JP2008527826A

JP2008527826A - 移動ノード間の待ち時間の少ないセキュリティセッションの連続性を提供するための方法および装置

Info

Publication number: JP2008527826A
Application number: JP2007549981A
Authority: JP
Inventors: チョイ、ヴィノー・クマー; バーボー、ミシェル
Original assignee: アルカテル−ルーセント
Priority date: 2005-01-07
Filing date: 2006-01-06
Publication date: 2008-07-24
Also published as: EP1839424A1; US20060268901A1; KR20070097547A; US20060245362A1; EP1839425A1; WO2006072890A1; KR101165825B1; WO2006072891A1

Abstract

本発明の少なくとも一つの実施形態によれば、同一のドメインに属する一つ以上の移動ノード（ＭＮ）が遠隔的に配置される場合でも、このＭＮに、そしてこのＭＮからＩＰアプリケーショントラフィックが機密的に提供されることができる。ＭＮ間の通信において、好ましくは、常に一般的に企業環境内（例えば、保護されたイントラネット内）で提供されるのと同等の機密性および保全性レベルを提供することが可能である。一つ以上のＭＮが本質的に安全であると仮定することができない接続、例えば、インターネットのようなパブリックネットワークまたは安全なイントラネットを離脱したネットワークへの接続を通じて通信中であるとき、安全かつ効率的な通信が提供される。

Description

本発明は、一般的に、モバイルネットワーキング（ｍｏｂｉｌｅｎｅｔｗｏｒｋｉｎｇ）に関し、より詳細には、一つ以上の移動ノードを含む待ち時間の少ないセキュリティネットワーキングに関する。

本出願は、次の米国仮出願：２００５年１月７日に出願された出願番号第６０／６４２，２５５号、および２００５年１月１０日に出願された出願番号第６０／６４２，６９０号に対し、米国特許法第１１９条（ｅ）項による優先権を主張する。
本出願は、本出願と出願日付が同じである「ＭＥＴＨＯＤＡＮＤＡＰＰＡＲＡＴＵＳＦＯＲＰＲＯＶＩＤＩＮＧＲＯＵＴＥ−ＯＰＴＩＭＩＺＥＤＳＥＣＵＲＥＳＥＳＳＩＯＮＣＯＮＴＩＮＵＩＴＹＢＥＴＷＥＥＮＭＯＢＩＬＥＮＯＤＥＳ」（代理人整理番号１４００．１４００．１５００５５０）のための出願と関連している。

無線通信の特徴は、固定（つまり、非無線）ネットワークに比べて、無線環境で安全な通信を提供することを難しくする。一方、主に回線交換ボイスネットワーク（ｃｉｒｃｕｉｔ−ｓｗｉｔｃｈｅｄｖｏｉｃｅｎｅｔｗｏｒｋｓ）であった移動通信用グローバルシステム（ＧＳＭ）、パーソナル・コミュニケーション・システム（ＰＣＳ）、および符号分割多重接続（ＣＤＭＡ）のような無線ネットワークは、一般的に完全なインターネットアクセスを提供しなかったため、インターネットの通常の弱点のような短所を避けることが可能であった。インターネットプロトコル（ＩＰ）マルチメディアサブシステム（ＩＭＳ）ソリューションおよび関連技術の導入により、データ、音声、およびビデオは、ユニバーサル・モバイル・テレコミュニケーション・システム（ＵＭＴＳ）および符号分割多重接続２０００（ＣＤＭＡ２０００；例えば、インターナショナル・モバイル・テレコミュニケーション（ＩＭＴ）−ＣＤＭＡマルチキャリア、フェーズ１無線伝送技術（１ｘＲＴＴ）、またはフェーズ３無線伝送技術（３ｘＲＴＴ））を使用するような無線接続を通じてインターネットを経由してアクセス可能である。移動装置は、異種（ｈｅｔｅｒｏｇｅｎｅｏｕｓ）の無線アクセスネットワークを用いる多重無線インタフェース等と作業することができる能力を有する。移動加入者も同様に、移動装置、ネットワーク、およびアプリケーションによって制約されないので、「真に移動できる」ようになった。しかし、一般的に個人同士で通信する情報の保護に対する要求は解決されておらず、これが、専用通信（ｐｒｉｖａｔｅｃｏｍｍｕｎｉｃａｔｉｏｎ）と公衆通信（ｐｕｂｌｉｃｃｃｏｍｍｕｎｉｃａｔｉｏｎ）との差異点とも言える。プライバシーは、ネットワークの観点からだけでなく、ピアツーピア（ｐｅｅｒ−ｔｏ−ｐｅｅｒ）通信モデルによっても有用である。

ＩＰアプリケーショントラフィックの機密性（ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ）を同一のドメインに属するモバイルユーザに提供することが難しいという問題が存在する。これまでに抱えてきた一つの課題は、好ましくは、常に移動ノード（ＭＮ）（または、ＭＮと一つ以上の固定ノード）の間の通信において、固定イントラネット（例えば、固定された企業環境または固定された家庭環境）内で提供されるものと同等の機密性および保全性（ｉｎｔｅｇｒｉｔｙ）レベルを保障することであった。

機密性および移動性の目標は、適切に実現されていなかった。一方、インターネット鍵交換（ＩＫＥ）プロトコルが仮想プライベートネットワーク（ＶＰＮ）のトンネルのためのセキュリティアソシエーション（ＳＡ）を取り決めるのに使用することができる。一方、モバイルＩＰ（ＭＩＰ）プロトコルは、ＩＰノードの移動性を支援するのに使用することができる。共に使用する場合、次のような問題：ＶＰＮトンネル（ＶＰＮＴ）のＳＡが、トンネルの終端点毎に一つずつ、２つのＩＰアドレスに関わるという不具合が発生する。ＭＮは、一般的に、それの地理的位置と関わりを持つ二重識別情報（ｄｕａｌｉｄｅｎｔｉｔｙ）（パーマネントホームアドレス（ＨｏＡ）および一時気付アドレス（ｔｅｍｐｏｒａｒｙｃａｒｅ−ｏｆａｄｄｒｅｓｓ）（ＣｏＡ））を有する。ＨｏＡは、ＶＰＮトンネルの一終端点を識別するのに使用される。ＨｏＡから、トラフィックはＭＮの現在位置にリダイレクトされ得る。ＣｏＡがＶＰＮトンネルの終端点として使用される場合、ＣｏＡが変更される度に、ＳＡを更新するためのメカニズムを提供しなければならない。

セキュア・ユニバーサル・モビリティ（ＳＵＭ）と呼ばれるアーキテクチャは、機密性と移動性を同時に図るようにしている。３つの別の領域が定義される。その第１の領域は、ファイアウォールにより保護される安全な領域であるイントラネットである。第２の領域は、相対的に制御が弱い他のファイアウォールを通じてイントラネット外部でアクセス可能な非武装地帯（ｄｅ−ｍｉｌｉｔａｒｉｚｅｄｚｏｎｅ）（ＤＭＺ）である。第３の領域は、元々安全でないものと推定されることもあるパブリックインターネット（ｐｕｂｌｉｃｉｎｔｅｒｎｅｔ）である。ＳＵＭは、ＭＩＰに基づいている。各ＭＮは、２つのＨｏＡ、内部ＨｏＡ（ｉ−ＨｏＡ）および外部ＨｏＡ（ｘ−ＨｏＡ）を有する。ｉ−ＨｏＡは、イントラネットのプライベートアドレス空間での識別情報として使用される。ｘ−ＨｏＡは、インターネットのパブリックアドレス空間での識別情報として使用される。２種のホームエージェント（ＨＡ）、つまり、内部ＨＡ（ｉ−ＨＡ）および外部ＨＡ（ｘ−ＨＡ）が存在する。ｉ−ＨＡは、イントラネットの移動性を図り、内部ＣｏＡ（ｉ−ＣｏＡ）を内部ＨｏＡ（ｉ−ＨｏＡ）バインディング（ｂｉｎｄｉｎｇｓ）まで追跡する。ｘ−ＨＡは、外部の移動性を図り、外部ＣｏＡ（ｘ−ＣｏＡ）を外部ＨｏＡ（ｘ−ＨｏＡ）バインディングまで追跡する。ｘ−ＨＡは、ＤＭＺに配置されている。イントラネットとＤＭＺとをブリッジするＶＰＮゲートウェイ（ＶＰＮＧＷ）が存在する。ＭＮがインターネットに位置する間に、データトラフィックの機密性および保全性は、ＩＰセキュリティ（ＩＰＳｅｃ）トンネルを使用して提供されるが、ＩＰＳｅｃトンネルの終端点は、ＶＰＮＧＷのパブリックアドレスおよびＭＮのｘ−ＨｏＡである。

全部で３つのトンネルが確立され、外部ネットワークを訪問中のＭＮへのイントラネットプライベートアクセス（ｉｎｔｒａｎｅｔｐｒｉｖａｔｅａｃｃｅｓｓ）を提供する。ｘ−ＣｏＡを取得することに伴って、ＭＮはｘ−ＨＡにｘ−ＣｏＡを登録することで、ｘ−ＨｏＡをｘ−ＣｏＡとバインディングする。これにより、終端点がｘ−ＨＡのアドレスおよびＭＮのｘ−ＣｏＡであるＭＩＰトンネルが確立される。その後、ＭＮは、それのｘ−ＨｏＡを使用して、ＶＰＮＧＷとのＩＰＳｅｃトンネルの確立を開始する。このようにして専用イントラネットにＭＮへのエントリが生成される。次に、ＭＮは、ＭＮのｉ−ＨｏＡと対をなすＶＰＮＧＷのイントラネットアドレスからなるバインディングを登録する。これにより、ｉ−ＨＡとＶＰＮＧＷの間にＭＩＰタイプの第３のトンネルが生成される。

ＭＮが宛先であるイントラネットトラフィックは、ｉ−ＨＡによってインターセプトされた（ｉｎｔｅｒｃｅｐｔｅｄ）後、ＶＰＮＧＷにトンネリング（ｔｕｎｎｅｌｉｎｇ）される。後者は、ＶＰＮトンネルを使用して、トラフィックをＭＮのｘ−ＨｏＡに安全にリダイレクトする。トラフィックは、ｘ−ＨＡによりインターセプトされた後、ＭＮの現在位置にトンネリングされる。

ＳＡがｘ−ＣｏＡにバインディングされると、ＭＮによって新しいｘ−ＣｏＡが取得される度に、ＳＡの再取り決めを行わなければならない。設定時間は、次のように、４つの往復時間（ＲＴＴ）の最小値を必要とするが、その１つのＲＴＴは、内部登録のためのものであり、２つのＲＴＴの最小値は（ＩＫＥプロトコルの使用を仮定する場合）、ＩＰＳｅｃトンネルの確立のためのものであり、１つのＲＴＴは、外部登録のためのものである。ＭＮが宛先であるイントラネットトラフィックは、２つのＨＡを通過する。このようなアプローチによれば、三角形ネットワークトポロジーを数回トラバース（ｔｒａｖｅｒｓｉｎｇ）することから発生するネットワーク待ち時間の４つのＲＴＴを意味する二重三角形ルーティング（ｄｏｕｂｌｅｔｒｉａｎｇｌｅｒｏｕｔｉｎｇ）の問題が発生するようになる。

外部ネットワークを訪問する間、対応（ｃｏｒｒｅｓｐｏｎｄｅｎｔ）ノード（ＣＮ）からＭＮへのトラフィックは、まず、内部ホームネットワークに伝達される。このホームネットワークで、ｉ−ＨＡは、ＭＮが離脱していることを認知する。ｉ−ＨＡは、ＭＮが宛先であるトラフィックをインターセプトし、それをＭＮの現在位置にトンネリングする。これによって、ＭＮが宛先であるトラフィックでは、二重のネットワーク待ち時間が発生する。

上記では、２つのＭＮが共にイントラネット（例えば、保護されているサブネットワーク）から離脱している場合、それらが互いに通信するときの条件について適切に扱っていない。なお、上記説明では、一つのＭＮのみが離脱している場合の条件における所定の欠陥を提示している。また、上記説明では、待ち時間の少ない接続を支援するために最適化されたパスを提供することができない。待ち時間（および待ち時間変動）は、性能を悪化させるおそれがある。

従って、一つ以上のＭＮが本来安全であると当然仮定することができない接続を通じて通信中である場合、安全かつ効率的な通信を許容するための方法および装置が必要である。

本発明は、添付図面を参照することにより一層理解を深めることができ、本発明の特徴は当業者に明らである。

図面は、類似した部分および同一の項目については同一の参照符号を付けている。

本発明の少なくとも一つの実施形態によれば、同一のドメインに属する一つ以上のＭＮが、インターネットのようなパブリックネットワークへの、および／または、パブリックネットワークからの制御アクセスを提供するイントラネットのような企業または保護ドメインから離脱している場合でも、ＩＰアプリケーショントラフィックがこのＭＮに、そして、このＭＮから機密的に提供されることができる。好ましくは、常にＭＮの間の通信において、通常の企業環境内（例えば、保護された（ｓｅｃｕｒｅｄ）イントラネット内）で提供されるのと同様のレベルの機密性および保全性を提供することが可能であり、このような機密性および保全性は、企業、家庭、学校、政府、非営利組織、または、その他の任意のタイプのネットワークのために提供されることも可能である。一つ以上のＭＮが本質的に安全であると仮定することができない接続、例えば、インターネットのようなパブリックネットワーク、または、保護されたイントラネットを離脱したネットワークへの接続を通じて通信中である場合、安全かつ効率的な通信が提供される。

本発明の少なくとも一つの実施形態は、ＩＰセキュリティ（ＩＰＳｅｃ）に基づく技術のようなＶＰＮ技術を使用することにより、ピアツーピア・モバイルの間で安全な接続を提供するように実現することもできる。ルート最適化（ｒｏｕｔｅ−ｏｐｔｉｍｉｚａｔｉｏｎ）（ＲＯ）技術とともにモバイルＩＰ（ＭＩＰ）に適合するように実現することもできる移動性管理（ｍｏｂｉｌｉｔｙｍａｎａｇｅｍｅｎｔ）が提供される。本発明の少なくとも一つの実施形態によれば、実時間トラフィックの待ち時間が、ＩＰＳｅｃおよびＭＩＰトンネルのようなトンネルをトラバーシングするとき減少することもある。

ＭＮがイントラネットネットワークおよびパブリックネットワークの間をトラバースするとき、ＭＮの間で安全かつシームレスなセッションの連続性を提供するためのメカニズムが開示される。ＶＰＮトンネルのルーティングは最適化され、ハンドオフ以降のＩＰＳｅｃセキュリティアソシエーション（ＩＰＳｅｃＳＡ）の再取り決めは防止される。これによって、三角形ルーティングが防止される。

図１は、本発明の少なくとも一つの実施形態による装置を例示するブロック図である。この装置は、イントラネット１０１、第１の移動ノード（ＭＮ１）１０３および／または第２の移動ノード（ＭＮ２）１０４、および、ＭＮ１１０３および／またはＭＮ２１０４をイントラネット１０１にカップリングする外部ネットワーク１０２を有する。好ましくは、イントラネット１０１は、モバイルアウェア・ゲートウェイ（ｍｏｂｉｌｅ−ａｗａｒｅｇａｔｅｗａｙ）（ＭＡＧ）１０５、第１の内部ホームエージェント（ｉ−ＨＡ１）１０８および／または第２のホームエージェント（ｉ−ＨＡ２）１０９、および対応ノード（ＣＮ）１１０を有する。好ましくは、ＭＡＧ１０５は、第１の外部ホームエージェント（ｘ−ＨＡ１）１０６および／または第２の外部ホームエージェント（ｘ−ＨＡ２）１０７を有する。

ＭＮ１１０３は、ネットワーク接続１１１を介して外部ネットワーク１０２にカップリングされる。ＭＮ２１０４は、ネットワーク接続１１２を介して外部ネットワーク１０２にカップリングされる。ＭＡＧ１０５は、例えば、外部ネットワーク１０２およびネットワーク接続１１１を介してＭＮ１１０３にカップリングされることもできるネットワーク接続１１３を介して、そして／または、外部ネットワーク１０２およびネットワーク接続１１２を介してＭＮ２１０４にカップリングされることもできるネットワーク接続１１４を介して外部ネットワーク１０２にカップリングされる。本発明の少なくとも一つの実施形態による外部ネットワーク１０２の一例はインターネットであるが、これは、イントラネット１０１以外の他のイントラネットのみならず、その他の有線ネットワークおよび／または、セルラ無線ネットワークなどの無線ネットワークのようなインターネットへのアクセスを提供することができる他のネットワークを含むこともできる。

ｘ−ＨＡ１１０６は、イントラネット接続１１５を介してｉ−ＨＡ１１０８にカップリングされる。ｘ−ＨＡ２１０７は、イントラネット接続１１６を介してｉ−ＨＡ２１０９にカップリングされる。ｉ−ＨＡ１１０８は、イントラネット接続１１７を介してＣＮ１１０にカップリングされる。ｉ−ＨＡ２１０９は、イントラネット接続１１８を介してＣＮ１１０にカップリングされる。好ましくは、ｘ−ＨＡ１１０６は、イントラネット接続１１９を介してＣＮ１１０にカップリングされることもでき、ｘ−ＨＡ２１０７は、イントラネット接続１２０を介してＣＮ１１０にカップリングされることができる。好ましくは、ｘ−ＨＡ１１０６は、ＭＡＧ１０５内で実現されるのが好ましい接続１２１を介してｘ−ＨＡ１１０７にカップリングされることができる。

図２は、本発明の少なくとも一つの実施形態によるＭＡＧ１０５を例示するブロック図である。好ましくは、ＭＡＧ１０５は、プロセッサ２０１およびメモリ２０２を有する。プロセッサ２０１は、接続２０３を介してメモリ２０２にカップリングされる。好ましくは、プロセッサ２０１は、ネットワーク接続１１３および１１４のうちの一つ以上の接続を介して外部ネットワーク１０２にカップリングされる。好ましくは、プロセッサ２０１は、イントラネット接続１１５、１１６、１１９、および１２０のうちの一つ以上の接続を介してイントラネット１０１またはそれに関わるエレメントにカップリングされる。プロセッシングモジュールは、単一のプロセッシングデバイスまたは複数のプロセッシングデバイスであることができる。このようなプロセッシングデバイスは、マイクロプロセッサ、マイクロコンピュータ、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）、中央演算プロセッシング装置（ＣＰＵ）、状態機械、論理回路、および／または演算コマンドに基づいて信号（アナログまたはデジタル）を操作する任意のデバイスであることも可能である。メモリは、単一のメモリデバイスまたは複数のメモリデバイスであることもできる。このようなメモリデバイスは、読み取り専用メモリ、ランダムアクセスメモリ（ＲＡＭ）、磁気テープメモリ、フロッピーディスクメモリ、ハードディスクメモリ、ＤＶＤメモリ、ＣＤメモリ、および／または、演算および／またはプログラミングコマンド等を格納する任意のデバイスであることもできる。プロセッシングモジュールが状態機械または論理回路を介して通じて一つ以上のファンクションを実現する場合、対応する演算コマンドを格納するメモリは、状態機械および／または論理回路を有する回路に組み込まれることに注意されたい。メモリに格納されてプロセッシングモジュールにより実施される演算コマンドについて、次の図３〜図１１を参照して詳細に説明する。

イントラネットへアクセスするように意図された２つのＭＮ、例えば、ＭＮ１およびＭＮ２が付与される場合、いくつかのシナリオが存在する。その一つの可能性は、ＭＮ１およびＭＮ２が共にイントラネット（例えば、企業ネットワーク）に位置する場合である。また他の可能性は、ＭＮ１はイントラネット内に位置し、ＭＮ２はイントラネットを離脱する場合である。また他の可能性は、ＭＮ１およびＭＮ２の両方がイントラネットを離脱する場合である。

両ＭＮがイントラネット内で直接接続されている場合、プライベートドメイン内のＭＮ間の通信は、ファイアウォール、ネットワークアドレス変換（ＮＡＴ）技術、および、侵入検出メカニズムや侵入防止メカニズムにより保護される。イントラネット内での移動性は、ＭＩＰを用いて支援され得る。

１つのＭＮがイントラネットを離脱する場合には、訪問した（つまり外部）ネットワークのＭＮからＶＰＮゲートウェイ（ＶＰＮ−ＧＷ）を経由してイントラネットに至るＩＰｓｅｃトンネルを使用してセキュリティ通信を提供することができる一方、ＭＩＰを使用して移動性を支援することができる。問題は、ＭＮによりネットワーク−階層（ｎｅｔｗｏｒｋ−ｌａｙｅｒ）のハンドオフが行われる度に、ＩＰＳｅｃＳＡの再取り決めが発生しないことを保障することである。本発明の少なくとも一つの実施形態によれば、このような問題を解決できるとともに、経路最適化（ＲＯ）を介して減少した待ち時間等のような他の効果も得ることができる。

複数のＭＮがイントラネットを離脱するシナリオは、イントラネットを離脱した１つのＭＮの多重インスタンスとして扱うことができるが、このようなアプローチが複数のＭＮ間で必ず経路最適化および待ち時間の少ない通信を提供するものではない。本発明の少なくとも一つの実施形態によれば、このような仕様を提供することも可能である。

本発明の少なくとも一つの実施形態は、１つのＭＮがイントラネットを離脱した場合、または、複数のＭＮがイントラネットを離脱した場合、安全かつ効率的な通信を提供する。イントラネットの存在が本発明の実施形態の実現のための必要条件ではなく、他のイントラネットエレメントの不在時にＭＡＧを使用して、どこでも配置された複数ノード間の安全かつ効率的な通信を提供することができることに注意されたい。このような理解は、ここで、ＭＮに対する参照がイントラネットに関連して行われる度に考慮されなければならない。本発明の少なくとも一つの実施形態は、Ｄｕｔｔａらが説明したセキュアユニバーサルモビリティ（ＳＵＭ）アーキテクチャの仕様により実現されることもできる（Ａ．Ｄｕｔｔａ，Ｔ．Ｚｈａｎｇ，Ｓ．Ｍａｄｈａｎｉ，Ｋ．Ｔａｎｉｕｃｈｉ，Ｋ．Ｆｕｊｉｍｏｔｏ，Ｙ．Ｋａｔｓｕｂｅ，Ｙ．Ｏｈｂａ，ａｎｄＨ．Ｓｃｈｕｌｚｒｉｎｎｅ，“ＳｅｃｕｒｅＵｎｉｖｅｒｓａｌＭｏｂｉｌｉｔｙｆｏｒＷｉｒｅｌｅｓｓＩｎｔｅｒｎｅｔ”，ＦｉｒｓｔＡＣＭＩｎｔｅｒｎａｔｉｏｎａｌＷｏｒｋｓｈｏｐｏｎｗｉｒｅｌｅｓｓＭｏｂｉｌｅＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｅｒｖｉｃｅｓｏｎＷＬＡＮＳｐｏｔｓ（ＷＭＡＳＨ），Ｐｈｉｌａｄｅｌｐｈｉａ，ｐｐ．７１−８０Ｏｃｔｏｂｅｒ２００４）。１つのＭＮがイントラネットを離脱した場合、ＳＵＭは、二重三角形ルーティングの問題を抱えるようになる。本発明の少なくとも一つの実施形態は、適合したＭＩＰ経路最適化技術をＳＵＭアーキテクチャで統合することにより該問題点を解消する。

複数のＭＮがイントラネットを離脱した場合には、ある程度の最適化を実現するため、移動性およびＶＰＮ管理が調整されることが有用な場合もある。従って、ＶＰＮ−ＧＷおよび外部ホームエージェント（ｘ−ＨＡ）の役目は、モバイルアウェアＶＰＮゲートウェイ（ＭＡＧ）と呼ばれる単一の実体に統合されることが好ましい。このような統合は、ＭＡＧがＶＰＮ機能などとともに移動性管理を行うことを可能とする。ＭＡＧ機能性を実現することができる一つの方式は、ＭＡＧを２つのＭＮの間の通信に完全に関与させることである。要するに、ＭＡＧは、ＶＰＮトンネルおよびＭＩＰトンネルの設定および演算に関わる。ＭＡＧ機能性を実現することができる他の方式は、第１の最適化として、ＭＡＧが鍵分配およびトンネル設定には関与するが、ＭＡＧの活動が継続する必要がなく通信を許可することである。完全なＭＡＧが関与する第１の方式と異なり、ユーザトラフィックは、経路最適化されたパスに沿って移動する。

本発明の少なくとも一つの実施形態によれば、ＶＰＮ−ＧＷおよびｘ−ＨＡが、モバイルアウェアＶＰＮゲートウェイ（ＭＡＧ）である単一のデバイスに組合されることもできる。図３においては、別々にｘ−ＨＡおよびＭＡＧが図示されているが、図４においては、ＭＮ−対−ＭＮの場合（ＭＮ−ｔｏ−ＭＮｃａｓｅ）およびＭＮの間でエンドツーエンド（ｅｎｄ−ｔｏ−ｅｎｄ）のセキュアトンネルが確立される場合の両方に対して、組合されたＭＡＧが図示されることに注意されたい。別々のｘ−ＨＡおよびＭＡＧは、本発明が、Ｄｕｔｔａらによって説明されたＳＵＭアーキテクチャのコンテキストで実現することができることを示すために図示される。ｘ−ＨＡおよびＭＡＧを別々に実現することもできるが、ｘ−ＨＡ機能性をＭＡＧ内に実現することによって利点が得られることも理解しなければならない。

移動ノード（ＭＮ）が保護されるイントラネットの外に移動する場合、ＭＮとの通信を保持したり、確立するためのいくつかのステップを実施することもできる。第１ステップでは、外部ホームエージェント（ｘ−ＨＡ）へのＭＩＰ登録が発生する。ＭＮは、それのｘ−ＣｏＡを、内部にｘ−ＨＡ機能性が実現されていることが好ましいＭＡＧに登録する。これは、ＭＡＧと移動ノードのｘ−ＣｏＡの間に外部ＭＩＰ（ｘ−ＭＩＰＴ）トンネル（ｘ−ＭＩＰＴ）を設定する。第２ステップの第１の態様によれば、安全なＶＰＮが確立される。ＩＫＥを使用する場合、ＭＮは、ｘ−ＨｏＡをＭＡＧとのトンネル終端点のうちの一つとして使用してＩＰＳｅｃＳＡを取り決めるが、他の終端点は、ＭＡＧのアドレスである。第２ステップの第２の態様によれば、内部ホームエージェント（ｉ−ＨＡ）へのＭＩＰ登録が発生する。一旦、第２ステップによりＶＰＮトンネルが確立されると、ＭＮはＭＡＧのプライベートアドレスをＭＮのｉ−ＣｏＡとして使用してｉ−ＨＡに登録する。これにより、ｉ−ＨＡとＭＡＧの間に内部ＭＩＰ（ｉ−ＭＩＰ）トンネル（ｉ−ＭＩＰＴ）が確立される。第２ステップで発生するモバイルＩＰシグナリングは、ＭＮとＭＡＧの間に確立されたセキュアＶＰＮトンネルを使用して行われる。

ＭＮからＣＮへのユーザトラフィックのために、ＭＮのプライベートアドレス（ｉ−ＨｏＡ）を、宛先アドレスとしてのＣＮの内部（プライベート）アドレス（ｉ−ＣＮ）に対する送信元アドレスとして使用してＭＮにより送信されるトラフィックは、まずＩＰＳｅｃＳＡにより暗号化および保全性保護を受ける。次に、保護されたトラフィックは、ＭＮのｘ−ＨｏＡを使用するｘ−ＭＩＰＴ−１を使用してＭＡＧにトンネリングされる。ＭＡＧは、データグラムをデカプセレーション（ｄｅｃａｐｓｕｌａｔｉｏｎ）する。その後、ＭＡＧは、トラフィックの保全性を検査するだけでなく、データグラムを復号化する。次いで、データグラムは、ｉ−ＣＮに転送（ｆｏｒｗａｒｄ）される。

ＣＮからＭＮへのトラフィックのために、ＣＮの内部アドレス（ｉ−ＣＮ）を、宛先としてのＭＮのプライベートアドレス（ｉ−ＨｏＡ）に対する送信元アドレスとして使用し、ＣＮにより送信されるユーザトラフィックは、ｉ−ＨＡによりインターセプトされ、ｉ−ＭＩＰＴ−１を介してＭＡＧにトンネリングされる。次に、ＭＡＧはテーブルを参照してｉ−ＨｏＡを適合したＭＮのｘ−ＨｏＡに分解する。ＩＰＳｅｃＳＡ毎にデータグラムに暗号化および保全性の検査が施される。次に、パケットは、ＭＮのｘ−ＨｏＡアドレスにトンネリングされる。次に、ＭＡＧのＨＡコンポーネントは、パケットをインターセプトし、保護されたデータグラムをＭＮのｘ−ＣｏＡにトンネリングする。ＭＮは、パケットの受信時、データグラムをデカプセレーションし、パケットの保全性を検査し、特定アプリケーションにより処理される内容を復号化する。

ＳＵＭアーキテクチャでは、外部ネットワークを訪問中であるＭＮへの安全なネットワーク接続を提供するため、２つのＭＩＰトンネルが使用される。ＣＮからのトラフィックは、ＭＮに到逹する前にｉ−ＨＡを通過した後、ｘ−ＨＡを通過する。本発明の少なくとも一つの実施形態によれば、経路最適化技術を用いて、ＭＩＰ三角形ルーティングおよび長期間にわたる待ち時間のような、それと関連する不具合を防止する。

本発明の少なくとも一つの実施形態によれば、ｉ−ＨＡは、ＭＮが宛先であるｉ−ＣＮ（ｉ−ＨｏＡ）からのＭＮのためのパケットをインターセプトしたとき、ｉ−ＣＮにはＭＮがそれのホームネットワークを離脱したことを通知し、ＣＮにはＭＡＧを経由してＭＮに到逹するためのより短いパスが存在することを通知する。このような通信は、ＰｅｒｋｉｎｓおよびＪｏｈｎｓｏｎにより定義された経路最適化メッセージを使用して行われることが好ましい（Ｃ．Ｐｅｒｋｉｎｓ，Ｄ．Ｊｏｈｎｓｏｎ，ＲｏｕｔｅＯｐｔｉｍｉｚａｔｉｏｎｉｎＭｏｂｉｌｅＩＰ，ＩｎｔｅｒｎｅｔＤｒａｆｔ，２００１）。次に、ｉ−ＣＮはｉ−ＨｏＡが宛先であるユーザトラフィックを、ユーザトラフィックをＭＡＧに転送するｉ−ＨＡに送信する代わり、ＭＡＧに直接転送する。これにより、ＣＮとＭＡＧ間の三角形ルーティングが防止され、これによって、パケットが相対的に速く受信される。

ｉ−ＨＡは、ｉ−ＨｏＡが宛先であるパケットのインターセプトのときに、ＭＡＧの内部アドレスを含むｉ−ＣＮにバインディングアップデートメッセージを送信する。その後、ｉ−ＣＮは、ＭＡＧの内部アドレスと対をなすｉ−ＨｏＡのためのバインディングエントリを生成し、これによって、ｉ−ＨｏＡが宛先であるパケットがＭＡＧにトンネリングされる。これは、パケットをＭＮ１の内部ホームネットワークに送信する代りに行われる場合もある。次に、ｉ−ＣＮは、ｉ−ＭＩＰ経路最適化（ｉ−ＭＩＰ−ＲＯ）トンネル（ｉ−ＭＩＰ−ＲＯＴ）を用いてユーザパケットを直接ＭＡＧに転送する。ＭＩＰ経路最適化を支援することができるｉ−ＣＮおよびＭＡＧの能力は、ｉ−ＣＮおよびＭＡＧに経路最適化メッセージを用いることができる能力を実現することによって提供される。

図３は、本発明の少なくとも一つの実施形態による、ＭＮ１０３／１０４およびＣＮ１１０を含むエレメント間の接続を例示する図である。同図は、ＣＮ１１０、ｉ−ＨＡ１０８または１０９、ＭＡＧ１０５、ｘ−ＨＡ１０６または１０７、およびＭＮ１０３または１０４を含むエレメントを示す垂直線を含む。他の方法で示される前記エレメントの関係は、それぞれ理解のためのものである。従って、図１に示されるようなエレメントの接続により例示されるように、ｉ−ＨＡ１０８は、ＭＮ１０３に関わるｘ−ＨＡ１０６と関連し、ｉ−ＨＡ１０９は、ＭＮ１０４に関わるｘ−ＨＡ１０７と関連している。ＣＮ１１０、ｉ−ＨＡ１０８または１０９、およびＭＡＧ１０５は、イントラネット１０１内に存在することが好ましい。図面は、エレメント間の通信を示す水平線を含む。

第１に、第１外部モバイル・インターネット・プロトコル・トンネル（ｘ−ＭＩＰＴ−１）３０１がＭＮ１０３または１０４とｘ−ＨＡ１０６または１０７の間に確立される。外部気付アドレス（ｘ−ＣｏＡ）を確立するための外部モバイル・インターネット・プロトコル（ｘ−ＭＩＰ）登録要請３０２がＭＮ１０３または１０４からｘ−ＨＡ１０６または１０７に通信される。外部気付アドレス（ｘ−ＣｏＡ）を確立するためのｘ−ＭＩＰ登録応答３０３が、ｘ−ＨＡ１０６または１０７からＭＮ１０３または１０４に通信される。

第２に、ＶＰＮトンネル３０４がｘ−ＭＩＰＴ−１３０１に沿ってＭＮ１０３または１０４とＭＡＧ１０５との間に確立される。インターネット鍵交換（ＩＫＥ）取り決め、インターネット・プロトコル・セキュリティ（ＩＰＳｅｃ）セキュリティアソシエーション（ＳＡ）生成、およびアドレス割り当てのような、ＶＰＮトンネル３０４を確立するための通信が、ＭＮ１０３または１０４からＭＡＧ１０５への通信３０５およびＭＡＧ１０５からＭＮ１０３または１０４への通信３０６によって発生する。

第３に、第１のモバイル・インターネット・プロトコル・トンネル（ｉ−ＭＩＰＴ−１）３０７がＭＡＧ１０５とｉ−ＨＡ１０８または１０９の間に確立され、インターネットプロトコル（ＩＰ）接続３０８が、第１のｉ−ＭＩＰＴ−１３０７、ＶＰＮトンネル３０４、およびｘ−ＭＩＰＴ−１３０１に沿ってＭＮ１０３または１０４と対応ノード（ＣＮ）１１０の間に確立される。内部モバイル・インターネット・プロトコル（ｉ−ＭＩＰ）登録要請３０９がＭＮ１０３または１０４からｉ−ＨＡ１０８または１０９に通信される。ｉ−ＭＩＰ登録応答３１０がｉ−ＨＡ１０８または１０９からＭＮ１０３または１０４に通信される。

第４に、経路最適化が行われて三角形ルーティングを防止する。ｘ−ＭＩＰＴ−１３０１は、ＭＮ１０３または１０４とＭＡＧ１０５の間のｘ−ＭＩＰ経路最適化トンネル（ｘ−ＭＩＰ−ＲＯＴ−１）３１１と交換される。ｘ−ＣｏＡを変更するための経路最適化（ＲＯ）バインディングアップデート３１３がｘ−ＨＡ１０６または１０７からＭＡＧ１０５に通信される。ｘ−ＣｏＡを変更するためのＲＯバインディング肯定応答３１４がＭＡＧ１０５からｘ−ＨＡ１０６または１０７に通信される。ｉ−ＭＩＰＴ−１３０７は、ＭＡＧ１０５とＣＮ１１０の間のｉ−ＭＩＰ−ＲＯＴ−１３１２と交換される。ＲＯバインディングアップデート３１５がｉ−ＨＡ１０８または１０９からＣＮ１１０に通信される。ＲＯバインディング肯定応答３１６がＣＮ１１０からｉ−ＨＡ１０８または１０９に通信される。このように、ＭＮ１０３または１０４とＣＮ１１０の間の通信がＭＮ１０３または１０４とＭＡＧ１０５の間のｘ−ＭＩＰ−ＲＯＴ−１３１１、および、ＭＡＧ１０５とＣＮ１１０の間のｉ−ＭＩＰ−ＲＯＴ−１３１２を通じて発生することができる。

図５は、本発明の少なくとも一つの実施形態によるＭＮとＣＮの間の通信を含む方法を例示するフローチャートである。ステップ５０１では、第１の移動ノードと第１の外部ホームエージェントの間に第１の外部通信トンネルが確立される。ステップ５０２では、第１の移動ノードとセキュリティゲートウェイ（例えば、ＭＡＧ）の間に第１の外部セキュアトンネル（ｅｘｔｅｒｎａｌｓｅｃｕｒｅｔｕｎｎｅｌ）が確立される。セキュリティゲートウェイは、イントラネットとＭＡＧにカップリングされた外部ネットワーク（例えば、インターネットのようなパブリックネットワーク）の間の通信を制御するセキュリティ政策を実現することによってイントラネットの境界を確立することができる（つまり、イントラネットは、セキュリティゲートウェイにより境界が決まる）。ステップ５０３では、第１の外部セキュアトンネル、および／または、第１の外部通信トンネルを経由して、第１のセキュリティゲートウェイと第１の内部ホームエージェントの間に第１の内部通信トンネルが確立される。ステップ５０４では、第１の内部通信トンネルを経由して第１の移動ノードと対応ノードの間にユーザデータのための第１のパスが確立される。

ステップ５０５では、第１の外部通信トンネルが交換され、第１の移動ノードとセキュリティゲートウェイ（例えば、ＭＡＧ１０５）の間の経路最適化された第１の外部通信トンネルを形成する。ステップ５０６では、第１の内部通信トンネルが交換されてセキュリティゲートウェイ（例えば、ＭＡＧ１０５）と対応ノードの間の経路最適化された第１の内部通信トンネルを形成する。ステップ５０７では、第１のパスが、経路最適化された第１の内部通信トンネルを経由するユーザデータに使用され、移動ノードと対応ノードの間でユーザデータを通信する。

図６は、本発明の少なくとも一つの実施形態による図５のステップ５０１を実施する方法を例示するフローチャートである。ステップ６０１では、第１の外部気付アドレス登録要請が第１の移動ノードから第１の外部ホームエージェントに通信される。ステップ６０２では、第１の外部気付アドレス登録応答が第１の外部ホームエージェントから第１の移動ノードに通信される。

図７は、本発明の少なくとも一つの実施形態による、図５のステップ５０３を実施する方法を示したフローチャートである。ステップ７０１では、第１の内部気付アドレス登録要請が第１の移動ノードから第１の内部ホームエージェントに通信される。ステップ７０２では、第１の内部ＣｏＡ登録応答が第１の内部ホームエージェントから第１の移動ノードに通信される。

図８は、本発明の少なくとも一つの実施形態による図５のステップ５０６を実施する方法を例示したフローチャートである。ステップ８０１で、第１の内部経路最適化バインディングアップデートが第１の内部ホームエージェントから対応ノードに通信される。ステップ８０２では、第１の内部経路最適化バインディング肯定応答が対応ノードから第１の内部ホームエージェントに通信される。

図９は、本発明の少なくとも一つの実施形態による図５のステップ５０２を実施する方法を例示したフローチャートである。ステップ９０１で、セキュリティゲートウェイと第１の移動ノードの間でセキュリティ能力が交換され、鍵が誘導される。ステップ９０２で、第１の外部セキュアトンネルのための第１の外部セキュリティアソシエーションが生成される。

図１０は、本発明の少なくとも一つの実施形態による図５のステップ５０５を実施する方法を例示したフローチャートである。ステップ１００１で、第１の外部経路最適化バインディングアップデートが第１の外部ホームエージェントからセキュリティゲートウェイに通信される。ステップ１００２では、第１の外部経路最適化バインディング肯定応答がセキュリティゲートウェイから第１の外部ホームエージェントに通信される。

今まで適切に扱われなかったもう一つの問題は、イントラネットを離脱して外部ネットワーク（例えば、インターネット）に常駐するＭＮ間の信頼可能で、安全かつ効率的な通信に関する問題である。互いに通信中のＭＮが共にセキュリティイントラネットを離脱した場合に対して適切に対処するための解決法は、これまでに適切に提供されなかったため、通信中のＭＮが、通信中のＭＮが宛先であるデータのパケットをイントラネット環境の機密性レベルと同等の機密性レベルとして受信し、同等のアクセス性のレベルを有することが保障されなかった。

２つの通信中であるモバイルのうちの一つもまた、イントラネットの外に移動しようとする場合（イントラネット内部に配置されてイントラネットの外に位置したＭＮ１と通信中であるＭＮ２もまた、これからイントラネットの外に移動する場合、要するに、これからＭＮの全部がイントラネットを離脱する場合）は、上記のようなアプローチは、２つの別々のＶＰＮ、外部ＭＩＰおよび内部ＭＩＰトンネルが設定される必要性があるので、追加のシグノルリングおよびオーバーヘッドが期待される。要求される処理オーバーヘッドだけでなく、待ち時間も減少させるための一方法は、ＭＡＧがＭＮへトンネルをブリッジする方法である。処理オーバーヘッドをより大幅に減少させ、そして／または、待ち時間をさらに減少させるためには、（ＭＮ１からＭＡＧまで、そしてＭＮ２からＭＡＧまでの）２つの別々のＶＰＮトンネルが単一のエンドツーエンドＶＰＮトンネルで合わせられることが好ましい。

２つのＭＮが共にイントラネット（例えば、保護されたサブネットワーク）から離脱した状態で２つのＭＮが互いに通信するときの条件については、これまでに適切に開示されていなかった。以下では、イントラネットを離脱した２つのＭＮ間の安全な通信を望む場合の条件に関する方法および装置を開示する。これは、ＶＰＮ−ＧＷとｘ−ＨＡを、モビリティアウェア（Ｍｏｂｉｌｉｔｙ−Ａｗａｒｅ）ＶＰＮゲートウェイ（ＭＡＧ）と呼ばれる単一の実体に組み合わせることによって実現される。ＭＡＧは、ＭＮの間の安全な接続を容易にするために２つの別々のＶＰＮトンネルおよび２つの別々のＭＩＰトンネルをブリッジする。

２つのＭＮがイントラネットを離脱し、それらの間の通信を望む場合には、いくつかのステップを行うことが可能である。第１に、ＭＮは、ｘ−ＨＡへの（例えば、ｘ−ＨＡ機能性を提供するＭＡＧへの）ＭＩＰ登録を行う。第２に、ＭＮは、ＭＡＧへのセキュアＶＰＮトンネルを確立する。第３に、ＭＮは、それらの個々のｉ−ＨＡへのＭＩＰ登録を行う。このようなステップは、イントラネットを離脱したＭＮにより行われ、イントラネット内部のノードとの、または同様に登録された他のＭＮとの安全な通信を容易にする。ＭＮ１およびＭＮ２が上記ステップを行うとき、ＭＮ１およびＭＮ２は、図４のｘ−ＭＩＰＴ−１４０１、ｉ−ＭＩＰＴ−１４０２、ｘ−ＭＩＰＴ−２４０７、およびｉ−ＭＩＰＴ−２４０８を確立することができる。ｉ−ＭＩＰ−ＲＯＴ−２４１３は、ｘ−ＭＩＰＴ−２４０７とともに、１つのＭＮとイントラネットの間の安全な通信を確立するために言及された、例えば、図５乃至図１０を参照して説明したステップにより得ることができる。

表１は、ＭＡＧにより保有される情報の構造を反映するサンプルエントリを含む例示的表である。

バインディングテーブルの一例

バインディングテーブルのエントリのアップデートはＭＡＧで行われるが：ＭＡＧが保有する表は、各ＭＮがＭＡＧと形成する接続を反映するように更新される。

上記の第１のステップが行われるとき、ＭＮ識別子（ＭＮｉｄ）、ｘ−ＨｏＡ値、およびＸ−ＣｏＡ値が表に入力される。上記の第２のステップ以降は、そのｘ−ＨｏＡおよびｉ−ＨｏＡアドレスが表とマッチングする特定ＭＮに対する指示毎に、セキュリティアソシエーション識別子（ＳＡｉＤ）が追加される。ＳＡｉＤ_{ｔｏ−ＭＮ}は、ＭＡＧからＭＮへのトラフィックのために取り決められるＩＰＳｅｃＳＡのための識別子である一方、ＳＡｉＤ_{ｆｒｏｍ−ＭＮ}は、ＭＮからＭＡＧへのトラフィックのためのＩＰＳｅｃＳＡである。好ましくは、表は、ｘ−ＨｏＡをｉ−ＨｏＡにマッピングするエントリを有することに注意されたい。ｘ−ＣｏＡおよびＳＡｉＤに対する値は、第１および第２のステップの以降に入力されることも可能である。上記の第３ステップがＭＡＧに保有された表に影響を及ぼす必要は全くない。非空白（ｎｏｎ−ｅｍｐｔｙ）ｘ−ＣｏＡフィールドのエントリはＭＡＧに、モバイルがイントラネットを離脱したことを通知する。

本発明の少なくとも一つの実施形態によれば、この拡張部分と関連して議論されたように、ｉ−ＨｏＡが宛先であるパケットがＭＡＧにより受信される場合、ＭＡＧは、ｉ−ＨｏＡが対応するｘ−ＣｏＡ値と対をなすかどうかを確かめるために検査する。特定ｉ−ＨｏＡのためのｘ−ＣｏＡ値が存在する場合には、ＭＡＧは、それのプライベートアドレスが、ｉ−ＨｏＡであるＭＮがイントラネットを離脱していると判定する。従って、ＭＡＧは、それが宛先であるパケットがイントラネットに転送される必要がないことを認識する。ＭＮ１からＭＮ２へのトラフィックの流れの例を以下に述べる。

第１に、ＭＮ１は、ＭＮ１の内部送信元アドレスであるｉ−ＨｏＡ１を使用して、パケットをｉ−ＨｏＡ２（ＭＮ２の内部アドレス）に送信する。第２に、（パケットが内部送信元および宛先アドレスを有するので）ＭＮ１のＶＰＮアプリケーションが呼び出される。パケットは、ステップ（暗号化、保全性値の計算等）を通過し、ＭＡＧと取り決められたＩＰＳｅｃＳＡに従う。その後、パケットは、ｘ−ＨｏＡを送信元アドレスとして使用するＩＰヘッダーでエンカプセレーションされる。ＭＡＧのパブリックアドレスを宛先アドレスとして有する、ＭＮ１とＭＡＧの間のＸ−ＭｌＰＴ−１による安全なトンネルがパケットを移送（ｔｒａｎｓｐｏｒｔ）するのに使用される。

第３に、ＭＮ１のＭＩＰクライアントアプリケーションは、セキュアパケットをｘ−ＣｏＡ１を送信元アドレスとして使用する他のＩＰヘッダーでエンカプセレーションする。ＭＡＧのパブリックアドレスを宛先アドレスとして有するｘ−ＭＩＰＴ−１トンネルがＭＩＰパケットを移送するのに使用される。これにより、新しいＩＰヘッダーの宛先アドレスは、ＭＡＧのパブリックアドレスである。（注：本来のパケットは、好ましくは、少なくとも３つのＩＰヘッダーを有する。）

最外郭ヘッダー（ｏｕｔｅｒｍｏｓｔｈｅａｄｅｒ）の宛先がＭＡＧであるので、ＭＡＧがパケットを受信する第１番目であって、ＭＩＰヘッダーを処理し、ヘッダーを破棄する。その後、ＭＡＧは、適合したＩＰＳｅｃＳＡに従うために、内部ヘッダーおよびパケットを検査する。ＩＰＳｅｃＳＡは、送信元のＭＮ（この場合、ｉ−ＨｏＡ１）のための表１からの適合したＳＡｉＤ_{ｆｒｏｍ−ＭＮ}値（１３８８）を使用してＭＡＧにより取得される。ＳＡｉＤ_{ｆｒｏｍ−ＭＮ}値は、ＭＡＧにより保有されるセキュリティ・アソシエーション・データベース（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎＤａｔａｂａｓｅ）からＳＡを引き出すのに使用される。

パケットが、保全性検査および暗号化のために合意されたＩＰＳｅｃＳＡを満たす場合、ＭＡＧはＩＰＳｅｃヘッダーを破棄した後、最も内側のヘッダーを処理する。パケットの宛先アドレスがｉ−ＨｏＡ２の宛先アドレスであるので、ＭＡＧは表でｉ−ＨｏＡ２のためのエントリを捜し、ｘ−ＣｏＡ２に対して有効なエントリが存在するかどうかを検査する。

対応するｘ−ＣｏＡ２が存在する場合、それはｉ−ＨｏＡ２もまた企業ネットワークを離脱したことを意味する。次に、ＳＡｉＤ_{ｔｏ−ＭＮ}がＩＰＳｅｃＳＡを取得するのに使用され、それがパケットに適用される。ｉ−ＨｏＡ２のためのＳＡｉＤ_{ｔｏ−ＭＮ}は２０７６である。ＳＡｉＤ_{ｔｏ−ＭＮ}はＳＡを引き出すのに使用され、必要なセキュリティ機能がパケットに適用される。新しいＩＰヘッダーが、送信元アドレスはＭＡＧアドレスであり、宛先アドレスはｘ−ＨｏＡ２アドレスであるように付加される。ＭＡＧとＭＮ２の間の安全なトンネルがパケットを移送するのに使用される。その後、セキュアパケットは、送信元アドレスはＭＡＧのアドレスであり、宛先アドレスはｘ−ＣｏＡ２である他のＩＰヘッダー（例えば、ＭＩＰヘッダー）を使用するＸ−ＭＩＰ−Ｔ２を使用してトンネリングされる。

本発明の少なくとも一つの実施形態により、好ましくは、いくつかの特徴を提供することができる。一例として、パケットをイントラネットで送信するかどうかに関する判定は、ＭＡＧ自体で行われることもできるので、大きな待ち時間だけでなく、高いパケットオーバーヘッドをもたらす、ＭＮがイントラネットを離脱したと判定する前にパケットが常にｉ−ＨＡに移動しなければならないという非効率性を防止する。また、他の例として、イントラネットを離脱した場合にも相互通信しようとするＭＮは、少ない待ち時間で、安全かつ効率的に互いに通信することができる。

複数のＭＮの間で安全な通信を提供することが有益ではあるが、２つの互いに異なるＩＰＳｅｃＳＡに従うために同一のユーザトラフィックを復号化および再暗号化しなければならないという点で、ＭＡＧには一定量のオーバーヘッドが存在することもある。このようなオーバーヘッドは、互いに通信するように意図されたＭＮの間でエンドツーエンド（例えば、ピアツーピア）ＶＰＮ接続を生成することにより減少することがある。新しいＩＰＳｅｃＳＡ取り決めのため、既に確立されたＶＰＮトンネルを用いて通信中のモバイルの間に新しいＶＰＮ接続が確立される。

ＭＮ１がイントラネットを対象としたデータグラムを送信するとき、ＭＮ１のＶＰＮクライアントプロセスは、ＶＰＮヘッダーを暗号化して追加する。その後、ＭＩＰクライアントはＭＩＰヘッダーを追加し、データグラムをＭＡＧに転送する。一旦、パケットがデカプセレーションおよび復号化されると、ＭＡＧは、ＭＮ２がイントラネット内部に位置するかどうかを確かめるために検査する。ＭＮ２がイントラネットを離脱した場合には、ＭＡＧはローミングデータベースを参照し、ｘ−ＨｏＡを判定し、適合したＩＰＳｅｃＳＡを適用する。次に、ＨＡ実体は、ｘ−ＣｏＡ１へのデータグラムをエンカプセレーションする。

ＭＡＧにおけるパケットの復号化および再暗号化と関連するオーバーヘッドを減少させるため、以下に述べるように、いくつかのステップを実施することができる。第１に、ＭＡＧは、通信中の両モバイルが共有する鍵を誘導する。その後、ＭＡＧにより両方のＭＮに送信される共有鍵は、ＭＮにより２つのＭＮの間のＩＫＥおよびＩＰＳｅｃＳＡを取り決めるのに使用され、ＭＡＧに依存しないで、直接２つのＭＮの間に新しいエンドツーエンドのセキュアＶＰＮトンネルを生成することができる。第２に、ＭＡＧは経路最適化メッセージをデータグラムの送信元および宛先の両方に送信する。経路最適化メッセージは、鍵分配の一部として抱き合わせにする（ｐｉｇｇｙｂａｃｋｉｎｇ）ことができる。第３に、ＭＮ２のためのＭＮ１からのデータグラムが、エンドツーエンドのセキュアトンネルを使用して送信され、ＭＮ２のｘ−ＣｏＡ２へのｘ−ＭＩＰＴ−３を使用してエンカプセレーションされる。イントラネット内部のノードを対象としたＭＮ１からの他のデータグラムは、ｘ−ＭＩＰＴ−１およびｘ−ＭＩＰＴ−１に沿って存在するＶＰＮトンネルを使用する。

本発明の少なくとも一つの実施形態によるＭＮ間でエンドツーエンドＶＰＮトンネルを提供するいくつかの態様は、少なくとも一部の状況で有用である。第１に、ＭＡＧがＳＡに従うために復号化し、再暗号化するのが不要である。第２に、確立されるトンネルは、一般的に、三角形ルーティングを防止する、可能な最短パス（ｔｈｅｓｈｏｒｔｅｓｔｐａｔｈｐｏｓｓｉｂｌｅ）である。第３に、ＭＮによる移動（例えば、ｘ−ＣｏＡアドレスの変更）の場合、トラフィックのルーティングの更新が往復時間の半分（１／２ＲＴＴ）で行われることがあるので、実時間アプリケーションのため許容される待ち時間を大幅には増加させない。

本発明の少なくとも一つの実施形態によれば、ＭＮ１とＭＮ２の間のエンドツーエンドＶＰＮトンネルおよびＭＮ１とＭＮ２の間の対応するエンドツーエンドＭＩＰ経路最適化トンネルが生成される。別々のＶＰＮトンネルおよびＭＩＰトンネルにおける向上は、経路最適化されたパスがトラバースされることだけでなく、パケットがＭＡＧで復号化および再暗号化される必要がないということである。他の利点は、新しいＳＡおよびＭＩＰトンネルを生成するためのシグナリングメッセージが、既に確立されたセキュアＶＰＮトンネルを通じて移送されることである。

また、２つのＭＮ間の通信は経路最適化され、これによって、ＭＡＧで終結されずに、ＭＮ１とＭＮ２の間で新しいＭＩＰトンネルｘ−ＭＩＰ−ＲＯＴ−３が実行される。このような最適化は、ＭＡＧからＭＮの各々に至るセキュアトンネルが存在することを認知しているので、経路最適化されたエンドツーエンドのセキュアトンネルを実現するための可能性を認知することができるＭＡＧによって開始されることが好ましい。ＭＡＧは、ＭＮが別々のＶＰＮトンネルを通じて通信中であるという事実を認知したときに、最適化手順を開始する。このような最適化手順の一例は、以下に述べるステップのとおりである。第１に、ＭＡＧは共有鍵を発生させる。第２に、ＭＡＧは、セキュアＶＰＮトンネルを通じて共有鍵を分配するだけでなく、ＭＮの間のＩＰＳｅｃ取り決めを始めるようにＭＮに指示する。第３に、ＭＮは、新しく取得した鍵を利用してＩＫＥ手順を開始し、ＩＰＳｅｃＳＡを確立する。第４に、ＭＡＧは、ＭＩＰ経路最適化メッセージを両方のＭＮに送信する。第５に、それぞれのＭＮは、それのバインディングアップデート表を更新し、ＭＩＰトンネル終端点での変化を反映する。

ＭＡＧが、ＭＮがＭＡＧをトラバースする分割されたトンネルを介して通信中であることを認識したとき、ＭＡＧは、ＭＮの間に安全なピアツーピアＶＰＮ接続を設定するのに使用され得る共有鍵を発生させる。その後、ＭＡＧは、この鍵を両方のＭＮに分配するだけでなく、ＭＮの間のＩＰＳｅｃＳＡを生成することをＭＮに指示する。また、ＭＡＧは、ＭＮの外部アドレスをお互いに送信する。次に、ＭＮは、ＭＮ自体の間でＩＫＥ手順を開始し、新しいＩＰＳｅｃＳＡが生成される。ＭＮの間で取り決められるこれらのＳＡは、ＭＡＧを必要としない。次に、ＭＮの間のいかなる通信も、新しいＳＡにより保護される。その後、ＭＡＧは、ＭＮの各々の現在のＣｏＡを含む経路最適化メッセージを送信する。ＭＮは、経路最適化メッセージの受信時に、それらの内部バインディングエントリを更新する。

ＭＮ１とＭＮ２間のトラフィックの流れの一例を以下に述べる。第１に、ＭＮ１は、ｉ−ＨｏＡ１を使用して、プライベートアドレスがｉ−ＨｏＡ２であるＭＮ２にパケットを送信する。第２に、ＭＮ１のＶＰＮアプリケーションが呼び出され、パケットは、ＭＮ２と取り決められた新しいＩＰＳｅｃＳＡに従うためのステップを通過する。その後、パケットは、ｘ−ＨｏＡ１を送信元アドレスとして使用するＩＰヘッダーでエンカプセレーションされる。送信元アドレスとしてｘ−ＨｏＡ１を、そしてｘ−ＨｏＡ２の宛先アドレスを有するｘ−ＭＩＰ−ＲＯＴ−３に沿って提供されるセキュアＶＰＮトンネルを使用してパケットが移送される。第３に、ＭＮ１のＭＩＰクライアントアプリケーションはセキュアパケットを、ｘ−ＣｏＡ１を送信元アドレスとして使用する他のＩＰヘッダーでエンカプセレーションする。セキュアパケットは、ｘ−ＣｏＡ１を送信元アドレスとして有するｘ−ＭＩＰ−ＲＯＴ−３によって移送される。ｘ−ＭＩＰ−ＲＯＴ３トンネルと併用される新しいＩＰヘッダーの宛先アドレスは、宛先アドレスがＭＡＧのアドレスである、ＭＡＧを通じたＭＮ対ＭＮ通信の場合と異なり、ｘ−ＣｏＡ２（つまり、ＭＮ２の気付アドレス）である。第４に、ｘ−ＣｏＡ２が宛先であるので、ＭＮ２は、パケットを受信し、外側のＭＩＰヘッダーを破棄する。第５に、その後、ＭＮ２は内側のヘッダを検査し、パケットが適合したＩＰＳｅｃＳＡに従っているかどうかを検査する。第６に、ＳＡにより、ＩＰＳｅｃヘッダーもまた破棄され、送信元アドレスとしてのｉ−ＨｏＡ１およびｉ−ＨｏＡ２の宛先を有する元のパケットがアプリケーションによって処理される。ＭＮの各々には、通信中のピアとの新しいＶＰＮ接続生成について通知する。

本発明の少なくとも一つの実施形態によれば、以下に述べる一つ以上の特徴は、通信中のＭＮの間にエンドツーエンドのセキュアトンネルを確立することに関連して実現されることができる。ＭＡＧを通じたＭＮ対ＭＮ通信の場合と異なり、ＳＡに従うために、ＭＡＧが通信を復号化し再暗号化することが不要である。ＭＡＧでの負荷は、特に、ＭＡＧが複数のＣＮおよびＭＮをサービング中である場合なら大幅に減少することができる。また、ＭＡＧでのパケットの復号化、再暗号化、および再トンネリングにより、ユーザトラフィックによって発生する待ち時間を完全に防止することができる。さらには、確立されるトンネルは、三角形ルーティングを防止するとともに、可能な最短パスになるように選択することも可能である（そして、できるだけ最短パスであることが好ましい）。

図４は、本発明の少なくとも一つの実施形態による、ＭＮ１１０３およびＭＮ２１０４を含むエレメント間の接続を例示する図である。同図は、ＭＮ１１０３、ＣＮ１１０、ｉ−ＨＡ２１０９、ＭＡＧ１０５、ｉ−ＨＡ１１０８、およびＭＮ２１０４を含むエレメントを示す垂直線を含む。ＣＮ１１０、ｉ−ＨＡ２１０９、ＭＡＧ１０５、およびｉ−ＨＡ１１０８は、イントラネット１０１内に存在することが好ましい。図面は、エレメント間の接続を示す水平線を含む。

第１に、ＭＮ１１０３とＭＡＧ１０５の間にＶＰＮおよびｘ−ＭＩＰＴ−１４０１が確立される。インターネット鍵交換（ＩＫＥ）取り決め、インターネット・プロトコル・セキュリティ（ＩＰＳｅｃ）セキュリティ・アソシエーション（ＳＡ）生成、およびアドレス割り当てのような、ＶＰＮトンネルを確立するための通信ならびにｘ−ＭＩＰ登録要請がＭＮ１１０３からＭＡＧ１０５への通信４０３によって発生する。ＶＰＮトンネルを確立するための追加的な通信およびｘ−ＭＩＰ登録応答は、ＭＡＧ１０５からＭＮ１１０３への通信４０４によって発生する。ｉ−ＭＩＰＴ−１４０２がＭＡＧ１０５とｉ−ＨＡ１１０８の間に確立される。ｉ−ＭＩＰ登録要請４０５がＭＮ１１０３からｉ−ＨＡ１１０８に通信される。ｉ−ＭＩＰ登録応答がｉ−ＨＡ１１０８からＭＮ１１０３に通信される。

第２に、ＶＰＮおよびｘ−ＭＩＰＴ−２４０７がＭＮ２１０４とＭＡＧ１０５の間に確立される。インターネット鍵交換（ＩＫＥ）取り決め、インターネット・プロトコル・セキュリティ（ＩＰＳｅｃ）セキュリティ・アソシエーション（ＳＡ）生成、およびアドレス割り当てのような、ＶＰＮトンネルを確立するための通信ならびにｘ−ＭＩＰ登録要請がＭＮ２１０４からＭＡＧ１０５への通信４０９によって発生する。ＶＰＮトンネルを確立するための追加的な通信およびｘ−ＭＩＰ登録応答は、ＭＡＧ１０５からＭＮ２１０４への通信４１０によって発生する。ｉ−ＭＩＰＴ−２４０８がＭＡＧ１０５とｉ−ＨＡ２１０９の間に確立される。ｉ−ＭＩＰ登録要請４１１がＭＮ２１０４からｉ−ＨＡ２１０９に通信される。ｉ−ＭＩＰ登録応答がｉ−ＨＡ２１０９からＭＮ２１０４に通信される。

第３に、経路最適化が行われてｉ−ＭＩＰＴ−２４０８を交換し、これによって、ＭＡＧ１０５とＣＮ１１０の間にｉ−ＭＩＰ−ＲＯＴ−２４１３が存在する。ＲＯバインディングアップデート４１４がｉ−ＨＡ２１０９からＣＮ１１０に通信される。ＲＯバインディング肯定応答４１５がＣＮ１１０からｉ−ＨＡ２１０９に通信される。

第４に、ＭＮ１１０３とＭＮ２１０４の間の通信が望まれる場合、ＭＡＧ１０５は、通信でｉ−ＨＡ１１０８およびｉ−ＨＡ２１０９を必要とする非効率性を認識し、ｘ−ＭＩＰＴ−１４０１とｘ−ＭＩＰＴ−２４０７（およびそれらの個々のＶＰＮトンネル）をブリッジし、ＭＮ１１０３とＭＮ２１０４の間の待ち時間が減少したより効率的な通信を容易にする。

第５に、経路最適化が行われ、ＭＮ１１０３とＭＮ２１０４の間にエンドツーエンドＶＰＮトンネルおよび経路最適化されたｘ−ＭＩＰ−ＲＯＴ−３４１６が確立される。ＭＡＧ１０５は、ＭＮ１１０３およびＭＮ２１０４が、それらのトラフィックがＭＡＧ１０５を通過する必要なく、互いに通信することができる（例えば、ＭＮ１１０３およびＭＮ２１０４が共通ネットワークを介してお互いに到達可能である）と判定する。好ましくは、一例として、ＭＮ１１０３とＭＮ２１０４の間に暗号でセキュリティが施されたリンク（例えば、セキュアトンネル）の確立のため、ＭＡＧ１０５は、暗号鍵を誘導し、暗号鍵をＭＮ１１０３およびＭＮ２１０４のうちの少なくとも一つに分配する。また他の一例としては、ＭＮ１１０３とＭＮ２１０４の間に、暗号鍵の発生および分配を行うための通信４１７が発生し、ＭＮ１１０３とＭＮ２１０４の間にＶＰＮトンネルが確立される。ＭＮ１１０３とＭＮ２１０４の間に、ＭＮ１１０３とＭＮ２１０４の間のＩＫＥ取り決めおよびＩＰＳｅｃＳＡ生成を行うための通信４１８が発生し、ＭＮ１１０３とＭＮ２１０４の間にＶＰＮトンネルが確立される。ｘ−ＣｏＡ１（ＭＮ１の外部気付アドレス）を通信するためのＲＯバインディングアップデート４１９がＭＡＧ１０５からＭＮ２１０４に通信される。ｘ−ＣｏＡ２（ＭＮ２の気付アドレス）を通信するためのＲＯバインディングアップデート４２０がＭＡＧ１０５によってＭＮ１１０３に送信される。これによって、ＭＮ１１０３およびＭＮ２１０４は、トンネルｘ−ＭＩＰ−ＲＯＴ−３４１６を使用してＭＮ１とＭＮ２の間で直接にエンドツーエンドＶＰＮトンネルに沿って、少ない待ち時間でで効率的に通信することができる。セキュリティゲートウェイ（例えば、ＭＡＧ１０５）において、第１の移動ノード（例えば、ＭＮ１１０３）と第２の移動ノード（例えば、ＭＮ２１０４）の間の通信をブリッジすることにより、第１の内部通信トンネル（例えば、ｉ−ＭＩＰＴ−１４０２）および第２の内部通信トンネル（例えば、ｉ−ＭＩＰＴ−２４０８）は、第１の移動ノードと第２の移動ノードの間の通信を伝達する必要がない。

図１１は、本発明の少なくとも一つの実施形態による、第１のＭＮと第２のＭＮの間の通信を含む方法を例示するフローチャートである。ステップ１１０１では、第１の内部通信トンネルが、セキュリティゲートウェイを経由して第１の移動ノードと第１の内部ホームエージェントの間で確立される。ステップ１１０２では、第２の内部通信トンネルが、セキュリティゲートウェイを経由して第２の移動ノードと第２の内部ホームエージェントの間で確立される。

ステップ１１０３では、第１の内部通信トンネルが変更され、第１の移動ノードと対応ノードの間に経路最適化された第１の内部通信トンネルを形成する。ステップ１１０３は、ステップ１１０４およびステップ１１０５を含むこともできる。ステップ１１０４では、第１の内部経路最適化バインディングアップデートが第１の内部ホームエージェントから対応ノードに通信される。ステップ１１０５では、第１の内部経路最適化バインディング肯定応答が対応ノードから第１の内部ホームエージェントに通信される。

ステップ１１０６では、第１の内部通信トンネルおよび第２の内部通信トンネルがセキュリティゲートウェイでブリッジされ、第１の移動ノードと第２の移動ノードの間に待ち時間の少ない安全な通信を提供する。ステップ１１０６は、第１の移動ノードと第２の移動ノードの間にエンドツーエンドのセキュアトンネルが確立されるステップ１１０７を含むことこともできる。ステップ１１０７は、ステップ１１０８、ステップ１１０９、およびステップ１１１０を含むこともできる。ステップ１１０８では、暗号鍵情報が第１の移動ノードと第２の移動ノードの間で通信される。ステップ１１０９では、エンドツーエンドのセキュアトンネルのためのセキュリティアソシエーションが生成される。ステップ１１１０では、経路最適化バインディングアップデートがセキュリティゲートウェイから第１の移動ノードおよび第２の移動ノードに通信される。

本発明の少なくとも一つの実施形態によれば、実時間アプリケーションのため、三角形の経路およびその影響、つまり、ＭＡＧでの復号化、再暗号化、および再トンネリングによってもたらされる待ち時間を防止することができる。このような待ち時間を防止する利点は、異種無線アクセスの間、または、移動性の高い環境（ｈｉｇｈｌｙｍｏｂｉｌｅｅｎｖｉｒｏｎｍｅｎｔ）でセッションの連続性が要求されることにより、セッションの連続性要求事項が、このような待ち時間のため発生する通信損傷を悪化させるときにより拡大される。

図１２は、本発明の少なくとも一つの実施形態により通信される情報を例示するブロック図である。イントラネット１２０１は、ＭＡＧ１２０２、ｉ−ＨＡ１２０３、およびＣＮ１２０４を有する。第１のＭＮ１２０５および第２のＭＮ１２０６は、ＭＡＧ１２０２に影響を及ぼすように（ｏｐｅｒａｔｉｖｅｌｙ）カップリングされる。ＭＮ１は、メッセージ１２１９をＭＡＧ１２０２に通信する。メッセージ１２１９はデータ１２０７を有する。ヘッダー１２０８がデータ１２０７に追加されている。ヘッダー１２０８は、メッセージ１２１９がｉ−ＭＮ１の送信元およびｉ−ＭＮ２の宛先を有することを指示する。ヘッダー１２０９がデータ１２０７およびヘッダー１２０８に追加されている。ヘッダー１２０９は、メッセージ１２１９がｘ−ＨｏＡ１の送信元およびｉ−ＭＡＧの宛先を有することを指示する。ヘッダー１２１０がデータ１２０７およびヘッダー１２０８および１２０９に追加されている。ヘッダー１２１０は、メッセージ１２１９がＣｏＡの送信元およびＭＡＧの宛先を有することを指示する。最外郭（ｏｕｔｅｒｍｏｓｔ）ヘッダーとして、ヘッダー１２１０はＭＡＧの宛先を指示し、メッセージ１２１９はその固有のアドレスであるＭＡＧ１２０２に送信されるので、ＭＡＧ１２０２が後続ヘッダーを処理する。ＭＡＧ１２０２は、ヘッダー１２１０を除去し、ヘッダー１２０９がその固有のアドレスであるｉ−ＭＡＧの宛先を指示すると判定するので、ＭＡＧ１２０２が後続ヘッダーを処理する。ＭＡＧ１２０２は、ヘッダ１２０９を除去してメッセージ１２２０を取得し、ヘッダー１２０８がｉ−ＭＮ２の宛先を指示すると判定する。ＭＡＧ１２０２は表を参照し、メッセージ１２２０に、ＭＡＧの送信元およびｘ−ＨｏＡ２の宛先を指示するヘッダー１２１４を追加する。ＭＡＧ１２０２は、ＭＡＧの送信元およびｘ−ＣｏＡ２の宛先を指示するヘッダー１２１３を追加することで、メッセージ１２２１を発生させる。パケットの宛先がＭＮ２１２０６の気付アドレスであるｘ−ＣｏＡ２であるので、ＭＮ２１２０６がパケットを受信し、次いで、ＭＮ２によりメッセージ１２２１からヘッダー１２１３が除去される。（ＭＮ２が先に確立されたＳＡによってメッセージの保全性および／または真正性（ａｕｔｈｅｎｔｉｃｉｔｙ）を確認した後）ヘッダー１２１４もまた、ＭＮ２によりメッセージ１２２１から除去され、データ１２０７と、ｉ−ＭＮ１の送信元およびｉ−ＭＮ２の宛先を指示するヘッダー１２０８とを有するメッセージ１２２２を発生させる。このようにして、データ１２０７がＭＮ２１２０６のアプリケーションに通信される。

以上のように、移動ノードの間に待ち時間の少ない安全なセッションの連続性を提供するための方法および装置を説明した。本発明の多様な態様による多様な変更および変形の実現は当業者に明らかであり、また、本発明は、上述の特定の実施形態に限られるものではない。よって、請求の範囲で定義している本発明の基本概念を利用した当業者の多様な変形、改良形態または等価物は本発明の権利範囲に属するものである

本発明の少なくとも一つの実施形態による装置を例示するブロック図である。本発明の少なくとも一つの実施形態によるモバイルアウェア・ゲートウェイ（ｍｏｂｉｌｅ−ａｗａｒｅｇａｔｅｗａｙ）（ＭＡＧ）１０５を例示するブロック図である。本発明の少なくとも一つの実施形態によるＭＮ１０３／１０４およびＣＮ１１０を含むエレメント間の接続を例示する図である。本発明の少なくとも一つの実施形態によるＭＮ１１０３およびＭＮ２１０４を含むエレメント間の接続を例示する図である。本発明の少なくとも一つの実施形態によるＭＮとＣＮの間の通信を含む方法を例示するフローチャートである。本発明の少なくとも一つの実施形態による図５のステップ５０１を実施する方法を例示するフローチャートである。本発明の少なくとも一つの実施形態による図５のステップ５０３を実施する方法を例示するフローチャートである。本発明の少なくとも一つの実施形態による図５のステップ５０６を実施する方法を例示するフローチャートである。本発明の少なくとも一つの実施形態による図５のステップ５０２を実施する方法を例示するフローチャートである。本発明の少なくとも一つの実施形態による図５のステップ５０５を実施する方法を例示するフローチャートである。本発明の少なくとも一つの実施形態による第１のＭＮと第２のＭＮの間の通信を含む方法を例示するフローチャートである。本発明の少なくとも一つの実施形態による通信される情報を例示するブロック図である。

Claims

セキュリティゲートウェイを経由し、第１の移動ノードと第１の内部ホームエージェントの間に第１の内部通信トンネルを確立するステップと、
前記セキュリティゲートウェイを経由し、第２の移動ノードと第２の内部ホームエージェントの間に第２の内部通信トンネルを確立するステップと、
前記セキュリティゲートウェイで、前記第１の内部通信トンネルおよび前記第２の内部通信トンネルが前記第１の移動ノードと前記第２の移動ノードの間の通信を伝達するのが不要になるように、前記第１の移動ノードと前記第２の移動ノードの間の前記通信をブリッジするステップと、
を含む方法。
前記第１の移動ノードからのデータの宛先が前記セキュリティゲートウェイにより確立された境界を有するイントラネットを離脱した第２の移動ノードであるかどうかを判定するため、バインディングテーブルのバインディングテーブルエントリを検査するステップをさらに含む、請求項１に記載の方法。
前記バインディングテーブルエントリを検査する前記ステップは、
前記バインディングテーブルで、前記第２の移動ノードのための外部気付アドレスフィールドの内容を判定するために検査するステップをさらに含む、請求項２に記載の方法。
前記バインディングテーブルで前記第２の移動ノードのための外部ＣｏＡフィールドの内容を判定するために検査する前記ステップは、
前記第２の移動ノードのための前記外部ＣｏＡフィールドが空白でない場合、前記第２の移動ノードが前記イントラネットを離脱したと判定するステップをさらに含む、請求項３に記載の方法。
前記データにヘッダーを追加するステップであって、前記ヘッダーは、ルーティングヘッダーおよび仮想プライベートネットワーク（ＶＰＮ）ヘッダーを有し、前記ＶＰＮヘッダーは、前記バインディングテーブルに格納されたセキュリティアソシエーション識別子（ＳＡｉＤ）から誘導されるステップをさらに含む、請求項２に記載の方法。
前記第１の移動ノードおよび前記第２の移動ノードから選択された移動ノードで通信されるデータにヘッダーを追加するステップであって、前記ヘッダーは、ルーティングヘッダーおよびＶＰＮ（ｖｉｒｔｕａｌｐｒｉｖａｔｅｎｅｔｗｏｒｋ）ヘッダーを有し、前記ＶＰＮヘッダーは、バインディングテーブルに格納されたセキュリティアソシエーション識別子（ＳＡｉＤ）から誘導される、請求項１に記載の方法。
前記移動ノードのためのアドレス指定情報を前記バインディングテーブルに格納するステップをさらに含む、請求項６に記載の方法。
前記移動ノードのための前記アドレス指定情報を前記バインディングテーブルに格納する前記ステップは、
前記移動ノードの外部ホームアドレス、前記移動ノードの内部ホームアドレスおよび前記移動ノードの外部ＣｏＡを前記バインディングテーブルに格納するステップをさらに含む、請求項７に記載の方法。
前記バインディングテーブルに格納されたＳＡｉＤは、前記移動ノードから前記セキュリティゲートウェイに適用可能な第１のＳＡｉＤおよび前記セキュリティゲートウェイから前記移動ノードに適用可能な第２のＳＡｉＤを有する、請求項８に記載の方法。
前記セキュリティゲートウェイを経由し、前記第１の移動ノードと前記第１の内部ホームエージェントの間に前記第１の内部通信トンネルを確立する前記ステップは、
前記第１の内部ホームエージェントへの前記第１の移動ノードのモバイルインターネットプロトコル（ＭＩＰ）登録を行うステップをさらに含む、請求項１に記載の方法。
前記第１の内部ホームエージェントへの前記第１の移動ノードのＭＩＰ登録を行う前記ステップは、
前記セキュリティゲートウェイのプライベートアドレスを前記第１の移動ノードの第１の内部ＣｏＡとして使用するステップをさらに含む、請求項１０に記載の方法。
前記第１の移動ノードと第１の外部ホームエージェントの間に第１の外部通信トンネルを確立するステップをさらに含む、請求項１１に記載の方法。
前記第１の外部通信トンネルを確立する前記ステップは、
前記セキュリティゲートウェイと前記第１の移動ノードの第１の外部ＣｏＡの間に前記第１の外部通信トンネルを確立するステップをさらに含む、請求項１２に記載の方法。
前記第１の外部トンネルを確立する前記ステップは、
第１の外部ホームエージェントへのＭＩＰ登録を行うステップをさらに含む、請求項１２に記載の方法。
前記第１の移動ノードと前記セキュリティゲートウェイの間に第１の外部セキュアトンネルを確立するステップをさらに含む、請求項１２に記載の方法。
前記第１の外部セキュアトンネルを確立する前記ステップは、
前記セキュリティゲートウェイと前記第１の移動ノードの第１の外部ホームアドレスの間に第１の仮想プライベートネットワーク（ＶＰＮ）を確立するステップをさらに含む、請求項１５に記載の方法。
第１の移動ノードと、
第１の内部通信トンネルを経由して前記第１の移動ノードにカップリングされた第１のホームエージェントと、
第２の移動ノードと、
第２の内部通信トンネルを経由して前記第２の移動ノードにカップリングされた第２のホームエージェントと、
前記第１の内部通信トンネルおよび前記第２の内部通信トンネルにカップリングされたセキュリティゲートウェイであって、前記セキュリティゲートウェイは、前記第１の内部通信トンネルおよび前記第２の内部通信トンネルが前記第１の移動ノードと前記第２の移動ノードの間の通信を伝達することが不要になるように、前記第１の移動ノードと前記第２の移動ノードの間の通信をブリッジする、セキュリティゲートウェイとを備える装置。
前記セキュリティゲートウェイは、前記第１の移動ノードおよび前記第２の移動ノードのためのアドレス指定情報を含むバインディングテーブルエントリを有するバインディングテーブルを保持する、請求項１７に記載の装置。
前記アドレス指定情報は、前記第１の移動ノードのための第１の外部ホームアドレスおよび前記第１の移動ノードのための第１の内部ホームアドレスを備える、請求項１８に記載の装置。
前記第１の移動ノードが前記セキュリティゲートウェイにより境界付けられたイントラネットを離脱する場合、前記アドレス指定情報は、前記第１の移動ノードのための第１の外部ＣｏＡをさらに備える、請求項１９に記載の装置。