access terminal
US7093154B2 (en) * 2001-10-25 2006-08-15 International Business Machines Corporation Critical adapter local error handling
US7206826B1 (en) * 2001-10-25 2007-04-17 Sprint Communications Company L.P. Configuration recovery after gateway failure
US7146403B2 (en) * 2001-11-02 2006-12-05 Juniper Networks, Inc. Dual authentication of a requestor using a mail server and an authentication server
JP3948278B2 (ja) * 2001-12-27 2007-07-25 富士ゼロックス株式会社 外部ネットワーク接続のための設定情報割当方法
US7447755B1 (en) * 2002-03-18 2008-11-04 Blue Coat Systems, Inc. Method and apparatus for policy management in a network device
US7209466B2 (en) * 2002-06-06 2007-04-24 Symbol Technologies, Inc. Software method utilizing gateways for maintaining connectivity during communications over distinct wireless networks by mobile computer terminals
US7155632B2 (en) * 2002-06-27 2006-12-26 Nokia, Inc. Method and system for implementing IS-IS protocol redundancy
US7219120B2 (en) * 2002-07-09 2007-05-15 Savvis Communications Corporation Systems, methods and protocols for securing data in transit over networks
US7441262B2 (en) * 2002-07-11 2008-10-21 Seaway Networks Inc. Integrated VPN/firewall system
US7171469B2 (en) * 2002-09-16 2007-01-30 Network Appliance, Inc. Apparatus and method for storing data in a proxy cache in a network
WO2004059926A1 (ja) * 2002-12-26 2004-07-15 Matsushita Electric Industrial Co., Ltd. モバイルネットワーク制御装置および モバイルネットワーク制御方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1998059463A1 (fr) * 1997-06-24 1998-12-30 Ntt Mobile Communications Network Inc. Systeme de communication, procede de commande des transmissions et controleur de communication
JP2001111544A (ja) * 1999-10-05 2001-04-20 Nec Corp 無線ｌａｎシステムにおける認証方法と認証装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP1533944A4 *

Also Published As

Publication number Publication date
CN100477610C (zh) 2009-04-08
US20050177865A1 (en) 2005-08-11
US7784084B2 (en) 2010-08-24
EP1533944B8 (en) 2009-01-14
AU2003264538A1 (en) 2004-04-08
EP1533944B1 (en) 2008-11-05
JPWO2004028089A1 (ja) 2006-01-19
CN1656738A (zh) 2005-08-17
EP1533944A4 (en) 2005-09-14
KR20040102095A (ko) 2004-12-03
JP4174049B2 (ja) 2008-10-29
DE60324567D1 (de) 2008-12-18
CN101505275A (zh) 2009-08-12
KR100687568B1 (ko) 2007-02-27
EP1533944A1 (en) 2005-05-25

Similar Documents

Publication Publication Date Title
WO2004028089A1 (ja) 複数のデータ通信ネットワークを接続する 中間ネットワーク要素におけるアクセス制御
RU2755205C2 (ru) Система и способы управления сеансом
US8806573B2 (en) Authentication control in low-power lossy networks
US6917592B1 (en) LNS high availability and load balancing with LNS-to-LNS state offloading
US7254119B2 (en) Interworking mechanism between CDMA2000 and WLAN
JP3613453B2 (ja) 移動ポイント・ツー・ポイント・プロトコル
TWI331859B (ja)
KR101325790B1 (ko) 분산된 인증 기능
US10530644B2 (en) Techniques for establishing a communication connection between two network entities via different network flows
EP1806007A2 (en) Method and apparatus for balancing wireless access based on centralized information
JP2007067745A (ja) 無線端末、管理装置、無線ｌａｎの制御方法、無線ｌａｎシステム
JP2007524290A (ja) ワイヤレス・ローカル・エリア・ネットワーク内のサービストンネルの削除方法
US7853242B2 (en) Bypass routing to a mobile device
JP2011182070A (ja) 仮想通信路接続システムおよび仮想通信路接続方法
US10244379B2 (en) Scheduled group reformation among multiple P2P groups following switching schedule
JP6984827B2 (ja) ユーザ機器のネットワークアクセス制御
Cisco Configuring PPP for Wide-Area Networking
Cisco Configuring PPP for Wide-Area Networking
Cisco Configuring PPP for Wide-Area Networking
Cisco Configuring PPP for Wide-Area Networking
Cisco Configuring PPP for Wide-Area Networking
Cisco Configuring PPP for Wide-Area Networking
Cisco Configuring PPP for Wide-Area Networking
JP4812647B2 (ja) ハンドオーバ時のネットワーク接続方法、移動端末及びプログラム
EP1672837B1 (en) Bypass routing to a mobile device

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GH GM KE LS MW MZ SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LU MC NL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

WWE Wipo information: entry into national phase

Ref document number: 2004538009

Country of ref document: JP

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 1020047016450

Country of ref document: KR

WWE Wipo information: entry into national phase

Ref document number: 2003797720

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 10514834

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2003811481X

Country of ref document: CN

WWP Wipo information: published in national office

Ref document number: 1020047016450

Country of ref document: KR

WWP Wipo information: published in national office

Ref document number: 2003797720

Country of ref document: EP