JP6076276B2 - 通信システム及び通信方法 - Google Patents

Description

本発明は、通信システム及び通信方法に関する。

仮想化技術の進歩により、これまで宅内に設置されていた加入者ホームゲートウェイは仮想化され、仮想ゲートウェイ（vGW：virtual GateWay）として通信事業者の網側に収容されるようになることが想定される。宅内には各加入者の仮想ゲートウェイと紐づけられたアクセスポイント（AP：Access Point）が設置される。そのアクセスポイントと接続された端末は、そのアクセスポイントに対応した仮想ゲートウェイから提供されるポリシー制御やAAA（Authentication, Authorization, Accounting）管理、セキュリティ等に従って通信する（非特許文献１参照）。

Broadband Forum Working Text, WT-317, "Network Enhanced Residential Gateway", Revision 05, August 2013.

上記のように、アクセスポイントは仮想ゲートウェイと紐づけられるため、加入者が端末を宅外に持ち出した際、自身が契約している仮想ゲートウェイではなく、外出時のアクセスポイントに対応した仮想ゲートウェイから提供されるポリシー制御やAAA管理、セキュリティ等の制御機能に従うこととなる。

図１に、端末が外出先からネットワークに接続する状況を示す。端末Aが加入者の宅内のアクセスポイントAP-1に接続している場合、端末Aは、アクセスポイントAP-1に紐づけられた仮想ゲートウェイvGW-1から提供されるポリシー制御等の制御機能に従って通信することができる。例えば、ペアレンタルコントロールによって不適切なウェブページへのアクセスを規制したい場合には、仮想ゲートウェイvGW-1に設定された端末毎のポリシー制御を適用することができる。

しかし、加入者が宅外に出てしまった場合、端末Aは、外出先のアクセスポイントAP-kに紐づけられた仮想ゲートウェイvGW-kから提供されるポリシー制御等の制御機能に従って通信することになる。従って、外出先からはペアレンタルコントロールによるアクセスの規制をかけることはできない。また、宅内では守られていたセキュリティも、宅外では効果が無くなってしまい、ウィルスへの感染の危険性が高くなる。

本発明は、端末が加入者の宅外のアクセスポイントに接続しても、加入者の宅内のアクセスポイントに対応する仮想ゲートウェイから提供される制御機能を実現することを目的とする。

また、本発明の一形態に係る通信システムは、
加入者端末と、仮想ゲートウェイのインスタンスを生成して加入者端末と通信するゲートウェイ装置と、加入者情報を管理するサーバとを有する通信システムであって、
前記加入者端末は、
前記加入者端末の宅内のアクセスポイントに対応する仮想ゲートウェイ（以下、第１の仮想ゲートウェイと呼ぶ）への接続を前記サーバに対して要求し、加入者情報を前記サーバに送信する接続クライアントを有し、
前記サーバは、
加入者端末の加入者情報が格納された加入者データベースと、
前記加入者データベースを参照して、前記加入者端末から送信された加入者情報を認証する加入者情報認証部と、
前記加入者端末が接続しているゲートウェイ装置に前記第１の仮想ゲートウェイのインスタンスを生成する仮想ゲートウェイインスタンス管理部と、
を有し、
前記仮想ゲートウェイインスタンス管理部は、
前記第１の仮想ゲートウェイのインスタンスが存在するゲートウェイ装置から、前記第１の仮想ゲートウェイを削除可能であるか否かを判断し、削除可能である場合、前記第１の仮想ゲートウェイのインスタンスを削除する。

また、本発明の一形態に係る通信方法は、
加入者端末と、仮想ゲートウェイのインスタンスを生成して加入者端末と通信するゲートウェイ装置と、加入者情報を管理するサーバとを有する通信システムにおける通信方法であって、
前記加入者端末が、前記加入者端末の宅内のアクセスポイントに対応する仮想ゲートウェイ（以下、第１の仮想ゲートウェイと呼ぶ）への接続を前記サーバに対して要求し、加入者情報を前記サーバに送信するステップと、
前記サーバが、加入者端末の加入者情報が格納された加入者データベースを参照して、前記加入者端末から送信された加入者情報を認証するステップと、
前記サーバが、前記加入者端末が接続しているゲートウェイ装置に前記第１の仮想ゲートウェイのインスタンスを生成するステップと、
前記サーバが、前記第１の仮想ゲートウェイのインスタンスが存在するゲートウェイ装置から、前記第１の仮想ゲートウェイを削除可能であるか否かを判断し、削除可能である場合、前記第１の仮想ゲートウェイのインスタンスを削除するステップと、
を有する。

本発明によれば、端末が加入者の宅外のアクセスポイントに接続しても、加入者の宅内のアクセスポイントに対応する仮想ゲートウェイから提供される制御機能を実現することが可能になる。

端末が外出先からネットワークに接続する状況を示す図 本発明の第１の実施例に係るネットワーク接続を示す図 本発明の第１の実施例に係る仮想ゲートウェイ接続サーバで管理される情報の例 本発明の第１の実施例に係る通信方法のシーケンス図 本発明の第１の実施例に係る通信システムの概略図（その１） 本発明の第１の実施例に係る通信システムの概略図（その２） 本発明の第１の実施例に係る通信システムの概略図（その３） 本発明の第２の実施例に係るネットワーク接続を示す図 本発明の第２の実施例に係る通信方法のシーケンス図 本発明の第２の実施例に係る通信システムの概略図（その１） 本発明の第２の実施例に係る通信システムの概略図（その２） 本発明の第２の実施例に係る通信システムの概略図（その３） 本発明の第２の実施例に係る通信システムの概略図（その４）

本発明の実施例では、端末が加入者の宅外のアクセスポイントに接続しても、加入者の宅内のアクセスポイントに対応する仮想ゲートウェイから提供される制御機能を実現するための通信システムについて説明する。

＜第１の実施例＞
本発明の第１の実施例では、端末Aが加入者の宅外のアクセスポイントAP-kに接続した場合、キャリア網内のパケットフローを制御し、宅外のアクセスポイントAP-kに対応する仮想ゲートウェイvGW-kを介して、端末Aから宅内のアクセスポイントAP-1に対応する仮想ゲートウェイvGW-1への通信を確立する。

端末Aから仮想ゲートウェイvGW-1への通信を確立する手法として、仮想ゲートウェイvGW-kを介して端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定する手法と、仮想ゲートウェイvGW-1と仮想ゲートウェイvGW-kとの間で端末Aのパケットのフローを制御する手法とが存在する。以下の説明では、トンネルを設定する手法について説明する。

図２に示すように、本発明の実施例に係る通信システムは、端末A（１０）と、アクセスポイントAP-1及びAP-k（２０−１及び２０−ｋ）と、仮想ゲートウェイvGW-1及びvGW-k（３０−１及び３０−ｋ）と、仮想ゲートウェイ接続サーバ４０とを有する。

端末A（１０）は、加入者が使用する無線又は有線の端末であり、例えば、パーソナルコンピュータ、スマートフォン等である。端末A（１０）には、宅外のアクセスポイントAP-kに接続した場合に、宅内のアクセスポイントAP-1に紐づけられた仮想ゲートウェイvGW-1への接続を要求する仮想ゲートウェイ接続クライアントが存在する。

アクセスポイントAP-1（２０−１）は、加入者宅内に設置され、端末Aをキャリア網に接続するためのルータである。アクセスポイントAP-k（２０−ｋ）は、加入者宅外に設置され、端末Aをキャリア網に接続するためのルータである。

仮想ゲートウェイvGW-1（３０−１）は、ゲートウェイ装置1内に生成された仮想ゲートウェイのインスタンスであり、アクセスポイントAP-1に紐づけられている。仮想ゲートウェイvGW-1（３０−１）は、アクセスポイントAP-1を介した端末Aからの通信をインターネット網、電話網、IPTV（Internet Protocol Television）網等のネットワークに接続する。また、仮想ゲートウェイvGW-1（３０−１）は、ポリシー制御やAAA（Authentication, Authorization, Accounting）管理、セキュリティ等の制御機能を適用する。同様に、仮想ゲートウェイvGW-k（３０−ｋ）は、ゲートウェイ装置2内に生成された仮想ゲートウェイのインスタンスであり、アクセスポイントAP-kに紐づけられている。

仮想ゲートウェイ接続サーバ４０は、端末Aが仮想ゲートウェイvGW-kに接続した場合、端末Aからの要求に従って、仮想ゲートウェイvGW-kを介して端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定するサーバである。仮想ゲートウェイ接続サーバ４０は、加入者情報を管理する加入者データベースを有する。図示しないが、仮想ゲートウェイvGW-1と仮想ゲートウェイvGW-kとの間のルータに対してトンネルを設定するトンネル管理サーバが存在してもよい。具体的には、端末Aと仮想ゲートウェイvGW-kとの間に例えばGRE（Generic Routing Encapsulation）トンネルを生成し、さらに仮想ゲートウェイvGW-1と仮想ゲートウェイとの間にGREトンネル生成を行う。ただし、トンネルのプロトコルはこの例に限らない。

図３に、仮想ゲートウェイ接続サーバ４０の加入者データベースで管理される情報の例を示す。加入者データベースには、例えば、加入者名、加入者の収容エッジルータの識別情報（ゲートウェイ装置のID、ゲートウェイ装置内の仮想ゲートウェイvGW-1に割り当てられたVLANラベル、IPアドレス等）、加入者のID及びパスワード、端末Aの情報（端末名、MACアドレス等）が登録されている。

図４に、本発明の第１の実施例に係る通信方法のシーケンス図を示す。図４の通信方法について、図５〜図７も参照しつつ説明する。

まず、端末Aが宅外のアクセスポイントAP-kとのコネクション手順を経由して、アクセスポイントAP-kに接続した場合、端末Aは、認証要求を仮想ゲートウェイ接続サーバに送信する（ステップＳ１０１）。具体的には、図５に示すように、端末Aの送受信機能部は、アクセスポイントAP-kの送受信機能部を介してアクセス管理機能部との間で接続を確立する。そして、加入者及び機器情報を管理する端末Aの仮想ゲートウェイ接続クライアントは、仮想ゲートウェイ接続サーバの加入者情報認証機能部に対して、認証を要求する。認証要求には、端末AのMACアドレスや、加入者のID及びパスワード等の情報が含まれる。

仮想ゲートウェイ接続サーバは、加入者データベースを参照して、端末Aを認証し（ステップＳ１０３）、認証応答を端末Aに送信する（ステップＳ１０５）。具体的には、図５に示すように、仮想ゲートウェイ接続サーバの加入者認証機能部は、認証要求が送信されてきた仮想ゲートウェイvGW-kのアドレスが加入者データベースで管理されている仮想ゲートウェイvGW-1のアドレスと異なる場合、端末Aが宅外のアクセスポイントAP-kから接続を要求していると判断できる。端末Aの仮想ゲートウェイ接続クライアントから送信された認証要求を用いて加入者の認証が終了した場合、仮想ゲートウェイ接続サーバの加入者認証機能部は、認証が成功したか否かを端末Aの仮想ゲートウェイ接続クライアントに返信する。

端末Aの仮想ゲートウェイ接続クライアントは、仮想ゲートウェイvGW-1への接続を仮想ゲートウェイ接続サーバに要求する（ステップＳ１０７）。この実施例では、端末Aから仮想ゲートウェイvGW-1との間にトンネルを生成するように、仮想ゲートウェイ接続サーバに要求する。

仮想ゲートウェイ接続サーバは、仮想ゲートウェイvGW-1の状態等を問い合わせ（ステップＳ１０９）、その応答を受信して（ステップＳ１１１）、仮想ゲートウェイvGW-kを介して端末Aと仮想ゲートウェイvGW-1との間にトンネルを生成できるか判断し（ステップＳ１１３）、その結果を端末Aに報告する（ステップＳ１１５）。具体的には、図６に示す仮想ゲートウェイ接続サーバのトンネル生成判断機能部は、仮想ゲートウェイvGW-1に対してキープアライブパケットを送信し、仮想ゲートウェイvGW-1からの応答を受信した場合に、トンネルを生成することができると判断してもよい。

仮想ゲートウェイ接続サーバは、トンネル生成サーバを介して、仮想ゲートウェイvGW-1と仮想ゲートウェイvGW-kとの間のルータに対して端末AのIPアドレス等を送信して、端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定するように要求する（ステップＳ１１７及びＳ１１９）。具体的には、図６に示す仮想ゲートウェイ接続サーバのトンネル設定機能部は、トンネル生成判断機能部においてトンネルを生成することができると判断された場合、トンネル生成サーバに対して、端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定するように要求する。この要求に従い、端末Aのトンネル終端機能部と仮想ゲートウェイvGW-1のトンネル終端機能部との間でIPsec等のトンネル生成手順が実施され、図７に示すように、トンネルが生成される。

その結果、端末Aは、仮想ゲートウェイvGW-1の端末管理機能部により提供される接続端末のアクセス制限、端末毎のポリシー制御等を受けることができ、また、仮想ゲートウェイvGW-1のインターネット接続機能部によるインターネット接続、Firewall機能部によるセキュリティ、HTTPプロキシ機能部によるプロキシ機能等を受けることが可能になる。

なお、上記の説明では、仮想ゲートウェイvGW-kを介して端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定する手法について説明したが、仮想ゲートウェイvGW-1と仮想ゲートウェイvGW-kとの間で端末Aのパケットのフローを制御することも可能である。この場合、仮想ゲートウェイ接続サーバは、トンネル生成サーバを介して、仮想ゲートウェイvGW-1と仮想ゲートウェイvGW-kとの間のルータに対して端末AのIPアドレス等を送信して、端末Aのパケットのフローを制御するように要求する（ステップＳ１１７及びＳ１１９）。この要求に従い、端末Aと仮想ゲートウェイvGW-1との間でパケットが転送される。

＜第２の実施例＞
本発明の第２の実施例では、端末Aが加入者の宅外のアクセスポイントAP-kに接続した場合、端末Aが接続しているゲートウェイ装置に、宅内のアクセスポイントAP-1に対応する仮想ゲートウェイvGW-1のインスタンスを生成する。

図８に示すように、本発明の実施例に係る通信システムは、端末A（１０）と、アクセスポイントAP-1及びAP-k（２０−１及び２０−ｋ）と、仮想ゲートウェイvGW-1及びvGW-k（３０−１及び３０−ｋ）と、仮想ゲートウェイ接続サーバ４０とを有する。

端末A（１０）、アクセスポイントAP-1（２０−１）、アクセスポイントAP-k（２０−ｋ）、仮想ゲートウェイvGW-1（３０−１）及び仮想ゲートウェイvGW-k（３０−ｋ）は、第１の実施例で説明したとおりであるため、ここでは説明を省略する。

仮想ゲートウェイ接続サーバ４０は、端末Aが仮想ゲートウェイvGW-kに接続した場合、端末Aからの要求に従って、端末Aが接続しているゲートウェイ装置2に仮想ゲートウェイvGW-1のインスタンスを生成するサーバである。仮想ゲートウェイ接続サーバ４０は、加入者情報を管理する加入者データベースを有する。加入者データベースでは、図３に示すような情報が管理される。なお、新たな仮想ゲートウェイのインスタンスが生成された場合、加入者データベースに新たな項目が追加されてもよく、既存の項目が更新されてもよい。図示しないが、端末Aと新たに生成された仮想ゲートウェイvGW-1との間のルータに対してトンネルを設定するトンネル管理サーバが存在してもよい。

図９に、本発明の第２の実施例に係る通信方法のシーケンス図を示す。図９の通信方法について、図１０〜図１３も参照しつつ説明する。

まず、端末Aが宅外のアクセスポイントAP-kとのコネクション手順を経由して、アクセスポイントAP-kに接続した場合、端末Aは、認証要求を仮想ゲートウェイ接続サーバに送信する（ステップＳ２０１）。具体的には、図１０に示すように、端末Aの送受信機能部は、アクセスポイントAP-kの送受信機能部を介してアクセス管理機能部との間で接続を確立する。そして、加入者及び機器情報を管理する端末Aの仮想ゲートウェイ接続クライアントは、仮想ゲートウェイ接続サーバの加入者情報認証機能部に対して、認証を要求する。認証要求には、端末AのMACアドレスや、加入者のID及びパスワード等の情報が含まれる。

仮想ゲートウェイ接続サーバは、加入者データベースを参照して、端末Aを認証し（ステップＳ２０３）、認証応答を端末Aに送信する（ステップＳ２０５）。具体的には、図１０に示すように、仮想ゲートウェイ接続サーバの加入者認証機能部は、認証要求が送信されてきた仮想ゲートウェイvGW-kのアドレスが加入者データベースで管理されている仮想ゲートウェイvGW-1のアドレスと異なる場合、端末Aが宅外のアクセスポイントAP-kから接続を要求していると判断できる。端末Aの仮想ゲートウェイ接続クライアントから送信された認証要求を用いて加入者の認証が終了した場合、仮想ゲートウェイ接続サーバの加入者認証機能部は、認証が成功したか否かを端末Aの仮想ゲートウェイ接続クライアントに返信する。

端末Aの仮想ゲートウェイ接続クライアントは、仮想ゲートウェイvGW-1への接続を仮想ゲートウェイ接続サーバに要求する（ステップＳ２０７）。この実施例では、端末Aが接続しているゲートウェイ装置2に仮想ゲートウェイvGW-1のインスタンスを生成するように、仮想ゲートウェイ接続サーバに要求する。

仮想ゲートウェイ接続サーバは、仮想ゲートウェイvGW-1の状態等を問い合わせ（ステップＳ２０９）、その応答を受信して（ステップＳ２１１）、仮想ゲートウェイvGW-1を移動できるか、或いは、仮想ゲートウェイvGW-1をゲートウェイ装置2に複製すべきかを判断する。具体的には、図１１に示す仮想ゲートウェイ接続サーバの仮想ゲートウェイインスタンス管理機能部は、仮想ゲートウェイvGW-1の状態を確認し、仮想ゲートウェイvGW-1に接続している端末が存在する場合には、仮想ゲートウェイvGW-1を移動できず、ゲートウェイ装置2に仮想ゲートウェイvGW-1を複製すべきであると判断する。一方、仮想ゲートウェイvGW-1に接続している端末が存在しない場合には、ゲートウェイ装置2に仮想ゲートウェイvGW-1を移動可能であると判断してもよい。

仮想ゲートウェイ接続サーバは、ゲートウェイ装置2に仮想ゲートウェイvGW-1の複製又は移動を指示し（ステップＳ２１３）、その応答を受信して（ステップＳ２１５）、端末Aに結果を報告する（ステップＳ２１７）。なお、仮想ゲートウェイvGW-1の移動の場合には、仮想ゲートウェイ接続サーバは、ゲートウェイ装置1に仮想ゲートウェイvGW-1の削除を指示する。

端末Aの仮想ゲートウェイ接続クライアントは、新たに生成された仮想ゲートウェイvGW-1への接続を仮想ゲートウェイ接続サーバに要求する（ステップＳ２１９）。この実施例では、端末Aから新たに生成された仮想ゲートウェイvGW-1との間にトンネルを生成するように、仮想ゲートウェイ接続サーバに要求する。

仮想ゲートウェイ接続サーバは、ゲートウェイ装置2に生成された仮想ゲートウェイvGW-1の状態等を問い合わせ（ステップＳ２２１）、その応答を受信して（ステップＳ２２３）、端末Aと仮想ゲートウェイvGW-1との間にトンネルを生成できるか判断し（ステップＳ２２５）、その結果を端末Aに報告する（ステップＳ２２７）。具体的には、図１２に示す仮想ゲートウェイ接続サーバのトンネル生成判断機能部は、仮想ゲートウェイvGW-1に対してキープアライブパケットを送信し、仮想ゲートウェイvGW-1からの応答を受信した場合に、トンネルを生成することができると判断してもよい。

仮想ゲートウェイ接続サーバは、トンネル生成サーバを介して、仮想ゲートウェイvGW-1に対して端末AのIPアドレス等を送信して、端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定するように要求する（ステップＳ２２９及びＳ２３１）。具体的には、図１２に示す仮想ゲートウェイ接続サーバのトンネル設定機能部は、トンネル生成判断機能部においてトンネルを生成することができると判断された場合、トンネル生成サーバに対して、端末Aと仮想ゲートウェイvGW-1との間にトンネルを設定するように要求する。この要求に従い、端末Aのトンネル終端機能部と仮想ゲートウェイvGW-1のトンネル終端機能部との間でIPsec等のトンネル生成手順が実施され、図１３に示すように、トンネルが生成される。

その結果、端末Aは、仮想ゲートウェイvGW-1の端末管理機能部により提供される接続端末のアクセス制限、端末毎のポリシー制御等を受けることができ、また、仮想ゲートウェイvGW-1のインターネット接続機能部によるインターネット接続、Firewall機能部によるセキュリティ、HTTPプロキシ機能部によるプロキシ機能等を受けることが可能になる。

以上のように、本発明の実施例によれば、端末が加入者の宅外のアクセスポイントに接続しても、加入者の宅内のアクセスポイントに対応する仮想ゲートウェイから提供される制御機能を実現することが可能になる。

説明の便宜上、本発明の実施例に係る通信システムは機能的なブロック図を用いて説明しているが、本発明の実施例に係る通信システムは、ハードウェア、ソフトウェアまたはそれらの組み合わせで実現されてもよい。また、各機能部が必要に応じて組み合わせて使用されてもよい。また、本発明の実施例に係る方法は、実施例に示す順序と異なる順序で実施されてもよい。

以上、端末が加入者の宅外のアクセスポイントに接続しても、加入者の宅内のアクセスポイントに対応する仮想ゲートウェイから提供される制御機能を実現するための手法について説明したが、本発明は、上記の実施例に限定されることなく、特許請求の範囲内において、種々の変更・応用が可能である。

１０ 端末
２０ アクセスポイント
３０ 仮想ゲートウェイ
４０ 仮想ゲートウェイ接続サーバ

Claims (2)

1. 加入者端末と、仮想ゲートウェイのインスタンスを生成して加入者端末と通信するゲートウェイ装置と、加入者情報を管理するサーバとを有する通信システムであって、
   前記加入者端末は、
   前記加入者端末の宅内のアクセスポイントに対応する仮想ゲートウェイ（以下、第１の仮想ゲートウェイと呼ぶ）への接続を前記サーバに対して要求し、加入者情報を前記サーバに送信する接続クライアントを有し、
   前記サーバは、
   加入者端末の加入者情報が格納された加入者データベースと、
   前記加入者データベースを参照して、前記加入者端末から送信された加入者情報を認証する加入者情報認証部と、
   前記加入者端末が接続しているゲートウェイ装置に前記第１の仮想ゲートウェイのインスタンスを生成する仮想ゲートウェイインスタンス管理部と、
   を有し、
   前記仮想ゲートウェイインスタンス管理部は、
   前記第１の仮想ゲートウェイのインスタンスが存在するゲートウェイ装置から、前記第１の仮想ゲートウェイを削除可能であるか否かを判断し、削除可能である場合、前記第１の仮想ゲートウェイのインスタンスを削除する通信システム。
2. 加入者端末と、仮想ゲートウェイのインスタンスを生成して加入者端末と通信するゲートウェイ装置と、加入者情報を管理するサーバとを有する通信システムにおける通信方法であって、
   前記加入者端末が、前記加入者端末の宅内のアクセスポイントに対応する仮想ゲートウェイ（以下、第１の仮想ゲートウェイと呼ぶ）への接続を前記サーバに対して要求し、加入者情報を前記サーバに送信するステップと、
   前記サーバが、加入者端末の加入者情報が格納された加入者データベースを参照して、前記加入者端末から送信された加入者情報を認証するステップと、
   前記サーバが、前記加入者端末が接続しているゲートウェイ装置に前記第１の仮想ゲートウェイのインスタンスを生成するステップと、
   前記サーバが、前記第１の仮想ゲートウェイのインスタンスが存在するゲートウェイ装置から、前記第１の仮想ゲートウェイを削除可能であるか否かを判断し、削除可能である場合、前記第１の仮想ゲートウェイのインスタンスを削除するステップと、
   を有する通信方法。

Images