(57)【要約】  同一リンク上の端末装置間の通信において、ホップリミットをデクリメントせず、かつ、アドレス解決の内容を秘匿する。データ暗号装置１００は、端末装置１０からＮＳパケットを受信すると、ＳＡ、ＴＡ、ＬＡを格納した後、ＳＡを自己の論理アドレスに、ＬＡを自己の物理アドレスに書き換える。データ暗号装置２００は、受信したＮＳパケットのＴＡが自己のアドレスでない場合、そのまま中継する。端末装置２０は、中継されたＮＳパケットのＴＡが自己の論理アドレスである場合、ＮＳパケットのＬＡに自己の物理アドレスを格納し、ＮＡパケットとしてデータ暗号装置２００宛に送信する。データ暗号装置２００は、ＮＡパケットを暗号化してデータ暗号装置１００に送信する。データ暗号装置１００は、ＮＡパケットを復号し、保持するアドレスに書き換えて、端末装置１０宛に送信する。
2008026243.tif 000002
【特許請求の範囲】
【請求項１】
データを暗号化するデータ暗号装置において、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部とを備え、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするデータ暗号装置。
【請求項２】
データを暗号化するデータ暗号装置において、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定し、
前記平文ポートは、
前記アドレス解決処理部の決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするデータ暗号装置。
【請求項３】
データを暗号化するデータ暗号装置において、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号処理部は、
前記アドレス処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするデータ暗号装置。
【請求項４】
データを暗号化するデータ暗号装置において、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記平文ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするデータ暗号装置。
【請求項５】
データを暗号化するデータ暗号装置において、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すホップリミットとを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記ホップリミットをデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記ホップリミットの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするデータ暗号装置。
【請求項６】
データを暗号化するデータ暗号装置において、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すホップリミットとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記ホップリミットの値をデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記ホップリミットの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするデータ暗号装置。
【請求項７】
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするアドレス解決方法。
【請求項８】
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定し、
前記平文ポートは、
前記アドレス解決処理部の決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするアドレス解決方法。
【請求項９】
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号処理部は、
前記アドレス処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするアドレス解決方法。
【請求項１０】
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記平文ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするアドレス解決方法。
【請求項１１】
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が実行するアドレス解決方法において、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すホップリミットとを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記ホップリミットをデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記ホップリミットの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするアドレス解決方法。
【請求項１２】
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が実行するアドレス解決方法において、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すホップリミットとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記ホップリミットの値をデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記ホップリミットの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするアドレス解決方法。
【請求項１３】
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
記憶部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム。
（１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
（３）前記暗号ポートが、前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
（４）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
（５）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更する処理
（６）前記平文ポートが、前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理
【請求項１４】
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム
（１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定する処理
（３）前記平文ポートが、前記決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
（４）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定する処理
（５）暗号化を決定した場合には前記応答パケットを暗号化する処理
（６）前記暗号ポートが、暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理
【請求項１５】
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム
（１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
（３）前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化する処理
（４）前記暗号ポートが、暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
（５）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
（６）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更する処理
（７）前記平文ポートが、前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理。
【請求項１６】
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム
（１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信する処理
（２）前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号する処理
（３）復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
（４）前記平文ポートが、前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
（５）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定する処理
（６）前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化する処理
（７）前記暗号ポートが、暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理
【請求項１７】
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム
（１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定する処理
（３）前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化する処理
（４）前記暗号ポートが、暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すホップリミットとを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
（５）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
（６）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記ホップリミットをデクリメントすることなく維持する処理
（７）前記平文ポートが、前記ホップリミットの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理
【請求項１８】
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム
（１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すホップリミットとを含む暗号化されたアドレス解決問い合わせパケットを受信する処理
（２）前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号する処理
（３）復号した前記アドレス解決問い合わせパケットに含まれる前記ホップリミットの値をデクリメントすることなく維持する処理
（４）前記平文ポートが、前記ホップリミットの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
（５）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定する処理
（６）暗号化を決定した場合には前記応答パケットを暗号化する処理
（７）前記暗号ポートが、前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、端末装置が送信したパケットをネットワーク上で暗号化、復号することにより、データが盗聴されることを防ぐ、データ暗号装置、アドレス解決方法及びアドレス解決プログラムに関する。
【背景技術】
【０００２】
図２２は、インターネット３２０を介して端末装置の間で通信をする場合の例である。端末装置１０はスイッチ３０に接続され、端末装置３５０はスイッチ３４０に接続されている。スイッチ間にはルータ３１０、ルータ３３０が設置されている。端末装置１０は、端末装置３５０にデータを送信する場合、Ｎｅｘｔ  Ｈｏｐであるルータ３１０に対してパケットを送信する。ルータ３１０は、内部に保持しているルーティング情報を参照して受信したパケットをルータ３３０に転送する。ルータ３３０は、転送されたパケットを端末装置３５０に送信する。【０００３】
ＩＰｖ６では、暗号通信の際に使用するプロトコルの１つであるＩＰｓｅｃ（ＩＰ  Ｓｅｃｕｒｉｔｙ  Ｐｒｏｃｏｔｏｌ）が標準機能となっている。このため、図２２の端末装置１０，端末装置３５０でデータを暗号化することは可能である。【０００４】
しかし、暗号化により、ネットワーク管理者が端末装置の監視が困難になるため、企業ネットワークではネットワーク上に設置されたルータ３１０，ルータ３３０によってデータを暗号化、復号するケースが多くみられる。ルータによる暗号化では、同一リンク上に配置された端末間（端末装置１０−端末装置２０）の通信には暗号化は適用することができない。端末装置１０，端末装置２０が接続されたスイッチ３０の下に、それぞれルータを導入することは可能である。しかし、ルータは異なるネットワーク間を接続するものであり、端末装置１０，端末装置２０のアドレス構成を変更しなければならないという課題がある。【０００５】
同一リンク上の端末装置間の通信に暗号通信を導入する方法として、論文「“Ｔｒａｎｓｐａｒｅｎｔ  ｎｅｔｗｏｒｋ  Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｅｎｆｏｒｃｅｍｅｎｔ”，ＵＳＥＮＩＸ，Ｆｒｅｅｎｉｘ  Ｔｒａｃｋ，Ｐｒｏｃｅｅｄｉｎｇｓ，ｐｐ．２１５−２２６．Ａｕｇｕｓｔ  １９９７」（非特許文献１）がある。このデータ暗号装置は、後述する図１のように設置され、端末装置１０と端末装置２０との間に暗号通信を適用することが可能となる。端末装置１０と端末装置２０との間では、図２３に示すように、通信に先立ち、通信相手の端末装置のアドレスを解決するため、アドレス問い合わせパケット（Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎ／Ｎｅｉｇｈｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ）が送受信される。データ暗号装置は、アドレス解決応答（Ｎｅｉｇｈｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ）パケット４９を暗号化し、復号時にヘッダ内のＨｏｐ  Ｌｉｍｉｔをデクリメントする。ＲＦＣ（Ｒｅｑｕｅｓｔ  Ｆｏｒ  Ｃｏｍｍｅｎｔ）では、Ｎｅｉｇｈｂｏｒ  ＡｄｖｅｒｔｉｓｅｍｅｎｔパケットのＨｏｐ  Ｌｉｍｉｔは２５５でなければならないと決まっている。このため、Ｈｏｐ  Ｌｉｍｉｔがデクリメントされたパケットを受信した端末装置は、エラーパケットとしてこのパケットを廃棄する。このため、アドレス解決が完了せず、端末装置は通信できないという課題がある。【０００６】
アドレス解決の問題を導入する方法として、論文「“Ａ  Ｒｅｐｅａｔｅｒ  Ｅｎｃｒｙｐｔｉｏｎ  Ｕｎｉｔ  ｆｏｒ  ＩＰｖ４  ａｎｄ  ＩＰｖ６”，２００５  １３ｔｈ  ＩＥＥＥ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｎｅｔｗｏｒｋ，Ｐｒｏｃｅｅｄｉｎｇｓ  ｖｏｌ．１，ｐｐ．３３５−３４０．Ｎｏｖｅｍｂｅｒ  ２００５」（非特許文献２）がある。このデータ暗号装置は、上記と同様、図１のように設置される。データ暗号装置は、図２４に示すように、「Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎ／Ｎｅｉｇｈｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ」を含むネットワーク制御のためのパケットを暗号化せずに、平文のまま送信するため、アドレス解決の内容が解析されてしまうという課題がある。
【非特許文献１】「“Ｔｒａｎｓｐａｒｅｎｔ  ｎｅｔｗｏｒｋ  Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｅｎｆｏｒｃｅｍｅｎｔ”，ＵＳＥＮＩＸ，Ｆｒｅｅｎｉｘ  Ｔｒａｃｋ，Ｐｒｏｃｅｅｄｉｎｇｓ，ｐｐ．２１５−２２６．Ａｕｇｕｓｔ  １９９７」
【非特許文献２】「“Ａ  Ｒｅｐｅａｔｅｒ  Ｅｎｃｒｙｐｔｉｏｎ  Ｕｎｉｔ  ｆｏｒ  ＩＰｖ４  ａｎｄ  ＩＰｖ６”，２００５  １３ｔｈ  ＩＥＥＥ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｎｅｔｗｏｒｋ，Ｐｒｏｃｅｅｄｉｎｇｓ  ｖｏｌ．１，ｐｐ．３３５−３４０．Ｎｏｖｅｍｂｅｒ  ２００５」
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明は、同一リンク上の端末装置間の通信に暗号通信を適用する暗号装置において、Ｈｏｐ  Ｌｉｍｉｔが２５５であるというＲＦＣ規定に基づくアドレス解決を図り、かつ、アドレス解決の内容が解析されるのを防ぐことを目的とする。
【課題を解決するための手段】
【０００８】
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部とを備え、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。【０００９】
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定し、
前記平文ポートは、
前記アドレス解決処理部の決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。【００１０】
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号処理部は、
前記アドレス処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。【００１１】
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記平文ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。【００１２】
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すＨｏｐ  Ｌｉｍｉｔとを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記Ｈｏｐ  Ｌｉｍｉｔをデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記Ｈｏｐ  Ｌｉｍｉｔの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。【００１３】
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すＨｏｐ  Ｌｉｍｉｔとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記Ｈｏｐ  Ｌｉｍｉｔの値をデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記Ｈｏｐ  Ｌｉｍｉｔの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。【００１４】
この発明のアドレス解決方法は、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。【００１５】
この発明のアドレス解決方法は、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定し、
前記平文ポートは、
前記アドレス解決処理部の決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。【００１６】
この発明のアドレス解決方法は、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号処理部は、
前記アドレス処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。【００１７】
この発明のアドレス解決方法は、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記平文ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。【００１８】
この発明のアドレス解決方法は、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が実行するアドレス解決方法において、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すＨｏｐ  Ｌｉｍｉｔとを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記Ｈｏｐ  Ｌｉｍｉｔをデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記Ｈｏｐ  Ｌｉｍｉｔの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。【００１９】
この発明のアドレス解決方法は、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が実行するアドレス解決方法において、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すＨｏｐ  Ｌｉｍｉｔとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記Ｈｏｐ  Ｌｉｍｉｔの値をデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記Ｈｏｐ  Ｌｉｍｉｔの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。【００２０】
この発明のアドレス解決プログラムは、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
記憶部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
（３）前記暗号ポートが、前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
（４）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
（５）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更する処理
（６）前記平文ポートが、前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理【００２１】
この発明のアドレス解決プログラムは、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定する処理
（３）前記平文ポートが、前記決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
（４）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定する処理
（５）暗号化を決定した場合には前記応答パケットを暗号化する処理
（６）前記暗号ポートが、暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理【００２２】
この発明のアドレス解決プログラムは、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
（３）前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化する処理
（４）前記暗号ポートが、暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
（５）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
（６）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更する処理
（７）前記平文ポートが、前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理。【００２３】
この発明のアドレス解決プログラムは、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信する処理
（２）前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号する処理
（３）復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
（４）前記平文ポートが、前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
（５）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定する処理
（６）前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化する処理
（７）前記暗号ポートが、暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理【００２４】
この発明のアドレス解決プログラムは、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定する処理
（３）前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化する処理
（４）前記暗号ポートが、暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すＨｏｐ  Ｌｉｍｉｔとを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
（５）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
（６）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記Ｈｏｐ  Ｌｉｍｉｔをデクリメントすることなく維持する処理
（７）前記平文ポートが、前記Ｈｏｐ  Ｌｉｍｉｔの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理【００２５】
この発明のアドレス解決プログラムは、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すＨｏｐ  Ｌｉｍｉｔとを含む暗号化されたアドレス解決問い合わせパケットを受信する処理
（２）前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号する処理
（３）復号した前記アドレス解決問い合わせパケットに含まれる前記Ｈｏｐ  Ｌｉｍｉｔの値をデクリメントすることなく維持する処理
（４）前記平文ポートが、前記Ｈｏｐ  Ｌｉｍｉｔの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
（５）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定する処理
（６）暗号化を決定した場合には前記応答パケットを暗号化する処理
（７）前記暗号ポートが、前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理
【発明の効果】
【００２６】
この発明により、同一リンク上の端末装置間の通信に暗号通信を適用する暗号装置において、Ｈｏｐ  Ｌｉｍｉｔが２５５であるというＲＦＣ規定に基づくアドレス解決を図り、かつ、アドレス解決の内容が解析されるのを防ぐことができる。
【発明を実施するための最良の形態】
【００２７】
実施の形態１．
図１〜図１２を使用して実施の形態１を説明する。実施の形態１は、アドレス解決処理において、データ暗号装置が、Ｎｅｉｇｈｂｏｒ  Ｄｉｓｃｏｖｅｒｙ  パケットに含まれるアドレスを書き換える実施形態である。データ暗号装置は、アドレスを書き換えることにより、端末装置に代わりアドレス解決を実行する。これにより、データ暗号装置において、通信が一旦終端する。このため、Ｎｅｉｇｈｂｏｒ  Ｄｉｓｃｏｖｅｒｙ  パケットに含まれるＨｏｐ  Ｌｉｍｉｔのデクリメントは、発生せず、アドレス解決が可能となる。【００２８】
図１は、実施の形態１におけるデータ暗号装置の接続されたシステムの構成を示す。端末装置１０と端末装置２０とは、データ暗号装置を介してスイッチ３０に接続されている。端末装置３５０は、スイッチ３４０に接続されている。スイッチ間には、インターネット３２０を介して、ルータ３１０とルータ３３０とが設置されている。ルータ３１０とルータ３３０とはインターネット３２０に接続している。端末装置３５０はスイッチ３４０に接続しており、スイッチ３４０はルータ３３０に接続している。【００２９】
データ暗号装置１００は、端末装置１０とスイッチ３０との間に設置されている。データ暗号装置２００は、端末装置２０とスイッチ３０との間に設置されている。データ暗号装置は、ルータ（レイヤ３）ではなくレイヤ２で動作する。このため、データ暗号装置の上流ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ：暗号ＬＡＮ５０、暗号ＬＡＮ６０）及び下流ＬＡＮ（平文ＬＡＮ４０、平文ＬＡＮ７０）のネットワークアドレス（リンクレイヤアドレス）は同一である。端末装置１０、端末装置２０、データ暗号装置１００、及びデータ暗号装置２００は同一リンク上に設置されており、端末装置１０と端末装置２０とは、ルータを介さずに通信することが可能である。【００３０】
図２は、図１のシステムにおいて、データ暗号装置１００とデータ暗号装置２００との構成を示す図である。データ暗号装置１００とデータ暗号装置２００とは、同じ構成である。データ暗号装置１００の構成を説明する。データ暗号装置１００は、記憶部１０２と、平文ポート１０３と、暗号ポート１０４と、送受信制御部１０５と、プロトコル解析部１０６と、後述のＳＰＤ／ＳＡＤを格納するＳＰＤ／ＳＡＤ格納部１０７（暗号通信条件格納部）と、暗号化／復号部１０８（暗号処理部）と、ＮＤアドレス解決処理部１０９とを備える。これらの構成要素の機能は以下の動作の説明で述べる。【００３１】
図３は、実施の形態１におけるアドレス解決処理を示すシーケンス図である。図３では、それぞれのＮＳパケット（後述する）、ＮＡパケット（後述する）に含まれるアドレスの内容を示している。図３、及び以下の説明において、
ＤＡは、宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ  Ａｄｄｒｅｓｓ）を示し、
ＳＡは、送信元アドレス（Ｓｏｕｒｃｅ  Ａｄｄｒｅｓｓ）を示し、
ＴＡは、ターゲットアドレス（Ｔａｒｇｅｔ  Ａｄｄｒｅｓｓ）を示し、
ＬＡは、リンクレイヤアドレス（Ｌｉｎｋ  Ｌａｙｅｒ  Ａｄｄｒｅｓｓ）を示す。
このうち、ＬＡのみが物理アドレス（例えばＭＡＣアドレス）であり、他のアドレスは論理アドレス（例えばＩＰｖ６アドレス）である。例えば、ＮＳパケット３１において「ＳＡ：端末１０」とあるのは、ＮＳパケット３１のＳＡが端末装置１０のＩＰｖ６アドレスであることを示し、「ＬＡ：端末１０」とあるのは、ＮＳパケット３１のＬＡが端末装置１０のＭＡＣアドレスであることを示す。以下の説明で、「ＳＡのアドレスが端末装置１０」とあるのは、ＳＡのアドレスが端末装置１０のアドレスであることを意味する。そして、ＬＡの場合は物理アドレスであり、ＬＡ以外のアドレスの場合は、論理アドレスである。図３を参照して、アドレス解決処理の動作を説明する。【００３２】
（Ｓ３１：端末装置１０がＮＳパケット３１を送信）
図３に示すように、端末装置１０は、端末装置２０にデータを送信するにあたり、端末装置２０のリンクレイヤアドレス（物理アドレス）を取得するため、アドレス解決問い合わせ（Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎ）のための「Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎ  パケット」（以下、ＮＳパケットという。）を端末装置２０宛に送信する（ステップＳ３１）。【００３３】
（Ｓ３２：データ暗号装置１００が平文ポート１０３からＮＳパケット３２を受信）
データ暗号装置１００の送受信制御部１０５は、平文ポート１０３を介して端末装置１０からＮＳパケット３１を受信する（ステップＳ３２）。データ暗号装置１００のプロトコル解析部１０６は、平文ポート１０３が受信したパケットを解析する。プロトコル解析部１０６による解析の結果、ＮＳパケットである場合には、ＮＤアドレス解決処理部１０９が、平文ポート１０３から受信したＮＳパケット３１の処理を行う。平文ポート１０３からＮＳパケット３１を受け取った際のＮＤアドレス解決処理部１０９による具体的な処理は、図５で後述する。【００３４】
（ＮＤパケットの説明）
ここで、図３の説明を続ける前に、図４を用いて「Ｎｅｉｇｈｂｏｒ  Ｄｉｓｃｏｖｅｒｙ（Ｓｏｌｉｃｉｔａｔｉｏｎ及びＡｄｖｅｒｔｉｓｅｍｅｎｔ）パケット」（以下、ＮＤパケットという。）を説明する。「ＮＤパケット」は、「Ｎｅｉｇｈｂｏｒ  Ｓｏｌｉｃｉｔａｔｉｏｎ  パケット」（以下、ＮＳパケットという）」あるいは、「Ｎｅｉｇｈｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ  パケット」（以下、ＮＡパケットという）として通信される。ＮＤパケットは、ターゲットアドレスを持つ端末装置に向かう時にはＮＳパケットであり、また、ターゲットアドレスを持つ端末装置から返信される場合にはＮＡパケットである。【００３５】
図４は、「アドレス解決」に使用するＮＤパケットの構造を示している。ＮＤパケットはＩＰｖ６ヘッダ及びＮＤデータから構成される。ＩＰｖ６ヘッダは、（１）バージョン、（２）Ｃｌａｓｓ、（３）Ｆｌｏｗ  ｌａｂｅ、（４）ペイロード長、（５）次ヘッダ、（６）Ｈｏｐ  Ｌｉｍｉｔ、（７）ＳＡ（Ｓｏｕｒｃｅ  Ａｄｄｒｅｓｓ）、（８）ＤＡ（Ｄｅｓｔｉｎａｔｉｏｎ  Ａｄｄｒｅｓｓ）の情報を含む。また、ＮＤデータは、（１）Ｔｙｐｅ、（２）Ｃｏｄｅ、（３）チェックサム、（４）フラグ、（５）ＴＡ（Ｔａｒｇｅｔ  Ａｄｄｒｅｓｓ）、（６）ＬＡ（Ｌｉｎｋ  Ｌａｙｅｒ  Ａｄｄｒｅｓｓ）の情報を含む。【００３６】
（Ｓ３２:データ暗号装置１００が平文ポート１０３からＮＳパケット３１を受信）
図５を参照して、データ暗号装置１００の平文ポート１０３がＮＳパケットを受信した際の、ＮＤアドレス解決処理部１０９による具体的な処理を説明する。図５は、データ暗号装置１００が平文ポート１０３からＮＳパケットを受信した場合に、ＮＤアドレス解決処理部１０９が実行する処理を示すフローチャートである。【００３７】
図５において、Ｓ１０１、Ｓ１０２、Ｓ１０３、Ｓ１０４の一連のステップが、本実施の形態１に関する処理である。データ暗号装置１００のＮＤアドレス解決処理部１０９は、受信したＮＳパケット３１のＴＡが自局アドレスと一致するかをチェックする（ステップＳ１０１）。図３に示すように、ＮＳパケット３１のＴＡは端末装置２０のためアドレスは一致しない。このため、ＮＤアドレス解決処理部１０９は、ＮＳパケット３１に含まれるＳＡ、ＴＡ、ＬＡをデータ暗号装置１００の記憶部１０２に保持する（ステップＳ１０２）。そして、ＮＤアドレス解決処理部１０９は、ＮＳパケット３１のＳＡをデータ暗号装置１００のＩＰｖ６アドレス（論理アドレス）に書き換え、及びＬＡをデータ暗号装置１００のリンクレイヤアドレス（物理アドレス）に書き換える（ステップＳ１０３）。送受信制御部１０５は、ＳＡとＬＡとが書き換えられたＮＳパケット３２を暗号ポート１０４から送信する（ステップＳ１０４）。【００３８】
図５のＳ１０５以降は、本実施の形態１の特徴を示すステップではないので簡単に説明する。端末装置１０がデータ暗号装置１００と通信する場合に送信するＮＳパケット（データ暗号装置１００のリンクレイヤアドレスを要求するＮＳパケット）は、ＴＡがデータ暗号装置１００のＩＰｖ６アドレスである。よって、図５のステップＳ１０１において、アドレスが一致する。このため、データ暗号装置１００は、Ｓ１０５以降の処理を実行する。この場合、データ暗号装置１００は、データ暗号装置１００のリンクレイヤアドレス（物理アドレス）を格納した「Ｎｅｉｇｈｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ  パケット」を生成し（ステップＳ１０５）、このＮＡパケットを平文ポート１０３及び暗号ポート１０４から送信する。暗号ポート１０４への送信に対しては、暗号通信の通信条件が設定されたＳＰＤ／ＳＡＤ格納部１０７を参照する（ステップＳ１０７）。【００３９】
（ＳＰＤ、ＳＡＤの説明）
図６は、ＳＰＤ／ＳＡＤ格納部１０７に保持されている、暗号通信条件を規定するＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）の設定例を示す。また、図７は、ＳＰＤ／ＳＡＤ格納部１０７に保持されている、暗号通信の条件を規定するＳＡＤ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ  Ｄａｔａｂａｓｅ）の設定例を示す。図６に示すように、ＳＰＤは、送信元アドレス（ＳＡ）、宛先アドレス（ＤＡ）、プロトコル、処理種別、及び暗号化時のトンネルアドレスが設定される。ＮＤアドレス解決処理部１０９は、ＳＰＤの示すアドレス及びプロトコルの条件に一致したパケットに対して、ＳＰＤの処理種別に従って、暗号中継、平文中継、廃棄のいずれかの処理をする。暗号中継の場合には、暗号化時のトンネルのアドレスが設定される。【００４０】
図７に示すように、ＳＡＤには、暗号通信のパラメータが設定され、ＳＰＤの処理種別が暗号中継の場合に参照する。ＳＡＤは、トンネルアドレス、暗号プロトコル、ＳＰＩ（Ｓｅｃｕｒｉｔｙ  Ｐａｒａｍｅｔｅｒ  Ｉｎｄｅｘ）、暗号アルゴリズム、暗号鍵、ハッシュアルゴリズム、ハッシュ鍵といった情報を持つ。【００４１】
図６に示すように、端末装置１０から端末装置２０宛のすべてのプロトコルのパケットは、暗号化される設定である。図７に示すように、トンネルのアドレスは、データ暗号装置１００−データ暗号装置２００である。データ暗号装置１００−データ暗号装置２００の暗号通信には、ＥＳＰを用いる。
図７に示すように、ＳＡＤは、
ＳＰＩ：０ｘ１１１１、
アルゴリズム：ＤＥＳ、
暗号鍵１１２２３３４４５５、
ハッシュアルゴリズム：ＨＭＡＣ−ＳＨＡ１、
ハッシュ鍵１１２２３３４４５５
を使用する設定である。【００４２】
（Ｓ３３：データ暗号装置２００が暗号ポートからＮＳパケットを受信）
図３を参照して説明を続ける。データ暗号装置２００は、データ暗号装置１００が送信したＮＳパケット３２を暗号ポート２０４から受信する（Ｓ３３）。プロトコル解析部２０６が、このパケットを解析する。プロトコル解析部２０６による解析の結果、ＮＳパケットである場合には、ＮＤアドレス解決処理部２０９が、平文ポート２０３から受信したＮＳパケット３２の処理を行う。【００４３】
図８は、データ暗号装置２００が暗号ポート２０４からＮＳパケット３２を受信した場合に、ＮＤアドレス解決処理部２０９が実行する処理を示すフローチャートである。図８を参照して説明する。Ｓ１３１、Ｓ１３２が本実施の形態１に関するステップである。まず、ＮＤアドレス解決処理部２０９は、受信したＮＳパケット３２のＴＡが自局アドレスと一致するかをチェックする（ステップＳ１３１）。図３に示すように、ＮＳパケット３２のＴＡは端末装置２０のため、アドレスは一致しない。よって、ＮＤアドレス解決処理部２０９は、アドレスは一致しないと判断する（Ｓ１３１のＮｏ）。この場合、ＮＤアドレス解決処理部２０９は、送受信制御部２０５を用いて、受信したＮＳパケット３２をＮＳパケット３３として平文ポート２０３から送信させる（ステップＳ１３２）。【００４４】
図８のＳ１３３以降は、本実施の形態１の特徴を示すステップではないので簡単に説明する。データ暗号装置２００に対するアドレス解決（データ暗号装置２００のリンクレイヤアドレスを要求するＮＳパケット）の場合は、図８のステップＳ１３１においてアドレスが一致する。このため、データ暗号装置２００は、自己のリンクレイヤアドレスを格納したＮＡパケットを生成し、平文ポート２０３及び暗号ポート２０４から送信する。手順は、図５のＳ１０６以降と同様である。この場合、データ暗号装置２００から端末装置１０へのＮＡパケットはＳＰＤの条件には一致しない。このため、このＮＡパケットは、平文のまま暗号ポート２０４から送信される。【００４５】
（Ｓ３４：端末装置２０の動作）
図３に示すように、端末装置２０は、データ暗号装置２００が送信したＮＳパケット３３を受信する（Ｓ３４）。端末装置２０は、ＮＳパケット３３内のターゲットアドレスＴＡと自身のアドレス（ＩＰｖ６アドレス）が一致するため、リンクレイヤアドレス部分に端末装置２０のＭＡＣアドレス（物理アドレス）を格納する。また、端末装置２０は、「宛先アドレスＤＡ：データ暗号装置１００」、及び「送信元アドレスＳＡ：端末装置２０」を含むＮＡパケット３４をＮＳパケット３３に応答する応答パケットとしてデータ暗号装置１００宛に送信する。【００４６】
（Ｓ３５：データ暗号装置２００が平文ポート２０３からＮＡパケット３４を受信）
データ暗号装置２００は、端末装置２０が送信したＮＡパケット３４を平文ポート２０３から受信する（ステップＳ３５）。プロトコル解析部２０６がパケットを解析する。プロトコル解析部２０６による解析の結果、ＮＡパケットの場合は、ＮＤアドレス解決処理部２０９が、平文ポート２０３から受信したＮＡパケット３４に対する処理を行う。【００４７】
図９は、データ暗号装置２００が平文ポート２０３からＮＡパケット３４を受信した場合に、ＮＤアドレス解決処理部２０９が実行する処理を示すフローチャートである。図９を参照して説明する。Ｓ１２１〜Ｓ１２４が本実施の形態１に関するステップである。まず、ＮＤアドレス解決処理部２０９は、ＮＡパケット３４の宛先アドレスＤＡが自局アドレス（ＩＰｖ６アドレス）と一致するかをチェックする（ステップＳ１２１）。図３に示すように、ＮＡパケット３４の宛先アドレスＤＡはデータ暗号装置１００であり、アドレスは一致しない。この場合、ＮＤアドレス解決処理部２０９は、ＳＰＤ／ＳＡＤを参照し、パケットを暗号化するかどうかを判定する（ステップＳ１２２）。図６に示したように、ＳＰＤは、端末装置２０とデータ暗号装置１００との間で通信されるパケットを暗号化する設定である。このため、ＮＤアドレス解決処理部２０９は、暗号化と判定する（Ｓ１２２，Ｓ１２３）。ＮＤアドレス解決処理部２０９の判定に従って、暗号化／復号部２０８が、ＳＡＤに設定されている暗号アルゴリズム、暗号鍵、ハッシュアルゴリズム、ハッシュ鍵を用いてＮＡパケット３４を暗号化する（ステップＳ１２３）。送受信制御部２０５は、暗号化されたＮＡパケット３４をＮＡパケット３５（暗号化応答パケット）として暗号ポート２０４から送信する（ステップＳ１２４）。【００４８】
図９のステップＳ１２７は、本実施の形態１の特徴を示すステップではないので簡単に説明する。データ暗号装置２００と端末装置２０とが通信する場合など、データ暗号装置２００からＮＳパケットを送信した場合、このＮＳパケットに対する応答であるＮＡパケットをデータ暗号装置２００が受信した場合には、ＤＡはデータ暗号装置２００のアドレスに一致する。この場合、データ暗号装置２００は、このＮＡパケット内のターゲットアドレスＴＡ，リンクレイヤアドレスＬＡをＮｅｉｇｈｂｏｒ  Ｃａｃｈｅに登録する（ステップＳ１２７）。【００４９】
（Ｓ３６：データ暗号装置１００が暗号ポート１０４からＮＡパケット３５を受信）
データ暗号装置１００は、データ暗号装置２００が送信した暗号化されているＮＡパケット３５を受信する（ステップＳ３６）。【００５０】
図１０は、データ暗号装置１００が暗号ポート２０４からＮＡパケット３５を受信した場合に、ＮＤアドレス解決処理部１０９が実行する処理を示すフローチャートである。図１０を参照して説明する。Ｓ１４１〜Ｓ１４７が本実施の形態１に関するステップである。【００５１】
図１０のフローにしたがって、暗号化／復号部１０８が、暗号化されているＮＡパケット３５を復号する（ステップＳ１４１、Ｓ１４２）。次に、ＮＤアドレス解決処理部１０９は、復号されたＮＡパケット３５の宛先アドレスＤＡが自局アドレスと一致するかをチェックする（ステップＳ１４３）。図３に示すように、ＮＡパケット３５は、データ暗号装置１００が送信元アドレスＳＡとリンクレイヤアドレスＬＡとを自己のアドレスに書き換えたＮＳパケット３２に対する応答である。このため、宛先アドレスＤＡは自局アドレスと一致する（Ｓ１４３のＹｅｓ）。次に、ＮＤアドレス解決処理部１０９は、ターゲットアドレスＴＡ，リンクレイヤアドレスＬＡを「Ｎｅｉｇｈｂｏｒ  Ｃａｃｈｅ」に登録する（ステップＳ１４４）。そして、ＮＤアドレス解決処理部１０９は、先に保持しているターゲットアドレスＴＡの情報（図５のＳ１０２）と、受信したＮＡパケット３５のターゲットアドレスＴＡとが一致するため、復号したＮＡパケット３５の宛先アドレスＤＡを端末装置１０に変更する（ステップＳ１４５、Ｓ１４６）。このＮＡパケット３５は、ＮＡパケット３６として平文ポート１０３から送信される（ステップＳ１４７）。【００５２】
このとき、データ暗号装置１００のＮＤアドレス解決処理部１０９は、ＮＡパケット３６の「Ｈｏｐ  Ｌｉｍｉｔ」を、２５５に設定して端末装置１０に送信する。【００５３】
（Ｓ３７：端末装置１０）
端末装置１０は、ＮＡパケット３６を受信する（ステップＳ１３７）。端末装置１０は、ＮＡパケット３６の「Ｈｏｐ  Ｌｉｍｉｔ」が２５５であるため正常パケットと判断し、ＮＡパケット３６から端末装置２０のリンクレイヤアドレス（ＭＡＣアドレス）を取り出す。これにより、アドレス解決が完了する。【００５４】
（アドレス解決後の端末装置間のデータ通信）
図１１、図１２は、アドレス解決後の端末装置間のデータ通信のフローチャートを示す。図３に示すように、端末装置１０は、取得した端末装置２０のリンクレイヤアドレスを用いて、端末装置２０宛のデータ３７を送信する。以降は、以下の手順で、端末装置１０と端末装置２０とが、データ暗号装置１００，データ暗号装置２００を介して暗号通信を行う。データ３７を受信したデータ暗号装置１００は、図１１の処理を行う。データ暗号装置１００は、ＳＰＤ／ＳＡＤに設定された暗号条件によりパケットを暗号化して、暗号ポート１０４から送信する（ステップＳ１５１、Ｓ１５２、Ｓ１５３）。暗号化されたデータ３８を受信したデータ暗号装置２００は、図１２の処理を行う。データ暗号装置２００は、データ３８を復号し（Ｓ１６１、Ｓ１６２）、復号後のパケットに対してＳＰＤ／ＳＡＤを参照し、暗号化の場合に平文ポート２０３から送信する（ステップＳ１６５）。【００５５】
以上のように、データ暗号装置は、端末装置が送信したＮＤ問い合わせパケット（ＮＳパケット）のアドレスを書き換え、端末装置の代わりにアドレス解決を代行する。このため、アドレス解決は一旦、データ暗号装置で終端し、その後に端末装置にアドレス解決結果が通知されることなる。よって、パケットのＨｏｐ  Ｌｉｍｉｔのデクリメントによるアドレス解決の失敗を防ぐことが可能となる。【００５６】
以上の実施の形態１では、データ暗号装置１００が、アドレスを書き換えた。
すなわち、
（１）データ暗号装置１００は、端末装置１０からＮＳパケットを受信した場合、ＳＡ、ＴＡ、ＬＡを記憶部１０２に格納した後、ＳＡ、ＬＡを次のように書き換え、ＮＳパケットをマルチキャストアドレス送信する。データ暗号装置１００は、ＳＡ（端末装置１０のＩＰｖ６アドレス）をデータ暗号装置１００のＩＰｖ６アドレスに書き換え、ＬＡ（送信元ＭＡＣアドレス）をデータ暗号装置１００のＭＡＣアドレスに書き換える。
（２）データ暗号装置２００は、受信したＮＳパケットのＴＡが自己のアドレスと一致しない場合は、受信したＮＳパケットをそのまま中継する。
（３）端末装置２０は、受信したＮＳパケットのＴＡが自己のＩＰｖ６アドレスと一致するので、受信したＮＳパケットのＬＡに自己のＭＡＣアドレスを格納し、ＮＡパケットとしてデータ暗号装置２００宛に送信する。
（３）ＮＡパケットを受信したデータ暗号装置２００は、暗号通信条件ＳＰＤを参照し、参照結果に基づき、ＮＡパケットを暗号化してデータ暗号装置１００に送信する。
（４）データ暗号装置１００は、暗号化されたＮＡパケットを復号し、保持していたアドレスに書き換えて、端末装置１０宛に送信する。
（５）以上のように、データ暗号装置１００がＮＤアドレスを書き換え、端末装置１０の代わりにアドレス解決を実行する。これにより、通信がデータ暗号装置１００で一旦終端した後に、実行結果を端末装置１０に通知するため、Ｈｏｐ  Ｌｉｍｉｔのデクリメントが発生せず、アドレス解決が可能となる。【００５７】
実施の形態２．
図１３〜図１６を使用して実施の形態２を説明する。実施の形態２は、実施の形態１に対して、データ暗号装置１００がＮＳパケット３１を暗号化し、暗号化したＮＳパケット３１をＮＳパケット４３としてデータ暗号装置２００に送信する実施形態である。実施の形態２ではＮＳパケットを暗号化するので、セキュリティを向上することができる。【００５８】
実施の形態２のシステム構成及びデータ暗号装置の構成は、実施の形態１と同じである。【００５９】
図１３は、実施の形態２におけるアドレス解決処理を示すシーケンス図である。図１３を参照して、実施の形態２におけるアドレス解決処理の動作を説明する。図１３は、図３に対応する。図１３は、図３に対して破線で囲まれたＳ４３、Ｓ４４、Ｓ４５、Ｓ４６のステップの処理内容が異なる。端末装置１０が端末装置２０にデータを送信するにあたり、端末装置２０のリンクレイヤアドレスを取得するため、アドレス解決問い合わせパケット（ＮＳパケット３１）を端末装置２０宛に送信するのは実施形態１と同様である。【００６０】
（Ｓ４３：データ暗号装置１００がＮＳパケット３１を受信）
図１３のＳ３１は、図３のＳ３１と同じである。データ暗号装置１００の送受信制御部１０５は、図３と同様に、平文ポート１０３を介してＮＳパケット３１を受信する（Ｓ４３）。プロトコル解析部１０６が、受信したパケットを解析する。プロトコル解析部１０６による解析の結果、ＮＳパケットである場合には、ＮＤアドレス解決処理部１０９が、平文ポート１０３が受信したＮＳパケット３１の処理を行う。【００６１】
図１４は、実施の形態２において、データ暗号装置１００が平文ポート１０３からＮＳパケット３１を受信した場合に、ＮＤアドレス解決処理部１０９が実行する処理を示すフローチャートである。図１４を参照して説明する。Ｓ１７１〜Ｓ１７７が本実施の形態２に関するステップである。【００６２】
まず、ＮＤアドレス解決処理部１０９は、受信したＮＳパケット３１のＴＡが自局アドレスと一致するかをチェックする（ステップＳ１７１）。図１３に示すように、ＮＳパケット３１のＴＡは端末装置２０である。よって一致せず（Ｓ１７１のＮｏ）、ＮＤアドレス解決処理部１０９は、ＮＳパケット３１内のＳＡ、ＴＡ、ＬＡをデータ暗号装置１００の記憶部１０２に保持する（ステップＳ１７２）。そして、ＮＤアドレス解決処理部１０９は、ＮＳパケット３１のＳＡ（端末装置１０）及びＴＡ（端末装置２０）を用いて、ＳＰＤ／ＳＡＤを検索する（ステップＳ１７３）。ＳＰＤは、図６のように、端末装置１０−端末装置２０の通信を暗号化する設定である。よって、ＮＤアドレス解決処理部１０９は、パケットの暗号化を決定する。ＮＤアドレス解決処理部１０９は、ＮＳパケット３１のＳＡを自己（データ暗号装置１００）のＩＰｖ６アドレスに書き換え、また、ＬＡを自己（データ暗号装置１００）のリンクレイヤアドレスに書き換える（ステップＳ１７５）。そして、暗号化／復号部１０８がＮＤアドレス解決処理部１０９の決定に従って、ＳＡとＬＡとが書き換えられたＮＳパケット３１を暗号化する（ステップＳ１７６）。ＮＤアドレス解決処理部１０９は、暗号化されたＮＳパケットの宛先にデータ暗号装置２００を設定する。送受信制御部１０５は、暗号化されたＮＳパケットをＮＳパケット４３として、暗号ポート１０４から送信する（ステップＳ１７７）。【００６３】
（Ｓ４４：データ暗号装置２００が暗号ポート２０４からＮＳパケット４３を受信）
データ暗号装置２００は、暗号ポート２０４から暗号化されたＮＳパケット４３を受信する（ステップＳ４４）。【００６４】
図１５は、データ暗号装置２００が暗号ポート２０４からＮＳパケット４３を受信した場合に、ＮＤアドレス解決処理部２０９が実行する処理を示すフローチャートである。図１５を参照して説明する。Ｓ２０１〜Ｓ２０６が本実施の形態２に関するステップである。Ｓ４４の内容を図１５を用いて説明する。【００６５】
データ暗号装置２００は、データ暗号装置１００が送信した暗号化されたＮＳパケット４３を暗号ポート２０４から受信する。暗号化／復号部２０８は、受信されたＮＳパケット４３を復号する（ステップＳ２０１、Ｓ２０２）。次に、ＮＤアドレス解決処理部２０９は、復号されたＮＳパケット４３のＴＡが自局アドレスと一致するかをチェックする（ステップＳ２０３）。図１３に示すように、ＮＳパケット４３のＴＡは端末装置２０のため一致しない（Ｓ２０３のＮｏ）。このため、ＮＤアドレス解決処理部２０９は、ＮＳパケット４３内のＳＡ、ＴＡ、ＬＡをデータ暗号装置２００の記憶部２０２に保持する（ステップＳ２０４）。ＮＤアドレス解決処理部２０９は、ＮＳパケット４３のＳＡをデータ暗号装置２００のＩＰｖ６アドレスに書き換え、ＬＡをデータ暗号装置２００のリンクレイヤアドレスに書き換える（ステップＳ２０５）。送受信制御部２０５は、このアドレスが書き換えられたＮＳパケットをＮＳパケット４４として平文ポート２０３から送信する（ステップＳ２０６）。【００６６】
（Ｓ４５：端末装置２０がＮＳパケット４４を受信）
端末装置２０は、ＮＳパケット４４を受信する（Ｓ４５）。データ暗号装置２００が送信したＮＳパケット４４を受信した端末装置２０は、実施の形態１と同様に、ＮＳパケット４４の内容を書き換え、ＮＳパケット４４に応答するＮＡパケット４５（応答パケット）としてデータ暗号装置２００に送信する。すなわち、データ暗号装置２００が送信するＮＳパケット４４において、ＤＡはマルチキャストであり、ＳＡはデータ暗号装置２００であり、ＴＡは端末２０であり、ＬＡはデータ暗号装置２００である。図１３に示すように、端末装置２０は、ＤＡをデータ暗号装置２００に書き換え、ＳＡを自己のアドレスに書き換え、ＬＡを自己の物理アドレスに書き換え、データ暗号装置２００に送信する。【００６７】
（Ｓ４６：データ暗号装置２００が平文ポート２０３からＮＡパケット４５を受信）
データ暗号装置２００は、端末装置２０が送信したＮＡパケット４５を平文ポート２０３から受信する（Ｓ４６）。プロトコル解析部２０６は、受信したパケットを解析する。ＮＤアドレス解決処理部２０９は、プロトコル解析部２０６による解析の結果、パケットがＮＡパケットの場合、平文ポート２０３から受信したＮＡパケット４５に対する処理を行う。【００６８】
図１６は、データ暗号装置２００が平文ポート２０３からＮＡパケット４５を受信した場合に、ＮＤアドレス解決処理部２０９が実行する処理を示すフローチャートである。図１６を参照して説明する。Ｓ１９１〜Ｓ１９７が本実施の形態２に関するステップである。【００６９】
図１３に示すように、ＮＡパケット４５のＤＡはデータ暗号装置２００のため（Ｓ１９１のＹｅｓ）、ＮＤアドレス解決処理部２０９は、ＴＡ，ＬＡをＮｅｉｇｈｂｏｒ  Ｃａｃｈｅに登録する（ステップＳ１９２）。ＮＤアドレス解決処理部２０９は、先に保持している（図１５のＳ２０４）ＴＡの情報と受信したＮＡパケット４５のＴＡとが一致するため（Ｓ１９３のＹｅｓ）、ＮＡパケット４５のＤＡを、データ暗号装置１００に変更する（ステップＳ１９３、Ｓ１９４）。次に、ＮＤアドレス解決処理部２０９は、ＤＡ（データ暗号装置１００）及びＳＡ（端末装置２０）を用いて、ＳＰＤ／ＳＡＤを検索し、パケットを暗号化するかどうかを判定する（ステップＳ１９５）。ＳＰＤには図６のように、端末装置２０とデータ暗号装置１００との間の通信を暗号化するよう設定されている。よって、ＮＤアドレス解決処理部２０９は、パケットの暗号化を決定する（Ｓ１９５の暗号化）。暗号化／復号部２０８は、ＮＤアドレス解決処理部２０９の決定に従って、ＤＡを変更したＮＡパケットを暗号化（ステップＳ１９６）する。図１３に示すように、送受信制御部２０５は、暗号化されたＮＡパケットをＮＡパケット３５（暗号化応答パケット）として暗号ポート２０４から送信する（ステップＳ１９７）。【００７０】
（Ｓ３６：データ暗号装置１００が暗号ポート１０４からＮＡパケット３５を受信）
データ暗号装置１００が、データ暗号装置２００の送信したＮＡパケット３５を暗号ポート１０４から受信した場合の処理は、実施の形態１の図１０と同様である。データ暗号装置１００は、ＮＡパケット３５を復号後、ＮＡパケット３５のＤＡを端末装置１０のＩＰｖアドレスに変更し（ステップＳ１４６）、「Ｈｏｐ  Ｌｉｍｉｔ２５５」のＮＡパケット３６を平文ポート１０３から送信する（ステップＳ１４７）。アドレス解決が完了した後において、端末装置１０が端末装置２０にデータを送信する際の動作は、実施の形態１の図１１、図１２と同様である。【００７１】
以上のように、データ暗号装置が端末の代わりにアドレス解決を代行するだけでなく、ＮＳパケット内のＳＡとＴＡとを用いてＳＰＤ／ＳＡＤを検索してＮＳパケットを暗号化して送信する。これより、アドレス問い合わせの内容が秘匿され、パケットのＨｏｐ  Ｌｉｍｉｔのデクリメントによるアドレス解決の失敗を防ぐとともに、セキュリティの向上を図ることができる。【００７２】
以上の実施の形態２では、データ暗号装置１００がＮＳパケットを暗号化した。すなわち、データ暗号装置１００は、ＳＡ、ＴＡの情報をもとに暗号通信条件ＳＰＤを参照し、ＮＳパケットを暗号化し、データ暗号装置２００のアドレスを宛先に付与してデータ暗号装置に送信する。この場合、マルチキャストアドレスは使用しない。データ暗号装置２００は、暗号化されたＮＳパケットを復号しＮＳパケットを取り出し、マルチキャスト宛に送信する。このようにＮＳパケットも暗号化するのでセキュリティを向上することができる。【００７３】
実施の形態３．
図１７〜図２０を使用して実施の形態３を説明する。実施の形態２では、データ暗号装置１００が、実施の形態１のＮＳパケット３２に相当するパケットを暗号化し、ＮＳパケット４３として送信した。実施の形態３は、データ暗号装置１００が、端末装置１０の送信したＮＳパケット３１を暗号化する実施形態である。このようにＮＳパケットを暗号化するので、実施の形態２と同様に、セキュリティを向上することができる。【００７４】
実施の形態３のシステム構成及びデータ暗号装置の構成は、実施の形態１と同じである。【００７５】
図１７は、実施の形態３におけるアドレス解決処理を示すシーケンス図である。図１７は、図３に対応する。図１７を参照して、実施の形態３におけるアドレス解決処理の動作を説明する。図１７は、図３に対して、破線で囲まれたＳ４７、Ｓ４８、Ｓ４９、Ｓ５０、Ｓ５１のステップの処理内容が異なる。なおＳ５０は、実施の形態１に対してＮＡパケットの内容が異なり、後述のように処理のフローは同様である。図１７を参照して、実施の形態３におけるアドレス解決処理の動作を説明する。【００７６】
端末装置１０が端末装置２０にデータを送信するにあたり、端末装置２０のリンクレイヤアドレスを取得するため、端末装置１０がアドレス解決問い合わせパケット（ＮＳパケット３１）を端末装置２０宛に送信するのは実施形態１と同様である。【００７７】
（Ｓ４７：データ暗号装置１００がＮＳパケット３１を受信）
端末装置１０は、ＮＳパケット３１を送信する（Ｓ３１）。データ暗号装置１００の送受信制御部１０５は、平文ポート１０３を介してＮＳパケット３１を受信する（Ｓ４７）。プロトコル解析部１０６が、受信したパケットを解析する。プロトコル解析部１０６による解析の結果、ＮＳパケットである場合には、ＮＤアドレス解決処理部１０９が、平文ポート１０３から受信したＮＳパケット３１の処理を行う。【００７８】
図１８は、データ暗号装置１００が平文ポート１０３からＮＳパケット３１を受信した場合に、ＮＤアドレス解決処理部１０９が実行する処理を示すフローチャートである。図１８を参照して説明する。Ｓ２２１〜Ｓ２２５が本実施の形態３に関するステップである。【００７９】
ＮＤアドレス解決処理部１０９は、受信したＮＳパケット３１のＴＡが自局アドレスと一致するかをチェックする（ステップＳ２２１）。図１７に示すように、ＮＳパケット３１のＴＡは端末装置２０のためアドレスは一致しない（Ｓ２２１のＮｏ）。ＮＤアドレス解決処理部１０９は、ＮＳパケット３１のＳＡ（端末装置１０）及びＴＡ（端末装置２０）を用いてＳＰＤ／ＳＡＤを検索し、パケットを暗号化するかどうかを判定する（ステップＳ２２２）。この場合、ＮＤアドレス解決処理部１０９は、ＳＰＤ／ＳＡＤの設定にしたがって、ＮＳパケット３１を暗号化することを決定する（ステップＳ２２３の暗号化）。そして、暗号化／復号部１０８が、ＮＳパケット３１を暗号化する（ステップＳ２２４）。ＮＤアドレス解決処理部１０９は、暗号化されたＮＳパケット３１の宛先にデータ暗号装置２００のアドレスを設定する。送受信制御部１０５が、暗号化されたパケットをＮＳパケット４６として暗号ポート１０４から送信する（ステップＳ２２５）。【００８０】
（Ｓ４８：データ暗号装置２００が暗号ポート２０４からＮＳパケット４６を受信）
データ暗号装置２００は、暗号ポート２０４からＮＳパケット４６を受信する（ステップＳ４８）。図１９は、データ暗号装置２００が暗号ポート２０４からＮＳパケット４６を受信した場合に、ＮＤアドレス解決処理部２０９が実行する処理を示すフローチャートである。図１９を参照して説明する。Ｓ２４１〜Ｓ２４５が本実施の形態３に関するステップである。Ｓ４８の内容を図１９を用いて説明する。【００８１】
データ暗号装置２００は、データ暗号装置１００が送信した暗号化されたＮＳパケット４６を暗号ポート２０４から受信する。データ暗号装置２００は、図１９のフローにしたがって、暗号化／復号部２０８がＮＳパケット４６を復号する（ステップＳ２４１，Ｓ２４２）。次に、ＮＤアドレス解決処理部２０９は、復号されたＮＳパケット４６のＴＡが自局アドレスと一致するかをチェックする（ステップＳ２４３）。図１７に示すように、ＮＳパケット４６のＴＡは端末装置２０のため一致しない。この場合、ＮＤアドレス解決処理部２０９は、ヘッダ内のＨｏｐ  Ｌｉｍｉｔをデクリメントせずに２５５の値に維持する（ステップＳ２４４）。送受信制御部２０５は、復号されたＮＳパケット４６をＮＳパケット４７として、平文ポート２０３から送信する（ステップＳ２４５）。【００８２】
（Ｓ４９：端末装置２０）
端末装置２０は、データ暗号装置２００が送信したＮＳパケット４７を受信し、受信したＮＳパケット４７のアドレスを書き換えて、ＮＡパケット４８として端末装置１０宛に送信する（Ｓ４９）。すなわち、端末装置２０が受信するＮＳパケット４７において、ＤＡはマルチキャストであり、ＳＡは端末１０であり、ＴＡは端末２０であり、ＬＡは端末１０である。図１７に示すように、端末装置２０は、ＤＡを端末１０に書き換え、ＳＡを自己のアドレスに書き換え、ＬＡを自己の物理アドレスに書き換える。端末装置２０は、アドレスを書き換えたパケットをＮＡパケット４８として端末装置１０宛に送信する。【００８３】
（Ｓ５０：データ暗号装置２００が平文ポートからＮＡパケット４８を受信）
端末装置２０が送信したＮＡパケット４８を平文ポート２０３から受信したデータ暗号装置２００の処理は、実施の形態１の図９と同様である。すなわち、データ暗号装置２００は、ＳＰＤ／ＳＡＤを参照し（Ｓ１２２）、ＳＰＤ／ＳＡＤの設定に従ってＮＡパケット４８を暗号化し、暗号化したＮＡパケット４８をＮＡパケット４９としてデータ暗号装置１００宛に送信する。【００８４】
（Ｓ５１：データ暗号装置１００が暗号ポート１０４からＮＡパケット４９を受信）
図１７に示すように、データ暗号装置１００は、暗号ポート２０４からＮＡパケット４９を受信する（ステップＳ５１）。【００８５】
図２０は、データ暗号装置１００が暗号ポート１０４からＮＡパケット４９を受信した場合に、ＮＤアドレス解決処理部１０９が実行する処理を示すフローチャートである。図２０を参照して説明する。Ｓ２６１〜Ｓ２６５が本実施の形態３に関するステップである。Ｓ５１の内容を図２０を用いて説明する。【００８６】
データ暗号装置２００が送信した暗号化されたＮＡパケット４９を受信したデータ暗号装置１００は、図２０に従って処理を行う。暗号化／復号部１０８がＮＡパケット４９を復号する（ステップＳ２６１、Ｓ２６２）。次に、ＮＤアドレス解決処理部１０９が、復号されたＮＡパケット４９のＤＡが自局アドレスと一致するかをチェックする（ステップＳ２６３）。図１７に示すように、ＮＡパケット４９のＤＡは端末装置１０のため一致しない。この場合、ＮＤアドレス解決処理部１０９は、ヘッダ内のＨｏｐ  ＬｉｍｉｔをデクリメントせずにＨｏｐ  Ｌｉｍｉｔ＝２５５に維持する（ステップＳ２６４）。送受信制御部１０５は、復号されたＮＡパケット４９をＮＡパケット３６として平文ポート１０３から送信する（ステップＳ２６５）【００８７】
以上のように、データ暗号装置が「ＮＳパケット」及び「ＮＡパケット」を暗号化して送信するとともに、復号時にヘッダ内のＨｏｐ  Ｌｉｍｉｔをデクリメントせずに中継する。これにより、パケットのＨｏｐ  Ｌｉｍｉｔのデクリメントによるアドレス解決の失敗を防ぎ、かつ、アドレス解決情報を秘匿することが可能となり、セキュリティ向上を図ることができる【００８８】
実施の形態４．
次に実施の形態４を説明する。実施の形態４は、データ暗号装置の一連の動作を、アドレス解決方法、アドレス解決プログラムとして把握した場合の実施形態である。【００８９】
以上の実施の形態１〜実施の形態３では、データ暗号装置について説明した。実施の形態１〜実施の形態３のデータ暗号装置の暗号化／復号部やＮＤアドレス解決処理部等の構成要素の一連の動作は互いに関連しており、この一連の動作を、データ暗号装置が行うアドレス解決方法として把握することも可能である。また、これらの一連の動作をコンピュータに実行させる処理として把握することで、コンピュータに実行させるアドレス解決プログラムとして把握することができる。【００９０】
図２１は、コンピュータであるデータ暗号装置のハードウェア資源の一例を示す図である。なお端末装置もコンピュータであり、ハードウェア資源は、データ暗号装置と同様である。【００９１】
図２１において、データ暗号装置は、プログラムを実行するＣＰＵ８１０（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）を備えている。ＣＰＵ８１０は、バス８２５を介してＲＯＭ８１１（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、ＲＡＭ８１２（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、通信ボード８１６、磁気ディスク装置８２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置８２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。【００９２】
ＲＡＭ８１２は、揮発性メモリの一例であり、ＲＯＭ８１１、磁気ディスク装置８２０等の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部、格納部の一例である。ＲＯＭ８１１には、データ暗号装置のＭＡＣアドレス（物理アドレス）が格納されている。【００９３】
通信ボード８１６は、スイッチあるいは端末装置との間で通信を行う。【００９４】
磁気ディスク装置８２０には、オペレーティングシステム８２１（ＯＳ）、プログラム群８２３、ファイル群８２４が記憶されている。プログラム群８２３のプログラムは、ＣＰＵ８１０、オペレーティングシステム８２１により実行される。【００９５】
上記プログラム群８２３には、以上の実施の形態１〜実施の形態３の説明において「〜部」として述べた機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。【００９６】
ファイル群８２４には、ＳＰＤ／ＳＡＤ、あるいは前述したＳＡ、ＴＡ、ＬＡ等のアドレス情報、及びデータ暗号装置の論理アドレスなどが格納されている。また、ファイル群８２４には、上記の実施の形態で述べた「〜の判定結果」、「〜の決定結果」、「〜の抽出結果」、「〜の処理結果」として説明した情報や、データや信号値や変数値やパラメータなどが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１０によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。【００９７】
また、以上で述べた実施の形態の説明において「〜部」として説明したものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明したものは、ＲＯＭ８１１に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。プログラムはＣＰＵ８１０により読み出され、ＣＰＵ８１０により実行される。すなわち、プログラムは、以上の説明で述べた「〜部」としてコンピュータを機能させるものである【００９８】
以上のように、アドレス解決方法、アドレス解決プログラムは、端末装置が送信したＮＤ問い合わせパケット（ＮＳパケット）のアドレスを書き換え、端末装置の代わりにアドレス解決を代行する。このため、アドレス解決は一旦、データ暗号装置で終端し、その後に端末装置にアドレス解決結果が通知されることなる。よって、パケットのＨｏｐ  Ｌｉｍｉｔのデクリメントによるアドレス解決の失敗を防ぐことが可能となる。また、データ暗号装置が「ＮＡパケット」だけでなく、「ＮＳパケット」をも暗号化して送信するので、アドレス解決情報を秘匿することが可能となり、セキュリティ向上を図ることができる
【図面の簡単な説明】
【００９９】
【図１】実施の形態１におけるシステム構成を示す図。
【図２】実施の形態１におけるデータ暗号装置の構成を示す図。
【図３】実施の形態１におけるアドレス解決の動作を示すシーケンス図。
【図４】実施の形態１におけるＮＤパケットの構成を示す図。
【図５】実施の形態１における平文ポートからＮＳパケットを受信した際のフローチャート。
【図６】実施の形態１におけるＳＰＤを示す図。
【図７】実施の形態１におけるＳＡＤを示す図。
【図８】実施の形態１における暗号ポートからＮＳパケットを受信した際のフローチャート。
【図９】実施の形態１における平文ポートからＮＡパケットを受信した際のフローチャート。
【図１０】実施の形態１における暗号ポートからＮＡパケットを受信した際のフローチャート。
【図１１】実施の形態１における平文ポートからデータを受信した際のフローチャート。
【図１２】実施の形態１における暗号ポートからデータを受信した際のフローチャート。
【図１３】実施の形態２におけるアドレス解決の動作を示すシーケンス図。
【図１４】実施の形態２における平文ポートからＮＳパケットを受信した際のフローチャート。
【図１５】実施の形態２における暗号ポートからＮＳパケットを受信した際のフローチャート。
【図１６】実施の形態２における平文ポートからＮＡパケットを受信した際のフローチャート。
【図１７】実施の形態３におけるアドレス解決の動作を示すシーケンス図。
【図１８】実施の形態３における平文ポートからＮＳパケットを受信した際のフローチャート。
【図１９】実施の形態３における暗号ポートからＮＳパケットを受信した際のフローチャート。
【図２０】実施の形態３における暗号ポートからＮＡパケットを受信した際のフローチャート。
【図２１】実施の形態４におけるデータ暗号装置のハードウェア構成の一例を示す図。
【図２２】従来例を示す図。
【図２３】従来例を示す図。
【図２４】従来例を示す図。
【符号の説明】
【０１００】
１０  端末装置、２０  端末装置、３０  スイッチ、３１，３２，３３  ＮＳパケット、３４，３５，３６  ＮＡパケット、４０  平文ＬＡＮ、４３，４４  ＮＳパケット、４５  ＮＡパケット、４６，４７  ＮＳパケット、４８，４９  ＮＡパケット、５０  暗号ＬＡＮ、６０  暗号ＬＡＮ、７０  平文ＬＡＮ、１００  データ暗号装置、１０２  記憶部、１０３  平文ポート、１０４  暗号ポート、１０５  送受信制御部、１０６  プロトコル解析部、１０７  ＳＰＤ／ＳＡＤ格納部、１０８  暗号化／復号部、１０９  ＮＤアドレス解決処理部、２００  データ暗号装置、２０２  記憶部、２０３  平文ポート、２０４  暗号ポート、２０５  送受信制御部、２０６  プロトコル解析部、２０７  ＳＰＤ／ＳＡＤ格納部、２０８  暗号化／復号部、２０９  ＮＤアドレス解決処理部、３１０  ルータ、３２０  インターネット、３３０  ルータ、３４０  スイッチ、３５０  端末装置。
【図１】
2008026243.tif 000003
【図２】
2008026243.tif 000004
【図３】
2008026243.tif 000005
【図４】
2008026243.tif 000006
【図５】
2008026243.tif 000007
【図６】
2008026243.tif 000008
【図７】
2008026243.tif 000009
【図８】
2008026243.tif 000010
【図９】
2008026243.tif 000011
【図１０】
2008026243.tif 000012
【図１１】
2008026243.tif 000013
【図１２】
2008026243.tif 000014
【図１３】
2008026243.tif 000015
【図１４】
2008026243.tif 000016
【図１５】
2008026243.tif 000017
【図１６】
2008026243.tif 000018
【図１７】
2008026243.tif 000019
【図１８】
2008026243.tif 000020
【図１９】
2008026243.tif 000021
【図２０】
2008026243.tif 000022
【図２１】
2008026243.tif 000023
【図２２】
2008026243.tif 000024
【図２３】
2008026243.tif 000025
【図２４】
2008026243.tif 000026
【国際調査報告】
2008026243.tif 000027
2008026243.tif 000028
2008026243.tif 000029
2008026243.tif 000030