JP4616732B2 - パケット転送装置 - Google Patents

Description

本発明は、パケット転送装置に関し、更に詳しくは、モバイル網と複数のＩＳＰ網とを接続し、移動端末を契約ＩＳＰ網に選択的に接続可能なパケット転送装置に関する。

近年、ＡＤＳＬ（Asynchronous Digital Subscriber Line）、ＦＴＴＨ（Fiber To The Home）、ＣＡＴＶなどの高速アクセス回線技術によって、エンドユーザからインターネットへのアクセス環境が急速にブロードバンド化されている。インターネットの利用方法も多様化しており、移動体通信網に接続された端末からのインターネットアクセスも急速に普及している。

移動体通信網でＩＰ通信を行うための通信プロトコルとして、ＩＥＴＦ（internet Engineering Task Force）のＲＦＣ３７７５（非特許文献１）で、モバイルＩＰｖ６仕様が標準化されている。モバイルＩＰｖ６は、基本的には、ＩＥＴＦ ＲＦＣ３２２０仕様のＩＰｖ４対応モバイルＩＰの機能を継承している。モバイルＩＰｖ６のネットワークは、移動ノードＭＮ（mobile Node）と、ホームエージェントＨＡ（Home Agent）と、通信相手ノードＣＮ（Correspondent Node）とからなり、各ＭＮに、位置を移動しても変わることのないホームアドレスＨｏＡが付与される。

移動ノードＭＮは、ＨｏＡと同じプレフィックス値をもつホームリンクを離れて他のリンクに移動すると、そのリンク（在圏リンクと言う）で使用する気付アドレスＣｏＡ（Care of Address）を取得する。移動ノードＭＮは、在圏リンクに設置されたルータが定期的に送信するルータ広告（ＲＡ：Router Advertisement）メッセージを受信し、受信メッセージの送信元アドレスが、自分のＨｏＡまたは使用中のＣｏＡとは異なるプレフィックス値を持つことを検知すると、自分が別のリンクに移動したことを認識する。

移動ノードＭＮは、移動先リンクで新たなＣｏＡを取得すると、ホームエージェントＨＡに対して、ＨｏＡと新たなＣｏＡとを含む位置登録要求メッセージ（ＢＵ：Binding Update）を送信する。ホームエージェントＨＡは、移動ノードＭＮからＢＵメッセージを受信すると、受信メッセージが示すＨｏＡとＣｏＡとのバインディング情報をBinding Cache管理テーブルに記憶した後、上記移動ノードＭＮのＨｏＡ宛のパケットをホームエージェントＨＡが捕捉できるように、隣接するルータに制御メッセージをマルチキャストする。これによって、ＣＮがＭＮのＨｏＡ宛に送信したパケットが、ホームエージェントＨＡによって捕捉される。ホームエージェントＨＡは、移動ノードのＨｏＡ宛のパケットを受信すると、受信パケットにＣｏＡを宛先アドレスとするカプセル化ヘッダを付加して、ＭＮの在圏リンクに転送する。

モバイルＩＰにおける移動ノードＭＮとホームエージェントＨＡとの間に適用される通信プロトコルとしては、例えば、ＲＦＣ２４０８（非特許文献２）で規定されたＩＳＡＫＭＰ（Internet Security Association and Key Management Protocol）、ＲＦＣ２４０９（非特許文献３）で規定されたＩＫＥ（The Internet Key Exchange）、draft-ietf-ipsec-isakmp-xauth-06（非特許文献４）で検討中のＸａｕｔｈ（Extended Authentication within ISAKMP (Internet Security Association and Key Management Protocol)/Oakley）が知られている。

ＩＰｖ４の場合、気付アドレスＣｏＡは、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバから取得できる。ＩＰｖ６の場合、気付アドレスＣｏＡは、ＲＡメッセージの送信元アドレス（ルータアドレス）のプレフィックス値と移動ノードＭＮのＭＡＣアドレスの一部とを組み合わせることによって、自動的に生成できる。

ホームアドレスＨｏＡの割当てに関しては、例えば、特開２００５−３６４２７１号公報（特許文献１）に、移動ノードと移動ルータとを含む局所ネットワーク全体を移動可能にした移動ネットワークシステムにおいて、移動ルータから位置管理サーバにホームアドレスの割当て要求を送信し、位置管理サーバが、アドレス管理テーブルから検索した未使用アドレス（ＨｏＡ）を移動ルータに通知する方式が提案されている。

インターネットへのアクセスサービスを事業形態の観点から分類すると、プロバイダ一体型アクセスサービスと、プロバイダ選択型アクセスサービスに分けられる。
プロバイダ一体型アクセスサービスは、ユーザへのアクセス回線の提供とインターネット接続サービスの提供を同一事業者が行うものであり、現在の移動通信網は、この形態で運用されている。一方、プロバイダ選択型アクセスサービスは、ユーザへのＡＤＳＬ、ＦＴＴＨ等のアクセス回線の提供をアクセス回線事業者が行い、インターネット接続サービスは、アクセス回線事業者とは別の複数のＩＳＰ（Internet Service Provider）事業者が提供するものである。

固定通信網では、歴史的な経緯やユーザの好みに対応するため、プロバイダ選択型アクセスサービスが運用されている。プロバイダ選択型アクセスサービスを実現する代表的なネットワーク構成として、アクセス回線事業者が提供するアクセス回線を収容したＬＡＣ（L2TP Access Concentrator）と、ＩＳＰ事業者が運用するＩＳＰ網が接続されたＬＮＳ（L2TP Network Server）との間に、Ｌ２ＴＰ（Layer 2 Tunneling Protocol）でユーザ別のコネクションを設定する構成が知られている。

特開２００５−３６４２７１号公報 ＲＦＣ３７７５：Mobility Support in Ipv6 ＲＦＣ２４０８：Internet Security Association and Key Management Protocol (ISAKMP) ＲＦＣ２４０９：The Internet Key Exchange (IKE) draft-ietf-ipsec-isakmp-xauth-06

固定通信網で採用されているプロバイダ選択型アクセスサービスを移動体通信網にも適用しようとすると、モバイル網とＩＳＰ網との接続網が、モバイルＩＰに連携する必要がある。モバイルＩＰでは、上述したように、移動ノードＭＮの位置管理のために、ＨｏＡとＣｏＡのバインディング情報を管理する必要がある。しかしながら、モバイル網をインターネットのアクセス網とした場合、従来の固定通信網においてアクセス網とＩＳＰ網との接続に適用されていたＬ２ＴＰには、端末の位置管理という概念がないため、端末の移動に追従してコネクションを動的に変更することができない。

本発明の目的は、移動体通信網でプロバイダ選択型アクセスサービスを可能とするパケット転送装置を提供することにある。
本発明の他の目的は、モバイル網内で移動端末が新たな気付アドレスＣｏＡを取得した場合でも、ホームアドレスＨｏＡによる通信を保証できるパケット転送装置を提供することにある。

上記目的を達成するため、本発明によるパケット転送装置は、モバイル網を形成するサービスエリア対応の複数のルータに接続するための第１群の回線インタフェースと、それぞれが異なるＩＳＰ（Internet Service Provider）網に所属するルータまたはインターネットに接続するための第２群の回線インタフェースと、上記各ＩＳＰ網のドメイン名と認証サーバアドレスとの対応関係を示す複数のテーブルエントリからなるＩＳＰ管理テーブルと、制御部とからなり、
上記制御部が、移動端末から契約ＩＳＰ網への接続要求を受信した時、該接続要求に含まれるユーザＩＤからＩＳＰ網のドメイン名を特定し、上記ＩＳＰ管理テーブルから検索した上記特定ドメイン名と対応する認証サーバアドレスを利用して、上記移動端末の契約ＩＳＰ網に付随する認証サーバに、上記接続要求が示すユーザＩＤとパスワードとを含む認証要求を送信し、上記認証サーバから受信した認証結果を上記要求元の移動端末に通知することを特徴とする。

本発明によるパケット転送装置の１つの特徴は、前記制御部が、認証サーバからの認証結果の受信に応答して、前記要求元移動端末に割り当てるべきホームアドレスを示すメッセージを前記要求元の移動端末に送信することにある。移動端末に割り当てるべきホームアドレスは、パケット転送装置のアドレスプールから取り出してもよいが、前記認証サーバから認証結果と共にホームアドレスを受信してもよい。

本発明によるパケット転送装置の他の特徴は、モバイル網を利用する各移動端末のユーザＩＤとホームアドレスと気付けアドレスとの対応関係を示す複数のテーブルエントリからなるユーザ管理テーブルを有し、上記制御部が、第２群の回線インタフェースから移動端末ホームアドレスを宛先アドレスとするパケットを受信した時、上記ユーザ管理テーブルが示す気付アドレスを宛先アドレスとするカプセル化パケットに変換し、該パケットを上記気付アドレスと対応する第１群の何れかの回線インタフェースからモバイル網に送信するようにしたことにある。

本発明によるパケット転送装置の更に他の特徴は、上記制御部が、移動端末から契約ＩＳＰ網への接続要求を受信した時、上記ユーザ管理テーブルから上記移動端末と対応するテーブルエントリを検索し、該移動端末のホームアドレスが上記ユーザ管理テーブルに登録済みの場合は、認証サーバへの認証要求の送信を省略して、上記ホームアドレスを示すメッセージを要求元の移動端末に転送するようにしたことにある。

本発明によるパケット転送装置は、別の観点では、モバイル網を形成するサービスエリア対応の複数のルータと、それぞれが異なるＩＳＰ網に所属する複数のルータに接続され、上記各ＩＳＰ網のドメイン名と認証サーバアドレスとの対応関係を示す複数のテーブルエントリからなるＩＳＰ管理テーブルと、契約ＩＳＰ網の異なる複数グループの移動端末について、ホームアドレスと気付アドレスとのバインディング情報を一括管理するユーザ管理テーブルとを備え、上記モバイル網に接続された移動端末からのインターネット接続要求を契約ＩＳＰ網に選択的に中継し、契約ＩＳＰ網の異なる複数グループの移動端末からのモバイルＩＰ位置登録要求を終端することを特徴とする。

本発明のパケット転送装置は、複数のＩＳＰ網に共通のホームエージェントとして機能し、モバイル網に接続された移動端末を契約ＩＳＰ網に選択的に接続し、モバイルＩＰ位置登録要求を終端しているため、移動端末のユーザに対して、プロバイダ選択型アクセスサービスを提供できる。

以下本発明の実施例について、図面を参照して説明する。
図１は、本発明のパケット転送装置１０が適用される通信網の１例を示す。
ここに示した通信網は、モバイル網１００と、ＩＰ網１２０と、ＩＰ網１２０への接続サービスを提供する複数のＩＳＰ網１１０（１１０Ａ、１１０Ｂ、・・・）とからなる。本発明のパケット転送装置１０は、モバイル網１００と、各ＩＳＰ網１１０と、ＩＰ網１２０に接続されている。

モバイル網１００は、モバイルＩＰプロトコルによって移動端末３０（３０−１、３０−２、・・・）に通信サービスを提供する複数のサービスエリア（サービスリンク）１０１（１０１−１〜１０１−ｍ）からなる。各サービスエリア１０１は、例えば、移動端末３０と無線チャネルで交信する１つまたは複数の無線基地局と、これらの基地局に接続された基地局制御局とからなり、各基地局制御局が、ルータ２０（２０−１〜２０−ｍ）と通信回線Ｌ（Ｌ１〜Ｌｍ）を介して、パケット転送装置１０に接続されている。但し、各サービスエリア１０１は、無線基地局を直接ルータ２０に収容する形式のものであってもよいし、ルータ２０に接続されたＬＡＮに移動端末を有線または無線で接続する形式のものであってもよい。

モバイル網１００からＩＰ網１２０を利用する各加入者は、インターネット接続サービスを提供するモバイル網事業者（サービスプロバイダ：ＩＳＰ）と契約を結び、契約したＩＳＰ網１１０を経由して、ＩＰ網１２０に接続されたサーバや端末（図示せず）と通信できる。以下の説明では、サービスエリア１０１からＩＰ網に接続される移動端末３０をＭＮ（Mobile Node）と呼ぶ。ＭＮは、例えば、矢印で移動方向を示したＭＮ３０−１のように、通信中に１つのサービスエリアから別のサービスエリアに移動できる。

各ＩＳＰ網１１０は、通信回線Ｌ（Ｌａ、Ｌｂ、・・・）を介してパケット転送装置１０と接続されたルータ４０（４０Ａ、４０Ｂ、・・・）と、ＩＳＰ加入者（契約ユーザ）の認証、課金処理、ＭＮのホームアドレス（ＨｏＡ）管理等の機能を備えた認証サーバとして、例えば、ＩＥＴＦ（Internet Engineering Task Force）で標準化されたＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバ４１（４１Ａ、４１Ｂ、・・・）を含む。各ルータ４０には、アクセス網１１１（１１１Ａ、１１１Ｂ、・・・）を介して、ＩＳＰの加入者端末５０（５０Ａ、５０Ｂ、）が接続される。ここでは、ＩＳＰ網毎に別々のアクセス網を示してあるが、アクセス網１１１Ａ、１１１Ｂ、・・・は、共通の公衆網であってもよい。以下の説明では、アクセス網１１１あるいはＩＰ網１２０に接続されたＭＮの通信相手端末５０をＣＮ（Correspondent Node）と呼ぶ。また、ＩＳＰ網１１０Ａ、１１０Ｂを所有するサービスプロバイダをそれぞれＩＳＰ−Ａ、ＩＳＰ−Ｂと呼ぶ。

図１において、上述した網構成要素とＭＮ、ＣＮに付随して鍵括弧［ ］内に示された数字は、各要素に割り当てられたＩＰアドレスの値を例示している。また、ＭＮ３０−１に付随するＨｏＡとＣｏＡの値は、それぞれＭＮ３０−１に割り当てられたホームアドレスと気付アドレスの値を示す。ここでは、ＭＮ３０−１のユーザが、ＩＳＰ網１１０ＡのサービスプロバイダＩＳＰ−Ａとサービス契約を結んだ加入者と仮定している。

HoA-ispa [2001::1]は、ＭＮ３０−１のホームアドレスが[2001::1]であることを意味し、CoA-1 [3001::1]は、ＭＮ３０−１がサービスエリア１０１−１で取得した気付アドレスの値が[3001::1]であることを意味している。ＭＮ３０−１が、サービスエリア１０１−１から１０１−２に移動すると、気付アドレス（CoA-2）が、サービスエリア１０１−２で取得した新たな値[3002::1]に変更される。ＨｏＡの値は不変である。

気付アドレスCoA-1は、ＭＮ３０−１がサービスエリア１０１−１に接続中に一時的に貸与されるＩＰアドレスであり、ＭＮ３０−１とサービスエリア１０１−１との接続が切断された時、無効となる。これと同様に、気付アドレスCoA-2も、ＭＮ３０−１がサービスエリア１０１−２に接続中に一時的に貸与されるＩＰアドレスである。

本発明のパケット転送装置１０は、モバイル網１００に接続される契約ＩＳＰの異なる複数グループのＭＮ３０に共通のホームエージェントとして動作する。各ＭＮ３０は、パケット転送装置１０のＩＰアドレス（この例では、[3000::ffff]）をホームエージェント（ＨＡ）アドレスとして予め記憶している。

パケット転送装置１０は、論理的には、図２に示すように、各ＭＮ３０との間でのモバイルＩＰプロトコルを終端し、ホームエージェントとして動作するモバイルＩＰ終端ＶＲ（Virtual Router）としての機能Ｆ１０と、ＩＳＰ網１１０（１１０Ａ、１１０Ｂ、・・・）に所属するＲＡＤＩＵＳサーバ４１（４１Ａ、４１Ｂ、・・・）との間でのＲＡＤＩＵＳプロトコルを終端するＩＳＰ対応ＶＲとしての機能Ｆ１１（Ｆ１１Ａ、Ｆ１１Ｂ、・・・Ｆ１１Ｎ）を有する。

また、パケット転送装置１０は、図８、図９で後述するように、各ＭＮのユーザＩＤとＨｏＡ、ＣｏＡとの対応関係を記憶するユーザ管理テーブル１６と、ＭＮ３０のユーザＩＤ（例えば、usera@ispa.com）から抽出されるドメイン名（例えば、@ispa.com）と、ＩＳＰ対応ＶＲの識別子と、ＲＡＤＩＵＳサーバアドレスとの関係を対応付けたＩＳＰ管理テーブル１７とを備えている。本実施例において、ユーザ管理テーブル１６は、モバイルＩＰのホームエージェントが備えるバインディング・キャッシュ（Binding Cache）管理テーブルとしての役割も兼ねている。

モバイルＩＰ終端ＶＲ機能Ｆ１０は、ＭＮ３０からＩＳＰ網１１０への接続要求が発生した時、ＭＮ３０からユーザＩＤとパスワードとを入手した後、上記ＩＳＰ管理テーブルを参照して、ＭＮ３０の契約ＩＳＰと対応するＩＳＰ対応ＶＲを特定する。例えば、ＭＮ３０−１から接続要求が発生した場合は、ＩＳＰ対応ＶＲ機能Ｆ１１Ａが選択される。

ＩＳＰ対応ＶＲ機能Ｆ１１Ａは、上記ＩＳＰ管理テーブルが示すＲＡＤＩＵＳサーバアドレスに従って、ＭＮ３０−１のユーザＩＤとパスワードを含む認証要求をＲＡＤＩＵＳサーバ４１Ａに送信する。認証要求が示すパスワードが、契約時に予め加入者が登録したパスワードに一致した場合、ＲＡＤＩＵＳサーバ４１Ａは、認証に成功したことを示す応答メッセージをパケット転送装置１０に返送する。

本実施例では、ＲＡＤＩＵＳサーバ４１Ａが、加入者端末に割り当てるべきホームアドレスＨｏＡをプールしており、上記認証結果の応答メッセージで、ＭＮ３０−１が使用すべきＨｏＡをパケット転送装置１０に通知する。ＩＳＰ対応ＶＲ機能Ｆ１１Ａは、上記認証応答が示すＨｏＡをＭＮ３０−１のユーザＩＤ、ＣｏＡと対応させてユーザ管理テーブルに記憶する。上記ＨｏＡは、モバイルＩＰ終端ＶＲ機能Ｆ１０によって、ＭＮ３０−１に通知される。

ＭＮ３０−１は、上記ＨｏＡの通知を受けると、モバイルＩＰにおける位置登録シーケンスに従って、ＨｏＡとサービスエリア１０１−１で取得したＣｏＡとを含む位置登録要求メッセージ（Binding Update）をパケット転送装置（ホームエージェント）１０に送信する。

パケット転送装置１０は、位置登録要求メッセージを受信すると、受信メッセージが示すＨｏＡとＣｏＡをユーザ管理テーブル（Binding Cache管理テーブル）１６にユーザＩＤと対応させて登録済みのＨｏＡとＣｏＡと照合し、受信したＨｏＡとＣｏＡに問題がなければ、ＭＮ３０−１に応答メッセージ（Binding Acknowledgement）を送信する。もし、位置登録要求メッセージが示すＨｏＡ、ＣｏＡが、ユーザ管理テーブル１６に登録済みのＨｏＡ、ＣｏＡに一致しなければ、パケット転送装置１０は、ＭＮ３０−１との通信を切断し、ユーザ管理テーブルからＭＮ３０−１のＨｏＡとＣｏＡ（Binding情報）を消去する。

パケット転送装置１０は、上記ユーザ管理テーブル１６を参照することによって、ＣＮが送信したＭＮ３０−１のＨｏＡ宛のＩＰパケットをＣｏＡ宛のＩＰパケットをもつカプセル化パケットに変換してモバイル網１００に転送することが可能となる。

図３は、パケット転送装置１０がＩＳＰ網１１０との間で送受信するパケットと、モバイル網１００との間で送受信するパケットのフォーマットを示す。
図３の（Ａ）は、ＩＳＰ網側のパケットの１例として、ＣＮ５０ＡからＭＮ３０−１への送信パケット２００を示す。パケット２００は、ペイロード２１０に付加されたＩＰヘッダに、宛先アドレス（ＤＡ）２２１としてＭＮ３０−１のホームアドレスＨｏＡ、送信元アドレス（ＳＡ）２２２として、ＣＮ５０Ａのアドレスを含む。

パケット転送装置１０は、上記パケット２００を図３の（Ｂ）に示すフォーマットに変換して、モバイル網１００の回線Ｌ１に転送する。この場合、パケット２００は、新たな宛先アドレスＤＡ２３１と送信元アドレスＳＡ２３２とを含むＩＰヘッダでカプセル化される。ＤＡ２３１は、ＭＮ３０−１の気付けアドレスＣｏＡを示し、ＳＡ２３２は、パケット転送装置１０における回線Ｌ１の接続ポートアドレスを示している。尚、ＥＳＰ２３３は、カプセル化ＩＰヘッダに含まれるＩＰｓｅｃ（Internet Protocol Security）用の情報を示す。

図３の（Ｃ）は、ＭＮ３０−１がサービルエリア１０１−１からサービルエリア１０１−２に移動した後に、パケット転送装置１０がモバイル網１００に転送するＭＮ３０−１宛のパケットのフォーマットを示している。この場合、カプセル化ＩＰヘッダの宛先アドレスＤＡ２３１としては、ＭＮ３０−１がサービルエリア１０１−２で取得したＣｏＡが適用され、送信元アドレスＳＡ２３２には、パケット転送装置１０における回線Ｌ２の接続ポートアドレスが適用される。

図４は、図１に示した通信網におけるＭＮ３０−１とＩＳＰ網１１０Ａとの接続シーケンスを示す。
ＭＮ３０−１は、モバイル網１００のサービスエリア１０１−１で、ＣｏＡの配布を要求するＲＳ（Router Solicitation）メッセージを送信する（ＳＱ１−１）。上記要求メッセージＲＳは、サービスエリア１０１−１に接続されたルータ２０−１に転送される。ルータ２０−１は、ＲＳメッセージを受信すると、ＭＮ３０−１にＲＡ（Router Advertisement）メッセージを返送する（ＳＱ１−２）。

ＭＮ３０−１は、ＲＡメッセージを受信すると、ＲＡメッセージに含まれるアドレス取得方法の指定ビット（Ｍビット）を判定し、Ｍビットが“１”の場合は、ＩＰｖ６ステートフルアドレス自動生成方法に従って、図１では省略されているアドレス生成サーバからＣｏＡを取得する。Ｍビットが“０”の場合は、ＩＰｖ６ステートレスアドレス自動生成方法に従って、ＲＡメッセージの送信元ＩＰアドレスの一部（プレフィックス部分）にＭＮ３０−１のＭＡＣアドレスの一部を組み合わせることによってＣｏＡを生成する。

ＭＮ３０−１は、サービスエリア１０１−１で得たＣｏＡの値（図１では「3001::1」）を図１３で後述するＭＮ管理テーブル３８に登録する（Ｓ１０）。上記ＭＮ管理テーブル３８には、端末ユーザのユーザＩＤ「usera@ispa.com」と、パスワード「aaaa」と、ホームエージェントアドレスとなるパケット転送装置１０のアドレス「3000::ffff」が予め登録されている。ＭＮ３０−１は、ＭＮ管理テーブル３８が示すホームエージェントアドレス「3000::ffff」を適用して、パケット転送装置１０との間で、ＭＮ３０−１をＩＳＰ網１１０Ａに接続するためのＩＫＥ（The Internet Key Exchange）ｐｈａｓｅ １の手順を実行する（ＳＱ１−３）。

パケット転送装置１０は、ＩＫＥ ｐｈａｓｅ １（ＳＱ１−３）において、非特許文献２、３に記載された手順で、ＩＳＡＫＭＰ（Internet Security Association and Key Management Protocol）によって、ＭＮ３０−１とＳＡ（Security Association）情報を交換する。

パケット転送装置１０は、上記ＩＳＡＫＭＰ ＳＡ情報を取得した後、Ｘａｕｔｈ（Extended Authentication within ISAKMP/Oakley）プロトコルで、ＭＮ３０−１に接続認証要求メッセージ（Xauth REQUEST）を送信する（ＳＱ１−４）。ＭＮ３０−１は、Xauth REQUESTメッセージを受信すると、ＭＮ管理テーブル３８から読み出されたユーザＩＤ「usera@ispa.com」とパスワード「aaaa」とを含む応答メッセージ（Xauth REPLY）をパケット転送装置１０に送信する（ＳＱ１−５）。上記Xauth REPLYメッセージは、ＩＳＰ網への接続要求となる。

パケット転送装置１０は、Xauth REPLYメッセージを受信すると、ユーザ管理テーブル１６から上記Xauth REPLYメッセージが示すユーザＩＤ「usera@ispa.com」をもつテーブルエントリを検索する（Ｓ１２）。ＭＮ３０−１がサービスエリア１０１−１に接続された時点では、上記ユーザ管理テーブル１６には、ユーザＩＤ「usera@ispa.com」をもつテーブルエントリは未だ登録されていない。そこで、パケット転送装置１０は、ＲＡＤＩＵＳサーバからＭＮ３０−１のＨｏＡを入手するために、ＩＳＰ管理テーブル１７からＭＮ３０−１と対応するＶＲ識別子を検索する（Ｓ１４）。この検索は、Xauth REPLYメッセージが示すユーザＩＤ「usera@ispa.com」からドメイン名「ispa.com」を抽出し、ＩＳＰ管理テーブル１７からこのドメイン名「ispa.com」をもつテーブルエントリを検索することを意味している。

ＩＳＰ管理テーブル１７には、ドメイン名「ispa.com」と対応して、ＩＳＰ網１１０Ａ用のＶＲ（Ｆ１１Ａ）の識別子とＲＡＤＩＵＳサーバ４１Ａのアドレスとを示すテーブルエントリが登録されている。パケット転送装置１０は、検索されたテーブルエントリが示すＲＡＤＩＵＳサーバアドレスを宛先として、ＲＡＤＩＵＳサーバ４１Ａにユーザ認証のためのアクセス要求メッセージ（Access Request）を送信する（ＳＱ１−６）。Access Requestメッセージは、Xauth REPLYメッセージが示すユーザＩＤ「usera@ispa.com」とパスワード「aaaa」を含んでいる。パケット転送装置１０は、上記ユーザＩＤ、パスワードと、Xauth REPLYメッセージの送信元アドレスが示すＣｏＡとを含むユーザ管理テーブル１６のテーブルエントリを生成して、ＲＡＤＩＵＳサーバ４１Ａからの応答を待つ。

ＲＡＤＩＵＳサーバ４１Ａは、ユーザＩＤ「usera@ispa.com」と対応して予め登録されているパスワードと、上記アクセス要求が示すパスワード「aaaa」とを比較して、ユーザを認証する。ユーザ認証に成功した場合、ＲＡＤＩＵＳサーバ４１Ａは、ユーザＩＤ「usera@ispa.com」に割り当てられているホームアドレスＨｏＡと、ＨｏＡの有効期間を示すライフタイムとを示す応答メッセージ（Access Accept）をパケット転送装置１０に返送する（ＳＱ１−７）。

パケット転送装置１０は、Access Acceptメッセージを受信すると、該メッセージが示すＨｏＡとライフタイムを上記テーブルエントリに追加し、このテーブルエントリをユーザ管理テーブル１６に登録（Ｓ１６）した後、上記ＨｏＡを含む接続認証メッセージ（Xauth SET）をＭＮ３０−１に送信する（ＳＱ１−８）。

ＭＮ３０−１は、上記Xauth SETメッセージを受信すると、ＭＮ管理テーブル３８にＨｏＡの値を登録する（Ｓ１８）。この後、ＭＮ３０−１は、接続認証メッセージ（Xauth SET）を正常に受信したことを示す応答メッセージ（Xauth ACK）をパケット転送装置１０に送信する（ＳＱ１−９）。パケット転送装置１０は、上記Xauth ACKメッセージを受信すると、ＭＮ３０−１のユーザＩＤとパスワードとを含む課金要求メッセージ（Accounting Request）を生成し、これをＲＡＤＩＵＳサーバ４１Ａに送信する（ＳＱ１−１０）。ＲＡＤＩＵＳサーバ４１Ａは、上記Accounting Requestメッセージを受信すると、応答メッセージ（Accounting Response）をパケット転送装置１０に返送（ＳＱ１−１１）した後、ユーザＩＤの通信に関して課金処理を開始する。

パケット転送装置１０は、この後、ＭＮ３０−１との間で、ＩＫＥ ｐｈａｓｅ ２を実行する（ＳＱ１−１２）。ＭＮ３０−１は、ＩＫＥ ｐｈａｓｅ ２が終了すると、パケット転送装置１０に、ＩＥＴＦ ＲＦＣ３７７５で規定されたモバイルＩＰｖ６における位置登録要求メッセージ（ＢＵ：Binding Update）を送信する（ＳＱ１−１３）。ＢＵメッセージを含むＩＰｖ６パケットは、ＭＮ３０−１がサービスエリア１０１−１で取得したＣｏＡを送信元ＩＰアドレスとし、ＩＰｖ６宛先オプションヘッダ部のホームアドレスオプションにＨｏＡを含んでいる。

パケット転送装置１０は、ＢＵメッセージを受信すると、受信メッセージが示すＨｏＡとＣｏＡをユーザ管理テーブル（Binding Cache管理テーブル）１６にBinding Cacheデータとして既に登録済みのＨｏＡとＣｏＡと照合し（Ｓ２０）、ＢＵメッセージが示すＨｏＡとＣｏＡに問題がなければ、ＭＮ３０−１に応答メッセージ（ＢＡ：Binding Acknowledgement）を送信する（ＳＱ１−１４）。上記ＢＡメッセージを受信したことによって、ＭＮ３０−１は、ＩＳＰ網１１０Ａを経由したＩＰ網１２０へのアクセス、或いはＣＮとの通信が可能となる。

もし、ＢＡメッセージが示すＨｏＡ、ＣｏＡが、ユーザ管理テーブル１６に登録済みのＨｏＡ、ＣｏＡに一致しなかった場合、パケット転送装置１０は、ＭＮ３０−１のＳＡ（Security Association）情報を解放し、ユーザ管理テーブルからＭＮ３０−１用のテーブルエントリを消去することによって、ＭＮ３０−１との通信を切断する。

上述した通信シーケンスから明らかなように、本発明のパケット転送装置１０は、ＭＮ３０をＩＳＰ網に接続する過程で発生する接続認証要求（Xauth REPLY）の受信を契機にして、この要求が示すユーザＩＤから契約ＩＳＰ網のドメイン名を特定し、ドメイン名と対応する認証サーバ（ＲＡＤＩＵＳサーバ４１）に対して、アクセス要求を送信しているため、移動端末のユーザに契約ＩＳＰ網の選択の自由を与えることが可能となる。
また、後述するように、パケット転送装置１０が、ユーザ管理テーブル１６で各ホームアドレスＨｏＡの有効期間（ライフタイム）を管理することによって、ＭＮが他のサービスエリアに移動して新たなＣｏＡを取得した時、ＨｏＡの有効期間内であれば、ＲＡＤＩＵＳサーバへのアクセス要求の送信を省略した簡単なシーケンスで、ＭＮに通信を継続させることが可能となる。

図５の（Ａ）は、Ｘａｕｔｈプロトコルに従ったメッセージフォーマットを示す。
Ｘａｕｔｈプロトコルについては、draft-ietf-ipsec-isakmp-xauth-06に規定されている。Ｘａｕｔｈのメッセージは、Vender IDフィールド７０１にＸａｕｔｈを示す識別子を含む。図４で説明したXauth Requestメッセージ、Xauth REPLYメッセージ、Xauth SETメッセージは、Typeフィールド７０２とAttributesフィールド７０３の内容によって識別される。

パケット転送装置１０がＳＱ１−４で送信するXauth Requestメッセージは、（Ｂ）に示すように、Typeフィールド７０２に「ISAKMP-CFG-REQUEST」を含み、Attributesフィールド７０３に、ユーザ名属性「XAUTH-USER-NAME」＝ブランク、パスワード属性（XAUTH-USER-PASSWORD）＝ブランクを含む。

ＭＮ３０−１がＳＱ１−５で送信するXauth REPLYメッセージは、（Ｃ）に示すように、Typeフィールド７０２に「ISAKMP-CFG-REPLY」を含み、Attributesフィールド７０３でユーザ名属性（XAUTH-USER-NAME）とパスワード属性（XAUTH-USER-PASSWORD）の具体的な値を指定している（この例では、「usera@ispa.com」と「aaaa」）。

パケット転送装置１０がＳＱ１−８で送信するXauth SETメッセージは、（Ｄ）に示すように、Typeフィールド７０２に「ISAKMP-CFG-SET」を含み、Attributesフィールド７０３の状態属性（XAUTH-STATUS）でユーザ認証結果を示し、メッセージ属性（XAUTH-MESSAGE）でＨｏＡの値を指定している。

図６は、図１のサービスエリア１０１−１において、ＲＡＤＵＳサーバ４１Ａによって認証済みとなったＭＮ３０−１が、サービスエリア１０１−１からサービスエリア１０１−２に移動した場合の通信シーケンスを示す。

ＭＮ３０−１は、サービスエリア１０１−２で、ＣｏＡの配布を要求するＲＳ（Router Solicitation）メッセージを送信する（ＳＱ２−１）。上記要求メッセージＲＳは、サービスエリア１０１−２に接続されたルータ２０−２に転送される。ルータ２０−２は、ＲＳメッセージを受信すると、ＲＡ（Router Advertisement）メッセージをＭＮ３０−１に返送する（ＳＱ２−２）。ＭＮ３０−１は、ＲＡメッセージを受信すると、ＣｏＡを生成し、ＭＮ管理テーブル３８に登録（Ｓ１０）した後、パケット転送装置１０との間で、ＭＮ３０−１をＩＳＰ網１１０Ａに接続するためのＩＫＥ（The Internet Key Exchange）ｐｈａｓｅ １の手順を実行する（ＳＱ２−３）。

パケット転送装置１０は、ＭＮ３０−１とＩＳＡＫＭＰ ＳＡを交換した後、ＭＮ３０−１に接続認証要求メッセージ（Xauth REQUEST）を送信する（ＳＱ２−４）。ＭＮ３０−１は、Xauth REQUESTメッセージを受信すると、ユーザＩＤ「usera@ispa.com」とパスワード「aaaa」とを含む応答メッセージ（Xauth REPLY）をパケット転送装置１０に送信する（ＳＱ２−５）。

パケット転送装置１０は、上記Xauth REPLYメッセージを受信すると、ユーザ管理テーブル１６から受信メッセージが示すユーザＩＤ「usera@ispa.com」をもつテーブルエントリを検索する（Ｓ１２）。今回は、ＨｏＡが登録済みの状態となっている。そこで、パケット転送装置１０は、図４におけるＩＳＰ管理テーブルの検索（Ｓ１４）と、ＲＡＤＩＵＳサーバ４１Ａへのアクセス要求メッセージ（Access Request）の送信（ＳＱ１−６）を省略し、ユーザ管理テーブル１６のユーザＩＤ「usera@ispa.com」をもつテーブルエントリでＣｏＡの値を変更（Ｓ１７）した後、ＨｏＡを含む接続認証メッセージ（Xauth SET）をＭＮ３０−１に送信する（ＳＱ２−８）。

ＭＮ３０−１は、上記Xauth SETメッセージを受信すると、ＭＮ管理テーブル３８にＨｏＡの値を登録する（Ｓ１８）。この後、ＭＮ３０−１は、接続認証メッセージ（Xauth SET）を正常に受信したことを示す応答メッセージ（Xauth ACK）をパケット転送装置１０に送信する（ＳＱ２−９）。以下、図４で説明したＳＱ１−１０〜ＳＱ１−１４と同様の通信シーケンスＳＱ２−１０〜ＳＱ２−１４が実行される。但し、ＲＡＤＩＵＳサーバ４１Ａに対する課金要求は既に発行済みとなっているため、ＳＱ２−１０とＳＱ２−１１は省略してもよい。

図７は、パケット転送装置１０の１実施例を示すブロック構成図である。
パケット転送装置１０は、制御部（プロセッサ）１１と、複数の回線インタフェース１２（１２−１〜１２−ｎ）と、端末インタフェース１３と、データメモリ１４と、プロセッサ１１が実行する各種のプログラムを格納したプログラムメモリ１５と、これらの要素を接続する内部バス１９とからなっている。

回線インタフェース１２−１〜１２−ｎは、モバイル網１００のルータ接続回線Ｌ１〜Ｌｍを収容する第１群の回線インタフェースと、ＩＳＰ網１１０のルータ接続回線Ｌａ、Ｌｂ、・・・、またはＩＰ網との接続回線を収容する第２群の回線インタフェースからなる。各回線インタフェース１２は、接続回線Ｌに適用されるＭＡＣレイヤの通信プロトコル種別、例えば、イーサネット（登録商標名）に応じたパケット形式で、ルータ２０、ルータ４０、その他の通信ノードとＩＰパケットを送受信する。端末インタフェース１３は、オペレータが操作する制御端末との接続インタフェースである。

データメモリ１４には、ユーザ管理テーブル１６と、ＩＳＰ管理テーブル１７と、ルーティング情報管理テーブル１８が形成されている。また、プログラムメモリ１５には、本発明に関係するプログラムとして、通信制御ルーチン５００と、モバイルＩＰ処理ルーチン５７０と、ＲＡＤＩＵＳ処理ルーチン５８０と、パケット転送制御ルーチン５９０と、その他のルーチンが用意されている。

通信制御ルーチン５００は、図１５〜図１７で説明するように、ＩＳＰ接続制御ルーチン５１０、ライフタイム更新ルーチン５４０、ライフタイムチェックルーチン５５０など、複数のルーチンからなる。モバイルＩＰ処理ルーチン５７０は、ＭＮ３０との間にＩＳＡＫＭＰ ＳＡを確立し、ＭＮ３０に送信するXauth REQUESTメッセージおよびXAUTH SETメッセージを生成する。ＲＡＤＩＵＳ処理ルーチン５８０は、ＲＡＤＩＵＳサーバ４１との間で、Access RequestおよびAccess Acceptメッセージ、Accounting RequestおよびAccounting Responseメッセージを交信する。

パケット転送制御ルーチン５９０は、第２群の回線インタフェースからＭＮのホームアドレスＨｏＡ宛のＩＰパケットを受信した時、ユーザ管理テーブル１６が示すＨｏＡとＣｏＡとの対応関係を利用して、受信パケットを図３の（Ｂ）、（Ｃ）で説明したカプセル化パケットに変換し、ＨｏＡと対応する第１群の回線インタフェースからモバイル網に送信する。

図８は、ユーザ管理テーブル１６の１実施例を示す。
ユーザ管理テーブル１６は、ユーザＩＤ１６１をもつ複数のテーブルエントリ１６０からなる。各テーブルエントリは、ユーザＩＤ１６１と対応するパスワード１６２と、ＨｏＡ１６３と、ＣｏＡ１６４と、ライフタイム１６５と、ＩＳＰ対応ＶＲの識別子１６６と、その他の情報１６７を示している。ＨｏＡ１６３、ＣｏＡ１６４、ライフタイム１６５は、Binding Cache管理テーブル情報となる。

ユーザ管理テーブル１６には、ＲＡＤＩＵＳサーバ４１からＨｏＡを入手した時点で、接続要求元のユーザＩＤと対応したテーブルエントリが追加される。但し、ユーザ管理テーブル１６への新たなテーブルエントリの追加は、ＲＡＤＩＵＳサーバへのAccess Requestの送信前に行い、Access Acceptの受信後にＨｏＡ１６３とライフタイム１６５を追加するようにしてもよい。ＨｏＡ１６３とＣｏＡ１６４は、ＭＮから位置登録要求（ＢＵ）メッセージを受信した時点で追加するようにしてもよい。後述するように、ＭＮから切断要求が発行された時、あるいはライフタイムが経過した時、該当するテーブルエントリがユーザ管理テーブル１６から削除される。

図８の（Ａ）は、ユーザＩＤ１６１として、図１に示したＭＮ３０−１のユーザ識別子「usera@ispa.com」をもつテーブルエントリ１６０−１の内容を示している。（Ｂ）は、ユーザ管理テーブル１６に複数のテーブルエントリ１６０−１〜１６０−ｊが登録された状態を示している。その他の情報１６７には、例えば、認証用のシーケンス番号が含まれる。その他の情報１６７として、例えば、Accounting Requestメッセージの送信要否を示す課金フラグを用意してもよい。ユーザ管理テーブル１６に新たなテーブルエントリが登録された時点では、課金フラグを“０”にしておき、ＭＮ３０から最初のXauth ACKを受信した時、ＲＡＤＩＵＳサーバにAccounting Requestメッセージを送信して、課金フラグを“１”に変更するようにすれば、ＭＮ３０が他のサービスエリアに移動した時に発行されるXauth ACKの受信時に、Accounting Requestの送信を省略することができる。

図９は、ＩＳＰ管理テーブル１７の１実施例を示す。
ＩＳＰ管理テーブル１７は、ＩＳＰ網１１０のドメイン名１７１をもつ複数のテーブルエントリ１７０−１〜１７０−ｋからなる。各テーブルエントリは、ドメイン名１７１と、ＩＳＰ対応ＶＲの識別子１７２と、ＲＡＤＩＵＳサーバ４１のＩＰアドレス１７３の対応関係を示している。

図１０は、ルーティング情報管理テーブル１８の１実施例を示す。
ルーティング情報管理テーブル１８には、ＩＳＰ対応ＶＲ識別子１８１と、ネットワークアドレス１８２と、ゲートウェイアドレス１８３との対応関係を示す複数のエントリ１８０−１〜１８０−ｐからなる。ここでネットワークアドレス１８２は、図１に示した通信ネットワークにおける各通信装置のＩＰアドレスを示し、ゲートウェイアドレス１８３は、通信回線Ｌ（Ｌ１、Ｌ２、・・・Ｌａ、Ｌｂ、・・・）によってパケット転送装置１０に接続された隣接ノードのアドレス（Next Hop）を示している。

例えば、ＩＳＰ管理テーブル１７から、ドメイン名「ispa.com」と対応するＲＡＤＩＵＳサーバアドレス「2001:1::1」が検索された時、パケット転送装置１０は、ルーティング情報管理テーブル１８から、ネットワークアドレス「2001:1::1」と対応するゲートウェイアドレス「2002:10::1」を検索することによって、通信回線Ｌａを介してAccess RequestメッセージをＲＡＤＩＵＳサーバ４１Ａに送信することが可能となる。

図１１は、ルータ２０−１が備えるルーティングテーブル２００Ｒを示す。
ルーティングテーブル２００Ｒは、ネットワークアドレス２０１と、ゲートウェイアドレス２０２との対応関係を示す複数のエントリからなる。ネットワークアドレス２０１とゲートウェイアドレス２０２との関係は、ルーティング情報管理テーブル１８の場合と同様である。

図１２は、移動端末（ＭＮ）３０−１の１実施例を示すブロック構成図である。モバイル網１００に接続される他の移動端末（ＭＮ３０−２、ＭＮ３０−３、・・・）も、機能的には、ＭＮ３０−１と同様の構成となっている。

ＭＮ３０−１は、制御部（プロセッサ）３１と、アンテナを介してモバイル網サービスエリア１０１内の基地局と無線信号を送受信するＲＦ部３２と、ＲＦ部３２に接続された無線信号の変復調処理を行うための信号変換部３３と、信号変換部３３に接続された回線インタフェース３４と、表示装置３５と、データ入力のための各種のボタン、マイク、スピーカなどの入出力装置３６と、データメモリ３７と、プログラムメモリ３８と、要素３４〜３８を接続する内部バス３９とからなる。回線インタフェース３４は、ＭＮ３０−１からの送信されるＩＰパケットを無線チャネルにおける通信プロトコルに従った通信フレーム形式に変換すると共に、無線チャネルで受信した通信フレームをＩＰパケットに変換する。

データメモリ３７には、ＭＮ管理テーブル３８、その他のテーブルが形成される。また、プログラムメモリ３８には、プロセッサ３１が実行する本発明に関係するプログラムとして、通信制御ルーチン３００、モバイルＩＰ処理ルーチン３５０、その他のルーチン３６０が用意されている。通信制御ルーチン３００は、後述するように、接続制御ルーチン３１０、切断制御ルーチン３３０など、複数のルーチンからなる。

図１３は、ＭＮ管理テーブル３８の構成と内容の推移を示す。
ＭＮ管理テーブル３８は、ユーザＩＤフィールド３８１と、パスワードフィールド３８２と、ホームエージェントアドレス・フィールド３８３と、ＨｏＡフィールド３８４と、ＣｏＡフィールド２８５と、その他の情報フィールド３８６とからなっている。

図１３の（Ａ）は、ＭＮ３０−１がモバイル網１００に接続される前のＭＮ管理テーブル３８の初期状態を示す。初期状態において、ＭＮ管理テーブル３８は、ユーザＩＤフィールド３８１と、パスワードフィールド３８２と、ホームエージェントアドレス・フィールド３８３に有効データを記憶している。ここで、ホームエージェントアドレス・フィールド３８３は、パケット転送装置１０のＩＰアドレスを示している。パスワードは、必要に応じて、端末ユーザが入出力装置３６から入力してもよいが、以下に述べる実施例では、一度入力されたパスワード「aaaa」がＭＮ管理テーブル３８に保存され、プロセッサ３１が、ＭＮ管理テーブル３８から読み出したパスワードを利用して、パケット転送装置１０と通信するものとする。

図１３の（Ｂ）は、ＭＮ３０−１がサービスエリア１０１−１に接続され、ＣｏＡを取得した時点でのＭＮ管理テーブル３８の状態を示し、図１３の（Ｃ）は、ＭＮ３０−１がパケット転送装置１０と接続され、ＨｏＡを取得した時点でのＭＮ管理テーブル３８の状態を示している。

図１４は、ＭＮ３０−１をサービスエリア１０１−１に接続するためにプロセッサ３１が定期的に実行する接続制御ルーチン３１０の１実施例を示す。
接続制御ルーチン３１０の実行を開始したプロセッサ３１は、ＲＳ（Router Solicitation）メッセージを送信し（ステップ３１１）、ＲＡ（Router Advertisement）メッセージの受信を待つ（３１２）。ＲＡメッセージを受信すると、プロセッサ３１は、受信メッセージの送信元ＩＰアドレスのプレフィックス部分を抽出し、接続制御ルーチン３１０の前回の実行時に記憶しておいた従前プレフィックス値と比較して、プレフィックス値が変化したか否かを判定する（３１３）。プレフィックス値に変化がなければ、プロセッサ３１は、このルーチンを終了する。

ここで、従前プレフィックス値は、ＭＮ３０−１がモバイル網１００で通信中にメモリ３７に保持される値であり、通信切断の都度、消去される。プレフィックス値に変化があった場合、すなわち、ＭＮ３０−１がモバイル網１００内で最初のＲＳメッセージを送信した場合、あるいは、１つのサービスエリアで通信中のＭＮ３０−１が別のサービスエリアに移動し、移動先で最初のＲＡメッセージを受信した場合、プロセッサ３１は、新たなプレフィックス値を従前プレフィックス値として記憶し（３１４）、ＣｏＡをＭＮ管理テーブル３８に登録する（３１５）。ＣｏＡの生成方法は、前述したように、ＲＡメッセージに含まれるＭビットの値で指定されている。

この後、プロセッサ３１は、ＭＮ管理テーブル３８のホームエージェントアドレス３８３が指定するパケット転送装置１０との間で、ＩＫＥ ｐｈａｓｅ １のＩＳＡＫＭＰ ＳＡ（Security Association）情報を交換し（３１６）、パケット転送装置１０からの接続認証要求メッセージ（Xauth REQUEST）の受信を待つ（３１７）。Xauth REQUESTメッセージを受信すると、プロセッサ３１は、ＭＮ管理テーブル３８からユーザＩＤ３８１とパスワード３８２を読み出し（３１８）、Xauth REPLYを生成して、これをパケット転送装置１０に送信する（３１９）。

プロセッサ３１は、パケット転送装置１０からの接続認証メッセージ（Xauth SET）の受信を待ち（３２０）、Xauth SETメッセージを受信すると、該メッセージが示すＨｏＡの値をＭＮ管理テーブル３８に登録し（３２１）、パケット転送装置１０に応答メッセージ（Xauth ACK）を送信する（３２２）。この後、プロセッサ３１は、パケット転送装置１０とＩＫＥ ｐｈａｓｅ ２の手順を実行し（３２３）、ＭＮ管理テーブル３８から読み出したＣｏＡ、ＨｏＡを適用してモバイルＩＰの位置登録要求メッセージ（ＢＵ：Binding Update）を生成し、これをパケット転送装置１０に送信する（３２４）。

プロセッサ３１は、パケット転送装置１０からの応答メッセージ（ＢＡ：Binding ACK）の受信を待ち（３２５）、ＢＡメッセージを受信すると、このルーチンを終了して、ＭＮ３０−１をＣＮと通信可能な状態にする。尚、上述した接続制御ルーチン３１０において、パケット転送装置１０との間での制御メッセージの送受信には、適宜、モバイルＩＰ処理ルーチン３５０が連携する。

図１５は、パケット転送装置１０のプロセッサ１１が実行するＩＳＰ接続制御ルーチン５１０の１実施例を示す。
プロセッサ１１は、ＭＮ３０からＩＫＥ ｐｈａｓｅ １の制御メッセージを受信すると、ＩＳＰ接続制御ルーチン５１０の実行を開始し、ＭＮ３０との間でＩＳＡＫＭＰのＳＡ情報を交換（５１１）した後、ＭＮ３０に接続認証要求メッセージ（Xauth REQUEST）を送信して（５１２）、接続認証応答メッセージ（Xauth REPLY）の受信を待つ（５１３）。Xauth REPLYメッセージを受信すると、プロセッサ１１は、受信メッセージからユーザＩＤとパスワードを抽出し（５１４）、ユーザ管理テーブル１６から上記ユーザＩＤに該当するテーブルエントリを検索して（５１５）、ＨｏＡがユーザ管理テーブル１６に登録済みか否かを判定する（５１６）。

ＭＮ３０がモバイル網１００に最初に接続された時点では、ユーザ管理テーブル１６にはユーザＩＤに該当するテーブルエントリが無いため、ＨｏＡは未登録と判定される。この場合、プロセッサ１１は、ユーザＩＤからドメイン名を特定し（５１７）、ＩＳＰ管理テーブル１７から上記ドメイン名に該当するテーブルエントリを検索する（５１８）。検索の結果（５１９）、ドメイン名に該当するテーブルエントリが見つからなかった場合、すなわち、ユーザＩＤがＩＳＰ管理テーブル１７に登録されているドメイン名とは無関係の場合、プロセッサ１１は、要求元ユーザがＩＰ接続サービスの加入者ではないと判断し、ＩＳＡＫＭＰのＳＡ情報を解消して（５３２）、このルーチンを終了する。

ＩＳＰ管理テーブル１７からドメイン名に該当するテーブルエントリが検索された場合、プロセッサ１１は、上記テーブルエントリが示すＲＡＤＩＵＳサーバ宛のアクセス要求メッセージ（Access Request）を生成し、ＲＡＤＩＵＳサーバに送信する（５２０）。
プロセッサ１１は、ＲＡＤＩＵＳサーバからの応答メッセージ（Access Accept）を待ち（５２１）、応答メッセージを受信すると、ＲＡＤＩＵＳサーバによるユーザ認証結果を判定する（５２２）。ユーザ認証に失敗した場合は、プロセッサ１１は、ＩＳＡＫＭＰのＳＡ情報を解消して（５３２）、このルーチンを終了する。

ユーザ認証に成功した場合、プロセッサ１１は、Xauth REPLYメッセージから抽出されたユーザＩＤおよびパスワードと、Xauth REPLYメッセージの送信元アドレスが示すＣｏＡと、応答メッセージ（Access Accept）が示すＨｏＡおよびライフタイムと、ＩＳＰ管理テーブル１７からの検索エントリが示すＩＳＰ対応ＶＲ識別子を含む新たなテーブルエントリをユーザ管理テーブル１６に登録し（５２３）、Access Acceptメッセージが示すＨｏＡを含むXauth SETメッセージを生成して、ＭＮ３０に送信する（５２４）。

プロセッサ１１は、ＭＮ３０からの応答メッセージ（Xauth ACK）の受信を待ち（５２５）、Xauth ACKメッセージを受信すると、ユーザＩＤとパスワードとを含む課金要求メッセージ（Accounting Request）をＲＡＤＩＵＳサーバに送信し（５２６）、ＲＡＤＩＵＳサーバからの応答メッセージの受信を待つ（５２７）。ＲＡＤＩＵＳサーバからの応答メッセージ（Accounting ACK）を受信すると、プロセッサ１１は、ＭＮ３０とＩＫＥ ｐｈａｓｅ ２の手順を実行し（５２８）、ＭＮ３０からの位置登録要求メッセージ（ＢＵ：Binding Update）を待つ（５２９）。

ＢＵメッセージを受信すると、プロセッサ１１は、受信メッセージが示すＨｏＡ、ＣｏＡをユーザ管理テーブル１６に登録済みのＨｏＡ、ＣｏＡと照合し（５３０）、問題がなければ、ＭＮ３０に応答メッセージ（ＢＡ：Binding ACK）を返送して（５３１）、このルーチンを終了する。ＢＵメッセージが示すＨｏＡ、ＣｏＡの関係がユーザ管理テーブル１６に登録済みのＨｏＡ、ＣｏＡと矛盾した場合、プロセッサ１１は、ＩＳＡＫＭＰのＳＡ情報を解消して（５３２）、このルーチンを終了する。

ステップ５１６で、ＨｏＡが既にユーザ管理テーブル１６に登録済みとなっていた場合、プロセッサ１１は、今回受信した接続認証応答メッセージ（Xauth REPLY）が、ＭＮ３０の移動先となる新たなサービスエリアで発生したものと判断し、ＲＡＤＩＵＳサーバへのAccess Requestメッセージ送信のための手順（ステップ５１７〜５２３）を省略して、ステップ５２４以降の手順を実行する。尚、ＭＮの移動に伴うXauth REPLYメッセージに対しては、ＲＡＤＩＵＳサーバへのAccounting Requestメッセージの送信を省略したい場合、前述した課金フラグを利用すればよい。例えば、ステップ５２５と５２６との間で課金フラグを判定し、ステップ５２７と５２８との間で課金フラグを変更し、課金フラグが“１”の場合は、ステップ５２６、５２７を省略して、ステップ５２８が実行されるようにすればよい。

次に、ＨｏＡのライフタイムについて説明する。
通信リソースを有効利用するために、パケット転送装置１０は、ユーザ管理テーブル１６に登録された各テーブルエントリのライフタイムを周期的にチェックし、ライフタイムが尽きたＨｏＡは無効にして、ＭＳとの通信を自動的に切断する。ライフタイムの経過による自動切断を回避したいＭＮは、一定周期で生存通知信号（rekeyメッセージ）を発生する。上記rekeyメッセージの受信の都度、パケット転送装置１０に、rekeyメッセージ発信元のＭＳに割り当てられたＨｏＡのライフタイムを初期値に戻させることによって、通信中のＭＮがタイムオーバーによって切断されるのを防ぐことが可能となる。

図１６は、rekeyメッセージの受信の都度、パケット転送装置１０のプロセッサ１１が実行するライフタイム更新処理ルーチン５４０のフローチャートを示す。
ライフタイム更新処理ルーチン５４０において、プロセッサ１１は、ユーザ管理テール１６から、受信したrekeyメッセージの送信元アドレスとＣｏＡが一致するテーブルエントリを検索し（ステップ５４１）、検索されたテーブルエントリのライフタイム１６５の値を初期値に戻して（５４２）、このルーチンを終了する。

ＨｏＡの配布時に、ＲＡＤＩＵＳサーバ４１が、各ユーザに同一のライフタイムＴｃを割り当てている場合、プロセッサ１１は、ステップ５４２で、ライフタイムの現在値を所定値Ｔｃに戻せばよい。もし、ＲＡＤＩＵＳサーバ４１が、ユーザによって異なるライフタイムＴｖを割り当てている場合、ユーザ管理テール１６では、ライフタイムを初期値１６５Ａと現在値１６５Ｂに分けて記憶する。ライフタイムの現在値と、rekeyメッセージの前回の受信時刻を記憶しておき、rekeyメッセージの受信の都度、前回の受信時刻からの経過時間をライフタイムに加算するようにしてもよい。

図１７は、プロセッサ１１が周期ΔＴで定期的に実行するライフタイムチェックルーチン５５０のフローチャートを示す。ここでは、図８で説明したユーザ管理テーブル１６において、有効データを含む複数のテーブルエントリ１６０−１〜１６０−ｊが、途中に無効エントリを含むことなく、論理的に連続配列されていることを前提にする。このようなテーブル構成は、例えば、各テーブルエントリをアドレスポインタで次のテーブルエントリにリンクされるリンクドリスト形式を採用することにより、あるいは、テーブルエントリの削除の都度、ソート処理またはエントリシフト処理を行うことにより実現できる。

ライフタイムチェックルーチン５５０では、プロセッサ１１は、ユーザ管理テール１６のエントリ特定用パラメータｉの値を初期値０に設定し（ステップ５５１）、パラメータｉをインクリメントして（５５２）、ユーザ管理テーブル１６の第ｉエントリを参照する（５５３）。第ｉエントリが、無効エントリの場合、プロセッサ１１は、全エントリのチェックが完了したものと判断し（５５４）、このルーチンを終了する。

第ｉエントリが有効エントリの場合、プロセッサ１１は、ライフタイム１６５の値をチェックし、ＨｏＡのライフタイムが経過したか否かを判定する（５５５）。ここでは、ライフタイムの現在値ＴをΔＴと比較し、Ｔ＞ΔＴであれば、ライフタイムを短縮（Ｔ＝Ｔ−ΔＴ）して（５５６）、ステップ５５２に戻る。もし、Ｔ≦ΔＴであれば、プロセッサ１１は、ＨｏＡのライフタイムが経過したものと判断し、ＩＳＡＫＭＰのＳＡ情報を解放して（５５７）、ユーザ管理テーブル１６から第ｉエントリを削除または無効にして、ステップ５５２に戻る。

図１８は、ＭＮ３０−１側から通信を切断する場合の通信シーケンスを示す。
ＭＮ３０−１が切断要求メッセージ（ＢＵ：delete a binding）を送信する（ＳＱ２０）と、パケット転送装置１０は、ＭＮ３０−１に応答メッセージ（ＢＡ：Binding ACK）を返送（ＳＱ２１）した後、切断処理Ｓ３０を実行する。ＢＡメッセージを受信したＭＮ３０−１は、ＭＮ管理テーブル３８からＨｏＡ、ＣｏＡを削除する（Ｓ３１）。

図１９は、ＭＮ３０−１のプロセッサ３１が実行する切断制御ルーチン３３０の１実施例を示す。
ＭＮ３０−１のユーザが通信の切断を指示すると、プロセッサ３１は、切断制御ルーチン３３０を開始し、パケット転送装置１０に切断要求メッセージ（ＢＵ：delete a binding）を送信して（ステップ３３１）、ＢＡメッセージの受信を待つ（３３２）。パケット転送装置１０からＢＡメッセージを受信すると、プロセッサ３１は、ＭＮ管理テーブル３８からＨｏＡとＣｏＡを消去し（３３３）、ＩＳＡＫＭＰのＳＡ情報を解放して（３３４）、メモリ３７に記憶してあった従前のプレフィックス値を消去して（３３５）、このルーチンを終了する。

図２０は、ＭＮから切断要求メッセージ（ＢＵ：delete a binding）を受信した時、パケット転送装置１０のプロセッサ１１が実行する切断要求処理ルーチン５６０の１実施例を示す。
切断要求処理ルーチン５６０を開始したプロセッサ１１は、要求元ＭＮに応答メッセージ（ＢＡ：Binding ACK）を返送（ステップ５６１）した後、ユーザ管理テーブル１６を参照する。ユーザ管理テーブル１６に、切断要求メッセージの送信元アドレスＣｏＡと対応するテーブルエントリが存在した場合、すなわち、切断要求元ＭＮのＨｏＡが登録済みの場合（５６３）、プロセッサ１１は、ＩＳＡＫＭＰのＳＡ情報を解放し（５６４）、上記テーブルエントリが示すＩＳＰ対応ＶＲ識別子１６６に従って、ＩＳＰ管理テーブル１７からＲＡＤＩＵＳサーバアドレス１７３を検索し（５６５）、ＲＡＤＩＵＳサーバ４１に、上記テーブルエントリが示すユーザＩＤに関する課金終了の要求メッセージを送信する（５６６）。

ＲＡＤＩＵＳサーバから応答メッセージを受信すると（５６７）、プロセッサ１１は、ユーザ管理テーブル１６から上記要求元のテーブルエントリを削除し（５６８）、このルーチンを終了する。ユーザ管理テーブル１６に切断要求と対応するテーブルエントリが存在しない場合は、プロセッサ１１は、ＳＡ情報を解放することなく、このルーチンを終了する。

以上の実施例では、各ＩＳＰ網に所属する認証サーバ（ＲＡＤＩＵＳサーバ）４１がホームアドレスをプールし、移動端末ＭＮからの接続要求に応答してＨｏＡを割り当てことによって、空きＨｏＡの管理を複数のＩＳＰ網に分散したが、全てのホームアドレスをパケット転送装置１０のアドレスプールで一括して管理し、ユーザ認証に成功したＭＮに対して、パケット転送装置１０が空きＨｏＡを割り当てるようにしてもよい。

本発明のパケット転送装置１０が適用される通信網の１例を示す図。 本発明のパケット転送装置１０の機能を概略的に示した図。 本発明のパケット転送装置１０がＩＳＰ網から受信するパケットと、モバイル網に転送するパケットとの関係を説明するための図。 図１の通信網におけるＭＮ３０−１とＩＳＰ網１１０Ａとの接続シーケンスを示す図。 Ｘａｕｔｈプロトコルに従ったメッセージフォーマットを示す図。 ＭＮ３０−１が別のサービスエリアに移動した場合の通信シーケンスを示す図。 本発明のパケット転送装置１０の１実施例を示すブロック構成図。 本発明のパケット転送装置１０が備えるユーザ管理テーブル１６の１実施例を示す図。 本発明のパケット転送装置１０が備えるＩＳＰ管理テーブル１７の１実施例を示す図。 本発明のパケット転送装置１０が備えるルーティング情報管理テーブル１８の１実施例を示す図。 ルータ２０が備えるルーティングテーブル２００Ｒの１実施例を示す図。 移動端末３０の１実施例を示すブロック構成図。 移動端末３０が備えるＭＮ管理テーブルの１実施例を示す図。 移動端末ＭＮ３０のプロセッサが実行する接続制御ルーチン３１０の１実施例を示すフローチャート。 パケット転送装置１０のプロセッサが実行するＩＳＰ接続制御ルーチン５１０の１実施例を示すフローチャート。 パケット転送装置１０のプロセッサが実行するライフタイム更新処理ルーチン５４０の１実施例を示すフローチャート。 パケット転送装置１０のプロセッサが実行するライフタイムチェックルーチン５５０の１実施例を示すフローチャート。 移動端末３０からの通信切断シーケンスを示す図 移動端末ＭＮ３０のプロセッサが実行する切断制御ルーチン３３０の１実施例を示すフローチャート。 パケット転送装置１０のプロセッサが実行する切断要求処理ルーチン５６０の１実施例を示すフローチャート。

符号の説明

１０：パケット転送装置、１１：制御部（プロセッサ）、１２：回線インタフェース、
１３：端末インタフェース、１６：ユーザ管理テーブル、１７：ＩＳＰ管理テーブル、
１８：ルーティング情報管理テーブル、２０、４０：ルータ、３０：移動端末ＭＮ、３１：制御部（プロセッサ）、３２：ＲＦ部、３３：信号変換部、３４：回線インタフェース、３５：表示部、３６：入出力部、３８：ＭＮ管理テーブル、４２：認証サーバ（ＲＡＤＩＵＳサーバ）５０：ＩＳＰ加入者端末、１００：モバイル網、１０１：サービスエリア、１１０：ＩＳＰ網、１２０：ＩＰ網、３００：通信制御ルーチン、３１０：接続制御ルーチン、３３０：切断制御ルーチン、３５０：モバイルＩＰ処理ルーチン、５００：通信制御ルーチン、５１０：ＩＳＰ接続制御ルーチン、５４０：ライフタイム更新ルーチン、５５０：ライフタイムチェックルーチン、５６０：切断要求処理ルーチン、５７０：モバイルＩＰ処理ルーチン、５８０：ＲＡＤＩＵＳ処理ルーチン。

Claims (11)

1. モバイル網を形成するサービスエリア対応の複数のルータに接続するための第１群の回線インタフェースと、
   それぞれが異なるＩＳＰ（Internet Service Provider）網に所属するルータまたはインターネットに接続するための第２群の回線インタフェースと、
   上記各ＩＳＰ網のドメイン名と認証サーバアドレスとの対応関係を示す複数のテーブルエントリからなるＩＳＰ管理テーブルと、
   上記モバイル網を利用する各移動端末のユーザＩＤとホームアドレスと気付けアドレスとの対応関係を示す複数のテーブルエントリからなるユーザ管理テーブルと、
   制御部とからなり、
   上記制御部が、移動端末から契約ＩＳＰ網への接続要求を受信した時、該接続要求に含まれるユーザＩＤから契約ＩＳＰ網のドメイン名を特定し、上記ＩＳＰ管理テーブルから検索した上記特定ドメイン名と対応する認証サーバアドレスを利用して、上記移動端末の契約ＩＳＰ網に付随する認証サーバに、上記接続要求が示すユーザＩＤとパスワードとを含む認証要求を送信し、上記認証サーバから認証に成功したことを示す認証応答を受信した時、上記要求元の移動端末に該移動端末のホームアドレスを通知すると共に、該ホームアドレスを上記接続要求が示す上記移動端末のユーザＩＤおよび気付アドレスと対応付けて上記ユーザ管理テーブルに登録しておき、上記移動端末から位置登録要求を受信した時、該位置登録要求が示す上記移動端末のホームアドレスと気付アドレスが、上記ユーザ管理テーブルに登録済みのホームアドレスおよび気付アドレスと一致することを確認して、上記移動端末に上記位置登録要求に対する応答メッセージを送信することを特徴とするパケット転送装置。
2. 前記制御部が、
   モバイルＩＰ終端仮想ルータ機能部と、
   前記ＩＳＰ網と対応する複数のＩＳＰ対応仮想ルータ機能部と、
   上記ＩＳＰ対応仮想ルータ機能部の識別子と対応付けて、前記ＩＳＰ網またはインターネットに接続された通信装置のＩＰアドレスと、該パケット転送装置に接続された隣接ノードを示す次ホップアドレスとを示す複数のテーブルエントリからなるルーティング情報テーブルとを有し、
   前記ＩＳＰ管理テーブルの各テーブルエントリが、前記ＩＳＰのドメイン名と対応するＩＳＰ対応仮想ルータ機能部の識別子を含み、
   前記移動端末から契約ＩＳＰ網への接続要求を受信した時、上記制御部の上記モバイルＩＰ終端仮想ルータ機能部が、前記ＩＳＰ網のドメイン名を特定し、上記ＩＳＰ管理テーブルから、上記特定ドメイン名と対応する認証サーバアドレスとＩＳＰ対応仮想ルータ機能部の識別子とを検索し、
   上記識別子で特定されたＩＳＰ対応仮想ルータ機能部が、上記ルーティング情報テーブルから、上記認証サーバアドレスと対応する次ホップアドレスを検索し、上記認証サーバアドレスと次ホップアドレスを利用して、前記移動端末の契約ＩＳＰ網に付随する認証サーバに前記認証要求を送信し、
   上記ＩＳＰ対応仮想ルータ機能部が上記認証サーバから前記認証応答を受信した時、上記モバイルＩＰ終端仮想ルータ機能部が、前記要求元の移動端末にホームアドレスを通知することを特徴とする請求項１に記載のパケット転送装置。
3. 前記制御部が、前記認証サーバから前記認証応答を受信した時、アドレスプールから取り出したホームアドレス、または前記認証サーバから上記認証応答で通知されたホームアドレスを前記要求元の移動端末に通知することを特徴とする請求項１または請求項２に記載のパケット転送装置。
4. 前記制御部が、前記第２群の回線インタフェースから移動端末ホームアドレスを宛先アドレスとするパケットを受信した時、前記ユーザ管理テーブルから上記ホームアドレスと対応する気付アドレスを検索し、該気付アドレスを宛先アドレスとするカプセル化ヘッダで上記受信パケットをカプセル化した後、該パケットを上記気付アドレスと対応する前記第１群の何れかの回線インタフェースから前記モバイル網に送信することを特徴とする請求項１〜請求項３の何れかに記載のパケット転送装置。
5. 前記制御部が、前記移動端末から契約ＩＳＰ網への接続要求を受信した時、前記ユーザ管理テーブルから上記移動端末と対応するテーブルエントリを検索し、該移動端末のホームアドレスが上記ユーザ管理テーブルに登録済みの場合は、前記認証サーバへの認証要求の送信を省略して、上記ホームアドレスを前記要求元の移動端末に通知することを特徴とする請求項１に記載のパケット転送装置。
6. 前記ユーザ管理テーブルの各テーブルエントリが、ホームアドレスのライフタイムを含み、
   前記制御部が、ライフタイムが経過したテーブルエントリを無効にし、該テーブルエントリと対応する移動端末の通信を自動的に切断することを特徴とする請求項１または請求項５に記載のパケット転送装置。
7. 前記制御部が、移動端末から発行された生存通知信号の受信の都度、該移動端末のホームアドレスのライフタイムを修正することを特徴とする請求項６に記載のパケット転送装置。
8. 前記制御部が、前記移動端末から通信の切断要求を受信した時、前記ユーザ管理テーブルの上記移動端末と対応するテーブルエントリを無効にし、該移動端末との通信を切断することを特徴とする請求項４〜請求項７の何れかに記載のパケット転送装置。
9. 前記各ＩＳＰ対応仮想ルータ機能部が、前記認証サーバとＲＡＤＩＵＳ（Remote Authentication Dial In User Service）プロトコルで交信し、前記モバイルＩＰ終端仮想ルータ機能部が、前記移動端末とＸａｕｔｈ（Extended Authentication within ISAKMP (Internet Security Association and Key Management Protocol)/Oakley）で前記接続要求と応答を交信することを特徴とする請求項２に記載のパケット転送装置。
10. 前記移動端末から、前記ホームアドレスを示すメッセージに対する確認メッセージを受信した時、ＩＳＰ対応仮想ルータ機能部が、前記前記認証サーバとの間で上記移動端末への課金のための通信手順を実行した後、前記モバイルＩＰ終端仮想ルータ機能部が、上記移動端末との間で、ＩＫＥ（The Internet Key Exchange）とモバイルＩＰの位置登録のための通信手順を実行することを特徴とする請求項２に記載のパケット転送装置。
11. モバイル網を形成するサービスエリア対応の複数のルータと、それぞれが異なるＩＳＰ（Internet Service Provider）網に所属する複数のルータに接続されたパケット転送装置であって、
    モバイルＩＰ終端仮想ルータ機能部と、上記ＩＳＰ網と対応する複数のＩＳＰ対応仮想ルータ機能部とを備えた制御部と、
    上記各ＩＳＰ網のドメイン名と、該ＩＳＰ網と対応するＩＳＰ対応仮想ルータ機能部の識別子と、該ＩＳＰ網に所属する認証サーバアドレスとの対応関係を示す複数のテーブルエントリからなるＩＳＰ管理テーブルと、
    上記ＩＳＰ対応仮想ルータ機能部の識別子と対応付けて、前記ＩＳＰ網またはインターネットに接続された通信装置のＩＰアドレスと、該パケット転送装置に接続された隣接ノードを示す次ホップアドレスとを示す複数のテーブルエントリからなるルーティング情報テーブルと、
    契約ＩＳＰ網の異なる複数グループの移動端末について、ホームアドレスと気付アドレスとのバインディング情報を一括管理するユーザ管理テーブルとを備え、
    上記モバイル網に接続された何れかの移動端末からのＩＳＰ接続要求を受信したとき、上記制御部のモバイルＩＰ終端機能部が、上記ＩＳＰ接続要求に含まれるユーザＩＤから特定されるドメイン名に従って上記ＩＳＰ管理テーブルを参照することによって、上記移動端末の契約ＩＳＰ網に所属する認証サーバのアドレスとＩＳＰ対応仮想ルータ機能部とを特定し、上記特定されたＩＳＰ対応仮想ルータ機能部が、上記ルーティング情報テーブルが示す上記認証サーバと対応する次ホップアドレスに、上記移動端末の認証要求を送信し、
    上記モバイルＩＰ終端機能部が、上記ＩＳＰ接続要求が示す移動端末の気付アドレスと、上記認証要求に応答して上記移動端末に割り当てられたホームアドレスとの関係を上記ユーザ管理テーブルで管理することによって、契約ＩＳＰ網の異なる複数グループの移動端末から送信されたモバイルＩＰ位置登録要求を終端することを特徴とするパケット転送装置。

Images