JPH10136014A - パケット検査装置、移動計算機装置及びパケット転送方法 - Google Patents

Abstract

(57)【要約】 【課題】 ネットワーク内に移動中の管理対象外の移動
計算機のうち正当なものからのパケットのみを外部へ通
過させるパケット検査装置を提供すること。 【解決手段】 自装置の管理するネットワークの内部の
計算機がネットワーク外の計算機へ向けて送信するパケ
ットを検査するパケット検査装置であって、自装置の管
理対象となる計算機以外の移動計算機から送信されたパ
ケットに含まれる移動計算機識別情報に基づき該移動計
算機から送信されたパケットのネットワーク外への転送
の可否を判定する判定手段と、この判定手段により転送
を拒否すると判定した場合に前記移動計算機に転送拒否
を示すメッセージを返信する手段と、前記移動計算機か
ら移動計算機識別情報を生成するための鍵情報を要求す
るメッセージを受信した場合に該移動計算機のユーザに
関する情報が所定の条件を満たすことを確認したなら
ば、要求された鍵情報を返送する手段とを具備する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワーク内部
から外に向けて転送されようとするパケットを検査する
パケット検査装置及び相互に接続されたネットワーク間
を移動して暗号通信を行うことが可能な移動計算機装置
並びにそれらのパケット転送方法に関する。

【０００２】

【従来の技術】計算機システムの小型化、低価格化やネ
ットワーク環境の充実に伴って、計算機システムの利用
は急速にかつ種々の分野に広く拡大し、また集中型シス
テムから分散型システムへの移行が進んでいる。特に近
年では計算機システム自体の進歩、能力向上に加え、コ
ンピュータ・ネットワーク技術の発達・普及により、オ
フィス内のファイルやプリンタなどの資源共有のみなら
ず、オフィス外、１組織外とのコミュニケーション（電
子メール、電子ニュース、ファイルの転送など）が可能
になり、これらが広く利用されはじめた。特に近年で
は、世界最大のコンピュータネットワーク「インターネ
ット（Ｉｎｔｅｒｎｅｔ）」の利用が普及しており、イ
ンターネットと接続し、公開された情報、サービスを利
用したり、逆にインターネットを通してアクセスしてく
る外部ユーザに対し、情報、サービスを提供すること
で、新たなコンピュータビジネスが開拓されている。ま
た、インターネット利用に関して、新たな技術開発、展
開がなされている。

【０００３】また、このようなネットワークの普及に伴
い、移動通信（ｍｏｂｉｌｅ ｃｏｍｐｕｔｉｎｇ）に
対する技術開発も行われている。移動通信では、携帯型
の端末、計算機を持ったユーザがネットワーク上を移動
して通信する。ときには通信を行いながらネットワーク
上の位置を変えていく場合もあり、そのような通信にお
いて変化する移動計算機のネットワーク上のアドレスを
管理し、正しく通信内容を到達させるための方式が必要
である。

【０００４】一般に移動通信を行う場合、移動計算機が
所属していたネットワークに移動計算機の移動先データ
を管理するルータ（ホームエージェント）を置き、移動
計算機が移動した場合、このホームエージェントに対し
て現在位置を示す登録メッセージを送る。登録メッセー
ジが受け取られたら、移動計算機宛データの送信はその
ホームエージェントを経由して、移動計算機の元のアド
レス宛のＩＰパケットを移動ＩＰの現在位置アドレス宛
パケット内にカプセル化することで移動計算機に対する
データの経路制御が行われる。例えば、図１５では、元
々ホームネットワーク１ａに属していた移動計算機２
が、他のネットワーク１ｂに移動し、ネットワーク１ｃ
内の他の計算機（ＣＨ）３との間で通信を行う場合に、
移動計算機２に対しホームエージェント５（ＨＡ）が上
記の役割を行う。この方式は、インターネットの標準化
団体であるＩＥＴＦのｍｏｂｉｌｅ−ＩＰワーキンググ
ループで標準化が進められている移動ＩＰと呼ばれる方
式である（文献：ＩＥＴＦｉｎｔｅｒｎｅｔ ｄｒａｆ
ｔ， ＩＰ ｍｏｂｉｌｉｔｙ ｓｕｐｐｏｒｔ（Ｃ．
Ｐｅｒｋｉｎｓ））。

【０００５】ところで、移動ＩＰ方式では、移動計算機
が新規の移動先に移った場合、現在位置の登録メッセー
ジをホームエージェントに送ることが必要である。この
場合、移動計算機がどのようなネットワークに移動した
かによって、移動計算機の発するメッセージの扱いが変
わってくる。

【０００６】例えば、移動計算機のホームネットワーク
と親しいネットワークに移動して、そのネットワークの
出口に置かれたゲートウェイ（ファイアウォ−ル）が登
録メッセージを自由に外部に送出させる場合は、移動Ｉ
Ｐの規定のままで動作が可能である。

【０００７】一方、移動計算機を外部から内部に滞在
（または侵入）しているものとして扱う一般のネットワ
ークでは、セキュリティ上の考慮から、移動計算機の発
する登録メッセージを自由に外部に送出させることは危
険であると判断する。この場合、移動計算機が、自分は
現在自分を侵入者として扱うネットワークにいる、とい
うことを認識し、ゲートウェイに対して身分証明に相当
する処理を行って外部アクセス許可を得たうえで登録メ
ッセージのホームエージェントへの送出を行うことが必
要になる。また、登録メッセージ送出が完了したあとの
実際のデータ転送においても、ゲートウェイに対する身
分証明を保持しての通信が必要である。

【０００８】しかし従来は、移動ＩＰ方式では、各通信
ノードは一意なＩＰアドレスが付与され、自由に制御パ
ケットをやりとりできるという仮定で、経路制御や移動
計算機位置の登録などの規定を行っていたため、実際の
運用に際しては、移動計算機がどのような組織に属する
ネットワークに移動したか、というネットワーク運用ポ
リシーに関する動作規定がなかった。このため、特にセ
キュリティを考慮し、内部計算機の自由な外部アクセス
を許可しないようなネットワークに移動計算機が移動し
た場合、移動後に行う新規位置の登録メッセージさえも
移動計算機のホームネットワーク上のホームエージェン
トに到達させることができず、移動ＩＰ方式の運用に障
害を起こすことがあった。

【０００９】

【発明が解決しようとする課題】従来の通信システムで
は、各通信ノードには一意なＩＰアドレスが付与され、
自由にパケットを送受信できるという仮定で、経路制御
や移動計算機位置の登録などの規定を行っていたため、
相互に接続されたネットワーク間を移動して通信を行う
ことが可能な移動計算機をサポートする場合、実際の運
用に際しては、移動計算機がどのような組織に属するネ
ットワークに移動したかというネットワーク運用ポリシ
ーに関する動作規定がなかった。

【００１０】このため特にセキュリティを考慮し内部計
算機の自由な外部アクセスを許可しないようなネットワ
ークに移動計算機が移動した場合、移動後に行う新規位
置の登録メッセージさえも移動計算機のホームネットワ
ーク上のホームエージェントに到達させることができ
ず、移動計算機に関する運用に障害を起こすことがあっ
た。

【００１１】本発明は、上記事情を考慮してなされたも
ので、ネットワーク内部に移動してきた管理対象外の移
動計算機のうち、正当と認識できる移動計算機からのパ
ケットのみをネットワーク外部へ通過させる制御を行う
ことのできるパケット検査装置及びパケット転送方法を
提供することを目的とする。

【００１２】また、本発明は、相互に接続されたネット
ワーク間を移動して通信を行うことが可能な移動計算機
において、自装置を一旦侵入者とみなすネットワークに
移動した場合に、パケット検査装置との間で自装置の正
当性の確認を行い、該パケット検査装置から外部へパケ
ットを通過させる制御を行うことのできる移動計算機装
置及びパケット転送方法を提供することを目的とする。

【００１３】

【課題を解決するための手段】本発明（請求項１）は、
自装置の管理するネットワークの内部の計算機がネット
ワーク外の計算機へ向けて送信するパケットを検査する
パケット検査装置（例えば、ゲートウェイ）であって、
自装置の管理対象となる計算機以外の移動計算機から送
信されたパケットに含まれる移動計算機識別情報に基づ
き、該移動計算機から送信されたパケットのネットワー
ク外への転送の可否を判定する判定手段と、この判定手
段により転送を拒否すると判定した場合に、前記移動計
算機に転送拒否を示すメッセージを返信する手段と、前
記移動計算機から移動計算機識別情報（例えば、所定の
鍵情報を使って生成する認証データを含む情報）を生成
するための鍵情報を要求するメッセージを受信した場合
に、該移動計算機のユーザに関する情報が所定の条件を
満たすことを確認したならば、要求された鍵情報を返送
する手段とを具備したことを特徴とする。

【００１４】なお、パケット検査装置及び移動計算機が
使用する移動計算機識別子として、例えば、転送パケッ
ト内容と生成鍵から生成される一方向ハッシュ関数値
（例えば、Ｋｅｙｅｄ ＭＤ５方式）などの認証データ
が利用できる。

【００１５】好ましくは、自装置がどの計算機を管理す
るかを示す管理対象計算機認識手段をさらに備え、前記
判定手段は、この管理対象計算機認識手段により、ネッ
トワーク内部の計算機から送信されたパケットが自装置
の管理する計算機から送信されたものであることが示さ
れる場合は、該パケットをそのまま転送することを許可
すると判定するようにしても良い。

【００１６】好ましくは、自装置がどの計算機を管理す
るかを示す管理対象計算機認識手段をさらに備え、前記
判定手段は、この管理対象計算機認識手段により、ネッ
トワーク内部の計算機から送信されたパケットが自装置
の管理しない計算機から送信されたものであることが示
され、かつ、このパケットが移動計算機識別子を含まな
い場合は、該パケットの転送を拒否すると判定するよう
にしても良い。

【００１７】好ましくは、前記判定手段は、この管理対
象計算機認識手段により、ネットワーク内部の計算機か
ら送信されたパケットが自装置の管理しない計算機から
送信されたものであることが示され、かつ、このパケッ
トが移動計算機識別子を含む場合、移動計算機識別子か
ら該計算機の正当性が確認されたときのみ、該パケット
を転送するようにしても良い。

【００１８】本発明では、パケット検査装置は、自装置
の管理対象となる計算機以外の移動計算機から送信され
たパケットに含まれる移動計算機識別情報に基づいて、
該移動計算機から送信されたパケットのネットワーク外
への転送を拒否すると判定した場合（例えば、パケット
内に移動計算機識別情報が存在しない場合、あるいは移
動計算機識別情報が正当なものでなかった場合）には、
前記移動計算機に転送拒否を示すメッセージを返信す
る。

【００１９】その後、この移動計算機から移動計算機識
別情報を生成するための鍵情報を要求するメッセージを
受信した場合、該移動計算機のユーザに関する情報（例
えば、要求メッセージに含まれる）が所定の条件を満た
すこと（例えば、予め登録されたユーザあるいは登録さ
れたグループに属するユーザであること）を確認したな
らば、要求された鍵情報を返送する。

【００２０】そして、この移動計算機から送信されたパ
ケットが自装置の管理しない計算機から送信されたもの
であることが示され、かつ、このパケットが移動計算機
識別子を含む場合、この移動計算機識別子を検査してそ
の正当性が確認されたならば、該パケットを（必要な処
理を施して）転送させる。

【００２１】本発明によれば、ネットワーク内部に移動
してきた管理対象外の移動計算機のうち、正当と認識で
きる移動計算機からのパケットのみをネットワーク外部
へ通過させる制御を行うことができる。

【００２２】この結果、移動計算機から当該ネットワー
ク外へのパケットの転送を当該ネットワークのセキュリ
ティポリシーを守って正しく行え、また外部から訪問し
ている正当な移動計算機を不正にネットワーク内に侵入
して外部と通信を行う計算機とは明確に区別して外部へ
の通信を許可することができるなど、セキュリティの高
いかつ柔軟な移動計算機制御を可能とする。

【００２３】また、本発明によれば、パケットに移動計
算機識別情報を付与して画一的な処理を行うので、個々
の移動計算機のテーブル管理などの処理が不要で、高速
な認証手続きが可能である。特にパケットの暗号化や通
信の末端同士でのパケット内容の認証といったＩＰセキ
ュリティ処理を併用する場合に有効である。

【００２４】本発明（請求項４）は、相互に接続された
ネットワーク間を移動して通信を行うことが可能な移動
計算機であって、自装置が現在位置するネットワーク以
外のネットワークに、自装置の移動位置情報を管理し自
装置宛のパケットを自装置の現在位置に転送する手段を
有する移動計算機管理装置（例えば、移動ＩＰプロトコ
ルのホームエージェント）が存在する場合に、該移動計
算機管理装置へ向けて自装置の現在位置情報を含む登録
メッセージを送信する第１の送信手段と、自装置が現在
位置するネットワーク内部から該ネットワーク外へのパ
ケットを検査するパケット検査装置（例えば、ゲートウ
ェイ）から、この第１の送信手段により送信された登録
メッセージのパケット転送拒否を示すメッセージが返信
された場合に、該パケット検査装置に移動計算機識別情
報（例えば、所定の鍵情報を使って生成する認証データ
を含む情報）を生成するための鍵情報を要求する要求メ
ッセージを送信する第２の送信手段と、この第２の送信
手段により送信された要求メッセージに応答して、前記
パケット検査装置から鍵情報が返送された場合に、この
鍵情報に基づいて生成した移動計算機識別情報を自装置
が現在位置するネットワーク外へ向けて送信すべきパケ
ットに付加して送信する第３の送信手段とを具備したこ
とを特徴とする。

【００２５】好ましくは、請求項４に記載の移動計算機
装置において、前記第３の送信手段は、前記移動計算機
管理装置へ向けて、自装置の現在位置情報を含む登録メ
ッセージを、前記移動計算機識別情報を付加して送信
し、該移動計算機管理装置からの登録メッセージに対す
る受諾応答を受信した後、通信相手となる計算機へのデ
ータパケットを、前記移動計算機識別情報を付加して送
信するようにしても良い。

【００２６】好ましくは、前記第１の送信手段により送
信された登録メッセージのパケット転送拒否を示すメッ
セージが返信されなかった場合には、前記移動計算機管
理装置からの該登録メッセージに対する受諾応答を受信
した後、通信相手となる計算機へのデータパケットを通
常通り送信するようにしても良い。

【００２７】本発明では、移動計算機は、自装置が現在
位置するネットワーク以外のネットワークに、自装置の
移動位置情報を管理し自装置宛のパケットを自装置の現
在位置に転送する手段を有する移動計算機管理装置が存
在する場合（すなわち、ホームネットワーク外に移動し
た場合に）、まず、移動計算機管理装置へ向けて自装置
の現在位置情報を含む登録メッセージを送信する。

【００２８】これに対して自装置が現在位置するネット
ワーク内部から該ネットワーク外へのパケットを検査す
るパケット検査装置から、この登録メッセージのパケッ
ト転送拒否を示すメッセージが返信された場合、該パケ
ット検査装置に移動計算機識別情報を生成するための鍵
情報を要求する要求メッセージを送信する。

【００２９】この要求メッセージに応答して、前記パケ
ット検査装置から鍵情報が返送された場合、この鍵情報
に基づいて生成した移動計算機識別情報を自装置が現在
位置するネットワーク外へ向けて送信すべきパケットに
付加して送信する。

【００３０】本発明によれば、自装置を一旦侵入者とみ
なすネットワークに移動した場合に、パケット検査装置
との間で自装置の正当性の確認を行い、該パケット検査
装置から外部へパケットを通過させる制御を行うことが
できる。

【００３１】本発明（請求項６）は、自装置の管理する
ネットワークの内部の計算機がネットワーク外の計算機
へ向けて送信するパケットを検査するパケット検査装置
のパケット転送方法であって、自装置の管理対象となる
計算機以外の移動計算機から送信されたパケットに含ま
れる移動計算機識別情報に基づき、該移動計算機から送
信されたパケットのネットワーク外への転送の可否を判
定し、転送を拒否すると判定した場合に、前記移動計算
機に転送拒否を示すメッセージを返信し、前記移動計算
機から移動計算機識別情報を生成するための鍵情報を要
求するメッセージを受信した場合に、該移動計算機のユ
ーザに関する情報が所定の条件を満たすことを確認した
ならば、要求された鍵情報を返送することを特徴とす
る。

【００３２】本発明（請求項７）は、相互に接続された
ネットワーク間を移動して通信を行うことが可能な移動
計算機のパケット転送方法であって、自装置が現在位置
するネットワーク以外のネットワークに、自装置の移動
位置情報を管理し自装置宛のパケットを自装置の現在位
置に転送する手段を有する移動計算機管理装置が存在す
る場合に、該移動計算機管理装置へ向けて自装置の現在
位置情報を含む登録メッセージを送信し、自装置が現在
位置するネットワーク内部から該ネットワーク外へのパ
ケットを検査するパケット検査装置から、前記登録メッ
セージに対するパケット転送拒否を示すメッセージが返
信された場合に、該パケット検査装置に移動計算機識別
情報を生成するための鍵情報を要求する要求メッセージ
を送信し、この要求メッセージに応答して、前記パケッ
ト検査装置から鍵情報が返送された場合に、この鍵情報
に基づいて生成した移動計算機識別情報を自装置が現在
位置するネットワーク外へ向けて送信すべきパケットに
付加して送信することを特徴とする。

【００３３】なお、以上の各装置に係る発明は、方法に
係る説明としても成立する。また、上記の発明は、相当
する手順あるいは手段をコンピュータに実行させるため
のプログラムを記録した機械読取り可能な媒体としても
成立する。

【００３４】

【発明の実施の形態】以下、図面を参照しながら発明の
実施の形態を説明する。図１に、本実施形態に係る通信
システムの基本構成の一例を示す。図１の通信システム
は、前述した図１５と同様に移動ＩＰなどにより移動計
算機の通信をサポートしているものとする。なお、移動
ＩＰプロトコルでは、移動先ネットワークで移動計算機
に対するパケット配送を行うフォーリンエージェントと
いうルータの存在を仮定するモードと、フォーリンエー
ジェントを設けない（移動先計算機自身がフォーリンエ
ージェントを兼ねる）ポップアップモードがあるが、本
実施形態では、ポップアップモードを採用するものとし
て説明する。

【００３５】図１では、ホームネットワーク１ａ、第１
の他部署ネットワーク１ｂ、第２の他部署ネットワーク
１ｃがインターネット６を介して相互に接続されてお
り、移動計算機（ＭＮ）２、移動計算機の通信相手（Ｃ
Ｈ）３は、これらネットワーク内に接続され、または外
部ノードとしてインターネット６に接続される。ネット
ワーク１ａ，１ｂには、自装置の管理するネットワーク
の内部の計算機がネットワーク外の計算機へ向けて送信
するパケットを検査するパケット検査装置（ゲートウェ
イ）４ａ，４ｂがそれぞれ設けられるものとする。な
お、ネットワーク１ｃにも、必要に応じてゲートウェイ
４ｃが設けられる。

【００３６】本実施形態では、ネットワーク１ａの内部
をホームポジションとする移動計算機２が他部署ネット
ワーク１ｂに移動した場合について説明する。ゲートウ
ェイ４ａ，４ｂ，４ｃは、パケット暗号化認証処理機能
を持つものとする。また、移動計算機２は、少なくとも
移動中には、パケット暗号化認証処理機能を持つものと
する（図中、パケット暗号化認証処理機能を持つ移動計
算機２をＭＮ⁺で表す）。なお、パケット暗号化認証処
理における通信データの暗号化／復号は、例えば、文献
（ＩＥＴＦ ＲＦＣ１８２５，１８２７）に示される方
式で実現できる。また、パケット暗号化認証処理におけ
る、認証データ（転送パケット内容と生成鍵から生成さ
れるハッシュ関数値など）の付与／チェックは、例え
ば、文献（ＩＥＴＦ ＲＦＣ１８２５，１８２６）に示
される方式で実現できる。

【００３７】ホームネットワーク１ａには、移動ＩＰプ
ロトコルをサポートするために、移動計算機の移動先の
現在位置の情報を管理するホームエージェント（ＨＡ）
５が設けられる。管理対象とする移動計算機の台数は任
意である。前述したように、移動中の移動計算機２宛に
転送されてきたＩＰパケットは、そのホームエージェン
ト５を経由し、移動計算機２の元のアドレス（ホームネ
ットワーク１ａにおけるアドレス）宛のＩＰパケットを
移動ＩＰの現在位置アドレス宛パケット内にカプセル化
することで、移動計算機２に対するデータの経路制御を
行うことができる。

【００３８】なお、第１の他部署ネットワーク１ｂ、第
２の他部署ネットワーク１ｃにも、必要に応じて、ホー
ムエージェント５ｂ，５ｃが設けられる。ゲートウェイ
４ａ，４ｂ，４ｃは、自装置が管理対象とする送信元計
算機を認識する管理対象計算機認識部（図示せず）を持
つ。例えば、通信システム内のいずれかの場所（分散し
ていても良い）に、各ゲートウェイがどの計算機を管理
対象とするかを示す情報のデータベース（具体例として
は各ゲートウェイのネットワークアドレスと、その管理
対象となる計算機群のネットワークアドレスの対応情
報）を管理するサーバ装置を設置し、移動計算機が該デ
ータベースを検索することにより実現できる。あるい
は、各ゲートウェイが、自装置の管理対象となる計算機
群のネットワークアドレスの情報を保持することで実現
できる。

【００３９】ゲートウェイ４ａ，４ｂ，４ｃは、ネット
ワーク内部の計算機から送信されたパケットが自装置の
管理する計算機から送信されたものである場合は、該パ
ケットをそのまま転送するが、該パケットが自装置の管
理しない計算機から送信されたものである場合は、該パ
ケット内に正当な移動計算機識別情報が含まれれば該パ
ケットに必要な処理を施した上で通過させるが、該パケ
ット内に所定の情報が含まれなければ該パケットの転送
を拒否する。

【００４０】また、ゲートウェイ４ａ，４ｂ，４ｃは、
パケットの転送を拒否された計算機から上記移動計算機
識別情報を生成するために必要な鍵の情報を要求された
場合には、要求メッセージから求められる該移動計算機
のユーザに関する情報が所定の条件を満たすことを確認
したならば、要求された鍵情報を返送する。

【００４１】移動計算機２は、自装置を管理するホーム
エージェント５ａの設置されたネットワーク（ホームネ
ットワーク）１ａ外に位置することを認識する位置認識
部（図示せず）を持つ。位置認識部は、例えば、ホーム
エージェント５が定期的に発信する広告メッセージを受
信できるか否かをもとに、自装置がホームネットワーク
内にいるかどうかを判定することで実現できる。

【００４２】移動計算機２は、位置認識部により、自装
置がホームネットワーク外に移動したと判断された場合
には、移動先のネットワーク（ここでは１ｂ）におい
て、例えばＤＨＣＰやＰＰＰなどのプロトコルにより移
動先ネットワークで使用するアドレスを獲得する。

【００４３】アドレスを獲得したら、移動計算機２は、
ホームネットワーク１ａのホームエージェント５ａに現
在位置の情報を含む登録メッセージを送信する。ここ
で、移動計算機２がゲートウェイ４ｂの管理対象である
場合には、登録メッセージはそのままゲートウェイ４ｂ
を通過するが、移動計算機２がゲートウェイ４ｂの管理
対象でない場合には、登録メッセージは一旦通過拒否さ
れるので、移動計算機２は、ゲートウェイ４ｂに鍵情報
を要求し、鍵情報が入手できれば、これを使って生成し
た計算機識別情報を付加して再度登録メッセージを送信
する。この結果、再度送信された登録メッセージは、ゲ
ートウェイ４ｂを通過する（なお、ゲートウェイ４ｂの
管理対象でない計算機が、鍵情報を入手できなければ、
この計算機は、ゲートウェイ４ｂから外にパケットを通
過させることはできない）。

【００４４】なお、ゲートウェイ及び移動計算機が使用
する移動計算機識別子として、例えば、転送パケット内
容と生成鍵から生成される一方向ハッシュ関数値（例え
ば、Ｋｅｙｅｄ ＭＤ５方式）などの認証データが利用
できる。

【００４５】そして、登録メッセージが移動計算機２の
ホームネットワーク１ａのホームエージェント５ａに到
着すると、その管理表には、移動計算機２の全ネットワ
ーク中における位置を一意に特定可能な情報が登録され
る（この時点で、ホームエージェント５ａは、移動計算
機２がホームネットワーク１ａ外に移動したことを認識
する）。また、ネットワーク１ａでは、ゲートウェイ４
ｂの管理表に、インターネット６側からその移動計算機
２宛に転送されてきたパケットをホームエージェント５
ａに転送するように設定がなされる。

【００４６】これによって、インターネット６から移動
計算機２のホームネットワーク１ａに転送されてきた移
動計算機２宛のパケットは、一旦ホームエージェント５
ａに渡され、ここから、移動計算機２の移動先に宛てて
転送される。その際、ホームエージェント５ａにて、例
えば、前述したように、移動計算機２の元のアドレス
（ホームネットワーク１ａにおけるアドレス）宛のＩＰ
パケットを移動ＩＰの現在位置アドレス宛パケット内に
カプセル化する処理が行われる。

【００４７】そして、移動計算機２は、登録メッセージ
に対して一旦転送拒否を示すメッセージを受信した後に
鍵情報と計算機識別情報のやり取りによって応答受諾を
受信した場合には、通信相手となる計算機３へのパケッ
トに計算機識別情報を付加して送信する。登録メッセー
ジに対して転送拒否されずに応答受諾を受けた場合に
は、通信相手となる計算機３へのパケットを通常通り送
信する。

【００４８】以下、さらに詳しく本実施形態を説明して
いく。図２に、移動計算機２の現在位置を検出する処理
手順の一例を示す。ここで、移動ＩＰの規定にあるよう
に各ホームエージェントはその処理するサブネット内に
定期的にエージェント広告メッセージを送出するものと
する。また、各ゲートウェイは、各々が検査対象とする
計算機のアドレスのリストを公開しており、ある計算機
について、その送信パケットのチェックを司るゲートウ
ェイを検索可能であるとする。

【００４９】移動計算機２側では、まず、自装置がホー
ムネットワーク１ａの内部に位置するか外に位置するか
を判定する。自装置を管理するホームエージェント５ａ
の送出するエージェント広告メッセージを受信し、ホー
ムネットワーク内部に位置するか外に位置するかを検知
する。自装置の属するホームネットワーク１ａのホーム
エージェント５ａによるエージェント広告メッセージを
受信した場合にはホームネットワーク１ａ内部に位置す
ると判定する。それ以外のホームエージェントによるエ
ージェント広告メッセージを受信した場合、あるいはエ
ージェント広告メッセージを受信できない場合にはホー
ムネットワークの外に位置すると判定する（ステップＳ
１１）。

【００５０】移動計算機２は、自装置がホームネットワ
ークの外に位置すると判定された場合（ステップＳ１
２）、移動ＩＰのケア・オブ・アドレス（Ｃａｒｅ−ｏ
ｆアドレス）をＤＨＣＰなどの手段により取得する（ス
テップＳ１３）。

【００５１】さらに、移動計算機２は、そのＣａｒｅ−
ｏｆアドレスを保護するゲートウェイ（ＧＷ＿ＭＨ）を
検索する（ステップＳ１４）。ここで、検索されたゲー
トウェイ（ＧＷ＿ＭＨ）とホームネットワークのゲート
ウェイが一致している場合（例えばホームネットワーク
１ａ内で他のサブネットに移動した場合）には、自装置
はホームドメイン内に位置すると判定する［ＭＮ−ｈｏ
ｍｅ］。そうでない場合には、ホームドメイン外に位置
すると判定する［ＭＮ−ｆｏｒｅｉｇｎ］。ホームドメ
イン内に位置すると判定された場合には、以下に示す一
連の位置登録処理は実行せず、通常のＩＰパケット形式
で登録要求を送る。

【００５２】なお、Ｃａｒｅ−ｏｆアドレスを保護する
ゲートウェイが存在しない場合、移動計算機２は外部ノ
ードである。さて、移動ＩＰ方式では、移動計算機が新
規の移動先に移った場合、現在位置の情報を含む登録メ
ッセージを、自装置を管理するホームエージェントに送
ることが必要である。この場合、移動計算機がホームネ
ットワークと親しいネットワークに移動して、そのゲー
トウェイが自装置の送信する登録メッセージやデータパ
ケットを自由に外部に送出させる場合には、移動ＩＰの
規定のままで動作が可能である。しかし、一般に移動計
算機を外部から内部に滞在しているものとして扱うネッ
トワークでは、セキュリティ上の考慮から、移動計算機
の発するメッセージを自由に外部に送出させることは危
険であることから、ゲートウェイは自装置が管理対象と
する計算機以外の移動計算機の送信する登録メッセージ
やデータパケットを一旦通過拒否する。このような場
合、移動計算機は、現在自装置を侵入者として扱うネッ
トワークに位置することを認識し、そのゲートウェイと
の間で身分証明に相当する手続きを行って外部アクセス
許可を得た後に登録メッセージをホームエージェントへ
送信することが必要になる。

【００５３】以下、登録メッセージに関する処理手順の
一例を説明する。なお、ここでは、パケット内のデータ
部の暗号化はしない例を示す。まず、移動計算機２がホ
ームドメインにいる［ＭＮ−ｈｏｍｅ］の場合は、 ・ホームエージェント（ＨＡ）のＩＰアドレス ・移動計算機（ＭＮ）のＩＰアドレス を調べ、移動計算機を送信元、ホームエージェントを宛
先とする通常のＩＰパケット形式で登録要求を送り、ホ
ームエージェントからのＩＰパケット形式の応答を受信
するだけでよいので、登録メッセージの送出は不要であ
る。

【００５４】なお、ここでは、ホームエージェントと移
動計算機のＩＰアドレスは、ホームネットでのプライベ
ート・アドレス（Ｐｒｉｖａｔｅアドレス）とする。次
に、移動計算機２がホームドメイン外［ＭＮ−ｆｏｒｅ
ｉｇｎ］に移動している場合について説明する。

【００５５】例えば、図３に示すように移動計算機２が
第１の他部署ネットワーク１ｂに移動している場合、ま
ず、第１の登録メッセージを送る。図４に第１の登録メ
ッセージの一例を示す。ＩＰヘッダでは、送信元を移動
計算機（ＭＮ）のＰｒｉｖａｔｅアドレス、宛先をホー
ムエージェント（ＨＡ）のＰｒｉｖａｔｅアドレスとす
る。

【００５６】これに対し、移動計算機２がホームネット
ワーク１ａと親しいネットワークに移動して、そのゲー
トウェイが登録メッセージを自由に外部に送出させる場
合には、問題なく、受諾応答が返るだけであるが、もし
ゲートウェイ４ｂが、管理対象でない計算機から自装置
宛でないパケットを受信したならば、登録メッセージの
通過を拒否するメッセージを返すような場合には、通過
拒否メッセージが返送される。

【００５７】図５に、通過拒否メッセージの一例とし
て、ＴＣＰ／ＩＰ通信のＩＣＭＰメッセージを拡張した
形式で実現したものを示す。ＩＰヘッダでは、送信元を
ゲートウェイ４ｂ（ＧＷ１）のグローバル・アドレス
（Ｇｌｏｂａｌアドレス）、宛先を移動計算機（ＭＮ）
のＣａｒｅ−ｏｆアドレスとする。

【００５８】この場合、移動計算機２は、通過拒否メッ
セージ中に含まれるゲートウェイ４ｂのＧｌｏｂａｌア
ドレスを用いて、ゲートウェイ４ｂに対し鍵要求メッセ
ージを送信して、公開鍵の問い合わせを行う。

【００５９】図６に、鍵要求メッセージの一例を示す。
ＩＰヘッダでは、送信元を移動計算機（ＭＮ）のＣａｒ
ｅ−ｏｆアドレス、宛先をゲートウェイ４ｂ（ＧＷ１）
のＧｌｏｂａｌアドレスとする。

【００６０】この鍵要求メッセージに対し、ゲートウェ
イ４ｂが公開鍵情報を渡すか否かの判断は、ゲートウェ
イ４ｂのサイトのシステム管理のポリシーに依存する。
例えば、 ・鍵要求情報に所定の書式で付加されたユーザ識別情報
を調べ、社内ユーザであれば、鍵情報を返す。 ・社外ユーザであれば、所定の組織であれば鍵情報を渡
す。 ・それ以外の場合、予め登録されたユーザであれば、鍵
情報を渡す。 といった規則をゲートウェイ４ｂに登録しておく。

【００６１】ゲートウェイ４ｂに対するユーザ登録方法
などはシステムの性質に応じ任意に設定すれば良い。公
開鍵要求に対し、ゲートウェイ４ｂの公開鍵が得られた
ら、移動計算機２は、以下の２度目の登録要求（ｒｅｇ
ｉｓｔｒａｔｉｏｎ ｒｅｑｕｅｓｔ）を送る。

【００６２】図７に、第２の登録メッセージの一例を示
す。ＩＰヘッダ１では、送信元を移動計算機（ＭＮ）の
Ｃａｒｅ−ｏｆアドレス、宛先をゲートウェイ４ｂ（Ｇ
Ｗ１）のＧｌｏｂａｌアドレスとし、ＫＥＹ情報と、Ａ
Ｈ情報を付加する。

【００６３】ＫＥＹ情報は、ＩＰヘッダ１の送信元ノー
ドと宛先ノードとの間（ここでは、移動計算機２〜ゲー
トウェイ４ｂ間）で共有する鍵情報を含むヘッダ情報で
ある。

【００６４】ＡＨ情報は、上記鍵を使って生成された認
証データを含むヘッダ情報である。また、内部ＩＰヘッ
ダ（登録要求）では、送信元を移動計算機（ＭＮ）のＰ
ｒｉｖａｔｅアドレス、宛先をホームエージェント（Ｈ
Ａ）のＰｒｉｖａｔｅアドレスとする。

【００６５】この登録メッセージは、ゲートウェイ４ｂ
宛でかつゲートウェイ４ｂに対する認証データを含むＡ
Ｈ情報（移動計算機識別情報）が付与されているので、
ゲートウェイ４ｂは認証処理を行い、これに成功すれば
登録メッセージは通過できる。

【００６６】この結果、ゲートウェイ４ｂは、次段のゲ
ートウェイ４ａ宛に登録メッセージを転送する。そし
て、登録メッセージは、インターネット６からゲートウ
ェイ４ａを介してホームエージェント５ａに到着し、必
要な登録処理が行われる。また、ホームエージェント５
ａは、移動計算機２に対して登録応答メッセージを送信
する。

【００６７】ホームエージェント５ａから送信される登
録応答メッセージは、ゲートウェイ４ａにて中継され、
ゲートウェイ４ｂに到達する。ゲートウェイ４ｂでは、
これを図８に示すように変形して移動計算機宛に転送す
る。図８において、ＩＰヘッダ１では、送信元をゲート
ウェイ４ｂ（ＧＷ１）のＧｌｏｂａｌアドレス、宛先を
移動計算機（ＭＮ）のＣａｒｅ−ｏｆアドレスとし、Ｋ
ＥＹ情報と、ＡＨ情報を付加する。また、内部ＩＰヘッ
ダ（登録応答）では、送信元をホームエージェント（Ｈ
Ａ）のＰｒｉｖａｔｅアドレス、宛先を移動計算機（Ｍ
Ｎ）のＰｒｉｖａｔｅアドレスとする。

【００６８】またその代わりに、ゲートウェイ４ｂで
は、パケットを図８からＩＰヘッダ１、ＫＥＹ情報、Ａ
Ｈ情報を取り除いた形式のパケットで移動計算機宛に転
送するようにしても良い。

【００６９】なお、ゲートウェイ４ａとゲートウェイ４
ｂの間で経路認証を行う場合には、各ゲートウェイは、
パケットに前述の次段に対するＫＥＹ情報とＡＨ情報と
ＩＰヘッダを付加すれば良い（前段とのＫＥＹ情報等が
パケットに付加されていた場合には次段に対するものに
置換される）。

【００７０】以上の登録処理が完了したら、それ以降、
移動計算機２が訪問ネットワーク１ｂ外に位置する通信
相手計算機２とデータ通信を行う場合も、上記の移動計
算機２〜ゲートウェイ４ｂ間の認証データをパケットに
付加して転送する。この認証データ付加があるか否かに
よって、ゲートウェイ４ｂにて正しく認識されている訪
問ノードであるか否かを正しく判定し、セキュリティに
正しい移動計算機のメッセージ制御を行うことが可能で
ある。

【００７１】以下、登録メッセージに関する処理手順の
他の例を説明する。なお、ここでは、パケット内のデー
タ部を暗号化する場合が含まれる例を示す。本例では、
各パケット検査装置は、パケット暗号化ゲートウェイと
して働く。

【００７２】ここでは、前述したような経路間での認証
を、ＩＰセキュリティと呼ばれる仕様を用いたパケット
内容の暗号化および末端同士でのパケット認証（参考文
献：ＩＥＴＦ ＲＦＣ１８２５〜１８２９）と併せて定
義した形式を採用する通信システムに本発明を適用した
場合について説明する。

【００７３】ＩＥＴＦではＩＰパケットへの認証コード
付与方式をＩＰセキュリティ標準（文献：ＩＥＴＦ Ｒ
ＦＣ１８２６，１８２８）として規定しているが、この
方法を利用し、移動計算機の身分証明のための処理とし
てデータパケットに移動計算機と移動先ネットワークの
ゲートウェイ間での認証データを付加し、ゲートウェイ
では受信したパケットの認証コードを確認してから、外
部にパケットを通過させるようにする。これによって、
たとえ組織外のユーザが入って来てネットワーク外部に
対しデータパケットを送信したいと要求しても、予め所
定の方法で認証鍵を交換し身分保証を行った移動計算機
のみに外部アクセスを許可することが可能となる。

【００７４】図９に各ゲートウェイ（パケット暗号化ゲ
ートウェイ）で処理されるパケット形式を示す。（ａ）
は、通常のＩＰパケット形式である。

【００７５】（ｂ）は、暗号化／末端認証形式であり、
末端のゲートウェイ間または末端のゲートウェイ〜移動
計算機間でパケットの暗号化および認証を行う形式であ
る。（ｃ）は、暗号化／経路間認証形式である。途中経
路間でのゲートウェイ間、途中経路のゲートウェイ〜移
動計算機間の認証を必要とする場合にはこの形式を使用
する。

【００７６】（ｄ）は、移動ＩＰ形式であり、ホームエ
ージェントで移動計算機宛に経路制御されるパケット形
式である。まず、移動計算機２がホームドメインにいる
［ＭＮ−ｈｏｍｅ］の場合は、前述した場合と同様であ
り、ホームエージェント（ＨＡ）のＰｒｉｖａｔｅアド
レス ・移動計算機（ＭＮ）のＰｒｉｖａｔｅアドレス を調べ、通常のＩＰパケット形式で登録要求を送り、Ｉ
Ｐパケット形式の応答を受信するだけでよいので、登録
メッセージの送出は不要である。

【００７７】移動計算機２がホームドメイン外［ＭＮ−
ｆｏｒｅｉｇｎ］に移動している場合、まず、 ・ホームネットワークのゲートウェイ（ＧＷ０）のｇｌ
ｏｂａｌアドレス ・ホームネットワークのゲートウェイ（ＧＷ０）の公開
鍵 ・移動計算機（ＭＮ）のＣａｒｅ−ｏｆアドレス、Ｐｒ
ｉｖａｔｅアドレス ・ホームエージェント（ＨＡ）のＰｒｉｖａｔｅアドレ
ス を調べ、第１の登録メッセージを送る。

【００７８】図１０に第１の登録メッセージの一例を示
す。ＩＰヘッダでは、送信元を移動計算機（ＭＮ）のＣ
ａｒｅ−ｏｆアドレス、宛先をゲートウェイ４ａ（ＧＷ
０）のＧｌｏｂａｌアドレスとし、ＫＥＹ情報と、ＡＨ
情報と、ＥＳＰ情報を付加する。

【００７９】ＫＥＹ情報は、ＩＰヘッダの送信元ノード
と宛先ノードとの間（ここでは、移動計算機２〜ゲート
ウェイ４ａ間）で共有する鍵情報を含むヘッダ情報であ
る。ＡＨ情報は、上記鍵を使って生成された認証データ
を含むヘッダ情報である。

【００８０】ＥＳＰ情報は、暗号化された内部データ
（ここでは、内部ＩＰヘッダとそのデータ部）を復号す
るアルゴリズムを指定する情報を含むヘッダ情報であ
る。また、内部ＩＰヘッダ（登録要求）では、送信元を
移動計算機（ＭＮ）のＰｒｉｖａｔｅアドレス、宛先を
ホームエージェント（ＨＡ）のＰｒｉｖａｔｅアドレス
とする。

【００８１】これに対し、移動計算機２がホームネット
ワーク１ａと親しいネットワークに移動して、そのゲー
トウェイが登録メッセージを自由に外部に送出させる場
合には、問題なく、受諾応答が返るだけであるが、もし
ゲートウェイ４ｂが、管理対象でない計算機から自装置
宛でないパケットを受信したならば、登録メッセージの
通過を拒否するメッセージを返すような場合には、通過
拒否メッセージが返送される。

【００８２】図１１に、通過拒否メッセージの一例とし
て、ＴＣＰ／ＩＰ通信のＩＣＭＰメッセージを拡張した
形式で実現したものを示す。ＩＰヘッダでは、送信元を
ゲートウェイ４ｂ（ＧＷ１）のＧｌｏｂａｌアドレス、
宛先を移動計算機（ＭＮ）のＣａｒｅ−ｏｆアドレスと
する。

【００８３】この場合は、移動計算機２は、通過拒否メ
ッセージ中に含まれるゲートウェイ４ｂのｇｌｏｂａｌ
アドレスを用いて、ゲートウェイ４ｂに対し鍵要求メッ
セージを送信して、公開鍵の問い合わせを行う。

【００８４】図１２に、鍵要求メッセージの一例を示
す。ＩＰヘッダでは、送信元を移動計算機（ＭＮ）のＣ
ａｒｅ−ｏｆアドレス、宛先をゲートウェイ４ｂ（ＧＷ
１）のＧｌｏｂａｌアドレスとする。

【００８５】なお、前述したように、この鍵要求メッセ
ージに対し、ゲートウェイ４ｂが公開鍵情報を渡すか否
かの判断は、ゲートウェイ４ｂのサイトのシステム管理
のポリシーに依存する。

【００８６】この鍵要求メッセージに対し、ゲートウェ
イ４ｂの公開鍵が得られたら、移動計算機２は、以下の
２度目の登録要求を送る。図１３に、第２の登録メッセ
ージの一例を示す。

【００８７】ＩＰヘッダ１では、送信元を移動計算機
（ＭＮ）のＣａｒｅ−ｏｆアドレス、宛先をゲートウェ
イ４ｂ（ＧＷ１）のＧｌｏｂａｌアドレスとし、ＫＥＹ
情報と、ＡＨ情報を付加する。

【００８８】ＫＥＹ１情報は、ＩＰヘッダ１の送信元ノ
ードと宛先ノードとの間（ここでは、移動計算機２〜ゲ
ートウェイ４ｂ間）で共有する鍵情報を含むヘッダ情報
である。

【００８９】ＡＨ情報は、上記鍵を使って生成された認
証データを含むヘッダ情報である。ＩＰヘッダ２では、
送信元を移動計算機（ＭＮ）のＣａｒｅ−ｏｆアドレ
ス、宛先をゲートウェイ４ａ（ＧＷ０）のＧｌｏｂａｌ
アドレスとし、ＫＥＹ情報と、ＡＨ情報と、ＥＳＰ情報
を付加する。

【００９０】ＫＥＹ２情報は、ＩＰヘッダ２の送信元ノ
ードと宛先ノードとの間（ここでは、移動計算機２〜ゲ
ートウェイ４ａ間）で共有する鍵情報を含むヘッダ情報
である。

【００９１】ＡＨ情報は、上記鍵を使って生成された認
証データを含むヘッダ情報である。ＥＳＰ情報は、暗号
化された内部データ（ここでは、内部ＩＰヘッダとその
データ部）を復号するアルゴリズムを指定する情報を含
むヘッダ情報である。

【００９２】また、内部ＩＰヘッダ（登録要求）では、
送信元を移動計算機（ＭＮ）のＰｒｉｖａｔｅアドレ
ス、宛先をホームエージェント（ＨＡ）のＰｒｉｖａｔ
ｅアドレスとする。

【００９３】この登録メッセージは、ゲートウェイ４ｂ
宛でかつゲートウェイ４ｂに対する認証データを含むＡ
Ｈ情報（移動計算機識別情報）が付与されているので、
ゲートウェイ４ｂは認証処理を行い、これに成功すれば
メッセージは通過できる。

【００９４】この結果、ゲートウェイ４ｂは、次段のゲ
ートウェイ４ａ宛に登録メッセージを転送する。そし
て、登録メッセージは、インターネット６からゲートウ
ェイ４ａを介してホームエージェント５ａに到着し、必
要な登録処理が行われる。また、ホームエージェント５
ａは、移動計算機２に対して登録応答メッセージを送信
する。

【００９５】ホームエージェント５ａから送信される登
録応答メッセージ（ＫＥＹ２情報とＡＨ情報とＩＰヘッ
ダ２にカプセル化されたもの）、ゲートウェイ４ａにて
中継され、ゲートウェイ４ｂに到達する。

【００９６】ゲートウェイ４ｂでは、これを図１４に示
すように変形して移動計算機宛に転送する。図１４にお
いて、ＩＰヘッダ１では、送信元をゲートウェイ４ｂ
（ＧＷ１）のＧｌｏｂａｌアドレス、宛先を移動計算機
（ＭＮ）のＣａｒｅ−ｏｆアドレスとし、ＫＥＹ１情報
と、ＡＨ情報を付加する。ＩＰヘッダ２では、送信元を
ゲートウェイ４ａ（ＧＷ０）のＧｌｏｂａｌアドレス、
宛先を移動計算機（ＭＮ）のＣａｒｅ−ｏｆアドレスと
し、ＫＥＹ２情報と、ＡＨ情報と、ＥＳＰ情報を付加す
る。また、内部ＩＰヘッダ（登録要求）では、送信元を
ホームエージェント（ＨＡ）のＰｒｉｖａｔｅアドレ
ス、宛先を移動計算機（ＭＮ）のＰｒｉｖａｔｅアドレ
スとする。

【００９７】またその代わりに、ゲートウェイ４ｂで
は、パケットを図１４からＩＰヘッダ１、ＫＥＹ１情
報、ＡＨ情報を取り除いた形式のパケットで移動計算機
宛に転送するようにしても良い。

【００９８】なお、ゲートウェイ４ａとゲートウェイ４
ｂの間で経路認証を行う場合には、各ゲートウェイ４ａ
は、パケットに前述の次段に対するＫＥＹ１情報とＡＨ
情報とＩＰヘッダ１を付加すれば良い（前段とのＫＥＹ
情報等がパケットに付加されていた場合には次段に対す
るものに置換される）。

【００９９】以上の登録処理が完了したら、それ以降、
移動計算機２が訪問ネットワーク外に位置する通信相手
計算機２とデータ通信を行う場合も、上記の移動計算機
２〜ゲートウェイ４ｂ間の認証データをパケットに付加
して転送する（これもＩＰＳＥＣの拡張で実装でき
る）。この認証データ付加があるか否かによって、ゲー
トウェイ４ｂにて正しく認識されている訪問ノードであ
るか否かを正しく判定し、セキュリティに正しい移動計
算機のメッセージ制御を行うことが可能である。

【０１００】なお、上記した各例では、移動先ネットワ
ークにおいてそのゲートウェイから一旦パケットの通過
を拒否された場合、所定の手順の後、認証データをパケ
ットに付加して送信するものであったが、その代わり
に、ゲートウェイにて認証に成功した移動計算機を管理
対象として管理テーブルに登録し、以降はその移動計算
機については認証を省くようにしても良い（この場合、
登録後は、移動計算機は認証データをパケットに付加せ
ずに送信することができる）。

【０１０１】さて、従来、移動ＩＰ方式では、各ネット
ワークノードは一意なＩＰアドレスが付与され、自由に
制御パケットをやりとりできるという仮定でのみ、経路
制御や移動計算機位置の登録などの規定を行っていた
が、本実施形態によれば、実際の運用に際して、移動計
算機がどのような組織に属するネットワークに移動した
か、というネットワーク運用ポリシーに関する動作規定
を考慮することができる。

【０１０２】特に、セキュリティを考慮し、内部計算機
の自由な外部アクセスを許可しないようなネットワーク
に移動計算機が移動した場合にも、移動後に行う新規位
置の登録メッセージの送信や通常の通信データの送信に
際し、移動計算機が自身が外部組織のネットワークにい
るということを認識して、移動先ネットのゲートウェイ
に対して自分の身分証明を行う処理を行ってから外部ア
クセスを行う手段を提供できるので、正規の処理を経た
移動計算機発のパケットのみを選択的に通過させ、セキ
ュリティの高い、かつ柔軟な移動計算機制御を行うこと
ができる。

【０１０３】また、本実施形態では、パケット自体に対
し認証コードを付与して画一的な処理を移動計算機およ
びゲートウェイで行うことができるので、移動計算機個
々をテーブル管理したりといった処理が不要で、高速な
認証が可能である。特に、パケットの暗号化や通信の末
端同士でのパケット内容の認証といったＩＰセキュリテ
ィ処理を併用する場合に有効である。

【０１０４】以上の各機能、例えば移動計算機に搭載す
るパケット暗号化認証部などは、ハードウェアとしても
ソフトウェアとして実現可能である。また、上記した各
手順あるいは手段をコンピュータに実行させるためのプ
ログラムを記録した機械読取り可能な媒体として実施す
ることもできる。

【０１０５】なお、本実施形態では、ポップアップモー
ドによる通信システムについて説明したが、本発明は、
フォーリンエージェントの存在を仮定した通信システム
にも適用可能である。

【０１０６】また、本発明は、現在種々提案されている
移動通信プロトコル、暗号化通信プロトコル、暗号鍵交
換プロトコルに対しても適用可能である。本発明は、上
述した実施の形態に限定されるものではなく、その技術
的範囲において種々変形して実施することができる。

【０１０７】

【発明の効果】本発明に係るパケット検査装置によれ
ば、ネットワーク内部に移動してきた管理対象外の移動
計算機のうち、正当と認識できる移動計算機からのパケ
ットのみをネットワーク外部へ通過させる制御を行うこ
とができる。

【０１０８】本発明に係る移動計算機装置によれば、自
装置を一旦侵入者とみなすネットワークに移動した場合
に、パケット検査装置との間で自装置の正当性の確認を
行い、該パケット検査装置から外部へパケットを通過さ
せる制御を行うことができる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係るシステムの基本構成
の一例を示す図

【図２】同実施形態に係る移動計算機の位置判定処理の
流れを示すフローチャート

【図３】同実施形態に係る移動登録メッセージ送信手順
を説明するための図

【図４】同実施形態に係る第１の登録メッセージのフォ
ーマットの一例を示す図

【図５】同実施形態に係る通過拒否メッセージのフォー
マットの一例を示す図

【図６】同実施形態に係る鍵要求メッセージのフォーマ
ットの一例を示す図

【図７】同実施形態に係る第２の登録メッセージのフォ
ーマットの一例を示す図

【図８】同実施形態に係るデータパケットのフォーマッ
トの一例を示す図

【図９】ＩＰセキュリティに基づくパケット形式の一例
を示す図

【図１０】同実施形態に係る第１の登録メッセージのフ
ォーマットの他の例を示す図

【図１１】同実施形態に係る通過拒否メッセージのフォ
ーマットの他の例を示す図

【図１２】同実施形態に係る鍵要求メッセージのフォー
マットの他の例を示す図

【図１３】同実施形態に係る第２の登録メッセージのフ
ォーマットの他の例を示す図

【図１４】同実施形態に係るデータパケットのフォーマ
ットの他の例を示す図

【図１５】移動計算機を含む通信システムの基本構成を
説明するための他の図

【符号の説明】

１ａ…ホームネットワーク １ｂ，１ｃ…他部署ネットワーク ２…移動計算機 ３…通信相手計算機 ４ａ，４ｂ，４ｃ…パケット検査装置（ゲートウェイ） ５ａ，５ｂ，５ｃ…ホームエージェント ６…インターネット

───────────────────────────────────────────────────── フロントページの続き (72)発明者 津田 悦幸 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内 (72)発明者 新保 淳 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内 (72)発明者 岡本 利夫 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内

Claims (7)

【特許請求の範囲】
1. 【請求項１】自装置の管理するネットワークの内部の計
   算機がネットワーク外の計算機へ向けて送信するパケッ
   トを検査するパケット検査装置であって、 自装置の管理対象となる計算機以外の移動計算機から送
   信されたパケットに含まれる移動計算機識別情報に基づ
   き、該移動計算機から送信されたパケットのネットワー
   ク外への転送の可否を判定する判定手段と、 この判定手段により転送を拒否すると判定した場合に、
   前記移動計算機に転送拒否を示すメッセージを返信する
   手段と、 前記移動計算機から移動計算機識別情報を生成するため
   の鍵情報を要求するメッセージを受信した場合に、該移
   動計算機のユーザに関する情報が所定の条件を満たすこ
   とを確認したならば、要求された鍵情報を返送する手段
   とを具備したことを特徴とするパケット検査装置。
2. 【請求項２】自装置がどの計算機を管理するかを示す管
   理対象計算機認識手段をさらに備え、 前記判定手段は、この管理対象計算機認識手段により、
   ネットワーク内部の計算機から送信されたパケットが自
   装置の管理する計算機から送信されたものであることが
   示される場合は、該パケットをそのまま転送することを
   許可すると判定することを特徴とする請求項１に記載の
   パケット検査装置。
3. 【請求項３】自装置がどの計算機を管理するかを示す管
   理対象計算機認識手段をさらに備え、 前記判定手段は、この管理対象計算機認識手段により、
   ネットワーク内部の計算機から送信されたパケットが自
   装置の管理しない計算機から送信されたものであること
   が示され、かつ、このパケットが移動計算機識別子を含
   まない場合は、該パケットの転送を拒否すると判定する
   ことを特徴とする請求項１に記載のパケット検査装置。
4. 【請求項４】相互に接続されたネットワーク間を移動し
   て通信を行うことが可能な移動計算機であって、 自装置が現在位置するネットワーク以外のネットワーク
   に、自装置の移動位置情報を管理し自装置宛のパケット
   を自装置の現在位置に転送する手段を有する移動計算機
   管理装置が存在する場合に、該移動計算機管理装置へ向
   けて自装置の現在位置情報を含む登録メッセージを送信
   する第１の送信手段と、 自装置が現在位置するネットワーク内部から該ネットワ
   ーク外へのパケットを検査するパケット検査装置から、
   この第１の送信手段により送信された登録メッセージの
   パケット転送拒否を示すメッセージが返信された場合
   に、該パケット検査装置に移動計算機識別情報を生成す
   るための鍵情報を要求する要求メッセージを送信する第
   ２の送信手段と、 この第２の送信手段により送信された要求メッセージに
   応答して、前記パケット検査装置から鍵情報が返送され
   た場合に、この鍵情報に基づいて生成した移動計算機識
   別情報を自装置が現在位置するネットワーク外へ向けて
   送信すべきパケットに付加して送信する第３の送信手段
   とを具備したことを特徴とする移動計算機装置。
5. 【請求項５】前記第３の送信手段は、前記移動計算機管
   理装置へ向けて、自装置の現在位置情報を含む登録メッ
   セージを、前記移動計算機識別情報を付加して送信し、
   該移動計算機管理装置からの登録メッセージに対する受
   諾応答を受信した後、通信相手となる計算機へのデータ
   パケットを、前記移動計算機識別情報を付加して送信す
   るものであることを特徴とする請求項４に記載の移動計
   算機装置。
6. 【請求項６】自装置の管理するネットワークの内部の計
   算機がネットワーク外の計算機へ向けて送信するパケッ
   トを検査するパケット検査装置のパケット転送方法であ
   って、 自装置の管理対象となる計算機以外の移動計算機から送
   信されたパケットに含まれる移動計算機識別情報に基づ
   き、該移動計算機から送信されたパケットのネットワー
   ク外への転送の可否を判定し、 転送を拒否すると判定した場合に、前記移動計算機に転
   送拒否を示すメッセージを返信し、 前記移動計算機から移動計算機識別情報を生成するため
   の鍵情報を要求するメッセージを受信した場合に、該移
   動計算機のユーザに関する情報が所定の条件を満たすこ
   とを確認したならば、要求された鍵情報を返送すること
   を特徴とするパケット転送方法。
7. 【請求項７】相互に接続されたネットワーク間を移動し
   て通信を行うことが可能な移動計算機のパケット転送方
   法であって、 自装置が現在位置するネットワーク以外のネットワーク
   に、自装置の移動位置情報を管理し自装置宛のパケット
   を自装置の現在位置に転送する手段を有する移動計算機
   管理装置が存在する場合に、該移動計算機管理装置へ向
   けて自装置の現在位置情報を含む登録メッセージを送信
   し、 自装置が現在位置するネットワーク内部から該ネットワ
   ーク外へのパケットを検査するパケット検査装置から、
   前記登録メッセージに対するパケット転送拒否を示すメ
   ッセージが返信された場合に、該パケット検査装置に移
   動計算機識別情報を生成するための鍵情報を要求する要
   求メッセージを送信し、 この要求メッセージに応答して、前記パケット検査装置
   から鍵情報が返送された場合に、この鍵情報に基づいて
   生成した移動計算機識別情報を自装置が現在位置するネ
   ットワーク外へ向けて送信すべきパケットに付加して送
   信することを特徴とするパケット転送方法。