(57)【特許請求の範囲】
【請求項１】
携帯移動通信ハンドセットであって、
制御パラメータに応じて、当該携帯移動通信ハンドセットをネットワークアドレス変換を含むルータ機能として実行させる、ネットワークアクセス制御手段と、
リモートにアクセス可能であり且つ前記ネットワークアクセス制御手段による使用のために前記制御パラメータを記憶するように構成された加入者モジュールと、
を含む、携帯移動通信ハンドセット。
【請求項２】
ネットワークゲートウェイデバイスを備える、請求項１に記載の携帯移動通信ハンドセット。
【請求項３】
前記ネットワークゲートウェイデバイスは、パブリックネットワークとＩＰローカルリンクとの間のルータとして働く、請求項２に記載の携帯移動通信ハンドセット。
【請求項４】
前記加入者モジュールは、加入者識別モジュールＳＩＭを備える、請求項１〜３のいずれか１つに記載の携帯移動通信ハンドセット。
【請求項５】
移動無線通信デバイス又はホームゲートウェイを備える、請求項１〜４のいずれか１つに記載の携帯移動通信ハンドセット。
【請求項６】
前記制御パラメータは、ネットワークアドレス変換（ＮＡＴ）、フィルタリング、及び／又はサービス品質の環境設定の少なくとも１つを含む、請求項１〜５のいずれか１つに記載の携帯移動通信ハンドセット。
【請求項７】
前記制御パラメータは、該パラメータがいつそしてどれくらいの期間適用されるのか規定するために使用される日付及び継続時間の情報をさらに含む、請求項６に記載の携帯移動通信ハンドセット。
【請求項８】
前記制御パラメータは、該携帯移動通信ハンドセットが該携帯移動通信ハンドセットのロケーションに応じて設定を適用することを可能にするロケーション情報をさらに含む、請求項６又は７に記載の携帯移動通信ハンドセット。
【請求項９】
前記制御パラメータは、可能にされたＩＰＳｅｃセッションの個数をさらに含む、請求項６、７、又は８に記載の携帯移動通信ハンドセット。
【請求項１０】
前記制御パラメータは、該携帯移動通信ハンドセットがオンであるのかそれともオフであるのかに関する情報をさらに含む、請求項６、７、８、又は９に記載の携帯移動通信ハンドセット。
【請求項１１】
前記制御パラメータは、リトリーブのためのプロファイルに従いグループ化される、請求項６、７、８、９、又は１０に記載の携帯移動通信ハンドセット。
【請求項１２】
前記制御パラメータは、前記加入者モジュールの明確に規定された基礎ファイルに記憶される、請求項６〜１１のいずれか１つに記載の携帯移動通信ハンドセット。
【請求項１３】
前記制御パラメータは、前記加入者モジュールの１つ又は複数の基礎ファイルに記憶されたスクリプトの形態であり、該スクリプトは、前記ネットワークアクセス制御手段によって実行されることを特徴とする、請求項６〜１１のいずれか１つに記載の携帯移動通信ハンドセット。
【請求項１４】
前記ネットワークアクセス制御手段による前記加入者モジュールからの前記パラメータのリトリーブのためのアプリケーションプログラミングインタフェースを含む、請求項１〜１３のいずれか１つに記載の携帯移動通信ハンドセット。
【請求項１５】
前記制御パラメータのリトリーブ及び適用のためのネットワークＩＰ（ＮＷＩＰ）ポリシーマネージャを含む、請求項１〜１４のいずれか１つに記載の携帯移動通信ハンドセット。
【請求項１６】
前記ＮＷＩＰポリシーマネージャは、ＮＡＴ／フィルタリングソリューションを含む、請求項１５に記載の携帯移動通信ハンドセット。
【請求項１７】
前記制御パラメータの前記適用が前記携帯移動通信ハンドセットの前記ロケーションにさらに依存するように構成される、請求項１５に記載の携帯移動通信ハンドセット。
【請求項１８】
前記制御パラメータの前記適用が該制御パラメータに関連付けられた日付及び継続期間に依存するように構成される、請求項１５、１６、又は１７に記載の携帯移動通信ハンドセット。
【請求項１９】
前記制御パラメータの前記適用が該制御パラメータに記憶された無線アクセス技術（ＲＡＴ）情報に基づいてＲＡＴインタフェースを訂正する働きをするように構成され、それによって、アクセスネットワークインタフェースが異なるごとに異なる設定及びネットワーク構成を可能にする、請求項１５、１６、１７、又は１８に記載の携帯移動通信ハンドセット。
【請求項２０】
ネットワークエレメント及び請求項１〜１９のいずれか１つに記載の携帯移動通信ハンドセットを備える通信システムであって、ローカルＩＰリンク及び該ローカルＩＰリンクを介して接続された少なくとも１つのデバイスをさらに含む通信システム。
【請求項２１】
通信システムの携帯移動通信ハンドセットにおける制御パラメータを介したネットワークアクセス制御の方法であって、
前記携帯移動通信ハンドセットの加入者モジュールに前記制御パラメータを記憶するステップ、及び
前記制御パラメータの使用のために、前記携帯移動通信ハンドセットのネットワークアクセス制御手段による前記加入者モジュールへのアクセスを可能にして、前記携帯移動通信ハンドセットをネットワークアドレス変換を含むルータ機能として実行させるステップ
を含む方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークアクセス制御に関する。
【０００２】
本願は、２００８年３月１１日に出願された英国特許出願第０８０４４７０．３号を基礎にしており、この英国特許出願の優先権の利益を主張する。この英国特許出願の開示は、参照によりその全体が本明細書に援用される。
【背景技術】
【０００３】
ネットワーク環境内では、特に、ＩＰ上の音声（ＶｏＩＰ）及び関連したインターネット電話サービスの出現により、ＩＰベースのアプリケーションが、移動デバイス等のユーザ機器（ＵＥ）、ＥＴＳＩ技術仕様１８５  ００３「TISPAN CNG Architecture and Interfaces」に規定されたホームゲートウェイソリューション等上でますます多く動作している。いくつかのこのようなアプリケーションは、ＳＳＨ（セキュアシェル）セッション、ＦＴＰ（ファイル転送プロトコル）セッション、及びＳＩＰ（セッション開始プロトコル）セッション等の影響を受けやすいＩＰベースのアクセスプロトコルをパブリックアクセスネットワーク上で実行することもでき、ＩＰ（インターネットプロトコル）トラフィックのさまざまな異なるフォーマットを受信することができる。
【０００４】
また、デバイス性能の改良により、移動端末は、プライベートローカルＩＰリンクを通じて、組み込まれた内部デバイスに相互接続され、且つ／又はＷｉＦｉプライベートネットワーク等を介して外部端末機器に相互接続される可能性があることも予見される。ホームゲートウェイ（ＨＧ）技術の分野では、ＨＧが、プライベートローカルＩＰリンクを通じて接続される可能性もある。
【０００５】
このようなすべて状況において、ローカルＩＰサブネットワークは、無線オペレータが提供できるＩＰベースのサービスへの接続性を提供するボーダゲートウェイ及びルータとして働くＵＥの背後に効果的に「隠れる」。しかしながら、ＵＥは、多くの場合、パブリックアクセスネットワーク上で単一のデバイスとして見え、いくつかの構成（ＩＰｖ４、ＩＰｖ６のステートフル自動構成モード）では、単一のルータブルＩＰアクセスのみが割り当てられる。このような構成を考慮するには、内部／プライベートアドレス、すなわちローカルリンクアドレス、をパブリックアクセスネットワークによって割り当てられた単一のルータブルＩＰアドレスにマッピングするために、ネットワークアドレス変換（ＮＡＴ、ＲＦＣ３０２２「Traditional IP Network Address Translator」に規定されている）ベースのソリューションが、ローカルサブネットワークエレメントのアドレス指定の管理に必要とされる。アドレス変換に必要とされるフィルタリング機能も、ＩＰトラフィックの制御、ローカルＩＰネットワークセキュリティを援助でき且つパブリックネットワークへのアクセスも保護できるファイアウォールタイプの能力をカバーするように拡張することができる。
【０００６】
加えて、ネットワークレイヤに加えて、アプリケーションレイヤにおいてＩＰアドレス及びポート番号等のネットワーク情報を含むセッション開始プロトコル（ＳＩＰ、ＲＦＣ３２６１に規定されている）／ＩＰマルチメディアサブシステム（ＩＭＳ、ＩＭＳステージ２の仕様を定める技術仕様２３．２２８に第３世代パートナーシッププロジェクトにより規定されている）アプリケーションは、ローカルＩＰネットワークで構成された電気通信移動デバイスのボーダゲートウェイエレメントにおいてアプリケーションレベルゲートウェイ（ＡＬＧ、ＲＦＣ２６６３に規定されている）変換を用いることもできる。
【０００７】
その上、特定のプロトコルはアプリケーションレベルにおいてＩＰレベル情報をトランスポートし、それらの特定のプロトコルはネットワークレイヤの理念に反するため、例えばＲＦＣ３４８９に規定された、ＮＡＴを通過するＵＤＰ（ユーザデータグラムプロトコル）の単純トラバース（ＳＴＵＮ）プロトコルを介してＳＩＰ通信中にＮＡＴを迂回することが可能である。また、ＩＰフローの制御及び管理を可能にするファイアウォール（ＳＩＭベースであろうとなかろうと）ソリューション及びＮＡＴソリューションが存在することも既知である。さらに、ＮＡＴは、多くの場合、パケットのペイロードを監視し、ＩＰレベル情報が、例えばＳＩＰプロトコルでアプリケーションレイヤにおいてトランスポートされたときに変更を実行する、アプリケーションレベルゲートウェイ（ＡＬＧ）が付随している。
【０００８】
さらに、移動デバイスは、ユーザが、ホームオペレータネットワークを通じて、異なるネットワークサービスとの接続を必要とする多種多様なＩＰベースのアプリケーションをダウンロードすることを可能にすることも予見される。アプリケーションのダウンロードは、アプリケーションのインストール時において制限することができるが、ネットワークレベルにおいて所望でないアクセスを限定し、それによって、潜在的に悪質なアプリケーションがネットワーク接続を達成することを防止する際のセキュリティがさらに望まれている。例えば、ＩＰベースのアプリケーションのインストールに続いて、ネットワークオペレータは、所望でないネットワーク／アプリケーション要求の送信等、そのアプリケーションからの悪質な作用が送信されることに後に気付き、したがって、ファイアウォールアプリケーション／ソフトウェアがその後必要とされることに後に気付く場合がある。
【０００９】
また、ネットワークオペレータは、インスタントメッセージングアプリケーション又はＶｏＩＰアプリケーション等のサービスのサービスプロバイダとの契約を結ぶこともできる。しかしながら、今後の移動プラットフォームは、多くのＩＰベースのアプリケーションに開放される可能性があるため、ユーザは、選んだ任意のアプリケーションをダウンロードすることができる場合があり、それによって、ネットワークオペレータとサービスプロバイダ（複数可）との間の契約は潜在的に無効になる。その上、このような契約は、ユーザがＩＰベースのサービスにアクセスできる時間によってさらに限定される場合もある。
【００１０】
したがって、ネットワークアクセス制御の程度及び適応性が制限される。
【発明の概要】
【発明が解決しようとする課題】
【００１１】
本発明は、ネットワークアクセスを制御及び構成するためのシステム及び構成であって、既知のこのようなシステム及び構成を上回る利点を示すシステム及び構成を提供しようとするものである。
【課題を解決するための手段】
【００１２】
本発明の一態様によれば、携帯移動通信ハンドセットであって、制御パラメータに応じて、当該携帯移動通信ハンドセットをネットワークアドレス変換を含むルータ機能として実行させる、ネットワークアクセス制御手段と、リモートにアクセス可能であり且つ上記アクセス制御手段による使用のために上記制御パラメータを記憶するように構成された加入者モジュールと、を含む、携帯移動通信ハンドセットが提供される。
【００１３】
本発明の別の態様によれば、ネットワークエレメント及び上記で規定した携帯移動通信ハンドセットを備える通信システムであって、ローカルＩＰリンク及び該ローカルＩＰリンクを介して接続された少なくとも１つのデバイスを更に含む通信システムが提供される。この少なくとも１つのデバイスは、組み込みデバイス（例えば、中央制御処理装置、アプリケーション制御処理装置、加入者識別モジュール、ＳＤカード）又は外部端末機器（例えば、ＰＣ、ラップトップ、携帯情報端末、ハンドセット）とすることができる。
【００１４】
さらに、本発明は、通信システムの携帯移動通信ハンドセットにおける制御パラメータを介したネットワークアクセス制御の方法であって、携帯移動通信ハンドセットの加入者モジュールに上記制御パラメータを記憶するステップ、及び上記制御パラメータの使用のために、上記携帯移動通信ハンドセットのネットワークアクセス制御手段による加入者モジュールへのアクセスを可能にして、上記携帯移動通信ハンドセットをネットワークアドレス変換を含むルータ機能として実行させるステップを含む、方法を提供する。
【００１５】
本発明のさらに別の態様によれば、通信システムの携帯移動通信ハンドセットにおいて制御パラメータを介してネットワークアクセスを制御する方法であって、携帯移動通信ハンドセットの加入者モジュールからの上記制御パラメータのプロビジョニングのために加入者モジュールにリモートにアクセスするステップを含む、方法が提供される。
【図面の簡単な説明】
【００１６】
【図１】本発明の一例を具現化する通信システムの概略説明図である。
【図２】図１のシステムのＵＥハンドセットを特に示すさらなる概略表現の図である。
【図３】本発明の一例示の実施形態によるＮＡＴ識別子、フィルタ識別子、及びＱｏＳ識別子の記憶構造の一例を示す図である。
【図４】本発明の一例示の実施形態のアクセス制御エレメントと加入モジュールとの間の動作関係の概略説明図である。
【図５ａ】本発明の一例示の実施形態による、ネットワークアクセス制御を達成するための動的に選択されたルール構造に達するための可能性のあるオペレーションの概略説明図である。
【図５ｂ】本発明の一例示の実施形態による、ネットワークアクセス制御を達成するための動的に選択されたルール構造に達するための可能性のあるオペレーションの概略説明図である。
【図５ｃ】本発明の一例示の実施形態による、ネットワークアクセス制御を達成するための動的に選択されたルール構造に達するための可能性のあるオペレーションの概略説明図である。
【図６】本発明を具現化する構成及び方法の実施態様を示すフロー図である。
【図７】本発明の一例示の実施形態内で使用される、ＮＡＴを記憶されるＮＡＴエレメントに符号化したもののテーブル形式の説明図である。
【図８】本発明の一例示の実施形態内で使用される、ＮＡＴを記憶されるＮＡＴエレメントに符号化したもののテーブル形式の説明図である。
【図９】本発明の一例示の実施形態内で使用される、ＮＡＴを記憶されるＮＡＴエレメントに符号化したもののテーブル形式の説明図である。
【図１０】本発明の一例示の実施形態内で使用される、ＮＡＴを記憶されるＮＡＴエレメントに符号化したもののテーブル形式の説明図である。
【発明を実施するための形態】
【００１７】
本発明は、添付図面を参照して、単なる一実施例として、以下でさらに説明される。
【００１８】
先ず図１を参照して、通信システム１０の概略説明図が提供されている。この通信システム１０では、携帯電話ハンドセット１２等の移動無線通信デバイスが、ローカル端末デバイス１４及びパブリックネットワーク１６の双方との接続性を確立する。
【００１９】
本発明から理解されるように、ハンドセット１２は、端末デバイス１４とのローカルリンクを介してＩＰ通信１８を可能にするネットワークゲートウェイデバイスとして機能することができ、また、オプションの交換／更新能力でＡＬＧパラメータ及びフィルタリングルールの転送２０を可能にすることもできる。
【００２０】
ハンドセット１２とパブリックネットワーク１６との間には、ＩＰ通信２２も提供され、ハンドセット１２におけるＮＡＴパラメータの更新２４及びフィルタリングルールの更新２２は、ネットワーク１６から開始することができる。
【００２１】
重要なことに、ハンドセット１２は、ＳＩＭ又はＵＳＩＭ等の加入モジュールを含む。この加入モジュールは、以下でさらに説明するように、ハンドセット１２内で検出されたフィルタリングルール及びＮＡＴパラメータに基づいて、ハンドセット１２内でＮＡＴ及びＩＰフィルタリングを提供する。
【００２２】
オペレータが、加入モジュールを含むＵＥにおいて、プリプロビジョニング時にＩＰトラフィック及びＮＡＴを管理することを可能にするメカニズムは現在存在しない。このメカニズムは、適切なアプリケーションにネットワークレベルアクセスを許可することを確実にする。その上、このようなＮＷアクセスは、時間をさらに限定することができ、ローカライゼーションに依存することができる。
【００２３】
理解されるように、本発明は、オペレータが、ＳＩＭ又はＵＳＩＭ等の加入モジュールに記憶された情報に基づいて、ＩＰベースのアプリケーションへのネットワークサービスのアクセスを限定することを可能にする働きをするものである。
【００２４】
本発明は、オペレータが、特定のアプリケーションへのアクセスを制限でき、ＵＥ上に動的にロードされるさらなるアプリケーションの追加を制御でき、デバイスがＩＰベースのネットワークに安全に接続することを可能にするセキュリティルールのプリプロビジョニングを提供できるように、ＵＥにおいてＮＡＴ、ＩＰフィルタリング、及びＱｏＳ設定を可能にする働きをするデバイス、システム、及び方法に具現化される。したがって、本発明によって、オペレータがサービスプロバイダと適切な契約を結んでいる可能性がある特定のサービスへのネットワークアクセスを当該オペレータが許可することが可能になる。
【００２５】
ＵＥは、移動電話、移動通信能力を有する携帯情報端末、又はホームゲートウェイ等の形態とすることができ、加入モジュールを有するＵＥは、ＮＡＴ、ファイアウォール、又はサービス品質エレメントの少なくとも１つによってアクセス制御機能性を有するボーダゲートウェイエレメントを含むことができる。
【００２６】
ボーダゲートウェイの形態では、デバイスを、ローカルＩＰリンクを介して、他の内部デバイス、又は無線パブリックアクセスネットワークへのＩＰ接続性を必要とする外部端末機器デバイスに相互接続することができる。
【００２７】
ボーダゲートウェイは、その後、必要に応じて、ＮＡＴパラメータ及びフィルタリングルールを適用して、ローカルＩＰリンクのルータとして働くことができる。
【００２８】
ＵＥは、加入者モジュールエレメントからＮＡＴパラメータ及び／又はフィルタリングルールにアクセスする明確に規定されたＡＰＩを有することができ、必要に応じて、ＮＡＴパラメータ及びフィルタリングルールは、読み出し、更新、又は除去を行うことができる。
【００２９】
特に、ＮＡＴパラメータは、例えばＳＩＰセッション又はメディアセッション等のＩＰベースのセッション中に動的に修正することができる。
【００３０】
ＮＡＴパラメータは、さらに、追加のＡＬＧ変換機能を実行するのに使用することもできる。
【００３１】
ＮＡＴ／フィルタ／ＱｏＳルール及び環境設定（preferences）等の制御パラメータを加入モジュールに記憶して、入来ＩＰトラフィック又は出行ＩＰトラフィックに対するオペレータ及びユーザの制御を可能にすることは有利には、ＵＥにおけるプリプロビジョニング及びＩＰトラフィックに対する改良されたオペレータ制御を可能にする働きをする。
【００３２】
次に図２を参照して、図１の携帯電話ハンドセット１２等のネットワークゲートウェイデバイスの概略説明図が提供されている。
【００３３】
ここでも、ローカル端末デバイス１４及びパブリックネットワーク１６と、ハンドセット１２のさらに細部の機能特性との間の各接続性１８、２４のみが示されている。
【００３４】
すなわち、ハンドセット１２は、ＮＡＴ及び／又はファイアウォール機能性を有するボーダゲートウェイエレメント２６を含む。ボーダゲートウェイエレメント２６は、読み出し／更新／除去演算子を用いて、ＮＡＴルール及びフィルタリングルールの環境設定をハンドセット１２の加入者モジュール３０と通信する２８ように構成されている。加入者モジュール３０は、上述したように、ＳＩＭ又はＵＳＩＭを含むことができる。
【００３５】
加入者モジュール３０内には、演算子ＮＡＴ／ＮＡＰＴ／ＡＬＧ及びフィルタリングルールの環境設定が記憶されている。
【００３６】
以下から理解されるように、ネットワークオペレータが、ハンドセット１２のゲートウェイ機能性の動的な適合を可能にするために適切なＮＡＴ機能性及びファイアウォール機能性を更新でき、或いは有効又は無効にできるように、加入者モジュール３０内の適切なロケーションは、パブリックネットワーク１６から通信リンク２４を介してアクセス及び更新されるように構成されている。
【００３７】
本発明は、ファイアウォール／ＮＡＴソリューションが配置されたデバイスと同じデバイス上に存在するＩＰベースのアプリケーション又はＩＰローカルリンクを通じて接続された別のデバイス上に存在するＩＰベースのアプリケーション等、ローカルＩＰリンクに対する入来／出行ＩＰトラフィックを構成するのによく適していることが理解されよう。その結果、所望でないアプリケーションがオペレータポリシーを満たさない場合には、それらの所望でないアプリケーションが、ローカルＩＰネットワークサービス又はパブリックネットワークサービスのいずれか等のネットワークサービスにアクセスすることが防止される。
【００３８】
図示するように、全体的なシステムの一例は、ＩＰ技術能力を有するネットワークエレメントＵＥ、ローカルＩＰリンク、並びに１つ又は複数の組み込まれた内部デバイス及び／若しくは外部端末機器を備える。これらの内部デバイス及び／又は外部端末機器は、ローカルＩＰリンクを通じて接続され、パブリックアクセスネットワークへのＩＰ接続性を必要とする。ネットワークエレメントは、もちろん、任意のトランスポート技術及び２Ｇ、３Ｇ、ＷｉＦｉ、ＷｉＭＡＸ、ＸＤＬＳ等の基礎を成すアクセス技術によりＩＰトラフィックを転送するものとすることができる。
【００３９】
ボーダゲートウェイの必要に応じて、アドレス変換を実行するためにＮＡＴ機能によって使用されるＩＰｖ４又はＩＰｖ６のパブリックアドレス等、ＵＥの単一のルータブルＩＰアドレスが利用可能であり、無線パブリックアクセスネットワークによって提供される。また、ＩＰプライベートローカルリンク上での通信用のボーダゲートウェイリンクローカルＩＰアドレスも提供される。このアドレスは、例えば、ＩＰｖ４又はＩＰｖ６の構成手順を介してスタートアップ時に取得される。さらに、各内部デバイス／外部端末機器のリンクローカルＩＰアドレスが、プライベートローカルリンク上での通信用に提供され、アドレス変換を実行するためにＮＡＴ機能によって使用される。このアドレスは、例えば、ＩＰｖ４又はＩＰｖ６の構成手順を介してスタートアップ時に取得される。
【００４０】
いずれのＩＰベースのアプリケーション又はサービスについても、ＵＥ又は外部端末機器は、自身のリンクローカルアドレスをすべてのＩＰパケットにおいて使用する。ＡＬＧ機能がＮＡＴ機能と共に実施されるシナリオでは、リンクローカルＩＰアドレス及びポートは、すべてのアプリケーションレベルのメッセージを組み立てるのにも使用される。ＵＥを制御するユーザ又はデバイスは、加入モジュールのフィールド値を使用してゲートウェイ能力を有効／無効にすることもできる。したがって、ゲートウェイは、ローカルＩＰネットワークにおいて構成されたデバイスに任意のものからの任意のＩＰトラフィックを無効にすることができる。
【００４１】
ＵＥにおいて、ＮＡＴ機能は、メッセージのリンクローカルＩＰアドレス（及びポート）をすべての出行ＩＰフローのＵＥパブリックＩＰアドレス及びポートと取り替えることを制御する働きをすることができる。ＮＡＴテーブルは、ＩＰトラフィックをフィルタリング及び変換するために、ＩＰフロー方向、ソースＩＰアドレス及びソースポート並びに宛先ＩＰアドレス及び宛先ポート等の適切な情報で事前にポピュレートしておくことができる。入来フローの場合、ＩＰアドレスは、外部のネットワークからアクセス可能なネットワークサービスが存在する適切なリンクローカルＩＰアドレスに取り替えられる。
【００４２】
本発明の一構成では、記憶することができるフィルタリング情報及び変換情報は、オプションとして、ＩＰフロー方向、すなわち出行フローであるのか、それとも入来フローであるのか、フィルタリング目的、変換目的での元の発呼側／被発呼側のＩＰアドレス及び／又はポートを含むことができ、新しい発呼側／被発呼側のＩＰアドレス及び／又はポートを含めることができ、これらの新しい発呼側／被発呼側のＩＰアドレス及び／又はポートは、変換目的でのポート及びＩＰアドレスの双方の組み合わせを含み、ＮＡＰＴ（ネットワークアドレスポート変換、「ポートアドレス変換」又は「逆アドレス及びポート変換」としても知られている）の場合に使用することができる。
【００４３】
一般に、フィルタリングルール及び／又は変換ルールの少なくともサブセットが提供されなければならない。ＮＡＴは、アドレス及び／又はポートの変換を実行するのに使用されるのに対して、フィルタリングは、特定のタイプのトラフィックを拒否／受理するのに使用される。もちろん、特定のタイプのトラフィック又は所与のインタフェースに対して特定のＱｏＳポリシーを適用するには、ＱｏＳルール（サービス品質）が使用される。
【００４４】
加入モジュールにおいて事前に構成されたいずれのＮＡＴパラメータも有利には、ローカルネットワークの外部で開始された接続のためのネットワークアドレス／ポート変換等、「静的ＮＡＴ」の目的でＮＡＴテーブルをポピュレートするのに使用される。このような例には、デバイス管理目的でネットワークオペレータクライアントによってアクセス可能なローカルＩＰ非ルータブルアドレスを有するサーバアプリケーションを含めることができる。別の例は、ポートツーポートセッションをＨＧルータ間で可能にできるように、リモートＨＧネットワークのクライアントアプリケーションが、ローカルＨＧネットワークのサーバアプリケーションにアクセスするのを望むときに起こる。
【００４５】
ソースＮＡＴのＮＡＴソリューションにより適用されるフィルタリングルール及び変換ルール（ＰＯＳＴＲＯＵＴＩＮＧ（ポストルーティング）又はＯＵＴ（アウト）におけるソースアドレスの変更）は、
［ローカルＩＰ，ローカルポート］，［被発呼側ＩＰ，被発呼側ポート］□［パブリックＩＰ，パブリックポート］，［被発呼側ＩＰ，被発呼側ポート］
となる。
【００４６】
この場合、ローカルポート上のローカルＩＰアドレスから発行されて被発呼側ポート上の被発呼側ＩＰアドレスに宛てられたパケットは、パブリックポート上のパブリックＩＰから発行されて被発呼側ポート上の被発呼側ＩＰに宛てられたパケットに修正される。ソース情報は変換され、それによって、被発呼側は、パブリックＩＰアドレスへパケットを送信することによりリプライすることが可能になる。
【００４７】
ここで、ＮＡＴソリューション又は宛先ＮＡＴによって適用されるフィルタリングルール及び変換ルール（ＰＲＥＲＯＵＴＩＮＧ（プリルーティング）における宛先アドレスの変更）は、
［発呼側ＩＰ，発呼側ポート］，［パブリックＩＰ，パブリックポート］□［発呼側ＩＰ，発呼側ポート］，［ローカルＩＰ，ローカルポート］
になる。
【００４８】
この場合、宛先情報は、ＩＰローカルＩＰリンクのローカル情報によって変換される。
【００４９】
意味を明らかにするために、
−□：所与の論理式から別の論理式への「変更」オペレーションを指す。
−ＰＯＳＴＲＯＵＴＩＮＧは、データパケットが、適切なネットワークインタフェース上でネットワークへ配信される前にルーティング判定に基づいて修正されるノードを指す。
−ＯＵＴは、ルーティング判定が行われる前にデータパケットが変更されるノードを指す。
−ＰＲＥＲＯＵＴＩＮＧは、フィルタリングを行うことができるノードへ転送される前にネットワークアドレスが解決されるノードを指す。ＰＲＥＲＯＵＴＩＮＧは、「静的ＮＡＴ」としても知られている宛先ＮＡＴの目的で使用することができる。
【００５０】
ネットワークデバイスが、例えばサブネットワークといった事前に規定されたＩＰアドレスのセットからのアドレスで構成される場合、例えば／１６又は／８といったマスク値を示すことによって、ローカルＩＰアドレスは、アドレスのプールに関係することもできることに留意すべきである。
【００５１】
ポートに静的に属性が与えられる場合にポートを指定することができるが、使用されるポート（又はサービス）は動的に変化する可能性があるため、その値は、アクセス制御パラメータにおいてヌルとすることができ、ポートは、その後、ファイアウォール／ＮＡＴソリューションによって動的に設定される。
【００５２】
パブリックＩＰアドレスが知られていない場合がある限り、アクセス制御パラメータにおいて利用可能な情報は、したがって、通例ネットワークインタフェースに付属している無線アクセス技術（ＲＡＴ）のタイプを含むことができる。その結果、この情報を示すことによって、ＩＰアドレスの変更に必要なことは、パケットのアドレスを、ソースＮＡＴのインタフェース上で影響を受けるアドレスと取り替えることのみである。
【００５３】
有利なことに、ドメインネームが、ＩＰパブリックアドレスの代わりに提供され、それによって、ＵＥは、ドメインネーム解決（ＤＮＳ）手段を使用してドメインネームをＩＰアドレスにさらに変えることが必要とされる一方、ＤＮＳサーバアドレスは、動的ホスト構成プロトコル手段を使用してリトリーブすることができる。
【００５４】
宛先ＮＡＴは、外部デバイスが、リンクローカルＩＰアドレスに付属しているネットワークサービスにアクセスするのを望むときに使用することができる。例えば、構成目的用のオペレータアプリケーションサーバといった特定のサービスの場合、正当な人のみがそのサーバにアクセスできることを保証するセキュリティアクセスメカニズムを提供するようにそのアプリケーションを構成しなければならない。これは、変換が行われ且つサービスがアクセス可能になるためのＮＡＴ情報を介して制御することができる。
【００５５】
トラフィック及びデバイスアクセスの制御の場合、他のアクセス制御パラメータを追加することができる。これらの他のアクセス制御パラメータは、可能にされたＩＰｓｅｃ（インターネットプロトコルセキュリティ、その基準アーキテクチャはＲＦＣ２４０１に規定されている）セッションの個数、ゲートウェイが、２Ｇ／３Ｇ、ＷＬＡＮ（無線ローカルエリアネットワーク）、ＸＤＳＬ（デジタル加入者ＬＡＮ）等のようなデバイスによってサポートされたすべてのタイプの接続について有効にされているか否か、ＮＡＰＴが有効であるか否か、並びにアプリケーションがパラメータを変更することを可能にされているか否か及び可能にされている場合には、どのアプリケーションが可能にされているか等である。
【００５６】
ＵＳＩＭに記憶されたＮＡＴ／フィルタ／ＱｏＳ情報は、顧客ネットワークゲートウェイ（ＣＮＧ）によって使用される構成情報に含めることができる。本発明のこの例では、本発明の情報をリトリーブするのに、ＣＮＧのＣＮＧ−ＮＡＰＴ及びファイアウォールの機能と加入モジュールとの間にインタフェースが必要とされる。
【００５７】
ＵＥがスタートアップしたとき、アクセス制御エレメントを構成するために、ＮＡＴルール、ＩＰフィルタリングルール、及びＱｏＳルールをＳＩＭ／ＵＳＩＭから読み出すことができる。また、データ及び継続時間、ロケーション、並びにゲートウェイがオンにされるべきかそれともオフにされるべきかについての情報も、存在する場合にはリトリーブされる。通信移動デバイスが、ネットワークとのＩＰベアラ及び３ＧＰＰアクセスネットワークのＰＤＰ（パケットデータプロトコル）コンテキストを確立すると、ＰＤＰコンテキストがＩＰコンテキストを指す場合に、ＩＰ通信が通信移動デバイスによって受信可能である。
【００５８】
現在確立されている任意のＩＰ通信の期間中、フィルタリングルール及びＮＡＴが適用される。これに基づくと、入来トラフィックであろうと出行トラフィックであろうと、トラフィックのいくつかは、ボーダゲートウェイエレメントにおいてブロック及びフィルタリングされない。例えば、組み込まれたウェブサーバが特定のＩＰアドレスを有する所与のポート番号上でリスンする例では、そのサーバとの入来接続へのアクセスのみを与えるために、入来トラフィックをフィルタリングすることができる。加えて、ＳＩＰベースの通信の場合、例えばＳＴＵＮプロトコルと結合されたＮＡＴを使用して、データ送信セッション中にネットワークアドレス変換を可能にすることができる。
【００５９】
ファイルがＵＳＩＭに追加される。ＡＩＤ（アプリケーション識別子）及び３ＧＰＰ  ＴＳ３１．１０２に規定されたＥＦＤＩＲの情報を使用して、ＡＦＤＵＳＩＭが選択されるべきである。電気通信移動デバイスがＮＡＴ及び／若しくはフィルタリングルールの実行、並びに／又はＱｏＳ設定の目的でサービスを選択できるように、ＥＦＵＳＴ構造内のバイト１０の最初のビットにおいてそれらのサービスを追加することができ、これらのサービスは、ＮＡＴパラメータ及びフィルタリングルールの利用可能なサービスの以下の表１に示されている。
【００６０】
【表１】
0005392506.tif 000002
【００６１】
サービス８１は、ＮＡＴ／ＦＩＬＴＥＲ／ＱＯＳ（ＮＷＣＴＲＬ）サービスに関係するものである。残りは、今後の使用のための予備（ＲＦＵ）として指定されている。このサービスを符号化したものは、以下の表２に示されているが、値「サービスｎ°８１」は、単に例示にすぎず、任意の適切な値とできることが理解されるべきである。
【００６２】
【表２】
0005392506.tif 000003
【００６３】
基礎ファイル（Elementary File）ＥＦＮＡＴ、ＥＦＦＩＬＴＥＲ、及びＥＦＱＯＳは、ＮＡＴパラメータ、ＩＰフィルタリングパラメータ、及びＱｏＳパラメータの符号化したものをそれぞれ含む。
【００６４】
図３は、本発明の一例示の実施形態による「４Ｆ６１」、「４Ｆ６２」、「４Ｆ６３」等のＥＦＮＡＴ識別子情報、ＥＦＦＩＬＴＥＲ識別子情報、及びＥＦＱＯＳ識別子情報のストレージの一例をそれぞれ提供する。しかしながら、ネットワークアクセス制御についてはＥＦがさらに存在する可能性があることが理解されるべきである。ただし、これは本発明の主題に関連していない。
【００６５】
次に図４を参照して、図２のボーダゲートウェイエレメント２６及び加入者モジュール３０を用いた本発明の一例示の実施形態の概略システムの概観が提供されている。
【００６６】
ボーダゲートウェイエレメント２６内には、ＮＡＴ／ファイアウォール機能性３４が設けられている。このＮＡＴ／ファイアウォール機能性３４は、プリルーティングテーブル３６及びポストルーティングテーブル４０、転送テーブル３８、ＩＮテーブル４２、ローカルプロセッサ４４、及びＯＵＴテーブル４６を含む。
【００６７】
ＰＯＳＴＲＯＵＴＩＮＧ処理ユニット（又はＰＯＳＴＲＯＵＴＩＮＧノード）によるポストルーティングに続いて、パケットは、図示するように、ネットワークインタフェースデバイス（ＮＷＩＦ）４８へ配信される一方、入来パケットは、プリルーティング処理ユニット３６へ転送される。
【００６８】
以下でさらに論述するように、無線により、更新５２も、ＮＷＩＦ４８から加入者モジュール３０に向けて配信され、ＮＡＴフィルタリングルール及びＱｏＳルール３２が更新される。
【００６９】
ボーダゲートウェイエレメント２６と加入者モジュール３０との間には、ＮＷＩＰモジュールマネージャ５５が設けられている。このＮＷＩＰモジュールマネージャ５５は、加入者モジュール３０の読み出し６２及びその後のＮＡＴ／ファイアウォール機能性３４への適用６４を通じて、加入者モジュール３０から適宜ルールをリトリーブし５６、チェックし５８、適用する６０ように構成されている。また、加入者モジュール３０からＮＷＩＰポリシーマネージャへ、例えばＯＴＡ更新の受信時にＮＷＩＰポリシーマネージャのオペレーションを効果的にトリガするためのトリガ６６も配信される。
【００７０】
これによって、ＮＷＩＰポリシーマネージャは、ＵＥにおけるユーザプレーンに関するＩＰポリシーをリセットするために、ＮＡＴ／ＦＩＬＴＥＲ／ＱＯＳ値を再び読み出す。このような使用の一例は、例えば、ＵＥが移動エージェントであり、ＩＰポリシーの変更を必要とする場合において、例えば、ＵＥが自身のホームネットワークから自身の企業ネットワークへ移動したときに、オペレータネットワークがＵＥのローカライゼーションを検出したときである。別の使用例は、サービスがもはや時間制限されないか、又は加入限定のためにもはやアクセス可能でないとき等、オペレータがユーザの加入を更新したときであり、ネットワークアクセス制御パラメータは、それに応じて修正される。
【００７１】
さらに詳細に、ＮＡＴ／ファイアウォールのテーブルのルールが、ＮＡＴ／フィルタ目的又はＱｏＳ目的で適用され、テーブル３６、４０、４２、４４、及び４６が、デバイスを通じてパケットルーティングプロセスの異なるフェーズで使用される。プリルーティングノード３６は、外部からの入来パケットがルーティングされる前に、それらの外部からの入来パケットを管理する。これは、通例、接続の宛先情報（ＤＮＡＴ）等の情報を変更するのに使用される。
【００７２】
ポストルーティングノード４０は、デバイスによるルーティング判定の後に出行パケットを管理し、これは、通例、接続のソース情報等の情報を変更するのに使用される。
【００７３】
転送ノード３８は、ローカルデバイスが送信しなければならないパケットをフィルタリングする働きをし、ＩＮノード４２は、ローカルデバイス４４に宛てられたパケットをフィルタリングする一方、ＯＵＴノード４６は、デバイス４４のローカルプロセスによって送信されたパケットをフィルタリングする。
【００７４】
以下の表３は、ＮＡＴ／フィルタ／ＱｏＳルール構造の一例の概観を提供する。
【００７５】
【表３】
0005392506.tif 000004
【００７６】
時間及びロケーションの制限は、単なる例として提供されたこのテーブルの構造に示されていないことに留意すべできある。しかしながら、このような情報は、例えば「日付」フィールド及び「ロケーション」フィールドを使用することによってルールの構造に追加できることが理解されよう。
【００７７】
ルールは、加入者モジュールについては、ＦＩＦＯで読み出され、ＦＩＦＯで適用される。
【００７８】
ＮＷフロー制限タイプは、ＮＡＴ  ＥＦエレメント、フィルタＥＦエレメント、又はＱｏＳ  ＥＦエレメントとすることができる。各ＥＦは、ＴＬＶフォーマットの情報を含み、この情報は一連のルールである。このようなルールは、デバイスによって復号化され、特定のＡＰＩを使用して、ファイアウォール／ＮＡＴソリューションの正しい構成が実行される。
【００７９】
上述したＥＦは、０個、１個、又は数個のルールを含むことができる（これらのルールはＦＩＦＯで読み出されるべきである）。
【００８０】
上記ＥＦの任意のものに含まれるルールの情報は、次のものを含むことができる。
−ターゲット：ルールが適用されるパケットルーティングシステムの「ノード」
−フロー特性（又は整合基準）：ＩＰトラフィックフローにおいて解析を行う必要があるもの（どのプロトコルが使用されているのか、プロトコルのどのフラグが使用されているのか、どのソース／宛先ＩＰアドレスが使用されているのか、どのサービスポートが使用されているのか、２Ｇ又はＷＬＡＮ等のどのＲＡＴ技術が使用されているのか、並びに可能性のあるＱｏＳクラス及び可能性のある媒体アクセス制御（ＭＡＣ）アドレス、並びにユニキャスト、マルチキャスト、ブロードキャスト等のどの種類のＩＰフローが使用されているのか）
−オペレーション：行われる動作を規定する。
−ＩＮＩＴ（イニット）：デバイスのスタートアップ時にテーブルをフラッシュするために最初のエントリとして存在すべきである。
−ＲＥＰＬＡＣＥ（取り替え）：パケットのＩＰ＠を（整合基準に示された）正しいインタフェースのものと取り替えるためにＮＡＴ目的で使用される。ターゲットに応じて、これは、既知のＳＮＡＴ、ＤＮＡＴ、及びＭＡＳＱＵＥＲＡＤＥと解釈することができる。
−ＲＥＤＩＲＥＣＴ（リダイレクト）：宛先アドレスをローカルデバイスのアドレスと取り替えるためにＮＡＴ目的で使用される。
−ＤＲＯＰ（ドロップ）：フィルタリング目的で使用される（パケットは特定の「ノード」において破棄される）
−ＲＥＪＥＣＴ（拒否）：フィルタリング目的で使用される（パケットは破棄されるが、エラーメッセージが返されるべきである）
−ＡＣＣＥＰＴ（受理）：フィルタリング目的で使用される（パケットは、特定の「ノード」において可能にされる）
【００８１】
これらのルールは、加入者モジュールにＴＬＶフォーマットで記憶することができる。
【００８２】
ＮＡＴ及びＦＩＬＴＥＲの場合、セマンティックは、
−［ＴＡＲＧＥＴ］［ＭＡＴＣＨＩＮＧ  ＣＲＩＴＥＲＩＡ  ＯＮ  ＴＨＥ  ＦＬＯＷ］［ＡＣＴＩＯＮ］
と理解されるべきである。
【００８３】
ＱｏＳの場合、セマンティックは、
−［ＴＡＲＧＥＴ］［ＭＡＴＣＨＩＮＧ  ＣＲＩＴＥＲＩＡ  ＯＮ  ＴＨＥ  ＦＬＯＷ］［ＡＰＰＬＹ  ＱＯＳ  ＳＥＴＴＩＮＧＳ］
と理解されるべきである。
【００８４】
理解されるように、ＱｏＳは、ＮＡＴ及びＦＩＬＴＥＲとかなり異なる形式で振舞う。「ＡＰＰＬＹ  ＱＯＳ」は、フロー特性の１つ又は複数の特定の値（複数可）の設定から成る（例えば、最大ＴＴＬ値の設定、所与の技術の帯域幅値の設定等）。
【００８５】
図５ａ〜図５ｃは、上記で論述したようなＮＷＩＰポリシーマネージャによって使用される可能なパラメータの関連付けを示す。
【００８６】
すべてのオペレーションが、すべての種類のネットワークアクセス制御（すなわち、ＮＡＴ、ＦＩＬＴＥＲ、又はＱＯＳ）に可能であるとは限らないことに留意すべきである。
【００８７】
以下の演算子が図５ａ〜図５ｃにおいて使用される。
○｛｝：複数の整合基準の組み合わせ。１つの整合基準しか存在しない場合もあるし、いくつかの整合基準を組み合わせものが存在する場合もある。
○‖：「論理ＯＲ」。これは、或る整合基準と別の整合基準とのＯＲであり、双方を同時に適用することはできない。
○＆：「論理ＡＮＤ」。示されたすべての整合基準が適用される。
【００８８】
したがって、図５ａ〜図５ｃに示す関連付け方式によれば、ＮＡＴルールは、ＮＡＴがＴＣＰプロトコル又はＵＤＰプロトコルについてＰＲＥＲＯＵＴＩＮＧノードに適用されることを意味する「ＮＡＴ→Ａ１→Ｂ１１→Ｃ１２」とすることができ、このＮＡＴルールは、上記ＰＲＥＲＯＵＴＩＮＧノードにおいて適用されることになる。
【００８９】
他の組み合わせは、
−ＮＡＴ→Ａ１→Ｂ１１→Ｂ１２→Ｃ１２
−ＮＡＴ→Ａ２→Ｂ１３→Ｂ２→Ｂ３→Ｃ１２
とすることができる。
【００９０】
同じメカニズムは、ＦＩＬＴＥＲルール及びＱｏＳルールにも適用される。
【００９１】
次に図６を参照して、提案されたソリューションの使用の一例が提供されている。この例では、ファイアウォール／ＮＡＴソリューションはＮＥＴフィルタである。
【００９２】
ＮＡＴルールは、ＵＳＩＭからリトリーブされる。このルールは、「ＮＡＴ→Ａ２→Ｂ１１→Ｂ２→Ｃ１２」の形態であり、ＳＩＭ／ＵＳＩＭのＥＦＮＡＴエレメントに記憶された情報から解釈される。
−ＴＡＲＧＥＴ＝ＰＯＳＴＲＯＵＴＩＮＧ
−ＰＲＯＴＯＣＯＬ＝ＴＣＰ
−Ｐｏｒｔ＿Ｄｅｓｔ＝３５５５
−Ｔｅｃｈｎｏ＝２Ｇ
−ＯＰＥＲＡＴＩＯＮ＝ＲＥＰＬＡＣＥ
【００９３】
このルールは、ＮｅｔフィルタのＩＰテーブルによって使用される適切なコマンドに変換される。このルールは、「２Ｇインタフェースを介して出て行くすべてのＴＣＰパケットであって、その宛先ポートが３５５５であるＴＣＰパケットのＩＰアドレスを、２Ｇアウトインタフェース上で構成されたＩＰアドレスと取り替える」と解釈される。
【００９４】
この例では、インタフェースｅｔｈ１が２Ｇインタフェースに関連付けられる。
【００９５】
図７〜図１０について、本発明の一実施形態内で用いられるように構成されたＮＡＴ  ＥＦエレメントの符号化の一例が提供されている。
【００９６】
便宜上、この例は、以下の機能性に限定されている。
−ＴＣＰサポート（ソースポート及び宛先ポートの表示を有する）
−ＩＰサポート（ＩＰソースアドレス及びＩＰ宛先アドレスの表示を有する）
−無線アクセス技術タイプ＝２Ｇ、３Ｇ、ＷＬＡＮ
−ＱｏＳはサポートされていない
−可能なＮＡＴオペレーションは、ＲＥＰＬＡＣＥ、ＲＥＤＩＲＥＣＴ、ＩＮＩＴである。
【００９７】
時刻／日付、ロケーション、及び関連したプロファイルの表示についてのさらなる表示を、必要に応じて追加することができる。
【００９８】
図７に示すように、構造は、トランスペアレントであるとみなされ、ＳＤＵフォーマット情報（ＳＦＩ）は存在しない。このエレメントは、オプションとされ、更新には、ＡＤＭＩＮ特権（ＡＤＭ）が必要とされる。したがって、演算子は、（例えばＯＴＡ更新を介して）この値を変更する唯一の演算子のみとすることができる。
【００９９】
ＮＡＴ  ＥＦエレメントに記憶された情報は、ＴＬＶ（タグ、長さ、値）フォーマットを使用して符号化される。
【０１００】
サービスｎ°８１が「利用可能」である場合、このファイルが存在すべきある。
【０１０１】
このＥＦＮＡＴは、一連の１つ又は複数のＮＡＴルールを含む。
【０１０２】
図８は、本発明のこの例示の実施形態においてＮＡＴ構造の記憶に使用されるタグ値を提供する。それらのタグは、１バイトで符号化される。ＮＡＴ＿ＲＵＬＥ：コンテンツ全体の最初のタグである。長さは、他のＴＬＶブロックの全サイズを識別する。
【０１０３】
ＴＡＲＧＥＴ：ＮＡＴルールが適用される「ノード」を識別する。ノードは、ＵＥによるパケットルーティングのどのステップにおいて変換が行われるべきかを示す。
【０１０４】
ＰＲＯＴＯ：プロトコル関連情報をさらに示すのに使用される。このようなプロトコルは、特定の情報が、この構造において示された場合に、整合基準として使用されるべきであるトランスポートレイヤプロトコル又はネットワークレイヤプロトコルとすることができる。
【０１０５】
ＴＣＰ：ＮＡＴルールが、ＴＣＰプロトコルを介してトランスポートされるフローに適用されることを示すのに使用される。
【０１０６】
ＩＰ：ＮＡＴルールがＩＰフローに適用されることを示すのに使用される。このような場合、少なくともソースポート又は宛先ポートが示されるべきである。
【０１０７】
さらなる表示は次の通りである。
−ＰＯＲＴ＿ＳＲＣ：ＮＡＴルールが適用されるＴＣＰフローのソースポートを示すのに使用される。
−ＰＯＲＴ＿ＤＳＴ：ＮＡＴルールが適用されるＴＣＰフローの宛先ポートを示すのに使用される。
−ＨＯＳＴ＿ＳＲＣ：ＮＡＴルールが適用されるＩＰフローのソースＩＰアドレスを示すのに使用される。
−ＨＯＳＴ＿ＤＳＴ：ＮＡＴルールが適用されるＩＰフローの宛先ＩＰアドレスを示すのに使用される。
−ＴＥＣＨＮＯ：ルールがどの無線アクセス技術インタフェースに対して適用されるべきなのか示すのに使用される。
−ＯＰＥＲＡＴＩＯＮ：整合基準が満たされるときに実行されるＮＡＴ動作（取り替え、リダイレクト）が何であるのかを示すのに使用される。
【０１０８】
図９は、図８のタグを使用するＴＬＶフォーマットのＮＡＴルールコンテンツ構造を提示する。理解されるように、すべてのタグが必須であるとは限らず、オプションのタグが示される場合、長さ及び値は必須であり、そのためこれらの長さ及び値を示さなければならない。
【０１０９】
最後に、図１０は、図９のＴＬＶフォーマットのＮＡＴルールコンテンツ構造を示し、主として、各タグの長さがどのペイロードに関係しているのかを示す。
【０１１０】
外部デバイスがＮＡＴテーブルを更新し、パブリックＩＰアドレスをリトリーブするための他のメカニズムも可能であり、これらのメカニズムは、ＵＰｎＰ／ＩＧＤ（ユニバーサルプラグ＆プレイ／インターネットゲートウェイデバイス）のサポートを提供することができる。
【０１１１】
ＡＬＧ機能は、サポートされるすべてのアプリケーションレベルメッセージのＩＰアドレス及びポートをマッピングするように構成され、ＡＬＧは、それ自身のフィルタリング／変換を実行するのにＮＡＴ構成情報を必要とする場合がある。
【０１１２】
ＡＬＧ機能は、ＮＡＴ機能と同じ場所に配置することもできるし、内部デバイス及び／又は外部端末機器によって別個に実施することもできる。この場合、ＮＡＴアクセス制御エレメントは、ＡＬＧ処理の構成情報を交換可能でなければならない。ＡＬＧによるＮＡＴテーブル構成も可能とすることができる。
【０１１３】
理解されるように、説明した方法は、ＵＥに取り付けられたＳＩＭ／ＵＳＩＭ上に環境設定を記憶すること、並びにＩＰ通信中にＵＥによってＩＰベースのサービスに使用される上記環境設定を読み出すこと、除去すること、及び更新することを含む。ＮＡＴ／ＡＬＧ／ＮＡＰＴのプリプロビジョニングされた構成、パラメータ、及び環境設定は有利には、ＩＰトラフィックをセキュアにし且つフィルタリングするために、ＵＥのスイッチオン時にセットアップされる。
【０１１４】
本発明は、ファイアウォール／ＮＡＴソリューションが配置されたデバイスと同じデバイス上に存在するＩＰベースのアプリケーション又はＩＰローカルリンクを通じて接続された別のデバイス上に存在するＩＰベースのアプリケーション等、ローカルＩＰリンクに対する入来／出行ＩＰトラフィックを構成するのによく適している。その結果、所望でないアプリケーションが、オペレータポリシー及びユーザが加入した契約を満たさない場合には、それらの所望でないアプリケーションがネットワークサービス（ローカルＩＰネットワークサービス又はパブリックネットワークサービスのいずれか）にアクセスすることが防止される。
【０１１５】
本発明は、したがって、ＩＰベースのアプリケーションに対するネットワークアクセスの制限を可能にすることができる。この制限は、さらに制御パラメータに関連付けられた日付及び継続時間に基づくことができる。設定は、ＵＥのロケーションに応じて変化することができる。その上、制御パラメータに関連付けられたプロファイル設定のおかげで、上記制御パラメータのより簡単な適用が行われ、それによって、ネットワークアクセス設定が個別化される。
【０１１６】
本発明の一態様によれば、携帯移動通信ハンドセットであって、制御パラメータに応じて、当該携帯移動通信ハンドセットをネットワークアドレス変換を含むルータ機能として実行させる、ネットワークアクセス制御手段と、リモートでアクセス可能であり且つ上記アクセス制御手段による使用に備えて上記制御パラメータを記憶するように構成された加入者モジュールと、を含む、携帯移動通信ハンドセットが提供される。
【０１１７】
本発明は、オペレータ及びユーザのネットワークアクセスの制御を容易にすることに有利であることが分かる。特に、オペレータのみが実行できる更新は、加入者モジュールにおける制限されたエリアに提供することができる。また、携帯移動通信ハンドセットがオンにされたときに、ＩＰポリシールールを適用することができ、これは、可能にされたＩＰセッションの個数等の他のＩＰベースのセッション情報を含むことができる。
【０１１８】
ネットワークオペレータは、したがって、ＩＰトラフィック解析を実行することができ、サービス契約を尊重しない所望でないトラフィックをブロックするようにフィルタリングルールを動的に設定することができる。ＵＥがＩＰベースのアプリケーションのインストールを可能にすると、サービス管理が複雑になり、オペレータは、高レベルの制御を保証することができない。これによって、オペレータがサービスプロバイダ（複数可）と結んだ契約の違反が引き起こされるおそれがある。したがって、各個々のＵＥに対して適用されるローカルなＩＰベースのポリシーであって、（例えば企業ネットワーク又はホームネットワーク又は屋外ネットワークにおける）ＵＥのロケーション、加入、及び適用されるＩＰセキュリティレベルに依存し得るローカルなＩＰベースのポリシーをオペレータが規定することが可能であるべきである。
【０１１９】
携帯移動通信ハンドセットは、外部／パブリックネットワークへのアクセスを、ローカルＩＰサブネットワークに配置された内部デバイスに提供するネットワークゲートウェイデバイスを備えることができ、本発明は有利には、ユーザがゲートウェイ機能性をオン／オフできることを示す。
【０１２０】
さらに、携帯移動通信ハンドセットにおいて、上記ネットワークゲートウェイデバイスは、パブリックネットワークとＩＰローカルリンクとの間のルータとして働くことができ、加入者モジュールは、もちろん、ＳＩＭ（加入者識別モジュール）カード又はＵＳＩＭ（ユニバーサル加入者識別モジュール、第３世代パートナーシッププロジェクトによって技術仕様３１．１０２に規定されている）カードを備えることができる。
【０１２１】
本発明の一態様では、携帯移動通信ハンドセットは、移動無線通信デバイスを備える。
【０１２２】
好ましくは、制御パラメータは、ＮＡＴ、フィルタリング、及び／又はサービス品質の環境設定の少なくとも１つを含む。
【０１２３】
環境設定は、ＵＥのロケーションにさらに依存する（例えば、屋外ネットワーク、ホームネットワーク、又は企業ネットワークにおいて、設定は変化し得る）。したがって、制御パラメータは、どの状況に適用されるのかの表示を含むことができる。
【０１２４】
さらに、上記制御パラメータは、時間制限に関連付けられ、したがって、制御パラメータは、所与の日付において、規定された時間帯の間のみ適用させることができ、それによって、ユーザが加入した契約に応じて特定のアプリケーションへのアクセスが限定される。
【０１２５】
携帯移動通信ハンドセットは有利には、制御手段による加入者モジュールから制御パラメータのリトリーブのためのアプリケーションプログラミングインタフェース（ＡＰＩ）を含むことができる。
【０１２６】
携帯移動通信ハンドセットは、上記制御パラメータのリトリーブ及び適用のためのネットワークＩＰ（ＮＷＩＰ）ポリシーマネージャを含むことができる。
【０１２７】
本発明の別の態様によれば、ネットワークエレメント及び上記で規定した携帯移動通信ハンドセットを備える通信システムであって、ローカルＩＰリンク及び該ローカルＩＰリンクを介して接続された少なくとも１つのデバイスを更に含む通信システムが提供される。この少なくとも１つのデバイスは、組み込みデバイス（例えば、中央制御処理装置、アプリケーション制御処理装置、加入者識別モジュール、ＳＤカード）又は外部端末機器（例えば、ＰＣ、ラップトップ、携帯情報端末、ハンドセット）とすることができる。
【０１２８】
さらに、本発明は、通信システムの携帯移動通信ハンドセットにおける制御パラメータを介したネットワークアクセス制御の方法であって、携帯移動通信ハンドセットの加入者モジュールに制御パラメータを記憶するステップ、及び上記制御パラメータの使用のために、携帯移動通信ハンドセットのネットワークアクセス制御手段による加入者モジュールへのアクセスを可能にして、携帯移動通信ハンドセットをネットワークアドレス変換を含むルータ機能として実行させるステップを含む方法を提供する。
【０１２９】
上記パラメータは、時間及びロケーションの制限にさらに関連付けることができる。また、上記パラメータは、ネットワークアクセス制御手段がそれらの制御パラメータを容易に適用するための１つ又は複数の構成プロファイルにさらに関連付けることもできる。例えば、このようなプロファイルは、子供向けのアプリケーションのみへのアクセス限定を可能にする制御パラメータのセットに対応する「子供プロファイル」を指す場合がある。
【０１３０】
その上、制御パラメータは、ＮＡＴルールの適用を指すとき、無線アクセスネットワーク技術（ＲＡＴ）インタフェースにさらに適応することもできる。すなわち、上記制御パラメータに示された情報に従ってＲＡＴインタフェースを推論することができる。したがって、ＧＰＲＳ次世代無線アクセスネットワーク（ＧＥＲＡＮ）ＲＡＴ、ユニバーサル地上無線アクセスネットワーク（ＵＴＲＡＮ）ＲＡＴ、次世代ＵＴＲＡＮ（ＥＵＴＲＡＮ）ＲＡＴ若しくはＷｉＦｉ  ＲＡＴ、又はＷｉＭＡＸ  ＲＡＴ等、ＲＡＴのタイプが異なれば異なる設定を適用することができる。
【０１３１】
パラメータは、工場で構成してさらに更新することもできるし、リモートアクセス手段を介して動的にプロビジョニングすることもできる。
【０１３２】
この方法は、加入者モジュールのリモートアクセスを用いて、制御パラメータをプロビジョニングすることができる。
【０１３３】
特に、上記リモートアクセスは、制御パラメータのプリプロビジョニング用に提供することができる。
【０１３４】
さらに、上記リモートアクセスは、制御パラメータの更新を可能にすることができる。
【０１３５】
本発明のさらに別の態様によれば、通信システムの携帯移動通信ハンドセットにおいて制御パラメータを介してネットワークアクセスを制御する方法であって、携帯移動通信ハンドセットの加入者モジュールからの上記制御パラメータのプロビジョニングのために加入者モジュールにリモートにアクセスするステップを含む方法が提供される。
【０１３６】
この場合も、このようなリモートアクセスは、制御パラメータのプリプロビジョニングを可能にすることができ、上記リモートアクセスは、加入者モジュール内の制御パラメータの更新を可能にし、無線による更新手順を含むことができる。
【０１３７】
一特定の例示の実施形態では、上記リモートアクセスは、ＵＥ（移動通信無線デバイス又は加入者モジュールのいずれか）のＩＰベースの組み込みサーバに基づいて加入者モジュール内の制御パラメータの更新を可能にすることができ、上記組み込みサーバは、上記制御パラメータのプロビジョニングを可能にし、上記組み込みサーバは、要求が適法なリモートアクセスによって発行された場合にはその入来要求を受信する（例えば、これは、ＩＰアドレス又はドメインネームを介してリモートアクセス識別子をプリプロビジョニングすることによって達成することができる）。
【０１３８】
別の特定の例示の実施形態では、上記リモートアクセスは、ＵＥロケーションに基づいて制御パラメータの更新を可能にすることができ、それによって、加入者モジュールは、ＮＡＴルール、フィルタリングルール、又はＱｏＳ設定を介した新しいアクセスネットワーク制御設定を特定のＩＰトラフィックに適用するためのアクセスネットワーク制御手段をトリガする。
【０１３９】
上記に規定したデバイス及びシステムと同様に、この方法内の制御パラメータも、ＮＡＴ、フィルタリング、及び／又はサービス品質の環境設定の１つ又は複数を含むことができる。
【０１４０】
提案されたソリューションによって、オペレータは、加入者モジュールに記憶された情報に基づいてＩＰベースのアプリケーションへのネットワークサービスのアクセスを限定することが可能になる。このような情報は、例えば加入者モジュールからリトリーブすることができるＩＰセキュリティポリシーとして、ファイアウォール／ＮＡＴのソフトウェアソリューション又はハードウェアソリューションにおいて適用することができる。
【０１４１】
このような記憶された情報は、加入者モジュールに記憶される汎用フォーマットであって、Ｎｅｔフィルタ、ＩＰチェーン、ＩＰフィルタ、及びＩＰファイアウォールのファイアウォーリングツール等、ＵＥで用いられるＮＡＴ／フィルタリングソリューションのタイプに関わらず使用される汎用フォーマットとすることができる。
【０１４２】
このような記憶された情報は、代替的に、加入者モジュールに記憶されるスクリプトファイルであって、ＵＥで用いられるＮＡＴ／フィルタリングソリューションのタイプに関わらず使用されるスクリプトファイルにフォーマットすることができ、それによって、上記ソリューションは、上記制御パラメータを適用するために上記スクリプトを実行又は解釈実行することが必要とされる。
【０１４３】
本発明は、したがって有利には、ネットワークオペレータが、例えば、ＩＰフィルタリングルール、ＮＡＴ事前構成、認可されたポート、及びゲートウェイオン／オフ制御を介して自身のＩＰポリシーを規定するのを支援するための方法及びシステムを提供することができる。
【０１４４】
上述したように、一構成では、本発明は、ＮＡＴ／フィルタリング能力、並びに、ＮＡＴ情報及びフィルタリングルールを記憶するための、例えばＳＩＭ又はＵＳＩＭ等の加入者モジュールを備えるＵＥの概念に基づいている。
【０１４５】
本発明によって、オペレータは、ＮＡＴが必要とされ且つセキュリティ及びＩＰトラフィック制御の目的でファイアウォールルールを適用する必要がある通信デバイス上で実行するＩＰベースのサービスを制御することができる。したがって、本発明は、オペレータ移動デバイスが、ＳＩＭ／ＵＳＩＭを有する移動デバイス又はホーム／企業ゲートウェイ等、パブリックＩＰアドレスを有する「エンドデバイス」における出行ＩＰトラフィック及び入来ＩＰトラフィックを制御するための手段を提供することができる。データは、ＳＩＭ又はＵＳＩＭに記憶され、ＳＩＭ又はＵＳＩＭにおいてプリプロビジョニングされる場合があり、無線（ＯＴＡ）機能性又はそれ以外のもの等を介してオペレータによって更新されることができる。
【０１４６】
本発明は、ＩＰベースのアプリケーションを実施し且つＩＰローカルリンクを介して接続された任意の種類の内部デバイス又は外部端末機器と共に用いることができることが理解されるべきである。ＩＰローカルリンクは、例えば、移動機器又は企業顧客ゲートウェイ（Corporate Customer Gateway）といったデバイスの背後に配置される。このデバイスは、ルータとして働き、ＮＡＴを実行してリンクローカルアドレスをネットワークによって割り当てられたルータブルアドレスに変換し、このデバイスでは、ファイアウォールルールが適用される。
【０１４７】
特に本発明の例示の実施形態を参照して本発明を図示及び説明してきたが、本発明は、これらの実施形態に限定されるものではない。特許請求の範囲によって規定された本発明の精神及び範囲から逸脱することなく、形態及び細部におけるさまざまな変更を実施形態内で行えることが当業者によって理解されよう。
【０１４８】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０１４９】
（付記１）携帯移動通信ハンドセットであって、制御パラメータに応じて、当該携帯移動通信ハンドセットをネットワークアドレス変換を含むルータ機能として実行させる、ネットワークアクセス制御手段と、リモートにアクセス可能であり且つ前記ネットワークアクセス制御手段による使用のために前記制御パラメータを記憶するように構成された加入者モジュールと、を含む、携帯移動通信ハンドセット。
【０１５０】
（付記２）ネットワークゲートウェイデバイスを備える、付記１に記載の携帯移動通信ハンドセット。
【０１５１】
（付記３）前記ネットワークゲートウェイデバイスは、パブリックネットワークとＩＰローカルリンクとの間のルータとして働く、付記２に記載の携帯移動通信ハンドセット。
【０１５２】
（付記４）前記加入者モジュールは、加入者識別モジュールＳＩＭを備える、付記１〜３のいずれか１つに記載の携帯移動通信ハンドセット。
【０１５３】
（付記５）移動無線通信デバイス又はホームゲートウェイを備える、付記１〜４のいずれか１つに記載の携帯移動通信ハンドセット。
【０１５４】
（付記６）前記制御パラメータは、ネットワークアドレス変換（ＮＡＴ）、フィルタリング、及び／又はサービス品質の環境設定の少なくとも１つを含む、付記１〜５のいずれか１つに記載の携帯移動通信ハンドセット。
【０１５５】
（付記７）前記制御パラメータは、該パレメータがいつそしてどれくらいの期間適用されるのか規定するために使用される日付及び継続時間の情報を更に含む、付記６に記載の携帯移動通信ハンドセット。
【０１５６】
（付記８）前記制御パラメータは、該携帯移動通信ハンドセットが該携帯移動通信ハンドセットのロケーションに応じて設定を適用することを可能にするロケーション情報をさらに含む、付記６又は７に記載の携帯移動通信ハンドセット。
【０１５７】
（付記９）前記制御パラメータは、可能にされたＩＰＳｅｃセッションの個数をさらに含む、付記６、７、又は８に記載の携帯移動通信ハンドセット。
【０１５８】
（付記１０）前記制御パラメータは、該携帯移動通信ハンドセットがオンであるのかそれともオフであるのかに関する情報をさらに含む、付記６、７、８、又は９に記載の携帯移動通信ハンドセット。
【０１５９】
（付記１１）前記制御パラメータは、リトリーブのためのプロファイルに従いグループ化される、付記６、７、８、９、又は１０に記載の携帯移動通信ハンドセット。
【０１６０】
（付記１２）前記制御パラメータは、前記加入者モジュールの明確に規定された基礎ファイルに記憶される、付記６〜１１に記載の携帯移動通信ハンドセット。
【０１６１】
（付記１３）前記制御パラメータは、前記加入者モジュールの１つ又は複数の基礎ファイルに記憶されたスクリプトの形態であり、該スクリプトは、前記ネットワークアクセス制御手段によって実行されることを特徴とする、付記６〜１１に記載の携帯移動通信ハンドセット。
【０１６２】
（付記１４）前記ネットワークアクセス制御手段による前記加入者モジュールからの前記制御パラメータのリトリーブのためのアプリケーションプログラミングインタフェースを含む、付記１〜１３に記載の携帯移動通信ハンドセット。
【０１６３】
（付記１５）前記制御パラメータのリトリーブ及び適用のためのネットワークＩＰ（ＮＷＩＰ）ポリシーマネージャを含む、付記１〜１４に記載の携帯移動通信ハンドセット。
【０１６４】
（付記１６）前記ＮＷＩＰポリシーマネージャは、ＮＡＴ／フィルタリングソリューションを含む、付記１５に記載の携帯移動通信ハンドセット。
【０１６５】
（付記１７）前記制御パラメータの前記適用が前記携帯移動通信ハンドセットの前記ロケーションにさらに依存するように構成される、付記１５に記載の携帯移動通信ハンドセット。
【０１６６】
（付記１８）前記制御パラメータの前記適用が前記制御パラメータに関連付けられた日付及び継続期間に依存するように構成される、付記１５、１６、又は１７に記載の携帯移動通信ハンドセット。
【０１６７】
（付記１９）前記制御パラメータの前記適用が前記制御パラメータに記憶された無線アクセス技術（ＲＡＴ）情報に基づいてＲＡＴインタフェースを訂正する働きをするように構成され、それによって、アクセスネットワークインタフェースが異なるごとに異なる設定及びネットワーク構成を可能にする、付記１５、１６、１７、又は１８に記載の携帯移動通信ハンドセット。
【０１６８】
（付記２０）ネットワークエレメント及び付記１〜１９のいずれか１つに記載の携帯移動通信ハンドセットを備える通信システムであって、ローカルＩＰリンク及び該ローカルＩＰリンクを介して接続された少なくとも１つのデバイスをさらに含む通信システム。
【０１６９】
（付記２１）前記少なくとも１つのデバイスは、組み込みデバイスを有する、付記２０に記載のシステム。
【０１７０】
（付記２２）前記組み込みデバイスは、さらなるハードウェアデバイスを有する、付記２１に記載のシステム。
【０１７１】
（付記２３）前記少なくとも１つのデバイスは、外部端末機器を有する、付記２０、２１、又は２２に記載のシステム。
【０１７２】
（付記２４）前記外部端末機器は、ＰＣ、ラップトップ、ハンドセット、又はＰＤＡの少なくとも１つを有する、付記２３に記載のシステム。
【０１７３】
（付記２５）通信システムの携帯移動通信ハンドセットにおける制御パラメータを介したネットワークアクセス制御の方法であって、前記携帯移動通信ハンドセットの加入者モジュールに前記制御パラメータを記憶するステップ、及び前記制御パラメータの使用のために、前記携帯移動通信ハンドセットのネットワークアクセス制御手段による前記加入者モジュールへのアクセスを可能にして、前記携帯移動通信ハンドセットをネットワークアドレス変換を含むルータ機能として実行させるステップを含む方法。
【０１７４】
（付記２６）前記制御パラメータは、プリプロビジョニング情報として工場で構成され、前記制御パラメータの更新のための前記加入者モジュールのリモートアクセスをさらに含む、付記２５に記載の方法。
【０１７５】
（付記２７）前記制御パラメータのプロビジョニングのための前記加入者モジュールのリモートアクセスを含む、付記２５に記載の方法。
【０１７６】
（付記２８）前記リモートアクセスは、前記制御パラメータのプリプロビジョニング用に提供される、付記２７に記載の方法。
【０１７７】
（付記２９）前記リモートアクセスは、前記制御パラメータの更新を可能にする、付記２７に記載の方法。
【０１７８】
（付記３０）前記加入者モジュールが前記制御パラメータの前記更新のためのトリガメッセージを送信するように構成される、付記２９に記載の方法。
【０１７９】
（付記３１）前記加入者モジュールは、前記更新を受信すると前記ＮＷＩＰポリシーマネージャをトリガするように構成される、付記３０に記載の方法。
【０１８０】
（付記３２）通信システムの携帯移動通信ハンドセットにおいて制御パラメータを介してネットワークアクセスを制御する方法であって、前記携帯移動通信ハンドセットの加入者モジュールからの前記制御パラメータのプロビジョニングのために前記加入者モジュールにリモートにアクセスするステップを含む、方法。
【０１８１】
（付記３３）前記リモートアクセスは、前記制御パラメータのプリプロビジョニングを可能にする、付記３２に記載の方法。
【０１８２】
（付記３４）前記リモートアクセスは、前記加入者モジュール内の前記制御パラメータの更新を可能にし、無線による更新手順を含むことができる、付記３２に記載の方法。
【０１８３】
（付記３５）前記制御パラメータは、ＮＡＴフィルタリング及び／又はサービス品質の環境設定の１つ又は複数を含む、付記３２、３３、又は３４に記載の方法。
【図１】
0005392506.tif 000005
【図２】
0005392506.tif 000006
【図３】
0005392506.tif 000007
【図４】
0005392506.tif 000008
【図５ａ】
0005392506.tif 000009
【図５ｂ】
0005392506.tif 000010
【図５ｃ】
0005392506.tif 000011
【図６】
0005392506.tif 000012
【図７】
0005392506.tif 000013
【図８】
0005392506.tif 000014
【図９】
0005392506.tif 000015
【図１０】
0005392506.tif 000016