(57)【要約】【課題】  高い安全性を提供するＩＰＳｅｃ使用のネットワーク装置及び方法の提供。【解決手段】  該装置はＶＬＡＮ、ＭＡＣフィルタ、ＩＰレストリクション、及びスタティックＤＨＣＰを具え、ＩＰＳｅｃを使用して伝送するメッセージを暗号化する前に、先にＶＰＮで一般ネットワークとの通信を実行し、これによりＩＰＳｅｃ使用の安全性を高め、家庭用及び一般の仮想プライベートネットワークに適用可能である。【選択図】        図５
2006270828.tif 000002
【特許請求の範囲】
【請求項１】
高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置において、このネットワーク装置は、
第１セクション及び第２セクションを具え、該第１セクションに少なくとも一つの仮想プライベートネットワーク（ＶＰＮ）ポートが配置され、第２セクションに複数のローカルエリアネットワーク（ＬＡＮ）ポートが配置された、仮想ローカルエリアネットワーク（ＶＬＡＮ）と、
該第１セクションのＶＰＮポートに接続されてＶＰＮポートをインターネットプロトコルセキュリティー（ＩＰＳｅｃ）チャネルに接続させて遠端ネットワークと接続させる、ＭＡＣフィルタ（ＭＡＣ  ｆｉｌｔｅｒ）と、
ＶＬＡＮ追跡タグ（ｔａｇ）を使用してＶＰＮポートが伝送したメッセージパッケージの真偽を識別する、ＩＰレストリクション（ＩＰ  Ｒｅｓｔｒｉｃｔｉｏｎ）と、
ＭＡＣフィルタとＩＰレストリクションの対応により得られてＶＰＮポートが特定ＩＰアドレスを使用してＩＰＳｅｃチャネルと接続されるようにする、スタティックＤＨＣＰ（Ｓｔａｔｉｃ  ＤＨＣＰ）と、
を具えたことを特徴とする、高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置。
【請求項２】
請求項１記載の高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置において、ＶＰＮポートが少なくとも一つのＶＰＮホストに接続されることを特徴とする、高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置。
【請求項３】
請求項１記載の高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置において、ＬＡＮポートが少なくとも一つのコンピュータ装置に接続可能とされたことを特徴とする、高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置。
【請求項４】
請求項１記載の高い安全性を提供するインターネットプロトコルセキュリティー使用の方法において、
ａ．ＶＰＮホストがメッセージパッケージをネットワーク装置に接続されたＶＰＮポートに伝送するステップ、
ｂ．ＭＡＣフィルタが該ＶＰＮホストのＭＡＣアドレスをフィルタリングし、ＶＰＮホストの身分を確認し、並びに該メッセージパッケージをＩＰレストリクションに伝送するステップ、
ｃ．該ＩＰレストリクションがメッセージパッケージを受け取った後、該メッセージパッケージ中のＶＬＡＮ追跡タグ（ｔａｇ）により、該メッセージパッケージが真にＶＰＮホストより伝送されたものであるかを識別し、並びにこれにより該メッセージパッケージを受け取るか否かを決定するステップ、
ｄ．メッセージパッケージが上述のステップでエラー無しと確認された後、このメッセージパッケージをＩＰＳｅｃチャネルに伝送するステップ、
を具えたことを特徴とする、高い安全性を提供するインターネットプロトコルセキュリティー使用の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は一種の高い安全性を提供するインターネットプロトコルセキュリティー（ＩＰＳｅｃ）使用のネットワーク装置及び方法に係り、特にＩＰＳｅｃを使用して暗号化しメッセージを伝送する前に、先に仮想プライベートネットワーク（ＶＰＮ）と一般のネットワークと通信を行なうネットワーク装置及び方法であって、家庭用及び仮想プライベートネットワークに適用可能である装置及び方法に関する。
【背景技術】
【０００２】
ネットワーク技術の進歩とコンピュータの普及により、周知の通信構造は極めて大きな挑戦を受けており、そのうちの一つは、仮想プライベートネットワークの、伝統的なモデムを通した送受信或いは専用回路でネットワークに接続する方式に代わっての採用である。使用者は伝統的なポイント対ポイントのパーソナルネットワークと同様に、２台のコンピュータ間で共有或いは公開されたネットワークにより各種のデータ、音声、及び画像のメッセージ及びデータを伝送できる。
【０００３】
且つ、ＶＰＮはデータ伝送の便利性を具備するのみならず、大幅にハードウエア設備と通信に必要な費用を減らせ、これにより、ＶＰＮは商業使用上相当な魅力を有している。現在、ＶＰＮの使用範囲は非常に広く、プロバイダがクライアントに提供する自己管理可能なＶＰＮサービス、及び、企業が自己構築及び管理するＶＰＮが包含される。
【０００４】
ＶＰＮは家庭で仕事をする者或いは各地の支社と本社の間に、極めて便利な連絡経路を提供する。現在使用されているＶＰＮは図１に示されるようであり、３部のコンピュータ装置がＬＡＮでゲートウエーＡ（ＳＧ  Ａ）に接続され、並びにインターネットと接続されている。ゲートウエーＡとゲートウエーＢ（ＳＧ  Ｂ）の間は１本のＩＰＳｅｃを具えたチャネルとされる。これにより、家庭用ＬＡＮ中のＶＰＮホストは上述のＩＰＳｅｃチャネルを通して会社内ＬＡＮに接続される。
【０００５】
ＩＰＳｅｃチャネルはメッセージ、データをゲートウエーＡとゲートウエーＢの間で伝送するときの安全性を確実に提供できるが、メッセージとデータのパッケージがＶＰＮホストより送出されてからゲートウエーＡに受信される前のチャネル間に、ＬＡＮポートとＶＰＮポートの配置が図２に示されるようであるため、これらのメッセージとデータのパッケージがこれら家庭用ＬＡＮ中のその他のコンピュータにより捕獲、捕捉される恐れが非常にある。即ち、ＶＰＮホストと該会社内ＬＡＮが家庭用ＬＡＮに対して開放されたと同様となる。
【０００６】
例えば、あるハイテクノロジー会社に務めるＣさんが、家で休暇中に必要により緊急に仕事をこなさねばならなくなり、彼の家に一台のＶＰＮホストとして設定されたノートブック型コンピュータがあれば、それを用いて会社のＶＰＮと接続できる。これにより、Ｃさんは、この一部のコンピュータを用いて会社のネットワークに接続して、必要なファイルデータを伝送及びダウンロードできる。このとき、別にＤさんがちょうど家庭内ＬＡＮを通して別のコンピュータを使用してオンラインすることができる。これにより、もしＤさんがこのコンピュータを使用すれば、Ｃさんの重要機密を捕捉できる。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
このため、本発明は上述のＶＰＮホストとゲートウエーＡの間が、ＩＰＳｅｃチャネルにより保護されない経路となるセキュリティー不全に対して、一種の高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置及び方法を提供し、ＶＰＮと一般ネットワークの通信を実行し、これによりＩＰＳｅｃ使用の安全性を高め、合理的且つ効果的に上述の欠点を解決する。
【０００８】
本発明の主要な目的は、一種の高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置及び方法を提供することにあり、特に、メッセージのＩＰＳｅｃ暗号化前に、先にＶＰＮと一般ネットワークの通信を実行するメカニズムを提供することにある。
【課題を解決するための手段】
【０００９】
請求項１の発明は、高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置において、このネットワーク装置は、
第１セクション及び第２セクションを具え、該第１セクションに少なくとも一つの仮想プライベートネットワーク（ＶＰＮ）ポートが配置され、第２セクションに複数のローカルエリアネットワーク（ＬＡＮ）ポートが配置された、仮想ローカルエリアネットワーク（ＶＬＡＮ）と、
該第１セクションのＶＰＮポートに接続されてＶＰＮポートをインターネットプロトコルセキュリティー（ＩＰＳｅｃ）チャネルに接続させて遠端ネットワークと接続させる、ＭＡＣフィルタ（ＭＡＣ  ｆｉｌｔｅｒ）と、
ＶＬＡＮ追跡タグ（ｔａｇ）を使用してＶＰＮポートが伝送したメッセージパッケージの真偽を識別する、ＩＰレストリクション（ＩＰ  Ｒｅｓｔｒｉｃｔｉｏｎ）と、
ＭＡＣフィルタとＩＰレストリクションの対応により得られてＶＰＮポートが特定ＩＰアドレスを使用してＩＰＳｅｃチャネルと接続されるようにする、スタティックＤＨＣＰ（Ｓｔａｔｉｃ  ＤＨＣＰ）と、
を具えたことを特徴とする、高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置としている。
請求項２の発明は、請求項１記載の高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置において、ＶＰＮポートが少なくとも一つのＶＰＮホストに接続されることを特徴とする、高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置としている。
請求項３の発明は、請求項１記載の高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置において、ＬＡＮポートが少なくとも一つのコンピュータ装置に接続可能とされたことを特徴とする、高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置としている。
請求項４の発明は、請求項１記載の高い安全性を提供するインターネットプロトコルセキュリティー使用の方法において、
ａ．ＶＰＮホストがメッセージパッケージをネットワーク装置に接続されたＶＰＮポートに伝送するステップ、
ｂ．ＭＡＣフィルタが該ＶＰＮホストのＭＡＣアドレスをフィルタリングし、ＶＰＮホストの身分を確認し、並びに該メッセージパッケージをＩＰレストリクションに伝送するステップ、
ｃ．該ＩＰレストリクションがメッセージパッケージを受け取った後、該メッセージパッケージ中のＶＬＡＮ追跡タグ（ｔａｇ）により、該メッセージパッケージが真にＶＰＮホストより伝送されたものであるかを識別し、並びにこれにより該メッセージパッケージを受け取るか否かを決定するステップ、
ｄ．メッセージパッケージが上述のステップでエラー無しと確認された後、このメッセージパッケージをＩＰＳｅｃチャネルに伝送するステップ、
を具えたことを特徴とする、高い安全性を提供するインターネットプロトコルセキュリティー使用の方法としている。
【発明の効果】
【００１０】
本発明は一種の高い安全性を提供するインターネットプロトコルセキュリティー使用のネットワーク装置及び方法を提供し、このネットワーク装置は、仮想ローカルエリアネットワーク（ＶＬＡＮ）、ＭＡＣフィルタ（ＭＡＣ  ｆｉｌｔｅｒ）、ＩＰレストリクション（ＩＰ  Ｒｅｓｔｒｉｃｔｉｏｎ）、及びスタティックＤＨＣＰ（固定式動的ホスト設定プロトコル；Static Dynamic Host Configuration Protocol）を具えている。このメカニズムはメッセージパッケージをＶＰＮホストより伝送した後にＩＰＳｅｃ暗号化前に、上述のネットワーク装置によりＶＰＮと一般ネットワークとの通信を実行することで、ＩＰＳｅｃ使用の安全性を高める。
【発明を実施するための最良の形態】
【００１１】
図３は本発明のＶＬＡＮ構造表示図である。本発明はネットワーク装置１を使用して複数のコンピュータ装置２を接続し、複数のコンピュータ装置２の間にローカルエリアネットワーク（ＬＡＮ）を形成させ、またコンピュータ装置２を該ネットワーク装置１を通してインターネットと接続するか、或いは遠端ネットワーク３と接続してＶＬＡＮのＩＰＳｅｃチャネル４を形成することができる。
【００１２】
図４は本発明のネットワーク装置の構造表示図である。本発明のネットワーク装置１は、ＶＬＡＮポート１０、ＭＡＣフィルタ２０、ＩＰレストリクション３０、及びスタティックＤＨＣＰ４０を具えている。そのうち、ＶＬＡＮポート１０は第１セクションと第２セクションを具え、該第１セクションには少なくとも一つのＶＰＮポート１１が配置され、第２セクションには複数のＬＡＮポート１３が配置されている。該ＶＰＮポート１１は少なくとも一つのＶＰＮホスト１２に接続され、該ＬＡＮポート１３はコンピュータ装置２に接続可能である。
【００１３】
そのうち、ＭＡＣフィルタ２０（ＭＡＣ  ｆｉｌｔｅｒ）は第１セクションのＶＰＮポート１１に接続され、これによりＶＰＮホスト１２のＭＡＣアドレス（ＭＡＣ）がＶＰＮポート１１を通して該ＩＰＳｅｃチャネル４に接続され、遠端ネットワーク３と接続される。
【００１４】
該ＩＰレストリクション３０（ＩＰ  Ｒｅｓｔｒｉｃｔｉｏｎ）はメッセージパッケージのＶＬＡＮ追跡タグ（ｔａｇ）により、メッセージパッケージがＶＰＮホスト１２より伝送されたものかを識別し、並びにこれによりメッセージパッケージを受け取り該ＩＰＳｅｃチャネルに伝送するかを決定する。このような方法は確実にメッセージパッケージのパッケージヘッドが故意にＶＰＮホスト１２のパッケージヘッドに偽装されるのを防止できる。
【００１５】
本発明中に提示されるＤＨＣＰは、ＶＰＮホストがゲートウエーに接続される時、このネットワーク装置のＩＰアドレスを指示する方法である。一旦該ネットワーク装置がＩＰアドレスを取得すると、毎回ＶＰＮホストがゲートウエーに接続する必要がある時、該ＶＰＮホストは同じＩＰアドレスを使用する。
【００１６】
これにより、本発明のネットワーク装置１はＶＰＮ中のゲートウエーとされて、スタティックＤＨＣＰ４０のメカニズムを発展させることができる。該スタティックＤＨＣＰ４０はＭＡＣフィルタ２０とＩＰレストリクション３０の対応により得られ、該ネットワーク装置１がＶＰＮホスト１２ＭＡＣアドレスをロードしたリクエストメッセージを受け取る時、該ネットワーク装置１はＩＰＳｅｃチャネル４に基づきそれにＩＰアドレスを付与する。これにより、ＶＰＮホスト１２が永久に特定ＩＰアドレスを使用してＩＰＳｅｃチャネル４と接続される。
【００１７】
図５は本発明のネットワーク装置の高い安全性を提供するＩＰＳｅｃ使用のメカニズムのフローチャートである。まず、本発明はＶＰＮホスト１２をＶＰＮポート１１に接続する。この時、ＶＰＮホスト１２がメッセージパッケージを該ネットワーク装置１のＶＰＮポート１１に送る（ステップ１００）。
【００１８】
続いて、該ＭＡＣフィルタ２０が該ＶＰＮホスト１２のＭＡＣアドレスをフィルタリングし、ＶＰＮホスト１２の身分を確認し、並びに該メッセージパッケージをＩＰレストリクション３０に伝送する（ステップ１１０）。
【００１９】
該ＩＰレストリクション３０はメッセージパッケージを受け取った後、該メッセージパッケージ中のＶＬＡＮ追跡タグ（ｔａｇ）により、該メッセージパッケージが真にＶＰＮホスト１２より伝送されたものであるかを識別し、並びにこれにより該メッセージパッケージを受け取るか否かを決定する（ステップ１２０）。
【００２０】
メッセージパッケージがエラー無しと確認された後、このメッセージパッケージをスタティックＤＨＣＰ４０に送り判断する。該スタティックＤＨＣＰ４０は該メッセージパッケージ中のＩＰアドレスに基づき、該メッセージパッケージがＶＰＮホスト１２の伝送したものであることを確認する（ステップ１３０）。こうして、ＶＰＮホスト１２の送出したメッセージパッケージは安全にＩＰＳｅｃチャネルに伝送され（ステップ１４０）、ＩＰＳｅｃチャネル前の高い安全性を具えた伝送が完成する。
【００２１】
前述の例に応用すると、ハイテクノロジー会社で働くＣさんが、家で緊急に仕事を処理しなければならず、家にＶＰＮホスト１２として設定されたノートブック型コンピュータがある時、会社のＶＰＮに接続する。家のＶＬＡＮポート１０は第１セクションと第２セクションに区分され、第１セクションのＶＰＮポート１１はこのノートブック型コンピュータの会社のＶＰＮとの接続専用とされ、第２セクションのＬＡＮポート１３は家中のその他のコンピュータをオンラインするのに便利である。
【００２２】
Ｃさんはこのノートブック型コンピュータを使用し、ＶＰＮポート１１を通してメッセージパッケージを伝送して会社のＶＰＮに接続する。この時、ＭＡＣフィルタ２０はこのノートブック型コンピュータの身分にエラーがないかを確認し、メッセージパッケージをＩＰレストリクション３０に伝送する。ＩＰレストリクション３０はメッセージパッケージのＶＬＡＮ追跡タグ（ｔａｇ）により、このメッセージパッケージがＣさんのこのノートブック型コンピュータより伝送されたものであるかを識別し、これによりメッセージパッケージを受け取るか否かを決定する。
【００２３】
メッセージパッケージにエラー無しと確認された後、続いてスタティックＤＨＣＰ４０により判断し、このメッセージパッケージの付帯するＩＰアドレスに基づき、スタティックＤＨＣＰ４０がメッセージパッケージが該ノートブック型コンピュータより伝送されたものであるかを確認し、こうして、該ノートブック型コンピュータが送出したメッセージパッケージが安全にＩＰＳｅｃチャネルに伝送され、ＩＰＳｅｃチャネル前の高い安全性を具えた伝送が達成され、他人が故意にＣさんの家のＬＡＮで接続されたその他のコンピュータを利用してメッセージデータを捕捉する可能性を確実に減らすことができる。
【００２４】
総合すると、本発明は上述に記載の技術により、周知の技術とは異なる設計を提供し、全体の使用価値を高める。また本発明はその出願前に頒布された刊行物に記載がなく或いは公開使用もされておらず、特許の要件を具備している。
【００２５】
なお、以上に記載された図面、説明は本発明の実施例に係るものに過ぎず、以上の説明に基づきなしうる細部の修飾或いは改変は、いずれも本発明の請求範囲に属するものとする。
【図面の簡単な説明】
【００２６】
【図１】現在使用されている周知の仮想プライベートネットワークの表示図である。
【図２】周知のゲートウエーに使用されているＬＡＮポートとＶＰＮポートの配置表示図である。
【図３】本発明のＶＬＡＮ構造表示図である。
【図４】本発明のネットワーク装置の構造表示図である。
【図５】本発明のネットワーク装置の高い安全性を提供するＩＰＳｅｃ使用の方法のフローチャートである。
【符号の説明】
【００２７】
１  ネットワーク装置
２  コンピュータ装置
３  遠端ネットワーク
４  ＩＰＳｅｃチャネル
１０  ＶＬＡＮポート
１１  ＶＰＮポート
１２  ＶＰＮホスト
１３  ＬＡＮポート
２０  ＭＡＣフィルタ
３０  ＩＰレストリクション
４０  スタティックＤＨＣＰ
【図１】
2006270828.tif 000003
【図２】
2006270828.tif 000004
【図３】
2006270828.tif 000005
【図４】
2006270828.tif 000006
【図５】
2006270828.tif 000007