SE517729C2 - Metod för att upprätthålla kommunikation mellan enheter tillhöriga skilda kommunikationsnät - Google Patents

Description

,v;:| 20 25 30 517 729 2 Sessions-lager: Protokoll-lager verkande direkt ovanpå transport-protokoll- lagret.

Socket: En slutpunkt för kommunikation representerat av ett socket- handtag i sockets-APlet.

Hand-over: Byte mellan två olika kommunikationslänkar på samma eller olika nät.

Roaming: Byte mellan två olika geografiskt separerade kommunikations- nät.

Redogörelse för föreliggande uppfinning Tekniska problem l samband med datakommunikation mellan en första och en andra enhet där åtmistone den första enheten är geografiskt mobil uppstår ett antal problem.

Normalt är programvaran i den andra enheten inte anpassad för att kommunicera med en mobil enhet. Detta gör normalt att kommunikationsnätet måste anpassas så att det faktum att den första enheten är mobil döljs för den andra enheten. Ett anpassat kommunikationsnät skapar läsningar till den kommunikationsteknologi som kommunikationsnätet erbjuder och kan också skapa inlåsningar till den ope- ratör som driver nätet. “ Ofta är inte heller programvaran i den första enheten anpassad för att ta hänsyn till det faktum att den första enheten är mobil. Detta gör att kommunika- tionshårdvaran i den första enheten måste anpassas för att ta hänsyn till att den första enheten är mobil. Detta skapar inlåsningseffekter till den kommunikations- teknologi som hårdvaran i den första enheten stödjer.

I det fall att kommunikationen mellan den första och den andra enheten använder sig av lP-protokollet använder den andra enheten den första enhetens IP-adress för att adressera meddelanden från den andra enheten till den första enheten. Om den första enheten har möjlighet att kommunicera med den andra enheten via ett flertal olika kommunikationslänkar kommer den första enheten att ha minst en separat IP-adress för varje kommunikationslänk. Om den första en- heten nu förflyttar sig på ett sådant sätt att en använd första kommunikationlänk blir otillgänglig måste den andra enheten använda en ny andra kommunikations- länk till den första enheten. Detta görs genom att adressera meddelanden till den ...an 15 20 25 30 517 729 -o -n- 3 första enhetens IP-adress hörande till den andra kommunikationslänken. Emeller- tid uppstår problemet för den andra enheten att veta att den första enheten har bytt kommunikationslänk samt vilken ny IP-adress som ska användas. l det fall att TCP-protokollet används ovanpå IP-protokollet samt att den andra kommunikationslänken har en annan nätverkskarakteristik än den första kommunikationslänken, med t ex annorlunda bandbredd eller annorlunda round- trip-tider kan det ta lång tid för TCP protokollet att anpassa sig till den andra nät- verkskarakteristiken. Speciellt medför den så kallade Karns algoritm att TCP efter bytet kan få svårt att uppdatera sina estimat av genomsnittlig round-trip-tid och standardavvikelsen i denna. Under den tid det tar för TCP-protokollet att anpassa sig finns det risk för många onödiga omsändningar eller onödigt stora timeouter. l det fall att den andra enheten är en företagsintern server kan säkerhets- problem uppstå när den första enheten byter kommunikationslänk. Normalt är den första enhetens autenticering kopplad till använd kommunikationslänk. När den första enheten byter kommunikationslänk från den första kommunikationslänken till den andra kommunikationslänken krävs i så fall att den första enheten gör en andra autenticering över nämnda andra kommunikationslänk. l samband med att säkerhetsprotokoll används krypteras data normalt in- nan det når länklagret. Det innebär att komprimerings-funtionaliteten som verkar på länklagret inte ger någon effekt, varvid mer data måste transporteras över kommunikationslänken.

Det är sedan länge känt hur man kan göra system för hand-over och roa- ming mellan kommunikationslänken i homogena nätverk. l GSM-systemet, görs hand-over och roaming på ett speciellt länklager, anpassat förjust GSM-kommu- nikation. Datakommunikation över GSM kan ske antingen via kretskopplade GSM- förbindelser eller via GPRS-teknologi. Andra mobiltelefonisystem fungerar på lik- nande sätt.

Ett länklager anpassat för handover ger möjlighet att göra handover mel- lan basstationer, och därmed kunna byta kommunikationslänk inom ett av en gi- ven operatör drivet nät. Det finns i GSM även möjligheter att roama mellan nät hö- rande till olika operatörer, men detta kräver att telefonförbindelser kopplas ned och kopplas upp igen. Genom att hand-over inom ett nät tillhörigt en enskild operatör sker på länklagret, döljs hand-over för ett eventuellt IP-lager. Därmed löses vissa |>|»» 20 25 30 517 729 4 av de IP-relaterade problemen ovan. Emellertid är lösningen av sådan art att den inte låter sig överföras på heterogena nät med olika typer av länklager.

Med speciella telefoner som innehåller hårdvara och mjukvara för flera oli- ka telefonisystem finns möjligheten att roama mellan olika typer av mobiltele- foninätverk, dock även här endast mellan samtal.

Säkerheten i lösningar baserade på mobiltelefonisystem är normalt base- rad på kryptering av trafik över den mobila länken. I princip skulle denna kryptering kunna göras godtyckligt stark, men i dagens system är den oftast svag. Till exem- pel är krypteringen i GSM baserad på algoritmen A5, vilken i stort sett kan knäck- as i realtid. Det principiella problemet med länk-baserad kryptering är emellertid att den inte används hela vägen mellan den första enheten och den andra enheten, så kallad end-to-end-kryptering. Detta gör det möjligt för en annan datorenhet att avlyssna trafik, ändra i meddelanden eller använda sig av den första enhetens IP- adress, så kallad lP-spoofing.

Det är även känt att man kan använda ett protokoll av typen Mobile-IP för mobilitet mellan olika lP-baserade kommunikationslänkar. Mobile-IP bygger på en speciell programvara iden första enheten och en första server, kallad home agent.

I vissa fall krävs även en andra server, kallad foreign agent, i nätverket. Om en fo- reign agent används krävs normalt en foreign agent per kommunikationslänk. Mo- bile-IP löser det IP-adress-relaterade problemet genom att dölja den första enhe- tens verkliga IP-adress och tilldela den en andra lP-adress tillhörig den första ser- vern. Den första servern vidarebefordrar all kommunikation mottagen på den and- ra IP-adressen till den IP-adress som för tillfället används av den första enheten.

Därmed löses det IP-adress-relaterade problemet ovan. Emellertid löses inte pro- blemet med TCP-protokollet. Dessutom ger mobile-IP en viss prestanda-för- sämring i och med att det tillför ytterligare data till varje IP-paket. Mobile IP intro- ducerar vidare fördröjningar i kommunikationen till följd av så kallad triangelrout- ning. För det fall att både den första enheten och den andra enheten är mobila blir fördröjningarna extra stora. l vissa tillämpningar, såsom tvåvägs röstkommunika- tion kan dessa fördröjningar allvarligt försämra tillämpningens kvalité.

För att lösa säkerhetsrelaterade problem används ofta protokollet IPSec tillsammans med Mobile-IP. IPSec används normalt på en nivå över Mobile-lP.

Detta gör att krypterad information kan passera genom den första servern utan att avkrypteras, och gör också att man inte behöver etablera en ny IPSec-förbindelse inf-n 20 25 30 517 729 u» .nu 5 för att den första enheten byter kommunikationslänk. Den första enheten och den andra enheten får även möjligheter att autenticera varandra på ett säkert sätt med hjälp av certifikat. Emellertid verkar lPSec-lagret ovanför länk-lagret, vilket gör att länklagerbaserad komprimering inte fungerar. Istället finns möjligheter till kompri- mering i lPSec-lagret, men på grund av den paketförmedlade naturen hos IP blir det svårt eller omöjligt att använda tillståndsberoende komprimeringsalgoritmer.

Detta gör att effekten av komprimeringen blir avsevärt reducerad. Dessutom gör lPSec att en del extra data behöver överföras med varje IP-paket. Sammantaget ger detta en avsevärd prestandaförsämring.

Det finns förslag på en ny version av IP-protokollet, IP version 6, som in- nehåller en variant av både lPSec och Mobile IP. Ett problem med IP version 6 i samband med mobil kommunikation är att headerstorleken på individuella med- delanden är större än i tidigare versioner av IP-protokollet. Detta ger lägre effektiv bandbredd och större fördröjningar. Vidare kräver IP version 6 att befintliga routrar byts ut eller uppgraderas.

För att lösa det TCP-relaterade problemet, finns det olika förslag på för- ändringar av TCP-protokollet, alternativt helt nya protokoll. För att kunna utnyttja dessa tekniker krävs det emellertid i allmänhet förändringar både i den första en- heten och iden andra enheten. Generellt för denna typ av förslag är att de kräver förändringar i TCP-standarden, något som tar mycket lång tid att genomföra och att implementera i befintliga datorsystem.

För vissa typer av enheter, såsom Pocket PC-baserade datorenheter är det mycket komplicerat att byta ut vissa programvarukomponenter, eftersom des- sa är placerade i ROM. Detta gör det svårt att installera en programvara av typen Mobile-lP som ska exekveras i eller under TCPIIP-stacken.

Det finns också förslag på lösningar som använder sig av en proxy place- rad på Internet, som etablerar en TCP-förbindelse åt den första enheten. En prox- ybaserad lösning kan emellertid inte fungera utan att terminera lPSec-protokollet eftersom lPSec-protokollet krypterar data relaterad till TCP-protokollets signalle- rrng.

Lösningen För att lösa ovannämnda problem föreskriver föreliggande uppfinning en lösning bestående av en metod där en första enhet omfattar ett första sessionslä- »hv-i 15 20 25 30 517 729 6 ger, en första protokollstack, en eller flera första kommunikationshårdvaror, och en eller flera drivrutiner hörande till de första kommunikationshårdvarorna. Det första sessionslagret omfattar ett första säkerhetslager. En andra enhet omfattar ett and- ra sessionslager, en andra protokollstack, och en eller flera andra kommunika- tionshårdvaror. Det andra sessionslagret omfattar ett andra säkerhetslager. Ett flertal kommunikationsnät ger vart och ett möjlighet för den första enheten att inom ett till varje kommunikationsnät hörande geografiskt område medelst någon av de första kommunikationshårdvarorna skicka meddelanden till och ta emot medde- landen från någon av de till den andra enheten hörande kommunikationshårdva- rorna.

Det första sessionslagret ges ett första gränssnitt som är sådant att ett flertal i förväg existerande första programvarukomponenter baserade på sockets- APlet kan använda det. Om den första enheten är Windows-baserad kan det för- sta gränssnittet vara baserat på WinSock SPI, såsom hos en Layered Service Provider eller en Base Transport Service Provider. Om den första enheten är Pal- mOS-baserad kan det första gränssnittet vara detsamma som på netlib-kom- ponenten i PalmOS. Det första gränssnittet kan också vara ett proxygränssnitt.

Proxygränssnittet tilldelas uppgiften att lyssna på vissa i förväg valda TCP-portar samt att ta emot data på vissa i förväg givna UDP-portar på de för den första en- heten lokala IP-adresserna.

Om det första gränssnittet är ett proxygränssnitt kan den första enheten innehålla en DNS-server, vilken som svar på DNS-förfrågningar från de första pro- gramvarukomponenterna om IP-adressen tillhörig vissa i förväg givna host-namn istället för den korrekta IP-adressen returnerar en lokal IP-adress. Därmed kom- mer utvald kommunikation att passera genom det första sessionslagret. Det första sessionslagret kan använda den port genom vilken det emottagit data hörande till kommunikationen, den använda lokala IP-adressen, och/eller det host-namn för vilket DNS-uppslagning senast gjorts för att avgöra till vilken destination kommuni- kationen är ämnad.

Det andra sessionslagret ges ett andra gränssnitt som är sådant att ett flertal i förväg existerande andra programvarukomponenter baserade på sockets- APlet kan använda det. Om den andra enheten är Windows-baserad kan det and- ra gränssnittet vara baserat på WinSock SPI, såsom hos en Layered Service Pro- |.,.. 15 20 25 30 517 729 IÄÉÉ 7 vider eller en Base Transport Provider. Det andra gränssnittet kan även vara base- rat på TCP-protokollet samt på UDP-protokollet.

Det första och det andra sessionslagret tilldelas uppgiften att sinsemellan se till att trafik hörande till respektive socket i var och en av de första programva- rukomponenterna motsvaras av för de andra programvarukomponenterna avsedd trafik hörande till någon unik socket i någon av de andra programvarukomponen- terna och vice versa.

Den första enheten är ansluten via ett första kommunikationsnät, och den andra enheten är ansluten via ett andra kommunikationsnät. Det första sessions- lagret har uppgiften att, vid behov, byta från det första kommunikationsnätet till ett tredje kommunikationsnät.

Det första sessionslagret tilldelas vidare uppgiften att avgöra när byte av kommunikationsnät ska ske. Detta byte kan ske när använt kommunikationsnät ej längre är tillgängligt, liksom av annan anledning, såsom att ett annat kommunika- tionsnät än det använda anses mer lämpligt för kommunikation, eller när kriterier baserade på kostnaden för att använda de olika kommunikationsnäten uppfylls.

Till exempel kan ett byte ske om kommunikation för närvarande sker över en kretskopplad förbindelser med tidsbaserad debitering och någon information inte skickats över den kretskopplade förbindelsen under en viss speciflcerad tidspe- riod. Det kan då vara mer fördelaktigt att gå över till en paketförmedlad förbindelse med datamängdsbaserad debitering.

För att kunna avgöra vilka kommunikationsnät som är tillgängliga kan det första sessionslagret kommunicera med drivrutinerna hörande till de första kom- munikationshårdvarorna för att läsa ut information som kan vara av intresse för att avgöra kapacitet och karaktäristik hos kommunikationsnäten, så som signalstyrka, tillgänglighet till nätet samt tillgänglighet till nödvändig hårdvara.

Det första och det andra sessionslagret tilldelas vidare uppgiften att syn- kronisera dataflödena mellan den första enheten och den andra enheten i sam- band med att byte mellan två kommunikationsnät sker. Detta kan ske på två skilda sätt beroende på hur bytet mellan de två kommunikationsnäten sker. Om det an- vända, första kommunikationsnätet fortfarande är tillgängligt när bytet till det nya tredje kommunikationsnätet sker kan den första sessionslagret, via det första kommunikationsnätet, meddela det andra sessionslagret att den första enheten är i färd med att byta kommunikationsnät. Det andra sessionslagret avbryter då vi- :fplp 20 25 30 517 729 8 dare försändning av data över det första kommunikationsnätet och meddelar det första sessionslagret att det avvaktar vidare kommunikation över det tredje kom- munikationsnätet. Den första enheten kan under tiden påbörja kommunikation via det tredje kommunikationsnätet. När det andra sessionslagret mottager kommuni- kation från den första enheten över det tredje kommunikationsnätet kan det åter- uppta kommunikationen med det första sessionslagret via det tredje kommunika- tionsnätet, Sådant byte av kommunikationsnät kallas fortsättningsvis soft hand- over.

Ett annat sätt att byta kommunikationsnät behövs om det första kommuni- kationsnätet inte längre är tillgängligt när byte till det tredje kommunikationsnätet sker eller om det första kommunikationsnätet blir otillgängligt under en soft hand- over. Det första sessionslagret kan då, via det tredje kommunikationsnätet, med- dela det andra sessionslagret vilken data som det första sessionslagret mottagit från det andra sessionslagret. Det andra sessionslagret meddelar därefter första sessionslagret vilken data det andra sessionslagret mottagit från det första ses- sionslagret. Därefter börjar det första och andra sessionslagret sända sådan data som inte mottagits av mottagaren. Sådant byte av kommunikationsnät kallas fort- sättningsvis hard handover. De ovan angivna meddelandesekvenserna för en soft handover respektive en hard handover kallas fortsättningsvis för ett handoverförfa- rande.

Det första sessionslagret tilldelas vidare uppgiften att ange en första iden- titet för den andra enheten för överliggande protokoll-lager eller applikationer. Det andra sessionslagret tilldelas uppgiften att ange en andra identitet för den första enheten för överliggande protokoll-lager eller applikationer. ldentiteterna ska inte förändras vid byte av kommunikationsnät. För det fall att det första och det andra säkerhetslagret är baserat på VVTLS kan identiteterna vara WTLS sessions-iden- titeter.

Det första sessionslagret tilldelas även uppgiften att etablera nya trans- portsessioner över det tredje kommunikationsnätet i samband med att byte till det tredje kommunikationsnätet sker. Sessionslagren kan upprätthålla en transport- session per socket eller endast en eller ett fåtal transportsessioner. Det är möjligt att ha en första transportsession för alla sockets som använder stream-baserad kommunikation och en andra transportsession för alla sockets som använder da- ||=»: 15 20 25 30 517 729 o; nya 9 tagrambaserad kommunikation. Den första transportsessionen kan vara baserad på TCP och den andra transportsessionen kan vara baserad på UDP.

Det första och andra sessionslagret tilldelas även uppgiften att kompri- mera trafik från programvarukomponenterna innan eller i samband med att den skickas genom det första och andra säkerhetslagret och att dekomprimera trafik som tas emot genom det första och andra säkerhetslagret.

Säkerhetslagren kan tilldelas uppgiften att, om så fordras, tillhandahålla en krypterad och autenticerad förbindelse mellan den första och den andra enheten.

Det första sessionslagret associerar den första identiteten med varje säker förbin- delse mellan det första säkerhetslagret och det andra säkerhetslagret. Det andra sessionslagret associerar den andra identiteten med varje säker förbindelse mel- lan det första säkerhetslagret och det andra säkerhetslagret. Vidare associerar det första sessionslagret och det andra sessionslagret en unik session med varje sä- ker förbindelse mellan det första säkerhetslagret och det andra säkerhetslagret.

Det första säkerhetslagret tilldelas även uppgiften att återetablera säkra förbindelser över det andra kommunikationsnätet efter ett byte av kommunikati- onsnät från det första kommunikationsnätet till det tredje kommunikationnätet. Det- ta kan göras med en komplett handskakning eller, i fallet att säkerhetslagren är baserade på WTLS, med en så kallad 'session resume'. Vid en session resume återanvänds den delade hemlighet som utbytts vid en tidigare komplett handskak- ning. En session resume ger upphov till en så kallad WTLS-förbindelse (WT LS connection) som har samma sessions-identitet som den WTLS-förbindelse som skapades med den kompletta handskakningen.

Transportsessionerna kan etableras mellan den första enheten och den andra enheten. Möjligheten finns dock även att transportsessionerna etableras mellan den första enheten och en mellanliggande enhet, samt mellan den mellan- liggande enheten och den andra enheten. Ett flertal mellanliggande enheter kan även kedjekopplas mellan den första och den andra enheten på ett sådant sätt att den första enheten etablerar transportsessioner till den första av de mellanlig- gande enheterna i kedjan och att varje enhet i kedjan etablerat transportsessioner till nästföljande enhet i kedjan. Den sista enheten i kedjan och den andra enheten etablerar därefter transportsessioner mellan sig.

I det fall att transportsessioner etableras till den mellanliggande enheten, respektive att transportsessioner etableras till en kedja av mellanliggande enheter, .v|,.» 20 25 30 517 729 10 kan den mellanliggande enheten respektive någon enhet i kedjan användas för att autenticera den den första enheten. Sådan autenticering kan ske genom att ett engångslösenord inbäddas i handskakningsförfarandet mellan det första säker- hetslagret och det andra säkerhetslagret. l det fall att det första och det andra sä- kerhetslagret är baserat på WTLS, kan engångslösenordet inbäddas i cli- ent_random-fältet i client_hello-meddelandet. Autenticeringen kan också baseras på att den mellanliggande enheten respektive någon enhet i kedjan verifierar ett handskakningsmeddelande som innehåller en signatur gjord med en privat nyckel tillhörig ett certifikat tillhörigt den första enheten. Även den andra enheten kan vara geografiskt mobil. Den kan i såfall fun- gera på samma sätt som den första enheten.

Om både den första enheten och den andra enheten byter kommunika- tionsnät i stort sett samtidigt kan fallet uppstå att den första och den andra enhe- ten båda initierar ett handover-förfarande innan de mottager en handover-begäran från den andra parten. Det kommer då att finnas två pågående handoverförfaran- den. Den första och den andra enheten använder då en regel för att välja vilket av de pågående handoverförfarandena som ska slutföras.

En sådan regel kan vara att den första och den andra enheten väljer det handoverförfarande som initierats från den enhet som initialt skapade sessionen.

Om den första enheten och den andra enheten byter kommunikationsnät i stort sett samtidigt och båda påbörjar en hard handover kan det fall uppstå att var- ken den första enheten eller den andra enheten känner till den nya adressen till den andra parten i kommunikationen. Detta problem kan lösas genom att kommu- nicera via den mellanliggande enheten, respektive via den mellanliggande kedjan av enheter. Emellertid innebär varje enhet 'som är parti kommunikationen att meddelanden riskerar att bli fördröjda. Detta är i vissa sammanhang, tex vid två- vägs röstkommunikation, inte acceptabelt.

För att den första enheten ska vara lokaliserbar efter att den har bytt kommunikationsnät och utan att behöva kommunicera via den mellanliggande en- heten, eller kedjan av enheter, skickar den första enheten i samband med att den initierar ett handoverförfarande ett meddelande till en tredje enhet. Detta medde- lande innehåller information om vilken adress den första enheten har efter bytet av kommunikationsnät. Om även den andra enheten är eller kan tänkas vara mobil skickar den första enheten även en förfrågan till den tredje enheten om aktuell an-l» 20 25 30 517 729 11 adress till den andra enheten. Den tredje enheten skickar som svar på förfrågan ett meddelande med aktuell adress för den andra enheten. Meddelandet med in- formation om egen adress och förfrågan efter motpartens adress kan även slås ihop till ett gemensamt meddelande. Om den andra enheten byter kommunika- tionsnät genom hard handover förfar den på motsvarande sätt.

Den tredje enheten kan vara en SIP registrar server eller en Mobile-IP Home Agent.

Den andra enheten kan vara en företagsintern server och en brandvägg kan vara placerad mellan den första enheten och den andra enheten på ett sådant sätt att all kommunikation mellan den första enheten och den andra enheten mås- te passera genom brandväggen. Om en mellanliggande enhet eller en kedja av mellanliggande enheter används kan en av de mellanliggande enheterna placeras i en så kallad demilitariserad zon hörande till brandväggen. Enheten i den de- militariserade zonen kan då även användas för autentisering av den första dator- enheten på det sätt som beskrivits ovan.

En enhet som på detta sätt används för autenticering kan med fördel till- delas funktionen av ett förkopplat medel enligt den svenska patentansökan med benämning ”Datanätbaserat system" och ansökningsnummer 00 04338-0. Ett så- dant förkopplat medel verkari en demilitariserad zon utanför en brandvägg och det har en speciell funktion att kunna inleda ett autentiseringsförfarande för att därige- nom fastställa att en första enhet är den som den utger sig för att vara, varefter au- tentiseringsförfarandet slutförs mellan den första enheten och den andra enheten och en så kallad säker session upprättas mellan den första och andra enheten.

Alternativt kan den mellanliggande enheten eller en av enheterna i kedjan av mellanliggande enheter utgöras av brandväggen.

Det ska även förstås att den första enheten kan kommunicera med flera andra enheter, samt att den andra enheten på samma sätt kan kommunicera med flera första enheter.

Fördelar Uppfinningen möjliggör för en första programvara i den första enheten att bibehålla kommunikationssessioner med en andra programvara i den andra en- heten vid byte av kommunikationsnät, trots att den första programvaran, den and- »p-:a 20 25 30 517 729 12 ra programvaran, kommunikationsnäten och kommunikationshårdvarorna inte är gjorda för att bibehålla kommunikationssessionerna vid ett sådant byte.

Uppfinningen möjliggör byte mellan kommunikationsnät baserade på olika teknologier, med olika nätverkskaraktäristik utan att vara beroende av att TCP- protokollet ska hantera de snabba förändringarna i nätverkskaraktäristik.

Uppfinningen möjliggör att bytet av kommunikationsnät kan ske på ett sä- kert sätt, med bibehållen end-to-end-säkerhet.

Uppfinningen möjliggör att mer effektiva komprimeringsalgoritmer kan an- vändas än vad som skulle varit fallet om komprimeringen skedde vid IP-lagret i protokollstacken.

Uppfinningen möjliggör att byte av kommunikationsnät kan ske utan tri- angelroutning.

Uppfinningen kräver inga förändringar i routrar eller NAT-servrar.

Uppfinningen kräver inga förändringar i TCP/IP-stacken hos vare sig den första enheten eller den andra enheten.

Om den andra enheten är en företagsintern server möjliggör uppfinningen att kommunikation kan ske genom en brandvägg med bibehållen end-to-end-sä- kerhet och med autenticering utanför eller i brandväggen.

Kort figurbeskrivning En metod, datorprogramprodukter, och ett datorläsbart medium uppvisan- de de med föreliggande uppfinning förknippade särdragen skall i exempliflerande syfte nu närmare beskrivas med hänvisning till bifogad ritning, där; Figur 1 schematiskt och mycket förenklat visar kommunikation melan två enheter enligt föreliggande uppfinning, Figur 2 schematiskt och mycket förenklat visar hur transportsessioner etableras mellan en första och andra enhet enligt föreliggande uppfinnning, Figur 3 visar hur två enheter kan kommunicera via en mellanliggande enhet Figur 4 visar hur två enheter kan kommunicera via ett flertal mellanlig- gande enheter, svii» 15 20 25 30 »nu u. o u .n a u. n nu .- n o. u» n u o a. n Iø I I OI u om u» u u u c p a u ouuo .n- n. . n u ~ o . a 4 q a o I o u n u u n o a o n u . n n o u o a n. nu; un» .- 13 Figur 5 visar hur en tredje enhet kan verka för att underlätta möjlighe- terna för två enheter att finna varandra om en etablerad session av någon anledning avbryts, Figur 6 visar hur en mellanliggande enhet kan tilldelas funktionen av en brandvägg, Figur 7 visar hur en mellanliggande enhet, vilken är en av flera mellan- liggande enheter, kan tilldelas funktionen av en branbvägg, och Figur 8 visar hur ett flertal enheter kan kommunicera med varandra - enligt föreliggande uppfinnning.

Beskrivning av nu föredragna utföringsformer Med hänvisning till figur 1 visas således en metod där en första enhet 1 omfattar ett första sessionslager 11, en första protokollstack 12, en eller flera för- sta kommunikationshårdvaror 13a, 13b, 13c, 13d, och en eller flera drivrutiner 14a, 14b, 14c, 14d hörande till de första kommunikationshårdvarorna 13a, 13b, 13c, 13d. Det första sessionslagret 11 omfattar ett första säkerhetslager 11a.

En andra enhet 2 omfattar ett andra sessionslager 21, en andra protokoll- stack 22, och en eller flera andra kommunikationshårdvaror 23a, 23b, 23c, 23d.

Det andra sessionslagret 21 omfattar ett andra säkerhetslager 21 a.

Ett flertal kommunikationsnät A1, A2, A3, A4 ger vart och ett möjlighet för den första enheten 1 att inom ett till varje kommunikationsnät hörande geografiskt område medelst någon av de första kommunikationshårdvarorna 13a, 13b, 13c, 13d skicka meddelanden till och ta emot meddelanden från någon av de till den andra enheten 2 hörande kommunikationshårdvarorna 23a, 23b, 23c, 23d.

Enligt en föredragen utföringsforrn kan säkerhetslagren 11a, 21a vara WTLS-protokoll-lager.

Det första sessionslagret 11 har ett första gränssnitt 11 b mot överliggande första programvarukomponenter 15. Enligt en föredragen utföringsform är den för- sta enheten 1 en Windows-baserad datorenhet, och det första gränssnittet 11b är baserat på WinSock SPI för en Layered Service Provider.

Enligt en alternativ utföringsform är den första enheten 1 PalmOS-baserad och det första gränssnittet 11b är detsamma som på netlib-komponenten i Pal- mOS. r-»rr 20 25 30 517 729 14 Enligt ytterligare en alternativ utföringsform är den första enheten 1 Pocket PC-baserad och det första gränssnittet 11b är ett proxygränssnitt, där det första sessionslagret 11 lyssnar på vissa utvalda TCP-portar och binder till vissa utvalda UDP-portar, och svarar med en lokal IP-adress på DNS-förfrågningar från de för- sta programvarukomponenterna 15.

Det andra sessionslagret 21 har ett andra gränssnitt 21 b mot överliggande andra programvarukomponenter 25. Enligt en föredragen utföringsform är den andra enheten 2 en Windows-baserad datorenhet och det andra gränssnittet 21b är baserat på WinSock SPI för en Layered Service Provider.

Det första och det andra sessionslagret 11, 21 använder ett gemensamt sessionsprotokoll för att se till att det för var och en av de första sockets 11b1, 11b2, 11b3 som skapas av de första programvarukomponenterna 15 i det första gränssnittet 11b skapas motsvarande andra sockets 21b1, 21 b2, 21b3 i det andra gränssnittet 21b, och att därefter trafik hörande till var och en av dessa första sockets 11b1, 11b2, 11b3 motsvaras av för de andra programvarukomponenterna 25 avsedd trafik hörande till avsedd unik andra socket 21b1, 21b2, 21b3 och vice versa. Om en socket är stream-baserad ser sessionsprotokollet till att all trafik kommer i rätt ordning och att ingen trafik utelämnas.

Den första enheten 1 är ansluten via ett första kommunikationsnät A1 och den andra enheten 2 är ansluten via ett andra kommunikationsnät A2. Det första sessionslagret 11 har uppgiften att, vid behov, byta A1-3 från det första kommuni- kationsnätet A1 till ett tredje kommunikationsnät A3, samt att avgöra när byte av kommunikationsnät ska ske.

Enligt en föredragen utföringsform skall sådant byte A1 -3 ske när det för- sta kommunikationsnätet A1 ej längre är tillgängligt. Byte ska också ske om det tredje kommunikationsnätet A3 blir tillgängligt och anses mer lämpligt för kommu- nikation än det första kommunikationsnätet A1 enligt en i förväg uppgjord ordning.

Byte skall också ske till ett paketförmedlad kommunikationsnät med datamängds- baserad debitering om ett sådant är tillgänglig och om det första kommunikations- nätet A1 är kretskopplat och har tidsbaserad debitering och ingen information skickats över det kretskopplade första kommunikationsnätet A1 under en viss spe- ciflcerad tidsperiod.

Enligt föredragen utföringsform ska det första sessionslagret 11 kommuni- cera med drivrutinerna 14a, 14b, 14c, 14d för att kunna avgöra vilka kommunika- nina: 20 25 30 517 729 ~ " .a .nu 15 tionsnät A1, A2, A3, A4 som är tillgängliga. Om drivrutinerna kan avgöra vilka kommunikationsnät som vid vart tillfälle är tillgängliga används denna information.

Om drivrutinerna ej kan avgöra vilka kommunikationsnät som är tillgängliga, men däremot kan mäta signalstyrka på signaler från till en basstation hörande till kom- munikationsnäten, antar det första sessionslagret 11 att ett kommunikationsnät är tillgängligt när signalstyrkan ligger över en i förväg vald nivå. Om drivrutinen 14a, 14b, 14c, 14d kan avgöra om kommunikationshårdvaran 13a, 13b, 13c, 13d är till- gänglig eller inte antas ett kommunikationsnät ej vara tillgängligt om kommunika- tionshårdvaran hörande till kommunikationsnätet ej är tillgänglig.

I bytet A1-3 såsom det visas i figuren medför bytet från kommunikations- nätet A1 till kommunikationsnätet A3 även ett byte av kommunikationshårdvara 13b och tillhörande drivrutin 14b. Det skall dock förstås att detta inte behöver vara fallet utan att ett byte av kommunikationsnät kan ske utan att därför även ett byte av kommunikationshårdvara med drivrutin måste ske.

Det första och det andra sessionslagret 11, 21 tilldelas vidare uppgiften att med hjälp av sessionsprotokollet synkronisera dataflödena mellan den första en- heten 1 och den andra enheten 2 i samband med att byte A1-3 mellan två kom- munikationsnät A1, A3 sker. Detta kan ske på två skilda sätt beroende på hur by- tet mellan de två kommunikationsnäten sker.

Om det använda, första kommunikationsnätet A1 fortfarande är tillgängligt när bytet till det nya tredje kommunikationsnätet A3 sker kan den första sessions- lagret 11 över det första kommunikationsnätet A1 meddela det andra sessionslag- ret 21 att den första enheten 1 är i färd med att byta kommunikationsnät. Det and- ra sessionslagret 21 avbryter då vidare försändning av data över det första kom- munikationsnätet A1 och meddelar det första sessionslagret 11 att det awaktar vi- dare kommunikation över det tredje kommunikationsnätet A3. Den första enheten 1 kan under tiden påbörja kommunikation över det tredje kommunikationsnätet A3.

När det andra sessionslagret 21 mottager kommunikation från det första sessions- lagret 11 över det tredje kommunikationsnätet A3 kan det återuppta kommunika- tionen med det första sessionslagret 11 över det tredje kommunikationsnätet A3.

Sådant byte av kommunikationsnät kallas fortsättningsvis soft handover.

Ett alternativt sätt att byta kommunikationsnät används om det första kommunikationsnätet A1 inte längre är tillgängligt när bytet till det tredje kommuni- kationsnätet A3 sker. Det första sessionslagret 11 kan då, via det tredje kommuni- untan 15 20 25 30 517 729 16 kationsnätet A3 meddela det andra sessionslagret 21 vilken data som det första sessionslagret 11 mottagit från det andra sessionslagret 21. Det andra sessions- lagret 21 meddelar därefter det första sessionslagret 11 vilken data det andra ses- sionslagret 21 mottagit från det första sessionslagret 11. Därefter börjar det första och det andra sessionslagret 11, 21 sända sådan data som inte mottagits av mot- tagaren. Sådant byte av kommunikationsnät kallas fortsättningsvis hard handover.

De ovan angivna meddelandesekvenserna för en soft handover respektive en hard handover kallas fortsättningsvis för ett handoverförfarande.

Enligt föredragen utföringsform ska soft handover användas om det första kommunikationsnätet A1 fortfarande är tillgängligt när bytet av kommunikationsnät initieras. En hard handover skall användas i övriga fall. Om en soft handover har initierats men ej avslutats och det första sessionslagret 11 detekterar att det första kommunikationsnätet A1 ej längre är tillgängligt skall det första sessionslagret 11 initiera en hard handover.

Det första sessionslagret 11 tilldelas vidare uppgiften att ange en första identitet för den andra enheten 2 för överliggande protokoll-lager och program 15.

Det andra sessionslagret 21 tilldelas uppgiften att ange en andra identitet för den första enheten 1 för överliggande protokoll-lager och program 25.

Enligt en föredragen utföringsform kan identiteterna vara WTLS sessions- identiteter. l samband med byte av kommunikationsnät görs en förkortad VVTLS- handskakning mellan det första säkerhetslagret 11a och det andra säkerhetslagret 21a, en så kallad VVTLS session resume. WTLS sessions-identiteter kommer där- med att förbli oförändrade i samband med nätverksbytet, och kan därför användas av det första och det andra sessionslagret 11, 21 istället för IP-adresser som en unik och oföränderlig maskinidentitet. i Figur 2 avser att, schematiskt och mycket förenklat, visa att det första ses- sionslagret 11 även tilldelas uppgiften att etablera nya transportsessioner B1, B2 över det tredje kommunikationsnätet A3 i samband med att byte till det tredje kommunikationsnätet A3 sker.

Enligt en föredragen utföringsform ska sessionslagren 11, 21 etablera två transportsessioner B1, B2 sinsemellan. En första transportsession B1 ska vara baserad på TCP-protokollet och användas för att överföra data för alla första sockets 11b1, 11b2 som skapats för streambaserad kommunikation. En andra transportsession B2 ska vara baserad på UDP-protokollet och användas för att 111,: 15 20 25 30 517 m 17 överföra data för alla andra sockets 11b3 som skapats för datagrambaserad kommunikation.

Enligt en alternativ utföringsform kan den första transportsessionen B1 vara baserad på olika protokoll beroende på vilken karaktäristik det första A1 och det tredje A3 kommunikationsnäten har.

Det första och andra sessionslagret 11, 21 komprimerar trafik från pro- gramvarukomponenterna 15, 25 innan eller i samband med att den skickas vidare ner genom Säkerhetslagren 11a, 21a. Vidare dekomprimerar det första och det andra sessionslagret 11, 21 trafik som mottagits genom säkerhetslagren 11a, 21a.

Enligt en föredragen utföringsform används en tillståndsberoende kom- primeringsalgoritm med ett tillstånd per stream-baserad socket och trafikriktning.

Enligt en alternativ utföringsform används en tillståndsberoende komprimeringsal- goritm med ett tillstånd per trafikriktning och mottagare.

Säkerhetslagren 11a, 21a tilldelas uppgiften att tillhandahålla en krypterad och autenticerad förbindelse mellan den första och den andra enheten 1, 2. Det första sessionslagret 11 associerar den första identiteten med varje säker förbin- delse mellan det första säkerhetslagret 11a och det andra säkerhetslagret 21a.

Det andra sessionslagret 21 associerar den andra identiteten med varje säker för- bindelse mellan det första säkerhetslagret 11a och det andra säkerhetslagret 21a.

Vidare associerar det första sessionslagret 11 och det andra sessionslagret 21 en unik session med varje säker förbindelse mellan det första säkerhetslagret 11a och det andra säkerhetslagret 21a.

Enligt en utföringsform etableras transportsessionerna B1, B2 direkt mel- lan den första och den andra enheten 1, 2.

Figur 3 avser att visa en föredragen utföringsform där transportsessioner- na B etableras från den första enheten 1 till en mellanliggande enhet C och mellan den andra enheten 2 och den mellanliggande enheten C. Den mellanliggande en- heten C vidarebefordrar via transportsessionerna B data mellan den första och den andra enheten 1, 2.

Figur 4 visar ytterligare en alternativ utföringsform där ett flertal mellanlig- gande enheter C1, C2, C3 kedjekopplas och transportsessionerna B etableras från den första enheten 1 till den första av de mellanliggande enheterna C1 i ked- jan och transportsessionerna B3 från den andra enheten 2 etableras till den sista C3 av de mellanliggande enheterna C1, C2, C3 i kedjan. Dessutom etableras nø|sa 20 25 30 517 729 a. an. 18 transportsessioner B', B” från enheterna C1, C2 i kedjan till nästföljande enhet i kedjan. Trafik från den första enheten 1 vidareförmedlas längs kedjan till den andra enheten 2 och trafik från den andra 2 enheten förmedlas via kedjan i mot- satt riktning till den första enheten 1. l det fall att transportsessioner B etableras till den mellanliggande enheten C, kan den mellanliggande enheten C respektive någon enhet i kedjan av mellan- liggande enheter C1, C2, C3 användas för att autenticera den första enheten 1.

Enligt föredragen utföringsform sker autenticeringen genom en kontroll av certificate_verify-meddelandet i den kompletta WTLS-handskakningen. Enligt en alternativ utföringsform sker autenticeringen genom att kontrollera ett engångslö- senord inbäddat i client_random-fältet i client_hello-meddelandet i den kompletta VVTLS-handskakningen eller i samtliga WTLS-handskakningar.

Enlig en utföringsform kan även den andra enheten 2 tillåtas vara geogra- fiskt mobil. Den fungerar då på samma sätt som den första enheten 1. Om både den första enheten 1 och den andra enheten 2 byter kommunikationsnät i stort sett samtidigt kan fallet uppstå att den första och den andra enheten 1, 2 båda initierar ett handoverförfarande innan de mottager ett meddelande om att ett handoverför- farande inletts från den andra parten. Det kommer då att finnas två pågående handoverförfaranden. Den första och den andra enhen 1, 2 använder då en regel för att välja vilket av de pågående handoverförfarandena som ska slutföras.

Enligt föredragen utföringsform skall den första och den andra enheten 1, 2 välja det handoverförfarande som initierats från den enhet som initierade kom- munikations-sessionen.

Figur 5 avser att visa en utföringsform där den första enheten 1, i sam- band med att den initierar ett handoverförfarande för byte A1-3 från ett första kommunikationsnät A1 till ett tredje kommunikationsnät A3, kan skicka ett med- delande till en tredje enhet 3. Det meddelandet innehåller information om vilken adress den första enheten har efter bytet av kommunikationsnät. Meddelandet från den första enheten 1 kan även innehålla en förfrågan om aktuell adress för den andra enheten 2. Den tredje enheten 3 skickar som svar på förfrågan ett meddelande med aktuell adress för den andra enheten 2 till den första enheten 1.

Enligt en alternativ utföringsform kan förfrågan om aktuell adress för den andra enheten 2 skickas med ett meddelande skiljt från meddelandet med aktuell adress för den första enheten 1. Om den andra enheten 2 byter A2-4 kommunikationsnät 20 25 30 517 729 19 från det andra kommunikationsnätet A2 till ett fjärde kommunikationsnät A4 förfar den på motsvarande sätt.

Detta erbjuder en möjlighet för den första respektive andra enheten 1, 2 att finna varandra igen om så skulle vara att de tappat varandras adresser på grund av att båda enheterna samtidigt inleder ett handoverförfarande med en hard handover.

Enligt en utföringsform skall den tredje enheten 3 vara en enhet dedicerad till att hålla reda på aktuella adresser till geografiskt mobila enheter. Enligt en al- ternativ utföringsform kan den tredje enheten 3 vara en SIP registrar server. Enligt ytterligare en alternativ utföringform kan den tredje enheten 3 vara en Mobile IP Home Agent.

Figur 6 avser att illustrera ytterligare en föredragen utföringsform där den andra enheten 2 kan vara en företagsintern server och en brandvägg 4 kan vara placerad mellan den första enheten 1 och den andra enheten 2 på ett sådant sätt att all trafik mellan den första enheten 1 och den andra enheten 2 måste passera genom brandväggen 4.

Enligt denna utföringsform kan en mellanliggande enhet C vara placerad i en så kallad demilitariserad zon 41 hörande till brandväggen 4. Vidare ska trans- portsessionerna B' mellan den andra enheten 2 och den mellanliggande enheten C etableras på initiativ av den andra enheten 2. Vidare ska den mellanliggande enheten C användas för att autenticera den första enheten 1 på sådant sätt som beskrivits ovan.

Enligt en alternativ utföringsform kan brandväggen 4 utgöras av den mel- lanliggande enheten C. Enligt ytterligare alternativa utföringsformer, visade i figur 7, kan en kedja av mellanliggande enheter C1, C2, C3 användas, varvid en av en- heterna, i figuren exemplifierad såsom den mellanliggande enheten C2, i kedjan är placerad i en demilitariserad zon 41 hörande till brandväggen 4, där denna enhet C2 dessutom kan utgöra brandväggen 4.

Den enhet som verkar i den demilitariserade zonen 41 kan även tilldelas funktionen av ett förkopplat medel 5 enligt den svenska patentansökan 00 04338-0 för hantering av autenticering av en enhet som utanför brandväggen som önskar kommunicera med en enhet innanför brandväggen 4. 5 1 7 7 2 9 šïï* - ÉLÉÉ - .lšï 20 Det förkopplade medlet 5 kommer inte att beskrivas närmare här utan hänvisning lämnas till den refererade patentansökan för en detaljerad beskrivning av detta medel.

Figur 8 visar ett exempel på hur den första enheten 1 kan vara anpassad 5 för att via den mellanliggande enheten C kommunicera med flera andra enheter 2, 2', 2" och var och en av de andra enheterna 2, 2', 2" kan vara anpassade för att kommunicera med flera första enheter 1, 1', 1". De första enheterna 1, 1', 1"och de andra enheterna 2, 2', 2" förfar då på samma sätt gentemot var och en av de andra enheterna respektive de första enheterna som beskrivits ovan. 10 Uppfinningen är naturligtvis inte begränsad till de ovan såsom exempel angivna utföringsformerna utan kan genomgå modifikationer inom ramen för upp- finningstanken illustrerad i efterföljande patentkrav. »eran

Claims (24)

vinn» 15 20 25 30 51 7 7 2 9 - 'W- 21 PATENTKRAV

1. Metod för att upprätthålla kommunikationen mellan en första enhet och en andra enhet, där nämnda första enhet utgörs av en geografiskt mobil enhet, där nämnda första enhet omfattar en första protokollstack, anpassad att verka mellan en första kommunikationshårdvara, använd för kommunikation via ett första kom- munikationsnät, och en eller flera första programvarukomponenter, och där nämnda andra enhet omfattar en andra protokollstack, anpassad att verka mellan en andra kommunikationshårdvara, använd för kommunikation via ett andra kom- munikationsnät, och en eller flera andra programvarukomponenter, kännetecknad av, att nämnda första enhet omfattar ett första sessionslager, vilket är anpassat att verka som ett gränsnitt mellan nämnda första protokollstack och nämnda första programvarukomponenter, att nämnda andra enhet omfattar ett andra sessionsla- ger, vilket är anpassat att verka som ett gränssnitt mellan nämnda andra protokoll- stack och nämnda andra programvarukomponenter, att nämnda första sessionsla- ger anger en första identitet för nämnda andra enhet och därtill hörande program- varukomponenter, att nämnda andra sessionslager anger en andra identitet för nämnda första enhet och därtill hörande programvarukomponenter, att nämnda första och andra sessionslager sinsemellan ser till att trafik hörande till respektive socket i nämda första programvarukomponenter motsvaras av för respektive pro- gramvarukomponenter avsedd trafik hörande till någon unik socket i nämnda andra programvarukomponenter och vice versa, att nämnda första enhet omfattar en eller flera första kommunikationshårdvaror med därtill hörande drivrutiner, an- passade till olika kommunikationsnät, att, vid ett byte för nämnda första enhet från nämnda första kommunikationsnät till ett tredje kommunikationsnät, nämnda första sessionslager upprätthåller nämnda kommunikation genom att utvälja för nämnda tredje kommunikationsnät erforderlig första kommunikationshårdvara och drivrutin, och att nämnda identiteter vidhålls under nämnda byte av kommunikationsnät för nämnda första enhet.

2. Metod enligt patentkravet 1, kännetecknad av, att nämnda första sessionslager är anpassat att avgöra när ett byte av kommunikationsnät behöver ske, och att nämnda första sessionslager styr nämnda byte av kommunikationsnät med bibehållen kommunikation med nämnda andra enhet. :want 20 25 30 517 729 Iš.-%Ã'ïIÉÃï-.lÉïïÉÉ= 22

3. Metod enligt patentkravet 2, kännetecknad av, att nämnda första sessionslager kontinuerligt eller periodvis kommunicerar med drivrutinerna höran- de till nämnda kommunikationshårdvaror för att därigenom läsa ut information rö- rande olika kommunikationsnäts kapacitet och karakteristik, såsom signalstyrka, tillgänglighet till kommunikationsnätet och tillgänglighet till erforderlig kommunika- tionshårdvara.

4. Metod enligt patentkravet 2 eller 3, kännetecknad av, att nämnda första och andra sessionslager är anpassade att synkronisera dataflödena mellan nämnda första och andra enhet i samband med ett byte av nämnda första kom- munikationsnät.

5. Metod enligt patentkravet 4, där nämnda första kommunikationsnät är tillgängligt under hela bytet, kännetecknad av, att nämnda första sessionslager, via nämnda första kommunikationsnät, meddelar nämnda andra sessionslager att nämnda första enhet är i färd med att byta kommunikationsnät, att nämnda andra sessionslager därefter meddelar nämnda första sessionslager, via nämnda första kommunikationsnät, att vidare kommunikation via nämnda första kommunikations- nät kommer att stoppas, att nämnda andra sessionslager avbryter vidare försän- delser av data via nämnda första kommunikationsnät, att nämnda första ses- sionslager därefter påbörjar kommunikation via nämnda tredje kommunikations- nät, och att nämnda andra sessionslager därefter återupptar kommunikationen med nämnda första sessionslager via nämnda tredje kommunikationsnät.

6. Metod enligt patentkravet 4, där nämnda första kommunikationsnät av nå- gon anledning är otillgängligt, eller blir otillgängligt under ett byte enligt patentkra- vet 5, kännetecknad av, att nämnda första sessionslager, via nämnda tredje kommunikationsnät, meddelar nämnda andra sessionslager vilken data nämnda första sessionslager mottagit från nämnda andra sessionslager, att nämnda andra sessionslager därefter meddelar nämnda första sessionslager vilken data nämnda andra sessionslager mottagit från nämnda första sessionslager, och att nämnda första och andra sessionslager därefter börjar översända data som inte tidigare mottagits av mottagaren via nämnda tredje kommunikationsnät. »nlai 20 25 30 5 1 7 m 23

7. Metod enligt patentkravet 5 eller 6, kännetecknad av, att nämnda första sessionslager etablerar nya transportsessioner över nämnda tredje kommunika- tionsnät i samband med nämnda byte.

8. Metod enligt patentkravet 7, kännetecknad av, att nämnda sessionslager upprätthåller en transportsession per socket, eller endast en eller ett fåtal trans- portsessioner.

9. Metod enligt patentkravet 8, kännetecknad av, att en första transportses- sion upprätthålls för samtliga sockets som använder stream-baserad kommunika- tion, vilken första transportsession exempelvis är baserad på TCP, och att en andra transportsession upprätthålls för samtliga sockets som använder datagram- baserad kommunikation, vilken andra transportsession exempelvis är baserad på UDP.

10. Metod enligt något av patentkraven 1 till 9, kännetecknad av, att nämnda första sessionslager omfattar ett första säkerhetslager, och att nämnda andra ses- sionslager omfattar ett andra säkerhetslager.

11. Metod enligt patentkravet 10, kännetecknad av, att nämnda första och andra säkerhetslager baseras på WTLS, och att nämnda identiteter utgörs av WTLS sessions-identiteter.

12. Metod enligt patentkravet 10, kännetecknad av, att nämnda första och andra säkerhetslager tillhandahåller en krypterad och autenticerad förbindelse mellan nämnda första och andra enhet, och att nämnda första och andra säker- hetslager återetablerar nämnda säkra förbindelse efter ett byte av kommunika- tionsnät.

13. Metod enligt patentkravet 12, kännetecknad av, att nämnda återetablering sker medelst en komplett handskakning. :eran 15 20 25 30 517 729 24

14. Metod enligt patentkravet 11 och 12, kännetecknad av, att nämnda återetablering sker medelst en 'WTLS session resume'.

15. Metod enligt något av föregående patentkrav, kännetecknad av, att nämnda första enhet kommunicerar samtidigt med ett flertal andra enheter.

16. Metod enligt något av föregående patentkrav, kännetecknad av, att nämnda andra enhet även den utgörs av en geografiskt mobil enhet, och att nämnda andra enhet och nämnda andra sessionslager i allt liknar nämnda första enhet och nämnda första sessionslager.

17. Metod enligt patentkravet 16, kännetecknad av, att, i det fall som såväl nämnda första och nämnda andra enhet i stort sett samtidigt hinner inleda ett byte av kommunikationsnät med en meddelandesekvens enligt patentkravet 5 innan de mottager ett meddelande från den andra parten om att ett byte har inletts, en ge- mensam regel bestämmer vilken meddelandesekvens som skall fullföljas, såsom exempelvis att den meddelandesekvens som inletts av den enhet som initialt ska- pat kommunikationssessionen fullföljs, medan den andra meddelandesekvensen avbryts.

18. Metod enligt patentkravet 17, kännetecknad av, att nämnda första enhet utför ett byte enligt patentkravet 6, att nämnda första enhet meddelar sin, i sam- band med nämnda byte av kommunikationsnät, nya IP-adressen till en tredje en- het, och att nämnda andra enhet kan erhålla nämnda nya IP-adress från nämnda tredje enhet.

19. Metod enligt patentkravet 18, kännetecknad av, att nämnda tredje enhet utgörs av en SIP registrar server.

20. Metod enligt patentkravet 18, kännetecknad av, att nämnda tredje enhet utgörs av en Mobile-IP Home Agent.

21. Metod enligt patentkravet 18. kännetecknad av, att även nämnda andra enhet utför ett byte enligt patentkravet 6, att även nämnda andra enhet meddelar |o|»» 517 729 3513. 25 sin, i samband med nämnda byte av kommunikationsnät, nya lP-adress till nämnda tredje enhet, och att nämnda första enhet kan erhålla nämnda nya lP- adress från nämnda tredje enhet.

22. En första datorprogramprodukt, kännetecknad därav, att nämnda första datorprogramprodukt omfattar datorprogramkod vilken, då den exekveras av en datorenhet, utför funktionerna för ett första sessionslager enligt något av patent- kraven 1 till 21.

23. En andra datorprogramprodukt, kännetecknad därav, att nämnda andra datorprogramprodukt omfattar datorprogramkod vilken, då den exekveras av en datorenhet, utför funktionerna för ett andra sessionslager enligt något av patent- kraven 1 till 21.

24. Ett datorläsbart medium, kännetecknat därav, att på nämnda datorläsbara medium finns lagrat datorprogramkod enligt något av patentkraven 22 och 23.