JP4020587B2

JP4020587B2 - 移動体ネットワークのパケット・データ・サービス伝送内の伝送制御プロトコル・プロキシの使用

Info

Publication number: JP4020587B2
Application number: JP2000539617A
Authority: JP
Inventors: アンデルソン、ディック; カールソン、トルグニイ; ヘルリッツ、アンデルス
Original assignee: テレフオンアクチーボラゲットエルエムエリクソン（パブル）
Priority date: 1997-12-16
Filing date: 1998-12-08
Publication date: 2007-12-12
Anticipated expiration: 2018-12-08
Also published as: DE69834505T2; EP1040631B1; WO1999031855A1; CA2314268C; DE69834505D1; CN1285106A; AU1794599A; CA2314268A1; AU752679B2; US6061341A; JP2002509392A; CN1112017C; EP1040631A1

Description

【０００１】
（発明の背景）
（発明の技術分野）
本発明はパケット・データ通信に関係し、特に遠隔ネットワークと相互接続された移動体ネットワーク内で動作する移動局と遠隔ネットワーク・ホストとの間の通信に関係する。
【０００２】
（関連技術の説明）
移動体電気通信ネットワークの開発と改良は、サービスする移動電気通信ネットワークを通して単なる音声データ以外のデータを通信することを移動加入者に可能とした。インターネットとイーメイル・アプリケーションの広範囲な増殖により、移動加入者はその関係する移動局を介してそのｅ−メイル・メッセージにアクセスしたり又はインターネットをブラウズ又はサーフすることも可能である。従って、移動局は関係する移動加入者にインターネット・アクセスまたはパケット通信を提供する際にデータ端末装置（ＤＴＥ）として又は関係して機能する。移動体ネットワーク上の音声通信は回線交換モードの動作を通常使用する。移動体ネットワーク上のパケット・データ通信はパケット・チャネル上のパケット交換通信（例えば、ＴＣＰ／ＩＰ）を使用する。
【０００３】
パケット・データ通信用に設定された移動局は移動体ネットワークにより知られているインターネット・プロトコル（ＩＰ）アドレスを有する。移動局に取付けたデータ端末装置はこのアドレスに適合されている。インターネットのような外部ネットワークから移動局と関連するＤＴＥにアドレスされた入来ＴＣＰ／ＩＰパケットは、移動局と関連する移動体ネットワークに移動局のページングを実行させるよう強制する。ページングは、移動局がパケット・モードの動作に切換わり、移動体ネットワークとパケット・チャネルを確立するよう要求する。移動体ネットワーク上で一旦パケット・チャネルが確立すると、移動局のＤＴＥとＴＣＰ／ＩＰパケットを発生するインターネット・ホストとは、互いにデータを透明に伝送することができる。
【０００４】
インターネット・ホストと移動局との間の相互接続は図１に図示するような「３段階ハンドシェーク」を使用したＴＣＰ／ＩＰプロトコルを利用する。この場合、クライアントは接続するインターネット・ホストを含み、サーバーは移動局を含む。３段階（three-way）ハンドシェーク・ルーチンはＴＣＰヘッダ内のＳＹＮ及びＡＣＫフラッグを使用する。クライアント（インターネット・ホスト）からの内向ＴＣＰパケットはＳＹＮフラッグ・ビットの組を含む。外向ＴＣＰパケット応答はＳＹＮとＡＣＫフラッグ組の両方を含む。一旦このルーチンが実行されると、ＴＣＰ／ＩＰ接続がクライアントとサーバーとの間に確立される。
【０００５】
現在インターネットで使用される１つの公知のサービス拒否攻撃はＴＣＰＳＹＮ大量攻撃である。この攻撃では、クライアントはＳＹＮフラッグをセットしたＴＣＰパケットをサーバーに送信するが、ＳＹＮ及びＡＣＫフラッグをセットした応答ＴＣＰパケットに答えない。これによりサーバーが時間切れとなるまでサーバーはＡＣＫフラッグをセットした物を含むＴＣＰパケットを待たなければならない。これは、サーバーの時間切れ期間が経過するまでシステム・リソースをハングさせる効果を有する。
【０００６】
移動体ネットワークの場合、移動体ネットワーク内の特定のアドレスに攻撃者がＴＣＰＳＹＮパケットを送信すると、移動局がアイドル・モードにいる場合は移動体ネットワークは関係する移動局のページングを実行する。移動局が可能な場合、パケット・データ・チャネルが移動局に確立される。攻撃が全アドレス・ベースに向けられている場合、ネットワークはそのアドレス・ベースの全てのアイドルな移動局をページする。これは移動体ネットワーク全体を結局ダウンロードする。ＴＣＰＳＹＮ大量攻撃が使用されている場合、これはネットワークとネットワークに関係する無線リソースに対して大きな脅威となる。
【０００７】
（発明の要約）
本発明は、インターネットのような第１のネットワーク上の遠隔ホストと、移動体ネットワーク内の包含ディジタル端末装置を有する移動局との間で、ＴＣＰパケット接続の発生を可能とするシステムと方法により以上の及びその他の問題を克服する。最初に、遠隔ホストと移動体ネットワークに関係するゲートウェイ・パケット移動体交換局（ＧＰＭＳＣ）との間で３段階ハンドシェーク・ルーチンが実行される。３段階ハンドシェーク・ルーチンは遠隔ホストから移動局へのＴＣＰＳＹＮパケット送信により開始される。ＴＣＰＳＹＮパケットを移動局へ転送するのではなく、ゲートウェイ・パケット移動体交換局と関連するＴＣＰプロキシ機能がＴＣＰＳＹＮパケットをバッファし、ＴＣＰＳＹＮ＋ＡＣＫパケット応答を遠隔ホストに送信する。遠隔ホストはＧＰＭＳＣへＴＣＰＡＣＫパケット応答を送信する。現在移動局をサービスしている在圏パケット移動体交換局を介してＧＰＭＳＣと移動局との間でパケット・チャネルを発生している間、ＴＣＰＡＣＫ応答はＴＣＰプロキシ機能によりバッファされる。
【０００８】
移動局へのパケット・チャネルの作成時に、第２の３段階ハンドシェーク・ルーチンがＧＰＭＳＣと移動局との間で開始される。このハンドシェーク・ルーチンでは、ＧＰＭＳＣから在圏パケット移動体交換局へ転送されたバッファされたＴＣＰＳＹＮパケットが在圏パケット移動体交換局から移動局と関係するディジタル端末装置とへ送信される。応答ＴＣＰＳＹＮ＋ＡＣＫパケットが移動局からＧＰＭＳＣへ返信される。応答時に、ＧＰＭＳＣは元の３段階ハンドシェーク・ルーチンのバッファされたＴＣＰＡＣＫパケットを移動局へ送信して、移動局と遠隔ホストとの間のＴＣＰ接続を開始する。
【０００９】
（望ましい実施例の詳細な説明）
ここで図面、特に図２を参照すると、ＴＣＰプロキシ機能を含む、パケット移動体ネットワークのネットワーク・アーキテクチャが図示されている。本発明の目的は、移動体ネットワーク４５と遠隔ネットワーク５０（インターネット又はイントラネット）を通して関連ディジタル端末装置（ＤＴＥ）３５を有する移動局３０と遠隔ホスト４０との間で相互接続を可能とすることである。遠隔ホスト４０から移動局３０及び関連ＤＴＥ３５へのＴＣＰ接続の要求は、最初インターネット／イントラネット・ネットワーク５０を通して移動体ネットワーク４５へ渡されるが、ここで接続要求はＴＣＰプロキシ機能６０を含むゲートウェイ・パケット移動体交換局５５により最初に受信される。ＴＣＰ接続要求に応答して、以下により詳細に説明される３段階ハンドシェーク・ルーチンがＧＰＭＳＣ５５と遠隔ホスト４０との間で実行される。３段階ハンドシェーク・ルーチンの結果としてＴＣＰプロキシ機能６０と関係するメモリ６５内に遠隔ホスト４０からのＴＣＰＳＹＮパケットとＴＣＰＡＣＫパケットがバッファされる。
【００１０】
ＧＰＭＳＣ５５は移動局３０と関係するホーム・ロケーション・レジスタ（ＨＬＲ）７０に問合せして移動局のルーティング及び位置情報を決定する。この情報を使用して、入来パケット要求は移動局３０をサービスする在圏パケット移動体交換局（ＶＰＭＳＣ）７５へ送信される。入来パケット要求はバッファされたＴＣＰＳＹＮパケットを含む。ＶＰＭＳＣ７５は移動局３０に無線サポートを提供している在圏移動体交換局（ＶＭＳＣ）８０にページング要求を発生し、ＶＭＳＣは関連する基地局送信器８５を通して移動局のページングを実行する。
【００１１】
移動局３０がページに応答した場合、移動局とＶＰＭＳＣ７５との間にパケット・データ・チャネルが確立される。ＶＰＭＳＣ７５はバッファされたＴＣＰＳＹＮパケットを使用してＶＰＭＳＣ、移動局３０及びＧＰＭＳＣ５５との間に第２の３段階ハンドシェーク・ルーチンを開始する。このハンドシェーク・ルーチンでは、ＧＰＭＳＣ５５のメモリ６５内に記憶された記憶ＴＣＰＡＣＫパケット応答を移動局３０に送信する。ＴＣＰＡＣＫパケット応答が移動局３０で受信されると、移動局からＧＰＭＳＣ５５及び遠隔ホスト４０へのＴＣＰ接続が完了する。このようにして、インターネット／イントラネット・ネットワーク５０と移動体ネットワーク４５を介して、遠隔ホスト４０から移動局３０及び関連ＤＴＥ３５へＴＣＰパケット通信が実行される。
【００１２】
図３において、遠隔ホスト４０と関連ディジタル端末装置３５を有する移動局３０との間でのＴＣＰ接続１６０の確立を記述する信号化線図が図示されている。この過程はインターネット・ホスト４０から送信されるＴＣＰＳＹＮパケット１００により開始される。ＴＣＰＳＹＮパケット１００は移動局３０と関連ＤＴＥ３５のＩＰアドレスへ送信される。ＴＣＰＳＹＮパケット１００がＧＰＭＳＣ５５により受信されると、ＧＰＭＳＣ内のＴＣＰプロキシ機能６０がＴＣＰＳＹＮパケット１００を横取りし、バッファし、インターネット・ホスト４０へ送信されるＴＣＰＳＹＮ＋ＡＣＫパケット１０５により応答する。ＴＣＰＳＹＮ＋ＡＣＫパケット１０５を送信することにより、ＴＣＰプロキシ機能６０は移動局３０として動作する。ＴＣＰＳＹＮ＋ＡＣＫパケット１０５に応答して、インターネット・ホスト４０はＴＣＰＡＣＫパケット１１０により返答する。ＧＰＭＳＣ５５はＴＣＰＳＹＮパケット１００と共にＴＣＰＡＣＫパケット１１０と、存在するなら（図示せず）インターネット・ホスト４０からの以降のＴＣＰパケットをバッファする。何らかの理由でＴＣＰＡＣＫパケット１１０が受信されない場合、ＧＰＭＳＣ５５によりこれ以上の動作は行なわれない。
【００１３】
ＴＣＰＡＣＫパケット１１０を受信した場合、ＧＰＭＳＣ５５はＩＰアドレス対移動局ネットワーク・アドレス変換を実行し、移動局をサービスするＶＰＭＳＣ７５に要求する移動局３０のＨＬＲ７０にＰＭＡＰプロトコル情報要求１１５と移動局の移動局識別子（ＭＳＩ）を発生する。ホーム・ロケーション・レジスタ７０はＰＭＡＰプロトコル・メッセージ１２０に応答して移動局３０のＶＰＭＳＣ７５とＭＳＩをＧＰＭＳＣ５５に与える。この情報を使用して、ＧＰＭＳＣ５５は指示されたＶＰＭＳＣ７５へ他のＰＭＡＰプロトコル・メッセージ１２５を発生する。ＰＭＡＰプロトコル・メッセージは、識別されたＶＰＭＳＣ７５へのカプセル化されバッファされたＴＣＰＳＹＮパケットとアドレス情報を含む。
【００１４】
ＶＰＭＳＣ７５は加入者が登録されているかどうか（すなわち、パケット・モードでないか）を決定し、そうでない場合、移動局３０をサービスするＶＭＳＣ８０へＰＭＡＰプロトコル・ページング要求１３０を発行する。ＶＭＳＣ８０は移動局３０に、移動局がパケット・モードの動作に切換わるよう要求するページング・メッセージ１３５を発生する。ページング・メッセージ１３５に応答して、移動局３０はＶＰＭＳＣ７５とのパケット・チャネル１４０を確立する。パケット・チャネル確立過程はＶＰＭＳＣ７５による移動局の登録と認証の両方を含む。
【００１５】
一旦移動局がＶＰＭＳＣ７５とのパケット・チャネル１４０を確立すると、ＶＰＭＳＣは最初にＧＰＭＳＣ５５により移動局３０へ与えられた受信され、バッファされたＴＣＰＳＹＮパケット１４５を送信する。移動局３０は、ＧＰＭＳＣ５５のＴＣＰプロキシ機能６０により捕獲されたＴＣＰＳＹＮ＋ＡＣＫパケット１５０によりＴＣＰＳＹＮパケット１４５に応答する。ＴＣＰＳＹＮ＋ＡＣＫパケット１５０に応答して、ＧＰＭＳＣ５５は、移動局３０はバッファされたＴＣＰＡＣＫパケット１５５と共に、存在するなら、ＧＰＭＳＣによりバッファされた以降のパケットを送信する。ＧＰＭＳＣ５５はインターネット・ホスト４０と移動局３５との間のデータ・トラヒックには今や透明であり、ＴＣＰ接続１６０が確立する。
【００１６】
このようにして、移動体ネットワーク４５はＴＣＰＳＹＮ大量攻撃から保護される。移動体ネットワーク４５は、３段階ハンドシェーク処理に従ってＴＣＰプロキシ機能６０により元の遠隔ホスト４０が検証されない限りアイドルな移動局３０とパケット・データ・チャネルを設定しない。ＴＣＰＳＹＮ大量攻撃はＧＰＭＳＣ５５で停止され、移動体ネットワーク５５内のシステム・リソースを減勢しない。
【００１７】
本発明の方法と装置の望ましい実施例を添付図面と以上の詳細な説明に説明して来たが、本発明は開示した実施例に限定されるものではなく、添付の請求の範囲に記載し定義した本発明の要旨から逸脱することなく多数の再配置、変更及び置換えが可能であることを理解すべきである。
【図面の簡単な説明】
本発明のより完全な理解のため、添付の図面と関連して行なわれる以下の詳細な説明を参照する。
【図１】ＴＣＰ接続を確立するための３段階ハンドシェーク・ルーチンの図解。
【図２】ＴＣＰプロキシ機能を含むパケット移動体ネットワークのネットワーク・アーキテクチャを図示するブロック線図。
【図３】インターネット・ホストと関係ディジタル端末装置を有する移動局との間のＴＣＰ接続の確立を図示する信号図。

Claims

第１ネットワーク上の遠隔ホストと移動体ネットワーク上の移動局との間でパケット接続を発生する方法において、
遠隔ホストから移動局へのパケット接続要求を移動体ネットワークのゲートウェイ・パケット移動体交換局で受信する段階と、
遠隔ホストから移動局へのパケット接続要求に応答して、遠隔ホストと移動体ネットワークのゲートウェイ・パケット移動体交換局との間で第１の３段階ハンドシェーク・ルーチンを実行する段階と、
移動体ネットワークのゲートウェイ・パケット移動体交換局で遠隔ホストからの第１の３段階ハンドシェーク・ルーチンのパケットをバッファする段階と、
バッファされた前記パケットを送信して、ゲートウェイ・パケット移動体交換局と移動局との間で第２の３段階ハンドシェーク・ルーチンを実行する段階と、
第２の３段階ハンドシェーク・ルーチンの実行により遠隔ホストと移動局との間のパケット接続を完了する段階と、
を含む前記方法。
請求項１記載の方法において、
ゲートウェイ・パケット移動体交換局と移動局との間にパケット・チャネルを確立する段階と、
をさらに含む方法。
請求項２記載の方法において、前記確立する段階は、
移動局のホーム・ロケーション・レジスタをアクセスすることにより移動局の位置を決定する段階と、
移動局へページング要求を発生する段階と、
を含む方法。
請求項３記載の方法において、前記発生する段階は、
移動局をサービスしているパケット移動体交換局から移動局を現在サービスしている移動体交換局へページング要求を発生する段階と、
サービスしている移動体交換局から移動局をページングする段階と、
を含む方法。
請求項１記載の方法において、第１の３段階ハンドシェーク・ルーチンを実行する段階は、
遠隔ホストからのパケット接続を開始するための開始パケットを、ゲートウェイ・パケット移動体交換局で受信する段階と、
開始パケットに応答してゲートウェイ・パケット移動体交換局から遠隔ホストへ応答パケットを送信する段階と、
応答パケットに応答して遠隔ホストからの確認応答をゲートウェイ・パケット移動体交換局で受信する段階と、
を含む方法。
請求項５記載の方法において、前記バッファする段階は、
遠隔ホストからの開始パケットをバッファする段階と、
遠隔ホストからの確認応答をバッファする段階と、
を含む方法。
請求項６記載の方法において、第２の３段階ハンドシェーク・ルーチンを実行する前記段階は、
ゲートウェイ・パケット移動体交換局からのバッファされた開始パケットを在圏パケット移動体交換局へ転送する段階と、
パケット・チャネルの確立時に在圏パケット移動体交換局からサービスする移動局へバッファされた開始パケットを送信する段階と、
開始パケットに応答して移動局からの応答パケットをゲートウェイ・パケット移動体交換局で受信する段階と、
応答パケットに応答してゲートウェイ・パケット移動体交換局から移動局へバッファされた確認応答を送信する段階と、
を含む方法。
請求項１記載の方法において、前記バッファする段階は、確認応答に続く全てのパケットをバッファする段階をさらに含む方法。
インターネット・ネットワーク上の遠隔ホストと移動体ネットワーク上の移動局との間でＴＣＰパケット接続を発生する方法において、
遠隔ホストから移動局へのパケット接続要求に応答して、遠隔ホストと移動体ネットワークのゲートウェイ・パケット移動体交換局との間で第１の３段階ハンドシェーク・ルーチンを実行する段階と、
第１の３段階ハンドシェーク・ルーチンのＴＣＰＳＹＮパケットとＴＣＰＡＣＫパケットを移動体ネットワークのゲートウェイ・パケット移動体交換局でバッファする段階と、
ゲートウェイ・パケット移動体交換局と移動局との間にパケット・チャネルを確立する段階と、
パケット・チャネルの確立時に、バッファされたＴＣＰＳＹＮパケットを移動局へ送信する段階と、
ＴＣＰＳＹＮパケットに応答して移動局からのＴＣＰＳＹＮ＋ＡＣＫパケットをゲートウェイ・パケット移動体交換局で受信する段階と、
ＴＣＰＳＹＮ＋ＡＣＫプロトコルに応答してゲートウェイ移動体交換局から移動局へバッファされたＴＣＰＡＣＫパケットを送信する段階と、
を含む前記方法。
請求項９記載の方法において、確立する前記段階は、
移動局のホーム・ロケーション・レジスタをアクセスすることにより移動局の位置を決定する段階と、
移動局へページング要求を発生する段階と、
を含む方法。
請求項１０記載の方法において、発生する前記段階は、
移動局をサービスする在圏パケット移動体交換局から現在移動局をサービスしている移動体交換局へページング要求を送信する段階と、
サービスしている移動体交換局から移動局をページングする段階と、
を含む方法。
請求項９記載の方法において、第１の３段階ハンドシェーク・ルーチンを実行する段階は、
遠隔ホストからのＴＣＰＳＹＮパケットをゲートウェイ・パケット移動体交換局で受信してパケット接続を開始する段階と、
ＴＣＰＳＹＮパケットに応答して、ゲートウェイ・パケット移動体交換局から遠隔ホストへＴＣＰＳＹＮ＋ＡＣＫパケットを送信する段階と、
ＴＣＰＳＹＮ＋ＡＣＫパケットに応答して、遠隔ホストからのＴＣＰＡＣＫパケットをゲートウェイ・パケット移動体交換局で受信する段階と、
をさらに含む方法。
請求項９記載の方法において、
ＰＭＡＰプロトコル・メッセージ内でゲートウェイ・パケット移動体交換局から在圏パケット移動体交換局へ第１の３段階ハンドシェーク・ルーチンのバッファされたＴＣＰＳＹＮパケットを転送する段階と、
をさらに含む方法。
請求項１０記載の方法において、
決定する前記段階は、ＩＰアドレス対移動局ネットワーク・アドレス変換を実行する段階を含み、しかも、
ホームロケーション・レジスタをアクセスする前記段階は、ＰＭＡＰプロトコル情報要求を送信する段階と、ＰＭＡＰプロトコル・メッセージの応答を受信する段階と、を含む、
方法。
ゲートウェイ・パケット移動体交換局において、
第１のネットワークと相互接続する第１の相互接続部と、
移動体ネットワークと相互接続する第２の相互接続部と、
第１のネットワークの遠隔ホストから移動体ネットワークの移動体への接続要求に応答して、ゲートウェイ・パケット移動体交換局と遠隔ホストとの間の第１の３段階ハンドシェーク・ルーチンを実行する装置と、
遠隔ホストからの第１の３段階ハンドシェーク・ルーチンのパケットを記憶するメモリと、
メモリに記憶されたパケットを送信して第２の３段階ハンドシェーク・ルーチンを開始し、遠隔ホストから移動局へのパケット・チャネルを完了する装置と、
を含むゲートウェイ・パケット移動体交換局。
請求項１５記載のゲートウェイ・パケット移動体交換局において、第１のネットワークがインターネットを含むゲートウェイ・パケット移動体交換局。
請求項１５記載のゲートウェイ・パケット移動体交換局において、第１のネットワークがイントラネットを含むゲートウェイ・パケット移動体交換局。
請求項１５記載のゲートウェイ・パケット移動体交換局において、パケットがＴＣＰＳＹＮパケットとＴＣＰＡＣＫパケットを含むゲートウェイ・パケット移動体交換局。