JP4675909B2 - Ｉｐアクセスネットワークを用いたマルチホーミング及びサービスネットワーク選択 - Google Patents

Description

本発明は、一般に、ネットワーク通信に関し、好適な実施例は、更に、利用可能な多くの異なるプロバイダからの、単一のクライアント位置における通信ネットワークサービスプロバイダ選択に関する。いくつかの好適な実施例に従うと、本発明は、アクセスネットワーク上のクライアントノードにおける、ユーザによる、インターネットサービスプロバイダ（ＩＳＰ）選択とマルチホーミングとに関する。

マルチホーミングは、同時にあるいは動的に２つ以上のＩＳＰによってインターネットに接続する技術である。マルチホーミングは、ＩＳＰに欠陥がある場合に公共のインターネットへの実質的なバックアップ接続を準備すること、地方の及びローカルの改良された接続を準備すること、増大した帯域幅を準備すること、性能を改良することができる負荷共有の利用を準備することを含む多くの利点を持つ。現在、単一のユーザ位置において、複数のＩＳＰが利用可能な多くの状況がある。例えば、ホームユーザは、ダイアルアップ接続によって１つのＩＳＰを選択し、ケーブルあるいはＤＳＬ（デジタル加入者回線）モデム接続によって別のＩＳＰを選択することができる。

ＩＰカプセル化のためにＰＰＰｏＥ（イーサネット（登録商標）によるポイントトゥポイントプロトコル）を用いるＤＳＬプロバイダは、加入者が、初期サインアップの間に静的に、あるいは、ＰＰＰ認証フェーズの間に加入者によって準備されるＮＡＩ（ネットワークアクセス識別子）を用いて、又は発見処理段階においてＩＳＰ情報を伝送することによって動的に、接続している多くのＩＳＰの中から１つを選択することを可能にする。

ＩＥＥＥ ８０２ ＬＡＮ（ローカルエリアネットワーク）では、ＶＬＡＮ（仮想ＬＡＮ）が、ＬＡＮを多くの小さなＬＡＮへ分割するために使用される。ＶＬＡＮは、たとえ実際には、異なるＬＡＮのセグメントに物理的に配置されていても、それらがあたかも同じワイヤに接続されているかのように振舞うコンピュータネットワークである。ＶＬＡＮは、ハードウェアではなくソフトウェアによって構成することができる。これは、ＶＬＡＮの柔軟性を究極的に高める。クライアントノードが、ワイヤによるイーサネット接続を通じてＶＬＡＮに接続される場合、クライアントノードのイーサネットポートと、ＶＬＡＮとの間のマッピングは、ほとんどの場合静的に形成される。公共の無線ＬＡＮ環境では、アクセスポイントによって広告されたＩＥＥＥ ８０２．１１ ＳＳＩＤ（サービスセットＩＤ）が、サービスプロバイダ情報を含むことができる。ＳＳＩＤは、さらに、ＳＳＩＤとＶＬＡＮの間の静的なマッピングの作成により動的にＶＬＡＮを選択するために使用される。その結果、特定のＳＳＩＤの指定により、アクセスポイントに関係している局が、そのＳＳＩＤにマップされた特定のＶＬＡＮに接続される。

ＩＳＰまたはＶＬＡＮを選択する現在の方法は、特定のリンク層技術（つまりＰＰＰおよびＩＥＥＥ ８０２．１１）に緊密に結び付けられており、すべてのリンク層技術にわたって適用するのが難しい。そのため、アクセスネットワークが異種混合か、又はクライアントノードへのＶＬＡＮ割り当てにおいてより柔軟性が必要な環境では、どのリンク層技術にも依存しないＩＰ（インターネットプロトコル）層ソリューションを持つことが望ましいだろう。

単純なＩＰ層ソリューションとして、アクセスルータがそれぞれ特定のＩＳＰあるいはＶＬＡＮに接続されるアクセスネットワークにマルチアクセスルータを置くことが可能である。これによって、データパケットを送受信するために、アクセスネットワーク上のクライアントノードが特定のアクセスルータを選択することができる。しかしながら、この単純なソリューションは２つの問題を持っている。第１に、特にアクセスネットワークがマルチアクセス技術を使用する場合、複数のＩＳＰあるいはＶＬＡＮの間のアクセスネットワークにおいて情報漏洩が生じるかもしれない。第２に、入口フィルタリングがアクセスルータにおいて行なわれる場合、１つの物理的なインタフェースを備えたクライアントノードが、２つ以上のＩＳＰあるいはＶＬＡＮへの同時接続が許される場合には、単純なソリューションを実現するのは困難である。入口フィルタリングは、あたかもそれらが、アクセスルータが付いているアクセスネットワークとは異なるネットワーク内で生成されたかのように、攻撃者が、偽造されたソースＩＰアドレスをパケットに入れるのを防ぐための技術である。入口フィルタリングが使用されるアクセスネットワークでは、アクセスネットワーク内で生成されたパケットは、パケットが受信されたネットワークインタフェースにルータによって割り当てられたネットワークプレフィックスを備えたソースアドレスを持っている場合に限り、アクセスルータを通じて渡すことができる。しかしながら、ほとんどのホスト実装は、異なるＩＳＰあるいはＶＬＡＮへの同時接続が可能となる場合となるであろうが、異なるネットワークプレフィックスを備えた複数のルータブルなＩＰアドレスが、与えられたインタフェースに割り当てられる場合に適切なソースアドレスを選択するいかなる方法をも提供しない。

従って、特に、あらゆる情報漏洩の発生を阻止し、ＩＰアドレススプーフィング攻撃に対し防御するソリューションに対するニーズが当該技術分野において存在する。

本発明の好適な実施例は、既存の方法及び／又は装置を、顕著に改良することができる。いくつかの実施例では、本発明は、前述の方法に関する本質的な改良を提供する。

発明の１つの局面によれば、マルチホーミング及びネットワーク選択のための新しいＩＰ層ベースのモデルが提供される。これは、使用する１つ又は複数のサービスネットワークの柔軟で安全な動的選択を可能とする。またここでは、サービスネットワークは、ＩＳＰネットワーク、ＮＡＰ（ネットワークアクセスポイント）ネットワーク交換設備、ＶＬＡＮ等である。１つの好適な実施例によるＩＰ層ベースのモデルは、３つのフェーズから成る。第１フェーズでは、ネットワーク情報がクライアントノードに広告される。第２フェーズでは、クライアントノードが、アクセスルータの使用のために認証され認可される。第３フェーズでは、安全なトンネルが、クライアントノードとアクセスルータとの間に確立される。この発明的なモデルは、変更せずに標準的なプロトコルを用いて実施することができ、ＩＰデータグラムを伝送可能なあらゆる既存の又は将来のリンク層技術にわたって動作することができる。

特に、１つの好適な実施例によれば、本発明は、クライアントノードをサービスネットワークに動的に接続する方法を提供する。この方法は、クライアントノードがネットワーク接続を持つアクセスネットワークを準備することと、アクセスネットワークに対するネットワーク接続を持ち、少なくとも１つのサービスネットワークに対するネットワーク接続を持つ少なくとも１つのアクセスルータを準備することと、クライアントノードからの要求メッセージに応じて、サービスネットワークプロバイダ広告情報をクライアントノードに送信することと、クライアントノードがアクセスを望むサービスネットワークを指定するサービスネットワークプロバイダ情報を、クライアントノードから受信することと、アクセスネットワークを経由して、クライアントノードとアクセスルータとの間の安全な通信トンネルを確立し、アクセスネットワークを経由して、安全な通信トンネル内で、クライアントノードによって指定されたサービスネットワークと、クライアントノードとがデータパケットを送受信できるようにすることとの各ステップを含む。

第２の局面によれば、本発明は、複数のインターネットサービスプロバイダにクライアントノードを接続する方法を提供する。この方法は、クライアントノードが、複数のインターネットサービスプロバイダと通信しうるアクセスネットワークを準備することと、複数のインターネットサービスプロバイダの各々について、アクセスネットワーク内に、個別の安全な通信トンネルを確立し、アクセスネットワークを経由して、個別の安全な通信トンネル内で、インターネットサービスプロバイダの各々と、クライアントノードとがデータパケットを送受信できるようにすることとの各ステップを含む。

第３の局面によれば、本発明は、サービスネットワークにクライアントノードを接続する方法を提供する。この発明は、少なくとも２つのサービスネットワークに対するネットワーク接続を持つアクセスルータを準備することと、クライアントノードがアクセスを望むサービスネットワークを指定するサービスネットワーク情報をクライアントノードから受信することと、アクセスネットワークを経由して、クライアントノードとアクセスルータとの間の安全な通信トンネルを確立し、アクセスネットワークを経由して、安全な通信トンネル内で、クライアントノードによって指定されたサービスネットワークと、クライアントノードとがデータパケットを送受信できるようにすることと、安全な通信トンネルのセキュリティ関連識別子として、指定されたサービスネットワークのサービスネットワーク情報を使用することにより、安全な通信トンネルを、指定されたサービスネットワークに結び付けることとの各ステップを含んでいる。

様々な実施例の上述した及び／又はその他の局面、特徴、及び／又は利点は、添付図面と組み合わせた以下の記述を参照して更に理解されるであろう。適用可能なところで、様々な実施例が、異なる局面、特徴、及び／又は利点を含むか、あるいは限定可能である。更に、適用可能なところで、様々な実施例は、他の実施例の１つ又は複数の局面あるいは特徴を組み合わせることができる。特定実施例の局面、特徴、及び又は利点の説明は、他の実施例あるいは請求項の範囲を限定するものとして解釈されるべきではない。

本発明の好適な実施例は、添付図面において、限定ではなく、一例として示される。

本発明は、多くの様々な形式で具体化されうる一方、多くの例示的な実施例が、本開示は、本発明の原理の一例を提供するものとして考慮されるべきであることと、そのような例は、ここで記載及び／又は例示された好適な実施例に限定されるようには意図されないことという理解のうえで記述される。

本発明の好適な実施例に従って提案されたＩＰ層モデルの一例の物理的なトポロジが、図１に例示される。図示するように、ＩＰアクセスネットワーク１０１は、アクセスルータＡＲ１，ＡＲ２、およびクライアントノード１０３を含んでいる。このアクセスネットワーク上の更なるノードは、単純化の目的のために示さない。アクセスルータＡＲ１はサービスネットワークＮ１に接続される。また、アクセスルータＡＲ２はサービスネットワークＮ２，Ｎ３に接続される。ＩＰアクセスネットワーク１０１では、クライアントノード１０３は、アクセスネットワーク内の通信のために有効であるルータブルな、又は非ルータブルなＩＰアドレスを用いることによって、他のノード（図示せず）と同様に、アクセスルータとも通信することができる。クライアントノード１０３が、サービスネットワークを経由してデータパケットを送受信する必要がある場合、ＩＰセキュリティプロトコル（ＩＰＳｅｃトンネル）を用いて、ＩＰアクセスネットワークを経由してそのサービスネットワークのアクセスルータへの安全なトンネル（論理インタフェース）を確立する。トンネリングは、１つのネットワークが別のネットワークの接続を通じてそのデータを送ることを可能にし、第２のネットワークによって伝送されたパケット内のネットワークプロトコルをカプセル化することにより機能する。例えば、ＶＰＮ（仮想プライベートネットワーク）を介してデータを送信するために、ＰＰＴＰ（ポイントトゥポイントトンネリングプロトコル）技術によってインターネットを使用することができる。それは、インターネットによって伝送されたＴＣＰ／ＩＰパケット内にそれ自身のネットワークプロトコルを埋め込むことにより行う。

確立されたＩＰＳｅｃトンネルは、アクセスルータを通るパケットに対する機密性、完全性、及び反復操作保護を提供する安全な論理インタフェースである。これはまた、パケットが他のサービスネットワークに漏洩するのを阻止する。更に、ＩＰＳｅｃトンネルは、ノードの物理的なインタフェースをオーバレイする論理的なトンネルインタフェースを確立する。これは、対応するアクセスルータへ転送されたパケットのソースアドレスとして、特定のインタフェースアドレス（つまり、特定の論理的なトンネルインタフェースに割り当てられたアドレス）が使用されることを保証する。入口フィルタリングを使用するアクセスルータは、アクセスルータによって論理的なインタフェースに割り当てられたネットワークプレフィックスを含むので、そのようなソースアドレスを持つパケットを見落とさないだろう。

図１の物理的なトポロジをオーバレイする論理的なトポロジの一例が図２に例示されている。図示するように、クライアントノード１０３は、別個の論理インタフェースＬ１，Ｌ２，Ｌ３に各々関連した３つのＩＰＳｅｃトンネル２０１，２０２，２０３を持っている。論理インタフェースＬ１，Ｌ２，Ｌ３は、特定のサービスネットワークＮ１，Ｎ２，Ｎ３を通じてデータパケットを送受信するためにそれぞれ使用される。サービスネットワークＮ１，Ｎ２，Ｎ３は、ＩＳＰ、ＮＡＰ、ＶＬＡＮ、あるいは同様のサービスネットワークでありうる。論理インタフェースＬ１に対応するＩＰＳｅｃトンネル２０１は、アクセスルータＡＲ１において終了する。論理インタフェースＬ２，Ｌ３に対応するＩＰＳｅｃトンネル２０２，２０３は、アクセスルータＡＲ２において終了する。

クライアントノード１０３の各々の論理インタフェースＬ１，Ｌ２，Ｌ３のインタフェースアドレスは、対応するサービスネットワークのアドレスブロックから割り当てられる。図示する例において、クライアントノード１０３は、３つのサービスネットワークＮ１，Ｎ２，Ｎ３のうちの何れかを経由してデータパケットを送受信することができる。もちろん、クライアントノードが、３つ全てのサービスネットワークの代わりに、サービスネットワークのうちの１つのみ、あるいは２つへの接続を確立することも可能である。アクセスネットワークに対してオンリンク接続を持っているクライアントノードは、ワークステーションまたはルータでありうる。

クライアントノード１０３は、アクセスネットワーク１０１内の他のノードと通信するために、ルータブルアドレス、又は非ルータブルアドレスであるアドレスを使用することができる。非ルータブルアドレスは、ルータによる転送が許可されない。一方、ルータブルアドレスは、ルータによって転送される。クライアントノード１０３が自律的にアドレスを生成するための非ルータブルアドレスの一例は、ＩＰｖ４リンク−ローカルアドレス、あるいはＩＰｖ６リンク−ローカルアドレスである。特に、ＩＰｖ６リンク−ローカルアドレスが使用される場合、ＳＥＮＤ（SEcure Neighbor Discovery）は、ネイバーディスカバリエクスチェンジ（Neighbor Discovery exchanges）を保護するために使用することができる。ルータブルアドレスが使用される場合、ＤＨＣＰ（Dynamic Host Configuration Protocol）、ＤＨＣＰｖ６、あるいはＩＰｖ６アドレス自動設定を含む任意の方法を用いて、静的、あるいは動的に設定される。

セキュリティが、例えば公共サービスアクセスネットワークのためのようなサービスを提供するサービスネットワークに重要ではない場合には、トンネルを確立するためにＩＰＳｅｃキー管理プロトコルを使用する必要はない。そのような場合、例えば、ＩＰ−ｉｎ−ＩＰ、又はＧＲＥ（Generic Routing Encapsulation）のような、その他のＩＰトンネリングスキームが使用されうる。

（サービスネットワーク情報広告）
多くの無線ＬＡＮホットスポットサービスプロバイダは、無線クライアントに対してサービスプロバイダ情報を広告するために、ブロードキャストビーコンフレーム内に含まれる８０２．１１ ＳＳＩＤを現在使用している。１つの物理的なアクセスポイントを、複数の仮想アクセスポイントに分割できるように、仮想アクセスポイント（ＶＡＰ：virtual access point）と呼ばれる技術が、この使用法を拡張することができる。それらの各々は、各ＶＬＡＮのために別個のＳＳＩＤを広告することによって、あたかもそれが別個の物理的なアクセスポイントであるかのように動作する。ＶＡＰの不利な点は、特定のアクセス技術と緊密に関係しており、その他のアクセス技術に適用するのが難しいことである。別の不利な点は、より多くの帯域幅がビーコンフレームによって占有されるので、データトラフィック全体のスループットが減少することである。例えば、１０の仮想アクセスポイントがあり、各仮想アクセスポイントがそれぞれビーコンフレームを１００ミリ秒毎に生成すれば、局は、ビーコンフレームを１０ミリ秒毎に受信するであろう。その場合、ＩＥＥＥ ８０２．１１ｂのリンク帯域幅の３０％以上は、ビーコンフレームによって占有される。

本発明によれば、対照的に、ネットワーク層プロトコルが、アクセスネットワーク１０１上のクライアントノードへ、サービスネットワーク情報を広告するために使用される。ルータブルネットワークがＩＳＰ又はＮＡＰネットワークである場合、プロバイダ識別子及びプロバイダ名データのペアが、各サービスプロバイダ毎に広告されうる。ここでは、プロバイダ識別子は、プロバイダを識別するために使用されるユニークな識別子であり、プロバイダ名は、プロバイダの名前を表す文字列である。サービスネットワークがＶＬＡＮである場合、ＶＬＡＮ識別子およびＶＬＡＮ名が、ＶＬＡＮ毎に広告されうる。ここで、ＶＬＡＮ識別子は、ＶＬＡＮを識別するために使用されるユニークな識別子であり、ＶＬＡＮ名は、ＶＬＡＮの名前を表わす文字列である。ＶＬＡＮ広告情報は、アクセスネットワークがＶＬＡＮではない場合に、ＩＰによって送られうる。

本発明の１つの好適な実施例によれば、サービスネットワークに関する情報は、ＰＡＮＡ（Protocol for carrying Authentication information for Network Access：ネットワークアクセスのための認証情報を伝えるプロトコル）の使用により広告される。いくつかのシナリオでは、ＩＰベースのデバイスは、その使用を認められる前に、ネットワークに対して自己を認証することが要求される。この認証は、様々な認証方法をサポートできるプロトコルを通常必要とする。ほとんどのリンク層について、そのような認証プロトコルがない状態で、アーキテクチャは多くの不適当な認証方法の使用をたびたび行ってきた。ＰＡＮＡは、クライアントが、サイトで使用されている特定のＡＡＡ（認証、認可、および会計）インフラストラクチャプロトコルを理解する必要なしに、アクセスを獲得するサイトのバックエンドＡＡＡのインフラストラクチャーと対話することを可能にするＩＰプロトコルを使用して、アクセスネットワークにそれら自身を認証することを可能にするプロトコルを定義する。さらに、そのような相互作用が、リンク層の特定のメカニズムなしになされる。ＰＡＮＡは、マルチアクセス及びポイントトゥポイントの両方のリンクに適用可能である。本発明は、アクセスネットワーク上のクライアントノードに、サービスネットワーク情報を提供するためにＰＡＮＡプロトコルを利用する。

ＰＡＮＡは、クライアント−サーバタイプのプロトコルである。ここでは、クライアント及びサーバが、それぞれＰａＣ（ＰＡＮＡクライアント）及びＰＡＡ（ＰＡＮＡ認証エージェント）と称される。本発明では、クライアントノード１０３はＰａＣである。ＰＡＡはアクセスネットワーク内に配置され、アクセスルータと同一場所に配置される場合も、そうでない場合もある。ＰＡＡがアクセスルータと同一場所に配置されない場合、例えばＳＮＭＰ（Simple Network Management Protocol）又はＤｉａｍｅｔｅｒのような他のプロトコルを用いて、認可されたクライアントに関する認可情報を、ＰＡＡによって広告されるサービスネットワークに接続されたアクセスルータの幾つか又は全てに送る。

広告シーケンスは、以下の通り実行される。
１．ＰａＣが、アクセスネットワーク内でマルチキャスト又はユニキャストされるＰＡＮＡ−ＰＡＡ−Ｄｉｓｃｏｖｅｒメッセージを、特定のＰＡＡに送信する。
２．ＰＡＮＡ−ＰＡＡ−Ｄｉｓｃｏｖｅｒメッセージを受信した各ＰＡＡは、ＰａＣにＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージを送り戻す。ＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージは、ＰＡＡに関連したサービスネットワークについての情報を含んでいる。
３．ＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージを受信したＰａＣは、受信したメッセージから、サービスネットワーク情報を抽出する。

ＰＡＮＡを使用して、サービスネットワーク情報を受信するために無指定のＩＰアドレスを使用する場合、ＰａＣが、ＩＰアドレスを設定する必要がない場合もあることが注目される。そのような場合、ＰＡＡは、レイヤ２特有のパケット配信メカニズムを用い、規則的なＩＰスタック実装を回避することにより、ＩＰパケット内にカプセル化された情報をＰａＣに送るだろう。

本発明の代替実施例によれば、サービスネットワーク情報は、ＩＰｖ４またはＩＰｖ６のルータディスカバリメカニズムを用いることにより、クライアントに広告されるかもしれない。クライアントノードは、ルータディスカバリを使用してサービスネットワーク情報を得るためにアドレスを設定する必要がある。広告シーケンスは、以下のように実行される。
１．クライアントノードが、特定のルータへユニキャスト、又はアクセスネットワーク内でマルチキャストされるルータ懇請（Solicitation）メッセージを送る。
２．このルータ懇請メッセージを受信した各ルータはそれぞれ、クライアントノードにルータ広告メッセージを送り返す。このルータ広告メッセージは、ルータに接続されたサービスネットワークについての情報を含んでいる。
３．ルータ広告メッセージを受信するクライアントノードは、受信メッセージから、サービスネットワーク情報を抽出する。

（認証）
ＰＡＮＡが、サービスネットワークについての情報の広告のために使用される場合、それは元々の目的、つまり、クライアントの認証および認可のために使用することができる。ＩＫＥ（Internet Key Exchange：インターネットキー交換）も、クライアントの認証のために使用することができる。ＩＫＥがクライアント認証に使用される場合、クライアントノードは、直ちに安全なトンネルを確立することができる。ＩＫＥは、ＩＰＳｅｃ規格と共に使用される重要な管理プロトコル規格である。ＩＰＳｅｃは、ＩＰパケットのロバストな認証および暗号化を提供するＩＰセキュリティ機能である。

一方、ＰＡＡがアクセスルータと同一場所に配置されない場合、ＰＡＮＡはクライアントの認証のために常に使用される。ＰＡＮＡがクライアント認証に使用される場合、認証手続きは前のセクション中のステップ３から継続する。

４．ＰａＣは、ＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージに応答してＰＡＡにＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージを送る。ＰａＣは、ＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージ内に所望のサービスネットワークについての情報を挿入することにより、それがアクセスしたい１つ又は複数のサービスネットワークを指定しうる。
５．ＰＡＡは、ＰＡＮＡ−Ａｕｔｈ−Ｒｅｑｕｅｓｔメッセージを送り、ＥＡＰ（Extensible Authentication Protocol：拡張認証プロトコル）メッセージおよびＰＡＮＡセッション識別子を送る。ＰＡＮＡ−Ａｕｔｈ−Ｒｅｑｕｅｓｔメッセージは、進行中の認証に関係しているサービスネットワークについての情報を含むことができる。ＥＡＰは、トークンカード、ワンタイムパスワード、証明書、公開鍵認証、およびスマートカードのような複数の認証方法をサポートする認証用の一般的なプロトコルである。認証の目的は、クライアント又はユーザの身元を確認することである。
６．ＰａＣは、ＰＡＮＡ−Ａｕｔｈ−Ｒｅｑｕｅｓｔメッセージに応答してＰＡＮＡ−Ａｕｔｈ−Ａｎｓｗｅｒメッセージを返し、ＥＡＰメッセージを伝える。
７．ＥＡＰ認証処理が終了するまで、必要な場合には、ステップ５および６が繰り返される。
８．ＥＡＰ認証処理が終了した場合、ＰＡＡは、ＥＡＰ成功／失敗メッセージを含むＰＡＮＡ−Ｂｉｎｄ−ＲｅｑｕｅｓｔメッセージをＰａＣに送る。ＥＡＰ認証が成功して終了する場合、ＰＡＡに関連したアクセスルータのＩＰアドレスのリストが、メッセージ内に追加されて含まれる。ＰＡＡがアクセスルータと同一場所に配置されていない場合、ＰＡＡに関連し、サービスネットワークに接続されたアクセスルータ名のリストが、メッセージ内に追加されて含まれる。ＰＡＮＡ−Ｂｉｎｄ−Ｒｅｑｕｅｓｔは、ＰＡＡがＰａＣへのアクセスを認可したサービスネットワークに関する情報を含んでいる。クライアント認証が失敗すれば、クライアントノードは、どのサービスネットワークへのアクセスも与えられない。
９．ＰａＣは、ＰＡＮＡ−Ｂｉｎｄ−ＡｎｓｗｅｒメッセージをＰＡＡに返す。
１０．ＥＡＰ認証が１つ又は複数のサービスネットワークのために必要とされる場合、ステップ５乃至９が、各サービスネットワークのために繰り返される。

上記シーケンスでは、ＥＡＰマスタセッションキー（ＭＳＫ）を導出可能な少なくとも１つのＥＡＰ認証方法が使用されると仮定する。導出されたＭＳＫは、ＰａＣとＰＡＡの間で共有される。導出したＭＳＫを用いたＥＡＰ認証処理が成功して終了すると、ＰａＣが、サービスネットワークにアクセスを持つことを認可できるように、ＰＡＡは、ＰＡＡに関連し、ステップ４においてＰａＣによって指定されたサービスネットワークに接続された各アクセスルータに、少なくとも以下の情報を送る。
・ＰＡＮＡセッション識別子。
・ＭＳＫから導出されＩＫＥが予め共有された秘密データ。

（アクセスルータへの安全なトンネルを確立すること）
サービスネットワーク広告情報およびクライアントノード認証（広告及び認証のためにＰＡＮＡを使用した場合）の受信に成功するか、又はサービスネットワーク広告情報（ルータディスカバリを用いた場合）を受信すると、クライアントは、ＰＡＡに関連したどのアクセスルータが、どのサービスネットワークに接続されているのかを知る。そして、クライアントは、ＩＰＳｅｃトンネルを確立するために、任意のアクセスルータを用いてＩＫＥを実行することができる。

ＩＫＥは、インターネットセキュリティアソシエーションおよびキーマネジメントプロトコル（ＩＳＡＫＭＰ：Internet Security Association and Key Management Protocol）フレームワーク内で、Ｏａｋｌｅｙキー交換（Oakley key exchange）及びＳｋｅｍｅキー交換（Skeme key exchange）を実施するハイブリッドプロトコルである（ＩＳＡＫＭＰ、Ｏａｋｌｅｙ及びＳｋｅｍｅは、ＩＫＥによって実施されるセキュリティプロトコルである）。ＩＰＳｅｃは、参加するピア間のデータ機密性、データ完全性、およびデータ認証を提供するオープンスタンダードなフレームワークである。ＩＰＳｅｃは、ＩＰ層において、これらセキュリティサービスを提供する。それは、ローカルポリシーに基づいたプロトコルとアルゴリズムの交渉を取り扱い、かつＩＰＳｅｃによって使用される暗号化と認証のキーを生成するためにＩＫＥを使用する。ＩＰＳｅｃは１ペアのホスト間の、１ペアのセキュリティゲートウェイ間の、あるいはセキュリティゲートウェイとホストとの間の、１つ又は複数のデータフローを保護するために使用することができる。

認証が、安全なトンネルの確立段階に入る前に行なわれた場合、認証手続きで導出されたＩＫＥが予め共有されたキーは、ＩＫＥが、ＩＫＥエンドポイントを認証するために使用される（したがって、交渉中には、他のクライアント認証は行なわれない）。クライアントは、ＩＫＥｖ１内のＩＳＡＫＭＰセキュリティアソシエーション（ＩＳＡＭＫＰ ＳＡ）識別子、あるいはＩＫＥｖ２内のＩＫＥ＿ＳＡ識別子として、アクセスネットワーク内のＰＡＮＡセッション識別子あるいは有効なＩＰアドレスを使用することができる。ＩＰアドレスがＩＫＥｖ１内のＩＳＡＫＭＰ ＳＡ識別子として使用される場合、ＩＫＥｖ１メインモードを使用する必要がある。

あるいは、クライアント認証が、安全なトンネルの確立段階に入る前に行なわれなかった場合、ＩＫＥが予め共有されたキーを用いる以外の認証手続きは、ＩＫＥ交渉内に行なわれねばならない。この場合、認証手続きに特有の識別子が使用される。

アクセスルータが、複数のサービスネットワーク（例えば、図１に示すアクセスルータＡＲ２）に接続される場合、ＩＰＳｅｃトンネルを特定のサービスネットワークに結び付けるためのメカニズムが必要である。これによって、アクセスルータは、（１）サービスネットワークのアドレスブロックからＩＰＳｅｃトンネル内部アドレスを割り当て、（２）クライアントとサービスネットワークとの間でパケットを転送することができる。その結び付けは、ＩＰＳｅｃ ＳＡ識別子信用証書として、サービスネットワークについての情報を使用することにより、ＩＫＥ交渉内で作成することができる。このように、図２に示すように、クライアントノードとアクセスルータとの間に、それぞれが、別個のサービスネットワークに向かう複数のＩＰＳｅｃトンネルを確立することが可能である。例えば、アクセスネットワーク全体に対する単一のＰＡＮＡ認証及びセッション識別子、各アクセスルータに対する単一のＰＡＮＡ認証及び識別子、各サービスネットワークに対する単一のＰＡＮＡ認証及び識別子のような複数のスキームを使用することができる。各サービスネットワークに対する認証があるところでは、ＰＡＮＡセッション識別子は、ＩＫＥのための識別子として使用されてもよい。しかし、他の場合では、クライアントは、特定のサービスネットワークに対するＩＫＥのためのユニークな識別子を使用／生成しなければならない。あるいは、他の情報／識別子 交換／交渉が、ＩＫＥの間必要かもしれない。

ＩＫＥｖ２がＩＰＳｅｃトンネルの確立のために使用される場合、クライアントノードとアクセスルータとの間で、それぞれがサービスネットワークに向かう複数のＩＰＳｅｃトンネルを確立することも可能である。アクセスルータが１つのみのサービスネットワークに接続される場合、１つのみの結び付けが存在し、別の識別子が使用されうる。

ＩＰＳｅｃトンネルＳＡの内部アドレスは、トンネルを終了するアクセスルータによって、ＩＫＥ交渉の間に割り当てられるかもしれない。例えば、ＩＫＥｖ２は、ＩＰＳｅｃトンネル内部アドレスを割り当てるために、設定ペイロード交換を定義する。内部アドレスがＩＫＥ交渉内に割り当てられていない場合、ＤＨＣＰは、確立されたＩＰＳｅｃトンネルを通じて行なわれるかもしれない。いずれにせよ、割り当てられたＩＰＳｅｃ内部アドレスは、ＩＰＳｅｃ ＳＡへ向けられたサービスネットワークに有効であるに違いない。例えばサブネットプレフィックス（あるいはネットマスク）、ＤＮＳ（ドメインネームシステム）サーバアドレス、あるいはＤＨＣＰサーバアドレスのようなその他の設定情報が、ＩＫＥ交渉内で割り当てられるかもしれない。更に、クライアントノードがルータである場合、サービスネットワークから委任されたＩＰｖ６プレフィクスは、確立されたＩＰＳｅｃトンネルを経由して、プレフィックス委任オプションを持つＤＨＣＰｖ６を実行することにより割り当てることができる。この場合、委任されたプレフィクスは、クライアントルータが、サービスネットワークへのクライアント−サイドゲートウェイとして役立つ他のクライアントノード内で共有することができる。

アクセスルータは、異なるクライアントノードからのＩＰＳｅｃトンネル、及び／又は同じクライアントノードからのトンネルの間で、差別化されたサービスを提供するために、それが終端するＩＰＳｅｃトンネル上でサービス品質（ＱｏＳ）制御を実行することができる。クライアントノードがＩＫＥ内のＩＰＳｅｃ ＳＡ交渉の間にＱｏＳ情報を指定できるように、サービスネットワークについての広告情報は、ＱｏＳ情報をも含むことができる。

本発明は、同じアクセスネットワーク上のマルチアクセスルータが、同じサービスネットワークに接続することを可能にする。すなわち、アクセスルータ間の負荷平準が可能である。ＰＡＮＡがネットワーク広告と認証とを提供するのに使用される場合、認証過程中に、ＰＡＮＡ−Ｂｉｎｄ−Ｒｅｑｕｅｓｔメッセージに含まれていたアクセスルータのリストは、どのアクセスルータが、どのサービスネットワークに接続されるのかを識別するために使用することができる。

ブロードキャスト及び／又はマルチキャストされたトラフィックは、ＩＰＳｅｃトンネルを経由しても送信される。アクセスルータは、ＩＰＳｅｃトンネルを経由してブロードキャスト／マルチキャストされたトラッフィックの送信を許可及び禁止するための設定オプションを持つこともできる。

アクセスルータに対するＩＰＳｅｃトンネルを持っているクライアントノードは、アクセスネットワーク内の他のノードへのパケットの送受信のためにＩＰＳｅｃトンネルを使用しないかもしれない。そのようなパケットは、アクセスネットワーク内のローカルプリンタへの印刷データのようなアプリケーショントラッフィックを含んでいる。

（使用法シナリオ）
本発明がＤＳＬまたは無線ＬＡＮホットスポット中で使用される場合、サービスネットワークは、ＩＳＰネットワークあるいはＮＡＰ交換ネットワークになりえる。アクセスネットワークは、一般に、単一のＮＡＰによって所有される。しかし、複数のＮＡＰが、同じアクセスネットワークを共有することも可能である。単一のＮＡＰ３０１がアクセスネットワーク１０１を所有する場合における物理的トポロジの例が、図３に示される。

この例では、クライアントノード１０３は、ＩＳＰ１，ＩＳＰ２，ＩＳＰ３、あるいはＮＡＰ３０１によって所有されたサービスネットワークのうちの１つ、幾つか、又は全てに対する接続を選択的に確立することができる。ＰＡＮＡがクライアントノードを認証するために使用される場合、恐らく異なるクライアント識別子を使用することによって、単一のＰＡＮＡセッションにおいて、１つはＩＳＰに対する、もう１つはＮＡＰに対する２つのＥＡＰ認証を実行することが可能である。クライアントノード１０３が、異なるＩＳＰへの複数のＩＰＳｅｃトンネルを生成する場合、マルチホーミングが達成される。各プロバイダ（ＩＳＰまたはＮＡＰかの何れか）のために、プロバイダの識別子および名前は、サービスネットワーク情報として使用されてもよい。

ＶＬＡＮ用途のための物理的なトポロジの例が、図４乃至図８に示される。ＶＬＡＮトポロジは主として企業ネットワーク設定に使用される。図４に示す例では、ネットワーク内に形成された４つのＶＬＡＮがある。アクセスＶＬＡＮ４０１は、クライアントノード１０３のためのアクセスネットワークとして使用される。サービスＶＬＡＮ４０２乃至４０４は、サービスネットワークとして使用されるＶＬＡＮである。サービスＶＬＡＮへの接続は、クライアントノード１０３と、アクセスルータＡＲ１，ＡＲ２との間で確立されたＩＰＳｅｃトンネルのみを通ってなされる（ＶＬＡＮが同じ物理的なネットワーク内に構成される場合、アクセスルータは仮想ルータかもしれない）。各サービスＶＬＡＮについて、ＶＬＡＮの識別子および名前は、サービスネットワーク情報として使用される。

更に、アクセスネットワークが、図５に示すようなマルチアクセスＶＬＡＮ ５０１，５０２からなることが可能である。この構成は、アクセスネットワーク内のトラフィックを分割するのに役立つ（レガシー（ｌｅｇａｃｙ)ＶＬＡＮネットワークが行うように）。これによって、クライアントノードによるサービスＶＬＡＮへの動的な結び付け生成を可能にしながら、クライアントノード１０３は、アクセスＶＬＡＮ５０１を経由してサービスＶＬＡＮ４０２乃至４０４への接続を確立することができる。また、クライアントノード１０４は、アクセスＶＬＡＮ５０２を経由してサービスＶＬＡＮ４０２乃至４０４への接続を確立することができる。

本発明が、仮想アクセスポイント（ＶＡＰ）に基づいたレイヤ２動的ＶＬＡＮモデルと共にどのように使用されるかを、図６および図７を参照して説明する。仮想アクセスポイントは物理的なアクセスポイント（ＡＰ）内に存在する論理的な実体である。単一の物理的ＡＰが複数の仮想ＡＰをサポートする場合、たとえ単一の物理的ＡＰだけが存在しても、仮想ＡＰは、クライアント局に対して、それぞれ独立した物理的ＡＰとして見える。例えば、単一の物理的ＡＰの中に複数の仮想ＡＰが存在し、それぞれが、別個のＳＳＩＤおよび機能セットを広告しうる。ＶＬＡＮを識別するための情報として、ＩＥＥＥ ８０２．１１ ＳＳＩＤが使用されると仮定される。以下に説明するように、本発明の場合、２つの代替構成がある。これら２つの構成は組み合わせることもできる。

ＡＰがＩＰＳｅｃ（又はＩＥＥＥ ８０２．１１ｉ）ほど強い安全なアクセスメカニズムと、動的なＶＬＡＮ（すなわち、複数のＶＬＡＮを取り扱う能力）との両方をサポートする場合、図６に示すように、別個のＳＳＩＤが各サービスＶＬＡＮに関係しているサービスＶＬＡＮに、ＡＰを直接（仮想的に）接続することが可能である。クライアントノード１０３は、有線イーサネット接続６０１を経由してサービスＶＬＡＮ１乃至３に接続するために、本発明を使用する。一方、無線クライアントノード１０４（ＩＥＥＥ ８０２．１１ｉをサポートする）は、仮想ＡＰ３への無線接続６０２を経由して、サービスネットワークへ直接接続することができる。しかしながら、無線クライアントは、複数の無線ＬＡＮカードを持っていないのであれば、（あるいは単一の物理層上のある種の「仮想局」インタフェースをサポートしていないのであれば）、複数のサービスＶＬＡＮに同時に接続することはできないだろう。

ＡＰが動的なＶＬＡＮ機能をサポートするが、ＩＰＳｅｃほど強い安全なアクセスメカニズムをサポートしない場合、ネットワークアドミニストレータは、ＡＰが、サービスＶＬＡＮへ直接接続されることを許可しないだろうが、図７に示すように、アクセスＶＬＡＮには接続されうる。この場合、クライアントノード１０３（１０４）は、先ず、仮想ＡＰ７０１（７０２）を経由してアクセスＶＬＡＮ５０１（５０２）に接続し、次に、サービスＶＬＡＮ４０２乃至４０４への接続を確立するために本発明を使用する。

図８に示すように、クライアントノード１０３は、遠隔ネットワークサイト８０１からサービスＶＬＡＮ４０２乃至４０４に接続したい場合もある。もしもクライアントノード１０３が、サービスプロバイダ広告情報を受信できるように、ＰＡＡ又はアクセスルータＡＲ１，ＡＲ２のＩＰアドレスを知っていれば、本発明は、そのような状況をサポートすることができる。これは、アクセスルータもＰＡＡも、遠隔ネットワークへプロバイダ情報をブロードキャストできないからである。クライアントノードが、ＤＭＺ（デミリタライズドゾーン。例えば企業プライベートＬＡＮのような信頼されたネットワークと、公共のインターネットのような信頼されていない外部ネットワークとの間に位置するコンピュータ又は小さなサブネットワーク）内のファイアウォールを経由して外部ネットワークから内部ネットワークに接続される場合、次のシナリオが示される。

・内部ネットワーク管理ポリシーが、外部ネットワークからの全てのアクセスは、ＤＭＺ（例えば、サービスＶＬＡＮのアクセスルータが内部ネットワーク内に配置されている所）内のＩＰＳｅｃゲートウェイを経由してＩＰＳｅｃを用いて保護されるべきであると命じる場合。この場合、サービスＶＬＡＮのアクセスルータとクライアントノードとの間に確立されたＩＰＳｅｃトンネルを経由して送信されたパケットは、クライアントノードとＩＰＳｅｃＶＰＮゲートウェイとの間で確立された別のＩＰＳｅｃトンネルで保護される（二重のＩＰＳｅｃ）。

・内部ネットワーク管理ポリシーが、外部ネットワークからの全てのアクセスは、ＩＰＳｅｃで保護されるべきであると命ずるが、ＩＰＳｅｃゲートウェイは、ＤＭＺにある必要がない場合。この場合、追加のＩＰＳｅｃトンネルは必要ではない。

また、本発明は、次の方法でモバイルＩＰ（例えばＭＩＰｖ４）と共に使用することができる。第１に、本発明によって、クライアントノードは、１つのサービスネットワークから別のサービスネットワークへと動的に切り換えることができるので、切り換えが生じる場合、対応するノードへの継続的な接続を必要とするアプリケーションのために安定したＩＰアドレスが必要とされる（この切り換えは、物理的に移動しないモバイルクライアントノードにおいて生じうることが注目されよう）。モバイルＩＰの使用によって、ホームアドレスはそのような安定したＩＰアドレスとして使用することができる。

第２に、サービスネットワークに接続されたモバイルクライアントノードは、１つのアクセスネットワークによってカバーされたエリアから、別のアクセスネットワークによってカバーされたエリアへと物理的に移動するかもしれない。ここでは、アクセスネットワークは、サービスネットワークのアクセスネットワーク、あるいは遠隔ネットワーク内のアクセスネットワークかもしれない。モバイルＩＰを使用することによって、クライアントノードは、アプリケーション接続を失わずに、異なるアクセスネットワーク間をシームレスに移動することができる。

何れの場合でも、パケット内にホームアドレスを含んでいるＩＰヘッダは、ＩＰＳｅｃトンネルヘッダー内に見える。ＤＭＺを経由して外部サイトから内部サービスネットワークにクライアントノードが接続される場合には、外部移動をサポートするために追加のモバイルＩＰが使用されてもよい。

ＶＬＡＮシナリオでは、モバイルクライアントノードが、複数のサービスＶＬＡＮへの接続を確立し、各サービスＶＬＡＮが、自身のホームエージェントを使用する場合、クライアントノードは、複数のホームアドレスを使用して、並列して２つのモバイルＩＰを実行するかもしれない。上記議論は、モバイルＩＰｖ６がモバイルＩＰの代わりに使用される場合にも当てはまる。

（本発明の広い範囲）
本発明の例示的な実施例がここに記載されたが、本発明は、ここに記載された種々の好適な実施例に制限されず、本開示に基づいて当該技術分野における者によって理解されるであろう変形、省略、組み合わせ（例えば様々な実施例にわたった局面の）、適用、及び／又は変更を有する任意及び全ての実施例を含んでいる。請求項における制限は、請求項で使用された文言に基づいて広く解釈されるべきであり、本明細書で記載された例、又は応用の実施内に限定されない。これら例は、非限定的であると解釈されるべきである。例えば、本開示において、用語「好適に（preferably）」は、非限定的であり、「好適であるが、それに限定されない」ことを意味する。ミーンズ・プラス・ファンクション又はステップ・プラス・ファンクション限定は、その限定の中に以下の全ての条件が存在する特定の請求項に限って適用される。ａ）「〜する手段（means for）」又は「〜するステップ（step for）」（すなわち、〜のステップではない）が明示的に列挙されている。ｂ）対応する機能が明示的に列挙されている。ｃ）構造、材料、又はその構造をサポートする動作が列挙されていない。本開示、および出願の実施において、用語「本発明」あるいは「発明」は、本開示内の１つ又は複数の局面に対する参照として使用される。本発明あるいは発明という用語は、重大場面の見出しとして不適切に解釈されるべきではなく、全ての局面又は実施例にわたって適用されると不適切に解釈されるべきではなく（すなわち、本発明は多くの局面及び実施例を持つと解釈されるべきであり）、出願又は請求項の範囲を限定するものとして不適当に解釈されるべきではない。本開示、および出願の実施において、用語「実施例」は、いかなる局面、特徴、プロセス又はステップ、それらの任意の組み合わせ、及び／又はそれらの任意の部分等を記述するために使用することができる。いくつかの例では、様々な実施例が、重複した特徴を含んでいるかもしれない。

図１は、本発明の１つの好適な実施例による物理的なネットワークトポロジの図である。 図２は、図１のトポロジをオーバレイする本発明の１つの好適な実施例による論理的なネットワークトポロジの図である。 図３は、ＩＳＰとＮＡＰを使用した本発明の１つの好適な実施例によるネットワークトポロジの図である。 図４は、アクセスＶＬＡＮとサービスＶＬＡＮとを使用した本発明の１つの好適な実施例によるネットワークトポロジの図である。 図５は、アクセスＶＬＡＮとサービスＶＬＡＮとを使用した本発明の１つの好適な実施例によるネットワークトポロジの図である。 図６は、仮想アクセスポイントを使用した本発明の１つの好適な実施例によるネットワークトポロジの図である。 図７は、仮想アクセスポイントを使用した本発明の１つの好適な実施例によるネットワークトポロジの図である。 図８は、遠隔ネットワークを使用した本発明の１つの好適な実施例によるネットワークトポロジの図である。

Claims (23)

1. クライアントノードをサービスネットワークに動的に接続する方法であって、
   クライアントノードがネットワーク接続をしているアクセスネットワークを準備することと、
   前記アクセスネットワークに対してネットワーク接続しており、少なくとも１つのサービスネットワークに対してネットワーク接続している少なくとも１つのアクセスルータを準備することと、
   前記クライアントノードがアクセスを希望するサービスネットワークを指定するサービスネットワークプロバイダ情報を、前記クライアントノードから受信することと、
   前記クライアントノードを認証することと、
   前記アクセスネットワークを経由して、前記クライアントノードと、前記アクセスルータとの間に通信トンネルを確立し、前記クライアントノードが、前記アクセスネットワークを経由して、前記通信トンネル内で、前記クライアントノードによって指定されたサービスネットワークとデータパケットを送受信できるようにすることと
   の各ステップを含み、
   前記クライアントノードを認証するステップの前段において、ＰＡＮＡプロトコルを用いてサービスネットワークプロバイダ広告情報を、前記クライアントノードに送信する方法。
2. 前記アクセスネットワークに対してネットワーク接続しており、少なくとも２つのサービスネットワークに対してネットワーク接続している第２のアクセスルータを準備するステップを更に含んでなる請求項１に記載の方法。
3. 前記クライアントノードによって指定されたサービスネットワークが、前記第２のアクセスルータに関連している場合、前記確立するステップは更に、前記通信トンネルのセキュリティ関連識別子として、前記指定されたサービスネットワークのサービスネットワーク情報を用いることによって、前記第２のアクセスルータによって関連付けられた前記指定されたサービスネットワークへ前記通信トンネルを結び付けるステップを含む請求項２に記載の方法。
4. 前記アクセスルータは、少なくとも２つのサービスネットワークに対してネットワーク接続をしており、前記方法は更に、前記アクセスネットワークを経由して、前記クライアントノードと前記アクセスルータとの間に第２の通信トンネルを確立し、前記クライアントノードが、前記２つのサービスネットワークの各々と、データパケットを選択的に送受信できるようにするステップを含む請求項１に記載の方法。
5. 前記アクセスネットワークに対してネットワーク接続しており、少なくとも１つのサービスネットワークに対してネットワーク接続している第２のアクセスルータを準備するステップを更に含み、前記アクセスネットワークを経由して、前記クライアントノードと前記第２のアクセスルータとの間に第２の通信トンネルを確立し、前記クライアントノードが、前記通信トンネルを経由して、前記アクセスルータに関連する前記サービスネットワークの各々と、データパケットを選択的に送受信できるようにするステップを更に含む請求項１に記載の方法。
6. 前記サービスネットワークプロバイダ広告情報を送信するステップは、ＰＡＮＡプロトコルを使用するステップを含む請求項１に記載の方法。
7. 前記サービスネットワークプロバイダ広告情報を送信するステップは、ルータディスカバリメカニズムを使用するステップを含む請求項１に記載の方法。
8. 前記少なくとも１つのサービスネットワークは、サービスプロバイダネットワークを含む請求項１に記載の方法。
9. 前記少なくとも１つのサービスネットワークは、ネットワークアクセスプロバイダネットワークを含む請求項１に記載の方法。
10. 前記少なくとも１つのサービスネットワークは、ＶＬＡＮサービスネットワークを含む請求項１に記載の方法。
11. クライアントノードが経由して前記ＶＬＡＮサービスネットワークに直接接続する仮想アクセスポイントを、前記ＶＬＡＮサービスネットワーク内に準備するステップを更に含む請求項１０に記載の方法。
12. 前記アクセスネットワークは、ＩＰアクセスネットワークを含む請求項１に記載の方法。
13. 前記アクセスネットワークは、ＶＬＡＮアクセスネットワークを含む請求項１に記載の方法。
14. 前記ＶＬＡＮアクセスネットワークは、複数のＶＬＡＮアクセスサブネットワークへ分割される請求項１３に記載の方法。
15. クライアントノードが経由して前記ＶＬＡＮアクセスネットワークに接続する仮想アクセスポイントを、前記ＶＬＡＮアクセスネットワーク内に準備するステップを更に含む請求項１３に記載の方法。
16. 前記クライアントノードは、遠隔ネットワークを経由して、前記アクセスネットワークに接続する請求項１に記載の方法。
17. 前記通信トンネルを確立するステップは、ＩＰＳｅｃキー管理プロトコルを使用するステップを含む請求項１に記載の方法。
18. 前記クライアントノードは、モバイルノードであり、前記アクセスネットワークへの前記クライアントノードのネットワーク接続は、無線接続である請求項１に記載の方法。
19. 前記通信トンネルは、安全な通信トンネルである請求項１に記載の方法。
20. ＩＰＳｅｃキー管理プロトコルを使用して、前記安全な通信トンネルを確立するステップを更に含む請求項１９に記載の方法。
21. サービスネットワークにクライアントノードを接続する方法であって、
    少なくとも２つのサービスネットワークに対するネットワーク接続を有するアクセスルータを準備することと、
    前記クライアントノードがアクセスを希望するサービスネットワークを指定するサービスネットワークプロバイダ情報を、前記クライアントノードから受信することと、
    前記クライアントノードを認証することと、
    アクセスネットワークを経由して、前記クライアントノードと、前記アクセスルータとの間に通信トンネルを確立し、前記クライアントノードが、前記アクセスネットワークを経由して、前記通信トンネル内で、前記クライアントノードによって指定されたサービスネットワークとデータパケットを送受信できるようにすることと、
    前記通信トンネルのセキュリティ関連識別子として、前記指定されたサービスネットワークのサービスネットワーク情報を用いることによって、前記指定されたサービスネットワークへ前記通信トンネルを結び付けることと
    の各ステップを含み、
    前記クライアントノードを認証するステップの前段において、ＰＡＮＡプロトコルを用いてサービスネットワークプロバイダ広告情報を、前記クライアントノードに送信する方法。
22. 前記通信トンネルは安全な通信トンネルである請求項２１に記載の方法。
23. ＩＰＳｅｃキー管理プロトコルを使用して、前記安全な通信トンネルを確立するステップを更に含む請求項２２に記載の方法。

Images