(57)【特許請求の範囲】
【請求項１】
インターネットを介してＩＰＳｅｃ通信を行なう複数のＬＡＮにそれぞれＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）装置が備えられ、
前記複数のＶＰＮ装置には、それぞれ共通のＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）を保持するＳＡＤ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ  Ｄａｔａ−ｂａｓｅ）がそれぞれ備えられ、
当該ＳＡはＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）プロトコルにより動的に割当てられるＶＰＮシステムにおいて、
いずれかの前記ＶＰＮ装置の前記ＳＡＤから前記ＳＡが削除されたときには、当該ＶＰＮ装置は、その旨を削除された当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる前記ＶＰＮ装置に通知する手段を備えた
ことを特徴とするＶＰＮシステム。
【請求項２】
インターネットを介してＩＰＳｅｃ通信を行なう複数のＬＡＮにそれぞれ備えられ、
それぞれ共通のＳＡを保持するＳＡＤがそれぞれ備えられ、
当該ＳＡはＩＫＥプロトコルにより動的に割当てられるＶＰＮ装置において、
自ＶＰＮ装置が備える前記ＳＡＤから前記ＳＡが削除されたときには、自ＶＰＮ装置は、その旨を削除された当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる他のＶＰＮ装置に通知する手段を備えた
ことを特徴とするＶＰＮ装置。
【請求項３】
情報処理装置にインストールすることにより、その情報処理装置に、インターネットを介してＩＰＳｅｃ通信を行なう複数のＬＡＮにそれぞれ備えられたＶＰＮ装置に相応する機能として、
各ＶＰＮ装置にＩＫＥプロトコルにより動的に割当てられる共通のＳＡを保持するＳＡＤに相応する機能と、
自ＶＰＮ装置が備える前記ＳＡＤから前記ＳＡが削除されたときには、自ＶＰＮ装置は、その旨を削除された当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる他のＶＰＮ装置に通知する機能とを実現させる
ことを特徴とするプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明はインターネットを介して複数のＬＡＮ間でＩＰＳｅｃ通信を行なう場合のＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）の管理技術に関する。特に、ＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）プロトコルによりＳＡが動的に割当てられる場合に利用する。
【０００２】
【従来の技術】
インターネットを介して複数のＬＡＮ間でＩＰＳｅｃ通信を行なう場合には、これら複数のＬＡＮのＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）装置にそれぞれ共通のＳＡを保持しておき、この共通のＳＡによって暗号化または復号化が行なわれる。
【０００３】
ＩＫＥによる自動鍵交換方式で作成されたＳＡは、ライフタイム、残バイト数、シーケンス番号の状態により周期的に削除および更新される。すなわち、ＳＡが各ＶＰＮ装置に割当てられるときには、ほぼ同時に各ＶＰＮ装置に割当てが行なわれるが、割当てられた後の各ＶＰＮ装置におけるＳＡ使用状況が異なるためにＳＡが削除および更新されるタイミングは各ＶＰＮ装置で異なる。
【０００４】
【発明が解決しようとする課題】
従来の技術では、このような状況下ではＳＡは各ＶＰＮ装置内で独自に削除され、ＩＰＳｅｃ通信の相手となるＶＰＮ装置に対し、対になるＳＡが削除されたことを通知していない。
【０００５】
これでは、片方のＶＰＮ装置で管理しているＳＡが削除された場合には、もう片方のＶＰＮ装置はＳＡが削除されたことを知らず、次々と連続的にＩＰＳｅｃパケットを送信してしまい、インターネット上に無駄なトラフィックを発生させてしまう。また、受信側でＳＡが存在しないために、結果的に破棄されてしまうパケットに対し、無駄に暗号化処理をしてしまうために、無駄なＶＰＮ装置の処理負荷が発生してしまう。
【０００６】
特開２０００−１０１５６６号公報、特開２０００−２７８２５８号公報、特開２００１−００７８０３号公報、特開平１１−２８９３２６号公報、特開平１１−３３１１４５号公報、特表２０００−５１１３８２号公報には、ＩＫＥプロトコルにおけるその鍵交換手法による発明は数件掲載されているが、ＳＡが作成された後の管理手法に関しては掲載されていない。
【０００７】
本発明は、このような背景に行なわれたものであって、ＳＡが削除されたＶＰＮ装置がＩＰＳｅｃ通信の相手となるＶＰＮ装置に対してＳＡ削除完了通知を送信することにより、通知を受けたＶＰＮ装置は直ちにＩＰＳｅｃパケットの送信を停止することができ、ＳＡ削除後のＩＰＳｅｃ通信の相手となるＶＰＮ装置が連続的に受信側で破棄されるとわかっているデータを送信する状態が無くなり、インターネット上の無駄なトラフィックをなくすことができ、また、今から送信するＩＰＳｅｃパケットが受信側で破棄されるということを送信側ＶＰＮ装置が知っていれば、無駄に送信ＩＰパケットをＩＰＳｅｃ化する必要が無くなり、ＶＰＮ装置の無駄な処理負荷の発生を防ぐことができるＶＰＮシステムおよびＶＰＮ装置およびプログラムを提供することを目的とする。
【０００８】
【課題を解決するための手段】
本発明の特徴は、ＩＰ−ＶＰＮ構築時におけるＩＰＳｅｃ通信、つまり、インターネットを介して重要なデータをやりとりする際にデータを暗号化することにより、悪意を持った第三者の「盗聴」、「改竄」、「なりすまし」といった脅威から重要なデータを守ることが可能となる方法で通信した際に、ＶＰＮ装置内で管理されるＳＡＤ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ  Ｄａｔａ−ｂａｓｅ）上に存在する、あるＳＡを削除したＶＰＮ装置が削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置に対し当該ＳＡが削除されたことを通知することにある。
【０００９】
このようにして、ＳＡの削除完了通知を削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置に送信することにより、通知を受けたＶＰＮ装置は、これから送信するＩＰＳｅｃパケットとマッチするＳＡが受信側のＶＰＮ装置にはもうすでに存在しないことが事前にわかる。したがって、ＳＡ削除後、削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置からの連続送信状態を防ぐことができる。
【００１０】
すなわち、本発明の第一の観点は、インターネットを介してＩＰＳｅｃ通信を行なう複数のＬＡＮにそれぞれＶＰＮ装置が備えられ、前記複数のＶＰＮ装置には、それぞれ共通のＳＡを保持するＳＡＤがそれぞれ備えられ、当該ＳＡはＩＫＥプロトコルにより動的に割当てられるＶＰＮシステムである。
【００１１】
ここで、本発明の特徴とするところは、いずれかの前記ＶＰＮ装置の前記ＳＡＤから前記ＳＡが削除されたときには、当該ＶＰＮ装置は、その旨を削除された当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる前記ＶＰＮ装置に通知する手段を備えたところにある。
【００１２】
本発明の第二の観点は、インターネットを介してＩＰＳｅｃ通信を行なう複数のＬＡＮにそれぞれ備えられ、それぞれ共通のＳＡを保持するＳＡＤがそれぞれ備えられ、当該ＳＡはＩＫＥプロトコルにより動的に割当てられるＶＰＮ装置である。
【００１３】
ここで、本発明の特徴とするところは、自ＶＰＮ装置が備える前記ＳＡＤから前記ＳＡが削除されたときには、自ＶＰＮ装置は、その旨を削除された当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる他のＶＰＮ装置に通知する手段を備えたところにある。
【００１４】
本発明の第三の観点はプログラムであって、本発明の特徴とするところは、情報処理装置にインストールすることにより、その情報処理装置に、インターネットを介してＩＰＳｅｃ通信を行なう複数のＬＡＮにそれぞれ備えられたＶＰＮ装置に相応する機能として、各ＶＰＮ装置にＩＫＥプロトコルにより動的に割当てられる共通のＳＡを保持するＳＡＤに相応する機能と、自ＶＰＮ装置が備える前記ＳＡＤから前記ＳＡが削除されたときには、自ＶＰＮ装置は、その旨を削除された当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる他のＶＰＮ装置に通知する機能とを実現させるところにある。
【００１５】
これにより、ＳＡが削除されたＶＰＮ装置が、削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置に対してＳＡ削除完了通知を送信することにより、通知を受けたＶＰＮ装置は直ちにＩＰＳｅｃパケットの送信を停止することができ、ＳＡ削除後の削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置が連続的に受信側で破棄されるとわかっているデータを送信する状態が無くなり、インターネット上の無駄なトラフィックをなくすことができ、また、今から送信するＩＰＳｅｃパケットが受信側で削除されるということを送信側ＶＰＮ装置が知っていれば、無駄に送信ＩＰパケットをＩＰＳｅｃ化する必要が無くなり、ＶＰＮ装置の無駄な処理負荷の発生を防ぐことができる。
【００１６】
【発明の実施の形態】
本発明実施例のＶＰＮシステムおよびＶＰＮ装置およびプログラムを図１および図２を参照して説明する。図１は本発明実施例のＶＰＮシステムの全体構成図である。図２はＳＡＤおよびＳＰＤを示す図である。
【００１７】
本発明の第一の観点は、図１に示すように、インターネット３０を介してＩＰＳｅｃ通信を行なう企業内ＬＡＮ１０および２０にそれぞれＶＰＮ装置４０および５０が備えられ、ＶＰＮ装置４０および５０には、図２に示すように、それぞれ共通のＳＡを保持するＳＡＤ１８０がそれぞれ備えられ、当該ＳＡはＩＫＥプロトコルにより動的に割当てられるＶＰＮシステムである。
【００１８】
ここで、本発明の特徴とするところは、いずれかのＶＰＮ装置４０または５０のＳＡＤ１８０から前記ＳＡが削除されたときには、ＶＰＮ装置４０または５０は、その旨を削除された当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となるＶＰＮ装置５０または４０に通知するところにある。
【００１９】
本発明の第二の観点は、図１に示すように、インターネット３０を介してＩＰＳｅｃ通信を行なう企業内ＬＡＮ１０および２０にそれぞれ備えられ、図２に示すように、それぞれ共通のＳＡを保持するＳＡＤ１８０がそれぞれ備えられ、当該ＳＡはＩＫＥプロトコルにより動的に割当てられるＶＰＮ装置４０および５０である。
【００２０】
ここで、本発明の特徴とするところは、自ＶＰＮ装置４０または５０が備えるＳＡＤ１８０から前記ＳＡが削除されたときには、自ＶＰＮ装置４０または５０は、その旨を削除された当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる他のＶＰＮ装置５０または４０に通知するところにある。
【００２１】
本発明の第三の観点は、図１に示すように、情報処理装置であるコンピュータ装置にインストールすることにより、そのコンピュータ装置に、インターネット３０を介してＩＰＳｅｃ通信を行なう企業内ＬＡＮ１０および２０にそれぞれ備えられたＶＰＮ装置４０および５０に相応する機能として、各ＶＰＮ装置４０および５０にＩＫＥプロトコルにより動的に割当てられる共通のＳＡを保持するＳＡＤ１８０に相応する機能と、自ＶＰＮ装置４０または５０が備えるＳＡＤ１８０から前記ＳＡが削除されたときには、自ＶＰＮ装置４０または５０は、その旨を削除された当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる他のＶＰＮ装置５０または４０に通知する機能とを実現させることを特徴とするプログラムである。
【００２２】
本発明のプログラムは、コンピュータ装置読み取り可能な記録媒体に記録され、コンピュータ装置はこの記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、コンピュータ装置は、本発明のプログラムを保持するサーバからネットワークを介して本発明のプログラムをダウンロードすることにより、本発明のプログラムをインストールすることができる。
【００２３】
以下では、本発明実施例をさらに詳細に説明する。
【００２４】
本発明のＩＰＳｅｃ通信時におけるＳＡ削除完了通知送信で、ＳＡ削除後にＩＰＳｅｃ通信の相手となるＶＰＮ装置からの連続送信状態を防ぐための実施例の構成を図１に示す。企業内ＬＡＮ１０のホストコンピュータ６０から企業内ＬＡＮ２０のホストコンピュータ７０宛にＩＰＳｅｃパケット化してほしいデータを送信する。企業内ＬＡＮ１０のホストコンピュータ６０から送信されたデータは、ＶＰＮ装置４０によって暗号化およびＩＰＳｅｃパケット化され、トンネルモードにより、インターネット３０を介してＶＰＮ装置５０に送信される。ＶＰＮ装置５０で受信したＩＰＳｅｃパケットは、復号化されＩＰパケットとして企業内ＬＡＮ２０内のホストコンピュータ７０宛に送信される。
【００２５】
次に、図２を参照して本発明実施例の動作を説明する。ＶＰＮ装置４０は、図１に示す企業内ＬＡＮ１０のホストコンピュータ６０から送信されたデータを暗号化し、ＩＰＳｅｃパケットとしてインターネット３０上にＶＰＮ装置５０宛のトンネルモードで送信する。
【００２６】
通常、ＩＰＳｅｃ通信がＶＰＮ装置４０とＶＰＮ装置５０間で成立するためには、図２に示す、各ＶＰＮ装置間のＳＰＤ８０管轄下のＳＡＤ１８０で管理されるＳＡが一致する必要がある。ＳＡの作成には、コンフィギュレーション上で固定的にポリシを割り当てる固定鍵方式と、ＩＫＥプロトコルを起動させて、動的にｉｎｂｏｕｎｄ９０、ｏｕｔｂｏｕｎｄ１００用にＳＡを作成する自動鍵交換方式がある。
【００２７】
固定鍵の場合には、鍵の更新や新規作成といった作業が不要なため、上記で述べたＳＡ削除後のＩＰＳｅｃ通信の相手となるＶＰＮ装置の連続送信状態に陥る心配はないが、ＩＫＥによる自動鍵交換方式の場合には、ＳＡのライフタイム、残バイト数、シーケンス番号の状態によりＳＡが削除および更新される場合がある。
【００２８】
ここで、図２に示す、ＶＰＮ装置４０から送信されたＩＰＳｅｃパケットは、ＶＰＮ装置５０で受信される。ＶＰＮ装置５０は受信したＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｈｅａｄｅｒ）およびＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｏｎ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）ヘッダ内に明記されているＳＰＩ（Ｓｅｃｕｒｉｔｙ  Ｐａｒａｍｅｔｅｒ  Ｉｎｄｅｘ）番号をもとにＶＰＮ装置５０内のＳＡＤ１８０上に管理されるＳＡを検索する。該当するＳＡが存在すれば、そのポリシに沿って復号化されるが、ＳＡが存在しない場合には、受信したＩＰＳｅｃパケットは破棄となる。
【００２９】
仮に、図２が示すＶＰＮ装置５０のＳＡ＃２（１１０）が削除されたことを知らないＶＰＮ装置４０は、ＶＰＮ装置５０のＳＡＤ９０上で管理されるＳＡ＃２（１１０）と対になるＳＡ＃２（１２０）が消滅しない限り、ＶＰＮ装置５０宛にＩＰＳｅｃパケットを連続的に送信し続けてしまうという悪循環に陥ってしまう。ここで、図２で明記されているように受信側ＶＰＮ装置５０がＳＡ＃２（１１０）が削除された後（Ｓ１）、削除された当該ＳＡ＃２（１１０）を用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置４０宛にＳＡ＃２（１１０）の削除完了通知を送信することにより（Ｓ２）、ＶＰＮ装置５０のＳＡＤ１８０で管理されるＳＡ＃２（１１０）が完全にＳＡＤ１８０上から削除されたことをＶＰＮ装置４０は知る。これにより、ＶＰＮ装置４０は、直ちにＶＰＮ装置５０宛に対してＩＰＳｅｃパケットを送信することを停止する。以上の一連の動作により、ＶＰＮ装置５０のＳＡ＃２（１１０）が削除された後のＶＰＮ装置４０からの連続送信状態を防ぐことができる。
【００３０】
【発明の効果】
以上説明したように、本発明によれば、ＳＡが削除されたＶＰＮ装置が削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置に対してＳＡ削除完了通知を送信することにより、通知を受けたＶＰＮ装置は直ちにＩＰＳｅｃパケットの送信を停止することができる。これにより、ＳＡ削除後の削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置が連続的に受信側で破棄されるとわかっているデータを送信する状態が無くなり、インターネット上の無駄なトラフィックをなくすことができる。また、今から送信するＩＰＳｅｃパケットが受信側で削除されると言うことを送信側ＶＰＮ装置が知っていれば、無駄に送信ＩＰパケットをＩＰＳｅｃ化する必要が無くなり、ＶＰＮ装置の無駄な処理負荷の発生を防ぐことができる。
【図面の簡単な説明】
【図１】本発明実施例のＶＰＮシステムの全体構成図。
【図２】本発明実施例のＳＰＤおよびＳＡＤを示す図。
【符号の説明】
１０、２０  企業内ＬＡＮ
３０  インターネット
４０、５０  ＶＰＮ装置
６０、７０  ホストコンピュータ
８０  ＳＰＤ
９０  ｉｎｂｏｕｎｄ
１００  ｏｕｔｂｏｕｎｄ
１１０、１２０  ＳＡ＃２
１８０  ＳＡＤ
【図１】
0003596489.tif 000002
【図２】
0003596489.tif 000003