JP2005072668A

JP2005072668A - Vpn communication system and vpn tunnel forming method

Info

Publication number: JP2005072668A
Application number: JP2003208890A
Authority: JP
Inventors: Hideki Kitahama; 秀基北濱; So Ishida; 創石田
Original assignee: NTT Docomo Inc
Current assignee: NTT Docomo Inc
Priority date: 2003-08-26
Filing date: 2003-08-26
Publication date: 2005-03-17
Anticipated expiration: 2023-08-26
Also published as: JP4180458B2

Abstract

<P>PROBLEM TO BE SOLVED: To provide a VPN communication system capable of making secret communication while excluding packets causing a defect by utilizing VPN encryption communication and packet filtering by mobile firewall at the same time and relieving a load imposed on users and improving the convenience when mobile communication terminals use the VPN functions, and a VPN tunnel forming method. <P>SOLUTION: A CN 12 being a communication opposite party registers VPN connection opposite party information required for communication through a VPN tunnel to a database on a mobile communication network 20. A mobile firewall apparatus 18-1 on the mobile communication network 20 acquires the VPN connection opposite party information at the reception of packets received from an MN 22 connected to the communication network and forms a VPN tunnel 24-1 between itself and a VPN gateway apparatus 16 when receiving packets to the CN 12 and the information of the received packets is coincident with the destination of the VPN connection opposite party information having been acquired before. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、携帯電話機やＰＤＡ（ＰｅｒｓｏｎａｌＤｉｇｉｔａｌＡｓｓｉｓｔａｎｃｅ）などの移動通信端末機にて行われるＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）パケットによる通信を、セキュリティを確保しながら行うことができるＶＰＮ通信システム及びＶＰＮトンネル形成方法に関する。
【０００２】
【従来の技術】
一般的に、ファイアウォールは、モバイルファイアウォールを含めて、ＩＰパケット（以降、パケットという）の送信元アドレス・宛先アドレス・ポート番号、更にはパケット内容や通信パターンから判断して、パケットを通過させるか否かを決定する機能である。所謂、パケットのヘッダに含まれる情報をもとに通信を制御するパケットフィルタリングを行う機能である。
【０００３】
ここで、仮にユーザが移動通信端末機に暗号化通信を用いると、モバイルファイアウォールは、ポート番号やパケット内容を見ることができないため、これらの情報を用いたパケットのフィルタリングが不可能となってしまう。このため、モバイルファイアウォールでパケット内容に基づくパケットフィルタリングを用いるためには、ユーザが暗号化通信を使用しないことが前提となっている。このようなモバイルファイアウォールとしては、例えば下記の特許文献１に記載の技術内容がある。
【０００４】
上述したように、モバイルファイアウォールでは、暗号化通信を使用しないことを前提としている。しかし、現在では、例えば社内の重要なデータの送受信を、外部からインターネットや公衆回線網を通じて行うことが増えている。このため、盗聴や改竄等から保護する必要があるので、ＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ：仮想私設網）に代表される暗号化を用いた秘匿通信に対するユーザの需要が高まっている。
【０００５】
ＶＰＮとは、インターネットや公衆回線網などのグローバルなネットワークに特定のユーザしか認識できない仮想の通信路（トンネル）を構築して通信する方法である。このＶＰＮを構築する方法をトンネリングと呼ぶ。必要な場合は、トンネリングの他に暗号化処理が適用される。
この種の従来のＶＰＮを用いた通信システムとして、例えば特許文献２に記載のものがある。この内容は次の通りである。ＩＰ通信網に接続されるＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）の間にＶＰＮを設定している時、そのＬＡＮがＩＰ通信網への接続位置を移動した場合でも自動的にＶＰＮの設定を保持する。ＩＰ通信網にＶＰＮトンネルを設定し、その後、そのＶＰＮトンネルが設定されたＬＡＮの何れかが、ＩＰ通信網に接続されるＬＡＮ収容装置の場所を移動した場合に、ＬＡＮ収容装置間にモバイルＩＰトンネルを設定し、このモバイルＩＰトンネルと元のＶＰＮトンネルとを連結して新たなＶＰＮを形成する。これによって、移動後もＬＡＮ間のＶＰＮの設定を自動的に保持するといった技術である。
【０００６】
【特許文献１】
特願２００２−３４６２７１号公報
【特許文献２】
特開２００２−７７２７３号公報
【０００７】
【発明が解決しようとする課題】
しかし、従来の通信システムにおいては、ＶＰＮに代表される暗号化を用いた秘匿通信に対するユーザの需要が高まっていることから、暗号化通信をモバイルファイアウォールの適用対処外として無視することはもはやできなくなってきている。
そこで、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォールのパケットフィルタリングを利用できるサービスを提供する必要があるが、実際には、上述したように、移動通信端末機に暗号化通信を用いると、モバイルファイアウォールは、ポート番号やパケット内容を見ることができないため、これらの情報を用いたパケットのフィルタリングが不可能となってしまうという問題がある。
【０００８】
また、上記特許文献１に開示されているモバイルファイアウォールでは、想定環境とする移動通信サービスにおいて、様々な移動通信端末機が接続されるとしているが、その中にはセキュリティ機能を全く搭載できない移動通信端末機も存在すると考えられる。この様な移動通信端末機は、それ自体ではＶＰＮサービスを利用できないという問題がある。
【０００９】
更に、例え移動通信端末機が高性能でＶＰＮ機能を搭載できるとしても、ユーザがその機能を有効に活用できるとは限らない。モバイルファイアウォールのサービス提供環境では、様々なレベルのユーザがネットワーク接続サービスを利用するので、セキュリティ知識レベルの低いユーザは、セキュリティの機能を設定・使用することができないことがある。またレベルの高いユーザですら、その設定・使用を面倒なものと考えるかもしれない。つまり、ユーザの負担が大きく、利便性が悪いという問題がある。
【００１０】
また、上記特許文献２においては、ＩＰ通信網への接続位置を移動した場合にも自動的にＶＰＮの設定を保持するが、パケットフィルタリングを同時に実行することができないので、移動通信端末機に不具合を及ぼすパケットを通過させてしまうという問題がある。
本発明は、このような課題に鑑みてなされたものであり、ＶＰＮによる暗号化通信とモバイルファイアウォールによるパケットフィルタリングとを同時に利用可能とすることによって、不具合要因となるパケットの排除を行いながら秘匿通信を行うことを可能とし、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができるＶＰＮ通信システム及びＶＰＮトンネル形成方法を提供することを目的としている。
【００１１】
【課題を解決するための手段】
上記目的を達成するために、本発明の請求項１によるＶＰＮ通信システムは、通信網に、暗号化処理を用いてパケットを伝送するためのＶＰＮトンネルを形成し、このＶＰＮトンネルを介して移動通信端末機と通信先端末機とが通信を行うＶＰＮ通信システムにおいて、前記通信先端末機が前記ＶＰＮトンネルを介して通信を行うために必要な通信先端末機情報を登録したデータベースと、前記通信先端末機が前記ＶＰＮトンネルを介して通信を行う際に通信形式の整合をとって通信可能とするゲートウェイ装置と、前記移動通信端末機が通信網に接続した際のパケットの受信時に前記データベースから通信先端末機情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するモバイルファイアウォール装置とを備えたことを特徴としている。
【００１２】
この構成によれば、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
また、本発明の請求項２によるＶＰＮ通信システムは、請求項１において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、前記取得した内部状態情報をもとに前記ゲートウェイ装置との間にＶＰＮトンネルを形成することを特徴としている。
【００１３】
この構成によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてゲートウェイ装置との間にＶＰＮトンネルを形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００１４】
また、本発明の請求項３によるＶＰＮ通信システムは、請求項１において、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を更に備え、前記モバイルファイアウォール装置は、前記受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡し、前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成することを特徴としている。
【００１５】
この構成によれば、プロキシ装置がＶＰＮトンネルの終端装置として動作し、また、プロキシ装置とモバイルファイアウォール装置との間に暗号化トンネルを形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
【００１６】
また、本発明の請求項４によるＶＰＮ通信システムは、請求項３において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得し、この取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成することを特徴としている。
【００１７】
この構成によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてプロキシ装置との間に暗号化トンネルを形成する。この暗号化トンネルは、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００１８】
また、本発明の請求項５によるＶＰＮトンネル形成方法は、通信網に、暗号化を用いて移動通信端末機と通信先端末機間の通信パケットを伝送するためのＶＰＮトンネルを形成するＶＰＮトンネル形成方法において、通信網上のデータベースに、前記通信先端末機が前記ＶＰＮトンネルを介して通信を行うために必要な通信先端末機情報を登録する第１のステップと、前記移動通信端末機が通信を行う通信網上のモバイルファイアウォール装置は、前記移動通信端末機が通信網に接続した際のパケットの受信時に、前記データベースから通信先端末機情報を取得する第２のステップと、当該モバイルファイアウォール装置が、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記第２のステップにおいて取得した通信先端末機情報との宛先が一致した際に、ゲートウェイ装置との間にＶＰＮトンネルを形成する第３のステップとを含むことを特徴としている。
【００１９】
この方法によれば、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
また、本発明の請求項６によるＶＰＮトンネル形成方法は、請求項５において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得する第４のステップと、当該ハンドオーバ先のモバイルファイアウォール装置は、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記第４のステップで取得した通信先端末機情報との宛先が一致した際に、前記第４のステップで取得した内部状態情報をもとに前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第５のステップとを更に含むことを特徴としている。
【００２０】
この方法によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてゲートウェイ装置との間にＶＰＮトンネルを形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００２１】
また、本発明の請求項７によるＶＰＮトンネル形成方法は、請求項５において、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を備えた際に、前記モバイルファイアウォール装置は、前記第５のステップにおいて前記受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡する第６のステップと、前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第７のステップとを更に含むことを特徴としている。
【００２２】
この方法によれば、プロキシ装置がＶＰＮトンネルの終端装置として動作し、また、プロキシ装置とモバイルファイアウォール装置との間に暗号化トンネルを形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
【００２３】
また、本発明の請求項８によるＶＰＮトンネル形成方法は、請求項７において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得する第８のステップと、当該ハンドオーバ先のモバイルファイアウォール装置は、前記第８のステップで取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成する第９のステップとを更に含むことを特徴としている。
【００２４】
この方法によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてプロキシ装置との間に暗号化トンネルを形成する。この暗号化トンネルは、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００２５】
【発明の実施の形態】
以下、本発明の実施の形態を、図面を参照して説明する。
（第１の実施の形態）
図１は、本発明の第１の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
図１に示すＶＰＮ通信システム１０は、パーソナルコンピュータ等のＣＮ（ＣｏｒｒｅｓｐｏｎｄｅｎｔＮｏｄｅ）１２を有するリモートネットワーク１４と、ＶＰＮゲートウェイ装置１６及び複数（ここでは第１及び第２）のモバイルファイアウォール装置１８−１，１８−２を有する移動通信ネットワーク２０と、各モバイルファイアウォール装置１８−１，１８−２と無線回線にて通信を行う移動通信端末機であるＭＮ（ＭｏｂｉｌｅＮｏｄｅ）２２とを備えて構成されている。
【００２６】
但し、ここでは説明のためにＭｏｂｉｌｅＩＰｖ６を前提としたシステムを用いるが、他のトランスポート技術及びプロトコルを用いて実現することも可能である。なお、以下の（ａ）及び（ｂ）の条件を満たす場合は、ここでの説明の方式とほぼ同様の手法で実現可能である。
（ａ）モバイルファイアウォール装置が移動通信端末機の移動を検知できること。
【００２７】
（ｂ）通過するパケットの実質的な宛先・発信元アドレスをアクセスルータが認知することができ、これをモバイルファイアウォール装置へ通知できること。
次に、ＶＰＮ通信システム１０の特徴は、リモートネットワーク１４と移動通信ネットワーク２０との接続境界にＶＰＮゲートウェイ装置１６を配置し、このＶＰＮゲートウェイ装置１６と各モバイルファイアウォール装置１８−１，１８−２との間にＶＰＮトンネル２４−１，２４−２を張り、各モバイルファイアウォール装置１８−１，１８−２を、そのＶＰＮトンネル２４−１，２４−２の終端装置として動作させるようにした点にある。つまり、各モバイルファイアウォール装置１８−１，１８−２をＶＰＮプロキシ装置として利用するようにした。
【００２８】
ＭＮ２２とＣＮ１２とは、ＶＰＮトンネル２４−１又は２４−２を介して通信を行うようになっている。例えば、第１のモバイルファイアウォール装置１８−１とＶＰＮゲートウェイ装置１６との間のＶＰＮトンネル２４−１を介してＣＮ１２と通信を行っているＭＮ２２が、矢印Ｙ１で示すようにハンドオーバを行った場合、モバイルファイアウォール装置も、第２のモバイルファイアウォール装置１８−２へ移動することになる。
【００２９】
この場合、ＶＰＮゲートウェイ装置１６と第２のモバイルファイアウォール装置１８−２との間にＶＰＮトンネル２４−２が張り替えられ、このＶＰＮトンネル２４−２を介してＭＮ２２とＣＮ１２とが通信を行うようになっている。
また、ＶＰＮトンネル２４−１，２４−２は、固定網で一般に用いられている既存の方式であるＩＰｓｅｃ、Ｌ２ＴＰ、Ｌ２Ｅ、ＰＰＰＴＰ等を利用して張られるため、ＶＰＮゲートウェイ装置１６に特殊な機能を搭載する必要はない。なお、ＶＰＮゲートウェイ装置１６は、ＣＮ１２に搭載される場合もある。
【００３０】
また、各モバイルファイアウォール装置１８−１，１８−２は、アクセスルータに配置されるものである。更に、各モバイルファイアウォール装置１８−１，１８−２とＭＮ２２との間の無線回線は、ＶＰＮトンネルに係るレイヤよりも下レイヤのセキュリティに依存するものであって、かつ同一無線インターフェースに接続する他の端末機とは物理的にリンクは共有するがデータは供給しない、いわゆる共有型リンクではない。従って、移動通信端末機とモバイルファイアウォール装置間の通信を他の端末機やノードから盗聴することは不可能である。
【００３１】
ところで、モバイルファイアウォールサービスの想定環境として、ＭＮ２２には特別なセキュリティ機能は搭載されていないものとされている。このため、ＭＮ２２のユーザがリモートネットワーク１４に接続しようとしても、ユーザ自らがコマンドやクライアント等を用いてＶＰＮ接続することはできない。
従って、ユーザがＶＰＮ接続を希望するリモートネットワーク１４又はＣＮ１２宛のパケットを送信すると、移動通信ネットワーク２０側で自動的にＶＰＮ接続を確立する必要がある。つまり、予めネットワーク２０側でＶＰＮ接続を行う通信相手（ＣＮ１２）を把握しておく必要がある。
【００３２】
そこで、ＭＮ２２のユーザは、予めモバイルファイアウォールのセキュリティポリシー情報として、ＶＰＮゲートウェイ装置１６のアドレス、ＶＰＮアカウント、ＶＰＮパスワード等のＶＰＮ接続相手情報を、セキュリティポリシーデータベース（以下、ＳＰ・ＤＢと称す）に登録しておく。但し、ＳＰ・ＤＢは、通常、移動通信ネットワーク２０上に設けられている。
【００３３】
このような、モバイルファイアウォール想定環境におけるセキュリティポリシー登録方法には、例えば、次の（１）〜（３）のようなものがある。
（１）電話連絡によりオペレータに説明してセキュリティポリシー情報を登録してもらう（低レベルユーザ向け）。
（２）セキュリティポリシー設定Ｗｅｂページを用いてセキュリティポリシー情報を設定する（中レベルユーザ向け）。
（３）ＳＰ・ＤＢを操作して直接編集する（高レベルユーザ向け）。
なお、モバイルファイアウォール装置では、所有移動通信端末機（ＭＮ）の一括設定機能や、他人の所有する移動通信端末機の設定代行機能の提供を想定しているため、ＶＰＮ接続相手先登録のために、必ずしもＶＰＮ接続を行う移動通信端末機自体を用いる必要はない。
【００３４】
次に、ＶＰＮ通信システム１０において、ＶＰＮトンネルを形成してＭＮ２２とＣＮ１２間で通信を行う場合の処理を、図２に示すシーケンス図を参照して説明する。
まず、ステップＳ１において、ＭＮ２２が移動通信ネットワーク２０に新規接続して最初のパケット及びこれに続くパケットを送信すると、その新規接続された第１のモバイルファイアウォール装置１８−１が、それらのパケットをホールドする。このパケットをホールドしておく理由は、第１のモバイルファイアウォール装置１８−１に、そのＭＮ２２のユーザセキュリティポリシー情報がないためである。また、ここでは説明を簡単にするため、上記のパケットが、移動通信ネットワーク２０上に存在するＨＡ（ＨｏｍｅＡｇｅｎｔ）宛のＢＵ（ＢｉｎｄｉｎｇＵｐｄａｔａ）であるとする。
【００３５】
次に、ステップＳ２において、第１のモバイルファイアウォール装置１８−１は、当該ユーザのセキュリティポリシー情報を要求して受信するためのセキュリティポリシー要求を、ＳＰ・ＤＢへ送信する。
この応答としてＳＰ・ＤＢは、ステップＳ３において、第１のモバイルファイアウォール装置１８−１にセキュリティポリシー情報を返信する。このセキュリティポリシー情報には、ＶＰＮ接続を行う等の情報が含まれている。第１のモバイルファイアウォール装置１８−１は、そのセキュリティポリシー情報を受信すると、ステップＳ４において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、前述の想定環境により、ＨＡ宛のＢＵであるため、ステップＳ５において、ＨＡは応答としてＢＡ（ＢｉｎｄｉｎｇＡｃｋｎｏｗｌｅｄｇｅｍｅｎｔ）をＭＮ２２へ返信する。これでＭＮ２２の位置登録が完了する。
【００３６】
続いて、ステップＳ６において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第１のモバイルファイアウォール装置１８−１は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、ステップＳ７に示すようにＶＰＮ接続処理を行って、ＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−１を確立する。
【００３７】
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４−１を利用した通信を行う際に用いるアドレスを払い出すが、ＭＮ２２にはＶＰＮクライアント機能が無いので、そのアドレスを扱うことができない。このため、ステップＳ８において、第１のモバイルファイアウォール装置１８−１が、そのアドレスを用いてＣＮ１２と通信し、ＮＡＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ）によるアドレス変換を行いＭＮ２２へパケットを転送する。このように、ステップＳ９に示すように、ＶＰＮトンネル２４−１を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００３８】
次に、ＭＮ２２がハンドオーバを行う場合の処理を説明する。
まず、ステップＳ１１において、ＭＮ２２がハンドオーバしてから最初のパケットを送信すると、ハンドオーバ先の第２のモバイルファイアウォール装置１８−２が、そのパケットをホールドする。なお、ここでは説明を簡単にするため、上記のパケットが、ＨＡ宛のＢＵであるとする。
【００３９】
ステップＳ１２において、第２のモバイルファイアウォール装置１８−２は、ＳＰ・ＤＢに対して、当該ユーザのセキュリティポリシー情報を要求するためのセキュリティポリシー要求を送信する。この応答としてＳＰ・ＤＢが、ステップＳ１３において、第２のモバイルファイアウォール装置１８−２にセキュリティポリシー情報を返信する。
【００４０】
これと同時に、ステップＳ１４において、ＳＰ・ＤＢは、ＭＮ２２が以前接続していた第１のモバイルファイアウォール装置１８−１に対して、ファイアウォール内部状態の転送を要求するための内部状態フォワード要求を送信する。第１のモバイルファイアウォール装置１８−１は、その内部状態フォワード要求を受信すると、ステップＳ１５において、第２のモバイルファイアウォール装置１８−２へ内部状態情報を転送し、また、ＶＰＮトンネル２４−１を切断する。
【００４１】
その内部状態情報と先のセキュリティポリシー情報を受信した第２のモバイルファイアウォール装置１８−２は、ステップＳ１６において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、前述の想定環境によりＨＡ宛のＢＵであるため、ステップＳ１７において、ＨＡは応答としてＢＡをＭＮ２２へ送信する。これによってＭＮ２２の位置登録が完了する。
【００４２】
続いて、ステップＳ１８において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第２のモバイルファイアウォール装置１８−２は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、ステップＳ１９に示すようにＶＰＮ接続処理を行って、ＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−２を確立する。
【００４３】
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４−１を利用した通信を行う際に用いるアドレスを払い出すが、この際、ＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）機能によりＩＰアドレスを払い出す場合は、ハンドオーバ前と同じアドレスを優先的に割り当てる設定又は機能が必要となる。
【００４４】
ステップＳ２０において、第２のモバイルファイアウォール装置１８−２は、その割り当てられたアドレスを用いてＣＮ１２と通信し、ＮＡＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ）によるアドレス変換を行いＭＮ２２へパケットを転送する。このように、ステップＳ２１に示すように、ＶＰＮトンネル２４−２を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００４５】
このように、第１の実施の形態のＶＰＮ通信システム１０によれば、モバイルファイアウォール装置１８−１がＶＰＮトンネル２４−１の終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置１８−１のパケットフィルタリングを利用して、ＭＮ２２とＣＮ１２とが通信を行うことができる。
【００４６】
従って、不具合要因となるパケットの排除を行いながら秘匿通信を行うことが可能となり、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができる。
また、ＭＮ２２がハンドオーバした際に、モバイルファイアウォール装置も、そのＭＮ２２に追随して移動し、この移動先のモバイルファイアウォール装置１８−２が、ハンドオーバ前のモバイルファイアウォール装置１８−１の情報を用いてＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−２を形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００４７】
（第２の実施の形態）
図３は、本発明の第２の実施の形態に係るＶＰＮ通信システムの構成を示す図である。但し、図３に示す第２の実施の形態において、図１に示した第１の実施の形態の各部に対応する部分には同一符号を付し、その説明を省略する。
図３に示すＶＰＮ通信システム３０が図１に示したＶＰＮ通信システム１０と異なる点は、移動通信ネットワーク２０に、ＶＰＮプロキシ装置３２を更に備え、このＶＰＮプロキシ装置３２とＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４を張って終端し、また、ＶＰＮプロキシ装置３２と各モバイルファイアウォール装置１８−１，１８−２との間に、移動通信に特化した方式による暗号化トンネル３４−１，３４−２を張るようにしたことにある。つまり、ＶＰＮプロキシ装置３２は、２種類のトンネルの中継を行うようになっている。
【００４８】
ＭＮ２２とＣＮ１２とは、ＶＰＮトンネル２４に加え、暗号化トンネル３４−１又は３４−２を介して通信を行うようになっている。例えば、第１のモバイルファイアウォール装置１８−１とＶＰＮゲートウェイ装置１６との間のＶＰＮトンネル２４及び暗号化トンネル３４−１を介してＣＮ１２と通信を行っているＭＮ２２が、矢印Ｙ３で示すようにハンドオーバを行った場合、モバイルファイアウォール装置も、第２のモバイルファイアウォール装置１８−２へ移動することになる。
【００４９】
この場合、ＶＰＮプロキシ装置３２と第２のモバイルファイアウォール装置１８−２との間に暗号化トンネル３４−２が張り替えられ、この暗号化トンネル３４−２を介してＭＮ２２とＣＮ１２とが通信を行うようになっている。
次に、ＶＰＮ通信システム３０において、ＶＰＮトンネル及び暗号化トンネルを形成してＭＮ２２とＣＮ１２間で通信を行う場合の処理を、図４に示すシーケンス図を参照して説明する。
【００５０】
まず、ステップＳ３１において、ＭＮ２２が移動通信ネットワーク２０に新規接続して最初のパケットを送信すると、その新規接続された第１のモバイルファイアウォール装置１８−１が、そのパケットをホールドする。このパケットをホールドしておく理由は、第１のモバイルファイアウォール装置１８−１に、そのＭＮ２２のユーザセキュリティポリシー情報がないためである。また、ここでは説明を簡単にするため、上記のパケットが、移動通信ネットワーク２０上に存在するＨＡ（ＨｏｍｅＡｇｅｎｔ）宛のＢＵ（ＢｉｎｄｉｎｇＵｐｄａｔａ）であるとする。
【００５１】
次に、ステップＳ３２において、第１のモバイルファイアウォール装置１８−１は、当該ユーザのセキュリティポリシー情報を要求して受信するためのセキュリティポリシー要求を、ＳＰ・ＤＢへ送信する。
この応答としてＳＰ・ＤＢは、ステップＳ３３において、第１のモバイルファイアウォール装置１８−１にセキュリティポリシー情報を返信する。このセキュリティポリシー情報には、ＶＰＮ接続を行う等の情報が含まれている。第１のモバイルファイアウォール装置１８−１は、そのセキュリティポリシー情報を受信すると、ステップＳ３４において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、第１の実施の形態に記載した想定環境により、ＨＡ宛のＢＵであるため、ステップＳ３５において、ＨＡは応答としてＢＡ（ＢｉｎｄｉｎｇＡｃｋｎｏｗｌｅｄｇｅｍｅｎｔ）をＭＮ２２へ返信する。これでＭＮ２２の位置登録が完了する。
【００５２】
続いて、ステップＳ３６において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第１のモバイルファイアウォール装置１８−１は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、第１のモバイルファイアウォール装置１８−１は、ステップＳ３７に示すように、第１のモバイルファイアウォール装置１８−１とＶＰＮプロキシ装置３２との間の接続処理を行って、ＶＰＮプロキシ装置３２との間に暗号化トンネル３４−１を確立し、ＶＰＮプロキシ装置３２にＶＰＮ接続情報を渡す。
【００５３】
このＶＰＮ接続情報を受けたＶＰＮプロキシ装置３２は、ステップＳ３８において、ＶＰＮ接続処理を行ってＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４を確立する。
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４を利用した通信を行う際に用いるアドレスを払い出すが、ＭＮ２２にはＶＰＮクライアント機能が無いので、そのアドレスを扱うことができない。このため、ステップＳ３９及びＳ４０において、ＶＰＮトンネル２４の終端を担うＶＰＮプロキシ装置３２がＭＮ２２に成りすまして、そのアドレスを用いてＣＮ１２と通信を行う。ＶＰＮゲートウェイ装置１６は、ＶＰＮプロキシ装置３２から受信したパケットを一度復号化してパケットのデータ部分（ペイロード）を取り出し、再び暗号化トンネル３４−１を通して第１のモバイルファイアウォール装置１８−１へ転送する。第１のモバイルファイアウォール装置１８−１は、そのパケットを復号化してデータ部分を取り出し、ＮＡＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ）により、アドレス変換した上でＭＮ２２へパケットを転送する。
【００５４】
この際、ＶＰＮプロキシ装置３２で行っているパケットの暗号化・復号化を第１のモバイルファイアウォール装置１８−１が代行して行う。ＶＰＮプロキシ装置３２は、既に第１のモバイルファイアウォール装置１８−１及びＶＰＮゲートウェイ装置１６によって暗号化されているパケットを、それぞれ暗号化トンネル３４−１及びＶＰＮトンネル２４を通して、そのまま転送するという方式を用いる。これによって、暗号化・復号化の回数を削減することも可能である。但し、この場合は、ＶＰＮプロキシ装置３２がＶＰＮトンネル２４を構築するために用いた情報を、予め第１のモバイルファイアウォール装置１８−１へ通知しておく必要がある。第１のモバイルファイアウォール装置１８−１は、その情報を用いて暗号化・復号化を行う。
【００５５】
次に、ＭＮ２２がハンドオーバを行う場合の処理を説明する。
まず、ステップＳ４１において、ＭＮ２２がハンドオーバしてから最初のパケットを送信すると、ハンドオーバ先の第２のモバイルファイアウォール装置１８−２が、そのパケットをホールドする。なお、ここでは説明を簡単にするため、上記のパケットが、ＨＡ宛のＢＵであるとする。
【００５６】
ステップＳ４２において、第２のモバイルファイアウォール装置１８−２は、ＳＰ・ＤＢに対して、当該ユーザのセキュリティポリシー情報を要求するためのセキュリティポリシー要求を送信する。この応答としてＳＰ・ＤＢが、ステップＳ４３において、第２のモバイルファイアウォール装置１８−２にセキュリティポリシー情報を返信する。
【００５７】
これと同時に、ステップＳ４４において、ＳＰ・ＤＢは、ＭＮ２２が以前接続していた第１のモバイルファイアウォール装置１８−１に対して、ファイアウォール内部状態の転送を要求するための内部状態フォワード要求を送信する。
第１のモバイルファイアウォール装置１８−１は、その内部状態フォワード要求を受信すると、ステップＳ４５において、第２のモバイルファイアウォール装置１８−２へ内部状態情報を転送し、ステップＳ４６において、ＶＰＮトンネル２４−１を切断する。
【００５８】
内部状態情報を受信した第２のモバイルファイアウォール装置１８−２は、ステップＳ４７において、第２のモバイルファイアウォール装置１８−２とＶＰＮプロキシ装置３２との間の接続処理を行って、ＶＰＮプロキシ装置３２との間に暗号化トンネル３４−２を確立し、ＶＰＮプロキシ装置３２にＶＰＮ接続情報を渡す。
【００５９】
この後、第２のモバイルファイアウォール装置１８−２は、ステップＳ４８において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、第１の実施の形態で記載した想定環境によりＨＡ宛のＢＵであるため、ステップＳ４９において、ＨＡは応答としてＢＡをＭＮ２２へ送信する。これによってＭＮ２２の位置登録が完了する。
【００６０】
なお、ＶＰＮプロキシ装置３２は、ＮＡＴ機能によりＭＮ２２のハンドオーバ後のアドレスヘアドレス変換を行う必要がある。ＶＰＮプロキシ装置３２はアドレス変換を行うだけであり、パケットの暗号化及び復号化は、第２のモバイルファイアウォール装置１８−２とＶＰＮゲートウェイ装置１６の間で行う。このようにしてステップＳ５０に示すように、ＶＰＮトンネル２４及び暗号化トンネル３４−２を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００６１】
このように、第２の実施の形態のＶＰＮ通信システム３０によれば、ＶＰＮプロキシ装置３２がＶＰＮトンネル２４の終端装置として動作し、また、ＶＰＮプロキシ装置３２とモバイルファイアウォール装置１８−１との間に暗号化トンネル３４−１を形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置１８−１のパケットフィルタリングを利用して、ＭＮ２２とＣＮ１２とが通信を行うことができる。
【００６２】
従って、不具合要因となるパケットの排除を行いながら秘匿通信を行うことが可能となり、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができる。
また、ＭＮ２２がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置１８−２が、ハンドオーバ前のモバイルファイアウォール装置１８−１の情報を用いてＶＰＮプロキシ装置３２との間に暗号化トンネル３４−２を形成する。この暗号化トンネル３４−２は、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００６３】
なお、上記第１の実施の形態では、モバイルファイアウォール装置１８−１又は１８−２とＶＰＮゲートウェイ装置１６との間に、上記第２の実施の形態では、モバイルファイアウォール装置１８−１又は１８−２とＶＰＮプロキシ装置３２との間、並びにＶＰＮプロキシ装置３２とＶＰＮゲートウェイ装置１６との間に、暗号化したトンネルを張るようにしたが、他の方法で盗聴や改竄からの安全を確保できるのであれば暗号化しないトンネルを張るようにしてもよい。
【００６４】
【発明の効果】
以上説明したように本発明は、通信網上のデータベースに、通信先端末機がＶＰＮトンネルを介して通信を行うために必要な通信先端末機情報を登録しておき、移動通信端末機が通信を行う通信網上のモバイルファイアウォール装置が、移動通信端末機が通信網に接続した際のパケットの受信時に、データベースから通信先端末機情報を取得し、更に、通信先端末機へのパケットの受信時に、この受信パケットの情報と先に取得した通信先端末機情報との宛先が一致した際に、ゲートウェイ装置との間にＶＰＮトンネルを形成するようにした。
【００６５】
これによって、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
従って、ＶＰＮによる暗号化通信とモバイルファイアウォールによるパケットフィルタリングとを同時に利用可能とすることができるので、不具合要因となるパケットの排除を行いながら秘匿通信を行うことを可能とし、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができるという効果がある。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
【図２】第１の実施の形態に係るＶＰＮ通信システムにおいてＶＰＮトンネルを形成してＭＮとＣＮ間で通信を行う場合の処理を説明するためのシーケンス図である。
【図３】本発明の第２の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
【図４】第２の実施の形態に係るＶＰＮ通信システムにおいてＶＰＮトンネル及び暗号化トンネルを形成してＭＮとＣＮ間で通信を行う場合の処理を説明するためのシーケンス図である。
【符号の説明】
１０，３０ＶＰＮ通信システム
１２ＣＮ（ＣｏｒｒｅｓｐｏｎｄｅｎｔＮｏｄｅ）
１４リモートネットワーク
１６ＶＰＮゲートウェイ装置
１８−１第１のモバイルファイアウォール装置
１８−２第２のモバイルファイアウォール装置
２０移動通信ネットワーク
２２移動通信端末機であるＭＮ（ＭｏｂｉｌｅＮｏｄｅ）
２４，２４−１，２４−２ＶＰＮトンネル
３２ＶＰＮプロキシ装置
３４−１，３４−２暗号化トンネル[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a VPN communication system and a VPN tunnel forming method capable of performing communication using an IP (Internet Protocol) packet performed in a mobile communication terminal such as a mobile phone or a PDA (Personal Digital Assistance) while ensuring security. .
[0002]
[Prior art]
In general, firewalls, including mobile firewalls, determine whether to pass packets based on the source address, destination address, and port number of IP packets (hereinafter referred to as packets), as well as packet contents and communication patterns. It is a function that determines whether or not. This is a function of performing packet filtering for controlling communication based on information included in a packet header.
[0003]
Here, if the user uses encrypted communication for the mobile communication terminal, the mobile firewall cannot see the port number and the packet contents, and thus filtering of packets using such information becomes impossible. . For this reason, in order to use packet filtering based on packet contents in the mobile firewall, it is assumed that the user does not use encrypted communication. As such a mobile firewall, for example, there is a technical content described in Patent Document 1 below.
[0004]
As described above, it is assumed that the mobile firewall does not use encrypted communication. However, nowadays, for example, in-house important data transmission / reception is increasingly performed from the outside via the Internet or public network. For this reason, since it is necessary to protect against eavesdropping, tampering, and the like, there is an increasing demand for users for secret communication using encryption typified by VPN (Virtual Private Network).
[0005]
VPN is a method of communicating by constructing a virtual communication path (tunnel) that can be recognized only by a specific user on a global network such as the Internet or a public line network. This method of constructing a VPN is called tunneling. If necessary, encryption processing is applied in addition to tunneling.
As a communication system using this type of conventional VPN, for example, there is one described in Patent Document 2. The contents are as follows. When a VPN is set between a LAN (Local Area Network) connected to the IP communication network, the VPN setting is automatically held even when the LAN moves the connection position to the IP communication network. When a VPN tunnel is set in the IP communication network, and then any of the LANs to which the VPN tunnel is set moves from the LAN accommodating device connected to the IP communication network, the mobile IP is transferred between the LAN accommodating devices. A tunnel is set up, and this mobile IP tunnel and the original VPN tunnel are connected to form a new VPN. As a result, the VPN setting between LANs is automatically maintained even after movement.
[0006]
[Patent Document 1]
Japanese Patent Application No. 2002-346271
[Patent Document 2]
JP 2002-77273 A
[0007]
[Problems to be solved by the invention]
However, in the conventional communication system, since the user's demand for the secret communication using the encryption represented by the VPN is increasing, the encrypted communication can no longer be ignored as outside the application of the mobile firewall. It is coming.
Therefore, it is necessary to provide a service that can use packet filtering of the mobile firewall while using encrypted communication by VPN. In fact, as described above, if encrypted communication is used for a mobile communication terminal, Since the mobile firewall cannot see the port number and packet contents, there is a problem that packet filtering using such information becomes impossible.
[0008]
In the mobile firewall disclosed in Patent Document 1, various mobile communication terminals are connected in a mobile communication service as an assumed environment. However, mobile communication in which no security function can be installed at all. Terminals are also considered to exist. Such a mobile communication terminal has a problem that the VPN service cannot be used by itself.
[0009]
Furthermore, even if a mobile communication terminal has a high performance and a VPN function, the user cannot always effectively use the function. In a mobile firewall service providing environment, users at various levels use network connection services, and thus users with low security knowledge levels may not be able to set and use security functions. Even high-level users may find it cumbersome to set up and use. That is, there is a problem that the burden on the user is large and the convenience is poor.
[0010]
Further, in Patent Document 2, VPN settings are automatically maintained even when the connection position to the IP communication network is moved. However, since packet filtering cannot be executed at the same time, there is a problem with the mobile communication terminal. There is a problem of passing a packet that affects.
The present invention has been made in view of such a problem, and by making it possible to simultaneously use encrypted communication by VPN and packet filtering by a mobile firewall, it is possible to perform secret communication while eliminating packets that cause problems. It is another object of the present invention to provide a VPN communication system and a VPN tunnel forming method that can reduce the burden on the user and improve convenience when using the VPN function in a mobile communication terminal.
[0011]
[Means for Solving the Problems]
In order to achieve the above object, a VPN communication system according to claim 1 of the present invention forms a VPN tunnel for transmitting packets using encryption processing in a communication network, and performs mobile communication via this VPN tunnel. In a VPN communication system in which a terminal and a communication destination terminal communicate with each other, a database in which communication destination terminal information necessary for the communication destination terminal to perform communication via the VPN tunnel is registered, and the communication destination Communicate from the database when receiving a packet when the mobile communication terminal is connected to a communication network, and a gateway device that enables communication by matching the communication format when the terminal communicates through the VPN tunnel The destination terminal information is acquired, and when receiving the packet to the communication destination terminal, the destination of the received packet information and the acquired communication destination terminal information is When the match is characterized by comprising a mobile firewall apparatus for forming a VPN tunnel between the gateway device.
[0012]
According to this configuration, since the mobile firewall apparatus operates as a VPN tunnel termination apparatus, the mobile communication terminal and the communication destination terminal are used by using packet filtering of the mobile firewall apparatus while using encrypted communication by VPN. Can communicate with each other.
The VPN communication system according to claim 2 of the present invention is the VPN communication system according to claim 1, wherein when the mobile communication terminal performs a handover, the mobile firewall apparatus to which the handover is performed receives a packet from the mobile communication terminal after the handover. At the time of reception, the communication destination terminal information is acquired from the database, the internal state information of the device is acquired from the mobile firewall device before the handover, and the received packet information is received at the time of reception of the packet to the communication destination terminal. When the destination matches the acquired communication destination terminal information, a VPN tunnel is formed with the gateway device based on the acquired internal state information.
[0013]
According to this configuration, when the mobile communication terminal is handed over, the mobile firewall apparatus also moves following the mobile communication terminal, and the mobile firewall apparatus at the destination moves to the mobile firewall apparatus information before the handover. Since the VPN tunnel is formed between the gateway device and the gateway device, the VPN tunnel can be automatically replaced.
[0014]
The VPN communication system according to claim 3 of the present invention further comprises a proxy device for forming a VPN tunnel with the gateway device according to claim 1, wherein the mobile firewall device includes the received packet information and the When the destination matches with the acquired communication destination terminal information, an encrypted tunnel is formed between the mobile firewall device and the proxy device according to an arbitrary communication protocol specialized for mobile communication. VPN connection information is transferred to the proxy device, and the proxy device forms a VPN tunnel with the gateway device when the VPN connection information is transferred.
[0015]
According to this configuration, the proxy device operates as a termination device of the VPN tunnel, and an encrypted tunnel is formed between the proxy device and the mobile firewall device. Therefore, the mobile firewall is used while using encrypted communication by VPN. The mobile communication terminal and the communication destination terminal can communicate with each other using the packet filtering of the apparatus.
[0016]
The VPN communication system according to claim 4 of the present invention is the VPN communication system according to claim 3, wherein when the mobile communication terminal performs a handover, the mobile firewall device to which the handover is performed sends a packet from the mobile communication terminal after the handover. At the time of reception, the communication terminal information is acquired from the database, the internal state information of the device is acquired from the mobile firewall device before the handover, and the proxy device is connected based on the acquired internal state information. It is characterized by forming an encrypted tunnel.
[0017]
According to this configuration, when the mobile communication terminal is handed over, the mobile firewall apparatus also moves following the mobile communication terminal, and the mobile firewall apparatus at the destination moves to the mobile firewall apparatus information before the handover. Is used to form an encrypted tunnel with the proxy device. Since this encrypted tunnel is formed by an arbitrary communication protocol specialized for mobile communication, the overhead at the time of handover can be reduced by using a protocol that considers handover.
[0018]
According to a fifth aspect of the present invention, there is provided a VPN tunnel forming method for forming a VPN tunnel for transmitting a communication packet between a mobile communication terminal and a communication destination terminal using encryption in a communication network. In the method, a first step of registering communication destination terminal information necessary for the communication destination terminal to perform communication via the VPN tunnel in a database on a communication network, and the mobile communication terminal communicate with the database. A mobile firewall device on a communication network for performing a second step of acquiring communication destination terminal information from the database when receiving a packet when the mobile communication terminal is connected to the communication network; and the mobile firewall device However, when receiving the packet to the communication destination terminal, the information of the received packet and the communication destination terminal acquired in the second step When the destination of the information matches, is characterized in that it comprises a third step of forming a VPN tunnel between the gateway device.
[0019]
According to this method, since the mobile firewall device operates as a terminating device of the VPN tunnel, the mobile communication terminal and the destination terminal are used by using packet filtering of the mobile firewall device while using encrypted communication by VPN. Can communicate with each other.
The VPN tunnel forming method according to claim 6 of the present invention is the VPN tunnel forming method according to claim 5, wherein when the mobile communication terminal performs handover, the handover-target mobile firewall apparatus receives the handover from the mobile communication terminal after handover. A fourth step of acquiring communication destination terminal information from the database and receiving internal state information of the device from the mobile firewall device before handover when receiving a packet, and the mobile firewall device of the handover destination When receiving the packet to the destination terminal, if the destination of the received packet information matches the destination terminal information acquired in the fourth step, the internal state information acquired in the fourth step is Based on the fifth step, a VPN tunnel is formed with the gateway device. It is characterized by further comprising and.
[0020]
According to this method, when the mobile communication terminal is handed over, the mobile firewall apparatus also moves following the mobile communication terminal, and the mobile firewall apparatus at the destination moves to the mobile firewall apparatus information before the handover. Since the VPN tunnel is formed between the gateway device and the gateway device, the VPN tunnel can be automatically replaced.
[0021]
According to claim 7 of the present invention, when the VPN tunnel forming method according to claim 5 is provided with a proxy device for forming a VPN tunnel with the gateway device, the mobile firewall device may In the step, when the destination of the received packet information and the acquired communication destination terminal information match, encryption between the mobile firewall device and the proxy device according to any communication protocol specialized for mobile communication A sixth step of forming a virtual tunnel and transferring VPN connection information to the proxy device after the formation, and the proxy device, when the VPN connection information is transferred, between the gateway device and the VPN device And a seventh step of forming.
[0022]
According to this method, since the proxy device operates as a termination device of the VPN tunnel and an encrypted tunnel is formed between the proxy device and the mobile firewall device, the mobile firewall can be used while using encrypted communication by VPN. The mobile communication terminal and the communication destination terminal can communicate with each other using the packet filtering of the apparatus.
[0023]
The VPN tunnel forming method according to claim 8 of the present invention is the VPN tunnel forming method according to claim 7, wherein when the mobile communication terminal performs a handover, the handover destination mobile firewall apparatus receives the handover from the mobile communication terminal after the handover. Upon receiving a packet, the eighth step of acquiring communication destination terminal information from the database and acquiring the internal state information of the device from the mobile firewall device before handover, and the mobile firewall device of the handover destination, And a ninth step of forming an encrypted tunnel with the proxy device based on the internal state information acquired in the eighth step.
[0024]
According to this method, when the mobile communication terminal is handed over, the mobile firewall apparatus also moves following the mobile communication terminal, and the mobile firewall apparatus at the destination moves to the mobile firewall apparatus information before the handover. Is used to form an encrypted tunnel with the proxy device. Since this encrypted tunnel is formed by an arbitrary communication protocol specialized for mobile communication, the overhead at the time of handover can be reduced by using a protocol that considers handover.
[0025]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
(First embodiment)
FIG. 1 is a diagram showing a configuration of a VPN communication system according to the first embodiment of the present invention.
A VPN communication system 10 shown in FIG. 1 includes a remote network 14 having a CN (Correspondent Node) 12 such as a personal computer, a VPN gateway device 16 and a plurality (first and second in this case) of mobile firewall devices 18-1, A mobile communication network 20 having 18-2, and a mobile communication terminal MN (Mobile Node) 22 that communicates with each of the mobile firewall devices 18-1 and 18-2 via a wireless line. .
[0026]
However, although a system based on Mobile IPv6 is used here for the sake of explanation, it can also be realized using other transport technologies and protocols. In addition, when the following conditions (a) and (b) are satisfied, it can be realized by a method substantially similar to the method described here.
(A) The mobile firewall device can detect the movement of the mobile communication terminal.
[0027]
(B) The access router can recognize the substantial destination / source address of the packet passing through and can notify the mobile firewall device of this.
Next, the VPN communication system 10 is characterized in that a VPN gateway device 16 is arranged at the connection boundary between the remote network 14 and the mobile communication network 20, and the VPN gateway device 16 and each of the mobile firewall devices 18-1 and 18-2. VPN tunnels 24-1 and 24-2 are stretched between the mobile firewall devices 18-1 and 18-2 so as to operate as termination devices of the VPN tunnels 24-1 and 24-2. . That is, the mobile firewall devices 18-1 and 18-2 are used as VPN proxy devices.
[0028]
The MN 22 and the CN 12 communicate with each other via the VPN tunnel 24-1 or 24-2. For example, when the MN 22 communicating with the CN 12 via the VPN tunnel 24-1 between the first mobile firewall device 18-1 and the VPN gateway device 16 performs a handover as indicated by an arrow Y1, The mobile firewall device will also move to the second mobile firewall device 18-2.
[0029]
In this case, the VPN tunnel 24-2 is replaced between the VPN gateway device 16 and the second mobile firewall device 18-2, and the MN 22 and the CN 12 communicate with each other via the VPN tunnel 24-2. ing.
Further, since the VPN tunnels 24-1 and 24-2 are established using IPsec, L2TP, L2E, PPPTP, etc., which are existing methods generally used in fixed networks, special functions are provided for the VPN gateway device 16. There is no need to install. The VPN gateway device 16 may be mounted on the CN 12.
[0030]
The mobile firewall devices 18-1 and 18-2 are arranged in the access router. Further, the wireless lines between the mobile firewall devices 18-1, 18-2 and the MN 22 depend on the security of the lower layer than the layer related to the VPN tunnel, and are connected to the same wireless interface. This terminal is not a so-called shared link that physically shares a link but does not supply data. Accordingly, it is impossible to eavesdrop on communication between the mobile communication terminal and the mobile firewall device from another terminal or node.
[0031]
By the way, as an assumed environment of the mobile firewall service, the MN 22 is not equipped with a special security function. For this reason, even if the user of the MN 22 tries to connect to the remote network 14, the user himself / herself cannot make a VPN connection using a command, a client, or the like.
Therefore, when the user transmits a packet addressed to the remote network 14 or CN 12 that desires a VPN connection, it is necessary to automatically establish a VPN connection on the mobile communication network 20 side. That is, it is necessary to grasp in advance the communication partner (CN 12) that performs VPN connection on the network 20 side.
[0032]
Therefore, the user of the MN 22 registers VPN connection partner information such as the address of the VPN gateway device 16, VPN account, and VPN password in advance in the security policy database (hereinafter referred to as SP / DB) as security policy information of the mobile firewall. Keep it. However, the SP / DB is usually provided on the mobile communication network 20.
[0033]
Examples of the security policy registration method in such a mobile firewall assumption environment include the following (1) to (3).
(1) Ask the operator to register security policy information by telephone contact (for low-level users).
(2) Security policy information is set using a security policy setting Web page (for intermediate level users).
(3) Direct editing by operating SP / DB (for high-level users).
In addition, since the mobile firewall device is assumed to provide a collective setting function of the owned mobile communication terminal (MN) and a setting proxy function of the mobile communication terminal owned by another person, it is necessary to register a VPN connection partner. However, it is not always necessary to use the mobile communication terminal itself that performs VPN connection.
[0034]
Next, in the VPN communication system 10, a process when a VPN tunnel is formed and communication is performed between the MN 22 and the CN 12 will be described with reference to a sequence diagram shown in FIG.
First, in step S1, when the MN 22 newly connects to the mobile communication network 20 and transmits the first packet and the subsequent packet, the newly connected first mobile firewall device 18-1 holds these packets. To do. The reason for holding this packet is that the first mobile firewall device 18-1 does not have the user security policy information of the MN 22. In addition, here, to simplify the description, it is assumed that the packet is a BU (Binding Up data) addressed to the HA (Home Agent) existing on the mobile communication network 20.
[0035]
Next, in step S2, the first mobile firewall device 18-1 transmits a security policy request for requesting and receiving the security policy information of the user to the SP / DB.
As a response, the SP / DB returns security policy information to the first mobile firewall device 18-1 in step S3. This security policy information includes information such as VPN connection. When the first mobile firewall device 18-1 receives the security policy information, it forwards the previously held packet in step S4. Since the forwarded packet is a BU addressed to the HA according to the above-mentioned assumed environment, the HA returns a BA (Binding Acknowledgment) to the MN 22 as a response in step S5. This completes the location registration of the MN 22.
[0036]
Subsequently, in step S6, the MN 22 transmits a packet addressed to the communication partner CN 12 that desires VPN connection. When the first mobile firewall device 18-1 receives the packet, it compares it with the security policy information. As a result, if it is determined that the VPN connection is necessary, a VPN connection process is performed as shown in step S7 to establish the VPN tunnel 24-1 with the VPN gateway device 16.
[0037]
At the time of this establishment, the VPN gateway device 16 pays out an address used when the MN 22 performs communication using the previous VPN tunnel 24-1, but since the MN 22 does not have a VPN client function, it can handle the address. Can not. For this reason, in step S8, the first mobile firewall device 18-1 communicates with the CN 12 using the address, performs address conversion by NAT (Network Address Translation), and transfers the packet to the MN 22. In this way, as shown in step S9, communication can be performed between the MN 22 and the CN 12 via the VPN tunnel 24-1.
[0038]
Next, processing when the MN 22 performs handover will be described.
First, in step S11, when the MN 22 transmits the first packet after the handover, the second mobile firewall device 18-2 that is the handover destination holds the packet. Here, in order to simplify the description, it is assumed that the packet is a BU addressed to the HA.
[0039]
In step S12, the second mobile firewall device 18-2 transmits a security policy request for requesting the security policy information of the user to the SP / DB. As a response, the SP / DB returns security policy information to the second mobile firewall apparatus 18-2 in step S13.
[0040]
At the same time, in step S14, the SP / DB transmits an internal state forward request for requesting transfer of the firewall internal state to the first mobile firewall device 18-1 to which the MN 22 has previously connected. . Upon receiving the internal state forward request, the first mobile firewall device 18-1 transfers the internal state information to the second mobile firewall device 18-2 and disconnects the VPN tunnel 24-1 in step S15. To do.
[0041]
Receiving the internal state information and the previous security policy information, the second mobile firewall device 18-2 forwards the previously held packet in step S16. Since the forwarded packet is a BU addressed to the HA according to the assumed environment described above, the HA transmits the BA to the MN 22 as a response in step S17. Thereby, the location registration of the MN 22 is completed.
[0042]
Subsequently, in step S18, the MN 22 transmits a packet addressed to the communication partner CN 12 that desires VPN connection. When the second mobile firewall device 18-2 receives the packet, it compares it with the security policy information. When it is determined that VPN connection is necessary, VPN connection processing is performed as shown in step S19 to establish a VPN tunnel 24-2 with the VPN gateway device 16.
[0043]
At the time of this establishment, the VPN gateway device 16 pays out an address used when the MN 22 performs communication using the previous VPN tunnel 24-1. At this time, the IP address is paid by a DHCP (Dynamic Host Configuration Protocol) function. When issuing, a setting or a function for preferentially assigning the same address as before the handover is required.
[0044]
In step S20, the second mobile firewall device 18-2 communicates with the CN 12 using the assigned address, performs address conversion by NAT (Network Address Translation), and transfers the packet to the MN 22. In this way, as shown in step S21, communication can be performed between the MN 22 and the CN 12 via the VPN tunnel 24-2.
[0045]
As described above, according to the VPN communication system 10 of the first embodiment, since the mobile firewall device 18-1 operates as a termination device of the VPN tunnel 24-1, the mobile firewall device 18-1 operates while using encrypted communication by VPN. The MN 22 and the CN 12 can communicate using the packet filtering of the firewall device 18-1.
[0046]
Accordingly, it is possible to perform secret communication while eliminating a packet that causes a problem, and it is possible to reduce the burden on the user and improve convenience when using the VPN function in the mobile communication terminal.
Further, when the MN 22 is handed over, the mobile firewall device also moves following the MN 22, and the destination mobile firewall device 18-2 uses the information of the mobile firewall device 18-1 before the handover to use the VPN. Since the VPN tunnel 24-2 is formed with the gateway device 16, the VPN tunnel can be automatically replaced.
[0047]
(Second Embodiment)
FIG. 3 is a diagram showing a configuration of a VPN communication system according to the second embodiment of the present invention. However, in the second embodiment shown in FIG. 3, parts corresponding to those in the first embodiment shown in FIG.
The VPN communication system 30 shown in FIG. 3 is different from the VPN communication system 10 shown in FIG. 1 in that the mobile communication network 20 further includes a VPN proxy device 32, and between the VPN proxy device 32 and the VPN gateway device 16. The VPN tunnel 24 is extended and terminated, and between the VPN proxy device 32 and each of the mobile firewall devices 18-1 and 18-2, encrypted tunnels 34-1 and 34- by a method specialized for mobile communication are provided. The reason is that 2 is set. That is, the VPN proxy device 32 relays two types of tunnels.
[0048]
The MN 22 and the CN 12 communicate with each other via the encryption tunnel 34-1 or 34-2 in addition to the VPN tunnel 24. For example, the MN 22 communicating with the CN 12 via the VPN tunnel 24 and the encryption tunnel 34-1 between the first mobile firewall device 18-1 and the VPN gateway device 16 performs handover as indicated by an arrow Y3. When the mobile firewall device is performed, the mobile firewall device also moves to the second mobile firewall device 18-2.
[0049]
In this case, the encrypted tunnel 34-2 is replaced between the VPN proxy device 32 and the second mobile firewall device 18-2, and the MN 22 and the CN 12 communicate with each other via the encrypted tunnel 34-2. It has become.
Next, in the VPN communication system 30, a process when a VPN tunnel and an encrypted tunnel are formed and communication is performed between the MN 22 and the CN 12 will be described with reference to a sequence diagram shown in FIG.
[0050]
First, in step S31, when the MN 22 newly connects to the mobile communication network 20 and transmits the first packet, the newly connected first mobile firewall device 18-1 holds the packet. The reason for holding this packet is that the first mobile firewall device 18-1 does not have the user security policy information of the MN 22. In addition, here, to simplify the description, it is assumed that the packet is a BU (Binding Up data) addressed to the HA (Home Agent) existing on the mobile communication network 20.
[0051]
Next, in step S32, the first mobile firewall device 18-1 transmits a security policy request for requesting and receiving the security policy information of the user to the SP / DB.
As a response, the SP / DB returns security policy information to the first mobile firewall device 18-1 in step S33. This security policy information includes information such as VPN connection. When the first mobile firewall device 18-1 receives the security policy information, it forwards the previously held packet in step S34. Since the forwarded packet is a BU addressed to the HA according to the assumed environment described in the first embodiment, the HA returns a BA (Binding Acknowledgment) as a response to the MN 22 in step S35. This completes the location registration of the MN 22.
[0052]
Subsequently, in step S36, the MN 22 transmits a packet addressed to the communication partner CN 12 that desires VPN connection. When the first mobile firewall device 18-1 receives the packet, it compares it with the security policy information. When it is determined that the VPN connection is necessary, the first mobile firewall device 18-1 connects the first mobile firewall device 18-1 and the VPN proxy device 32 as shown in step S37. Processing is performed to establish an encrypted tunnel 34-1 with the VPN proxy device 32, and VPN connection information is passed to the VPN proxy device 32.
[0053]
Upon receiving this VPN connection information, the VPN proxy device 32 performs VPN connection processing and establishes the VPN tunnel 24 with the VPN gateway device 16 in step S38.
At the time of establishment, the VPN gateway device 16 pays out an address used when the MN 22 performs communication using the previous VPN tunnel 24. However, since the MN 22 does not have a VPN client function, the address cannot be handled. For this reason, in steps S39 and S40, the VPN proxy device 32 responsible for the termination of the VPN tunnel 24 impersonates the MN 22 and communicates with the CN 12 using the address. The VPN gateway device 16 once decrypts the packet received from the VPN proxy device 32, extracts the data portion (payload) of the packet, and transfers it again to the first mobile firewall device 18-1 through the encryption tunnel 34-1. The first mobile firewall device 18-1 decrypts the packet, extracts the data portion, converts the address by NAT (Network Address Translation), and transfers the packet to the MN 22.
[0054]
At this time, the first mobile firewall device 18-1 performs the encryption / decryption of the packet performed by the VPN proxy device 32. The VPN proxy device 32 uses a method in which packets already encrypted by the first mobile firewall device 18-1 and the VPN gateway device 16 are transferred as they are through the encryption tunnel 34-1 and the VPN tunnel 24, respectively. . As a result, the number of encryption / decryption operations can be reduced. However, in this case, the information used by the VPN proxy device 32 to construct the VPN tunnel 24 needs to be notified in advance to the first mobile firewall device 18-1. The first mobile firewall device 18-1 performs encryption / decryption using the information.
[0055]
Next, processing when the MN 22 performs handover will be described.
First, in step S41, when the MN 22 transmits the first packet after the handover, the second mobile firewall device 18-2 that is the handover destination holds the packet. Here, in order to simplify the description, it is assumed that the packet is a BU addressed to the HA.
[0056]
In step S42, the second mobile firewall device 18-2 transmits a security policy request for requesting the security policy information of the user to the SP / DB. In response, the SP / DB returns security policy information to the second mobile firewall device 18-2 in step S43.
[0057]
At the same time, in step S44, the SP / DB transmits an internal state forward request for requesting transfer of the firewall internal state to the first mobile firewall device 18-1 to which the MN 22 has previously connected. .
When receiving the internal state forward request, the first mobile firewall device 18-1 transfers the internal state information to the second mobile firewall device 18-2 in step S45, and in step S46, the VPN tunnel 24-1. Disconnect.
[0058]
In step S47, the second mobile firewall device 18-2 that has received the internal state information performs a connection process between the second mobile firewall device 18-2 and the VPN proxy device 32, and the VPN proxy device 32 The encrypted tunnel 34-2 is established between the VPN proxy device 32 and the VPN connection information.
[0059]
Thereafter, the second mobile firewall device 18-2 forwards the previously held packet in step S48. Since the forwarded packet is a BU addressed to the HA according to the assumed environment described in the first embodiment, the HA transmits the BA to the MN 22 as a response in step S49. Thereby, the location registration of the MN 22 is completed.
[0060]
Note that the VPN proxy device 32 needs to perform address conversion to the address after the handover of the MN 22 by the NAT function. The VPN proxy device 32 only performs address translation, and packet encryption and decryption are performed between the second mobile firewall device 18-2 and the VPN gateway device 16. In this way, as shown in step S50, it becomes possible to perform communication between the MN 22 and the CN 12 via the VPN tunnel 24 and the encrypted tunnel 34-2.
[0061]
As described above, according to the VPN communication system 30 of the second embodiment, the VPN proxy device 32 operates as a termination device of the VPN tunnel 24, and between the VPN proxy device 32 and the mobile firewall device 18-1. Thus, the MN 22 and the CN 12 can communicate using the packet filtering of the mobile firewall device 18-1 while using the encrypted communication by VPN.
[0062]
Accordingly, it is possible to perform secret communication while eliminating a packet that causes a problem, and it is possible to reduce the burden on the user and improve convenience when using the VPN function in the mobile communication terminal.
Further, when the MN 22 is handed over, the mobile firewall device also moves following the mobile communication terminal, and the mobile firewall device 18-2 at the destination moves the information of the mobile firewall device 18-1 before the handover. By using this, an encrypted tunnel 34-2 is formed with the VPN proxy device 32. Since this encrypted tunnel 34-2 is formed by an arbitrary communication protocol specialized for mobile communication, the overhead at the time of handover can be reduced by using a protocol considering handover.
[0063]
In the first embodiment, between the mobile firewall device 18-1 or 18-2 and the VPN gateway device 16, in the second embodiment, the mobile firewall device 18-1 or 18-2. An encrypted tunnel is set up between the VPN proxy device 32 and between the VPN proxy device 32 and the VPN gateway device 16. However, it is possible to secure safety from eavesdropping and tampering by other methods. For example, a tunnel that is not encrypted may be set up.
[0064]
【The invention's effect】
As described above, the present invention registers the communication destination terminal information necessary for the communication destination terminal to communicate via the VPN tunnel in the database on the communication network, and the mobile communication terminal communicates. When the mobile firewall device on the communication network receives a packet when the mobile communication terminal is connected to the communication network, it acquires communication destination terminal information from the database, and further receives the packet to the communication destination terminal. Sometimes, when the destination of the received packet information matches the destination terminal information acquired earlier, a VPN tunnel is formed with the gateway device.
[0065]
As a result, the mobile firewall device operates as a VPN tunnel termination device, so that the mobile communication terminal and the communication destination terminal communicate with each other using packet filtering of the mobile firewall device while using encrypted communication by VPN. It can be performed.
Accordingly, since encrypted communication by VPN and packet filtering by mobile firewall can be used at the same time, it is possible to perform secret communication while eliminating packets that cause problems, and mobile communication terminals. There is an effect that it is possible to reduce the burden on the user when using the VPN function and to improve convenience.
[Brief description of the drawings]
FIG. 1 is a diagram showing a configuration of a VPN communication system according to a first embodiment of the present invention.
FIG. 2 is a sequence diagram for explaining processing when a VPN tunnel is formed and communication is performed between the MN and the CN in the VPN communication system according to the first embodiment.
FIG. 3 is a diagram showing a configuration of a VPN communication system according to a second embodiment of the present invention.
FIG. 4 is a sequence diagram for explaining processing when communication is performed between a MN and a CN by forming a VPN tunnel and an encrypted tunnel in the VPN communication system according to the second embodiment.
[Explanation of symbols]
10,30 VPN communication system
12 CN (Correspondent Node)
14 Remote network
16 VPN gateway device
18-1 First mobile firewall device
18-2 Second mobile firewall device
20 Mobile communication network
22 MN (Mobile Node) which is a mobile communication terminal
24, 24-1, 24-2 VPN tunnel
32 VPN proxy device
34-1 and 34-2 encrypted tunnel

Claims

In a VPN communication system in which a VPN tunnel for transmitting packets is formed in a communication network using encryption processing, and a mobile communication terminal and a communication destination terminal communicate with each other through this VPN tunnel.
A database in which communication destination terminal information necessary for the communication destination terminal to communicate via the VPN tunnel is registered;
A gateway device that enables communication by matching the communication format when the destination terminal communicates via the VPN tunnel;
When receiving a packet when the mobile communication terminal is connected to a communication network, acquire information on the communication destination terminal from the database. When receiving a packet to the communication destination terminal, information on the received packet and the acquired communication A VPN communication system comprising: a mobile firewall device that forms a VPN tunnel with the gateway device when the destination matches the destination terminal information.

When the mobile communication terminal performs a handover, the mobile firewall device of the handover destination obtains the communication destination terminal information from the database upon reception of a packet from the mobile communication terminal after the handover, and before the handover. The internal state information of the device is acquired from the mobile firewall device, and when receiving the packet to the communication destination terminal, when the destination of the received packet information and the acquired communication destination terminal information match, The VPN communication system according to claim 1, wherein a VPN tunnel is formed with the gateway device based on the acquired internal state information.

A proxy device that forms a VPN tunnel with the gateway device;
The mobile firewall device, when the destination of the received packet information and the acquired destination terminal information match, between the mobile firewall device and the proxy device, any mobile communication specialized Form an encrypted tunnel according to the communication protocol, and after this formation, transfer VPN connection information to the proxy device,
The VPN communication system according to claim 1, wherein the proxy device forms a VPN tunnel with the gateway device when the VPN connection information is transferred.

When the mobile communication terminal performs a handover, the mobile firewall device of the handover destination obtains the communication destination terminal information from the database upon reception of a packet from the mobile communication terminal after the handover, and before the handover. 4. The VPN according to claim 3, wherein the internal state information of the device is acquired from the mobile firewall device, and an encrypted tunnel is formed with the proxy device based on the acquired internal state information. Communications system.

In a VPN tunnel forming method for forming a VPN tunnel for transmitting a communication packet between a mobile communication terminal and a communication destination terminal using encryption in a communication network,
A first step of registering communication destination terminal information necessary for the communication destination terminal to communicate via the VPN tunnel in a database on a communication network;
A mobile firewall device on a communication network with which the mobile communication terminal communicates obtains second communication terminal information from the database when receiving a packet when the mobile communication terminal is connected to the communication network. Steps,
When the mobile firewall device receives a packet to the communication destination terminal, and the destination of the received packet information matches the communication destination terminal information acquired in the second step, And a third step of forming a VPN tunnel.

When the mobile communication terminal performs a handover, the mobile firewall device of the handover destination obtains the communication destination terminal information from the database upon reception of a packet from the mobile communication terminal after the handover, and before the handover. A fourth step of acquiring internal state information of the device from the mobile firewall device of
The mobile firewall device of the handover destination, when receiving the packet to the communication destination terminal, when the destination of the information of the received packet matches the destination terminal information acquired in the fourth step, The VPN tunnel forming method according to claim 5, further comprising a fifth step of forming a VPN tunnel with the gateway device based on the internal state information acquired in step 4.

When the mobile firewall device includes a proxy device that forms a VPN tunnel with the gateway device, the destination of the received packet information and the acquired communication destination terminal information in the fifth step is When they match, an encrypted tunnel is formed between the mobile firewall device and the proxy device according to an arbitrary communication protocol specialized for mobile communication, and VPN connection information is transferred to the proxy device after the formation. 6 steps,
6. The VPN tunnel formation according to claim 5, wherein the proxy device further includes a seventh step of forming a VPN tunnel with the gateway device when the VPN connection information is transferred. Method.

When the mobile communication terminal performs a handover, the mobile firewall device of the handover destination obtains the communication destination terminal information from the database upon reception of a packet from the mobile communication terminal after the handover, and before the handover. An eighth step of acquiring internal state information of the device from the mobile firewall device of
The handover destination mobile firewall device further includes a ninth step of forming an encrypted tunnel with the proxy device based on the internal state information acquired in the eighth step. The VPN tunnel formation method according to claim 7.