特表 2024-518157 ネットワーク機能（ＮＦ）リポジトリ機能（ＮＲＦ）またはサービス通信プロキシ（ＳＣＰ）によるプラットフォームファイアウォール管理のための方法、システムおよびコンピュータ可読媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-04-25

(54)【発明の名称】ネットワーク機能（ＮＦ）リポジトリ機能（ＮＲＦ）またはサービス通信プロキシ（ＳＣＰ）によるプラットフォームファイアウォール管理のための方法、システムおよびコンピュータ可読媒体

(51)【国際特許分類】

   H04L 41/0604 20220101AFI20240418BHJP

   H04L 61/4511 20220101ALI20240418BHJP

【ＦＩ】

H04L41/0604

H04L61/4511

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2023568041

(86)(22)【出願日】2022-04-07

(85)【翻訳文提出日】2023-12-13

(86)【国際出願番号】 US2022023812

(87)【国際公開番号】W WO2022235372

(87)【国際公開日】2022-11-10

(31)【優先権主張番号】17/308,018

(32)【優先日】2021-05-04

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＪＡＶＡＳＣＲＩＰＴ

(71)【出願人】

【識別番号】502303739

【氏名又は名称】オラクル・インターナショナル・コーポレイション

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】ラジプット，ジャイ

(72)【発明者】

【氏名】シング，ビレンドラ

(72)【発明者】

【氏名】スリバスタバ，アンキット

(57)【要約】

ネットワーク機能（ＮＦ）リポジトリ機能（ＮＲＦ）またはサービス通信プロキシ（ＳＣＲ）を用いて、プラットフォームファイアウォールを自動的に管理する方法は、プラットフォームファイアウォールとは別のＮＦプロファイルデータベース内にＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信するステップを含む。方法は、ＮＦプロファイルを登録、更新または登録解除することが、プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定するステップをさらに含む。方法は、ＮＦプロファイルを登録、更新または登録解除することが、プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定するステップに応答して、ＮＲＦまたはＳＣＲによって、プラットフォームファイアウォールのファイアウォールルール設定を自動的に更新するステップをさらに含む。

【特許請求の範囲】

【請求項1】

ネットワーク機能（ＮＦ）リポジトリ機能（ＮＲＦ）またはサービス通信プロキシ（ＳＣＰ）を用いて、プラットフォームファイアウォールを自動的に管理する方法であって、前記方法は、
少なくとも１つのプロセッサによって実施されるＮＲＦまたはＳＣＰにおいて、
プラットフォームファイアウォールとは別のＮＦプロファイルデータベース内にＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信することと、
前記ＮＦプロファイルを前記登録、更新または登録解除することが、前記プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定することと、
前記ＮＦプロファイルを前記登録、更新または登録解除することが、前記プラットフォームファイアウォールの前記ファイアウォールルール設定に対する変更を必要とすると決定することに応答して、前記ＮＲＦまたはＳＣＰが、前記プラットフォームファイアウォールの前記ファイアウォールルール設定を自動的に更新することと、
を含む方法。

【請求項2】

前記ＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信することは、前記ＮＲＦによって前記ＮＦプロファイルを登録することに関するＮＦ登録要求または応答を受信することを含む、請求項１に記載の方法。

【請求項3】

前記プラットフォームファイアウォールの前記設定を自動的に更新することは、前記プラットフォームファイアウォールルール設定にルールを追加し、前記ＮＦへのまたは前記ＮＦからのパケットトラフィックをフィルタリングすることを含む、請求項２に記載の方法。

【請求項4】

前記ＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信することは、前記ＮＲＦによって前記ＮＦプロファイルを更新することに関するＮＦ更新要求または応答を受信することを含む、請求項１に記載の方法。

【請求項5】

前記プラットフォームファイアウォールの前記設定を自動的に更新することは、前記プラットフォームファイアウォールルール設定のルールを更新し、前記ＮＦへのまたは前記ＮＦからのパケットトラフィックをフィルタリングすることを含む、請求項４に記載の方法。

【請求項6】

前記方法は、前記ＮＦプロファイルを登録、更新または登録解除することに関する前記メッセージが、前記ＮＦの完全修飾ドメイン名（ＦＱＤＮ）を含むと決定することを含み、前記方法は、ＤＮＳサーバに問い合わせ、前記ＮＦの前記ＦＱＤＮを前記ＮＦのインターネットプロトコル（ＩＰ）アドレスに変換することをさらに含む、先行する請求項のいずれかに記載の方法。

【請求項7】

前記ＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信することは、前記ＮＲＦによって前記ＮＦプロファイルを登録解除することに関するＮＦ登録解除要求または応答を受信することを含む、請求項１に記載の方法。

【請求項8】

前記プラットフォームファイアウォールの前記設定を自動的に更新することは、前記ＮＦプロファイルに対応する前記ファイアウォールルール設定のルールを削除することを含む、請求項７に記載の方法。

【請求項9】

前記プラットフォームファイアウォールの前記ファイアウォールルール設定を自動的に更新することは、前記プラットフォームファイアウォールの設定アプリケーションプログラミングインタフェース（ＡＰＩ）を呼び出すことを含む、先行する請求項のいずれかに記載の方法。

【請求項10】

前記プラットフォームファイアウォールの前記設定を自動的に更新することは、異なるネットワークサイトに位置する複数のプラットフォームファイアウォールを更新することを含む、先行する請求項のいずれかに記載の方法。

【請求項11】

プラットフォームファイアウォールを自動的に管理するシステムであって、前記システムは、
少なくとも１つのプロセッサおよびメモリを含むネットワーク機能（ＮＦ）リポジトリ機能（ＮＲＦ）またはサービス通信プロキシ（ＳＣＰ）と、
プラットフォームファイアウォールとは別のＮＦプロファイルデータベース内にＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信し、前記ＮＦプロファイルを前記登録、更新または登録解除することが、前記プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定し、前記ＮＦプロファイルを前記登録、更新または登録解除することが、前記プラットフォームファイアウォールの前記ファイアウォールルール設定に対する変更を必要とすると決定することに応答して、前記ＮＲＦによって、前記プラットフォームファイアウォールの前記ファイアウォールルール設定を自動的に更新するためのプラットフォームファイアウォールルール設定マネージャと、
を備えるシステム。

【請求項12】

前記ＮＦプロファイルを登録、更新または登録解除することに関する前記メッセージは、前記ＮＲＦによって前記ＮＦプロファイルを登録することに関するＮＦ登録要求または応答を含む、請求項１１に記載のシステム。

【請求項13】

前記プラットフォームファイアウォールの前記ファイアウォールルール設定を自動的に更新する際、前記プラットフォームファイアウォールルール設定マネージャは、前記プラットフォームファイアウォールルール設定にルールを追加し、前記ＮＦへのまたは前記ＮＦからのパケットトラフィックをフィルタリングするように構成される、請求項１２に記載のシステム。

【請求項14】

前記ＮＦプロファイルを登録、更新または登録解除することに関する前記メッセージは、前記ＮＲＦによって前記ＮＦプロファイルを更新することに関するＮＦ更新要求または応答を含む、請求項１１に記載のシステム。

【請求項15】

前記プラットフォームファイアウォールの前記ファイアウォールルール設定を自動的に更新する際、前記プラットフォームファイアウォールルール設定マネージャは、前記プラットフォームファイアウォールルール設定のルールを更新し、前記ＮＦへのまたは前記ＮＦからのパケットトラフィックをフィルタリングするように構成される、請求項１４に記載のシステム。

【請求項16】

前記プラットフォームファイアウォールルール設定マネージャは、前記ＮＦプロファイルを登録、更新または登録解除することに関する前記メッセージが、前記ＮＦの完全修飾ドメイン名（ＦＱＤＮ）を含むと決定し、ＤＮＳサーバに問い合わせ、前記ＮＦの前記ＦＱＤＮを前記ＮＦのインターネットプロトコル（ＩＰ）アドレスに変換するように構成される、請求項１１～請求項１５のいずれかに記載のシステム。

【請求項17】

前記ＮＦプロファイルを登録、更新または登録解除することに関する前記メッセージは、前記ＮＲＦによって前記ＮＦプロファイルを登録解除することに関するＮＦ登録解除要求または応答を含み、前記プラットフォームファイアウォールの前記設定を自動的に更新する際、前記プラットフォームファイアウォールルール設定マネージャは、前記ＮＦプロファイルに対応する前記ファイアウォールルール設定のルールを削除するように構成される、請求項１１に記載のシステム。

【請求項18】

前記プラットフォームファイアウォールの前記設定を自動的に更新する際、前記プラットフォームファイアウォールルール設定マネージャは、前記プラットフォームファイアウォールの設定アプリケーションプログラミングインタフェース（ＡＰＩ）を呼び出すように構成される、請求項１１～請求項１７のいずれかに記載のシステム。

【請求項19】

前記プラットフォームファイアウォールルール設定マネージャは、異なるネットワークサイトに位置する複数のプラットフォームファイアウォールのファイアウォールルール設定を更新するように構成される、請求項１１～請求項１８のいずれかに記載のシステム。

【請求項20】

実行可能な命令を格納している非一時的コンピュータ可読媒体であって、前記命令は、コンピュータのプロセッサによって実行されると、前記コンピュータを、
少なくとも１つのプロセッサによって実施されるネットワーク機能（ＮＦ）リポジトリ機能（ＮＲＦ）またはサービス通信プロキシ（ＳＣＰ）において、
プラットフォームファイアウォールとは別のＮＦプロファイルデータベース内にＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信するステップと、
前記ＮＦプロファイルを前記登録、更新または登録解除することが、前記プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定するステップと、
前記ＮＦプロファイルを前記登録、更新または登録解除することが、前記プラットフォームファイアウォールの前記ファイアウォールルール設定に対する変更を必要とすると決定することに応答して、前記ＮＲＦまたはＳＣＰによって、前記プラットフォームファイアウォールの前記ファイアウォールルール設定を自動的に更新するステップと、
を含むステップを実行するように制御する、
非一時的コンピュータ可読媒体。

【発明の詳細な説明】

【技術分野】

【0001】

優先権主張
この出願は、２０２１年５月４日に出願されている米国特許出願第１７／３０８，０１８号の優先権の利益を主張し、その開示全体は、本願明細書に参照によって組み込まれる。

【0002】

技術分野
本願明細書において記載されている主題は、電気通信網におけるセキュリティに関する。より詳しくは、本願明細書において記載されている主題は、ＮＲＦまたはＳＣＰによるプラットフォームファイアウォール管理のための方法、システムおよびコンピュータ可読媒体に関する。

【背景技術】

【0003】

背景
５Ｇ電気通信網では、サービスを提供するネットワーク機能は、プロデューサＮＦまたはＮＦサービスプロデューサと称される。サービスを消費するネットワーク機能は、コンシューマＮＦまたはＮＦサービスコンシューマと称される。ネットワーク機能は、ネットワーク機能がサービスを消費しているか、生成しているか、消費および生成しているかに依存して、プロデューサＮＦ、コンシューマＮＦ、または両方とすることができる。「プロデューサＮＦ」および「ＮＦサービスプロデューサ」という用語は、本願明細書において同義に用いられる。同様に、「コンシューマＮＦ」および「ＮＦサービスコンシューマ」という用語は、本願明細書において同義に用いられる。

【0004】

所定のプロデューサＮＦは、多くのサービスエンドポイントを有してもよく、サービスエンドポイントは、プロデューサＮＦによってホストされる１つまたは複数のＮＦインスタンスのための接続ポイントである。サービスエンドポイントは、インターネットプロトコル（ＩＰ）アドレスおよびポート番号の組み合わせ、または、プロデューサＮＦをホストするネットワークノード上のＩＰアドレスおよびポート番号に変換される完全修飾ドメイン名によって識別される。ＮＦインスタンスは、サービスを提供するプロデューサＮＦのインスタンスである。所定のプロデューサＮＦは、２つ以上のＮＦインスタンスを含んでもよい。複数のＮＦインスタンスが同じサービスエンドポイントを共有することができることにもまた留意されたい。

【0005】

プロデューサＮＦは、ネットワーク機能リポジトリ機能（ＮＲＦ）に登録する。ＮＲＦは、各々のＮＦインスタンスによりサポートされるサービスを識別する、利用できるＮＦインスタンスのサービスプロファイルを保持する。「サービスプロファイル」および「ＮＦプロファイル」という用語は、本願明細書において同義に用いられる。コンシューマＮＦは、ＮＲＦに登録されているプロデューサＮＦインスタンスに関する情報を受信するためにサブスクライブすることができる。

【0006】

コンシューマＮＦに加えて、ＮＦサービスインスタンスに関する情報を受信するためにサブスクライブすることができるネットワークノードの他のタイプは、サービス通信プロキシ（ＳＣＰ）である。ＳＣＰは、ＮＲＦにサブスクライブし、プロデューサＮＦサービスインスタンスに関する到達可能性およびサービスプロファイル情報を取得する。コンシューマＮＦは、サービス通信プロキシに接続し、サービス通信プロキシ負荷は、必要なサービスを提供するプロデューサＮＦサービスインスタンスの間でトラフィックのバランスをとるか、または、宛先プロデューサＮＦインスタンスにトラフィックを直接ルーティングする。

【0007】

ＳＣＰに加えて、プロデューサＮＦとコンシューマＮＦとの間でトラフィックをルーティングする中間プロキシノードの他の例は、セキュリティエッジ保護プロキシ（ＳＥＰＰ）である。ＳＥＰＰは、異なる５Ｇ公衆地上移動ネットワーク（ＰＬＭＮ）の間で交換される制御プレーントラフィックを保護するために用いられるネットワークノードである。したがって、ＳＥＰＰは、ＰＬＭＮ間で送信されるすべてのアプリケーションプログラミングインタフェース（ＡＰＩ）メッセージのためにメッセージフィルタリング、ポリシングおよびトポロジ隠蔽を実行する。

【0008】

５Ｇ通信ネットワークの１つの問題は、ネットワークに入るおよび／またはネットワークから出るパケットをフィルタリングすることによって、ネットワークを保護するファイアウォールを設定することが労働集約的であり、誤りを起こしやすいということである。ネットワークに入るおよび／またはネットワークから出るパケットをフィルタリングすることによって５Ｇ（または次世代）のコアネットワークを保護するファイアウォールは、本願明細書において、プラットフォームファイアウォールと称される。

【0009】

５Ｇ ＮＦは、他の５Ｇの定義済みのセキュリティメカニズムに加えて、ソースおよび宛先ＩＰアドレス、ソースおよび宛先ポートならびにプロトコルに基づいてパケットをフィルタリングするファイアウォールルールによって守られるネットワークに配備される。設定について存在する課題の１つは、５Ｇ ＮＦ ＩＰアドレスおよびポートの詳細を含むＮＦプロファイルに対する変更としてＮＲＦによってもたらされる５Ｇ ＮＦトポロジ変更に同期して、ファイアウォールルールを保つことである。この種の設定を手動で実行することは、時間がかかり、労働集約的で、誤りが生じやすい。例えば、特に５Ｇシステムのクラウドネットワークの実施態様では、ＮＦインスタンスがインスタンス生成され、更新され、サービスから除去されるとき、ＮＦプロファイルは高速で変更しうる。５Ｇネットワークを保護するプラットフォームファイアウォールは、ネットワークトポロジの変更に基づいて更新される必要がある。しかしながら、５ＧネットワークのＮＦプロファイル変更に同期して、プラットフォームファイアウォールルールを保つための定義済みのメカニズムが存在しない。

【発明の概要】

【発明が解決しようとする課題】

【0010】

これらおよび他の問題点を考慮して、プラットフォームファイアウォールを管理するための改善される方法、システムおよびコンピュータ可読媒体の必要が存在する。

【課題を解決するための手段】

【0011】

概要
ネットワーク機能（ＮＦ）リポジトリ機能（ＮＲＦ）またはサービス通信プロキシ（ＳＣＰ）を用いて、プラットフォームファイアウォールを自動的に管理する方法は、プラットフォームファイアウォールとは別のＮＦプロファイルデータベース内にＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信するステップを含む。方法は、ＮＦプロファイルを登録、更新または登録解除することが、プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定することをさらに含む。方法は、ＮＦプロファイルを登録、更新または登録解除することが、プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定することに応答して、ＮＲＦまたはＳＣＰによって、プラットフォームファイアウォールのファイアウォールルール設定を自動的に更新することをさらに含む。

【0012】

本願明細書において記載されている主題の他の態様によれば、ＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信することは、ＮＲＦによってＮＦプロファイルを登録することに関するＮＦ登録要求または応答を受信することを含む。

【0013】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールのファイアウォールルール設定を自動的に更新することは、ファイアウォールルール設定にルールを追加し、ＮＦへのまたはＮＦからのパケットトラフィックをフィルタリングすることを含む。

【0014】

本願明細書において記載されている主題の他の態様によれば、ＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信することは、ＮＲＦによってＮＦプロファイルを更新することに関するＮＦ更新要求または応答を受信することを含む。

【0015】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールの設定を自動的に更新することは、ファイアウォールルール設定のルールを更新し、ＮＦへのまたはＮＦからのパケットトラフィックをフィルタリングすることを含む。

【0016】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールのルール設定を自動的に更新する方法は、ＮＦプロファイルを登録、更新または登録解除することに関するメッセージが、ＮＦの完全修飾ドメイン名（ＦＱＤＮ）を含むと決定することを含み、方法は、ＤＮＳサーバに問い合わせ、ＮＦのＦＱＤＮをＮＦのインターネットプロトコル（ＩＰ）アドレスに変換することをさらに含む。

【0017】

本願明細書において記載されている主題の他の態様によれば、ＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信することは、ＮＲＦによってＮＦプロファイルを登録解除することに関するＮＦ登録解除要求または応答を受信することを含む。

【0018】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールの設定を自動的に更新することは、ＮＦプロファイルに対応するファイアウォールルール設定のルールを削除することを含む。

【0019】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールの設定を自動的に更新することは、プラットフォームファイアウォールの設定アプリケーションプログラミングインタフェース（ＡＰＩ）を呼び出すことを含む。

【0020】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールの設定を自動的に更新することは、異なるネットワークサイトに位置する複数のプラットフォームファイアウォールを更新することを含む。

【0021】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールを自動的に管理するシステムが提供される。システムは、少なくとも１つのプロセッサおよびメモリを含むネットワーク機能（ＮＦ）リポジトリ機能（ＮＲＦ）またはサービス通信プロキシ（ＳＣＰ）を含む。システムは、プラットフォームファイアウォールとは別のＮＦプロファイルデータベース内にＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信し、ＮＦプロファイルを登録、更新または登録解除することが、プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定し、ＮＦプロファイルを登録、更新または登録解除することが、プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定することに応答して、ＮＲＦまたはＳＣＰによって、プラットフォームファイアウォールのファイアウォールルール設定を自動的に更新するためのプラットフォームファイアウォールルール設定マネージャをさらに含む。

【0022】

本願明細書において記載されている主題の他の態様によれば、ＮＦプロファイルを登録、更新または登録解除することに関するメッセージは、ＮＲＦによってＮＦプロファイルを登録することに関するＮＦ登録要求または応答を含む。

【0023】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールの設定を自動的に更新する際、プラットフォームファイアウォールルール設定マネージャは、ファイアウォールルール設定にルールを追加し、ＮＦへのまたはＮＦからのパケットトラフィックをフィルタリングするように構成される。

【0024】

本願明細書において記載されている主題の他の態様によれば、ＮＦプロファイルを登録、更新または登録解除することに関するメッセージは、ＮＲＦによってＮＦプロファイルを更新することに関するＮＦ更新要求または応答を含む。

【0025】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールの設定を自動的に更新する際、プラットフォームファイアウォールルール設定マネージャは、ファイアウォールルール設定のルールを更新し、ＮＦへのまたはＮＦからのパケットトラフィックをフィルタリングするように構成される。

【0026】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールルール設定マネージャは、ＮＦプロファイルを登録、更新または登録解除することに関するメッセージが、ＮＦの完全修飾ドメイン名（ＦＱＤＮ）を含むと決定し、ＤＮＳサーバに問い合わせ、ＮＦのＦＱＤＮをＮＦのインターネットプロトコル（ＩＰ）アドレスに変換するように構成される。

【0027】

本願明細書において記載されている主題の他の態様によれば、ＮＦプロファイルを登録、更新または登録解除することに関するメッセージは、ＮＲＦによってＮＦプロファイルを登録解除することに関するＮＦ登録解除要求または応答を含み、プラットフォームファイアウォールの設定を自動的に更新する際、プラットフォームファイアウォールルール設定マネージャは、ＮＦ登録解除要求または応答内で識別されるＮＦプロファイルに対応するファイアウォールルール設定のルールを削除するように構成される。

【0028】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールの設定を自動的に更新する際、プラットフォームファイアウォールルール設定マネージャは、プラットフォームファイアウォールの設定アプリケーションプログラミングインタフェース（ＡＰＩ）を呼び出すように構成される。

【0029】

本願明細書において記載されている主題の他の態様によれば、プラットフォームファイアウォールルール設定マネージャは、異なるネットワークサイトに位置する複数のプラットフォームファイアウォールのルール設定を更新するように構成される。

【0030】

本願明細書において記載されている主題の他の態様によれば、実行可能な命令を格納している非一時的コンピュータ可読媒体が提供され、命令は、コンピュータのプロセッサによって実行されると、コンピュータをステップを実行するように制御する。ステップは、少なくとも１つのプロセッサによって実施されるネットワーク機能（ＮＦ）リポジトリ機能（ＮＲＦ）またはサービス通信プロキシ（ＳＣＰ）において実行される。ステップは、プラットフォームファイアウォールとは別のＮＦプロファイルデータベース内にＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信するステップをさらに含む。ステップは、ＮＦプロファイルを登録、更新または登録解除することが、プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定するステップをさらに含む。ステップは、ＮＦプロファイルを登録、更新または登録解除することが、プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定することに応答して、ＮＲＦまたはＳＣＰによって、プラットフォームファイアウォールのファイアウォールルール設定を自動的に更新することをさらに含む。

【0031】

本願明細書において記載されている主題は、ソフトウェアで、ハードウェアおよび／またはファームウェアと組み合わせて実施可能である。例えば、本願明細書において記載されている主題は、プロセッサによって実行されるソフトウェアで実施可能である。１つの例示的な実施態様において、本願明細書において記載されている主題は、コンピュータ実行可能命令を格納している非一時的コンピュータ可読媒体を用いて実施可能であり、命令は、コンピュータのプロセッサによって実行されると、コンピュータがステップを実行するように制御する。本願明細書において記載されている主題を実施するように構成される例示的なコンピュータ可読媒体は、非一時的コンピュータ可読媒体、例えば、ディスクメモリデバイス、チップメモリデバイス、プログラム可能論理回路および特定用途向け集積回路を含む。加えて、本願明細書において記載されている主題を実施するコンピュータ可読媒体は、単一のデバイスもしくはコンピューティングプラットフォーム上に位置してもよいかまたは複数のデバイスもしくはコンピューティングプラットフォームにわたり分散されてもよい。

【0032】

本願明細書において記載されている主題の例示的な実施態様は、以下、添付の図面を参照して説明される。

【図面の簡単な説明】

【0033】

【図1】例示的な５Ｇシステムネットワークアーキテクチャを示すネットワーク図である。

【図2】信頼できるネットワークと信頼できないネットワークとの間に位置するファイアウォールを示すネットワーク図である。

【図3】ＮＲＦを用いて、プラットフォームファイアウォールを自動的に設定するために交換される例示的なメッセージを示すメッセージフロー図である。

【図4】異なるサイトに位置する複数のプラットフォームファイアウォールを管理するＮＲＦを示すネットワーク図である。

【図5】プラットフォームファイアウォールを自動的に管理するための、ＮＲＦまたはＳＣＰのための例示的なアーキテクチャを示すブロック図である。

【図6】ＮＲＦまたはＳＣＰを用いてプラットフォームファイアウォールを管理するための例示的なプロセスを示すフローチャートである。

【発明を実施するための形態】

【0034】

詳細な説明
図１は、例示的な５Ｇシステムネットワークアーキテクチャを示すブロック図である。図１のアーキテクチャは、ＮＲＦ１００およびＳＣＰ１０１を含み、これらは、同じホーム公衆地上移動ネットワーク（ＨＰＬＭＮ）内に位置してもよい。上述したように、ＮＲＦ１００は、利用できるプロデューサＮＦサービスインスタンスおよびそれらのサポートされているサービスのプロファイルを保持し、コンシューマＮＦまたはＳＣＰが、新しい／更新されているプロデューサＮＦサービスインスタンスの登録をサブスクライブし、通知されるのを可能にしてもよい。ＳＣＰ１０１はまた、プロデューサＮＦインスタンスのサービス発見および選択をサポートしてもよい。ＳＣＰ１０１は、コンシューマＮＦとプロデューサＮＦとの間の接続の負荷バランスを実行してもよい。

【0035】

ＮＲＦ１００は、ＮＦまたはプロデューサＮＦインスタンスのサービスプロファイルのためのリポジトリである。プロデューサＮＦインスタンスと通信するために、コンシューマＮＦまたはＳＣＰは、ＮＲＦ１００からＮＦまたはプロデューサＮＦインスタンスのサービスプロファイルを取得しなければならない。ＮＦまたはサービスプロファイルは、３ＧＰＰ（登録商標） ＴＳ ２９．５１０で定義されるＪａｖａＳｃｒｉｐｔオブジェクト表記法（ＪＳＯＮ）のデータ構造である。ＮＦまたはサービスプロファイル定義は、完全修飾ドメイン名（ＦＱＤＮ）、インターネットプロトコル（ＩＰ）バージョン４（ＩＰｖ４）アドレスまたはＩＰバージョン６（ＩＰｖ６）アドレスの少なくとも１つを含む。

【0036】

図１において、ネットワーク機能のいずれかは、サービスを要求しているか、提供しているか、または、要求および提供しているかに依存して、コンシューマＮＦ、プロデューサＮＦまたは両方とすることができる。図示例では、ＮＦは、ネットワーク内でポリシー関連の動作を実行するポリシー制御機能（ＰＣＦ）１０２、ユーザデータを管理するユーザ定義型管理（ＵＤＭ）１０４およびアプリケーションサービスを提供するアプリケーション機能（ＡＦ）１０６を含む。

【0037】

図１に示されるＮＦは、アクセスおよびモビリティ管理機能（ＡＭＦ）１１０とＰＣＦ１０２との間のセッションを管理するセッション管理機能（ＳＭＦ）１０８をさらに含む。ＡＭＦ１１０は、４Ｇネットワークにおいてモビリティ管理エンティティ（ＭＭＥ）によって実行されるものに類似のモビリティ管理動作を実行する。認証サーバ機能（ＡＵＳＦ）１１２は、ネットワークへのアクセスを求めるユーザ機器（ＵＥ）１１４のようなユーザ機器（ＵＥ）のための認証サービスを実行する。

【0038】

ネットワークスライス選択機能（ＮＳＳＦ）１１６は、ネットワークスライスに関連付けられている特定のネットワーク能力および特性にアクセスしようとしているデバイスのためのネットワークスライシングサービスを提供する。ネットワーク露出機能（ＮＥＦ）１１８は、ネットワークに取り付けられるモノのインターネット（ＩｏＴ）デバイスおよび他のＵＥに関する情報を取得しようとしているアプリケーション機能のためのアプリケーションプログラミングインタフェース（ＡＰＩ）を提供する。ＮＥＦ１１８は、４Ｇネットワークでサービス能力露出機能（ＳＣＥＦ）に類似の機能を実行する。

【0039】

無線アクセスネットワーク（ＲＡＮ）１２０は、ワイヤレスリンクを介してユーザ機器（ＵＥ）１１４をネットワークに接続する。無線アクセスネットワーク１２０は、ｇ－Ｎｏｄｅ Ｂ（ｇＮＢ）（図１に示されない）または他のワイヤレスアクセスポイントを用いてアクセスされてもよい。ユーザプレーン機能（ＵＰＦ）１２２は、ユーザプレーンサービスのためのさまざまなプロキシ機能をサポートすることができる。この種のプロキシ機能の１つの例は、マルチパス送信制御プロトコル（ＭＰＴＣＰ）プロキシ機能である。ＵＰＦ１２２は、ネットワーク性能測定値を取得するためにＵＥ１１４によって用いられてもよい性能測定機能をサポートしてもよい。図１には、ＵＥが、インターネットサービスのようなデータネットワークサービスにアクセスするデータネットワーク（ＤＮ）１２４も示される。

【0040】

ＳＥＰＰ１２６は、他のＰＬＭＮから入るトラフィックをフィルタリングし、ホームＰＬＭＮから出るトラフィックのためにトポロジ隠蔽を実行する。ＳＥＰＰ１２６は、外部のＰＬＭＮのセキュリティを管理する、外部のＰＬＭＮ内のＳＥＰＰと通信してもよい。したがって、異なるＰＬＭＮ内のＮＦ間のトラフィックは、２つのＳＥＰＰ機能、すなわち、一方はホームＰＬＭＮのため、他方は外部のＰＬＭＮのための機能を横断してもよい。

【0041】

図２は、信頼できるネットワークと信頼できないネットワークとの間に位置する例示的なファイアウォールを示すネットワーク図である。一般に、ファイアウォールは、所定のセキュリティルールに基づいて、出入りするネットワークトラフィックを監視および制御するネットワークセキュリティシステムである。ファイアウォールは、典型的には、信頼できるネットワークと信頼できないネットワークとの間の障壁を確立する。ネットワークファイアウォールの１つのタイプは、５Ｇエンティティ間で転送されるパケットを検査するパケットフィルタである。いくつかの場合において、パケットは、ソースおよび宛先ＩＰアドレス、ソースおよび宛先ポートならびにプロトコルに基づいてフィルタリングされる。

【0042】

上述したように、５Ｇネットワークで生じうる１つの問題は、５Ｇネットワークを保護するプラットフォームファイアウォールの管理である。具体的には、ファイアウォールルールがＮＲＦで発生するＮＦプロファイルの変更に同期することを確実にする必要がある。ＮＦプロファイルは、３ＧＰＰ ＴＳ ２９．５１０で定義される属性を有するデータ構造である。ＮＦプロファイル属性の例示的なリストは、３ＧＰＰ ＴＳ ２９．５１０の表６．２．６．２．３－１に見られる。これらの属性のいずれかに対する更新を用いて、プラットフォームファイアウォールルール設定に対する自動更新をトリガしてもよい。

【0043】

以下のリストは、プラットフォームファイアウォールルールに含まれてもよいＮＦプロファイル属性の例を示し、ＮＦプロファイル属性の更新を用いて、プラットフォームファイアウォールルール設定に対する自動化されている更新をトリガしてもよい。

【0044】

ネットワーク機能の完全修飾ドメイン名（ＦＱＤＮ）、
ネットワーク機能のＩＰｖ４アドレス、
ネットワーク機能のＩＰｖ６アドレス、
サービスインスタンスのＦＱＤＮおよび
ＩｐＥｎｄＰｏｉｎｔ：ネットワーク機能のＩＰアドレスおよびポート情報であり、サービスは、入って来るサービス要求を聴いている。

【0045】

３ＧＰＰ ＴＳ ２９．５１０の表６．２．６．２．３－１からの追加または代替の属性を用いて、プラットフォームファイアウォールルールを設定してもよい。ＮＲＦがネットワーク内で他のＮＦによって発見されるように登録されるＮＦのＮＦプロファイルを格納するので、ＮＲＦは、プラットフォームファイアウォールを設定するのに必要な情報のすべてではないにしても、ほとんどを有する。しかしながら、ＮＦプロファイルが、ＮＲＦにおいて追加、更新または削除されるとき、パケットをフィルタリングするためのプラットフォームファイアウォールによって用いられるファイアウォールルールセットを更新するための定義済みのメカニズムは存在しない。

【0046】

プラットフォームファイアウォールは、概して、設定ＡＰＩを露出させ、ファイアウォール設定プロセスを自動化する。例えば、いくつかのプラットフォームファイアウォールは、代表的状態遷移（ＲＥＳＴ）ＡＰＩを露出させ、ファイアウォールルールを設定する。しかしながら、本願明細書において記載されている主題は、ＲＥＳＴ ＡＰＩを用いてファイアウォールルールを設定することに限定されるものではない。ファイアウォールルールを設定するための任意の適切なＡＰＩは、本願明細書において記載されている主題の範囲内にあることを意図する。加えて、たとえファイアウォールが設定のためのＡＰＩを有するとしても、ファイアウォールルールの変更をＮＦプロファイルの変更に同期させるための定義済みのメカニズムは存在しない。

【0047】

５Ｇ ＮＦトポロジ構成に従ってプラットフォームファイアウォールを設定し、次に５Ｇ ＮＦトポロジ更新に同期してファイアウォールを保つ必要がある。手動の設定プロセスは、扱いにくく誤りを起こしやすい。プラットフォームファイアウォールプロセスを自動化する必要がある。５ＧＣネットワークは、複数のサイトにわたり、手動プロセスを複雑にし、自動化されている設定の必要を増加させる。

【0048】

１つの例示的な実施態様において、ＮＲＦは、プラットフォームファイアウォールルールを自動的に設定するために強化される。ＮＲＦは、作成／削除／更新のためにＮＦプロファイルを監視する。ＮＲＦは、ＮＦプロファイルの変更が、プラットフォームファイアウォールルール設定のファイアウォールルール設定に対する変更を必要とするかを決定する。ＮＦプロファイルの変更が、ファイアウォールルール設定に対する変更を必要とする場合、ＮＲＦは、対応するプラットフォームファイアウォールルール設定を更新するための処置をとる。そのようなステップは、ＩＰアドレスがＮＦプロファイルにまだ設けられていないかまたはオペレータ設定に基づいている場合、ＦＱＤＮをＩＰアドレスに変換することでもよい。次に、ＮＲＦは、ファイアウォールルール作成／削除／更新のための適切なプラットフォームＡＰＩを呼び出してもよい。

【0049】

ファイアウォールルール設定に対する変更を必要としうるＮＦプロファイル変更の１つの例は、ＮＦ登録である。ＮＦがＮＲＦに登録するとき、ＮＦは、そのＮＦプロファイルをＮＲＦに提供する。ＮＦプロファイルは、ＮＦがサービスのためにコンタクトされるべきＦＱＤＮまたはＩＰアドレスを含む。新しいＮＦプロファイルをＮＲＦに追加することは、プラットフォームファイアウォールにおいて少なくとも１つのファイアウォールルールの作成をトリガしてもよい。例えば、この種のインスタンスで作成される１つのファイアウォールルールは、新しく登録されているＮＦのＩＰアドレスまたはＦＱＤＮに対するトラフィックまたはこれらからのトラフィックの特定のタイプを可能にすることである。

【0050】

ファイアウォールルール設定に対する変更を必要としうるＮＦプロファイル変更の他の例は、ＮＦプロファイルのコンタクトアドレスに対する更新である。例えば、ＮＦがサービスのためにコンタクトされるＩＰアドレスまたはＦＱＤＮが変更する場合、１つまたは複数の対応するプラットフォームファイアウォールルールは、更新されているコンタクトアドレスへのパケットおよび更新されているコンタクトアドレスからのパケットが、ファイアウォールを通過可能であり、フィルタリング可能であるように、対応するコンタクトアドレスによって更新されるべきである。

【0051】

ファイアウォールルール設定に対する変更を必要としうるＮＦプロファイル変更のさらに他の例は、ＮＦプロファイルの登録解除である。ＮＲＦによるＮＦプロファイルの登録解除は、結果として、ＮＲＦによって保持されるＮＦプロファイルデータベースからＮＦプロファイルを削除することになる。ＮＦプロファイルが削除される場合、登録解除されているＮＦのためのコンタクトアドレスが、ファイアウォールを通して攻撃トラフィックを送信するために用いることができないように、削除されているＮＦプロファイルのための対応するプラットフォームファイアウォールルールも削除されなければならない。

【0052】

図３は、プラットフォームファイアウォールを設定するために交換される例示的なメッセージを示すメッセージフロー図である。図３を参照すると、ライン１において、図１において示されるＮＦのいずれかでもよい５Ｇ ＮＦ３００は、ＮＦ登録、ＮＦ更新またはＮＦ登録解除要求をＮＲＦ１００に送信する。ＮＦ登録要求は、ＮＦプロファイルをＮＲＦ１００に登録するメッセージである。ＮＦ登録要求は、ＮＦプロファイルが登録されることを含む。ＮＦ更新要求は、ＮＲＦ１００に登録されているＮＦプロファイルの１つまたは複数の属性を更新するためのメッセージである。ＮＦ登録解除メッセージは、ＮＲＦ１００に現在登録されているプロファイルを登録解除するためのメッセージであり、結果として、ＮＦプロファイルは削除される。メッセージフロー図のライン２において、ＮＲＦ１００は、ＮＦ登録、ＮＦ更新またはＮＦ登録解除要求に対する応答を返す。ライン１の要求がＮＦ登録要求であり、動作が成功している場合、ライン２の応答は、２０１の作成メッセージでもよい。ライン１の要求がＮＦ更新要求であり、動作が成功している場合、応答は、２００のＯＫメッセージでもよい。ライン１の要求がＮＦ登録解除要求である場合、ライン２の応答は、２０１のノーコンテンツメッセージでもよい。

【0053】

ＮＦ登録、ＮＦ更新およびＮＦ登録解除動作のいずれかが成功した場合、プラットフォームファイアウォールルール設定に対する変更を要求してもよい。したがって、メッセージフロー図のライン３－６において、ＮＲＦ１００は、ＤＮＳサーバ３０２およびプラットフォームファイアウォール３０４に信号送信し、１つまたは複数のファイアウォールルールを更新する。例えば、ライン３において、ＮＲＦ１００は、ＤＮＳクエリをＤＮＳサーバ４０２に送信し、ライン１の動作の１つによって更新または作成されているＮＦプロファイル内のＦＱＤＮをＩＰアドレスに変換する。ライン４において、ＤＮＳサーバ４０２は、ＤＮＳクエリ内のＦＱＤＮに対応する１つまたは複数のＩＰアドレスによって、クエリに応答する。ＮＦプロファイルがＦＱＤＮの代わりにＩＰアドレスを含み、ＮＦまたはＮＦインスタンスを識別する場合、ライン３のＤＮＳクエリがオプションであり、省略されてもよい点に留意されたい。

【0054】

ライン５において、一旦ＮＲＦ１００がＩＰアドレスまたは１つもしくは複数のファイアウォールルールを更新するために必要な他のパラメータを受信すると、ＮＲＦ１００は、適切なプラットフォームファイアウォール設定ＡＰＩを呼び出し、プラットフォームファイアウォール３０４によって用いられる１つまたは複数のファイアウォールルールを更新する。プラットフォームファイアウォール設定ＡＰＩを呼び出すことは、ＡＰＩに従ってフォーマットされるメッセージをプラットフォームファイアウォール３０４に送信すること、および、更新されているファイアウォールルールパラメータを含むことを含んでもよい。プラットフォームファイアウォール３０４は、メッセージを受信し、送信者を認証し、ＮＲＦ１００から受信した、更新されているＮＦプロファイル情報を用いて、そのパケットフィルタリングルールの１つまたは複数を更新し、ライン６において、ＮＦルール更新が成功したことを示す応答をＮＲＦ１００に返す。

【0055】

プラットフォームファイアウォール３０４を設定するために、ＮＲＦ１００は、下記の表１の属性を利用してもよい。

【0056】

【表1】

【0057】

表１から、プラットフォームファイアウォール設定ＡＰＩにアクセスするのに必要なパラメータは、ＡＰＩエンドポイントを含み、ＡＰＩエンドポイントは、ファイアウォールルール設定パラメータを受信するためのエンドポイントのＦＱＤＮまたはＩＰアドレスおよびポート番号でもよい。パラメータは、ＡＰＩプレフィクスを含んでもよい。設定パラメータは、プラットフォームファイアウォール設定ＡＰＩにアクセスするための、ログイン認証情報のようなセキュリティ認証情報をさらに含んでもよい。

【0058】

プラットフォームファイアウォールを自動的に設定するために上述したように構成されるＮＲＦを用いて、異なるサイトに位置する複数のプラットフォームファイアウォールを設定してもよい。図４は、この種の実施態様を示す。図４を参照すると、ＮＲＦ１００は、サイト１に位置し、サイト１は、プラットフォームファイアウォール３０４Ａ、ならびにＵＤＭ１０４Ａ、ユーザデータリポジトリ（ＵＤＲ）４００Ａ、ＰＣＦ１０２Ａ、チャージング機能（ＣＨＦ）４０２Ａ、サブスクリプションロケータ機能（ＳＬＦ）４０４ＡおよびＳＣＰ１０１Ａを含んでもよい。サイト２は、プラットフォームファイアウォール３０４Ｂ、ＳＭＦ１０８Ｂ、ＡＭＦ１１０Ｂ、ＵＰＦ１２２ＢおよびＳＣＰ１０１Ｂを含む。サイト３は、プラットフォームファイアウォール３０４Ｃ、ＳＭＦ１０８Ｃ、ＡＭＦ１１０Ｃ、ＵＰＦ１２２ＣおよびＳＣＰ１０１Ｃを含む。サイト４は、プラットフォームファイアウォール３０４Ｄ、ＳＭＦ１０８Ｄ、ＡＭＦ１１０Ｄ、ＵＰＦ１２２ＤおよびＳＣＰ１０１Ｄを含む。ＮＲＦ１００は、サイト１－４に位置するＮＦからＮＦプロファイル更新を受信し、ＮＦプロファイル更新に基づいて、プラットフォームファイアウォール３０４Ａ－３０４Ｄを更新する。例えば、サイト４内に位置するＳＣＰ１０１Ｄが、ＮＲＦ１００によりそのＮＦプロファイルを更新する場合、ＮＲＦ１００は、ＮＦプロファイル更新に影響を受けるパラメータを有するプラットフォームファイアウォール３０４Ａ－３０４Ｄの一部または全部によりファイアウォールルールを更新してもよい。この種のルールの１つの例は、ＳＣＰ１０１ＤのＩＰアドレスからのトラフィックを可能にすることでもよい。ＮＦプロファイル更新のため、ＳＣＰ１０１ＤのＩＰアドレスが変更する場合、ＮＲＦ１００は、各々のプラットフォームファイアウォール３０４Ａ－３０４Ｄにおいてファイアウォールルールを更新し、ＳＣＰ１０１Ｄの新しいＩＰアドレスからのトラフィックを可能にしてもよい。

【0059】

ＮＲＦ１００が各々のプラットフォームファイアウォール３０４Ａ－３０４Ｄのための異なるルール設定を保持してもよく、異なる設定が各々のファイアウォールのためのサイトに特有のパケットフィルタリングルールを含む点に留意されたい。例えば、サイト１に位置するプラットフォームファイアウォール３０４Ａのために、ＮＲＦ１００は、ＵＤＭ１０４Ａ、ＵＤＲ４００Ａ、ＰＣＦ１０２Ａ、ＳＬＦ４０４Ａ、ＳＣＰ１０１ＡおよびＮＲＦ１００に関連付けられているＩＰアドレスに、または、ＩＰアドレスからパケットをフィルタリングするためのファイアウォールルール設定を保持し、自動的に更新してもよい。サイト２に位置するプラットフォームファイアウォール３０４Ｂのために、ＮＲＦ１００は、ＳＭＦ１０８Ｂ、ＡＭＦ１１０Ｂ、ＵＰＦ１２２ＢおよびＳＣＰ１０１Ｂへのパケットまたはこれらからのパケットをフィルタリングするためのファイアウォールルール設定を保持して、自動的に更新してもよい。サイト３に位置するプラットフォームファイアウォール３０４Ｃのために、ＮＲＦ１００は、ＳＭＦ１０８Ｃ、ＡＭＦ１１０Ｃ、ＵＰＦ１２２ＣおよびＳＣＰ１０１Ｃへのパケットまたはこれらからのパケットをフィルタリングするためのファイアウォールルール設定を保持し、自動的に更新してもよい。サイト４に位置するプラットフォームファイアウォール３０４Ｄのために、ＮＲＦ１００は、ＳＭＦ１０８Ｄ、ＡＭＦ１１０Ｄ、ＵＰＦ１２２ＤおよびＳＣＰ１０１Ｄへのパケットまたはこれらからのパケットをフィルタリングするためのファイアウォールルール設定を保持し、自動的に更新してもよい。

【0060】

上述した例において、プラットフォームファイアウォールを自動的に管理するためのプロセスは、ＮＲＦ１００によって実行される。代替の実施態様において、自動化されているプラットフォームファイアウォール管理は、ＳＣＰ１０１によって実行されてもよい。図５は、ＮＦプロファイル変更に応答して、プラットフォームファイアウォールルールを自動的に更新することができる、ＮＲＦ１００またはＳＣＰ１０１のための例示的なアーキテクチャを示すブロック図である。図５を参照すると、ＮＲＦ１００またはＳＣＰ１０１は、少なくとも１つのプロセッサ５００およびメモリ５０２を含む。自動プラットフォームファイアウォールデータベース更新がＮＲＦで実施される場合、ＮＲＦ１００は、ＮＲＦ１００に登録されるＮＦのＮＦプロファイルを格納するためのＮＦプロファイルデータベース５０４と、ＮＦ登録、ＮＦ更新およびＮＦからのＮＦ登録解除要求に応答して、ＮＦプロファイルデータベース５０４を更新するためのＮＦプロファイルデータベースマネージャ５０６と、をさらに含む。自動のプラットフォームファイアウォールデータベース更新機能がＳＣＰで実施されている場合、ＮＦプロファイルデータベース５０４およびＮＦプロファイルデータベースマネージャ５０６は、他で（すなわち、ＮＲＦで）実施されてもよく、本願明細書において記載されている自動プラットフォームファイアウォールルール設定の更新手順は、要求されているサービス動作の成功した完了を確認しているＮＲＦから、ＮＦ登録、ＮＦ更新およびＮＦ登録解除応答を受信することによってトリガされてもよい。

【0061】

ＮＲＦ１００またはＳＣＰ１０１はまた、ＮＦプロファイル更新に応答して、プラットフォームファイアウォールによって管理されるファイアウォールルールを更新するために、本願明細書において記載されているステップを実行するためのプラットフォームファイアウォールルール設定マネージャ５０８を含む。プラットフォームファイアウォールルール設定マネージャ５０８は、メモリ５０２に格納され、プロセッサ５００によって実行されるコンピュータ実行可能命令を用いて実施されてもよい。ＮＲＦ１００またはＳＣＰ１０１は、プラットフォームファイアウォールルール設定データベースのローカル（マスター）コピー５１０をさらに含んでもよい。プラットフォームファイアウォールルール設定マネージャ５０８が、ＮＦプロファイルの登録、更新または登録解除に関する要求または応答を受信するとき、プラットフォームファイアウォールルール設定マネージャ５０８は、要求されているサービス動作に影響を受けるＮＦプロファイルまたはプロファイル属性を識別し、データベースコピー５１０にアクセスし、更新または削除されている同じ属性またはパラメータを有するファイアウォールルールを識別し、プラットフォームファイアウォールルール設定データベースのローカルコピー５１０に対して、要求されているファイアウォールルール更新を実行し、プラットフォームファイアウォールルール設定マネージャ５０８によって管理されているプラットフォームファイアウォールに、必要とされているルール設定更新を配布してもよい。図４を参照して上述したように、異なるプラットフォームファイアウォールは、それらが保護するネットワークまたはサイトが異なるＮＦインスタンスを含んでもよく、したがって異なるファイアウォールルール設定を要求してもよいので、異なるルール更新を受信してもよい。

【0062】

図６は、ＮＦプロファイル変更に応答して、プラットフォームファイアウォールルールを自動的にプロビジョニングすることによって、プラットフォームファイアウォールを管理するための例示的なプロセスを示すフローチャートである。図６を参照すると、ステップ６００において、プロセスは、プラットフォームファイアウォールとは別のＮＦプロファイルデータベース内にＮＦプロファイルを登録、更新または登録解除することに関するメッセージを受信することを含む。例えば、ＮＲＦ１００は、ＮＲＦ１００によって、ＮＦプロファイルを登録、更新または登録解除しようとするＮＦからＮＦ登録、ＮＦ更新またはＮＦ登録解除要求を受信してもよい。本願明細書において記載されている主題のＳＣＰの実施態様の場合、自動プラットフォームファイアウォールルール設定プロセスは、ＮＦプロファイルの登録、更新または登録解除の成功を確認する応答メッセージを受信することによって、トリガされてもよい。したがって、本願明細書において記載されている主題のＳＣＰの実施態様では、ステップ６００は、ＮＦ登録、ＮＦ更新またはＮＦ登録解除応答メッセージを受信することを含んでもよい。

【0063】

プロセスがＮＲＦによって実施されている場合、制御は、ステップ６０２Ａに進み、ステップ６０２Ａにおいて、プロセスは、要求のタイプに基づいて、ＮＦプロファイルを登録、更新または登録解除することをさらに含む。例えば、要求がＮＦ登録要求である場合、ＮＲＦ１００は、ＮＦプロファイルをＮＦプロファイルデータベース内に格納することによってＮＦを登録してもよい。要求がＮＦ更新要求である場合、ＮＲＦ１００は、ＮＦ更新要求で識別されるパラメータに基づいてＮＦプロファイルを更新してもよい。要求がＮＦ登録解除要求である場合、ＮＲＦ１００は、ＮＦ登録解除要求において識別されるＮＦプロファイルを削除してもよい。

【0064】

プロセスがＳＣＰによって実施されている場合、制御は、ステップ６００からステップ６０２Ｂに進み、ステップ６０２Ｂにおいて、ＳＣＰは、ＮＦ登録、ＮＦ更新またはＮＦ登録解除応答を、要求されているＮＦ登録、ＮＦ更新またはＮＦ登録解除サービス動作を要求したＮＦにルーティングする。

【0065】

ステップ６０２Ａまたは６０２Ｂの後、制御は、ステップ６０４に進み、ステップ６０４において、プロセスは、ＮＦプロファイルの登録、更新または登録解除がプラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定することをさらに含む。ＮＦ登録要求または応答の場合、プラットフォームファイアウォールルール設定マネージャ５０８は、登録されているＮＦプロファイルに対応するルールが、ＮＲＦ１００またはＳＣＰ１０１においてプラットフォームファイアウォールルール設定データベースのローカル（マスター）コピーに追加される必要があると決定してもよい。ＮＲＦ１００またはＳＣＰ１０１によって受信されているメッセージが、ＮＦ更新要求または応答である場合、プラットフォームファイアウォールルール設定マネージャ５０８は、ＮＦ更新サービス動作によって更新されているＮＦプロファイル属性を識別し、更新されているＮＦプロファイル属性がＮＲＦ１００またはＳＣＰ１０１においてプラットフォームファイアウォールルール設定データベースのローカルコピーのルールのいずれかによって用いられるかを決定し、プラットフォームファイアウォールルール内の対応する属性を更新してもよい。ＮＲＦ１００またはＳＣＰ１０１によって受信されているメッセージが、ＮＦ登録解除要求または応答である場合、プラットフォームファイアウォールルール設定マネージャ５０８は、登録解除されているＮＦプロファイルに対応する１つまたは複数のルールが、ＮＲＦ１００またはＳＣＰ１０１にローカルなプラットフォームファイアウォールルール設定データベースから削除される必要があると決定してもよい。

【0066】

ステップ６０６において、ＮＦプロファイルの登録、更新、登録解除が、プラットフォームファイアウォールのファイアウォールルール設定に対する変更を必要とすると決定することに応答して、プロセスは、ＮＲＦまたはＳＣＰによって、プラットフォームファイアウォールのファイアウォールルール設定を自動的に更新することをさらに含む。例えば、プラットフォームファイアウォールルール設定マネージャ５０８は、プラットフォームファイアウォール３０４のファイアウォール設定ＡＰＩを呼び出すかまたは用いて、ルールを追加、修正、または、ファイアウォールルール設定データベースから削除してもよい。プラットフォームファイアウォールルール設定マネージャ５０８は、最初にプラットフォームファイアウォールルール設定データベース内のローカルコピーの１つまたは複数のルールを更新してもよい。プラットフォームファイアウォールルール設定マネージャ５０８は、次に、要求されているファイアウォールルール設定更新を実行するために、プラットフォームファイアウォールルール設定ＡＰＩによって特定されているフォーマットでメッセージを作成し、次に、メッセージを１つまたは複数のプラットフォームファイアウォールに送信し、それらのそれぞれのファイアウォールルール設定を更新してもよい。１つまたは複数のプラットフォームファイアウォールルール設定とＮＲＦによるＮＦプロファイル変更との同期が維持されるように、図６におけるステップが継続的に実行されてもよい点に留意されたい。

【0067】

以下に示される表２および表３は、ＮＦ更新サービス動作に応答して更新されてもよいファイアウォールルールの一例を示す。この例では、ＵＤＭ１のＩＰアドレスがＮＦ更新サービス動作によってＩＰ１からＩＰ３に変更したと仮定される。

【0068】

【表2】

【0069】

【表3】

【0070】

表２から、ＮＦプロファイル更新前に、プラットフォームファイアウォールは、ＩＰ１、ポート１からＩＰ２、ポート１へのトラフィックを可能にするように設定され、逆もまた同じである。この種の一対のルールは、ファイアウォールの保護されている側上のＵＤＭおよび他のノード、例えば、ファイアウォールの保護されていない側上に位置するＡＭＦからのトラフィックを可能にするように設定されてもよい。表３において、ＵＤＭのＩＰアドレスは、ＩＰ３に変更する。ＡＭＦは、ＮＦ発見サービスを通してＮＲＦによってＵＤＭのＮＦプロファイルにおける変更を知らされる。しかしながら、自動化されているファイアウォールルール更新なしでは、ＡＭＦとＵＤＭとの間の通信は、ファイアウォールによってブロックされる。しかしながら、ＵＤＭのＮＦプロファイルが変更するとき、ファイアウォールルール設定を自動的に更新することによって、本願明細書において記載されている主題によって、ＵＤＭとＡＭＦとの間の通信は、継続することができる。

【0071】

本願明細書において記載されている主題は、以下の例示的な利点の１つまたは複数を達成してもよい。

【0072】

・オンデマンドのトポロジ変更（例えば、ネットワークスライス追加／削除／更新）のためのファイアウォール設定の自動化
・手動変更は、トポロジ変更のペースについていくことができないので、頻繁に変更するクラウドネイティブトポロジの動的な性質は、自動化を要求する。プラットフォームファイアウォール設定ルール変更を自動化し、変更をＮＲＦでのＮＦプロファイル更新に同期させることによって、本願明細書において記載されている主題は、ファイアウォールルール設定更新を、クラウドネイティブネットワークトポロジ変更によって生じるＮＦプロファイルの変更に同期させるように保つことができる。

【0073】

・５Ｇは、トポロジに変更をさらに追加するネットワークスライスの概念を含む。本願明細書において記載されている自動化されているプラットフォームファイアウォール設定更新方法は、ファイアウォールルール設定更新を、ネットワークスライスに対するリソースの割り当ておよびネットワークスライスからのリソースの割り当て解除によって生じるＮＦプロファイルの変更に同期させるように保つことができる。

【0074】

・プラットフォームファイアウォールルール設定は、変更のために継続的に監視／監査される。例えば、ＮＲＦまたはＳＣＰは、プラットフォームファイアウォールルールに対する更新を必要とする変更のためのＮＦ登録、ＮＦ更新およびＮＦ登録解除動作を継続的に監視し、プラットフォームファイアウォールルールを更新するために、本願明細書において記載されている動作を実行してもよい。

【0075】

・ＮＲＦ（またはＳＣＰ）を用いて、プラットフォームファイアウォールルール設定に対する更新を自動化することは、ファイアウォールルール設定がＮＲＦでのＮＦプロファイル更新に同期することを確実にすることによって、強化されているセキュリティを提供する。

【0076】

・ＮＲＦを用いて、プラットフォームファイアウォールルール設定に対する更新を自動化することは、実施するのが容易である。なぜなら、ＮＲＦは、プラットフォームファイアウォールルールによって用いられてもよい、ＮＦプロファイル内のパラメータを更新するタスクをすでに有するからである。

【0077】

・上述したように、ファイアウォールルールを自動的に更新するために本願明細書において記載されている主題はまた、ＮＲＦの代わりにＳＣＰにおいて実施可能である。例えば、ＳＣＰは、ＮＲＦによるＮＦプロファイルの登録、更新または削除の成功を確認するＮＦ登録、ＮＦ更新またはＮＦ登録解除応答を受信し、プラットフォームファイアウォールルール設定を自動的に更新するための本願明細書において記載されているステップを実行してもよい。したがって、ＳＣＰは、自動プラットフォームファイアウォールルール設定更新を、その通常のメッセージルーティング機能に加えて実施してもよい。

【0078】

以下の参考文献の各々の開示は、その全体が、本願明細書に参照によって組み込まれる。

【0079】

参考文献
１．第３世代パートナーシッププロジェクト；技術仕様書 グループサービスおよびシステム局面；５Ｇシステム（５ＧＳ）のためのシステムアーキテクチャ；ステージ２（リリース１７）３ＧＰＰ ＴＳ ２３．５０１ Ｖ１７．０．０（２０２１－０３）
２．第３世代パートナーシッププロジェクト；技術仕様書 グループコアネットワークおよび端末；５Ｇシステム；ネットワーク機能リポジトリサービス；ステージ３（リリース１７）３ＧＰＰ ＴＳ ２９．５１０ Ｖ１７．１．０（２０２１－０３）
本願明細書において記載されている主題のさまざまな詳細が本願明細書において記載されている主題の範囲要旨を逸脱しない範囲で変えられてもよいことを理解されたい。さらに、上述した説明は、本願明細書において記載されている主題が以下のように請求項によって定義されるように、例示のみのためであり、制限するためではない。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【国際調査報告】