JP2010504714A - Ｍｏｂｉｋｅベースのモバイルアプリケーションにおけるｎｓｉｓシグナリングの最適化方法 - Google Patents

Abstract

本発明はモバイルノードのシグナリングオーバヘッドを低減する方法に関する。モバイルノードは、少なくとも１つのアクティブなＮＳＩＳシグナリングセッションを保持するものであり、バーチャルプライベートネットワークのＶＰＮゲートウェイとのMOBIKEコネクションを有しており、インターネットへのモバイルノードのリンクポイントを変更する。本発明によれば、ＶＰＮゲートウェイの少なくとも１つのＩＰアドレスおよび／またはＶＰＮゲートウェイのサブネットと一致するアドレス空間を、ＮＳＩＳシグナリングメッセージに含まれるＭＲＩオブジェクトに挿入し、セキュリティパラメータインデックスのためのＳＰＩ値をセットし、ＳＰＩ値をＭＲＩオブジェクトに挿入し、ＭＲＩオブジェクトのＳフラグをセットし、モバイルノードのＩＰアドレスに関係するアドレス空間をＭＲＩオブジェクトに挿入するステップが設けられている。

Description

本発明は、請求項１の上位概念に記載のモバイルノードのシグナリングオーバヘッドを低減する方法に関する。この場合、モバイルノードは少なくとも１つのアクティブなNext-Steps-In-Signalingシグナリングセッションを保持し、バーチャルプライベートネットワーク（virtual private network VPN）ゲートウェイとのMOBIKEコネクションを有しており、インターネットへの自身のリンクポイントを変更する。

バーチャルプライベートネットワーク（ＶＰＮ）は、プライベートデータを転送するためにオフィシャルネットワークたとえばインターネットを利用するコンピュータネットワークである。ＶＰＮの加入者は、内部のローカルネットワーク（Local Area Network; LAN）内でのようにデータを交換することができる。個々の加入者自体がそのためにダイレクトに接続されている必要はない。オフィシャルネットワークを介したコネクションは一般に暗号化されている。いわゆるＶＰＮクライアントを利用する加入者と、いわゆるＶＰＮサーバを提供する自身のホームネットワークとのコネクションは、ＶＰＮクライアントとＶＰＮサーバとの間のトンネルを介して実現される。この場合、たいていはトンネルは保護されるが、保護されていない平文トンネルをＶＰＮクライアントとＶＰＮサーバとを接続するために利用することができる。

ＶＰＮはたとえば、組織または企業の外にいる従業員が内部のネットワークへアクセスできるようにするために用いることができる。その際に従業員のコンピュータは、企業のＶＰＮゲートウェイに対するＶＰＮコネクションを確立する。そしてこのコネクションを介して従業員は、あたかも企業のローカルネットワークにいるようにして仕事をすることができるようになる。

ＶＰＮにおいてデータを確実に伝送できるようにするためには特別なプロトコルが必要とされる。この種のプロトコルのグループは、ＩＰセキュリティ（IPsec）として包括されたかたちで知られている。たとえばこれにはInternet Key Exchange Version 2 (IKEv2)が属している。このプロトコルは、他のプロトコルの暗号化メカニズムにより必要とされるキーを生成する役割を担っている。IPsecを利用して構築されるＶＰＮコネクションのためのトンネルは、IPsecトンネルとも称する。Mobile-Internet-Key-Exchange-Protokoll (MOBIKE-Protokoll)によってIPsecに含まれているIKEv2が拡張され、これによればＶＰＮクライアントはネットワークへのそのリンクポイントを変更できるようになり、その際にクライアントのInternet-Protokoll (IP)アドレスが変更されてそのＶＰＮセッションを新たに確立しなおす必要はない。

典型的なＶＰＮシナリオによれば、ＶＰＮクライアントとＶＰＮゲートウェイはIPsecトンネルを介してデータを交換する。ＶＰＮクライアントがモバイルノード（ＭＫ）たとえばラップトップコンピュータ、パームトップコンピュータ、パーソナルディジタルアシスタント（ＰＤＡ）等であり、これがインターネットへの自身のリンクポイントを変更した場合には、そのＩＰアドレスも変更される。MOBIKEプロトコルには、このようなアドレス変更をＶＰＮシナリオにおいてどのようにして効果的に適用されるのかが記述されている。モバイルノード（ＭＫ）がNext-Steps-In-Signaling (NSIS)シグナリングセッションを既述のトンネルのために初期化したときには、モバイルノードのＩＰアドレス変更に追従できるようにする目的で、リンクノード変更に際してトンネルパスないしはトンネル経路に沿ってシグナリングに関与するNSIS対応のすべてのノードの状態を更新しなければならない。このプロセスはオーバヘッドを成すものであり、これはモバイルノード（ＭＫ）がそのリンクポイントを頻繁に変更すればするほど大きくなる。しかも上述のNSISノードリソースがIPsecトンネルのデータストリームのために確保されてしまっていると、リソースの余分な浪費も発生する可能性がある。たとえば伝送速度、帯域幅といったこの種のリソースリザーブが確保されるのはたとえば、シグナリングがQuality of Service (QoS)シグナリングのときであり、たとえばNSISワークグループにより作成されたQoS-NSLP (Quality of Service NSIS Signaling Layer Protocol)のときである。この場合、アドレス変更と上述の状態更新との間の期間中、確保されているリソースをIPsecトンネルのデータストリームのためにも他の個所でも利用できないことから、上述の浪費が発生する。つまりこのことは、パス沿いのすべてのNSISノードの更新が完了するまで、データストリームはそのために予約されているリソースを要求できないことを意味する。ひいては、冒頭で挙げたQoSの保証を遵守できないことも意味する。ユーザにとってみれば、たとえば伝送速度が著しく劣化するということで、これに気づかされることになる。

従来技術によれば、MOBIKE環境におけるモバイルノードのリンクポイント変更に際してNSISシグナリングの最適化を実現するソリューションは知られていない。NSISワークグループの研究報告には、モバイルシナリオにおいてNSISシグナリングプロトコルをどのように利用するのかという基本的な手法だけしか記載されていない。この方法によれば、モバイルノードは自身のＩＰアドレスが変更されたときに必ずシグナリングメッセージを送信することが要求されている。このメッセージの役割は、シグナリングセッションに関与するNSISノードの状態をモバイルノードの現在のＩＰアドレスとともに更新することである。

したがって本発明の課題は、上述の遅延ひいてはそれに付随して生じるリソースの浪費を阻止する方法を提供することにある。

この課題は請求項1記載の方法によって解決される。従属請求項および以下の説明には本発明の有利な実施形態が示されている。

本発明は、モバイルノードのシグナリングオーバヘッドもしくはリソース浪費を低減する方法であって、このようなシグナリングオーバヘッドもしくはリソース浪費が発生する可能性があるのは、モバイルノードが少なくとも１つのアクティブなＮＳＩＳ（Next-Steps-In-Signaling）シグナリングセッションを保持し、バーチャルプライベートネットワーク（virtual private network ）のＶＰＮゲートウェイとのMOBIKEコネクションを有し、インターネットへのこのモバイルノードのリンクポイントを変更する場合である。本発明によれば、
−ＶＰＮゲートウェイの少なくとも１つのＩＰアドレスおよび／またはこのＶＰＮゲートウェイのサブネットと一致するアドレス空間を、Gernral Internet Signaling Transport (GIST)プロトコルに準拠してＮＳＩＳシグナリングメッセージに含まれるルーティング情報（Message Routing Information, MRI）オブジェクトすなわちＭＲＩオブジェクトに挿入するステップと、
−セキュリティパラメータインデックス（Security Parameter Index）のための値すなわちＳＰＩ値をセットするステップと、
このＳＰＩ値をＭＲＩオブジェクトに挿入するステップと、
ＧＩＳＴプロトコルで定義されているＭＲＩオブジェクト内のＳフラグをセットするステップと、
モバイルノードのＩＰアドレスに関係するアドレス空間をＭＲＩオブジェクトに挿入するステップが設けられている。

モバイルノードのＩＰアドレスに関係するアドレス空間は、モバイルノードのＩＰアドレスとプレフィックスの記述により指定される。プレフィックスによって、モバイルノードのＩＰアドレスが所属のアドレス空間を離れることなくモバイルノードのＩＰアドレスのどのパートを変更可能であるかが指定される。ＧＩＳＴ標準によればシグナリングセッションに関与するＮＳＩＳノードは、モバイルノードのＩＰアドレスとプレフィックスを含むペアによって定義されるＩＰアドレス範囲を利用し、これによってＩＰｓｅｃトンネルのデータストリームに属するパケットを識別することができる。正確には、データパケットがデータストリームに属することになるのは、ＩＰヘッダに記述されているモバイルノードのＩＰアドレスがこのアドレス範囲内にある場合である。ここでモバイルノードのＩＰアドレスがこのアドレス範囲内で変化しても、ＩＰｓｅｃトンネルのパスないしは経路に沿ったＮＳＩＳノードの状態の更新をもはや行う必要はない。これによりオーバヘッドおよび場合によっては生じるリソース浪費が効果的に低減ないしは回避される。モバイルノードとMOBIKEサーバ間のデータストリームを、遅延なく流し続けることができる。

本発明による方法の１つの有利な実施形態によれば、モバイルノードのＩＰアドレスのためのアドレス空間が記述され、このアドレス空間には、モバイルノードの通常の移動を考慮して予期されるべきモバイルノードに対して可能なＩＰアドレスが含まれる。この場合に考えられるのは、モバイルノードの動きを監視し、その移動中にモバイルノードに割り当てられるＩＰアドレスを記憶し、そこから有利な移動プロファイルとアドレス空間を導出することであり、このアドレス空間には、求められた有利な動き空間内でモバイルノードに割り当てられたＩＰアドレスが含まれている。

本発明の１つの有利な実施形態によれば、モバイルノードは有利にはＶＰＮゲートウェイのためのただ１つのＩＰアドレスをＭＲＩオブジェクトにおいて記述し、自身のＩＰアドレスのためのアドレス空間をできるかぎり制限する。これが有用となるのは、モバイルノードが現在、自身の目下のＩＰアドレスに属し自身のアクセスネットワークに割り当てられたアドレス空間内でのみ移動する場合である。このようなケースは、モバイルノードが自由に移動可能である大きな企業または組織において頻繁に発生する。アドレス空間内にあるＩＰアドレスと、まえもって定められているＩＰアドレスから新たなＩＰアドレスまで隔たることのできる範囲の記述によって、アドレス空間を指定することができる。モバイルノードが自身のＩＰアドレスがあるアドレス空間をできるかぎり制限することによって、衝突の発生する確率が低減される。

本発明による方法のこれまで説明してきたすべての実施形態において考えられるのは、それぞれ異なるモバイルノードと同一のＶＰＮゲートウェイとの間で形成される種々のＩＰｓｅｃトンネル間の衝突が避けられるよう、ＳＰＩ値をＶＰＮゲートウェイにより設定することである。ＶＰＮゲートウェイは、ＶＰＮ内においてＭＯＢＩＫＥ標準に従い構築されるモバイルノードからＶＰＮへのそれぞれ異なる複数のＩＰｓｅｃトンネルに対し同じではないＳＰＩ値が生じるよう、ＳＰＩ値を設定することができる。ＳＰＩ値は３２桁であり、したがって２³²の異なるＳＰＩ値が可能である点に鑑み、たいていの適用事例であればこれは十分であるとみなすべきである。同様に考えられるのは、ＳＰＩ値をランダムに選択すること、あるいは適切な関数を用いてＮＳＩＳセッション識別子または他の適切なデータにより設定することである。ランダムな設定は著しく簡単であり、好適なコストで実現可能であって、さらにＶＰＮからモバイルノードへのモバイルノードのトンネルのためにランダムに選択されたＳＰＩ値が、他のモバイルノードのＳＰＩ値と一致する確率はきわめて低い。

次に、参照しながら本発明について詳しく説明する。

モバイルノードＭＫとＶＰＮゲートウェイとの間で複数のNSISノードを経由するIPsecトンネルを示す図 本発明による方法の流れを示す図

図１に示されているシナリオによればモバイルノードＭＫは、ａ）ＭＯＢＩＫＥにより管理されるＶＰＮゲートウェイＶＰＮＧとのIPsecコネクションを有しており、ｂ）ＮＳＩＳシグナリングセッションに関与している。このモバイルノードＭＫが自身のＩＰアドレスを変更し、トンネルパス沿いに存在するＮＳＩＳノードＮＦにすでに設定されているシグナリング状態は無効となり、これは更新されなければならない。図１において参照符号ＩＳの付されている矢印は、ＭＯＢＩＫＥにより管理されるＩＰｓｅｃコネクションを表す。矢印Ｐは、モバイルノードＭＫが移動していることを表す。この動きによって、モバイルノードＭＫは自身のこれまでのＩＰアドレスＩＰ１の代わりに新たなＩＰアドレスＩＰ２を受け取ることになる。その理由は、インターネットＩにおいてＶＰＮゲートウェイＶＰＮＧに対するこのモバイルノードＭＫのリンクポイントが変化するからである。これに応じてＭＯＢＩＫＥプロトコルは、ＶＰＮゲートウェイＶＰＮＧにおける状態を更新する必要がある。ＮＳＩＳフォワーダ（NSIS-Forwarder）として参照符号ＮＦによって表されているＮＳＩＳノードは、モバイルノードＭＫの移動後に更新する必要のある状態をもつＮＳＩＳノードである。このことから以下の問題点が生じる：
−更新のためのシグナリングを初期化しなければならない。これ自体だけですでにオーバヘッドを成している。
−データストリームすなわちＩＰｓｅｃトンネルに沿ったデータパケットの伝送は、トンネルのパスに沿ったすべてのＮＳＩＳノードの状態が更新されてしまうまで、シグナリングにより行おうとする処理を受けることができない。これによりコネクションのパフォーマンスが損なわれ、それどころかユーザにとってみれば、そのような遅延により受けられないサービスあるいは制約されたかたちでしか受けられないサービスのためにコストが発生してしまう可能性すらある。
−トンネルパス沿いのＮＳＩＳノードのすべての状態が更新されてしまうまで、常時行われるわけではないシグナリングセッションのためにリソースを開放しなければならない。これはリソースの浪費となってしまう。

上述の問題点は、図２に流れが概略的に示されている本発明による方法によって解決される。本発明による方法によれば、ＶＰＮに対するモバイルノードＭＫのリンクポイントが変更されるとき、モバイルノードＭＫからＶＰＮへのＮＳＩＳシグナリングメッセージのオーバヘッドが低減される。この場合、モバイルノードＭＫは、少なくとも１つのＮＳＩＳノードを経由して延びているパスをもつＩＰｓｅｃトンネルを介して、ＶＰＮゲートウェイと接続されている。

本発明によれば第１のステップＡにおいて少なくとも、ＶＰＮゲートウェイのＩＰアドレスおよび／またはＶＰＮゲートウェイのサブネットと一致しているアドレス空間のＩＰアドレスが、ＮＳＩＳシグナリングメッセージに含まれるＭＲＩオブジェクトに挿入される。

第２のステップＢにおいてＳＰＩ値が定められる。

第３のステップＣにおいて、ＳＰＩ値がＮＳＩＳシグナリングメッセージに挿入される。第４のステップＤにおいて、ＭＲＩオブジェクト内のＳフラグがセットされる。

第５のステップＥにおいて、モバイルノードＭＫのＩＰアドレスに係わるアドレス空間がＭＲＩオブジェクトに挿入される。たとえばこれを、モバイルノードＭＫのＩＰアドレスおよびプレフィックスの記述により行うことができる。

ＧＩＳＴプロトコルにおいて定められているＭＲＩオブジェクトによれば、ただ１つのＩＰアドレスの記述のほか、アドレス空間の記述も行うことができる。したがって特定のアクセスネットワーク内のリンクポイントを変更するモバイルノードＭＫは、ＭＲＩオブジェクト内にたとえばプレフィックスにより、モバイルノードが目下接続されているアクセスネットワークもしくはモバイルノードのリンクポイントが存在するアクセスネットワークのアドレス空間全体を含むアドレス空間を記述することもできる。同様に、種々のアクセスネットワーク間で変更を行うモバイルノードＭＫは、モバイルノードＭＫが通常移動するＩＰアドレス空間全体もＭＲＩオブジェクト内に記述することができる。

これに対しＶＰＮゲートウェイはたいていの事例では、ただ１つのＩＰアドレスまたはただ１つのＩＰサブネットに属するごく僅かなＩＰアドレスを有している。この理由からたいていの事例では、ＭＲＩオブジェクトにおいてこのゲートウェイに対しただ１つのＩＰアドレスを記述すれば十分であり、あるいはやはりたとえばプレフィックスを用いて、ゲートウェイのサブネットと一致するアドレス空間を記述すれば十分である。

トンネルパスに沿ったＮＳＩＳは、他のヘッダフィールドと関連してセキュリティパラメータインデックス（Security Parameter Index; SPI）を利用する。その目的は、シグナリングメッセージが係わるデータトラフィックを識別するためである。これを機能させるため本発明によれば、パスの連結された（path-coupled）ＭＲＩオブジェクト内にオプションのＳＰＩフィールドが含まれるよう、ＩＰｓｅｃトンネルのためのシグナリングメッセージが構成されている。さらにＭＲＩオブジェクトのためのＳフラグをセットする必要がある。

ＳＰＩ値は３２ｂｉｔの長さでしかないので、２つの異なるモバイルノードＭＫのＩＰｓｅｃトンネルに対し同じＳＰＩ値が選ばれる可能性がある。その結果、双方のモバイルノードが同じＶＰＮゲートウェイと接続されている場合、および双方のモバイルノードが同じアドレス空間もしくは同じプレフィックスを利用する場合つまり同じアドレス空間内で移動する場合、衝突が発生する。双方のトンネルのパスにおける共通の区間内に位置するＮＳＩＳノードは、それぞれ異なるトンネルに属するデータパケットを区別できないので、このような衝突は望ましくない。とはいうものの基本的には、この種の衝突を回避できるようにする複数の手法が考えられる。以下に例として４つの異なるオプションを挙げておく：
ＶＰＮゲートウェイは、ＭＯＢＩＫＥ標準に従い構築された複数の異なるモバイルノード対ＶＰＮ ＩＰｓｅｃトンネルのために同一でないＳＰＩ値を選択する。ＳＰＩ値は３２桁であり、したがって２³²の異なるＳＰＩ値が可能である点に鑑み、たいていの事例であればこれは十分であるとみなすべきである。
ＮＳＩＳノードはデータパケット内のＳＰＩ値との調整を行うだけでなく、ＭＲＩオブジェクト内に記述されているモバイルノードのＩＰアドレス範囲とも調整を行うようにする。このやり方は、標準に準拠するGeist（German Encyclopedic Internet Service Terminal）手順と実質的に一致している。上述の措置を有効に利用する目的で、モバイルノードＭＫはＶＰＮゲートウェイのためのただ１つのＩＰアドレスをＭＲＩオブジェクトにおいて記述し、自身のＩＰアドレスのためのアドレス空間にできるかぎり制限をかけるようにする。これが有用であるのは、モバイルノードＭＫが現在たとえばアドレス155.234.15.6を有しており、155.234クラスＢネットワークのサブネット内でのみ移動する場合である。このようなケースは、従業員がモバイルノードＭＫと呼ばれる自身の機器とともに自由に移動することのできる大きな企業または組織において頻繁に発生するものである。上述の例によれば、モバイルノードＭＫは自身の目下のＩＰアドレスを１６というプレフィックスとともにＭＲＩオブジェクトに記述する。

モバイルノードＭＫはＶＰＮからモバイルノードトンネルのために、ごく僅かな確率でしか他のモバイルノードＭＫのＳＰＩ値とは一致しないＳＰＩ値を選択する。この目的でＳＰＩ値はたとえばランダムに選択されるか、または適切なファンクションを用いてＮＳＩＳセッション識別子により決定される。

本発明が産業上利用することのできる分野はたとえば、モバイル端末機器によって使用可能なバーチャルプライベートネットワークおよびこの種のネットワークのためのネットワークコンポーネントの製造および販売などである。

Claims (5)

1. モバイルノード（ＭＫ）のシグナリングオーバヘッドを低減する方法において、
   前記モバイルノード（ＭＫ）は、少なくとも１つのアクティブなＮＳＩＳ（Next-Steps-In-Signaling）シグナリングセッションを保持するものであり、バーチャルプライベートネットワーク（virtual private network ）のＶＰＮゲートウェイとのMOBIKEコネクションを有しており、インターネットへの該モバイルノード（ＭＫ）のリンクポイントを変更するものであって、
   前記ＶＰＮゲートウェイの少なくとも１つのＩＰアドレスおよび／または該ＶＰＮゲートウェイのサブネットと一致するアドレス空間を、ＮＳＩＳシグナリングメッセージに含まれるルーティング情報（Message Routing Information）であるＭＲＩオブジェクトに挿入するステップと、
   セキュリティパラメータインデックス（Security Parameter Index）のためのＳＰＩ値をセットするステップと、
   該ＳＰＩ値を前記ＭＲＩオブジェクトに挿入するステップと、
   該ＭＲＩオブジェクトのＳフラグをセットするステップと、
   前記モバイルノード（ＭＫ）のＩＰアドレスに関係するアドレス空間を前記ＭＲＩオブジェクトに挿入するステップを有することを特徴とする、
   モバイルノード（ＭＫ）のシグナリングオーバヘッドを低減する方法。
2. 前記ＭＲＩオブジェクト内に、前記モバイルノード（ＭＫ）のＩＰアドレスのためのアドレス空間が付加的に記述され、該アドレス空間には、前記モバイルノード（ＭＫ）の通常の移動に関して予期される該モバイルノード（ＭＫ）に対し可能なＩＰアドレスが含まれる、請求項１記載の方法。
3. 前記モバイルノード（ＭＫ）は自身のＩＰアドレスのためのアドレス空間をできるかぎり制限する、請求項２記載の方法。
4. 前記ＳＰＩ値は前記ＶＰＮゲートウェイにより設定されて、それぞれ異なるモバイルノード（ＭＫ）と同じＶＰＮゲートウェイとの間で形成される複数のＩＰｓｅｃトンネル間の衝突が避けられる、請求項１から３のいずれか１項記載の方法。
5. 前記ＳＰＩ値はランダムに選択され、または適切なファンクションを用いてＮＳＩＳセッション識別子により決定される、請求項１から３のいずれか１項記載の方法。

Images