(57)【要約】本発明は、モバイル仮想プライベートネットワークのモバイルエージェント装置に関する。前記装置は、離れた位置から接続を行なう移動ノード（１）からのモバイルＩＰトンネル（６）を終端させ、前記離れた位置から接続を行なう移動ノードからのＩＰＳｅｃ＿ＶＰＮトンネル（７）を終端させ、内部モバイルＩＰホームエージェントをユーザ認証に基づいて動的に選択し、前記移動ノードに割り当てられた内部モバイルホームエージェントへの、および／または内部モバイルホームエージェントからのトラフィックをトンネリングし、モバイルＩＰ接続の確立後、かつＶＰＮネゴシエーションフェーズの間に、追加ユーザ資格証明、ワンタイムパスワード機構、または同様の手段に基づいて、拡張認証を提供する。
2007518349.tif 000002
【特許請求の範囲】
【請求項１】
モバイル仮想プライベートネットワークのモバイルエージェント装置であって、
当該装置は、
離れた位置から接続を行なう移動ノードからのモバイルＩＰトンネルを終端させ、
前記離れた位置から接続を行なう移動ノードからのＩＰＳｅｃ＿ＶＰＮトンネルを終端させ、
内部モバイルＩＰホームエージェントをユーザ認証に基づいて動的に選択し、
前記移動ノードに割り当てられた内部モバイルホームエージェントへのトラフィック、および／または内部モバイルホームエージェントからのトラフィックをトンネリングし、
モバイルＩＰ接続の確立後、かつＶＰＮネゴシエーション段階の間に、追加ユーザ資格証明、ワンタイムパスワード機構、または同様の手段に基づいて、拡張認証を提供する、モバイルエージェント装置。
【請求項２】
請求項１記載の装置において、
前記モバイルエージェント装置は、前記内部ホームエージェントに向かうモバイルＩＰ外部エージェントとしてみなされる、装置。
【請求項３】
請求項１記載の装置において、
前記モバイルエージェント装置は、前記離れた位置から接続を行なう移動ノードに向かうモバイルＩＰホームエージェントとしてみなされる、装置。
【請求項４】
請求項１記載の装置において、
前記モバイルエージェント装置は、動的に割り当てられたモバイルＩＰアドレスを前記移動ノードに、割り当て要求が前記移動ノードによって行なわれた場合に送信する、装置。
【請求項５】
請求項１記載の装置において、
前記モバイルエージェント装置は、離れた位置から接続を行なう移動ノードからのＩＫＥ及びＩＰＳｅｃ＿ＶＰＮ接続の終端ポイントとなる、装置。
【請求項６】
請求項１記載の装置において、
前記モバイルエージェント装置と前記内部ホームエージェントとの間でＩＰカプセル化トンネリングを使用してトラフィックを転送する、装置。
【請求項７】
請求項１記載の装置において、
前記モバイルエージェント装置と前記内部ホームエージェントとの間でＵＤＰカプセル化トンネリングを使用してトラフィックを転送する、装置。
【請求項８】
請求項１記載の装置において、
前記移動ノードからトラフィックを受信すると、トラフィックを前記モバイルエージェント装置から直接、そのトラフィックの宛先に向けて、ルーティングすることができる、装置。
【請求項９】
請求項１記載の装置において、
前記移動ノードと前記モバイルエージェント装置との間でＩＰカプセル化トンネリングを使用してトラフィックを転送する、装置。
【請求項１０】
請求項１記載の装置において、
前記移動ノードと前記モバイルエージェント装置との間でＵＤＰカプセル化トンネリングを使用してトラフィックを転送する、装置。
【請求項１１】
請求項９又は１０記載の装置において、
ＩＰＳｅｃトンネリングを使用して、前記移動ノードと前記モバイルエージェント装置との間で転送されるトラフィックを、前記カプセル化内部において保護する、装置。
【請求項１２】
請求項１記載の装置は更に、拡張ユーザ認証が実行されるまで、前記内部ホームエージェントまたは内部ネットワークへのユーザアクセスを制限する、装置。
【請求項１３】
請求項１記載の装置は更に、移動ノード毎に、時間及び量に基づく課金を行なう、装置。
【請求項１４】
請求項１記載の装置は更に、リモート接続の登録に使用するための新規のＴ−ＨＡ公衆ＩＰアドレスをＭＮに動的に割り当てる、装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は移動データ通信に関する。特に、本発明は、シームレスかつセキュアなモビリティを拡張可能な方法で実現することができ、大規模企業に展開することができ、ほぼ最適なトラフィックフローを、企業の内部から外部に、また、外部から内部に移動するモバイルユーザに提供する装置について記載する。本発明は、モバイルＩＰ及びＩＫＥ／ＩＰＳｅｃプロトコルを使用し、モバイルＩＰ仕様に従ったホームエージェント及び外部エージェントの機能の態様を含む転送ホームエージェント装置を、離れた位置から接続を行なうモバイルユーザのＶＰＮゲートウェイ機能を組み込みながら展開する。
【背景技術】
【０００２】
次の定義は本発明を明瞭にするために導入される。
ＦＡ（Ｆｏｒｅｉｇｎ  Ａｇｅｎｔ（外部エージェント））：ＦＡの主要な役割はモバイルＩＰｖ４の移動ノードのためにＨＡに達するトンネルを構築するトンネルエージェントとして機能することである。
【０００３】
ＨＡ（Ｈｏｍｅ  Ａｇｅｎｔ（ホームエージェント））：ＨＡの主要な役割はモバイルＩＰｖ４トンネルを終端させ、モバイルＩＰｖ４の移動ノードに送信されるデータグラムをカプセル化するトンネルエージェントとして機能することである。
【０００４】
Ｉ−ＨＡ（Ｉｎｔｅｒｎａｌ  Ｈｏｍｅ  Ａｇｅｎｔ（内部ホームエージェント））：企業イントラネット内で内部的に展開されるＨＡであり、移動ノードがイントラネット内部に位置するときに移動ノードのモビリティアンカーポイント（ａｎｃｈｏｒ  ｐｏｉｎｔ）となり、移動ノードのホームネットワークに直接接続される。
【０００５】
Ｉ−ＨＡ  ｉｎｔｒａｎｅｔ  ＩＰ  ａｄｄｒｅｓｓ（内部ホームエージェントイントラネットＩＰアドレス）：Ｔ−ＨＡがＩ−ＨＡとの接続を行なってモバイルＩＰ制御メッセージ及びカプセル化トラフィックをＩ−ＨＡに向けて転送するためのＩＰアドレスである。
【０００６】
Ｉ−ＨＡ  ｐｒｉｖａｔｅ  ＩＰ  ａｄｄｒｅｓｓ（内部ホームエージェントプライベートＩＰアドレス）：Ｉ−ＨＡがホームネットワークにおいて接続されるインターフェースを構成するためのＩＰアドレスである。
【０００７】
ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ）：ＩＥＴＦはインターネット共同体の標準化組織である。
Ｍ−ＶＰＮ（Ｍｏｂｉｌｅ  ＶＰＮ（モバイルＶＰＮ））：これは仮想プライベートネットワーク（ＶＰＮ）をモバイルＩＰソリューションを介して提供し、移動ノードが企業ネットワークの内部及び外部のいずれにも位置する異なるアクセスネットワーク間を移動する際に、ユーザトラフィックのシームレスなモビリティを実現するとともに、その移動間においてＶＰＮレベルのセキュリティ及び暗号化を実現する。
【０００８】
ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ（インターネットプロトコル））：ＩＰはＩＳＯによるプロトコル階層化に従ったネットワークレイヤプロトコルである。ＩＰはモバイルエンドシステムとリモートエンドシステムとの間でデータ通信を行なう主要エンドツーエンドプロトコルである。
【０００９】
ＭＩＰ（Ｍｏｂｉｌｅ  ＩＰ（モバイルＩＰ））：ＭＩＰはＩＰネットワークモビリティを意識させる、すなわち移動ノードがネットワークに接続される位置に関するＩＰエンティティによる認識を可能にするためにＩＥＴＦによって定義されるＩＰモビリティ標準である。この標準は、外部エージェント及びホームエージェントの定義を含む。
【００１０】
ＭＮ（Ｍｏｂｉｌｅ  Ｎｏｄｅ（移動ノード））：ＭＮは端末機器（Ｔｅｒｍｉｎａｌ  Ｅｑｕｉｐｍｅｎｔ：ＴＥ）及びモバイル端末（Ｍｏｂｉｌｅ  Ｔｅｒｍｉｎａｔｉｏｎ：ＭＴ）の両方を含む。離れた位置から接続を行なうＭＮとは、イントラネットの外部から、すなわちインターネットから企業との接続を行なうＭＮを指す。
【００１１】
ＮＡＩ（Ｎｅｔｗｏｒｋ  Ａｃｃｅｓｓ  Ｉｄｅｎｔｉｆｉｅｒ（ネットワークアクセス識別子））：移動ノードを固有に識別する識別子である。識別子は２つの部分、すなわちユーザ名及び＠記号によって分離されるアドレス体系、例えばｊｏｈｎ．ｄｏｅ＠ｂｉｇｏｐｅｒａｔｏｒ．ｉｎｃから成る。
【００１２】
ＲＲＱ（Ｍｏｂｉｌｅ  ＩＰ  Ｒｅｇｉｓｔｒａｔｉｏｎ  Ｒｅｑｕｅｓｔ（モバイルＩＰ登録リクエスト））：モバイルＩＰ制御メッセージであり、移動ノードが、当該ノードのホームネットワークから離れた新規の位置から登録をリクエストするときに送信される。
【００１３】
ＯＴＰ（Ｏｎｅ  Ｔｉｍｅ  Ｐａｓｓｗｏｒｄ（ワンタイムパスワード））：認証機構であり、この機構によって、クライアント及び認証サーバ間の同期が取られることで、ユーザは、異なる「ワンタイム」パスフレーズを接続を行なう度に入力することにより認証を受けることができる。
【００１４】
ＲＲＰ（Ｍｏｂｉｌｅ  ＩＰ  Ｒｅｇｉｓｔｒａｔｉｏｎ  Ｒｅｐｌｙ（モバイルＩＰ登録確認））：ＲＲＱに応答してモバイルＩＰエージェントから送信されるモバイルＩＰ制御メッセージである。この登録確認は、登録の完了または失敗、及び適切なユーザ設定を示す。
【００１５】
ＲＦＣ（Ｒｅｑｕｅｓｔ  Ｆｏｒ  Ｃｏｍｍｅｎｔ）：ＩＥＴＦの内部で作成される複数の標準文書の総称である。各標準文書はＲＦＣを先頭にして始まる番号を有する。例えばＲＦＣ２７９４はモバイルＩＰｖ４のネットワークアクセス識別子に関する標準である。
【００１６】
Ｔ−ＨＡ（Ｔｒａｎｓｆｅｒ  Ｈｏｍｅ  Ａｇｅｎｔ（転送ホームエージェント））：Ｔ−ＨＡの主要な役割は、離れた位置から接続を行なうＭＮに関するＴ−ＨＡ機能及びＶＰＮ（仮想プライベートネットワーク）終端を実現することである。Ｔ−ＨＡは転送エージェントとして機能して、適切なトラフィックをＴ−ＨＡよりも前方の内部に位置する（企業ネットワークの内部に）ＨＡに転送するか、またはトラフィックをトラフィックの最終宛先に向けて転送し、戻りトラフィックをＨＡからＭＮに転送して、適切なカプセル化、暗号化、認証、及び課金を行なう。
【００１７】
Ｔ−ＨＡ  ｐｕｂｌｉｃ  ＩＰ  ａｄｄｒｅｓｓ（転送ホームエージェント公衆ＩＰアドレス）：離れた位置から接続を行なうＭＮがＴ−ＨＡに向かって登録を行なうときに使用するＩＰアドレスである。このアドレスは、Ｔ−ＨＡとの接続を行なうために公に使えるＩＰアドレスである。
【００１８】
モバイルＩＰはホームエージェントをアンカーポイントとして定義し、移動ノードは必ずこのアンカーポイントと関係し、そして移動ノードが訪問するアクセスネットワークのローカルトンネルエンドポイントとして機能する外部エージェントを定義する。一つのＩＰサブネットワークから別のＩＰサブネットワークに移動しながら、移動ノード接続ポイント（ＦＡ）は変わり得る。各接続ポイントでは、モバイルＩＰは、スタンドアローン型外部エージェントの可用性を要求するか、または外部エージェントを利用できない場合には移動ノード自体の共通（ｃｏ−ｌｏｃａｔｅｄ）の気付アドレス（ｃａｒｅ−ｏｆ  ａｄｄｒｅｓｓ）の使用を要求する。離れた位置から、トンネルが移動ノードから直接、または接続ポイント（ＦＡ）を介してＨＡに戻る方向に構築され、このトンネルは、接続の変化に起因するアドレス変化を全てアクティブアプリケーションから隠蔽する。移動ノードが当該ノードのホームネットワークに移動すると、移動ノードは、最大１ルータホップしか離すことができない当該ノードのＨＡから登録を抹消し、次にプロセスを進めてトラフィックをホームネットワークにおいてトンネルを全く使用することなく送出する。トンネリングは、ＭＮのＩＰアドレスがホームネットワークのサブネットに対応するため不要となる。
【００１９】
モバイルＩＰをＶＰＮ技術と組み合わせるモバイルＶＰＮという解決法では、ホームエージェントは通常、モバイルＩＰ＿ＨＡ機能を提供しながら、ユーザトラフィックを保護するＶＰＮゲートウェイとして機能する。通常、この構成によって、ＨＡは、通常ＤＭＺ内において企業のエッジの位置に配置されることになるので、離れた位置から接続を行なう移動ノード群からのＶＰＮトラフィックを終端させることができると同時に、これらの移動ノードのモビリティアンカーポイントにもなることができる。
【００２０】
モバイルＩＰではホームネットワークをＨＡから最大１ルータホップしか離すことができないという条件は、モバイルＶＰＮという解決法をルーティング企業ネットワークまたはマルチサイト企業ネットワークに展開することによって、ユーザが当該ユーザのホームネットワークと見なされるものに位置する場合でも、企業イントラネット内部からＨＡに戻り、そして再度イントラネットに戻るトンネリングを行なうことができることを意味する。これによって、次善最適なトラフィックフロー及び大きなトンネリングオーバーヘッドが得られる。
【発明の開示】
【発明が解決しようとする課題】
【００２１】
別のアプローチでは、各ホームネットワークに物理的に接続されるＭ−ＶＰＮ装置（ＶＰＮを終端させ、ＨＡ機能を提供する）を展開することにより、最適なトラフィックフローを容易にする。このアプローチは望ましくない副次効果をもたらし、ＶＰＮトラフィックがイントラネット内部で長い距離を伝搬してしまう形で終端する必要があり、かつ全ての着信トラフィックをフィルタ処理し、そしてインターネットへの、そしてインターネットからの接続ポイントを１つだけ有するという多くの企業が必要とする条件と相容れない。
【課題を解決するための手段】
【００２２】
本発明は、転送ホームエージェント（Ｔ−ＨＡ）と呼ぶモビリティ装置を定義して、次の主要機能を実現する。
・Ｔ−ＨＡは、離れた位置から接続を行なう移動ノード（ＭＮ）のＶＰＮ終端アンカーポイントとして機能して、このポイントではＩＰＳｅｃ＿ＶＰＮ接続が使用される。
【００２３】
・Ｔ−ＨＡは、離れた位置から接続を行なうこれらの移動ノード（ＭＮ）のモバイルＩＰ＿ＨＡとしてみなされ、モバイルＩＰ制御メッセージの処理をサポートし、ＩＰカプセル化トンネルの終端となる。このようにして、移動ノードは離れた位置から接続を行なう場合にＴ−ＨＡのみと通信する。
【００２４】
・Ｔ−ＨＡは、接続を行なう移動ノードが使用する内部ＨＡ（Ｉ−ＨＡ）の動的割り当てをサポートして、リモートパブリックアクセスから内部（イントラネット内部のホームネットワークにおける）アクセスに移動する場合、及びこの逆の方向に移動する場合に、フルモビリティ及びシームレスモビリティを容易にする。
【００２５】
・Ｔ−ＨＡは、Ｉ−ＨＡと通信する場合にモバイルＩＰ外部エージェント（ＦＡ）としてみなされ、標準対応ＨＡの展開を容易にする。
・Ｔ−ＨＡは、トラフィックの転送トンネリング（Ｔ−ＨＡからＩ−ＨＡに向けて）、または離れた位置から接続を行なう移動ノードからの普通のＩＰルーティングを実現し、これによって着信トラフィックは企業ファイアウォール及びセキュリティ保護の利点を継続的に享受することができる。
【００２６】
・Ｔ−ＨＡは、Ｉ−ＨＡからのトラフィックを離れた位置から接続を行なう移動ノードを宛先としてトンネリングするためのＩＰまたはＵＤＰカプセル化トンネル終端ポイントとなる。
【００２７】
・Ｔ−ＨＡは、トンネル転送ポイントとして機能して、ＭＮからのトラフィックを復号化し、逆カプセル化し、更にＩ−ＨＡに向かうトラフィックをカプセル化する（または宛先に直接転送する）、また、この逆の動作も行なう。
【００２８】
Ｔ−ＨＡを企業イントラネット内部の内部ホームエージェントと組み合わせて企業エッジでＴ−ＨＡを展開することにより、モバイルＶＰＮによる解決法の適用を容易にすることができ、これによって、ＶＰＮ終端をネットワークのエッジで実現し、シームレスモビリティをイントラネットの外部、イントラネットの内部、または外部と内部との間に移動するときの移動ノードに対して実現するが、この場合、イントラネットはルーティング（マルチホップ）ネットワークまたはマルチサイトネットワークのいずれかであり、かつＶＰＮトラフィックは企業ネットワークのエッジで終端する必要がある。
【発明の効果】
【００２９】
本明細書に記載する本発明は転送ホームエージェント（Ｔ−ＨＡ）と呼ぶ新規のモバイルエージェント装置を定義して、企業ネットワークのエッジに配置することができるモバイルエージェント及びＶＰＮ機能を実現するので、離れた位置でのモビリティを可能にするためのアンカーポイントともなりながらセキュリティ問題を解決する。この装置は、内部に展開され、かつ一つ以上の内部ホームネットワークに接続されるＨＡと組み合わされる場合に、内部ネットワークと外部ネットワークとの間のフルモビリティを可能にし、かつ移動ノードのホームネットワークにおいて接続先となる移動ノードの最適トラフィックフローを容易にもする。
【発明を実施するための最良の形態】
【００３０】
本発明の目的、特徴、及び利点は、好適な例示としての実施形態に関する以下の説明によって明らかになる。添付の図は全体を通じて、同じ参照記号が同じ構成要素を指す。
本明細書では、本発明を制限することなく説明するために、特定の実施形態、回路、信号フォーマット、技術などのような特定の詳細を示すことで本発明を理解し得るようにする。説明を容易にするために特定のプロトコルを参照するが、本発明は必ずしもこのような特定のプロトコルに制限されるものではない。しかしながら、この技術分野の当業者であれば、本発明は、これらの特定の詳細とは異なる他の実施形態において実施することができることを理解し得る。他の例における公知の方法、装置、及び回路に関する詳細な説明は、本発明に関する説明を不必要に詳細に行なうことによって不明瞭になることを避けるために省略される。
【００３１】
本発明は、転送ホームエージェント（Ｔｒａｎｓｆｅｒ  Ｈｏｍｅ  Ａｇｅｎｔ：Ｔ−ＨＡ）と呼ぶモバイルエージェントを実現し、このホームエージェントは、企業ネットワークのエッジに展開されると、離れた位置から接続を行なうユーザ、及び外部ネットワークと内部ネットワーク（イントラネット内部の）との間を移動するユーザにとっての、セキュアな、かつシームレスの、ほぼ最適なモビリティを容易にする。
【００３２】
図１は、Ｔ−ＨＡ（３）を企業ネットワークに展開する様子を表わすネットワーク概要を示す。Ｔ−ＨＡ（３）は、公衆インターネット（２）に対して直接接続される形か、またはインターネット及びイントラネット（６）にファイアウォール（４）を介して接続されるＤＭＺに配置される形で展開することができる。Ｔ−ＨＡは別の構成として、インターネット及びイントラネットとの接続を行なうために２つの個別インターフェースを有することができ、トラフィックがイントラネットに入ろうとする／イントラネットから出て行こうとするときに、ファイアウォールを再び通過する必要がない。図の移動ノード（１）は離れた位置から企業ネットワークとの接続を通常、公衆アクセスネットワーク（例えば、公衆ＷＬＡＮホットスポット，ｘＤＳＬ，ＷＷＡＮ．．．）を介して行なう。移動ノードはトラフィックをモバイルＩＰトンネル内の暗号ＩＰＳｅｃトンネル内でトンネリングして（ＩＰまたはＵＤＰカプセル化して）Ｔ−ＨＡに戻す。トラフィックは、その宛先に直接転送されるか、またはルーティングされる。或いは、トラフィックは、適切な内部ホームエージェント（７）にトンネリングされ、ホームエージェント（７）からその宛先に転送される。逆方向のトラフィックは離れた位置から接続を行なう移動ノードのホームネットワークに到着する。Ｉ−ＨＡは移動ノードのプロキシとして機能し、トラフィックをトンネリングして（ＩＰまたはＵＤＰカプセル化して）Ｔ−ＨＡに戻す。Ｔ−ＨＡでは、トラフィックを逆カプセル化して、ＩＰＳｅｃ／Ｍｏｂｉｌｅ＿ＩＰトンネルの中を移動ノードに向けてトンネリングする。
【００３３】
図２は、企業ネットワーク及び企業ネットワーク内部の対向ノード（５）に戻る形でそれらとの接続を離れた位置から行なう移動ノード（１）に関するトラフィックフロー及びトンネリングを示している。この場合において、逆方向トンネリングは、Ｔ−ＨＡ（２）とＩ−ＨＡ（４）との間には使用されない。移動ノードはモバイルＩＰ共通登録を行なって、モバイルＩＰ共通登録をＴ−ＨＡに‘Ｔ−ＨＡ公衆ＩＰアドレス’（１２）を使用して返す。接続を行なう移動ノードに対する認証は、当該ノードのＮＡＩ及びモバイルＩＰ共有シークレットに基づく。Ｔ−ＨＡで認証が無事に行なわれると、ＭＮにＩ−ＨＡが割り当てられ、登録リクエストがＴ−ＨＡよりも先のＩ−ＨＡに向かって、‘Ｉ−ＨＡイントラネットＩＰアドレス’（１０）を宛先として使用して転送される。Ｉ−ＨＡは更に、ユーザを認証し、使用するＭＮ＿ＩＰアドレスを割り当てる（ＭＮにおいて事前設定されていない場合）。モバイルＩＰ登録を無事に終えた後、ＩＰＳｅｃトンネル（７）がＭＮとＴ−ＨＡとの間において、モバイルＩＰトンネル（６）の内部に構築される。Ｔ−ＨＡで両方のトンネルが終端すると、ユーザトラフィック（９）が復号化され、逆カプセル化される。次に、結果として得られるＩＰパケットが、Ｔ−ＨＡよりも先（８）のこれらのパケットの宛先（対向ノード（５））に、通常のイントラネットルーティングを使用してルーティングされる。復路伝送の場合、パケットは通常のルーティング機構に基づいて、ＭＮのホームネットワーク（１３）に現われる。ＭＮは離れた位置から接続を行なうので、Ｉ−ＨＡは当該ＭＮのためのプロキシとして機能する。Ｉ−ＨＡは復路トラフィックをＩＰまたはＵＤＰカプセル化トンネル（１４）の内部のＴ−ＨＡにトンネリングする。Ｔ−ＨＡでは、逆カプセル化が行なわれる。次に、結果として得られるＩＰパケットが、移動ノード気付アドレスに至るＩＰＳｅｃトンネル（７）及びモバイルＩＰトンネル（６）の内部で再び暗号化され、カプセル化される。移動ノードでは、逆カプセル化ＩＰトラフィックが生じる。
【００３４】
図３は、企業ネットワーク内に位置する対向ノード（５）に戻る形でその対向ノードとの接続を離れた位置から行なう移動ノード（１）に関するトラフィックフロー及びトンネリングを示している。この場合においては、逆方向トンネリングがＴ−ＨＡ（２）とＩ−ＨＡ（４）との間に使用される。移動ノードはモバイルＩＰ共通登録を行なって、そのモバイルＩＰ共通登録を‘Ｔ−ＨＡ公衆ＩＰアドレス’（１１）を使用してＴ−ＨＡに返す。接続を行なう移動ノードに対する認証は、当該ノードのＮＡＩ及びモバイルＩＰ共有シークレットに基づく。Ｔ−ＨＡで認証が無事に行なわれると、ＭＮにＩ−ＨＡが割り当てられ、登録リクエストがＴ−ＨＡよりも先のＩ−ＨＡに向かって、‘Ｉ−ＨＡイントラネットＩＰアドレス’（９）を宛先として使用して転送される。Ｉ−ＨＡは更に、ユーザを認証し、そして使用するＭＮ＿ＩＰアドレスを割り当てる（ＭＮにおいて事前設定されていない場合）。モバイルＩＰ登録を無事に終えた後、ＩＰＳｅｃトンネル（７）がＭＮとＴ−ＨＡとの間において、モバイルＩＰトンネル（６）の内部に構築される。Ｔ−ＨＡで両方のトンネルが終端すると、ユーザトラフィック（８）が復号化され、逆カプセル化される。次に、更に別のトンネル（ＩＰまたはＵＤＰカプセル化）（１３）を、結果として得られるＩＰパケットに適用して、このパケットをＴ−ＨＡよりも先の適切なＩ−ＨＡに向かってトンネリングする。次にＩ−ＨＡでは、ＩＰパケットを通常のイントラネット手順に従ってＩ−ＨＡよりも先に転送する／ルーティングする。
【００３５】
本明細書に記載する解決法及び装置については、これらの解決法及び装置をどのようにして展開するかに関する説明が為され、この説明では、転送ホームエージェント（Ｔ−ＨＡ）装置は企業ネットワークのエッジにおいて展開され、一つ以上の内部配置ホームエージェント（ＨＡ）と連携動作して、インターネット内、イントラネット内、及びインターネットとイントラネットとの間でローミングする移動ノードに対してセキュアかつシームレスなモビリティを実現する。このＴ−ＨＡ装置の展開は、イントラネットを経路制御する場合か、またはイントラネットをマルチサイト化する場合か、または内部ホームネットワーク（ユーザがオフィス内に居て接続を行なう場合）とＤＭＺとの間において、あるいは着信トラフィックのＶＰＮ終端を実現する位置であるイントラネット／インターネット境界に１つよりも多くのルータホップが存在するケースに適している。
【００３６】
図１は展開されるケースの概要を示す。Ｔ−ＨＡはインターネットまたはＩＰアクセスネットワークに接続される形で配置される。Ｔ−ＨＡは、公衆アクセスネットワークに直接接続される形で、またはファイアウォールの背後に展開される。いずれの場合においても、Ｔ−ＨＡは、本明細書では「Ｔ−ＨＡ公衆ＩＰアドレス」と呼ぶ、ポート４３４の公衆ＩＰアドレスに固有の形でアクセスする必要があるが、これは、公衆ＩＰアドレスが、モバイルエージェントがモバイルＩＰを使用してアクセスするために必要なアドレスであるからである。Ｔ−ＨＡは、ＲＦＣ２００３に規定されるＩＰカプセル化トンネリング、及びＲＦＣ３５１９に規定されるＵＤＰカプセル化トンネリングのいずれの終端もサポートするように構成される。ＩＰカプセル化トンネリングは通常、デフォルトのトンネリング機構であるが、ＵＤＰトンネリングは、Ｔ−ＨＡが中間ネットワークアドレス変換（ＮＡＴ）ポイントを着信トラフィックが通過したことを検出する動作に基づいて使用される。ＵＤＰカプセル化を使用すべきかどうかについて判断する機構、及び当該機構の構築についてはＲＦＣ３５１９に規定されている。カプセル化機構は管理目的で構成することもできる。Ｔ−ＨＡはまた、離れた位置から接続を行なう移動ノードのＩＰＳｅｃ＿ＶＰＮ接続を終端させる。モバイルＩＰトンネル内部でのＩＰＳｅｃ＿ＶＰＮトンネリングは、離れた位置から接続を行なう移動ノードが必ず行なう必要があり、かつＩＰＳｅｃトンネルを使用しない着信トラフィックはＴ−ＨＡによって受け入れられない。Ｔ−ＨＡは、このようなＶＰＮトラフィックが着信インターフェースを経由することを要求するように構成される。このようにして、Ｔ−ＨＡは他のＶＰＮゲートウェイ装置のように動作する。
【００３７】
イントラネットに向かって、Ｔ−ＨＡはトラフィックをＴ−ＨＡよりも先に転送するために多数の構成可能な可能性を提供する。
・トラフィックは、着信ポートにおいて復号化及び逆カプセル化を経た後にＴ−ＨＡよりも先にルーティングすることができる。
【００３８】
・ＩＰはトラフィックを、着信ポートにおける復号化及び逆カプセル化の後にカプセル化して、トラフィックをこのユーザに関連する内部ＨＡに向けてトンネリングする。
・ＵＤＰはトラフィックを、着信ポートにおける復号化及び逆カプセル化の後にカプセル化して、トラフィックをこのユーザに関連する内部ＨＡに向けてトンネリングする。このオプションはＴ−ＨＡとＩ−ＨＡとの間で通過する中間ＮＡＴポイントに基づいて構成することができる、または動的に決定することができる。
【００３９】
Ｔ−ＨＡでは、着信リモートユーザに対する認証がＮＡＩ（ネットワークアクセス識別子）に基づいてサポートされる。Ｔ−ＨＡは外部ＲＡＤＩＵＳサーバと相互作用し、このサーバは次の機能を提供する。
【００４０】
・ユーザを認証する。
・Ｉ−ＨＡを割り当てる。
・Ｔ−ＨＡを割り当てる（通常、同じＴ−ＨＡが認証を要求する）。
【００４１】
Ｉ−ＨＡを割り当てる場合、Ｉ−ＨＡはこのユーザに関してＲＡＤＩＵＳサーバにおいて静的に構成することができるか、または適切なＩ−ＨＡを割り当てる選択では、更に高性能の機構を、例えばＭＮが位置すると判断された位置（送信元ＩＰアドレスルックアップに基づく）、Ｉ−ＨＡの可用性または負荷、Ｉ−ＨＡプールのラウンドロビン（ｒｏｕｎｄｒｏｂｉｎ）割り当てなどに基づいて使用することができる。適切なＩ−ＨＡの割り当てを決定する機構は本明細書の範囲から外れる。Ｔ−ＨＡを動的に割り当てる場合、ＭＮにはＴ−ＨＡが動的に或る中間ＦＡを経由して割り当てられるか、またはＴ−ＨＡとの共有接続を行なう場合、デフォルトの（初期接続に関する）Ｔ−ＨＡがＭＮにおいて構成され、このＭＮに対してＴ−ＨＡが最初に接続を行なうことになる。次に、このＴ−ＨＡにおける認証プロセスによって新規のＴ−ＨＡを割り当てることができる。適切なＴ−ＨＡの割り当てを決定する機構は本明細書の範囲から外れる。
【００４２】
Ｔ−ＨＡの内部では、マッピングテーブルを維持して、離れた位置から接続を行なうＭＮと適切なＩ−ＨＡとの間でのトラフィックの正しい転送が容易になる。このマッピングをサポートするために、ＭＮとＴ−ＨＡとのバインディングは次の詳細項目によってマッピングの中で表現される。
【００４３】
・ＭＮの気付アドレス
・Ｔ−ＨＡの公衆ＩＰアドレス
・カプセル化タイプ（ＩＰカプセル化またはＵＤＰカプセル化）
Ｔ−ＨＡとＩ−ＨＡとのバインディングは次の詳細項目によってマッピングの中で表現される。
【００４４】
・Ｔ−ＨＡの公衆ＩＰアドレス
・Ｉ−ＨＡのイントラネットＩＰアドレス（Ｔ−ＨＡがＩ−ＨＡとの接続を行なうために使用する）
・カプセル化タイプ（ＩＰカプセル化、ＵＤＰカプセル化、または対象外）
Ｔ−ＨＡとＩ−ＨＡとの間のバインディングカプセル化タイプが「対象外」に設定される場合、これはトラフィックが、Ｔ−ＨＡからＩ−ＨＡに、カプセル化を全く適用することなくルーティングされることを示す。
【００４５】
図２に示すように、Ｔ−ＨＡ動作が複数のリモートユーザからのトラフィックを、これらのトラフィックの宛先に向かって直接転送するように構成される場合（すなわち、Ｔ−ＨＡとＩ−ＨＡとの間のカプセル化は「対象外」）、リモートユーザからの複数の逆カプセル化／復号化パケットは、普通のＩＰルーティングを使用してＴ−ＨＡからこれらのパケットの宛先にルーティングされる。図３に示すように、離れた位置から接続を行なうＭＮからの着信に対して、強制トンネリングがＴ−ＨＡとＩ−ＨＡとの間で用いられる場合、トラフィックがカプセル化されて、Ｉ−ＨＡに向かって転送され、その位置において、逆カプセル化が行なわれた後には、そのトラフィックがホームネットワークに現われ、この物理ネットワークにおいて発信される他のいずれのトラフィックとも同じであるかのように見える。直接転送がＴ−ＨＡから転送の宛先に向かって行なわれる場合、ＩＰパケットは中間ファイアウォールまたは同様の装置によってフィルタ処理することができる。このように、リモートアクセスセキュリティを内部／外部モビリティの両方と組み合わせた形で確保することができ、更にリモートアクセスセキュリティによって企業は、パケットに関する企業のセキュリティポリシーに準拠するためにパケット全体をフィルタリングすることができる。
【００４６】
着信トラフィックを転送するいずれの場合においても、Ｉ−ＨＡとＴ−ＨＡとの間には必ず逆方向カプセル化トンネル（ｒｅｔｕｒｎ  ｅｎｃａｐｓｕｌａｔｅｄ  ｔｕｎｎｅｌ）が構築される。離れた位置から接続を行なうユーザのＭＮ＿ＩＰアドレスは接続形態上、イントラネットのホームネットワークに位置するので、ユーザを宛先とする全てのトラフィックはこのホームネットワークに到着することになる。しかしながら、ＭＮはこのホームネットワークに位置しないので、Ｉ−ＨＡはＭＮのプロキシとして機能して、ＭＮを宛先とする全てのトラフィックをＴ−ＨＡに向けてトンネリングし（ＩＰまたはＵＤＰカプセル化）、Ｔ−ＨＡの位置においてトラフィックが逆カプセル化され、更にＭＮの真の位置に向かってカプセル化／暗号化される。
【００４７】
モバイルＩＰ動作に関するＴ−ＨＡの構成は、Ｔ−ＨＡが離れた位置から接続を行なうＭＮには通常のＨＡのように見え、このＨＡにはＨＡの「Ｔ−ＨＡ公衆ＩＰアドレス」を介して接続することができ、通常のＭＮ−ＨＡ相互作用とは異なる特殊な相互作用を全く必要としない。Ｉ−ＨＡ側からは、Ｔ−ＨＡは通常のＦＡ（外部エージェント）のように見える。この印象を維持するために、Ｔ−ＨＡはＭＮに対する再認証を、ＨＡが割り当てＩ−ＨＡに向かって接続を行なうときにも行なうことになる。この操作を行なうために、Ｔ−ＨＡは、ＲＡＤＩＵＳ認証の間に返される共有シークレットを維持してハッシュを計算し、セッション認証を行なう。
【００４８】
Ｔ−ＨＡでは、Ｔ−ＨＡを通過する全てのトラフィックに関する課金がサポートされ、課金は、通過するトラフィックの量または時間の算定値のいずれかに基づいて行なうことができる。ＲＡＤＩＵＳ課金サポートの全てが提供され、課金メッセージはＭＮの気付アドレスを含むので、どのアクセスネットワークとの接続をユーザが行なっているかについて判断することができ、従って従量料金制（ｄｉｆｆｅｒｅｎｔｉａｔｅｄ  ｔａｒｉｆｆｓ）をサポートすることができる。
【００４９】
Ｔ−ＨＡは拡張認証をサポートするように構成することができ、この拡張認証によって、離れた位置から接続を行なう移動ノードに対する追加レベルの認証を容易に取り入れることができ、Ｍ−ＶＰＮセッションを設定することができる。Ｔ−ＨＡはこの構成では、上に議論したモバイルＩＰ登録手順を実行して、適切なＩ−ＨＡに向かっての選択及び登録を行なう。Ｔ−ＨＡに至るＩＫＥ／ＩＰＳｅｃトンネルの設定では、Ｔ−ＨＡはＩＫＥネゴシエーションの間に、拡張認証が必要であることを通知する。Ｔ−ＨＡはこの時点で、ＸＡＵＴＨリクエストをＭＮに送信して、ユーザ名及びパスワードを要求する。次に、ＭＮは、ＭＮのＧＵＩを介してユーザにリクエストして拡張認証情報を入力させる。これによって、資格証明をワンタイムパスワードトークンまたは同様の手段から入力することができる。別の構成として、この拡張認証は、ＭＮによって構成される或るローカル認証装置、例えばＵＳＢトークンまたはスマートカードを介して行なうことができるので、拡張認証はユーザ相互作用無しで行なわれる。ユーザ資格証明はＸＡＵＴＨに対する応答としてＴ−ＨＡに返送される。次に、認証は更にＲＡＤＩＵＳサーバに向かって、および／または可能であればこのサーバよりも先の外部認証サービスに向かって転送することができる。この外部サービスは、ＯＴＰ（ワンタイムパスワード）機構または同様の機構、例えばＲＳＡ＿ＳｅｃｕｒＩＤに基づくことができる従来からの或る認証ソリューションまたは別の認証ソリューションとすることができる。
【００５０】
認証が無事に済むと、ＭＮはＩＰＳｅｃ＿ＳＡネゴシエーションに進む。ＭＮからの全てのトラフィックはＩＰＳｅｃ＿ＳＡのネゴシエーションが成立するまで阻止され、このネゴシエーションの成立は拡張認証が行なわれるまで生じない。この機構によって、従来からの認証機構または拡張認証機構を取り入れてモバイルＶＰＮリモートアクセスを更に強化することができることが保証される。
【００５１】
Ｔ−ＨＡ動作の態様は、多数の使用ケースを分析することにより更に深く理解することができる。
＜ケース：移動ノードが離れた位置から接続を行なう。＞
図３は離れた位置からＴ−ＨＡに向かって接続を行なう移動ノードを示しており、トンネリングがＴ−ＨＡからＩ−ＨＡに向かう着信トラフィックに適用される。この利用ケースについて説明する。
【００５２】
・移動ノードは企業ネットワークの外部の離れた位置から接続を行なう。この接続は通常、ダイアルアップによるインターネットアクセスネットワーク、公衆ＷＬＡＮホットスポットネットワーク、家庭用ブロードバンドネットワーク、または別の企業ネットワークのような位置から行なう。
【００５３】
・Ｔ−ＨＡに向かうモバイルＩＰトンネルが、Ｔ−ＨＡ公衆ＩＰアドレスをモバイルＩＰ登録リクエスト（ＲＲＱ）の宛先として使用してネゴシエートされる。ＮＡＩ（ネットワークアクセス識別子）、及びＭＮ共有シークレットのＭＤ−５ハッシュがこのメッセージに取り込まれる。通常この場合、ＭＮは当該ノードのローカルリンクにエージェントを検出することがないので、共通登録が行なわれ、そしてＭＮが使用する気付アドレスはローカルアクセスネットワークにおいて割り当てられたアドレスとなる。
【００５４】
・Ｔ−ＨＡはＲＲＱの情報を採取し、そしてＮＡＩ（及び可能であれば気付アドレスも）をＲＡＤＩＵＳサーバに向けて渡す。次に、ＲＡＤＩＵＳサーバはＴ−ＨＡに応答してＴ−ＨＡ＿ＩＰアドレス、Ｉ−ＨＡ＿ＩＰアドレス（Ｔ−ＨＡに対して可視のＩＰアドレス及びＴ−ＨＡがホームネットワークにおいて有するＩＰアドレスの両方）、ＭＮのモバイルＩＰアドレス共有シークレット、及びＭＮのＩＫＥ共有シークレットを返送する。
【００５５】
・Ｔ−ＨＡは次にプロセスを進めてこの着信ＲＲＱを、共有シークレットを使用してＭＤ−５ハッシュを生成し、ＲＲＱと一致させて認証する。
・認証が無事に済むと、新規のＲＲＱがこの登録リクエストに関してＴ−ＨＡによって生成され、新規のＲＲＱをＩ−ＨＡイントラネットＩＰアドレスを宛先として使用して、Ｔ−ＨＡよりも先の割り当てＩ−ＨＡに転送する。
【００５６】
・Ｉ−ＨＡはリクエストを同様の方法により再認証し、そしてここでも同様に必要に応じて、ＭＮ＿ＩＰアドレスをＭＮに割り当てる。この操作は、登録リクエストに含まれるＭＮ＿ＩＰアドレスが０．０．０．０，であるかどうかに基づいて行なわれ、そして動的ＩＰアドレス割り当てのＩＥＴＦ規定手順に従って行なわれる。認証が無事に済んだ後、ＲＲＰがＭＮに返送される。
【００５７】
・一旦、モバイルＩＰ登録が済むと、ＩＫＥネゴシエーションがＭＮからＴ−ＨＡ＿ＩＰアドレスに向かって開始される。このネゴシエーションの間、拡張認証が必要となる場合は、Ｔ−ＨＡはＸＡＵＴＨリクエストメッセージをＭＮに向けて送信して追加認証を受けるように要求することができる。
【００５８】
・ＭＮでは、ＸＡＵＴＨが必要となる場合、ＧＵＩダイアログを表示して拡張資格証明（ｅｘｔｅｎｄｅｄ  ｃｒｅｄｅｎｔｉａｌｓ）の入力を要求することができる。これらの資格証明はＴ−ＨＡにＸＡＵＴＨに応答して返送される。Ｔ−ＨＡでは、認証が適切な外部認証システムに向かって転送される。
【００５９】
・拡張認証が無事に行なわれると、ＩＰＳｅｃ＿ＳＡの確立をＭＮとＴ−ＨＡとの間で行ない、その後、トラフィックが流れることができる。
・Ｔ−ＨＡは、適切なＩ−ＨＡに向かってのこのＭＮ接続に関するマッピングテーブルエントリを維持する。
【００６０】
・移動ノードからのトラフィックが、モバイルＩＰトンネル（ＩＰまたはＵＤＰカプセル化）の内部のＩＰＳｅｃトンネルのＴ−ＨＡに到着する。逆カプセル化及び復号化が行なわれる。
【００６１】
・次にマッピングテーブルを使用してこのパケットの処理が決定され、パケットがカプセル化され（必要に応じて）Ｉ−ＨＡに向けて転送されるか、またはＴ−ＨＡとＩ−ＨＡとの間にカプセル化を用いない場合にはパケットの宛先に向けて直接転送される。
【００６２】
・ホームネットワークからＭＮに向かってのトラフィックは、ホームネットワークにおいて、離れて位置するＭＮのためのプロキシとなるＩ−ＨＡにおいてカプセル化され、Ｔ−ＨＡに返送される形で転送される。
【００６３】
・Ｔ−ＨＡでは、トラフィックが逆カプセル化され、マッピングテーブルエントリに基づいて、ＭＮに向けて暗号化及びカプセル化される。
＜ケース：移動ノードが当該ノードのホームネットワークに移動する。＞
Ｔ−ＨＡは、モビリティアンカーポイントを設定する際に中心的役割を果たし、離れた位置から接続を行なう移動ノードのセキュリティ終端点となる。ＭＮが当該ノードのホームネットワークの元の位置に移動すると、Ｔ−ＨＡはもはやループには存在しない。以下にそのケースについて説明する。
【００６４】
・ＭＮがホームネットワーク上で接続を行なう。
・ＭＮはモバイルＩＰ要請を送出して、いずれかのエージェントが存在するかどうかを判断する。
【００６５】
・Ｉ−ＨＡはエージェント広告を送出し、ＭＮは標準のモバイルＩＰ手順を使用してＩ−ＨＡがＭＮのホームエージェントであると判断する。
・ＭＮは次にプロセスを進めてＩ−ＨＡへの登録を取り消す。
【００６６】
・トラフィックは正常にＭＮに／ＭＮから流れ、トンネリングは行なわない、またはＩ−ＨＡまたはＴ−ＨＡは巡回を行なわない。
・Ｔ−ＨＡでは、モバイルＩＰ及びＩＫＥ／ＩＰＳｅｃ＿ＳＡがタイムアウトになる、またはＭＮが戻る方向に移動してＴ−ＨＡを介して離れた位置から接続を行なうとする場合には、モバイルＩＰ及びＩＫＥ／ＩＰＳｅｃ＿ＳＡをネゴシエートし直す。
【００６７】
＜移動ノードに対する影響＞
モバイルＶＰＮ環境において動作する場合の移動ノードはＩＫＥ／ＩＰＳｅｃ＿ＶＰＮクライアント機能及びモバイルＩＰ＿ＭＮ機能の両方を実現する。ＭＮは接続ポイントでＭＮ＿ＩＰアドレスによって手動で、または動的に構成される。このアドレスは固定かつ不変のＩＰアドレスであり、このアドレスは、ＭＮプラットフォームで動作する全てのアプリケーションが使用する。ＩＰアドレスのこの不変の性質は、位置変化または接続変化に起因して生じるいかなる下位ＩＰアドレスの変化も、アプリケーションには見えないように隠蔽されることを意味する。ＭＮが移動すると、ＭＮはＭＮに割り当てられる新規の気付アドレスを取得することができる。ＦＡ（外部エージェント）を用いる場合には、このアドレスがＦＡにおけるＩＰアドレスであり、このアドレスを、ＭＮがトラフィックをＨＡに送信する必要がある場合にＭＮがＨＡに対して使用すると宣言する。ＦＡを使用しない場合には、気付アドレスは通常、ＤＨＣＰによって自律的に割り当てられる或るＩＰアドレスであり、ＭＮはこのアドレスをＭＮが接続を行なうローカルネットワークから取得する。この場合、ＨＡを登録手順において指示してＭＮを宛先とする全てのトラフィックをこの気付アドレスに送信させる（必要に応じてトンネリングする）。
【００６８】
ＭＮがＴ−ＨＡとの通信を行なう場合に正しく機能するためには、ＭＮを次の情報を用いて構成する（静的に、または動的に）必要がある。
・ＭＮ＿ＩＰアドレス
・Ｔ−ＨＡ公衆ＩＰアドレス
・Ｉ−ＨＡ私用ＩＰアドレス
・モバイルＩＰ共有シークレット
・ＩＫＥ共有シークレット
ＭＮ＿ＩＰアドレスは、ＭＮにおいて静的に構成される、または登録時間において動的に割り当てられるＩＰアドレスであり、ＭＮの全てのアプリケーショントラフィックに関する送信元ＩＰアドレスとして使用される。Ｔ−ＨＡ公衆ＩＰアドレスは、ＭＮが離れた位置から接続を行なう場合にＭＮが使用するアドレスであり、このアドレスを使用して、モバイルＩＰ制御メッセージ及びカプセル化トラフィックの両方を含むトラフィックを転送する。Ｉ−ＨＡ私用ＩＰアドレスは、ホームネットワークに接続されるインターフェースにおけるＩ−ＨＡのアドレスである。このＩＰアドレスはＭＮが使用してＭＮがＭＮのホームネットワークにおいて接続されていることを判断する。モバイルＩＰ共有シークレット及びＩＫＥ共有シークレットはモバイルＩＰ認証及びＩＫＥ／ＩＰＳｅｃ＿ＳＡの確立に使用される。
【００６９】
ＭＮにおけるＴ−ＨＡ公衆ＩＰアドレスの構成に関しては、離れた位置からの全ての登録リクエストの最初の送信先となる「デフォルト」アドレスを構成することができる。Ｔ−ＨＡの動的割り当てを解決策に盛り込むとすると、ＭＮは使用する新規のＴ−ＨＡ公衆ＩＰアドレスの通知を受け取ることができ、ＭＮは再度登録を試みるが、この場合は登録を新規に割り当てられたＴ−ＨＡに対して行なう。
【００７０】
ＭＮが企業イントラネットの外に位置する場合、ＭＮはＴ−ＨＡ＿ＩＰアドレスを全てのモバイルＩＰ制御トラフィック及びデータトラフィックに関する宛先としてしか使用しない。しかしながら、ＭＮがイントラネットに移動すると、Ｔ−ＨＡはもはやトラフィック経路には位置しないので、もはや関与することがない。ＭＮがＭＮのホームネットワークに位置していることをＭＮが検出する場合、ＭＮはＭＮのホームネットワークへの登録を取り消す。
【００７１】
ＭＮがイントラネットに位置するが、ホームネットワークには位置しない場合、ＭＮがＭＮのイントラネットに位置することをＭＮが、ＤＨＣＰによって割り当てられるＩＰアドレスのＤＮＳサフィックスの一致度または類似の手段によって検出することができると、ＭＮは共通登録をＩ−ＨＡ私用ＩＰアドレスに対して試みる。この場合、トラフィックはＩ−ＨＡに直接、可能であればセキュリティがない状態で（適切と見なされる場合）トンネリングされ、この場合においても、Ｔ−ＨＡはトラフィック経路には位置しない。このケースは情報目的として記載されるのであって、本特許出願の一部であると捉えられるべきではない。
【図面の簡単な説明】
【００７２】
【図１】Ｔ−ＨＡ，Ｉ−ＨＡの展開、及びＴ−ＨＡを使用するリモートアクセスケースに関するネットワーク概要である。
【図２】トラフィックフロー、及び離れた位置から接続を行なう移動ノードから対向ノードへのトラフィックのトンネリングを示し、この場合、Ｔ−ＨＡを使用し、かつＴ−ＨＡからの直接ルーティングを着信トラフィックに対して使用する。
【図３】トラフィックフロー、及び離れた位置から接続を行なう移動ノードから対向ノードへのトラフィックのトンネリングを示し、この場合、Ｔ−ＨＡを使用し、かつ逆方向トンネリングをＴ−ＨＡとＩ−ＨＡとの間の全トラフィックに対して使用する。
【図１】
2007518349.tif 000003
【図２】
2007518349.tif 000004
【図３】
2007518349.tif 000005
【国際調査報告】
2007518349.tif 000006
2007518349.tif 000007