JP2005244588A - ネットワークシステム、ゲートウェイ装置、プログラム及び通信制御方法 - Google Patents

Abstract

【課題】無線基地局の位置に依存することなく無線ネットワークの無線区間における通信を暗号化できるようにする。
【解決手段】有線端末１３-jから無線端末１６-iのＩＰアドレスに対応する物理アドレスを取得するためのＡＲＰ要求が送信された場合（Ｓ１）、ＶＰＮゲートウェイ１４は、代理ＡＲＰにより自身の物理アドレスをＡＲＰ要求元の有線端末１３-jに応答する（Ｓ２）。ＶＰＮゲートウェイ１４は、有線端末１３-jから当該ＶＰＮゲートウェイ１４に対し、当該ＶＰＮゲートウェイ１４の物理アドレスを用いて無線端末１６-i宛てのＩＰパケットを含む通信データが送信されると（Ｓ３）、その通信データを受信して、当該通信データ中の無線端末１６-i宛てのＩＰパケットを暗号化する。ＶＰＮゲートウェイ１４は、暗号化されたＩＰパケットを含む通信データを無線端末１６-iに送信する（Ｓ４）。
【選択図】 図２

Description

本発明は、複数のネットワークが相互接続されたネットワークシステムに係り、特に無線ネットワークの無線区間における通信を暗号化するのに好適なネットワークシステム、ゲートウェイ装置、プログラム及び通信制御方法に関する。

一般に、無線ネットワークでは、電波を使用するために、無線基地局と無線端末との間で授受される通信データが、盗聴改ざんの危険にさらされる。このため、無線ネットワークを使用する場合、通信路を暗号化する必要がある。無線基地局と無線端末との間で送受信される通信データを暗号化する方法として、無線ネットワーク（無線ＬＡＮ）のセキュリティ機能であるＷＥＰ（Wired Equivalent Privacy）が広く普及している（例えば、非特許文献１参照）。

また他の方法として、無線ネットワークに限定した暗号化ではないが、ＩＰ（Internet Protocol(インターネットプロトコル)）層におけるＩＰパケットの秘匿性を保証するための暗号化（暗号化／復号化）技術としてＩＰsec（IP security protocol(ＩＰセキュリティプロトコル)）と呼ばれる特定のセキュリティプロトコル（セキュリティ機能）が知られている（例えば、非特許文献２参照）。ＩＰsecを使用してＶＰＮ（Virtual Private Network;仮想私設網，仮想閉域網）が構築された場合、そのＶＰＮの通信区間に無線区間が含まれていれば、この無線区間における通信も暗号化される。ＩＰsecに対応した無線端末とＩＰsecに対応していない有線端末との間の通信においては、通信が暗号化されず通常の通信となる。つまり、無線区間における通信を暗号化させるためには、無線端末だけでなく、有線端末にもＩＰsecの機能を持たせる必要がある。

この他に、無線区間における通信を暗号化させるために、ＶＰＮゲートウェイ（ＶＰＮＧＷ）を使用する方法が知られている。ＶＰＮゲートウェイ（ＶＰＮゲートウェイ装置）を用いると、有線端末にＩＰsecの機能を持たせなくて済む。そのためには、有線端末は、ＶＰＮゲートウェイが存在するネットワークに接続（収容）されている必要がある。したがって、無線端末と、ＶＰＮゲートウェイが存在しないネットワークに接続された有線端末との間の通信においては、通信が暗号化されず通常の通信となる。そこで、ＶＰＮゲートウェイを無線ネットワークの出口に配置することが提案されている（例えば、特許文献１参照）。ここでは、各端末にＩＰsecの機能を持たせなくても、無線端末から他の全端末に対して暗号通信を行うことができる。
特開２００１−３３３１１０号公報（段落００１６、図１） ＡＮＳＩ／ＩＥＥＥ Ｓｔｄ．８０２．１１ １９９９ エディション（Edition）、「ワイヤレスＬＡＮ・メディア・アクセス・コントロール（ＭＡＣ）・アンド・フィジカル・レイヤ・スペシフィケーションズ（Wireless LAN Medium Access Control (MAC) and Physical Layer Specifications）、１９９９年８月 Ｓ．ケント、Ｒ．アトキンサン（S. Kent, R. Atkinson）著、「セキュリティ・アーキテクチャ・フォー・ザ・インターネット・プロトコル（Security Architecture for the Internet Protocol）、ＲＦＣ２４０１、１９９８年１１月

上記ＷＥＰに対しては、従来から様々なセキュリティ上の脆弱性が指摘されている。中でも、ＦＭＳアタックと呼ばれるものが特に深刻である。このＦＭＳアタックの特徴は、IEEE302.11Bのトラフィックを一定期間傍受して多少の計算をするだけで、ＷＥＰの鍵を解読できてしまう点にある。またＷＥＰを使用する場合、無線基地局と端末との間で共通の鍵を設定する必要があるため、無線端末を移動して使用する環境、つまり複数の無線基地局を使用する環境では、鍵の管理が困難になるという問題もある。このため、現在市場で普及している無線基地局と無線ＬＡＮカードの多くでは、IEEE802.1xによる認証鍵配布とＷＥＰとを組み合わせる方法が適用される。しかし、この方法は設定が複雑であるため、あまり普及していない。

これに対してＩＰsecは、セキュリティ強度の強い暗号化を実現することができる。ＩＰsecを使用して、無線区間における通信を完全に暗号化するには、上記特許文献１に記載された構成を適用するシステムが必要となる。しかし、特許文献１に記載された構成では、無線基地局を追加する必要がある場合、ＶＰＮゲートウェイの設置位置を考慮しなければならない。例えば、既存のネットワーク構成を変更せずにネットワーク上に無線基地局を導入する場合、必ず新規にＶＰＮゲートウェイが必要となる。つまり、無線基地局は、ＶＰＮゲートウェイが接続（収容）されているネットワーク側にしか設置できない。このことは、無線導入の際のメリットである柔軟なネットワーク構成を妨げることを意味している。

本発明は上記事情を考慮してなされたものでその目的は、無線基地局の位置に依存することなく無線ネットワークの無線区間における通信を暗号化できるネットワークシステム、ゲートウェイ装置、プログラム及び通信制御方法を提供することにある。

本発明の１つの観点によれば、ネットワークアドレスが同一の複数のネットワークが相互接続されたネットワークシステムに適用され、上記複数のネットワークのうちの任意のネットワークに接続されたゲートウェイ装置であって、ＩＰパケットの暗号化／復号化を可能とする特定のセキュリティ機能を有するゲートウェイ装置が提供される。このゲートウェイ装置は、上記複数のネットワークのうちの任意のネットワークに接続された有線端末から、上記特定のセキュリティ機能を有し、無線基地局を介して上記複数のネットワークのうちの対応するネットワークに接続可能な無線端末のＩＰアドレスに対応する物理アドレスを取得するためのアドレス解決プロトコル要求が送信された場合に、上記無線端末に代わり、代理アドレス解決プロトコルにより上記ゲートウェイ装置の物理アドレスをアドレス解決プロトコル要求元の上記有線端末に応答する代理アドレス解決プロトコル応答手段と、上記有線端末から上記ゲートウェイ装置の物理アドレスを用いて当該ゲートウェイ装置に送信された、上記無線端末宛てのＩＰパケットを含む非暗号化通信データを受信する非暗号化通信データ受信手段と、この非暗号化通信データ受信手段により受信された非暗号化通信データ中の上記無線端末宛てのＩＰパケットを暗号化する暗号化手段と、この暗号化手段により暗号化されたＩＰパケットを含む暗号化通信データを上記無線端末に送信する暗号化通信データ送信手段とを備える。

このような構成のゲートウェイ装置は、無線端末が、ネットワークアドレスが同一の複数のネットワークのうちの何れのネットワークに接続された無線基地局の無線区間（無線通信エリア）に位置していても、当該無線端末装置宛ての通信データを、当該ゲートウェイ装置自身の位置に無関係に、全て代理で受け取って、暗号化して当該無線端末に送信する。したがって、上記ゲートウェイ装置は、従来の特定のセキュリティ機能を持つゲートウェイ装置と異なって、無線基地局が接続されたネットワークと他のネットワークとを分離することはない。これにより、無線端末がネットワークアドレスが同一の複数のネットワークのうちの何れのネットワークに接続された無線基地局を使用しても、つまり同一セグメント内の、ゲートウェイ装置とは無関係の位置に存在する何れの無線基地局を使用しても、無線区間における通信を暗号化できる。よって、既存のネットワーク構成を変更せずにネットワーク上に無線基地局を導入する場合、ゲートウェイ装置を追加しなくても済む。

本発明によれば、ゲートウェイ装置が代理アドレス解決プロトコルを使用して、無線端末装置宛ての通信データを全て代理で受け取り、暗号化して当該無線端末に送信する構成とすることにより、無線端末装置が使用する無線基地局とゲートウェイ装置との位置関係に無関係に無線ネットワークの無線区間における通信を暗号化できる。

以下、本発明の実施の形態につき図面を参照して説明する。
［第１の実施形態］
図１は本発明の第１の実施形態に係るネットワークシステムの構成を示すブロック図である。図１において、ネットワーク１１には、ネットワーク（有線ネットワーク）１２-1（＃１），１２-2（＃２），１２-3（＃３）が接続されている。本実施形態において、ネットワーク１１，１２-1〜１２-3のネットワークアドレスは同一である。つまりネットワーク１１，１２-1〜１２-3は、同一セグメントを構成する。したがって、図１のネットワークシステムでは、ネットワーク１１，１２-1〜１２-3を相互接続するのにルータを必要としない。ネットワーク１２-1には、有線で通信を行う有線端末（固定端末）１３-1，１３-2が接続（収容）されている。ネットワーク１２-2には、有線で通信を行う有線端末１３-3と、ＶＰＮゲートウェイ（ＶＰＮゲートウェイ装置）１４と、無線基地局１５-1とが接続（収容）されている。ネットワーク１２-3には、無線基地局１５-2が接続（収容）されている。また図１には、無線ネットワークを実現する無線基地局１５-1，１５-2の無線通信エリア（無線区間）内に無線端末（移動端末）１６-1，１６-2が配置されている状態が示されている。

ＶＰＮゲートウェイ１４は、ＩＰsecを適用して無線ネットワークにおける無線区間での通信を暗号化する。即ちＶＰＮゲートウェイ１４は、有線端末１３-j（ｊ＝１，２，…４）からの無線端末１６-i宛ての全ての通信データを代理で受け取り、暗号化して当該無線端末に１６-i（ｉ＝１，２）に転送する機能を有する。ＶＰＮゲートウェイ１４は、同一ネットワークアドレスのネットワーク上の無線端末１６-iとの間でセキュリティアソシエーション（ＳＡ）を交換（確立）する。ＶＰＮゲートウェイ１４は後述するように、無線基地局の設置位置に依存せずに設置可能である。一方、無線端末１６-iは、ＩＰsecの機能を実現するためのクライアント機能（クライアントソフトウェア）を有し、全ての通信データを必ずＶＰＮゲートウェイ１４を中継して送信する。

次に、図１のネットワークシステムにおける無線端末１６-iとＶＰＮゲートウェイ１４と無線端末１６-iの通信相手となる有線端末１３-jとの間の通信について、図２のシーケンスチャートを参照して説明する。

まず、ＶＰＮゲートウェイ１４及び無線端末１６-iはＳＡ（セキュリティアソシエーション）確立（交換）手段として機能して、暗号化通信を行うためＩＰsecのＳＡを確立させておく。またＶＰＮゲートウェイ１４及び無線端末１６-iは、互いに連携して、それぞれ相手のＭＡＣ（Media Access Control(メディアアクセスコントロール)）アドレスとＩＰアドレスとの対を含むアドレス情報が登録された、後述するアドレステーブル１４５及び１６５（図４及び図１５参照）を、当該ＶＰＮゲートウェイ１４及び無線端末１６-i内に事前に作成しておく。ＶＰＮゲートウェイ１４及び無線端末１６-iのＭＡＣアドレスは、それぞれ当該ＶＰＮゲートウェイ１４及び無線端末１６-iに固有のハードウェアアドレス（物理アドレス）である。上記アドレステーブル１４５を作成する方法については後述する。

無線端末１６-iが起動された場合、クライアントソフトウェアも起動される。すると無線端末１６-iは、全てのＡＲＰ（Address Resolution Protocol;アドレス解決プロトコル）要求に対し応答を停止する状態（ＡＲＰ応答停止状態）に設定される。このＡＲＰ要求に対しては、ＶＰＮゲートウェイ１４が代理ＡＲＰにより応答を行う。これにより有線端末１３-jからの無線端末１６-i宛ての通信データは、全てＶＰＮゲートウェイが受信する。また無線端末１６-iは、ＡＲＰ応答停止状態では、当該無線端末１６-iに有線端末１３-jから直接通信データが送信されないようにするため、ＡＲＰ要求を送信しないように設定される。

有線端末１３-jは、無線端末１６-iに通信データを送信しようとする場合、当該無線端末１６-iのＭＡＣアドレスを取得するために、当該無線端末１６-iのＩＰアドレスに対するＡＲＰ要求のパケットを、ブロードキャストアドレスを用いてブロードキャスト送信する（ステップＳ１）。しかし、無線端末１６-i（内のクライアント機能）は、このＡＲＰ要求に対して応答停止（非応答）状態にあるため、応答（ＡＲＰ応答）を返さない。一方、ＶＰＮゲートウェイ１４は、有線端末１３-jからのＡＲＰ要求を受信すると代理ＡＲＰ応答手段として機能し、当該ＡＲＰ要求に対する応答を代理ＡＲＰにより要求元の有線端末１３-jに返す（ステップＳ２）。これにより、ＶＰＮゲートウェイ１４から有線端末１３-jに対し、無線端末１６-iのＭＡＣアドレスではなくて、ＶＰＮゲートウェイ１４自身のＭＡＣアドレスが通知される。これを受けて有線端末１３-jは、通知されたＶＰＮゲートウェイ１４のＭＡＣアドレスを、当該有線端末１３-jのＭＡＣアドレスであるかの如く用いることにより、当該無線端末１６-i宛ての通信データ（通信データパケット）をＶＰＮゲートウェイ１４に対して送信する（ステップＳ３）。ここでは、無線端末１６-i宛ての通信データの宛先ＩＰアドレス及び宛先ＭＡＣアドレスには、それぞれ無線端末１６-iのＩＰアドレス及びＶＰＮゲートウェイ１４のＭＡＣアドレスが用いられる。

ＶＰＮゲートウェイ１４は、有線端末１３-jから当該ＶＰＮゲートウェイ１４に対して無線端末１６-i宛ての通信データ（非暗号化通信データ）が送信された場合、非暗号化通信データ受信手段として機能して、当該無線端末１６-i宛ての通信データを受信する。するとＶＰＮゲートウェイ１４は暗号化手段として機能して、受信データ、つまり無線端末１６-i宛ての通信データをＩＰsecの機能により暗号化する。ここで、ＩＰsecにより実際に暗号化されるのは、受信データ中の後述するＩＰペイロードの部分であり、宛先ＩＰアドレスを含むＩＰヘッダは暗号化の対象とならない。

ＶＰＮゲートウェイ１４は、無線端末１６-i宛ての通信データを暗号化すると暗号化通信データ送信手段として機能して、その暗号化された通信データを、データリンク層を介して無線端末１６-iのＭＡＣアドレスに対して送信する（ステップＳ４）。無線端末１６-iはＶＰＮゲートウェイとの間でＳＡを確立している。このため無線端末１６-iは、ＶＰＮゲートウェイ１４から送信された暗号化された通信データをＩＰsecの機能により復号することができる。

一方、無線端末１６-iが有線端末１３-jに対して通信データ（通信データパケット）を送信しようとする場合、当該無線端末１６-iは、有線端末１３-j宛ての通信データをＩＰsecの機能により暗号化する。ここで、ＩＰsecにより実際に暗号化されるのは、送信すべき通信データ中のＩＰペイロードの部分であり、宛先ＩＰアドレスを含むＩＰヘッダは暗号化の対象とならない。無線端末１６-iは、この暗号化された通信データを、データリンク層を介してＶＰＮゲートウェイ１４のＭＡＣアドレスに対して送信する（ステップＳ５）。

ＶＰＮゲートウェイ１４は、無線端末１６-iから当該ＶＰＮゲートウェイ１４に対して有線端末１３-j宛ての暗号化された通信データが送信された場合、暗号化通信データ受信手段として機能して、当該通信データを受信する。するとＶＰＮゲートウェイ１４は復号手段として機能して、受信データ、つまり有線端末１３-j宛ての暗号化された通信データをＩＰsecの機能により復号する。ＶＰＮゲートウェイ１４は、復号された通信データから宛先となる有線端末１３-jのＩＰアドレスを取得する。ＶＰＮゲートウェイ１４は、このＩＰアドレスが割り当てられている有線端末１３-jのＭＡＣアドレスを取得するためにＡＲＰ要求手段として機能して、当該有線端末１３-jのＩＰアドレスに対するＡＲＰ要求を同報送信する（ステップＳ６）。有線端末１３-jはＶＰＮゲートウェイ１４からのＡＲＰ要求を受信すると、当該ＡＲＰ要求に対する応答（ＡＲＰ応答）を要求元のＶＰＮゲートウェイ１４に返す（ステップＳ７）。これにより、有線端末１３-jからＶＰＮゲートウェイ１４に対し、当該有線端末１３-jのＭＡＣアドレスが通知される。これを受けてＶＰＮゲートウェイ１４は非暗号化通信データ送信手段として機能して、先に復号された有線端末１３-j宛ての通信データを、当該有線端末１３-jから通知されたＭＡＣアドレスを用いて当該有線端末１３-jに送信する（ステップＳ８）。

このように本実施形態においては、有線端末１３-jからの無線端末１６-i宛ての通信データ及び無線端末１６-iからの有線端末１３-j宛ての通信データを、無線端末１６-iとＶＰＮゲートウェイ１４との間の通信で暗号化できる。つまり本実施形態によれば、無線端末１６-iが置かれている無線区間を実現する無線基地局とＶＰＮゲートウェイ１４との位置関係に無関係に、当該無線区間の通信を暗号化できる。

次に、無線端末１６-i及びＶＰＮゲートウェイ１４において、上記アドレステーブル１４５及び１６５（即ち、相手のＭＡＣアドレスとＩＰアドレスとの対を含むアドレス情報が格納された特定テーブル）を自動的に作成する手順について、図３のシーケンスチャートを参照して説明する。

無線端末１６-iは、上記の暗号化通信を実現するため、ＡＲＰ応答及びＡＲＰ要求を送信しないように構成されている。このため無線端末１６-iは、ＴＣＰ/ＩＰにおけるＡＲＰテーブル（つまり、ＭＡＣアドレスとＩＰアドレスとの対を含むアドレス情報が格納されるテーブル）を作成することができない。したがって無線端末１６-iは、ＶＰＮゲートウェイ２４のＭＡＣアドレスとＩＰアドレスとの対を含むアドレス情報が格納されたアドレステーブル１６５を作成するまでは、以下に述べるようにブロードキャストパケットしか送受信しない。

まず無線端末１６-iは、ＶＰＮゲートウェイ１４のＭＡＣアドレスを取得するために、ブロードキャストでＩＣＭＰ（Internet Control Message Protocol(インターネットコントロールメッセージプロトコル)）のルータ請願（Router Solicitation）メッセージを含むルータ請願パケットを送信する（ステップＳ１１）。このルータ請願パケットは、無線端末１６-iのＭＡＣアドレス及びＩＰアドレスを送信元ＭＡＣアドレス及び送信元ＩＰアドレスとして含む。ＶＰＮゲートウェイ１４は、無線端末１６-iからのルータ請願パケットを受信するとアドレス交換手段として機能して、当該パケットの送信元ＭＡＣアドレスを使用して、ＩＣＭＰのルータ広告（Router Advertisement）メッセージを含むルータ広告パケットを送信する（ステップＳ１２）。このルータ広告パケットは、ＶＰＮゲートウェイ１４のＭＡＣアドレス及びＩＰアドレスを送信元ＭＡＣアドレス及び送信元ＩＰアドレスとして含む。よって、無線端末１６-iとＶＰＮゲートウェイ１４との間でルータ請願パケット（第１のＩＣＭＰ）とルータ広告パケット（第２のＩＣＭＰ）とを交換することで、無線端末１６-iの物理アドレス及びＩＰアドレスの対とＶＰＮゲートウェイ１４の物理アドレス及びＩＰアドレスの対とを交換したことになる。

このように本実施形態においては、ＶＰＮゲートウェイ１４が接続されているネットワーク１２-2とネットワークアドレスが同一のネットワーク（ここではネットワーク１２-2または１２-3）に接続された無線端末１６-i、つまりＶＰＮゲートウェイ１４が位置しているのと同一のセグメントに位置する無線端末１６-iがルータ請願パケットを送信し、このルータ請願パケットに応じてＶＰＮゲートウェイ１４がルータ広告パケットを無線端末１６-iに返すことで、互いのＭＡＣアドレス及びＩＰアドレスの対を交換している。即ち本実施形態によれば、無線端末１６-iは、ＡＲＰ要求/応答の送信を停止しているためにＡＲＰ要求/応答を使用できないにも拘わらず、ＶＰＮゲートウェイ１４との間で、ルータ請願パケットとルータ広告パケットとを授受することにより、互いのＭＡＣアドレス及びＩＰアドレスの対を交換することができる。

無線端末１６-iは、ＶＰＮゲートウェイ１４からのルータ広告パケットを受信すると、当該パケットの送信元ＭＡＣアドレスを宛先ＭＡＣアドレスとして使用して、暗号化通信を開始するための登録要求を送信する（ステップＳ１３）。この無線端末１６-iからの登録要求は、ＩＰ層以上の階層で送受信されるパケット（ＩＰパケット）を使用して、少なくとも無線端末１６-iのＭＡＣアドレスを含むアドレス情報の登録に関する有効期限を指定するのに用いられる。ここで有効期限を示す値が０の登録要求は、無線端末１６-iから明示的に登録を解除する場合に使用される。

ＶＰＮゲートウェイ１４は、無線端末１６-iからの登録要求を受信すると後述する登録処理部（登録処理手段）１４３ｂ（図４参照）として機能する。するとＶＰＮゲートウェイ１４は、ＩＰsecの機能（認証機能）により無線端末１６-iからの登録要求が正当であるか否かを判定し、その判定結果から登録の成功／失敗を判定する。登録要求の正当性の判定自体は従来から良く知られているため説明を省略する。また、ＶＰＮゲートウェイ１４は、登録要求で指定される後述する有効期限をチェックする。ＶＰＮゲートウェイ１４は、登録成功で且つ有効期限の値が０以外の場合、送信元の無線端末１６-iの送信元ＩＰアドレス及び送信元ＭＡＣアドレスの対と有効期限（を示す値）とを含むアドレス情報をアドレステーブル１４５に追加登録する。以後、ＶＰＮゲートウェイ１４は、アドレステーブル１４５に登録された無線端末１６-iのＩＰアドレスに対する有線端末１３-jからのＡＲＰ要求を受信すると、当該ＡＲＰの要求元である有線端末１３-jに対して自身のＭＡＣアドレスを通知するための代理ＡＲＰ応答を送信する。またＶＰＮゲートウェイ１４は、アドレステーブル１４５に格納されているアドレス情報のうち、有効期限が経過したアドレス情報をアドレステーブル１４５から削除する。この場合、ＶＰＮゲートウェイ１４は、削除されたアドレス情報に含まれているＩＰアドレスに対するＡＲＰ要求に対して代理ＡＲＰ応答を返す動作を直ちに停止する。

一方、登録成功で且つ有効期限の値が０の場合、ＶＰＮゲートウェイ１４は、アドレステーブル１４５から、送信元の無線端末１６-iの送信元ＩＰアドレス及び送信元ＭＡＣアドレスの対と有効期限とを含むアドレス情報を削除する。この場合、ＶＰＮゲートウェイ１４は、削除されたアドレス情報に含まれているＩＰアドレスに対するＡＲＰ要求に対して代理ＡＲＰ応答を返す動作を直ちに停止する。

ＶＰＮゲートウェイ１４は、無線端末１６-iからの登録要求に対して登録の成功または失敗を判定すると、当該登録要求に対する応答（登録応答）を当該無線端末１６-iに返す（ステップＳ１４）。この登録応答は、ＩＰ層以上の階層で送受信されるパケットを使用して、少なくとも登録成功または失敗を通知するのに用いられる。無線端末１６-iは、有効期限の値が０以外の登録要求に対して、ＶＰＮゲートウェイ１４からの登録応答により登録成功が通知されると、ＩＰsecによる暗号化通信を開始する。この際に、ＶＰＮゲートウェイ１４及び無線端末１６-iとの間で、鍵交換プロトコルであるＩＫＥ（Internet Key Exchange;インターネット鍵交換）（ＲＦＣ２４０９）を使用して、動的にＳＡを確立してもよい。また無線端末１６-iは、先に送信した登録要求で指定された有効期限内の時間間隔で、定期的にＶＰＮゲートウェイ１４に対して新たな登録要求を送信する。これにより、無線端末１６-iのＩＰアドレス及びＭＡＣアドレスの対を含むアドレス情報がアドレステーブル１４５に登録されている状態を維持することができる。一方、無線端末１６-iからの有効期限の値が０の登録要求に対して、ＶＰＮゲートウェイ１４からの登録応答により登録成功が通知された場合には、当該無線端末１６-iはＡＲＰ応答停止状態から解除され、ＡＲＰ要求/応答を使用する通常の端末として動作する。

このように本実施形態においては、無線端末１６-iからＶＰＮゲートウェイ１４に対して有効期限の情報を含む登録要求を送信し、この登録要求に応じてＶＰＮゲートウェイ１４から無線端末１６-iに、少なくとも登録の成功／失敗を通知するための登録応答を返信している。ここでは、無線端末１６-iは、登録成功が通知される都度、登録要求で指定した有効期限より短い、例えば一定の時間間隔で（つまり定期的に）新たな登録要求をＶＰＮゲートウェイ１４に送信することで、当該ＶＰＮゲートウェイ１４におけるアドレスの登録状態の維持を図ることができる。

また本実施形態において、ＶＰＮゲートウェイ１４は、無線端末１６-iからの登録要求で指定された有効期限内に当該無線端末１６-iから新たな登録要求が送られなかった場合、当該無線端末１６-iのアドレスの登録状態を解除し、アドレステーブル１４５から無線端末１６-iのＭＡＣアドレス及びＩＰアドレスの対を含むアドレス情報を削除する。つまり、無線端末１６-iは、ＶＰＮゲートウェイ１４に対する登録要求の送信を停止することにより、ＶＰＮゲートウェイ１４における当該無線端末１６-iのアドレスの登録状態を解除させることができる。これにより、ネットワークシステム内の各無線端末１６-iとＶＰＮゲートウェイ１４との間のアドレスの交換で、ＶＰＮゲートウェイ１４のアドレステーブル１４５に登録されるアドレス情報が一方的に増加するのを防止できる。しかも、ＶＰＮゲートウェイ１４における上記登録状態の解除は、無線端末１６-iから予測できるため、当該登録状態の解除によって無線端末１６-iと有線端末１３-jとの間の通信が突然途切れるのを予め防止できる。

また本実施形態において、無線端末１６-iは、有効期限内に、有効期限の値が０の新たな登録要求を送信することでも、ＶＰＮゲートウェイ１４における当該無線端末１６-iのアドレスの登録状態を解除させることができる。この有効期限の値が０の登録要求は、一種のアドレス情報登録解除要求であり、この要求を用いて無線端末１６-iがＶＰＮゲートウェイ１４における上記登録状態を明示的に解除させることで、当該無線端末１６-iは、登録状態の解除後に、ＡＲＰ要求/応答を使用する通常の端末として動作することができる。

図４は、ＶＰＮゲートウェイ１４の構成を示すブロック図である。ＶＰＮゲートウェイ１４は、ネットワークインタフェース（以下、ネットワークＩＦと称する）１４１と、データリンク層処理部１４２と、ＩＰ層処理部１４３と、トランスポート層処理部１４４と、アドレステーブル１４５とを備えている。ここでは、アドレステーブル１４５は、本実施形態に特有の特定テーブル及び従来から知られているＡＲＰテーブルの両テーブルとして管理されるものとする。特定テーブルは、ＶＰＮゲートウェイ１４が無線端末１６-iとの間のアドレス交換により取得した当該無線端末１６-iの物理アドレス及びＩＰアドレスの対を格納するのに用いられる。なお、特定テーブル及びＡＲＰテーブルがそれぞれ独立して設けられる構成であっても構わない。

データリンク層処理部１４２と、ＩＰ層処理部１４３と、トランスポート層処理部１４４とは、例えばＶＰＮゲートウェイ１４にインストールされた特定のソフトウェアプログラムを当該ゲートウェイ１４が読み取って実行することにより実現される。このプログラムは、コンピュータで読み取り可能な記憶媒体（フロッピー（登録商標）ディスクに代表される磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤに代表される光ディスク、フラッシュメモリに代表される半導体メモリ等）に予め格納して頒布可能である。また、このプログラムが、ネットワークを介してダウンロード（頒布）されても構わない。また、ＩＰ層処理部１４３及びトランスポート層処理部１４４の一部の機能が、ＶＰＮゲートウェイ１４上で動作するＯＳ（オペレーティングシステム）によって実現される構成であっても良い。これらの点は、無線端末１６-iにインストールされた特定のソフトウェアプログラムにおいても同様である。なお、トランスポート層処理部１４４は、従来から知られているトランスポート層の処理機構と同様の機能を有する。

ネットワークＩＦ１４１は、ＶＰＮゲートウェイ１４が接続されているネットワーク１２-2とのインタフェースをなす。ネットワークＩＦ１４１は、ＩＦ入力部１４１ａと、ＩＦ出力部１４１ｂとを有する。データリンク層処理部１４２は、ＶＰＮＧＷ（ＶＰＮゲートウェイ）入力部１４２ａと、ＶＰＮＧＷ出力部１４２ｂとを有する。ＩＰ層処理部１４３は、ルータ広告（Router Advertisement）処理部１４３ａと、登録処理部１４３ｂと、ＩＰ入力部１４３ｃと、ＩＰ出力部１４３ｄと、ＡＲＰ処理部１４３ｅと、ＩＰsec処理部１４３ｆとを有する。

次にＶＰＮゲートウェイ１４内の各部の動作を説明する。ネットワークＩＦ１４１内のＩＦ入力部１４１ａは、ネットワーク１２-2を介して入力された通信データ（通信データパケット）を全てデータリンク層処理部１４２内のＶＰＮＧＷ入力部１４２ａに送る。ネットワークＩＦ１４１内のＩＦ出力部１４１ｂは、データリンク層処理部１４２内のＶＰＮＧＷ出力部１４２ｂから出力された通信データパケットをネットワーク１２-2へ送信する。

ここで、ＶＰＮＧＷ入力部１４２ａの動作について、図５のフローチャート及び図６のデータフォーマットを参照して説明する。まず、ＩＦ入力部１４１ａからＶＰＮＧＷ入力部１４２ａに入力される通信データパケットは、データフォーマット上、図６（ａ）に示すパケット６０１と図６（ｂ）に示すパケット６０２とに大別される。パケット６０１は、データリンク層ヘッダ６０１ａと、ＩＰヘッダ６０１ｂと、ＩＰペイロード６０１ｃとを含む。ＩＰヘッダ６０１ｂとＩＰペイロード６０１ｃとから構成されるデータを、ＩＰパケットと呼ぶ。一方、パケット６０２は、データリンク層ヘッダ６０２ａと、ＡＲＰ要求／応答（ＡＲＰ要求またはＡＲＰ応答）６０２ｂとを含むＡＲＰパケット（ＡＲＰ要求／応答パケット）である。データリンク層ヘッダ６０１ａ，６０２ａは、宛先ＭＡＣアドレス及び送信元ＭＡＣアドレスを含む。

ＶＰＮＧＷ入力部１４２ａは、ＩＦ入力部１４１ａによって入力された通信データパケット（入力パケット）を受信すると、当該パケットがルータ請願（Router Solicitation）パケット、登録要求パケットまたはそれ以外のパケットであるか（つまりパケット種別）を判別する（ステップＳ２１，Ｓ２２）。もし、入力パケットがルータ請願パケットでも登録要求パケットでもない場合、ＶＰＮＧＷ入力部１４２ａは、当該入力パケット中のデータリンク層ヘッダに後続するデータ部分を、ＩＰ層処理部１４３のＩＰ入力部１４３ｃに送る（ステップＳ２３）。ルータ請願パケットでも登録要求パケットでもないパケットには、図６（ａ）に示すパケット６０１と、図６（ｂ）に示すパケット６０２の、何れのフォーマットのパケットも用いることができる。もし、入力パケットが、図６（ａ）に示すフォーマットのパケット６０１の場合、当該パケット６０１中のデータリンク層ヘッダ６０１ａに後続するデータ部分（つまりＩＰヘッダ６０１ｂ及びＩＰペイロード６０１ｃ）が、図６（ｃ）に示すＩＰパケット６０３としてＩＰ入力部１４３ｃに送られる。これに対し、入力パケットが、図６（ｂ）に示すフォーマットのパケット（ＡＲＰパケット）６０２の場合には、当該パケット６０２中のデータリンク層ヘッダ６０２ａに後続するデータ部分（つまりＡＲＰ要求／応答６０２ｂ）が、図６（ｄ）に示すＡＲＰパケット６０４としてＩＰ入力部１４３ｃに送られる。

一方、入力パケットが登録要求パケットである場合（ステップＳ２２）、ＶＰＮＧＷ入力部１４２ａは、当該入力パケットをそのまま登録処理部１４３ｂに送る（ステップＳ２４）。登録要求パケットには、図６（ａ）のフォーマットのパケット６０１が用いられる。ここでは、パケット６０１に対応する図６（ｅ）に示す登録要求パケット６０５が登録処理部１４３ｂに送られる。この登録要求パケット６０５のＩＰペイロード６０１ｃには、有効期限（の値）を含む登録要求データが設定される。

次に、入力パケットがルータ請願パケットである場合（ステップＳ２１）、ＶＰＮＧＷ入力部１４２ａは、当該入力パケットをそのままルータ広告処理部１４３ａに送る（ステップＳ２５）。ルータ請願パケットには、図６（ａ）のフォーマットのパケット６０１が用いられる。ここでは、パケット６０１に対応する図６（ｆ）に示すルータ請願パケット６０６がルータ広告処理部１４３ａに送られる。このルータ請願パケット６０６のＩＰペイロード６０１ｃには、ＩＣＭＰのルータ請願メッセージが設定される。

このように、ＩＰ入力部１４３ｃには、入力パケットのデータリンク層ヘッダ６０１ａ（６０２ａ）を除く部分が送られる。その理由は、ＩＰ入力部１４３ｃより上位の処理部では、アドレステーブル１４５（ここではＡＲＰテーブル）とＡＲＰパケットを使用したアドレス解決が行われるためである。これに対し、ルータ広告処理部１４３ａと登録処理部１４３ｂには、入力パケットがデータリンク層ヘッダ６０１ａを含めてそのまま送られる。その理由は、ルータ広告処理部１４３ａと登録処理部１４３ｂでは、ＡＲＰテーブルが使用されないためである。つまり、ルータ広告処理部１４３ａと登録処理部１４３ｂでは、入力パケットの送信元ＭＡＣアドレスを使用して、通信データが無線端末１６-iに送信される。このために、データリンク層ヘッダ６０１ａが必要となる。

ＶＰＮＧＷ出力部１４２ｂは、ルータ広告処理部１４３ａと登録処理部１４３ｂとＩＰ出力部１４３ｄとから、図７に示すＭＡＣアドレス７０１とＩＰパケット７０２とを受け取る。このＭＡＣアドレス７０１には、上記入力パケットの送信元ＭＡＣアドレスが用いられる。ＶＰＮＧＷ出力部１４２ｂは、ＭＡＣアドレス７０１とＩＰパケット７０２とから、データリンク層での通信に用いられる図７に示す通信データパケット７０３を生成する。このパケット７０３は、データリンク層ヘッダ７０４と、上記ＩＰパケット７０２とから構成される。データリンク層ヘッダ７０４は、宛先ＭＡＣアドレス７０５と、送信元ＭＡＣアドレス７０６とを含む。宛先ＭＡＣアドレス７０５には上記ＭＡＣアドレス７０１が用いられ、送信元ＭＡＣアドレス７０６にはＶＰＮゲートウェイ１４のＭＡＣアドレスが用いられる。ＶＰＮＧＷ出力部１４２ｂは、生成された通信データパケット７０３をＩＦ出力部１４１ｂに送る。

ルータ広告処理部１４３ａは、ＶＰＮＧＷ入力部１４２ａから送られるルータ請願パケット６０６を受信する。ルータ請願パケット６０６のデータリンク層ヘッダ６０１ａは、図８に示すように、宛先ＭＡＣアドレス８０１と送信元ＭＡＣアドレス８０２とを含む。ルータ広告処理部１４３ａは、図８に示すように、ルータ請願パケット６０６に対応する、ルータ広告（Router Advertisement）パケット８０３を生成する。ルータ広告パケット８０３は、ＩＰヘッダ８０３ｂとＩＣＭＰのルータ広告メッセージが設定されたＩＰペイロード８０３ｃとから構成されるＩＰパケットである。ルータ広告処理部１４３ａは、ルータ広告パケット８０３を、ルータ請願パケット６０６の送信元ＭＡＣアドレス８０２に対して送信するよう、当該ルータ広告パケット８０３とＭＡＣアドレス８０４とをＶＰＮＧＷ出力部１４２ｂに送る。このＭＡＣアドレス８０４には、ルータ請願パケット６０６の送信元ＭＡＣアドレス８０２が用いられる。

登録処理部１４３ｂは、ＶＰＮＧＷ入力部１４２ａから送られる登録要求パケット６０５を受信する。この登録要求パケット６０５中のデータリンク層ヘッダ６０１ａは、図９に示すように、宛先ＭＡＣアドレス９０１と送信元ＭＡＣアドレス９０２とを含む。この登録処理部１４３ｂの登録要求パケット受信時の動作について、図１０のフローチャート及び図１１のアドレステーブル１４５の一例を参照して説明する。

登録処理部１４３ｂは、登録要求パケット６０５を受信すると、当該パケット６０５の指定する登録要求が正当であるならば、登録成功と判断して、当該パケット６０５中のＩＰペイロード６０１ｃに設定されている登録要求データ中の有効期限の値を調べる（ステップＳ３１）。もし、有効期限の値が０であるならば、登録処理部１４３ｂは登録データの削除が要求されているものと判断する。この場合、登録処理部１４３ｂは、アドレステーブル１４５から対応する登録データを検索して、当該データを削除する（ステップＳ３２）。アドレステーブル１４５の各エントリに登録されるデータ（アドレス情報）は、図１１に示すように、ＭＡＣアドレス及びＩＰアドレスの対と有効期限の値（有効期限を示す有効期限情報）との組を含む。ここでは、登録要求パケット６０５のデータリンク層ヘッダ６０１ａに含まれている送信元ＭＡＣアドレス９０２とＩＰヘッダ６０１ｂに含まれている送信元ＩＰアドレスとの対を有する登録データが、削除の対象となる登録データとして検索される。これに対し、有効期限の値が０でないならば、登録処理部１４３ｂは、アドレステーブル１４５へのデータ登録が要求されているものと判断する。この場合、登録処理部１４３ｂは、要求されたデータをアドレステーブル１４５に追加登録する（ステップＳ３３）。このアドレステーブル１４５に追加登録されるデータは、登録要求パケット６０５のＩＰペイロード６０１ｃに設定されている登録要求データ（有効時間情報）と、当該パケット６０５のデータリンク層ヘッダ６０１ａ及びＩＰヘッダ６０１ｂにそれぞれ含まれている送信元ＭＡＣアドレス９０２及び送信元ＩＰアドレスの対とを有する。

登録処理部１４３ｂは、ステップＳ３２またはＳ３３を実行すると、図９に示すように、登録要求パケット６０５に対する応答のための登録応答パケット９０３を生成する。登録応答パケット９０３は、ＩＰヘッダ９０３ｂと登録応答データが設定されたＩＰペイロード９０３ｃとから構成されるＩＰパケットである。登録応答データは、登録成功または失敗を通知するデータを含む。登録処理部１４３ｂは、生成された登録応答パケット９０３を、登録要求パケット６０５の送信元ＭＡＣアドレス９０２に対して送信するよう、当該登録応答パケット９０３とＭＡＣアドレス９０４とをＶＰＮＧＷ出力部１４２ｂに送る（ステップＳ３４）。このＭＡＣアドレス９０４には、登録応答パケット９０３の送信元ＭＡＣアドレス９０２が用いられる。

また登録処理部１４３ｂは、定期的にアドレステーブル１４５を監視し、有効期限が切れているデータを当該テーブル１４５から削除する処理を行う。

ＩＰ入力部１４３ｃは、ＶＰＮＧＷ入力部１４２ａから送られるＩＰパケットを受信する。ＩＰ入力部１４３ｃは、受信したＩＰパケットが、図６（ｄ）に示すＡＲＰパケット（ＡＲＰ要求／応答パケット）６０４の場合、当該ＩＰパケット（ＡＲＰパケット）をＡＲＰ処理部１４３ｅに送り、それ以外の場合には、当該ＩＰパケットをＩＰsec処理部１４３ｆに送る。

ＩＰ出力部１４３ｄは、ＡＲＰ処理部１４３ｅから送られるＡＲＰ要求パケットまたはＡＲＰ応答（代理ＡＲＰを含む）パケットを受信する。ＩＰ出力部１４３ｄはまた、ＩＰsec処理部１４３ｆから送られるＩＰパケット（通信データ）も受信する。このＩＰ出力部１４３ｄのパケット受信時の動作について、図１２のフローチャート及び図１３のデータフォーマットを参照して説明する。

ＩＰ出力部１４３ｄは、受信パケットが図６（ｄ）に示すＡＲＰパケット（ＡＲＰ要求／応答パケット）６０４の場合（ステップＳ４１）、当該ＡＲＰパケット６０４を含むデータをＶＰＮＧＷ出力部１４２ｂに送る（ステップＳ４２）。このデータは、ＡＲＰパケット６０４の種別によって異なる。まず、ＡＲＰパケット６０４が、図１３（ａ）に示すＡＲＰ要求パケット１３１の場合には、当該ＡＲＰ要求パケット１３１とデータリンク層ブロードキャストアドレス１３２とを含むデータがＶＰＮＧＷ出力部１４２ｂに送られる。これに対し、ＡＲＰパケット６０４が、図１３（ｂ）に示すＡＲＰ応答（代理ＡＲＰを含む）パケット１３３である場合には、当該ＡＲＰ応答パケット１３３とＭＡＣアドレス１３４とを含むデータがＶＰＮＧＷ出力部１４２ｂに送られる。ＡＲＰ応答パケット１３３は、ＡＲＰパケットを使用して解決されたＭＡＣアドレス、つまりターゲットＭＡＣアドレス１３５を含む。ＶＰＮＧＷ出力部１４２ｂに送られるＭＡＣアドレス１３４には、このＡＲＰ応答パケット１３３中のターゲットＭＡＣアドレス１３５が用いられる。

次に、受信パケットが、図１３（ｃ）に示すＩＰパケット１３６である場合について述べる。ＩＰ出力部１４３ｄは、受信パケットがＩＰパケット１３６の場合、つまりＡＲＰパケットでない場合（ステップＳ４１）、当該ＩＰパケット１３６のＩＰヘッダに含まれている宛先ＩＰアドレスに対応するＭＡＣアドレス１３７をアドレステーブル１４５から取得するための動作を行う（ステップＳ４３）。もし、宛先ＩＰアドレスに対応するＭＡＣアドレス１３６がアドレステーブル１４５に存在した結果、当該ＭＡＣアドレス１３７を取得するのに成功したならば（ステップＳ４４）、ＩＰ出力部１４３ｄは、ＶＰＮＧＷ出力部１４２ｂへ、当該ＭＡＣアドレス１３７とＩＰパケット１３６とを含む図１３（ｄ）に示すデータを送る（ステップＳ４２）。これに対し、宛先ＩＰアドレスに対応するＭＡＣアドレス１３７がアドレステーブル１４５に存在しないために、当該ＭＡＣアドレス１３７を取得するのに失敗した場合（ステップＳ４４）、ＩＰ出力部１４３ｄは、ＡＲＰ処理部１４３ｅに対してＡＲＰ要求パケットの発行を要求する（ステップＳ４５）。すると、この要求に応じてＡＲＰ処理部１４３ｅからＡＲＰ要求パケットが発行される。その後、このＡＲＰ要求パケットに従うＡＲＰ応答に従ってアドレステーブル（ＡＲＰテーブル）１４５にＭＡＣアドレス１３７を含むアドレス情報が追加登録される。このアドレス情報の追加登録により、アドレステーブル１４５からＭＡＣアドレス１３７を取得できた場合（ステップＳ４６，Ｓ４７）、ＩＰ出力部１４３ｄは、当該ＭＡＣアドレス１３７とＩＰパケット１３６とを含む図１３（ｃ）に示すデータを、ＶＰＮＧＷ出力部１４２ｂに送る（ステップＳ４２）。

ＡＲＰ処理部１４３ｅは、ＩＰ入力部１４３ｃからＡＲＰパケット（ＡＲＰ要求／応答パケット）を受信する。またＡＲＰ処理部１４３ｅは、ＩＰ出力部１４３ｄからＡＲＰ要求パケットの発行要求を受信する。このＡＲＰ処理部１４３ｅのＡＲＰパケット受信時とＡＲＰ要求パケット発行要求受信時の動作について、図１４のフローチャートを参照して説明する。

今、ＡＲＰ処理部１４３ｅが、ＩＰ出力部１４３ｄからＡＲＰ要求パケットを受信したものとする。ＡＲＰ処理部１４３ｅは、この例のように、受信ＡＲＰパケットがＡＲＰ要求パケットである場合（ステップＳ５１）、当該ＡＲＰ要求パケットの示すＡＲＰ要求がＶＰＮゲートウェイ１４のＩＰアドレスに対する要求であるかを判別する（ステップＳ５２）。もし、ＶＰＮゲートウェイ１４のＩＰアドレスに対する要求である場合、ＡＲＰ処理部１４３ｅは、ネットワークＩＦ１４１のＭＡＣアドレスとＶＰＮゲートウェイ１４のＩＰドレスとの対を含むＡＲＰ応答パケットを生成する（ステップＳ５３）。ＡＲＰ処理部１４３ｅは、生成したＡＲＰ応答パケットをＶＰＮＧＷ出力部１４２ｂに送る（ステップＳ５４）。

これに対し、ＶＰＮゲートウェイ１４以外のＩＰアドレスに対するＡＲＰ要求である場合には、ＡＲＰ処理部１４３ｅは、要求されたＩＰアドレスをアドレステーブル１４５から取得するための動作を行う（ステップＳ５５）。もし、要求されたＩＰアドレス取得できたならば（ステップＳ５６）、ＡＲＰ処理部１４３ｅは、ネットワークＩＦ１４１のＭＡＣアドレスと当該ＩＰアドレスとの対を含むＡＲＰ応答パケット（代理ＡＲＰ応答パケット）を生成する（ステップＳ５７）。ＡＲＰ処理部１４３ｅは、このＡＲＰ応答パケットをＶＰＮＧＷ出力部１４２ｂに送る（ステップＳ５４）。

一方、受信パケットがＡＲＰ応答パケットの場合、ＡＲＰ処理部１４３ｅは、当該ＡＲＰ応答パケットに含まれている、ＭＡＣアドレスとＩＰアドレスとの対を、アドレステーブル（ＡＲＰテーブル）１４５に追加登録する（ステップＳ５８）。

次に、ＡＲＰ処理部１４３ｅが、ＩＰ出力部１４３ｄからＡＲＰ要求パケットの発行要求を受信したものとする。この場合、ＡＲＰ処理部１４３ｅは、要求されたＡＲＰ要求パケットを生成する（ステップＳ６１）。ＡＲＰ処理部１４３ｅは、生成したＡＲＰ要求パケットをＶＰＮＧＷ出力部１４２ｂに送る（ステップＳ６２）。

ＩＰsec処理部１４３ｆは、従来から知られている通常のＩＰsec機構と同様の機能を有する。但し、ＩＰsec処理部１４３ｆは、ＩＰ入力部１４３ｃから受け取ったパケットの宛先が、ＶＰＮゲートウェイ１４のＩＰアドレス以外で、且つＳＡを確立した端末のアドレス宛てである場合に、ＩＰsecによる暗号化を施し、暗号化されたデータをＩＰ出力部１４３ｄに送る機能を有する。このＩＰsec処理部１４３ｆが、動的な鍵交換プロトコルＩＫＥ或いはＳＫＩＰをサポートしていても良い。

トランスポート層処理部１４４は、従来から知られているトランスポート層の処理機構と同様の機能を有する。

図１５は、無線端末１６-i（ｉ＝１，２）の構成を示すブロック図である。無線端末１６-iは、ネットワークＩＦ（ネットワークインタフェース）１６１と、データリンク層処理部１６２と、ＩＰ層処理部１６３と、トランスポート層処理部１６４と、アドレステーブル１６５とを備えている。このアドレステーブル１６５は、ＶＰＮゲートウェイ１４内のアドレステーブル１４５と同様に、特定テーブル及びＡＲＰテーブルとして管理されるものとする。但し、ここでの特定テーブルは、無線端末１６-iがＶＰＮゲートウェイ１４との間のアドレス交換により取得した当該ＶＰＮゲートウェイ１４の物理アドレス及びＩＰアドレスの対を格納するのに用いられる。

データリンク層処理部１６２と、ＩＰ層処理部１６３と、トランスポート層処理部１６４とは、例えば無線端末１６-iにインストールされた特定のソフトウェアプログラムを当該無線端末１６-iが読み取って実行することにより実現される。また、ＩＰ層処理部１６３及びトランスポート層処理部１６４の一部の機能が、無線端末１６-i上で動作するＯＳによって実現される構成であっても良い。トランスポート層処理部１６４は、従来から知られているトランスポート層の処理機構と同様の機能を有する。

ネットワークＩＦ１６１は、ＶＰＮゲートウェイ１４内のネットワークＩＦ１４１に相当し、ＩＦ入力部１６１ａと、ＩＦ出力部１６１ｂとを有する。データリンク層処理部１６２は、ＶＰＮゲートウェイ１４内のデータリンク層処理部１４２に相当し、クライアント端末入力部１６２ａと、クライアント端末出力部１６２ｂとを有する。ＩＰ層処理部１６３は、ＶＰＮゲートウェイ１４内のＩＰ層処理部１４３に相当し、ルータ請願（Router Solicitation）処理部１６３ａと、登録処理部１６３ｂと、ＩＰ入力部１６３ｃと、ＩＰ出力部１６３ｄと、ＩＰsec処理部１６３ｅとを有する。

ネットワークＩＦ１６１内のＩＦ入力部１６１ａは、ネットワークを介して入力された通信データパケットを全てデータリンク層処理部１６２内のクライアント端末入力部１６２ａに送る。ネットワークＩＦ１６１内のＩＦ出力部１６１ｂは、データリンク層処理部１６２内のクライアント端末出力部１６２ｂから出力された通信データパケットをネットワークへ送信する。

ここで、クライアント端末入力部１６２ａの動作について、図１６のフローチャートと図６及び図１７のデータフォーマットとを参照して説明する。
クライアント端末入力部１６２ａは、ＩＦ入力部１６１ａによって入力された通信データパケット（入力パケット）を受信すると、当該パケットの種別を判別する（ステップＳ７１，Ｓ７２，Ｓ７３）。ここでは、入力パケットが、登録要求パケット、ルータ広告パケット、ＡＲＰパケット、またはそれ以外のパケットの何れであるかが判別される。ＡＲＰパケットには、図６（ｂ）に示すフォーマットのパケット６０２が用いられ、登録要求パケット及びルータ広告パケットなど、ＡＲＰパケット以外のパケットには、図６（ａ）に示すフォーマットのパケット６０１が用いられる。

もし、入力パケットが図６（ａ）のフォーマットのパケット６０１で、且つ当該入力パケット（パケット６０１）が登録要求パケットである場合（ステップＳ７３）、クライアント端末入力部１６２ａは、当該入力パケットをそのまま登録処理部１６３ｂに送る（ステップＳ７４）。ここでは、パケット６０１に対応する図６（ｅ）に示す登録要求パケット６０５が登録処理部１６３ｂに送られる。

また、入力パケットが図６（ａ）のフォーマットのパケット６０１で、且つ当該入力パケット（パケット６０１）がルータ広告パケットである場合（ステップＳ７２）、クライアント端末入力部１６２ａは、当該入力パケットをそのまま登録処理部１６３ｂに送る（ステップＳ７４）。ここでは、パケット６０１に対応する図１７に示すルータ広告パケット１７１が登録処理部１６３ｂに送られる。このルータ広告パケット１７１のＩＰペイロード６０１ｃには、ＩＣＭＰのルータ広告メッセージが設定されている。

また、入力パケットが、登録要求パケット６０５、ルータ広告パケット１７１または図６（ｂ）に示すＡＲＰパケット６０２の何れでもない場合（ステップＳ７１〜Ｓ７３）、クライアント端末入力部１６２ａは、当該入力パケット中のデータリンク層ヘッダに後続するデータ部分を、ＩＰ層処理部１６３のＩＰ入力部１６３ｃに送る（ステップＳ７５）。登録要求パケット６０５、ルータ広告パケット１７１またはＡＲＰパケット６０２の何れでもないパケットのフォーマットは、図６（ａ）に示すパケット６０１のフォーマットに一致する。この場合、パケット６０１中のデータリンク層ヘッダ６０１ａに後続するデータ部分（つまりＩＰヘッダ６０１ｂ及びＩＰペイロード６０１ｃ）が、図６（ｃ）に示すＩＰパケット６０３としてＩＰ入力部１６３ｃに送られる。

また、入力パケットがＡＲＰパケット６０２の場合（ステップＳ７１）、クライアント端末入力部１６２ａは、当該入力パケット（ＡＲＰパケット６０２）を登録処理部１６３ｂ及びＩＰ入力部１６３ｃの何れにも送らずに、処理を終了する。つまりクライアント端末入力部１６２ａは、入力パケット（ＡＲＰパケット６０２）を破棄する。

このように、ＩＰ入力部１６３ｃには、入力パケットのデータリンク層ヘッダ６０１ａを除く部分が送られる。その理由は、ＩＰ入力部１６３ｃより上位の処理部では、アドレステーブル１６５（ここではＡＲＰテーブル）とＡＲＰパケットとを使用したアドレス解決が行われるためである。これに対し、登録処理部１６３ｂには、入力パケットがデータリンク層ヘッダ６０１ａを含めてそのまま送られる。その理由は、登録処理部１６３ｂでは、ＡＲＰテーブルが使用されないためである。つまり、登録処理部１６３ｂは、登録応答パケットをＶＰＮゲートウェイ１４に送信するのに、入力パケットの送信元ＭＡＣアドレスを宛先ＭＡＣアドレスとして使用する。このために、データリンク層ヘッダ６０１ａが必要となる。

クライアント端末出力部１６２ｂは、ＩＦ出力部１６１ｂとルータ請願処理部１６３ａと登録処理部１６３ｂとから、図７に示すＭＡＣアドレス７０１とＩＰパケット７０２とを受け取る。このＭＡＣアドレス７０１には、上記入力パケットの送信元ＭＡＣアドレスが用いられる。クライアント端末出力部１６２ｂは、先に述べたＶＰＮゲートウェイ１４内のＶＰＮＧＷ出力部１４２ｂと同様に、ＭＡＣアドレス７０１とＩＰパケット７０２とから、データリンク層での通信に用いられる図７に示す通信データパケット（データリンク層パケット）７０３を生成する。このパケット７０３は、データリンク層ヘッダ７０４と、ＩＰパケット７０２とから構成される。データリンク層ヘッダ７０４は、宛先ＭＡＣアドレス７０５と、送信元ＭＡＣアドレス７０６とを含む。宛先ＭＡＣアドレス７０５には、上記ＭＡＣアドレス７０１が用いられる。一方、送信元ＭＡＣアドレス７０６には、ＶＰＮＧＷ出力部１４２ｂによるデータリンク層パケットの生成の場合と異なり、無線端末１６-iのＭＡＣアドレスが用いられる。クライアント端末出力部１６２ｂは、生成された通信データパケットをＩＦ出力部１６１ｂに送る。

ルータ請願処理部１６３ａは、登録処理部１６３ｂからの後述するルータ請願パケット発行要求に応じて、図１８に示すルータ請願パケット１８１を生成する。ルータ請願パケット１８１は、ＩＰヘッダ１８１ｂとＩＣＭＰのルータ請願メッセージが設定されたＩＰペイロード１８１ｃとから構成されるＩＰパケットである。ルータ請願処理部１６３ａは、生成したルータ請願パケット１８１を同報送信するように、図１８に示すように、当該パケット１８１とネットワーク層ブロードキャストアドレス１８２とをクライアント端末出力部１６２ｂに送る。このように、ルータ請願処理部１６３ａが動作するのは、登録処理部１６３ｂで登録要求パケットを送信するときであり、具体的には当該登録処理部１６３ｂからルータ請願パケットの発行が要求された場合である。

次に、登録処理部１６３ｂの登録要求パケット送信時及び登録応答パケット受信時の動作について、図１９のフローチャート、図２０のアドレステーブル１６５の一例及び図２１のデータフォーマットを参照して説明する。
まず登録処理部１６３ｂは、登録要求パケットを送信するに際し、ＶＰＮゲートウェイ１４のＭＡＣアドレスを含むアドレス情報がアドレステーブル１６５に存在するか否かをチェックする（ステップＳ８１，Ｓ８２）。なお、本実施形態において、無線端末１６-iは自身でＡＲＰ応答及びＡＲＰ要求を一切送信しない。このためアドレステーブル１６５には、ＶＰＮゲートウェイ１４以外のアドレス情報は常に存在しない。

登録処理部１６３ｂは、アドレステーブル１６５にＶＰＮゲートウェイ１４のアドレス情報が存在しない場合、ルータ請願処理部１６３ａに対して、ルータ請願パケットの送信（発行）を要求する（ステップＳ８３）。これに対し、図２０に示すように、アドレステーブル１６５にＶＰＮゲートウェイ１４のアドレス情報が存在する場合、登録処理部１６３ｂは、図２１に示す登録要求パケット２１１を生成する（ステップＳ８４）。登録要求パケット２１１は、ＩＰヘッダ２１１ｂと登録要求データが設定されたＩＰペイロード２１１ｃとから構成されるＩＰパケットである。登録処理部１６３ｂは、生成された登録要求パケット２１１を、アドレステーブル１６５から取得される図２１に示すＭＡＣアドレス２１２（つまりＶＰＮゲートウェイ１４のＭＡＣアドレス２１２）に対して送信するよう、当該登録要求パケット２１１とＭＡＣアドレス２１２とをクライアント端末出力部１６２ｂに送る（ステップＳ８５）。

さて、登録処理部１６３ｂからクライアント端末出力部１６２ｂに送った登録要求パケット２１１がＶＰＮゲートウェイ１４に転送された結果、当該ＶＰＮゲートウェイ１４から、図９に示す登録応答パケット９０３に相当し、且つデータリンク層ヘッダを含む登録応答パケットが無線端末１６-iに返されたものとする。この登録応答パケットは、ＩＦ入力部１６１ａ及びクライアント端末入力部１６２ａを介して登録処理部１６３ｂに入力される。登録処理部１６３ｂは、この登録応答パケットを受け取ると、当該パケットのＩＰペイロードに設定されている登録応答データをもとに、ＶＰＮゲートウェイ１４でのアドレス情報登録に成功したか否かを判別する（ステップＳ９１）。もし、登録に成功した場合、登録処理部１６３ｂは、アドレステーブル１６５にＶＰＮゲートウェイ１４のアドレス情報の登録を行う（ステップＳ９２）。この例のように、アドレステーブル１６５にＶＰＮゲートウェイ１４のアドレス情報が存在している状態で、無線端末１６-iからＶＰＮゲートウェイ１４に送られた登録要求パケットに対する登録応答の場合、上記ステップＳ９２では、アドレス情報中の有効期限の値だけが書き換えられる。その後、登録処理部１６３ｂは、先に登録要求パケット２１１を用いて送信した登録要求データの示す有効期限以内の間隔で、定期的に登録要求パケットを送信することにより、アドレステーブル１６５にＶＰＮゲートウェイ１４のアドレス情報が登録されている状態を維持する。アドレステーブル１６５からＶＰＮゲートウェイ１４のアドレス情報が削除されるのは、登録応答パケットにより登録成功が通知された後、有効期限以内に登録成功を通知する新たな登録応答パケットを受信しなかった場合である。

次に、登録処理部１６３ｂのルータ広告パケット受信時の動作について、図２２のフローチャート及び図２３のデータフォーマットを参照して説明する。今、登録処理部１６３ｂが、クライアント端末入力部１６２ａから入力される、図１７に示すルータ広告パケット１７１を受信したものとする。このルータ広告パケット１７１のデータリンク層ヘッダ６０１ａは、図２３に示すように、宛先ＭＡＣアドレス２３１と送信元ＭＡＣアドレス２３２とを含む。登録処理部１６３ｂは、ルータ広告パケット１７１を受信すると、上記登録要求パケット２１１に相当する図２３に示す登録要求パケット２３３を生成する（ステップＳ１０１）。登録要求パケット２３３は、ＩＰヘッダ２３３ｂと登録要求データが設定されたＩＰペイロード２３３ｃとから構成されるＩＰパケットである。登録処理部１６３ｂは、受信したルータ広告パケット１７１のデータリンク層ヘッダ６０１ａに含まれている送信元ＭＡＣアドレス２３１を、図２３に示すＭＡＣアドレス２３４として、登録要求パケット２３３と当該ＭＡＣアドレス２３４とをクライアント端末出力部１６２ｂに送る（ステップＳ１０２）。

ＩＰ入力部１６３ｃは、クライアント端末入力部１６２ａから入力される、図６（ｃ）に示すフォーマットのＩＰパケット６０３を受信する。ＩＰ入力部１６３ｃは、受信したＩＰパケット６０３をＩＰsec処理部１６３ｅに送る。ＩＰsec処理部１６３ｅは通常のＩＰsec機構と同様の機能を有する。この点で、ＩＰsec処理部１６３ｅは、ＶＰＮゲートウェイ１４内のＩＰsec処理部１４３ｆと同様である。但し、ＩＰsec処理部１６３ｅは、ＩＰsec処理部１４３ｆと異なり、ＩＰ入力部１６３ｃから受け取ったＩＰパケットの送信元が、ＶＰＮゲートウェイ１４のＩＰアドレス以外の場合には、当該パケットを破棄する。

ＩＰsec処理部１６３ｅは、ＩＰ出力部１６３ｄに対してＩＰパケットを送る。するとＩＰ出力部１６３ｄは、ＩＰsec処理部１６３ｅから送られたＩＰパケットを受信する。このＩＰ出力部１６３ｄのＩＰパケット受信時の動作について、図２４のフローチャート及び図２５のデータフォーマットを参照して説明する。

今、ＩＰ出力部１６３ｄが、図２５（ａ）に示すルータ広告パケット２５１を受信したものとする。このルータ広告パケット２５１は、図１７に示すルータ広告パケット１７１のデータリンク層ヘッダ６０１ａに後続するデータ部分に相当するＩＰパケットである。ルータ広告パケット２５１は、ＩＰヘッダ２５１ｂと、ＩＣＭＰのルータ広告メッセージが設定されたＩＰペイロード２５１ｃとから構成される。

ＩＰ出力部１６３ｄは、ＩＰsec処理部１６３ｅからルータ広告パケット２５１を受信すると、アドレステーブル１６５にＶＰＮゲートウェイ１４のＭＡＣアドレスを含むアドレス情報が存在するか否かをチェックする（ステップＳ１０１，Ｓ１０２）。もし、アドレステーブル１６５に、図２５（ｂ）に示す、ＶＰＮゲートウェイ１４のＭＡＣアドレス２５２が存在する場合、ＩＰ出力部１６３ｄは、当該ＭＡＣアドレス２５２とルータ広告パケット２５１に対する登録要求パケット２５３とを、クライアント端末出力部１６２ｂに送る。登録要求パケット２５３は、ＩＰヘッダ２５３ｂと、登録要求データが設定されたＩＰペイロード２５３ｃとから構成されるＩＰパケットである。

これに対し、アドレステーブル１６５にＶＰＮゲートウェイ１４のＭＡＣアドレスを含むアドレス情報が存在しない場合、ＩＰ出力部１６３ｄは、クライアント端末出力部１６２ｂへのパケッデータ送信を行わずに処理を終了する。

［第２の実施形態］
図２６は本発明の第２の実施形態に係るネットワークシステムの構成を示すブロック図である。図２６において、図１と同様の部分には同一符号を付してある。

図２６において、ネットワーク２１には、ネットワーク（有線ネットワーク）２２-1（＃１），２１-2（＃２），２２-3（＃３）が、それぞれルータ２０-1，２０-2，２０-3を介して接続されている。本実施形態において、ネットワーク２１，２２-1〜２２-3のネットワークアドレスはそれぞれ異なり、この点で図２６のシステムは、前記第１の実施形態における図１のシステムと相異する。ルータ２０-1〜２０-3は、この異なるネットワークアドレスのネットワーク２１，２２-1〜２２-3相互間を接続するためのルーティング機能を有する。

第２の実施形態の特徴は、第１の実施形態で適用された技術を応用して、ルータ２０-1〜２０-3を介したネットワークにおいても、ＩＰsecを使用して無線ネットワークの無線区間における通信を暗号化しながら、ＶＰＮゲートウェイ装置の設置位置が無線基地局の位置に依存しないネットワークシステムを実現した点にある。

ネットワーク２１，２２-1〜２２-3のうちの例えばネットワーク２２-2には、ＶＰＮゲートウェイ（ＶＰＮゲートウェイ装置）２４が接続されている。このＶＰＮゲートウェイ２４は、ＩＰsecの機能を有する図１中のＶＰＮゲートウェイ１４にモバイルＩＰ（ＲＦＣ３３４４）のホームエージェントの機能を追加することにより実現される。つまり、ＶＰＮゲートウェイ２４は、ホームエージェントを兼ねたホームエージェント機能付きＶＰＮゲートウェイである。モバイルＩＰとは、ネットワークアドレスを異にするネットワーク間（つまり異なるセグメント間）をモバイル端末（ホスト）が移動したときに、その移動を検出し、移動後においても移動前と同様に通信可能なように、ＩＰアドレスの管理と移動先への通信データパケットの転送を自動化する技術（プロトコル）をいう。ホームエージェントは、モバイル端末の位置を管理する。モバイルＩＰの技術の特徴の１つとして、モバイル端末がホームエージェントとは異なるセグメントに移動した状態では、当該モバイル端末は全ての通信データを必ずホームエージェントを中継して送信できることが知られている。

図２６には、無線ネットワークにおける無線基地局１５-1，１５-2の無線通信エリア（無線区間）内に無線端末（移動端末）２６-1，２６-2が配置されている状態が示されている。無線端末２６-2は、ＶＰＮゲートウェイ２４が接続されているネットワーク２２-2に接続された無線基地局１５-1の無線通信エリアから、当該ネットワーク２２-2とはネットワークアドレスが異なるネットワーク２２-3に接続された無線基地局１５-2の無線通信エリアに移動された無線端末２６-1を指す。つまり無線端末２６-2は、ＶＰＮゲートウェイ２４が位置しているのと同一のセグメントから当該ＶＰＮゲートウェイ２４が位置しているのとは異なるセグメントに移動された無線端末２６-1を指す。無線端末２６-i（ｉ＝１，２）は、ＩＰsecの機能を有する図１中の無線端末１６-iに、モバイルＩＰのモバイルノードの機能を追加することにより実現される。つまり、無線端末１６-iは、モバイルＩＰのプロトコルを適用するモバイルノードを兼ねたモバイルノード機能付き無線端末（モバイル端末）である。

このように、本実施形態では、無線端末２６-i及びＶＰＮゲートウェイ２４に、ＩＰsecの機能だけでなくモバイルＩＰの機能も持たせている。これにより本実施形態では、以下に述べるように、無線端末２６-iがＶＰＮゲートウェイ２４（のホームエージェント）と同一のセグメント（図２６の例では、ネットワーク２２-2）上に位置している場合でも、無線端末２６-iがＶＰＮゲートウェイ２４とは異なるセグメント（図２６の例では、ネットワーク２２-3）に移動している場合でも、共に全ての通信データを必ずＶＰＮゲートウェイ２４（のホームエージェント）を中継させる仕組みを実現している。

ここで、図２６のネットワークシステムにおける、移動前の無線端末２６-1及び移動後の無線端末２６-2とＶＰＮゲートウェイ２４と有線端末１３-jとの間の通信について、図２７のシーケンスチャートを参照して説明する。

まず、ＶＰＮゲートウェイ２４と無線端末２６-1とは、暗号化通信を行うためＩＰsecのＳＡ（セキュリティアソシエーション）を確立させておく。前記したように、モバイルＩＰの技術では、ホームエージェント（ここでは、ＶＰＮゲートウェイ２４に実装されている）を中継した通信は、無線端末（モバイル端末）が移動した先のセグメントでのみ可能である。そこで本実施形態では、無線端末２６-iがホームエージェントと同一のセグメント上に位置している移動前の状態では、前記第１の実施形態で適用した、無線端末２６-iの位置に無関係に必ずＶＰＮゲートウェイ２４を中継して通信させる機能を働かせる。これにより、無線端末２６-iがホームエージェントと同一のセグメント上に位置している場合にも、ホームエージェント（ＶＰＮゲートウェイ２４）を中継した通信が可能となり、後述するように、ＶＰＮゲートウェイ２４と無線端末２６-iとの間で送受信される通信データが暗号化される。

今、無線端末２６-1がＶＰＮゲートウェイ２４及び無線基地局１５-1と同一のセグメント（つまりネットワーク２２-2）に位置しているものとする。この状態では、無線端末２６-1、ＶＰＮゲートウェイ２４及び有線端末１３-jの間の通信は、前記第１の実施形態と同様に行われる。即ち無線端末２６-1の通信相手である有線端末１３-jは、無線端末１６-i宛ての通信データをＶＰＮゲートウェイ２４に対して送信する（ステップＳ１１１）。ＶＰＮゲートウェイ２４は、有線端末１３-jからの無線端末２６-1宛ての通信データを受信すると、当該データをＩＰsecの機能により暗号化する。ＶＰＮゲートウェイ２４は、暗号化された通信データを無線端末２６-1に対して送信する（ステップＳ１１２）。なお、図２７では、図２のステップＳ１，Ｓ２に相当する手順は省略されている。

一方、無線端末２６-1が有線端末１３-jに対して通信データを送信しようとする場合、当該無線端末２６-1は、有線端末１３-j宛ての通信データをＩＰsecの機能により暗号化する。無線端末２６-1は、この暗号化された通信データをＶＰＮゲートウェイ２４に送信する（ステップＳ１１３）。ＶＰＮゲートウェイ２４は、無線端末２６-1から送信された有線端末１３-j宛ての通信データを受信すると、当該通信データをＩＰsecの機能により復号する。ＶＰＮゲートウェイ２４は、復号された有線端末１３-j宛ての通信データを当該有線端末１３-jに送信する（ステップＳ１１４）。なお、図２７では、図２のステップＳ６，Ｓ７に相当する手順は省略されている。

図２８（ａ）に、上記ステップＳ１１２，Ｓ１１３で無線端末２６-1及びＶＰＮゲートウェイ２４の間で送受信される暗号化された通信データ（ＩＰパケット）２８１のフォーマットを示す。図２８（ａ）から明らかなように、ＩＰパケット２８１は、ＩＰヘッダ２８１ｂと、ＩＰペイロード２８１ｃとから構成される。ここでは、ＩＰペイロード２８１ｃのみが、ＩＰsecにより暗号化されている。

次に、無線端末２６-1が、ＶＰＮゲートウェイ２４及び無線基地局１５-1が位置しているセグメント（ネットワーク２２-2）とは別のセグメント、例えば無線基地局１５-2が位置しているセグメント（つまりネットワーク２２-3）に移動して、無線端末２６-2として機能するものとする。このような、異なるセグメントへの移動を、ルータを超えたセグメントへの移動と呼ぶ。この場合、無線端末２６-2及びＶＰＮゲートウェイ２４の双方は、前記第１の実施形態で示された動作のうち、ＩＰsecによる暗号化以外の全動作を停止する。この停止した動作の代わりに、無線端末２６-2及びＶＰＮゲートウェイ２４は、モバイルＩＰのプロトコルに従う動作を次のように行う。

今、有線端末１３-jからＶＰＮゲートウェイ２４に対して、移動後の無線端末２６-1、つまり無線端末２６-2宛ての通信データが送信されたものとする（ステップＳ１１５）。ＶＰＮゲートウェイ２４は、モバイルＩＰの機能により、無線端末２６-2宛ての全ての通信データを代理で受信する。このとき、無線端末２６-2及びＶＰＮゲートウェイ２４におけるＩＰsecによる暗号化の動作は停止されていない。そこでＶＰＮゲートウェイ２４は、無線端末２６-2宛ての通信データを受信すると、当該データ（中のＩＰペイロード）をＩＰsecの機能により暗号化する。

ＶＰＮゲートウェイ２４は、無線端末２６-2宛ての暗号化された通信データ（暗号化されたＩＰペイロードを含むＩＰパケット）をカプセル化して、モバイルＩＰのＩＰペイロードとする。ＶＰＮゲートウェイ２４は、モバイルＩＰのＩＰペイロードにモバイルＩＰのＩＰヘッダを付加することで、暗号化され且つカプセル化された通信データを含む、無線端末２６-2宛ての新たな通信データを生成する。

ここでは、図２８（ｂ）のフォーマットに示すように、有線端末１３-jから受け取って暗号化された無線端末２６-2宛ての通信データ（ＩＰパケット）２８２が、モバイルＩＰのＩＰペイロード２８３ｃとされる。ＩＰパケット２８２は、ＩＰヘッダ２８２ｂと、ＩＰペイロード２８２ｃとから構成される。このＩＰパケット２８２中のＩＰペイロード２８２ｃのみが、ＩＰsecの機能により暗号化されている。ＩＰヘッダ２８２ｂは宛先ＩＰアドレス及び送信元ＩＰアドレスを含む。このＩＰヘッダ２８２ｂの宛先ＩＰアドレス及び送信元ＩＰアドレスには、それぞれ無線端末２６-2（２６-1）のホームアドレス（つまり、無線端末の移動に拘わらずに一定のＩＰアドレス）及び有線端末１３-jのＩＰアドレスが用いられる。モバイルＩＰのＩＰペイロード２８３ｃには、モバイルＩＰのＩＰヘッダ２８３ｂが付加される。ＩＰヘッダ２８３ｂは宛先ＩＰアドレス及び送信元ＩＰアドレスを含む。このＩＰヘッダ２８３ｂの宛先ＩＰアドレス及び送信元ＩＰアドレスには、それぞれ無線端末２６-2のケアオブアドレス（つまり、無線端末の移動に伴って変化するＩＰアドレス）及びＶＰＮゲートウェイ２４（ホームエージェント）のＩＰアドレスが用いられる。ＶＰＮゲートウェイ２４は、このＩＰヘッダ２８３ｂとＩＰペイロード２８３ｃとから構成される暗号化された通信データ、つまり暗号化されたＩＰペイロード２８２ｃを含むモバイルＩＰのＩＰパケット２８３を無線端末２６-2に転送する（ステップＳ１１６）。

一方、無線端末２６-2が有線端末１３-jに対して通信データを送信しようとする場合、当該無線端末２６-2は、図２８（ｂ）に示すフォーマットの有線端末１３-j宛ての通信データ（ＩＰパケット）２８２（に含まれているＩＰペイロード２８２ｃ）をＩＰsecの機能により暗号化する。無線端末２６-2は、この暗号化された有線端末１３-j宛てのＩＰパケット２８２を含む、図２８（ｂ）に示すフォーマットのモバイルＩＰの通信データ（ＩＰパケット）２８３をＶＰＮゲートウェイ２４に送信する（ステップＳ１１７）。ここで、無線端末１６-2からＶＰＮゲートウェイ２４に送信される通信データ（ＩＰパケット）２８３のＩＰヘッダ２８２ｂ，２８３ｂの宛先ＩＰアドレス及び送信元ＩＰアドレスには、上記ステップＳ１１６でＶＰＮゲートウェイ２４から無線端末２６-2に送信されたＩＰパケット２８３に含まれているＩＰヘッダ２８２ｂ，２８２ｃの送信元ＩＰアドレス及び宛先ＩＰアドレスが用いられる。このように無線端末２６-2は、ＲＦＣ３０２４で規定されたモバイルＩＰのリバース・トンネリング（Reverse Tunneling）を使用することで、無線端末２６-2がＶＰＮゲートウェイ１４とは異なるセグメントに位置していても、当該無線端末２６-2からの有線端末１３-j宛ての全ての通信データ（暗号化されたＩＰペイロードを含む有線端末１３-j宛てのＩＰパケット）がＶＰＮゲートウェイ１４によって中継されることを可能とする。

ＶＰＮゲートウェイ２４は、無線端末２６-2からの通信データ（ＩＰパケット）２８３を受信すると、当該データ２８３をＩＰsecの機能により復号する。ここでは、カプセル化された有線端末１３-j宛ての通信データ（ＩＰパケット）２８２中のＩＰペイロード２８２ｃが復号される。ＶＰＮゲートウェイ２４は、復号されたＩＰペイロード２８２ｃを含む、有線端末１３-j宛ての通信データ（ＩＰパケット）２８２を、モバイルＩＰのプロトコルにより当該有線端末１３-jに送信する（ステップＳ１１８）。

このように、本発明の第２の実施形態においては、無線端末２６-1が、ＶＰＮゲートウェイ２４とは異なるセグメント（ルータを超えたセグメント）に移動して無線端末２６-2として機能しても、当該無線端末２６-2と有線端末１３-jとの間の通信が必ずＶＰＮゲートウェイ２４を中継して行われるようにしたので、無線端末２６-2とＶＰＮゲートウェイ２４との間の通信を（当該無線端末２６-2が位置する無線基地局の無線区間における通信を含めて）暗号化することができる。

次に、無線端末２６-1が、当該無線端末２６-1、ＶＰＮゲートウェイ２４及び無線基地局１５-1が位置しているセグメント（ネットワーク２２-2）から、別のセグメント、例えば無線基地局１５-2が位置しているセグメント（ネットワーク２２-3）に移動して無線端末２６-2として動作する場合の、移動前と移動後の動作について、図２９のシーケンスチャートを参照して説明する。

前記第１の実施形態で適用された登録要求パケットは、ＩＰ層以上の階層で送受信されるパケット（ＩＰパケット）であり、少なくとも有効期限を示す登録要求データを含んでいる。これに対して本実施形態（第２の実施形態）では、上記登録要求パケットに相当するパケットとして、モバイルＩＰの移動登録要求パケットを適用する。但し、モバイルＩＰの移動登録要求パケットでは、無線端末２６-1が移動していない状態において、有効期限の値を常に０にしなければならないのが一般的である。そこで本実施形態では、移動登録要求パケットの拡張部分を使用して、第１の実施形態で適用された、有効期限を示すデータを含む登録要求データが設定される構成としている。また、無線端末２６-1が無線端末２６-2として移動している状態では、前記したように、無線端末２６-2及びＶＰＮゲートウェイ２４の双方は、第１の実施形態で示された動作のうち、ＩＰsecによる暗号化以外の全動作を停止する必要がある。そこで本実施形態では、無線端末の移動先におけるアドレス情報のＶＰＮゲートウェイ２４での登録（移動登録）に関し、移動登録要求パケットの拡張部分に値が０の有効期限を設定する。

図３０は、移動登録要求パケットの例を、無線端末が移動していない状態で適用される移動登録要求パケット３０１と、無線端末が移動している状態で適用される移動登録要求パケット３０２とについてそれぞれ示す。移動登録要求パケット３０１，３０２は、ＩＰヘッダ３０１ｂ，３０２ｂと、ＩＰペイロード３０１ｃ，３０２ｃとから構成される。ＩＰペイロード３０１ｃ，３０２ｃは、モバイルＩＰの移動登録要求データが設定される移動登録要求フィールドＦ１と、モバイルＩＰの拡張フィールドＦ２とを含む。フィールドＦ１に設定されるモバイルＩＰの移動登録要求データは、移動登録の有効期限のデータを含む。モバイルＩＰの拡張フィールドＦ２の一部であるフィールドＦ３は、ＶＰＮゲートウェイ２４におけるアドレス情報（無線端末のＭＡＣアドレスを含むアドレス情報）の登録に関するデータ（登録要求データ）の設定に用いられる。このフィールドＦ３に設定されるデータは、有効期限の情報を含む。

無線端末が移動していない状態で適用される移動登録要求パケット３０１では、フィールドＦ１，Ｆ３のうちのＦ３が有効期限を含む有効な登録要求データの設定に用いられ、Ｆ１には値が０の有効期限が設定される。これに対し、無線端末が移動している状態で適用される移動登録要求パケット３０２では、フィールドＦ１，Ｆ３のうちのＦ１が有効期限を含む有効な登録要求データの設定に用いられ、Ｆ３には値が０の有効期限が設定される。

このように本実施形態においては、モバイルＩＰの移動登録要求パケットの拡張フィールドＦ２（中のＦ３）を利用して、無線端末２６-1が移動していない状態における、第１の実施形態で適用された登録要求パケットに相当するパケットを実現している。このため、無線端末２６-1が移動していない状態においても、第１の実施形態と同様に、登録有効期限内の時間間隔でモバイルＩＰの移動登録要求パケットを発行することにより、無線端末２６-1のＭＡＣアドレスを含むアドレス情報がアドレステーブル（図３中のアドレステーブル１４５に相当）に登録されている状態を維持することができる。

同様に、第１の実施形態で適用される登録応答パケットに相当するパケットに関しても、モバイルＩＰの移動登録応答パケットの拡張部分を使用して、当該拡張部分に有効な登録応答データを設定することで実現している。図３１は、移動登録応答パケット３１０のフォーマット例を示す。この移動登録応答パケット３１０は、ＩＰヘッダ３１０ｂとＩＰペイロード３１０ｃとから構成される。ＩＰペイロード３１０ｃは、モバイルＩＰの移動登録応答データが設定されるフィールドＦ１１と、モバイルＩＰの拡張フィールドＦ１２とを含む。フィールドＦ１１に設定される移動登録応答データは移動登録要求に対する登録結果を含む。フィールドＦ１２は、無線端末２６-1が移動していない状態におけるＶＰＮゲートウェイ２４への登録要求に対する登録結果を設定するのに用いられるフィールドＦ１３を含む。

上述の説明から明らかなように、無線端末２６-1が移動していない状態においては、無線端末２６-1とＶＰＮゲートウェイ２４との間で、上述の移動登録要求パケット及び移動登録応答パケットの拡張部分（フィールドＦ３，Ｆ１３）を使用して、図２９のシーケンスチャートに示すように当該移動登録要求パケット及び移動登録応答パケットの送受信を行うことで（ステップＳ１２１，Ｓ１２２）、図３中のステップＳ１３，Ｓ１４に相当する登録要求及び登録応答を実現できる。一方、無線端末２６-1が移動して無線端末２６-2として動作する状態においては、上述の移動登録要求パケットの移動登録要求データフィールドＦ１及び移動登録応答パケットの移動登録応答要求データフィールドＦ１１を使用して、図２９のシーケンスチャートに示すように当該移動登録要求パケット及び移動登録応答パケットの送受信を行うことで（ステップＳ１２３，Ｓ１２４）、モバイルＩＰの移動登録要求及び移動登録応答を実現できる。

このモバイルＩＰの移動登録要求に対する登録に成功した場合、ＶＰＮゲートウェイ２４の転送機能がモバイルＩＰに切り替わり、以後、ＶＰＮゲートウェイ２４及び無線端末２６-2はモバイルＩＰに従って動作する。

なお、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

本発明の第１の実施形態に係るネットワークシステムの構成を示すブロック図。 無線端末１６-iとＶＰＮゲートウェイ１４と有線端末１３-jとの間の通信手順を示すーケンスチャート。 無線端末１６-i及びＶＰＮゲートウェイ１４によるテーブル作成の手順を示すシーケンスチャート。 ＶＰＮゲートウェイ１４の構成を示すブロック図。 ＶＰＮＧＷ入力部１４２ａの動作手順を示すフローチャート。 ＶＰＮＧＷ入力部１４２ａにより入出力されるデータのフォーマットを示す図。 ＶＰＮＧＷ出力部１４２ｂにより入出力されるデータのフォーマットを示す図。 ルータ広告処理部１４３ａにより入出力されるデータのフォーマットを示す図。 登録処理部１４３ｂにより入出力されるデータのフォーマットを示す図。 登録処理部１４３ｂの登録要求パケット受信時の動作手順を示すフローチャート。 アドレステーブル１４５の一例を示す図。 ＩＰ出力部１４３ｄのパケット受信時の動作手順を示すフローチャート。 ＩＰ出力部１４３ｄによりＶＰＮＧＷ出力部１４２ｂに出力されるデータのフォーマットを示す図。 ＡＲＰ処理部１４３ｅのＡＲＰパケット受信時とＡＲＰ要求パケット発行要求受信時の動作手順を示すフローチャート。 無線端末１６-iの構成を示すブロック図。 クライアント端末入力部１６２ａの動作手順を示すフローチャート。 ルータ広告パケット１７１のフォーマットを示す図。 ルータ請願処理部１６３ａからクライアント端末出力部１６２ｂに送られるルータ請願パケット１８１とネットワーク層ブロードキャストアドレス１８２とを示す図。 登録処理部１６３ｂの登録要求パケット送信時及び登録応答パケット受信時の動作手順を示すフローチャート。 アドレステーブル１６５の一例を示す図。 登録処理部１６３ｂからクライアント端末出力部１６２ｂに送られる登録要求パケット２１１とＭＡＣアドレス２１２とを示す図。 登録処理部１６３ｂのルータ広告パケット受信時の動作手順を示すフローチャート。 登録処理部１６３ｂに入力されるルータ広告パケット１７１と、登録処理部１６３ｂからクライアント端末出力部１６２ｂに送られる登録要求パケット２３３とＭＡＣアドレス２３４とを示す図。 ＩＰ出力部１６３ｄのＩＰパケット受信時の動作手順を示すフローチャート。 ＩＰ出力部１６３ｄに入力されるルータ広告パケット２５１と、ＩＰ出力部１６３ｄからクライアント端末出力部１６２ｂに送られるＭＡＣアドレス２５２と登録要求パケット２５３とを示す図。 本発明の第２の実施形態に係るネットワークシステムの構成を示すブロック図。 移動前の無線端末２６-1及び移動後の無線端末２６-2とＶＰＮゲートウェイ２４と有線端末１３-jとの間の通信手順を示すシーケンスチャート。 無線端末２６-1及びＶＰＮゲートウェイ２４の間で送受信される暗号化された通信データと、無線端末２６-2及びＶＰＮゲートウェイ２４の間で送受信される暗号化された通信データとを示す図。 無線端末２６-1が移動する前と当該無線端末２６-1が無線端末２６-2として移動した後におけるテーブル作成の手順を示すシーケンスチャート。 移動登録要求パケットの例を、無線端末が移動していない状態で適用される移動登録要求パケット３０１と、無線端末が移動している状態で適用される移動登録要求パケット３０２とについてそれぞれ示す図。 移動登録応答パケット３１０のフォーマットを示す図。

符号の説明

１１，１２-1〜１２-3，２１，２２-1〜２２-3…ネットワーク、１３-1〜１３-3…有線端末、１４…ＶＰＮゲートウェイ、１５-1，１５-2…無線基地局、１６-1，１６-2，２６-1，２６-2…無線端末、２０-1〜２０-3…ルータ、２４…ホームエージェント機能付きＶＰＮゲートウェイ、２６-1，２６-2…モバイルノード機能付き無線端末、１４３ａ…ルータ広告処理部、１４３ｂ，１６３ｂ…登録処理部，１４３ｅ…ＡＲＰ処理部、１４３ｆ，１６３ｅ…ＩＰsec処理部、１４５，１６５…アドレステーブル、１６３ａ…ルータ請願処理部。

Claims (14)

1. ネットワークアドレスが同一の複数のネットワークが相互接続されたネットワークシステムにおいて、
   前記複数のネットワークのうちの任意のネットワークに接続されたゲートウェイ装置であって、ＩＰ（インターネットプロトコル）パケットの暗号化／復号化を可能とする特定のセキュリティ機能を有するゲートウェイ装置と、
   前記複数のネットワークのうちの任意のネットワークに接続された有線端末と、
   前記特定のセキュリティ機能を有し、無線基地局を介して前記複数のネットワークのうちの対応するネットワークに接続可能な無線端末とを具備し、
   前記ゲートウェイ装置は、
   前記有線端末から前記無線端末のＩＰアドレスに対応する物理アドレスを取得するためのアドレス解決プロトコル要求が送信された場合に、前記無線端末に代わり、代理アドレス解決プロトコルにより前記ゲートウェイ装置の物理アドレスをアドレス解決プロトコル要求元の前記有線端末に応答する代理アドレス解決プロトコル応答手段と、
   前記有線端末から前記ゲートウェイ装置の物理アドレスを用いて当該ゲートウェイ装置に送信された、前記無線端末宛てのＩＰパケットを含む非暗号化通信データを受信する非暗号化通信データ受信手段と、
   前記非暗号化通信データ受信手段により受信された前記非暗号化通信データ中の前記無線端末宛てのＩＰパケットを暗号化する暗号化手段と、
   前記暗号化手段により暗号化されたＩＰパケットを含む暗号化通信データを前記無線端末に送信する暗号化通信データ送信手段とを備えている
   ことを特徴とするネットワークシステム。
2. ネットワークアドレスが同一の複数のネットワークが相互接続されたネットワークシステムに適用され、前記複数のネットワークのうちの任意のネットワークに接続されたゲートウェイ装置であって、ＩＰ（インターネットプロトコル）パケットの暗号化／復号化を可能とする特定のセキュリティ機能を有するゲートウェイ装置において、
   前記複数のネットワークのうちの任意のネットワークに接続された有線端末から、前記特定のセキュリティ機能を有し、無線基地局を介して前記複数のネットワークのうちの対応するネットワークに接続可能な無線端末のＩＰアドレスに対応する物理アドレスを取得するためのアドレス解決プロトコル要求が送信された場合に、前記無線端末に代わり、代理アドレス解決プロトコルにより前記ゲートウェイ装置の物理アドレスをアドレス解決プロトコル要求元の前記有線端末に応答する代理アドレス解決プロトコル応答手段と、
   前記有線端末から前記ゲートウェイ装置の物理アドレスを用いて当該ゲートウェイ装置に送信された、前記無線端末宛てのＩＰパケットを含む非暗号化通信データを受信する非暗号化通信データ受信手段と、
   前記非暗号化通信データ受信手段により受信された前記非暗号化通信データ中の前記無線端末宛てのＩＰパケットを暗号化する暗号化手段と、
   前記暗号化手段により暗号化されたＩＰパケットを含む暗号化通信データを前記無線端末に送信する暗号化通信データ送信手段と
   を具備することを特徴とするゲートウェイ装置。
3. 前記無線端末から前記ゲートウェイ装置の物理アドレスを用いて当該ゲートウェイ装置に送信された、前記有線端末宛ての暗号化されたＩＰパケットを含む暗号化通信データを受信する暗号化通信データ受信手段と、
   前記暗号化通信データ受信手段により受信された前記暗号化通信データ中の前記有線端末宛てのＩＰパケットを復号する復号手段と、
   前記復号手段により復号された前記有線端末宛てのＩＰパケットを含む非暗号化通信データを、当該有線端末に送信する非暗号化通信データ送信手段と
   を備えていることを特徴とする請求項２記載のゲートウェイ装置。
4. 前記無線端末は、全てのアドレス解決プロトコル要求に対して応答を停止するアドレス解決プロトコル応答停止状態で動作することを特徴とする請求項２記載のゲートウェイ装置。
5. 前記無線端末との間で、当該無線端末の物理アドレス及びＩＰアドレスの対と前記ゲートウェイ装置の物理アドレス及びＩＰアドレスの対とを交換するアドレス交換手段を更に具備することを特徴とする請求項４記載のゲートウェイ装置。
6. 前記アドレス交換手段は、前記無線端末からの、当該無線端末の物理アドレス及びＩＰアドレスをそれぞれ送信元物理アドレス及び送信元ＩＰアドレスとして含む第１のＩＣＭＰ（インターネットコントロールメッセージプロトコル）パケットに応じ、当該第１のＩＣＭＰパケット中の前記送信元物理アドレスを用いて、前記ゲートウェイ装置の物理アドレス及びＩＰアドレスをそれぞれ送信元物理アドレス及び送信元ＩＰアドレスとして含む第２のＩＣＭＰパケットを前記無線端末に返す手段を含むことを特徴とする請求項５記載のゲートウェイ装置。
7. 前記第１のＩＣＭＰパケットがＩＣＭＰのルータ請願メッセージを含み、前記第２のＩＣＭＰパケットがＩＣＭＰのルータ広告メッセージを含むことを特徴とする請求項６記載のゲートウェイ装置。
8. 前記アドレス交換手段により前記無線端末との間で前記物理アドレス及びＩＰアドレスの対が交換された後に、前記無線端末から前記ゲートウェイ装置に対して有効期限情報を含む登録要求データが設定された登録要求が送信された場合、当該登録要求に応じ、前記無線端末の物理アドレス及びＩＰアドレスの対と当該有効期限情報とを含むアドレス情報をアドレステーブルに登録するための登録処理手段と、
   前記登録処理手段によるアドレス情報登録の結果を示す登録応答データが設定された登録応答を前記無線端末に返す登録応答手段とを更に具備し、
   前記登録処理手段は、前記アドレステーブルに登録されたアドレス情報中の前記有効期限情報の示す有効期限内に、有効期限情報を含む登録要求データが設定された、当該アドレス情報に対応する新たな登録要求が、前記無線端末から前記ゲートウェイ装置に対して送信される毎に、当該新たな登録要求に応じて前記アドレステーブルにアドレス情報を再登録し、前記有効期限内に新たな登録要求が送信されなかった場合に、対応する前記アドレス情報を前記アドレステーブルから削除することを特徴とする請求項５記載のゲートウェイ装置。
9. 前記登録処理手段は、前記無線端末から前記ゲートウェイ装置に対してアドレス情報の登録解除要求が送信された場合、当該無線端末の物理アドレス及びＩＰアドレスの対を含むアドレス情報を前記アドレステーブルから削除することを特徴とする請求項８記載のゲートウェイ装置。
10. ネットワークアドレスが異なる複数のネットワークがそれぞれルータを介して相互接続されたネットワークシステムに適用され、前記複数のネットワークのうちの任意のネットワークに接続されたゲートウェイ装置であって、ＩＰ（インターネットプロトコル）パケットの暗号化／復号化を可能とする特定のセキュリティ機能と無線端末の移動を管理するモバイルＩＰのホームエージェント機能とを有するゲートウェイ装置において、
    前記特定のセキュリティ機能と前記モバイルＩＰのプロトコルを適用するモバイルノード機能とを有する無線端末が、前記複数のネットワークのうちの、前記ゲートウェイ装置が接続されているネットワークに接続された無線基地局の無線通信エリアに位置している第１の状態で動作して、前記複数のネットワークのうちの任意のネットワークに接続された有線端末から、前記無線端末のＩＰアドレスに対応する物理アドレスを取得するためのアドレス解決プロトコル要求が送信された場合に、前記無線端末に代わり、代理アドレス解決プロトコルにより前記ゲートウェイ装置の物理アドレスをアドレス解決プロトコル要求元の前記有線端末に応答する代理アドレス解決プロトコル応答手段と、
    前記第１の状態では、前記有線端末から前記ゲートウェイ装置の物理アドレスを用いて当該ゲートウェイ装置に送信された、前記無線端末宛てのＩＰパケットを含む非暗号化通信データを受信し、前記無線端末が、前記複数のネットワークのうちの、前記ゲートウェイ装置が接続されているネットワークに接続された無線基地局の無線通信エリアから、ネットワークアドレスを異にする別のネットワークに接続された無線基地局の無線通信エリアに移動している第２の状態では、前記有線端末から送信された、前記無線端末宛てのＩＰパケットを含む非暗号化通信データをモバイルＩＰのプロトコルに従って代理で受信する非暗号化通信データ受信手段と、
    前記非暗号化通信データ受信手段により受信された前記非暗号化通信データ中の前記無線端末宛てのＩＰパケットを暗号化する暗号化手段と、
    前記暗号化手段により暗号化されたＩＰパケットを含む暗号化通信データを前記無線端末に送信する暗号化通信データ送信手段であって、前記第２の状態では、前記暗号化されたＩＰパケットを含む暗号化通信データを前記モバイルＩＰのプロトコルにより前記無線端末に送信する暗号化通信データ送信手段と
    を具備することを特徴とするゲートウェイ装置。
11. 前記第１の状態では、前記無線端末から前記ゲートウェイ装置の物理アドレスを用いて当該ゲートウェイ装置に送信された、前記有線端末宛ての暗号化されたＩＰパケットを含む暗号化通信データを受信し、前記第２の状態では、前記無線端末から前記モバイルＩＰのプロトコルにより当該ゲートウェイ装置に送信された、前記有線端末宛ての暗号化されたＩＰパケットを含む暗号化通信データを受信する暗号化通信データ受信手段と、
    前記暗号化通信データ受信手段により受信された前記暗号化通信データ中の前記有線端末宛てのＩＰパケットを復号する復号手段と、
    前記復号手段により復号された前記有線端末宛てのＩＰパケットを含む非暗号化通信データを当該有線端末に送信する非暗号化通信データ送信手段であって、前記第２の状態では、前記有線端末宛てのＩＰパケットを含む非暗号化通信データを前記モバイルＩＰのプロトコルにより当該有線端末に送信する非暗号化通信データ送信手段と
    を備えていることを特徴とする請求項１０記載のゲートウェイ装置。
12. 前記第１の状態において、前記無線端末との間で、当該無線端末の物理アドレス及びＩＰアドレスの対と前記ゲートウェイ装置の物理アドレス及びＩＰアドレスの対とを交換するアドレス交換手段と、
    前記アドレス交換手段により前記無線端末との間で前記物理アドレス及びＩＰアドレスの対が交換された後に、前記無線端末から前記ゲートウェイ装置に対して有効期限情報を含む登録要求データが設定された登録要求が送信された場合、当該登録要求に応じ、前記無線端末の物理アドレス及びＩＰアドレスの対と当該有効期限情報とを含むアドレス情報をアドレステーブルに登録するための登録処理手段であって、前記アドレステーブルに登録されたアドレス情報中の前記有効期限情報の示す有効期限内に、有効期限情報を含む登録要求データが設定された、当該アドレス情報に対応する新たな登録要求が、前記無線端末から前記ゲートウェイ装置に対して送信される毎に、当該新たな登録要求に応じて前記アドレステーブルにアドレス情報を再登録し、前記有効期限内に新たな登録要求が送信されなかった場合に、対応する前記アドレス情報を前記アドレステーブルから削除する登録処理手段と、
    前記登録処理手段によるアドレス情報登録の結果を示す登録応答データが設定された登録応答を前記無線端末に返す登録応答手段とを更に具備し、
    前記登録要求には、前記第１の状態では、所定の拡張フィールドに有効期限情報を含む有効な登録要求データが設定されたモバイルＩＰの移動登録要求パケットが用いられ、前記第２の状態では、所定の移動登録要求フィールドに有効期限情報を含む有効な登録要求データが設定されたモバイルＩＰの移動登録要求パケットが用いられ、
    前記登録応答手段は、前記第１の状態では、前記有効な登録応答データが所定の拡張フィールドに設定されたモバイルＩＰの移動登録応答パケットを前記登録応答として前記無線端末に返し、前記第２の状態では、前記登録処理手段によるアドレス情報登録の結果を示す有効な登録応答データが所定の移動登録応答フィールドに設定されたモバイルＩＰの移動登録応答パケットを前記登録応答として前記無線端末に返す
    ことを特徴とする請求項１１記載のゲートウェイ装置。
13. ネットワークアドレスが同一の複数のネットワークが相互接続されたネットワークシステムに適用され、前記複数のネットワークのうちの任意のネットワークに接続されたゲートウェイ装置であって、ＩＰ（インターネットプロトコル）パケットの暗号化／復号化を可能とする特定のセキュリティ機能を有するゲートウェイ装置を、
    前記複数のネットワークのうちの任意のネットワークに接続された有線端末から、前記特定のセキュリティ機能を有し、無線基地局を介して前記複数のネットワークのうちの対応するネットワークに接続可能な無線端末のＩＰアドレスに対応する物理アドレスを取得するためのアドレス解決プロトコル要求が送信された場合に、前記無線端末に代わり、代理アドレス解決プロトコルにより前記ゲートウェイ装置の物理アドレスをアドレス解決プロトコル要求元の前記有線端末に応答する代理アドレス解決プロトコル応答手段と、
    前記有線端末から前記ゲートウェイ装置の物理アドレスを用いて当該ゲートウェイ装置に送信された、前記無線端末宛てのＩＰパケットを含む非暗号化通信データを受信する非暗号化通信データ受信手段と、
    前記非暗号化通信データ受信手段により受信された前記非暗号化通信データ中の前記無線端末宛てのＩＰパケットを暗号化する暗号化手段と、
    前記暗号化手段により暗号化されたＩＰパケットを含む暗号化通信データを前記無線端末に送信する暗号化通信データ送信手段
    として機能させるためのプログラム。
14. ネットワークアドレスが同一の複数のネットワークが相互接続されたネットワークシステムに適用され、前記複数のネットワークのうちの任意のネットワークに接続されると共に、ＩＰ（インターネットプロトコル）パケットの暗号化／復号化を可能とする特定のセキュリティ機能を有するゲートウェイ装置において、無線端末との間で暗号化通信を行うための通信制御方法であって、
    前記複数のネットワークのうちの任意のネットワークに接続された有線端末から、前記特定のセキュリティ機能を有し、無線基地局を介して前記複数のネットワークのうちの対応するネットワークに接続可能な無線端末のＩＰアドレスに対応する物理アドレスを取得するためのアドレス解決プロトコル要求が送信された場合に、前記無線端末に代わり、代理アドレス解決プロトコルにより前記ゲートウェイ装置の物理アドレスを前記ゲートウェイ装置からアドレス解決プロトコル要求元の前記有線端末に応答するステップと、
    前記有線端末から前記ゲートウェイ装置の物理アドレスを用いて当該ゲートウェイ装置に対して、前記無線端末宛てのＩＰパケットを含む非暗号化通信データが送信された場合、当該非暗号化通信データを受信する非暗号化通信データ受信ステップと、
    前記非暗号化通信データ受信ステップで受信された前記非暗号化通信データ中の前記無線端末宛てのＩＰパケットを暗号化する暗号化ステップと、
    前記暗号化ステップで暗号化されたＩＰパケットを含む暗号化通信データを前記ゲートウェイ装置から前記無線端末に送信するステップと
    を具備することを特徴とする通信制御方法。

Images