(57)【要約】【課題】通信相手側にＩＰｓｅｃ装置が設置されていない場合であっても、通信相手側の通信装置と通信を行うことができるＩＰｓｅｃ装置およびＩＰｓｅｃ通信方法を得る。【解決手段】インターネットで暗号化通信を行うためのＩＰｓｅｃ装置１０であって、受信したパケットが、暗号化通信路を確立するためのネゴシエーションパケットであるか否かを判定するパケット選別部１１と、受信したパケットがパケット選別部１１によってネゴシエーションパケットであると判定された場合に、受信したパケットの送信元アドレスを、ＩＰｓｅｃ接続先として動的に追加する設定追加部１２と、受信したパケットがパケット選別部１１によってネゴシエーションパケットでないと判定され、かつ受信したパケットに対応する処理がルールとして設定されていない場合に、受信したパケットを平文のまま送信するＩＰｓｅｃ処理部と、を備えたものである。【選択図】図１
2014053727.tif 000002
【特許請求の範囲】
【請求項１】
インターネットで暗号化通信を行うためのＩＰｓｅｃ装置であって、
受信したパケットが、暗号化通信路を確立するためのネゴシエーションパケットであるか否かを判定するパケット選別部と、
前記受信したパケットが前記パケット選別部によってネゴシエーションパケットであると判定された場合に、前記受信したパケットの送信元アドレスを、ＩＰｓｅｃ接続先として動的に追加する設定追加部と、
前記受信したパケットが前記パケット選別部によってネゴシエーションパケットでないと判定され、かつ前記受信したパケットに対応する処理がルールとして設定されていない場合に、前記受信したパケットを平文のまま送信するＩＰｓｅｃ処理部と、
を備えたことを特徴とするＩＰｓｅｃ装置。
【請求項２】
前記パケット選別部は、前記受信したパケットが、自身が接続された通信装置からのパケットであるか、外部からのパケットであるかを判定し、
前記設定追加部は、
前記受信したパケットが、前記パケット選別部によって自身が接続された通信装置からのパケットであると判定された場合に、前記受信したパケットの送信元アドレスを、通信可能な接続先として動的に追加するとともに、
追加した前記通信可能な接続先からネゴシエーションパケットを受信した場合に、このネゴシエーションパケットの送信元アドレスを、ＩＰｓｅｃ接続先として動的に追加する
ことを特徴とする請求項１に記載のＩＰｓｅｃ装置。
【請求項３】
インターネットで暗号化通信を行うためのＩＰｓｅｃ装置により実行されるＩＰｓｅｃ通信方法であって、
受信したパケットが、暗号化通信路を確立するためのネゴシエーションパケットであるか否かを判定するパケット選別ステップと、
前記受信したパケットが前記パケット選別ステップによってネゴシエーションパケットであると判定された場合に、前記受信したパケットの送信元アドレスを、ＩＰｓｅｃ接続先として動的に追加する設定追加ステップと、
前記受信したパケットが前記パケット選別ステップによってネゴシエーションパケットでないと判定され、かつ前記受信したパケットに対応する処理がルールとして設定されていない場合に、前記受信したパケットを平文のまま送信するＩＰｓｅｃ処理ステップと、
を備えたことを特徴とするＩＰｓｅｃ通信方法。
【請求項４】
前記パケット選別ステップは、前記受信したパケットが、自身が接続された通信装置からのパケットであるか、外部からのパケットであるかを判定し、
前記設定追加ステップは、
前記受信したパケットが、前記パケット選別ステップによって自身が接続された通信装置からのパケットであると判定された場合に、前記受信したパケットの送信元アドレスを、通信可能な接続先として動的に追加するとともに、
追加した前記通信可能な接続先からネゴシエーションパケットを受信した場合に、このネゴシエーションパケットの送信元アドレスを、ＩＰｓｅｃ接続先として動的に追加する
ことを特徴とする請求項３に記載のＩＰｓｅｃ通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、インターネットで暗号化通信を行うためのＩＰｓｅｃ装置およびＩＰｓｅｃ通信方法に関する。
【背景技術】
【０００２】
一般的に、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）による暗号化通信が知られている。以下、図１２、１３を参照しながら、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合について説明する。
【０００３】
図１２は、一般的なＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。図１２において、ＩＰｓｅｃ装置ＡおよびＩＰｓｅｃ装置Ｂには、それぞれ宛先と処理とを対応づけたルールがあらかじめ設定されている。
【０００４】
まず、通信装置Ａ（アドレスＡ）が、通信装置Ｂ（アドレスＢ）宛に平文データを送信する。なお、アドレス情報は、例えば平文データのヘッダに書き込まれ、暗号化通信においても暗号化されない。
【０００５】
このとき、平文データを受信したＩＰｓｅｃ装置Ａは、平文データがルールに合致するか否かを判定する。ここでは、平文データの宛先がアドレスＢなので、ルールに合致する。ルールに合致した場合、ＩＰｓｅｃ装置Ａは、ＩＰｓｅｃ装置Ｂに対して、暗号化通信路を確立するためのネゴシエーションを行う。なお、ネゴシエーションは、ＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ  ａｎｄ  Ｋｅｙ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）というプロトコルによって行われる。
【０００６】
ここで、ＩＰｓｅｃ装置Ｂ側に対応するルールが設定されている場合には、ネゴシエーションが成立し、暗号化通信路が確立される。
続いて、ＩＰｓｅｃ装置Ａは、通信装置Ａから受信した平文データを暗号化し、ＩＰｓｅｃ装置Ｂに送信する。
【０００７】
次に、ＩＰｓｅｃ装置Ｂは、ＩＰｓｅｃ装置Ａから受信した暗号化データを復号し、平文データとして通信装置Ｂに送信する。
なお、一度ネゴシエーションが完了すると、次回以降は、確立済みの暗号化通信路を用いた暗号化通信が可能になる。
【０００８】
図１３は、一般的なＩＰｓｅｃ装置がＩＰｓｅｃ通信を行う場合のパケット処理フローを示すフローチャートである。図１３では、図１２に示したＩＰｓｅｃ装置Ａが、通信装置Ａから平文データを受信した場合のＩＰｓｅｃ装置Ａの処理フローを示している。
【０００９】
図１３において、まず、ＩＰｓｅｃ装置Ａは、受信したパケットに対応するルールがあるか否かを判定する（ステップＳ１０１）。
ステップＳ１０１において、対応するルールがある（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置Ａは、受信したパケットに対応する処理が暗号化であるか否かを判定する（ステップＳ１０２）。
【００１０】
一方、ステップＳ１０１において、対応するルールがない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置Ａは、デフォルトの処理を実行する。一般的なＩＰｓｅｃ装置の場合、あらかじめ装置内に対応するルールが設定されていなければ、ＩＰｓｅｃ通信を行うことができない。ここで、デフォルトの処理とは、パケットを廃棄するか平文のまま通過させるかの２種類があり、管理者があらかじめどちらかを選択して設定する。
【００１１】
ステップＳ１０２において、パケットに対応する処理が暗号化である（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置Ａは、通信先との相互確認（ネゴシエーション）を行う（ステップＳ１０３）。
【００１２】
一方、ステップＳ１０２において、パケットに対応する処理が暗号化でない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置Ａは、パケットに対応する処理を実行する。ここで、対応する処理とは、パケットを廃棄するか平文のまま通過させるか等がある。
【００１３】
続いて、ＩＰｓｅｃ装置Ａは、ＩＰｓｅｃ通信が確立したか否か、すなわちネゴシエーションが成立したか否かを判定する（ステップＳ１０４）。
ステップＳ１０４において、ＩＰｓｅｃ通信が確立していない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置Ａは、そのまま図１３の処理を終了する。
【００１４】
一方、ステップＳ１０４において、ＩＰｓｅｃ通信が確立した（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置Ａは、通信先とＩＰｓｅｃ通信を行い（ステップＳ１０５）、ＩＰｓｅｃ通信が終了したか否かを判定する（ステップＳ１０６）。
【００１５】
ステップＳ１０６において、ＩＰｓｅｃ通信が終了していない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置Ａは、ステップＳ１０５に移行して、引き続き通信先とのＩＰｓｅｃ通信を行う。
一方、ステップＳ１０６において、ＩＰｓｅｃ通信が終了した（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置Ａは、図１３の処理を終了する。
【００１６】
以上に示した一般的なＩＰｓｅｃ装置において問題となるのは、図１２に示されたＩＰｓｅｃ装置ＡおよびＩＰｓｅｃ装置Ｂにそれぞれ設定されたルールが互いに対応（整合）していない場合には、ＩＰｓｅｃ装置ＡとＩＰｓｅｃ装置Ｂとのネゴシエーションが成立しないという点である。
【００１７】
ここで、ＩＰｓｅｃ装置が設置された１箇所のセンタと、多数の拠点とをスター型に接続するネットワークにおいて、拠点に新たにＩＰｓｅｃ装置を導入する場合について考える。この場合には、上記の問題のために、拠点にＩＰｓｅｃ装置を設置するのと同時に、センタのＩＰｓｅｃ装置の設定を変更する必要がある。そのため、センタのＩＰｓｅｃ装置の設定を管理、運用する負荷が高いという課題がある。
【００１８】
このような課題を解決する方法として、通信相手のＩＰアドレスが可変である場合等、事前にルールを設定できないときに、ＩＰｓｅｃ装置の設定を動的に追加する方法が知られている（例えば、特許文献１参照）。この方法によれば、センタのＩＰｓｅｃ装置の設定を変更する必要がなくなるので、センタのＩＰｓｅｃ装置の設定を管理、運用する負荷が軽減される。
【００１９】
以下、図１４〜１８を参照しながら、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合について説明する。図１４〜１７は、従来のＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【００２０】
図１４において、従来のＩＰｓｅｃ装置では、動的にルールを追加するので、初期状態では、ＩＰｓｅｃ装置ＡおよびＩＰｓｅｃ装置Ｂともにルールが設定されていない状態である。この状態において、まず、通信装置Ａ（アドレスＡ）が、通信装置Ｂ（アドレスＢ）に対して平文データを送信して、通信を開始する。なお、ＩＰｓｅｃ装置ＡおよびＩＰｓｅｃ装置Ｂは、互いに同一の機能を有している。
【００２１】
図１５において、通信装置Ａが通信装置Ｂに送信した平文データは、まずＩＰｓｅｃ装置Ａに到達する。このとき、ＩＰｓｅｃ装置Ａは、動的にルールを追加し、受信した平文データがＩＰｓｅｃ通信の対象となるようにする。
【００２２】
図１６において、受信した平文データがＩＰｓｅｃ通信の対象となったので、ＩＰｓｅｃ装置Ａは、通信装置Ａからの平文データの転送を保留し、ＩＰｓｅｃ装置Ｂに対して、暗号化通信路を確立するためのネゴシエーションを開始する。
【００２３】
ここで、ネゴシエーションのパケットを受信したＩＰｓｅｃ装置Ｂは、ＩＳＡＫＭＰで規定される認証を行い、通信装置Ａを認証する。認証が成功すると、ＩＰｓｅｃ装置Ｂは、対応するルールを動的に追加し、ネゴシエーションを成立させる。なお、認証のための証明書や事前共有鍵は、通信装置Ａおよび通信装置Ｂの両方にあらかじめ設定しておく必要がある。
【００２４】
図１７において、以上のように動的にルールを追加することで、最終的に、上述した一般的なＩＰｓｅｃ装置の場合と同様のルールがＩＰｓｅｃ装置ＡおよびＩＰｓｅｃ装置Ｂの両方に設定されることとなり、一般的なＩＰｓｅｃ装置と同様に、暗号化通信路を確立して暗号化通信を行うことができる。
【００２５】
また、このとき、ＩＰｓｅｃ装置がルールを自動的に追加するので、手動によるセンタのＩＰｓｅｃ装置の設定変更が不要になり、設定に手間がかかるという一般的なＩＰｓｅｃ装置の課題を解決して、センタのＩＰｓｅｃ装置の設定を管理、運用する負荷が軽減される。
【００２６】
図１８は、従来のＩＰｓｅｃ装置がＩＰｓｅｃ通信を行う場合のパケット処理フローを示すフローチャートである。図１８では、図１４〜１７に示したＩＰｓｅｃ装置Ａが、通信装置Ａから平文データを受信した場合のＩＰｓｅｃ装置Ａの処理フローを示している。
【００２７】
図１８において、まず、ＩＰｓｅｃ装置Ａは、受信したパケットに対応するルールがあるか否かを判定する（ステップＳ２０１）。
ステップＳ２０１において、対応するルールがある（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置Ａは、受信したパケットに対応する処理が暗号化であるか否かを判定する（ステップＳ２０２）。
【００２８】
一方、ステップＳ２０１において、対応するルールがない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置Ａは、ルールを動的に追加して（ステップＳ２０３）、通信先との相互確認（ネゴシエーション）を行う（ステップＳ２０４）。
【００２９】
また、ステップＳ２０２において、パケットに対応する処理が暗号化である（すなわち、Ｙｅｓ）と判定された場合も、ＩＰｓｅｃ装置Ａは、通信先との相互確認（ネゴシエーション）を行う（ステップＳ２０４）。
【００３０】
一方、ステップＳ２０２において、パケットに対応する処理が暗号化でない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置Ａは、パケットに対応する処理（パケットの廃棄または通過等）を実行する。
なお、ステップＳ２０４以降の処理は、図１３に示したステップＳ１０３以降の処理と同様なので、説明を省略する。
【００３１】
以上に示した従来のＩＰｓｅｃ装置では、ルールを動的に追加する処理を実行することにより、宛先のＩＰアドレスが可変である場合等、事前に明確なルールを設定できないときであっても、ＩＰｓｅｃ通信を行うことができる。また、ルールを動的に追加することから、事前にルールを登録しておく必要がなく、設定を簡易化することができる。
【先行技術文献】
【特許文献】
【００３２】
【特許文献１】特許第４２３９７１３号公報
【発明の概要】
【発明が解決しようとする課題】
【００３３】
しかしながら、従来技術には、以下のような課題がある。
従来のＩＰｓｅｃ装置では、最初の平文データを受信した段階で動的にルールを追加するので、ＩＰｓｅｃ装置が未設置の拠点に対しても、ＩＰｓｅｃ通信を行うこととなる。そのため、通信相手側にＩＰｓｅｃ装置が設置されていない場合には、ネゴシエーションが不成立となり、通信相手側の通信装置との通信ができなくなるという問題がある。
【００３４】
なお、この問題に対して、通信相手側にＩＰｓｅｃ装置が設置されているか否かによって、動的にルールを追加するかどうかを選択する方法が考えられるが、そのためには、通信相手側にＩＰｓｅｃ装置が設置されているか否かを事前に知っておく必要があり、センタのＩＰｓｅｃ装置の設定を管理、運用する負荷を軽減することができない。
【００３５】
また、従来のＩＰｓｅｃ装置では、センタ側および拠点側の両方に、互いに同一の機能を有するＩＰｓｅｃ装置を設置する必要があるので、ネットワークのコストが高くなるという問題もある。
【００３６】
この発明は、上記のような課題を解決するためになされたものであり、通信相手側にＩＰｓｅｃ装置が設置されていない場合であっても、通信相手側の通信装置と通信を行うことができるＩＰｓｅｃ装置およびＩＰｓｅｃ通信方法を低コストで得ることを目的とする。
【課題を解決するための手段】
【００３７】
この発明に係るＩＰｓｅｃ装置は、インターネットで暗号化通信を行うためのＩＰｓｅｃ装置であって、受信したパケットが、暗号化通信路を確立するためのネゴシエーションパケットであるか否かを判定するパケット選別部と、受信したパケットがパケット選別部によってネゴシエーションパケットであると判定された場合に、受信したパケットの送信元アドレスを、ＩＰｓｅｃ接続先として動的に追加する設定追加部と、受信したパケットがパケット選別部によってネゴシエーションパケットでないと判定され、かつ受信したパケットに対応する処理がルールとして設定されていない場合に、受信したパケットを平文のまま送信するＩＰｓｅｃ処理部と、を備えたものである。
【００３８】
また、この発明に係るＩＰｓｅｃ通信方法は、インターネットで暗号化通信を行うためのＩＰｓｅｃ装置により実行されるＩＰｓｅｃ通信方法であって、受信したパケットが、暗号化通信路を確立するためのネゴシエーションパケットであるか否かを判定するパケット選別ステップと、受信したパケットがパケット選別ステップによってネゴシエーションパケットであると判定された場合に、受信したパケットの送信元アドレスを、ＩＰｓｅｃ接続先として動的に追加する設定追加ステップと、受信したパケットがパケット選別ステップによってネゴシエーションパケットでないと判定され、かつ受信したパケットに対応する処理がルールとして設定されていない場合に、受信したパケットを平文のまま送信するＩＰｓｅｃ処理ステップと、を備えたものである。
【発明の効果】
【００３９】
この発明に係るＩＰｓｅｃ装置およびＩＰｓｅｃ通信方法によれば、受信したパケットが、暗号化通信路を確立するためのネゴシエーションパケットであるか否かを判定するパケット選別部（ステップ）と、受信したパケットがパケット選別部（ステップ）によってネゴシエーションパケットであると判定された場合に、受信したパケットの送信元アドレスを、ＩＰｓｅｃ接続先として動的に追加する設定追加部（ステップ）と、受信したパケットがパケット選別部（ステップ）によってネゴシエーションパケットでないと判定され、かつ受信したパケットに対応する処理がルールとして設定されていない場合に、受信したパケットを平文のまま送信するＩＰｓｅｃ処理部（ステップ）と、を備えている。
そのため、通信相手側にＩＰｓｅｃ装置が設置されていない場合であっても、通信相手側の通信装置と通信を行うことができるＩＰｓｅｃ装置およびＩＰｓｅｃ通信方法を低コストで得ることができる。
【図面の簡単な説明】
【００４０】
【図１】この発明の実施の形態１に係るＩＰｓｅｃ装置を示すブロック構成図である。
【図２】この発明の実施の形態１に係るＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図３】この発明の実施の形態１に係るＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図４】この発明の実施の形態１に係るＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図５】この発明の実施の形態１に係るＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図６】この発明の実施の形態１に係るＩＰｓｅｃ装置がＩＰｓｅｃ通信を行う場合のパケット処理フローを示すフローチャートである。
【図７】この発明の実施の形態２に係るＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図８】この発明の実施の形態２に係るＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図９】この発明の実施の形態２に係るＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図１０】この発明の実施の形態２に係るＩＰｓｅｃ装置がＩＰｓｅｃ通信を行う場合のＯＵＴ方向のパケット処理フローを示すフローチャートである。
【図１１】この発明の実施の形態２に係るＩＰｓｅｃ装置がＩＰｓｅｃ通信を行う場合のＩＮ方向のパケット処理フローを示すフローチャートである。
【図１２】一般的なＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図１３】一般的なＩＰｓｅｃ装置がＩＰｓｅｃ通信を行う場合のパケット処理フローを示すフローチャートである。
【図１４】従来のＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図１５】従来のＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図１６】従来のＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図１７】従来のＩＰｓｅｃ装置を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【図１８】従来のＩＰｓｅｃ装置がＩＰｓｅｃ通信を行う場合のパケット処理フローを示すフローチャートである。
【発明を実施するための形態】
【００４１】
以下、この発明に係るＩＰｓｅｃ装置およびＩＰｓｅｃ通信方法の好適な実施の形態につき図面を用いて説明する。
【００４２】
なお、この発明に係るＩＰｓｅｃ装置は、ＩＰｓｅｃの接続方向を拠点からセンタ方向に限定することにより、通信相手側にＩＰｓｅｃ装置が設置されている場合にはＩＰｓｅｃ通信を、設置されていない場合には平文通信を自動的に選択することで、ＩＰｓｅｃ装置が設置されていない拠点に対してＩＰｓｅｃ通信を行うことを防止する。
【００４３】
また、この発明に係るＩＰｓｅｃ装置は、拠点からＩＰｓｅｃ接続を受けた場合に、センタのＩＰｓｅｃ装置の動的にルールを追加することにより、それ以降の両方向の通信を、ＩＰｓｅｃによって暗号化することを可能とする。
【００４４】
実施の形態１．
図１は、この発明の実施の形態１に係るＩＰｓｅｃ装置１０を示すブロック構成図である。図１において、このＩＰｓｅｃ装置１０は、一般的なＩＰｓｅｃ装置の構成（インタフェース部、ＩＰｓｅｃ処理部およびＩＰｓｅｃ接続先設定）に加えて、パケット選別部１１と設定追加部１２とを備えている。
【００４５】
パケット選別部１１は、ＩＰｓｅｃのネゴシエーションパケットを検知した場合に、設定追加部１２にそのパケットの送信元アドレスを通知する。設定追加部１２は、パケット選別部１１から通知を受けた場合に、通知されたパケットの送信元アドレスを、ＩＰｓｅｃ接続先設定に動的に追加する。
【００４６】
この発明の実施の形態１に係るＩＰｓｅｃ装置１０は、通信の片側だけで用いられる。すなわち、この発明の実施の形態１では、センタ側にこの発明の実施の形態１に係るＩＰｓｅｃ装置１０を設置し、拠点側には一般的なＩＰｓｅｃ装置を設置している。
【００４７】
ここで、この発明の実施の形態１に係るＩＰｓｅｃ装置１０をセンタに１台設置し、拠点の数だけ設置する必要がある拠点のＩＰｓｅｃ装置として、一般的なＩＰｓｅｃ装置を使用可能とすることで、センタ側および拠点側の両方に設置する必要があった従来のＩＰｓｅｃ装置と比較して、コストを抑制することができる。
【００４８】
以下、図２〜６を参照しながら、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合について説明する。図２〜５は、この発明の実施の形態１に係るＩＰｓｅｃ装置１０を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【００４９】
図２において、この発明の実施の形態１に係るＩＰｓｅｃ装置（本発明のＩＰｓｅｃ装置）１０では、動的にルールを追加するので、初期状態では、何もルールが設定されていない状態である。なお、通信装置Ｂ側の一般的なＩＰｓｅｃ装置には、通信装置Ａ（アドレスＡ）に対する通信を暗号化するようなルールがあらかじめ設定されている。
【００５０】
この状態において、通信装置Ａ（アドレスＡ）が、通信装置Ｂ（アドレスＢ）に対して平文データを送信して、通信を開始する。ここでは、通信はＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）であるとする。ＩＰｓｅｃ装置１０には、初期状態でルールが設定されていないので、最初のデータは、平文のまま送られる。ＴＣＰ通信の場合、最初の１パケットは、コネクション確立のためのＳＹＮパケットであり、実際のアプリケーションのデータではないので、平文でも問題はない。
【００５１】
図３において、通信装置Ａが開始した通信に対して、通信装置Ｂは、応答データ（ＴＣＰのＳＹＮ＋ＡＣＫパケット）を送信する。通信装置Ｂ側のＩＰｓｅｃ装置には、通信装置Ａに対する通信を暗号化するルールが設定されているので、通信装置Ｂ側のＩＰｓｅｃ装置は、ＩＰｓｅｃ装置１０に対して、ＩＰｓｅｃのネゴシエーションを開始する。
【００５２】
図４において、ネゴシエーションの開始を検知したＩＰｓｅｃ装置１０は、ネゴシエーションを完了させるのと同時に、通信装置Ｂ（アドレスＢ）に対する通信を暗号化するように、動的にルールを追加する。
【００５３】
図５において、ＩＰｓｅｃ装置１０にルールが追加された後は、通信装置Ａから通信装置Ｂへの通信も暗号化の対象になるので、これ以降の通信は、双方向でＩＰｓｅｃによって暗号化される。
【００５４】
図６は、この発明の実施の形態１に係るＩＰｓｅｃ装置１０がＩＰｓｅｃ通信を行う場合のパケット処理フローを示すフローチャートである。図６では、図２〜５に示したＩＰｓｅｃ装置１０が、通信装置Ａから平文データを受信した場合のＩＰｓｅｃ装置１０の処理フローを示している。
【００５５】
図６において、まず、ＩＰｓｅｃ装置１０は、受信したパケットがネゴシエーションパケットであるか否かを判定する（ステップＳ１）。この処理は、パケット選別部１１によって実行される。
【００５６】
ステップＳ１において、受信したパケットがネゴシエーションパケットである（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置１０は、ルールを動的に追加して（ステップＳ２）、通信先との相互確認（ネゴシエーション）を行う（ステップＳ３）。ステップＳ２の処理は、設定追加部１２によって実行される。
【００５７】
一方、ステップＳ１において、受信したパケットがネゴシエーションパケットでない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置１０は、受信したパケットに対応するルールがあるか否かを判定する（ステップＳ７）。この処理は、パケット選別部１１によって実行される。
【００５８】
ステップＳ７において、対応するルールがある（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置１０は、受信したパケットに対応する処理が暗号化であるか否かを判定する（ステップＳ８）。この処理は、パケット選別部１１によって実行される。
【００５９】
一方、ステップＳ７において、対応するルールがない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置１０は、データを平文のまま通過させて（ステップＳ９）、図６の処理を終了する。この処理は、ＩＰｓｅｃ処理部によって実行される。
【００６０】
また、ステップＳ８において、パケットに対応する処理が暗号化である（すなわち、Ｙｅｓ）と判定された場合も、ＩＰｓｅｃ装置Ａは、通信先との相互確認（ネゴシエーション）を行う（ステップＳ３）。
【００６１】
一方、ステップＳ８において、パケットに対応する処理が暗号化でない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置Ａは、パケットに対応する処理（パケットの廃棄または通過等）を実行する。
なお、ステップＳ３〜ステップＳ６の処理は、図１３に示したステップＳ１０３〜ステップＳ１０６の処理と同様なので、説明を省略する。
【００６２】
以上に示したこの発明の実施の形態１に係るＩＰｓｅｃ装置１０では、受信したパケットに対応するルールがない場合には、「データを平文のまま通過させる」という処理を導入している。これにより、通信装置Ｂ側にＩＰｓｅｃ装置が設置されていない場合であっても、通信装置Ａ側は、同じ方法で平文の通信が可能なので、通信相手側にＩＰｓｅｃ装置が設置されているか否かを意識（考慮）することなく、通信を行うことができる。
【００６３】
以上のように、実施の形態１によれば、ＩＰｓｅｃ装置は、受信したパケットが、暗号化通信路を確立するためのネゴシエーションパケットであるか否かを判定するパケット選別部と、受信したパケットがパケット選別部によってネゴシエーションパケットであると判定された場合に、受信したパケットの送信元アドレスを、ＩＰｓｅｃ接続先として動的に追加する設定追加部と、受信したパケットがパケット選別部によってネゴシエーションパケットでないと判定され、かつ受信したパケットに対応する処理がルールとして設定されていない場合に、受信したパケットを平文のまま送信するＩＰｓｅｃ処理部と、を備えている。
そのため、通信相手側にＩＰｓｅｃ装置が設置されていない場合であっても、通信相手側の通信装置と通信を行うことができるＩＰｓｅｃ装置およびＩＰｓｅｃ通信方法を低コストで得ることができる。
【００６４】
すなわち、ＩＰｓｅｃ装置が設置済の拠点と未設置の拠点とが混在している場合であっても、両方の拠点と通信が可能なので、段階的な移行を行うことができる。
また、拠点へのＩＰｓｅｃ装置の設置を、センタ側の設定に無関係に実施できるので、設置工事を容易に行うことができる。
さらに、拠点を追加する際に、センタ側のＩＰｓｅｃ装置の設定を変更する必要がないので、運用負荷を抑えることができる。
【００６５】
実施の形態２．
上記この発明の実施の形態１に係るＩＰｓｅｃ装置１０は、任意のＩＰｓｅｃ装置からの接続を無条件に受け入れる。そのため、例えば悪意のある第三者がこの発明の実施の形態１に係るＩＰｓｅｃ装置１０に対してＩＰｓｅｃ通信を開始した場合でも、接続を許可するというセキュリティリスクがある。
【００６６】
この問題を解決する方法として、証明書や事前共有鍵を用いた認証を行うという方法が考えられるが、事前に証明書や鍵を設定する必要があるので、設定を簡易化するという本来の目的に反することになる。
【００６７】
そこで、このような問題を解決するために、この発明の実施の形態２に係るＩＰｓｅｃ装置２０は、自身からパケットを送信した装置（ＩＰｓｅｃ装置、通信装置）からの接続のみを受け入れ、他の装置からの接続を拒否する機能を有している。
【００６８】
以下、図７〜１１を参照しながら、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合について説明する。図７〜９は、この発明の実施の形態２に係るＩＰｓｅｃ装置２０を用いて、通信装置Ａと通信装置Ｂとの間でＩＰｓｅｃによる暗号化通信を行う場合のシーケンスを示す説明図である。
【００６９】
図７において、この発明の実施の形態２に係るＩＰｓｅｃ装置（変形例のＩＰｓｅｃ装置）２０では、設定としてＩＮルール（外側から内側へのパケットに適用されるルール）およびＯＵＴルール（内側から外側へのパケットに適用されるルール）の２つのルールを有している。
【００７０】
なお、初期状態においては、ＩＮルールとしてすべてのパケットを廃棄するルールが設定され、ＯＵＴルールとして通信装置Ａからのパケットを全て通過させるルールが設定されている。この状態では、外側から内側（通信装置Ｂ側から通信装置Ａ側）へのパケットがすべて廃棄されるので、どのＩＰｓｅｃ装置からも接続を受けることはない。
【００７１】
図８において、通信装置Ａが通信装置Ｂに対して平文データを送信した場合には、そのパケットを受信したＩＰｓｅｃ装置２０は、データの宛先である通信装置ＢのＩＰアドレス（アドレスＢ）から送られてくるパケットを通過させる。すなわち、ＩＰｓｅｃ装置２０は、受信したパケットとは逆方向のパケットの通過を許可するルールをＩＮルールに登録する。
【００７２】
図９において、通信装置Ａからの平文データに対応して、通信装置Ｂが通信装置Ａに平文データを送信すると、通信装置Ｂ側のＩＰｓｅｃ装置が、ＩＰｓｅｃ装置２０に対して、ＩＰｓｅｃのネゴシエーションを開始する。
【００７３】
ネゴシエーションのパケットを受信したＩＰｓｅｃ装置２０は、ネゴシエーションのパケットは、外側から内側への方向なので、ＩＮルールに対応するルールがあるか否かを調べる。このとき、通信装置Ａから通信装置Ｂに平文データを送信した際に、ルールが追加されているので、ネゴシエーションのパケットは許可される。
【００７４】
ＩＰｓｅｃ装置２０は、このネゴシエーションパケットを受けて、上述したこの発明の実施の形態１に係るＩＰｓｅｃ装置１０と同様に、通信装置Ｂ（アドレスＢ）に対する通信を暗号化するように、動的にルールを追加する。これ以降の処理は、上述したこの発明の実施の形態１に係るＩＰｓｅｃ装置１０と同様なので、説明を省略する。
【００７５】
図１０は、この発明の実施の形態２に係るＩＰｓｅｃ装置２０がＩＰｓｅｃ通信を行う場合のＯＵＴ方向のパケット処理フローを示すフローチャートである。図１０では、図７〜９に示したＩＰｓｅｃ装置２０が、通信装置Ａから平文データを受信した場合のＩＰｓｅｃ装置２０の処理フローを示している。
【００７６】
図１０において、まず、ＩＰｓｅｃ装置２０は、受信したパケットに対応するルールが許可であるか否かを判定する（ステップＳ１１）。この処理は、パケット選別部１１によって実行される。
【００７７】
ステップＳ１１において、対応するルールが許可である（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置２０は、受信したパケットを平文のまま通過させ（ステップＳ１２）、ＩＮルールに許可ルールを登録して（ステップＳ１３）、図１０の処理を終了する。ステップＳ１２およびステップＳ１３の処理は、それぞれＩＰｓｅｃ処理部および設定追加部１２によって実行される。
【００７８】
一方、ステップＳ１１において、対応するルールが許可でない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置２０は、受信したパケットに対応する処理が暗号化であるか否かを判定する（ステップＳ１４）。この処理は、パケット選別部１１によって実行される。
【００７９】
ステップＳ１４において、パケットに対応する処理が暗号化である（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置２０は、通信先との相互確認（ネゴシエーション）を行う（ステップＳ１５）。
【００８０】
一方、ステップＳ１４において、パケットに対応する処理が暗号化でない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置２０は、パケットを廃棄する。この処理は、ＩＰｓｅｃ処理部によって実行される。
なお、ステップＳ１５〜ステップＳ１８の処理は、図１３に示したステップＳ１０３〜ステップＳ１０６の処理と同様なので、説明を省略する。
【００８１】
図１１は、この発明の実施の形態２に係るＩＰｓｅｃ装置２０がＩＰｓｅｃ通信を行う場合のＩＮ方向のパケット処理フローを示すフローチャートである。図１１では、図７〜９に示したＩＰｓｅｃ装置２０が、通信装置Ｂから平文データを受信した場合のＩＰｓｅｃ装置２０の処理フローを示している。
【００８２】
図１１において、まず、ＩＰｓｅｃ装置２０は、受信したパケットに対応するルールが許可であるか否かを判定する（ステップＳ２１）。この処理は、パケット選別部１１によって実行される。
ステップＳ２１において、対応するルールが許可でない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置２０は、パケットを廃棄する。この処理は、ＩＰｓｅｃ処理部によって実行される。
【００８３】
一方、ステップＳ２１において、対応するルールが許可である（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置２０は、受信したパケットがネゴシエーションパケットであるか否かを判定する（ステップＳ２２）。この処理は、パケット選別部１１によって実行される。
【００８４】
ステップＳ２２において、受信したパケットがネゴシエーションパケットである（すなわち、Ｙｅｓ）と判定された場合には、ＩＰｓｅｃ装置２０は、ＯＵＴルールに暗号化ルールを登録して（ステップＳ２３）、通信先との相互確認（ネゴシエーション）を行う（ステップＳ２４）。ステップＳ２３の処理は、パケット選別部１１によって実行される。
【００８５】
一方、ステップＳ２２において、受信したパケットがネゴシエーションパケットでない（すなわち、Ｎｏ）と判定された場合には、ＩＰｓｅｃ装置２０は、受信したパケットを平文のまま通過させる。この処理は、ＩＰｓｅｃ処理部によって実行される。
なお、ステップＳ２４〜ステップＳ２７の処理は、図１３に示したステップＳ１０３〜ステップＳ１０６の処理と同様なので、説明を省略する。
【００８６】
以上に示したこの発明の実施の形態２に係るＩＰｓｅｃ装置２０では、ＯＵＴ方向のパケット処理フローにおいて、パケットを平文のまま通過させた後、「ＩＮルールに許可ルールを追加する」という処理を導入している。これにより、通信装置Ａから通信を開始した通信相手に対してのみＩＰｓｅｃ通信を受け入れ、それ以外からの通信を遮断することができる。
【００８７】
以上のように、実施の形態２によれば、パケット選別部は、受信したパケットが、自身が接続された通信装置からのパケットであるか、外部からのパケットであるかを判定し、設定追加部は、受信したパケットが、パケット選別部によって自身が接続された通信装置からのパケットであると判定された場合に、受信したパケットの送信元アドレスを、通信可能な接続先として動的に追加するとともに、追加した通信可能な接続先からネゴシエーションパケットを受信した場合に、このネゴシエーションパケットの送信元アドレスを、ＩＰｓｅｃ接続先として動的に追加する。
そのため、セキュリティリスクを低減することができる。
【符号の説明】
【００８８】
１０、２０  ＩＰｓｅｃ装置、１１  パケット選別部、１２  設定追加部。
【図１】
2014053727.tif 000003
【図２】
2014053727.tif 000004
【図３】
2014053727.tif 000005
【図４】
2014053727.tif 000006
【図５】
2014053727.tif 000007
【図６】
2014053727.tif 000008
【図７】
2014053727.tif 000009
【図８】
2014053727.tif 000010
【図９】
2014053727.tif 000011
【図１０】
2014053727.tif 000012
【図１１】
2014053727.tif 000013
【図１２】
2014053727.tif 000014
【図１３】
2014053727.tif 000015
【図１４】
2014053727.tif 000016
【図１５】
2014053727.tif 000017
【図１６】
2014053727.tif 000018
【図１７】
2014053727.tif 000019
【図１８】
2014053727.tif 000020