JP5323141B2 - 複数のｐａｎａセッション - Google Patents

Description

本出願は、無線ネットワーキングに関し、いくつかの好ましい実施形態では、無線ネットワークなどにおいて複数のＰＡＮＡセッションを実行するシステムおよび方法に関する。

２００４年１月２２日に出願された、Yoshihiro Ohbaらによる、「ＩＰアクセスネットワークを用いたマルチホーミング及びサービスネットワーク選択（Serving Network Selection And Multihoming Using IP Access Network）」という名称の米国特許出願第１０／７６１３４７号（整理番号第３１１９−１０２号）明細書の全内容を、参照により本明細書に組み込む。加えて、以下の文献の全内容もまた、本発明の背景技術として、参照により全体として本明細書に組み込むものである。

1. D. Forsberg, et al., “Protocol for Carrying Authentication for Network Access (PANA)”, draft-ietf-pana-pana, work in progress, June?2003.
2. S. Deering, “ICMP Router Discovery Messages", RFC 1256, September 1991.
3. T. Narten, et al., "Neighbor Discovery for IP Version 6 (IPv6)", RFC 2461, December 1998.
4. D. Harkins and D. Carrel, "The Internet Key Exchange (IKE)", RFC 2409, November 1998.
5. C. Kaufman, "Internet Key Exchange (IKEv2) Protocol", draft-ietf-ipsec-ikev2, work in progress, October 2003.
6. L. Blunk and J. Vollbrecht, "PPP Extensible Authentication Protocol (EAP)", RFC 2284, March 1998.
7. B. Aboba, et al., "EAP Key Management Framework", draft-ietf-eap-keying, work in progress, October 2003.
8. M. Parthasarathy, "PANA enabling IPsec based Access Control", draft-ietf-pana-ipsec, work in progress, October 2003.
9. Troan and R. Droms, "IPv6 Prefix Options for DHCPv6", draft-ietf-dhc-dhcpv6-opt-prefix-delegation, work in progress, October 2003.
10. C. Perkins, "IP Mobility Support for IPv4", RFC 3344, August 2002.11. D. Johnson, et al., "Mobility Support in IPv6", draft-ietf-mobileip-ipv6, work in progress。

一般背景検討
ネットワーク及びインターネット（登録商標）プロトコル 多様なコンピュータネットワークがあり、インターネットは最も有名である。インターネットは、コンピュータネットワークの世界規模のネットワークである。今日、インターネットは、何百万人ものユーザが利用可能な、公衆の自律的ネットワークである。インターネットは、ＴＣＰ／ＩＰ（すなわち、伝送制御プロトコル／インターネットプロトコル）と呼ばれる１組の通信プロトコルを使って各ホストを接続する。インターネットは、インターネットバックボーンとして呼ばれる通信インフラストラクチャを有する。インターネットバックボーンへのアクセスは大部分企業及び個人へのアクセスを再販するインターネットサービスプロバイダ（ＩＳＰ）によって制御される。

ＩＰ（インターネットプロトコル）に関して、これは、ネットワーク上である装置（電話機、ＰＤＡ［携帯情報端末］、コンピュータなど）から別の装置にデータを送るためのプロトコルである。今日、ＩＰｖ４、ＩＰｖ６などを含めて、様々なＩＰのバージョンがある。ネットワーク上の各ホスト装置は、独自の一意の識別子である少なくとも１つのＩＰアドレスを有する。

ＩＰはコネクションレス型プロトコルである。通信時の端点間接続は連続的ではない。ユーザがデータ又はメッセージを送信し、又は受信するとき、データ又はメッセージは、パケットと呼ばれる構成要素に分割される。各パケットは、独立のデータ単位として扱われる。

インターネットなどのネットワークを介した各点間の伝送を標準化するために、ＯＳＩ（開放型システム間相互接続）モデルが確立された。ＯＳＩモデルは、ネットワーク中の２点間の通信プロセスを７つの階層に分け、各層（レイヤ）は独自の機能セットを付加する。各装置は、送信側端点では各層を通る下方への流れがあり、受信側端点では各層を通る上方への流れがあるようにメッセージを処理する。７つの機能層を提供するプログラミング及び／又はハードウェアは、通常、デバイスオペレーティングシステム、アプリケーションソフトウェア、ＴＣＰ／ＩＰ及び／又は他のトランスポート及びネットワークプロトコル、並びに他のソフトウェア及びハードウェアの組み合わせである。

通常、上位４層は、メッセージがユーザから、又はユーザへ渡されるときに使用され、下位３層は、メッセージが装置（ＩＰホスト装置など）を通過するときに使用される。ＩＰホストは、サーバ、ルータ、ワークステーションなど、ＩＰパケットを送受信することのできるネットワーク上の任意の装置である。他の何らかのホストに向けられているメッセージは、各上位層には渡されず、この他のホストに転送される。ＯＳＩ及び他の同様なモデルにおいて、ＩＰは第３層におけるネットワーク層である。

無線ネットワーク：
無線ネットワークは、例えば、セルラ及び無線電話機、ＰＣ（パーソナルコンピュータ）、ラップトップコンピュータ、装着型コンピュータ、コードレス電話機、ポケットベル、ヘッドセット、プリンタ、ＰＤＡなど、多種多様なモバイル機器を組み込むことができる。例えば、モバイル機器は、音声及び／又はデータの高速無線伝送を確保するデジタルシステムを含むことができる。典型的なモバイル機器は、次の構成要素の一部又は全部、即ち送受信機（すなわち、例えば、送信機、受信機及び、必要に応じて、他の機能が統合されたシングルチップ送受信機などを含む、送信機及び受信機）、アンテナ、プロセッサ、１つ又は複数の音声変換器（例えば、音声通信用機器でのスピーカやマイクロホンなど）、電磁データ記憶（データ処理が提供される機器の場合などでの、ＲＯＭ、ＲＡＭ、デジタルデータ記憶など）、メモリ、フラッシュメモリ、フルチップセット又は集積回路、インターフェース（ＵＳＢ、ＣＯＤＥＣ、ＵＡＲＴ、ＰＣＭなど）及び／又は同種のものを含む。

モバイルユーザが無線接続を介してローカルエリアネットワーク（ＬＡＮ）に接続することのできる無線ＬＡＮ（ＷＬＡＮ）が、無線通信に用いることができる。無線通信には、例えば、光、赤外線、電波、マイクロ波などの電磁波を介して伝搬する通信などを含むことができる。現在、ブルートゥース（登録商標）、ＩＥＥＥ８０２．１１、ＨｏｍｅＲＦなど、様々なＷＬＡＮ標準が存在する。

一例として、ブルートゥース製品は、モバイルコンピュータ、モバイル電話機、携帯式ハンドヘルド機器、携帯情報端末（ＰＤＡ）、及び他のモバイル機器の間のリンク、ならびにインターネットへの接続を提供するのに使用できる。ブルートゥースは、モバイル機器が、短距離無線接続を使って、相互に、また非モバイル機器と、どのようにして容易に相互接続し合うことができるかを詳述するコンピュータ及び電気通信業界仕様である。ブルートゥースは、ある機器と別の機器との間でデータを同期させ、整合させ続けることを必要とする、様々なモバイル機器の普及から生じるエンドユーザ問題に対処して、異なるベンダからの装置を相互にシームレスに動作させるデジタル無線プロトコルを作成する。ブルートゥース機器は、共通の命名概念に従って命名できる。例えば、ブルートゥース機器は、ブルートゥース機器名（ＢＤＮ）又は一意のブルートゥース機器アドレス（ＢＤＡ）に関連付けられた名前を持ち得る。また、ブルートゥース機器は、インターネットプロトコル（ＩＰ）ネットワークに参加することもできる。ブルートゥース機器がＩＰネットワーク上で機能する場合、この機器は、ＩＰアドレス及びＩＰ（ネットワーク）名を備え得る。よって、ＩＰネットワークに参加するように構成されたブルートゥース機器は、ＢＤＮ、ＢＤＡ、ＩＰアドレス及びＩＰ名などを含むことができる。「ＩＰ名」という用語は、インターフェースのＩＰアドレスに対応する名前を指す。

ＩＥＥＥ標準であるＩＥＥＥ８０２．１１は、無線ＬＡＮ及び機器の技術の仕様を定める。８０２．１１を使えば、各単一基地局がいくつかの機器をサポートする無線ネットワークが実現できる。いくつかの例では、機器に無線ハードウェアが事前装備されていることもあり、ユーザが、アンテナを含み得る、カードなどの別個のハードウェアをインストールすることもできる。例えば、８０２．１１で使用される機器は、通常、機器がアクセスポイント（ＡＰ）であるか、移動局（ＳＴＡ）であるか、ブリッジであるか、ＰＣＭＣＩＡカードであるか、それとも別の機器であるか否かを問わず、無線送受信機、アンテナ、及びネットワークにおける各点間のパケットの流れを制御するＭＡＣ（媒体アクセス制御）層という３つの注目すべき要素を含む。

更に、いくつかの無線ネットワークでは、複数インターフェース機器（ＭＩＤ）が利用できる。ＭＩＤは、ブルートゥースインターフェースと８０２．１１インターフェースなど、２つの独立のネットワークインターフェースを含むことができ、よって、ＭＩＤが２つの別個のネットワーク上に参加すると同時に、ブルートゥース機器ともインターフェースすることが可能になる。ＭＩＤは、ＩＰアドレス、及びＩＰアドレスに関連付けられた共通ＩＰ（ネットワーク）名を持つことができる。

無線ネットワーク機器には、それだけに限らないが、ブルートゥース機器、複数インターフェース機器（ＭＩＤ）、８０２．１１ｘ機器（８０２．１１ａ、８０２．１１ｂ、８０２．１１ｇ機器などを含む、ＩＥＥＥ８０２．１１機器）、ＨｏｍｅＲＦ（家庭内無線周波数）機器、Ｗｉ−Ｆｉ（Wireless Fidelity）機器、ＧＰＲＳ（汎用パケット無線システム）機器、３Ｇセルラ機器、２．５Ｇセルラ機器、ＧＳＭ（登録商標）（移動通信用グローバルシステム）機器、ＥＤＧＥ（Enhanced Data for GSM Evolution）機器、ＴＤＭＡ型（時分割多重接続）機器、又はＣＤＭＡ２０００を含むＣＤＭＡ型（符号分割多重接続）機器が含めることができる。各ネットワーク機器は、それだけに限らないが、ＩＰアドレス、ブルートゥース機器アドレス、ブルートゥース共通名、ブルートゥースＩＰアドレス、ブルートゥースＩＰ共通名、８０２．１１ＩＰアドレス、８０２．１１ＩＰ共通名、ＩＥＥＥ ＭＡＣアドレスを含む、様々な種類のアドレスを含むことができる。

また、無線ネットワークは、例えば、モバイルＩＰ（インターネットプロトコル）システム、ＰＣＳシステム、及び他のモバイルネットワークシステムにおいて見られる方法及びプロトコルも関与できる。モバイルＩＰでは、これに、インターネット技術標準化委員会（ＩＥＴＦ）によって作成された標準通信プロトコルが関与する。モバイルＩＰでは、モバイル機器ユーザは、これらの一旦割り当てられたＩＰアドレスを維持しつつ、各ネットワークにまたがって移動することができる。コメント要求（ＲＦＣ）３３４４を参照されたい。（注：ＲＦＣはインターネット技術標準化委員会（ＩＥＴＦ）の公式文書である。）モバイルＩＰは、インターネットプロトコル（ＩＰ）を拡張し、モバイル機器のホームネットワーク外部に接続するときに、モバイル機器にインターネットトラフィックを転送する手段を付加する。モバイルＩＰは、各モバイルノードに、これのホームネットワーク上のホームアドレスと、ネットワーク及びこれのサブネット内の機器の現在位置を識別する気付アドレス（ＣｏＡ）を割り当てる。機器が異なるネットワークに移動すると、機器は、新しい気付アドレスを受け取る。ホームネットワーク上のモビリティエージェントは、各ホームアドレスを、これの気付アドレスと関連付けることができる。モバイルノードは、インターネット制御メッセージプロトコル（ＩＣＭＰ）などを使って、これの気付アドレスを変更する都度ホームエージェントにバインディング更新を送ることができる。

基本ＩＰルーティング（即ち、外部モバイルＩＰ）において、ルーティング機構は、各ネットワークノードが、常に、インターネットなどへの一定の接続点を有し、かつ各ノードのＩＰアドレスが、これが接続されているネットワークリンクを識別するという仮定を利用する。本明細書において、「ノード」という用語は、例えば、データ伝送のための再配信点や端点などを含むことができ、他のノードへの通信を認識し、処理し、及び／又は転送することのできる接続点を含む。例えば、インターネットルータは、機器のネットワークを識別するＩＰアドレスなどを調べることができる。次いで、ネットワークレベルにおいて、ルータは、特定のサブネットを識別するビットセットを調べることができる。次いで、サブネットレベルにおいて、ルータは、特定の機器を識別するビットセットを調べることができる。典型的なモバイルＩＰ通信の場合、ユーザが、例えば、インターネットなどからモバイル機器を切断し、これを新しいサブネットで再接続しようとする場合、機器は、新しいＩＰアドレス、適正なネットマスク及びデフォルトのルータを用いて再構成する必要がある。そうでなければ、経路指定プロトコルは、パケットを適正に配信することができないはずである。

メディア独立の事前認証：
メディア独立の事前認証（ＭＰＡ）は、任意のリンク層を介して、任意のモビリティ管理プロトコルと共に動作する、モバイル支援型の、確実なハンドオーバ最適化方式である。ＭＰＡを用いれば、移動ノードは、候補ターゲットネットワーク（ＣＴＮ）のＩＰアドレスと他の構成パラメータを確実に獲得することができるだけでなく、ＣＴＮに実際に接続する前に、獲得したＩＰアドレスを使ってＩＰパケットを送受信することもできる。これは、移動ノードが、リンク層におけるハンドオーバを実行する前に、任意のモビリティ管理プロトコルの対応付け更新を完了し、新しい気付アドレス（ＣｏＡ）を使用することを可能にする。

ＭＰＡは、任意のリンク層を介して、モバイルＩＰｖ４、モバイルＩＰｖ６、ＭＯＢＩＫＥ、ＨＩＰ、ＳＩＰモビリティなどを含む任意のモビリティ管理プロトコルと共に動作する。ＭＰＡでは、ＩＥＥＥ８０２．１１ｉ事前認証の概念が、上位層で動作するように拡張され、移動端末がそこに移動できるネットワークからのＩＰアドレスの早期獲得と、移動端末がまだ現在のネットワークに接続されている間にネットワークへの事前対応型ハンドオーバとを実行する追加機構を組み込んでいる。

ＭＰＡをサポートする移動ノード（ＭＮ）は、認証エージェント（ＡＡ）との事前認証プロセスを開始する。正常な認証により、ＰＡＮＡ認証エージェント（ＰＡＡ）が、ＡＡとセキュリティアソシエーションを確立することが可能になる。これが、ＩＰアドレスと他の構成パラメータを移動ノードに確実に配信するための構成プロトコルを確実に実行するのに使用される構成エージェント（ＣＡ）と、移動ノードへの事前対応型ハンドオーバトンネルを確立するためのトンネル管理プロトコルを確実に実行するアクセスルータ（ＡＲ）に加わる。この全プロセスが、ＭＮが現在の接続点に接続されるときに実行される。これは、参照によりこれの開示が本明細書に組み込まれる、２００６年３月の「draft-ohba-mobopts-mpa-framework-02.txt」と、２００６年１０月２２日の「draft-ohba-mobopts-mpa-framework-03.txt」で詳細に説明されている。

確実なネットワークアクセスサービスを提供することは、クライアントとアクセスネットワークの認証と許可に基づくアクセス制御を必要とする。クライアントからネットワークへの認証は、実行点を通るトラフィックフローを規制するのに必要とされるパラメータを提供する。クライアントとアクセスネットワークの間で認証方法を搬送するプロトコルが必要とされる。

ＰＡＮＡは、ネットワークアクセス認証方法のためのリンク層不可知トランスポートを提供する。拡張可能認証プロトコル（ＥＡＰ）［参照により全体が本明細書に組み込まれるＲＦＣ３７４８を参照］は、かかる認証方法を提供する。これに関して、ＰＡＮＡは、様々な認証方法を搬送することのできるＥＡＰを搬送する。ＩＰより上でのＥＡＰのトランスポートを可能にすることによって、ＥＡＰ方法として伝えることができる任意の認証方法がＰＡＮＡから、したがって、任意のリンク層技術から利用可能になる。

ＰＡＮＡプロトコル［I-D.ietf-pana-pana］は、アクセスネットワーク内のＰａＣ（ＰＡＮＡクライアント）とＰＡＡ（ＰＡＮＡ認証エージェント）の間でＥＡＰメッセージを伝送する。ＰａＣがモバイル機器であり、これのアプリケーションを実行する間に、あるアクセスネットワークから別のアクセスネットワークに移動することができる場合、このＰａＣが、ハンドオーバ期間中にアプリケーションの性能を低下させずに、シームレスにハンドオーバを行うことは決定的に重要である。ハンドオーバが、ＰａＣが新しいアクセスネットワーク内のＰＡＡとＰＡＮＡセッションを確立することを必要とするとき、ＰＡＮＡセッションを確立する信号は、できるだけ速く完了されるべきである。

ＰＡＮＡプロトコルは、ネットワークアクセスサービスのための認証と許可を行うために、クライアント（ＰａＣ）とサーバ（ＰＡＡ）の間で実行される。このプロトコルのメッセージングは、一連の要求と応答を伴い、これらのうちのいくつかが、どちらかの側によって開始できる。各メッセージは、ペイロード内でゼロ以上のＡＶＰを伝送することができる。ＰＡＮＡの主要ペイロードは、認証を実行するＥＡＰである。ＰＡＮＡは、ＰａＣとＰＡＡが、ＥＡＰセッションを確立するのに役立つ。

ＰＡＮＡは、ＵＤＰベースのプロトコルである。ＰＡＮＡは、確実にメッセージを配信する独自の再送信機構を有する。ＰＡＮＡメッセージが、ＰａＣとＰＡＡの間で、ＰＡＮＡセッションの一部として送信される。ＰＡＮＡセッションは、以下で述べ、図１に示すように複数の異なる段階を含む。

１．ハンドシェーク段階：これは、新しいＰＡＮＡセッションを開始する段階である。ハンドシェーク段階は、ＰａＣとＰＡＡの両方によってトリガできる。

２．認証許可段階：ハンドシェーク段階の直後に続くのが、ＰＡＡとＰａＣの間のＥＡＰ実行である。ＥＡＰペイロード（内部にＥＡＰメソッドを保持する）が、認証に使用されるものである。ＰＡＡは、この段階の終わりに認証と許可の結果をＰａＣに伝達する。

３．アクセス段階：正常な認証と許可の後、ホストは、ネットワークにアクセスすることができ、（１つまたは複数の）ＥＰを介してＩＰデータトラフィックを送受信することができる。この段階の任意の時点において、ＰａＣとＰＡＡは、任意選択で、ピア上のＰＡＮＡセッションが存続しているかどうかテストするために、ＰＡＮＡピングメッセージを送信してもよい。

４．再認証段階：アクセス段階の間、ＰＡＡは、ＰＡＮＡセッション存続期間が切れる前に、最認証を開始しなければならない。認証を行うために、ＰＡＮＡによってＥＡＰが伝送される。この段階は、任意選択で、セッション存続期間に関わりなく、ＰａＣとＰＡＡの両方によってトリガできる。セッションは、アクセス段階からこの段階に移り、正常な再認証が行われ次第、アクセス段階に戻る。

５．終了段階：ＰａＣまたはＰＡＡは、いつでもアクセスサービスを打ち切ろうとしてよい。明示的切断メッセージが、どちらの側からも送信できる。ＰａＣまたはＰＡＡが、終了メッセージを交えることなく切断する場合には、有限のセッション存続期間の満了または存続テストの失敗により、相手側においてセッションがクリーンアップされるはずであると予期される。

ＰＡＮＡは、これのトランスポート層プロトコルとしてＵＤＰを使用する。ＵＤＰポート番号は、例えば、ＩＡＮＡなどによって割り当てられる。ここで、メッセージは、常に、ユニキャストされる。

ＰＡＮＡは、以下で論じる属性値対を使用する。ここで、任意のＰＡＮＡメッセージのペイロードは、ゼロ以上のＡＶＰを含む。以下で簡単に説明する。
○ アルゴリズムＡＶＰ：擬似乱数関数と保全性アルゴリズムを含む。
○ ＡＵＴＨ ＡＶＰ：ＰＡＮＡメッセージを保全性保護するメッセージ認証コードを含む。
○ クッキーＡＶＰ：［ＲＦＣ４０８６］に従ってＰＡＡによって生成され、見境のないリソース消費ＤｏＳ攻撃に対抗して、ハンドシェーク段階を頑強にするのに使用される乱数を含む。
○ 機器ＩＤ ＡＶＰ：ＰａＣまたはＥＰの機器識別子（リンク層アドレスまたはＩＰアドレス）を含む。
○ ＥＡＰ ＡＶＰ：ＥＡＰ ＰＤＵを含む。
○ 失敗したＡＶＰ：失敗を引き起こした加害側ＡＶＰを含む。
○ 鍵ＩＤ ＡＶＰ：ＭＳＫ識別子を含む。
○ 保護機能ＡＶＰ：ＰＡＮＡ認証後に暗号機能が使用可能にされるべきであるときに、パケットごとの保護（リンク層対ネットワーク層）の種類を含む。
○ ＮＡＰ情報ＡＶＰ、ＩＳＰ情報ＡＶＰ：それぞれ、ＮＡＰとＩＳＰの識別子を含む。
○ 臨時ＡＶＰ：暗号鍵計算で使用されるランダムに選択される値［ＲＦＣ４０８６］を含む。
○ 通知ＡＶＰ：表示可能なメッセージを含む。
○ プロバイダ識別子ＡＶＰ：ＮＡＰまたはＩＳＰの識別子を含む。
○ ＰＰＡＣ ＡＶＰ：ＰＡＮＡアドレス構成後のＡＶＰ。正常なＰＡＮＡ認証後にＰａＣによって使用され得る利用可能な／選択されるＩＰアドレス構成方法を示すのに使用される。
○ プロバイダ名ＡＶＰ：ＮＡＰまたはＩＳＰの名前を含む。
○ 結果コードＡＶＰ：プロトコル実行結果に関する情報を含む。
○ セッションＩＤ ＡＶＰ：ＰＡＮＡセッション識別子の値を含む。
○ セッション存続期間ＡＶＰ：許可されるアクセスの期間を含む。
○ 終了原因ＡＶＰ：セッション終了の理由を含む。

ＡＶＰは、ＰＡＮＡメッセージと関連性を有する情報をカプセル化する方法である。ＡＶＰの詳細については、セクション６．３を参照されたい。ＡＶＰヘッダについては、OctetString型の各ＡＶＰは、３２ビット境界上で揃うようにパディングされる必要があり、他の型のＡＶＰは、もともと揃っている。いくつかのゼロ値のバイトが、ワード境界に達するまでＡＶＰデータフィールドの最後に加えられる。パディングの長さは、ＡＶＰ長さフィールドには反映されない［ＲＦＣ３５８８参照］。ＡＶＰヘッダの各フィールドは、ネットワークバイト順で送信される。ＡＶＰヘッダの形式を図２に示す。

詳細な背景情報については、これの全開示が、参照により、あたかも本明細書に全文が記載されているかのように本明細書に組み込まれる、２００６年８月２４日付け、D.Forsberg、Y.Ohbaらによる、「（ネットワークアクセスのための認証を伝えるためのプロトコル（ＰＡＮＡ）（Protocol for Carrying Authentication for Network Access (PANA))」、ＩＥＴＦのＰＡＮＡ作業グループのインターネット草案、文書番号draft-ietf-PANA-PANA-12を参照されたい。

さらに参考のために、一部の背景用語として、以下が含まれる。
モビリティ対応付け： 移動端末のロケータと識別子の間の対応付け。
モビリティ管理プロトコル（ＭＭＰ）：移動端末のロケータと識別子の間の対応付けを維持するために、ネットワーク層以上で動作するプロトコル。
対応付け更新：モビリティ対応付けを更新する手順。
メディア独立の事前認証移動ノード（ＭＮ）：好ましい実施形態では、任意のリンク層を介し、任意のモビリティ管理プロトコルを用いて動作する、モバイル支援型の、セキュアなハンドオーバ最適化方式であるメディア独立の事前認証（ＭＰＡ）の移動端末。ＭＰＡ移動ノードは、ＩＰノードである。本明細書では、修飾なしの「移動ノード」または「ＭＮ」という用語は、「ＭＰＡ移動ノード」を指すものとする。ＭＰＡ移動ノードは、普通、モビリティ管理プロトコルの移動ノードの機能も有する。

候補ターゲットネットワーク（ＣＴＮ）：モバイルが近い将来そこに移動できるネットワーク。
ターゲットネットワーク（ＴＮ）：モバイルが、そこに移動することを決定しているネットワーク。ターゲットネットワークは、１つまたは複数の候補ターゲットネットワークから選択される。
事前対応型ハンドオーバトンネル（ＰＨＴ）：ＭＰＡ移動ノードと候補ターゲットネットワークのアクセスルータの間で確立される双方向ＩＰトンネル。本明細書では、修飾語句なしの「トンネル」という用語は、「事前対応型ハンドオーバトンネル」を指すものとする。
接続点（ＰｏＡ）：ＭＰＡ移動ノードのネットワークへのリンク層接続点として機能するリンク層機器（スイッチ、アクセスポイント、基地局など）。
気付アドレス（ＣｏＡ）：モビリティ管理プロトコルによって、ＭＰＡ移動ノードのロケータ(locator)として使用されるＩＰアドレス。
ＰＡＮＡクライアント（ＰａＣ）：アクセス機器（ラップトップ、ＰＤＡなど）にあるプロトコルのクライアント側。ＰａＣは、ネットワークアクセス許可を求めてこれの識別情報（認証）を証明するために資格情報を提供する役割を果たす。ＰａＣとＥＡＰピアは、同じアクセス機器内において同一場所に配置される。

ＰＡＮＡ認証エージェント（ＰＡＡ）：ＰＡＮＡクライアント（ＰａＣ）によって提供される資格情報を検証し、このクライアントと関連付けられ、機器識別子（ＤＩ）によって識別される機器にネットワークアクセスを許可する役割を果たす、アクセスネットワーク内のプロトコルエンティティ。ＰＡＡとＥＡＰオーセンティケータ（と任意選択でＥＡＰサーバ）は、同じノード内に位置する。認証許可手順は、ＥＡＰモデルによれば、バックエンドＡＡＡインフラストラクチャにオフロードされてもよいことに留意されたい。

ＰＡＮＡセッション：ＰＡＮＡセッションは、ＰＡＮＡクライアント（ＰａＣ）とＰＡＮＡ認証エージェント（ＰＡＡ）の間のハンドシェークで開始し、認証または存続テストの失敗、再送信数が最大値に達した後のメッセージ配信失敗、セッション存続期間満了、または明示的終了メッセージの結果として終了する。セッションの間中、固定のセッション識別子が維持される。セッションは、複数のネットワークインターフェースにまたがって共用できない。簡単にするために、ＰａＣのただ１つの機器識別子だけが、ＰＡＮＡセッションに対応付けできるものとする。

セッション存続期間：ＰＡＮＡセッションと関連付けられる期間。確立されたＰＡＮＡセッションでは、セッション存続期間は、ＰａＣに与えられた現在の許可の存続期間に対応付けされる。セッション存続期間は、これが切れる前に、ＥＡＰ認証の新しいラウンドによって更新できる。

セッション識別子：この識別子は、ＰＡＡとＰａＣ上のＰＡＮＡセッションを一意に識別するのに使用される。この識別子は、ＰＡＡの識別子を含み、したがって、複数のＰＡＡにまたがって共用できない。この識別子は、メッセージを特定のＰＡＮＡセッションに対応付けるためにＰＡＮＡメッセージに含まれる。この双方向識別子は、ハンドシェークに続いてＰＡＡによって割り振られ、セッションが終了するときに解放される。

ＰＡＮＡセキュリティアソシエーション（ＰＡＮＡ ＳＡ）：ＰＡＮＡ セキュリティアソシエーションは、ＰａＣとＰＡＡの間で、暗号鍵生成材料と関連するコンテキストを共用することによって形成される。形成される二重のセキュリティアソシエーションは、ＰａＣとＰＡＡの間の双方向ＰＡＮＡ信号トラフィックを保護するのに使用される。

機器識別子（ＤＩ）：ネットワークによって、機器のネットワークアクセスを制御し、規制するためのハンドルとして使用される識別子。アクセス技術に応じて、この識別子は、プロトコルヘッダで搬送されるアドレス（ＩＰまたはリンク層アドレスなど）、または、接続される機器のローカルプロトコルスタックによって供与されるローカルで有意な識別子（回線ＩＤ、ＰＰＰインターフェースＩＤなど）を含み得る。

実行点（ＥＰ） パケットごとの実行ポリシ（すなわちフィルタ）が、アクセス機器のインバウンドとアウトバウンドのトラフィックで適用されるアクセスネットワーク上のノード。ＤＩや（任意選択で）暗号鍵などの情報が、ＥＰ上のフィルタを生成するために、クライアントごとのＰＡＡによって提供される。ＥＰとＰＡＡは、同じ場所に位置していてもよい。

ネットワークアクセスプロバイダ（ＮＡＰ）：管理するアクセスネットワークに物理層やリンク層の接続などを提供するサービスプロバイダ。
インターネットサービスプロバイダ（ＩＳＰ）： インターネットや他の関連するサービスへのアクセスなどを提供するサービスプロバイダ。
マスタセッション鍵（ＭＳＫ）： ＥＡＰピアとＥＡＰサーバによって導出され、オーセンティケータ（authenticator）に転送される［ＲＦＣ３７２８参照］鍵。
追加の用語と背景技術を、参照により、ＰＡＮＡフレームワーク文書［I-D.ietf-pana-framework］から本明細書に組み込むものである。

様々なシステムおよび方法が知られているが、様々な状況において認証の速度を増大させるシステムおよび方法などを含め、改善されたシステムおよび方法が依然として求められている。

本発明は、認証遅延に関するものなどを含めて、背景技術の様々な限界および欠点を克服する。
いくつかの実施形態によれば、移動ノードのネットワークとの認証遅延を低減する方法は、２つのＥＡＰ実行を同時に用いて総認証遅延を低減することを含む。同様に、いくつかの実施形態によれば、移動ノードのネットワークとの認証遅延を低減するシステムは、ＰＡＮＡ認証エージェントとの２つのＰＡＮＡセッションを同時に実行して総認証遅延を低減するように構成されているＰＡＮＡ認証クライアントを備える。また同様に、いくつかの実施形態によれば、移動ノードのネットワークとの認証遅延を低減するシステムは、ＰＡＮＡ認証クライアントとの２つのＰＡＮＡセッションを同時に実行して総認証遅延を低減するように構成されているＰＡＮＡ認証エージェントを備える。

いくつかの例では、この方法は、２つのＥＡＰ実行が、ＰａＣの特定の機器識別子を認証するのに用いられることを含む。いくつかの例では、この方法は、２つのＥＡＰ実行が、複数のＩＳＰを同時に接続することに関連してＰａＣの特定の機器識別子を認証するのに用いられることを含む。いくつかの例では、この方法は、２つのＥＡＰ実行が、ＰａＣ上の複数のユーザに関連してＰａＣの特定の機器識別子を認証するのに用いられることを含む。いくつかの例では、この方法は、２つのＥＡＰ実行が、ＮＡＰとＩＳＰ認証において、総認証遅延を低減するのに用いられることを含む。

他のいくつかの例では、この方法は、ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションを確立すること、および複数のＰＡＮＡセッションの間で暗号対応付けを作成することを含む。いくつかの例では、この方法は、ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションを確立すること、および複数の独立ＰＡＮＡセッションのそれぞれについてＥＰの異なるＰａＣ−ＥＰマスタ鍵を生成することを含む。いくつかの例では、この方法は、ＰａＣとＰＡＡの間の独立ＰＡＮＡセッションのそれぞれについて、異なるＩＫＥセキュリティアソシエーションを確立すること、および各独立セッションごとに各ユーザ専用のＩＰｓｅｃセキュリティアソシエーションを作成することを含む。いくつかの例では、この方法は、ピアに認証の状況を知らせるために新しい認証状況ＡＶＰを提供することを含む。いくつかの例では、この方法はＰＡＮＡ開始要求（ＰＳＲ）で、新しい認証状況の型、長さ、値を提供することを含む。いくつかの例では、この方法は、ＰＳＲ内のＳフラグがＮＡＰとＩＳＰの別個の認証を不可にするように設定されず、ＰＳＲと後続のＰＡＮＡメッセージでＮフラグが設定されないことを含む。

いくつかの例では、この方法は、ＰＡＡの新しいセッションを作成するために、ＰａＣにＰＡＮＡ ＰＡＡ探索メッセージを送信させること、およびＰＡＡの他のセッションに割り当てられたものと異なる新しいＵＤＰ送信元ポート番号を割り当てることを含む。いくつかの例では、この方法は、ＰＡＡが、ＰａＣの新しいセッションを作成するためのＰＳＲを送信請求なしで送信するとき、ＰａＣの他のセッションに割り当てられたものと異なる新しいＵＤＰ宛先ポート番号が割り当てられることを含む。いくつかの例では、この方法は、異なるセッションでは異なるＥＡＰ認証方法および資格情報を使用することを含む。いくつかの例では、この方法は、ＰＡＮＡ条件付き成功に関連する新しい結果コードと、１つまたは複数のセッションＩＤ ＡＶＰを含む新しいＡＶＰを提供すること、および従属セッションのＰＡＮＡ対応付け要求（ＰＢＲ）に、新しい結果コードを搬送させることを含む。いくつかの例では、この方法は、ＥＰのＰａＣ−ＥＰマスタ鍵が、従属セッションのＡＡＡ鍵から導出されないことを含む。いくつかの例では、この方法は、従属セッションを暗号化して対応付けするために、ＰＡＡに新しいセッションを作成させること、および新しいセッションを作成した後にＰＡＡにＰＳＲを送信することを含む。いくつかの例では、この方法は、新しいセッションのＰＡＮＡ開始応答を受信した後で、ＰＡＡが、ＰＡＮＡ認証要求／ＰＡＮＡ認証応答を交換せずに、直ちにＰＢＲを送信することを含む。

様々な実施形態の上記他の態様、特徴および／または利点は、以下の説明を添付の図と併せて考察すればさらに理解されるであろう。様々な実施形態は、妥当な場合には、異なる態様、特徴および／または利点を含み、かつ／または除外することができる。加えて、様々な実施形態は、妥当な場合には、他の実施形態の１つまたは複数の態様または特徴を組み合わせることもできる。個々の実施形態の態様、特徴および／または利点の記述は、他の実施形態または特許請求の範囲を限定するものであると解釈すべきではない。

セッションにおけるＰＡＮＡメッセージを示す図である（環境と配置に応じて、図１に示すプロトコルの流れは略記できることに留意されたい（非送信請求ＰＡＮＡ開始要求メッセージは、ＰＡＮＡクライアント開始なしで送信でき、ＥＡＰ応答はＰＡＮＡ認証応答に載せて搬送でき、ＰＡＮＡピングとＰＡＮＡ終了の使用は任意選択である））。 ＡＶＰヘッダ形式を示す図である。 いくつかの例示的実施形態による、独立、従属および親セッションに関連するＰａＣとＰＡＡの間のメッセージシーケンスを示す図である。 別個のＩＳＰへのＰＡＮＡセッション１と２を有する例示的マルチホーミング使用例を示す図である。 別個のユーザとのＰＡＮＡセッション１と２を有する例示的マルチユーザ使用例を示す図である。 いくつかの説明例による、複数のＰＡＮＡセッション、すなわちセッションＡとＢの確立のための、ＰａＣとＰＡＡの間の例示的メッセージシーケンスを示す図である。

本発明の好ましい実施形態を、添付の図に、限定としてではなく例として示す。
本発明は、多くの異なる形で実施できるが、本開示は、本明細書で説明する様々な発明の原理の例を提供するものとみなされるべきであり、かかる例は、本発明を、本明細書で説明し、かつ／または本明細書で図示する好ましい実施形態だけに限定するためのものではないという了解の下で、いくつかの例示的実施形態について説明する。

問題提示：既存のシステムでは、いくつかの問題と欠点がある。例えば、以下の問題が存在する。
問題１：ＰａＣの特定の機器識別子を認証するのに２つ以上のＥＡＰ実行が必要とされる状況がある。例えば、ａ）複数のＩＳＰに同時に接続する、およびｂ）ＰａＣ上の複数のユーザという２つの例示的状況では、ＰａＣの特定の機器識別子を認証するのに２つ以上のＥＡＰ実行が必要とされる。
問題２：現在のＰＡＮＡ仕様におけるＮＡＰとＩＳＰの別個の認証は、順次の２つのＥＡＰ実行を必要とする。本願では、総認証遅延を低減するために、２つのＥＡＰ実行が同時に行われ得るべきことが企図されている。

http://ftp.3gpp2.org/TSGX/Working/2005/2005-12/TSG-X-2005-12-Maui/WG3-PSN/SWG31-PDS/（２００５年１２月８日、１１：43PM 109568 X31-20051205-013 PANA-for-PFO-[Samsung, Starent, Nokia].ppt）に記載されている、A.Yegin、 K.ChowdhuryおよびG.Bajkoによる「TSG-X, EAP/PANA for PFO」という名称の、Samsung社、Starent社およびNokia社による３ＧＰＰ２寄稿において、著者らは、「ＰＡＮＡは、ルータにまたがって実行できるため、端末が１つまたは複数のターゲットアクセスネットワーク（複数ホップ離れ、異種のアクセス技術を有する場合でさえも）と事前認証を行うことを可能にし」、このため、「ハンドオーバ後、端末のネットワークへのアクセスを許可するには無線による１回の往復で十分である」と説明している。加えて、著者らは、さらに、「運用者らは、例えば、ＰＡＮＡを実行している間のＩＭＳ、モバイルＩＰｖ６、モバイルＩＰｖ４シグナリングなど、ＰＡＮＡと並列（帯域外）での別の限られたＬ３プロトコルシグナリングを許容することができ」、このため、「総待ち時間は、累積ではなく、個々の待ち時間の最大値である」という点で、ＰＡＮＡでは「並列シグナリング」が利用可能であると記述している。著者らは、次いで、事前認証に関連して、いかなる裏づけ、詳細などもなしで、以下のような仮説を設定している。

並列加入者機器認証
複数の認証が行われる必要がある場合（１つはアクセス機器のため、もう１つは加入者のためなど）、これらの認証は、２つの別個のＰＡＮＡセッションとして並列に実行され、後で結合できる。
最終的な効果：認証待ち時間が半減する。

要件：既存の技術とは対照的に、本出願は、特に、並列ＰＡＮＡセッションを実行することに関連する新規なシステムおよび方法を示す。本明細書で述べる目的で並列ＰＡＮＡセッションを実行することに関連して、本発明者らにより、いくつかの要件が識別されている。これに関して、以下に関連するいくつかの要件を示す。

要件１：ＰＡＮＡは、ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションが確立されるようサポートする必要がある。これに関して、既存のＰＡＮＡ仕様は、これを妨げない。

要件２：ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションを確立するとき、認証の状況が、各セッションごとにピア間で伝えられる必要がある。それだけに限らないが例として、いくつかの例示的状況には、ＩＳＰ認証、ＮＡＰ認証などが含まれる。

要件３：ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションを確立するとき、ＰＡＮＡは、これらのセッションを同時に確立することができる必要がある。

要件４：ＰａＣとＰＡＡの間で、ＰａＣの同じ機器識別子のために複数のＰＡＮＡセッションを確立するとき、例えば、複数セッションのそれぞれについて、ＥＰの異なるＰａＣ−ＥＰマスタ鍵が生成されるのでない限り、複数セッション間で暗号対応付けが作成される必要がある。これに関して、本明細書では、ＥＰの同じＰａＣ−ＥＰマスタ鍵を共用するＰＡＮＡセッションを「従属」セッションといい、これ以外のＰＡＮＡセッションを、本明細書では「独立」セッションという。ここで、独立セッションは、ＥＰの異なるＰａＣ−ＥＰマスタ鍵を作成してもよい。一例では、これは、ＰａＣとＰＡＡの間の各独立セッションごとに、異なるＩＫＥ ＳＡを確立することを含み得る。各ユーザ専用のＩＰｓｅｃ ＳＡが、各独立セッションごとに作成されることになる。

いくつかの実施形態では、要件２の解決法には、以下が含まれ得る。
１．新しいＡＶＰ、認証状況（型：OctetString、‘Ｍ’フラグが設定される必要がある）が提供される。ここで、新しいＡＶＰは、ピアに、認証の（１つまたは複数の）状況を知らせるのに使用される。加えて、これは、ＰＡＮＡ ＰＡＡ探索またはＰＡＮＡ開始要求メッセージで搬送させることが可能である。加えて、これは、１つの１オクテット状況、１（ＮＡＰ認証）、および２（ＩＳＰ認証）の搬送を伴う。
２．認証状況の型、長さ、値パケット（ＴＬＶ）は、任意選択で、ＰＡＮＡ開始要求（ＰＳＲ）に含めることもできる。ＡＶＰが含まれるとき、ＰＳＲ内のＳフラグは、ＮＡＰとＩＳＰの別個の認証を不可にするように設定されるべきではない。更に、ＰＳＲと後続のＰＡＮＡメッセージでは、Ｎフラグが設定されるべきではない。

いくつかの実施形態では、要件３の解決法には、以下が含み得る。
１．ＰａＣが、ＰＡＡの新しいセッションを作成するためのＰＡＮＡ ＰＡＡ探索（ＰＤＩ）メッセージを送信するときには、このＰＡＡの他のセッションに割り当てられているものと異なる新しいＵＤＰ送信元ポート番号が割り当てられるべきである。
２．ＰＡＡが、ＰａＣの新しいセッションを作成するためのＰＳＲを送信請求なしで送信するときには、このＰａＣの他のセッションに割り当てられているものと異なる新しいＵＤＰ宛先ポート番号が割り当てられるべきである。
３．更に、異なるセッションは、異なるＥＡＰ認証方法と資格情報を使用してもよい。

いくつかの実施形態では、要件４の解決法には、以下が含み得る。
１．新しい結果コード、
ＰＡＮＡ＿ＣＯＮＤＩＴＩＯＮＡＬ＿ＳＵＣＣＥＳＳが提供される。

２．新しいＡＶＰ、セッションＩＤリスト（型：グループ化、‘Ｍ’フラグは設定される必要がある）が提供される。ここで、セッションＩＤリストＡＶＰは、１つまたは複数のセッションＩＤ ＡＶＰを含む。

３．従属セッションのＰＡＮＡ対応付け要求（ＰＢＲ）は、ＰＡＮＡ＿ＳＵＣＣＥＳＳではなく、この結果コードを搬送する。更に、ここで、ａ）このときには許可が行われず、ｂ）ＥＰのＰａＣ−ＥＰマスタ鍵が、従属セッションのＡＡＡ鍵から導出されない。

４．ＰＡＡは、従属セッションを暗号化して対応付けするために新しいセッションを作成する。ここで、この新しいセッションを親セッションという。

５．親セッションを作成した後で、ＰＡＡにＰＳＲが送信される。

６．親セッションのＰＡＮＡ開始応答（ＰＳＡ）を受信した後で、ＰＡＡは、ＰＡＮＡ認証要求／ＰＡＮＡ認証応答（ＰＡＲ／ＰＡＮ）を交換せずに、直ちにＰＢＲを送る。ここで、
ｉ．親セッションのＰＢＲ内の結果コードはＰＡＮＡ＿ＳＵＣＣＥＳＳである。
ｉｉ．ＰＢＲは、子セッションのセッションＩＤ ＡＶＰのリストを含むセッションＩＤリスト ＡＶＰを搬送する。
ｉｉｉ．親セッションのＡＡＡ鍵が、従属セッションのＡＡＡ鍵の連結として計算される。
ａ．従属セッションのＡＡＡ鍵は、セッションＩＤリスト ＡＶＰに記載されるセッションの順序に従って順序付けされる。
ｉｖ．更に、このときに許可も行われる。
ａ．従属セッションの間で最小の許可存続期間が、親セッションの許可存続期間になる。
ｂ．親セッションのＡＡＡ鍵から導出されたＥＰのＰａＣ−ＥＰマスタ鍵が、これの従属セッションの間で共用される。

７．各従属セッションごとに最認証が行われる。
ｉ．各再認証が完了するごとに、親セッションの許可存続期間とＡＡＡ鍵が再計算される。

８．親セッションが打ち切られるとき、これの従属セッションが、直ちに、黙って打ち切られる。

９．従属セッションの１つが打ち切られるとき、親セッションは、終了ポリシによって、打ち切られることも、打ち切られないこともある。
ｉ．ここで、終了ポリシが親セッションを打ち切らないよう指示しているとき、親セッションの許可存続期間とＡＡＡ鍵が再計算される。
ｉｉ．更に、終了ポリシの如何を問わず、親セッションは、最後の従属セッションが打ち切られるときには、直ちに、黙って打ち切られる。
ＰＡＮＡ認証遅延：
参考のために、以下に適用可能なＰＡＮＡ認証遅延を示す。以下の式では、Ｔ１＝探索とハンドシェーク段階における遅延、Ｔ２，ＮＡＰ＝ＮＡＰ認証のためのＰＡＲ／ＰＡＮ交換における遅延、Ｔ２，ＩＳＰ＝ＩＳＰ認証のためのＰＡＲ／ＰＡＮ交換における遅延、Ｔ３＝ＰＢＲ／ＰＢＡ交換における遅延を用いる。更に、従属と独立のＰＡＮＡセッションの場合、２つのセッションのＰＡＡ探索は、同時に開始し、同時に完了するものと仮定する。

ＮＡＰとＩＳＰの別個の認証：
Ｄ_Ｓ＝Ｔ_１＋Ｔ_{２，ＮＡＰ}＋Ｔ_{２，ＩＳＰ}＋Ｔ_３
独立セッション：
Ｄ_Ｉ＝Ｔ_１＋ｍａｘ（Ｔ_{２，ＮＡＰ}，Ｔ_{２，ＩＳＰ}）＋Ｔ_３
従属セッションと親セッション：
Ｄ_Ｄ＝Ｄ_Ｉ＋Ｔ_１＋Ｔ_３ Ｄ_Ｉ＜Ｄ_Ｄ＜Ｄ_Ｓ 。

図３〜６：
図３〜６に、本発明のいくつかの実施形態の態様を説明するいくつかの説明図を示す。
これに関して、図３には、前述のような、独立セッション、従属セッションおよび親セッションに関連するＰａＣとＰＡＡの間の例示的メッセージシーケンス、及びいくつかの事例での暗号の結合の確立が示されている。

更に、図４には、マルチホーミングなどに関連する説明的使用例を示す例示的アーキテクチャ概略図が示されている。この説明例に示すように、第１のＰＡＮＡセッションが第１のサービスプロバイダＩＳＰ１に関連して確立され、第２のＰＡＮＡセッションが第２のサービスプロバイダＩＳＰ２に関連して確立される。ＰＡＮＡセッション１に関連付けられるトラフィックは、この図の上部近くに示され、ＰＡＮＡセッション２に関連付けられるトラフィックは、この図の下部近くに示されている。ここで、セッション１と２は、前述の従属または独立のセッションとすることができる。この場合、これらが従属セッションであるとき、異なるセッションと関連付けられるトラフィックは、区別可能である必要があり、これは、例えば、異なるセッションに別個のＩＫＥ ＳＡを作成するなどによって行うことができる。

更に、図５には、マルチユーザなどに関連する説明的使用例を示す例示的アーキテクチャ概略図が示されている。この説明図に示すように、第１のＰＡＮＡセッションが、第１のユーザ、ユーザＡに関連して確立され、第２のＰＡＮＡセッションが、第２のユーザ、ユーザＢに関連して確立される。ＰＡＮＡセッション１に関連付けられるトラフィックはこの図の上部近くに示され、ＰＡＮＡセッション２に関連付けられるトラフィックは、この図の下部近くに示されている。特に、この図には、第１のユーザ機器を介して動作する第１のユーザ、ユーザＡが、ＰＡＮＡ認証エージェント（ＰＡＡ）／実行点（ＥＰ）とやりとりするＰＡＮＡ認証クライアント（ＰａＣ）／ネットワークアクセス変換器（ＮＡＴ）を介して、ネットワークアクセスプロバイダ（ＮＡＰ）とインターネットサービスプロバイダ（ＩＳＰ）への第１のＰＡＮＡセッションを確立し、第２のユーザ機器を介して動作する第２のユーザＢが、ＰＡＮＡ認証クライアント（ＰａＣ）／ネットワークアクセス変換器（ＮＡＴ）とＰＡＮＡ認証エージェント（ＰＡＡ）／実行点（ＥＰ）を介して、ネットワークアクセスプロバイダ（ＮＡＰ）とインターネットサービスプロバイダ（ＩＳＰ）への第２のＰＡＮＡセッション２を確立する説明例が示されている。ここで、ＰａＣは、子機器のためのＥＡＰ資格情報で事前構成されている。更に、異なるセッションに関連付けられるトラフィックは、区別可能である必要があり、これは、例えば、異なるセッションに別個のＩＫＥ ＳＡを作成するなどによって行うことができる。図６は、いくつかの説明例による、複数のＰＡＮＡセッション、セッションＡとＢの確立のための、ＰａＣとＰＡＡの間の例示的メッセージシーケンスを示す図である。

本発明の広い範囲
本明細書では、本発明の例示的実施形態を説明しているが、本発明は、本明細書で説明した様々な好ましい実施形態だけに限定されず、本開示に基づけば当分野の技術者によって理解されるはずの、等価の要素、改変、省略、（様々な実施形態にまたがる態様などの）組合せ、適合及び／又は変更を有するありとあらゆる実施形態を含むものである。特許請求の範囲における限定は、特許請求の範囲で用いられる言葉に基づいて幅広く解釈されるべきであり、本明細書において、又は本出願の出願中において記述される例だけに限定されず、これらの例は、非排他的であると解釈されるべきである。例えば、本開示において、「好ましくは」という用語は、非排他的であり、「それだけに限らないが、好ましくは」を意味する。本開示において、かつ本出願の出願中において、手段プラス機能又はステッププラス機能限定は、特定のクレーム限定について、この限定において、ａ）「〜の手段」又は「〜のステップ」が明記されている、ｂ）対応する機能が明記されている、及びｃ）構造、材料又はこの構造をサポートする動作が記載されていないという条件すべてが存在する場合に限り用いられる。本開示において、かつ本出願の出願中において、「本発明」又は「発明」という用語は、本開示内の１つ又は複数の態様を指すものとして使用され得る。本発明又は発明という言葉は、誤って重要度の識別と解釈されるべきではなく、誤ってすべての態様又は実施形態にわたって適用されるものと解釈されるべきではなく（すなわち、本発明はいくつかの態様及び実施形態を有すると理解されるべきであり）、また、誤って本出願又は特許請求の範囲を限定するものと解釈されるべきではない。本開示において、かつ本出願の出願中において、「実施形態」という用語は、任意の態様、特徴、プロセス又はステップ、これらの任意の組合せ、及び／又はこれらの任意の部分などを記述するのに使用され得る。いくつかの例では、様々な実施形態が重なり合う特徴を含み得る。本開示では、「例えば」を意味する「ｅ．ｇ．」という省略用語が用いられ得る。

Claims (20)

1. アクセスネットワーク外部の認証クライアントと前記アクセスネットワーク内部の認証エージェントとの間に前記認証クライアントに又は前記アクセスネットワーク内部の前記認証クライアントに接続される別個のユーザ装置から独立したデータトラフィックセッションを含む複数の同時及び独立のデータトラフィックセッションを確立するための方法であって、
   ＰＡＮＡ認証クライアント（ＰａＣ）とＰＡＮＡ認証エージェント（ＰＡＡ)との間に複数の同時及び独立のデータトラフィックセッションを確立することを含み、前記データトラフィックセッションは前記認証クライアントに又は前記アクセスネットワーク内の別個のプロバイダに接続される別個のユーザ装置からの同時及び独立データトラフィックセッションを含み、
   前記データトラフィックセッションは全体の認証遅延を減少するために同時に２つの拡張可能認証プロトコル（ＥＡＰ）実行を採用して確立され、
   前記２つのＥＡＰ実行は各々前記ＰＡＮＡ認証クライアント（ＰａＣ）の特定の機器識別子を認証するために採用され、
   前記２つの拡張可能認証プロトコル（ＥＡＰ）実行は同時に複数のサービスプロバイダへの接続に関してＰＡＮＡ認証クライアント（ＰａＣ）の特定の機器識別子を認証するため又はＰａＣ上の複数のユーザに関してＰＡＮＡ認証クライアント（ＰａＣ）の特定の機器識別子を認証するために採用され、
   更にＰＡＮＡ認証クライアント（ＰａＣ）とＰＡＮＡ認証エージェント（ＰＡＡ）との間に複数のＰＡＮＡセッションを確立することを含み、
   前記複数のＰＡＮＡセッションを確立することは、
   １）前記複数のＰＡＮＡセッションの間に暗号対応付けを確立し、前記複数のＰＡＮＡセッションの各々毎に実行点に対して同じＰａＣ−ＥＰマスタ鍵を共有すること、又は
   ２）前記複数のＰＡＮＡセッションの各々毎に実行点に対して異なるＰａＣ−ＥＰマスタ鍵を生成すること及び前記セッションの各々毎に異なるセキュリティ関連を確立することを含む、方法。
2. 前記データトラフィックセッションが前記アクセスネットワーク内の別個のプロバイダに同時及び独立データトラフィックセッションを更に含む、請求項１に記載の方法。
3. 前記２つのＥＡＰ実行は、同時に複数のインターネットサービスプロバイダ（ＩＳＰｓ）への接続に関してＰＡＮＡ認証クライアント（ＰａＣ）の特定の機器識別子を認証するのに用いられる請求項１に記載の方法。
4. 前記２つの拡張可能認証プロトコル（ＥＡＰ）実行はＰａＣ上の複数のユーザに関してＰＡＮＡ認証クライアントの特定の機器識別子を認証するために使用される、請求項１記載の方法。
5. 前記２つのＥＡＰ実行は前記全体の認証遅延を減少するためにネットワークアクセスプロバイダ（ＮＡＰ）及びインターネットサービスプロバイダ（ＩＳＰ）に採用される、請求項１の方法。
6. ＰＡＮＡ認証クライアント（ＰａＣ）と前記ＰａＣｔｐ同じ機器識別子のＰＡＮＡ認証エージェント（ＰＡＡ）との間に複数のＰＡＮＡセッションを確立すること、前記複数のＰＡＮＡセッション間で暗号対応付けを形成することを更に含む、請求項１に記載の方法。
7. 前記複数の独立ＰＡＮＡセッションの各々毎に実行点（ＥＰ）に対して異なるＰａＣ−ＥＰマスタ鍵を生成すること、
   ＰａＣとＰＡＡとの間に前記独立ＰＡＮＡセッションの各々毎に異なるＩＫＥセキュリティアソシエーションを確立し、独立セッション毎にＩＰｓｅｃセキュリティアソシエーションを形成すること、を更に含む、請求項１に記載の方法。
8. 前記認証の状況をピアに知らせるために新規認証状況属性値対（ＡＶＰ）を提供することを更に含む、請求項１の方法。
9. ＰＡＮＡ開始要求（ＰＳＲ）に新規認証状況の型、長さ、値パケットを提供することを更に含む、請求項１の方法。
10. 前記ＰＳＲのＳフラグはネットワークアクセスプロバイダ（ＮＡＰ）及びインターネットサービスプロバイダ（ＩＳＰ）個別認証を無効にするように設定されなく、Ｎフラグは前記ＰＳＲ及び後続のＰＡＮＡメッセージに設定されない、請求項９の方法。
11. ＰＡＮＡ認証エージェント（ＰＡＡ）に対して新規セッションを作るためＰＡＮＡ ＰＡＡ発見メッセージをＰＡＮＡ認証クライアント（ＰａＣ）に遅らせること、前記ＰＡＡに対して他のセッションに割当てられたものとは異なる新規ＵＤＰソースポートナンバーを割り当てることを更に含む、請求項１の方法。
12. ＰＡＮＡ認証エージェント（ＰＡＡ）がＰＡＮＡ認証クライアント（ＰａＣ）に対して新規セッションを作るためにＰＡＮＡ開始要求（ＰＳＲ）を承諾なく送ると、前記ＰａＣに対して他のセッションに割当てられたものとは異なる新規ＵＤＰ宛先ポートナンバーが割り当てられることを更に含む、請求項１に記載の方法。
13. 異なるセッションで異なるＥＡＰ認証方法及び信用証明を用いることを更に含む、請求項１の方法。
14. ＰＡＮＡ条件付き成功に関連する新規結果コード及び１つ以上のセッションＩＤ ＡＶＰを含む新規属性値対（ＡＶＰ）を提供すること、独立セッションに対するＰＡＮＡ結合要求（ＰＢＲ）に前記新規結果コードを付帯させること、を更に含む、請求項１の方法。
15. 実行点（ＥＰ）に対するＰａＣ−ＥＰマスタ鍵が独立セッションのＡＡＡ鍵から抽出されないことを更に含む、請求項１４の方法。
16. 独立セッションを暗号化で結合するために前記ＰＡＮＡ認証エージェント（ＰＡＡ）に新規セッションを作らせること、前記新規セッションを作ったのちにＰＡＮＡ開始要求（ＰＳＲ）を前記ＰＡＡに送ることを更に含む、請求項１４の方法。
17. 前記新規セッションに対するＰＡＮＡ開始アンサーを受信した後に前記ＰＡＡはPANA-Auth-Request/PANA-Auth-Answer交換を行うことなくＰＡＮＡ結合要求を直ちに送付することを含む、請求項１６の方法。
18. 前記データトラフィックセッションは前記認証クライアントに接続される別個のユーザ装置からの同時及び独立データトラフィックセッションを含む、請求項１の方法。
19. ネットワークと共にモバイルノードの認証遅延を減少するためのシステムであって、
    複数の同時及び独立データトラフィックセッションを前記ＰＡＮＡ認証クライアントと前記ＰＡＮＡ認証エージェント（ＰＡＡ）との間に前記データトラフィックセッションによって確立することによって全体の認証遅延を減少するためにアクセスネットワーク内部のＰＡＮＡ認証エージェントによって２つのＰＡＮＡセッションを同時に行うように構成される前記アクセスネットワークの外部のＰＡＮＡ認証クライアントを具備し、前記データトラフィックセッションは前記ＰＡＮＡ認証クライアントに又は前記アクセスネットワーク内の別個のプロバイダに接続される別個のユーザ装置からの同時及び独立データトラフィックセッションを含み、
    前記ＰＡＮＡ認証クライアントは２つの拡張可能認証プロトコル（ＥＡＰ）実行を同時に採用して前記データトラフィックセッションを確立するように構成され、前記２つのＥＡＰ実行は各々前記ＰＡＮＡ認証クライアントの特定の機器識別子を認証するために採用され、
    前記ＰＡＮＡ認証クライアントは同時に複数のサービスプロバイダへの接続に関してＰＡＮＡ認証クライアント（ＰａＣ）の特定の機器識別子を認証するために又はＰＡＣ上の複数のユーザに関してＰＡＮＡ認証クライアント（ＰａＣ）の特定の機器識別子を認証するために前記２つの拡張可能認証プロトコル（ＥＡＰ）実行を採用するように構成され、複数のＰＡＮＡセッションはＰＡＮＡ認証クライアント（ＰａＣ）とＰＡＮＡ認証エージェント（ＰＡＡ）との間に前記ＰＡＮＡ認証エージェント（ＰａＣ）の同じ機器識別子に対して確立され、前記複数のＰＡＮＡセッションが
    １）暗号対応付けが前記複数のＰＡＮＡセッションの間に確立され、同じＰａＣ−ＥＰマスタ鍵が前記複数のＰＡＮＡセッションの各々毎に実行点に対して共有され、又は
    ２）異なるＰａＣ−ＥＰマスタ鍵が前記複数のＰＡＮＡセッションの各々毎に実行点に対して生成され、異なるセキュリティアソシエーションが前記セッションの各々毎に確立される、システム。
20. ネットワークと共にモバイルノードの認証遅延を減少するためのシステムであって、
    複数の同時及び独立データトラフィックセッションを前記ＰＡＮＡ認証クライアントと前記ＰＡＮＡ認証エージェント（ＰＡＡ）との間に前記データトラフィックセッションによって確立することによって全体の認証遅延を減少するためにアクセスネットワーク外部のＰＡＮＡ認証エージェントによって２つのＰＡＮＡセッションを同時に行うように構成される前記アクセスネットワークの内部のＰＡＮＡ認証クライアントを具備し、前記データトラフィックセッションは前記ＰＡＮＡ認証クライアントに又は前記アクセスネットワーク内の別個のプロバイダに接続される別個のユーザ装置からの同時及び独立データトラフィックセッションを含み、
    前記ＰＡＮＡ認証クライアントは２つの拡張可能認証プロトコル（ＥＡＰ）実行を同時に採用して前記データトラフィックセッションを確立するように構成され、前記２つのＥＡＰ実行は各々前記ＰＡＮＡ認証クライアントの特定の機器識別子を認証するために採用され、
    前記ＰＡＮＡ認証エージェントは同時に複数のサービスプロバイダへの接続に関してＰＡＮＡ認証クライアント（ＰａＣ）の特定の機器識別子を認証するために又はＰＡＣ上の複数のユーザに関してＰＡＮＡ認証クライアント（ＰａＣ）の特定の機器識別子を認証するために前記２つの拡張可能認証プロトコル（ＥＡＰ）実行を採用するように構成され、複数のＰＡＮＡセッションはＰＡＮＡ認証クライアント（ＰａＣ）とＰＡＮＡ認証エージェント（ＰＡＡ）との間に前記ＰＡＮＡ認証エージェント（ＰａＣ）の同じ機器識別子に対して確立され、前記複数のＰＡＮＡセッションが
    １）暗号対応付けが前記複数のＰＡＮＡセッションの間に確立され、同じＰａＣ−ＥＰマスタ鍵が前記複数のＰＡＮＡセッションの各々毎に実行点に対して共有され、又は
    ２）異なるＰａＣ−ＥＰマスタ鍵が前記複数のＰＡＮＡセッションの各々毎に実行点に対して生成され、異なるセキュリティアソシエーションが前記セッションの各々毎に確立される、システム。

Images