(57)【特許請求の範囲】
【請求項１】
電気通信ネットワーク（５）のネットワークノードを構成する方法であって、該電気通信ネットワーク（５）は、
複数のリモートネットワークノード（１０）と、
複数のファイアウォールエンティティ（２０）と、
複数の中央ネットワークノード（３０）と
を備え、
前記複数のリモートネットワークノード（１０）のうちのリモートネットワークノード（１１）は、構成パラメータの第１のセットによって構成され、暗号化情報基盤（４０）から取得された暗号化情報によって認証され、前記複数のファイアウォールエンティティ（２０）のうちのファイアウォールエンティティ（２１、２２、２３）は、構成パラメータの第２のセットによって構成され、
前記複数のファイアウォールエンティティ（２０）のうちの前記ファイアウォールエンティティ（２１、２２、２３）の構成は、前記リモートネットワークノード（１１）から前記ファイアウォールエンティティ（２１、２２、２３）に直接的に又は間接的に送信される初期構成メッセージを用いて、前記複数のリモートネットワークノード（１０）のうちの前記リモートネットワークノード（１１）によって開始され、
前記複数のファイアウォールエンティティ（２０）のうちの前記ファイアウォールエンティティ（２１、２２、２３）の前記構成は、前記リモートネットワークノード（１１）の前記暗号化情報によって認証され、前記暗号化情報は、前記初期構成メッセージを用いて前記リモートネットワークノード（１１）から直接的に又は間接的に前記ファイアウォールエンティティ（２１、２２、２３）によって取得される
方法。
【請求項２】
前記暗号化情報は、暗号化証明書又は事前に共有された鍵情報のいずれかであり、前記暗号化情報基盤（４０）は、好ましくは公開鍵基盤である、請求項１に記載の方法。
【請求項３】
前記構成パラメータの前記第２のセットは、統合エンジン（５０）によって提供され、該統合エンジン（５０）は、
前記複数のリモートネットワークノード（１０）のうちの前記リモートネットワークノード（１１）、及び／又は
前記暗号化情報基盤（４０）、及び／又は
前記複数の中央ネットワークノード（３０）のうちの中央ネットワークノード（３１、３２）、及び／又は
構成サーバ（６０）
に設けられる、請求項１又は２に記載の方法。
【請求項４】
前記構成パラメータの前記第２のセットは、前記構成パラメータの前記第１のセット及びネットワークノード通信プロトコルの実装に基づいて前記統合エンジン（５０）によって自動的に生成される、請求項１〜３のいずれか１項に記載の方法。
【請求項５】
前記暗号化情報は、前記複数のファイアウォールエンティティ（２０）のうちの前記ファイアウォールエンティティ（２１、２２、２３）を構成することと、前記複数のリモートネットワークノード（１０）のうちの前記リモートネットワークノード（１１）と前記複数の中央ネットワークノード（３０）との間にセキュアな通信トンネルを確立することとの双方に用いられる、請求項１〜４のいずれか１項に記載の方法。
【請求項６】
前記暗号化情報及び前記構成パラメータの前記第２のセットは、前記複数のリモートネットワークノード（１０）のうちの前記リモートネットワークノード（１１）と前記複数の中央ネットワークノード（３０）との間における前記複数のファイアウォールエンティティ（２０）のうちの少なくとも２つのファイアウォールエンティティ（２１、２２、２３）を構成するのに用いられる、請求項１〜５のいずれか１項に記載の方法。
【請求項７】
前記リモートネットワークノード（１１）は、前記構成がまだ有効であることを前記リモートネットワークノード（１１）と通信エンドポイントとの間の他のネットワークノードに知らせる構成キープアライブメッセージを周期的に送信し、
前記構成は、キープアライブメッセージが、構成可能な時間間隔の間にファイアウォールエンティティ（２１、２２、２３）において受信されない場合に無効にされる、請求項１〜６のいずれか１項に記載の方法。
【請求項８】
前記中央ノード（３１）は、特に、前記リモートネットワークノード（１１）からの初期構成メッセージに肯定応答することによって、前記ファイアウォールエンティティ（２０）を構成するように前記リモートネットワークノード（１１）によってトリガされ、
好ましくは、前記肯定応答メッセージは、前記中央ネットワークノードの前記暗号化情報を用いることによって認証される、請求項１〜７のいずれか１項に記載の方法。
【請求項９】
電気通信ネットワーク（５）のネットワークノードを構成するための電気通信ネットワーク（５）であって、該電気通信ネットワーク（５）は、
複数のリモートネットワークノード（１０）と、
複数のファイアウォールエンティティ（２０）と、
複数の中央ネットワークノード（３０）と
を備え、
前記複数のリモートネットワークノード（１０）のうちのリモートネットワークノード（１１）の構成用の構成パラメータの第１のセットが提供され、前記複数のリモートネットワークノード（１０）のうちの前記リモートネットワークノード（１１）を認証する暗号化情報が提供され、該暗号化情報は、暗号化情報基盤（４０）から取得され、前記複数のファイアウォールエンティティ（２０）のうちのファイアウォールエンティティ（２１、２２、２３）が構成パラメータの第２のセットによって構成されるように、前記電気通信ネットワーク（５）は構成され、
前記電気通信ネットワーク（５）は、前記複数のファイアウォールエンティティ（２０）のうちの前記ファイアウォールエンティティ（２１、２２、２３）の構成が、前記リモートネットワークノード（１１）から前記ファイアウォールエンティティ（２１、２２、２３）に直接的に又は間接的に送信される初期構成メッセージを用いて、前記複数のリモートネットワークノード（１０）のうちの前記リモートネットワークノード（１１）によって開始されるように構成され、
前記複数のファイアウォールエンティティ（２０）のうちの前記ファイアウォールエンティティ（２１、２２、２３）の前記構成が前記リモートネットワークノード（１１）の前記暗号化情報によって認証及び／又は暗号化されるように、前記電気通信ネットワーク（５）は構成され、前記暗号化情報は、前記初期構成メッセージを用いて前記リモートネットワークノード（１１）から直接的に又は間接的に前記ファイアウォールエンティティ（２１、２２、２３）によって取得される
電気通信ネットワーク。
【請求項１０】
前記電気通信ネットワーク（５）は統合エンジン（５０）を備え、該統合エンジン（５０）は前記構成パラメータの前記第２のセットを備え、
前記統合エンジン（５０）は、
前記複数のリモートネットワークノード（１０）のうちの前記リモートネットワークノード（１１）、及び／又は
前記暗号化情報基盤（４０）、及び／又は
前記複数の中央ネットワークノード（３０）のうちの中央ネットワークノード（３１、３２）、及び／又は
構成サーバ（６０）
に設けられる、請求項９に記載の電気通信ネットワーク。
【請求項１１】
前記電気通信ネットワーク（５）は、前記暗号化情報が、前記複数のファイアウォールエンティティ（２０）のうちの前記ファイアウォールエンティティ（２１、２２、２３）を構成することと、前記複数のリモートネットワークノード（１０）のうちの前記リモートネットワークノード（１１）と前記複数の中央ネットワークノード（３０）との間にセキュアな通信トンネルを確立することとの双方に用いられるように構成されている、請求項９又は１０に記載の電気通信ネットワーク。
【請求項１２】
前記暗号化情報及び前記構成パラメータの第２のセットは、前記複数のリモートネットワークノード（１０）のうちの前記リモートネットワークノード（１１）と前記複数の中央ネットワークノード（３０）との間における前記複数のファイアウォールエンティティ（２０）のうちの少なくとも２つのファイアウォールエンティティ（２１、２２、２３）を構成するのに用いられる、請求項９〜１１のいずれか１項に記載の電気通信ネットワーク。
【請求項１３】
コンピュータ上又は電気通信ネットワーク（５）のエンティティ上で実行されると、前記コンピュータ又は前記電気通信ネットワーク（５）の前記エンティティに請求項１〜８のいずれか１項に記載の方法を実行させるコンピュータ可読プログラムコードを含んでいる、プログラム。
【請求項１４】
複数のファイアウォールエンティティ（２０）を用いるためのコンピュータプログラムであって、記憶媒体に記憶されたコンピュータプログラムを含み、該コンピュータプログラムは、コンピュータ上又は電気通信ネットワーク（５）のエンティティ上で実行されると、前記コンピュータ又は前記電気通信ネットワーク（５）の前記エンティティに請求項１〜８のいずれか１項に記載の方法を実行させるプログラムコードを含んでいる、コンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、電気通信ネットワーク、特に公衆移動体ネットワーク（public land mobile network）のネットワークノードを構成する方法に関する。
【０００２】
本発明は、更に、複数のリモートネットワークノードと、複数のファイアウォールエンティティと、複数の中央ネットワークノードとを備える電気通信ネットワークに関する。
【背景技術】
【０００３】
現在、電気通信ネットワーク、特に、公衆陸上移動ネットワーク等の電気通信ネットワークは、比較的複雑である。リモートサイト（又は典型的に分散したサイト）、特に無線基地局からのトラフィックは、宛先、例えば、ネットワーク管理システム（ＮＭＳ）、公開鍵基盤システム（ＰＫＩシステム）、又は別のネットワークエンティティ等の公衆移動体ネットワークのコアネットワークの中央ネットワークノードに到達する前に幾つかのファイアウォールを通過する必要がある。宛先までの途中にある全てのファイアウォールは、適切に構成されている必要がある。なぜならば、そうでなければ、通信がブロックされるからである。
【０００４】
現在のところ、以下の原理がファイアウォール構成に適用されている。
−現在、ファイアウォールエンティティの構成は手動プロセスである。
−特に異種環境（異なるファイアウォールタイプ／供給業者、異なる任務等）では、各ファイアウォールは、別々に（多くの場合、順々に）構成されることになる。
−全てのファイアウォールのための中央構成システムは可能ではなく、及び／又は１つのファイアウォール供給業者から他のファイアウォール供給業者へ手動で適応させる必要があるとともに、１つのファイアウォールソフトウェアリリースから他のファイアウォールソフトウェアリリースへ部分的に手動で適応させる必要がある。
【０００５】
これは、電気通信ネットワーク内のファイアウォールエンティティが最新の状態を維持するとともに動作状態を維持することを保証するための構成作業が、動的な構成及び再構成、並びにインターネットプロトコルネットワークの構成及び再構成におけるオートメーションを実現することに対して何らかの形で有害であることを意味する。
【０００６】
現在のところ、以下の原理が、無線基地局等のエンドシステム又はリモートネットワークノードに適用されている。
−ネットワークエレメント、例えば、無線基地局等のリモートネットワークノードは、証明書を用いて、ＩＰＳｅｃトンネルを確立し、中央サイトへのアクセスを取得している。バックボーンネットワークへのアクセスを得るために、ネットワークエレメント、例えば、ｅＮｏｄｅＢ等の無線基地局は、証明書をＩＰＳｅｃゲートウェイに提示し、ＩＰＳｅｃゲートウェイは、その証明書を調べ、その結果が肯定的である場合、リモートネットワークエレメントは、ＩＰＳｅｃトンネルを確立してバックボーンにアクセスすることができる。
−この初期の証明書は、プラグアンドプレイプロセス中に公開鍵基盤システムによってネットワークエレメントに提供される。
−少なくとも一部においては、ファイアウォールの構成が忘れられること、又はファイアウォールの構成が、例えば、誤ったインタフェースを用いることによって不正確に適用されることもある。
−少なくとも一部においては、もはや必要とされないファイアウォールルールの削除が忘れられるか、又は運用メンテナンスプロセスにおいてカバーされず、それによって、ファイアウォールルールセットは、幾つかの通信関係がもはや必要とされない場合にも増加するのみで、減少しないことになる。
【０００７】
これは、電気通信ネットワークが当該電気通信ネットワーク内で比較的高いサービスレベルを提供する（すなわち、動作する）と同時に、比較的高い程度のセキュリティを提供するように、無線基地局等のリモートネットワークエレメントを既存の電気通信ネットワーク内に統合するか又は電気通信ネットワークのネットワークノードを構成するために比較的重要な作業へ導く。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明の目的は、電気通信ネットワークのネットワークノードを構成する方法を提供することである。本方法において、この電気通信ネットワークは、複数のリモートネットワークノードと、複数のファイアウォールエンティティと、複数の中央ネットワークノードとを備え、電気通信ネットワーク内においてネットワークエレメントを構成及び設置する作業は削減され、電気通信ネットワークの動作機能は高められ、ネットワークノードを構成する作業は削減される。
【課題を解決するための手段】
【０００９】
本発明の目的は、電気通信ネットワークのネットワークノードを構成する方法であって、前記電気通信ネットワークは、
−複数のリモートネットワークノードと、
−複数のファイアウォールエンティティと、
−複数の中央ネットワークノードと、
を備え、前記複数のリモートネットワークノードのうちのリモートネットワークノードは、構成パラメータの第１のセットによって構成され、暗号化情報基盤から取得された暗号化情報によって認証され、前記複数のファイアウォールエンティティのうちのファイアウォールエンティティは、構成パラメータの第２のセットによって構成され、
−前記複数のファイアウォールエンティティのうちの前記ファイアウォールエンティティの前記構成は、前記リモートネットワークノードから前記ファイアウォールエンティティに直接的に又は間接的に送信される初期構成メッセージを用いて、前記複数のリモートネットワークノードのうちの前記リモートネットワークノードによって開始され、
−前記複数のファイアウォールエンティティのうちの前記ファイアウォールエンティティの前記構成は、前記リモートネットワークノードの前記暗号化情報によって認証され、該暗号化情報は、前記初期構成メッセージを用いて前記リモートネットワークノードから直接的に又は間接的に前記ファイアウォールエンティティによって取得される
方法によって達成される。
【００１０】
それによって、本発明によれば、有利には、ＩＰＳｅｃトンネルの確立及びファイアウォールルールの自動的な構成の双方に、同じ証明書又は同じ事前に共有された鍵、すなわち、同じ暗号化情報又は認証情報を用いることが可能である。通常、新たな無線基地局、例えば新たなｅＮｏｄｅＢは、プラグアンドプレイプロセスを用いることによって電気通信ネットワーク内に統合される。これは、無線基地局又はリモートネットワークノードが、電気通信ネットワークに接続されるか又は電気通信ネットワークにプラグインされ、その後、あらゆることが、無線基地局又はリモートネットワークノードに記憶された情報によって行われることを意味する。このプラグアンドプレイプロセスは、通常、第１のステップとして、ＤＨＣＰ（動的ホスト構成プロトコル）要求メッセージによる正しいＶＬＡＮ（仮想ローカルエリアネットワーク）のスキャンを含む。さらに、第２のステップにおいて、リモートネットワークノード、特に無線基地局は、単一のＶＬＡＮ上でＤＨＣＰ返答メッセージを受信する。加えて、このＤＨＣＰ返答メッセージは、無線基地局又はリモートネットワークノード用の或る基本構成を含む。この基本構成は、第３のステップの間に、リモートネットワークノード又は無線基地局が、暗号化情報基盤、通常は公開鍵基盤において暗号化証明書又は認証証明書を要求することを更に可能にする。暗号化証明書又は認証証明書を要求する代わりに、本発明によれば、事前に共有された鍵をリモートネットワークノード、すなわち無線基地局に配信することも可能である。プラグアンドプレイプロセス後の第４のステップにおいて、暗号化情報基盤、すなわち、特に公開鍵基盤は、リモートネットワークノード、特に無線基地局を種々の手段によって認証する。これらの手段は、例えば、暗号化情報基盤のホワイトリストに列挙される無線基地局の製造番号の検査であり、さらに、好ましくは、（工場内で、すなわち、無線基地局の製造時にリモートネットワークノード又は無線基地局にインストールされる）工場証明書の有効性が確認される。プラグアンドプレイプロセスの第４のステップの検査の実行が成功した場合、暗号化情報基盤システム、好ましくは、公開鍵基盤システムは、リモートネットワークノード又は無線基地局用のオペレータ証明書を発行する。このオペレータ証明書は、好ましくは、リモートネットワークノードと中央ネットワークノードとの間にＩＰＳｅｃトンネル通信を確立する暗号化証明書である。代替的に、本発明によれば、事前に共有された鍵をリモートネットワークノードに配信し、リモートネットワークノードの通信の暗号化又は認証を提供するのに用いることが可能である。本発明の１つの好ましい実施形態によれば、公開鍵基盤システム又は暗号化情報基盤は、複数の無線基地局、すなわち複数のリモートネットワークノードと、例えば、電気通信ネットワークの中央ネットワークノード又はコアネットワークエンティティのような通信エンドポイントとの間における電気通信ネットワーク内のファイアウォールエンティティのためのルールを管理する統合エンジンとしても機能する。暗号化情報基盤、特に公開鍵基盤は、リモートネットワークノード、特に無線基地局に発行される暗号化証明書に関係したファイアウォールルールについての情報を備える。第６のステップにおいて、リモートネットワークノード、特に無線基地局は、初期構成メッセージをエンドポイントに送信する。この初期構成メッセージは、必要とされるファイアウォールを必要とされる通信用に開放するように構成されている。この初期構成メッセージは、通常、認証情報及び／又は暗号化情報、すなわち、ネットワークエレメント、すなわち、通常は中央ネットワークノード及び／又はファイアウォールエンティティにおける認証のためのオペレータ証明書若しくはオペレータ暗号化証明書又は事前に共有された鍵を含み、また、必要とされるファイアウォールルールも更に含む。第７のステップにおいて、初期構成メッセージが、ファイアウォールエンティティを通過する場合、このファイアウォールエンティティは、添付された暗号化情報、すなわち暗号化証明書又は事前に共有された鍵を用いて、無線基地局等のリモートネットワークノードを認証し、暗号化情報に関連付けられた情報を用いて、このファイアウォールエンティティを構成する、すなわち、自身を構成する。
【００１１】
本発明の好ましい実施形態によれば、前記暗号化情報は、暗号化証明書又は事前に共有された鍵情報のいずれかであり、前記暗号化情報基盤は、好ましくは公開鍵基盤である。
【００１２】
それによって、有利には、事前に共有された鍵情報又は暗号化証明書のいずれかを暗号化情報として用いることが可能である。
【００１３】
本発明の更に好ましい実施形態によれば、前記構成パラメータの第２のセットは、統合エンジンによって提供され、該統合エンジンは、
−前記複数のリモートネットワークノードのうちの前記リモートネットワークノード、及び／又は
−前記暗号化情報基盤、及び／又は
−前記複数の中央ネットワークノードのうちの中央ネットワークノード、及び／又は
−構成サーバ、
に設けられる。
【００１４】
それによって、有利には、統合エンジンを電気通信ネットワーク内に柔軟に配置することができることが可能である。
【００１５】
本発明によれば、前記構成パラメータの第２のセットは、前記構成パラメータの第１のセット及びネットワークノード通信プロトコルの実装に基づいて前記統合エンジンによって生成されることが更に好ましい。
【００１６】
それによって、有利には、構成パラメータの第２のセットを、構成パラメータの第１のセット及びネットワークノードの通信プロトコルの実装に基づいて自動的に及び／又は動的に生成することが可能である。このネットワークノードの通信プロトコルの実装は、ネットワークノード、例えばリモートネットワークノード又は中央ネットワークノードの特にデフォルト構成（例えば、工場設定）に対応する。
【００１７】
本発明の更に好ましい実施形態によれば、前記暗号化情報は、前記複数のファイアウォールエンティティのうちの前記ファイアウォールエンティティを構成することと、前記複数のリモートネットワークノードのうちの前記リモートネットワークノードと前記複数の中央ネットワークノードとの間にセキュアな通信トンネルを確立することとの双方に用いられる。
【００１８】
それによって、有利には、通信目的でリモートネットワークノードを電気通信ネットワーク内に統合するだけでなく、暗号化情報によってファイアウォールエンティティを構成することも可能である。
【００１９】
本発明によれば、前記暗号化情報及び前記構成パラメータの第２のセットは、前記複数のリモートネットワークノードのうちの前記リモートネットワークノードと前記複数の中央ネットワークノードとの間における前記複数のファイアウォールエンティティのうちの少なくとも２つのファイアウォールエンティティを構成するのに用いられることが更に好ましい。
【００２０】
それによって、本発明によれば、有利には、リモートネットワークノードと中央ネットワークノードのうちの１つとの間の通信ニーズを満たすために２つ以上のファイアウォールエンティティが用いられる場合に、２つ以上のファイアウォールエンティティを構成パラメータの第２のセット内の暗号化情報によって構成することが可能である。
【００２１】
また、本発明の更に好ましい実施形態によれば、前記リモートネットワークノードは、前記構成がまだ有効であることを前記リモートネットワークノードと通信エンドポイントとの間の他のネットワークノードに知らせる構成キープアライブメッセージを周期的に送信し、前記構成は、キープアライブメッセージが、構成可能な時間間隔の間にファイアウォールエンティティにおいて受信されない場合に無効にされる。
【００２２】
それによって、本発明によれば、有利には、ファイアウォールエンティティの構成が絶えず最新の状態にあることが可能である。これは、構成パラメータの未使用の部分が消去され、これによって、電気通信ネットワークの全体的な安全レベルが高められることを意味する。なぜならば、未使用の開放したドアは、或る特定の構成情報の失効によって閉鎖されるからである。これは、以前に開放していたドアが、少なくとも、構成キープアライブメッセージがファイアウォールエンティティによって予想される時間間隔後に閉鎖され、対応する（以前に）開放していたドアが、構成キープアライブメッセージがその時間間隔内に受信されない場合には閉鎖されることを意味する。
【００２３】
本発明によれば、有利には、構成キープアライブメッセージの受信に対して、中央ネットワークノードは、リモートネットワークノードに向けた構成キープアライブ肯定応答メッセージによって返答することが可能である。例えば、本発明によれば、リモートネットワークノードは、例えば、１時間又は２時間又は３時間等の構成キープアライブ時間間隔内に構成キープアライブメッセージを繰り返し送信することが可能であり、好ましい。リモートネットワークノードは、関連したネットワークノードに対応するもの、特に中央ネットワークノードから構成キープアライブ肯定応答メッセージを受信しない場合、更なる動作が実行される。例えば、電気通信ネットワーク内のエラーハンドリングシステムを用いて例外が起動される。
【００２４】
別の好ましい実施形態（構成キープアライブ肯定応答メッセージを用いないもの）によれば、キープアライブメッセージがファイアウォールエンティティにおいて受信されない場合に、その後に構成が無効にされるまでの時間間隔（以下、無効化時間間隔とも呼ばれる）は、構成キープアライブ時間間隔がかなり短くなるように選ばれる。例えば、無効化時間間隔は、構成キープアライブ時間間隔の３倍（又は４倍又は５倍又は１０倍又は２０倍）に対応する。それによって、本発明によれば、有利には、リモートネットワークノードが構成キープアライブメッセージ送信するだけであり、他のネットワークノード、特にファイアウォールエンティティは構成キープアライブ肯定応答メッセージを送信する必要はないことが可能である。
【００２５】
また、本発明の更に好ましい実施形態によれば、前記中央ノードは、特に、前記リモートネットワークノードからの初期構成メッセージに肯定応答することによって、前記ファイアウォールエンティティを構成するように前記リモートネットワークノードによってトリガされ、好ましくは、前記肯定応答メッセージは、前記中央ネットワークノードの前記暗号化情報を用いることによって認証される。
【００２６】
さらに、本発明は、電気通信ネットワークのネットワークノードを構成するための電気通信ネットワークであって、該電気通信ネットワークは、
−複数のリモートネットワークノードと、
−複数のファイアウォールエンティティと、
−複数の中央ネットワークノードと
を備え、前記複数のリモートネットワークノードのうちのリモートネットワークノードの構成用の構成パラメータの第１のセットが提供され、前記複数のリモートネットワークノードのうちの前記リモートネットワークノードを認証する暗号化情報が提供され、該暗号化情報は、暗号化情報基盤から取得され、前記複数のファイアウォールエンティティのうちのファイアウォールエンティティが構成パラメータの第２のセットによって構成されるように、該電気通信ネットワークは構成され、
−該電気通信ネットワークは、前記複数のファイアウォールエンティティのうちの前記ファイアウォールエンティティの前記構成が、前記リモートネットワークノードから前記ファイアウォールエンティティに直接的に又は間接的に送信される初期構成メッセージを用いて、前記複数のリモートネットワークノードのうちの前記リモートネットワークノードによって開始されるように構成され、
−該電気通信ネットワークは、前記複数のファイアウォールエンティティのうちの前記ファイアウォールエンティティの前記構成が、前記リモートネットワークノードの前記暗号化情報によって認証されるように構成され、該暗号化情報は、前記初期構成メッセージを用いて前記リモートネットワークノードから直接的に又は間接的に前記ファイアウォールエンティティによって取得される、
電気通信ネットワークのネットワークノードを構成するための該電気通信ネットワークに関する。
【００２７】
本発明による電気通信ネットワークは、有利には、より便利な方法で、すなわち、より少ない作業時間及び手動による構成ステップを用いて構成可能とすることができる。これによって、一般に、電気通信ネットワークの安全度がより高くなる。
【００２８】
本発明によれば、同様に電気通信ネットワークに関して、該電気通信ネットワークは、統合エンジンを備え、該統合エンジンは、前記構成パラメータの第２のセットを備え、該統合エンジンは、
前記複数のリモートネットワークノードのうちの前記リモートネットワークノード、及び／又は
公開鍵基盤、及び／又は
前記複数の中央ネットワークノードのうちの中央ネットワークノード、及び／又は
構成サーバ、
に設けられることが更に好ましい。
【００２９】
本発明の更に好ましい実施形態によれば、同様に電気通信ネットワークに関して、該電気通信ネットワークは、前記暗号化証明書が、前記複数のファイアウォールエンティティのうちの前記ファイアウォールエンティティを構成することと、前記複数のリモートネットワークノードのうちの前記リモートネットワークノードと前記複数の中央ネットワークノードとの間にセキュアな通信トンネルを確立することとの双方に用いられるように構成されていることが好ましい。
【００３０】
本発明によれば、前記暗号化証明書及び前記構成パラメータの第２のセットは、前記複数のリモートネットワークノードのうちの前記リモートネットワークノードと前記複数の中央ネットワークノードとの間における前記複数のファイアウォールエンティティのうちの少なくとも２つのファイアウォールエンティティを構成するのに用いられることが更に好ましい。
【００３１】
さらに本発明は、コンピュータ上又は電気通信ネットワークのエンティティ上で実行されると、前記コンピュータ又は前記電気通信ネットワークの前記エンティティに本発明による方法を実行させるコンピュータ可読プログラムコードを含む、プログラムに関する。
【００３２】
またさらに、本発明は、ユーザ機器を用いるためのコンピュータプログラム製品であって、記憶媒体に記憶されたコンピュータプログラムを含み、該コンピュータプログラムは、コンピュータ上又は電気通信ネットワークのエンティティ上で実行されると、前記コンピュータ又は前記電気通信ネットワークの前記エンティティに本発明による方法を実行させるプログラムコードを含む、コンピュータプログラム製品に関する。
【００３３】
本発明のこれらの特性、特徴、及び利点、並びに他の特性、特徴、及び利点は、添付図面とともに用いられた以下の詳細な説明から明らかになる。添付図面は、本発明の原理を例として示している。説明は、本発明の範囲を限定することなく、例示のためにのみ与えられている。以下で引用される参照図は、添付図面を指す。
【図面の簡単な説明】
【００３４】
【図１】複数のファイアウォールエンティティと複数の中央ネットワークノードとを備える電気通信ネットワーク内に統合されているリモートネットワークノードの例としての複数の無線基地局を概略的に示す図である。
【図２】リモートネットワークノード、複数のファイアウォールエンティティ、及び複数の中央ネットワークノードの間の通信の通信図を概略的に示す図である。
【図３】リモートネットワークノード、第１のファイアウォールエンティティ及び第２のファイアウォールエンティティ、並びに中央ネットワークノードの間の通信の通信図を概略的に示す図である。
【図４】リモートネットワークノード、第１のファイアウォールエンティティ及び第２のファイアウォールエンティティ、並びに中央ネットワークノードの間の通信の通信図を概略的に示す図である。
【発明を実施するための形態】
【００３５】
本発明は、特定の実施形態に関して或る特定の図面を参照して説明されるが、本発明は、これらの実施形態及び図面に限定されるものではなく、特許請求の範囲によってのみ限定される。説明する図面は、概略的なものにすぎず、非限定的である。図面において、要素のうちの幾つかのもののサイズは、例示の目的で、誇張されている場合があり、一律の縮尺で描かれていない場合がある。
【００３６】
数量が特定されていない名詞は、特に別段の指定がない限り、その名詞の単数及び複数を含む。
【００３７】
さらに、本明細書及び請求項における第１、第２、第３等の用語は、同様の要素を区別するために用いられており、必ずしも、連続した順序又は時間順を説明するために用いられているとは限らない。そのように用いられる用語は、適切な状況下では交換可能であり、本明細書において説明する本発明の実施形態は、本明細書において説明又は図示するもの以外の順序で動作することができることが理解されるべきである。
【００３８】
図１には、リモートネットワークノード１０の例としての複数の無線基地局１０が、電気通信ネットワーク５内に統合され、この電気通信ネットワーク５は、複数のファイアウォールエンティティ２０及び複数の中央ネットワークノード３０を備える。複数のリモートネットワークノード１０、特に無線基地局１０の例として、第１のリモートネットワークノード１１、第２のリモートネットワークノード１２、及び第３のリモートネットワークノード１３が概略的に示されている。同様に、複数のファイアウォールエンティティ２０の例として、第１のファイアウォールエンティティ２１、第２のファイアウォールエンティティ２２、及び第３のファイアウォールエンティティ２３が、電気通信ネットワーク５の一部分として概略的に示されている。加えて、複数の中央ネットワークノード３０の例として、第１の中央ネットワークノード３１及び第２の中央ネットワークノード３２が概略的に示されている。例示として、第１のリモートネットワークノード１１は、第１のファイアウォールエンティティ２１に接続されている。さらに、概略的に、第２のリモートネットワークノード１２も、第１のファイアウォールエンティティ２１に接続されている。さらに、例示として、第３のリモートネットワークノード１３は、第３のファイアウォールエンティティ２３に接続されている。さらに、例示として、第１のファイアウォールエンティティ２１は、第２のファイアウォールエンティティ２２に接続されている。さらに、例示として、第１のファイアウォールエンティティ２１は、第３のファイアウォールエンティティ２３に接続されている。さらに、例示として、第２のファイアウォールエンティティは、第１の中央ネットワークノード３１に接続されている。さらに、例示として、第３のファイアウォールエンティティ２３は、第２の中央ネットワークノード３２に接続されている。
【００３９】
加えて、電気通信ネットワーク５は、暗号化情報基盤４０及び統合エンジン５０を備える。さらに、本発明によれば、電気通信ネットワーク５は構成サーバ６０を備えることが好ましい。
【００４０】
図２には、リモートネットワークノード１１、第１のファイアウォールエンティティ２１、第２のファイアウォールエンティティ２２、及び第３のファイアウォールエンティティ２３、並びに第１の中央ノード３１及び第２の中央ノード３２の間の通信の通信図が概略的に示されている。第１のステップ１０１において、第１のリモートネットワークノード１１は、暗号化情報基盤４０からの証明書又は暗号化（又は認証）情報（事前に共有された鍵とすることもできる）を要求する。この暗号化情報基盤は、好ましくは公開鍵基盤４０であり、ファイアウォールルールも準備する。本発明の電気通信ネットワークの一実施形態では、ファイアウォールルールを準備するための機能は、構成サーバ６０又は統合エンジン５０に配置することもできる。第２のステップ１０２において、暗号化情報基盤４０は、ファイアウォールルールを含む暗号化情報を第１のリモートネットワークノード１１に提供する。第１のステップ１０１及び第２のステップ１０２は、正しい暗号化（又は認証）情報、特に、暗号化証明書又は事前に共有された鍵、及びファイアウォールルールを提供するための予備ステップ又は準備ステップに関するものである。第２の例示のステップ群において、第１のリモートネットワークノード１１と、第１の中央ネットワークノード３１、特に電気通信ネットワーク５のコアネットワークのネットワークノードとの間の通信が確立される。この目的のために、第３のステップにおいて、メッセージ１１１が、第１のリモートネットワークノード１１から第１のファイアウォールエンティティ２１に送信される。メッセージ１１１は、例えば、電気通信ネットワーク５のコアネットワークに属する第１の中央ネットワークノード３１の宛先を示すもの、すなわちＩＰアドレスを含むファイアウォール構成メッセージに対応する。第４のステップ１１２において、暗号化（又は認証）証明書、又はより一般的には暗号化（又は認証）情報の有効性が、第１のファイアウォールエンティティ２１によって確認される。第５のステップ１１３において、第１のファイアウォールエンティティ２１のファイアウォールルールが構成される。第６のステップ１１４において、メッセージが第１のファイアウォールエンティティ２１から第２のファイアウォールエンティティ２２に送信される。このメッセージは、通信イベントの宛先、すなわち第１の中央ネットワークノード３１についての表示も含むファイアウォール構成メッセージに対応する。送信元アドレスは、第１のリモートネットワークノード１１のアドレスのままである。第７のステップ１１５において、第６のステップのファイアウォール構成メッセージの有効性が、第２のファイアウォールエンティティ２２によって確認され、第８のステップ１１６において、第２のファイアウォールエンティティ２２のそれぞれのファイアウォールルールが構成される。第９のステップ１１７において、ファイアウォール構成メッセージが、第２のファイアウォールエンティティ２２から第１の中央ネットワークノード３１に送信される。第９のステップの後、第１のリモートネットワークノード１１と第１の中央ネットワークノード３１との間の通信リンクが確立され、第１０のステップ１１８において、この通信リンクは、第１のリモートネットワークノード１１から第１の中央ノード３１にトラフィック情報を送信可能とするために確立される。第１のリモートネットワークノード１１と第１の中央ネットワークノード３１との間に通信リンクを提供する第２のステップ群と類似の方法で、第３のステップ群において、第１のリモートネットワークノード１１と第２の中央ネットワークノード３２との間の通信リンクが、第１１のステップ１２１、第１２のステップ１２２、第１３のステップ１２３、第１４のステップ１２４、第１５のステップ１２５、第１６のステップ１２６、第１７のステップ１２７、及び第１８のステップ１２８によって確立される。第１１のステップ１２１は、第３のステップ１１１に対応する。第１２のステップ１２２は、第４のステップ１１２に対応する。第１３のステップ１２３は、第５のステップ１１３に対応する。第１４のステップ１２４は、第６のステップ１１４に対応するが、ファイアウォール構成メッセージが、第１のファイアウォールエンティティ２１から第２のファイアウォールエンティティ２２に送信されるのではなく、第１のファイアウォールエンティティ２１から第３のファイアウォールエンティティ２３に送信されるという点が異なっている。第１５のステップ１２５及び第１６のステップ１２６は、第７のステップ１１５及び第８のステップ１１６に対応するが、第１５のステップ１２５及び第１６のステップ１２６は、第２のファイアウォールエンティティ２２によって実行されるのではなく、第３のファイアウォールエンティティ２３によって実行されるという点が異なっている。同様に、第１７のステップ１２７は、第９のステップ１１７に対応するが、第３のファイアウォールエンティティ２３及び第２の中央ネットワークノード３２が関係しているという点が異なっている。第３のステップ１１１のメッセージ、第６のステップ１１４のメッセージ、及び第９のステップ１１７のメッセージは、互いに対応し合っている。すなわち、メッセージ内容は同一であり、（それぞれ第１のファイアウォールエンティティ２１又は第２のファイアウォールエンティティ２２による）転送動作のみが行われる。同様に、第１１のステップ１２１のメッセージ、第１４のステップ１２４のメッセージ、及び第１７のステップ１２７のメッセージは互いに対応し合っている。すなわち、メッセージ内容は同一であり、（それぞれ第１のファイアウォールエンティティ２１又は第３のファイアウォールエンティティ２３による）転送動作のみが行われる。
【００４１】
本発明のアイデアは、電気通信ネットワーク５へのアクセスを得るのに必要とされ、また、ネットワークノード、特にリモートネットワークノードを電気通信ネットワーク５内に自動的に統合するためのパラメータ変更を認証するのにも必要とされる認証情報又は暗号化情報を用いることである。新たなノード、すなわち新たなリモートネットワークノードが、電気通信ネットワーク５内に統合されることになる場合、このリモートネットワークノード、例えば第１のリモートネットワークノード１１は、それに応じて構成され、暗号化証明書又は事前に共有された鍵等の認証情報及び／又は暗号化情報を得る。当該リモートネットワークノード、例えば第１のリモートネットワークノード１１は、この認証情報及び／又は暗号化情報を用いて、自身を電気通信ネットワーク５内に統合するのに必要とされる構成変更を認証する。このリモートネットワークノードは、リモートネットワークノード１１の手動でサポートされる構成を必要とせず、残りのネットワークの構成が自動的に行われるように、自身を電気通信ネットワーク内に統合することができる。そのような自己統合を行うために、本発明による次の構成要素、すなわち、ネットワークノードの構成に必要とされる構成パラメータを生成する統合エンジン５０が提案される。さらに、構成パラメータを関係しているネットワークエレメントに提供する適切なプロトコルが必要とされる。必要とされる構成変更を構築するために、統合エンジン５０が存在する。この統合エンジンは、リモートネットワークノード（電気通信ネットワーク内に新たに統合されるもの）とリモートネットワークノードの通信エンドポイントとの間に配置されている電気通信ネットワークのノード又は他のネットワーク機器のための必要なパラメータを（自動的に又は手動で）生成する。統合エンジンは、電気通信ネットワーク内において、例えば、認証サーバ（例えば、公開鍵基盤等の暗号化情報基盤）上又は通信エンドポイント上に配置することが可能である。すなわち、ＥＭＳ等の中央ネットワークノード、コアネットワークのエンティティ、又は統合エンジンは、リモートネットワークノード自体において実現することもできる。
【００４２】
統合エンジン５０が、電気通信ネットワーク５内の別個のサーバ上に配置されている場合、リモートネットワークノードの統合を開始することができるようになるには、リモートネットワークノード（新たに構成されるか又は電気通信ネットワーク内に統合されるもの）は、当該リモートネットワークノードと通信エンドポイントとの間にあるネットワークエンティティを構成するための構成パラメータを統合エンジン５０から受信する必要がある。統合エンジン５０上、すなわち、別個のサーバ上では、構成パラメータは、電気通信ネットワーク５内の計画された変更についての経過を追跡するために管理される。原則として、リモートネットワークノードの統合は、以下のように行われる。
−統合プロセスの第１の部分において、リモートネットワークノードとリモートネットワークノードの通信エンドポイントとの間にある電気通信ネットワーク５のネットワークノード又はネットワークエンティティ用の構成パラメータが、統合エンジン５０上で事前に構成される。
−統合プロセスの第２の部分において、リモートネットワークノードが、統合エンジン５０と連絡をとる。
−統合プロセスの第３の部分において、統合エンジン５０は、少なくとも１つの構成パラメータ、好ましくは複数の構成パラメータを提供する。電気通信ネットワーク５内における統合エンジン５０のロケーションのそのような実施形態の例には、無線ネットワーク内において、統合エンジン５０が、
−公開鍵基盤システム（すなわち、暗号化情報基盤）上に配置されているか、又は
−プラグアンドプレイプロセスの開始中における新たな無線基地局の最初の接触ポイントとしての構成サーバ上に配置されている、
ことが含まれる。
【００４３】
更なる実施形態によれば、統合エンジン５０は、通信エンドポイントのうちの少なくとも１つ、又は複数の通信エンドポイント上に統合されている。リモートネットワークノードとエンドポイントとの間にあるネットワークノードの構成のためのパラメータは、その１つ又は複数のエンドポイントに配置された統合エンジンによって管理される。統合エンジン５０が、リモートネットワークノードの通信エンドポイント上に配置されている場合、間にあるネットワークは、それらのエンドポイントへのリモートネットワークノードの初期の通信を可能にする必要がある。統合エンジンが新たなリモートネットワークノードからの初期のメッセージを受信している場合、統合エンジン５０は、必要とされるパラメータ／構成を用いて返答することになる。必要とされる構成を生成するには、以下の２つの選択肢が可能である。
−リモートネットワークノードとリモートネットワークノードの通信エンドポイントとの間にあるネットワークエンティティ用の構成パラメータが、統合エンジン上で事前に構成されている。
−エンドポイント自体が、どの構成パラメータが、新たなリモートネットワークノードを電気通信ネットワーク内に統合するのに必要とされるのかを知っている。そのため、エンドポイント上の統合エンジン５０は、リモートネットワークノードとこのノードの通信エンドポイントとの間にあるネットワークエンティティ用の必要とされる構成パラメータを自動的に生成することができる。これは、統合エンジン５０の手動による事前の構成が必要とされないことを意味する。例えば、無線ネットワーク内において、統合エンジン５０は、ＥＭＳ（エレメント管理システム）上に配置することができる。なぜならば、ＥＭＳは、この時点では、新たな無線基地局、すなわち新たなリモートネットワークノードの情報を用いて既に事前に構成されており、リモートネットワークノードと通信エンドポイントとの間にあるネットワークエンティティの構成に必要とされるパラメータを追加して含めることが容易であるからである。ＥＭＳは、どのサービスが、リモートネットワークノードと、ＥＭＳ等の中央ネットワークノードとの間の通信に必要とされるのかを知っているので、リモートネットワークノード（すなわち、例えば無線基地局）とＥＭＳとの間のファイアウォール（複数の場合もある）に適用する必要があるファイアウォールルールも、ＥＭＳが自動的に生成することができる。
【００４４】
更なる実施形態によれば、統合エンジン５０を、リモートネットワークノード自体に配置することもできる。リモートネットワークノードは、前提条件としての自身の構成及び自身の通信エンドポイントを既に知っており、そのため、リモートネットワークノード自体が、当該リモートネットワークノードと通信エンドポイントとの間にある電気通信ネットワークのネットワークエンティティに必要とされる構成パラメータを自動的に生成することができる。本発明によれば、リモートネットワークノードの初期構成、すなわち構成パラメータの第１のセットを用いて、必要とされるパラメータを事前に構成することも可能である。
【００４５】
電気通信ネットワーク５内に新たなリモートネットワークノードを統合する本発明によって提案される特定のプロトコルを次に示す。統合エンジン５０が、新たなリモートネットワークノードの構成パラメータ（以下、リモートネットワークノードを構成することを目的とした構成パラメータの第１のセットとも呼ばれる）を生成した後、この新たなリモートネットワークノードは、自身、すなわちリモートネットワークノードを電気通信ネットワーク内に統合するために、電気通信ネットワーク５内（すなわち、リモートネットワークノードと通信エンドポイントとの間にあるネットワークノード内）の構成変更をトリガする必要がある。この理由から、リモートネットワークノードと通信エンドポイントとの間にあるネットワークエレメントに、必要とされるパラメータ設定又は構成（以下、リモートネットワークノードと通信エンドポイントとの間のネットワークエンティティ、特にファイアウォールエンティティを構成することを目的とした構成パラメータの第２のセットとも呼ばれる）を知らせるために、プロトコルが好ましくは用いられる。リモートネットワークノードが、エンドポイントとの通常の通信、すなわちトラフィックの伝送を開始することができるようになるには、リモートネットワークノードは、特に送信元アドレス（すなわち、リモートネットワークノードのアドレス）及び宛先アドレス（すなわち、通信エンドポイントのアドレス）を指定する初期構成メッセージをリモートネットワークノードの全ての通信エンドポイントに送信する必要がある。本発明の好ましい実施形態によれば、既存の電気通信ネットワーク内へのリモートネットワークノードの自動的な統合を実現するために以下のメッセージタイプが用いられる。
−初期構成メッセージ、
−初期構成メッセージ肯定応答、
−初期構成メッセージ再肯定応答、
−構成更新メッセージ、
−構成更新メッセージ肯定応答、
−構成更新メッセージ再肯定応答、
−要求構成メッセージ、
−要求構成メッセージ肯定応答、
−要求構成メッセージ再肯定応答、
−構成キープアライブメッセージ、
−構成キープアライブメッセージ肯定応答、
−構成キープアライブメッセージ再肯定応答。
【００４６】
以下の例は、本発明による例示のプロトコルの機能を記載している。
【００４７】
通信エンドポイント、すなわち複数の中央ネットワークノード３０のうちの１つは、リモートネットワークノード用の構成パラメータをハンドリングする。すなわち、統合エンジン５０は、通信ラインのエンドポイント上に配置されている。リモートネットワークノード、例えば第１のリモートネットワークノード１１が、認証情報、すなわち暗号化情報と、構成情報（又は構成パラメータの第１のセット）とを受信した後、リモートネットワークノードは、暗号化情報（又は認証情報）のみを含む初期構成メッセージを通信エンドポイントに送信する。このメッセージは、デフォルト（ネットワークノードの一般的な事前構成に対応する）で電気通信ネットワークのネットワークエンティティを通過することが可能になっている必要がある。初期構成メッセージがエンドポイントによって受信されるや否や、このエンドポイントは、エンドポイントの認証情報と、統合エンジンによって生成されたネットワークエンティティ用のネットワークパラメータ又はネットワーク構成（すなわち、構成パラメータの第２のセット）とを含む肯定応答メッセージを生成する。この肯定応答メッセージがネットワークエレメントを通過するごとに、この肯定応答メッセージ内の情報が用いられて、そのネットワークエレメントが認証及び構成され、新たなリモートネットワークノードが統合される。リモートネットワークノードが、通信エンドポイントの肯定応答メッセージを受信するや否や、リモートネットワークノードは、最後に、肯定応答メッセージを用いて受信されたネットワーク用のパラメータ／構成を含む再肯定応答メッセージ（すなわち、初期構成メッセージ再肯定応答）を用いて返答する。また、この再肯定応答メッセージは、認証情報も含む。図３は、統合エンジン５０がエンドポイントに配置されているシナリオの場合のこの通信を示している。図３は、第１のリモートネットワークノード１１、第１のファイアウォールエンティティ２１、第２のファイアウォールエンティティ２２、及び第１の中央ネットワークノード３１の間の通信を表している。予備ステップ１３０、１２０において、認証情報がリモートネットワークノード１１によって受信され、ノードの構成が行われる。参照符号１６１によって示されるメッセージにおいて、初期構成メッセージが、第１のリモートネットワークノード１１から第１のファイアウォールエンティティ２１に送信される。この初期構成メッセージは、第１の中央ネットワークノード３１に対応する通信エンドポイント宛てのものである。参照符号１６２によって示される処理ステップにおいて、認証情報又は暗号化情報の有効性が、第１のファイアウォールエンティティ２１である第１のネットワークエレメントによって確認される。さらに、この例示の実施形態では第２のファイアウォールエンティティ２２である第２のネットワークエレメントへの転送メッセージが生成される。これは、通信エンドポイント（第１の中央ネットワークノード３１）への初期構成メッセージを含む参照符号１６３によって表されている。参照符号１６４によって示される対応する処理ステップにおいて、暗号化情報又は認証情報の有効性が確認され、この初期構成メッセージは、参照符号１６５によって表されるように、第１の中央ネットワークエレメント３１に転送される。初期構成メッセージ肯定応答が、第１の中央ネットワークノード３１によって第２のファイアウォールエンティティ２２に送信され、これは、参照符号１７１によって示されている。第２のファイアウォールエンティティ２２では、処理ステップ１７２及び１７３によって表されるように、認証情報の有効性が確認され、パラメータ及び構成情報が用いられて、ネットワークエレメント構成が適応される。さらに、参照符号１７４によって表されるように、初期構成メッセージ肯定応答が、第１のファイアウォールエンティティ２１に送信される。処理ステップ１７５、１７６において、認証情報の有効性が確認され、パラメータ及び構成情報が用いられて、第１のファイアウォールエンティティ２１の構成が適応される。参照符号１７７は、リモートネットワークノード１１への初期構成メッセージ肯定応答の転送を表している。参照符号１７８は、第１のリモートネットワークノード１１によって通信エンドポイント、すなわち第１の中央ネットワークノード３１に送信される初期構成メッセージ再肯定応答を表している。その後、参照符号２００によって示されるトラフィック送信を提供する通信が開始する。
【００４８】
本発明の更に代替的な変形形態では、リモートネットワークノード（例えば、第１のリモートネットワークノード１１）自体が、ネットワーク用の構成パラメータをハンドリングする（これは、統合エンジン５０がリモートネットワークノード１１上に配置されていることを意味する）。初期構成メッセージは、認証情報又は暗号化情報（すなわち、暗号化証明書及び／又は署名及び／又は事前に共有された鍵）を含み、リモートネットワークノードと通信エンドポイント、例えば第１の中央ネットワークノード３１との間にあるネットワークエレメント用の構成パラメータも含む。初期構成メッセージがネットワークエレメントを通過するごとに、このネットワークエレメントは、最初に認証情報（又は暗号化情報）を調べ、認証検査に成功した後、この初期構成メッセージ内の構成パラメータを用いて自身を構成する。この構成がこのネットワークエレメント内で利用可能になった後、このメッセージは、通信エンドポイントに到達するまで転送される。通信エンドポイントに到達するや否や、エンドポイントは、この初期構成に肯定応答する必要がある。肯定応答メッセージも、認証情報（又は暗号化情報）並びにネットワークパラメータ及び／又は構成を含む。これによって、異なる方向については、電気通信ネットワークを通る異なる経路が用いられる場合に、通信エンドポイントからリモートネットワークノードへの逆方向通信ラインの構成が可能になる。構成通信を終了させるために、リモートネットワークノードは、通信エンドポイントから肯定応答メッセージを受信すると、初期構成メッセージに再肯定応答する。図４には、そのようなメッセージフローの一例が示されている。予備ステップ１２０、１３０において、認証情報がリモートネットワークノードにおいて利用可能になり、ノード構成が行われる。さらに、ネットワークエレメント用のパラメータ／構成がリモートネットワークノードに存在する（すなわち、統合エンジン５０がリモートネットワークノードに配置されている）か、又はネットワークエレメント用のパラメータ／構成は、統合エンジンをホストする別個のサーバから受信される。参照符号１４１によって示されるメッセージにおいて、初期構成メッセージが、第１のリモートネットワークノード１１から第１のファイアウォールエンティティ２１に送信される。この初期構成メッセージは、第１の中央ネットワークノード３１に対応する通信エンドポイント宛てのものである。参照符号１４２及び１４３によって示される２つの処理ステップにおいて、認証情報又は暗号化情報の有効性が、第１のファイアウォールエンティティ２１である第１のネットワークエレメントによって確認される。さらに、第１のファイアウォールエンティティ２１の構成を適応させるパラメータ及び構成情報が用いられて、初期構成メッセージが受理され、この例示の実施形態では第２のファイアウォールエンティティ２２である第２のネットワークエレメントへの転送メッセージが生成される。これは、通信エンドポイント（第１の中央ネットワークノード３１）への初期構成メッセージを含む参照符号１４４によって表されている。参照符号１４５及び１４６によって示される対応する処理ステップにおいて、暗号化情報又は認証情報の有効性が確認され、パラメータ及び構成が用いられて、第２のファイアウォールエンティティ２２が適応され、参照符号１４７によって表されるように、初期構成メッセージは、第１の中央ネットワークエレメント３１に転送される。次に、第１の中央ネットワークエレメント３１は、参照符号１５１によって示されるように、リモートネットワークノードへの初期構成メッセージ肯定応答によって返答する。この初期構成メッセージ肯定応答は、認証情報並びにネットワークパラメータ及び構成を含む。さらに、リモートネットワークノード１１は、参照符号１５２によって示される、第１の中央ネットワークノード３１への初期構成メッセージ再肯定応答によって返答する。その後、参照符号２００によって示されるように、トラフィック情報の伝送を実現する通信が開始できる。
【００４９】
統合エンジンによって提供される、電気通信ネットワーク５内で新たに統合されるリモートネットワークノード用のパラメータの配信又は構成は、「中間者」がこの情報を変更することができないように署名及び／又は暗号化される必要がある。特に、電気通信ネットワーク５においてリモートネットワークノードを認証するのに用いられる証明書内に構成パラメータ（すなわち、構成パラメータの第２のセット）を含めることが可能である。
【図１】
0006329947.tif 000002
【図２】
0006329947.tif 000003
【図３】
0006329947.tif 000004
【図４】
0006329947.tif 000005