JP5797332B2 - ユーザエンティティにネットワークアクセスを提供する方法及び装置 - Google Patents

Description

本発明はネットワークアクセスの分野に関し、特にセルラーアクセスネットワーク及び非セルラーアクセスネットワークのサービスレベル統合の分野に関する。

ある種の最新の携帯電子デバイス（「ユーザエンティティ」又は「ＵＥ」とも呼ばれる）は、２Ｇ、２．５Ｇ、３Ｇ及び／又はＬＴＥネットワークのようなセルラーネットワークに接続するのに必要な構成要素と、無線ＬＡＮネットワーク（例えば、ＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎ）又は有線ＬＡＮネットワーク（例えば、ＩＥＥＥ８０２．３）のような非セルラーＩＰ接続アクセスネットワーク（ＩＰ ＣＡＮ）に接続するのに必要な構成要素とを備える。

これまで、携帯電話顧客が非セルラーネットワークを介して通信しているときに、その携帯電話顧客に対して事業者が広帯域サービス（接続性及び付加価値サービス）を提供できるようにする満足のいくプロトコルアーキテクチャが欠けていた。

例えば、第３世代パートナーシップ・プロジェクト（３ＧＰＰ）によって規定されるアーキテクチャは、携帯電話ネットワーク事業者（ＭＮＯ）の視点からＩＰ ＣＡＮが信頼できない場合、ＵＥと発展型パケットデータ・ゲートウェイ（ｅＰＤＧ）又はパケットデータネットワーク・ゲートウェイ（ＰＤＮゲートウェイ）との間に安全な接続（「シンパイプ（thin pipe）」）を設定する必要がある。

本発明の実施形態の目的は、上記の短所を克服することである。

本発明の一態様によれば、アクセスポイントを通して複数のユーザエンティティにネットワークアクセスを提供する方法が提供され、そのアクセスポイントはＬＡＮインターフェース及び広帯域ネットワークインターフェースを含み、その方法はゲートウェイデバイスにおいて、アクセスポイントとの第２の安全な通信リンクを確立するステップと、第２の安全な通信リンクを介して、複数のユーザエンティティのうちの１つからＩＰアドレス割当て要求を受信するステップと、ＡＡＡサーバにアクセスし、複数のユーザエンティティのうちの１つに関連付けられる携帯電話加入に関連するデータに基づいて、複数のユーザエンティティのうちの１つのユーザエンティティの認証が既に成功したか否かを検証するステップと、成功したことを検証すると、複数のユーザエンティティのうちの１つとのＩＰアドレス割当て方式を完了するステップと、複数のユーザエンティティのうちの１つとＰＤＮとの間でデータを中継できるようにするステップとを含み、ゲートウェイデバイスは、ＰＤＮに向かう種々のアクセスポイントからの第２の安全な通信リンクの複数のインスタンスを統合するように構成される。

本発明の一態様によれば、アクセスポイントを通して複数のユーザエンティティにネットワークアクセスを提供する方法が提供され、そのアクセスポイントはＬＡＮインターフェース及び広帯域ネットワークインターフェースを含み、その方法は無線アクセスポイントにおいて、ＬＡＮインターフェースを介して複数のユーザエンティティの中の各ユーザエンティティとのそれぞれの第１の安全な通信リンクを確立するステップと、広帯域ネットワークインターフェースを介してゲートウェイデバイスとの第２の安全な通信リンクを確立するステップと、それぞれの第１の安全な通信リンクと第２の安全な通信リンクとの間でデータを双方向に中継するステップとを含み、ゲートウェイデバイスは、ＰＤＮゲートウェイに向かう種々のアクセスポイントからの第２の安全な通信リンクの複数のインスタンスを統合するように構成される。

本発明は、セルラー無線アクセスネットワークからの特定のデータトラフィックを非セルラーＩＰ ＣＡＮに「オフロードする」方法を提供し、本開示の目的の場合、非セルラーＩＰ ＣＡＮは包括的に「ＬＡＮ」とも呼ばれる。これは、携帯電話ネットワーク事業者に対して、及びセルラーネットワーク上、及びＷｉ−Ｆｉのような非セルラーＩＰ ＣＡＮ上の両方で動作することができるユーザエンティティを利用するエンドユーザに対して利益を与える。マクロセルラー・インフラストラクチャにおけるビット当たりのコストは、オフロードされたトラフィックの場合よりも著しく高い。Ｗｉ−Ｆｉのための場所、電力、更には固定バックホールも通常ＭＮＯによって負担されないので、これは、インフラストラクチャ投資コストに関してだけでなく、運用費に関しても当てはまる。さらに、それにより、携帯電話事業者は、このオフロードされたトラフィックに対して課金できるようになり、新たな収入機会を生み出すことができる。

本発明の方法の一実施形態では、アクセスポイントは無線アクセスポイントであり、ＬＡＮインターフェースは無線ＬＡＮインターフェースであり、その無線伝送は、ＩＥＥＥ８０２．１１ｉ暗号化プロトコルによって保証される。

この実施形態は、ユーザエンティティにおいて、かつネットワークゲートウェイ（ｅＰＤＧ／ＰＧＷ）において必要とする汎用処理能力が、既知の終端間ＩＰＳｅｃモデルよりも少ないという利点を有する。

本発明の一実施形態では、第２の安全な通信リンクは、ＩＰＳｅｃトランスポートトンネルによって保証される。

この実施形態は、妥当なコスト及び複雑さにおいて、アクセスポイントとゲートウェイデバイスとの間の良好なセキュリティを提供し、それにより、アクセスポイントと事業者ネットワークとの間にあるデバイス（例えば、住居用ゲートウェイ）におけるスヌーピングの危険性を回避するという利点を有し、ユーザエンティティにおいて必要とする汎用処理能力が、既知の終端間ＩＰＳｅｃモデルよりも少ないという利点を有する。

一実施形態では、本発明の方法はアクセスポイントにおいて、ＬＡＮインターフェースを介して、ユーザ機器から、広帯域ネットワークインターフェースに接続されるネットワークとの通信許可要求を受信するステップと、ホーム・ロケーション・レジスタから、ユーザ機器に関連付けられる携帯電話加入に関連するデータを入手するステップと、携帯電話加入に関連するデータに基づいてユーザ機器を認証するステップと、認証に成功した場合には、広帯域ネットワークインターフェースに接続されるネットワークとの通信を許可するステップとを更に含む。

特定の実施形態では、ユーザ機器を認証するステップは、ＬＡＮインターフェースを介してユーザ機器に少なくとも１つの認証チャレンジを送信するステップと、ＬＡＮインターフェースを介してユーザ機器から少なくとも１つの認証チャレンジに対するレスポンスを受信するステップとを含み、そのレスポンスは、ユーザ機器に安全に記憶された鍵によって、少なくとも１つの認証チャレンジから暗号処理によって導出される。

更に詳細な実施形態では、その鍵はＳＩＭカード内に記憶される。

「ＳＩＭカード」は、ＧＳＭ及びＵＭＴＳ仕様書において標準化されるような加入者識別モジュールを示すものと理解されたい。ＥＡＰ−ＳＩＭ／ＡＫＡ認証によって、携帯電話（３Ｇ−ＬＴＥ）アクセス、及びＷｉ−Ｆｉオフロードの両方の加入及び加入者データベースを統合できるようになる。ユーザエンティティ、通常「スマートフォン」を識別し、認証するために集中型事業者（converged operator）によってＥＡＰ−ＳＩＭ／ＡＫＡ認証を再利用することによって、その事業者はＷｉ−Ｆｉオフロードセッションの所有権を保持できるようになり、事業者及びエンドユーザの両方の相互利益につながる。これが、携帯電話ネットワーク事業者（ＭＮＯ）にとって著しい利点を有するのは明らかである。それにより、ＭＮＯは、そのマクロ層無線アクセスネットワーク（ＲＡＮ）からの著しいトラフィックをオフロードできるようになり、リソースを解放し、容量拡大において必要とされる投資を遅らせると同時に、エンドユーザとの完全な関係を保持し、ブランドロイヤルティを改善できるようになる。エンドユーザにとって、主な利点は、ＭＮＯによってサポートされる全てのネットワーク、詳細にはＷｉ−Ｆｉネットワークへのシームレスアクセスである。これは、エンドユーザが利用可能なＷｉ−Ｆｉリソースを利用する場所の数を大きく増やすことになる。

特定の実施形態では、ユーザエンティティはＩＥＥＥ８０２．１Ｘサプリカントを含み、通信を許可するステップは、アクセスポイントのポートをＩＥＥＥ８０２．１Ｘ許可済み状態に移行させるステップを含む。

本発明の方法の一実施形態では、ゲートウェイデバイスは、ユーザエンティティ・セッションのインスタンスを生成し、除去する、ＡＡＡサーバ、ＡＡＡプロキシ及びＡＡＡスニファのうちの１つを含む。

本発明の方法の一実施形態では、ゲートウェイデバイスは、ＧＧＳＮ又はＰＤＮゲートウェイへのＧＴＰトンネルを設定し、ユーザエンティティに携帯電話事業者ＩＰサービス及び／又は課金機構へのアクセスを提供する。その場合、ユーザエンティティ・アドレスは、ＧＧＳＮ又はＰＤＮゲートウェイによって与えられうる。

本発明の方法の別の実施形態では、ゲートウェイデバイスは、ＵＥをホームエージェントに登録する、モバイルＩＰ（ＭＩＰ、デュアルスタックＭＩＰｖ６）フォーリンエージェントを含む。

本発明の一態様によれば、ＷＡＰ／ＣＰＥの両方において、又はゲートウェイデバイスにおいて、プログラム可能機械に上記の方法を実行させるように構成されるコンピュータプログラムが提供される。

本発明の一態様によれば、上記の方法において使用するアクセスポイントが提供される。

本発明の一態様によれば、上記の方法において使用するゲートウェイデバイスが提供される。

本発明によるプログラム、アクセスポイント及びゲートウェイデバイスの利点は、必要に応じて変更を加えるものの、本発明による方法の利点に対応する。

本発明の実施形態による装置及び／又は方法の幾つかの実施形態が、一例にすぎないが、添付の図面を参照しながら、ここで説明される。

本発明の方法の実施形態を展開することができる簡単な例示的ネットワークトポロジを示す図である。 本発明の方法、詳細にはゲートウェイデバイスにおいて行われるステップの一実施形態の流れ図である。 本発明の方法、詳細にはアクセスポイントにおいて行われるステップの一実施形態の流れ図である。 本発明の方法の一実施形態における特定のステップの流れ図である。 本発明の方法の一実施形態における特定のステップのための詳細なプロトコルメッセージ交換を示す概略図である。 本発明の方法の実施形態を展開することができる詳細な例示的ネットワークトポロジを示す図である。

図面全体を通して、同じ参照符号は同じ要素を示すために用いられている。

以下の説明を通して、以下の一般化が成り立つ。特定の要素の任意の特定の数の事例が図示及び／又は記述される場合、これは、明確にすることのみを目的として行われており、一般性を失うものではない。ある方法におけるステップが特定の順序において図示及び／又は記述される場合、これは、明確にすることのみを目的として行われており、一般性を失うものではない。関連付けられる技術的結果を得るために特定のステップ順序が必要であることが説明から明らかである場合を除き、本発明の範囲から逸脱することなく、ステップの順序を変更し、及び／又は並列化することができる。特定の標準規格が参照される場合、機能的に等価な他の標準規格が代用される場合があることは理解されたい。本発明による方法に関連して記述される特徴及び利点は、必要に応じて変更を加えるものの、本発明による装置にも当てはまり、その逆も同様である。

図１は、本発明の実施形態を展開することができる、極めて簡略化された例示的なネットワークトポロジを示す。本発明の目的は、アクセスポイント１１０を通して複数のユーザエンティティ１００ａ〜ｃにネットワークアクセスを提供することである。ユーザエンティティ１００ａ〜ｃは、セルラーネットワーク（例えば、２Ｇ、２．５Ｇ、３Ｇ、ＬＴＥ）を介して、かつ無線ＬＡＮネットワーク（例えば、ＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎ）のようなＬＡＮネットワークを介して通信することができるデバイスであると仮定する。

一般性を失うことなく、無線ＬＡＮネットワークは、説明の残りの部分においてＬＡＮネットワークと仮定される。本発明が有線ＬＡＮネットワークにも全く同じように当てはまることは当業者には理解されよう。

ユーザエンティティ１００ａ〜ｃが、無線アクセスポイント１１０によってサービス提供されるネットワークのような無線ＬＡＮネットワークの範囲内にあるとき、経済的な観点から、かつ帯域幅利用可能性に関して、セルラーインターフェースを介してではなく、無線ＬＡＮインターフェースを介して、例えば、インターネット利用のテレビ及び／又はビデオ通話を含む、大量のデータ通信を行うことが好ましい。意図した通信を、セルラー無線アクセスネットワーク（ＲＡＮ）から、無線ＬＡＮアクセスネットワークに移動させることは、セルラー無線アクセスネットワークに、ある形の「オフロード処理」を提供する。それゆえ、本発明の実施形態によって導入される展開モデルは、「Ｗｉ−Ｆｉオフロード処理」と呼ばれる。

このために、無線アクセスポイント１１０によって、無線ＬＡＮインターフェースを介して第１の安全な通信リンク１０５を確立できるようにする。これらの通信リンク１０５は、それぞれのユーザエンティティ１００ａ〜ｃとアクセスポイント１１０との間のある形の暗号化、好ましくは、ＩＥＥＥ８０２．１１ｉフレームワークにおいて標準化されるような形の暗号化（例えば、ＷＰＡ、ＷＰＡ２）によって保護されるという意味において安全である。有線アクセスポイントが用いられる場合、セキュリティは、媒体が物理的にポイント・ツー・ポイントである（例えば、ツイストペア線又はポイント・ツー・ポイントリンクを介してのＩＥＥＥ８０２．３イーサネット）によって与えることができる。

３ＧＰＰフレームワークにおいて提案されるような、従来技術のアーキテクチャとは対照的に、本発明による無線アクセスポイント１１０は、後に発展型広帯域ネットワークゲートウェイ（ｅＢＮＧ）とも呼ばれる、ゲートウェイデバイス１２０との第２の安全な、及び／又はカプセル化された通信リンク１１５を確立する。第２の安全な通信リンク１１５は、暗号化され、及び／又はカプセル化されるという意味において安全である。このリンク１１５は、無線アクセスポイント１１０とｅＢＮＧ１２０との間のある形の暗号化、好ましくは、ＩＰＳｅｃフレームワークにおいて標準化されるような形の暗号化によって保護することができる。更に、又は代替的には、このリンク１１５は、無線アクセスポイント１１０及びｅＢＮＧ１２０が、各アップリンクに応答するダウンリンクＩＰパケットをカプセル化して、ＧＲＥ、Ｌ２ＴＰ、ＭＰＬＳ、ＶＬＡＮタギング又は他のカプセル化プロトコルを搬送する新たなＩＰパケットにするという意味においてカプセル化することができる。第２の通信リンク１１５は、任意の適切なネットワークによって物理的に搬送され、そのネットワークは、幾つかの有線（例えば、イーサネット、ｘＤＳＬ、ＧＰＯＮ）及び／又は無線（例えば、ＩＥＥＥ８０２．１６）ネットワークセグメントからなることができる。住居用ゲートウェイ１１２のような更なるネットワーク機器が、そのネットワークのこの部分に存在する場合がある。

第２の安全な通信リンク１１５は、複数のユーザエンティティ・セッションのトラフィックを搬送し、それゆえ、単一のＵＥ開始セッションのみを搬送する、いわゆる「シンパイプ」とは対照的に「ファットパイプ」と呼ぶことができる。本発明によるネットワーク及びプロトコルアーキテクチャは、「ファットパイプモデル」とも呼ばれる場合がある。

ｅＢＮＧ１２０は上記の「ファットパイプ」のうちの幾つかを統合し、ファットパイプのうちの幾つかが、図１において、異なる無線アクセスポイント事例（番号を付されない）から生じるように示されており、ｅＢＮＧ１２０は、ＵＥセッションごとに、オプションでＰＤＮゲートウェイ１３０に向かってＧＴＰｖ２トンネルを確立する。このＰＤＮゲートウェイ１３０を通して、ユーザエンティティ１００ａ〜ｃは、その加入条件に従って、雲１４０によって記号で表され、図５において更に詳細に図示される、セルラーネットワークによって提供されるか、又はセルラーネットワークを通して提供されるＩＰサービスに所望のようにアクセスすることができる。

ＰＤＮゲートウェイ１３０においてアクセスポイント１１０からのＩＰＳｅｃトンネルを終端することは幾つかの利点がある。第一に、ユーザエンティティ１００ａ〜ｃからプロバイダ関連のＩＰＳｅｃセッションを終端する負担を取り除き、それに応じて、例えば、企業ネットワークのゲートウェイのような通信相手との終端間ＩＰＳｅｃセッションを実行することを含む、他のタスクのためにリソースを解放することができる。第二に、アクセスポイント１１０は一般的に無線リンク上のセキュリティを提供することができるので、このデバイス１１０は相次ぐ暗号化を提供するのに適しており、それゆえ、ユーザエンティティ１００ａ〜ｃとｅＢＮＧ１２０との間の終端間通信において任意の暗号化されないリンクが存在するのを避ける。これは、終点間に存在する住居用ゲートウェイ１１２のような、一般的に無許可の人がアクセス可能な更なる機器が存在するときに特に重要である。この場合、アクセスポイント１１０と住居用ゲートウェイ１１２との間のセグメントは、信用できるＩＰ ＣＡＮへのオフロードのための既存の３ＧＰＰアーキテクチャにおいて、無防備なままである可能性がある。信用できるＩＰ ＣＡＭは実際には、ＲＧＷ１１２と、ＲＧＷ１１２とｅＢＮＧ１２０との間の経路上に位置する広帯域ネットワークゲートウェイ（ＢＮＧ）１１８との間のセグメントと定義される。

本発明によるネットワーク及びプロトコルアーキテクチャを仮定すると、ゲートウェイデバイス１２０が全ての既存の固定又は移動「合法的傍受」インフラストラクチャ（ＬＩゲートウェイ）を再利用できるので、ゲートウェイデバイス１２０において「合法的傍受」機能を実施するのが容易になるという利点がある。同様に、ゲートウェイデバイス１２０においてユーザセッションがわかることから、ゲートウェイデバイス１２０において、ＡＡＡ、オンライン課金、オフライン課金、ポリシー制御及び強制機能、ネットワークアドレス変換及び他の機能を実施することができる。

図２は、本発明の方法の一実施形態の流れ図を表し、詳細には、その流れ図は、図１のアーキテクチャ内のゲートウェイデバイス１２０の中心的活動を示す。ステップ２１０において、ゲートウェイデバイス１２０は、無線アクセスポイント１１０との安全な通信リンクを確立する。後に更に詳細に説明されるようにして、ユーザエンティティ１００と無線アクセスポイント１１０との間にレイヤ２通信が設定されるが、その場合、ユーザエンティティ１００に関連付けられる携帯電話加入に関連するデータに基づくユーザエンティティ１００の認証を伴う。ＡＡＡサーバ１５０が認証プロセスに関与する。ステップ２２０において、ゲートウェイデバイス１２０は、対象とするユーザエンティティ１００から、ＩＰアドレス割当て要求、通常、ＤＨＣＰ要求を受信する。ステップ２３０において、ゲートウェイデバイス１２０は、ＡＡＡサーバ１５０と接触し、上記の認証を行うのに成功したか否かを検証する。実際に認証に成功した場合には（２３５）、ゲートウェイデバイス１２０は、ステップ２４０において、ＩＰアドレス割当てを進め、ユーザエンティティ１００と、ＰＤＮゲートウェイ１３０内のプロバイダのネットワークインフラストラクチャとの間に通信を確立できるようにする。それゆえ、ユーザエンティティ１００は、一度しか認証される必要はなく、一方、レイヤ２及びレイヤ３接続性はその認証の結果次第である。認証自体は、ユーザエンティティ１００のユーザによって保持される加入に基づく。

図３は、本発明の方法の一実施形態の流れ図を表す。詳細には、その流れ図は、図１のアーキテクチャ内の無線アクセスポイント１１０の中心的活動を示す。ステップ３１０において、無線アクセスポイント１１０は、無線ネットワークインターフェースを介して、ユーザエンティティ１００との第１の安全な通信リンク１０５を確立する。ステップ３２０において、無線アクセスポイント１１０は、ゲートウェイデバイス１２０との第２の安全な、及び／又はカプセル化された通信リンク１１５を確立する。ステップ３３０において、無線アクセスポイント１１０は、第１の安全な通信リンク１０５と第２の通信リンク１１５との間で双方向にデータを中継し、すなわち、ユーザエンティティ１００とゲートウェイデバイス１２０との間で通信できるようにする。

本発明による方法の実施形態では、ユーザエンティティ１１０とゲートウェイデバイス１２０との間の通信の確立は、ユーザエンティティ１１０の認証成功次第であり、ユーザエンティティ１１０が動作する加入条件によって制限される。図４は、本発明の方法のそのような実施形態における特定のステップの流れ図を表す。

ステップ４１０において、無線アクセスポイント１１０は、ユーザエンティティ１００から、通信認証要求を受信する。好ましくは、ユーザエンティティ１００は、このために、ＩＥＥＥ８０２．１Ｘサプリカント機能を実施し、その要求は、ＩＥＥＥ８０２．１Ｘ認証要求として取り扱われる。図４の意味におけるユーザエンティティの要求は、ユーザエンティティによって自発的に送信される必要はない。その要求は実際には、無線アクセスポイント１１０からの「ＥＡＰ要求」メッセージに応答して送信される「ＥＡＰ応答」メッセージであってもよい。

ステップ４２０において、無線アクセスポイント１１０は、ユーザエンティティ１００のホーム・ロケーション・レジスタ（ＨＬＲ）１６０から、ユーザエンティティ１００に関連付けられる携帯電話加入データを入手する。この情報は通常、直接入手されるのではなく、好ましくはＲＡＤＩＵＳプロトコル交換を用いてゲートウェイデバイス１２０を介してアクセス可能である、認証、許可及びアカウント用（ＡＡＡ）サーバ１５０を介して間接的に入手される。それゆえ、ＨＬＲ１６０からの加入者情報に基づいて、ステップ４３０において無線アクセスポイント１１０において認証を完了することが可能になる。この方法は、ゲートウェイデバイス１２０においてユーザエンティティの加入者詳細を認識させ、加入者特有のサービスを展開できるようにし、及び／又は加入に基づいて課金できるようにするという利点を有する。チャレンジ・レスポンス認証交換においてユーザエンティティのＳＩＭカードを使用することによって、認証ステップの安全性を高めることができるという更なる利点もある。全認証シーケンスは、ＥＡＰ−ＳＩＭ又はＥＡＰ−ＡＫＡ交換として都合良く実施することができる。

認証成功４３５時に、レイヤ２通信が設定されると、レイヤ３通信が確立されなければならない（４４０〜４６０）。この段階において、ユーザエンティティ１００とゲートウェイデバイス１２０との間で後続のプロトコル交換が行われるように、無線アクセスポイント１１０は、これらのエンティティ間でレイヤ２通信できるように既に設定されている。レイヤ３フェーズは、ステップ４４０においてゲートウェイデバイス１２０によって受信された、ＩＰアドレスの割当て要求によって開始する。この要求に応答して、ゲートウェイデバイス１２０は、ステップ４５０において、ＡＡＡサーバ１５０から、ユーザエンティティ１００の認証ステータスを検索する。このステータス検索が、認証が成功したことを示す場合には（４５５）、ＩＰアドレス割当て要求が受諾され、ステップ４６０においてＩＰアドレスが割り当てられる。ＩＰアドレス割当て交換は、ＵＥによって開始されるＤＨＣＰプロトコルに従って行われることが好ましい。

図５は、先に詳細に説明されたような、図４のステップ４１０〜４６０に対応する、本発明の方法の一実施形態による詳細なプロトコルメッセージ交換を概略的に示す。

図６は、本発明の方法の実施形態を展開することができる詳細な例示的ネットワークトポロジを表す。

図６は、詳細には、ゲートウェイデバイス１２０のインターフェースを示す。非セルラーＩＰ ＣＡＮにわたるＵＥセッションのインスタンスを生成する発展型広帯域ネットワークゲートウェイ（ｅＢＮＧ）としてのその特有の機能に加えて、ゲートウェイデバイス１２０は、従来の広帯域ネットワークゲートウェイ（ＣＰＥ又はＲＧＷによって開始されるセッションのインスタンスを生成するＢＮＧ）の機能及び／又は発展型パケットデータ・ゲートウェイ（ＵＥ開始ＩＰＳｅｃＳＡを終端するｅＰＤＧ）の機能を果たすことができ、このために必要な構造的構成要素を有する。本発明によるゲートウェイデバイス１２０は、上記のような「ファットパイプ」を表す安全で、及び／又はカプセル化されたリンクを用いて、通常は固定広帯域アクセスネットワークを介して、無線アクセスポイント１１０とやりとりするインターフェースと、ＰＤＮゲートウェイ、ＧＧＳＮ又はＨＡ１３０とやりとりするオプションのインターフェースと、そこから加入関連情報を入手することができるＡＡＡサーバ１５０とやりとりするインターフェースとを備える。これらのインターフェースは物理的に異なる必要はないが、ネットワーク層及びその上層においてそれぞれの通信相手との間の通信を適切に区別するために必要なハードウェア及びソフトウェアが存在しなければならないことは、当業者には理解されよう。

本発明及びその利点を更に明確にするために、ここで、例示的な実施態様が更に詳細に説明される。本開示の範囲から逸脱することなく、この説明から個々の実施態様のオプションを考えることができること、及びそのオプションを本発明の上記の包括的な概念と組み合わせることができることは当業者には理解されよう。

スマートフォン１００が非公開ＳＳＩＤによってホットスポットに入ってくるとき、そのスマートフォンはそのＳＩＭ／ＵＳＩＭ認証情報を用いて自らを認証し、ユーザが任意の専用Ｗｉ−Ｆｉアカウントを設定するのを不要にする。

ＳＩＭ／ＵＳＩＭ認証情報はＥＡＰ−ＳＩＭ／ＡＫＡ法を介して中継され、ＨＬＲ１６０内の加入者情報に対して正当性を検証される。したがって、これらのＳＩＭ／ＵＳＩＭ認証情報は、２Ｇ、２．５Ｇ、３Ｇ又はＬＴＥネットワーク内の認証及び許可のために用いられるのと同じ携帯電話認証情報（ＳＩＭ／ＵＳＩＭ）である。

ユーザエンティティ１００、無線アクセスポイント１１０及びＨＬＲ１６０は、ｅＢＮＧ１２０及びＡＡＡサーバ１５０によって支援される。
−ユーザエンティティ１００、市販のスマートフォン、３Ｇ／Ｗｉ−Ｆｉドングル、及び３Ｇ／Ｗｉ−Ｆｉ対応ラップトップによって、今日、Ｗｉ−Ｆｉオフロードのための全ての認証機構がサポートされる。
−無線アクセスポイント１１０：Ｗｉ−ＦｉＩＥＥＥ８０２．１１ｎ認証（certification)を受信するために、無線アクセスポイントは、ＥＡＰ−ＳＩＭ及び／又はＥＡＰ−ＡＫＡ認証をサポートする必要がある。さらに、無線アクセスポイントは、全てのオフロードされたトラフィックをルーティングする、ｅＢＮＧ１２０へのトランスポートトンネルをサポートする必要がある。このトンネルは、ＩＰＳｅｃ又はＧＲＥトンネルとして達成されることが好ましい。
−ｅＢＮＧ１２０：ｅＢＮＧ１２０は、無線アクセスポイントの背後でエンドユーザのためのＤＨＣＰセッション生成を取り扱う必要がある。ＤＨＣＰ要求情報は、ＲＡＤＩＵＳクライアントによって、この要求を同じＵＥ ＭＡＣアドレスのための以前のＥＡＰ−ＳＩＭ／ＡＫＡ認証に関連付けるＡＡＡサーバ１５０に渡すことができる。ｅＢＮＧ１２０がＥＡＰ−ＳＩＭ／ＡＫＡ認証フェーズのためのＲＡＤＩＵＳプロキシ・エージェント又はスニファをサポートする場合には、ｅＢＮＧ１２０は、そのＵＥ ＭＡＣのための以前に成功したＥＡＰ−ＳＩＭ／ＡＫＡ認証状況を調べ、認証フェーズにおいて発見されたＵＥ識別子（ＩＭＳＩ、ＭＩＳＤＮ、．．．）に基づいて、ノースバウンド通信（ＡＡＡ、課金、ＰＣＣ、ＬＩ、．．．）を設定することができる。ｅＢＮＧ１２０は、例えば、その一部が携帯電話ネットワーク事業者にキックバックされることになる１日パスを販売することによって、携帯電話ネットワーク事業者に代わってオフライン／オンライン課金を適用することができる。
−ＡＡＡ：ＡＡＡサーバ１５０は、そのＭＡＰに基づくバックエンドインターフェース（Ｇｒ）を通して、ＨＬＲ１６０に向かう端末ＥＡＰ−ＳＩＭ又はＥＡＰ−ＡＫＡ認証及び許可をサポートする。ＡＡＡサーバは、ＲＡＤＩＵＳ ＥＡＰ−ＭＡＰ間ゲートウェイ機能を果たす。セッション設定のためにｅＢＮＧ ＲＡＤＩＵＳクライアントから第２のＲＡＤＩＵＳ要求が到着するとき、ＡＡＡサーバ１５０は、そのユーザエンティティの識別（ＵＥ−ＭＡＣアドレス）を相関させる。そのＵＥが以前に許可されていた場合には、ネットワークアクセスが受諾され、セッションが設定される。ＡＡＡサーバ１５０は、課金プロファイルＩＤ及びＭＳＩＳＤＮをｅＢＮＧ１２０に返し、課金及び他のノースバウンドサービスプラットフォームを容易に統合できるようにすることができる。

終端間セキュリティはホップごとに達成される。ユーザエンティティ１００と無線アクセスポイント１１０との間のエアインターフェースはＩＥＥＥ８０２．１１ｉを用いて保証される。ＩＥＥＥ８０２．１１ｉの鍵は、ＥＡＰ−ＳＩＭ／ＡＫＡ暗号鍵から導出することができる。

無線アクセスポイント１１０とｅＢＮＧ１２０との間のインターフェースはＩＰＳｅｃを用いて保証される。提供されるサービスの機能に関して、ｅＢＮＧ１２０から、複数のオプションが存在する。上記のような「ファットパイプ」モデルによれば、無線アクセスポイント１１０とｅＢＮＧ１２０との間の単一のＩＰＳｅｃトンネルが、複数のエンドユーザのセッションを搬送する。

ファットパイプモデルでは、なりすましを避けるために、ユーザエンティティ１００が８０２．１１ｉ又は同等の暗号化をサポートする必要がある。一方、ファットパイプモデルはユーザエンティティ１００におけるＩＰＳｅｃ暗号化を不要にし、それゆえ、無線ＬＡＮエアインターフェースにおいてＩＰＳｅｃオーバーヘッド、パケット分割及びＩＫＥキープアライブパケットを回避する。ファットパイプモデルは、終端間暗号化を可能にするので、企業ＶＰＮアクセスにも適合する（代替の「シンパイプ」モデルであれば、ユーザエンティティ１００による二重のＩＰＳｅｃ暗号化を必要とするであろう）。

各トンネルが、その無線アクセスポイント１１０において進行中の全てのＵＥセッションを含むので、ｅＢＮＧ１２０の場合、ファットパイプモデルは、シンパイプモデル（ｅＰＤＧ又はＰＤＮゲートウェイ）よりも良好な拡張性を提供する。

ｅＢＮＧ１２０は、携帯電話ユーザのための基本サービス提供に類似の１組の管理されたサービスを更に提供することができる。これは、ユーザプロファイルに基づいて改善された加入者管理状況においてセッションのインスタンスを生成することを通して行われる。改善加入者管理（ＥＳＭ）は、自動加入者プロビジョニング、加入者ごとのＱｏＳ及びセキュリティ強制を可能にする１組のＡＡＡ、セキュリティ及びＱｏＳ機構である。１組のＥＳＭ機構の重要な態様は、アクセスタイプ（ＩＰ ＣＡＮ）から独立している加入者意識モデルを提供すること、それゆえ、Ｗｉ−Ｆｉアクセスにも適用できることである。

無線アクセスポイントに向かうＩＰＳｅｃ ＥＳＰトンネル（又は非暗号化トンネル）の中でカプセル化される前に、トラフィックはＥＳＭエンジンによって処理される。ＥＳＭエンジンは、最終的なＲＡＤＩＵＳアクセス受諾メッセージにおいて、ＡＡＡサーバ１５０からユーザプロファイルを受信する。ユーザプロファイルは、フレーム化ＩＰアドレス、フレーム化ＩＰプール、ＶＰＲＮ識別子（仮想プライベートルーティングネットワーク：Virtual Private Routing Network）、ＱｏＳプロファイル、課金プロファイル、ＤＰＩルールベース（DPI rulebase）、ＮＡＴ及びセキュリティプロファイルを含むことができる。
−ＱｏＳ：加入者状況によって、ｅＢＮＧ１２０は、個人用ＱｏＳプロファイルに従って全ての加入者トラフィックを分類できるようになる。サービスクラスごとに専用のハードウェアキュー及びＨＷポリサーを、（階層的な）スケジューラとともに、それぞれインスタンスを生成された加入者に割り当てることができる。スケジューラ及び専用キューによって、Ｗｉ−Ｆｉサービスは、ベストエフォートから、ＱｏＳ対応ＩＰサービスに発展できるようになり、リアルタイム音声及びビデオアプリケーションもサポートできるようになる。
−セキュリティ：ｅＢＮＧ１２０に向かう安全なアクセスはｅＢＮＧ１２０内の１組のセキュリティ機構で補完される。それらのセキュリティ機構は、顧客プロファイルに基づくアクセス制御リスト及びなりすまし防止保護を含む。なりすまし防止フィルタを用いて、最終加入者が他の加入者を攻撃するのを防ぐか、又はＩＰアドレス及びＭＡＣアドレスを偽装することによって他の加入者のふりをしようとするのを防ぐ。
−ＶＰＲＮ：ｅＢＮＧ１２０におけるＶＰＲＮインスタンス生成は、量販の状況におけるサービス仮想化のために用いることができるか、又は安全なビジネスＶＰＮアクセスを提供するために用いることができる。それゆえ、ＶＰＲＮ−ｉｄは、小売店ＶＰＮ又はビジネス顧客ＶＰＮを指している。
−ＮＡＴ：ＩＰｖ４アドレス空間を維持するために、ネットワークアドレス及びポート変換（ＮＡＰＴ）をｅＢＮＧ１２０上に構成することができる。新たな各加入者ＮＡＰＴコンテキストが動的にインスタンス生成される。
−ローカルコンテント挿入：ｅＢＮＧ１２０が固定ＣＤＮネットワークのローカルコンテント挿入点で既に統合されているとき、Ｗｉ−Ｆｉオフロードトラフィックは、このキャッシュされたコンテンツも利用することができる。これは、トラフィックが横断するホップ数、及びトラフィックが生成するコストを削減し、コンテンツ利用可能性及びエンドユーザに向かう応答性を高める。

Ｗｉ−Ｆｉオフロード課金記録をｅＢＮＧ１２０から携帯電話課金サポートシステム（ＢＳＳ）に提供することによって、課金統合を達成することができる。ｅＢＮＧ１２０が携帯電話事業者によって所有されているときに特に、オフライン課金及びオンライン課金の両方の場合のこの課金統合は、Ｗｉ−Ｆｉオフロードサービス導入の第一段階を可能にすることができる。それにより、両方のネットワークの統合が、ＡＡＡインターフェース及び課金インターフェースの統合にのみに単純化される。Ｗｉ−Ｆｉオフロードトラフィックのデータプレーンは、携帯電話ネットワークの中を進む必要はなく、そのままインターネットにオフロードすることができる。

同じインフラストラクチャをオープンアクセス（ＩＥＥＥ８０２．１Ｘを用いない）及びポータル認証をサポートするために開放することができる。このシナリオでは、ｅＢＮＧ１２０によって、認証されていないデバイスがＤＨＣＰセッションを開始できるようになるが、ｅＢＮＧ１２０は、任意のｈｔｔｐトラフィックをランディングページに向かってリダイレクトする。非ｈｔｔｐトラフィックは破棄される。これは、ｅＢＮＧ１２０がＡＡＡサーバ１５０から入手したリダイレクトポリシーを通して達成される。

ユーザがポータル登録を完了し、許可されるとき、ユーザに最大限のデータアクセスを与えるために、ｅＢＮＧ１２０においてユーザプロファイルが更新される。これは、ＡＡＡサーバ１５０からのＲＡＤＩＵＳ ＣｏＡ更新を通して行われる。

携帯電話パケットコアに対するｅＢＮＧ１２０の更なる統合は、オフロードされたトラフィックのＧＴＰカプセル化を通して達成され、そのために、そのトラフィックはＰＧＷ又はＧＧＳＮに向かうＧＴＰに基づくＳ２ｂのようなインターフェース上で渡されることになる。ｅＢＮＧ１２０におけるＧＴＰカプセル化によって、事業者は、３Ｇ−ＬＥＴ及びＷｉ−Ｆｉオフロードトラフィックの両方の場合に同じアンカーポイントを有することができるようになる。それにより、エンドユーザは、そのＩＰアドレスを維持しながら、セルラーＩＰ ＣＡＮと非セルラーＩＰ ＣＡＮとの間をローミングできるようになり、携帯電話データサービスインフラストラクチャに自然にアクセスできるようになる。それにより、携帯電話事業者は、課金に関してだけでなく、携帯電話コンテンツ、インターネットアクセス、ディープ・パケット・インスペクション、ビデオ最適化、ヘッダ強化（header enrichment）等のために、ＰＧＷ−ＧＧＳＮ上の全サービスインフラストラクチャを再利用できるようになる。

認証及び許可は、オプションで上記のＲＡＤＩＵＳプロキシ・エージェントを埋め込まれているスタンドアローンｅＢＮＧ１２０と完全に連携している。しかしながら、ｅＢＮＧ１２０は、ここで、ＰＧＷ−ＧＧＳＮに対するＥＰＳセッション又はＰＤＰコンテキストを作成することによって、ＤＨＣＰ発見メッセージに応答する。その後、ＵＥ ＩＰアドレスは、ＰＧＷによって、そのローカルプールから、又は既存のＥＰＳセッション又はＰＤＰコンテキストから選択される。

データプレーンにおいて、ｅＢＮＧ１２０は、オプションで、ＬＡＣのような機能を果たす。アップストリームでは、ＩＰＳｅｔファットパイプ内のセッションからの全てのトラフィックをＧＴＰカプセル化して、そのトラフィックをＰＧＷ−ＧＧＳＮに転送する。ダウンストリームでは、ＰＧＷ−ＧＧＳＮから受信されたＧＴＰカプセル化されたトラフィックを終端し、そのトラフィックを正しい無線アクセスポイントに向かう正しいＩＰＳｅｃトンネルに転送する。

セルラーＩＰ ＣＡＭセッションと非セルラーＩＰ ＣＡＮセッションとの間でＵＥ ＩＰアドレスを維持するために、ｅＢＮＧ１２０は、ＰＧＷ−ＧＧＳＮにおいて、ハンドオーバ指示を伴うＥＰＳセッションを作成する。このハンドオーバ指示は、ＰＧＷ−ＧＧＳＮに強制的に、そのユーザエンティティに対して既存のＥＰＳセッションが進行中であるか、ＰＤＰコンテキストが進行中であるかを検証させ、そのセッションのコンテキストを検索させる。結果として、ＰＧＷ−ＧＧＳＮは非セルラーセッションに既存のＩＰアドレスを割り当て、ＳＧＷ／ＭＭＥ又はＧｎ／Ｇｐ ＳＧＳＮにセッション切断を送信する。

アクセスポイント１１０を主に私的に使用することと、共用のために利用可能な余分な帯域幅を使用することとを分ける必要がある。

アクセスポイントにおいて２つのＳＳＩＤを与えることによってこれを果たすことができる。私用ＳＳＩＤによる全てのトラフィックは固定アクセスとして統合され、そのようにアカウントが作成される。公開ＳＳＩＤによるトラフィックの場合、トラフィックを独立して取り扱い、独立してアカウントを作成することができるように、専用接続が設定される必要がある（おそらく、専用ＶＬＡＮ又はトンネルによる）。

「プロセッサ」を付された任意の機能ブロックを含む、図に示される種々の要素の機能は、専用ハードウェア、及び適切なソフトウェアに関連してソフトウェアを実行することができるハードウェアの使用を通して与えることができる。プロセッサによって与えられるとき、それらの機能は、単一の専用プロセッサによって、又は単一の共用プロセッサによって、又はそのうちの幾つかが共用される場合がある複数の個々のプロセッサによって与えることができる。さらに、用語「プロセッサ」又は「コントローラ」を明示的に使用することは、ソフトウェアを実行することができるハードウェアだけを指していると解釈されるべきではなく、限定はしないが、デジタルシグナルプロセッサ（ＤＳＰ）ハードウェア、ネットワークプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、フィールド・プログラマブル・ゲートアレイ（ＦＰＧＡ）、ソフトウェアを記憶するためのリード・オンリー・メモリ（ＲＯＭ）、ランダム・アクセス・メモリ（ＲＡＭ）及び不揮発性記憶装置を暗に含む場合がある。他のハードウェア、すなわち、従来のハードウェア及び／又はカスタム・ハードウェアが含まれる場合もある。同様に、図面に示される任意のスイッチは概念的なものにすぎない。その機能は、プログラムロジックの動作を通して、専用ロジックを通して、プログラム制御及び専用ロジックのやりとりを通して、更には手動で実行することができ、文脈から更に具体的に理解されるように、実行者によって特定の技法を選択可能である。

Claims (14)

1. アクセスポイントを通して複数のユーザエンティティにネットワークアクセスを提供する方法であって、前記アクセスポイントはＬＡＮインターフェース及び広帯域ネットワークインターフェースを含み、前記方法はゲートウェイデバイスにおいて、
   前記アクセスポイントとの第２の安全な通信リンクを確立するステップと、
   前記第２の安全な通信リンクを介して、前記複数のユーザエンティティのうちの１つのユーザエンティティからＩＰアドレス割当て要求を受信するステップと、
   ＡＡＡサーバにアクセスして、前記複数のユーザエンティティのうちの前記１つのユーザエンティティに関連付けられる携帯電話加入に関連するデータに基づいて前記複数のユーザエンティティのうちの前記１つのユーザエンティティの認証に既に成功しているか否かを検証するステップと、
   認証成功時に、前記複数のユーザエンティティのうちの前記１つのユーザエンティティとのＩＰアドレス割当て方式を完了し、前記複数のユーザエンティティのうちの前記１つのユーザエンティティとＰＤＮとの間でデータを中継できるようにするステップとを含み、
   前記ゲートウェイデバイスは、前記ＰＤＮに向かう種々のアクセスポイントからの第２の安全な通信リンクの複数のインスタンスを統合するように構成される、アクセスポイントを通して複数のユーザエンティティにネットワークアクセスを提供する方法。
2. アクセスポイントを通して複数のユーザエンティティにネットワークアクセスを提供する方法であって、前記アクセスポイントはＬＡＮインターフェース及び広帯域ネットワークインターフェースを含み、前記方法は前記アクセスポイントにおいて、
   前記ＬＡＮインターフェースを介して、前記複数のユーザエンティティの中の各ユーザエンティティとのそれぞれの第１の安全な通信リンクを確立するステップと、
   前記広帯域ネットワークインターフェースを介してゲートウェイデバイスとの第２の安全な通信リンクを確立するステップと、
   それぞれの前記第１の安全な通信リンクと前記第２の安全な通信リンクとの間でデータを双方向に中継するステップとを含み、
   前記ゲートウェイデバイスは、ＰＤＮゲートウェイに向かう種々のアクセスポイントからの第２の安全な通信リンクの複数のインスタンスを統合するように構成される、アクセスポイントを通して複数のユーザエンティティにネットワークアクセスを提供する方法。
3. 前記アクセスポイントは無線アクセスポイントであり、前記ＬＡＮインターフェースは無線ＬＡＮインターフェースであり、その無線伝送はＩＥＥＥ８０２．１１ｉ暗号化プロトコルによって保証される、請求項１に記載の方法。
4. 前記第２の安全な通信リンクはＩＰＳｅｃトランスポートトンネルによって保証される、請求項１又は３に記載の方法。
5. 前記アクセスポイントにおいて、
   前記ＬＡＮインターフェースを介して、ユーザ機器から、前記広帯域ネットワークインターフェースに接続されるネットワークとの通信の認証要求を受信するステップと、
   ホーム・ロケーション・レジスタから前記ユーザ機器に関連付けられる携帯電話加入に関連するデータを入手するステップと、
   前記携帯電話加入に関連する前記データに基づいて前記ユーザ機器を認証するステップと、
   前記認証に成功する場合には、前記広帯域ネットワークインターフェースに接続されるネットワークとの前記通信を許可するステップとを更に含む、請求項２に記載の方法。
6. 前記ユーザ機器の前記認証は、
   前記ＬＡＮインターフェースを介して前記ユーザ機器に少なくとも１つの認証チャレンジを送信するステップと、
   前記ＬＡＮインターフェースを介して前記ユーザ機器から前記少なくとも１つの認証チャレンジに対するレスポンスを受信するステップとを含み、前記レスポンスは前記ユーザ機器において安全に記憶された鍵によって前記少なくとも１つの認証チャレンジから暗号処理によって導出される、請求項１、３、及び４のいずれか１項に記載の方法。
7. 前記鍵はＳＩＭカード内に記憶される、請求項６に記載の方法。
8. 前記ユーザエンティティはＩＥＥＥ８０２．１Ｘサプリカントであり、前記通信の前記許可は前記無線アクセスポイントのポートをＩＥＥＥ８０２．１Ｘ許可状態に移行させるステップを含む、請求項６又は７に記載の方法。
9. 前記ゲートウェイデバイスは、ユーザエンティティ・セッションのインスタンスを生成し、除去する、ＡＡＡサーバ、ＡＡＡプロキシ及びＡＡＡスニファのうちの１つを含む、請求項１、３、４、及び６乃至８のいずれか１項に記載の方法。
10. 前記ゲートウェイデバイスはＧＧＳＮ又はＰＤＮゲートウェイへのＧＴＰトンネルを設定し、前記ユーザエンティティに携帯電話事業者ＩＰサービス及び／又は課金機構へのアクセスを提供する、請求項１、３、４、及び６乃至９のいずれか１項に記載の方法。
11. 前記ゲートウェイデバイス内のコンピュータ上で実行されたとき、該コンピュータに、プログラム可能機械に請求項１、３、４、及び６乃至１０のいずれか１項に記載の方法を実行させるように構成されるコンピュータプログラム。
12. 請求項１、３、４、及び６乃至１０のいずれか１項に記載の方法において使用するゲートウェイデバイス。
13. 請求項２又は５に記載の方法において使用するアクセスポイント。
14. 前記アクセスポイント内のコンピュータ上で実行されたとき、該コンピュータに、プログラム可能機械に請求項２又は５に記載の方法を実行させるように構成されるコンピュータプログラム。

Images