(57)【要約】【課題】通常契約のＡＤＳＬサービスやＣＡＴＶインターネットサービスでもＩＰｓｅｃの利用を可能にし、且つ、より安全性の高いｐｒｅ−ｓｈａｒｅｄ−ｋｅｙによるｍａｉｎ  ｍｏｄｅでのＩＳＡＫＭＰ  ＳＡ生成を行うための方法を提供する。【解決手段】  ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）に対応し、且つ、動的に割り当てられたＩＰアドレスと自身のホスト名とを組み合わせるＤｙｎａｍｉｃ  ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）機能を備えた通信装置（１０）と、前記通信装置（１０）にＩＰアドレスを割り当てるアクセスサーバ（３０）と、前記通信装置（１０）が、前記アクセスサーバ（３０）から割り当てられたＩＰアドレスと前記自身のホスト名との組み合わせを登録するためのＤＮＳサーバ（４０）とを具備するＩＰｓｅｃ設定システムを用いる。【選択図】          図１
2006345299.tif 000002
【特許請求の範囲】
【請求項１】
ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）に対応し、且つ、動的に割り当てられたＩＰアドレスと自身のホスト名とを組み合わせるＤｙｎａｍｉｃ  ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）機能を備えた通信装置と、
前記通信装置にＩＰアドレスを割り当てるアクセスサーバと、
前記通信装置が、前記アクセスサーバから割り当てられたＩＰアドレスと前記自身のホスト名との組み合わせを登録するためのＤＮＳサーバと
を具備する
ＩＰｓｅｃ設定システム。
【請求項２】
請求項１に記載のＩＰｓｅｃ設定システムにおいて、
前記通信装置は、前記ＤＮＳサーバを利用して、予め自身に登録されている他の通信装置のホスト名から前記他の通信装置のＩＰアドレスを取得する
ＩＰｓｅｃ設定システム。
【請求項３】
請求項２に記載のＩＰｓｅｃ設定システムにおいて、
前記通信装置は、前記他の通信装置のＩＰアドレスを、前記通信装置が送信しようとするパケットの宛先ＩＰアドレス、及びＩＤペイロードに格納するＩＤとして設定する
ＩＰｓｅｃ設定システム。
【請求項４】
請求項３に記載のＩＰｓｅｃ設定システムにおいて、
前記通信装置と前記他の通信装置とは、固定のＩＰアドレスを必要とせず、前記ＤＮＳサーバを利用して、互いに相手のホスト名から相手のＩＰアドレスを取得することで、動的に割り当てられたＩＰアドレスを持つ通信装置同士の通信でもＩＰＳｅｃを使用することを可能とすることを特徴とする
ＩＰｓｅｃ設定システム。
【請求項５】
ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）に対応し、且つ、アクセスサーバから動的に割り当てられたＩＰアドレスと自身のホスト名とを組み合わせてＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバに登録する
通信装置。
【請求項６】
請求項５に記載の通信装置において、
前記ＤＮＳサーバを利用して、予め自身に登録されている他の通信装置のホスト名から前記他の通信装置のＩＰアドレスを取得する
通信装置。
【請求項７】
請求項６に記載の通信装置において、
前記他の通信装置のＩＰアドレスを、前記通信装置から送信されるパケットの宛先ＩＰアドレス、及びＩＤペイロードに格納するＩＤとして設定する
通信装置。
【請求項８】
動的にＩＰアドレスを割り振るアクセスサーバから、前記ＩＰアドレスを取得するステップと、
前記取得したＩＰアドレスと自身のホスト名とを組み合わせて、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバに登録するステップと、
ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）に基づいて通信を行うステップと
を具備する
ＩＰｓｅｃ設定方法。
【請求項９】
請求項８に記載のＩＰｓｅｃ設定方法において、
前記ＤＮＳサーバを利用して、予め自身に登録されている通信相手のホスト名から前記通信相手のＩＰアドレスを取得するステップを更に具備する
ＩＰｓｅｃ設定方法。
【請求項１０】
請求項９に記載のＩＰｓｅｃ設定方法において、
前記通信相手のＩＰアドレスを、送信しようとするパケットの宛先ＩＰアドレス、及びＩＤペイロードに格納するＩＤとして設定するステップを更に具備する
ＩＰｓｅｃ設定方法。
【請求項１１】
請求項８乃至１０のいずれか一項に記載のＩＰｓｅｃ設定方法を、コンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＤｙｎａｍｉｃＤＮＳを使用したＩＰｓｅｃ設定システム、通信装置、ＩＰｓｅｃ設定方法及びプログラムに関する。
【背景技術】
【０００２】
ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）は、ＴＣＰ／ＩＰレベルで通信経路の暗号化を行うプロトコルの一つである。
【０００３】
ＩＰｓｅｃでの暗号化では、共有鍵暗号が使用されるため、通信に先立ち、実際に利用する秘密鍵（共有鍵）を交換しなければならない。また、秘密鍵はセキュリティレベルを保つために、頻繁に変更されるべきなので、その都度あらためて鍵交換をする必要がある。この鍵交換において、通常は自動鍵交換プロトコルが利用される。この鍵交換プロトコルのフレームワークとして既定されているものがＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ  ａｎｄ  Ｋｅｙ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）である。
【０００４】
ＩＳＡＫＭＰは、通信する相手の認証、ＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）の生成と管理、鍵生成技法、ＤＯＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅｓ）やリプレイ攻撃といった危険からの防御などのための手順を定義する。
このＳＡは、自動鍵交換プロトコルであるＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）で取り決められた情報であり、ＳＡＤ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ  Ｄａｔａｂａｓｅ）に格納される。ＳＡには方向性があるので、ＳＡＤは送信用のＳＡＤと受信用のＳＡＤの２種類が存在する。
【０００５】
ＩＳＡＫＭＰ  ＳＡ生成のための交換タイプとしてｍａｉｎ  ｍｏｄｅ，  ａｇｇｒｅｓｓｉｖｅ  ｍｏｄｅがある。この２つのｍｏｄｅの違いは、次の通りとなる。
ｍａｉｎ  ｍｏｄｅ：  ＩＰｓｅｃ機器の両方に固定のＩＰアドレスが必要であり、相手のＩＰｓｅｃ機器のＩＰアドレスを知らなければ使用できないため、安全性が高い。
ａｇｇｒｅｓｓｉｖｅ  ｍｏｄｅ：  固定のＩＰアドレスは片側のＩＰｓｅｃ機器だけで良い。ｍａｉｎ  ｍｏｄｅに比べて安全性が低い。
【０００６】
関連する技術として特開２０００−３４１３２５号公報に、通信アドレスの変化する通信端末器に対してホスト名を固定してアクセスする方法、この方法を用いたダイナミックＩＰ用ＤＮＳシステム、及びそのシステムに使用されるＤＮＳサーバ装置が開示されている。この技術では、通信ネットワークにアクセスする毎にＩＰアドレスが変化する通信端末器を組み込んだ通信ネットワークにおいて、ホスト名と、ＩＰアクセスとを対応させて、少なくとも登録するＤＮＳデータベースを有したダイナミックＤＮＳサーバをネットワーク上に設けておく。そして、通信端末器が通信ネットワークにアクセスする毎に、その通信端末器に割り当てられたホスト名とＩＰアドレスを少なくとも含んだダイナミックＤＮＳ情報を上記ダイナミックＩＰ用ＤＮＳサーバに送信してＤＮＳデータベースに登録させる。他方の通信端末器では、上記ダイナミックＤＮＳ情報を登録した通信端末器に対して予め割り付けられたホスト名を用いて、ネットワークにアクセスし、その際に、上記ＤＮＳサーバにアクセスすることによって、その通信端末器に割り当てられたＩＰアドレスを知る。このＩＰアドレスを指定することによって、通信相手となる上記通信端末器にアクセスして、通信を行うことを特徴とする通信アドレスの変化する通信端末器に対してホスト名を固定してアクセスする。
【０００７】
特開２００２−３０５５３１号公報に情報処理装置、ＤＮＳサーバシステム、情報処理システム及び方法並びに情報処理用プログラムが開示されている。この情報処理装置は、ＩＰネットワークに接続されるための情報処理装置であり、クライアントシステムとして動的ＩＰアドレスが割り当てられたことを検出する手段を備えている。更に、前記動的ＩＰアドレスが割り当てられたことが検出された時に、そのＩＰアドレスを、前記ネットワークを経て所定のＤＮＳサーバへ登録する手段を備えている。
【０００８】
特開２００２−３４４４４３号公報に通信システム及びセキュリティアソシエーション切断／継続方法が開示されている。この通信システムは、端末間における通信データの中継に先立ち、ネットワークを介して接続された中継装置間にてセキュリティアソシエーションＩＳＡＫＭＰを確立する。更に、当該ＩＳＡＫＭＰ上で、各中継装置に接続された端末間の通信データに対するセキュリティアソシエーションＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）を確立し、暗号用鍵及び認証用鍵を共有することで端末間相互の通信を成立させる。この時、一方の中継装置が、自装置を識別する識別子を変更後、ＩＳＡＫＭＰの継続が困難な場合に、「変更前の識別子」と暗号用鍵又は認証用鍵を用いて暗号化した「ＩＳＡＫＭＰ開放」を含むＩＳＡＫＭＰ切断通知を、他方の中継装置に対して送信する。また、前記ＩＳＡＫＭＰ切断通知を受信した中継装置が、共有する暗号用鍵及び認証用鍵を用いて当該切断通知を復号／認証する。更に、前記ＩＳＡＫＭＰ及びＩＳＡＫＭＰ上で確立したＥＳＰを切断し、その後、中継装置間では、新たにＩＳＡＫＭＰ及びＥＳＰを確立する。
【０００９】
特開２００４−１２０１２３号公報にネットワークシステム、ルータ及び管理サーバが開示されている。このルータは、ルータ本体に割り当てられる動的なグローバルＩＰアドレスとドメイン名との対応関係を管理する管理サーバと、ネットワーク内での前記ドメイン名の問い合わせに応じて該当のＩＰアドレスを返答するＤＮＳサーバとを備えたネットワークシステム内に配置されている。また、前記管理サーバへ接続する時に該管理サーバで認証が行われるとともに、認証後に該管理サーバへ前記グローバルＩＰアドレスとドメイン名との対応関係に関する登録内容を送信する。このルータの特徴は、ルータ本体のＬＡＮインタフェースに定められたＭＡＣアドレスを基にしたデータで前記認証を行うようにしたことである。
【００１０】
特開２００５−２０６５７号公報にネットワーク、通信処理装置及びそれに用いるＩＰセキュリティ方法が開示されている。このネットワークは、インタネットへの通信時に動的にアドレス情報が付与される通信処理装置間においてＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）セレクタ情報を用いてＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）による暗号通信路を確立する。このネットワークの特徴は、通信先のアドレス情報を取得する取得手段と、前記取得手段にて取得した前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更する手段とを前記通信処理装置に有することである。
【００１１】
【特許文献１】特開２０００−３４１３２５号公報
【特許文献２】特開２００２−３０５５３１号公報
【特許文献３】特開２００２−３４４４４３号公報
【特許文献４】特開２００４−１２０１２３号公報
【特許文献５】特開２００５−２０６５７号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
近年普及しているＡＤＳＬモデムやＣＡＴＶモデムを使用する環境でＩＰｓｅｃを使用しようとした場合、以下の問題がある。
（１）少なくとも一方のＩＰｓｅｃ機器に固定のＩＰアドレスが必要となる。
（２）ＡＤＳＬサービスやＣＡＴＶインターネットサービスの通常の契約では割り振られるＩＰアドレスが動的であるため、固定のＩＰアドレスを割り振ってもらうためにはオプション契約が必要であり、追加料金等が発生する。
（３）ＩＰｓｅｃのネゴシエーションを開始するＩＰｓｅｃ機器（ｉｎｉｔｉａｔｏｒ）は、対向のＩＰｓｅｃ機器のＩＰアドレスを知っている必要がある。
（４）固定のＩＰアドレスを持つＩＰｓｅｃ機器が１台のみである場合、安全性の低いａｇｇｒｅｓｓｉｖｅ  ｍｏｄｅしか使用できない。
【００１３】
すなわち、ＩＰｓｅｃを使用するためには、少なくとも１台のＩＰｓｅｃ機器の固定のＩＰアドレスが振られていることが必要であり、相手装置のＩＰアドレスを知っていることが必要であった。また、場合によっては、固定のグローバルＩＰアドレスが振られていない方のＩＰｓｅｃ機器に相手ＩＰｓｅｃ機器の固定グローバルＩＰアドレスを設定する必要があった。しかし、近年普及したＡＤＳＬモデムやＣＡＴＶモデムでは、通常、動的に割り当てられたグローバルＩＰアドレスを使用し、固定のグローバルＩＰアドレスを持つには別契約、別料金が必要である。
ＩＰｓｅｃ機器の双方が固定グローバルＩＰアドレスを振られている場合とＩＰｓｅｃ機器の片側だけが固定グローバルＩＰアドレスを振られている場合では、セキュリティ強度が異なる。なお、ＩＰｓｅｃ機器双方が固定グローバルＩＰアドレスを振られている場合の方がセキュリティは高い。
【００１４】
従って、本発明の目的は、動的に割り当てられたグローバルＩＰアドレスを持つＩＰｓｅｃ機器同士でもＩＰｓｅｃを使用することができ、また、ＩＰｓｅｃ機器の双方が固定グローバルＩＰアドレスを振られている場合と同じセキュリティ強度でＩＰｓｅｃを実現するためのＩＰｓｅｃ設定システム、通信装置、ＩＰｓｅｃ設定方法及びプログラムを提供することである。
【課題を解決するための手段】
【００１５】
以下に、［発明を実施するための最良の形態］で使用される番号を括弧付きで用いて、課題を解決するための手段を説明する。これらの番号は、［特許請求の範囲］の記載と［発明を実施するための最良の形態］との対応関係を明らかにするために付加されたものである。但し、それらの番号を、［特許請求の範囲］に記載されている発明の技術的範囲の解釈に用いてはならない。
【００１６】
本発明のＩＰｓｅｃ設定システムは、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）に対応し、且つ、動的に割り当てられたＩＰアドレスと自身のホスト名とを組み合わせるＤｙｎａｍｉｃ  ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）機能を備えた通信装置（１０）と、前記通信装置（１０）にＩＰアドレスを割り当てるアクセスサーバ（３０）と、前記通信装置（１０）が、前記アクセスサーバ（３０）から割り当てられたＩＰアドレスと前記自身のホスト名との組み合わせを登録するためのＤＮＳサーバ（４０）とを具備する。
【００１７】
前記通信装置（１０）は、前記ＤＮＳサーバ（４０）を利用して、予め自身に登録されている他の通信装置のホスト名から前記他の通信装置のＩＰアドレスを取得する。
【００１８】
前記通信装置（１０）は、前記他の通信装置のＩＰアドレスを、前記通信装置（１０）が送信しようとするパケットの宛先ＩＰアドレス、及びＩＤペイロードに格納するＩＤとして設定する。
【００１９】
前記通信装置（１０）と前記他の通信装置とは、固定のＩＰアドレスを必要とせず、前記ＤＮＳサーバ（４０）を利用して、互いに相手のホスト名から相手のＩＰアドレスを取得することで、動的に割り当てられたＩＰアドレスを持つ通信装置（１０）同士の通信でもＩＰＳｅｃを使用することを可能とすることを特徴とする。
【００２０】
本発明の通信装置（１０）は、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）に対応し、且つ、アクセスサーバ（３０）から動的に割り当てられたＩＰアドレスと自身のホスト名とを組み合わせてＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバ（４０）に登録する。
【００２１】
本発明の通信装置（１０）は、前記ＤＮＳサーバ（４０）を利用して、予め自身に登録されている他の通信装置のホスト名から前記他の通信装置のＩＰアドレスを取得する。
【００２２】
本発明の通信装置（１０）は、前記他の通信装置のＩＰアドレスを、前記通信装置（１０）から送信されるパケットの宛先ＩＰアドレス、及びＩＤペイロードに格納するＩＤとして設定する。
【００２３】
本発明のＩＰｓｅｃ設定方法は、動的にＩＰアドレスを割り振るアクセスサーバ（３０）から、前記ＩＰアドレスを取得するステップと、前記取得したＩＰアドレスと自身のホスト名とを組み合わせて、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバ（４０）に登録するステップと、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）に基づいて通信を行うステップとを具備する。
【００２４】
本発明のＩＰｓｅｃ設定方法は、前記ＤＮＳサーバ（４０）を利用して、予め自身に登録されている通信相手のホスト名から前記通信相手のＩＰアドレスを取得するステップを更に具備する。
【００２５】
本発明のＩＰｓｅｃ設定方法は、前記通信相手のＩＰアドレスを、送信しようとするパケットの宛先ＩＰアドレス、及びＩＤペイロードに格納するＩＤとして設定するステップを更に具備する。
【００２６】
本発明のプログラムは、上記のいずれかのＩＰｓｅｃ設定方法を、コンピュータに実行させるためのプログラムである。
【発明の効果】
【００２７】
（１）ＩＰｓｅｃを使用するために固定ＩＰアドレスの契約を結ぶ必要がない。
（２）相手のＩＰｓｅｃ機器が使用しているＩＰアドレスを覚える必要がない。
（３）ｍａｉｎ  ｍｏｄｅでのＩＳＡＫＭＰ  ＳＡ生成が可能である。
【発明を実施するための最良の形態】
【００２８】
以下に本発明の第１実施形態について添付図面を参照して説明する。
図１に示すように、本発明の通信システムは、ＩＰｓｅｃ機器１０、端末２０、ＢＡＳ（Ｂｒｏａｄｂａｎｄ  Ａｃｃｅｓｓ  Ｓｅｒｖｅｒ）３０、ＤＤＮＳ（Ｄｙｎａｍｉｃ  Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）４０を備える。
【００２９】
ＩＰｓｅｃ機器１０は、パケット単位で送受信されるデータについて、パケットごとにデータを暗号化するネットワーク機器である。端末２０は、ＩＰｓｅｃ機器１０に接続され、インターネット利用者であるユーザが用いる端末である。ＢＡＳ３０は、ユーザからの接続要求の認証や、提携したインターネットサービスプロバイダ（ＩＳＰ）や上位回線への接続、優先制御や帯域管理を行うため、通信局舎内に設置されるアクセスサーバである。なお、ＢＡＳの代わりにＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）サーバを用いることも考えられる。ＤＤＮＳ４０は、ＤＮＳデータベースの内容に変更があった時にその変更を即座に通知したり、変更部分のデータだけを転送したりする機能を持ったＤＮＳサーバである。
【００３０】
上記のＩＰｓｅｃ機器１０、端末２０、ＢＡＳ３０、ＤＤＮＳ４０のうち、ユーザ１側で利用されるものを、それぞれＩＰｓｅｃ機器１１、端末２１、ＢＡＳ３１、ＤＤＮＳ４１とする。同様に、ユーザ２側で利用されるものを、それぞれＩＰｓｅｃ機器１２、端末２２、ＢＡＳ３２、ＤＤＮＳ４２とする。
【００３１】
本発明では、ＩＰｓｅｃ機器にＤｙｎａｍｉｃＤＮＳ機能を具備させる。ＤｙｎａｍｉｃＤＮＳ機能とは、ＩＰｓｅｃ機器がＢＡＳから割り当てられたＩＰアドレスとホスト名の組を定期的にＤｙｎａｍｉｃＤＮＳ  ｓｅｒｖｅｒ（ＤＤＮＳ）に通知する機能である。この機能を利用するために、ユーザは、事前にＩＳＰが提供するＤｙｎａｍｉｃＤＮＳサービスを利用する契約を結ぶ。この結果、ＩＳＰよりＤｙｎａｍｉｃＤＮＳ  ｓｅｒｖｅｒ（ＤＤＮＳ）のホスト名、又はＩＰアドレスが通知される。ユーザは、通知された内容をＩＰｓｅｃ機器に設定することにより、ＩＰｓｅｃ機器のＤｙｎａｍｉｃＤＮＳ機能を利用することができる。
【００３２】
また、ＩＰｓｅｃ機器が起動し、ＩＰｓｅｃ機器の上位側に位置するＢＡＳよりＩＰアドレスを取得した後、取得したＩＰアドレスとホスト名の組み合わせをＩＰｓｅｃ機器が具備しているＤｙｎａｍｉｃＤＮＳ機能を利用してＤｙｎａｍｉｃＤＮＳ  ｓｅｒｖｅｒに登録する。一方で、ＩＰｓｅｃ機器にはＩＳＡＫＭＰ  ＳＡ生成用のパラメータとして、相手のホスト名を登録しておく。ＩＳＡＫＭＰ  ＳＡ生成時、まずＩＰｓｅｃ機器に登録している相手のホスト名から相手のＩＰｓｅｃ機器のＩＰアドレスを取得する。次に、相手のＩＰアドレスを自ＩＰｓｅｃ機器が送信しようとしているＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）パケットの宛先ＩＰアドレス、及びＩＤペイロードに格納するＩＤとして設定する。あとの手順は、通常のＩＰｓｅｃ機器のＩＳＡＫＭＰ  ＳＡ生成方法と同じである。
【００３３】
ここでは、ＩＰｓｅｃ機器としてＡＤＳＬモデムを用い、前記のＡＤＳＬモデムがＩＰｓｅｃ機能を具備したルータ（ＲＴ）である場合を例にして説明する。但し、実際には、ＩＰｓｅｃ機器はＡＤＳＬモデムに限定されない。
【００３４】
図２を参照すると、インターネット利用者であるユーザ１の宅内にＩＰｓｅｃ機器１１（ＲＴ１）が置かれ、そのＲＴ１配下に端末２１（ＰＣ１）が接続されている。また、ユーザ１はインターネットサービスプロバイダ（ＩＳＰ１）とインターネット契約を結んでおり、ＩＰｓｅｃ機器１１（ＲＴ１）の上位側にＩＰｓｅｃ機器１１（ＲＴ１）を収容するためのＢＡＳ３１（ＢＡＳ１）が接続されている。更に、ユーザ１はＤｙｎａｍｉｃＤＮＳサービスを提供しているＤＤＮＳ４１（ＤＤＮＳ１）と契約を結んでいる。ユーザ１がＩＰｓｅｃをしようとしている対向先はユーザ２であり、ユーザ２はユーザ１と同じ構成となっている。すなわち、インターネット利用者であるユーザ２の宅内にＩＰｓｅｃ機器１２（ＲＴ２）が置かれ、そのＩＰｓｅｃ機器１２（ＲＴ２）配下に端末２２（ＰＣ２）が接続されている。また、ユーザ２はインターネットサービスプロバイダ（ＩＳＰ２）とインターネット契約を結んでおり、ＩＰｓｅｃ機器１２（ＲＴ２）の上位側にＩＰｓｅｃ機器１２（ＲＴ２）を収容するためのＢＡＳ３２（ＢＡＳ２）が接続されている。更に、ユーザ２はＤｙｎａｍｉｃＤＮＳサービスを提供しているＤＤＮＳ４２（ＤＤＮＳ２）と契約を結んでいる。
【００３５】
ＤＤＮＳは、最近ではＩＳＰが提供している場合がある。ここでは、例として、ユーザ１はＩＳＰが提供しているＤｙｎａｍｉｃＤＮＳサービスを利用し、ユーザ２は外部のＤｙｎａｍｉｃＤＮＳを利用しているものとしている。
【００３６】
図３を参照して、処理の流れについて説明する。
最初に、ＩＰｓｅｃ機器１１（ＲＴ１）及びＩＰｓｅｃ機器１２（ＲＴ２）には以下の設定を行っておく必要がある。
（ａ）ＤｙｎａｍｉｃＤＮＳ機能の有効化及びＤｙｎａｍｉｃＤＮＳ機能を使用するための設定
（ｂ）ＩＰｓｅｃ機器１２（ＲＴ２）がＤＤＮＳ２に登録しているＩＰｓｅｃ機器１２（ＲＴ２）のホスト名
（ｃ）通常のＩＰｓｅｃ機器を使用する時に必要となる設定
【００３７】
すなわち、本実施形態では、予め相手のホスト名を知っておく必要がある。また、相手のホスト名はユーザ自身が自分のＩＰｓｅｃ機器に登録しておく必要がある。例えば、ＩＰｓｅｃ機器１２（ＲＴ２）のホスト名は、ＩＰｓｅｃ機器１１（ＲＴ１）に事前（ＩＰｓｅｃ通信を開始する前）に設定しておく。ＩＰｓｅｃ機器１１（ＲＴ１）は、ＩＰｓｅｃ機器１１（ＲＴ１）のＤｙｎａｍｉｃＤＮＳ機能を利用して、ＩＰｓｅｃ機器１２（ＲＴ２）のホスト名に対応するＩＰアドレス情報を取得する。
【００３８】
次に、ＩＰｓｅｃ機器１１（ＲＴ１）をＩＳＡＫＭＰ  ＳＡ生成時のｉｎｉｔｉａｔｏｒと仮定し、ＩＳＡＫＭＰ  ＳＡが生成されるまでの動作について説明する。ＩＰｓｅｃ機器１２（ＲＴ２）は、以下の手順（５）までが終了しているものとする。
（１）ステップＳ１０１
ＩＰｓｅｃ機器１１（ＲＴ１）が起動し、ＩＰｓｅｃ機器１１（ＲＴ１）のＷＡＮインタフェースがＵＰすると、ＢＡＳ３１（ＢＡＳ１）よりＩＰｓｅｃ機器１１（ＲＴ１）にＩＰアドレスが割り振られる。
（２）ステップＳ１０２
ＩＰｓｅｃ機器１１（ＲＴ１）は、ＢＡＳ３１（ＢＡＳ１）より割り振られたＩＰアドレスと既に登録済の自装置のホスト名の組み合わせを契約しているＤＤＮＳ１に登録する。
（３）ステップＳ１０３
ユーザ１がユーザ２とＩＰｓｅｃを利用した通信を行う場合、ＰＣ１からＰＣ２宛てのパケット（ｐａｃｋｅｔ＃１）の送信を開始する。
（４）ステップＳ１０４
ｐａｃｋｅｔ＃１を受信したＩＰｓｅｃ機器１１（ＲＴ１）は、ＩＰｓｅｃ機器１１（ＲＴ１）のＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）を検索し、ｐａｃｋｅｔ＃１がＩＰｓｅｃ対象のパケットであることを認識する。
なお、ＩＰｓｅｃでは、ＩＰパケットをＩＰｓｅｃ化して通信する必要がある。ＩＰパケットをＩＰｓｅｃ化するには、「送信元」「宛先」「プロトコル」「宛先ポート」「該当するパケットの処理の内容」を設定する必要がある。これらの設定内容は「セキュリティポリシー」と呼ばれ、ＳＰＤに格納される。このＳＰＤには、送信用のＳＰＤと受信用のＳＰＤがある。
（５）ステップＳ１０５
ＩＰｓｅｃ機器１１（ＲＴ１）のＳＰＤより、ｐａｃｋｅｔ＃１はＩＰｓｅｃ機器１２（ＲＴ２）へ送信すると判断する。上記の（ｂ）で設定したＩＰｓｅｃ機器１２（ＲＴ２）のホスト名に対応するＩＰアドレスをＩＰｓｅｃ機器１１（ＲＴ１）が具備しているＤｙｎａｍｉｃＤＮＳ機能を使用して解決する。これにより、ＩＰｓｅｃ機器１２（ＲＴ２）のＩＰアドレスを取得する。
（６）ステップＳ１０６
手順（５）で得たＩＰｓｅｃ機器１２（ＲＴ２）のＩＰアドレスを、ＩＰｓｅｃパケットの宛先ＩＰアドレスに設定し、更に、ＩＤペイロードで使用するＩＤとして設定する。
【００３９】
これ以降は、通常のＩＰｓｅｃ機器のＩＳＡＫＭＰ  ＳＡ生成手順と同じである。
なお、図４は、従来のｍａｉｎ  ｍｏｄｅのネゴシエーションを示す図である。図の網掛け部分は暗号化されて送信される。
【００４０】
なお、通常のＩＰｓｅｃ機器のＩＳＡＫＭＰ  ＳＡ生成手順について説明するため、ここでは、図５を参照して、実際にＩＰｓｅｃ機器がパケットをＩＰｓｅｃ処理して送信する従来の手順を説明する。
（１）ステップＳ２０１
ＩＰパケットを受信したＩＰｓｅｃ機器１１（ＲＴ１）は、ＳＰＤから該当するルールを検索する。
（２）ステップＳ２０２
ＩＰｓｅｃ機器１１（ＲＴ１）は、ＩＰパケットに対する処理内容が「パケット通過（Ｂｙｐａｓｓ）」の場合は、ＩＰｓｅｃ処理せずにパケットを転送する。
（３）ステップＳ２０３
ＩＰパケットに対する処理内容が「パケット破棄（Ｄｉｓｃａｒｄ）」の場合は、パケットを破棄する。
（４）ステップＳ２０４
ＩＰｓｅｃ機器１１（ＲＴ１）は、ＩＰパケットに対する処理内容が「ＩＰｓｅｃ適用（Ａｃｃｅｐｔ）」の場合は、以下の作業を実施する。ＩＰｓｅｃ機器１１（ＲＴ１）は、ＳＡＤを検索し、このＩＰパケットが使用できるＳＡを検索する。
（５）ステップＳ２０５
ＩＰｓｅｃ機器１１（ＲＴ１）がＳＡＤを検索した結果、ＳＡが存在する場合は、ＩＰパケットをＩＰｓｅｃ処理して通信を開始する。
（６）ステップＳ２０６
ＩＰｓｅｃ機器１１（ＲＴ１）がＳＡＤを検索した結果、ＳＡが存在しない場合は、ＩＫＥでＳＡを確立するよう通信相手のＩＰｓｅｃ機器１２（ＲＴ２）に働きかける。
（７）ステップＳ２０７
ＩＫＥでＳＡが確立すると、このＳＡはＳＡＤに格納され、ＩＰパケットをＩＰｓｅｃ処理して通信を開始する。
【００４１】
ＩＫＥは、ＩＳＡＫＭＰのフレームワークのもと、鍵管理プロトコルで、ＵＤＰのポートを使って通信する。ＩＰｓｅｃで使用するＩＫＥは、ＩＰｓｅｃ  ＤＯＩ（Ｄｏｍａｉｎ  ｏｆ  Ｉｎｔｅｒｐｒｅｔａｔｉｏｎ）を含んでＩＰｓｅｃに特化した形態になっている。ＩＰｓｅｃでは、ＩＫＥが２つのフェーズを用いてＳＡを確立する。
【００４２】
以上のように、本発明のＩＰｓｅｃ機器は、動的に割り当てられたグローバルＩＰアドレスを持つＩＰｓｅｃ機器同士でもＩＰｓｅｃを使用することができ、また、ＩＰｓｅｃ機器の双方が固定グローバルＩＰアドレスを振られている場合と同じセキュリティ強度でＩＰｓｅｃを実現する。
これにより、本発明のＩＰｓｅｃ機器は、通常契約のＡＤＳＬサービスやＣＡＴＶインターネットサービスでもＩＰｓｅｃの利用を可能にし、且つ、より安全性の高いｐｒｅ−ｓｈａｒｅｄ−ｋｅｙによるｍａｉｎ  ｍｏｄｅでのＩＳＡＫＭＰ  ＳＡ生成を行うための手段を提供する。
【図面の簡単な説明】
【００４３】
【図１】図１は、本発明の構成を示すブロック図である。
【図２】図２は、本発明の概念図である。
【図３】図３は、本発明の処理の流れを示すシーケンス図である。
【図４】図４は、従来のｍａｉｎ  ｍｏｄｅのネゴシエーションを示す図である。
【図５】図５は、ＩＰパケットをＩＰｓｅｃ処理するまでの手順を示す図である。
【符号の説明】
【００４４】
１０…  ＩＰｓｅｃ機器
１１…  ユーザ１側のＩＰｓｅｃ機器（ＲＴ１）
１２…  ユーザ２側のＩＰｓｅｃ機器（ＲＴ２）
２０…  端末
２１…  ユーザ１側の端末（ＰＣ１）
２２…  ユーザ２側の端末（ＰＣ２）
３０…  ＢＡＳ（Ｂｒｏａｄｂａｎｄ  Ａｃｃｅｓｓ  Ｓｅｒｖｅｒ）
３１…  ユーザ１側のＢＡＳ（ＢＡＳ１）
３２…  ユーザ２側のＢＡＳ（ＢＡＳ２）
４０…  ＤＤＮＳ（Ｄｙｎａｍｉｃ  Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）
４１…  ユーザ１側のＤＤＮＳ（ＤＤＮＳ１）
４２…  ユーザ２側のＤＤＮＳ（ＤＤＮＳ２）
【図１】
2006345299.tif 000003
【図２】
2006345299.tif 000004
【図３】
2006345299.tif 000005
【図４】
2006345299.tif 000006
【図５】
2006345299.tif 000007