(57)【要約】【課題】  ＩＰｓｅｃを一時的に設定する場合、上位層アプリはＩＰｓｅｃの設定状況を意識しないので、暗号化されてない状態で通信してしまったり、パケットが送出できなかったりしていた。【解決手段】  ＳＩＰ−ＰｒｏｘｙサーバＡ、Ｂは、ＩＮＶＩＴＥ、Ｒｉｎｇｉｎｇ、ＯＫの中継を行う。ＳＩＰ−ＰｒｏｘｙサーバＡ、Ｂは、ルータＡおよびルータＢに対し、ＩＰｓｅｃ設定指示を送信する（Ｓ９、Ｓ１０）。ＩＰｓｅｃ設定指示を受けたルータＡ、Ｂは、セキュア通信開始処理を行う（Ｓ１６、Ｓ１７）。ルータＡは、クライアントＡからクライアントＢへのＡＣＫを受信すると（Ｓ１８）、ＡＣＫをセキュア通信開始処理完了後に転送する（Ｓ１９）。【選択図】  図２
2006033358.tif 000002
【特許請求の範囲】
【請求項１】
第一の通信装置から第二の通信装置への呼び出しメッセージ、及び、第二の通信装置から第一の通信装置への応答メッセージの中継を行う中継装置が、第一の通信装置側に設けられた第一のルータおよび第二の通信装置側に設けられた第二のルータに対し、セキュリティ設定指示を送信し、
セキュリティ設定指示を受けた第一のルータおよび第二のルータは、セキュア通信開始処理を行い、
第一のルータは、第一の通信装置から第二の通信装置への了承メッセージを受信すると、了承メッセージをセキュア通信開始処理完了後に転送することを特徴とする通信方法。
【請求項２】
第一の通信装置側に設けられたルータであって、
第一の通信装置から第二の通信装置への呼び出しメッセージ、及び、第二の通信装置から第一の通信装置への応答メッセージの中継を行う中継装置からのセキュリティ設定指示に応じて、第二の通信装置側に設けられた第二のルータとの間で暗号化通信路の設定を行う設定手段と、
第一の通信装置から第二の通信装置への了承メッセージを受信すると、了承メッセージを暗号化通信路の設定完了後に、中継装置に転送する転送手段を有することを特徴とするルータ。
【請求項３】
第一の通信装置側に設けられたルータの処理方法であって、
第一の通信装置から第二の通信装置への呼び出しメッセージ、及び、第二の通信装置から第一の通信装置への応答メッセージの中継を行う中継装置からのセキュリティ設定指示に応じて、第二の通信装置側に設けられた第二のルータとの間で暗号化通信路の設定を行い、
第一の通信装置から第二の通信装置への了承メッセージを受信すると、了承メッセージを暗号化通信路の設定完了後に、中継装置に転送することを特徴とするルータの処理方法。
【請求項４】
第一の通信装置側に設けられたルータのための処理プログラムであって、
第一の通信装置から第二の通信装置への呼び出しメッセージ、及び、第二の通信装置から第一の通信装置への応答メッセージの中継を行う中継装置からのセキュリティ設定指示に応じて、第二の通信装置側に設けられた第二のルータとの間で暗号化通信路の設定を行い、
第一の通信装置から第二の通信装置への了承メッセージを受信すると、了承メッセージを暗号化通信路の設定完了後に、中継装置に転送することを特徴とするルータのための処理プログラム。
【請求項５】
第一の通信装置側に設けられたルータであって、
第一の通信装置と第二の通信装置間のセッションを確立するための制御信号の中継を行う中継装置からのセキュリティ設定指示に応じて、第二の通信装置側に設けられた第二のルータとの間で暗号化通信路の設定を行う設定手段と、
第一の通信装置が第二の通信装置間のセッションを確立するために送信する最後の制御信号を受信すると、暗号化通信路の設定完了後に、中継装置に転送する転送手段を有することを特徴とするルータ。
【請求項６】
第一の通信装置側に設けられたルータの処理方法であって、
第一の通信装置と第二の通信装置間のセッションを確立するための制御信号の中継を行う中継装置からのセキュリティ設定指示に応じて、第二の通信装置側に設けられた第二のルータとの間で暗号化通信路の設定を行い、
第一の通信装置が第二の通信装置間のセッションを確立するために送信する最後の制御信号を受信すると、暗号化通信路の設定完了後に、中継装置に転送することを特徴とするルータの処理方法。
【請求項７】
第一の通信装置側に設けられたルータのためのプログラムであって、
第一の通信装置と第二の通信装置間のセッションを確立するための制御信号の中継を行う中継装置からのセキュリティ設定指示に応じて、第二の通信装置側に設けられた第二のルータとの間で暗号化通信路の設定を行い、
第一の通信装置が第二の通信装置間のセッションを確立するために送信する最後の制御信号を受信すると、暗号化通信路の設定完了後に、中継装置に転送することを特徴とするルータのためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信方法、ルータ、ルータの処理方法、及びプログラムに関わる。
【背景技術】
【０００２】
ＳＩＰ（Ｓｅｓｓｉｏｎ  Ｉｎｉｔｉａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）はインターネット電話などでＶｏＩＰ等の双方向マルチメディア通信に用いられ、端末機器双方向のセッションの開始、変更、終了を行うためのプロトコルである（例えば、特許文献１参照）。一方、ＩＰｓｅｃは端末機器間のエンド・ツー・エンドのＩＰレイヤでのセキュリティを実現するための十分な機能と安全性を備え、標準化された技術である（例えば、特許文献２参照）。
【特許文献１】特開２００４−１４７１９５号公報
【特許文献２】特開２００１−００７８４９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
従来、ＳＩＰのプロトコルを用いた通信では、セッション自体をコントロールするＳＩＰのメッセージと、実際マルチメディアデータをやり取りするメディアセッションは、通信経路、利用ポートも含めて別セッションであり、ＳＩＰ側から連携動作可能ではあるが、特にＩＰｓｅｃといった、下位層のセキュリティのメカニズムを採用した場合、上位のメディアセッションやＳＩＰプロトコルからは、ＩＰｓｅｃがはられているかどうかといった下位層の状態を認識できない。
【０００４】
また、ＩＰｓｅｃは通常、企業における本支店間等の固定した拠点間で暗号化通信路を確保するためには向いているが、例えば、別セグメントに位置する端末機器同士がその場だけ一時的に設定してＩＰｓｅｃによるセキュア通信を行うといった用途には向いていない。
【０００５】
不特定の通信相手端末機器間のマルチメディア通信をセキュアに行うにあたり、ＩＰｓｅｃを一時的に設定する場合、上位層アプリはＩＰｓｅｃの設定状況を意識しないので、下記のような課題がある。
１．ＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）にＩＰｓｅｃ通信を行いたい相手のエントリが存在しない状態で通信を開始すると、暗号化されてない状態で通信してしまう。
２．ＳＰＤに通信相手のエントリが存在し、ＳＡが張れていない場合に、
・ｕｓｅ設定の場合、やはり暗号化なしの状態で通信してしまう。
・ｒｅｑｕｉｒｅ設定の場合、パケットが送出できない。
といった問題が生じる。
【課題を解決するための手段】
【０００６】
本発明では、第一の通信装置から第二の通信装置への呼び出しメッセージ、及び、第二の通信装置から第一の通信装置への応答メッセージの中継を行う中継装置が、第一の通信装置側に設けられた第一のルータおよび第二の通信装置側に設けられた第二のルータに対し、セキュリティ設定指示を送信し、セキュリティ設定指示を受けた第一のルータおよび第二のルータは、セキュア通信開始処理を行い、第一のルータは、第一の通信装置から第二の通信装置への了承メッセージを受信すると、了承メッセージをセキュア通信開始処理完了後に転送することを特徴とする。
【０００７】
また、本発明では、第一の通信装置側に設けられたルータが、第一の通信装置から第二の通信装置への呼び出しメッセージ、及び、第二の通信装置から第一の通信装置への応答メッセージの中継を行う中継装置からのセキュリティ設定指示に応じて、第二の通信装置側に設けられた第二のルータとの間で暗号化通信路の設定を行い、第一の通信装置から第二の通信装置への了承メッセージを受信すると、了承メッセージを暗号化通信路の設定完了後に、第二のルータに転送する。
【発明の効果】
【０００８】
本発明によれば、利用者による煩雑かつ困難な操作なしに、通信開始時にセキュリティ設定を行って、セキュアな通信が行うことができる。
【発明を実施するための最良の形態】
【０００９】
以下、図面を参照して本発明の実施形態を詳細に説明する。本形態では、ＳＩＰのシグナルを用いたＩＰｓｅｃ設定を行うルータおよびＳＩＰサーバを説明する。
【００１０】
図１は本発明の一実施形態であるネットワーク構成の例を示したものである。図１においてクライアントＡ１０１はセッションイニシエーションプロトコル（以下ＳＩＰ）による発着呼機能を備えた端末である。本実施形態では、発呼側端末としての位置付ける。クライアントＢ１０２は１０１と同様にＳＩＰの発着呼機能を備えた端末であるが、本実施形態では、１０１の発呼端末から呼び出される着呼端末と位置付ける。クライアントＡ、クライアントＢは、それぞれＩＰｓｅｃ機能を保持したルータＡ１０３、同じくＩＰｓｅｃ機能を保持したルータＢ１０４に接続され、ルータＡおよび、ルータＢはインターネットに接続されている。
【００１１】
クライアントＡ１０１は、インターネット上に存在するＳＩＰ−ＰｒｏｘｙサーバＡ１０５を使用して、ＵＲＩによる相手端末を検索する。クライアントＡは、ＳＩＰ−ＰｒｏｘｙサーバＡに自端末のアドレスおよびＵＲＩを登録可能である。同様にクライアントＢは、インターネット上に存在するＳＩＰ−ＰｒｏｘｙサーバＢ１０６に自ＵＲＩおよびＩＰアドレスを登録する。なお、クライアントＢは、インターネット上に存在するＳＩＰ−ＰｒｏｘｙサーバＢ１０６を使用して、ＵＲＩによる相手端末を検索することが可能である。
【００１２】
ＳＩＰ−ＰｒｏｘｙサーバＡはクライアントＡから発呼された場合に、相手先のＵＲＩを管理しているＳＩＰ−Ｐｒｏｘｙサーバ（本実施例の場合はＳＩＰ−ＰｒｏｘｙＢ）を、ＤＮＳ１０７のＳＲＶレコードを参照し発見する。
【００１３】
また、本実施形態では、ＳＩＰによりセッションが張られた場合は、以後の通信をルータＡＢ間におけるＩＰｓｅｃを用いた暗号化通信路１０８を用いる構成となっている。
【００１４】
本形態では、ＩＰｓｅｃの機能をクライアント（端末）Ａ、Ｂ側のネットワークの端に接続したルータＡ、Ｂ上に保持し、かつ、該ルータＡ、ＢがＳＩＰ−ＰｒｏｘｙサーバＡ、ＢからのＳＰＤ決定メッセージを解釈する機能を保持し、さらに、ＩＰｓｅｃの設定状況により、ＳＩＰのメッセージを保留する機能を保持し、かつ、各クライアントＡ、Ｂが発着呼する際のＳＩＰで通信する相手先ごとに、ＳＰＤ（ＳｅｃｕｒｉｔｙＰｏｌｉｃｙＤａｔａｂａｓｅ）を、実際の通信開始前に動的に生成する機能をもち、かつ、ＩＰｓｅｃの設定が完全でない状態では、ＳＩＰのメディアセッションを開始させない機能を有する。
【００１５】
ＳＩＰ−ＰｒｏｘｙサーバＡ、Ｂ（中継装置）は、クライアントＡ（第一の通信装置）からクライアントＢ（第二の通信装置）へのＩＮＶＩＴＥ（呼び出しメッセージ）、及び、クライアントＢ（第二の通信装置）からクライアントＡ（第一の通信装置）へのＲｉｎｇｉｎｇ、ＯＫ（応答メッセージ）の中継を行う。ＳＩＰ−ＰｒｏｘｙサーバＡ、Ｂ（中継装置）は、クライアントＡ（第一の通信装置）側に設けられたルータＡ（第一のルータ）およびクライアントＢ（第二の通信装置）側に設けられたルータＢ（第二のルータ）に対し、ＩＰｓｅｃ（セキュリティ）設定指示を送信する。ＩＰｓｅｃ（セキュリティ）設定指示を受けたルータＡ、Ｂ（第一のルータ、第二のルータ）は、セキュア通信開始処理を行う。ルータＡ（第一のルータ）は、クライアントＡ（第一の通信装置）からクライアントＢ（第二の通信装置）へのＡＣＫ（了承メッセージ）を受信すると、ＡＣＫ（了承メッセージ）をセキュア通信開始処理完了後に転送する。
【００１６】
図２は、クライアントＡ、Ｂ、ルータＡ、Ｂ、ＳＩＰ−ＰｒｏｘｙサーバＡ、Ｂのハードウェア構成の一例を示したものである。コンピュータ１２００は、ＣＰＵ１２０１と、ＲＯＭ１２０２と、ＲＡＭ１２０３と、ハードディスク（ＨＤ）１２０７及びフロッピー（登録商標）ディスク（ＦＤ）１２０８のディスクコントローラ（ＤＣ）１２０５と、ネットワークインタフェースカード（ＮＩＣ）１２０６とが、システムバス１２０４を介して互いに通信可能に接続された構成としている。そして、システムバス１２０４が、インターネットとネットワークインタフェースカード１２０６を介して接続される。ＣＰＵ１２０１は、ＲＯＭ１２０２あるいはＨＤ１２０７に記憶されたソフトウェア、あるいはＦＤ１２０８より供給されるソフトウェアを実行することで、ステムバス１２０４に接続された各構成部を統括的に制御する。ルータＡ、Ｂは、対応するクライアントＡ、Ｂを接続するためのネットワークインタフェースカード（ＮＩＣ）と、インターネットを接続するためのネットワークインタフェースカード（ＮＩＣ）を、別々に有してもよい。
【００１７】
すなわち、ＣＰＵ１２０１は、処理プログラムを、ＲＯＭ１２０２、あるいはＨＤ１２０７、あるいはＦＤ１２０８から読み出して実行することで、本実施形態での動作を実現するための制御を行う。ＲＡＭ１２０３は、ＣＰＵ１２０１の主メモリあるいはワークエリア等として機能する。ＤＣ１２０５は、ブートプログラム、種々のアプリケーション、編集ファイル、ユーザファイル、ネットワーク管理プログラム、および本実施形態における上記処理プログラム等を記憶するＨＤ１２０７、およびＦＤ１２０８とのアクセスを制御する。ＮＩＣ１２０６は、インターネットを通じて相互通信をする。
【００１８】
ルータＡは、クライアントＡ（第一の通信装置）側に設けられたルータである。ＳＩＰ−ＰｒｏｘｙサーバＡ（中継装置）は、クライアントＡ（第一の通信装置）からクライアントＢ（第二の通信装置）へのＩＮＶＩＴＥコマンド（呼び出しメッセージ）、及び、クライアントＢ（第二の通信装置）からクライアントＡ（第一の通信装置）へのＲｉｎｇｉｎｇ、ＯＫ（応答メッセージ）の中継を行う。ルータＡにおいて、ＣＰＵ１２０１は、クライアントＢ（第二の通信装置）側に設けられたルータＢ（第二のルータ）との間で暗号化通信路１０８の設定を行う設定手段である。また、ルータＡにおいて、ＣＰＵ１２０１の制御の元に動作するＮＩＣ１２０６は、クライアントＡ（第一の通信装置）からクライアントＢ（第二の通信装置）へのＡＣＫ（了承メッセージ）を受信すると、ＳＩＰ  ＰｒｏｘｙサーバＡ（中継装置）に転送する転送手段である。
【００１９】
また、ルータＡにおいて、ＣＰＵ１２０１は、クライアントＡ（第一の通信装置）とクライアントＢ（第二の通信装置）間のセッションを確立するための制御信号の中継を行うＳＩＰ  ＰｒｏｘｙサーバＡ（中継装置）からのセキュリティ設定指示に応じて、クライアントＢ（第二の通信装置）側に設けられたルータＢ（第二のルータ）との間で暗号化通信路１０８の設定を行う設定手段である。また、ルータＡにおいて、ＣＰＵ１２０１の制御の元で動作するＮＩＣ１２０６は、クライアントＡ（第一の通信装置）がクライアントＢ（第二の通信装置）間のセッションを確立するために送信するＡＣＫ（最後の制御信号）を受信すると、暗号化通信路１０８の設定完了後に、ＳＩＰ  ＰｒｏｘｙサーバＡ（中継装置）に転送する転送手段である。
【００２０】
図３は、本実施形態に関わる、ＳＩＰのプロトコルのやり取り、およびＳＩＰのコマンドのやり取りに関して、ＳＩＰ  ＰｒｏｘｙサーバＡ１０５および、ＳＩＰ  ＰｒｏｘｙサーバＢ１０６、さらに、ルータＡ１０１およびルータＢ１０３さらに、双方のクライアントＡ，Ｂのコマンドのやり取りシーケンスを記したものである。これらのルータＡ１０１などは、ＲＯＭ１２０２、あるいはＨＤ１２０７、あるいはＦＤ１２０８に記憶されたプログラムを、ＣＰＵ１２０１が実行することにより、いかに説明するような動作を行う。
【００２１】
なお、ＳＩＰ  ＰｒｏｘｙサーバＡ１０５および、ＳＩＰ  ＰｒｏｘｙサーバＢ１０６は、ＳＩＰコマンドを認識してルータＡ１０１とルータＢ１０３に対してＩＰｓｅｃのセキュリティポリシーデータベース（ＳＰＤ）を発行する役割も持ち、ルータＡ１０１およびルータＢ１０３は、それぞれのＳＩＰ  ＰｒｏｘｙサーバＡ、ＢからＳＰＤの指示を受けて、ＩＰｓｅｃの設定を動的に行うことができる。
【００２２】
Ｓ１で、クライアントＡはＳＩＰ−ＰｒｏｘｙサーバＡに対して、ＳＩＰのＲＥＧＩＳＴＥＲコマンドを発行する。この際、予め、クライアントＡには認証用のＩＤとパスワードが設定されており、ＳＩＰ  ＰｒｏｘｙサーバＡは、ＲＥＧＩＳＴＥＲコマンドの登録要求に対して認証を要求し、認証された場合にのみ登録を行う。ここで使用される認証はダイジェスト認証が一般的である。したがって、ＲＥＧＩＳＴＥＲで登録を行う動作も複数ステップからなるが、ここでは省略している。クライアントＡが認証されると、ＲＥＧＩＳＴＥＲコマンドに含まれるパラメータの中のＵＲＩとクライアントＡのＩＰアドレスがＳＩＰ  ＰｒｏｘｙサーバＡ１０５に登録される。
【００２３】
同様にＳ２ではクライアントＢからＳＩＰ  ＰｒｏｘｙサーバＢに対してＳＩＰのＲＥＧＩＳＴＥＲコマンドが発行され、ＵＲＩとクライアントＢのＩＰアドレスがＳＩＰ  ＰｒｏｘｙサーバＢに登録される。
【００２４】
Ｓ３では、発呼側のクライアントＡからクライアントＢに属するＵＲＩに対してＳＩＰのＩＮＶＩＴＥコマンドが発行される。ＳＩＰ  ＰｒｏｘｙサーバＡでは、指定されたＵＲＩがＳＩＰ  ＰｒｏｘｙサーバＢに属するものであることを認識し、クライアントＡから発行されたＩＮＶＩＴＥコマンドをＳ４にてＳＩＰ  ＰｒｏｘｙサーバＢに対して転送する。なお、ＳＩＰ−ＰｒｏｘｙサーバＡは、相手先のＵＲＩを管理しているＳＩＰ−Ｐｒｏｘｙサーバ（本実施例の場合はＳＩＰ−ＰｒｏｘｙＢ）を、ＤＮＳ  １０７のＳＲＶレコードを参照し発見する。
【００２５】
Ｓ４のＩＮＶＩＴＥコマンドをＳＩＰ  ＰｒｏｘｙサーバＢが受け取ると、ＩＮＶＩＴＥコマンドのパラメータの中で指定された、ＵＲＩをキーにしてＲＥＧＩＳＴＥＲコマンドで登録されたクライアントＢのＩＰアドレスを割り出す。割り出されたＩＰアドレスに対して、Ｓ５でＩＮＶＩＴＥコマンドを転送する。
【００２６】
Ｓ６でクライアントＢはＩＮＶＩＴＥを受信して呼び出し中であることを示すレスポンスＲｉｎｇｉｎｇをＳＩＰ  ＰｒｏｘｙサーバＢに返信する。ＳＩＰ  ＰｒｏｘｙサーバＢはＳ４およびＳ６の中に含まれるクライアントＡとクライアントＢのＩＰアドレスをＳ１０で使用するために保持する。
【００２７】
Ｓ７でＳＩＰ  ＰｒｏｘｙサーバＢはＲｉｎｇｉｎｇのレスポンスをＳＩＰ  ＰｒｏｘｙサーバＡに戻す。ここで、ＳＩＰ  ＰｒｏｘｙサーバＡはＳ３のＩＮＶＩＴＥコマンドと、Ｓ７のＲｉｎｇｉｎｇレスポンスのパラメータに含まれるクライアントＡとクライアントＢのＩＰアドレスをＳ９で使用するために保持する。
【００２８】
Ｓ８ではクライアントＡは、ＳＩＰ  ＰｒｏｘｙサーバＡからクライアントＡに対して送出されたクライアントＢからのＲｉｎｇｉｎｇのレスポンスを受け取る。
【００２９】
Ｓ９においてＳＩＰ  ＰｒｏｘｙサーバＡは、Ｓ１およびＳ７のコマンド、レスポンスのパラメータよりクライアントＡのＩＰアドレスおよびクライアントＢのＩＰアドレスおよび、クライアントＡが使用するポート番号としてすべてのポート番号および、クライアントＢが使用するポート番号としてもすべてのポート番号を使用する旨の情報をルータＡに通知する。
【００３０】
同様にＳ１０においてＳＩＰ  ＰｒｏｘｙサーバＢはＳ４および、Ｓ６のコマンド、レスポンスのパラメータよりルータＢに対して、クライアントＡのＩＰアドレスおよびクライアントＢのＩＰアドレスおよび、クライアントＡが使用するポート番号としてすべてのポート番号および、クライアントＢが使用するポート番号としてもすべてのポート番号を使用する旨の情報をルータＢに通知する。
【００３１】
Ｓ１１でルータＡはＳ９にてＳＩＰ  ＰｒｏｘｙサーバＡより指示された、ソースアドレスおよびポート番号、また、デスティネーションアドレスとポート番号（クライアントＡのＩＰアドレス、ポート番号、クライアントＢのＩＰアドレス、ポート番号）をＩＰｓｅｃで使用するＳＰＤにセットする。
【００３２】
同様にＳ１２でルータＢは１０にてＳＩＰ  ＰｒｏｘｙサーバＢより指示された、ソースアドレスおよびポート番号、また、デスティネーションアドレスとポート番号をＩＰｓｅｃで使用するＳＰＤにセットする。
【００３３】
クライアントＢはオフフックまたは同様の動作を行うことにより、Ｓ１３のＯＫレスポンスをＳＩＰ  ＰｒｏｘｙサーバＢに返信し、同様にＳ１４にてＳＩＰ  ＰｒｏｘｙサーバＢはＳＩＰ  ＰｒｏｘｙサーバＢにＯＫレスポンスを転送する。同様にＳ１５にてＳＩＰ  ＰｒｏｘｙサーバＡはクライアントＡに対してＯＫレスポンスを転送する。なお、Ｓ１３からＳ１５のステップは、Ｓ６以降の任意のタイミング（一般的にはユーザが操作したタイミング）で実施される。本実施形態のタイミングは一例である。
【００３４】
前記Ｓ１１およびＳ１２にて、ルータＡおよびルータＢはお互いのネットワークの配下に存在するクライアントＡおよびクライアントＢが通信をする際に、ＩＰｓｅｃを設定する為のＳＰＤがそろう。この後は、Ｓ１６でＩＰｓｅｃの鍵交換プロトコルのＩＫＥ（鍵交換）のＰｈａｓｅ１、また、Ｓ１７にてＩＫＥ  Ｐｈａｓｅ２を行う。すなわち、ＳＩＰ−ＰｒｏｘｙサーバＡ（中継装置）は、クライアントＡ（第一の通信装置）とクライアントＢ（第二の通信装置）間のセッションを確立するための制御信号（クライアントＡ（第一の通信装置）からクライアントＢ（第二の通信装置）へのＩＮＶＩＴＥコマンド（呼び出しメッセージ）、及び、クライアントＢ（第二の通信装置）からクライアントＡ（第一の通信装置）へのＲｉｎｇｉｎｇ、ＯＫ（応答メッセージ））の中継を行う。クライアントＡ（第一の通信装置）側に設けられたルータＡは、ＳＩＰ−ＰｒｏｘｙサーバＡ（中継装置）からのＩＰｓｅｃ（セキュリティ）設定指示に応じて、クライアントＢ（第二の通信装置）側に設けられたルータＢ（第二のルータ）との間で暗号化通信路１０８の設定を行う。
【００３５】
この間、すなわち、Ｓ１５にてＯＫレスポンスを受信してからＩＰｓｅｃでＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）が確立するＳ１７が終わるまでの間に任意のタイミングで、ルータＡはクライアントＡからＳ１８のＡＣＫを受信する可能性があるが、ルータＡがＩＰｓｅｃ  ＳＡ完了と認識するまでは、クライアントＡからのＡＣＫ信号を転送せず一時保持しておき、ＩＫＥのＳＡが完了した時点で、転送処理を行う。本実施形態では、Ｓ１８の時点でＡＣＫ信号をクライアントＡから受信しているが、すぐには送出せず、ＩＰｓｅｃのＳＡが完了した後、Ｓ１９にてＳＩＰ  ＰｒｏｘｙサーバＡに対してＡＣＫを転送する。すなわち、クライアントＡ（第一の通信装置）側に設けられたルータＡは、クライアントＡ（第一の通信装置）からクライアントＢ（第二の通信装置）へのＡＣＫ（了承メッセージ、クライアントＡ（第一の通信装置）がクライアントＢ（第二の通信装置）間のセッションを確立するために送信する最後の制御信号）を受信すると、ＡＣＫを暗号化通信路１０８の設定完了後に、中継装置に転送する。
【００３６】
Ｓ２０では、ＳＩＰ  ＰｒｏｘｙサーバＡからＳＩＰ  ＰｒｏｘｙサーバＢに対して、ＡＣＫを転送し、さらにＳ２１では、ＳＩＰ  ＰｒｏｘｙサーバＢからクライアントＢに対してＡＣＫ信号を転送する。
【００３７】
この時点で、クライアントＡとクライアントＢのＩＰのやり取りにおいては、すでにＩＰｓｅｃのＳＡが出来ており、実際にＳＩＰのメディアセッションＳ２２はこのＩＰｓｅｃのＳＡで暗号化されて実行される。なお、ＡＣＫは、暗号化しない。
【００３８】
メディアセッションを終了するためにＳ２３ではクライアントＡからＳＩＰ  ＰｒｏｘｙサーバＡに対してＢＹＥコマンドを送出し、Ｓ２４ではＳＩＰ  ＰｒｏｘｙサーバＡからＳＩＰ  ＰｒｏｘｙサーバＢに対してＢＹＥコマンドが転送され、さらにＳ２５でＳＩＰ  ＰｒｏｘｙサーバＢからクライアントＢにＢＹＥコマンドが転送されて、メディアセッションは終了される。なお、ＢＹＥは、暗号化しない。
【００３９】
ルータＡは、クライアントＡ（第一の通信装置）側に設けられたルータである。ルータＡにおいて、ＣＰＵ１２０１は、クライアントＡ（第一の通信装置）とクライアントＢ（第二の通信装置）間のセッションを確立するための制御信号（クライアントＡ（第一の通信装置）からクライアントＢ（第二の通信装置）へのＩＮＶＩＴＥコマンド（呼び出しメッセージ）、及び、クライアントＢ（第二の通信装置）からクライアントＡ（第一の通信装置）へのＲｉｎｇｉｎｇ、ＯＫ（応答メッセージ））の中継を行うＳＩＰ−ＰｒｏｘｙサーバＡ（中継装置）からのＩＰｓｅｃ（セキュリティ）設定指示に応じて、クライアントＢ（第二の通信装置）側に設けられたルータＢ（第二のルータ）との間で暗号化通信路１０８の設定を行う設定手段である。また、ルータＡにおいて、ＣＰＵ１２０１の元に動作するＮＩＣ１２０６は、クライアントＡ（第一の通信装置）からクライアントＢ（第二の通信装置）へのＡＣＫ（了承メッセージ、クライアントＡ（第一の通信装置）がクライアントＢ（第二の通信装置）間のセッションを確立するために送信する最後の制御信号）を受信すると、ＡＣＫを暗号化通信路１０８の設定完了後に、ＳＩＰ  ＰｒｏｘｙサーバＡ（中継装置）に転送する転送手段である。
【００４０】
上記実施形態では、ＩＰｓｅｃのＳＡの完了後（暗号化通信路１０８の設定完了後）に、セッションを確立するための制御信号（ＡＣＫ）をルータＡがＳＩＰ  ＰｒｏｘｙサーバＡに転送する形態を説明したが、クライアントＡが、ＡＣＫに続いて、セッション確立後に送信すべき通信信号を、ＩＰｓｅｃのＳＡの完了前（暗号化通信路１０８の設定完了前）に送信した場合、ルータＡは、ＩＰｓｅｃのＳＡの完了後（暗号化通信路１０８の設定完了後）に、暗号化通信路１０８を介してこの通信信号をＳＩＰ  ＰｒｏｘｙサーバＡに転送する。
【００４１】
Ｓ２１でＡＣＫを受信した後に、クライアントＢが送信する通信信号は、暗号化通信路１０８を介して送信される。
【００４２】
したがって、上位アプリがメディアセッションを開始する形態では、上位アプリは、セキュリティ設定の状況を意識することなくメディアセッションを開始し、セキュア通信を行うことが可能である。
【００４３】
網側のサービスとして、ルータＡとルータＢ間までを提供し、ＳＩＰのメディアセッションを課金の対象とする場合は、Ｓ１９のＡＣＫレスポンスをＳＩＰ  ＰｒｏｘｙサーバＡが受信したところから課金を開始するタイミングとし、また、Ｓ２３のＢＹＥコマンドを受信したところで課金を終了するタイミングとする。したがって、通信事業者は、ＩＰｓｅｃとＳＩＰを組み合わせた通信に必要なファンクションをインターネット側の有料サービスとして提供する際に、ＩＰｓｅｃがエンドｔｏエンドで設定されていない状態であるにも関わらず、課金が開始されるといった問題が回避でき、課金のタイミングを適切化できる。
【図面の簡単な説明】
【００４４】
【図１】実施形態にかかるネットワーク構成図である。
【図２】実施形態にかかるハードウェア構成を示した図である。
【図３】実施形態にかかるコマンドシーケンス図である。
【符号の説明】
【００４５】
１０３  ルータＡ
１０４  ルータＢ
１０５  ＳＩＰ−ＰｒｏｘｙサーバＡ
１０６  ＳＩＰ−ＰｒｏｘｙサーバＢ
【図１】
2006033358.tif 000003
【図２】
2006033358.tif 000004
【図３】
2006033358.tif 000005