JP4688160B2

JP4688160B2 - ノード装置およびｉｋｅ継続方法

Info

Publication number: JP4688160B2
Application number: JP2006048433A
Authority: JP
Inventors: 弘一郎大串
Original assignee: Yaskawa Electric Corp
Current assignee: Yaskawa Electric Corp
Priority date: 2006-02-24
Filing date: 2006-02-24
Publication date: 2011-05-25
Anticipated expiration: 2026-02-24
Also published as: JP2007228369A

Description

本発明はMobile IPネットワークシステムにおいてSecurity Architecture for the Internet Protocol（以下IPsecという）を使うノード装置に関するものであり、特にInternet Key Exchange（以下IKEという）が実施されているときにMobile Nodeが移動してもIKE交渉の遅延を防ぐ技術に関する。

Internetに接続されたノード装置のうち、移動して使う場所が変わるようなノード装置（Mobile Nodeのこと、以下MNという）は、通常、所属するHome Linkで割り当てられたIPアドレス（Home Addressのこと、以下HoAという）を固有のアドレスとしており、これを使って通信している。しかしMNが他のLink（Foreign Linkのこと）へ移動すればHoAを使うことができなくなるので、Foreign LinkでCare-of Address（以下CoAという）というIPアドレスを新規に取得して通信しなければならない。
その対策として現在は、MNがForeign Linkに移動してもHoAを固有のアドレスとして使うことができるようにする方策が考えられており、Mobile IPv4ネットワークシステム（例えば非特許文献１参照）やMobile IPv6ネットワークシステム（例えば非特許文献２参照）が提案され一部では実用に供している。

そこで、そのような従来の一般的なMobile IPネットワークシステムについて図を用いて説明する。
図６、７はそれぞれMobile IPv4ネットワークシステムとMobile IPv6ネットワークシステムの接続状況を示しており、それぞれHome LinkとForeign Link 1，2が相互に接続されている。（ａ）はHome Agent（以下HAという）とMNがHome LinkにあってMNが移動する前のものであり、(ｂ)はMNがHome LinkからForeign Link 1に移動した後のものである。MNの移動後はHome LinkにHAがあり、Foreign Link 1にMNがあって，Foreign Link 2にはCorrespondent Node（以下CNという）がある。このCNはMobile IP固有のパケットを理解する機能を備えている。Mobile IPv4ネットワークシステムの場合はForeign Link 1上にForeign Agent（以下FAという）が存在する。
このような接続状況にあって、MNが移動前のHome Linkにあるときは、MNは通常のノード装置と同様の動作をする。MNが移動してForeign Link 1にあるときは、MNはHome Linkで取得したHoAを固有のアドレスとして直接利用することができる。そして、いずれのネットワークシステムでもMNがHAを介してCNと通信することができるようになっている。

次にMNがHome Linkから他のLinkに移動するときの動作について説明する。図８、９はそれぞれMobile IPv4ネットワークシステムとMobile IPv6ネットワークシステムについてMNがHome LinkからForeign Linkに移動したときの一般的な処理手順を説明する図である。
これらの図において、MNが移動する前のHome Linkにあるときは、MNは直接CNと通信をしている（S31,S32,S41,S42）。次にMNがHome LinkからForeign Link 1へ移動すると、MNはそのForeign Link 1で使うことができるCoAを新規に取得する。CoAを取得すると、MNはHAに対してHome Registrationを実施し、他の通信Nodeから送信されるHoA宛のパケットをCoA宛に転送するように登録する（S33,S34,S43,S44）。
この時、Mobile IPv4ネットワークシステムの場合はFAとHAの間で双方向トンネルが構築され、またMobile IPv6ネットワークシステムの場合はMNとHAの間で双方向トンネルが構築されるので、FAとHA、またはMNとHAの間で双方向トンネルを使用したIPsec通信ができるようになる。
その後は、Foreign Link 2にあるCNからMNのHoA宛に送信されたパケットはHome LinkでHAがインタセプトし（S35,S45）、CoA宛のIPヘッダでカプセル化してMNに対してトンネリングを行う（S36,S46）。
Foreign LinkにFAがあるようなMobile IPv4 ネットワークシステムでは、FAがトンネリングパケットを受信するとカプセル化を解除してMNに転送する（S36）。またForeign LinkにFAがないようなMobile IPv4 ネットワークシステム、またはMobile IPv6ネットワークシステムでは、MNがトンネリングパケットを受信するとカプセル化を解除してインナーパケットであるHoA宛のパケットとして処理する（S36）。

これとは逆に、MNからパケットの送信元にHoAを用いたパケットを送信するときは、Mobile IPv4の場合は、リバーストンネリングが使用できればFAが当該パケットをHA宛のIPヘッダでカプセル化してHAに対してリバーストンネリングを行う（S37）。Mobile IPv6の場合は、MNが当該パケットをHA宛のIPヘッダでカプセル化してHAに対してリバーストンネリングを行う（S47）。HAは、リバーストンネリングされたパケットを受信すると、カプセル化を解除してインナーパケットの送信元にHoAを使ったパケットを送信する（S38,S48）。
MNが更に他のLinkへ移動するときは、移動先のLinkで使えるIPアドレスを取得し、上記の手順を繰り返す。こうすることによって、MNがHome Link以外の複数のForeign Link間を移動しても常にHoAを使って他のCNやMNとの間で通信をすることができるようになる。

MNとHA、またはFAとHAの間で使うIPsecは各ノード間でSecurity Association（以下IPsec SAという）が確立されており、これを使って暗号化と認証処理がされる。IPsec SAには暗号化に使う暗号鍵と認証値の両方または何れか一方の算出に使う認証鍵が含まれており、これらはIKEによって動的に管理することができるようになっている。IKEを用いてIPsec SAを動的に管理すればIPsec SAに有効期限を設定して定期的に更新することができ、よりセキュアなIPsec通信ができるようになる。このようなIKEとしてIKEv1（例えば非特許文献３参照）とIKEv2（例えば非特許文献４参照）が提案されている。

次にMobile IPv6ネットワークシステムにおけるIKEv1とIKEv2の適用について図を用いて説明する。
図１０はMobile IPv6ネットワークシステムにIKEv1を適用したときのものであり、MNがHAに対してHome Registrationをするときに使うIPsec SAを確立するためのIKE交渉の処理概要を示すシーケンス図である。MNがHome LinkからForeign Link１へ移動すると、CoAを取得してIKE phase1をAggressive Modeで実施する（S53、S54、S55）。これによってSA for Internet Security Association and Key Management Protocol（以下ISAKMP SAという）が生成され、IPsec SAを生成する際のIKE交渉がセキュアになる。その後、このISAKMP SAを使ったIKE phase2を実施して（S56、S57、S58）IPsec SAを生成するので、MNがHAに対してセキュアなHome Registrationを実施することができるようになる（S59、S5A）。同様に他のIPsec SAについてはISAKMP SAが有効であればIKE phase2のみを実施し、ISAKMP SAの有効期限が切れていればIKE phase1とIKE phase2を実施して必要なIPsec SAを生成することができる。
図１１はMobile IPv6ネットワークシステムにIKEv2を適用したときのものであり、MNがHAに対してHome Registrationをするときに使うIPsec SAを確立するためのIKE交渉の処理概要を示すシーケンス図である。MNがHome LinkからForeign Link１へ移動すると、CoAを取得してIKE_SA_INIT exchangeを実施する（S63、S64）。これによってIKE SAが生成され、セキュアなIKE交渉ができて相手先ノードの認証とIPsec SAを確立することができるようになる。その後、このIKE SAを使ってIKE_AUTH exchangeを実施して相手先ノードの認証を行い（S65、S66）、続いてCREATE_CHILD_SA exchangeを実施し（S67、S68）、IPsec SAが確立され、MNがHAに対してセキュアなHome Registrationを実施することができるようになる（S69、S6A）。同様に他のIPsec SAについても、IKE SAが有効であればCREATE_CHILD_SA exchangeのみを実施して必要なIPsec SAを生成することができ、IKE SAの有効期限が切れた後であればIKE_SA_INIT exchangeと、IKE_AUTH exchange、CREATE_CHILD_SA exchangeを実施することによって、必要なIPsec SAを生成することができる。
このようにすることによって、Mobile IPネットワークシステムにおいてIKEを利用することが可能となる。

IP Mobility Support for IPv4（RFC3344）、2002、C. Perkins, Ed.：（URL 1140761303346_0.txt） Mobility Support in IPv6（RFC3775）、2004、D. Johnson、C. Perkins、J. Arkko：（URL http://www.ietf.org/rfc/rfc3775.txt） The Internet Key Exchange（IKE）（RFC2409）、1998、Dan Harkins、Dave Carrel：（URL http://www.ietf.org/rfc/rfc2409.txt） Internet Key Exchange（IKEv2）Protocol（RFC4306）、2005、C.Kaufman、Ed：（URL http://www.ietf.org/rfc/rfc4306.txt）

上記のような従来技術においては、IKE交渉を開始する契機は特に規定されていないものの、IPsec SAを使ったパケットを送信する際に対応するIPsec SAが確立できていない場合にはIKE交渉を開始する必要がある。また、MNのLink間移動が常に発生しうるものであるため、IKE交渉中であっても発生する可能性がある。
このような状況における課題として、payload packetにIPsecを使用する場合のMobile IPv6ネットワークにIKEv1を適用した場合を例にとって説明する。
MNがInitiatorとして動作する場合の例を図１２に示す。図１２においてMNがForeign Link１へ移動し、CoA1を生成してHAに対するHome Registrationが完了した（S71、S72）後に、CNに対してHoAを使用したパケットを送信するときは、MNとHAの間に必要なIPsec SAが確立されていなければ、MNがHAに対してIKE交渉を開始する（S73）。IKE交渉を開始した直後のIKE交渉中にMNがForeign Link１からForeign Link２へ移動すると、HAからのIKE交渉に対する応答パケットはMNへ到達できなくなってしまう（S74）。このためIKE交渉は失敗してしまい、MNが次にCNに対してHoAを使用したパケットを送信するときにIKE交渉が開始され（S77）、MNからCNに送信するパケットが遅延するという課題があった。
次にHAがInitiatorとして動作する場合の例を図１３に示す。図１３においてMNがForeign Link１へ移動し、CoA1を生成してHAに対するHome Registrationを完了した（S81、S82）後に、CNからMNのHoAに対して送信されたパケットをHAがインタセプトした（S83）ときに、HAとMNの間に必要なIPsec SAが確立していなければ、HAがMNに対してIKE交渉を開始する必要がある。しかしIKE交渉を開始したときが、MNがForeign Link１からForeign Link２へ移動していた後であれば、HAが開始したIKE交渉の要求パケットはMNへ到達することができない（S84）。このためIKE交渉は失敗してしまい、次にCNからMNのHoAに対して送信されたパケットをHAがインタセプトしたときにIKE交渉が開始され（S87）、CNからMNに送信するパケットが遅延するという課題があった。

本発明の目的は、かかる従来技術の課題を解決し、IKE交渉中にMNがLink間を移動した場合であっても、移動先のLinkで取得したCoAを用いて直ちにIKE交渉を開始できるようにし、IPsec SA生成とパケット送信の遅延を防ぐことにある。

上記問題を解決するために、本発明は次のように構成したのである。
すなわち、本発明第１の構成によるノード装置は、IPsecとIKEが使用されるHome Link上のHome Agentに、IPsecとIKEが使用されるForeign Link上のMobile NodeのHome Addressを登録することにより、前記Mobile NodeがどのForeign Link上にあっても、前記Home Addressを使ったパケット通信をすることができるMobile IPネットワークシステムにおいて使用され、前記Mobile Nodeとして機能するため、アドレスを管理するアドレス管理部と、IKE交渉をするIKE交渉部を含み、Initiatorとして前記Home AgentとIKE交渉を実施しているときに、第１のForeign Linkとは別の第２のForeign Linkへ移動した場合には、前記アドレス管理部は、第１のForeign Linkで使用していた第１のCare-of AddressがOff-link Addressとなったことを前記IKE交渉部へ通知し、第２のForeign Linkで使用する第２のCare-of Addressを取得し、前記IKE交渉部は、IKE交渉中のIKE交渉情報をIKE中断リストに格納してIKE交渉を中断し、前記アドレス管理部から第２のCare-of Addressを取得して、前記IKE中断リストに格納された前記IKE交渉情報を基にしてIKE交渉を再開することを特徴としている。
また、本発明第２の構成によるノード装置は、IPsecとIKEが使用されるHome Link上のHome Agentに、IPsecとIKEが使用されるForeign Link上のMobile NodeのHome Addressを登録することにより、前記Mobile NodeがどのForeign Link上にあっても、前記Home Addressを使ったパケット通信をすることができるMobile IPネットワークシステムにおいて使用され、前記Home Agentとして機能するため、IKE交渉をするIKE交渉部と、Registrationを実施するRegistration管理部を含み、Initiatorとして前記Mobile NodeとIKE交渉を実施しているときに、前記Mobile Nodeが第１のForeign Linkとは別の第２のForeign Linkへ移動した場合には、前記Registration管理部は、前記Mobile Nodeから実施されるHome Registrationにより、前記Mobile Nodeが登録している第１のCare-of Addressが第２のCare-of Addressに更新されたことを前記IKE交渉部へ通知し、前記IKE交渉部は、前記Registration管理部からの通知に基づいて、実施中のIKE交渉を中断して第２のCare-of Addressを使ったIKE交渉を再開することを特徴としている。
また、本発明第３の構成によるIKE継続方法は、IPsecとIKEが使用されるHome Link上のHome Agentに、IPsecとIKEが使用されるForeign Link上のMobile NodeのHome Addressを登録することにより、前記Mobile NodeがどのForeign Link上にあっても、前記Home Addressを使ったパケット通信をすることができるMobile IPネットワークシステムにおいて使用され、前記Mobile NodeがInitiatorとして前記Home AgentとIKE交渉を実施しているときに、前記Mobile Nodeが第１のForeign Linkとは別の第２のForeign Linkへ移動した場合には、第１のForeign Linkで使用していた第１のCare-of AddressがOff-link Addressとなったことを確認するアドレス状態確認手順と、IKE交渉中のIKE交渉情報をIKE中断リストとして保有してIKE交渉を中断するIKE中断手順と、第２のForeign Linkで使用する第２のCare-of Addressを取得し、前記IKE中断リストに格納されている前記IKE交渉情報を基にしてIKE交渉を再開するIKE再開手順と、によってIKE交渉を維持することを特徴としている。
また、本発明第４の構成によるIKE継続方法は、IPsecとIKEが使用されるHome Link上のHome Agentに、IPsecとIKEが使用されるForeign Link上のMobile NodeのHome Addressを登録することにより、前記Mobile NodeがどのForeign Link上にあっても、前記Home Addressを使ったパケット通信をすることができるMobile IPネットワークシステムにおいて使用され、前記Home AgentがInitiatorとして前記Mobile NodeとIKE交渉を実施しているときに、前記Mobile Nodeが第１のForeign Linkとは別の第２のForeign Linkへ移動した場合には、前記Mobile Nodeから前記Home Agentに対して実施されるHome Registrationにより、前記Mobile Nodeが登録している第１のCare-of Addressが第２のCare-of Addressに更新されたことを確認するアドレス状態確認手順と、実施中であるIKE交渉を中断するIKE中断手順と、第２のCare-of Addressを使用したIKE交渉を再開するIKE再開手順と、によってIKE交渉を維持することを特徴としている。

このようになっているので、IKE交渉中にMNがLink間を移動しても、移動先のLinkで取得したCoAを用いて直ちにIKE交渉を開始することができ、IPsec SA生成のための遅延を防ぐことができるのである。

第１及び第３の発明によれば、IKE交渉中にMNが別のLinkへ移動しても、IKE交渉部がアドレス管理部から移動先のLinkで使えるCoAを取得するので、CoAを取得した直後からIKE交渉を開始することができてIPsec SA生成の遅延を防ぐことができるのである。
また、第２及び第４の発明によれば、IKE交渉中にMNが別のLinkへ移動しても、MNのHome RegistrationによってCoAが更新されたことをRegistration管理部がIKE交渉部に通知するので、MNが新たなCoAをHAに登録した直後からIKE交渉を開始することができてIPsec SA生成の遅延を防ぐことができるのである。

以下、本発明の実施の形態として、Mobile IPv6ネットワークシステムにIPsecとIKEv1を適用した場合について図１〜図５に基づいて説明する。

まず図３を用いてノード装置の構成について説明する。ノード装置１は、ノード装置１が保持するIPアドレスの状態を管理するアドレス管理部２と、Mobile IP機能の一部であってMNから受信したHoA登録情報を管理するRegistration管理部４、IKE機能の一部であってIKE交渉の情報を管理するIKE交渉部３を備えている。IKE交渉部３はアドレス管理部２またはRegistration管理部４の通知を受けてIKE交渉の中断か開始を判定することができるようになっている。

図１はMN機能を持つノード装置の処理概要を説明するシーケンス図である。MNがForeign Link１に移動すると、生成したCoA1についてHAに対してHome Registrationを実施することによりHome Linkにあるときと同様に、HoAを使った通信をすることができる（S11、S12）。その後、CNに対してHoAを使用したパケットを送信するときは、MNとHAの間に必要なIPsec SAが確立されていなければ、MNがHAに対してIKE交渉を開始する（S13）。しかしIKE交渉を開始した直後にMNがForeign Link１からForeign Link２へ移動すると、IKE交渉に対するHAの応答パケットはMNへ到達できなくなってしまうので（S14）、この時、MNはCoA1がOff-link AddressとなったことによってIKE交渉を中断する。
その後、MNがForeign Link２でCoA2を生成してHAに対してHome Registrationを実施する（S15、S16）。さらにMNは、CoA1がOff-link Addressとなったことにより中断していたIKE交渉をCoA2を用いて開始し（S17、S18、S19、S1A、S1B、S1C）、IPsec SAを確立する。その後はIPsec SAがすでに存在しているため、IKE交渉を実施することなくMNがHoAを使ったパケットをCNに送信することができるのである。

MN機能を持つ上記のノード装置の処理手順について、図４のフローチャートを用いて詳細に説明する。
MNのIKE交渉部３でIKE交渉が開始されると（F11）、MNのLink間移動によりCoA1がOff-link Addressとなったことをアドレス管理部２が検知し（F19）、そのことをアドレス管理部２がIKE交渉部３に通知する（F1A）。通知を受けたIKE交渉部３は実施中のIKE交渉を中断し（F12）、そのときのIKE交渉情報をIKE中断リストに格納する（F13）。その後、IKE交渉部３からアドレス管理部２に新たなOn-link Addressの取得要求が出され（F14）、この要求を受けたアドレス管理部２が、Foreign Link２で生成したCoA2をIKE交渉部３に通知する（F1B）。ここでアドレス管理部２がOn-Link Addressを管理していなければOn-link Address無しがIKE交渉部３に返され、これ以降、IKE交渉部３から定期的にOn-link Addressの取得要求が出されることになる。
新たなOn-link AddressとなったCoA2を受けるとIKE交渉部３は、IKE中断リストからIKE交渉情報を取得し（F15）、CoA2とIKE交渉情報によってIKE交渉を開始する（F16）。その後、IKE交渉が正常に完了すると（F17）新たなIPsec SAが確立され（F18）、IKE交渉によって遅延することなくMNがパケットを送信することができるのである。

次にHA機能を持つノード装置がIKE交渉のInitiatorとなる場合について説明する。
図２はHA機能を持つノード装置の処理概要を示すシーケンス図である。MNがForeign Link１に移動すると、生成したCoA1についてHAに対してHome Registrationを実施することによりHome Linkにあるときと同様にHoAを使った通信をすることができるようになる（S21、S22）。その後、CNからMNのHoAに対して送信されたパケットをHAがインタセプトした（S23）ときは、HAとMNの間に必要なIPsec SAが確立されていなければ、HAがMNに対してIKE交渉を開始する（S24）。しかしIKE交渉を開始する直前にMNがForeign Link１からForeign Link２へ移動してしまうと、IKE交渉の要求応答パケットはMNへ到達できなくなってしまう（S24）。
その後、MNがForeign Link２でCoA2を生成し、HAに対してHome Registrationを実施する（S25、S26）。そしてHAは、CoA1がCoA2に更新されたことを認識し、CoA1を用いたIKE交渉を中断してCoA2を用いたIKE交渉を開始し（S27、S28、S29、S2A、S2B、S2C）、IPsec SAを確立する。その後はIPsec SAがすでに存在しているため、IKE交渉を実施することなくCNからMNのHoAにパケットを転送することができるのである。

HA機能を持つ上記のノード装置の処理手順について、図５のフローチャートを用いて詳細に説明する。
HAのIKE交渉部３でIKE交渉が開始されると（F21）、MNのLink間移動によりMNのHome Registrationが完了し（F26）、CoA1がCoA2に更新されたことRegistration管理部４が検知してIKE交渉部３に通知する（F27）。この通知を受けたIKE交渉部３は実施中のIKE交渉を中断し（F22）、CoA2とIKE交渉情報によってIKE交渉を開始する（F23）。その後、IKE交渉が正常に完了すると（F24）新たなIPsec SAが確立され（F25）、IKE交渉によって遅延することなくCNがMNのHoAに送信パケットを転送することができるようになるのである。

IPsecとIKEが使われるMobile IPネットワークシステムにおいて、例えばリモートメンテナンスなど、常にリアルタイムな情報を必要とする場合に、ノード間で実施されるIPsecを用いた通信の遅延を削減する手段として有用である。

本発明のMN機能を持つノード装置の処理概要を示すシーケンス図本発明のHA機能を持つノード装置の処理概要を示すシーケンス図本発明のノード装置構成を示すシステム概要図 MN機能を持つノード装置の処理手順を示すフローチャート HA機能を持つノード装置の処理手順を示すフローチャート Mobile IPv4 Network System Mobile IPv6 Network System 従来のMobile IPv4ネットワークシステムにおけるＭＮ移動時の処理概要を示すシーケンス図従来のMobile IPv6ネットワークシステムにおけるＭＮ移動時の処理概要を示すシーケンス図従来のMobile IPv6ネットワークシステムにおけるIKEv1の処理概要を示すシーケンス図従来のMobile IPv6ネットワークシステムにおけるIKEv2の処理概要を示すシーケンス図従来のMobile IPv6ネットワークシステムおよびIKEv1におけるIKE中の移動に伴う処理概要を示すシーケンス図（MN機能を持つノード装置）従来のMobile IPv6ネットワークシステムおよびIKEv1におけるIKE中の移動に伴う処理概要を示すシーケンス図（HA機能を持つノード装置）

符号の説明

１ノード装置
２アドレス管理部
３ IKE交渉部
４ Registration管理部
HA Home Agent
HoA Home Address
CoA Care-of Address
FA Foreign Agent
MN Mobile Node
CN Correspondent Node
IPsec SA Security Association for IPsec

Claims

IPsecとIKEが使用されるHome Link上のHome Agentに、IPsecとIKEが使用されるForeign Link上のMobile NodeのHome Addressを登録することにより、前記Mobile NodeがどのForeign Link上にあっても、前記Home Addressを使ったパケット通信をすることができるMobile IPネットワークシステムにおいて使用され、
前記Mobile Nodeとして機能するため、アドレスを管理するアドレス管理部と、IKE交渉をするIKE交渉部を含み、
Initiatorとして前記Home AgentとIKE交渉を実施しているときに、第１のForeign Linkとは別の第２のForeign Linkへ移動した場合には、
前記アドレス管理部は、第１のForeign Linkで使用していた第１のCare-of AddressがOff-link Addressとなったことを前記IKE交渉部へ通知し、第２のForeign Linkで使用する第２のCare-of Addressを取得し、
前記IKE交渉部は、IKE交渉中のIKE交渉情報をIKE中断リストに格納してIKE交渉を中断し、前記アドレス管理部から第２のCare-of Addressを取得して、前記IKE中断リストに格納された前記IKE交渉情報を基にしてIKE交渉を再開する
ことを特徴とするノード装置。
IPsecとIKEが使用されるHome Link上のHome Agentに、IPsecとIKEが使用されるForeign Link上のMobile NodeのHome Addressを登録することにより、前記Mobile NodeがどのForeign Link上にあっても、前記Home Addressを使ったパケット通信をすることができるMobile IPネットワークシステムにおいて使用され、
前記Home Agentとして機能するため、IKE交渉をするIKE交渉部と、Registrationを実施するRegistration管理部を含み、
Initiatorとして前記Mobile NodeとIKE交渉を実施しているときに、前記Mobile Nodeが第１のForeign Linkとは別の第２のForeign Linkへ移動した場合には、
前記Registration管理部は、前記Mobile Nodeから実施されるHome Registrationにより、前記Mobile Nodeが登録している第１のCare-of Addressが第２のCare-of Addressに更新されたことを前記IKE交渉部へ通知し、
前記IKE交渉部は、前記Registration管理部からの通知に基づいて、実施中のIKE交渉を中断して第２のCare-of Addressを使ったIKE交渉を再開する
ことを特徴とするノード装置。
IPsecとIKEが使用されるHome Link上のHome Agentに、IPsecとIKEが使用されるForeign Link上のMobile NodeのHome Addressを登録することにより、前記Mobile NodeがどのForeign Link上にあっても、前記Home Addressを使ったパケット通信をすることができるMobile IPネットワークシステムにおいて使用され、
前記Mobile NodeがInitiatorとして前記Home AgentとIKE交渉を実施しているときに、前記Mobile Nodeが第１のForeign Linkとは別の第２のForeign Linkへ移動した場合には、
第１のForeign Linkで使用していた第１のCare-of AddressがOff-link Addressとなったことを確認するアドレス状態確認手順と、
IKE交渉中のIKE交渉情報をIKE中断リストとして保有してIKE交渉を中断するIKE中断手順と、
第２のForeign Linkで使用する第２のCare-of Addressを取得し、前記IKE中断リストに格納されている前記IKE交渉情報を基にしてIKE交渉を再開するIKE再開手順と、
によってIKE交渉を維持することを特徴とするIKE継続方法。
IPsecとIKEが使用されるHome Link上のHome Agentに、IPsecとIKEが使用されるForeign Link上のMobile NodeのHome Addressを登録することにより、前記Mobile NodeがどのForeign Link上にあっても、前記Home Addressを使ったパケット通信をすることができるMobile IPネットワークシステムにおいて使用され、
前記Home AgentがInitiatorとして前記Mobile NodeとIKE交渉を実施しているときに、前記Mobile Nodeが第１のForeign Linkとは別の第２のForeign Linkへ移動した場合には、

前記Mobile Nodeから前記Home Agentに対して実施されるHome Registrationにより、前記Mobile Nodeが登録している第１のCare-of Addressが第２のCare-of Addressに更新されたことを確認するアドレス状態確認手順と、
実施中であるIKE交渉を中断するIKE中断手順と、
第２のCare-of Addressを使用したIKE交渉を再開するIKE再開手順と、によってIKE交渉を維持することを特徴とするIKE継続方法。