test

モバイル IP の管理

第 1 章 モバイル IP について

モバイル IP (インターネットプロトコル) は、ラップトップや無線通信機器などのモバイルコンピュータとの情報の送受信を可能にします。モバイルコンピュータは外部のネットワークに移動しても、元のネットワークにアクセスし、通信することができます。モバイル IP の Solaris による実装では、IPv4 のみをサポートしています。

概要

インターネットプロトコル (IP) の現在のバージョンでは、コンピュータがインターネットあるいはネットワークに接続する場所は固定され、その IP アドレスは接続しているネットワークを識別するものと仮定しています。データグラムは、IP アドレスに含まれる場所情報に基づいてコンピュータに送信されます。

モバイルコンピュータ、つまり「モバイルノード」が IP アドレスを変更せずに新たなネットワークに移動すると、そのアドレスは新しい接続点を反映しません。その結果、既存の経路指定プロトコルではデータグラムをモバイルノードに正しく送り届けることができません。このような場合、モバイルノードを新しい場所を表す別の IP アドレスに再構成しなければなりませんが、これは手間がかかります。このように現在のインターネットプロトコルでは、モバイルノードがアドレスを変更せずに移動すればその経路を失い、またアドレスを変更すれば今までの接続を失ってしまいます。

モバイル IP では、この問題を 2 つの IP アドレス、つまり固定の「ホームアドレス」と、各接続点で変わる「気付アドレス (care-of address)」をモバイルノードに与えることで解決します。これにより 1 つのコンピュータは同じホームアドレスを維持しながら、インターネットあるいは企業ネットワークを自由に移動することができます。その結果、ユーザーがコンピュータの接続点をインターネット上または企業ネットワーク上に変更したときにもコンピュータ動作が中断されることはありません。ネットワークはモバイルノードの新しい場所に関する情報を更新します。モバイル IP に関連する用語の定義については、「用語集」を参照してください。

図 1–1 にモバイル IP の一般的なトポロジを示します。

図 1–1 モバイル IP トポロジ

Graphic

図 1–1 のモバイル IP トポロジを使って、データグラムがどのようにモバイル IP フレームワーク内のある点から別の点に移動するかを説明します。

  1. インターネットホストはモバイルノードのホームアドレスを使って、データグラムをモバイルノードへ送信します (通常の IP 経路指定処理)。

  2. モバイルノードがホームネットワーク上にある場合、データグラムは通常の IP 処理でモバイルノードに配信されます。それ以外の場合は、ホームエージェントがデータグラムを取得します。

  3. モバイルノードが外部ネットワーク上にある場合、ホームエージェントがデータグラムを外来エージェントに転送します。

  4. 外来エージェントはデータグラムをモバイルノードに配信します。

  5. モバイルノードからデータグラムは、通常の IP 経路指定手順でインターネットホストへ送信されます。モバイルノードが外部ネットワーク上にある場合は、パケットは外来エージェントに配信されます。外来エージェントはデータグラムをインターネットホストに転送します。

無線通信の場合、図 1–1 では無線トランシーバを使用してデータグラムをモバイルノードに送信します。また、モバイルノードがホームまたは外部ネットワークにあるかに関わらず、インターネットホストとモバイルノード間で送受信されるすべてのデータグラムがモバイルノードのホームアドレスを使用します。その際、気付アドレスはモバイルエージェントとの通信にだけ使用され、インターネットホストが関わることはありません。

モバイル IP の構成要素

モバイル IP は次のような新しい構成要素を使用します。

モバイル IP の動作

モバイル IP により、IP データグラムをモバイルノードへ経路指定できます。モバイルノードのホームアドレスは、インターネット上または組織のネットワーク上の現在の接続点に関係なく、常にモバイルノードを指します。ホームから離れているときは、気付アドレスが、モバイルノードのインターネット上または組織のネットワーク上の現在の接続点に関する情報を提供することによって、モバイルノードをホームアドレスに関連付けます。モバイル IP は、登録機構を利用して気付アドレスをホームエージェントに登録します。

ホームエージェントは、モバイルノードの気付アドレスを含む新しい IP ヘッダーを宛先 IP アドレスとして作成して、データグラムをホームネットワークからその気付アドレスに転送します。この新しいヘッダーは元のデータグラムをカプセル化します。その結果、モバイルノードのホームアドレスは、カプセル化されたデータグラムが気付アドレスに到達するまで、その経路指定に影響を与えません。このようなカプセル化を「トンネリング」とも呼びます。気付アドレスに到達後、各データグラムはカプセル化を解除され、モバイルノードに配信されます。

図 1–2 では、外部ネットワーク B に移動する前の、ホームネットワーク A 上にあるモバイルノードを示しています。どちらのネットワークもモバイル IP をサポートしています。モバイルノードは、固定 IP アドレス 128.226.3.30 によってホームネットワークに常に関連付けられています。ネットワーク A はホームエージェントを持っていますが、モバイルノード宛てのデータグラムは通常の IP 処理で配信されます。

図 1–2 ホームネットワーク上にあるモバイルノード

Graphic

図 1–3 では、外部ネットワーク B に移動したモバイルノードを示しています。モバイルノード宛てのデータグラムはホームネットワーク A 上のホームエージェントが取得し、カプセル化してネットワーク B 上の外来エージェントに転送します。カプセル化されたデータグラムを受信すると、外来エージェントは外側のヘッダーを取り除き、そのデータグラムをネットワーク B にあるモバイルノードに配信します。

図 1–3 外部ネットワークに移動したモバイルノード

Graphic

気付アドレスは外来エージェントに含まれる場合や、動的ホスト構成プロトコル (DHCP) またはポイントツーポイントプロトコル (PPP) により取得される場合もあります。PPP により取得される場合、モバイルノードは、共存気付アドレスを持っていると言います。

モバイルノードは、特別な「登録」処理を使用して現在の場所に関する情報を絶えずホームエージェントに提供します。モバイルノードがホームネットワークから外部ネットワークへ、あるいは外部ネットワークから別の外部ネットワークへ移動するときは、いつも新しいネットワーク上の外来エージェントを選択し、そのエージェントを使用して登録メッセージをホームエージェントに転送します。

モビリティエージェント (ホームエージェントと外来エージェント) は「エージェント通知」メッセージを使用してその存在を通知します。オプションとしてモバイルノードは、「エージェント要請」メッセージを使用して、ローカルに接続されている任意のモビリティエージェントにエージェント通知メッセージを要請できます。モバイルノードは、これらのエージェント通知を受信して、それらがホームネットワーク上または外部ネットワーク上にあるのかを判断します。

モバイルノードが自分のホームネットワークにいることが判明すれば、モビリティサービスを利用せずに動作します。外部での登録状態からホームネットワークに戻るときに、モバイルノードは自分のホームエージェントの「登録を解除」します。

逆方向トンネリングを使用するモバイル IP

モバイル IP の動作では、インターネット上の経路指定は、データパケット発信元アドレスから独立したものと想定されています。しかし、中間ルーターは、トポロジとして正しい発信元アドレスを確認します。中間ルーターが確認する場合は、逆方向トンネルを設定しなければなりません。モバイルノードの気付アドレスからホームエージェントに逆方向トンネルを設定することによって、IP データパケットはトポロジとして正しい発信元アドレスを確保します。モバイルノードは、登録時に外来エージェントとホームエージェントの間に逆方向トンネルを要求できます。逆方向トンネルは、モバイルノードの気付アドレスで始まり、ホームエージェントで終わるトンネルです。図 1–4 に逆方向トンネルを使用するモバイル IP トポロジを示します。

図 1–4 逆方向トンネルを使用するモバイル IP

Graphic

専用アドレスの制限付きサポート

専用アドレスを持ち、インターネットを経由してグローバルに経路指定できないモバイルノードには、逆方向トンネルが必要です。Solaris モバイル IP は、専用アドレスを持つモバイルノードのみをサポートします。Solaris モバイル IP がサポートしない機能については、Solaris モバイル IP 実装の概要を参照してください。

外部との接続が必要でない場合、ネットワークでは専用アドレスを使います。専用アドレスは、インターネットを通る経路指定ができません。専用アドレスを持つモバイルノードは、逆方向トンネルを経由する通信ノードとだけ通信できます。専用アドレスが指定された通信ノードは、同じホームエージェントの管理ドメインに属さなければなりません。同じ外来エージェントに登録された時に同じ気付アドレスを使用する、専用アドレスが指定された 2 つのモバイルノードのネットワークトポロジを 図 1–5 に示します。

図 1–5 同じ外部ネットワーク上にある、専用アドレスが指定されたモバイルノード

Graphic

専用アドレスが指定された 2 つのモバイルノードが同じ管理ドメインに属しているので、ホームエージェントはこの 2 つのモバイルノードの間にデータパケットをどのようにして経路指定するかを識別します。また、外来エージェントの気付アドレスとホームエージェントの IP アドレスは、グローバルに経路指定できるアドレスでなければなりません。

同じ外部ネットワーク上にあり、同じ IP アドレスを持つ、専用アドレスが指定された 2 つのモバイルノードを持つことは可能です。各モバイルノードが異なるホームエージェントを持つ時にのみこれは、可能になります。また、各モバイルノードが共通の 1 つの外来エージェントの異なる通知サブネット上にある場合にのみ可能になります。図 1–6 は、このような状況を表わすネットワークトポロジを示しています。

図 1–6 異なる外部ネットワーク上にある、専用アドレスが指定されたモバイルノード

Graphic

専用アドレスが指定された 2 つのモバイルノードは同じ IP アドレスを持ち、これらのモバイルノードは異なるホームエージェントドメインに属しているので、2 つのノードは互いに通信し合うことはできません。しかし、各ノードは逆方向トンネルを経由し、対応するホームエージェントの管理ドメイン内のノードと通信することができます。例えば、図 1–6 のモバイルノード 2 は、通信ノード 2 に伝達できます。

気付アドレス

モバイル IP は、気付アドレスを取得するために次の代替モードを提供します。

共存気付アドレスによってモバイルノードは、たとえばまだ外来エージェントを配置していないネットワークで、外来エージェントなしに機能できます。

共存気付アドレスをモバイルノードが使用している場合、モバイルノードはその気付アドレスのネットワーク接頭辞によって識別されるリンク上になければなりません。リンク上にないと、その気付アドレス宛てのデータグラムは配信できません。

エージェントの発見

モバイルノードは次の情報を調べ「エージェントの発見」をします。

モビリティエージェントは、「エージェント通知」を送信してネットワークにサービスを通知します。エージェント通知がない場合は、モバイルノードは通知を要請できます。これを「エージェント要請」と言います。

エージェント通知

モバイルノードは、エージェント通知を使用してインターネットまたは組織のネットワークへの現在の接続点を決めます。エージェント通知とは、モビリティエージェント通知拡張も送信するように拡張されたインターネットコントロールメッセージプロトコル (ICMP) ルーター通知のことです。

外来エージェントは、忙しすぎて新たなモバイルノードを処理できない場合があります。しかし、外来エージェントはエージェント通知を継続して送信しなければなりません。このようにして、外来エージェントに登録済みのモバイルノードが、外来エージェントの有効範囲から外れていないこと、および外来エージェントに障害が発生していないことを知ることができます。

また、逆方向トンネルをサポートしている外来エージェントは、逆方向トンネルフラグが設定された状態で通知を送信しなければいけません。

エージェント要請

各モバイルノードはエージェント要請を実装する必要があります。モバイルノードは、ICMP ルーターの要請メッセージ用に指定されたものと同じエージェント要請用の手順、デフォルト値、および定数を使用します。

モバイルノードが要請を送信する頻度は、モバイルノードによって制限されます。モバイルノードはエージェントの検索時、1 秒間に最大 3 回初期要請を送信できます。エージェントに登録後は、要請を送信する頻度を減少させ、ローカルネットワークのオーバーヘッドを制限します。

モバイル IP の登録

モバイルノードがエージェント通知を受信すると、共存気付アドレスを取得できるときでも、外来エージェントを経由して登録します。この機能により、サイトはモビリティサービスへのアクセスを制限できます。エージェント通知を利用して、モバイルノードはサブネット間を移動した時期を検出します。

モバイル IP 登録機能は、モバイルノードの現在の到達可能情報をホームエージェントに通知するための融通性のある機構を提供します。登録処理によってモバイルノードは次の作業を実行できます。

登録メッセージは、モバイルノード、外来エージェント、およびホームエージェント間の情報を交換します。登録によってホームエージェントでのモビリティ結合を作成あるいは変更し、指定された期間にモバイルノードのホームアドレスをその気付アドレスに関連付けます。

モバイルノードは登録処理により次のことができます。

モバイル IP は、モバイルノードに対して次の登録処理を定義します。

これらの処理には登録要求および登録応答メッセージの交換が伴います。外来エージェントを使用して登録する場合、登録処理は次の手順で行われます。

  1. モバイルノードは、可能性がある外来エージェントに登録要求を送信して、登録処理を開始します。

  2. 外来エージェントは登録要求を処理し、ホームエージェントに転送します。

  3. ホームエージェントは登録応答を外来エージェントに送信し、要求を承認または否認します。

  4. 外来エージェントは登録応答を処理し、モバイルノードに転送して、その要求を処分したことを通知します。

図 1–7 モバイル IP の登録処理

Graphic

モバイルノードがホームエージェントに直接登録する場合、登録処理には次の手順が必要です。

また、逆方向トンネルは外来エージェントまたはホームエージェントのいずれかに要求されます。外来エージェントが逆方向トンネリングをサポートする場合、モバイルノードは登録処理を使用して、逆方向トンネルを要求します。モバイルノードの登録要求で逆方向トンネルフラグを設定することによって、モバイルノードは逆方向トンネルを要求します。

ネットワークアクセス識別子 (NAI)

インターネット内で使用している AAA サーバーは、ダイアルアップコンピュータ用の認証および承認サービスを提供します。これらのサービスは、ノードが AAA サーバーにより外部ドメインに接続しようとしている時にモバイル IP を使用しているモバイルノードにも同様に価値がある可能性があります。AAA サーバーは、ネットワークアクセス識別子 (NAI) を使ってクライアントを特定します。モバイルノードは NAI をモバイル IP 登録要求に含めることによって自分自身を識別することができます。

NAI は通常モバイルノードを特定するために使用されるので、モバイルノードのホームアドレスが必ずしもこの機能を提供する必要はありません。このように、モバイルノードがホームアドレスを持たずに自分自身を認証し、かつ外部ドメインへ接続するための承認を得ることができます。ホームアドレスの割り当てを要求するために、モバイルノードの NAI 拡張を含むメッセージは登録要求内でホームアドレスをゼロに設定することができます。

モバイル IP メッセージの認証

各モバイルノード、外来エージェント、およびホームエージェントは、セキュリティパラメタインデックス (SPI) と IP アドレスで索引付けされた、さまざまなモバイル IP 構成要素間のモビリティセキュリティの関連付けを提供します。モバイルノードの場合、このアドレスは自分のホームアドレスです。モバイルノードとそのホームエージェント間の登録メッセージは、モバイルホーム間認証拡張により認証されます。必須であるモバイルホーム間認証拡張に加え、ユーザーは任意のモバイルと外来エージェント間、およびホームと外来エージェント間認証を使用できます。

モバイルノード登録要求

モバイルノードは、「登録要求」メッセージを使用して自分のホームエージェントに登録し、ホームアドレスが (たとえば新しい有効期間をもつ) そのモバイルノード用のモビリティ結合を作成または変更できるようにします。外来エージェントは登録要求をホームエージェントに転送できます。ただしモバイルノードが、共存気付アドレスを登録している場合には、モバイルノードはその登録要求を直接ホームエージェントに送信できます。

登録応答メッセージ

モビリティエージェントは、登録要求メッセージを送信したモバイルノードに「登録応答」メッセージを返します。モバイルノードが外来エージェントにサービスを要求している場合、その外来エージェントはホームエージェントから応答を受け取り、その後モバイルノードに転送します。応答メッセージには、ホームエージェントにより許可されている有効期間 (これは元の要求よりも短い可能性があります) とともに、要求の状態をモバイルノードに通知するのに必要なコードが含まれています。登録応答には動的ホームアドレス割り当てが含まれることがあります。

外来エージェント

外来エージェントは、ほとんどの場合モバイル IP の登録において受動的役割を果たします。1 つの外来エージェントが登録されているモバイルノードすべてをビジターテーブルに登録します。外来エージェントは、登録要求をモバイルノードとホームエージェント間で転送し、気付アドレスをサポートしている場合はデータグラムをカプセル化解除してモバイルノードに配信します。また、周期的エージェント通知メッセージを送信してその存在を通知します。

逆方向トンネルがサポートされている場合、外来エージェントは通信ノードからのデータパケットに対して、逆方向トンネルを経由する適切な経路を確立します。逆方向トンネルをサポートしている外来エージェントは、登録のために逆方向トンネルをサポートしていることを通知します。ローカルポリシーが与えられたことにより、外来エージェントは、逆方向トンネルフラグが設定されていない時に、登録要求を拒否することができます。また、モバイルノードが異なる 2 つの通知インタフェースに移動するとき、外来エージェントは同じ IP アドレスを持った異なる 2 つのモバイルノードのみを識別することができます。

ホームエージェント

ホームエージェントは、モバイル IP の登録処理において能動的役割を果たします。ホームエージェントは (通常外来エージェントによって転送された) 要求をモバイルノードから受信し、このモバイルノードに対するモビリティ結合の記録を更新し、各要求に対して適当な登録応答を発行します。ホームエージェントはまた、モバイルノードが自分のホームネットワークから離れているときには、そのモバイルノードに対してパケットを転送します。

ホームエージェントは、モバイルノード用に構成された物理サブネットを持たなければいけないわけではありません。しかしホームエージェントは、登録を承認する時に mipagent.conf または他の機構を経由してモバイルノードのホームアドレスを認識しなければなりません。

動的ホームエージェントの発見

モバイルノードは、登録しようとする際に自分のホームエージェントのアドレスを知らないことがあります。モバイルノードが自分のホームエージェントのアドレスを知らない場合、動的ホームエージェントアドレス解決を使用してホームエージェントのアドレスを知ることができます。この場合、モバイルノードは登録要求のホームエージェントフィールドをモバイルノードのホームネットワークのサブネット指定のブロードキャストアドレスに設定します。ブロードキャスト宛先アドレスが指定された登録要求を受信した各ホームエージェントは、拒否登録応答を返信することによってモバイルノードの登録を拒否します。こうすることによってモバイルノードは、拒否応答に示された、ホームエージェントのユニキャスト IP アドレスを次に登録を行う際に使用できます。

モバイルノードに対するデータグラムの経路指定

モバイルノード、ホームエージェント、および外来エージェントが協力して、外部ネットワークに接続されているモバイルノードへのデータグラムの経路を指定する方法を説明します。

カプセル化の種類

ホームエージェントおよび外来エージェントは、利用可能なカプセル化の方法 (IP カプセル化、最小カプセル化、または汎用経路指定カプセル化における IP) のいずれか 1 つを使用してデータグラムのトンネリングを提供します。共存気付アドレスを使用するモバイルノードは、いずれかのカプセル化を用いてトンネル処理をしたデータグラムを受信できます。

ユニキャストデータグラムの経路指定

外部ネットワークに登録された場合、モバイルノードは次に示す規則を使用してデフォルトのルーターを選択します。

ブロードキャストデータグラム

ホームエージェントがブロードキャストデータグラムを受信したときは、モビリティ結合リストにあるモバイルノードに対してデータグラムを転送しません。ただし、モバイルノードがブロードキャストデータグラムの転送を要求していた場合は、ホームエージェントはデータグラムを転送します。登録された各モバイルノードに対し、ホームエージェントは受信したブロードキャストデータグラムを転送します。その方法は、モバイルノードに転送されたブロードキャストデータグラムのカテゴリがホームエージェント構成によってどのように指定されたかによります。逆方向トンネルを経由するブロードキャストデータグラムはサポートされません。

マルチキャストデータグラムの経路指定

マルチキャストを受信するためにモバイルノードは、マルチキャストグループを次に示す方法の 1 つを使って結合します。

また、データグラムをマルチキャストグループに送信するモバイルノードには、次のオプションがあります。

マルチキャストの経路指定は IP 発信元アドレスに依存しています。したがって、マルチキャストデータグラムを移動先ネットワークに直接送信するモバイルノードは、共存気付アドレスを IP 発信元アドレスとして使用します。同様に、マルチキャストデータグラムを自分のホームエージェントにトンネルを通して送信するモバイルノードは、自分のホームアドレスをマルチキャストデータグラムおよびカプセル化用データグラムの両方の IP 発信元アドレスとして使用します。この 2 番目のオプションでは、ホームエージェントはマルチキャストルーターであると想定しています。

逆方向トンネルの場合、マルチキャストデータグラムは逆方向トンネルを通る経路指定はされません。マルチキャストデータグラムは、前述のように経路指定されます。

セキュリティについての留意点

多くの場合、モバイルコンピュータは無線リンクを利用してネットワークに接続されます。無線リンクは盗聴、攻撃に対して脆弱です。

モバイル IP はこの脆弱性を低下あるいは除去することはできませんが、モバイル IP メッセージを認証することはできます。使用しているデフォルトのアルゴリズムは、128 ビットの鍵を採用した MD5 です。デフォルトの動作モードでは、ハッシュしようとするデータの前後にこの 128 ビット鍵がある必要があります。外来エージェントは、MD5、128 ビット以上の鍵サイズ、および手動による鍵配布を使用した認証もサポートしています。モバイル IP では、より多くの認証アルゴリズム、アルゴリズムモード、鍵の配布方法、および鍵サイズをサポートできます。

トンネリングは非常に攻撃されやすく、特に登録が認証されていない場合に脆弱です。また、アドレス解決プロトコル (ARP) は認証されていないため、別のホストのトラフィックを盗むために利用される可能性があります。