KR20030035587A

KR20030035587A - 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스처리장치 및 방법

Info

Publication number: KR20030035587A
Application number: KR1020010067700A
Authority: KR
Inventors: 임형묵; 정종명; 김이한
Original assignee: 주식회사 케이티
Priority date: 2001-10-31
Filing date: 2001-10-31
Publication date: 2003-05-09
Also published as: KR100737140B1

Abstract

본 발명은 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리장치 및 방법에 관한 것으로서, 이동통신에서 가설 사설망 서비스를 위해 전송데이터를 암호화 시켜 패킷에 대한 인증, 신뢰성 및 무결성을 제공하는 인터넷 보안 프로토콜(IP security protocol, IPSec)과 함께 이동단말의 이동성을 지원하도록 이동 인터넷 프로토콜을 이용하고, 홈 에이전트와 외부 에이전트간의 망대망 터널링 방식 대신에 다중 프로토콜 라벨 스위칭(multi protocol label switching, MPLS) 교환방식으로 터널링을 수행하도록 함으로써, 고속 패킷 라우팅을 할 수 있다.

Description

이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리장치 및 방법{THE PROCESSING APPARATUS AND METHOD FOR PROVIDING INTERNET PROTOCOL VIRTUAL PRIVATE NETWORK SERVICE ON MOBILE COMMUNICATION}

본 발명은 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리장치 및 방법에 관한 것으로서, 특히 이동통신에서 가상 사설망 서비스를 위해 전송데이터를 암호화 시켜 패킷에 대한 인증, 신뢰성 및 무결성을 제공하는 인터넷 보안 프로토콜(IP security protocol, IPSec)과 함께 이동단말의 이동성을 지원하도록 이동 인터넷 프로토콜을 이용하고, 홈 에이전트와 외부 에이전트간의 망대망 터널링 방식 대신에 다중 프로토콜 라벨 스위칭(multi protocol label switching, MPLS) 교환방식으로 터널링을 수행하도록 함으로써, 고속 패킷 라우팅을 할 수 있도록 하는 장치 및 방법에 관한 것이다.

일반적으로 기존의 이동통신에서 가상 사설망 서비스 처리방법은 이동단말에 IPSec을 탑재하여 서비스를 제공하는데, 사설 주소를 공인 주소로 변경하는 망 주소 변환기능(Network Address Translation, NAT)과 함께 단대단 인증을 사용하는 경우, 인증 헤더(Authentication Header, AH) 프로토콜에서 제공하는 데이터 무결성에 위배되어 데이터인증을 할 수 없게 되고, 이동단말의 이동성을 제대로 지원 못하는 단점이 있어, 이동통신 환경 하에서 최적화가 되지 않아 IPSec만을 이용하여 가상 사설망 서비스를 제공하기에 문제점이 있었다.

따라서, 본 발명은 상기 종래 기술의 문제점을 해결하기 위하여 창안한 것으로서, 이동통신에서 가설 사설망 서비스를 위해 전송데이터를 암호화 시켜 패킷에 대한 인증, 신뢰성 및 무결성을 제공하는 인터넷 보안 프로토콜(IP security protocol, IPSec)과 함께 이동단말의 이동성을 지원하도록 이동 인터넷 프로토콜을 이용하고, 홈 에이전트와 외부 에이전트간의 망대망 터널링 방식 대신에 다중 프로토콜 라벨 스위칭(multi protocol label switching, MPLS) 교환방식으로 터널링을 수행하도록 함으로써, 고속 패킷 라우팅을 할 수 있도록 하는 장치 및 방법을 제공하는데 그 목적이 있다.

도 1은 본 발명 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리장치의 구성을 간략하게 보인 구성도.

도 2는 본 발명에 따른 가상 사설망 서비스 처리를 위한 이동 IP 등록 및 터널 형성 과정을 보인 흐름도.

도 3은 본 발명에 따른 이동 IP 내부등록과 터널설정 흐름을 보인 예시도.

도 4는 본 발명에 따른 인트라넷 접속 흐름을 보인 예시도.

도 5는 본 발명에 따른 데이터그램 전송 과정을 보인 흐름도.

도 6은 본 발명에 따른 FA 이동 시 데이터그램 전송 과정을 보인 흐름도.

도 7은 본 발명에 따른 GFA 이동 시 데이터그램 전송 과정을 보인 흐름도.

********** 도면의 주요 부분에 대한 부호 설명 **********

11 : 이동단말 12 : 기지국(또는 AP, Access Point)

13 : 서비스 가상 사설망 지원노드/외부 에이전트(SVSN/FA)

14 : 게이트웨이 가상 사설망 지원노드/게이트웨이 외부 에이전트 (GVSN/GFA)

15 : 게이트웨이 가상 사설망 지원노드/홈 에이전트(GVSN/HA)

16 : 인트라넷 서버 17 : 상대 이동단말(Correspond Node)

이와 같은 목적을 달성하기 위한 본 발명은 이동통신 가입자에게 패킷에 대한 인증, 신뢰성 및 무결성과 이동단말의 이동성을 제공하는 가상 사설망 서비스 처리장치에 있어서, 무선망(CDMA, GSM, WLAN 등)에서 기업 내 인트라넷 서버에 접속할 수 있도록 인터넷 보안 프로토콜(IPSec) 클라이언트 소프트웨어를 탑재하여 가상 사설망 서비스를 제공하는 이동단말과; 패킷 데이터 처리를 위한 이동단말의루팅 정보관리, 인증 및 접근 제어 기능을 수행하고, 방문 망에서 이동단말에게 임시(care-of) 주소를 할당하며, 타 서브넷에서 통신하려는 상기 이동단말에게 원래 소속된 자신의 서브넷으로 접근할 수 있도록 하는 서비스 가상 사설망 지원노드/외부 에이전트(SVSN/FA)와; 가상 사설망 게이트웨이로 외부 패킷 교환망과 논리적 인터페이스를 담당하고, 사설 주소를 공인 주소로 변경하는 망 주소변환(NAT) 기능을 수행하며, 상기 이동단말과 IPSec 터널링을 위한 루팅 정보 및 이동단말과 외부 에이전트(FA)가 할당한 임시 주소 리스트를 관리하는 게이트웨이 가상 사설망 지원노드/게이트웨이 외부 에이전트(GVSN/GFA)와; VPN 게이트웨이로 외부 패킷 교환망과 논리적 인터페이스를 담당하고, 상기 GVSN/GFA로 다중 프로토콜 라벨 스위칭(MPLS) 터널링을 위한 루팅 정보 및 이동단말과 GFA가 할당한 임시 주소 리스트를 관리하는 기능 및 이동단말의 이동성을 지원하기 위한 이동단말의 주소와 GFA 주소 쌍인 이동성 결합(Mobility Binding)을 유지하는 게이트웨이 가상 사설망 지원노드/홈 에이전트(GVSN/HA)로 구성한 것을 특징으로 한다.

그리고, 본 발명의 방법에 있어서는, 새로운 이동단말이 무선망에 도착하면 그 이동단말의 무선정보를 브로드캐스트(broadcast)한 후, 방문망에 이동하였을 때 홈 에이전트(HA)에게 이동 IP 등록을 수행하며, 가상 사설망을 형성하기 위해 이동 단말과 GVSN/GFA 간에 보안연계(SA) 협상 및 키 교환을 한 후 SA를 설정하고, GVSN/GFA와 GVSN/HA 간에 MPLS 터널을 형성하도록 하는 단계와; 이동 IP 등록과정에서 이동단말이 같은 방문망에서 외부 에이전트(FA)로 이동하였을 때 GVSN/GFA에게 이동 IP 내부 등록을 수행하고, 이동단말과 GVSN/GFA 간에 SA 협상 및 키 교환을 한 후, SA를 설정하는 단계와; 이동단말이 인터넷 보안 프로토콜(IPSec), MPLS 가상 사설망을 통해 인트라넷에 접속하는 단계와; 통신하고자 하는 상대 이동단말이 요청 이동단말로 데이터그램 전달 시 요청 이동단말과 GVSN/GFA 간은 IPSec 가상 사설망, GVSN/GFA와 GVSN/HA 간에는 MPLS 가상 사설망을 통해 패킷 데이터 서비스를 제공하는 단계와; 이동단말이 같은 방문망에서 다른 FA로 이동하였을 경우 IPSec 및 MPLS 가상 사설망을 통해 루팅 최적화하는 제1 루팅 최적화단계와; 이동단말이 다른 GFA로 이동하였을 경우에 IPSec 및 MPLS 가상 사설망을 통해 루팅 최적화하는 제2 루팅 최적화단계로 이루어진 것을 특징으로 한다.

이하, 첨부된 도면을 참조하여 본 발명에 따른 바람직한 실시예를 상세히 설명한다.

도 1은 본 발명 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리장치의 구성을 간략하게 보인 구성도로서, 이에 도시한 바와 같이 무선망(CDMA, GSM, WLAN 등)에서 기업 내 인트라넷 서버에 접속할 수 있도록 인터넷 보안 프로토콜(IPSec) 클라이언트 소프트웨어를 탑재하여 가상 사설망 서비스를 제공하는 이동단말(11, 17)과; 상기 이동단말(11, 17)과의 통신 또는 이동 중계국의 중계에 의한 통신을 하기 위하여 육상에 개설하여 한 곳에 고정되어 있는 기지국(Access Point, 12)과; 패킷 데이터 처리를 위한 이동단말의 루팅 정보관리, 인증 및 접근 제어 기능을 수행하고, 방문 망에서 이동단말에게 임시(care-of) 주소를 할당하며, 타 서브넷에서 통신하려는 상기 이동단말(11, 17)에게 원래 소속된자신의 서브넷으로 접근할 수 있도록 하는 서비스 가상 사설망 지원노드/외부 에이전트(SVSN/FA, 13)와; 가상 사설망 게이트웨이로 외부 패킷 교환망과 논리적 인터페이스를 담당하고, 사설 주소를 공인 주소로 변경하는 망 주소변환(NAT) 기능을 수행하며, 상기 이동단말(11, 17)과 IPSec 터널링을 위한 루팅 정보 및 이동단말과 외부 에이전트(FA)가 할당한 임시 주소 리스트를 관리하는 게이트웨이 가상 사설망 지원노드/게이트웨이 외부 에이전트(GVSN/GFA 14)와; VPN 게이트웨이로 외부 패킷 교환망과 논리적 인터페이스를 담당하고, 상기 GVSN/GFA로 다중 프로토콜 라벨 스위칭(MPLS) 터널링을 위한 루팅 정보 및 이동단말(11, 17)과 GFA가 할당한 임시 주소 리스트를 관리하는 기능 및 이동단말(11, 17)의 이동성을 지원하기 위한 이동단말(11, 17)의 주소와 GFA 주소 쌍인 이동성 결합(Mobility Binding)을 유지하는 게이트웨이 가상 사설망 지원노드/홈 에이전트(GVSN/HA, 15)와; 인터넷 기술을 응용해서 홈페이지나 전자 우편 시스템, 전자 게시판 등의 서비스를 제공하는 기업 내 통신망을 위한 인트라넷 서버(16)로 구성한다.

또한, 본 발명에서 사용되는 '이동 IP 등록요청'과 '이동 IP 등록응답' 메시지는 인터넷 엔지니어링 태스크 포스(Internet Engineering Task Force, IETF) 알에프씨(Request for Comments, RFC) 2002 문서의 규격을 따르고, '라벨 요청'과 '라벨 응답' 메시지는 IETF RFC 3036 문서의 규격을 따르며, 표 1 ~ 표 5를 통해 각각 이동단말이 현재 연결(attachment)된 위치를 판단하는 '에이전트 통지' 메시지 형식과, '이동 IP 등록 요청' 메시지 형식, '이동 IP 등록응답' 메시지 형식 및 터널을 형성하기 위한 '라벨 요청'과 '라벨 응답' 메시지 형식을 설명한다.

먼저, [표 1]에서와 같이 '에이전트 통지' 메시지 형식은 형태(type), 길이(length), 시퀀스 번호, 수명(life time), 플래그(flags) 및 임시주소로 이루어지며, 이중 형태 필드는 인터넷 제어 메시지 프로토콜(ICMP) 라우터 통지에 대해서 사용되는 여러 가지 확장자를 구분하기 위하여 이동단말에게 허용한 필드로 FA 또는 HA가 ICMP 라우터 통지에서 사용하고 있다는 것을 의미하며(일반적으로 이동 에이전트 통지 확장자의 형태는 '3'이다), 길이 필드는 얼마나 많은 임시주소가 통지되는가에 달려 있고(6 비트 + 4 * N, N은 통지된 임시주소의 개수), 수명 필드는 등록요청을 받아들일 시간(초 단위)을 의미하며, 시퀀스 번호 필드는 에이전트가 초기화 이후 '에이전트 통지' 메시지 전송수이고, 플래그 필드는 통지의 특징에 관해 이동단말에게 알리는데 사용하는데, [표 1]에서 'RBHFMGVL' 중 'R'은 등록요구(Registration Required)를 의미하며, 'B'는 외부 에이전트 비지(busy : 추가적인 이동단말로부터 등록을 받아들이지 않겠다)를 의미하고, 'H'는 에이전트는 HA 서비스를 해주겠다는 의미이며, 'F'는 에이전트는 FA 서비스를 해주겠다는 의미이고, 'M'은 최소 캡슐화(minimal encapsulation) 구현(RFC 2004 : 터널된 데이터그램을 최소 캡슐화로 구현)을 의미하며, 'G'는 GRE 캡슐화 구현(RFC 1701 : 터널된 데이터그램을 GRE 캡슐화로 구현)을 의미하고, 'V'는 반 자콥슨 헤더 요약(van jacobson header compression) 구현(RFC 1144)을 의미하며, 'L'은 지역 터널 관리(local tunnel management : 내부등록을 허용)를 의미한다. 여기서 'F'와 'H'는 서로 배타적이 아니고, 'F' 비트가 설정되지 않는다면 'B' 비트는 설정되지 않으며, 또한 FA는 새로운 이동단말에 대해서 서비스를 제공하지 못할 만큼 바쁘더라도 '에이전트 통지' 메시지를 이동단말에게 전송하며, 임시주소 필드에서 통지된 FA 임시주소는 상기 FA에 의해 제공되고, 만약 'F' 비트가 설정되어 있는 경우에는 최소 한 개 이상의 임시주소가 있어야 한다.

'이동 IP 등록요청' 메시지는 [표 2]에서와 같이 형태, 플래그, 수명, 홈 주소, 홈 에이전트, 임시주소, 식별자(identification) 및 확장자(extensions)로 이루어지는데, 형태 필드는 등록요청을 나타내며(값은 '1'), 플래그 필드는 'SBDMGV(rsv)'로 이루어지며, 이중 'S'는 동시결합(simultaneous bindings : S 비트가 '1'로 설정되어 있으면 HA에게 이동단말의 이전 이동성결합을 유지해달라고 요청한다)을 의미하고, 'B'는 브로드캐스트 데이터그램(broadcast datagrams : B 비트는 이동단말이 브로드캐스트 데이터그램을 HA에게 달라고 요청하는데 사용한다)을 의미하며, 'D'는 이동 노드의 디캡슐화(de-capsulation by mobile node : 이동단말이 임시주소로 전송하는 데이터그램을 캡슐해제 하는데 사용된다)를 의미하고, 나머지 'M'~'V'는 상기 표 1의 설명과 동일하다. 그리고 수명 필드는 등록 만료되기 전까지의 시간(초 단위)을 의미하며, 홈 주소 필드는 이동단말의 IP 주소이고, 홈 에이전트 필드는 HA 이동단말의 IP 주소이며, 임시주소 필드는 터널의 끝을가리키는 IP 주소이고, 확인 필드는 이동단말에 의해 만들어진 64비트 번호로 등록 요청과 등록 응답이 매치(match)되는지 여부 즉, 재방지 보안(replay protection)에 사용하며, 확장자 필드는 하나 또는 이상의 확장자들이 있다는 것을 의미하고, 모든 등록요청(registration request)에는 반드시 이동 홈 인증 확장자가 포함되어야 한다.

'이동 IP 등록응답' 메시지 형식은 [표 3]에 도시한 바와 같이 형태, 코드, 수명, 홈 주소, 홈 에이전트, 확인 및 확장자로 이루어지는데, 이중 형태 필드는 요청응답이고(값은 '3'), 코드 필드는 등록요청의 결과를 가리키며, 결과에 따른 값들로 나타내는데, 그 값들이 의미하는 것은 다음과 같다.

즉, '0'인 경우에는 등록 인정(registration accepted)을 의미하며, FA에 의해 등록이 거부될 때 '66'은 부족한 자원(insufficient resources)을 의미하고, '69'는 통지 한정(lifetime request > advertised limited)을 의미하며, '70'은 장애 형태 요구(poorly formed request)를 의미하고, '71'은 장애 형태 응답(poorlyformed reply)을 의미하며, '88'은 홈 에이전트 도착불능을 의미하고, HA에 의해 등록이 거부될 때 '130'은 부족한 자원(insufficient resources)을 의미하며, '131'은 이동노드 실패 인증(mobile node failed authentication)을 의미하고, '133'은 등록 확인 부정합(registration identification mismatch)을 의미하며, '134'는 장애 형태 요구(poorly formed request)를 의미하고, '136'은 홈 에이전트 주소(unknown home agent address)를 의미한다.

또한, 수명 필드는 만약 등록이 받아들여졌다면 등록이 만료되기 전까지의 남은 시간(초)을 의미하며, '0'인 경우에는 이동단말이 등록취소(deregistered) 되었음을 나타내고, 등록이 거절되었다면 이 영역은 무시된다. 홈 주소 필드는 이동단말의 IP 주소이고, 홈 에이전트 필드는 이동단말 HA의 IP 주소이며, 혹인 필드는 재방지 보안에 사용한다.

'라벨 요청' 메시지 형식은 [표 4]에 도시한 바와 같이 메시지 형태, 메시지 길이, 메시지 ID, 포워딩 등가등급(forwarding equivalence classes, FEC) 형태 길이 값(type length value, TLV) 및 임의의 파라미터(optional parameters)로 이루어지는데, 이중 메시지 형태 필드는 '0x0401' 이면 '라벨 요청' 메시지임을 나타내며, 메시지 길이 필드는 메시지의 길이를 나타내고, 메시지 ID 필드는 이 메시지를 식별하기 위한 식별자이며, 라벨은 FEC와 결합하고 FEC TVL은 FEC 항목을 인코드하며, 임의의 파라미터 필드는 홉(hop) 카운트 TLV, 경로 TLV를 포함한다.

마지막으로, '라벨 응답' 메시지 형태는 [표 5]에 도시한 바와 같이 메시지 형태, 메시지 길이, 메시지 ID, FEC TLV, 임의의 파라미터 및 라벨 TLV로 이루어지는데, 이중 메시지 형태 필드는 '0x0400' 이면 '라벨 응답' 메시지임을 나타내며, 라벨 TLV 필드는 FEC 라벨 매핑의 라벨 구성 요소를 명시한다.

이상에서와 같이 구성한 본 발명에 따른 일실시예의 동작 과정을 설명하면 다음과 같다.

도 2는 본 발명에 따른 가상 사설망 서비스 처리를 위한 이동 IP 등록 및 터널 형성 과정을 보인 흐름도로서, 이에 도시한 바와 같이 이동단말(11)이 새로운 무선망에 도착하면 기지국(12)으로부터 브로드캐스트 받은 후, 이동단말(11)은 '접근점 이름(Access Point Name, APN)', '요구 패킷 데이터 프로토콜(Packet Data Protocol, PDP) 주소' 파라미터 등을 포함한 'PDP 문맥 요구 활성화' 메시지를 SVSN/FA(13)로 전송한다.

상기 SVSN/FA(13)은 이동단말(11)이 전송한 'APN'을 가지고 해당되는 GVSN/GFA(14)로 'PDP 문맥 요구 작성' 메시지를 전송하며, PDP 문맥이 성공적으로 생성되었다는 'PDP 문맥 응답 작성' 메시지를 SVSN/FA(13)으로 전송한다.

이에 따라 상기 SVSN/FA(13)는 상기 이동단말(11)에게 요청한 PDP 문맥이 승인되었다는 'PDP 문맥 수용 활성화' 응답메시지를 전송하고, 정기적으로 '에이전트 통지' 메시지를 브로드캐스트한다.

이후, 상기 이동단말(11)이 등록 방문망에 처음 이동하였을 때 SVSN/FA(13)에게 '이동 IP 등록요청' 메시지를 보낸 다음 GVSN/GFA(14)에게 '이동 IP 등록요청' 메시지를 포워딩(forwarding)한다.

만일, GVSN/GFA(14)는 FA에게 얻은 임시주소가 라우팅할 수 없는 주소이면 홈망과 연결성을 잃어버리기 때문에 'NAT'를 통해 라우팅이 가능한 주소로 변환하여 홈망에 있는 HA에게 '이동 IP 등록요청' 메시지를 전송하여 이동단말(11)의 IP주소와 GFA의 주소를 HA에게 등록한다. 그러면 HA는 GVSN/GFA(14)에게 이동 IP 등록이 성공적으로 수행되었다는 '이동 IP 등록응답' 메시지를 포워딩시키고, '이동 IP 등록응답' 메시지를 받은 상기 SVSN/FA(13)는 이동단말(11)에게 포워드시킴으로써, 이동 IP 등록절차를 완료한다.

이후, 가상 사설망을 형성하기 위해 IPSec과 MPLS 프로토콜을 이용하여 이동단말(11)이 GVSN/GFA(14) 간 IPSec 터널을 형성하기 위해 SA 협상 및 키교환을 한 후 SA 설정을 수행하는데, SA 협상 및 키교환 과정은 이동단말(11)이 SA와 함께 난수, 자신의 식별자, 디피-헬만(Diffie-Hellman) 공개값을 GVSN/GFA(14)에게 전송하면 이 GVSN/GFA(14)는 이동단말(11)의 식별자로 인증받고, 이동단말(11)이 SA에서 제시한 것 중에서 선택한 SA와 이동단말(11)이 보냈던 난수로 서명한 값 및 디피-헬만 공개값을 전송해 이동단말(11)이 GVSN/GFA(14)의 신원을 검증한다. 이후 SA 설정 과정은 이동단말(11)이 해쉬와 제안 사항들과 함께 난수를 상기 GVSN/GFA(14)로 전송하면 GVSN/GFA(14)는 확인을 위해 이동단말(11)이 전송한 난수의 해쉬를 구하고, 자신의 난수를 만들어 전송하면, 이동단말(11)은 두 난수의 해쉬값을 GVSN/GFA(14)에게 전송하여 이동단말(11)과 두 난수값을 모두 알게 하며, 두 개의 난수(Security Parameter Index, SPI)와 이동단말이 통신 당사자가 서로 인증해서 암호 키를 교환하기 위한 통신 규약(Internet Security Association & Key Management Protocol, ISAKMP) 헤더에 포함시켜 보낸 프로토콜 값들을 결합한 값의 해쉬를 SA 협상 및 키교환 과정에서 얻은 유도키를 이용하여 IPSec 가상 사설망을 위한 사항을 협상하고 키를 재생성한다(상기 SA는 IP에서 가상 사설망을 제공하기전에 송신자와 수신자 사이의 보안 협상하는 것으로, 해당 가설 사설망과 매카니즘을 정의하는 파라미터의 집합이다).

이후, GVSN/HA(15)는 터널을 형성하기 위해 상기 GVSN/GFA(14)로 '라벨 요청' 메시지를 전송하면, GVSN/GFA(14)는 '라벨 요청' 메시지를 수신하여 라벨을 할당한 후 상기 GVSN/HA(15)에게 '라벨 응답' 메시지를 전송한다.

도 3은 본 발명에 따른 이동 IP 내부등록과 터널설정 흐름을 보인 예시도로서, 이에 도시한 바와 같이 이동단말(11)이 새로운 무선망에 도착하면 기지국(12)으로부터 무선정보를 브로드캐스트 받은 후, 'APN', PDP 주소 요구' 파라미터 등을 포함한 'PDP 문맥요구 활성화' 메시지를 SVSN/FA(13)로 전송하면, SVSN/FA(13)는 이동단말(11)이 전송한 'APN'을 가지고 해당되는 GVSN/GFA(14)에게 'PDP 문맥요구 작성' 메시지를 전송한다.

이후, 상기 GVSN/GFA(14)로부터 PDP 작성이 성공적으로 생성되었다는 'PDP 문맥응답 작성' 메시지가 SVSN/FA(13)로 전송되면 SVSN/FA(13)는 이동단말(11)에게 요청한 PDP 작성이 승인되었다는 'PDP 작성승인 활성화' 응답 메시지를 전송하고, 정기적으로 '에이전트 통지' 메시지를 브로드캐스트 한다.

이동단말(11)이 같은 방문망에서 FA 간 이동하였을 경우에 GVSN/GFA(14)는 SVSN/FA(13)에게 '이동 IP 내부등록 요청' 메시지를 전송하고, 이에 따라 SVSN/FA(13)는 상기 GVSN/GFA(14)로 포워드 시킴으로써, 이동단말(11)의 IP 주소와 FA의 주소를 GFA에게 등록한다. 이후 GVSN/GFA(14)는 이동 IP 내부등록이 성공적으로 수행되었다는 '이동 IP 내부등록 응답' 메시지를 SVSN/FA(13)에게 전송하며, 이에 따라 SVSN/FA(13)은 이동단말(11)에게 '이동 IP 내부등록 응답' 메시지를 포워드 시킴으로써, 이동 IP 내부 등록 과정을 수행한다.

만일, FA에게 얻은 임시주소가 라우팅할 수 없는 주소이면 홈망과 연결성을 잃어버리기 때문에 'NAT'를 통해 라우팅이 가능한 주소로 변환하여 이동 IP 내부등록 과정을 수행한 후, 가상 사설망을 형성하기 위해 IPSec 프로토콜을 이용하는데, 이동단말(11)이 GVSN/GFA(14) 간 IPSec 터널을 형성하기 위해 SA 협상 및 키 교환 후에 SA 설정 과정을 수행한다. 이 SA 협상 및 키 교환 과정은 이동단말(11)이 SA와 함께 난수, 자신의 식별자, 디피-헬만 공개값을 GVSN/GFA(14)로 전송하면 GVSN/GFA(14)는 이동단말의 식별자로 인증받고, 이동단말이 SA에서 제시한 것 중에서 선택한 SA와 이동단말이 전송한 난수로 서명한 값과 디피-헬만 공개값을 전송해 이동단말(11)이 GVSN/GFA(14)의 신원을 검증하도록 한다.

또한, SA 설정 과정은 이동단말이 해쉬와 제안사항들과 함께 난수를 GVSN/GFA(14)으로 전송하면 GVSN/GFA(14)는 확인을 위해 이동단말이 전송한 난수의 해쉬를 구하고, 자신의 난수를 만들어 전송하면 이동단말(11)은 두 난수의 해쉬값을 GVSN/GFA(14)에게 전송하여 이동단말(11)과 GVSN/GFA(14) 모두 두 난수값을 알게 하며, 두 개의 난수(Security Parameter Index, SPI)와 이동단말이 통신 당사자가 서로 인증해서 암호 키를 교환하기 위한 통신 규약(ISAKMP) 헤더에 포함시켜 보낸 프로토콜 값들을 결합한 값의 해쉬를 SA 협상 및 키교환 과정에서 얻은 유도키를 이용하여 IPSec 가상 사설망을 위한 사항을 협상하고 키를 재생성한다.

상기에서 '이동 IP 내부등록 요청' 메시지와 '이동 IP 내부등록 응답' 메시지의 형식은 [표 6], [표 7]에 각각 나타내었는데, 이중 '이동 IP 내부등록 요청' 메시지 형식은 표 6에 도시한 바와 같이 형태, 길이, GFA IP 주소 및 확장자로 이루어지는데, 형태 필드는 이동 IP 내부등록 요청이고, 길이 필드는 GFA 주소에 따라 크기가 결정되며, GFA IP 필드는 GFA의 IP 주소를 가리키며, 확장자 필드는 하나 또는 이상의 확장자들이 있다는 것을 의미한다.

그리고, '이동 IP 내부등록 응답' 메시지 형식은 [표 7]에 도시한 바와 같이 형태, 길이, 재방지 보안 스타일과 초기 식별자로 이루어지는데, 재방지 보안 스타일 필드는 이동단말(11)이 바라는 응답 보호 형태를 가리키는 숫자이고, 초기 식별자 필드는 응답 과정을 위해 초기 동기화에 사용하는 타이머-스탬프(timer-stamp) 또는 난수이다.

도 4는 본 발명에 따른 인트라넷 접속 흐름을 보인 예시도로서, 이에 도시한 바와 같이 이동단말(11)이 SA 협상을 통해 미리 형성된 IPSec 터널로 GVSN/GFA(14)와 가상 사설망 접속을 하면 GVSN/GFA(14)는 이동단말(11)이 홈망에서 접속했는지 또는 외부망에서 접속했는지 여부를 판단하여 이 판단결과 홈망에서 이동단말이 접속한 경우에는 바로 인트라넷에 접속을 시도하고, 만약 외부망에서 접속을 했을 경우에는 GVSN/GFA(14)와 GVSN/HA(15) 간에 미리 형성된 MPLS 터널을 통해 MPLS 가상 사설망 접속을 한 후 인트라넷에 접속을 시도한다.

도 5는 본 발명에 따른 데이터그램 전송 과정을 보인 흐름도로서, 이에 도시한 바와 같이 이동단말(11), SVSN/FA(13), GVSN/GFA(14) 및 GVSN/HA(14) 사이에 IPSec 와 MPLS 프로토콜을 통해 터널이 형성된 상태에서 상대 이동단말(17)이 데이터그램을 이동단말(11)에게 전송하려면 우선 이동단말(11)의 현재 위치를 파악하기 위해 IPSec 터널된 데이터그램을 전송하면 GVSN/HA(15)는 IPSec 터널된 데이터그램을 디터널링 한 후, GFA의 임시주소와 이동단말(11)의 IP 주소로 구성된 이동성결합을 검색하여 현재 위치하고 있는 GVSN/GFA(14)에게 MPLS 터널된 데이터그램을 전송한다. MPLS 터널된 데이터그램을 수신한 GVSN/GFA(14)는 MPLS 터널된 데이터그램을 디터널링 한 후, FA 임시주소와 이동단말(11)의 IP 주소로 구성된 이동성결합을 검색하여 이동단말(11)이 위치하고 있는 SVSN/FA(13)에게 IPSec 터널된 데이터그램을 전송하며, SVSN/FA(13)는 페이징을 통해 현재의 이동단말(11)의 위치를 파악하고, IPSec 터널된 데이터그램을 이동단말(11)에게 전송한다.

도 6은 본 발명에 따른 FA 이동 시 데이터그램 전송 과정을 보인 흐름도로서, 이에 도시한 바와 같이 이동단말(11), SVSN/FA(13), GVSN/GFA(14) 및 GVSN/HA(15) 사이에 IPSec와 MPLS 프로토콜을 통해 터널이 형성된 상태에서 상대 이동단말(17)이 데이터그램을 이동단말(11)에게 전송하려면 먼저 IPSec 터널된 데이터그램을 GVSN/HA(15)에게 전송하면 GVSN/HA(15)는 IPSec 터널된 데이터그램을 디터널링 한 후, GVSN/GFA(14)로 MPLS 터널된 데이터그램을 전송하며, GVSN/GFA(14)는 MPLS 터널된 데이터그램을 디터널링하여 IPSec 터널된 데이터그램을 SVSN/FA(13)로 전송한다. 이때 이동단말(11)이 같은 방문망에서 다른 SVSN/FA로 이동하였다는 것을 감지한 이전 SVSN/FA는 이동한 SVSN/FA에게 IPSec 터널된 데이터그램을 포워드시키고, 이전 SVSN/FA는 GVSN/GFA(14)에게 이동성결합이 변경되었다는 메시지인 '바인딩 갱신' 메시지를 전송하며, 이동단말(11)에게 IPSec 터널된 데이터그램을 전송한다.

상기 '바인딩 갱신' 메시지를 수신한 GVSN/GFA(14)는 FA 임시주소와 이동단말(11)의 주소로 구성된 이동성결합을 갱신하고, 이동단말(11)과 GVSN/GFA(14) 간 IPSec 터널을 형성하기 위해 SA 협상 및 키교환을 한 후 SA 설정 과정을 수행하여 이동단말(11)과 GVSN/GFA(14) 간에 터널을 새로 형성한다. 이후 상대 이동단말(17)이 IPSec 터널된 데이터그램을 GVSN/HA(15)에게 전송하면 GVSN/HA(15)는 IPSec 터널된 데이터그램을 디터널링 한 후, GVSN/GFA(14)에게 MPLS 터널된 데이터그램을전송하며, GVSN/GFA(14)는 MPLS 터널된 데이터그램을 디터널링 하고, 이동성결합을 검색한 후 이동한 SVSN/FA에게 IPSec 터널된 데이터그램을 전송하며, 해당 SVSN/FA(13)는 이동단말(11)에게 IPSec 터널된 데이터그램을 포워드 시킨다.

상기에서 '바인딩 갱신' 메시지는 IETF RFC 3031 문서의 규격을 따르며, 메시지 형식은 [표 8]에 도시한 바와 같다.

즉, 형태, 플래그, 수명, 홈 주소, 임시주소, 식별자 및 확장자로 이루어지는데, 형태 필드는 바인딩 갱신을 의미하고(값은 '18'), 프래그 필드는 'AIMG'로 구성되며, 이중 'A' 비트는 바인딩 확인을 요청하기 위해 '바인딩 갱신' 메시지를 보내는 노드에 의해 설정되며, 'I' 비트는 식별자 필드에 존재하면 '바인딩 갱신' 메시지를 보내는 노드에 의해 설정되고, 'M' 비트는 설정되어 있으면 최소 캡슐화 방법으로 구현을 의미하고, 'G' 비트는 설정되어 있으면 GRE 캡슐화 방법으로 구현을 의미한다. 그리고 수명 필드는 바인딩 캐쉬 목록(binding cache entry)이 만료되기 전까지의 남은 시간(초)을 의미하고, '0'이면 이동단말(11)을 위해 바인딩 캐쉬 목록에 없다는 것을 의미하며, 홈 주소 필드는 바인딩 갱신과 관련된 이동단말의 IP 주소이며, 임시주소 필드는 이동단말의 현재 임시주소이고, 식별자 필드는 재방지 보안에 사용한다.

도 7은 본 발명에 따른 GFA 이동 시 데이터그램 전송 과정을 보인 흐름도로서, 이에 도시한 바와 같이 이동단말(11), SVSN/FA(13), GVSN/GFA(14) 및 GVSN/HA(15) 사이에 IPSec과 MPLS 프로토콜을 통해 터널이 형성된 상태에서 상대 이동단말(17)이 데이터그램을 이동단말(11)에게 전송하려면 먼저 IPSec 터널된 데이터그램을 GVSN/HA(15)에게 전송하면 GVSN/HA(15)는 IPSec 터널된 데이터그램을 디터널링 한 후, GVSN/GFA(14)로 MPLS 터널된 데이터그램을 전송하며, 이때 이동단말(11)이 다른 GVSN/GFA로 이동하였다는 것을 감지한 이전 GVSN/GFA는 이동한 GVSN/GFA에게 MPLS 터널된 데이터그램을 포워드 시키고, 이전 GVSN/GFA는 GVSN/HA(15)에게 이동성결합이 변경되었다는 '바인딩 갱신' 메시지를 보내고, 이동한 GVSN/GFA는 해당 SVSN/FA(13)을 검색하여 MPLS 터널된 데이토그램을 디터널링 한 후, IPSec 터널된 데이터그램을 전송한다. IPSec 터널된 데이터그램을 수신한 SVSN/FA(13)는 이동단말(11)에게 IPSec 터널된 데이터그램을 포워드 시키는 한편,이전 GVSN/GFA는 GFA 임시 주소와 이동단말(11)의 주소로 구성된 이동성결합을 갱신하라는 '바인딩 갱신' 메시지를 수신받은 GVSN/HA(15)는 GFA 임시 주소와 이동단말의 주소로 구성된 이동성 결합을 갱신하고, 이동한 GVSN/GFA에게 '라벨 요청' 메시지를 송신하고, GVSN/GFA은 라벨을 할당하여 '라벨 응답' 메시지를 송신함으로써, GVSN/GFA(14)와 GVSN/HA(15) 간에 MPLS 터널을 새로 형성한다. 이후 터 이동단말(17)이 IPSec 터널된 데이터그램을 GVSN/HA(15)로 전송하면 IPSec 터널된 데이터그램을 수신한 GVSN/HA(15)는 IPSec 터널된 데이터그램을 디터널링 하고, 새로 형성된 MPLS 터널로 이동성결합을 검색한 후, 이동한 GVSN/GFA(14)에게 MPLS 터널된 데이터그램을 전송한다. GVSN/GFA(14)는 MPLS 터널된 데이터구램을 디 터널링 한 후, SVSN/FA(13)에게 IPSec 터널된 데이터그램을 전송하며, 해당 SVSN/FA(13)는 이동단말(11)에게 IPSec 터널된 데이터그램을 포워드 시킨다.

본 발명이 바람직한 실시예를 참조하여 특별히 도시되고 기술되었지만, 본 발명 분야의 당업자는 본 발명 사상과 범위를 벗어남이 없이 다양한 변경이 가능하다는 것을 이해할 수 있을 것이다. 따라서, 본 발명은 특허청구범위에 의해서만 제한된다.

이상에서 설명한 바와 같이, 본 발명 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리장치 및 방법은 IPSec 프로토콜과 이동 IP를 이용하여 이동단말의 이동성을 지원하고, 이동 IP에서 홈 에이전트와 외부 에이전트 간에 망대망 터널링 방법 대신 MPLS 라벨 교환방식으로 터널링을 수행하여 고속 패킷 라우팅을 할 수 있는 등의 효과가 있다.

Claims

이동통신 가입자에게 패킷에 대한 인증, 신뢰성 및 무결성과 이동단말의 이동성을 제공하는 가상 사설망 서비스 처리장치에 있어서,

무선망(CDMA, GSM, WLAN 등)에서 기업 내 인트라넷 서버에 접속할 수 있도록 인터넷 보안 프로토콜(IPSec) 클라이언트 소프트웨어를 탑재하여 가상 사설망 서비스를 제공하는 이동단말과;

패킷 데이터 처리를 위한 이동단말의 루팅 정보관리, 인증 및 접근 제어 기능을 수행하고, 방문 망에서 이동단말에게 임시(care-of) 주소를 할당하며, 타 서브넷에서 통신하려는 상기 이동단말에게 원래 소속된 자신의 서브넷으로 접근할 수 있도록 하는 서비스 가상 사설망 지원노드/외부 에이전트(SVSN/FA)와;

가상 사설망 게이트웨이로 외부 패킷 교환망과 논리적 인터페이스를 담당하고, 사설 주소를 공인 주소로 변경하는 망 주소변환(NAT) 기능을 수행하며, 상기 이동단말과 IPSec 터널링을 위한 루팅 정보 및 이동단말과 외부 에이전트(FA)가 할당한 임시 주소 리스트를 관리하는 게이트웨이 가상 사설망 외부 에이전트(GVSN/GFA)와;

VPN 게이트웨이로 외부 패킷 교환망과 논리적 인터페이스를 담당하고, 상기 GVSN/GFA로 다중 프로토콜 라벨 스위칭(MPLS) 터널링을 위한 루팅 정보 및 이동단말과 GFA가 할당한 임시 주소 리스트를 관리하는 기능 및 이동단말의 이동성을 지원하기 위한 이동단말의 주소와 GFA 주소 쌍인 이동성 결합(Mobility Binding)을유지하는 게이트웨이 가상 사설망 지원노드/홈 에이전트(GVSN/HA)로 구성하는 것을 특징으로 하는 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리장치.
이동통신 가입자에게 패킷에 대한 인증, 신뢰성 및 무결성과 이동단말의 이동성을 제공하는 가상 사설망 서비스 방법에 있어서,

새로운 이동단말이 무선망에 도착하면 그 이동단말의 무선정보를 브로드캐스트(broadcast)한 후, 방문망에 이동하였을 때 홈 에이전트(HA)에게 이동 IP 등록을 수행하며, 가상 사설망을 형성하기 위해 이동 단말과 GVSN/GFA 간에 보안연계(SA) 협상 및 키 교환을 한 후 SA를 설정하고, GVSN/GFA와 GVSN/HA 간에 MPLS 터널을 설정하는 단계와;

이동 IP 등록과정에서 이동단말이 같은 방문망에서 외부 에이전트(FA) 이동하였을 때 GVSN/GFA에게 이동 IP 내부 등록을 수행하고, 이동단말과 GVSN/GFA 간에 SA 협상 및 키 교환을 한 후, SA를 설정하는 단계와;

이동단말이 인터넷 보안 프로토콜(IPSec), MPLS 가상 사설망을 통해 인트라넷에 접속하는 단계와;

통신하고자 하는 상대 이동단말이 요청 이동단말로 데이터그램 전달 시 요청 이동단말과 GVSN/GFA 간은 IPSec 가상 사설망, GVSN/GFA와 GVSN/HA 간에는 MPLS 가상 사설망을 통해 패킷 데이터 서비스를 제공하는 단계와;

이동단말이 같은 방문망에서 다른 FA로 이동하였을 경우 IPSec 및 MPLS 가상 사설망을 통해 루팅 최적화하는 제1 루팅 최적화단계와;

이동단말이 다른 GFA로 이동하였을 경우에 IPSec 및 MPLS 가상 사설망을 통해 루팅 최적화하는 제2 루팅 최적화단계로 이루어진 것을 특징으로 하는 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리방법.
제 2항에 있어서, 상기 이동 IP 등록과 터널설정 과정은,

이동단말이 등록 방문망에 처음 이동하였을 때 SVSN/FA와 GVSN/GFA를 통해 홈 망에 있는 HA에게 '이동 IP 등록요청' 메시지를 보내는 제1 단계와;

이동단말의 IP 주소와 GFA의 주소를 HA에게 등록하는 제2 단계와;

상기 HA로부터 GVSN/GFA와 SVSN/FA를 통해 이동 IP 등록이 성공적으로 수행되었다는 '이동 IP 등록응답' 메시지를 상기 이동단말에 보내는 제3 단계와;

상기 이동 IP 등록절차를 수행한 후, 이동단말과 GVSN/GFA 간 신원을 인증하기 위해 'SA협상 및 키교환' 절차를 수행하는 제4 단계와;

이동단말과 GVSN/GFA 간 데이터 보안을 위해 어떤 보안 프로토콜을 이용하여 수행할 것인가에 대한 SA를 설정하여 IPSec 터널을 형성하는 제5 단계와;

MPLS 터널을 형성하기 위해 GVSN/GFA, GVSN/HA 간에 '라벨 요청'과 '라벨 응답' 메시지를 통해 MPLS 라벨교환 절차를 수행하는 제6 단계를 더 포함하는 것을 특징으로 하는 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리방법.
제 2항에 있어서, 상기 이동 IP 내부등록과 터널설정 과정은,

이동단말이 같은 방문망에서 FA 간 이동하였을 때 SVSN/FA를 통해 '이동 IP내부등록 요청' 메시지를 GVSN/GFA에게 보내는 제1 단계와;

상기 이동단말의 IP 주소와 FA가 할당한 임시 주소를 GFA에게 등록하는 제2 단계와;

상기 GVSN/GFA는 이동 IP 내부등록이 성공적으로 수행되었다는 '이동 IP 내부등록응답' 메시지를 SVSN/FA를 통해 이동단말에게 보내는 제3 단계와;

상기 제3 단계의 동작 수행이 완료된 후, 이동단말과 GVSN/GFA 간 신원을 인증하기 위해 SA 협상 및 키교환 절차를 수행하는 제4 단계와;

이동단말과 GVSN/GFA 간 데이터 보안을 위해 어떤 보안 프로토콜을 이용하여 수행할 것인가에 대한 SA를 설정하여 IPSec 터널을 형성하는 제5 단계를 더 포함하는 것을 특징으로 하는 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리방법.
제 2항에 있어서, 상기 인트라넷 접속단계는

이동단말이 SA 협상을 통해 미리 형성한 IPSec 가상 사설망에 접속하는 제1 단계와;

GVSN/GFA에서 이동단말이 홈 망에서 접속했는지 또는 외부망에서 접속했는지를 판단하는 제2 단계와;

상기 제2 단계의 판단결과 홈 망에서 접속한 경우에는 바로 인트라넷에 접속을 시도하는 제3 단계와;

상기 제2 단계의 판단결과 이동단말이 외부망에 접속을 한 경우에는GVSN/GFA와 GVSN/HA 간에 미리 형성된 MPLS 터널을 통해 MPLS 가상사설망에 접속을 한 후, 인트라넷에 접속을 시도하는 제4 단계를 더 포함하여 이루어진 것을 특징으로 하는 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리방법.
제 2항에 있어서, 상기 제1 루팅 최적화 단계는

이동단말이 같은 방문망에서 다른 FA 이동 시 데이터그램 전달을 위해 SVSN/FA에서 GVSN/GFA에게 이동성결합이 변경되었다는 메시지인 '바인딩 갱신' 메시지를 전송하는 제1 단계와;

상기 '바인딩 갱신' 메시지를 받은 GVSN/GFA에서 FA 임시 주소와 이동단말의 주소로 구성된 이동성결합을 갱신하는 제2 단계와;

상기 이동단말과 GVSN/GFA 간 IPSec 터널을 형성하기 위해 SA 협상 및 키교환을 한 후, SA 설정 절차를 수행하는 제3 단계와;

상대 이동단말과 GVSN/HA, GVSN/GFA와 GVSN/FA, SVSN/FA와 이동한 이동단말간은 IPSec 터널을 이용하여 각각 데이터그램을 전달하는 제4 단계와;

상기 GVSN/HA와 GVSN/GFA 간은 MPLS 터널을 이용하여 데이터그램을 전송하는 제5 단계를 포함하여 이루어진 것을 특징으로 하는 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리방법.
제 2항에 있어서, 상기 제2 루팅 최적화 단계는

이전 GVSN/GFA에서 GVSN/HA로 GFA 임시주소와 이동단말의 주소로 구성된 이동성결합을 갱신하라는 '바인딩 갱신' 메시지를 전송하는 제1 단계와;

상기 메시지에 따라 GVSN/HA에서 GFA 임시주소와 이동단말의 주소로 구성된 이동성결합을 갱신하는 제2 단계와;

상기 제2 단계의 수행을 완료하고, 이동한 GVSN/HA와 GVSN/GFA 간 터널을 형성하기 위해 '라벨 요청' 메시지와 '라벨 응답' 메시지를 송수신하여 MPLS 터널을 형성하는 제3 단계와;

상대 이동단말과 GVSN/HA, GVSN/GFA와 SVSN/FA, SVSN/FA와 이동한 이동단말 간에 IPSec 터널을 통해 다른 GFA로 이동한 이동단말로 데이터그램을 전송하는 제4 단계와;

상기 제4 단계에서 데이터그램 전송 시 GVSN/HA와 GVSN/GFA 간은 상기 제3 단계에서 형성한 MPLS 터널을 이용하여 데이터그램을 전송하는 제5 단계를 포함하여 이루어진 것을 특징으로 하는 이동통신에서의 인터넷 프로토콜 가상 사설망 서비스 처리방법.