JP4322201B2 - 通信装置及びゲートウェイ装置 - Google Patents

Description

本発明は、ネットワーク間を移動可能な移動通信装置を位置管理する位置管理装置が接続されるネットワークを含む複数のネットワークが相互接続された通信環境（例えば、インターネット）で、移動通信装置とこの移動通信装置の位置管理装置が接続されるネットワークとは別のネットワークに接続される相手先通信装置との間の通信が、位置管理装置を経由する経路と位置管理装置を経由しない最適経路との複数の通信経路を介して行われる通信システムに係り、ネットワーク間を移動しながら位置管理装置によって位置管理されて通信を継続する移動通信装置並びにその通信相手方の通信装置、及びこの通信相手方の通信装置が接続されるネットワークの入り口に設置され、ネットワーク内外にＩＰパケットを転送するゲートウェイ装置に関する。

計算機装置の小型化や価格の低下に伴い、インターネットに接続する端末は、従来のデスクトップ型のパーソナルコンピュータに加え、ＰＤＡ（Personal Digital Assistant）や携帯電話端末等といった小型で移動性を備えたものが現れるようになった。それに伴い、インターネットにおける移動通信技術の研究が盛んに行われている。インターネット技術を標準化しているＩＥＴＦ（Internet Engeneering Task Fource）においても、Mobile ＩＰｖ６（Internet Protocol version 6）と呼ばれるインターネット接続の標準化方式の取り纏めが、そのｍｉｐ６（Mobility for IPｖ6）ワーキンググループで進められている。

Mobile ＩＰｖ６は、ＩＥＴＦによって発行されている “Mobility Support in IPv６”（RFC3775.txt）及び“Using IPsec to Protect Mobile IPv6 Signaling between Moblie Nodes and Home Agents”（RFC3776.txt）に規程されている。

そこで、このMobile ＩＰｖ６の基本動作についてまず説明する。

Mobile ＩＰｖ６では、移動する端末、すなわち移動通信装置は一意なＩＰアドレスを有し、物理的に接続するネットワークが変化しても一意なＩＰアドレスで通信を継続可能な移動透過性が提供されている。

図２は、Mobile ＩＰｖ６方式を構築する最もシンプルなネットワーク構成の一例を示した図である。

図３〜図５は、Mobile ＩＰｖ６のパケットフォーマットを示した図である。

移動ノード（Mobile Node：ＭＮ）２-１は、移動ノード（ＭＮ）２-１の移動管理を行う位置管理装置としてのホームエージェント（Home Agent：ＨＡ）２-２が接続するネットワーク２-ａをホームネットワークとし、ホームネットワーク２-ａ上にルーティングされるＩＰアドレスをホームアドレス（Home Address：ＨｏＡ）として一意に有する。

移動ノード（ＭＮ）２-１がホームネットワーク２-ａからルータ（Router：Ｒ）が接続する別のネットワークである他の外部リンク２-ｂへ移動する場合、移動ノード（ＭＮ）２-１は、外部リンク２-ｂ上で当該リンク２-ｂにおけるＩＰアドレスを立ち寄り先アドレス（Care of Address：ＣｏＡ）として取得する。そして、移動ノード（ＭＮ）２-１は、自身の位置情報として、自身のホームアドレス（ＨｏＡ）と現在の立ち寄り先アドレス（ＣｏＡ）との対応付け情報を位置管理装置としてのホームエージェント（ＨＡ）２-２へ通知するために、図３に示した位置登録メッセージ（Binding Update：ＢＵ）３-１を送信する。

この位置登録メッセージ（ＢＵ）３-１は、ＩＰヘッダ（Internet Protocol Header：IP Header）と、宛先オプションヘッダ（Destination Option Header：Dest Opt Header）と、ＥＳＰヘッダ（Encapsulating Security Payload Header：Esp Header）と、モビリティヘッダ（Mobility Header：ＭＨ）とを有して構成され、ＥＳＰヘッダにつづくモビリティヘッダ部分は暗号化されて送信される。

この場合、ＩＰヘッダは、送信元アドレス（ＳＲＣ）が立ち寄り先アドレス（ＣｏＡ）に、宛先アドレス（ＤＳＴ）がホームエージェント（ＨＡ）２-２のアドレスに設定されている。また、宛先オプションヘッダは、ホームアドレス（ＨｏＡ）に、ＥＳＰヘッダは、セキュリティパラメータインデックス（Security Parameters Index：ＳＰＩ）が後述するＳＰＩ＝ａに設定されている。また、モビリティヘッダは、位置登録メッセージであることを表わすＢＵ（Binding Update）に設定されている。

位置管理装置としてのホームエージェント（ＨＡ）２-２は、移動ノード（ＭＮ）２-１からの上述した位置登録メッセージ（ＢＵ）３-１の受信に対して、図３に示した位置登録確認メッセージ（Binding Acknowledgement：ＢＡ）３-２をこの移動ノード（ＭＮ）２-１に送信することによって、移動ノード（ＭＮ）２-１の位置登録完了を通知する。

この位置登録確認メッセージ（ＢＡ）３-２は、ＩＰヘッダと、ＲＴ２ヘッダ（Routing Header Type2：RT2 Header）と、ＥＳＰヘッダと、モビリティヘッダとを有して構成され、ＥＳＰヘッダにつづくモビリティヘッダ部分は暗号化されて送信される。

この場合、ＩＰヘッダは、送信元アドレス（ＳＲＣ）がホームエージェント（ＨＡ）２-２のアドレスに、宛先アドレス（ＤＳＴ）が立ち寄り先アドレス（ＣｏＡ）に設定されている。また、ＲＴ２ヘッダは、ホームアドレス（ＨｏＡ）に、ＥＳＰヘッダは、セキュリティパラメータインデックス（ＳＰＩ）が後述するＳＰＩ＝ｂに設定されている。また、モビリティヘッダは、位置登録確認メッセージであることを表わすＢＡ（Binding Acknowledgement）に設定されている。

このようにして、ホームネットワーク２-ａから他の外部リンク２-ｂへ移動した移動ノード（ＭＮ）２-１がホームエージェント（ＨＡ）２-２によって位置管理されている状態で、このホーム移動ノード（ＭＮ）２-１と他の外部リンク２-ｃに接続されている通信相手ノード（Correspondent Node：ＣＮ）２-３との間で通信を当初行う場合について、次に説明する。

当初、ホーム移動ノード（ＭＮ）２-１と通信相手方の通信装置となるネットワーク２-ｃに接続されている通信相手ノード（ＣＮ）２-３との間の通信は、ホームエージェント（ＨＡ）２-２を介した図２に示したような“く”の字型の経路で送受信が行われる。

すなわち、移動ノード（ＭＮ）２-１から通信相手ノード（ＣＮ）２-３へ情報を送信する場合は、移動ノード（ＭＮ）２-１から図５に示したＭＮ送信パケット３-１１をホームエージェント（ＨＡ）２-２に送信する。

このＭＮ送信パケット３-１１は、ホームエージェント（ＨＡ）２-２宛に伝送路１を介して送信される、移動ノード（ＭＮ）２-１から通信相手ノード（ＣＮ）２-３へのホームエージェント（ＨＡ）２-２経由の送信パケットである。

ＭＮ送信パケット３-１１は、送信元アドレス（ＳＲＣ）がホームアドレス（ＨｏＡ）に、宛先アドレス（ＤＳＴ）が通信相手ノード（ＣＮ）２-３のアドレスに設定されたＩＰヘッダと、ペイロード（Payload）とを有した構成のパケット本体に、送信元アドレス（ＳＲＣ）が立ち寄り先アドレス（ＣｏＡ）に、宛先アドレス（ＤＳＴ）がホームエージェント（ＨＡ）２-２のアドレスに設定されているＩＰヘッダ、及びセキュリティパラメータインデックス（ＳＰＩ）が後述するＳＰＩ＝ｅに設定されているＥＳＰヘッダを付加して、前述のパケット本体をカプセル化した構成になっている。ＥＳＰヘッダにつづくカプセル化された前述のパケット本体は暗号化されて送信される。

そして、移動ノード（ＭＮ）２-１から上述したＭＮ送信パケット３-１１を受信したホームエージェント（ＨＡ）２-２は、図５に示したＭＮ送信パケット３-１２を、伝送路２を介して通信相手ノード（ＣＮ）２-３に送信する。

このＭＮ送信パケット３-１２は、上述したＭＮ送信パケット３-１１に対して、そのカプセル化のために付加されたＩＰヘッダ及びＥＳＰヘッダが削除された前述のパケット本体である。

このように、ホームネットワーク２-ａから他の外部リンク２-ｂへ移動した移動ノード（ＭＮ）２-１がホームエージェント（ＨＡ）２-２によって位置管理されている状態で、移動ノード（ＭＮ）２-１から通信相手ノード（ＣＮ）２-３へ情報を送信する場合は、移動ノード（ＭＮ）２-１は、当初、送信元を自分のホームアドレス（ＨｏＡ）、宛先を通信相手ノード（ＣＮ）２-３のアドレスとしたＭＮ送信パケット３-１２を、ホームエージェント（ＨＡ）２-２宛のＭＮ送信パケット３-１１の中に含めてホームエージェント（ＨＡ）２-２経由で送信する構成になっている。

これに対して、同じ状態で、通信相手ノード（ＣＮ）２-３から移動ノード（ＭＮ）２-１へ情報を送信する場合は、通信相手ノード（ＣＮ）２-３から図５に示したＣＮ送信パケット３-１３を移動ノード（ＭＮ）２-１のホームアドレス（ＨｏＡ）に宛てて送信する。送信されたパケットはホームネットワークへルーティングされ、移動ノード(ＭＮ)が外部へ移動している状態においては、ホームエージェント(ＨＡ)が代わりにパケットを受信する。

このＣＮ送信パケット３-１３は、ホームエージェント（ＨＡ）２-２に伝送路２を介して送信される、通信相手ノード（ＣＮ）２-３から移動ノード（ＭＮ）２-１宛のホームエージェント（ＨＡ）２-２経由の送信パケットである。

ＣＮ送信パケット３-１３は、送信元アドレス（ＳＲＣ）が通信相手ノード（ＣＮ）２-３のアドレスに、宛先アドレス（ＤＳＴ）が移動ノード（ＭＮ）２-１のホームアドレス（ＨｏＡ）に設定されたＩＰヘッダと、ペイロード（Payload）とを有した構成になっている。

そして、通信相手ノード（ＣＮ）２-３から上述したＣＮ送信パケット３-１３を受信したホームエージェント（ＨＡ）２-２は、図５に示したＣＮ送信パケット３-１４を、伝送路１を介して移動ノード（ＭＮ）２-１に送信する。

このＣＮ送信パケット３-１４は、上述したＣＮ送信パケット３-１３に、送信元アドレス（ＳＲＣ）がホームエージェント（ＨＡ）２-２のアドレスに、宛先アドレス（ＤＳＴ）が移動ノード（ＭＮ）２-１の立ち寄り先アドレス（ＣｏＡ）に設定されているＩＰヘッダ、及びセキュリティパラメータインデックス（ＳＰＩ）が後述するＳＰＩ=ｆに設定されているＥＳＰヘッダを付加して、上述したＣＮ送信パケット３-１３をカプセル化した構成となり、ＥＳＰヘッダにつづくカプセル化されたＣＮへの通信パケット３−１３は暗号化されて送信される。

このように、ホームネットワーク２-ａから他の外部リンク２-ｂへ移動した移動ノード（ＭＮ）２-１がホームエージェント（ＨＡ）２-２によって位置管理されている状態で、通信相手ノード（ＣＮ）２-３から移動ノード（ＭＮ）２-１へ情報を送信する場合は、移動ノード（ＭＮ）２-１宛のＣＮ送信パケット３-１３を受信したホームエージェント（ＨＡ）２-２は、当初、このＣＮ送信パケット３-１３を、送信元をホームエージェント（ＨＡ）２-２のアドレス、宛先を立ち寄り先アドレス（ＣｏＡ）としたＣＮ送信パケット３-１４の中に含めて送信する構成になっている。

その上で、ホーム移動ノード（ＭＮ）２-１と通信相手ノード（ＣＮ）２-３とは、上記説明したホームエージェント（ＨＡ）２-２を経由した当初の“く”の字型の経路を用いて、この“く”の字型の経路を解消し経路を最適化するために、経路最適化処理すなわちＲＲ処理（Return Routability）と呼ばれる手続きを行う。

このＲＲ処理は、ホーム移動ノード（ＭＮ）２-１と通信相手ノード（ＣＮ）２-３との間における、ホームエージェント（ＨＡ）２-２を経由したホーム試験開始メッセージ（Home Test Init：ＨｏＴＩ）及びホーム試験メッセージ（Home Test：ＨｏＴ）の送受信と、ホームエージェント２-２を経由しない最適な経路による立ち寄り試験開始メッセージ（Care of Test Int：ＣｏＴＩ）及び立ち寄り試験メッセージ（Care of Test：ＣｏＴ）の送受信と、これらメッセージ中に含まれる認証値に基づく認証処理とによって行われる。

図４の３-３は、このＲＲ処理で伝送路１を介してホーム移動ノード（ＭＮ）２-１からホームエージェント（ＨＡ）２-２へ送信される、ホーム試験開始メッセージ（ＨｏＴＩ）である。

ホーム試験開始メッセージ（ＨｏＴＩ）３-３は、送信元アドレス（ＳＲＣ）がホームアドレス（ＨｏＡ）に、宛先アドレス（ＤＳＴ）が通信相手ノード（ＣＮ）２-３のアドレスに設定されたＩＰヘッダと、ホーム試験開始メッセージ（ＨｏＴＩ）に設定されたモビリティヘッダ（ＭＨ）とを有した構成のパケット本体に、送信元アドレス（ＳＲＣ）が立ち寄り先アドレス（ＣｏＡ）に、宛先アドレス（ＤＳＴ）がホームエージェント（ＨＡ）２-２のアドレスに設定されているＩＰヘッダ、及びセキュリティパラメータインデックス（ＳＰＩ）が後述するＳＰＩ＝ｃに設定されているＥＳＰヘッダを付加して、前述のパケット本体をカプセル化した構成になっており、ＥＳＰヘッダ以下のカプセル化されたパケット部分は暗号かされて送信される。

図４の３-４は、このＲＲ処理で伝送路２を介してホームエージェント（ＨＡ）２-２から通信相手ノード（ＣＮ）２-３へ送信される、ホーム試験開始メッセージ（ＨｏＴＩ）である。

ホーム試験開始メッセージ（ＨｏＴＩ）３-４は、上述したホーム試験開始メッセージ（ＨｏＴＩ）３-３に対して、そのカプセル化のために付加されたＩＰヘッダ及びＥＳＰヘッダが削除された前述のパケット本体である。

また、図４の３-６は、このＲＲ処理で通信相手ノード（ＣＮ）２-３からホームエージェント（ＨＡ）２-２へ伝送路２を介して送信されるホーム試験メッセージ（ＨｏＴ）である。

ホーム試験メッセージ（ＨｏＴ）３-６は、送信元アドレス（ＳＲＣ）が通信相手ノード（ＣＮ）２-３のアドレスに、宛先アドレス（ＤＳＴ）がホーム移動ノード（ＭＮ）２-１のホームアドレス（ＨｏＡ）に設定されたＩＰヘッダと、ホーム試験メッセージ（ＨｏＴ）に設定されたモビリティヘッダ（ＭＨ）とを有した構成になっている。

図４の３-７は、伝送路１を介してホームエージェント（ＨＡ）２-２から通信相手ノード（ＣＮ）２-３へ送信されるホーム試験メッセージ（ＨｏＴ）である。

このホーム試験メッセージ（ＨｏＴ）３-７は、上述したホーム試験メッセージ（ＨｏＴ）３-６に、送信元アドレス（ＳＲＣ）がホームエージェント（ＨＡ）２-２のアドレスに、宛先アドレス（ＤＳＴ）が移動ノード（ＭＮ）２-１の立ち寄り先アドレス（ＣｏＡ）に設定されているＩＰヘッダ、及びセキュリティパラメータインデックス（ＳＰＩ）が後述するＳＰＩ=ｃに設定されているＥＳＰヘッダを付加して、上述したホーム試験メッセージ（ＨｏＴ）３-６をカプセル化した構成になっており、ＥＳＰヘッダにつづくカプセル化されたパケット部分は暗号化されて送信される。

一方、図４の３-５は、このＲＲ処理でホーム移動ノード（ＭＮ）２-１から通信相手ノード（ＣＮ）２-３へホームエージェント２-２を経由しない伝送路３を介して送信される立ち寄り試験開始メッセージ（ＣｏＴＩ）である。

立ち寄り試験開始メッセージ（ＣｏＴＩ）３-５は、送信元アドレス（ＳＲＣ）が移動ノード（ＭＮ）２-１の立ち寄り先アドレス（ＣｏＡ）に、宛先アドレス（ＤＳＴ）が通信相手ノード（ＣＮ）２-３のアドレスに設定されたＩＰヘッダと、立ち寄り試験開始メッセージ（ＣｏＴＩ）に設定されたモビリティヘッダ（ＭＨ）とを有した構成になっている。

図４の３-８は、通信相手ノード（ＣＮ）２-３からホーム移動ノード（ＭＮ）２-１へホームエージェント２-２を経由しない伝送路３を介して送信される立ち寄り試験メッセージ（ＣｏＴ）である。

立ち寄り試験メッセージ（ＣｏＴ）３-８は、送信元アドレス（ＳＲＣ）が通信相手ノード（ＣＮ）２-３のアドレスに、宛先アドレス（ＤＳＴ）が移動ノード（ＭＮ）２-１の立ち寄り先アドレス（ＣｏＡ）に設定されたＩＰヘッダと、立ち寄り試験メッセージ（ＣｏＴ）に設定されたモビリティヘッダ（ＭＨ）とを有した構成になっている。

移動ノード（ＭＮ）２-１は、上述した通信相手ノード（ＣＮ）２-３との間のホーム試験開始メッセージ（ＨｏＴＩ）及びホーム試験メッセージ（ＨｏＴ）の送受信、立ち寄り試験開始メッセージ（ＣｏＴＩ）及び立ち寄り試験メッセージ（ＣｏＴ）の送受信の後、
ホームエージェント２-２を経由しない伝送路３を介して通信相手ノード（ＣＮ）２-３に図４に示した位置登録メッセージ（ＢＵ）３-９を送信し、通信相手ノード（ＣＮ）２-３からの位置登録確認メッセージ（ＢＡ）３-１０を受信することでその認証結果を確認する。

この位置登録メッセージ（ＢＵ）３-９は、送信元アドレス（ＳＲＣ）が移動ノード（ＭＮ）２-１の立ち寄り先アドレス（ＣｏＡ）に、宛先アドレス（ＤＳＴ）が通信相手ノード（ＣＮ）２-３のアドレスに設定されたＩＰヘッダと、ホームアドレス（ＨｏＡ）に設定された宛先オプションヘッダ（Dest Opt Header）と、位置登録メッセージであることを表わすＢＵ（Binding Update）とを有した構成になっている。

また、位置登録確認メッセージ（ＢＡ）３-１０は、送信元アドレス（ＳＲＣ）が通信相手ノード（ＣＮ）２-３のアドレスに、宛先アドレス（ＤＳＴ）が移動ノード（ＭＮ）２-１の立ち寄り先アドレス（ＣｏＡ）に設定されたＩＰヘッダと、ホームアドレス（ＨｏＡ）に設定されたＲＴ２ヘッダと、位置登録確認メッセージであることを表わすＢＡ（Binding Acknowledgement）とを有した構成になっている。

このようにして、移動ノード（ＭＮ）２-１とその通信相手ノード（ＣＮ）２-３との間で認証が行われ、互いの相手先の位置登録が行われてＲＲ手続きが正常終了すると、移動ノード（ＭＮ）２-１は通信相手ノード（ＣＮ）２-３に対してバインディング・アップデート・リストを保持し、通信相手ノード（ＣＮ）２-３は移動ノード（ＭＮ）２-１に対してバインディング・キャッシュ・エントリを保持することになる。

移動ノード（ＭＮ）２-１のバインディング・アップデート・リストには、位置登録メッセージ（ＢＵ）及び位置登録確認メッセージ（ＢＡ）等の情報のうち、ライフタイム（有効時間）や通信相手ノード（ＣＮ）２-３のアドレス情報が保存される。

また、通信相手ノード（ＣＮ）２-３のバインディング・キャッシュ・エントリには、位置登録（ＢＵ）及び位置登録確認メッセージ（ＢＡ）等の情報のうち、ライフタイムや移動ノード（ＭＮ）２-１のアドレス情報が保存される。

そして、このＲＲ処理後は、移動ノード（ＭＮ）２-１と通信相手ノード（ＣＮ）２-３は、おのおのバインディング・アップデート・リスト又はバインディング・キャッシュ・エントリの情報に基づき、ホームエージェント（ＨＡ）２-２を介することなく、最適な経路、例えば図２中の伝送路３を介して通信を行う。

図５の３-１５は、ホーム移動ノード（ＭＮ）２-１から通信相手ノード（ＣＮ）２-３へホームエージェント２-２を経由しない伝送路３を介して送信されるＭＮ送信パケット（経路最適化後）であり、３-１６は、通信相手ノード（ＣＮ）２-３からホーム移動ノード（ＭＮ）２-１へホームエージェント２-２を経由しない伝送路３を介して送信されるＣＮ送信パケット（経路最適化処理後）である。

ＭＮ送信パケット（経路最適化処理後）３-１５は、送信元アドレス（ＳＲＣ）が移動ノード（ＭＮ）２-１の立ち寄り先アドレス（ＣｏＡ）に、宛先アドレス（ＤＳＴ）が通信相手ノード（ＣＮ）２-３のアドレスに設定されたＩＰヘッダと、ホームアドレス（ＨｏＡ）に設定された宛先オプションヘッダ（Dest Opt Header）と、ペイロード（Payload）とを有した構成になっている。

ＣＮ送信パケット（経路最適化処理後）３-１６は、送信元アドレス（ＳＲＣ）が通信相手ノード（ＣＮ）２-３のアドレスに、宛先アドレス（ＤＳＴ）が移動ノード（ＭＮ）２-１の立ち寄り先アドレス（ＣｏＡ）に設定されたＩＰヘッダと、ホームアドレス（ＨｏＡ）に設定されたＲＴ２ヘッダ（RT2 Header）と、ペイロード（Payload）とを有した構成になっている。

その後、移動ノード（ＭＮ）２-１及び通信相手ノード（ＣＮ）２-３は、おのおのバインディング・アップデート・リスト又はバインディング・キャッシュ・エントリのライフタイム値をカウントし、ライフタイム値が無効（＝０）となった場合には、それぞれ相手方についてバインディング・アップデート・リスト又はバインディング・キャッシュ・エントリを削除したり、ＲＲ処理を再度行う等してその維持をはかる等の処理を行う。

図６は、上述したMobile ＩＰｖ６における通信確立までの一連のシーケンス図である。

Mobile ＩＰｖ６では、図６に示すように、ステップＳ１０のホーム登録処理（Home Registration）、ステップＳ２０のホームエージェント（ＨＡ）５-２を経由してのユーザ・データ・パケット処理（user data packet）、ステップＳ３０のＲＲ処理を経て、ステップＳ４０の最適化された伝送路３を用いてのユーザ・データ・パケット処理（user data packet）が実行可能になり、通信確立がはかられる。

また、Mobile ＩＰｖ６では、上記の通信確立手順において、セキュリティを考慮した仕組みが取り入れられている。

移動ノード（ＭＮ）２-１とホームエージェント（ＨＡ）２-２はMobile ＩＰｖ６方式の制御メッセージと、移動ノード(ＭＮ)２-１と通信相手（ＣＮ）２-３が送受信するパケットのうちホームエージェントを介して通信するパケットを、ＩＰsec（Security Architecture for Internet Protocol）によって暗号化して送受信する。これらのパケットは移動ノード（ＭＮ）２-１とホームエージェント（ＨＡ）２-２の間の伝送路(図２のＩＰsecトンネル１)において暗号化されて送受信される。

暗号化されるパケットは、移動ノード（ＭＮ）２-１とホームエージェント（ＨＡ）２-２と送信元アドレス、宛先アドレス、ホームエージェントを介するか否かさらにはＩＰヘッダにつづくデータのタイプ等のパラメータを基にセキュリティアソシエーション（Security Association：ＳＡ）を生成し、セキュリティパラメータインデックス（ＳＰＩ）で区別する。そのためにセキュリティパラメータインデックス（ＳＰＩ）によって、送信元アドレス、宛先アドレス、ホームエージェントを介するか否かさらには暗号化されたデータのタイプが識別できることに加え、暗号化／復号化のアルゴリズムや、暗号鍵の確定を行う。

このセキュリティパラメータインデックス（ＳＰＩ）の値は、
ＳＰＩ＝ａは、移動ノード（ＭＮ）２-１からホームエージェント（ＨＡ）２-２へ送信する位置登録メッセージを識別する値、
ＳＰＩ＝ｂは、ホームエージェント（ＨＡ）２-２から移動ノード（ＭＮ）２-１へ送信する位置登録確認メッセージを識別する値、
ＳＰＩ＝ｃは、移動ノード（ＭＮ）２-１からホームエージェント（ＨＡ）２-２を経由して通信相手ノード（ＣＮ）２-３へパケットを送信するホーム試験開始メッセージを識別する値、
ＳＰＩ＝ｄは、通信相手ノード（ＣＮ）２-３からホームエージェント（ＨＡ）２-２を経由して移動ノード（ＭＮ）２-１へ送信する、ホーム試験メッセージを識別する値、
ＳＰＩ＝ｅは、移動ノード（ＭＮ）２-１からホームエージェント（ＨＡ）２-２を経由して通信相手ノード（ＣＮ）２-３へ送信する、移動ノード（ＭＮ）２-２から通信相手ノード（ＣＮ）２-３へのデータパケットを識別する値、
ＳＰＩ＝ｆは、通信相手ノード（ＣＮ）２-３からホームエージェント（ＨＡ）２-２を経由して移動ノード（ＭＮ）２-１へ送信する、通信相手ノード（ＣＮ）２-３から移動ノード（ＭＮ）２-１へのデータパケットを識別する値、
になっている。

Mobile ＩＰｖ６では、位置登録メッセージ（ＢＵ）３-１や位置登録確認メッセージ（ＢＡ）３-２のような、移動ノード（ＭＮ）２-１とホームエージェント（ＨＡ）２-２との間のメッセージの暗号化は、ＳＰＩ＝ａ，ｂにそれぞれ対応した暗号化／復号化のアルゴリズムに基づいてトランスポートモードのＩＰsecで暗号化を行う。トランスポートモードのＩＰsecでは、ＩＰヘッダを除くメッセージのデータ部分のみを認証や暗号化の対象としており、すなわち位置登録メッセージ(ＢＵ)や位置登録確認メッセージ（ＢＡ）をあらわすモビリティヘッダ部分のみを暗号化する。

また、ホーム試験開始メッセージ（ＨｏＴＩ）３-３、ホーム試験メッセージ（ＨｏＴ）３-４、ＭＮ送信パケット３-１１、ＣＮ送信パケット３-１４のような、ホームエージェント（ＨＡ）２-２を経由した移動ノード（ＭＮ）２-１と通信相手ノード（ＣＮ）２-３との間のメッセージについて、その移動ノード（ＭＮ）２-１又は通信相手ノード（ＣＮ）２-３とホームエージェント（ＨＡ）２-２との間におけるメッセージの暗号化は、ＳＰＩ＝ｃ，ｄ，ｅ，ｆにそれぞれ対応した暗号化／復号化のアルゴリズムに基づいて、トンネルモードのＩＰsecで暗号化を行う。トンネルモードのＩＰsecでは、移動ノード（ＭＮ）２-１と通信相手ノード（ＣＮ）２-３が送受信する元の本来のパケット全体を暗号化する。すなわち、ホーム試験開始メッセージ（ＨｏＴＩ）やホーム試験メッセージ（ＨｏＴ）をあらわすモビリティヘッダ、移動ノード（ＭＮ）２-１と通信相手ノード（ＣＮ）２-３の送受信データペイロードに加え、移動ノード（ＭＮ）２-１と通信相手ノード（ＣＮ）で構成されるＩＰヘッダ部分を含めて暗号化を行う。

このようにして、前記説明したような手順で、移動ノード（ＭＮ）２-１は、ネットワークを移動した際にも、通信相手ノード（ＣＮ）２-３と通信を継続することができるようになっている。

一方、上述したMobile IPv６により規定されたセキュリティの機能とは別に、ネットワーク間を安全に通信する方式として、仮想専用線すなわちＶＰＮ（Virtual Private Network）という技術が広く使われるようになっている。

ＶＰＮは、拠点間を仮想的なパスで接続し、通信コストの低減を目的とした技術である。これを実現する技術として、ＩＥＴＦによりＶＰＮの標準プロトコルとしてＩＰsecが規定されている。

図７は、Mobile ＩＰｖ６とＶＰＮとを適用したネットワークモデルの一例の構成図である。

ここで、このＶＰＮに係り、Mobile ＩＰｖ６を適用したサービスモデルを考えた場合、位置管理を行うホームエージェント（ＨＡ）５-２を運用するプロバイダ（Internet Service Provider：ＩＳＰ）が、企業や家庭のネットワーク５-ａにおける移動ノード（ＭＮ）５-１の移動管理を行うことが想定できる。また、このような場合、移動ノード（ＭＮ）５-１は、そのホームエージェント（ＨＡ）５-２が接続されるネットワーク５-ａと同様な、別の企業や家庭のネットワーク５-ｃ内部の端末すなわち通信相手ノード（ＣＮ）５-３を通信相手とする場合が多いと考えられる。

Mobile ＩＰｖ６の制御メッセージや、ホームエージェント（ＨＡ）５-２を介した移動ノード（ＭＮ）５-１と通信相手の通信相手ノード（ＣＮ）５-３との通信路において、Mobile ＩＰｖ６の規程では、図２に示したように、移動ノード（ＭＮ）２-１とホームエージェント（ＨＡ）２-２との間の伝送路１のみがトランスポートモードのＩＰsecでセキュリティが保持される。

一方、ホームエージェント（ＨＡ）５-２を運用するキャリア（プロバイダを含む通信事業者）は、家庭や企業との契約により、ホームエージェント（ＨＡ）５-２と家庭や企業のネットワーク５-ｃの境界のゲートウェイ（ＧＷ）５-４との間の伝送路２について、図５に示したようなＶＰＮ用のＩＰsecトンネル３を構築することが想定できる。

ここで、伝送路２に構築されたＶＰＮ用のＩＰsecトンネル３におけるＩＰsecのセキュリティパラメータインデックス（ＳＰＩ）の値を、
ＳＰＩ＝ｉは、ホームエージェント（ＨＡ）５-２が通信相手ノード（ＣＮ）５-３が属する企業又は家庭のネットワーク５-ｃの境界に設けられたゲートウェイ（ＧＷ）５-４へ転送する全てのメッセージについて、その暗号化／復号化のアルゴリズムや暗号鍵の確定を行うための値、
ＳＰＩ＝ｊは、通信相手ノード（ＣＮ）５-３が属する企業又は家庭のネットワーク５-ｃの境界に設けられたゲートウェイ（ＧＷ）５-４がホームエージェント（ＨＡ）５-２へ転送する全てのメッセージについて、その暗号化／復号化のアルゴリズムや暗号鍵の確定を行うための値、
とする。

したがって、移動ノード（ＭＮ）５-１とホームエージェント（ＨＡ）５-２との間の伝送路１についてのＩＰsecトンネル１と、ホームエージェント（ＨＡ）５-２と家庭や企業のネットワーク５-ｃの境界のゲートウェイ（ＧＷ）５-４との間の伝送路２についてのＩＰsecトンネル３のＶＰＮとを利用することにより、移動ノード（ＭＮ）５-１と通信相手ノード（ＣＮ）５-３のホームエージェント（ＨＡ）５-２を経由して送受信するメッセージを安全に送受信することができる。

上記のようにMobile ＩＰｖ６及びＶＰＮを組み合わせただけでは、図６のＳ３０に示す経路最適化処理後のＳ４０に示す移動ノード（ＭＮ）５-１と通信相手ノード（ＣＮ）５-３の送受信メッセージは暗号化されない。すなわち、経路最適化処理後の図７の伝送路３に流れる送受信メッセージの暗号化は行われない。

IETF "Mobility Support in IPv６"，RFC3775.txt IETF "Using IPsec to Protect Mobile IPv6 Signaling betｗeen Moblie Nodes and Home Agents"(RFC3776.txt)

Mobile ＩＰｖ６を利用したネットワークにおいて、移動ノード（ＭＮ）がそのホームネットワークとは別のある特定なネットワークに対して頻繁に通信を行うような通信を想定する。この場合、その特定なネットワークとしては、例えば企業のネットワークや家庭のネットワークが想定できる。

また、前述したように、Mobile ＩＰｖ６において移動管理を行うホームエージェント（ＨＡ）を設置して運用し、移動ノード（ＭＮ）の移動をサポートするプロバイダ（ＩＳＰ）が今後出現してくることも、当然に想定される。それは、各企業、家庭のネットワークが小さい場合や運用コストの点から、その他の移動サービスプロバイダであることが十分想定できる。

一方、Mobile ＩＰｖ６の移動ノード（ＭＮ）は、ホームエージェント（ＨＡ）を端点としたホームネットワークに対するリンクをホームリンクとするため、移動サービスプロバイダが運用するホームエージェント（ＨＡ）の端点のリンクをホームリンクとして、その移動がサポートされるが、実際は、ホームネットワークとは別のある特定のネットワーク内の通信端末、例えば企業又は家庭のネットワーク内の通信端末を通信相手ノード（ＣＮ）とする通信が頻繁に行われることになる。その際は、Mobile ＩＰｖ６の仕組みから、移動ノード（ＭＮ）はホームエージェント（ＨＡ）を経由して、この特定のネットワークとしての企業又は家庭のネットワークへの通信が頻繁に起こる。そのため、ホームエージェント（ＨＡ）とこの特定のネットワークとしての企業又は家庭のネットワークとの間の伝送路を上述したようにＶＰＮで接続するメリットが生じる。

従来例に示したように、Mobile ＩＰｖ６とＶＰＮとのそれぞれが提供する仕組みを組み合わせることで、移動ノード（ＭＮ）と通信相手ノード（ＣＮ）はホームエージェント（ＨＡ）を経由した送受信パケットに対しては安全な通信をすることができる。さらに、移動ノード（ＭＮ）と通信相手ノード（ＣＮ）が経路最適化処理後、図７の伝送路３において暗号化通信を行うことを想定する。移動ノード（ＭＮ）と通信相手ノード（ＣＮ）が図７の伝送路３において暗号化通信を行うためには、移動ノード（ＭＮ）と通信相手ノード（ＣＮ）との間でセキュリティアソシエーション（Security Association：ＳＡ）を生成し、トランスポートモードのＩＰsecで暗号化を行うことで暗号化通信が実現できる。

例えば、この場合にトランスポートモードのＩＰsecおけるセキュリティパラメータインデックス（ＳＰＩ）の値は、
ＳＰＩ＝ｇは、移動ノード（ＭＮ）５-１が通信相手ノード（ＣＮ）５-３へ送信するすべての通信メッセージについて、その暗号化/複合化のアルゴリズムや暗号鍵の確定を行う値
ＳＰＩ＝ｈは、通信相手ノード（ＣＮ）５-３が移動ノード（ＭＮ）５-１へ送信するすべての通信メッセージについて、その暗号化/複合化のアルゴリズムや暗号鍵の確定を行う値
これにより、移動ノード（ＭＮ）５-１と通信相手ノード（ＣＮ）５-３は、経路最適化処理後、図７の伝送路３上でＩＰsecトンネル２に示すように暗号化通信を行うことができる。

しかしながら、上記のセキュリティアソシエーション（Security Association：ＳＡ）の生成は、経路最適化処理が行われたか否かを判断して生成されていない。そのため、移動ノード（ＭＮ）５-１と通信相手ノード（ＣＮ）５-３が経路最適化以前のホームエージェント（ＨＡ）５-２を経由した通信を行っている場合でも、上記ＳＡに対する暗号化が行われる。その際にはＩＰsecトンネル２は図７に示すように伝送路１のＩＰsecトンネル１の内側及び伝送路２のＩＰsecトンネル３の内側を通り、移動ノード（ＭＮ）５-１と通信相手ノード（ＣＮ）５-３の間で示される。

それぞれをそのまま適用すると、経路最適化以前の通信において冗長な暗号化処理が生じるという問題点がある。ホームエージェント（ＨＡ）５-２を経由した通信は、すでにＩＰsecトンネル１とＩＰsecトンネル３（ＶＰＮ）により安全な通信が行われているにもかかわらず、さらにＩＰsecトンネル２のための暗号化処理を行うためである。この問題点について、図６〜図１０に基づき説明する。

図８〜図１０は、図７に示したMobile ＩＰｖ６とＶＰＮとを適用したネットワークモデルの一例のパケットフォーマットを示した図である。

図７に示したように、本例のネットワークモデルは、移動ノード（ＭＮ）５-１のネットワーク間の移動をサポートするプロバイダ（ＩＳＰ）のネットワーク５-ａ内にホームエージェント（ＨＡ）５-２が設置され、移動ノード（ＭＮ）５-１が頻繁に通信を行う別の特定のネットワーク５-ｃとホームエージェント（ＨＡ）５-２との間は、ＶＰＮで接続されている構成になっている。

移動ノード（ＭＮ）５-１は、Mobile ＩＰｖ６の仕組みに従い、外部ネットワーク５-ｂへ移動時に、ホームエージェント（ＨＡ）５-２との間で、図８に示した位置登録メッセージ（ＢＵ）６-１及び位置登録確認メッセージ（ＢＵ）６-２の送受信を行って、図６のステップＳ１０に示した位置登録処理を行う。

その際に、移動ノード（ＭＮ）５-１が送受信する位置登録（ＢＵ）及び位置登録確認（ＢＡ）の各メッセージ６-１，６-２は、移動ノード（ＭＮ）５-１とホームエージェント（ＨＡ）５-２との間のトランスポートモードのＩＰsecで、セキュリティパラメータインデックスＳＰＩ＝ａ，ＳＰＩ＝ｂによって暗号化されて、その送受信が安全に行われるようになっている。

その後、移動ノード（ＭＮ）５-１が特定のネットワーク５-ｃに接続された通信相手ノード（ＣＮ）５-３と通信をするとき、移動ノード（ＭＮ）５-１は、ホームエージェント（ＨＡ）５-２経由の通信相手ノード（ＣＮ）５-３へのメッセージをＩＰsecで規定されるセキュリティパラメータインデックス（ＳＰＩ）に基づき暗号化して、ホームエージェント（ＨＡ）５-２経由で送信する（図６のステップＳ２０）。

すなわち、まず移動ノード（ＭＮ）５-１は通信相手ノード（ＣＮ）５-３へのメッセージをＩＰsecトンネル２へ通すため、ＳＰＩ＝ｇで暗号化する。このメッセージはホームエージェントを経由して送信されるため、送信元アドレスが移動先アドレスで送信先がホームエージェントのアドレスアドレスとしたＩＰヘッダによりカプセル化され、カプセル化された本来のパケットはＳＰＩ＝ｅで暗号化され(図１０の６-１１)、伝送路１上を流れる。

上記パケットを受信したホームエージェント（ＨＡ）５-２は、ＳＰＩ＝ｅにより複合化し、本来のＳＰＩ＝ｇで暗号化された移動ノード（ＭＮ）５-１から通信相手ノード（ＣＮ）５-３へパケットを、ＩＰsecトンネル３（ＶＰＮ）によりゲートウェイ（ＧＷ）５-４へ送信する。ホームエージェントが送信する際には、送信元をホームエージェント（ＨＡ）５-２で送信先がゲートウェイ（ＧＷ）５-４としたＩＰヘッダによりカプセル化され、カプセル化された本来のパケットはＳＰＩ＝ｉで暗号化され（図１０の６-１２）、伝送路２を流れる。

上記パケットを受信したゲートウェイは（ＧＷ）５-４は、ＳＰＩ＝ｉにより複合化を行い、通信相手ノードへのパケットを通信相手ノード（ＣＮ）５-３へルーティングする。

上記パケットを受信した通信相手ノードは、ＳＰＩ＝ｇで複合化を行い、移動ノード（ＭＮ）５-１からのパケットを受信する。

同様にして、通信相手ノード（ＣＮ）５-３から移動ノード（ＭＮ）５-４へのパケットはＩＰsecに規程されるセキュリティパラメータインデックス（ＳＰＩ）に基づき暗号化して、ホームエージェント（ＨＡ）５-２経由で送信する(図５のステップＳ２０)。

すなわち、まず通信相手ノード（ＣＮ）５-３は移動ノード（ＭＮ）５-１はへのメッセージをＳＰＩ＝ｈで暗号化して送信する。ゲートウェイ（ＧＷ）５-４は、パケットの転送をＩＰsecトンネル３（ＶＰＮ）へするため、送信元アドレスをゲートウェイ（ＧＷ）５-４で送信先アドレスがホームエージェント（ＨＡ）５-２としたＩＰヘッダで、通信相手ノード（ＣＮ）５-３が送信したパケットをカプセル化し、カプセル化したパケットはＳＰＩ＝ｊで暗号化して(図１０の６-１２)、伝送路２を流れる。

上記パケットを受信したホームエージェント（ＨＡ）５-２は、ＳＰＩ＝ｊで複合化を行い、本来のＳＰＩ＝ｈで暗号化された通信相手ノード（ＣＮ）５-３から移動ノード（ＭＮ）５-１へのパケットを、ＩＰsecトンネル１を通して移動ノード（ＭＮ）５-１へ送信する。ホームエージェントが送信する際には、送信元をホームエージェント（ＨＡ）５-２で送信先が移動ノード（ＭＮ）５-１としたＩＰヘッダによりカプセル化され、カプセル化された本来のパケットはＳＰＩ＝ｆで暗号かされ(図１０の６-１４)、伝送路１を流れる。

上記パケットを受信した移動ノード（ＭＮ）５-１は、まずＳＰＩ＝ｆで複合化を行い、ＳＰＩ＝ｈで暗号化された通信相手ノード（ＣＮ）５-３からのパケットを得る。さらに、ＳＰＩ＝ｈで複合化を行い、通信相手ノード（ＣＮ）からのパケットを受信する。

その後、移動ノード（ＭＮ）５-１と通信相手ノード（ＣＮ）５-３との間で、図６のステップＳ３０で表わしたＲＲ処理が行われ、経路最適化された通信が行われる。

このＲＲ手順で送受信されるパケットを、図９のホーム試験開始メッセージ（ＨｏＴＩ）６-３，６-４、立ち寄り試験開始メッセージ（ＣｏＴＩ）６-５、ホーム試験メッセージ（ＨｏＴ）６-６，６-７、立ち寄り試験メッセージ（ＣｏＴＩ）６-８に示す。

この場合、移動ノード（ＭＮ）５-１が通信相手ノード（ＣＮ）５-３へ送信するホーム試験開始メッセージは、ＩＰＳｅｃトンネル２へ送信するためセキュリティパラメータインデックスＳＰＩ＝ｇで暗号化され、ホームエージェント（ＨＡ）５-２を経由して送信される。上記パケットは、伝送路１においては、ＩＰsecトンネル１をとおるため、セキュリティパラメータインデックスＳＰＩ＝Ｃで暗号化されカプセル化される(図９の６-３)。伝送路２では、ＩＰsecトンネル３のＶＰＮのセキュリティパラメータインデックスＳＰＩ＝ｉによって暗号化が行われる(図９の６-４)。

また、、通信相手ノード（ＣＮ）５-３が移動ノード（ＭＮ）５-１へ送信するホーム試験メッセージは、ＩＰsecトンネル２へ送信するためセキュリティパラメータインデックスＳＰＩ＝ｈで暗号化され、ホームエージェント（ＨＡ）５-２を経由して送信される。上記パケットは、伝送路２では、ＩＰsecトンネル３のＶＰＮのセキュリティパラメータインデックスＳＰＩ＝ｊによって暗号化が行われる(図９の６-６)。伝送路１においては、ＩＰsecトンネル１をとおるため、セキュリティパラメータインデックスＳＰＩ＝ｄで暗号化されカプセル化される(図９の６-７)。

さらにＲＲ手順の最後に、移動ノード（ＭＮ）５-１と通信相手ノード（ＣＮ）は位置登録メッセージと位置登録確認メッセージを送受信する。位置登録メッセージはセキュリティパラメータインデックスＳＰＩ＝ｇにより暗号化され(図９の６-９)、伝送路３へ送信される。また、位置登録家訓メッセージは、セキュリティパラメータインデックスＳＰＩ＝ｈにより暗号化され(図９の６-９)、伝送路３へ送信される。

そして、このＲＲ処理で経路最適化された後の図６のステップＳ４０で表わしたユーザ・データ・パケット処理では、移動ノード（ＭＮ）５-１からゲートウェイ（ＧＷ）５-４への送信パケット、及びゲートウェイ（ＧＷ）５-４から移動ノード（ＭＮ）５-１への送信パケットは、前述したＩＰsecトンネル２のセキュリティパラメータインデックスＳＰＩ＝ｇ，ＳＰＩ＝ｈでそれぞれ暗号化され、図１０に示したＭＮ送信パケット６-１５及びＣＮ送信パケット６-１６のようになっている。

上述したように、ステップＳ３０で表わしたＲＲ処理が行われる以前のホームエージェント（ＨＡ）５-２経由の通信において、移動ノード（ＭＮ）５-１及び通信相手ノード（ＣＮ）５-３それぞれからの暗号化されたパケットのＩＰＳｅｃトンネル２は、さらに２つの暗号化されたトンネルを経由してネットワーク２-ｂとネットワーク２-ｃとの間で送受信が行われる。

この２つのトンネルの中の一つは、移動ノード（ＭＮ）５-１とホームエージェント（ＨＡ）５-２との間のＩＰsecトンネル１であり、もう一つは、ホームエージェント（ＨＡ）５-２とゲートウェイ（ＧＷ）５-４の間のＩＰsecトンネル３のＶＰＮである。

そして、この２つの暗号化されたトンネルのうち、ホームエージェント（ＨＡ）５-２とゲートウェイ（ＧＷ）５-４の間のＩＰsecトンネル３のＶＰＮについては、１つのホームエージェント（ＨＡ）５-２に対して複数の移動ノード（ＭＮ）５-１が存在することを想定した場合は、ホームエージェント（ＨＡ）５-２とゲートウェイ（ＧＷ）５-４との間のトラヒックは増大するため、ホームエージェント（ＨＡ）５-２とゲートウェイ（ＧＷ）５-４の間にＶＰＮが採用されていることは暗号化処理低減においても意味がある。

また、移動ノード（ＭＮ）５-１とホームエージェント（ＨＡ）５-２との間の暗号化トンネルのＩＰsecトンネル１については、Mobile ＩＰｖ６の仕組みで提供されるトンネルであり、処理的な冗長部分とはならない。

これに対して、ステップＳ３０で表わしたＲＲ処理が行われた後に、移動ノード（ＭＮ）５-１と通信相手ノード（ＣＮ）５-３との間のＩＰsecトンネル２による暗号化処理については、ＲＲ処理後の安全な通信のために移動ノード（ＭＮ）５-１と通信相手ノード（ＣＮ）５-３との間の暗号化処理には十分意味があるが、そのメッセージがホームエージェント（ＨＡ）５-２を経由する場合、安全性は２つのトンネルＩＰsecトンネル１，３によって十分確保されるため、冗長な処理となる。

しかしながら、現在のMobileＩＰｖ６の仕組みでは、経路最適化を判別し、移動ノード５-１と通信相手ノード５-３との間の暗号化を行う仕組みがない。

本発明は、上記問題点を鑑みてなされたものであって、ネットワーク間を移動しながら位置管理装置によって位置管理されて通信を継続する移動通信装置とその通信相手方の通信装置とが暗号化通信を行う際に、通信経路にしたがって冗長な暗合化処理を削減しながら最適な暗号化処理を行うことによって、安全かつ処理負荷の軽減をはかった暗号化処理を行うことができる移動通信装置並びにその通信相手方の通信装置、及びこの通信相手方のネットワークのゲートウェイ装置を提供することを目的とする。

上記問題点を解決するために、本発明の通信装置は、ネットワーク間を移動可能な移動通信装置を位置管理する位置管理装置が接続されるネットワークを含む複数のネットワークが相互接続された通信環境で、当該移動通信装置と当該移動通信装置の前記位置管理装置が接続されるネットワークとは別のネットワークに接続される相手先通信装置との間の通信が、前記位置管理装置を経由する経路と前記位置管理装置を経由しない最適経路との複数の通信経路を介して行われる通信システムの、移動側又は相手先として適用される通信装置であって、前記位置管理装置を経由する経路で通信相手方と通信を行う場合には、送受信データを暗号化処理して通信せず、前記位置管理装置を経由しない経路で通信相手方と通信を行う場合には、送受信データを暗号化処理して通信する通信処理手段を備えていることを特徴とする。

また、本発明のゲートウェイ装置は、ネットワーク間を移動可能な移動通信装置を位置管理する位置管理装置が接続されるネットワークを含む複数のネットワークが相互接続された通信環境で、当該移動通信装置と当該移動通信装置の前記位置管理装置が接続されるネットワークとは別のネットワークに接続される相手先通信装置との間の通信が、前記位置管理装置を経由する経路と前記位置管理装置を経由しない最適経路との複数の通信経路を介して行われる通信システムの、前記相手先通信装置が接続されるネットワークに設けられるゲートウェイ装置であって、前記位置管理装置を経由する経路で通信相手方と通信を行う場合には、前記移動通信装置との間で送受信データを暗号化処理して通信せず、前記位置管理装置を経由しない経路で通信を行う場合には、前記移動通信装置との間で送受信データを暗号化処理して通信する通信処理手段を備えていることを特徴とする。

本発明によれば、移動通信装置と相手方通信装置との通信において、移動管理を行う位置管理装置を経由して通信する経路と経路最適化された経路の２種類の経路とを切り替えることにより、移動通信装置と相手方通信装置との間で行われる通信データの暗号化の有無を決定し、暗号化／復号化する。

位置管理装置を経由した通信の場合には、移動通信装置及び相手方通信装置は二者の暗号化処理は行わず、移動通信装置と位置管理装置との間の暗号化された経路と位置管理装置と相手方通信装置の接続するネットワークの間のＶＰＮを利用して安全に通信する。

経路最適化された通信を行う場合には、移動通信装置及び相手方通信装置は二者の暗号化処理を行い、安全な通信を行う。

以上により、位置管理装置経由の通信の際の不必要な暗号化処理を行わずに済むことで移動通信装置及び相手方通信装置は処理負荷が軽減されるとともに、移動通信装置と位置管理装置との間、及び位置管理装置と相手方通信装置の接続するネットワーク間の伝送路におけるトラヒックを軽減することができる。

本発明の一実施形態としての移動通信装置（移動ノード（ＭＮ））、相手先通信装置（通信相手ノード（ＣＮ））、及びゲートウェイ装置（ゲートウェイ（ＧＷ））について、図面に基づき説明する。その説明にあたっては、図１に示すようなMobile ＩＰｖ６にＶＰＮを適用したネットワークモデルを基に説明する。

図１は、本発明の一実施の形態としての移動通信装置、相手先通信装置、及びゲートウェイ装置を備えたネットワークモデルの一例の構成図である。

図１に示したネットワークモデルは、複数のネットワーク１-ａ，１-ｂ，１-ｃが上位ネットワークとしてのインターネットを介して相互接続された構成になっており、移動ノード（ＭＮ）１-１のネットワーク間の移動をサポートするプロバイダ（ＩＳＰ）のネットワーク１-ａ内にホームエージェント（ＨＡ）１-２が設置され、移動ノード（ＭＮ）１-１が頻繁に通信を行うネットワーク１-ｃのゲートウェイ（ＧＷ）１-４とホームエージェント（ＨＡ）１-２との間はＶＰＮ接続されている構成の、Mobile ＩＰｖ６にＶＰＮを適用したモデルを想定している。

そして、移動ノード（ＭＮ）１-１は、複数のネットワーク１-ａ，１-ｂ間を移動自在に構成されている。また、ネットワーク１-ａには、この移動ノード（ＭＮ）１-１のホームネットワーク１-ａとして、移動ノード（ＭＮ）１-１の移動管理を行うホームエージェント（ＨＡ）１-２が接続されている。

本実施の形態では、この移動ノード（ＭＮ）１-１が外部ネットワーク１-ｂに移動した際、ネットワーク１-ｃに接続された通信相手ノード（ＣＮ）１-３と通信する場合を例に、説明する。

図１６は、図１に示したネットワークモデルにおける移動ノード（ＭＮ）の一実施の形態の構成図である。

本実施の形態では、移動ノード（ＭＮ）１-１は、ＴＣＰ／ＩＰモジュール１２、Mobile ＩＰｖ６モジュール１３、ＩＰsecモジュール１４、通信インターフェース１５を備えた可搬の計算機装置１１によって構成されている。

各部について説明すると、ＴＣＰ／ＩＰモジュール１２は、ＩＰｖ６プロトコルのパケットの送受信を行う。

Mobile ＩＰｖ６モジュール１３は、移動に関わる処理を行い、位置やＲＲ処理の状態を管理し、ホームエージェント（ＨＡ）１-２や通信相手ノード（ＣＮ）１-３に対するバインディング・アップデート・リスト１６を保持する構成になっている。

図１９は、バインディング・アップデート・リストの構成説明図である。

バインディング・アップデート・リスト１６には、ホームエージェント（ＨＡ）１-２や通信相手ノード（ＣＮ）１-３といった通信相手のアドレスやライフタイムが保持され、ライフタイムをカウントして有効であるか否かの情報も保持される。

ＩＰsecモジュール１４は、送信元（ＳＲＣ）のアドレスと送信先（ＤＳＴ）のアドレスに対するセキュリティパラメータインデックス（ＳＰＩ）の管理と、ＳＰＩの値に対応する暗号化モード、暗号化方式、鍵を、図２０に示すような暗号化データベース１７として保持し、暗号化及び復号化処理を行う構成になっている。

図２０は、暗号化データベースの構成説明図である。

暗号化データベース１７には、セキュリティパラメータインデックス（ＳＰＩ）それぞれに対して、送信元（ＳＲＣ）のアドレス、送信先（ＤＳＴ）のアドレス、ＩＰsecのモード、暗号化／復号化のためのプロトコル、暗号鍵が保持されている。

通信インターフェース１５は、接続するネットワークとのデータの送受信部で、図１に示した状態では外部ネットワーク１-ｂに備えられたルータ（Ｒ）と接続されている状態になっている。

図１７は、図１に示したネットワークモデルにおけるホームエージェント（ＨＡ）の一実施の形態の構成図である。

本実施の形態では、ホームエージェント（ＨＡ）１-２は、ＴＣＰ／ＩＰモジュール２２、Mobile ＩＰｖ６モジュール２３、ＩＰsecモジュール２４、通信インターフェース２５を備えた固定の計算機装置２１によって構成されている。

ＴＣＰ／ＩＰモジュール２２は、ＩＰｖ６プロトコルのパケットの送受信を行う。

Mobile ＩＰｖ６モジュール２３は、移動ノード（ＭＮ）１-１の位置管理を行い、移動ノード（ＭＮ）１-１に対するバインディング・キャッシュ・エントリ２６を保持する。

図２１は、バインディング・キャッシュ・エントリの構成説明図である。

バインディング・キャッシュ・エントリ２６には、移動ノード（ＭＮ）１-１のホームアドレス（ＨｏＡ）に対して、移動先アドレス（立ち寄り先アドレス（ＣｏＡ））やライフタイムが保持され、ライフタイムをカウントして有効であるか否かの情報も保持される。

ＩＰsecモジュール２４は、送信元（ＳＲＣ）のアドレスと送信先（ＤＳＴ）のアドレスに対するセキュリティパラメータインデックス（ＳＰＩ）の管理と、ＳＰＩに対する暗号化モード、暗号化方式、鍵を、図２０に示した暗号化データベース１７と同様な構成の暗号化データベース２７として保持し、暗号化及び復号化処理を行う。

通信インターフェース２５は、接続するネットワークとのデータの送受信部である。

図１８は、図１に示したネットワークモデルにおける通信相手ノード（ＣＮ）の一実施の形態の構成図である。

通信相手ノード（ＣＮ）１-３は、ＴＣＰ／ＩＰモジュール３２、Mobile ＩＰｖ６モジュール３３、ＩＰsecモジュール３４、通信インターフェース３５を持つ固定の計算機装置３１によって構成されている。

ＴＣＰ／ＩＰモジュール３２は、ＩＰｖ６プロトコルのパケットの送受信を行う。

Mobile ＩＰｖ６モジュール３３は、通信相手の移動に係わる処理を行い、図２１に示したバインディング・キャッシュ・エントリ２６と同様な移動ノード（ＭＮ）１-１に対するバインディング・キャッシュ・エントリ３６を保持することで移動ノード（ＭＮ）１-１の位置を把握する。

バインディング・キャッシュ・エントリ３６には、移動ノード（ＭＮ）１-１のホームアドレス（ＨｏＡ）に対して、移動先アドレス（立ち寄り先アドレス（ＣｏＡ））やライフタイムが保持され、ライフタイムをカウントして有効であるか否かの情報も保持される。

ＩＰsecモジュール３４は、送信元（ＳＲＣ）のアドレスと送信先（ＤＳＴ）のアドレスに対するセキュリティパラメータインデックス（ＳＰＩ）の管理と、ＳＰＩに対する暗号化モード、暗号化方式、鍵を、図２０に示した暗号化データベース１７と同様な暗号化データベース３７として保持し、暗号化及び復号化処理を行う。

通信インターフェース３５は、接続するネットワークとのデータの送受信部である。

次に、上述した構成からなる移動ノード（ＭＮ）１-１、通信相手ノード（ＣＮ）１-３のそれぞれ機能について説明する。

移動ノード（ＭＮ）１-１は、Mobile ＩＰｖ６の仕組みが提供するホームエージェント（ＨＡ）１-２を経由する経路（伝送路１、伝送路２）と、最適化された経路（伝送路３）を判別して、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間の暗号化の有無を決定する。

移動ノード（ＭＮ）１-１は、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間での通信データの暗号化／復号化を行うか否かを、パケット送受信時に以下の手順で判断する。

手順０１）
移動ノード（ＭＮ）１-１は、外部ネットワーク１-ｂに移動した状態で通信相手になる通信相手ノード（ＣＮ）１-３のアドレスリストを有し、送信するパケットの宛先（ＤＳＴ）のアドレス又は受信したパケット送信元（ＳＲＣ）のアドレスがこのアドレスリストに記録されているアドレスに適合するか否かを判断する。

手順０２）
手順０１において、送信したパケットの宛先（ＤＳＴ）又は受信した受信送信元（ＳＲＣ）のアドレスがアドレスリストに適合した場合、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３が最適な経路でパケットを送受信する状態か否かを判断する。

手順０３）
手順０２において、最適経路（伝送路３）でパケットの送受信できる状態の場合、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３との間で生成したセキュリティアソシエーション（ＳＡ）のセキュリティパラメータインデックス（ＳＰＩ）で、パケットを暗号化して送信したり（ＳＰＩ＝ｇ）、又は受信して復号化したりする（ＳＰＩ＝ｈ）。なお、手順０２において、最適経路（伝送路３）でパケットを送受信できない状態の場合、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３との間で生成したセキュリティアソシエーション（ＳＡ）によるセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｇ，ＳＰＩ＝ｈで暗号化／復号化せずに、パケットを送受信する。

ここで、上記した手順０１におけるアドレスの適合は、以下のいずれかの比較又はその組み合わせで行う。

・ 移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）のＩＰｖ６アドレスのリストを有し、送信パケットの宛先（ＤＳＴ）のアドレス、又は受信パケットの送信元（ＳＲＣ）のアドレスと比較する。

・ 移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）のＩＰｖ６アドレスプレフィックスのリストを持ち、送信パケットの宛先（ＤＳＴ）のＩＰｖ６アドレス、又は受信パケットの送信元（ＳＲＣ）のＩＰｖ６アドレスのプレフィックス部分と比較する。

また、上記した手順０２における、最適な経路（伝送路３）でパケットを送受信する状態か否かについての判断方法は、次のように行う。

まず、移動ノード（ＭＮ）１-１は、最適経路通信可能な状態を、次のいずれかの状態の検出、又はその組み合わせで判断する。

・ 通信相手ノード（ＣＮ）１-３とのＲＲ手順（図６，ステップＳ３０）の最終段階の位置登録メッセージ（ＢＵ）を送信している場合（後述の図１２の位置登録メッセージ（ＢＵ）７-９が対応）。

・ パケット処理部が経路最適化している場合のパケット、具体的には、ＩＰヘッダの送信元（ＳＲＣ）のアドレスを移動先（外部ネットワーク１-ｂ）で取得した立ち寄りアドレス（ＣｏＡ）とし、送信先（ＤＳＴ）のアドレスを通信相手ノード（ＣＮ）１-３のアドレスとした上で、そのＩＰヘッダの後にデスティネーション・オプション・ヘッダ（Dest Opt Header）が付与されているパケットを生成している場合（後述の図１２の位置登録メッセージ（ＢＵ）７-９、図１３のＭＮ送信パケット７-１５が対応）。

・ 通信相手ノード（ＣＮ）１-３に対するバインディング・アップデート・リストのライフタイム値が有効値（０以上）である場合。

これに対し、移動ノード（ＭＮ）１-１は、最適経路通信可能な状態できないことを、次のいずれかの状態の検出、又はその組み合わせで判断する。

・ 図６のステップＳ１０に示したホームエージェント（ＨＡ）１-２に対しての位置登録処理後、通信相手ノード（ＣＮ）１-３とのステップＳ３０に示したＲＲ手順が未処理である場合。

・ パケット処理部がホームエージェント（ＨＡ）１-２に対してトンネル経由で送信するパケットヘッダを生成している場合。

・ 通信相手ノード（ＣＮ）１-３に対するバインディング・アップデート・リストがない場合。

・ 通信相手ノード（ＣＮ）に対するバインディング・アップデート・リストのライフタイム値が無効値（０）である場合。

ここで、上述した、ホームエージェント（ＨＡ）１-２に対してトンネル経由で送信するパケットヘッダとしては、次のようなパケットヘッダが該当する。

・・ ＩＰヘッダの送信元（ＳＲＣ）のアドレスが移動ノード（ＭＮ）１-１のホームアドレス（ＨｏＡ）で、送信先（ＤＳＴ）のアドレスが通信相手ノード（ＣＮ）１-３のアドレスであるパケット（例えば、後述の図１２のホーム試験開始メッセージ７-３，７-４や図１３のＭＮ送信パケット７-１１中にカプセルリングされるパケットが対応）。

・・ ＩＰヘッダの送信元（ＳＲＣ）のアドレスが移動ノード（ＭＮ）１-１の移動先アドレス（ＣｏＡ）で、送信先（ＤＳＴ）のアドレスがホームエージェント（ＨＡ）１-２のアドレスのＩＰヘッダでカプセリングしている場合（例えば、図９のホーム試験開始メッセージ６-３や図１０のＭＮ送信パケット６-１１、後述の図１２のホーム試験開始メッセージ７-３や図１３のＭＮ送信パケット７-１１）。

そして、上記した手順１に適合しない場合は、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３は本機能を持たないノードであると判断し、２つの何れの経路においても同様の暗号化の有無で通信を行う。

同様に、通信相手ノード（ＣＮ）１-３も、Mobile ＩＰｖ６の仕組みが提供するホームエージェント（ＨＡ）１-２を経由する経路（伝送路１、伝送路２）と、最適化された経路（伝送路３）を判別して、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間の暗号化の有無を決定する。

通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間での通信データの暗号化を行うか否かを、パケット送受信で以下の手順で判断する。

手順０１）
通信相手ノード（ＣＮ）１-３は、本機能を使用する移動ノード（ＭＮ）１-１のアドレスリストを持ち、送信パケットの宛先（ＤＳＴ）のアドレス又は受信パケットの送信元ＳＲＣのアドレスがこのアドレスリストに記録されているアドレスに適合するか否かを判断する。

手順０２）
手順０１において、送信パケットの宛先（ＤＳＴ）又は受信パケットの送信元（ＳＲＣ）のアドレスがアドレスリストに適合した場合、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３が最適な経路でパケットを送受信できる状態か否かを判断する。

手順０３）
手順０２において、最適経路（伝送路３）でパケットの送受信できる状態の場合、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１との間で生成したセキュリティアソシエーション（ＳＡ）のセキュリティパラメータインデックス（ＳＰＩ）で、パケットを暗号化して送信したり（ＳＰＩ＝ｈ）、又は受信して復号化したりする（ＳＰＩ＝ｇ）。なお、手順０２において、最適経路（伝送路３）でパケットを送受信できない状態の場合、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１との間で生成したセキュリティアソシエーション（ＳＡ）によるセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｈ，ＳＰＩ＝ｇで暗号化／復号化せずに、パケットを送受信する。

ここで、上記した手順０１におけるアドレスの適合は、以下のいずれかの比較又はその組み合わせで行う。

・ 通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１のＩＰｖ６アドレスのリストを有し、送信パケットの宛先（ＤＳＴ）のアドレス、又は受信パケットの送信元（ＳＲＣ）のアドレスと比較する。

・ 通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１のＩＰｖ６アドレスプレフィックスのリストを持ち、送信パケットの宛先（ＤＳＴ）のＩＰｖ６アドレス、又は受信パケットの送信元（ＳＲＣ）のＩＰｖ６アドレスのプレフィックス部分（前半６４ビット部分のネットワークＩＤ部分）と比較する。

また、上記した手順０２における、最適な経路（伝送路３）でパケットを送受信する状態か否かについての判断方法は、次のように行う。

まず、通信相手ノード（ＣＮ）１-３は、最適経路通信可能な状態を、次のいずれかの状態の検出、又はその組み合わせで判断する。

・ 移動ノード（ＭＮ）１-１とのＲＲ手順（図６，ステップＳ３０）の最終段階の位置登録メッセージ（ＢＵ）を受信している場合（後述の図１２の位置登録確認メッセージ（ＢＵ）７-９が対応）。

・ 移動ノード（ＭＮ）１-１とのＲＲ手順の最終段階の位置登録確認メッセージ（ＢＡ）を送信している場合（後述の図１２の位置登録確認メッセージ（ＢＡ）７-１０が対応）。

・ パケット処理部が経路最適化した場合のパケットヘッダを生成している場合、具体的には、ＩＰヘッダの送信元（ＳＲＣ）のアドレスが通信相手ノード（ＣＮ）１-３のアドレスで、送信先（ＤＳＴ）のアドレスが移動ノード（ＭＮ）１-１の移動先アドレスＣｏＡのＩＰヘッダで、ＩＰヘッダのあとにルーティング・オプション・タイプ２ヘッダＲＴ２が付与されている場合（後述の図１２の位置登録確認メッセージ（ＢＵ）７-１０、図１３のＣＮ送信パケット７-１６が対応）。

・ 移動ノード（ＭＮ）１-１に対するバインディング・キャッシュ・エントリのライフタイム値が有効値（０以上）である場合。

これに対し、通信相手ノード（ＣＮ）１-３は、最適経路通信可能な状態できないことを、次のいずれかの状態の検出、又はその組み合わせで判断する。

・ パケット処理部がホームエージェント（ＨＡ）１-２に対してトンネル経由で送信するパケットヘッダを生成している場合。

・ 移動ノード（ＭＮ）１-１に対するバインディング・キャッシュ・エントリがない場合。

・ 移動ノード（ＭＮ）１-１に対するバインディング・キャッシュ・エントリのライフタイム値が無効値（０）である場合。

ここで、上述した、ホームエージェント（ＨＡ）１-２に対してトンネル経由で送信するパケットとしては、次のようなパケットが該当する。

・・ 送信元（ＳＲＣ）のアドレスが通信相手ノード（ＣＮ）１-３のアドレスで、送信先（ＤＳＴ）のアドレスが移動ノード（ＭＮ）１-１のホームアドレス（ＨｏＡ）のＩＰヘッダのパケット（図１３の７-１３？）
・・ ＩＰヘッダの後にルーティング・オプション・タイプ２ヘッダが付与されていない場合のパケット（図１３の７-１３？）
そして、上記した手順１に適合しない場合は、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１は本機能を持たないノードであると判断し、２つの何れの経路においても同様の暗号化の有無で通信を行う。

次に、上述した機能をそれぞれ有する移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間の通信確立について説明する。

ここでは、外部ネットワーク１-ｂに移動した移動ノード（ＭＮ）１-１が、ネットワーク１-ｃに接続された通信相手ノード（ＣＮ）１-３との間で、通信確立するまでの一連のシーケンスについて、図１、図６、図１１〜図１３、図１６〜図２１を参考に、図面に基づき説明する。

図１１〜図１３は、本実施の形態の移動ノード（ＭＮ）、ホームエージェント（ＨＡ）、通信相手ノード（ＣＮ）によるMobile ＩＰｖ６のパケットフォーマットを示した図である。

説明にあたって、移動ノード（ＭＮ）１-１は、ホームリンク１-ａへルーティングされる一意のホームアドレス（ＨｏＡ）を有し、前述したように外部ネットワーク１-ｂに移動した状態になっているものとする。

移動ノード（ＭＮ）１-１は、この移動先のネットワーク１-ｂ内で、ネットワーク１-ｂ内のアドレス（立ち寄り先アドレス（ＣｏＡ））を位置情報として取得し、ホームエージェント（ＨＡ）１-２に対して、図６のステップＳ１０に示したホーム登録処理の実行に基づく位置登録を行う。

この位置登録の手続きは、MobileI ＩＰｖ６で規定される位置登録メッセージ（ＢＵ），位置登録確認メッセージ（ＢＡ）を、伝送路１のＩＰsecトンネル１を介して、ホームエージェント（ＨＡ）１-２との間で交換することによって行われる。

移動ノード（ＭＮ）１-１とホームエージェント（ＨＡ）１-２との間にはトランスポートモードのＩＰsecによるセキュリティアソシエーション（ＳＡ）が生成され、位置登録メッセージ（ＢＵ），位置登録確認メッセージ（ＢＡ）は、セキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ａ，ＳＰＩ＝ｂに基づき暗号化され、識別される。

この位置登録メッセージ（ＢＵ），位置登録確認メッセージ（ＢＡ）それぞれのパケットフォーマットは、図１１の７-１，７-２に示した構成になっている。

移動ノード（ＭＮ）１-１は、ホームエージェント（ＨＡ）１-２との間でステップＳ１０に示したホーム登録処理の実行に基づく位置登録を終了すると、ホームエージェント（ＨＡ）５-２を経由して通信相手ノード（ＣＮ）１-３との間で、図６のステップＳ２０に示したユーザ・データ・パケット処理を実行する。

ここで、図１に示したネットワークモデルにおいては、ホームエージェント（ＨＡ）１-２と、通信相手ノード（ＣＮ）１-３が接続されているネットワーク１-ｃの境界のゲートウェイ（ＧＷ）１-４との間の伝送路２は、ＩＰsecトンネル３のＶＰＮで接続されている。これにより、ホームエージェント（ＨＡ）１-２とゲートウェイ（ＧＷ）１-４との間には、トンネルモードのＩＰsecによるセキュリティアソシエーション（ＳＡ）が生成され、ゲートウェイ（ＧＷ）１-４及びホームエージェント（ＨＡ）１-２を経由して、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間で送受信するパケットは、伝送路２において、セキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｉ又はＳＰＩ＝ｊに基づき暗号化される。

図６のステップＳ２０に示したユーザ・データ・パケット処理において、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３へ送信するパケットを、ホームエージェント（ＨＡ）１-２経由で送信する。

本実施の形態では、このユーザ・データ・パケット処理の際に、移動ノード（ＭＮ）１-１がホームエージェント（ＨＡ）１-２を経由して通信相手ノード（ＣＮ）１-３に送信するパケット、及び通信相手ノード（ＣＮ）１-３がホームエージェント（ＨＡ）１-２を経由して移動ノード（ＭＮ）１-１に送信するパケットは、図１３の７-１１，７-１２、７-１３，７-１４に示すようなパケットフォーマットになっている。

移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３に送信するパケットを、ホームエージェント（ＨＡ）１-２を経由して送信する。移動ノード（ＭＮ）１-１からの送信パケットは、移動ノード（ＭＮ）１-１とホームエージェント（ＨＡ）１-２との間に生成されたトランスポートモードのＩＰsecによるセキュリティアソシエーション（ＳＡ）によりセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｅに基づき暗号化され、ＭＮ送信パケット７-１１に示すパケットフォーマットで、ホームエージェント（ＨＡ）１-２に送信される。

ホームエージェント（ＨＡ）１-２は、このＭＮ送信パケット７-１１の受信を、その受信パケットのセキュリティパラメータインデックス（ＳＰＩ）がＳＰＩ＝ｅになっていることで識別する。そして、ホームエージェント（ＨＡ）１-２は、この受信したこのＭＮ送信パケット７-１１を、識別したセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｅで復号化し、これを通信相手ノード（ＣＮ）１-３に送信するために、通信相手ノード（ＣＮ）１-３が接続されているネットワーク１-ｃのゲートウェイ（ＧＷ）１-４に送信するためのＭＮ送信パケットを生成する。

その生成にあたっては、ホームエージェント（ＨＡ）１-２と通信相手ノード（ＣＮ）１-３が接続されているネットワーク１-ｃとはＩＰsecトンネル３のＶＰＮによって接続され、ホームエージェント（ＨＡ）１-２とネットワーク１-ｃのゲートウェイ（ＧＷ）１-４との間の伝送路２には、トンネルモードのＩＰsecによるセキュリティアソシエーション（ＳＡ）が生成されているため、ホームエージェント（ＨＡ）１-２は、復号化した通信相手ノード（ＣＮ）１-３へのＭＮ送信パケットを、このセキュリティアソシエーション（ＳＡ）によるセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｉで暗号化して生成する。

そして、ホームエージェント（ＨＡ）１-２は、この生成したＭＮ送信パケット７-１１をネットワーク１-ｃのゲートウェイ（ＧＷ）１-４に送信する。

ゲートウェイ（ＧＷ）１-４は、このホームエージェント（ＨＡ）１-２から送信されたＭＮ送信パケット７-１２のセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｉを識別し、その暗号化を解いて、移動ノード（ＭＮ）１-１からの送信パケットを通信相手ノード（ＣＮ）５-３に届ける。

これに対し、通信相手ノード（ＣＮ）５-３は、移動ノード（ＭＮ）１-１へ送信するパケットを、通常のＩＰパケットでゲートウェイ（ＧＷ）１-４に送信する。

ゲートウェイ（ＧＷ）１-４は、この通信相手ノード（ＣＮ）１-３から移動ノード（ＭＮ）１-１への送信パケットを、伝送路２のＩＰsecトンネル３のＶＰＮに基づくセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｊで暗号化して、ホームエージェント（ＨＡ）１-２宛のＣＮ送信パケット７-１３を生成する。

そして、ゲートウェイ（ＧＷ）１-４は、この生成したＣＮ送信パケット７-１３をホームエージェント（ＨＡ）１-２に送信する。

ホームエージェント（ＨＡ）１-２は、このゲートウェイ（ＧＷ）１-４から受信したパケットのセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｊを識別し、通信相手ノード（ＣＮ）５-３からの移動ノード（ＭＮ）１-１へのＣＮ送信パケット７-１３をセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｊで復号化し、これを移動ノード（ＭＮ）１-１に送信するためのＣＮ送信パケットに生成する。

その生成にあたっては、ホームエージェント（ＨＡ）１-２と移動ノード（ＭＮ）１-１との間の伝送路１には、トランスポートモードのＩＰsecによるセキュリティアソシエーション（ＳＡ）が生成されているため、ホームエージェント（ＨＡ）１-２は、復号化した通信相手ノード（ＣＮ）１-３へのＣＮ送信パケットを、このセキュリティアソシエーション（ＳＡ）によるセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｆで暗号化して生成する。そして、ホームエージェント（ＨＡ）１-２は、この生成したＣＮ送信パケット７-１４を移動ノード（ＭＮ）１-１に送信する。

移動ノード（ＭＮ）１-１は、このホームエージェント（ＨＡ）１-２から送信されたＣＮ送信パケット７-１４のセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｆを識別し、その暗号化を解いて、通信相手ノード（ＣＮ）１-３からのＣＮ送信パケットを受信する。

そして、この一連のシーケンスにおいて、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３との間で上述したようにパケットを送受信する際、以下の何れかの判断を行うことによってパケットを送受信している。

移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３のアドレスと、通信相手ノード（ＣＮ）１-３との図６のステップＳ３０に示した経路最適化手順（ＲＲ手順）が終了していないことにより、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間のトランスポートモードのＩＰsecによるセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝での暗号化を行わずに、図１３に示したＭＮ送信パケット７-１１をホームエージェント（ＨＡ）１-２に送信し、又はホームエージェント（ＨＡ）１-２から図１３に示したＭＮ送信パケット７-１４を受信する。

また、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３のネットワークプリフィックスと、通信相手ノード（ＣＮ）１-３との経路最適化手順（ＲＲ手順）が終了していないことにより、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３のと間のトランスポートモードのＩＰsecによる暗号化を行わずに、図１３に示したＭＮ送信パケット７-１１をホームエージェント（ＨＡ）１-２に送信し、又はホームエージェント（ＨＡ）１-２から図１３に示したＭＮ送信パケット７-１４を受信する。

また、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３のアドレスと、通信相手ノード（ＣＮ）１-３へのパケットをホームエージェント（ＨＡ）１-２経由で送信する場合には、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３のと間のトランスポートモードのＩＰsecによる暗号化を行わずに、図１３に示したＭＮ送信パケット７-１１をホームエージェント（ＨＡ）１-２に送信し、又はホームエージェント（ＨＡ）１-２から図１３に示したＭＮ送信パケット７-１４を受信する。

また、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３のネットワークプリフィックスと、通信相手ノード（ＣＮ）１-３へのパケットをホームエージェント（ＨＡ）１-２経由で送信する場合には、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間のトランスポートモードのＩＰsecによる暗号化を行わずに、図１３に示したＭＮ送信パケット７-１１をホームエージェント（ＨＡ）１-２に送信し、又はホームエージェント（ＨＡ）１-２から図１３に示したＭＮ送信パケット７-１４を受信する。

そして、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３との経路最適化手順（ＲＲ手順）が終了していないことを判断するにあたっては、通信相手ノード（ＣＮ）１-３に対するバインディング・アップデート・リスト１６を保持していないこと、又はＲＲ手順の最終ステップで送信する通信相手ノード（ＣＮ）１-３への位置登録メッセージ（ＢＵ）７-９が未送信であることから判断している。

これに対して、この一連のシーケンスにおいて、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１との間で上述したようにパケットを送受信する際、以下の何れかの判断を行うことによってパケットを送受信している。

通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１のアドレスと、移動ノード（ＭＮ）１-１との図６のステップＳ３０に示した経路最適化手順（ＲＲ手順）が終了していないことにより、移動ノード（ＣＮ）１-３と通信相手ノード（ＣＮ）１-３との間のトランスポートモードのＩＰsecによる暗号化を行わずに、図１３に示したＣＮ送信パケット７-１２をホームエージェント（ＨＡ）１-２から受信し、又はホームエージェント（ＨＡ）１-２に図１３に示したＭＮ送信パケット７-１３を送信する。

また、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１のネットワークプリフィックスと、移動ノード（ＭＮ）１-１との経路最適化手順（ＲＲ手順）が終了していないことにより、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間のトランスポートモードのＩＰsecによる暗号化を行わずに、図１３に示したＣＮ送信パケット７-１２をホームエージェント（ＨＡ）１-２から受信し、又はホームエージェント（ＨＡ）１-２に図１３に示したＭＮ送信パケット７-１３を送信する。

また、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１のアドレス、移動ノード（ＭＮ）１-１へのパケットをルーティング・オプション・ヘッダを付加しない通常のＩＰパケットフォーマットで送信する場合には、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間のトランスポートモードのＩＰsecによる暗号化を行わずに、図１３に示したＣＮ送信パケット７-１２をホームエージェント（ＨＡ）１-２から受信し、又はホームエージェント（ＨＡ）１-２に図１３に示したＭＮ送信パケット７-１３を送信する。

また、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１が、通信相手ノード（ＣＮ）１-３のネットワークプリフィックスと、通信相手ノード（ＣＮ）１-３へのパケットをルーティング・オプション・ヘッダを付加しない通常のＩＰパケットフォーマットで送信する場合には、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間のトランスポートモードのＩＰsecによる暗号化を行わずに、図１３に示したＣＮ送信パケット７-１２をホームエージェント（ＨＡ）１-２から受信し、又はホームエージェント（ＨＡ）１-２に図１３に示したＭＮ送信パケット７-１３を送信する。

そして、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１との経路最適化手順（ＲＲ手順）が終了していないことを判断するにあたっては、移動ノード（ＭＮ）１-１に対するバインディング・キャッシュ・エントリを保持していないこと、又はＲＲ手順の最終ステップで受信する通信相手ノード（ＣＮ）１-３への位置登録メッセージ（ＢＵ）７-９が未受信であることから判断している。

上述したようにして、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３とが、ホームエージェント（ＨＡ）１-２経由で通信を行えた際、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３とは、図６のステップＳ３０に示した経路最適化手順（ＲＲ手順）を行う。

この経路最適化手順（ＲＲ手順）は、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間で、次のようにして行われる。

移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３へホーム試験開始メッセージ（ＨｏＴＩ）７-３をホームエージェント（ＨＡ）１-２を介して送信する。その際、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３へ、移動ノード（ＭＮ）１-１とホームエージェント（ＨＡ）１-２との間のトンネルモードのＩＰsecにより生成されるセキュリティパラメータインデックスＳＰＩ＝ｃで暗号化されたホーム試験開始メッセージ（ＨｏＴＩ）７-３を送信する。

ホームエージェント（ＨＡ）１-２は、受信パケットをセキュリティパラメータインデックスＳＰＩ＝ｃで識別し復号化した後、仮想専用線ＶＰＮを経由して、ゲートウェイ（ＧＷ）１-４へ送信する。その際、送信パケットは、セキュリティパラメータインデックスＳＰＩ＝ｉで暗号化され、ホーム試験開始メッセージ（ＨｏＴＩ）７-３の如くのパケットフォーマットで、ゲートウェイ（ＧＷ）１-４送信される。

パケットを受信したゲートウェイ（ＧＷ）１-４は、受信パケットがホーム試験開始メッセージ（ＨｏＴＩ）７-３であることをそのセキュリティパラメータインデックスＳＰＩ＝ｉで識別し、復号化して通信相手ノード（ＣＮ）１-３へ送信することで、通信相手ノード（ＣＮ）１-３は移動ノード（ＭＮ）１-１の送信するホーム試験開始メッセージ（ＨｏＴＩ）を受信する。

また、移動ノード（ＭＮ）１-１は、ホームエージェント（ＨＡ）１-２を介することなく、立ち寄り試験開始メッセージ（ＣｏＴＩ）７-５を、通信相手ノード（ＣＮ）１-３へ送信する。この立ち寄り試験開始メッセージ（ＣｏＴＩ）７-５は、そのまま通信相手ノード（ＣＮ）１-３まで到達する。

通信相手ノード（ＣＮ）１-３は、ホーム試験開始メッセージ（ＨｏＴＩ）の受信後、移動ノード（ＭＮ）１-１へホームエージェント（ＨＡ）１-２を介してホーム試験メッセージ（ＨｏＴ）を送信する。

通信相手ノード（ＣＮ）１-３が送信したホーム試験メッセージ（ＨｏＴ）の送信パケットを、ゲートウェイ（ＧＷ）１-４は仮想専用線ＶＰＮを介してホームエージェント（ＨＡ）１-２へ送信する。その際、送信メッセージは、セキュリティパラメータインデックスＳＰＩ＝ｊで暗号化され、その送信パケットは、ホーム試験メッセージ（ＨｏＴ）７-６で示した如くのパケットフォーマットで、ホームエージェント（ＨＡ）１-２に送信される。

ホームエージェント（ＨＡ）１-２は、受信パケットがホーム試験メッセージ（ＨｏＴ）７-６であることをセキュリティパラメータインデックスＳＰＩ＝ｊで識別し、復号化後、移動ノード（ＭＮ）１-１とホームエージェント（ＨＡ）１-２と間のトンネルモードのＩＰsecにより生成されるセキュリティパラメータインデックスＳＰＩ＝ｄで暗号化して、移動ノード（ＭＮ）１-１に、ホーム試験メッセージ（ＨｏＴ）７-７で示した如くのパケットフォーマットで送信する。

移動ノード（ＭＮ）１-１は、受信パケットがホーム試験メッセージ（ＨｏＴ）７-７であることをそのセキュリティパラメータインデックスＳＰＩ＝ｄで識別し、復号化することで、通信相手ノード（ＣＮ）１-３からのホーム試験メッセージ（ＨｏＴ）を受信する。

また、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１へホームエージェント（ＨＡ）１-２を介すことなく立ち寄り試験メッセージ（ＣｏＴ）７-８を送信する。この立ち寄り試験メッセージ（ＣｏＴ）７-８は、そのまま移動ノード（ＭＮ）１-１まで到達する。

移動ノード（ＭＮ）１-１は、ホーム試験メッセージ（ＨｏＴ）７-７、立ち寄り試験メッセージ（ＣｏＴ）７-８の受信後、通信相手ノード（ＣＮ）１-３にＲＲ処理（経路最適化処理）完了を示す位置登録メッセージ（ＢＵ）７-９を送信する。この位置登録メッセージ（ＢＵ）７-９は、そのまま通信相手ノード（ＣＮ）１-３まで到達する。

移動ノード（ＭＮ）１-１は、位置登録メッセージ（ＢＵ）７-９の送信後、通信相手ノード（ＣＮ）１-３のアドレスで識別されるバインディング・アップデート・リスト１６を保持する。さらに、移動ノード（ＭＮ）１-１は、位置登録メッセージ（ＢＵ）７-９内に含まれるライフタイムをカウントしながら維持する。

通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１からの位置登録メッセージ（ＢＵ）７-９の受信後、この位置登録メッセージ（ＢＵ）内に含まれる情報により確認を求められる場合には、移動ノード（ＭＮ）１-１へ位置登録確認メッセージ（ＢＡ）７-１０を送信する。この位置登録確認メッセージ（ＢＡ）７-１０は、そのまま移動ノード（ＭＮ）１-１まで到達する。

通信相手ノード（ＣＮ）１-３は、この位置登録メッセージ（ＢＡ）７-１０の受信後、移動ノード（ＭＮ）１-１のアドレスで識別されるバインディング・キャッシュ・エントリ３６を保持する。さらに、通信相手ノード（ＣＮ）１-３は、位置登録メッセージ（ＢＵ）内に含まれるライフタイムをカウントしながら維持する。

移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３とは、バインディング・アップデート・リスト１６及びバインディング・キャッシュ・エントリ３６のライフタイムを維持することで、最適経路（伝送路３）で通信をし続ける。

移動ノード（ＭＮ）１-１又は通信相手ノード（ＣＮ）１-３は、保持されている双方相手方のライフタイムが期限切れした場合、又はライフタイム更新を望む場合には、上記説明したＲＲ処理を再度行う。

以上で、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間で行われる経路最適化手順（ＲＲ手順）は終了する。

このＲＲ手順終了後、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３への送信パケットを最適な経路（伝送路３）で送信する。移動ノード（ＭＮ）１-１からの送信パケットは、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間のトランスポートモードのＩＰsecで暗号化されて送信される。移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間のトランスポートモードのＩＰsecは、セキュリティパラメータインデックスＳＰＩ＝ｇで識別される。移動ノード（ＭＮ）１-１からの送信パケットは、トランスポートモードのＩＰsecトンネル２を、ＭＮ送信パケット７-１５に示したパケットフォーマットで送信される。このＭＮ送信パケット７-１５は、そのまま通信相手ノード（ＣＮ）１-３まで到達する。

通信相手ノード（ＣＮ）１-３は、受信パケットが最適な経路（伝送路３）を介してのＭＮ送信パケット７-１５であることを、そのセキュリティパラメータインデックスＳＰＩ＝ｇで識別し、復号化して受信する。

同様にして、ＲＲ手順終了後、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１への送信パケットを最適な経路（伝送路３）で送信する。

通信相手ノード（ＣＮ）１-３からのの送信パケットは、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間のトランスポートモードのＩＰsecで暗号化されて送信される。移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間のトランスポートモードのＩＰsecは、セキュリティパラメータインデックスＳＰＩ＝ｈで識別される。通信相手ノード（ＣＮ）１-３からの送信パケットは、トランスポートモードのＩＰsecトンネル２を、ＭＮ送信パケット７-１６に示したパケットフォーマットで送信される。このＭＮ送信パケット７-１６は、そのまま移動ノード（ＭＮ）１-１まで到達する。

移動ノード（ＭＮ）１-１は、受信パケットが最適な経路（伝送路３）を介してのＭＮ送信パケット７-１６であることを、そのセキュリティパラメータインデックスＳＰＩ＝ｈで識別し、復号化して受信する。

そして、この一連のシーケンスにおいて、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３との間で上述したようにパケットを送受信する際、以下の何れかの判断を行うことによってパケットを送受信している。

移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３のアドレスと、通信相手ノード（ＣＮ）１-３との経路最適化手順（ＲＲ手順）が終了していること確認することにより、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間のトランスポートモードのＩＰsecによる暗号化を行い、図１３に示したＭＮ送信パケット７-１５を通信相手ノード（ＣＮ）１-３に送信し、又は通信相手ノード（ＣＮ）１-３から図１３に示したＣＮ送信パケット７-１６を受信する。

また、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３のネットワークプリフィックスと、通信相手ノード（ＣＮ）１-３との経路最適化手順（ＲＲ手順）が終了していていることを確認することにより、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間のトランスポートモードのＩＰsecによる暗号化を行い、図１３に示したＭＮ送信パケット７-１５を通信相手ノード（ＣＮ）１-３に送信し、又は通信相手ノード（ＣＮ）１-３から図１３に示したＣＮ送信パケット７-１６を受信する。

また、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３のアドレスと、通信相手ノード（ＣＮ）１-３へのパケットをホームエージェント（ＨＡ）１-２経由で送信しない場合には、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間のトランスポートモードのＩＰsecによる暗号化を行い、図１３に示したＭＮ送信パケット７-１５を通信相手ノード（ＣＮ）１-３に送信し、又は通信相手ノード（ＣＮ）１-３から図１３に示したＣＮ送信パケット７-１６を受信する。

また、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３のネットワークプリフィックスと、通信相手ノード（ＣＮ）１-３へのパケットをホームエージェント（ＨＡ）１-２経由で送信しない場合には、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間のトランスポートモードのＩＰsecによる暗号化を行い、図１３に示したＭＮ送信パケット７-１５を通信相手ノード（ＣＮ）１-３に送信し、又は通信相手ノード（ＣＮ）１-３から図１３に示したＣＮ送信パケット７-１６を受信する。

そして、移動ノード（ＭＮ）１-１は、通信相手ノード（ＣＮ）１-３との経路最適化手順（ＲＲ手順）が終了していることを判断するにあたっては、通信相手ノード（ＣＮ）１-３に対するバインディング・アップデート・リスト１６を保持すること、ＲＲ手順の最終ステップで送信する通信相手ノード（ＣＮ）１-３への位置登録メッセージ（ＢＵ）７-９をすでに送信していることから判断している。

これに対して、この一連のシーケンスにおいて、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１との間で上述したようにパケットを送受信する際、以下の何れかの判断を行うことによってパケットを送受信している。

通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１のアドレスと、移動ノード（ＭＮ）１-１との経路最適化手順（ＲＲ手順）が終了していることを確認し、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間のトランスポートモードのＩＰsecによる暗号化を行い、図１３に示したＭＮ送信パケット７-１５を移動ノード（ＭＮ）１-１から受信し、又は移動ノード（ＭＮ）１-１に図１３に示したＣＮ送信パケット７-１６を送信する。

また、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１のネットワークプリフィックスと、移動ノード（ＭＮ）１-１との経路最適化手順（ＲＲ手順）が終了していることを確認し、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間のトランスポートモードのＩＰsecによる暗号化を行い、図１３に示したＭＮ送信パケット７-１５を移動ノード（ＭＮ）１-１から受信し、又は移動ノード（ＭＮ）１-１に図１３に示したＣＮ送信パケット７-１６を送信する。

また、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１のアドレス、移動ノード（ＭＮ）１-１へのパケットを通常のＩＰパケットフォーマットではなく、ルーティング・オプション・タイプ２ヘッダを付加する送信を行う場合には、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間のトランスポートモードのＩＰsecによる暗号化を行い、図１３に示したＭＮ送信パケット７-１５を移動ノード（ＭＮ）１-１から受信し、又は移動ノード（ＭＮ）１-１に図１３に示したＣＮ送信パケット７-１６を送信する。

また、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１が、通信相手ノード（ＣＮ）１-３のネットワークプリフィックスと、移動ノード（ＭＮ）１-１へのパケットを通常のＩＰパケットフォーマットではなく、ルーティング・オプション・タイプ２ヘッダＲＴ２を付加して送信する場合には、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３の間のトランスポートモードのＩＰsecによる暗号化を行い、図１３に示したＣＮ送信パケット７-１５を移動ノード（ＭＮ）１-１から受信し、又は移動ノード（ＭＮ）１-１に図１３に示したＣＮ送信パケット７-１６を送信する。

そして、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１との経路最適化手順（ＲＲ手順）が終了していないことを判断するにあたっては、移動ノード（ＭＮ）１-１に対するバインディング・キャッシュ・エントリ３６を保持すること、ＲＲ手順の最終ステップで受信する移動ノード（ＭＮ）１-１からの位置登録メッセージ（ＢＵ）を受信しているであることから判断している。

上述したようにして、移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３とは、安全な通信を確立することができる。

次に、本発明の別の実施形態について、図面に基づき説明する。その説明にあたっては、図１４に示すようなMobile ＩＰｖ６にＶＰＮを適用したネットワークモデルを基に説明する。

図１４は、本発明の別の実施の形態としての移動通信装置、相手先通信装置、及びゲートウェイ装置を備えたネットワークモデルの一例の構成図である。

本実施の形態では、Mobile ＩＰｖ６にＶＰＮを適用したネットワークモデルにおいて、移動ノード（ＭＮ）８-１のネットワーク間の移動をサポートするプロバイダ（ＩＳＰ）のネットワーク８-ａ内にホームエージェント（ＨＡ）８-２が設置され、移動ノード（ＭＮ）８-１が頻繁に通信を行うネットワーク８-ｃのゲートウェイ（ＧＷ）８-４とホームエージェント（ＨＡ）８-２との間はＶＰＮ接続がされている構成を想定する。

本実施の形態では、前述した実施の形態が、移動ノード（ＭＮ）１−１と通信相手ノード（ＣＮ）１-３がトランスポートモードのＩＰＳｅｃにより通信データを暗号化したのに対し、移動ノード（ＭＮ）８−１は、移動ノード(ＭＮ)８−１と通信相手ノード（ＣＮ）の間の通信を、移動ノード（ＭＮ）とゲートウェイ（ＧＷ）８−４との間のトンネルモードのＩＰＳｅｃにより暗号化する。

なお、このゲートウェイ（ＧＷ）８-４は、ＴＣＰ／ＩＰモジュール、Mobile ＩＰｖ６モジュール、ＩＰsecモジュール、通信インターフェースを備えた計算機装置機能を有する点では、移動ノード（ＭＮ）１-１，８-１を構成する計算機装置、又はホームエージェント（ＨＡ）１-２，８-２と同様なので、その構成についての詳細な説明は省略する。

次に、本実施の形態の移動ノード（ＭＮ）１-１、ゲートウェイ（ＧＷ）８-４のそれぞれ機能について説明する。

移動ノード（ＭＮ）８-１は、Mobile ＩＰｖ６の仕組みが提供するホームエージェント（ＨＡ）８-２を経由する経路（伝送路１、伝送路２）と、最適化された経路（伝送路３）を判別して、移動ノード（ＭＮ）８-１と通信相手ノード（ＣＮ）１-３との間の暗号化の有無を決定する。

移動ノード（ＭＮ）８-１は、移動ノード（ＭＮ）８-１と通信相手ノード（ＣＮ）８-３との間での通信データの暗号化／復号化を行うか否かを、パケット送受信時に以下の手順で判断する。

手順０１）
移動ノード（ＭＮ）８-１は、本機能を使用する通信ゲートウェイ（ＧＷ）８-４のアドレスリストを持ち、パケットの宛先（ＤＳＴ）のアドレスで識別される通信相手ノード（ＣＮ）８-３が接続するネットワーク８-ｃのゲートウェイ（ＧＷ）８-４と適合するかを判断する。

手順０２）
手順０１において、送信したパケットの宛先（ＤＳＴ）又は受信した受信送信元（ＳＲＣ）のアドレスがアドレスリストに適合した場合、移動ノード（ＭＮ）８-１と通信相手ノード（ＣＮ）８-３が最適な経路（伝送路３）でパケットを送受信する状態か否かを判断する。

手順０３）
手順０２において、最適経路（伝送路３）でパケットの送受信できる状態の場合、移動ノード（ＭＮ）８-１は、ゲートウェイ（ＧＷ）８-４との間で生成したセキュリティアソシエーション（ＳＡ）のセキュリティパラメータインデックス（ＳＰＩ）で、パケットを暗号化して送信したり（ＳＰＩ＝ｇ）、又は受信して復号化したりする（ＳＰＩ＝ｈ）。なお、手順０２において、最適経路（伝送路３）でパケットを送受信できない状態の場合、移動ノード（ＭＮ）８-１は、ゲートウェイ（ＧＷ）８-４との間で生成したセキュリティアソシエーション（ＳＡ）によるセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｇ，ＳＰＩ＝ｈで暗号化／復号化せずに、パケットを送受信する。

ここで、上記した手順０１におけるアドレスの適合は、以下のいずれかの比較又はその組み合わせで行う。

・ 移動ノード（ＭＮ）８-１は、通信相手ノード（ＣＮ）８-３のＩＰｖ６アドレスのリストと、通信相手ノード（ＣＮ）８-３のアドレスに対するゲートウェイ（ＧＷ）８-４のアドレスのリストを有し、送信パケットの宛先（ＤＳＴ）のアドレス又は受信パケットの送信元（ＳＲＣ）のアドレスと、通信相手ノード（ＣＮ）８-３のアドレスのリストとを比較し、適合した場合には、通信相手ノード（ＣＮ）８-３に対するゲートウェイ（ＧＷ）８-４のアドレスをリストから取得する。

・ 移動ノード（ＭＮ）８-１は、通信相手ノード（ＣＮ）８-３のＩＰｖ６アドレスプリフィックスのリストと通信相手ノード（ＣＮ）８-３のアドレスプリフィックスに対するゲートウェイ（ＧＷ）８-４のアドレスリストを有し、送信パケットの宛先（ＤＳＴ）のアドレス又は受信パケットの送信元（ＳＲＣ）のアドレスのプリフィックス部分と比較して、適合した場合にはアドレスプリフィックスに対するゲートウェイ（ＧＷ）８-４のアドレスを取得する。

・ 移動ノード（ＭＮ）８-１はゲートウェイ（ＧＷ）８-４のアドレスリストを有し、送信パケットの宛先（ＤＳＴ）のアドレス又は受信パケットの送信元（ＳＲＣ）のアドレスのプリフィックス部分と、ゲートウェイ（ＧＷ）８-４のアドレスのプリフィックス部分とを比較して、適合した場合には適合したゲートウェイ（ＧＷ）８-４のアドレスを取得する
また、上記した手順０２における、最適な経路（伝送路３）でパケットを送受信する状態か否かについての判断方法は、次のように行う。

まず、移動ノード（ＭＮ）８-１は、最適経路通信可能な状態を、次のいずれかの状態の検出、又はその組み合わせで判断する。

・ 通信相手ノード（ＣＮ）８-３へＲＲ手順（図６，ステップＳ３０）の最終段階の位置登録メッセージ（ＢＵ）を送信している場合（図１２の位置登録メッセージ（ＢＵ）７-９が対応）。

・ パケット処理部が経路最適化した場合のパケットヘッダを生成している場合のパケット、具体的には、ＩＰヘッダの送信元（ＳＲＣ）のアドレスを移動ノード（ＭＮ）８-１が移動先で取得したアドレス（ＣｏＡ）とし、送信先（ＤＳＴ）のアドレスが通信相手ノード（ＣＮ）８-３のアドレスで、ＩＰヘッダの後にデスティネーション・オプション・ヘッダ（Dest Opt Header）が付与されているパケットを生成している場合（図１２の位置登録メッセージ（ＢＵ）７-９が対応）。

・ 移動ノード（ＭＮ）８-１は、通信相手ノード（ＣＮ）８-３に対するバインディング・アップデート・リストのライフタイム値が有効値（０以上）である場合。

これに対し、移動ノード（ＭＮ）８-１は、最適経路通信可能な状態でないことを、次のいずれかの状態の検出、又はその組み合わせで判断する。

・ 図６のステップＳ１０に示したホームエージェント（ＨＡ）１-２に対しての位置登録処理後、通信相手ノード（ＣＮ）８-３とのステップＳ３０に示したＲＲ手順が未処理である場合。

・ パケット処理部がホームエージェント（ＨＡ）８-２に対してトンネル経由で送信するパケットヘッダを生成している場合。

・ 移動ノード（ＭＮ）８-１は、通信相手ノード（ＣＮ）８-３に対するバインディング・アップデート・リスト１６がない場合、最適経路通信ができない状態と判断する
・ 移動ノード（ＭＮ）８-１は、通信相手ノード（ＣＮ）８-３に対するバインディング・アップデート・リスト１６のライフタイム値が無効値（０）である場合。

ここで、上述した、ホームエージェント（ＨＡ）８-２に対してトンネル経由で送信するパケットとしては、次のようなパケットが該当する。

・・ ＩＰヘッダの送信元（ＳＲＣ）のアドレスがホームアドレス（ＨｏＡ）で、送信先ＤＳＴのアドレスが通信相手ノード（ＣＮ）８-３のアドレスである場合（例えば、図１２のホーム試験開始メッセージ７-３，７-４や図１３のＭＮ送信パケット７-１１中にカプセルリングされるパケットが対応）。

・・ 上記ヘッダを送信元（ＳＲＣ）のアドレスが移動先アドレス（ＣｏＡ）で、送信先ＤＳＴのアドレスがホームエージェント（ＨＡ）８-２のアドレス（ＨＡ）のＩＰヘッダでカプセリングしている場合（例えば、図１３のＭＮ送信パケット７-１１が対応）
そして、上記した手順１に適合しない場合は、移動ノード（ＭＮ）８-１は、ゲートウェイ（ＧＷ）８-４は本機能を持たないゲートウェイ（ＧＷ）であると判断し、通信相手ノード（ＣＮ）８-３への２つの何れの経路においても同様の暗号化の有無で通信を行う。

同様に、ゲートウェイ（ＧＷ）８-３も、Mobile ＩＰｖ６の仕組みが提供するホームエージェント（ＨＡ）８-２を経由する経路（伝送路１、伝送路２）と、最適化された経路（伝送路３）を判別して、移動ノード（ＭＮ）８-１と通信相手ノード（ＣＮ）１-３との間の暗号化の有無を決定する。

ゲートウェイ（ＧＷ）８-４は、移動ノード（ＭＮ）８-１とゲートウェイ（ＧＷ）８-４との間での通信データの暗号化を行うか否かを、パケット送受信で以下の手順で判断する。

手順０１）
本機能を使用する移動ノード（ＭＮ）８-１のアドレスリストを有し、送信パケットの宛先（ＤＳＴ）のアドレス又は受信パケットの送信元（ＳＲＣ）のアドレスがこのアドレスリストに記録されているアドレスに適合するか否かを判断する。

手順０２）
手順０１において、送信パケットの宛先（ＤＳＴ）又は受信パケットの送信元（ＳＲＣ）のアドレスがアドレスリストに適合した場合、移動ノード（ＭＮ）８-１と通信相手ノード（ＣＮ）８-３が最適な経路でパケットを送受信できる状態か否かを判断する

手順０３）
手順０２において、最適経路（伝送路３）でパケットの送受信できる状態の場合、ゲートウェイ（ＧＷ）８-４は、移動ノード（ＭＮ）８-１との間で生成したセキュリティアソシエーション（ＳＡ）でパケットを暗号化して送信したり（ＳＰＩ＝ｈ）、又は受信して復号化したりする（ＳＰＩ＝ｇ）。なお、手順０２において、最適経路（伝送路３）でパケットを送受信できない状態の場合、ゲートウェイ（ＧＷ）８-４は、移動ノード（ＭＮ）１-１との間で生成したセキュリティアソシエーション（ＳＡ）によるセキュリティパラメータインデックス（ＳＰＩ）のＳＰＩ＝ｈ，ＳＰＩ＝ｇで暗号化／復号化せずに、パケットを送受信する。

ここで、上記した手順０１におけるアドレスの適合は、以下のいずれかの比較又はその組み合わせで行う。

・ ゲートウェイ（ＧＷ）８-４は、移動ノード（ＭＮ）８-１のＩＰｖ６アドレスのリストを有し、送信パケットの宛先（ＤＳＴ）のアドレス又は受信パケットの送信元（ＳＲＣ）のアドレスと比較する。

・ 移動ノード（ＭＮ）８-１のＩＰｖ６のアドレスプリフィックス部分のリストを有し、送信パケットの宛先（ＤＳＴ）のアドレス又は受信パケットの送信元（ＳＲＣ）のアドレスのアドレスプリフェックス部分と比較する。

また、上記した手順０２における、最適な経路（伝送路３）でパケットを送受信する状態か否かについての判断方法は、次のように行う。

・ パケット処理部が経路最適化した場合のパケットヘッダを生成している場合、具体的には、送信元（ＳＲＣ）のアドレスが通信相手ノード（ＣＮ）８-３のアドレスで、送信先（ＤＳＴ）のアドレスが移動ノード（ＭＮ）８-１の移動先アドレス（ＣｏＡ）のＩＰヘッダで、ＩＰヘッダのあとにルーティング・オプション・タイプ２ヘッダすなわちＲＴ２ヘッダが付与されている場合（図１２の位置登録確認メッセージ（ＢＵ）７-１０が対応）。

これに対し、ゲートウェイ（ＧＷ）８-４は、最適経路通信可能な状態できないことを、 ・ パケット処理部がホームエージェント（ＨＡ）８-２に対してトンネル経由で送信するパケットヘッダを生成している場合、
で判断する。

具体的に、ホームエージェント（ＨＡ）１-２に対してトンネル経由で送信するパケットとしては、次のようなパケットが該当する。

・・ 送信元（ＳＲＣ）のアドレスが通信相手ノード（ＣＮ）８-３のアドレス（ＣＮ）で、送信先ＤＳＴのアドレスが移動ノード（ＭＮ）８-１のホームアドレス（ＨｏＡ）のＩＰヘッダのパケット（図７の７-１３？）。

・・ ＩＰヘッダの後にルーティング・オプション・タイプ２ヘッダが付与されていない場合のパケット（図７の７-１３？）
そして、上記した手順１に適合しない場合は、通信相手ノード（ＣＮ）１-３は、移動ノード（ＭＮ）１-１は本機能を持たないノードであると判断し、２つの何れの経路においても同様の暗号化の有無で通信を行う。

次に、上述した機能をそれぞれ有する移動ノード（ＭＮ）１-１と通信相手ノード（ＣＮ）１-３との間のゲートウェイ（ＧＷ）８-４を介しての通信確立について説明する。

本実施の形態では、複数のネットワーク８-ａ，８-ｂ，８-ｃが相互接続され、移動ノード（ＭＮ）８-１が、ホームネットワーク８-ｂから外部ネットワーク８-ｂに移動する。

ネットワーク８-ａには、移動ノード（ＭＮ）８-１の移動管理を行うホームエージェント（ＨＡ）８-２が接続されている。移動ノード（ＭＮ）８-１が外部ネットワーク８-ｂに移動した際、通信相手ノード（ＣＮ）８-３と通信する場合を例にとって説明する。

移動ノード（ＣＮ）８-１がホームネットワーク８-ａから外部ネットワーク８-ｂに移動し、ホームエージェント（ＨＡ）８-２に対して行う位置登録手順、及びホームエージェント（ＨＡ）８-２を経由して通信する通信相手ノード（ＣＮ）１-３と通信する手段及びＲＲ手順は、第一の実施の形態の場合と同様の処理となる。そのためここでは詳細の記述を省略する。

ＲＲ手順終了後、通信相手ノード（ＣＮ）８-３は、移動ノード（ＭＮ）８-１への送信パケットを最適な経路で送信する。

送信パケットは、移動ノード（ＭＮ）８-１とゲートウェイ（ＧＷ）８-４との間のトンネルモードのＩＰsecで暗号化して送信する。

移動ノード（ＭＮ）８-１とゲートウェイ（ＧＷ）８-４との間のトンネルモードのＩＰsecは、セキュリティパラメータインデックスＳＰＩ＝ｈで識別される。

図１５は、本実施の形態の移動ノード（ＭＮ）、ホームエージェント（ＨＡ）、通信相手ノード（ＣＮ）によるMobile ＩＰｖ６のパケットフォーマットを示した図である。

移動ノード（ＭＮ）８-１は、図１５に示したＭＮ送信パケット９-１５を、ゲートウェイ（ＧＷ）８-４に送信する。

ゲートウェイ（ＧＷ）８-４は、受信したパケットがＭＮ送信パケット９-１５であることをセキュリティパラメータインデックスＳＰＩ＝ｇで識別し、復号化して通信相手ノード（ＣＮ）８-３へ送信することで、通信相手ノード（ＣＮ）８-３まで到達する。

通信相手ノード（ＣＮ）８-３が移動ノード（ＭＮ）８-１へ送信したパケットは、ゲートウェイ（ＧＷ）８-４により、移動ノード（ＭＮ）８-１とゲートウェイ（ＧＷ）８-４との間のトンネルモードのＩＰsecで暗号化して送信する。

移動ノード（ＭＮ）８-１とゲートウェイ（ＧＷ）８-４との間のトンネルモードのＩＰsecは、セキュリティパラメータインデックスＳＰＩ＝ｈで識別される。

ゲートウェイ（ＧＷ）８-４は、図１５に示したＣＮ送信パケット９-１６を、移動ノード（ＭＮ）８-１に送信する。

移動ノード（ＭＮ）８-１は、受信したパケットをセキュリティパラメータインデックスＳＰＩ＝ｈで識別し、復号化することで受信する。

この一連の動作において、移動ノード（ＭＮ）８-１が通信相手ノード（ＣＮ）８-３とパケットを送受信する際、以下の何れかの判断を行うことでパケットを送受信する。

移動ノード（ＭＮ）８-１は、通信相手ノード（ＣＮ）８-３のアドレスと、通信相手ノード（ＣＮ）８-３との図６のステップＳ３０に示した経路最適化手順（ＲＲ手順）が終了していること確認することにより、移動ノード（ＭＮ）８-１とゲートウェイ（ＧＷ）８-４との間のトンネルモードのＩＰsecによる暗号化を行い、図１５に示したＭＮ送信パケット９-１５をゲートウェイ（ＧＷ）８-４に送信し、又はゲートウェイ（ＧＷ）８-４から図１５に示したＣＮ送信パケット９-１６を受信する。

また、移動ノード（ＭＮ）８-１は、通信相手ノード（ＣＮ）８-３のネットワークプリフィックスと、通信相手ノード（ＣＮ）８-３との経路最適化手順（ＲＲ手順）が終了していていることを確認することにより、移動ノード（ＭＮ）８-１とゲートウェイ（ＧＷ）８-４の間のトンネルモードのＩＰsecによる暗号化を行い、図１５に示したＭＮ送信パケット９-１５をゲートウェイ（ＧＷ）８-４に送信し、又はゲートウェイ（ＧＷ）８-４から図１５に示したＣＮ送信パケット９-１６を受信する。

また、移動ノード（ＭＮ）８-１は、通信相手ノード（ＣＮ）８-３のアドレスと、通信相手ノード（ＣＮ）８-３へのパケットをホームエージェント（ＨＡ）８-２経由で送信しない場合には、移動ノード（ＭＮ）８-１とゲートウェイ（ＧＷ）８-４の間のトンネルモードのＩＰsecによる暗号化を行い、図１５に示したＭＮ送信パケット９-１５をゲートウェイ（ＧＷ）８-４に送信し、又はゲートウェイ（ＧＷ）８-４から図１５に示したＣＮ送信パケット９-１６を受信する。

また、移動ノード（ＭＮ）８-１は、通信相手ノード（ＣＮ）８-３のネットワークプリフィックスと、通信相手ノード（ＣＮ）８-３へのパケットをホームエージェント（ＨＡ）８-２経由で送信しない場合には、移動ノード（ＭＮ）８-１とゲートウェイ（ＧＷ）８-４の間のトンネルモードのＩＰsecによる暗号化を行い、図１５に示したＭＮ送信パケット９-１５をゲートウェイ（ＧＷ）８-４に送信し、又はゲートウェイ（ＧＷ）８-４から図１５に示したＣＮ送信パケット９-１６を受信する。

そして、移動ノード（ＭＮ）８-１は、通信相手ノード（ＣＮ）８-３との経路最適化手順（ＲＲ手順）が終了していることを判断するにあたっては、通信相手ノード（ＣＮ）８-３に対するバインディング・アップデート・リスト１６を保持すること、ＲＲ手順の最終ステップで送信する通信相手ノード（ＣＮ）８-３への位置登録メッセージ（ＢＵ）７-９をすでに送信していることから判断している。

これに対して、この一連のシーケンスにおいて、ゲートウェイ（ＧＷ）８-４は、移動ノード（ＭＮ）８-１との間で上述したようにパケットを送受信する際、以下の何れかの判断を行うことによってパケットを送受信している。

ゲートウェイ（ＧＷ）８-４は、通信相手ノード（ＣＮ）８-３が、移動ノード（ＭＮ）８-１へのパケットを通常のＩＰパケットフォーマットではなく、ルーティング・オプション・タイプ２ヘッダを付加して送信する場合には、移動ノード（ＭＮ）８-１のアドレスにより、移動ノード（ＭＮ）８-１とゲートウェイ（ＧＷ）８-４間のトンネルモードのＩＰsecによる暗号化を行い、図１５に示したＭＮ送信パケット７-１５を移動ノード（ＭＮ）１-１から受信し、又は移動ノード（ＭＮ）１-１に図１３に示したＣＮ送信パケット７-１６を送信する。

また、移動ノード（ＭＮ）８−１がゲートウェイ（ＧＷ）８-４とトンネルモードのＩＰsecのセキュリティアソシエーション（ＳＡ）を生成するためには、互いのＩＰアドレスを知る手段が必要となる。

移動ノード（ＭＮ）８-１がゲートウェイ（ＧＷ）８-４のアドレスを知るための手法としては、移動ノード（ＭＮ）８-１は予め通信相手ノード（ＣＮ）８-３に対するゲートウェイ（ＧＷ）８-４のアドレス情報を保持することで実現する。

もしくは、通信相手ノード（ＣＮ）８−３から移動ノード（ＭＮ）８−１へ通知することで、ゲートウェイ（ＧＷ）８−４のＩＰアドレスを得る。通知の手段にはMobile ＩＰｖ６のＲＲ手順のＢＡにその情報を付加する等の方法が一例となる。

もしくは、ゲートウェイ（ＧＷ）８−４から移動ノード（ＭＮ）８−１へ通知することで、ゲートウェイ（ＧＷ）８−４のＩＰアドレスを得る。ゲートウェイ（ＧＷ）８−４が移動ノード（ＭＮ）８−１と通信相手ノード（ＣＮ）とのＲＲ手順によるMobile ＩＰｖ６制御メッセージが送受信されるのを検知して、移動ノード（ＭＮ）８−１へ通知する等の方法が一例となる。

ゲートウェイ（ＧＷ）８−４が移動ノード（ＭＮ）８−１のＩＰアドレスを得る手法としては、ゲートウェイ（ＧＷ）８−４は予め移動ノード（ＭＮ）８−１のアドレス情報を保持することで実現する。

もしくは、移動ノード（ＭＮ）８−１と通信相手ノード（ＣＮ）８−３とのMobile ＩＰｖ６のＲＲ手順における制御メッセージが送受信されていることを検知して、制御メッセージから移動ノード（ＭＮ）８−１のアドレス情報を得ることで実現する。

以上により、移動ノード（ＭＮ）８-１と通信相手ノード（ＣＮ）８-３は安全な通信を確立する。

本発明の一実施の形態としての移動通信装置、相手先通信装置、及びゲートウェイ装置を備えたネットワークモデルの構成図である。 Mobile ＩＰｖ６方式を構築する最もシンプルなネットワーク構成の一例を示した図である。 Mobile ＩＰｖ６のパケットフォーマットを示した図である。 Mobile ＩＰｖ６のパケットフォーマットを示した図である。 Mobile ＩＰｖ６のパケットフォーマットを示した図である。 Mobile ＩＰｖ６における通信確立までの一連のシーケンス図である。 Mobile ＩＰｖ６とＶＰＮとを適用したネットワークモデルの一例の構成図である。 図７に示したMobile ＩＰｖ６とＶＰＮとを適用したネットワークモデルの一例のパケットフォーマットを示した図である。 図７に示したMobile ＩＰｖ６とＶＰＮとを適用したネットワークモデルの一例のパケットフォーマットを示した図である。 図７に示したMobile ＩＰｖ６とＶＰＮとを適用したネットワークモデルの一例のパケットフォーマットを示した図である。 本実施の形態の移動ノード（ＭＮ）、ホームエージェント（ＨＡ）、通信相手ノード（ＣＮ）によるMobile ＩＰｖ６のパケットフォーマットを示した図である。 本実施の形態の移動ノード（ＭＮ）、ホームエージェント（ＨＡ）、通信相手ノード（ＣＮ）によるMobile ＩＰｖ６のパケットフォーマットを示した図である。 本実施の形態の移動ノード（ＭＮ）、ホームエージェント（ＨＡ）、通信相手ノード（ＣＮ）によるMobile ＩＰｖ６のパケットフォーマットを示した図である。 本発明の別の実施の形態としての移動通信装置、相手先通信装置、及びゲートウェイ装置を備えたネットワークモデルの構成図である。 本実施の形態の移動ノード（ＭＮ）、ホームエージェント（ＨＡ）、通信相手ノード（ＣＮ）によるMobile ＩＰｖ６のパケットフォーマットを示した図である。 図１に示したネットワークモデルにおける移動ノード（ＭＮ）の一実施例の構成図である。 図１に示したネットワークモデルにおけるホームエージェント（ＨＡ）の一実施の形態の構成図である。 図１に示したネットワークモデルにおける通信相手ノード（ＣＮ）の一実施の形態の構成図である。 バインディング・アップデート・リストの構成説明図である。 暗号化データベースの構成説明図である。 バインディング・キャッシュ・エントリの構成説明図である。

符号の説明

２-１，５-１，８-１ 移動ノード（ＭＮ）
２-２，５-２，８-２ ホームエージェント（ＨＡ）
２-３，５-３，８-３ 通信相手ノード（ＣＮ）
２-ａ，５-ａ，８-ａ ホームネットワーク
２-ｂ，５-ｂ，８-ｂ ネットワーク（外部リンク）
２-ｃ，５-ｃ，８-ｃ ネットワーク（外部リンク）
３-１，位置登録メッセージ（ＢＵ）
３-２，位置登録確認メッセージ（ＢＡ）
３-３，３-４ ホーム試験開始メッセージ（ＨｏｔＩ）
３-５ 立ち寄り試験開始メッセージ（ＣｏＴＩ）
３-６，３-７ ホーム試験メッセージ（Ｈｏｔ）
３-８ 立ち寄り試験メッセージ（ＣｏＴ）
３-９，位置登録メッセージ（ＢＵ）
３-１０，位置登録確認メッセージ（ＢＡ）
３-１１，３-１２ ＭＮ送信パケット
３-１３，３-１４ ＣＮ送信パケット
３-１５，３-１６ ＣＮ送信パケット
１１，２１，３１ 計算機装置
１２，２２，３２ ＴＣＰ／ＩＰモジュール
１３，２３，３３ Mobile ＩＰｖ６モジュール
１４，２４，３４ ＩＰsecモジュール
１５，２５，３５ 通信インターフェース
１６ バインディング・アップデート・リスト
１７，２７，３７ 暗号化データベース
２６，３６ バインディング・キャッシュ・エントリ
ＣｏＡ 立ち寄り先アドレス
ＨｏＡ ホームアドレス

Claims (7)

1. ネットワーク間を移動可能な移動通信装置を位置管理する位置管理装置が接続されるネットワークを含む複数のネットワークが相互接続された通信環境で、当該移動通信装置と当該移動通信装置の前記位置管理装置が接続されるネットワークとは別のネットワークに接続される相手先通信装置との間の通信が、前記位置管理装置を経由する経路と前記位置管理装置を経由しない最適経路との複数の通信経路を介して行われる通信システムの、移動側又は相手先として適用される通信装置であって、
   前記位置管理装置を経由する経路で通信相手方と通信を行う場合には、送受信データを暗号化処理して通信せず、前記位置管理装置を経由しない経路で通信相手方と通信を行う場合には、送受信データを暗号化処理して通信する通信処理手段
   を備えていることを特徴とする通信装置。
2. ネットワーク間を移動可能な移動通信装置を位置管理する位置管理装置が接続されるネットワークを含む複数のネットワークが相互接続された通信環境で、当該移動通信装置と当該移動通信装置の前記位置管理装置が接続されるネットワークとは別のネットワークに接続される相手先通信装置との間の通信が、前記位置管理装置を経由する経路と前記位置管理装置を経由しない最適経路との複数の通信経路を介して行われる通信システムの、前記相手先通信装置が接続されるネットワークに設けられるゲートウェイ装置であって、
   前記位置管理装置を経由する経路で通信相手方と通信を行う場合には、前記移動通信装置との間で送受信データを暗号化処理して通信せず、前記位置管理装置を経由しない経路で通信を行う場合には、前記移動通信装置との間で送受信データを暗号化処理して通信する通信処理手段
   を備えていることを特徴とするゲートウェイ装置。
3. 前記通信処理手段は、
   通信相手方の通信装置のアドレス情報を保持するアドレス情報保持手段と、
   送信データの送信先アドレス情報と、該アドレス情報保持手段が保持している通信相手方通信装置のアドレス情報とが一致するか否かを判定する判定手段と、
   該判定手段の判定結果に基づいて、両者が一致した場合には暗号化処理を行わない暗号化処理手段と
   を備えていることを請求項１記載の通信装置。
4. 前記通信処理手段は、
   通信相手方の通信装置のアドレス情報を保持するアドレス情報保持手段と、
   送信データの送信先アドレス情報と、該アドレス情報保持手段が保持している通信相手方の通信装置のアドレス情報とが一致するか否かを判定する判定手段と、
   該判定手段の判定結果に基づいて、両者が一致した場合には暗号化処理を行わない暗号化処理手段と
   を備えていることを請求項２記載のゲートウェイ装置。
5. 前記通信処理手段は、
   前記位置管理装置を経由した経路で通信を行う際の暗号化処理を行うか否かを、送信するパケットフォーマットに基づき判定する判定手段と、
   該判定手段の判定結果に基づいて、暗号化処理を実行する暗号化処理手段と
   を備え、
   前記判定手段は、前記位置管理装置の相手先通信装置へ送信されるパケットが、ＩＰオプションヘッダで規程されるデスティネーション・オプション・ヘッダで送信先のアドレスを指定して送信する場合には暗号化処理を行わない旨判定し、その他の場合には暗号化処理を行う旨判定する
   ことを特徴とする請求項１記載の通信装置。
6. 前記通信処理手段は、
   前記位置管理装置を経由した経路で通信を行う際の暗号化処理を行うか否かを、送信するパケットフォーマットに基づき判定する判定手段と、
   該判定手段の判定結果に基づいて、暗号化処理を実行する暗号化処理手段と
   を備え、
   前記判定手段は、送信パケットの送信先が位置管理装置で送信元が移動先の一時アドレスのＩＰヘッダでカプセル化されている場合には暗号化処理を行わない旨判定し、その他の場合には暗号化処理を行う旨判定する
   ことを特徴とする請求項１記載の通信装置。
7. 前記通信処理手段は、
   前記位置管理装置を経由した経路で通信を行う際の暗号化処理を行うか否かを、送信するパケットフォーマットに基づき判定する判定手段と、
   該判定手段の判定結果に基づいて、暗号化処理を実行する暗号化処理手段と
   を備え、
   前記判定手段は、前記移動計算機装置へ送信されるパケットが、ＩＰオプションヘッダで規程されるルーティング・オプション・ヘッダで送信先のアドレスを指定して送信する場合には暗号化処理を行わない旨判定し、その他の場合には暗号化処理を行う旨判定するする
   ことを特徴とする請求項２記載のゲートウェイ装置。

Images