JP4025784B2 - 仮想閉域網システム - Google Patents

Description

本発明は、プライベートなネットワークである組織網、と移動端末を収容するネットワーク間の仮想閉域網を実現するためのシステム、移動端末、ホームエージェントおよび通信制御方法に関する。

近年ＩＭＴ−２０００、ホットスポット、無線ＬＡＮ等に代表される様々なネットワークによるモバイル環境が整いつつあり、これらのネットワークを通じ企業網に代表されるプライベートなネットワークである組織網へアクセスする機会も増加してきている。

外部ネットワークから組織網へアクセスする際、外部ネットワークで割り振られたアドレスを使用し、組織網のセキュリティゲートウェイを経由し通信しているのが一般的である。組織網ではセキュリティを考慮し、アドレスによるフィルタリングを実施している例も少なくない。

しかしながら、前述したようなアクセス方法では組織網の内外でアドレスを使い分けている為、必ずしも組織網に直接接続した場合と同様のネットワーク環境が提供されているとはいい難く、接続状況に関わらずユーザの利便性向上とシームレスで安全な通信が求められている。

シームレスな通信を行う手段として、ＲＦＣ３２２０(IP Mobility Support for IPv4)で規定されたモバイルＩＰがあるが、同一アドレス体系で運用されるネットワーク内で運用することを前提としており、アドレス体系の異なるネットワーク間での移動は不可能であった。特に、組織網ではプライベートアドレスによる運用が一般的であり、例えばインターネットのような公共ネットワーク内でのルーティングは不可能である。

一方、公共ネットワーク内を透過的にプライベートアドレスでルーティングする技術としてＲＦＣ２７６４(A Framework for IP Based Virtual Private Networks)で規定された仮想閉域網がある。ここでは、仮想閉域網にホストとホストとの間に設定されるトンネルを含めるものとする。端末の収容先である外部ネットワークで割り振られたアドレスで、組織網に設置したＶＰＮゲートウェイにトンネルを設置し、組織網内の端末と通信を行う方式が一般的である。

ＶＰＮ装置は転送ＩＰパケットにＶＰＮの通信用にＲＦＣ２００３(IP Encapsulation within IP) で規定されるルーティング可能なＩＰヘッダを付加する機能（ＩＰｉｎＩＰ）を有し、本来はグローバルアドレスのＩＰパケットのみしか通らないインターネットに、例えば、プライベートアドレスや、ＴＣＰ／ＩＰでないプロトコルを利用した通信を可能にすることを、インターネット通信中に別の通信を通すという意味合いから「トンネリング」と呼ばれる。更にトンネリングさせるＩＰパケットの機密性、安全性を保証するための暗号化と認証行う技術としてＲＦＣ２４０１(Security Architecture for the Internet Protocol)で規定されたＩＰＳｅｃがある。

プライベートアドレスによるネットワーク運用が行われている組織網と公共ネットワークを経由したシームレスな通信を行う為には、モバイルＩＰにおける固定的なアドレスであるホームアドレスに組織網でのプライベートアドレスを適用し、ＶＰＮによる公共ネットワーク内をルーティングさせる必要がある。

図７６、及び図７７は、従来の技術における組織網とインターネットのような公共ネットワークを経由したシームレスな通信を行う方法を説明する図である。

外部ネットワークとは、インターネットサービスプロバイダ、ＦＯＭＡ、ＣＤＭＡ２０００、ホットスポットに代表される組織網とは異なる組織または事業者によってネットワーク接続サービスが提供されるネットワークである。ここで、ホットスポットとは、無線ＬＡＮなどで構築された、領域限定の通信ネットワークのことであり、例えば、店舗や企業社屋内などに無線ＬＡＮなどにより構築されたネットワークである。従って、ホットスポットは、移動通信事業者のサービスの配下にあるが、店舗や企業が移動通信事業者と契約をして、店舗あるいは企業社屋内に限定して構築される。

従来においては、図７６に示すように、予め組織網のホームエージェント（ＲＦＣ３２２０で規定されるＨＡであり）と外部ネットワークに設置されたフォーリンエージェント（ＲＦＣ３２２０で規定されるＦＡ）間でＶＰＮを設定しても移動端末（ＲＦＣ３２２０で規定されるＭＮ）とフォーリンエージェント（ＦＡ）間をプライベートアドレスによるルーティングが行えない。すなわち、ホームエージェント（ＨＡ）とフォーリンエージェント（ＦＡ）間では、プライベートアドレスをルーティングするためのトンネルを張ることができるが、フォーリンエージェント（ＦＡ）と移動端末（ＭＮ）の間は、外部ネットワークを介して通信が行われるので、外部ネットワークで移動端末（ＭＮ）に与えられるグローバルなアドレスを使用しなければ、移動端末（ＭＮ）とフォーリンエージェント（ＦＡ）が通信できない。

そこで、図７７に示すようにco-locatedモードサポートによる移動端末（ＭＮ）を使用することで、モバイルＩＰによる位置登録より前にＶＰＮゲートウェイ間にプライベートアドレスによるルーティングを行う為のＶＰＮを設定し、設定したＶＰＮを使用したモバイルＩＰの位置登録を行う。

これにより、ホームエージェント（ＨＡ）と移動端末（ＭＮ）の間でプライベートアドレスによる通信が可能になる。すなわち、co-locatedモードを利用した場合、最初に移動端末（ＭＮ）と、ホームエージェント（ＨＡ）を収容するネットワークのゲートウェイ（ＧＷ）との間に、トンネリングを利用してＶＰＮが張られ、次に、このＶＰＮを利用してモバイルＩＰのトンネルをホームエージェント（ＨＡ）と移動端末（ＭＮ）の間に設定するという２段階のトンネルの設定作業が必要となる。

co-locatedモードとは、ＲＦＣ３２２０で規定されているモードで、ＤＨＣＰ（Dynamic Host Configuration Protocol）等で移動端末（ＭＮ）に割り振られたアドレスを気付アドレス（care of address）とし、移動端末（ＭＮ）自身でモバイルＩＰのトンネル設定を行い、カプセル化及びデカプセル化を行うモードのことである。

上記ＲＦＣ３２２０では、インターネット上でのモバイルノードへのＩＰデータグラムをルーティングするプロトコルの改良について記載されている（非特許文献１参照）。

また、従来においては、モバイルＩＰネットワークにおけるＶＰＮシステム及びＶＰＮの設定方法において、モバイルＩＰにおける位置登録手順と連携してＶＰＮ用の特殊な機能を持たせることなく、任意の端末間でのＩＰＳｅｃトンネルによるＶＰＮ設定サービスを提供する技術が既にある（特許文献１参照）。
Network Working Group, Request for Comments: 3220, Obsoletes: 2002, Category: Standards Track, C. Perkins, Ed, Nokia Research Center, January 2002, "IP Mobility Support for IPv4" 特開２００２−４４１４１号公報

上述したような方式では、外部ネットワークにフォーリンエージェントを設置した場合、外部ネットワークにおいてプライベートアドレスをルーティングすることができない。一方、co-locatedモードサポートの移動端末を使用した場合、モバイルＩＰによる通信と、移動端末におけるＶＰＮ設定は無関係であり、プライベートアドレスをルーティングさせる為のトンネルとモバイルＩＰのトンネル設定が必要となる為、モバイルＩＰによるトンネル設定処理を有効に活かせず、移動端末が移動した際のハンドオーバ処理が効果的でない（ネットワークの切り替えの際、新しいパスの設定に時間がかかるため、スムースなハンドオーバが行えない）、またパケット転送においても二重のカプセル化、デカプセル化が必要となる為、スループットが低下する。

本発明は、組織網内に設置したホームエージェントに組織網のセキュリティゲートウェイ機能を持たせる、または通信事業者と組織のサービス契約時に、通信事業者網に設置されたホームエージェントと組織網のセキュリティゲートウェイ間に予めＶＰＮを設定することで、移動端末のco-locatedモードを利用し、モバイルＩＰの位置登録手順の中で移動端末にＶＰＮ情報を配布しモバイルＩＰのトンネル設定処理を有効利用することで、トンネル設定処理のオーバヘッドを抑え、公共ネットワークを組織網のプライベートなアドレスでルーティングさせ、プライベートなアドレスのままシームレスで安全な通信を可能にする。

本発明の課題は、組織網などで割り振られたプライベートなアドレスを変更することなく、組織網内外でのモバイル環境において安全でシームレスな仮想閉域網サービスの提供を可能とするシステムを提供することである。

本発明の移動端末は、移動端末とプライベートネットワークに接続された端末の通信を可能にするシステムにおける移動端末であって、モバイルＩＰの通信用トンネルを設定する手段と、該モバイルＩＰの通信用トンネルの設定手順において、該プライベートネットワークの通信用トンネルを形成する手段とを備え、該移動端末は、モバイルＩＰの通信用トンネルとプライベートネットワークの通信用トンネルを兼用した１つの通信用トンネルを使って通信を行うことを特徴とする。

本発明によれば、ホームアドレスとしての不変的でプライベートなアドレスである第１のアドレスと気付けアドレスである通信可能な第２のアドレスの対応をとり、移動端末のローミングを可能にする過程で、移動端末とホームエージェントの間で仮想閉域網の情報を交換し、仮想閉域網を設定することにより、モバイルＩＰの確立と仮想閉域網の確立の手順を簡素化し、従来２重のカプセル化が必要であるために、不具合を生じていたハンドオーバなどの時においても、迅速に移動端末への仮想閉域網の設定を行うことができる。

本発明によれば、移動可能な第１の手段が移動しても通信可能なセッションの確立を行う手順の中で、仮想閉域網の設定をするので、移動可能な通信の設定と仮想閉域網の設定が一度にできる。従って、第１の手段が移動した結果、ハンドオフをする場合などにおいて、迅速に通信環境を整えることができるので、なめらかなハンドオフが実現できる。また、第１の手段は、第１のアドレスを固定的に保持して通信することができるので、どこの網に行っても、同じアドレスで通信できる。従って、第１の手段に送信しようとする場合、第１のアドレスを続けて使用可能となり、利便性が向上する。

また、これを可能にするために、移動端末と自身との間に仮想閉域網を設定する手段を有し、移動端末を認証することにより得られた、この仮想閉域網を設定するのに必要な情報を移動端末に通知して、移動端末が仮想閉域網内に入れるようにするホームエージェントが設けられるため、移動端末が別個に仮想閉域網内に入るための手順が不要となる。

更に、移動端末が送信してくる気付けアドレスあるいはドメインから移動端末がいる網の秘匿性を検出し、秘匿性が弱い網の場合には、秘匿性の高い通信プロトコルを設定するので、重要な情報が漏れる可能性を少なくする。

移動端末は、自身がいる網の情報を取得する手段を有し、自身がいる網の性質により、通信を開始するための通信プロトコルを変えることにより、やはり、重要な情報が漏れるのを防ぐことができる。

特に、移動端末はネットワークとモバイルＩＰ用トンネルとプライベートネットワークの通信用トンネルを兼用するので、ハンドオフが滑らかに行える。

システム機能概要
図１は、本発明の機能ブロックである。

以下に機能概要を述べる。
組織網１１、１２
組織網１１、１２は、企業、大学、官庁のような組織内に閉じたプライベートなネットワークであり、例えばインターネットのような公共ネットワークとはファイアーウォール（firewall）を介して接続される。組織網内で使用されるアドレス形態はプライベートアドレス(private address)でもグローバルアドレス(global address)どちらでもよいが、組織網内のみで通信可能と言う意味で本発明では「プライベートなアドレス」と呼ぶことにする。一方、公共ネットワークで通信可能なアドレスを「グローバルなアドレス」と呼ぶことする。従って、モバイルＩＰプロトコルにおいては「プライベートなアドレス」は固定的な第１のアドレスにあたるホームアドレス(home address)となり、「グローバルなアドレス」は通信可能な第２のアドレスである気付アドレス(care of address)となる。

以降、本発明の実施形態を説明する上で、組織網の代表例として企業網を取り上げて説明する。

なお、図１において、ホームエージェント１９は、通常複数個設けられ、一つの組織網１２を複数のホームエージェント１９で分散処理すると共に、このような複数のホームエージェント１９の集合が、異なる組織網１２毎にそれぞれ設けられる構成が採られる。
認証サーバ１８
認証サーバ１８は、認証（Authentication）、認可（Authorization）、課金（Accounting）を行うサーバ群のＩＥＴＦで用いられる名称（以降、ＡＡＡ）である。上記機能に加え、ＶＰＮデータベース１７から認証要求をしてきたユーザのＶＰＮ情報を抽出し、ＨＡ１９へＡＡＡプロトコル２１を用いてＶＰＮ情報を通知するＡＡＡプロトコル制御部とユーザ単位のＶＰＮ情報の抽出とＶＰＮ経路の決定を行うＡＡＡＶＰＮ制御部から構成される。図１においては、通信事業者網または企業網１１に設けられている。
ＡＡＡプロトコル２１
ＡＡＡシステムが使用するプロトコルを示す。ＡＡＡプロトコルは認証、認可、課金、ポリシに関する情報を伝達可能なあらゆるプロトコルで実装可能である。本発明の実施形態では、使用するプロトコルを特定しないが、仮に現在ＩＥＴＦで検討中のＤＩＡＭＥＴＥＲプロトコルの使用を想定する。本発明の実施形態で必要となる新たな情報の伝達には、ＤＩＡＭＥＴＥＲプロトコルで定義される ＡＶＰ(Attribute Value Pair)と呼ばれる拡張可能な属性パラメータを用いる。拡張される属性は、ＶＰＮ設定に関する情報である。
データベース検索プロトコル
ＶＰＮデータベース１７を検索するためのプロトコルである。使用するプロトコルはＶＰＮデータベース１７を実装するデータベースの製品に依存する。ＬＤＡＰ（Light Directory Access Protocol）やＳＱＬが通常用いられる。本発明の実施形態では、検索プロトコルとデータベースの動作については限定しない。
ＶＰＮデータベース１７
図１３は、本発明の実施形態で使用するＶＰＮデータベース１７の構成の例を示す図である。

ＶＰＮデータベース１７は、各ユーザの設定したＶＰＮデータインスタンスの集合であり、各インスタンスが一つのＶＰＮに対応する。各ＶＰＮデータインスタンスは、このＶＰＮ情報を一意に表す識別子であるプロファイル番号(Profile Number)、ユーザのネットワーク識別子(Nai)、セキュリティゲートウェイ間の共有のセキュリティ関係を使用するか、ユーザ固有のセキュリティ関係を使用するかを示すＶＰＮ共有指標(vpnshare)、ＶＰＮ種別（vpnkind）、通信先端末のＩＰアドレス(destaddr)、上り方向のQoSクラス(upclass)、下り方向のQoSクラス(downclass)、ＩＰＳｅｃで使用する上り方向ＳＰＩ(upＳＰＩ)、ＩＰＳｅｃで使用する下り方向ＳＰＩ(downＳＰＩ)、ＵＤＰカプセル化で使用するＩＰのポート番号（portNumber）で構成される。

共有指標に0が設定された場合、upclass、downclass、upＳＰＩ、ＤownＳＰＩは省略可能である。このデータベースはユーザのNAIで検索され、検索された全てのインスタンスは、後述するＶＰＮ情報キャッシュにアドレス情報を付加して記録される。
ＤＨＣＰプロトコル２３
ＲＦＣ２１３１と将来の変更で規定される全ての端末のネットワーク設定プロトコルを示す。移動端末(ＭＮ１６)はDHCPREQUESTメッセージを使用し、外部アクセス網１０であるネットワークに設けられるＤＨＣＰサーバ１５に対しネットワーク情報を要求し、ＤＨＣＰサーバ１５は、DHCPACKメッセージを使用し、移動端末(ＭＮ１６)にネットワーク情報を指示する。DHCPACKメッセージで通知されるネットワーク情報には、移動端末(ＭＮ１６)のＩＰアドレス、ネットマスク、ゲートウェイアドレス、ドメイン名、ＤＮＳアドレス等がある。本発明の実施形態では、移動端末（ＭＮ１６）のアドレス取得手段としてＤＨＣＰプロトコルを想定しているが、ネットワークからＩＰアドレスを取得することができるプロトコルならば特に限定はしない。
モバイルＩＰプロトコル２２
ＲＦＣ３２２０と将来の変更でで規定される全てのモバイルＩＰプロトコルを示す。

図２〜図１２は、ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図である。

図２及び図３は、モバイルＩＰメッセージとＤＩＡＭＥＴＥＲメッセージの構成を示す図である。両メッセージにおいて、ＩＰヘッダとＵＤＰヘッダは共通である。図２（ａ）のモバイルＩＰメッセージとＤＩＡＭＥＴＥＲメッセージのそれぞれのヘッダやＡＶＰのフォーマットは、図２（ｂ）〜図３（ｃ）に記載した構成となっている。

また、図４は、モバイルＩＰの位置登録要求（Reg. Request）メッセージ構成であり、図５は、ＤＩＡＭＥＴＥＲの認証要求（ＡＭＲ：AA Mobile Node Request）メッセージの構成であり、図６は、ＤＩＡＭＥＴＥＲのホームエージェント登録要求（ＨＡＲ：Home Agent MIP Request）メッセージの構成である。

図７及び図８は、モバイルＩＰの位置登録応答（Reg. Reply）メッセージの構成を示し、図９（ａ）は、ＤＩＡＭＥＴＥＲの認証応答（ＡＭＡ：AA Mobile No
de Answer）メッセージの構成、図９（ｂ）は、ＤＩＡＭＥＴＥＲのホームエージェント登録応答（ＨＡＡ：Home Agent MIP Answer）メッセージの構成を示す。

図１０及び図１１は、ＣＮ方向からＭＮ方向へのパケットを、ＨＡを介さず直接ＭＮへ送信する為の経路最適化を目的としたモバイルＩＰの結合更新（ＢＵ：Binding Update）メッセージの構成を示し、図１２は、モバイルＩＰの結合応答（ＢＡ：Binding Acknowledge）メッセージの構成を示している。
ホームエージェント（ＨＡ）１９
ＲＦＣ３２２０で定義されるモバイルＩＰプロトコル２２手順を用いて移動端末（ＭＮ１６）の位置を管理する機能（以降ＨＡ）である。また、ホームエージェントを移動通信制御装置あるいはルータと呼ぶことがある。
本発明の実施形態のネットワーク装置は通信事業者網内または企業網内１１のセキュリティゲートウェイとして設置される。ホームエージェント（ＨＡ１９）は企業網１２で割り付けられたプライベートなアドレスをホームアドレスとして所有するエージェントであり、ホームエージェント（ＨＡ１９）に送信されてきた移動端末（ＭＮ１６）のホームアドレストを送信先とするパケットはホームアドレスに対応した移動端末（ＭＮ１６）の気付アドレス（care of address）へカプセル化されて送出される。このアドレスの対応は、移動結合と呼ばれるテーブルで管理される。また、ＨＡ１９は、位置登録応答（Reg. Reply）メッセージにサービスプロファイルを設定することによりＶＰＮ情報を移動端末（ＭＮ１６）に通知する。本発明の実施形態のＨＡ１９はＩＰｉｎＩＰ、ＩＰＳｅｃ、ＩＰＳｅｃ＋ＵＤＰ（ＮＡＴ（Network Address Translation）/ＮＡＰＴ（Network Address Port Translation）のアドレス変換及びポート番号変換されたパケットに対応する為、ＵＤＰｉｎＩＰカプセル化実施後ＩＰＳｅｃカプセル化を行う）のＶＰＮゲートウェィ機能、及びＡＡＡプロトコルとモバイルＩＰプロトコルで通知されるＶＰＮ情報を解析するＭＡプロトコル制御部（モバイルエージェントプロトコル制御部）と、解析したＶＰＮ情報に基づきネットワークカーネルに指定されたセキュリティレベルでのトンネル設定を行うＭＡＶＰＮ制御部（モバイルエージェントＶＰＮ制御部）を有する。
代理通信装置（ＰＣＮ）２０
モバイルＩＰプロトコル２２の移動結合の更新処理でホームエージェント（ＨＡ１９）から通知された送信先へ、ＶＰＮを設定するネットワーク機能（以降ＰＣＮ：Proxy Correspondent Node）である。ホームエージェント（ＨＡ１９）からの結合更新（ＢＵ）メッセージを利用し、企業網内折り返し、及び、ＰＣＮ-ＰＣＮ間のトンネル設定を行うことで、移動端末（ＭＮ１６）への経路最適化を行う。本発明の実施形態のＰＣＮはＩＰｉｎＩＰ、ＩＰＳｅｃ、ＩＰＳｅｃ＋ＵＤＰのセキュリティゲートウェィ機能を兼ね、モバイルＩＰプロトコルで通知されるＶＰＮ情報を解析するＭＡプロトコル制御部と、解析したＶＰＮ情報に基づきネットワークカーネルに指定されたセキュリティレベルでのトンネル設定を行うＭＡＶＰＮ制御部を有する。図１では、ＰＣＮ２０は、企業網１２に設けられている。
移動端末（ＭＮ）１６
本発明の実施形態のネットワーク装置である移動端末（ＭＮ１６）は、モバイルＩＰプロトコル２２手順を用いてセッションを維持したままネットワーク内を移動できるＲＦＣ３２２０で定義される機能（以降ＭＮ）である。本発明の実施形態の移動端末（ＭＮ１６）は、ＩＰｉｎＩＰ、ＩＰＳｅｃ、ＩＰＳｅｃ＋ＵＤＰのトンネリング機能を有し、暗号化/復号化及びカプセル化／デカプセル化を行う。移動端末（ＭＮ１６）は気付アドレス(care of address)へカプセル化されて送出されてきたパケットをデカプセル化し、ホームアドレスに対応したアプリケーションへパケットを通知する。また、アプリケーションからホームアドレスで通知されたユーザパケットを気付けアドレスでカプセル化し、通信端末（ＣＮ）へパケットを送出する。ホームエージェント（ＨＡ１９）からの位置登録応答（Reg. Reply）メッセージで通知されたサービスプロファイルのセキュリティレベル応じて、通常のＩＰｉｎＩＰトンネルの他にＩＰＳｅｃ、ＩＰＳｅｃ＋ＵＤＰトンネルを設定し、移動端末（ＭＮ１６）からホームエージェント（ＨＡ１９）へのトンネル（通常リバーストンネルと呼ばれる）にも同様のトンネルを設定する。モバイルＩＰプロトコルで通知されるＶＰＮ情報を解析するＭＮプロトコル制御部と、解析したＶＰＮ情報に基づきネットワークカーネルに指定されたセキュリティレベルでのトンネル設定を行うＭＮ ＶＰＮ制御部を有する。本発明ではモバイルＩＰプロトコルによる通信可能なノートパソコンを例に説明を行う。

図１４〜図２０は、図１〜図１３で説明した機能を持つ認証サーバ及びネットワーク装置で構成されるＩＰネットワーク構成を示す図である。

図１４は、プライベートなアドレスで運用される企業網と、グローバルなアドレスで運用される公共ネットワーク（例えば、インターネット）と、企業網との相互接続契約に基づき網接続端末へグローバルなアドレスを付与し、企業網へのアクセス手段を提供するアクセス網とで構成されるネットワークを基本にしている。

そして、図１４のシステムは、企業網内のプライベートなアドレスをモバイルＩＰプロトコルにおける不変的なアドレスであるホームアドレス(home address)として持ち、企業内及び外部ネットワークのアクセス網間においてプライベートなアドレス(home address)を保持したまま移動し、企業網と通信を継続する移動端末(ＭＮ)と、企業内にあって移動端末(ＭＮ)を認証する認証サーバ(ＡＡＡ)、企業内にあって移動端末(ＭＮ)の位置管理を行うホームエージェント(ＨＡ)で構成されたシステムである。

図１５は、プライベートなアドレスで運用される企業網と、グローバルなアドレスで運用される公共ネットワーク（例えば、インターネット）と、企業網との相互接続契約に基づき網接続端末へグローバルなアドレスを付与し企業網へのアクセス手段を提供するアクセス網とで構成されるネットワークを基本にしている。

そして、図１５のシステムは、企業網内のプライベートなアドレスをモバイルＩＰプロトコルにおける不変的なアドレスであるホームアドレス(home address)として持ち、企業内及び外部ネットワークのアクセス網間をプライベートなアドレス(home address)を保持したまま移動し、企業網と通信を継続する移動端末(ＭＮ)と、企業内にあって移動端末(ＭＮ)を認証する認証サーバ(ＡＡＡ)、企業網のセキュリティゲートウェイにあって移動端末(ＭＮ)の位置管理を行うホームエージェント(ＨＡ)、企業網内にってホームエージェント(ＨＡ)からの結合更新メッセージを利用し、企業網内にあって経路最適化を行う代理通信装置(ＰＣＮ)で構成されたシステムである。

図１６は、プライベートなアドレスで運用される企業網と、グローバルなアドレスで運用される公共ネットワーク（例えば、インターネット）と、企業網との相互接続契約に基づき網接続端末へグローバルなアドレスを付与し企業網へのアクセス手段を提供するアクセス網とで構成されるネットワークを基本としている。

そして、図１６のシステムは、企業網内のプライベートなアドレスをモバイルＩＰプロトコルにおける不変的なアドレスであるホームアドレス(home address)として持ち、企業内及び外部ネットワークのアクセス網間においてプライベートなアドレス(home address)を保持したまま移動し、企業網と通信を継続する移動端末(ＭＮ)と、企業内にあって移動端末(ＭＮ)を認証する認証サーバ(ＡＡＡ)、企業網のセキュリティゲートウェイにあって移動端末(ＭＮ)の位置管理を行うホームエージェント(ＨＡ)、企業網内にあってホームエージェント(ＨＡ)からの結合更新メッセージを利用し、企業網内にあって経路最適化を行う代理通信装置(ＰＣＮ)で構成されるシステムである。ＨＡ-ＰＣＮ間は、サービス開始時、セキュリティを考慮し、ＩＰＳｅｃ（ＩＥＴＦによって標準化されているパケットの暗号化と認証技術）によるトンネルを設定しておく。

図１７は、プライベートなアドレスで運用される企業網と、グローバルなアドレスで運用される公共ネットワーク（例えば、インターネット）と、企業網との相互接続契約に基づき網接続端末へグローバルなアドレスを付与し企業網へのアクセス手段を提供する通信事業者網とで構成されるネットワークを基本としている。

そして、図１７のシステムは、企業網内のプライベートなアドレスをモバイルＩＰプロトコルにおける不変的なアドレスであるホームアドレス(home address)として持ち、企業内及び外部ネットワークのアクセス網をプライベートなアドレスを保持したまま移動し、企業網と通信を継続する移動端末(ＭＮ)と、通信事業者網にあって移動端末(ＭＮ)を認証する認証サーバ(ＡＡＡ)、通信事業者網にあって移動端末(ＭＮ)の位置管理を企業網内のプライベートなアドレスで行うホームエージェント(ＨＡ)と、企業網にあって企業網とホームエージェント(ＨＡ)間において公共ネットワークを介してＶＰＮで結ぶためのゲートウェイ装置と、企業網のセキュリティゲートウェイにあって、ホームエージェント(ＨＡ)の指示により企業網に在圏する移動端末(ＭＮ)への通信を企業網内で折り返す代理通信装置(ＰＣＮ)とで構成されるシステムである。ＨＡ-ＰＣＮ間はサービス開始時、セキュリティを考慮し、ＩＰＳｅｃによるトンネルを設定しておく。

図１８は、プライベートなアドレスで運用される企業網と、グローバルなアドレスで運用される公共ネットワーク（例えば、インターネット）と、企業網との相互接続契約に基づき網接続端末へグローバルなアドレスを付与し企業網へのアクセス手段を提供する通信事業者網とで構成されるネットワークを基本としている。

そして、図１８のシステムは、企業網内のプライベートなアドレスをモバイルＩＰプロトコルにおける不変的なアドレスであるホームアドレス(home address)として持ち、企業内及び外部ネットワークのアクセス網間をプライベートなアドレスを保持したまま移動し、企業網と通信を継続する移動端末(ＭＮ)と、通信事業者網にあって移動端末(ＭＮ)を認証する認証サーバ(ＡＡＡ)、通信事業者網にあって移動端末(ＭＮ)の位置管理を企業網内のプライベートなアドレスで行うホームエージェント(ＨＡ)と、企業網にあって企業網とホームエージェント(ＨＡ)間において公共ネットワークを介してＶＰＮで結ぶためのゲートウェイ装置と、通信事業者網とのゲートウェイにあって、ホームエージェント(ＨＡ)の指示により企業網に在圏する移動端末(ＭＮ)への通信を企業網内で折り返す代理通信装置(ＰＣＮ)とで構成されるシステムである。ＨＡ-ＰＣＮ間はサービス開始時、セキュリティを考慮し、ＩＰＳｅｃによるトンネルを設定しておく。

図１９は、プライベートなアドレスで運用される企業網と、グローバルなアドレスで運用される公共ネットワーク（例えば、インターネット）と、企業網との相互接続契約に基づき網接続端末へグローバルなアドレスを付与し企業網へのアクセス手段を提供する通信事業者網とで構成されるネットワークを基本としている。

そして、図１９のシステムは、企業網内のプライベートなアドレスをモバイルＩＰプロトコルにおける不変的なアドレスであるホームアドレス(home address)として持ち、企業内及び外部ネットワークのアクセス網間をプライベートなアドレスを保持したまま移動し、企業網と通信を継続する移動端末(ＭＮ)と、通信事業者網にあって移動端末(ＭＮ)を認証する認証サーバ(ＡＡＡ)、通信事業者網にあって移動端末(ＭＮ)の位置管理を企業網内のプライベートなアドレスで行うホームエージェント(ＨＡ)と、企業網にあって企業網とホームエージェント(ＨＡ)間において公共ネットワークを介してＶＰＮで結ぶためのゲートウェイ装置と、企業網内にあって、ホームエージェント(ＨＡ)の指示により企業網に在圏する移動端末(ＭＮ)への通信を企業網内で折り返す代理通信装置(ＰＣＮ)とで構成されるシステムである。ＨＡ-ＰＣＮ間はサービス開始時、セキュリティを考慮し、ＩＰＳｅｃによるトンネルを設定しておく。

図２０は、プライベートなアドレスで運用される企業網と、グローバルなアドレスで運用される公共ネットワーク（例えば、インターネット）と、企業網との相互接続契約に基づき網接続端末へグローバルなアドレスを付与し企業網へのアクセス手段を提供する通信事業者網とで構成されるネットワークを基本としている。

そして、図２０のシステムは、企業網内のプライベートなアドレスをモバイルＩＰプロトコルにおける不変的なアドレスであるホームアドレス(home address)として持ち、企業内及び外部ネットワークのアクセス網間をプライベートなアドレスを保持したまま移動し、企業網と通信を継続する移動端末(ＭＮ)と、通信事業者網にあって移動端末(ＭＮ)を認証する認証サーバ(ＡＡＡ)、通信事業者網にあって移動端末(ＭＮ)の位置管理を企業網内のプライベートなアドレスで行うホームエージェント(ＨＡ)と、企業網にあって企業網とホームエージェント(ＨＡ)間において公共ネットワークを介してＶＰＮで結ぶためのゲートウェイ装置と、企業網外にあって、ホームエージェント(ＨＡ)の指示により企業網に在圏する移動端末(ＭＮ)への通信を企業網内で折り返す代理通信装置(ＰＣＮ)とでシステムを構成する。ＨＡ-ＰＣＮ間はサービス開始時、セキュリティを考慮し、ＩＰＳｅｃによるトンネルを設定しておく。
機能エンティティ詳細説明
ＡＡＡ
図２１は、図１のＡＡＡ１８の機能ブロックを示す図の例である。

ＡＡＡは、ＡＡＡプロトコル制御部３０、ＡＡＡＶＰＮ制御部３１、データベースサーバ３２、ネットワークカーネル３３、ネットワークデバイスインタフェース３４から構成される。

ＡＡＡプロトコル制御部３０は、ＡＡＡプロトコルを制御するＡＡＡプロトコル処理部３５から構成される。

ＡＡＡＶＰＮ制御部３１は、ＶＰＮデータベースより抽出したＶＰＮ情報をキャッシュするＶＰＮ情報キャッシュ３６（図２２）、鍵生成器３７から構成される。この鍵生成器３７によって生成された鍵は、形成されたＶＰＮを通るデータを暗号化するなどのために使用される。

図２２は、ＶＰＮ情報キャッシュの構成を示す図の例である。

例えば、ＶＰＮ情報キャッシュは、ＶＰＮ情報キャッシュインスタンスの集まりであり、ユーザがネットワークにアクセスしている間有効なネットワークで一意なユーザに固有な情報を含むセッションＩＤで検索される。ＶＰＮ情報キャッシュインスタンスは一意な識別子であるセッションＩＤ、このユーザが設定しているＶＰＮの数を示すプロファイル数、各ＶＰＮの設定情報を含むＶＰＮ情報プロファイルから構成される。ＶＰＮ情報プロファイルは、ＶＰＮを一意に識別する識別子であるプロファイル番号、ＶＰＮ適用のパケットを特定するための送信元と宛先のＩＰアドレストとそのネットマスク、パケットに設定するＴＯＳ値、ＩＰＳｅｃをＡＨ（Authentication Header Protocol）、ＥＳＰ（Encapsulating Security Payload）、カプセル化のみのいずれかで設定するかを示すセキュリティタイプ、ＩＰＳｅｃトンネルモードで参照されるＩＰＳｅｃトンネルの入口と出口である送信元と宛先のゲートウェイアドレス、宛先ゲートウェィが動的なＶＰＮ設定が可能かどうかを示す宛先ＧＷ種別、上りと下り方向のセキュリティ関係の識別子であるＳＰＩ(Security Parameter Index)、ＥＳＰ暗号鍵、ＥＳＰ認証鍵で構成される。

データベースサーバ３２は、ＶＰＮデータベース（図１３）とＷＥＢアプリケーションから構成される。

ネットワークカーネル３３はＩＰパケットの転送とネットワークへの接続点である物理インタフェースを制御するオペレーティングシステムであり、ＩＰパケット転送のルートを決定するルーティングテーブル（図２３）を持つ。ネットワークカーネルはＩＰパケットのカプセル化、パケット編集、パケット送出のキュー制御等を行うが、これらの機能はオペレーティングシステム依存であり、本発明の実施形態では限定しない。

図２３は、ルートテーブルの構成を示す図の例である。一般的なルーティングテーブルは、送信先アドレス、ゲートウェィアドレス、ネットマスク、メトリック、出力インタフェースから構成されており、送信先アドレスとメトリックで転送先ネットワークノードが決定される。本発明の実施形態はルートテーブルの構成には依存しないが、出力先に仮想ネットワークデバイスインターフェースを設定できるようなネットワークカーネルを例に以降の具体的な説明を行う。

又、ネットワークカーネル３３はカプセル化されたパケットを受信すると、パケットをデカプセル化する機能を持っており、デカプセル後のパケットがＥＳＰヘッダを含んでいれば、トンネル制御部で保持しているＥＳＰ情報を参照して暗号化されたパケットをデコードする機能を持つ。更にＩＰＳｅｃデカプセル化したデータがＵＤＰ（User Datagram Protocol）フォーマットの場合、ＵＤＰデカプセル化を行う。これらの機能はカプセル化、ＩＰＳｅｃそのものの実装に依存する部分であり、本質ではないため、概略のみを説明するに留める。

ネットワークデバイスインタフェース３４はネットワークデバイスへのインタフェースである。ネットワークデバイスインタフェース３４には、実装方法により、物理ネットワークデバイスインタフェースと仮想ネットワークデバイスインタフェースがある。

物理ネットワークデバイスインタフェースは、例えばＬＡＮ、ＩＳＤＮ、ＡＴＭ等のインタフェースカードである。物理ネットワークデバイスインターフェースの制御ドライバを「実デバイス」と呼ぶ。

仮想ネットワークデバイスインタフェースは仮想のネットワークデバイスへのインタフェースであり、物理ネットワークデバイスインタフェースと同様の制御により、ソフトウェア実装によるトンネリングやＩＰＳｅｃなどの機能を実現する、仮想のインターフェースカードである。トンネリングなどのある機能を持った仮想ネットワークインタフェースのドライバを「仮想デバイス」と呼ぶ。ネットワークカーネル３３がルーティングテーブルを参照し、仮想デバイスとパケットの送受信を行うことでカプセル化/デカプセル化などが行われる。本発明の説明ではＩＰｉｎＩＰは仮想デバイスｔｕｎｎｅｌ、ＩＰＳｅｃ、ＩＰＳｅｃ＋ＵＤＰは仮想デバイスｉｐｓｅｃで実装されている。もちろん、このような機能はハードウェア（物理ネットワークデバイスインタフェース）で実装しても構わない。

図２４から図２６はＡＡＡの処理フローである。以下、これらのフローを用いてＡＡＡの処理を説明する。

図２４は、ＡＡＡの全体処理フローの例である。

Ｓ100：ネットワークカーネル３３は物理ネットワークインタフェース３４よりパケットを受信すると、ＩＰのポート番号を検索することによりＡＡＡプロトコルシグナリングパケット（ＤＩＡＭＥＴＥＲ）を選択し、ＡＡＡプロトコル制御部３０に受信パケットの情報を渡す。

図２５は、図２１内に示されるＡＡＡプロトコル制御部３０の処理フローの例である。
Ｓ110：ＡＡＡプロトコル制御部３０内のＡＡＡプロトコル処理部３５はネットワークカーネル３３から受信したＡＡＡプロトコル（ＤＩＡＭＥＴＥＲ）のコマンドコードＡＶＰより受信メッセージを判定する。ＡＭＲ（AA Mobile Node Request）であればS111へ、ＨＡＡ（Home Agent MＩＰ Answer）であればS114へ処理を分岐する。
Ｓ111：AMRを受信したＡＡＡプロトコル処理部３５はＡＡＡＶＰＮ制御部３１を起動する。
Ｓ112：ＡＡＡＶＰＮ制御部３１はデータベースサーバ３２内にあるＶＰＮデータベースからＶＰＮ情報を読み出し、ＶＰＮ情報キャッシュ３６に設定する。
Ｓ113：ＡＡＡプロトコル処理部３５はＶＰＮ情報としてＳＰＣ固定部（図７）にサービスプロファイルを設定したモバイルＩＰプロトコルの位置登録要求メッセージ（Reg. Request）をＡＡＡプロトコルのホームエージェント登録要求メッセージ（ＨＡＲ: Home Agent MIP Request）に設定する。
Ｓ114：ＨＡＡを受信したＡＡＡプロトコル処理部３５はＡＡＡＶＰＮ制御部３１を起動し、ＡＡＡＶＰＮ制御部３１はモバイルＩＰプロトコルの位置登録要求メッセージ（Reg. Request）を使って位置登録を要求してきたＭＮの正当性を保証する為の認証子を生成する。
Ｓ115：ＡＡＡプロトコル処理部３５はＳＰＣ固定部（図７）にＶＰＮ情報を設定したモバイルＩＰプロトコルの位置登録応答メッセージ（Reg. Reply）に認証子を付加し、認証応答メッセージ（ＡＭＡ）に設定する。
Ｓ116：ＡＡＡプロトコル制御部３０はＨＡ宛に認証応答メッセージ（ＡＭＡ）、またはホームエージェント登録要求メッセージ（ＨＡＲ）を送出する。

図２６は、図２１内に示されるＡＡＡＶＰＮ制御部３１の処理フローの例である。図２５のS112の処理時に起動される。
Ｓ120：ＡＡＡＶＰＮ制御部３１はＳＱＬ等のデータベースアクセス言語を用いて、ＭＮのNetwork Access Identifier(ＮＡＩ)でデータベースサーバ３２に問い合わせ、データベースサーバ３２はＶＰＮデータベースから対応するＶＰＮ情報を読み出す。
Ｓ121：ＡＡＡＶＰＮ制御部３１はデータベースサーバ３２内にあるＶＰＮデータベースより読み出したＳＰＩ（Security Parameter Index）が、デフォルトＳＰＩであれば無処理のままS112へ処理を分岐する。そうでなければS122へ処理を分岐する。デフォルトＳＰＩは予めＡＡＡ内に初期構成時に設定されている、又はＡＡＡのローカルな保守コンソールから設定されているものとする。
Ｓ122：ＡＡＡＶＰＮ制御部３１は鍵生成器３７を起動する。鍵生成器３７はＶＰＮデータベースから読み出したＶＰＮ情報の設定鍵長に従い、乱数を生成する。

図２７は、図１のＨＡ１９、ＰＣＮ２０であるモバイルエージェント（ＭＡ）の機能ブロックを示す図の例である。モバイルＩＰのプロトコルを処理するプロセスあるいはエージェントを総称してモバイルエージェント（ＭＡ）と呼ぶ。

これらのネットワーク装置は、ＭＡプロトコル制御部４０、ＭＡＶＰＮ制御部４１、ネットワークカーネル４２、ネットワークデバイスインタフェース４３から構成される。

ＭＡプロトコル制御部４０は、ＡＡＡプロトコルを制御するＡＡＡプロトコル処理部４４とモバイルＩＰを制御するモバイルＩＰプロトコル処理部４５から構成される。

ＭＡＶＰＮ制御部４１は、ＡＡＡプロトコル、モバイルＩＰプロトコルにより通知されたＶＰＮ情報をキャッシュするＶＰＮ情報キャッシュ４６（図２２）、トンネル制御部４７から構成される。

トンネル制御部４７は、ＶＰＮ情報キャッシュ４６に設定されたＶＰＮ種別に応じて送信先のＩＰアドレスに対してルートテーブルの出力デバイスを書き換える。ＩＰｉｎＩＰの場合トンネル仮想デバイスに、ＩＰＳｅｃまたＩＰＳｅｃ＋ＵＤＰの場合ｉｐｓｅｃ仮想デバイスに書き換える。またＶＰＮ情報テーブル４８（図２８）にＶＰＮ種別、送信元と送信先のＩＰアドレストとそのネットマスク、セキュリティタイプ、送信元と送信先のゲートウェイアドレス、上りと下り方向のセキュリティ関係の識別子であるＳＰＩ(Security Parameter Index)、ＥＳＰ暗号鍵、ＥＳＰ認証鍵、ＵＤＰカプセルを行う際のＩＰのポート番号（portNumber）を設定する。ネットワークカーネル４２により仮想デバイスに出力されたパケットはＶＰＮ情報テーブル４８を参照して、暗号化/復号化とカプセル化/デカプセル化が実行される。

図２８は、ＶＰＮ情報テーブルを示す図の例である。

例えば図２８に示すＶＰＮ情報テーブルは、ＩＰＳｅｃ情報、ＥＳＰ情報、トンネル情報で構成される。ＩＰＳｅｃ情報はＩＰＳｅｃ情報インスタンスの集まりであり、送信元アドレスと宛先アドレスの組で特定される。ＩＰＳｅｃ情報インスタンスは送信元アドレス／ネットマスク、宛先アドレス／ネットマスク、パケットの実際の転送先である実宛先アドレス、このパケットに適用するトンネル情報の識別子、このパケットに適用するＥＳＰ情報の識別子から構成される。ＥＳＰ情報はＥＳＰ情報インスタンスの集まりであり、ＥＳＰ情報を一意に識別するＥＳＰ識別子、暗号化手法、方向、ＡＨ認証鍵長、ＥＳＰ認証鍵長、ＥＳＰ暗号鍵長、ＡＨ認証鍵、ＥＳＰ認証鍵、ＥＳＰ暗号鍵で構成される。トンネル情報はトンネル情報インスタンスの集まりであり、トンネル情報を一意に識別するトンネル識別子、カプセル化手法、方向、トンネルの入口と出口になる送信元アドレスと宛先アドレスから構成される。

ＶＰＮ情報キャッシュ４６、ネットワークカーネル４２、ネットワークデバイスインタフェース４３はＡＡＡの詳細説明の中で既に述べた。

図２９から図３５は、ＭＡ（Mobile Agent）の処理フローである。以下、これらのフローを用いてＭＡの処理を説明する。なお、ここでは、モバイルＩＰのプロトコルを処理するプロセスあるいはエージェントを総称してモバイルエージェントと呼んでいる。

図２９は、ＭＡの全体処理フローの例である。
Ｓ200：ネットワークカーネル４２はネットワークデバイスインタフェース４３よりパケットを受信すると、既に概略を説明したようにデカプセル化、暗号復号化を行った後、パケットがシグナリングパケットかデータパケットかで切り分ける。
シグナリングパケットであるかどうかはＭＡプロトコル制御部４０が指定したポート番号でパケットを受信したかどうかで決定される。シグナリングパケットであればＳ201、それ以外であればS203へ処理を分岐する。
Ｓ201：ＭＡプロトコル制御部４０へ受信パケットの情報を渡し、ポート番号によりＡＡＡとのＡＡＡプロトコル及びＭＮとのモバイルＩＰプロトコルの処理を行う。
Ｓ202：ＭＡプロトコル制御部４０はＭＡＶＰＮ制御部４１を起動し、ＶＰＮ情報の設定を行う。
Ｓ203：ネットワークカーネル４２は受信パケットの出力先のインタフェースを、ルーティングテーブルを参照して決定する。出力先が仮想デバイスであればカプセル化や暗号化が行われ、再度ネットワークカーネル４２はカプセル化した宛先でルーティングテーブルを参照し、出力デバイスを決定する。出力先が物理デバイスであれば、そのデバイスへパケットを送信する。
図３０は、図２７内に示されるＭＡプロトコル制御部４０の処理フローの例である。
Ｓ210：図２７内に示されるＭＡプロトコル制御部４０はネットワークカーネル２から受信したパケットのＩＰのポート番号を調べ、ＡＡＡプロトコルのポート番号であればＳ211へ、モバイルＩＰプロトコルであればS212へ処理を分岐する。
Ｓ211：ＡＡＡプロトコル処理部４４を起動し、ＡＡＡプロトコルの処理後、ＡＡＡプロトコルに情報の一部として付加されているモバイルＩＰプロトコルを取り出しS212へ処理を渡す。
Ｓ212：モバイルＩＰプロトコル処理部４５を起動し処理を終了する。
図３１は、図２７内に示されるＡＡＡプロトコル処理部４４の処理フローの例である。
Ｓ220：ＡＡＡプロトコル処理部４４はネットワークカーネル４２から受信したＡＡＡプロトコルよりＶＰＮ情報を抽出し、ＭＡＶＰＮ制御部４１を起動する。
ＭＡＶＰＮ制御部４１は、ＡＡＡプロトコル処理部４４にて抽出されたＶＰＮ情報をＶＰＮ情報キャッシュ４６へ設定する。後述のモバイルＩＰプロトコル処理部が参照するために、キャッシュの設定、更新を行った場合、共有メモリ上に更新したことを示すフラグを立てる。
Ｓ221：ＡＡＡプロトコルの処理後、ＡＡＡプロトコルに情報の一部として付加されているモバイルＩＰプロトコルを取り出す。

図３２は、図２７内で示されるモバイルＩＰプロトコル処理部４５の処理フローの例である。
Ｓ230：受信したモバイルＩＰプロトコルメッセージのタイプを判定する。タイプが位置登録要求（Reg. Request）であればS231へ、登録要求（ＢＵ：Binding Update）、登録応答（ＢＡ：Binding Ack）であればS235へ処理を分岐する。
位置登録要求（Reg. Request）の場合：
Ｓ231：登録要求を受信したモバイルエージェント（ＭＡ）がホームエージェント（ＨＡ）の場合、モバイルＩＰプロトコル処理部４５は登録要求メッセージの気付アドレス（care of address）と移動性結合内の旧気付アドレスを比較し、比較結果が異なればS232へ処理を分岐する。
Ｓ232：モバイルＩＰプロトコル処理部４５はＡＡＡプロトコル処理部４４で認証応答メッセージ（ＡＭＡ）で通知されたＶＰＮ情報をＭＡＶＰＮ制御部４１に通知すると、ＭＡＶＰＮ制御部４１はＶＰＮ情報キャッシュを通知されたＶＰＮ情報で更新する。
Ｓ233：ＭＡプロトコル制御部４０はＭＡＶＰＮ制御部４１を起動する。
Ｓ234：モバイルＩＰプロトコル処理部４５は、受信メッセージが位置登録要求（Reg. Request）の場合、位置登録応答（Reg. Reply）を送信する。受信メッセージがＢＵの場合、ＢＡを送信する。
登録要求（ＢＵ）、登録応答（ＢＡ）の場合：
Ｓ235：モバイルＩＰプロトコル処理部４５は受信メッセージがＢＵであれば、S235へ、ＢＡであればS234へ処理を分岐する。モバイルエージェント（ＭＡ）がＰＣＮとして動作している場合は、ＰＣＮ配下のＣＮ宛てのＢＵメッセージを全て代理受信する。この仕組みは、例えば特願２０００−３２３７２号の方式で実現される。
Ｓ236：処理を要求してきたＭＡがＰＣＮの場合、モバイルＩＰプロトコル処理部４５はＢＵメッセージに設定されたＶＰＮ情報をＶＰＮ情報キャッシュに設定もしくは置換する。

図３３は、図２７内に示されるＭＡＶＰＮ制御部４１の処理フローの例である。
Ｓ240：ＭＡＶＰＮ制御部４１は、ＶＰＮを張るために、トンネル制御部４７を起動する。

図３４及び図３５は、図２７内に示されるトンネル制御部４７の処理フローの例である。
Ｓ250：周期位置登録の場合、新しいVPNへ切り替える為にトンネル制御部４７はＶＰＮ情報インスタンスの情報を元にネットワークカーネル４２に設定済みのルートテーブル情報とＶＰＮ情報テーブル４８の該当する情報を削除する。
Ｓ251：トンネル制御部４７はＶＰＮ情報インスタンスのＶＰＮ情報プロファイルに設定されたＶＰＮ種別に応じてネットワークカーネル４２のルートテーブルに設定する。ルートテーブルの出力デバイスインタフェースはＶＰＮ種別がＩＰｉｎＩＰなら物理デバイス、ＩＰＳｅｃまたはＩＰＳｅｃ＋ＵＤＰならばＩＰＳｅｃ仮想デバイスへ出力する。
Ｓ252：トンネル制御部４７はＶＰＮ情報テーブル４８にトンネル情報を設定する。
Ｓ253：トンネル制御部４７は位置登録要求メッセージ（Reg. Request）内の気付けアドレスから、通信事業者または相互接続契約した通信事業者のグローバルアドレス運用によるセキュアなアクセス網（今の場合、CDＭＡ通信システムで構成されている通信事業者のアクセス網はセキュリティが非常に高いものとしている）への通信ならばS255へ、通信事業者または相互接続契約した通信事業者のグローバルアドレス運用による非セキュアなアクセス網（例えば、店舗内のみなどに限定された無線ＬＡＮなどのホットスポットが考えられる）ならばS256、それ以外ならS254へ処理を分岐させる。アドレスによる判定処理はDNS(Domain Name System)に問い合わせ、ドメイン比較による処理でもよい。
Ｓ254：トンネル制御部４７は位置登録要求メッセージ（Reg. Request）の送信元アドレスと気付けアドレスを比較し、一致すれば企業網内からのアクセスとしS255、一致しなければプライベートアドレス運用による相互接続契約した通信事業者運用のアクセス網からのアクセスとしS257へ処理を分岐する。アドレスによる判定処理はDNS(Domain Name System)に問い合わせ、ドメイン比較による処理でもよい。
Ｓ255：トンネル制御部４７はＶＰＮ種別にＩＰｉｎＩＰを設定する。
Ｓ256：トンネル制御部４７はＶＰＮ種別にＩＰＳｅｃを設定する。
Ｓ257：トンネル制御部４７はＶＰＮ種別にＩＰＳｅｃ＋ＵＤＰを設定する。
Ｓ260：トンネル制御部４７はＶＰＮ種別がＩＰｉｎＩＰならば処理を終了し、ＩＰＳｅｃならばS262、ＩＰＳｅｃ、ＩＰＳｅｃ＋ＵＤＰならばS261へ処理を分岐させる。
Ｓ261：ネットワークカーネル４２はＶＰＮ情報インスタンスのポート番号を用いてＵＤＰカプセル化を行う。
Ｓ262：ネットワークカーネル４２はＶＰＮ情報インスタンスのＶＰＮ情報プロファイル内ＳＰＩを参照して、ＳＰＩがユーザ個別であればS263へ、デフォルトＳＰＩであればS264へ処理を分岐する。デフォルトＳＰＩは予めモバイルエージェント（ＭＡ）内に初期構成時に設定される、又はモバイルエージェント（ＭＡ）のローカルな保守コンソールから設定されているものとする。
Ｓ263：ネットワークカーネル４２はＩＰＳｅｃ情報インスタンスにＥＳＰ識別子を設定する。
Ｓ264：ネットワークカーネル４２はＩＰＳｅｃ情報インスタンスにトンネル識別子を設定する。

図３６は、図１におけるＭＮ１６の機能ブロックの例を示す。

ＭＮというネットワーク装置は、ＭＮプロトコル制御部５０、ＭＮ ＶＰＮ制御部５１、ネットワークカーネル５２、ネットワークデバイスインタフェース５３から構成される。

ＭＮプロトコル制御部５０は、モバイルＩＰを制御するモバイルＩＰプロトコル処理部５４から構成される。ＭＮ ＶＰＮ制御部５１は、トンネル制御部５５から構成される。トンネル制御部５５はＶＰＮ情報テーブル５６に設定されたＶＰＮ種別に応じて送信先のＩＰアドレスに対してルートテーブル５８の出力デバイスを書き換える。ＩＰｉｎＩＰの場合トンネル仮想デバイスに、ＩＰＳｅｃまたＩＰＳｅｃ＋ＵＤＰの場合ＩＰＳｅｃ仮想デバイスに書き換える。ＶＰＮ情報キャッシュ５７（図２２）から読み込まれたＶＰＮ情報テーブル５６にＶＰＮ情報を設定する。

ネットワークカーネル５２により仮想デバイスに出力されたパケットはＶＰＮ情報テーブル５６を参照して、暗号化/復号化及びカプセル化/デカプセル化が実行される。ＶＰＮ情報テーブル５６、ネットワークカーネル５２、ネットワークデバイスインタフェース５３はＡＡＡの詳細説明の中で既に述べたので、詳細は省略する。

図３７から図４１は、ＭＮの処理フローである。以下、これらのフローを用いてＭＮの処理を説明する。

図３７は、ＭＮの全体処理フローの例である。
Ｓ300：ネットワークカーネル５８は物理ネットワークインタフェース５３よりパケットを受信すると、既に概略を説明したようにデカプセル化、復号化を行った後、パケットがシグナリングパケットかデータパケットかで切り分ける。シグナリングパケットのであるかいなかはＭＮプロトコル制御部５０が指定したＩＰのポート番号でパケットを受信したかどうかで決定される。シグナリングパケットであればＳ301、それ以外であればS303へ処理を分岐する。
Ｓ301：ＭＮプロトコル制御部５０はネットワークカーネルからシグナルパケットを受信し、モバイルＩＰプロトコルの処理を行う。
Ｓ302：ＭＮ ＶＰＮ制御部５１を起動し、ＶＰＮ情報の設定を行う。
Ｓ303：ネットワークカーネル５２は受信パケットの出力先のインタフェースを、ルーティングテーブルを参照して決定する。出力先が仮想デバイスであればカプセル化や暗号化が行われ、再度ネットワークカーネル４２はカプセル化した宛先でルーティングテーブルを参照し、出力デバイスを決定する。出力先が物理デバイスであれば、そのデバイスへパケットを送信する。

図３８は、図３６内で示されるＭＮプロトコル制御部５０の処理フローの例である。
Ｓ310：受信したパケットのＩＰのポート番号を調べ、モバイルＩＰプロトコルであればモバイルＩＰプロトコル処理部を起動し処理を終了する。

図３９は、図３６内に示されるモバイルＩＰプロトコル処理部５４の処理フローの例である。
Ｓ320：モバイルＩＰプロトコル処理部５４は受信メッセージのタイプを調べ、ＤＨＣＰならS321へ、位置登録応答メッセージ（Reg. Reply）ならS327へ処理を分岐する。
S321：モバイルＩＰプロトコル処理部５４はＤＨＣＰで通知されたアドレスを調べ、ＭＮの気付アドレスに一致するならS323へ、不一致ならS322へ処理を分岐する。
S322：モバイルＩＰプロトコル処理部５４はDHCPACKメッセージから、気付アドレスとなるＩＰアドレスとネットワークのドメイン名を取得する。
S323：モバイルＩＰプロトコル処理部５４はＤＨＣＰで取得したアドレスを調べ、企業網のアドレスと一致した場合は、S325へ、通信事業者または相互接続契約した通信事業者のグローバルアドレスによる運用が行われているアクセス網のアドレスと一致した場合は、S326へ、相互接続契約した通信事業者のローカルアドレスによる運用が行われているアクセス網の場合はS324へ処理を分岐する。アドレスによる判定処理はDNS(Domain Name System)に問い合わせ、ドメイン比較による処理でもよい。
S324：モバイルＩＰプロトコル処理部５４はＨＡのグローバルなアドレスにＵＤＰトンネル要求ありの位置登録要求メッセージ（Reg. Request）を送出し、処理を終了する。
S325：モバイルＩＰプロトコル処理部５４はＨＡのプライベートなアドレスに位置登録要求メッセージ（Reg. Request）を送出し、処理を終了する。
S326：モバイルＩＰプロトコル処理部５４はＨＡのグローバルなアドレスに位置登録要求メッセージ（Reg. Request）を送出し、処理を終了する。
S327：モバイルＩＰプロトコル処理部５４は位置登録応答メッセージ（Reg. Reply）に設定されたＶＰＮ情報をＶＰＮ情報キャッシュ５７に設定する。
S328：モバイルＩＰプロトコル処理部５４はＭＮ ＶＰＮ制御部５１を起動し処理を終了する。

図４０は、図３６内に示されるＭＮ ＶＰＮ制御部５１の処理フローの例である。
Ｓ330：ＭＮ ＶＰＮ制御部５１はＶＰＮを張るため、トンネル制御部５５を起動し処理を終了する。

図４１は、図３６内に示されるトンネル制御部５５の処理フローの例である。
Ｓ340：周期位置登録の場合、新しいVPNへ切り替える為にトンネル制御部５５はＶＰＮ情報インスタンスの情報を元にネットワークカーネルに設定済みのルートテーブル情報とＶＰＮ情報テーブル５６の該当する情報を削除する。
Ｓ341：トンネル制御部５５はＶＰＮ情報インスタンスのＶＰＮ情報プロファイルに設定されたＶＰＮ種別に応じて出力デバイスを設定する。ＶＰＮ種別がＩＰｉｎＩＰなら物理デバイス、ＩＰＳｅｃまたはＩＰＳｅｃ＋ＵＤＰならばＩＰＳｅｃ仮想デバイスへ出力する。
Ｓ342：トンネル制御部５５はＶＰＮ情報インスタンスのＶＰＮ情報プロファイルを参照して、ＩＰＳｅｃ情報テーブルのトンネル情報インスタンスを設定する。
Ｓ343：トンネル制御部５５はＶＰＮ情報インスタンスのＶＰＮ種別を参照して、ＩＰｉｎＩＰであればトンネリング処理を終了し、ＩＰＳｅｃであればS345へ処理を分岐し、ＩＰＳｅｃ＋ＵＤＰであればS344へ処理を分岐する。
Ｓ344：ネットワークカーネル５２はＶＰＮ情報インスタンスのＩＰのポート番号を用いてＵＤＰカプセル化を行う。
Ｓ345：ネットワークカーネル５２はＶＰＮ情報インスタンスのＶＰＮ情報プロファイル内ＳＰＩを参照して、ＳＰＩがユーザ個別であればS346へ、デフォルトＳＰＩであればS347へ処理を分岐する。デフォルトＳＰＩは予めＭＮ内に初期構成時に設定されている、又はＭＮのローカルな保守コンソールから設定されているものとする。
Ｓ346：ネットワークカーネル５２はＩＰＳｅｃ情報インスタンスにＥＳＰ識別子を設定する。
Ｓ347：ネットワークカーネル５２はＩＰＳｅｃ情報インスタンスにトンネル識別子を設定する。

以下、ＭＮがネットワークにアクセスした時にどのようにしてＶＰＮが設定されていくかを幾つかの例を示して説明する。以降の実施形態では、ＨＡを通信事業者網内に設置されたことを想定して説明を行うが、ＨＡを企業網内に設置した場合においても同様である。トンネルを終端するネットワーク装置でのカプセル化、デカプセル化については企業網内同一拠点からのアクセス時におけるＶＰＮ設定方式で詳細に述べる。ＶＰＮ設定方式は、それ以外の実施形態でも動作は同様である為、その他の実施形態では説明を省略する。
・企業網内同一拠点からのアクセス時におけるＶＰＮ設定方式
図４２及び図４３は、本発明の実施形態に従った、企業網内で通信する場合を説明する図である。

図４２に示すとおり、企業網拠点Ａに存在するＭＮから企業網の同一拠点内であるＣＮと通信を行った場合のＶＰＮ設定とパケットルーティングについて示す。企業網内のある拠点に存在するＭＮの位置登録手順におけるＩＰｉｎＩＰ ＶＰＮの設定シーケンスを図４３に示す。図４３で示されるＭＮはホームアドレスとして10.10.255.1が割り振られており、通信事業者網内に設置されたＨＡにはモバイルＩＰ用の企業網としてプライベートなネットワークである仮想ホームセグメントが設定されている。その仮想ホームセグメントとのゲートウェイアドレスとして10.10.255.100のプライベートなアドレスが設定されている。

ＰＣＮ-ＨＡ間は静的にＩＰＳｅｃが設定されており、ＨＡとＰＣＮのルーティングテーブルにはルーティング可能なルートが設定されている（１）。

ＭＮはＤＨＣＰサーバにDHCPREQUESTを送信し、DHCPACKを受信することで、ネットワーク内でルーティング可能なＩＰアドレス[10.10.1.100]とドメイン名[asya.com]を取得する（２）、（３）。

送信元アドレスをＤＨＣＰで割り振られた企業網のプライベートなアドレス[10.10.1.100]を気付けアドレスとし、送信先アドレスをＨＡのプライベートなアドレス[10.10.255.100]とする、ＮＡＩ拡張とＡＡＡ認証ヘッダを含む位置登録要求メッセージ（Reg. Request）をＨＡ宛に送信する（４）。

ＰＣＮ-ＨＡ間は静的にＩＰＳｅｃによるＶＰＮが設定されている為、ＰＣＮ装置内にて、送信先アドレスがＨＡのプライベートなアドレス[10.10.255.100]であるので、ルーティングテーブルを参照し、ＩＰＳｅｃ０仮想インタフェースへパケットを送出する。ＩＰＳｅｃ０仮想インタフェースでパケットを受信すると、ＩＰＳｅｃの設定で指定された暗号化アルゴリズムを使用し、受信パケットを暗号化し、ＰＣＮのグローバルなアドレスを送信元アドレス[100.1.1.100]、送信先アドレスをＨＡのグローバルなアドレス[100.1.1.1]としたＩＰヘッダとＩＰＳｅｃヘッダを付加したＩＰＳｅｃカプセル化を行い、ルーティングテーブルを参照し、実インタフェースｅｔｈ１からＨＡへパケットが送信される（５）。

ＭＮからの位置登録要求メッセージ（Reg. Request）を受信したＨＡは、ルーティングテーブルを参照し、パケットの送信先アドレスがＨＡのグローバルなアドレス[100.1.1.1]であることから、実インタフェースｅｔｈ０でパケットを受信する。ＩＰＳｅｃヘッダを参照し、オリジナルパケットの暗号をデコードする。デコードされたパケットの送信先アドレスがＨＡのインタフェースアドレスであるプライベートなアドレス[10.10.255.100]であるので、パケットを終端し、アプリケーションであるＭＡプロトコル制御部へ位置登録要求メッセージ（Reg. Request）を渡す。ＨＡは、位置登録要求メッセージ（Reg. Request）の解析を行い、解析結果に従いＡＡＡに認証要求メッセージ（ＡＭＲ）を送信する（６）。

ＡＡＡはＡＭＲメッセージに含まれたＮＡＩでＶＰＮデータベースを検索し、このユーザに固有のＶＰＮ情報を抽出する。ＭＮの気付けアドレスのネットワークアドレスが企業網ネットワークであることから、ＶＰＮ種別にＩＰｉｎＩＰを設定したＶＰＮ情報をサービスプロファイルに設定する。ＳＰＣ固定部（図７）にサービスプロファイルを設定した位置登録要求メッセージ（Reg. Request）をホームエージェント登録要求メッセージ（ＨＡＲ）に設定し、ＨＡ宛に送信する（７）。

ＨＡはホームエージェント登録要求メッセージ（ＨＡＲ）で通知されたＶＰＮ情報をＶＰＮ情報キャッシュに設定し、ＨＡはホームエージェント登録応答メッセージ（ＨＡＡ）にサービスプロファイルを含んだ位置登録応答（Reg. Reply）を設定し、ＡＡＡへ送信する（８）。

ＡＡＡはホームエージェント登録応答メッセージ（ＨＡＲ）で通知された位置
ＡＡＡはＳＰＣ固定部（図７）にＶＰＮ情報を設定したモバイルＩＰプロトコルの位置登録応答（Reg. Reply）を含んだホームエージェント登録応答メッセージ（ＨＡＡ）を受信すると、位置登録応答（Reg. Reply）に認証子を付加し、ＨＡ宛に認証応答（ＡＭＡ）を送信する（９）。

ＨＡは移動結合テーブルにＭＮのホームアドレス[10.10.255.1]と気付けアドレス[10.10.1.100]を移動結合テーブルに設定する。ＩＰｉｎＩＰトンネルの為のＶＰＮ情報を設定したサービスプロファイルを設定した位置登録応答（Reg. Reply）を返し、ルーティングテーブルに、送信先アドレスがＭＮのホームアドレス[10.10.255.1]とするパケットをＭＮの気付けアドレス宛[10.10.255.100]に送信する為のトンネルを設定し、ＨＡからＭＮ方向へのＩＰｉｎＩＰ ＶＰＮを設定する（１０）、（１１）。

ＭＮは位置登録応答（Reg. Reply）を受信すると、サービスプロファイルに従い、ＭＮからＨＡ方向にＩＰｉｎＩＰ ＶＰＮを設定する。

図４４から図４６は、企業網内における経路の切り替え方式を説明する図である。

図４４に示すような企業網内のＭＮと企業網内のＣＮで通信を行う場合に、ＣＮからＭＮ方向のパケットをＨＡへは転送せず、企業網内のＰＣＮにてパケットを折り返し、企業網内に閉じた通信を可能とする。このＨＡからＰＣＮにパケット折り返しを指示し、経路を最適化する為のシーケンスを図４５に示す。

図４５においては、まず、ＨＡからＰＣＮに対し結合要求メッセージ（ＢＵ）を送信する（１２）。

ＰＣＮは通知されたホームアドレス[10.10.255.1]と気付けアドレスリスト[10.10.1.100]を移動結合テーブルに設定する。ＭＮのホームアドレスを送信先アドレスとするパケットをＭＮの気付けアドレス宛に送信するようルーティグテーブルにトンネルを設定する。ＰＣＮは結合応答メッセージ（ＢＡ）を返す（１３）。

経路最適化後、ＣＮからＭＮ方向へのデータパケットは、ＣＮからＰＣＮへルーティングされ、ＰＣＮで折り返され、ＭＮへ送信される。経路最適化後のデータパケットのルーティングを図４６に示す。

ＭＮからＣＮ方向へのパケットは送信元アドレスをＭＮのホームアドレス[10.10.255.1]とし、送信先アドレスをＣＮのプライベートなアドレス[10.10.2.100]とし、ＰＣＮを経由し、ＣＮへ転送される（１４）。

ＣＮからＭＮ方向へのパケットは送信元アドレスをＣＮのプライベートなアドレス[10.10.1.2]、送信先アドレスをＭＮのホームアドレス[10.10.255.1]としＰＣＮへと転送される。ＰＣＮにて移動結合テーブルを参照し、送信元アドレスをＣＮのプライベートなアドレス[10.10.2.1]、送信先アドレスをＭＮの気付けアドレス[10.10.1.100]とするモバイルＩＰプロトコルによるカプセル化が行われ、ＭＮへと転送される（１５）。
・企業網内他拠点からのアクセス時における拠点間通信に既存設備を流用したＶＰＮ設定方式
図４７及び図４８は、同一管理ドメイン内の拠点間通信について説明する図である。

図４７に示すような企業網間通信には企業網拠点ＡのＧＷと企業網拠点ＢのＧＷ間に張られた既存ＶＰＮを使用し、企業網拠点Ａ内のＰＣＮと通信事業者網に設置したＨＡ間にのみに新たにＶＰＮを設定したネットワーク構成で、企業網内拠点Ａに存在するＭＮから企業網の異なる拠点Ｂに存在するＣＮと通信を行った場合のＶＰＮ設定とパケットルーティングについて示す。企業網内拠点Ａに存在するＭＮの位置登録手順におけるＩＰｉｎＩＰ ＶＰＮ設定シーケンスを図４８に示す。

図４８においては、ＭＮはＤＨＣＰを利用して、ＩＰアドレス[10.10.1.100]とドメイン名[asya.com]を取得する（１）、（２）。

送信元アドレスをＤＨＣＰで割り振られた企業網のプライベートなアドレス[10.10.1.100]、送信先アドレスをＨＡのグローバルなアドレス[100.1.1.1]とする、ＮＡＩ拡張とＡＡＡ認証ヘッダを含む位置登録要求メッセージ（Reg. Request）をＨＡ宛に送信する（３）。

企業網ＧＷ-ＨＡ間は静的にＩＰＳｅｃによるＶＰＮが設定されている為、企業網ＧＷにて送信元アドレスを企業網ＧＷのグローバルなアドレス[100.1.1.100]、送信先アドレスをＨＡのグローバルなアドレス[100.1.1.1]としたＩＰＳｅｃカプセル化を行い、ＨＡへ転送する（４）。

ＭＮからの位置登録要求メッセージ（Reg. Request）を受信したＨＡはＩＰＳｅｃデカプセル化を行い、ＡＡＡに認証要求メッセージ（ＡＭＲ）を送信する（５）。

ＡＡＡはＡＭＲメッセージに含まれたNAIでＶＰＮデータベースを検索し、このユーザに固有のＶＰＮ情報を抽出する。ＭＮの気付けアドレスのネットワークアドレスが企業網ネットワークであることから、ＶＰＮ種別にＩＰｉｎＩＰを設定したＶＰＮ情報をサービスプロファイルに設定する。ＳＰＣ固定部（図７）にサービスプロファイルを設定した位置登録要求メッセージ（Reg. Request）をホームエージェント登録要求メッセージ（ＨＡＲ）に設定し、ＨＡ宛に送信する（６）。

ＨＡはホームエージェント登録要求メッセージ（ＨＡＲ）で通知されたＶＰＮ情報をＶＰＮ情報キャッシュに設定し、ＨＡはホームエージェント登録応答メッセージ（ＨＡＡ）にサービスプロファイルを含んだ位置登録応答（Reg. Reply）を設定し、ＡＡＡへ送信する（７）。

ＡＡＡはＳＰＣ固定部（図７）にＶＰＮ情報を設定したモバイルＩＰプロトコルの位置登録応答（Reg. Reply）を含んだホームエージェント登録応答メッセージ（ＨＡＡ）を受信すると、登録応答（Reg. Reply）に認証子を付加し、ＨＡ宛に認証応答（ＡＭＡ）を送信する（８）。

ＨＡはＶＰＮ種別にＩＰｉｎＩＰを設定した位置登録応答（Reg. Reply）を返し、ＨＡからＭＮ方向へのＩＰｉｎＩＰ ＶＰＮを設定する（９）、（１０）。

ＭＮは位置登録応答（Reg. Reply）を受信すると、サービスプロファイルに従い、ＭＮからＨＡ方向にＩＰｉｎＩＰ ＶＰＮを設定する。

図４９から図５１は、企業網内における経路切り替え方式を説明する図である。

図４９に示すような企業網内のＭＮと企業網内のＣＮで通信を行う場合に、ＣＮからＭＮ方向のパケットをＨＡへは転送せず、企業網ＧＷ間に設定されているＶＰＮを通り、企業網内のＰＣＮにてパケットを折り返し、企業網内に閉じた通信を可能とする。このＨＡからＰＣＮにパケット折り返しを指示し、経路を最適化する為のシーケンスを図５０に示す。

図５０においては、まず、ＨＡからＰＣＮに対し結合要求メッセージ（ＢＵ）を送信する（１１）。通信事業者網と企業網ＧＷ間はＩＰＳｅｃによるトンネリングによりメッセージが転送される。

ＰＣＮは通知されたホームアドレスと気付けアドレスリストを移動結合テーブルに設定する。ＭＮのホームアドレスを送信先アドレスとするパケットをＭＮの気付けアドレス宛に送信するようルーティグテーブルにトンネルを設定する。そして、ＰＣＮは結合応答メッセージ（ＢＡ）をＨＡに返す（１２）。

経路最適化後、ＣＮからＭＮ方向へのデータパケットは、ＣＮからＰＣＮへルーティングされ、ＰＣＮで折り返され、ＭＮへ送信される。経路最適化後のデータパケットのルーティングを図５１に示す。

図５１においては、ＭＮからＣＮ方向へのパケットは送信元アドレスをＭＮのホームアドレス[10.10.255.1]とし、送信先アドレスをＣＮのプライベートなアドレス[10.10.2.100]とし、企業網既存ＶＰＮを経由し、ＣＮへ転送される（１３）。

ＣＮからＭＮ方向へのパケットは送信元アドレスをＣＮのプライベートなアドレス[10.10.2.100]、送信先アドレスをＭＮのホームアドレス[10.10.255.1]としＰＣＮ送信する。ＰＣＮにて移動結合テーブルを参照し、送信元アドレスをＣＮのプライベートなアドレス[10.10.2.100]、送信先アドレスをＭＮの気付けアドレス[10.10.1.100]とするモバイルＩＰプロトコルによるカプセル化が行われ、ＭＮへと転送される（１４）。
・企業網内他拠点からのアクセス時における拠点間通信に拠点毎ＶＰＮ設定方式
図５２及び図５３は、同一管理ドメイン内の拠点間通信を説明する図である。

図５２に示すような企業網間通信には企業網拠点AのＧＷと企業網拠点ＢのＧＷ間に張られた既存ＶＰＮを使用し、ＨＡとの通信の為に、新たに企業網拠点Ａ内にＰＣＮ１と企業網拠点Ｂ内にＰＣＮ２を設置し、ＰＣＮ１、ＰＣＮ２とＨＡ間にＶＰＮを設定したネットワークにおいて、企業網内拠点Ａに存在するＭＮからの企業網内拠点Ｂに存在するＣＮと通信を行った場合のＩＰｉｎＩＰ ＶＰＮ設定とパケットルーティングについて示す。企業網Aのある拠点に存在するＭＮ の位置登録手順におけるＩＰｉｎＩＰ ＶＰＮ設定シーケンスを図５３に示す。

図５３においては、まず、ＤＨＣＰを利用しＩＰアドレス[10.10.1.100]とドメイン名[asya.com]を取得する（１）、（２）。

送信元アドレスにＤＨＣＰで割り振られた企業網のプライベートなアドレス[10.10.1.100]、送信先アドレスにＨＡのグローバルなアドレス[100.1.1.1]を設定し、ＮＡＩ拡張とＡＡＡ認証ヘッダを含む位置登録要求メッセージ（Reg. Request）をＨＡ宛に送信する（３）。

ＰＣＮ１-ＨＡ間は静的にＩＰＳｅｃによるＶＰＮが設定されている為、ＰＣＮ２にて送信元アドレスをＰＣＮ２のグローバルなアドレス[100.1.1.100]、送信先アドレスをＨＡのグローバルなアドレス[100.1.1.1]としたＩＰＳｅｃカプセル化を行い、ＨＡへ転送する（４）。

ＭＮからの位置登録要求メッセージ（Reg. Request）を受信したＨＡはＩＰＳｅｃデカプセル化を行い、ＡＡＡに認証要求メッセージ（ＡＭＲ）を送信する（５）。

ＡＡＡはＡＭＲメッセージに含まれたNAIでＶＰＮデータベースを検索し、このユーザに固有のＶＰＮ情報を抽出する。ＭＮの気付けアドレスのネットワークアドレスが企業網ネットワークであることから、ＶＰＮ種別にＩＰｉｎＩＰを設定したＶＰＮ情報をサービスプロファイルに設定する。ＳＰＣ固定部（図７）にサービスプロファイルを設定した位置登録要求メッセージ（Reg. Request）をホームエージェント登録要求メッセージ（ＨＡＲ）に設定し、ＨＡ宛に送信する（６）。

ＨＡはホームエージェント登録要求メッセージ（ＨＡＲ）で通知されたＶＰＮ情報をＶＰＮ情報キャッシュに設定し、ＨＡはホームエージェント登録応答メッセージ（ＨＡＡ）にサービスプロファイルを含んだ位置登録応答（Reg. Reply）を設定し、ＡＡＡへ送信する（７）。

ＡＡＡはＳＰＣ固定部（図７）にＶＰＮ情報を設定したモバイルＩＰプロトコルの位置登録応答（Reg. Reply）を含んだホームエージェント登録応答メッセージ（ＨＡＡ）を受信すると、登録応答（Reg. Reply）に認証子を付加し、ＨＡ宛に認証応答（ＡＭＡ）を送信する（８）。

ＨＡはＶＰＮ種別にＩＰｉｎＩＰを設定した位置登録応答（Reg. Reply）を返し、ＨＡからＭＮ方向へのＩＰｉｎＩＰ ＶＰＮを設定する（９）、（１０）。

ＭＮは位置登録応答（Reg. Reply）を受信すると、サービスプロファイルに従い、ＭＮからＨＡ方向にＩＰｉｎＩＰ ＶＰＮを設定する。

図５４から図５６は、ＰＣＮ１−ＰＣＮ２間の経路最適化方式を説明する図である。

図５４に示すような企業網拠点Ａ内のＭＮと企業網拠点Ｂ内のＣＮで通信を行う場合に、ＣＮからＭＮ方向のパケットをＨＡへは転送せず、企業網ＧＷ間に設定されたＶＰＮを通り、企業網A内のＰＣＮ１にてパケットを折り返し、企業網内に閉じた通信を可能とする。このＨＡからＰＣＮにパケット折り返しを指示し、経路を最適化する為のシーケンスを図５５に示す。

図５５においては、ＨＡからＣＮ側ＰＣＮ1に対し、結合要求メッセージ（ＢＵ）を送信する（１１）。

ＰＣＮ１は通知されたホームアドレスと気付けアドレスリストを移動結合テーブルに設定する。送信先アドレスがＭＮのホームアドレスとなるパケットをＰＣＮ２へ送信するようルーティングテーブルにトンネルを設定する。結合応答メッセージ（ＢＡ）を送信する（１２）。

経路最適化後、ＣＮからＭＮ方向へのデータパケットは、ＣＮから企業網のＧＷ間に設定されたＶＰＮを使用し、ＰＣＮ１からＰＣＮ２へルーティングされ、ＭＮへ送信される。経路最適化後のデータパケットのルーティングを図５６に示す。

ＭＮからＣＮ方向へのパケットは送信元アドレスをＭＮのホームアドレス[10.10.255.1]とし、送信先アドレスをＣＮのプライベートなアドレス[10.10.2.100]とし、ＰＣＮ１を経由し、ＣＮへ転送される（１３）。

ＣＮからＭＮ方向へのパケットは送信元アドレスをＣＮのプライベートなアドレス[10.10.2.100]、送信先アドレスをＭＮのホームアドレス[10.10.255.1]としＰＣＮ２に送信する。ＰＣＮ２にて結合テーブルを参照し、送信元アドレスをＣＮのプライベートなアドレス[10.10.2.100]、送信先アドレスをＭＮの気付けアドレス[10.10.1.100]とするモバイルＩＰプロトコルによるカプセル化が行われ、ＭＮへと転送される（１４）。
・通信事業者のセキュアなアクセス網（例ＣＤＭＡ通信網）からのアクセス時におけるＶＰＮ設定方式
図５７から図５９は、移動通信事業者を介した通信について説明する図である。

図５７に示すようなＭＮは通信事業者によってセキュリティが保証された通信事業者網に存在し、企業網に設置されたＰＣＮと通信事業者網に設置されたＨＡ間にＩＰＳｅｃによるＶＰＮが設定されたネットワークにおいて、企業網内のＣＮとセキュリティが保証された通信事業者網である外部ネットワークに存在するＭＮと通信を行った場合のＶＰＮ設定とパケットルーティングについて示す。セキュリティが保証された通信事業者網である外部ネットワークに存在するＭＮ の位置登録手順におけるＩＰｉｎＩＰ ＶＰＮ設定シーケンスを図５８に示す。

図５８においては、ＭＮはＤＨＣＰを利用しＩＰアドレス[200.2.1.100]とドメイン名[docomo.com]を取得する（１）、（２）。

送信元アドレスにDHCPで割り振られた通信事業者網のアドレス[200.2.1.100]、送信先アドレスにＨＡのグローバルなアドレス[200.1.1.101]を設定し、ＮＡＩ拡張とＡＡＡ認証ヘッダを含む位置登録要求メッセージ（Reg. Request）をＨＡ宛に送信する（３）。

ＭＮからの位置登録要求メッセージ（Reg. Request）を受信したＨＡはＡＡＡに認証要求メッセージ（ＡＭＲ）を送信する（４）。

ＡＡＡはＡＭＲメッセージに含まれたNAIでＶＰＮデータベースを検索し、このユーザに固有のＶＰＮ情報を抽出する。ＭＮの気付けアドレスのネットワークアドレスがセキュアな通信事業者網であることから、ＶＰＮ種別にＩＰｉｎＩＰを設定したＶＰＮ情報をサービスプロファイルに設定する。ＳＰＣ固定部（図７）にサービスプロファイルを設定した位置登録要求メッセージ（Reg. Request）をホームエージェント登録要求メッセージ（ＨＡＲ）に設定し、ＨＡ宛に送信する（５）。

ＨＡはホームエージェント登録要求メッセージ（ＨＡＲ）で通知されたＶＰＮ情報をＶＰＮ情報キャッシュに設定し、ＨＡはホームエージェント登録応答メッセージ（ＨＡＡ）にサービスプロファイルを含んだ位置登録応答（Reg. Reply）を設定し、ＡＡＡへ送信する（６）。

ＡＡＡはＳＰＣ固定部（図７）にＶＰＮ情報を設定したモバイルＩＰプロトコルの位置登録応答（Reg. Reply）を含んだホームエージェント登録応答メッセージ（ＨＡＡ）を受信すると、登録応答（Reg. Reply）に認証子を付加し、ＨＡ宛に認証応答（ＡＭＡ）を送信する（７）。

ＨＡはＶＰＮ種別にＩＰｉｎＩＰを設定した位置登録応答（Reg. Reply）を返し、ＨＡからＭＮ方向へのＩＰｉｎＩＰ ＶＰＮを設定する（８）。

ＭＮは位置登録応答（Reg. Reply）を受信すると、サービスプロファイルに従い、ＭＮからＨＡ方向にＩＰｉｎＩＰ ＶＰＮを設定する。
上記で設定されたＶＰＮを使用し、ＨＡを経由しＭＮ-ＣＮ間の通信が行われる。データパケット交換シーケンスを図５９に示す。図５９は通信事業者網からの接続シーケンスを示している。

図５９においては、ＭＮからＣＮ方向へのパケットはＭＮのco-locatedモードにより外部ＩＰヘッダの送信元アドレスに通信事業者網で割り振られたアドレス[200.2.1.100]、送信先アドレスにＨＡアドレス[100.1.1.1]、内部ＩＰヘッダの送信元アドレスにＭＮのホームアドレス[10.10.255.1]、送信先アドレスをＣＮのプライベートなアドレス[10.10.2.100]としたパケットが生成され、ＨＡへ送信される。ＰＣＮ-ＨＡ間は静的にＩＰＳｅｃによるＶＰＮが設定されている為、ＨＡにて送信元アドレスをＨＡのグローバルなアドレス[100.1.1.1]、送信先アドレスをＰＣＮのグローバルなアドレス[100.1.1.100]としたＩＰＳｅｃカプセル化を行い、ＰＣＮへ転送される。ＰＣＮにてＩＰＳｅｃデカプセル化を行い、ＣＮへ送信する（９）。

ＣＮからＭＮ方向へのパケットは送信元アドレスをＣＮのプライベートなアドレス[10.10.2.100]、送信先アドレスをＭＮのホームアドレス[10.10.255.1]としＰＣＮへ送信される。ＰＣＮにて送信元アドレスをＰＣＮグローバルなアドレス[100.1.1.100]、送信先アドレスをＨＡのグローバルなアドレス[100.1.1.1]としたＩＰＳｅｃカプセル化を行い、ＨＡへ送信する。ＨＡではＩＰＳｅｃデカプセル化を行い、モバイルＩＰプロトコルによるカプセル化を行い、ＭＮへ送信する（１０）。
・通信事業者の非セキュアなアクセス網（例ホットスポット）からのアクセス時におけるＶＰＮ設定方式
図６０から図６２は、移動通信事業者網直結ホットスポットからの通信動作を説明する図である。

図６０に示すようなＭＮは通信事業者によってセキュリティが保証されていないホットスポットに存在し、企業網に設置されたＰＣＮと通信事業者網に設置されたＨＡ間にＩＰＳｅｃによるＶＰＮが設定されたネットワークにおいて、企業網内のＣＮとセキュリティが保証されていないホットスポット網である外部ネットワークに存在するＭＮと通信を行った場合のＶＰＮ設定とパケットルーティングについて示す。セキュリティが保証されていないホットスポットに存在するＭＮ の位置登録手順におけるＩＰＳｅｃ ＶＰＮ設定シーケンスを図６１に示す。

図６１においては、ＭＮはＤＨＣＰを利用しＩＰアドレス[200.20.1.100]とドメイン名[docomo.com]を取得する（１）、（２）。

送信元アドレスにＤＨＣＰで割り振られた通信事業者網のアドレス[200.20.1.100]、送信先アドレスにＨＡのグローバルなアドレス[100.1.1.1]を設定し、ＮＡＩ拡張とＡＡＡ認証ヘッダを含む位置登録要求メッセージ（Reg. Request）をＨＡ宛に送信する（３）。

ＭＮからの位置登録要求メッセージ（Reg. Request）を受信したＨＡはＡＡＡに認証要求メッセージ（ＡＭＲ）を送信する（４）。

ＡＡＡはＡＭＲメッセージに含まれたNAIでＶＰＮデータベースを検索し、このユーザに固有のＶＰＮ情報を抽出する。ＭＮの気付けアドレスのネットワークアドレスが非セキュアな通信事業者網であることから、ＶＰＮ種別にＩＰＳｅｃを設定したＶＰＮ情報をサービスプロファイルに設定する。ＳＰＣ固定部（図７）にサービスプロファイルを設定した位置登録要求メッセージ（Reg. Request）をホームエージェント登録要求メッセージ（ＨＡＲ）に設定し、ＨＡ宛に送信する（５）。

ＨＡはホームエージェント登録要求メッセージ（ＨＡＲ）で通知されたＶＰＮ情報をＶＰＮ情報キャッシュに設定し、ＨＡはホームエージェント登録応答メッセージ（ＨＡＡ）にサービスプロファイルを含んだ位置登録応答（Reg. Reply）を設定し、ＡＡＡへ送信する（６）。

ＡＡＡはＳＰＣ固定部（図７）にＶＰＮ情報を設定したモバイルＩＰプロトコルの位置登録応答（Reg. Reply）を含んだホームエージェント登録応答メッセージ（ＨＡＡ）を受信すると、登録応答（Reg. Reply）に認証子を付加し、ＨＡ宛に認証応答（ＡＭＡ）を送信する（７）。

ＨＡはＶＰＮ種別にＩＰＳｅｃを設定した位置登録応答（Reg. Reply）を返し、ＨＡからＭＮ方向へのＩＰＳｅｃ ＶＰＮを設定する（８）。

ＭＮは位置登録応答（Reg. Reply）を受信すると、サービスプロファイルに従い、ＭＮからＨＡ方向にＩＰＳｅｃ ＶＰＮを設定する。

上記で設定されたＶＰＮを使用し、ＨＡを経由しＭＮ-ＣＮ間の通信が行われる。データパケット交換シーケンスを図６２に示す。

ＭＮからＣＮ方向へのパケットはＭＮのco-locatedモードにより外部ＩＰヘッダの送信元アドレスに通信事業者網で割り振られたアドレス[200.20.1.100]、送信先アドレスにＨＡのグローバルなアドレス[100.1.1.1]、内部ＩＰヘッダの送信元アドレスにＭＮのホームアドレス[10.10.255.1]、送信先アドレスをＣＮのプライベートなアドレス[10.10.2.100]としたパケットが生成され、ＨＡへ送信される。ＰＣＮ-ＨＡ間は静的にＩＰＳｅｃによるＶＰＮが設定されている為、ＨＡにて送信元アドレスをＨＡのグローバルなアドレス[100.1.1.1]、送信先アドレスをＰＣＮのグローバルなアドレス[100.1.1.100]としたＩＰＳｅｃカプセル化を行い、ＰＣＮへ転送される。ＰＣＮにてＩＰＳｅｃデカプセル化を行い、ＣＮへ送信する（９）。

ＣＮからＭＮ方向へのパケットは送信元アドレスをＣＮのプライベートなアドレス[10.10.2.100]、送信先アドレスをＭＮのホームアドレス[10.10.255.1]としＰＣＮへ送信される。ＰＣＮにて送信元アドレスをＰＣＮグローバルなアドレス[100.1.1.100]、送信先アドレスをＨＡのグローバルなアドレス[100.1.1.1]としたＩＰＳｅｃカプセル化を行い、ＨＡへ送信する。ＨＡではＩＰＳｅｃデカプセル化を行い、モバイルＩＰプロトコルによるカプセル化を行い、ＭＮへ送信する（１０）。
・通信事業者とローミング契約した他の通信事業者のアクセス網からのアクセス時におけるＶＰＮ設定方式
図６３から図６５は、ローミング提携先からの通信の動作を説明する図である。

図６３に示すようなＭＮは通信事業者とローミング契約した他の通信事業者のアクセス網に存在し、企業網に設置されたＰＣＮと通信事業者網に設置されたＨＡ間にＩＰＳｅｃによるＶＰＮが設定されたネットワークにおいて、企業網内のＣＮとローミング契約した他の通信事業者のアクセス網である外部ネットワークに存在するＭＮと通信を行った場合のＶＰＮ設定とパケットルーティングについて示す。通信事業者とローミング契約した他の通信事業者のアクセス網に存在するＭＮ の位置登録手順におけるＩＰＳｅｃ＋ＵＤＰ ＶＰＮ設定シーケンスを図６４に示す。

図６４においては、ＭＮはＤＨＣＰを利用しＩＰアドレス[10.20.1.100]とドメイン名[unknown.com]を取得する（１）、（２）。

送信元アドレスにＤＨＣＰで割り振られたローミング先の通信事業者網で割り振られたアドレス[10.20.1.100]、送信先アドレスにＨＡのグローバルなアドレス[100.1.1.1]を設定し、ＮＡＩ拡張とＡＡＡ認証ヘッダを含む位置登録要求メッセージ（Reg. Request）をＨＡ宛に送信する（３）。

ＭＮからの位置登録要求メッセージ（Reg. Request）を受信したＨＡはＡＡＡに認証要求メッセージ（ＡＭＲ）を送信する（４）。

ＡＡＡはＡＭＲメッセージに含まれたNAIでＶＰＮデータベースを検索し、このユーザに固有のＶＰＮ情報を抽出する。ＭＮの気付けアドレスのネットワークアドレスが企業網、セキュアな通信事業者網、非セキュアな通信事業者網でないので、ローミング契約した他の通信事業者のアクセス網と判断し、ＶＰＮ種別にＩＰＳｅｃ＋ＵＤＰを設定したＶＰＮ情報をサービスプロファイルに設定する。
ＳＰＣ固定部（図７）にサービスプロファイルを設定した位置登録要求メッセージ（Reg. Request）をホームエージェント登録要求メッセージ（ＨＡＲ）に設定し、ＨＡ宛に送信する（５）。

ＨＡはホームエージェント登録要求メッセージ（ＨＡＲ）で通知されたＶＰＮ情報をＶＰＮ情報キャッシュに設定し、ＨＡはホームエージェント登録応答メッセージ（ＨＡＡ）にサービスプロファイルを含んだ位置登録応答（Reg. Reply）を設定し、ＡＡＡへ送信する（６）。

ＡＡＡはＳＰＣ固定部（図７）にＶＰＮ情報を設定したモバイルＩＰプロトコルの位置登録応答（Reg. Reply）を含んだホームエージェント登録応答メッセージ（ＨＡＡ）を受信すると、登録応答（Reg. Reply）に認証子を付加し、ＨＡ宛に認証応答（ＡＭＡ）を送信する（７）。

ＨＡはＶＰＮ種別にＩＰＳｅｃ＋ＵＤＰを設定した位置登録応答（Reg. Reply）を返し、ＨＡからＭＮ方向へのＩＰＳｅｃ＋ＵＤＰ ＶＰＮを設定する（８）。

ＭＮは位置登録応答（Reg. Reply）を受信すると、サービスプロファイルに従い、ＭＮからＨＡ方向にＩＰＳｅｃ＋ＵＤＰ ＶＰＮを設定する。

上記で設定されたＶＰＮを使用し、ＭＮ-ＣＮ間の通信が行われる。データパケット交換シーケンスを図６５に示す。

ＭＮからＣＮ方向へのパケットはＭＮのco-locatedモードにより外部ＩＰヘッダの送信元アドレスに通信事業者網で割り振られたアドレス[10.20.1.100]、送信先アドレスにＨＡのグローバルなアドレス[100.1.1.1]、内部ＩＰヘッダの送信元アドレスにＭＮのホームアドレス[10.10.255.1]、送信先アドレスをＣＮのプライベートなアドレス[10.10.2.100]としたパケットが生成され、ＨＡへ送信される。ＧＷのＮＡＴ/ＮＡＰＴ機能により送信元アドレスをＧＷグローバルなアドレス[100.10.1.100]に書き換えられ、ＨＡへ転送される。ＰＣＮ-ＨＡ間は静的にＩＰＳｅｃによるＶＰＮが設定されている為、ＨＡにて送信元アドレスをＨＡのグローバルなアドレス[100.1.1.1]、送信先アドレスをＰＣＮのグローバルなアドレス[100.1.1.100]としたＩＰＳｅｃ＋ＵＤＰカプセル化を行い、ＰＣＮへ転送される。ＰＣＮにてＩＰＳｅｃ＋ＵＤＰデカプセル化を行い、ＣＮへ送信する（９）。

ＣＮからＭＮ方向へのパケットは送信元アドレスをＣＮのプライベートなアドレス[10.10.2.100]、送信先アドレスをＭＮのホームアドレス[10.10.255.1]としＨＡへ送信される。ＰＣＮにて送信元アドレスをＰＣＮグローバルなアドレス[100.1.1.100]、送信先アドレスをＨＡのグローバルなアドレス[100.1.1.1]としたＩＰＳｅｃカプセル化を行い、ＨＡへ送信する。ＨＡではＩＰＳｅｃ＋ＵＤＰデカプセル化を行い、モバイルＩＰプロトコルによるカプセル化を行い、ＭＮへ送信する。ＧＷのＮＡＴ/ＮＡＰＴ機能により送信先アドレスをＧＷのプライベートなアドレス[10.10.1.100]に書き換えられ、ＭＮへ転送される（１０）。
・外部ネットワークからの外部ネットワークへの通信
図６６は、企業網内プロキシ経由によるインターネット接続の場合の動作を説明する図である。

この実施形態は、外部ネットワークと存在するＭＮが企業網外のネットワークと通信したパケットルーティングについて示す。外部ネットワーク間のパケット経路図を図６６に示す。

ＭＮは企業網のＧＷをプロキシアドレスとし、外部ネットワークに送信する。外部ネットワークからのパケットは企業網のＧＷを経由し、ＭＮへ送信される。
・通信事業者のセキュアなアクセス網（例ＦＯＭＡ、ＣＤＭＡ）から企業網アクセス時の経路最適化
図６７から図６９は、移動通信業者網を介した通信の動作を説明する図である。

図６７において、企業網のＰＣＮと通信事業者網に設定されたＨＡ間にＩＰＳｅｃ ＶＰＮが設定され、通信事業者コア網に接続されたアクセス網が通信事業者のセキュアなアクセス網（例ＣＤＭＡ）の場合、通信事業者のセキュアなアクセス網のＭＮから企業網内のＣＮへ通信する場合に、ＥａｓｅＮｅｔ（特願２０００−５０２２０）の経路最適化の仕組みを応用して、ＨＡを経由せずにＭＮ-ＰＣＮ間で直接通信するＩＰＳｅｃ ＶＰＮ設定方法を図６８に示す。

企業は、ＩＰＳｅｃで通信事業者のセキュアなアクセス網（例えばＣＤＭＡ）をアクセス可能な拠点を、サービスプロファイルとして登録する（１）。

ＭＮが通信事業者のセキュアなアクセス網（例ＣＤＭＡ）に接続された場合、ＥａｓｅＮｅｔは、認証時に、あらかじめ設定されたサービスプロファイルに基づき、ＶＰＮ情報をＨＡにダウンロードする。

ＭＮへは位置登録応答メッセージを用いて指定された全ての拠点へのＶＰＮ情報を配布する（２）、（３）。

ＨＡは、結合更新メッセージを用いて、指定されたそれぞれの拠点のＰＣＮへＶＰＮ情報を配布する（４）。

配布されたＶＰＮ情報により、ＰＣＮとＭＮは直接相手ノードへＩＰＳｅｃＶＰＮを設定する。これによりＭＮと指定された企業拠点間の通信は、ＨＡを介することなく行うことが可能となる。

ＭＮが移動した場合は、認証時と同様な手順でＶＰＮが再設定される。
・通信事業者の非セキュアなアクセス網（例ホットスポット）から企業網アクセス時の経路最適化
図７０から図７２は、移動通信事業者網直結ホットスポットからの通信の動作を説明する図である。

図７０において、企業網のＰＣＮと通信事業者網に設定されたＨＡ間にＩＰＳｅｃ ＶＰＮが設定され、通信事業者コア網に接続されたアクセス網が通信事業者の非セキュアなアクセス網（例ホットスポット）の場合、通信事業者のセキュアなアクセス網のＭＮから企業網内のＣＮへ通信する場合に、ＥａｓｅＮｅｔ（特願２０００−５０２２０）の経路最適化の仕組みを応用して、ＨＡを経由せずにＭＮ-ＰＣＮ間で直接通信するＩＰＳｅｃ ＶＰＮ設定方法を図７１に示す。

企業は、ＩＰＳｅｃで通信事業者の非セキュアなアクセス網（例ホットスポット）をアクセス可能な拠点を、サービスプロファイルとして登録する（１）。

ＭＮが通信事業者の非セキュアなアクセス網（例ホットスポット）に接続された場合、ＥａｓｅＮｅｔは、認証時に、あらかじめ設定されたサービスプロファイルに基づき、ＶＰＮ情報をＨＡにダウンロードする。

ＭＮへは位置登録応答メッセージを用いて指定された全ての拠点へのＶＰＮ情報を配布する（２）、（３）。

ＨＡは、結合更新メッセージを用いて、指定されたそれぞれの拠点のＰＣＮへＶＰＮ情報を配布する（４）。

配布されたＶＰＮ情報により、ＰＣＮとＭＮは直接相手ノードへＩＰＳｅｃＶＰＮを設定する。これによりＭＮと指定された企業拠点間の通信は、ＨＡを介することなく行うことが可能となる。

ＭＮが移動した場合は、認証時と同様な手順でＶＰＮが再設定される。
・通信事業者とローミング契約した他の通信事業者のアクセス網から企業網アクセス時の経路最適化
図７３から図７５は、ローミング提携先からの通信の動作を説明する図である。

図７３において、企業網のＰＣＮと通信事業者網に設定されたＨＡ間にＩＰＳｅｃ ＶＰＮが設定され、通信事業者コア網に接続されたアクセス網が通信事業者とローミング契約した他の通信事業者のアクセス網の場合、通信事業者のセキュアなアクセス網のＭＮから企業網内のＣＮへ通信する場合に、ＥａｓｅＮｅｔ（特願２０００−５０２２０）の経路最適化の仕組みを応用して、ＨＡを経由せずにＭＮ-ＰＣＮ間で直接通信するＩＰＳｅｃ＋ＵＤＰ ＶＰＮ設定方法を図７４に示す。

企業は、ＩＰＳｅｃ＋ＵＤＰで通信事業者とローミング契約した他の通信事業者のアクセス網をアクセス可能な拠点とし、サービスプロファイルとして登録する。

ＭＮが通信事業者とローミング契約した他の通信事業者のアクセス網に接続された場合、EaseNetは、認証時に、あらかじめ設定されたサービスプロファイルに基づき、ＶＰＮ情報をＨＡにダウンロードする。

ＭＮへは位置登録応答メッセージを用いて指定された全ての拠点へのＶＰＮ情報を配布する（１）、（２）、（３）。

ＨＡは、結合更新メッセージを用いて、指定されたそれぞれの拠点のＰＣＮへＶＰＮ情報を配布する（４）。

配布されたＶＰＮ情報により、ＰＣＮとＭＮは直接相手ノードへＩＰＳｅｃ＋ＵＤＰ ＶＰＮを設定する。これによりＭＮと指定された企業拠点間の通信は、ＨＡを介することなく行うことが可能となる。

ＭＮが移動した場合は、認証時と同様な手順でＶＰＮが再設定される。

（付記１）プライベートなネットワークである第１のネットワーク内で使用される第１のアドレスを用いて、第２のアドレスを用いて通信を制御する、第１のネットワークに接続された、第２のネットワークを介した通信を行う仮想閉域網システムであって、
該第１のアドレスを固定的に保持して通信を行う、移動可能な第１の手段と、
該第１の手段の第１のアドレスと、第２のネットワークを介した通信を行うための第２のアドレスとの対応関係を取得し、該第１の手段が移動しても通信
可能なセッションの確立を行う手順の中で、該第１の手段の認証を行い、該第２のネットワークを介して、第１のネットワークにアクセスする通信装置との間に仮想閉域網を形成する第２の手段と、
を備えることを特徴とする仮想閉域網システム。

（付記２）前記第１の手段が、該第１のネットワークに接続した端末と通信を行う場合に、該第１の手段と該端末との通信経路を最適化する手段を更に備えることを特徴とする付記１に記載の仮想閉域網システム。

（付記３）前記第２の手段と、前記第１のネットワーク間には、予め仮想閉域網が設定されていることを特徴とする付記１に記載の仮想閉域網システム。

（付記４）前記移動通信可能なプロトコルは、モバイルＩＰであることを特徴とする付記１に記載の仮想閉域網システム。

（付記５）前記第２の手段は、前記第１の手段との間のモバイルＩＰのトンネル設定手順において、該第１の手段に仮想閉域網に関する情報を通知し、該第１の手段と該第２の手段間に仮想閉域網を設定することを特徴とする付記４に記載の仮想閉域網システム。

（付記６）前記モバイルＩＰと仮想閉域網の設定において、前記第１の手段のco-locatedモードを利用することを特徴とする付記５に記載の仮想閉域網システム。

（付記７）前記第２のネットワークは、公共ネットワークと、通信事業者の有する移動体通信網とからなり、前記第１の手段がアクセスする該移動体通信網がセキュアなアクセス網である場合には、前記第２の手段と該第１の手段との間にＩＰｉｎＩＰのトンネルを設定することを特徴とする付記６に記載の仮想閉域網システム。

（付記８）前記第２のネットワークは、公共ネットワークと、通信事業者の有する移動体通信網とからなり、前記第１の手段がアクセスする該移動体通信網が非セキュアなアクセス網である場合には、前記第２の手段と該第１の手段との間にＩＰＳｅｃのトンネルを設定することを特徴とする付記６に記載の仮想閉域網システム。

（付記９）前記第２のネットワークは、公共ネットワークと、第１の通信事業者の有する第１の移動体通信網と、第２の通信事業者の有する第２の移動体通信網とからなり、前記第１の手段が該第１の移動体通信網から第２の移動体通信網と公共ネットワークを介して前記第１のネットワークにアクセスする場合、前記第２の手段と該第１の手段との間にＩＰＳｅｃ＋ＵＤＰのトンネルを設定することを特徴とする付記６に記載の仮想閉域網システム。

（付記１０）前記第２の手段と前記第１のネットワークの間には、固定的な仮想閉域網を予め設定しておくことを特徴とする付記１に記載の仮想閉域網システム。

（付記１１）モバイルＩＰに従って移動端末とプライベートネットワークに接続された端末の通信を可能にするホームエージェントであって、
該移動端末と該ホームエージェントの間に仮想閉域網を設定する手段と、
該移動端末のアクセス認証を行う手段と、
該移動端末に、該認証手段から得られた該仮想閉域網に関する情報を通知する手段と、
を備えることを特徴とするホームエージェント。

（付記１２）移動端末とプライベートネットワークに接続された端末の通信を可能にするルータであって、
該移動端末から送られてくる位置登録要求の気付けアドレスまたはドメインを検出する手段と、
検出した該気付けアドレスまたは該ドメインが通信の秘匿性を確保可能な網を示している場合には、該移動端末と該ルータとの間を秘匿性の低い通信プロトコルで、該気付けアドレスが通信の秘匿性を十分保証しきれない網を示している場合には、該移動端末と該ルータとの間を秘匿性の高い通信プロトコルで、該ルータを経由して該移動端末と該端末との通信を行わせる通信制御手段と、
を備えることを特徴とするルータ。

（付記１３）移動端末とプライベートネットワークに接続された端末の通信を可能にするルータであって、
該移動端末から送られてくる位置登録要求の気付けアドレスと送信元アドレスを比較する手段と、
該気付けアドレスが所定の通信事業者を示していない場合であって、該気付けアドレスが該送信元アドレスと一致する場合には、該移動端末と該ルータとの間を秘匿性の低い通信プロトコルで、該気付けアドレスが該送信元アドレスと一致しない場合には、該移動端末と該ルータとの間を秘匿性の高い通信プロトコルで、該ルータを経由して該移動端末と該端末との通信を行わせる通信制御手段と、
を備えることを特徴とするルータ。

（付記１４）該移動端末と該ルータとの間を秘匿性の高い通信プロトコルはＩＰＳｅｃ＋ＵＤＰのトンネルであることを特徴とする付記１３に記載のルータ。

（付記１５）プライベートネットワークに接続された端末との通信を可能にする移動端末であって、
該移動端末が現在自身の属する網の情報を取得する取得手段と、
取得した該網の情報がプライベートネットワークであることを示す場合には、該移動端末の位置を管理するルータのプライベートなアドレスに位置登録要求メッセージを送出し、該網が所定の通信事業者網であることを示す場合には、該ルータのグローバルなアドレスに位置登録要求メッセージを送出し、それ以外の場合には、該ルータのグローバルなアドレスに、秘匿性の高い通信経路の設定要求を含む位置登録要求メッセージを送出するように制御する制御手段と、
を備えることを特徴とする移動端末。

（付記１６）該移動端末と該ルータとの間を秘匿性の高い通信プロトコルはＩＰＳｅｃ＋ＵＤＰのトンネルであることを特徴とする付記１５に記載のルータ。

（付記１７）移動端末とプライベートネットワークに接続された端末の通信を可能にするシステムにおける移動端末であって、
モバイルＩＰの通信用トンネルを設定する手段と、
該モバイルＩＰの通信用トンネルの設定手順において、該プライベートネットワークの通信用トンネルを設定する手段とを備え、
該移動端末は、モバイルＩＰの通信用トンネルとプライベートネットワークの通信用トンネルを兼用した１つの通信用トンネルを使って通信を行うことを特徴とする移動端末。

（付記１８）プライベートなネットワークである第１のネットワーク内で使用される第１のアドレスを用いて、第２のアドレスを用いて通信を制御する、第１のネットワークに接続された、第２のネットワークを介した通信を行う仮想閉域網システムにおける通信制御方法であって、
該第１のアドレスを固定的に保持して通信を行う、移動可能な移動端末を設けるステップと、
該移動端末の第１のアドレスと、第２のネットワークを介した通信を行うための第２のアドレスとの対応関係を取得し、該移動端末が移動しても通信可能なセッションの確立を行う手順の中で、該移動端末の認証を行い、該第２のネットワークを介して、第１のネットワークにアクセスする通信装置との間に仮想閉域網を形成するルータを設けるステップと、
を備えることを特徴とする通信制御方法。

（付記１９）前記移動端末が、該第１のネットワークに接続した端末と通信を行う場合に、該移動端末と該端末との通信経路を最適化するステップを更に備えることを特徴とする付記１８に記載の通信制御方法。

（付記２０）前記ホームエージェントと、前記第１のネットワーク間には、予め仮想閉域網が設定されていることを特徴とする付記１８に記載の通信制御方法。

（付記２１）前記移動通信可能なプロトコルは、モバイルＩＰであることを特徴とする付記１８に記載の通信制御方法。

（付記２２）前記ホームエージェントは、前記移動端末との間のモバイルＩＰのトンネル設定手順において、該移動端末に仮想閉域網に関する情報を通知し、該移動端末と該ルータ間に仮想閉域網を設定することを特徴とする付記２１に記載の通信制御方法。

（付記２３）前記モバイルＩＰと仮想閉域網の設定において、前記移動端末のco-locatedモードを利用することを特徴とする付記２１に記載の通信制御方法。

（付記２４）前記第２のネットワークは、公共ネットワークと、通信事業者の有する移動体通信網とからなり、前記移動端末がアクセスする該移動体通信網がセキュアなアクセス網である場合には、前記ホームエージェントと該移動端末との間にＩＰｉｎＩＰのトンネルを設定することを特徴とする付記２２に記載の通信制御方法。

（付記２５）前記第２のネットワークは、公共ネットワークと、通信事業者の有する移動体通信網とからなり、前記移動端末がアクセスする該移動体通信網が非セキュアなアクセス網である場合には、前記ホームエージェントと該移動端末との間にＩＰＳｅｃのトンネルを設定することを特徴とする付記２２に記載の通信制御方法。

（付記２６）前記第２のネットワークは、公共ネットワークと、第１の通信事業者の有する第１の移動体通信網と、第２の通信事業者の有する第２の移動体通信網とからなり、前記移動端末が該第１の移動体通信網から第２の移動体通信網と公共ネットワークを介して前記第１のネットワークにアクセスする場合、前記ルータと該移動端末との間にＩＰＳｅｃ＋ＵＤＰのトンネルを設定することを特徴とする付記２２に記載の通信制御方法。

（付記２７）前記ルータと前記第１のネットワークの間には、固定的な仮想閉域網を予め設定しておくことを特徴とする付記１７に記載の通信制御方法。

（付記２８）移動端末とプライベートネットワークに接続された端末の通信を可能にするルータの通信制御方法であって、
該移動端末から送られてくる位置登録要求の気付けアドレスを検出するステップと、
該気付けアドレスが通信事業者が通信の秘匿性を確保可能なアクセス網を示している場合には、秘匿性の低い通信プロトコルで、該気付けアドレスが通信事業者が通信の秘匿性を十分保証しきれないアクセス網を示している場合には、秘匿性の高い通信プロトコルで、該移動端末と該端末との通信を行わせる通信制御ステップと、
を備えることを特徴とするルータの通信制御方法。

（付記２９）移動端末とプライベートネットワークに接続された端末の通信を可能にするルータの通信制御方法であって、
該移動端末から送られてくる位置登録要求の気付けアドレスと送信元アドレスを比較する比較ステップと、
該気付けアドレスが該送信元アドレスと一致する場合には、秘匿性の低い通信プロトコルで、該気付けアドレス該送信元アドレスと一致しない場合には、秘匿性の高い通信プロトコルで、該移動端末と該端末との通信を行わせる通信制御ステップと、
を備えることを特徴とするルータの通信制御方法。

（付記３０）プライベートネットワークに接続された端末との通信を可能にする移動端末の通信制御方法であって、
該移動端末が現在自身の属する網の情報を取得する取得ステップと、
該取得した情報が、該網がプライベートネットワークであることを示す場合には、該移動端末の位置を管理するルータのプライベートなアドレスに位置登録要求メッセージを送出し、該アクセス網がプライベートネットワークと相互接続契約した通信事業者網であることを示す場合には、該ルータのグローバルなアドレスに位置登録要求メッセージを送出し、それ以外の場合には、該ホームエージェントのグローバルなアドレスに、秘匿性の高い通信経路の設定要求を含む位置登録要求メッセージを送出するように制御する制御ステップと、
を備えることを特徴とする移動端末の通信制御方法。

（付記３１）モバイルＩＰに従って移動端末とプライベートネットワークに接続された端末の通信を可能にするシステムにおける移動端末の通信制御方法であって、
モバイルＩＰの通信用トンネルを設定するステップと、
該モバイルＩＰの通信用トンネルの設定手順において、該プライベートネットワークの通信用トンネルを形成するプステップとを備え、
該移動端末は、モバイルＩＰの通信用トンネルとプライベートネットワークの通信用トンネルを兼用した１つ通信用トンネルを使って通信を行うことを特徴とする移動端末の通信制御方法。

本発明の機能ブロックである。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その１）である。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その２）である。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その３）である。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その４）である。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その５）である。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その６）である。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その７）である。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その８）である。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その９）である。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その１０）である。 ＤＩＡＭＥＴＥＲプロトコルの詳細を示す図（その１１）である。 本発明の実施形態で使用するＶＰＮデータベース１７の構成を示す図である。 図１〜図１３で説明した機能を持つ認証サーバ及びネットワーク装置で構成されるＩＰネットワーク構成を示す図（その１）である。 図１〜図１３で説明した機能を持つ認証サーバ及びネットワーク装置で構成されるＩＰネットワーク構成を示す図（その２）である。 図１〜図１３で説明した機能を持つ認証サーバ及びネットワーク装置で構成されるＩＰネットワーク構成を示す図（その３）である。 図１〜図１３で説明した機能を持つ認証サーバ及びネットワーク装置で構成されるＩＰネットワーク構成を示す図（その４）である。 図１〜図１３で説明した機能を持つ認証サーバ及びネットワーク装置で構成されるＩＰネットワーク構成を示す図（その５）である。 図１〜図１３で説明した機能を持つ認証サーバ及びネットワーク装置で構成されるＩＰネットワーク構成を示す図（その６）である。 図１〜図１３で説明した機能を持つ認証サーバ及びネットワーク装置で構成されるＩＰネットワーク構成を示す図（その７）である。 ＡＡＡの機能ブロックを示す図である。 ＶＰＮ情報キャッシュの構成を示す図である。 ルートテーブルの構成を示す図である。 ＡＡＡの処理フロー（その１）である。 ＡＡＡの処理フロー（その２）である。 ＡＡＡの処理フロー（その３）である。 ＨＡ、ＰＣＮの機能ブロックを示す図である。 ＶＰＮ情報テーブルを示す図である。 ＭＡ（Mobile Agent）の処理フロー（その１）である。 ＭＡ（Mobile Agent）の処理フロー（その２）である。 ＭＡ（Mobile Agent）の処理フロー（その３）である。 ＭＡ（Mobile Agent）の処理フロー（その４）である。 ＭＡ（Mobile Agent）の処理フロー（その５）である。 ＭＡ（Mobile Agent）の処理フロー（その６）である。 ＭＡ（Mobile Agent）の処理フロー（その７）である。 ＭＮの機能ブロックを示す。 ＭＮの処理フロー（その１）である。 ＭＮの処理フロー（その２）である。 ＭＮの処理フロー（その３）である。 ＭＮの処理フロー（その４）である。 ＭＮの処理フロー（その５）である。 本発明の実施形態に従った、企業網内で通信する場合を説明する図（その１）である。 本発明の実施形態に従った、企業網内で通信する場合を説明する図（その２）である。 企業網内における経路の切り替え方式を説明する図（その１）である。 企業網内における経路の切り替え方式を説明する図（その２）である。 企業網内における経路の切り替え方式を説明する図（その３）である。 同一管理ドメイン内の拠点間通信について説明する図（その１）である。 同一管理ドメイン内の拠点間通信について説明する図（その２）である。 企業網内における経路切り替え方式を説明する図（その１）である。 企業網内における経路切り替え方式を説明する図（その２）である。 企業網内における経路切り替え方式を説明する図（その３）である。 同一管理ドメイン内の拠点間通信を説明する図（その１）である。 同一管理ドメイン内の拠点間通信を説明する図（その２）である。 ＰＣＮ−ＰＣＮ間の経路最適化方式を説明する図（その１）である。 ＰＣＮ−ＰＣＮ間の経路最適化方式を説明する図（その２）である。 ＰＣＮ−ＰＣＮ間の経路最適化方式を説明する図（その３）である。 移動通信事業者を介した通信について説明する図（その１）である 移動通信事業者を介した通信について説明する図（その２）である 移動通信事業者を介した通信について説明する図（その３）である 移動通信事業者網直結ホットスポットからの通信動作を説明する図（その１）である。 移動通信事業者網直結ホットスポットからの通信動作を説明する図（その２）である。 移動通信事業者網直結ホットスポットからの通信動作を説明する図（その３）である。 ローミング提携先からの通信の動作を説明する図（その１）である。 ローミング提携先からの通信の動作を説明する図（その２）である。 ローミング提携先からの通信の動作を説明する図（その３）である。 企業網内プロキシ経由によるインターネット接続の場合の動作を説明する図である。 移動通信業者網を介した通信の動作を説明する図（その１）である。 移動通信業者網を介した通信の動作を説明する図（その２）である。 移動通信業者網を介した通信の動作を説明する図（その３）である。 移動通信事業者網直結ホットスポットからの通信の動作を説明する図（その１）である。 移動通信事業者網直結ホットスポットからの通信の動作を説明する図（その２）である。 移動通信事業者網直結ホットスポットからの通信の動作を説明する図（その３）である。 ローミング提携先からの通信の動作を説明する図（その１）である。 ローミング提携先からの通信の動作を説明する図（その２）である。 ローミング提携先からの通信の動作を説明する図（その３）である。 従来の技術における企業網と公共ネットワークを経由した通信を行う方法を説明する図である。 従来の技術における企業網と公共ネットワークを経由したシームレスな通信を行う方法を説明する図ある。

符号の説明

１０ 外部アクセス網
１１ 通信事業者網または企業網
１２ 企業網
１５ ＤＨＣＰサーバ
１６ 移動端末（ＭＮ）
１７ ＶＰＮデータベース
１８ 認証サーバ（ＡＡＡ）
１９ ホームエージェント（ＨＡ）
２０ 代理ＣＮ（ＰＣＮ）
３０ ＡＡＡプロトコル制御部
３１ ＡＡＡＶＰＮ制御部
３２ アプリケーションサーバ
３３ ネットワークカーネル
３４ ネットワークデバイスインターフェース
３５ ＡＡＡプロトコル処理部
３６ ＶＰＮ情報キャッシュ
３７ 鍵生成器
４０ ＭＡ プロトコル制御部
４１ ＭＡＶＰＮ制御部
４２ ネットワークカーネル
４３ ネットワークデバイスインターフェース
４４ ＡＡＡプロトコル処理部
４５ モバイルＩＰプロトコル処理部
４６ ＶＰＮ情報キャッシュ
４７ トンネル制御部
４８ ＶＰＮ情報テーブル
５０ ＭＮプロトコル制御部
５１ ＭＮ ＶＰＮ制御部
５２ ネットワークカーネル
５３ ネットワークデバイスインターフェース
５４ モバイルＩＰプロトコル処理部
５５ トンネル制御部
５６ ＶＰＮ情報テーブル
５７ ＶＰＮ情報キャッシュ
５８ ルートテーブル

Claims (1)

1. プライベートネットワーク内、又はプライベートネットワーク以外の外部ネットワークに接続した移動端末とプライベートネットワークに接続された端末の通信を、モバイルＩＰ通信システムのホームエージェントを介して可能にするシステムにおける移動端末であって、
   ホームエージェントと移動端末の間に移動端末が接続したネットワークの形態により異なるアドレス体系の同一ホームエージェントを指定してモバイルＩＰの通信用トンネルを設定する手段と、
   該モバイルＩＰの通信用トンネルの設定手順におけるモバイルＩＰ通信のための認証プロセスの情報を用いて、該移動端末と該ホームエージェントを収容するネットワークのゲートウェイとの間のプライベートネットワーク通信のための認証を行い、該ホームエージェントから移動端末が接続したネットワークの種別に応じて指定された種類の該プライベートネットワークの通信用トンネルを形成する手段とを備える、
   ことを特徴とする移動端末。

Images