JP4180458B2 - Ｖｐｎ通信システム及びｖｐｎトンネル形成方法 - Google Patents
Ｖｐｎ通信システム及びｖｐｎトンネル形成方法 Download PDFInfo
- Publication number
- JP4180458B2 JP4180458B2 JP2003208890A JP2003208890A JP4180458B2 JP 4180458 B2 JP4180458 B2 JP 4180458B2 JP 2003208890 A JP2003208890 A JP 2003208890A JP 2003208890 A JP2003208890 A JP 2003208890A JP 4180458 B2 JP4180458 B2 JP 4180458B2
- Authority
- JP
- Japan
- Prior art keywords
- vpn
- mobile
- communication
- tunnel
- packet
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Mobile Radio Communication Systems (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、携帯電話機やＰＤＡ(PersonalDigital Assistance)などの移動通信端末機にて行われるＩＰ(Internet Protocol)パケットによる通信を、セキュリティを確保しながら行うことができるＶＰＮ通信システム及びＶＰＮトンネル形成方法に関する。
【０００２】
【従来の技術】
一般的に、ファイアウォールは、モバイルファイアウォールを含めて、ＩＰパケット（以降、パケットという）の送信元アドレス・宛先アドレス・ポート番号、更にはパケット内容や通信パターンから判断して、パケットを通過させるか否かを決定する機能である。所謂、パケットのヘッダに含まれる情報をもとに通信を制御するパケットフィルタリングを行う機能である。
【０００３】
ここで、仮にユーザが移動通信端末機に暗号化通信を用いると、モバイルファイアウォールは、ポート番号やパケット内容を見ることができないため、これらの情報を用いたパケットのフィルタリングが不可能となってしまう。このため、モバイルファイアウォールでパケット内容に基づくパケットフィルタリングを用いるためには、ユーザが暗号化通信を使用しないことが前提となっている。このようなモバイルファイアウォールとしては、例えば下記の特許文献１に記載の技術内容がある。
【０００４】
上述したように、モバイルファイアウォールでは、暗号化通信を使用しないことを前提としている。しかし、現在では、例えば社内の重要なデータの送受信を、外部からインターネットや公衆回線網を通じて行うことが増えている。このため、盗聴や改竄等から保護する必要があるので、ＶＰＮ(Virtual Private Network：仮想私設網)に代表される暗号化を用いた秘匿通信に対するユーザの需要が高まっている。
【０００５】
ＶＰＮとは、インターネットや公衆回線網などのグローバルなネットワークに特定のユーザしか認識できない仮想の通信路（トンネル）を構築して通信する方法である。このＶＰＮを構築する方法をトンネリングと呼ぶ。必要な場合は、トンネリングの他に暗号化処理が適用される。
この種の従来のＶＰＮを用いた通信システムとして、例えば特許文献２に記載のものがある。この内容は次の通りである。ＩＰ通信網に接続されるＬＡＮ(Local AreaNetwork)の間にＶＰＮを設定している時、そのＬＡＮがＩＰ通信網への接続位置を移動した場合でも自動的にＶＰＮの設定を保持する。ＩＰ通信網にＶＰＮトンネルを設定し、その後、そのＶＰＮトンネルが設定されたＬＡＮの何れかが、ＩＰ通信網に接続されるＬＡＮ収容装置の場所を移動した場合に、ＬＡＮ収容装置間にモバイルＩＰトンネルを設定し、このモバイルＩＰトンネルと元のＶＰＮトンネルとを連結して新たなＶＰＮを形成する。これによって、移動後もＬＡＮ間のＶＰＮの設定を自動的に保持するといった技術である。
【０００６】
【特許文献１】
特願２００２−３４６２７１号公報
【特許文献２】
特開２００２−７７２７３号公報
【０００７】
【発明が解決しようとする課題】
しかし、従来の通信システムにおいては、ＶＰＮに代表される暗号化を用いた秘匿通信に対するユーザの需要が高まっていることから、暗号化通信をモバイルファイアウォールの適用対処外として無視することはもはやできなくなってきている。
そこで、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォールのパケットフィルタリングを利用できるサービスを提供する必要があるが、実際には、上述したように、移動通信端末機に暗号化通信を用いると、モバイルファイアウォールは、ポート番号やパケット内容を見ることができないため、これらの情報を用いたパケットのフィルタリングが不可能となってしまうという問題がある。
【０００８】
また、上記特許文献１に開示されているモバイルファイアウォールでは、想定環境とする移動通信サービスにおいて、様々な移動通信端末機が接続されるとしているが、その中にはセキュリティ機能を全く搭載できない移動通信端末機も存在すると考えられる。この様な移動通信端末機は、それ自体ではＶＰＮサービスを利用できないという問題がある。
【０００９】
更に、例え移動通信端末機が高性能でＶＰＮ機能を搭載できるとしても、ユーザがその機能を有効に活用できるとは限らない。モバイルファイアウォールのサービス提供環境では、様々なレベルのユーザがネットワーク接続サービスを利用するので、セキュリティ知識レベルの低いユーザは、セキュリティの機能を設定・使用することができないことがある。またレベルの高いユーザですら、その設定・使用を面倒なものと考えるかもしれない。つまり、ユーザの負担が大きく、利便性が悪いという問題がある。
【００１０】
また、上記特許文献２においては、ＩＰ通信網への接続位置を移動した場合にも自動的にＶＰＮの設定を保持するが、パケットフィルタリングを同時に実行することができないので、移動通信端末機に不具合を及ぼすパケットを通過させてしまうという問題がある。
本発明は、このような課題に鑑みてなされたものであり、ＶＰＮによる暗号化通信とモバイルファイアウォールによるパケットフィルタリングとを同時に利用可能とすることによって、不具合要因となるパケットの排除を行いながら秘匿通信を行うことを可能とし、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができるＶＰＮ通信システム及びＶＰＮトンネル形成方法を提供することを目的としている。
【００１１】
【課題を解決するための手段】
上記目的を達成するために、本発明の請求項１によるＶＰＮ通信システムは、通信網に、暗号化処理を用いてパケットを伝送するためのＶＰＮトンネルを形成し、このＶＰＮトンネルを介して移動通信端末機と通信先端末機とが通信を行うＶＰＮ通信システムにおいて、前記移動通信端末機が前記ＶＰＮトンネルを介して通信を行う通信相手を把握するためのＶＰＮ接続情報を登録したデータベースと、前記通信先端末機が前記ＶＰＮトンネルを介して通信を行う際に通信形式の整合をとって通信可能とするゲートウェイ装置と、前記移動通信端末機が通信網に接続した際のパケットの受信時に前記ＶＰＮ接続情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットのヘッダに含まれる情報と取得したＶＰＮ接続情報との宛先が一致した場合、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するモバイルファイアウォール装置と、を備えたことを特徴としている。
【００１２】
この構成によれば、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
また、本発明の請求項２によるＶＰＮ通信システムは、請求項１において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットのヘッダに含まれる情報と取得した前記ＶＰＮ接続情報との宛先が一致した場合、前記ゲートウェイ装置との間にＶＰＮトンネルを形成することを特徴としている。
【００１３】
この構成によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ゲートウェイ装置との間にＶＰＮトンネルを形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００１４】
また、本発明の請求項３によるＶＰＮ通信システムは、請求項１において、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を更に備え、前記モバイルファイアウォール装置は、前記受信パケットのヘッダに含まれる情報と取得した前記ＶＰＮ接続情報との宛先が一致した場合、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡し、前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成することを特徴としている。
【００１５】
この構成によれば、プロキシ装置がＶＰＮトンネルの終端装置として動作し、また、プロキシ装置とモバイルファイアウォール装置との間に暗号化トンネルを形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
【００１６】
また、本発明の請求項４によるＶＰＮ通信システムは、請求項３において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得し、この取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成することを特徴としている。
【００１７】
この構成によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてプロキシ装置との間に暗号化トンネルを形成する。この暗号化トンネルは、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００１８】
また、本発明の請求項５によるＶＰＮトンネル形成方法は、通信網に、暗号化を用いて移動通信端末機と通信先端末機間の通信パケットを伝送するためのＶＰＮトンネルを形成するＶＰＮトンネル形成方法において、通信網上のデータベースに、前記移動通信端末機が前記ＶＰＮトンネルを介して通信を行う通信相手を把握するためのＶＰＮ接続情報を登録する第１のステップと、前記移動通信端末機と通信を行う通信網上のモバイルファイアウォール装置が、前記移動通信端末機が通信網に接続した際のパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得する第２のステップと、当該モバイルファイアウォール装置が、通信先端末機へのパケットの受信時に、この受信パケットのヘッダに含まれる情報と前記第２のステップにおいて取得した通信相手を把握するためのＶＰＮ接続情報との宛先が一致した際に、ゲートウェイ装置との間にＶＰＮトンネルを形成する第３のステップとを含むことを特徴としている。
【００１９】
この方法によれば、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
また、本発明の請求項６によるＶＰＮトンネル形成方法は、請求項５において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置が、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得する第４のステップと、当該ハンドオーバ先のモバイルファイアウォール装置が、通信先端末機へのパケットの受信時に、この受信パケットのヘッダ情報と取得された前記ＶＰＮ接続情報との宛先が一致した場合、前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第５のステップとを更に含むことを特徴としている。
【００２０】
この方法によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ゲートウェイ装置との間にＶＰＮトンネルを形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００２１】
また、本発明の請求項７によるＶＰＮトンネル形成方法は、請求項５において、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を備えた場合、前記モバイルファイアウォール装置は、前記第５のステップにおいて、受信パケットのヘッダ情報と取得された前記ＶＰＮ接続情報との宛先が一致した場合、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡する第６のステップと、前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第７のステップと、を更に含むことを特徴としている。
【００２２】
この方法によれば、プロキシ装置がＶＰＮトンネルの終端装置として動作し、また、プロキシ装置とモバイルファイアウォール装置との間に暗号化トンネルを形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
【００２３】
また、本発明の請求項８によるＶＰＮトンネル形成方法は、請求項７において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得する第８のステップと、当該ハンドオーバ先のモバイルファイアウォール装置は、前記第８のステップで取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成する第９のステップとを更に含むことを特徴としている。
【００２４】
この方法によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてプロキシ装置との間に暗号化トンネルを形成する。この暗号化トンネルは、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００２５】
【発明の実施の形態】
以下、本発明の実施の形態を、図面を参照して説明する。
（第１の実施の形態）
図１は、本発明の第１の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
図１に示すＶＰＮ通信システム１０は、パーソナルコンピュータ等のＣＮ(Correspondent Node)１２を有するリモートネットワーク１４と、ＶＰＮゲートウェイ装置１６及び複数（ここでは第１及び第２）のモバイルファイアウォール装置１８−１，１８−２を有する移動通信ネットワーク２０と、各モバイルファイアウォール装置１８−１，１８−２と無線回線にて通信を行う移動通信端末機であるＭＮ(Mobile Node)２２とを備えて構成されている。
【００２６】
但し、ここでは説明のためにＭｏｂｉｌｅ ＩＰｖ６を前提としたシステムを用いるが、他のトランスポート技術及びプロトコルを用いて実現することも可能である。なお、以下の（ａ）及び（ｂ）の条件を満たす場合は、ここでの説明の方式とほぼ同様の手法で実現可能である。
（ａ）モバイルファイアウォール装置が移動通信端末機の移動を検知できること。
【００２７】
（ｂ）通過するパケットの実質的な宛先・発信元アドレスをアクセスルータが認知することができ、これをモバイルファイアウォール装置へ通知できること。次に、ＶＰＮ通信システム１０の特徴は、リモートネットワーク１４と移動通信ネットワーク２０との接続境界にＶＰＮゲートウェイ装置１６を配置し、このＶＰＮゲートウェイ装置１６と各モバイルファイアウォール装置１８−１，１８−２との間にＶＰＮトンネル２４−１，２４−２を張り、各モバイルファイアウォール装置１８−１，１８−２を、そのＶＰＮトンネル２４−１，２４−２の終端装置として動作させるようにした点にある。つまり、各モバイルファイアウォール装置１８−１，１８−２をＶＰＮプロキシ装置として利用するようにした。
【００２８】
ＭＮ２２とＣＮ１２とは、ＶＰＮトンネル２４−１又は２４−２を介して通信を行うようになっている。例えば、第１のモバイルファイアウォール装置１８−１とＶＰＮゲートウェイ装置１６との間のＶＰＮトンネル２４−１を介してＣＮ１２と通信を行っているＭＮ２２が、矢印Ｙ１で示すようにハンドオーバを行った場合、モバイルファイアウォール装置も、第２のモバイルファイアウォール装置１８−２へ移動することになる。
【００２９】
この場合、ＶＰＮゲートウェイ装置１６と第２のモバイルファイアウォール装置１８−２との間にＶＰＮトンネル２４−２が張り替えられ、このＶＰＮトンネル２４−２を介してＭＮ２２とＣＮ１２とが通信を行うようになっている。
また、ＶＰＮトンネル２４−１，２４−２は、固定網で一般に用いられている既存の方式であるＩＰｓｅｃ、Ｌ２ＴＰ、Ｌ２Ｅ、ＰＰＰＴＰ等を利用して張られるため、ＶＰＮゲートウェイ装置１６に特殊な機能を搭載する必要はない。なお、ＶＰＮゲートウェイ装置１６は、ＣＮ１２に搭載される場合もある。
【００３０】
また、各モバイルファイアウォール装置１８−１，１８−２は、アクセスルータに配置されるものである。更に、各モバイルファイアウォール装置１８−１，１８−２とＭＮ２２との間の無線回線は、ＶＰＮトンネルに係るレイヤよりも下レイヤのセキュリティに依存するものであって、かつ同一無線インターフェースに接続する他の端末機とは物理的にリンクは共有するがデータは供給しない、いわゆる共有型リンクではない。従って、移動通信端末機とモバイルファイアウォール装置間の通信を他の端末機やノードから盗聴することは不可能である。
【００３１】
ところで、モバイルファイアウォールサービスの想定環境として、ＭＮ２２には特別なセキュリティ機能は搭載されていないものとされている。このため、ＭＮ２２のユーザがリモートネットワーク１４に接続しようとしても、ユーザ自らがコマンドやクライアント等を用いてＶＰＮ接続することはできない。
従って、ユーザがＶＰＮ接続を希望するリモートネットワーク１４又はＣＮ１２宛のパケットを送信すると、移動通信ネットワーク２０側で自動的にＶＰＮ接続を確立する必要がある。つまり、予めネットワーク２０側でＶＰＮ接続を行う通信相手（ＣＮ１２）を把握しておく必要がある。
【００３２】
そこで、ＭＮ２２のユーザは、予めモバイルファイアウォールのセキュリティポリシー情報として、ＶＰＮゲートウェイ装置１６のアドレス、ＶＰＮアカウント、ＶＰＮパスワード等のＶＰＮ接続相手情報を、セキュリティポリシーデータベース（以下、ＳＰ・ＤＢと称す）に登録しておく。但し、ＳＰ・ＤＢは、通常、移動通信ネットワーク２０上に設けられている。
【００３３】
このような、モバイルファイアウォール想定環境におけるセキュリティポリシー登録方法には、例えば、次の（１）〜（３）のようなものがある。
（１）電話連絡によりオペレータに説明してセキュリティポリシー情報を登録してもらう（低レベルユーザ向け）。
（２）セキュリティポリシー設定Ｗｅｂページを用いてセキュリティポリシー情報を設定する（中レベルユーザ向け）。
（３）ＳＰ・ＤＢを操作して直接編集する（高レベルユーザ向け）。
なお、モバイルファイアウォール装置では、所有移動通信端末機（ＭＮ）の一括設定機能や、他人の所有する移動通信端末機の設定代行機能の提供を想定しているため、ＶＰＮ接続相手先登録のために、必ずしもＶＰＮ接続を行う移動通信端末機自体を用いる必要はない。
【００３４】
次に、ＶＰＮ通信システム１０において、ＶＰＮトンネルを形成してＭＮ２２とＣＮ１２間で通信を行う場合の処理を、図２に示すシーケンス図を参照して説明する。
まず、ステップＳ１において、ＭＮ２２が移動通信ネットワーク２０に新規接続して最初のパケット及びこれに続くパケットを送信すると、その新規接続された第１のモバイルファイアウォール装置１８−１が、それらのパケットをホールドする。このパケットをホールドしておく理由は、第１のモバイルファイアウォール装置１８−１に、そのＭＮ２２のユーザセキュリティポリシー情報がないためである。また、ここでは説明を簡単にするため、上記のパケットが、移動通信ネットワーク２０上に存在するＨＡ(Home Agent)宛のＢＵ(Binding Up data)であるとする。
【００３５】
次に、ステップＳ２において、第１のモバイルファイアウォール装置１８−１は、当該ユーザのセキュリティポリシー情報を要求して受信するためのセキュリティポリシー要求を、ＳＰ・ＤＢへ送信する。
この応答としてＳＰ・ＤＢは、ステップＳ３において、第１のモバイルファイアウォール装置１８−１にセキュリティポリシー情報を返信する。このセキュリティポリシー情報には、ＶＰＮ接続を行う等の情報が含まれている。第１のモバイルファイアウォール装置１８−１は、そのセキュリティポリシー情報を受信すると、ステップＳ４において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、前述の想定環境により、ＨＡ宛のＢＵであるため、ステップＳ５において、ＨＡは応答としてＢＡ(Binding Acknowledgement)をＭＮ２２へ返信する。これでＭＮ２２の位置登録が完了する。
【００３６】
続いて、ステップＳ６において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第１のモバイルファイアウォール装置１８−１は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、ステップＳ７に示すようにＶＰＮ接続処理を行って、ＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−１を確立する。
【００３７】
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４−１を利用した通信を行う際に用いるアドレスを払い出すが、ＭＮ２２にはＶＰＮクライアント機能が無いので、そのアドレスを扱うことができない。このため、ステップＳ８において、第１のモバイルファイアウォール装置１８−１が、そのアドレスを用いてＣＮ１２と通信し、ＮＡＴ(Network Address Translation)によるアドレス変換を行いＭＮ２２へパケットを転送する。このように、ステップＳ９に示すように、ＶＰＮトンネル２４−１を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００３８】
次に、ＭＮ２２がハンドオーバを行う場合の処理を説明する。
まず、ステップＳ１１において、ＭＮ２２がハンドオーバしてから最初のパケットを送信すると、ハンドオーバ先の第２のモバイルファイアウォール装置１８−２が、そのパケットをホールドする。なお、ここでは説明を簡単にするため、上記のパケットが、ＨＡ宛のＢＵであるとする。
【００３９】
ステップＳ１２において、第２のモバイルファイアウォール装置１８−２は、ＳＰ・ＤＢに対して、当該ユーザのセキュリティポリシー情報を要求するためのセキュリティポリシー要求を送信する。この応答としてＳＰ・ＤＢが、ステップＳ１３において、第２のモバイルファイアウォール装置１８−２にセキュリティポリシー情報を返信する。
【００４０】
これと同時に、ステップＳ１４において、ＳＰ・ＤＢは、ＭＮ２２が以前接続していた第１のモバイルファイアウォール装置１８−１に対して、ファイアウォール内部状態の転送を要求するための内部状態フォワード要求を送信する。第１のモバイルファイアウォール装置１８−１は、その内部状態フォワード要求を受信すると、ステップＳ１５において、第２のモバイルファイアウォール装置１８−２へ内部状態情報を転送し、また、ＶＰＮトンネル２４−１を切断する。
【００４１】
その内部状態情報と先のセキュリティポリシー情報を受信した第２のモバイルファイアウォール装置１８−２は、ステップＳ１６において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、前述の想定環境によりＨＡ宛のＢＵであるため、ステップＳ１７において、ＨＡは応答としてＢＡをＭＮ２２へ送信する。これによってＭＮ２２の位置登録が完了する。
【００４２】
続いて、ステップＳ１８において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第２のモバイルファイアウォール装置１８−２は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、ステップＳ１９に示すようにＶＰＮ接続処理を行って、ＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−２を確立する。
【００４３】
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４−１を利用した通信を行う際に用いるアドレスを払い出すが、この際、ＤＨＣＰ(Dynamic Host Configuration Protocol)機能によりＩＰアドレスを払い出す場合は、ハンドオーバ前と同じアドレスを優先的に割り当てる設定又は機能が必要となる。
【００４４】
ステップＳ２０において、第２のモバイルファイアウォール装置１８−２は、その割り当てられたアドレスを用いてＣＮ１２と通信し、ＮＡＴ(Network Address Translation)によるアドレス変換を行いＭＮ２２へパケットを転送する。このように、ステップＳ２１に示すように、ＶＰＮトンネル２４−２を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００４５】
このように、第１の実施の形態のＶＰＮ通信システム１０によれば、モバイルファイアウォール装置１８−１がＶＰＮトンネル２４−１の終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置１８−１のパケットフィルタリングを利用して、ＭＮ２２とＣＮ１２とが通信を行うことができる。
【００４６】
従って、不具合要因となるパケットの排除を行いながら秘匿通信を行うことが可能となり、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができる。
また、ＭＮ２２がハンドオーバした際に、モバイルファイアウォール装置も、そのＭＮ２２に追随して移動し、この移動先のモバイルファイアウォール装置１８−２が、ハンドオーバ前のモバイルファイアウォール装置１８−１の情報を用いてＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−２を形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００４７】
（第２の実施の形態）
図３は、本発明の第２の実施の形態に係るＶＰＮ通信システムの構成を示す図である。但し、図３に示す第２の実施の形態において、図１に示した第１の実施の形態の各部に対応する部分には同一符号を付し、その説明を省略する。
図３に示すＶＰＮ通信システム３０が図１に示したＶＰＮ通信システム１０と異なる点は、移動通信ネットワーク２０に、ＶＰＮプロキシ装置３２を更に備え、このＶＰＮプロキシ装置３２とＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４を張って終端し、また、ＶＰＮプロキシ装置３２と各モバイルファイアウォール装置１８−１，１８−２との間に、移動通信に特化した方式による暗号化トンネル３４−１，３４−２を張るようにしたことにある。つまり、ＶＰＮプロキシ装置３２は、２種類のトンネルの中継を行うようになっている。
【００４８】
ＭＮ２２とＣＮ１２とは、ＶＰＮトンネル２４に加え、暗号化トンネル３４−１又は３４−２を介して通信を行うようになっている。例えば、第１のモバイルファイアウォール装置１８−１とＶＰＮゲートウェイ装置１６との間のＶＰＮトンネル２４及び暗号化トンネル３４−１を介してＣＮ１２と通信を行っているＭＮ２２が、矢印Ｙ３で示すようにハンドオーバを行った場合、モバイルファイアウォール装置も、第２のモバイルファイアウォール装置１８−２へ移動することになる。
【００４９】
この場合、ＶＰＮプロキシ装置３２と第２のモバイルファイアウォール装置１８−２との間に暗号化トンネル３４−２が張り替えられ、この暗号化トンネル３４−２を介してＭＮ２２とＣＮ１２とが通信を行うようになっている。
次に、ＶＰＮ通信システム３０において、ＶＰＮトンネル及び暗号化トンネルを形成してＭＮ２２とＣＮ１２間で通信を行う場合の処理を、図４に示すシーケンス図を参照して説明する。
【００５０】
まず、ステップＳ３１において、ＭＮ２２が移動通信ネットワーク２０に新規接続して最初のパケットを送信すると、その新規接続された第１のモバイルファイアウォール装置１８−１が、そのパケットをホールドする。このパケットをホールドしておく理由は、第１のモバイルファイアウォール装置１８−１に、そのＭＮ２２のユーザセキュリティポリシー情報がないためである。また、ここでは説明を簡単にするため、上記のパケットが、移動通信ネットワーク２０上に存在するＨＡ(Home Agent)宛のＢＵ(Binding Up data)であるとする。
【００５１】
次に、ステップＳ３２において、第１のモバイルファイアウォール装置１８−１は、当該ユーザのセキュリティポリシー情報を要求して受信するためのセキュリティポリシー要求を、ＳＰ・ＤＢへ送信する。
この応答としてＳＰ・ＤＢは、ステップＳ３３において、第１のモバイルファイアウォール装置１８−１にセキュリティポリシー情報を返信する。このセキュリティポリシー情報には、ＶＰＮ接続を行う等の情報が含まれている。第１のモバイルファイアウォール装置１８−１は、そのセキュリティポリシー情報を受信すると、ステップＳ３４において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、第１の実施の形態に記載した想定環境により、ＨＡ宛のＢＵであるため、ステップＳ３５において、ＨＡは応答としてＢＡ(Binding Acknowledgement)をＭＮ２２へ返信する。これでＭＮ２２の位置登録が完了する。
【００５２】
続いて、ステップＳ３６において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第１のモバイルファイアウォール装置１８−１は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、第１のモバイルファイアウォール装置１８−１は、ステップＳ３７に示すように、第１のモバイルファイアウォール装置１８−１とＶＰＮプロキシ装置３２との間の接続処理を行って、ＶＰＮプロキシ装置３２との間に暗号化トンネル３４−１を確立し、ＶＰＮプロキシ装置３２にＶＰＮ接続情報を渡す。
【００５３】
このＶＰＮ接続情報を受けたＶＰＮプロキシ装置３２は、ステップＳ３８において、ＶＰＮ接続処理を行ってＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４を確立する。
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４を利用した通信を行う際に用いるアドレスを払い出すが、ＭＮ２２にはＶＰＮクライアント機能が無いので、そのアドレスを扱うことができない。このため、ステップＳ３９及びＳ４０において、ＶＰＮトンネル２４の終端を担うＶＰＮプロキシ装置３２がＭＮ２２に成りすまして、そのアドレスを用いてＣＮ１２と通信を行う。ＶＰＮゲートウェイ装置１６は、ＶＰＮプロキシ装置３２から受信したパケットを一度復号化してパケットのデータ部分（ペイロード）を取り出し、再び暗号化トンネル３４−１を通して第１のモバイルファイアウォール装置１８−１へ転送する。第１のモバイルファイアウォール装置１８−１は、そのパケットを復号化してデータ部分を取り出し、ＮＡＴ(Network Address Translation)により、アドレス変換した上でＭＮ２２へパケットを転送する。
【００５４】
この際、ＶＰＮプロキシ装置３２で行っているパケットの暗号化・復号化を第１のモバイルファイアウォール装置１８−１が代行して行う。ＶＰＮプロキシ装置３２は、既に第１のモバイルファイアウォール装置１８−１及びＶＰＮゲートウェイ装置１６によって暗号化されているパケットを、それぞれ暗号化トンネル３４−１及びＶＰＮトンネル２４を通して、そのまま転送するという方式を用いる。これによって、暗号化・復号化の回数を削減することも可能である。但し、この場合は、ＶＰＮプロキシ装置３２がＶＰＮトンネル２４を構築するために用いた情報を、予め第１のモバイルファイアウォール装置１８−１へ通知しておく必要がある。第１のモバイルファイアウォール装置１８−１は、その情報を用いて暗号化・復号化を行う。
【００５５】
次に、ＭＮ２２がハンドオーバを行う場合の処理を説明する。
まず、ステップＳ４１において、ＭＮ２２がハンドオーバしてから最初のパケットを送信すると、ハンドオーバ先の第２のモバイルファイアウォール装置１８−２が、そのパケットをホールドする。なお、ここでは説明を簡単にするため、上記のパケットが、ＨＡ宛のＢＵであるとする。
【００５６】
ステップＳ４２において、第２のモバイルファイアウォール装置１８−２は、ＳＰ・ＤＢに対して、当該ユーザのセキュリティポリシー情報を要求するためのセキュリティポリシー要求を送信する。この応答としてＳＰ・ＤＢが、ステップＳ４３において、第２のモバイルファイアウォール装置１８−２にセキュリティポリシー情報を返信する。
【００５７】
これと同時に、ステップＳ４４において、ＳＰ・ＤＢは、ＭＮ２２が以前接続していた第１のモバイルファイアウォール装置１８−１に対して、ファイアウォール内部状態の転送を要求するための内部状態フォワード要求を送信する。
第１のモバイルファイアウォール装置１８−１は、その内部状態フォワード要求を受信すると、ステップＳ４５において、第２のモバイルファイアウォール装置１８−２へ内部状態情報を転送し、ステップＳ４６において、ＶＰＮトンネル２４−１を切断する。
【００５８】
内部状態情報を受信した第２のモバイルファイアウォール装置１８−２は、ステップＳ４７において、第２のモバイルファイアウォール装置１８−２とＶＰＮプロキシ装置３２との間の接続処理を行って、ＶＰＮプロキシ装置３２との間に暗号化トンネル３４−２を確立し、ＶＰＮプロキシ装置３２にＶＰＮ接続情報を渡す。
【００５９】
この後、第２のモバイルファイアウォール装置１８−２は、ステップＳ４８において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、第１の実施の形態で記載した想定環境によりＨＡ宛のＢＵであるため、ステップＳ４９において、ＨＡは応答としてＢＡをＭＮ２２へ送信する。これによってＭＮ２２の位置登録が完了する。
【００６０】
なお、ＶＰＮプロキシ装置３２は、ＮＡＴ機能によりＭＮ２２のハンドオーバ後のアドレスヘアドレス変換を行う必要がある。ＶＰＮプロキシ装置３２はアドレス変換を行うだけであり、パケットの暗号化及び復号化は、第２のモバイルファイアウォール装置１８−２とＶＰＮゲートウェイ装置１６の間で行う。このようにしてステップＳ５０に示すように、ＶＰＮトンネル２４及び暗号化トンネル３４−２を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００６１】
このように、第２の実施の形態のＶＰＮ通信システム３０によれば、ＶＰＮプロキシ装置３２がＶＰＮトンネル２４の終端装置として動作し、また、ＶＰＮプロキシ装置３２とモバイルファイアウォール装置１８−１との間に暗号化トンネル３４−１を形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置１８−１のパケットフィルタリングを利用して、ＭＮ２２とＣＮ１２とが通信を行うことができる。
【００６２】
従って、不具合要因となるパケットの排除を行いながら秘匿通信を行うことが可能となり、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができる。
また、ＭＮ２２がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置１８−２が、ハンドオーバ前のモバイルファイアウォール装置１８−１の情報を用いてＶＰＮプロキシ装置３２との間に暗号化トンネル３４−２を形成する。この暗号化トンネル３４−２は、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００６３】
なお、上記第１の実施の形態では、モバイルファイアウォール装置１８−１又は１８−２とＶＰＮゲートウェイ装置１６との間に、上記第２の実施の形態では、モバイルファイアウォール装置１８−１又は１８−２とＶＰＮプロキシ装置３２との間、並びにＶＰＮプロキシ装置３２とＶＰＮゲートウェイ装置１６との間に、暗号化したトンネルを張るようにしたが、他の方法で盗聴や改竄からの安全を確保できるのであれば暗号化しないトンネルを張るようにしてもよい。
【００６４】
【発明の効果】
以上説明したように本発明は、通信網上のデータベースに、通信先端末機がＶＰＮトンネルを介して通信を行うために必要な通信先端末機情報を登録しておき、移動通信端末機が通信を行う通信網上のモバイルファイアウォール装置が、移動通信端末機が通信網に接続した際のパケットの受信時に、データベースから通信先端末機情報を取得し、更に、通信先端末機へのパケットの受信時に、この受信パケットの情報と先に取得した通信先端末機情報との宛先が一致した際に、ゲートウェイ装置との間にＶＰＮトンネルを形成するようにした。
【００６５】
これによって、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
従って、ＶＰＮによる暗号化通信とモバイルファイアウォールによるパケットフィルタリングとを同時に利用可能とすることができるので、不具合要因となるパケットの排除を行いながら秘匿通信を行うことを可能とし、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができるという効果がある。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
【図２】第１の実施の形態に係るＶＰＮ通信システムにおいてＶＰＮトンネルを形成してＭＮとＣＮ間で通信を行う場合の処理を説明するためのシーケンス図である。
【図３】本発明の第２の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
【図４】第２の実施の形態に係るＶＰＮ通信システムにおいてＶＰＮトンネル及び暗号化トンネルを形成してＭＮとＣＮ間で通信を行う場合の処理を説明するためのシーケンス図である。
【符号の説明】
１０，３０ ＶＰＮ通信システム
１２ ＣＮ(Correspondent Node)
１４ リモートネットワーク
１６ ＶＰＮゲートウェイ装置
１８−１ 第１のモバイルファイアウォール装置
１８−２ 第２のモバイルファイアウォール装置
２０ 移動通信ネットワーク
２２ 移動通信端末機であるＭＮ(Mobile Node)
２４，２４−１，２４−２ ＶＰＮトンネル
３２ ＶＰＮプロキシ装置
３４−１，３４−２ 暗号化トンネル
【発明の属する技術分野】
本発明は、携帯電話機やＰＤＡ(PersonalDigital Assistance)などの移動通信端末機にて行われるＩＰ(Internet Protocol)パケットによる通信を、セキュリティを確保しながら行うことができるＶＰＮ通信システム及びＶＰＮトンネル形成方法に関する。
【０００２】
【従来の技術】
一般的に、ファイアウォールは、モバイルファイアウォールを含めて、ＩＰパケット（以降、パケットという）の送信元アドレス・宛先アドレス・ポート番号、更にはパケット内容や通信パターンから判断して、パケットを通過させるか否かを決定する機能である。所謂、パケットのヘッダに含まれる情報をもとに通信を制御するパケットフィルタリングを行う機能である。
【０００３】
ここで、仮にユーザが移動通信端末機に暗号化通信を用いると、モバイルファイアウォールは、ポート番号やパケット内容を見ることができないため、これらの情報を用いたパケットのフィルタリングが不可能となってしまう。このため、モバイルファイアウォールでパケット内容に基づくパケットフィルタリングを用いるためには、ユーザが暗号化通信を使用しないことが前提となっている。このようなモバイルファイアウォールとしては、例えば下記の特許文献１に記載の技術内容がある。
【０００４】
上述したように、モバイルファイアウォールでは、暗号化通信を使用しないことを前提としている。しかし、現在では、例えば社内の重要なデータの送受信を、外部からインターネットや公衆回線網を通じて行うことが増えている。このため、盗聴や改竄等から保護する必要があるので、ＶＰＮ(Virtual Private Network：仮想私設網)に代表される暗号化を用いた秘匿通信に対するユーザの需要が高まっている。
【０００５】
ＶＰＮとは、インターネットや公衆回線網などのグローバルなネットワークに特定のユーザしか認識できない仮想の通信路（トンネル）を構築して通信する方法である。このＶＰＮを構築する方法をトンネリングと呼ぶ。必要な場合は、トンネリングの他に暗号化処理が適用される。
この種の従来のＶＰＮを用いた通信システムとして、例えば特許文献２に記載のものがある。この内容は次の通りである。ＩＰ通信網に接続されるＬＡＮ(Local AreaNetwork)の間にＶＰＮを設定している時、そのＬＡＮがＩＰ通信網への接続位置を移動した場合でも自動的にＶＰＮの設定を保持する。ＩＰ通信網にＶＰＮトンネルを設定し、その後、そのＶＰＮトンネルが設定されたＬＡＮの何れかが、ＩＰ通信網に接続されるＬＡＮ収容装置の場所を移動した場合に、ＬＡＮ収容装置間にモバイルＩＰトンネルを設定し、このモバイルＩＰトンネルと元のＶＰＮトンネルとを連結して新たなＶＰＮを形成する。これによって、移動後もＬＡＮ間のＶＰＮの設定を自動的に保持するといった技術である。
【０００６】
【特許文献１】
特願２００２−３４６２７１号公報
【特許文献２】
特開２００２−７７２７３号公報
【０００７】
【発明が解決しようとする課題】
しかし、従来の通信システムにおいては、ＶＰＮに代表される暗号化を用いた秘匿通信に対するユーザの需要が高まっていることから、暗号化通信をモバイルファイアウォールの適用対処外として無視することはもはやできなくなってきている。
そこで、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォールのパケットフィルタリングを利用できるサービスを提供する必要があるが、実際には、上述したように、移動通信端末機に暗号化通信を用いると、モバイルファイアウォールは、ポート番号やパケット内容を見ることができないため、これらの情報を用いたパケットのフィルタリングが不可能となってしまうという問題がある。
【０００８】
また、上記特許文献１に開示されているモバイルファイアウォールでは、想定環境とする移動通信サービスにおいて、様々な移動通信端末機が接続されるとしているが、その中にはセキュリティ機能を全く搭載できない移動通信端末機も存在すると考えられる。この様な移動通信端末機は、それ自体ではＶＰＮサービスを利用できないという問題がある。
【０００９】
更に、例え移動通信端末機が高性能でＶＰＮ機能を搭載できるとしても、ユーザがその機能を有効に活用できるとは限らない。モバイルファイアウォールのサービス提供環境では、様々なレベルのユーザがネットワーク接続サービスを利用するので、セキュリティ知識レベルの低いユーザは、セキュリティの機能を設定・使用することができないことがある。またレベルの高いユーザですら、その設定・使用を面倒なものと考えるかもしれない。つまり、ユーザの負担が大きく、利便性が悪いという問題がある。
【００１０】
また、上記特許文献２においては、ＩＰ通信網への接続位置を移動した場合にも自動的にＶＰＮの設定を保持するが、パケットフィルタリングを同時に実行することができないので、移動通信端末機に不具合を及ぼすパケットを通過させてしまうという問題がある。
本発明は、このような課題に鑑みてなされたものであり、ＶＰＮによる暗号化通信とモバイルファイアウォールによるパケットフィルタリングとを同時に利用可能とすることによって、不具合要因となるパケットの排除を行いながら秘匿通信を行うことを可能とし、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができるＶＰＮ通信システム及びＶＰＮトンネル形成方法を提供することを目的としている。
【００１１】
【課題を解決するための手段】
上記目的を達成するために、本発明の請求項１によるＶＰＮ通信システムは、通信網に、暗号化処理を用いてパケットを伝送するためのＶＰＮトンネルを形成し、このＶＰＮトンネルを介して移動通信端末機と通信先端末機とが通信を行うＶＰＮ通信システムにおいて、前記移動通信端末機が前記ＶＰＮトンネルを介して通信を行う通信相手を把握するためのＶＰＮ接続情報を登録したデータベースと、前記通信先端末機が前記ＶＰＮトンネルを介して通信を行う際に通信形式の整合をとって通信可能とするゲートウェイ装置と、前記移動通信端末機が通信網に接続した際のパケットの受信時に前記ＶＰＮ接続情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットのヘッダに含まれる情報と取得したＶＰＮ接続情報との宛先が一致した場合、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するモバイルファイアウォール装置と、を備えたことを特徴としている。
【００１２】
この構成によれば、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
また、本発明の請求項２によるＶＰＮ通信システムは、請求項１において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットのヘッダに含まれる情報と取得した前記ＶＰＮ接続情報との宛先が一致した場合、前記ゲートウェイ装置との間にＶＰＮトンネルを形成することを特徴としている。
【００１３】
この構成によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ゲートウェイ装置との間にＶＰＮトンネルを形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００１４】
また、本発明の請求項３によるＶＰＮ通信システムは、請求項１において、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を更に備え、前記モバイルファイアウォール装置は、前記受信パケットのヘッダに含まれる情報と取得した前記ＶＰＮ接続情報との宛先が一致した場合、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡し、前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成することを特徴としている。
【００１５】
この構成によれば、プロキシ装置がＶＰＮトンネルの終端装置として動作し、また、プロキシ装置とモバイルファイアウォール装置との間に暗号化トンネルを形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
【００１６】
また、本発明の請求項４によるＶＰＮ通信システムは、請求項３において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得し、この取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成することを特徴としている。
【００１７】
この構成によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてプロキシ装置との間に暗号化トンネルを形成する。この暗号化トンネルは、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００１８】
また、本発明の請求項５によるＶＰＮトンネル形成方法は、通信網に、暗号化を用いて移動通信端末機と通信先端末機間の通信パケットを伝送するためのＶＰＮトンネルを形成するＶＰＮトンネル形成方法において、通信網上のデータベースに、前記移動通信端末機が前記ＶＰＮトンネルを介して通信を行う通信相手を把握するためのＶＰＮ接続情報を登録する第１のステップと、前記移動通信端末機と通信を行う通信網上のモバイルファイアウォール装置が、前記移動通信端末機が通信網に接続した際のパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得する第２のステップと、当該モバイルファイアウォール装置が、通信先端末機へのパケットの受信時に、この受信パケットのヘッダに含まれる情報と前記第２のステップにおいて取得した通信相手を把握するためのＶＰＮ接続情報との宛先が一致した際に、ゲートウェイ装置との間にＶＰＮトンネルを形成する第３のステップとを含むことを特徴としている。
【００１９】
この方法によれば、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
また、本発明の請求項６によるＶＰＮトンネル形成方法は、請求項５において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置が、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得する第４のステップと、当該ハンドオーバ先のモバイルファイアウォール装置が、通信先端末機へのパケットの受信時に、この受信パケットのヘッダ情報と取得された前記ＶＰＮ接続情報との宛先が一致した場合、前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第５のステップとを更に含むことを特徴としている。
【００２０】
この方法によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ゲートウェイ装置との間にＶＰＮトンネルを形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００２１】
また、本発明の請求項７によるＶＰＮトンネル形成方法は、請求項５において、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を備えた場合、前記モバイルファイアウォール装置は、前記第５のステップにおいて、受信パケットのヘッダ情報と取得された前記ＶＰＮ接続情報との宛先が一致した場合、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡する第６のステップと、前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第７のステップと、を更に含むことを特徴としている。
【００２２】
この方法によれば、プロキシ装置がＶＰＮトンネルの終端装置として動作し、また、プロキシ装置とモバイルファイアウォール装置との間に暗号化トンネルを形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
【００２３】
また、本発明の請求項８によるＶＰＮトンネル形成方法は、請求項７において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得する第８のステップと、当該ハンドオーバ先のモバイルファイアウォール装置は、前記第８のステップで取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成する第９のステップとを更に含むことを特徴としている。
【００２４】
この方法によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてプロキシ装置との間に暗号化トンネルを形成する。この暗号化トンネルは、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００２５】
【発明の実施の形態】
以下、本発明の実施の形態を、図面を参照して説明する。
（第１の実施の形態）
図１は、本発明の第１の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
図１に示すＶＰＮ通信システム１０は、パーソナルコンピュータ等のＣＮ(Correspondent Node)１２を有するリモートネットワーク１４と、ＶＰＮゲートウェイ装置１６及び複数（ここでは第１及び第２）のモバイルファイアウォール装置１８−１，１８−２を有する移動通信ネットワーク２０と、各モバイルファイアウォール装置１８−１，１８−２と無線回線にて通信を行う移動通信端末機であるＭＮ(Mobile Node)２２とを備えて構成されている。
【００２６】
但し、ここでは説明のためにＭｏｂｉｌｅ ＩＰｖ６を前提としたシステムを用いるが、他のトランスポート技術及びプロトコルを用いて実現することも可能である。なお、以下の（ａ）及び（ｂ）の条件を満たす場合は、ここでの説明の方式とほぼ同様の手法で実現可能である。
（ａ）モバイルファイアウォール装置が移動通信端末機の移動を検知できること。
【００２７】
（ｂ）通過するパケットの実質的な宛先・発信元アドレスをアクセスルータが認知することができ、これをモバイルファイアウォール装置へ通知できること。次に、ＶＰＮ通信システム１０の特徴は、リモートネットワーク１４と移動通信ネットワーク２０との接続境界にＶＰＮゲートウェイ装置１６を配置し、このＶＰＮゲートウェイ装置１６と各モバイルファイアウォール装置１８−１，１８−２との間にＶＰＮトンネル２４−１，２４−２を張り、各モバイルファイアウォール装置１８−１，１８−２を、そのＶＰＮトンネル２４−１，２４−２の終端装置として動作させるようにした点にある。つまり、各モバイルファイアウォール装置１８−１，１８−２をＶＰＮプロキシ装置として利用するようにした。
【００２８】
ＭＮ２２とＣＮ１２とは、ＶＰＮトンネル２４−１又は２４−２を介して通信を行うようになっている。例えば、第１のモバイルファイアウォール装置１８−１とＶＰＮゲートウェイ装置１６との間のＶＰＮトンネル２４−１を介してＣＮ１２と通信を行っているＭＮ２２が、矢印Ｙ１で示すようにハンドオーバを行った場合、モバイルファイアウォール装置も、第２のモバイルファイアウォール装置１８−２へ移動することになる。
【００２９】
この場合、ＶＰＮゲートウェイ装置１６と第２のモバイルファイアウォール装置１８−２との間にＶＰＮトンネル２４−２が張り替えられ、このＶＰＮトンネル２４−２を介してＭＮ２２とＣＮ１２とが通信を行うようになっている。
また、ＶＰＮトンネル２４−１，２４−２は、固定網で一般に用いられている既存の方式であるＩＰｓｅｃ、Ｌ２ＴＰ、Ｌ２Ｅ、ＰＰＰＴＰ等を利用して張られるため、ＶＰＮゲートウェイ装置１６に特殊な機能を搭載する必要はない。なお、ＶＰＮゲートウェイ装置１６は、ＣＮ１２に搭載される場合もある。
【００３０】
また、各モバイルファイアウォール装置１８−１，１８−２は、アクセスルータに配置されるものである。更に、各モバイルファイアウォール装置１８−１，１８−２とＭＮ２２との間の無線回線は、ＶＰＮトンネルに係るレイヤよりも下レイヤのセキュリティに依存するものであって、かつ同一無線インターフェースに接続する他の端末機とは物理的にリンクは共有するがデータは供給しない、いわゆる共有型リンクではない。従って、移動通信端末機とモバイルファイアウォール装置間の通信を他の端末機やノードから盗聴することは不可能である。
【００３１】
ところで、モバイルファイアウォールサービスの想定環境として、ＭＮ２２には特別なセキュリティ機能は搭載されていないものとされている。このため、ＭＮ２２のユーザがリモートネットワーク１４に接続しようとしても、ユーザ自らがコマンドやクライアント等を用いてＶＰＮ接続することはできない。
従って、ユーザがＶＰＮ接続を希望するリモートネットワーク１４又はＣＮ１２宛のパケットを送信すると、移動通信ネットワーク２０側で自動的にＶＰＮ接続を確立する必要がある。つまり、予めネットワーク２０側でＶＰＮ接続を行う通信相手（ＣＮ１２）を把握しておく必要がある。
【００３２】
そこで、ＭＮ２２のユーザは、予めモバイルファイアウォールのセキュリティポリシー情報として、ＶＰＮゲートウェイ装置１６のアドレス、ＶＰＮアカウント、ＶＰＮパスワード等のＶＰＮ接続相手情報を、セキュリティポリシーデータベース（以下、ＳＰ・ＤＢと称す）に登録しておく。但し、ＳＰ・ＤＢは、通常、移動通信ネットワーク２０上に設けられている。
【００３３】
このような、モバイルファイアウォール想定環境におけるセキュリティポリシー登録方法には、例えば、次の（１）〜（３）のようなものがある。
（１）電話連絡によりオペレータに説明してセキュリティポリシー情報を登録してもらう（低レベルユーザ向け）。
（２）セキュリティポリシー設定Ｗｅｂページを用いてセキュリティポリシー情報を設定する（中レベルユーザ向け）。
（３）ＳＰ・ＤＢを操作して直接編集する（高レベルユーザ向け）。
なお、モバイルファイアウォール装置では、所有移動通信端末機（ＭＮ）の一括設定機能や、他人の所有する移動通信端末機の設定代行機能の提供を想定しているため、ＶＰＮ接続相手先登録のために、必ずしもＶＰＮ接続を行う移動通信端末機自体を用いる必要はない。
【００３４】
次に、ＶＰＮ通信システム１０において、ＶＰＮトンネルを形成してＭＮ２２とＣＮ１２間で通信を行う場合の処理を、図２に示すシーケンス図を参照して説明する。
まず、ステップＳ１において、ＭＮ２２が移動通信ネットワーク２０に新規接続して最初のパケット及びこれに続くパケットを送信すると、その新規接続された第１のモバイルファイアウォール装置１８−１が、それらのパケットをホールドする。このパケットをホールドしておく理由は、第１のモバイルファイアウォール装置１８−１に、そのＭＮ２２のユーザセキュリティポリシー情報がないためである。また、ここでは説明を簡単にするため、上記のパケットが、移動通信ネットワーク２０上に存在するＨＡ(Home Agent)宛のＢＵ(Binding Up data)であるとする。
【００３５】
次に、ステップＳ２において、第１のモバイルファイアウォール装置１８−１は、当該ユーザのセキュリティポリシー情報を要求して受信するためのセキュリティポリシー要求を、ＳＰ・ＤＢへ送信する。
この応答としてＳＰ・ＤＢは、ステップＳ３において、第１のモバイルファイアウォール装置１８−１にセキュリティポリシー情報を返信する。このセキュリティポリシー情報には、ＶＰＮ接続を行う等の情報が含まれている。第１のモバイルファイアウォール装置１８−１は、そのセキュリティポリシー情報を受信すると、ステップＳ４において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、前述の想定環境により、ＨＡ宛のＢＵであるため、ステップＳ５において、ＨＡは応答としてＢＡ(Binding Acknowledgement)をＭＮ２２へ返信する。これでＭＮ２２の位置登録が完了する。
【００３６】
続いて、ステップＳ６において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第１のモバイルファイアウォール装置１８−１は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、ステップＳ７に示すようにＶＰＮ接続処理を行って、ＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−１を確立する。
【００３７】
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４−１を利用した通信を行う際に用いるアドレスを払い出すが、ＭＮ２２にはＶＰＮクライアント機能が無いので、そのアドレスを扱うことができない。このため、ステップＳ８において、第１のモバイルファイアウォール装置１８−１が、そのアドレスを用いてＣＮ１２と通信し、ＮＡＴ(Network Address Translation)によるアドレス変換を行いＭＮ２２へパケットを転送する。このように、ステップＳ９に示すように、ＶＰＮトンネル２４−１を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００３８】
次に、ＭＮ２２がハンドオーバを行う場合の処理を説明する。
まず、ステップＳ１１において、ＭＮ２２がハンドオーバしてから最初のパケットを送信すると、ハンドオーバ先の第２のモバイルファイアウォール装置１８−２が、そのパケットをホールドする。なお、ここでは説明を簡単にするため、上記のパケットが、ＨＡ宛のＢＵであるとする。
【００３９】
ステップＳ１２において、第２のモバイルファイアウォール装置１８−２は、ＳＰ・ＤＢに対して、当該ユーザのセキュリティポリシー情報を要求するためのセキュリティポリシー要求を送信する。この応答としてＳＰ・ＤＢが、ステップＳ１３において、第２のモバイルファイアウォール装置１８−２にセキュリティポリシー情報を返信する。
【００４０】
これと同時に、ステップＳ１４において、ＳＰ・ＤＢは、ＭＮ２２が以前接続していた第１のモバイルファイアウォール装置１８−１に対して、ファイアウォール内部状態の転送を要求するための内部状態フォワード要求を送信する。第１のモバイルファイアウォール装置１８−１は、その内部状態フォワード要求を受信すると、ステップＳ１５において、第２のモバイルファイアウォール装置１８−２へ内部状態情報を転送し、また、ＶＰＮトンネル２４−１を切断する。
【００４１】
その内部状態情報と先のセキュリティポリシー情報を受信した第２のモバイルファイアウォール装置１８−２は、ステップＳ１６において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、前述の想定環境によりＨＡ宛のＢＵであるため、ステップＳ１７において、ＨＡは応答としてＢＡをＭＮ２２へ送信する。これによってＭＮ２２の位置登録が完了する。
【００４２】
続いて、ステップＳ１８において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第２のモバイルファイアウォール装置１８−２は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、ステップＳ１９に示すようにＶＰＮ接続処理を行って、ＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−２を確立する。
【００４３】
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４−１を利用した通信を行う際に用いるアドレスを払い出すが、この際、ＤＨＣＰ(Dynamic Host Configuration Protocol)機能によりＩＰアドレスを払い出す場合は、ハンドオーバ前と同じアドレスを優先的に割り当てる設定又は機能が必要となる。
【００４４】
ステップＳ２０において、第２のモバイルファイアウォール装置１８−２は、その割り当てられたアドレスを用いてＣＮ１２と通信し、ＮＡＴ(Network Address Translation)によるアドレス変換を行いＭＮ２２へパケットを転送する。このように、ステップＳ２１に示すように、ＶＰＮトンネル２４−２を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００４５】
このように、第１の実施の形態のＶＰＮ通信システム１０によれば、モバイルファイアウォール装置１８−１がＶＰＮトンネル２４−１の終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置１８−１のパケットフィルタリングを利用して、ＭＮ２２とＣＮ１２とが通信を行うことができる。
【００４６】
従って、不具合要因となるパケットの排除を行いながら秘匿通信を行うことが可能となり、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができる。
また、ＭＮ２２がハンドオーバした際に、モバイルファイアウォール装置も、そのＭＮ２２に追随して移動し、この移動先のモバイルファイアウォール装置１８−２が、ハンドオーバ前のモバイルファイアウォール装置１８−１の情報を用いてＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−２を形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００４７】
（第２の実施の形態）
図３は、本発明の第２の実施の形態に係るＶＰＮ通信システムの構成を示す図である。但し、図３に示す第２の実施の形態において、図１に示した第１の実施の形態の各部に対応する部分には同一符号を付し、その説明を省略する。
図３に示すＶＰＮ通信システム３０が図１に示したＶＰＮ通信システム１０と異なる点は、移動通信ネットワーク２０に、ＶＰＮプロキシ装置３２を更に備え、このＶＰＮプロキシ装置３２とＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４を張って終端し、また、ＶＰＮプロキシ装置３２と各モバイルファイアウォール装置１８−１，１８−２との間に、移動通信に特化した方式による暗号化トンネル３４−１，３４−２を張るようにしたことにある。つまり、ＶＰＮプロキシ装置３２は、２種類のトンネルの中継を行うようになっている。
【００４８】
ＭＮ２２とＣＮ１２とは、ＶＰＮトンネル２４に加え、暗号化トンネル３４−１又は３４−２を介して通信を行うようになっている。例えば、第１のモバイルファイアウォール装置１８−１とＶＰＮゲートウェイ装置１６との間のＶＰＮトンネル２４及び暗号化トンネル３４−１を介してＣＮ１２と通信を行っているＭＮ２２が、矢印Ｙ３で示すようにハンドオーバを行った場合、モバイルファイアウォール装置も、第２のモバイルファイアウォール装置１８−２へ移動することになる。
【００４９】
この場合、ＶＰＮプロキシ装置３２と第２のモバイルファイアウォール装置１８−２との間に暗号化トンネル３４−２が張り替えられ、この暗号化トンネル３４−２を介してＭＮ２２とＣＮ１２とが通信を行うようになっている。
次に、ＶＰＮ通信システム３０において、ＶＰＮトンネル及び暗号化トンネルを形成してＭＮ２２とＣＮ１２間で通信を行う場合の処理を、図４に示すシーケンス図を参照して説明する。
【００５０】
まず、ステップＳ３１において、ＭＮ２２が移動通信ネットワーク２０に新規接続して最初のパケットを送信すると、その新規接続された第１のモバイルファイアウォール装置１８−１が、そのパケットをホールドする。このパケットをホールドしておく理由は、第１のモバイルファイアウォール装置１８−１に、そのＭＮ２２のユーザセキュリティポリシー情報がないためである。また、ここでは説明を簡単にするため、上記のパケットが、移動通信ネットワーク２０上に存在するＨＡ(Home Agent)宛のＢＵ(Binding Up data)であるとする。
【００５１】
次に、ステップＳ３２において、第１のモバイルファイアウォール装置１８−１は、当該ユーザのセキュリティポリシー情報を要求して受信するためのセキュリティポリシー要求を、ＳＰ・ＤＢへ送信する。
この応答としてＳＰ・ＤＢは、ステップＳ３３において、第１のモバイルファイアウォール装置１８−１にセキュリティポリシー情報を返信する。このセキュリティポリシー情報には、ＶＰＮ接続を行う等の情報が含まれている。第１のモバイルファイアウォール装置１８−１は、そのセキュリティポリシー情報を受信すると、ステップＳ３４において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、第１の実施の形態に記載した想定環境により、ＨＡ宛のＢＵであるため、ステップＳ３５において、ＨＡは応答としてＢＡ(Binding Acknowledgement)をＭＮ２２へ返信する。これでＭＮ２２の位置登録が完了する。
【００５２】
続いて、ステップＳ３６において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第１のモバイルファイアウォール装置１８−１は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、第１のモバイルファイアウォール装置１８−１は、ステップＳ３７に示すように、第１のモバイルファイアウォール装置１８−１とＶＰＮプロキシ装置３２との間の接続処理を行って、ＶＰＮプロキシ装置３２との間に暗号化トンネル３４−１を確立し、ＶＰＮプロキシ装置３２にＶＰＮ接続情報を渡す。
【００５３】
このＶＰＮ接続情報を受けたＶＰＮプロキシ装置３２は、ステップＳ３８において、ＶＰＮ接続処理を行ってＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４を確立する。
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４を利用した通信を行う際に用いるアドレスを払い出すが、ＭＮ２２にはＶＰＮクライアント機能が無いので、そのアドレスを扱うことができない。このため、ステップＳ３９及びＳ４０において、ＶＰＮトンネル２４の終端を担うＶＰＮプロキシ装置３２がＭＮ２２に成りすまして、そのアドレスを用いてＣＮ１２と通信を行う。ＶＰＮゲートウェイ装置１６は、ＶＰＮプロキシ装置３２から受信したパケットを一度復号化してパケットのデータ部分（ペイロード）を取り出し、再び暗号化トンネル３４−１を通して第１のモバイルファイアウォール装置１８−１へ転送する。第１のモバイルファイアウォール装置１８−１は、そのパケットを復号化してデータ部分を取り出し、ＮＡＴ(Network Address Translation)により、アドレス変換した上でＭＮ２２へパケットを転送する。
【００５４】
この際、ＶＰＮプロキシ装置３２で行っているパケットの暗号化・復号化を第１のモバイルファイアウォール装置１８−１が代行して行う。ＶＰＮプロキシ装置３２は、既に第１のモバイルファイアウォール装置１８−１及びＶＰＮゲートウェイ装置１６によって暗号化されているパケットを、それぞれ暗号化トンネル３４−１及びＶＰＮトンネル２４を通して、そのまま転送するという方式を用いる。これによって、暗号化・復号化の回数を削減することも可能である。但し、この場合は、ＶＰＮプロキシ装置３２がＶＰＮトンネル２４を構築するために用いた情報を、予め第１のモバイルファイアウォール装置１８−１へ通知しておく必要がある。第１のモバイルファイアウォール装置１８−１は、その情報を用いて暗号化・復号化を行う。
【００５５】
次に、ＭＮ２２がハンドオーバを行う場合の処理を説明する。
まず、ステップＳ４１において、ＭＮ２２がハンドオーバしてから最初のパケットを送信すると、ハンドオーバ先の第２のモバイルファイアウォール装置１８−２が、そのパケットをホールドする。なお、ここでは説明を簡単にするため、上記のパケットが、ＨＡ宛のＢＵであるとする。
【００５６】
ステップＳ４２において、第２のモバイルファイアウォール装置１８−２は、ＳＰ・ＤＢに対して、当該ユーザのセキュリティポリシー情報を要求するためのセキュリティポリシー要求を送信する。この応答としてＳＰ・ＤＢが、ステップＳ４３において、第２のモバイルファイアウォール装置１８−２にセキュリティポリシー情報を返信する。
【００５７】
これと同時に、ステップＳ４４において、ＳＰ・ＤＢは、ＭＮ２２が以前接続していた第１のモバイルファイアウォール装置１８−１に対して、ファイアウォール内部状態の転送を要求するための内部状態フォワード要求を送信する。
第１のモバイルファイアウォール装置１８−１は、その内部状態フォワード要求を受信すると、ステップＳ４５において、第２のモバイルファイアウォール装置１８−２へ内部状態情報を転送し、ステップＳ４６において、ＶＰＮトンネル２４−１を切断する。
【００５８】
内部状態情報を受信した第２のモバイルファイアウォール装置１８−２は、ステップＳ４７において、第２のモバイルファイアウォール装置１８−２とＶＰＮプロキシ装置３２との間の接続処理を行って、ＶＰＮプロキシ装置３２との間に暗号化トンネル３４−２を確立し、ＶＰＮプロキシ装置３２にＶＰＮ接続情報を渡す。
【００５９】
この後、第２のモバイルファイアウォール装置１８−２は、ステップＳ４８において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、第１の実施の形態で記載した想定環境によりＨＡ宛のＢＵであるため、ステップＳ４９において、ＨＡは応答としてＢＡをＭＮ２２へ送信する。これによってＭＮ２２の位置登録が完了する。
【００６０】
なお、ＶＰＮプロキシ装置３２は、ＮＡＴ機能によりＭＮ２２のハンドオーバ後のアドレスヘアドレス変換を行う必要がある。ＶＰＮプロキシ装置３２はアドレス変換を行うだけであり、パケットの暗号化及び復号化は、第２のモバイルファイアウォール装置１８−２とＶＰＮゲートウェイ装置１６の間で行う。このようにしてステップＳ５０に示すように、ＶＰＮトンネル２４及び暗号化トンネル３４−２を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００６１】
このように、第２の実施の形態のＶＰＮ通信システム３０によれば、ＶＰＮプロキシ装置３２がＶＰＮトンネル２４の終端装置として動作し、また、ＶＰＮプロキシ装置３２とモバイルファイアウォール装置１８−１との間に暗号化トンネル３４−１を形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置１８−１のパケットフィルタリングを利用して、ＭＮ２２とＣＮ１２とが通信を行うことができる。
【００６２】
従って、不具合要因となるパケットの排除を行いながら秘匿通信を行うことが可能となり、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができる。
また、ＭＮ２２がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置１８−２が、ハンドオーバ前のモバイルファイアウォール装置１８−１の情報を用いてＶＰＮプロキシ装置３２との間に暗号化トンネル３４−２を形成する。この暗号化トンネル３４−２は、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００６３】
なお、上記第１の実施の形態では、モバイルファイアウォール装置１８−１又は１８−２とＶＰＮゲートウェイ装置１６との間に、上記第２の実施の形態では、モバイルファイアウォール装置１８−１又は１８−２とＶＰＮプロキシ装置３２との間、並びにＶＰＮプロキシ装置３２とＶＰＮゲートウェイ装置１６との間に、暗号化したトンネルを張るようにしたが、他の方法で盗聴や改竄からの安全を確保できるのであれば暗号化しないトンネルを張るようにしてもよい。
【００６４】
【発明の効果】
以上説明したように本発明は、通信網上のデータベースに、通信先端末機がＶＰＮトンネルを介して通信を行うために必要な通信先端末機情報を登録しておき、移動通信端末機が通信を行う通信網上のモバイルファイアウォール装置が、移動通信端末機が通信網に接続した際のパケットの受信時に、データベースから通信先端末機情報を取得し、更に、通信先端末機へのパケットの受信時に、この受信パケットの情報と先に取得した通信先端末機情報との宛先が一致した際に、ゲートウェイ装置との間にＶＰＮトンネルを形成するようにした。
【００６５】
これによって、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
従って、ＶＰＮによる暗号化通信とモバイルファイアウォールによるパケットフィルタリングとを同時に利用可能とすることができるので、不具合要因となるパケットの排除を行いながら秘匿通信を行うことを可能とし、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができるという効果がある。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
【図２】第１の実施の形態に係るＶＰＮ通信システムにおいてＶＰＮトンネルを形成してＭＮとＣＮ間で通信を行う場合の処理を説明するためのシーケンス図である。
【図３】本発明の第２の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
【図４】第２の実施の形態に係るＶＰＮ通信システムにおいてＶＰＮトンネル及び暗号化トンネルを形成してＭＮとＣＮ間で通信を行う場合の処理を説明するためのシーケンス図である。
【符号の説明】
１０，３０ ＶＰＮ通信システム
１２ ＣＮ(Correspondent Node)
１４ リモートネットワーク
１６ ＶＰＮゲートウェイ装置
１８−１ 第１のモバイルファイアウォール装置
１８−２ 第２のモバイルファイアウォール装置
２０ 移動通信ネットワーク
２２ 移動通信端末機であるＭＮ(Mobile Node)
２４，２４−１，２４−２ ＶＰＮトンネル
３２ ＶＰＮプロキシ装置
３４−１，３４−２ 暗号化トンネル
Claims (8)
- 通信網に、暗号化処理を用いてパケットを伝送するためのＶＰＮトンネルを形成し、このＶＰＮトンネルを介して移動通信端末機と通信先端末機とが通信を行うＶＰＮ通信システムにおいて、
前記移動通信端末機が前記ＶＰＮトンネルを介して通信を行う通信相手を把握するためのＶＰＮ接続情報を登録したデータベースと、
前記通信先端末機が前記ＶＰＮトンネルを介して通信を行う際に通信形式の整合をとって通信可能とするゲートウェイ装置と、
前記移動通信端末機が通信網に接続した際のパケットの受信時に前記ＶＰＮ接続情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットのヘッダに含まれる情報と取得したＶＰＮ接続情報との宛先が一致した場合、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するモバイルファイアウォール装置と、
を備えたことを特徴とするＶＰＮ通信システム。 - 前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットのヘッダに含まれる情報と取得した前記ＶＰＮ接続情報との宛先が一致した場合、前記ゲートウェイ装置との間にＶＰＮトンネルを形成することを特徴とする請求項１に記載のＶＰＮ通信システム。
- 前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を更に備え、前記モバイルファイアウォール装置は、前記受信パケットのヘッダに含まれる情報と取得した前記ＶＰＮ接続情報との宛先が一致した場合、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡し、前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成することを特徴とする請求項１に記載のＶＰＮ通信システム。
- 前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得し、この取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成することを特徴とする請求項３に記載のＶＰＮ通信システム。
- 通信網に、暗号化を用いて移動通信端末機と通信先端末機間の通信パケットを伝送するためのＶＰＮトンネルを形成するＶＰＮトンネル形成方法において、通信網上のデータベースに、前記移動通信端末機が前記ＶＰＮトンネルを介して通信を行う通信相手を把握するためのＶＰＮ接続情報を登録する第１のステップと、前記移動通信端末機と通信を行う通信網上のモバイルファイアウォール装置が、前記移動通信端末機が通信網に接続した際のパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得する第２のステップと、当該モバイルファイアウォール装置が、通信先端末機へのパケットの受信時に、この受信パケットのヘッダに含まれる情報と前記第２のステップにおいて取得した通信相手を把握するためのＶＰＮ接続情報との宛先が一致した際に、ゲートウェイ装置との間にＶＰＮトンネルを形成する第３のステップとを含むことを特徴とするＶＰＮトンネル形成方法。
- 前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置が、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得する第４のステップと、当該ハンドオーバ先のモバイルファイアウォール装置が、通信先端末機へのパケットの受信時に、この受信パケットのヘッダ情報と取得された前記ＶＰＮ接続情報との宛先が一致した場合、前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第５のステップとを更に含むことを特徴とする請求項５に記載のＶＰＮトンネル形成方法。
- 前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を備えた場合、前記モバイルファイアウォール装置は、前記第５のステップにおいて、受信パケットのヘッダ情報と取得された前記ＶＰＮ接続情報との宛先が一致した場合、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡する第６のステップと、前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第７のステップと、を更に含むことを特徴とする請求項５に記載のＶＰＮトンネル形成方法。
- 前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから前記ＶＰＮ接続情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得する第８のステップと、当該ハンドオーバ先のモバイルファイアウォール装置は、前記第８のステップで取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成する第９のステップとを更に含むことを特徴とする請求項７に記載のＶＰＮトンネル形成方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003208890A JP4180458B2 (ja) | 2003-08-26 | 2003-08-26 | Ｖｐｎ通信システム及びｖｐｎトンネル形成方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003208890A JP4180458B2 (ja) | 2003-08-26 | 2003-08-26 | Ｖｐｎ通信システム及びｖｐｎトンネル形成方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2005072668A JP2005072668A (ja) | 2005-03-17 |
| JP4180458B2 true JP4180458B2 (ja) | 2008-11-12 |
Family
ID=34402002
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003208890A Expired - Fee Related JP4180458B2 (ja) | 2003-08-26 | 2003-08-26 | Ｖｐｎ通信システム及びｖｐｎトンネル形成方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4180458B2 (ja) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| ATE483317T1 (de) * | 2007-04-04 | 2010-10-15 | Ericsson Telefon Ab L M | Mobilnetz-adressenübersetzung auf grossem massstab |
| US8375436B2 (en) * | 2010-04-22 | 2013-02-12 | Palo Alto Research Center Incorporated | Session migration over content-centric networks |
-
2003
- 2003-08-26 JP JP2003208890A patent/JP4180458B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2005072668A (ja) | 2005-03-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7213263B2 (en) | System and method for secure network mobility | |
| US6970459B1 (en) | Mobile virtual network system and method | |
| JP4675909B2 (ja) | Ｉｐアクセスネットワークを用いたマルチホーミング及びサービスネットワーク選択 | |
| EP1784942B1 (en) | A method for dynamically and securely establishing a tunnel | |
| US8886923B1 (en) | Methods and systems for secure mobile-IP traffic traversing network address translation | |
| US7616615B2 (en) | Packet forwarding apparatus for connecting mobile terminal to ISP network | |
| JP4527721B2 (ja) | トンネリングを用いたリモートｌａｎのコネクティビティを改善するための装置及び方法 | |
| JP4727126B2 (ja) | 近距離無線コンピューティング装置用のセキュア・ネットワーク・アクセスの提供 | |
| US7428226B2 (en) | Method, apparatus and system for a secure mobile IP-based roaming solution | |
| US7861080B2 (en) | Packet communication system | |
| EP1461925B1 (en) | Method and network for ensuring secure forwarding of messages | |
| US20020161905A1 (en) | IP security and mobile networking | |
| EP1575238A1 (en) | IP mobility in mobile telecommunications system | |
| EP2398263A2 (en) | Secure and seamless WAN-LAN roaming | |
| JP2003526270A (ja) | ローカルｉｐアドレスと変換不可能なポートアドレスとを用いたローカルエリアネットワークのためのネットワークアドレス変換ゲートウェイ | |
| WO2005006674A1 (ja) | 端末及び通信システム | |
| JP2004180155A (ja) | 通信制御装置、ファイアウォール装置、通信制御システム、及び、データ通信方法 | |
| EP1328105B1 (en) | Method for sending a packet from a first IPsec client to a second IPsec client through a L2TP tunnel | |
| JP2004153392A (ja) | 通信システム | |
| EP1700430B1 (en) | Method and system for maintaining a secure tunnel in a packet-based communication system | |
| JP4180458B2 (ja) | Ｖｐｎ通信システム及びｖｐｎトンネル形成方法 | |
| KR100737140B1 (ko) | 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스처리장치 및 방법 | |
| KR20030050550A (ko) | 패킷데이터서비스 네트워크의 심플 아이피 가상 사설망서비스 방법 | |
| TW512263B (en) | On-demand system and method for access repeater used in Virtual Private Network | |
| Mun et al. | Security in Mobile IP |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060412 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20071203 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20071218 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080218 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080812 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080827 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110905 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120905 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130905 Year of fee payment: 5 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |