(57)【要約】本発明は、移動体クライアントがホームネットワーク外の新規の場所へ移動した時に、ホームネットワークと移動体クライアント間の安全な通信を確保するために使用されるシステムと方法を提供する。本発明の一つの方法によると、新規の携帯端末クライアントの場所での新規なＩＰアドレスを確立し；この新規なＩＰアドレスを特定する登録メッセージをリレーサーバに送り；この登録メッセージを認証し；登録メッセージをカプセル化して前記ホームネットワーク・サーバへ送り；新規ＩＰアドレスを携帯端末クライアントの動作ＩＰアドレス（ｃａｒｅ−ｏｆａｄｄｒｅｓｓ）として前記ホームネットワーク・サーバで登録し；新規ＩＰアドレスの登録を携帯端末クライアントと確認し；ホームネットワーク・サーバとリレーサーバ間に通信安全同盟を携帯端末クライアントのために確立し；携帯端末クライアントの永続ＩＰアドレスと新規ＩＰアドレス間のネットワークアドレス変換を行い；ホームネットワーク・サーバとリレーサーバ間で、確立した通信安全同盟と携帯端末クライアント用のアドレス変換を基に携帯端末クライアント向けにアドレス設定されたパケットを送り、リレーサーバでパケットの脱カプセル化を行い、脱カプセル化したパケットを携帯端末クライアントへ送り出すステップにより構成されている。
2004524724.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも一つのホームネットワーク・サーバと該ホームネットワーク・サーバを保護するファイヤーウォールを有するホームネットワークと、該ホームネットワークの外側のリレーサーバと、該ホームネットワークの内側の永続ＩＰアドレスを有した携帯端末クライアントとを有するコンピューターネットワーク構成における、携帯端末クライアントが前記ホームネットワーク外の新規な場所へ移動した場合にも、前記ホームネットワーク・サーバと端末クライアント間の安全な通信を確保する方法において、該方法が、
新規の携帯端末クライアントの場所での新規なＩＰアドレスを確立し、
前記新規なＩＰアドレスを特定する登録メッセージを前記リレーサーバに送り、
前記登録メッセージを認証し、
前記登録メッセージをカプセル化して前記ホームネットワーク・サーバへ送り、
前記新規ＩＰアドレスを前記携帯端末クライアントの動作ＩＰアドレス（ｃａｒｅ−ｏｆａｄｄｒｅｓｓ）として前記ホームネットワーク・サーバで登録し、
前記新規ＩＰアドレスの登録を前記携帯端末クライアントと確認し、
前記ホームネットワーク・サーバと前記リレーサーバ間に通信安全同盟を前記携帯端末クライアントのために確立し、
前記携帯端末クライアントの永続ＩＰアドレスと新規ＩＰアドレス間のネットワークアドレス変換を行い、
前記ホームネットワーク・サーバと前記リレーサーバ間で、前記確立した通信安全同盟と前記携帯端末クライアント用の前記アドレス変換を基に、該携帯端末クライアント向けにアドレス設定されたパケットを送り、
前記リレーサーバで前記パケットの脱カプセル化を行い、該脱カプセル化したパケットを前記携帯端末クライアントへ送り出すステップにより構成されたことを特徴とする安全な通信を確保する方法。
【請求項２】
前記ホームネットワークが、さらに多重通信サブシステムを有することを特徴とする請求の範囲第１項記載の安全な通信を確保する方法。
【請求項３】
前記携帯端末クライアントから前記ホームネットワーク・サーバへの通信の少なくとも一部分が、ＨＴＴＰリクエスト・フォーマットであることを特徴とする請求の範囲第１項記載の安全な通信を確保する方法。
【請求項４】
前記ホームネットワーク・サーバから前記携帯端末クライアントへの通信の少なくとも一部分が、ＨＴＴＰリスポンス・フォーマットであることを特徴とする請求の範囲第３項記載の安全な通信を確保する方法。
【請求項５】
前記携帯端末クライアントから前記ホームネットワーク・サーバへの通信の少なくとも一部分が、ＵＤＰパケットでカプセル化されていることを特徴とする請求の範囲第４項記載の安全な通信を確保する方法。
【請求項６】
前記ホームネットワーク・サーバから前記携帯端末クライアントへの通信の少なくとも一部分が、ＵＤＰパケットでカプセル化されていることを特徴とする請求の範囲第５項記載の安全な通信を確保する方法。
【請求項７】
該方法がネットワーク・ゲートウェイを装備するステップを含み、該ゲートウェイは前記ファイヤーウォールを通過して前記ホームネットワーク・サーバへパケットを送るように構成されたことを特徴とする請求の範囲第１項記載の安全な通信を確保する方法。
【請求項８】
前記ネットワーク・ゲートウェイがＶｉｒｔｕａｌ Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ （ＰＶＮ） ゲートウェイであることを特徴とする請求の範囲第７項記載の安全な通信を確保する方法。
【請求項９】
少なくとも一つのホームネットワーク・サーバと該ホームネットワーク・サーバを保護するファイヤーウォールを有するホームネットワークと、該ホームネットワークの外側のリレーサーバと、該ホームネットワークの内側の永続ＩＰアドレスを有した携帯端末クライアントとを有するコンピューターネットワーク構成における、携帯端末クライアントが前記ホームネットワーク外の新規な場所へ移動した場合にも、前記ホームネットワーク・サーバと端末クライアント間の安全な通信を確保する方法において、該方法が、
新規の携帯端末クライアントの場所での新規なＩＰアドレスを確立し、
前記新規なＩＰアドレスを特定する登録メッセージを前記リレーサーバに送り、
前記登録メッセージを認証し、
前記登録メッセージをカプセル化して前記ホームネットワーク・サーバへ送り、
前記新規ＩＰアドレスを前記携帯端末クライアントの動作ＩＰアドレス（ｃａｒｅ−ｏｆａｄｄｒｅｓｓ）として前記ホームネットワーク・サーバで登録し、
前記新規ＩＰアドレスの登録を前記携帯端末クライアントと確認し、
前記ホームネットワーク・サーバと前記リレーサーバ間に通信安全同盟を確立し、
前記携帯端末クライアントの永続ＩＰアドレスと新規ＩＰアドレス間のネットワークアドレス変換を行い、
前記ホームネットワーク・サーバと前記リレーサーバ間で、前記確立した通信安全同盟と前記携帯端末クライアント用の前記アドレス変換を基に、該携帯端末クライアント向けにアドレス設定されたパケットを送るステップにより構成されたことを特徴とする安全な通信を確保する方法。
【請求項１０】
前記ホームネットワークが、さらに多重通信サブシステムを有することを特徴とする請求の範囲第９項記載の安全な通信を確保する方法。
【請求項１１】
前記携帯端末クライアントから前記ホームネットワーク・サーバへの通信の少なくとも一部分が、ＨＴＴＰリクエスト・フォーマットであることを特徴とする請求の範囲第９項記載の安全な通信を確保する方法。
【請求項１２】
前記ホームネットワーク・サーバから前記携帯端末クライアントへの通信の少なくとも一部分が、ＨＴＴＰリスポンス・フォーマットであることを特徴とする請求の範囲第１１項記載の安全な通信を確保する方法。
【請求項１３】
前記携帯端末クライアントから前記ホームネットワーク・サーバへの通信の少なくとも一部分が、前記多重通信サブシステムにより前記ＵＤＰパケットでカプセル化されていることを特徴とする請求の範囲第１２項記載の安全な通信を確保する方法。
【請求項１４】
前記ホームネットワーク・サーバから前記携帯端末クライアントへの通信の少なくとも一部分が、前記多重通信サブシステムによりＵＤＰパケットでカプセル化されていることを特徴とする請求の範囲第１３項記載の安全な通信を確保する方法。
【請求項１５】
請求の範囲第９項の方法において、該方法がネットワーク・ゲートウェイを装備するステップを含み、該ゲートウェイは前記ファイヤーウォールを通過して前記ホームネットワーク・サーバへパケットを送るように構成されたことを特徴とする請求項９記載の安全な通信を確保する方法。
【請求項１６】
前記ネットワーク・ゲートウェイがＶｉｒｔｕａｌ Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ （ＰＶＮ） ゲートウェイであることを特徴とする請求の範囲第１５項記載の安全な通信を確保する方法。
【請求項１７】
ホームネットワーク・システム内に永続ＩＰアドレスと、前記ホームネットワーク・システム外に移動した時の仮の動作ＩＰアドレス（ｃａｒｅ−ｏｆ  ＩＰ ａｄｄｒｅｓｓ）
を有する携帯端末クライアントのための安全な通信を確保するシステムにおいて、
ホームネットワーク・サーバで、該ホームネットワーク・サーバはホームネットワーク外を移動中の移動端末クライアントから受信したメッセージを認証し、かつ携帯端末クライアントの永続ＩＰアドレスから登録された動作ＩＰアドレス（ｃａｒｅ−ｏｆ ＩＰ ａｄｄｒｅｓｓ）間のネットワークアドレス変換を行い、さらに該ホームネットワーク・サーバは前記携帯端末クライアントの永続ＩＰアドレス宛のメッセージをカプセル化して、かつ登録された動作ＩＰアドレスへ転送するホームネットワーク・サーバと、
前記ホームネットワーク外に設けられたリレーサーバであって、前記ホームネットワーク・サーバと該携帯端末クライアント間のメッセージを送信するリレーサーバと、
ＨＴＴＰサーバと多重通信モジュールで構成された多重通信サブシステム、とで構成されたことを特徴とする安全な通信を確保するシステム。
【請求項１８】
移動中の携帯端末クライアントとホームネットワーク・サーバ間の通信方法であって、前記携帯端末クライアントか前記ホームネットワーク・サーバの少なくともいずれか一方がファイヤーウォールにより保護されている場合、該通信方法が、
ＨＴＴＰリクエスト・フォーマットで第１のメッセージを生成し、
ＨＴＴＰリクエスト・フォーマットでの前記第１のメッセージを前記ファイヤーウォールを通して送信し、
前記第１のメッセージＵＤＰパケットにカプセル化して所定の受け手へ送信する処理を行い、
前記第１のメッセージに対応して、ＵＤＰパケットにカプセル化した第２のメッセージを生成し、
前記第２のメッセージをＨＴＴＰリスポンス・フォーマットに変換し、
前記第２のメッセージを所定の受け手へ送信するステップにより構成されたことを特徴とする通信方法。
【請求項１９】
請求の範囲第１項記載の安全な通信を確保する方法において、本方法はさらに、
ＨＴＴＰリクエスト・フォーマットで第１のメッセージを生成し、
ＨＴＴＰリクエスト・フォーマットでの前記第１のメッセージを前記ファイヤーウォールを通して送信し、
前記第１のメッセージＵＤＰパケットにカプセル化して所定の受け手へ送信する処理を行い、
前記第１のメッセージに対応して、ＵＤＰパケットにカプセル化した第２のメッセージを生成し、
前記第２のメッセージをＨＴＴＰリスポンス・フォーマットに変換し、
前記第２のメッセージを所定の受け手へ送信するステップを有することを特徴とする通信方法。
【請求項２０】
請求の範囲第９項記載の安全な通信を確保する方法において、本方法はさらに、
ＨＴＴＰリクエスト・フォーマットで第１のメッセージを生成し、
ＨＴＴＰリクエスト・フォーマットでの前記第１のメッセージを前記ファイヤーウォールを通して送信し、
前記第１のメッセージＵＤＰパケットにカプセル化して所定の受け手へ送信する処理を行い、
前記第１のメッセージに対応して、ＵＤＰパケットにカプセル化した第２のメッセージを生成し、
前記第２のメッセージをＨＴＴＰリスポンス・フォーマットに変換し、
前記第２のメッセージを所定の受け手へ送信するステップを有することを特徴とする通信方法。
【発明の詳細な説明】
【０００１】
（発明の分野）
本発明は一般的には、コンピューターネットワークの移動性を向上させるシステムと方法に関する。特に本発明は、信頼性の高いインターネット・プロトコール（ＩＰ）の移動性を提供するシステムと方法に関する。
【０００２】
（背景技術）
移動端末用のＩＰに関する現在の標準規格により、携帯端末のユーザは移動してもインターネットへの接続を維持することができ、かつ他の多くの携帯端末のユーザとは同じＩＰアドレスで接続することができる。従って移動端末用のＩＰに関する現行システムでは双方向性通信が可能であり、移動サーバ（又はルート、その他のネットワーク手段）もサポートすることができる。
【０００３】
移動端末用のインターネット・プロトコール（ＩＰ）はオープン・インターネット規格であり、本明細書で引例として用いられるＩＴＥＦ−ＦＲＣ  ２００２で主に規格化されている。この移動端末ＩＰの基本前提は、移動端末ユーザは何処へ移動しても同じネットワーク・アドレスを維持することが出来ることである。この能力は２つの理由により重要であり、また望ましいものである。すなわち、（１）ある一つのネットワークから他のネットワークへ移動中にも接続が維持できること、そして（２）双方向性通信が可能であること、の理由である。例えばＵｓｅｒ Ｄａｔａｇｒａｍ ｐｒｏｔｏｃｏｌ （ＵＤＰ）やＴｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ （ＴＣＰ）のようなＩＰベースの通信プロトコル用に、接続が維持される。これらのプロトコル用に、接続は４つのパラメータで維持され、それらは発信側と相手側のＩＰアドレス、および発信側と相手側のポート番号である。移動端末用のＩＰが無い場合は、移動には移動端末ユーザのＩＰアドレスを変更しなければならず、その場合には移動以前のＩＰアドレスで得られた全ての接続は失われることになる。すなわち同じＩＰアドレスを維持する携帯端末用のＩＰ能力により、移動中であっても接続が維持できるという点で切れ目の無い連続移動が可能となる。単一のＩＰアドレスを維持する他の利点は、真の双方向性通信が出来ることである。これは移動中の携帯端末（ここではクライアントと呼ぶ）を目的地として、通信接続を行なうことが出来ることを意味する。この能力は双方向性通信のアプリケーション（例えばＭＳ  ＮｅｔＭｅｅｔｉｎｇ、ＣＵＳｅｅＭｅ、ＰｏｗＰｏｗ、その他のようなアプリソフト）では重要である。さらにまたこの能力は、移動情報サーバの通信を容易にすることができる。すなわちこれらの能力は、全てのＩＰベースのアプリケーションに利用可能である点が重要である。アプリケーションやユーザ側から見ると、各クライアント（例えばラップトップ端末、ハンドヘルド端末、Ｓｍａｒｔ−ｐｈｏｎｅ端末等）を特定する単一かつ永続するアドレスを持っているように見なすことが出来る。
【０００４】
携帯端末ＩＰは２つのＩＰアドレスを用いて機能しており、そのうちの一つはアプリケーションやユーザに見える永続アドレスであり、他の一つは適正ルートを確保する仮アドレスあるいは動作ＩＰアドレス（ｃａｒｅ−ｏｆ−ａｄｄｒｅｓｓ）である。従ってある人がホームネットワークから離れて移動した場合には、その人のクライアント（携帯端末）は新規のＩＰアドレスを生成し、この新規のＩＰアドレスはホームネットワークに転送アドレスとして送り返されて、この転送アドレスに元々の永続ＩＰアドレス宛の全てのメッセージが転送されることになる。このため移動端末ユーザは、ホームネットワーク端末に接続しているかのように通信メッセージを受取ることが出来る。動作中は移動端末ＩＰソフトがこの２つのアドレス間を仲介して、アプリケーションやそのユーザには移動していることは判らないようになっている。
【０００５】
殆どのアプリケーションでは、移動端末ＩＰは移動端末ユーザのホームネットワーク中のソフトウエアを通して稼動する。そのソフトウエア（時には“ａｇｅｎｔ”と呼ばれる）は、発信クライアント（携帯端末）に到着した通信メッセージを途中で受取り、それらを移動中の動作ＩＰアドレス（ｃａｒｅ−ｏｆアドレス）宛に転送する。稀には移動端末ＩＰは、携帯端末クライアント（携帯端末）が経由した各種のサブネット上にある移動端末ＩＰソフトウエア（”Ｆｏｒｅｉｇｎ  Ａｇｅｎｔｓ”（出先エージェント）と言う）をも含む。ただし多くの場合には、このＦｏｒｅｉｇｎ Ａｇｅｎｔｓは厳格には要求されていない。そのＦｏｒｅｉｇｎ  Ａｇｅｎｔｓの機能はクライアント（携帯端末）内に含まれているかもしれないからである。Ｆｏｒｅｉｇｎ Ａｇｅｎｔ無しで稼動しているクライアント（携帯端末）はｃｏ−ｌｏｃａｔｅｄモードと言われる。
移動端末ＩＰの強みは、切れ目の無い連続移動と双方向性通信を可能にすることであることは明らかである。しかしながら実際上は、移動端末ＩＰ自体は不十分である。最も重要な点は、移動端末ＩＰはオープン・インターネット用に設計されたものであるが、その仕様ではセキュリティーが殆ど考慮されていない。特に移動端末ユーザの通信は、盗聴や不当改変から保護されなければならない。
このように自分自身のネットワークのための安全性を提供しないことに加えて、現在そのように構成され使用されているように、現行の移動端末ＩＰネットワークは、そのネットワークが通信する保護された関連ネットワークへ安心してアクセスする実際的な手段を提供するものではない。特に移動端末ＩＰプロトコールは、よく使われるようになっているファイヤーウォールやＶＰＮゲートウェイとしての装置を通過しては機能しない。
【０００６】
（発明の開示）
本発明は、安全なインターネット・プロトコール（ＩＰ）の移動性のためのシステムと方法を提供するものであり、これにより移動中のユーザが自己のホームネットワークに安全にアクセスすることが出来る。
本発明の他の利点は、如何なる場所から、あるいは如何なる時間にも安全なインターネット通信をすることが可能となる高度なＩＰの移動性のためのシステムを提供することである。
本発明の他の利点は、双方向性通信を可能とする高度なＩＰの移動性のためのシステムを提供することである。
【０００７】
本発明のさらに他の利点は、利用者がネットワーク・インターフェースの管理をする必要の無い高度なＩＰの移動性のためのシステムを提供することである。
本発明の他の目的と利点は、部分的には以下の記述に述べられていたり、その記述から明らかであったり、また本発明を実施することにより明らかになる。本発明のそれらの目的と利点は、特に添付の特許請求の範囲で述べる手段とその組合せにより現実化され、かつ達成することが可能となる。
【０００８】
（発明を実施するための最良の形態）
以下、添付図面を参照にして本発明の実施例を詳細に説明する。なお要素番号は夫々の構成要素に対応している。以下に記載された本発明に係るシステムと方法は、ハードディスク・ドライブ、ＣＤのような光媒体、等のコンピューターで読み取り可能な媒体に収納されている双方向性のコンピューターソフトによって実施することが出来る。さらにこのコンピューターで読み取り可能な媒体は、ユーザのコンピューターでローカル的に、あるいはローカルエリア・ネットワーク（ＬＡＮ）やインターネット等のコンピューターネットワークを介してリモート的に用いることが出来る。
【０００９】
本発明は、優れたネットワーク・サポートと安全性を有する移動性を提供するために設計されたものである。これにより移動性は本発明の利用者によく理解できるようになる。従って本発明の利用者は、自分のオフィスとそこでのネットワークから離れても、中断なしで、また自分のコンピューターやクライアント（つまりラップトップ、ハンドヘルド、スマート電話等）の設定された構成を変更することなく引き続いて通信することが可能である。本発明は、移動端末の利用者が自分の会社のネットワークによる保護から離脱するとすぐに、自分の通信情報を暗号化して保護する包括的な解決手段を提供することが出来る。従って本発明では、保護されている会社のネットワーク上にある情報源への複数のアクセス手段を提供することが出来る。
【００１０】
本発明のユニークかつ重要な特徴は、会社のネットワーク上のネットワーク（ＩＰ）アドレスと同じＩＰアドレスを維持することが可能な点である。これにより本発明が、移動端末のユーザが接続を受けられる唯一の解決手段となるのである。この能力は、インターアクティブな個人対個人のアプリ（例えばＭＳ  ＮｅｔＭｅｅｔｉｎｇ）で移動端末ユーザが通話を受ける場合に重要となる。
第１図は本発明の実施例に係るシステムと方法を利用したネットワーク構成１０の一例を示している。本発明はネットワーク要素を特別に構成したり組み合わせたりせずに稼動させることが可能で、また第１図のネットワーク１０は説明のために簡略化して描かれているものと理解されるべきである。
【００１１】
第１図に示すように、ネットワーク構成例１０は、ホームネットワーク・サーバ１４と携帯端末クライアント１６を含むホームネットワーク１２で構成されている。第１図に示すように、携帯端末クライアント１６がホームネットワーク１２内で稼動している時は、携帯端末クライアント１６はホームネットワーク・サーバ１４とはＬＡＮまたはこれに類する接続方法１８経由で直接接続されている。さらに第１図に示すように、携帯端末クライアント２４がホームネットワーク１２の外へ移動すると、暗号化リンク２６、リレーサーバ２２、そして暗号化通信トンネル２０を経由して、第３図に詳述するように、ホームネットワーク・サーバ１４へのアクセスを維持することが出来る。
【００１２】
第３図には、本発明の動作を示すブロック図１００が示されている。ステップ１０１で、移動中の携帯端末クライアント２４がホームネットワーク１２外の新規の場所で新規のＩＰアドレスを得る。ステップ１０２で、その携帯端末クライアント２４は、リレーサーバ２２へ新規ＩＰアドレスを指定して登録するメッセージを送る。この新規ＩＰアドレスには、ホームネットワーク・サーバ１４と通信可能なＦｏｒｅｉｇｎ Ａｇｅｎｔｓ”（出先エージェント）を含んでいる。ステップ１０３で、リレーサーバ２２は、携帯端末クライアント２４を確認してからメッセージを認証する。ステップ１０４で、リレーサーバ２２は携帯端末クライアント２４からの登録メッセージをカプセル化してホームネットワーク・サーバ１４へ送信する。ステップ１０５でホームネットワーク・サーバ１４はその新規ＩＰアドレスを携帯端末クライアント２４の動作ＩＰアドレス（ｃａｒｅ−ｏｆ−ａｄｄｒｅｓｓ）として登録する。ステップ１０６で、ホームネットワーク・サーバ１４は、その新規アドレスが登録された旨の返信メッセージを送信する。ステップ１０７で、ホームネットワーク・サーバ１４とリレーサーバ２２は以下に述べるように、この携帯端末クライアント用に云わば通信安全同盟を結ぶことになる。ステップ１０８で、ホームネットワーク・サーバ１４は携帯端末クライアント２４宛の通信用に、携帯端末クライアントの永続ＩＰアドレスと新規ＩＰアドレス間のネットワークアドレス変換を始める。ステップ１０９で、ホームネットワーク・サーバ１４とリレーサーバ２２は暗号化通信トンネル２０を確立し、かつ携帯端末クライアント２４のための、上述した通信安全同盟とアドレス変換を基にカプセル化し、そしてホームネットワーク・サーバ１４からリレーサーバ２２へパケットを送信し始める。ステップ１１０で、リレーサーバ２２は送信されたパケットをカプセルから取出し、暗号化してリンク２６経由で携帯端末クライアントへ送る。
【００１３】
第２図に示すように、もしリレーサーバ２２が使用出来ない場合、或いは安全上の理由で信頼できない場合には、携帯端末クライアント２４はｃｏ−ｌｏｃａｔｅｄモードで作動する。このモードではリレーサーバ２２の全ての機能は携帯端末クライアント２４で実行される。従って第２図に示すｃｏ−ｌｏｃａｔｅｄモードでは、携帯端末クライアント２４は、新規ＩＰアドレスを登録し（ステップ１０２とステップ１０３）、その登録をするためのカプセル化し、さらに送信し（ステップ１０４、１０５、１０６）、ホームネットワーク・サーバ１４と通信安全同盟を結び、暗号化トンネルを確立し（ステップ１０７、１０９）、そして受信したパケットを脱カプセル化する（ステップ１１０）ために、ホームネットワーク・サーバ１４と直接交信することになる。本発明によれば、ｃｏ−ｌｏｃａｔｅｄモードで動作している場合は、携帯端末クライアント２４自身は位相的に正しい仮ネットワークアドレスを得る必要がある。本発明の実施例では、携帯端末クライアント２４は、そのような仮ネットワークアドレスを得る複数の方法を用いる。例えば、携帯端末クライアント２４は、ＰＰＰ（ダイヤルアップ接続用）、ＤＨＣＰ（ｆｏｒｅｉｇｎ  ａｇｅｎｔｓ無のＬＡＮ接続用）、そして有効な動作ＩＰアドレス（ｃａｒｅ−ｏｆ−ａｄｄｒｅｓｓ）のマニュアル設定も使用することが出来る。携帯端末クライアント２４により動作ＩＰアドレス（ｃａｒｅ−ｏｆ−ａｄｄｒｅｓｓ）が確立したら、本発明の動作は上述のように行われる。
【００１４】
本発明の実施例によると、携帯端末クライアント２４、ホームネットワーク・サーバ１４、そしてリレーサーバ２２間の全てのデータは、暗号化されており、かつＩＰＳｅｃＥＳＰプロトコールを用いて認証されるのが好ましい。しかしながら、それに代わり、各種の暗号化方法とアルゴリズムも使用可能で、例えばＰＫＩ、ＲＳＡ、ＤＳＡ、ＤＥＳ、３ＤＥＳ、そしてＩＫＥプロトコール等を用いることが出来る。
【００１５】
さらに本発明の実施例によると、上記の通信安全同盟、すなわち安全な接続を確立するには、Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ（ＩＫＥ）プロトコールで行うのが好ましい。さらに本発明では、通信安全同盟を確立する交信では、公開暗号とデジタル証明（ＰＫＩにより配布されている）の両方をサポートしている。好ましくは、ＰＫＩ構成（例えば暗号化アルゴリズムの選択等）と管理（例えば公開暗号の配布と証明管理）はホームネットワーク・サーバ１４で行うのがよい。
ＩＫＥでは上述の通信安全同盟を確立するためには２つの明確なフェーズを要求する。まず最初に、交信しようとする両者は相互に認証を得る。そして二番目に第２フェーズをプロテクトするために仲介する通信安全同盟と交渉する。本発明の実施例では、Ｐｕｂｌｉｃ  Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ（ＰＫＩ）のデジタル証明をＩＫＥ交渉に使用することが望ましい。
【００１６】
携帯端末クライアント２４がファイヤーウォールや、ＩＰＳｅｃ（ＶＰＮ）ゲートウェイ（正しくは前線防御システムと言われる）によって保護されたネットワーク内に移動した場合は、本発明では、さらに携帯端末クライアント２４とそのホームネットワーク・サーバ１４との間で自由にパケット交換が出来る必要がある。本発明の実施例によると、ネットワークの前線防衛システムを通過するには、３種類の方法が設けられている。簡単に述べればこの３種類とは、（ａ）認証したＨＴＴＰトンネル内に交信をカプセル化すること、（ｂ）代理ホームエージェントやファイヤーウォールの公衆側の代理サーバを経由して認証済みファイヤーウォール通過を行うこと、そして（ｃ）ＶＰＮゲートウェイのＩＰＳｅｃベースの通過を行うことである。第４図−第７図を参照にして各方法について詳述する。
【００１７】
第４図は本発明による、ネットワーク前線防御を安全に通過する第１の方法を用いたコンピューターネットワーク構成１０のブロック図である。第５図は本発明の動作に関するフロー図２００である。まずステップ２０１では、移動中の携帯端末クライアント２４は、ＨＴＴＰリクエスト・フォーマットのメッセージを生成する。本発明の目的上は、ＨＴＴＰＳのリスポンスとリクエスト・フォーマットは、ＨＴＴＰのリスポンスとリクエスト・フォーマットの一形式と考えることができる。
本発明の実施例では、このＨＴＴＰリクエスト・フォーマットのメッセージは、通信トンネル通過のために、暗号化され、パケット化され、かつカプセル化されているのが望ましい。ステップ２０２で、携帯端末クライアント２４は、このＨＴＴＰリクエスト・フォーマットのメッセージをＨＴＴＰのリンク５１を経由して途中のファイヤーウォール５４や２６を通過してホームネットワーク・サーバ１４へ送信する。
【００１８】
本発明によれば、携帯端末クライアント２４からのＨＴＴＰリクエスト・フォーマットのメッセージ通信はファイヤーウォールには公衆インターネット通信として取り扱われるので、そのメッセージは最初のファイヤーウォール５４を無事に通過して最終的にはホームネットワークのファイヤーウォール２６に到達する。本発明の実施例では、携帯端末クライアント２４からのＨＴＴＰリクエスト・フォーマットの通信は、ＳＯＣＫＳプロトコールや類似のもののような認証プロトコールを用いて、ホームネットワークのファイヤーウォール２６によりまず認証される。或いはその代わりに、より簡単に、或いはより難しくＨＴＴＰリクエスト・フォーマットの通信を認証して通過させるようにファイヤーウォール２６を構成してもよい。
【００１９】
ステップ２０３で、ＨＴＴＰリクエスト・フォーマットの通信がホームネットワークのファイヤーウォール２６を通過すると、多重通信サブシステム４４で処理されて、そのメッセージ通信はＵＤＰパケットにカプセル化されて、ＵＤＰリンク４５経由でホームネットワーク・サーバ１４へ送られる。図１４に示すように本発明の実施例によれば、本発明の多重通信サブシステム４４には、ＨＴＴＰクライアントサーバ５０、と多重通信処理装置４６が含まれている。さらに多重通信サブシステム４４には、Ｆａｓｔ  ＣＧＩモジュール４８や他の構成要素を、ネットワーク効率とスピードを向上させるために含ませてもよい。
多重通信サブシステム４４は、第４図に示すように、ＨＴＴＰサーバ５０はホームネットワークのファイヤーウォール２６からＨＴＴＰリンク５１を経由してメッセージ通信を受けるのが好ましい。メッセージを受取ると、ＨＴＴＰサーバ５０はそのメッセージ通信を次の処理と送信のために転送する。本発明の実施例では、ＨＴＴＰサーバ５０はＦａｓｔ  ＣＧＩモジュール４８へそのメッセージを送り、そこでさらにＴＣＰリンク４７経由で多重通信処理装置４６へメッセージが送られる。
さらに多重通信処理装置４６から、そのメッセージはＵＤＰパケットに分割されて、ＵＤＰリンク４５を経由してホームネットワーク・サーバ１４へ送られる。
ステップ２０４で、ホームネットワーク・サーバ１４は、ＵＤＰパケット化したリスポンスメッセージを生成して携帯端末クライアント２４へリスポンスをしてもよい。ステップ２０５でカプセル化されたリスポンスは、ＨＴＴＰリスポンス・フォーマットへ変換される。第４図に示すように、カプセル化されたリスポンスは、既に述べたように、多重通信サブシステム４４を経由してＨＴＴＰリスポンス・フォーマットへ変換される。ステップ２０６で、カプセル化されたリスポンスは、その受け手でに対して、ＨＴＴＰリスポンス・フォーマットのメッセージ通信として転送される。本発明の実施例では、各ＨＴＴＰリンク５１には、安全なＨＴＴＰ通信トンネルを作るために強化した認証を含ませてもよい。好ましくは、ＳＯＣＫＳプロトコール認証やこれに類似するものが、各ファイヤーウォール内に設けられていてもよいし、それにＳｅｃｕｒｅ  Ｓｏｃｋｅｔ Ｌａｙｅｒ （ＳＳＬ）や類似した認証が、ある選択されたｗｅｂやＨＴＴＰサーバ内で用いられている。
【００２０】
第６図には本発明の一部として用いる他のファイヤーウォールの通過方法が図示されている。第６図に示すように、本発明の実施例によれば、携帯端末クライアント２４からのＨＴＴＰリクエスト・フォーマットの通信は（ｃｏ−ｌｏｃａｔｅｄモードで示す）、代理サーバ又はリレーサーバ３２を経由してホームネットワーク・サーバ１４へ送られる。本発明の実施例では、上述のホームネットワーク１２と同様に、携帯端末クライアント２４により送られた登録メッセージの認証を行う。従ってリレーサーバ３２は携帯端末クライアント２４から登録メッセージを受信し、もしその認証が出来れば、リレーサーバ３２はメッセージのカプセル化を行い、ホームネットワーク・サーバ１４へファイヤーウォール２６を通過してリンク３０経由でそのメッセージを転送する。その後、本発明によれば、ホームネットワーク・サーバ１４は登録メッセージを処理し、リスポンスを準備してそれをカプセル化してリレーサーバ３２へ送信する。従って、もしリスポンスが登録を上手く出来たという内容であれば、リレーサーバ２６は携帯端末クライアント２４とホームネットワーク・サーバ１４間で暗号化リンク３０と３４を経由して送信されたパケットの転送を開始する。本発明の実施例では、リレーサーバ３２それ自身で、携帯端末クライアント２４へのアドレス、又はクライアント２４からのアドレスを付されたパケット上にあるネットワークアドレスの変換を行う。さらに本発明の実施例では、登録後速やかに、携帯端末クライアント２４はホームネットワーク１２と通信安全同盟を確立するためのＩＫＥ交渉を開始する。
代理サーバ又はリレーサーバ３２とホームネットワーク・サーバ１４間で送信されたパケットに関しては、本発明の実施例では、標準プロトコールのカプセル化タイプ４（ＩＰ−ｉｎ−ＩＰカプセル化）を用いてカプセル化するのが好ましい。
本発明によると、これによってＩＰアドレスとプロトコール番号、さらにはハードウエア・アドレスを用いて、ファイヤーウォールでの堅牢なフィルタリングが可能となる。結果として、リレーサーバは機能低下しても、ファイヤーウォールの機能は低下させることはない。他の実施例として、リレーサーバ３２をファイヤーウォール自体の中に入れてもよい。
【００２１】
第７図を参照にして、本発明のさらに他の実施例を説明する。第７図に示すように、ＩＰＳｅｃゲートウェイ３８が、ホームネットワーク１２の最前線の安全化のために、ネットワーク構成１０の一部として用いられている。図示するように、ＩＰＳｅｃゲートウェイ３８又はこれに類似するものを使用することで、ここでの携帯端末クライアント２４は、それ自身とＩＰＳｅｃゲートウェイ３８間で直通トンネル４０を確立することが可能となる。ＩＰＳｅｃトンネル４０は、携帯端末クライアント２４からのパケットが暗号化リンク４２を経由してネットワーク１２の内部に入る前に、ＰＳｅｃゲートウェイ３８がそのパケットを認証するように構成されるのが好ましい。さらに本発明の実施例によると、ＩＰＳｅｃゲートウェイ３８は、上述のリレーサーバ２２と同じ機能を持つように構成されるのが好ましい。
本発明の実施例によると、ＩＰＳｅｃゲートウェイ３８はＶＰＮゲートウェイ又はそれに類似したものでもよい。さらに本発明の実施例によると、ＩＰＳｅｃＥＳＰやＡＨプロトコールをパケット認証のために用いてもよい。
【００２２】
上述の詳細な説明より明らかなように、本発明のシステムと方法は、ネットワークの安全性と移動性を必要とする各種のネットワークを構成する際に用いることが出来る。また本発明のシステムと方法は、フレクシブルであり、特定の状況に合致させるように簡単に改造可能であり、かつカスタマイズが可能である。例えば、ローカルエリア・ネットワーク（ＬＡＮ）のようなネットワーク構成内部で用いることができ、このＬＡＮには、Ｅｔｈｅｒｎｅｔ（登録商標）やトークンアクセス方法、無線ローカルエリア・ネットワーク（ＷＬＡＮ）、メトロポリタン・ネットワーク（ＭＡＮ）、バーチャル・ローカルエリア・ネットワーク（ＶＬＡＮ）、ワイドエリア・ネットワーク（ＷＡＮ）、さらにＢｌｕｅｔｏｏｔｈネットワークが含まれる。さらに本発明は、ＧＰＲＳ、ＮＴＴＤｏＣｏＭｏ、ＨｏｔＳｐｏｔｓ、ＧＳＭ−Ｄａｔａ、ＣＤＭＡ−Ｏｎｅ、そしてＨＳ−ＣＤＳネットワークのような無線データネットワーク、或いはＰＯＴＳ、ＤＳＬ、Ｃａｂｌｅ、そしてＩＳＤＮネットワークのような有線公衆ネットワーク、等でも機能する。
さらに上述の実施例は、特定のオペレーティング環境を参照せずに述べたが本発明は、各種のサーバプラットホーム、或いはＷｉｎｄｏｗｓ（登録商標） ＮＴ、Ｍｅ、ＸＰ、９５、９８、そして２０００や、Ｕｎｉｘ（登録商標）、ＯＳ／２、ＰｏｃｋｅｔＰＣ、ＮｅｔＷａｒｅ等のオペレーティング環境でも用いることが可能である。
【００２３】
さらに本発明は、各種のネットワーキング接続とこれを基にしたプロトコールと共に用いることが可能であり、これらは例えば、Ｎｅｔｗｏｒｋ Ｆｉｌｅ Ｓｙｓｔｅｍ （ＮＦＳ）、ａ Ｗｅｂ ＮＦＳ、ａ Ｓｅｒｖｅｒ Ｍｅｓｓａｇｅ Ｂｌｏｃｋ （ＳＭＢ）、ａ  Ｓａｍｂａ、ａ Ｎｅｔｗａｒｅ Ｃｏｒｅ Ｐｒｏｔｏｃｏｌ （ＮＣＰ）、ａ Ｄｉｓｔｒｉｂｕｔｅｄ Ｆｉｌｅ Ｓｙｓｔｅｍ （ＤＦＳ）、そしてＣｏｍｍｏｎ  Ｉｎｔｅｒｎｅｔ Ｆｉｌｅ Ｓｙｓｔｅｍ （ＣＩＦＳ）構成であり、さらに例えばＴＣＰ／ＩＰ、ＩＰＸ／ＳＰＸ、ＨＴＴＰ、ＨＴＴＰＳ、そしてＮｅｔＢＥＵＩ、等の輸送プロトコールも含まれる。
【００２４】
本発明は特定の実施例について述べてきたが、それらは単に例示であり、制限的なものではない。当業者レベルであれば、本発明の精神と権利範囲から逸脱しない範囲で各種の他の実施例が当然考えられる。このように以下の特許請求の範囲の精神と権利範囲内で、種々のバリエーションと改造が当然可能となる。
【図面の簡単な説明】
本発明はある部分では物理的な形態をしており、本発明の部分的な構成、実施例、および方法は本明細書に詳細に記載されており、かつその部分を構成する下記の添付図面に開示されている。
【図１】本発明の第１実施例に用いるコンピューターネットワークの構成例を示すための概略図である。
【図２】本発明の第２実施例に用いるコンピューターネットワークの他の構成例を示すための概略図である。
【図３】本発明のある実施例による安全なネットワーク通信を提供する方法を示す単純化されたフローチャートである。
【図４】認証ＨＴＴＰ通信を用いたファイヤーウォールによる安全な通信遮断を行う単純化されたネットワーク構成図である。
【図５】本発明のある実施例に係るファイヤーウォールによる安全な通信遮断の方法を示すフローチャートである。
【図６】ファイヤーウォールと、リレー又は代理サーバを用いたＶＰＮゲートウェイによる安全な通信遮断の単純化されたネットワーク構成図である。
【図７】ＩＰＳｅｃゲートウェイを用いたファイヤーウォールによる安全な通信遮断のための単純化されたネットワーク構成図である。
【図１】
2004524724.tif 000003
【図２】
2004524724.tif 000004
【図３】
2004524724.tif 000005
【図４】
2004524724.tif 000006
【図５】
2004524724.tif 000007
【図６】
2004524724.tif 000008
【図７】
2004524724.tif 000009
【国際公開パンフレット】
2004524724.tif 000010
2004524724.tif 000011
2004524724.tif 000012
2004524724.tif 000013
2004524724.tif 000014
2004524724.tif 000015
2004524724.tif 000016
2004524724.tif 000017
2004524724.tif 000018
2004524724.tif 000019
2004524724.tif 000020
2004524724.tif 000021
2004524724.tif 000022
2004524724.tif 000023
2004524724.tif 000024
2004524724.tif 000025
2004524724.tif 000026
2004524724.tif 000027
2004524724.tif 000028
2004524724.tif 000029
2004524724.tif 000030
2004524724.tif 000031
2004524724.tif 000032
2004524724.tif 000033
2004524724.tif 000034
2004524724.tif 000035
2004524724.tif 000036
2004524724.tif 000037
【国際公開パンフレット（コレクトバージョン）】
2004524724.tif 000038
2004524724.tif 000039
【国際調査報告】
2004524724.tif 000040