JP5059872B2 - モバイルｉｐプロキシ - Google Patents

Description

本発明は、モバイルＩＰの解決に関し、特に、モバイルＩＰ環境における中間ネットワークの取り扱いのための解決に関する。

固定型の及びモバイルによる通信の進化における１つの“ホットな”トピックは、マルチアクセス、即ち、複合的なアクセス技術により同一のサービスセットにアクセスする機能性である。想定されるアクセス技術には、３ＧＰＰにより定義されたアクセス（２Ｇ、３Ｇ、ＬＴＥ）及び３ＧＰＰにより定義された以外の技術（例えば、ＷＬＡＮ、ＷｉＭＡＸ、ＤＳＬ）が含まれる。マルチアクセスの１つの特別な側面は、セッション継続性（session continuity）、即ち、進行中のサービスセッションを中断させることなく、異なるアクセス技術間をユーザが移動するための機能性である。

セッション継続性を可能にする重要な技術は、モバイルＩＰ（ＭＩＰ）である。ＭＩＰは、現在のインターネットへの接続点（ＰｏＡ：point of attachment）に関わらず、安定したＩＰアドレス（所謂ホームアドレス）を端末が用いることを可能にする。また、端末は、当該端末の現在のＰｏＡを表すローカルＩＰアドレス（所謂気付アドレス（Care-of Address））をも用いるであろう。モバイルＩＰは、これらローカルアドレスを、端末上で実行されるアプリケーションから隠蔽する。

３ＧＰＰアクセスを伴う典型的なケースでは、モバイル事業者（ＭＯ：mobile operator）はアクセス（無線ネットワーク）を所有し、エンドカスタマ（加入者）との関係を有する。例えばＷＬＡＮ及びＷｉＭＡＸなどの非３ＧＰＰアクセスを伴うケースでは、モバイル事業者は、全てのアクセスネットワークを所有はしないであろう。その代わりに、ＭＯは、ＭＯの加入者にＭＯのサービスへのアクセスを非３ＧＰＰアクセス上で可能とするとするアクセスネットワークプロバイダ（例えば、ＷＬＡＮホットスポット事業者）との間で、ビジネスの合意（business agreement）をなすであろう。

これらビジネスの側面は、ローミングシナリオ上にも重要性を有する。３ＧＰＰのローミングシナリオにおいては、図１に示しているように、２つの事業者のみが含まれる；訪問先（visited）事業者２及びホーム（home）事業者３である。非３ＧＰＰアクセスにおけるローミングの際には、次のビジネスエンティティが含まれる；非３ＧＰＰアクセスプロバイダ１、訪問先事業者２、及びホーム事業者３である。この場合、ビジネスの合意７が、ホーム及び訪問先事業者の間、並びに訪問先事業者及び非３ＧＰＰアクセスプロバイダの間に存在し、ホーム事業者及び非３ＧＰＰ ＩＰアクセスプロバイダの間には存在しない。

“モバイルＩＰプロキシ”という用語は、これまで様々な文脈で使用されてきた：
・ＶＰＮゲートウェイを横断するＭＩＰｖ４をサポートする手段としてのＭＩＰプロキシ。ここでのＭＩＰプロキシは、常にＶＰＮゲートウェイと共に使用される。
・ホームリンクへのリンク層の依存を除去しＩＰ層でＨＡを配信するための拡張されたＭＩＰｖ６のプロトコル。ＭＩＰプロキシは、ローカル移動性管理（Local Mobility Management）及びルート最適化のために導入される。

上記言及において、ＭＩＰプロキシは、本発明において提案されるＭＩＰプロキシとは別の目的のために異なる手続を以って使用される。従って、引用文献は、従来技術として取り入れられない。

スリーネットワークモデルにおいて、ユーザ認証シグナリングなどの制御プレーンシグナリング４は、典型的には、訪問先ネットワーク（ＶＮ）２により中継される（プロキシされる）。これは、多くの場合、非３ＧＰＰアクセスネットワーク１がホームネットワーク３をどのように発見するかを知り得ないためであり、及びその逆もまたしかりである。これは、当該２つのネットワーク間での相互の合意又は相互接続の設定が存在しないことによる結果である。

しかしながら、ユーザプレーン（ＵＰ）５が訪問先（中間）ネットワーク２により中継されるか、及びどのように中継されるかについては明確ではない。ＶＮを通してトラフィックを中継する理由は、ＶＮ事業者が、ユーザトラフィックに対して、例えば課金、ポリシーの強制又は合法的な傍受などのコントロールを行うことを可能にするためである。ユーザプレーンは、訪問先ネットワーク２に関わることなく、アクセスネットワーク１からホームネットワーク３へバイパスされてもよい。このシナリオにおいては、訪問先ネットワーク事業者は、トラフィックをコントロールして上述したサービスを扱うことができない。

モバイルＩＰプロトコルは、端末とホームネットワークとの間の移動性及びＵＰルーティングを制御するが、ここでは特に触れない。その基本的な形式におけるモバイルＩＰは、２つのネットワークレベルのみをサポートする：
１．アクセスネットワーク（アクセスルータ、外部エージェントを伴う）
２．ホームネットワーク（ホームエージェントを伴う）

モバイルＩＰは、アクセスネットワーク内のＭＮ又は外部エージェントとホームネットワーク内のホームエージェントとの間のＵＰトンネルをセットアップする。ＭＩＰ内には、従って、訪問先ネットワークという概念は存在しない。その代わりに、ＵＰトラフィックは、通常通りのＩＰルーティングの仕組みを用いて、アクセスネットワークとホームネットワークとの間でルーティングされるであろう。

ＵＰトラフィックに強制的にＶＮを通過させる既存の（又は未来の）可能性には、様々なものがある。それについて以下に簡単に議論する：

（端末ベースのアプローチ）
階層的なモバイルＩＰ（ＨＭＩＰ：Hierarchical Mobile IP）は、例えば訪問先ネットワークにおいて中間的なレベルを導入するために使用され得るＭＩＰの拡張である。一方、ＨＭＩＰに伴う問題は、端末においてＨＭＩＰの機能性が求められることである。それにより、端末の複雑さと、おそらくはコストも増大する。

ＭＮ及びＶＮの間のＩＰＳｅｃトンネルは、代替手段として使用され得る。この解決策もまた、端末への重大なインパクトを有する。

（スタティックトンネル／ルートアプローチ）
ＵＰトラフィックに強制的にＶＮを通過させる他の代替手段は、スタティックルート又はスタティックトンネルをアクセスネットワークとＶＮとの間、及びＶＮとＨＮとの間にセットアップすることである。これら代替手段の欠点は、非３ＧＰＰアクセスネットワークに要件を課すことである。ＭＯは非３ＧＰＰアクセスを所有せず運用しないため、ＭＯに特有の要件を非３ＧＰＰアクセスに課すことは避ける方が都合がよい。さらに、非３ＧＰＰアクセスプロバイダは、ＭＯの特有の特性を要求することが技術的及び経済的に難しい、非常に“余裕の無い（lean）”エンティティ（例えばコーヒーショップのＷＬＡＮホットスポットプロバイダなど）であるかも知れない。

（ネットワークベースの移動性スキーム）
プロキシＭＩＰ（ＰＭＩＰ：Proxy MIP）及びＮｅｔＬＭＭなどのネットワークベースの移動性スキームを用いることができる。この代替手段は、ネットワークベースの移動性プロトコルをサポートしなければならないことから、一層多くの所望の要件を非３ＧＰＰアクセスネットワークに課す。また、例えばイントラアクセスの移動性のためのＰＭＩＰなどを既に使用しているアクセス技術のためにこの代替手段を使用することは困難である。その場合、２つの移動性スキームの使用は（可能であれば）調整されなければならない。

“モバイルＩＰプロキシ”機能が訪問先（中間）ネットワークに導入される。ＭＩＰプロキシは、ＵＰトラフィックをいつでも訪問先ネットワークを介して中継させることを可能とする階層における中間的なレベルを導入する。モバイルＩＰシグナリングは、ＭＩＰ ＵＰトンネルが次の２つの部分に分割されるように修正される：
１）ＭＮ／ＦＡとＭＩＰプロキシとの間
２）ＭＩＰプロキシとＨＡとの間

ＭＩＰプロキシの目的は、ＭＩＰトンネルされたＵＰトラフィックがいつでも訪問先ネットワークを介してトンネルされることを保証することである。これは、訪問先の事業者にとっての例えば課金、ポリシーの強制又は合法的な傍受など、ＵＰのコントロールの機会を増加させるであろう。本発明は、モバイルＩＰｖ４及びモバイルＩＰｖ６の双方に適用され得る。

本発明は複数の観点において実現されるが、そのうちの第１は、通信ネットワーク内の中間ネットワーク内での使用のための、当該中間ネットワーク内の通信トラフィックを制御する基盤装置であって、ホームネットワークと訪問ノードとの間の通信のためのモバイルＩＰプロキシとして動作する手段、を備え、上記装置は、モバイルＩＰアドレス変換機能を用いて、アクセスネットワークを介してホームネットワークと訪問ノードとの間でユーザプレーンのパケットを中継するための通信の構成を有する、基盤装置、である。

上記装置は、さらに、認証、承認及びアカウンティング（ＡＡＡ）プロトコルのシグナリングを用いて、変換テーブルをセットアップするための手段、を備えてもよい。

上記アドレス変換機能は、気付アドレスの割当てを含んでもよく、又はドメインネームサービス（ＤＮＳ）のルックアップの割当てを含んでもよい。

上記装置は、さらに、新たな認証コードを取得し、中継されるユーザプレーンのパケット内の認証コードを当該取得した認証コードに置き換えるよう構成されてもよい。

上記装置は、さらに、委任された固定的な鍵と上記モバイルノードの上記ホームネットワークから取得された委任された一時的な鍵とのうちの１つを用いて新たなコードを計算することにより新たなコードを取得するよう構成されてもよい。

本発明の別の観点として、通信ネットワーク内のトラフィックの流れを制御するための方法であって、ホームエージェントネットワークとアクセスネットワークとの間の中間ネットワーク内のモバイルＩＰプロキシのインターネットプロトコル（ＩＰ）アドレスを、一時的なホームエージェントのアドレスとして、上記アクセスネットワークに接続された訪問ノードへ送信するステップと、上記モバイルＩＰプロキシ内で上記訪問ノードについてのホームエージェントアドレスを実際のホームエージェントアドレスのアドレスに設定するステップと、上記訪問ノードと上記ホームエージェントとの間で上記モバイルＩＰプロキシを通してユーザプレーンのトラフィックを中継するステップと、を含む方法、が提供される。

上記方法は、上記訪問ノードを認証するためのセキュリティ機能を実行するステップ、をさらに含んでもよい。

上記セキュリティ機能は、例えばＲａｄｉｕｓ又はＤｉａｍｅｔｅｒに従った認証、承認及びアカウンティング（ＡＡＡ）プロトコルを含んでもよい。

上記方法は、認証コードを取得するステップと、中継されるコンテンツ情報パケット内の認証コードを当該取得した認証コードに置き換えるステップと、をさらに含んでもよい。

上記認証コードを取得するステップは、委任された固定的な鍵と委任された一時的な鍵とのうちの１つを用いて新たなコードを計算することを含んでもよい。

本発明のまた別の観点として、アクセスネットワークとホームネットワークとの間に位置する中間的な通信ネットワーク内でユーザプレーンのトラフィックを制御するためのシステムであって、モバイルＩＰプロキシと認証、承認及びアカウンティング（ＡＡＡ）サーバとを含み、上記モバイルＩＰプロキシは、ユーザデータを認証するための認証鍵を取得し、及び上記アクセスネットワークに接続されたモバイルノードと上記ホームネットワークとの間で、アドレス変換機能を用いてユーザデータを中継するために、上記ＡＡＡサーバを使用するように構成される、システム、が提供される。

本発明のまた別の観点として、アクセスネットワークとホームネットワークとの間に位置する中間的な通信ネットワーク内でユーザプレーンのトラフィックの制御を機能させるためのコンピュータプログラムであって、上記中間ネットワーク内のモバイルＩＰプロキシのインターネットプロトコル（ＩＰ）アドレスを、一時的なホームエージェントのアドレスとして、上記アクセスネットワークに接続された訪問ノードへ送信し、上記モバイルＩＰプロキシ内で上記訪問ノードについてのホームエージェントアドレスを実際のホームエージェントアドレスのアドレスに設定し、上記訪問ノードと上記ホームエージェントとの間で上記モバイルＩＰプロキシを通してユーザプレーンのトラフィックを中継する、ための命令セットを含む、コンピュータプログラム、が提供される。

既存の解決策と比較した本発明の利点には、次のことが含まれる。
・端末へのインパクトがない。
‐ＨＭＩＰによる代替手段は端末のサポートを必要とする。
・非３ＧＰＰアクセスネットワークへのインパクトがない。
‐アクセスネットワークとＶＮとの間の固定的なトンネル及び／又は特有のルーティング構成を用いたセットアップは、アクセスネットワーク内の機能性を必要とする。
・動的な活性化が容易である。
‐ＭＩＰプロキシの使用は、ＶＮ及び／又はＨＮによりセッションごとの基準でセッションのセットアップにおいて動的に制御され得る。
‐ＨＭＩＰ及びスタティックトンネルによる代替手段は、セッションごとの基準での使用が難しい（不可能か？）。
・ユーザプレーンのオーバヘッドがない。
‐ＨＭＩＰ及びスタティックトンネルによるアプローチは、ＵＰトンネリングオーバヘッドを与える。

本発明のこれらの及び他の観点は、これ以降に説明される実施形態を参照しながら明確かつ明瞭となるであろう。

以下に、本発明は、添付図面に描かれた一例としての実施形態を参照しながら、限定ではない形でより詳細に説明される。

既知の技術に係る典型的なネットワークの状況を概略的に示している。 本発明に係るネットワークアーキテクチャを概略的に示している。 本発明に係るネットワークの状況を概略的に示している。 本発明の一実施形態に係るシグナリングのスキームを概略的に示している。 モバイルＩＰｖ４についての本発明の他の２つの実施形態に係るシグナリングのスキーム（の１つ）を概略的に示している。 モバイルＩＰｖ４についての本発明の他の２つの実施形態に係るシグナリングのスキーム（の１つ）を概略的に示している。 モバイルＩＰｖ６についての本発明の他の実施形態に係るシグナリングのスキームを概略的に示している。 本発明に係る基盤装置（Infrastructure device）を概略的に示している。

図２において、参照番号２００は、本発明に係る通信ネットワークを一般的に示している。そのネットワークは、この場合、３つの異なるネットワーク部分：ホームネットワーク２０１（ＨＮ）、訪問先ネットワーク２０２（ＶＮ）、及びアクセスネットワーク２０３（ＡＮ）を含む。例えば、移動局２０９若しくはラップトップ２１０又は他の何らかのユーザ機器（ＵＥ）であるモバイルノード（ＭＮ）として多くの場合言及される訪問ノード（visiting node）は、例えばＧＰＲＳ、ＵＭＴＳ、ＷＣＤＭＡ若しくは同様のパケットベースの通信プロトコルに準拠したインタフェースなど、何らかの無線インタフェースを通して、アクセスネットワーク２０３との間で通信を行う。本発明において、アクセスネットワーク２０３内に位置するアクセスゲートウェイ（例えばアクセスルータ又はアクセスポイント）２０８（ＡＲ）は、ＵＥをネットワーク２００へ接続する。アクセスゲートウェイ２０８はさらにモバイルＩＰ（ＭＩＰ）プロキシと接続され、モバイルＩＰ（ＭＩＰ）プロキシはさらにホームネットワーク２０１内のホームエージェント２０５（ＨＡ）と接続される。ＭＩＰプロキシは、通信セッションに関連するネットワーク２００内で認証、承認及びアカウンティングサービスを扱うために、訪問先ネットワーク２０２内のＡＡＡサーバ２０６（ｖＡＡＡ）との間の通信を有する。また、ホームエージェントは、同じ目的で、ホームネットワーク内のＡＡＡサーバ２０４（ｈＡＡＡ）との間の通信を有する。これらＡＡＡサーバは、当業者には理解されるように、例えば、ユーザの認証又は課金の件の取り扱いのために用いられ、特定のユーザについて利用可能なサービスについての通信などを行う。ＭＩＰバージョン４において、ＵＥは外部エージェント（ＦＡ）との間で通信をしてもよく、その場合外部エージェントは例えばアクセスゲートウェイ２０８であってもよいが、アクセスネットワークの（図示しない）他の部分が外部エージェントとして動作してもよいことは理解されるべきである。ＦＡの概念は、ＭＩＰバージョン６のネットワークについては使用されない。

ＵＰトラフィックがＶＮを通してルーティングされることを保証するために、ＶＮ内にＭＩＰプロキシが導入される。

ＭＩＰプロキシ２０７は、ＭＩＰに関連するシグナリング及びＵＰトンネルのための、制御プレーン（ＣＰ）及びユーザプレーン（ＵＰ）のプロキシである。ＭＩＰプロキシ２０７は、本質的には、ＵＥ２０９、２１０に対してはＨＡ、ＨＡ２０５に対してはＵＥとして動作する。ＭＩＰプロキシの解決策の目標は、ＵＥ２０９、２１０に対して透過的となることである。実装手段に依存し、ＭＩＰプロキシは、ＨＡに対しても透過的であってよい。しかしながら、ホーム事業者は、ＶＮにおいてＭＩＰプロキシが使用されているかを知ることを求める可能性があり、従ってＨＮに対しての透過性は必ずしも望まれない。

図３は、アクセスネットワーク３０１及び第１ホップのルータ３０７と通信するモバイルノード（ＭＮ）３０６を伴う本発明に係るネットワークの一例を示している。当該アクセスネットワークは、ホームエージェント（ＨＡ）３０９を伴うホームネットワーク３０３に対して、直接的に又は中間ノードとして動作するＭＩＰプロキシ３０８を伴う訪問先ネットワーク３０２を介するコンタクトを有する。このシナリオにおいては、次の２つの状況があてはまる：２つの異なるユーザプレーン（ＵＰ）ＭＩＰトンネルがセットアップされ得る：１つは、訪問先ネットワークにＭＩＰプロキシ３０８が存在しない場合のＨＡ３０９への直接のトンネル３０５であり、１つは、訪問先ネットワーク３０２にＭＩＰプロキシ３０８がインストールされている場合に当該ＭＩＰプロキシ３０８を介するＨＡ３０９へのトンネル３０４である。

ＭＩＰによりトンネルされるＵＰがＭＩＰプロキシ３０８を介して中継されるために、ＭＮ３０６、ＭＩＰプロキシ３０８及びＨＡ３０９は、ホームアドレス、ＨＡのＩＰアドレス、及び気付アドレス（ＣｏＡ）についての適切な値と共に構成される必要がある。

ＨＡのＩＰアドレスは、次のように構成される必要がある：
・ＭＮがＭＩＰプロキシのＩＰアドレスへ設定されたＨＡのＩＰアドレスを有すること。
・ＭＩＰプロキシが現実のＨＡのＩＰアドレスへ設定されたＨＡのＩＰアドレスを有すること。

ＭＩＰプロキシ及びＨＡにおいて正確なＣｏＡを登録するために、まず、ＭＩＰ ＲＲＱ／ＢＵ（Registration Request／Binding Update）がＭＮからＭＩＰプロキシへ送信される。このＲＲＱ／ＢＵ内のＣｏＡの値は、次の通りである。
・ＣｏＡ＝ＵＥのローカルＩＰアドレス、又は、ＦＡのＩＰアドレス

ＭＩＰプロキシは、ＲＲＱ／ＢＵを次のように修正する。
・ＣｏＡ＝ＭＩＰプロキシのＩＰアドレス

ＭＩＰプロキシは、本文書において後に議論される代替手段に従ってセキュリティ機能を実行し、そしてＲＲＱ／ＢＵをＨＡへ転送する。

ＭＮ及びＭＩＰプロキシは、適切なＨＡのＩＰアドレスと共に構成される必要があり、図４において一例としてのシグナリングメッセージの流れが示されている。これを解決する１つの可能性は、例えばＲａｄｉｕｓ又はＤｉａｍｅｔｅｒプロトコルを通じてのＡＡＡシグナリングなど、ＡＡＡシグナリングをＨＡの割当てのためのアクセス認証の間使用することである。ＨＮは、ＭＮへ送信されるＡＡＡ応答内でＨＡのＩＰアドレスを割当てる。アクセス認証のためのＡＡＡシグナリングは、典型的にはＶＮを介して中継されるため、ＶＮは、そのＡＡＡメッセージからＨＡのＩＰアドレスを抽出し、ＭＩＰプロキシのＩＰアドレスと置き換えることができる。そして、ＡＡＡメッセージは、アクセスネットワークへと送信される。なお、上述したブートストラップ的な解決策は、唯一の解決策ではない。例えば、ＤＮＳサービスレコードを用いるような他のブートストラップ的な方法もまた可能である。

ＭＩＰプロキシの基本的な考え方は、ＭＮ／ＦＡとＨＡとの間のＵＰのトンネルが、ＭＩＰプロキシを介してルーティングされることである。ＭＩＰプロキシは、各ＩＰパケットのトンネルＩＰヘッダの送信元及び宛て先ＩＰアドレスを編集する必要がある。

モバイルＩＰは、ＭＮとＨＡとの間のモビリティセキュリティアソシエーション（ＭＳＡ）を必要とする。ＭＳＡは、ＭＮとＨＡとの間で送信されるＭＩＰシグナリングメッセージを保護するために使用される。ＭＩＰプロキシは、ＭＮとＨＡとの間の経路に導入され、セキュリティについてのその影響は、アドレスである。また、どのモバイルＩＰのバージョン（ｖ４又はｖ６）が使用されているか、及びそのＭＩＰバージョンについてどういった種類のセキュリティソリューションが使用されているかに依存して、異なる代替的な解決策も可能である。３つの異なるシナリオが、後に議論される。

ＭＩＰｖ４は、ＭＩＰシグナリングメッセージ内の認証フィールドを、そのコンテンツの保護のために使用する。認証フィールドは、ＭＮとＨＡとの間で共有される鍵に基づいて計算される。ＭＩＰプロキシは、当該認証の拡張を再計算することなく、シグナリングメッセージを修正することはできない。

２つのオプションが可能である：

１ａ）固定された鍵を伴う委任された認証
この状況は、図５ａにおいて概略的に描かれており、そこではメッセージの流れの例が示されている。ＨＡによる認証の拡張の計算は、ＭＩＰプロキシに委任される。ＭＩＰプロキシは、例えばＡＡＡシグナリングを用いて、必要な鍵をＨＮから受信する。ＭＩＰプロキシは、その受信した鍵に基づいて、ＭＮ及びＨＡから受信される認証の拡張をチェックすることができる。また、ＭＩＰプロキシは、ＭＮ又はＨＡへと転送するメッセージのための新たな認証の拡張を計算することができる。この代替手段は、ＭＮにとって透過的であり、即ちＭＮはＭＩＰプロキシを見ることなく；ＨＡと直接通信しているように認識する。

よって、ＭＮとＭＩＰプロキシとの間のシグナリングは、ＭＩＰの認証の拡張を用いる通常の手法により保護される。ＭＩＰプロキシとＨＡとの間のシグナリングは、通常のＭＩＰの認証の拡張を用いて、及び／又はＶＮとＨＮとの間の例えばＩＰＳｅｃトンネルなどにより、保護され得る。

１ｂ）一時的な鍵を伴う委任された認証
この状況は、図５ｂにおいて概略的に描かれており、そこではメッセージの流れの例が示されている。ここでのＨＮは、ＭＮとＨＮとの間で共有される固定的な鍵をＶＮへ送信することを望まない。その代わりに、一時的なＭＮ−ＨＡ及びＭＮ−ＡＡＡの鍵を動的に生成し、ＶＮへ送信するのがよい。この代替手段では、ＭＮ及びＨＮの双方が同じ一時的な鍵を導くことができることが必要である。そのような鍵を導くための正確なアルゴリズムは、ここでは説明されない。一時的なＭＮ−ＨＡ及びＭＮ−ＡＡＡの鍵は、レジストレーションのプロセスの間にＭＩＰプロキシへと送信される。

本代替手段において、一時的な鍵を用いること以外は、メッセージの実質的な保護は、代替手段１ａにおけるものと同様になされる。

図６は、ＭＩＰバージョン６についての本発明の一実施形態を概略的に示しており、メッセージの流れの一例が示されている。モバイルＩＰｖ６は、その原仕様の中で、シグナリングを保護するためにＩＰＳｅｃを使用している。この場合の１つの可能性として、ＭＩＰに特有のＩＰＳｅｃによる保護を、ＭＮとＭＩＰプロキシとの間で送信されるメッセージを丁度カバーするようにしてもよい。ＶＮとＨＮとの間のシグナリングは、何らかの事業者間の合意に従って保護され得る。かかる保護もまた、当然にＩＰＳｅｃを用いる。

ＩＰＳｅｃのセキュリティアソシエーションをＭＮとＭＩＰプロキシとの間で確立するために必要とされるセキュリティ証明書（鍵など）は、例えばＡＡＡプロトコルを用いて、ＨＮからＶＮへ送信される。

ＲＦＣ４２８５（即ち、ＩＥＴＦ（The Internet Engineering Task Force） Request For Comment number 4285：モバイルＩＰｖ６のための認証プロトコル）は、ＭＩＰｖ６のための代替的な認証方法を提供する。その方法は、ＭＩＰｖ４の認証方法と同様である。よって、代替手段１（ａ及びｂ）について上述した同じ種類のセキュリティ手段がここでも可能である。なお、認証パラメータ、フィールド、鍵などについての用語は、ＭＩＰｖ４とＲＦＣ４２８５を用いるＭＩＰｖ６との間で異なることに留意すべきである。

ＭＩＰｖ４と共に逆方向のトンネリングが使用されることは前提とされる。但し、三角ルーティングが使用される場合には、ＭＩＰプロキシはアップリンクのトラフィックがＶＮを通してルーティングされることを保証することはできないであろう。しかしながら、これは、モバイル事業者（ＭＯ）がホームネットワークにおいて例えば課金、ポリシーの強制及び合法的な傍受などを可能とするために使用すべき逆方向のトンネリングを要求することが最も考えられることから、関連するシナリオにおける制限とはみなされない。

ＭＩＰｖ６については、全てのトラフィックがホームエージェントを通してトンネリングされることが前提となっている。ＭＩＰｖ６のルート最適化が使用される場合には、ＭＩＰプロキシは、ＵＰトラフィックがＶＮを通してルーティングされることを保証することはできないであろう。一方、ＭＩＰプロキシは、気付アドレスとしてそのアドレスを使用するＭＮのためにルート最適化を開始することができる。

上述した解決策は、多くの基盤（infrastructure）ノードにおいて、ソフトウェアにおける命令セットとして実装され得る。図７は、概略的なブロック図において、本発明に係る基盤ノード（例えばＧＧＳＮ又はＳＧＳＮなどのサポートノード）を描いており、そこでは、処理部７０１が通信データ及び通信制御情報を扱う。基盤ノード７００は、さらに、揮発性メモリ（例えばＲＡＭ）７０２及び／又は不揮発性メモリ（例えばハードディスク又はフラッシュディスク）部７０３、並びに、ノードの管理者からの制御命令のインタフェースとなるインタフェース部７０４を備える。基盤ノード７００は、さらに、それぞれ接続インタフェースを伴うダウンストリーム通信部７０５及びアップストリーム通信部７０６を備えてもよい。基盤ノード内の全ての部は、直接的に又は処理部７０１を通して間接的に互いに通信することができる。ネットワークに接続したモバイルノードとの間の通信を扱うためのソフトウェアは、少なくとも部分的にこのノード内で実行され、当該ノード内に記憶され得る：しかしながら、当該ソフトウェアは、ノードの起動時又は例えばサービスの合間などの後の段階で動的にロードされてもよい。当該ソフトウェアは、コンピュータプログラム製品として実装され、配信及び／又は例えばディスケット、ＣＤ（Compact Disc）、ＤＶＤ（Digital Video Disc）、フラッシュ若しくは同様の着脱可能なメモリ媒体（例えばコンパクトフラッシュ、ＳＤセキュアデジタル、メモリスティック、ｍｉｎｉＳＤ、ＭＭＣマルチメディアカード、スマートメディア、トランスフラッシュ、ＸＤなど）、ＨＤ−ＤＶＤ（High Definition DVD）、ＢｌｕｒａｙＤＶＤ、ＵＳＢ（Universal Serial Bus）ベースの着脱可能なメモリ媒体、磁気テープ媒体、光学記録媒体、磁気光学媒体、バブルメモリなどの、着脱可能であってコンピュータにより読み取り可能な媒体上に記憶されてもよく、又は伝播信号としてネットワーク（例えばイーサネット、ＡＴＭ、ＩＳＤＮ、ＰＳＴＮ、Ｘ．２５、インターネット、ローカルエリアネットワーク（ＬＡＮ）若しくは基盤ノードにデータパケットを輸送することのできる同様のネットワーク）を介して配信されてもよい。

なお、“comprising”という用語は、提示された以外の要素又はステップの存在を排除するものではなく、要素の前に付される“a”又は“ａｎ”という語はそのような要素が複数存在することを排除するものではないことには留意すべきである。本発明は、少なくとも部分的にソフトウェア又はハードウェアにおいて実装され得る。さらに、いかなる参照標識も当該特許請求の範囲を制限するものではなく、同じハードウェアアイテムにより複数の“手段”、“装置”及び“部”が表され得ることに留意すべきである。

上述し説明した実施形態は、例として与えられたものであり、本発明を制限するものではない。後に記述される発明の特許請求の範囲において請求された本発明の範囲内で、当業者にとって他の解決策、使用、目的及び機能は明らかとなるであろう。

（定義）
ＢＡ バインディング確認応答（Binding Acknowledgement） （ＭＩＰｖ６）
ＢＵ バインディング更新（Binding Update） （ＭｌＰｖ６）
ＣＰ 制御プレーン（Control Plane）
ＨＡ ホームエージェント（Home Agent）
ＨＭＩＰ 階層的なモバイルＩＰ（Hierarchical Mobile ＩＰ）
ＨＮ ホームネットワーク（Home Network）
ＩＰ インターネットプロトコル（Internet Protocol）
ＭＩＰ モバイルＩＰ（Mobile ＩＰ）
ＭＮ モバイルノード（Mobile Node） （ＵＥと同義として用いられる）
ＭＯ モバイル事業者（Mobile Operator）
ＲＲＰ 登録応答（Registration Reply） （ＭＩＰｖ４）
ＲＲＱ 登録要求（Registration Request） （ＭＩＰｖ４）
ＵＥ ユーザ機器（User Equipment） （ＭＮと同義として用いられる）
ＵＰ ユーザプレーン（User Plane）
ＶＮ 訪問先ネットワーク（Visited Network）

Claims (12)

1. 通信ネットワーク内の中間ネットワーク内での使用のための、当該中間ネットワーク内の通信トラフィックを制御する基盤装置であって、ホームネットワークと訪問ノードとの間の通信のためのモバイルＩＰプロキシとして動作する手段、を備え、
   前記中間ネットワークの認証、承認及びアカウンティング（ＡＡＡ）サーバと前記訪問ノードとの間に位置し、
   前記ホームネットワークとアクセスネットワークとの間の前記中間ネットワーク内の前記装置のインターネットプロトコル（ＩＰ）アドレスを、一時的なホームエージェントのアドレスとして、前記アクセスネットワークに接続された訪問ノードへ送信し；
   前記装置内で前記訪問ノードについてのホームエージェントアドレスを実際のホームエージェントアドレスのアドレスに設定し；
   前記訪問ノードとホームエージェントとの間で前記装置を通してユーザプレーンのトラフィックを中継する；
   ように動作可能に構成される、基盤装置。
2. さらに、認証、承認及びアカウンティング（ＡＡＡ）プロトコルのシグナリングを用いて、変換テーブルをセットアップするための手段、を備える、請求項１に記載の装置。
3. 気付アドレスの割当てを含むアドレス変換機能をさらに備える、請求項１に記載の装置。
4. ドメインネームサービス（ＤＮＳ）のルックアップの割当てを含むアドレス変換機能をさらに備える、請求項１に記載の装置。
5. さらに、新たな認証コードを取得し、中継されるユーザプレーンのパケット内の認証コードを当該取得した認証コードに置き換えるよう構成される、請求項１に記載の装置。
6. さらに、委任された固定的な鍵と前記訪問ノードの前記ホームネットワークから取得された委任された一時的な鍵とのうちの１つを用いて新たなコードを計算することにより新たなコードを取得するよう構成される、請求項５に記載の装置。
7. 通信ネットワーク内のトラフィックの流れを制御するための方法であって、
   ホームネットワークとアクセスネットワークとの間の中間ネットワーク内のモバイルＩＰプロキシのインターネットプロトコル（ＩＰ）アドレスを、一時的なホームエージェントのアドレスとして、前記アクセスネットワークに接続された訪問ノードへ送信するステップと；
   前記モバイルＩＰプロキシ内で前記訪問ノードについてのホームエージェントアドレスを実際のホームエージェントアドレスのアドレスに設定するステップと；
   前記訪問ノードと前記ホームエージェントとの間で前記モバイルＩＰプロキシを通してユーザプレーンのトラフィックを中継するステップと；
   を含み、
   前記モバイルＩＰプロキシは、前記中間ネットワークの認証、承認及びアカウンティング（ＡＡＡ）サーバと前記訪問ノードとの間に位置する、
   方法。
8. 前記訪問ノードを認証するためのセキュリティ機能を実行するステップ、をさらに含む、請求項７に記載の方法。
9. 前記セキュリティ機能は、例えばＲａｄｉｕｓ又はＤｉａｍｅｔｅｒに従った認証、承認及びアカウンティング（ＡＡＡ）プロトコルを含む、請求項８に記載の方法。
10. 認証コードを取得するステップと、中継されるコンテンツ情報パケット内の認証コードを当該取得した認証コードに置き換えるステップと、をさらに含む、請求項７に記載の方法。
11. 前記認証コードを取得するステップは、委任された固定的な鍵と委任された一時的な鍵とのうちの１つを用いて新たなコードを計算することを含む、請求項１０に記載の方法。
12. アクセスネットワークとホームネットワークとの間に位置する中間的な通信ネットワーク内でユーザプレーンのトラフィックを制御するためのシステムであって、
    モバイルＩＰプロキシと前記中間的な通信ネットワークのための認証、承認及びアカウンティング（ＡＡＡ）サーバとを含み、
    前記モバイルＩＰプロキシは、前記ＡＡＡサーバとモバイルノードとの間に位置し、
    前記モバイルＩＰプロキシは、ユーザデータを認証するための認証鍵を取得し、及び前記アクセスネットワークに接続された前記モバイルノードと前記ホームネットワークとの間で、アドレス変換機能を用いてユーザデータを中継するために、前記ＡＡＡサーバを使用するように構成される、
    システム。

Images