(57)【要約】【課題】  自動的に対向ルータとの暗号化通信路を生成することが可能なネットワーク装置を提供する。【解決手段】  ネットワーク装置（１）は、複数のネットワーク機器間の暗号化通信で必要となるセキュリティポリシを複数のネットワーク機器各々に対応して記憶する記憶手段（１１）と、複数のネットワーク機器各々に対応するセキュリティポリシを基に互いに通信が認められたネットワーク機器同士を示すグループポリシを生成する生成手段（１２）と、生成手段で生成されたグループポリシを複数のネットワーク機器各々に配信する配信手段（１３）と、配信手段にて配信されたグループポリシを基に複数のネットワーク機器から要求されるセキュリティポリシを当該ネットワーク機器に配信するセキュリティポリシ配信手段（１４）とを有する。【選択図】      図１
2010268087.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワーク機器間の暗号化通信で必要となるセキュリティポリシを前記複数のネットワーク機器各々に対応して記憶する記憶手段と、
前記複数のネットワーク機器各々に対応するセキュリティポリシを基に互いに通信が認められたネットワーク機器同士を示すグループポリシを生成する生成手段と、
前記生成手段で生成されたグループポリシを前記複数のネットワーク機器各々に配信する配信手段と、
前記配信手段にて配信されたグループポリシを基に前記複数のネットワーク機器から要求されるセキュリティポリシを当該ネットワーク機器に配信するセキュリティポリシ配信手段とを有することを特徴とするネットワーク装置。
【請求項２】
前記生成手段は、前記複数のネットワーク機器各々に対応するセキュリティポリシから必要な情報をリスト化して前記グループポリシのリストを生成することを特徴とする請求項１記載のネットワーク装置。
【請求項３】
前記複数のネットワーク機器から要求されるセキュリティポリシは、前記グループポリシにしたがって前記ネットワーク機器各々が必要とする対向するネットワーク機器のセキュリティポリシであることを特徴とする請求項１または請求項２記載のネットワーク装置。
【請求項４】
前記配信手段及び前記セキュリティポリシ配信手段は、配信先との間で暗号化されかつ認証された通信を用いて前記複数のネットワーク機器各々への配信を行うことを特徴とする請求項１から請求項３のいずれか記載のネットワーク装置。
【請求項５】
前記グループポリシを階層化して前記複数のネットワーク機器間の接続数を自動的に軽減することを特徴とする請求項１から請求項３のいずれか記載のネットワーク装置。
【請求項６】
上記の請求項１から請求項５のいずれかに記載のネットワーク装置を含むことを特徴とするネットワーク。
【請求項７】
ネットワーク装置が、
複数のネットワーク機器間の暗号化通信で必要となるセキュリティポリシを前記複数のネットワーク機器各々に対応して記憶手段に記憶する第１の処理と、
前記複数のネットワーク機器各々に対応するセキュリティポリシを基に互いに通信が認められたネットワーク機器同士を示すグループポリシを生成する第２の処理と、
前記第２の処理で生成されたグループポリシを前記複数のネットワーク機器各々に配信する第３の処理と、
前記第３の処理にて配信されたグループポリシを基に前記複数のネットワーク機器から要求されるセキュリティポリシを当該ネットワーク機器に配信する第４の処理とを実行し、
前記第４の処理にて配信されたセキュリティポリシを用いて互いに対向するネットワーク機器間で暗号化通信を実行することを特徴とする自動暗号化通信方法。
【請求項８】
前記第２の処理において、前記複数のネットワーク機器各々に対応するセキュリティポリシから必要な情報をリスト化して前記グループポリシのリストを生成することを特徴とする請求項７記載の自動暗号化通信方法。
【請求項９】
前記複数のネットワーク機器から要求されるセキュリティポリシは、前記グループポリシにしたがって前記ネットワーク機器各々が必要とする対向するネットワーク機器のセキュリティポリシであることを特徴とする請求項７または請求項８記載の自動暗号化通信方法。
【請求項１０】
前記第３の処理及び前記第４の処理において、配信先との間で暗号化されかつ認証された通信を用いて前記複数のネットワーク機器各々への配信を行うことを特徴とする請求項７から請求項９のいずれか記載の自動暗号化通信方法。
【請求項１１】
前記グループポリシを階層化して前記複数のネットワーク機器間の接続数を自動的に軽減することを特徴とする請求項７から請求項１０のいずれか記載の自動暗号化通信方法。
【請求項１２】
ネットワーク装置内の中央処理装置に実行させるプログラムであって、
複数のネットワーク機器間の暗号化通信で必要となるセキュリティポリシを前記複数のネットワーク機器各々に対応して記憶手段に記憶する第１の処理と、
前記複数のネットワーク機器各々に対応するセキュリティポリシを基に互いに通信が認められたネットワーク機器同士を示すグループポリシを生成する第２の処理と、
前記第２の処理で生成されたグループポリシを前記複数のネットワーク機器各々に配信する第３の処理と、
前記第３の処理にて配信されたグループポリシを基に前記複数のネットワーク機器から要求されるセキュリティポリシを当該ネットワーク機器に配信する第４の処理とを含み、
前記第４の処理にて配信されたセキュリティポリシを用いて互いに対向するネットワーク機器間で暗号化通信を実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワーク装置、ネットワーク及びそれらに用いる自動暗号化通信方法に関し、特にネットワークにおける自動暗号化通信に関する。
【背景技術】
【０００２】
本発明に関連するネットワークにおいては、ネットワークＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）を使ってセキュリティの確保・設定を行う場合、システムエンジニア等によってすべて管理されている。しかしながら、セキュリティを確保したいユーザは、昨今、拡大傾向にあり、システムエンジニア等が管理することなく、簡単にセキュリティを確保できるネットワークのフレームワークの開発が望まれている。
【０００３】
本発明に関連するネットワークでは、リモート管理サーバによるＶＰＮの自動構成の手法も各種検討されているが、リモート管理サーバ自身が、リアルタイムに多数の拠点ルータを制御する必要があり、サーバ自身の処理を減らす手法が望まれている。
【０００４】
下記の特許文献１には、ネットワーク設定を自動化するために、インタネットを介して自動設定・遠隔管理を行うゼロコンフィグ機能について記載されており、ネットワーク接続の集中管理の方法が開示されている。この場合、ルータは、ネットワークに接続される際に、イニシャルサーバからコンフィギュレーションデータを取得している。
【０００５】
また、本発明に関連するネットワークにおいて、各拠点ルータ間でＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）等の暗号化通信を実行しようとした場合の構成例を図７に示す。
【０００６】
図７（ａ）は、予め各拠点ルータ６−１〜６−４及びセンタルータ５すべてにＩＰｓｅｃ接続を行うための設定しておくセンタルータ型ＶＰＮの構成例を示しており、各拠点ルータ６−１〜６−４とセンタルータ５とはＩＰｓｅｃトンネルで接続されている。
【０００７】
図７（ｂ）は、各拠点ルータ７−１〜７−４間すべてにＩＰｓｅｃ接続を行うための設定しておくフルメッシュ型ＶＰＮの構成例を示しており、各拠点ルータ７−１〜７−４間はＩＰｓｅｃトンネルで接続されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特許第３７７４４３３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
上述した本発明に関連するネットワークでは、センタルータ型ＶＰＮ方式の場合、センタルータにすべてのＩＰｓｅｃ接続が集中するため、センタルータに負荷が集中し、また大量の設定を行う必要があるため、一旦設定してしまうとなかなか構成を変更することができないという課題がある。
【００１０】
また、本発明に関連するネットワークでは、フルメッシュ型ＶＰＮでの接続を行う場合、拠点ルータを１つ追加した場合に、すべての拠点ルータの設定を見直す必要があり、各拠点ルータに設定する内容も膨大になるという課題がある。
【００１１】
上記の特許文献１に記載の方法では、ネットワーク接続の集中管理の方法が開示されているだけなので、センタルータ型ＶＰＮ、フルメッシュ型ＶＰＮにおける課題を解決することができない。
【００１２】
そこで、本発明の目的は上記の問題点を解消し、自動的に対向ルータとの暗号化通信路を生成することができるネットワーク装置、ネットワーク及びそれらに用いる自動暗号化通信方法を提供することにある。
【課題を解決するための手段】
【００１３】
本発明によるネットワーク装置は、複数のネットワーク機器間の暗号化通信で必要となるセキュリティポリシを前記複数のネットワーク機器各々に対応して記憶する記憶手段と、
前記複数のネットワーク機器各々に対応するセキュリティポリシを基に互いに通信が認められたネットワーク機器同士を示すグループポリシを生成する生成手段と、
前記生成手段で生成されたグループポリシを前記複数のネットワーク機器各々に配信する配信手段と、
前記配信手段にて配信されたグループポリシを基に前記複数のネットワーク機器から要求されるセキュリティポリシを当該ネットワーク機器に配信するセキュリティポリシ配信手段とを備えている。
【００１４】
本発明によるネットワークは、上記のネットワーク装置を含むことを特徴とする。
【００１５】
本発明による自動暗号化通信方法は、
ネットワーク装置が、
複数のネットワーク機器間の暗号化通信で必要となるセキュリティポリシを前記複数のネットワーク機器各々に対応して記憶手段に記憶する第１の処理と、
前記複数のネットワーク機器各々に対応するセキュリティポリシを基に互いに通信が認められたネットワーク機器同士を示すグループポリシを生成する第２の処理と、
前記第２の処理で生成されたグループポリシを前記複数のネットワーク機器各々に配信する第３の処理と、
前記第３の処理にて配信されたグループポリシを基に前記複数のネットワーク機器から要求されるセキュリティポリシを当該ネットワーク機器に配信する第４の処理とを実行し、
前記第４の処理にて配信されたセキュリティポリシを用いて互いに対向するネットワーク機器間で暗号化通信を実行している。
【００１６】
本発明によるプログラムは、ネットワーク装置内の中央処理装置に実行させるプログラムであって、
複数のネットワーク機器間の暗号化通信で必要となるセキュリティポリシを前記複数のネットワーク機器各々に対応して記憶手段に記憶する第１の処理と、
前記複数のネットワーク機器各々に対応するセキュリティポリシを基に互いに通信が認められたネットワーク機器同士を示すグループポリシを生成する第２の処理と、
前記第２の処理で生成されたグループポリシを前記複数のネットワーク機器各々に配信する第３の処理と、
前記第３の処理にて配信されたグループポリシを基に前記複数のネットワーク機器から要求されるセキュリティポリシを当該ネットワーク機器に配信する第４の処理とを含み、
前記第４の処理にて配信されたセキュリティポリシを用いて互いに対向するネットワーク機器間で暗号化通信を実行させることを特徴とする。
【発明の効果】
【００１７】
本発明は、上記のような構成及び動作とすることで、自動的に対向ルータとの暗号化通信路を生成することができるという効果が得られる。
【図面の簡単な説明】
【００１８】
【図１】本発明の実施の形態によるリモート管理サーバ装置の構成例を示すブロック図である。
【図２】本発明の実施の形態によるルータ装置の構成例を示すブロック図である。
【図３】本発明の実施の形態によるネットワークの構成例を示すブロック図である。
【図４】本発明の実施の形態におけるポリシの設定内容の一例を示す図である。
【図５】図２に示すルータの処理動作を示すフローチャートである。
【図６】図１に示すリモート管理サーバ装置の処理動作を示すフローチャートである。
【図７】（ａ）は本発明に関連するネットワークにおける各拠点ルータ間で暗号化通信を実行しようとした場合のセンタルータ型ＶＰＮの構成例を示す図、（ｂ）は本発明に関連するネットワークにおける各拠点ルータ間で暗号化通信を実行しようとした場合のフルメッシュ型ＶＰＮの構成例を示す図である。
【発明を実施するための形態】
【００１９】
次に、本発明の実施の形態について図面を参照して説明する。まず、本発明によるネットワークにおける自動暗号化通信方法の概要について説明する。本発明によるネットワークでは、コンフィグ情報の自動取得、リモート管理を実現するゼロコンフィグシステムを用いて、接続されたルータ間の通信を自動的に階層管理し、適用セキュリティポリシの総数を制限しつつＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）等により暗号化して通信を行うことを実現している。
【００２０】
図１は本発明の実施の形態によるリモート管理サーバ装置の構成例を示すブロック図である。図１において、リモート管理サーバ装置１は、セキュリティポリシ記憶部１１と、グループポリシリスト生成部１２と、グループポリシリスト配信部１３と、セキュリティポリシ配信部１４とを備えている。
【００２１】
図２は本発明の実施の形態によるルータ装置の構成例を示すブロック図である。図２において、ルータ装置２は、暗号化通信路設定部２１と、グループポリシリスト記憶部２２と、グループポリシリスト検索部２３と、セキュリティポリシ設定要求部２４と、グループポリシリスト確認部２５とを備えている。
【００２２】
図３は本発明の実施の形態によるネットワークの構成例を示すブロック図である。図３において、本発明の実施の形態によるネットワークは、ゼロコンフィグのフレームワークに対応した拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４と、センタルータ装置（Ｅ）３と、リモートからこれらのルータ装置を制御可能なサーバ装置であるリモート管理サーバ装置１と、端末（Ａ〜Ｄ）４−１〜４−４によって構成されている。
【００２３】
尚、リモート管理サーバ装置１は、上記の図１に示す構成となっており、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４及びセンタルータ装置（Ｅ）３は、上記の図２の示すルータ装置２と同様の構成となっている。
【００２４】
以下、図１〜図３を参照して本発明の実施の形態によるネットワークの自動暗号化通信について説明する。まず、本発明の実施の形態における自動暗号化通信の解決手段について説明する。
【００２５】
本実施の形態では、図３に示すような構成において、リモート管理サーバ装置１と拠点ルータ装置（Ａ）２−１と拠点ルータ装置（Ｂ）２−２とが、拠点ルータ装置（Ａ，Ｂ）２−１，２−２に直接ＩＰｓｅｃの設定を行うことなく、ＩＰｓｅｃの通信を実現している。これによって、本実施の形態では、拠点ルータ装置（Ａ）２−１のネットワークＮｅｔＡと拠点ルータ装置（Ｂ）２−２のネットワークＮｅｔ−Ｂとの間の通信の暗号化を実現している。
【００２６】
この場合、リモート管理サーバ装置１のセキュリティポリシ記憶部１１には、各拠点ルータ装置（Ａ，Ｂ）２−１，２−２間の暗号化通信で必要となるセキュリティポリシが、拠点ルータ装置Ａポリシ、拠点ルータ装置Ｂポリシとして設定される。ここで、セキュリティポリシ記憶部１１に記載されたセキュリティポリシには、それぞれ拠点ルータ装置（Ａ）２−１で管理するネットワークＮｅｔＡ、拠点ルータ装置（Ｂ）２−２で管理するネットワークＮｅｔＢ各々の設定が含まれている。
【００２７】
リモート管理サーバ装置１では、グループポリシリスト生成部１２において、上記でセキュリティポリシ記憶部１１に設定された拠点ルータ装置ポリシから自動的に、拠点ルータ装置（Ａ，Ｂ）２−１，２−２のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスと、管理するネットワークアドレスとが抽出され、グループポリシリストαを生成する（図３の１２１参照）。
【００２８】
グループポリシリストαは、ゼロコンフィグネットワークのようにリモート管理サーバ装置１のグループポリシリスト配信部１３から暗号化通信を使って、拠点ルータ装置（Ａ，Ｂ）２−１，２−２の運用管理ができる仕組みを使い、同一セキュリティグループα１００の拠点ルータ装置（Ａ，Ｂ）２−１，２−２に配信される。尚、ここでは互いに通信が認められた拠点ルータ装置（Ａ，Ｂ）２−１，２−２同士をセキュリティグループと呼ぶ。
【００２９】
拠点ルータ装置（Ａ）２−１で管理しているネットワークＮｅｔＡ配下の端末（Ａ）４−１から、拠点ルータ装置（Ｂ）２−２で管理しているネットワークＮｅｔＢ配下の端末（Ｂ）４−２に通信を行うために、拠点ルータ装置（Ａ）２−１と拠点ルータ装置（Ｂ）２−２との間に暗号化通信路（ＩＰｓｅｃトンネル）を設定する必要が発生したものとする。
【００３０】
まず、拠点ルータ装置（Ａ）２−１は、グループポリシリスト検索部２３にて、端末（Ａ）４−１のパケットの宛先アドレスをキーワードとして、すでにリモート管理サーバ装置１から配信されてグループポリシリスト記憶部２２に記憶されたグループポリシリストαの中に宛先アドレスが含まれるネットワークが存在するかを検索する。ここでは、拠点ルータ装置（Ｂ）２−２で管理されるネットワークＮｅｔＢがマッチする。
【００３１】
拠点ルータ装置（Ａ）２−１は、グループポリシリスト検索部２３の検索結果を基に、セキュリティポリシ設定要求部２４にて、リモート管理サーバ装置１に対して拠点ルータ装置（Ｂ）２−２のセキュリティポリシ設定を要求する。
【００３２】
リモート管理サーバ装置１は、拠点ルータ装置（Ａ）２−１からの要求にしたがって、拠点ルータ装置（Ｂ）２−２のセキュリティポリシを、セキュリティポリシ配信部１４から拠点ルータ装置（Ａ）２−１に返す。この拠点ルータ装置（Ａ）２−１とリモート管理サーバ装置１との間で行われる通信についても、ゼロコンフィグネットワークで提供されるフレームワークのように、リモート管理サーバ装置１と拠点ルータ装置（Ａ）２−１との間で暗号化され、さらに認証された通信であることが前提となる。
【００３３】
拠点ルータ装置（Ａ）２−１は、リモート管理サーバ装置１からのセキュリティポリシを使用し、拠点ルータ装置（Ａ）２−１と拠点ルータ装置（Ｂ）２−２との間に暗号化通信路であるＩＰｓｅｃトンネル１０１の設定を試みる。
【００３４】
拠点ルータ装置（Ｂ）２−２は、グループポリシリスト確認部２５にて、リモート管理サーバ装置１から配信されたグループポリシリストを参照し、接続を試みてきた拠点ルータ装置（Ａ）２−１がグループポリシリストαに含まれることを確認する。拠点ルータ装置（Ｂ）２−２は、拠点ルータ装置（Ａ）２−１からのＩＰｓｅｃトンネル１０１の確立要求に対し、自分自身のセキュリティポリシを使用する。
【００３５】
これによって、本実施の形態では、拠点ルータ装置（Ａ）２−１と拠点ルータ装置（Ｂ）２−２とになにも設定することなく、さらに拠点ルータ装置（Ａ，Ｂ）２−１，２−２のポリシ設定時に対となる拠点ルータ装置（Ａ，Ｂ）２−１，２−２のポリシを意識することなく、暗号化通信経路を確立することができるようになる。
【００３６】
次に、本発明の実施の形態における階層化して負荷分散を考慮した自動暗号化通信の解決手段について説明する。
【００３７】
上記のように、拠点ルータ装置のセキュリティポリシを取得しながら通信を行っていると、例え一定時間通信がない拠点ルータ装置間のセキュリティポリシを拠点ルータ装置から順次削除したとしても、拠点ルータ装置が数百〜数千あるようなネットワークにおいては、拠点ルータ装置ですべてのセキュリティポリシが保持しきれないという状況に陥る可能性がある。
【００３８】
この状況は、上記の説明により構成されたネットワークがフルメッシュ型ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）を構成したことが原因となる、従来から存在するネットワーク構成による弊害である。
【００３９】
しかしながら、本実施の形態では、上記の自動暗号化通信の解決手段で用いたグループポリシリストを階層化して生成することにより、この問題の解決となるセンタルータ装置型ＶＰＮ構成のネットワークをも自動生成することができる。これによって、本実施の形態では、拠点ルータ装置の負荷を低減しつつ、センタルータ装置においても大量のコンフィグを設定せずに、自動的に暗号化通信路を設定することができる。
【００４０】
センタルータ装置（Ｅ）３のポリシを上記の拠点ルータ装置（Ａ，Ｂ）２−１，２−２のポリシ設定と同様に、リモート管理サーバ装置１に対して行う。ここでは、センタルータ装置（Ｅ）３を利用するネットワークをセキュリティグループβ２００として、リモート管理サーバ装置１のセキュリティポリシ記憶部１１に拠点ルータ装置（Ｂ〜Ｄ）２−２〜２−４のポリシとセンタルータ装置（Ｅ）３のポリシとを設定する。
【００４１】
さらに、センタルータ装置（Ｅ）３のポリシには、これに従属する拠点ルータ装置（Ｂ）２−２、拠点ルータ装置（Ｃ）２−３、拠点ルータ装置（Ｄ）２−４各々のアドレスを、拠点ルータ装置でのポリシ設定で行った管理ネットワークの代わりに設定する。
【００４２】
リモート管理サーバ装置１は、グループポリシリスト生成部１２にて、このポリシ設定を自動的にグループポリシリストβに変換する（図３の１２２参照）。この時のグループポリシリストβには、上記で述べたグループポリシリストと同様に、拠点ルータ装置（Ｂ）２−２はネットワークＮｅｔＢ、拠点ルータ装置（Ｃ）２−３はネットワークＮｅｔＣ、拠点ルータ装置（Ｄ）２−４はネットワークＮｅｔＤを管理すると記載されているが、さらに拠点ルータ装置（Ｂ）２−２、拠点ルータ装置（Ｃ）２−３、拠点ルータ装置（Ｄ）２−４各々のネットワークＮｅｔＢ，ＮｅｔＣ，ＮｅｔＤをセンタルータ装置（Ｅ）３が管理するという情報が追記される。
【００４３】
このグループポリシリストは、上記と同様に、リモート管理サーバ装置１のグループポリシリスト配信部１３から拠点ルータ装置（Ｂ〜Ｄ）２−２〜２−４とセンタルータ装置（Ｅ）３とにそれぞれ配布される。
【００４４】
上記のグループポリシリストを参照し、先に記載した「自動暗号化通信の解決手段」と同様の通信手段を用いると、拠点ルータ装置（Ｂ）２−２で管理しているネットワークＮｅｔＢにある端末（Ｂ）４−２から拠点ルータ装置（Ｃ）２−３で管理しているネットワークＮｅｔＣにある端末（Ｃ）４−３に通信が行われた場合、パケットの宛先アドレスから、グループポリシリストを参照し、リモート管理サーバ装置１に必要なセキュリティポリシを要求することによって、暗号化通信路ＩＰｓｅｃトンネル１０２，１０３を自動的に確立することができる。
【００４５】
さらに、拠点ルータ装置（Ｂ）２−２のネットワークＮｅｔＢにある端末（Ｂ）４−２から拠点ルータ装置（Ｄ）２−４のネットワークＮｅｔＤにある端末（Ｄ）４−４に通信があっても、ＩＰｓｅｃトンネル１０２は、端末（Ｂ）４−２と端末（Ｃ）４−３とで自動生成されたＩＰｓｅｃトンネルと共有される。
【００４６】
これによって、２つの拠点ルータ装置分必要であったセキュリティポリシは、センタルータ装置（Ｅ）３への１拠点分となり、さらに拠点ルータ装置数を増やしたとしても、センタルータ装置（Ｅ）３を経由させるかぎり、拠点ルータ装置（Ｂ）２−２で必要となるセキュリティポリシの総数は増えない。
【００４７】
尚、上述した拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４とセンタルータ装置（Ｅ）３とリモート管理サーバ装置１とは、それぞれイーサネット（登録商標）等によってインタネット等のネットワークに接続されている。
【００４８】
リモート管理サーバ装置１と各拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４との間の制御通信やリモート管理サーバ装置１とセンタルータ装置（Ｅ）３との間の制御通信では、ＳＳＬ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔｓ  Ｌａｙｅｒ）等によって認証された暗号化通信が確立できているものとする。これらの前提条件はすでにゼロコンフィグに対応したネットワークとして実存するものである。
【００４９】
本実施の形態では、上記に加え、リモート管理サーバ装置１に拠点ルータ装置（Ａ〜Ｄ）２−２１〜２−４及びセンタルータ装置（Ｅ）３のセキュリティポリシや管理ネットワーク、管理拠点ルータ装置から構成されるポリシを設定する記憶域と、その設定をグループポリシリストに自動変換するプログラム、グループポリシリストをゼロコンフィグの暗号化通信制御を使って、各拠点ルータ装置、センタルータ装置に配信する機能を含んでいる。
【００５０】
本実施の形態では、異なるセキュリティポリシで管理される、セキュリティグループαとセキュリティグループβとが存在し、セキュリティグループαで管理される拠点ルータ装置（Ａ，Ｂ）２−１，２−２、セキュリティグループβで管理される拠点ルータ装置（Ｂ〜Ｄ）２−２〜２−４とセンタルータ装置（Ｅ）３とがある。
【００５１】
リモート管理サーバ装置１は、複数のセキュリティグループを管理するために、複数のグループポリシリストを管理することができ、拠点ルータ装置（Ｂ）２−２のように複数のセキュリティグループを適用することもできるものとする。
【００５２】
図４は本発明の実施の形態におけるポリシの設定内容の一例を示す図であり、図５は図２に示すルータ２の処理動作を示すフローチャートであり、図６は図１に示すリモート管理サーバ装置１の処理動作を示すフローチャートである。これら図１〜図６を参照して本発明の実施の形態によるネットワークの処理動作について説明する。
【００５３】
尚、図５に示す処理動作はルータ２内のＣＰＵ（中央処理装置）（図示せず）がメモリに格納されたプログラムを実行することで実現可能であり、図６に示す処理動作はリモート管理サーバ装置１内のＣＰＵ（図示せず）がメモリに格納されたプログラムを実行することで実現可能である。
【００５４】
まず、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４のポリシ設定について説明する。本実施の形態では、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４間の暗号化通信を確立するために、リモート管理サーバ装置１に拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４毎のポリシを設定する必要がある。
【００５５】
リモート管理サーバ装置１に設定する内容は、図４に示すように、セキュリティグループα，βで別々に拠点ルータ装置（Ａ〜Ｄ）ポリシサンプル、センタルータ装置（Ｅ）ポリシサンプルに記載されているように、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４のＩＰアドレス、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４が管理するネットワーク、暗号化通信に必要なセキュリティポリシ等がある。
【００５６】
また、セキュリティポリシについては、代表例としてＩＰｓｅｃトンネルを確立するために、固定鍵やＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）で使用するプリシェアードキー、ＡＥＳ（Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）／３ＤＥＳ（ｔｒｉｐｌｅ  Ｄａｔａ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）等の暗号化方式を入れることが想定されるが、本実施の形態では、本発明に直接関係しないので、その詳細な説明は省略する。本実施の形態においては、上記の内容がオペレータによって設定される項目すべてである。
【００５７】
次に、リモート管理サーバ装置１によるグループポリシリストα，βの自動生成と配布とについて説明する。
【００５８】
リモート管理サーバ装置１では、セキュリティグループαに属する拠点ルータ装置（Ａ，Ｂ）２−１，２−２のポリシが新規設定、もしくは変更があった場合に、グループポリシリスト生成部１２にてグループポリシリストαを自動生成する。また同様に、リモート管理サーバ装置１では、セキュリティグループβに属する拠点ルータ装置（Ｂ〜Ｄ）２−２〜２−４及びセンタルータ装置（Ｅ）３のポリシが新規設定、もしくは変更があった場合に、グループポリシリスト生成部１２にてグループポリシリストβを自動生成する。
【００５９】
グループポリシリストは、図４に示すように、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４やセンタルータ装置（Ｅ）３のポリシから、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４のＩＰアドレス（ｒｏｕｔｅｒ−ａｄｄｒ）と、管理ネットワーク（ｎｅｔｗｏｒｋ）やセンタルータ装置（Ｅ）３のＩＰアドレス（ｒｏｕｔｅｒ−ａｄｄｒ）と、センタルータ装置（Ｅ）３で管理する拠点ルータ装置（Ｂ〜Ｄ）２−２〜２−４のアドレス（ｓｕｂ−ｒｏｕｔｅｒ）を抽出してリスト化される。
【００６０】
グループポリシリストには、セキュリティポリシ（ｓｅｃｕｒｉｔｙ−ｐｏｌｉｃｙ）は含まない。また、グループポリシリストには、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４、センタルータ装置（Ｅ）３毎のポリシの変更を認識するため、ＩＤ（ＩＤｅｎｔｉｆｉｅｒ）がつけられている。このＩＤは、ポリシに変更があった場合（セキュリティポリシ等、グループポリシリストに含まれない内容を含む）にプラス１する等、変更前と違うＩＤとなる。
【００６１】
リモート管理サーバ装置１は、図４に示すグループポリシリストにある、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４、センタルータ装置（Ｅ）３のＩＰアドレス（ｒｏｕｔｅｒ−ａｄｄｒ）に、グループポリシリスト配信部１３からこのリストを配布する。
【００６２】
グループポリシリストの配布においては、先に述べた認証、暗号化されたリモート制御のフレームワークを使用する。つまり、グループポリシリストαは拠点ルータ装置（Ａ，Ｂ）２−１，２−２に、グループポリシリストβは拠点ルータ装置（Ｂ〜Ｄ）２−２〜２−４及びセンタルータ装置（Ｅ）３に配布される。
【００６３】
続いて、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４、センタルータ装置（Ｅ）３におけるグループポリシリストの保持について説明する。
【００６４】
リモート管理サーバ装置１から配布されたグループポリシリストは、各拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４、センタルータ装置（Ｅ）３各々でグループポリシリスト記憶部２２（メモリ等）に保持される。
【００６５】
また、過去にグループポリシリストが配布されていた場合、図４に示すグループポリシリストにあるＩＤについて、過去のリストと比較し、違うものとなっていた場合、関連する拠点ルータ装置に対してすでに実施されていた自動設定を破棄する。この自動設定内容については、後述する。ここでは、特に拠点ルータ装置（Ｂ）２−２に対して２つのグループポリシリストα，βが配布されるが、異なるグループポリシリストとしてその両方とも保存する。
【００６６】
次に、本実施の形態によるセキュリティグループα内における暗号化通信路の確立までの処理動作の流れ（ＩＰｓｅｃトンネル１０１の確立）について説明する。
【００６７】
まず、拠点ルータ装置（Ａ）２−１のネットワークＮｅｔＡにある端末（Ａ）４−１から拠点ルータ装置（Ｂ）２−２のネットワークＮｅｔＢにある端末（Ｂ）４−２への通信に必要となる暗号化通信路であるＩＰｓｅｃトンネル１０１が確立するまでの処理動作の流れについて説明する。
【００６８】
ここでは、端末（Ａ）４−１のアドレスを、図４に示す拠点ルータ装置（Ａ）ポリシサンプルのネットワークＮｅｔＡ内にある「１９２．１６８．１．１０」とし、端末（Ｂ）４−２のアドレスを、上記と同様に、ネットワークＮｅｔＢ内にある「１９２．１６８．２．２０」とする。
【００６９】
拠点ルータ装置（Ａ）２−１は、端末（Ａ）４−１から送信されたパケット（送信元アドレス：「１９２．１６８．１．１０」、宛先アドレス：「１９２．１６８．２．２０」）が到達すると（図５ステップＳ１）、このパケットを暗号化する通信路がすでに確立されているかどうかを確認する（図５ステップＳ２）。ここで、拠点ルータ装置（Ａ）２−１は、通信路がすでに確立済みであれば、その暗号化通信路を使用してそのまま送信する（図５ステップＳ７）。
【００７０】
拠点ルータ装置（Ａ）２−１は、まだ暗号化通信路が確立前の場合、次にパケットの宛先アドレスをキーワードとして、リモート管理サーバ装置１よりすでに取得済みのグループポリシリストαから、この宛先のパケットで暗号化通信路が確立できるかどうかを確認する。
【００７１】
つまり、拠点ルータ装置（Ａ）２−１は、図４に示す宛先アドレス「１９２．１６８．２．２０」が適用されるネットワークをグループポリシリストαの「ｎｅｔｗｏｒｋ＝」から検索すると（図５ステップＳ３）、ｒｏｕｔｅｒ＝１０．２．１．１、ｎｅｔｗｏｒｋ＝１９２．１６８．２．０／２４、ｉｄ＝１０の行が選択できる。
【００７２】
すなわち、拠点ルータ装置（Ａ）２−１は、拠点ルータ装置アドレス「１０．２．１．１」のセキュリティポリシが取得できれば、暗号化通信路が確立できることが分かる。この情報より、拠点ルータ装置（Ａ）２−１は、リモート管理サーバ装置１に対して、拠点ルータ装置アドレス「１０．２．１．１」のセキュリティポリシを要求する（図５ステップＳ４）。
【００７３】
リモート管理サーバ装置１は、拠点ルータ装置（Ａ）２−１からセキュリティポリシ要求を受信すると（図６ステップＳ１１）、まず要求元の拠点ルータ装置（Ａ）２−１のアドレスと、要求されているセキュリティポリシの拠点ルータ装置のアドレスとが同一グループポリシ内に存在するかを確認する（図６ステップＳ１２）。
【００７４】
ここでは、要求してきた拠点ルータ装置（Ａ）２−１のアドレスが「１０．１．１．１」であり、要求セキュリティポリシの拠点ルータ装置のアドレスが「１０．２．１．１」であるため、リモート管理サーバ装置１で管理しているグループポリシリストαより、どちらも同一管理ネットワークに存在するものと確認することができる。
【００７５】
つぎに、リモート管理サーバ装置１は、拠点ルータ装置（Ａ）２−１が要求してきた「１０．２．１．１」のセキュリティポリシを検索する（図６ステップＳ１３）。
【００７６】
図４に示すように、リモート管理サーバ装置１は、グループポリシリストαにあるすべてのセキュリティポリシを管理しているため、「１０．２．１．１」のセキュリティポリシが、拠点ルータ装置（Ｂ）ポリシで設定された「ｓｅｃｕｒｉｔｙ−ｐｏｌｉｃｙ＝ＩＰｓｅｃ、ｋｅｙ＝ｈｏｇｅ０２」であることが分かる。
【００７７】
リモート管理サーバ装置１は、このセキュリティポリシを添付して、要求元である拠点ルータ装置（Ａ）２−１に返信する（図６ステップＳ１４）。上記によって、拠点ルータ装置（Ａ）２−１と拠点ルータ装置（Ｂ）２−２とで、同一のセキュリティポリシを共有することができる。
【００７８】
これによって、拠点ルータ装置（Ａ）２−１は、拠点ルータ装置（Ｂ）２−２に対して、ＩＰｓｅｃトンネルの確立を行うことができる（図５ステップＳ５，Ｓ６）。ここでは、同一セキュリティポリシによるＩＰｓｅｃの確立のための詳細な説明については省略する。
【００７９】
このように、本実施の形態では、パケットを暗号化し、拠点ルータ装置（Ａ）２−１から拠点ルータ装置（Ｂ）２−２に送信するための暗号化経路を確立することができるため、拠点ルータ装置（Ａ）２−１がパケットを暗号化し、カプセル化（送信アドレス：１０．１．１．１、宛先アドレス：１０．２．１．１）して拠点ルータ装置（Ｂ）２−２に送信する（図５ステップＳ７）。
【００８０】
続いて、本実施の形態によるセキュリティグループβ内における暗号化通信路の確立までの処理動作の流れ（ＩＰｓｅｃトンネル１０２及びＩＰｓｅｃトンネル１０３の確立）について説明する。
【００８１】
つまり、センタルータ装置（Ｅ）３を経由しつつ、暗号化通信路であるＩＰｓｅｃトンネル１０２及びＩＰｓｅｃトンネル１０３を確立するまでの処理動作の流れについて説明する。この確立に必要となる通信として、端末（Ｂ）４−２から端末（Ｃ）４−３へのパケットを使って説明する。ここでは、上記と同様に、端末（Ｂ）４−２のアドレスを「１９２．１６８．２．２０」とし、端末（Ｃ）４−３のアドレスも、ネットワークＮｅｔＣ内に含まれるアドレスとして、「１９２．１６８．３．３０」とする。
【００８２】
上述した説明と同様に、拠点ルータ装置（Ｂ）２−２は、パケット（送信元アドレス：１９２．１６８．２．２０、宛先アドレス：１９２．１６８．３．３０）を受信すると（図５ステップＳ１）、上記と同様の処理を実行し、グループポリシリスト検索を実施する（図５ステップＳ３）。
【００８３】
ここでは、宛先アドレス：１９２．１６８．３．３０をキーワードとしてグループポリシリストα，βを検索し、図４に示すグループポリシリストβより、「ｒｏｕｔｅｒ−ａｄｄｒ＝１０．３．１．１、ｎｅｔｗｏｒｋ＝１９２．１６８．３．０／２４、ｉｄ＝２４」が検索される。
【００８４】
ここでさらに、センタルータ装置（Ｅ）３の行を検索すると、さきほど検索したｒｏｕｔｅｒ−ａｄｄｒ＝１０．３．１．１は、センタルータ装置（Ｅ）３のｒｏｕｔｅｒ−ａｄｄｒ＝１０．１１．１．１、ｓｕｂ−ｒｏｕｔｅｒ＝１０．３．１．１，１０．４．１．１で管理されていることが分かる。
【００８５】
これによって、拠点ルータ装置（Ｂ）２−２は、リモート管理サーバ装置１に対し、センタルータ装置（Ｅ）３のアドレス「１０．１１．１．１」のセキュリティポリシを要求する。
【００８６】
ここから先、ＩＰｓｅｃトンネル１０２を確立するまでは、上記と同様の処理動作の流れで確立される。
【００８７】
また、端末（Ｂ）２−２から送信されたパケットは、上記のＩＰｓｅｃトンネル１０２を通ってセンタルータ装置（Ｅ）３に到達する。センタルータ装置（Ｅ）３でも、これまでと同様の処理にて、グループポリシリストβを検索するが、さきほどの「ｒｏｕｔｅｒ−ａｄｄｒ＝１０．１１．１．１、ｓｕｂ−ｒｏｕｔｅｒ＝１０．３．１．１，１０．４．１．１」は、自分自身であるため、ここで必要なセキュリティポリシが、「ｒｏｕｔｅｒ−ａｄｄｒ＝１０．３．１．１、ｎｅｔｗｏｒｋ＝１９２．１６８．３．０／２４、ｉｄ＝２４」の方であることが分かる。
【００８８】
つまり、センタルータ装置（Ｅ）３は、リモート管理サーバ装置１に対し、拠点ルータ装置（Ｃ）２−３である「１０．３．１．１」のセキュリティポリシを要求する。
【００８９】
以下、これまでと同様な処理を実施することによって、ＩＰｓｅｃトンネル１０３が確立し、拠点ルータ装置（Ｂ）２−２からセンタルータ装置（Ｅ）３を経由して、拠点ルータ装置（Ｃ）２−３に至る暗号化通信路を確立する。
【００９０】
このように、本実施の形態では、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４やセンタルータ装置（Ｅ）３に対して、直接設定を行うことなく、リモート管理サーバ装置１で集中管理することができる。
【００９１】
また、本実施の形態では、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４やセンタルータ装置（Ｅ）３単体のセキュリティポリシを設定しておくだけで、自動的に対向ルータ装置との暗号化通信路を生成することができる。
【００９２】
さらに、本実施の形態では、セキュリティポリシ変更やネットワーク構成を変更した場合においても、対象となる拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４やセンタルータ装置（Ｅ）３のポリシを変更するだけで自動的に関連する暗号化通信路を更新することができる。
【００９３】
さらにまた、本実施の形態では、リモート管理サーバ装置１が拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４の要求に対して応答を返すのみの機能を持っていれば構成することできる。つまり、本実施の形態では、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４の何らかのトリガにより、リモート管理サーバ装置１が複数の拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４に対して能動的に命令を発行する必要がない。
【００９４】
本実施の形態では、必要な時に必要な拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４のポリシのみを取得するため、拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４の記憶領域を効率的に活用することができる。
【００９５】
尚、本発明では、リモート管理サーバ装置１と拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４との間の認証技術、暗号化制御、各拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４の設定やリモート制御として、すでに現存しているゼロコンフィグネットワークのフレームワークをベースにしているが、リモート管理サーバ装置１と拠点ルータ装置（Ａ〜Ｄ）２−１〜２−４との間で認証や暗号化制御ができる仕組みがあれば、ほかのフレームワークを使用してもかまわない。
【００９６】
また、本発明では、暗号化通信の経路を確立する機器としてルータ装置を使用しているが、特にルータ装置に限定する必要はなく、通常のＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）やネットワーク端末、携帯電話機等に置き換えることもできる。
【符号の説明】
【００９７】
１  リモート管理サーバ装置
２  ルータ装置
２−１〜２−４  拠点ルータ装置（Ａ〜Ｄ）
３  センタルータ装置（Ｅ）
４−１〜４−４  端末（Ａ〜Ｄ）
１１  セキュリティポリシ記憶部
１２  グループポリシリスト生成部
１３  グループポリシリスト配信部
１４  セキュリティポリシ配信部
２１  暗号化通信路設定部
２２  グループポリシリスト記憶部
２３  グループポリシリスト検索部
２４  セキュリティポリシ設定要求部
２５  グループポリシリスト確認部
１００  セキュリティグループα
１０１〜１０３  ＩＰｓｅｃトンネル
２００  セキュリティグループβ
【図１】
2010268087.tif 000003
【図２】
2010268087.tif 000004
【図３】
2010268087.tif 000005
【図４】
2010268087.tif 000006
【図５】
2010268087.tif 000007
【図６】
2010268087.tif 000008
【図７】
2010268087.tif 000009