JP2006514815A - 私設ネットワークとローミング移動端末との間の通信 - Google Patents

Abstract

私設ネットワーク（１）とローミング移動端末（４）との間の通信であり、私設ネットワーク（１）は移動端末のためのホームエージェント（５）と、通信が通過するものであり、私設ネットワーク（１）のための機密保護を提供するゲートウェイ（２，３）とを備える。セキュリティアソシエーションバンドルを有する通信のプロトコルは夫々、移動端末（４）とゲートウェイ（２，３）との間のインバウンド通信用のセキュリティアソシエーション、および、アウトバウンド通信用の他のセキュリティアソシエーションを有する。移動端末（４）のＩＰアドレス（ＭＮ気付アドレス）を、新ＩＰアドレス（ＭＮ新気付アドレス）に変更させる通信のハンドオーバーに対応し、移動端末は、ゲートウェイ（２，３）からのインバウンドセキュリティアソシエーションを更新し、宛先として新ＩＰアドレス（ＭＮ新気付アドレス）を付され、移動端末に対して送信されたパケットを受信できる。移動端末は、宛先としてホームエージェント（５）を付され、新ＩＰアドレス（ＭＮ新気付アドレスはセキュリティを有する形式であることをホームエージェント（５）に対して示す第１のシグナリングメッセージを、セキュリティを有するトンネル（２０´）にてゲートウェイ（２，３）に対して送信する。移動端末（４）からゲートウェイ（２，３）のインバウンドセキュリティアソシエーションは、第１のシグナリングメッセージを、同メッセージの発信元を照合することなく、承認する。ゲートウェイ（２，３）は、私設ネットワーク（１）内の第１のシグナリングメッセージをホームエージェント（５）に対して転送し、ホームエージェント（５）は、第１のシグナリングメッセージの有効性を照合し、第１のシグナリングメッセージが有効なら、第１のシグナリングメッセージのアドレスデータを更新し、新アドレス（ＭＮ新気付アドレス）を示す第２のシグナリングメッセージをゲートウェイ（２，３）に対して送信する。ゲートウェイ（２，３）は、示された新アドレス（ＭＮ新気付アドレス）に応答して移動端末（４）とのアウトバウンドセキュリティアソシエーションを更新する。好ましくは、移動ノード（４）とゲートウェイ（２，３）との間の通信は、ＩＰｓｅｃに従い、且つ、カプセル化セキュリティペイロードプロトコルがトンネルモードにおいて使用される。好ましくは、移動端末（４）のための登録確認は、第２のシグナリングメッセージに含まれる。

Description

本発明は、私設ネットワークとローミング移動端末との間の通信に関する。

多くの組織が私設ネットワークを利用しており、私設ネットワークと私設ネットワーク外の端末との通信は、ファイヤウォールなどの技術を用いて私設ネットワークを保護するセキュリティゲートウェイを通過する。

私企業の情報を保護することは、情報基幹設備を設計するときに極めて重要である。しかし、個別の私設ネットワーキングソリューションには費用がかかり、事業要件の変化に適応して迅速に更新することはできない。一方、インターネットは安価ではあるが、それ自身でプライバシーを保証するものではない。仮想私設ネットワーク化は、私設ネットワーク化での要求に対する解決策を提供するべく、公衆ネットワーク、特にインターネットに適用された一連の技術である。仮想私設ネットワークは、物理的に分離するのではなく、セキュリティトンネルを介した難読化を用い、通信のプライバシーを維持する。

従って、仮想私設ネットワーク（ｖｉｒｔｕａｌ ｐｒｉｖａｔｅ ｎｅｔｗｏｒｋ、ＶＰＮ）はローミング端末、即ち私設ネットワーク外に存在する端末との通信、例えば、インターネットを介した通信、および移動電話ネットワーク上の通信においてセキュリティが確保された通信を可能とするように、私設ネットワークを拡張可能とする。インターネットはインターネットプロトコル（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ、ＩＰ）を用い、移動端末の通信は、大抵はモバイルインターネットプロトコル（Ｍｏｂｉｌｅ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ、ＭＩＰ）を用いる。

仮想私設ネットワークでのローミングの使用は、一層拡大し、且つ、一層頻繁となるであろうと期待される。このような頻繁にローミングする使用者は、企業用ＶＰＮ／ファイヤーウォールアーキテクチャを介し、固定端末とも、または時折ローミングを行う端末とも同水準のセキュリティを付与される必要があろう。

異なるネットワークには、異なる通信およびセキュリティプロトコルが使用される。インターネットセキュリティプロトコルの例としては、ＩＰｓｅｃ仕様（Ｓ．Ｋｅｎｔ，Ｒ．Ａｔｋｉｎｓｏｎ，「インターネットプロトコルのためのセキュリティアーキテクチャ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）」インターネットエンジニアリングタスクフォース（ＩＥＴＦ），ＲＦＣ ２４０１，１９９８年１１月）がある。移動電話通信プロトコルの例としては、モバイルＩＰｖ４仕様（Ｃ．Ｐｅｒｋｉｎｓ，「ＩＰ移動性サポート（ＩＰ Ｍｏｂｉｌｉｔｙ Ｓｕｐｐｏｒｔ）」，ＲＦＣ ２００２，１９９６年１０月）、およびモバイルＩＰｖ６仕様がある。ＶＰＮプロトコルがＩＰｓｅｃカプセル化セキュリティペイロードであり、移動体プロトコル（ｍｏｂｉｌｉｔｙ ｐｒｏｔｏｃｏｌ）がモバイルＩＰであり、両プロトコルが同一のＩＰ階層にて実行されているとき、これら２つのプロトコルは、同時に要求されたときに、どのように相互に関連し合うかを定める必要がある。

モバイルＩＰを先に用いても、またはＩＰｓｅｃを先に用いても、基本アプリケーション命令を越えれば、包括的な解決策は以下の主要な３つの要求に答えることを目指さねばならない。

・セキュリティについて ＶＰＮ基幹設備はモバイルＩＰの使用者をサポートできる
が、このことが、いかなる法人（企業ネットワーク使用者、および、移動体使用者、または、たまにローミングする使用者）に対しても新規なセキュリティ上の不備を生じてはならない。モバイルＩＰ対応可能な装置は、移動体使用者に対して、あたかも移動体使用者が物理的に当該企業ネットワーク内に位置するかのような、同一水準のセキュリティを提供しなければならない。一方、モバイルＩＰ群は、企業セキュリティ基幹設備（ファイヤウォール）により適切に保護されねばならず、且つ、モバイルＩＰセキュリティメカニズムは、全世界的なセキュリティメカニズムと干渉してはならない。

・適合性について 移動体ＩＰとＩＰｓｅｃとの間での交信を最適化できる解決策は、プロトコル仕様の大幅修正を回避するべきである。最適で複合的な解決策を用いることによって、移動体ＩＰプロトコルおよびＩＰｓｅｃプロトコルの将来における進歩は、極度には困難なものではないに違いない。複合的な解決策の使用に関しては、このような進歩はまだ見えていないに違いない。

・性能について 本発明は、ハンドオーバーの品質に関し、移動体の使用者の具体的な要求に答えねばならない。即ち、ハンドオーバーは可能な限り迅速に行われなければならない。

仮想私設ネットワーク用の通信プロトコルの一例は、トンネルモードに使用されるＥＳＰ（カプセル化セキュリティペイロード、Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）プロトコル（Ｓ．Ｋｅｎｔ、Ｒ．Ａｔｋｉｎｓｏｎ，「ＩＰカプセル化セキュリティペイロード（ＩＰ Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）」インターネットエンジニアリングタスクフォース（ＩＥＴＦ），ＲＦＣ ２４０６，１９９８年１１月）である。最も重要な点は、下記のものである。

・全ての着信ＩＰパケットは、新規なトンネルにトンネリングされる。内部の（元の）発信元アドレスおよび宛先アドレスは変更されない。
・全ての着信ＩＰパケットは暗号化され、任意で（推奨されるが）認証される。

ＥＳＰトンネルモードは、定義により、単一方向のピアツーピアプロトコルである。送信者（暗号化し、トンネリングを行う人）および受信者（トンネリング解除および復号化を行う人）は、暗号化機密（例えば、暗号化および復号化用のキーおよびアルゴリズム）を共有しなければならない。一連のセキュリティパラメータ（プロトコル、キー、アルゴリズム、送信者アドレス、受信者アドレス、有効期限など）は、いわゆるＩＰｓｅｃセキュリティアソシエーション（ＳＡ）を構成する。ＩＰｓｅｃが確実に単一方向の通信を行うには、２つのＳＡ（ＳＡバンドル）を要する。それらのＳＡの一方は送信者に対するものであり、他方は受信者（ある共通のパラメータ、例えばキーを付して）に対するものである。

ＶＰＮ通信は双方向（移動ノード（ＭＮ）からＶＰＮゲートウェイへ、および、ＶＰＮゲートウェイからＭＮへ）なので、２つのＳＡバンドルが必要とされる。第１のバンドルは、ＭＮからＶＰＮゲートウェイへのトンネルを記述し、第２のバンドルは、ＶＰＮゲートウェイからＭＮへのトンネルを記述する。「ＶＰＮゲートウェイ」という意味は、プロトコルによって具体化されるものではないことは、留意されるべきである。ＶＰＮゲートウェイは、ローミング移動ノードへの、およびローミング移動ノードからの全てのＶＰＮのセキュリティを有するトンネルを、企業ネットワーク側において終結させる単なるトポロジーエンティティである。

ＳＡセレクタはＩＰｓｅｃパケットの処理に使用される。基本的に、ＳＡセレクタは、以下をチェックするためにＩＰｓｅｃ階層により使用されるＩＰパラメータである。
・あるアウトバウンドＳＡにより定義されたトンネルにまさに送信されようとするパケットは、該ＳＡ（例えば、パケットの発信元および宛先アドレスは、ＳＡの発信元および宛先アドレスと合致する）を付されて送付されるべきものである。この検査は、アウトバウンドＳＡセレクタチェックと称される。

・あるインバウンドＳＡにより定義されたトンネルから受信されたパケットは、ＳＡ（例えば、パケットの発信元および宛先アドレスは、ＳＡの発信元および宛先アドレスと合致する）を付されて受信されるべきものである。この検査はインバウンドＳＡセレクタ照合と称される。

上記の２例に示されるように、本発明において、インバウンドＳＡおよびアウトバウンドＳＡの双方のためのＳＡセレクタとしては、発信元および宛先アドレスのみが考慮されることに留意されるべきである。

２つの系の提案が、この状況に対処する。
１． ＭＩＰトンネル中のＩＰｓｅｃトンネル
この系の提案により、ＶＰＮゲートウェイと移動ノードのホームアドレスとの間にＩＰｓｅｃトンネルが確立される。

外部ホームエージェント： ホームエージェントはＩＰｓｅｃゲートウェイや企業のファイヤウォールの前、即ち、ホームネットワークの外部に配置されている。明らかに、重大なセキュリティ上の不備がある。主要な不備の１つは、ホームエージェントはネットワークの境界における通常の保護（企業ファイヤウォール）メカニズムによって、もはや保護されるものではないということである。実際に、ゲートウェイの外部に配置されたホームエージェントは、何ら保護の便益を受けることなく、攻撃の標的となり易い。この種のセキュリティ上の不備は、セキュリティを有する通信を目標にしたＶＰＮ解決策を設計するときには、受け入れ難い。

他の問題は、ＭＩＰパケット（ＩＰトンネルはＭＩＰトンネル内に存する）を暗号化しないトンネリングメカニズムに由来する。ＭＩＰヘッダは平文にて記述されており、悪意を有する攻撃者は、例えば、移動ノードのホームアドレスなどの全てのヘッダフィールドに関する知識を入手するであろう。かくして、この解決策はプライバシーを付与しないので、悪意のあるノードは、ある移動体ノードの、そのホームアドレスにより識別される全ての移動位置を追跡できる。

ＭＩＰプロキシ： この提案は、ある草案（Ｆ．Ａｄｒａｎｇｉ，Ｐ．Ｌｙｅｒ，「ＶＰＮまたはＮＡＴおよびＶＰＮゲートウェイ越えのモバイルＩＰｖ４トランスバーサル（Ｍｏｂｉｌｅ ＩＰｖ４ Ｔｒａｎｓｖｅｒｓａｌ ａｃｒｏｓｓ ＶＰＮ ｏｒ ＮＡＴ ＆ ＶＰＮ Ｇａｔｅｗａｙ），ＩＥＴＦ 編集中 ｄｒａｆｔ−ａｄｒａｎｇｉ−ｍｏｂｉｌｅｉｐ−ｎａｔｖｐｎ−ｔｒａｖｅｒｓａｌ−０１．ｔｘｔ，２００２年２月」）中に記述されている。この草案は、モバイルＩＰプロキシと称される新規なエンティティの創成を前提としている。この新規なエンティティは、移動ノード側からは代理のホームエージェントとして見え、逆にいえば、ホームエージェントには移動ノードとして見られる。この解決策はまた、上記のように、プライバシーに関する機密性がＩＰｓｅｃ中のＭＩＰより低い、ＭＩＰトンネリングのＩＰｓｅｃに基づくものである。

単なるローミングの処理は、ＭＩＰプロキシと、ＶＰＮゲートウェイと、ホームエージェントとの間の新規なシグナリングメッセージを必要とする。ここで、ＭＩＰプロキシは、移動ノードとホームエージェント（ＨＡ）との間の中継部として作用する。ＭＩＰプロキシは、移動ノードとＨＡとの間に既存の保護に留意し、有効な要求を一意的に転送しな
ければならない。また、ＭＩＰプロキシは、ＶＰＮゲートウェイと交信する。それにより、対向ノードからＭＮへの通常のパケットは壮大な処理を受ける。パケットは、ＨＡによりＭＩＰプロキシへＭＩＰカプセル化される。その後、ＭＩＰプロキシは、カプセル化された通常のパケットをカプセル開放し、暗号化を実施するためにＶＰＮゲートウェイにそのパケットを提供する。ＶＰＮゲートウェイは、暗号化したパケットをＭＩＰプロキシに対して返送し、ＭＩＰプロキシは、ＭＩＰを新たなＭＩＰパケット中に再度カプセル化する。

ＭＩＰプロキシは、企業の私設ネットワークと外部の公衆ネットワークとの間の「中立地帯」として挿入されている小さなネットワークである非武装地帯（Ｄｅｍｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ、ＤＭＺ）中の保護されたドメインの外に位置する。ＤＭＺ内の機器のセキュリティ水準は、企業ネットワークに比して大幅に劣る。ファイヤウォールは、プロキシとホームエージェントとの間の登録手順とは干渉してはならない。企業のファイヤウォールは、ＭＩＰプロキシとホームエージェントとの間にあるあらゆるパケットを、更なる検査を行うことなく通過させるので、このアーキテクチャは潜在的なセキュリティ上の不備を暗示している。これは、攻撃者がＭＩＰプロキシに何とかしてアクセスできれば、全ての企業のネットワークを容易に危うくすることになり得る。
２． ＩＰｓｅｃトンネル中のＭＩＰトンネル
この系の提案により、ＩＰｓｅｃトンネルは、ＶＰＮゲートウェイと移動ノード気付アドレスとの間に確立される。

ＩＰｓｅｃトンネル中のＭＩＰトンネルを含む提案は、スイス国ベルン大学（ｗｗｗ．ｉａｍ．ｕｎｉｂｅ．ｃｈ／〜ｒｖｓ／ｐｕｂｌｉｃａｔｉｏｎｓ／ｓｅｃｍｉｐ＿ｇｉ．ｐｄｆにて入手可能）により説明されている。ＩＰｓｅｃトンネルは、新規のハンドオーバーの前にリセットされる。新規なネットワークへと移動すると、ＩＰｓｅｃトンネルは、全般的なキー配布処理により確立し直されなければならない。ハンドオーバーモードは長時間の許容できない待ち時間を生成し、標準的なＭＩＰ要求には適合しない。

この提案に関する他の事項は、ＩＰｓｅｃは充分な保護を提供すると仮定し、それによりＭＩＰ登録操作中には認証および再送保護を不能にすることにある。ホームエージェントでの保護を不能にすることは、速度を改善しないとの選択であり、ＭＩＰ保護を未だ使用している単純なＭＩＰ使用者に専用の他のホームエージェントと同様に、ＭＩＰ−ＶＰＮ使用者に専用のホームエージェントを必要とする。

本発明は、上記の問題および他の問題に答えるものである。

本発明は、添付の請求項に記載された通信の方法、および通信のための装置を提供する。

図１に示すのは、私設ネットワーク１を備える移動仮想私設ネットワークの構想である。私設ネットワーク１は、ＶＰＮゲートウェイ２およびファイヤウォール３を含むセキュリティゲートウェイと、私設ネットワーク１中に存する移動ノード４と、移動ノード４のためのホームエージェント５とを備える。図面に図示される本発明の実施態様は、特に移動ノード４が無線リンクによる通信が可能な場合に適用され、それにより、私設ネットワークの内部および外部でのローミング能力が向上される。しかし、本発明の本実施態様はまた、移動ノード４が有線接続のみで通信する場合であっても採用可能である。

図１は本実施態様の利点が特に顕著である場合、すなわち、移動ノード４が私設ネットワーク１の外部へと移動する場合について示している。この場合、移動ノード４は、最初にモバイルＩＰｖ４プロトコルに基づき機能する外部エージェント７を備える訪問先のネットワーク６へと移動し、ネットワーク６にあるローミング移動ノード４は、インターネット８を介して私設ネットワーク１と通信可能となっている。この構想では、ローミング移動ノード４は、その後、外部エージェント１０を備える第２の訪問先のネットワーク９へと移動する。外部エージェント１０は同様に、インターネット８を介した私設ネットワーク１との通信のためのモバイルＩＰｖ４に基づき機能する。本発明の本実施態様は、モバイルＩＰｖ４プロトコルにて機能するが、本発明は他のプロトコル、特にモバイルＩＰｖ６にもまた適用できることは、充分に理解されるであろう。

移動ノード４が訪問先のネットワーク６，９においてローミングされると、私設ネットワーク１との通信は、ＩＰｓｅｃおよびＭＩＰトンネル１１，１２の夫々においてインターネット８を介して確立される。より具体的には、使用されるプロトコルは、図２に図示されたカプセル化セキュリティペイロード（ＥＳＰ）プロトコルである。このプロトコルに基づき、オリジナルパケット１３はオリジナルＩＰヘッダ１４とデータ１５とを備える。パケット１３は、オリジナルＩＰヘッダおよび宛先アドレスを変更することなく、ＥＳＰトレーラ１６を付されて暗号化される。暗号化されたパケットはＥＳＰヘッダを付され、好ましくは、ＥＳＰ認証１８をも付されてカプセル化され、送信の前に新ＩＰヘッダ１９と組み合わされる。各々アウトバウンド通信セキュリティアソシエーションとインバウンド通信セキュリティアソシエーションとを備えるセキュリティアソシエーションバンドルは、ＶＰＮゲートウェイ２によるパス１１，１２上の通信のために確立される。セキュリティアソシエーションセレクタは、夫々のアウトバウンドセキュリティアソシエーションにより定義されたトンネルを用いて送信されるパケットが正規であり、当該のセキュリティアソシエーションにより送信されるべきものであること、および、特に、パケットの発信元および宛先のアドレスが、セキュリティアソシエーションの発信元および宛先のアドレスと合致していることを確認する。この検査は、アウトバウンドＳＡセレクタチェックである。インバウンドセキュリティアソシエーションにより定義されたトンネルから受信されたパケットは、このセキュリティアソシエーションにより受信の正当性が確認される。特に、パケットの発信元および宛先のアドレスは、セキュリティアソシエーションの発信元および宛先のアドレスと合致することを確認される。この検査は、インバウンドＳＡセレクタチェックである。

本発明の本実施態様において、ＶＰＮゲートウェイ２のインバウンドセキュリティアソシエーションは、発信元アドレスとしての移動ノード４のＩＰアドレスを保有せず、ワイルドカード（＊として表示）を保有している。このことにより、ＶＰＮゲートウェイ２がどのような気付アドレスを用いても、ＶＰＮゲートウェイ２が移動ノード４からのパケットを受信および転送することが可能となる。これは、ワイルドカードの内容は、セキュリティアソシエーションにおける発信元アドレスセレクタとして、このＩＰｓｅｃプロトコルにより承認されるので、IＰｓｅｃプロトコルとは矛盾していないことに留意されたい
。ＶＰＮゲートウェイ２と移動ノード４との間のＩＰｓｅｃトンネルに関しては、トンネル命令とは、移動ノード気付アドレスを終点として使用するＩＰｓｅｃトンネル中のＭＩＰトンネルの命令である。

移動ノード４がローミングされるときの通信の処理は、図３に図示される。ここで、アウトバウンドおよびインバウンドに関する言及は、移動ノード４におけるパケットを指す。はじめに、移動ノード４の現行の気付アドレスにおいて通信が確立された状況における、ＩＰｓｅｃトンネルが図示されている。アウトバウンドＩＰｓｅｃトンネル２０は、発信元アドレスとしての現行移動ノード気付アドレスおよび宛先アドレスとしてのＶＰＮゲ
ートウェイのアドレスを有する移動ノード４におけるキュリティアソシエーションと、発信元アドレスとしてのワイルドカードおよび宛先アドレスとしてのＶＰＮゲートウェイ２を有するＶＰＮゲートウェイ２におけるセキュリティアソシエーションとを備える。初期のインバウンドＩＰｓｅｃトンネルは、発信元アドレスとしてＶＰＮゲートウェイ２のアドレスおよび宛先アドレスとして移動ノードの現行気付アドレスを有する移動ノード４におけるセキュリティアソシエーションと、発信元としてＶＰＮゲートウェイのアドレスおよび宛先アドレスとして移動ノード４の気付アドレスを有するＶＰＮゲートウェイ２におけるセキュリティアソシエーションとを備える。

参照番号２２において、移動ノードがある訪問先のネットワークから他の訪問先のネットワークに、例えば、訪問先のネットワーク６から訪問先のネットワーク９に移動すると、移動ノード４は自身の位置が変化したことを、例えば、着信エージェント広告により認識する。移動ノードはその後、新規の訪問先のネットワーク９内においてルーティング可能な新気付アドレスを形成する。移動ノード４は、例えば、ネットワーク選択ミドルウェアに応答して、またはアウトバウンドパケットの発信元アドレスを監視することにより、移動ノード４は移動ノードの位置の変化に対応するＶＰＮクライアントソフトウェアを備える。ＶＰＮクライアントソフトウェアはその後、宛先アドレスが移動ノードの新気付アドレスであり、またインバウンドＩＰｓｅｃトンネル２１が、暫定的なインバウンドＩＰｓｅｃトンネル２３となるように、移動ノード４のインバウンドセキュリティアソシエーションを能動的に変化させる。このようにして、移動ノード４は、ＶＰＮゲートウェイ２により移動ノードの新気付アドレスに対して送信されたパケットを、セキュリティを保ちつつ受信することが可能であろう。そうでない場合には、パケットが旧インバウンドＩＰｓｅｃトンネル２１に含まれた宛先アドレスと合致しないので、パケットは廃棄される。同様に、ＶＰＮクライアントソフトウェアは、発信元アドレスが移動ノードの新気付アドレスであり、アウトバウンドＩＰｓｅｃトンネル２０がアウトバウンドＩＰｓｅｃトンネル２０´となるように、移動ノード４のアウトバウンドセキュリティアソシエーションを能動的に変化させる。そうでない場合には、パケットが旧アウトバウンドＩＰｓｅｃトンネル２０に含まれた発信元アドレスと合致しないので、移動ノード４は送信パケットを送信することができないであろう。

移動ノード４はその後、ノード４のホームエージェントに対して、ノード４の新規な位置を知らせるためのシグナリングメッセージを送信する。シグナリングメッセージはアウトバウンドＩＰｓｅｃトンネル２０´、およびＶＰＮゲートウェイ２を通過する。このシグナリングメッセージは登録要求の形式であり、使用されるプロトコルは、本発明の本実施態様に記載のように、モバイルＩＰｖ４である。

シグナリングメッセージは、ステップ２４においてＶＰＮゲートウェイ２に受信される。発信元アドレスはワイルドカードであり、従って、発信元のアドレスは検証されず、パケットはホームエージェント５宛てに転送されるので、アウトバウンドトンネル２０´のためのＶＰＮゲートウェイ中のＳＡセレクタは、パケットを拒絶しない。ステップ２５において、ホームエージェント５は移動ノード４からの新気付アドレスを知らせる登録要求を受信し、処理する。登録要求が有効である場合には、ホームエージェント５はＶＰＮゲートウェイ２に対して、ＶＰＮゲートウェイにある暫定ＩＰｓｅｃトンネル２３のセキュリティアソシエーションを更新するようにとの命令を含むセキュリティ情報更新メッセージ（ｓｅｃｕｒｉｔｙ ｉｎｆｏｒｍａｔｉｏｎ ｕｐｄａｔｅ ｍｅｓｓａｇｅ、ＳＩＵ）を送信する。このＳＩＵメッセージは、ＶＰＮゲートウェイ２において、例えば、いわゆるシステムにサービスを提供するバックグランドプログラムであるデーモンにより処理される。

ＳＩＵメッセージに応答し、ＶＰＮゲートウェイ２は暫定インバウンドＩＰｓｅｃトン
ネル２３のためのセキュリティアソシエーションを、宛先アドレスとして移動ノード４の新気付アドレスを有する新ＩＰｓｅｃトンネル２６へと更新する。この更新は、任意のパケット、特に登録確認が移動ノード４に送信される前に実行される。本発明の好ましい実施態様において、ホームエージェント５からＶＰＮゲートウェイ２へのＳＩＵメッセージは、移動ノード４に対する登録確認を備える。

ホームエージェント５の具体的なルーチンは、私設ネットワーク１外の移動ノード４の位置に対応し、確認要求が参照番号２などのＶＰＮゲートウェイを介して受信されたときのみトリガーとなることは充分に理解されるであろう。移動ノードが私設ネットワーク１内に存在する場合、従って、ＶＰＮサービスを使用していない場合には、ホームエージェント５は通常の登録確認を有する通常のルーチンにより応答するであろう。

ステップ２７において、ＶＰＮゲートウェイ２は、新規に確立されたインバウンドＩＰｓｅｃトンネル２６を用い、登録確認を移動ノード４に対して転送する。更に、トンネル２６を用い、更なる通知があるまで、新気付アドレスに対して全てのデータパケットを送信する。

ステップ２５において、ホームエージェント５における登録要求が不成功である場合、処理には回復不能な程の障害があるのではない。登録確認は移動ノード４に受信されず、移動ノード４は更なる登録確認を送信するであろう。ホームエージェント５が登録要求の非承認を続ければ、移動ノード４は最終的にはその企図を放棄し、本発明の本実施態様の処理の利点を享受することなく、新気付アドレスのための新規なトンネルを確立する。このような状況は、モバイルＩＰ構想に特有のものである。

図４は、上記の処理中にホームエージェント５により実行されるルーチンを図示する。ルーチンはステップ２８において開始し、ステップ２９において、入力は移動ノード４からの登録要求の形式で受信される。ステップ３０において、登録要求が有効か否かの確認が為され、ホームエージェント５が登録を承認しない場合には、本ルーチンはステップ３１において終了する。ホームエージェント５が登録要求を承認する場合には、ステップ３２において、登録要求が参照番号２などのＶＰＮゲートウェイを介して受信されたか否かの確認が行われる。登録要求がＶＰＮゲートウェイを介して受信されていない場合には、ステップ３３において、登録確認が作成され、直接に私設ネットワーク上の移動ノード４に送信される。登録要求が参照番号２などのＶＰＮゲートウェイを介して受信された場合には、移動ノード４のための登録確認がステップ３４において作成される。その後この登録確認は、ステップ３５においてホームエージェント５により生成された新パケットに包含される。新パケットには、移動ノード４の旧気付アドレス、および新気付アドレスも備える。新パケットは、その後、ステップ３６にてＶＰＮゲートウェイ２に送信され、本ルーチンもステップ３１にて終了する。

移動仮想私設ネットワークの構想に関する概略図。 ＥＳＰトンネルモードによりカプセル化されたデータパケットの構成図。 例示としての本発明の一実施態様による、私設ネットワークとローミング移動端末との間の交信のフローチャート。 図３で図示された通信処理における登録要求の受理のための処理のフローチャート。

Claims (8)

1. 私設ネットワーク（１）とローミング移動端末（４）との間の通信の方法であって、私設ネットワーク（１）はローミング移動端末（４）のためのホームエージェント（５）と、前記通信が通過し、且つ、私設ネットワーク（１）のための機密保護を提供するゲートウェイ（２，３）とを備え、前記通信のプロトコルは、インバウンド通信のための移動端末（４）とゲートウェイ（２，３）との間のセキュリティアソシエーション、およびアウトバウンド通信のための別のセキュリティアソシエーションを夫々備えるセキュリティアソシエーションバンドルを備え、該方法は、
   移動端末（４）のＩＰアドレス（ＭＮ気付アドレス）を新ＩＰアドレス（ＭＮ新気付アドレス）へと変更させる通信のハンドオーバーに応答して、前記移動端末は、宛先として前記新ＩＰアドレス（ＭＮ新気付アドレス）を付されて該端末に送信されたパケットを受信できるように、ゲートウェイ（２，３）からの該端末のインバウンドセキュリティアソシエーションを更新し、
   移動端末（４）は、宛先としてホームエージェント（５）が付された第１のシグナリングメッセージを、セキュリティを有するトンネル２０´にてゲートウェイ（２，３）に対して送信し、前記第１のシグナリングメッセージは、セキュリティを有する形式である前記新ＩＰアドレス（ＭＮ新気付アドレス）をホームエージェント（５）に対して示し、
   移動端末（４）からのゲートウェイ（２，３）のインバウンドセキュリティアソシエーションは、第１のシグナリングメッセージを同メッセージの発信元アドレスを確認することなく承認し、
   ゲートウェイ（２，３）は第１のシグナリングメッセージを私設ネットワーク（１）内でホームエージェント（５）に転送し、
   ホームエージェント（５）は、第１のシグナリングメッセージの有効性を確認し、同メッセージが有効である場合は、同メッセージのアドレスデータを更新し、前記新アドレス（ＭＮ新気付アドレス）を示す第２のシグナリングメッセージをゲートウェイ（２，３）に送信し、
   ゲートウェイ（２，３）は、示された新アドレス（ＭＮ新気付アドレス）に応答して、移動端末（４）とのアウトバウンドセキュリティアソシエーションを更新する方法。
2. 移動ノード（４）とゲートウェイ（２，３）との間の通信は、ＩＰｓｅｃプロトコル仕様に従う請求項１に記載の方法。
3. ゲートウェイ（２，３）と移動端末（４）との間の通信は、トンネルモードにて使用されるカプセル化セキュリティペイロードプロトコルに従う請求項２に記載の方法。
4. 移動端末（４）のための登録確認は、第２のシグナリングメッセージ中に含まれる請求項１乃至３のいずれか一項に記載の方法。
5. 移動端末のＩＰアドレス（ＭＮ気付アドレス）を新ＩＰアドレス（ＭＮ新気付アドレス）に変更させる通信のハンドオーバーに応答して、移動端末が、宛先として前記新ＩＰアドレス（ＭＮ新気付アドレス）を付されて送信されたパケットを受信できるように、ゲートウェイ（２，３）からの移動端末（４）のインバウンドセキュリティアソシエーションを更新し、宛先としてホームエージェント（５）を付された第１のシグナリングメッセージを、セキュリティを有するトンネル（２０´）を介して前記ゲートウェイに対して送付するための手段を備え、
   前記第１のシグナリングメッセージは、前記新ＩＰアドレス（ＭＮ新気付アドレス）はセキュリティを有する形式であることをホームエージェント（５）に対して示す、請求項１乃至４のいずれか一項に記載の方法による通信に使用するための移動端末。
6. 移動端末（４）のＩＰアドレス（ＭＮ気付アドレス）を新ＩＰアドレス（ＭＮ新気付アドレス）に変更させる通信のハンドオーバーに応答して、移動端末（４）のゲートウェイ（２，３）へのアウトバウンドセキュリティアソシエーションを更新し、移動端末（４）が発信元アドレスとして前記新ＩＰアドレス（ＭＮ新気付アドレス）を付されたパケットをゲートウェイ（２，３）に送信できるようにするための手段を備える請求項１乃至５のいずれか一項に記載の方法による通信に使用されるための移動端末。
7. 移動端末からのセキュリティを有するトンネル（２０´）にて受信された、宛先としてホームエージェント（５）を有する第１のシグナリングメッセージに応答して、移動端末（４）からのゲートウェイ（２，３）におけるインバウンドセキュリティアソシエーションに、その発信元アドレスを確認することなく、第１のシグナリングメッセージを承認させ、更に、第１のシグナリングメッセージをホームエージェント（５）に転送するための手段と、前記新アドレス（ＭＮ新気付アドレス）を示す第２のシグナリングメッセージに応答して、前記新アドレス（ＭＮ新気付アドレス）に応じて移動端末（４）とのゲートウェイ（２，３）のアウトバウンドセキュリティアソシエーションを更新するための手段とを備える、請求項１乃至６のいずれか一項に記載の方法による通信に使用されるためのゲートウェイ。
8. ゲートウェイ（２，３）から受信された第１のシグナリングメッセージに応答して、ゲートウェイ（２，３）が移動端末（４）とのアウトバウンドセキュリティアソシエーションを更新するための新アドレス（ＭＮ新気付アドレス）を示す第２のシグナリングメッセージを、ゲートウェイ（２，３）に対して送信するための手段を備える、請求項１乃至７のいずれか一項に記載の方法による通信において使用されるためのホームエージェント。

Images