JP4087848B2

JP4087848B2 - モバイルネットワークをセキュリティベースのｖｐｎと統合するシステム及び方法

Info

Publication number: JP4087848B2
Application number: JP2004562369A
Authority: JP
Inventors: リウ，チャンウェン; アンドリューズ，マイケル; アイアー，プラカシュ
Original assignee: インテルコーポレイション
Priority date: 2002-12-19
Filing date: 2003-12-19
Publication date: 2008-05-21
Anticipated expiration: 2023-12-19
Also published as: DE10393628T5; GB0509950D0; KR20050085834A; US7616597B2; GB2411092A; HK1075148A1; AU2003300268A8; WO2004057822A2; JP2006511169A; DE10393628B4; KR100814988B1; WO2004057822A3; AU2003300268A1; US20040120295A1; GB2411092B; US20100122337A1

Description

本発明は、概してモバイルネットワークを提供するコンピュータシステム及び方法に関するものであり、特にモバイルノードと対応のノードとの間でネットワークデータをルーティングするセキュリティ機構とモバイルネットワークとを統合することに関するものである。

無線ネットワークの使用は急速に成長し続けている。無線ネットワークは複数の理由で魅力的である。それらは便利であり、柔軟性及びローミングを可能にし、動的な環境に対応することができる。更に、有線の対応物に比較して、インストールが比較的容易である。ある場合には、例えば古いビルでは、配置が安価なことがある。配線又は再配線の必要なく、全体ネットワークは数日ではなく、数時間の問題で組み立てられ得る。多くの場合に、有線LANカードの安価なコストにもかかわらず、無線ネットワークは有線の対応物より低コストの所有権を有する可能性がある。

コンピュータの更なるトレンドは、個人及び会社のコンピュータリソースの無許可又は不当の使用を避けるために、セキュリティ機構の更なる使用になってきている。例えば、多くの会社及び個人は“ファイヤウォール”をインストールし、ファイヤウォールの内部のシステムを無許可のアクセスから保護している。当該技術分野において既知のように、ファイヤウォールはハードウェアとソフトウェアの双方、又はその双方の組み合わせで実装され得る。ファイヤウォールは、無許可のインターネットユーザがインターネットに接続されたプライベートネットワーク(特にイントラネット)にアクセスすることを回避するためにしばしば使用される。イントラネットに入るメッセージ又は出るメッセージの全てが一般的にファイヤウォールを通過し、ファイヤウォールは各メッセージを検査して、指定のセキュリティ基準を満たさないものをブロックする。

ファイヤウォールはネットワークセキュリティを増加させる有用なツールであるが、ファイヤウォールの内部のシステムにアクセスする正当な必要性を有するファイヤウォールの外部の無線ユーザにとって問題を引き起こす。ファイヤウォールに実装されるセキュリティ機構は、ネットワークデータパケットがファイヤウォールを通過することを許可されているか否かを決定するのに役立つため、しばしばIPアドレスを使用し、IPSecに依存する。残念なことに、無線システムの場合、ユーザがある無線ネットワークから他のものに移動すると、モバイルノードのIPアドレスが頻繁に変化することがある。その結果、ユーザが新たなネットワークに移動する毎に、セキュリティ機構(例えばIPSec)が再確立されなければならない。新たなネットワーク接続に対するセキュリティ機構の再確立は、CPUサイクルの観点と、新たなセキュアの接続が確立されるまでユーザが待つ必要のある経過時間との双方において高コストである可能性がある。

前述の問題を鑑みて、当該技術分野において本発明の必要性が存在する。

本発明の例示的な実施例の以下の詳細な説明において、その一部を形成する添付図面に参照が行われ、添付図面では本発明が実施され得る特定の例示的な実施例を一例として示している。これらの実施例は、当業者が本発明を実施することができる程度に十分に記載されており、他の実施例も利用可能であり、且つ本発明の範囲を逸脱することなく論理的、機械的、電気的及び他の変更が行われ得ることがわかる。従って、以下の詳細な説明は限定の意味で受け取られるべきではない。

図面において、複数の図面に表れる同一の構成要素を示すために、全体を通じて同じ参照番号が使用される。信号及び接続は同じ参照番号により示されることがあり、実際の意味はその説明の内容におけるその使用から明らかである。更に、同一の構成要素のグループの動作又は特徴を一般的に示すときに、明細書及び図面において同じ基礎参照番号(例えば120)が使用される。小数点により取り入れられる数値インデックス(例えば120.1)は、同一の構成要素のグループ間で特定の構成要素が動作を実行する場合又は特徴を有する場合に使用される。

詳細な説明は複数のセクションに分割されている。第１のセクションでは、本発明の異なる実施例のハードウェア及びソフトウェア動作環境について説明する。第２のセクションでは、本発明の多様な実施例による方法について説明する。最後のセクションでは、結論が提供されている。

（動作環境）
図１Ａは、本発明の多様な実施例を組み込んだハードウェア及びソフトウェア動作環境100のブロック図である。本発明のシステム及び方法は、モバイルネットワークをサポートする如何なるハードウェア又はソフトウェアシステムで提供されてもよい。一般的に、そのようなハードウェアは、パーソナルコンピュータと、サーバコンピュータと、メインフレームコンピュータと、ラップトップコンピュータと、携帯用ハンドヘルドコンピュータと、携帯情報端末(PDA)と、ネットワーク可能携帯電話と、前述の装置の組み合わせとを有する。本発明の何らかの実施例では、動作環境100は、対応のノード110と、ホームエージェント112と、セキュリティゲートウェイ104と、モバイルIPプロキシ102と、フォーリンエージェント(foreign agent)122と、モバイルノード120と、内部ファイヤウォール106と、外部ファイヤウォール108とを有する。動作環境で動作するソフトウェア構成要素は、一般的に機械読取可能媒体から読み取られ、オペレーティングシステムとインタフェース接続してオペレーティングシステムの制御下で動作する。このような機械読取可能媒体の例は、ハードディスク、フロッピー（登録商標）ディスク、CD-ROM、DVD-ROMを有する。更に、機械読取可能媒体は、ネットワークで伝送される有線信号及び無線信号を有する。オペレーティングシステムの例は、Microsoft CorporationからのWindows（登録商標） 95と、Windows（登録商標） 98と、Windows（登録商標） MEと、Windows（登録商標） CEと、Windows（登録商標） NTと、Windows（登録商標） 2000と、Windows（登録商標） XPとを有する。しかし、本発明は特定のオペレーティングシステムに限定されず、代替実施例では、ソフトウェア構成要素は、Palm Inc.からのPalm OS（登録商標）、UNIX（登録商標）及びLinuxオペレーティングシステムの変形、並びに携帯電話のオペレーティングシステムで動作してもよい。

本発明の何らかの実施例では、動作環境100は、モバイルノード120と対応のノード110との間のネットワーク通信をサポートする。モバイルノード120は、有線及び／又は無線ネットワーク通信をサポートする如何なるモバイルコンピュータ装置でもよい。このような装置の例は、ラップトップコンピュータと、ハンドヘルドコンピュータと、携帯情報端末と、ネットワーク可能携帯電話とを有する。本発明は、モバイルノード120の特定のモバイルコンピュータ装置に限定されない。

モバイルノード120は一般的にホームネットワーク114に割り当てられ、それに割り当てられた不変のホームネットワークアドレスを有する。ホームネットワーク114は如何なる種類のネットワークでもよい。一般的に、ホームネットワーク114は企業ネットワーク又はキャンパスネットワークのようなプライベートネットワークである。しかし、本発明はホームネットワーク114の特定の種類に限定されない。対応のノード110は、サーバコンピュータ、メインフレームコンピュータ、パーソナルコンピュータ、ルータ、ハンドヘルド、ラップトップ、PDA、携帯電話等を含み、モバイルノード120にデータを送信し、又はモバイルノード120からデータを受信する如何なる種類のネットワーク結合装置でもよい。本発明は、対応のノード110の特定の種類に限定されない。

本発明の何らかの実施例では、ホームエージェント112及びフォーリンエージェント122は、Internet Engineering Task Force(IETF)のMobile IP Working Groupによりそれぞれ1996年10月と2002年1月と2002年8月に公表されたモバイルIP通信のRFC2002、RFC3220及び／又はRFC3344の標準のトラックプロトコルに実質的に従って、モバイルネットワーク通信を促進するネットワークノードである。ホームエージェント112はモバイルノードのホームサブセットでルータとして機能し、モバイルノード120がホームサブネットの外側にある場合(例えばモバイルノード120がフォーリンネットワーク130に接続されている場合)に、トラヒックをモバイルノード120に導く。フォーリンネットワーク130は、如何なる種類の有線又は無線ネットワークでもよい。ある実施例では、フォーリンネットワーク130はインターネットを有する。

本発明の何らかの実施例では、モバイルノード120.2が新たなネットワーク130に移動すると、モバイルノード120.2はフォーリンエージェント122に登録する。一般的に、フォーリンエージェント122はモバイルノードへの気付ネットワークアドレス(care-of network address)を与え、モバイルノードからの要求を中継して気付アドレスをホームアドレスに通知する。ホームエージェントは要求を引き受けるように選択することができ、フォーリンエージェントを通じてモバイルノードに肯定応答を返信する。次に、ホームエージェントは、フォーリンエージェント122を通じて、モバイルノード宛てのネットワークパケットをフォーリンネットワーク130のモバイルノードに転送する。全てのフォーリンネットワーク130がフォーリンエージェントを有しているわけではない。本発明の何らかの実施例では、モバイルノード120.1がそのフォーリンエージェントとして動作してもよい。ある実施例では、モバイルノード120はフォーリンネットワーク130で使用する気付アドレスを取得するためにDHCP(Dynamic Host Configuration Protocol)を使用する。

企業ネットワークやキャンパスネットワークのようなプライベートネットワークは、プライベートネットワークのコンピュータ及びシステムへの無許可のアクセスを回避するために、しばしば保護されている。本発明の何らかの実施例では、ホームネットワーク114は内部ファイヤウォール106と外部ファイヤウォール108とにより保護されている。ファイヤウォール106及び108はデータパケットとメッセージとを検査し、指定のセキュリティ基準を満たさないものをブロックする。内部ファイヤウォール106及び外部ファイヤウォール108は、当該技術分野においてDMZ160(Demilitarized Zone)として知られるものを形成する。一般的に、DMZは、ウェブ(HTTP)サーバやFTPサーバやSMTP(電子メール)サーバやDNSサーバのようなインターネットトラヒックにアクセス可能な装置を有する。DMZを確立するために内部ファイヤウォール及び外部ファイヤウォールを使用することはセキュリティの観点から望ましいが、本発明のシステム及び方法は、１つのみのファイヤウォールを備えた環境又はファイヤウォールのない環境にも十分に適用可能である。

本発明の何らかの実施例では、DMZ160は、VPN(Virtual Private Network)ゲートウェイ104と、MIP(Mobile IP)プロキシ102とを有する。VPNゲートウェイ104は、内部ネットワークのノードと、フォーリンネットワーク130のようなフォーリンネットワークのノードとの間でVPNの生成を促進する。VPNはパブリックIPインフラ上のセキュアなネットワークリンクである。VPNプロトコルの例は、IPセキュリティ(IPSec)である。しかし、本発明は特定のVPNプロトコルに限定されない。

MIPプロキシ102は、ホームエージェント112とフォーリンエージェント122との間の中間物として機能する。本発明の何らかの実施例では、MIPプロキシ102はモバイルノード120への代理ホームエージェントとして機能し、ホームエージェント114への代理モバイルノードとして機能する。図１Ａに示す例示的な実施例では、MIPプロキシ102はVPNゲートウェイ104と同じコンピュータで動作していない。これらの実施例では、MIPプロキシ102はVPNゲートウェイ104への代理フォーリンエージェントとして機能する。

図１Ｂは、本発明の多様な実施例によるシステムのブロック図を提供しており、MIPプロキシ102はVPNゲートウェイ104と同じハードウェア及びソフトウェアに実装され得る。これらの実施例では、統合MIPプロキシ／VPNゲートウェイコンピュータは、ホームエージェント112のモバイルノードをエミュレートするモバイルノード(MN:Mobile Node)モジュール144と、モバイルノード120のホームエージェント(又は代替として、フォーリンエージェント122)をエミュレートするホームエージェント(HA:Home Agent)モジュール142とを有する。

図１Ｃは、代替実施例のブロック図を提供しており、MIPプロキシ102の機能構成要素であるHAモジュール142とMN/FAモジュール144が異なるコンピュータに実装され得る。HAモジュール142はWAN側のボックス(例えば外部ファイヤウォール108の外部のWANルータ123)に実装されてもよく、MN/FAモジュール144は外部レイヤのファイヤウォールの内部のDMZボックス146に実装されてもよい。外部レイヤのファイヤウォール108を通じてHAモジュール142をMN/FAモジュール144に接続するセキュアなパケットデータのトンネルが存在するため、HAモジュールはMN/FAモジュールからデータを送受信することができる。換言すると、HAモジュールは、更なる処理のため、全ての受信モバイルIPv4パケットをMN/FAモジュールに送信し、MN/FAモジュールは、更なる処理のため、VPNゲートウェイから受信した全てのパケットをHAモジュールに送信する。セキュアなパケットデータのトンネルは、ネットワークレイヤ、トランスポートレイヤ又はアプリケーションレイヤを含み、ネットワークスタックの如何なるレイヤで確立されてもよい。

図１Ｄは、本発明の多様な実施例によるシステムのその他のブロック図を提供しており、MIPプロキシ102は異なるハードウェア構成要素に実装され得る。これらの実施例では、MIPプロキシは、異なるコンピュータに実装されたHAモジュール142と、MNモジュール144とを有する。これらの実施例では、HAモジュール142はWAN側のボックス(例えば外部レイヤのファイヤウォールの外部のWANルータ123)に実装されてもよく、MNモジュール144はVPNゲートウェイに実装されてもよい。外部レイヤのファイヤウォールを通じてHAモジュールをVPNゲートウェイのMNモジュールに接続するセキュア且つトランスペアレントな内部トンネルが存在するため、HAモジュールはMNモジュールからパケットを送受信することができる。換言すると、HAモジュールは、更なる処理のため、全ての受信モバイルIPv4パケットをMNモジュールに送信し、VPNゲートウェイは、更なる処理のため、全ての暗号化パケットをHAモジュールに送信する。同様に、セキュアなパケットデータのトンネルは、ネットワークレイヤ、トランスポートレイヤ又はアプリケーションレイヤを含み、ネットワークスタックの如何なるレイヤで確立されてもよい。

図１Ａに戻り、前述のシステムの動作は一般的に説明が行われたが、本発明の多様な実施例の動作の更なる詳細が以下のセクションの方法で提供される。モバイルノード120がフォーリンネットワークに登録すると、ある実施例ではMIPプロキシ102に登録する。更に、モバイルノード120とMIPプロキシ102との間に、データトラヒックのネットワークトンネルが作られる。モバイルノード120はまた、ノードの不変のホームアドレスとVPNゲートウェイ104との間にIPSec SA(Security Association)を作る。SAは手動で作られてもよく、また、IKE(Internet Key Exchange)のような鍵管理プロトコルを使用して作られてもよい。SAは、モバイルノードによる対応のノード110のように、ホームネットワーク114の内部のノード宛ての如何なるネットワークデータにも適用される。これは、モバイルノードによるモバイルIPカプセル化の前にIPSec SAカプセル化を適用することにより実現され得る。

本発明の代替実施例では、モバイルノード120はフォーリンエージェント122に登録し、MIPプロキシ102をホームエージェントとして指定する。MIPプロキシがモバイルノード120の実際のホームエージェントであるかのように、フォーリンエージェント122はMIPプロキシ102と相互作用する。

モバイルノード120から登録要求を受信した後に、MIPプロキシ102がVPNゲートウェイ104から分離している本発明の何らかの実施例では、MIPプロキシ102は、モバイルノード120の気付アドレスとしてMIPプロキシを指定する登録要求をモバイルノード120の代わりに送信する。更に、MIPプロキシ102は、モバイルノードの不変のホームネットワークアドレス宛てのパケットを傍受し始め、モバイルノードのフォーリンエージェントの気付アドレスにパケットをトンネリングする(モバイルノードがそのフォーリンエージェントとして動作していてもよいことに留意すべきである)。

登録要求を受信した後に、ホームエージェント112は、モバイルノード120の気付アドレスとしてMIPプロキシアドレスを結びつける。MIPプロキシ102がVPNゲートウェイ104から分離している何らかの実施例では、MIPプロキシは、VPNゲートウェイ104の気付アドレスとしてMIPプロキシ102のアドレスを指定する一度の最初且つ別個の登録をVPNゲートウェイ102の代わりにホームエージェント112に送信する。MIPプロキシ102から登録要求を受信した後に、ホームエージェント114は、VPNゲートウェイ104の気付アドレスとしてMIPプロキシを結びつける。更に、ホームエージェント112はVPNゲートウェイ104とIPSec SAを確立し、ホームネットワーク114の対応のノードから傍受した、モバイルネットワーク120の不変のホームネットワークアドレス宛ての全てのネットワークパケットにSAを適用する。何らかの実施例では、適用される何らかのモバイルIPカプセル化の前に、IPSec SAカプセル化が適用される。

図２Ａは、本発明の何らかの実施例の多様なエンティティの多様なネットワークレイヤ間のデータ伝送の図を提供しており、MIPプロキシはVPNゲートウェイ104と別のコンピュータシステムである。何らかの実施例では、モバイルノード120や、MIPプロキシ102や、VPNゲートウェイ104や、ホームエージェント112のような主なノードのそれぞれは、それぞれネットワークスタック220、202、204、212を有する。一般的に、ネットワークスタックはTCP/IPネットワークスタック230を有する。TCP/IPネットワークスタック230は、更にサブレイヤ(“通常”のIPサブレイヤ232と、セキュリティサブレイヤ234と、モバイルIPサブレイヤ236)に分割され得る。本発明の何らかの実施例では、セキュリティサブレイヤ234はIPSecサブレイヤである。全てのノードが全てのサブレイヤを必要とするのではない点に留意すべきである。接続240、242、244、248は、多様なネットワークレイヤ間のデータ通信を示している。

図２Ｂは、本発明の実施例の多様なエンティティの多様なネットワークレイヤ間のデータ伝送の図を提供しており、MIPプロキシはVPNゲートウェイと同一場所にある。モバイルノード120や、MIPプロキシ+VPNゲートウェイ104や、ホームエージェント112のような主なノードのそれぞれは、それぞれネットワークスタック220、204、212を有する。一般的に、このネットワークスタックはTCP/IPネットワークスタック230を有する。TCP/IPネットワークスタック230は、更にサブレイヤ(“通常”のIPサブレイヤ232と、セキュリティサブレイヤ234と、モバイルIPサブレイヤ236)に分割され得る。本発明のこれらの実施例では、セキュリティレイヤ234はIPSecサブレイヤである。全てのノードが全てのサブレイヤを必要とするのではない点に留意すべきである。

図２Ｃは、本発明の実施例の多様なエンティティの多様なネットワークレイヤ間のデータ伝送の図を提供しており、MIPプロキシのMN/FAモジュールはDMZのVPNゲートウェイと別のコンピュータシステムにあり、HAモジュールはWANルータと同一場所にある。モバイルノード120や、WANルータ123や、VPNゲートウェイ104や、MIPプロキシ+FA/MN102や、ホームエージェント112のような主なノードのそれぞれは、それぞれネットワークスタック220、223、204、202、212を有する。一般的に、このネットワークスタックはTCP/IPネットワークスタック230を有する。TCP/IPネットワークスタック230は、更にサブレイヤ(“通常”のIPサブレイヤ232と、セキュリティサブレイヤ234と、モバイルIPサブレイヤ236)に分割され得る。本発明のこれらの実施例では、セキュリティレイヤ234はIPSecサブレイヤである。全てのノードが全てのサブレイヤを必要とするのではない点に留意すべきである。HAモジュールとMNモジュールとの間のセキュアなパケットデータのトンネルは、図面で接続250として表されている。前述及び図２Ｃの括弧のように、それはネットワークレイヤ、トランスポートレイヤ又はアプリケーションレイヤのように如何なるレイヤのトンネルでもよく、一般的に他のエンティティにトランスペアレントである。

図２Ｄは、本発明の実施例の多様なエンティティの多様なネットワークレイヤ間のデータ伝送の図を提供しており、MIPプロキシのMNモジュールはVPNゲートウェイと同一場所にあり、MIPプロキシのHAモジュールはWANルータと同一場所にある。モバイルノード120や、WANルータ123や、MIP+ VPNゲートウェイ104や、ホームエージェント112のような主なノードのそれぞれは、それぞれネットワークスタック220、223、204、212を有する。一般的に、このネットワークスタックはTCP/IPネットワークスタック230を有する。TCP/IPネットワークスタック230は、更にサブレイヤ(“通常”のIPサブレイヤ232と、セキュリティサブレイヤ234と、モバイルIPサブレイヤ236)に分割され得る。本発明のこれらの実施例では、セキュリティレイヤ234はIPSecサブレイヤである。全てのノードが全てのサブレイヤを必要とするのではない点に留意すべきである。HAモジュールとMNモジュールとの間のセキュアなパケットデータのトンネルは、図面で接続250として表されている。同様に、それはネットワークレイヤ、トランスポートレイヤ又はアプリケーションレイヤのように如何なるレイヤのトンネルでもよく、一般的に他のエンティティにトランスペアレントである。

本発明の何らかの実施例のレイヤ間の通信は、データパス240、242、244、248により図示されている。例えば、MIPプロキシとVPNゲートウェイが分離している場合には、ホームエージェント212のIPSecサブレイヤは、パス244を介してVPNゲートウェイ204のIPSecサブレイヤと通信する。この通信は直接でなくてもよい。一例として、MIPプロキシ102がVPNゲートウェイ104から分離している本発明の実施例では、IPSecサブレイヤのデータはモバイルIPサブレイヤでカプセル化される。モバイルIPサブレイヤの通信はデータパス240により図示されている。同様に、モバイルノード220はVPNプロキシ204に対してセキュアな通信パス248を有する。しかし、セキュリティレイヤのデータはモバイルIPレイヤによりカプセル化され、本発明の何らかの実施例ではデータパス242を介してMIPプロキシ202を通じてルーティングされる。

このセクションでは、セキュリティベースのVPNとモバイルIPネットワークとを統合することを提供するシステムの多様な論理モジュールについて説明した。当業者にわかるように、モジュールを実装するソフトウェアは、C/C++、Java（登録商標）、Visual Basic、Smalltalk、Pascal、Ada及び同様のプログラミング言語を非限定的に含み、当該技術分野で既知の複数のプログラミング言語のうち如何なるもので書かれてもよい。本発明は、実装の特定のプログラミング言語に限定されない。

（本発明の例示的な実施例の方法）
前のセクションでは、本発明の例示的な実施例の動作のシステムレベルの概要を説明した。このセクションでは、例示的な実施例を実行する動作環境で実行される本発明の特定の方法について、図３−４に示す一連のフローチャートを参照して説明する。動作環境で実行される方法は、コンピュータ実行可能命令から構成されるコンピュータプログラムを構成する。フローチャートを参照してその方法を記述することで、当業者は、適切なコンピュータ(コンピュータ読取可能媒体からの命令を実行するコンピュータのプロセッサ)でその方法を実行するような命令を含み、このようなプログラムを開発することが可能になる。図３−４に示す方法は、本発明の例示的な実施例を実行する動作環境で実行される動作を含む。

図３は、モバイルノードと対応のノードとの間でセキュアなネットワークパスを提供する方法を示したフローチャートである。MIPプロキシ102のようなその方法を実行するシステムがモバイルノードから登録要求を受信したときに(ブロック305)、その方法が開始する。一般的に、その要求はモバイルノードの不変のネットワークアドレスを有する。MIPプロキシは、モビリティ・バインディング・リストにおいて、モバイルノードの不変のホームアドレスをモバイルノードの現在の気付アドレスに結びつける。更に、MIPプロキシは結びつけをホームエージェントに関連付けてもよい。

次に、その方法を実行するシステムは、モバイルノードのホームネットワークのホームエージェントに第２の登録要求を発行する(ブロック310)。一般的に、第２の要求は、モバイルノードの不変のアドレスと、MIPプロキシ102のプロキシアドレスとを有する。ホームエージェントは、ホームエージェントのモビリティ・バインディング・リストにおいて、モバイルノードの不変のホームアドレスをMIPプロキシのアドレスのうちの１つに結びつける。

本発明の何らかの実施例では、その方法を実行するシステムは、ホームエージェントから受信した応答コードを、その方法を実行するシステムによりモバイルノードに送信された応答メッセージにコピーする(ブロック315)。一般的に、応答コードは、ホームネットワークの対応のノードから受信したモバイルノード宛てのネットワークデータを処理するホームエージェントの機能又は意思を示す。

次に、本発明の何らかの実施例では、システムはホームエージェント(ブロック320)とモバイルノード(ブロック325)との双方をエミュレートし始める。ブロック320及び325は同じレベルに図示されており、ブロックの並行した実行の潜在的な性質を示している。システムは、モバイルノードに対して送信されるデータに関して、ホームエージェントをエミュレートする。同様に、システムは、ホームエージェントに対して送信されるデータに関して、モバイルノードをエミュレートする。

図４Ａは、モバイルノードがMIPプロキシに登録した後に、対応のノードからモバイルノード宛てのネットワークデータを処理する本発明の実施例による方法について、更なる詳細を提供するフローチャートである。ホームエージェントがモバイルノードの代わりに対応のノードからパケットを受信したときに(例えば図１のパス1)、その方法が開始する。MIPプロキシがVPNゲートウェイと別のエンティティである本発明の何らかの実施例では、ホームエージェントは、一般的にIPSecを介してVPNゲートウェイにパケットをトンネリングする(ブロック405)。次に、ホームエージェントは、モバイルIPを使用してMIPプロキシにパケットをトンネリングする(ブロック410、例えば図１のパス2)。MIPプロキシがホームエージェントの観点からVPNの気付アドレスとして指定されているため、IPSecとモバイルIPカプセル化とを有するパケットはMIPプロキシに送信される。

MIPプロキシはホームエージェントからパケットを受信し、モバイルIPレイヤをカプセル除去する(ブロック415)。MIPプロキシがVPNゲートウェイと別のエンティティである何らかの実施例では、IPSecレイヤのデータはカプセル除去のためVPNゲートウェイに転送される(ブロック420、例えば図１Ａのパス3)。

VPNゲートウェイはモバイルノードの不変のネットワークアドレスを使用して、VPNゲートウェイとモバイルノードとの間でIPSecを用いてパケットをトンネリングする(ブロック425)。MIPプロキシがVPNゲートウェイから分離している何らかの実施例では、パケットは、モバイルノードに転送するため、MIPプロキシに送信される(例えば図１のパス4)。MIPプロキシは複数の方法でVPNゲートウェイからモバイルノード宛てのパケットを取得してもよい。本発明の一実施例では、VPNのルーティングテーブルは、モバイルノードのパケットがMIPプロキシを通じて自動的にルーティングされるように処理される。本発明の代替実施例では、MIPプロキシはモバイルノードの代わりにARP(Address Resolution Protocol)パケットに応答する。更なる代替実施例では、最初にモバイルノードがMIPプロキシを通じて登録を要求したときに、MIPプロキシはVPNゲートウェイの気付アドレスとして自分を最初に確立する。

VPNゲートウェイからデータパケットを受信した後に、MIPプロキシは、フォーリンネットワーク130のモバイルノードの気付アドレスを通じて、モバイルIPを使用してモバイルノードにパケットをトンネリングする(ブロック430、例えば図１のパス5)。

図４Ｂは、モバイルノードがMIPプロキシに登録した後に、モバイルノードから対応のノード宛のネットワークデータを処理する本発明の実施例による方法について、更なる詳細を提供するフローチャートである。モバイルノードとVPNゲートウェイとの間でIPSecを使用してパケットがトンネリングされたときに(ブロック450)、その方法が開始する。パケットは、モバイルノードとMIPプロキシとの間でモバイルIPを使用してトンネリングされる(ブロック455、図１のパス6)。MIPプロキシはモバイルIPレイヤをカプセル除去し(ブロック460)、VPNゲートウェイがMIPプロキシから分離している実施例では、パケットをVPNゲートウェイに転送する(図１のパス7)。

VPNゲートウェイはIPSecパケットをカプセル除去する(ブロック465)。VPNゲートウェイはそのデータを対応のノードに直接送信する(ブロック470、図１のパス8)。

前述のトンネリングをバイパスすることが望ましいことがある点に留意すべきである。例えば、本発明の何らかの実施例では、モバイルノードがVPNゲートウェイでIKEを実行する場合、IKEデータは通常のIPトラヒックとして運ばれる。

（結論）
セキュリティベースのVPNとモバイルネットワークとの統合を提供するシステム及び方法が提供される。本発明の実施例は、以前のシステムに対して利点を提供する。例えば、モバイルノードの不変のネットワークアドレスを使用するセキュリティ・アソシエーションを作ることをサポートすることで、本発明の方法は以前のシステムより効率的である。その理由は、モバイルノードがあるサブネットから他に移動したときにセキュリティ・アソシエーションを再構成する必要がないからである。更に、そのシステム及び方法は、既存のセキュリティ機構及びモバイルIP標準にほとんど変更を加えずに、又は全く変更を加えずに対応可能である。従って、ネットワークシステムの主要な構成要素を更新する必要なく、ユーザは本発明の利点を受けることができる。

ここで特定の実施例について図示及び説明したが、同じ目的を実現するように適合された何らかの構成が図示の特定の実施例に代用され得ることが、当業者にわかる。この出願は、本発明の如何なる適合又は変更をもカバーすることを意図する。

この出願で使用される用語は、これらの全ての周囲を含むように意図されている。前述の説明は説明的であり限定的ではないことを意図していることがわかる。前述の説明を検討することで、多数の他の実施例が当業者に明らかになる。従って、本発明は特許請求の範囲及びその同等物によってのみ限定されることを明白に意図する。

本発明の例示的な実施例のシステムレベルでの概要を示したブロック図本発明の例示的な代替実施例のシステムレベルでの概要を示したブロック図本発明の例示的な更なる代替実施例のシステムレベルでの概要を示したブロック図本発明の例示的な更なる代替実施例のシステムレベルでの概要を示したブロック図図１Ａに示す本発明の例示的な実施例の構成要素のネットワークレイヤ間の通信を示した図図１Ｂに示す本発明の例示的な代替実施例の構成要素のネットワークレイヤ間の通信を示した図図１Ｃに示す本発明の例示的な更なる代替実施例の構成要素のネットワークレイヤ間の通信を示した図図１Ｄに示す本発明の例示的な更なる代替実施例の構成要素のネットワークレイヤ間の通信を示した図モバイルノードのセキュアなネットワーク通信を確立する方法を示したフローチャート本発明の実施例に従ってファイヤウォールを通じてモバイルノードにネットワークパケットをルーティングする本発明の実施例による方法を示したフローチャート本発明の実施例に従ってファイヤウォールを通じてモバイルノードにネットワークパケットをルーティングする本発明の実施例による方法を示したフローチャート

Claims

ネットワークノード間でセキュアなネットワークパスを提供する方法であって、
外部ファイヤウォールのフォーリンネットワーク側のネットワーク装置にホームエージェントモジュールを提供し、前記外部ファイヤウォールと内部ファイヤウォールとにより生成されるネットワーク領域内にフォーリンエージェントモジュールを提供し、前記ホームエージェントモジュール及び前記フォーリンエージェントモジュールはモバイルIPプロキシを生成し、
ホームエージェントと前記フォーリンエージェントモジュールとの間に第１のモバイル IP レイヤ接続を確立し、
モバイルノードと前記ホームエージェントモジュールとの間に第２のモバイル IP レイヤ接続を確立し、
前記ホームエージェントと仮想プライベートネットワーク (VPN) ゲートウェイとの間に第１の IP セキュリティ (IPSec) 接続を確立し、
前記 VPN ゲートウェイと前記モバイルノードとの間に第２の IPSec 接続を確立し、
前記ホームエージェントモジュールと前記フォーリンエージェントモジュールとの間にセキュアなネットワークトンネルを確立し、
前記モバイルノードから第１の登録要求を受信し、前記登録要求は前記モバイルノードの不変のネットワークアドレスを有し、
前記不変のネットワークアドレスとプロキシの気付アドレスとを指定して、前記ホームエージェントに第２の登録要求を送信し、
前記モバイルIPプロキシにより、代理ホームエージェントとして、前記モバイルノードから受信したネットワークデータを処理し、
前記モバイルIPプロキシにより、代理モバイルノードとして、前記ホームエージェントから受信したネットワークデータを処理することを有する方法。
請求項１に記載の方法であって、
前記ホームエージェントから受信したホームエージェントの応答コードを前記モバイルノードに送信することを更に有する方法。
請求項１に記載の方法であって、
前記ホームエージェントから受信したネットワークデータを処理することは、前記セキュアなネットワークトンネルにより提供されるセキュリティレイヤでカプセル化するために、前記仮想プライベートネットワーク(VPN)ゲートウェイに前記ネットワークデータを送信し、更に、前記第１のモバイル IP 接続を通じて送信するために、前記ネットワークデータをモバイル IP レイヤにカプセル化することを有する方法。
請求項３に記載の方法であって、
セキュリティレイヤでカプセル化することは、IPセキュリティ(IPSec)レイヤでカプセル化し、ソース又は宛先アドレスとして前記モバイルノードの前記不変のネットワークアドレスを使用することを有する方法。
請求項３に記載の方法であって、
前記VPNゲートウェイから前記モバイルノード宛てのネットワークデータを受信し、
前記ネットワークデータを前記モバイルネットワークに送信することを更に有する方法。
請求項１に記載の方法であって、
前記モバイルノードに関連する不変のネットワークアドレスを使用して、前記モバイルノードと前記VPNゲートウェイとの間で第１のセキュリティ・アソシエーションを作り、
ホームエージェントと前記VPNゲートウェイとの間で第２のセキュリティ・アソシエーションを作り、
前記VPNゲートウェイの気付アドレスとしてモバイルIPプロキシのIPアドレスを前記ホームエージェントにより使用することを有する方法。
請求項６に記載の方法であって、
対応のノードからのデータのパケットを前記ホームエージェントにより受信し、
前記データのパケットを前記MIPプロキシにルーティングし、
前記MIPプロキシによる前記データのパケットを前記VPNゲートウェイにルーティングし、
前記VPNゲートウェイにより、前記データのパケットをセキュリティレイヤでカプセル化し、
前記VPNゲートウェイから前記MIPプロキシにより前記カプセル化されたデータを受信し、
前記MIPプロキシからの前記カプセル化されたデータを前記モバイルノードにルーティングすることを更に有する方法。
請求項６に記載の方法であって、
前記第１のセキュリティ・アソシエーション及び前記第２のセキュリティ・アソシエーションはそれぞれIPSecセキュリティ・アソシエーションである方法。
ホームネットワークにおける第１のホームエージェントと、
外部ファイヤウォールのフォーリンネットワーク側のネットワーク装置にホームエージェントモジュールを有し、前記外部ファイヤウォールと内部ファイヤウォールとにより生成されるネットワーク領域内にフォーリンエージェントモジュールを有するMIPプロキシと、
ホームネットワークにおける前記第１のホームエージェントと前記フォーリンエージェントモジュールとの間の第１のモバイル IP レイヤ接続と、
モバイルノードと前記ホームエージェントモジュールとの間の第２のモバイル IP レイヤ接続と、
前記ホームエージェントと仮想プライベートネットワーク (VPN) ゲートウェイとの間の第１の IP セキュリティ (IPSec) 接続と、
前記 VPN ゲートウェイと前記モバイルノードとの間の第２の IPSec 接続と、
前記ホームエージェントモジュールと前記フォーリンエージェントモジュールとの間のセキュアなネットワークトンネルと
を有し、
前記MIPプロキシの前記ホームエージェントモジュールは、モバイルノードに対して第２のホームエージェントをエミュレートするように動作可能であり、前記フォーリンエージェントモジュールは、前記第１のホームエージェントに対して前記モバイルノードをエミュレートするように動作可能であるコンピュータシステム。
請求項９に記載のコンピュータシステムであって、
前記MIPプロキシの前記フォーリンエージェントモジュールと前記VPNゲートウェイとの少なくとも一部は、単一のユニットに統合されているコンピュータシステム。
請求項９に記載のコンピュータシステムであって、
前記ネットワーク装置は、前記フォーリンネットワークのルータを有するコンピュータシステム。
請求項９に記載のコンピュータシステムであって、
前記MIPプロキシは、複数のサブネットで通信するように動作可能なコンピュータシステム。
ネットワークのノード間でセキュアなネットワークパスを提供する方法を実行する機械実行可能命令を有する機械読取可能媒体であって、
前記方法は、
外部ファイヤウォールのフォーリンネットワーク側のネットワーク装置にホームエージェントモジュールを提供し、前記外部ファイヤウォールと内部ファイヤウォールとにより生成されるネットワーク領域内にフォーリンエージェントモジュールを提供し、前記ホームエージェントモジュール及び前記フォーリンエージェントモジュールはモバイルIPプロキシを生成し、
ホームエージェントと前記フォーリンエージェントモジュールとの間に第１のモバイル IP レイヤ接続を確立し、
モバイルノードと前記ホームエージェントモジュールとの間に第２のモバイル IP レイヤ接続を確立し、
前記ホームエージェントと仮想プライベートネットワーク (VPN) ゲートウェイとの間に第１の IP セキュリティ (IPSec) 接続を確立し、
前記 VPN ゲートウェイと前記モバイルノードとの間に第２の IPSec 接続を確立し、
前記ホームエージェントモジュールと前記フォーリンエージェントモジュールとの間にセキュアなネットワークトンネルを確立し、
前記ホームエージェントモジュールにより、前記モバイルノードから第１の登録要求を受信し、前記登録要求は前記モバイルノードの不変のネットワークアドレスを有し、
前記フォーリンエージェントモジュールにより、前記不変のネットワークアドレスとプロキシの気付アドレスとを指定して、前記ホームエージェントに第２の登録要求を送信し、
前記モバイルIPプロキシにより、代理ホームエージェントとして、前記モバイルノードから受信したネットワークデータを処理し、
前記モバイルIPプロキシにより、代理モバイルノードとして、前記ホームエージェントから受信したネットワークデータを処理することを有する機械読取可能媒体。
請求項１３に記載の機械読取可能媒体であって、
前記ホームエージェントから受信したホームエージェントの応答コードを前記モバイルノードに送信することを更に有する機械読取可能媒体。
請求項１３に記載の機械読取可能媒体であって、
前記ホームエージェントから受信したネットワークデータを処理することは、前記セキュアなネットワークトンネルにより提供されるセキュリティレイヤでカプセル化するために、前記仮想プライベートネットワーク(VPN)ゲートウェイに前記ネットワークデータを送信し、更に、前記第１のモバイル IP 接続を通じて送信するために、前記ネットワークデータをモバイル IP レイヤにカプセル化することを有する機械読取可能媒体。
請求項１５に記載の機械読取可能媒体であって、
セキュリティレイヤでカプセル化することは、IPセキュリティ(IPSec)レイヤでカプセル化し、ソース又は宛先アドレスとして前記モバイルノードの前記不変のネットワークアドレスを使用することを有する機械読取可能媒体。
請求項１５に記載の機械読取可能媒体であって、
前記VPNゲートウェイから前記モバイルノード宛てのネットワークデータを受信し、
前記ネットワークデータを前記モバイルネットワークに送信することを更に有する機械読取可能媒体。
請求項１３に記載の機械読取可能媒体であって、
前記方法は、
前記モバイルノードに関連する不変のネットワークアドレスを使用して、前記モバイルノードと前記VPNゲートウェイとの間で第１のセキュリティ・アソシエーションを作り、
ホームエージェントと前記VPNゲートウェイとの間で第２のセキュリティ・アソシエーションを作り、
前記VPNゲートウェイの気付アドレスとしてモバイルIPプロキシのIPアドレスを前記ホームエージェントにより使用することを有する機械読取可能媒体。
請求項１８に記載の機械読取可能媒体であって、
対応のノードからのデータのパケットを前記ホームエージェントにより受信し、
前記データのパケットを前記MIPプロキシにルーティングし、
前記MIPプロキシによる前記データのパケットを前記VPNゲートウェイにルーティングし、
前記VPNゲートウェイにより、前記データのパケットをセキュリティレイヤでカプセル化し、
前記VPNゲートウェイから前記MIPプロキシにより前記カプセル化されたデータを受信し、
前記MIPプロキシからの前記カプセル化されたデータを前記モバイルノードにルーティングすることを更に有する機械読取可能媒体。
請求項１８に記載の機械読取可能媒体であって、
前記第１のセキュリティ・アソシエーション及び前記第２のセキュリティ・アソシエーションはそれぞれIPSecセキュリティ・アソシエーションである機械読取可能媒体。