(57)【要約】【課題】移動ホストが中継サーバのIPアドレスを事前に知ることなく、かつ中継サーバと鍵情報を事前に共有することなく、中継サーバを経由して相手ホストと通信を行うことができ、かつ権限を有しない移動ホストによる中継サーバの不正利用を確実に排除できるIPv6/IPv4トンネリング方法を提供する。【解決手段】移動ホストMHおよびそのホームネットワークHNはIPv4/IPv6のいずれにも対応し、ホームネットワークHNには認証サーバRSが収容されている。相手ホストHはIPv6に対応し、IPv6ネットワークに収容されている。IPv6ネットワークにはさらに、IPv4/IPv6対応の複数の中継サーバS1，S2，S3が収容されている。各中継サーバは、移動ホストMHからIPv4ネットワークを介して受信したIPv4パケットをデカプセリングしてIPv6パケットを抽出し、当該IPv6パケットをIPv6ネットワーク経由で相手ホストHへ転送する。【選択図】図１
2006074451.tif 000002
【特許請求の範囲】
【請求項１】
IPv4ネットワークに接続されたIPv6対応の移動ホストと、
前記IPv4ネットワークおよびIPv6ネットワークに接続されたIPv4/IPv6対応の中継サーバと、
前記IPv6ネットワークに接続されたIPv6対応の相手ホストとを含み、
前記移動ホストが相手ホスト宛のIPv6パケットをIPv4パケットでカプセリングしてIPv4ネットワークへ送信し、前記中継サーバが前記IPv4パケットをデカプセリングして前記相手ホストへ送信するIPv6/IPv4トンネリング方法において、
IPv4/IPv6ネットワークに接続され、前記IPv6ホストと鍵情報(K1)を共有する認証サーバをさらに含み、
前記移動ホストが、前記IPv4ネットワーク上でIPv4アドレスを取得する手順と、
前記移動ホストが、前記IPv4アドレスを送信元アドレスとする認証要求に自身の識別情報(IDh)を登録して前記認証サーバへ送信する手順と、
前記認証サーバが、前記認証要求に応答して第１ランダム値(R1)を生成し、これを前記移動ホストへ送信する手順と、
前記移動ホストが、前記第１ランダム値(R1)の受信に応答して、当該第１ランダム値(R1)と自身が所有する鍵情報(K1)とをパラメータとする第１ハッシュ値(h[R1，K1])を算出する手順と、
前記移動ホストが、ランダムキー(K2)を生成する手順と、
前記移動ホストが、前記第１ハッシュ値(h[R1，K1])およびランダムキー(K2)を認証サーバへ送信する手順と、
前記移動ホストが、前記ランダムキー(K2)と鍵情報(K1)とをパラメータとする第２ハッシュ値(h[K2，K1])を算出する手順と、
前記認証サーバが、前記第１ランダム値(R1)と自身が所有する鍵情報(K1)とをパラメータとするハッシュ値(h[R1，K1])を前記第１ハッシュ値と比較し、比較結果に基づいて移動ホストを認証する手順と、
前記認証サーバが、移動ホストから送信されたランダムキー(K2)と自身が所有する鍵情報(K1)とをパラメータとする第３ハッシュ値(h[K2，K1])を算出する手順と、
前記認証サーバが、前記第３ハッシュ値(h[K2，K1])および移動ホストの識別情報(IDh)を中継サーバへ送信する手順と、
前記認証サーバが、前記中継サーバのアドレスを移動ホストへ通知する手順と、
前記移動ホストが、利用要求に自身の識別情報(IDh)を格納して前記中継サーバへ送信する手順と、
前記中継サーバが、第２ランダム値(R2)を生成して移動ホストへ送信する手順と、
前記移動ホストが、前記第２ランダム値(R2)の受信に応答して、前記第２ハッシュ値と第２ランダム値とをパラメータとする第４ハッシュ値(h[R2，h[K2，K1])を算出する手順と、
前記移動ホストが、前記第４ハッシュ値(h[R2，h[K2，K1]])を中継サーバへ送信する手順と、
前記中継サーバが、前記第４ハッシュ値の受信に応答して、前記第２ランダム値(R2)と前記第３ハッシュ値とをパラメータとするハッシュ値(h[R2，h[K2，K1]])を前記第４ハッシュ値と比較し、比較結果に基づいて移動ホストを認証する手順とを含み、
前記中継サーバは、認証された移動ホストから受信したIPv4パケットをデカプセリングしてIPv6パケットを抽出し、これを相手ホストへ送信することを特徴とするIPv6/IPv4トンネリング方法。
【請求項２】
前記中継サーバを複数備え、
前記認証サーバが、移動ホストのIPv4アドレスに基づいて中継サーバを選択する手順をさらに含むことを特徴とする請求項１に記載のIPv6/IPv4トンネリング方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、IPv6/IPv4トンネリング方法に係り、特に、IPv6に対応したホスト同士がIPv6で通信するにあたり、IPv6に対応していない区間ではIPv6パケットをIPv4パケットでカプセル化して転送するIPv6/IPv4トンネリング方法に関する。
【背景技術】
【０００２】
IPv6をサポートするOSやソフトウェアが普及し、その利用環境が整いつつあるものの、ネットワークは依然としてIPv4(Internet Protocol Version 4)ベースが主流であるために、IPv6(同Version 6)対応のホスト同士であってもIPv4による通信を余儀なくされることが多い。
【０００３】
これに対して、IPv4ベースのネットワークにおいてIPv6導入を可能にするトンネリング技術として、非特許文献１，２にISATAP（Intra-Site Automatic Tunnel Addressing Protocol）が開示されている。トンネリング技術では、IPv6に対応したホスト同士がIPv6で通信するにあたり、IPv6に対応していない区間ではIPv6パケットをIPv4パケットでカプセル化して転送する。
【０００４】
図３は、トンネリング技術の一例を模式的に示した図である。IPv6ネットワークをホームネットワークHNとする移動ホストがIPv4対応の他のネットワークFNへ移動し、当該IPv4ネットワークFN上でホームネットワークHN上の相手ホストとIPv6で通信を行う場合、移動ホストは、IPv6パケットをIPv4ヘッダでカプセリングしてIPv4パケット化し、これを中継サーバへ送信する。中継サーバは、受信したIPv4パケットをデカプセリングしてIPv6パケットを抽出し、これをホームネットワークHN上の相手端末へ送信する。
【非特許文献１】F. Templin, et al. “Intra-Site Automatic Tunnel Addressing Protocol(ISATAP)”, draft-ietf-ngtrans-isatap-22.txt, IETF, May 2004
【非特許文献２】B. Carpenter, et al, “Connection of IPv6 Domains via IPv4 Clouds”,RFC3056, IETF February 2001
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記した従来のトンネリング技術には、以下のような技術課題があった。
(1)移動ホストは、中継サーバのIPアドレスを事前に知っていなければならなかった。
(2)中継サーバが複数設置されている場合には、最寄りの中継サーバあるいは負荷の軽い中継サーバを選択することが望ましいが、従来技術では最適な中継サーバを選択することができなかった。
(3)中継サーバの利用を特定のユーザに限定して課金管理等を確実に行うためには、移動ホストと中継サーバとは鍵情報を共有しなければならなかった。
【０００６】
本発明の目的は、上記した従来技術の課題を解決し、移動ホストが中継サーバのIPアドレスを事前に知ることなく、かつ中継サーバと鍵情報を事前に共有することなく、中継サーバを経由して相手ホストと通信を行うことができ、かつ権限を有しない移動ホストによる中継サーバの不正利用を確実に排除できるIPv6/IPv4トンネリング方法を提供することにある。
【課題を解決するための手段】
【０００７】
上記した目的を達成するために、本発明は、IPv4ネットワークに接続されたIPv6対応の移動ホストと、IPv4ネットワークおよびIPv6ネットワークに接続されたIPv4/IPv6対応の中継サーバと、IPv6ネットワークに接続されたIPv6対応の相手ホストとを含み、前記移動ホストが相手ホスト宛のIPv6パケットをIPv4パケットでカプセリングしてIPv4ネットワークへ送信し、前記中継サーバが前記IPv4パケットをデカプセリングして前記相手ホストへ送信するIPv6/IPv4トンネリング方法において、IPv4/IPv6ネットワークに接続され、前記IPv6ホストと鍵情報(K1)を共有する認証サーバをさらに含むことを特徴とする。
【０００８】
そして、このようなネットワークにおいて、前記移動ホストが、前記IPv4ネットワーク上でIPv4アドレスを取得する手順と、前記移動ホストが、前記IPv4アドレスを送信元アドレスとする認証要求に自身の識別情報(IDh)を登録して前記認証サーバへ送信する手順と、前記認証サーバが、前記認証要求に応答して第１ランダム値(R1)を生成し、これを前記移動ホストへ送信する手順と、前記移動ホストが、前記第１ランダム値(R1)の受信に応答して、当該第１ランダム値(R1)と自身が所有する鍵情報(K1)とをパラメータとする第１ハッシュ値(h[R1，K1])を算出する手順と、前記移動ホストが、ランダムキー(K2)を生成する手順と、前記移動ホストが、前記第１ハッシュ値(h[R1，K1])およびランダムキー(K2)を認証サーバへ送信する手順と、前記移動ホストが、前記ランダムキー(K2)と鍵情報(K1)とをパラメータとする第２ハッシュ値(h[K2，K1])を算出する手順と、前記認証サーバが、前記第１ランダム値(R1)と自身が所有する鍵情報(K1)とをパラメータとするハッシュ値(h[R1，K1])を前記第１ハッシュ値と比較し、比較結果に基づいて移動ホストを認証する手順と、前記認証サーバが、移動ホストから送信されたランダムキー(K2)と自身が所有する鍵情報(K1)とをパラメータとする第３ハッシュ値(h[K2，K1])を算出する手順と、前記認証サーバが、前記第３ハッシュ値(h[K2，K1])および移動ホストの識別情報(IDh)を中継サーバへ送信する手順と、前記認証サーバが、前記中継サーバのアドレスを移動ホストへ通知する手順と、前記移動ホストが、利用要求に自身の識別情報(IDh)を格納して前記中継サーバへ送信する手順と、前記中継サーバが、第２ランダム値(R2)を生成して移動ホストへ送信する手順と、前記移動ホストが、前記第２ランダム値(R2)の受信に応答して、前記第２ハッシュ値と第２ランダム値とをパラメータとする第４ハッシュ値(h[R2，h[K2，K1]])を算出する手順と、前記移動ホストが、前記第４ハッシュ値(h[R2，h[K2，K1]])を中継サーバへ送信する手順と、前記中継サーバが、前記第４ハッシュ値の受信に応答して、前記第２ランダム値(R2)と前記第３ハッシュ値とをパラメータとするハッシュ値(h[R2，h[K2，K1]])を前記第４ハッシュ値と比較し、比較結果に基づいて移動ホストを認証する手順とを含み、前記中継サーバは、認証された移動ホストから受信したIPv4パケットをデカプセリングしてIPv6パケットを抽出し、これを相手ホストへ送信することを特徴とする。
【発明の効果】
【０００９】
本発明によれば、以下のような効果が達成される。
(1)移動ホストは、中継サーバのIPアドレスを事前に知らなくても、認証サーバへ認証を要求するだけで最適な中継サーバのIPアドレスを知ることができる。
(2)移動ホストと中継ホストとが認証過程でランダムキーを生成して安全に共有するようにしたので、移動ホストと中継ホストとが予め鍵情報を共有していなくても安全かつ確実な中継が可能になる。
(3)移動ホストを認証する機能を中継サーバに付加したので、権限のない移動ホストによる中継サーバの不正利用を阻止できる。
(4)移動ホストは、認証サーバにより選択された中継サーバ以外の利用が阻止されるので、常に最適な中継サーバを利用できるようになる。
【発明を実施するための最良の形態】
【００１０】
以下、図面を参照して本発明の好ましい実施の形態について詳細に説明する。図１は、本発明の一実施形態に係るIPv6/IPv4トンネリング方法が適用されるネットワーク構成を示した図である。
【００１１】
移動ホストMHおよびそのホームネットワークHNはIPv4/IPv6のいずれにも対応し、当該ホームネットワークHNには、移動ホストMHを認証するための認証サーバRSが収容されている。移動ホストMHと通信する相手ホストHはIPv6に対応し、IPv6ネットワークに収容されている。当該IPv6ネットワークにはさらに、IPv4/IPv6のいずれにも対応した複数の中継サーバS1，S2，S3が収容されている。前記各中継サーバS1，S2，S3は、移動ホストMHからIPv4ネットワークを介して受信したIPv4パケットをデカプセリングしてIPv6パケットを抽出し、当該IPv6パケットをIPv6ネットワーク経由で相手ホストHへ転送する。
【００１２】
ここでは、移動ホストMHが自身のホームネットワークHNからIPv4に対応した移動先ネットワークFNへ移動し、当該移動先ネットワークFN上で相手ホストHといずれかの中継サーバを経由して通信する場合を例にして説明する。なお、本実施形態では移動ホストMHが認証サーバRSのIPアドレスを予め取得しており、移動ホストMHと認証サーバRSとが鍵情報K1を予め共有しているものとする。
【００１３】
図２は、本実施形態の動作シーケンスを示した図であり、ステップＳ１では、移動ホストMHが移動先ネットワークFN上で、DHCP等の適宜の手法によりIPv4アドレス（IPh）を取得する。ステップＳ２では、移動ホストMHが、このIPv4アドレス(IPh)を送信元アドレス、認証サーバRSのIPアドレスを宛先アドレスとする認証要求パケットに、移動ホスト自身のユーザ名（IDh）を格納して送信する。認証サーバRSは、前記認証要求パケットを受信すると、ステップＳ３でランダム値R1を生成する。ステップＳ４では、前記認証要求に応答するための認証応答パケットに前記ランダム値R1を格納し、これを移動ホストMHへ返信する。
【００１４】
移動ホストMHは、前記認証応答パケットを受信すると、ステップＳ５において、この認証応答パケットに登録されているランダム値R1と自身が所有する鍵情報K1とをパラメータとして第１ハッシュ値h[R1，K1]を算出すると共にランダムな鍵情報（以下、ランダムキーと表現する）K2を生成し、ステップＳ６において、認証要求パケットに前記第１ハッシュ値h[R1，K1]およびランダムキーK2を格納して認証サーバRSへ送信する。移動ホストMHはさらに、ステップＳ７において、前記ランダムキーK2と自身が所有する鍵情報K1とをパラメータとして第２ハッシュ値h[K2，K1]を算出し、これを一時記憶する。
【００１５】
認証サーバRSは、前記認証要求パケットを受信すると、ステップＳ８において、前記ランダム値R1と自身が所有する鍵情報K1とをパラメータとしてハッシュ値h[R1，K1]を算出し、これが前記認証要求パケットに格納されている第１ハッシュ値と一致するか否かに基づいて移動ホストMHを認証する。この認証に成功すると、認証サーバRSはステップＳ９において、自身が所有する鍵情報K1と前記認証要求パケットに格納されていたランダムキーK2とをパラメータとして第３ハッシュ値h[K2，K1]を算出する。
【００１６】
認証サーバRSはさらに、ステップＳ１０において、前記移動ホストMHのIPv4アドレス(IPh)に基づいて、複数の中継サーバの中から最寄りの中継サーバあるいは負荷の軽い中継サーバ等を最適な中継サーバとして選択する。ここでは、中継サーバS1が選択されたものとして説明を続ける。ステップＳ１１では、クライアント通知パケットに前記第３ハッシュ値h[K2，K1]および移動ホストMHのユーザ名(IDh)を格納し、これを前記選択された中継サーバS1へ送信する。
【００１７】
中継サーバS1は、前記クライアント通知パケットを受信すると、ステップＳ１２において、前記クライアント通知パケットに格納されているユーザ名(IDh)と前記第３ハッシュ値h[K2，K1]との組み合わせをクライアント情報として蓄積する。ステップＳ１３では、クライアント通知応答が認証サーバRSへ通知される。認証サーバRSは、前記クライアント通知応答パケットを受信すると、ステップＳ１４において、前記中継サーバS1のIPアドレス(IPs1)を認証応答パケットに格納して移動ホストMHへ送信する。移動ホストMHは、前記認証応答パケットを受信すると、ステップＳ１５において、利用要求パケットに自身のIPアドレス(IPh)を格納して中継サーバS1へ送信する。
【００１８】
中継サーバS1は、前記利用要求パケットを受信すると、ステップＳ１６において、当該パケットに格納されているユーザ名IDhを検索キーとして前記クライアント情報を参照し、当該ユーザ名IDhがクライアント情報として既登録であれば、利用応答パケットに新たなランダム値R2を格納して移動ホストMHへ送信する。移動ホストMHは、前記利用応答パケットを受信すると、ステップＳ１７において、当該パケットに格納されているランダム値R2と、前記ステップＳ７で生成した第２ハッシュ値h[K2，K1]とをパラメータとして第４ハッシュ値h[R2，h[K2，K1]]を算出し、ステップＳ１８において、利用要求メッセージに当該第４ハッシュ値h[R2，h[K2，K1]]を格納して中継サーバS1へ送信する。
【００１９】
中継サーバS1は、前記利用要求メッセージを受信すると、ステップＳ１９において、前記ステップＳ１１で受信した第３ハッシュ値h[K2，K1]と前記ステップＳ１６で送信したランダム値R2とをパラメータとしてハッシュ値h[R2，h[K2，K1]]を算出し、これが前記利用要求メッセージに格納されている第４ハッシュ値と一致するか否かに基づいて移動ホストMHを認証する。認証に成功すれば、ステップＳ２０において、認証に成功した旨の利用応答パケットを移動ホストMHへ送信する。
【００２０】
以上のようにして全ての認証が完了すると、ステップＳ２１では、移動ホストMHがIPv6ネットワーク上の相手ホストH宛のIPv6パケットを、自身のIPv4アドレス(IPh)を送信元アドレス、中継サーバS1のIPv4アドレス(IPs1)を宛先アドレスとするIPv4ヘッダでカプセル化してIPv4パケット化し、これを中継サーバS1へ送信する。中継サーバS1は、受信したIPv4パケットを脱カプセル化してIPv6パケットを抽出し、これをIPv6ネットワーク上へ転送する。
【図面の簡単な説明】
【００２１】
【図１】本発明の一実施形態に係るIPv6/IPv4トンネリング方法が適用されるネットワーク構成を示した図である。
【図２】本実施形態の動作シーケンスを示した図である。
【図３】従来のトンネリング技術の一例を模式的に示した図である。
【符号の説明】
【００２２】
MH…移動ホスト、HN…ホームネットワーク、RS…認証サーバ、H…相手ホスト、S1，S2，S3…中継サーバ
【図１】
2006074451.tif 000003
【図２】
2006074451.tif 000004
【図３】
2006074451.tif 000005