DE19833969A1 - Verfahren zum Aufbau einer Kommunikationsverbindung - Google Patents

Abstract

Die Erfindung betrifft ein Verfahren zur Kommunikation von einem Kommunikationsendgerät in einem ersten Kommunikationsnetz in ein zweites Kommunikationsnetz über einen Netzzugangspunkt, bei dem eine erste Authentifizierungsprozedur des Teilnehmers geschieht, und über einen Verbindungsknoten, bei dem eine zweite Authentifizierungsprozedur des Teilnehmers notwendig ist. DOLLAR A Der Zugang wird jedoch nicht durch eine explizite Authentifizierungsprozedur überprüft. Es werden alle Daten, die der Anrufende im Folgenden über diesen Netzzugangspunkt in das zweite Kommunikationsnetz sendet, einer Überprüfung unterzogen.

Description

Die Erfindung betrifft ein Verfahren zur Kommunikation von einem Kommunikationsendgerät in einem ersten Kommunikations­ netz in ein zweites Kommunikationsnetz über einen Netzzu­ gangspunkt, bei dem eine erste Authentifizierungsprozedur des Teilnehmers geschieht, und über einen Verbindungsknoten, bei dem eine zweites Authentifizierungsprozedur des Teilnehmers notwendig ist.

In den letzten Jahren hat sich das Internet mehr und mehr von einem Forschungsnetz zu einem Kommunikationsmedium für alle gewandelt. Es werden viele Informations- und Kommunikations­ dienste angeboten, wie E-Mail, FTP, WWW, Chatforen etc. In weitergehenden Entwicklungen werden sogar klassische Dienste des Telefonnetzes übernommen, wie Telefonieren über das In­ ternet (Voice-over-IP) oder die Integration von Diensten des Endgerätes und Diensten des Netzes (CTI, Computer Telephony Integration).

Diese Wandlung weg von der wissenschaftlichen hin zur kommer­ ziellen Nutzung bringt auch tiefgreifende technische Verände­ rungen der Netze mit sich. Insbesondere die Probleme der Zu­ gangskontrolle und der Vergebührung wurden in den ursprüngli­ chen Realisationen der Kommunikationsprotokolle (TCP/IP) nicht berücksichtigt.

Einen Netzzugang für Privatleute und Firmen bieten inzwischen viele sogenannte Internet-Dienstanbieter (Internet Service Provider, ISP) an, wie z. B. T-Online von der Deutschen Tele­ kom, AOL, Xlink u.v.a.m.

Um einen solchen "privaten" Zugang nutzen zu können, (heut­ zutage i. d. Regel über eine Wählverbindung des Telefon- oder ISDN-Netzes und Kommunikationsprotokolle wie SLIP oder PPP) muß sich der Nutzer dort anmelden und jedesmal einen Authen­ tifizierungsprozedur durchlaufen. Diese ist auch für den Dienstanbieter notwendig, denn nur so kann eine korrekte Ge­ bührenabrechnung und die Sicherheit gewährleistet werden.

Möchte der Teilnehmer nach der ersten Authentifizierung einen Dienst wie "Internet-Telefonie" wahrnehmen, so muß nach dem Einwählvorgang in das Internet noch eine zweite Anmeldeproze­ dur geschehen, in diesem Fall bei einem Internettelefonie-Zu­ gangspunkt (einem sogenannten Gateway oder Gatekeeper). Hier­ bei wird dann z. B. eine Authentisierung übermittelt, und auch die gewünschte Zielrufnummer.

Eine Möglichkeit dabei ist die Verwendung des ITU-Standards H.323 (Visual telephone systems and eguipment for local area networks which provide a non-guaranteed quality of service). Hierbei ist die Übertragung nicht auf Sprache festgelegt, auch Bilder oder andere Daten können übertragen werden. Es sind auch die "geteilten Anwendungen" (shared applications) möglich, bei denen zwei Bearbeiter an unterschiedlichen End­ geräten gleichzeitig und zusammen mit den selben Daten arbei­ ten.

Dieser zweite Authentisierungsvorgang ist nicht nur zeitrau­ bend und lästig für den Benutzer, er erhöht die bereits er­ zielte Sicherheit auch keineswegs. Zusätzlich werden sich die Kennung des Internet-Dienstanbieters und die des Internet-Te­ lefonie-Zugangspunktes unterscheiden, so daß der Benutzer sich zwei Paßwörter merken muß.

Aufgabe der Erfindung ist es, den schnellen Aufbau einer Ver­ bindung zu ermöglichen und die Anzahl der Authentisierungs­ vorgänge zu reduzieren.

Diese Aufgabe wird ausgehend von dem im Oberbegriff des Pa­ tentanspruches 1 definierten Verfahrens durch die Kennzeichen des Patentanspruches 1 angegebenen Merkmale gelöst.

Dabei ermöglicht der Netzzugangspunkt dem Anrufenden einen Zugang zu einem zweiten Kommunikationsnetz, welches sich von dem ersten, aus dem der Anrufende kommt, unterscheidet. Der Zugang wird jedoch nicht, wie bisher, durch eine explizite Authentifizierungsprozedur überprüft. Dafür werden jedoch alle Daten, die der Anrufende im Folgenden über diesen Netz­ zugangspunkt in das zweite Kommunikationsnetz sendet, einer Überprüfung unterzogen.

Dies geschieht insbesondere dann, wenn es sich bei den Daten um sogenannte Datenpakete handelt, also keinen Datenstrom sondern abgegrenzte Datenmengen, die jeweils zur Übertragung notwendige Zusatzinformation mit sich führen.

Die zweite notwendige Authentifizierung wird wie bisher be­ kannt an einem speziellen Netzknoten in dem zweiten Kommuni­ kationsnetz (Gatekeeper) durchgeführt, der spezielle Mecha­ nismen zur Zugriffskontrolle und zur Authorisierung verwen­ det. Dieser wiederum ermöglicht dann den Zugriff auf den eigentlich vom Anrufenden gewünschten Dienst.

Das selbe Verfahren kann angewendet werden, wenn das zweite Kommunikationsnetz nur als "Transitnetz" verwendet wird, und sich der Zielteilnehmer in einem dritten Kommunikationsnetz befindet. Um diesen zweiten Netzübergang zu bewältigen, ist ein spezieller Verbindungsknoten (Gateway) erforderlich, der eine Protokollkonvertierung durchführen kann.

Der wesentliche Vorteil, den dieses Verfahren hat, besteht darin, daß der Anrufende nur eine Authentifizierungsprozedur durchlaufen muß. Deshalb kann eine Verbindung deutlich schneller aufgebaut werden, als bisher. Der Benutzer muß sich auch nicht mehrere Paßwörter merken, was nur zu Verwechslun­ gen führen würde.

Vorteilhafte Ausgestaltungen und Weiterbildungen sind in den Unteransprüchen angegeben.

Hierbei handelt es sich insbesondere um die Art der Überprü­ fung der Daten.

Eine Möglichkeit besteht darin, die ges endeten Daten auf ihre Zieladresse hin zu überprüfen. Hierbei werden etwa alle Daten (oder Datenpakete) im Netzzugangspunkt auf ihre Zieladresse hin überprüft. Weist diese auf einen Verbindungsknoten (also einen Gatekeeper oder ein Gateway) hin, der dem Netzzugangs­ punkt bekannt ist, so werden die Daten weitergeleitet. Im an­ deren Fall können sie zum Beispiel "verworfen" (also u. U. ohne Warnung gelöscht) werden, oder der Anrufende wird nach­ träglich zu einer weiteren Authentifikationsprozedur bei dem Netzzugangspunkt geleitet.

Eine weitere Möglichkeit ist es, die gesendeten Daten auf ih­ ren Datentyp hin zu überprüfen. Dabei können etwa alle Daten­ pakete, die Sprachdaten enthalten, durchgelassen werden, alle anderen werden nicht durchgelassen. Der Datentyp ergibt sich dabei nach dem verwendeten Kommunikationsprotokoll.

Diese Arten der Überprüfung der gesendeten Daten ergeben sich aus der Art des Dienstes. Die dabei verwendeten Informationen sind in fast allen Kommunikationsprotokollen enthalten, diese können daher ohne große Änderungen der Protokolle einfach übernommen werden.

Eine aktuelle gewerbliche Anwendung ist insbesondere im Be­ reich Internet-Telefonie (Voice over IP) zu sehen. Hierbei werden Sprachdaten zumindest einen Teil der zurückzulegenden Strecke über ein Paketdatennetz gesendet. Dabei wird ausge­ nutzt, daß die Benutzung des Internets in der Regel immer den selben Betrag kostet, unabhängig von der darin benutzten Res­ sourcen.

Im folgenden wird die Erfindung anhand von Ausführungsbei­ spielen erläutert. Dabei zeigen

Fig. 1 ein Ablaufdiagramm des Aufrufs vom Endgerät des Teil­ nehmers bis zur Vermittlungsstelle auf der Zielseite nach der ITU Norm H.323,

Fig. 2 ein Ablaufdiagramm des erfindungsgemäß vorgeschlage­ nen Verfahrens unter Verwendung von H.323,

Fig. 3 einen möglichen Netzaufbau (ebenfalls nach H.323) und

Fig. 4 Einen möglichen Weg von einem Teilnehmer-Endgerät auf über ein zweites Netz (Transitnetz) über ein drittes Netz zu einem Zielteilnehmer.

Das Ablaufdiagramm in Fig. 1 stellt den Einwählvorgang nach ITU Norm H.323 dar, wie er momentan durchgeführt wird. Dabei geschieht in einem ersten Schritt (Einwahl über das Te­ lefonnetz, "call setup") ein Verbindungsaufbau vom "Endgerät beim Teilnehmer" (welches etwa aus einem PC und einem Modem bestehen kann, oder einem PC und einer Einsteckkarte, die ei­ nen Zugang zu einem ISDN-Telefonnetz ermöglicht) aus über eine "Vermittlungsstelle" zu einem Netzzugangspunkt (ISP) in ein zweites Netz.

Nachdem eine Verbindung aufgebaut ist ("connect"), erfolgt der weitere Datenaustausch zu diesem ISP in der Regel über ein spezielles Protokoll, wie z. B. SLIP, welches in der Regel bei Einwählverbindungen benutzt wird und TCP/IP über serielle Kommunikationsverbindungen unterstützt. Dies ist notwendig beim Übergang zwischen zwei Kommunikationsnetzen, wie einem verbindungsorientierten Netz (z. B. das Telefonnetz) und einem paketorientierten Netz wie dem Internet.

Bevor der Teilnehmer nun das zweite Kommunikationsnetz be­ nutzen kann, muß er eine "Authentifizierung beim ISP" durch­ führen. Hierbei kann er etwa in einer Prozedur eine Benutzer­ kennung eingeben und ein zusätzliches Paßwort.

Wird die Authentifizierung von dem ISP akzeptiert, so steht dem Teilnehmer jetzt die Benutzung des zweiten Kommunikati­ onsnetzes frei. Handelt es sich um das Internet, so erfolgt die Kommunikation jetzt via TCP/IP.

Will der Teilnehmer nun einen speziellen Dienst des Internets nutzen, wie zum Beispiel Internet-Telefonie, so ist jetzt eine zweite Authentifizierungs- (und Anmeldungs-) Prozedur bei einem speziell dafür eingerichteten Netzknoten (bei H.323 "Gatekeeper" genannt) notwendig.

Da der Gatekeeper in der Regel unabhängig von dem Netzzu­ gangspunkt ist, wird auch diese zweite Authentifizierungs­ prozedur unabhängig von der ersten sein. Dies zeigt sich etwa darin, daß die Benutzerkennungen unterschiedlich sind, auch die Authentifizierungsprozeduren an sich können unterschied­ lich sein.

Der Gatekeeper ist vor allem zuständig für die bei dem Dienst anfallenden Verwaltungsaufgaben, also das Prüfen von Berech­ tigungen oder die Vergebührung des Dienstes. Auch müssen dem Gatekeeper weitere Informationen übermittelt werden, wie die gewünschte Zieladresse.

Nach der erfolgreichen Authentifizierung des Teilnehmers beim Gatekeeper ("Akzeptanz") kann dann über einen weiteren Netz­ knoten ("Gateway") die gewünschte Verbindung zur Zielseite aufgebaut werden ("call setup", "connect").

Erst nachdem beide Authentifizierungsprozeduren erfolgreich durchlaufen wurden, kann die Verbindung fertig aufgebaut wer­ den und die eigentliche Kommunikation stattfinden.

Fig. 2 zeigt einen Verbindungsaufbau zwischen einem Teil­ nehmerendgerät und einer Vermittlungsstelle auf der Ziel­ seite, ebenso wie Fig. 1. Diesmal ist jedoch nach dem er­ findungsgemäßen Vorgehen nur eine Authentifizierungsprozedur erforderlich.

Die Einwahl über das Telefonnetz erfolgt im Vergleich zu Fig. 1 wiederum über ein Wählnetz (Vermittlungsstelle) und den ISP zu einem "H.323 Gatekeeper". Da für den Benutzer diesmal an der Netzzugangsstelle (ISP) keine gesonderte Authentifi­ zierungsprozedur erforderlich ist, geschieht die Einwahl für den Teilnehmer transparent (call setup, connect). Der ISP ist in der Fig. 2 nicht enthalten.

Dem Benutzer steht also das Kommunikationsprotokoll des zwei­ ten Kommunikationsnetzes (z. B. Internet und TCP/IP) sofort zur Verfügung.

Da auf eine Authentifizierungsprozedur durch den Gatekeeper nicht verzichtet werden kann, wird diese nun vom Teilnehmer wie bisher durchgeführt ("Anmeldung", "Akzeptanz").

Alle Daten fließen weiterhin über den Netzzugangsknoten (ISP), bei dem Beispiel Internet und TCP/IP in Form von Da­ tenpaketen. Der ISP überprüft nun diese Daten nach bestimmen Kriterien und filtert solche Daten aus dem Datenstrom heraus, die nicht diesen Kriterien entsprechen.

Dies kann die Zieladresse sein (der Teilnehmer hat sich bei­ spielsweise für einen bestimmten Dienst an einem bestimmten Netzknoten einmalig "angemeldet", so daß er diesen Dienst jetzt jedesmal ohne zusätzliche Authentisierung am Netzzu­ gangsknoten in Anspruch nehmen darf). Es kann sich dabei auch um die Art der Daten handeln (etwa alle Daten, die Sprachin­ formationen enthalten), welches sich z. B. als Information im Kopf (Header) eines Datenpaketes befinden kann.

Fig. 3 ist aus der ITU Norm H.323 (Seite 2) entnommen. Sie zeigt insbesondere den Aufbau eines ITU H.323 konformen Netzes, welches dem in der oberen Hälfte dargestellen Bus­ netzes (LAN) mit daran angeschlossenen Terminals und Multi­ point Control Units (MCU), welche Anschlußmöglichkeit für weitere Terminals bieten, entspricht. Weiterhin gehört der spezielle Netzknoten "Gatekeeper" für administrative Aufgaben in den Beschreibungsbereich der Norm. Als Verbindungsglied zu anderen Kommunikationsnetzen (SCN) fungiert der "Gateway" ge­ nannte Netzknoten.

Die Kommunikationsmöglichkeiten zu anders gearteten Kommuni­ kationsnetzen sind vielfältig, hier seien nur einige wenige exemplarisch aufgelistet.

Hier ist etwa das herkömmliche leitungsvermittelte Telefon­ netz zu erwähnen (GSTN), oder verschiedene digitale Kommuni­ kationsnetze (N-ISDN, B-ISDN), die die Übertragung von Spra­ che und Bildern und anderer Daten zulassen.

Fig. 4 schließlich zeigt den schematischen Minimalaufbau etwa für Internettelephonie von einem leitungsvermittelten Telefonnetz durch das Internet bis zu einem Zielterminal, welches sich in einem dritten Netz (z. B. in einem zweiten Land, bei einem anderen Netzbetreiber) befinden kann.

Im Vergleich mit Fig. 1 bzw. Fig. 2 kann man hier die be­ reits beschriebenen Vorgänge nachvollziehen.

Das Endgerät beim Teilnehmer (H.323 Terminal, d. h. H.323 konform), ist an einem ersten Kommunikationsnetz (SCNI), z. B. von der Deutschen Telekom, angeschlossen. Es kann zu dem Netzzugangspunkt (ISP), zum Beispiel T-ONLINE, des zwei­ ten Kommunikationsnetzes (INTERNET) über dieses erste Kommu­ nikationsnetz eine Verbindung aufbauen. Hierzu können Zusatzgeräte, wie ein Modem, erforderlich sein.

Der Netzzugangspunkt (ISP) wiederum ermöglicht den Zugang auf dieses zweite Netz (INTERNET, hier kann es sich um ein "Netz von Netzen" handeln), welches sich von dem ersten Kommunika­ tionsnetz durch das verwendete Kommunikationsprotokoll unter­ scheiden kann.

In diesem zweiten Kommunikationsnetz befindet sich nun ein spezieller Netzknoten (GK), der den für den Teilnehmer ge­ wünschten Dienst anbieten kann (etwa Internet-Telefonie der Firma VOCALTEC). Dieser Netzknoten führt die verbleibende Authentisierungsprozedur wie bisher durch, vergleiche dazu insbesondere Fig. 2.

Befindet sich das Zielterminal noch in diesem zweiten Kommunikationsnetz (INTERNET), so kann eine Verbindung nun direkt hergestellt werden.

Befindet sich das Zielterminal jedoch in einem dritten Kommunikationsnetz (SCN2) und muß eine weitere Datenkonvertierung durchgeführt werden, so wird ein weiterer spezieller Netzknoten (GW) benötigt, der diese Konvertierung durchführen kann.

Die Funktionalität der beiden Netzknoten (GW, GK) muß nicht von getrennten Netzknoten durchgeführt werden.

Je nach Kapazität der benutzten Kommunikationsnetze können unterschiedlichste Anwendungen benutzt werden, etwa auch Videokonferenzen, das gemeinsame Bearbeiten von Dateien (shared Application) u. v. a. m.

Fließen nun nach erfolgreichem Verbindungsaufbau Daten vom Teilnehmer (H.323 Terminal) zum Zielterminal, so müssen sie immer den Netzzugangspunkt (ISP) passieren. Dieser filtert die Daten dabei aus und ersetzt dadurch die zuvor eingesparte Authentisierungsprozedur.

Literaturverzeichnis

H.323
ITU-T Recommendation H.323 (11/96)
Visual telephone systems and equipment for local area networks which provide a non-guaranteed quality of service

Abkürzungsverzeichnis

B-ISDN Broadband ISDN
GK Gatekeeper
GSTN General Switched Telephone Network
GW Gateway
IP Internet Protocol
ISP Internet Service Provider
ITU International Telecommunication Union
LAN Local Area Network
MCU Multipoint Control Unit
N-ISDN Narrow Band ISDN
PPP Point to Point Protocol (RFC 1171)
RFC Request for Comments
SCN Switched Circuit Network
SLIP Serial Line Interface Protocol (RFC 1055)
TCP Transmission Control Protocol

Claims (6)

1. Verfahren zur Kommunikation von einem Kommunikations­ endgerät in einem ersten Kommunikationsnetz (SCNI) in ein zweites Kommunikationsnetz (INTERNET) über einen Netzzugangspunkt (ISP), bei dem eine erste Authentifizierungsprozedur des Teilnehmers durchgeführt wird, und
über einen Verbindungsknoten (GK), bei dem eine zweite Authentifizierungsprozedur des Teilnehmers notwendig ist, dadurch gekennzeichnet,
daß die erste Authentifizierungprozedur des Teilnehmers in dem Netzzugangspunkt (ISP) allein durch die Überprüfung der von dem Teilnehmer über diesen Netzzugangspunkt gesendeten Daten erfolgt.

2. Verfahren zur Kommunikation von einem Kommunikations­ endgerät in einem ersten Kommunikationsnetz (SCN1) in ein zweites Kommunikationsnetz (INTERNET) über einen Netzzugangspunkt (ISP), bei dem eine erste Authentifizierungsprozedur des Teilnehmers ausgeführt wird, und
über einen Verbindungsknoten (GW) zwischen dem zweiten (INTERNET) und einem dritten Kommunikationsnetz (SCN2), bei dem eine zweite Authentifizierungsprozedur des Teilnehmers notwendig ist, und bei dem eine Umsetzung des Übertragungsformates des zweiten Netzes in ein Übertragungsformat des dritten Netzes geschieht, zu einem Zielterminal in diesem dritten Kommunikationsnetz (SCN2), dadurch gekennzeichnet,
daß die erste Authentifizierungprozedur des Teilnehmers in dem Netzzugangspunkt (ISP) allein durch die Überprüfung der von dem Teilnehmer über diesen Netzzugangspunkt gesendeten Daten erfolgt.

3. Verfahren nach Patentanspruch 1 oder 2, dadurch gekennzeichnet, daß die erste Authentifizierung anhand der Überprüfung der Zieladresse der vom Teilnehmer gesendeten Daten erfolgt, die einen dem Netzzugangspunkt bekannten Verbindungsknoten (GW/GK) bezeichnen muß.

4. Verfahren nach einem der vorherigen Patentansprüche, dadurch gekennzeichnet, daß die Authentifizierung anhand der Überprüfung des Typs der gesendeten Daten erfolgt.

5. Verfahren nach einem der vorherigen Patentansprüche, dadurch gekennzeichnet, daß es sich bei dem Endgerät um ein H.323 konformes Endgerät handelt und bei dem Verbindungsknoten um ein entsprechend H.323 aufgebautes Gateway oder Gatekeeper.

6. Verfahren nach einem der vorherigen Patentansprüche, dadurch gekennzeichnet, daß die übertragenen Daten Sprachdaten sind, und daß es sich bei dem zweiten Kommunikationsnetz um das Internet handelt.