JP4468453B2 - 往復経路確認の最適化 - Google Patents

Description

本発明は、モバイル通信に関し、より詳細には、仮想プライベートネットワーク（ＶＰＮ）トンネルの切り替え時における往復経路確認（return routability）（ＲＲ）を最適化する方法に関する。

図１は、ＧＰＲＳ（General Packet Radio Service）インタフェースおよびＩＥＥＥ８０２．１１ ＷＬＡＮ（ワイヤレスローカルエリアネットワーク）インタフェースを備えた、例えばマルチホーム携帯電話などのローミング中のモバイルノードＭＮが、安全ではないパブリックインターネットＩ上のトンネルＶＰＮＴ１またはＶＰＮＴ２（ＩＰＳｅｃ（Internet Protocol Security Protocol）によって保護されている）を通じて、セキュリティゲートウェイＳＧＷを介して自身の企業ネットワークＮに接続している状況の例を示している。モバイルノードＭＮは、ＩＰＳｅｃトンネルを使用して、自身の企業ネットワーク内の情報にアクセスしたり、その外部トラフィックすべてをトンネル経由とすることで、自身の企業ネットワークのセキュリティゲートウェイＳＧＷによって提供されるセキュリティサービス（例：ホームファイアウォール）を利用することができる。

最初に、モバイルノードＭＮは外部ネットワークＦＮ１にローミングし、この外部ネットワーク内で、ＧＰＲＳインタフェースに関連するＩＰアドレスＩＰ１が割り当てられる、または自身で設定する。データトラフィックを安全に渡すことのできるＩＰＳｅｃトンネルＶＰＮＴ１を設定するため、モバイルノードＭＮ（ＩＰ１）およびセキュリティゲートウェイＳＧＷは、ＩＫＥ（Internet Key Exchange：インターネット鍵交換）シグナリングを実行する。この複雑なステップでは、モバイルノードＭＮ（ＩＰ１）およびセキュリティゲートウェイＳＧＷが相互認証を実行した後に、ＩＫＥセキュリティアソシエーション（ＩＫＥ ＳＡ）が確立される。ＩＰＳｅｃトンネル（ＶＰＮ接続）を形成するためのセキュリティアソシエーションは、このＩＫＥ ＳＡの保護下で確立される。

モバイルノードＭＮは、そのモビリティにより、第１の外部ネットワークＦＮ１から切断し、第２の外部ネットワークＦＮ２にアタッチし（ステップｓ１）、その外部ネットワークＦＮ２において、ＧＰＲＳインタフェースに関連する新しい、または追加のＩＰアドレスＩＰ２が割り当てられる、または自身で設定する。あるいは、移動した結果として、モバイルノードＭＮが第２の外部ネットワークＦＮ２においてＧＰＲＳとＷＬＡＮの両方のサービスエリア内に入り、それにより、モバイルノードＭＮは、ＧＰＲＳインタフェース上のＩＰアドレスＩＰ１と、ＷＬＡＮインタフェース上のＩＰアドレスＩＰ２の両方を同時にサポートする。前者のケースでは、モバイルノードＭＮは、ＩＰアドレスの変更には関係なく、セキュリティゲートウェイＳＧＷとのＶＰＮ接続を維持することを望むが、後者のケースでは、モバイルノードＭＮは、利用可能な接続のうち効率的な方の接続を使用することを望む。いずれの場合にも、モバイルノードＭＮは、セキュリティゲートウェイＳＧＷと第２のＩＰアドレスＩＰ２との間にＶＰＮ接続を再確立しなければならず、これは、場合によってはユーザとの対話が必要となり得る面倒なプロセスである。

ＩＥＴＦ（Internet Engineering Task Force）のIKEv2 Mobility and Multi-homing（ＭＯＢＩＫＥ）ワーキンググループによって検討されている新しい方法では、モバイルノードは、自身の更新後のアドレスをセキュリティゲートウェイピアに通知するための明示的なシグナリングを使用し、これにより、ＩＰ１からＩＰ２へのＶＰＮ接続の切り替えを実施する。このようにＶＰＮ接続をＩＰアドレス間で切り替えることは、実質的には、モバイルノードを宛先としているデータをリダイレクトすることである。この手法における問題は、この手法を悪用することで、いわゆる「第三者爆弾（third party bombing）」またはサービス拒否（ＤｏＳ）攻撃を実行できることである。これらの攻撃により、有効なピアが自身のトラフィックを特定の第三者にリダイレクトし、その結果、その被害者である特定の第三者は、大量のトラフィックによって処理不能となる。

モバイルノードとセキュリティゲートウェイとの間のＩＫＥセキュリティアソシエーションは、ＭＯＢＩＫＥシグナリングを保護するものであり、すなわち、セキュリティゲートウェイは、モバイルノードの新しいアドレスをセキュリティゲートウェイに通知するための明示的なＭＯＢＩＫＥシグナリングの送り元が認証済みであることを認識できる。しかしながら、セキュリティゲートウェイは、更新シグナリングに含まれているＩＰアドレスがそのモバイルノードに属しており、それ以降にその新しいアドレスへリダイレクトする結果として第三者爆弾攻撃が確実に起こらないようにする必要性が依然としてある。

ＭＯＢＩＫＥプロトコルでは、ＭＯＢＩＫＥ更新ペイロードに含まれ、報告されているアドレスにおいて確実にモバイルノードに到達できるようにするため、往復経路確認（ＲＲ）テストを実行することが提案されている。往復経路確認（ＲＲ）テストは、ピアが空の情報パケットを交換するデッドピア検知（ＤＰＤ：dead-peer-detection）手順に従うように提案されている。更新後のアドレスに対するＤＰＤテストが正常に完了しない場合にＩＫＥ ＳＡが削除されないように、適切な修正が必要である。

ＲＲ／ＤＰＤテストにはいくつかの問題がある。現在のＩＫＥｖ２ ＤＰＤ手順では、正しく認証されている悪意のあるノードが、要求パケットを処理せずにＤＰＤテストパケットに応答することが可能である。ＤＰＤの機能強化として、報告されているＩＰアドレスに関連付けられているクッキーまたはノンスを開始側が挿入し、これをＩＫＥ応答側が戻さなければならないようにする必要がある。ＩＫＥｖ２実装のうちウィンドウサイズが１である実装では、ＤＰＤテストが行われないが、それ以外のいくつかのＩＫＥｖ２では、交換が行われている。さらに、ＲＲ／ＤＰＤでは、この手順の実行に伴うラウンドトリップ遅延に起因してデータのリダイレクトが遅延することがある。

ＲＲ／ＤＰＤのシグナリングオーバーヘッドを発生させることなく、モバイルノードが、セキュリティゲートウェイに報告するＩＰアドレスを実際に保持していることを主張する（assert）ための代替メカニズムを提供することは有利であろう。

本発明は、ステートレスアドレス設定、および例えばＤＨＣＰ（Dynamic Host Configuration Protocol）設定）などのステートフルアドレス設定の両方の場合において、モバイルノードが、自身に割り当てられている報告するＩＰアドレスを実際に保持していることを主張するときのＲＲ／ＤＰＤプロセスによって発生する遅延およびシグナリングオーバーヘッドを排除することを目的とする。

本発明によると、仮想プライベートネットワーク（ＶＰＮ）トンネルの終端ポイントの、第１のアドレスから第２のアドレスへの切り替えを管理する方法であって、ＶＰＮが、固定ネットワークノードと、終端ポイントを画定するモバイルノードとの間で動作しており、本方法が、
モバイルノードのアドレスを第１のアドレスから第２のアドレスに切り替えるステップと、
モバイルノードのアドレスが第１のアドレスから第２のアドレスに変更されたことの通知を、モバイルノードから固定ネットワークノードに送るステップと、
第２のアドレスが、第三者に属していないものと信用できるアドレスであることを、通知から確認するステップと、
を含んでいる、方法、が提供される。

本発明によると、仮想プライベートネットワーク（ＶＰＮ）トンネルの終端ポイントの切り替えマネージャであって、
使用時、ＶＰＮの終端ポイントを第１のアドレスから第２のアドレスに切り替えるようにされている切り替え手段であって、ＶＰＮが、固定ネットワークノードと、終端ポイントを画定するモバイルノードとの間で動作する、切り替え手段と、
使用時、モバイルノードのアドレスが第１のアドレスから第２のアドレスに変更されたことの通知を、モバイルノードから固定ネットワークノードに送るようにされている通知送信手段と、
使用時、第２のアドレスが、第三者に属していないものと信用できるアドレスであることを通知から確認するようにされている確認手段と、
を備えている、切り替えマネージャ、がさらに提供される。

本発明は、使用していることをモバイルノードが報告している新しいアドレスが、望ましくないトラフィックの標的となる第三者に属し得ないことを、固定ネットワークノードが信用することのできるシステム、を提供する。この結果として、モバイルノードが確かに報告アドレスであることを確認するために通常ならば使用される往復経路確認テストまたはデッドピア検知テストを使用する必要がない。新しいアドレスへのデータトラフィックがただちに開始され、従って、遅延が減少する。

以下では、ステートフルアドレス設定とステートレスアドレス設定の両方の場合における本発明の例を、添付の図面を参照しながら説明する。図面において、同一・相当の部分は、同一・相当の参照数字によって表してある。

ステートフルアドレス設定の場合に明示的なＭＯＢＩＫＥ更新シグナリングの結果として２つのネットワーク間でのＶＰＮトンネルの切り替えを完了するプロセスは、複数の個別のステップにおいて行われ、図２はこれらのステップのタイミングを示している。

ステートフル設定の例として、クライアント／サーバプロトコルであるＤＨＣＰを使用する場合が挙げられ、この場合、ＤＨＣＰサーバは、クライアントデバイスのステートフル設定管理（例：データベースからＩＰアドレスを一時的に割り当てる）を提供する。あるいは、ステートフル設定として、自動設定を挙げることができる。図１の例では、外部ネットワークＦＮ１、ＦＮ２のそれぞれがＤＨＣＰサーバを含んでいることができ、ＤＨＣＰサーバは、ＶＰＮトンネルＶＰＮＴ１およびＶＰＮＴ２の終端ポイントとして使用されるアドレスＩＰ１およびＩＰ２をモバイルノードＭＮに割り当てる。本発明の基本的なコンセプトにおいては、最初に、モバイルノードが、セキュリティゲートウェイとのＩＫＥ ＳＡの確立時に使用したものと同じアイデンティティを使用して、ＤＨＣＰサーバからのＩＰアドレスを要求する。ＤＨＣＰサーバは、それに応答してアドレスを割り当てるとき、割り当てるアドレスとそのアイデンティティとを結びつける証明書をモバイルノードにさらに提供する。この証明書を、モバイルノードとセキュリティゲートウェイとの間でのＭＯＢＩＫＥ更新シグナリングに含めることができ、それにより、セキュリティゲートウェイは、報告されている更新アドレスが確かにそのモバイルノードに割り当てられたものであり、無関係な被害者には属していないことを確信できる。従って、セキュリティゲートウェイは、ＲＲ／ＤＰＤテストを実行することなく、１つのＩＰアドレスから別のＩＰアドレスにデータをリダイレクトすることができる。

次に、ステートフルアドレス設定の場合に２つのネットワーク間でＶＰＮトンネルを切り替えるプロセスについて、詳しく説明する。最初に、セキュリティゲートウェイＳＧＷと、外部ネットワークＦＮ１の中のモバイルノードＭＮとの間のＶＰＮトンネルを動的に確立する。

最初のステップ１は、ＩＫＥフェーズ１メッセージ交換である。セキュリティゲートウェイＳＧＷおよびモバイルノードＭＮは、ＩＫＥプロトコルを実行してＩＫＥ ＳＡを確立し、このＩＫＥ ＳＡは、アイデンティティＩＤｓｇｗを使用しているセキュリティゲートウェイＳＧＷと、アイデンティティＩＤｍｎを使用しているモバイルノードとの間での相互認証に使用される安全なネゴシエーションチャネルである。このステップでは、実行するのがＩＫＥであるかＩＫＥｖ２であるかに応じて、一般に約４〜６個のメッセージが交換される。

第２のステップ２においては、ＩＫＥ ＳＡによってＶＰＮの確立が保護される。ＩＫＥ ＳＡを使用することにより、一対の一方向ＩＰＳｅｃ ＳＡを確立するシグナリングが保護される。ＩＰＳｅｃ ＳＡは、ＶＰＮトンネルの特定のＩＰＳｅｃパラメータ（例：認証ヘッダ（ＡＨ）、ＥＳＰ（encapsulating security protocol：カプセル化セキュリティプロトコル）認証／暗号化方法）の実際のネゴシエーションである。このステップでは、一般には、さらに２〜４個のメッセージが交換される。

第３のステップ３においては、外部ネットワークＦＮ１を経てモバイルノードＭＮまでのＶＰＮトンネルＶＰＮＴ１を確立する。ＩＰＳｅｃ ＳＡには、ＩＰアドレス／ポートなどのトラフィックセレクタが関連付けられている。送出パケットのうち、宛先アドレス／ポートが合致しているパケットは、関連するＩＰＳｅｃ ＳＡによって保護され、この場合、暗号化されたパケットがアドレスＩＰ１におけるモバイルノードＭＮに転送される。

第４のステップ４においては、ネットワークのモビリティを利用して、モバイルノードＭＮがネットワークをＦＮ１からＦＮ２に変更する。このためには、モバイルノードＭＮは、新しいネットワークアタッチポイントにおいて使用できる新しいアドレスを設定することが要求される。このとき、モバイルノードが、ローカルなＤＨＣＰサーバＤＨＣＰＳを利用してステートフルアドレス設定を行うものと想定する。

第５のステップ５においては、モバイルノードＭＮは、リンクローカルなＩＰｖ６アドレスを使用して、マルチキャストＤＨＣＰ要請メッセージ（DHCP Solicit message）を送出し、利用可能なＤＨＣＰサーバＤＨＣＰＳを特定する。モバイルノードＭＮは、ＤＨＣＰサーバに求める要件として、アドレス設定情報を提供することと、割り当てられるアドレッシング情報を、モバイルノードＭＮによって使用されているアイデンティティに結びつける証明書を提供することとを提示する。

第６のステップにおいては、モバイルノードの要件を満たすことのできるサーバＤＨＣＰＳが、アドバタイズメッセージに応答する。

第７のステップ７においては、モバイルノードＭＮは、サーバＤＨＣＰＳのうちの１つを選択し、ＩＫＥ ＳＡの確立時にセキュリティゲートウェイＳＧＷに提示したものと同じアイデンティティＩＤｍｎを使用して、確認済みの（confirmed）アドレスおよびその他の設定情報を割り当てるように要求する要求メッセージを、そのサーバＤＨＣＰＳに送る。この場合、モバイルノードＭＮが、他のＤＨＣＰクライアントと同様に、何らかのアウトオブバンドメカニズム（out-of-band mechanism）（ＤＨＣＰｖ６仕様の範囲を超えていると考えられる）によってモバイルノードＭＮおよびＤＨＣＰサーバＤＨＣＰＳの両方に配布済みである一連の鍵を持っているものと想定する。交換された鍵は、他のピアへのＤＨＣＰメッセージのソースおよび内容の認証を提供するために使用される。送信側のピアは、鍵付きＨＭＡＣ−ＭＤ５ハッシュをＤＨＣＰメッセージから計算し、元のＤＨＣＰメッセージが受信側ピアによって正確に再現されるならば、そのメッセージが送信中に変更されていないことが確認される。

第８のステップ８において、サーバＤＨＣＰＳは、モバイルノードＭＮの確認済みアドレスＩＰ２および設定が含まれている応答メッセージによって応答する。ＤＨＣＰサーバからの応答メッセージの完全性は、鍵付きＨＭＡＣ−ＭＤ５ハッシュの使用によって保護される。

モバイルノードＭＮに提供される証明書に含まれるのは、モバイルノードＭＮに割り当てられるＩＰアドレス、ＩＫＥ ＳＡの確立時に使用されたモバイルノードＭＮのアイデンティティ、ＤＨＣＰサーバＤＨＣＰＳがＩＰアドレスを割り当てた時を示すタイムスタンプおよびそのアドレスの存続期間、ＤＨＣＰサーバの公開鍵、ＤＨＣＰによる署名、ＤＨＣＰ証明書である。ＤＨＣＰサーバは、自身の秘密鍵を使用して証明書に署名し、割り当てるアドレスおよびそのタイムスタンプと、モバイルノードＭＮのアイデンティティとの間を結びつける。第三者は、証明書に含まれているＤＨＣＰサーバの公開鍵を使用して、この結びつきを確認することができる。この証明書には、ＤＨＣＰサーバＤＨＣＰＳによって提供された公開鍵が確かにそのＤＨＣＰサーバＤＨＣＰＳに属していることを確認する別の証明書も含まれている。この第２の証明書に署名するのは、一般には、セキュリティゲートウェイＳＧＷとＤＨＣＰサーバＤＨＣＰＳの両方によって信用されている第三者である。追加のシグナリングを伴う代替方法としては、セキュリティゲートウェイＳＧＷが、ＤＨＣＰサーバのアイデンティティが提示されたときに、ＰＫＩ（Public Key Infrastructure：公開鍵基盤）を使用してＤＨＣＰの公開鍵を取り出す。

第９のステップ９においては、モバイルノードＭＮが、ＶＰＮトンネルをＩＰ１からＩＰ２に切り替えるためのＭＯＢＩＫＥ更新シグナリング要求を、新しいネットワークＦＮ２から発行する。このメッセージには、ＤＨＣＰ証明書が挿入される。セキュリティゲートウェイＳＧＷは、モバイルノードＭＮによって報告される新しいアドレスがＤＨＣＰサーバＤＨＣＰＳによってモバイルノードのアイデンティティＩＤｍｎに確かに割り当てられたことを、ＤＨＣＰサーバの公開鍵を使用して確認する。

最終ステップ１０においては、モバイルノードＭＮが、外部ネットワークＦＮ２を経由する変更されたＶＰＮトンネルＶＰＮＴ２を通じてデータを受信する。この時点で、セキュリティゲートウェイＳＧＷは、モバイルノードＭＮのデータを新しいアドレスＩＰ２にリダイレクトすることができ、この場合、セキュリティゲートウェイＳＧＷは、このリダイレクトに起因して無関係な被害者へのサービス拒否が生じることはないと認識している。セキュリティゲートウェイＳＧＷは、更新されたアドレスの受け入れを確認するＡＣＫメッセージをモバイルノードＭＮに戻す。ＤＨＣＰ証明書により、セキュリティゲートウェイＳＧＷは、ＲＲ／ＤＰＤテストを実行する必要なしに、リダイレクトを実行することができる。

ステートレスアドレス設定の場合に明示的なＭＯＢＩＫＥ更新シグナリングの結果として２つのネットワーク間でのＶＰＮトンネルの切り替えを完了するプロセスは、複数の個別のステップにおいて行われ、図３はこれらのステップのタイミングを示している。

ステートレスアドレス設定では、ホストは、ローカルに利用可能な情報と、アクセスルータによってアドバタイズされた情報の組み合わせを使用して、自身のアドレスを生成することができる。アクセスルータは、リンクに関連付けられている（１つ以上の）サブネットを識別するプレフィックスをアドバタイズし、その一方で、ノードが、サブネット上のインタフェースを一意に識別するリンクローカルアドレスを生成する。リンクローカルアドレスが一意であること、すなわち、そのリンク上の別のノードによってすでに使用されていないことが証明された後、リンクローカルアドレスとサブネットのプレフィックスとを組み合わせることによって、グローバルにルーティング可能なアドレスが形成される。ステートレスアドレス設定の場合の本発明の基本的なコンセプトとして、モバイルノードは、送出パケットにおけるソースアドレスとして、第三者によって設定されている可能性が極めて低いアドレスを使用する。モバイルノードによって設定されるアドレスを、保持している暗号鍵に結びつけるための手法の１つとして、ＣＧＡ（CryptographicalIy Generated Addresses：暗号的に生成されたアドレス）を使用するプロセスが挙げられる。本発明においては、アドレス生成プロセスに含めることがモバイルノードとセキュリティゲートウェイとの間で事前に合意されているパラメータを使用することによって、このＣＧＡコンセプトが拡張されている。これにより、セキュリティゲートウェイは、モバイルノードを宛先とするデータをそのソースアドレスにリダイレクトすることに起因して、別の無関係なノードへのサービス拒否攻撃が起こらないであろうことをさらに確信することができる。

以下では、ステートレスアドレス設定の場合にＶＰＮトンネルの切り替えを完了するプロセスについて、詳しく説明する。

最初のステップ１は、図２におけるステートフル設定の例と共通しており、ＩＫＥ ＳＡを確立することである。さらに、セキュリティゲートウェイＳＧＷは、モバイルノードの公開鍵を取得し、ＣＧＡプロセスに含めるパラメータに関する合意に達する。これらのパラメータとしては、８ビットの衝突カウンタ（collision counter）と、１２８ビットの補助パラメータが挙げられる。本明細書においては、補助パラメータとして、ランダムに選択される１２８ビットを提案する。しかしながら、別のパラメータを使用することもできる。本発明においては、補助パラメータに関する１つのオプションとして、モバイルノードＭＮおよびセキュリティゲートウェイＳＧＷが、固定の１２８ビットに合意する。別のオプションとして、モバイルノードＭＮおよびセキュリティゲートウェイＳＧＷは、ＩＫＥ ＳＡおよびＩＰＳｅｃ ＳＡの確立時に導かれる鍵材料のセクションのうち、補助パラメータとして使用するセクションに関して合意する。一般に、ＩＫＥ ＳＡの鍵材料は、５つの鍵と、ＩＰＳｅｃ ＳＡの対ごとのさらなる４つの鍵とを含んでいる。１つのＩＫＥ ＳＡのもとに複数のＩＰＳｅｃ対を存在させることができる。

第２のステップ２、第３のステップ３、第４のステップは、図２におけるステートフル設定の例と同じである。モバイルノードＭＮがモビリティを利用してネットワークを変更する前に、セキュリティゲートウェイＳＧＷとモバイルノードＭＮとの間にＶＰＮトンネルを確立する。

第５のステップ５ａにおいては、新しいネットワークＦＮ２上のアクセスルータＡＲがアドバタイズし、グローバルにルーティング可能なアドレスを設定するのに使用できる有効なプレフィックスに関する情報をモバイルノードＭＮに提供する。

モバイルノードＭＮは、ＩＫＥ／ＩＰＳｅｃ ＳＡ鍵材料からの事前に合意している数のビットと、事前に合意している衝突カウンタと、公開鍵と、アドバタイズされたプレフィックスとを使用し、ＣＧＡ手順に従って、ハッシュ関数を用いてグローバルアドレスを生成する。モバイルノードＭＮは、近隣探索機能（例：重複アドレス検出）のすべてがステートレスな設定に関連付けられていると結論した後、新たに設定したＣＧＡアドレスを使用して新しい外部ネットワークＦＮ２からセキュリティゲートウェイＳＧＷに送ろうとする次のパケットのペイロードを作成する。

第６のステップ６ａにおいては、モバイルノードＭＮが、ＣＧＡソースアドレスを使用して新しい外部ネットワークＦＮ２からのパケットの送信を開始する。セキュリティゲートウェイＳＧＷは、予測されるソースアドレスとは異なるソースアドレスを持つ最初のパケットを受信し、そのソースアドレスが、モバイルノードの公開鍵と事前合意されている値とを使用して生成されたＣＧＡアドレスであるかを確認する。この場合、セキュリティゲートウェイＳＧＷが、トンネル外側アドレス（tunnel outer address）に依存せずに、単にセキュリティパラメータインデックス（ＳＰＩ）を使用して正しいＩＰＳｅｃ ＳＡを特定できるものと想定する。

第７のステップ７ａにおいては、モバイルノードＭＮが、新しい外部ネットワークＦＮ２を経由する変更されたＶＰＮトンネルＶＰＮＴ２を通じてデータを受信する。ＣＧＡアドレスが正常に確認された場合、セキュリティゲートウェイＳＧＷは、モバイルノードＭＮを宛先とするパケットにおける宛先アドレスとしてそのソーススアドレスを使用し、そのアドレスの往復経路確認を実行することなしに、そのアドレスへのデータ転送に進む。

モバイルノードが、２つのネットワーク間で移動する結果として、セキュリティゲートウェイまでの現在のＶＰＮ接続を変更する状況を概略的に示している。 ステートフルアドレス設定の場合に現在のＶＰＮ接続を維持するために必要なステップ１〜ステップ１０の信号流れ図を示している。 ステートレスアドレス設定の場合に現在のＶＰＮ接続を維持するために必要なステップ１〜ステップ７の信号流れ図を示している。

Claims (12)

1. 仮想プライベートネットワーク（ＶＰＮ）トンネルの終端ポイントの第１のアドレスから第２のアドレスへの切り替えを管理する方法であって、前記ＶＰＮが、固定ネットワークノードと、前記終端ポイントであるモバイルノードとの間で動作しており、前記方法が、
   前記モバイルノードが前記固定ネットワークノードとの間で使用したアイデンティティを用いて、前記固定ネットワークノードによって信用されている第三者にアドレス割り当てを要求するステップと、
   前記信用されている第三者が前記モバイルノードに新たなアドレスとして前記第２のアドレスを割り当てるステップと、
   前記信用されている第三者が前記第２のアドレスと前記アイデンティティを含んでいる証明書を発行するステップと、
   前記モバイルノードの前記アドレスを前記第１のアドレスから前記第２のアドレスに切り替えるステップと、
   前記モバイルノードの前記アドレスが前記第１のアドレスから前記第２のアドレスに変更されたことの通知に前記発行された証明書を含めて、前記モバイルノードから前記固定ネットワークノードに送るステップと、
   前記第２のアドレスは、前記信用されている第三者によって前記モバイルノードに割り当てられたことを、前記証明書から確認するステップと、
   を含む、方法。
2. 前記信用されている第三者は、ＤＨＣＰ（Dynamic Host Configuration Protocol）サ
   ーバである、請求項１記載の方法。
3. 前記アイデンティティは、前記モバイルノードが前記固定ネットワークノードとの間のＶＰＮを確立する際に取り決められるアイデンティティである、請求項１または請求項２に記載の方法。
4. 前記アイデンティティは、前記モバイルノードが前記固定ネットワークノードとの間でＩＫＥ ＳＡ（Internet Key Exchange Security Associations）確立時に使用したアイデンティティである、請求項３に記載の方法。
5. 前記証明書は、公開鍵を含む、請求項１に記載の方法。
6. 前記証明書は、前記ＤＨＣＰサーバが前記第２のアドレスを割り当てた時を示すタイムスタンプと、前記第２のアドレスが前記モバイルノードに割り当てられている存続期間と、を含む、請求項２に記載の方法。
7. 前記証明書は、前記第２のアドレスと、前記モバイルノードのアイデンティティと、前記タイムスタンプとを結びつける役割を果たす前記ＤＨＣＰサーバの秘密鍵を使用してのデジタル署名を含む、請求項６に記載の方法。
8. 前記モバイルノードは、前記証明書を提供する前記ＤＨＣＰサーバのサービスを、変更されたＤＨＣＰシグナリングを使用することによって要求する、請求項２に記載の方法。
9. 前記変更されたＤＨＣＰシグナリングは、前記モバイルノードから前記ＤＨＣＰサーバへのアドレス割り当て要求メッセージに含まれている新しいオプションＯＰＴＩＯＮ＿ＡＤＤＲ＿ＣＥＲＴである、請求項８記載の方法。
10. ＩＫＥｖ２シグナリングが、前記モバイルノードの前記アドレスが前記第１のアドレスから前記第２のアドレスに変更されたことを通知するために使用される請求項１に記載の方法。
11. 仮想プライベートネットワーク（ＶＰＮ）トンネルの終端ポイントの、第１のアドレスから第２のアドレスへの切り替えシステムであって、仮想プライベートネットワーク（ＶＰＮ）トンネルの終端ポイントの、前記ＶＰＮが、固定ネットワークノードと、前記終端ポイントであるモバイルノードとの間で動作しており、
    前記モバイルノードが前記固定ネットワークノードとの間で使用したアイデンティティを用いて、前記固定ネットワークノードによって信用されている第三者にアドレス割り当てを要求するアドレス要求手段と、
    前記信用されている第三者が前記モバイルノードに新たなアドレスとして前記第２のアドレスを割り当てるためのアドレス割り当て手段と、
    前記信用されている第三者が前記第２のアドレスと前記アイデンティティを含んでいる証明書を発行するための証明書発行手段と、
    前記モバイルノードの前記アドレスを前記第１のアドレスから前記第２のアドレスに切り替える切り替え手段と、
    前記モバイルノードの前記アドレスが前記第１のアドレスから前記第２のアドレスに変更されたことの通知に前記発行された証明書を含めて、前記モバイルノードから前記固定ネットワークノードに送る通知送信手段と、
    前記第２のアドレスが、第三者に属していないものと信用できるアドレスであることを前記証明書から確認する確認手段と、
    を備える切り替えシステム。
12. ＩＫＥｖ２（Internet Key Exchange version 2）シグナリングが、前記モバイルノードの前記アドレスが前記第１のアドレスから前記第２のアドレスに変更されたことを通知するために使用される請求項１１に記載の切り替えシステム。

Images