(57)【要約】【課題】  ＩＰＳＥＣセキュリティ・アソシエーションを折衝するときのネットワーク・トポロジを検出すること。【解決手段】  本発明は、セキュリティ・アソシエーション（ＳＡ）が、接続を発生させるソース・ノードと宛先ノードとの間でエンドツーエンドに延びかどうか判断する。こうした場合、ネットワーク・アドレス変換によるルーティングの曖昧さはなく、ＳＡが可能になる。好ましい実施形態においては、セキュリティ保護された接続の両方のエンド・ノードはそれら自体及びリモード・ノードを、ゲートウェイのステータスについて試験して、ネットワーク・アドレス変換機構の存在による、いずれかの曖昧さがネットワーク・ルーティングに存在するかどうか判断する。【選択図】      図１
2009527138.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティ・アソシエーション（ＳＡ）折衝を開始するノードにおいてＩＰＳｅｃセキュリティ・アソシエーションを折衝するための方法であって、
前記開始ノードが他のソース又は宛先ノードへのゲートウェイであるかどうか判断するステップと、
前記開始ノードがゲートウェイである場合には前記ＳＡを否認するステップと、
を含む方法。
【請求項２】
前記開始ノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップは、
ａ）ＩＰアドレスをもつ応答ノードからのＩＤｃｉペイロードがあるかどうか判断するステップと、
ｂ）そうである場合には、前記ＩＤｃｉペイロードにおける前記応答ノードの前記ＩＰアドレスを、ＳＡ折衝パケットにおける前記ＳＡ開始ノードのＩＰアドレスと比較するステップ、
をさらに含む、請求項１に記載の方法。
【請求項３】
ｃ）前記ＳＡ折衝の段階１の間、前記ＳＡイニシエータにおいて、ＮＡＴ−Ｄペイロード及び前記ＮＡＴ−Ｄペイロードを再計算するのに必要なデータを保存するステップと、
ｄ）前記ｂ）の比較するステップが期待を裏切るものである場合には、前記ＮＡＴ−Ｄペイロードを再計算して、前記再計算された値を、前記ステップｃ）において保存された値と比較するステップ、
をさらに含む、請求項２に記載の方法。
【請求項４】
前記ＳＡ開始ノードに応答するノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップと、
前記応答ノードがゲートウェイである場合には前記ＳＡを否認するステップ、
をさらに含む、請求項１に記載の方法。
【請求項５】
前記ＳＡ開始ノードに応答するノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップは、
ｅ）ＩＰアドレスをもつ応答ノードからのＩＤｃｒペイロードがあるかどうか判断するステップと、
ｆ）そうである場合には、前記ＩＤｃｒペイロードにおける前記応答ノードの前記ＩＰアドレスを、前記ＳＡ折衝パケットにおける前記ＳＡ応答ノードのＩＰアドレスと比較するステップ、
をさらに含む、請求項４に記載の方法。
【請求項６】
ｇ）前記ＳＡ折衝の段階１の間、前記ＳＡイニシエータにおいて、前記ＮＡＴ−Ｄペイロード及び前記ＮＡＴ−Ｄペイロードを再計算するのに必要なデータを保存するステップと、
ｈ）前記ｆ）の比較するステップが期待を裏切るものである場合には、前記ＮＡＴ−Ｄペイロードを再計算して、前記再計算された値を、前記ステップｇ）において保存された値と比較するステップ、
をさらに含む、請求項５に記載の方法。
【請求項７】
セキュリティ・アソシエーション（ＳＡ）折衝に応答するノードにおいてＩＰｓｅｃセキュリティ・アソシエーションを折衝するための方法であって、
前記ＳＡを開始する前記ノードがソース又は宛先ノードへのゲートウェイであるかどうか判断し、そうである場合には、関連するネットワーク接続がエンドツーエンドのＳＡをもたないとマークするステップ、
を含む方法。
【請求項８】
前記応答ノードにおいて、前記接続がエンドツーエンドのＳＡをもたないとマークされるステップに応答して、接続設定中に、重複するソースパケットについてチェックするステップ、
をさらに含む、請求項７に記載の方法。
【請求項９】
前記ＳＡを開始するノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップは、
ａ）ＩＰアドレスをもつ前記開始ノードからのＩＤｃｉペイロードがあるかどうか判断するステップと、
ｂ）そうである場合には、前記ＩＤｃｉペイロードにおける前記開始ノードの前記ＩＰアドレスを、ＳＡ折衝パケットにおける前記ＳＡ開始ノードのＩＰアドレスと比較するステップ、
をさらに含む、請求項７に記載の方法。
【請求項１０】
ｃ）前記応答ノードにおける前記ＳＡ折衝の段階１の間、ＮＡＴ−Ｄペイロード及び前記ＮＡＴ−Ｄペイロードを再計算するのに必要なデータを保存するステップと、
ｄ）前記ｂ）の比較するステップが期待を裏切るものである場合には、前記ＮＡＴ−Ｄペイロードを再計算して、再計算された値を、前記ステップｃ）において保存された値と比較するステップ、
をさらに含む、請求項９に記載の方法。
【請求項１１】
前記ＳＡに応答するノードにおいて、前記応答ノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップと、
そうである場合には、前記ＳＡを否認するステップ、
をさらに含む、請求項７に記載の方法。
【請求項１２】
前記応答ノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップは、
ｅ）ＩＰアドレスをもつ前記応答ノードにＩＤｃｒペイロードがあるかどうか判断するステップと、
ｆ）そうである場合には、前記ＩＤｃｒペイロードにおける前記応答ノードの前記ＩＰアドレスを、前記応答ノードのＩＰアドレスと比較するステップ、
をさらに含む、請求項１１に記載の方法。
【請求項１３】
ｇ）前記応答ノードにおける前記ＳＡ折衝の段階１の間、前記ＮＡＴ−Ｄペイロード及び前記ＮＡＴ−Ｄペイロードを再計算するのに必要なデータを保存するステップと、
ｈ）前記ｆ）の比較するステップが期待を裏切るものである場合には、前記ＮＡＴ−Ｄペイロードを再計算して、前記再計算された値を、前記ステップｇ）において保存された値と比較するステップ、
をさらに含む、請求項１２に記載の方法。
【請求項１４】
前記ステップｈ）の比較するステップが期待を裏切るものである場合には前記ＳＡを否認するステップをさらに含む、請求項１３に記載の方法。
【請求項１５】
前記ステップｄ）の比較するステップが期待を裏切るものである場合には前記ＳＡを否認するステップをさらに含む、請求項３に記載の方法。
【請求項１６】
前記ステップｈ）の比較するステップが期待を裏切るものである場合には前記ＳＡを否認するステップをさらに含む、請求項６に記載の方法。
【請求項１７】
前記応答ノードにおいて、前記ｄ）の比較するステップが期待を裏切るものである場合には、関連するネットワーク接続がエンドツーエンドのＳＡをもたないとマークするステップを含む、請求項１０に記載の方法。
【請求項１８】
前記方法の請求項のいずれかに記載される方法のすべてのステップを実行するようにされた手段を含む、システム。
【請求項１９】
前記コンピュータ製品がコンピュータ・システム上で実行されるとき、前記方法の請求項のいずれかに記載される方法のすべてのステップを実行するための命令を含む、コンピュータ・プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、インターネット・ネットワーキングに関し、具体的には、セキュリティ・アソシエーションを折衝することに対するネットワーク・アドレス変換により引き起こされるネットワーク・トポロジにおける曖昧な状況に関する。
【背景技術】
【０００２】
本発明により対処される問題及び解決法は、本明細書において、インターネット、及びインターネット通信の基礎を形成するＴＣＰ／ＩＰプロトコルにより説明される。しかしながら、本発明は、プロトコルの詳細に応じて、他の通信プロトコルにも適用することができる。
【０００３】
インターネット・ネットワーク・アドレス変換は、幾つかの理由のために用いられる。主な理由は、パブリック・アドレスを経済的に用いるためである。ネットワーク・アドレス変換機構（ＮＡＴ）のインターネット・プロトコル（ＩＰ）アドレスは、一般に、パブリック・アドレスである。すなわち、ＮＡＴ  ＩＰアドレスは外部の世界に知られているが、ＮＡＴの後に位置するサーバ又はクライアントの全ては、ＮＡＴにより管理されるプライベート・アドレスであり、外部の世界に知られていない。こうした場合には、外部の世界はＮＡＴと通信し、ＮＡＴは、その後に位置する適切なサーバ及びクライアントとの通信を制御する。このことは、ＮＡＴの後に位置する装置のＩＰアドレスは、そのファミリー内で独特であればよいが、残りの世界における他のＩＰアドレスと重複することがある。ネットワーク・アドレス変換機構（ＮＡＴ）の基準は、「Ｔｒａｄｉｔｉｏｎａｌ  ＩＰ  Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ」という表題の非特許文献１に述べられている。
【０００４】
【特許文献１】米国特許公開番号第２００６−０２２７８６７−Ａ１号
【特許文献２】米国特許公開番号第２００６−０２２７７７０−Ａ１号
【特許文献３】米国特許出願第１０／９０７６６１号
【特許文献４】米国特許出願第１０／９０７６５９号
【非特許文献１】インターネット技術タスクフォース（ＩＥＴＦ）ＲＦＣ  ３０２２
【発明の開示】
【発明が解決しようとする課題】
【０００５】
元々のインターネットは、セキュリティが主たる要素として設計されていなかった。実際、インターネットは、科学的及び教育的な通信を助けるものとして、故意に、比較的オープンに作られた。しかしながら、ウェブの出現及びその商業的使用は、セキュリティ保護されたインターネット通信に対する必要性を増加させた。一般にＩＰｓｅｃとして知られるインターネット・セキュリティ・プロトコルは、これらの課題に対処するように定義された。例えば、ＩＰｓｅｃは、ネットワーク・ユーザの認証、及び／又は、伝送データの暗号化を提供する。ソース・アドレスと宛先アドレスとの間のＩＰｓｅｃ通信は、通信に適用されるＩＰｓｅｃ処理を定義する１つ又は複数の規則である、セキュリティ・アソシエーション（ＳＡ）により管理される。ＩＰｓｅｃは、ＲＦＣ２４０１及び他のＲＦＣに定義される。
【０００６】
ネットワーク・アドレス又はポート変換とＩＰｓｅｃ処理との間には、固有の不適合がある。これらの不適合は、ＩＰｓｅｃの配置に対する障壁となる。ＲＦＣ３７１５は、これらの不適合の幾つかを認識し論じるが、一般的な解決法は与えない。ＩＢＭ社に譲渡された２つの特許出願は、ネットワーク・アドレス・ポート変換（ＮＡＰＴ）を含む環境におけるパケット・ソースの重複に関するこれらの不適合の幾つかを解決する。第１のものは、「Ｎｅｇｏｔｉａｔｉｎｇ  ＩＰｓｅｃ  Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎｓ  ａｎｄ  Ｐｒｅｖｅｎｔｉｎｇ  Ｄｕｐｌｉｃａｔｅ  Ｓｏｕｒｃｅｓ  ｉｎ  Ｎｅｔｗｏｒｋｓ  ｔｈａｔ  Ｉｎｖｏｌｖｅ  Ｎｅｔｗｏｒｋｄ  Ａｄｄｒｅｓｓ  Ｎｅｔｗｏｒｋ  Ｔｒａｎｓｌａｔｉｏｎ」と題する特許文献１である。第２のものは、特許文献１を改良した、特許文献２である。これらの出願は、全体が引用により本明細書に組み入れられる。
【課題を解決するための手段】
【０００７】
不適当な又は異常な結果を避けるために、特定のネットワーク・トポロジの認識を必要とする、ＩＰｓｅｃセキュリティ・アソシエーションの折衝中に生じる特定の状況がある。例えば、接続がネットワーク・アドレス変換機構（ＮＡＴ）を含むときに、サーバが中間ルータ又はセキュリティ保護されたゲートウェイにおいて終了するトンネル・モードＳＡを開始しようとする場合には、ホストはＳＡ折衝を拒否しなければならないことがある。こうした場合、含まれるＩＰアドレスはプライベートなものとすることができ、これはホストが適当にパケットをルーティングするのは不可能であるとすることができることを意味する。ネットワーク・アドレス・ポート変換機構（ＮＡＴ）を含む他の状況は、重複するＩＰソースの問題をもたらすことがある。これは、同一のソースＩＰアドレスを含む異なるソースからパケットを受信することが可能であることを意味する。重複するソースの問題に対する解決法は、上述の特許文献１及び特許文献２において対処される。ＳＡ折衝中に、サーバが、これらの特許出願の解決法を適用できる状況を識別する場合には、さらに有利である。
【０００８】
本発明は、請求項１及び請求項７に特許請求される方法、及び対応するシステム及びコンピュータ・プログラムを提供する。
【発明を実施するための最良の形態】
【０００９】
図１は、折衝ＳＡがクライアントとサーバとの間のＮＡＴを通ってエンドツーエンドに延びるネットワーク構成を示す。セキュリティ・アソシエーションの折衝において、この構成により導入されるネットワークの曖昧さはない。セキュリティ・アソシエーションの範囲は、この図、さらに図２及び図３において、太い黒線により示される。
【００１０】
図２は、折衝ＳＡがサーバと複数のクライアントの前にあるゲートウェイとの間のＮＡＴを通って延びるネットワーク構成を示す。この構成は、セキュリティ・アソシエーションがエンドツーエンドに延びず、ゲートウェイで終わるため、特別な処置を必要とすることがある。
【００１１】
図３は、図２と同様なネットワーク構成を示すが、セキュリティ・アソシエーションは宛先サーバへのゲートウェイ（ＧＡＴＥＷＡＹ２）で終了する。この構成におけるＩＰＳｓｅｃは、ＧＡＴＥＷＡＹ２は、ＧＡＴＥＷＡＹ２によりルーティング可能でないことがあるプライベートＩＰアドレスをもつパケットを受信することがある可能性のために、許可されないことがある。
【００１２】
本発明は、これらの構成のうちのどれが特定のＳＡ折衝に適用されるかを判断し、セキュリティ・アソシエーションを受け入れる又は拒否することにより、又は、特定の状況においては、特許文献３及び特許文献４の特許出願の重複ソース解決法を適用することにより、どのようなネットワークの曖昧さも解決する処置を取る。
【００１３】
図４は、段階２のＳＡ折衝中に本発明により用いるのに必要な情報を保存するためにＳＡ折衝の段階１中に取られるステップを示す。図４のステップは、ＳＡの段階１を開始するノード及び段階１の開始に応答するノードの両方で行われる。具体的には、ＮＡＴ発見ペイロードＮＡＴ−Ｄがステップ４０２において保存される。ＲＦＣ３９４７により、ＮＡＴ−Ｄペイロードは、２つのインターネット・キー・エクスチェンジ（ＩＫＥ）ピア間のＮＡＴの存在を検出するように用いることができる。ＮＡＴ−Ｄペイロードは、後で、幾つかの場合において、段階２のＳＡ折衝中に本発明により再計算され、４０２において保存された値と比較されて、問題の構成が存在するかどうか判断する。ステップ４０４は、段階１のＳＡ折衝中にＮＡＴ−Ｄペイロードの後の再計算を可能にする情報を保存する。具体的には、この情報は、ＩＫＥポート値のリモート・ピアのビュー、段階１のパケットが受信されたローカル・ポート値、及びイニシエータ・クッキーＣＫＹ−Ｉ及びレスポンダ・クッキーＣＫＹ−Ｒである。ローカルＩＫＥポート値のリモート・ピアのビューは、以下の表からの予測される変換されていない値である。
【表１】
2009527138.tif 000003
【００１４】
図５及び図６は、ＳＡを開始するサーバ又はゲートウェイにおいてＳＡ段階中に取られるステップを示す。ＳＡイニシエータがサーバである場合には、図５は、図１に示すようにＳＡが接続のリモート・クライアントまで延びるか（エンドツーエンド）、又は、図２に示すようにゲートウェイにおいて終了するか判断しようとする。図２に示すように、イニシエータがゲートウェイである場合には、図５のステップは、図２に示すようにＳＡがサーバまで延びるか、又は、図３に示すようにＧＡＴＥＷＡＹ２のようなゲートウェイまで延びるか判断する。同様に、図６は、イニシエータがゲートウェイであるかどうか判断しようとする。ここでも、ゲートウェイで終了するＳＡは、好ましい実施形態においては許可されない。
【００１５】
段階２のＳＡメッセージは、図５及び図６の判断に用いられる２つのペイロード、ＩＤｃｉ及びＩＤｃｒを含むことができる。存在する場合には、これらのペイロードは、ＳＡ開始ピア及び応答ピアそれぞれのＩＰアドレスを含む。ＳＡイニシエータにおけるステップ５０２は、ＩＤｃｒが存在するかどうか判断する。存在しない場合には、ＳＡは、図１のようにエンドツーエンドに延びることがすぐに知られる。この場合、実行は５０９に進み、図６に示すローカル・ゲートウェイのチェックを始める。ＩＤｃｒが存在すると仮定すると、ステップ５０４は、これがＩＰアドレスを含むかどうか判断する。アドレスを含まない場合には、ピア間のＳＡ構成を確認することはできず、ＳＡはステップ５１２で異常終了される。ＩＤｃｒが実際にＩＰアドレスを含む場合には、ステップ５０６は、ＩＤｃｒアドレスを、段階２のメッセージを含むＩＰパケットのＩＰヘッダから取得されたリモートＳＡエンドポイントのＩＰアドレスと比較する。ＳＡがエンドツーエンドに延びるように適合が満足いくものである場合には、実行は再びステップ５０９に進み、ローカル・ゲートウェイのチェックを行う。５０６での比較が期待を裏切るものである場合には、ＮＡＴ−Ｄペイロードを再計算し、これを図４の４０２で保存した値と比較して、エンドツーエンドのステータスを判断しなければならなくなる。ステップ５０８は、ＮＡＴ−Ｄペイロードを再計算する。ステップ５１０は、比較をする。比較が満足いくものである場合には、５０９で始まるローカル・ゲートウェイのチェックが行われる。比較が期待を裏切るものである場合には、ＳＡのリモート・エンドは、図２に示すように、ゲートウェイにおいて終了することを意味する。
【００１６】
クライアントに対する曖昧さに対処するために、ＳＡは、ステップ５１２で拒否される。ＮＡＴ−Ｄペイロードの計算方法は、ＲＦＣ３９４７のセクション３．２において規定される。
【００１７】
図３の構成においては、ゲートウェイ、ＧＡＴＥＷＡＹ２は、パケットを宛先サーバにルーティングする。ＳＡのローカル・エンドがＧＡＴＥＷＡＹ２のようなゲートウェイで終了したときには、これは、ゲートウェイによりルーティング可能ではないことがあるプライベートＩＰアドレスの可能性のために、好ましい実施形態においては可能にならない構成である。この構成が可能でない場合には、ＳＡはこの状況において確立されてはならない。これらのステップは、図５のエンドツーエンドのチェックのステップと非常に似ている。しかしながら、このチェックは別の宛先ノードへのＳＡイニシエータのゲートウェイのステータスに対するものであるため、試験は、イニシエータのＩＰアドレスとＮＡＴ−ＤペイロードのＩＤｃｉフィールドのＩＰアドレスとの等しさを主たる対象とする。ステップ６０２にＩＤｃｉフィールドがない場合には、このサーバは別の宛先サーバへのゲートウェイではなく、通常のＳＡ処理が、ステップ６０９において継続することが可能にされる。ＩＤｃｉフィールドが６０２で存在するが、ステップ６０４でＩＰアドレスを含まない場合には、重複するソースが検出可能であるかどうか判断することができず、この場合、ＳＡ折衝は６１２において終了する。ＩＤｃｉが６０４においてＩＰアドレスを含む場合には、ステップ６０６は、パケットにおけるソースＩＰアドレスの値をＩＤｃｉにおける値と比較する。これらが適合する場合には、直のサーバはゲートウェイではないことが判断され、通常処理が６０９で継続する。６０６の比較が期待を裏切るものである場合には、ＮＡＴ−Ｄペイロードの再計算、及び、これをステップ４０２から保存された値と比較することが必要になる。ステップ６０８は再計算を行い、ステップ６１０は比較をする。これが満足いくものである場合には、通常の処理が継続する。或いは別の場合には、ＳＡ折衝が６１２で終了する。
【００１８】
図７及び図８は、当該サーバが、リモート・ピアにより開始されたＳＡ折衝に応答する状況に対する図５及び図６のそれぞれに対応するフローチャートである。図７は、この応答状況に対するエンドツーエンドのチェックである。図８は、この状況に対するローカル・ゲートウェイのチェックである。図５及び図６で行われたように、これらのフローチャートを詳細に論じる必要はない。フローチャートは、この明細書の完全性のために与えられる。対応する図は、殆どの点で互いに同一であり、ＩＤｃｒ又はＩＤｃｉのいずれがステップで用いられるか、及びどのＩＰアドレスが関連するか、段階２のパケットにおけるソース又は宛先ＩＰアドレスだけが異なっている。応答状況におけるエンドツーエンドのチェック（図７）は、ＩＤｃｉ及びリモート・イニシエータのＩＰアドレスを用いる。ステップ７１２においては、応答ノードにおける段階２のＳＡ折衝は終了せず、むしろエンドツーエンドではないとマークされる。この場合、特許出願公開番号の特許文献１及び特許文献２に説明されるソースポート変換をレスポンダにおいて用いて、クライアント・ホストの重複するソースの曖昧さを避けるようにすることができる。この応答状況における図８のローカル・ゲートウェイのチェックは、ＩＤｃｒ及び段階２のパケットにおける宛先ＩＰアドレスを用いる。
【図面の簡単な説明】
【００１９】
【図１】折衝ＳＡが、この図に示されるサーバ及びクライアントのような２つのネットワーク・ピア間のＮＡＴを通ってエンドツーエンドに延びるネットワーク構成を示す。この構成においては、折衝ＳＡの問題はない。
【図２】リモート・ピアがゲートウェイ・ノードである、折衝ＳＡが２つのネットワーク・ピア間のＮＡＴを通って延びるネットワーク構成を示す。ＳＥＲＶＥＲにおけるＩＰＳｅｃ実施は、特別な処置を必要とするＩＰアドレスの曖昧さの問題を避けるために、この構成におけるＳＡの折衝を制限することがある。
【図３】ＳＡが終了するローカル・ピアが別の宛先サーバへのサーバ・ゲートウェイ（ＧＡＴＥＷＡＹ２）として作用する、図２と同様なネットワーク構成を示す。ＧＡＴＥＷＡＹ２におけるＩＰＳｅｃの実施は、プライベートＩＰアドレスをもつパケットのルーティング問題を避けるために、この構成におけるＳＡの折衝を制限することがある。
【図４】サーバからのＳＡがエンドツーエンドまで延びるか（図１）、又はリモート・ゲートウェイまで延びるか（図２）を判断するために、段階２の間に後で必要になる情報を保存する、ＳＡ折衝の段階１の間にサーバで行われるステップを示すフローチャートである。
【図５】図１から図３のうちのどの構成が適用されるかを判断することが目的である、サーバが折衝のイニシエータであるときのＳＡ折衝の段階２中にサーバで実行されるフローチャートを含む。
【図６】図１から図３のうちのどの構成が適用されるかを判断することが目的である、サーバが折衝のイニシエータであるときのＳＡ折衝の段階２中にサーバで実行されるフローチャートを含む。
【図７】図１から図３のうちのどの構成が適用されるかを判断することが目的である、サーバがリモート・エンドで開始される折衝に応答するときにＳＡ折衝の段階２中にサーバで実行されるフローチャートを含む。
【図８】図１から図３のうちのどの構成が適用されるかを判断することが目的である、サーバがリモート・エンドで開始される折衝に応答するときにＳＡ折衝の段階２中にサーバで実行されるフローチャートを含む。
【図１】
2009527138.tif 000004
【図２】
2009527138.tif 000005
【図３】
2009527138.tif 000006
【図４】
2009527138.tif 000007
【図５】
2009527138.tif 000008
【図６】
2009527138.tif 000009
【図７】
2009527138.tif 000010
【図８】
2009527138.tif 000011
【手続補正書】
【提出日】平成21年4月21日(2009.4.21)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
セキュリティ・アソシエーション（ＳＡ）折衝を開始するノードにおいてＩＰＳｅｃセキュリティ・アソシエーションを折衝するための方法であって、
前記開始ノードが他のソース又は宛先ノードへのゲートウェイであるかどうか判断するステップと、
前記開始ノードがゲートウェイである場合には前記ＳＡを否認するステップと、
を含む方法。
【請求項２】
前記開始ノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップは、
ａ）ＩＰアドレスをもつ応答ノードからのＩＤｃｉペイロードがあるかどうか判断するステップと、
ｂ）そうである場合には、前記ＩＤｃｉペイロードにおける前記応答ノードの前記ＩＰアドレスを、ＳＡ折衝パケットにおける前記ＳＡ開始ノードのＩＰアドレスと比較するステップ、
をさらに含む、請求項１に記載の方法。
【請求項３】
ｃ）前記ＳＡ折衝の段階１の間、ＮＡＴ−Ｄペイロード及び前記ＮＡＴ−Ｄペイロードを再計算するのに必要なデータを保存するステップと、
ｄ）前記ｂ）の比較するステップが期待を裏切るものである場合には、前記ＮＡＴ−Ｄペイロードを再計算して、前記再計算された値を、前記ステップｃ）において保存された値と比較するステップ、
をさらに含む、請求項２に記載の方法。
【請求項４】
前記ＳＡ開始ノードに応答するノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップと、
前記応答ノードがゲートウェイである場合には前記ＳＡを否認するステップ、
をさらに含む、請求項１に記載の方法。
【請求項５】
前記ＳＡ開始ノードに応答するノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップは、
ｅ）ＩＰアドレスをもつ応答ノードからのＩＤｃｒペイロードがあるかどうか判断するステップと、
ｆ）そうである場合には、前記ＩＤｃｒペイロードにおける前記応答ノードの前記ＩＰアドレスを、前記ＳＡ折衝パケットにおける前記ＳＡ応答ノードのＩＰアドレスと比較するステップ、
をさらに含む、請求項４に記載の方法。
【請求項６】
ｇ）前記ＳＡ折衝の段階１の間、前記ＮＡＴ−Ｄペイロード及び前記ＮＡＴ−Ｄペイロードを再計算するのに必要なデータを保存するステップと、
ｈ）前記ｆ）の比較するステップが期待を裏切るものである場合には、前記ＮＡＴ−Ｄペイロードを再計算して、前記再計算された値を、前記ステップｇ）において保存された値と比較するステップ、
をさらに含む、請求項５に記載の方法。
【請求項７】
セキュリティ・アソシエーション（ＳＡ）折衝に応答するノードにおいてＩＰｓｅｃセキュリティ・アソシエーションを折衝するための方法であって、
前記ＳＡを開始する前記ノードがソース又は宛先ノードへのゲートウェイであるかどうか判断し、そうである場合には、関連するネットワーク接続がエンドツーエンドのＳＡをもたないとマークするステップ、
を含み、
前記応答ノードにおいて、前記接続がエンドツーエンドのＳＡをもたないとマークされるステップに応答して、接続設定中に、重複するソースパケットについてチェックするステップ、
をさらに含む方法。
【請求項８】
前記ＳＡを開始するノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップは、
ａ）ＩＰアドレスをもつ前記開始ノードからのＩＤｃｉペイロードがあるかどうか判断するステップと、
ｂ）そうである場合には、前記ＩＤｃｉペイロードにおける前記開始ノードの前記ＩＰアドレスを、ＳＡ折衝パケットにおける前記ＳＡ開始ノードのＩＰアドレスと比較するステップ、
をさらに含む、請求項７に記載の方法。
【請求項９】
ｃ）前記応答ノードにおける前記ＳＡ折衝の段階１の間、ＮＡＴ−Ｄペイロード及び前記ＮＡＴ−Ｄペイロードを再計算するのに必要なデータを保存するステップと、
ｄ）前記ｂ）の比較するステップが期待を裏切るものである場合には、前記ＮＡＴ−Ｄペイロードを再計算して、再計算された値を、前記ステップｃ）において保存された値と比較するステップ、
をさらに含む、請求項８に記載の方法。
【請求項１０】
前記ＳＡに応答するノードにおいて、前記応答ノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップと、
そうである場合には、前記ＳＡを否認するステップ、
をさらに含む、請求項７に記載の方法。
【請求項１１】
前記応答ノードがソース又は宛先ノードへのゲートウェイであるかどうか判断するステップは、
ｅ）ＩＰアドレスをもつ前記応答ノードにＩＤｃｒペイロードがあるかどうか判断するステップと、
ｆ）そうである場合には、前記ＩＤｃｒペイロードにおける前記応答ノードの前記ＩＰアドレスを、前記応答ノードのＩＰアドレスと比較するステップ、
をさらに含む、請求項１０に記載の方法。
【請求項１２】
ｇ）前記応答ノードにおける前記ＳＡ折衝の段階１の間、前記ＮＡＴ−Ｄペイロード及び前記ＮＡＴ−Ｄペイロードを再計算するのに必要なデータを保存するステップと、
ｈ）前記ｆ）の比較するステップが期待を裏切るものである場合には、前記ＮＡＴ−Ｄペイロードを再計算して、前記再計算された値を、前記ステップｇ）において保存された値と比較するステップ、
をさらに含む、請求項１１に記載の方法。
【請求項１３】
前記ステップｈ）の比較するステップが期待を裏切るものである場合には前記ＳＡを否認するステップをさらに含む、請求項１２に記載の方法。
【請求項１４】
前記ステップｄ）の比較するステップが期待を裏切るものである場合には前記ＳＡを否認するステップをさらに含む、請求項３に記載の方法。
【請求項１５】
前記ステップｈ）の比較するステップが期待を裏切るものである場合には前記ＳＡを否認するステップをさらに含む、請求項６に記載の方法。
【請求項１６】
前記応答ノードにおいて、前記ｄ）の比較するステップが期待を裏切るものである場合には、関連するネットワーク接続がエンドツーエンドのＳＡをもたないとマークするステップを含む、請求項９に記載の方法。
【請求項１７】
前記方法の請求項のいずれかに記載される方法のすべてのステップを実行するようにされた手段を含む、システム。
【請求項１８】
前記方法の請求項のいずれかに記載される方法のすべてのステップをコンピュータに実行するための命令を含む、コンピュータ・プログラム。
【国際調査報告】
2009527138.tif 000012
2009527138.tif 000013
2009527138.tif 000014