JP4351123B2

JP4351123B2 - ユーザ識別子の管理方法、モバイルｉｐエージェント及びホームエージェント

Info

Publication number: JP4351123B2
Application number: JP2004243402A
Authority: JP
Inventors: 克典高橋; 志郎水野; 和彦鈴木; 浩行大西; 裕之渡辺; 文浩谷口
Original assignee: NEC Corp; Nippon Telegraph and Telephone Corp; Hitachi Communication Technologies Ltd
Current assignee: NEC Corp; Nippon Telegraph and Telephone Corp; Hitachi Communication Technologies Ltd
Priority date: 2004-08-24
Filing date: 2004-08-24
Publication date: 2009-10-28
Anticipated expiration: 2024-08-24
Also published as: JP2006060748A

Description

本発明は、ユーザ識別子の管理方法、モバイルＩＰエージェント及びホームエージェントに係り、特に、ＩＰアドレスを保持する移動ノードが移動先のネットワークから自己の位置情報をモバイルＩＰエージェントに対して登録する際の認証及びＩＰパケットの保護を目的としたＩＰsec セキュリティアソシエーション（IPsec ＳＡ）を生成する際に鍵交換を使用するモバイルＩＰシステムでのＩＫＥにおけるユーザ識別子の管理方法、モバイルＩＰエージェント及びホームエージェントに関する。

現在、ＩＥＴＦ(Internet Engineering Task Force）は、Mobile IPv6 の仕様を検討している。この仕様については、非特許文献１に記載されて知られている。

一般に、Mobile IPv6 の網は、移動ノード（ＭＮ：Mobile Node)、ホームエージェント（ＨＡ：Home Agent）、通信相手（ＣＮ：Correspondent Node）を構成要素として含んで構築されている。

ＭＮには、移動しても変わることのない一意のＩＰアドレス（ホームアドレス）が付与されている。通常、ホームアドレスと同一のプレフィックスを持つリンクをホームリンクと呼び、ＨＡは、ホームリンク以外に存在するＭＮの位置情報（Binding Cache)を管理している。

ＭＮは、ホームリンク以外のリンク（在圏リンクという）において、気付アドレス（Care of Address、以下、ＣｏＡという）を取得する。そして、ホームリンク以外に存在するＭＮは、在圏リンクに存在するルータが定期的に送信するルータ広告を受信し、受信したルータ広告からホームアドレスとは異なるプレフィックスを検出することにより自ＭＮの移動を検知してＣｏＡを生成し、ＨＡにホームアドレスとＣｏＡとの対応情報を登録する。

ＭＮは、Home Agent Address Discovery機能（ＨＡアドレス発見機能）を備えて、ＨＡのＩＰアドレスを動的に検索してもよい。この場合、まず、ＭＮは、ホームリンクのプレフィックスからMobile IPv6 Home-Agents Anycast Address を作成する。そして、ＭＮは、前述のアドレス宛にＨＡアドレス発見要求（ICMP Home Agent Address Discovery Request)を送信する。この要求信号は、ホームリンクのいずれかのＨＡに受信される。この要求信号を受信したＨＡは、ＭＮに対してＨＡの情報を含むＨＡアドレス発見応答（ICMP Home Agent Address Discovery Reply)を送信する。ＭＮは、この応答信号からＨＡの情報を取り出し、ＨＡのアドレスを取得し、取得したＨＡのアドレスに対して位置登録信号（Binding Update）を送信する。

ＨＡは、前述の位置登録信号（Binding Update）を受信した際、ＭＮのホームアドレスをターゲットにした Neighbor Solicitationを送信し、一定時間内に同一リンク層からの対応する応答(Neighbor Advertisement)がなければ、同一のリンク層内に該当ホームアドレスを使用している端末はないと判断し、ＭＮの位置情報をBinding Cache に格納する。

次に、ＨＡは、ＭＮのプロキシとして動作するため、ＭＮの代わりにNeighbor Advertisementをホームリンクのall-nodes multicast アドレス宛に送信する。このNeighbor Advertisementを受信したノードは、Neighbor Cacheに、ＭＮのホームアドレスとＨＡのリンクレイヤアドレスとの対応情報を格納する。これにより、ＨＡは、ＭＮのホームアドレス宛に送信されたパケットを捕捉することが可能となる。

Mobile IPv6 は、ホームリンク以外に存在するＭＮに対して、ホーム網のプレフィックス情報を通知する機能を備える。例えば、ホーム網がプレフィックスを変更する場合、ＨＡは、Binding Cache を参照して位置登録中のＭＮにプレフィックス情報を通知（Mobile Prefix Advertisement)する。ＭＮは、ＨＡにプレフィックス情報を要請（Mobile Prefix Solicitation）してもよい。

また、Mobile IPv6 をベースにＭＮの局所的な移動管理を行う技術として、Hierarchical Mobile IPv6 mobility management (HMIPv6) (非特許文献２)が提案されている。

HMIPv6は、ＨＡとＭＮとの間にＭＡＰ(Mobile Anchor Point）を備える。ＭＮは、ＡＲ(Access Router）からＭＡＰオプションを含むルータ広告を受信して、ＭＡＰのＩＰアドレスを取得し、地域気付アドレス(Regional Core of Address : RCoA）とリンク気付アドレス（On-link CoA : LCoA）とを生成する。HMIPv6対応のＭＮは、ＭＡＰとＨＡとに位置登録を行う。ＭＡＰは、ＭＮのＲＣｏＡとＬＣｏＡとのバインディング情報を管理する。ＨＡは、ＭＮのホームアドレスとＲＣｏＡのバインディング情報とを管理する。そして、ＭＮがＭＡＰ内で移動した場合、ＭＮは、ＭＡＰの位置情報のみを更新する。

一方、ＩＰ網上のセキュリティを実現する技術として、IP Security Protocol(IPsec）と呼ばれる技術が注目されている。IPsec は、暗号化技術や認証技術を使用して、ＩＰパケットを安全に運ぶ技術である。Mobile IPv6 は、ＭＮがＨＡに送信する位置登録信号にIPsec を適用する（非特許文献３）。

IPsec は、IPsec を適用する装置の間にIPsec ＳＡ(Security Association)を生成することによってセキュリティ機能を提供する。IPsec を適用する装置は、ＳＰＤ(Security Policy Database)とＳＡＤ(Security Assosiation Database）とを備えて構成される。

ＳＰＤは、パケットの処理方法を規定し、ＳＡＤは、IPsec 適用装置が保持するIPsec ＳＡのリストである。IPsec ＳＡは、ＳＰＩ(Seculity Parameters Index）により識別される。

IPsec ＳＡの生成方法には、手動により生成する方法と自動生成する方法とがある。ＩＫＥ(Internet Key Exchange）は、前述のIPsec ＳＡを自動生成・管理するプロトコルである。

ＩＫＥは、Proposal交換機能と、秘密対称鍵を生成する機能と、ＩＫＥ通信相手の認証機能とを用いてＩＫＥフェーズ１により、ISAKMP(Internet Security Association and Key Management Protocol) ＳＡを自動生成し、その後、ISAKMP ＳＡを生成した通信相手とＩＫＥフェーズ２とにより、IPsec ＳＡを自動生成する。そして、ＩＫＥフェーズ１、ＩＫＥフェーズ２のやりとりを行うパケットには、ＭＮとＨＡあるいはＭＡＰとを識別する乱数であるクッキー(Cookie)情報が設定される。すなわち、例えば、ＭＮが能動側となってＨＡあるいはＭＡＰにアクセスを行う場合に、ＭＮを識別するためのクッキー情報がパケットに設定され、ＨＡあるいはＭＡＰが応答する際、前述のＭＮを識別するためのクッキー情報と対になるようにＨＡあるいはＭＡＰを識別するためのクッキー情報が設定される。

そして、ＩＫＥフェーズ１及びＩＫＥフェーズ２を用いて端末を識別させるるために、ＭＮは、識別子ペイロードによりユーザ識別子を通知するが、Mobile IPv6 で用いるユーザ識別子とは独立の識別子を通知する。通知を受ける受動側がＭＡＰの場合、ＭＮは、ＩＫＥフェーズ１により、ユーザ識別子としてホームアドレスを通知し、ＭＡＰは、通知されたホームアドレスをキーに ISAKMP ＳＡを生成する。そして、ＩＫＥフェーズ２において、ＭＮは、IPsec ＳＡを識別するためにユーザ識別子としてＲＣｏＡを通知し、ＭＡＰは、通知されたユーザ識別子をキーにIPsec ＳＡを生成する。
Mobility Support in IPv6 <draft-ietf-mobileip-ipv6-24.txt>、 Work in Progress draft-ietf-mobileip-hmipv6-08.txt、Work in Progress draft-ietf-mobileip-mipv6-ha-ipsec-01.txt、 Work in Progress

モバイルＩＰエージェントにおいて、ＩＫＥフェーズ１とＩＫＥフェーズ２とは、これらのフェーズにより通知される識別子ペイロードに保持されたユーザ識別子には関連なく独立してフェーズを確立するため、同一のユーザ識別子に対して、複数のＭＮがＩＫＥフェーズ２によりIPsec ＳＡの生成要求を行った場合、ＭＡＰ等のＩＫＥ受動側ではその重複を防止することができず、重複したユーザ識別子に対し異なるＭＮからも位置登録が可能になり、本来そのユーザ識別子を使用すべきＭＮの通信が遮断されてしまうという問題点を有している。例えば、悪意のあるユーザのＭＮにおけるＩＫＥフェーズ２の処理時に、すでにIPsec ＳＡを生成しているＭＮと同一のＲＣｏＡをユーザ識別子として設定してIPsec ＳＡを生成する要求を行った場合、ＭＡＰは、すでにIPsec ＳＡを生成して使用しているＭＮと同一のIPsec ＳＡの生成を防止することができないことになり、以後の通信が悪意を持ったユーザのＭＮに取られてしまうことになる。

本発明の目的は、前述した従来技術の問題点を解決し、モバイルＩＰエージェント、または、ホームエージェントのＩＫＥフェーズ２の処理において、すでに確立しているIPsec ＳＡと同一のユーザ識別子に対して異なるＭＮからのIPsec ＳＡの生成を防止し、これにより、位置登録済みのＭＮの通信を保証することができるようにしたユーザ識別子の管理方法、モバイルＩＰエージェント及びホームエージェントを提供することにある。

本発明によれば前述目的は、ＩＰアドレスを保持する移動ノードが移動先のネットワークから自己の位置情報をモバイルＩＰエージェントに対して登録する際の認証及びＩＰパケットの保護を目的としたIPsec セキュリティアソシエーションを生成する手段として鍵交換を使用するモバイルＩＰシステムにおけるユーザ識別子の管理方法において、ＩＫＥフェーズ１でISAKMPセキュリティアソシエーションを確立する際に生成するＩＫＥ能動側クッキー値及びＩＫＥ受動側クッキー値のペアと、ＩＫＥフェーズ２でIPsec セキュリティアソシエーション要求を行う際に、ＩＫＥ能動側によって付与される識別子ペイロードに保持されたユーザ識別子との対応を管理することにより達成される。

また、前記目的は、ＩＰアドレスを保持する移動ノードが移動先のネットワークから自己の位置情報をモバイルＩＰエージェントに対して登録する際の認証及びＩＰパケットの保護を目的としたIPsec セキュリティアソシエーションを生成する手段として鍵交換を使用するモバイルＩＰシステムにおけるモバイルＩＰエージェントにおいて、ＩＫＥフェーズ１でISAKMPセキュリティアソシエーションを確立する際に生成するＩＫＥ能動側クッキー値及びＩＫＥ受動側クッキー値のペアと、ＩＫＥフェーズ２でIPsec セキュリティアソシエーション要求を行う際に、ＩＫＥ能動側によって付与される識別子ペイロードに保持されたユーザ識別子との対応を管理する手段であり、ＩＫＥフェーズ２の処理で移動ノードが通知する識別子ペイロードに、移動先ネットワークにおいて当該移動ノードが動的に生成する地域気付けアドレスを使用する場合、クッキーペアと地域気付けアドレスとを対応情報として管理するユーザ識別子の管理手段と、移動ノードがＩＫＥフェーズ２において使用しているクッキーペアと、すでに管理しているクッキーペアと地域気付けアドレスの対応情報を比較する比較手段とを備えることにより達成される。

本発明によれば、モバイルＩＰエージェントのＩＫＥフェーズ２の処理において、すでに確立しているIPsec ＳＡと同一のユーザ識別子に対して異なるＭＮからのIPsec ＳＡの生成を防止することにより、位置登録済みのＭＮの通信を保証することができる。

以下、本発明によるユーザ識別子の管理方法及びモバイルＩＰエージェントの実施形態を図面により詳細に説明する。ここで説明する本発明の実施形態は、Mobile IPv6 対応の移動ノード（ＭＮ）がホームリンク（以下、ホーム網）以外の網（以下、在圏網）を移動するときの、モバイルＩＰエージェントでのＩＫＥフェーズ２における ISAKMP ＳＡを生成したＭＮとIPsec ＳＡを生成しようとしているＭＮとが異なるか否かを判断する方法について説明する実施形態である。

図１は本発明が適用されるモバイルＩＰエージェントを備えて構成される通信網の構成例を示すブロック図である。図１において、１はＨＡ、２ａ、２ｂはモバイルＩＰエージェント（ＭＩＰ agent）、３ａ、３ｂはＭＮ、４ａ〜４ｄは在圏網、５ａ〜５ｄはルータ、６はホーム網、７はＩＰ網である。

本発明の実施形態によるモバイルＩＰエージェントを備える通信網は、ＭＮ３ａ、３ｂが所属するホーム網６とＩＰ網７と複数の在圏網４ａ〜４ｄとから構成される。図示通信網において、ホーム網６、ＩＰ網７、及び、在圏網４ａ〜４ｄは、IPv6網である。ＭＮ３ａ、３ｂは、Mobile IPv6 対応の移動ノード（ＭＮ）である。在圏網４ａ、４ｂとＩＰ網７とは、モバイルＩＰエージェント２ａを介して接続され、在圏網４ｃ、４ｄとＩＰ網７とは、モバイルＩＰエージェント２ｂを介して接続され、さらに、ＩＰ網７とホーム網６とは、ＨＡ１を介して接続される。在圏網４ａ、４ｂは、モバイルＩＰエージェント２ａを共有すると共に、それぞれルータ５ａ、５ｂを備えて構成され、在圏網４ｃ、４ｄは、モバイルＩＰエージェント２ｂを共有すると共に、それぞれルータ５ｃ、５ｄを備えて構成される。また、モバイルＩＰエージェント２ａは、ルータ５ａ、５ｂとのインタフェース、及び、ＩＰ網７とのインタフェースを備え、モバイルＩＰエージェント２ｂは、ルータ５ｃ、５ｄとのインタフェース、及び、ＩＰ網７とのインタフェースを備えている。

前述したように構成される通信網の中をＭＮ３ａ、３ｂが、在圏網４ａ、４ｂ等に移動した場合、移動したＭＮは、従来技術で説明したように、地域気付アドレスＲＣｏＡを取得する。そして、ＭＮ３ａ、３ｂが、在圏網４ａまたは４ｂに移動している場合、モバイルＩＰエージェント２ａは、ＭＮ３ａまたは３ｂとの間で行うＩＫＥフェーズ２処理の際に、ISAKMP ＳＡを生成したＭＮとIPsec ＳＡを生成しようとしているＭＮとが異なるか否かを判定することになる。

図２は本発明の実施形態によるＭＮとモバイルＩＰエージェントとの間で行われるＩＫＥフェーズ１、ＩＫＥフェーズ２でのパケットの授受を説明するシーケンスチャートの例であり、次に、これについて説明する。図２において、ＭＮ２０１、２０２は、図１でのＭＮ３ａ、３ｂに相当し、これらのＭＮが在圏網４ａまたは４ｂに移動しているものとする。この場合、モバイルＩＰエージェント２０３は、図１でのモバイルＩＰエージェント２ａに相当する。

（１）まず、ＭＮ２０１とモバイルＩＰエージェント２０３との間で、従来技術で説明したと同様に、よく知られている方法で、ＩＫＥフェーズ１及びＩＫＥフェーズ２を確立させる。

（２）そして、ＭＮ２０１とモバイルＩＰエージェント２０３との間で行うＩＫＥフェーズ１の処理時に、ＭＮ２０１は、クッキー情報（従来技術で説明したように、このクッキー情報は、ＭＮ及びモバイルＩＰエージェントを識別するクッキー値のペアである）と識別子ペイロードとしての自ＭＮのホームアドレスとを乗せたパケットをモバイルＩＰエージェント２０３に送信する（シーケンス２０４）。

（３）次に、ＭＮ２０１とモバイルＩＰエージェント２０３との間で行うＩＫＥフェーズ２の処理時に、ＭＮ２０１は、クッキー情報と識別子ペイロードとしての自ＭＮの地域気付アドレスＲＣｏＡとを乗せたパケットをモバイルＩＰエージェント２０３に送信する（シーケンス２０５）。

（４）モバイルＩＰエージェント２０３は、前述したＩＫＥフェーズ１の処理で通知されるクッキー情報と、ＩＫＥフェーズ２の処理で通知される識別子ペイロードに含まれるユーザ識別子としての地域気付アドレスＲＣｏＡとクッキー情報とを保持する（処理２０６）。

（５）その後、別のＭＮ２０２がモバイルＩＰエージェント２０３との間で、ＩＫＥフェーズ１及びＩＫＥフェーズ２を確立させ、ＩＫＥフェーズ１の処理を行った後、ＩＫＥフェーズ２の処理で、ＭＮ２０２が、ユーザ識別子としてシーケンス２０５でＭＮ２０１から通知した地域気付アドレスＲＣｏＡと同一のＲＣｏＡを識別子ペイロードに乗せてモバイルＩＰエージェントに通知したものとする（シーケンス２０７）。

（６）モバイルＩＰエージェント２０３は、シーケンス２０７で通知されたユーザ識別子としてのＲＣｏＡをキーとして、処理２０６で登録したクッキー情報を検索し、対応するクッキー情報（このクッキー情報は、ＭＮ２０１のＩＫＥフェーズ１でのクッキー情報である）が存在した場合、このクッキー情報とＭＮ２０２のＩＫＥフェーズ１で受信したクッキー情報とが一致しているか否かを判定し、一致していなかった場合、ユーザ識別子としてのＲＣｏＡの重複であり、ISAKMP SA を生成したＭＮ２０１とIPsec ＳＡを生成しようとしたＭＮ２０２とが異なると判断する（２０８）。

図３は本発明の実施形態によるモバイルＩＰエージェントでＭＮからのＩＫＥフェーズ２を受信した際の処理動作を説明するフローチャートであり、次に、これについて説明する。

（１）モバイルＩＰエージェントは、ＭＮから通知されたＩＫＥフェーズ２のユーザ識別子とクッキー情報とを取得する(ステップ３０１、３０２)。

（２）ステップ３０１、３０２にて取得したユーザ識別子と対応するクッキー情報との対応をすでに保持しているか否かを検索する（ステップ３０３）。

（３）ステップ３０３の検索の結果、該当するクッキー情報の有無を判定し、該当するクッキー情報が無い場合、ステップ３０１、３０２の処理で得られたクッキー情報を、新たなユーザ識別子とクッキー情報との対応として保持し、ここでの処理を終了する（ステップ３０４、３０５）。

（４）ステップ３０４の判定で、既に該当するクッキー情報があった場合、ステップ３０３にて得られたクッキー情報と、すでに保持しているＩＫＥフェーズ１により通知されたクッキー情報とが一致するか否かを判定する（ステップ３０６）。

（５）ステップ３０６の判定で、クッキー情報が一致していた場合、ＩＫＥフェーズ１の処理でISAKMP SA を生成したＭＮとＩＫＥフェーズ２の処理でIPsec ＳＡを生成しようとしているＭＮとは一致していると判定し、不一致であった場合、ＩＫＥフェーズ１の処理でISAKMP SA を生成したＭＮとＩＫＥフェーズ２の処理でIPsec ＳＡを生成しようとしているＭＮとは一致していないと判定する（ステップ３０７、３０８）。

図３には示していないが、その後、モバイルＩＰエージェントは、ISAKMP SA を生成したＭＮと新たにIPsec ＳＡを生成しようとしているＭＮとが異なると判断した場合、当該ＭＮに対してエラーメッセージを送信し、当該ＭＮとのIPsec ＳＡを確立しない。

また、モバイルＩＰエージェントは、ISAKMP SA を生成したＭＮと新たにIPsec ＳＡを生成しようとしているＭＮとが同一であると判断した場合、当該ＭＮとのIPsec ＳＡを確立する。

前述したように、本発明の実施形態によれば、モバイルＩＰエージェントでのＩＫＥフェーズ２により通知されるユーザ識別子が既に存在し、ユーザ識別子に対応するクッキー情報がＩＫＥフェーズ１の処理で通知されたクッキー情報とが異なるか否か判断することにより、ISAKMP SA を生成したＭＮとIPsec ＳＡを生成しようとしているＭＮとが異なるか否か判断することが可能となる。

前述した本発明の実施形態は、在圏網とＩＰ網とを接続するモバイルＩＰエージェントが在圏網に移動しているＭＮの位置情報を登録管理する場合を例として説明したが、本発明は、在圏網とＩＰ網とをゲートウェイ（ＧＷ）により接続して構成される通信網において、在圏網に移動しているＭＮの位置情報をＨＡに登録管理させる場合にも適用することができる。

図４は本発明が適用される通信網の他の構成例を示すブロック図である。この例は、在圏網に移動しているＭＮの位置情報をＨＡに登録管理させる場合の例であり、在圏網４ａ、４ｂとＩＰ網７とがゲートウェイ（ＧＷ）２ｃ、２ｄにより接続されている点を除いて、図１に示した通信網と同様に構成される。

そして、この例の場合、ホーム網６とＩＰ網７とを接続するＨＡ１が、前述までに説明したモバイルＩＰエージェントと同様にして、ユーザ識別子の管理を行い、ＩＫＥフェーズ１、２による処理を在圏網に移動したＭＮとの間で行うようにすることにより、前述と同様な効果を得ることができる。

本発明が適用されるモバイルＩＰエージェントを備えて構成される通信網の構成例を示すブロック図である。本発明の実施形態によるＭＮとモバイルＩＰエージェントとの間で行われるＩＫＥフェーズ１、ＩＫＥフェーズ２でのパケットの授受を説明するシーケンスチャートである。本発明の実施形態によるモバイルＩＰエージェントでＭＮからのＩＫＥフェーズ２を受信した際の処理動作を説明するフローチャートである。本発明が適用される通信網の他の構成例を示すブロック図である。

符号の説明

１ＨＡ
２ａ、２ｂモバイルＩＰエージェント
２ｃ、２ｄゲートウェイ（ＧＷ）
３ａ、３ｂＭＮ
４ａ〜４ｄ在圏網
５ａ〜５ｄルータ
６ホーム網
７ＩＰ網

Claims

ＩＰアドレスを保持する移動ノードが移動先のネットワークから自己の位置情報をモバイルＩＰエージェントに対して登録する際の認証及びＩＰパケットの保護を目的としたIPsec セキュリティアソシエーションを生成する手段として鍵交換を使用するモバイルＩＰシステムにおけるユーザ識別子の管理方法において、
ＩＫＥフェーズ１でISAKMPセキュリティアソシエーションを確立する際に生成するＩＫＥ能動側クッキー値及びＩＫＥ受動側クッキー値のペアと、ＩＫＥフェーズ２でIPsec セキュリティアソシエーション要求を行う際に、ＩＫＥ能動側によって付与される識別子ペイロードに保持されたユーザ識別子との対応を管理することを特徴とするＩＫＥにおけるユーザ識別子の管理方法。
ＩＰアドレスを保持する移動ノードが移動先のネットワークから自己の位置情報をモバイルＩＰエージェントに対して登録する際の認証及びＩＰパケットの保護を目的としたIPsec セキュリティアソシエーションを生成する手段として鍵交換を使用するモバイルＩＰシステムにおけるモバイルＩＰエージェントにおいて、
ＩＫＥフェーズ１でISAKMPセキュリティアソシエーションを確立する際に生成するＩＫＥ能動側クッキー値及びＩＫＥ受動側クッキー値のペアと、ＩＫＥフェーズ２でIPsec セキュリティアソシエーション要求を行う際に、ＩＫＥ能動側によって付与される識別子ペイロードに保持されたユーザ識別子との対応を管理する手段であり、ＩＫＥフェーズ２の処理で移動ノードが通知する識別子ペイロードに、移動先ネットワークにおいて当該移動ノードが動的に生成する地域気付けアドレスを使用する場合、クッキーペアと地域気付けアドレスとを対応情報として管理するユーザ識別子の管理手段と、
移動ノードがＩＫＥフェーズ２において使用しているクッキーペアと、すでに管理しているクッキーペアと地域気付けアドレスの対応情報を比較する比較手段とを備えることを特徴とするモバイルＩＰエージェント。
前記比較手段での比較の結果、ユーザ識別子が一致し、クッキーペアが不一致であった場合に、ＩＫＥフェーズ１によりISAKMPセキュリティアソシエーションを生成した移動ノードと、ＩＫＥフェーズ２によりIPsec セキュリティアソシエーションを生成しようとしている移動ノードとが異なると判断し、ユーザ識別子が一致し、クッキーペアが一致した場合に、ＩＫＥフェーズ１によりISAKMPセキュリティアソシエーションを生成した移動ノードと、ＩＫＥフェーズ２によりIPsec セキュリティアソシエーションを生成しようとしている移動ノードとが同一であると判断する判断手段を備え、
前記判断手段が異なると判断した場合に、IPsec セキュリティアソシエーションを生成しようとしている移動ノードに対してエラーメッセージを送信し、当該移動ノードとのIPsec セキュリティアソシエーションを確立させず、前記判断手段が同一と判断した場合に、当該移動ノードとのIPsec セキュリティアソシエーションを確立させることを特徴とする請求項２記載のモバイルＩＰエージェント。
ＩＰアドレスを保持する移動ノードが移動先のネットワークから自己の位置情報をホームエージェントに対して登録する際の認証及びＩＰパケットの保護を目的としたIPsec セキュリティアソシエーションを生成する手段として鍵交換を使用するモバイルＩＰシステムにおけるホームエージェントにおいて、
ＩＫＥフェーズ１でISAKMPセキュリティアソシエーションを確立する際に生成するＩＫＥ能動側クッキー値及びＩＫＥ受動側クッキー値のペアと、ＩＫＥフェーズ２でIPsec セキュリティアソシエーション要求を行う際に、ＩＫＥ能動側によって付与される識別子ペイロードに保持されたユーザ識別子との対応を管理する手段であり、ＩＫＥフェーズ２の処理で移動ノードが通知する識別子ペイロードに、移動先ネットワークにおいて当該移動ノードが動的に生成するホームアドレスを使用する場合、クッキーペアとホームアドレスとを対応情報として管理するユーザ識別子の管理手段と、
移動ノードがＩＫＥフェーズ２において使用しているクッキーペアと、すでに管理しているクッキーペアとホームアドレスの対応情報を比較する比較手段とを備えることを特徴とするホームエージェント。
前記比較手段での比較の結果、ユーザ識別子が一致し、クッキーペアが不一致であった場合に、ＩＫＥフェーズ１によりISAKMPセキュリティアソシエーションを生成した移動ノードと、ＩＫＥフェーズ２によりIPsec セキュリティアソシエーションを生成しようとしている移動ノードとが異なると判断し、ユーザ識別子が一致し、クッキーペアが一致した場合に、ＩＫＥフェーズ１によりISAKMPセキュリティアソシエーションを生成した移動ノードと、ＩＫＥフェーズ２によりIPsec セキュリティアソシエーションを生成しようとしている移動ノードとが同一であると判断する判断手段を備え、
前記判断手段が異なると判断した場合に、IPsec セキュリティアソシエーションを生成しようとしている移動ノードに対してエラーメッセージを送信し、当該移動ノードとのIPsec セキュリティアソシエーションを確立させず、前記判断手段が同一と判断した場合に、当該移動ノードとのIPsec セキュリティアソシエーションを確立させることを特徴とする請求項４記載のホームエージェント。