(57)【要約】  【課題】通信相手のＩＰ機器１２に特別な機能を設けることなく、異なるサブネットワーク間を移動した場合であっても通信相手との間の通信を継続することができる通信システム１０を提供する。  【解決手段】移動端末１０８が、移動端末１０８のホームネットワークであるＬＡＮ１０４から、移動端末１０８にとってのフォーリンネットワークであるＬＡＮ１１２へ移動した場合に、ＬＡＮ１１２のファイアウォール１０２は、ＬＡＮ１１２に属さないＩＰアドレスである移動端末１０８のホームアドレスを送信元とするパケットの、ＬＡＮ１１２から外部ネットワーク１４への送信を許可させる許可要請を受信し、受信した許可要請に応じて、フィルタリング条件を変更する。移動端末１０８、ホームエージェント１１４、およびフォーリンエージェント１１６のいずれかが、ファイアウォール１０２に対して許可要請を送信する。  【選択図】図１
2006054720.tif 000002
【特許請求の範囲】
【請求項１】
フォーリンネットワークと外部ネットワークとの間に設けられ、前記フォーリンネットワークから前記外部ネットワークへ送信される通信パケットの通過を、予め定められたフィルタリング条件に基づいて許可または遮断するファイアウォールであって、
前記フィルタリング条件が設定されているフィルタリングテーブルと、
モバイルＩＰに基づいて通信を行う移動端末が、前記フォーリンネットワークへ移動した場合に、前記フォーリンネットワークに設けられたフォーリンエージェントとの間で、モバイルＩＰに規定される認証である外部認証を行い、前記外部認証が成功した後に、前記外部認証が成功した前記移動端末のホームアドレスを送信元とする通信パケットの、前記フォーリンネットワークから前記外部ネットワークへの送信を許可させる許可要請を、前記フォーリンエージェント、前記外部認証に成功した移動端末、およびホームネットワークに設けられたホームエージェントのいずれかである許可要請送信機器から受け取り、受け取った前記許可要請に基づいて、前記フィルタリングテーブルに設定されている前記フィルタリング条件を変更するテーブル変更部と
を備えることを特徴とするファイアウォール。
【請求項２】
請求項１に記載のファイアウォールであって、
前記許可要請送信機器との間で相手認証を行うファイアウォール側認証部をさらに有し、
前記テーブル変更部は、
前記ファイアウォール側認証部による前記相手認証が成功した後に、前記許可要請送信機器から前記許可要請を受け取り、受け取った前記許可要請に基づいて、前記フィルタリングテーブルに設定されている前記フィルタリング条件を変更すること
を特徴とするファイアウォール。
【請求項３】
請求項１または２に記載のファイアウォールであって、
モバイルＩＰで規定される気付けアドレスの登録有効時間を、前記許可要請送信機器から受け取った場合に、受け取った前記登録有効時間に基づいて時間を計測するタイマ部をさらに有し、
前記テーブル変更部は、
前記タイマ部が計測した前記登録有効時間が満了した場合に、前記許可要請に基づいて変更された前記フィルタリング条件を、前記許可要請に基づいて変更される前の条件に戻すこと
を特徴とするファイアウォール。
【請求項４】
請求項１から３のいずれかに記載のファイアウォールであって、
前記ファイアウォールは、
複数の前記フォーリンネットワークのそれぞれに設けられ、
それぞれの前記ファイアウォールは、
前記外部認証が成功した前記移動端末が、前記外部認証が成功した前記フォーリンエージェントが設けられている前記フォーリンネットワークから他の前記フォーリンネットワークへ移動した場合に、前記ホームエージェントとの間でホームエージェント認証を行うホームエージェント認証部をさらに有し、
前記テーブル変更部は、
前記ホームエージェント認証部によるホームエージェント認証が成功した後に、前記ホームエージェント認証が成功した前記ホームエージェントから、前記許可要請に基づいて変更された前記ファイアウォールの前記フィルタリング条件を、前記許可要請に基づいて変更される前の条件に戻す旨の解除要請を受け取った場合に、前記解除要請に基づいて前記フィルタリング条件を、前記許可要請に基づいて変更される前の条件に戻すこと
を特徴とするファイアウォール。
【請求項５】
フォーリンネットワークに設けられ、モバイルＩＰに基づく通信を行う移動端末が前記フォーリンネットワークに移動した場合に、前記移動端末からの登録要求を受け付け、前記登録要求を受け付けた前記移動端末との間で、モバイルＩＰに規定される認証である外部認証を行い、前記外部認証が成功した場合に前記移動端末に気付けアドレスを割り当てると共に、前記移動端末のホームエージェントが前記移動端末に代わって受信した前記移動端末宛ての通信パケットを、前記ホームエージェントから受け取り、前記気付けアドレスを割り当てた前記移動端末へ送信するフォーリンエージェントであって、
前記移動端末との前記外部認証が成功した後に、前記外部認証が成功した前記移動端末のホームアドレスを送信元とする通信パケットの、前記フォーリンネットワークから前記外部ネットワークへの送信を許可させる許可要請を、前記フォーリンネットワークを管理するファイアウォールへ送信することにより、前記ファイアウォールに、前記ファイアウォールのフィルタリング条件を前記許可要請に基づいて変更させる許可要請部を有することを特徴とするフォーリンエージェント。
【請求項６】
請求項５に記載のフォーリンエージェントであって、
前記移動端末との前記外部認証が成功した後に、前記ファイアウォールとの間で前記フォーリンエージェント認証を行うフォーリンエージェント側認証部をさらに有し、
前記許可要請部は、
前記フォーリンエージェント側認証部による前記フォーリンエージェント認証が成功した後に、前記ファイアウォールに前記許可要請を送信すること
を特徴とするフォーリンエージェント。
【請求項７】
請求項５または６に記載のフォーリンエージェントであって、
前記外部認証において前記移動端末に割り当てた気付けアドレスの登録有効時間を前記ファイアウォールへ通知する有効時間通知部をさらに有することを特徴とするフォーリンエージェント。
【請求項８】
請求項５から７のいずれかに記載のフォーリンエージェントであって、
前記フォーリンエージェントは、
複数の前記フォーリンネットワークのそれぞれに設けられ、
それぞれの前記フォーリンエージェントは、
前記移動端末との前記外部認証が成功した場合に、前記フォーリンエージェントが属する前記フォーリンネットワークに設けられた前記ファイアウォールのＩＰアドレスを、前記外部認証が成功した前記移動端末の前記ホームエージェントに通知するアドレス通知部をさらに有することを特徴とするフォーリンエージェント。
【請求項９】
モバイルＩＰに基づく通信を行う移動端末のホームネットワークに設けられ、前記移動端末からのホーム登録要求を受け付け、前記ホーム登録要求を受け付けた前記移動端末との間でホーム認証を行い、前記ホーム認証が成功した場合に前記移動端末にホームアドレスを付与すると共に、前記移動端末が前記フォーリンネットワークに移動した場合に、前記移動端末に代わって前記移動端末宛の通信パケットを受け取り、受け取った前記パケットをフォーリンネットワークに設けられたフォーリンエージェントを介して前記移動端末へ転送するホームエージェントであって、
前記移動端末が前記フォーリンネットワークに移動した場合に、前記フォーリンエージェントと前記移動端末との間で行われるモバイルＩＰに規定される外部認証が成功した後に、前記外部認証が成功した前記移動端末のホームアドレスを送信元とする通信パケットの、前記フォーリンネットワークから前記外部ネットワークへの送信を許可させる許可要請を、前記フォーリンネットワークを管理するファイアウォールへ送信することにより、前記ファイアウォールに、前記ファイアウォールのフィルタリング条件を前記許可要請に基づいて変更させる許可要請部を有することを特徴とするホームエージェント。
【請求項１０】
請求項９に記載のホームエージェントであって、
前記外部認証が成功した後に、前記ファイアウォールとの間で第１の認証を行う第１の認証部をさらに有し、
前記許可要請部は、
前記第１の認証部による前記第１の認証が成功した後に、前記ファイアウォールに前記許可要請を送信すること
を特徴とするホームエージェント。
【請求項１１】
請求項９または１０に記載のホームエージェントであって、
前記外部認証において前記移動端末に割り当てられた気付けアドレスの登録有効時間を前記ファイアウォールへ通知する有効時間通知部をさらに有することを特徴とするホームエージェント。
【請求項１２】
請求項９から１１のいずれかに記載のホームエージェントであって、
前記外部認証が成功した場合に、前記外部認証に成功した前記フォーリンエージェントが属する前記フォーリンネットワークを管理する前記ファイアウォールのＩＰアドレスを受信するアドレス受信部と、
前記アドレス受信部が受信した前記ＩＰアドレスを格納するアドレス格納部と、
前記アドレス受信部が前記ＩＰアドレスを受信した場合、前記アドレス受信部が前回受信した前記ＩＰアドレスである旧アドレスを前記アドレス格納部から読出し、読み出した前記旧アドレスと前記アドレス受信部が受信した前記ＩＰアドレスである新アドレスとを比較し、前記新アドレスと前記旧アドレスとが異なるとき、前記ファイアウォールとの間で第２の認証を行う第２の認証部と、
前記第２の認証部による前記第２の認証が成功した後に、前記許可要請に基づいて変更された前記ファイアウォールの前記フィルタリング条件を、前記許可要請に基づいて変更される前の条件に戻させる解除要請を前記ファイアウォールへ送信する解除要請部と
を有することを特徴とするホームエージェント。
【請求項１３】
モバイルＩＰに基づく通信を行う移動端末であって、
フォーリンネットワークに移動した場合、前記フォーリンネットワークに設けられたフォーリンエージェントとの間でモバイルＩＰに基づく外部認証に成功した後に、自身のホームアドレスを送信元とする通信パケットの、前記フォーリンネットワークから外部ネットワークへの送信を許可させる許可要請を、前記フォーリンネットワークを管理するファイアウォールへ送信することにより、前記ファイアウォールに、前記ファイアウォールのフィルタリング条件を前記許可要請に基づいて変更させる許可要請部を有することを特徴とする移動端末。
【請求項１４】
請求項１３に記載の移動端末であって、
前記外部認証が成功した後に、前記ファイアウォールとの間で移動端末認証を行う移動端末側認証部をさらに有し、
前記許可要請部は、
前記移動端末側認証部による前記移動端末認証が成功した後に、前記ファイアウォールに前記許可要請を送信すること
を特徴とする移動端末。
【請求項１５】
請求項１３または１４に記載の移動端末であって、
前記外部認証において前記フォーリンエージェントから割り当てられた気付けアドレスの登録有効時間を前記ファイアウォールへ通知する有効時間通知部をさらに有することを特徴とする移動端末。
【請求項１６】
フォーリンネットワークと外部ネットワークとの間に設けられ、前記フォーリンネットワークから前記外部ネットワークへ送信される通信パケットの通過を、予め定められたフィルタリング条件に基づいて許可または遮断するファイアウォールと、
前記フォーリンネットワークに設けられ、モバイルＩＰに基づく通信を行う移動端末が、前記フォーリンネットワークへ移動した場合に、前記移動端末からの登録要求を受け付け、前記登録要求を受け付けた前記移動端末との間で外部認証を行い、前記外部認証が成功した場合に前記移動端末に気付けアドレスを割り当てると共に、前記移動端末のホームエージェントが前記移動端末に代わって受信した前記移動端末宛ての通信パケットを、前記ホームエージェントから受け取り、前記気付けアドレスを割り当てた前記移動端末へ送信するフォーリンエージェントと
を備える通信システムにおける通信方法であって、
前記ファイアウォールは、
前記フィルタリング条件をフィルタリングテーブルに設定するステップと、
前記フォーリンエージェントとの間でフォーリンエージェント認証を行うステップと、
前記フォーリンエージェント認証が成功した後に、前記外部認証が成功した前記移動端末の前記ホームアドレスを送信元とする通信パケットの、前記フォーリンネットワークから前記外部ネットワークへの送信を許可させる許可要請を、前記フォーリンエージェントから受け取り、受け取った前記許可要請に基づいて、前記フィルタリングテーブルに設定されている前記フィルタリング条件を変更するステップと
を行い、
前記フォーリンエージェントは、
前記移動端末との前記外部認証が成功した後に、前記ファイアウォールとの間で前記フォーリンエージェント認証を行うステップと、
前記フォーリンエージェント認証が成功した後に、前記許可要請を前記ファイアウォールへ送信することにより、送信した前記許可要請に基づいて、前記フィルタリングテーブルに設定されている前記フィルタリング条件を変更させるステップと
を行うことを特徴とする通信方法。
【請求項１７】
フォーリンネットワークと外部ネットワークとの間に設けられ、前記フォーリンネットワークから前記外部ネットワークへ送信される通信パケットの通過を、予め定められたフィルタリング条件に基づいて許可または遮断するファイアウォールと、
モバイルＩＰに基づく通信を行う移動端末のホームネットワークに設けられ、前記移動端末からのホーム登録要求を受け付け、前記ホーム登録要求を受け付けた前記移動端末との間でホーム認証を行い、前記ホーム認証が成功した場合に前記移動端末にホームアドレスを付与すると共に、前記移動端末が前記フォーリンネットワークに移動した場合に、前記移動端末に代わって前記移動端末宛の通信パケットを受け取り、受け取った前記パケットをフォーリンネットワークに設けられたフォーリンエージェントを介して前記移動端末へ転送するホームエージェントと
を備える通信システムにおける通信方法であって、
前記ファイアウォールは、
前記フィルタリング条件をフィルタリングテーブルに設定するステップと、
前記ホームエージェントとの間で第１の認証を行うステップと、
前記第１の認証が成功した後に、前記第１の認証が成功した前記ホームエージェントから、前記ホームエージェントが指定するホームアドレスを送信元とする通信パケットの、前記フォーリンネットワークから前記外部ネットワークへの送信を許可させる許可要請を受け取り、受け取った前記許可要請に基づいて、前記フィルタリングテーブルに設定されている前記フィルタリング条件を変更するステップと
を行い、
前記ホームエージェントは、
前記移動端末が前記フォーリンネットワークへ移動した場合に、前記フォーリンエージェントと前記移動端末との間で行われるモバイルＩＰに規定される外部認証が成功した後に、前記ファイアウォールとの間で前記第１の認証を行うステップと、
前記第１の認証が成功した後に、前記許可要請を前記ファイアウォールへ送信することにより、送信した前記許可要請に基づいて、前記フィルタリングテーブルに設定されている前記フィルタリング条件を変更させるステップと
を行うことを特徴とする通信方法。
【請求項１８】
フォーリンネットワークと外部ネットワークとの間に設けられ、前記フォーリンネットワークから前記外部ネットワークへ送信される通信パケットの通過を、予め定められたフィルタリング条件に基づいて許可または遮断するファイアウォールと、
モバイルＩＰに基づく通信を行う移動端末と
を備える通信システムにおける通信方法であって、
前記ファイアウォールは、
前記フィルタリング条件をフィルタリングテーブルに設定するステップと、
前記移動端末との間で移動端末認証を行うステップと、
前記移動端末認証が成功した後に、前記移動端末認証が成功した前記移動端末から、前記移動端末のホームアドレスを送信元とする通信パケットの、前記フォーリンネットワークから前記外部ネットワークへの送信を許可させる前記許可要請を受け取り、受け取った前記許可要請に基づいて、前記フィルタリングテーブルに設定されている前記フィルタリング条件を変更するステップと
を行い、
前記移動端末は、
前記フォーリンネットワークへ移動した場合に、前記フォーリンネットワークに設けられたフォーリンエージェントとの間でモバイルＩＰに規定される認証である外部認証を行い、前記外部認証が成功した後に、前記ファイアウォールとの間で前記移動端末認証を行うステップと、
前記移動端末認証が成功した後に、前記許可要請を前記ファイアウォールへ送信することにより、送信した前記許可要請に基づいて、前記フィルタリングテーブルに設定されている前記フィルタリング条件を変更させるステップと
を行うことを特徴とする通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットプロトコルを用いて通信を行う技術に関する。
【背景技術】
【０００２】
従来、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）に基づく通信を行う移動端末が、異なるサブネットワーク間を移動する場合に、ＩＰによる通信を継続させる方式として、ＩＥＴＦの標準勧告ＲＦＣ２００２で規定されるモバイルＩＰという技術が知られている（例えば、特許文献１参照。）。
【０００３】
モバイルＩＰでは、移動端末がネットワーク上の任意のサブネットに接続している場合に、送信元を移動端末が本来所属しているサブネットワーク(ホームネットワーク)のＩＰアドレス（ホームアドレス）とするパケットを、通信相手となるホストへ送信する。そして、通信相手は、ホームアドレス宛に応答パケットを送信する。ホームネットワークには、ホームエージェント（ＨＡ）が設けられており、それぞれのサブネットワークにはフォーリンエージェント（ＦＡ）が設けられている。フォーリンエージェントは、移動端末に気付けアドレスを割り当てると共に、割り当てた気付けアドレス、移動端末のホームアドレス、およびフォーリンエージェントのアドレスをホームエージェントに通知する。ホームエージェントは、通信相手からの応答パケットを受け取り、フォーリンエージェントを介して移動先のサブネットワークに接続している移動端末へ応答パケットを転送する。このようにして、ホームネットワークとは異なるネットワークに移動した場合であっても、移動端末は、ＩＰによる通信を継続することができる。
【０００４】
しかし、移動先のサブネットワークにファイアウォールが設けられる場合がある。ファイアウォールは、ソースアドレス詐称攻撃に用いられる不正なパケットの中継を拒否することが好ましい。具体的には、ファイアウォールは、管理しているサブネットワークに属さないＩＰアドレスを送信元とするパケットを、管理しているサブネットワークから外部のネットワークへ中継しないようなフィルタ条件を設定することが好ましい。そのため、移動先のサブネットワークから外部のネットワークへ、移動先のサブネットワークに属さないホームアドレスを送信元とするパケットを送信する場合、ファイアウォールは、当該パケットの中継を拒否する場合がある。これにより、移動先のサブネットワークにおいて、移動端末は、ＩＰによる通信を継続することができない場合があった。
【０００５】
これを回避するために、逆方向トンネリング（ＲＦＣ３０２４）や経路最適化オプションという技術がある。逆方向トンネリングとは、フォーリンエージェントが、移動先のサブネットワークに接続している移動端末からの送信パケットを受け取り、送信先アドレスをホームネットワークとし、かつ送信元アドレスを移動先のサブネットワークとするカプセル化を行って、ホームエージェントへ送る。そして、ホームエージェントは、受け取ったデータをデカプセル化し、デカプセル化したパケットを通信相手へ送信する。これにより、移動先のサブネットワークにファイアウォールが設けられている場合であっても、移動端末は、通信相手との間でＩＰによる通信を継続することができる。
【０００６】
また、経路最適化オプションとは、移動端末が移動先のサブネットワークに移動した場合に、フォーリンエージェントから割り当てられた気付けアドレスをファイアウォールを介して直接通信相手に通知する。そして、通知後、通信相手は、当該気付けアドレス宛てに応答パケットを送信する。このようにしても、移動端末は、移動先のサブネットワークにファイアウォールを介して、相手端末との間でＩＰによる通信を継続することができる。
【特許文献１】特開２００３−２３５０６５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかし、前述の経路最適化オプションを用いる場合、通信相手は、気付き先アドレスの通知を受けた場合、通信を確立したときのＩＰアドレスとは異なるＩＰアドレスに対して通信を継続する仕組みが必要となる。また、この場合、気付き先アドレスを通知してきた移動端末が、本当に前回通信を確立していた移動端末であるか否かを確認する手順が必要となる。このような処理を、通信相手となる全てのＩＰ機器に実装することは、現実的ではない。
【０００８】
一方、逆方向トンネリングを用いる場合、ファイアウォールが設けられていないネットワークにおいて逆方向トンネリングを用いない場合に比べて、ホームエージェントとフォーリンエージェントとの間のトラフィックが増加し、輻輳が発生する場合がある。この場合、パケットの喪失による再送等により、パケットの伝送遅延の増加やホームエージェントおよびフォーリンエージェントの処理負荷の増加等が発生する場合がある。これにより、移動端末は、通信相手との間でＩＰによる通信を適切に継続することができない場合があった。
【０００９】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、通信相手のＩＰ機器に特別な機能を設けることなく、異なるサブネットワーク間を移動した場合であっても通信相手との間の通信を継続することにある。
【課題を解決するための手段】
【００１０】
上記課題を解決するために、本発明は、移動端末がフォーリンネットワークに移動した場合に、移動先のフォーリンネットワークを管理するファイアウォールに対して、フォーリンネットワークに属さないＩＰアドレスであるホームアドレスを送信元とするパケットの、フォーリンネットワークから外部ネットワークへの送信を許可させる。
【００１１】
例えば、フォーリンネットワークと外部ネットワークとの間に設けられ、フォーリンネットワークから外部ネットワークへ送信される通信パケットの通過を、予め定められたフィルタリング条件に基づいて許可または遮断するファイアウォールであって、フィルタリング条件が設定されているフィルタリングテーブルと、モバイルＩＰに基づいて通信を行う移動端末が、フォーリンネットワークへ移動した場合に、フォーリンネットワークに設けられたフォーリンエージェントとの間で、モバイルＩＰに規定される認証である外部認証を行い、外部認証が成功した後に、外部認証が成功した移動端末のホームアドレスを送信元とする通信パケットの、フォーリンネットワークから外部ネットワークへの送信を許可させる許可要請を、フォーリンエージェント、外部認証に成功した移動端末、およびホームネットワークに設けられたホームエージェントのいずれかである許可要請送信機器から受け取り、受け取った許可要請に基づいて、フィルタリングテーブルに設定されているフィルタリング条件を変更するテーブル変更部とを備えることを特徴とするファイアウォールを提供する。
【００１２】
また、フォーリンネットワークに設けられ、モバイルＩＰに基づく通信を行う移動端末がフォーリンネットワークに移動した場合に、移動端末からの登録要求を受け付け、登録要求を受け付けた移動端末との間で、モバイルＩＰに規定される認証である外部認証を行い、外部認証が成功した場合に移動端末に気付けアドレスを付与すると共に、移動端末のホームエージェントが移動端末に代わって受信した移動端末宛ての通信パケットを、ホームエージェントから受け取り、気付けアドレスを割り当てた移動端末へ送信するフォーリンエージェントであって、移動端末との外部認証が成功した後に、外部認証が成功した移動端末のホームアドレスを送信元とする通信パケットの、フォーリンネットワークから外部ネットワークへの送信を許可させる許可要請を、フォーリンネットワークを管理するファイアウォールへ送信することにより、ファイアウォールに、ファイアウォールのフィルタリング条件を許可要請に基づいて変更させる許可要請部を有することを特徴とするフォーリンエージェントを提供してもよい。
【００１３】
また、モバイルＩＰに基づく通信を行う移動端末であって、フォーリンネットワークに移動した場合、フォーリンネットワークに設けられたフォーリンエージェントとの間でモバイルＩＰに基づく外部認証に成功した後に、自身のホームアドレスを送信元とする通信パケットの、フォーリンネットワークから外部ネットワークへの送信を許可させる許可要請を、フォーリンネットワークを管理するファイアウォールへ送信することにより、ファイアウォールに、ファイアウォールのフィルタリング条件を許可要請に基づいて変更させる許可要請部を有することを特徴とする移動端末を提供してもよい。
【００１４】
また、モバイルＩＰに基づく通信を行う移動端末のホームネットワークに設けられ、移動端末からのホーム登録要求を受け付け、ホーム登録要求を受け付けた移動端末との間でホーム認証を行い、ホーム認証が成功した場合に移動端末にホームアドレスを付与すると共に、移動端末が前記フォーリンネットワークに移動した場合に、移動端末に代わって移動端末宛の通信パケットを受け取り、受け取ったパケットをフォーリンネットワークに設けられたフォーリンエージェントを介して移動端末へ転送するホームエージェントであって、移動端末がフォーリンネットワークに移動した場合に、フォーリンエージェントと移動端末との間で行われるモバイルＩＰに規定される外部認証が成功した後に、外部認証が成功した移動端末のホームアドレスを送信元とする通信パケットの、フォーリンネットワークから外部ネットワークへの送信を許可させる許可要請を、フォーリンネットワークを管理するファイアウォールへ送信することにより、ファイアウォールに、ファイアウォールのフィルタリング条件を許可要請に基づいて変更させる許可要請部を有することを特徴とするホームエージェントを提供してもよい。
【発明の効果】
【００１５】
本発明によれば、移動端末が異なるサブネットワーク間を移動した場合であっても、通信相手のＩＰ機器に特別な機能を設けることなく、通信相手との間で適切に通信する通信システムを提供することができる。
【発明を実施するための最良の形態】
【００１６】
以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
【００１７】
図１は、本発明の第１実施形態に係る通信システム１０の構成を示す。通信システム１０は、ＩＰ機器１２、外部ネットワーク１４、および社内ネットワーク１００を備える。外部ネットワーク１４は、例えばインターネット等である。ＩＰ機器１２は、ＩＰに基づいて通信を行う機器であり、外部ネットワーク１４に接続され、外部ネットワーク１４を介して、社内ネットワーク１００内にあるＩＰ機器と通信を行う。ＩＰ機器１２は、ルータやＩＰに基づいて通信を行う移動通信端末等であってもよい。
【００１８】
社内ネットワーク１００は、ファイアウォール１０２、ＬＡＮ１０４、アクセスポイント１０６、移動端末１０８、アクセスポイント１１０、ＬＡＮ１１２、ホームエージェント１１４、フォーリンエージェント１１６、および専用線１１８を備える。社内ネットワーク１００は、例えば会社内の通信ネットワークであり、ＬＡＮ１０４およびＬＡＮ１１２は、例えば異なる部署や異なる建物内に設けられたＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）であり、専用線１１８を介して互いに接続されている。ＬＡＮ１０４は、移動端末１０８が本来所属するホームネットワークであり、外部ネットワーク１４、アクセスポイント１０６、およびホームエージェント１１４が接続される。本例において、外部ネットワーク１４とホームエージェント１１４との間に設けられるルータやファイアウォール等は省略している。アクセスポイント１０６は、ＬＡＮ１０４に接続され、移動端末１０８と電波を用いて通信を行う。ホームエージェント１１４は、ＬＡＮ１０４に接続され、ＬＡＮ１０４およびアクセスポイント１０６を介して、移動端末１０８との間で公知のモバイルＩＰで規定される認証を行った後に、移動端末１０８にホームアドレスを割り当てる。移動端末１０８は、ホームエージェント１１４から割り当てられたホームアドレスを用いて、ＬＡＮ１０４および外部ネットワーク１４を介して、ＩＰ機器１２と通信を行う。
【００１９】
ＬＡＮ１１２は、移動端末１０８が移動した先のネットワークであり、ファイアウォール１０２、アクセスポイント１１０、およびフォーリンエージェント１１６が接続される。ファイアウォール１０２は、ＬＡＮ１１２から外部ネットワーク１４へ送信されるＩＰパケットを監視し、設定されたフィルタリング条件に適合しないＩＰパケットの中継を拒否する。なお、第１〜３実施形態において、ファイアウォール１０２には、ＬＡＮ１１２に属さないＩＰアドレスを送信元とするＩＰパケットの、ＬＡＮ１１２から外部ネットワーク１４への中継を拒否するフィルタリング条件が、初期状態として設定されている。
【００２０】
アクセスポイント１１０は、ＬＡＮ１１２に接続され、移動端末１０８と電波を用いて通信を行う。フォーリンエージェント１１６は、ＬＡＮ１１２に接続されていると共に、専用線１１８を介してホームエージェント１１４と接続されている。フォーリンエージェント１１６は、移動端末１０８がＬＡＮ１０４からＬＡＮ１１２に移動した場合に、アクセスポイント１１０およびＬＡＮ１１２を介して、移動端末１０８との間で公知のモバイルＩＰで規定される認証を行った後に、移動端末１０８に気付けアドレスを割り当てると共に、ホームエージェント１１４との間でトンネリング経路を確立する。
【００２１】
ここで、移動端末１０８の動作について説明する。まず、移動端末１０８は、ＬＡＮ１０４において、ホームエージェント１１４と認証を行い、ホームエージェント１１４からホームアドレスを割り当てられる。そして、移動端末１０８は、当該ホームアドレスを送信元ＩＰアドレスとして、ＬＡＮ１０４および外部ネットワーク１４を介して、ＩＰ機器１２と通信を行う。次に、移動端末１０８がＬＡＮ１０４からＬＡＮ１１２に移動した場合、例えば、通信を行うのに十分な強度の電波がアクセスポイント１０６から受けられる範囲を外れて、十分な強度の電波がアクセスポイント１１０から受けられる範囲に移動した場合、移動端末１０８は、フォーリンエージェント１１６へホームエージェント１１４との間で行った認証に関する情報を送信する。フォーリンエージェント１１６は、移動端末１０８から受け取った認証情報をホームエージェント１１４に問い合わせ、当該認証情報が正しい旨をホームエージェント１１４から受け取ることにより、移動端末１０８のＬＡＮ１１２の所属を許可すると共に、移動端末１０８にＬＡＮ１１２に属するＩＰアドレスである気付けアドレスを割り当てる。
【００２２】
また、ファイアウォール１０２は、移動端末１０８がフォーリンエージェント１１６との認証に成功した場合に、後述する、フォーリンエージェント１１６から受け取る許可要請によって、移動端末１０８のホームアドレスを送信元とするＩＰパケットのＬＡＮ１１２から外部ネットワーク１４への中継を許可するようにフィルタリング条件を変更する。
【００２３】
そして、移動端末１０８は、送信元を移動端末１０８のホームアドレスとするＩＰパケットを、ＬＡＮ１１２およびファイアウォール１０２を介してＩＰ機器１２へ送る。ＩＰ機器１２は、移動端末１０８宛てのＩＰパケットを、移動端末１０８のホームアドレスを宛先として、ホームエージェント１１４へ送る。ホームエージェント１１４は、ＩＰ機器１２から移動端末１０８のホームアドレスを宛先とするＩＰパケットを受け取ると、当該ＩＰパケットの宛先を移動端末１０８の気付けアドレスに書き換えて、専用線１１８を介してフォーリンエージェント１１６へ送る。フォーリンエージェント１１６はホームエージェント１１４から受け取ったＩＰパケットの宛先に応じて、ホームエージェント１１４から受け取ったＩＰパケットを移動端末１０８へ送る。このように、異なるサブネットワークを移動した場合であっても、移動端末１０８とＩＰ機器１２とは、ＩＰに基づく通信を継続することができる。
【００２４】
なお、本実施形態において、移動端末１０８は、電波を用いて通信を行うＩＰ機器であるが、他の例として、ケーブルを介してＬＡＮ１０４に接続されるＩＰ機器であってもよい。この場合、ＬＡＮ１０４に接続されているケーブルを外し、ＬＡＮ１１２にケーブルを接続したときに、移動端末１０８はＬＡＮ１０４からＬＡＮ１１２へ移動したものとして、フォーリンエージェント１１６との間で認証を行い、気付けアドレスの割り当てを受ける。
【００２５】
図２は、第１実施形態に係るファイアウォール１０２の構成の一例を示すブロック図である。ファイアウォール１０２は、フィルタリング部１２０、フィルタリングテーブル１２２、テーブル変更部１２４、フォーリンエージェント認証部１２６、ホームエージェント認証部１２８、およびタイマ部１３０を備える。フィルタリングテーブル１２２は、特定の宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、および送信元ポート番号等の組み合わせに対して、ＬＡＮ１１２から外部ネットワーク１４へ、および外部ネットワーク１４からＬＡＮ１１２へ送信されるＩＰパケットのファイアウォール１０２の通過を許可または拒否するフィルタリング条件を格納している。
【００２６】
フィルタリング部１２０は、ＬＡＮ１１２から外部ネットワーク１４へ送信されるＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、および送信元ポート番号を読み出し、フィルタリングテーブル１２２を参照して、読み出した宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、および送信元ポート番号が、フィルタリングテーブル１２２に格納されているフィルタリング条件において中継が許可されている場合、ＬＡＮ１１２から外部ネットワーク１４へのＩＰパケットの中継を許可する。また、フィルタリング部１２０は、外部ネットワーク１４からＬＡＮ１１２へ送信されるＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、および送信元ポート番号を読み出し、フィルタリングテーブル１２２を参照して、読み出した宛先ＩＰアドレス、送信元ＩＰアドレス、宛先ポート番号、および送信元ポート番号が、フィルタリングテーブル１２２に格納されているフィルタリング条件において中継が許可されている場合、外部ネットワーク１４からＬＡＮ１１２へのＩＰパケットの中継を許可する。
【００２７】
フォーリンエージェント認証部１２６は、フォーリンエージェント１１６との間で認証を行う。第１〜３の実施形態における認証としては、公知の電子認証等であってもよく、予め設定されたパスワード等を確認することにより行われてもよい。そして、フォーリンエージェント１１６の認証が成功した場合に、フォーリンエージェント認証部１２６は、認証が成功した旨と共に、認証が成功したフォーリンエージェント１１６のＩＰアドレスをテーブル変更部１２４およびタイマ部１３０へ通知する。
【００２８】
ホームエージェント認証部１２８は、ホームエージェント１１４との間で認証を行う。そして、ホームエージェント１１４の認証が成功した場合に、ホームエージェント認証部１２８は、認証が成功した旨と共に、認証が成功したホームエージェント１１４のＩＰアドレスをテーブル変更部１２４へ通知する。
【００２９】
タイマ部１３０は、認証が成功したフォーリンエージェント１１６から、移動端末１０８のホームアドレスと共に、公知のモバイルＩＰで用いられる気付けアドレスの登録有効時間を受信する。そして、タイマ部１３０は、受信した登録有効時間に基づいて時間を計測し、登録有効時間が満了した場合に、その旨を、登録有効時間が満了した気付けアドレスに対応するホームアドレスと共にテーブル変更部１２４へ通知する。
【００３０】
テーブル変更部１２４は、ＬＡＮ１１２に属さない移動端末１０８のホームアドレスを送信元とするＩＰパケットのＬＡＮ１１２から外部ネットワーク１４への中継を許可させる許可要請を、認証が成功したフォーリンエージェント１１６から受け取った場合、許可要請と共に受け取った移動端末１０８のホームアドレスを送信元とするＩＰパケットのフィルタリング条件をフィルタリングテーブル１２２から読み出して保存する。そして、許可要請に基づいて、移動端末１０８のホームアドレスを送信元とするＩＰパケットのＬＡＮ１１２から外部ネットワーク１４への中継を許可させるように、フィルタリングテーブル１２２のフィルタリング条件を変更する。
【００３１】
また、テーブル変更部１２４は、移動端末１０８のホームアドレスを送信元とするＩＰパケットのＬＡＮ１１２から外部ネットワーク１４への中継許可を解除させる解除要請を、認証が成功したホームエージェント１１４から受け取った場合、受け取った解除要請に含まれる移動端末１０８のホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２から削除し、許可要請を受け取った場合に保存した移動端末１０８のホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２に設定することにより、許可要請に基づいて変更されたフィルタリング条件を、許可要請に基づいて変更される前の条件に戻す。
【００３２】
また、テーブル変更部１２４は、登録有効時間が満了した旨と共に当該登録有効時間に対応するホームアドレスをタイマ部１３０から受け取った場合、受け取ったホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２から削除し、許可要請を受け取った場合に保存した移動端末１０８のホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２に設定することにより、許可要請に基づいて変更されたフィルタリング条件を、許可要請に基づいて変更される前の条件に戻す。
【００３３】
なお、タイマ部１３０は、複数の移動端末１０８のタイマ値を順次減算してもよい。この場合、それぞれのタイマ値は、それぞれの移動端末１０８のホームアドレスに対応付けて管理される。これにより、ＬＡＮ１１２に複数の移動端末１０８が移動した場合であっても、それぞれの移動端末１０８の登録有効時間に応じて、フィルタリングテーブル１２２のフィルタリング条件を適切に管理することができる。
【００３４】
図３は、第１実施形態に係るフォーリンエージェント１１６の構成の一例を示すブロック図である。フォーリンエージェント１１６は、アドレス通知部１４０、許可要請部１４２、モバイルＩＰ処理部１４４、認証部１４６、および有効時間通知部１４８を備える。モバイルＩＰ処理部１４４は、ＬＡＮ１１２をホームネットワークとしない移動端末１０８との間で認証を行う処理、移動端末１０８のホームネットワークに設けられているホームエージェント１１４との間に通信路を確立する処理、およびＬＡＮ１１２をホームネットワークとしない移動端末１０８に気付けアドレスを割り当てる処理等の公知のモバイルＩＰに基づく処理を行う。
【００３５】
アドレス通知部１４０は、自身が属するＬＡＮ１１２の通信を管理するファイアウォール１０２のＩＰアドレスを保持しており、モバイルＩＰ処理部１４４がホームエージェント１１４と専用線１１８を介して通信路を確立した場合に、ファイアウォール１０２のＩＰアドレスを、後述する拡張メッセージを用いて、専用線１１８を介してホームエージェント１１４に通知する。
【００３６】
認証部１４６は、モバイルＩＰ処理部１４４が移動端末１０８との間で、モバイルＩＰで規定される認証に成功した場合に、ファイアウォール１０２のフォーリンエージェント認証部１２６との間で認証を行う。そして、フォーリンエージェント認証部１２６の認証に成功した場合に、認証部１４６は、その旨を許可要請部１４２および有効時間通知部１４８に通知する。
【００３７】
許可要請部１４２は、フォーリンエージェント認証部１２６の認証が成功した旨を認証部１４６から受け取った場合、移動端末１０８のホームアドレスを送信元とするＩＰパケットのＬＡＮ１１２から外部ネットワーク１４への中継を許可させる許可要請をテーブル変更部１２４に送る。
【００３８】
このように、移動端末１０８が送信するＩＰパケットが、ファイアウォール１０２を介してＩＰ機器１２に送信され、ＩＰ機器１２が移動端末１０８宛に送信したＩＰパケットが専用線１１８を介して移動端末１０８に送信される。これにより、公知のリバーストンネリング技術を用いる場合に比べて、専用線１１８のトラフィックを減少させることができる。そのため、ホームエージェント１１４とフォーリンエージェント１１６との間の通信路における輻輳の発生を抑えることができ、移動端末１０８とＩＰ機器１２とを適切に通信させることができる。
【００３９】
また、公知のモバイルＩＰにおいては、ホームエージェント１１４は移動端末１０８との認証が成功した場合にのみホームアドレスを割り当てる。また、フォーリンエージェント１１６は、移動端末１０８との認証が成功した場合にのみ気付けアドレスを割り当てる。気付けアドレスが割り当てられることは、即ち、アドレス詐称攻撃等の不正アクセスを行うＩＰ機器ではないことを意味する。そこで、フォーリンエージェント１１６は、気付け先アドレスを割り当てた移動端末１０８のホームアドレスについて、ファイアウォール１０２に許可要請を送信することにより、モバイルＩＰに基づく認証が成功した移動端末１０８のホームアドレスを送信元とするＩＰパケットの中継のみを許可させる。
【００４０】
ここで、ファイアウォール１０２が、フォーリンエージェント１１６との間で認証を行わずに、フォーリンエージェント１１６からの許可要請に応じてフィルタリング条件を変更するとすれば、不正アクセスを行うＩＰ機器からの不正な許可要請に対しても同様にフィルタリング条件を変更してしまう場合がある。しかし、本実施形態においては、ファイアウォール１０２とフォーリンエージェント１１６とは、電子認証等を用いて認証を行うので、不正アクセスを行うＩＰ機器からの許可要請を排除することができる。従って、ファイアウォール１０２は、ＬＡＮ１１２のセキュリティを適切に維持することができる。
【００４１】
有効時間通知部１４８は、フォーリンエージェント認証部１２６との認証が成功した旨を認証部１４６から受け取った場合、移動端末１０８に割り当てられた気付けアドレスの登録有効時間をモバイルＩＰ処理部１４４から読み出し、タイマ部１３０に通知する。これにより、タイマ部１３０は、受け取った登録有効時間に基づいて時間を計測し、登録有効時間が満了した場合に、テーブル変更部１２４に、移動端末１０８が所属したことによって変更したフィルタリング条件を、移動端末１０８が所属する前の条件に戻させることができる。従って、ファイアウォール１０２はＬＡＮ１１２のセキュリティを適切に維持することができる。
【００４２】
図４は、ファイアウォール１０２のＩＰアドレスを通知するための拡張メッセージ１５０のフォーマットの一例を示す。拡張メッセージ１５０は、メッセージタイプ１５２、メッセージ長１５４、およびＩＰアドレス部１５６を備える。メッセージタイプ１５２は、公知のモバイルＩＰにおいて予め定められたメッセージの種別を示す情報である。本実施形態の拡張メッセージ１５０では、メッセージ種別として、例えばベンダーオプションの値を用いる。メッセージ長１５４は、拡張メッセージ１５０全体のメッセージ長を示す情報である。ＩＰアドレス部１５６には、ファイアウォール１０２のＩＰアドレスが格納される。このように、拡張メッセージ１５０を用いることによって、ホームエージェント１１４は、ファイアウォール１０２のＩＰアドレスを知ることができる。
【００４３】
図５は、第１実施形態に係るホームエージェント１１４の構成の一例を示すブロック図である。ホームエージェント１１４は、モバイルＩＰ処理部１６０、アドレス受信部１６２、アドレス格納部１６４、認証部１６６、および解除要請部１６８を備える。モバイルＩＰ処理部１６０は、移動端末１０８と認証を行ってホームアドレスを割り当てる処理、フォーリンエージェント１１６のモバイルＩＰ処理部１４４との間で通信路を確立する処理、ＩＰ機器１２から移動端末１０８のホームアドレス宛てに送信されたＩＰパケットを受け取って、宛先を移動端末１０８の気付けアドレスに書き換えてフォーリンエージェント１１６へ転送する処理等の公知のモバイルＩＰに基づく処理を行う。
【００４４】
アドレス受信部１６２は、ファイアウォール１０２のＩＰアドレスをアドレス通知部１４０から受信した場合、当該ＩＰアドレスをアドレス格納部１６４および認証部１６６へ送る。アドレス格納部１６４は、２つの記憶部を有しており、アドレス通知部１４０から受け取ったＩＰアドレスを一方の記憶部に、アドレス通知部１４０から前回受け取ったＩＰアドレスを他方の記憶部にそれぞれ記憶する。そして、アドレス格納部１６４は、ファイアウォール１０２のＩＰアドレスを新たにアドレス受信部１６２から受け取った場合に、最も古いＩＰアドレスを記憶している一方の記憶部に新たなＩＰアドレスを上書きすることにより、新たなＩＰアドレスを記憶すると共に、新たなＩＰアドレスの１つ前のＩＰアドレスを他方の記憶部から読み出して認証部１６６へ送る。
【００４５】
認証部１６６は、アドレス受信部１６２から受け取った新たなファイアウォール１０２のＩＰアドレスと、アドレス格納部１６４から受け取った1つ前のファイアウォール１０２のＩＰアドレスとを比較し、両者が異なる場合、即ち移動端末１０８があるＬＡＮ１１２から別のＬＡＮ１１２へ移動した場合に、ファイアウォール１０２のホームエージェント認証部１２８との間で認証を行う。そして、ホームエージェント認証部１２８との認証に成功した場合に、認証部１６６は、その旨を解除要請部１６８に通知する。
【００４６】
解除要請部１６８は、ホームエージェント認証部１２８との認証が成功した旨を認証部１６６から受け取った場合、許可要請に基づいて変更されたフィルタリングテーブル１２２のフィルタリング条件を、許可要請に基づいて変更される前の条件に戻す旨の指示である解除要請をテーブル変更部１２４へ送信する。これにより、テーブル変更部１２４は、あるＬＡＮ１１２から別のＬＡＮ１１２へ移動端末１０８が移動した場合に、移動端末１０８が所属したことによって変更したフィルタリング条件を、移動端末１０８が所属する前の条件に戻すことができる。従って、ファイアウォール１０２はＬＡＮ１１２のセキュリティを適切に維持することができる。
【００４７】
図６は、第１実施形態に係るファイアウォール１０２の動作の一例を示すフローチャートである。移動端末１０８がＬＡＮ１０４からＬＡＮ１１２へ移動してから、移動端末１０８、フォーリンエージェント１１６、およびホームエージェント１１４がモバイルＩＰにおける公知の位置登録処理を行った後に、本フローチャートに示すファイアウォール１０２の処理が開始する。まず、ファイアウォール１０２のフォーリンエージェント認証部１２６は、フォーリンエージェント１１６の認証部１４６との間で認証を行う（Ｓ１００）。そして、フォーリンエージェント認証部１２６は、認証が成功したか否かを判定する（Ｓ１０２）。認証が成功しなかった場合（Ｓ１０２：Ｎｏ）、本フローチャートに示すファイアウォール１０２の処理は終了する。
【００４８】
ステップ１０２において、認証が成功した場合（Ｓ１０２：Ｙｅｓ）、テーブル変更部１２４は、認証が成功したフォーリンエージェント１１６の許可要請部１４２から許可要請を受け取り、受け取った許可要請に基づいて、フィルタリング条件を変更する（Ｓ１０４）。次に、タイマ部１３０は、有効時間通知部１４８から気付けアドレスの登録有効時間を受け取り、受け取った登録有効時間をタイマ値に設定して、タイマをスタートさせる（Ｓ１０６）。そして、タイマ部１３０は、タイマ値が０になったか否かを判定する（Ｓ１０８）。タイマ値が０になった場合（Ｓ１０８：Ｙｅｓ）、タイマ部１３０は、対応する移動端末１０８のホームアドレスと共に、当該ホームアドレスに対応する気付けアドレスの登録有効時間が０になった旨をテーブル変更部１２４へ通知する。テーブル変更部１２４は、タイマ部１３０からタイマ値が０になった旨および当該タイマ値に対応するホームアドレスを受け取り、受け取ったホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２から削除し、許可要請を受け取った場合に保存していた移動端末１０８のホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２に設定し（Ｓ１１０）、本フローチャートに示すファイアウォール１０２の処理は終了する。
【００４９】
ステップ１０８において、タイマ値が０でない場合（Ｓ１０８：Ｎｏ）、テーブル変更部１２４は、ホームエージェント１１４の解除要請部１６８から解除要請を受け取ったか否かを判定する（Ｓ１１２）。解除要請部１６８から解除要請を受け取った場合（Ｓ１１２：Ｙｅｓ）、テーブル変更部１２４は、ステップ１１０に示した処理を行う。
【００５０】
ステップ１１２において、解除要請部１６８から解除要請を受け取っていない場合（Ｓ１１２：Ｎｏ）、タイマ部１３０は、有効時間通知部１４８から新たに登録有効時間を受け取ったか否かを判定する（Ｓ１１４）。有効時間通知部１４８から登録有効時間を受け取っていない場合（Ｓ１１４：Ｎｏ）、タイマ部１３０は、再びステップ１０８に示した処理を行う。有効時間通知部１４８から登録有効時間を受け取った場合（Ｓ１１４：Ｙｅｓ）、タイマ部１３０は、受け取った登録有効時間をタイマ値に設定して、タイマをスタートさせ（Ｓ１１６）、再びステップ１０８に示す処理を行う。
【００５１】
以上、本発明の第１実施形態について説明した。
【００５２】
上述したように、本実施形態によれば、通信相手のＩＰ機器１２に特別な機能を設けることなく、移動端末１０８が異なるサブネットワーク間を移動した場合であっても、通信相手との間で適切に通信する通信システム１０を提供することができる。
【００５３】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。以下に、上記の第１実施形態を変形した第２実施形態について説明する。第１実施形態では、フォーリンエージェント１１６がファイアウォール１０２に許可要請を送信したが、第２実施形態では、ホームエージェント１１４がファイアウォール１０２に許可要請を送信する点が異なる。
【００５４】
図７は、第２実施形態に係るファイアウォール１０２の構成の一例を示すブロック図である。なお、以下に説明する点を除き、図７において、図２と同じ符号を付した構成は、図２における構成と同一または同様の機能を有するため説明を省略する。
【００５５】
ホームエージェント認証部１２８は、外部ネットワーク１４を介してホームエージェント１１４との間で認証を行い、ホームエージェント１１４との認証が成功した場合に、認証が成功した旨を、認証が成功したホームエージェント１１４のＩＰアドレスと共にテーブル変更部１２４およびタイマ部１３０へ通知する。
【００５６】
タイマ部１３０は、認証が成功したホームエージェント１１４から、外部ネットワーク１４を介して、移動端末１０８のホームアドレスと共に気付けアドレスの登録有効時間を受信する。そして、タイマ部１３０は、受信した登録有効時間に基づいて時間を計測し、登録有効時間が満了した場合に、その旨を、登録有効時間が満了した気付けアドレスに対応するホームアドレスと共にテーブル変更部１２４へ通知する。
【００５７】
テーブル変更部１２４は、認証が成功したホームエージェント１１４から、外部ネットワーク１４を介して許可要請を受け取った場合、許可要請と共に受け取った移動端末１０８のホームアドレスを送信元とするＩＰパケットのフィルタリング条件をフィルタリングテーブル１２２から読み出して保存する。そして、許可要請に基づいて、移動端末１０８のホームアドレスを送信元とするＩＰパケットのＬＡＮ１１２から外部ネットワーク１４への中継を許可させるように、フィルタリングテーブル１２２のフィルタリング条件を変更する。
【００５８】
また、テーブル変更部１２４は、認証が成功したホームエージェント１１４から、外部ネットワーク１４を介して解除要請を受け取った場合、受け取った解除要請に含まれる移動端末１０８のホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２から削除し、許可要請を受け取った場合に保存した移動端末１０８のホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２に設定することにより、許可要請に基づいて変更されたフィルタリング条件を、許可要請に基づいて変更される前の条件に戻す。
【００５９】
また、テーブル変更部１２４は、登録有効時間が満了した旨と共に当該登録有効時間に対応するホームアドレスをタイマ部１３０から受け取った場合、受け取ったホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２から削除し、許可要請を受け取った場合に保存した移動端末１０８のホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２に設定することにより、許可要請に基づいて変更されたフィルタリング条件を、許可要請に基づいて変更される前の条件に戻す。
【００６０】
図８は、第２実施形態に係るフォーリンエージェント１１６の構成の一例を示すブロック図である。なお、以下に説明する点を除き、図８において、図３と同じ符号を付した構成は、図３における構成と同一または同様の機能を有するため説明を省略する。アドレス通知部１４０は、自身が属するＬＡＮ１１２の通信を管理するファイアウォール１０２のＩＰアドレスを保持しており、モバイルＩＰ処理部１４４がホームエージェント１１４と専用線１１８を介して通信路を確立した場合に、ファイアウォール１０２のＩＰアドレスを、図４において説明した拡張メッセージを用いて、専用線１１８を介してホームエージェント１１４に通知する。
【００６１】
図９は、第２実施形態に係るホームエージェント１１４の構成の一例を示すブロック図である。なお、以下に説明する点を除き、図９において、図５と同じ符号を付した構成は、図５における構成と同一または同様の機能を有するため説明を省略する。ホームエージェント１１４は、許可要請部２４２、認証部２４６、および有効時間通知部２４８をさらに備える。
【００６２】
認証部２４６は、モバイルＩＰ処理部１６０がフォーリンエージェント１１６を介して移動端末１０８との認証に成功した場合に、外部ネットワーク１４を介してファイアウォール１０２のホームエージェント認証部１２８との間で認証を行う。そして、ホームエージェント認証部１２８との認証に成功した場合に、認証部２４６は、その旨を許可要請部２４２および有効時間通知部２４８に通知する。
【００６３】
許可要請部２４２は、ホームエージェント認証部１２８との認証が成功した旨を認証部２４６から受け取った場合、移動端末１０８のホームアドレスを送信元とするＩＰパケットのＬＡＮ１１２から外部ネットワーク１４への中継を許可させる許可要請を、外部ネットワーク１４を介してファイアウォール１０２のテーブル変更部１２４へ送信する。
【００６４】
有効時間通知部２４８は、ホームエージェント認証部１２８との認証が成功した旨を認証部２４６から受け取った場合、移動端末１０８に割り当てられた気付けアドレスの登録有効時間をモバイルＩＰ処理部１６０から読み出し、外部ネットワーク１４を介してファイアウォール１０２のタイマ部１３０に通知する。
【００６５】
図１０は、第２実施形態に係るファイアウォール１０２の動作の一例を示すフローチャートである。移動端末１０８がＬＡＮ１０４からＬＡＮ１１２へ移動してから、移動端末１０８、フォーリンエージェント１１６、およびホームエージェント１１４がモバイルＩＰにおける公知の位置登録処理を行った後に、本フローチャートに示すファイアウォール１０２の処理が開始する。まず、ファイアウォール１０２のホームエージェント認証部１２８は、ホームエージェント１１４の認証部２４６との間で認証を行う（Ｓ２００）。そして、ホームエージェント認証部１２８は、認証が成功したか否かを判定する（Ｓ２０２）。認証が成功しなかった場合（Ｓ２０２：Ｎｏ）、本フローチャートに示すファイアウォール１０２の処理は終了する。
【００６６】
ステップ２０２において、認証が成功した場合（Ｓ２０２：Ｙｅｓ）、テーブル変更部１２４は、認証が成功したホームエージェント１１４の許可要請部２４２から許可要請を受け取り、受け取った許可要請に基づいて、フィルタリング条件を変更する（Ｓ２０４）。次に、タイマ部１３０は、有効時間通知部２４８から気付けアドレスの登録有効時間を受け取り、受け取った登録有効時間をタイマ値に設定して、タイマをスタートさせる（Ｓ２０６）。そして、タイマ部１３０は、タイマ値が０になったか否かを判定する（Ｓ２０８）。タイマ値が０になった場合（Ｓ２０８：Ｙｅｓ）、タイマ部１３０は、対応する移動端末１０８のホームアドレスと共に、当該ホームアドレスに対応する気付けアドレスの登録有効時間が０になった旨をテーブル変更部１２４へ通知する。テーブル変更部１２４は、タイマ部１３０からタイマ値が０になった旨および当該タイマ値に対応するホームアドレスを受け取り、受け取ったホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２から削除し、許可要請を受け取った場合に保存していた移動端末１０８のホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２に設定し（Ｓ２１０）、本フローチャートに示すファイアウォール１０２の処理は終了する。
【００６７】
ステップ２０８において、タイマ値が０でない場合（Ｓ２０８：Ｎｏ）、テーブル変更部１２４は、ホームエージェント１１４の解除要請部１６８から解除要請を受け取ったか否かを判定する（Ｓ２１２）。解除要請部１６８から解除要請を受け取った場合（Ｓ２１２：Ｙｅｓ）、テーブル変更部１２４は、ステップ１１０に示した処理を行う。
【００６８】
ステップ２１２において、解除要請部１６８から解除要請を受け取っていない場合（Ｓ２１２：Ｎｏ）、タイマ部１３０は、有効時間通知部２４８から新たに登録有効時間を受け取ったか否かを判定する（Ｓ２１４）。有効時間通知部２４８から登録有効時間を受け取っていない場合（Ｓ２１４：Ｎｏ）、タイマ部１３０は、再びステップ２０８に示した処理を行う。有効時間通知部２４８から登録有効時間を受け取った場合（Ｓ２１４：Ｙｅｓ）、タイマ部１３０は、受け取った登録有効時間をタイマ値に設定して、タイマをスタートさせ（Ｓ２１６）、再びステップ１０８に示す処理を行う。
【００６９】
以上、第２実施形態について説明した。本実施形態においても、通信相手のＩＰ機器１２に特別な機能を設けることなく、移動端末１０８が異なるサブネットワーク間を移動した場合であっても、通信相手との間で適切に通信する通信システム１０を提供することができる。次に、第３実施形態について説明する。第１実施形態では、フォーリンエージェント１１６がファイアウォール１０２に許可要請を送信したが、第３実施形態では、移動端末１０８がファイアウォール１０２に許可要請を送信する点が異なる。
【００７０】
図１１は、第３実施形態に係るファイアウォール１０２の構成の一例を示すブロック図である。なお、以下に説明する点を除き、図１１において、図２と同じ符号を付した構成は、図２における構成と同一または同様の機能を有するため説明を省略する。ファイアウォール１０２は、移動端末認証部３２６を備える。移動端末認証部３２６は、ＬＡＮ１１２を介して移動端末１０８との間で認証を行う。そして、移動端末１０８の認証が成功した場合に、移動端末認証部３２６は、認証が成功した旨と共に、認証が成功した移動端末１０８のホームアドレスをテーブル変更部１２４およびタイマ部１３０へ通知する。
【００７１】
タイマ部１３０は、認証が成功した移動端末１０８から、ＬＡＮ１１２を介して移動端末１０８のホームアドレスと共に気付けアドレスの登録有効時間を受信する。そして、タイマ部１３０は、受信した登録有効時間に基づいて時間を計測し、登録有効時間が満了した場合に、その旨を、登録有効時間が満了した気付けアドレスに対応するホームアドレスと共にテーブル変更部１２４へ通知する。
【００７２】
テーブル変更部１２４は、認証が成功した移動端末１０８から、ＬＡＮ１１２を介して許可要請を受け取った場合、許可要請と共に受信した移動端末１０８のホームアドレスを送信元とするＩＰパケットのフィルタリング条件を、フィルタリングテーブル１２２から読み出して保存する。そして、許可要請に基づいて、移動端末１０８のホームアドレスを送信元とするＩＰパケットのＬＡＮ１１２から外部ネットワーク１４への中継を許可させるように、フィルタリングテーブル１２２のフィルタリング条件を変更する。
【００７３】
図１２は、第３実施形態に係るフォーリンエージェント１１６の構成の一例を示すブロック図である。なお、以下に説明する点を除き、図１２において、図８と同じ符号を付した構成は、図８における構成と同一または同様の機能を有するので、説明を省略する。アドレス通知部１４０は、自身が属するＬＡＮ１１２の通信を管理するファイアウォール１０２のＩＰアドレスを保持しており、モバイルＩＰ処理部１４４が移動端末１０８との間で、モバイルＩＰで規定される認証に成功した場合に、ファイアウォール１０２のＩＰアドレスを移動端末１０８に通知する。
【００７４】
図１３は、第３実施形態に係るホームエージェント１１４の構成の一例を示すブロック図である。なお、図１３において、図５と同じ符号を付した構成は、図５における構成と同一または同様の機能を有するので、説明を省略する。
【００７５】
図１４は、第３実施形態に係る移動端末１０８の構成の一例を示すブロック図である。移動端末１０８は、モバイルＩＰ処理部３００、許可要請部３０２、認証部３０４、および有効時間通知部３０６を備える。モバイルＩＰ処理部３００は、ホームエージェント１１４と認証を行ってホームアドレスの割り当てを受ける処理や、フォーリンエージェント１１６と認証を行って気付けアドレスの割り当てを受ける処理等の公知のモバイルＩＰに基づく処理を行う。
【００７６】
認証部３０４は、フォーリンエージェント１１６への位置登録の処理を終了した場合に、ファイアウォール１０２の移動端末認証部３２６との間で認証を行う。そして、移動端末認証部３２６との認証に成功した場合に、認証部３０４は、その旨を許可要請部１４２および有効時間通知部１４８に通知する。
【００７７】
許可要請部３０２は、アドレス通知部１４０からファイアウォール１０２のＩＰアドレスを受け取る。そして、認証部３０４から移動端末認証部３２６との認証が成功した旨を受け取った場合、許可要請部３０２は、許可要請を、ＬＡＮ１１２を介してファイアウォール１０２のテーブル変更部１２４に送る。
【００７８】
有効時間通知部３０６は、移動端末認証部３２６との認証が成功した旨を認証部３０４から受け取った場合、移動端末１０８に割り当てられた気付けアドレスの登録有効時間をモバイルＩＰ処理部３００から読み出し、ファイアウォール１０２のタイマ部１３０に通知する。
【００７９】
図１５は、第３実施形態に係るファイアウォール１０２の動作の一例を示すフローチャートである。移動端末１０８がＬＡＮ１０４からＬＡＮ１１２へ移動してから、移動端末１０８、フォーリンエージェント１１６、およびホームエージェント１１４がモバイルＩＰにおける公知の位置登録処理を行った後に、本フローチャートに示すファイアウォール１０２の処理が開始する。まず、ファイアウォール１０２の移動端末認証部３２６は、移動端末１０８の認証部３０４との間で認証を行う（Ｓ３００）。そして、移動端末認証部３２６は、認証が成功したか否かを判定する（Ｓ３０２）。認証が成功しなかった場合（Ｓ３０２：Ｎｏ）、本フローチャートに示すファイアウォール１０２の処理は終了する。
【００８０】
ステップ３０２において、認証が成功した場合（Ｓ３０２：Ｙｅｓ）、テーブル変更部１２４は、認証が成功した移動端末１０８の許可要請部３０２から許可要請を受け取り、受け取った許可要請に基づいて、フィルタリング条件を変更する（Ｓ３０４）。次に、タイマ部１３０は、有効時間通知部３０６から気付けアドレスの登録有効時間を受け取り、受け取った登録有効時間をタイマ値に設定して、タイマをスタートさせる（Ｓ３０６）。そして、タイマ部１３０は、タイマ値が０になったか否かを判定する（Ｓ３０８）。タイマ値が０になった場合（Ｓ３０８：Ｙｅｓ）、タイマ部１３０は、対応する移動端末１０８のホームアドレスと共に、当該ホームアドレスに対応する気付けアドレスの登録有効時間が０になった旨をテーブル変更部１２４へ通知する。テーブル変更部１２４は、タイマ部１３０からタイマ値が０になった旨および当該タイマ値に対応するホームアドレスを受け取り、受け取ったホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２から削除し、許可要請を受け取った場合に保存していた移動端末１０８のホームアドレスに対応するフィルタリング条件をフィルタリングテーブル１２２に設定し（Ｓ３１０）、本フローチャートに示すファイアウォール１０２の処理は終了する。
【００８１】
ステップ３０８において、タイマ値が０でない場合（Ｓ３０８：Ｎｏ）、テーブル変更部１２４は、ホームエージェント１１４の解除要請部１６８から解除要請を受け取ったか否かを判定する（Ｓ３１２）。解除要請部１６８から解除要請を受け取った場合（Ｓ３１２：Ｙｅｓ）、テーブル変更部１２４は、ステップ１１０に示した処理を行う。
【００８２】
ステップ３１２において、解除要請部１６８から解除要請を受け取っていない場合（Ｓ３１２：Ｎｏ）、タイマ部１３０は、有効時間通知部３０６から新たに登録有効時間を受け取ったか否かを判定する（Ｓ３１４）。有効時間通知部３０６から登録有効時間を受け取っていない場合（Ｓ３１４：Ｎｏ）、タイマ部１３０は、再びステップ３０８に示した処理を行う。有効時間通知部３０６から登録有効時間を受け取った場合（Ｓ３１４：Ｙｅｓ）、タイマ部１３０は、受け取った登録有効時間をタイマ値に設定して、タイマをスタートさせ（Ｓ３１６）、再びステップ１０８に示す処理を行う。
【００８３】
以上、第３実施形態について説明した。本実施形態においても、通信相手のＩＰ機器１２に特別な機能を設けることなく、移動端末１０８が異なるサブネットワーク間を移動した場合であっても、通信相手との間で適切に通信する通信システム１０を提供することができる。
【００８４】
なお、本実施形態ではＬＡＮ１１２にフォーリンエージェント１１６が設けられている場合を例として説明したが、ＬＡＮ１１２にフォーリンエージェント１１６が設けられていない場合においても本発明を適用することができる。この場合、ＤＨＣＰ等のＩＰアドレス付与手段に、ファイアウォール１０２のＩＰアドレスを通知する機能を追加すると共に、移動端末１０８にモバイルＩＰに規定される手順に基づいて、ホームエージェント１１４との間で通信路を確立する手段を設けることにより、第３の実施形態と同様の構成を用いて、本発明を実現することができる。
【００８５】
以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記した実施の形態に記載の範囲には限定されない。また、上記した実施の形態に、多様な変更または改良を加えることが可能であることが当業者にとって明らかである。さらに、そのような変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。
【図面の簡単な説明】
【００８６】
【図１】本発明の第１実施形態に係る通信システム１０の構成を示す図である。
【図２】第１実施形態に係るファイアウォール１０２の構成の一例を示すブロック図である。
【図３】第１実施形態に係るフォーリンエージェント１１６の構成の一例を示すブロック図である。
【図４】ファイアウォール１０２のＩＰアドレスを通知するための拡張メッセージ１５０のフォーマットの一例を示す図である。
【図５】第１実施形態に係るホームエージェント１１４の構成の一例を示すブロック図である。
【図６】第１実施形態に係るファイアウォール１０２の動作の一例を示すフローチャートである。
【図７】第２実施形態に係るファイアウォール１０２の構成の一例を示すブロック図である。
【図８】第２実施形態に係るフォーリンエージェント１１６の構成の一例を示すブロック図である。
【図９】第２実施形態に係るホームエージェント１１４の構成の一例を示すブロック図である。
【図１０】第２実施形態に係るファイアウォール１０２の動作の一例を示すフローチャートである。
【図１１】第３実施形態に係るファイアウォール１０２の構成の一例を示すブロック図である。
【図１２】第３実施形態に係るフォーリンエージェント１１６の構成の一例を示すブロック図である。
【図１３】第３実施形態に係るホームエージェント１１４の構成の一例を示すブロック図である。
【図１４】第３実施形態に係る移動端末１０８の構成の一例を示すブロック図である。
【図１５】第３実施形態に係るファイアウォール１０２の動作の一例を示すフローチャートである。
【符号の説明】
【００８７】
１０・・・通信システム、１２・・・ＩＰ機器、１４・・・外部ネットワーク、１００・・・社内ネットワーク、１０２・・・ファイアウォール、１０４、１１２・・・ＬＡＮ、１０６、１１０・・・アクセスポイント、１０８・・・移動端末、１１４・・・ホームエージェント、１１６・・・フォーリンエージェント、１１８・・・専用線、１２０・・・フィルタリング部、１２２・・・フィルタリングテーブル、１２４・・・テーブル変更部、１２６・・・フォーリンエージェント認証部、１２８・・・ホームエージェント認証部、１３０・・・タイマ部、１４０・・・アドレス通知部、１４２、２４２、３０２・・・許可要請部、１４４、１６０、３００・・・モバイルＩＰ処理部、１４６、１６６、２４６、３０４・・・認証部、１４８、２４８、３０６・・・有効時間通知部、１５０・・・拡張メッセージ、１５２・・・メッセージタイプ、１５４・・・メッセージ長、１５６・・・ＩＰアドレス部、１６２・・・アドレス受信部、１６４・・・アドレス格納部、１６８・・・解除要請部、３２６・・・移動端末認証部
【図１】
2006054720.tif 000003
【図２】
2006054720.tif 000004
【図３】
2006054720.tif 000005
【図４】
2006054720.tif 000006
【図５】
2006054720.tif 000007
【図６】
2006054720.tif 000008
【図７】
2006054720.tif 000009
【図８】
2006054720.tif 000010
【図９】
2006054720.tif 000011
【図１０】
2006054720.tif 000012
【図１１】
2006054720.tif 000013
【図１２】
2006054720.tif 000014
【図１３】
2006054720.tif 000015
【図１４】
2006054720.tif 000016
【図１５】
2006054720.tif 000017