JP2006333210A - エスアイピー構造をモバイル仮想専用線網エージェントとなす方法 - Google Patents

Abstract

【課題】 ＳＩＰ通信協定構造をモバイルＶＰＮエージェントとなす方法の提供。
【解決手段】 少なくとも一つのモバイルノードを外部ネットワーク中でローミングさせて内部ネットワークの通信ノードとの間で安全にデータ伝送させ、該内部ネットワークと外部ネットワークの間に第一ＳＩＰプロキシサーバー、アプリケーションレベルゲートウエー（ＡＬＧ）、第二ＳＩＰプロキシサーバー及びＡＡＡサーバーを構築する。第二ＳＩＰプロキシサーバーはモバイルノードが内部ネットワークに接続される時、通信ノード情報パケットのデータ伝送方向を改修し、ＡＬＧに伝送する。並びに該第一ＳＩＰプロキシサーバーが該ＡＡＡサーバーを通してモバイルノードに対して認証及び授権を行い、談判キーを生成し、該ＡＬＧに伝送し、最後にＡＬＧによりモバイルノードと通信ノード間の伝送を引き継ぎ、端末から端末間の伝送遅延及びパケットヘッダーの周波数幅消耗を減らす。
【選択図】 図３

Description

本発明はＳＩＰ（エスアイピー；Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）構造をモバイル仮想専用線網（ＶＰＮ；Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）エージェントとなす方法に係り、特に、インターネットエンジニアリングタスクフォース（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ；ＩＥＴＦ）が規定するモバイルＶＰＮが解決できない問題を改善する方法に関する。

仮想専用線網（ＶＰＮ）は広域ネットワーク（例えばインターネット）を利用して遠方のユーザーのコンピュータと本地ネットワークのサーバーに専用のネットワークチャネルを構築する一種の仮想ネットワークであり、クローズドプライベートローカルエリアネットワーク内部におけるのと同様の安全な通信協定を提供する。

ＶＰＮは安全性確認のために以下のような基本要求を具えている。
１．ユーザー検証：ＶＰＮはユーザーの身分を検証し並びに厳格に認証授権後のユーザーでなければログインできないように厳格に制御しなければならない。
２．アドレス管理： ＶＰＮはユーザーに専用ネットワーク上のアドレスを分配し、並びにアドレスの安全性を確保しなければならない。
３．データ暗号化： インターネットを通して伝送されるデータは暗号化しなければならず、それによりインターネット上で未授権のユーザーによる情報の読み取りを確実に不可能とする。
４．暗号化キー管理： ＶＰＮはユーザーのコンピュータとサーバーの暗号化キーを生成及び更新しなければならない。
５．多種の協定を支援する： ＶＰＮはインターネット上で普通に使用される基本協定、例えばＩＰ、ＩＰＸ、ＰＰＴＰ（点対点トンネル協定）、Ｌ２ＴＰ（第二層トンネル協定）或いはＩＰＳｅｃ（インターネット通信安全協定）を支援しなければならない。

インターネットプロトコル（ＩＰ）はコンピュータネットワーク（例えばインターネット）上でデータ伝送するのに使用される通信協定であり、ＩＰにはどのような安全性メカニズムも規定されていない。このため、ＩＥＴＦは「Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ（ＲＦＣ）２４０１通信標準中に一種のＩＰＳｅｃ協定を規定し、それはＩＰフロー暗号化の方法であり、ネットーク通信を保護し、データ改竄、第三者による盗み見、シミュレート、及びピックアップと複製を防止する標準である。

ただし、無線ネットワーク技術の迅速な発展により、無線伝送ネットワークに対していかにモバイルＶＰＮを構築するかが相当に重要な研究課題となっており、無線技術を応用したモバイルＶＰＮに対して、ＩＥＴＦはモバイルＩＰｖ４（ＩＥＴＦ ＲＦＣ ３３４４）協定標準を規定し、それは一部の固定されたメカニズムを利用してＶＰＮクライアントがインターナショナルシームレスローミング（ＩＳＲ）を行なうのを支援する。

この標準は、モバイルＶＰＮ中で二つのホームエージェント（Ｈｏｍｅ Ａｇｅｎｔ；ＨＡ）を、それぞれ内部ネットワーク（Ｉｎｔｅｒｎａｌ ｎｅｔｗｏｒｋ）のＨＡ（ｉ−ＨＡ）と外部ネットワーク（Ｅｘｔｅｒｎａｌ ｎｅｔｗｏｒｋ）のＨＡ（ｘ−ＨＡ）に定義し、該ｉ−ＨＡは内部ネットワークがモバイルノード（Ｍｏｂｉｌｅ Ｎｏｄｅ；ＭＮ）のローミング状況を管理するのに用いられ、該ｘ−ＨＡはモバイルノード（ＭＮ）がローミングして外部ネットワークに至る時、該ＭＮのローミング状況を管理するのに用いられる。ただし、該モバイルＩＰｖ４標準には以下のような解決を要する問題がある。

例えば、該ＭＮ（例えば無線ネットワーク設備が取り付けられた携帯電話）が内部ネットワーク（例えばイントラネット）にあってローミングする時は、ｉ−ＨＡよりモバイルＩＰ（Ｍｏｂｉｌｅ ＩＰ；ＭＩＰ）に該ＭＮが提供され、該ＭＮが内部ネットワークより外部ネットワークにローミングする時、もし外地支社がインターネットにより該内部ネットワークに接続されていれば、該ＭＮはローカルネットワーク中のｘ−ＨＡよりＩＰＳｅｃを安全基礎とするＶＰＮゲートウエー（ＶＰＮ Ｇａｔｅｗａｙ）に進入してｉ−ＨＡに対して登録を行い、該ＶＰＮゲートウエーが該ｘ−ＨＡに対してＩＰＳｅｃトンネル（ｔｕｎｎｅｌ）を構築する。

該ＭＮはそれがローミングする外部ネットワーク中で、一つの新たな接続アドレス（Ｃａｒｅ ｏｆ Ａｄｄｒｅｓｓ；ＣｏＡ）を得て、並びに該ＶＰＮゲートウエーに該ＭＮが毎回外部ネットワークにローミングする時にＩＰＳｅｃトンネルを更新するよう要求する。該ｘ−ＨＡは既に構築されたＩＰＳｅｃトンネルをｘ−ＨＡトンネルの下に被覆し、既に構築されたＩＰＳｅｃトンネルを変更する必要をなくし、これにより該ＭＮが該ＶＰＮゲートウエーより新たなＣｏＡを獲得した後、該ＶＰＮゲートウエーの構築するＩＰＳｅｃトンネルは破壊されることがなく、ゆえにこの方法を用いてモバイルＩＰｖ４標準及びＩＰＳｅｃ標準を改修する必要がなく、ただＭＮが必要とする接続アドレスＣｏＡを改変する。

図１はＩＥＴＦが規定するモバイルＶＰＮ標準構造表示図である。図１中にあって、ＭＮ １１はｉ−ＨＡ １２を通して内部ネットワーク１０内にあってローミングし、ＭＮ １１が内部ネットワーク１０より外部ネットワーク２０に移る時、該ＭＮ １１はｘ−ＨＡ ２１に対して登録を行なって新たなＣｏＡを獲得する必要があり、ｘ−ＨＡ ２１は更にＶＰＮゲートウエー２２に対してＩＰＳｅｃトンネルのｘ−ＨＡ ２１との接続構築を要求する。最後にＶＰＮゲートウエー ２２がｉ−ＨＡ １２に対して該ＭＮ １１のＶＰＮ−ＴＩＡ（ＶＰＮ Ｔｕｎｎｅｌ Ｉｎｎｅｒ Ａｄｄｒｅｓｓ）を登録し、構築されたＩＰＳｅｃトンネルを該ｉ−ＨＡ １２に接続できるようにし、外部ネットワーク２０及び内部ネットワーク１０のいずれからでもローミングできる仮想専用線網（ＶＰＮ）を形成する。

図２はＩＥＴＦの規定するモバイルＶＰＮが構築するトンネルの情報構造表示図である。該ＭＮ １１が内部ネットワーク１０より外部ネットワーク２０にローミングするトンネル信号データパケット３０には、一層のオリジナルパケット３１が包含され、オリジナルパケット３１の前は一層の内部モバイルＩＰ（ｉ−ＭＩＰ）のトンネル情報（該ｉ−ＨＡから該ＶＰＮゲートウエー２２まで）で被包され、また、該ＩＰＳｅｃトンネル情報３３の外部は更に一層の外部モバイルＩＰ（ｘ−ＭＩＰ）のトンネル情報３４（該ｘ−ＨＡ２１からＭＮ １の接続アドレスまで）で被包される。

上述のＩＥＴＦの方法中、ある問題が発生する。即ち、まず、ｘ−ＨＡ ２１の安全性が十分であるか、信頼出来るか、という問題である。次に、ｘ−ＨＡ ２１の放置点をどことするのが最も適当であるか、という問題であり、不当な放置位置はハンドオフ（ｈａｎｄｏｆｆ）と端末から端末の時間遅延に影響を与える。このほか、この三層のパケットヘッダ（内部モバイルＩＰトンネル情報３２、ＩＰＳｅｃトンネル情報３３、及び外部移動ＩＰ（ｘ−ＭＩＰ）のトンネル情報３４）が情報パケットの伝送時の連則性、外部ネットワーク伝送時の秘密保持性、及び内部ネットワークからの伝送の伝送能力を提供する。しかし、却ってアプリケーションレベルのロードデータが短くなり、この三層のパケットヘッダーは周波数幅の損耗を増加し、その性能を消耗する。

ゆえに、本願発明者は上述の既存のＩＥＴＦが規定するモバイルＶＰＮのもたらす問題点を解決するため、一種のＳＩＰ構造を移動式仮想専用線網エージェントとなす方法を提供し、不必要なモバイルＩＰトンネルがもたらすデータ伝送の端末から端末の長時間遅延を防止し、並びに情報パケットの秘密保持性も考慮し、各種の未だ信頼されていない（ｕｎ−ｔｒｕｓｔｅｄ）外部ネットワークと既に保護を受けている内部ネットワーク間の情報コミュニケーションに応用し、合理的且つ有効に上述の欠点を改善できるようにする。

本発明の主要な目的は、一種のＳＩＰ構造を移動式仮想専用線網エージェントとなす方法を提供することにあり、それは、ＩＥＴＦ協定中に包含されるＳＩＰプロキシサーバー、ＡＡＡサーバー、安全協定（Ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌｓ）及びＭＩＤＣＯＭを採用する。そのうち、ＳＩＰプロキシサーバーは便利なセクション創造及びログイン段階過程中の認証と授権を提供する。アプリケーションレベルゲートウエー（ＡＬＧ）はＭＩＤＣＯＭの構造に準じ、ＳＩＰエージェントからの命令の受け取り、処理したデータの伝送の安全を提供し、これにより保護されていないデータの接続と保護を請け負い、ＡＡＡサーバーによる認証と授権を通して、僅かに一回の安全伝送協定の使用を達成し、三層パッケットヘッダーが消耗する資源を減少する。

上述の目的を達成するため、本発明は一種のＳＩＰ構造をモバイルＶＰＮエージェントとして使用する方法を提供し、それは内部ネットワーク及び少なくとも一つの外部ネットワーク中に使用され、少なくとも一つのモバイルノード（ＭＮ）を外部ネットワーク中でローミングさせて内部ネットワーク中の通信ノードとの間で安全なデータ伝送を行なわせる。この方法は以下を包含する。即ち、
ａ．第一ＳＩＰプロキシサーバー及びアプリケーションレベルゲートウエー（ＡＬＧ）を内部ネットワークと外部ネットワークの情報伝送経路の間に構築する。
ｂ．第二ＳＩＰプロキシサーバーを内部ネットワーク中に構築する。
ｃ．第二ＳＩＰプロキシサーバーが外部ネットワークをローミングするモバイルノードが内部ネットワークに接続しようとするのを検出すると、通信ノードＳＩＰ／ＳＤＰ（Ｓｅｓｓｉｏｎ Ｄｅｓｃｒｉｐｔｉｏｎ Ｐｒｏｔｏｃｏｌ）情報パケットのデータ伝送方向を改修し、アプリケーションレベルゲートウエー（ＡＬＧ）に伝送する。
ｄ．第一ＳＩＰプロキシサーバーが該モバイルノードに対して認証と授権を行い、談判キーを生成し、該アプリケーションレベルゲートウエー（ＡＬＧ）に伝送し、該第一ＳＩＰプロキシサーバーと該アプリケーションレベルゲートウエー（ＡＬＧ）間の安全な接続を構築する。
ｅ．該アプリケーションレベルゲートウエー（ＡＬＧ）により該モバイルノードと該通信ノード間の伝送を引き継ぐ。

本発明は更に上述のＳＩＰ構造をモバイルＶＰＮエージェントとして使用する方法を提供し、そのｂのステップ中に、第二ＳＩＰプロキシサーバーは通信ノードが伝送する情報パケットの安全秘密保持機能を提供し、並びにそれをアプリケーションレベルゲートウエー（ＡＬＧ）に伝送する。

本発明は更に上述のＳＩＰ構造をモバイルＶＰＮエージェントとして使用する方法を提供し、そのｄのステップ中に、第一ＳＩＰプロキシサーバーはＡＡＡサーバーを通して認証と授権を行い、談判キーを生成する。

本発明は更に上述のＳＩＰ構造をモバイルＶＰＮエージェントとして使用する方法を提供し、そのｄのステップ中に、更に、
該第一ＳＩＰプロキシサーバーが該アプリケーションレベルゲートウエー（ＡＬＧ）に十分な資源を保留して伝送中のデータを引き継ぐように命令するステップと、
該アプリケーションレベルゲートウエー（ＡＬＧ）が必要な結果を第一ＳＩＰプロキシサーバーに応答してＳＩＰ情報フローに介入するステップ、
を包含する。

請求項１の発明は、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、内部ネットワーク（１０）及び少なくとも一つの外部ネットワーク（２０）中に使用されて、該外部ネットワーク（２０）中でローミングする少なくとも一つのモバイルノード（ＭＮ）（１１）と該内部ネットワーク（１０）の通信ノード（１５）との間で安全なデータ伝送を行なわせ、この方法は、
ａ．第一ＳＩＰプロキシサーバー（５１）及びアプリケーションレベルゲートウエー（ＡＬＧ）（５２）を内部ネットワーク（１０）と外部ネットワーク（２０）の情報伝送経路の間に構築するステップ、
ｂ．第二ＳＩＰプロキシサーバー（１６）を内部ネットワーク（１０）中に構築するステップ、
ｃ．第二ＳＩＰプロキシサーバー（１６）が外部ネットワーク（２０）でローミングするモバイルノード（１１）が内部ネットワーク（１０）に接続しようとするのを検出すると、通信ノード（１５）ＳＩＰ／ＳＤＰ（Ｓｅｓｓｉｏｎ Ｄｅｓｃｒｉｐｔｉｏｎ Ｐｒｏｔｏｃｏｌ）情報パケットのデータ伝送方向を改修し、アプリケーションレベルゲートウエー（ＡＬＧ）（５２）に伝送するステップ、
ｄ．第一ＳＩＰプロキシサーバー（５１）が該モバイルノード（１１）に対して認証と授権を行い、談判キーを生成し、該アプリケーションレベルゲートウエー（ＡＬＧ）（５２）に伝送し、該第一ＳＩＰプロキシサーバー（５１）と該アプリケーションレベルゲートウエー（ＡＬＧ）（５２）間の安全な接続を構築するステップ、
ｅ．該アプリケーションレベルゲートウエー（ＡＬＧ）（５２）により該モバイルノード（１１）と該通信ノード（１５）間の伝送を引き継ぐステップ、
を包含することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法としている。
請求項２の発明は、請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ｂのステップ中に、第二ＳＩＰプロキシサーバー（１６）が通信ノード（１５）が伝送する情報パケットの安全秘密保持機能を提供し、並びにそれをアプリケーションレベルゲートウエー（ＡＬＧ）（５２）に伝送するステップを包含することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法としている。
請求項３の発明は、請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ｃのステップの前に、第二ＳＩＰプロキシサーバー（１６）が各ＳＩＰセッション（ｓｅｓｓｉｏｈｎ）の各パケットを監視するステップを包含することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法としている。
請求項４の発明は、請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ｄのステップの後に、モバイルノード（１１）が外部ネットワーク（２０）に位置し、別の外部ネットワークにローミングしようとする時、該第一ＳＩＰプロキシサーバー（５１）がＳＩＰ情報パケットを完全且つ順に該通信ノード（１５）に応答し、これによりアプリケーションレベルゲートウエー（ＡＬＧ）（５２）と通信ノード（１５）間の接続を保持することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法としている。
請求項５の発明は、請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ｄのステップ中に第一ＳＩＰプロキシサーバー（５１）はＡＡＡサーバー（４０）を通して認証と授権を行い、談判キーを生成することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法としている。
請求項６の発明は、請求項５記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ＡＡＡサーバー（４０）が第一及び第二ＳＩＰプロキシサーバーの間に構築されたことを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法としている。
請求項７の発明は、請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ｄのステップの後に更に、
該第一ＳＩＰプロキシサーバー（５１）が該アプリケーションレベルゲートウエー（ＡＬＧ）（５２）に十分な資源を保留して伝送中のデータを引き継ぐように命令するステップと、
該アプリケーションレベルゲートウエー（ＡＬＧ）（５２）が必要な結果を第一ＳＩＰプロキシサーバー（５１）に応答してＳＩＰ情報フローに介入するステップ、
を包含することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法としている。
請求項８の発明は、請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、モバイルノード（１１）或いは通信ノード（１５）が無線ネットワーク設備を取り付けたコンピュータとされたことを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法としている。
請求項９の発明は、請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ａのステップ中に、第一ＳＩＰプロキシサーバー（５１）とアプリケーションレベルゲートウエー（ＡＬＧ）（５２）が内部ネットワーク（１０）のエッジに構築されたことを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法としている。

本発明はＳＩＰ通信協定構造をモバイルＶＰＮエージェントとなす方法を提供し、それは、少なくとも一つのモバイルノードを外部ネットワーク中でローミングさせて内部ネットワークの通信ノードとの間で安全にデータ伝送させ、該内部ネットワークと外部ネットワークの間に第一ＳＩＰプロキシサーバー、アプリケーションレベルゲートウエー（ＡＬＧ）、第二ＳＩＰプロキシサーバー及びＡＡＡサーバーを構築する。第二ＳＩＰプロキシサーバーはモバイルノードが内部ネットワークに接続される時、通信ノード情報パケットのデータ伝送方向を改修し、ＡＬＧに伝送する。並びに該第一ＳＩＰプロキシサーバーが該ＡＡＡサーバーを通してモバイルノードに対して認証及び授権を行い、談判キーを生成し、該ＡＬＧに伝送し、最後にＡＬＧによりモバイルノードと通信ノード間の伝送を引き継ぎ、端末から端末間の伝送遅延及びパケットヘッダーの周波数幅消耗を減らす。

図３は本発明のＳＩＰを基礎とするモバイルＶＰＮのシステム構造表示図である。それは、内部ネットワーク（Ｈｏｍｅ Ｎｅｔｗｏｒｋ）１０、少なくとも一つの外部ネットワーク（Ｆｏｒｅｉｇｎ Ｎｅｔｗｏｒｋ）２０、アプリケーションレベルゲートウエー（ＡＬＧ）５２、第一ＳＩＰプロキシサーバー５１、第二ＳＩＰプロキシサーバー１６及びＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ，Ａｕｔｈｏｒｉｚａｔｉｏｎ，Ａｃｃｏｕｎｔｉｎｇ）サーバー４０を包含する。

該内部ネットワーク１０は少なくとも一つの通信ノード（Ｃｏｒｒｅｓｐｏｎｄｉｎｇ Ｎｏｄｅ，ＣＮ）１５を包含し、それは内部ネットワーク１０のユーザーとされる。該外部ネットワーク２０は少なくとも一つのモバイルノード（ＭＮ）１１を賞翫し、該モバイルノード（ＭＮ）１１は外部より該外部ネットワーク２０中に移動しローミングするユーザーとされ、該通信ノード（ＣＮ）と接続を行なおうとしている。該通信ノード（ＣＮ）１５とモバイルノード１１は無線ネットワーク設備を取り付けたコンピュータとすることもできる。

該アプリケーションレベルゲートウエー（ＡＬＧ）５２は内部ネットワーク１０及び外部ネットワーク２０の情報伝送経路の間に位置し、該ＡＡＡサーバー４０は該第一及び第二ＳＩＰプロキシサーバー５１、１６の間に位置する。該第一ＳＩＰプロキシサーバー５１と該アプリケーションレベルゲートウエー（ＡＬＧ）５２は該内部ネットワーク１０のエッジ（ｅｄｇｅ）に位置する。

図４は本発明のフローチャートである。本発明はＳＩＰ構造を内部ネットワーク１０及び外部ネットワーク２０間のモバイルＶＰＮエージェントとなす方法であり、モバイルノード１１に外部ネットワーク２０中をローミングさせて内部ネットワーク１０の通信ノード１５との間で安全なデータ伝送を行なわせる。これにより、本発明はまず内部ネットワーク１０及び外部ネットワーク２０の情報伝送経路の間に、第一ＳＩＰプロキシサーバー５１及びアプリケーションレベルゲートウエー（ＡＬＧ）５２を構築（Ｓ２００）し、その後、内部ネットワーク１０中に第二ＳＩＰプロキシサーバー１６を構築（Ｓ２０１）する。

本発明は三つの段階を有している。
（１）ログイン段階（Ｓｉｇｎａｌｉｎｇ ｐｈａｓｅ）： ＳＩＰ構造を使用して情報パケットの伝送に対してセッション（ｓｅｓｓｉｏｎ）管理を行なう。
（２）キー交換段階（ｋｅｙ ｅｘｃｈａｎｇｅ ｐｈａｓｅ）： モバイルノード（ＭＮ）１１と仮想専用線網（ＶＰＮ）間のキー交換を行ない、これにより情報パケット３０伝送時の保護を提供する。
（３）伝送段階（ｔｒａｎｓｐｏｒｔ ｐｈａｓｅ）： アプリケーションレベルゲートウエー（ＡＬＧ）５２を通して該通信ノード（ＣＮ）１５の暗号化伝送情報を処理する。

上述の三つの段階中にあって、第二ＳＩＰプロキシサーバー１６は通信ノード（ＣＮ）１５が伝送する情報パケットの安全機能を提供し、並びにそれをアプリケーションレベルゲートウエー（ＡＬＧ）５２に伝送する。また、該第二ＳＩＰプロキシサーバー１６とアプリケーションレベルゲートウエー（ＡＬＧ）５２は相互に組み合わされて外部ネットワーク２０に位置するモバイルノード１１が伝送する情報パケットの安全秘密保持要求を満足させる。

ログイン段階において、内部ネットワーク１０中の第二ＳＩＰプロキシサーバー１６は該内部ネットワーク１０中に進入する各ＳＩＰセッションの各パケットを監視する（Ｓ２０５）。第二ＳＩＰプロキシサーバー１６が外部ネットワーク２０をローミングするモバイルノード（ＭＮ）１１が内部ネットワーク１０に接続しようとするのを検出する時、該第二ＳＩＰプロキシサーバー１６はアプリケーションレベルゲートウエー（ＡＬＧ）５２中の十分な資源を分配し、並びに通信ノード（ＣＮ）１５のＳＩＰ／ＳＤＰ情報パケットのデータ伝送方向を改修し、これら情報パケットをアプリケーションレベルゲートウエー（ＡＬＧ）５２に伝送する（Ｓ２１０）。

また、モバイルノード（ＭＮ）１１が外部ネットワーク２０に位置し、別の外部ネットワークにローミングしようとする時、該第一ＳＩＰプロキシサーバー５１はＳＩＰ情報パケットを完全に且つ順に該モバイルノード（ＭＮ）１１に応答させ、これによりアプリケーションレベルゲートウエー（ＡＬＧ）５２と通信ノード（ＣＮ）１５の間の接続を保持する。

キー交換段階にあって、キー管理協定とキー交換の要求はいずれも安全伝送協定の規範に基づく。例えばもしＩＰＳｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）ｗｏ安全協定として使用する時は、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ Ｐｒｏｔｏｃｏｌ）が好ましい選択であり、このとき、該アプリケーションレベルゲートウエー（ＡＬＧ）５２がモバイルノード（ＭＮ）１１とのキー交換に用いられる。

キー交換の第１ステップは第一ＳＩＰプロキシサーバー５１がモバイルノード（ＭＮ）１１に対して認証と授権を行い、ＡＡＡサーバー４０によりこの認証と授権の動作を行ない、ＳＩＰプロキシサーバー中では一般にＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｃｃｅｓｓ Ｄｉａｌ−ｕｐ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバーとＤＩＡＭＥＴＥＲサーバーがＡＡＡサーバー４０として使用される。

授権の後、ＡＡＡサーバー４０は談判キーを生成するか或いは直接プライベートキーを談判キーとなす。該談判キーはキー管理協定（ｋｅｙ ｍａｎａｇｅｍｅｎｔ ｐｒｏｔｏｃｏｌ）に使用され、並びに交換してセッションキー（Ｓｅｓｓｉｏｎ ｋｅｙｓ）とされる。最後に談判キー或いはセッションキーを第一ＳＩＰプロキシサーバー５１を通してアプリケーションレベルゲートウエー（ＡＬＧ）５２に伝送する（Ｓ２１５）。

伝送段階にあって、該第一ＳＩＰプロキシサーバー５１と該アプリケーションレベルゲートウエー（ＡＬＧ）５２の間の相互動作は相当に重要な役割を果たし、その間の関係はＭＩＤＣＯＭ協定の規定に準じ、第一ＳＩＰプロキシサーバー５１はＭＩＤＣＯＭのエージェントとされ、該アプリケーションレベルゲートウエー（ＡＬＧ）５２はそのクライアントとされる。

該第一ＳＩＰプロキシサーバー５１は該アプリケーションレベルゲートウエー（ＡＬＧ）５２に十分な資源を伝送中のデータを引き継ぐために保留するよう命令できる。該アプリケーションレベルゲートウエー（ＡＬＧ）５２は必要な結果を第一ＳＩＰプロキシサーバー５１に応答してＳＩＰ情報フローに介入する（Ｓ２２０）。言い換えると、該第一ＳＩＰプロキシサーバー５１は談判キー、セッションキー、或いはその他の関係する安全要素を提供する必要があり、これにより該アプリケーションレベルゲートウエー（ＡＬＧ）５２と安全な接続を構築する。

以上の三段階が完全に完成した後、モバイルノード（ＭＮ）１１と通信ノード（ＣＮ）１５間の伝送はアプリケーションレベルゲートウエー（ＡＬＧ）５２により引き継がれ（Ｓ２３０）、外部ネットワーク２０中にあって、該アプリケーションレベルゲートウエー（ＡＬＧ）５２とモバイルノード（ＭＮ）１１間の伝送は安全協定に依存する。

本発明はＩＥＴＦ協定中に包含されるＳＩＰプロキシサーバー、ＡＡＡサーバー、安全プロトコル、及びＭＩＤＣＯＭを採用する。そのうち、ＳＩＰプロキシサーバーは便利なセクション創造及びログイン段階過程中の認証と授権を請け負う。該アプリケーションレベルゲートウエー（ＡＬＧ）はＭＩＤＣＯＭの構造を遵守し、ＳＩＰプロキシサーバーからの命令を受け取り、処理するデータ伝送の安全を提供し、これにより保護されていないデータの接続と保護を請け負い、授権されていないデータは該アプリケーションレベルゲートウエー（ＡＬＧ）を通り内部ネットワーク中に進入できないものとする。

本発明はモバイルＩＰに使用される三層トンネル式の安全協定とは異なり、該アプリケーションレベルゲートウエー（ＡＬＧ）はただ一層の安全伝送協定を使用し、これにより不必要な情報パケットヘッダーを回避でき、ゆえに端末から端末の伝送遅延と周波数幅消耗を減らすことができる。

ゆえに本発明は上述に記載の技術により、ＳＩＰ構造をモバイルＶＰＮエージェントとなす方法を提供し、重複して何度も同一情報パケットを伝送するのを防止し、並びに情報パケットの秘密保持性も考慮し、各種の信頼されていない（ｕｎ−ｔｒｕｓｔｅｄ）外部ネットワークと既に保護された内部ネットワーク間の情報コミュニケーションに応用可能で、明らかに周知の設計とは異なり、その全体の使用価値が高められ、またその出願前に頒布された刊行物に記載がなく公開使用もされていないため、特許の要件に符合する。

なお、以上の実施例は本発明の実施範囲を限定するものではなく、本発明に基づきなしうる細部の修飾或いは改変は、いずれも本発明の請求範囲に属するものとする。

ＩＥＴＦが規定するモバイルＶＰＮ標準構造表示図である。 ＩＥＴＦの規定するモバイルＶＰＮが構築するトンネルの情報構造表示図である。 本発明のＳＩＰを基礎とするモバイルＶＰＮのシステム構造表示図である。 本発明のフローチャートである。

符号の説明

１０ 内部ネットワーク
１１ モバイルノード（ＭＮ）
１２ 内部ホームエージェント（ｉ−ＨＡ）
１５ 通信ノード（ＣＮ）
１６ 第二ＳＩＰプロキシサーバー（ＳＩＰ Ｐｒｏｘｙ Ｓｅｒｖｅｒ ２）
２０ 外部ネットワーク（Ｆｏｒｅｉｇｎ Ｎｅｔｗｏｒｋ）
２１ 外部ホームエージェント（ｘ−ＨＡ）
２２ ＶＰＮゲートウエー
３０ トンネル信号データパケット
３１ オリジナルデータパケット
３２ 内部モバイルＩＰトンネル情報
３３ ＩＰＳｅｃトンネル情報
３４ 外部モバイルＩＰトンネル情報
４０ ＡＡＡサーバー
５１ 第一ＳＩＰプロキシサーバー（ＳＩＰ Ｐｒｏｘｙ Ｓｅｒｖｅｒ １）
５２ アプリケーションレベルゲートウエー（ＡＬＧ）

Claims (9)

1. エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、内部ネットワーク（１０）及び少なくとも一つの外部ネットワーク（２０）中に使用されて、該外部ネットワーク（２０）中でローミングする少なくとも一つのモバイルノード（ＭＮ）（１１）と該内部ネットワーク（１０）の通信ノード（１５）との間で安全なデータ伝送を行なわせ、この方法は、
   ａ．第一ＳＩＰプロキシサーバー（５１）及びアプリケーションレベルゲートウエー（ＡＬＧ）（５２）を内部ネットワーク（１０）と外部ネットワーク（２０）の情報伝送経路の間に構築するステップ、
   ｂ．第二ＳＩＰプロキシサーバー（１６）を内部ネットワーク（１０）中に構築するステップ、
   ｃ．第二ＳＩＰプロキシサーバー（１６）が外部ネットワーク（２０）でローミングするモバイルノード（１１）が内部ネットワーク（１０）に接続しようとするのを検出すると、通信ノード（１５）ＳＩＰ／ＳＤＰ（Ｓｅｓｓｉｏｎ Ｄｅｓｃｒｉｐｔｉｏｎ Ｐｒｏｔｏｃｏｌ）情報パケットのデータ伝送方向を改修し、アプリケーションレベルゲートウエー（ＡＬＧ）（５２）に伝送するステップ、
   ｄ．第一ＳＩＰプロキシサーバー（５１）が該モバイルノード（１１）に対して認証と授権を行い、談判キーを生成し、該アプリケーションレベルゲートウエー（ＡＬＧ）（５２）に伝送し、該第一ＳＩＰプロキシサーバー（５１）と該アプリケーションレベルゲートウエー（ＡＬＧ）（５２）間の安全な接続を構築するステップ、
   ｅ．該アプリケーションレベルゲートウエー（ＡＬＧ）（５２）により該モバイルノード（１１）と該通信ノード（１５）間の伝送を引き継ぐステップ、
   を包含することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法。
2. 請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ｂのステップ中に、第二ＳＩＰプロキシサーバー（１６）が通信ノード（１５）が伝送する情報パケットの安全秘密保持機能を提供し、並びにそれをアプリケーションレベルゲートウエー（ＡＬＧ）（５２）に伝送するステップを包含することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法。
3. 請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ｃのステップの前に、第二ＳＩＰプロキシサーバー（１６）が各ＳＩＰセッション（ｓｅｓｓｉｏｈｎ）の各パケットを監視するステップを包含することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法。
4. 請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ｄのステップの後に、モバイルノード（１１）が外部ネットワーク（２０）に位置し、別の外部ネットワークにローミングしようとする時、該第一ＳＩＰプロキシサーバー（５１）がＳＩＰ情報パケットを完全且つ順に該通信ノード（１５）に応答し、これによりアプリケーションレベルゲートウエー（ＡＬＧ）（５２）と通信ノード（１５）間の接続を保持することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法。
5. 請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ｄのステップ中に第一ＳＩＰプロキシサーバー（５１）はＡＡＡサーバー（４０）を通して認証と授権を行い、談判キーを生成することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法。
6. 請求項５記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ＡＡＡサーバー（４０）が第一及び第二ＳＩＰプロキシサーバーの間に構築されたことを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法。
7. 請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ｄのステップの後に更に、
   該第一ＳＩＰプロキシサーバー（５１）が該アプリケーションレベルゲートウエー（ＡＬＧ）（５２）に十分な資源を保留して伝送中のデータを引き継ぐように命令するステップと、
   該アプリケーションレベルゲートウエー（ＡＬＧ）（５２）が必要な結果を第一ＳＩＰプロキシサーバー（５１）に応答してＳＩＰ情報フローに介入するステップ、
   を包含することを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法。
8. 請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、モバイルノード（１１）或いは通信ノード（１５）が無線ネットワーク設備を取り付けたコンピュータとされたことを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法。
9. 請求項１記載のエスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法において、ａのステップ中に、第一ＳＩＰプロキシサーバー（５１）とアプリケーションレベルゲートウエー（ＡＬＧ）（５２）が内部ネットワーク（１０）のエッジに構築されたことを特徴とする、エスアイピープロトコル構造を移動式仮想専用線網エージェントとなす方法。
   

Images