JP4334425B2 - ホームエージェント - Google Patents

Description

本発明は、ホームエージェントに関し、移動端末の気付アドレスと前記移動端末のホームリンクにおけるホームアドレスの対応を保持し、移動端末のホームアドレス宛てに転送されてきたパケットを気付アドレス宛てに転送するホームエージェントに関する。

ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワークにおいて、端末がネットワーク上の接続位置を変えても通信を行うことを可能とするプロトコルとして、米国の標準化団体ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）においてモバイルＩＰｖ４（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｖｅｒｓｉｏｎ ４）が標準化されている。また、近年のＩＰネットワーク上に存在する端末数の急増により、ＩＰアドレス枯渇の問題が深刻化しており、より多くのＩＰアドレスを使用することが可能なＩＰｖ６（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｖｅｒｓｉｏｎ ６）を使用したネットワークへの移行が本格化している。このため、通常のＩＰｖ４ネットワークにおけるモバイルＩＰだけでなく、ＩＰｖ６ネットワーク上での端末の移動をサポートするプロトコルとしてモバイルＩＰｖ６の標準化が進められており、ＩＥＴＦにおいてＲＦＣ化のための審議が行われている。

モバイルＩＰｖ６では、移動端末（ＭＮ：Ｍｏｂｉｌｅ Ｎｏｄｅ）は、自分が通常接続するホームネットワークにおいて端末の移動を管理するホームエージェント（ＨＡ）に、移動先で使用するアドレスである気付アドレス（ＣｏＡ）を登録する。また、登録後に移動端末が更に移動した場合には、ホームエージェントに対して新たな気付アドレスを通知し、ホームエージェントに登録された気付アドレスを更新する。ホームエージェントは、気付アドレスを用い、移動先の移動端末宛てへのパケットを中継する。

モバイルＩＰｖ６では、通信のセキュリティ保証のために、ＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ）暗号処理のサポートが必須とされている。ＩＰｓｅｃ暗号処理は、パケット転送やカプセル／デカプセル化処理よりも処理負荷が重く、一般的に、セキュリティの強度を上げればあげるほど、処理負荷が増大する。

図１は、従来のモバイルＩＰシステムの一例のブロック構成図を示す。同図中、移動端末１０は、所定のホームアドレス（ＨｏＡ）を有し、通常、社内ＬＡＮ等のホームリンク１１に接続されている。ホームリンク１１にはルータを兼ねるホームエージェント（ＨＡ）１２が接続されている。また、ホームエージェント１２はインターネット等のネットワーク１３に接続されている。

ホームエージェント１２は、移動端末１０が外部リンク１４に移動した際に、移動端末１０の移動先アドレス（気付アドレス：ＣｏＡ）とホームアドレス（ＨｏＡ）の対応を保持するバインディングキャッシュ（ＢＣ）と、移動端末のホームアドレス宛てに転送されてきたＩＰパケットを気付アドレス宛てにカプセル化して転送するＩＰインＩＰカプセル化機能を有しており、通信をしてきた相手端末（相手端末：Ｃｏｒｒｅｓｐｏｎｄｉｎｇ Ｎｏｄｅ）１５から移動端末１０に転送する。

ところで、例えば特許文献１には、ホームリンクと外部リンクそれぞれには位置されている暗号化ゲートウエイからセキュリティポリシ情報を取得して比較し、外部リンクの暗号化ゲートウエイを暗号化トンネルの終端点に使用できるかどうかを判断し、使用できない場合は外部リンクの暗号化ゲートウエイに暗号化トンネルフローをスルーする設定を行い、移動計算機自体がトンネルを終端することが記載されている。
特開平１０−１２６４０５号公報

今後、移動体通信の普及に伴い、移動先や通信を求めてきた相手に応じて、異なるレベルのセキュリティ保証が必要になる。例えば、グループ会社に出張中に出張先のネットワーク経由で、自分の関連部署からＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ ＩＰ）通信を受信して通信する場合、グループ会社の関係外者に漏れないよう暗号化することが想定される。

また、上記のパケット・バイ・パケットの暗号化処理以外にも、やはり、移動先や通信を求めてきた相手に応じて、セキュリティ上の加工を施すことが考えられる。例えば、顧客会社内でＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）により受信した電子文書はプリントアウト（またはコピー）できないようにする等の閲覧制限をかける等の閲覧権処理である。

セキュリティに限らずとも、やはり、移動先や通信を求めてきた相手に応じて、異なるサービスを享受することが要望される可能性がある。従来のホームエージェントは、暗号化処理機能を持っているが、これまで、移動端末毎に移動先と相手端末との組合せで、暗号化レベルを変更する機能はなかった。

また、暗号化処理の負荷の重さは、ホームエージェントの大容量化等のスケーラビリティを確保する上のボトルネックとなっており、上記の移動端末毎に移動先と相手端末との組合せで、暗号化レベルを変更し、つまり、必要なセキュリティ保証レベルに応じた強度の暗号化アルゴリズムの適用し、そして、暗号化処理を行う際の問題となる。

ここで、ホームエージェントの暗号化処理に頼らないパケット・バイ・パケット暗号化並びに付加価値サービス提供を行うため、これらの処理に特化した特定のサーバを経由させて、通信をさせることが考えられる。すなわち、通信内容の秘匿や発信された電子文書等の漏洩防止措置を行うため、暗号化ゲートウエイや閲覧権処理サーバを利用する対応である。モバイルＩＰによる移動通信の場合も、ホームエージェントから外部リンクの間に、図１に破線１６で示す位置に暗号化ゲートウエイや閲覧権処理サーバを配置して中継させることにより、目的とするセキュリティ処理や付加サービス提供が機能的には可能である。

しかし、移動端末とホームエージェントと間に配した暗号化ゲートウエイや閲覧権処理サーバに、以下に述べる特別な処理オーバヘッドを必要とし、また、そもそも、移動端末への全通信を全部、これらの機器を通すことから転送速度が劣化するという問題があった。

モバイルＩＰによる移動通信の場合、通信をしてきた相手端末１５から移動端末１０への通信をインターセプトするホームエージェント１２は、相手端末１５が移動端末１０の移動を意識せずに済むように、相手端末１５からのパケットをカプセル化し、移動端末１０の移動先のアドレス（気付アドレス）宛てに転送する。ここで、ホームエージェント１２から移動先の移動端末１０へのパケットの送信元アドレスは、ホームエージェント１２のアドレスになっている。従って、ホームエージェント１２から移動端末１０の間に破線１６で示す暗号化ゲートウエイや閲覧権処理サーバを配置し、移動先ならび相手端末に応じた処理を行うためには、カプセル化された内部のパケットの宛先並びに送信元アドレスを読み取らなければならない。なお、気付アドレスは、移動先で動的に取得されるアドレスなので、適用セキュリティポリシの判断キーに使えない。

この処理は、暗号化ゲートウエイや閲覧権処理サーバにとって追加的な処理であり、処理オーバヘッドとなり、転送性能の劣化に結びつく。また、移動先や相手端末によっては、これらのサーバでの処理が不要の場合もあり、それらの通信も全て暗号化ゲートウエイや閲覧権処理サーバを通すことにより、これらの機器が通信のボトルネックになるという問題点があった。

本発明は、上記の点に鑑みなされたものであり、移動端末毎に移動先と相手端末の組合せに応じてサービスを切替えることができ、転送速度の劣化を防止できるホームエージェントを提供することを目的とする。

請求項１に記載の発明は、移動端末の気付アドレスと前記移動端末のホームリンクにおけるホームアドレスの対応を保持し、移動端末のホームアドレス宛てに転送されてきたＩＰパケットを気付アドレス宛てに転送するホームエージェントにおいて、
移動端末毎に、前記移動端末の移動先と相手端末の組合せに基づいて提供するサービスを切替えるサービス切替え手段を有することにより、
移動端末毎に移動先と相手端末の組合せに応じてサービスを切替えることができる。

請求項２に記載の発明では、請求項１記載のホームエージェントにおいて、
前記サービス切替え手段は、特定サービスの対象パケットを外部装置に転送する転送手段と、
前記外部装置で前記特定サービスの処理を実行された対象パケットを受信する受信手段を有することにより、
特定サービスの対象パケットを外部装置に転送して特定サービスの処理を実行でき、転送速度の劣化を防止できる。

請求項３に記載の発明では、請求項２記載のホームエージェントにおいて、
前記特定サービスとして、暗号化レベルを切替える。

請求項４に記載の発明では、請求項３記載のホームエージェントにおいて、
前記外部装置は、暗号化レベルに応じて複数設けられ、
前記転送手段は、暗号化レベルに応じた外部装置に対象パケットを転送することにより、複数の暗号化レベルに応じた暗号化処理を行うことができる。

請求項５に記載の発明では、請求項２記載のホームエージェントにおいて、
前記特定サービスとして、閲覧制限レベルを切替える。

本発明によれば、移動端末毎に移動先と相手端末の組合せに応じてサービスを切替えることができ、転送速度の劣化を防止できる。

以下、図面に基づいて本発明の実施形態について説明する。

図２は、本発明が適用されるモバイルＩＰシステムの一実施形態のブロック構成図を示す。同図中、図１と同一部分には同一符号を付す。図２において、移動端末１０は、所定のホームアドレス（ＨｏＡ）を有し、通常、本社のＬＡＮ等のホームリンク１１に接続されている。ホームリンク１１にはルータを兼ねるホームエージェント２２が接続されている。また、ホームエージェント２２はインターネット等のネットワーク１３に接続されている。

ホームエージェント２２は、移動端末（ＭＮ）１０が支社のＬＡＮ等の外部リンク１４に移動した際に、移動端末１０の気付アドレス（ＣｏＡ）とホームアドレス（ＨｏＡ）の対応を保持するバインディングキャッシュ（ＢＣ）と、移動端末のホームアドレス宛てに転送されてきたＩＰパケットを気付アドレス宛てにカプセル化して転送するＩＰインＩＰカプセル化機能を有しており、通信をしてきた相手端末（ＣＮ）１５から移動端末１０に転送する。

本発明では、移動端末１０、移動先の外部リンク１４、相手端末１５に応じたセキュリティポリシまたはサービスを実施する。このため、暗号化ゲートウエイや閲覧権処理サーバに機能追加するよりも、ホームエージェント２２の例えばセキュリティポリシデータベースを拡張し、このセキュリティポリシデータベースの適用ポリシの判断に基づき、対処が必要な通信のみ暗号化ゲートウエイや閲覧権処理サーバ等の専用の外部装置２４，２５，２６に転送して処理させる。外部装置２４，２５，２６はホームリンク１１に接続される。なお、外部装置２４，２５，２６はホームリンク１１を介さずホームエージェント２２に直接接続される構成であっても良く、外部装置の数は１台、２台、４台以上のいずれであっても良い。

外部装置２４，２５，２６で処理されたパケットは再びホームエージェント２２に戻し、ホームエージェント２２から通常のモバイルＩＰ転送処理させることにより、外部装置２４，２５，２６ではカプセル化されたなかのパケットの情報を読み取る等の追加機能が不要となり、処理対象外の余計なトラヒックが通過しないので処理のボトルネック化を回避できる。また、外部装置２４，２５，２６として汎用機が使用できるので、安価なシステム構築が可能となり、柔軟なサービス展開が可能となる。

図３は本発明のホームエージェントの第１実施形態のブロック図、図４はその変形例のブロック図を示す。図３、図４において、実線の矢印はパケットデータの流れを表わし、破線の矢印は制御データの流れを表わす。

まず、特別なセキュリティ処理や付加サービス処理を必要としないパケットの処理について説明する。

図３において、外部リンク１４から受信したパケットは、まず、パケット識別部３１に供給され、パケットのヘッダ情報に基づき、以降の処理が決定される。
（１）パケットが移動端末１０からホームエージェント２２宛の位置登録メッセージ（Ｂｉｎｄｉｎｇ Ｕｐｄａｔｅメッセージ）のパケット受信の場合、
パケット識別部３１において、宛先ＩＰアドレスがホームエージェント２２のアドレスで、位置登録メッセージの情報を運ぶオプションヘッダを含んでいることから、位置登録メッセージのパケットであることを認識する。これを認識後、位置登録メッセージのパケットは、認証データを含み暗号化されているため、ＳＡＤ部３２ａにて、パケット内に埋め込まれた論理的な暗号コネクションであるＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）の識別子であるＳＰＩ（Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒ Ｉｎｄｅｘ）を抽出し、それをキーにＳＡＤ部３２ａに内蔵されるＳＡＤ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）を検索し、復号化のために必要な情報を取得する。

本情報をパケットとともに、復号化部３３ａに渡して復号化を行う。復号化されたパケットは、位置情報管理部３４に供給され、位置管理に必要な情報の抽出、管理情報の生成、更新が実施される。例えば、移動端末１０が、新たな場所に移動し、そこで取得した気付アドレスの登録である場合、移動端末１０のホームアドレスＨｏＡと気付アドレスの対応関係（Ｂｉｎｄｉｎｇ）を生成して保持し、更に、相手端末から移動端末１０への中継処理を行うため、上記対応関係をＢ．Ｃ．処理部３８が内蔵のＢ．Ｃ．（Ｂｉｎｄｉｎｇ Ｃａｃｈｅ）テーブルに記録する。

位置情報管理部３４は、位置登録メッセージを受信、上記の必要な処理を行った後、メッセージ発信元の移動端末１０に対して、登録確認メッセージ（Ｂｉｎｄｉｎｇ Ａｃｋｎｏｗｌｅｄｇｅ：ＢＡメッセージ）を発信する。位置情報管理部３４で生成された登録確認メッセージのパケットは、位置情報管理部３４が指示する暗号化実行情報とともに暗号化部３５ａに渡され暗号化される。暗号化後、ルーティング処理部３７に渡され、ルーティング処理部３７の内蔵フォワーディングテーブルの内容が示すネットワークインタフェースから送信される。
（２）相手端末から移動端末１０（ＨｏＡ）宛パケットの受信の場合、
パケット識別部３１において、上記位置登録メッセージのパケットでもなく、ＩＰインＩＰカプセル化パケットでないことから判断し、Ｂ．Ｃ．処理部３８に渡す。Ｂ．Ｃ．処理部３８では、パケットの宛先アドレスを抽出し、これをキーに、Ｂ．Ｃ．テーブルを検索する。

Ｂ．Ｃ．処理部３８はＢ．Ｃ．テーブルにエントリが無ければ、ルーティング処理部３７に渡し、ルーティング処理部３７の内蔵するフォワーディングテーブルの内容が示すネットワークインタフェースから送信する。宛先アドレスがＨｏＡであって、Ｂ．Ｃ．テーブルにエントリがないということは、通常、移動端末１０が移動せず、ホームリンク１１にいることを示し、ルーティングの結果は、ホームリンク１１への接続ネットワークインタフェースとなる。

Ｂ．Ｃ．テーブルにエントリが存在する場合、移動端末１０は、気付アドレスのアドレスを持ち、外部リンク１４に存在するので、Ｂ．Ｃ．処理部３８はＢ．Ｃ．テーブルから得た気付アドレスと共にパケットをカプセル化部３９へ渡す。カプセル化部３９では、気付アドレスを宛先アドレスとし、ホームエージェント２２のアドレスを送信元アドレスとして、ＩＰインＩＰカプセル化し、ＳＰＤ部４０にカプセル化後のパケットを渡す。

ＳＰＤ部４０は、パケットからヘッダ情報を抽出し、本情報をキーにＳＰＤ（Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｄａｔａｂａｓｅ）を検索する。ＳＰＤにエントリがなければ、ルーティング処理部３７に渡し、ルーティング処理部３７の内蔵するフォワーディングテーブルの内容が示すネットワークインタフェースから送信する。

ＳＰＤにエントリがあれば、該当エントリ情報をパケットとともに、ＳＡＤ部３２ｃへ渡す。ＳＡＤ部３２ｃでは、ＳＰＤのエントリ情報をもとに、論理的な暗号コネクションであるＳＡを選択し、該当エントリ情報をパケットとともに、暗号化部３５ｃに渡し、暗号化部３５ｃで暗号化を実施した後で、ルーティング処理部３７に渡し、ルーティング処理部３７の内蔵フォワーディングテーブルの内容が示すネットワークインタフェースから送信する。暗号化パケットの宛先アドレスは、気付アドレスとなっており、ルーティングの結果として、移動端末１０宛て転送される。

なお、図４においては、Ｂ．Ｃ．処理部３８はＢ．Ｃ．テーブルにエントリが存在する場合、Ｂ．Ｃ．テーブルから得た気付アドレスと共にパケットをＳＰＤ部４０に渡す。ＳＰＤ部４０はパケットからヘッダ情報を抽出してＳＰＤを検索し、ＳＰＤにエントリがなければ、カプセル化部３９でＩＰインＩＰカプセル化してルーティング処理部３７に渡す。 ＳＰＤにエントリがあれば、該当エントリ情報をパケットと共にカプセル化部３９に渡してカプセル化部３９でＩＰインＩＰカプセル化したのち該当エントリ情報と共にＳＡＤ部３２ｃに渡す。
（３）外部リンク１４にいる移動端末１０（気付アドレス）から相手端末宛パケットを受信した場合、
パケット識別部３１において、宛先ＩＰアドレスがホームエージェント２２のアドレスであって、ＩＰインＩＰカプセル化パケット、あるいは、位置登録メッセージの情報を運ぶオプションヘッダが無く暗号化パケットであることから、相手端末宛パケットであることを認識する。

相手端末宛パケットがＩＰインＩＰカプセル化パケットの場合は、デカプセル化部３６に渡してデカプセル化を行い、ルーティング処理部３７に渡してルーティング処理部３７の内蔵フォワーディングテーブルの内容が示すネットワークインタフェースから送信する。

パケット識別部３１で相手端末宛パケットが暗号化パケットと認識した場合、このパケットをＳＡＤ部３２ｂに渡してパケット内のＳＰＩを抽出し、それをキーに、ＳＡＤ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）を検索し、復号化のために必要な情報を取得する。本情報をパケットとともに復号化部３３ｂに渡して復号化を行う。続いて、復号化したパケットは、デカプセル化部３６に渡してデカプセル化を行い、ルーティング処理部３７に渡してルーティング処理部３７の内蔵するフォワーディングテーブルの内容が示すネットワークインタフェースから送信する。
（４）ホームリンク１１からの受信パケットの場合、
受信パケットは、ルーティング処理部３７に渡し、ルーティング処理部３７の内蔵するフォワーディングテーブルの内容が示すネットワークインタフェースから送信する。

以上の特別なセキュリティ処理や付加サービス処理を必要としないパケットに対する動作は従来のホームエージェント１２でも行っていることである。

本発明においては、移動端末毎に移動先と相手端末との組合せにより提供サービスを切替えるために、ホームリンク１１からルーティング処理部３７に至る間に新たにＦＬＴ（フィルタ）部４１を追加し、ＦＬＴ部４１からデカプセル化部３６へのルートと、ＳＡＤ部３２ｂとＳＰＤ部４０からホームリンク１１のインタフェースに分岐したルートを設ける。また、図４の構成では、ＦＬＴ部４１からＢ．Ｃ．処理部３８へのルートと、カプセル化部３９からホームリンク１１のインタフェースに分岐したルートを追加して設ける。

更に、それらルートへの振り分け論理を持って、ホームエージェント２２が端末毎に移動先と相手端末との組合せから提供すべきサービスを判断し、サービスに応じて、必要な処理を外部装置に委託する。この振り分け論理の管理、振り分け内容の生成を行うため、サービス管理部４２を設け、ＦＬＴ部４１、ＳＡＤ部３２ｂ、ＳＰＤ部４０に対し必要な指示や設定を行う。

ここで、図５（Ａ）にＳＰＤ部４０が内蔵するＳＰＤのデータベース構成を示す。従来からのキー項目である送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート、宛先ポートに、気付アドレスプレフィクス値（ＩＰｖ６のアドレスで移動端末が接続されたネットワークを表わしている）が追加され、従来からの項目であるＩＰｓｅｃ適用有無、ＳＡＤポインタに、カプセル化指示、外部転送指示フラグ、外部転送先ＩＮＦが追加されている。

図５（Ｂ）にＳＡＤ部３２ｂが内蔵するＳＡＤのデータベース構成を示す。キー項目であるＳＰＩに対し、従来からの項目であるＩＰｓｅｃ適用プロトコル、ＩＰｓｅｃカプセル化モード、暗号アルゴリズム、認証アルゴリズムに、外部転送指示フラグ、外部転送先インタフェースが追加されている。なお、図５（Ｃ）にＳＡＤ部３２ａ，３２ｃが内蔵するＳＡＤのデータベース構成を示す。ここでは、キー項目がＳＰＤエントリ情報であるＳＡＤポインタとされ、従来からの項目であるＩＰｓｅｃ適用プロトコル、ＩＰｓｅｃカプセル化モード、暗号アルゴリズム、認証アルゴリズムだけで、外部転送指示フラグ、外部転送先ＩＮＦは追加されていない。

図５（Ｄ）にＦＬＴ部４１が内蔵するＦＬＴテーブル構成を示す。キー項目である受信ＮＷ（ネットワーク）インタフェース、プロトコルに対し、転送ブロックが指定されている。

図６にサービス管理部４２のテーブル構成を示す。図６（Ａ）に示すように、移動端末のホームアドレスに対し適用ポリシのインデックスが設定されている。また、図６（Ｂ）に示すように、適用ポリシのインデックスに対し、相手端末のリストが設定され、相手端末毎にプロトコル、ＣＮ適用レベル、適用サービスが設定されている。

図６（Ｃ）に示すように、気付アドレスまたは気付アドレスのプレフィクス値に対し、ＣｏＡ適用レベルが設定されている。また、図６（Ｄ）に示すように、ＣＮ適用レベルとＣｏＡ適用レベルに対し、組合適用レベルが設定されている。図６（Ｄ）に示すように、組合適用レベルに対し、外部装置ＩＤと外部転送先インタフェースが設定されている。更に、図６（Ｅ）に示すように、適用サービスに対し、外部装置ＩＤと外部転送先インタフェースが設定されている。

なお、図６（Ｂ）に示すように、適用ポリシのインデックスに対し相手端末毎に適用サービスを設定する代りに、図６（Ｄ）に示すＣＮ適用レベルとＣｏＡ適用レベルに対し組合適用レベルと共に適用サービスを設定する構成をとっても良い。この場合には、移動端末と相手端末とに応じて適用サービスを切替えることが可能となる。

移動端末毎に移動先と相手端末との組合せにより暗号化レベルを切替える場合について説明する。暗号化レベルの選択と暗号化実施をホームエージェント２２で行う。暗号化レベルの選択を行うため、ＳＡＤ部３２ｂ、ＳＰＤ部４０に、端末毎に移動先と相手端末との組合せに対応する暗号化情報（セキュリティポリシ）のエントリを持つ。

図７に、暗号化情報のエントリ作成処理のシーケンスを示す。エントリ作成の契機は外部リンク１４にある移動端末１０からホームエージェント２２に位置情報の新規登録、登録更新時である。移動端末１０は、外部リンク１４で気付アドレスを取得し、それをホームエージェント２２に位置登録メッセージで通知する。

ホームエージェント２２のサービス管理部４２は、図６（Ａ），（Ｂ）に示すように、各移動端末１０について予め相手端末に関するセキュリティ保証レベルとしてのＣＮ適用レベルと、図６（Ｃ）に示すように、気付アドレスのプレフィクス値から判断する外部リンク１４のセキュリティ保証レベルとしてのＣｏＡ適用レベルの情報データベースを有している。

ステップＳ１０でホームエージェント２２が位置登録メッセージを受信した場合、従来どおりの装置内処理に従って上記位置登録メッセージは位置情報登録管理部３４に送られる。ここで、位置情報登録管理部３４は、従来処理に加えて、抽出した気付アドレスが、その移動端末１０にとって新規であった場合、移動端末１０と気付アドレスの情報をサービス管理部４２へ通知する。

サービス管理部４２は、それを受けて前記セキュリティ保証レベルの情報データベースを用いて、相手端末（レベルが明らかな特定の相手端末と、それ以外のデフォルトレベルを適用する相手端末がある）と気付アドレスの組合せについて適用すべきセキュリティポリシとしての組合適用レベルを決定し、決定した組合適用レベルをＳＡＤ部３２ａ並びにＳＰＤ部４０へ設定する。

相手端末１５から移動端末１０または移動端末１０から相手端末１５へのパケットを受信した場合、この設定エントリが参照されることにより暗号化レベルつまり組合適用レベルを選択され、暗号化部３５ｂまたは復号化３３ｂに指示がなされる。

選択した組合適用レベルが特定のレベルの場合に、外部の暗号化処理装置としての例えば外部装置２４に処理対象パケットを転送し、暗号化処理を外部装置２４に実行させる。これは、処理負荷の大きい特定の暗号処理を、外部装置２４に実施させるための仕組みである。

サービス管理部４２は、図６（Ｅ）に示すように、特定の暗号処理を行う装置に関する情報として外部装置ＩＤと外部転送先インタフェースを保持しており、その情報を用いて、相手端末１５と気付アドレスの組合せに対する適用セキュリティポリシを決定する際に、その決定内容を実施する装置（自ホームエージェント２２または外部装置２４）を求め、ＳＡＤ部３２ａならびにＳＰＤ部４０に対して設定する。

ＳＡＤ部３２ａならびにＳＰＤ部４０では、パケット受信時に設定情報を参照し、外部装置２４への転送指示があった場合、指示された外部転送先インタフェースに対してパケットを転送する。

また、外部装置２４から処理されたパケットを受けて、相手端末１５乃至移動端末１０宛てに応じた中継処理を行うため、ＦＬＴ部４１にて図５（Ｄ）に示すＦＬＴテーブルを用いて、受信インタフェースを認識して相手端末１５宛か移動端末１０宛かを識別し、適切な処理ブロックにパケットを振り分ける。

例えば、外部装置２４が接続していない受信ネットワークインタフェースで受信したパケットは、ルーティング処理部３７に渡して従来どおりのフォワーディングを行う。また、外部装置２４が接続している受信ネットワークインタフェースで受信した場合、そのパケットがＩＰインＩＰカプセル化パケットであれば、移動端末１０から相手端末１５へのパケットと判断してデカプセル化部３６に渡し、カプセル化されていない暗号化パケットであれば、相手端末１５から移動端末１０へのパケットと判断してルーティング処理部３７へ渡し、該パケットヘッダの情報に基づいてフォワーディングを実施する。

ここで、外部装置２４にて行うＩＰｓｅｃ暗号化モードは、パケットヘッダより以降を暗号化するトランスペアレントモードで運用する。図３に示すとおり、相手端末１５から移動端末１０へのパケットは、カプセル化部３９にてカプセル化後に、外部装置２４に転送しており、外部装置２４がトランスペアレントモードで暗号化後のパケットヘッダの宛先アドレスは、移動端末１０の気付アドレス宛で保持され参照できるのでルーティング処理部３７にてフォワーディングが実施できる。

暗号化レベルに応じて、パケット転送先の外部装置を切替える実施形態について説明する。この実施形態では、各々別の暗号アルゴリズムを処理する複数台の外部装置（例えば外部装置２４，２５）を用いて、必要な暗号処理に応じて適切な外部装置へ振り分けを行う。これは、サービス管理部４２が保持する外部装置と接続インタフェース情報の対応関係テーブルのエントリ数を増やすことで実現できる。これにより、さらに、暗号処理に関するスケーラビリティ確保を実現できる。

図８に外部装置を切替える処理のシーケンスを示す。同図中、ステップＳ２０でホームエージェント２２が相手端末１５からのパケットを受信すると、Ｂ．Ｃ．処理部３８でＢ．Ｃ．テーブルの指示によるカプセル化後、ＳＰＤ部４０のＳＰＤに外部装置２４，２５への転送指示があると、この外部装置２４，２５が接続している外部転送先インタフェースにパケットを転送する。外部装置２４，２５ではステップＳ２１で、自装置で持っているＳＰＤ内容に従って暗号化後、ホームエージェント２２の接続ネットワークインタフェースに転送する。ホームエージェント２２は、ステップＳ２２で、このパケットを受信ネットワークインタフェースで受信して暗号化パケットであることを認識し、ルーティング処理部３７へ渡し、パケットヘッダの情報に基づいて移動端末１０へのフォワーディングを実施する。

また、ステップＳ２３でホームエージェント２２が移動端末１０からのパケットを受信すると、ＳＰＤ部３２ｂのＳＰＤに外部装置２４，２５への転送指示があると、この外部装置２４，２５が接続している外部転送先インタフェースにパケットを転送する。外部装置２４，２５ではステップＳ２４で、自装置で持っているＳＰＤ内容に従って復号化後、ホームエージェント２２の接続ネットワークインタフェースに転送する。ホームエージェント２２は、ステップＳ２２で、このパケットを受信ネットワークインタフェースで受信して暗号化パケットでないことを認識し、デカプセル化部３６にてデカプセル化後に、ルーティング処理部３７へ渡し、パケットヘッダの情報に基づいて相手端末１５へのフォワーディングを実施する。

ここで、接続ネットワークインタフェースとして、物理インタフェースを対応させる場合と、ＶＬＡＮ等を用いて、一つの物理インタフェース上に多重した論理インタフェースを対応させる場合がある。後者は、ホームエージェント２２の物理インタフェース数が少なく、複数の外部暗号処理装置を接続したい場合に有効である。

次に、暗号化以外の付加的なサービスの適用を判断し、サービスを実行する例えば外部装置２６に処理対象パケットを転送する実施形態について説明する。付加サービスとしては、例えば顧客会社内でＦＴＰにより受信した電子文書はプリントアウトできないようにする等の閲覧制限をかけるサービスである。

この場合、ホームエージェント２２は図４の構成をとる。図４のＳＰＤ部４０並びにカプセル化部３９から外部装置２６への転送ルートと、外部装置２６から受信したパケットに対して、ＦＬＴ部４１からＢ．Ｃ．処理部３８への転送ルートを設ける。サービスに応じて、カプセル化前のパケットを外部装置２６に転送し、処理され返送されてきたパケットに対して、カプセル化処理を行うために、これらの転送ルートを用いる。

図９に付加サービス処理のシーケンスを示す。同図中、ステップＳ３０でホームエージェント２２が相手端末１５からのパケットを受信し、ＳＰＤ部４０のＳＰＤに外部装置２６への転送指示があると、カプセル化部３９でのカプセル化を行わずに、外部装置２６が接続している外部転送先インタフェースにパケットを転送する。外部装置２６ではステップＳ３１で、自装置の持っている所定の処理を実施後、ホームエージェント２２の接続ネットワークインタフェースに転送する。

ホームエージェント２２は、ステップＳ３２で、このパケットを外部装置２６が接続している受信ネットワークインタフェースで受信し、この受信ネットワークインタフェース情報と共に受信パケットをＢ．Ｃ．処理部３８に渡す。Ｂ．Ｃ．処理部３８では通常の処理を行って受信ネットワークインタフェース情報と共にＳＰＤ部４０に渡す。ＳＰＤ部４０ではＳＰＤが転送を指示するネットワークインタフェースと上記受信ネットワークインタフェースが同一であるとき、ＳＰＤの転送指示を無視し、他の通常処理に従う。つまり、カプセル化部３９でのカプセル化を行い、ＳＡＤ部３２ｃ，暗号化部３５ｂを経由し、ルーティング処理部３７でパケットヘッダの情報に基づいて移動端末１０にフォワーディングされる。なお、パケットによってはＳＡＤ部３２ｃ，暗号化部３５ｂを経由しない場合もある。

これにより、付加的なサービスを提供する外部装置２６をホームエージェント２２が基点となり、多段接続することが可能であり、提供サービスの柔軟な組合せ及び構成が可能となる。

次に、暗号化や付加サービスを提供するに当たって、外部装置２４〜２６が移動端末１０と通信を行い、動的にサービスの実施情報を交換する実施形態について説明する。この場合、ホームエージェント２２は外部装置と移動端末１０間の交換情報をインターセプトし、必要な情報を取得して外部装置２４〜２６と共有する。

図１０は本発明のホームエージェントの第２実施形態のブロック図を示す。同図中、図４と同一部分には同一符号を付す。図１０で図４と異なる部分は、サービス制御プロトコル処理部４３を設けた点である。

図１０は、移動端末１０との外部装置２４，２５間で暗号論理コネクションを動的に確立する場合に対応しており、ネゴシエーションのためのプロトコルをホームエージェント２２が外部装置２４，２５に中継する。パケット認識部３１は、この中継の際に、ＳＡＤ部３２ａ，３２ｂ，３２ｃ等に必要な暗号論理コネクションの情報（ＩＰｓｅｃ適用プロトコル、ＩＰｓｅｃカプセル化モード、暗号アルゴリズム、認証アルゴリズムを含む）をインターセプトしてサービス制御プロトコル処理部４３に供給し、サービス制御プロトコル処理部４３は暗号論理コネクションの情報を保持し、図５（Ｂ），（Ｃ）に示すＳＡＤ部３２ａ，３２ｂ，３２ｃのデータベースにおけるＩＰｓｅｃ適用プロトコル、ＩＰｓｅｃカプセル化モード、暗号アルゴリズム、認証アルゴリズムそれぞれを更新する。

なお、サービス管理部４２が請求項または付記に記載のサービス切替え手段に対応し、ＳＰＤ部４０が転送手段に対応し、ＦＬＴ部４１が受信手段に対応し、サービス制御プロトコル処理部４３が実施情報取得手段に対応する。
（付記１）
移動端末の気付アドレスと前記移動端末のホームリンクにおけるホームアドレスの対応を保持し、移動端末のホームアドレス宛てに転送されてきたＩＰパケットを気付アドレス宛てに転送するホームエージェントにおいて、
移動端末毎に、前記移動端末の移動先と相手端末の組合せに基づいて提供するサービスを切替えるサービス切替え手段を
有することを特徴とするホームエージェント。
（付記２）
付記１記載のホームエージェントにおいて、
前記サービス切替え手段は、特定サービスの対象パケットを外部装置に転送する転送手段と、
前記外部装置で前記特定サービスの処理を実行された対象パケットを受信する受信手段を
有することを特徴とするホームエージェント。
（付記３）
付記２記載のホームエージェントにおいて、
前記特定サービスとして、暗号化レベルを切替えることを特徴とするホームエージェント。
（付記４）
付記３記載のホームエージェントにおいて、
前記外部装置は、暗号化レベルに応じて複数設けられ、
前記転送手段は、暗号化レベルに応じた外部装置に対象パケットを転送することを特徴とするホームエージェント。
（付記５）
付記２記載のホームエージェントにおいて、
前記特定サービスとして、閲覧制限レベルを切替えることを特徴とするホームエージェント。
（付記６）
付記２乃至５のいずれか記載のホームエージェントにおいて、
前記外部装置は、前記ホームリンクに接続されることを特徴とするホームエージェント。
（付記７）
付記２乃至５のいずれか記載のホームエージェントにおいて、
前記外部装置は、ネットワークを介さず自装置に直接接続されることを特徴とするホームエージェント。
（付記８）
付記１乃至７のいずれか記載のホームエージェントにおいて、
前記移動端末と前記外部装置の間で動的に前記特定サービスの実施情報を交換する際に、前記特定サービスの実施情報を取得し、そのうち必要な情報を前記サービス切替え手段に設定する実施情報取得手段を
有することを特徴とするホームエージェント。

従来のモバイルＩＰシステムの一例のブロック構成図である。 本発明が適用されるモバイルＩＰシステムの一実施形態のブロック構成図である。 本発明のホームエージェントの第１実施形態のブロック図である。 本発明のホームエージェントの第１実施形態の変形例のブロック図である。 ホームエージェント各部のデータベース及びテーブルの構成を示す図である。 サービス管理部のテーブル構成を示す図である。 暗号化情報のエントリ作成処理のシーケンスである。 外部装置を切替える処理のシーケンスである。 付加サービス処理のシーケンスである。 本発明のホームエージェントの第２実施形態のブロック図である。

符号の説明

１０ 移動端末
１１ ホームリンク
１３ ネットワーク
１４ 外部リンク
１５ 相手端末
２２ ホームエージェント
２４，２５，２６ 外部装置
３１ パケット識別部
３２ａ，３２ｂ，３２ｃ ＳＡＤ部
３３ａ，３３ｂ 復号化部
３４ 位置情報管理部
３５ａ，３５ｂ 暗号化部
３６ デカプセル化部
３７ ルーティング処理部
３８ Ｂ．Ｃ．処理部
３９ カプセル化部
４０ ＳＰＤ部
４１ ＦＬＴ部
４２ サービス管理部
４３ サービス制御プロトコル処理部

Claims (5)

1. 移動端末の気付アドレスと前記移動端末のホームリンクにおけるホームアドレスの対応を保持し、移動端末のホームアドレス宛てに転送されてきたパケットを気付アドレス宛てに転送するホームエージェントにおいて、
   移動端末毎に、前記移動端末の移動先と相手端末の組合せに基づいて提供するサービスを切替えるサービス切替え手段を
   有することを特徴とするホームエージェント。
2. 請求項１記載のホームエージェントにおいて、
   前記サービス切替え手段は、特定サービスの対象パケットを外部装置に転送する転送手段と、
   前記外部装置で前記特定サービスの処理を実行された対象パケットを受信する受信手段を
   有することを特徴とするホームエージェント。
3. 請求項２記載のホームエージェントにおいて、
   前記特定サービスとして、暗号化レベルを切替えることを特徴とするホームエージェント。
4. 請求項３記載のホームエージェントにおいて、
   前記外部装置は、暗号化レベルに応じて複数設けられ、
   前記転送手段は、暗号化レベルに応じた外部装置に対象パケットを転送することを特徴とするホームエージェント。
5. 請求項２記載のホームエージェントにおいて、
   前記特定サービスとして、閲覧制限レベルを切替えることを特徴とするホームエージェント。
   

Images