DE102007030775B3

DE102007030775B3 - Method for filtering network services in network arrangement, involves assigning user or user device with virtual local area network and corresponding to sub network identification of respective virtual local area network identification

Info

Publication number: DE102007030775B3
Application number: DE102007030775A
Authority: DE
Inventors: Jens-Uwe Dr. Bußer; Steffen Fries; Angela Schattleitner
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2007-07-03
Filing date: 2007-07-03
Publication date: 2009-02-19
Anticipated expiration: 2027-07-04

Abstract

The method involves filtering inquired network services by network devices (8,10,11) of a network service supplier (3) as a function of user profile parameters, which are assigned to a sub network identification, and are carried out by user devices (6,7) of a network service server (12). A user (2) or one of the user devices is assigned with a Virtual local area network (VLAN), particularly Institute of electrical and electronics engineers (IEEE) 802.1Qstandard, and corresponds to the sub network identification of a respective VLAN identification. Independent claims are included for the following: (1) a network arrangement with a user device coupled to network inlet device (2) a computer program product.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Filtern von Netzwerkdiensten und Netzwerkdiensteinhalten in einer Netzwerkanordnung, um z. B. für verschiedene Benutzergruppen Zugriffsbeschränkungen auf Webseiten zu realisieren. Die Erfindung betrifft ferner eine Netzwerkanordnung, welche sich zur Durchführung des Verfahrens eignet sowie ein Computerprogrammprodukt, welches die Durchführung eines entsprechenden Filterverfahrens veranlasst.The The present invention relates to a method for filtering network services and network service content in a network arrangement to e.g. B. for different User groups access restrictions to realize on websites. The invention further relates to a Network arrangement which is suitable for carrying out the method and a computer program product which performs a appropriate filtering procedure causes.

Es ist häufig notwendig, innerhalb von Netzwerken, in denen über Netzwerkdienstserver Netzwerkdienste angeboten werden (beispielsweise bieten Webserver Webseiten für das Internet an) für bestimmte Benutzergruppen Zugriffe auf Seiten zu erlauben oder zu sperren. Internet-Provider können beispielsweise im Rahmen ihres Web-Zugriffsdienstes auch eine Webfilterung durchführen. Dazu werden entsprechende Benutzerprofile mit Zugriffsattributen erstellt, denen dienstanbieter- bzw. providerseitig eine entsprechende Seitenabfrage oder HTTP-Requests zugeordnet werden können. Um einer Webseiten-Abfrage bzw. einem HTTP-Request ein bestimmtes Benutzerprofil zuordnen zu können, wird z. B. die Absender-IP-Adresse benutzt, welche dem Benutzerrechner zugeordnet werden kann. Es ist allerdings auch gewünscht, wenn verschiedene Benutzer mit unterschiedlichen Profilen einen gemeinsamen Internet-Zugang, beispielsweise einen DSL-Anschluss verwenden, dennoch eine benutzerabhängige Filterung vornehmen zu können.It is common necessary, within networks where network services via network service servers (for example, web servers provide websites for the Internet on) for to allow or deny certain user groups access to pages lock. For example, Internet providers can also perform web filtering as part of their web access service. To appropriate user profiles are created with access attributes, which service provider or provider side a corresponding page query or HTTP requests can be assigned. To a web page query or an HTTP request a certain User profile is assigned z. For example, the sender IP address used by the user's computer can be assigned. It is also desired, though different users with different profiles a common Internet access, for example using a DSL connection, nevertheless a user-dependent To make filtering.

In der Vergangenheit wurde z. B. vorgeschlagen, über eine dezidierte Software, die auf jedem PC eines Internetbenutzers zu installieren ist, die Funktionalität der Webbrowser zu erweitern. Es können dabei proprietäre Erweiterungen in die jeweiligen HTTP-Header beim Up- und Download von Internetanfragen eingefügt werden. Man spricht dabei auch von einem Hea der-Enrichment, wie es bei der Kinderschutzsoftware des Internet-Dienstleisters AOL der Fall ist.In the past was z. B. proposed, via a dedicated software, which is to be installed on every PC of an Internet user who functionality to extend the web browser. It can be proprietary extensions in the respective HTTP headers when uploading and downloading Internet requests added become. This is also called a Hea der-Enrichment, like it with the child protection software of the Internet service provider AOL the Case is.

Andererseits können spezielle Proxy-Server für den Zugang zum Internet auf der Providerseite verwendet werden, wobei auf dem PC des Benutzers bzw. dessen Internetbrowsers eine entsprechende Konfiguration notwendig ist. Es wurde auch vorgeschlagen, eine Filterfunktion bereits im DSL-Router zu implementieren.on the other hand can special proxy server for access to the Internet on the provider side, where on the user's PC or its Internet browser a appropriate configuration is necessary. It has also been suggested to implement a filter function already in the DSL router.

In der US 2004/0162058 A1 ist eine Schnittstelleneinrichtung offenbart, die es einem Endnutzer bzw. einer Endnutzereinrichtung ermöglicht, mehrere Service-Provider oder mobile Netzwerkbetreiber zu verwenden. Es ist daher eine Application Service Provider-Plattform vorgeschlagen, die in Abhängigkeit von einem jeweiligen Nutzerprofil die Zuweisung von Diensten auf unterschiedliche Netzbetreiber vornimmt. Die US 2004/0162058 A1 betrifft im Wesentlichen die Nutzung verschiedener Mobilfunknetzwerke durch eine einzige Nutzerendeinrichtung.In the US 2004/0162058 A1 there is disclosed an interface device that allows an end user or end user device to use multiple service providers or mobile network operators. It is therefore proposed an application service provider platform that makes the allocation of services to different network operators depending on a respective user profile. The US 2004/0162058 A1 essentially relates to the use of different mobile networks by a single user terminal.

Die US 2006/0223497 A1 beschreibt eine ähnliche Schnittstelle für nicht lizenzierte Nutzer von Mobilfunknetzen. So ist beispielsweise vorgeschlagen, eine MAC-Netzwerkadresse eines mobilen Endgerätes von einem IP-Netzwerk-Controller auswerten zu lassen, um den Zugriff auf Netzwerkdienste zu gestatten.The US 2006/0223497 A1 describes a similar interface for unlicensed mobile network users. For example, it is proposed to have a MAC network address of a mobile terminal evaluated by an IP network controller to allow access to network services.

Bei all den bekannten Möglichkeiten, den Zugriff auf bestimmte Netzwerkdienstserver einzuschränken oder zu filtern, ist in der Regel der Nutzer selbst durch Umprogrammierung seiner Nutzereinrichtungen in der Lage, entsprechende Filterungen zu umgehen, oder aber der Internet-Provider kann und muss für jeden denkbaren Nutzer ein eigenständiges Filterprofil verwalten. Insbesondere, wenn mehrere unterschiedliche Benutzer dieselbe Zugangseinrichtung, wie z. B. einen DSL-Router verwenden, wird dies schnell aufwändig und ist schwierig zu realisieren, da die Zugangsdaten, beispielsweise Nutzername und Internet-Passwort, nur einfach an einen DSL-Router vergeben werden. Es ist daher eine Aufgabe der vorliegenden Erfindung, ein verbessertes Verfahren zum Filtern von Netzwerkdiensten bereitzustellen.at all the known ways restrict access to certain network service servers or Filtering is usually the user himself by reprogramming its user facilities will be able to provide appropriate filtering Bypass, or else the internet provider can and must do for everyone conceivable users an independent Manage filter profile. Especially if several different ones Users the same access device, such. B. a DSL router use, this quickly becomes complicated and difficult to realize since the access data, such as username and Internet password, just be assigned to a DSL router. It is therefore one Object of the present invention, an improved method for To provide filtering of network services.

Diese Aufgabe wird durch ein Verfahren zum Filtern von Netzwerkdiensten in einer Netzwerkanordnung gemäß Patentanspruch 1 gelöst.These Task is by a method for filtering network services in a network arrangement according to claim 1 solved.

Demgemäß ist ein Verfahren zum Filtern von Netzwerkdiensten in einer Netzwerkanordnung vorgesehen, welche eine oder mehrere Nutzereinrichtungen, mindestens eine Netzwerkzugangseinrichtung, an welche Nutzereinrichtungen koppelbar sind, und Netzwerkeinrichtungen eines Netzwerkanbieters aufweist. Die Netzwerkeinrichtungen des Netzwerkanbieters stellen eine Netzwerkverbindung von der Netzwerkzugangseinrichtung zu einem Netzwerkdienstserver bereit. Dabei erfolgt eine Filterung von durch eine jeweilige Nutzereinrichtung von einem Netzwerkdienstserver angefragten Netzwerkdienst durch die Netzwerkeinrichtungen des Netzwerkdienstanbieters. Dies geschieht in Abhängigkeit von Nutzerprofilparametern, welche einer Teilnetzidentifikation zugeordnet wurden. Einem jeweiligen Nutzer wird eine Teilnetzidentifikation zugeordnet und von der Netzwerkzugangseinrichtung, an welche die Nutzereinrichtung gekoppelt ist, wird die Teilnetzidentifikation an mindestens eine Netzwerkeinrichtung des Netzwerkdienstanbieters übertragen. Einem jeweiligen Nutzer und/oder einer Nutzereinrichtung wird ein VLAN, insbesondere nach einem IEEE 802.1Q Standard zugeordnet. Dabei entspricht die Teilnetzidentifikation einer jeweiligen VLAN-Identifikation.Accordingly, a method for filtering network services in a network arrangement is provided which has one or more user devices, at least one network access device to which user devices can be coupled, and network devices of a network provider. The network equipment of the network provider provide a network connection from the network access device to a network service server. The network service requested by a respective user device from a network service server is thereby filtered by the network devices of the network service provider. This happens as a function of user profile parameters which have been assigned to a subnet identification. A subnetwork identification is assigned to a respective user, and the subnetwork identification is transmitted to at least one network device of the network service provider by the network access device to which the user device is coupled. A respective user and / or user device is assigned a VLAN, in particular according to an IEEE 802.1Q standard. The subnet identi corresponds to this fication of a respective VLAN identification.

Es werden somit dem Nutzer oder der verwendeten Netzwerkzugangseinrichtung ein Attribut, nämlich eine Teilnetzidentifikation, zugewiesen, anhand derer durch den Provider bzw. den Netzwerkanbieter eine Filterung der angefragten Dienstinhalte erfolgen kann. Es ist dabei ist zwingend notwendig, dass providerseitig Teilnetzidentifikation bekannt ist. Möglich ist zu Beispiel eine Abbildung von Teilnetzidentifikation auf Zugangsparameter, welcher dem Aufbau einer entsprechenden Netz werkverbindung dienen, durch die Netzwerkzugangseinrichtung. Ein DSL-Modem kann beispielsweise eine Teilnetzidentifikation auf DSL-Zugangsdaten abbilden, und dann abhängig von dem Nutzer oder der Nutzereinrichtung aus mehreren möglichen DSL-Verbindungen auswählen. Denkbar ist auch eine entsprechende Abbildung auf eines von mehreren VLAN-Netzen. Dies hat den Vorteil, dass der Netzwerkdienstanbieter bzw. Provider keine Nutzerprofile verwalten muss, was aus Gründen des Datenschutzes als vorteilhaft empfunden wird. Ein VLAN (Virtual Local Area Network) ist ein virtuelles lokales Netz innerhalb eines physikalischen Netzes. Mit Hilfe der VLAN-Technik können auf einem Switch oder Router mehrere virtuell getrennte Netze betrieben werden. Gemäß dem IEEE 802.1Q Standard werden Ethernet-Frames bzw. -Rahmen um vier Byte erweitert, welche insbesondere die VLAN-Identifikation aufweisen. Für jedes realisierte VLAN kann somit providerseitig die Filterung der abgerufenen Netzwerkdienste erfolgen. Vorzugsweise terminieren dann die VLANs an der Netzwerkzugangseinrichtung, z. B. dem DSL-Router, damit nicht der Nutzer an seiner Nutzereinrichtung das entsprechende VLAN-Tagging umgehen kann. Providerseitig terminiert das jeweilige VLAN zum Beispiel an der BRAS-Einrichtung.It thus become the user or the network access device used an attribute, namely a subnet identification, assigned by means of which Provider or the network provider filtering the requested Service content can be done. It is imperative that provider-side subnet identification is known. Is possible for example, a mapping of subnet identification to access parameters, which serve to establish a corresponding network connection, through the network access device. For example, a DSL modem can map a subnet ID on DSL credentials, and then depending on the user or the user device of several possible DSL connections choose. Also conceivable is a corresponding illustration on one of several VLAN networks. This has the advantage that the network service provider or Provider does not have to manage user profiles, which is for the sake of Privacy is considered beneficial. A VLAN (Virtual Local Area Network) is a virtual local area network within one physical network. With the help of VLAN technology you can operated a switch or router several virtual separate networks become. According to the IEEE 802.1Q By default, Ethernet frames are expanded by four bytes, which in particular have the VLAN identification. For each realized VLAN can thus the provider-side filtering of the retrieved Network services take place. Preferably, then terminate the VLANs at the network access device, e.g. B. the DSL router, so not the user at his user device the appropriate VLAN tagging can handle. The respective VLAN terminates for example by the provider at the BRAS facility.

In einer Variante des Verfahrens werden die folgenden Verfahrensschritte durchgeführt: Zuordnen eines Nutzers zu einer Teilnetzwerkidentifikation; Zuordnen von Nutzerprofilparametern zu einer Teilnetzwerkidentifikation; und Übertragen der Teilnetzwerkidentifikation von der Nutzereinrichtung an die Netzwerkzugangseinrichtung beim Anfragen eines Netzwerkdienstes eines Netzwerkdienstservers, welcher an die Netzwerkeinrichtungen des Netzwerkdienstanbieters gekoppelt ist.In a variant of the method, the following steps carried out: Associating a user with a subnetwork identification; Assign from user profile parameters to a subnetwork identification; and transferring the subnetwork identification from the user device to the Network access device when requesting a network service a network service server connected to the network devices of the network service provider is coupled.

Als Netzwerkeinrichtungen des Netzwerkdienstanbieters kommen insbesondere Netzwerkvermittlungseinrichtungen in Frage, wie z. B. DSL-Zugangsmultiplexer, BRAS-Einrichtungen und/oder AAA-Einrichtungen.When Network facilities of the network service provider come in particular Network switching facilities in question, such. B. DSL access multiplexer, BRAS facilities and / or AAA facilities.

DSL-Zugangsmultiplexer werden auch als DSLAM (Digital Subscriber Line Access Multiplexor) bezeichnet und dienen als Vermittlungsstellen, an denen mehrere Teilnehmeranschlussleitungen zusammenlaufen. Der entsprechende DSLAM terminiert damit die Teilnehmeranschlussleitungen und sammelt oder verteilt auf örtlicher, lokaler Ebene den Datenverkehr der Teilnehmer oder Nutzer mit den verschiedenen Teilnehmeranschlussleitungen und reicht ihn gebündelt bzw. gemultiplext an einen regionalen Broadband-Remote-Access-Server (BRAS) weiter. Als Broadband-Remote-Access-Server werden Netzwerkelemente von Breitband-Netzen, wie z. B. DSL oder auch UMTS bezeichnet. Eine entsprechende BRAS-Einrichtung speist den Datenverkehr der Endnutzer in das Backbone-Netzwerk des Providers ein. Für das weitverbreitete PPP-Protokoll ist die BRAS-Einrichtung in der Regel das terminierende Netzelement. Die BRAS-Einrichtung dient z. B. der Zuweisung von Sitzungsparametern, wie IP-Adressen der Nutzereinrichtungen.DSL Access Multiplexer are also referred to as DSLAM (Digital Subscriber Line Access Multiplexor) and serve as exchanges where multiple subscriber lines converge. The corresponding DSLAM terminates the subscriber lines with it and collect or distribute on local, local level the traffic of subscribers or users with the various Subscriber lines and handed him bundled or multiplexed a Regional Broadband Remote Access Server (BRAS). When Broadband remote access servers become network elements of broadband networks, such as B. DSL or UMTS. A corresponding BRAS facility feeds the traffic of the end users into the backbone network of the Providers. For The widely used PPP protocol is the BRAS facility in the Usually the terminating network element. The BRAS facility is used z. As the assignment of session parameters, such as IP addresses of the user equipment.

Der BRAS-Server bzw. die BRAS-Einrichtung ist üblicherweise an eine AAA-Einrichtung verbunden, welche ein Authentifizierungs-, Authorisierungs- und Abrechnungssystem realisiert. ein AAA-Server überwacht somit die fundamentalen System-Zugangsfunktionen und die Abrechnung der an den Nutzer bereitgestellten Dienstleistungen hinsichtlich der Bereitstellung des Netzwerks.Of the BRAS server or BRAS device is usually at an AAA facility which is an authentication, authorization and authentication Billing system realized. An AAA server thus monitors the fundamental system access functions and the billing of services provided to the user regarding the provision of the network.

Die Netzwerkanordnung ist bevorzugt als Teil eines ATM-Netzwerkes ausgeführt und insbesondere an das Internet gekoppelt. Unter ATM (Asynchronous Transfer Mode) versteht man den asynchronen Übertragungsmodus, welcher als eine vermittelnde und verbindungsorientierte Basistechnologie für Netzwerke wie WAN oder LAN eingesetzt wird. Beim ATM werden zum Datentransport Datenpakete fester Länge verwendet, welche über asynchrones Zeitmultiplexing übertragen werden.The Network arrangement is preferably designed as part of an ATM network and especially coupled to the Internet. Under ATM (Asynchronous Transfer Mode) is understood as the asynchronous transfer mode, which as an intermediary and connection-oriented basic technology for networks how WAN or LAN is used. At the ATM are for data transport Data packets of fixed length used which over transmit asynchronous time division multiplexing become.

Bei einer Weiterbildung des Verfahrens zum Filtern von Netzwerkdiensten werden ferner die Schritte durchgeführt: Übertragen der Teilnetzwerkidentifikation der Netzwerkzugangsein richtung an eine der Netzwerkeinrichtungen des Netzwerkdienstanbieters; Vergleichen der Teilnetzwerkidentifikation zugeordneten Nutzerprofilparameter durch eine oder mehrere Netzwerkeinrichtungen des Netzwerkdienstanbieters; und Herstellen einer Netzwerkverbindung zwischen der Nutzereinrichtung und dem Netzwerkdienstserver, welcher den angefragten Netzwerkdienst bereitstellt, wobei die Verbindung durch Netzwerkeinrichtungen des Netzwerkdienstanbieters bereitgestellt wird oder blockiert wird, in Abhängigkeit von den Nutzerprofilparametern.at a development of the method for filtering network services the steps are further performed: transmitting the subnetwork identification the Netzwerkzugangsein direction to one of the network devices the network service provider; Compare the subnetwork identification associated user profile parameters by one or more network devices the network service provider; and establishing a network connection between the user device and the network service server, which provides the requested network service, the connection through Network facilities of the network service provider provided becomes or becomes blocked depending on from the user profile parameters.

Eine Filterung kann beispielsweise durch Vorhalten von sogenannten Black- und Whitelists von Netzwerkdiensten und/oder Netzwerkdienstservern erfolgen. Dabei werden einem jeweiligen Satz von Nutzerprofilparametern Listen zugeordnet, die Identifikationen von Netzwerkdiensten bzw. der bereitstellenden Netzwerkdienstservern aufweisen. In einer Blacklist werden dann beispielsweise diejenigen Netzwerkdienste aufgelistet, die dem Nutzer mit seinem vorgegebenen Nutzerprofilparametern nicht zugänglich gemacht werden sollen, während in der Whitelist diejenigen Netzwerkdienstserver oder Netzwerkdienste aufgelistet sind, die dem Nutzer bereitgestellt werden.Filtering can be done, for example, by having so-called black and white lists of network services and / or network service servers. In this case, lists are assigned to a respective set of user profile parameters that identify or provide network service identifications lend network service servers. A blacklist then lists, for example, those network services which are not to be made accessible to the user with his given user profile parameters, while the whitelist lists those network service servers or network services that are provided to the user.

Als Teilnetzwerkidentifikation kann z. B. eine Hardwareadresse der Nutzereinrichtung, wie z. B. eine MAC-Adresse, verwendet werden. Der Hardwareadresse werden dann die Nutzerprofilparameter zugeordnet. Es ist dabei möglich, dass die Hardwareadresse auf der Nutzerseite der jeweiligen Netzwerkzugangseinrichtung übermittelt wird und die Netzwerkzugangseinrichtung bereits entsprechende Nutzerprofilparameter an die Netzwerkeinrichtungen des Netzwerkdienstanbieters übermittelt, wodurch eine nutzerangepasste Filterung der Dienstinhalte möglich wird. In diesem Fall besteht das durch die Teilnetzwerkidentifikation bzw. der Hardwareadresse bestimmte Teilnetzwerk lediglich aus der Nutzereinrichtung mit der Hardwareadresse sowie der Netzwerkzugangseinrichtung und der Infrastruktur des Netzwerkdienstanbieters. Der Verbindungsaufbau kann von der Netzwerkzugangseinrichtung in Abhängig keit von der Hardwareidentifikation initiiert werden, wobei zum Beispiel bestimmte Zugangsparameter verwendet werden, die von dem Netzwerkprovider als Nutzerprofilparameter und die Filterung aufgefasst werden.When Subnetwork identification may e.g. B. a hardware address of the user device, such as As a MAC address can be used. The hardware address then the user profile parameters are assigned. It is possible that transmits the hardware address on the user side of the respective network access device and the network access device already has corresponding user profile parameters transmitted to the network facilities of the network service provider, whereby a user-adapted filtering of the service content is possible. In this case, this is through the subnetwork identification or the hardware address certain subnetwork only from the User device with the hardware address and the network access device and the infrastructure of the network service provider. The connection setup can from the network access device depending on the hardware identification initiated using, for example, certain access parameters are used by the network provider as user profile parameters and the filtering can be understood.

Alternativ kann als Teilnetzwerkidentifikation für ein von der Netzwerkzugangseinrichtung bereitgestelltes Teilnetzwerk die entsprechende SSID-Identifikation verwendet werden, wenn ein drahtloses Netzwerk benutzt wird. Der SSID-Identifikation werden dann die Nutzerprofilparameter zugeordnet.alternative may be used as a subnetwork identification for one of the network access devices provided subnet the corresponding SSID identification used when using a wireless network. Of the SSID identification are then assigned the user profile parameters.

Als SSID (Service Set Identifier) oder auch Network Name bezeichnet man die Kennung eines Funknetzwerks, das auf einem IEEE 802.1-Standard basiert. Demgemäß weist jedes Wireless LAN (WLAN) eine konfigurierbare SSID auf, um das entsprechende Funknetz identifizieren zu können. Die SSID-Zeichenfolge hat in der Regel 32 Zeichen und wird in der Basisstation bzw. dem WLAN-Access-Point konfiguriert und den angekoppelten Nutzereinrichtungen, wie beispielsweise einem Notebook-Computer, zugewiesen. Bei einer WLAN-Einrichtung, die mehrere WLAN-Netzwerke verwalten kann, dient somit die jeweilige SSID als Unterscheidungsparameter, um Nutzerprofilparameter providerseitig zu erkennen. Damit könnte für jedes WLAN-Teilnetzwerk eine getrennte Web-Filterung vorgenommen werden, da durch die SSID-Identifikationen unterschiedliche Filterungen erkannt werden können.When SSID (Service Set Identifier) or Network Name the identifier of a wireless network based on an IEEE 802.1 standard. Accordingly, FIG Each wireless LAN (WLAN) has a configurable SSID on it Identify corresponding radio network. The SSID string usually has 32 characters and is in the base station or the WLAN access point configured and the connected user devices, such as a notebook computer. At a Wi-Fi setup, which can manage multiple Wi-Fi networks, thus serves the respective SSID as a distinguishing parameter to user profile parameters Provider to recognize. This could be one for each WLAN subnetwork Separate web filtering will be done because of the SSID identifications different filters can be detected.

In noch einer weiteren Variante des Filterverfahrens wird zwischen einer jeweiligen Nutzereinrichtung in einer Netzwerkeinrichtung des Netzwerkdienstanbieters eine VPN-Netzwerkverbindung hergestellt. Dies erfolgt insbesondere zu einer BRAS-Einrichtung, und es wird eine entsprechende VPN-Identifikation als Teilnetzwerkidentifikation verwendet. Die entsprechende Netzwerkzugangseinrichtung ermöglicht dabei nur den allgemeinen Verbindungsaufbau, ist jedoch nicht in eine Zuordnung von Nutzerprofilparametern miteinbezogen.In Yet another variant of the filtering process is between a respective user device in a network device Network Service Provider established a VPN network connection. This In particular, a BRAS facility will be established and it will become a corresponding VPN identification used as subnetwork identification. The appropriate network access device allows doing only the general connection, but is not in involved an assignment of user profile parameters.

Vorzugsweise wird von der Netzwerkeinrichtung des Netzwerkdienstanbieters, z. B. der BRAS-Einrichtung, ein eingeschränkter Zugriff auf Netzdienstserver zugelassen, sofern keine VPN-Verbindung aufgebaut wird. Unter VPN-Netzen (Virtual Private Networks) versteht man die Verbindung privater Netze, welche durch öffentliche Netze getrennt sind, vorzugsweise durch Einsatz kryptographisch gesicherter Protokolle. Denkbar ist z. B. eine sichere Datenübertragung auf der Ebene des Internets als Peer-to-Peer-Protokoll. Die beiden Kommunikationspartner, z. B. die BRAS-Einrichtung und die Nutzereinrichtung werden authentifiziert und auf der Basis eines Regelwerks über eine verschlüsselte und/oder Integritätsgestützte Verbindung miteinander gekoppelt.Preferably is used by the network device of the network service provider, e.g. B. the BRAS device, restricted access to network service servers allowed, provided no VPN connection is established. Under VPN networks (Virtual Private Networks) means the connection of private Networks, which are public Networks are separated, preferably by using cryptographically secured Protocols. It is conceivable z. B. a secure data transfer at the level of Internet as a peer-to-peer protocol. The two communication partners, z. B. the BRAS device and the user device are authenticated and on the basis of a policy via an encrypted and / or integrity-based connection coupled together.

Die Erfindung schafft ferner eine Netzwerkanordnung mit mindestens einer Nutzereinrichtung, mindestens einer Netzwerkzugangseinrichtung, an welcher die Nutzereinrichtung koppelbar ist und mit Netzwerkeinrichtungen, welche eine Netzwerkverbindung von der Netzwerkzugangseinrichtung zu einem Netzwerkdienstanbieter bereitstellen. Dabei sind die Nutzereinrichtung, die Netzwerkzugangseinrichtung und die Netzwerkeinrichtungen derart ausgestaltet, dass ein Verfahren zum Filtern von Netzwerkdiensten in einer Netzwerkanordnung durchgeführt wird.The The invention further provides a network arrangement with at least one User device, at least one network access device, at which the user device can be coupled and with network devices, which is a network connection from the network access device to a network service provider. In this case, the user device, the network access device and the network devices such designed that a method for filtering network services is performed in a network arrangement.

Die Erfindung betrifft darüber hinaus ein Computerprogramm, welches die Durchführung eines Verfahrens zum Filtern von Netzwerkdiensten in einer Netzwerkanordnung auf programmgesteuerten Nutzer, Netzzugangs- und/oder Netzwerkeinrichtungen veranlasst.The Invention relates to this In addition, a computer program, which is the implementation of a method for Filtering network services in a network arrangement to programmatic users, Network access and / or network facilities prompted.

Weitere vorteilhafte Ausgestaltungen sind Gegenstand der Unteransprüche und der im Folgenden beschriebenen Ausführungsbeispiele.Further advantageous embodiments are the subject of the dependent claims and the embodiments described below.

Die Erfindung wird im Folgenden unter Bezugnahme auf die beigefügten Figuren anhand von Ausführungsbeispielen näher erläutert. Es zeigt dabei:The Invention will be described below with reference to the accompanying figures based on embodiments explained in more detail. It shows:

1 eine schematische Darstellung einer Netzwerkanordnung zur Durchführung eines Filterverfahrens; 1 a schematic representation of a network arrangement for performing a filter procedure;

2 ein Ablaufdiagramm einer Variante eines Filterverfahrens für Netzwerkdienste; 2 a flowchart of a variant of a filtering method for network services;

3 eine schematische Darstellung einer Netzwerkanordnung und Abläufe gemäß einer zweiten Variante des Verfahrens zum Filtern von Netzwerkdiensten; 3 a schematic representation of a network arrangement and processes according to a second variant of the method for filtering network services;

4 eine schematische Darstellung einer Netzwerkanordnung und Verfahrensabläufe gemäß einer dritten Va riante des Verfahrens zum Filtern von Netzwerkdiensten; und 4 a schematic representation of a network arrangement and procedures according to a third Va variant of the method for filtering network services; and

5 eine schematische Darstellung einer alternativen Netzwerkanordnung sowie mögliche Verfahrensschritte gemäß einer vierten Variante des Verfahrens zum Filtern von Netzwerkdiensten. 5 a schematic representation of an alternative network arrangement and possible method steps according to a fourth variant of the method for filtering network services.

In den Figuren sind gleiche bzw. funktionsgleiche Elemente mit denselben Bezugszeichen versehen worden, sofern nichts anderes angegeben ist.In The figures are the same or functionally identical elements with the same Unless otherwise indicated.

In der 1 ist ein Teil einer Netzwerkanordnung 1 dargestellt. Dabei wird zwischen den Einflussbereichen bzw. Infrastrukturen des Nutzers 2, des Netzwerkdienstanbieters oder Providers 3 und Netzdienstanbieters 4 unterschieden. Auf der Nutzerseite, die auch als CPE (Customer Premises Equipment) bezeichnet wird, ist eine Netzwerkzugangseinrichtung 5, welche beispielsweise als DSL- oder WLAN-Modem oder -Router ausgeführt ist, und daran gekoppelte Nutzereinrichtungen, wie z. B. ein Notebook 6 und ein PC 7 vorgesehen.In the 1 is part of a network arrangement 1 shown. It is between the spheres of influence or infrastructures of the user 2 , the network service provider or provider 3 and network service provider 4 distinguished. On the user side, also referred to as CPE (Customer Premises Equipment), is a network access device 5 which is designed, for example, as a DSL or WLAN modem or router, and user devices coupled thereto, such as e.g. B. a notebook 6 and a PC 7 intended.

Die im Folgenden beispielhaft als DSL-Modem bezeichnete Netzwerkzugangseinrichtung 5 stellt eine Verbindung zu der Infrastruktur des Netzwerkdienstleisters bzw. Providers 3 dar, die in der Regel eine DSLAM-Einrichtung bzw. einen DSL-Zugangsmultiplexer 8 umfasst, welche über eine als ATM-Netzwerk ausgestaltete Netzwerkinfrastruktur 9 z. B. ein Internet-Backbone ausbildet. Der Netzwerkprovider 3 verfügt ferner über einen BRAS-Server 10, welcher insbesondere an einen AAA-Server 11 gekoppelt ist.The network access device referred to below by way of example as a DSL modem 5 connects to the infrastructure of the network service provider or provider 3 which is usually a DSLAM device or a DSL access multiplexer 8th comprising, via a network infrastructure designed as an ATM network 9 z. B. forms an Internet backbone. The network provider 3 also has a BRAS server 10 , which in particular to an AAA server 11 is coupled.

Die Webdienstleistungsanbieter 4 verfügen über Netzwerkdienstserver, wie beispielsweise Webserver 12, welche bestimmte Dienstinhalte bereitstellen.The web service providers 4 have network service servers, such as web servers 12 which provide certain service content.

Der BRAS-Server führt dabei eine Aggregierung des Datenverkehrs von den Zugangspunkten, also den DSLAMs, die Terminie rung von PPP-Sitzungen oder Internetprotokoll-Sitzungen sowie eine Beschränkung der Filterung der Datenmengen im Rahmen von Quality of Service durch. Der BRAS-Server dient als Kopplungselement des Internetproviders 3 zum Internet bzw. zu weiteren Webservern im Internet 4. Üblicherweise authentifizieren sich DSL-Router 5, welche auch als Residential Gateways bezeichnet werden, gegenüber dem DSL-Provider 3 über fest eingestellte Zugangsparameter. Diese können z. B. eine Kundenkennung, die den Abonnenten des Internet- oder DSL-Zugangs bezeichnet, und ein Passwort sein. Verschiedene Nutzer, die beispielsweise durch die Nutzereinrichtungen wie dem Laptop oder Notebook 6 und dem PC 7 über das DSL-Modem 5 mit dem Internet verbunden werden sollen, werden providerseitig 3 nicht voneinander unterschieden, da dieselben Zugangsdaten benutzt werden müssen. Lediglich die Zugangsdaten, wie Benutzername und Passwort, werden von dem AAA-Server überprüft und protokolliert. Um bestimmte Filterfunktionen, also bestimmte Webservice-Inhalte 12 zu filtern, also nicht der Nutzereinrichtung 6 oder 7 über die Provider-Infrastruktur 3 bereitzustellen, muss dem jeweiligen Internetprovider 3, 7 Informationen zu den verschiedenen Nutzern 6, 7 bereitgestellt werden.The BRAS server carries out an aggregation of the data traffic from the access points, ie the DSLAMs, the termination of PPP sessions or Internet protocol sessions as well as a restriction of the filtering of the data volumes in the context of quality of service. The BRAS server serves as the coupling element of the Internet provider 3 to the Internet or to other web servers on the Internet 4 , Usually, DSL routers authenticate themselves 5 , which are also referred to as Residential Gateways, compared to the DSL provider 3 via permanently set access parameters. These can be z. For example, a customer identifier that identifies the subscriber to the Internet or DSL access, and a password. Different users, for example, by the user devices such as the laptop or notebook 6 and the PC 7 over the DSL modem 5 to be connected to the Internet are provider side 3 are not distinguished because the same access data must be used. Only the access data, such as user name and password, are checked and logged by the AAA server. To certain filter functions, so certain web service contents 12 to filter, so not the user device 6 or 7 via the provider infrastructure 3 to provide, must be the respective Internet provider 3 . 7 Information about the different users 6 . 7 to be provided.

Für einen jeweiligen Nutzer, der beispielsweise über bestimmte Nutzerprofilparameter wie z. B. Alter, Standort oder ein Position in einer bestimmten Zugangshierarchie, charakterisiert werden kann, werden entsprechende Black- und Whitelisten angelegt, welche z. B. IP-Adressen von Webservern, deren symbolische Namen oder auch Schlagworte, die einen bestimmten Webinhalt beschreiben, umfassen.For one respective user, for example, via certain user profile parameters such as Age, location, or position in a particular Access hierarchy, which can be characterized, will be appropriate Black and white lists created, which z. B. IP addresses of web servers, their symbolic names or keywords that are specific Describe web content.

Es ist möglich, die direkte Nutzerunterscheidung bereits beim DSL-Modem 5 vorzunehmen, sodass von dem BRAS-Server die Nutzer nur implizit durch die Art der aufgebauten Verbindung zwischen DSL-Modem und BRAS-Einrichtung unterschieden werden. In der 2 sind beispielhafte Verfahrensschritte, um eine Filterung entsprechender Webservices zu erzielen, dargestellt.It is possible, the direct user distinction already in the DSL modem 5 so that users are only implicitly distinguished from the BRAS server by the nature of the established connection between DSL modem and BRAS device. In the 2 For example, exemplary method steps to achieve filtering of corresponding web services are shown.

In einem Schritt S0 wird zunächst jedem Nutzer eine Teilnetzwerkidentifikation TNID zugewiesen. Diese Teilnetzidentifikation, welche beispielsweise eine MAC-Adresse der Nutzereinrichtung sein kann, wird bezüglich dem Beispiel der in 2 dargestellten Netzwerkanordnung, von dem DSL-Modem 5 dann als Zeiger auf bestimmte Nutzerprofile, welche als DSL-Zugangsdaten dienen, verstanden.In a step S0, each user is first assigned a subnetwork identification TNID. This subnet identification, which may for example be a MAC address of the user device, will be described with reference to the example of FIG 2 shown network arrangement, from the DSL modem 5 then understood as a pointer to certain user profiles, which serve as DSL access data.

Bei einer Netzwerkverbindung im Schritt S1, welche durch das DSL-Modem initiiert wird, kann das Modem auch bereits bestimmte Zugangsparameter wie Benutzername und Passwort-Informationen an den Provider 3 weiterleiten, woraufhin dieser bei jeder Dienstanfrage durch eine Nutzereinrichtung 6, 7 des Nutzers 2 eine Zuordnung zu einem bestimmten Nutzerprofil erfolgen kann.In a network connection in step S1, which is initiated by the DSL modem, the modem can already certain access parameters such as user name and password information to the provider 3 forward, whereupon this at each service request by a user device 6 . 7 of the user 2 an assignment to a specific user profile can take place.

Wird im Schritt S2 eine Dienstanfrage von der Nutzereinrichtung, beispielsweise dem PC 7 über den DSL-Router 5 und die Infrastruktur des Providers 3 zum BRAS-Server 10 gesendet, kann aufgrund der TNID, welche entweder bei der Anfrage mit gesendet wird oder bereits durch Kenntnis der bestimmten DSL-Zugangsinformationen einen Satz von Nutzerprofilparametern festlegt, eine entsprechende Filterung der abgefragten Webdienste vorgenommen werden.If in step S2 a service request from the user device, such as the PC 7 above the DSL router 5 and the infrastructure of the provider 3 to the BRAS server 10 Sent, a corresponding filtering of the queried web services can be made due to the TNID, which is either sent in the request or already determined by knowledge of certain DSL access information set of user profile parameters.

Im Schritt S3 erfolgt somit ein Vergleich der TNID zugewiesenen Nutzerprofilparameter NPP. Dieses kann beispielsweise durch den AAA-Server erfolgen. Schließlich erfolgt eine Filterung im Schritt 94, d. h. in Abhängigkeit von den bekannten Nutzerprofilparametern werden entweder angefragte Dienste im Netzwerk der Nutzereinrichtung zugespielt oder blockiert.In step S3, there is thus a comparison of the user profile parameters NPP assigned to TNID. This can be done for example by the AAA server. Finally, filtering takes place in the step 94 ie, depending on the known user profile parameters, either requested services in the network of the user device are leaked or blocked.

In der 3 ist eine Variante des Verfahrens zum Filtern von Netzwerkdiensten in einer Netzwerkanordnung 100 illustriert. Die bereits bezüglich der 1 erläuterten Elemente sind im Folgenden nicht näher beschrieben. In der hier beschriebenen Variante des Filterverfahrens liegen beim DSL-Modem unterschiedliche Zugangsparametersätze für prinzipiell verschiedenartige DSL-Verbindungen bereit. Den entsprechenden DSL-Zugangsprofilen kann der DSL-Provider 3 verschiedene Filterregeln zuordnen, die prinzipiell auch durch den Benutzer 2 administriert werden können. Als eine mögliche Unterscheidung zwischen verschiedenen Nutzern ist in 3 die jeweilige Hardware-Adresse bzw. MAC-Adresse MAC1, MAC2 der Nutzereinrichtung, also des PCs 7 und des Laptops 6 verwendet.In the 3 is a variant of the method for filtering network services in a network arrangement 100 illustrated. The already regarding the 1 explained elements are not described in detail below. In the variant of the filtering method described here, the DSL modem has different access parameter sets for fundamentally different types of DSL connections. The corresponding DSL access profiles can be used by the DSL provider 3 assign different filter rules, which in principle also by the user 2 can be administered. As a possible distinction between different users is in 3 the respective hardware address or MAC address MAC1, MAC2 the user device, so the PC 7 and the laptop 6 used.

Anhand der jeweiligen MAC-Adresse erkennt somit das DSL-Modem 5, dass verschiedene Zugangskennungen, je nach MAC-Adresse für den Verbindungsaufbau mit dem DSL-Provider 3 zu verwenden sind. Damit wird dem Nutzer des PCs 7 ein anderes Teilnetzwerk zugewiesen als dem Nutzer des Laptops 6. Es ist dabei möglich, dass z. B. für das Notebook 6 ein Zugangsprofil, das providerseitig auf Nutzerprofilparameter abgebildet ist, zu verwenden, welches eine ungefilterte Nutzung bzw. einen Abruf von allen denkbaren Dienstinhalten zulässt. Dies ist durch den gestrichelten Pfeil IN2 dargestellt. Bei einer Internetverbindung durch das Notebook 6 mittels dem DSL- oder WLAN-Router 5 kann ein ungefilterter Zugriff auf die Webinhalte 12 über den DSLAM, das ATM-Netzwerk des Providers, die BRAS-Einrichtung und schließlich die Webserver der Diensteanbieter 4 erfolgen.Based on the respective MAC address thus recognizes the DSL modem 5 that different access identifiers, depending on the MAC address for connecting to the DSL provider 3 to be used. This will be the user of the PC 7 assigned a different subnetwork than the user of the laptop 6 , It is possible that z. B. for the notebook 6 to use an access profile, which is mapped to user profile parameters on the provider side, which permits unfiltered use or retrieval of all conceivable service contents. This is shown by the dashed arrow IN2. At an internet connection through the notebook 6 by means of the DSL or WLAN router 5 can provide unfiltered access to the web content 12 via the DSLAM, the provider's ATM network, the BRAS facility, and finally the service providers' web servers 4 respectively.

Im Gegensatz dazu wird DSL-Modem-seitig 5 der MAC-Adresse MAC1 des PCs 7 ein anderes Zugangsprofil für die DSL-Anbindung zugewiesen. Dementsprechend erhält der DSL-Provider 3 über das DSL-Modem 5 Zugangsparameter bzw. Nutzerprofilparameter die veranlassen, dass bestimmte Filterregeln beim Abruf von z. B. Webseiten einzuhalten sind. Entsprechende Black- und Whitelists können den Nutzerprofilparametern, z. B. durch die AAA-Einrichtung administriert, zugeordnet werden. Es ist dabei möglich, wie es durch den Pfeil CT dargestellt, dass der AAA-Server des DSL-Providers 3 Nachrichten oder Befehle an Servereinrichtungen 14 des Webservice-Providers 4 überspielt, sodass dieser über eine geeignete Filtereinrichtung, welche beispielsweise die dem PC 7 zugewiesene IP-Adresse bestimmte Inhalte nicht mehr bereitstellt.By contrast, DSL is modem-side 5 the MAC address MAC1 of the PC 7 assigned a different access profile for the DSL connection. Accordingly, the DSL provider receives 3 over the DSL modem 5 Access parameters or user profile parameters that cause certain filter rules when retrieving z. B. websites are to be followed. Corresponding blacklists and whitelists can inform the user profile parameters, e.g. B. administered by the AAA device assigned. It is possible, as shown by the arrow CT, that the AAA server of the DSL provider 3 Messages or commands to server devices 14 of the web service provider 4 dubbed, so this over a suitable filter device, which, for example, the PC 7 assigned IP address no longer provides certain content.

In der Regel werden den Nutzereinrichtungen, wie insbesondere dem PC 7 mit seiner Hardware-Adresse MAC1 für die Dauer der DSL-Verbindung eine feste IP-Adresse zugeordnet. Die Filterung ist in der 3 durch den durchgezogenen Pfeil IN1, welcher die Filtereinrichtung 13 durchläuft, angedeutet.In general, the user devices, in particular the PC 7 with its hardware address MAC1 assigned a fixed IP address for the duration of the DSL connection. The filtering is in the 3 by the solid arrow IN1, which the filter device 13 goes through, indicated.

In der 4 ist eine Netzwerkanordnung 110 dargestellt, welche geeignet ist, eine weitere Variante eines Verfahrens zum Filtern von Netzwerkdiensten in der Netzwerkanordnung durchzuführen. Teilnehmerseitig ist ein WLAN-Access-Point 5 als Netzwerkzugangseinrichtung vorgesehen, an den beispielsweise zwei Laptops 6, 15 drahtlos gekoppelt werden können. Die jeweiligen Elemente der Provider-Infrastruktur 3 und der Webdienstleist-Infrastruktur 4 entspricht den in 3 dargestellten.In the 4 is a network arrangement 110 which is suitable for carrying out a further variant of a method for filtering network services in the network arrangement. Participant side is a wireless access point 5 provided as a network access device to the example, two laptops 6 . 15 can be wirelessly coupled. The respective elements of the provider infrastructure 3 and the web services infrastructure 4 corresponds to the in 3 shown.

Beispielsweise gemäß eines IEEE 802.11 Standards werden Funknetzwerken Network-Names bzw. Service-Set-Identifier (SSIDs) zugeordnet. Die Basisstation 5 bzw. der WLAN-Access-Point 5 ist derart ausgestaltet, dass mehrere Network-Names bzw. mehrere Funknetzwerke lokal realisiert werden können. Jedem dieser Funknetzwerke oder WLANs ist dabei eine SSID-zugeordnet. Dem Notebook 6 ist beispielsweise ein über die gepunktete Linie dargestelltes Funknetz mit der Kennung SSID2 zugeordnet, und dem Notebook 15, welches mit dem Access-Point 5 ein durch die gestrichpunktete Linie illustriertes Funknetzwerk bildet, hat die SSID SSID1.For example, according to an IEEE 802.11 standard, wireless networks are assigned network names or service set identifiers (SSIDs). The base station 5 or the WLAN access point 5 is designed such that multiple network names or multiple wireless networks can be implemented locally. Each of these wireless networks or WLANs is assigned an SSID. The notebook 6 For example, a radio network with the identification SSID2 represented by the dotted line is assigned to the notebook 15 which with the access point 5 a radio network illustrated by the dotted line, the SSID has SSID1.

Der WLAN oder DSL-Router oder Access-Point 5 ist nun derart ausgestaltet, dass unterschiedlichen SSIDs unterschiedliche Zugangskennungen, also Kombinationen von Nutzernamen und Passwort für den DSL-Zugang zugeordnet werden. Der WLAN-Access-Point 5 kann somit in dem in der 4 dargestellten Beispiel mindestens zwei verschiedene Internet- oder DSL-Verbindungen verwalten. Damit wird abhängig von den DSL-Zugangsdaten für die unterschiedlichen Teilnetzwerke, also die Funknetzwerke der Kennungen SSID1 und SSID2, verschiedene Nutzerprofilparameter durch den DSL-Provider 3 realisiert.The WLAN or DSL router or access point 5 is now configured such that different SSIDs different access identifiers, ie combinations of user name and password for the DSL access are assigned. The wireless access point 5 can thus in the in the 4 example, manage at least two different Internet or DSL connections. Thus, depending on the DSL access data for the different subnetworks, ie the radio networks of the identifiers SSID1 and SSID2, different user profile parameters are determined by the DSL provider 3 realized.

Das DSL-Modem stellt z. B. bei Internetanfragen vom Laptop 15, also dem Teilnetzwerk SSID1, eine Internetverbindung IN1 über den DSLAM, das ATM-Netzwerk und den BRAS-Server auf. Das DSL-Modem bzw. der WLAN-Access-Point 5 ordnet somit der SSID1 entsprechende Nutzerprofilparameter für die Verwendung durch den AAA-Server an den DSL-Provider 3 bereit. Dieser liefert beispielsweise über eine Steuerung der Server 14 der Webdienstleister 4 und entsprechende Filtereinrichtungen 13 für den eingeschränkten Internetzugang IN1.The DSL modem provides z. B. at Internetan ask from the laptop 15 , ie the subnetwork SSID1, an Internet connection IN1 via the DSLAM, the ATM network and the BRAS server. The DSL modem or the WLAN access point 5 Thus, the SSID1 associates appropriate user profile parameters for use by the AAA server with the DSL provider 3 ready. This provides, for example, via a control of the server 14 the web service provider 4 and corresponding filter devices 13 for limited internet access IN1.

Wird hingegen eine Internetverbindung ausgehend vom Laptop 6, welchem eine SSID2 zugeordnet ist, von dem Access-Point 5 angefragt, kann eine direkte Internetverbindung IN2 von dem DSL-Provider 3 zu den entsprechenden Dienstservern 12, 14 bereitgestellt werden. Bei den jeweiligen Nutzereinrichtungen, also Laptop 6, 15, kann beispielsweise durch eine Priorisierung auf bestimmte WLAN-Verbindungen, welche durch den Service-Set-Identifier SSID oder den Network-Name bezeichnet sind, sichergestellt werden, dass der jeweilige Nutzer entsprechend den zugewiesenen Nutzerprofilparametern eine gefilterte oder ungefilterte Verbindung erhält. Vorzugsweise wird dabei die Priorisierung auf eine entsprechende WLAN-Verbindung durch den Administrator der Notebooks 6, 15 festgelegt, sodass der normale Benutzer die Filterung, welche an die SSID gekoppelt ist, nicht umgehen kann.Will, however, an internet connection from the laptop 6 to which an SSID2 is assigned, from the access point 5 requested, a direct internet connection IN2 from the DSL provider 3 to the appropriate service servers 12 . 14 to be provided. At the respective user facilities, so laptop 6 . 15 For example, by prioritizing certain WLAN connections, which are identified by the service set identifier SSID or the network name, it can be ensured that the respective user receives a filtered or unfiltered connection in accordance with the assigned user profile parameters. Preferably, the prioritization is based on a corresponding WLAN connection by the administrator of the notebooks 6 . 15 so that the normal user can not bypass the filtering that is linked to the SSID.

In der 5 ist eine erweiterte Netzwerkanordnung 120 dargestellt, welche ebenfalls geeignet ist, eine Variante eines Verfahrens zum Filtern von Netzwerkdiensten durchzuführen. Dabei ist eine Provider-Infrastruktur 3 mit einem DSLAM 8, einem ATM-Netzwerk 9, einem BRAS-Server 10 und einem AAA-Server 11 dargestellt. An den DSLAM sind mehrere, beispielsweise über entsprechende Line-Cards des DSLAMs, Netzwerkzugangseinrichtungen bei verschiedenen Nutzern 2, 16 koppelbar.In the 5 is an advanced network arrangement 120 which is also suitable for carrying out a variant of a method for filtering network services. There is a provider infrastructure 3 with a DSLAM 8th , an ATM network 9 , a BRAS server 10 and an AAA server 11 shown. At the DSLAM are several, for example via corresponding line cards of the DSLAM, network access devices at various users 2 . 16 coupled.

Es ist beispielhaft ein erster Nutzerbereich 2 mit einem WLAN-Access-Point 5, zwei Notebooks 6, 15 und einem PC 7 dargestellt. Bei dem zweiten dargestellten Nutzer 16 ist ein WLAN-Access-Point 17, ein Notebook 18 und ein PC 19 vorgesehen. Bei der im folgenden beschriebenen Variante des Verfahrens zum Filtern von Netzwerkdiensten bzw. Webinhalten müssen die jeweiligen Netzwerkzugangseinrichtungen 5, 17 nur jeweils eine einzelne DSL-Verbindung zu der Infrastruktur des Netzwerkproviders 3 verwalten. Es erfolgt keine Zuordnung von Nutzercharakteristika auf DSL-Zugangsparameter beim DSL-Modem 5, 17.It is an example of a first user area 2 with a wireless access point 5 , two notebooks 6 . 15 and a PC 7 shown. In the second illustrated user 16 is a wireless access point 17 , a notebook 18 and a PC 19 intended. In the variant of the method for filtering network services or web contents described below, the respective network access devices must 5 . 17 only one single DSL connection to the infrastructure of the network provider 3 manage. There is no assignment of user characteristics to DSL access parameters in the DSL modem 5 . 17 ,

Es ist vorgesehen, dass virtuelle lokale Netze bzw. VLANs z. B. nach einem IEEE 802.1Q Standard einem jeweiligen Nutzer zugeordnet werden. Es ist damit möglich, für jedes virtuelle LAN anhand der zugeordneten Nutzerprofilparameter eine dezidierte und angepasste Filterung von angefragten Webinhalten vorzunehmen. Auf Providerseite werden somit z. B. durch den AAA-Server die jeweiligen Filterkriterien auf die VLANs zugeordnet. Die Datenpakete, welche unterschiedlichen VLANs zugehörig sind, unterscheiden sich in ihrem VLAN-Tag, das standardisiert Werte zwischen 0 und 4095 in Form von vier Bytes umfassen kann. Die Terminierung der VLANs erfolgt in den jeweiligen DSL-Routern 5, 17, sodass der Nutzer an seinem PC 7, 19 oder Notebook 6, 15, 18 das VLAN-Tagging nicht umgehen kann. Providerseitig terminiert das jeweilige VLAN an dem BRAS, welcher dann in Zusammenspiel mit dem AAA-Server 11 die Steuerung der Filtereinrichtung 13 und entsprechender Server der Webservice-Provider 4 vornimmt.It is envisaged that virtual local networks or VLANs z. B. assigned to a respective user according to an IEEE 802.1Q standard. It is thus possible for each virtual LAN based on the associated user profile parameters to perform a dedicated and customized filtering of requested Web content. On the provider side thus z. For example, the AAA server assigns the respective filter criteria to the VLANs. The data packets that belong to different VLANs differ in their VLAN tag, which can comprise standardized values between 0 and 4095 in the form of four bytes. The termination of the VLANs takes place in the respective DSL routers 5 . 17 so that the user on his pc 7 . 19 or notebook 6 . 15 . 18 VLAN Tagging can not handle. Provider side terminates the respective VLAN at the BRAS, which then in interaction with the AAA server 11 the control of the filter device 13 and corresponding server of the web service provider 4 performs.

Der jeweilige DSL-Router 5, 17 unterscheidet die verschiedenen Nutzer beispielsweise durch die Hardware-Adressen MAC1, MAC2 der an den Router 17 gekoppelten Nutzerendeinrichtungen 18, 19 oder z. B. durch die jeweilige SSID analog dem Vorgehen bezüglich der 4. In der 5 sind beim Nutzer 2 drei verschiedene WLAN-Netze, denen unterschiedliche SSIDs SSID1, SSID2, SSID3 zugeordnet sind, möglich. Gemäß dieser Unterscheidung anhand der Hardwareadresse oder Teilnetzwerkkennung SSID erfolgt eine Zuordnung zu dezidierten unterschiedlichen VLANs. Dies hat den Vorteil, dass durch die Verwendung von VLANs verschiedene Nutzerprofile durch den DSL- Router gleichzeitig unterstützt werden können. Es ist lediglich gegenüber konventionellen Konfigurationen eine Umprogrammierung der DSL-Router 5, 17 hinsichtlich der Unterstützung von VLANs notwendig. Verschiedene Nutzer eines Notebooks können sich beispielsweise durch eine priorisierte Anmeldung über ein bestimmtes Funknetz bzw. die damit verbundene Access-ID zu erkennen geben.The respective DSL router 5 . 17 differentiates the different users, for example, by the hardware addresses MAC1, MAC2 the to the router 17 coupled user terminals 18 . 19 or z. B. by the respective SSID analogous to the procedure regarding the 4 , In the 5 are with the user 2 Three different WLAN networks to which different SSIDs SSID1, SSID2, SSID3 are assigned possible. According to this distinction based on the hardware address or subnetwork identifier SSID, an assignment to dedicated different VLANs takes place. This has the advantage that by using VLANs different user profiles can be supported by the DSL router at the same time. It is merely over conventional configurations a reprogramming of the DSL router 5 . 17 regarding the support of VLANs. Different users of a notebook can, for example, be identified by a prioritized logon via a specific radio network or the associated access ID.

Alternativ zur Realisierung mehrerer VLANs lassen sich auch dezidierte VPN-Verbindungen zwischen den Nutzereinrichtungen, beispielsweise dem Notebook 18 und dem BRAS-Server 10 des Providers 3 aufbauen. Dieses Vorgehen erfordert eine separate Authentifizierung des Nutzers, welcher mit dem Laptop 18 arbeitet. Eine entsprechende VPN-Verbindung ist in der 5 z. B. durch den Pfeil IN3 illustriert. Bei der Realisierung von VPN-Verbindungen wird der jeweilige DSL-Router 17 lediglich zum allgemeinen Verbindungsaufbau verwendet.As an alternative to the realization of multiple VLANs, dedicated VPN connections between the user devices, for example the notebook, can also be used 18 and the BRAS server 10 the provider 3 build up. This procedure requires a separate authentication of the user, which with the laptop 18 is working. A corresponding VPN connection is in the 5 z. B. illustrated by the arrow IN3. In the realization of VPN connections, the respective DSL router 17 used only for general connection establishment.

Alle vorbeschriebenen Maßnahmen zum Filtern von Netz- und insbesondere Webinhalten erfordern keine DSL-Providerspezifische Installation von Software beim Nutzer. Vielmehr können vom Provider selbst die DSL-Zugangseinrichtungen 5, 17 automatisch konfiguriert werden. Es ist möglich, bereits beim DSL-Router die Zuordnung der jeweiligen Teilnetzidentifikationen, z. B. in Abhängigkeit von der Hardware oder SSID-Identifikation vorzunehmen und damit bereits nutzerabhängige Zugangsdaten, welche in diesem Fall Nutzergruppen, entsprechen, dem DSL-Provider übermitteln, oder es werden über VLAN-Tags die Nutzerinformationen und damit die entsprechenden Nutzerprofilparameter für die Filterung in den Datenrahmen der VLANs eingefügt. Auf Providerseite erfolgt dann die entsprechende Abbildung auf die Nutzerprofile und damit die nutzerabhängige Filterung der angefragten Inhalte. Die Abbildung von den DSL-Zugangsparameter und damit mittelbar der Nutzerprofilparameter auf die entsprechende Filterung lässt sich auf hoher Protokollebene durchführen.All measures described above for filtering network and in particular web content do not require any DSL provider-specific installation of software by the user. Rather, from the provider itself, the DSL access facilities 5 . 17 be configured automatically. It is possible already with the DSL router, the assignment of the respective subnetwork identifications, eg. B. depending on the hardware or SSID identification and make user-dependent access data, which in this case correspond to user groups, are transmitted to the DSL provider, or the user information and thus the corresponding user profile parameters for the filtering are inserted into the data frame of the VLANs via VLAN tags. On the provider side, the corresponding mapping then takes place on the user profiles and thus the user-dependent filtering of the requested content. The mapping of the DSL access parameters and thus indirectly the user profile parameters to the corresponding filtering can be carried out on a high protocol level.

Eine Konfiguration des DSL-Routers kann auch lokal durch den jeweiligen Administrator vorgenommen werden, wobei eine Zuordnung von an den DSL-Router koppelbaren Nutzereinrichtungen bzw. Nutzer, welche durch die Hardwareadresse oder die SSID gekennzeichnet werden, auf DSL-Zugangsparameter lokal erfolgt.A Configuration of the DSL router can also be done locally by the respective Administrator to be made, taking an assignment from to the DSL router connectable user devices or users, which by the hardware address or the SSID, on DSL access parameters locally he follows.

In allen Fällen ist es praktisch immer möglich, dass Nutzer mit verschiedenen Nutzerprofilparametern gleichzeitig Webdienste nutzen können, da entweder der DSL-Router das Umschalten zwischen verschiedenen Internet- oder DSL-Verbindungen mit unterschiedlichen Zugangsparametern gewährleistet oder über die einzelnen VLANs parallele Netzwerkverbindungen innerhalb der einzelnen VLANs möglich sind. Das einem Nutzer zugewiesene VLAN ist im Wesentlichen durch die VLAN-ID in den Tags der VLAN-Datenrahmen festgelegt und es erfolgt eine Abbildung von Teilnetzidentifikation auf VLAN-Identifikation. Häufig können Netzwerkkarten durch geeignete Konfiguration VLAN-Datenrahmen senden, empfangen und verwalten. Es lassen sich damit pro DSL-Zugang bzw. pro DSL-Account mehrere VLANs einrichten, welche der DSL-Provider an verschiedenen Stellen seines Netzes terminieren kann. Eine Zuordnung der Nutzereinrichtungen auf die jeweiligen VLANs kann auch lokal durch eine Konfiguration des jeweiligen DSL-Routers vorgenommen werden.In all cases it is practically always possible that users with different user profile parameters simultaneously Can use web services, either the DSL router switching between different Internet or DSL connections guaranteed with different access parameters or via the individual VLANs have parallel network connections within each one VLANs possible are. The VLAN assigned to a user is essentially through the VLAN ID is set in the tags of the VLAN data frames and it takes place an illustration of subnet identification on VLAN identification. Often, network cards send and receive VLAN data frames through appropriate configuration and manage. It can thus be per DSL access or per DSL account set up several VLANs, which the DSL provider at different Terminating his network can terminate. An assignment of the user devices On the respective VLANs can also locally through a configuration the respective DSL router be made.

Die ebenfalls dargestellte Möglichkeit, VPNs zu verwenden, kann auch im Rückgriff auf Verfahren zum RLA (Remote LAN Access) realisiert werden. Dies hat den Vorteil, dass unabhängig von der verwendeten DSL-Zugangseinrichtung Filterungen dem jeweiligen Nutzer zugeordnet werden. Die VPN-Verbindung erfolgt dabei im Wesentlichen zwischen dem Nutzer bzw. der Nutzereinrichtung, wie beispielsweise einem Notebook und dem BRAS-Server.The also shown possibility VPNs can also be used in the process of accessing the RLA (Remote LAN Access) can be realized. This has the advantage that independently from the used DSL access device filtering the respective Be assigned to users. The VPN connection essentially takes place between the user or the user device, such as a notebook and the BRAS server.

Obwohl die vorliegende Erfindung anhand bevorzugter Ausführungsbeispiele näher erläutert wurde, ist sie nicht darauf beschränkt, sondern vielfältig modifizierbar. Die dargestell ten Netzwerkdienste, wie insbesondere Webfilter, können auch andere Dienste umfassen. Ferner ist die Anwendung der Erfindung nicht auf das Internet beschränkt, sondern sie kann auch in anderen Netzwerken, wie beispielsweise GSM-, UMTS- oder bei proprietären Netzwerkprotokollen eingesetzt werden.Even though the present invention with reference to preferred embodiments was explained in more detail, is she not limited to but diverse modifiable. The illustrated network services, in particular Web filters, can also include other services. Furthermore, the application of the invention not limited to the internet, but it can also be used in other networks, such as GSM, UMTS or proprietary Network protocols are used.

In der Anmeldung sind die Begriffe "DSL-Modem", "DSL-Router", "WLAN-Zugangseinrichtung", "WLAN-Router" und "Modem" im Wesentlichen synonym verwendet. Bei Einsatz der Erfindung in anderen Netzwerkarchitekturen ist ein jeweiliges DSL-Modem beispielhaft als Netzwerkzugangseinrichtung beim Nutzer zu verstehen.In The terms "DSL modem", "DSL router", "WLAN access device", "WLAN router" and "modem" are essentially the terms of the application used synonymously. When using the invention in other network architectures For example, a respective DSL modem is exemplified as a network access device to understand the user.

Claims

Method for filtering network services in a network arrangement ( 1 ) with: - one or more user devices ( 6 . 7 ); At least one network access device ( 5 ), to which user equipment ( 6 . 7 ) can be coupled; and with - network facilities ( 8th . 10 . 11 ) of a network provider ( 3 ) which provides a network connection from the network access device ( 5 ) to a network service server ( 12 ) provide; wherein filtering by a respective user device ( 7 ) from a network service server ( 12 ) requested by the network facilities ( 8th . 10 . 11 ) of the network service provider ( 3 ) as a function of user profile parameters (NPP) which have been assigned to a subnet identification (TNID), whereby a respective user ( 2 ) is assigned a subnet identification (TNID) and by the network access device ( 5 ) to which the user device ( 7 ), the subnet identification (TNID) to at least one network device ( 8th . 10 . 11 ) of the network service provider ( 3 ) is transmitted; with a respective user ( 2 ) and / or a user device ( 6 . 7 ) is assigned a VLAN, in particular according to an IEEE 802.1Q standard, and the subnet identification corresponds to a respective VLAN identification.

The method of claim 1, wherein the following method steps are performed: - Assigning a user ( 2 ) to a subnet identification (TNID); Associating user profile parameters (NPP) with a subnetwork identification (TNID); and - transmitting the subnetwork identification (TNID) from the user equipment ( 7 ) to the network access device ( 5 ) when requesting a network service of a network service server ( 12 ), which is sent to the network devices ( 8th . 10 . 11 ) of the network service provider ( 3 ) is coupled.

Method according to claim 1 or 2, wherein the following method steps are further carried out: Transfer of the subnetwork identification (TNID) from the network access device ( 5 ) to one of the network devices ( 8th ) of the network service provider ( 3 ); Comparing the user profile parameters (NPP) assigned to the subnetwork identification (TNID) with one or more of the network devices ( 8th . 10 . 11 ) of the network service provider ( 3 ); and - establishing a network connection (IN1) between the user device ( 7 ) and the network service server ( 12 ) providing the requested network service by the network devices ( 8th . 9 . 10 . 11 ) of the network service provider ( 3 ) or blocking the network connection (IN2) to the network service server in dependence on the user profile parameters (NPP).

Method according to one of claims 1-3, wherein a respective Set of User Profile Parameters (NPP) Blacklists and / or Whitelists assigned by network services and / or network service servers.

Method according to one of the preceding claims, wherein the subnetwork identification of a hardware address (MAC1, MAC2) the user device, in particular a MAC address corresponds and the hardware address (MAC1, MAC2) associated with the user profile parameters become.

Method according to one of the preceding claims, wherein the subnetwork identification for a subnetwork provided by the network access device, in particular an SSID identification (SSID1, SSID2), wherein the SSID identification associated with the user profile parameters become.

Method according to one of the preceding claims, wherein the VLAN is connected to the network access device ( 5 ) at which the user device ( 6 . 7 ) and an assignment of a user ( 2 ) to a VLAN in response to a hardware address (MAC1, MAC2) and / or an SSID identification (SSID1, SSID2).

Method according to one of the preceding claims, wherein between a respective user device ( 6 . 7 ) and a network device ( 10 ) of the network service provider ( 3 ), in particular a BRAS facility ( 10 ), a VPN network connection is established and a corresponding VPN identification is used as the subnetwork identification.

The method of claim 8, wherein the network device ( 10 ) of the network service provider ( 3 ), in particular the BRAS facility ( 10 ), limited access to network service servers ( 12 ) is allowed, if by the user device ( 6 . 7 ) and / or the network access device ( 5 ) no VPN connection is established.

Method according to one of the preceding claims, wherein the user device ( 6 . 7 ) has a PC, notebook, PDA and / or a mobile phone.

Method according to one of the preceding claims, wherein the network access device ( 5 ) has a DSL modem, a DSL router, a wireless LAN access device and / or a wireless router.

Method according to one of the preceding claims, wherein the network devices ( 8th . 10 . 11 ) of the network service provider network switching devices, and in particular at least one DSL access multiplexer ( 8th ), a BRAS facility ( 10 ) and / or an AAA device.

Method according to one of the preceding claims, wherein the network arrangement ( 1 ) is at least part of an ATM network, and in particular is coupled to the Internet.

Network arrangement ( 1 ) with at least one user device ( 6 . 7 ), at least one network access device ( 5 ) to which the user equipment ( 6 . 7 ) and with network devices ( 8th . 10 . 11 ) which provides a network connection from the network access device ( 5 ) to a network service server ( 12 ), the user device ( 6 . 7 ), Network access device ( 5 ) and network facilities ( 8th . 10 . 11 ) are configured such that a method according to any one of the preceding claims 1-13 is performed.

Computer program product, which carries out a Method according to one of the claims 1-13 up programmatic user, network access and / or network facilities causes.