"保護されないネットワークインフラストラクチャ上でセキュアサービス層を生成する方法であって、所望のIPSecサービスに関連するサービス要求を受信することであって、サービス要求情報が、少なくとも保護されるセキュアネットワークの識別を含む、受信することと、セキュアゲートウェイSEGとしての使用のために境界デバイスを含む少なくとも1つのルーティングデバイスを選択することと、境界デバイスの第1の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、境界デバイスの第2の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応するセキュアトラフィックを適切にグループ化するためにインターフェースを作成することであって、各グループが、それぞれのカプセル化識別子に関連する、作成することとを含む、方法。セキュアネットワークにアクセスすることを許可される非セキュアネットワーク内の複数のアクセスポイントを選択することと、アクセスポイントのそれぞれを適切なSEGに関連付けることと、対応するアクセスポイントからのトンネリングされたパブリックトラフィックを終端するために各SEGのセキュアネットワーキングサービスを構成することとをさらに含む、請求項1に記載の方法。非セキュアネットワークからのトンネリングされたトラフィックを終端するための前記セキュアネットワーキングサービスが、レベル3仮想プライベートネットワークL3VPNサービス、仮想プライベートルーティッドネットワークVPRN:VirtualPrivateRoutedNetworkサービス、およびIESInternetEnhancedServiceサービスの1つである、請求項1に記載の方法。境界デバイスを含む前記少なくとも1つのルーティングデバイスの前記選択することが、保護されるセキュアネットワークに近接する1つまたは複数のルータを識別することと、コスト、顧客への近接度、サービスプロバイダへの近接度、および利用レベルという判断基準のうちの1つまたは複数に従って前記ルータのうちの1つを選択することとを含む、請求項1に記載の方法。前記生成されたIPSecサービス層が、複数のユーザを前記保護されるネットワークにセキュアに接続するサービスを含み、前記方法が、前記ユーザをユーザ位置に従って定義される複数のグループに分割することと、ユーザの各グループに関連するトラフィックをそれぞれの地理的に近接するスイッチング要素で集約することとをさらに含むことをさらに含み、前記集約されたトラフィックが、ビデオサービストラフィックを含み、前記集約されたトラフィックが、前記地理的に近接するスイッチング要素とビデオサービスプロバイダのヘッドエンドとの間で通信され、前記ビデオサービスプロバイダが、ケーブルテレビジョンシステム、MSO、遠隔通信システムプロバイダ、および放送網のうちの1つを含む、請求項1に記載の方法。前記方法が、ネットワークサービスプロバイダのネットワークオペレーションズセンタNOCに関連するコンピュータ内でインスタンス化されるサービス作成エンジンSCEによって実行され、前記サービス要求が、単一のフォームに入力されるデータを介して提供される、請求項1に記載の方法。保護されるネットワークが、セキュアな企業ネットワーク、セキュアイントラネット、単一のサードパーティネットワークの1つまたは複数の部分、および複数のサードパーティネットワークの1つまたは複数の部分のうちの少なくとも1つを含む、請求項7に記載の方法。前記要求が、トンネリングされるトラフィックフローに関連するシグナリングパラメータおよびポリシを含むトンネルテンプレートに関連し、前記ポリシが、特定のIPアドレスと対応するサービスとの間の関連付けを含む、請求項1に記載の方法。プロセッサによって実行される時に、保護されないネットワークインフラストラクチャ上でセキュアサービス層を生成する方法であって、所望のIPSecサービスに関連するサービス要求を受信することであって、サービス要求情報が、少なくとも保護されるセキュアネットワークの識別を含む、受信することと、セキュアゲートウェイSEGとしての使用のために境界デバイスを含む少なくとも1つのルーティングデバイスを選択することと、境界デバイスの第1の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、境界デバイスの第2の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応する終端されたセキュアトラフィックを適切にグループ化するためにインターフェースを作成することであって、各グループが、それぞれのカプセル化識別子に関連する、作成することとを含む方法を実行するソフトウェア命令を含む、コンピュータ可読媒体。非セキュアネットワークに関連するトラフィックを受け入れる第1の複数のポートと、セキュアネットワークに関連するトラフィックを受け入れる第2の複数のポートと、第1の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供するように適合され、第2の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスに適合され、セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応するセキュアトラフィックを適切にグループ化するためにインターフェースを作成するように適合された境界デバイスであって、各グループが、それぞれのカプセル化識別子に関連する、境界デバイスとを含む、セキュアゲートウェイSEG。従来技術のさまざまな欠陥は、非セキュアネットワークインフラストラクチャを介してセキュアネットワークインフラストラクチャを提供する実施形態によって対処される。さまざまな実施形態は、セキュアネットワークインフラストラクチャ、特定の顧客要件、さまざまなビジネス方法論などに適合されたセキュアゲートウェイSEG実施形態の素早いプロビジョニングを提供する。さまざまな実施形態は、レベル3L3仮想プライベートネットワーキングVPNサービス、仮想プライベートルーティッドネットワークVPRN:VirtualPrivateRoutedNetwork、IESInternetEnhancedServiceサービス、および/または他のサービスなど、非セキュアネットワークを介してセキュアネットワークにアクセスするユーザのアクセスポイントの間のセキュアトンネリングをサポートするのに必要なサービスを使用可能にするために、既存の非セキュアネットワーク環境内の要素を構成するように動作する。構成された時に、セキュアネットワークたとえば、企業ネットワークは、インターネットなどの非セキュアネットワークを介して企業ネットワークにアクセスするユーザに関して保護されるたとえば、企業ネットワークまたは他のセキュアネットワークへのIPSec接続。セキュアゲートウェイSEG実施形態では、境界デバイスに関連するルータは、セキュアネットワークに対するセキュアクライアントとして動作し、さまざまなユーザは、ルータに対するセキュアクライアントとして動作する。この形で、ユーザに関連するIPSecトラフィックは、セキュアネットワークに関連する終端点ではなく、セキュアゲートウェイの境界デバイスで終端される。セキュアネットワーク内での複数のユーザIPSecトンネルの終端を回避することによって、ネットワークのセキュリティが高められ、プロビジョニングの複雑さが減らされ、企業ネットワークは、既存のサービスおよびプロトコルたとえば、L2VPNを保持することができる。本発明の教示を、添付図面に関連する次の詳細な説明を考慮することによってたやすく理解することができる。理解を容易にするために、複数の図面に共通する同一の要素を指定するのに、可能な場合には同一の符号を使用した。本発明を、主に特定の実施形態の環境で説明するが、本明細書の教示によって情報を得た当業者は、本発明が他の技術分野および/または実施形態に適用可能でもあることに気付くであろう。一般的に言って、さまざまな実施形態は、セキュアネットワーキングサービスが必要になる時にそのようなサービスを提供するために、プロビジョニングされたネットワークトランスポート層の上でのセキュアインフラストラクチャ層たとえば、IPSecインフラストラクチャ層の構築に関連するプロビジョニングおよび監視を使用可能にし、サポートし、かつ/または改善する。さまざまな実施形態は、SecureSocketsLayerSSL仮想プライベートネットワークVPN、動的マルチポイントVPNDynamicMultipointVPN、オポチュニスティックエンクリプションOpportunisticEncryptionなどの環境で適用可能でもある。1つまたは複数の非セキュアコアネットワークおよび/または非セキュアアクセスネットワークを介するセキュアな企業ネットワークへのアクセス、ビデオオンデマンドVODおよび他のテレビジョン/放送サービスの提供などを含む、そのようなサービスから利益を得るさまざまな実施形態をも議論する。さまざまな実施形態は、既存のおよび将来の有線および/または無線のIPネットワークあるいはIPタイプの制御プロトコルを使用するネットワークを含む、IPSecトンネリングなどのセキュアネットワーキング技法をサポートする任意のアクセスネットワーク環境またはコアネットワーク環境での使用に適する。たとえば、ロングタームエボリューションLTE関連環境通常はeNodeBを介してアクセスされるに関して本明細書で説明されるさまざまなシステム、装置、方法論、機能、プログラム、トポロジなどは、デジタル加入者回線DSL、ケーブルモデム、ならびに他の既存のおよび将来のアクセス技術を介してアクセスされるものなどの他の環境にも適用可能である。本発明者は、MME、SGW、PCRFDSC、および/またはPGWなど、他のさまざまなLTEコンポーネントが、本発明によるセキュアトンネルを使用することもできることも企図している。一般的に言って、LTEネットワークまたは他のネットワークの任意のコンポーネントは、セキュリティゲートウェイSEGを介して保護されたトンネルを有することから利益を得ることができる。とはいえ、この機能性の最も一般的なクライアントになるのがeNodeBであることは確かである。さまざまな実施形態は、レベル3L3仮想プライベートネットワーキングVPNサービス、2547bisなどの仮想プライベートルーティッドネットワークVPRN:VirtualPrivateRoutedNetworkサービス、IESInternetEnhancedServiceサービス、および/または他のサービスなど、非セキュアネットワークを介してセキュアネットワークにアクセスするユーザのアクセスポイントの間のセキュアトンネリングをサポートするために必要なサービスを使用可能にするために既存の非セキュアネットワーク環境内の要素を構成するように動作する。構成された時に、セキュアネットワークたとえば、企業ネットワークは、インターネットなどの非セキュアネットワークを介して企業ネットワークにアクセスするユーザに関して保護されるたとえば、企業ネットワークまたは他のセキュアネットワークへのIPSec接続。セキュアゲートウェイSEG実施形態では、境界デバイスに関連するルータは、セキュアネットワークに対するセキュアクライアントとして動作し、さまざまなユーザは、ルータに対するセキュアクライアントとして動作する。この形で、ユーザに関連するIPSecトラフィックは、セキュアネットワークに関連する終端点ではなく、セキュアゲートウェイの境界デバイスで終端される。セキュアネットワーク内での複数のユーザIPSecトンネルの終端を回避することによって、ネットワークのセキュリティが高められ、プロビジョニングの複雑さが減らされ、企業ネットワークは、既存のサービスおよびプロトコルたとえば、L2VPNを保持することができる。セキュアインフラストラクチャ層の提供一般的に言って、さまざまな実施形態は、1つまたは複数の非セキュアコアネットワークおよび/または非セキュアアクセスネットワークを介するセキュアな企業ネットワークへのアクセスを提供するなど、セキュアネットワーキングサービスが必要になる時にそのようなサービスを提供するために、プロビジョニングされたネットワークトランスポート層の上でのIPSecインフラストラクチャ層などのセキュアインフラストラクチャ層の構築に関連するプロビジョニングおよび監視を使用可能にし、サポートし、かつ/または改善する。本明細書で説明するさまざまな実施形態は、既存のおよび将来の有線および/または無線のIPネットワークあるいはIPタイプの制御プロトコルを使用するネットワークを含む、IPSecトンネリングなどのセキュアネットワーキング技法をサポートする任意のアクセスネットワーク環境またはコアネットワーク環境での使用に適する。たとえば、ロングタームエボリューションLTE関連環境eNodeBを介してアクセスされるに関して本明細書で説明されるさまざまなシステム、装置、方法論、機能、プログラム、トポロジなどは、デジタル加入者回線DSL、ケーブルモデム、ならびに他の既存のおよび将来のアクセス技術を介してアクセスされるものなどの他の環境にも適用可能である。さまざまな実施形態は、レベル3L3仮想プライベートネットワーキングVPNサービス、仮想プライベートルーティッドネットワークVPRN:VirtualPrivateRoutedNetworkサービス、IESInternetEnhancedServiceサービス、および/または他のサービスなど、非セキュアネットワークを介してセキュアネットワークにアクセスするユーザのアクセスポイントの間のセキュアトンネリングをサポートするのに必要なサービスを使用可能にするために、既存の非セキュアネットワーク環境内の要素を構成するように動作する。構成された時に、セキュアネットワークたとえば、企業ネットワークは、インターネットなどの非セキュアネットワークを介して企業ネットワークにアクセスするユーザに関して保護されるたとえば、企業ネットワークまたは他のセキュアネットワークへのIPSec接続。セキュアゲートウェイSEG実施形態では、境界デバイスに関連するルータは、セキュアネットワークに対するセキュアクライアントとして動作し、さまざまなユーザは、ルータに対するセキュアクライアントとして動作する。この形で、ユーザに関連するIPSecトラフィックは、セキュアネットワークに関連する終端点ではなく、セキュアゲートウェイの境界デバイスで終端される。セキュアネットワーク内での複数のユーザIPSecトンネルの終端を回避することによって、ネットワークのセキュリティが高められ、プロビジョニングの複雑さが減らされ、企業ネットワークは、既存のサービスおよびプロトコルたとえば、L2VPNを保持することができる。図1に、一実施形態による単純化されたアーキテクチャを示す。具体的には、図1の単純化されたアーキテクチャ100は、2人のユーザが非セキュアネットワークを介するそれぞれのセキュアパスを介してお互いと通信し、各セキュアパスが、保護されないネットワークのアクセスポイントで開始され、ユーザの間のセキュアパスをこれによって形成するためにユーザを接続するように動作するセキュアな企業ネットワークで終端される、より大きいネットワーク図示せずの一部を表す。図1を参照すると、第1のユーザ1101は、それぞれのアクセスデバイス1201を介して第1の非セキュアネットワーク8301にアクセスし、第2のユーザ1102は、それぞれのアクセスデバイス1202を介して第2の非セキュアネットワーク1302にアクセスする。トラフィックは、第1のアクセスデバイス1201と第1のルーティングデバイス1401との間で第1の非セキュアネットワーク8301内の1つまたは複数のリンク/パスによって、および第2のユーザ1102と第2のルーティングデバイス1402との間で第2の非セキュアネットワーク8302内の1つまたは複数のリンク/パスによってトランスポートされる。ユーザデバイス110によってアクセスされる非セキュアネットワーク130のタイプに応じて、対応するアクセスデバイス120は、デジタル加入者回線DSL、ケーブルモデム、eNodeB、または他のアクセスデバイスもしくはアグリゲーションポイントを含むことができる。ルーティングデバイス140のそれぞれは、非セキュアネットワーク130からのトラフィックを終端し、セキュアネットワーク140からのトラフィックを終端し、終端されたトラフィックを非セキュアネットワーク130とセキュア140ネットワークとの間で適切にブリッジするために、境界デバイス142または類似する終端/ブリッジング機構を含むかこれに関連する。ルーティングデバイス140は、ルーティング、ブリッジング、および/または本明細書で説明する他の機能を提供できる任意のルータ、スイッチングデバイス、またはその組合せを含むことができる。一実施形態では、ルーティングデバイス140は、IPSec境界カード142をその中に設置されたAlcatel-Lucent7750サービスルータを含む。したがって、一実施形態では、ユーザデバイスのそれぞれは、それぞれのアクセスデバイス120と、たとえばそれぞれのルータ内のそれぞれのIPSec境界カードの、非セキュア側との間のリンクを介して通信する。IPSec境界カードのセキュアネットワーク側は、セキュアな企業ネットワークを介してお互いと通信する。セキュアネットワーク内を移動するパケットは、それを通って移動するためにIPSecトンネリングを必要としない。一般的に言って、セキュアな企業ネットワークは、トラフィックをトランスポートするのにL3VPNまたは他のセキュアインフラストラクチャを利用し、その結果、企業ネットワーク内のそのようなトラフィックのさらなる暗号化が不要になる実際に、さらなる暗号化は、暗号化されたパケットを読取り不能にする可能性がある。非セキュアネットワークを介して移動するパケットは、さまざまなトランスポート層ハードウェア、ソフトウェア、プロトコルなどによってサポートされるIPSecセッション暗号化されたを介して伝えられる。境界デバイス142は、L3VPN、VPRNなどを使用する非セキュアネットワークを介するセキュア暗号化されたサービスを作成/終端するのに使用される。すなわち、セキュアIPSecセッションが、ユーザデバイスそれ自体のそれぞれのIPアドレスを有すると境界デバイスやはりそれ自体のそれぞれのIPアドレスを有するとの間で作成される。この形で、境界デバイスは、一例として、セキュアな企業ネットワーク内のユーザまたはセキュアな企業ネットワークの外部のユーザたとえば、図1の第2のユーザへの伝搬のために、非セキュアネットワークを介して提供されるセキュア暗号化されたサービスからセキュアな企業ネットワークにパケットを通信する。オプションで、境界デバイスは、セキュアIPSecセッションのためのInternetEnhancedServiceIESをもサポートする。境界デバイス142は、図2に関して下でより詳細に説明する。図1は、非セキュアネットワーク130を管理する管理機能を提供する管理システムMS170をも示す。MS170は、任意の適切な形で非セキュアネットワーク130と通信することができる。図1のMS170としての使用に適する例示的な管理システムを、下で示し、図5に関して説明する。図1では、破線が、暗号化されたIPSecセッションのパスを表す。第1のユーザと第2のユーザとの両方が、それぞれのルーティングデバイス140で終端するそれぞれの暗号化されたIPSecセッションに関連することに留意されたい。境界デバイスは、オプションで、そうでなければパケットが理解できないものになる可能性があるので、パケットをセキュアネットワークに渡す前に、パケットから暗号化をはぎとる。図1は、2つのユーザだけを示すが、3人以上のユーザがお互いと通信していることができ、各ユーザが2人以上の他のユーザと通信していることができることを了解されたい。図1は、それぞれのアクセスデバイス120を介してそれぞれの非セキュアネットワーク130にアクセスする各ユーザ110を示すが、ユーザは、実際には、それぞれのまたは共通のアクセスデバイスによって共通の非セキュアネットワークにアクセスしている可能性がある。さらに、3G/4G/xGネットワーク、ローカル802.11xネットワーク、またはホットスポットにアクセスするモバイルデバイスユーザなど、ユーザは、複数の非セキュアネットワークに同時にアクセスすることができる。図1は、ユーザ110とルーティングデバイス140との間の単一の非セキュアネットワークを示すが、さまざまな実施形態では、ユーザトラフィックが、アクセスネットワークおよびコアネットワークを介するなど、複数の非セキュアネットワークを介してトランスポートされる。1つまたは複数のユーザを、一例としてセキュアゲートウェイSEGとして動作する1つまたは複数のルーティングデバイス140を介してセキュアネットワークに接続できることに留意されたい。さらに、さまざまな実施形態では、ルーティングデバイス140のうちの1つまたは複数を、複数のネットワークからアクセス可能とすることができる。たとえば、さまざまな実施形態では、図1に関して本明細書で示される保護されないネットワーク130の両方が、ルーティングデバイス140の両方にアクセスすることができる。特定の保護されないネットワーク130が、コストの考慮事項に基づいて特定のルーティングデバイス140を選ぶ場合があるが、複数のルーティングデバイス140にアクセスする能力は、さまざまな実施形態の環境で冗長性および/または回復力を提供する。さまざまな実施形態では、Alcatel-Lucent社のヴァーサタイルサービスモジュールversatileservicemodule:VSMが、サービスの相互接続を可能にするのに使用される。上で説明した実施形態は、セキュアネットワーク140へのセキュアゲートウェイとして動作するルーティングデバイスによってサポートされる。たとえば、境界デバイスを含むルータたとえば、複数の境界カード、スイッチングモジュールなどを有する7750ルータを、サービスプロバイダネットワーク内に設置された時に本明細書で説明されるさまざまなセキュアトランスポート機能および管理機能を提供し、および/またはサポートするセキュリティゲートウェイ製品として構成することができる。図2に、一実施形態による例示的なセキュリティゲートウェイSEGを示す。具体的には、図2は、入出力インターフェース210と表される第1の複数の入出力インターフェース、スイッチングファブリック220、境界デバイス230、および第2の複数の入出力インターフェース240を含むセキュリティゲートウェイ200を示す。さまざまな実施形態に従ってプロビジョニングされる時に、セキュリティゲートウェイSEG200は、本明細書で議論されるさまざまな実施形態の環境で終端、ルーティング、およびブリッジング機能性を提供する。すなわち、暗号化されたユーザトラフィックは、非セキュアネットワーク130を介して、境界デバイス230の第1の部分230Aで終端されるIPSecトンネルを介してセキュリティゲートウェイ200へ/からトランスポートされる。暗号化されていないユーザトラフィックは、セキュアネットワーク150を介してセキュリティゲートウェイ200へ/からトランスポートされ、境界デバイス230の第2の部分230Bで終端される。図2の実施形態では、境界デバイス230の第1の部分および第2の部分は、それぞれの第1の境界カード230Aおよび第2の境界カード230Bを含む。他の実施形態では、単一の境界カードが使用される。他の実施形態では、さらに他の境界デバイス機構が使用される。たとえば、図2は、一例としてHA内に展開された2つの境界カードおよび負荷平衡化モードの使用を示すが、より多数またはより少数の境界カードを、さまざまな実施形態の環境で使用することができる。具体的には、単一の境界カードが、非セキュアネットワークサービスをセキュアネットワークサービスに接続することができる。たとえば、入口IPsecインターフェースと出口IPsecインターフェースとの両方が、同一の境界デバイスまたは境界カード上にあることができる。というのは、さまざまな実施形態において、これらのIPsecインターフェースが、単にIPSecサービスをサポートするための必要な機能性を提供する仮想インターフェースであるからである。第1の複数の入出力インターフェースは、入出力インターフェース2101、2102、2103から210Nと表され、ここで、入出力インターフェースのそれぞれは、複数の入口ポート、出口ポート、バッファなど図示せずを含む。暗号化されたユーザトラフィックは、第1の複数の入出力インターフェース210と境界デバイス230の第1の部分230Aとの間で、一例としてスイッチングファブリック220の第1の部分2201を介して通信される。第2の複数の入出力インターフェースは、入出力インターフェース2401、2402、2403から240Mと表され、ここで、入出力インターフェースのそれぞれは、複数の入口ポート、出口ポート、バッファなど図示せずを含む。暗号化されていないユーザトラフィックは、第2の複数の入出力インターフェース210と境界デバイス230の第2の部分230Bとの間で、一例としてスイッチングファブリック220の第2の部分2202を介して通信される。図2の実施形態では、スイッチングファブリック220は、境界デバイス230とそれぞれ第1の複数の入出力インターフェース210および第2の複数の入出力インターフェース220との間でトラフィックを切り替えるための第1の部分および第2の部分を含むものとして図示されている。スイッチングファブリック220を、別々の部分なしで実施することができ、かつ/または完全に省略することができる。たとえば、さまざまな実施形態では、非常に少数の第2の複数の入出力インターフェースが使用される。というのは、SEG200を、非常に少数のセキュアネットワークの必要たとえば、特定の位置の複数の企業クライアントのために働くために展開できるからである。境界デバイス230の第1の部分230Aで終端されるIPSecトンネルを介する暗号化されたユーザトラフィックをサポートするためには、前に注記したL3VPN、IES、VPRNなど、そのようなIPSecトンネリングを使用可能にするプロトコルをサポートするように境界デバイスを構成することが必要である。図3に、非セキュアトランスポートインフラストラクチャを介してセキュアトランスポートインフラストラクチャを自動的にプロビジョニングする方法の流れ図を示す。図3の方法300を、サービス要求または顧客たとえば、サービスプロバイダの非セキュアネットワークと通信しているセキュアネットワークを有する企業顧客にセキュアサービスを提供する必要の他の表示に応答してトリガすることができる。ステップ310では、保護のためにセキュアネットワークを選択する。たとえば、図1および2を参照すると、セキュアネットワーク150は、サービスプロバイダの企業顧客に関連する企業ネットワークを含むことができる。この場合に、企業顧客は、1つまたは複数のユーザに企業ネットワークへのセキュアアクセスを与えることを望み、ここで、1つまたは複数のユーザは、非セキュアネットワークを介してアクセスする。保護されるセキュアネットワークは、顧客サービス要求内に含まれる、サービス要求内のプロファイル情報に含まれる、運用職員によって直接に入力されるなどとすることができる。ステップ320では、セキュアゲートウェイSEGを選択する。たとえば、図1および2を参照すると、企業ネットワーク150に近接し、境界デバイス142を有するルーティングデバイス140を、セキュアゲートウェイ200としてのプロビジョニングのために選択することができる。四角325を参照すると、使用のために選択される特定のSEGは、複数の使用可能なIPSec対応ゲートウェイデバイスのうちの1つを含むことができる。SEGを、次の判断基準のうちの1つまたは複数に従って自動的に選択することができる:コストたとえば、最短パスまたは他の尺度に関する最低のコスト、顧客への近接度、サービスプロバイダへの近接度、利用レベル使用可能帯域幅または処理リソース、および/または他の判断基準。セキュアゲートウェイSEGとして使用される特定のゲートウェイを選択するさまざまな他の機構を使用することもできる。NOC実施形態では、潜在的なSGのリストを、選択を助けるために上の判断基準に関してオペレータに視覚的に提示することができる。ステップ330では、1つまたは複数のSG内の1つまたは複数のIPSecカードまたはIPSecグループなどの1つまたは複数の境界デバイスを、セキュアネットワークを保護する際の使用のために選択する。複数の境界デバイスを使用して、冗長性、回復力を提供し、または他の形で大きい帯域幅のトラフィックを処理することができる。ステップ340では、L3VPNサービスなどのセキュアネットワーキングサービスを選択し、作成し、または他の形で提供して、選択された境界デバイスたとえば、IPSecカードおよびセキュアネットワークを接続する。選択され、作成され、または他の形で提供されるサービスは、境界カード230の第2の部分230Bなど、境界デバイス130のうちでセキュアネットワークに面する部分に関連する。たとえば、セキュアネットワーク150が、L3VPN以外の何かたとえば、L2VPNを介して選択されたゲートウェイデバイスに結合される場合には、IPSec機能性/インフラストラクチャをセキュアネットワーク150に接続できるように、適切なL3VPNサービスが作成される。ステップ350では、IPSecクライアントなどのセキュアクライアントによる使用のためのパブリックIPアドレスをホスティングするためのIES、VPN、および/またはVPRNサービスなどのサービスを選択し、作成し、または他の形で提供する。IES、VPN、および/またはVPRNサービスによってホスティングされるパブリックIPアドレスは、IPSecクライアントによって、IPSecトンネルの作成を開始するのに使用される。選択され、作成され、または他の形で提供されるサービスは、境界カード230の第1の部分230Aなど、境界デバイス130のうちで非セキュアネットワークに面する部分に関連する。たとえば、ユーザデバイス110は、IPSecトンネルを終端するのに使用されるアドレスを必要とし、このアドレスは、境界カードの第1の部分に関連するIES、VPN、および/またはVPRNサービスによって提供される。ステップ360では、保護されるネットワークが適切なトンネルを介して適切なユーザからパブリックトラフィックを受信し、トラフィックを適切なトンネルを介して適切なユーザに伝えるように、単一グループ内で非セキュアネットワークのパブリックトラフィックおよび保護されるネットワークに関連するセキュアトラフィックを対にしまたは関連付けるために、IPSecインターフェースを作成する。パブリックトラフィックは、境界デバイスのうちで非セキュアネットワークに面する部分で終端されるIPSecトンネルによって伝えられ、プライベートトラフィックは、境界デバイスのうちでセキュアネットワークに面する部分で終端されるトラフィックを含む。セキュアネットワークに関連するトラフィックを伝えるこれらのIPSecトンネリングされるパスは、セキュアネットワークトラフィックパスと共にグループ化される。ステップ370では、異なるサービス対保護された、分散;保護された、パブリックに関連する識別されたトラフィックを分離できるようにするために、各サービス対にそれぞれのカプセル化識別子を関連付ける。この形で、パブリック/プライベートパスは、セキュアネットワークの適切なユーザまたは許可されたユーザにセキュアパブリックアクセスを提供するために、境界デバイスを介してブリッジされる。さまざまな実施形態では、グループは、境界カードを束ねるように動作し、この動作は、IPsecグループの環境で作成されるIPsecインターフェースにIPsec機能性を与える。さまざまな実施形態では、1つはパブリック、1つはプライベートの、グループごとに2つのIPsecインターフェースがある。この2つのインターフェースでのカプセル化は、1つのパブリックL3VPNとプライベートL3VPNとのバインディングのために一致しなければならない。このカプセル化は、単一のIPsecインターフェース対への複数のサービスバインディングの割当を可能にするたとえば、あるネットワークまたはユーザから別のネットワークまたはユーザへのトラフィックを分離するためのポートでのVLANの提供など。図3の方法300は、サービスプロバイダの企業顧客または他の顧客によって所有されるセキュアネットワークへのアクセスをサービスプロバイダによって自動的に提供できるプロビジョニング機構を提供する。動作時に、非セキュアネットワーク内の多数のアクセスポイントがセキュアネットワークにアクセスすることを許可することができる。これらのアクセスポイントのそれぞれは、セキュアトンネルを介して任意のSEGへおよび任意のSEGからトラフィックを通信する。さまざまな実施形態では、複数のSGを使用して、セキュアネットワークを保護することができる。これらの実施形態では、さまざまなアクセスポイントのそれぞれが、特定のSEGに関連付けられ、各SEGを、さまざまなアクセスポイントからの1つまたは複数のトンネルを終端するのに使用することができる。いくつかの実施形態では、特定のユーザに関連する特定のSEGは、ユーザのサービス品質の必要、ユーザに関連するサービスレベル契約servicelevelagreement、ユーザと保護されたネットワークとの間のトラフィックのタイプ、ユーザの特定のアクセスデバイスなどに従って選択される。ルータの中には、非常に大きい容量/帯域幅SEG機能を提供できるものと、セキュアネットワークを保護するために穏当な容量だけを提供できるものとがある。いくつかの実施形態では、特定の境界デバイス能力、帯域幅能力などを有する特殊目的ルータが、本明細書で論ずるようにセキュアインフラストラクチャの素早いインスタンス化または構築を素早く提供できるように、サービスプロバイダ顧客のセキュアネットワークに近接して展開されることも、企図されている。さまざまな実施形態では、ステップ340、360、および/または370は、特定のサービスの存在、既に使用中のカプセル化識別または関連付けの、余分な容量を有する境界デバイスまたは境界サブデバイスたとえば、IPsecモジュールまたはIPsecカードなどのリソース可用性に基づいて、自動的に呼び出される。セキュアトンネルの作成またはプロビジョニングのためにオペレータからの特定の入力が不要になるように、これらのステップを、本明細書で説明されるものなどのserviceawaremanagerSAM、トラフィックフローがそれによってセキュアトンネルと保護されたネットワークなどとの間で流れる機構を介して自動化することができる。コンテンツプロバイダ実施形態一実施形態では、コンテンツプロバイダは、特定の時刻にセキュアIPSecパスを介してユーザにコンテンツを配信するたとえば、クライアントDVRデバイスに補給するNetflix。ユーザにコンテンツを供給するために必要なIPSecパスをサポートするIPSecインフラストラクチャは、加入者ベースが変化する時に変化する。周期的に、コンテンツプロバイダは、サービス作成エンジンにネットワーク管理システムを介してサービス要求を送信し、この要求は、特定の地理的区域内のユーザにコンテンツをストリーミングするための追加のIPSecパスの要求など、サービス作成エンジンが要求されたサービスに対処するためにIPSecインフラストラクチャを適合させることをもたらす。テレビジョン/ビデオ/ビデオオンデマンドVOD卸売実施形態図4に、テレビジョン、ビデオ、および/またはVODサービスをリモート位置に配信するシステムの高水準ブロック図を示す。具体的には、図4のシステム400は、そうでなければ大規模コンテンツ配布企業ケーブル企業、テレコム企業などによってサービスされない比較的小さい市場が、媒介企業または卸売企業を介してそのようなサービスを受けることができる機構を提供する。具体的には、複数のケーブルアクセス地域410のそれぞれが、さまざまな地理的領域に散在する。ケーブルアクセス地域410のそれぞれは、それぞれの複数のユーザデバイス110に関連する。図4を参照すると、第1のケーブルアクセス地域4101は、複数のユーザデバイス1101、1102から110Nのために働くものとして図示されている。ユーザデバイス110は、セットアップボックス、無線ネットワーク、またはケーブルアクセス地域410内の機器を介してアクセスを得ることができる任意の他のユーザデバイスタイプを含むことができる。ケーブルアクセス地域410のそれぞれは、ネットワーク430へのアクセスを提供するアクセスポイント420と通信する。さまざまな実施形態では、ネットワーク430は、任意のタイプの物理層光、電気、マイクロ波などによって伝えられるパブリックIPネットワークを含む。ネットワーク430は、境界デバイス442を含むセキュリティゲートウェイSEG440と通信する。SEG440は、その中にテレビジョン、ビデオ、および/またはVODサービスプロバイダに関連する高価な機器を含むセキュアネットワーク450と通信する。たとえば、図4には、セキュリティゲートウェイ440が保護されたネットワーク150を介してヘッドエンド460と通信することが示されている。ヘッドエンド460は、衛星テレビジョン送信システム474地上テレビジョン送信システム480の一方または両方に関連するダウンリンク機構などを含む。SEG440は、図1-3に関して上で説明したものに類似する形で動作する。図4に関して示された卸売ビデオサービスアーキテクチャの環境では、SEG440は、セキュアネットワーク450に関連する出費を減らすために、地理的にヘッドエンド460に近接して配置される。図4の卸売ビデオアーキテクチャは、離れた卸売ケーブルテレビジョン購入者たとえば、小規模メトロポリタンシステムオペレータにサービスする1つまたは複数のスイッチ/ルータ一例として、サービスルータに保護されたネットワーク通信を提供することによって、高価な機器設置ケーブルテレビジョンヘッドエンドなどの数を減らすように動作する。具体的には、ケーブルテレビジョンヘッドエンドは、ローカル記憶用の放送ビデオ、放送テレビジョン、ビデオ番組などを地上テレビジョン送信器および衛星テレビジョン送信器の一方または両方から受信する。ヘッドエンドは、上で議論したセキュアな企業ネットワークに似て、保護されたネットワークを介してSEG440と通信する。このネットワークは、ファイヤウォールおよびさまざまな他のセキュリティコンポーネントを含む。SEG440は、一例として、コストを減らすためにヘッドエンドから短い距離に配置される。SEG440は、より小さい卸売業者またはユーザ/加入者110でさえも、複数一例として3つのケーブルテレビジョンエンドポイント410のそれぞれと通信する。SEG440、アクセスポイント、およびケーブルテレビジョンエンドポイントの間の距離は、非常に大きい場合があり、1つまたは複数のパブリックネットワークを通過する場合などがある。一般的に言って、SEG440とケーブルテレビジョンエンドポイントとの間でビデオサービスを提供するようになされた特定のトランスポート層インフラストラクチャを、パブリック/保護されないものとすることができる。コンテンツセキュリティを保つために、IPSecインフラストラクチャは、ケーブルテレビジョンエンドポイントをサポートするために1つまたは複数のセキュアIPSecパスまたはセキュアIPSecセッションを提供するように構成される。セキュアIPSecパスのプロビジョニングおよび監視を、上で説明したものなどのネットワーク管理ソフトウェア/ハードウェアによって実行することができる。単一フォームプロビジョニング実施形態さまざまな実施形態では、サービスプロバイダは、一例としてネットワークオペレーションズセンタNOCのユーザ端末のグラフィカルユーザインターフェース内の1つまたは複数のウィンドウと対話するオペレータを介して顧客用のサービスをプロビジョニングする。そのようなサービスを効率的に提供するために、一実施形態は、保護されるセキュアネットワークに関連する最小限の量のデータだけすなわち、セキュアネットワークの識別が提供される単一フォーム入力を企図する。もう1つの実施形態は、保護されるセキュアネットワークがその中で提供される顧客要求に応答した、そのようなサービスの自動プロビジョニングを企図する。したがって、さまざまな実施形態は、IPSecシステムを構成するのに必要な複数のステップのそれぞれに関連する複数の構成フォームではなく、単一の構成フォームを使用してIPSecシステムを構成する能力を提供する。この形で、ネットワーク運用職員の通常の時間のかかる対話が回避され、ここで、各対話は、通常、データ入力用の特定のフォームに関連するたとえば、ネットワーク機器、リンクなどを選択し、プロビジョニングするフォーム、冗長性機能のためのグループを提供するフォーム、セキュアサービスを提供するフォーム、暗号化鍵ポリシを構成するフォームなど。一実施形態では、NOCユーザは、一例として、セキュアIPSec確立フォームが提供されるグラフィカルユーザインターフェースをサポートするコンピュータ端末で、さまざまな実施形態による方法を呼び出す。このフォームは、入力として、所望のセキュアIPSec機能性に関連するさまざまな判断基準を受け入れる。第1に、保護されるネットワークに関する選択を行うたとえば、企業ネットワーク、イントラネット、インターネット、ネットワークの単一のまたは複数の賃借される部分など。第2に、所望のセキュアIPSec機能性をサポートするのに使用される選択されたネットワークへの特定の入口点またはアクセスポイントに関する選択を行う。これらの入口点は、一例として、保護されるネットワークたとえば、図1のセキュアネットワークまたは企業ネットワークとアクセスネットワークまたはコアネットワークたとえば、図1の非セキュアネットワークまたはサービスプロバイダネットワークとの間のブリッジたとえば、ルータを含むことができる。その代わりに、デフォルトアクセスポイントを使用することができる。リモートの従業者の環境でそのセキュアな企業ネットワークを使用することを望む企業は、各従業者のアクセスポイントまたはよりありうることにはN人の従業者ごとのアクセスポイントを含むサービス要求を提供することができ、ここで、Nは、1より大きいが従業者の総数より小さい整数である。一般に、すべてのユーザが同時にリモートネットワークにアクセスすることが必要ではない限り、リモートユーザごとに1つのアクセスポイントを提供する必要はない。さまざまなアクセスポイントの物理的位置は、リモートユーザのいそうな位置に適合される。リモートユーザが広い地理的領域全体に散在する場合に、1つの物理的位置にすべてのアクセスポイントを割り当てることには利益がない。この場合に、地理的に離れた領域のリモートユーザは、アクセスポイントに達するだけのために1つまたは複数のアクセスネットワークを使用することを強制され、これは、確かに、経験の質を下げ、おそらくは非セキュアパブリックネットワークにオーバーレイされるセキュアIPSecインフラストラクチャを介するセキュアな企業ネットワークのアクセスのコストを増やす。従業者をサポートするセキュアIPSecトンネルは、従業者を境界カードに接続するのに必要なネットワークが何であれ、それを通って走る。第3に、ブリッジング機構と通信できるパブリックまたはプライベートのアクセスポイントまたはアクセスポイントタイプ、ならびにそのような通信をサポートするプロトコルその他など、使用されるIPSecプロビジョニングのタイプに関する選択を行う。代替案では、デフォルトIPSecプロビジョニングを使用することができる。保護について選択されたネットワークならびにすべてのアクセスポイント、IPSecプロビジョニング情報、または他の情報は、その後、IPSecインフラストラクチャを生成するためにサービス作成エンジンによって処理される。生成されるIPSecインフラストラクチャを、実施の前に、最適化し、全体的にまたは部分的に妥当性検査し、または他の形で洗練することができる。サービス作成エンジンSCE実施形態一実施形態は、さまざまなプロファイル情報たとえば、選択された保護されるネットワーク、ネットワーク入口点、およびタイプIPSecプロビジョニングを含むサービス要求に応答して、IPSecインフラストラクチャ/サービス層全体を作成するサービス作成エンジンSCEを含む。サービス作成エンジンは、アプリケーションのために適合されたさまざまなIPSecトンネルまたは動的VPNトンネルでの使用のために構成された使用可能な相互接続パブリック/プライベートを検査する、さまざまなプロビジョニングアルゴリズムを呼び出すなどを行う。サービス作成エンジンは、どのサービスが保護されるのか、およびどのノードがクライアントまたは企業への所望のアクセスを提供するのに必要であるのかを判定する。サービス作成エンジンによって作成されるIPSecインフラストラクチャ/サービス層は、オプションで、作成されたIPSec層の1つまたは複数の部分がサービスプロバイダによって制御されるネットワーク機器を通過する時など、分析のためにサービスプロバイダに提供される。サービスプロバイダは、必須の機器を追加し、スケーリングし、または他の形で更新する要求、暗号化および鍵交換のアルゴリズム、暗号化鍵など、作成されたIPSecインフラストラクチャ/サービス層を満足するのに必要な機器を識別するために、サービス作成エンジンの出力を分析する。トンネルテンプレートは、トランスポートパケットの暗号化/暗号化解除を可能にするのに使用されるさまざまなシグナリングパラメータを含むことができる。さらに、特定の範囲内のIPアドレスを対応する特定のサービスに割り当て、これによってこれらのIPアドレスを特定のサービスにマッピングするなど、さまざまなルール/ポリシが、トラフィックフローを管理するのに使用される。さらに、IPSecトンネルの断片的使用を使用して、サービスゲートウェイSEG内の帯域幅またはスイッチング容量など、さまざまなサービスのために予約された容量を管理することができる。さまざまな実施形態では、顧客は、セットアップされる保護されたサービスに関連するさまざまなプロファイル情報を含むサービス要求をネットワークプロバイダに提供する。プロファイル情報は、実質的に上で説明した通りであり、保護される企業サーバのアイデンティティ、保護されるサービスに関して使用されるアクセスポイント、使用されるプロトコル、使用される暗号化鍵などを含むことができる。それに応答して、サービス作成エンジンは、サービス要求を満足する際に使用される保護されたIPSecインフラストラクチャを自動的に生成するためにサービス要求を処理する。生成されるインフラストラクチャに関連する仮定が適切であることを保証するために、生成される保護されたIPSecインフラストラクチャの出所が、中間サービスプロバイダによるさらなる分析を必要とする場合がある。仮定が適切ではない場合に、サービスプロバイダは、生成される保護されたIPSecインフラストラクチャのどの部分が実行可能ではないのかの提案できればまたは少なくとも表示で応答する。さまざまな実施形態では、SCEは、所望のIPSecサービスに関するパラメータたとえば、プロファイルを受け取り、これに応答して、基礎になる通信チャネルトランスポート層のプロビジョニングおよびプロビジョントランスポート層上での適切なIPSecインフラストラクチャのレイヤリングを実施する。この実施形態は、顧客がそれへのアクセスを提供することを望むネットワークたとえば、セキュアな企業ネットワークまたはイントラネットと、リモートユーザの数、ユーザがネットワークにアクセスするための特定のアクセスポイントその他など、そのアクセスに関連するさまざまなパラメータとを定義するサービス要求を顧客が提供できる、自動化されたシステムまたは半自動化されたシステムを提供する。SCEを自律モードで使用して、受け取られたパラメータに応答してプロビジョニングプランを提供することができる。SCEを、単一フォーム入力画面現在使用されている複数画面/フォームに対してを介して、たとえばネットワークオペレーションズセンタユーザ内で対話モードで使用することができる。ネットワークマネージャソフトウェアは、IPSecインフラストラクチャの仮定が、他のたとえばサードパーティの所有するネットワーククラウドなどのさまざまなパラメータについて適切であるか否かを判定するために、中間ネットワーククラウドに関連する管理ソフトウェアと相互作用することができる。他の置換も企図されている。さまざまな実施形態は、SCE自体、NOCユーザによって利用されるソフトウェア、SEC、ユーザ、プロファイルの間の相互作用を含む方法論、および/または他のネットワーククラウドに関連するサードパーティ管理ソフトウェアを含む。IPSecインフラストラクチャ監視実施形態セキュアIPSecインフラストラクチャの作成/プロビジョニングの後に、この方法のもう1つの実施形態は、事前監視モードに入る。この実施形態では、さまざまな通信システムまたは管理システムたとえば、LTEシステムを管理する、Alcatel-Lucent社によって製造されるServiceAwareManagerLucentSAMの環境でなど、各パスに関連するさまざまなネットワーク要素およびリンクが既知である。本明細書で論ずるさまざまな管理機能を、改善されたネットワーク管理機能を提供できるように、各パスおよび/またはIPSecトンネルに関連するトランスポート層要素を相関させるために諸実施形態の環境で使用することができる。この形で、特定の保護されたIPSecインフラストラクチャパスに関連するサービスの劣化を使用して、そのパスに必要なネットワーク要素またはリンクのどれがサービスを劣化させたのかを識別することができる。同様に、特定のネットワーク要素またはリンクに関連するサービスの劣化を使用して、悪い劣化したネットワーク要素またはリンクに相関された保護されたIPSecインフラストラクチャパスのどれが問題を経験する可能性があるのかを識別することができる。障害アクセスポイント、リンク、またはネットワーク要素などでのに応答して、カプセル化するエンティティは、障害をセキュアIPSecパスおよび/またはそのパスをサポートする送信層要素のうちの1つまたは複数に自動的に相関させる。カプセル化するエンティティおよび管理機能、境界カードを含むスイッチまたはルータ、サービスアウェアマネージャserviceawaremanager:SAMなど。さらに、影響分析が、他のセキュアIPSecパスおよび/または送信層要素が障害を発生しまたは劣化したかどうかを判定するために実行される。オプションで、ネットワークプローブまたはテストベクトルが、劣化しまたは障害を発生している可能性がある特定のセキュアIPSecパス、モバイルサービス、ネットワーク要素、リンクなどを識別するために実行される。これらのテストは、リアルタイムでネットワーク性能を測定し、ネットワーク劣化がより大きい問題または障害をもたらす前に、そのような劣化のエラー条件または他の指示を上げる。さまざまな実施形態では、プロビジョニングされたIPSecインフラストラクチャは、潜在的なサービスの劣化または障害を示すエラー条件または他の異常が検出されるかどうかを判定するために監視される。この監視は、受動的な性質を有するものとすることができ、ここでは、エラー条件、アラーム条件などが、発生時にネットワーク管理システムに送信され、電気管理システムが適切な訂正アクションを行う。この監視は、能動的な性質を有するものとすることができ、ここでは、テストベクトルおよび/または他の監査する機構が、今まさに起ころうとしているエラー条件を識別しようとしてトランスポート層要素をテストしまたは働かせるのに利用される。たとえば、増やされた帯域幅利用を引き起こすテストベクトルを使用して、1つまたは複数のセキュアIPSecパスをサポートするさまざまなコンポーネントにストレスをかけて、帯域幅利用の増加がサービスの劣化をもたらすか否かを判定することができる。図5に、さまざまな実施形態での使用に適する例示的管理システムを示す。図5に示されているように、MS500は、プロセッサ510、メモリ520、ネットワークインターフェース530N、およびユーザインターフェース530Iを含む。プロセッサ510は、メモリ520、ネットワークインターフェース530N、およびユーザインターフェース530Iのそれぞれに結合される。プロセッサ510は、さまざまな図に関して上で論じた保護されないネットワーク130など、ネットワーク130のさまざまな管理機能を提供するために、メモリ520、ネットワークインターフェース530N、ユーザインターフェース530I、およびサポート回路540と協働するように適合される。メモリ520は、一般的に言って、ネットワーク130のさまざまな管理機能を提供する際の使用のために適合されたデータおよびツールを格納する。メモリは、ディスカバリエンジンDE521、ディスカバリデータベースDD522、相関エンジンCE523、パスデータベースPD524、アナライザツールANT525、監査ツールAUT526、トレースツールTT527、サービス作成エンジンSCE528、およびサービスデータベースSD529を含む。オプションで、公平性管理ツールFMT方法が提供される図示せず。一実施形態では、DE521、CE523、ANT525、AUT526、TT527、SCE528、およびSD529は、本明細書で図示され説明されるさまざまな管理機能を実行するためにプロセッサたとえば、プロセッサ510によって実行できるソフトウェア命令を使用して実施される。ディスカバリデータベースDD522およびパスデータベースPD524は、それぞれ、メモリ520のエンジンおよびツールのさまざまな1つおよび/または組合せによって生成され、使用される可能性があるデータを格納する。DD522およびPD524を、単一のデータベースに組み合わせることができ、あるいは、それぞれのデータベースとして実施することができる。組み合わされたデータベースまたはそれぞれのデータベースのいずれかを、当業者に既知の配置のいずれかで単一のデータベースまたは複数のデータベースとして実施することができる。エンジン、データベース、およびツールのそれぞれがメモリ120内に格納される実施形態に関して図示され、説明されるが、当業者は、エンジン、データベース、および/またはツールを、MS500の内部および/またはMS500の外部の1つまたは複数の他のストレージデバイス内に格納できることを了解するであろう。エンジン、データベース、および/またはツールを、MS500の内部および/または外部の任意の適切な個数および/またはタイプのストレージデバイスにまたがって分散させることができる。メモリ520のエンジン、データベース、およびツールのそれぞれを含むメモリ520を、本明細書でさらに詳細に説明する。ネットワークインターフェース530Nは、ネットワーク130との通信を容易にするように適合される。たとえば、ネットワークインターフェース530Nは、ネットワーク130から情報たとえば、ネットワークのトポロジを判定する際の使用のために適合されたディスカバリ情報、ネットワーク130に対してMS500によって開始されたテストの結果など、ならびにMS500によって実行される管理機能をサポートしてネットワーク130からMS500によって受信できる任意の他の情報を受信するように適合される。同様に、たとえば、ネットワークインターフェース530Nは、ネットワーク130に情報たとえば、ネットワークのトポロジを判定する際のMS500による使用のために適合された情報を発見するためのディスカバリ要求、ネットワーク130の諸部分を監査する監査要求など、ならびにMS500によって実行される監査機能をサポートしてMS500によってネットワーク130に送信できる任意の他の情報を送信するように適合される。ユーザインターフェース530Iは、1つまたは複数のユーザがネットワーク130の管理機能を実行することを可能にするために、1つまたは複数のユーザワークステーション一例として、ユーザワークステーション550との通信を容易にするように適合される。通信は、ユーザワークステーション550への通信たとえば、MS500によって生成された像を提示するためおよびユーザワークステーション550からの通信たとえば、情報がユーザワークステーション550を介して提示される、ユーザ対話を受信するためを含む。主にMS500とユーザワークステーション550との間の直接接続として図示され、説明されるが、ユーザワークステーション550をMS500に近接してたとえば、MS500とユーザワークステーション550との両方が、ネットワークオペレーションズセンタNOC内に配置される場合などまたはMS500から離れてたとえば、MS500とユーザワークステーション550との間の通信を長距離にわたってトランスポートできる場合など配置できるように、MS500とユーザワークステーション550との間の接続を、任意の適切な基礎になる通信能力を使用して提供できることを了解されたい。主に本明細書では1つのユーザワークステーションに関して図示され、説明されるが、任意の個数のユーザが、ネットワーク130の管理機能を実行できるようにたとえば、NOCの専門家のチームが、ネットワーク130のさまざまな管理機能を実行するためにそれぞれのユーザワークステーションを介してMS500にアクセスする場合など、MS500が、任意の適切な個数のユーザワークステーションと通信できることを了解されたい。主にユーザワークステーションに関して図示され、説明されるが、ユーザインターフェース530Iが、MS500を介してネットワーク130を管理する際の使用に適する任意の他のデバイスとの通信をサポートするように適合されていてもよいことを了解されたいたとえば、1つまたは複数の共通のNOCディスプレイ画面上にMS500によって生成された像を表示するため、リモートコンピュータを介するユーザによるMS500へのリモート仮想プライベートネットワークVPNアクセスを可能にするためなど、ならびにそのさまざまな組合せ。管理システムとの対話を介して管理機能を実行するためのユーザワークステーションの使用は、当業者によって理解されるであろう。本明細書で説明するように、メモリ520は、メモリは、ディスカバリエンジンDE521、ディスカバリデータベースDD522、相関エンジンCE523、パスデータベースPD524、アナライザツールANT525、監査ツールAUT526、トレースツールTT527、サービス作成エンジンSCE528、サービスデータベースSP529、およびオプションで公平性管理ツールFMT方法図示せずを含む。本明細書で図示され説明されるさまざまな管理機能を提供するために協働するDE521、DD522、CE523、PD524、ANT525、AUT526、TT527、およびFMT528。本明細書では主にメモリ520のエンジン、データベース、および/またはツールのうちの特定の1つによっておよび/またはこれを使用して実行される特定の機能に関して図示され説明されるが、本明細書で図示され説明される管理機能のいずれをも、メモリ520のエンジン、データベース、および/またはツールのうちの任意の1つまたは複数によっておよび/またはこれを使用して実行できることを了解されたい。エンジンおよびツールを、任意の適切な形でアクティブ化することができる。一実施形態では、たとえば、エンジンおよびツールを、ユーザワークステーションを介してユーザによって開始される手動要求に応答して、MS500によって開始される自動化された要求に応答してなど、ならびにそのさまざまな組合せでアクティブ化することができる。たとえば、エンジンまたはツールが自動的にアクティブ化される場合に、エンジンまたはツールを、スケジューリングされた要求に応答して、MS500で実行される処理に基づいてMS500によって開始される要求に応答してたとえば、CE523によって生成された結果が、ANT525を呼び出さなければならないことを示す場合など、ANT525によって実行された監査の結果が、TT527を呼び出さなければならないことを示す場合など、TTによって実行されたモバイルセッションパストレースの結果が、FMT528を呼び出さなければならないことを示す場合など、ならびにその組合せアクティブ化することができる。MS500のエンジン、データベース、およびツールの説明を、これに続ける。一実施形態では、自動的にトリガされたエンジンまたはツールが、コンピューティングリソースまたは他のリソースをしきいレベルを超えて消費し始める場合に、そのエンジンまたはツールの後続の自動トリガリングは、制約される。この実施形態では、ネットワークマネージャまたは運用職員がエンジンまたはツールの直接制御または手動制御を引き受けられるように、制約された自動トリガリング条件を示すアラームまたはステータスインジケータが、ネットワークマネージャに提供される。包括的ネットワーク実施形態上で説明した実施形態は、レベル3L3仮想プライベートネットワーキングVPNサービス、VPRN、IES、および/または他のサービスなど、非セキュアネットワークを介してセキュアネットワークにアクセスするユーザのアクセスポイントの間でセキュアトンネリングをサポートするのに必要なサービスを使用可能にするために、既存の非セキュアネットワーク環境内の要素を構成するように動作する。構成された時に、セキュアネットワークたとえば、企業ネットワークは、インターネットなどの非セキュアネットワークを介して企業ネットワークにアクセスするユーザに関して保護されるたとえば、企業ネットワークまたは他のセキュアネットワークへのIPSec接続。セキュアゲートウェイSEG実施形態では、境界デバイスに関連するルータは、セキュアネットワークに対するセキュアクライアントとして動作し、さまざまなユーザは、そのルータに対するセキュアクライアントとして動作する。この形で、ユーザに関連するIPSecトラフィックは、セキュアネットワークに関連する終端点ではなく、セキュアゲートウェイの境界デバイスで終端される。セキュアネットワーク内での複数のユーザIPSecトンネルの終端を回避することによって、ネットワークのセキュリティが高められ、プロビジョニングの複雑さが減らされ、企業ネットワークは、既存のサービスおよびプロトコルたとえば、L2VPNを保持することができる。さまざまな実施形態は、複数のネットワーク環境のいずれの中でも動作可能である。一般的に言って、さまざまな実施形態は、後続のディスカバリ機能および構成機能を含むさまざまな管理機能をより効率的に実施できるように、非セキュアネットワーク内のトランスポート層要素が発見され、構成され、これらのトランスポート層要素によってサポートされるパスと相関される機構をサポートするシステム、装置、方法論、機能、プログラム、トポロジなどを提供する。LTEネットワーク実施形態を使用する詳細な実施例さまざまな実施形態を、これからLTEネットワークの環境で説明する。具体的には、ネットワーク分析機能、故障分析機能、監査機能、トレーシング機能、公平性または帯域幅管理機能などを含むさまざまな管理機能をLTE関連ネットワーク環境に関して詳細に説明する。本教示によって情報を与えられた当業者は、LTE関連ネットワーク環境に関して本明細書で説明されるシステム、装置、方法論、機能、プログラム、トポロジなどが、上で説明したさまざまなネットワークなどの他のネットワーク環境ならびに他のタイプのネットワーク、システム、トポロジなどにも適用可能であることを了解するであろう。LTEの実施例を使用するパスおよびトランスポート層要素の相関さまざまな実施形態は、トランスポート層要素とそれらがサポートするIPSecパスとの間の既知の相関を利用する。本明細書の説明に従うIPSec関連管理機能、ツール、方法、装置、システムデータ構造などの提供など、IPSecに関して本明細書で説明するさまざまな実施形態のいずれをも、お互いおよび下で説明するさまざまな実施形態のいずれかと任意の形で組み合わせることができる。管理能力は、第4世代4GロングタームエボリューションLTE無線ネットワークを管理するために提供される。管理能力は、アナライザツール、監査ツール、トレースツール、実施ツールなど、ならびにその組合せのうちの1つまたは複数を含むことができる。本明細書では主に4GLTE無線ネットワーク内での管理機能の提供の環境で図示され、説明されるが、本明細書で図示され説明される管理機能を、他のタイプの無線ネットワーク内で利用できることを了解されたい。図6に、一実施形態による管理システムを含む例示的な無線通信システムを示す。具体的には、図6は、複数のユーザ機器UEまたはユーザデバイスUD602、ロングタームエボリューションLTEネットワーク610、IPネットワーク630、および管理システムMS640を含む例示的な無線通信システム600を示す。LTEネットワーク610は、UE602とIPネットワーク630との間の通信をサポートする。MS640は、図5のMS500に関して説明され、本明細書でさらに説明されるものなどのLTEネットワーク610のさまざまな管理機能をサポートするように構成される。UE602は、LTEネットワーク610などの無線ネットワークにアクセスできる無線ユーザデバイスである。UE602は、ベアラセッションをサポートする制御シグナリングをサポートすることができる。UE602を、電話機、PDA、コンピュータ、または任意の他の無線ユーザデバイスとすることができる。LTEネットワーク610は、例示的なLTEネットワークである。LTEネットワークの構成および動作は、当業者によって理解されるであろう。例示的なLTEネットワーク610は、2つのeNodeB6111および6112集合的にeNodeB611、2つのサービングゲートウェイSGW6121および6122集合的にSGW612、パケットデータネットワークPDNゲートウェイPGW613、2つの移動管理エンティティMME6141および6142集合的にMME614、ならびにPolicyandChargingRulesFunctionPCRF615を含む。eNodeB611は、UE602に無線アクセスインターフェースを提供する。SGW612、PGW613、MME614、およびPCRF615ならびに明瞭さのために省略されている他のコンポーネントは、IPを使用するエンドツーエンドサービス配信をサポートする進化型パケットコアEvolvedPacketCore:EPCネットワークを提供するために協働する。eNodeB611は、UE602の通信をサポートする。図6に示されているように、各eNodeB611は、それぞれの複数のUE602をサポートする。eNodeB611とUE602との間の通信は、UE602のそれぞれに関連するLTE-Uuインターフェースを使用してサポートされる。SGW612は、eNodeB611の通信をサポートする。図6に示されているように、SGW6121は、eNodeB6111の通信をサポートし、SGW6122は、eNodeB6112の通信をサポートする。SGW612とeNodeB611との間の通信は、それぞれのS1-uインターフェースを使用してサポートされる。S1-uインターフェースは、ベアラごとのユーザプレーントンネリングおよびハンドオーバ中のeNodeB間パススイッチングをサポートする。PGW613は、SGW612の通信をサポートする。PGW613とSGW612との間の通信は、それぞれのS5/S8インターフェースを使用してサポートされる。S5インターフェースは、PGW613とSGW612との間の通信のユーザプレーントンネリングおよびトンネル管理、UEモビリティに起因するSGW再配置などの機能を提供する。S8インターフェースは、S5インターフェースのPublicLandMobileNetworkPLMN変形形態であるが、ビジタPRLMVPRLM内のSGWとホームPLMNHPLMN内のPGWとの間のユーザプレーンおよび制御プレーンの接続性を提供するPLMN間インターフェースを提供する。PGW613は、LTEネットワーク610とIPネットワーク630との間のSGiインターフェースを介する通信を容易にする。MME614は、UE602のモビリティをサポートするモビリティ管理機能を提供する。MME614は、eNodeB611をサポートする。MME6141は、eNodeB6111をサポートし、MME6142は、eNodeB6112をサポートする。MME614とeNodeB611との間の通信は、それぞれのS1-MMEインターフェースを使用してサポートされ、このS1-MMEインターフェースは、MME614とeNodeB611との間の通信の制御プレーンプロトコルを提供する。PCRF615は、動的管理能力を提供し、それによってサービスプロバイダがLTEネットワーク610を介して提供されるサービスに関連するルールおよびLTEネットワーク610を介して提供されるサービスの課金に関連するルールを管理できる。図6に示されているように、LTEネットワーク610の要素は、要素の間のインターフェースを介して通信する。LTEネットワーク610に関して説明されるインターフェースを、セッションと称する場合もある。LTEネットワーク610は、進化型パケットシステム/ソリューションEvolvedPacketSystem/Solution:EPSを含む。一実施形態では、EPSは、EPSノードたとえば、eNodeB611、SGW612、PGW613、MME614、およびPCRF615と、EPS関連相互接続性たとえば、Sインターフェース、Gインターフェースなどを含む。EPS関連インターフェースを、本明細書ではEPS関連パスと称する場合がある。IPネットワーク630は、それを介してUE602がコンテンツ、サービスなどにアクセスできる1つまたは複数のパケットデータネットワークを含む。MS640は、LTEネットワーク610を管理する管理機能を提供する。MS640は、任意の適切な形でLTEネットワーク610と通信することができる。一実施形態では、たとえば、MS640は、IPネットワーク630を通過しない通信パス641を介してLTEネットワーク610と通信することができる。一実施形態では、たとえば、MS640は、IPネットワーク630によってサポートされる通信パス642を介してLTEネットワーク610と通信することができる。通信パス641および642を、任意の適切な通信能力を使用して実施することができる。図6のMS640としての使用に適する例示的な管理システムが、図5に関して図示され、説明されている。図6は、さらに、例示的なモバイルサービス601に関連するパスを示す。図6に示されているように、例示的なモバイルサービス601は、eNodeB1111、SGW1121、PGW113、eNodeB1111とSGW1121との間のS1-uインターフェース、SGW1121とPGW113との間のS5/S8インターフェース、PGW113とIPネットワーク130との間のSGiインターフェース、eNodeB1111とMME1141との間のS1-MMEインターフェース、SGW1121とMME1141との間のS1-uインターフェース、およびPGW113とPCRF115との間のS7インターフェースを含む。例示的なモバイルサービス601は、図6では実線表現を使用してマークされている。オプションの実施形態は、たとえば、MME1141およびPCRF115を含むことができる。EPSパスIPSecインフラストラクチャ相関図6に関して前に注記したように、LTEネットワーク110のさまざまな実施形態は、EPSノードたとえば、eNodeB111、SGW112、PGW113、MME114、およびPCRF115を有するEvolvedPacketSystem/SolutionEPSインフラストラクチャおよびEPS関連相互接続性たとえば、Sインターフェース、Gインターフェースなどを含む。この本開示の環境で、EPS関連インターフェースを、本明細書ではEPS関連パスまたは単にパスと称する。このインフラストラクチャは、ネットワークサービスプロバイダによって提供される無線サービスをサポートする適切なおよび必要なEPSノードを提供するために構築される。ネットワークサービスプロバイダは、消費者の期待と一致する形でそのサービス提供をその無線/モバイルユーザに提供するためにネットワークを管理する。たとえば、無線/モバイルユーザたとえば、さまざまな音声、データ、または他のサービス提供を購入する、標準電話機、スマートホン、コンピュータなどのユーザは、ほぼ完全な電話/音声サービス、ほぼ完全なデータサービス、欠陥のないストリーミングメディアなどを期待する。彼ら自体のユーザのためにサービスバンドルを購入するサードパーティサービスプロバイダは、同一のものならびにさまざまなネットワークの間でインターオペラビリティを提供する管理レベルインターフェースおよび他の機構を期待する。顧客期待は、仮定されるまたは期待されるサービスのレベル、サービスレベル契約SLAで定義されるサービスのレベルなどを含むことができる。さまざまな実施形態は、各EPS関連相互接続がその機能性をサポートするのに必要な特定のインフラストラクチャに相関されるネットワーク管理システムおよびツールを対象とする。すなわち、EPS関連パスごとに、障害を発生するか劣化する場合に関連するEPS関連パスの障害または劣化をもたらすネットワーク要素、部分要素、リンクなどを含む、そのパスをサポートするのに必要な特定のインフラストラクチャへの関連付けが行われる。どのトラフィックフローまたはパスが、必要なサポート要素として要素、部分要素、またはリンクを含むのかを理解することによって、ネットワーク管理システムは、どのトラフィックフローまたはパスが、特定の要素、部分要素、またはリンクの劣化/障害によって影響を受けるのかを知ることができる。さらに、ネットワーク管理システムは、どのIPSecトンネルが特定のトラフィックフローまたはパスの劣化/障害によって影響を受けるのかを知ることができる。これは、他所でより詳細に論ずるように、分析ツールの環境で特に有用である。同様に、どのIPSecトンネル、トラフィックフロー、またはパスが障害を発生しまたは劣化したのかを理解することによって、ネットワーク管理システムは、どの要素、部分要素、またはリンクがそのIPSecトンネル、トラフィックフロー、またはパスをサポートするのに必要であるのかを識別することができる。この形で、ネットワークマネージャは、障害を発生しまたは劣化したIPSecトンネル、トラフィックフロー、またはパスに関連する障害を発生/劣化した要素部分要素、部分要素、および/またはリンクを識別することの複雑さを減らす。これは、本明細書で詳細に論ずるように、トレースツールの環境で特に有用である。相関の環境で、管理システムは、ネットワーク要素または部分要素の間の接続ごとにサービス表現を作成することができる。さまざまな実施形態では、物理レベルたとえば、ケーブルまたは他の物理レベルリンクまたはサービスレベルたとえば、一般化されたクラウドまたは他のサービスレベルリンクの一方または両方のポートの間で、接続が設けられる。1つの物理レベル接続実施形態では、第1のネットワーク要素NE上のポートまたは他の部分要素が障害を発生する場合に、第2のNE上の対応するまたは接続されたポートまたは他の部分要素は、リンクダウンステータスLLDPを示す。この形で、第2のNEは、第1のNEの障害を知る。他の物理レベル接続実施形態では、そのような知ることが、ルータもしくはスイッチおよび/またはそのさまざまな部分要素など、隣接するネットワーク要素の環境で提供される。1つのサービスレベル実施形態では、第1のNE上のポートまたは他の部分要素を、第2のNE上のポートまたは他の部分要素に直接にまたは1つもしくは複数NEの1つもしくは複数のポートまたは他の部分要素すなわち、第1のNEと第2のNEとの間の複数ホップを介して接続することができる。この実施形態では、第1のNEまたはいずれかの中間NE上のポートまたは他の部分要素が障害を発生するか劣化する場合に、管理システムは、NEのシーケンス内の最後のNEの動作ステータスに起因して、障害/劣化が存在することを知らない場合がある。しかし、本明細書で論ずる管理技法およびツールに起因して、ネットワークマネージャは、最初のまたは中間の障害/劣化を知らされる。この挙動のさまざまな原因は、輻輳、ローカル/地域再ルーティングなどを含む。短く言うと、ステータスインジケータは緑適切な動作を示すであるが、ネットワークのこの部分の性能が、制約されるか劣化している。この制約されたまたは劣化したネットワーク動作は、本明細書で論ずるさまざまな実施形態によって相関され、示される。ディスカバリツール/機能ディスカバリエンジンDE521は、一般に、LTEネットワーク110に関する情報を発見するネットワークディスカバリ機能を提供するように適合される。一般的に言って、DE521は、下でより詳細に述べるように、ネットワークを形成する要素および部分要素に関する構成情報、ステータス/動作情報、および接続情報が収集され、取り出され、推論され、かつ/または生成される、ディスカバリプロセスを実行する。LTEネットワーク内の基礎になる要素、部分要素、およびリンクが、ローカルネットワーク適合、再ルーティング、障害、劣化、スケジューリングされた保守などに起因して経時的に変化し得るという点で、ディスカバリプロセスを動的とすることができる。したがって、ネットワーク変化がANT525、AUT526、TT527、およびFMT528によって検出されるか引き起こされた後に、DE521を呼び出すことができる。第1のディスカバリレベルでは、ネットワーク管理システムNMSは、任意のレガシデータベース情報を使用して、管理されるネットワークを形成するさまざまな要素および対応する部分要素を発見する。すなわち、このディスカバリの一部は、管理されるネットワークの全体的な青写真を提供する既存データベース情報の使用を含む。そのようなデータベース内の情報は、ネットワークを形成する主要な機能要素、ネットワーク内で確立される主要なパイプまたは導管などに関連する情報を含む。そのような情報が、極端に詳細である場合があるが、その情報は、パスレベルネットワーク動作を反映しない。第2のディスカバリレベルでは、ネットワーク管理システムは、管理されるネットワーク内のネットワーク要素のそれぞれに、構成情報、ステータス/動作情報、および接続情報を要求する。要求される情報は、さまざまなトラフィックフローをサポートする、ネットワーク要素内の特定のスイッチ、ポート、バッファ、プロトコルなどを判定する際に有用な情報を含む。ネットワーク管理システムは、ネットワーク要素と部分要素との間の可能な接続および管理されるネットワーク内の接続を推論するために、既存のデータベース情報を利用することもできる。たとえば、既存のデータベース情報を、接続されたネットワーク要素の間のトラフィックフローをサポートできる、その接続されたネットワーク要素のシーケンスを示すものと解釈することができる。しかし、既存のデータベース情報は、さまざまなトラフィックフローをサポートするネットワーク要素内の受信/送信されるパケットなどの特定のスイッチ、ポート、バッファ、プロトコル、アドレス情報を識別する情報を含まない可能性が高い。構成情報は、ネットワーク要素、ネットワーク要素の機能および/または構成、ネットワーク要素を形成する部分要素の機能および/または構成などを識別する情報を含む。構成情報は、一例として、ネットワーク要素のタイプ、ネットワーク要素によってサポートされるプロトコル、ネットワーク要素によってサポートされるサービスなどを識別する情報を含むが、これに限定されない。構成情報は、一例として、ネットワーク要素を形成する部分要素に関連する入力ポート、スイッチ、バッファ、および出力ポートなど、ネットワーク要素内のさまざまな部分要素に添付する情報を含む。ステータス/動作情報は、ネットワーク要素および/またはネットワーク要素を形成する部分要素の動作状態に関連するステータス/動作情報を含む。ステータス/動作情報は、一例として、パケットカウント、利用レベル、コンポーネント合格/不合格表示、ビットエラー率BERなどのメトリックに関する情報を含む動作ステータス/アラームインジケータを提供する情報を含むが、これに限定されない。接続情報は、ネットワーク要素またはその部分要素から受信されたデータのソース、ネットワーク要素またはその部分要素によって送信されるデータの宛先、その他など、ネットワーク要素および/または部分要素の間の接続を確かめまたは推論する際に有用な情報を含む。すなわち、接続情報は、ネットワーク要素によって提供される、ネットワーク要素の主観的な観点からの情報である。ネットワーク要素は、必ずしも、そこからパケットを受信するネットワーク要素またはそれに向かってパケットを送信するネットワーク要素を具体的に識別する情報を有しない。接続情報は、一例として、受信されたパケットに関連するソースアドレス情報、送信されるパケットに関連する宛先アドレス情報、パケットフローに関連するプロトコル情報、パケットフローに関連するサービス情報、ディープパケットインスペクション結果データなどを含むが、これに限定されない。第3のディスカバリレベルでは、ネットワーク管理システムは、発見された情報を使用して、ネットワークのインフラストラクチャを形成する要素、部分要素、およびリンクのそれぞれ、ならびにそれらのそれぞれのさまざまな相互接続を表す詳細なフレームワークを形成する。一般的に言って、DE521は、LTEネットワーク110に関連する任意の適切な情報を発見し、この情報は、本明細書では集合的にディスカバリ情報と呼ばれる場合があり、構成情報、ステータス/動作情報、および接続情報にさらに分割される。さまざまな実施形態では、DE521は、LTEネットワーク110のコンポーネントと、LTEネットワーク110のコンポーネントに関連した情報、そのようなネットワーク要素EPCネットワーク要素、非EPCネットワーク要素など、ネットワーク要素の部分要素たとえば、シャシー、トラフィックカード、制御カード、インターフェース、ポート、プロセッサ、メモリなど、ネットワーク要素を接続する通信リンク、ネットワーク要素の間の通信をサポートするインターフェース/セッションたとえば、LTE-Uuセッション、Sセッションなど、基準点、機能、サービスなど、ならびにその組合せに関連する情報とを発見する。DE521は、LTEネットワーク110のネットワーク要素たとえば、eNodeB111、SGW112、PGW113、MME114、PCRF115などのEPCネットワーク要素、EPCネットワーク要素の間のセッションを介する通信を容易にする非EPCネットワーク要素など、ならびにその組合せを発見することができる。DE521は、LTEネットワーク110のネットワーク要素たとえば、ディスカバリが実行されるネットワーク要素のタイプに依存するものとすることができる、シャシー構成、ラインカード、ラインカード上のポート、プロセッサ、メモリなどに関連するネットワーク要素構成情報を発見することができる。DE521は、インターフェース/セッション情報たとえば、LTE-Uuセッションに関連する情報、Sセッションに関連する情報など、ならびにその組合せを発見することができる。DE521は、LTEネットワーク110の基準点を発見することができる。DE521は、機能、サービスなど、ならびにその組合せを発見することができる。DE521は、LTEネットワーク110に関連する、本明細書で図示され説明されるさまざまな管理機能の提供での使用に適するか適する可能性がある任意の他の情報を発見することができる。DE521は、任意の適切な形でたとえば、任意の適切なソースから、任意の適切な時に、任意の適切なプロトコルを使用して、任意の適切なフォーマットでなど、ならびにその組合せLTEネットワーク110に関連する情報を発見することができる。発見された情報は、ネットワーク運用職員および/または他のユーザによる素早い取出を容易にするために、ディスカバリデータベースDD522など、1つまたは複数のデータベース内に格納される。DD522は、当業者によって理解されるように、任意の適切なフォーマットでディスカバリ情報を格納することができる。DD522は、CE523による使用のために、およびオプションでそれぞれの管理機能を提供するためのANT525、AUT526、TT527、およびFMT528のうちの1つまたは複数による使用のために、ディスカバリ情報のリポジトリを提供する。相関エンジンツール/機能相関エンジンCE523は、本明細書で図示され説明される管理機能をサポートするのに使用される情報の相関を提供する。CE523は、発見されたネットワーク要素機能、部分要素機能、およびリンク機能を顧客サービスをサポートする特定の顧客トラフィックフローおよび/またはパスに相関させるために、一例としてDE521によって提供され、DD522内に格納された、構成情報、ステータス/動作情報、および/または接続情報を利用する。すなわち、ネットワーク内の要素、部分要素、およびリンクのそれぞれとそれらのさまざまな相互接続とを表すフレームワークを使用して、CE523は、各顧客サービス、トラフィックフロー、および/またはEPSパスを、顧客サービス、トラフィックフロー、および/またはパスをサポートするのに必要な特定の要素、部分要素、およびリンクに相関させる。相関プロセスは、任意の所与のパスについて、そのパスをサポートする基礎になる要素、部分要素、およびリンクが、ローカルネットワーク適合、再ルーティング、障害、劣化、スケジューリングされた保守などに起因して経時的に変化する可能性があるという点で、動的とすることができる。したがって、ネットワーク変化がANT525、AUT526、TT527、およびFMT528のいずれかによって検出されまたは引き起こされた後に、CE523を呼び出すことができる。CE533は、各顧客サービス、トラフィックフロー、および/またはパスに関連する必要なサポートするインフラストラクチャの現在の表現を維持するように動作する。この表現を提供することによって、顧客サービスの障害または劣化に対応する労力の焦点を、影響を受ける顧客サービスをサポートする特定の要素、部分要素、およびリンクの機能に合わせることができるたとえば、トレースツールTT527を使用することによって。同様に、要素、部分要素、およびリンク機能の障害または劣化に応答する労力の焦点を、影響を受ける要素、部分要素、およびリンク機能によってサポートされる特定の顧客および/またはサービスに合わせることができる。通常、特定の要素内の部分要素の小さいサブセットだけが、特定のパスをサポートするのに必要である。したがって、ある要素内の他の部分要素に関連する障害は、その特定のパスに影響しない。各パスに、そのパスをサポートするのに必要な要素だけを相関させることによって、個々のパスを管理することに関連する処理/ストレージの重荷が、必須でない特定のパスの観点から要素に関連する処理/ストレージ要件を回避することによって減らされる。一実施形態では、CE523は、LTEネットワーク110のパスをサポートする基礎になるトランスポート要素を判定するために、ディスカバリデータベースDD522内に格納されたディスカバリ情報を処理し、その後にパスデータベースPD524内に格納することができる。一実施形態では、CE523によって判定されPD524に格納されるパス相関されたトランスポート要素情報は、LTEネットワーク110のEPS関連パスを含む。一般に、EPS関連パスは、2つのEPS基準点の間のピアリング関係を表すトランスポート機構であるパスであり、ここで、EPS基準点は、4G仕様に存在するプロトコルのうちの1つまたは複数を実施するたとえば、GTP、PMIP、または任意の他の適切なプロトコルなど、ならびにその組合せを使用してLTEネットワーク110の任意のノードの終端点である。パス相関されたトランスポート要素情報は、ネットワーク要素、通信リンク、サブネット、プロトコル、サービス、アプリケーション、層、およびその任意の部分を含むことができる。これらのトランスポート要素を、ネットワーク管理システムまたはその諸部分によって管理することができる。ネットワーク管理システムは、単に、これらのトランスポート要素を知ることができる。一実施形態では、CE523によって判定されPD524に格納されるパス相関されたトランスポート要素情報は、他のタイプのパスたとえば、EPS関連パス以外のパスを含む。たとえば、他のタイプのパスは、次のうちの1つまたは複数を含むことができる:1EPS関連パスの副部分を形成するパスたとえば、EPS関連パスが基礎になる通信技術を使用してサポートされる場合に、EPS関連パスの副部分を形成するパスを、基礎になる通信技術に関連するパスとすることができる、2複数のEPS関連パスを含むパスたとえば、S1-uセッションとS5/S8セッションとの両方を通過するeNodeBからPGWへのパス、LTE-UuセッションとS1-uセッションとの両方を通過するUEからSWGへのパスなど、3エンドツーエンドモバイルセッションパスたとえば、UEとIPネットワークとの間のパス。CE523によって判定されPD524に格納されるパス相関されたトランスポート要素情報は、さまざまなタイプのパスと相関された他の情報を含むことができる。CE523によって判定されPD524に格納されるパス相関されたトランスポート要素情報を、任意の適切な処理を使用して判定することができる。CE523は、LTEネットワーク110の発見されたコンポーネントの間で直接相関を行うように適合される。CE523は、LTEネットワーク110の発見されたコンポーネントの間の関連に関する推論を行うように適合される。一実施形態では、その中でCE523が動作するネットワークマネージャは、異なるEPSパスS1-uを含むのピアリングに関連する情報の実質的にすべてを含む。そのピアリング情報から、CE523は、パスの各端のノードを識別でき、その後、対応する隣接するノードを識別しまたは検査することができる。隣接ノード情報から、CE523は、次に、隣接するノードの次のグループを識別しまたは検査することができ、以下同様である。相関エンジンは、管理されるネットワーク要素からのパスを発見した時に、そのパスを処理し始める。相関エンジンは、パスの発見時に、そのパスをサポートするさまざまなインフラストラクチャ要素、部分要素、およびリンクを計算し、推論し、かつ/または他の形で発見する。一実施形態では、SGW内の初期S1-u基準点が発見される。任意の基準点またはS-ピアが発見される時に、次いで対応するS-パスが形成される。CE523によって判定されたパスは、任意の適切なパス情報をそれに関連付けさせることができる。一実施形態では、たとえば、EPS関連パスに関連するパス情報は、EPS関連パスをサポートする基礎になる通信能力を示すすべての情報を含むことができる。たとえば、EPS関連パスのパス情報は、EPS関連パスの端点を形成するS基準点を識別する情報、そのパスをサポートするネットワーク要素たとえば、ルータ、スイッチなどを識別する情報、そのパスをサポートするネットワーク要素上のポートを識別する情報、そのパスをサポートするIPインターフェースを識別する情報、そのパスをサポートするIPインターフェースの構成を指定する情報、そのパスをサポートするネットワーク要素のポートの構成を指定する情報たとえば、管理構成、動作構成などなど、ならびにその組合せを含むことができる。さまざまな実施形態では、パスは、共通の要素、部分要素、リンク、サービス、プロバイダ、サードパーティサービス借主などに従って論理構造内で一緒にグループ化される。バンドルは、共通の端点要素、始点要素など、共通の要素を共有するパスの論理グループ化とすることができる。この環境では、バンドリングは、共通の要素の障害によって影響を受けるパスのすべてを識別するのに有用である。すなわち、共通のタイプの複数の他のネットワーク要素からの、特定のネットワーク要素で終端する複数のパスを、バンドルまたはグループと定義することができる。実施例は、SGWxと通信しているeNodeB要素のすべて、ここで、SGWxは、特定のSGWを表すまたはPGWxと通信しているSGWのすべてここで、PGWxは、特定のPGWを表すを含む。上記および他のバンドルまたはグループを定義して、それらが接続される共通のネットワーク要素または部分要素に関して同様の位置を与えられているネットワーク要素または部分要素の素早い識別を可能にすることができる。相関された情報は、ネットワーク運用職員および/または他のユーザによる素早い取出を容易にするために、パスデータベースPD524などの1つまたは複数のデータベース内に格納される。PD524は、CE523によって判定されたパス相関されたトランスポート要素情報を格納する。PD524は、パス相関されたトランスポート要素情報および関連するパス情報を任意の適切なフォーマットで格納することができる。PD524は、ANT525、AUT526、TT527、およびFMT528の1つまたは複数による、それらのそれぞれの管理機能を提供するための使用のために、パスおよびネットワーク要素関連情報のリポジトリを提供する。図7に、一実施形態による管理システムによって実行されるディスカバリおよび相関プロセスを示す高水準ブロック図を示す。図7に示され、さまざまな図面に関して本明細書で説明されるように、例示的なMS140によって実行されるディスカバリおよび相関プロセス700は、DE521、DD522、CE523、およびPD524によって実行される。DE521は、LTEネットワーク110に関連する情報を発見し、ディスカバリ情報をDD522に格納し、DE521およびDD522は、LTEネットワークのパスを識別するためにディスカバリ情報を相関する際およびLTEネットワークの識別されたパスに関連するパス相関されたトランスポート要素情報をPD524に格納する際のCE523による使用のためにディスカバリ情報をCE523に提供する。図8は、さまざまな実施形態での使用に適する例示的な管理システムによって実行されるディスカバリおよび相関プロセスを示す高水準ブロック図を示す。図8に示され、さまざまな図面に関して説明されるように、例示的なMS140によって実行されるサービス作成および相関プロセス800は、サービス作成エンジン528、相関エンジン523、パスデータベース524、およびサービスデータベース529によって実行される。サービス作成エンジン528は、LTEネットワーク110のトランスポート層インフラストラクチャによってサポートされるさまざまなパスの上で作成されるIPSecサービス層などのサービス層を生成し、サービス層情報をサービスデータベース529に格納する。サービス作成エンジン528は、サービス層を変更し、更新し、妥当性検査し、または他の形で変更することもでき、その場合には、サービスデータベース529内のサービス層情報も変更される。サービス作成エンジン528およびサービスデータベース529は、LTEネットワーク110の以前に識別されたパスおよびサポートするトランスポート層要素にサービスを相関させる際ならびにサービス相関されたパスおよび拡張によってサービス相関されたパスLTEネットワーク110に関連するトランスポート要素情報をPD524内に格納する際のCE523による使用のためにサービス情報をCE523に提供する。図8のディスカバリおよび相関プロセス800を、図1-5および対応するテキストを参照することによってよりよく理解することができる。アナライザツールANT525は、LTEネットワークのEPS要素をモバイルサービスに構造化する。一実施形態では、EPS要素は、EPSネットワーク要素たとえば、eNodeB、SGW、PGW、MME、PCRF、および/または任意の他のEPS関連ネットワーク要素およびEPSネットワーク要素の間のEPS関連相互接続性たとえば、Sセッション、Gセッションなどを含む。たとえば、図1のLTEネットワーク110に関して、ANT525は、LTEネットワーク110のEPS要素をモバイルサービスたとえば、eNodeB111、SGW112、PGW113、MME114、PCRF115、Sセッションなどに構造化する。この形で、モバイルサービスは、EPSネットワーク要素およびEPSネットワーク要素の間のEPS関連相互接続性の表現である。モバイルサービスは、ネットワーク要素ごとに、それに接続された他のネットワーク要素のすべてのリストを格納する。したがって、特定のeNodeBについて、モバイルサービスは、そのeNodeBが通信するSGWおよびPGWを含むリストを格納する。同様に、特定のSGWについて、モバイルサービスは、そのSGWが通信するeNodeBおよびPGWを含むリストを格納する。他の共通の要素またはアンカ要素を使用して、そのようなバンドルを形成することができる。これらの実施例は、それぞれ、アンカ要素または共通の要素としての特定のeNodeBおよびアンカ要素または共通の要素としての特定のSGWを企図するものである。他のアンカ要素または共通の要素を、さまざまな実施形態の環境で定義することができる。ANT525は、任意の適切な情報を使用して、LTEネットワーク110のEPS要素をモバイルサービスに構造化することができるたとえば、PD524からのEPS関連パスに相関された基礎になるトランスポート要素を使用して、DD522からのディスカバリ情報を処理することによってなど、ならびにその組合せ。一実施形態では、ANT525は、LTEネットワーク110の諸区域がDE521によって発見される時にモバイルサービスを自動的に作成するように構成される。アナライザ機能/ツールANT525は、LTEネットワークのサービスプロバイダが、LTEネットワークの縁のeNodeBアクセスノードを介するIPコアネットワークからのサービス配信分散ネットワークのステータスの現在のビューを有することを可能にする。ANT525は、LTEネットワークのサービスプロバイダが、論理レベルでLTEネットワークのステータスを監視することを可能にする。これは、LTEネットワーク内のモバイルトラフィックの配信を妨げる可能性がある問題または潜在的問題を効率的に診断するのに有利である。たとえば、LTEネットワークの機器が動作している可能性があるが、SGWインスタンスの誤った構成が、モバイルトラフィックの配信をブロックしている場合がある。さまざまな実施形態では、他のネットワークパラメータが、本明細書で論じるさまざまなツールおよび技法によって監視され、その処理の対象になる。たとえば、各特定のIPsecトンネルの監視に加えて、特定のトンネルが属するIPsecサービスを監視することもできる。SEG、パブリックプライベートL3VPN、IPsecカードおよびグループ、インターフェース、その他の監視など、有用な時にはいつでも、追加の監視を提供することができる。ANT525は、たとえば、どのEPS要素が問題または潜在的問題の責任を負うのかを識別することと、その後、責任を負うEPS要素のどのコンポーネントが問題または潜在的問題の責任を負うのかをさらに識別することとによって、LTEネットワークのサービスプロバイダが、LTEネットワーク110のどのコンポーネントがLTEネットワーク110のモバイルサービスレベルで識別される問題または潜在的問題の責任を負うのかを素早く簡単に識別することを可能にする。たとえば、これは、IPSecトンネルまたはモバイルサービスレベルで、問題の責任を負う特定のEPSネットワーク要素を識別することと、その後、問題の責任を負うEPSネットワーク要素のコンポーネントを識別するために問題の責任を負うEPSネットワーク要素を掘り下げることとを含む。EPSネットワーク要素のコンポーネントは、EPSネットワーク要素の任意のコンポーネントたとえば、トラフィックカード、制御カード、ポート、インターフェース、プロセッサ、メモリなどを含むことができる。ANT525は、コンポーネント情報が望まれるEPS要素のタイプに依存するものとすることができる任意の適切な形でEPS要素を掘り下げることができるたとえば、EPSネットワーク要素のコンポーネントを判定するためにDD522内に格納されたディスカバリ情報を使用して、EPS関連パスのコンポーネントを判定するためにPD524内に格納されたパス相関されたトランスポート要素、部分要素、システム、および他の情報を使用してなど、ならびにその組合せ。ANT525は、ANT525によって判定されたIPSecトンネルまたはモバイルサービスの1つまたは複数の管理機能を実行することができる。一実施形態では、ANT525は、IPSecトンネルまたはモバイルサービスに関連する統計を収集することができるたとえば、IPSecトンネルまたはモバイルサービスに関連するエンドツーエンド統計、IPSecトンネルまたはモバイルサービスの個々のコンポーネントおよび/またはコンポーネントのサブセットに関連する統計など、ならびにその組合せ。ANT525は、IPSecトンネルまたはモバイルサービスに関連する輻輳または今まさに起ころうとしている輻輳の存在を識別するために、収集された統計を分析することができる。ANT525は、そのような分析に基づいて、輻輳を解決するか防止するための解決策を事前判定することができる。一実施形態では、ANT525は、IPSecトンネルまたはモバイルサービスを検証するために監査を開始することができるたとえば、ANT525によって現在維持されているIPSecトンネルまたはモバイルサービスのビューが正確であり、更新される必要がないことを保証するため、そのような更新が要求される場合にIPSecトンネルまたはモバイルサービスのビューを更新する際に使用するためなど、ならびにその組合せ。一実施形態では、ANT525は、IPSecトンネルまたはモバイルサービスの運用、管理、および維持Operations,Administration,andMaintenance:OAMテストを開始することができる。一実施形態では、ANT525は、IPSecトンネルまたはモバイルサービスの故障分析を実行することができる。ANT525は、検出されたイベントを、その重要性に基づいて分類することができる。一実施形態では、ANT525は、サービスプロバイダのネットワーク専門家にイベントのビジュアル表現たとえば、イベントの位置、イベントのスコープなどを与えるために表示されるように適合された像の生成を開始することができる。一実施形態では、ANT525は、イベントのスコープおよび影響のよりよい理解を提供する追加情報を判定するために、イベントに関連するモバイルサービスのOAMテストたとえば、ping、tracerouteなどを開始することができる。ANT525は、ANT525によって判定されたIPSecトンネルまたはモバイルサービスに関連する任意の他の適切な管理機能を実行することができる。一般的に言って、前に説明したようにネットワークマネージャがネットワーク要素およびその接続を発見した後に、アナライザツールを呼び出すことができる。サービスアウェアマネージャは、PGW、SGW、eNodeB、MME、PCRF、SGSNなどのLTEタイプネットワーク要素を識別する。主に重要なのは、PGW、SGW、およびeNodeBである。これらのネットワーク要素の間には、ネットワーク要素上の関連する基準点を有するEPSパスがあり、ここで、EPSパス/基準点は、S1-u、S5、SGiなどと表される。したがって、データベース内に格納されるのは、PGW、SGW、eNodeBなどのタイプネットワーク要素の、またはEPSパスのタイプコネクタのモジュラコンポーネントのコレクションである。ネットワーク要素およびコネクタを発見した後に、サービスアウェアマネージャは、特定のeNodeBを介してサービスされる顧客とPGWでIPコアネットワークから受信されるデータストリームまたは他のサービスとの間のネットワーク要素およびコネクタのシーケンスなど、2タイプのモジュラコンポーネントすなわち、ネットワーク要素およびコネクタのインスタンスを接続しまたは連結することによって、複数のIPSecトンネルまたはモバイルサービスを定義する。したがって、一実施形態では、モバイルサービスは、ネットワーク要素およびコネクタの連結されたシーケンスを含む構造またはラッパを含む。モバイルサービスを、特定の顧客、特定のeNodeB、特定のAPNなどに関して定義することができる。モバイルサービスは、単一のまたは共通のネットワーク要素上のSGWまたはPGWのうちの1つまたは複数など、あるネットワーク要素上のEPSの1つまたは複数のインスタンスを含むことができる。IPSecトンネルおよび/またはモバイルサービスを定義した後に、そのIPSecトンネルまたはモバイルサービスを、分析しまたはテストすることができる。そのようなテストを、モバイルサービスを形成するコンポーネント、モバイルサービスに関連するエンドポイントなどに向けることができる。そのようなテストを、モバイルサービスを形成する特定のコンポーネントまたはエンドポイントの特定の部分に向けることができる。一実施形態では、個々のIPSecトンネルもしくはモバイルサービスまたはIPSecトンネルもしくはモバイルサービスのグループは、特定の個々のIPSecトンネルもしくはモバイルサービスまたはIPSecトンネルもしくはモバイルサービスの特定のグループを形成するモバイルサービスモジュラコンポーネントのそれぞれから統計を収集することによって分析される。すなわち、モバイルサービス分析要求手動でまたは自動的に生成されるは、管理システムによって、モバイルサービスを形成するモジュラコンポーネントたとえば、ネットワーク要素およびコネクタのそれぞれに関係する統計情報を収集する要求と解釈される。したがって、IPSecトンネルまたはモバイルサービスを形成するためのネットワーク要素またはコネクタなどのモジュラコンポーネントの論理表現は、正確な監査機能、分析機能、およびトレーシング機能をさまざまな実施形態の環境で実施することを可能にする。監査機能/ツール監査ツールAUT526は、ネットワークを監査する監査能力を提供するように構成される。AUT526は、エンドユーザトラフィックを妨げつつあるか妨げる可能性があるネットワーク故障または潜在的なネットワーク故障を識別し、処理するためのネットワークのネットワークインフラストラクチャの事前監査を可能にする。AUT526は、ネットワーク故障または潜在的なネットワーク故障の素早い検出、故障の影響または潜在的なネットワーク故障の潜在的影響を判定するための影響分析、およびすべてのネットワーク故障または潜在的なネットワーク故障の矯正をサポートする。AUT526は、たとえばポート、ラインカード、物理接続性、論理接続性、S基準点、Sセッション、ネットワークパス、エンドユーザのエンドツーエンドモバイルセッションなど、ならびにその組合せの健全性のチェックのための、任意の粒度レベルでのLTEネットワーク110上の徹底的なネットワーク健全性チェックまたはサニティチェックを実行する能力を提供する。LTEネットワークは本来複雑であり、したがって、異なるトランスポート技術および適用されるQoSポリシを利用する複数のネットワーク要素を通過するIPネットワークを介するトランスポートのためにパケット化されたモバイル加入者データに相関させることがしばしばむずかしいネットワーク故障を非常に受けやすいので、AUT526は、LTEネットワークを管理する上で大きい利益を提供する。一実施形態では、AUT526は、LTEネットワーク110内の相互接続性の監査をサポートする。相互接続性の監査は、接続性に関する事前監視、接続性のテスト、および類似する監査機能の実行を含むことができる。トレーサ機能/ツールトレースツールTT527は、モバイルセッショントレース能力を提供するように構成される。モバイルセッショントレース能力は、UEのモバイルセッションのパスを、無線ネットワークを通じてトレースすることを可能にする。短く言うと、TT527は、無線ネットワークを介するIPSecトンネルまたはモバイルセッションのパスの判定、およびオプションで、モバイルセッションに関連する追加情報の判定を可能にする。IPSecトンネルモバイルセッショントレース能力は、無線サービスプロバイダが、無線ネットワークを介するIPSecトンネルまたはモバイルセッションの判定されたパスに基づいて管理機能を実行することを可能にする。公平性マネージャ機能/ツール公平性マネージャツールFMT528は、モバイル加入者によるネットワークリソースの使用を制御するように適合されたさまざまな公平性管理機構を提供する。短く言うと、FMT528は、サービスレベル契約SLAなどによって定義されるものなど、顧客による適切なリソースたとえば、帯域幅使用を実施する。公平性マネージャは、さまざまな実施機構のいずれかによって適切な帯域幅使用を実施する。公平性マネージャは、さまざまなユーザ、ユーザのグループ、顧客、サードパーティネットワーク購入者などに関連する適切なリソース消費レベルを、これらのレベルが契約または許容可能な実践のいずれによって定義されるものであれ、実施するように動作する。さまざまな実施形態をサポートする環境の例一般的に言って、さまざまな実施形態は、ユーザが、管理システム/ソフトウェアと対話し、これによって、ユーザインターフェースを介してユーザによって選択されたより上のレベルのパス要素に関連する、より下のレベルのパス要素を表示することによってより上の階層レベルのパス要素からより下の階層レベルのパス要素へより深く掘り下げることを可能にする。ユーザは、グラフィカルユーザインターフェースGUIを有するコンピュータ端末または他のユーザワークステーションを利用するネットワークオペレーションズセンタNOC内のユーザとすることができる。一実施形態では、モバイルセッションパス情報は、モバイルセッションをサポートするネットワークコンポーネントだけを含むサブマップを生成することと、生成されたサブマップを表示することとによって表示される。たとえば、無線ネットワークのグラフィカルディスプレイが、多数のeNodeB、SGW、およびPGWを含む場合に、モバイルセッションのサブマップは、これらの要素のそれぞれの1つのみ、ならびにこれらの要素のそれぞれの間のセッションを含み、これによって、無線ネットワークのどのネットワーク要素がモバイルセッションをサポートしているのかを強調する。この例では、サブマップを、任意の適切な形でたとえば、無線ネットワークが表示されるウィンドウの異なる部分内の1つのウィンドウ内で同時に、サブマップを表示するために開かれる新しいウィンドウ内でなど表示することができる。この例では、前の例と同様に、モバイルセッションパスまたはモバイルセッションパスのコンポーネントおよびサブコンポーネントさえたとえば、物理機器、物理通信リンク、物理通信リンク上のサブチャネルなど、ユーザによって選択された時に、ユーザにモバイルセッションに関連する追加のモバイルセッションパス情報が提示されるように、選択可能とすることができる。そのような例から、モバイルセッションパスに関連する追加情報の表示を、任意の適切な形たとえば、モバイルセッションパス情報を含むためのディスプレイウィンドウ内のリフレッシュ、モバイルセッションパス情報を含む新しいウィンドウのオープンなど、ならびにその組合せで提供できることを了解されたい。さまざまな方法の実施態様は、オプションで、1つまたは複数のパス、1つまたは複数のパスをサポートする基礎になるトランスポート要素、ならびに本明細書で論じられるさまざまなプロトコル、ハードウェア、ソフトウェア、ファームウェア、ドメイン、サブネット、ネットワーク要素、および/または部分要素接続の論理表現および/または物理表現を作る。これらの物理表現および/または論理表現のいずれをも、グラフィカルユーザインターフェースGUIの環境で視覚的に提示することができる。さらに、これらの物理表現および/または論理表現の間のさまざまな相互作用および対応を、あるパスをサポートするのに必要な表現、あるクライアント/顧客をサポートするのに必要な表現、単一のクライアント/顧客に関連する表現など、特定の判断基準に制限された表現を含めて、視覚的に表すこともできる。そのようなグラフィカル表現および関連する像は、静的な形または動的な形のいずれかでのネットワークのインフラストラクチャビューすなわち、1つまたは複数のトランスポート要素の観点からまたはサービスビューすなわち、1つまたは複数のサービスの観点からを提供する。本明細書で説明される機能を実行する際の使用に適するコンピュータは、一例として、プロセッサ要素たとえば、中央処理装置CPUおよび/または他の適切なプロセッサ、メモリたとえば、ランダムアクセスメモリRAM、読取り専用メモリROMなど、管理モジュール/プロセッサ、およびさまざまな入出力デバイスたとえば、ユーザ入力デバイスキーボード、キーパッド、マウスなど、ユーザ出力デバイスディスプレイ、スピーカなど、入力ポート、出力ポート、受信器/送信器たとえば、ネットワーク接続または他の適切なタイプの受信器/送信器、およびストレージデバイスたとえば、ハードディスクドライブ、コンパクトディスクドライブ、光ディスクドライブなどを含むことができる。一実施形態では、さまざまな実施形態を呼び出す方法に関連するコンピュータソフトウェアコードを、メモリにロードし、プロセッサによって実行して、本明細書で上で論じた機能を実施することができる。さまざまな実施形態を呼び出す方法に関連するコンピュータソフトウェアコードを、コンピュータ可読記憶媒体、たとえばRAMメモリ、磁気ドライブ、磁気ディスケット、光ドライブ、光ディスケットなどに格納することができる。本明細書で図示され説明される機能を、ソフトウェアおよび/またはソフトウェアとハードウェアとの組合せで、たとえば、汎用コンピュータ、1つまたは複数の特定用途向け集積回路ASIC、および/または任意の他のハードウェア同等物を使用して、実施できることに留意されたい。ソフトウェア方法として本明細書で議論されるステップの一部を、ハードウェア内で、たとえばさまざまな方法ステップを実行するためにプロセッサと協働する回路網として実施できることが企図されている。本明細書で説明される機能/要素の諸部分を、コンピュータプログラム製品として実施することができ、ここで、コンピュータ命令は、コンピュータによって処理される時に、本明細書で説明される方法および/または技法が呼び出されまたは他の形で提供されるように、コンピュータの動作を適合させる。発明の方法を呼び出す命令を、有形の固定媒体または取外し可能媒体内に格納し、有形のまたは非有形の放送媒体または他の信号担持媒体内のデータストリームを介して送信し、かつ/または命令に従って動作するコンピューティングデバイス内のメモリ内に格納することができる。本明細書では主に管理能力がLTE無線ネットワークを管理するのに使用される実施形態に関して図示され、説明されるが、管理能力を、他のタイプの4G無線ネットワーク、3G無線ネットワーク、2.5G無線ネットワーク、2G無線ネットワークなど、ならびにその組合せを含むがこれに限定されない他のタイプの無線ネットワークを管理するのに使用できることを了解されたい。保護されないネットワークインフラストラクチャ上でIPSecネットワークをプロビジョニングするさまざまな方法が開示され、ここで、保護されないネットワークインフラストラクチャは、複数のサービスをサポートするように適合された複数のネットワーク要素および通信リンクを含むことができ、方法は、セキュアネットワークとのセキュア通信で1つまたは複数のスイッチングデバイスを識別することと、識別されたスイッチングデバイスに関連する構成情報を取り出すことと、IPSecネットワークをサポートするのに必要な保護されないネットワークインフラストラクチャ内のトランスポート層要素を判定することと、セキュア通信がIPSecネットワークとセキュアネットワークとの間で提供されるように、識別された必要なトランスポート層要素の動作をIPSecネットワークに適合させることとを含むことができる。1つまたは複数のスイッチングデバイスを識別することは、ネットワークオペレーションズセンタNOC内の入力フォームを介して提供することができる。IPSecネットワークをサポートするのに必要な保護されないネットワークインフラストラクチャのトランスポート層要素を、トランスポート層要素とモバイルサービスとを相関させるデータを使用して識別することができる。トランスポート層要素とモバイルサービスとを相関させるデータは、本明細書で説明されるさまざまな技法に従って発見される。さまざまな実施形態の態様は、特許請求の範囲で指定される。さまざまな実施形態の上記および他の態様は、次の番号付きの句で指定される。1.保護されないネットワークインフラストラクチャ上でセキュアサービス層を生成する方法であって、所望のIPSecサービスに関連するサービス要求を受信することであって、サービス要求情報が、少なくとも保護されるセキュアネットワークの識別を含む、受信することと、セキュアゲートウェイSEGとしての使用のために境界デバイスを含む少なくとも1つのルーティングデバイスを選択することと、境界デバイスの第1の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、境界デバイスの第2の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応するセキュアトラフィックを適切にグループ化するためにインターフェースを作成することであって、各グループが、それぞれのカプセル化識別子に関連する、作成することとを含む方法。2.セキュアネットワークにアクセスすることを許可される非セキュアネットワーク内の1つまたは複数のアクセスポイントを選択することをさらに含む、句1の方法。3.非セキュアネットワーク内の複数のアクセスポイントが、セキュアネットワークにアクセスすることを許可され、方法が、アクセスポイントのそれぞれを適切なSEGに関連付けることと、対応するアクセスポイントからのトンネリングされたパブリックトラフィックを終端するために各SEGのセキュアネットワーキングサービスを構成することとをさらに含む、句2の方法。4.セキュアネットワークからのセキュアトラフィックを終端するための前記セキュアネットワーキングサービスが、レベル3仮想プライベートネットワークL3VPNサービスを含む、句1の方法。5.非セキュアネットワークからのトンネリングされたトラフィックを終端するための前記セキュアネットワーキングサービスが、レベル3仮想プライベートネットワークL3VPNサービス、VPRNVirtualPrivateRoutedNetworkサービス、およびIESInternetEnhancedServiceサービスの1つである、句1の方法。6.セキュアネットワークからのセキュアトラフィックを終端するための前記セキュアネットワーキングサービスが、終端されたIPSecトンネルとレベル2L2VPNセキュアネットワークとの間の通信を可能にする、句1の方法。7.前記セキュアサービス層が、IPSecインフラストラクチャを含み、前記トンネリングされたパブリックトラフィックが、IPSecトンネリングされたトラフィックを含む、句1の方法。8.境界デバイスを含む前記少なくとも1つのルーティングデバイスの前記選択することが、保護されるセキュアネットワークに近接する1つまたは複数のルータを識別することと、コスト、顧客への近接度、サービスプロバイダへの近接度、および利用レベルという判断基準のうちの1つまたは複数に従って前記ルータのうちの1つを選択することとを含む、句1の方法。9.前記生成されたIPSecサービス層が、複数のユーザを前記保護されるネットワークにセキュアに接続するサービスを含み、前記方法が、前記ユーザを複数のグループに分割することと、各グループに関連するトラフィックをそれぞれのアクセスポイントに向けることとをさらに含むことをさらに含む、句1の方法。10.前記ユーザグループが、ユーザ位置に従って定義される、句9の方法。11.ユーザのグループに関連するトラフィックをユーザのグループに地理的に近接するスイッチング要素で集約することをさらに含む、句10の方法。12.前記集約されたトラフィックが、ビデオサービストラフィックを含み、前記集約されたトラフィックが、前記地理的に近接するスイッチング要素とビデオサービスプロバイダのヘッドエンドとの間で通信される、句11の方法。13.前記ビデオサービスプロバイダが、ケーブルテレビジョンシステム、MSO、遠隔通信システムプロバイダ、および放送網のうちの1つを含む、句12の方法。14.前記方法が、ネットワークサービスプロバイダに関連するコンピュータ内でインスタンス化されるサービス作成エンジンSCEによって実行される、句1の方法。15.前記方法が、ネットワークサービスプロバイダのネットワークオペレーションズセンタNOC内でインスタンス化されるサービス作成エンジンSCEによって実行される、句1の方法。16.前記要求が、1つまたは複数の識別されたアクセスポイントを介して行われるセキュア接続のタイプに関連する構成情報を含む、句14の方法。17.セキュア接続のタイプが、IPSecトンネルを含む、句14の方法。18.保護されるネットワークが、セキュアな企業ネットワーク、セキュアイントラネット、単一のサードパーティネットワークの1つまたは複数の部分、および複数のサードパーティネットワークの1つまたは複数の部分のうちの少なくとも1つを含む、句14の方法。19.要求が、保護されるネットワークとのセキュア通信内の1つまたは複数のアクセスポイントに関連する識別する情報をさらに含む、句14の方法。20.前記アクセスポイントのそれぞれが、前記保護されたネットワークと前記保護されないネットワークとの間のスイッチングデバイス、ルータ、およびブリッジのうちの少なくとも1つを含む、句19の方法。21.前記保護されないネットワークが、コアネットワークおよびアクセスネットワークのうちの1つを含む、句20の方法。22.前記アクセスポイントが、前記保護されたネットワークで前記生成されたIPSecサービス層からのIPSecトラフィックを終端するように動作可能なIPSec境界デバイスを含むルータを含む、句19の方法。23.前記生成されたIPSec層が、各ユーザからそれぞれのIPSecトンネルを介して前記保護されたネットワークのそれぞれのアクセスポイントへトラフィックをルーティングすることによって前記保護されないネットワークにアクセスするユーザの間からのセキュアトラフィックをサポートし、前記保護されたネットワークへの異なるアクセスポイントを有するユーザについて、前記ユーザの間のトラフィックが、前記異なるアクセスポイントの間で前記保護されたネットワークを介してルーティングされ、前記保護されたネットワークへの共通のアクセスポイントを有するユーザについて、前記ユーザの間のトラフィックが、前記共通のアクセスポイントを介して直接にルーティングされる句19の方法。24.前記生成されたIPSecサービス層に従って1つまたは複数のモバイルサービスの動作を適合させ、これによって所望のIPSecサービスをプロビジョニングすることをさらに含む、句1の方法。25.前記生成されたIPSecサービス層内に含まれるモバイルサービスに関連するパスをサポートする1つまたは複数のトランスポート層の動作を適合させることをさらに含む、句1の方法。26.サービス要求が、ネットワークオペレーションズセンタNOCで単一のフォームに入力されるデータを介して提供される、句1の方法。27.サービス要求が、顧客によって単一のフォーム内に含められるデータを介して提供され、方法が、顧客に関連するサービスレベル契約SLAへの適合を妥当性検査するためにサービス要求を再検討することをさらに含む、句26の方法。28.前記要求が、トンネリングされるトラフィックフローに関連するシグナリングパラメータを含むトンネルテンプレートに関連する、句1の方法。29.前記トンネルテンプレートが、トンネリングされるトラフィックフローに関連するポリシをさらに含む、句28の方法。30.前記ポリシが、特定のIPアドレスと対応するサービスとの間の関連付けられたのうちの1つまたは複数を含む、句29の方法。31.前記ポリシが、IPSecトンネルの断片的使用を提供する、句29の方法。32.生成されたIPSecサービス内のモバイルサービスのいずれかの部分が管理されないネットワークを通過するかどうかを判定することと、前記管理されないネットワークに関連するモバイルサービス部分を介して伝えられる生成されたIPSecサービスを妥当性検査する要求を、前記管理されないネットワークのマネージャに向かって転送することとをさらに含む、句1の方法。33.管理されないネットワークを通過する前記生成されたIPSecサービス内の1つまたは複数のモバイルサービス部分のサポートを妥当性検査する要求を前記管理されないネットワークのマネージャに向かって転送することをさらに含む、句1の方法。34.モバイルサービス部分に関する前記管理されないネットワークによるサポートの欠如を示すメッセージに応答して、前記モバイルサービス部分のサポートを提供するために前記モバイルサービス部分のプロビジョニングを適合させる要求を前記管理されないネットワークの前記マネージャに向けて転送することをさらに含む、句33の方法。35.各パスをそのそれぞれのトランスポート層インフラストラクチャに相関させるデータが、当初にディスカバリプロセス中に生成されるデータベース内に格納される、句1の方法。36.前記データベースが、基礎になるトランスポート層構造に関連するパス構造を反復して相関させるステップと、この相関の結果を格納するステップとに従って生成される、句6の方法。37.保護されないネットワークが、LTEネットワークを含み、方法が、1つまたは複数の識別されたアクセスポイントに関連するIESサービスおよびVRPNサービスを識別することであって、各モバイルサービスが、少なくとも1つのパスを含み、各パスが、前記保護されないネットワーク内のトランスポート層インフラストラクチャによってサポートされる、識別することと、前記モバイルサービスのうちの1つまたは複数を使用してIPSecサービス層を生成することとをさらに含む、句1の方法。38.プロセッサによって実行される時に、保護されないネットワークインフラストラクチャ上でセキュアサービス層を生成する方法であって、所望のIPSecサービスに関連するサービス要求を受信することであって、サービス要求情報が、少なくとも保護されるセキュアネットワークの識別を含む、受信することと、セキュアゲートウェイSEGとしての使用のために境界デバイスを含む少なくとも1つのルーティングデバイスを選択することと、境界デバイスの第1の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、境界デバイスの第2の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応する終端されたセキュアトラフィックを適切にグループ化するためにインターフェースを作成することであって、各グループが、それぞれのカプセル化識別子に関連する、作成することとを含む方法を実行するソフトウェア命令を含むコンピュータ可読媒体。39.コンピュータが、保護されないネットワークインフラストラクチャ上でセキュアサービス層を生成する方法であって、所望のIPSecサービスに関連するサービス要求を受信することであって、サービス要求情報が、少なくとも保護されるセキュアネットワークの識別を含む、受信することと、セキュアゲートウェイSEGとしての使用のために境界デバイスを含む少なくとも1つのルーティングデバイスを選択することと、境界デバイスの第1の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、境界デバイスの第2の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスを提供することと、セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応するセキュアトラフィックを適切にグループ化するためにインターフェースを作成することであって、各グループが、それぞれのカプセル化識別子に関連する、作成することとを含む方法を実行するように、コンピュータが、コンピュータの動作を適合させるソフトウェア命令を処理するように動作可能である、コンピュータプログラム製品。40.非セキュアネットワークに関連するトラフィックを受け入れる第1の複数のポートと、セキュアネットワークに関連するトラフィックを受け入れる第2の複数のポートと、第1の部分でセキュアネットワークからのセキュアトラフィックを終端するためにセキュアネットワーキングサービスを提供するように適合され、第2の部分で非セキュアネットワークからのトンネリングされたパブリックトラフィックを終端するためにセキュアネットワーキングサービスに適合され、セキュアネットワークトラフィックパスを形成するためにトンネリングされたトラフィックおよび対応するセキュアトラフィックを適切にグループ化するためにインターフェースを作成するように適合された境界デバイスであって、各グループが、それぞれのカプセル化識別子に関連する、境界デバイスとを含むセキュアゲートウェイSEG。本発明の教示を組み込むさまざまな実施形態を、本明細書で詳細に図示し、説明したが、当業者は、これらの教示をなお組み込む多数の他の変更された実施形態をたやすく考案することができる。"