(57)【要約】【課題】ＶＰＮによる暗号化通信とモバイルファイアウォールによるパケットフィルタリングとを同時に利用可能とすることによって、不具合要因となるパケットの排除を行いながら秘匿通信を行うことを可能とし、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ること。【解決手段】移動通信ネットワーク２０上のデータベースに、通信相手であるＣＮ１２がＶＰＮトンネルを介して通信を行うために必要なＶＰＮ接続相手情報を登録しておく。移動通信ネットワーク２０上のモバイルファイアウォール装置１８−１は、ＭＮ２２が通信網に接続した際のパケットの受信時に、データベースからＶＰＮ接続相手情報を取得し、更に、ＣＮ１２へのパケットの受信時に、この受信パケットの情報と先に取得したＶＰＮ接続相手情報との宛先が一致した際に、ＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−１を形成する。【選択図】      図１
2005072668.tif 000002
【特許請求の範囲】
【請求項１】
通信網に、暗号化処理を用いてパケットを伝送するためのＶＰＮトンネルを形成し、このＶＰＮトンネルを介して移動通信端末機と通信先端末機とが通信を行うＶＰＮ通信システムにおいて、
前記通信先端末機が前記ＶＰＮトンネルを介して通信を行うために必要な通信先端末機情報を登録したデータベースと、
前記通信先端末機が前記ＶＰＮトンネルを介して通信を行う際に通信形式の整合をとって通信可能とするゲートウェイ装置と、
前記移動通信端末機が通信網に接続した際のパケットの受信時に前記データベースから通信先端末機情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するモバイルファイアウォール装置と
を備えたことを特徴とするＶＰＮ通信システム。
【請求項２】
前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、前記取得した内部状態情報をもとに前記ゲートウェイ装置との間にＶＰＮトンネルを形成する
ことを特徴とする請求項１に記載のＶＰＮ通信システム。
【請求項３】
前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を更に備え、
前記モバイルファイアウォール装置は、前記受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡し、
前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成する
ことを特徴とする請求項１に記載のＶＰＮ通信システム。
【請求項４】
前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得し、この取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成する
ことを特徴とする請求項３に記載のＶＰＮ通信システム。
【請求項５】
通信網に、暗号化を用いて移動通信端末機と通信先端末機間の通信パケットを伝送するためのＶＰＮトンネルを形成するＶＰＮトンネル形成方法において、
通信網上のデータベースに、前記通信先端末機が前記ＶＰＮトンネルを介して通信を行うために必要な通信先端末機情報を登録する第１のステップと、
前記移動通信端末機が通信を行う通信網上のモバイルファイアウォール装置は、前記移動通信端末機が通信網に接続した際のパケットの受信時に、前記データベースから通信先端末機情報を取得する第２のステップと、
当該モバイルファイアウォール装置が、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記第２のステップにおいて取得した通信先端末機情報との宛先が一致した際に、ゲートウェイ装置との間にＶＰＮトンネルを形成する第３のステップと
を含むことを特徴とするＶＰＮトンネル形成方法。
【請求項６】
前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得する第４のステップと、
当該ハンドオーバ先のモバイルファイアウォール装置は、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記第４のステップで取得した通信先端末機情報との宛先が一致した際に、前記第４のステップで取得した内部状態情報をもとに前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第５のステップと
を更に含むことを特徴とする請求項５に記載のＶＰＮトンネル形成方法。
【請求項７】
前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を備えた際に、前記モバイルファイアウォール装置は、前記第５のステップにおいて前記受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡する第６のステップと、
前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第７のステップと
を更に含むことを特徴とする請求項５に記載のＶＰＮトンネル形成方法。
【請求項８】
前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得する第８のステップと、
当該ハンドオーバ先のモバイルファイアウォール装置は、前記第８のステップで取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成する第９のステップと
を更に含むことを特徴とする請求項７に記載のＶＰＮトンネル形成方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、携帯電話機やＰＤＡ（ＰｅｒｓｏｎａｌＤｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｃｅ）などの移動通信端末機にて行われるＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）パケットによる通信を、セキュリティを確保しながら行うことができるＶＰＮ通信システム及びＶＰＮトンネル形成方法に関する。
【０００２】
【従来の技術】
一般的に、ファイアウォールは、モバイルファイアウォールを含めて、ＩＰパケット（以降、パケットという）の送信元アドレス・宛先アドレス・ポート番号、更にはパケット内容や通信パターンから判断して、パケットを通過させるか否かを決定する機能である。所謂、パケットのヘッダに含まれる情報をもとに通信を制御するパケットフィルタリングを行う機能である。
【０００３】
ここで、仮にユーザが移動通信端末機に暗号化通信を用いると、モバイルファイアウォールは、ポート番号やパケット内容を見ることができないため、これらの情報を用いたパケットのフィルタリングが不可能となってしまう。このため、モバイルファイアウォールでパケット内容に基づくパケットフィルタリングを用いるためには、ユーザが暗号化通信を使用しないことが前提となっている。このようなモバイルファイアウォールとしては、例えば下記の特許文献１に記載の技術内容がある。
【０００４】
上述したように、モバイルファイアウォールでは、暗号化通信を使用しないことを前提としている。しかし、現在では、例えば社内の重要なデータの送受信を、外部からインターネットや公衆回線網を通じて行うことが増えている。このため、盗聴や改竄等から保護する必要があるので、ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ：仮想私設網）に代表される暗号化を用いた秘匿通信に対するユーザの需要が高まっている。
【０００５】
ＶＰＮとは、インターネットや公衆回線網などのグローバルなネットワークに特定のユーザしか認識できない仮想の通信路（トンネル）を構築して通信する方法である。このＶＰＮを構築する方法をトンネリングと呼ぶ。必要な場合は、トンネリングの他に暗号化処理が適用される。
この種の従来のＶＰＮを用いた通信システムとして、例えば特許文献２に記載のものがある。この内容は次の通りである。ＩＰ通信網に接続されるＬＡＮ（Ｌｏｃａｌ  ＡｒｅａＮｅｔｗｏｒｋ）の間にＶＰＮを設定している時、そのＬＡＮがＩＰ通信網への接続位置を移動した場合でも自動的にＶＰＮの設定を保持する。ＩＰ通信網にＶＰＮトンネルを設定し、その後、そのＶＰＮトンネルが設定されたＬＡＮの何れかが、ＩＰ通信網に接続されるＬＡＮ収容装置の場所を移動した場合に、ＬＡＮ収容装置間にモバイルＩＰトンネルを設定し、このモバイルＩＰトンネルと元のＶＰＮトンネルとを連結して新たなＶＰＮを形成する。これによって、移動後もＬＡＮ間のＶＰＮの設定を自動的に保持するといった技術である。
【０００６】
【特許文献１】
特願２００２−３４６２７１号公報
【特許文献２】
特開２００２−７７２７３号公報
【０００７】
【発明が解決しようとする課題】
しかし、従来の通信システムにおいては、ＶＰＮに代表される暗号化を用いた秘匿通信に対するユーザの需要が高まっていることから、暗号化通信をモバイルファイアウォールの適用対処外として無視することはもはやできなくなってきている。
そこで、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォールのパケットフィルタリングを利用できるサービスを提供する必要があるが、実際には、上述したように、移動通信端末機に暗号化通信を用いると、モバイルファイアウォールは、ポート番号やパケット内容を見ることができないため、これらの情報を用いたパケットのフィルタリングが不可能となってしまうという問題がある。
【０００８】
また、上記特許文献１に開示されているモバイルファイアウォールでは、想定環境とする移動通信サービスにおいて、様々な移動通信端末機が接続されるとしているが、その中にはセキュリティ機能を全く搭載できない移動通信端末機も存在すると考えられる。この様な移動通信端末機は、それ自体ではＶＰＮサービスを利用できないという問題がある。
【０００９】
更に、例え移動通信端末機が高性能でＶＰＮ機能を搭載できるとしても、ユーザがその機能を有効に活用できるとは限らない。モバイルファイアウォールのサービス提供環境では、様々なレベルのユーザがネットワーク接続サービスを利用するので、セキュリティ知識レベルの低いユーザは、セキュリティの機能を設定・使用することができないことがある。またレベルの高いユーザですら、その設定・使用を面倒なものと考えるかもしれない。つまり、ユーザの負担が大きく、利便性が悪いという問題がある。
【００１０】
また、上記特許文献２においては、ＩＰ通信網への接続位置を移動した場合にも自動的にＶＰＮの設定を保持するが、パケットフィルタリングを同時に実行することができないので、移動通信端末機に不具合を及ぼすパケットを通過させてしまうという問題がある。
本発明は、このような課題に鑑みてなされたものであり、ＶＰＮによる暗号化通信とモバイルファイアウォールによるパケットフィルタリングとを同時に利用可能とすることによって、不具合要因となるパケットの排除を行いながら秘匿通信を行うことを可能とし、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができるＶＰＮ通信システム及びＶＰＮトンネル形成方法を提供することを目的としている。
【００１１】
【課題を解決するための手段】
上記目的を達成するために、本発明の請求項１によるＶＰＮ通信システムは、通信網に、暗号化処理を用いてパケットを伝送するためのＶＰＮトンネルを形成し、このＶＰＮトンネルを介して移動通信端末機と通信先端末機とが通信を行うＶＰＮ通信システムにおいて、前記通信先端末機が前記ＶＰＮトンネルを介して通信を行うために必要な通信先端末機情報を登録したデータベースと、前記通信先端末機が前記ＶＰＮトンネルを介して通信を行う際に通信形式の整合をとって通信可能とするゲートウェイ装置と、前記移動通信端末機が通信網に接続した際のパケットの受信時に前記データベースから通信先端末機情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するモバイルファイアウォール装置とを備えたことを特徴としている。
【００１２】
この構成によれば、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
また、本発明の請求項２によるＶＰＮ通信システムは、請求項１において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得し、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、前記取得した内部状態情報をもとに前記ゲートウェイ装置との間にＶＰＮトンネルを形成することを特徴としている。
【００１３】
この構成によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてゲートウェイ装置との間にＶＰＮトンネルを形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００１４】
また、本発明の請求項３によるＶＰＮ通信システムは、請求項１において、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を更に備え、前記モバイルファイアウォール装置は、前記受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡し、前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成することを特徴としている。
【００１５】
この構成によれば、プロキシ装置がＶＰＮトンネルの終端装置として動作し、また、プロキシ装置とモバイルファイアウォール装置との間に暗号化トンネルを形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
【００１６】
また、本発明の請求項４によるＶＰＮ通信システムは、請求項３において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得し、この取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成することを特徴としている。
【００１７】
この構成によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてプロキシ装置との間に暗号化トンネルを形成する。この暗号化トンネルは、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００１８】
また、本発明の請求項５によるＶＰＮトンネル形成方法は、通信網に、暗号化を用いて移動通信端末機と通信先端末機間の通信パケットを伝送するためのＶＰＮトンネルを形成するＶＰＮトンネル形成方法において、通信網上のデータベースに、前記通信先端末機が前記ＶＰＮトンネルを介して通信を行うために必要な通信先端末機情報を登録する第１のステップと、前記移動通信端末機が通信を行う通信網上のモバイルファイアウォール装置は、前記移動通信端末機が通信網に接続した際のパケットの受信時に、前記データベースから通信先端末機情報を取得する第２のステップと、当該モバイルファイアウォール装置が、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記第２のステップにおいて取得した通信先端末機情報との宛先が一致した際に、ゲートウェイ装置との間にＶＰＮトンネルを形成する第３のステップとを含むことを特徴としている。
【００１９】
この方法によれば、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
また、本発明の請求項６によるＶＰＮトンネル形成方法は、請求項５において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得する第４のステップと、当該ハンドオーバ先のモバイルファイアウォール装置は、通信先端末機へのパケットの受信時に、この受信パケットの情報と前記第４のステップで取得した通信先端末機情報との宛先が一致した際に、前記第４のステップで取得した内部状態情報をもとに前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第５のステップとを更に含むことを特徴としている。
【００２０】
この方法によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてゲートウェイ装置との間にＶＰＮトンネルを形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００２１】
また、本発明の請求項７によるＶＰＮトンネル形成方法は、請求項５において、前記ゲートウェイ装置との間にＶＰＮトンネルを形成するプロキシ装置を備えた際に、前記モバイルファイアウォール装置は、前記第５のステップにおいて前記受信パケットの情報と前記取得した通信先端末機情報との宛先が一致した際に、当該モバイルファイアウォール装置と前記プロキシ装置との間に、移動通信に特化した任意の通信規約による暗号化トンネルを形成し、この形成後にＶＰＮ接続情報を前記プロキシ装置へ譲渡する第６のステップと、前記プロキシ装置は、前記ＶＰＮ接続情報が譲渡された際に、前記ゲートウェイ装置との間にＶＰＮトンネルを形成する第７のステップとを更に含むことを特徴としている。
【００２２】
この方法によれば、プロキシ装置がＶＰＮトンネルの終端装置として動作し、また、プロキシ装置とモバイルファイアウォール装置との間に暗号化トンネルを形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
【００２３】
また、本発明の請求項８によるＶＰＮトンネル形成方法は、請求項７において、前記移動通信端末機がハンドオーバを行った際に、ハンドオーバ先のモバイルファイアウォール装置は、ハンドオーバ後の移動通信端末機からのパケットの受信時に、前記データベースから通信先端末機情報を取得すると共に、ハンドオーバ前のモバイルファイアウォール装置から当該装置の内部状態情報を取得する第８のステップと、当該ハンドオーバ先のモバイルファイアウォール装置は、前記第８のステップで取得した内部状態情報をもとに前記プロキシ装置との間に暗号化トンネルを形成する第９のステップとを更に含むことを特徴としている。
【００２４】
この方法によれば、移動通信端末機がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置が、ハンドオーバ前のモバイルファイアウォール装置の情報を用いてプロキシ装置との間に暗号化トンネルを形成する。この暗号化トンネルは、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００２５】
【発明の実施の形態】
以下、本発明の実施の形態を、図面を参照して説明する。
（第１の実施の形態）
図１は、本発明の第１の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
図１に示すＶＰＮ通信システム１０は、パーソナルコンピュータ等のＣＮ（Ｃｏｒｒｅｓｐｏｎｄｅｎｔ  Ｎｏｄｅ）１２を有するリモートネットワーク１４と、ＶＰＮゲートウェイ装置１６及び複数（ここでは第１及び第２）のモバイルファイアウォール装置１８−１，１８−２を有する移動通信ネットワーク２０と、各モバイルファイアウォール装置１８−１，１８−２と無線回線にて通信を行う移動通信端末機であるＭＮ（Ｍｏｂｉｌｅ  Ｎｏｄｅ）２２とを備えて構成されている。
【００２６】
但し、ここでは説明のためにＭｏｂｉｌｅ  ＩＰｖ６を前提としたシステムを用いるが、他のトランスポート技術及びプロトコルを用いて実現することも可能である。なお、以下の（ａ）及び（ｂ）の条件を満たす場合は、ここでの説明の方式とほぼ同様の手法で実現可能である。
（ａ）モバイルファイアウォール装置が移動通信端末機の移動を検知できること。
【００２７】
（ｂ）通過するパケットの実質的な宛先・発信元アドレスをアクセスルータが認知することができ、これをモバイルファイアウォール装置へ通知できること。
次に、ＶＰＮ通信システム１０の特徴は、リモートネットワーク１４と移動通信ネットワーク２０との接続境界にＶＰＮゲートウェイ装置１６を配置し、このＶＰＮゲートウェイ装置１６と各モバイルファイアウォール装置１８−１，１８−２との間にＶＰＮトンネル２４−１，２４−２を張り、各モバイルファイアウォール装置１８−１，１８−２を、そのＶＰＮトンネル２４−１，２４−２の終端装置として動作させるようにした点にある。つまり、各モバイルファイアウォール装置１８−１，１８−２をＶＰＮプロキシ装置として利用するようにした。
【００２８】
ＭＮ２２とＣＮ１２とは、ＶＰＮトンネル２４−１又は２４−２を介して通信を行うようになっている。例えば、第１のモバイルファイアウォール装置１８−１とＶＰＮゲートウェイ装置１６との間のＶＰＮトンネル２４−１を介してＣＮ１２と通信を行っているＭＮ２２が、矢印Ｙ１で示すようにハンドオーバを行った場合、モバイルファイアウォール装置も、第２のモバイルファイアウォール装置１８−２へ移動することになる。
【００２９】
この場合、ＶＰＮゲートウェイ装置１６と第２のモバイルファイアウォール装置１８−２との間にＶＰＮトンネル２４−２が張り替えられ、このＶＰＮトンネル２４−２を介してＭＮ２２とＣＮ１２とが通信を行うようになっている。
また、ＶＰＮトンネル２４−１，２４−２は、固定網で一般に用いられている既存の方式であるＩＰｓｅｃ、Ｌ２ＴＰ、Ｌ２Ｅ、ＰＰＰＴＰ等を利用して張られるため、ＶＰＮゲートウェイ装置１６に特殊な機能を搭載する必要はない。なお、ＶＰＮゲートウェイ装置１６は、ＣＮ１２に搭載される場合もある。
【００３０】
また、各モバイルファイアウォール装置１８−１，１８−２は、アクセスルータに配置されるものである。更に、各モバイルファイアウォール装置１８−１，１８−２とＭＮ２２との間の無線回線は、ＶＰＮトンネルに係るレイヤよりも下レイヤのセキュリティに依存するものであって、かつ同一無線インターフェースに接続する他の端末機とは物理的にリンクは共有するがデータは供給しない、いわゆる共有型リンクではない。従って、移動通信端末機とモバイルファイアウォール装置間の通信を他の端末機やノードから盗聴することは不可能である。
【００３１】
ところで、モバイルファイアウォールサービスの想定環境として、ＭＮ２２には特別なセキュリティ機能は搭載されていないものとされている。このため、ＭＮ２２のユーザがリモートネットワーク１４に接続しようとしても、ユーザ自らがコマンドやクライアント等を用いてＶＰＮ接続することはできない。
従って、ユーザがＶＰＮ接続を希望するリモートネットワーク１４又はＣＮ１２宛のパケットを送信すると、移動通信ネットワーク２０側で自動的にＶＰＮ接続を確立する必要がある。つまり、予めネットワーク２０側でＶＰＮ接続を行う通信相手（ＣＮ１２）を把握しておく必要がある。
【００３２】
そこで、ＭＮ２２のユーザは、予めモバイルファイアウォールのセキュリティポリシー情報として、ＶＰＮゲートウェイ装置１６のアドレス、ＶＰＮアカウント、ＶＰＮパスワード等のＶＰＮ接続相手情報を、セキュリティポリシーデータベース（以下、ＳＰ・ＤＢと称す）に登録しておく。但し、ＳＰ・ＤＢは、通常、移動通信ネットワーク２０上に設けられている。
【００３３】
このような、モバイルファイアウォール想定環境におけるセキュリティポリシー登録方法には、例えば、次の（１）〜（３）のようなものがある。
（１）電話連絡によりオペレータに説明してセキュリティポリシー情報を登録してもらう（低レベルユーザ向け）。
（２）セキュリティポリシー設定Ｗｅｂページを用いてセキュリティポリシー情報を設定する（中レベルユーザ向け）。
（３）ＳＰ・ＤＢを操作して直接編集する（高レベルユーザ向け）。
なお、モバイルファイアウォール装置では、所有移動通信端末機（ＭＮ）の一括設定機能や、他人の所有する移動通信端末機の設定代行機能の提供を想定しているため、ＶＰＮ接続相手先登録のために、必ずしもＶＰＮ接続を行う移動通信端末機自体を用いる必要はない。
【００３４】
次に、ＶＰＮ通信システム１０において、ＶＰＮトンネルを形成してＭＮ２２とＣＮ１２間で通信を行う場合の処理を、図２に示すシーケンス図を参照して説明する。
まず、ステップＳ１において、ＭＮ２２が移動通信ネットワーク２０に新規接続して最初のパケット及びこれに続くパケットを送信すると、その新規接続された第１のモバイルファイアウォール装置１８−１が、それらのパケットをホールドする。このパケットをホールドしておく理由は、第１のモバイルファイアウォール装置１８−１に、そのＭＮ２２のユーザセキュリティポリシー情報がないためである。また、ここでは説明を簡単にするため、上記のパケットが、移動通信ネットワーク２０上に存在するＨＡ（Ｈｏｍｅ  Ａｇｅｎｔ）宛のＢＵ（Ｂｉｎｄｉｎｇ  Ｕｐ  ｄａｔａ）であるとする。
【００３５】
次に、ステップＳ２において、第１のモバイルファイアウォール装置１８−１は、当該ユーザのセキュリティポリシー情報を要求して受信するためのセキュリティポリシー要求を、ＳＰ・ＤＢへ送信する。
この応答としてＳＰ・ＤＢは、ステップＳ３において、第１のモバイルファイアウォール装置１８−１にセキュリティポリシー情報を返信する。このセキュリティポリシー情報には、ＶＰＮ接続を行う等の情報が含まれている。第１のモバイルファイアウォール装置１８−１は、そのセキュリティポリシー情報を受信すると、ステップＳ４において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、前述の想定環境により、ＨＡ宛のＢＵであるため、ステップＳ５において、ＨＡは応答としてＢＡ（Ｂｉｎｄｉｎｇ  Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ）をＭＮ２２へ返信する。これでＭＮ２２の位置登録が完了する。
【００３６】
続いて、ステップＳ６において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第１のモバイルファイアウォール装置１８−１は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、ステップＳ７に示すようにＶＰＮ接続処理を行って、ＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−１を確立する。
【００３７】
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４−１を利用した通信を行う際に用いるアドレスを払い出すが、ＭＮ２２にはＶＰＮクライアント機能が無いので、そのアドレスを扱うことができない。このため、ステップＳ８において、第１のモバイルファイアウォール装置１８−１が、そのアドレスを用いてＣＮ１２と通信し、ＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）によるアドレス変換を行いＭＮ２２へパケットを転送する。このように、ステップＳ９に示すように、ＶＰＮトンネル２４−１を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００３８】
次に、ＭＮ２２がハンドオーバを行う場合の処理を説明する。
まず、ステップＳ１１において、ＭＮ２２がハンドオーバしてから最初のパケットを送信すると、ハンドオーバ先の第２のモバイルファイアウォール装置１８−２が、そのパケットをホールドする。なお、ここでは説明を簡単にするため、上記のパケットが、ＨＡ宛のＢＵであるとする。
【００３９】
ステップＳ１２において、第２のモバイルファイアウォール装置１８−２は、ＳＰ・ＤＢに対して、当該ユーザのセキュリティポリシー情報を要求するためのセキュリティポリシー要求を送信する。この応答としてＳＰ・ＤＢが、ステップＳ１３において、第２のモバイルファイアウォール装置１８−２にセキュリティポリシー情報を返信する。
【００４０】
これと同時に、ステップＳ１４において、ＳＰ・ＤＢは、ＭＮ２２が以前接続していた第１のモバイルファイアウォール装置１８−１に対して、ファイアウォール内部状態の転送を要求するための内部状態フォワード要求を送信する。第１のモバイルファイアウォール装置１８−１は、その内部状態フォワード要求を受信すると、ステップＳ１５において、第２のモバイルファイアウォール装置１８−２へ内部状態情報を転送し、また、ＶＰＮトンネル２４−１を切断する。
【００４１】
その内部状態情報と先のセキュリティポリシー情報を受信した第２のモバイルファイアウォール装置１８−２は、ステップＳ１６において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、前述の想定環境によりＨＡ宛のＢＵであるため、ステップＳ１７において、ＨＡは応答としてＢＡをＭＮ２２へ送信する。これによってＭＮ２２の位置登録が完了する。
【００４２】
続いて、ステップＳ１８において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第２のモバイルファイアウォール装置１８−２は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、ステップＳ１９に示すようにＶＰＮ接続処理を行って、ＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−２を確立する。
【００４３】
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４−１を利用した通信を行う際に用いるアドレスを払い出すが、この際、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）機能によりＩＰアドレスを払い出す場合は、ハンドオーバ前と同じアドレスを優先的に割り当てる設定又は機能が必要となる。
【００４４】
ステップＳ２０において、第２のモバイルファイアウォール装置１８−２は、その割り当てられたアドレスを用いてＣＮ１２と通信し、ＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）によるアドレス変換を行いＭＮ２２へパケットを転送する。このように、ステップＳ２１に示すように、ＶＰＮトンネル２４−２を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００４５】
このように、第１の実施の形態のＶＰＮ通信システム１０によれば、モバイルファイアウォール装置１８−１がＶＰＮトンネル２４−１の終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置１８−１のパケットフィルタリングを利用して、ＭＮ２２とＣＮ１２とが通信を行うことができる。
【００４６】
従って、不具合要因となるパケットの排除を行いながら秘匿通信を行うことが可能となり、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができる。
また、ＭＮ２２がハンドオーバした際に、モバイルファイアウォール装置も、そのＭＮ２２に追随して移動し、この移動先のモバイルファイアウォール装置１８−２が、ハンドオーバ前のモバイルファイアウォール装置１８−１の情報を用いてＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４−２を形成するので、自動的にＶＰＮトンネルを張り替えることができる。
【００４７】
（第２の実施の形態）
図３は、本発明の第２の実施の形態に係るＶＰＮ通信システムの構成を示す図である。但し、図３に示す第２の実施の形態において、図１に示した第１の実施の形態の各部に対応する部分には同一符号を付し、その説明を省略する。
図３に示すＶＰＮ通信システム３０が図１に示したＶＰＮ通信システム１０と異なる点は、移動通信ネットワーク２０に、ＶＰＮプロキシ装置３２を更に備え、このＶＰＮプロキシ装置３２とＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４を張って終端し、また、ＶＰＮプロキシ装置３２と各モバイルファイアウォール装置１８−１，１８−２との間に、移動通信に特化した方式による暗号化トンネル３４−１，３４−２を張るようにしたことにある。つまり、ＶＰＮプロキシ装置３２は、２種類のトンネルの中継を行うようになっている。
【００４８】
ＭＮ２２とＣＮ１２とは、ＶＰＮトンネル２４に加え、暗号化トンネル３４−１又は３４−２を介して通信を行うようになっている。例えば、第１のモバイルファイアウォール装置１８−１とＶＰＮゲートウェイ装置１６との間のＶＰＮトンネル２４及び暗号化トンネル３４−１を介してＣＮ１２と通信を行っているＭＮ２２が、矢印Ｙ３で示すようにハンドオーバを行った場合、モバイルファイアウォール装置も、第２のモバイルファイアウォール装置１８−２へ移動することになる。
【００４９】
この場合、ＶＰＮプロキシ装置３２と第２のモバイルファイアウォール装置１８−２との間に暗号化トンネル３４−２が張り替えられ、この暗号化トンネル３４−２を介してＭＮ２２とＣＮ１２とが通信を行うようになっている。
次に、ＶＰＮ通信システム３０において、ＶＰＮトンネル及び暗号化トンネルを形成してＭＮ２２とＣＮ１２間で通信を行う場合の処理を、図４に示すシーケンス図を参照して説明する。
【００５０】
まず、ステップＳ３１において、ＭＮ２２が移動通信ネットワーク２０に新規接続して最初のパケットを送信すると、その新規接続された第１のモバイルファイアウォール装置１８−１が、そのパケットをホールドする。このパケットをホールドしておく理由は、第１のモバイルファイアウォール装置１８−１に、そのＭＮ２２のユーザセキュリティポリシー情報がないためである。また、ここでは説明を簡単にするため、上記のパケットが、移動通信ネットワーク２０上に存在するＨＡ（Ｈｏｍｅ  Ａｇｅｎｔ）宛のＢＵ（Ｂｉｎｄｉｎｇ  Ｕｐ  ｄａｔａ）であるとする。
【００５１】
次に、ステップＳ３２において、第１のモバイルファイアウォール装置１８−１は、当該ユーザのセキュリティポリシー情報を要求して受信するためのセキュリティポリシー要求を、ＳＰ・ＤＢへ送信する。
この応答としてＳＰ・ＤＢは、ステップＳ３３において、第１のモバイルファイアウォール装置１８−１にセキュリティポリシー情報を返信する。このセキュリティポリシー情報には、ＶＰＮ接続を行う等の情報が含まれている。第１のモバイルファイアウォール装置１８−１は、そのセキュリティポリシー情報を受信すると、ステップＳ３４において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、第１の実施の形態に記載した想定環境により、ＨＡ宛のＢＵであるため、ステップＳ３５において、ＨＡは応答としてＢＡ（Ｂｉｎｄｉｎｇ  Ａｃｋｎｏｗｌｅｄｇｅｍｅｎｔ）をＭＮ２２へ返信する。これでＭＮ２２の位置登録が完了する。
【００５２】
続いて、ステップＳ３６において、ＭＮ２２がＶＰＮ接続を希望する通信相手のＣＮ１２宛のパケットを送信する。第１のモバイルファイアウォール装置１８−１は、そのパケットを受信すると、セキュリティポリシー情報と照らし合わせる。これによって、ＶＰＮ接続する必要があると判断すると、第１のモバイルファイアウォール装置１８−１は、ステップＳ３７に示すように、第１のモバイルファイアウォール装置１８−１とＶＰＮプロキシ装置３２との間の接続処理を行って、ＶＰＮプロキシ装置３２との間に暗号化トンネル３４−１を確立し、ＶＰＮプロキシ装置３２にＶＰＮ接続情報を渡す。
【００５３】
このＶＰＮ接続情報を受けたＶＰＮプロキシ装置３２は、ステップＳ３８において、ＶＰＮ接続処理を行ってＶＰＮゲートウェイ装置１６との間にＶＰＮトンネル２４を確立する。
この確立時、ＶＰＮゲートウェイ装置１６は、ＭＮ２２が先のＶＰＮトンネル２４を利用した通信を行う際に用いるアドレスを払い出すが、ＭＮ２２にはＶＰＮクライアント機能が無いので、そのアドレスを扱うことができない。このため、ステップＳ３９及びＳ４０において、ＶＰＮトンネル２４の終端を担うＶＰＮプロキシ装置３２がＭＮ２２に成りすまして、そのアドレスを用いてＣＮ１２と通信を行う。ＶＰＮゲートウェイ装置１６は、ＶＰＮプロキシ装置３２から受信したパケットを一度復号化してパケットのデータ部分（ペイロード）を取り出し、再び暗号化トンネル３４−１を通して第１のモバイルファイアウォール装置１８−１へ転送する。第１のモバイルファイアウォール装置１８−１は、そのパケットを復号化してデータ部分を取り出し、ＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）により、アドレス変換した上でＭＮ２２へパケットを転送する。
【００５４】
この際、ＶＰＮプロキシ装置３２で行っているパケットの暗号化・復号化を第１のモバイルファイアウォール装置１８−１が代行して行う。ＶＰＮプロキシ装置３２は、既に第１のモバイルファイアウォール装置１８−１及びＶＰＮゲートウェイ装置１６によって暗号化されているパケットを、それぞれ暗号化トンネル３４−１及びＶＰＮトンネル２４を通して、そのまま転送するという方式を用いる。これによって、暗号化・復号化の回数を削減することも可能である。但し、この場合は、ＶＰＮプロキシ装置３２がＶＰＮトンネル２４を構築するために用いた情報を、予め第１のモバイルファイアウォール装置１８−１へ通知しておく必要がある。第１のモバイルファイアウォール装置１８−１は、その情報を用いて暗号化・復号化を行う。
【００５５】
次に、ＭＮ２２がハンドオーバを行う場合の処理を説明する。
まず、ステップＳ４１において、ＭＮ２２がハンドオーバしてから最初のパケットを送信すると、ハンドオーバ先の第２のモバイルファイアウォール装置１８−２が、そのパケットをホールドする。なお、ここでは説明を簡単にするため、上記のパケットが、ＨＡ宛のＢＵであるとする。
【００５６】
ステップＳ４２において、第２のモバイルファイアウォール装置１８−２は、ＳＰ・ＤＢに対して、当該ユーザのセキュリティポリシー情報を要求するためのセキュリティポリシー要求を送信する。この応答としてＳＰ・ＤＢが、ステップＳ４３において、第２のモバイルファイアウォール装置１８−２にセキュリティポリシー情報を返信する。
【００５７】
これと同時に、ステップＳ４４において、ＳＰ・ＤＢは、ＭＮ２２が以前接続していた第１のモバイルファイアウォール装置１８−１に対して、ファイアウォール内部状態の転送を要求するための内部状態フォワード要求を送信する。
第１のモバイルファイアウォール装置１８−１は、その内部状態フォワード要求を受信すると、ステップＳ４５において、第２のモバイルファイアウォール装置１８−２へ内部状態情報を転送し、ステップＳ４６において、ＶＰＮトンネル２４−１を切断する。
【００５８】
内部状態情報を受信した第２のモバイルファイアウォール装置１８−２は、ステップＳ４７において、第２のモバイルファイアウォール装置１８−２とＶＰＮプロキシ装置３２との間の接続処理を行って、ＶＰＮプロキシ装置３２との間に暗号化トンネル３４−２を確立し、ＶＰＮプロキシ装置３２にＶＰＮ接続情報を渡す。
【００５９】
この後、第２のモバイルファイアウォール装置１８−２は、ステップＳ４８において、先にホールドしておいたパケットをフォワードする。このフォワードされるパケットは、第１の実施の形態で記載した想定環境によりＨＡ宛のＢＵであるため、ステップＳ４９において、ＨＡは応答としてＢＡをＭＮ２２へ送信する。これによってＭＮ２２の位置登録が完了する。
【００６０】
なお、ＶＰＮプロキシ装置３２は、ＮＡＴ機能によりＭＮ２２のハンドオーバ後のアドレスヘアドレス変換を行う必要がある。ＶＰＮプロキシ装置３２はアドレス変換を行うだけであり、パケットの暗号化及び復号化は、第２のモバイルファイアウォール装置１８−２とＶＰＮゲートウェイ装置１６の間で行う。このようにしてステップＳ５０に示すように、ＶＰＮトンネル２４及び暗号化トンネル３４−２を介してＭＮ２２とＣＮ１２間で通信を行うことが可能となる。
【００６１】
このように、第２の実施の形態のＶＰＮ通信システム３０によれば、ＶＰＮプロキシ装置３２がＶＰＮトンネル２４の終端装置として動作し、また、ＶＰＮプロキシ装置３２とモバイルファイアウォール装置１８−１との間に暗号化トンネル３４−１を形成するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置１８−１のパケットフィルタリングを利用して、ＭＮ２２とＣＮ１２とが通信を行うことができる。
【００６２】
従って、不具合要因となるパケットの排除を行いながら秘匿通信を行うことが可能となり、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができる。
また、ＭＮ２２がハンドオーバした際に、モバイルファイアウォール装置も、その移動通信端末機に追随して移動し、この移動先のモバイルファイアウォール装置１８−２が、ハンドオーバ前のモバイルファイアウォール装置１８−１の情報を用いてＶＰＮプロキシ装置３２との間に暗号化トンネル３４−２を形成する。この暗号化トンネル３４−２は、移動通信に特化した任意の通信規約によって形成されるものなので、ハンドオーバを考慮した規約を用いれば、ハンドオーバ時のオーバヘッドを小さくすることができる。
【００６３】
なお、上記第１の実施の形態では、モバイルファイアウォール装置１８−１又は１８−２とＶＰＮゲートウェイ装置１６との間に、上記第２の実施の形態では、モバイルファイアウォール装置１８−１又は１８−２とＶＰＮプロキシ装置３２との間、並びにＶＰＮプロキシ装置３２とＶＰＮゲートウェイ装置１６との間に、暗号化したトンネルを張るようにしたが、他の方法で盗聴や改竄からの安全を確保できるのであれば暗号化しないトンネルを張るようにしてもよい。
【００６４】
【発明の効果】
以上説明したように本発明は、通信網上のデータベースに、通信先端末機がＶＰＮトンネルを介して通信を行うために必要な通信先端末機情報を登録しておき、移動通信端末機が通信を行う通信網上のモバイルファイアウォール装置が、移動通信端末機が通信網に接続した際のパケットの受信時に、データベースから通信先端末機情報を取得し、更に、通信先端末機へのパケットの受信時に、この受信パケットの情報と先に取得した通信先端末機情報との宛先が一致した際に、ゲートウェイ装置との間にＶＰＮトンネルを形成するようにした。
【００６５】
これによって、モバイルファイアウォール装置がＶＰＮトンネルの終端装置として動作するので、ＶＰＮによる暗号化通信を利用しながらもモバイルファイアウォール装置のパケットフィルタリングを利用して、移動通信端末機と通信先端末機とが通信を行うことができる。
従って、ＶＰＮによる暗号化通信とモバイルファイアウォールによるパケットフィルタリングとを同時に利用可能とすることができるので、不具合要因となるパケットの排除を行いながら秘匿通信を行うことを可能とし、また、移動通信端末機におけるＶＰＮ機能使用時のユーザの負担軽減及び利便性の向上を図ることができるという効果がある。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
【図２】第１の実施の形態に係るＶＰＮ通信システムにおいてＶＰＮトンネルを形成してＭＮとＣＮ間で通信を行う場合の処理を説明するためのシーケンス図である。
【図３】本発明の第２の実施の形態に係るＶＰＮ通信システムの構成を示す図である。
【図４】第２の実施の形態に係るＶＰＮ通信システムにおいてＶＰＮトンネル及び暗号化トンネルを形成してＭＮとＣＮ間で通信を行う場合の処理を説明するためのシーケンス図である。
【符号の説明】
１０，３０  ＶＰＮ通信システム
１２  ＣＮ（Ｃｏｒｒｅｓｐｏｎｄｅｎｔ  Ｎｏｄｅ）
１４  リモートネットワーク
１６  ＶＰＮゲートウェイ装置
１８−１  第１のモバイルファイアウォール装置
１８−２  第２のモバイルファイアウォール装置
２０  移動通信ネットワーク
２２  移動通信端末機であるＭＮ（Ｍｏｂｉｌｅ  Ｎｏｄｅ）
２４，２４−１，２４−２  ＶＰＮトンネル
３２  ＶＰＮプロキシ装置
３４−１，３４−２  暗号化トンネル
【図１】
2005072668.tif 000003
【図２】
2005072668.tif 000004
【図３】
2005072668.tif 000005
【図４】
2005072668.tif 000006