(57)【要約】【課題】訪問者ノードから送信されたパケットに関して、ホームユーザによって設定された様々なセキュリティポリシに基づくアクセスコントロールを確実に執行できるようにする。【解決手段】モバイルＰＡＮ３０を管理するＭＲ（モバイルルータ）１０は、モバイルＰＡＮに接続されている通信端末から外部に転送するパケットの送信者が、ホームネットワークに本来存在しているホームユーザのノードか、それ以外の訪問者ノード（ＶＮ３１）かの判断を行い、ホームユーザのノードからのパケットはＨＡ２０に転送する一方、訪問者ノードのパケットはＤＭＺ３５に配置されているポリシサーバ３６に転送する。これにより、訪問者ノードからホームネットワークにアクセスを行おうとするすべてのパケットは、ポリシサーバでセキュリティポリシ３６ａに基づくアクセスコントロールが行われるようになる。【選択図】図３
2009521820.tif 000002
【特許請求の範囲】
【請求項１】
モバイルネットワークを制御し、前記モバイルネットワークと共に移動するモバイルネットワーク管理装置であって、
前記モバイルネットワークに接続されている通信端末から、前記モバイルネットワークのホームネットワークへのアクセス要求を受信するアクセス要求受信手段と、
前記アクセス要求受信手段で受信した前記アクセス要求の送信元の通信端末が、前記ホームネットワークに直接アクセスすることを許可されているか否かを判断する判断手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されている場合には、前記ホームネットワークに存在する移動情報管理装置に前記アクセス要求を転送するホームネットワーク通信手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されていない場合には、前記ホームネットワークと外部ネットワークとの中間に存在するセキュリティ用ネットワークに配置されており、前記ホームネットワークへのアクセスコントロールを行うセキュリティ管理装置に前記アクセス要求を転送するセキュリティ用ネットワーク通信手段とを、
有するモバイルネットワーク管理装置。
【請求項２】
前記通信端末が前記モバイルネットワークに接続する際に、前記通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを特定する通信端末特定手段と、
前記通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを示す情報を格納する情報格納手段とを有し、
前記判断手段が、前記情報格納手段に格納されている前記情報を参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断するように構成されている請求項１に記載のモバイルネットワーク管理装置。
【請求項３】
前記ホームネットワークに直接アクセスすることを許可されている通信端末及び前記ホームネットワークに直接アクセスすることを許可されていない通信端末に対して、それぞれ異なるアドレスのプレフィックスを通知するプレフィックス通知手段を有し、
前記判断手段が、前記アクセス要求の送信元アドレスのプレフィックスを参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断するように構成されている請求項１に記載のモバイルネットワーク管理装置。
【請求項４】
前記移動情報管理装置との間でトンネルを形成し、前記ホームネットワーク通信手段で前記アクセス要求を転送する際に前記アクセス要求をカプセル化する第１トンネリング手段と、
前記セキュリティ管理装置との間でトンネルを形成し、前記セキュリティ用ネットワーク通信手段で前記アクセス要求を転送する際に前記アクセス要求をカプセル化する第２トンネリング手段とを、
有する請求項１から３のいずれか１つに記載のモバイルネットワーク管理装置。
【請求項５】
モバイルネットワークを制御し、前記モバイルネットワークと共に移動するモバイルネットワーク管理装置であって、
前記モバイルネットワークに接続されている通信端末から、前記モバイルネットワーク管理装置のホームネットワークへのアクセス要求を受信するアクセス要求受信手段と、
前記アクセス要求受信手段で受信した前記アクセス要求の送信元の通信端末が、前記ホームネットワークに直接アクセスすることを許可されているか否かを判断する判断手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを示す指標情報を前記アクセス要求に付加する情報付加手段と、
前記情報付加手段で前記指標情報が付加された前記アクセス要求を前記ホームネットワークに存在する移動情報管理装置に転送するホームネットワーク通信手段とを、
有するモバイルネットワーク管理装置。
【請求項６】
前記通信端末が前記モバイルネットワークに接続する際に、前記通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを特定する通信端末特定手段と、
前記通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを示す情報を格納する情報格納手段とを有し、
前記判断手段が、前記情報格納手段に格納されている前記情報を参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断するように構成されている請求項５に記載のモバイルネットワーク管理装置。
【請求項７】
前記ホームネットワークに直接アクセスすることを許可されている通信端末及び前記ホームネットワークに直接アクセスすることを許可されていない通信端末に対して、それぞれ異なるアドレスのプレフィックスを通知するプレフィックス通知手段を有し、
前記判断手段が、前記アクセス要求の送信元アドレスのプレフィックスを参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断するように構成されている請求項５に記載のモバイルネットワーク管理装置。
【請求項８】
前記移動情報管理装置との間でトンネルを形成し、前記ホームネットワーク通信手段で前記アクセス要求を転送する際に前記アクセス要求をカプセル化するトンネリング手段を有する請求項５から７のいずれか１つに記載のモバイルネットワーク管理装置。
【請求項９】
ホームネットワークに直接アクセスしようとしている通信端末の移動管理を行う移動情報管理装置であって、
モバイルネットワークを制御し、前記モバイルネットワークと共に移動するモバイルネットワーク管理装置から、カプセル化されたパケットを受信するパケット受信手段と、
前記カプセル化されたパケットをデカプセル化するデカプセル化手段と、
デカプセル化された内部パケットが前記ホームネットワークへのアクセス要求の場合には、前記内部パケットの送信元アドレスのプレフィックスを参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断する判断手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されている場合には、前記内部パケットのあて先アドレスで指定されているあて先に前記アクセス要求を転送するホームネットワーク通信手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されていない場合には、前記ホームネットワークと外部ネットワークとの中間に存在するセキュリティ用ネットワークに配置されており、前記ホームネットワークへのアクセスコントロールを行うセキュリティ管理装置に前記アクセス要求を転送するセキュリティ用ネットワーク通信手段とを、
有する移動情報管理装置。
【請求項１０】
前記セキュリティ管理装置との間でトンネルを形成し、前記セキュリティ用ネットワーク通信手段で前記アクセス要求を転送する際に前記アクセス要求をカプセル化するトンネリング手段を有する請求項９に記載の移動情報管理装置。
【請求項１１】
ホームネットワークに直接アクセスすることを許可されている通信端末の移動管理を行う移動情報管理装置であって、
モバイルネットワークを制御し、前記モバイルネットワークと共に移動するモバイルネットワーク管理装置から、カプセル化されたパケットを受信するパケット受信手段と、
前記カプセル化されたパケットをデカプセル化するとともに、カプセル化ヘッダに付加されている指標情報であって、前記デカプセル化された内部パケットの送信元が前記ホームネットワークに直接アクセスすることを許可されている通信端末であるか否かを示す前記指標情報を取得するデカプセル化手段と、
デカプセル化された前記内部パケットが前記ホームネットワークへのアクセス要求の場合には、前記指標情報を参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断する判断手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されている場合には、前記内部パケットのあて先アドレスで指定されているあて先に前記アクセス要求を転送するホームネットワーク通信手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されていない場合には、前記ホームネットワークと外部ネットワークとの中間に存在するセキュリティ用ネットワークに配置されており、前記ホームネットワークへのアクセスコントロールを行うセキュリティ管理装置に前記アクセス要求を転送するセキュリティ用ネットワーク通信手段とを、
有する移動情報管理装置。
【請求項１２】
前記セキュリティ管理装置との間でトンネルを形成し、前記セキュリティ用ネットワーク通信手段で前記アクセス要求を転送する際に前記アクセス要求をカプセル化するトンネリング手段を有する請求項１１に記載の移動情報管理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、モバイル通信ネットワークを利用して通信を行うモバイルネットワーク管理装置及び移動情報管理装置に関し、特に、個人的なモバイル通信ネットワーク（パーソナルモバイル通信ネットワーク）及びユーザのホームネットワークのセキュリティ向上を図るためにアクセスコントロールを行うモバイルネットワーク管理装置及び移動情報管理装置に関する。
【背景技術】
【０００２】
ネットワークモビリティの概念によれば、ユーザが自分の家から離れているとき（外出しているとき）であっても、このユーザとの連絡を取ることができるようになる。
【０００３】
上記の事項を実現する典型的な例としては、例えば“Mobility Support in IPv6”、Internet Engineering Task Force Request For Comments 3775、２００４年６月（以下「非特許文献１」）に定義されているモバイルＩＰを使用するものが挙げられる。
【０００４】
モバイルＩＰの技術を用いれば、モバイル装置の有線ケーブル接続を外した場合でも、その接続はユーザの自宅のＤＳＬ回線（有線接続）からセルラアクセスシステム（無線接続）に移ることになり、有線接続から無線接続への切り換えによって、ユーザは、ファイルのダウンロードやボイスオーバＩＰ（ＶｏＩＰ：Voice over IP）による会話を継続して行うことができるようになる。
【０００５】
これにより、ユーザは、モバイル装置を携帯して移動を行うことができるようになり、さらには、無線接続ポイントを切り換えることで、外出先であってもシームレスなネットワークへの接続性を維持することができるようになる。
【０００６】
また、ユーザは、モバイルパーソナルエリアネットワーク（ＰＡＮ：Personal Area Network）を形成して、移動を行った場合でもシームレスなネットワークへの接続性を維持することができるようになる。ネットワークモビリティのようなＰＡＮを実現する典型的な例としては、“Network Mobility (NEMO) Basic Support Protocol”、 Internet Engineering Task Force Request For Comments 3963、２００５年１月（以下「非特許文献２」）に定義されているネットワークモビリティ（ＮＥＭＯ：Network Mobility）が挙げられる。
【０００７】
モバイルＰＡＮ内のノードは、所望のデータトラフィックをモバイルＰＡＮ内に位置するモバイルルータ（ＭＲ：Mobile Router、モバイルネットワーク管理装置）を通じた経路に定めることにより、世界中の他のノードと通信を行うことが可能となる。
【０００８】
ＭＲは、自身の現在位置アドレスをホームエージェント（ＨＡ：Home Agent、移動情報管理装置）に登録する。なお、この現在位置アドレスは、気付アドレス（ＣｏＡ：Care-of Address）として知られている。ホームエージェント（ＨＡ）は、ユーザのホームネットワーク内でルータとして機能し、モバイルノードのホームアドレスをあて先とするパケットを受信（intercept）して、パケットのカプセル化（encapsulate）を行い、モバイルノードの登録されているＣｏＡにトンネルする。
【０００９】
また、ＮＥＭＯでは、ＭＲが外部リンク（foreign link）上に存在する場合、ＭＲとＨＡとの間に双方向トンネルが確立され、この双方向トンネルを通じて相互の間でパケットが伝送できるようになる。非特許文献２に記載されているように、モバイルＰＡＮから発送されるトラフィック、あるいはモバイルＰＡＮで終端するトラフィックは、すべて双方向トンネルを経由して送信される。
【００１０】
また、ユーザは、外部ノード（foreign node）がユーザのモバイルＰＡＮ内で動作することを認可してもよい。なお、以降、この外部ノードを訪問者ノード（ＶＮ：Visitor Node）と呼ぶ場合もある。
【００１１】
ＶＮは、ユーザのホームネットワーク内に存在するデータ（例えば、ユーザのメディアサーバに存在する音楽ファイル）へのアクセス認可を受けることができる。なお、この場合、ＶＮがユーザのホームネットワークにアクセスできるようにする前に、ＶＮが従うべき様々なセキュリティポリシを構成する必要がある。
【００１２】
Benchmarking Terminology for Firewall Performance”、Internet Engineering Task Force Request For Comments 2647、１９９９年８月（以下「非特許文献３」）に定義されているように、ホームネットワークと外部ネットワークとの中間に存在する非武装地帯（ＤＭＺ：De-Militarized Zone、セキュリティ用ネットワーク）内に存在するポリシサーバ（セキュリティ管理装置）が、このようなＶＮ用のセキュリティポリシを実行することが可能である。なお、ＤＭＺは、ユーザのホームドメインとグローバルインターネットとの間に位置している。
【００１３】
また、例えば、米国特許公開２００４／０１２０２９５（以下、「特許文献１」）では、ホームネットワーク内に位置しているコレスポンデントノード（ＣＮ：Correspondent Node）が、外部リンクに接続されているモバイルノード（ＭＮ：Mobile  Node）との間でセキュアな通信チャンネルを確立するための方法が提案されている。
【００１４】
この特許文献１に係る技術では、ＤＭＺ内に位置するＶＰＮ（Virtual Private Network：仮想専用ネットワーク）サーバを利用したモバイルＩＰプロキシによって、ＭＮとＣＮとの間には、セキュアなトンネルが確立可能となる。
【発明の開示】
【発明が解決しようとする課題】
【００１５】
しかしながら、上述の非特許文献３に開示されている技術によれば、モバイルＰＡＮ内のすべてのトラフィックがＭＲとＨＡとの間でトンネルされると、ＶＮのパケットは、ＤＭＺ内のポリシサーバを経由せず、ポリシサーバにおいてユーザにより設定された様々なセキュリティポリシが適用されなくなってしまうという問題がある。
【００１６】
一方、特許文献１に係る技術では、モバイルＩＰプロキシはＭＮに対する代理ＨＡとしての動作を行うとともに、ＨＡに対する代理ＭＮとしての動作を行う。これは、モバイルＩＰプロキシが、ＭＮ及びＨＡの両方のセキュリティアソシエーション鍵を知っている必要があることを意味している。また、特許文献１に係る技術では、外部ネットワークに位置するＭＲの配下に接続されているＶＮのアクセスコントロールに関しては、全く考慮されていない。
【００１７】
上記の問題に鑑み、本発明は、訪問者ノード（ＶＮ）から送信されたパケットに関して、ホームユーザによって設定された様々なセキュリティポリシに基づくアクセスコントロールを確実に執行できるようにするためのモバイルネットワーク管理装置及び移動情報管理装置を提供することを目的とする。
【課題を解決するための手段】
【００１８】
上記の目的を達成するため、本発明のモバイルネットワーク管理装置は、モバイルネットワークを制御し、前記モバイルネットワークと共に移動するモバイルネットワーク管理装置であって、
前記モバイルネットワークに接続されている通信端末から、前記モバイルネットワーク管理装置のホームネットワークへのアクセス要求を受信するアクセス要求受信手段と、
前記アクセス要求受信手段で受信した前記アクセス要求の送信元の通信端末が、前記ホームネットワークに直接アクセスすることを許可されているか否かを判断する判断手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されている場合には、前記ホームネットワークに存在する移動情報管理装置に前記アクセス要求を転送するホームネットワーク通信手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されていない場合には、前記ホームネットワークと外部ネットワークとの中間に存在するセキュリティ用ネットワークに配置されており、前記ホームネットワークへのアクセスコントロールを行うセキュリティ管理装置に前記アクセス要求を転送するセキュリティ用ネットワーク通信手段とを、
有する。
上記の構成により、モバイルネットワークに接続されている訪問者ノード（ＶＮ）を識別し、訪問者ノードに対して、セキュリティ管理装置（ポリシサーバ）によって確実にホームネットワークへのアクセス権を管理するためのアクセスコントロールを行うことが可能となる。
【００１９】
さらに、本発明のモバイルネットワーク管理装置は、上記の構成に加えて、前記通信端末が前記モバイルネットワークに接続する際に、前記通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを特定する通信端末特定手段と、
前記通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを示す情報を格納する情報格納手段とを有し、
前記判断手段が、前記情報格納手段に格納されている前記情報を参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断するように構成されている。
上記の構成により、訪問者ノードがモバイルネットワークへ接続した時点で、訪問者ノードか否かを示す情報を格納しておき、この情報を利用して、アクセス要求を行っている通信端末が訪問者ノードか否かの識別を行うことが可能となる。
【００２０】
さらに、本発明のモバイルネットワーク管理装置は、上記の構成に加えて、前記ホームネットワークに直接アクセスすることを許可されている通信端末及び前記ホームネットワークに直接アクセスすることを許可されていない通信端末に対して、それぞれ異なるアドレスのプレフィックスを通知するプレフィックス通知手段を有し、
前記判断手段が、前記アクセス要求の送信元アドレスのプレフィックスを参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断するように構成されている。
上記の構成により、訪問者ノードに割り当てるアドレスのプレフィックスを、ホームユーザのノードと異なるものにして、アクセス要求の送信元アドレスのプレフィックスを参照することにより、アクセス要求を行っている通信端末が訪問者ノードか否かの識別を行うことが可能となる。
【００２１】
さらに、本発明のモバイルネットワーク管理装置は、上記の構成に加えて、前記移動情報管理装置との間でトンネルを形成し、前記ホームネットワーク通信手段で前記アクセス要求を転送する際に前記アクセス要求をカプセル化する第１トンネリング手段と、
前記セキュリティ管理装置との間でトンネルを形成し、前記セキュリティ用ネットワーク通信手段で前記アクセス要求を転送する際に前記アクセス要求をカプセル化する第２トンネリング手段とを、
有する。
上記の構成により、モバイルネットワーク管理装置（モバイルルータ）は、モバイルネットワーク管理装置（モバイルルータ）の配下の通信端末から受信したアクセス要求を改変することなくセキュアな状態で、移動管理情報装置（ホームエージェント）又はセキュリティ管理装置（ポリシサーバ）に転送することが可能となる。
【００２２】
また、上記の目的を達成するため、本発明のモバイルネットワーク管理装置は、モバイルネットワークを制御し、前記モバイルネットワークと共に移動するモバイルネットワーク管理装置であって、
前記モバイルネットワークに接続されている通信端末から、前記モバイルネットワーク管理装置のホームネットワークへのアクセス要求を受信するアクセス要求受信手段と、
前記アクセス要求受信手段で受信した前記アクセス要求の送信元の通信端末が、前記ホームネットワークに直接アクセスすることを許可されているか否かを判断する判断手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを示す指標情報を前記アクセス要求に付加する情報付加手段と、
前記情報付加手段で前記指標情報が付加された前記アクセス要求を前記ホームネットワークに存在する移動情報管理装置に転送するホームネットワーク通信手段とを、
有する。
上記の構成により、訪問者ノードからホームネットワークへのアクセス要求に対して指標情報を付加することによって、モバイルネットワークに接続されている訪問者ノード（ＶＮ）を識別することが可能となる。指標情報の存在は、アクセス要求が訪問者ノードから行われたことを示している。
【００２３】
さらに、本発明のモバイルネットワーク管理装置は、上記の構成に加えて、前記通信端末が前記モバイルネットワークに接続する際に、前記通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを特定する通信端末特定手段と、
前記通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを示す情報を格納する情報格納手段とを有し、
前記判断手段が、前記情報格納手段に格納されている前記情報を参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断するように構成されている。
上記の構成により、訪問者ノードがモバイルネットワークへ接続した時点で、訪問者ノードである旨を示す情報を格納することが可能となる。さらに、この情報によって、アクセス要求を行っている通信端末が訪問者ノードか否かの識別を行う手段が実現されるようになる。
【００２４】
さらに、本発明のモバイルネットワーク管理装置は、上記の構成に加えて、前記ホームネットワークに直接アクセスすることを許可されている通信端末及び前記ホームネットワークに直接アクセスすることを許可されていない通信端末に対して、それぞれ異なるアドレスのプレフィックスを通知するプレフィックス通知手段を有し、
前記判断手段が、前記アクセス要求の送信元アドレスのプレフィックスを参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断するように構成されている。
上記の構成により、訪問者ノード及びホームユーザのノードは、ホームネットワークにおける通信手段として、それぞれ異なるアドレスプレフィックスを使用することが可能となる。その結果、アドレスに使われているプレフィックスを参照することにより、アクセス要求を行っている通信端末が訪問者ノードか否かの識別を行うことが可能となる。
【００２５】
さらに、本発明のモバイルネットワーク管理装置は、上記の構成に加えて、前記移動情報管理装置との間でトンネルを形成し、前記ホームネットワーク通信手段で前記アクセス要求を転送する際に前記アクセス要求をカプセル化するトンネリング手段を有する。
上記の構成により、モバイルネットワーク管理装置（モバイルルータ）は、モバイルネットワーク管理装置（モバイルルータ）配下の通信端末から受信したアクセス要求を改変することなくセキュアな状態で、移動管理情報装置（ホームエージェント）に転送することが可能となる。
【００２６】
また、上記の目的を達成するため、本発明の移動情報管理装置は、ホームネットワークに直接アクセスしようとしている通信端末の移動管理を行う移動情報管理装置であって、
モバイルネットワークを制御し、前記モバイルネットワークと共に移動するモバイルネットワーク管理装置から、カプセル化されたパケットを受信するパケット受信手段と、
前記カプセル化されたパケットをデカプセル化するデカプセル化手段と、
デカプセル化された内部パケットが前記ホームネットワークへのアクセス要求の場合には、前記内部パケットの送信元アドレスのプレフィックスを参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断する判断手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに本来存在しているものである場合には、前記内部パケットのあて先アドレスで指定されているあて先に前記アクセス要求を転送するホームネットワーク通信手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されていない場合には、前記ホームネットワークと外部ネットワークとの中間に存在するセキュリティ用ネットワークに配置されており、前記ホームネットワークへのアクセスコントロールを行うセキュリティ管理装置に前記アクセス要求を転送するセキュリティ用ネットワーク通信手段とを、
有する。
上記の構成により、ホームネットワークに直接アクセスすることを許可されている通信端末及びホームネットワークに直接アクセスすることを許可されていない通信端末を区別するようにアドレスのプレフィックスが割り当てられている場合に、移動情報管理装置（ホームエージェント）は、モバイルネットワーク管理装置（モバイルルータ）から受信したアクセス要求の送信元アドレスのプレフィックスを参照することにより、アクセス要求を行っている通信端末が訪問者ノードか否かの識別を行うことが可能となる。
【００２７】
また、上記の目的を達成するため、本発明の移動情報管理装置は、ホームネットワークに直接アクセスしようとしている通信端末の移動管理を行う移動情報管理装置であって、
モバイルネットワークを制御し、前記モバイルネットワークと共に移動するモバイルネットワーク管理装置から、カプセル化されたパケットを受信するパケット受信手段と、
前記カプセル化されたパケットをデカプセル化するとともに、カプセル化ヘッダに付加されている指標情報であって、前記デカプセル化された内部パケットの送信元が前記ホームネットワークに直接アクセスすることを許可されている通信端末であるか否かを示す前記指標情報を取得するデカプセル化手段と、
デカプセル化された前記内部パケットが前記ホームネットワークへのアクセス要求の場合には、前記指標情報を参照して、前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されているか否かを判断する判断手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されている場合には、前記内部パケットのあて先アドレスで指定されているあて先に前記アクセス要求を転送するホームネットワーク通信手段と、
前記アクセス要求の送信元の通信端末が前記ホームネットワークに直接アクセスすることを許可されていない場合には、前記ホームネットワークと外部ネットワークとの中間に存在するセキュリティ用ネットワークに配置されており、前記ホームネットワークへのアクセスコントロールを行うセキュリティ管理装置に前記アクセス要求を転送するセキュリティ用ネットワーク通信手段とを、
有する。
上記の構成により、通信端末がホームネットワークに直接アクセスすることを許可されているか否かを区別するための指標情報がアクセス要求に付加されている場合に、移動情報管理装置（ホームエージェント）は、この指標情報を参照することにより、アクセス要求を行っている通信端末が訪問者ノードか否かの識別を行うことが可能となる。
【００２８】
さらに、本発明の移動情報管理装置は、上記の構成に加えて、前記セキュリティ管理装置との間でトンネルを形成し、前記セキュリティ用ネットワーク通信手段で前記アクセス要求を転送する際に前記アクセス要求をカプセル化するトンネリング手段を有する。
上記の構成により、モバイルネットワーク管理装置（モバイルルータ）は、配下の通信端末から受信したアクセス要求を改変することなくセキュアな状態で、セキュリティ管理装置（ポリシサーバ）に転送することが可能となる。
【発明の効果】
【００２９】
本発明は、上記構成を有しており、訪問者ノード（ＶＮ）から送信されたパケットに関して、ホームユーザによって設定された様々なセキュリティポリシに基づくアクセスコントロールの適切な執行が確実に行われるようにするという効果を有している。
【発明を実施するための最良の形態】
【００３０】
以下、図面を参照しながら、本発明の実施の形態について説明する。まず、本発明の実施の形態におけるモバイルルータの構成について説明する。図１は、本発明の実施の形態におけるモバイルルータ（ＭＲ）の構成の好適な一例を示す図である。
【００３１】
図１に図示されているＭＲ１０は、アクセスインタフェース１１を有している。このアクセスインタフェース１１によって、ＭＲ１０は他のノードにパケットを送信するとともに、他のノードからパケットを受信することが可能となる。なお、アクセスインタフェース１１の一例としては、Ｗｉ−Ｆｉ（Wireless Fidelity：ワイアレスフィディリティ）、ブルートゥース（登録商標）、セルラ（携帯電話）などが挙げられるが、これらのインタフェースに限定されるものではない。アクセスインタフェース１１は、経路１５を通じて処理部（プロセッサ）１２とパケットの送受信を行う。
【００３２】
さらに、ＭＲ１０は、送受信パケットを処理する処理部１２を有している。処理部１２は、双方向トンネルの形成処理やＭＲ１０のバインディングアップデートの生成処理を行う。さらに、処理部１２は、自身のホームエージェントから受信したバインディングアクノレッジに関する処理や、データ格納部１４に格納されるバインディングアップデートリストの更新処理を行う。
【００３３】
また、セキュリティ鍵が必要な場合には、処理部１２は、経路１６を通じてＭＲ１０内に存在する鍵生成部１３に信号を送信する。鍵生成部１３は、この信号を受信した場合に、処理部１２にとって必要な鍵を生成し、経路１６を通じて鍵を処理部１２に送信する。
【００３４】
さらに、ＭＲ１０は、ＭＲ１０に必要な情報を格納するデータ格納部１４を有している。データ格納部１４は、経路１７を通じて処理部１２に接続されており、処理部１２は、データ格納部１４への情報の格納やデータ格納部１４からの情報の読み出しを行う。なお、データ格納部１４に格納される情報の一例としては、ホームアドレスのプレフィックス（以下、ホームプレフィックスと呼ぶこともある）、バインディングアップデートリスト、あるいはモバイルネットワークのプレフィックスが挙げられるが、これらの情報に限定されるものではない。
【００３５】
図２は、本発明の実施の形態におけるホームエージェント（ＨＡ）の構成の好適な一例を示す図である。
【００３６】
図２に図示されているＨＡ２０は、アクセスインタフェース２１を有している。このアクセスインタフェース２１によって、ＨＡ２０は他のノードにパケットを送信するとともに、他のノードからパケットを受信することが可能となる。なお、アクセスインタフェース２１の一例としては、イーサネット（登録商標）、Ｗｉ−Ｆｉ、セルラ（携帯電話）などが挙げられるが、これらのインタフェースに限定されるものではない。アクセスインタフェース２１は、経路２５を通じて処理部（プロセッサ）２２とパケットの送受信を行う。
【００３７】
また、ＨＡ２０内に存在する処理部２２は、経路２５を通じて送受信されるパケットの処理や双方向トンネルの形成処理などの機能を有している。さらに、処理部２２は、ＭＲ１０から送信されるバインディングアップデートメッセージの処理や、経路２７を通じてデータ格納部２４に格納されるバインディングアップデートキャッシュの更新処理、ＭＲ１０へのバインディングアクノレッジメントの送信処理などを行う機能を有している。
【００３８】
さらに、ＨＡ２０は、鍵生成部２３を有している。鍵生成部２３は、経路２６を通じて処理部２２から信号を受信した場合には必要な鍵を生成し、経路２６を通じて鍵を処理部２２に送信する。
【００３９】
さらに、ＨＡ２０は、ＨＡ２０に必要な情報を格納するデータ格納部２４を有している。なお、データ格納部２４に格納される情報の一例としては、ホームアドレスのプレフィックス、バインディングアップデートキャッシュ、あるいはモバイルネットワークのプレフィックスが挙げられるが、これらの情報に限定されるものではない。
【００４０】
次に、本発明の実施の形態における通信システムの概要について説明する。図３は、本発明の実施の形態における通信システムの一例を示す図である。
【００４１】
図３に図示されている通信システムにおいて、モバイルパーソナルエリアネットワーク（ＰＡＮ）３０には、訪問者ノード（ＶＮ）３１が含まれている。ＶＮ３１は、モバイルＰＡＮ３０内の外部ノードとして機能する。なお、ＶＮ３１はモバイルノードであってもよく、固定ノードであってもよい。
【００４２】
また、モバイルＰＡＮ３０には、モバイルルータ（ＭＲ）１０が含まれている。ＭＲ１０は、モバイルＰＡＮ３０内のすべてのトラフィックの発送を行う。なお、ＭＲ１０は、コレスポンデントノード（ＣＮ）（このシステムでは不図示）との間で経路最適化を行っている場合には、この不図示のノードに対して直接パケットの送信を行うことも可能であるが、ここでは、モバイルＰＡＮ３０内から外部に送出されるすべてのトラフィックを、自身のホームエージェント（ＨＡ）２０に発送するものとする。
【００４３】
また、ＶＮ３１は、モバイルルータ（ＭＲ）１０に接続されており、モバイルＰＡＮ３０における動作の認可を受けることができる。
【００４４】
また、ＭＲ１０及びＨＡ２０は、ＭＲ１０とＨＡ２０との間でトラフィックが発送されるように、アクセスシステム３２を通る双方向トンネル３７ａを確立する。なお、アクセスシステム３２は、インターネットやセルラネットワークなどであってもよいが、これらのネットワークに制限されるものではない。
【００４５】
また、ＭＲ１０及びポリシサーバ（Policy Server）３６は、相互の間におけるトラフィックの経路付けを行うため、アクセスシステム３２を通る別の双方向トンネル３７ｃを確立することも可能である。なお、この双方向トンネル３７ｃは、後述のように、例えばＭＮ１０がポリシサーバ３６に対してパケットを転送する態様が実施される場合に必要となるものであって、ＭＲ１０がＨＡ２０に対してのみパケットを転送する態様においては確立される必要はない。
【００４６】
また、ホームネットワーク３３には、ＨＡ２０が含まれている。ＨＡ２０は、ＭＲ１０をあて先とするすべてのパケットをＭＲ１０に転送する。これにより、ＭＲ１０がホームネットワーク３３内に存在しない場合であっても、ＭＲ１０への到達可能性が維持される。
【００４７】
また、ＨＡ２０は、ＭＲ１０の現在の気付アドレス（ＣｏＡ：Care-of Address）の更新を保持するとともに、トラフィックの発送のためにＭＲ１０と双方向トンネル３７ａを確立する。また、ＨＡ２０は、相互にトラフィックを発送するため、ポリシサーバ３６との通信を行う。なお、ＨＡ２０は、ポリシサーバ３６との間に双方向トンネル３７ｂを確立してもよい。
【００４８】
さらに、ホームネットワーク３３には、メディアサーバ３４が含まれている。このメディアサーバ３４は、ＶＮ３１がアクセスを行おうとするホームユーザのデータ３４ａを保持している。なお、データ３４ａは、例えばオーディオファイルやビデオファイルなどであるが、これらのファイル形式に限定されるものではない。
【００４９】
また、ここでは、ホームネットワーク３３のセキュリティ強度を向上させるため、ホームネットワーク３３に対してＤＭＺ（De-Militarized Zone：非武装地帯）３５が設けられている。ＤＭＺ３５には、ポリシサーバ３６が含まれている。このポリシサーバ３６は、ＶＮ３１からのデータパケット受信時に実施するセキュリティポリシ３６ａを保持している。
【００５０】
なお、ポリシサーバ３６は、例えばＤＭＺ３５内に存在する１つ又は複数のサーバであるが、この構成に限定されるものではない。また、ポリシサーバ３６は、ファイアウォールゲートウェイの機能を有していてもよい。また、セキュリティポリシ３６ａのフォーマットは、例えばＸＭＬ（eXtended Markup Language）フォーマットであるが、上記のフォーマットに限定されるものではない。さらに、セキュリティポリシ３６ａは、例えばユーザが導入したポリシであるが、これに限定されるものではない。
【００５１】
ＭＲ１０は、ホームネットワーク３３内に存在している際に、例えばＨＡ２０から１つ又は複数のホームアドレスのプレフィックスを取得するなどの動作を行って、自身のホームアドレスを決定する。この場合、ＭＲ１０は、ホームアドレスのプレフィックスを取得すると、ステートレスなアドレス自動設定を用いてユニークなホームアドレスを構成し、このユニークなホームアドレスをＨＡ２０に登録する。なお、ＭＲ１０のホームアドレスはあらかじめ手動で設定されるなど、任意の方法によって設定可能である。
【００５２】
ＭＲ１０は、自身のホームアドレスの構成に成功すると、ＨＡ２０から取得した１つ又は複数のネットワークプレフィックスをモバイルＰＡＮ３０内にブロードキャストすることができるようになる。このとき、ＭＲ１０に接続されているノードは、ブロードキャストされるプレフィックスを用いて各自のホームアドレスを構成することが可能となる。なお、ＭＲ１０に接続されているノードは、例えば訪問者ノード（ＶＮ）３１やホームユーザのノードであるが、これらに限定されるものではない。また、後述のように、このときＭＲ１０は、ホームユーザのノードやモバイルＰＡＮ３０内に固定されているローカル固定ノード（ＬＦＮ：Local Fixed Node）と、アクセスコントロールを行う対象となるＶＮ３１とに対して、それぞれ異なるプレフィックスを割り当てるようにすることも可能である。
【００５３】
一方、ＭＲ１０がホームネットワーク３３を離れて外部リンクに接続を行った場合には、ＭＲ１０は、接続先のＡＲ（Access Router：アクセスルータ）から気付アドレス（ＣｏＡ）を取得する。
【００５４】
ＭＲ１０は、ＣｏＡの取得に成功すると、ＨＡ２０との間でセキュリティアソシエーションを実行して、ＨＡ２０との間で双方向トンネル３７ａの確立を試みる。なお、ＭＲ１０とＨＡ２０との間でセキュリティアソシエーションを作る方法として、例えばＩＫＥ（Internet Key Exchange）が挙げられるが、これに限定されるものではない。
【００５５】
ＭＲ１０とＨＡ２０との間でセキュリティアソシエーションが確立されると、ＭＲ１０は、ＨＡ２０に対してバインディングアップデート（ＢＵ：Binding Update）メッセージの送信処理を行って、現在の接続ポイントにおけるアドレス（自身のＣｏＡ）の更新を行う。
【００５６】
ＨＡ２０は、ＢＵメッセージが正当なホームユーザによって送信されたものであるか否かのチェックを行った後、自身のＢＵキャッシュを更新する。そして、ＨＡ２０は、ＭＲ１０のユニークなホームアドレスと、ＭＲの現在のＣｏＡとの関連付けを行う。
【００５７】
また、双方向トンネル３７ａが確立されると、ＨＡ２０は、ＤＭＺ３５内のポリシサーバ３６に関する情報をＭＲ１０に転送することが可能となる。以下、図４Ａ及び図４Ｂを参照しながら、ＨＡ２０がＤＭＺ３５内のポリシサーバ３６に関する情報をモバイルルータに通知する方法について説明する。なお、図４Ａ及び図４Ｂに係る処理は、ＭＮ１０がポリシサーバ３６との間に双方向トンネル３７ｃを確立するための情報（ポリシサーバ３６に関する情報）を取得するためのものである。なお、これらのステップはオプションであり、ＭＲ１０があらかじめポリシサーバ３６に関する情報を保持している場合、又は、双方向トンネル３７ｃの確立が必要ではない場合には、これらの処理は実行される必要はない。
【００５８】
図４Ａには、本発明の実施の形態において、ＨＡ２０がＤＭＺ３５内のポリシサーバ３６に関する情報をモバイルルータに通知する方法の一例を示すシーケンスチャートが図示されている。
【００５９】
図４Ａにおいて、ＭＲ１０が自身の現在のＣｏＡをＨＡ２０に登録した際、ＨＡ２０は、ＤＭＺ３５内のポリシサーバ３６に関する情報（図４Ａでは、PS Infoと記載）をＭＲ１０に転送する（ステップＳ４０）。なお、ポリシサーバ３６に関する情報は、例えばポリシサーバ３６のアドレスやセキュリティアソシエーション鍵などであるが、これらの情報に限定されるものではない。また、アドレスは、例えばＩＰアドレスであるが、これに限定されるものではない。
【００６０】
ＭＲ１０は、ポリシサーバ３６のアドレスをデータ格納部１４に格納し、ＨＡ２０にアクノレッジメント（図４Ａでは、Ackと記載）を返信する（ステップＳ４１）。このとき、ＭＲ１０は、セキュリティアソシエーション鍵を用いて、ポリシサーバ３６と双方向トンネル３７ｃを形成することが可能となる。
【００６１】
また、図４Ｂには、本発明の実施の形態において、ＨＡ２０がＤＭＺ３５内のポリシサーバ３６に関する情報をモバイルルータに通知する方法の別の一例を示すシーケンスチャートが図示されている。
【００６２】
図４Ｂでは、ＨＡ２０は、ＤＭＺ３５内の利用可能なポリシサーバ３６のリストを保持し、定期的に更新する。上記のポリシサーバ３６のリストは、ＨＡ２０のデータ格納部２４内に格納される。これにより、ＨＡ２０は、複数のポリシサーバ３６が存在する場合に、複数のポリシサーバ３６間の負荷バランシングを実行することが可能となる。
【００６３】
ＭＲ１０は、ＨＡ２０に対して、ポリシサーバ３６に関する情報（図４Ｂでは、PS Infoと記載）の提供のリクエストを送信する（ステップＳ４２）。ＨＡ２０は、このリクエストの処理を行い（ステップＳ４３）、ポリシサーバ３６のリストを参照して、どのポリシサーバ３６が利用可能であるかをチェックする。
【００６４】
ＨＡ２０は、ＭＲ１０のパケットの処理を行うポリシサーバ３６を決定すると、ＭＲ１０に応答を行う。なお、これ以降の処理は、図４Ａに示されているステップＳ４０及びステップＳ４１と同一であり、ここでは説明を省略する。
【００６５】
一方、ＶＮ（訪問者ノード）３１はモバイルＰＡＮ３０に対して外部のノードである。ＶＮ３１は、モバイルＰＡＮ３０内に入った場合には、ＭＲ１０と通信を行うことによって、モバイルＰＡＮ３０への接続を試みる。
【００６６】
ＶＮ３１は、モバイルＰＡＮ３０で利用可能なホームプレフィックスを含むＲＡ（Router Advertisement）をＭＲ１０から受信する。なお、ＭＲ１０は、ＶＮ３１に対して、ホームユーザのノードに対して割り当てるホームプレフィックスとは異なるホームプレフィックス（ＶＮ３１用のプレフィックス）を割り当てるようにしてもよい。また、ＶＮ３１は、ホームプレフィックスを取得するために、ＲＳ（Router Solicitation：ルータ要請）リクエストをＭＲ１０に送信してもよい。ＶＮ３１は、ホームプレフィックスの取得後、モバイルＰＡＮ３０内で動作するための有効なアドレスを構成する。
【００６７】
そして、ＶＮ３１が、まず、ＭＲ１０によるルーティングサービスの提供を要求すると、ＭＲ１０はＶＮ３１の認証処理を行う。ＶＮ３１の認証は、例えばＩＥＥＥ８０２．１ｘ共有鍵認証であるが、これに限定されるものではない。なお、モバイルＰＡＮ３０内のホームユーザのノードは、ＭＲ１０との間で事前共有秘密（pre-shared secret）を共有していることが望ましい。
【００６８】
ＶＮ３１がモバイルＰＡＮ３０における外部ノードであることが特定されると、ＭＲ１０は、ＶＮ３１に関する情報を自身のデータ格納部１４内に格納する。以上の動作によって、ＶＮ３１はモバイルＰＡＮ３０に接続される。
【００６９】
なお、ホームネットワーク３３のメディアサーバ３４内に存在するデータ３４ａは、モバイルＰＡＮ３０内部に存在するノードであればアクセスすることが可能なデータであり、ＶＮ３１も、データ３４ａにアクセスすることが可能であるものとする。
【００７０】
次に、本発明の実施の形態において、ＶＮ３１がメディアサーバ３４内に存在するデータ３４ａにアクセスする際の動作について説明する。なお、以下では、ＭＲ１０が、ＨＡ２０との間で双方向トンネル３７ａを確立するとともに、ポリシサーバ３６との間で双方向トンネル３７ｃを確立する場合と、ＨＡ２０との間で双方向トンネル３７ａのみを確立する場合とに大別して説明する。
【００７１】
まず、図５を参照しながら、ＭＲ１０とＨＡ２０との間において確立されている双方向トンネル３７ａ、及びＭＲ１０とポリシサーバ３６との間で確立されている双方向トンネル３７ｃの両方を用いる場合について説明する。なお、図５には、ＨＡ２０とポリシサーバ３６との間に双方向トンネル３７ｂが確立されている状態が図示されているが、必ずしもＨＡ２０とポリシサーバ３６との間の通信に双方向トンネル３７ｂが確立される必要はない。図５には、本発明の実施の形態におけるＶＮ３１へのファイル転送処理の一例を示すシーケンスチャートが図示されている。
【００７２】
図５において、ＶＮ３１は、メディアサーバ３４からデータ３４ａを取得しようとしており、ＭＲ１０にファイルリクエストを送信する（ステップＳ５０）。ＭＲ１０は、ファイルリクエストの処理を行って（ステップＳ５１）、ファイルリクエストの送信者がホームユーザのノード又はモバイルＰＡＮ３０内のＶＮ３１のどちらであるかを判断する。なお、ファイルリクエストの送信者がデータ３４ａへのアクセス権限を持たないノードである場合には、ＭＲ１０は、この時点でファイルリクエストを拒否することが可能である。
【００７３】
このファイルリクエストの送信者がホームユーザのノード又はモバイルＰＡＮ３０内のＶＮ３１のどちらであるかを判断する方法としては、いくつかの方法が考えられる。例えば、ＭＲ１０は、ＶＮ３１の認証処理時にＭＲ１０がデータ格納部１４に格納したＶＮ３１に関する情報を参照することによって、このファイルリクエストの送信者が、ホームユーザのノードであるか、あるいは外部ノード（すなわち、ＶＮ３１）であるかを特定することが可能である。
【００７４】
一方、ＭＲ１０がＶＮ３１に対して、ホームユーザのノードとは異なるプレフィックスを割り当てるように構成されている場合には、ファイルリクエストの送信者のアドレスのプレフィックスを参照することによって、このファイルリクエストの送信者が、ホームユーザのノードであるか、あるいは外部ノード（すなわち、ＶＮ３１）であるかを特定することも可能である。なお、ファイルリクエストの送信者がホームユーザのノード又はモバイルＰＡＮ３０内のＶＮ３１のどちらであるかを判断する方法は、上述の方法に限定されるものではない。
【００７５】
例えば、ファイルリクエストの送信者がＶＮ３１であることが特定された場合には、ＭＲ１０は、このファイルリクエストメッセージをカプセル化し、双方向トンネル３７ｃを通じて、ＤＭＺ３５内のポリシサーバ３６にファイルリクエストメッセージをトンネルする（ステップＳ５２）。
【００７６】
ポリシサーバ３６では、ＭＲ１０からのパケットはデカプセル化（decapsulate）され、ファイルリクエストメッセージは、セキュリティポリシ３６ａを考慮して処理される（ステップＳ５３）。ファイルリクエストメッセージが、セキュリティポリシ３６ａの条件に合う場合（すなわち、セキュリティポリシ３６ａに鑑みて、ＶＮ３１によるデータ３４ａのアクセスが認められる場合）には、ポリシサーバ３６は、ファイルリクエストメッセージをメディアサーバ３４に転送する（ステップＳ５４）。なお、ポリシサーバ３６はファイルリクエストメッセージをカプセル化してメディアサーバ３４に転送してもよい。一方、ファイルリクエストメッセージが、セキュリティポリシ３６ａの条件に合わない場合には、例えば、ポリシサーバ３６は、ＭＲ１０に対してファイルリクエストを拒否するメッセージによる応答を行う。
【００７７】
なお、ポリシサーバ３６は、ＶＮ３１のホームエージェントとして機能することも可能である。また、ポリシサーバ３６は、ＨＡ２０を経由してメディアサーバ３４にファイルリクエストメッセージの転送を行うことも可能である。
【００７８】
メディアサーバ３４は、ファイルリクエストメッセージの処理を行って（ステップＳ５５）、認可されているエンティティからのファイルリクエストか否かを判断する。
【００７９】
そして、認可されているエンティティからのファイルリクエストであることを認識したメディアサーバ３４は、リクエストされたファイルをＨＡ２０に転送し（ステップＳ５６）、ＨＡ２０は、双方向トンネル３７ａを通じてＭＲ１０にファイルをトンネルする（ステップＳ５７）。ＭＲ１０は、ファイルを受信すると、このファイルをＶＮ３１に転送する（ステップＳ５８）。
【００８０】
なお、ＭＲ１０は、経路最適化技術を用いてメディアサーバ３４との間に双方向トンネルを形成し、これによって、ＭＲ１０とメディアサーバ３４との間でデータ３４ａがセキュアに転送されるようにしてもよい。
【００８１】
また、図５では、ＶＮ３１からファイルリクエストが行われた場合の処理が図示されているが、ホームユーザのノードがファイルリクエストを行う場合もある。この場合には、ＭＲ１０が、ファイルリクエストの送信者がホームユーザのノードであることを特定し、ファイルリクエストメッセージをカプセル化して、双方向トンネル３７ａを通じてＨＡ２０にファイルリクエストメッセージを送信する。また、ＶＮ３１が外部ネットワーク（すなわち、ホームネットワーク３３以外のネットワーク）あてのパケットを送信した場合には、ポリシサーバ３６においてホームネットワーク３３あてではないことが確認された後、パケットはＨＡ２０に渡されて、ＨＡ２０から外部ネットワークに転送されるようになる。
【００８２】
次に、図６及び図７を参照しながら、ＭＲ１０とＨＡ２０との間において確立されている双方向トンネル３７ａのみを用いる場合について説明する。この場合には、ＭＲ１０は、ＨＡ２０との間で双方向トンネル３７ａを確立するだけでよい。すなわち、この場合には、ＭＲ１０は、ポリシサーバ３６との間の双方向トンネル３７ｃを確立する必要がない。
【００８３】
この場合、例えば、ＭＲ１０は、どのパケットがホームユーザのノードから送信されたものであり、どのパケットがＶＮ３１から送信されたものであるかを区別してから、ＨＡ２０にパケットの転送を行うようにする。なお、パケットの送信者がホームユーザのノード又はＶＮ３１のどちらであるかを判断する方法としては、先に説明した方法を利用することが可能である。そして、ＭＲ１０からＨＡ２０に転送されるパケットには、例えば図６に図示されているようなタグ付けが行われる。
【００８４】
図６には、本発明の実施の形態において、ホームユーザのノードからのパケットとＶＮからのパケットとを区別するタグ付けを行うためのパケットの構造の一例が図示されている。
【００８５】
モバイルＰＡＮ３０内の任意のノードからパケットを受信したＭＲ１０は、パケットのカプセル化を行うとともに、モバイルＩＰ（ＭＩＰ：Mobile IP）のヘッダ部６１内にマーク６０を付加することによって、パケットのタグ付けを行う。なお、モバイルＰＡＮ３０内の任意のノードから受信したパケットはペイロード部６２にカプセル化される。
【００８６】
ＭＲ１０は、パケットのカプセル化より前にあるいは同時に、パケットの送信者がホームユーザのノード又はＶＮ３１のどちらであるかの判断を行い、この判断結果に基づいて、ホームユーザのノード又はＶＮ３１を識別するための情報をマーク６０としてモバイルＩＰのヘッダ部６１内に付加する。なお、マーク６０は、例えばアドレスのプレフィックス、トークン、あるいはフラグのビットであるが、これらに限定されるものではない。また、ここでは、カプセル化後のヘッダ部６１にマーク６０が付加されているが、ＭＲ１０から転送されるパケットを受信するＨＡ２０が識別可能な任意の位置にマーク６０の付加が行われてもよい。
【００８７】
また、図７には、本発明の実施の形態において、ＶＮ３１からのファイルリクエストを転送する処理の一例を示すシーケンスチャートが図示されている。なお、図７では、図５に図示されているシーケンスチャートとは異なり、ＭＲ１０とポリシサーバ３６との間の双方向トンネル３７ｃは利用されない。また、図７に示す動作において、ＨＡ２０とポリシサーバ３６との間の通信は、双方向トンネル３７ｂを通じて行われるものとするが、ＨＡ２０とポリシサーバ３６との間の通信に必ずしもトンネルが利用される必要はない。
【００８８】
ＭＲ１０は、メディアサーバ３４内に存在するデータ３４ａへのアクセスを行うためのファイルリクエストメッセージをＶＮ３１から受信する（ステップＳ７０）。
【００８９】
ＭＲ１０は、ファイルリクエストメッセージの処理を行い（ステップＳ７１）、ファイルリクエストメッセージの送信者がホームユーザのノード又はモバイルＰＡＮ３０内のＶＮ３１のどちらであるかを判断する。
【００９０】
例えば、ファイルリクエストメッセージの送信者がＶＮ３１であることが特定された場合には、カプセル化を行うとともに、このパケットがモバイルＰＡＮ３０内のＶＮ３１からのものであることを示すマーク６０を付加することによって、パケットのタグ付けを行う。そして、ＭＲ１０は、双方向トンネル３７ａを通じて、タグ付けが行われているファイルリクエストメッセージをＨＡ２０にトンネルする（ステップＳ７２）。なお、ファイルリクエストメッセージの送信者がＶＮ３１であることが特定された場合には、ホームユーザのノードからのものではないことを示すマーク６０がパケットに付加される。
【００９１】
ＨＡ２０は、タグ付けが行われているファイルリクエストメッセージの受信及び処理を行って（ステップＳ７３）、ＶＮ３１からのパケットである旨を示すタグ付けが行われていることを特定する。そして、ＨＡ２０は、ポリシサーバ３６にファイルリクエストメッセージを送信する（ステップＳ７４）。ここでは、ＨＡ２０は双方向トンネル３７ｂを利用しているので、ポリシサーバ３６に対してファイルリクエストメッセージをトンネルする。なお、図７には不図示だが、ＨＡ２０は、ホームユーザのノードからのパケットに関しては、すぐにメディアサーバ３４に転送してもよい。
【００９２】
ポリシサーバ３６は、ファイルリクエストメッセージを受信（さらにデカプセル化）して、セキュリティポリシを考慮した処理を行う（ステップＳ７５）。そして、ファイルリクエストメッセージが、認可されているＶＮ３１からのものであることが確認された場合には、ポリシサーバ３６は、ファイルリクエストメッセージをメディアサーバ３４に転送する（ステップＳ７６）。なお、ファイルリクエストメッセージが、セキュリティポリシ３６ａの条件に合わない場合には、例えば、ポリシサーバ３６は、ＭＲ１０に対してファイルリクエストを拒否するメッセージによる応答を行う。
【００９３】
なお、ポリシサーバ３６は、ＨＡ２０を経由してメディアサーバ３４にファイルリクエストメッセージを転送することも可能である。また、リクエストされたファイルがメディアサーバ３４からＶＮ３１に送信される際の処理は、図５に示すステップＳ５５〜ステップＳ５８の処理と同一であり、説明を省略する。
【００９４】
また、ＭＲ１０がＶＮ３１に対して、ホームユーザのノードとは異なるプレフィックスを割り当てるように構成されている場合には、ＭＲ１０は、ファイルリクエストメッセージをそのままＨＡ２０に転送し、ＨＡ２０において、ファイルリクエストメッセージの送信者のアドレスのプレフィックスを参照することによって、このファイルリクエストの送信者が、ホームユーザのノードであるか、あるいは外部ノード（すなわち、ＶＮ３１）であるかの特定が行われるようにしてもよい。
【００９５】
例えば、ＭＲ１０は、ホームユーザのノード用のプレフィックスを含むＲＡメッセージと、外部ノード用のプレフィックスを含むＲＡメッセージを用意することが可能である。ＭＲ１０は、ホームユーザのノード用のプレフィックスを含むＲＡメッセージに関しては、ホームユーザのノードのみが復号可能とするような何らかの暗号化方法を行うことによって、ホームユーザのノード及び外部ノードのそれぞれに対して異なるプレフィックスを通知することが可能である。なお、ホームユーザのノード及び外部ノードのそれぞれに対して異なるプレフィックスを通知する方法は、上記の方法に限定されるものではない。
【００９６】
以上、説明したように、本発明の実施の形態によれば、モバイルＰＡＮ３０に接続されているＶＮ３１がモバイルＰＡＮ３０のホームネットワーク３３にアクセスを行う場合には、必ずＤＭＺ３５内のポリシサーバ３６を経由してセキュリティポリシ３６ａの適用を受けるようにすることが可能となる。
【００９７】
なお、上述の本発明の実施の形態では、ＨＡ２０及びポリシサーバ３６をそれぞれ異なるエンティティとしているが、ＨＡ２０及びポリシサーバ３６が同一のエンティティで実現されてもよい。
【００９８】
また、本発明の別の実施の形態において、ＨＡ２０は、ＨＡ２０が受信したパケットにフローフィルタリングの実行を示すマークを付加することが可能である。例えば、ユーザは、ＨＡ２０における処理に関連して、ホームユーザノードからのパケットは訪問者ノードからのパケットより優先されるべきである旨を示すフィルタポリシをＨＡに設定する。これにより、ＨＡ２０は、ＨＡ２０が受信する各パケットに設置されているマーク６０を確認し、この確認結果に従ってフィルタルールを実行する。
【００９９】
マーク６０によって、パケットがホームユーザノードからのものであることが示されている場合には、ＨＡ２０は、このパケットをホームユーザノードへのパケットあてのパケットキューに送る。しかしながら、マーク６０によって、パケットが訪問者ノードからのものであることが示されている場合には、ＨＡ２０は、このパケットを訪問者ノードへのパケットあてのパケットキューに送る。ＨＡ２０は、訪問者ノード用のキューに置かれたパケットの処理を行う前に、まず、ホームユーザノードのキュー内に存在するパケットの処理を行う。このようなフィルタリングを実行することで、ホームユーザは、ホームユーザが所有するすべてのノードに対して迅速なサービスが確実に保証されるようにすることが可能となる。
【０１００】
なお、当業者であれば、移動ネットワークはホームネットワークへの透過接続性を移動ノードに提供するものなので、そもそも移動ネットワークに接続する移動ノードに対してポリシサーバで設定しているセキュリティポリシと同等の接続管理を行うべきであることや、訪問者ノードによる移動ネットワークへの接続を容認することは、訪問者ノードによるホームネットワークへの接続を容認することと同等である旨をユーザが認知しているべきであることなどを考えるかもしれない。さらに、このような考えを持つ当業者は、例えば、移動ネットワークに接続してもよい移動ノードを確実に選別することで本発明の課題としている状況自体がそもそも発生し得ないと考えるかもしれない。しかしながら、このようなケースにおいても、モバイルルータ若しくはモバイルネットワークノードの処理能力や消費電力などの問題から、移動ネットワークにおいて十分な接続管理を提供することが難しい場合や、移動ネットワークにおけるセキュリティの深い知識を持たないユーザでも安心して移動ネットワークを使用できるようにしたい場合などに、本発明の適用が可能であることは明白である。
【０１０１】
また、ここでは、特定の具体例を用いて本発明の説明を行っているが、当業者であれば、同様の目的を実現できる他の任意の構成においても、本発明の適用が可能であることは明白である。また、ここでは、本発明の基本的な概念に関して説明を行っているが、本発明の基本的な概念の説明に用いられている特定の具体例は、本発明の範囲を制限するものではない。
【０１０２】
なお、上述の本発明の実施の形態の説明で用いた各機能ブロックは、典型的には集積回路であるＬＳＩ（Large Scale Integration）として実現される。これらは個別に１チップ化されてもよいし、一部又はすべてを含むように１チップ化されてもよい。なお、ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ（Integrated Circuit）、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。
【０１０３】
また、集積回路化の手法はＬＳＩに限るものではなく、専用回路又は汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）や、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサを利用してもよい。
【０１０４】
さらには、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。例えば、バイオ技術の適応などが可能性としてあり得る。
【産業上の利用可能性】
【０１０５】
本発明は、訪問者ノード（ＶＮ）から送信されたパケットに関して、ホームユーザによって設定された様々なセキュリティポリシに基づくアクセスコントロールを正確に執行できるようにするという効果を有しており、モバイル通信ネットワークを利用して通信を行う通信技術や、パーソナルモバイル通信ネットワーク及びユーザのホームネットワークのセキュリティ向上を図るためのアクセスコントロール技術に適用可能である。
【図面の簡単な説明】
【０１０６】
【図１】本発明の実施の形態におけるモバイルルータ（ＭＲ）の構成の好適な一例を示す図
【図２】本発明の実施の形態におけるホームエージェント（ＨＡ）の構成の好適な一例を示す図
【図３】本発明の実施の形態における通信システムの一例を示す図
【図４Ａ】本発明の実施の形態において、ホームエージェント（ＨＡ）が非武装地帯（ＤＭＺ）内のポリシサーバに関する情報をモバイルルータ（ＭＲ）に通知する方法の一例を示すシーケンスチャート
【図４Ｂ】本発明の実施の形態において、ホームエージェント（ＨＡ）が非武装地帯（ＤＭＺ）内のポリシサーバに関する情報をモバイルルータ（ＭＲ）に通知する方法の別の一例を示すシーケンスチャート
【図５】本発明の実施の形態における訪問者ノード（ＶＮ）へのファイル転送処理の一例を示すシーケンスチャート
【図６】本発明の実施の形態において、ホームユーザのノードからのパケットと訪問者ノード（ＶＮ）からのパケットとを区別するタグ付けを行うためのパケットの構造の一例を示す図
【図７】本発明の実施の形態において、訪問者ノード（ＶＮ）からのファイルリクエストを転送する処理の一例を示すシーケンスチャート
【符号の説明】
【０１０７】
１０  モバイルルータ（ＭＲ）
１１、２１  アクセスインタフェース
１２、２２  処理部
１３、２３  鍵生成部
１４、２４  データ格納部
２０  ホームエージェント（ＨＡ）
３０  モバイルパーソナルエリアネットワーク（モバイルＰＡＮ）
３１  訪問者ノード（ＶＮ）
３２  アクセスシステム
３３  ホームネットワーク
３４  メディアサーバ
３４ａ  データ
３５  非武装地帯（ＤＭＺ）
３６  ポリシサーバ
３６ａ  セキュリティポリシ
３７ａ、３７ｂ、３７ｃ  双方向トンネル
６０  マーク
６１  ＭＩＰヘッダ部
６２  ペイロード部
【図１】
2009521820.tif 000003
【図２】
2009521820.tif 000004
【図３】
2009521820.tif 000005
【図４Ａ】
2009521820.tif 000006
【図４Ｂ】
2009521820.tif 000007
【図５】
2009521820.tif 000008
【図６】
2009521820.tif 000009
【図７】
2009521820.tif 000010
【国際調査報告】
2009521820.tif 000011
2009521820.tif 000012
2009521820.tif 000013