(57)【特許請求の範囲】
【請求項１】
第１と第２のＩＰネットワーク間にインターフェースを提供するミドルボックスを動作させる方法であって、前記第１のネットワーク内のエンティティが前記第２のネットワーク内の１つ又は複数のエンティティにＩＰアドレスを割り振る責務を負う、前記方法は、
ＩＰアドレスに基づいて、前記ネットワーク内及び前記ネットワーク間でのＩＰトラフィックのルーティングを実行すること、
ルーティング以外の少なくとも１つのＩＰアドレス依存サービスを実装すること、及び、
前記ルーティング又は前記ＩＰアドレス依存サービスに、前記１つ又は複数のエンティティに割り振られたアドレス及びこれらのアドレスへの変更を、動的に通知すること、
を備え、
前記ミドルボックスの外部インターフェースのリンク層アドレスは、前記第１及び第２のネットワーク内の前記エンティティに割り振られた前記アドレスに応答して修正され、前記ミドルボックスの外部インターフェースはプロミスキャス・モードで実行される、方法。
【請求項２】
ＩＰアドレスを割り振る責務を負う前記第１のネットワーク内の前記エンティティはＩＳＰのＩＰアドレス・ソースである、請求項１に記載の方法。
【請求項３】
ＩＰアドレスを割り振る責務を負う前記第１のネットワーク内の前記エンティティから、１つ又は複数のＩＰアドレスを取得すること、及び、
それらを前記ミドルボックスの外部及び内部のインターフェースに割り当てること、
をさらに備える、請求項１又は２に記載の方法。
【請求項４】
同じＩＰアドレスが前記ミドルボックスの前記外部インターフェース及び内部インターフェースに割り当てられる、請求項３に記載の方法。
【請求項５】
２つ又はそれ以上のＩＰアドレスが、ＩＰアドレスを割り振る責務を負う前記第１のネットワーク内の前記エンティティから取得され、前記ミドルボックスの前記外部及び内部のインターフェースに割り当てられる、請求項３に記載の方法。
【請求項６】
前記１つ又は複数のＩＰアドレスを取得するステップは、自動化ＩＰアドレス配布メカニズムを使用して実行される、請求項３、４、又は５に記載の方法。
【請求項７】
前記自動化ＩＰアドレス配布メカニズムはＤＨＣＰである、請求項６に記載の方法。
【請求項８】
前記第２のネットワーク内の前記１つ又は複数のエンティティに代わって、ＩＰアドレスを割り振る責務を負う前記第１のネットワーク内の前記エンティティから、１つ又は複数のＩＰアドレスを取得するように前記ミドルボックスを動作させるステップをさらに備える、請求項１〜７のいずれか一項に記載の方法。
【請求項９】
前記第２のネットワーク内の前記１つ又は複数のエンティティのためのＩＰアドレスが、前記１つ又は複数のエンティティが起動した場合に取得される、請求項８に記載の方法。
【請求項１０】
前記少なくとも１つのＩＰアドレス依存サービスはファイアウォールを含む、請求項１〜９のいずれか一項に記載の方法。
【請求項１１】
前記少なくとも１つのＩＰアドレス依存サービスはＤＨＣＰサーバを含む、請求項１〜１０のいずれか一項に記載の方法。
【請求項１２】
前記少なくとも１つのＩＰアドレス依存サービスはＤＮＳサーバを含む、請求項１〜１１のいずれか一項に記載の方法。
【請求項１３】
前記第２のネットワーク内の前記１つ又は複数のエンティティの公開ＩＰアドレスが、前記第２のネットワーク内の前記エンティティのリンク層アドレスにマッピングされる、請求項１〜１２のいずれか一項に記載の方法。
【請求項１４】
前記ミドルボックスはＡＤＳＬモデムを備える、請求項１〜１３のいずれか一項に記載の方法。
【請求項１５】
前記ミドルボックスはホームＩＭＳゲートウェイを備える、請求項１から１３のいずれか一項に記載の方法。
【請求項１６】
前記ミドルボックスはＷＬＡＮアクセス・ポイントを備える、請求項１から１３のいずれか一項に記載の方法。
【請求項１７】
前記第１のネットワーク内の他のエンティティが、ＩＰアドレスに基づいて、前記ネットワーク内及び前記ネットワーク間でのＩＰトラフィックのルーティングも実行し、前記ＩＰアドレス依存サービス又は各ＩＰアドレス依存サービスに、前記エンティティに割り振られたアドレス及びこれらのアドレスへの変更を、動的に通知する、請求項１〜１６のいずれか一項に記載の方法。
【請求項１８】
前記第１のネットワーク内の前記他のエンティティが、前記ミドルボックスに代わってＩＰアドレスを取得する、請求項１７に記載の方法。
【請求項１９】
請求項１〜１８のいずれか一項に記載の方法を実行するように適合されたミドルボックス。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット・プロトコル（ＩＰ）におけるミドルボックス（middlebox）の動作に関する。とりわけ本発明は、１つのネットワーク内のエンティティが、他のネットワーク内のエンティティにＩＰアドレスを割り振る責務を負う、ＩＰネットワーク間にインターフェースを提供するミドルボックスに関する。
【背景技術】
【０００２】
ミドルボックスとは、ＩＰトラフィックを１つのエンティティから他のエンティティへと渡すデバイスである。ミドルボックスの機能の概要が、図１に示されている。図１には、ミドルボックス１１、内部ノード１２、及び外部ノード１３という、３つのエンティティが示されている。内部ノード１２は、ミドルボックスよりもネットワークの端部に近いノードであり、外部ノード１３は、ミドルボックスの影響外にあるノードを言い表す。通常、複数の内部及び外部ノードが存在することになる。
【０００３】
一般に、ミドルボックスは、３つの異なるモードのうちの１つで動作する。第１のモードは「ブリッジ」モードとして知られる。このモードでは、ミドルボックスは、独自の１または複数のＩＰアドレスを持たず、単にＩＰトラフィックをリンク層上で１つのインターフェースから他のインターフェースへと渡すのみである。
【０００４】
第２のモードは、［ＲＦＣ２６６３］に記載されているような、「ＮＡＴ」（ネットワーク・アドレス変換）モードである。このモードでは、ミドルボックスは、内部ノードの非公開（private）アドレスを外部ノードの公開（public）アドレスに変換し、及びその逆も行う。ＮＡＴモードでは、ミドルボックスは、外部インターフェース上の公開ＩＰ及び内部インターフェース上の非公開ＩＰという、少なくとも２つのＩＰアドレスを有する。
【０００５】
第３のモードは「ルータ」モードである。このモードでは、ミドルボックスは通常、少なくとも２つの公開ＩＰアドレスを有し、ネットワーク層上のトラフィックをルーティングする。
【０００６】
ミドルボックスを使用して、たとえば、ホーム又はオフィス・ネットワークとインターネット・サービス・プロバイダ（ＩＳＰ）との間に、相互接続を提供することができる。通常、こうしたミドルボックスは、ホームで使用されるプロトコルと、ＩＳＰへの接続を介して使用されるプロトコルとを変換する。好適な配置構成が図２に示されている。たとえばミドルボックスは、非同期式デジタル加入者回線（ＡＤＳＬ）モデムとすることができる。
【０００７】
複数のコンピュータをＩＳＰに接続できることが望ましい。これを達成する方法の１つが、ミドルボックスを「ＮＡＴ」モードで動作させることである。これにより、ホーム・ユーザに割り振られた１つ又は複数の公開アドレスと、複数のローカルＩＰアドレスとの変換が可能となる。「ＮＡＴ」モードで動作する場合、ミドルボックスは、動的ホスト構成プロトコル（ＤＨＣＰ）サーバ［ＲＦＣ２１３１］、ファイアウォール、及びドメイン名サービス（ＤＮＳ）サーバなどの、ＩＰアドレス依存サービスＳ＃１、Ｓ＃２、Ｓ＃３、Ｓ＃Ｎを提供することも可能である。
【０００８】
しかしながらこの手法には、ホーム・ネットワーク内のあらゆるコンピュータ、実際にはあらゆるインターネット・アプリケーション（たとえばブラウザ、Ｓｋｙｐｅなど）が、それ独自のＮＡＴ通過コード（NAT Traversal code）を必要とするという問題がある。
【０００９】
この問題の解決策の１つは、ホーム・ネットワーク内の各コンピュータにそれ独自のＩＰアドレスを提供することである。その後、ミドルボックスは、異なるアドレス間での変換を必要とせず、「ブリッジ」モードで動作することができる。この手法に伴う問題は、ネットワーク内のコンピュータが外部攻撃を受けやすく、それぞれに独自のファイアウォールを提供しなければならないことである。ミドルボックスは、ブリッジとして動作している場合、ファイアウォールがトラフィックをフィルタリングするために必要とするＩＰアドレスにアクセスできないため、ミドルボックス内にファイアウォールを実装することは不可能である。加えて、ホーム・ネットワーク内のノード間のトラフィックは、ホームに再ルーティングされる前に、ミドルボックスを介してＩＳＰに送信される。これは非常に非効率的である。
【発明の概要】
【００１０】
本発明の一態様によれば、第１と第２のＩＰネットワーク間にインターフェースを提供し、当該第１のネットワーク内のエンティティが当該第２のネットワーク内の１つ又は複数のエンティティにＩＰアドレスを割り振る責務を負う、ミドルボックスを動作させる方法が提供され、この方法は、
ＩＰアドレスに基づいて、前記ネットワーク内及び前記ネットワーク間でのＩＰトラフィックのルーティングを実行すること、
ルーティング以外の少なくとも１つのＩＰアドレス依存サービスを実装すること、及び、
そのＩＰアドレス依存サービス又は各ＩＰアドレス依存サービスに、前記１つまたは複数のエンティティに割り振られたアドレス、及びこれらのアドレスへの変更を、動的に通知すること、
を含む。
【００１１】
したがってミドルボックスは、「ルータ」モードで動作する。ルータはＩＰアドレスへアクセスすることが可能であり、これによって、ファイアウォール、ＤＨＣＰサーバ、又はＤＮＳサーバなどのＩＰアドレス依存サービスの動作が可能となる。いくつかの実施形態では、ミドルボックスはＡＤＳＬモデム、ホームＩＭＳゲートウェイ、又はＷＬＡＮ用アクセス・ポイントとすることができる。
【００１２】
好ましくは、ＩＰアドレスを割り振る責務を負う第１のネットワーク内のエンティティはＩＳＰのＩＰソースである。ミドルボックスは、ＩＰソースから少なくとも２つのＩＰアドレスを取得可能であり、それらをミドルボックスの外部及び内部のインターフェースに割り当てることができる。このステップは、好ましくは、ＤＨＣＰなどの自動化ＩＰアドレス配布メカニズムを使用して実行される。ミドルボックスは、好ましくは、第２のネットワーク内の１つ又は複数のエンティティに代わって、ＩＰソースからＩＰアドレスを取得する責務も負う。これらのＩＰアドレスは、好ましくは、当該１つ又は複数のエンティティが起動した場合に取得される。
【００１３】
一実施形態では、ミドルボックスの外部インターフェースのリンク層アドレスは、第２のネットワーク内のエンティティに割り振られたアドレスに応答して修正される。第２のネットワーク内の１つ又は複数のエンティティの公開ＩＰアドレスは、第２のネットワーク内のエンティティのリンク層アドレスにマッピングすることができる。
【００１４】
第１のネットワーク内の他のエンティティは、ＩＰアドレスに基づいて、前記ネットワーク内及び前記ネットワーク間でのＩＰトラフィックのルーティングも実行可能であり、そのＩＰアドレス依存サービス又は各ＩＰアドレス依存サービスに、前記１つ又は複数のエンティティに割り振られたアドレス、ならびにこれらのアドレスへの変更を、動的に通知することが可能である。この他のエンティティは、ミドルボックスに代わってＩＰアドレスを取得することができる。
【００１５】
本発明は、前述の方法を実施するように適合されたミドルボックスも提供する。
【図面の簡単な説明】
【００１６】
【図１】２つ又はそれ以上のノード間でトラフィックを渡すためのミドルボックスを示す概略図である。
【図２】ホーム・ネットワークに複数の公開ＩＰアドレスを提供するために、ホーム・ネットワークとインターネット・サービス・プロバイダ（ＩＳＰ）との間に相互接続を提供するミドルボックスを示す概略図である。
【図３】ミドルボックス内拡張ＩＰアドレス配布（ＡＩＰＡＤＩＭ）を実装するミドルボックスを示す。
【図４】ホーム又はオフィス・ネットワークの公開ＩＰアドレスを取得するための、例示的信号フローを示す。
【図５】ホームＩＰマルチメディア・サブシステム（ＩＭＳ）ゲートウェイ（ＨＩＧＡ）上でのＡＩＰＡＤＩＭの実装を示す。
【図６】ＡＤＳＬモデム及び無線ローカル・エリア・ネットワーク（ＷＬＡＮ）アクセス・ポイント（ＡＰ）によるＡＩＰＡＤＩＭの実装を示す。
【００１７】
［好適な実施形態の詳細説明］
前述のように、図２は、ホーム又はオフィス・ネットワークの内部ノード２２と、ホーム・ネットワークのコンピュータに公開ＩＰアドレスを割り振るＩＳＰ  ２４との間の相互接続としての、ミドルボックス２１の使用を示す。一例では、ミドルボックスはＡＤＳＬモデムであり、ホーム又はオフィス・ネットワークに対するゲートウェイとして動作する。公開ＩＰアドレスが割り振られると、内部ノード２２は外部ノード２３と通信することができる。
【００１８】
図３は、図２のミドルボックス２１として動作することが可能な、ミドルボックス３１の内部機構を示す。ミドルボックス３１は、ネットワーク層上でトラフィックをルーティングするために、「ルータ」モードで動作するように構成される。ミドルボックス３１は、ミドルボックス内拡張ＩＰアドレス配布（ＡＩＰＡＤＩＭ）機能３２を含む。ＡＩＰＡＤＩＭは以下のように動作する。
１．ＡＩＰＡＤＩＭコンポーネントは、通常、ＩＳＰのＩＰソース２４から２つのＩＰアドレスを取得し、それらをミドルボックス３１の外部３３及び内部３４のインターフェースに割り当てる。このプロセスは、ＤＨＣＰなどの自動化ＩＰ配布メカニズムを使用して実行される。
２．ＡＩＰＡＤＩＭは、内部ノード２２に代わって、ＩＳＰからＩＰアドレスを取得する。これはたとえば、内部ノード２２が起動すると必ず、ミドルボックスがＩＰソース２４から１のＩＰアドレス又は複数のアドレスを取得することによって達成可能である。
【００１９】
いくつかの環境では、特にマルチアクセス・リンク上で、「リンク層適合」３５が必要な可能性がある。リンク層適合はＡＩＰＡＤＩＭの一部であり、たとえば以下のように実行するように動作可能である。
・ミドルボックスの外部インターフェースのリンク層アドレスを修正する。これが必要なのは、一部の自動化ＩＰアドレス配布メカニズムは送信者のリンク層アドレスをチェックする可能性があるためである。こうしたケースでは、ミドルボックスは、いくつかのＩＰアドレス照会でそのリンク層アドレスを「偽造（forge）」しなければならない場合がある。
・ミドルボックスの外部インターフェースをプロミスキャス・モード（promiscuous）で実行する。これによりインターフェースは、そのリンク層アドレスに向けて送られたトラフィックのみではなく、受信したすべてのトラフィックを読み取ることが保証される。したがって、「偽造された」リンク層アドレスを使用したＩＰアドレス照会がミドルボックスによって送信された場合、プロミスキャス・モードで実行された場合にのみ回答を受信することになる。
・公開ＩＰアドレスを内部ノードのリンク層アドレスにマッピングするテーブルを維持する。これは、アドレス解決プロトコル（ＡＲＰ）テーブルの操作を含む場合がある。
【００２０】
ミドルボックス３１は、たとえばＤＨＣＰサーバ３１１、ファイアウォール３１２、及びＤＮＳサーバ３１３を含むことが可能な、ＩＰアドレス依存サービスも提供する。ＡＩＰＡＤＩＭ機能３２は、ＩＰアドレス配布において何らかの変更があればＩＰアドレス依存サービス３１１〜３１４に適宜通知する。
【００２１】
ルーティング自体はサービスとみなされないものの、反応型の「ルーティング操作」サービス３６も提供される。ルーティング操作機能は、着信パケットがどのインターフェースに転送されるべきかをミドルボックスが決定できるように、ミドルボックスのルーティング・テーブルを修正する。ルーティング操作の反応性は、ＩＳＰが動的ＩＰアドレスを配布する環境において特に重要である。
【００２２】
図４は、前述の例（ミドルボックスはＡＤＳＬモデムである）を実施するために使用可能な、好適な粗信号（coarse signaling）フローを示す。この図では、内部ノード２２が起動するシナリオにおけるＡＩＰＡＤＩＭの動作を明らかにする。ＡＩＰＡＤＩＭ機能によって実行されるすべてのアクションが、「ＡＩＰＡＤＩＭ」タグによって識別される。同様の動作が他のＡＩＰＡＤＩＭ実装形態にも適用される。
【００２３】
他の例では、ＡＩＰＡＤＩＭ機能を、ホームＩＰマルチメディア・サブシステム（ＩＭＳ）ゲートウェイ（ＨＩＧＡ）で使用することができる。ＩＰマルチメディア（ＩＰＭＭ）は、同じセッション内で音声、ビデオ、メッセージング、データなどの動的な組み合わせを提供するサービスである。ＡＩＰＡＤＩＭのＨＩＧＡへの適用が、図５に示される。
【００２４】
この例では、ＨＩＧＡであるミドルボックス５１が、ＡＤＳＬ接続５３を介してＩＳＰ（図示せず）からＩＰアドレスを取得する。ミドルボックス５１は、獲得したＩＰアドレスを、たとえばセッション開始プロトコル（ＳＩＰ）［ＲＦＣ３２６１］フォンとすることが可能な、内部ノード５２へ配布する。ミドルボックスは、たとえばＳＩＰプロキシなどの内部ＩＰアドレス依存サービスを動作させることもできる。ＡＩＰＡＤＩＭ機能は、こうしたサービスにＩＰアドレス配布が適宜通知されるように使用される。
【００２５】
他の例では、ＡＤＳＬモデムと共に、無線ローカル・エリア・ネットワーク（ＷＬＡＮ）のアクセス・ポイント（ＡＰ）には、ＡＩＰＡＤＩＭ機能が提供される。この例は図６に示される。
【００２６】
図６は、ＷＬＡＮのＡＰでもあるミドルボックス６１を示す。ＷＬＡＮは、単一の内部ノード６２（たとえばラップトップ）によって概略的に示されるが、多くの内部ノードが存在する可能性が高いことを理解されよう。ミドルボックスは、ＡＤＳＬモデム６３にも接続される。ミドルボックス６１及びＡＤＳＬモデム６３は、どちらもＡＩＰＡＤＩＭを実装することができる。どちらのエンティティも、ＡＩＰＡＤＩＭコンポーネントによって支援されるＤＨＣＰサーバを有することができる。ＡＤＳＬモデムは、ＤＨＣＰを使用することによってＩＳＰ（図示せず）からＩＰアドレスを取得し、それらをミドルボックスに配布する。その後ミドルボックスは、ＩＰアドレスを内部ノードに配布する。
【００２７】
この例で、ＡＤＳＬモデムとミドルボックスとの間のリンクは、マルチアクセス・ネットワークであるイーサネット（登録商標）を使用する。したがって、（図３を参照しながら説明したような）リンク層適合が必要となる。ファイアウォール（又は他のＩＰアドレス依存サービス）は、ＡＤＳＬモデム６３、又はミドルボックス６１、あるいはその両方に実装可能である。
【００２８】
前述の３つの例でカバーされていない状況で、ＡＩＰＡＤＩＭ機能が有用なことを理解されよう。図２は、ホーム又はオフィス・ネットワークのシナリオを示すが、より一般的な設定を考慮する場合にも有用である。図２を参照すると、一般に、以下のエンティティが存在することになる。
・ＩＰソース２４：ＡＩＰＡＤＩＭを実装する、ミドルボックスに向けて複数のＩＰアドレスを配布するためのエンティティ。ＩＰアドレス配布は、自動化ＩＰ配布メカニズムを使用して実行される。
・ミドルボックス２１：ＩＰパケットをルーティングし、ＡＩＰＡＤＩＭ機能を含み、１つ又は複数のＩＰアドレス認識サービスをホストする、エンティティ。ミドルボックス２１は、自動化ＩＰアドレス配布を使用してＩＰアドレスを取得する。
・１又は複数の内部ノード２２：ミドルボックス２１を使用して外部ノード２３に到達するノード。
・１又は複数の外部ノード２３：ミドルボックス２１を使用して内部ノード２２に到達するノード。
【００２９】
ミドルボックス２１は、ＩＰアドレス認識サービスも提供するルータとして動作する。この関連において、ＩＰアドレス認識サービスは、ＩＰアドレス配布の知識から恩恵を受けることが可能な任意のサービスを意味する。この関連において、ルーティング自体はサービスとしてみなされない。
【００３０】
ＡＩＰＡＤＩＭの概念は、公開ＩＰアドレスが動的な状況、すなわち、ＩＰソースが異なるＩＰアドレスを経時的に配布する状況で、特に有用である。
【００３１】
ＩＰソースもＡＩＰＡＤＩＭを実装するエンティティである「ネストされた」ケースが、本発明の領域内であることを理解されよう。さらに本発明は、ＩＰｖ４（ＩＰバージョン４）［ＲＦＣ７９１］及びＩＰｖ６（ＩＰバージョン６）［ＲＦＣ２４６０］の両方で使用可能である。ＡＩＰＡＤＩＭを実装するミドルボックスは、その独自のインターフェース上に１つ又は複数の公開ＩＰアドレスを有する。
【００３２】
本明細書で説明されるようなＡＩＰＡＤＩＭは、ルータ・モードでのミドルボックスの使用を可能にする。これにより、ミドルボックス自体にＩＰアドレス依存サービスを含めることも可能にする。統合反応型ルーティング操作及びリンク層適合機能は、ＡＩＰＡＤＩＭ自体のイネーブラ（enabler）である。
【００３３】
ＡＩＰＡＤＩＭは、ブリッジ・モード又はＮＡＴモードのいずれかでミドルボックスを実行させる必要性をほぼ完全になくす。このように実行することによって、ブリッジ・モード及びＮＡＴモードに関連付けられた同じ問題のない、代替の解決策も提供する。さらにＡＩＰＡＤＩＭの概念は、公開ＩＰアドレスが動的な環境に特に好適である。
【図１】
0004786747.tif 000002
【図２】
0004786747.tif 000003
【図３】
0004786747.tif 000004
【図４】
0004786747.tif 000005
【図５】
0004786747.tif 000006
【図６】
0004786747.tif 000007