JP2023002448A - Device and method for providing communication service for accessing ip network, and program therefor - Google Patents

Device and method for providing communication service for accessing ip network, and program therefor Download PDF

Info

Publication number
JP2023002448A
JP2023002448A JP2022018384A JP2022018384A JP2023002448A JP 2023002448 A JP2023002448 A JP 2023002448A JP 2022018384 A JP2022018384 A JP 2022018384A JP 2022018384 A JP2022018384 A JP 2022018384A JP 2023002448 A JP2023002448 A JP 2023002448A
Authority
JP
Japan
Prior art keywords
instance
credential
session
iot device
gtp
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2022018384A
Other languages
Japanese (ja)
Other versions
JP7076050B1 (en
Inventor
大喜 川上
Taiki KAWAKAMI
基勝 松井
Motokatsu Matsui
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Soracom Inc
Original Assignee
Soracom Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Soracom Inc filed Critical Soracom Inc
Priority to JP2022018384A priority Critical patent/JP7076050B1/en
Application granted granted Critical
Publication of JP7076050B1 publication Critical patent/JP7076050B1/en
Publication of JP2023002448A publication Critical patent/JP2023002448A/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Mobile Radio Communication Systems (AREA)

Abstract

PROBLEM TO BE SOLVED: To provide methods and devices, using a communication infrastructure connected to an MNO communication infrastructure to enable access without going through a wireless access network for cellular communications.
SOLUTION: A device 200 receives, from IoT equipment 230, a session generation request including a communication service subscriber identifier 232, and transmits a provisioning call for a GTP tunnel between a first instance and a second instance included in a communication infrastructure 220 on a cloud connected to an MNO communication infrastructure 210. An ID associated with the subscriber identifier and a transmission origin address serving as the transmission origin of a GTP-U session are received from the first instance or the second instance. A provisioning call including the transmission origin address and a public key is transmitted to the first instance, the provisioning call being for a VPN tunnel between the IoT equipment and the first instance. Connection information is transmitted to the IoT equipment storing a private key corresponding to the public key.
SELECTED DRAWING: Figure 2
COPYRIGHT: (C)2023,JPO&INPIT

Description

本発明は、IPネットワークにアクセスするための通信サービスを提供するための装置、方法及びそのためのプログラムに関する。 The present invention relates to an apparatus, method, and program for providing communication service for accessing an IP network.

セルラーネットワークを用いた無線通信サービスは、従来MNO（移動体通信事業者）により提供され、利用者はMNOと契約して当該MNOからSIMカードを受け取り、それを機器に装着することで利用を開始することができる。 Wireless communication services using cellular networks have traditionally been provided by mobile network operators (MNOs). Users make a contract with an MNO, receive a SIM card from the MNO, and install it in their device to start using it. can do.

近年、MVNO（仮想移動体通信事業者）の登場により無線通信回線の小売が進んでおり、この場合、利用者はMNOではなくMVNOからSIMカードを受け取る。MVNOには、自社で一切通信インフラを有しない形態と、自社でも通信インフラを有し、その通信インフラをMNOの通信インフラに接続して無線通信サービスを提供する形態に大別することができる。後者（図１参照）は前者と比較して、自社でも通信インフラを有することから、一例として、通信速度、通信容量等の通信品質に応じた価格設定が可能であり、さまざまなニーズに応えることが試みられている。 In recent years, with the emergence of MVNOs (mobile virtual network operators), retail sales of wireless communication lines have progressed. In this case, users receive SIM cards from MVNOs rather than MNOs. MVNOs can be broadly divided into forms that do not have any communication infrastructure themselves, and forms that have their own communication infrastructure and connect that communication infrastructure to the MNO's communication infrastructure to provide wireless communication services. Compared to the former, the latter (see Fig. 1) has its own communication infrastructure, so as an example, it is possible to set prices according to communication quality such as communication speed and communication capacity, and it is possible to meet various needs. is being attempted.

無線通信サービスに対するニーズとして近年顕著に増加しているのが、あらゆるモノに通信機能を加えてインターネットにつなげるIoTの動きである。以下、インターネットを含めてコンピュータネットワークに接続可能な機器を「IoT機器」と呼ぶ。SIMカードを装着することによって、IoT機器はセルラー通信を用いてIPネットワークにアクセス可能となる。 A notable increase in demand for wireless communication services in recent years is the movement of IoT, which adds communication functions to all sorts of things and connects them to the Internet. Devices that can be connected to computer networks including the Internet are hereinafter referred to as “IoT devices”. By installing a SIM card, IoT devices can access IP networks using cellular communication.

なお、MNOとMVNOの間に、MVNOが円滑な事業を行うための支援サービスを提供するMVNE（仮想移動体通信サービス提供者）が介在し、MVNEがMNOからSIMカードの提供を受けて、それをさらにMVNOに提供する場合もある。たとえば、MVNEの通信インフラをMNOの通信インフラに接続して無線通信サービスを実現し、自社の通信インフラを有しないMVNOが小売を担うことが考えられる。 Between the MNO and the MVNO, there is an MVNE (mobile virtual network service provider) that provides support services for the smooth operation of the MVNO. may also be provided to MVNOs. For example, it is conceivable that the MVNE's communication infrastructure is connected to the MNO's communication infrastructure to realize wireless communication services, and the MVNO, which does not have its own communication infrastructure, is responsible for retail.

しかしながら、セルラー通信を用いずに、より具体的にはセルラー通信のための無線アクセスネットワークを用いずにIoT機器にIPネットワークへのアクセスを可能とすることも併用したい場合に、上述のようなMVNO又はMVNEにより提供される無線通信サービスとは別個の通信サービスを利用して各々を管理するか、複数の通信サービスを管理するための通信システムを自社で開発することが必要となり、これは管理コスト、開発コスト等のコスト増大を招く。 However, if you also want to enable IoT devices to access IP networks without using cellular communication, more specifically without using a radio access network for cellular communication, MVNOs such as those described above Alternatively, it is necessary to manage each using a communication service separate from the wireless communication service provided by MVNE, or to develop a communication system to manage multiple communication services in-house, which increases management costs. , increase costs such as development costs.

本発明は、このような問題点に鑑みてなされたものであり、その目的は、MNOの通信インフラに接続される通信インフラを用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための装置、方法及びそのためのプログラムにおいて、セルラー通信のための無線アクセスネットワークを介さずに当該アクセスを可能とすることにある。 The present invention has been made in view of such problems, and its purpose is to provide IoT devices with a communication service for accessing an IP network using a communication infrastructure connected to the communication infrastructure of an MNO. An apparatus, a method and a program therefor to provide the access without going through a radio access network for cellular communication.

また、本発明のより一般的な目的は、IoT機器がIPネットワークにアクセスするための通信サービスにおいて、MNOの通信インフラに接続される通信インフラを用いて、セルラー通信のための無線アクセスネットワークを介さずに当該アクセスを可能とすることにある。 A more general object of the present invention is to provide a communication service for IoT devices to access an IP network, using a communication infrastructure connected to the communication infrastructure of an MNO, via a radio access network for cellular communication. The purpose is to enable the access without requiring

なお、MNO、MVNO及びMVNEという用語は、その定義が異なることがある。本明細書においては、MNOは3GのSGSN、LTEのS-GWを通信インフラとして保有し、MVNO又はMVNEについては区別せず、MNOの通信インフラに接続される通信インフラを有する事業者と包括的に呼称することがある。当該事業者が保有する通信インフラとしては、3GのGGSN、LTEのP-GWが例として挙げられる。 Note that the terms MNO, MVNO and MVNE may have different definitions. In this specification, MNO has 3G SGSN and LTE S-GW as communication infrastructure, and MVNO or MVNE is not distinguished, and is comprehensively defined as a business operator having communication infrastructure connected to MNO communication infrastructure. may be called. Examples of the communication infrastructure owned by the operator include 3G GGSN and LTE P-GW.

また、上述の説明ではSIMカードがIoT機器に装着されることを例としているが、物理的なSIMカードに限らず、IoT機器に組み込まれた半導体チップ、IoT機器のモジュール内のセキュアなエリアに搭載されたソフトウェア等により実装してよく、以下ではこれらを包含して「SIM」と呼ぶ。SIMは、当該SIMを識別するSIM識別子を記憶している。SIM識別子の例としては、IMSI、ICCID、MSISDN等が挙げられる。 Also, in the above explanation, the SIM card is attached to the IoT device as an example, but it is not limited to the physical SIM card. It may be implemented by installed software or the like, and is hereinafter collectively referred to as "SIM". A SIM stores a SIM identifier that identifies the SIM. Examples of SIM identifiers include IMSI, ICCID, MSISDN, and the like.

本発明は、このような問題点に鑑みてなされたものであり、その目的は、MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための方法であって、前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信するステップと、前記加入者識別子に関連づけてIDを記憶するステップと、前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信するステップと、前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信するステップと、前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び前記第１のクレデンシャルを含む第２のプロビジョニングコールを送信するステップと、前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信するステップとを含む。 The present invention has been made in view of such problems, and its purpose is to access IoT devices and IP networks using equipment provided by communication infrastructure on the cloud connected to the communication infrastructure of MNO. a method for providing a communication service for providing a communication service to a subscriber, comprising: receiving a create session request including a subscriber identifier for identifying a subscriber of said communication service; and storing an ID in association with said subscriber identifier. and a first provisioning call to a first instance and a second instance included in the equipment to create a GTP-U session between the first instance and the second instance. sending a first provisioning call including the identity; and from the first instance or the second instance, in response to the first provisioning call, the source of the GTP-U session. and a second provisioning call to the first instance to create a VPN session between the IoT device and the first instance, wherein the source address is and sending a second provisioning call including the first credential; and sending connection information including an address and a destination address of said first instance.

また、本発明の第２の態様は、第１の態様の方法であって、前記接続情報は、前記第１のインスタンスのポート番号を含む。 A second aspect of the present invention is the method of the first aspect, wherein the connection information includes a port number of the first instance.

また、本発明の第３の態様は、第１又は第２の態様の方法であって、前記第１のクレデンシャルは、公開鍵であり、前記第２のクレデンシャルは、前記公開鍵に対応する秘密鍵である。 A third aspect of the present invention is the method of the first or second aspect, wherein the first credential is a public key, and the second credential is a secret corresponding to the public key. is the key.

また、本発明の第４の態様は、第１から第３のいずれかの態様の方法であって、前記第１のインスタンス及び前記第２のインスタンスは、クラウド又はパブリッククラウド上のインスタンスである。 A fourth aspect of the present invention is the method according to any one of the first to third aspects, wherein the first instance and the second instance are instances on a cloud or a public cloud.

また、本発明の第５の態様は、第１から第４のいずれかの態様の方法であって、前記セッション生成要求は、前記IoT機器から受信する。 A fifth aspect of the present invention is the method according to any one of the first to fourth aspects, wherein the session creation request is received from the IoT device.

また、本発明の第６の態様は、装置に、MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための方法を実行させるためのプログラムであって、前記方法は、前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信するステップと、前記加入者識別子に関連づけてIDを記憶するステップと、前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信するステップと、前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信するステップと、前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び前記第１のクレデンシャルを含む第２のプロビジョニングコールを送信するステップと、前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信するステップとを含む。 In addition, a sixth aspect of the present invention provides a communication service for accessing an IP network to an IoT device using equipment provided in a communication infrastructure on a cloud connected to the communication infrastructure of an MNO. said method comprising: receiving a create session request including a subscriber identifier for identifying a subscriber of said communication service; and a first provisioning to a first instance and a second instance included in said equipment for creating a GTP-U session between said first instance and said second instance. sending a first provisioning call including said identity; and sending said GTP-U session from said first instance or said second instance in response to said first provisioning call. receiving an original source address; and a second provisioning call to the first instance to create a VPN session between the IoT device and the first instance, wherein the sending sending a second provisioning call including a source address and the first credential; and to the IoT device storing the first credential or a second credential corresponding to the first credential, and sending connection information including a source address and a destination address of the first instance.

また、本発明の第７の態様は、MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための装置であって、前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信して、前記加入者識別子に関連づけてIDを記憶し、前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信して、前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信し、前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び前記第１のクレデンシャルを含む第２のプロビジョニングコールを送信し、前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信する。 In addition, a seventh aspect of the present invention is a device for providing a communication service for accessing an IP network to an IoT device using equipment included in a communication infrastructure on a cloud connected to the communication infrastructure of an MNO. receiving a create session request including a subscriber identifier for identifying a subscriber of said communication service, storing an ID in association with said subscriber identifier, and a first instance included in said equipment; Sending a second instance a first provisioning call to create a GTP-U session between the first instance and the second instance, the first provisioning call including the ID. Then, from the first instance or the second instance, as a response to the first provisioning call, receives a source address that is the source of the GTP-U session, and to the first instance, sending a second provisioning call to create a VPN session between the IoT device and the first instance, the second provisioning call including the source address and the first credential; Sending connection information including the source address and the destination address of the first instance to the IoT device that stores the first credential or a second credential corresponding to the first credential.

また、本発明の第８の態様は、その間にGTP-Uセッションが生成された第１のインスタンス及び第２のインスタンスを有するクラウド上の通信インフラを用いて、IoT機器がIPネットワークにアクセスするための通信サービスを提供する方法であって、前記第１のインスタンスが、前記IoT機器から、前記IoT機器に格納されたクレデンシャル又は一時的なクレデンシャルによって暗号化されたIPパケットをカプセル化したVPNパケットを受信するステップと、前記第１のインスタンスが、前記VPNパケットに含まれる送信元アドレス又は一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを取得して、暗号化された前記IPパケットを復号化するステップと、前記第１のインスタンスが、復号化された前記IPパケットのヘッダに含まれる送信元アドレスに基づいて、前記第１のインスタンスに保持された、１又は複数の送信元アドレスと各送信元アドレスが割り当てられたGTPセッションの送信先との対応づけを参照して、前記第２のインスタンスを判定するステップと、前記第１のインスタンスが、前記第２のインスタンスに対して、復号化された前記IPパケットをGTPペイロードとするGTPパケットを送信するステップと、前記第２のインスタンスが、前記GTPパケットからGTPヘッダを取り除いて、前記GTPペイロードであるIPパケットを前記設備の外部又は内部のIPネットワークに送信するステップとを含む。 Further, according to an eighth aspect of the present invention, an IoT device accesses an IP network using a communication infrastructure on the cloud having a first instance and a second instance between which a GTP-U session is generated. wherein the first instance transmits, from the IoT device, a VPN packet encapsulating an IP packet encrypted by a credential stored in the IoT device or a temporary credential receiving, wherein said first instance obtains a credential or temporary credential corresponding to a source address or temporary key included in said VPN packet to decrypt said encrypted IP packet; and said first instance determining one or more source addresses and each transmission held in said first instance based on the source address contained in the header of said decrypted IP packet. Determining the second instance by referring to an association with the destination of the GTP session to which the original address is assigned; transmitting a GTP packet having said IP packet as a GTP payload; said second instance removing a GTP header from said GTP packet and transmitting said IP packet as said GTP payload to an IP outside or inside said equipment; and transmitting to a network.

また、本発明の第９の態様は、その間にGTP-Uセッションが生成された、クラウド上の通信インフラが有する第１のインスタンス及び第２のインスタンスに、IoT機器がIPネットワークにアクセスするための通信サービスを提供する方法を実行させるためのプログラムであって、前記方法は、前記第１のインスタンスが、前記IoT機器から、前記IoT機器に格納されたクレデンシャル又は一時的なクレデンシャルによって暗号化されたIPパケットをカプセル化したVPNパケットを受信するステップと、前記第１のインスタンスが、前記VPNパケットに含まれる送信元アドレス又は一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを取得して、暗号化された前記IPパケットを復号化するステップと、前記第１のインスタンスが、復号化された前記IPパケットのヘッダに含まれる送信元アドレスに基づいて、前記第１のインスタンスに保持された、１又は複数の送信元アドレスと各送信元アドレスが割り当てられたGTPセッションの送信先との対応づけを参照して、前記第２のインスタンスを判定するステップと、前記第１のインスタンスが、前記第２のインスタンスに対して、復号化された前記IPパケットをGTPペイロードとするGTPパケットを送信するステップと、前記第２のインスタンスが、前記GTPパケットからGTPヘッダを取り除いて、前記GTPペイロードであるIPパケットを前記設備の外部又は内部のIPネットワークに送信するステップとを含む。 Further, according to a ninth aspect of the present invention, a first instance and a second instance of the communication infrastructure on the cloud, between which a GTP-U session is generated, are provided for the IoT device to access the IP network. A program for executing a method of providing communication services, wherein the first instance is encrypted from the IoT device by credentials or temporary credentials stored on the IoT device. receiving a VPN packet encapsulating an IP packet; said first instance obtaining a credential or temporary credential corresponding to a source address or temporary key included in said VPN packet to perform encryption; the first instance retained in the first instance based on the source address included in the header of the decrypted IP packet; or determining the second instance by referring to correspondence between a plurality of source addresses and destinations of GTP sessions to which each source address is assigned; and said second instance stripping a GTP header from said GTP packet to generate an IP packet whose GTP payload is said second instance, to an instance of to an IP network external or internal to said facility.

また、本発明の第１０の態様は、IoT機器がIPネットワークにアクセスするための通信サービスを提供するためのクラウド上の通信インフラであって、その間にGTP-Uセッションが生成された第１のインスタンス及び第２のインスタンスを有し、前記第１のインスタンスが、前記IoT機器から、前記IoT機器に格納されたクレデンシャル又は一時的なクレデンシャルによって暗号化されたIPパケットをカプセル化したVPNパケットを受信し、前記VPNパケットに含まれる送信元アドレス又は一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを取得して、暗号化された前記IPパケットを復号化し、前記第１のインスタンスが、復号化された前記IPパケットのヘッダに含まれる送信元アドレスに基づいて、前記第１のインスタンスに保持された、１又は複数の送信元アドレスと各送信元アドレスが割り当てられたGTPセッションの送信先との対応づけを参照して、前記第２のインスタンスを判定して、前記第２のインスタンスに対して、復号化された前記IPパケットをGTPペイロードとするGTPパケットを送信し、前記第２のインスタンスが、前記GTPパケットからGTPヘッダを取り除いて、前記GTPペイロードであるIPパケットを前記設備の外部又は内部のIPネットワークに送信する。 A tenth aspect of the present invention is a communication infrastructure on a cloud for providing a communication service for an IoT device to access an IP network, wherein a GTP-U session is generated between the first and a second instance, wherein the first instance receives from the IoT device a VPN packet encapsulating an IP packet encrypted with a credential stored in the IoT device or a temporary credential. and obtaining a credential or temporary credential corresponding to a source address or temporary key included in the VPN packet to decrypt the encrypted IP packet, wherein the first instance decrypts one or more source addresses and destinations of GTP sessions to which each source address is assigned, held in the first instance, based on the source addresses contained in the headers of the IP packets that have been generated. determining the second instance by referring to the association, transmitting a GTP packet having the decrypted IP packet as a GTP payload to the second instance, and , removing the GTP header from the GTP packet and sending the IP packet, which is the GTP payload, to an IP network external or internal to the equipment;

本発明の一態様によれば、VPNトンネルによってインターネット等のIPネットワーク上で秘匿回線が与えられ、ＩoＴ機器は、当該秘匿回線を通じて、MNOの通信インフラに接続される通信インフラであって、GTPトンネルを通じてIPネットワークにデータを送信し、IPネットワークからデータを受信することのできる通信インフラに、無線アクセスネットワークを介さずに接続可能となる。 According to one aspect of the present invention, a confidential line is provided on an IP network such as the Internet by a VPN tunnel, and the IoT device is a communication infrastructure connected to the communication infrastructure of the MNO through the confidential line, and is a GTP tunnel. It becomes possible to connect to a communication infrastructure that can transmit data to and receive data from an IP network without going through a radio access network.

自社の通信インフラをMNOの通信インフラに接続して無線通信サービスを提供するMVNOを模式的に示す図である。1 is a diagram schematically showing an MVNO that provides wireless communication services by connecting its own communication infrastructure to the MNO's communication infrastructure; FIG. 本発明の一実施形態にかかるIPネットワークにアクセスするための通信サービスを提供するための装置を示す図である。Fig. 3 illustrates an apparatus for providing communication services for accessing an IP network according to an embodiment of the present invention; 本発明の一実施形態にかかるIPネットワークにアクセスするための通信サービスを提供するための方法の流れを示す図である。Fig. 3 shows a flow diagram of a method for providing communication services for accessing an IP network according to an embodiment of the present invention; 本発明の一実施形態にかかるIPネットワークにアクセスするための通信サービスを提供するための方法の流れを示す図である。Fig. 3 shows a flow diagram of a method for providing communication services for accessing an IP network according to an embodiment of the present invention; 本発明の一実施形態にかかるIoT機器がIPネットワークにアクセスするための通信サービスにおけるデータ送信の流れを示す図である。FIG. 4 is a diagram showing the flow of data transmission in a communication service for accessing an IP network by an IoT device according to an embodiment of the present invention;

以下、図面を参照して本発明の実施形態を詳細に説明する。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.

図２に、本発明の一実施形態にかかるIPネットワークにアクセスするための通信サービスを提供するための装置を示す。装置２００は、MNOの通信インフラ２１０に接続されるMVNOの通信インフラ２２０及びIoT機器２３０とIPネットワーク上で通信する。装置２００は、IoT機器２３０がIPネットワークにアクセスするための接続を確立するためのものであるため、接続装置とも呼ぶ。MVNOの通信インフラ２２０は、クラウド又はパブリッククラウド上の複数のインスタンスにより構成される。 FIG. 2 shows an apparatus for providing communication services for accessing an IP network according to one embodiment of the present invention. The device 200 communicates with an MVNO communication infrastructure 220 and an IoT device 230 connected to an MNO communication infrastructure 210 over an IP network. The device 200 is also called a connection device because it establishes a connection for the IoT device 230 to access the IP network. The MVNO's communication infrastructure 220 is composed of multiple instances on the cloud or public cloud.

ここで、本明細書において「クラウド」とは、ネットワーク上で需要に応じてCPU、メモリ、ストレージ、ネットワーク帯域などのコンピューティングリソースを動的にプロビジョニングし、提供できるシステムを言う。たとえば、AWS等によりクラウドを利用することができる。また、本明細書において「パブリッククラウド」とは、複数のテナントがコンピューティングリソースの提供を受けることが可能なクラウドを言う。 Here, in this specification, the term "cloud" refers to a system that can dynamically provision and provide computing resources such as CPU, memory, storage, and network bandwidth on a network according to demand. For example, a cloud can be used by AWS or the like. Also, in this specification, the term "public cloud" refers to a cloud in which multiple tenants can receive provision of computing resources.

装置２００は、通信インターフェースなどの通信部２０１と、プロセッサ、CPU等の処理部２０２と、メモリ、ハードディスク等の記憶装置又は記憶媒体を含む記憶部２０３とを備え、各処理を行うためのプログラムを実行することによって構成することができる。装置２００は、１又は複数の装置、コンピュータないしサーバを含むことがある。また、当該プログラムは、１又は複数のプログラムを含むことがあり、また、コンピュータ読み取り可能な記憶媒体に記録して非一過性のプログラムプロダクトとすることができる。当該プログラムは、記憶部２０３又は装置２００からＩＰネットワークを介してアクセス可能なデータベース２０４等の記憶装置又は記憶媒体に記憶しておき、処理部２０２において実行することができる。以下で記憶部２０３に記憶されるものとして記述されるデータはデータベース２０４に記憶してもよく、またその逆も同様である。 The device 200 includes a communication unit 201 such as a communication interface, a processing unit 202 such as a processor and a CPU, and a storage unit 203 including a storage device or storage medium such as a memory or hard disk. It can be configured by running Device 200 may include one or more devices, computers or servers. Also, the program may include one or more programs, and may be recorded on a computer-readable storage medium to be a non-transitory program product. The program can be stored in a storage device or storage medium such as the database 204 accessible from the storage unit 203 or the device 200 via the IP network, and can be executed by the processing unit 202 . Data described below as being stored in storage 203 may be stored in database 204, and vice versa.

装置２００は、クラウド又はパブリッククラウド上の１又は複数のインスタンスとすることができ、MVNOの通信インフラ２２０と同一のクラウド上の１又は複数のインスタンスとしてもよい。MVNOの通信インフラ２２０が有する各インスタンスは、図示していないが、接続装置２００と同様のハードウェア構成とすることができる。 The device 200 can be one or more instances on the cloud or public cloud, and can be one or more instances on the same cloud as the communication infrastructure 220 of the MVNO. Each instance of the MVNO communication infrastructure 220 can have the same hardware configuration as the connection device 200, although not shown.

以下では、まず、通信サービスに必要なセッションの生成につき説明し、その後に、生成されたセッションを用いたIPネットワークへのデータの送信について説明する。 In the following, first, generation of a session required for communication services will be described, and then transmission of data to an IP network using the generated session will be described.

セッションの生成
図３Ａ及び３Ｂに、本発明の一実施形態にかかるIPネットワークにアクセスするための通信サービスを提供するための方法の流れを示す。まず、装置２００は、IoT機器２３０から、当該通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信する（Ｓ３０１）。当該セッション生成要求は、セルラー回線以外のインターネット通信回線によって送信可能であり、一例として、固定インターネット回線によって送信してもよく、セルラー回線を経て送信してもよい。 Session Creation FIGS. 3A and 3B illustrate a method flow for providing communication services for accessing an IP network according to one embodiment of the present invention. First, the device 200 receives a session creation request including a subscriber identifier for identifying a subscriber of the communication service from the IoT device 230 (S301). The session creation request can be transmitted through an Internet communication line other than a cellular line, and as an example, it may be transmitted through a fixed Internet line or through a cellular line.

図２では、IoT機器２３０には、MVNOの通信インフラ２２０を用いて、無線アクセスネットワークを介して提供されるIPネットワークにアクセスするための通信サービスを利用するためのSIMを識別するSIM識別子２３１が格納されていることに加えて、無線アクセスネットワークを介さずに提供されるIPネットワークにアクセスするための通信サービスを利用するための加入者識別子２３２が格納されている。図２において、加入者識別子２３２はこれを用いて接続が確立された際に仮想的なSIM識別子と考えられることから、「V-SIM (Virtual SIM)」と便宜上示している。また、IoT機器２３０には、セッション生成要求を正当に行うためのトークンが格納されていてもよい。IoT機器２３０には、必ずしもSIM識別子２３１が格納されていなくてもよい。 In FIG. 2, the IoT device 230 has a SIM identifier 231 that identifies a SIM for using a communication service for accessing an IP network provided via a radio access network using the communication infrastructure 220 of the MVNO. In addition to being stored, a subscriber identifier 232 is stored for using communication services for accessing the IP network provided without going through the radio access network. In FIG. 2, the subscriber identifier 232 is indicated as "V-SIM (Virtual SIM)" for convenience because it can be considered as a virtual SIM identifier when a connection is established using this. Also, the IoT device 230 may store a token for validating the session creation request. The IoT device 230 does not necessarily have to store the SIM identifier 231 .

接続装置２００は、受信したセッション生成要求に含まれるトークンを必要に応じて検証した後に、当該セッション生成要求に含まれる加入者識別子２３２に関連づけてIDを生成して記憶する（Ｓ３０２）。なお、セッション生成要求は、IoT機器２３０のために、加入者識別子２３２に正当にアクセス可能なIoT機器２３０以外の装置から接続装置２００に送信することも考えられる。 After verifying the token included in the received session creation request as necessary, the connection device 200 generates and stores an ID in association with the subscriber identifier 232 included in the session creation request (S302). It is conceivable that the session creation request is transmitted to the connection device 200 for the IoT device 230 from a device other than the IoT device 230 that can legitimately access the subscriber identifier 232 .

IoT機器２３０以外の装置としては、一例として、IoT機器２３０を管理する管理者が用いるコンピュータが挙げられる。当該管理者は、加入者識別子２３２にアクセス可能であり、接続装置２００に対してセッション生成要求を行うために必要なトークンが付与されていれば、当該トークンを用いて、加入者識別子２３２を含むセッション生成要求を、IoT機器２３０のために行うことができる。また、別の例として、IoT機器２３０以外の装置としては、IoT機器２３０に格納されたSIM識別子２３１を用いてIoT機器２３０を認証してIoT機器２３０との間で秘匿回線を確立可能な認証サーバが挙げられる。確立された秘匿回線を通じてIoT機器２３０から加入者識別子２３２を受信した当該認証サーバは、加入者識別子２３２に正当にアクセスしていると言える。SIM識別子２３１により識別されるSIMが、MNOの通信インフラ２１０に接続される通信インフラ２２０を有する事業者により発行されている場合、当該認証サーバは通信インフラ２２０が有する設備に含まれる１又は複数のインスタンスとすることができる。 An example of a device other than the IoT device 230 is a computer used by an administrator who manages the IoT device 230 . The administrator can access the subscriber identifier 232, and if the token necessary for making a session creation request to the connection device 200 is granted, the administrator can use the token to include the subscriber identifier 232. A session creation request can be made for the IoT device 230 . As another example, as a device other than the IoT device 230, the IoT device 230 is authenticated using the SIM identifier 231 stored in the IoT device 230, and an authentication device capable of establishing a secure line with the IoT device 230 is used. server. It can be said that the authentication server that has received the subscriber identifier 232 from the IoT device 230 through the established secure line accesses the subscriber identifier 232 legitimately. When the SIM identified by the SIM identifier 231 is issued by an operator having the communication infrastructure 220 connected to the communication infrastructure 210 of the MNO, the authentication server is one or more of the equipment included in the communication infrastructure 220. can be an instance.

次に、接続装置２００は、通信インフラ２２０が有する第１のインスタンス及び第２のインスタンスを採択し（Ｓ３０３）、当該第２のインスタンスに対して、当該第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するためのプロビジョニングコールを送信する（Ｓ３０４）。このプロビジョニングコールは、接続装置２００に記憶された当該ID及び接続装置２００が採択した当該第１のインスタンスのIPアドレス、ホスト名等の第１の宛先アドレスを含むことができる。 Next, the connection adapter 200 adopts the first instance and the second instance of the communication infrastructure 220 (S303), and for the second instance, the first instance and the second instance. Send a provisioning call to create a GTP-U session between (S304). This provisioning call may include the ID stored in the connection device 200 and the first destination address such as the IP address, host name, etc. of the first instance adopted by the connection device 200 .

当該第１のインスタンスは、第１のノード群から採択し、当該第２のインスタンスは、第２のノード群から採択することができる。MVNOの通信インフラ２２０がIoT機器２３０に無線アクセスネットワークを介したIPネットワークへのアクセスを提供する際には、MNOの通信インフラ２１０に接続される第１のサーバ群から採択された第１のサーバと、当該第１のサーバと接続される、第２のサーバ群から採択された第２のサーバが用いられ、第２のノード群の少なくとも一部を第２のサーバ群の少なくとも一部と同一とすることができる。 The first instance can be adopted from a first group of nodes and the second instance can be adopted from a second group of nodes. When the MVNO communication infrastructure 220 provides the IoT device 230 with access to the IP network via the radio access network, the first server selected from the first server group connected to the MNO communication infrastructure 210 and a second server adopted from a second server group connected to the first server is used, and at least part of the second node group is the same as at least part of the second server group can be

当該第２のインスタンスは、当該第２のインスタンスに対するプロビジョニングコールの応答を接続装置２００に送信する（Ｓ３０５）。そして、当該第２のインスタンスは、GTP-Uセッションの待ち受け状態となる（Ｓ３０６）。当該応答には、当該ID及び当該GTP-Uセッションに対する送信元となるIPアドレス等の送信元アドレスを含むことができ、当該送信元アドレスは、当該第２のインスタンスが採択することができる。また、ここでは、応答を送信した後に待ち受け状態となるものとして記述したが、この順序は逆でもよい。送信元アドレスは、当該第２のインスタンスではなく、接続装置２００において割り当ててもよい。この場合には、第２のインスタンスへのプロビジョニングコールに送信元アドレスを含めてもよい。いずれにしても、当該第２のインスタンスは、当該IDに関連づけて当該送信元アドレスを記憶することができる。また、装置２００においては、加入者識別子２３２に関連づけて当該送信元アドレスを記憶することができる。 The second instance transmits a provisioning call response to the second instance to the connection device 200 (S305). Then, the second instance enters a waiting state for the GTP-U session (S306). The response may include the ID and a source address, such as a source IP address for the GTP-U session, which may be adopted by the second instance. Also, although it has been described here that it enters the standby state after sending a response, the order may be reversed. The source address may be assigned at the connection device 200 instead of the second instance. In this case, the provisioning call to the second instance may include the source address. In any event, the second instance can store the source address in association with the ID. Also, in the device 200, the source address can be stored in association with the subscriber identifier 232. FIG.

次いで、接続装置２００は、当該第１のインスタンスに対して、当該第１のインスタンスと当該第２のインスタンスとの間のGTP-Uセッションを生成するためのプロビジョニングコールを送信する（Ｓ３０７）。このプロビジョニングコールは、接続装置２００に記憶された当該ID、送信元アドレス及び接続装置２００が採択した当該第２のインスタンスの第２の宛先アドレスを含むことができる。 Next, the connection adapter 200 transmits a provisioning call for creating a GTP-U session between the first instance and the second instance to the first instance (S307). This provisioning call may include the ID stored in the connected device 200, the source address, and the second destination address of the second instance that the connected device 200 has adopted.

その後、当該第１のインスタンスは、GTP-Uセッションの待ち受け状態となる（Ｓ３０８）。ここで、当該第１のインスタンスと当該第２のインスタンスとの間でGTP-Uセッションが生成され、いわゆるGTPトンネルが確立した状態となる。接続装置２００は、当該第１のインスタンスに対するプロビジョニングコールの応答を受信する（Ｓ３０９）。当該第１のインスタンスは、応答を送信した後に待ち受け状態となることも考えられるが、接続できない時間が発生しないように、待ち受け状態となった後に応答を送信することが好ましい。 After that, the first instance enters a waiting state for a GTP-U session (S308). Here, a GTP-U session is generated between the first instance and the second instance, and a so-called GTP tunnel is established. The connection adapter 200 receives the provisioning call response to the first instance (S309). Although the first instance may enter a standby state after transmitting a response, it is preferable to transmit a response after entering a standby state so as not to cause a period of time during which connection cannot be established.

そして、接続装置２００は、当該第１のインスタンスに対して、IoT機器２３０と当該第１のインスタンスとの間のVPNセッションを生成するためのプロビジョニングコールを送信する（Ｓ３１０）。このプロビジョニングコールは、当該送信元アドレス及びIoT機器２３０に関連づけられたクレデンシャルを含む。当該クレデンシャルは、データベース２０４に加入者識別子２３２と関連づけて記憶しておいてもよく、またはIoT機器２３０からのセッション生成要求に含まれていてもよい。 The connection adapter 200 then transmits a provisioning call for generating a VPN session between the IoT device 230 and the first instance to the first instance (S310). This provisioning call includes the credentials associated with the source address and IoT device 230 . The credential may be stored in database 204 in association with subscriber identifier 232 or included in the session creation request from IoT device 230 .

当該クレデンシャルは、たとえば、公開鍵とすることができる。この場合、IoT機器２３０には、当該公開鍵に対応する秘密鍵が格納されている。VPNセッションには、公開鍵暗号化方式以外の暗号化方式を用いてもよく、より一般的に、暗号化方式に合わせて必要な第１のクレデンシャルが当該第１のインスタンスに送信され、当該第１のクレデンシャル又はこれに対応する第２のクレデンシャルがIoT機器２３０に格納されていればよい。 The credential may be, for example, a public key. In this case, the IoT device 230 stores a private key corresponding to the public key. Encryption methods other than public key encryption methods may be used for VPN sessions, and more generally, a first credential required for the encryption method is sent to the first instance, and the first credential is sent to the first instance. One credential or a corresponding second credential may be stored in the IoT device 230 .

VPNセッションを生成するためのプロビジョニングコールを受信した後に、当該第１のインスタンスは、当該送信元アドレス及び当該クレデンシャルを記憶して、VPNセッションの待ち受け状態となる（Ｓ３１１）。また、接続装置２００は、当該第１のインスタンスから、当該プロビジョニングコールに対する応答を受信する（Ｓ３１２）。当該応答には、一例において、当該送信元アドレス及び当該第１のインスタンスの第１の宛先アドレスを含むことができる。当該第１のインスタンスは、応答を送信した後に待ち受け状態となることも考えられるが、接続できない時間が発生しないように、待ち受け状態となった後に応答を送信することが好ましい。 After receiving a provisioning call to create a VPN session, the first instance stores the source address and the credential and waits for a VPN session (S311). Also, the connection adapter 200 receives a response to the provisioning call from the first instance (S312). The response can include, in one example, the source address and the first destination address of the first instance. Although the first instance may enter a standby state after transmitting a response, it is preferable to transmit a response after entering a standby state so as not to cause a period of time during which connection cannot be established.

当該応答を受信した接続装置２００は、当該応答に含まれる当該送信元アドレス及び当該第１の宛先アドレスにポート番号を必要に応じて加えた接続情報をIoT機器２３０に送信する（Ｓ３１３）。当該第１のインスタンスからの応答にポート番号が含まれる場合には、受信した接続情報をIoT機器２３０に送信すればよい。IoT機器２３０では、当該接続情報に基づいて、デバイスプロビジョニングが行われ、当該第１のインスタンスへの接続が試行される（Ｓ３１４）。当該第１のインスタンスからIoT機器２３０に対して成功の応答が送信されれば（Ｓ３１５）、ハンドシェイクに成功し、VPNトンネルが確立した状態になる。 The connection adapter 200 that has received the response transmits connection information obtained by adding a port number to the source address and the first destination address included in the response as necessary to the IoT device 230 (S313). If the response from the first instance includes the port number, the received connection information should be sent to the IoT device 230 . In the IoT device 230, device provisioning is performed based on the connection information, and connection to the first instance is attempted (S314). If the first instance transmits a success response to the IoT device 230 (S315), the handshake is successful and the VPN tunnel is established.

上述の説明では、GTPトンネルの確立に当たって、第２のインスタンスに対してプロビジョニングコールをし、その後に第１のインスタンスに対してプロビジョニングコールをしたが、逆の順序とする実装も考えられる。より一般的には、MNOの通信インフラ２１０に接続されるクラウド上の通信インフラ２２０が備える設備に含まれる第１のインスタンス及び第２のインスタンスに、当該第１のインスタンスと当該第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールを送信して、当該第１及び第２のインスタンスを待ち受け状態にし、当該第１のインスタンス又は当該第２のインスタンスから、GTP-Uセッションの送信元アドレスを受信することができればよい。 In the above description, when establishing a GTP tunnel, a provisioning call is made to the second instance, and then a provisioning call is made to the first instance, but an implementation in which the order is reversed is also conceivable. More generally, the first instance and the second instance included in the equipment provided in the communication infrastructure 220 on the cloud connected to the communication infrastructure 210 of the MNO, the first instance and the second instance Send a first provisioning call to create a GTP-U session between the first and second instances to idle state, and from the first instance or the second instance, the GTP-U session All that is necessary is to be able to receive the source address of the U session.

セッション生成要求がIoT機器２３０以外の装置から接続装置２００に送信される場合、当該要求に対する応答は、IoT機器２３０以外の装置に対して送信される。IoT機器２３０以外の装置とIoT機器２３０との間に秘匿回線が確立されていれば、接続情報を当該秘匿回線を通じてIoT機器２３０に送信して、デバイスプロビジョニングを行うことができるので、接続情報が接続装置２００からIoT機器２３０に向けて送信されると言える。 When a session creation request is transmitted from a device other than the IoT device 230 to the connection device 200 , a response to the request is transmitted to the device other than the IoT device 230 . If a secure line is established between a device other than the IoT device 230 and the IoT device 230, the connection information can be sent to the IoT device 230 through the secure line and device provisioning can be performed. It can be said that the data is transmitted from the connection device 200 to the IoT device 230 .

また、ハンドシェイク時に、当該第１のインスタンスに記憶されたクレデンシャル又はこれに対応するクレデンシャルを用いて一時的なクレデンシャルを生成し、当該第１のインスタンスに記憶してもよい。この場合、当該第１のインスタンスにおいては、当該送信元アドレスに当該一時的なクレデンシャルを関連づけておく。同様に、IoT機器２３０にも一時的なクレデンシャルが記憶される。また、たとえば、初回ハンドシェイク時に、一時的なキーを生成してもよく、当該第１のインスタンスにおいては、当該送信元アドレスに当該キーを関連づけておくことに加えて、当該キーに当該一時的なクレデンシャルを関連づけておく。 Also, during the handshake, a temporary credential may be generated and stored in the first instance using the credential stored in the first instance or a corresponding credential. In this case, the temporary credential is associated with the source address in the first instance. Similarly, the IoT device 230 also stores temporary credentials. Also, for example, during the initial handshake, a temporary key may be generated, and in the first instance, in addition to associating the key with the source address, the temporary associated credentials.

データの送受信
図４に、本発明の第１の実施形態にかかるIPネットワークにアクセスするための通信サービスにおけるデータ送信の流れを示す。 Data Transmission/Reception FIG. 4 shows the data transmission flow in the communication service for accessing the IP network according to the first embodiment of the present invention.

まず、IoT機器２３０は、第１のインスタンスに対して、IoT機器２３０に格納されたクレデンシャル又は一時的なクレデンシャルによって暗号化されたIPパケットをVPNパケットにカプセル化して送信する（Ｓ４０１）。当該VPNパケットは、暗号化されたIPパケットと、VPNセッションに関するVPNセッション情報とを含む。当該VPNセッション情報には、送信元アドレス又はこれに関連づけられた一時的なキーが含まれる。 First, the IoT device 230 encapsulates an IP packet encrypted by a credential or temporary credential stored in the IoT device 230 into a VPN packet and transmits the VPN packet to the first instance (S401). The VPN packet includes an encrypted IP packet and VPN session information regarding the VPN session. The VPN session information includes a source address or a temporary key associated therewith.

当該VPNパケットを受信した当該第１のインスタンスは、VPNセッション情報に含まれる送信元アドレス又はこれに関連づけられた一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを取得して、暗号化されたIPパケットの復号化を試行する（Ｓ４０２）。 The first instance that receives the VPN packet obtains a credential or a temporary credential corresponding to the source address included in the VPN session information or a temporary key associated therewith, and encrypts An attempt is made to decrypt the IP packet (S402).

セッション生成過程のデバイスプロビジョニング時に、IoT機器２３０においてルーティング情報の設定がなされてもよい。より具体的には、IoT機器２３０から送出される暗号化されたIPパケットのGTPトンネル終端後の送信先アドレスに応じて、VPNトンネルを通すか否かをIoT機器２３０において判定するようにしてもよい。 Routing information may be set in the IoT device 230 during device provisioning in the session generation process. More specifically, the IoT device 230 may determine whether or not to pass through the VPN tunnel according to the destination address after the GTP tunnel termination of the encrypted IP packet sent from the IoT device 230. good.

次に、当該第１のインスタンスは、復号化されたIPパケットのヘッダに含まれる送信元アドレスに基づいて、当該第１のインスタンスに保持された１又は複数の送信元アドレスと各送信元アドレスが割り当てられたGTPセッションの送信先との対応づけを参照して、送信先となる第２のインスタンスを判定する（Ｓ４０３）。そして、当該第１のインスタンスは、判定された当該第２のインスタンスに対して、復号化されたIPパケットをGTPペイロードとするGTPパケットを送信する（Ｓ４０４）。これによって、VPNトンネルは終端される。 Next, the first instance determines, based on the source address contained in the header of the decrypted IP packet, one or more source addresses held in the first instance and each source address The second instance to be the destination is determined by referring to the correspondence with the destination of the allocated GTP session (S403). Then, the first instance transmits a GTP packet having the decrypted IP packet as the GTP payload to the determined second instance (S404). This terminates the VPN tunnel.

当該第２のインスタンスでは、受信したGTPパケットからGTPヘッダを取り除いて、GTPペイロードであるIPパケットをMVNOの通信インフラ２２０の外部又は内部のIPネットワークに送信する（Ｓ４０５）。GTPヘッダにはIDが含まれ、当該第２のインスタンスが記憶するIDと送信元アドレスとの対応づけを参照して、当該第２のインスタンスは送信元アドレスを同定することができ、さらに、装置２００が記憶する送信元アドレスと加入者識別子との対応づけを参照して、加入者識別子を推移的に同定可能である。 In the second instance, the GTP header is removed from the received GTP packet, and the IP packet, which is the GTP payload, is transmitted to the IP network outside or inside the communication infrastructure 220 of the MVNO (S405). The GTP header includes an ID, and the second instance can identify the source address by referring to the correspondence between the ID and the source address stored by the second instance. The subscriber identifier can be identified transitively by referring to the source address-to-subscriber identifier association stored by 200 .

このように、VPNトンネルによってインターネット等のIPネットワーク上で秘匿回線が与えられ、ＩoＴ機器２３０は、GTPプロトコルによるデータ通信を行うMVNOの通信インフラ２２０に、無線アクセスネットワークを介さずにIPネットワークを介して接続可能となる。 In this way, the VPN tunnel provides a secure line on an IP network such as the Internet, and the IoT device 230 connects to the MVNO communication infrastructure 220, which performs data communication using the GTP protocol, not via the radio access network, but via the IP network. connection is possible.

図４においては、データの送信について示したが、MVNOの通信インフラ２２０は、IPネットワークからデータを受信する場合には以下のとおりである。第２のインスタンスに対して、IoT機器２３０宛のIPパケットが着信した際、送信先であるIoT機器２３０のアドレスに対応するGTP-Uセッションを特定し、当該IPパケットにGTPヘッダを付与して第１のインスタンスへと送信する。そして、第１のインスタンスでは、受信したGTPパケットからGTPヘッダを取り除き、IoT機器２３０宛のIPパケット情報を得る。当該IPパケットの送信先アドレスから対応するVPNセッションを特定して、VPNセッションに関連づけられた一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを用いて、IPパケットをVPNパケットにカプセル化し、VPNトンネルを経由してIoT機器２３０へと送信する。IoT機器２３０では、受信したVPNパケットをVPNセッション情報を元に関連づけられた一時的なキーに対応するクレデンシャル又は一時的なクレデンシャルを取得して、暗号化されたIPパケットの復号化を行い、IPパケットを処理する。 Although FIG. 4 shows data transmission, the MVNO communication infrastructure 220 is as follows when receiving data from the IP network. When an IP packet addressed to the IoT device 230 arrives at the second instance, the GTP-U session corresponding to the address of the IoT device 230 that is the destination is specified, and the GTP header is added to the IP packet. Send to the first instance. Then, in the first instance, the GTP header is removed from the received GTP packet to obtain IP packet information addressed to the IoT device 230 . Identify the corresponding VPN session from the destination address of the IP packet, encapsulate the IP packet into a VPN packet using the credential corresponding to the temporary key associated with the VPN session or the temporary credential, and It transmits to the IoT device 230 via the tunnel. The IoT device 230 obtains a credential corresponding to the temporary key associated with the received VPN packet based on the VPN session information or a temporary credential, decrypts the encrypted IP packet, and converts the IP process the packet.

２００ 装置
２０１ 通信部
２０２ 処理部
２０３ 記憶部
２０４ データベース
２１０ MNOの通信インフラ
２２０ MNOの通信インフラに接続される通信インフラ 200 device 201 communication unit 202 processing unit 203 storage unit 204 database 210 communication infrastructure of MNO 220 communication infrastructure connected to communication infrastructure of MNO

Claims (5)

MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための方法であって、
前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信するステップと、
前記加入者識別子に関連づけてIDを記憶するステップと、
前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信するステップと、
前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信するステップと、
前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び第１のクレデンシャルを含む第２のプロビジョニングコールを送信するステップと、
前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信するステップと
を含む。 A method for providing a communication service for accessing an IP network to an IoT device using equipment provided by a communication infrastructure on a cloud connected to the communication infrastructure of an MNO, comprising:
receiving a create session request including a subscriber identifier for identifying a subscriber of said communication service;
storing an ID in association with the subscriber identifier;
A first provisioning call to a first instance and a second instance included in the equipment to create a GTP-U session between the first instance and the second instance, the sending a first provisioning call including the ID;
receiving from the first instance or the second instance, as a response to the first provisioning call, a source address from which the GTP-U session is to be sent;
A second provisioning call to the first instance to create a VPN session between the IoT device and the first instance, the second provisioning call comprising the source address and a first credential. sending a provisioning call;
sending connection information including the source address and the destination address of the first instance to the IoT device storing the first credential or a second credential corresponding to the first credential; including. 請求項１に記載の方法であって、
前記接続情報は、前記第１のインスタンスのポート番号を含む。 The method of claim 1, wherein
The connection information includes a port number of the first instance. 請求項１又は２に記載の方法であって、
前記第１のクレデンシャルは、公開鍵であり、
前記第２のクレデンシャルは、前記公開鍵に対応する秘密鍵である。 3. A method according to claim 1 or 2,
the first credential is a public key;
The second credential is a private key corresponding to the public key. 装置に、MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための方法を実行させるためのプログラムであって、前記方法は、
前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信するステップと、
前記加入者識別子に関連づけてIDを記憶するステップと、
前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信するステップと、
前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信するステップと、
前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び第１のクレデンシャルを含む第２のプロビジョニングコールを送信するステップと、
前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信するステップと
を含む。 A program that causes a device to execute a method for providing a communication service for accessing an IP network to an IoT device using facilities provided by a communication infrastructure on the cloud that is connected to the communication infrastructure of an MNO. and the method includes:
receiving a create session request including a subscriber identifier for identifying a subscriber of said communication service;
storing an ID in association with the subscriber identifier;
A first provisioning call to a first instance and a second instance included in the equipment to create a GTP-U session between the first instance and the second instance, the sending a first provisioning call including the ID;
receiving from the first instance or the second instance, as a response to the first provisioning call, a source address from which the GTP-U session is to be sent;
A second provisioning call to the first instance to create a VPN session between the IoT device and the first instance, the second provisioning call comprising the source address and a first credential. sending a provisioning call;
sending connection information including the source address and the destination address of the first instance to the IoT device storing the first credential or a second credential corresponding to the first credential; including. MNOの通信インフラに接続されるクラウド上の通信インフラが備える設備を用いて、IoT機器に、IPネットワークにアクセスするための通信サービスを提供するための装置であって、
前記通信サービスの加入者を識別するための加入者識別子を含むセッション生成要求を受信して、前記加入者識別子に関連づけてIDを記憶し、
前記設備に含まれる第１のインスタンス及び第２のインスタンスに、前記第１のインスタンスと前記第２のインスタンスとの間のGTP-Uセッションを生成するための第１のプロビジョニングコールであって、前記IDを含む第１のプロビジョニングコールを送信して、前記第１のインスタンス又は前記第２のインスタンスから、前記第１のプロビジョニングコールの応答として、前記GTP-Uセッションの送信元となる送信元アドレスを受信し、
前記第１のインスタンスに、前記IoT機器と前記第１のインスタンスとの間のVPNセッションを生成するための第２のプロビジョニングコールであって、前記送信元アドレス及び第１のクレデンシャルを含む第２のプロビジョニングコールを送信し、
前記第１のクレデンシャル又は前記第１のクレデンシャルに対応する第２のクレデンシャルを記憶した前記IoT機器に向けて、前記送信元アドレス及び前記第１のインスタンスの宛先アドレスを含む接続情報を送信する。

A device for providing a communication service for accessing an IP network to an IoT device using equipment provided by a communication infrastructure on a cloud connected to the communication infrastructure of an MNO,
receiving a create session request including a subscriber identifier for identifying a subscriber of the communication service, storing an ID in association with the subscriber identifier;
A first provisioning call to a first instance and a second instance included in the equipment to create a GTP-U session between the first instance and the second instance, the sending a first provisioning call including an ID, and sending a source address from which the GTP-U session is sent as a response to the first provisioning call from the first instance or the second instance; receive and
A second provisioning call to the first instance to create a VPN session between the IoT device and the first instance, the second provisioning call comprising the source address and a first credential. send a provisioning call,
Sending connection information including the source address and the destination address of the first instance to the IoT device that stores the first credential or a second credential corresponding to the first credential.
JP2022018384A 2021-06-22 2022-02-09 Devices, methods and programs for providing communication services to access IP networks Active JP7076050B1 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2022018384A JP7076050B1 (en) 2021-06-22 2022-02-09 Devices, methods and programs for providing communication services to access IP networks

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021103687 2021-06-22
JP2022018384A JP7076050B1 (en) 2021-06-22 2022-02-09 Devices, methods and programs for providing communication services to access IP networks

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2021103687 Division 2021-06-22 2021-06-22

Publications (2)

Publication Number Publication Date
JP7076050B1 JP7076050B1 (en) 2022-05-26
JP2023002448A true JP2023002448A (en) 2023-01-10

Family

ID=87884858

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2022018384A Active JP7076050B1 (en) 2021-06-22 2022-02-09 Devices, methods and programs for providing communication services to access IP networks

Country Status (1)

Country Link
JP (1) JP7076050B1 (en)

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2904913B1 (en) * 2006-08-09 2008-09-26 Alcatel Sa INTERWORKING MANAGEMENT METHOD FOR TRANSFERRING MULTIPLE SERVICE SESSIONS BETWEEN A MOBILE NETWORK AND A WIRELESS LOCAL NETWORK, AND CORRESPONDING EQUIPMENT
CN102149133B (en) * 2010-02-10 2013-10-30 广州科讯技术有限公司 Service access system and method of mobile communication network
EP3754960A1 (en) * 2015-08-04 2020-12-23 NEC Corporation Data center including virtual mobile core network

Also Published As

Publication number Publication date
JP7076050B1 (en) 2022-05-26

Similar Documents

Publication Publication Date Title
US9967738B2 (en) Methods and arrangements for enabling data transmission between a mobile device and a static destination address
CN110830989B (en) Communication method and device
US20060161771A1 (en) Session key management for public wireless lan supporting multiple virtual operators
CN101711031B (en) Portal authenticating method during local forwarding and access controller (AC)
RU2009138223A (en) USER PROFILE, POLICY, AND PMIP KEY DISTRIBUTION IN A WIRELESS COMMUNICATION NETWORK
JP5536628B2 (en) Wireless LAN connection method, wireless LAN client, and wireless LAN access point
US20200329360A1 (en) Method and system for discovering user equipment in a network
WO2019041937A1 (en) Traffic offloading method and related apparatus in roaming scenario
CN110944319B (en) 5G communication identity verification method, equipment and storage medium
WO2017167249A1 (en) Private network access method, device and system
CN111132305B (en) Method for 5G user terminal to access 5G network, user terminal equipment and medium
CN110784434A (en) Communication method and device
CN112738800A (en) Method for realizing data security transmission of network slice
WO2020248368A1 (en) Intranet accessing method, system, and related device
CN111093196B (en) Method for 5G user terminal to access 5G network, user terminal equipment and medium
WO2014201783A1 (en) Encryption and authentication method, system and terminal for ad hoc network
JP5326815B2 (en) Packet transmitting / receiving apparatus and packet transmitting / receiving method
JP7076051B1 (en) Devices, methods and programs for providing communication services to access IP networks
JP7076050B1 (en) Devices, methods and programs for providing communication services to access IP networks
WO2022270228A1 (en) Device and method for providing communication service for accessing ip network, and program therefor
WO2015135278A1 (en) Authentication method and system, prose functional entity, and ue
WO2020248369A1 (en) Firewall switching method and related apparatus
JP7161108B2 (en) Communication method, communication system, relay device and relay program
JP5947763B2 (en) COMMUNICATION SYSTEM, COMMUNICATION METHOD, AND COMMUNICATION PROGRAM
JP2019029910A (en) System and method for communication control

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220209

A871 Explanation of circumstances concerning accelerated examination

Free format text: JAPANESE INTERMEDIATE CODE: A871

Effective date: 20220209

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20220318

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20220415

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20220516

R150 Certificate of patent or registration of utility model

Ref document number: 7076050

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150