JP2002044141A - モバイルｉｐネットワークにおけるｖｐｎシステム及びｖｐｎの設定方法 - Google Patents

Abstract

(57)【要約】 【課題】 モバイルＩＰにおける位置登録手順と連携し
てＶＰＮ用の特殊な機能を持たせること無く、任意の端
末間でのＩＰＳｅｃトンネルによるＶＰＮ設定サービス
を提供する。 【解決手段】 移動端末と、認証サーバと、ＶＰＮデー
タベースと、ネットワーク装置とで構成され、ホーム認
証サーバは、移動端末からの位置登録要求時に認証を要
求したユーザのＶＰＮ情報をＶＰＮデータベースから抽
出し、そのＶＰＮ情報を所定の位置登録メッセージ及び
認証応答メッセージを用いて各ネットワーク装置に通知
する。ネットワーク装置は、通知されたＶＰＮ情報を基
にホームネットワーク装置と外部ネットワーク装置間、
ホームネットワーク装置と所定のネットワーク装置間、
及び／又は外部ネットワーク装置と所定のネットワーク
装置間にそれぞれＩＰＳｅｃによるＶＰＮパスを設定す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】近年インターネットの普及に
伴い、企業の専用線をインターネット上の仮想パス（Ｖ
ＰＮ：Virtual Private Network ）で置き換える事によ
り、通信コストを低減しようとする試みが広く行われる
ようになってきている。また、電子商取引を実現する上
でもインターネット上のセキュリティ強化は必須であ
り、これらを実現する技術としてＩＰ Ｓｅｃｕｒｉｔ
ｙ Ｐｒｏｔｏｃｏｌ（以降、「ＩＰＳｅｃ」と称す）
が注目されている。

【０００２】一方、ＩＭＴ−２０００の本格導入をまじ
かに控え、インターネット環境はモバイル環境への移行
が始まっている。モバイル環境をインターネットへ導入
することはそれを利用するユーザの利便性を高める。し
かしながら、その一方でセキュリティを脆弱にする危険
性も増大させることになり、モバイル環境でセキュリテ
ィを保護する枠組みが求められている。

【０００３】ＩＭＴ−２０００でコアネットワークアー
キテクチャの基礎となるＲＦＣ２００２で規定されたＩ
Ｐ Ｍｏｂｉｌｉｔｙ Ｓｕｐｐｏｒｔ（以降、「モバ
イルＩＰ (Mobile IP)」と称す）にＩＰＳｅｃを組み合
わせる方式についても、いくつかの提案がされている。
ここで、モバイルＩＰ（mobile internet protocol)と
は、ＩＰネットワーク上で端末がネットワーク間を移動
した時に、ＩＰアドレスの管理と移動先への通信パケッ
トの転送を自動化した技術である。ルータにアドレスの
転送を実行するエージェント機能を実装し、端末の“本
籍”にあたるホーム・アドレスと現住所の“気付アドレ
ス”の２つを管理させる。端末は、ネットワーク間を移
動した際に新しい気付アドレスを、ホーム・アドレスの
あるネットワークのルータに登録し、移動を知らない通
信相手からのメッセージをトンネリング技術で転送させ
る。

【０００４】しかしこれらの提案は、通信経路上（具体
的にはホームエージェントと通信端末との間）の完全な
セキュリティを保証していないために、エンドユーザ端
末がＩＰＳｅｃ機能を持つことを前提としている。これ
らの提案では、結局通信に関与する端末が全てＩＰＳｅ
ｃを実装する必要があり、モバイル環境でセキュリティ
を保護する枠組みとしては、不十分であり、モバイルＩ
ＰとＩＰＳｅｃとを連携させる意義が薄い。

【０００５】

【従来の技術】図１は、既存の提案によるモバイルＩＰ
＋ＩＰＳｅｃを適用したネットワーク構成の一例を示し
たものである。ここでは、モバイル環境をサポートする
ＩＰアーキテクチャとしてＲＦＣ２００２で提案された
モバイルＩＰと、インターネット上でセキュリティを実
現するアーキテクチャであるＩＰＳｅｃとを併用してい
る。モバイルＩＰは、その本質から通常のネットワーク
に比較してセキュリティ面が脆弱なため、ＩＰＳｅｃを
含む様々なセキュリティ強化の方式がとりいれられてい
る。

【０００６】図１の例では、モバイルＩＰで規定される
ユーザ１（ＭＮ:Mobile Node）がアクセスしたネットワ
ーク２にある移動性エージェント２１（外部エージェン
トＦＡ:Foreign Agent）とユーザのホームネットワーク
３にある移動性エージェント３１（ホームエージェント
ＨＡ：Home Agent）との間におけるＩＰ−ＩＰトンネル
をＩＰＳｅｃトンネル６で置き換えるものであり、ＩＰ
Ｓｅｃで用いるＶＰＮ用の情報はあらかじめ各移動性エ
ージェント２１及び３１に設定しておく必要がある。

【０００７】動的にＩＰＳｅｃトンネル７を設定するこ
とについてもこれらの提案で触れているが、移動端末１
と移動性エージェント２１、３１との間の自動鍵交換
（ＩＫＥ）に頼った方式であり、通信先ホスト５２（Ｃ
Ｎ：Corespondent Node ）とも自動鍵交換（ＩＫＥ）を
用いて個別にＩＰＳｅｃを設定する必要がある。この場
合、さらにモバイルＩＰの変更も必要となる。

【０００８】一般に、ＶＰＮはＩＰＳｅｃやＭＰＬＳ等
を用いてインターネット上に張られるユーザの仮想パス
のことを言うが、他のインターネット技術、例えばＤｉ
ｆｆｅｒｅｎｔｉａｔｅｄ Ｓｅｒｖｉｃｅ（以降、
「差別化サービス」と称す）等、とユーザ単位では連携
しておらず、その結果ＶＰＮのサービス品質保証は十分
なネットワーク資源の割当てと一律な優先制御（例え
ば、ＩＰＳｅｃプロトコルのプロトコル番号をフィルタ
リング条件とした簡単な優先度制御）とによって行われ
ている。

【０００９】

【発明が解決しようとする課題】上記で述べたような方
式によれば、結局は通信に関与する端末が全てＩＰＳｅ
ｃを実装する必要がある。そのため、ネットワークとし
てＩＰＳｅｃサービスを提供する意義が薄く、またセキ
ュリティサービスとサービス品質保証とを自由に組み合
わせてユーザの利便性を向上させたネットワークサービ
スを、ＩＰＳｅｃを実装していない既存の端末を含め
て、提供することが出来ないという問題があった。

【００１０】本発明の目的は、モバイルＩＰにおける通
信を安全な通信経路を用いて可能にすることにある。ま
た、本発明の目的は、モバイルＩＰにおける位置登録手
順と連携して、通信に関与する端末の公衆ＩＰネットワ
ークへのセキュリティゲートウェイに動的にＩＰＳｅｃ
を用いたＶＰＮを設定することによって、移動端末や通
信端末にＶＰＮ用の特殊な機能を持たせること無く任意
の端末間での通信にＶＰＮ設定サービスを提供し、ユー
ザの利便性向上させたＶＰＮサービスを提供することに
ある。それにより、ＶＰＮサービスを提供するサービス
プロバイダの差別化も可能になる。

【００１１】より具体的には、以下のことを目的とす
る。 １）モバイルＩＰにおける位置登録手順と連携して、通
信に関与する端末の公衆ＩＰネットワークへのセキュリ
ティゲートウェイ２１、３１に動的にＩＰＳｅｃを用い
たＶＰＮを設定することで、ＭＮ１やＣＮ４２，５２に
ＶＰＮ用の特殊な機能を持たせること無く、任意の端末
間でのＶＰＮ設定サービスの提供を可能にする。 ２）ユーザが自由に組み合わせて指定したサービス品
質、セキュリティレベル、経路でのＶＰＮ設定を可能に
する。 ３）ＭＮ１の移動に伴い、ＶＰＮの経路を自動更新する
ことを可能にする。

【００１２】

【課題を解決するための手段】図２には、図１の構成と
対比させた本発明に基くネットワーク構成例を示してお
り、モバイルＩＰにおける位置登録手順と連携して、通
信に関与する端末の公衆ＩＰネットワーク２〜５の各セ
キュリティゲートウェイ２１〜５１に動的にＩＰＳｅｃ
を用いたＶＰＮを設定することで任意の端末１やホスト
３２〜５２間の通信にＶＰＮ設定サービスを提供する。

【００１３】図３は、本発明の基本的な機能ブロック構
成例を示したものである。最初に、以降で使用される用
語の簡単な説明を行なっておく。ＭＩＰ（MobileIP ）
は、ＲＦＣ２００２と将来の全ての拡張で規定されるモ
バイルＩＰプロトコルである。ＡＡＡプロトコルは、Ａ
ＡＡシステムが使用するプロトコルであって、本願の実
施例では現在ＩＥＴＦで検討中のＤＩＡＭＥＴＥＲプロ
トコルの使用を想定している。ＡＡＡプロトコルは認証
(Authentication)、認可(Authorization) 、課金(Acoun
ting) 、及びポリシーに関する情報を伝達可能なあらゆ
るプロトコルで実装可能である。本発明で必要となる新
たな情報の伝達には前記ＤＩＡＭＥＴＥＲプロトコルで
定義されるＡＶＰ（Attribute Value Pair）と呼ばれる
拡張可能な属性パラメータを用いる。拡張される属性は
ＶＰＮ設定に関する情報である。

【００１４】ＭＮ（Mobile Node ）は、モバイルＩＰプ
ロトコル機能を有する移動端末を示す。ＡＡＡは、上述
した認証、認可、課金を行うサーバ群のＩＥＴＦで用い
られる名称である。ＡＡＡＨは認証要求ユーザーの加入
者データを持つネットワークのＡＡＡであり、ＡＡＡＦ
は該ユーザーの加入者データを持たないネットワークの
ＡＡＡである。本発明のＡＡＡは上記機能に加えてＶＰ
Ｎデータベースから認証要求ユーザのＶＰＮ情報を抽出
し、ＨＡへＨＡ登録要求メッセージで、またＦＡへはＡ
ＡＡＦを経由した認証応答メッセージでＶＰＮ情報を通
知し、さらにユーザ単位のＶＰＮ情報の抽出とＶＰＮ経
路の決定を行う。

【００１５】ＦＡ（Foreign Agent ）は、ＲＦＣ２００
２で定義される機能エンティティであって移動端末に割
り付けられるホームアドレスを所有しないエージェント
である。自ノードのアドレスである気付アドレス（Care
-of-Address ）にカプセル化されて送られてきたパケッ
トをデカプセル化し、ホームアドレスに対応したリンク
レイヤアドレスへ回送する。このアドレスの対応は、訪
問者リストと呼ばれるテーブルで管理される。本発明の
ＦＡはＩＰＳｅｃのセキュリティゲートウェイ機能と差
別化サービスのエッジルータ機能とを兼ね備える。

【００１６】ＨＡ（Home Agent）は、ＲＦＣ２００２で
定義される機能エンティティであって移動端末に割り付
けられたホームアドレスを所有するエージェントであ
る。ＨＡに回送されてきた移動端末のホームアドレスを
送信先とするパケットはホームアドレスに対応したＦＡ
の気付アドレスへカプセル化されて送出される。このア
ドレスの対応は移動結合と呼ばれるテーブルで管理され
る。本発明のＨＡはＩＰＳｅｃのセキュリティゲートウ
ェイ機能と差別化サービスのエッジルータ機能を兼ね備
える。

【００１７】ＰＣＮ（Proxy Correspondent Node）は、
特許２０００−３２３７２号で規定された機能エンティ
ティであって配下のモバイルＩＰをサポートしない通信
ノード（ＣＮ；Correspondent Node）に代わって、ＨＡ
から送られてきたＣＮへの結合更新メッセージを代理受
信し、結合更新で通知された宛先へ結合トンネルを設定
する。本発明のＰＣＮはＩＰＳｅｃのセキュリティゲー
トウェイ機能と差別化サービスのエッジルータ機能を兼
ね備えており、ＭＩＰプロトコルで通知されるＶＰＮ情
報を解析し、その解析したＶＰＮ情報に基づいてネット
ワークカーネルに差別化サービスの設定と指定されたセ
キュリティレベルでのトンネルを設定する。

【００１８】本発明によれば、モバイル環境をサポート
するＩＰネットワークは、ユーザ認証サーバ及びネット
ワーク装置で構成され、移動端末１からの初回位置登録
要求（認証要求）時に、認証サーバ（ＡＡＡＨ）が認証
を要求したユーザのＶＰＮ情報をＶＰＮデータベースか
ら抽出し、そのＶＰＮ情報を位置登録メッセージ及び認
証応答メッセージを用いてネットワーク装置（ＨＡ，Ｆ
Ａ）に通知する。ネットワーク装置（ＨＡ，ＦＡ）は、
通知されたＶＰＮ情報を基にＨＡとＦＡ間にＶＰＮを設
定する。その際、ネットワーク装置（ＨＡ）は、通信先
端末ＣＮが他のネットワーク４に存在する場合は更にＨ
ＡからＶＰＮ情報で指定された通信先端末収容のセキュ
リティゲートウェイ（ＰＣＮ）へＶＰＮを設定する。

【００１９】また、前記認証サーバ及びネットワーク装
置は、移動端末１の移動による位置登録要求と連動して
認証サーバ及びネットワーク装置にキャッシュされたＶ
ＰＮ情報を新経路情報に更新するか又はモバイルＩＰで
通知される位置情報で書き換える。その結果、新ＦＡと
ＨＡ間及びＰＣＮと新ＦＡ間に新たなＩＰＳｅｃトンネ
ルが動的に設定され、ＶＰＮ経路が自動更新される。さ
らに、ＦＡ間のデータパケット転送におけるセキュリテ
ィ保護を完全なものとするため、スムースハンドオフ時
のＦＡ間の結合トンネルにもＩＰＳｅｃトンネルが設定
される。

【００２０】本発明の認証サーバ（ＡＡＡＨ）は、ユー
ザが所望するサービス品質、セキュリティゲートウェイ
間のセキュリティ情報、及びＶＰＮを設定する通信先ホ
スト（ＣＮ）のＩＰアドレス群からなるユーザ単位のＶ
ＰＮ情報と通信先ホストを収容するセキュリティゲート
ウェイ（ＶＰＮＧＷ）との対応表を格納するＶＰＮデー
タベースと、認証要求メッセージに設定された移動端末
が接続したアクセスネットワーク２のセキュリティゲー
トウェイ（ＦＡ）アドレスと移動端末のホームネットワ
ーク３のセキュリティゲートウェイ（ＨＡ）アドレス、
及び前記ユーザ対応ＶＰＮ情報に設定された通信先ホス
ト（ＣＮ）と前記対応表から抽出される通信先ホストを
収容するセキュリティゲートウェイ（ＰＣＮ；Proxy C
N）アドレスからＶＰＮ設定経路を特定するＡＡＡＶＰ
Ｎ制御部と、各セキュリティゲートウェイ間のサービス
品質とセキュリティ情報をサービスプロファイルとし
て、アクセスネットワークへの認証応答メッセージ及び
ホームネットワークへの位置登録メッセージに設定する
ＡＡＡプロトコル処理部と、を有する。

【００２１】また本発明のセキュリティゲートウェイか
ら成るネットワーク装置（ＨＡ、ＦＡ、ＰＣＮ）は、上
記ＶＰＮ情報を設定されたサービスプロファイルとＲＦ
Ｃ２００２とそれに関連するその他の拡張プロトコルを
理解するためのＭＡ(Mobility Agent)プロトコル処理部
と、通知されたサービスプロファイルに従いサービス品
質を保証するＱｏＳ制御とセキュリティゲートウェイ間
のセキュリティを保証するためのトンネルを設定するＭ
ＡＶＰＮ制御部と、を有する。

【００２２】前記ＭＡプロトコル処理部は、配下のモバ
イルＩＰをサポートしないＣＮに代わってＨＡからのＣ
Ｎへの結合更新メッセージを代理受信し、結合更新で通
知されたＶＰＮ情報が設定されたサービスプロファイル
を基に、ＣＮに代わってＦＡへの結合トンネルをＩＰＳ
ｅｃトンネルで設定するプロトコル処理を行なう。

【００２３】移動端末（ＭＮ）１のホームネットワーク
３にあるネットワーク装置（ＨＡ）のＭＡＶＰＮ制御部
は、前記トンネルの設定の際にサービスプロファイルで
セキュリティ保護が要求されるとＲＦＣ２００２で規定
されたＨＡから移動端末の現在の接続点である外部ネッ
トワーク２にあるネットワーク装置（ＦＡ）に設定する
トンネルを通常のＩＰ−ＩＰトンネルに代わりＩＰＳｅ
ｃトンネルを設定し、一方ＦＡの側のＭＡＶＰＮ制御部
もサービスプロファイルでセキュリティ保護が要求され
ると、ＦＡからＨＡへのトンネル（通常リバーストンネ
ルと呼ばれる）をＩＰ−ＩＰトンネルではなくＩＰＳｅ
ｃトンネルで設定する。

【００２４】上述したように、本発明によればモバイル
ＩＰにおける位置登録手順と連携して、通信に関与する
端末の公衆ＩＰネットワークへのセキュリティゲートウ
ェイに動的にＩＰＳｅｃを用いたＶＰＮが設定される。
従って、移動端末（ＭＮ）や通信先ホスト（ＣＮ）にＶ
ＰＮ用の特殊な機能を持たせること無く任意の端末やホ
スト間でＶＰＮ設定サービスが提供可能となる。また、
ネットワーク側でＶＰＮ設定サービスが提供されるた
め、ユーザによる自由な組み合わせによるサービス品
質、セキュリティレベル、及び経路等の指定が可能とな
る。

【００２５】

【発明の実施の形態】図４は、本発明の第１の実施例を
示したものである。本例は、初期位置登録時のＶＰＮ設
定例（静的ＨＡ−ＣＮ間ＶＰＮ存在時）を示しており、
あるユーザがＶＰＮサービスを提供しているＩＳＰ(Int
ernet Service Provider) を利用して自分が勤めている
企業に公衆ネットワークからアクセスする時に、自動的
にＶＰＮが設定されるような契約をした場合を想定して
いる。以降では、本願発明の理解の容易のため、本実施
例の説明と併せて図３で示した本発明の各機能ブロック
のより詳細な構成及び動作について随時説明していく。

【００２６】図４において、上記サービスを望むユーザ
１は、まず企業５とホームＩＳＰ３との間でＶＰＮ契約
（ＳＬＡ：Service Level Agreement ）を取り交わす
（）。契約内容は使用するＳＰＩ（Security Paramet
er Index）と鍵群、サービス品質、このＶＰＮを利用可
能なユーザのリストである。企業側は前記ＳＬＡに基づ
き、自企業のＶＰＮＧＷ装置５１にＩＳＰ３のＨＡ３１
のＶＰＮ情報を設定する。ＩＳＰ側は企業に示されたユ
ーザのＶＰＮデータベースにこの企業ドメインのアドレ
スとＳＰＩ、鍵等を設定する。またＶＰＮ情報３５とし
てＣＮ−ＧＷ対応表に企業ドメインアドレスとＶＰＮＧ
Ｗ装置５１のアドレスを登録し、ＧＷ種別にＶＰＮ動的
設定不可を設定する。

【００２７】図５には、本発明で使用するＶＰＮデータ
ベースの構成例を示している。ＶＰＮデータベース３４
は各ユーザの設定したＶＰＮデータインスタンス１〜ｎ
の集合であり、各インスタンスが一つのＶＰＮに対応す
る。各ＶＰＮデータインスタンスは、このＶＰＮ情報を
一意に表す識別子であるプロファイル番号（Profile Nu
mber）、ユーザのネットワーク識別子（ＮＡＩ; Networ
k Access Identifier ）、セキュリティゲートウェイ間
の共有のセキュリティ関係を使用するか又はユーザ固有
のセキュリティ関係を使用するかを示すＶＰＮ共有指標
（vpnshare）、通信先端末のＩＰアドレス（destadd
r）、上り方向のＱｏＳクラス（upclass ）、下り方向
のＱｏＳクラス（downclass ）、ＩＰＳｅｃで使用する
上り方向ＳＰＩ（upSPI ），ＩＰＳｅｃで使用する下り
方向ＳＰＩ（downSPI ）で構成される。

【００２８】前記ＶＰＮ共有指標に０が設定された場
合、ｕｐｃｌａｓｓ，ｄｏｗｎｃｌａｓｓ，ｕｐＳＰ
Ｉ，ｄｏｗｎＳＰＩは省略可能である。このデータベー
スはユーザのＮＡＩで検索され、検索された全てのイン
スタンスは後述するＶＰＮ情報キャッシュにアドレス情
報を付加して記録される。なお、データ検索に使用する
データベース検索プロトコルはＶＰＮデータベースを実
装するデータベースの製品等に依存しており、通常はＬ
ＤＡＰ（Light Directory Access Protocol ）やＳＱＬ
が用いられる。また、上述したＶＰＮ情報３５のＣＮ−
ＧＷ対応表については後述の図８にその一例を示す。

【００２９】次に、ユーザ１は企業が契約を交わしたホ
ームＩＳＰ３とローミング契約をしているＩＳＰ２の任
意のアクセスポイントに接続し、モバイルＩＰの位置登
録要求（Ｒｅｇ Ｒｅｑ）（）を送出することでネッ
トワークの利用が可能になる。ローミング契約している
ＩＳＰ２の接続ポイントとなるＦＡ２１はこの登録要求
を認証要求メッセージ（ＡＭＲ）（）に含めて、自Ｉ
ＳＰ内のローカルＡＡＡサーバ（ＡＡＡＦ）２３を介し
て、ユーザのホームＩＳＰ３のＡＡＡ（ＡＡＡＨ）３３
に送出する。

【００３０】ＡＡＡＨは認証要求メッセージ（ＡＭＲ）
に含まれるＮＡＩでＶＰＮデータベース３４を検索し、
このユーザに固有のＶＰＮ情報３５を抽出する。また、
そのＣＮ−ＧＷアドレス対応表よりＶＰＮデータベース
で通信先として指定されている企業ドメインのアドレス
はＶＰＮ動的設定不可であることがわかるので、後述す
るＶＰＮ情報キャッシュにＦＡ−ＨＡ，ＨＡ−企業ＧＷ
の２つのＶＰＮを設定する。次に、ＨＡに対してこの２
つのＶＰＮのプロファイルを付加した位置登録要求メッ
セージ（ＨＡＲ）を送信する（）。

【００３１】図６にはＡＡＡの詳細機能ブロックを、そ
して図７〜１２にはその動作例を示している。図６にお
いて、ＡＡＡ３３（２３も同様）は、図３で示したＡＡ
Ａプロトコル制御部３０１、ＡＡＡＶＰＮ制御部３０２
に加えて、アプリケーションサーバ３０５、ネットワー
クカーネル３０３、及び物理ネットワークデバイスイン
タフェース３０４から構成される。ＡＡＡプロトコル制
御部３０２は、ＡＡＡプロトコルを制御するＡＡＡプロ
トコル処理部３１１から構成される。

【００３２】ＡＡＡＶＰＮ制御部３０２は、ＶＰＮデー
タベース（図５）より抽出したＶＰＮ情報をキャッシュ
するＶＰＮ情報キャッシュ３１２、ＶＰＮ経路決定制御
部３１３、鍵生成器３１５から構成される。図７には、
ＶＰＮ情報キャッシュ３１２の一例を示している。ＶＰ
Ｎ情報キャッシュ３１２はＶＰＮ情報キャッシュインス
タンス１〜ｎの集まりであり、ユーザがネットワークに
アクセスしている間有効なネットワークで一意なユーザ
に固有な情報を含むセッションＩＤで検索される。各Ｖ
ＰＮ情報キャッシュインスタンス１〜ｎは一意な識別子
であるセッションＩＤ、このユーザが設定しているＶＰ
Ｎの数を示すプロファイル数、各ＶＰＮの設定情報を含
むＶＰＮ情報プロファイル１〜ｎで構成される。

【００３３】各ＶＰＮ情報プロファイル１〜ｎは、ＶＰ
Ｎを一意に識別する識別子であるプロファイル番号、Ｖ
ＰＮ適用のパケットを特定するための送信元と宛先のＩ
Ｐアドレストとそのネットマスク、パケットに設定する
ＴＯＳ値、ＩＰＳｅｃをＡＨ，ＥＳＰ、カプセル化の
み、のいずれかで設定するかを示すセキュリティタイ
プ、ＩＰＳｅｃトンネルモードで参照されるＩＰＳｅｃ
トンネルの入口と出口である送信元と宛先のゲートウェ
イアドレス、宛先ゲートウェイが動的なＶＰＮ設定が可
能かどうかを示す宛先ＧＷ種別、上りと下り方向のセキ
ュリティ関係の識別子であるＳＰＩ（Security Paramet
er Index）、ＥＳＰ暗号鍵、ＥＳＰ認証鍵で構成され
る。

【００３４】ＶＰＮ経路決定制御部３１３は、その内部
にＣＮ−ＧＷアドレス対応表３１４を有しており、図８
にＣＮ−ＧＷアドレス対応表の一例を示している。ＣＮ
−ＧＷアドレス対応表は、ＣＮアドレス／ネットマス
ク、ＧＷアドレス、及びＧＷ種別を含むアドレスインス
タンス１〜ｎから構成され、ＣＮアドレス／ネットマス
ク（企業ドメインアドレス）をキーとして検索される。

【００３５】アプリケーションサーバは、ＶＰＮデータ
ベース３４とＷＥＢアプリケーション３６から構成され
る。ネットワークカーネル３０３はＩＰパケットの回送
とネットワークへの接続点である物理インタフェースを
制御するオペレーティングシステムである。物理ネット
ワークデバイスインタフェース３０４は物理ネットワー
クデバイスへのインタフェース（ハード制御ドライバ）
であり、通常はＬＡＮのＮＩＣカードである。

【００３６】図９〜１３は、ＡＡＡの処理フローの一例
を示している。図９はＡＡＡの全体処理フロー例であっ
て、ネットワークカーネル３０３が物理ネットワークイ
ンタフェース３０４からパケットを受信すると、そのポ
ート番号によりＡＡＡシグナリングパケットを選択し、
ＡＡＡプロトコル制御部３０１に受信パケットの情報を
渡す（Ｓ１００）。図１０はＡＡＡプロトコル処理部３
１１の処理フロー例である。先ず、受信したＡＡＡプロ
トコルのコマンドコードＡＶＰ（属性パラメータ）より
受信メッセージを判定する（Ｓ１０１）。認証要求メッ
セージ（ＡＭＲ）であればステップＳ１０２へ、後述す
る認証応答メッセージ（ＡＭＡ）であればステップＳ１
０３へ、その他であればステップＳ１０４へ処理を分岐
する。

【００３７】上記した本例の場合には、ＡＡＡＶＰＮ制
御部３０２を起動する（Ｓ１０２）。次に、ＶＰＮデー
タベース３４より抽出したＶＰＮ情報又は認証応答メッ
セージ（ＡＭＡ）をＶＰＮ情報キャッシュに設定する
（Ｓ１０３）。そして、ＣＮ−ＧＷ対応表に従って対応
メッセージを編集、例えば、差別化サービスの設定等を
してから送出する（Ｓ１０４）。ＡＡＡＨ３３が送出す
る認証応答メッセージ（ＡＭＡ）及び位置登録要求メッ
セージ（ＨＡＲ）にはＶＰＮ情報キャッシュを設定した
旨のプロファイルキャッシュＡＶＰ(Profile Cache AV
P) を設定する。なお、図１１には、図１０のステップ
Ｓ１０３におけるメッセージ対応表（送受信メッセージ
とその処理実行主体との関係）を示している。

【００３８】図１２は、ＡＡＡＶＰＮ制御部３０２の処
理フロー例である。ＡＡＡＶＰＮ制御部３０２は、始め
にＶＰＮデータベース３４を移動端末のＮＡＩで検索し
て対応するＶＰＮ情報を読み出す（Ｓ１０５）。次にＶ
ＰＮ経路決定制御部３１３を起動し（Ｓ１０６）、そし
てＶＰＮデータベース３４から読み出したＳＰＩ（Secu
rity Parameter Index）がデフォルトＳＰＩであれば処
理を終了し、そうでなければ鍵生成器３１５で個別の鍵
を生成する（Ｓ１０８）。

【００３９】図１３は、ＶＰＮ経路決定制御部３１３の
処理フロー例である。ＶＰＮ経路決定制御部３１３は、
認証要求メッセージ（ＡＭＲ）の要求元ホストアドレス
からＭＮ１側のＶＰＮＧＷ（ＦＡ）２１のアドレスを抽
出する（Ｓ１０９）。また、ＶＰＮデータベース３４か
ら読み出したＣＮアドレスによりＣＮ−ＧＷアドレス対
応表３１４を検索してＣＮ５２側のＶＰＮＧＷ５１のア
ドレスとＶＰＮＧＷ種別を読み出す（Ｓ１１０）。

【００４０】次に、前記ＶＰＮＧＷ種別が動的ＶＰＮ設
定可能であればステップＳ１１２へ、そうでなければス
テップＳ１１３へ処理を分岐する（Ｓ１１１）。本例で
はステップＳ１１３の処理を行なうことになる。この場
合、ＨＡ３１へ通知するＶＰＮ情報の送信元ＧＷアドレ
スにＨＡ３１のアドレス、宛先ＧＷアドレスにＣＮ−Ｇ
Ｗアドレス対応表３１４から読み出したＧＷ５１のアド
レスを設定する。また、ＦＡ２１へ通知するＶＰＮ情報
の送信元ＧＷアドレスにＦＡ２１のアドレス、宛先ＧＷ
アドレスにＨＡ３１のアドレスを設定して処理を終了す
る（経路をＦＡ−ＨＡ−ＣＮに設定）。

【００４１】一方、ＶＰＮＧＷ種別が動的ＶＰＮ設定可
能であれば、ＨＡ３１へ通知するＶＰＮ情報の宛先ＧＷ
アドレスにＦＡ２１のアドレス、送信元ＧＷアドレスに
ＣＮ−ＧＷアドレス対応表３１４から読み出したＧＷ５
１のアドレスを設定する。ＦＡ２１へ通知するＶＰＮ情
報の送信元ＧＷアドレスにＦＡ２１のアドレス、宛先Ｇ
Ｗアドレスに同じくＣＮ−ＧＷアドレス対応表より読み
出したＧＷ５１のアドレスを設定し終了する（経路をＦ
Ａ−ＣＮ（又はＰＣＮ）に設定）。

【００４２】図４に戻って、次にＨＡ３１はＡＡＡＨ３
３から受信した位置登録要求メッセージ（ＨＡＲ）に付
加されたＶＰＮ情報をキャッシュし、さらに指定された
差別化サービスのマッピングを行った後、受信した経路
情報に従ってＨＡ３１から企業ＧＷ５１へのＩＰＳｅｃ
トンネル（２）とＨＡ３１からＦＡ２１へのＩＰＳｅｃ
トンネル（３）を設定する。また逆方向トンネルのパケ
ットを復号するための情報を後述するＩＰＳｅｃ情報テ
ーブルに設定する。なお、企業側のＧＷ５１からＨＡ３
１へのＩＰＳｅｃトンネル（１）は最初の契約設定（Ｓ
ＬＡ）に基いて既に固定的に張られているため、ＨＡ３
１から企業ＧＷ５１への設定処理は不要である。ＨＡ３
１は位置登録処理終了後に位置登録応答メッセージ（Ｈ
ＡＡ）をＡＡＡＨ３３に返送する（）。

【００４３】ＡＡＡＨ３３は前記位置登録応答メッセー
ジ（ＨＡＡ）を受信すると、次にＶＰＮ情報キャッシュ
３１２からＦＡ−ＨＡ間のＶＰＮを抽出し（図１３のＳ
１１３参照）、ＦＡ２１に対して設定するこのＶＰＮの
プロファイルを付加した認証応答メッセージ（ＡＭＡ）
をＡＡＡＦ２３へ送信する（）。ＡＡＡＦ２３はＭＮ
１のローカルドメイン内での移動に対応するためＶＰＮ
情報をＡＡＡＦ２３内にキャッシュした後にそれをＦＡ
２１に回送する（図１０のＳ１０１、１０３、及び１０
４参照）。

【００４４】ＦＡ２１は、認証応答メッセージ（ＡＭ
Ａ）に付加されたＶＰＮ情報をキャッシュし、さらに指
定された差別化サービスのマッピングを行った後に、Ｆ
Ａ２１からＨＡ３１へのＩＰＳｅｃトンネル（４）を設
定する。また逆方向トンネルのパケットを復号するため
の情報をＩＰＳｅｃ情報テーブルに設定する。最後に、
登録応答メッセージ（Ｒｅｇ Ｒｅｐ）をＭＮ１に返送
する（）。その結果、ＭＮ１のアクセスポイントから
企業のＧＷ５１までのＶＰＮが設定される。なお、企業
が指定していないユーザはＩＰＳｅｃトンネルを介して
パケットが回送されないので、これを利用して不正ユー
ザのアクセスを防ぐことも可能になり、また複数のＩＳ
ＰとＳＬＡを契約する煩わしさから逃れることができ
る。

【００４５】図１４にはＭＡ（ＦＡ、ＨＡ、ＰＣＮ）の
詳細機能ブロックを、そして図１５〜２４にはその動作
例を示している。図１４において、ＦＡ，ＨＡ，ＰＣＮ
の各ネットワーク装置は、ＭＡプロトコル制御部３２
１、ＭＡＶＰＮ制御部３２２、ネットワークカーネル３
２３、及び物理ネットワークデバイスインタフェース３
２４から構成される。ＭＡプロトコル制御部３２１は、
ＡＡＡプロトコルを制御するＡＡＡプロトコル処理部３
３１とモバイルＩＰを制御するモバイルＩＰプロトコル
処理部３３２から構成される。また、ＭＡＶＰＮ制御部
３２２は、ＡＡＡ又はＭＩＰプロトコルにより通知され
たＶＰＮ情報をキャッシュするＶＰＮ情報キャッシュ３
３３、ＱｏＳ制御部３３４、及びトンネル制御部３３５
から構成される。

【００４６】ＶＰＮ情報キャッシュ３３３は先に図７で
説明したのと同様の構成である。ＱｏＳ制御部３３４
は、ＶＰＮ情報キャッシュ３３３に設定されたＴＯＳ値
と、ＴＯＳ値をマーキングするパケットを識別するため
の送信元アドレス、宛先アドレス及びそれらのネットマ
スクからなるフィルタ情報をネットワークカーネル３２
３に設定する。トンネル制御部３３５は、ＶＰＮ情報キ
ャッシュ３３３に設定された宛先のＩＰアドレストに対
してルートテーブル３３７の出口デバイスを仮想デバイ
スに書き換える。またＩＰＳｅｃ情報テーブル３３６に
送信元と宛先のＩＰアドレストとそのネットマスク、セ
キュリティタイプ、送信元と宛先のゲートウェイアドレ
ス、上りと下り方向のセキュリティ関係の識別子である
ＳＰＩ、ＥＳＰ暗号鍵、ＥＳＰ認証鍵を設定する。ネッ
トワークカーネル３２３から仮想デバイスに出力された
パケットはＩＰＳｅｃ情報テーブル３３５を参照して、
暗号化とカプセル化が実行される。

【００４７】図１５には、ＩＰＳｅｃ情報テーブル３３
３の一例を示している。ＩＰＳｅｃ情報テーブルは、Ｉ
ＰＳｅｃ情報、ＥＳＰ情報、トンネル情報で構成され
る。ＩＰＳｅｃ情報はＩＰＳｅｃ情報インスタンスの集
まりであり、送信元アドレスと宛先アドレスの組で特定
される。ＩＰＳｅｃ情報インスタンスは送信元アドレス
／ネットマスク、宛先アドレス／ネットマスク、パケッ
トの実際の回送先である実宛先アドレス、このパケット
に適用するトンネル情報の識別子、このパケットに適用
するＥＳＰ情報の識別子から構成される。ＥＳＰ情報は
ＥＳＰ情報インスタンスの集まりであり、ＥＳＰ情報を
一意に識別するＥＳＰ識別子、暗号化手法、方向、ＡＨ
認証鍵長、ＥＳＰ認証鍵長、ＥＳＰ暗号鍵長、ＡＨ認証
鍵、ＥＳＰ認証鍵、ＥＳＰ暗号鍵で構成される。トンネ
ル情報はトンネル情報インスタンスの集まりであり、ト
ンネル情報を一意に識別するトンネル識別子、カプセル
化手法、方向、トンネルの入口と出口になる送信元アド
レスと宛先アドレスから構成される。

【００４８】ネットワークカーネル３２３は、ＩＰパケ
ットの回送とネットワークへの接続点である物理インタ
フェースを制御するオペレーティングシステムであり、
ＩＰパケット回送のルートを決定するルーティングテー
ブル３３７を持つ。ネットワークカーネル３２３はＩＰ
パケットのカプセル化、パケット編集、パケット送出の
キュー制御等を行うが、これらの機能はオペレーティン
グシステムに依存しており、本発明では言及しない。

【００４９】図１６にルーティングテーブル３３７の一
例を示す。一般的なルーティングテーブル３３７は、宛
先アドレス、ゲートウェイアドレス、ネットマスク、メ
トリック、出口インタフェースとその他の制御用補助情
報から構成されており、宛先アドレスとメトリックでル
ートが決定される。本発明はルートテーブルの構成には
依存しないが、出力先に仮想デバイスを設定できるよう
なネットワークカーネルを例に以降の具体的な説明を行
う。又、ネットワークカーネルはカプセル化されたパケ
ットを受信すると、パケットをデカプセル化する機能を
持っており、デカプセル後のパケットがＥＳＰヘッダを
含んでいれば、トンネル制御部３３５で保持しているＥ
ＳＰ情報を参照して暗号化されたパケットをデコードす
る機能を持つ。物理ネットワークデバイスインタフェー
ス３２４は物理ネットワークデバイスへのインタフェー
ス（ハード制御ドライバ）であり、物理ネットワークデ
バイスは例えばＬＡＮ，ＩＳＤＮ，ＡＴＭ等のパッケー
ジ又はＮＩＣカードである。

【００５０】図１７〜２４には、ＭＡの処理フロー例を
示している。以下、各処理フロー例を用いて本願発明に
よるＭＡ処理について説明する。図１７は、ＭＡの全体
処理フローである。ネットワークカーネル３２３は物理
ネットワークインタフェース３２４よりパケットを受信
すると、既に概略を説明したようにデカプセル化及び暗
号化復号を行った後、受信パケットをシグナリングパケ
ットかデータパケットかで切り分ける（Ｓ２００）。シ
グナリングパケットの選択はＭＡプロトコル制御部３２
１が指定したポート番号でパケットを受信したかどうか
で決定される。シグナリングパケットであればステップ
Ｓ２０１、それ以外であればステップＳ２０３へ処理を
分岐する。

【００５１】シグナリングパケットの場合はＭＡプロト
コル制御部３２１へ受信パケットの情報を渡し、ＡＡＡ
プロトコル処理３３１及びモバイルＩＰプロトコル処理
３３２を行う（Ｓ２０１）。次に、ＭＡＶＰＮ制御部３
２２を起動してＶＰＮ情報の設定を行う（Ｓ２０２）。
ステップＳ２０３では、ネットワークカーネルが受信パ
ケットの出力先のインタフェースを、ルーティングテー
ブル３３７を参照して決定する。ネットワークカーネル
３２３はカーネル内に予め設定された差別化サービスの
フィルタリング条件に従ってパケットの編集を行う。出
力先が仮想デバイスであればステップＳ２０４へ処理を
分岐する。出力先が物理デバイスであれば、そのデバイ
スへパケットを回送する。

【００５２】ステップＳ２０４では、ＭＡＶＰＮ制御部
３２２へ回送するパケットの情報を渡し、予め設定され
た情報に基づきトンネル化及び暗号化処理を行う。トン
ネル処理でＩＰパケットをカプセル化する場合は、オリ
ジナルパケットのＴＯＳ情報を引き継ぐ。ＩＰパケット
の編集が終了したパケットは、再度、ネットワークカー
ネル３２３に戻され、新しく付与されたＩＰパケットの
宛先に基づいてルーティングテーブル３３７が参照され
て対応する物理デバイスへパケットの回送が行われる。

【００５３】図１８は、ＭＡプロトコル制御部３２１の
処理フロー例である。先ず、受信したパケットのポート
番号を調べ、ＡＡＡプロトコルのポート番号であればス
テップＳ２０６へ、一方モバイルＩＰプロトコルであれ
ばステップＳ２０７へ処理を分岐する（Ｓ２０５）。ス
テップＳ２０６では、ＡＡＡプロトコル処理部３３１を
起動してＡＡＡプロトコルの処理後に（図１９参照）、
ＡＡＡプロトコルに情報の一部として付加されているモ
バイルＩＰプロトコルを取り出してステップＳ２０７へ
処理を渡す。ステップＳ２０７では、モバイルＩＰプロ
トコル処理部３３２を起動して処理を終了する。

【００５４】図１９は、ＡＡＡプロトコル処理部３３１
の処理フロー例である。先ず、受信したＡＡＡプロトコ
ルより、ＶＰＮ情報を抽出してそれをＶＰＮ情報キャッ
シュ３３３へ設定する。次に、後述のモバイルＩＰプロ
トコル処理部３３２が参照するために、キャッシュの設
定及び更新を行った場合に共有メモリ上に更新したこと
を示すフラグを立てる（Ｓ２０８）。ＡＡＡプロトコル
の処理後、ＡＡＡプロトコルに情報の一部として付加さ
れているモバイルＩＰプロトコルを取り出す（Ｓ２０
９）。そして、受信メッセージが位置登録要求メッセー
ジ（ＨＡＲ）なら位置登録応答メッセージ（ＨＡＡ）を
送出する（Ｓ２１０及び２１１）。

【００５５】図２０はモバイルＩＰプロトコル処理部３
３２の処理フロー例である。ステップＳ２１２では、受
信したモバイルＩＰプロトコルメッセージのタイプを判
定する。タイプが登録要求であればステップＳ２１３
へ、登録応答であればステップＳ２２０へ、ＢＵ(Bindi
ng Update)，ＢＡ(Binding Acknowledge) であばステッ
プＳ２１８へそれぞれ処理を分岐する。

【００５６】Ａ．登録要求の場合 登録要求を受信したＭＡがＨＡの場合は、登録要求メッ
セージの気付アドレスと移動性結合内の旧気付アドレス
とを比較し、比較結果が異なればステップＳ２１４へ処
理を分岐する。比較結果が一致した場合又は登録要求を
受信したＭＡがＦＡの場合はステップＳ２１７へ処理を
分岐する（Ｓ２１３）。ステップＳ２１４では位置登録
メッセージを送出したＭＮのＶＰＮ情報キャッシュイン
スタンスを特定し、ＶＰＮ情報キャッシュ３３３の宛先
ＧＷアドレスを気付アドレスで通知されたアドレスに書
き換える。

【００５７】この特定方法は例えばセッションＩＤにＭ
ＮのＩＰアドレスを持たせることや、移動性結合とＶＰ
Ｎ情報キャッシュインスタンスのリンクを持たせること
で実現可能である。ＨＡは特定したＶＰＮ情報キャッシ
ュインスタンスに設定されている全てのＶＰＮ情報プロ
ファイルを検索し、宛先ＧＷ種別が動的ＶＰＮ設定可能
であれば、そのプロファイルの送信元アドレスに対して
ＶＰＮ情報を設定したＢＵメッセージを編集して送出す
る（Ｓ２１５）。ステップＳ２１６ではＭＡＶＰＮ制御
部３２２を起動し、図２１のメッセージ対応表に示すよ
うに、受信メッセージと処理ＭＡで特定されるメッセー
ジを編集して送出する（Ｓ２１７）。

【００５８】Ｂ．登録応答の場合 ステップＳ２２０では、ＡＡＡプロトコル処理部３３１
によりあらかじめ共有メモリに設定されたキャッシュ更
新情報を参照し、更新有りであればステップＳ２１６
へ、更新無しであればステップＳ２１７へ処理を分岐す
る。

【００５９】Ｃ．ＢＵ，ＢＡの場合 ステップＳ２１８では、受信メッセージがＢＵであれば
ステップＳ２１９へ、ＢＡであればステップＳ２１７へ
処理を分岐する。ＰＣＮの場合は、ＰＣＮ配下のＣＮ宛
てのＢＵメッセージを全て代理受信する。この仕組み
は、例えば特許２０００−３２３７２の方式で実現され
る。処理ＭＡがＰＣＮの場合はＢＵメッセージに設定さ
れたＶＰＮ情報をＶＰＮ情報キャッシュ３３３に設定も
しくは置換する。処理ＭＡがＦＡの場合はＶＰＮ情報キ
ャッシュ３３３の宛先ＧＷアドレスをＢＵメッセージで
通知された新ＦＡアドレスに変更する（Ｓ２１９）。

【００６０】図２２は、ＭＡＶＰＮ制御部３２２の処理
フロー例である。ステップＳ２２１ではＱｏＳ制御部３
３４を起動し、次にステップＳ２２２でトンネル制御部
３３５を起動する。図２３は、ＱｏＳ制御部３３４の処
理フロー例である。先ず、ステップＳ２２３でＶＰＮ情
報インスタンスの情報を元にネットワークカーネル３２
３に設定済みの差別化サービスの情報を削除する。次
に、ＶＰＮ情報インスタンスのＴＯＳ値が０以外であれ
ばステップＳ２２５へ処理を分岐し、そうでなければ処
理を終了する（Ｓ２２４）。ステップＳ２２５では、Ｖ
ＰＮ情報インスタンスの情報を元にネットワークカーネ
ルに差別化サービスの情報を設定する（Ｓ２２５）。

【００６１】図２４は、トンネル制御部の処理フロー例
である。先ず、ＶＰＮ情報インスタンスの情報を元にネ
ットワークカーネル３２３に設定済みのルートテーブル
３３７の情報とＩＰＳｅｃ情報テーブル３３６の該当す
る情報を削除する（Ｓ２２６）。次に、ＶＰＮ情報イン
スタンスのＶＰＮ情報プロファイルに設定された宛先ア
ドレスの出力先を仮想デバイスに設定し（Ｓ２２７）、
またＶＰＮ情報インスタンスのＶＰＮ情報プロファイル
を参照して、ＩＰＳｅｃ情報テーブル３３６のトンネル
情報インスタンスを設定する（Ｓ２２８）。

【００６２】ステップＳ２２９では、ＶＰＮ情報インス
タンスのＶＰＮ情報プロファイル内セキュリティタイプ
を参照して、ＥＳＰかＡＨが指定されていればステップ
Ｓ２３０へ処理を分岐し、そうでなければ処理を終了す
る。ステップＳ２３０では、ＶＰＮ情報インスタンスの
ＶＰＮ情報プロファイル内ＳＰＩを参照して、ＳＰＩが
ユーザ個別であればステップＳ２３１へ、デフォルトＳ
ＰＩであればステップＳ２３２へ処理を分岐する。この
デフォルトＳＰＩについては予めＭＡ内に初期構成時や
ＭＡのローカルな保守コンソールから設定されているも
のとする。ステップＳ２３１では、ＶＰＮ情報インスタ
ンスのＶＰＮ情報プロファイルのＳＰＩと関連する鍵情
報をＥＳＰ情報インスタンスに設定する。また、ステッ
プＳ２３２では、ＩＰＳｅｃ情報インスタンスにＥＳＰ
識別子を設定する。

【００６３】以降では、これまで説明してきた事項をも
とに、本願発明動作の理解をより一層深めるために、先
に説明した第１の実施例とは別の本発明の種々の実施態
様例について説明する。図２５は、本発明の第２の実施
例を示したものである。本例は、同一ドメイン内移動時
のＶＰＮ設定例（静的ＨＡ−ＣＮ間ＶＰＮ存在時）を示
している。ここでは、先の実施例１でローミング契約Ｉ
ＳＰ２のＦＡ２１から企業ドメインのＧＷ５１にＶＰＮ
が設定された後、ユーザのＭＮ１が同一ローミング契約
ＩＳＰ２の別のＦＡ２１’に移動した場合に、どのよう
にＶＰＮが再構築されるかを図式的に示している。

【００６４】図２５において、ユーザのＭＮ１が同一ド
メイン２内でＦＡ２１から新ＦＡ２１’へ移動すると、
モバイルＩＰ経路最適化ドラフト（draft-ietf-mobilei
p-optim-09）に規定されているように、旧ＦＡ２１のア
ドレスを含めた登録要求メッセージ（Ｒｅｇ Ｒｅｑ）
を送出する（）。新ＦＡ２１’はこの登録要求を認証
要求メッセージ（ＡＭＲ）に含めて（）、自ＩＳＰ２
内のローカルＡＡＡサーバ（ＡＡＡＦ）２３に送出す
る。ＡＡＡＦ２３は、認証要求メッセージ（ＡＭＲ）に
旧ＦＡ２１の情報が含まれている場合、ＶＰＮ情報キャ
ッシュからＦＡ−ＨＡのＶＰＮを抽出してＦＡ２１のア
ドレスを新ＦＡ２１’のアドレスに置換した後、ＦＡに
設定するこのＶＰＮのプロファイルを付加した認証応答
メッセージ（ＡＭＡ）を新ＦＡ２１’へ返送する
（）。

【００６５】ＦＡ２１’は先にＭＮ１から受信した登録
要求メッセージ（Ｒｅｇ Ｒｅｑ）をＨＡ３１に回送す
る（）。ＨＡ３１はＶＰＮ情報キャッシュのうち、Ｈ
ＡからＦＡへのＶＰＮプロファイルを特定し、ＦＡのア
ドレスを新ＦＡ２１’に書き換える。次に、旧ＦＡ２１
へのＩＰＳｅｃトンネルを削除し、新ＦＡ２１’へ新た
なＩＰＳｅｃトンネル（１）を設定する。そして、位置
登録処理終了後、登録応答メッセージ（Ｒｅｇ Ｒｅ
ｐ）をＦＡ２１’に返送する（）。

【００６６】ＦＡ２１’は、ＶＰＮ情報キャッシュを参
照して指定された差別化サービスのマッピングを行った
後、ＦＡ２１’からＨＡ３１へのＩＰＳｅｃトンネル
（２）を設定する。また逆方向トンネルのパケットを復
号するための情報をＩＰＳｅｃ情報テーブルに設定す
る。さらに、ＶＰＮ情報キャッシュを複写して送信元Ｇ
Ｗアドレスを旧ＦＡ２１、宛先ＧＷアドレスを新ＦＡ２
１’に書き換えた後に、このＶＰＮ情報をＢＵメッセー
ジに付加して旧ＦＡ２１に送信する（）。

【００６７】旧ＦＡ２１はＢＵメッセージに付加された
ＶＰＮ情報をキャッシュし、ＦＡ２１からＨＡ３１への
ＩＰＳｅｃトンネルを削除し、指定された差別化サービ
スのマッピングを行った後、旧ＦＡ２１から新ＦＡ２
１’へスムースハンドオフ時のＩＰＳｅｃトンネル
（３）を設定する。その結果、ＨＡ３１が新たなＩＰＳ
ｅｃトンネル（１）への切り替え前にＭＮ１宛に旧ＦＡ
２１で受信したパケットは全てこのＩＰＳｅｃトンネル
（３）を介して新ＦＡ２１’へ回送される。旧ＦＡ２１
はＩＰＳｅｃトンネル（３）の設定完了後にＢＡメッセ
ージをＭＮに返送する（）。これにより、新ＦＡ２
１’は登録応答メッセージ（Ｒｅｇ Ｒｅｐ）をＭＮ１
に返送する（）。

【００６８】図２６は、本発明の第３の実施例を示した
ものである。本実施例は、異なる管理ドメイン間移動時
のＶＰＮ設定例（静的ＨＡ−ＣＮ間ＶＰＮ存在時）を示
しており、ここでは、実施例１でローミング契約ＩＳＰ
２のＦＡ２１から企業ドメインのＧＷ５１にＶＰＮが設
定された後、ユーザのＭＮ１が異なるローミング契約Ｉ
ＳＰ２’の別のＦＡ２１’に移動した場合に、どのよう
にＶＰＮが再構築されるかを図式的に示している。

【００６９】図２６において、ユーザのＭＮ１は異なる
管理ドメイン２−２’間を移動すると、ＤＩＡＭＥＴＥ
ＲモバイルＩＰ拡張ドラフト（draft-ietf-calhoun-dia
meter-mobileip-08)に規定されているように、通常の初
回位置登録と同じ手順で、登録要求（Ｒｅｇ Ｒｅｑ）
を送出する（）。移動先のＦＡ２１’はこの登録要求
を認証要求メッセージ（ＡＭＲ）に含め（）、自ＩＳ
Ｐ内のローカルＡＡＡサーバ（ＡＡＡＦ）２２’を介し
て、ユーザのホームＩＳＰのＡＡＡ（ＡＡＡＨ）３３に
送出する。

【００７０】ＡＡＡＨ３３は、ＶＰＮ情報キャッシュに
ＦＡ−ＨＡ，ＨＡ−企業ＧＷの２つのＶＰＮが設定済な
ので、ＦＡ−ＨＡに関するＶＰＮのＦＡを新ＦＡ２１’
のアドレスに書き換える。次に、ＨＡ３１にこの２つの
ＶＰＮのプロファイルを付加した位置登録要求メッセー
ジ（ＨＡＲ）を送信する（）。ＨＡ３１は、位置登録
要求メッセージ（ＨＡＲ）に付加されたＶＰＮ情報でキ
ャッシュを更新し、ＨＡ３１から旧ＦＡ２１へのＩＰＳ
ｅｃトンネルを削除後、新ＦＡ２１’への新たなＩＰＳ
ｅｃトンネル（１）を設定する。そして、位置登録処理
終了後、位置登録応答メッセージ（ＨＡＡ）をＡＡＡＨ
に返す（）。この時、旧ＦＡ２１のアドレスの情報を
付加情報として返す。

【００７１】ＡＡＡＨ３３は位置登録応答メッセージ
（ＨＡＡ）を受信すると、ＶＰＮ情報キャッシュからＦ
Ａ−ＨＡのＶＰＮを抽出し、ＦＡに設定するこのＶＰＮ
のプロファイルを付加した認証応答メッセージ（ＡＭ
Ａ）をＡＡＡＦ２３’へ送信する（）。ＡＡＡＦ２
３’はＭＮ１のローカルドメイン内での移動に対応する
ためＶＰＮ情報をＡＡＡＦ内にキャッシュした後、それ
をＦＡ２１’に回送する。ＦＡ２１’は、認証応答メッ
セージ（ＡＭＡ）に付加されたＶＰＮ情報をキャッシュ
し、指定された差別化サービスのマッピングを行った後
にＦＡ２１’からＨＡ３１へのＩＰＳｅｃトンネル
（２）を設定する。また逆方向トンネルのパケットを復
号するための情報をＩＰＳｅｃ情報テーブルに設定す
る。

【００７２】さらに、認証応答メッセージ（ＡＭＡ）に
旧ＦＡのアドレスが含まれている場合はＶＰＮ情報キャ
ッシュを複写し、送信元ＧＷアドレスを旧ＦＡ２１、宛
先ＧＷアドレスを新ＦＡ２１’に書き換えた後にこのＶ
ＰＮ情報をＢＵメッセージに付加して旧ＦＡ２１に送信
する（）。旧ＦＡ２１はＢＵメッセージに付加された
ＶＰＮ情報をキャッシュし、ＦＡからＨＡへのＩＰＳｅ
ｃトンネルを削除し、指定された差別化サービスのマッ
ピングを行った後にこのＦＡ２１から新ＦＡ２１’へハ
ンドオフ時のＩＰＳｅｃトンネル（３）を設定する。

【００７３】その結果、ＨＡ３１がＩＰＳｅｃトンネル
（１）への切り替え前にＭＮ１宛に旧ＦＡ２１が受信し
たパケットは全てこのＩＰＳｅｃトンネル（３）を介し
て新ＦＡ２１’へ回送される。ＦＡ２１はＩＰＳｅｃト
ンネル（３）の設定完了後にＢＡメッセージを新ＦＡ２
１’に返す（）。これにより、ＦＡ２１’は登録応答
メッセージ（Ｒｅｇ Ｒｅｐ）をＭＮ１に返送する
（）。上述した実施例２及び３によれば、企業とＩＳ
Ｐを介して通信を行うユーザは、企業のＧＷ装置に特殊
な機能を持つことなく、ＩＳＰが提供するモバイル対応
ＶＰＮのサービスを享受する事が可能となる。

【００７４】図２７は、本発明の第４の実施例を示した
ものである。本実施例は、初期位置登録時のＶＰＮ設定
例（ＰＣＮ存在時）を示しており、ここでは通信先のロ
ーミング契約ＩＳＰが動的にＶＰＮ設定可能なＶＰＮ
ＧＷ（ＰＣＮ）を配備している場合のＶＰＮ設定例を図
式的に示している。動的にＶＰＮ設定可能なＶＰＮＧＷ
を持つＩＳＰはＩＳＰ間でローミング契約を結ぶとき
に、各々のプロバイダのＣＮ−ＧＷ対応表にＩＳＰのド
メインアドレスとＧＷ装置アドレスを登録し、ＧＷ種別
にＶＰＮ動的設定可を設定する。

【００７５】図２７において、これらのローミンググル
ープのいずれかのＩＳＰに加入しているユーザは最寄り
のアクセスポイントに接続し、そのＭＮ１よりモバイル
ＩＰの位置登録要求（Ｒｅｇ Ｒｅｑ）を送出する
（）。ＦＡ２１はこの登録要求を認証要求メッセージ
（ＡＭＲ）に含めて自ＩＳＰ内のローカルＡＡＡサーバ
（ＡＡＡＦ）２３を介して、ユーザのホームＩＳＰのＡ
ＡＡ（ＡＡＡＨ）３３に送出する（）。

【００７６】ＡＡＡＨ３３は、認証要求メッセージ（Ａ
ＭＲ）に含まれたＮＡＩでＶＰＮデータベース３４を検
索し、このユーザに固有のＶＰＮ情報を抽出する。ＶＰ
Ｎデータベース３４にユーザ通信先として指定している
アドレスがローミング契約ＩＳＰ４内であれば、ＣＮ−
ＧＷアドレス対応表からＶＰＮ動的設定可であることが
わかるので、ＶＰＮ情報キャッシュにＦＡ−通信先ＩＳ
Ｐ４のＧＷ（ＰＣＮ）４１のＶＰＮを設定する。ＨＡ３
１にこのＶＰＮのプロファイルを付加した位置登録要求
メッセージ（ＨＡＲ）を送信する（）。ＨＡ３１は位
置登録要求メッセージ（ＨＡＲ）に付加されたＶＰＮ情
報をキャッシュする。そして、位置登録処理終了後、Ｖ
ＰＮ情報に設定された通信先ＧＷ４１のＧＷ種別を参照
し、ＶＰＮ動的設定可であるので、通信先端末ＣＮ４２
宛てにこのＶＰＮ情報を付加したＭＩＰ結合更新メッセ
ージＢＵを送出する（）。

【００７７】ＰＣＮ４１は、ＣＮ４２宛てに送出された
ＢＵを代理受信し、ＢＵに付加されたＶＰＮ情報をキャ
ッシュする。通知されたＶＰＮ情報に従い差別化サービ
スのマッピングを行った後、ＰＣＮ４１からＦＡ２１へ
ＩＰＳｅｃトンネル（１）を設定する。その後、ＭＩＰ
結合承認メッセージＢＡをＨＡ３１に送出する（）。
ＨＡ３１はＢＡを受信すると位置登録応答メッセージ
（ＨＡＡ）をＡＡＡＨ３３に返す（）。ＡＡＡＨ３３
は位置登録応答メッセージ（ＨＡＡ）を受信すると、Ｖ
ＰＮ情報キャッシュからＦＡ−通信先ＩＳＰ４のＧＷ
（ＰＣＮ）のＶＰＮを抽出し、ＦＡ２１に設定するこの
ＶＰＮのプロファイルを付加した認証応答メッセージ
（ＡＭＡ）をＡＡＡＦ２３へ送信する（）。ＡＡＡＦ
２３はＭＮ1 のローカルドメイン内での移動に対応する
ためＶＰＮ情報をＡＡＡＦ内にキャッシュした後、ＦＡ
２１に回送する。

【００７８】ＦＡ２１は認証応答メッセージ（ＡＭＡ）
に付加されたＶＰＮ情報をキャッシュし、指定された差
別化サービスのマッピングを行った後、ＦＡ２１からＰ
ＣＮ４１へＩＰＳｅｃトンネル（２）を設定する。また
逆方向トンネルのパケットを復号するための情報をＩＰ
Ｓｅｃ情報テーブルに設定する。その後、登録応答メッ
セージ（Ｒｅｇ Ｒｅｐ）をＭＮに返す（）。これに
より、ローミング契約をしたＩＳＰグループ内であれ
ば、ユーザは任意の通信先とＶＰＮ通信をすることでき
る。

【００７９】図２８は、本発明の第５の実施例を示した
ものである。本実施例は、同一ドメイン内移動時のＶＰ
Ｎ設定例（ＰＣＮ存在時）を示しており、ここでは実施
例４でローミング契約ＩＳＰ２のＦＡ２１から任意のロ
ーミング契約ＩＳＰ４のＰＣＮ４１にＶＰＮが設定され
た後、ユーザのＭＮ１が同一ローミング契約ＩＳＰ２の
別のＦＡ２１’に移動した場合に、どのようにＶＰＮが
再構築されるかを図式的に示している。

【００８０】図２８において、ユーザのＭＮ１は同一ド
メイン２内でＦＡ２１からＦＡ２１’へ移動すると、モ
バイルＩＰ経路最適化ドラフト（draft-ietf-mobileip-
optim-09）に規定されているように、登録要求メッセー
ジ（Ｒｅｇ Ｒｅｑ）には旧ＦＡ２１のアドレスを含め
て送出する（）。新ＦＡ２１’はこの登録要求を認証
要求メッセージ（ＡＭＲ）に含めて自ＩＳＰ内のローカ
ルＡＡＡサーバ（ＡＡＡＦ）２３に送出する（）。Ａ
ＡＡＦ２３は、認証要求メッセージ（ＡＭＲ）に旧ＦＡ
２１の情報が含まれている場合、ＶＰＮ情報キャッシュ
からＦＡ−ＰＣＮのＶＰＮを抽出し、ＦＡのアドレスを
新ＦＡ２１’のアドレスに置換した後、ＦＡに設定する
このＶＰＮのプロファイルを付加した認証応答メッセー
ジ（ＡＭＡ）を新ＦＡ２１’へ送信する（）。

【００８１】ＦＡ２１’は先にＭＮ１から受信した登録
要求メッセージ（Ｒｅｇ Ｒｅｑ）をＨＡ３１に回送す
る（）。ＨＡ３１はＶＰＮ情報キャッシュのうち、こ
のＭＮ１が利用しているＶＰＮのＶＰＮプロファイルを
特定し、ＦＡのアドレスを新ＦＡ２１’に書き換える。
本実施例の場合、既にＶＰＮはＦＡ２１とＰＣＮ４１と
の間に直接設定されているため、その旨をＰＣＮ４１へ
ＢＵメッセージで通知する（）。なお、ＢＵメッセー
ジを送出するか否かはＶＰＮ情報キャッシュの通信先Ｇ
Ｗの種別が動的ＶＰＮ設定可であるかどうかで判定す
る。

【００８２】ＰＣＮ４１は、ＢＵの受信により旧ＦＡ２
１へのＩＰＳｅｃトンネルを削除し、それに代えて新Ｆ
Ａ２１’へのＩＰＳｅｃトンネル（１）を設定する。そ
の後、ＢＡメッセージをＨＡ３１に送信する（）。Ｈ
Ａ３１はＢＡメッセージの受信により登録応答メッセー
ジ（Ｒｅｇ Ｒｅｐ）を新ＦＡ２１’に送信する
（）。新ＦＡ２１’はＶＰＮ情報キャッシュを参照し
て、指定された差別化サービスのマッピングを行った
後、新ＦＡ２１’からＰＣＮ４１へＩＰＳｅｃトンネル
（２）を設定する。また逆方向トンネルのパケットを復
号するための情報をＩＰＳｅｃ情報テーブルに設定す
る。更にＶＰＮ情報キャッシュを複写し、送信元ＧＷア
ドレスを旧ＦＡ２１、宛先ＧＷアドレスを新ＦＡ２１’
に書き換えた後、このＶＰＮ情報をＢＵメッセージに付
加して旧ＦＡ２１に送信する（）。

【００８３】旧ＦＡ２１はＢＵメッセージに付加された
ＶＰＮ情報をキャッシュし、旧ＦＡ２１からＰＣＮ４１
へのＩＰＳｅｃトンネルを削除し、指定された差別化サ
ービスのマッピングを行った後に旧ＦＡ２１から新ＦＡ
２１’へスムースハンドオフ時のＩＰＳｅｃトンネル
（３）を設定する。旧ＦＡ２１がＩＰＳｅｃトンネルへ
の切り替え前にＰＣＮ４１からＭＮ１宛に受信したパケ
ットは全てこのＩＰＳｅｃトンネル（３）を介して新Ｆ
Ａ２１へ回送される。ＦＡ２１は、ＩＰＳｅｃトンネル
設定完了後にＢＡメッセージを返送する（）。新ＦＡ
２１’は登録応答メッセージ（Ｒｅｇ Ｒｅｐ）をＭＮ
１に返送する（’) 。

【００８４】図２９は、本発明の第６の実施例を示した
ものである。本実施例は、異なる管理ドメイン間移動時
のＶＰＮ設定例（ＰＣＮ存在時）を示しており、ここで
は実施例４でローミング契約ＩＳＰ２のＦＡ２１から任
意のローミング契約ＩＳＰ４のＰＣＮ４１にＶＰＮが設
定された後、ユーザのＭＮ１が異なるローミング契約Ｉ
ＳＰ２’の別のＦＡ２１’に移動した場合に、どのよう
にＶＰＮが再構築されるかを図式的に示している。

【００８５】図２９において、ユーザのＭＮ１は異なる
管理ドメイン間２−２’を移動すると、ＤＩＡＭＥＴＥ
ＲモバイルＩＰ拡張ドラフト（draft-ietf-calhoun-dia
meter-mobileip-08)に規定されているように、通常の初
回位置登録と同じ手順で登録要求メッセージ（Ｒｅｇ
Ｒｅｑ）を送出する（）。ＦＡ２１’はこの登録要求
を認証要求メッセージ（ＡＭＲ）に含めて自ＩＳＰ内の
ローカルＡＡＡサーバ（ＡＡＡＦ）２３’を介して、ユ
ーザのホームＩＳＰのＡＡＡ（ＡＡＡＨ）３３に送出す
る（）。ＡＡＡＨ３３は、ＶＰＮ情報キャッシュにＦ
Ａ２１−ＰＣＮ４１のＶＰＮが設定済なので、このＦＡ
２１のアドレスを新ＦＡ２１’のアドレスに書き換え
る。そして、ＨＡ３１にはこのＶＰＮのプロファイルを
付加した位置登録要求メッセージ（ＨＡＲ）を送信する
（）。

【００８６】ＨＡ３１は、位置登録要求メッセージ（Ｈ
ＡＲ）に付加されたＶＰＮ情報でキャッシュを更新し、
ＢＵメッセージをＰＣＮ４１へ送出する（）。ＰＣＮ
４１はＢＵメッセージを受信すると、旧ＦＡ２１へのＩ
ＰＳｅｃトンネルを削除し、新ＦＡ２１’へＩＰＳｅｃ
トンネル（１）を設定する。その後、ＢＡメッセージを
ＨＡ３１に送信する（）。ＨＡ３１はＢＡメッセージ
を受信すると位置登録応答メッセージ（ＨＡＡ）をＡＡ
ＡＨ３３に返送する（）。この時、旧ＦＡ２１のアド
レスの情報を付加情報として返す。

【００８７】ＡＡＡＨ３３は位置登録応答メッセージ
（ＨＡＡ）を受信すると、ＶＰＮ情報キャッシュからＦ
Ａ−ＰＣＮのＶＰＮを抽出し、ＦＡに設定するこのＶＰ
Ｎのプロファイルを付加した認証応答メッセージ（ＡＭ
Ａ）をＡＡＡＦ２３’へ送信する（）。ＡＡＡＦ２
３’はＭＮ１のローカルドメイン内での移動に対応する
ためＶＰＮ情報をＡＡＡＦ内にキャッシュした後、それ
を新ＦＡ２１’に回送する。新ＦＡ２１’は認証応答メ
ッセージ（ＡＭＡ）に付加されたＶＰＮ情報をキャッシ
ュし、指定された差別化サービスのマッピングを行った
後、新ＦＡ２１’からＰＣＮ４１へのＩＰＳｅｃトンネ
ル（２）を設定する。また逆方向トンネルのパケットを
復号するための情報をＩＰＳｅｃ情報テーブルに設定す
る。

【００８８】本例のように認証応答メッセージ（ＡＭ
Ａ）に旧ＦＡ２１のアドレスが含まれている場合は、Ｖ
ＰＮ情報キャッシュを複写し、送信元ＧＷアドレスを旧
ＦＡ２１、宛先ＧＷアドレスを新ＦＡ２１’に書き換え
た後、このＶＰＮ情報をＢＵメッセージに付加して旧Ｆ
Ａ２１に送信する（）。旧ＦＡ２１はＢＵメッセージ
に付加されたＶＰＮ情報をキャッシュし、旧ＦＡ２１か
らＰＣＮ４１へのＩＰＳｅｃトンネルを削除し、指定さ
れた差別化サービスのマッピングを行った後、このＦＡ
２１から新ＦＡ２１’へスムーズハンドオフ時のＩＰＳ
ｅｃトンネル（３）を設定する。

【００８９】ＩＰＳｅｃトンネルの切り替え前にＭＮ１
宛にＰＣＮ４１から受信したパケットは全てこのＩＰＳ
ｅｃトンネルを介して新ＦＡ２１’へ回送される。旧Ｆ
Ａ２１はＩＰＳｅｃトンネル（３）の設定完了後にＢＡ
メッセージをＭＮに返す（）。それにより、新ＦＡ２
１’は登録応答メッセージ（Ｒｅｇ Ｒｅｐ）をＭＮ１
に返送する（’）。実施例５及び６に示すように、本
発明によればローミング契約ＩＳＰグループに加入して
いるユーザはグループ内の任意の通信先とＶＰＮを設定
でき、またＶＰＮを保持したままでグループ内を自由に
移動することができる。

【００９０】図３０は、本発明の第７の実施例を示した
ものである。本実施例はユーザ指定の任意の端末間での
ＶＰＮ設定例を示しており、これまではユーザが指定し
た特定の通信先に対してＶＰＮを設定する例を示した
が、ユーザがＶＰＮを設定する通信先を動的に設定する
こともできる。この実施例では、ユーザが契約時に指定
していた通信先以外の通信先にＶＰＮを設定する例を示
す。

【００９１】ＶＰＮ設定先の変更を望むユーザは、ユー
ザのホームＩＳＰ３が提供するＶＰＮサービスカスタマ
イズ用のホームページにアクセスする。ユーザは、この
ホームページを介して、通信先のアドレスを設定する。
このホームページと連動したＷＥＢアプリ３６はＶＰＮ
データベース３４の該ユーザのＶＰＮ情報をユーザが指
定した情報に変更する（）。ユーザのＭＮ１はカスタ
マイズが終了すると、サービス更新要求を付加した位置
登録要求メッセージ（Ｒｅｇ Ｒｅｑ）を現在接続して
いるＦＡ２１へ送出する（）。ＦＡ２１はサービス更
新要求が付加された登録要求を受信すると、この登録要
求を認証要求メッセージ（ＡＭＲ）に含めて自ＩＳＰ内
のローカルＡＡＡサーバ（ＡＡＡＦ）２３を介して、ユ
ーザのホームＩＳＰのＡＡＡ（ＡＡＡＨ）３３に送出す
る（）。

【００９２】ＡＡＡＨ３３は、ＶＰＮ情報キャッシュが
既に存在するか否かに関係なくサービス更新要求が付加
されたメッセージを受信すると、認証要求メッセージ
（ＡＭＲ）に含まれたＮＡＩでＶＰＮデータベース３４
を検索し、このユーザに固有のＶＰＮ情報を抽出する。
ＶＰＮデータベース３４にユーザ通信先として指定して
いるアドレスがローミング契約ＩＳＰ内であれば、ＣＮ
−ＧＷアドレス対応表からＶＰＮ動的設定可であること
がわかるので、本例ではＶＰＮ情報キャッシュにＦＡ２
１−通信先ＩＳＰのＧＷ（ＰＣＮ）４１’のＶＰＮを設
定する。ＨＡ３１にこのＶＰＮのプロファイルを付加し
た位置登録要求メッセージ（ＨＡＲ）を送信する
（）。

【００９３】ＨＡ３１は、位置登録要求メッセージ（Ｈ
ＡＲ）に付加されたＶＰＮ情報をキャッシュする。位置
登録処理終了後、ＶＰＮ情報に設定された通信先ＧＷ４
１’のＧＷ種別を参照し、ＶＰＮ動的設定可であるので
通信先端末ＣＮ４２’宛てにこのＶＰＮ情報を付加した
ＭＩＰ結合更新メッセージＢＵを送出する（）。Ｐ
ＣＮ４１’はＣＮ４２’宛てに送出されたＢＵを代理受
信し、ＢＵメッセージに付加されたＶＰＮ情報をキャッ
シュする。通知されたＶＰＮ情報に従い差別化サービス
のマッピングを行った後、ＰＣＮ４１’からＦＡ２１へ
のＩＰＳｅｃトンネル（１）を設定する。その後、ＭＩ
Ｐ結合承認メッセージＢＡをＨＡ３１に返送する。

【００９４】ＨＡ３１はＢＡメッセージを受信すると位
置登録応答メッセージ（ＨＡＡ）をＡＡＡＨ３３に返す
（）。ＡＡＡＨ３３は位置登録応答メッセージ（ＨＡ
Ａ）を受信すると、ＶＰＮ情報キャッシュからＦＡ２１
−通信先ＩＳＰのＧＷ（ＰＣＮ）４１’のＶＰＮを抽出
し、ＦＡ２１に設定するこのＶＰＮのプロファイルを付
加した認証応答メッセージ（ＡＭＡ）をＡＡＡＦ２３へ
送信する（）。ＡＡＡＦ２３はＭＮ１のローカルドメ
イン内での移動に対応するためＶＰＮ情報をＡＡＡＦ内
にキャッシュした後、それをＦＡ２１に回送する。

【００９５】ＦＡ２１は認証応答メッセージ（ＡＭＡ）
に付加されたＶＰＮ情報をキャッシュし、指定された差
別化サービスのマッピングを行った後、ＦＡ２１からＰ
ＣＮ４１’へのＩＰＳｅｃトンネル（２）を設定する。
また逆方向トンネルのパケットを復号するための情報を
ＩＰＳｅｃ情報テーブルに設定する。その後、登録応答
メッセージ（Ｒｅｇ Ｒｅｐ）をＭＮに返す（）。Ｖ
ＰＮ変更前に設定されていたＶＰＮが存在していれば、
ＶＰＮ情報を保持しているＰＣＮ４１はライフタイムの
残り時間が閾値以下になった時、このＶＰＮ情報を通知
してきたＨＡ３１へ結合要求メッセージＢＲを送出して
ＶＰＮを削除して良いか尋ねる（’）。

【００９６】ＨＡ３１はＢＲメッセージを受信すると、
それに設定されたＭＮ１の情報からＶＰＮ情報キャッシ
ュを検索し、このＰＣＮ４１に関するＶＰＮがまだキャ
ッシュされているか調べる。キャッシュされていればＢ
ＵメッセージをＰＣＮ４１へ送出する。キャッシュされ
ていなければ何も送らない。本例ではＰＣＮ４１はライ
フタイム満了までにＢＵが受信されないため既存のＶＰ
Ｎを削除する。このように、ユーザが動的にＶＰＮ設定
先を指定することもできる。本実施例では、単純にＷＥ
Ｂを介してＶＰＮ設定先を指定する例を示したが、本発
明の本質は、モバイル環境での指定された設定先へのＶ
ＰＮ情報の配布とその設定・解放手段であり、通信先の
指定方法とそれに伴うＶＰＮデータベース３４への反映
手段は様々なものが可能である。例えば、携帯電話によ
る通信先とＶＰＮコードのダイヤルや、通信先サーバか
らの１クリックＶＰＮ設定等の応用例が考えられる。

【００９７】（付記１）モバイルＩＰネットワークにお
けるＶＰＮシステムは、移動端末と、ユーザのホームネ
ットワークに設けられたホーム認証サーバとそれ以外の
外部ネットワークに設けられた外部認証サーバと、ホー
ムネットワークに設けられたＶＰＮデータベースと、ホ
ームネットワーク、外部ネットワーク、及び所定の通信
ホスト及び／又はその代理サーバの各ゲートウェイ機能
を有するネットワーク装置と、で構成され、ホーム認証
サーバは、移動端末からの位置登録要求時に認証を要求
したユーザのＶＰＮ情報をＶＰＮデータベースから抽出
し、そのＶＰＮ情報を所定の位置登録メッセージ及び認
証応答メッセージを用いて各ネットワーク装置に通知
し、各ネットワーク装置は、通知されたＶＰＮ情報を基
にホームネットワーク装置と外部ネットワーク装置間、
ホームネットワーク装置と所定のネットワーク装置間、
及び／又は外部ネットワーク装置と所定のネットワーク
装置間にそれぞれＩＰＳｅｃによるＶＰＮパスを設定す
る、ことを特徴とするＶＰＮシステム。 （付記２）認証サーバ及びネットワーク装置は、移動端
末の移動による位置登録要求と連動して認証サーバ及び
ネットワーク装置にキャッシュされたＶＰＮ情報を新経
路情報に更新するか、又はモバイルＩＰで通知される位
置情報で書き換えることにより、ホームネットワーク装
置と外部ネットワーク装置間、ホームネットワーク装置
と所定のネットワーク装置間、及び／又は外部ネットワ
ーク装置と所定のネットワーク装置間の各ＶＰＮパスを
新たなＩＰＳｅｃによるＶＰＮパスに自動更新する、付
記１記載のシステム。 （付記３）さらに、外部認証サーバと外部ネットワーク
装置間の所定の結合更新／承認メッセージにより、それ
らの間のスムースハンドオフ時にＩＰＳｅｃによるＶＰ
Ｎパスを設定する、付記２記載のシステム。 （付記４）ＶＰＮデータベースは、ユーザが所望するサ
ービス品質、セキュリティゲートウェイ間のセキュリテ
ィ・サービス情報、及びＶＰＮを設定する通信先ホスト
のＩＰアドレス群からなるユーザ単位のＶＰＮ情報を格
納する、付記１記載のシステム。 （付記５）ホーム認証サーバは、前記ＶＰＮデータベー
スのＶＰＮ情報と、自身が保有すると通信先ホストを収
容する所定のネットワーク装置との対応表を用い、所定
の認証要求メッセージに設定された移動端末が接続した
外部ネットワーク装置の情報と移動端末のホームネット
ワーク装置の情報からＶＰＮ設定経路を特定するＡＡＡ
ＶＰＮ制御部と、各ネットワーク装置間のサービス品質
とセキュリティ情報をサービスプロファイルとして、ア
クセスネットワークへの所定の認証応答メッセージ及び
ホームネットワークへの位置登録メッセージに設定する
ＡＡＡプロトコル処理部と、を有する付記１記載の装
置。 （付記６）各ネットワーク装置は、キャッシュによりＶ
ＰＮ情報が設定されたサービスプロファイルに関連する
プロトコル群を制御するＭＡプロトコル処理部と、その
サービスプロファイルに従ってサービス品質を保証する
ＱｏＳ制御とセキュリティゲートウェイ間のセキュリテ
ィを保証するためのトンネルを設定するＭＡＶＰＮ制御
部と、を有する付記１記載の装置。 （付記７）ＭＡプロトコル処理部は、さらに配下のモバ
イルＩＰをサポートしない通信ホストに代わってホーム
ネットワーク装置からの通信ホストへの結合更新メッセ
ージを代理受信し、結合更新で通知されたＶＰＮ情報が
設定されたサービスプロファイルを基に通信ホスト代わ
って他のネットワーク装置へのＩＰＳｅｃトンネルによ
るＶＰＮパスを設定するプロトコル処理を実行する、付
記６記載のシステム。 （付記８）モバイルＩＰネットワークにおけるＶＰＮの
設定方法は、 − ユーザのネットワーク装置からそのホームエージェ
ントに向けて静的なＩＰＳｅｃトンネルによるＶＰＮパ
スを設定すること、 − ユーザの移動端末から外部エージェントに位置登録
要求メッセージを送信すること、 − 外部エージェントは受信した位置登録要求情報を含
む認証要求メッセージを、自身のローカル認証サーバを
介してユーザのホーム認証サーバへ送信すること、 − ホーム認証サーバは、受信した認証要求メッセージ
より自身のデータベースを参照して通信先ホスト、ネッ
トワーク装置種別、及びユーザ別のセキュリティ・サー
ビス情報を抽出して外部−ホームエージェント間及びユ
ーザのネットワーク装置−ホームエージェント間のＶＰ
Ｎ情報をキャッシュし、それらを含む位置登録要求メッ
セージをホームエージェントに送信すること、 − ホームエージェントは、受信した位置登録要求メッ
セージをキャッシュし、指定されたセキュリティ・サー
ビスを設定し、ホームエージェントから通信先ホストで
あるユーザのネットワーク装置及び外部エージェントに
向けたＩＰＳｅｃトンネルによるＶＰＮパスを設定し、
位置登録処理の終了後に位置登録応答メッセージをホー
ム認証サーバに送信すること、 − ホーム認証サーバは、位置登録応答メッセージの受
信により、キャッシュしてある外部−ホームエージェン
ト間のＶＰＮ情報を付加した認証応答メッセージを外部
エージェントのローカル認証サーバに送信すること、 − ローカル認証サーバは、受信した認証応答メッセー
ジをそのホーム−外部エージェント間のＶＰＮ情報をキ
ャッシュしてから外部エージェントへ送信すること、 − 外部エージェントは、受信した認証応答メッセージ
に含まれるＶＰＮ情報をキャッシュし、指定されたセキ
ュリティ・サービスを設定し、外部エージェントからホ
ームエージェントに向けたＩＰＳｅｃトンネルによるＶ
ＰＮパスを設定した後、ユーザの移動端末へ位置登録応
答メッセージを返送すること、から成ることを特徴とす
るＶＰＮの設定方法。 （付記９）さらに、 − ユーザの移動端末が同一ネットワーク内の新たな外
部エージェントのエリアに移動し、そこから旧外部エー
ジェントの位置情報を含む位置登録要求メッセージを送
信すること、 − 新外部エージェントは受信した位置登録要求情報を
含む認証要求メッセージを、ローカル認証サーバへ送信
すること、 − ローカル認証サーバは、キャッシュしてある外部−
ホームエージェント間のＶＰＮ情報の外部エージェント
情報を新外部エージェントの情報に書き換え、その情報
を含む認証応答メッセージを新外部エージェントに送信
すること、 − 新外部エージェントは、受信した位置登録要求メッ
セージをホームエージェントへ回送すること、 − ホームエージェントは、受信した位置登録要求情報
よりキャッシュしてある外部−ホームエージェント間の
ＶＰＮ情報の外部エージェント情報を新外部エージェン
トの情報に書き換え、ホームエージェントから旧外部エ
ージェントに向けたＶＰＮパスを削除し、指定されたセ
キュリティ・サービスを設定したホームエージェントか
ら新外部エージェントに向けたＩＰＳｅｃトンネルによ
るＶＰＮパスを設定し、位置登録処理の終了後に位置登
録応答メッセージを新外部エージェントに送信するこ
と、 − 新外部エージェントは、受信した位置登録応答メッ
セージに含まれるＶＰＮ情報をキャッシュし、指定され
たセキュリティ・サービスを設定し、新外部エージェン
トからホームエージェントに向けたＩＰＳｅｃトンネル
によるＶＰＮパスを設定した後、ユーザの移動端末へ位
置登録応答メッセージを返送すること、を含む付記８記
載の方法。 （付記１０）さらに、 − ユーザの移動端末が別のネットワーク内の新たな外
部エージェントのエリアに移動し、そこから旧外部エー
ジェントの位置情報を含む位置登録要求メッセージを送
信すること、 − 新外部エージェントは受信した位置登録要求情報を
含む認証要求メッセージを、自身のローカル認証サーバ
を介してユーザのホーム認証サーバへ送信すること、 − ホーム認証サーバは、受信した認証要求メッセージ
よりキャッシュしてある外部−ホームエージェント間の
ＶＰＮ情報の外部エージェント情報を新外部エージェン
トの情報に書き換え、その情報を含む位置登録要求メッ
セージをホームエージェントに送信すること、 − ホームエージェントは、受信した位置登録要求情報
によりキャッシュしてあるＶＰＮ情報を更新し、ホーム
エージェントから旧外部エージェントに向けたＶＰＮパ
スを削除し、指定されたセキュリティ・サービスを設定
したホームエージェントから新外部エージェントに向け
たＩＰＳｅｃトンネルによるＶＰＮパスを設定し、位置
登録処理の終了後に位置登録応答メッセージをホーム認
証サーバに送信すること、 − ホーム認証サーバは、位置登録応答メッセージの受
信により、キャッシュしてある外部−ホームエージェン
ト間のＶＰＮ情報を付加した認証応答メッセージを新外
部エージェントのローカル認証サーバに送信すること、 − ローカル認証サーバは、受信した認証応答メッセー
ジをキャッシュしてあるＶＰＮ情報を更新してから新外
部エージェントへ回送すること、 − 新外部エージェントは、受信した認証応答メッセー
ジに含まれるＶＰＮ情報をキャッシュし、指定されたセ
キュリティ・サービスを設定し、及び新外部エージェン
トからホームエージェントに向けたＩＰＳｅｃトンネル
によるＶＰＮパスを設定した後、ユーザの移動端末へ位
置登録応答メッセージを返送すること、を含む付記８記
載の方法。 （付記１１）モバイルＩＰネットワークにおけるＶＰＮ
の設定方法は、 − ユーザの移動端末から外部エージェントに位置登録
要求メッセージを送信すること、 − 外部エージェントは受信した位置登録要求情報を含
む認証要求メッセージを、自身のローカル認証サーバを
介してユーザのホーム認証サーバへ送信すること、 − ホーム認証サーバは、受信した認証要求メッセージ
より自身のデータベースを参照して通信先ホスト、ネッ
トワーク装置種別、及びユーザ別のセキュリティ・サー
ビス情報を抽出し、ネットワーク装置種別がＶＰＮ動的
設定可である場合はＶＰＮキャッシュに外部エージェン
ト−通信先ネットワーク装置のＶＰＮを設定して、それ
らの情報を含む位置登録要求メッセージをホームエージ
ェントに送信すること、 − ホームエージェントは、受信した位置登録要求メッ
セージをキャッシュし、位置登録処理の終了後にネット
ワーク装置種別がＶＰＮ動的設定可である場合は通信先
ホスト宛にこのＶＰＮ情報を付加した結合更新メッセー
ジを送出すること、 − ネットワーク装置は結合更新メッセージを代理受信
し、それに付加されたＶＰＮ情報をキャッシュし、指定
されたセキュリティ・サービスを設定し、ネットワーク
装置から外部エージェントに向けたＩＰＳｅｃトンネル
によるＶＰＮパスを設定し、その後に結合承認メッセー
ジをホームエージェントに送信すること、 − ホームエージェントは、結合承認メッセージを受信
すると、位置登録応答メッセージをホーム認証サーバへ
送信すること、 − ホーム認証サーバは、位置登録応答メッセージの受
信により、キャッシュしてある外部エージェント−ネッ
トワーク装置間のＶＰＮ情報を付加した認証応答メッセ
ージを外部エージェントのローカル認証サーバに送信す
ること、 − ローカル認証サーバは、受信した認証応答メッセー
ジをその付加されたＶＰＮ情報をキャッシュしてから外
部エージェントへ送信すること、 − 外部エージェントは、受信した認証応答メッセージ
に含まれるＶＰＮ情報をキャッシュし、指定されたセキ
ュリティ・サービスを設定し、外部エージェントからネ
ットワーク装置に向けたＩＰＳｅｃトンネルによるＶＰ
Ｎパスを設定した後、ユーザの移動端末へ位置登録応答
メッセージを返送すること、から成ることを特徴とする
ＶＰＮの設定方法。 （付記１２）さらに、 − ユーザの移動端末が同一ネットワーク内の新たな外
部エージェントのエリアに移動し、そこから旧外部エー
ジェントの位置情報を含む位置登録要求メッセージを送
信すること、 − 新外部エージェントは受信した位置登録要求情報を
含む認証要求メッセージを、ローカル認証サーバへ送信
すること、 − ローカル認証サーバは、キャッシュしてある外部エ
ージェント−ネットワーク装置間のＶＰＮ情報の外部エ
ージェント情報を新外部エージェントの情報に書き換
え、その情報を含む認証応答メッセージを新外部エージ
ェントに送信すること、 − 新外部エージェントは、受信した位置登録要求メッ
セージをホームエージェントへ回送すること、 − ホームエージェントは、受信した位置登録要求情報
よりキャッシュしてある外部エージェント−ネットワー
ク装置間のＶＰＮ情報の外部エージェント情報を新外部
エージェントの情報に書き換え、ネットワーク装置種別
がＶＰＮ動的設定可である場合は通信先ホスト宛にこの
ＶＰＮ情報を付加した結合更新メッセージを送出するこ
と、 − ネットワーク装置は受信した結合更新メッセージよ
りキャッシュしてあるＶＰＮ情報を更新し、ネットワー
ク装置から旧外部エージェントに向けたＶＰＮパスを削
除し、指定されたセキュリティ・サービスを設定したネ
ットワーク装置から新外部エージェントに向けたＩＰＳ
ｅｃトンネルによるＶＰＮパスを設定し、その後に結合
承認メッセージをホームエージェントに送信すること、 − ホームエージェントは、結合承認メッセージを受信
すると、位置登録応答メッセージを新外部エージェント
へ送信すること、 − 新外部エージェントは、受信した位置登録応答メッ
セージに含まれるＶＰＮ情報をキャッシュし、指定され
たセキュリティ・サービスを設定し、新外部エージェン
トからネットワーク装置に向けたＩＰＳｅｃトンネルに
よるＶＰＮパスを設定した後、ユーザの移動端末へ位置
登録応答メッセージを返送すること、を含む付記１１記
載の方法。 （付記１３）さらに、 − ユーザの移動端末が別のネットワーク内の新たな外
部エージェントのエリアに移動し、そこから旧外部エー
ジェントの位置情報を含む位置登録要求メッセージを送
信すること、 − 新外部エージェントは受信した位置登録要求情報を
含む認証要求メッセージを、自身のローカル認証サーバ
を介してユーザのホーム認証サーバへ送信すること、 − ホーム認証サーバは、受信した認証要求メッセージ
よりキャッシュしてある外部エージェント−ネットワー
ク装置間のＶＰＮ情報の外部エージェント情報を新外部
エージェントの情報に書き換え、その情報を含む位置登
録要求メッセージをホームエージェントに送信するこ
と、 − ホームエージェントは、受信した位置登録要求情報
によりキャッシュしてあるＶＰＮ情報を更新し、ネット
ワーク装置種別がＶＰＮ動的設定可である場合は通信先
ホスト宛にこのＶＰＮ情報を付加した結合更新メッセー
ジを送出すること、 − ネットワーク装置は受信した結合更新メッセージよ
りキャッシュしてあるＶＰＮ情報を更新し、ネットワー
ク装置から旧外部エージェントに向けたＶＰＮパスを削
除し、指定されたセキュリティ・サービスを設定したネ
ットワーク装置から新外部エージェントに向けたＩＰＳ
ｅｃトンネルによるＶＰＮパスを設定し、その後に結合
承認メッセージをホームエージェントに送信すること、 − ホームエージェントは、結合承認メッセージを受信
すると、位置登録応答メッセージをホーム認証サーバへ
送信すること、 − ホーム認証サーバは、位置登録応答メッセージの受
信により、キャッシュしてある外部エージェント−ネッ
トワーク装置間のＶＰＮ情報を付加した認証応答メッセ
ージを新外部エージェントのローカル認証サーバに送信
すること、 − ローカル認証サーバは、受信した認証応答メッセー
ジをその付加されたＶＰＮ情報をキャッシュしてから新
外部エージェントへ回送すること、 − 新外部エージェントは、受信した認証応答メッセー
ジに含まれるＶＰＮ情報をキャッシュし、指定されたセ
キュリティ・サービスを設定し、新外部エージェントか
らネットワーク装置に向けたＩＰＳｅｃトンネルによる
ＶＰＮパスを設定した後、ユーザの移動端末へ登録応答
メッセージを返送すること、を含む付記１１記載の方
法。 （付記１４）さらに、 − 新外部エージェントは、キャッシュしてあるＶＰＮ
情報を複写して、送信元を旧外部エージェント及び送信
先を新外部エージェントに書き換えたＶＰＮ情報を付加
した結合更新メッセージを旧外部エージェントへ送信す
ること、 − 旧外部エージェントは、受信した結合更新メッセー
ジのＶＰＮ情報をキャッシュし、旧外部エージェントか
らホームエージェントに向けたＶＰＮパスを削除し、指
定されたセキュリティ・サービスを設定した旧外部エー
ジェントから新外部エージェントに向けたＩＰＳｅｃト
ンネルによるＶＰＮパスを設定した後、新外部エージェ
ントへ結合承認メッセージを送信すること、を含む付記
９又は１２記載の方法。 （付記１５）さらに、 − 新外部エージェントは、認証応答メッセージに旧外
部エージェントの情報が含まれている時は、キャッシュ
してあるＶＰＮ情報を複写して、送信元を旧外部エージ
ェント及び送信先を新外部エージェントに書き換えたＶ
ＰＮ情報を付加した結合更新メッセージを旧外部エージ
ェントへ送信すること、 − 旧外部エージェントは、受信した結合更新メッセー
ジのＶＰＮ情報をキャッシュし、旧外部エージェントか
らホームエージェントに向けたＶＰＮパスを削除し、指
定されたセキュリティ・サービスを設定した旧外部エー
ジェントから新外部エージェントに向けたＩＰＳｅｃト
ンネルによるＶＰＮパスを設定した後、新外部エージェ
ントへ結合確認メッセージを送信すること、を含む付記
１０又は１３記載の方法。 （付記１６）さらに、 − ユーザが所定の通信手段によりそのホーム認証サー
バのデータベースへアクセスしてユーザのＶＰＮ情報を
カスタマイズし、それによりネットワーク装置種別がＶ
ＰＮ動的設定可であるネットワーク装置に通信先を変更
すること、 − ユーザの移動端末から外部エージェントにサービス
更新要求を付加した位置登録要求メッセージを送信する
こと、を含む付記１１記載の方法。 （付記１７）さらに、 − ネットワーク装置は配下の通信ホストのライフタイ
ムを計測し、残りのライフタイムが所定閾値以下になっ
た時にそのＶＰＮ情報を通知してきたホームエージェン
トに結合要求メッセージを送信し、結合更新メッセージ
を受信しない場合には前記ＶＰＮ情報を削除すること、 − ホームエージェントは受信した結合要求メッセージ
に含まれるユーザの移動端末の情報からキャッシュして
あるＶＰＮ情報を検索し、前記ネットワーク装置の情報
が存在する場合は結合更新メッセージを送信し、存在し
ない場合には放置すること、を含む付記１６記載の方
法。

【００９８】

【発明の効果】以上説明したように、本発明によれば以
下に示す効果が奏される。 １）モバイルＩＰにおける位置登録手順に連携して、通
信に関与する端末の公衆ＩＰネットワークへのセキュリ
ティゲートウェイに動的にＩＰＳｅｃを用いたＶＰＮを
設定する事で、ＭＮやＣＮにＶＰＮ用の特殊な機能を持
たせる事無しに、任意の端末間でのＶＰＮ設定サービス
の提供を可能にする。 ２）ユーザが自由に組み合わせて指定したサービス品
質、セキュリティレベル、経路でのＶＰＮ設定を可能に
する。 ３）ＭＮの移動に伴い、ＶＰＮの経路を自動更新するこ
とを可能にする。

【図面の簡単な説明】

【図１】既存提案によるモバイルＩＰ＋ＩＰＳｅｃの適
用例を示した図である。

【図２】本発明によるネットワーク構成の一例を示した
図である。

【図３】本発明の機能ブロック構成例を示した図であ
る。

【図４】本発明の第１の実施例を示した図である。

【図５】ＶＰＮデータベースの構成例を示した図であ
る。

【図６】ＡＡＡの詳細機能ブロック構成例を示した図で
ある。

【図７】ＶＰＮ情報キャッシュの構成例を示した図であ
る。

【図８】ＣＮ−ＧＷアドレス対応表を示した図である。

【図９】ＡＡＡの全体処理フロー例を示した図である。

【図１０】ＡＡＡプロトコル処理部の処理フロー例を示
した図である。

【図１１】図１０でのメッセージ対応表を示した図であ
る。

【図１２】ＡＡＡＶＰＮ制御部の処理フロー例を示した
図である。

【図１３】ＶＰＮ経路決定制御部の処理フロー例を示し
た図である。

【図１４】ＭＡ（ＦＡ，ＨＡ，ＰＣＮ）の詳細機能ブロ
ック例を示した図である。

【図１５】ＩＰＳｅｃ情報テーブルの構成例を示した図
である。

【図１６】ルートテーブルの構成例を示した図である。

【図１７】ＭＡの全体処理フロー例を示した図である。

【図１８】ＭＡプロトコル処理部の処理フロー例を示し
た図である。

【図１９】ＡＡＡプロトコル処理部の処理フロー例を示
した図である。

【図２０】モバイルＩＰプロトコル処理部の処理フロー
例を示した図である。

【図２１】図２０でのメッセージ対応表を示した図であ
る。

【図２２】ＭＡＶＰＮ制御部の処理フロー例を示した図
である。

【図２３】ＱｏＳ制御部の処理フロー例を示した図であ
る。

【図２４】トンネル制御部の処理フロー例を示した図で
ある。

【図２５】本発明の第２の実施例を示した図である。

【図２６】本発明の第３の実施例を示した図である。

【図２７】本発明の第４の実施例を示した図である。

【図２８】本発明の第５の実施例を示した図である。

【図２９】本発明の第６の実施例を示した図である。

【図３０】本発明の第７の実施例を示した図である。

【符号の説明】

１…モバイルノード ２〜５…ＩＳＰネットワーク ２１、３１、４１、５１…セキュリティゲートウェイ ２３、３３…ＡＡＡ認証サーバ ３４…ＶＰＮデータベース ３６…ウェブアプリケーション

───────────────────────────────────────────────────── フロントページの続き (72)発明者 五十嵐 洋一郎 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 村田 一徳 福岡県福岡市早良区百道浜２丁目２番１号 富士通西日本コミュニケーション・シス テムズ株式会社内 (72)発明者 若本 雅晶 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 Ｆターム(参考） 5K030 GA15 HA08 HC01 HC09 HD03 JA01 JL01 JL07 JT03 JT09 KA07 KA13 LA08 LB01 LC06 LD19 MA06

Claims (10)

【特許請求の範囲】
1. 【請求項１】 ＩＰネットワーク上で端末がネットワー
   ク間を移動したときに、ＩＰアドレスの管理と移動先へ
   の通信パケットの転送を自動化したプロトコルを用いた
   ネットワークのホームネットワークに設けられるサーバ
   装置において、 前記端末と関連つけて、ＩＰネットワーク内に安全な通
   信路を構築するための情報を記憶する記憶手段と、 移動先の外部ネットワーク内の前記端末と、前記端末と
   通信を行う相手先端末との間に安全な通信路を構築でき
   るように前記情報を分配する分配手段とを設けたことを
   特徴とするサーバ装置。
2. 【請求項２】 前記分配手段は、相手先端末のある外部
   ネットワークのルータへ前記情報を転送することを特徴
   とする請求項１に記載のサーバ装置。
3. 【請求項３】 前記安全な通信経路は仮想プライベート
   ・ネットワークで実現される通信路であり、前記情報は
   前記仮想プライベート・ネットワークとしての設定経路
   情報とセキュリティ情報を含む情報であることを特徴と
   する請求項１に記載のサーバ装置。
4. 【請求項４】 前記分配手段は、前記端末からの位置登
   録要求メッセージに対する認証応答メッセージ送出時
   に、前記情報を分配することを特徴とする請求項１に記
   載のサーバ装置。
5. 【請求項５】 前記分配手段は、通信先となる相手先端
   末からの通信パケットを受け取った後に、前記情報を分
   配することを特徴とする請求項１に記載のサーバ装置。
6. 【請求項６】 モバイルＩＰネットワークにおけるＶＰ
   Ｎシステムは、 移動端末と、 ユーザのホームネットワークに設けられたホーム認証サ
   ーバとそれ以外の外部ネットワークに設けられた外部認
   証サーバと、 ホームネットワークに設けられたＶＰＮデータベース
   と、 ホームネットワーク、外部ネットワーク、及び所定の通
   信ホスト及び／又はその代理サーバの各ゲートウェイ機
   能を有するネットワーク装置と、 で構成され、 ホーム認証サーバは、移動端末からの位置登録要求時に
   認証を要求したユーザのＶＰＮ情報をＶＰＮデータベー
   スから抽出し、そのＶＰＮ情報を所定の位置登録メッセ
   ージ及び認証応答メッセージを用いて各ネットワーク装
   置に通知し、 各ネットワーク装置は、通知されたＶＰＮ情報を基にホ
   ームネットワーク装置と外部ネットワーク装置間、ホー
   ムネットワーク装置と所定のネットワーク装置間、及び
   ／又は外部ネットワーク装置と所定のネットワーク装置
   間にそれぞれＩＰＳｅｃによるＶＰＮパスを設定する、
   ことを特徴とするＶＰＮシステム。
7. 【請求項７】 認証サーバ及びネットワーク装置は、移
   動端末の移動による位置登録要求と連動して認証サーバ
   及びネットワーク装置にキャッシュされたＶＰＮ情報を
   新経路情報に更新するか、又はモバイルＩＰで通知され
   る位置情報で書き換えることにより、ホームネットワー
   ク装置と外部ネットワーク装置間、ホームネットワーク
   装置と所定のネットワーク装置間、及び／又は外部ネッ
   トワーク装置と所定のネットワーク装置間の各ＶＰＮパ
   スを新たなＩＰＳｅｃによるＶＰＮパスに自動更新す
   る、請求項６記載のシステム。
8. 【請求項８】 ホーム認証サーバは、 前記ＶＰＮデータベースのＶＰＮ情報と、自身が保有す
   ると通信先ホストを収容する所定のネットワーク装置と
   の対応表を用い、所定の認証要求メッセージに設定され
   た移動端末が接続した外部ネットワーク装置の情報と移
   動端末のホームネットワーク装置の情報からＶＰＮ設定
   経路を特定するＡＡＡＶＰＮ制御部と、 各ネットワーク装置間のサービス品質とセキュリティ情
   報をサービスプロファイルとして、アクセスネットワー
   クへの所定の認証応答メッセージ及びホームネットワー
   クへの位置登録メッセージに設定するＡＡＡプロトコル
   処理部と、 を有する請求項６記載の装置。
9. 【請求項９】 各ネットワーク装置は、 キャッシュによりＶＰＮ情報が設定されたサービスプロ
   ファイルに関連するプロトコル群を制御するＭＡプロト
   コル処理部と、 そのサービスプロファイルに従ってサービス品質を保証
   するＱｏＳ制御とセキュリティゲートウェイ間のセキュ
   リティを保証するためのトンネルを設定するＭＡＶＰＮ
   制御部と、 を有する請求項６記載の装置。
10. 【請求項１０】 モバイルＩＰネットワークにおけるＶ
    ＰＮの設定方法は、 − ユーザの移動端末から外部エージェントに位置登録
    要求メッセージを送信すること、 − 外部エージェントは受信した位置登録要求情報を含
    む認証要求メッセージを、自身のローカル認証サーバを
    介してユーザのホーム認証サーバへ送信すること、 − ホーム認証サーバは、受信した認証要求メッセージ
    より自身のデータベースを参照して通信先ホスト、ネッ
    トワーク装置種別、及びユーザ別のセキュリティ・サー
    ビス情報を抽出し、ネットワーク装置種別がＶＰＮ動的
    設定可である場合はＶＰＮキャッシュに外部エージェン
    ト−通信先ネットワーク装置のＶＰＮを設定して、それ
    らの情報を含む位置登録要求メッセージをホームエージ
    ェントに送信すること、 − ホームエージェントは、受信した位置登録要求メッ
    セージをキャッシュし、位置登録処理の終了後にネット
    ワーク装置種別がＶＰＮ動的設定可である場合は通信先
    ホスト宛にこのＶＰＮ情報を付加した結合更新メッセー
    ジを送出すること、 − ネットワーク装置は結合更新メッセージを代理受信
    し、それに付加されたＶＰＮ情報をキャッシュし、指定
    されたセキュリティ・サービスを設定し、ネットワーク
    装置から外部エージェントに向けたＩＰＳｅｃトンネル
    によるＶＰＮパスを設定し、その後に結合承認メッセー
    ジをホームエージェントに送信すること、 − ホームエージェントは、結合承認メッセージを受信
    すると、位置登録応答メッセージをホーム認証サーバへ
    送信すること、 − ホーム認証サーバは、位置登録応答メッセージの受
    信により、キャッシュしてある外部エージェント−ネッ
    トワーク装置間のＶＰＮ情報を付加した認証応答メッセ
    ージを外部エージェントのローカル認証サーバに送信す
    ること、 − ローカル認証サーバは、受信した認証応答メッセー
    ジをその付加されたＶＰＮ情報をキャッシュしてから外
    部エージェントへ送信すること、 − 外部エージェントは、受信した認証応答メッセージ
    に含まれるＶＰＮ情報をキャッシュし、指定されたセキ
    ュリティ・サービスを設定し、外部エージェントからネ
    ットワーク装置に向けたＩＰＳｅｃトンネルによるＶＰ
    Ｎパスを設定した後、ユーザの移動端末へ位置登録応答
    メッセージを返送すること、 から成ることを特徴とするＶＰＮの設定方法。