(57)【要約】フォーリンネットワークのモバイルノードとホームネットワークの対応のノードとの間で、内部ファイヤウォールと外部ファイヤウォールの対を通じて、セキュアなネットワークパスを提供するシステム及び方法である。そのシステム及び方法の一態様は、モバイルノードとファイヤウォールの内部のVPNゲートウェイとの間にモバイルIPプロキシを提供することを有する。モバイルIPプロキシはモバイルノードに対して代理ホームエージェントとして機能し、ホームネットワークにあるホームエージェントに対して代理モバイルノードとして機能する。
2006511169.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークノード間でセキュアなネットワークパスを提供する方法であって、
モバイルノードから第１の登録要求を受信し、前記登録要求は前記モバイルノードの不変のネットワークアドレスを有し、
前記不変のネットワークアドレスとプロキシの気付アドレスとを指定して、ホームエージェントに第２の登録要求を送信し、
代理ホームエージェントとして、前記モバイルノードから受信したネットワークデータを処理し、
代理モバイルノードとして、前記ホームエージェントから受信したネットワークデータを処理することを有する方法。
【請求項２】
請求項１に記載の方法であって、
前記ホームエージェントから受信したホームエージェントの応答コードを前記モバイルノードに送信することを更に有する方法。
【請求項３】
請求項１に記載の方法であって、
前記ホームエージェントから受信したネットワークデータを処理することは、セキュリティレイヤでカプセル化するために、仮想プライベートネットワーク(VPN)ゲートウェイに前記ネットワークデータを送信することを有する方法。
【請求項４】
請求項３に記載の方法であって、
セキュリティレイヤでカプセル化することは、IPセキュリティ(IPSec)レイヤでカプセル化し、ソース又は宛先アドレスとして前記モバイルノードの前記不変のネットワークアドレスを使用することを有する方法。
【請求項５】
請求項３に記載の方法であって、
前記VPNゲートウェイから前記モバイルノード宛てのネットワークデータを受信し、
前記ネットワークデータを前記モバイルネットワークに送信することを更に有する方法。
【請求項６】
ネットワークのノード間でセキュアに通信する方法であって、
モバイルノードとモバイルIPプロキシとの間でネットワークデータのトンネルを作り、
前記モバイルノードに関連する不変のネットワークアドレスを使用して、前記モバイルノードとVPNゲートウェイとの間で第１のセキュリティ・アソシエーションを作り、
ホームエージェントと前記VPNゲートウェイとの間で第２のセキュリティ・アソシエーションを作り、
前記VPNゲートウェイの気付アドレスとしてモバイルIPプロキシのIPアドレスをホームエージェントにより使用することを有する方法。
【請求項７】
請求項６に記載の方法であって、
対応のノードからのデータのパケットを前記ホームエージェントにより受信し、
前記データのパケットを前記MIPプロキシにルーティングし、
前記MIPプロキシによる前記データのパケットを前記VPNゲートウェイにルーティングし、
前記VPNゲートウェイにより、前記データのパケットをセキュリティレイヤでカプセル化し、
前記VPNゲートウェイから前記MIPプロキシにより前記カプセル化されたデータを受信し、
前記MIPプロキシからの前記カプセル化されたデータを前記モバイルノードにルーティングすることを更に有する方法。
【請求項８】
請求項６に記載の方法であって、
前記セキュリティ・アソシエーションはIPSecセキュリティ・アソシエーションである方法。
【請求項９】
ホームエージェントがネットワークのノード間でデータをセキュアにルーティングする方法であって、
モバイルノードに関連する不変のネットワークアドレスと、MIPプロキシに関連する気付アドレスとを指定して、MIPプロキシから登録要求を受信し、
前記ホームエージェントとVPNゲートウェイとの間でセキュリティ・アソシエーションを確立し、
前記VPNゲートウェイの気付アドレスとして前記MIPプロキシに関連する気付アドレスを指定して、バインディングを確立することを有する方法。
【請求項１０】
請求項９に記載の方法であって、
前記セキュリティ・アソシエーションはIPSecセキュリティ・アソシエーションである方法。
【請求項１１】
請求項９に記載の方法であって、
前記データをモバイルIPレイヤでトンネリングすることを更に有する方法。
【請求項１２】
第１のホームエージェントと、
モバイルノードに対して第２のホームエージェントをエミュレートするタスクと、前記第１のホームエージェントに対して前記モバイルノードをエミュレートするタスクとを実行可能なMIPプロキシと
を有するコンピュータシステム。
【請求項１３】
請求項１２に記載のコンピュータシステムであって、
仮想プライベートネットワークゲートウェイを更に有するコンピュータシステム。
【請求項１４】
請求項１３に記載のコンピュータシステムであって、
前記MIPプロキシと前記VPNゲートウェイとの少なくとも一部は、単一のユニットに統合されているコンピュータシステム。
【請求項１５】
請求項１４に記載のコンピュータシステムであって、
前記MIPプロキシは、ホームエージェントモジュールと、モバイルノードモジュールとを有するコンピュータシステム。
【請求項１６】
請求項１５に記載のコンピュータシステムであって、
ネットワークのルータを更に有し、
前記VPNゲートウェイは、モバイルノードモジュールを有し、
前記ルータは、ホームエージェントモジュールを有するコンピュータシステム。
【請求項１７】
請求項１２に記載のコンピュータシステムであって、
ネットワークのルータを更に有し、
前記MIPプロキシは、ホームエージェントモジュールと、モバイルノードモジュールと、フォーリンエージェントモジュールとを有し、
更に、前記ルータは、前記ホームエージェントモジュールを有し、
前記MIPプロキシは、前記モバイルノードモジュールと、前記フォーリンエージェントモジュールとを有するコンピュータシステム。
【請求項１８】
請求項１２に記載のコンピュータシステムであって、
前記MIPプロキシは、複数のサブネットで通信可能なコンピュータシステム。
【請求項１９】
請求項１２に記載のコンピュータシステムであって、
前記MIPプロキシは、少なくとも２つのファイヤウォールシステムにより形成されたDMZにあるコンピュータシステム。
【請求項２０】
ネットワークのノード間でセキュアなネットワークパスを提供する方法を実行する機械実行可能命令を有する機械読取可能媒体であって、
前記方法は、
モバイルノードから第１の登録要求を受信し、前記登録要求は前記モバイルノードの不変のネットワークアドレスを有し、
前記不変のネットワークアドレスとプロキシの気付アドレスとを指定して、ホームエージェントに第２の登録要求を送信し、
代理ホームエージェントとして、前記モバイルノードから受信したネットワークデータを処理し、
代理モバイルノードとして、前記ホームエージェントから受信したネットワークデータを処理することを有する機械読取可能媒体。
【請求項２１】
請求項２０に記載の機械読取可能媒体であって、
前記ホームエージェントから受信したホームエージェントの応答コードを前記モバイルノードに送信することを更に有する機械読取可能媒体。
【請求項２２】
請求項２０に記載の機械読取可能媒体であって、
前記ホームエージェントから受信したネットワークデータを処理することは、セキュリティレイヤでカプセル化するために、仮想プライベートネットワーク(VPN)ゲートウェイに前記ネットワークデータを送信することを有する機械読取可能媒体。
【請求項２３】
請求項２２に記載の機械読取可能媒体であって、
セキュリティレイヤでカプセル化することは、IPセキュリティ(IPSec)レイヤでカプセル化し、ソース又は宛先アドレスとして前記モバイルノードの前記不変のネットワークアドレスを使用することを有する機械読取可能媒体。
【請求項２４】
請求項２２に記載の機械読取可能媒体であって、
前記VPNゲートウェイから前記モバイルノード宛てのネットワークデータを受信し、
前記ネットワークデータを前記モバイルネットワークに送信することを更に有する機械読取可能媒体。
【請求項２５】
ネットワークのノード間でセキュアに通信する方法を実行する機械読取可能命令を有する機械読取可能媒体であって、
前記方法は、
モバイルノードとモバイルIPプロキシとの間でネットワークデータのトンネルを作り、
前記モバイルノードに関連する不変のネットワークアドレスを使用して、前記モバイルノードとVPNゲートウェイとの間で第１のセキュリティ・アソシエーションを作り、
ホームエージェントと前記VPNゲートウェイとの間で第２のセキュリティ・アソシエーションを作り、
前記VPNゲートウェイの気付アドレスとしてモバイルIPプロキシのIPアドレスをホームエージェントにより使用することを有する機械読取可能媒体。
【請求項２６】
請求項２５に記載の機械読取可能媒体であって、
対応のノードからのデータのパケットを前記ホームエージェントにより受信し、
前記データのパケットを前記MIPプロキシにルーティングし、
前記MIPプロキシによる前記データのパケットを前記VPNゲートウェイにルーティングし、
前記VPNゲートウェイにより、前記データのパケットをセキュリティレイヤでカプセル化し、
前記VPNゲートウェイから前記MIPプロキシにより前記カプセル化されたデータを受信し、
前記MIPプロキシからの前記カプセル化されたデータを前記モバイルノードにルーティングすることを更に有する機械読取可能媒体。
【請求項２７】
請求項２５に記載の機械読取可能媒体であって、
前記セキュリティ・アソシエーションはIPSecセキュリティ・アソシエーションである機械読取可能媒体。
【請求項２８】
ホームエージェントが対応のノードからモバイルノードにデータをセキュアにルーティングする方法を実行する機械読取可能命令を有する機械読取可能媒体であって、
前記方法は、
前記モバイルノードに関連する不変のネットワークアドレスと、MIPプロキシに関連する気付アドレスとを指定して、MIPプロキシから登録要求を受信し、
前記ホームエージェントとVPNゲートウェイとの間でセキュリティ・アソシエーションを確立し、
前記VPNゲートウェイの気付アドレスとして前記MIPプロキシに関連する気付アドレスを指定して、バインディングを確立することを有する機械読取可能媒体。
【請求項２９】
請求項２８に記載の機械読取可能媒体であって、
前記セキュリティ・アソシエーションはIPSecセキュリティ・アソシエーションである機械読取可能媒体。
【請求項３０】
請求項２８に記載の機械読取可能媒体であって、
前記データをモバイルIPレイヤでトンネリングすることを更に有する機械読取可能媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概してモバイルネットワークを提供するコンピュータシステム及び方法に関するものであり、特にモバイルノードと対応のノードとの間でネットワークデータをルーティングするセキュリティ機構とモバイルネットワークとを統合することに関するものである。
【０００２】
この特許文献の開示の一部は、著作権保護の対象の資料を含んでいる。著作権保有者は、特許商標庁の特許ファイル又は記録に現れる特許文献又は特許開示の如何なるものによるファクシミリ複製に対して異議はないが、その他の場合には何であっても全ての著作権を保留する。以下の通知は、図面及び以下に記載のソフトウェア及びデータに当てはまる。著作権(c)2002,  Intel  Corporation．転載禁止。
【背景技術】
【０００３】
無線ネットワークの使用は急速に成長し続けている。無線ネットワークは複数の理由で魅力的である。それらは便利であり、柔軟性及びローミングを可能にし、動的な環境に対応することができる。更に、有線の対応物に比較して、インストールが比較的容易である。ある場合には、例えば古いビルでは、配置が安価なことがある。配線又は再配線の必要なく、全体ネットワークは数日ではなく、数時間の問題で組み立てられ得る。多くの場合に、有線LANカードの安価なコストにもかかわらず、無線ネットワークは有線の対応物より低コストの所有権を有する可能性がある。
【０００４】
コンピュータの更なるトレンドは、個人及び会社のコンピュータリソースの無許可又は不当の使用を避けるために、セキュリティ機構の更なる使用になってきている。例えば、多くの会社及び個人は“ファイヤウォール”をインストールし、ファイヤウォールの内部のシステムを無許可のアクセスから保護している。当該技術分野において既知のように、ファイヤウォールはハードウェアとソフトウェアの双方、又はその双方の組み合わせで実装され得る。ファイヤウォールは、無許可のインターネットユーザがインターネットに接続されたプライベートネットワーク(特にイントラネット)にアクセスすることを回避するためにしばしば使用される。イントラネットに入るメッセージ又は出るメッセージの全てが一般的にファイヤウォールを通過し、ファイヤウォールは各メッセージを検査して、指定のセキュリティ基準を満たさないものをブロックする。
【０００５】
ファイヤウォールはネットワークセキュリティを増加させる有用なツールであるが、ファイヤウォールの内部のシステムにアクセスする正当な必要性を有するファイヤウォールの外部の無線ユーザにとって問題を引き起こす。ファイヤウォールに実装されるセキュリティ機構は、ネットワークデータパケットがファイヤウォールを通過することを許可されているか否かを決定するのに役立つため、しばしばIPアドレスを使用し、IPSecに依存する。残念なことに、無線システムの場合、ユーザがある無線ネットワークから他のものに移動すると、モバイルノードのIPアドレスが頻繁に変化することがある。その結果、ユーザが新たなネットワークに移動する毎に、セキュリティ機構(例えばIPSec)が再確立されなければならない。新たなネットワーク接続に対するセキュリティ機構の再確立は、CPUサイクルの観点と、新たなセキュアの接続が確立されるまでユーザが待つ必要のある経過時間との双方において高コストである可能性がある。
【０００６】
前述の問題を鑑みて、当該技術分野において本発明の必要性が存在する。
【発明を実施するための最良の形態】
【０００７】
本発明の例示的な実施例の以下の詳細な説明において、その一部を形成する添付図面に参照が行われ、添付図面では本発明が実施され得る特定の例示的な実施例を一例として示している。これらの実施例は、当業者が本発明を実施することができる程度に十分に記載されており、他の実施例も利用可能であり、且つ本発明の範囲を逸脱することなく論理的、機械的、電気的及び他の変更が行われ得ることがわかる。従って、以下の詳細な説明は限定の意味で受け取られるべきではない。
【０００８】
図面において、複数の図面に表れる同一の構成要素を示すために、全体を通じて同じ参照番号が使用される。信号及び接続は同じ参照番号により示されることがあり、実際の意味はその説明の内容におけるその使用から明らかである。更に、同一の構成要素のグループの動作又は特徴を一般的に示すときに、明細書及び図面において同じ基礎参照番号(例えば120)が使用される。小数点により取り入れられる数値インデックス(例えば120.1)は、同一の構成要素のグループ間で特定の構成要素が動作を実行する場合又は特徴を有する場合に使用される。
【０００９】
詳細な説明は複数のセクションに分割されている。第１のセクションでは、本発明の異なる実施例のハードウェア及びソフトウェア動作環境について説明する。第２のセクションでは、本発明の多様な実施例による方法について説明する。最後のセクションでは、結論が提供されている。
【００１０】
（動作環境）
図１Ａは、本発明の多様な実施例を組み込んだハードウェア及びソフトウェア動作環境100のブロック図である。本発明のシステム及び方法は、モバイルネットワークをサポートする如何なるハードウェア又はソフトウェアシステムで提供されてもよい。一般的に、そのようなハードウェアは、パーソナルコンピュータと、サーバコンピュータと、メインフレームコンピュータと、ラップトップコンピュータと、携帯用ハンドヘルドコンピュータと、携帯情報端末(PDA)と、ネットワーク可能携帯電話と、前述の装置の組み合わせとを有する。本発明の何らかの実施例では、動作環境100は、対応のノード110と、ホームエージェント112と、セキュリティゲートウェイ104と、モバイルIPプロキシ102と、フォーリンエージェント(foreign  agent)122と、モバイルノード120と、内部ファイヤウォール106と、外部ファイヤウォール108とを有する。動作環境で動作するソフトウェア構成要素は、一般的に機械読取可能媒体から読み取られ、オペレーティングシステムとインタフェース接続してオペレーティングシステムの制御下で動作する。このような機械読取可能媒体の例は、ハードディスク、フロッピー（登録商標）ディスク、CD-ROM、DVD-ROMを有する。更に、機械読取可能媒体は、ネットワークで伝送される有線信号及び無線信号を有する。オペレーティングシステムの例は、Microsoft  CorporationからのWindows（登録商標）  95と、Windows（登録商標）  98と、Windows（登録商標）  MEと、Windows（登録商標）  CEと、Windows（登録商標）  NTと、Windows（登録商標）  2000と、Windows（登録商標）  XPとを有する。しかし、本発明は特定のオペレーティングシステムに限定されず、代替実施例では、ソフトウェア構成要素は、Palm  Inc.からのPalm  OS（登録商標）、UNIX（登録商標）及びLinuxオペレーティングシステムの変形、並びに携帯電話のオペレーティングシステムで動作してもよい。
【００１１】
本発明の何らかの実施例では、動作環境100は、モバイルノード120と対応のノード110との間のネットワーク通信をサポートする。モバイルノード120は、有線及び／又は無線ネットワーク通信をサポートする如何なるモバイルコンピュータ装置でもよい。このような装置の例は、ラップトップコンピュータと、ハンドヘルドコンピュータと、携帯情報端末と、ネットワーク可能携帯電話とを有する。本発明は、モバイルノード120の特定のモバイルコンピュータ装置に限定されない。
【００１２】
モバイルノード120は一般的にホームネットワーク114に割り当てられ、それに割り当てられた不変のホームネットワークアドレスを有する。ホームネットワーク114は如何なる種類のネットワークでもよい。一般的に、ホームネットワーク114は企業ネットワーク又はキャンパスネットワークのようなプライベートネットワークである。しかし、本発明はホームネットワーク114の特定の種類に限定されない。対応のノード110は、サーバコンピュータ、メインフレームコンピュータ、パーソナルコンピュータ、ルータ、ハンドヘルド、ラップトップ、PDA、携帯電話等を含み、モバイルノード120にデータを送信し、又はモバイルノード120からデータを受信する如何なる種類のネットワーク結合装置でもよい。本発明は、対応のノード110の特定の種類に限定されない。
【００１３】
本発明の何らかの実施例では、ホームエージェント112及びフォーリンエージェント122は、Internet  Engineering  Task  Force(IETF)のMobile  IP  Working  Groupによりそれぞれ1996年10月と2002年1月と2002年8月に公表されたモバイルIP通信のRFC2002、RFC3220及び／又はRFC3344の標準のトラックプロトコルに実質的に従って、モバイルネットワーク通信を促進するネットワークノードである。ホームエージェント112はモバイルノードのホームサブセットでルータとして機能し、モバイルノード120がホームサブネットの外側にある場合(例えばモバイルノード120がフォーリンネットワーク130に接続されている場合)に、トラヒックをモバイルノード120に導く。フォーリンネットワーク130は、如何なる種類の有線又は無線ネットワークでもよい。ある実施例では、フォーリンネットワーク130はインターネットを有する。
【００１４】
本発明の何らかの実施例では、モバイルノード120.2が新たなネットワーク130に移動すると、モバイルノード120.2はフォーリンエージェント122に登録する。一般的に、フォーリンエージェント122はモバイルノードへの気付ネットワークアドレス(care-of  network  address)を与え、モバイルノードからの要求を中継して気付アドレスをホームアドレスに通知する。ホームエージェントは要求を引き受けるように選択することができ、フォーリンエージェントを通じてモバイルノードに肯定応答を返信する。次に、ホームエージェントは、フォーリンエージェント122を通じて、モバイルノード宛てのネットワークパケットをフォーリンネットワーク130のモバイルノードに転送する。全てのフォーリンネットワーク130がフォーリンエージェントを有しているわけではない。本発明の何らかの実施例では、モバイルノード120.1がそのフォーリンエージェントとして動作してもよい。ある実施例では、モバイルノード120はフォーリンネットワーク130で使用する気付アドレスを取得するためにDHCP(Dynamic  Host  Configuration  Protocol)を使用する。
【００１５】
企業ネットワークやキャンパスネットワークのようなプライベートネットワークは、プライベートネットワークのコンピュータ及びシステムへの無許可のアクセスを回避するために、しばしば保護されている。本発明の何らかの実施例では、ホームネットワーク114は内部ファイヤウォール106と外部ファイヤウォール108とにより保護されている。ファイヤウォール106及び108はデータパケットとメッセージとを検査し、指定のセキュリティ基準を満たさないものをブロックする。内部ファイヤウォール106及び外部ファイヤウォール108は、当該技術分野においてDMZ160(Demilitarized  Zone)として知られるものを形成する。一般的に、DMZは、ウェブ(HTTP)サーバやFTPサーバやSMTP(電子メール)サーバやDNSサーバのようなインターネットトラヒックにアクセス可能な装置を有する。DMZを確立するために内部ファイヤウォール及び外部ファイヤウォールを使用することはセキュリティの観点から望ましいが、本発明のシステム及び方法は、１つのみのファイヤウォールを備えた環境又はファイヤウォールのない環境にも十分に適用可能である。
【００１６】
本発明の何らかの実施例では、DMZ160は、VPN(Virtual  Private  Network)ゲートウェイ104と、MIP(Mobile  IP)プロキシ102とを有する。VPNゲートウェイ104は、内部ネットワークのノードと、フォーリンネットワーク130のようなフォーリンネットワークのノードとの間でVPNの生成を促進する。VPNはパブリックIPインフラ上のセキュアなネットワークリンクである。VPNプロトコルの例は、IPセキュリティ(IPSec)である。しかし、本発明は特定のVPNプロトコルに限定されない。
【００１７】
MIPプロキシ102は、ホームエージェント112とフォーリンエージェント122との間の中間物として機能する。本発明の何らかの実施例では、MIPプロキシ102はモバイルノード120への代理ホームエージェントとして機能し、ホームエージェント114への代理モバイルノードとして機能する。図１Ａに示す例示的な実施例では、MIPプロキシ102はVPNゲートウェイ104と同じコンピュータで動作していない。これらの実施例では、MIPプロキシ102はVPNゲートウェイ104への代理フォーリンエージェントとして機能する。
【００１８】
図１Ｂは、本発明の多様な実施例によるシステムのブロック図を提供しており、MIPプロキシ102はVPNゲートウェイ104と同じハードウェア及びソフトウェアに実装され得る。これらの実施例では、統合MIPプロキシ／VPNゲートウェイコンピュータは、ホームエージェント112のモバイルノードをエミュレートするモバイルノード(MN:Mobile  Node)モジュール144と、モバイルノード120のホームエージェント(又は代替として、フォーリンエージェント122)をエミュレートするホームエージェント(HA:Home  Agent)モジュール142とを有する。
【００１９】
図１Ｃは、代替実施例のブロック図を提供しており、MIPプロキシ102の機能構成要素であるHAモジュール142とMN/FAモジュール144が異なるコンピュータに実装され得る。HAモジュール142はWAN側のボックス(例えば外部ファイヤウォール108の外部のWANルータ123)に実装されてもよく、MN/FAモジュール144は外部レイヤのファイヤウォールの内部のDMZボックス146に実装されてもよい。外部レイヤのファイヤウォール108を通じてHAモジュール142をMN/FAモジュール144に接続するセキュアなパケットデータのトンネルが存在するため、HAモジュールはMN/FAモジュールからデータを送受信することができる。換言すると、HAモジュールは、更なる処理のため、全ての受信モバイルIPv4パケットをMN/FAモジュールに送信し、MN/FAモジュールは、更なる処理のため、VPNゲートウェイから受信した全てのパケットをHAモジュールに送信する。セキュアなパケットデータのトンネルは、ネットワークレイヤ、トランスポートレイヤ又はアプリケーションレイヤを含み、ネットワークスタックの如何なるレイヤで確立されてもよい。
【００２０】
図１Ｄは、本発明の多様な実施例によるシステムのその他のブロック図を提供しており、MIPプロキシ102は異なるハードウェア構成要素に実装され得る。これらの実施例では、MIPプロキシは、異なるコンピュータに実装されたHAモジュール142と、MNモジュール144とを有する。これらの実施例では、HAモジュール142はWAN側のボックス(例えば外部レイヤのファイヤウォールの外部のWANルータ123)に実装されてもよく、MNモジュール144はVPNゲートウェイに実装されてもよい。外部レイヤのファイヤウォールを通じてHAモジュールをVPNゲートウェイのMNモジュールに接続するセキュア且つトランスペアレントな内部トンネルが存在するため、HAモジュールはMNモジュールからパケットを送受信することができる。換言すると、HAモジュールは、更なる処理のため、全ての受信モバイルIPv4パケットをMNモジュールに送信し、VPNゲートウェイは、更なる処理のため、全ての暗号化パケットをHAモジュールに送信する。同様に、セキュアなパケットデータのトンネルは、ネットワークレイヤ、トランスポートレイヤ又はアプリケーションレイヤを含み、ネットワークスタックの如何なるレイヤで確立されてもよい。
【００２１】
図１Ａに戻り、前述のシステムの動作は一般的に説明が行われたが、本発明の多様な実施例の動作の更なる詳細が以下のセクションの方法で提供される。モバイルノード120がフォーリンネットワークに登録すると、ある実施例ではMIPプロキシ102に登録する。更に、モバイルノード120とMIPプロキシ102との間に、データトラヒックのネットワークトンネルが作られる。モバイルノード120はまた、ノードの不変のホームアドレスとVPNゲートウェイ104との間にIPSec  SA(Security  Association)を作る。SAは手動で作られてもよく、また、IKE(Internet  Key  Exchange)のような鍵管理プロトコルを使用して作られてもよい。SAは、モバイルノードによる対応のノード110のように、ホームネットワーク114の内部のノード宛ての如何なるネットワークデータにも適用される。これは、モバイルノードによるモバイルIPカプセル化の前にIPSec  SAカプセル化を適用することにより実現され得る。
【００２２】
本発明の代替実施例では、モバイルノード120はフォーリンエージェント122に登録し、MIPプロキシ102をホームエージェントとして指定する。MIPプロキシがモバイルノード120の実際のホームエージェントであるかのように、フォーリンエージェント122はMIPプロキシ102と相互作用する。
【００２３】
モバイルノード120から登録要求を受信した後に、MIPプロキシ102がVPNゲートウェイ104から分離している本発明の何らかの実施例では、MIPプロキシ102は、モバイルノード120の気付アドレスとしてMIPプロキシを指定する登録要求をモバイルノード120の代わりに送信する。更に、MIPプロキシ102は、モバイルノードの不変のホームネットワークアドレス宛てのパケットを傍受し始め、モバイルノードのフォーリンエージェントの気付アドレスにパケットをトンネリングする(モバイルノードがそのフォーリンエージェントとして動作していてもよいことに留意すべきである)。
【００２４】
登録要求を受信した後に、ホームエージェント112は、モバイルノード120の気付アドレスとしてMIPプロキシアドレスを結びつける。MIPプロキシ102がVPNゲートウェイ104から分離している何らかの実施例では、MIPプロキシは、VPNゲートウェイ104の気付アドレスとしてMIPプロキシ102のアドレスを指定する一度の最初且つ別個の登録をVPNゲートウェイ102の代わりにホームエージェント112に送信する。MIPプロキシ102から登録要求を受信した後に、ホームエージェント114は、VPNゲートウェイ104の気付アドレスとしてMIPプロキシを結びつける。更に、ホームエージェント112はVPNゲートウェイ104とIPSec  SAを確立し、ホームネットワーク114の対応のノードから傍受した、モバイルネットワーク120の不変のホームネットワークアドレス宛ての全てのネットワークパケットにSAを適用する。何らかの実施例では、適用される何らかのモバイルIPカプセル化の前に、IPSec  SAカプセル化が適用される。
【００２５】
図２Ａは、本発明の何らかの実施例の多様なエンティティの多様なネットワークレイヤ間のデータ伝送の図を提供しており、MIPプロキシはVPNゲートウェイ104と別のコンピュータシステムである。何らかの実施例では、モバイルノード120や、MIPプロキシ102や、VPNゲートウェイ104や、ホームエージェント112のような主なノードのそれぞれは、それぞれネットワークスタック220、202、204、212を有する。一般的に、ネットワークスタックはTCP/IPネットワークスタック230を有する。TCP/IPネットワークスタック230は、更にサブレイヤ(“通常”のIPサブレイヤ232と、セキュリティサブレイヤ234と、モバイルIPサブレイヤ236)に分割され得る。本発明の何らかの実施例では、セキュリティサブレイヤ234はIPSecサブレイヤである。全てのノードが全てのサブレイヤを必要とするのではない点に留意すべきである。接続240、242、244、248は、多様なネットワークレイヤ間のデータ通信を示している。
【００２６】
図２Ｂは、本発明の実施例の多様なエンティティの多様なネットワークレイヤ間のデータ伝送の図を提供しており、MIPプロキシはVPNゲートウェイと同一場所にある。モバイルノード120や、MIPプロキシ+VPNゲートウェイ104や、ホームエージェント112のような主なノードのそれぞれは、それぞれネットワークスタック220、204、212を有する。一般的に、このネットワークスタックはTCP/IPネットワークスタック230を有する。TCP/IPネットワークスタック230は、更にサブレイヤ(“通常”のIPサブレイヤ232と、セキュリティサブレイヤ234と、モバイルIPサブレイヤ236)に分割され得る。本発明のこれらの実施例では、セキュリティレイヤ234はIPSecサブレイヤである。全てのノードが全てのサブレイヤを必要とするのではない点に留意すべきである。
【００２７】
図２Ｃは、本発明の実施例の多様なエンティティの多様なネットワークレイヤ間のデータ伝送の図を提供しており、MIPプロキシのMN/FAモジュールはDMZのVPNゲートウェイと別のコンピュータシステムにあり、HAモジュールはWANルータと同一場所にある。モバイルノード120や、WANルータ123や、VPNゲートウェイ104や、MIPプロキシ+FA/MN102や、ホームエージェント112のような主なノードのそれぞれは、それぞれネットワークスタック220、223、204、202、212を有する。一般的に、このネットワークスタックはTCP/IPネットワークスタック230を有する。TCP/IPネットワークスタック230は、更にサブレイヤ(“通常”のIPサブレイヤ232と、セキュリティサブレイヤ234と、モバイルIPサブレイヤ236)に分割され得る。本発明のこれらの実施例では、セキュリティレイヤ234はIPSecサブレイヤである。全てのノードが全てのサブレイヤを必要とするのではない点に留意すべきである。HAモジュールとMNモジュールとの間のセキュアなパケットデータのトンネルは、図面で接続250として表されている。前述及び図２Ｃの括弧のように、それはネットワークレイヤ、トランスポートレイヤ又はアプリケーションレイヤのように如何なるレイヤのトンネルでもよく、一般的に他のエンティティにトランスペアレントである。
【００２８】
図２Ｄは、本発明の実施例の多様なエンティティの多様なネットワークレイヤ間のデータ伝送の図を提供しており、MIPプロキシのMNモジュールはVPNゲートウェイと同一場所にあり、MIPプロキシのHAモジュールはWANルータと同一場所にある。モバイルノード120や、WANルータ123や、MIP+ VPNゲートウェイ104や、ホームエージェント112のような主なノードのそれぞれは、それぞれネットワークスタック220、223、204、212を有する。一般的に、このネットワークスタックはTCP/IPネットワークスタック230を有する。TCP/IPネットワークスタック230は、更にサブレイヤ(“通常”のIPサブレイヤ232と、セキュリティサブレイヤ234と、モバイルIPサブレイヤ236)に分割され得る。本発明のこれらの実施例では、セキュリティレイヤ234はIPSecサブレイヤである。全てのノードが全てのサブレイヤを必要とするのではない点に留意すべきである。HAモジュールとMNモジュールとの間のセキュアなパケットデータのトンネルは、図面で接続250として表されている。同様に、それはネットワークレイヤ、トランスポートレイヤ又はアプリケーションレイヤのように如何なるレイヤのトンネルでもよく、一般的に他のエンティティにトランスペアレントである。
【００２９】
本発明の何らかの実施例のレイヤ間の通信は、データパス240、242、244、248により図示されている。例えば、MIPプロキシとVPNゲートウェイが分離している場合には、ホームエージェント212のIPSecサブレイヤは、パス244を介してVPNゲートウェイ204のIPSecサブレイヤと通信する。この通信は直接でなくてもよい。一例として、MIPプロキシ102がVPNゲートウェイ104から分離している本発明の実施例では、IPSecサブレイヤのデータはモバイルIPサブレイヤでカプセル化される。モバイルIPサブレイヤの通信はデータパス240により図示されている。同様に、モバイルノード220はVPNプロキシ204に対してセキュアな通信パス248を有する。しかし、セキュリティレイヤのデータはモバイルIPレイヤによりカプセル化され、本発明の何らかの実施例ではデータパス242を介してMIPプロキシ202を通じてルーティングされる。
【００３０】
このセクションでは、セキュリティベースのVPNとモバイルIPネットワークとを統合することを提供するシステムの多様な論理モジュールについて説明した。当業者にわかるように、モジュールを実装するソフトウェアは、C/C++、Java（登録商標）、Visual  Basic、Smalltalk、Pascal、Ada及び同様のプログラミング言語を非限定的に含み、当該技術分野で既知の複数のプログラミング言語のうち如何なるもので書かれてもよい。本発明は、実装の特定のプログラミング言語に限定されない。
【００３１】
（本発明の例示的な実施例の方法）
前のセクションでは、本発明の例示的な実施例の動作のシステムレベルの概要を説明した。このセクションでは、例示的な実施例を実行する動作環境で実行される本発明の特定の方法について、図３−４に示す一連のフローチャートを参照して説明する。動作環境で実行される方法は、コンピュータ実行可能命令から構成されるコンピュータプログラムを構成する。フローチャートを参照してその方法を記述することで、当業者は、適切なコンピュータ(コンピュータ読取可能媒体からの命令を実行するコンピュータのプロセッサ)でその方法を実行するような命令を含み、このようなプログラムを開発することが可能になる。図３−４に示す方法は、本発明の例示的な実施例を実行する動作環境で実行される動作を含む。
【００３２】
図３は、モバイルノードと対応のノードとの間でセキュアなネットワークパスを提供する方法を示したフローチャートである。MIPプロキシ102のようなその方法を実行するシステムがモバイルノードから登録要求を受信したときに(ブロック305)、その方法が開始する。一般的に、その要求はモバイルノードの不変のネットワークアドレスを有する。MIPプロキシは、モビリティ・バインディング・リストにおいて、モバイルノードの不変のホームアドレスをモバイルノードの現在の気付アドレスに結びつける。更に、MIPプロキシは結びつけをホームエージェントに関連付けてもよい。
【００３３】
次に、その方法を実行するシステムは、モバイルノードのホームネットワークのホームエージェントに第２の登録要求を発行する(ブロック310)。一般的に、第２の要求は、モバイルノードの不変のアドレスと、MIPプロキシ102のプロキシアドレスとを有する。ホームエージェントは、ホームエージェントのモビリティ・バインディング・リストにおいて、モバイルノードの不変のホームアドレスをMIPプロキシのアドレスのうちの１つに結びつける。
【００３４】
本発明の何らかの実施例では、その方法を実行するシステムは、ホームエージェントから受信した応答コードを、その方法を実行するシステムによりモバイルノードに送信された応答メッセージにコピーする(ブロック315)。一般的に、応答コードは、ホームネットワークの対応のノードから受信したモバイルノード宛てのネットワークデータを処理するホームエージェントの機能又は意思を示す。
【００３５】
次に、本発明の何らかの実施例では、システムはホームエージェント(ブロック320)とモバイルノード(ブロック325)との双方をエミュレートし始める。ブロック320及び325は同じレベルに図示されており、ブロックの並行した実行の潜在的な性質を示している。システムは、モバイルノードに対して送信されるデータに関して、ホームエージェントをエミュレートする。同様に、システムは、ホームエージェントに対して送信されるデータに関して、モバイルノードをエミュレートする。
【００３６】
図４Ａは、モバイルノードがMIPプロキシに登録した後に、対応のノードからモバイルノード宛てのネットワークデータを処理する本発明の実施例による方法について、更なる詳細を提供するフローチャートである。ホームエージェントがモバイルノードの代わりに対応のノードからパケットを受信したときに(例えば図１のパス1)、その方法が開始する。MIPプロキシがVPNゲートウェイと別のエンティティである本発明の何らかの実施例では、ホームエージェントは、一般的にIPSecを介してVPNゲートウェイにパケットをトンネリングする(ブロック405)。次に、ホームエージェントは、モバイルIPを使用してMIPプロキシにパケットをトンネリングする(ブロック410、例えば図１のパス2)。MIPプロキシがホームエージェントの観点からVPNの気付アドレスとして指定されているため、IPSecとモバイルIPカプセル化とを有するパケットはMIPプロキシに送信される。
【００３７】
MIPプロキシはホームエージェントからパケットを受信し、モバイルIPレイヤをカプセル除去する(ブロック415)。MIPプロキシがVPNゲートウェイと別のエンティティである何らかの実施例では、IPSecレイヤのデータはカプセル除去のためVPNゲートウェイに転送される(ブロック420、例えば図１Ａのパス3)。
【００３８】
VPNゲートウェイはモバイルノードの不変のネットワークアドレスを使用して、VPNゲートウェイとモバイルノードとの間でIPSecを用いてパケットをトンネリングする(ブロック425)。MIPプロキシがVPNゲートウェイから分離している何らかの実施例では、パケットは、モバイルノードに転送するため、MIPプロキシに送信される(例えば図１のパス4)。MIPプロキシは複数の方法でVPNゲートウェイからモバイルノード宛てのパケットを取得してもよい。本発明の一実施例では、VPNのルーティングテーブルは、モバイルノードのパケットがMIPプロキシを通じて自動的にルーティングされるように処理される。本発明の代替実施例では、MIPプロキシはモバイルノードの代わりにARP(Address  Resolution  Protocol)パケットに応答する。更なる代替実施例では、最初にモバイルノードがMIPプロキシを通じて登録を要求したときに、MIPプロキシはVPNゲートウェイの気付アドレスとして自分を最初に確立する。
【００３９】
VPNゲートウェイからデータパケットを受信した後に、MIPプロキシは、フォーリンネットワーク130のモバイルノードの気付アドレスを通じて、モバイルIPを使用してモバイルノードにパケットをトンネリングする(ブロック430、例えば図１のパス5)。
【００４０】
図４Ｂは、モバイルノードがMIPプロキシに登録した後に、モバイルノードから対応のノード宛のネットワークデータを処理する本発明の実施例による方法について、更なる詳細を提供するフローチャートである。モバイルノードとVPNゲートウェイとの間でIPSecを使用してパケットがトンネリングされたときに(ブロック450)、その方法が開始する。パケットは、モバイルノードとMIPプロキシとの間でモバイルIPを使用してトンネリングされる(ブロック455、図１のパス6)。MIPプロキシはモバイルIPレイヤをカプセル除去し(ブロック460)、VPNゲートウェイがMIPプロキシから分離している実施例では、パケットをVPNゲートウェイに転送する(図１のパス7)。
【００４１】
VPNゲートウェイはIPSecパケットをカプセル除去する(ブロック465)。VPNゲートウェイはそのデータを対応のノードに直接送信する(ブロック470、図１のパス8)。
【００４２】
前述のトンネリングをバイパスすることが望ましいことがある点に留意すべきである。例えば、本発明の何らかの実施例では、モバイルノードがVPNゲートウェイでIKEを実行する場合、IKEデータは通常のIPトラヒックとして運ばれる。
【００４３】
（結論）
セキュリティベースのVPNとモバイルネットワークとの統合を提供するシステム及び方法が提供される。本発明の実施例は、以前のシステムに対して利点を提供する。例えば、モバイルノードの不変のネットワークアドレスを使用するセキュリティ・アソシエーションを作ることをサポートすることで、本発明の方法は以前のシステムより効率的である。その理由は、モバイルノードがあるサブネットから他に移動したときにセキュリティ・アソシエーションを再構成する必要がないからである。更に、そのシステム及び方法は、既存のセキュリティ機構及びモバイルIP標準にほとんど変更を加えずに、又は全く変更を加えずに対応可能である。従って、ネットワークシステムの主要な構成要素を更新する必要なく、ユーザは本発明の利点を受けることができる。
【００４４】
ここで特定の実施例について図示及び説明したが、同じ目的を実現するように適合された何らかの構成が図示の特定の実施例に代用され得ることが、当業者にわかる。この出願は、本発明の如何なる適合又は変更をもカバーすることを意図する。
【００４５】
この出願で使用される用語は、これらの全ての周囲を含むように意図されている。前述の説明は説明的であり限定的ではないことを意図していることがわかる。前述の説明を検討することで、多数の他の実施例が当業者に明らかになる。従って、本発明は特許請求の範囲及びその同等物によってのみ限定されることを明白に意図する。
【図面の簡単な説明】
【００４６】
【図１Ａ】本発明の例示的な実施例のシステムレベルでの概要を示したブロック図
【図１Ｂ】本発明の例示的な代替実施例のシステムレベルでの概要を示したブロック図
【図１Ｃ】本発明の例示的な更なる代替実施例のシステムレベルでの概要を示したブロック図
【図１Ｄ】本発明の例示的な更なる代替実施例のシステムレベルでの概要を示したブロック図
【図２Ａ】図１Ａに示す本発明の例示的な実施例の構成要素のネットワークレイヤ間の通信を示した図
【図２Ｂ】図１Ｂに示す本発明の例示的な代替実施例の構成要素のネットワークレイヤ間の通信を示した図
【図２Ｃ】図１Ｃに示す本発明の例示的な更なる代替実施例の構成要素のネットワークレイヤ間の通信を示した図
【図２Ｄ】図１Ｄに示す本発明の例示的な更なる代替実施例の構成要素のネットワークレイヤ間の通信を示した図
【図３】モバイルノードのセキュアなネットワーク通信を確立する方法を示したフローチャート
【図４Ａ】本発明の実施例に従ってファイヤウォールを通じてモバイルノードにネットワークパケットをルーティングする本発明の実施例による方法を示したフローチャート
【図４Ｂ】本発明の実施例に従ってファイヤウォールを通じてモバイルノードにネットワークパケットをルーティングする本発明の実施例による方法を示したフローチャート
【図１Ａ】
2006511169.tif 000003
【図１Ｂ】
2006511169.tif 000004
【図１Ｃ】
2006511169.tif 000005
【図１Ｄ】
2006511169.tif 000006
【図２Ａ】
2006511169.tif 000007
【図２Ｂ】
2006511169.tif 000008
【図２Ｃ】
2006511169.tif 000009
【図２Ｄ】
2006511169.tif 000010
【図３】
2006511169.tif 000011
【図４Ａ】
2006511169.tif 000012
【図４Ｂ】
2006511169.tif 000013
【国際調査報告】
2006511169.tif 000014
2006511169.tif 000015
2006511169.tif 000016