JP4392038B2

JP4392038B2 - 移動可能ネットワーク用ネットワークモビリティサポート及びアクセス制御

Info

Publication number: JP4392038B2
Application number: JP2007502752A
Authority: JP
Inventors: ジョンソン王山; 良司加藤
Original assignee: テレフオンアクチーボラゲットエルエムエリクソン（パブル）
Priority date: 2004-03-09
Filing date: 2004-11-24
Publication date: 2009-12-24
Anticipated expiration: 2024-11-24
Also published as: US20070223410A1; ATE393532T1; DE602004013377D1; DE602004013377T2; US7990935B2; JP2007528666A; EP1723764B1; WO2005094037A1; EP1723764A1; ES2304165T3

Description

本発明の技術分野
本発明は、一般的には、ネットワークモビリティサポート及びアクセス制御に関するものであり、より詳しくは、広くはモバイル（mobile：移動体）ネットワークとも呼ばれる移動可能（movable：移動可能）ネットワーク用のアクセス制御に関するもでのである。

本発明の背景
モバイルＩＰは、どのようにして基本的なノードモビリティサポートを提供するかについての例となる。これは、ノードに、インターネットトポロジー内で移動可能にしつつ、対応するノードへの到達可能性及び継続的な接続を維持することを可能にする。この状況では、各モバイルノードは、インターネットへの自身の現在の接続点とは関係なく、通常は、自身のホームアドレスによって識別される。自身のホームネットワークから離れる状況では、移動ノードも気付アドレス（ＣｏＡ）に関連付けられている。この気付アドレスは、移動ノードの現在の位置についての情報を提供するものである。モバイルＩＰは、ホームエージェント（ＨＡ）として呼ばれるエンティティを導入していて、これは、モバイルノードに向けられるパケットを捕捉し、かつ多かれ少なかれそれらを透過的に移動ノードの気付アドレスに送信することによってノードモビリティをアンカー（anchor）する。移動ノードは、気付アドレスとホームアドレスとをバインドするアドレス（アドレスバインディング）を確立し、いわゆるバインディング更新を自身のホームエージェント（ＨＡ）と、それと通信する対応するノードへ送信する。

文献［１］は、モバイルＩＰバージョン４（ＭＩＰｖ４）準拠のホームエージェントを開示している。これは、モバイルＩＰベースのサービスアクセスを使用して、モバイルＩＰクライアント機能を有する移動局にＩＰｖ４インターネットへアクセスすることを可能にする。

モバイルＩＰバージョン６（ＭＩＰｖ６）プロトコル［２］は、ノードに、ＩＰｖ６インターネット内を移動しながら、到達可能性を維持することを可能にする。

文献［３］に記載されるホストアイデンティティプロトコル（ＨＩＰ）は、モバイルＩＰとは若干異なる方法でモビリティに取り組んでいる。現在のインターネットでは、ノードあるいはホストは、ホストのトポロジー的な位置に依存するＩＰアドレスを使用して識別される。ＩＰアドレスは、ホストとトポロジー的な位置の両方を識別するので、ＩＰアドレス名前空間は簡単に過負荷になる。ＨＩＰプロトコルは、ホストアイデンティティ用の新規の名前空間の導入に基づいて、位置情報とホストアイデンティティ情報を分ける方法を提案している。各ホストは、少なくとも１つのホストアイデンティティと、対応するホスト識別子を持つことになる。ホスト識別子は、実際には暗号法であり、これは、非対称キーペアのパブリックキーである。ＨＩＰベースのホストは、インターネットへの接続点を変更することができる。この接続点が変更される場合、ＩＰアドレスも変更される。この変更された位置情報は、同位（ピア）ノードへ送信される。同一のアドレスも、いわゆるホストの転送エージェント（ＦＡ）に送信され、そうすることで、ＦＡによって提供されるより適切な点を介してホストにも到達することができる。ＨＩＰモビリティは、ホストの現在のＩＰアドレスを含む再アドレス（re-address）パラメータを定義している。ホストが位置及びＩＰアドレスを変更する場合、再アドレスパラメータを有する更新パケットを生成して、そのパケットを、使用されるホストアイデンティティとマッチするプライベートキーで署名して、そのパケットを同位ノードとＦＡへ送信する。同位ノードは、その再アドレスパラメータで、ＩＰアドレスのアドレス検証を実行する。

上述のプロトコルはノードモビリティを処理するためには適切であるかもしれないが、これらは、ネッワークモビリティの必要性を明示的に取り扱ってはいない。ここで、ネットワークモビリティとは、１つ以上のモバイルルータとそれに関連するノードを備える、いわゆる移動可能あるいはモバイルネットワークが、インターネットトポロジー内を移動することである。移動可能あるいはモバイルネットワークの構成は、様々なレベルの複雑性を持っていても良い。単純な場合では、モバイルネットワークは、モバイルルータとそれに接続するノードだけを含んでいる。より複雑な状況では、モバイルネットワークは、ユニットして移動することができる集合を形成するローカルルータによって相互接続されていて、かつ１つ以上のモバイルルータを介してバックボーンに相互接続されているサブネットのセットであっても良い。移動可能あるいはモバイルネットワークの例は、以下のものがある。

・ユーザの他のＩＰデバイス（例えば、移動電話、パーソナルデジタルアシスタント、コミュニケータ、ハンドヘルドコンピュータ及びその類）のセットに対するモバイルルータとして動作する、セルラー及びＷＬＡＮ（無線ローカルエリアネットワーク）の少なくとも一方のホットスポット接続を有し、かつユーザが異なるネットワーク間を移動するような外部ネットワークへの接続性を提供するラップトップ
・車両が異なるネットワーク間を移動するような外部ネットワークへの接続性を提供する１つ以上のモバイルルータを有し、自身の装備及び自身の搭乗者のラップトップ及び他の通信装置に対して、媒体ネットワークを装備する車、バスあるいは列車のような車両
ネットワークモビリティは、通常、ノードモビリティ概念以外のより複雑なモビリティ状況を導入している。ホームネットワークあるいは訪問先ネットワークでの、移動可能あるいはモバイルネットワークは、モバイルノード及び、他の移動可能あるいはモバイルネットワークの少なくとも一方によって、自身に訪問されても良い。

インターネットエンジニアリングタスクフォース（ＩＥＴＦ）のＮＥＭＯ（ネットワークモビリティ）ワーキンググループは、モバイルＩＰトンネリングメカニズムに基づくソリューションを提案していて、これは、既存のモバイルＩＰプロトコルのモビリティ構成を有する高度な相互接続性を提供する。

文献［４］に記載されるＮＥＭＯベーシックサポートプロトコルは、いわゆる移動可能あるいはモバイルネットワークに、インターネット内の異なる地点に接続することを可能にする。このプロトコルは、モバイルＩＰｖ６の拡張であり、かつネットワークを移動するモバイルネットワーク内の各ノードに対してセッション継続性を可能にする。また、ネットワークを移動するモバイルネットワーク内の各ノードに対して接続性及び到達可能性を補償する。モバイルネットワークをインターネットへ接続するモバイルルータは、自身のホームエージェントで、ＮＥＭＯベーシックサポートプロトコルを実行する。このプロトコルは、ネットワークモビリティがモバイルネットワーク内のノードに対して透過的であるように設計されている。パケットをモバイルルータにトンネルするために、ホームエージェントは、モバイルネットワーク内のノードのホームアドレスと、モバイルルータのホームアドレスとを関連付けることを可能にする必要がある。移動可能あるいはモバイルネットワーク内のノードを認識するためには、モバイルルータによって所有されるＩＰアドレスのプレフィックスを知っていることで十分である。この情報は、典型的にはホームエージェントで構成される。

より高度なネットワークモビリティに対して可能なアプローチは、文献［５］に記載されるプレフィックススコープバインディング更新概念である。これは基本的には、モバイルルータが、ＭＩＰｖ６バインディング更新だけでなく、移動可能ネットワークプレフィックスをモバイルルータの気付アドレスとバインディングするためのプレフィックススコープバインディング更新を伴う自身のモビリティを広告することを提案している。

アクセス制御は、ネットワークモビリティサポートの大規模配置のための重要な側面である。ネットワークモビリティの大規模配置は、通常、商用用途で見受けられる。この商用用途では、インターネットサービスプロバイダ（ＩＳＰ）が、固定アクセスルータ及びモバイルアクセスルータを提供し、かつ加入者にインターネット接続用のアクセスルータに装置（デバイス）を接続することを可能にする。このような用途の例には、これに制限されるものではなく、例えば、列車、船舶及び航空機のような車両内のインターネットアクセスの提供も含んでいる。

アクセス制御の必要性は、考慮されるネットワーク内で提供されるサービス及びリソースの少なくとも一方へのアクセスを得るために、ネットワーク及びアイデンティティ自身に未知の装置を接続することを可能にするあらゆるネットワークに存在している。アクセス制御は、例えば、支払加入者の関心を保護するために、これらのネットワークで必要とされ得る。アクセス制御が存在しないと、ネットワークリソースの重要な部分が無認可ユーザによって使用される可能性があり、これによって、正規の加入者に提供されるサービスの品質に影響を与えることになる。

文献［６］は、ＮＥＭＯ用の基本的なＡＡＡ（認証、認可及びアカウンティング（課金））モデルと、その様々な使用状況を記載している。ＮＥＭＯベースのモバイルネットワーク内のノードに対するクライアントアクセス認証に関して、この文献は、訪問モバイルノードとモバイルルータ間のＡＡＡソリューションを提案している。このモバイルルータは、本質的には、ネットワークアクセスサーバとして実行する／動作するモバイルルータを持っている。訪問モバイルノードは、「リンクローカル」ＡＡＡプロトコルを使用して、関連メッセージを自身に接続されるモバイルルータへ送信することによって初めてアクセスリクエストを開始する。モバイルルータは、「グローバル」ＡＡＡプロトコルを採用することによって、外部ＡＡＡサーバ（例えば、訪問モバイルノードのホームネットワーク内）と接続して、実際の認証及び認可を実行する。しかしながら、これは、ＲａｄｉｕｓあるいはＤｉａｍｅｔｅｒのような高負荷（heavyweight）のプロトコルが、無線で使用されることになり、これは、十分でない無線リソースを良好に使用することはないことを意味する。

このように、移動可能あるいはモバイルネットワークに対しては、改良されたネットワークモビリティサポートと、より具体的に改良されたアクセス制御が一般的に必要とされている。

要約
本発明は、従来技術の構成の上記の欠点及び他の欠点を解決する。

本発明の一般的な目的は、通常は移動可能あるいはモバイルネットワークと呼ばれるネットワークで可能なネットワークモビリティのためのネットワークモビリティサポート及びアクセス制御を改善することである。

特に、無線リソースの利用を改善するアクセス制御メカニズムを検出することが望ましい。

本発明の目的は、移動可能ネットワーク用のアクセス制御のための方法及び装置を提供することである。

特別な目的は、改善されたネットワークアクセス制御をサポートする、いわゆるモビリティアンカーリングエージェントを提供することである。

別の特別な目的は、モビリティアンカーリングエージェントとともに動作するための対応実施点を提供することである。

本発明の特別な目的は、ネットワークモビリティサポートのための改善された方法及び装置を提供することである。

これら及び他の目的は、請求項によって定義される発明によって実現される。

本発明に従う基本的な概念は、モバイルルータと、そのモバイルルータのためのネットワークモビリティをアンカーするモビリティアンカーリングエージェントの両方にアクセス制御実施点を配置し、モバイルルータへのダウンリンクパケットをフィルタ処理するためにモビリティアンカーリングエージェントでアクセス制御を実行し、かつモビリティアンカーリングエージェントへのアップリンクパケットをフィルタ処理するためにモバイルルータでアクセス制御を実行することである。この方法では、アップリンク及びダウンリンクでの両方の未認可パケットは、フィルタ処理される前にエアインタフェースを通過することはない。これによって、貴重な無線リソースの浪費を防止する。

モビリティアンカーリングエージェントは、例えば、モバイルルータのホームネットワーク内のホームエージェント、いわゆるモバイルルータホームエージェント（ＭＲＨＡ）であっても良い。選択的には、モビリティアンカーリングエージェントは、訪問先ネットワークのローカル転送エージェント（ＦＡ）であっても良い。

好ましくは、モビリティアンカーリングエージェントは、モバイルルータとともに、ＮＥＭＯベース（ネットワークモビリティ）のモビリティサポートプロトコルを実行する。モバイルルータは、典型的には、ＮＥＭＯ双方向トンネルを介してモビリティアンカーリングエージェントと相互接続されていて、アップリンク及びダウンリンクパケットの両方は、ＮＥＭＯ双方向トンネルの前にフィルタ処理される。但し、本発明は、一般的には、任意のネットワークモビリティ実現可能ネットワークに適用可能であることが理解されるべきである。

自身のアクセス制御モジュールを有するアクセス制御実施点には、典型的には、プロビジョニング情報がプロビジョンされ、このプロビジョニング情報は、構成（コンフィグレーション）情報とも呼ばれ、例えば、アクセス制御ソースからのアクセス制御フィルタ情報である。これは、通常は、総合ＡＡＡインフラストラクチャの一部を形成する。アクセス制御ソースは、例えば、１つ以上のＡＡＡサーバと協同するＡＡＡクライアントであっても良く、このＡＡＡサーバは、移動可能ネットワーク内のノードに対する潜在的な認証及び認可情報を提供する。

プロビジョニング情報は、様々な方法でアクセス制御実施点へ送信されても良い。フラットプロビジョニングアーキテクチャでは、例えば、同一のプロビジョニング情報が、同一のアクセス制御ソースから各実施点へ送信されても良く、これによって、単純な実装を提供する。選択的には、階層プロビジョニングアーキテクチャでは、モビリティアンカーリングエージェントは、アクセス制御ソースからプロビジョニング情報を受信し、ダウンリンクに関連するプロビジョニング情報の一部を用いて自身のアクセス制御モジュールのプロビジョニングを行い、続いて、アップリンクに関連するプロビジョニング情報の一部を、モバイルルータのアクセス制御モジュールのプロビジョニングを行うためにモバイルルータへ転送する。階層アーキテクチャは、ダウンリンクに関連するプロビジョニング情報がエアインタフェースを介してモバイルルータ実施点へ送信されることはないという利点を持っていて、改めて言えば、貴重な無線リソースを節約する。

好ましくは、アクセス制御ソースとして動作するＡＡＡクライアントは、モビリティアンカーリングエージェントとして同一ネットワークに配置され、ＡＡＡクライアントからのプロビジョニング情報が、モビリティアンカーリングエージェントとモバイルルータ間の双方向リンク（例えば、ＮＥＭＯトンネル）を少なくとも部分的に介して、モバイルルータ側へ送信される。この方法では、エアインタフェースを介して、ＲａｄｉｕｓあるいはＤｉａｍｅｔｅｒのような高負荷（heavyweight）のＡＡＡプロトコルを使用する必要がなくなる。代わりに、低負荷（lightweight）のプロトコル、例えば、ＰＡＮＡ（ネットワークアクセス用認証搬送プロトコル）、ＰＰＰ（ポインツーポイントプロトコル）あるいはＩＥＥＥ８０２．１Ｘを、双方向リンクを介して認証及び認可情報を搬送するために使用することができる。

本発明の構成は、一般的には、モビリティアンカーリングエージェントとして同一ネットワークに配置されるアクセス制御ソースからのプロビジョニング情報をモバイルルータ側に送信するために、モバイルルータとモビリティアンカーリングエージェント間の双方向リンクを再使用することとは、独立して実現することができる。

本発明は、主に以下の利点を実現する。

・ネットワークモビリティサポートの改善
・ネットワークアクセス制御の改善
・無線リソース利用の改善
本発明によって実現される他の利点は、本発明の実施形態の説明を読むことで理解されるであろう。

本発明の実施形態の詳細説明
図面全体を通して、同一の参照文字は、対応するものあるいは同様の要素のために使用する。

図１は、本発明の実施形態に従うネットワークモビリティサポート及びアクセス制御用の基本アーキテクチャを示す図である。本発明は、移動可能あるいはモバイルネットワーク１５を管理するモバイルルータ（ＭＲ）１０と、モビリティアンカーリング（anchoring）エージェント（ＭＡＡ）２０の形態でのネットワーク側対応機器を含む環境に適用可能である。この対応機器は、移動可能ネットワーク１５のモビリティ構成をアンカーし、かつ他の機器間とで、対応ノード（ＣＮ）３０に対する情報を送受信する。背景の項で上述したように、モバイルルータ１０は、典型的には、双方向ＮＥＭＯトンネルのような双方向リンク４０を介して、モビリティアンカーリングエージェント２０と相互接続している。

移動可能あるいはモバイルネットワークは、様々なレベルの複雑度を持っていても良い。単純にする場合では、モバイルネットワークは、モバイルルータとそれの接続ノードだけを含んでいる。より複雑な状況では、モバイルネットワークは、ローカルルータによって相互接続され、かつ１つ以上のモバイルルータを介するバックボーンに相互接続されるサブネットのセットであっても良い。図１では、移動可能ネットワークは、中間レベルの複雑度を持つように示されている。移動可能ネットワーク１５は単一のモバイルルータ１０によって管理されているが、ローカルノード１６とローカルルータ１７を含んでいる。

本発明の基本概念は、アクセス制御実施点（ＥＰ）１１、２１を、モバイルルータ１０とモビリティアンカーリングエージェント２０の両方に配置して、モビリティアンカーリングエージェント２０でアクセス制御を実行してモバイルルータへのダウンリンクパケットをフィルタ処理し、かつモバイルルータ１０でアクセス制御を実行してモビリティアンカーリングエージェントへのアップリンクパケットをフィルタ処理することである。この方法では、アップリンク及びダウンリンク双方の未認可パケットが、フィルタ処理される前にエアインタフェースを通過することはない。これによって、モバイルインターネット内の有用な無線リソースを無駄にすることを防止する。

モビリティアンカーリングエージェント２０は、モバイルルータ１０のモビリティ構成をアンカーリングすることを担当するネットワーク側のモバイルルータ対応機器であっても良い。例えば、モビリティアンカーリングエージェントは、モバイルルータのホームネットワーク内のホームエージェント（ＨＡ）、いわゆるモバイルルータホームエージェント（ＭＲＨＡ）、あるいは訪問先ネットワーク内のローカル転送エージェント（ＦＡ）であっても良い。

自身のアクセス制御モジュールを有するアクセス制御実施点１１、２１には、典型的には、アクセス制御ソース５０からのアクセス制御フィルタ情報のようなプロビジョニング（provisioning）あるいは構成（コンフィグレーション）情報が供給される。このアクセス制御ソース５０は、通常は、統合ＡＡＡインフラストラクチャの一部を形成している。アクセス制御ソース５０として動作するＡＡＡコンポーネントは、通常は、１つ以上のＡＡＡ局６０と協同する。このＡＡＡ局６０は、移動可能ネットワーク１５内のノードに対し、潜在的な認証及び認可情報を提供する。

図２は、本発明の実施形態に従うネットワークモビリティサポートアーキテクチャの図である。この例では、モビリティアンカーリングエージェント２０は、関連するアクセス制御実施点（ＥＰ）を備えるモバイルルータホームエージェント（ＭＲＨＡ）である。上述の方法と同様の方法で、モバイルルータ１０におけるＥＰ１１は双方向リンク４０上のアップリンクパケットを監視し、かつフィルタ処理を実行する。また、ＭＲＨＡ２０におけるＥＰ２１は、ダウンリンクパケットを監視し、かつフィルタ処理を実行する。ここで、アクセス制御ソースは、ＡＡＡクライアント５０あるいは同様のＡＡＡコンポーネントに実装される。これは、モバイルルータのホームネットワークに配置されることが好ましい。移動可能ネットワーク１５内の所与のローカルノード１６に対するアクセス制御情報は、最初に、ローカルノードのホームネットワークに関連付けられているＡＡＡサーバ６０によって提供される。このノードの認証が成功すると、その情報は、次に、ＤｉａｍｅｔｅｒあるいはＲａｄｉｕｓのようなＡＡＡフレームワークプロトコルを介して、ローカルノードのホームネットワーク内のＡＡＡサーバ６０から、モバイルルータのホームネットワーク内のＡＡＡクライアント５０へ送信される。ＡＡＡクライアント５０はモバイルルータのホームネットワークに配置されているので、関連のアクセス制御情報は容易にホームネットワーク内のＭＲＨＡ２０におけるＥＰ２１に搬送でき、かつ双方向リンク４０を使用することによって、効果的な方法でＭＲ１０におけるＥＰ１１へ搬送することもできる。これは、ＰＡＮＡ、ＰＰＰあるいはＩＥＥＥ８０２．１Ｘあるいはそれらの任意の組み合わせのような低負荷のプロトコルを、双方向リンク４０を介するアクセス制御情報及びノード認証用情報を搬送するために使用できることを意味する。

これに対して、文献［６］は、アクセス制御機能は、モバイルルータであるネットワークアクセスサーバ内に配置され、かつモバイルルータでフィルタ処理する前に、未認可ダウンリンクパケットがエアインタフェースを渡ることを防止しないことを想定している。この文献［６］では、すべてのアクセス制御情報は、ＮＡＳに送信され、かつＮＡＳ内に実装される。

以下では、本発明は、主に、ＮＥＭＯベースのモバイルネットワークのノードのアクセス制御を参照して説明する。しかしながら、本発明はこれに限定されないことが理解されるべきである。実際には、フィルタリング（フィルタ処理）及び制御メカニズムを含む本発明のメカニズムは、一般的な移動可能あるいはモバイルネットワークに適用することができる。ＮＥＭＯベースのモバイルネットワーク以外の例には、例えば、プレフィックススコープバインディング更新に基づくモバイルネットワークを含み、また、将来のＨＩＰベースのモバイルネットワークを含むものである。

図３は、本発明の実施形態に従うＮＥＭＯベースの移動可能ネットワークにおけるノードの認証及び認可のアーキテクチャを示している。アクセス制御実施点（ＥＰ）１１、２１は、モバイルルータ（ＭＲ）１０とモバイルルータホームエージェント（ＭＲＨＡ）２０の両方に配置されている。上述のように、モバイルルータとモバイルルータホームエージェントの両方に、ＥＰを配置することは考え得る利点である。モバイルルータに配置されるＥＰ１１、説明を簡単にするために、ＥＰ＿ＭＲと呼ぶが、のアクセス制御モジュールは、ＮＥＭＯ双方向トンネル４０の前にアップリンクパケットを監視する。一方、モバイルルータホームエージェントに配置されるＥＰ２１、説明を簡単にするために、ＥＰ＿ＭＲＨＡと呼ぶが、のアクセス制御モジュールは、ＮＥＭＯ双方向トンネル４０の前にダウンリンクパケットを監視する。この例では、ＡＡＡクライアント５０は、ＰＡＮＡ認証エージェント（ＰＡＡ）であることが好ましく、これは、ＮＥＭＯベースのモバイルネットワーク１５のクライアントノードのアクセス認証及び認可の少なくとも一方のためのＰＡＮＡ（ネットワークアクセス用認証搬送プロトコル）［７］の使用を含んでいる。

好ましくは、アクセス制御モジュールにおけるフィルタリング（フィルタ処理）メカニズムは、ＩＰパケットのＩＰ／トランスポートレイヤヘッダのチェックを含んでいる。このＩＰパケットは、モバイルネットワークのノードからのアクセス制御点及びノードへのアクセス制御点を通過する。アクセス制御は、通常、パケットを許可するかあるいは禁止するかどうかを判定するためのパケットフィルタリングルールのセットを採用する。フィルタリングルールは、ＩＰ転送処理に利用可能にするパケットヘッダ情報に基づいていても良い。フィルタリングは、例えば、ベーシックネットワークアクセス制御に関連付けられ、かつ／あるいはサービスアクセス制御に関連していても良い。例えば、フィルタは、モバイルネットワークのノード（群）の認証及び認可の成功後、ＥＰで「起動」されても良い、あるいはＥＰに提供（プロビジョン）されても良い。この起動のプロセスは、例えば、ＳＮＭＰ（単純ネットワーク管理プロトコル）あるいは、情報送信用の任意の他の適切なプロトコルを使用するアクセス制御情報を用いるフィルタのプロビジョニングを含んでいる。フィルタのプロビジョニングは、プロビジョニング情報の送信、及びこの情報を用いるフィルタのコンフィグレーションに関与するものとしてしばしばみなされる。プロビジョニング情報は、様々な方法、例えば、フラット（ダイレクト）プロビジョニング構造あるいは階層プロビジョニング構造によって、アクセス制御ソースからアクセス制御実施点へ送信することができる。

図４は、本発明の実施形態に従うフラットプロビジョニング構造の例を示している。フラット構造では、アクセス制御ソースとして動作するＡＡＡクライアント５０は、モビリティアンカーリングエージェント２１に配置されているＥＰと、説明を簡単にするためにＥＰ＿ＭＡＡ２１と呼ぶが、各モバイルルータに搭載されているＥＰとへ、説明を簡単にするためにＥＰ＿ＭＲ１１と呼ぶが、同一のプロビジョニング情報を送信する。

図３に戻る。フラットプロビジョニング構造を用いることは、ＥＰ＿ＭＲＨＡ２１とＥＰ＿ＭＲ１１が、同一のアクセス制御ソース（ＰＡＡ）５０から同一のプロビジョニング情報を受信することを意味する。

図５は、本発明の実施形態に従う階層プロビジョニング構造の例を示している。階層構造では、モビリティアンカーリングエージェントに配置されているＥＰ、ＥＰ＿ＭＡＡ２１と呼ぶが、アクセス制御ソース５０からプロビジョニング情報を受信し、好ましくは、ダウンリンクに関連するプロビジョニング情報の一部を用いて自身のアクセス制御モジュールのプロビジョン（あるいは構成）を行い、続いて、対応するアクセス制御モジュールのプロビジョニング用に、モバイルルータに配置されるＥＰへ、ＥＰ＿ＭＲ１１と呼ぶが、アップリンクに関連するプロビジョニング情報を転送する。明らかなことは、ＥＰ＿ＭＡＡとＥＰ＿ＭＲ間には、１対ｎの関係が存在し得ることである。

図３に戻る。階層プロビジョニング構造を用いることは、ＥＰ＿ＭＲＨＡ２１がアクセス制御ソース（ＰＡＡ）５０からのプロビジョニング情報を受信し、その後、ＥＰ＿ＭＲＨＡ２１が、アップリンク方向、即ち、ＥＰ−ＥＰインタフェースに関連する関係情報のみの自身の制御の下で、ＥＰ＿ＭＲ（群）１１へそのプロビジョニング情報を転送することを意味する。

図３の実施形態では、ＰＡＮＡ、ＰＡＡ−ＥＰ及びＥＰ−ＥＰプロトコルはすべて、ＮＥＭＯ双方向トンネル４０内を通過することが好ましい。

フラットプロビジョニング概念の利点は、実装が簡単なことである。この概念は、ＥＰ−ＥＰインタフェースを必要としない。

階層プロビジョニング概念の利点は、ダウンリンクフィルタリングに関係するデータのような余計なプロビジョニング情報が、ＥＰ＿ＭＲに向かうエアインタフェースを介して送信する必要がなく、また、ＥＰ＿ＭＲが、どのようにしてもＥＰ＿ＭＡＡ（ＥＰ＿ＭＲＨＡ）で収集することができるアカウンティング情報を収集する必要がないことである。これは、特に、モバイルネットワーク内外で頻繁に移動するノードが存在する場合の無線リソースの損失を防止する。

プロビジョニング情報は、通常、結果的に認可情報を含み、また、他の情報との間とのフィルタ（即ち、アクセス制御リスト）と、ＥＰによって使用される制限、更に、ＥＰによって実行されなければならないアカウンティングとＱｏＳマーキングにおける情報を含んでいる。

図３を更に参照する。ＮＥＭＯベースのモバイルネットワーク内のクライアントノードのアクセス認証及び認可の少なくとも一方についてＰＡＮＡが使用される場合において、以下の構成（コンフィグレーション）の例を使用することができる。

・ＰＡＮＡクライアント（群）（ＰＡＣ（群））は、ノード（群）１６に配置されている。

・ＰＡＡ（ＰＡＮＡ認証エージェント）５０は、ＭＲＨＡ２０が存在するネットワークに配置されていて、また、これは、クライアントノードアクセス認証（群）の結果としてＥＰ１１、２１にプロビジョンを行うアクセス制御リストである。

ＭＲＨＡ２０が存在するネットワークにＰＡＡ５０を配置することは、ＲａｄｉｕｓあるいはＤｉａｍｅｔｅｒのような高負荷のＡＡＡプロトコルを、エアインタフェースを介して使用することを防止する。

ＡＡＡインフラストラクチャ向けかつ内のＰＡＡ５０以外に、ＤｉａｍｅｔｅｒあるいはＲａｄｉｕｓのような適切なＡＡＡ搬送プロトコルを、与えられるノードのホームネットワークに関連付けられているＡＡＡサーバ６０へ及びから認証及び認可情報を搬送するために使用することができる。但し、移動可能ネットワーク１５内の異なるノードが、異なるホームネットワークに属していても良いので、複数のＡＡＡサーバが、ネットワークノード１６に対する認証及び認可情報のプロビジョニングに関与している場合もあり得ることが理解されるべきである。

ＰＡＮＡＰＡＡ−ＥＰインタフェースプロトコル［８］は、ＰＡＡ５０とＥＰ（群）１１、２１間のプロトコルは、できる限りエアインタフェース通過に適応するために低負荷にするという追加の要件をサポートする。付随的には、文献［８］は、ＰＡＡ−ＥＰインタフェース用にＳＮＭＰ（単純ネットワーク管理プロトコル）の使用を勧告していて、これは、低負荷の要件を満足している。

図６は、フラットプロビジョニング構造を用いるプロビジョニングシグナリングフローの例を示している。与えれるノード／ＰＡＣのＰＡＮＡ認証の成功後、ＳＮＭＰは、アップリンクフィルタリング、ダウンリンクフィルタリング、ＩＰＳｅｃアップリンクポリシー、ＩＰＳｅｃダウンリンクポリシー、アカウンティングの類についての情報を、ＰＡＡ−ＥＰインタフェース（群）を介して、ＥＰ＿ＭＲＨＡ及びＥＰ＿ＭＲへ搬送するために利用されることが好ましい。

図７は、階層構造を用いるプロビジョニングシグナリングフローの例を示している。階層構造用のＥＰ＿ＭＲＨＡ−ＥＰ＿ＭＲ（ＥＰ−ＥＰ）インタフェースプロトコルは、ＰＡＮＡＰＡＡ−ＥＰインタフェースプロトコルを再使用するために定義される。事実上は、ＥＰ＿ＭＲの観点からは、ＥＰ＿ＭＲＨＡは、クライアントノードアクセス認証の結果として、ＥＰのプロビジョンを行うアクセス制御リストである。これは、ＥＰ＿ＭＲＨＡ−ＥＰ＿ＭＲインタフェースプロトコルに対して必要とされる標準化／メインテナンスを簡略化する。

ＳＮＭＰがＰＡＡ−ＥＰインタフェースに対して使用される場合においては、ＳＮＭＰＭＩＢ（管理情報ベース）は、ＥＰ＿ＭＲＨＡでの実装を容易にするために、アップリンクフィルタリング、ダウンリンクフィルタリング、ＩＰＳｅｃアップリンクポリシー、ＩＰＳｅｃダウンリンクポリシー、アカウンティングについての情報及びその類に対して都合の良いモジュール群に分離されていることが好ましい。これは、図７のシグナリングフローに示されるように、アップリンクフィルタリングとＩＰＳｅｃアップリンクポリシーに対して必要なＭＩＢモジュールを、単純で簡単な方法で抽出することができ、かつ続いてＥＰ＿ＭＲへ転送できることを意味している。

本発明の特定の実施形態では、ＭＲＨＡは、移動可能ネットワーク内のノードに対するローカルホームエージェントとして選択／認可されても良い。これは、ノードがモバイルＩＰノードで、かつローカルホームエージェントが、例えば、いくつかのオペレータ間アグリーメントを介して、モバイルノードのホームネットワークオペレータと、ＭＲＨＡのネットワークオペレータによって選択されることを可能にする場合に対するものである。モバイルノードに対してバインドされるパケットとして、経路最適化の可能性をできる限り提供することである、モバイルノードのローカルホームエージェントとしてＭＲＨＡを選択することは、２つではなく、１つのホームエージェントだけを通過しなければならないことである。

上述の実施形態は、単なる例示として与えられているものであり、本発明がそれに制限されるものでないことが理解されるべきである。本明細書で開示される原理の基礎を維持する更なる変形、変更及び改良は、本発明の範囲内である。

文献群
［１］シスコモバイルワイヤレスホームエージェント、データシート、２００３年
［２］ＩＰｖ６におけるモビリティサポート、ディー．ジョンソン、シー．ペルキンス、ジェイ．アルコー、２００３年６月３０日＜draft-ietf-mobileip-ipv6-24.txt＞
［３］ホストアイデンティティプロトコルアーキテクチャ、アール．モスコビッツ、ピー．ニカンダー、２００３年９月＜draft-moskowitz-hip-arch-05＞
［４］ネットワークモビリティ（ＮＥＭＯ）ベーシックサポートプロトコル、ビジェイデバラパリ、リュウジワキカワ、アレクサンドルペトルスク、パスカルチューベルト、２００３年１２月＜draft-ietf-nemo-basic-support-02.txt＞
［５］モバイルＩＰｖ６におけるモバイルネットワークサポート（プレフィックススコープバインディング更新）、アーネスト等、２００２年３月＜daraft-ernst-mobileip-v6-network-03.txt＞
［６］ネットワークモビリティサポートにおけるＡＡＡ用の使用環境及び要件、シー．ダブリュー．エヌジー、ティー．タナカ、２００２年１０月＜darft-ng-nemo-aaa-use-00.txt＞
［７］ネットワークアクセス用認証搬送プロトコル（ＰＡＮＡ）、ディー．フォルスベルグ、ワイ．オオバ、ビー．パチル、エイチ．チョショフェニグ、エイ．イエイン、２００３年１０月２４日＜draft-ietf-pana-pana-02.txt＞
［８］ＰＡＮＡＰＡＡ−ＥＰプロトコル考察、ヤチンエルマギャツリ、２００３年１０月＜draft-yacine-pana-paa2ep-prot-eval-00.txt＞

本発明の実施形態に従うネットワークモビリティサポート及びアクセス制御に対する基本アーキテクチャを示すブロック図である。特に、モビリティアンカーリングエージェントがモバイルルータのエージェントである場合における、本発明の実施形態に従うネットワークモビリティサポートアーキテクチャを示す図である。本発明の実施形態に従うＮＥＭＯベースの移動可能ネットワーク内のノードの認証及び認可の少なくとも一方に対するアーキテクチャを示す図である。本発明の実施形態に従うフラットプロビジョニング構造の例を示す図である。本発明に従う階層プロビジョニング構造の例を示す図である。フラットプロビジョニング構造に従うプロビジョニングシグナリングフローの例を示す図である。階層構造に従うプロビジョニングシグナリングフローの例を示す図である。

Claims

モバイルルータによって管理される移動可能ネットワークに対するアクセス制御方法であって、
前記モバイルルータは、該モバイルルータに対するネットワークモビリティをアンカーするモビリティアンカーリングエージェントと双方向リンクを介して相互接続されていて、
当該アクセス制御方法は、
前記モビリティアンカーリングエージェントへのアップリンクパケットをフィルタ処理するために、前記モバイルルータでアクセス制御を実行するステップと、
前記モバイルルータへのダウンリンクパケットをフィルタ処理するために、前記モビリティアンカーリングエージェントでアクセス制御する実行するステップと、
前記モビリティアンカーリングエージェントのアクセス制御モジュールと前記モバイルルータのアクセス制御モジュールとに、アクセス制御ソースからのプロビジョニング情報を送信するステップと
を備えることを特徴とする方法。
前記モビリティアンカーリングエージェントは、前記モバイルルータのホームネットワークのホームエージェントである
ことを特徴とする請求項１に記載の方法。
前記モビリティアンカーリングエージェントは、訪問先ネットワーク内のローカル転送エージェントである
ことを特徴とする請求項１に記載の方法。
前記モビリティアンカーリングエージェントは、前記モバイルルータとともに、ＮＥＭＯベース（ネットワークモビリティ）のモビリティサポートプロトコルで動作する
ことを特徴とする請求項１に記載の方法。
前記モバイルルータは、ＮＥＭＯ双方向トンネルを介して前記モビリティアンカーリングエージェントと相互接続されていて、前記ＮＥＭＯ双方向トンネルの前にダウンリンクパケットがフィルタ処理され、前記ＮＥＭＯ双方向トンネルの前にアップリンクパケットがフィルタ処理される
ことを特徴とする請求項４に記載の方法。
前記モビリティアンカーリングエージェントでアクセス制御を実行するステップは、前記モビリティアンカーリングエージェント内のアクセス制御点を通過するＩＰパケットのヘッダのチェックを含み、前記モバイルルータでアクセス制御を実行するステップは、前記モバイルルータ内のアクセス制御点を通過するＩＰパケットのヘッダのチェックを含む
ことを特徴とする請求項１に記載の方法。
前記プロビジョニング情報は、プロビジョニングを行なうステップによって送信され、
前記プロビジョニングを行うステップは、
前記モビリティアンカーリングエージェントと前記モバイルルータの両方の前記アクセス制御モジュールに対するプロビジョニング情報を、前記アクセス制御ソースから前記モビリティアンカーリングエージェントへ送信するステップと、
前記モバイルルータ内の前記アクセス制御モジュールに対するプロビジョニング情報を、前記双方向リンクを介して、前記モビリティアンカーリンクエージェントから前記モバイルルータへ転送するステップと
を備えることを特徴とする請求項６に記載の方法。
前記モバイルルータ内の前記アクセス制御モジュールに対する前記プロビジョニング情報は、前記モバイルルータから前記モビリティアンカーリングエージェントへのアップリンクへのみ関連するプロビジョニング情報を含んでいる
ことを特徴とする請求項７に記載の方法。
前記アクセス制御ソースは、ＡＡＡクライアントで実現され、また、前記移動可能ネットワーク内のノードに関連するプロビジョニング情報は、前記ノードの前記ホームネットワークに関連付けられているＡＡＡサーバから、前記ＡＡＡクライアントと前記アクセス制御ソースへ送信される
ことを特徴とする請求項６に記載の方法。
モバイルルータによって管理される移動可能ネットワークのためのアクセス制御装置であって、
前記モバイルルータは、該モバイルルータに対するネットワークモビリティをアンカーするモビリティアンカーリングエージェントと双方向リンクを介して相互接続されていて、
当該アクセス制御装置は、
前記モビリティアンカーリングエージェントへのアップリンクパケットをフィルタ処理するために、前記モバイルルータでアクセス制御を実行する手段と、
前記モバイルルータへのダウンリンクパケットをフィルタ処理するために、前記モビリティアンカーリングエージェントでアクセス制御を実行する手段と、
前記モビリティアンカーリングエージェントのアクセス制御モジュールと前記モバイルルータのアクセス制御モジュールとに、アクセス制御ソースからのプロビジョニング情報を送信する手段と
を備えることを特徴とする装置。
前記モバイルルータと前記モビリティアンカーリングエージェントは、ＮＥＭＯベース（ネットワークモビリティ）のモビリティサポートプロトコルで動作するように構成されている
ことを特徴とする請求項１０に記載の装置。
前記モバイルルータは、ＮＥＭＯ双方向トンネルを介して前記モビリティアンカーリングエージェントと相互接続されていて、前記モビリティアンカーリングエージェントでアクセス制御を実行する手段は、前記ＮＥＭＯ双方向トンネルの前に前記ダウンリンクパケットをフィルタ処理するために動作可能であり、前記モバイルルータでアクセス制御を実行する手段は、前記ＮＥＭＯ双方向トンネルの前に前記アップリンクパケットをフィルタ処理するために動作可能である
ことを特徴とする請求項１１に記載の装置。
移動可能ネットワークを管理するモバイルルータのためのネットワークモビリティをアンカーするモビリティアンカーリングエージェントであって、
双方向リンクを介して前記モバイルルータと相互接続する手段と、
前記モバイルルータへのダウンリンクパケットを監視し、かつフィルタ処理するためのアクセス制御を実行する手段と、
前記モビリティアンカーリングエージェントと前記モバイルルータの両方の前記アクセス制御のためのプロビジョニング情報をアクセス制御ソースから受信する手段と、
前記モバイルルータでのアクセス制御のためのプロビジョニング情報を前記モバイルルータへ転送する手段と
を備えることを特徴とするモビリティアンカーリングエージェント。
前記モビリティアンカーリングエージェントは、前記モバイルルータとともに、ＮＥＭＯベース（ネットワークモビリティ）のモビリティサポートプロトコルで動作するように構成されている
ことを特徴とする請求項１３に記載のモビリティアンカーリングエージェント。
前記モビリティアンカーリングエージェントは、ＮＥＭＯ双方向トンネルを介して前記モバイルルータと相互接続するように構成されていて、
前記アクセス制御を実行する手段は、前記ＮＥＭＯ双方向トンネルの前に前記ダウンリンクパケットをフィルタ処理するために動作可能である
ことを特徴とする請求項１３に記載のモビリティアンカーリングエージェント。
前記アクセス制御を実行する手段は、前記モビリティアンカーリングエージェント内のアクセス制御点を通過するＩＰパケットのヘッダをチェックするために動作可能である
ことを特徴とする請求項１３に記載のモビリティアンカーリングエージェント。
前記モバイルルータでのアクセス制御のためのプロビジョニング情報は、前記モバイルルータから前記モビリティアンカーリングエージェントへのアップリンクへのみ関連する情報を含んでいる
ことを特徴とする請求項１３乃至１６のいずれか１項に記載のモビリティアンカーリングエージェント。