セキュアトンネリングプラットフォームシステム及び方法
【解決手段】インターネットを介してパケットを転送するルーティング装置は、ユーザ装置からサーバにアドレス指定されている前記パケットを受信する受信ユニットと、前記ユーザ装置を使用するユーザを認証する認証ユニットと、ユーザが認証された場合、トンネリングプロトコルを使用してネットワーク装置へトンネリングセッションを確立するセッション確立ユニットと、前記トンネリングセッションを介して前記ネットワーク装置へ前記パケットを転送する転送ユニットと、を備え、前記ネットワーク装置はインターネットを介して前記サーバに前記パケットを転送する。
【効果】Ｗｉ−Ｆｉ又は他の帯域幅の共有を介して通信ネットワークをアクセスする各ユーザを識別することができる。
【効果】Ｗｉ−Ｆｉ又は他の帯域幅の共有を介して通信ネットワークをアクセスする各ユーザを識別することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本願は、概して、ネットワーク帯域幅の共有に関し、特にそのユーザの識別に関する。
【背景技術】
【０００２】
Ｗｉ−Ｆｉ等を介して帯域幅を共有することは実用的なソリューションであり、それは同じ出願人による米国特許出願１１／４０２、５７６号に記載されているような利点を有する。Ｗｉ−Ｆｉを介してインターネット等の通信ネットワークをアクセスするユーザは、多くの場合はパブリックインターネットプロトコル（「ＩＰ」）アドレスを共有している。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】米国特許出願１１／４０２、５７６号、明細書
【発明の概要】
【発明が解決しようとする課題】
【０００４】
例えば、各インターネットサービスプロバイダ（「ＩＳＰ」）は一つ又は限定された数のＩＰアドレスを介してインターネットアクセスを提供している。インターネット帯域幅は、Ｗｉ−Ｆｉアクセスポイントを介して使用可能となっている。ユーザＡはＩＰＯＤ（登録商標） ＴＯＵＣＨを操作して、そのＷｉ−Ｆｉサービスを検出してアクセスし、インターネット上のウェブページにアクセスする。ユーザＢはラップトップコンピュータを操作して同じＷｉ−Ｆｉサービスを検出して、インターネット上の別のウェブページにアクセスする。ユーザＡ及びユーザＢに操作されている装置は、ＩＳＰにより提供されている一つのパブリックＩＰアドレスを共有する。この例では、両方のユーザが同じパブリックＩＰアドレスを共有しているため、どのユーザ（ユーザＡ又はユーザＢ）がどのインターネットウェブページをアクセスしたかを決定することは不可能である。
【０００５】
上記の例では、二人のユーザが、別の計算機を操作して、二つの異なるウェブページを同時にアクセスしている。残念ながら、ＩＳＰは両方のユーザにより共有されてアクセスされている一つのＩＰアドレスのみしか検出できない。従って、各ユーザを識別することができない。
【課題を解決するための手段】
【０００６】
Ｗｉ−Ｆｉ又は他の帯域幅の共有を介して通信ネットワークをアクセスしている各ユーザを、両方のユーザが同時に帯域幅を共有しているときでも、識別するシステム及び方法が提供される。ここでの教示に従うシステム及び方法は、一つ又は限定された数の共有されたパブリックＩＰアドレスに提供される帯域幅を含む、Ｗｉ−Ｆｉサービスを介して提供される帯域幅を使用する各ユーザの識別及び情報開示を更に提供する。
【０００７】
本願の他の特徴及び利点は、本発明の明細書及び図面の下記の記載により明確になるだろう。
【発明の効果】
【０００８】
Ｗｉ−Ｆｉ又は他の帯域幅の共有を介して通信ネットワークをアクセスする各ユーザを識別することができる。
【図面の簡単な説明】
【０００９】
【図１】システム構成及びユーザ接続フロー図の例を示す図である。
【図２】トンネリングセッションが確立される前の状態を説明する図である。
【図３】Ｌ２ＴＰトンネルが確立された後で、ＰＰＰセッションが確立される前の状態を説明する図である。
【図４】Ｌ２ＴＰトンネル及びＰＰＰセッションが両方確立された後の状態を説明する図である。
【図５】レイヤ３ネットワークマップの例を示す図である。
【図６】レイヤ２ライブネットワークマップの例を示す図である。
【図７】インフラストラクチャマップの例を示す図である。
【図８】レイヤ３ＯＢＳＮネットワークマップの例を示す図である。
【図９】レイヤ２ＯＢＳＮネットワークマップの例を示す図である。
【発明を実施するための形態】
【００１０】
本願は米国特許出願１１／４０２、５７６号に関連しており、その全文は本明細書に援用される。
【００１１】
本願は、ネットワークトンネリングプラットフォームを含み、そのネットワークトンネリングプラットフォームは、ユーザの計算機が一つ又は複数のＮＡＴサービスの背後にある場合でも、通信ネットワークにおけるユーザ識別を提供するように設定されているルータ（設定済みルータ（Configured router）１００と言う）を提供する。米国出願１１／４０２、５７６号に示されて記載されているように、登録されているユーザ識別情報が受信されて一つ又は一つ以上のデータベースに記憶されている。従って、ネットワークユーザは加入者であり、そのため明確に特定することができる。例えば、ユーザはユーザ名及びパスワードを提供することにより認証され、ユーザの認証ステータスによって、他のユーザのネットワーク帯域幅を無料又は低料金で共有するように許可され得る。ここでの教示は、ユーザを識別するために、ユーザの接続ＩＰアドレス及びＴＣＰ／ＵＤＰポートをユーザの認証情報（例えば、ユーザ名及びパスワード）に関連させることを提供する。
【００１２】
ここでの教示に従い提供されるユーザ識別機能（capability）は、最も厳重なインターネットサービスプロバイダであってもそのセキュリティ・ポリシー及び法的要件のコンプライアンスを提供する。
【００１３】
ユーザ識別情報は、少なくとも部分的には、レイヤ２トンネリングプロトコル（「Ｌ２ＴＰ」）トンネルを介して提供されているＰＰＰセッションを介して提供される。各ユーザセッションはＬ２ＴＰトンネルを介して確立され、Ｌ２ＴＰトンネルは各ＰＰＰトンネルに、それに応じて各ユーザに、独立したインターネットプロトコル（「ＩＰ」）アドレスを提供する。ユーザのクレデンシャル（credentials）及び各セッションＩＰアドレスは、例えば、リモート認証ダイアルインユーザサービス（「ＲＡＤＩＵＳ」）サーバがログを取り、ＲＡＤＩＵＳサーバは認証及びアカウンティングの処理をもサポートできる。
【００１４】
ここでの教示に従うトンネリングソリューション（tunneling solution）は、使用可能なＩＰアドレスが限定されている環境をも提供する。パブリックＩＰアドレスの保護は、各ユーザにプライベートＩＰアドレスを割り当てることにより提供し得る。この実施形態では、各プライベートＩＰアドレスは、例えば、一つ又は一つ以上のネットワークアドレス変換（「ＮＡＴ」）サーバを介して、ネットワークトラフィックがインターネットに達する前に、一つ又は一つ以上のパブリックＩＰアドレスに変換される。一つの実施形態では、複数のプライベートＩＰアドレスが一つのパブリックＩＰアドレスとＮＡＴされている（ＰＡＴ又はＮＡＴオーバーロード（overload）とも言う）。ＮＡＴアカウンティング（accounting）ログを提供することにより、明確なユーザ識別が提供される。
【００１５】
ここに記載の多くの実施形態はＩＰ保護に関する。しかし、限定された又は別の方法で減らした数のＩＰアドレスをサポートするＮＡＴ変換を提供しない又は別の方法でサポートしない実施形態の方が、プライベートＩＰアドレスをＮＡＴにより変換して一つ又は一つ以上のパブリックＩＰアドレスを共有する代わりに、単に独立したパブリックＩＰアドレスを所定の時間に接続しているユーザに割り当てることにより、複雑及び高価にならないようにできる。
【００１６】
更に、一つの実施形態のインフラストラクチャは、例えば、データセンタ及び通信プロバイダのための冗長性機能により、相当な利用可能性（availability）を提供する。相当なスケーラビリティもサポートされており、例えば、設定済みルータ１００とのトンネルの終端となるネットワーク装置を追加することにより、例えば、数百人又は数千人の同時ユーザ（concurrent users）をサポートする。同時ユーザ数が少ない場合、システム及びプラットフォームコストもまた調整可能であり、機能性及びコストの点で適切にスケール（scale）する。
【００１７】
一つの実施形態では、ここでの教示に従う設定済みルータ１００は、システムのＲＡＤＩＵＳプロキシサーバ１２０、１４０にＲＡＤＩＵＳリクエストを送信し、そこから設定プロフィール情報を取得する。設定プロフィール情報には例えばホワイトリスト（white-listed）ドメイン、ウェルカムページのユニフォームリソースロケータ（「ＵＲＬ」）、Ｌ２ＴＰサーバ（「ＬＮＳ」）の詳細等が含まれる。システムのＲＡＤＩＵＳプロキシ１２０、１４０は、設定プロフィールを設定済みルータ１００に送信する。ユーザがハイパーテキスト転送プロトコル（「ＨＴＴＰ」）リクエストを、ユーザがアクセスを認められたあるいは許可されたドメイン（「ホワイトリスト」ドメイン）に送信する場合、設定済みルータ１００はリクエストをユーザ２００に転送して、そのルータはＮＡＴによりトラフィックをルータ（１００）のパブリックＩＰアドレスに変換して、インターネットに転送する。ＨＴＴＰの応答はユーザのブラウザ２００に送信される。
【００１８】
ユーザ２００がノンホワイトリスト（non-white-listed）ドメインをアクセスしようとした場合には、設定済みルータ（１００）のキャプティブポータルはリクエストを遮断して、ユーザのブラウザ２００に、例えば、ハイパテキストマークアップランゲージ（「ＨＴＭＬ」）のウェルカムページへのＨＴＴＰのリダイレクトを送信する。ユーザブラウザ２００はウェルカムページをリクエストし、セキュア（「ＨＴＴＰＳ」）なウェルカムページがユーザ２００に提供される。一つの実施形態では、ユーザは彼又は彼女のクレデンシャル（例えば、ユーザ名及びパスワード）をウェルカムページで記入する。一つ又は一つ以上のウェブサーバ３００が、システムのデータベース３１０にあるユーザクレデンシャルをアクセスすることにより、認証処理を行う。認証が成功すると、ウェブサーバ３００はユーザのウェブブラウザソフトウェアアプリケーション２００にＨＴＴＰリダイレクトリクエストを送信し、それには許可フェーズ中に使用されるランダムなワンタイムパスワードハッシュ（one time password hash）が含まれる。ユーザブラウザ２００は設定済みルータ（１００）のキャプティブポータルに許可リクエストを、ＨＴＴＰを介して、送信して、それにはワンタイムパスワードが含まれる。
【００１９】
一度認証されると、例えばトンネルが前回の接続で既に確立されていない場合、設定済みルータ１００はそのプライマリシステムＬＮＳ（primary system LNS）１１０へのＬ２ＴＰトンネルを確立する。もしプライマリＬＮＳ１１０への接続が失敗すると、設定済みルータ１００は好ましくはセカンダリＬＮＳ１１０への接続を試みる。設定済みルータ１００はＬ２ＴＰトンネルにわたってＬＮＳ１１０へＰＰＰ許可リクエストを送信して、それにはワンタイムパスワードが含まれてもよい。それに応答して、ＬＮＳ１１０は、許可ＲＡＤＩＵＳリクエストを、例えばＩＳＰにあるシステムＲＡＤＩＵＳプロキシ１２０に送信する。一つの実施形態では、ＩＳＰは、ここでの教示に従ったシステム及び方法のプロバイダ又は所有者（proprietor）と提携している。
【００２０】
続いてこの実施形態では、ＩＳＰのＲＡＤＩＵＳプロキシ１２０は許可リクエストを、ＲＡＤＩＵＳサーバ１４０へ、ＤＣＲルータ１５０間に確立されている暗号化仮想プライベートネットワーク（「ＶＰＮ」）を介して転送する。ＲＡＤＩＵＳプロキシ１２０は、ここでの教示に従ったシステム及び方法のプロバイダ又は所有者により提供あるいは管理されおり、世界中の何処にでも設置されていても良い。許可に成功した場合、システムにより提供されているＲＡＤＩＵＳプロキシ１４０は、暗号化されたＶＰＮを介して、ＩＳＰにてＲＡＤＩＵＳプロキシ１２０にアクセス許可を返送する。その後、ＩＳＰのＲＡＤＩＵＳプロキシ１２０はＬＮＳ１１０にアクセス許可パケットを転送して、ＬＮＳはＰＰＰトンネルを許可して、ＰＰＰセッションにプライベートＩＰアドレスを割り当てる。
【００２１】
一つの実施形態では、キャプティブポータル認証がサポートされている。例えば、設定済みルータ１００はＩＳＰのＲＡＤＩＵＳプロキシ１２０に、前述のワンタイムパスワードを含む、ＲＡＤＩＵＳ許可リクエストを送信する。ＲＡＤＩＵＳリクエストは、ここでの教示に従うシステム及び方法のプロバイダ又は所有者により提供されあるいは管理されているＲＡＤＩＵＳプロキシサーバ１４０に転送される。リクエストは、許可されると予想される。なぜなら、クレデンシャルは、前述のＰＰＰトンネルを許可するために使用されたクレデンシャルと好ましくは同じであるからである。アクセス許可パケット（複数のパケット）（access-accept packet(s)）は、世界中のどこに設置されても良いシステムＲＡＤＩＵＳプロキシ１４０に送信され、その後設定済みルータ１００へ送信される。アクセス許可パケットは、好ましくはユーザのネットワークプロフィールを含む。その後、設定済みルータ１００は各ユーザにインターネットアクセスを提供し、それにはＬＮＳ１１０によりＰＰＰセッションに割り当てられたプライベートＩＰアドレスと、設定済みルータ１００により動的ホスト設定プロトコル（「ＤＨＣＰ」）を通してユーザ装置２００へ割り当てられるプライベートＩＰアドレスとの間の静的なネットワークアドレス変換（「ＮＡＴ」）が含まれてもよい。
【００２２】
一旦ユーザが認証されると、ユーザは設定済みルータ１００を介してインターネットへリクエストを送信する。リクエストは、前述のＰＰＰトンネル内にカプセル化される。ＬＮＳ１１０はリクエストのポートアドレス変換（「ＰＡＴ」）を行い、リクエスト中のプライベートＩＰアドレス及びポートをパブリックＩＰアドレス（これは別のポートであっても良い）に変換する。その後、ＰＡＴのログが情報開示サーバ（disclosure server）１３０に記憶される。リクエストは、ＨＴＴＰサーバ等の各サーバ３００にインターネットにより転送され、そこから応答がインターネットにわたり別のＰＡＴ処理のために送信される。ＩＰ（及びポート）変換は効果的に反転されて、ＬＮＳ１１０はＰＰＰトンネルを介して設定済みルータ１００に応答を送信する。設定済みルータ１００は応答をユーザのソフトウェアアプリケーション２００に転送する。
【００２３】
そして、上記の実施形態に関連して記載されているように、ここでの教示は、ホワイトリスト及びノンホワイトリストのドメインへのアクセスと、ウェブサーバ認証、トンネル許可、及びキャプティブポータル認証を含むユーザ認証及び許可とを含むユーザ接続フローを提供する。
【００２４】
一つの実施形態では、少なくとも三つのセッションアカウンティングの統合が含まれている。一つ目は、ここでの教示に係る所有者により管理又は維持されている一つ又は一つ以上のＲＡＤＩＵＳサーバ１４０によるＰＰＰセッションアカウンティングである。二つ目も、システムのＲＡＤＩＵＳサーバ（複数）１４０により生成されているキャプティブポータルセッションアカウンティングである。三つ目は、ＬＮＳルータ１１０により提供されるＮＡＴアカウンティングである。ＰＰＰセッションアカウンティングは、少なくともユーザのセッション開始時間、停止時間、及びＰＰＰセッションが終了する各ＬＮＳ（１１０）のＩＰアドレスを含んでも良い。ＰＰＰセッションアカウンティングは、ＬＮＳ１１０のためのトンネルＩＰソースであるＣＰＥのＩＰアドレスをも含んでも良く、なぜならばＣＰＥ２１０は設定済みルータ１００のワイドエリアネットワーク（「ＷＡＮ」）ＩＰアドレスを変換（ＮＡＴ）しているからである。ＰＰＰセッションアカウンティングに含まれる他の情報は、ＰＰＰセッションのためにＬＮＳ１１０により設定済みルータに割り当てられたプライベートＩＰアドレス、ユーザのユーザ名、アカウンティングパケットの種類、及びＦＯＮの固有のセッション識別子（キャプティブポータルセッション用も同じ）である。
【００２５】
一つの実施形態では、設定済みルータでのユーザ認証及びアカウンティングをキャプティブポータルにより管理する。キャプティブポータルセッションアカウンティングは、好ましくは下記を一つ又は一つ以上含む。それらは、ユーザのセッション開始時間、セッション停止時間、ユーザのユーザ名、ユーザの装置の種類（スマートフォン等）、及び媒体アクセス制御（「ＭＡＣ」）アドレス、ユーザのＣＰＥ２１０ＭＡＣアドレス、設定済みルータ１００によりＤＨＣＰを介して割り当てられるユーザの計算装置２００（スマートフォン等）ＩＰアドレス、及び固有のセッション識別子（ＰＰＰセッション用に関連して前述したものと同じ）である。
【００２６】
更に、ＮＡＴ変換セッションアカウンティングはＬＮＳルータ１１０により作成されて、下記を一つ又は一つ以上含む。それらは、変換作成時間（translation creation time）、変換削除時間（translation deleting time）、アカウンティングの種類（例えば、ＮＡＴ作成又はＮＡＴ削除）、レイヤ４通信プロトコル（ＵＤＰ又はＴＣＰ）、ＰＰＰセッションＩＰアドレス（内部アドレス）及びポート、変換及びポートに使用されるＬＮＳパブリックＩＰアドレス、及びユーザが達しようとしているインターネットＩＰアドレス及びポートである。
【００２７】
従って、各セッションアカウンティングに従って、ユーザの追跡及び識別が提供される。例えば、ユーザのパブリックＩＰアドレス、ＴＣＰ又はＵＤＰポート、及びタイムフレーム（time frames）は既知である。この情報を用いて、タイムフレームが適当であれば（即ち、２４時間のタイムフレームでは、異なる時に同じプライベートＩＰアドレスを共有したＰＰＰセッションが複数あるかもしれない）、ここでの教示により、一つのＰＰＰセッションに関連する、ＰＰＰセッションに割り当てられているプライベートＩＰアドレスを探し出す。更に、ＰＰＰセッションＩＰアドレスを使用して、そのＩＰアドレス用のＰＰＰセッションアカウンティングを決定でき、ユーザのユーザ名及びＣＰＥアドレス２１０を決定できる。
【００２８】
その上、更なる情報が必要な場合（即ち、ユーザ装置のＭＡＣアドレス）、固有セッションＩＤを取得することができ、同じ固有セッションＩＤを有するキャプティブポータルのユーザセッションを探し出すことができる。従って、ユーザ装置（２００）のＭＡＣアドレス及び設定済みルータ（１００）のＭＡＣアドレスを識別できる。
【００２９】
更に、ここでの教示は、スケーラビリティ及び冗長性を促進するためのモジュラー設計を含む「ライブプラットフォーム（Live Platform）」を提供している。一つの実施形態では、ＬＮＳサブプラットフォームは、設定済みルータ１００から生じるＬ２ＴＰｏＰＰＰトンネルを終了させる。ＬＮＳサブプラットフォームは、更に、ユーザのセッションにプライベートＩＰアドレスを割り当て、プライベートＩＰアドレスをパブリックに変換し、ＮＡＴアカウンティングを作成して外部システムログ（external Syslog）に転送し、ＲＡＤＩＵＳプロトコルを使用してユーザのセッションを認証し、ＲＡＤＩＵＳプロトコルを使用してセッションアカウンティングを作成しても良い。
【００３０】
情報技術（「ＩＴ」）サービスサブプラットフォームをも設けてもよく、それはセキュアなＲＡＤＩＵＳ認証及び他のトランザクションのためにシステムプラットフォームとの暗号化されたトンネル（Ｇｒｅ／ＩＰＳｅｃ）を提供することができる一つ又は一つ以上の設定済みルータ／ファイアウォールを含む。ＩＴサービスプラットフォームは、データセンタに設置されているサーバを保護するために、一つ又は一つ以上のファイアウォール機能を実行しても良い。ＩＴサービスプラットフォームはＲＡＤＩＵＳプロキシサーバをも含んでもよく、そのＲＡＤＩＵＳプロキシサーバは一つの実施形態ではＲＡＤＩＵＳ認証及びアカウンティングを集中させて、それに関連する情報をシステムのＲＡＤＩＵＳプロキシ１４０に転送し、システムのＲＡＤＩＵＳプロキシ１４０は、ここでの教示に従うシステム又は方法のプロバイダ又は所有者により維持又は管理されており、世界中のどこにでも設置されてもよい。更に、モニタリングサーバを含んでもよく、そのモニタリングサーバはネットワーク及びサーバ装置の健康状態（health status）を検査し、その情報を集中型モニタプラットフォームに転送するように設定されて、その集中型モニタプラットフォームはここでの教示に従うシステム及び方法のプロバイダ又は所有者により維持又は管理されても良い。更に、情報開示サーバを含んでもよく、情報開示サーバは情報開示アクションに必要な情報（ＲＡＤＩＵＳログ、ＮＡＴアカウンティング等）を記憶し、データ抽出のためのセキュアなウェブインターフェースを提供する。
【００３１】
更にＬＮＳサブプラットフォーム、境界スイッチ（border switches）に加えて、ここに教示されるプラットフォームは、ＬＮＳ１１０及びＩＴサービスサブプラットフォームからのトラフィックを集約し、更にＩＳＰ集約プラットフォームとＩＰ接続性を提供し、冗長性の目的のためにデータセンタ間の接続性を提供するように構成されている。
【００３２】
ここでの教示に従い、Ｗｉ−Ｆｉ又は他の共有されている帯域幅を介して通信ネットワークをアクセスする各ユーザを特定するようにシステム及び方法が提供されている。共有パブリックＩＰアドレス（複数）を介してＷｉ−Ｆｉサービスを使用する各ユーザは、例えば、行政当局（civil authorities）に識別及び開示されることができる。
【００３３】
本発明は特定の実施形態に関連して記載及び例示されているが、多くの他の変形、改良、及び他の用途も当業者には明らかになるだろう。従って、ここには様々な実施形態及び変形例が示されており、従って本発明がここに記載されている特定の開示に限定されないことが好ましい。
【００３４】
＜実施例＞
本発明のシステムの実施の例が下記に説明される。
【００３５】
１ 定義／装置の用語集
表１に記載されている定義及び装置は本発明の記載に使用されている。
【００３６】
２ 序文
２．１ 目的
ここではネットワークトンネリングプラットフォームのためのハイレベルデザインを記載しており、それはユーザが一つ又は複数のＮＡＴサービスの背後にあっても、システムルータ（設定済みルータ１００と言う）に明確なユーザ識別を提供する。
表２に示されるように、ユーザ識別機能は、システムソリューションが最も厳格なＩＳＰセキュリティポリシー及び法的要件にも遵守できるようにする。
【００３７】
表３に示すように、システムトンネリングソリューションは限定されたＩＰアドレスしか使用可能でない環境にも設計することができる。
【００３８】
２．２ 実施例
・ＩＰ保護：ここでは、ソリューションの機能（capability）についてより詳細な説明を提供するためにＩＰ保護が必要だと仮定している。しかしながら、ＩＰ保護がなければこのソリューションについての複雑性及びコストは減少でき、それはＮＡＴを使用してパブリックＩＰアドレスを共有することの代わりに、独立したパブリックＩＰアドレスを与えられた時間に接続している各ユーザに割り当てることにより行える。
・インフラストラクチャの高可用性：ここで記載されているシステムネットワークトンネリングソリューションは完全に冗長であり、データセンタ及び通信プロバイダ用のインフラストラクチャの冗長化も必要である。
・スケーラビリティ：提案されたソリューションでは、ＬＮＳルータ１１０を追加することにより簡単に２００Ｋの同時ユーザにスケールできる。少数の同時ユーザが必要である場合、システムはこの設計及びプラットフォームコストを調整してあらゆる提供される同時使用予測（concurrency forecast）に適合するようにできる。
・管理：システムネットワークチームは、ネットワークトンネリングプラットフォーム設計、発展、設置、及びメンテナンスを担当している。
【００３９】
３ ネットワークソリューション説明
３．１ ユーザ接続フロー図
図１は、システム構成及びユーザ接続フローの図の例を示している。
ユーザは下記に説明されるようにインターネットに接続する。図１のフローは、例えば、設定済みルータ１００がスマートフォン２００（ユーザ）からＨＴＴＰリクエストを受信した場合に開始する。
【００４０】
＜＜設定済みルータのプロフィールリクエスト＞＞
１ 設定済みルータ１００はその設定プロフィール（ホワイトリストのドメイン、ウェルカムページのＵＲＬ、ＬＮＳの詳細等）を得るために、ＲＡＤＩＵＳリクエストを、世界中のどこに位置しても良いシステムのＲＡＤＩＵＳプロキシ１２０、１４０に送信する。
２ システムＲＡＤＩＵＳプロキシ１２０、１４０は、設定プロフィールを設定済みルータ１００に送信する。
【００４１】
＜＜ホワイトリストのドメインへのアクセス＞＞
３ ユーザがＨＴＴＰリクエストをホワイトリストドメインに送信した場合、設定済みルータ１００は、トラフィックをパブリックＩＰアドレスにＮＡＴしてインターネットに転送するユーザＣＰＥ２１０へリクエストを転送する。
４ ＨＴＴＰ応答はユーザのブラウザ（２００）に送信される。
【００４２】
＜＜ノンホワイトリストのドメインへのアクセス＞＞
５ ユーザはＨＴＴＰリクエストをノンホワイトリストドメインへ送信する。
６ 設定済みルータ（１００）のキャプティブポータルはリクエストを遮断して、ユーザブラウザ（２００）にウェルカムページへのＨＴＴＰリダイレクトを送る。
７ ユーザブラウザ（２００）はウェルカムページをリクエストする。
８ ＨＴＴＰＳウェルカムページがユーザに示される。
【００４３】
＜＜ユーザ認証及び許可＞＞
−ウェブサーバ認証−
９ ユーザは本人のクレデンシャル（ユーザ名及びパスワード）をウェルカムページにて記入する。
１０ ウェブサーバ３００は、システムのデータベース３１０にあるユーザのクレデンシャルにアクセスして認証を行う。
１１ 認証に成功した場合、ウェブサーバ３００は、認証段階で使用されるランダムなワンタイムパスワードハッシュを含むＨＴＴＰリダイレクトリクエストをユーザブラウザ２００に送信する。
１２ ユーザのブラウザは、前回のワンタイムパスワードを含む認証リクエストを、ＨＴＴＰを介して設定済みルータ（１００）のキャプティブポータルへ送信する。
【００４４】
−トンネル認証−
１３ 設定済みルータ１００はプライマリシステムＬＮＳ１１０へのＬ２ＴＰトンネルを確立させる（前回の接続で既に確立されていない場合のみ）。もしプライマリＬＮＳ１１０への接続が失敗すると、設定済みルータ１００はセカンダリＬＮＳ１１０への接続を試みる。
１４ 設定済みルータ１００は、ワンタイムパスワードを含むＰＰＰ認証リクエストを、Ｌ２ＴＰトンネル越しにＬＮＳ１１０へ送信する。
１５ ＬＮＳ１１０は、認証ＲＡＤＩＵＳリクエストをパートナーのＩＳＰのシステムＲＡＤＩＵＳプロキシ１２０へ送信する。
１６ パートナーＩＳＰのシステムＲＡＤＩＵＳプロキシ１２０は、リクエストをシステムのプロバイダにより管理されているシステムＲＡＤＩＵＳ１４０に、ＤＣＲルータ１５０間に確立されている暗号化されたＶＰＮを介して転送する。
１７ 認証に成功した場合、システムのプロバイダにより管理されているシステムＲＡＤＩＵＳ１４０は、暗号化ＶＰＮを介して、パートナーＩＳＰのＲＡＤＩＵＳプロキシ１２０へアクセス許可（access-accept）を返送する。
１８ パートナーＩＳＰのＲＡＤＩＵＳプロキシ１２０は、アクセス許可をＬＮＳ１１０に転送する。
１９ ＬＮＳルータ１１０は、ＰＰＰトンネルを受け入れ、ＰＰＰセッションにプライベートＩＰアドレスを割り当てる。
【００４５】
−キャプティブポータル認証−
２０ 設定済みルータ１００は、パートナーのＩＳＰのシステムＲＡＤＩＵＳプロキシ１２０へ、ワンタイムパスワードを含むＲＡＤＩＵＳ認証リクエストを送信する。
２１ ＲＡＤＩＵＳリクエストが、システムのプロバイダが管理しているシステムのＲＡＤＩＵＳ１４０へ転送される。
２２ クレデンシャルはＰＰＰ認証用のものと同じであるから、リクエストは必ず許可される。アクセス許可パケットは、世界中のどこに位置しても良いシステムＲＡＤＩＵＳプロキシ１２０、１４０へ送信される。
２３ アクセス許可は設定済みルータ１００に送信されて、それにはユーザのネットワークプロフィールが含まれる。
２４ 設定済みルータ１００は、ＬＮＳ１１０によりＰＰＰセッションに割り当てられたプライベートＩＰアドレスとＤＨＣＰを介して設定済みルータ１００によりユーザ装置に割り当てられたプライベートＩＰアドレスとの間の静的ＮＡＴを含むインターネットアクセスを、ユーザのために設定する。
【００４６】
＜＜認証ユーザ用のインターネットへのアクセス＞＞
２５ ユーザは、設定済みルータ１００を介してインターネットへリクエストを送信する。
２６ リクエストはＰＰＰトンネル内にカプセル化される。
２７ ＬＮＳ１１０はそのリクエストにＰＡＴ（ポートアドレス変換）を行い、リクエストのプライベートＩＰアドレス及びポートをパブリックＩＰアドレス（これは別のポートであっても良い）へ変換する。
２８ ＰＡＴログは情報開示サーバ１３０に記憶される。
２９ リクエストはインターネットへ転送される。
３０ インターネットからの応答はＰＡＴ処理に戻る。
３１ ＩＰ変換は反転される。
３２ ＬＮＳ１１０は、ＰＰＰトンネルを介して設定済みルータ１００へ応答を送信する。
３３ 設定済みルータ１００はリクエストをユーザへ転送する。
【００４７】
３．３ ライブプラットフォーム
ライブプラットフォームはソリューションのスケーラビリティ及び冗長性を促進するためのモジュラー設計を有する。
【００４８】
−機能性の説明−
＊ＬＮＳサブプラットフォーム
・設定済みルータ１００で発生したＬ２ＴＰｏＰＰＰトンネルを終了する。
・ユーザの複数のセッションにプライベートＩＰアドレスを割り当てる。
・プライベートＩＰアドレスをパブリックのものに変換する。
・ＮＡＴアカウンティングを作成して、それを外部シスログに転送する。
・ＲＡＤＩＵＳプロトコルを使用して複数のユーザセッションを認証する。
・ＲＡＤＩＵＳプロトコルを使用してセッションアカウンティングを作成する。
【００４９】
＊ＩＴサービスサブプラットフォーム
・ルータ／ファイアウォール
−セキュアなＲＡＤＩＵＳ認証及び他のトランザクションのため、プロバイダのシステムプラットフォームと暗号化トンネル（Ｇｒｅ／ＩＰＳｅｃ）を提供する。
−データセンタに取り付けられたサーバを保護するためにファイアウォール能力を実行する。
【００５０】
・ＲＡＤＩＵＳプロキシサーバ１２０
−全てのＲＡＤＩＵＳ認証及びアカウンティングが集中されて、それをシステムのプロバイダに管理されているシステムＲＡＤＩＵＳプロキシ１４０へ転送する。
・モニタリングサーバ
−ネットワーク及びサーバ装置の健康状態を検査して、その情報をプロバイダの集中型モニタプラットフォームに転送する。
【００５１】
・情報開示サーバ１３０
−情報開示アクションに必要な情報を記憶する（ＲＡＤＩＵＳログ、ＮＡＴアカウンティング等）
−データ抽出のためのセキュアなウェブインターフェースを提供する。
【００５２】
＊境界スイッチ
・ＬＮＳ１１０及びＩＴサービスサブプラットフォームからの全てのトラフィックを集約する。
・ＩＳＰパートナーの集約プラットフォームとのＩＰ接続性を提供する。
・冗長性の目的のため、データセンタ間の接続性を提供する。
【００５３】
−スケーラビリティ−
＊ＬＮＳサブプラットフォーム：トンネルセッション及びＮＡＴは全てのＬＮＳルータ１１０の間で分散される。このプラットフォームには単一障害点又はトラフィックの集中はないため、追加のＬＮＳルータ１１０を単に加えることによりスケールできる。
・ＩＴサービス：複数の目的（モニタリング、ＲＡＤＩＵＳプロキシ、及び情報開示サービス）のためのサーバファーム（即ち、ＨＰ ＤＬ ３８０）であり、それは追加サーバを加えることに簡単に増大できる。
・ＩＴサービスルータ：更なるハードウェア又は二つ目のルータのどちらかでアップグレードできるモジュラールータ（即ち、Ｃｉｓｃｏ ３９４５）
・境界スイッチ：コアスイッチ（即ち、ＳｔａｃｋＷｉｓｅ Ｐｌｕｓテクノロジーを有するＣｉｓｃｏ３９５０Ｅで、それにより６４Ｇｂｐｓバックボーンで９個のスイッチの集約を可能にする）
−冗長性−
＊ＬＮＳサブプラットフォーム：各ＬＮＳ１１０は他から完全に独立しており、二つの地理的に離れているデータセンタにわたり分散している。各設定済みルータ１００は、プライマリＬＮＳ１１０（プライマリデータセンタに位置する）及びセカンダリＬＮＳ（セカンダリデータセンタに位置する）を動的に構成する。従って、一つ又は一つ以上のＬＮＳ１１０がデータセンタで故障した場合、ユーザはセカンダリＬＮＳ１１０に再接続できる。
【００５４】
＊ＬＮＳフェイルオーバー：ＬＮＳプラットフォームは余分の容量を有する大きさにできる。複数のＬＮＳ１１０が故障した場合には、最大使用のシナリオの場合でも他のＬＮＳ１１０がサービスを１００％引き受けられる。
【００５５】
＊ＩＴサービスルータ及びサーバ：これらは二つのデータセンタで二重にしてある。全てのＬＮＳルータ１１０は両方のＩＴサービスプラットフォームに局所的に又はデータセンタ間リンクを介して達することができる。例えば、もしプライマリＲＡＤＩＵＳプロキシサーバ１２０が故障した場合、全てのＬＮＳ１１０はセカンダリＲＡＤＩＵＳプロキシ１２０に接続できる。
【００５６】
＊境界スイッチ：境界スイッチは各データセンタでクラスタに構成されている。マスタスイッチが一つのデータセンタで故障した場合には、同じデータセンタのスレーブスイッチがマスタになり、サービスが中断されることがない。全てのＬＮＳルータ１１０及びＩＴサービスルータはマスタ及びスレーブスイッチとの重複した接続を有する。
【００５７】
３．４ ライブプラットフォームＩＰアドレッシング
３．４．１ トンネルが確立される前
図２は、トンネリングセッションが確立する前の状態を説明する図である。
スマートフォン２００のＩＰアドレスは、ＤＨＣＰを介して設定済みルータ１００により割り当てられるプライベートＩＰアドレスである。ＬＡＮ側の設定済みルータ１００のＩＰアドレスは、システムのプロバイダ又は所有者により割り当てられている又はユーザにより手入力で設定されるプライベートＩＰアドレスである。図２では、設定済みルータ１００のＬＡＮ側及びスマートフォン２００のＷＡＮ側のネットワークアドレスは、１９２．１６８．１８２．０／２４である。１９２．１６８．１８２．１０はスマートフォン２００に割り当てられて、１９２．１６８．１８２．１はＬＡＮ側の設定済みルータ１００に設定される。
【００５８】
ＷＡＮ側の設定済みルータ１００のＩＰアドレスは、ＤＨＣＰを介してＣＰＥにより割り当てられる又はユーザが手入力で設定したプライベートＩＰアドレスである。ＬＡＮ側のＣＰＥ２１０のＩＰアドレスは、ＩＳＰにより事前に設定された又はユーザにより手入力で設定されたプライベートＩＰアドレスである。図２では、設定済みルータ１００のＷＡＮ側及びＣＰＥ２１０のＬＡＮ側のネットワークアドレスは、１７２．１６．３４．０／２４である。１７２．１６．３４．１０がＷＡＮ側の設定済みルータ１００に設定され、１７２．１６．３４．１がＬＡＮ側のＣＰＥ２１０に設定される。
【００５９】
ＷＡＮ側のＣＰＥ２１０のＩＰアドレスは、ＤＨＣＰ、ＰＰＰｏＥ等を介してＩＳＰにより割り当てられたパブリックＩＰアドレスである。図２では、ＣＰＥ２１０のＷＡＮ側のネットワークアドレスは６２．１３４．８．１６／２９である。６２．１３４．８．１８がＷＡＮ側のＣＰＥ２１０に設定されて、６２．１３４．８．１７がＣＰＥ２１０のデフォルトゲートウェイとして設定される。
【００６０】
この状態で、スマートフォン２００のＩＰアドレスは６２．１３４．８．１８である。更に、ネットワーク１９２．１６８．１８２．０／２４又は１７２．１６．３４．０／２４に接続されているあらゆる装置は、ＰＡＴ処理のためインターネットでパブリックＩＰアドレスの６２．１３４．８．１８を使用する。加入者の接続を差別化することはできない。
【００６１】
３．４．２ Ｌ２ＴＰトンネルは確立されているがＰＰＰセッションは確立されていない
図３は、Ｌ２ＴＰトンネルが確立された後、かつＰＰＰセッションが確立される前の状態を示す図である。図３は、設定済みルータ１００により一つのＬ２ＴＰトンネルが確立されて、ＬＮＳ１１０へ直接のケーブル（レイヤ２機能）をエミュレートする状態を示している。図３では、２０５．６７．７８．２０がＷＡＮ側でＬＮＳ１１０のＩＰアドレスとして設定されていると仮定する。Ｌ２ＴＰトンネルのみが確立されており、ＰＰＰセッションは確立されていないため、トンネルはユーザトラフィックを移送できない。
【００６２】
設定済みルータ１００は、スマートフォン２００のＩＰアドレス１９２．１６８．１８２．１０を、設定済みルータ（１００）のＷＡＮＩＰアドレス１７２．１６．３４．１０にＰＡＴ処理で変換する。設定済みルータ１００及びＬＮＳ１１０の間のＬ２ＴＰアドレス指定に関して、設定済みルータ１００は、宛先ＩＰアドレスを、ＬＮＳ１１０のＷＡＮＩＰアドレスである２０５．６７．７８．２０に設定し、ソースＩＰアドレスを、設定済みルータ１００のＷＡＮＩＰアドレスである１７２．１６．３４．１０に設定する。しかしながら、ＣＰＥ２１０は設定済みルータ１００のＩＰアドレス１７２．１６．３４．１０をＣＰＥ（２１０）のＷＡＮＩＰアドレス６２．１３４．８．１８にもＰＡＴ処理により変換する。従って、ＬＮＳ１１０のソースＩＰアドレスは６２．１３４．８．１８となる。
【００６３】
３．４．３ Ｌ２ＴＰトンネル及びＰＰＰセッションが両方とも確立されている
図４は、Ｌ２ＴＰトンネル及びＰＰＰセッションが両方とも確立された後の状態を説明する図である。図４では、１．１．１．１がＬＮＳ１１０のループバックＩＰアドレスとして設定されていると仮定する。
【００６４】
ＰＰＰセッションがＬ２ＴＰトンネルを介して確立されると、ＬＮＳ１１０はプライベートＩＰアドレスをＰＰＰセッションに割り当てる。複数のＰＰＰセッションがＬ２ＴＰトンネルで移送できるため、ＬＮＳ１１０は各ＰＰＰセッション用に異なるプライベートＩＰアドレスを設定済みルータ１００に割り当てる。図４では、１０．１２８．４０．３４がＰＰＰセッション用に設定済みルータ１００で割り当てられ、ＰＰＰセッションのデフォルトゲートウェイはＬＮＳ１１０のループバックアドレスである１．１．１．１に設定される。Ｌ２ＴＰトンネルがレイヤ２接続をエミュレートするため、設定済みルータ１００はＬＮＳ１１０ＩＰループバックアドレスに直接接続しているようにみえる。
【００６５】
設定済みルータ１００は、ＰＡＴ処理より高い優先順位である、ＰＰＰセッション用の静的ＮＡＴ処理を実施する。スマートフォン２００のＩＰアドレス１９２．１６８．１８２．１０は１０．１２８．４０．３４に変換され、これはＰＰＰセッションの設定済みルータ１００のＷＡＮＩＰアドレスである。ＰＰＰセッションは、Ｌ２ＴＰトンネル内にカプセル化されるため、ＣＰＥ２１０によって変換されない。従って、ＰＰＰトンネルアドレッシングに関して、宛先アドレスは１．１．１．１であり、ソースアドレスは設定済みルータ１００及びＬＮＳ１１０の両方でも１０．１２８．４０．３４である。
【００６６】
ＬＮＳ１１０はＰＡＴを実施して、これによりＰＰＰセッションのトラフィックがインターネットに転送される前に変換される。ＬＮＳ１１０はＰＡＴ処理のかわりにＮＡＴ処理を実施してもよく、これにより個別のＩＰアドレスが各ＰＰＰセッションに割り当てられる。図４では、ＬＮＳ１１０のＰＡＴではネットソースは１０．１２８．０．０／１６であり、ネット宛先は２０５．６７．８０．６４／２６である。ＰＡＴアカウンティングは開示提案のときのために、情報開示サーバ１３０に格納される。
【００６７】
図４では、スマートフォン２００のインターネットでのＩＰアドレスは、例えば２０５．６７．８０．６５であり、これはシステムのプロバイダ又は所有者のパブリックＩＰアドレスである。この状態では、各ＰＰＰセッションにプライベートアドレスが割り当てられているため加入者の接続を差別化することができる。
【００６８】
３．５ レイヤ３ライブプラットフォームマップ
図５は、レイヤ３ネットワークマップの例を示している。このマップは、パートナーのデータセンタと、パートナーのネットワークプラットフォームと、プロバイダのシステムプラットフォームとのシステムのキャビネットのＩＰ接続を表している。
【００６９】
３．６ レイヤ２ライブプラットフォームマップ
図６は、レイヤ２ライブネットワークマップの例を示している。このマップはＩＳＰパートナーのデータセンタのシステムプラットフォームと、パートナーのプラットフォームとの間のリンク接続を表している。
【００７０】
４ ネットワークインフラストラクチャ
４．１ 装置の説明
４．１．１ Ｌ２ＴＰネットワークサーバルータ（Cisco.comから）
「ＣＩＳＣＯ７２０１」
ＣＩＳＣＯ７２０１の利点は下記を含む。
・ＣＩＳＣＯ７３０１に比べて２倍の性能を提供する。ＣＩＳＣＯ ＥＸＰＲＥＳＳ ＦＯＲＷＡＲＤＩＮＧで毎秒２億パケット（２Ｍｐｐｓ）まで。
・４つのビルトインギガビット・イーサネット（ＧＥ）ポートを提供する。
・管理のため一つ専用の１０／１００Ｍｂｐｓ銅イーサネットポートを提供する。
・一般的な格納及びセキュリティトークン格納のため一つのＵＳＢポートを提供する。
・デフォルトで１ＧＢのＤＲＡＭメモリを提供する。２ＧＢにアップグレード可能。
・大幅に改良された価格／性能比を提供する。
・ＣＩＳＣＯ７０００シリーズポートアダプタスロットを一つ提供する。
・完全なＣＩＳＣＯＩＯＳソフトウェア特徴セットをサポートする。
・差し込み可能な（pluggable）ＧＥ光学部品（小型フォームファクタ差し込み可能［ＳＦＰ］光学部品）を提供する。
・コンパクトで、効率的（power efficient）な１ＲＵフォームファクタを有する。
・前面から背面へのエアーフロー及び一面側管理（single-sided management）を提供する。
【００７１】
「ＣＩＳＣＯ７２００ ＮＰＥ−Ｇ２ ネットワーク処理エンジン」
ますます、ビジネスアプリケーション及びサービスが、ＷＡＮ及びメトロポリタンエリアネットワーク（ＭＡＮ）にわたり、ブランチオフィス及び本部の両方にて、集約必須要件及びルータ統合サービスを影響している。従って、ブランチオフィス及び本部にて統合したサービスのための更なる必要性を持続的に満たすため、及び格別な価値及びフレキシビリティを維持するため、ＣＩＳＣＯＳＹＳＴＥＭＳ（登録商標）はＣＩＳＣＯ（登録商標）に最新のプロセッサを紹介する。
７２００ＶＸＲシリーズ ＣＩＳＣＯ７２００ＶＸＲ ＮＰＥ−Ｇ２ネットワーク処理エンジン。ＣＩＳＣＯ ＮＰＥ−Ｇ２は性能及びフレキシビリティへの要求を、その処理容量を更に増加して、最新のＣＩＳＣＯ ＩＯＳ（登録商標）ソフトウェア特徴を可能にすることにより対処している。ＣＩＳＣＯ ＮＰＥ−Ｇ２の利点は下記を含む。
【００７２】
・ＣＩＳＣＯ７２００ ＶＸＲ ＮＰＥ−Ｇ１に比べて２倍の性能を提供する。ＣＩＳＣＯ ＥＸＰＲＥＳＳ ＦＯＲＷＡＤＩＮＧで毎秒２億パケット（ｐｐｓ）まで。
・１０／１００／１０００Ｍｂｐｓ銅イーサネットポート及びあらゆる帯域ポイントを消耗しない光学ポートを３つ提供する。
・管理のため専用の１０／１００Ｍｂｐｓ銅イーサネットポートを一つ提供する。
・一般的な格納及びセキュリティトークン格納のため２つのＵＳＢポートを提供する。
・デフォルトで１ＧＢのＤＲＡＭメモリを提供する。
・Ｉ／Ｏコントローラの要件を削除する。
・利用可能なＩＯスロットの使用を一つのポートアダプタ又はＣＩＳＣＯ ７２００ ＶＸＲ ＶＰＮサービスアダプター（ＶＳＡ）に延長する。
・大幅に改良された価格／性能比を提供する。
【００７３】
４．１．２ サービスルータ（Cisco.comから）
「ＣＩＳＣＯ３９４５シリーズサービス統合型ルータ」
ＣＩＳＣＯ３９００シリーズは既存のＣＩＳＣＯ３８００シリーズの最高商品（best-in-class offering）にビルドする。
サービス統合型ルータは２つのプラットフォームを提供する。ＣＩＳＣＯ３９２５及びＣＩＳＣＯ３９４５サービス統合型ルータ。
ＣＩＳＣＯ３９００シリーズサービス統合型ルータは両方とも、組み込みハードウェア暗号化アクセラレーション、音声及びビデオ可能デジタル信号プロセッサ（ＤＳＰ）スロット、任意のファイアウォール、侵入防止、コール処理、音声メール、及びアプリケーションサービスを提供する。更に、プラットフォームは、産業界で最も広範囲のワイヤード及びワイヤレス接続オプションであるＴ１／Ｅ１、Ｔ３／Ｅ３、ｘＤＳＬ、銅、及びファイバＧＥ等をサポートしている。
ＣＩＳＣＯ３９００シリーズは小さなビジネスオフィスから大きな企業オフィスまでフレキシブルネットワーク展開のために高い性能及びフレキシビリティを提供して、それらは全て業界最先端の投資保護を提供しながら提供される。
【００７４】
４．１．３ 帯域外監視ネットワークルータ（Cisco.comから）
「ＣＩＳＣＯ２９１１シリーズサービス統合型ルータ」
ＣＩＳＣＯ２９００シリーズは既存のＣＩＳＣＯ２８００シリーズサービス統合型ルータの最高商品にビルドし、それは４つのプラットフォーム（図１）の、ＣＩＳＣＯ２９０１、２９１１、２９２１、及び２９５１サービス統合型ルータを提供することにより行われる。
【００７５】
全てのＣＩＳＣＯ２９００シリーズサービス統合型ルータは、組み込みハードウェア暗号化アクセラレーション、音声及びビデオ可能デジタル信号プロセッサ（ＤＳＰ）スロット、任意のファイアウォール、侵入防止、コール処理、音声メール、及びアプリケーションサービスを提供する。更に、プラットフォームは、産業界の最も広範囲の、Ｔ１／Ｅ１、ｘＤＳＬ、銅及びファイバＧＥ等のワイヤード及びワイヤレス接続オプションをサポートしている。
【００７６】
４．１．４ サーバ（Hp.comから）
「ＨＰ ＰｒｏＬｉａｎｔ ＤＬ３８０ Ｇ６」
ＨＰ ＰｒｏＬｉａｎｔ ＤＬ３８０ Ｇ６サーバは、更なるフレキシビリティ及び性能、企業クラスアップタイム及び扱いやすさ、２ソケットインテル Ｘｅｏｎ性能、及び複数のアプリケーション用の２Ｕ密度と、その技術的な優秀さの伝統を提供し続ける。
・プロセッサ
２Ｑｕａｄ−Ｃｏｒｅ又はインテル（登録商標）Ｘｅｏｎ（登録商標）プロセッサ５５００シーケンスまで
インテル（登録商標） ５５２０チップセット
・メモリ
合計１８のＤＩＭＭスロット
１９２ＧＢ（１２のＤＩＭＭスロットがある１６ＧＢキットが実装される）まで、ＰＣ３−８５００Ｒ ＤＤＲ３登録（ＲＤＩＭＭ）メモリを使用し、２ＤＩＭＭが各チャンネルに１２スロットに完全に実装される場合８００Ｍｈｚで動作する。
【００７７】
４．２ データセンタインフラストラクチャ
４．２．１ レイヤ１プラットフォームマップ
図７はインフラストラクチャマップの例を示している。このマップは両方のデータセンタのラック内の装置の配置を表している。
【００７８】
４．２．２ データセンタ必須要件
・位置：二つのデータセンタは地理的に冗長
・キャビネット：データセンタ毎に１ラック（即ち、４８Ｕ ７５０ｍｍ幅×１２００ｍｍ）。例えば、このモデル。
・スイッチＰＤＵ：リモート電源ＯＮ／ＯＦＦを行うラックパワーバー（rack power bar）。例えばこのモデル。
・ＮＯＣサポート：あらゆる可能性のある問題を拡大させるネットワーク操作センタ。例えば、システムは停電を報告する必要があるかもしれない。
・インテリジェント・ハンズ（intelligent hands）：緊急な物理的操作が必要になった場合のエンジニアアベイラビリティ。例えば、システムは電線が適切に装置に接続されているかを検査するエンジニアが必要となるかもしれない。
・ＳＬＡ及びセキュリティ：適当な環境パラメータ及び安全なアクセスが必要である。
【００７９】
４．３ 通信
＊ライブネットワーク
・各データセンタにユーザトラフィック用の２×１０Ｇｂｐｓインターネットリンク（全部で４×１０Ｇｂｐｓ）
・インターフェースタイプは後述する（ＬＲ、ＳＲ等）
・冗長性の目的で各リンクは異なるルータに接続されている。
【００８０】
＊帯域外監視ネットワーク
・リモート管理目的用の１×ファスト・イーサネットインターネットリンク（２×１００Ｍｂｐｓ）
・これらのリンクは、冗長性の目的のために、ライブネットワークのものではない別のルータに接続されるべきである。
【００８１】
＊データセンタ間プライベートネットワーク
・各データセンタに位置する両方のラックの間の１×ファスト・イーサネットプライベートリンク
・これは重要なリンクのため、様々な保護により実施されるべきである（冗長性の目的のため複数のパス）。
・もし様々な保護が可能でない場合、第２リンクは実施されるべきである。
【００８２】
５ 管理
５．１ 帯域外監視ネットワーク
５．１．１ ＯＢＳＮ説明
帯域外監視ネットワークは安全で信頼できるリモート管理能力を提供する。
【００８３】
＊セキュア
・ＩＰＳｅｃトンネルはプロバイダのＯＢＳＮルータからパートナーのデータセンタのシステムＯＢＳＮルータに確立される。
・プロバイダのシステム管理ネットワークからパートナーのデータセンタの全ての装置への接続は完全に暗号化されている。
・ＯＢＳＮへのトラフィックはユーザのトラフィックとは別であり、ＶＲＦ（仮想ルーティングフォーワディング）インスタンスを含む。
【００８４】
＊信頼性
・障害点が一つではない（全てのＯＢＳＮルータ及びトンネルは冗長である）。
・各装置へのアクセスはリモートでセキュアシェル（ＳＳＨ）又はコンソールによりできる。これにより、装置に接続問題がある場合又はブートシーケンスにリモートアクセスが必要な場合でも、装置が利用可能及び到達可能であることを保証する。
ＯＢＳＮ用の装置は端末サービスモジュールを含む２つのＣＩＳＣＯルータ２９１１である（詳細は４．１．３を参照）。
【００８５】
５．１．２ レイヤ３ＯＢＳＮネットワークマップ
図８はレイヤ３ＯＢＳＮネットワークマップの例を示している。このマップはパートナーのデータセンタ、パートナーのプラットフォーム、及びプロバイダのシステムプラットフォームのシステムキャビネットの帯域外監視ネットワークのＩＰ接続を表している。
【００８６】
５．１．３ レイヤ２ＯＢＳＮプラットフォームマップ
図９はレイヤ２ＯＢＳＮプラットフォームマップの例を示している。このマップはパートナーのデータセンタのシステム帯域外監視ネットワークプラットフォーム、及びパートナープラットフォームのインターコネクションのリンクコネクションを表している。
【００８７】
５．１．４ ＯＢＳＮ内部ルーティング
ＯＢＳＮネットワークはＤＣＲルータ１５０に位置しており、ＤＣＲルータはＶＬＡＮ構成能力を有する２４ポートのファスト・イーサネットカードを有する。装置（ルータ、サーバ、ＰＤＵ等）の各部品は、リモート管理目的のためにこのネットワークに接続されている。
装置がＶＲＦ（仮想ルーティングフォーワディング）能力を有しているであろうとなかろうと、他のネットワークからＯＢＳＮ隔離を保証するために構成されるべきである。もし装置がこの能力を有していない場合には、装置はＯＢＳＮネットワークのみに接続されるか、又は最も厳格なレベルのセキュリティで構成されて、ＯＢＳＮが侵害されないようにする。
【００８８】
下記はルータ毎のルーティングの説明である。
＊ＯＳＲルータ
・ＤＣＲ１５０のローカルＯＢＳＮＶｌａｎに達するルート
・境界スイッチによって他のデータセンタＯＢＳＮＶｌａｎに達するルート
・ＩＰＳｅｃ／ＧＲＥトンネルによってプロバイダのプラットフォームに達するルート
＊ＤＣＲルータ１５０
・ＯＢＳＮＶｌａｎが直接接続される
・境界スイッチを介して他のデータセンタＯＢＳＮＶｌａｎに達するルート
・デフォルトルートはローカルＯＳＲ
＊境界スイッチ
・ＤＣＲ１５０でローカルＯＢＳＮＶｌａｎに達するルート
・二点間リンクによって他のデータセンタＯＢＳＮＶｌａｎに達するルート
・デフォルトルートはローカルＯＳＲ
【００８９】
５．２ テストプラットフォーム
テストプラットフォームは、ＩＳＰプラットフォーム内に配置される前にトンネリングソルーションを広範囲にわたり検査するには重要である。
【００９０】
−装置−
・ＩＯＳソフトウェアありのＣＩＳＣＯルータ２８１１：ＬＮＳ１１０（ＣＩＳＣＯ７２０１）と同様のＬ２ＴＰ及びＰＰＰ機能性（functionality）を有する。
・ＤｅｂｉａｎＯＳのサーバ：最終ＩＴサービスサーバが有するのと同様の機能を有する。
【００９１】
−実施した検査−
・トンネル確立：設定済みルータ（１００）のファームウェアは修正されて、このプラットフォームに接続して、パートナーが位置する国の異なるＩＳＰでＰＰＰトンネルにわたるＬ２ＴＰがフィルターされないことをチェックする。全ての検査は、好結果である。
・ユーザトラフィックＮＡＴ：プライベートアドレスが各ＰＰＰ接続に割り当てられて、オーバーロードＮＡＴが正常に適用されている。
・ＮＡＴアカウンティング：全てのＮＡＴアカウンティングはサーバに格納されている。
設定済みルータ１００の今後のあらゆる新しい機能性は、ライブプラットフォームに統合される前に、このプラットフォームで検査されるべきである。
【００９２】
５．３ モニタリング
システムは日本にあるプラットフォームに二重モニタリングシステムを実施する。
【００９３】
＊ローカルモニタリング
・各データセンタに設置されているモニタリングサーバは、プラットフォーム用にローカルモニタリングを提供する。
・ネットワークモニタリング：ＯｐｅｎＮＭＳプラットフォームが配置され、ＳＮＭＰプロトコルを用いてネットワーク装置を監視する。
・システムモニタリング：Ｚａｂｂｉｘプラットフォームが配置されて、ローカルエージェント（local agents）を使用してサーバ及びサービス（ＲＡＤＩＵＳプロキシ等）を監視する。
・システム管理社のブラックベリー装置へＥメールにて警報が増加する。
【００９４】
＊リモートモニタリング
・セカンダリモニタリングプラットフォームがプロバイダのシステムプラットフォームに構成されて、下記を検査する。
−パートナーのデータセンタのプライマリモニタリングプラットフォームが正常に働いているか。
−パートナーのデータセンタ及びプロバイダのシステムプラットフォームの間の通信が正常に働いているか。
・システム管理社のブラックベリー装置へＥメール／ＳＭＳによる警報が増加する。
・このリモートモニタリングプラットフォームはＯＢＳＮを使用して、パートナーのデータセンタにあるシステム装置に達する。
【００９５】
＊第三者モニタリング
・システムはサードパーティ企業と契約することにより、プラットフォームに完全に独立したモニタリングシステムを提供してもよい。
・このサービスのコアパラメータは下記の通りにしてもよい。
−プロバイダは、システムの帯域外監視ネットワークにアクセスするため、両方のデータセンタに位置する各２９１１に暗号化ＶＰＮを確立する必要がある。
−ＣＩＳＣＯの各装置は下記に監視される必要がある。
−ＳＮＭＰプーリング（pooling）：モニタリングプラットフォームはＳＮＭＰリクエスト（後に定義する）をルータ及びサーバに送信しなければならない。
−ＳＮＭＰトラップ：ルータ及びサーバからＳＮＭＰトラップが受信可能でなければならない。
−モニタリングサービスプロバイダは下記が可能であるオペレーションチームが必要である。
−プラットフォームを２４×７をベースに監視する。
−警報を分析して、それが参考目的（informational）又は重要かを区別する。
−システムのネットワーク管理者に重要な警報をＥメール、電話等（後に規定する）によって、サービスＳＬＡ（後に規定する）で規定される最大通知時間内に増加する。
−システムは、プラットフォームステータス、ログ、及び報告が使用可能な情報ポータルへの安全なアクセスが必要である。
【００９６】
５．４ メンテナンス
システムプラットフォーム装置はハードウェアメンテナンスサービスが必要であり、それはパートナーＩＳＰ又はサードパーティ企業が提供できる。
下記はメンテナンスサービスの必要条件であり、それはサードパーティ企業が外部モニタリングサービスを提供すると仮定した場合である。
・モニタリングサービスにより全部又は一部のシステム故障が検出されなければならない。
・短期間（後に規定する）で、エンジニアは故障した装置が位置するパートナーＩＳＰデータセンタにあるシステムキャビネットに行く必要がある。
・故障が始まってから最大４時間以内に、代替の装置が設置されて稼動しているべきである。
・全処理にわたりフィードバックがシステムに定期的に（後に規定する）報告されるべきである。
・このサービスには強いＳＬＡを必要とし、プロバイダは３６５×２４×７サービスに専念できる必要がある。
・サーバＨＰＤＬ３８０のメンテナンスは保留であり、これから規定される。
【００９７】
５．５ 管理
システムはネットワーク管理が２層ある。
＊システムネットワーク部門
・プロバイダ及び国際パートナーＩＳＰのシステムプラットフォームを管理する。
・システム本部からＯＢＳＮへのアクセスがある。
・緊急の場合、ＯＳＢＮにリモート接続できる。
・リアルタイムで警報を受信できるブラックベリー装置を管理者は有する。
＊外部ネットワークコンサルタント会社
・システムはサードパーティ企業とパートナー契約をして、特定のプロジェクトに更なるネットワークリソース及びコンサルタント業を提供する。
・前述のサードパーティ企業のネットワークエンジニアは、管理目的のためにシステムＯＢＳＮにアクセスできる。
【００９８】
５．６ オンコール／緊急サービス
システムは緊急事態のためにオンコールサービスを提供する。下記がサービスの定義である。
＊システムは自身のネットワークアドミニストレータチームがいるが、ビジネス時間外に緊急アドミニストレーションサービスが必要となる。
・月曜日から金曜日−１９：００から９：００
・土曜日、日曜日−２４時間
・他の日（公休日（bank holiday）等）−２４時間
＊このサービスは小人数チームの適任のエンジニアにより提供される必要がある。
＊エンジニアは、システムプラットフォーム、インフラストラクチャプロバイダ、起こり得る問題及び問題の対策に関して深い知識を必要とする。
＊システムはこの目的に必要な全ての書類を送信するが、プロバイダは自身の書類を作成して自身の内部処理に応じるようにする。
＊モニタリングサービスを担当するオペレーションチームが更なる行動（ハードウェアの置き換え、インフラストラクチャプロバイダのトラブルシューティング等）を必要とする警報を検出した場合、オンコールエンジニアはその事件の担当になり、それを修理するために必要な行動を実行する必要がある。
＊システムは、オンコールサービスにより実行されたあらゆるトラブルシューティングのフィードバックをもらい、発生後に詳細レポート（フォーマットは後述する）をもらう必要がある。
【００９９】
６ ＩＰ保存性
６．１ ＮＡＴソリューション
当初必要とされていたパブリックＩＰアドレスの数を減らすために、ＩＰ保存性のシナリオが必要となるかもしれない。
下記の通りに仮定する。
・入力通信（インターネットからユーザ装置への）は必要ではない。
・ＩＳＰユーザ間の直接的な通信は必要でない。
ＩＰ保存性に関するシステムのアプローチは、各ＬＮＳ１１０内で分散されたＮＡＴを行うことである。このソリューションのいくつかの利点は下記の通りである。
・性能：全てのユーザトラフィックは７２００ＣＩＳＣＯルータ内でＮＡＴを通る必要があり、ＮＡＴアカウンティングは７２００自身で作成される必要がある。このルータはこの様な操作のために設計されている。
・スケーラビリティ：ＮＡＴが分散されているからスケーラビリティに限度はない。各ＬＮＳ１１０は互いから完全に独立している。
・信頼性：ソリューションは既存のネットワーク装置に依拠するため、障害点は余分にない。
・操作：ＣＩＳＣＯルータは少ないメンテナンスですむ。
【０１００】
６．２ ＩＰアドレッシングスキーマ（addressing schema）
６．２．１ ライブプラットフォーム用のＩＰアドレッシング
・システムはＰＰＰセッションに１０．１２８．０．０／９の範囲のプライベートＩＰアドレスを割り当てる。
・ユーザのＰＰＰトンネルに、プライベート／１８プールが各ＬＮＳ１１０に割り当てられる。
・ＰＰＰセッションをＮＡＴするため各ＬＮＳ１１０はパブリック／２６プールを有する。
・プラットフォーム構成にパブリックＩＰアドレスも必要である。
・合計で、パブリック／２２ネットワークが各データセンタ、ＮＡＴプール、プラットフォーム構成、及び将来のサービスの成長に必要である。
・ＨＬＤの更なるリリースは詳細なＩＰアドレッシングスキーマを含む。
【０１０１】
６．２．２ ＯＢＳＮプラットフォーム用のＩＰアドレッシング
・システムは、セキュリティ及びＩＰ保存性の理由のため、ＯＢＳＮプラットフォームでパライベートＩＰアドレスを設定する。
・ＯＢＳＮプラットフォームでの唯一のパブリックＩＰアドレスはＯＳＲルータにて設定され、ＯＳＲルータはパートナーＩＳＰプラットフォームを介してインターネットに接続されている。
・ＨＬＤの更なるリリースは、詳細なＩＰアドレッシングスキーマを含む。
【０１０２】
７ スケーラビリティ
トンネル及びＮＡＴソリューションはＬＮＳルータ１１０により、分散されたモデルで、提供される。データセンタ毎の二つの境界スイッチは、少なくとも１４のＬＮＳルータ１１０を集約できる。
各ＬＮＳルータ１１０は約１０、０００のユーザセッションをサポートし、１，８Ｇｂｐｓのスループット、及び２ＧＢのメモリＲＡＭを有し、そのことは同時使用がピークのときには各ユーザは少なくとも平均すると１００Ｋｂｐｓのスループット及び１００のＮＡＴ変換を実施できることを意味する。
サーバの性能によっては、将来ＮＡＴログ格納のために更なる装置を追加することが必要となるかもしれない。
【０１０３】
下記の表４は、ＬＮＳルータ１１０（全てのＬＮＳルータ１１０は完全にロードされ（fully loaded）、バックアップモードではない）の数によってプラットフォームがサポートできる同時ユーザ数の要約である。
【０１０４】
８ プラットフォームセットアップ
＊ネットワーク
・設計
−要件コンパイル
−要件分析
−機能的設計（トンネル、ＮＡＴ、ＩＰ保存性、冗長性、セキュリティ、及びスケーラビリティ）
・技術リサーチ及び装置の選択（特徴及びコスト評価）
・レイヤ３及びレイヤ２設計
・レイヤ１（ラック配置）設計
・プリインストレーション
・ＩＰスキーマを規定する
・装置の構成を準備する
・ＩＰＳｅｃトンネル統合のためシステムＩＳＰにて装置を構成する
・インストレーション
・両方のデータセンタにて、ワイヤリング及びレーベリングを含む、ラックへの装置の物理的設置
・適当なＩＯＳバージョンで装置をアップグレード
・装置の構成を挿入
・装置内のＩＰ接続性を確認する
【０１０５】
＊システム
サーバの設置及び構成（ＯｐｅｎＮＭＳ、ラジエーター（radiator）及び情報開示サービス）
【０１０６】
＊統合
・ＩＳＰパートナーネットワークへの接続：ＩＳＰパートナーネットワークへの接続が必要である。プラットフォームで一つ故障が起こるように強制して、ＩＰトランジット及び両方のデータセンタ間の冗長性が機能しているかをチェックする。
【０１０７】
・ＩＴサービスプラットフォームへの接続：監視統合及びＲＡＤＩＵＳ統合
−モニタリング統合
・システムモニタリングプラットフォーム：システムモニタリングシステムはＳＮＭＰを使用してプラットフォーム健康状態を検査して、あらゆる警報をオンコールエンジニアに報告する。
・第三者モニタリング：ＶＰＮが確立されて、サードパーティ企業が監視目的のためにシステムの帯域外監視ネットワーク（System’s Out of Band Supervision Network）にアクセスできるようにする。あらゆる警報はオペレーションチームのためにリアルタイムで分析されて、更なる行動が必要な場合にはオンコールエンジニアに報告される。
・ＲＡＤＩＵＳ統合：ＬＮＳルータ１１０を日本にあるＲＡＤＩＵＳプロキシサーバ１２０に接続して、これらをプロバイダのプラットフォームのシステムＲＡＤＩＵＳサーバ１４０に接続する。
【０１０８】
−設定済みルータ１００−ネットワークプラットフォーム：ネットワークプラットフォームが一旦作動すると（物理的及び論理的レイヤ）、設定済みルータ１００が設置されたＬＮＳルータ１１０に対してトンネルを発生させるかを検査する必要があり、それは設定済みルータ１００のパブリック信号とシステムクレデンシャルとを接続させてウェブをサーフすることによりできる。システムは設定済みルータ１００により提供される両方のデータセンタへのトンネル性能及び冗長性を検査する。
−ユーザ経験：これはトンネリングソリューションのためにユーザ経験を確認するための品質保証段階（quality assurance phase）である。
【技術分野】
【０００１】
本願は、概して、ネットワーク帯域幅の共有に関し、特にそのユーザの識別に関する。
【背景技術】
【０００２】
Ｗｉ−Ｆｉ等を介して帯域幅を共有することは実用的なソリューションであり、それは同じ出願人による米国特許出願１１／４０２、５７６号に記載されているような利点を有する。Ｗｉ−Ｆｉを介してインターネット等の通信ネットワークをアクセスするユーザは、多くの場合はパブリックインターネットプロトコル（「ＩＰ」）アドレスを共有している。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】米国特許出願１１／４０２、５７６号、明細書
【発明の概要】
【発明が解決しようとする課題】
【０００４】
例えば、各インターネットサービスプロバイダ（「ＩＳＰ」）は一つ又は限定された数のＩＰアドレスを介してインターネットアクセスを提供している。インターネット帯域幅は、Ｗｉ−Ｆｉアクセスポイントを介して使用可能となっている。ユーザＡはＩＰＯＤ（登録商標） ＴＯＵＣＨを操作して、そのＷｉ−Ｆｉサービスを検出してアクセスし、インターネット上のウェブページにアクセスする。ユーザＢはラップトップコンピュータを操作して同じＷｉ−Ｆｉサービスを検出して、インターネット上の別のウェブページにアクセスする。ユーザＡ及びユーザＢに操作されている装置は、ＩＳＰにより提供されている一つのパブリックＩＰアドレスを共有する。この例では、両方のユーザが同じパブリックＩＰアドレスを共有しているため、どのユーザ（ユーザＡ又はユーザＢ）がどのインターネットウェブページをアクセスしたかを決定することは不可能である。
【０００５】
上記の例では、二人のユーザが、別の計算機を操作して、二つの異なるウェブページを同時にアクセスしている。残念ながら、ＩＳＰは両方のユーザにより共有されてアクセスされている一つのＩＰアドレスのみしか検出できない。従って、各ユーザを識別することができない。
【課題を解決するための手段】
【０００６】
Ｗｉ−Ｆｉ又は他の帯域幅の共有を介して通信ネットワークをアクセスしている各ユーザを、両方のユーザが同時に帯域幅を共有しているときでも、識別するシステム及び方法が提供される。ここでの教示に従うシステム及び方法は、一つ又は限定された数の共有されたパブリックＩＰアドレスに提供される帯域幅を含む、Ｗｉ−Ｆｉサービスを介して提供される帯域幅を使用する各ユーザの識別及び情報開示を更に提供する。
【０００７】
本願の他の特徴及び利点は、本発明の明細書及び図面の下記の記載により明確になるだろう。
【発明の効果】
【０００８】
Ｗｉ−Ｆｉ又は他の帯域幅の共有を介して通信ネットワークをアクセスする各ユーザを識別することができる。
【図面の簡単な説明】
【０００９】
【図１】システム構成及びユーザ接続フロー図の例を示す図である。
【図２】トンネリングセッションが確立される前の状態を説明する図である。
【図３】Ｌ２ＴＰトンネルが確立された後で、ＰＰＰセッションが確立される前の状態を説明する図である。
【図４】Ｌ２ＴＰトンネル及びＰＰＰセッションが両方確立された後の状態を説明する図である。
【図５】レイヤ３ネットワークマップの例を示す図である。
【図６】レイヤ２ライブネットワークマップの例を示す図である。
【図７】インフラストラクチャマップの例を示す図である。
【図８】レイヤ３ＯＢＳＮネットワークマップの例を示す図である。
【図９】レイヤ２ＯＢＳＮネットワークマップの例を示す図である。
【発明を実施するための形態】
【００１０】
本願は米国特許出願１１／４０２、５７６号に関連しており、その全文は本明細書に援用される。
【００１１】
本願は、ネットワークトンネリングプラットフォームを含み、そのネットワークトンネリングプラットフォームは、ユーザの計算機が一つ又は複数のＮＡＴサービスの背後にある場合でも、通信ネットワークにおけるユーザ識別を提供するように設定されているルータ（設定済みルータ（Configured router）１００と言う）を提供する。米国出願１１／４０２、５７６号に示されて記載されているように、登録されているユーザ識別情報が受信されて一つ又は一つ以上のデータベースに記憶されている。従って、ネットワークユーザは加入者であり、そのため明確に特定することができる。例えば、ユーザはユーザ名及びパスワードを提供することにより認証され、ユーザの認証ステータスによって、他のユーザのネットワーク帯域幅を無料又は低料金で共有するように許可され得る。ここでの教示は、ユーザを識別するために、ユーザの接続ＩＰアドレス及びＴＣＰ／ＵＤＰポートをユーザの認証情報（例えば、ユーザ名及びパスワード）に関連させることを提供する。
【００１２】
ここでの教示に従い提供されるユーザ識別機能（capability）は、最も厳重なインターネットサービスプロバイダであってもそのセキュリティ・ポリシー及び法的要件のコンプライアンスを提供する。
【００１３】
ユーザ識別情報は、少なくとも部分的には、レイヤ２トンネリングプロトコル（「Ｌ２ＴＰ」）トンネルを介して提供されているＰＰＰセッションを介して提供される。各ユーザセッションはＬ２ＴＰトンネルを介して確立され、Ｌ２ＴＰトンネルは各ＰＰＰトンネルに、それに応じて各ユーザに、独立したインターネットプロトコル（「ＩＰ」）アドレスを提供する。ユーザのクレデンシャル（credentials）及び各セッションＩＰアドレスは、例えば、リモート認証ダイアルインユーザサービス（「ＲＡＤＩＵＳ」）サーバがログを取り、ＲＡＤＩＵＳサーバは認証及びアカウンティングの処理をもサポートできる。
【００１４】
ここでの教示に従うトンネリングソリューション（tunneling solution）は、使用可能なＩＰアドレスが限定されている環境をも提供する。パブリックＩＰアドレスの保護は、各ユーザにプライベートＩＰアドレスを割り当てることにより提供し得る。この実施形態では、各プライベートＩＰアドレスは、例えば、一つ又は一つ以上のネットワークアドレス変換（「ＮＡＴ」）サーバを介して、ネットワークトラフィックがインターネットに達する前に、一つ又は一つ以上のパブリックＩＰアドレスに変換される。一つの実施形態では、複数のプライベートＩＰアドレスが一つのパブリックＩＰアドレスとＮＡＴされている（ＰＡＴ又はＮＡＴオーバーロード（overload）とも言う）。ＮＡＴアカウンティング（accounting）ログを提供することにより、明確なユーザ識別が提供される。
【００１５】
ここに記載の多くの実施形態はＩＰ保護に関する。しかし、限定された又は別の方法で減らした数のＩＰアドレスをサポートするＮＡＴ変換を提供しない又は別の方法でサポートしない実施形態の方が、プライベートＩＰアドレスをＮＡＴにより変換して一つ又は一つ以上のパブリックＩＰアドレスを共有する代わりに、単に独立したパブリックＩＰアドレスを所定の時間に接続しているユーザに割り当てることにより、複雑及び高価にならないようにできる。
【００１６】
更に、一つの実施形態のインフラストラクチャは、例えば、データセンタ及び通信プロバイダのための冗長性機能により、相当な利用可能性（availability）を提供する。相当なスケーラビリティもサポートされており、例えば、設定済みルータ１００とのトンネルの終端となるネットワーク装置を追加することにより、例えば、数百人又は数千人の同時ユーザ（concurrent users）をサポートする。同時ユーザ数が少ない場合、システム及びプラットフォームコストもまた調整可能であり、機能性及びコストの点で適切にスケール（scale）する。
【００１７】
一つの実施形態では、ここでの教示に従う設定済みルータ１００は、システムのＲＡＤＩＵＳプロキシサーバ１２０、１４０にＲＡＤＩＵＳリクエストを送信し、そこから設定プロフィール情報を取得する。設定プロフィール情報には例えばホワイトリスト（white-listed）ドメイン、ウェルカムページのユニフォームリソースロケータ（「ＵＲＬ」）、Ｌ２ＴＰサーバ（「ＬＮＳ」）の詳細等が含まれる。システムのＲＡＤＩＵＳプロキシ１２０、１４０は、設定プロフィールを設定済みルータ１００に送信する。ユーザがハイパーテキスト転送プロトコル（「ＨＴＴＰ」）リクエストを、ユーザがアクセスを認められたあるいは許可されたドメイン（「ホワイトリスト」ドメイン）に送信する場合、設定済みルータ１００はリクエストをユーザ２００に転送して、そのルータはＮＡＴによりトラフィックをルータ（１００）のパブリックＩＰアドレスに変換して、インターネットに転送する。ＨＴＴＰの応答はユーザのブラウザ２００に送信される。
【００１８】
ユーザ２００がノンホワイトリスト（non-white-listed）ドメインをアクセスしようとした場合には、設定済みルータ（１００）のキャプティブポータルはリクエストを遮断して、ユーザのブラウザ２００に、例えば、ハイパテキストマークアップランゲージ（「ＨＴＭＬ」）のウェルカムページへのＨＴＴＰのリダイレクトを送信する。ユーザブラウザ２００はウェルカムページをリクエストし、セキュア（「ＨＴＴＰＳ」）なウェルカムページがユーザ２００に提供される。一つの実施形態では、ユーザは彼又は彼女のクレデンシャル（例えば、ユーザ名及びパスワード）をウェルカムページで記入する。一つ又は一つ以上のウェブサーバ３００が、システムのデータベース３１０にあるユーザクレデンシャルをアクセスすることにより、認証処理を行う。認証が成功すると、ウェブサーバ３００はユーザのウェブブラウザソフトウェアアプリケーション２００にＨＴＴＰリダイレクトリクエストを送信し、それには許可フェーズ中に使用されるランダムなワンタイムパスワードハッシュ（one time password hash）が含まれる。ユーザブラウザ２００は設定済みルータ（１００）のキャプティブポータルに許可リクエストを、ＨＴＴＰを介して、送信して、それにはワンタイムパスワードが含まれる。
【００１９】
一度認証されると、例えばトンネルが前回の接続で既に確立されていない場合、設定済みルータ１００はそのプライマリシステムＬＮＳ（primary system LNS）１１０へのＬ２ＴＰトンネルを確立する。もしプライマリＬＮＳ１１０への接続が失敗すると、設定済みルータ１００は好ましくはセカンダリＬＮＳ１１０への接続を試みる。設定済みルータ１００はＬ２ＴＰトンネルにわたってＬＮＳ１１０へＰＰＰ許可リクエストを送信して、それにはワンタイムパスワードが含まれてもよい。それに応答して、ＬＮＳ１１０は、許可ＲＡＤＩＵＳリクエストを、例えばＩＳＰにあるシステムＲＡＤＩＵＳプロキシ１２０に送信する。一つの実施形態では、ＩＳＰは、ここでの教示に従ったシステム及び方法のプロバイダ又は所有者（proprietor）と提携している。
【００２０】
続いてこの実施形態では、ＩＳＰのＲＡＤＩＵＳプロキシ１２０は許可リクエストを、ＲＡＤＩＵＳサーバ１４０へ、ＤＣＲルータ１５０間に確立されている暗号化仮想プライベートネットワーク（「ＶＰＮ」）を介して転送する。ＲＡＤＩＵＳプロキシ１２０は、ここでの教示に従ったシステム及び方法のプロバイダ又は所有者により提供あるいは管理されおり、世界中の何処にでも設置されていても良い。許可に成功した場合、システムにより提供されているＲＡＤＩＵＳプロキシ１４０は、暗号化されたＶＰＮを介して、ＩＳＰにてＲＡＤＩＵＳプロキシ１２０にアクセス許可を返送する。その後、ＩＳＰのＲＡＤＩＵＳプロキシ１２０はＬＮＳ１１０にアクセス許可パケットを転送して、ＬＮＳはＰＰＰトンネルを許可して、ＰＰＰセッションにプライベートＩＰアドレスを割り当てる。
【００２１】
一つの実施形態では、キャプティブポータル認証がサポートされている。例えば、設定済みルータ１００はＩＳＰのＲＡＤＩＵＳプロキシ１２０に、前述のワンタイムパスワードを含む、ＲＡＤＩＵＳ許可リクエストを送信する。ＲＡＤＩＵＳリクエストは、ここでの教示に従うシステム及び方法のプロバイダ又は所有者により提供されあるいは管理されているＲＡＤＩＵＳプロキシサーバ１４０に転送される。リクエストは、許可されると予想される。なぜなら、クレデンシャルは、前述のＰＰＰトンネルを許可するために使用されたクレデンシャルと好ましくは同じであるからである。アクセス許可パケット（複数のパケット）（access-accept packet(s)）は、世界中のどこに設置されても良いシステムＲＡＤＩＵＳプロキシ１４０に送信され、その後設定済みルータ１００へ送信される。アクセス許可パケットは、好ましくはユーザのネットワークプロフィールを含む。その後、設定済みルータ１００は各ユーザにインターネットアクセスを提供し、それにはＬＮＳ１１０によりＰＰＰセッションに割り当てられたプライベートＩＰアドレスと、設定済みルータ１００により動的ホスト設定プロトコル（「ＤＨＣＰ」）を通してユーザ装置２００へ割り当てられるプライベートＩＰアドレスとの間の静的なネットワークアドレス変換（「ＮＡＴ」）が含まれてもよい。
【００２２】
一旦ユーザが認証されると、ユーザは設定済みルータ１００を介してインターネットへリクエストを送信する。リクエストは、前述のＰＰＰトンネル内にカプセル化される。ＬＮＳ１１０はリクエストのポートアドレス変換（「ＰＡＴ」）を行い、リクエスト中のプライベートＩＰアドレス及びポートをパブリックＩＰアドレス（これは別のポートであっても良い）に変換する。その後、ＰＡＴのログが情報開示サーバ（disclosure server）１３０に記憶される。リクエストは、ＨＴＴＰサーバ等の各サーバ３００にインターネットにより転送され、そこから応答がインターネットにわたり別のＰＡＴ処理のために送信される。ＩＰ（及びポート）変換は効果的に反転されて、ＬＮＳ１１０はＰＰＰトンネルを介して設定済みルータ１００に応答を送信する。設定済みルータ１００は応答をユーザのソフトウェアアプリケーション２００に転送する。
【００２３】
そして、上記の実施形態に関連して記載されているように、ここでの教示は、ホワイトリスト及びノンホワイトリストのドメインへのアクセスと、ウェブサーバ認証、トンネル許可、及びキャプティブポータル認証を含むユーザ認証及び許可とを含むユーザ接続フローを提供する。
【００２４】
一つの実施形態では、少なくとも三つのセッションアカウンティングの統合が含まれている。一つ目は、ここでの教示に係る所有者により管理又は維持されている一つ又は一つ以上のＲＡＤＩＵＳサーバ１４０によるＰＰＰセッションアカウンティングである。二つ目も、システムのＲＡＤＩＵＳサーバ（複数）１４０により生成されているキャプティブポータルセッションアカウンティングである。三つ目は、ＬＮＳルータ１１０により提供されるＮＡＴアカウンティングである。ＰＰＰセッションアカウンティングは、少なくともユーザのセッション開始時間、停止時間、及びＰＰＰセッションが終了する各ＬＮＳ（１１０）のＩＰアドレスを含んでも良い。ＰＰＰセッションアカウンティングは、ＬＮＳ１１０のためのトンネルＩＰソースであるＣＰＥのＩＰアドレスをも含んでも良く、なぜならばＣＰＥ２１０は設定済みルータ１００のワイドエリアネットワーク（「ＷＡＮ」）ＩＰアドレスを変換（ＮＡＴ）しているからである。ＰＰＰセッションアカウンティングに含まれる他の情報は、ＰＰＰセッションのためにＬＮＳ１１０により設定済みルータに割り当てられたプライベートＩＰアドレス、ユーザのユーザ名、アカウンティングパケットの種類、及びＦＯＮの固有のセッション識別子（キャプティブポータルセッション用も同じ）である。
【００２５】
一つの実施形態では、設定済みルータでのユーザ認証及びアカウンティングをキャプティブポータルにより管理する。キャプティブポータルセッションアカウンティングは、好ましくは下記を一つ又は一つ以上含む。それらは、ユーザのセッション開始時間、セッション停止時間、ユーザのユーザ名、ユーザの装置の種類（スマートフォン等）、及び媒体アクセス制御（「ＭＡＣ」）アドレス、ユーザのＣＰＥ２１０ＭＡＣアドレス、設定済みルータ１００によりＤＨＣＰを介して割り当てられるユーザの計算装置２００（スマートフォン等）ＩＰアドレス、及び固有のセッション識別子（ＰＰＰセッション用に関連して前述したものと同じ）である。
【００２６】
更に、ＮＡＴ変換セッションアカウンティングはＬＮＳルータ１１０により作成されて、下記を一つ又は一つ以上含む。それらは、変換作成時間（translation creation time）、変換削除時間（translation deleting time）、アカウンティングの種類（例えば、ＮＡＴ作成又はＮＡＴ削除）、レイヤ４通信プロトコル（ＵＤＰ又はＴＣＰ）、ＰＰＰセッションＩＰアドレス（内部アドレス）及びポート、変換及びポートに使用されるＬＮＳパブリックＩＰアドレス、及びユーザが達しようとしているインターネットＩＰアドレス及びポートである。
【００２７】
従って、各セッションアカウンティングに従って、ユーザの追跡及び識別が提供される。例えば、ユーザのパブリックＩＰアドレス、ＴＣＰ又はＵＤＰポート、及びタイムフレーム（time frames）は既知である。この情報を用いて、タイムフレームが適当であれば（即ち、２４時間のタイムフレームでは、異なる時に同じプライベートＩＰアドレスを共有したＰＰＰセッションが複数あるかもしれない）、ここでの教示により、一つのＰＰＰセッションに関連する、ＰＰＰセッションに割り当てられているプライベートＩＰアドレスを探し出す。更に、ＰＰＰセッションＩＰアドレスを使用して、そのＩＰアドレス用のＰＰＰセッションアカウンティングを決定でき、ユーザのユーザ名及びＣＰＥアドレス２１０を決定できる。
【００２８】
その上、更なる情報が必要な場合（即ち、ユーザ装置のＭＡＣアドレス）、固有セッションＩＤを取得することができ、同じ固有セッションＩＤを有するキャプティブポータルのユーザセッションを探し出すことができる。従って、ユーザ装置（２００）のＭＡＣアドレス及び設定済みルータ（１００）のＭＡＣアドレスを識別できる。
【００２９】
更に、ここでの教示は、スケーラビリティ及び冗長性を促進するためのモジュラー設計を含む「ライブプラットフォーム（Live Platform）」を提供している。一つの実施形態では、ＬＮＳサブプラットフォームは、設定済みルータ１００から生じるＬ２ＴＰｏＰＰＰトンネルを終了させる。ＬＮＳサブプラットフォームは、更に、ユーザのセッションにプライベートＩＰアドレスを割り当て、プライベートＩＰアドレスをパブリックに変換し、ＮＡＴアカウンティングを作成して外部システムログ（external Syslog）に転送し、ＲＡＤＩＵＳプロトコルを使用してユーザのセッションを認証し、ＲＡＤＩＵＳプロトコルを使用してセッションアカウンティングを作成しても良い。
【００３０】
情報技術（「ＩＴ」）サービスサブプラットフォームをも設けてもよく、それはセキュアなＲＡＤＩＵＳ認証及び他のトランザクションのためにシステムプラットフォームとの暗号化されたトンネル（Ｇｒｅ／ＩＰＳｅｃ）を提供することができる一つ又は一つ以上の設定済みルータ／ファイアウォールを含む。ＩＴサービスプラットフォームは、データセンタに設置されているサーバを保護するために、一つ又は一つ以上のファイアウォール機能を実行しても良い。ＩＴサービスプラットフォームはＲＡＤＩＵＳプロキシサーバをも含んでもよく、そのＲＡＤＩＵＳプロキシサーバは一つの実施形態ではＲＡＤＩＵＳ認証及びアカウンティングを集中させて、それに関連する情報をシステムのＲＡＤＩＵＳプロキシ１４０に転送し、システムのＲＡＤＩＵＳプロキシ１４０は、ここでの教示に従うシステム又は方法のプロバイダ又は所有者により維持又は管理されており、世界中のどこにでも設置されてもよい。更に、モニタリングサーバを含んでもよく、そのモニタリングサーバはネットワーク及びサーバ装置の健康状態（health status）を検査し、その情報を集中型モニタプラットフォームに転送するように設定されて、その集中型モニタプラットフォームはここでの教示に従うシステム及び方法のプロバイダ又は所有者により維持又は管理されても良い。更に、情報開示サーバを含んでもよく、情報開示サーバは情報開示アクションに必要な情報（ＲＡＤＩＵＳログ、ＮＡＴアカウンティング等）を記憶し、データ抽出のためのセキュアなウェブインターフェースを提供する。
【００３１】
更にＬＮＳサブプラットフォーム、境界スイッチ（border switches）に加えて、ここに教示されるプラットフォームは、ＬＮＳ１１０及びＩＴサービスサブプラットフォームからのトラフィックを集約し、更にＩＳＰ集約プラットフォームとＩＰ接続性を提供し、冗長性の目的のためにデータセンタ間の接続性を提供するように構成されている。
【００３２】
ここでの教示に従い、Ｗｉ−Ｆｉ又は他の共有されている帯域幅を介して通信ネットワークをアクセスする各ユーザを特定するようにシステム及び方法が提供されている。共有パブリックＩＰアドレス（複数）を介してＷｉ−Ｆｉサービスを使用する各ユーザは、例えば、行政当局（civil authorities）に識別及び開示されることができる。
【００３３】
本発明は特定の実施形態に関連して記載及び例示されているが、多くの他の変形、改良、及び他の用途も当業者には明らかになるだろう。従って、ここには様々な実施形態及び変形例が示されており、従って本発明がここに記載されている特定の開示に限定されないことが好ましい。
【００３４】
＜実施例＞
本発明のシステムの実施の例が下記に説明される。
【００３５】
１ 定義／装置の用語集
表１に記載されている定義及び装置は本発明の記載に使用されている。
【００３６】
２ 序文
２．１ 目的
ここではネットワークトンネリングプラットフォームのためのハイレベルデザインを記載しており、それはユーザが一つ又は複数のＮＡＴサービスの背後にあっても、システムルータ（設定済みルータ１００と言う）に明確なユーザ識別を提供する。
表２に示されるように、ユーザ識別機能は、システムソリューションが最も厳格なＩＳＰセキュリティポリシー及び法的要件にも遵守できるようにする。
【００３７】
表３に示すように、システムトンネリングソリューションは限定されたＩＰアドレスしか使用可能でない環境にも設計することができる。
【００３８】
２．２ 実施例
・ＩＰ保護：ここでは、ソリューションの機能（capability）についてより詳細な説明を提供するためにＩＰ保護が必要だと仮定している。しかしながら、ＩＰ保護がなければこのソリューションについての複雑性及びコストは減少でき、それはＮＡＴを使用してパブリックＩＰアドレスを共有することの代わりに、独立したパブリックＩＰアドレスを与えられた時間に接続している各ユーザに割り当てることにより行える。
・インフラストラクチャの高可用性：ここで記載されているシステムネットワークトンネリングソリューションは完全に冗長であり、データセンタ及び通信プロバイダ用のインフラストラクチャの冗長化も必要である。
・スケーラビリティ：提案されたソリューションでは、ＬＮＳルータ１１０を追加することにより簡単に２００Ｋの同時ユーザにスケールできる。少数の同時ユーザが必要である場合、システムはこの設計及びプラットフォームコストを調整してあらゆる提供される同時使用予測（concurrency forecast）に適合するようにできる。
・管理：システムネットワークチームは、ネットワークトンネリングプラットフォーム設計、発展、設置、及びメンテナンスを担当している。
【００３９】
３ ネットワークソリューション説明
３．１ ユーザ接続フロー図
図１は、システム構成及びユーザ接続フローの図の例を示している。
ユーザは下記に説明されるようにインターネットに接続する。図１のフローは、例えば、設定済みルータ１００がスマートフォン２００（ユーザ）からＨＴＴＰリクエストを受信した場合に開始する。
【００４０】
＜＜設定済みルータのプロフィールリクエスト＞＞
１ 設定済みルータ１００はその設定プロフィール（ホワイトリストのドメイン、ウェルカムページのＵＲＬ、ＬＮＳの詳細等）を得るために、ＲＡＤＩＵＳリクエストを、世界中のどこに位置しても良いシステムのＲＡＤＩＵＳプロキシ１２０、１４０に送信する。
２ システムＲＡＤＩＵＳプロキシ１２０、１４０は、設定プロフィールを設定済みルータ１００に送信する。
【００４１】
＜＜ホワイトリストのドメインへのアクセス＞＞
３ ユーザがＨＴＴＰリクエストをホワイトリストドメインに送信した場合、設定済みルータ１００は、トラフィックをパブリックＩＰアドレスにＮＡＴしてインターネットに転送するユーザＣＰＥ２１０へリクエストを転送する。
４ ＨＴＴＰ応答はユーザのブラウザ（２００）に送信される。
【００４２】
＜＜ノンホワイトリストのドメインへのアクセス＞＞
５ ユーザはＨＴＴＰリクエストをノンホワイトリストドメインへ送信する。
６ 設定済みルータ（１００）のキャプティブポータルはリクエストを遮断して、ユーザブラウザ（２００）にウェルカムページへのＨＴＴＰリダイレクトを送る。
７ ユーザブラウザ（２００）はウェルカムページをリクエストする。
８ ＨＴＴＰＳウェルカムページがユーザに示される。
【００４３】
＜＜ユーザ認証及び許可＞＞
−ウェブサーバ認証−
９ ユーザは本人のクレデンシャル（ユーザ名及びパスワード）をウェルカムページにて記入する。
１０ ウェブサーバ３００は、システムのデータベース３１０にあるユーザのクレデンシャルにアクセスして認証を行う。
１１ 認証に成功した場合、ウェブサーバ３００は、認証段階で使用されるランダムなワンタイムパスワードハッシュを含むＨＴＴＰリダイレクトリクエストをユーザブラウザ２００に送信する。
１２ ユーザのブラウザは、前回のワンタイムパスワードを含む認証リクエストを、ＨＴＴＰを介して設定済みルータ（１００）のキャプティブポータルへ送信する。
【００４４】
−トンネル認証−
１３ 設定済みルータ１００はプライマリシステムＬＮＳ１１０へのＬ２ＴＰトンネルを確立させる（前回の接続で既に確立されていない場合のみ）。もしプライマリＬＮＳ１１０への接続が失敗すると、設定済みルータ１００はセカンダリＬＮＳ１１０への接続を試みる。
１４ 設定済みルータ１００は、ワンタイムパスワードを含むＰＰＰ認証リクエストを、Ｌ２ＴＰトンネル越しにＬＮＳ１１０へ送信する。
１５ ＬＮＳ１１０は、認証ＲＡＤＩＵＳリクエストをパートナーのＩＳＰのシステムＲＡＤＩＵＳプロキシ１２０へ送信する。
１６ パートナーＩＳＰのシステムＲＡＤＩＵＳプロキシ１２０は、リクエストをシステムのプロバイダにより管理されているシステムＲＡＤＩＵＳ１４０に、ＤＣＲルータ１５０間に確立されている暗号化されたＶＰＮを介して転送する。
１７ 認証に成功した場合、システムのプロバイダにより管理されているシステムＲＡＤＩＵＳ１４０は、暗号化ＶＰＮを介して、パートナーＩＳＰのＲＡＤＩＵＳプロキシ１２０へアクセス許可（access-accept）を返送する。
１８ パートナーＩＳＰのＲＡＤＩＵＳプロキシ１２０は、アクセス許可をＬＮＳ１１０に転送する。
１９ ＬＮＳルータ１１０は、ＰＰＰトンネルを受け入れ、ＰＰＰセッションにプライベートＩＰアドレスを割り当てる。
【００４５】
−キャプティブポータル認証−
２０ 設定済みルータ１００は、パートナーのＩＳＰのシステムＲＡＤＩＵＳプロキシ１２０へ、ワンタイムパスワードを含むＲＡＤＩＵＳ認証リクエストを送信する。
２１ ＲＡＤＩＵＳリクエストが、システムのプロバイダが管理しているシステムのＲＡＤＩＵＳ１４０へ転送される。
２２ クレデンシャルはＰＰＰ認証用のものと同じであるから、リクエストは必ず許可される。アクセス許可パケットは、世界中のどこに位置しても良いシステムＲＡＤＩＵＳプロキシ１２０、１４０へ送信される。
２３ アクセス許可は設定済みルータ１００に送信されて、それにはユーザのネットワークプロフィールが含まれる。
２４ 設定済みルータ１００は、ＬＮＳ１１０によりＰＰＰセッションに割り当てられたプライベートＩＰアドレスとＤＨＣＰを介して設定済みルータ１００によりユーザ装置に割り当てられたプライベートＩＰアドレスとの間の静的ＮＡＴを含むインターネットアクセスを、ユーザのために設定する。
【００４６】
＜＜認証ユーザ用のインターネットへのアクセス＞＞
２５ ユーザは、設定済みルータ１００を介してインターネットへリクエストを送信する。
２６ リクエストはＰＰＰトンネル内にカプセル化される。
２７ ＬＮＳ１１０はそのリクエストにＰＡＴ（ポートアドレス変換）を行い、リクエストのプライベートＩＰアドレス及びポートをパブリックＩＰアドレス（これは別のポートであっても良い）へ変換する。
２８ ＰＡＴログは情報開示サーバ１３０に記憶される。
２９ リクエストはインターネットへ転送される。
３０ インターネットからの応答はＰＡＴ処理に戻る。
３１ ＩＰ変換は反転される。
３２ ＬＮＳ１１０は、ＰＰＰトンネルを介して設定済みルータ１００へ応答を送信する。
３３ 設定済みルータ１００はリクエストをユーザへ転送する。
【００４７】
３．３ ライブプラットフォーム
ライブプラットフォームはソリューションのスケーラビリティ及び冗長性を促進するためのモジュラー設計を有する。
【００４８】
−機能性の説明−
＊ＬＮＳサブプラットフォーム
・設定済みルータ１００で発生したＬ２ＴＰｏＰＰＰトンネルを終了する。
・ユーザの複数のセッションにプライベートＩＰアドレスを割り当てる。
・プライベートＩＰアドレスをパブリックのものに変換する。
・ＮＡＴアカウンティングを作成して、それを外部シスログに転送する。
・ＲＡＤＩＵＳプロトコルを使用して複数のユーザセッションを認証する。
・ＲＡＤＩＵＳプロトコルを使用してセッションアカウンティングを作成する。
【００４９】
＊ＩＴサービスサブプラットフォーム
・ルータ／ファイアウォール
−セキュアなＲＡＤＩＵＳ認証及び他のトランザクションのため、プロバイダのシステムプラットフォームと暗号化トンネル（Ｇｒｅ／ＩＰＳｅｃ）を提供する。
−データセンタに取り付けられたサーバを保護するためにファイアウォール能力を実行する。
【００５０】
・ＲＡＤＩＵＳプロキシサーバ１２０
−全てのＲＡＤＩＵＳ認証及びアカウンティングが集中されて、それをシステムのプロバイダに管理されているシステムＲＡＤＩＵＳプロキシ１４０へ転送する。
・モニタリングサーバ
−ネットワーク及びサーバ装置の健康状態を検査して、その情報をプロバイダの集中型モニタプラットフォームに転送する。
【００５１】
・情報開示サーバ１３０
−情報開示アクションに必要な情報を記憶する（ＲＡＤＩＵＳログ、ＮＡＴアカウンティング等）
−データ抽出のためのセキュアなウェブインターフェースを提供する。
【００５２】
＊境界スイッチ
・ＬＮＳ１１０及びＩＴサービスサブプラットフォームからの全てのトラフィックを集約する。
・ＩＳＰパートナーの集約プラットフォームとのＩＰ接続性を提供する。
・冗長性の目的のため、データセンタ間の接続性を提供する。
【００５３】
−スケーラビリティ−
＊ＬＮＳサブプラットフォーム：トンネルセッション及びＮＡＴは全てのＬＮＳルータ１１０の間で分散される。このプラットフォームには単一障害点又はトラフィックの集中はないため、追加のＬＮＳルータ１１０を単に加えることによりスケールできる。
・ＩＴサービス：複数の目的（モニタリング、ＲＡＤＩＵＳプロキシ、及び情報開示サービス）のためのサーバファーム（即ち、ＨＰ ＤＬ ３８０）であり、それは追加サーバを加えることに簡単に増大できる。
・ＩＴサービスルータ：更なるハードウェア又は二つ目のルータのどちらかでアップグレードできるモジュラールータ（即ち、Ｃｉｓｃｏ ３９４５）
・境界スイッチ：コアスイッチ（即ち、ＳｔａｃｋＷｉｓｅ Ｐｌｕｓテクノロジーを有するＣｉｓｃｏ３９５０Ｅで、それにより６４Ｇｂｐｓバックボーンで９個のスイッチの集約を可能にする）
−冗長性−
＊ＬＮＳサブプラットフォーム：各ＬＮＳ１１０は他から完全に独立しており、二つの地理的に離れているデータセンタにわたり分散している。各設定済みルータ１００は、プライマリＬＮＳ１１０（プライマリデータセンタに位置する）及びセカンダリＬＮＳ（セカンダリデータセンタに位置する）を動的に構成する。従って、一つ又は一つ以上のＬＮＳ１１０がデータセンタで故障した場合、ユーザはセカンダリＬＮＳ１１０に再接続できる。
【００５４】
＊ＬＮＳフェイルオーバー：ＬＮＳプラットフォームは余分の容量を有する大きさにできる。複数のＬＮＳ１１０が故障した場合には、最大使用のシナリオの場合でも他のＬＮＳ１１０がサービスを１００％引き受けられる。
【００５５】
＊ＩＴサービスルータ及びサーバ：これらは二つのデータセンタで二重にしてある。全てのＬＮＳルータ１１０は両方のＩＴサービスプラットフォームに局所的に又はデータセンタ間リンクを介して達することができる。例えば、もしプライマリＲＡＤＩＵＳプロキシサーバ１２０が故障した場合、全てのＬＮＳ１１０はセカンダリＲＡＤＩＵＳプロキシ１２０に接続できる。
【００５６】
＊境界スイッチ：境界スイッチは各データセンタでクラスタに構成されている。マスタスイッチが一つのデータセンタで故障した場合には、同じデータセンタのスレーブスイッチがマスタになり、サービスが中断されることがない。全てのＬＮＳルータ１１０及びＩＴサービスルータはマスタ及びスレーブスイッチとの重複した接続を有する。
【００５７】
３．４ ライブプラットフォームＩＰアドレッシング
３．４．１ トンネルが確立される前
図２は、トンネリングセッションが確立する前の状態を説明する図である。
スマートフォン２００のＩＰアドレスは、ＤＨＣＰを介して設定済みルータ１００により割り当てられるプライベートＩＰアドレスである。ＬＡＮ側の設定済みルータ１００のＩＰアドレスは、システムのプロバイダ又は所有者により割り当てられている又はユーザにより手入力で設定されるプライベートＩＰアドレスである。図２では、設定済みルータ１００のＬＡＮ側及びスマートフォン２００のＷＡＮ側のネットワークアドレスは、１９２．１６８．１８２．０／２４である。１９２．１６８．１８２．１０はスマートフォン２００に割り当てられて、１９２．１６８．１８２．１はＬＡＮ側の設定済みルータ１００に設定される。
【００５８】
ＷＡＮ側の設定済みルータ１００のＩＰアドレスは、ＤＨＣＰを介してＣＰＥにより割り当てられる又はユーザが手入力で設定したプライベートＩＰアドレスである。ＬＡＮ側のＣＰＥ２１０のＩＰアドレスは、ＩＳＰにより事前に設定された又はユーザにより手入力で設定されたプライベートＩＰアドレスである。図２では、設定済みルータ１００のＷＡＮ側及びＣＰＥ２１０のＬＡＮ側のネットワークアドレスは、１７２．１６．３４．０／２４である。１７２．１６．３４．１０がＷＡＮ側の設定済みルータ１００に設定され、１７２．１６．３４．１がＬＡＮ側のＣＰＥ２１０に設定される。
【００５９】
ＷＡＮ側のＣＰＥ２１０のＩＰアドレスは、ＤＨＣＰ、ＰＰＰｏＥ等を介してＩＳＰにより割り当てられたパブリックＩＰアドレスである。図２では、ＣＰＥ２１０のＷＡＮ側のネットワークアドレスは６２．１３４．８．１６／２９である。６２．１３４．８．１８がＷＡＮ側のＣＰＥ２１０に設定されて、６２．１３４．８．１７がＣＰＥ２１０のデフォルトゲートウェイとして設定される。
【００６０】
この状態で、スマートフォン２００のＩＰアドレスは６２．１３４．８．１８である。更に、ネットワーク１９２．１６８．１８２．０／２４又は１７２．１６．３４．０／２４に接続されているあらゆる装置は、ＰＡＴ処理のためインターネットでパブリックＩＰアドレスの６２．１３４．８．１８を使用する。加入者の接続を差別化することはできない。
【００６１】
３．４．２ Ｌ２ＴＰトンネルは確立されているがＰＰＰセッションは確立されていない
図３は、Ｌ２ＴＰトンネルが確立された後、かつＰＰＰセッションが確立される前の状態を示す図である。図３は、設定済みルータ１００により一つのＬ２ＴＰトンネルが確立されて、ＬＮＳ１１０へ直接のケーブル（レイヤ２機能）をエミュレートする状態を示している。図３では、２０５．６７．７８．２０がＷＡＮ側でＬＮＳ１１０のＩＰアドレスとして設定されていると仮定する。Ｌ２ＴＰトンネルのみが確立されており、ＰＰＰセッションは確立されていないため、トンネルはユーザトラフィックを移送できない。
【００６２】
設定済みルータ１００は、スマートフォン２００のＩＰアドレス１９２．１６８．１８２．１０を、設定済みルータ（１００）のＷＡＮＩＰアドレス１７２．１６．３４．１０にＰＡＴ処理で変換する。設定済みルータ１００及びＬＮＳ１１０の間のＬ２ＴＰアドレス指定に関して、設定済みルータ１００は、宛先ＩＰアドレスを、ＬＮＳ１１０のＷＡＮＩＰアドレスである２０５．６７．７８．２０に設定し、ソースＩＰアドレスを、設定済みルータ１００のＷＡＮＩＰアドレスである１７２．１６．３４．１０に設定する。しかしながら、ＣＰＥ２１０は設定済みルータ１００のＩＰアドレス１７２．１６．３４．１０をＣＰＥ（２１０）のＷＡＮＩＰアドレス６２．１３４．８．１８にもＰＡＴ処理により変換する。従って、ＬＮＳ１１０のソースＩＰアドレスは６２．１３４．８．１８となる。
【００６３】
３．４．３ Ｌ２ＴＰトンネル及びＰＰＰセッションが両方とも確立されている
図４は、Ｌ２ＴＰトンネル及びＰＰＰセッションが両方とも確立された後の状態を説明する図である。図４では、１．１．１．１がＬＮＳ１１０のループバックＩＰアドレスとして設定されていると仮定する。
【００６４】
ＰＰＰセッションがＬ２ＴＰトンネルを介して確立されると、ＬＮＳ１１０はプライベートＩＰアドレスをＰＰＰセッションに割り当てる。複数のＰＰＰセッションがＬ２ＴＰトンネルで移送できるため、ＬＮＳ１１０は各ＰＰＰセッション用に異なるプライベートＩＰアドレスを設定済みルータ１００に割り当てる。図４では、１０．１２８．４０．３４がＰＰＰセッション用に設定済みルータ１００で割り当てられ、ＰＰＰセッションのデフォルトゲートウェイはＬＮＳ１１０のループバックアドレスである１．１．１．１に設定される。Ｌ２ＴＰトンネルがレイヤ２接続をエミュレートするため、設定済みルータ１００はＬＮＳ１１０ＩＰループバックアドレスに直接接続しているようにみえる。
【００６５】
設定済みルータ１００は、ＰＡＴ処理より高い優先順位である、ＰＰＰセッション用の静的ＮＡＴ処理を実施する。スマートフォン２００のＩＰアドレス１９２．１６８．１８２．１０は１０．１２８．４０．３４に変換され、これはＰＰＰセッションの設定済みルータ１００のＷＡＮＩＰアドレスである。ＰＰＰセッションは、Ｌ２ＴＰトンネル内にカプセル化されるため、ＣＰＥ２１０によって変換されない。従って、ＰＰＰトンネルアドレッシングに関して、宛先アドレスは１．１．１．１であり、ソースアドレスは設定済みルータ１００及びＬＮＳ１１０の両方でも１０．１２８．４０．３４である。
【００６６】
ＬＮＳ１１０はＰＡＴを実施して、これによりＰＰＰセッションのトラフィックがインターネットに転送される前に変換される。ＬＮＳ１１０はＰＡＴ処理のかわりにＮＡＴ処理を実施してもよく、これにより個別のＩＰアドレスが各ＰＰＰセッションに割り当てられる。図４では、ＬＮＳ１１０のＰＡＴではネットソースは１０．１２８．０．０／１６であり、ネット宛先は２０５．６７．８０．６４／２６である。ＰＡＴアカウンティングは開示提案のときのために、情報開示サーバ１３０に格納される。
【００６７】
図４では、スマートフォン２００のインターネットでのＩＰアドレスは、例えば２０５．６７．８０．６５であり、これはシステムのプロバイダ又は所有者のパブリックＩＰアドレスである。この状態では、各ＰＰＰセッションにプライベートアドレスが割り当てられているため加入者の接続を差別化することができる。
【００６８】
３．５ レイヤ３ライブプラットフォームマップ
図５は、レイヤ３ネットワークマップの例を示している。このマップは、パートナーのデータセンタと、パートナーのネットワークプラットフォームと、プロバイダのシステムプラットフォームとのシステムのキャビネットのＩＰ接続を表している。
【００６９】
３．６ レイヤ２ライブプラットフォームマップ
図６は、レイヤ２ライブネットワークマップの例を示している。このマップはＩＳＰパートナーのデータセンタのシステムプラットフォームと、パートナーのプラットフォームとの間のリンク接続を表している。
【００７０】
４ ネットワークインフラストラクチャ
４．１ 装置の説明
４．１．１ Ｌ２ＴＰネットワークサーバルータ（Cisco.comから）
「ＣＩＳＣＯ７２０１」
ＣＩＳＣＯ７２０１の利点は下記を含む。
・ＣＩＳＣＯ７３０１に比べて２倍の性能を提供する。ＣＩＳＣＯ ＥＸＰＲＥＳＳ ＦＯＲＷＡＲＤＩＮＧで毎秒２億パケット（２Ｍｐｐｓ）まで。
・４つのビルトインギガビット・イーサネット（ＧＥ）ポートを提供する。
・管理のため一つ専用の１０／１００Ｍｂｐｓ銅イーサネットポートを提供する。
・一般的な格納及びセキュリティトークン格納のため一つのＵＳＢポートを提供する。
・デフォルトで１ＧＢのＤＲＡＭメモリを提供する。２ＧＢにアップグレード可能。
・大幅に改良された価格／性能比を提供する。
・ＣＩＳＣＯ７０００シリーズポートアダプタスロットを一つ提供する。
・完全なＣＩＳＣＯＩＯＳソフトウェア特徴セットをサポートする。
・差し込み可能な（pluggable）ＧＥ光学部品（小型フォームファクタ差し込み可能［ＳＦＰ］光学部品）を提供する。
・コンパクトで、効率的（power efficient）な１ＲＵフォームファクタを有する。
・前面から背面へのエアーフロー及び一面側管理（single-sided management）を提供する。
【００７１】
「ＣＩＳＣＯ７２００ ＮＰＥ−Ｇ２ ネットワーク処理エンジン」
ますます、ビジネスアプリケーション及びサービスが、ＷＡＮ及びメトロポリタンエリアネットワーク（ＭＡＮ）にわたり、ブランチオフィス及び本部の両方にて、集約必須要件及びルータ統合サービスを影響している。従って、ブランチオフィス及び本部にて統合したサービスのための更なる必要性を持続的に満たすため、及び格別な価値及びフレキシビリティを維持するため、ＣＩＳＣＯＳＹＳＴＥＭＳ（登録商標）はＣＩＳＣＯ（登録商標）に最新のプロセッサを紹介する。
７２００ＶＸＲシリーズ ＣＩＳＣＯ７２００ＶＸＲ ＮＰＥ−Ｇ２ネットワーク処理エンジン。ＣＩＳＣＯ ＮＰＥ−Ｇ２は性能及びフレキシビリティへの要求を、その処理容量を更に増加して、最新のＣＩＳＣＯ ＩＯＳ（登録商標）ソフトウェア特徴を可能にすることにより対処している。ＣＩＳＣＯ ＮＰＥ−Ｇ２の利点は下記を含む。
【００７２】
・ＣＩＳＣＯ７２００ ＶＸＲ ＮＰＥ−Ｇ１に比べて２倍の性能を提供する。ＣＩＳＣＯ ＥＸＰＲＥＳＳ ＦＯＲＷＡＤＩＮＧで毎秒２億パケット（ｐｐｓ）まで。
・１０／１００／１０００Ｍｂｐｓ銅イーサネットポート及びあらゆる帯域ポイントを消耗しない光学ポートを３つ提供する。
・管理のため専用の１０／１００Ｍｂｐｓ銅イーサネットポートを一つ提供する。
・一般的な格納及びセキュリティトークン格納のため２つのＵＳＢポートを提供する。
・デフォルトで１ＧＢのＤＲＡＭメモリを提供する。
・Ｉ／Ｏコントローラの要件を削除する。
・利用可能なＩＯスロットの使用を一つのポートアダプタ又はＣＩＳＣＯ ７２００ ＶＸＲ ＶＰＮサービスアダプター（ＶＳＡ）に延長する。
・大幅に改良された価格／性能比を提供する。
【００７３】
４．１．２ サービスルータ（Cisco.comから）
「ＣＩＳＣＯ３９４５シリーズサービス統合型ルータ」
ＣＩＳＣＯ３９００シリーズは既存のＣＩＳＣＯ３８００シリーズの最高商品（best-in-class offering）にビルドする。
サービス統合型ルータは２つのプラットフォームを提供する。ＣＩＳＣＯ３９２５及びＣＩＳＣＯ３９４５サービス統合型ルータ。
ＣＩＳＣＯ３９００シリーズサービス統合型ルータは両方とも、組み込みハードウェア暗号化アクセラレーション、音声及びビデオ可能デジタル信号プロセッサ（ＤＳＰ）スロット、任意のファイアウォール、侵入防止、コール処理、音声メール、及びアプリケーションサービスを提供する。更に、プラットフォームは、産業界で最も広範囲のワイヤード及びワイヤレス接続オプションであるＴ１／Ｅ１、Ｔ３／Ｅ３、ｘＤＳＬ、銅、及びファイバＧＥ等をサポートしている。
ＣＩＳＣＯ３９００シリーズは小さなビジネスオフィスから大きな企業オフィスまでフレキシブルネットワーク展開のために高い性能及びフレキシビリティを提供して、それらは全て業界最先端の投資保護を提供しながら提供される。
【００７４】
４．１．３ 帯域外監視ネットワークルータ（Cisco.comから）
「ＣＩＳＣＯ２９１１シリーズサービス統合型ルータ」
ＣＩＳＣＯ２９００シリーズは既存のＣＩＳＣＯ２８００シリーズサービス統合型ルータの最高商品にビルドし、それは４つのプラットフォーム（図１）の、ＣＩＳＣＯ２９０１、２９１１、２９２１、及び２９５１サービス統合型ルータを提供することにより行われる。
【００７５】
全てのＣＩＳＣＯ２９００シリーズサービス統合型ルータは、組み込みハードウェア暗号化アクセラレーション、音声及びビデオ可能デジタル信号プロセッサ（ＤＳＰ）スロット、任意のファイアウォール、侵入防止、コール処理、音声メール、及びアプリケーションサービスを提供する。更に、プラットフォームは、産業界の最も広範囲の、Ｔ１／Ｅ１、ｘＤＳＬ、銅及びファイバＧＥ等のワイヤード及びワイヤレス接続オプションをサポートしている。
【００７６】
４．１．４ サーバ（Hp.comから）
「ＨＰ ＰｒｏＬｉａｎｔ ＤＬ３８０ Ｇ６」
ＨＰ ＰｒｏＬｉａｎｔ ＤＬ３８０ Ｇ６サーバは、更なるフレキシビリティ及び性能、企業クラスアップタイム及び扱いやすさ、２ソケットインテル Ｘｅｏｎ性能、及び複数のアプリケーション用の２Ｕ密度と、その技術的な優秀さの伝統を提供し続ける。
・プロセッサ
２Ｑｕａｄ−Ｃｏｒｅ又はインテル（登録商標）Ｘｅｏｎ（登録商標）プロセッサ５５００シーケンスまで
インテル（登録商標） ５５２０チップセット
・メモリ
合計１８のＤＩＭＭスロット
１９２ＧＢ（１２のＤＩＭＭスロットがある１６ＧＢキットが実装される）まで、ＰＣ３−８５００Ｒ ＤＤＲ３登録（ＲＤＩＭＭ）メモリを使用し、２ＤＩＭＭが各チャンネルに１２スロットに完全に実装される場合８００Ｍｈｚで動作する。
【００７７】
４．２ データセンタインフラストラクチャ
４．２．１ レイヤ１プラットフォームマップ
図７はインフラストラクチャマップの例を示している。このマップは両方のデータセンタのラック内の装置の配置を表している。
【００７８】
４．２．２ データセンタ必須要件
・位置：二つのデータセンタは地理的に冗長
・キャビネット：データセンタ毎に１ラック（即ち、４８Ｕ ７５０ｍｍ幅×１２００ｍｍ）。例えば、このモデル。
・スイッチＰＤＵ：リモート電源ＯＮ／ＯＦＦを行うラックパワーバー（rack power bar）。例えばこのモデル。
・ＮＯＣサポート：あらゆる可能性のある問題を拡大させるネットワーク操作センタ。例えば、システムは停電を報告する必要があるかもしれない。
・インテリジェント・ハンズ（intelligent hands）：緊急な物理的操作が必要になった場合のエンジニアアベイラビリティ。例えば、システムは電線が適切に装置に接続されているかを検査するエンジニアが必要となるかもしれない。
・ＳＬＡ及びセキュリティ：適当な環境パラメータ及び安全なアクセスが必要である。
【００７９】
４．３ 通信
＊ライブネットワーク
・各データセンタにユーザトラフィック用の２×１０Ｇｂｐｓインターネットリンク（全部で４×１０Ｇｂｐｓ）
・インターフェースタイプは後述する（ＬＲ、ＳＲ等）
・冗長性の目的で各リンクは異なるルータに接続されている。
【００８０】
＊帯域外監視ネットワーク
・リモート管理目的用の１×ファスト・イーサネットインターネットリンク（２×１００Ｍｂｐｓ）
・これらのリンクは、冗長性の目的のために、ライブネットワークのものではない別のルータに接続されるべきである。
【００８１】
＊データセンタ間プライベートネットワーク
・各データセンタに位置する両方のラックの間の１×ファスト・イーサネットプライベートリンク
・これは重要なリンクのため、様々な保護により実施されるべきである（冗長性の目的のため複数のパス）。
・もし様々な保護が可能でない場合、第２リンクは実施されるべきである。
【００８２】
５ 管理
５．１ 帯域外監視ネットワーク
５．１．１ ＯＢＳＮ説明
帯域外監視ネットワークは安全で信頼できるリモート管理能力を提供する。
【００８３】
＊セキュア
・ＩＰＳｅｃトンネルはプロバイダのＯＢＳＮルータからパートナーのデータセンタのシステムＯＢＳＮルータに確立される。
・プロバイダのシステム管理ネットワークからパートナーのデータセンタの全ての装置への接続は完全に暗号化されている。
・ＯＢＳＮへのトラフィックはユーザのトラフィックとは別であり、ＶＲＦ（仮想ルーティングフォーワディング）インスタンスを含む。
【００８４】
＊信頼性
・障害点が一つではない（全てのＯＢＳＮルータ及びトンネルは冗長である）。
・各装置へのアクセスはリモートでセキュアシェル（ＳＳＨ）又はコンソールによりできる。これにより、装置に接続問題がある場合又はブートシーケンスにリモートアクセスが必要な場合でも、装置が利用可能及び到達可能であることを保証する。
ＯＢＳＮ用の装置は端末サービスモジュールを含む２つのＣＩＳＣＯルータ２９１１である（詳細は４．１．３を参照）。
【００８５】
５．１．２ レイヤ３ＯＢＳＮネットワークマップ
図８はレイヤ３ＯＢＳＮネットワークマップの例を示している。このマップはパートナーのデータセンタ、パートナーのプラットフォーム、及びプロバイダのシステムプラットフォームのシステムキャビネットの帯域外監視ネットワークのＩＰ接続を表している。
【００８６】
５．１．３ レイヤ２ＯＢＳＮプラットフォームマップ
図９はレイヤ２ＯＢＳＮプラットフォームマップの例を示している。このマップはパートナーのデータセンタのシステム帯域外監視ネットワークプラットフォーム、及びパートナープラットフォームのインターコネクションのリンクコネクションを表している。
【００８７】
５．１．４ ＯＢＳＮ内部ルーティング
ＯＢＳＮネットワークはＤＣＲルータ１５０に位置しており、ＤＣＲルータはＶＬＡＮ構成能力を有する２４ポートのファスト・イーサネットカードを有する。装置（ルータ、サーバ、ＰＤＵ等）の各部品は、リモート管理目的のためにこのネットワークに接続されている。
装置がＶＲＦ（仮想ルーティングフォーワディング）能力を有しているであろうとなかろうと、他のネットワークからＯＢＳＮ隔離を保証するために構成されるべきである。もし装置がこの能力を有していない場合には、装置はＯＢＳＮネットワークのみに接続されるか、又は最も厳格なレベルのセキュリティで構成されて、ＯＢＳＮが侵害されないようにする。
【００８８】
下記はルータ毎のルーティングの説明である。
＊ＯＳＲルータ
・ＤＣＲ１５０のローカルＯＢＳＮＶｌａｎに達するルート
・境界スイッチによって他のデータセンタＯＢＳＮＶｌａｎに達するルート
・ＩＰＳｅｃ／ＧＲＥトンネルによってプロバイダのプラットフォームに達するルート
＊ＤＣＲルータ１５０
・ＯＢＳＮＶｌａｎが直接接続される
・境界スイッチを介して他のデータセンタＯＢＳＮＶｌａｎに達するルート
・デフォルトルートはローカルＯＳＲ
＊境界スイッチ
・ＤＣＲ１５０でローカルＯＢＳＮＶｌａｎに達するルート
・二点間リンクによって他のデータセンタＯＢＳＮＶｌａｎに達するルート
・デフォルトルートはローカルＯＳＲ
【００８９】
５．２ テストプラットフォーム
テストプラットフォームは、ＩＳＰプラットフォーム内に配置される前にトンネリングソルーションを広範囲にわたり検査するには重要である。
【００９０】
−装置−
・ＩＯＳソフトウェアありのＣＩＳＣＯルータ２８１１：ＬＮＳ１１０（ＣＩＳＣＯ７２０１）と同様のＬ２ＴＰ及びＰＰＰ機能性（functionality）を有する。
・ＤｅｂｉａｎＯＳのサーバ：最終ＩＴサービスサーバが有するのと同様の機能を有する。
【００９１】
−実施した検査−
・トンネル確立：設定済みルータ（１００）のファームウェアは修正されて、このプラットフォームに接続して、パートナーが位置する国の異なるＩＳＰでＰＰＰトンネルにわたるＬ２ＴＰがフィルターされないことをチェックする。全ての検査は、好結果である。
・ユーザトラフィックＮＡＴ：プライベートアドレスが各ＰＰＰ接続に割り当てられて、オーバーロードＮＡＴが正常に適用されている。
・ＮＡＴアカウンティング：全てのＮＡＴアカウンティングはサーバに格納されている。
設定済みルータ１００の今後のあらゆる新しい機能性は、ライブプラットフォームに統合される前に、このプラットフォームで検査されるべきである。
【００９２】
５．３ モニタリング
システムは日本にあるプラットフォームに二重モニタリングシステムを実施する。
【００９３】
＊ローカルモニタリング
・各データセンタに設置されているモニタリングサーバは、プラットフォーム用にローカルモニタリングを提供する。
・ネットワークモニタリング：ＯｐｅｎＮＭＳプラットフォームが配置され、ＳＮＭＰプロトコルを用いてネットワーク装置を監視する。
・システムモニタリング：Ｚａｂｂｉｘプラットフォームが配置されて、ローカルエージェント（local agents）を使用してサーバ及びサービス（ＲＡＤＩＵＳプロキシ等）を監視する。
・システム管理社のブラックベリー装置へＥメールにて警報が増加する。
【００９４】
＊リモートモニタリング
・セカンダリモニタリングプラットフォームがプロバイダのシステムプラットフォームに構成されて、下記を検査する。
−パートナーのデータセンタのプライマリモニタリングプラットフォームが正常に働いているか。
−パートナーのデータセンタ及びプロバイダのシステムプラットフォームの間の通信が正常に働いているか。
・システム管理社のブラックベリー装置へＥメール／ＳＭＳによる警報が増加する。
・このリモートモニタリングプラットフォームはＯＢＳＮを使用して、パートナーのデータセンタにあるシステム装置に達する。
【００９５】
＊第三者モニタリング
・システムはサードパーティ企業と契約することにより、プラットフォームに完全に独立したモニタリングシステムを提供してもよい。
・このサービスのコアパラメータは下記の通りにしてもよい。
−プロバイダは、システムの帯域外監視ネットワークにアクセスするため、両方のデータセンタに位置する各２９１１に暗号化ＶＰＮを確立する必要がある。
−ＣＩＳＣＯの各装置は下記に監視される必要がある。
−ＳＮＭＰプーリング（pooling）：モニタリングプラットフォームはＳＮＭＰリクエスト（後に定義する）をルータ及びサーバに送信しなければならない。
−ＳＮＭＰトラップ：ルータ及びサーバからＳＮＭＰトラップが受信可能でなければならない。
−モニタリングサービスプロバイダは下記が可能であるオペレーションチームが必要である。
−プラットフォームを２４×７をベースに監視する。
−警報を分析して、それが参考目的（informational）又は重要かを区別する。
−システムのネットワーク管理者に重要な警報をＥメール、電話等（後に規定する）によって、サービスＳＬＡ（後に規定する）で規定される最大通知時間内に増加する。
−システムは、プラットフォームステータス、ログ、及び報告が使用可能な情報ポータルへの安全なアクセスが必要である。
【００９６】
５．４ メンテナンス
システムプラットフォーム装置はハードウェアメンテナンスサービスが必要であり、それはパートナーＩＳＰ又はサードパーティ企業が提供できる。
下記はメンテナンスサービスの必要条件であり、それはサードパーティ企業が外部モニタリングサービスを提供すると仮定した場合である。
・モニタリングサービスにより全部又は一部のシステム故障が検出されなければならない。
・短期間（後に規定する）で、エンジニアは故障した装置が位置するパートナーＩＳＰデータセンタにあるシステムキャビネットに行く必要がある。
・故障が始まってから最大４時間以内に、代替の装置が設置されて稼動しているべきである。
・全処理にわたりフィードバックがシステムに定期的に（後に規定する）報告されるべきである。
・このサービスには強いＳＬＡを必要とし、プロバイダは３６５×２４×７サービスに専念できる必要がある。
・サーバＨＰＤＬ３８０のメンテナンスは保留であり、これから規定される。
【００９７】
５．５ 管理
システムはネットワーク管理が２層ある。
＊システムネットワーク部門
・プロバイダ及び国際パートナーＩＳＰのシステムプラットフォームを管理する。
・システム本部からＯＢＳＮへのアクセスがある。
・緊急の場合、ＯＳＢＮにリモート接続できる。
・リアルタイムで警報を受信できるブラックベリー装置を管理者は有する。
＊外部ネットワークコンサルタント会社
・システムはサードパーティ企業とパートナー契約をして、特定のプロジェクトに更なるネットワークリソース及びコンサルタント業を提供する。
・前述のサードパーティ企業のネットワークエンジニアは、管理目的のためにシステムＯＢＳＮにアクセスできる。
【００９８】
５．６ オンコール／緊急サービス
システムは緊急事態のためにオンコールサービスを提供する。下記がサービスの定義である。
＊システムは自身のネットワークアドミニストレータチームがいるが、ビジネス時間外に緊急アドミニストレーションサービスが必要となる。
・月曜日から金曜日−１９：００から９：００
・土曜日、日曜日−２４時間
・他の日（公休日（bank holiday）等）−２４時間
＊このサービスは小人数チームの適任のエンジニアにより提供される必要がある。
＊エンジニアは、システムプラットフォーム、インフラストラクチャプロバイダ、起こり得る問題及び問題の対策に関して深い知識を必要とする。
＊システムはこの目的に必要な全ての書類を送信するが、プロバイダは自身の書類を作成して自身の内部処理に応じるようにする。
＊モニタリングサービスを担当するオペレーションチームが更なる行動（ハードウェアの置き換え、インフラストラクチャプロバイダのトラブルシューティング等）を必要とする警報を検出した場合、オンコールエンジニアはその事件の担当になり、それを修理するために必要な行動を実行する必要がある。
＊システムは、オンコールサービスにより実行されたあらゆるトラブルシューティングのフィードバックをもらい、発生後に詳細レポート（フォーマットは後述する）をもらう必要がある。
【００９９】
６ ＩＰ保存性
６．１ ＮＡＴソリューション
当初必要とされていたパブリックＩＰアドレスの数を減らすために、ＩＰ保存性のシナリオが必要となるかもしれない。
下記の通りに仮定する。
・入力通信（インターネットからユーザ装置への）は必要ではない。
・ＩＳＰユーザ間の直接的な通信は必要でない。
ＩＰ保存性に関するシステムのアプローチは、各ＬＮＳ１１０内で分散されたＮＡＴを行うことである。このソリューションのいくつかの利点は下記の通りである。
・性能：全てのユーザトラフィックは７２００ＣＩＳＣＯルータ内でＮＡＴを通る必要があり、ＮＡＴアカウンティングは７２００自身で作成される必要がある。このルータはこの様な操作のために設計されている。
・スケーラビリティ：ＮＡＴが分散されているからスケーラビリティに限度はない。各ＬＮＳ１１０は互いから完全に独立している。
・信頼性：ソリューションは既存のネットワーク装置に依拠するため、障害点は余分にない。
・操作：ＣＩＳＣＯルータは少ないメンテナンスですむ。
【０１００】
６．２ ＩＰアドレッシングスキーマ（addressing schema）
６．２．１ ライブプラットフォーム用のＩＰアドレッシング
・システムはＰＰＰセッションに１０．１２８．０．０／９の範囲のプライベートＩＰアドレスを割り当てる。
・ユーザのＰＰＰトンネルに、プライベート／１８プールが各ＬＮＳ１１０に割り当てられる。
・ＰＰＰセッションをＮＡＴするため各ＬＮＳ１１０はパブリック／２６プールを有する。
・プラットフォーム構成にパブリックＩＰアドレスも必要である。
・合計で、パブリック／２２ネットワークが各データセンタ、ＮＡＴプール、プラットフォーム構成、及び将来のサービスの成長に必要である。
・ＨＬＤの更なるリリースは詳細なＩＰアドレッシングスキーマを含む。
【０１０１】
６．２．２ ＯＢＳＮプラットフォーム用のＩＰアドレッシング
・システムは、セキュリティ及びＩＰ保存性の理由のため、ＯＢＳＮプラットフォームでパライベートＩＰアドレスを設定する。
・ＯＢＳＮプラットフォームでの唯一のパブリックＩＰアドレスはＯＳＲルータにて設定され、ＯＳＲルータはパートナーＩＳＰプラットフォームを介してインターネットに接続されている。
・ＨＬＤの更なるリリースは、詳細なＩＰアドレッシングスキーマを含む。
【０１０２】
７ スケーラビリティ
トンネル及びＮＡＴソリューションはＬＮＳルータ１１０により、分散されたモデルで、提供される。データセンタ毎の二つの境界スイッチは、少なくとも１４のＬＮＳルータ１１０を集約できる。
各ＬＮＳルータ１１０は約１０、０００のユーザセッションをサポートし、１，８Ｇｂｐｓのスループット、及び２ＧＢのメモリＲＡＭを有し、そのことは同時使用がピークのときには各ユーザは少なくとも平均すると１００Ｋｂｐｓのスループット及び１００のＮＡＴ変換を実施できることを意味する。
サーバの性能によっては、将来ＮＡＴログ格納のために更なる装置を追加することが必要となるかもしれない。
【０１０３】
下記の表４は、ＬＮＳルータ１１０（全てのＬＮＳルータ１１０は完全にロードされ（fully loaded）、バックアップモードではない）の数によってプラットフォームがサポートできる同時ユーザ数の要約である。
【０１０４】
８ プラットフォームセットアップ
＊ネットワーク
・設計
−要件コンパイル
−要件分析
−機能的設計（トンネル、ＮＡＴ、ＩＰ保存性、冗長性、セキュリティ、及びスケーラビリティ）
・技術リサーチ及び装置の選択（特徴及びコスト評価）
・レイヤ３及びレイヤ２設計
・レイヤ１（ラック配置）設計
・プリインストレーション
・ＩＰスキーマを規定する
・装置の構成を準備する
・ＩＰＳｅｃトンネル統合のためシステムＩＳＰにて装置を構成する
・インストレーション
・両方のデータセンタにて、ワイヤリング及びレーベリングを含む、ラックへの装置の物理的設置
・適当なＩＯＳバージョンで装置をアップグレード
・装置の構成を挿入
・装置内のＩＰ接続性を確認する
【０１０５】
＊システム
サーバの設置及び構成（ＯｐｅｎＮＭＳ、ラジエーター（radiator）及び情報開示サービス）
【０１０６】
＊統合
・ＩＳＰパートナーネットワークへの接続：ＩＳＰパートナーネットワークへの接続が必要である。プラットフォームで一つ故障が起こるように強制して、ＩＰトランジット及び両方のデータセンタ間の冗長性が機能しているかをチェックする。
【０１０７】
・ＩＴサービスプラットフォームへの接続：監視統合及びＲＡＤＩＵＳ統合
−モニタリング統合
・システムモニタリングプラットフォーム：システムモニタリングシステムはＳＮＭＰを使用してプラットフォーム健康状態を検査して、あらゆる警報をオンコールエンジニアに報告する。
・第三者モニタリング：ＶＰＮが確立されて、サードパーティ企業が監視目的のためにシステムの帯域外監視ネットワーク（System’s Out of Band Supervision Network）にアクセスできるようにする。あらゆる警報はオペレーションチームのためにリアルタイムで分析されて、更なる行動が必要な場合にはオンコールエンジニアに報告される。
・ＲＡＤＩＵＳ統合：ＬＮＳルータ１１０を日本にあるＲＡＤＩＵＳプロキシサーバ１２０に接続して、これらをプロバイダのプラットフォームのシステムＲＡＤＩＵＳサーバ１４０に接続する。
【０１０８】
−設定済みルータ１００−ネットワークプラットフォーム：ネットワークプラットフォームが一旦作動すると（物理的及び論理的レイヤ）、設定済みルータ１００が設置されたＬＮＳルータ１１０に対してトンネルを発生させるかを検査する必要があり、それは設定済みルータ１００のパブリック信号とシステムクレデンシャルとを接続させてウェブをサーフすることによりできる。システムは設定済みルータ１００により提供される両方のデータセンタへのトンネル性能及び冗長性を検査する。
−ユーザ経験：これはトンネリングソリューションのためにユーザ経験を確認するための品質保証段階（quality assurance phase）である。
【特許請求の範囲】
【請求項１】
インターネットを介してパケットを転送するルーティング装置であって、
サーバにアドレス指定されている前記パケットをユーザ装置から受信するように構成される受信ユニットと、
前記ユーザ装置を使用するユーザを認証するように構成される認証ユニットと、
前記ユーザが認証された場合、トンネリングプロトコルを使用してネットワーク装置へトンネリングセッションを確立するように構成されるセッション確立ユニットと、
前記トンネリングセッションを介して前記ネットワーク装置へ前記パケットを転送するように構成される転送ユニットと、
を備え、
前記ネットワーク装置はインターネットを介して前記サーバに前記パケットを転送するように構成されること、
を特徴とするルーティング装置。
【請求項２】
請求項１に記載のルーティング装置であって、
前記ユーザ装置がアクセスを許可されているアドレスを記憶するホワイトリストを更に備え、
前記パケットにアドレス指定されている前記サーバのアドレスが、前記ホワイトリストに記憶されている場合、前記転送ユニットは前記インターネットを介して前記サーバに前記パケットを転送すること、
を特徴とするルーティング装置。
【請求項３】
請求項２に記載のルーティング装置であって、
前記ホワイトリストは検索エンジンのアドレスを記憶していること、
を特徴とするルーティング装置。
【請求項４】
請求項１乃至３のいずれか一項に記載のルーティング装置であって、
前記受信ユニットは、ワイヤレス通信を介して前記ユーザ装置から前記パケットを受信する
こと、
を特徴とするルーティング装置。
【請求項５】
インターネットを介してパケットを転送するシステムであって、
ルーティング装置と、
ネットワーク装置と、
を備え、
前記ルーティング装置は、
ユーザ装置から前記パケットを受信するように構成される受信ユニットと、
前記ユーザ装置を使用するユーザを認証するように構成される認証ユニットと、
前記ユーザが認証された場合に、トンネリングプロトコルを使用して前記ネットワーク装置へトンネリングセッションを確立させるように構成されるセッション確立ユニットと、
前記トンネリングセッションを介して前記ネットワーク装置へ前記パケットを転送するように構成される転送ユニットと、
を備え、
前記ネットワーク装置は、前記インターネットを介して前記サーバに前記パケットを転送するように構成されている転送ユニットを備えること、
を特徴とするシステム。
【請求項６】
請求項５に記載のシステムであって、
前記ルーティング装置は、前記ユーザ装置がアクセスを許可されているアドレスを記憶するホワイトリストを更に備え、
前記パケットにアドレス指定されている前記サーバのアドレスが、前記ホワイトリストに記憶されている場合、前記セッションユニットが前記トンネリングセッションを確立する前に、前記転送ユニットは前記インターネットを介して前記サーバに前記パケットを転送すること、
を特徴とするシステム。
【請求項７】
請求項５又は６に記載のシステムであって、
前記ネットワーク装置に接続されて、前記ネットワーク装置による前記パケットの転送に関するログを記録するように構成されるログ装置を更に備えること、
を特徴とするシステム。
【請求項８】
請求項７に記載のシステムであって、前記ログ装置は前記ユーザを示す情報を含む前記ログを記憶することを特徴とするシステム。
【請求項９】
請求項５乃至８のいずれか一項に記載のシステムであって、前記ネットワーク装置は、各トンネリングセッションにインターネットの異なるグローバルアドレスを割り当てるように構成されるアドレス割り当てユニットを更に備えていることを特徴とするシステム。
【請求項１０】
請求項５又は６に記載のシステムであって、
前記ネットワーク装置に接続されているログ装置を更に備え、
前記ネットワーク装置は、各トンネリングセッションに前記インターネットの異なるグローバルアドレスを割り当てるように構成されるアドレス割り当てユニットを更に備え、
前記ログ装置は、前記ネットワーク装置により前記パケットの転送に関するログを記録するように構成され、
前記ログは前記ユーザ及び前記各グローバルアドレスを示す情報を含むこと、
を特徴とするシステム。
【請求項１１】
請求項５乃至９のいずれか一項に記載のシステムであって、
前記ネットワーク装置は、前記各トンネリングセッションに別のポートを割り当てるように構成されるアドレス割り当てユニットを更に備えること、
を特徴とするシステム。
【請求項１２】
請求項５又は６に記載のシステムであって、
前記ネットワーク装置に接続されているログ装置を更に備え、
前記ネットワーク装置は、前記各トンネリングセッションに別のポートを割り当てるように構成されるアドレス割り当てユニットを更に備え、
前記ログ装置は、前記ネットワーク装置による前記パケットの転送に関してログを記録するように構成され、
前記ログは前記ユーザ及び前記各ポートを示す情報を含むこと、
を特徴とするシステム。
【請求項１３】
インターネットを介してパケットを転送するルーティング装置により実行される方法であって、
ユーザ装置からサーバへアドレス指定されている前記パケットを受信するステップと、
前記ユーザ装置を使用するユーザを認証するステップと、
前記ユーザが認証された場合、トンネリングプロトコルを使用してネットワーク装置へトンネリングセッションを確立するステップと、
前記トンネリングセッションを介して前記ネットワーク装置へ前記パケットを転送するステップと、
を備え、
前記ネットワーク装置はインターネットを介して前記サーバに前記パケットを転送するように構成されていること、
を特徴とする方法。
【請求項１４】
請求項１３に記載の方法であって、
前記ユーザ装置がアクセスを許可されているアドレスを含むホワイトリストを記憶するステップと、
前記パケットがアドレス指定されている前記サーバのアドレスが前記ホワイトリストに含まれている場合、インターネットを介して前記ネットワーク装置に前記パケットを転送するステップと、
を更に備える方法。
【請求項１５】
インターネットを介してパケットを転送する方法であって、
サーバへアドレス指定されている前記パケットを、ルーティング装置によりユーザ装置から受信するステップと、
前記ユーザ装置を使用するユーザを前記ルーティング装置により認証するステップと、
前記ユーザが認証された場合、前記ルーティング装置及びネットワーク装置によって、トンネリングプロトコルを使用してトンネリングセッションを前記ルーティング装置から前記ネットワーク装置へ確立するステップと、
前記ルーティング装置によって、前記トンネリングセッションを介して前記パケットを前記ネットワーク装置へ転送するステップと、
前記ネットワーク装置によってインターネットを介して前記パケットを前記サーバに転送するステップと、
を備えることを特徴とする方法。
【請求項１６】
請求項１５に記載の方法であって、
前記ルーティング装置は、前記ユーザ装置がアクセスを許可されているアドレスを含むホワイトリストを記憶しており、
前記方法は、前記パケットにアドレス指定されている前記サーバのアドレスが、前記ホワイトリストに含まれている場合、前記ルーティング装置によりインターネットを介して前記サーバに前記パケットを転送するステップを更に備えること、
を特徴とする方法。
【請求項１７】
請求項１５又は１６に記載の方法であって、
前記ネットワーク装置による前記パケットの転送に関するログを、前記ネットワーク装置に接続されているログ装置により記録するステップを更に備えること、
を特徴とする方法。
【請求項１８】
請求項１７に記載の方法であって、
前記ログは前記ユーザの情報を含むこと、
を特徴とする方法。
【請求項１９】
請求項１５乃至１８のいずれか一項に記載の方法であって、
前記ネットワーク装置により、インターネットにおける異なるグローバルアドレスを前記各トンネリングセッションに割り当てるステップを更に備えること、
を特徴とする方法。
【請求項２０】
請求項１５又は１６に記載の方法であって、
前記ネットワーク装置により、インターネットにおける異なるグローバルアドレスを前記各トンネリングセッションに割り当てるステップと、
前記ネットワーク装置に連結されたログ装置により、前記ネットワーク装置による前記パケットの転送に関するログを記録するステップと、を更に備え、
前記ログは前記ユーザ及び前記各グローバルアドレスを示す情報を含むこと、
を特徴とする方法。
【請求項２１】
請求項１５乃至１８のいずれか一項に記載の方法であって、
前記ネットワーク装置により、インターネットにおける同じグローバルアドレスの異なるポートを前記各トンネリングセッションに割り当てるステップを更に備えること、
を特徴とする方法。
【請求項２２】
請求項１５又は１６に記載の方法であって、
前記ネットワーク装置により、前記各トンネリングセッションにインターネットの同じグローバルアドレス及び別のポートを割り当てるステップと、
前記ネットワーク装置に連結されたログ装置により、前記ネットワーク装置による前記パケットの前記転送に関するログを記録するステップと、を更に備え、
前記ログは前記ユーザ及び前記各グローバルアドレス及びポートを示す情報を含むこと、
を特徴とする方法。
【請求項２３】
インターネットを介してパケットを転送するプログラムであって、
ルーティング装置に、
ユーザ装置からサーバへアドレス指定されている前記パケットを受信するステップと、
前記ユーザ装置を使用するユーザを認証するステップと、
前記ユーザが認証された場合、トンネリングプロトコルを使用して前記ネットワーク装置へトンネリングセッションを確立させるステップと、
前記トンネリングセッションを介して前記ネットワーク装置へ前記パケットを転送するステップと、を実行させ、
前記ネットワーク装置はインターネットを介して前記パケットを前記サーバに転送するように構成されていること、
を特徴とする前記プログラム。
【請求項２４】
請求項２３に記載のプログラムであって、
前記ルーティング装置に、
前記ユーザ装置がアクセスを許可されているアドレスを含むホワイトリストを記憶するステップと、
前記パケットがアドレス指定されている前記サーバのアドレスが前記ホワイトリストに含まれている場合、インターネットを介して前記パケットを前記ネットワーク装置に転送するステップと、
を更に実行させること、
を特徴とするプログラム。
【請求項１】
インターネットを介してパケットを転送するルーティング装置であって、
サーバにアドレス指定されている前記パケットをユーザ装置から受信するように構成される受信ユニットと、
前記ユーザ装置を使用するユーザを認証するように構成される認証ユニットと、
前記ユーザが認証された場合、トンネリングプロトコルを使用してネットワーク装置へトンネリングセッションを確立するように構成されるセッション確立ユニットと、
前記トンネリングセッションを介して前記ネットワーク装置へ前記パケットを転送するように構成される転送ユニットと、
を備え、
前記ネットワーク装置はインターネットを介して前記サーバに前記パケットを転送するように構成されること、
を特徴とするルーティング装置。
【請求項２】
請求項１に記載のルーティング装置であって、
前記ユーザ装置がアクセスを許可されているアドレスを記憶するホワイトリストを更に備え、
前記パケットにアドレス指定されている前記サーバのアドレスが、前記ホワイトリストに記憶されている場合、前記転送ユニットは前記インターネットを介して前記サーバに前記パケットを転送すること、
を特徴とするルーティング装置。
【請求項３】
請求項２に記載のルーティング装置であって、
前記ホワイトリストは検索エンジンのアドレスを記憶していること、
を特徴とするルーティング装置。
【請求項４】
請求項１乃至３のいずれか一項に記載のルーティング装置であって、
前記受信ユニットは、ワイヤレス通信を介して前記ユーザ装置から前記パケットを受信する
こと、
を特徴とするルーティング装置。
【請求項５】
インターネットを介してパケットを転送するシステムであって、
ルーティング装置と、
ネットワーク装置と、
を備え、
前記ルーティング装置は、
ユーザ装置から前記パケットを受信するように構成される受信ユニットと、
前記ユーザ装置を使用するユーザを認証するように構成される認証ユニットと、
前記ユーザが認証された場合に、トンネリングプロトコルを使用して前記ネットワーク装置へトンネリングセッションを確立させるように構成されるセッション確立ユニットと、
前記トンネリングセッションを介して前記ネットワーク装置へ前記パケットを転送するように構成される転送ユニットと、
を備え、
前記ネットワーク装置は、前記インターネットを介して前記サーバに前記パケットを転送するように構成されている転送ユニットを備えること、
を特徴とするシステム。
【請求項６】
請求項５に記載のシステムであって、
前記ルーティング装置は、前記ユーザ装置がアクセスを許可されているアドレスを記憶するホワイトリストを更に備え、
前記パケットにアドレス指定されている前記サーバのアドレスが、前記ホワイトリストに記憶されている場合、前記セッションユニットが前記トンネリングセッションを確立する前に、前記転送ユニットは前記インターネットを介して前記サーバに前記パケットを転送すること、
を特徴とするシステム。
【請求項７】
請求項５又は６に記載のシステムであって、
前記ネットワーク装置に接続されて、前記ネットワーク装置による前記パケットの転送に関するログを記録するように構成されるログ装置を更に備えること、
を特徴とするシステム。
【請求項８】
請求項７に記載のシステムであって、前記ログ装置は前記ユーザを示す情報を含む前記ログを記憶することを特徴とするシステム。
【請求項９】
請求項５乃至８のいずれか一項に記載のシステムであって、前記ネットワーク装置は、各トンネリングセッションにインターネットの異なるグローバルアドレスを割り当てるように構成されるアドレス割り当てユニットを更に備えていることを特徴とするシステム。
【請求項１０】
請求項５又は６に記載のシステムであって、
前記ネットワーク装置に接続されているログ装置を更に備え、
前記ネットワーク装置は、各トンネリングセッションに前記インターネットの異なるグローバルアドレスを割り当てるように構成されるアドレス割り当てユニットを更に備え、
前記ログ装置は、前記ネットワーク装置により前記パケットの転送に関するログを記録するように構成され、
前記ログは前記ユーザ及び前記各グローバルアドレスを示す情報を含むこと、
を特徴とするシステム。
【請求項１１】
請求項５乃至９のいずれか一項に記載のシステムであって、
前記ネットワーク装置は、前記各トンネリングセッションに別のポートを割り当てるように構成されるアドレス割り当てユニットを更に備えること、
を特徴とするシステム。
【請求項１２】
請求項５又は６に記載のシステムであって、
前記ネットワーク装置に接続されているログ装置を更に備え、
前記ネットワーク装置は、前記各トンネリングセッションに別のポートを割り当てるように構成されるアドレス割り当てユニットを更に備え、
前記ログ装置は、前記ネットワーク装置による前記パケットの転送に関してログを記録するように構成され、
前記ログは前記ユーザ及び前記各ポートを示す情報を含むこと、
を特徴とするシステム。
【請求項１３】
インターネットを介してパケットを転送するルーティング装置により実行される方法であって、
ユーザ装置からサーバへアドレス指定されている前記パケットを受信するステップと、
前記ユーザ装置を使用するユーザを認証するステップと、
前記ユーザが認証された場合、トンネリングプロトコルを使用してネットワーク装置へトンネリングセッションを確立するステップと、
前記トンネリングセッションを介して前記ネットワーク装置へ前記パケットを転送するステップと、
を備え、
前記ネットワーク装置はインターネットを介して前記サーバに前記パケットを転送するように構成されていること、
を特徴とする方法。
【請求項１４】
請求項１３に記載の方法であって、
前記ユーザ装置がアクセスを許可されているアドレスを含むホワイトリストを記憶するステップと、
前記パケットがアドレス指定されている前記サーバのアドレスが前記ホワイトリストに含まれている場合、インターネットを介して前記ネットワーク装置に前記パケットを転送するステップと、
を更に備える方法。
【請求項１５】
インターネットを介してパケットを転送する方法であって、
サーバへアドレス指定されている前記パケットを、ルーティング装置によりユーザ装置から受信するステップと、
前記ユーザ装置を使用するユーザを前記ルーティング装置により認証するステップと、
前記ユーザが認証された場合、前記ルーティング装置及びネットワーク装置によって、トンネリングプロトコルを使用してトンネリングセッションを前記ルーティング装置から前記ネットワーク装置へ確立するステップと、
前記ルーティング装置によって、前記トンネリングセッションを介して前記パケットを前記ネットワーク装置へ転送するステップと、
前記ネットワーク装置によってインターネットを介して前記パケットを前記サーバに転送するステップと、
を備えることを特徴とする方法。
【請求項１６】
請求項１５に記載の方法であって、
前記ルーティング装置は、前記ユーザ装置がアクセスを許可されているアドレスを含むホワイトリストを記憶しており、
前記方法は、前記パケットにアドレス指定されている前記サーバのアドレスが、前記ホワイトリストに含まれている場合、前記ルーティング装置によりインターネットを介して前記サーバに前記パケットを転送するステップを更に備えること、
を特徴とする方法。
【請求項１７】
請求項１５又は１６に記載の方法であって、
前記ネットワーク装置による前記パケットの転送に関するログを、前記ネットワーク装置に接続されているログ装置により記録するステップを更に備えること、
を特徴とする方法。
【請求項１８】
請求項１７に記載の方法であって、
前記ログは前記ユーザの情報を含むこと、
を特徴とする方法。
【請求項１９】
請求項１５乃至１８のいずれか一項に記載の方法であって、
前記ネットワーク装置により、インターネットにおける異なるグローバルアドレスを前記各トンネリングセッションに割り当てるステップを更に備えること、
を特徴とする方法。
【請求項２０】
請求項１５又は１６に記載の方法であって、
前記ネットワーク装置により、インターネットにおける異なるグローバルアドレスを前記各トンネリングセッションに割り当てるステップと、
前記ネットワーク装置に連結されたログ装置により、前記ネットワーク装置による前記パケットの転送に関するログを記録するステップと、を更に備え、
前記ログは前記ユーザ及び前記各グローバルアドレスを示す情報を含むこと、
を特徴とする方法。
【請求項２１】
請求項１５乃至１８のいずれか一項に記載の方法であって、
前記ネットワーク装置により、インターネットにおける同じグローバルアドレスの異なるポートを前記各トンネリングセッションに割り当てるステップを更に備えること、
を特徴とする方法。
【請求項２２】
請求項１５又は１６に記載の方法であって、
前記ネットワーク装置により、前記各トンネリングセッションにインターネットの同じグローバルアドレス及び別のポートを割り当てるステップと、
前記ネットワーク装置に連結されたログ装置により、前記ネットワーク装置による前記パケットの前記転送に関するログを記録するステップと、を更に備え、
前記ログは前記ユーザ及び前記各グローバルアドレス及びポートを示す情報を含むこと、
を特徴とする方法。
【請求項２３】
インターネットを介してパケットを転送するプログラムであって、
ルーティング装置に、
ユーザ装置からサーバへアドレス指定されている前記パケットを受信するステップと、
前記ユーザ装置を使用するユーザを認証するステップと、
前記ユーザが認証された場合、トンネリングプロトコルを使用して前記ネットワーク装置へトンネリングセッションを確立させるステップと、
前記トンネリングセッションを介して前記ネットワーク装置へ前記パケットを転送するステップと、を実行させ、
前記ネットワーク装置はインターネットを介して前記パケットを前記サーバに転送するように構成されていること、
を特徴とする前記プログラム。
【請求項２４】
請求項２３に記載のプログラムであって、
前記ルーティング装置に、
前記ユーザ装置がアクセスを許可されているアドレスを含むホワイトリストを記憶するステップと、
前記パケットがアドレス指定されている前記サーバのアドレスが前記ホワイトリストに含まれている場合、インターネットを介して前記パケットを前記ネットワーク装置に転送するステップと、
を更に実行させること、
を特徴とするプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１２−１６５３５１（Ｐ２０１２−１６５３５１Ａ）
【公開日】平成２４年８月３０日（２０１２．８．３０）
【国際特許分類】
【外国語出願】
【出願番号】特願２０１１−１０２２１６（Ｐ２０１１−１０２２１６）
【出願日】平成２３年４月２８日（２０１１．４．２８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．イーサネット
【出願人】（５１１１０８１６１）
【氏名又は名称原語表記】Ｍａｒｔｉｎ Ｖａｒｓａｖｓｋｙ
【住所又は居所原語表記】ｃ／ｏ ＦＯＮ Ｔｅｃｈｎｏｌｏｇｙ， Ａｖｅｎｉｄａ ｄｅ Ｂｒｕｓｅｌａｓ， ７． Ｐｌａｎｔａ ３， Ａｌｃｏｂｅｎｄａｓ， Ｍａｄｒｉｄ ２８１００， Ｓｐａｉｎ
【Ｆターム（参考）】
【公開日】平成２４年８月３０日（２０１２．８．３０）
【国際特許分類】
【出願番号】特願２０１１−１０２２１６（Ｐ２０１１−１０２２１６）
【出願日】平成２３年４月２８日（２０１１．４．２８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．イーサネット
【出願人】（５１１１０８１６１）
【氏名又は名称原語表記】Ｍａｒｔｉｎ Ｖａｒｓａｖｓｋｙ
【住所又は居所原語表記】ｃ／ｏ ＦＯＮ Ｔｅｃｈｎｏｌｏｇｙ， Ａｖｅｎｉｄａ ｄｅ Ｂｒｕｓｅｌａｓ， ７． Ｐｌａｎｔａ ３， Ａｌｃｏｂｅｎｄａｓ， Ｍａｄｒｉｄ ２８１００， Ｓｐａｉｎ
【Ｆターム（参考）】
[ Back to top ]