JP4592611B2 - パケット通信システム - Google Patents

Description

本発明はパケット通信システムに関し、特にモバイルＶＰＮ（Mobile Virtual Private Network）を用いて、パケット通信を行うパケット通信システムに関する。

ＩＰ（Internet Protocol）通信を行う際、端末にはＩＰアドレスが割り振られるが、端末を異なるネットワークに移動すると、異なるＩＰアドレスが割り振られ、移動前に行っていた通信を継続することができなくなる。このような異なるネットワークを移動する場合でも、ＩＰ通信を可能にする技術としてモバイルＩＰ（Mobile IP）が開発されている。

モバイルＩＰは、ＩＰ層よりも上位の層に対して端末の移動を隠蔽して、端末が移動しても、相手先にはあたかも移動していないように見せることで、相手先と通信をしたままの移動を可能にする技術である。ＩＰ層で移動をサポートする具体的なモバイルＩＰプロトコルには、Mobile IPv4、Mobile IPv6がある。

一方、モバイルＩＰの進展に伴い、より利便性の高いリモートアクセスへの需要も増大しており、こうした需要を解決するために、ＶＰＮ（Virtual Private Network）と呼ばれる技術が実現されている。ＶＰＮは、インターネットなどの公的ネットワークを介して、拠点間を結んで構築した仮想的な私有（プライベート）通信網のことであり、プライベートＩＰアドレスによる通信も行うことが可能である。

ここで、インターネット上のパケットのＩＰアドレスには、全世界でユニークな値のグローバルＩＰアドレスと、社内や家庭内で共有されるプライベートネットワークで使われるプライベートＩＰアドレスの２種類がある。

インターネット上で通信するには、お互いがグローバルＩＰアドレスを持つ必要があるが、企業などでは、ルータやWebサーバなど必要最低限の機器のみにグローバルＩＰアドレスを割り当て、社内ＬＡＮなどにはプライベートＩＰアドレスを割り当てることが一般的である。

このため、通常は異なる場所から社内ＬＡＮの端末に、インターネットを経由してアクセスすることはできないが、ＶＰＮでは、プライベートＩＰアドレス同士の通信が可能なので、各拠点のイントラネット間で、あたかも同一のプライベートネットワークのように通信を行うことができ、また、自宅や出張先などから社内ＬＡＮへの通信といったリモートアクセスも実現することができる。

ただし、ＶＰＮは、専用線とは違い、セキュリティの脆弱なインターネットを介して通信を行うため（インターネットＶＰＮの場合）、「盗聴（データの中身を盗み見ること）」、「改ざん（データの中身を書き替えること）」、「なりすまし（第３者が正規のユーザのふりをしてネットワーク上で活動すること）」などといった危険が多く、セキュリティは最も重要とされる要件である。このため、ＶＰＮでは、ＩＰｓｅｃ（IP security architecture）と呼ばれる暗号化通信を用いることで、これらの脅威を排除している。

ＩＰｓｅｃは、ＩＰパケット自体に秘匿性を持たせ、パケット情報を保証してアクセス制御を行うことで、特定のアプリケーションではなく、ＩＰパケット単位でセキュリティを実現するものである。これにより、例えば、メール通信にはＰＧＰ（Pretty Good Privacy）、ＷＷＷ通信にはＳＳＬ（Secure Socket Layer）などというように、各アプリケーションに対して固有のセキュリティ機能を用意する必要がなくなり、多様なアプリケーションを保護することができるという特徴を持っている。

さらに、ＴＣＰ（Transmission Control Protocol）やＵＤＰ（User Datagram Protocol）などの上位のプロトコルを利用するアプリケーションは、ＩＰｓｅｃを使用していることを意識せず利用できることや、低コストで専用回線と同等のセキュリティが維持できるなどの利点を持っている。

上記のように、モバイルＩＰでは、１つのＩＰアドレスをＩＰネットワーク上のどこからでも使い続けることができる移動性を持ち、またＩＰｓｅｃを用いたＶＰＮでは、セキュリティを確保した相互通信が可能であるといった特徴を有している。

一方、近年になって、これらモバイルＩＰとＶＰＮを組み合わせることで、移動性とセキュリティとの両方を備えた、モバイルＶＰＮと呼ばれる技術が研究・開発されている。モバイルＶＰＮでは、移動に合わせてモバイルＩＰの登録とＶＰＮの更新を同時に行うもので、ユビキタス時代におけるリモートアクセスシステムの中核をなす技術として注目されている。

また、モバイルＶＰＮは、当初、ＮＡＴ（Network Address Translation）との対応や、ハンドオーバ時のセキュリティの整合性とシームレスな通信との両立などが技術的な課題となっていたが、これらもＩＥＴＦ（Internet Engineering Task Force）によるRFC3456、RFC3947、RFC3948、draft-ietf-mip4-vpn-problem-solution-01などの技術仕様によって解決されつつある。

モバイルＶＰＮに関連する従来の技術としては、ヘッダから宛先アドレスを検索するルーティングテーブルを中継装置で保有して、無線端末を収容するネットワーク技術が提案されている（例えば、特許文献１）。
特開２００５−８６２２３号公報（段落番号〔００２７〕〜〔００４８〕，第１図）

しかし、従来のモバイルＶＰＮのシステム（例えば、上記のdraft-ietf-mip4-vpn-problem-solution-01で示されるシステム）では、モバイルＩＰによるパケットのカプセル化（パケットに他の配送ヘッダを付加して、元のパケットを包み込むこと）転送の他に、ＶＰＮ構築時のＩＰｓｅｃによるトンネルモードのカプセル化によって、ＩＰパケットが３重にカプセル化されることになり、データサイズが大きくなってネットワーク帯域を逼迫させてしまうといった問題があった。

以降、従来の問題点について詳しく説明する。最初に、モバイルＶＰＮの基盤となるモバイルＩＰの動作概要を示した後に、従来のモバイルＶＰＮの問題点について具体的に説明する。

図３０はモバイルＩＰのネットワーク構成例を示す図である。図３１はモバイルＩＰのパケットフォーマットを示す図であり、（Ａ）は移動ノードが送信するパケットのフォーマット、（Ｂ）はホームエージェントが送信するパケットのフォーマットである。

モバイルＩＰネットワークは、インターネット５３を介して、ホームネットワーク５１、在圏ネットワーク５２、通信相手端末６が接続する。
移動ノードＭＮ（ＭＮはMobile Nodeの略）は、普段はホームネットワーク５１に属しており、Home Address（ＨｏＡ）と呼ばれる固定的なＩＰアドレスを持つ。また、ホームネットワーク５１には、移動ノードＭＮの位置管理を行うホームエージェント（Home Agent）５が配置する。

なお、ホームエージェント５のＩＰアドレスをＨＡ（ＨＡはHome Agentの略）、固定装置である通信相手端末６のＩＰアドレスをＣＮ（ＣＮはCorrespondent Nodeの略）とする。

〔Ｓ５１〕移動ノードＭＮがホームネットワーク５１から移動して在圏ネットワーク５２へ接続先を変更する。
〔Ｓ５２〕移動ノードＭＮは、ＤＨＣＰ（Dynamic Host Configuration Protocol：インターネットに一時的に接続するコンピュータにＩＰアドレスなど必要な情報を自動的に割り当てるプロトコル）などを利用して移動先ネットワークで使用する一時的なＩＰアドレスを取得する。この一時的なＩＰアドレスは、気付けアドレス（ＣｏＡ：Care of Address）と呼ばれる。

〔Ｓ５３〕移動ノードＭＮは、ＨｏＡとＣｏＡの関係を対応づける位置登録メッセージをホームエージェント５に送信する。
〔Ｓ５４〕ホームエージェント５は、位置登録メッセージを受信して、ＨｏＡとＣｏＡの対応関係を保持して位置登録を行う。

〔Ｓ５５〕移動ノードＭＮから通信相手端末６へパケット転送する場合、移動ノードＭＮは、宛先がＣＮ、送信元がＨｏＡのヘッダを持つパケットｐ１を生成する（図３１の（Ａ））。また、ホームエージェント５を経由してパケット転送を行うので、移動ノードＭＮでは、元のパケットｐ１に対し、宛先をＨＡ、送信元をＣｏＡとしたカプセル化を行ってパケットｐ１ｃを生成し（図３１の（Ａ））、パケットｐ１ｃをホームエージェント５に向けて転送する。

〔Ｓ５６〕ホームエージェント５は、パケットｐ１ｃを受信してデカプセル化を行い、パケットｐ１を取り出す。そして、パケットｐ１のヘッダ情報から宛先がＣＮであるので、通信相手端末６へパケットｐ１を送信する。

〔Ｓ５７〕通信相手端末６から移動ノードＭＮへパケット転送する場合、通信相手端末６は、宛先がＨｏＡ、送信元がＣＮのヘッダを持つパケットｐ２を生成し（図３１の（Ｂ））、インターネット５３へ送信する。

〔Ｓ５８〕ホームエージェント５は、移動ノードＭＮ宛（宛先がＨｏＡのパケットｐ２）をインターセプト（intercept：横取り）した後、ＨｏＡから位置登録時に保持したＣｏＡを認識する。そして、宛先をＣｏＡ、送信元をＨＡとしたカプセル化を行ってパケットｐ２ｃを生成し（図３１の（Ｂ））、インターネット５３を介し、移動ノードＭＮへ向けて転送する。

〔Ｓ５９〕移動ノードＭＮは、パケットｐ２ｃを受信してデカプセル化を行い、パケットｐ２を取り出す。
このように、ホームエージェント５では、ＨｏＡとＣｏＡとの対応関係を保持し、移動ノードＭＮ宛のパケットの代理受信を行うので、通信相手端末６は、移動ノードＭＮの移動を意識することなく、同じＨｏＡ宛のパケット送信が可能であり、移動ノードＭＮでは、移動先においてもそのパケットの着信が可能になる。

なお、在圏ネットワーク５２をForeign Networkとし、Foreign Network内にForeign Agentを配置して、Foreign Agentが、複数の移動ノードＭＮに対してＣｏＡを割り当てたり、移動ノードＭＮ宛のパケットのデカプセル化を行ったりするシステムが、Mobile IPv4での一般的な仕様となっているが、Foreign Agentの機能を移動ノードＭＮ内に具備することにより、上記のように、Foreign Agentのような特殊なノードを配置する必要のないネットワークを構築可能である（Mobile IPv6ではForeign Agentの設置を不要としている）。また、上記ではＤＨＣＰによってＣｏＡを払い出すとしたが、移動ノードＭＮ自身が自動アドレス生成機能を具備すれば、ＤＨＣＰのような専用プロトコルを有する装置も不要である。

次にモバイルＶＰＮの構成について説明する。図３２はモバイルＶＰＮの構成例を示す図であり、図３３はモバイルＶＰＮのパケットフォーマットを示す図である。モバイルＶＰＮは、図３０で上述したモバイルＩＰネットワークに対して、あらたにＶＰＮゲートウェイ７を有しており、また、移動ノードＭＮは、ＩＰｓｅｃ機能を有する端末とする。

ＶＰＮゲートウェイ７は、通信経路を暗号化したい拠点に配置して、仮想的な専用回線、すなわちＶＰＮで接続されている状態を作り出す終端装置である。図では、ＶＰＮゲートウェイ７を、ホームエージェント５とインターネット５３間に設置することで、移動ノードＭＮとＶＰＮゲートウェイ７との間に暗号化通信路としてのＶＰＮを構築して、インターネット上であっても安全な通信を実現する。

このようなＶＰＮを構築する場合、保護したいパケットに、あらたなヘッダを付加して、パケットを別のパケットで包み込み、通信対象のパケット全体を保護して、異なるプロトコルやアドレス体系のネットワーク間で通信を可能とする暗号化トンネリングが行われる。

移動ノードＭＮがパケットを送信する場合、パケットｐ１ｃを暗号化して、暗号化されたパケットｐ１ｃの全体を、例えば、ＥＳＰ（Encapsulating Security Payload）ヘッダでカプセル化し、さらに新しいトンネル通信用のＩＰヘッダを付加して、図３３の（Ａ）に示すようなパケットｐ１ｓを生成して転送する。なお、新しいトンネル通信用ＩＰヘッダは、宛先がＶＰＮゲートウェイ７のＩＰアドレス、送信元がＰＨＹアドレス（在圏ネットワーク５２における物理アドレス）である。

ＶＰＮゲートウェイ７がパケットを送信する場合、パケットｐ２ｃを暗号化して、暗号化されたパケットｐ２ｃの全体を、例えば、ＥＳＰヘッダでカプセル化し、さらに新しいトンネル通信用のＩＰヘッダを付加して、図３３の（Ｂ）に示すようなパケットｐ２ｓを生成して転送する。なお、新しいトンネル通信用のＩＰヘッダは、宛先がＰＨＹアドレス、送信元がＶＰＮゲートウェイ７のＩＰアドレスである。

このように、従来のモバイルＶＰＮのパケットフォーマットは、元のＩＰパケットに対し、モバイルＩＰによるＩＰヘッダを付加してカプセル化し、ＩＰｓｅｃのトンネリングによってさらにカプセル化が施されるために、３重にカプセル化されることになる。

このためＩＰヘッダが冗長に付与されることになるので、ユーザが送受信する元々のデータサイズに対し、実際にネットワークで通信されるデータサイズが大きくなってしまい、ネットワークの帯域を逼迫することになる。

特に、現在一般的に使用されているＩＥＥＥ８０２．１１ｂに代表される無線ＬＡＮ網やＷ−ＣＤＭＡ（Wide Code Division Multiple Access）などの携帯電話網では、ネットワーク帯域は細いため、ＩＰヘッダが多重化されて、通信されるＩＰパケットサイズが大きくなると、ネットワークへの負荷は非常に大きなものになり、ネットワーク運用の低下を引き起こすことになる。

本発明はこのような点に鑑みてなされたものであり、セキュリティとシームレスな通信を両立したままで、モバイルＶＰＮの通信時におけるパケットの冗長ヘッダを省略し、ネットワーク資源の有効活用を図ったパケット通信システムを提供することを目的とする。

本発明では上記課題を解決するために、図１に示すような、パケット通信を行うパケット通信システム１において、パケットにどのレベルの保護を適用するかのセキュリティポリシが格納されるデータベースであって、冗長な情報を省略する送信用セキュリティポリシとして、送信パケットをカプセル化する際に付加されるヘッダ情報を省略することが設定された送信用セキュリティポリシデータベース１１−１と、パケット送信時、カプセル化された送信パケットのセキュリティポリシを、送信用セキュリティポリシデータベース１１−１から検索し、ヘッダ情報を省略する対象パケットであると認識した場合は、対象パケットからヘッダ情報を省略するヘッダ情報省略部１２−１と、ヘッダ情報が省略されたパケットに対して、暗号化プロトコルのトンネリングによるセキュリティヘッダ及びトンネル通信時のヘッダを付加して送信処理を行うパケット送信処理部１３−１と、から構成されるパケット送信装置１０−１と、受信用セキュリティポリシとして、復元すべきヘッダ情報が設定された受信用セキュリティポリシデータベース１１−２と、パケット受信時、受信パケットのセキュリティポリシを、受信用セキュリティポリシデータベース１１−２から検索し、ヘッダ情報が省略されている対象パケットであると認識した場合は、ヘッダ情報を復元するヘッダ情報復元部１４−２と、から構成されるパケット受信装置１０−２と、を有することを特徴とするパケット通信システム１が提供される。

ここで、送信用セキュリティポリシデータベース１１−１は、パケットにどのレベルの保護を適用するかのセキュリティポリシが格納されるデータベースであって、冗長な情報を省略する送信用セキュリティポリシとして、送信パケットをカプセル化する際に付加されるヘッダ情報を省略することが設定される。ヘッダ情報省略部１２−１は、パケット送信時、カプセル化された送信パケットのセキュリティポリシを、送信用セキュリティポリシデータベース１１−１から検索し、ヘッダ情報を省略する対象パケットであると認識した場合は、対象パケットからヘッダ情報を省略する。パケット送信処理部１３−１は、ヘッダ情報が省略されたパケットに対して、暗号化プロトコルのトンネリングによるセキュリティヘッダ及びトンネル通信時のヘッダを付加して送信処理を行う。受信用セキュリティポリシデータベース１１−２は、受信用セキュリティポリシとして、復元すべきヘッダ情報が設定される。ヘッダ情報復元部１４−２は、パケット受信時、受信パケットのセキュリティポリシを、受信用セキュリティポリシデータベース１１−２から検索し、ヘッダ情報が省略されている対象パケットであると認識した場合は、ヘッダ情報を復元する。

本発明のパケット通信システムでは、パケット送信装置は、送信パケットをカプセル化する際に付加されるヘッダ情報を省略することを送信用セキュリティポリシデータベースに設定し、パケット送信時には、ヘッダ情報を省略して、暗号化プロトコルのトンネリングによるセキュリティヘッダ及びトンネル通信時のヘッダを付加して送信し、パケット受信装置は、パケット受信時には、受信用セキュリティポリシデータベースにもとづき、省略されているヘッダ情報を復元する構成とした。これにより、セキュリティとシームレスな通信を両立したままで、モバイルＶＰＮの通信時におけるパケットの冗長ヘッダを省略することができ、ネットワーク資源の有効活用及びネットワーク運用性の向上を図ることが可能になる。

以下、本発明の実施の形態を図面を参照して説明する。図１はパケット通信システムの原理図である。パケット通信システム１は、パケット送信装置１０−１とパケット受信装置１０−２から構成されてパケット通信を行うシステムである。なお、説明がしやすいように、送信側、受信側と装置構成を分けているが、パケット送信装置１０−１とパケット受信装置１０−２の両方の機能は、実際には１台のパケット通信装置に含まれるものである。

パケット送信装置１０−１は、送信用セキュリティポリシデータベース１１−１、ヘッダ情報省略部１２−１、パケット送信処理部１３−１から構成される。送信用セキュリティポリシデータベース１１−１は、パケットにどのレベルの保護を適用するかのセキュリティポリシが格納されるデータベースであって、冗長な情報を省略する送信用セキュリティポリシとして、送信パケットをカプセル化する際に付加されるヘッダ情報を省略することが設定される。

ヘッダ情報省略部１２−１は、パケット送信時、カプセル化された送信パケットのセキュリティポリシを、送信用セキュリティポリシデータベース１１−１から検索し、ヘッダ情報を省略する対象パケットであると認識した場合は、対象パケットからヘッダ情報を省略する。

パケット送信処理部１３−１は、ヘッダ情報が省略されたパケットに対して、暗号化プロトコルのトンネリングによるセキュリティヘッダ及びトンネル通信時のヘッダを付加してパケット送信処理を行う。

パケット受信装置１０−２は、受信用セキュリティポリシデータベース１１−２、ヘッダ情報復元部１４−２、パケット受信処理部１５−２から構成される。受信用セキュリティポリシデータベース１１−２は、受信用セキュリティポリシとして、ヘッダ情報が省略されていることが設定される。

ヘッダ情報復元部１４−２は、パケット受信時、受信パケットのセキュリティポリシを、受信用セキュリティポリシデータベース１１−２から検索し、ヘッダ情報が省略されている対象パケットであると認識した場合は、ヘッダ情報を復元する。パケット受信処理部１５−２は、ヘッダ情報が復元されたパケットの受信処理を行う。

次にパケット通信システム１をモバイルＶＰＮの通信方式に適用した場合について以降詳しく説明する。図２はモバイルＶＰＮの構成例を示す図である。モバイルＶＰＮ２は、ホームネットワーク２０、アクセスネットワーク３０、インターネット４０を有する。

ホームネットワーク２０には、移動ノードＭＮの位置管理を行うホームエージェント２１が設置し、アクセスネットワーク３０には、基地局やルータなどのアクセスポイントＡＰ１〜ＡＰ３が設置する。また、移動ノードＭＮは、ホームネットワーク２０から移動して、在圏ネットワークであるアクセスネットワーク３０で通信を行っている。

ＶＰＮゲートウェイＧＷは、インターネット４０とホームネットワーク２０間に設置して、インターネット４０とホームエージェント２１と接続する。アクセスポイントＡＰ３と通信相手端末６は、インターネット４０に接続する。

なお、移動ノードＭＮとＶＰＮゲートウェイＧＷはともに、パケット送信装置１０−１とパケット受信装置１０−２の両機能を有している。したがって、移動ノードＭＮからＶＰＮゲートウェイＧＷへパケット送信する場合は、移動ノードＭＮはパケット送信装置１０−１となり、ＶＰＮゲートウェイＧＷはパケット受信装置１０−２となる。また、ＶＰＮゲートウェイＧＷから移動ノードＭＮへパケット送信する場合は、ＶＰＮゲートウェイＧＷはパケット送信装置１０−１となり、移動ノードＭＮはパケット受信装置１０−２となる。

ここで、以降の説明で使用する各種のアドレスについて以下にまとめて示しておく。
・ＨｏＡ：ホームネットワーク２０におけるＩＰアドレスで、移動ノードＭＮに付与されるモバイルＩＰ（以下、ＭＩＰとも表記する）におけるホームアドレス。

・ＣｏＡ：移動ノードＭＮに付与されるＭＩＰにおける気付けアドレス。
・ＰＨＹ：アクセスネットワーク３０におけるＩＰアドレスで、移動ノードＭＮに付与されるＩＰアドレス。

・ＶＰＮＧＷ：ＶＰＮゲートウェイＧＷのインタフェースのＩＰアドレス。
・ＨＡ：ホームエージェント２１のインタフェースのＩＰアドレス。
・ＣＮ：移動ノードＭＮから見た通信相手端末６のインタフェースのＩＰアドレス。

・ＮＡＴ：アドレス変換器（ＮＡＴ８：図５で後述）のインタフェースのＩＰアドレス。
次にモバイルＶＰＮ２上での従来と本発明とのパケットフォーマットの違いについて説明する。図３、図４はパケットフォーマットを示す図である。図３は従来のパケットフォーマットを示しており、図３の（１）〜（６）のパケットフォーマットは以下のようになる。

（１）移動ノードＭＮ→ＶＰＮゲートウェイＧＷのパケットフォーマット
元のパケットＰ１ａは、送信元（ｓｒｃ）がＨｏＡ、宛先（ｄｓｔ）がＣＮのＩＰヘッダとデータから構成される。このパケットＰ１ａに、ＭＩＰによるカプセル化ヘッダとして、送信元（ｓｒｃ）がＣｏＡ、宛先（ｄｓｔ）がＨＡのＩＰヘッダを付加してパケットＰ２ａとし、さらに、セキュリティヘッダとしてＩＰｓｅｃのＥＳＰトンネリングによるＥＳＰヘッダと、トンネル通信時のヘッダとして、送信元（ｓｒｃ）がＰＨＹ、宛先（ｄｓｔ）がＶＰＮＧＷのＩＰヘッダとを付加してパケットＰ３ａを構成する（秘匿範囲はパケットＰ２ａである）。移動ノードＭＮは、パケットＰ３ａをＶＰＮゲートウェイＧＷへ送信する。なお、ＥＳＰ認証を行う場合にはトレイラと呼ばれるデータ部分が付加されるが図では省略している。

（２）ＶＰＮゲートウェイＧＷ→ホームエージェント２１
ＶＰＮゲートウェイＧＷは、パケットＰ３ａを受信し、デカプセル化してパケットＰ２ａを生成し、ホームエージェント２１へ送信する。

（３）ホームエージェント２１→通信相手端末６
ホームエージェント２１は、パケットＰ２ａを受信し、デカプセル化してパケットＰ１ａを生成し、通信相手端末６へ送信する。

（４）通信相手端末６→ホームエージェント２１
通信相手端末６は、送信元（ｓｒｃ）がＣＮ、宛先（ｄｓｔ）がＨｏＡのＩＰヘッダとデータから構成されるパケットＰ１ｂを生成し、ホームエージェント２１へ送信する。

（５）ホームエージェント２１→ＶＰＮゲートウェイＧＷ
ホームエージェント２１は、パケットＰ１ｂを受信し、ＭＩＰによるカプセル化ヘッダとして、送信元（ｓｒｃ）がＨＡ、宛先（ｄｓｔ）がＣｏＡのＩＰヘッダを付加してパケットＰ２ｂを生成し、ＶＰＮゲートウェイＧＷへ送信する。

（６）ＶＰＮゲートウェイＧＷ→移動ノードＭＮ
ＶＰＮゲートウェイＧＷは、パケットＰ２ｂを受信し、セキュリティヘッダとしてＩＰｓｅｃのＥＳＰトンネリングによるＥＳＰヘッダと、トンネル通信時のヘッダとして、送信元（ｓｒｃ）がＶＰＮＧＷ、宛先（ｄｓｔ）がＰＨＹのＩＰヘッダを付加してパケットＰ３ｂを生成し（秘匿範囲はパケットＰ２ｂである）、移動ノードＭＮへ送信する。

図４はモバイルＶＰＮ２にパケット通信システム１を適用した際のパケットフォーマットであり、図４の（１）〜（６）のパケットフォーマットは以下のようになる。
（１）移動ノードＭＮ→ＶＰＮゲートウェイＧＷのパケットフォーマット
元のパケットＰ１ａは、送信元（ｓｒｃ）がＨｏＡ、宛先（ｄｓｔ）がＣＮのＩＰヘッダとデータから構成される。このパケットＰ１ａに対し、ＭＩＰによるカプセル化ヘッダは省略し、セキュリティヘッダとしてＩＰｓｅｃのＥＳＰトンネリングによるＥＳＰヘッダと、トンネル通信時のヘッダとして、送信元（ｓｒｃ）がＰＨＹ、宛先（ｄｓｔ）がＶＰＮＧＷのＩＰヘッダとを付加してパケットＰ３ａ−１を構成する（秘匿範囲はパケットＰ１ａである）。移動ノードＭＮは、パケットＰ３ａ−１をＶＰＮゲートウェイＧＷへ送信する。

（２）ＶＰＮゲートウェイＧＷ→ホームエージェント２１
ＶＰＮゲートウェイＧＷは、パケットＰ３ａ−１を受信してデカプセル化し、また送信元（ｓｒｃ）がＣｏＡ、宛先（ｄｓｔ）がＨＡのＭＩＰによるカプセル化ヘッダを復元してパケットＰ２ａを生成し、ホームエージェント２１へ送信する。

（３）ホームエージェント２１→通信相手端末６
ホームエージェント２１は、パケットＰ２ａを受信し、デカプセル化してパケットＰ１ａを生成し、通信相手端末６へ送信する。

（４）通信相手端末６→ホームエージェント２１
通信相手端末６は、送信元（ｓｒｃ）がＣＮ、宛先（ｄｓｔ）がＨｏＡのＩＰヘッダとデータから構成されるパケットＰ１ｂを生成し、ホームエージェント２１へ送信する。

（５）ホームエージェント２１→ＶＰＮゲートウェイＧＷ
ホームエージェント２１は、パケットＰ１ｂを受信し、ＭＩＰによるカプセル化ヘッダとして、送信元（ｓｒｃ）がＨＡ、宛先（ｄｓｔ）がＣｏＡのＩＰヘッダを付加してパケットＰ２ｂを生成し、ＶＰＮゲートウェイＧＷへ送信する。

（６）ＶＰＮゲートウェイＧＷ→移動ノードＭＮ
ＶＰＮゲートウェイＧＷは、パケットＰ２ｂを受信し、ＭＩＰによるカプセル化ヘッダを省略し、セキュリティヘッダとしてＩＰｓｅｃのＥＳＰトンネリングによるＥＳＰヘッダと、トンネル通信時のヘッダとして、送信元（ｓｒｃ）がＶＰＮＧＷ、宛先（ｄｓｔ）がＰＨＹのＩＰヘッダとを付加してパケットＰ３ｂ−１を生成し、移動ノードＭＮへ送信する。

上記のヘッダ情報の省略及び復元についてまとめると、移動ノードＭＮから送信されるＩＰパケットは、移動ノードＭＮにてＭＩＰによるカプセル化ＩＰヘッダを省略して、ＶＰＮゲートウェイＧＷに送信する。

省略されるＩＰヘッダ情報は、ＩＰｓｅｃの送信時のセキュリティポリシとして、移動ノードＭＮのＳＰＤ（Security Policy Database）に設定されており、ＣｏＡを送信元ＩＰアドレス、ＨＡのアドレスを宛先ＩＰアドレスとするＩＰヘッダである。

省略されたＩＰパケットを受信したＶＰＮゲートウェイＧＷは、ＶＰＮゲートウェイＧＷのＳＰＤに設定されている受信時のセキュリティポリシからＣｏＡを送信元ＩＰアドレス、ＨＡを宛先アドレスとするＩＰヘッダを復元する。

一方、ＶＰＮゲートウェイＧＷから送信されるＩＰパケットは、ＭＩＰによるカプセル化ＩＰヘッダを省略し、移動ノードＭＮに送信する。省略されるＩＰヘッダ情報は、ＩＰｓｅｃの送信時のセキュリティポリシとして、ＶＰＮゲートウェイＧＷのＳＰＤに設定されており、ＨＡを送信元ＩＰアドレス、ＣｏＡを宛先ＩＰアドレスとするＩＰヘッダである。

省略されたＩＰパケットを受けた移動ノードＭＮでは、移動ノードＭＮのＳＰＤに設定されている受信時のセキュリティポリシからＨＡを送信元ＩＰアドレス、ＣｏＡを宛先ＩＰアドレスとするＩＰヘッダを復元する。なお、上記では、セキュリティヘッダとして、ＩＰｓｅｃのＥＳＰヘッダとしたが、ＡＨ（IP Authentication Header）ヘッダを用いてもよい。

ここで、ＥＳＰとＡＨについて簡単に説明すると、ＩＰｓｅｃが提供する機能には主に（１）通信内容の秘匿（暗号化）、（２）通信相手の認証、（３）通信内容の偽造検出・改ざん検出、（４）再生攻撃の検出があり、ＩＰｓｅｃにはＥＳＰとＡＨの２つのプロトコルが定義されている。ＥＳＰは（１）、（３）の機能を提供し、ＡＨは（２）、（３）、（４）の機能を提供するプロトコルである。なお、ＡＨの改ざん防止機能は、ＩＰヘッダを含めたパケット全体であるが、ＥＳＰの改ざん防止機能はペイロード部分のみが対象となる。

また、ＥＳＰ、ＡＨは共に、トランスポートモード、トンネルモードの２つのモードを有しており、本発明ではトンネルモードを適用した際の動作について示している。
次にアドレス変換器（ＮＡＴ：Network Address Translation）を有するモバイルＶＰＮにパケット通信システム１を適用した場合について説明する。図５はアドレス変換器を有するモバイルＶＰＮの構成例を示す図である。モバイルＶＰＮ２ａは、ホームネットワーク２０、アクセスネットワーク３０、インターネット４０、ローカルネットワーク３０ａを有する。

ホームネットワーク２０には、移動ノードＭＮの位置管理を行うホームエージェント２１が設置し、アクセスネットワーク３０には、基地局やルータなどのアクセスポイントＡＰ１〜ＡＰ３が設置する。ローカルネットワーク３０ａには、アドレス変換器（以下、ＮＡＴ８と呼ぶ）が配置し、移動ノードＭＮは、在圏ネットワークであるローカルネットワーク３０ａに存在し、ＮＡＴ８を介して通信を行っている。なお、ＮＡＴ８は、プライベートＩＰアドレスをグローバルＩＰアドレスに変換して、インターネット４０と通信を可能にする装置である。

ＶＰＮゲートウェイＧＷは、インターネット４０とホームネットワーク２０間に設置して、インターネット４０とホームエージェント２１と接続する。アクセスポイントＡＰ３と通信相手端末６は、インターネット４０に接続する。

次にモバイルＶＰＮ２ａ上での本発明のパケットフォーマットについて説明する。図６はパケットフォーマットの図である。なお、従来のパケットフォーマットの図は省略する（従来の場合では、図６のＥＳＰヘッダとパケットＰ１ｃとの間、またはＥＳＰヘッダとパケットＰ１ｄとの間にＭＩＰによるカプセル化ヘッダが挿入することになる）。

（１）移動ノードＭＮ→ＶＰＮゲートウェイＧＷのパケットフォーマット
元のパケットＰ１ｃは、送信元（ｓｒｃ）がＨｏＡ、宛先（ｄｓｔ）がＣＮのＩＰヘッダとデータから構成される。このパケットＰ１ｃに対し、ＭＩＰによるカプセル化ヘッダは省略し、セキュリティヘッダとしてＩＰｓｅｃのＥＳＰトンネリングによるＥＳＰヘッダと、トンネル通信時のヘッダとして、ＵＤＰヘッダと、送信元（ｓｒｃ）がＰＨＹ、宛先（ｄｓｔ）がＶＰＮＧＷのＩＰヘッダとを付加してパケットＰ３ｃ−１を構成する（秘匿範囲はパケットＰ１ｃである）。移動ノードＭＮは、パケットＰ３ｃ−１をＮＡＴ８へ送信する。

（２）ＮＡＴ８→ＶＰＮゲートウェイＧＷ
ＮＡＴ８はパケットＰ３ｃ−１を受信すると、送信元（ｓｒｃ）のＰＨＹをＮＡＴに変換して、パケットＰ３ｃ−２を生成し、ＶＰＮゲートウェイＧＷへ送信する。

（３）ＶＰＮゲートウェイＧＷ→ホームエージェント２１
ＶＰＮゲートウェイＧＷは、パケットＰ３ｃ−２を受信してデカプセル化し、また送信元（ｓｒｃ）がＣｏＡ、宛先（ｄｓｔ）がＨＡのＭＩＰによるカプセル化ヘッダを復元してパケットＰ２ｃを生成し、ホームエージェント２１へ送信する。

（４）ホームエージェント２１→通信相手端末６
ホームエージェント２１は、パケットＰ２ｃを受信し、デカプセル化してパケットＰ１ｃを生成し、通信相手端末６へ送信する。

（５）通信相手端末６→ホームエージェント２１
通信相手端末６は、送信元（ｓｒｃ）がＣＮ、宛先（ｄｓｔ）がＨｏＡのＩＰヘッダとデータから構成されるパケットＰ１ｄを生成し、ホームエージェント２１へ送信する。

（６）ホームエージェント２１→ＶＰＮゲートウェイＧＷ
ホームエージェント２１は、パケットＰ１ｄを受信し、ＭＩＰによるカプセル化ヘッダとして、送信元（ｓｒｃ）がＨＡ、宛先（ｄｓｔ）がＣｏＡのＩＰヘッダを付加してパケットＰ２ｄを生成し、ＶＰＮゲートウェイＧＷへ送信する。

（７）ＶＰＮゲートウェイＧＷ→ＮＡＴ８
ＶＰＮゲートウェイＧＷは、パケットＰ２ｄを受信し、ＭＩＰによるカプセル化ヘッダを省略し、セキュリティヘッダとしてＩＰｓｅｃのＥＳＰトンネリングによるＥＳＰヘッダと、トンネル通信時のヘッダとして、ＵＤＰヘッダと、送信元（ｓｒｃ）がＶＰＮＧＷ、宛先（ｄｓｔ）がＮＡＴのＩＰヘッダとを付加してパケットＰ３ｄ−１を生成し、ＮＡＴ８へ送信する。

（８）ＮＡＴ８→移動ノードＭＮ
ＮＡＴ８は、パケットＰ３ｄ−１を受信すると、宛先（ｄｓｔ）のＮＡＴをＰＨＹに変換して、パケットＰ３ｄ−２を生成し、移動ノードＭＮへ送信する。

次に移動ノードＭＮとＶＰＮゲートウェイＧＷの内部構成について説明する。図７は移動ノードＭＮの内部構成を示す図である。移動ノードＭＮは、ＲＦＣ３３４４やＲＦＣ３７７５で定義されるモバイルホスト、またはモバイルルータとなるモバイルノードであって、ＩＰｓｅｃによるＶＰＮ機能、セキュリティポリシによるＩＰヘッダ省略機能を具備する。

移動ノードＭＮは、パケット送信装置１０−１及びパケット受信装置１０−２の機能を有し、受信部Ｉ／Ｆ１ａ、送信部Ｉ／Ｆ２ａ、ＳＰＤ１１ａ（図１の送信用セキュリティポリシデータベース１１−１と受信用セキュリティポリシデータベース１１−２に該当）、ヘッダ省略処理部１２ａ（図１のヘッダ情報省略部１２−１に該当）、ＩＰｓｅｃプロトコル処理部１３ａ、ヘッダ復元処理部１４ａ（図１のヘッダ情報復元部１４−２に該当）、プロトコル連携部１５ａ、経路表１５ａ−１、トンネル処理部１６ａ、ＭＩＰプロトコル処理部１７ａ、ＩＰ上位プロトコル処理部１８ａ、ＳＡＤ（Security Association Database）１９ａから構成される。

なお、図１のパケット送信処理部１３−１、パケット受信処理部１５−２の機能は、受信部Ｉ／Ｆ１ａ、送信部Ｉ／Ｆ２ａ、ＩＰｓｅｃプロトコル処理部１３ａ、プロトコル連携部１５ａ、経路表１５ａ−１、トンネル処理部１６ａ、ＭＩＰプロトコル処理部１７ａ、ＩＰ上位プロトコル処理部１８ａ、ＳＡＤ１９ａによって実現される。

受信部Ｉ／Ｆ１ａは、外部からのＩＰパケットを受信する。送信部Ｉ／Ｆ２ａは、外部へＩＰパケットを送信する。プロトコル連携部１５ａは、経路表１５ａ−１を用いて、パケットの受信処理及び送信処理を行う。

受信処理を行う場合は、宛先ＩＰアドレスが他ノードであれば経路表１５ａ−１にしたがいＩＰパケットを送信する。宛先ＩＰアドレスが他ノードであれば受信したＩＰパケットの次ヘッダを参照し、該当するプロトコル処理部に処理を依頼する。そして、プロトコル処理を順次行った後に、最終的にアプリケーションへデータを通知する。

送信処理を行う場合は、アプリケーションから送信されて、ＩＰ上位プロトコル処理部１８ａで処理されたＩＰパケットや、他のノードからの受信ＩＰパケットに対し、トンネル処理部１６ａやＩＰｓｅｃプロトコル処理部１３ａと連携することでトンネリングやＩＰｓｅｃなどの処理を施し、他ノードへ送信する。

トンネル処理部１６ａは、ＭＩＰのトンネリングを行い、ユーザデータのカプセル化及びデカプセル化を行う。ＭＩＰプロトコル処理部１７ａは、ホームエージェントに対し、ＨｏＡとＣｏＡの登録とその解除を行う。これにより、位置に依存しない不変なＩＰアドレスであるＨｏＡによるシームレスな通信をアプリケーションに提供する。また、トンネリングのための経路設定を経路表１５ａ−１に設定することで、ＭＩＰによる通信を可能にする。

ＳＰＤ１１ａは、セキュリティを適用する条件（セキュリティポリシ）が設定され、例えば、送信元ＩＰアドレス、宛先ＩＰアドレス、ＩＰの上位プロトコル等を指定しておき、そのセキュリティポリシに一致したＩＰパケットに対し、ＳＡＤ１９ａに設定されたセキュリティアソシエーションを適用する。

なお、セキュリティアソシエーションとは、ＩＰｓｅｃを用いて通信するエンティティ間におけるセキュリティ上のパラメータのことである。このパラメータには主に、トンネルモードまたはトランスモードのいずれのモードを適用するのか、ＵＤＰカプセリングを適用するのか、ＥＳＰによる暗号化を適用するのか、ＡＨによる認証を適用するのかといった指定と、それらのアルゴリズム、鍵、ＳＰＩ（Security Parameter Index）などが含まれる。

ＩＰ上位プロトコル処理部１８ａは、アプリケーションからのデータに対して、アプリケーションが指定したトランスポートプロトコルのＩＰヘッダを適用する処理を行う。移動ノードＭＮがＮＡＴサーバとして動作した場合の他ノードから転送するパケットフォーマットにも同様の処理を行う。したがって、移動ノードＭＮは、モバイルルータ、モバイルホスト、またはＮＡＴサーバ兼モバイルルータに対応が可能である。

ＩＰｓｅｃプロトコル処理部１３ａは、ＳＡＤ１９ａとＳＰＤ１１ａの２つのデータベースを有する。ＳＰＤ１１ａにはＩＰヘッダを省略するか否かを指定するための情報が追加設定されている。ＩＰｓｅｃプロトコル処理部１３ａでは、ＩＰパケットとＳＰＤ１１ａを比較する。比較の結果、セキュリティポリシが一致した場合、セキュリティポリシを適用する。このとき適用するセキュリティポリシが、ＩＰヘッダ復元、ＩＰヘッダ省略、暗号化／復号化、認証などであり、適用するセキュリティポリシによっては、ヘッダ復元処理部１４ａやヘッダ省略処理部１２ａへ処理を依頼し、その後、暗号化／復号化、認証を施す。

ヘッダ復元処理部１４ａは、ＳＰＤ１１ａにしたがい省略したＩＰヘッダを復元する。復元するＩＰヘッダは、ＭＩＰで付与されたトンネリング用ＩＰヘッダであり、送信元ＩＰアドレスがＨＡ、宛先ＩＰアドレスがＣｏＡのＩＰヘッダである。また、ＮＡＴが適用された場合、ＭＩＰで付与されるトンネリング用ＩＰヘッダはＵＤＰカプセリングされ、ＵＤＰペイロードとして転送される。そのため、ＮＡＴ適用時は、ＵＤＰカプセリング内にＩＰヘッダを復元する。

ヘッダ省略処理部１２ａは、ＳＰＤ１１ａにしたがいＩＰヘッダを省略する。省略するＩＰヘッダは、ＭＩＰで付与されるトンネリング用ＩＰヘッダであり、送信元ＩＰアドレスがＣｏＡ、宛先ＩＰがＨＡのＩＰヘッダである。また、ＮＡＴが適用された場合、ＭＩＰで付与されるトンネリング用ＩＰヘッダはＵＤＰカプセリングされ、ＵＤＰペイロードとして転送する。そのため、ＮＡＴ適用時は、ＵＤＰカプセリング内のＩＰヘッダを省略する。

図８はＶＰＮゲートウェイＧＷの内部構成を示す図である。ＶＰＮゲートウェイＧＷは、ＩＰｓｅｃによるＶＰＮ機能、さらにセキュリティポリシによるＩＰヘッダ省略機能を具備する。

ＶＰＮゲートウェイＧＷは、パケット送信装置１０−１及びパケット受信装置１０−２の機能を有し、受信部Ｉ／Ｆ１ｂ、送信部Ｉ／Ｆ２ｂ、ＳＰＤ１１ｂ（図１の送信用セキュリティポリシデータベース１１−１と受信用セキュリティポリシデータベース１１−２に該当）、ヘッダ省略処理部１２ｂ（図１のヘッダ情報省略部１２−１に該当）、ＩＰｓｅｃプロトコル処理部１３ｂ、ヘッダ復元処理部１４ｂ（図１のヘッダ情報復元部１４−２に該当）、プロトコル連携部１５ｂ、経路表１５ｂ−１、ＩＰ上位プロトコル処理部１８ｂ、ＳＡＤ１９ｂから構成される。図１のパケット送信処理部１３−１、パケット受信処理部１５−２の機能は、受信部Ｉ／Ｆ１ｂ、送信部Ｉ／Ｆ２ｂ、ＩＰｓｅｃプロトコル処理部１３ｂ、プロトコル連携部１５ｂ、経路表１５ｂ−１、ＩＰ上位プロトコル処理部１８ｂ、ＳＡＤ１９ｂによって実現される。

受信部Ｉ／Ｆ１ｂ、送信部Ｉ／Ｆ２ｂ、プロトコル連携部１５ｂ、ＩＰ上位プロトコル処理部１８ｂ、ＩＰｓｅｃプロトコル処理部１３ｂは、図７で示した同じ名称の構成要素と同様の動作である。

ヘッダ復元処理部１４ｂは、図７のヘッダ復元処理部１４ａと基本動作は同様である。ただし、ヘッダ復元処理部１４ｂで復元されるＩＰヘッダは、送信元ＩＰアドレスがＣｏＡ、宛先ＩＰアドレスがＨＡのＩＰヘッダである。

ヘッダ省略処理部１２ｂは、図７のヘッダ省略処理部１２ａと基本動作は同様である。ただし、ヘッダ省略処理部１２ａで省略されるＩＰヘッダは、送信元ＩＰアドレスがＨＡ、宛先ＩＰアドレスがＣｏＡのＩＰヘッダである。

ここで、移動ノードＭＮ及びＶＰＮゲートウェイＧＷの詳細動作を説明する前に、ＭＩＰによるカプセル化ヘッダを削除または復元できる理由について説明する。既存技術であるdraft-ietf-mip4-vpn-problem-solution-01では、Home address（ＨｏＡ）、Care of Address（ＣｏＡ）、Phy address（ＰＨＹ）の３つのアドレスを使用し、Mobile IPにおけるカプセル化フォーマットとＩＰｓｅｃ ＶＰＮにおける鍵の統一性を実現している。

図２のネットワークのようにＶＰＮゲートウェイＧＷを設ける場合、ＩＰｓｅｃではトンネルモードを適用するのが通常である。ＩＰｓｅｃトンネルモードを適用する場合、ＳＰＤ１１ａ、１１ｂには、送信用セキュリティポリシと受信用セキュリティポリシを設定しておく。すなわち、図３の（１）かつ（６）のセキュリティ対象であるパケットＰ２ａ、Ｐ２ｂに対して適用するようなセキュリティポリシを設定しておく。

すなわち、パケット通信システム１において、移動ノードＭＮのＳＰＤ１１ａには、送信用セキュリティポリシとして、src CoA、dst HAを設定し、受信用セキュリティポリシとして、src HA、dst CoAを設定しておく。

また、ＶＰＮゲートウェイＧＷのＳＰＤ１１ｂには、送信用セキュリティポリシとして、src HA、dst CoAを設定し、受信用セキュリティポリシとして、src CoA、dst HAを設定しておく。

ＨＡとＣｏＡについて以下に説明する。ＨＡはMobile IPにおけるホームエージェント２１のアドレスであり、通常Mobile IPでは固定のアドレスである。動的に（単一でも複数でもよい）ホームエージェント２１から選択する手段も準備されているが、一旦選択すれば通常は固定となる。

また、ＣｏＡは、ＶＰＮゲートウェイＧＷ配下のネットワークのアドレスである。ＶＰＮゲートウェイＧＷは、ホームエージェント２１のセグメントを保護するように設置され、ホームエージェント２１とＶＰＮゲートウェイＧＷの組み合わせは固定的になる。すなわち、ホームエージェント２１のアドレスが決まると、ＶＰＮゲートウェイＧＷのアドレスが決まり、ＶＰＮゲートウェイＧＷ配下のネットワークのアドレスであるＣｏＡも固定となる。ＣｏＡの割り当てには、ＤＨＣＰによる動的払い出しや、手動による割り当てなどの方法があるが一旦割り当てられると固定となる。

したがって、ＨＡとＣｏＡはともに固定的なアドレスであり、また、移動ノードＭＮとＶＰＮゲートウェイＧＷとの間の通信には、ＭＩＰによるカプセル化ヘッダのＨＡとＣｏＡのアドレスは使わないので、移動ノードＭＮとＶＰＮゲートウェイＧＷのそれぞれのＳＰＤ１１ａ、１１ｂにあらかじめ設定しておけば、ＩＰパケットに付与しなくてもすみ、セキュリティポリシの確認時に、移動ノードＭＮとＶＰＮゲートウェイＧＷのエンティティにおいて省略／復元することが可能である。これにより、移動ノードＭＮとＶＰＮゲートウェイＧＷとの間の通信路のネットワーク帯域の軽減を図ることが可能になる。

次に移動ノードＭＮの動作について説明する。なお、図９、図１０は図２のモバイルＶＰＮ２のネットワーク構成における送信処理フロー（送信処理フロー１）であり、図１１、図１２は、図５のモバイルＶＰＮ２ａのネットワーク構成（ＮＡＴ８が存在する場合）における送信処理フロー（送信処理フロー２）である。

（送信処理フロー１）
図９、図１０は移動ノードＭＮの送信処理フローを示す図である。移動ノードＭＮはモバイルホストとして動作する。

図９に対し、ＩＰ上位プロトコル処理部１８ａは、パケットＰ１１ａのデータ送信を行い（ｓ１）、プロトコル連携部１５ａを起動する（ｓ２）。プロトコル連携部１５ａは送信処理を開始し（ｓ３）、経路表１５ａ−１の検索を行い（ｓ４）、検索結果を送信部Ｉ／Ｆ２ａへ送信する（ｓ５）。プロトコル連携部１５ａは、トンネル処理部１６ａを起動する（ｓ６）。トンネル処理部１６ａは、パケットＰ１１ａにＭＩＰによるカプセル化ＩＰヘッダを付加してパケットＰ１２ａを生成し（ｓ７）、処理結果をプロトコル連携部１５ａへ通知する（ｓ８）。

図１０に対し、プロトコル連携部１５ａはＩＰｓｅｃプロトコル処理部１３ａを起動する（ｓ９）。ＩＰｓｅｃプロトコル処理部１３ａは、ＳＰＤ１１ａに対し、セキュリティポリシを検索し（ｓ１０）、セキュリティポリシが一致し（ｓ１１）、ヘッダ省略に関するセキュリティポリシが指定されていたら（ｓ１２）、ヘッダ省略処理部１２ａを起動する（ｓ１３）。ヘッダ省略処理部１２ａは、パケットＰ１２ａから、指定されたＩＰヘッダを省略してパケットＰ１２ａ−１を生成し（ｓ１４）、処理結果をＩＰｓｅｃプロトコル処理部１３ａに通知する（ｓ１５）。

ＩＰｓｅｃプロトコル処理部１３ａは、ＳＡＤ１９ａに対し、セキュリティアソシエーションを検索し（ｓ１６）、該当のセキュリティアソシエーションを適用して、ＩＰｓｅｃトンネルによるセキュリティヘッダ及びトンネル通信時のヘッダを付加してパケットＰ１３ａ−１を生成する（ｓ１７）。図の場合のセキュリティアソシエーションには、ＡＨヘッダのトンネリングモードが適用されている。また、処理結果をプロトコル連携部１５ａに通知する（ｓ１８）。

プロトコル連携部１５ａは、経路表１５ａ−１を用いて経路検索を行い（ｓ１９）、検索結果を送信部Ｉ／Ｆ２ａへ送信し（ｓ２０）、送信部Ｉ／Ｆ２ａを起動する（ｓ２１）。送信部Ｉ／Ｆ２ａは、パケットＰ１３ａ−１を外部へ送信し（ｓ２２）、処理結果をプロトコル連携部１５ａへ通知し（ｓ２３）、送信処理完了となる（ｓ２４）。

ここで、送信処理フロー１の動作をまとめると、移動ノードＭＮ上で動作しているアプリケーション（モバイルホストとして動作）から送信されたＩＰパケットは、ＭＩＰのトンネリングの仕組みによってカプセル化される。カプセル化されたＩＰパケットは、ＩＰｓｅｃプロトコル処理部１３ａで、ＳＰＤ１１ａを検索し、セキュリティポリシと比較する。送信時のセキュリティポリシには、送信元ＩＰアドレスがＣｏＡ、宛先ＩＰアドレスがＨＡ、ＩＰヘッダ省略ありが設定されている。

送信ＩＰパケットとＳＰＤ１１ａの比較の結果、送信時のセキュリティポリシが適用され、ヘッダ省略処理部１２ａにて、ＳＰＤ１１ａに設定されるＩＰヘッダを省略する。すなわち、送信元ＩＰアドレスがＣｏＡ、宛先ＩＰアドレスがＨＡのＩＰヘッダを省略する。

その後、セキュリティポリシからＳＡＤ１９ａに設定されたセキュリティアソシエーションを特定して適用する。この例では、セキュリティアソシエーションにトンネルモード、ＡＨを適用している。また、トンネルモードのため送信元ＩＰアドレスをＰＨＹと宛先ＩＰアドレスをＶＰＮＧＷでカプセル化している。セキュリティアソシエーションが適用されたＩＰパケットは、経路表１５ａ−１にしたがいインタフェースから送信される。

（送信処理フロー２）
図１１、図１２は移動ノードＭＮの送信処理フローを示す図である。移動ノードＭＮはモバイルルータとして動作する。

図１１に対し、受信部Ｉ／Ｆ１ａは、パケットＰ１１ａを受信すると、パケットＰ１１ａのデータ送信を行い（ｓ３１）、プロトコル連携部１５ａを起動する（ｓ３２）。プロトコル連携部１５ａは送信処理を開始し（ｓ３３）、経路表１５ａ−１の検索を行い（ｓ３４）、検索結果を送信部Ｉ／Ｆ２ａへ送信する（ｓ３５）。プロトコル連携部１５ａは、トンネル処理部１６ａを起動する（ｓ３６）。トンネル処理部１６ａは、パケットＰ１１ａにＭＩＰによるカプセル化ＩＰヘッダを付加してパケットＰ１２ａを生成し（ｓ３７）、処理結果をプロトコル連携部１５ａへ通知する（ｓ３８）。

図１２に対し、プロトコル連携部１５ａはＩＰｓｅｃプロトコル処理部１３ａを起動する（ｓ３９）。ＩＰｓｅｃプロトコル処理部１３ａは、ＳＰＤ１１ａに対し、セキュリティポリシを検索し（ｓ４０）、セキュリティポリシが一致し（ｓ４１）、ヘッダ省略に関するセキュリティポリシが指定されていたら（ｓ４２）、ヘッダ省略処理部１２ａを起動する（ｓ４３）。ヘッダ省略処理部１２ａは、パケットＰ１２ａから、指定されたＩＰヘッダを省略してパケットＰ１２ａ−１を生成し（ｓ４４）、処理結果をＩＰｓｅｃプロトコル処理部１３ａに通知する（ｓ４５）。

ＩＰｓｅｃプロトコル処理部１３ａは、ＳＡＤ１９ａに対し、セキュリティアソシエーションを検索し（ｓ４６）、該当のセキュリティアソシエーションを適用して、ＩＰｓｅｃトンネルによるセキュリティヘッダ及びトンネル通信時のヘッダを付加してパケットＰ１３ａ−２を生成する（ｓ４７）。図の場合のセキュリティアソシエーションには、ＥＳＰヘッダのトンネリングモードが適用されている。また、処理結果をプロトコル連携部１５ａに通知する（ｓ４８）。

プロトコル連携部１５ａは、経路表１５ａ−１を用いて経路検索を行い（ｓ４９）、検索結果を送信部Ｉ／Ｆ２ａへ送信し（ｓ５０）、送信部Ｉ／Ｆ２ａを起動する（ｓ５１）。送信部Ｉ／Ｆ２ａは、パケットＰ１３ａ−２を外部へ送信し（ｓ５２）、処理結果をプロトコル連携部１５ａへ通知し（ｓ５３）、送信処理完了となる（ｓ５４）。

ここで、送信処理フロー２においては、ヘッダ省略処理部１２ａでＩＰヘッダ省略後、セキュリティアソシエーションを適用するため、ＮＡＴ８が存在するネットワークに対しても、送信処理フロー１と同等の処理が可能である。この例では、セキュリティアソシエーションにトンネルモード、セキュリティヘッダにＥＳＰ、トンネル通信としてＵＤＰトンネリングを適用している。また、ＩＰｓｅｃトンネルモードのセキュリティアソシエーションの適用前にＩＰヘッダを省略することにより、セキュリティアソシエーションの適用後の経路選択などの既存処理に影響を与えない。

次に移動ノードＭＮの受信処理の動作について説明する。図１３、図１４は図２のモバイルＶＰＮ２のネットワーク構成における受信処理フロー（受信処理フロー１）であり、図１５、図１６は図５のモバイルＶＰＮ２ａのネットワーク構成（ＮＡＴ８が存在する場合）における受信処理フロー（受信処理フロー２）である。

（受信処理フロー１）
図１３、図１４は移動ノードＭＮの受信処理フローを示す図である。移動ノードＭＮはモバイルホストとして動作する。

図１３に対し、受信部Ｉ／Ｆ１ａは、パケットＰ１３ｂ−１を受信し（ｒ１）、プロトコル連携部１５ａを起動する（ｒ２）。プロトコル連携部１５ａは受信処理を開始し（ｒ３）、宛先を検索して（ｒ４）、宛先が他ノードなら転送処理へ渡し（ｒ５）、宛先が自ノードなら、ＩＰｓｅｃプロトコル処理部１３ａを起動する（ｒ６（図１４））。

図１４に対し、ＩＰｓｅｃプロトコル処理部１３ａは、ＳＡＤ１９ａに対し、セキュリティアソシエーションを検索し（ｒ７）、該当のセキュリティアソシエーションを適用して、ＩＰｓｅｃトンネルによるヘッダをデカプセル化してパケットＰ１２ｂを生成する（ｒ８）。ＩＰｓｅｃプロトコル処理部１３ａは、ＳＰＤ１１ａに対し、セキュリティポリシを検索し（ｒ９）、受信パケットがヘッダ省略されていることを認識すると（ｒ１０）、ヘッダ復元処理部１４ａを起動する（ｒ１１）。ヘッダ復元処理部１４ａは、ＭＩＰによるカプセル化ヘッダを復元してパケットＰ１２ｂ−１を生成し（ｒ１２）、処理結果をＩＰｓｅｃプロトコル処理部１３ａに通知する（ｒ１３）。ＩＰｓｅｃプロトコル処理部１３ａは、ヘッダが復元されたパケットＰ１２ｂ−１のセキュリティポリシを確認し（ｒ１４）、確認結果をプロトコル連携部１５ａに通知する（ｒ１５）。プロトコル連携部１５ａは、トンネル処理部１６ａを起動し（ｒ１６）、トンネル処理部１６ａは、ＭＩＰによるカプセル化ヘッダを削除してパケットＰ１１ｂを生成し（ｒ１７）、処理結果をプロトコル連携部１５ａに通知する（ｒ１８）。プロトコル連携部１５ａは、パケットＰ１１ｂをＩＰ上位プロトコル処理部１８ａに送信し（ｒ１９）、ＩＰ上位プロトコル処理部１８ａを起動する（ｒ２０）。ＩＰ上位プロトコル処理部１８ａはパケットＰ１１ｂを受信して（ｒ２１）、処理結果をプロトコル連携部１５ａに通知し（ｒ２２）、受信処理終了となる（ｒ２３）。

ここで、受信処理フロー１の動作についてまとめると、移動ノードＭＮは、ＩＰパケットを受信すると、宛先ＩＰアドレスから受信処理か転送処理かに振り分ける。自ノード宛のＩＰパケットであった場合、ＩＰｓｅｃプロトコル処理部１３ａにて、送信元ＩＰアドレス、宛先ＩＰアドレス、ＡＨまたはＥＳＰのプロトコル、及びＡＨまたはＥＳＰヘッダ内のＳＰＩからＳＡＤ１９ａに設定されているセキュリティアソシエーションを特定し、ＩＰパケット認証または復号化を行う。

この例では、セキュリティアソシエーションにトンネルモード、ＡＨを適用している。その後、セキュリティアソシエーションから一致するセキュリティポリシを検索する。ＳＰＤ１１ａ内の受信時のセキュリティポリシには、送信元ＩＰアドレスがＨＡ、宛先ＩＰアドレスがＣｏＡ、ＩＰヘッダ省略ありが設定されている。トンネルモードのため、送信元ＩＰアドレスがＰＨＹ、宛先ＩＰアドレスがＶＰＮＧＷのＩＰヘッダがデカプセル化される。受信時のセキュリティポリシが適用され、ＳＰＤ１１ａにはＩＰヘッダ省略が指定されており、ヘッダ復元処理部１４ａにて、ＳＰＤ１１ａに設定されるＩＰヘッダを復元する。すなわち、送信元ＩＰアドレスがＨＡ、宛先ＩＰアドレスがＣｏＡのＩＰヘッダを復元する。その後、セキュリティポリシのチェックを行い、ＭＩＰによるトンネリング処理が行われ、ＭＮ上で動作しているアプリケーションへ転送される。

（受信処理フロー２）
図１５、図１６は移動ノードＭＮの受信処理フローを示す図である。移動ノードＭＮはモバイルルータとして動作する。

図１５に対し、受信部Ｉ／Ｆ１ａは、パケットＰ１３ｂ−２を受信し（ｒ３１）、プロトコル連携部１５ａを起動する（ｒ３２）。プロトコル連携部１５ａは受信処理を開始し（ｒ３３）、宛先を検索して（ｒ３４）、宛先が他ノードなら転送処理へ渡し（ｒ３５）、宛先が自ノードなら、ＩＰｓｅｃプロトコル処理部１３ａを起動する（ｒ３６（図１６））。

図１６に対し、ＩＰｓｅｃプロトコル処理部１３ａは、ＳＡＤ１９ａに対し、セキュリティアソシエーションを検索し（ｒ３７）、該当のセキュリティアソシエーションを適用して、ＩＰｓｅｃトンネルによるヘッダをデカプセル化してパケットＰ１２ｂを生成する（ｒ３８）。ＩＰｓｅｃプロトコル処理部１３ａは、ＳＰＤ１１ａに対し、セキュリティポリシを検索し（ｒ３９）、受信パケットがヘッダ省略されていることを認識すると（ｒ４０）、ヘッダ復元処理部１４ａを起動する（ｒ４１）。ヘッダ復元処理部１４ａは、ＭＩＰによるカプセル化ヘッダを復元してパケットＰ１２ｂ−１を生成し（ｒ４２）、処理結果をＩＰｓｅｃプロトコル処理部１３ａに通知する（ｒ４３）。ＩＰｓｅｃプロトコル処理部１３ａは、ヘッダが復元されたパケットＰ１２ｂ−１のセキュリティポリシを確認し（ｒ４４）、確認結果をプロトコル連携部１５ａに通知する（ｒ４５）。プロトコル連携部１５ａは、トンネル処理部１６ａを起動し（ｒ４６）、トンネル処理部１６ａは、ＭＩＰによるカプセル化ヘッダを削除してパケットＰ１１ｂを生成し（ｒ４７）、処理結果をプロトコル連携部１５ａに通知する（ｒ４８）。プロトコル連携部１５ａは、経路表１５ａ−１から経路検索を行い（ｒ４９）、ローカルネットワーク３０ａ内の他ノードへ送信することを認識し（ｒ５０）、送信部Ｉ／Ｆ２ａを起動する（ｒ５１）。送信部Ｉ／Ｆ２ａは、パケットＰ１１ｂを受信し（ｒ５２）、処理結果をプロトコル連携部１５ａに通知し（ｒ５３）、受信処理終了となる（ｒ５４）。

受信処理フロー２において、ヘッダ復元処理部１４ａでＩＰヘッダ復元前に、セキュリティアソシエーションを適用するため、受信処理フロー１と同等の処理が可能である。この例では、セキュリティアソシエーションにトンネルモード、ＥＳＰ、ＵＤＰトンネリングを適用している。また、ＩＰｓｅｃトンネルモードのセキュリティアソシエーションの適用後にＩＰヘッダを復元することにより、ＭＩＰや経路選択などの処理時点においては、ＩＰヘッダは復元されており既存処理に影響を与えない。

次にＶＰＮゲートウェイＧＷの動作について説明する。ＶＰＮゲートウェイＧＷのＩＰパケット処理は、ホームネットワーク２０（ＶＰＮゲートウェイＧＷ内のネットワーク）からインターネット４０（ＶＰＮゲートウェイＧＷ外のネットワーク）への転送処理と、インターネット４０からホームネットワーク２０への転送処理で動作は異なる。

最初にホームネットワーク２０からインターネット４０への転送処理として、図１７、図１８に図２のモバイルＶＰＮ２のネットワーク構成における転送処理フロー（転送処理フロー１）を示し、図１９、図２０に図５のモバイルＶＰＮ２ａのネットワーク構成（ＮＡＴ８が存在する場合）における転送処理フロー（転送処理フロー２）を示す。

（転送処理フロー１）
図１７、図１８はＶＰＮゲートウェイＧＷの転送処理フローを示す図である。図１７に対し、受信部Ｉ／Ｆ１ｂは、パケットＰ１２ｂ−１を受信し（ｔ１）、プロトコル連携部１５ｂを起動する（ｔ２）。プロトコル連携部１５ｂは受信処理を開始し（ｔ３）、宛先を検索して（ｔ４）、宛先が自ノードなら受信処理へ渡し（ｔ５）、宛先が他ノードなら、ＩＰｓｅｃプロトコル処理部１３ｂを起動する（ｔ６（図１８））。

図１８に対し、ＩＰｓｅｃプロトコル処理部１３ｂは、ＳＰＤ１１ｂに対し、セキュリティポリシを検索し（ｔ７）、セキュリティポリシが一致し（ｔ８）、ヘッダ省略に関するセキュリティポリシが指定されていたら（ｔ９）、ヘッダ省略処理部１２ｂを起動する（ｔ１０）。ヘッダ省略処理部１２ｂは、パケットＰ１２ｂ−１から、指定されたＩＰヘッダを省略してパケットＰ１２ｂを生成し（ｔ１１）、処理結果をＩＰｓｅｃプロトコル処理部１３ｂに通知する（ｔ１２）。

ＩＰｓｅｃプロトコル処理部１３ｂは、ＳＡＤ１９ｂに対し、セキュリティアソシエーションを検索し（ｔ１３）、該当のセキュリティアソシエーションを適用して、ＩＰｓｅｃトンネルによるセキュリティヘッダ及びトンネル通信時のヘッダを付加してパケットＰ１３ｂ−１を生成する（ｔ１４）。図の場合のセキュリティアソシエーションには、ＡＨヘッダのトンネリングモードが適用されている。また、処理結果をプロトコル連携部１５ａに通知する（ｔ１５）。

プロトコル連携部１５ｂは、経路表１５ｂ−１を用いて経路検索を行い（ｔ１６）、検索結果を送信部Ｉ／Ｆ２ｂへ送信し（ｔ１７）、送信部Ｉ／Ｆ２ｂを起動する（ｔ１８）。送信部Ｉ／Ｆ２ｂは、パケットＰ１３ｂ−１を外部へ送信し（ｔ１９）、処理結果をプロトコル連携部１５ｂへ通知し（ｔ２０）、送信処理完了となる（ｔ２１）。

ここで、転送処理フロー１の動作についてまとめると、ＶＰＮゲートウェイＧＷでＩＰパケットを受信すると、宛先ＩＰアドレスから受信処理か転送処理かに振り分ける。他ノード宛のＩＰパケットであった場合、ＩＰｓｅｃプロトコル処理部１３ｂで、ＳＰＤ１１ｂを検索し、セキュリティポリシと比較する。送信時のセキュリティポリシには、送信元アドレスがＨＡ、宛先アドレスがＣｏＡ、ＩＰヘッダ省略ありが設定されている。送信ＩＰパケットとＳＰＤの比較の結果、送信時のセキュリティポリシが適用され、ヘッダ省略処理部１２ｂにて、ＳＰＤ１１ｂに設定されるＩＰヘッダを省略する。

すなわち、送信元ＩＰアドレスがＨＡ、宛先ＩＰアドレスがＣｏＡのＩＰヘッダを省略する。その後、セキュリティポリシからＳＡＤ１９ｂに設定されたセキュリティアソシエーションを特定し、適用する。この例では、セキュリティアソシエーションにトンネルモード、ＡＨを適用している。トンネルモードのため送信元ＩＰアドレスＶＰＮＧＷと宛先ＩＰアドレスＰＨＹでカプセル化している。セキュリティアソシエーションが適用されたＩＰパケットは、経路表１５ｂ−１にしたがいインタフェースから送信される。

（転送処理フロー２）
図１９、図２０はＶＰＮゲートウェイＧＷの転送処理フローを示す図である。図１９に対し、受信部Ｉ／Ｆ１ｂは、パケットＰ１２ｂ−１を受信し（ｔ３１）、プロトコル連携部１５ｂを起動する（ｔ３２）。プロトコル連携部１５ｂは受信処理を開始し（ｔ３３）、宛先を検索して（ｔ３４）、宛先が自ノードなら受信処理へ渡し（ｔ３５）、宛先が他ノードなら、ＩＰｓｅｃプロトコル処理部１３ｂを起動する（ｔ３６（図２０））。

図２０に対し、ＩＰｓｅｃプロトコル処理部１３ｂは、ＳＰＤ１１ｂに対し、セキュリティポリシを検索し（ｔ３７）、セキュリティポリシが一致し（ｔ３８）、ヘッダ省略に関するセキュリティポリシが指定されていたら（ｔ３９）、ヘッダ省略処理部１２ｂを起動する（ｔ４０）。ヘッダ省略処理部１２ｂは、パケットＰ１２ｂ−１から、指定されたＩＰヘッダを省略してパケットＰ１２ｂを生成し（ｔ４１）、処理結果をＩＰｓｅｃプロトコル処理部１３ｂに通知する（ｔ４２）。

ＩＰｓｅｃプロトコル処理部１３ｂは、ＳＡＤ１９ｂに対し、セキュリティアソシエーションを検索し（ｔ４３）、該当のセキュリティアソシエーションを適用して、ＩＰｓｅｃトンネルによるセキュリティヘッダ及びトンネル通信時のヘッダを付加してパケットＰ１３ｂ−２を生成する（ｔ４４）。図の場合のセキュリティアソシエーションには、ＥＳＰヘッダのトンネリングモードが適用されている。また、処理結果をプロトコル連携部１５ａに通知する（ｔ４５）。

プロトコル連携部１５ｂは、経路表１５ｂ−１を用いて経路検索を行い（ｔ４６）、検索結果を送信部Ｉ／Ｆ２ｂへ送信し（ｔ４７）、送信部Ｉ／Ｆ２ｂを起動する（ｔ４８）。送信部Ｉ／Ｆ２ｂは、パケットＰ１３ｂ−２を外部へ送信し（ｔ４９）、処理結果をプロトコル連携部１５ｂへ通知し（ｔ５０）、送信処理完了となる（ｔ５１）。

ここで、転送処理フロー２において、ヘッダ省略処理部１２ｂでＩＰヘッダ省略後、セキュリティアソシエーションを適用するため、転送処理フロー１と同等の処理が可能である。この例では、セキュリティアソシエーションにトンネルモード、ＥＳＰ、ＵＤＰトンネリングを適用している。また、ＩＰｓｅｃトンネルモードのセキュリティアソシエーションの適用前にＩＰヘッダを省略することにより、セキュリティアソシエーションの適用後の経路選択などの既存処理に影響を与えない。

次にインターネット４０からホームネットワーク２０への転送処理として、図２１、図２２に図２のモバイルＶＰＮ２のネットワーク構成における転送処理フロー（転送処理フロー３）を示し、図２３、図２４に図５のモバイルＶＰＮ２ａのネットワーク構成（ＮＡＴ８が存在する場合）における転送処理フロー（転送処理フロー４）を示す。

（転送処理フロー３）
図２１、図２２はＶＰＮゲートウェイＧＷの転送処理フローを示す図である。図２１に対し、受信部Ｉ／Ｆ１ｂは、パケットＰ１３ａ−１を受信し（ｔ６１）、プロトコル連携部１５ｂを起動する（ｔ６２）。プロトコル連携部１５ｂは受信処理を開始し（ｔ６３）、宛先を検索して（ｔ６４）、宛先が他ノードなら転送処理へ渡し（ｔ６５）、宛先が自ノードなら、ＩＰｓｅｃプロトコル処理部１３ｂを起動する（ｔ６６（図２２））。

図２２に対し、ＩＰｓｅｃプロトコル処理部１３ｂは、ＳＡＤ１９ｂに対し、セキュリティアソシエーションを検索し（ｔ６７）、該当のセキュリティアソシエーションを適用して、ＩＰｓｅｃトンネルによるヘッダをデカプセル化してパケットＰ１２ａ−１を生成する（ｔ６８）。ＩＰｓｅｃプロトコル処理部１３ｂは、ＳＰＤ１１ｂに対し、セキュリティポリシを検索し（ｔ６９）、受信パケットがヘッダ省略されていることを認識すると（ｔ７０）、ヘッダ復元処理部１４ｂを起動する（ｔ７１）。ヘッダ復元処理部１４ｂは、ＭＩＰによるカプセル化ヘッダを復元してパケットＰ１２ａを生成し（ｔ７２）、処理結果をＩＰｓｅｃプロトコル処理部１３ｂに通知する（ｔ７３）。ＩＰｓｅｃプロトコル処理部１３ｂは、ヘッダが復元されたパケットＰ１２ａのセキュリティポリシを確認し（ｔ７４）、確認結果をプロトコル連携部１５ｂに通知する（ｔ７５）。プロトコル連携部１５ｂは、経路表１５ｂ−１から経路検索を行い（ｔ７６）、移動ノードＭＮへ送信することを認識し（ｔ７７）、送信部Ｉ／Ｆ２ｂを起動する（ｔ７８）。送信部Ｉ／Ｆ２ｂは、パケットＰ１２ａを受信し（ｔ７９）、処理結果をプロトコル連携部１５ｂに通知し（ｔ８０）、受信処理終了となる（ｔ８１）。

ここで、転送処理フロー３の動作についてまとめると、ＶＰＮゲートウェイＧＷでＩＰパケットを受信すると、宛先ＩＰアドレスから受信処理か転送処理かに振り分ける。自ノード宛のＩＰパケットであった場合、ＩＰｓｅｃプロトコル処理部１３ｂにて、送信元ＩＰアドレス、宛先ＩＰアドレス、ＡＨまたはＥＳＰのプロトコル、及びＡＨまたはＥＳＰヘッダ内のＳＰＩからＳＡＤ１９ｂに設定されているセキュリティアソシエーションを特定し、ＩＰパケット認証または復号化を行う。

この例では、セキュリティアソシエーションにトンネルモード、ＡＨを適用している。その後、セキュリティアソシエーションから一致するセキュリティポリシを検索する。ＳＰＤ１１ｂ内の受信時のセキュリティポリシには、送信元ＩＰアドレスがＣｏＡ、宛先ＩＰアドレスがＨＡ、ＩＰヘッダ省略ありが設定されている。トンネルモードのため、送信元ＩＰアドレスがＰＨＹ、宛先ＩＰアドレスがＶＰＮＧＷのＩＰヘッダがデカプセル化される。受信時のセキュリティポリシが適用され、ヘッダ復元処理部１４ｂにて、ＳＰＤ１１ｂに設定されるＩＰヘッダを復元する。すなわち、送信元ＩＰアドレスがＣｏＡ、宛先ＩＰアドレスがＨＡのＩＰヘッダを復元する。その後、セキュリティポリシのチェックを行い、経路表１５ｂ−１にしたがいインタフェースから送信される。

（転送処理フロー４）
図２３、図２４はＶＰＮゲートウェイＧＷの転送処理フローを示す図である。図２３に対し、受信部Ｉ／Ｆ１ｂは、パケットＰ１３ａ−２を受信し（ｔ９１）、プロトコル連携部１５ｂを起動する（ｔ９２）。プロトコル連携部１５ｂは受信処理を開始し（ｔ９３）、宛先を検索して（ｔ９４）、宛先が他ノードなら転送処理へ渡し（ｔ９５）、宛先が自ノードなら、ＩＰｓｅｃプロトコル処理部１３ｂを起動する（ｔ９６（図２４））。

図２４に対し、ＩＰｓｅｃプロトコル処理部１３ｂは、ＳＡＤ１９ｂに対し、セキュリティアソシエーションを検索し（ｔ９７）、該当のセキュリティアソシエーションを適用して、ＩＰｓｅｃトンネルによるヘッダをデカプセル化してパケットＰ１２ａ−１を生成する（ｔ９８）。ＩＰｓｅｃプロトコル処理部１３ｂは、ＳＰＤ１１ｂに対し、セキュリティポリシを検索し（ｔ９９）、受信パケットがヘッダ省略されていることを認識すると（ｔ１００）、ヘッダ復元処理部１４ｂを起動する（ｔ１０１）。ヘッダ復元処理部１４ｂは、ＭＩＰによるカプセル化ヘッダを復元してパケットＰ１２ａを生成し（ｔ１０２）、処理結果をＩＰｓｅｃプロトコル処理部１３ｂに通知する（ｔ１０３）。ＩＰｓｅｃプロトコル処理部１３ｂは、ヘッダが復元されたパケットＰ１２ａのセキュリティポリシを確認し（ｔ１０４）、確認結果をプロトコル連携部１５ｂに通知する（ｔ１０５）。プロトコル連携部１５ｂは、経路表１５ｂ−１から経路検索を行い（ｔ１０６）、移動ノードＭＮへ送信することを認識し（ｔ１０７）、送信部Ｉ／Ｆ２ｂを起動する（ｔ１０８）。送信部Ｉ／Ｆ２ｂは、パケットＰ１２ａを受信し（ｔ１０９）、処理結果をプロトコル連携部１５ｂに通知し（ｔ１１０）、受信処理終了となる（ｔ１１１）。

ここで、転送処理フロー４において、ヘッダ復元処理部１４ｂでＩＰヘッダ復元前に、セキュリティアソシエーションを適用するため、転送処理フロー３と同等の処理が可能である。この例では、セキュリティアソシエーションにトンネルモード、ＥＳＰ、ＵＤＰトンネリングを適用している。また、ＩＰｓｅｃトンネルモードのＩＰパケットの認証と復号化、またはＩＰパケットの認証または復号化のタイミングにＩＰヘッダを復元することにより、経路選択などの処理時点においては、ＩＰヘッダは復元されており既存処理に影響を与えない。

次にＳＰＤの構成について説明する。図２５はＳＰＤ１１ａの構成例を示す図である。移動ノードＭＮのＳＰＤ１１ａの設定情報を示している。ＳＰＤ１１ａには、送信元ＩＰアドレス、送信元ＩＰネットマスク、宛先ＩＰアドレス、宛先ＩＰネットマスク、モード、トンネル送信元ＩＰアドレス、トンネル宛先ＩＰアドレス、プロトコル、ＳＰＩ、ヘッダ省略ＯＮ／ＯＦＦの各項目が設定されている。

図では、送信用セキュリティポリシに対し、送信元ＩＰアドレス＝ＣｏＡ、送信元ＩＰネットマスク＝３２、宛先ＩＰアドレス＝ＨＡ、宛先ＩＰネットマスク＝３２、モード＝Tunnel、トンネル送信元ＩＰアドレス＝ＰＨＹ、トンネル宛先ＩＰアドレス＝ＶＰＮＧＷ、プロトコル＝ＡＨ、ＳＰＩ＝１０３２、ヘッダ省略ＯＮと設定されている。

したがって、送信パケットのＭＩＰによるカプセル化ヘッダが、送信元がＣｏＡ、宛先がＨＡの場合には、移動ノードＭＮのヘッダ省略処理部１２ａは、送信用セキュリティポリシの設定にしたがい、送信元がＣｏＡ、宛先がＨＡのこのカプセル化ヘッダを削除することになる。

また、受信用セキュリティポリシに対し、送信元ＩＰアドレス＝ＨＡ、送信元ＩＰネットマスク＝３２、宛先ＩＰアドレス＝ＣｏＡ、宛先ＩＰネットマスク＝３２、モード＝Tunnel、トンネル送信元ＩＰアドレス＝ＶＰＮＧＷ、トンネル宛先ＩＰアドレス＝ＰＨＹ、プロトコル＝ＡＨ、ＳＰＩ＝５３１２、ヘッダ省略ＯＮと設定されている。

したがって、受信パケットのトンネル送信元がＶＰＮＧＷ、トンネル宛先がＰＨＹの場合には、送信元がＨＡ、宛先がＣｏＡのＭＩＰによるカプセル化ヘッダが省略されていることがわかり、移動ノードＭＮのヘッダ復元処理部１４ａは、このようなパケットを受信すると、受信用セキュリティポリシにしたがい、送信元がＨＡ、宛先がＣｏＡのカプセル化ヘッダを復元することになる。

次にdraft-ietf-mip4-vpn-problem-solution-01を適用したネットワーク構成である図２の構成に、Mobile IPv6（RFC3775）を適用した第１の実施の形態の動作について説明する。移動ノードＭＮはモバイルホストである。

移動ノードＭＮは、Mobile IPv6（RFC3775）で定義されるBinding Update/Binding Acknowledgementメッセージを使用し、ホームエージェント２１にＣｏＡとＨｏＡのバインディング登録を行う（Binding Updateメッセージは位置登録メッセージのことである）。

図２６はBinding Updateメッセージのフォーマットを示す図である。以下に各フィールドについて説明する。
Sequence：受信ノードがBinding Updateを順序づけ、送信ノードがこのBinding UpdateとBinding Acknowledgementを一致させるための通し番号。

Acknowledgement (A)：確認（Ａ）ビットは、結合更新を受信したら、Binding Acknowledgementの送信を移動ノードが求める場合に設定する。
Home Registration (H)：ホーム登録（Ｈ）ビットは、受信ノードがホームエージェントであることを要求するために移動ノードが設定する。

Link-Local Address Compatibility (L)：リンクローカルアドレス互換性（Ｌ）ビットは、移動ノードの報告したホームアドレスが移動ノードのリンクローカルアドレスとして同じインタフェース識別子を持つときに設定する。

Key Management Mobility Capability (K)：移動に合わせて移動ノードとホームエージェント間でＩＰｓｅｃセキュリティアソシエーションを確立するためのプロトコルを使用する場合に設定する。手動ＩＰｓｅｃ設定が使用されるならビットはクリアにしておく。

Reserved：未使用
Lifetime：結合が期限切れになるまでの単位時間数。ゼロ値が移動ノードの結合キャッシュ項目が削除されたことを示す。

Mobility Options：完全な移動性ヘッダ長が８オクテットの整数倍である長さの可変長フィールド。このフィールドは０以上のＴＶＬでコード化された移動オプションを含む。なお、Binding Updateで有効なオプションは、Binding Authorization Data option（このオプションは取引先ノードに送られたBinding Updateで必須である）、Nonce Indices Option、Alternate Care of Address optionである。

図２７はBinding Acknowledgementメッセージのフォーマットを示す図である。以下に各フィールドについて説明する。
Key Management Mobility Capability (K)：移動に合わせて移動ノードとホームエージェント間でＩＰｓｅｃセキュリティアソシエーションを確立するためのプロトコルを使用する場合に設定する。手動ＩＰｓｅｃ設定が使用されるならビットはクリアにしておく。

Reserved：未使用
Status：結合更新の傾向を示す。状態フィールド１２８未満の値が、結合更新が受信ノードに受け入れられたことを示す。１２８以上の値が結合更新を受信ノードが拒絶したことを示す。

Sequence #：Binding Acknowledgementのシーケンス番号はBinding Updateのシーケンス番号フィールドからコピーされる。これはこの結合確認を未処理の結合更新と対応付けるため移動ノードによって使われる。

Lifetime：結合が期限切れになるまでの単位時間数。
Mobility Option：完全な移動性ヘッダ長が８オクテットの整数倍である長さの可変長フィールド。このフィールドは０以上のＴＶＬでコード化された移動オプションを含む。なお、Binding Updateで有効なオプションは、Binding Authorization Data option（このオプションは取引先ノードに送られたBinding Updateで必須である）、Binding Refresh Advice optionである。

これにより、ホームエージェント２１では、移動ノードＭＮからのＩＰパケットを通信相手端末６へ転送したり、移動ノードＭＮ宛のＩＰパケットを転送したりできるようになる。移動ノードＭＮは、ホームエージェント２１への位置登録が完了すると、ＭＩＰのトンネリングの設定並びにＩＰｓｅｃのセキュリティポリシ及びセキュリティアソシエーションの設定を行う。ＭＩＰのトンネリングの設定は、送信元ＩＰアドレスをＣｏＡ、宛先ＩＰアドレスをＨＡになるよう設定する。

ＩＰｓｅｃの送信時のセキュリティポリシの設定は、送信元ＩＰアドレスをＣｏＡ、宛先ＩＰアドレスをＨＡ、ＩＰヘッダ省略を有効で設定する。ＩＰｓｅｃの受信時のセキュリティポリシの設定は、送信元ＩＰアドレスをＨＡ、宛先ＩＰアドレスをＣｏＡ、ＩＰヘッダ省略を有効で設定する。

つまり、draft-ietf-mip4-vpn-problem-solution-01にしたがうと、ホームエージェント２１へのバインディング登録は、ＣｏＡとＨｏＡの組み合わせで行っている。移動ノードＭＮの移動共に変わるＰＨＹに対し、ＣｏＡとＨｏＡの両ＩＰアドレスは移動ノードＭＮの移動に対して不変であるため、ＭＩＰのハンドオーバは発生しない。

また、ＩＰｓｅｃのセキュリティポリシもＣｏＡとＨｏＡの組み合わせで設定しており、移動ノードＭＮの移動に対してセキュリティポリシを組み直す必要がない。よって、移動ノードＭＮが移動した場合、ＰＨＹとＶＰＮＧＷの組み合わせで設定しているＩＰｓｅｃのセキュリティアソシエーションを更新するだけでよい。

ＩＰｓｅｃの送信時のセキュリティポリシはＩＰヘッダの省略時で使用し、ＩＰｓｅｃの受信時のセキュリティポリシはＩＰヘッダの復元時に使用する。ＩＰｓｅｃのセキュリティアソシエーションは、ＩＫＥ（Algorithms for Internet Key Exchange version1（IKEv1）：RFC4109）等で自動的に設定されるのが一般的である。これらの手順により、ＳＡＤ、ＳＰＤが設定される。

一方、ＶＰＮゲートウェイＧＷではＩＰｓｅｃのセキュリティポリシ及びセキュリティアソシエーションの設定を行う。ＩＰｓｅｃの送信時のセキュリティポリシの設定は、送信元ＩＰアドレスをＨＡ、宛先ＩＰアドレスをＣｏＡ、ＩＰヘッダ省略を有効で設定する。

ＩＰｓｅｃの受信時のセキュリティポリシの設定は、送信元ＩＰアドレスをＣｏＡ、宛先ＩＰアドレスをＨＡ、ＩＰヘッダ省略を有効で設定する。ＩＰｓｅｃの送信時のセキュリティポリシはＩＰヘッダの省略時で使用し、ＩＰｓｅｃの受信時のセキュリティポリシはＩＰヘッダの復元時に使用する。ＩＰｓｅｃのセキュリティポリシは予め管理者によって設定されているかもしれないし、ＩＰｓｅｃ−ＤＨＣＰなどと連携し動的に設定されるかもしれない。また、ＩＰｓｅｃのセキュリティアソシエーションは、ＩＫＥ等で設定されるかもしれない。これらの手順により、ＳＡＤ、ＳＰＤが設定される。

ＭＩＰの位置登録、セキュリティポリシの設定しセキュリティアソシエーションが確立すると、ＩＰパケットは本発明によって、ＩＰヘッダを省略したＶＰＮで通信されるようになる。

次に移動ノードＭＮから通信相手端末６への通信について述べる。移動ノードＭＮにおける処理は送信処理フロー１、ＶＰＮゲートウェイＧＷにおける処理は転送処理フロー３にあたる。移動ノードＭＮから送信されるＩＰパケットは、ＭＩＰに仕組みによって、図４の（２）のパケットフォーマットへと加工される。このＩＰパケットは、ＳＰＤに設定された、送信元ＩＰアドレスがＣｏＡ、宛先ＩＰアドレスがＨＡの送信時のセキュリティポリシと一致する。この送信時のセキュリティポリシは、ＩＰヘッダ省略が有効に設定されており、そのためヘッダ省略処理部１２ａにて、セキュリティポリシと一致するＩＰアドレスを含むＩＰヘッダを省略する。

ＩＰｓｅｃプロトコル処理部１３ａは、ＩＰヘッダを省略したＩＰパケットに対し、ＳＡＤ１９ａに設定されたセキュリティアソシエーションを適用する。すなわち、ＩＰパケットの認証（ＡＨ）または暗号化（ＥＳＰ）し、送信元ＩＰアドレスをＰＨＹと宛先ＩＰアドレスをＶＰＮＧＷとするＩＰヘッダでカプセル化（トンネルモード）し、図４の（１）のようなＩＰパケットに加工し、ＶＰＮゲートウェイＧＷへ送信する。暗号化または認証はＩＰヘッダを省略された状態で適用することで、通常のＩＰｓｅｃの処理と同様に、送信するＩＰパケット全てを暗号化または認証の対象とでき、ＩＰｓｅｃで元々サポートしている暗号化または認証アルゴリズムを適用できる。

図４の（１）のようなＩＰパケットを受信したＶＰＮゲートウェイＧＷは、自ノード宛のＩＰパケットかを判断し、自ノード宛のＩＰパケットの場合ＩＰパケット解析処理を行う。ＩＰパケット内にＡＨヘッダまたはＥＳＰヘッダを検出すると、ＩＰヘッダの送信元ＩＰアドレス、宛先ＩＰアドレス、ＡＨまたはＥＳＰのプロトコル、ＡＨヘッダまたはＥＳＰヘッダのＳＰＩからセキュリティアソシエーションを特定し適用する。

すなわち、ＩＰパケットの認証（ＡＨ）または暗号化（ＥＳＰ）し、送信元ＩＰアドレスをＰＨＹと宛先ＩＰアドレスをＶＰＮＧＷとするＩＰヘッダでデカプセル化（トンネルモード）する。セキュリティアソシエーションから該当するセキュリティポリシを特定し、ＩＰヘッダ省略が有効に設定されていた場合、セキュリティポリシに設定された送信元ＩＰアドレス、宛先ＩＰアドレスでＩＰヘッダ（図４の（２））を復元し、セキュリティポリシのチェックを行う。図４の（２）のＩＰパケットは、経路表１５ｂ−１にしたがい、ホームエージェント２１へ送信する。復号化または認証はＩＰヘッダを省略された状態で適用することで、通常のＩＰｓｅｃの処理と同様に、受信するＩＰパケット全てを暗号化または認証の対象とでき、ＩＰｓｅｃで元々サポートしている復号化または認証アルゴリズムを適用できる。

図４の（２）のＩＰパケットを受信したホームエージェント２１は、ＭＩＰの仕組みによって、ＭＩＰのトンネリングヘッダをデカプセル化し、図４の（３）のＩＰパケットを通信相手端末６へ送信する。

次に通信相手端末６から移動ノードＭＮへの通信について述べる。移動ノードＭＮにおける処理は受信処理フロー１、ＶＰＮゲートウェイＧＷにおける処理は転送処理フロー１にあたる。

通信相手端末６は、図４の（４）のＩＰパケットを送信する。ＭＩＰの仕組みにより、宛先であるＨｏＡはホームネットワーク２０のアドレスであるため、様々なネットワークを経由してホームエージェント２１へと転送されてくる。ホームエージェント２１は、転送されてきたＩＰパケットの宛先ＩＰからバインディング登録を検索し、カプセル化し、図４の（５）のＩＰパケットに加工し、経路表１５ｂ−１にしたがい、ＶＰＮゲートウェイＧＷへ送信する。

図４の（５）のＩＰパケットを受信したＶＰＮゲートウェイＧＷは、自ノード宛かを判断する。他ノードの場合、転送処理へ移行する。転送処理の中で、このＩＰパケットを、セキュリティポリシと比較する。ＳＰＤ１１ｂに設定された、送信元ＩＰアドレスがＨＡ、宛先ＩＰアドレスがＣｏＡの送信時のセキュリティポリシと一致する。この送信時のセキュリティポリシは、ＩＰヘッダ省略が有効に設定されており、そのためヘッダ省略処理部１２ｂにて、セキュリティポリシと一致するＩＰアドレスを含むＩＰヘッダを省略する。ＩＰｓｅｃプロトコル処理部１３ｂは、ＩＰヘッダを省略したＩＰパケットに対し、ＳＡＤ１９ｂに設定されたセキュリティアソシエーションを適用する。

すなわち、ＩＰパケットの認証（ＡＨ）または暗号化（ＥＳＰ）し、送信元ＩＰアドレスをＶＰＮＧＷと宛先ＩＰアドレスをＰＨＹとするＩＰヘッダでカプセル化（トンネルモード）し、図４の（６）のようなＩＰパケットに加工し、移動ノードＭＮへ送信する。暗号化または認証はＩＰヘッダを省略された状態で適用することで、通常のＩＰｓｅｃの処理と同様に、送信するＩＰパケット全てを暗号化または認証の対象とでき、ＩＰｓｅｃで元々サポートしている暗号化または認証アルゴリズムを適用できる。

図４の（６）のようなＩＰパケットを受信した移動ノードＭＮは、自ノード宛のＩＰパケットかを判断し、自ノード宛のＩＰパケットの場合ＩＰパケット解析処理を行う。ＩＰパケット内にＡＨヘッダまたはＥＳＰヘッダを検出すると、ＩＰヘッダの送信元ＩＰアドレス、宛先ＩＰアドレス、ＡＨまたはＥＳＰのプロトコル、ＡＨヘッダまたはＥＳＰヘッダのＳＰＩからセキュリティアソシエーションを特定し、適用する。

すなわち、ＩＰパケットの認証（ＡＨ）または暗号化（ＥＳＰ）し、送信元ＩＰアドレスをＶＰＮＧＷと宛先ＩＰアドレスをＰＨＹとするＩＰヘッダでデカプセル化（トンネルモード）する。セキュリティアソシエーションから該当するセキュリティポリシを特定し、ＩＰヘッダ省略が有効に設定されていた場合、セキュリティポリシに設定された送信元ＩＰアドレス、宛先ＩＰアドレスでＩＰヘッダ（図４の（５））を復元し、セキュリティポリシのチェックを行う。復号化または認証はＩＰヘッダを省略された状態で適用することで、通常のＩＰｓｅｃの処理と同様に、受信するＩＰパケット全てを暗号化または認証の対象とでき、ＩＰｓｅｃで元々サポートしている復号化または認証アルゴリズムを適用できる。ＭＩＰの仕組みによって、ＭＩＰのトンネリングヘッダをデカプセル化し、アプリケーションへ通知する。

上述したとおり、移動ノードＭＮとＶＰＮゲートウェイＧＷ間において、ＩＰヘッダの３重カプセル化を２重カプセル化にＩＰヘッダを省略することで、通信するＩＰパケットサイズをＩＰのヘッダサイズである４０バイトの圧縮することができる。

このように、通信相手端末６は、ＨｏＡで移動ノードＭＮを認識するため、移動ノードＭＮが移動してもシームレスな通信が可能である。また、移動ノードＭＮとＶＰＮゲートウェイＧＷはＩＰｓｅｃを使ったＶＰＮによりセキュアな通信が可能である。さらに、ＩＰｓｅｃを使ったＶＰＮではＩＰヘッダが省略されており、ネットワークリソースを有効に活用でき、また、ＩＰヘッダが省略されることにより、暗号化または認証はＩＰヘッダを省略された状態で適用されたおり、悪意あるホームエージェントの設置などによるホームエージェントの成りすましや盗聴を防止できＩＰパケットの盗聴や改ざんに対し有効である。ヘッダ圧縮した状態で暗号化と復号化を行うことで、ヘッダ圧縮を考慮する必要がなく、ＩＰｓｅｃで元々サポートしている暗号化／復号化アルゴリズムをそのまま適用できる。

次にdraft-ietf-mip4-vpn-problem-solution-01を適用したネットワーク構成である図５の構成に、Mobile IPv4（RFC3344）を適用した第２の実施の形態の動作について説明する。移動ノードＭＮはモバイルルータである。

移動ノードＭＮは、Mobile IPv4（RFC3344）で定義されるRegistration Request/Registration Replyメッセージを使用し、ホームエージェント２１にＣｏＡとＨｏＡのバインディング登録を行う。

図２８はRegistration Requestメッセージのフォーマットを示す図である。以下に各フィールドについて説明する。
Type：１（Registration Request）
S：同時の結合。

B：ブロードキャストデータグラムを送信する場合、Ｂビットを設定する。
D：移動ノードによってデカプセル化する。Ｄビットがセットされる場合、気付けアドレス宛に送信してきたデータグラムを移動ノードでデカプセル化する。すなわち、共有気付けアドレスが使われる。

M：最小のカプセル化。Ｍビットがセットされる場合、移動ノードはホームエージェントに片方向トンネルを掘ることを要求する。
G：ＧＲＥカプセル化。Ｇビットがセットされる場合、移動ノードは、そのホームエージェントがトンネルとして移動ノードに掘られたデータグラムのためにＧＲＥカプセル化を使用することを要求する。

r：０で送信する。無視される。
T：リバーストンネルを要求する。
x：０で送信する。無視される。

Lifetime：登録の有効時間。０の値は登録削除の要請を示す。０ｘｆｆｆｆ値は無限を示す。
Home address：移動ノードのＩＰアドレス。

Care-of address：トンネルの端のＩＰアドレス。
Identification：Registration RequestとRegistration Replyを対向させて登録メッセージのやり直し攻撃に対して保護するために使用される識別子。

Extensions：拡張はRegistration Requestの固定部分に続く。認可を許可する拡張は、すべてのRegistration Requestに含まれる。
図２９はRegistration Replyメッセージのフォーマットを示す図である。以下に各フィールドについて説明する。

Type：３（Registration Reply）
Code：Registration Requestの結果を示す値。
Lifetime：登録が受理されたことをコードフィールドが示す場合、ライフタイムフィールドには登録削除までの有効時間を設定する。０の値は移動ノードの登録が取り消されたことを示し、０ｘｆｆｆｆの値は無限を示す。登録が否定されたことをコードフィールドが示す場合、ライフタイムフィールドの内容は無指定である。

Home address：移動ノードのＩＰアドレス。
Home agent：移動ノードのホームエージェントのＩＰアドレス。
Identification：Registration RequestとRegistration Replyを対向させて登録メッセージのやり直し攻撃に対して保護するために使用される識別子。値は移動ノードからのRegistration Requestメッセージからの識別競フィールド、及び移動ノードとそのホームエージェントの間のセキュリティ状況の中で使用されるやり直し保護のスタイルにもとづく。

Extensions：拡張は、Registration Replyの固定部分に続く。認可を許可する拡張は、すべてのRegistration Replyに含まれている。
これにより、ホームエージェント２１では、移動ノードＭＮからのＩＰパケットを通信相手端末６へ転送したり、移動ノードＭＮ宛のＩＰパケットを転送したりできるようになる。移動ノードＭＮは、ホームエージェント２１への位置登録が完了すると、ＭＩＰのトンネリングの設定並びにＩＰｓｅｃのセキュリティポリシ及びセキュリティアソシエーションの設定を行う。ＭＩＰのトンネリングの設定は、送信元ＩＰアドレスをＣｏＡ、宛先ＩＰアドレスをＨＡになるよう設定する。ＩＰｓｅｃの送信時のセキュリティポリシの設定は、送信元ＩＰアドレスをＣｏＡ、宛先ＩＰアドレスをＨＡ、ＩＰヘッダ省略を有効で設定する。

ＩＰｓｅｃの受信時のセキュリティポリシの設定は、送信元ＩＰアドレスをＨＡ、宛先ＩＰアドレスをＣｏＡ、ＩＰヘッダ省略を有効で設定する。つまり、draft-ietf-mip4-vpn-problem-solution-01にしたがうと、ホームエージェント２１へのバインディング登録は、ＣｏＡとＨｏＡの組み合わせで行っている。移動ノードＭＮの移動共に変わるＰＨＹに対し、ＣｏＡとＨｏＡの両ＩＰアドレスは移動ノードＭＮの移動に対して不変であるため、ＭＩＰのハンドオーバは発生しない。また、ＩＰｓｅｃのセキュリティポリシもＣｏＡとＨｏＡの組み合わせで設定しており、移動ノードＭＮの移動に対してセキュリティポリシを組み直す必要がない。よって、移動ノードＭＮが移動した場合、ＮＡＴとＶＰＮＧＷの組み合わせで設定しているＩＰｓｅｃのセキュリティアソシエーションを更新するだけでよい。

ＩＰｓｅｃの送信時のセキュリティポリシはＩＰヘッダの省略時で使用し、ＩＰｓｅｃの受信時のセキュリティポリシはＩＰヘッダの復元時に使用する。ＩＰｓｅｃのセキュリティアソシエーションは、ＩＫＥ等で自動的に設定されるのが一般的である。これらの手順により、ＳＡＤ、ＳＰＤが設定される。

第１の実施の形態と同様、ＭＩＰの位置登録、セキュリティポリシの設定しセキュリティアソシエーションが確立すると、ＩＰパケットは本発明によって、ＩＰヘッダを省略したＶＰＮで通信されるようになる。ＮＡＴが介在した際のＩＫＥを使ったセキュリティアソシエーションの確立手段として、ＲＦＣ３９４７がある。

次に移動ノードＭＮ配下のローカルネットワーク３０ａ内の端末から通信相手端末６への通信について述べる。移動ノードＭＮにおける処理は送信処理フロー２、ＶＰＮゲートウェイＧＷにおける処理は転送処理フロー４にあたる。ＮＡＴ８が介在した場合においても、セキュリティアソシエーションの適用時に、ＵＤＰカプセリングが行われる点が異なるのみで、本発明のセキュリティポリシからのＩＰヘッダの省略及び復元処理は第１の実施の形態と同様である。

次に通信相手端末６から移動ノードＭＮ配下のローカルネットワーク３０ａ内の端末への通信について述べる。移動ノードＭＮにおける処理は受信処理フロー２、ＶＰＮゲートウェイＧＷにおける処理は転送処理フロー２にあたる。ＮＡＴ８が介在した場合においても、セキュリティアソシエーションの適用時に、ＵＤＰカプセリングが行われる点が異なるのみで、本発明のセキュリティポリシからのＩＰヘッダの省略及び復元処理は第１の実施の形態と同様である。

上述したとおり、移動ノードＭＮとＶＰＮゲートウェイＧＷ間において、ＩＰヘッダの３重カプセル化を２重カプセル化にＩＰヘッダを省略することで、通信するＩＰパケットサイズをＩＰのヘッダサイズである２０バイトの圧縮することができる。

このように、ＩＰアドレスの枯渇によりグローバルアドレスを割り当てられないネットワークにおいても、通信相手端末６は、ＨｏＡで移動ノードＭＮを認識するため、移動ノードＭＮが移動してもシームレスな通信が可能である。また、移動ノードＭＮとＶＰＮゲートウェイＧＷはＩＰｓｅｃを使ったＶＰＮによりセキュアな通信が可能である。

さらに、ＩＰｓｅｃを使ったＶＰＮではＩＰヘッダが省略されており、ネットワークリソースを有効に活用でき、また、ＩＰヘッダが省略されることにより、暗号化または認証はＩＰヘッダを省略された状態で適用されたおり、悪意あるホームエージェントの設置などによるホームエージェントの成りすましや盗聴を防止できＩＰパケットの盗聴や改ざんに対し有効である。ヘッダ圧縮した状態で暗号化と復号化を行うことで、ヘッダ圧縮を考慮する必要がなく、ＩＰｓｅｃで元々サポートしている暗号化／復号化アルゴリズムをそのまま適用できる。

以上説明したように、本発明によれば、移動ノードＭＮとＶＰＮゲートウェイ間において、モバイルＩＰのカプセル化ヘッダを省略することで、ＩＰｓｅｃによるセキュリティとモバイルＩＰによるシームレスな通信を両立したまま、ネットワークにおけるデータサイズを縮小することができ、ネットワーク資源（主に無線資源）の有効利用を図り、かつ移動ノードＭＮのネットワーク・スループットを向上させることが可能になる。

さらに、ＩＰヘッダを省略することで、ＩＰパケットの盗聴や改ざんに対してセキュリティを向上させることができ、また、ヘッダ情報を省略することによる暗号化、復号化の処理順序などには何ら変更はないので、ＩＰｓｅｃで元々サポートしている暗号化／復号化アルゴリズムをそのまま適用することができる。

（付記１） パケット通信を行うパケット通信システムにおいて、
パケットにどのレベルの保護を適用するかのセキュリティポリシが格納されるデータベースであって、冗長な情報を省略する送信用セキュリティポリシとして、送信パケットをカプセル化する際に付加されるヘッダ情報を省略することが設定された送信用セキュリティポリシデータベースと、パケット送信時、カプセル化された送信パケットのセキュリティポリシを、前記送信用セキュリティポリシデータベースから検索し、前記ヘッダ情報を省略する対象パケットであると認識した場合は、前記対象パケットから前記ヘッダ情報を省略するヘッダ情報省略部と、前記ヘッダ情報が省略されたパケットに対して、暗号化プロトコルのトンネリングによるセキュリティヘッダ及びトンネル通信時のヘッダを付加して送信処理を行うパケット送信処理部と、から構成されるパケット送信装置と、
受信用セキュリティポリシとして、復元すべき前記ヘッダ情報が設定された受信用セキュリティポリシデータベースと、パケット受信時、受信パケットのセキュリティポリシを、前記受信用セキュリティポリシデータベースから検索し、前記ヘッダ情報が省略されている対象パケットであると認識した場合は、前記ヘッダ情報を復元するヘッダ情報復元部と、から構成されるパケット受信装置と、
を有することを特徴とするパケット通信システム。

（付記２） 前記ヘッダ情報省略部は、前記暗号化プロトコルのセキュリティアソシエーションを適用する前に前記ヘッダ情報を省略し、前記ヘッダ情報復元部は、前記セキュリティアソシエーションを解いた後に前記ヘッダ情報を復元することを特徴とする付記１記載のパケット通信システム。

（付記３） 前記送信用セキュリティポリシデータベースは、モバイルＩＰ通信時に元のパケットをカプセル化する際に付加される前記ヘッダ情報を省略することを設定し、前記受信用セキュリティポリシデータベースは、モバイルＩＰ通信時にカプセル化によって送信側で省略された前記ヘッダ情報を復元することを設定し、前記パケット送信処理部は、前記ヘッダ情報が省略されたパケットに、ＩＰｓｅｃのトンネリングによるヘッダを付加することを特徴とする付記１記載のパケット通信システム。

（付記４） 前記パケット送信装置は、ホームネットワークから移動して在圏ネットワークに位置し、前記パケット受信装置は、前記パケット送信装置との通信経路を暗号化したい拠点に設置している場合に、前記送信用セキュリティポリシデータベースには、前記送信用セキュリティポリシとして、送信元アドレスが前記パケット送信装置の前記在圏ネットワーク内での気付けアドレスと、宛先アドレスが前記パケット送信装置の位置管理を行うホームエージェントのアドレスとを含む前記ヘッダ情報を省略することが設定され、前記受信用セキュリティポリシデータベースには、前記受信用セキュリティポリシとして、前記ヘッダ情報が省略されていることが設定されることを特徴とする付記３記載のパケット通信システム。

（付記５） 前記パケット受信装置は、ホームネットワークから移動して在圏ネットワークに位置し、前記パケット送信装置は、前記パケット受信装置との通信経路を暗号化したい拠点に設置している場合に、前記送信用セキュリティポリシデータベースは、前記送信用セキュリティポリシとして、送信元アドレスが前記パケット受信装置の位置管理を行うホームエージェントのアドレスと、宛先アドレスが前記パケット受信装置の前記在圏ネットワーク内での気付けアドレスとを含む前記ヘッダ情報を省略することが設定され、前記受信用セキュリティポリシデータベースには、前記受信用セキュリティポリシとして、前記ヘッダ情報が省略されていることが設定されることを特徴とする付記３記載のパケット通信システム。

（付記６） パケット通信を行うパケット通信装置において、
パケットにどのレベルの保護を適用するかのセキュリティポリシが格納されるデータベースであって、冗長な情報を省略する送信用セキュリティポリシとして、送信パケットをカプセル化する際に付加されるヘッダ情報を省略することが設定され、受信用セキュリティポリシとして、復元すべき前記ヘッダ情報が設定されたセキュリティポリシデータベースと、
パケット送信時、カプセル化された送信パケットのセキュリティポリシを、前記セキュリティポリシデータベースから検索し、前記ヘッダ情報を省略する対象パケットであると認識した場合は、前記対象パケットから前記ヘッダ情報を省略するヘッダ情報省略部と、
前記ヘッダ情報が省略されたパケットに対して、暗号化プロトコルのトンネリングによるセキュリティヘッダ及びトンネル通信時のヘッダを付加して送信処理を行うパケット送信処理部と、
パケット受信時、受信パケットのセキュリティポリシを、前記セキュリティポリシデータベースから検索し、前記ヘッダ情報が省略されている対象パケットであると認識した場合は、前記ヘッダ情報を復元するヘッダ情報復元部と、
を有することを特徴とするパケット通信装置。

（付記７） パケット通信を行うパケット通信方法において、
パケット送信装置は、パケットにどのレベルの保護を適用するかのセキュリティポリシが格納されるデータベースであって、冗長な情報を省略する送信用セキュリティポリシとして、送信パケットをカプセル化する際に付加されるヘッダ情報を省略することが設定された送信用セキュリティポリシデータベースを有し、
前記パケット送信装置は、
カプセル化された送信パケットのセキュリティポリシを、前記送信用セキュリティポリシデータベースから検索し、前記ヘッダ情報を省略する対象パケットであると認識した場合は、前記対象パケットから前記ヘッダ情報を省略し、
前記ヘッダ情報が省略されたパケットに対して、暗号化プロトコルのトンネリングによるセキュリティヘッダ及びトンネル通信時のヘッダを付加して送信し、
パケット受信装置は、受信用セキュリティポリシとして、復元すべき前記ヘッダ情報が設定された受信用セキュリティポリシデータベースを有し、
前記パケット受信装置は、
受信パケットのセキュリティポリシを、前記受信用セキュリティポリシデータベースから検索して、前記ヘッダ情報が省略されている対象パケットであると認識した場合は、前記ヘッダ情報を復元することを特徴とするパケット通信方法。

（付記８） 前記ヘッダ情報省略部は、前記暗号化プロトコルのセキュリティアソシエーションを適用する前に前記ヘッダ情報を省略し、前記ヘッダ情報復元部は、前記セキュリティアソシエーションを解いた後に前記ヘッダ情報を復元することを特徴とする付記７記載のパケット通信方法。

（付記９） 前記送信用セキュリティポリシデータベースは、モバイルＩＰ通信時に元のパケットをカプセル化する際に付加される前記ヘッダ情報を省略することを設定し、前記受信用セキュリティポリシデータベースは、モバイルＩＰ通信時にカプセル化によって送信側で付加された前記ヘッダ情報を復元することを設定し、前記パケット送信装置は、前記ヘッダ情報が省略されたパケットに、ＩＰｓｅｃのトンネリングによるヘッダを付加することを特徴とする付記７記載のパケット通信方法。

（付記１０） 前記パケット送信装置は、ホームネットワークから移動して在圏ネットワークに位置し、前記パケット受信装置は、前記パケット送信装置との通信経路を暗号化したい拠点に設置している場合に、前記送信用セキュリティポリシデータベースには、前記送信用セキュリティポリシとして、送信元アドレスが前記パケット送信装置の前記在圏ネットワーク内での気付けアドレスと、宛先アドレスが前記パケット送信装置の位置管理を行うホームエージェントのアドレスとを含む前記ヘッダ情報を省略することが設定され、前記受信用セキュリティポリシデータベースには、前記受信用セキュリティポリシとして、前記ヘッダ情報が省略されていることが設定されることを特徴とする付記９記載のパケット通信方法。

（付記１１） 前記パケット受信装置は、ホームネットワークから移動して在圏ネットワークに位置し、前記パケット送信装置は、前記パケット受信装置との通信経路を暗号化したい拠点に設置している場合に、前記送信用セキュリティポリシデータベースは、前記送信用セキュリティポリシとして、送信元アドレスが前記パケット受信装置の位置管理を行うホームエージェントのアドレスと、宛先アドレスが前記パケット受信装置の前記在圏ネットワーク内での気付けアドレスとを含む前記ヘッダ情報を省略することが設定され、前記受信用セキュリティポリシデータベースには、前記受信用セキュリティポリシとして、前記ヘッダ情報が省略されていることが設定されることを特徴とする付記９記載のパケット通信方法。

パケット通信システムの原理図である。 モバイルＶＰＮの構成例を示す図である。 パケットフォーマットを示す図である。 パケットフォーマットを示す図である。 アドレス変換器を有するモバイルＶＰＮの構成例を示す図である。 パケットフォーマットの図である。 移動ノードの内部構成を示す図である。 ＶＰＮゲートウェイの内部構成を示す図である。 移動ノードの送信処理フローを示す図である。 移動ノードの送信処理フローを示す図である。 移動ノードの送信処理フローを示す図である。 移動ノードの送信処理フローを示す図である。 移動ノードの受信処理フローを示す図である。 移動ノードの受信処理フローを示す図である。 移動ノードの受信処理フローを示す図である。 移動ノードの受信処理フローを示す図である。 ＶＰＮゲートウェイの転送処理フローを示す図である。 ＶＰＮゲートウェイの転送処理フローを示す図である。 ＶＰＮゲートウェイの転送処理フローを示す図である。 ＶＰＮゲートウェイの転送処理フローを示す図である。 ＶＰＮゲートウェイの転送処理フローを示す図である。 ＶＰＮゲートウェイの転送処理フローを示す図である。 ＶＰＮゲートウェイの転送処理フローを示す図である。 ＶＰＮゲートウェイの転送処理フローを示す図である。 ＳＰＤの構成例を示す図である。 Binding Updateメッセージのフォーマットを示す図である。 Binding Acknowledgementメッセージのフォーマットを示す図である。 Registration Requestメッセージのフォーマットを示す図である。 Registration Replyメッセージのフォーマットを示す図である。 モバイルＩＰのネットワーク構成例を示す図である。 モバイルＩＰのパケットフォーマットを示す図である。（Ａ）は移動ノードが送信するパケットのフォーマット、（Ｂ）はホームエージェントが送信するパケットのフォーマットである。 モバイルＶＰＮの構成例を示す図である。 モバイルＶＰＮのパケットフォーマットを示す図である。（Ａ）は移動ノードが送信するパケットのフォーマット、（Ｂ）はＶＰＮゲートウェイが送信するパケットのフォーマットである。

符号の説明

１ パケット通信システム
１０−１ パケット送信装置
１１−１ 送信用セキュリティポリシデータベース
１２−１ ヘッダ情報省略部
１３−１ パケット送信処理部
１０−２ パケット受信装置
１１−２ 受信用セキュリティポリシデータベース
１４−２ ヘッダ情報復元部
１５−２ パケット受信処理部

Claims (5)

1. パケット通信を行うパケット通信システムにおいて、
   パケットにどのレベルの保護を適用するかのセキュリティポリシが格納されるデータベースであって、冗長な情報を省略する送信用セキュリティポリシとして、送信パケットをカプセル化する際に付加されるヘッダ情報を省略することが設定された送信用セキュリティポリシデータベースと、パケット送信時、カプセル化された送信パケットのセキュリティポリシを、前記送信用セキュリティポリシデータベースから検索し、前記ヘッダ情報を省略する対象パケットであると認識した場合は、前記対象パケットから前記ヘッダ情報を省略するヘッダ情報省略部と、前記ヘッダ情報が省略されたパケットに対して、暗号化プロトコルのトンネリングによるセキュリティヘッダ及びトンネル通信時のヘッダを付加して送信処理を行うパケット送信処理部と、から構成されるパケット送信装置と、
   受信用セキュリティポリシとして、復元すべき前記ヘッダ情報が設定された受信用セキュリティポリシデータベースと、パケット受信時、受信パケットのセキュリティポリシを、前記受信用セキュリティポリシデータベースから検索し、前記ヘッダ情報が省略されている対象パケットであると認識した場合は、前記ヘッダ情報を復元するヘッダ情報復元部と、から構成されるパケット受信装置と、
   を有することを特徴とするパケット通信システム。
2. 前記ヘッダ情報省略部は、前記暗号化プロトコルのセキュリティアソシエーションを適用する前に前記ヘッダ情報を省略し、前記ヘッダ情報復元部は、前記セキュリティアソシエーションを解いた後に前記ヘッダ情報を復元することを特徴とする請求項１記載のパケット通信システム。
3. 前記送信用セキュリティポリシデータベースは、モバイルＩＰ通信時に元のパケットをカプセル化する際に付加されるヘッダ情報を省略することを設定し、前記受信用セキュリティポリシデータベースは、モバイルＩＰ通信時にカプセル化によって送信側で省略された前記ヘッダ情報を復元することを設定し、前記パケット送信処理部は、前記ヘッダ情報が省略されたパケットに、ＩＰｓｅｃのトンネリングによるヘッダを付加することを特徴とする請求項１記載のパケット通信システム。
4. 前記パケット送信装置は、ホームネットワークから移動して在圏ネットワークに位置し、前記パケット受信装置は、前記パケット送信装置との通信経路を暗号化したい拠点に設置している場合に、前記送信用セキュリティポリシデータベースには、前記送信用セキュリティポリシとして、送信元アドレスが前記パケット送信装置の前記在圏ネットワーク内での気付けアドレスと、宛先アドレスが前記パケット送信装置の位置管理を行うホームエージェントのアドレスとを含む前記ヘッダ情報を省略することが設定され、前記受信用セキュリティポリシデータベースには、前記受信用セキュリティポリシとして、前記ヘッダ情報が省略されていることが設定されることを特徴とする請求項３記載のパケット通信システム。
5. 前記パケット受信装置は、ホームネットワークから移動して在圏ネットワークに位置し、前記パケット送信装置は、前記パケット受信装置との通信経路を暗号化したい拠点に設置している場合に、前記送信用セキュリティポリシデータベースは、前記送信用セキュリティポリシとして、送信元アドレスが前記パケット受信装置の位置管理を行うホームエージェントのアドレスと、宛先アドレスが前記パケット受信装置の前記在圏ネットワーク内での気付けアドレスとを含む前記ヘッダ情報を省略することが設定され、前記受信用セキュリティポリシデータベースには、前記受信用セキュリティポリシとして、前記ヘッダ情報が省略されていることが設定されることを特徴とする請求項３記載のパケット通信システム。

Images