DE10043258A1

DE10043258A1 - Dynamic access control method for internet services assigns temporary IP address to client with access withdrawn to IP address withdrawn after elapsed interval

Info

Publication number: DE10043258A1
Application number: DE10043258A
Authority: DE
Inventors: Dieter Rueffler
Original assignee: Ip Control I G GmbH
Current assignee: Ip Control I G GmbH
Priority date: 2000-08-25
Filing date: 2000-08-25
Publication date: 2002-03-07

Abstract

The access control method has the logging on of the client to a content server or a session manager registered, with at least one IP address assigned to the client, the access to the IP address withdrawn after a predetermined time has elapsed and/or when a defined condition is indicated. Also included are Independent claims for the following; (a) computer software for dynamic access control for internet services; (b) a dynamic access control device for internet services

Description

Die Erfindung befasst sich mit einem Verfahren zur zeit-, vo lumen- und/oder ereignisorientierten Fakturierung von Inter netdiensten.The invention relates to a method for time, vo Lumen and / or event-oriented billing of Inter netdiensten.

Bisher findet die Abrechnung von Internetdienstleistungen wie in Fig. 8 schematisch dargestellt statt. Ein erster Client C1 und ein zweiter Client C2, die hinter einer gemeinsamen Firewall FW liegen, treten mit einem Content Server S in Kon takt. Es sind vier Schichten des OSI-Referenzmodells darge stellt. In der Sicherungsschicht A, die der Schicht 2 des OSI-Referenzmodells entspricht, besteht keine Verbindung zwi schen den Clients C1, C2 und Content Server S. Der Schicht 3 im OSI-Referenzmodell entspricht die Netzwerkschicht B, der Schicht 4 die Transportschicht C und der Schicht 7 die Anwen dungsschicht D. In der Netzwerkschicht B besteht nur eine einzige Verbindung 1 zwischen der Firewall FW und dem Content Server S. Dagegen besteht in den beiden oberen Schichten C, D jeweils eine Verbindung 2a, 2b und 3a, 3b zwischen den einzel nen Clients C1, C2 und dem Content Server S. Die Bezahlung erfolgt indirekt. Dazu wird beispielsweise beim Verbindungs aufbau zwischen dem ersten Client C1 und dem Content Server S auf Anfrage die Kreditkartennummer des ersten Client C1 mit geteilt. Dieser weist einen ersten Payment Server PS über ei ne Verbindung 4 an, die Zahlung vorzunehmen. Die Abrechnung erfolgt über den ersten Payment Server PS, hier ein Kredit karteninstitut des ersten Clients C1. Dieses steht jedoch nicht in Verbindung mit dem Content Server S. Eine Vorabbe zahlung der Dienste des Content Servers S durch den ersten Client C1 erfolgt nicht, sondern ihm wird nach Abschluss der Session sein Kreditkartenkonto belastet. Eine andere Möglich keit ist es, die Bezahlung über die Telefonrechnung, wie bspw. für den zweiten Client C2 gezeigt, vorzunehmen. Der zweite Client C2 steht dazu mit einem zweiten Payment Server PS über eine Verbindung 5 in Kontakt. Dabei kann es jedoch Probleme für den Betreiber des Content Server S geben, wenn der zweite Client C2 die Kosten für die Session nicht bezah len möchte.So far, billing of Internet services has been carried out as shown schematically in FIG. 8. A first client C1 and a second client C2, which lie behind a common firewall FW, come into contact with a content server S. Four layers of the OSI reference model are shown. In the data link layer A, which corresponds to layer 2 of the OSI reference model, there is no connection between clients C1, C2 and content server S. Layer 3 in the OSI reference model corresponds to network layer B, layer 4 to transport layer C and Layer 7 the application layer D. In the network layer B there is only a single connection 1 between the firewall FW and the content server S. In contrast, in the two upper layers C, D there is a connection 2 a, 2 b and 3 a, 3 b between the individual clients C1, C2 and the content server S. Payment is made indirectly. For this purpose, for example, when establishing a connection between the first client C1 and the content server S, the credit card number of the first client C1 is shared on request. This instructs a first payment server PS via a connection 4 to make the payment. Billing takes place via the first payment server PS, here a credit card institute of the first client C1. However, this is not in connection with the content server S. The services of the content server S are not paid in advance by the first client C1, but are charged to his credit card account after the session has ended. Another possibility is to make the payment via the telephone bill, as shown, for example, for the second client C2. For this purpose, the second client C2 is in contact with a second payment server PS via a connection 5 . However, there may be problems for the operator of the content server S if the second client C2 does not want to pay the costs for the session.

Die Aufgabe der Erfindung ist es, ein Verfahren zur Verfügung zu stellen, mit dem eine Fakturierung von Internetdiensten erfolgt, nachdem eine Bezahlung des Client an den Betreiber eines Content Servers erfolgt ist.The object of the invention is to provide a method to provide with the billing of Internet services takes place after a payment from the client to the operator of a content server.

Die Aufgabe wird durch ein Verfahren mit den Merkmalen des Anspruchs 1 gelöst. Vorteilhafte Weiterbildungen der Erfin dung sind Gegenstand der Unteransprüche.The task is accomplished through a process with the characteristics of Claim 1 solved. Advantageous further training of the Erfin are subject of the subclaims.

Erfindungsgemäß sendet ein Client einen Verbindungsaufbau wunsch aus einem Internet Protocoll (IP) basierten Kommunika tionsnetz. Der Verbindungsaufbau findet nicht direkt mit ei nem Content Server, dessen Dienste in Anspruch genommen wer den sollen, statt, sondern werden von einem Session Manager entgegengenommen. Dieser bietet dem Client ein Zahlungsmittel zur Abwicklung durch einen ersten Payment Server an. Nachdem die Bezahlung des vom Client gewünschten Internetdienstes ge währleistet ist, weist der Session Manager einen Access Rou ter Manager an, eine dynamische Konfiguration eines Datenpfa des oder Zugangsrechts auf einem den Datenpfad kontrollieren den Access Router aufzubauen, der den Zugang des Client zu dem Content Server ermöglicht. Es findet eine Übertragung der öffentlichen IP-Adresse des Content Server auf IP-Adressen zur Verwaltung durch den Access Router statt. Am Anfang einer Session wird eine automatische Aktivierung einer Umleitung und des damit verbundenen Datenpfades vorgenommen, so dass der Client durch den Access Router auf den Content Server zu greifen kann. Die Domain-Komponente eines Content Service URLs wird durch den Session Manager auf die für die Umleitung reservierte IP-Adresse des stellvertretenden Access Router abgebildet. Durch die Aufrechterhaltung der Umleitung und des damit verbundenen Datenpfades während der Laufzeit einer Ses sion kann der Client durch den Access Router auf den Content Server so lange zugreifen, wie ein autorisiertes und gedeck tes Budget für ein Ereignis, eine Zeit- und/oder Volumenein heit existiert. Um zu verhindern, dass der Client die Dienste des Content Servers in einem Maß in Anpruch nimmt, welches über das autorisierte und gedeckte Budget hinausgeht, wird die Umleitung und der damit verbundene Datenpfad am Ende der Session automatisch deaktiviert, so dass der Client nicht weiter durch den Access Router auf den Content Server zugrei fen kann. Durch das vorgenannte erfindungsgemäße Verfahren ist es einem Betreiber eines Content Servers möglich, miss bräuchliche Zugriffe auf diesen Content Server zu vermeiden. Ein Zugriff auf den Content Server ist nur während einer vor ab bezahlten Session möglich, wobei ein Missbrauch durch den Aufbau einer Umleitung und des damit verbundenen Datenpfades zu Beginn der vorab bezahlten Session und deren Abbau am Ende der Session erreicht wird, da der Client den Content Server durch den Access Router hindurch nicht mehr erreichen kann.According to the invention, a client sends a connection request from an Internet Protocol (IP) based communication tion network. The connection establishment does not take place directly with ei a content server whose services are being used should, instead of, but be done by a session manager accepted. This offers the client a means of payment for processing by a first payment server. After this the payment of the internet service requested by the client is guaranteed, the session manager assigns an Access Rou ter Manager, a dynamic configuration of a data path or right of access to control the data path to set up the access router that the client's access to enables the content server. There is a transfer of the public IP address of the content server to IP addresses to be managed by the Access Router. In the beginning one Session will automatically activate redirection and the associated data path, so that the client through the access router to the content server can grab. The domain component of a content service URLs are redirected by the session manager to those for redirection Reserved IP address of the representative access router displayed. By maintaining the diversion and the associated data path during the runtime of a Ses The client can access the content through the access router Access servers as long as an authorized and covered place budget for an event, time and / or volume unit exists. To prevent the client from using the services of the content server to an extent which goes beyond the authorized and covered budget the redirection and the associated data path at the end of the Session automatically disabled so that the client does not continue to access the content server through the access router can. Through the aforementioned method according to the invention is it possible for an operator of a content server to miss Avoid common access to this content server. Access to the content server is only possible during one possible from paid session, whereby misuse by the Establishing a redirection and the associated data path at the beginning of the prepaid session and its dismantling at the end the session is reached because the client is the content server can no longer reach through the access router.

Vorteilhaft ist es, wenn der Session Manager vor Beendigung der Verbindung den Client fragt, ob er die Session verlängern möchte und ihn auffordert, dafür zu bezahlen. Dadurch ist ge währleistet, dass eine Session, die beispielsweise länger dauert als vorab bezahlt, einfach verlängert werden kann, oh ne dass die Verbindung zwischen Client und Content Server un terbrochen wird. Wenn auf Anfrage des Session Managers der Client für die Verlängerung bezahlt hat, so wird der Daten pfad durch den Access Router, ohne die Umleitung zum Content Server zu ändern, aufrechterhalten.It is advantageous if the session manager before termination the connection asks the client whether to extend the session want and ask him to pay for it. This is ge ensures that a session is longer, for example takes as paid in advance, can easily be extended, oh ne that the connection between client and content server un is broken. If at the request of the session manager Client has paid for the renewal, so will the data path through the access router without redirecting to the content Change server, maintain.

Zur Bezahlung ist es möglich, vorausgezahlte Geldinstrumente wie eine GeldKarte oder Calling Card zu verwenden. Ebenso kann die Bezahlung durch kreditgebende Instrumente wie Kre ditkarte oder Rechnungssteller wie Telefon, Energie- oder Bankkonto Verwendung finden. For payment it is possible to use prepaid money instruments how to use a money card or calling card. As well payment can be made through lending instruments such as Kre ditkarte or biller such as telephone, energy or Find a bank account.

Weiterhin ist es vorteilhaft, wenn zwischen dem Access Router und dem Content Server ein Server Proxy angeordnet ist, der mehrere Ethernet-Karten aufweist. Dadurch wird vermieden, dass im Content Server eine ungewollte Umkonfigurierung er folgen kann. Dies ist eine Maßnahme, die die Kundenfreund lichkeit des Verfahrens erhöht.It is also advantageous if between the access router and a server proxy is arranged on the content server, which has several ethernet cards. This will avoid that there is an unwanted reconfiguration in the content server can follow. This is a measure that the customer friend the process is increased.

Weitere Vorteile und Einzelheiten der Erfindung werden anhand der Beschreibung eines Ausführungsbeispiels zu folgenden Zeichnungen ausgeführt. Es zeigen:Further advantages and details of the invention will become apparent from the description of an embodiment to the following Drawings executed. Show it:

Fig. 1 Ein Diagramm, das die einzelnen Zustände einer Ses sion, die durch einen Session Manager gesteuert wird, zeigt, Fig. 1 A diagram sion each state of a Ses, which is controlled by a Session Manager shows

Fig. 2 eine schematische Darstellung eines Systems in ei nem Zustand, in dem zwischen Client und Content Server keine Verbindung besteht, Fig. 2 is a schematic representation of a system in egg nem state in which exists between the client and the content server is no connection,

Fig. 3 einen Zustand des Systems aus Fig. 2, in dem eine Authorisierung des Client von einem Session Manager überprüft wird, Fig. 3 shows a state of the system of FIG. 2, where an authorization of the client is authenticated by a Session Manager

Fig. 4 einen Zustand des Systems der Fig. 2 und 3, in dem zwischen dem Client und Content Server eine Verbindung besteht, Fig. 4 shows a state of the system of FIGS. 2 and 3, in which there is a connection between the client and the content server,

Fig. 5 einen Zustand des Systems der Fig. 2 bis 4, in dem zusätzlich eine Verbindung zwischen dem Content Server und einem weiteren Client aufgebaut wird, Fig. 5 shows a state of the system of FIGS. 2 to 4 in which in addition a connection between the content server and another client is set up,

Fig. 6 einen Zustand des Systems der Fig. 2 bis 5, in dem der Content Server in einem Wait-Status ist, wobei kein Datentransfer vom Content Server zu ei nem der Clients möglich ist, Wherein no data transfer from the content server to the clients is possible ei nem Fig. 6 shows a state of the system of FIG. 2 to 5, in which the content server is in a wait status,

Fig. 7 einen Zustand des Systems der Fig. 2 bis 6, in dem eine Authorisierung eines der Clients erfolgt, nachdem dieser einen ersten Expire erhalten hat, und Fig. 7 shows a state of the system of FIG. 2 to 6 in which is carried an authorization of the clients after the latter has received a first Expire, and

Fig. 8 eine schematische Darstellung eines bisher verwen deten Bezahlungsverfahrens. Fig. 8 is a schematic representation of a previously used payment method.

Der Ablauf eines Verfahrens zur zeit-, volumen- und/oder er eignisorientierten Fakturierung von Internetdiensten wird schrittweise anhand der Zustände der Session in den Fig. 2 bis 7 in Verbindung mit dem Diagramm der Fig. 1 beschrieben.The sequence of a method for time, volume and / or event-oriented billing of Internet services is described step by step using the state of the session in FIGS. 2 to 7 in conjunction with the diagram in FIG. 1.

In Fig. 2 ist der Free-Zustand I (Fig. 1) des Content Serv ers S gezeigt. Es sind dabei die vier Schichten A-D des OSI- Referenzmodells gezeigt, die bei der Diskussion des Standes der Technik (Fig. 8) schon beschrieben wurden. In der Netz werkschicht B sind die IP-Adressen angelegt. In der darüber dargestellten Transportschicht C werden zwei verschiedene Übertragungsprotokolle verwendet. Zum einen das Transmission Control Protocol (TCP) und das User Datagram Protocol (UDP). In der Anwendungsschicht D wird eine Vielzahl von Protokollen verwendet, wobei die häufigsten das Hypertext Transport Pro tocol (HTTP) und das File Transfer Protocol (FTP) verwenden. Ein erster und ein zweiter Client C1, C2, mehrere Konsumenten aus einem einzigen Intranet, sind hinter einer Firewall FW verborgen und haben jeweils eine Verbindung 6a, 6b zu ihr. Der zweite Client C2 versucht über einen ersten Link 7a durch die Firewall FW einen Content Server S zu erreichen. Er ge langt jedoch nur zu einem Access Router AR, hinter dem der Content Server S verborgen ist. Zwischen dem Access Router AR und dem Content Server S ist ein Server Proxy SP angeordnet, in dem mehrere Ethernet-Karten enthalten sind. Diese nehmen stellvertretend für den Content Server S Verbindungsaufbau wünsche entgegen. Der Content Server S ist nicht direkt er reichbar. Diese Maßnahme schützt den Inhalt vor unauthori sierten Zugriffen sowie den Content Server S vor unerfahrenem Personal. Der Access Router AR wird von einem Access Router Manager ARM gesteuert. Dieser erhält seine Weisungen von ei nem mit ihm verbundenen Session Manager SM. Der Session Mana ger SM ist mit einem Payment Server PS verbunden. Der erste Link 7a ist ein Verbindungsaufbauwunsch, der vom Session Ma nager SM entgegengenommen wird. Dies entspricht einer Get- Anfrage II in Fig. 1. In der Netzwerkschicht B besteht zwi schen der Firewall FW und dem Session Manager SM genau eine Verbindung 8.The free state I ( FIG. 1) of the content server S is shown in FIG. 2. The four layers AD of the OSI reference model are shown which have already been described in the discussion of the prior art ( FIG. 8). The IP addresses are created in network layer B. Two different transmission protocols are used in the transport layer C shown above. Firstly, the Transmission Control Protocol (TCP) and the User Datagram Protocol (UDP). A large number of protocols are used in application layer D, the most common using the Hypertext Transport Protocol (HTTP) and the File Transfer Protocol (FTP). A first and a second client C1, C2, several consumers from a single intranet, are hidden behind a firewall FW and each have a connection 6 a, 6 b to it. The second client C2 tries to reach a content server S via a first link 7a through the firewall FW. However, it only reaches an access router AR, behind which the content server S is hidden. A server proxy SP is arranged between the access router AR and the content server S and contains several Ethernet cards. These accept connections on behalf of the Content Server S. The content server S cannot be reached directly. This measure protects the content from unauthorized access and the content server S from inexperienced personnel. The Access Router AR is controlled by an Access Router Manager ARM. He receives his instructions from a session manager SM connected to him. The session manager SM is connected to a payment server PS. The first link 7 a is a connection establishment request that is accepted by the session manager SM. This corresponds to a get request II in FIG. 1. In network layer B, there is exactly one connection 8 between firewall FW and session manager SM.

Der Content Server S geht dann von seinem Free-Zustand I ( Fig. 1) in seinen Wait-Zustand III (Fig. 1) über, während zwischen dem Session Manager SM und dem zweiten Client C2 ei ne Authorisierungsverbindung 9a in der Transportschicht C und der Anwendungsschicht D aufgebaut wird. Dies ist in Fig. 3 dargestellt, wobei der Session Manager SM eine Überprüfung der Authorisierung der Bezahlung über den Payment Server PS vornimmt. Dazu baut er eine Verbindung 10 in den Schichten B, C, D mit dem Payment Server PS auf. Beispielsweise kann es sich bei der Bezahlung um eine Geldkarte, eine Calling Card, eine Kreditkarte oder Rechnungsstellung über die Telefon- oder Energierechnung sowie ein Bankkonto handeln. Zwischen Session Manager SM und Access Router Manager ARM wird eine Verbindung 12 aufgebaut, über die der Session Manager SM dem Access Router Manager ARM Weisungen hinsichtlich der Steue rung des Access Router AR geben kann.The content server S then passes from its free state I (Fig. 1) in its wait state III (Fig. 1), while ne between the session manager SM and the second client C2 ei Authorisierungsverbindung 9 a in the transport layer C and the application layer D is built up. This is shown in FIG. 3, the session manager SM checking the authorization of the payment via the payment server PS. For this purpose, he establishes a connection 10 in layers B, C, D with the payment server PS. For example, the payment can be a money card, a calling card, a credit card or invoicing via the telephone or energy bills, and a bank account. A connection 12 is established between session manager SM and access router manager ARM, via which the session manager SM can give the access router manager ARM instructions regarding the control of the access router AR.

Sobald der Pay-Vorgang IV (Fig. 1) durch den Session Manager SM festgestellt wurde, geht der Content Server S in einen Busy-Zustand V (Fig. 1) über. Dies ist in Fig. 4 darge stellt. Die Authorisierungsverbindung 9a, 10 (Fig. 3) be steht zu diesem Zeitpunkt schon nicht mehr, da diese nur zur Überprüfung benötigt wird, ob der zweite Client C2 für den Zugriff auf den Content Server S bezahlt hat. Der Session Ma nager SM hat den Access Router Manager ARM über die Verbin dung 12 angewiesen, eine dynamische Konfiguration eines Da tenpfades 13 auf dem Access Router AR aufzubauen. Somit wird dem zweiten Client C2 der Zugang zum Content Server S ermög licht. Dies geschieht durch eine Übertragung der öffentlichen IP-Adresse des Content Server S auf IP-Adressen zur Verwal tung durch den Access Router AR sowie eine automatische Akti vierung einer Umleitung 14 und des damit verbundenen Daten pfades 13 am Anfang der Session. Dabei führt der Datenpfad 13 in der Netzwerkschicht B über eine Umleitung 14, wobei ein zweiter Link 7b zwischen der IP-Adresse zur Verwaltung der Session durch den Access Router AR und dem Server Proxy SP, sowie ein dritter Link 7c zwischen dem Server Proxy SP und der nichtöffentlichen IP-Adresse des Content Server S aufge baut wird. Außerdem ist eine Verbindung 15 zwischen zweitem Client C2 und Content Server S über den Server Proxy SP in der Transportschicht C und in der Anwendungsschicht D er folgt. Über die Verbindungen 13, 15 läuft der Datentransfer während der Session ab.As soon as the payment process IV ( FIG. 1) has been determined by the session manager SM, the content server S changes to a busy state V ( FIG. 1). This is shown in Fig. 4 Darge. The authorization connection 9 a, 10 ( FIG. 3) no longer exists at this point in time, since this is only required to check whether the second client C2 has paid for access to the content server S. The session manager SM has instructed the access router manager ARM via the connection 12 to set up a dynamic configuration of a data path 13 on the access router AR. Thus, the second client C2 access to the content server S is made light. This is done by transferring the public IP address of the content server S to IP addresses for management by the access router AR and automatically activating redirection 14 and the associated data path 13 at the beginning of the session. The data path 13 in the network layer B leads through a redirection 14 , a second link 7 b between the IP address for managing the session by the access router AR and the server proxy SP, and a third link 7 c between the server proxy SP and the non-public IP address of the content server S is built. In addition, a connection 15 between the second client C2 and the content server S via the server proxy SP in the transport layer C and in the application layer D follows. The data transfer takes place during the session via the connections 13 , 15 .

In einer vorab bestimmbaren Zeit vor Ablauf der Session, bei spielsweise 60 Sekunden, erfolgt vom Session Manager SM eine Pay-Nachfrage VI (Fig. 1) an den zweiten Client C2. Der zweite Client C2 hat dann die Möglichkeit, die Session zu verlängern. Erteilt er einen Auftrag zur Verlängerung, so überprüft der Session Manager SM über die Verbindung 10 mit dem Payment Server PS, ob eine Authorisierung vorliegt. Dabei muss jedoch nicht zwingend das gleiche Zahlungsinstrument wie beim ersten Bezahlen der Session verwendet werden. Es ist je des andere, vom Payment Server PS angebotene Paymentsystem verwendbar. Nach einer Verlängerung der Session bleibt der Content Server S so lange im Busy-Zustand V (Fig. 1), bis diese Session ausläuft, ohne durch ein weiteres Nachzahlen des zweiten Clients C2 verlängert zu werden.In a predetermined time before the end of the session, for example 60 seconds, the session manager SM makes a pay request VI ( FIG. 1) to the second client C2. The second client C2 then has the option of extending the session. If he issues an order for extension, the session manager SM checks via connection 10 with the payment server PS whether authorization is present. However, the same payment instrument as when you first paid for the session does not necessarily have to be used. The other payment system offered by the payment server PS can be used. After the session has been extended, the content server S remains in the busy state V ( FIG. 1) until this session expires without being extended by another subsequent payment by the second client C2.

In Fig. 5 wird gezeigt, wie ein zusätzliche Verbindung zwi schen dem ersten Client C1 und dem Content Server S abläuft, wobei gleichzeitig noch die Verbindung des zweiten Client C2 aktiv ist. Prinzipiell erfolgt der Verbindungsaufbau wie der jenige des zweiten Client C2 mit dem Content Server S (siehe Fig. 2 und 3). Der Verbindungsaufbauwunsch würde über die Verbindung 8 dem Session Manager SM bekannt gemacht. Danach wurde eine Authorisierungsverbindung 9b aufgebaut. Die Autho risierung erfolgt hier ebenfalls über die Verbindung 10 mit dem Payment Server PS, der ein zweites Paymentsystem zur Ver fügung stellt. Ist die Authorisierung erfolgreich abgeschlos sen, so wird ein zweiter Datenpfad 17 in der Transportschicht B über den Access Router AR und den Server Proxy SP zum Con tent Server S aufgebaut. Der Aufbau der Verbindung 18 in den beiden Schichten C, D erfolgt wie oben beschrieben beim zwei ten Client C2. Das Ergebnis ist in Fig. 6 dargestellt. Die zur Überprüfung der Authorisierung benötigten Verbindungen 9b, 10 werden sofort wieder abgebaut.In Fig. 5 it is shown how an additional connection Zvi rule the first client C1 and the content server S runs, yet the connection of the second client C2 being active simultaneously. In principle, the connection is established like that of the second client C2 with the content server S (see FIGS. 2 and 3). The connection establishment request would be made known to session manager SM via connection 8 . Thereafter, a Authorisierungsverbindung was built b. 9 The authorization is also carried out here via the connection 10 with the payment server PS, which provides a second payment system. If the authorization is successfully completed, a second data path 17 is established in the transport layer B via the access router AR and the server proxy SP to the content server S. The connection 18 is established in the two layers C, D as described above for the second client C2. The result is shown in FIG. 6. The connections 9 b, 10 required for checking the authorization are immediately removed again.

Verlängert der zweite Client C2 die Session nicht, so kommt es zu einem ersten Expire VII (Fig. 1) und der Content Ser ver S geht in seinen in Fig. 6 dargestellten Wait-Zustand III (Fig. 1) über. Dabei bleibt der erste Link 7a, der je doch jetzt nur noch Teil des zweiten Datenpfades 17 ist, von der Firewall FW zum Access Router AR aktiv. Jedoch wird der zweite und dritte Link 7b, 7c zwischen Access Router AR und Server Proxy SP bzw. zwischen Server Proxy SP und Content Server S fallengelassen, was durch die Gitterstruktur der fallengelassenen Links 7b, 7c zum Ausdruck gebracht werden soll. Außerdem findet ein Timeout der Verbindungen 15 in der Transportschicht C und in der Anwendungsschicht D statt, was durch die Gitterstruktur dargestellt ist. Die Verbindung 8 zwischen Firewall FW und Session Manager SM bleibt weiterhin bestehen. Die Daten der fallengelassenen Links 7b, 7c werden während dieser Zeit vom Session Manager SM gespeichert.If the second client C2 does not extend the session, there is a first expire VII ( FIG. 1) and the content server S changes to its wait state III ( FIG. 1) shown in FIG. 6. The first link 7 a, which is now only part of the second data path 17 , remains active from the firewall FW to the access router AR. However, the second and third links 7 b, 7 c between the access router AR and server proxy SP or between server proxy SP and content server S are dropped, which is to be expressed by the lattice structure of the dropped links 7 b, 7 c. In addition, the connections 15 time out in the transport layer C and in the application layer D, which is represented by the lattice structure. The connection 8 between the firewall FW and Session Manager SM continues to exist. The data of the dropped links 7 b, 7 c are stored by the session manager SM during this time.

Falls der zweite Client C2 einen Pay-Vorgang IV (Fig. 1) während dieses Zustandes vornimmt, nimmt der Session Manager SM wieder die oben beschriebene Zahlungsauthorisierung vor. Dies ist in Fig. 7 dargestellt. Wenn die Zahlung authori siert ist, gibt er dem Access Router Manager ARM die Weisung, den ursprünglichen Pfad 13 über die Umleitung 14 im Access Router AR wieder zu installieren. Dadurch wird die Verbindung zwischen zweitem Client C2 und Content Server S wieder in den Busy-Zustand V (Fig. 1), wie während der vorangehenden Ses sion (Fig. 4), zurückversetzt. Der Datenaustausch kann dann weitergehen.If the second client C2 carries out a pay transaction IV ( FIG. 1) during this state, the session manager SM again carries out the payment authorization described above. This is shown in FIG. 7. If the payment is authorized, it gives the Access Router Manager ARM the instructions to reinstall the original path 13 via the redirection 14 in the Access Router AR. As a result, the connection between the second client C2 and the content server S is returned to the busy state V ( FIG. 1), as during the previous session ( FIG. 4). The data exchange can then continue.

Falls nach einer gewissen, vorab bestimmbaren Zeit kein Pay- Vorgang IV (Fig. 1) erfolgt, löscht der Session Manager SM die Daten für die fallengelassenen Links 7b, 7c zwischen Con tent Server S und Access Router AR für die vorangehende Ses sion zwischen zweiten Client C2 und Content Server S. Dies entspricht dem zweiten Expire VIII in Fig. 1. Liegt dieser Fall für beide Sessions vor, sowohl des ersten Client C1 als auch des zeiten Client C2, ist der Free-Zustand I (Fig. 1) des Content Server S wieder erreicht. Somit ergibt sich die Ausgangssituation der Fig. 2.If after a certain predetermined time no pay transaction IV ( Fig. 1) takes place, the session manager SM deletes the data for the dropped links 7 b, 7 c between content server S and access router AR for the previous session between the second client C2 and the content server S. This corresponds to the second Expire VIII in FIG. 1. If this is the case for both sessions, both the first client C1 and the second client C2, the free state is I ( FIG. 1 ) of the content server S is reached again. The starting situation of FIG. 2 thus results.

Prinzipiell ist es auch möglich, dass noch mehr Sessions gleichzeitig ablaufen. Hierbei ist es unerheblich, ob die Clients aus einem einzigen Intranet stammen, wie oben be schrieben, oder aus verschiedenen Intranets bzw. einzelnen User sind. Der Session Manager weist den Access Router Mana ger für jeden einzelnen Client an, einen eigenen Datenpfad durch den Access Router zu installieren. Außerdem ist es auch möglich, dass für einen Client gleichzeitig mehrere Sessions laufen. Dabei wird prinzipiell so verfahren, wie beim Aufbau von Sessions durch verschiedene Clients. Zwischen dem Client und dem Session Manager werden dann kurzfristig so viele Ver bindungen aufgebaut, wie Authorisierungen für Sessions vorzu nehmen sind. In principle, it is also possible that more sessions run simultaneously. It is irrelevant whether the Clients come from a single intranet, as described above wrote, or from different intranets or individual Are users. The session manager assigns the access router mana a separate data path for each individual client by installing the Access Router. Besides, it is too possible for a client to have multiple sessions at the same time to run. In principle, the procedure is the same as for the assembly of sessions by different clients. Between the client and the session manager will then receive so many ver bonds built, like authorization for sessions are take.

LIST OF REFERENCE NUMBERS

AR Access Router
ARM Access Router Manager
C1 erster Client
C2 zweiter Client
FW Firewall
PS Payment Server
S Content Server
SM Session Manager
SP Server Proxi
AR Access Router
ARM Access Router Manager
C1 first client
C2 second client
FW firewall
PS Payment Server
S Content Server
SM Session Manager
SP server proxy

11

Verbindung
connection

22

a Verbindung
a connection

22

b Verbindung
b connection

33

a Verbindung
a connection

33

b Verbindung
b connection

44

Verbindung
connection

55

Verbindung
connection

66

a Verbindung
a connection

66

b Verbindung
b connection

77

a erster Link
a first link

77

b zweiter Link
b second link

77

c dritter Link
c third link

88th

Verbindung
connection

99

a Authorisierungsverbindung
a authorization connection

99

b Authorisierungsverbindung
b Authorization connection

1010

Verbindung
connection

1212

Verbindung
connection

1313

Datenpfad
data path

1414

Umleitung
detour

1515

Verbindung
connection

1717

zweiter Datenpfad
I Free-Zustand
II Get-Anfrage
III Wait-Zustand
IV Pay-Vorgang
V Busy-Zustand
VI Pay-Nachfrage
VII erster Expire
VIII zweiter Expire
A Sicherungsschicht
B Netzwerkschicht
C Transportschicht
D Anwendungsschicht
second data path
I free state
II Get request
III Wait state
IV Pay process
V Busy state
VI Pay demand
VII first expire
VIII second expire
A data link layer
B network layer
C transport layer
D application layer

Claims

1. Procedure for time, volume and / or event-oriented billing of Internet services with the following steps:
Sending a connection request from a client (C1, C2) from an Internet Protocol-based communication network; Acceptance of the connection establishment request by a session manager (SM);
Offering a means of payment by the session manager (SM) to the client (C1, C2), for processing by a payment server (PS);
Instruction of the session manager (SM) to an access router manager (ARM) to set up a dynamic configuration of a data path ( 13 ) or right of access on an access router (AR) which controls the data path ( 13 ) and which accesses the client (C1, C2) to a content server (S);
Transfer of the public IP address of the content server (S) to IP addresses for administration by the access router (AR);
Automatic activation of a redirection ( 11 ) and the associated data path ( 13 ) at the beginning of a session, so that the client (C1, C2) can access the content server ( 5 ) through the access router (AR);
Mapping of the domain component of a content service URL by the session manager (SM) to the IP address of the representative access router (AR) reserved for the redirection;
Maintenance of the redirection ( 14 ) and the associated data path ( 13 ) during the runtime of a session, so that the client (C1, C2) can access the content server (S) through the access router (AR) as long as an authorized and covered budget for an event, a time and / or volume unit exists;
Automatic deactivation of the redirection ( 14 ) and the associated data path ( 13 ) at the end of the session, so that the client (C1, C2) can no longer access the content server (S) through the access router (AR).

2. The method according to claim 1, characterized in that the session manager (SM) before terminating the connection Client (C1, C2) asks if it wants to extend the session and asks him to pay for it.

3. The method according to the preceding claim, characterized in that the session manager (SM) extends the session without changing the order to the content server (S) and thus keeps the data path ( 13 ) open through the access router (AR) if the client (C1, C2) paid for the extension.

4. The method according to any one of the preceding claims, characterized in that prepaid money instruments such as cash card or calling card can be used.

5. The method according to any one of the preceding claims, characterized in that between the Access Router (AR) and the Content Server (S) a server proxy (SP) is arranged, which has several Ethernet Cards.