(57)【要約】【課題】  通信相手に設定の手間をかけずにセキュア機能が実装されていない端末装置に対してセキュア処理を代理することができる代理セキュアルータ装置を提供する。【解決手段】  暗号処理の適用要否を判定するためのフィルタ情報をフィルタ情報記憶手段１５に記憶し、該フィルタ情報に基づき暗号化要否判定手段１９及び復号化要否判定手段１６で暗号処理の要否を判定し、暗号化手段１８及び復号化手段１４でパケットの暗号処理を行う。【選択図】  図１
2006033350.tif 000002
【特許請求の範囲】
【請求項１】
第１のネットワークと第２のネットワークとの間でパケットを中継するとともにパケットの暗号処理を第２のネットワーク側の装置の代理で行う代理セキュアルータ装置において、
暗号化処理の適用要否のルール情報を記憶した記憶手段と、
前記記憶手段に記憶されたルール情報に基づき第１のネットワーク又は第２のネットワークから受信したパケットに対して暗号化処理を適用するか否かを判定する暗号化処理要否判定手段と、
第１のネットワーク側から第２のネットワーク側に中継する第２のネットワーク側の装置宛の暗号化パケットが前記暗号化処理要否判定手段で暗号化処理を適用すると判定された場合に、該暗号化パケットを宛先装置に代理して復号化する復号化手段と、
第２のネットワーク側から第１のネットワーク側に中継する非暗号化パケットが前記暗号化処理要否判定手段で暗号化処理を適用すると判定された場合に、該非暗号化パケットを発信元装置に代理して暗号化する暗号化手段とを備えた
ことを特徴とする代理セキュアルータ装置。
【請求項２】
第１のネットワークと第２のネットワークとの間を中継するパケットが前記暗号化処理要否判定手段で暗号化処理を適用すると判定された場合に、前記復号化手段及び暗号化手段での暗号通信路形成に必要な暗号通信路情報を、第２のネットワーク側の装置に代理して、第１のネットワーク側の装置との間で合意する暗号通信路情報合意手段を備えた
ことを特徴とする請求項１記載の代理セキュアルータ装置。
【請求項３】
前記暗号処理要否判定手段は、第１のネットワーク側から受信した暗号化パケットの正当性を判定するパケット正当性判定手段を備えた
ことを特徴とする請求項１又は２何れか１項記載の代理暗号処理ルータ装置。
【請求項４】
第２のネットワーク側の装置の情報を収集するとともに該装置情報に基づいて前記ルール情報を生成するルール情報生成手段を備えた
ことを特徴とする請求項１乃至３何れか１項記載の代理セキュアルータ装置。
【請求項５】
前記ルール情報は少なくともパケットの送信元情報、送信先情報及びプロトコル情報を含む
ことを特徴とする請求項１乃至４何れか１項記載の代理セキュアルータ装置。
【請求項６】
暗号処理プロトコルとしてＩＰｓｅｃプロトコルスイートを用いた
ことを特徴とする請求項１乃至５何れか１項記載の代理セキュアルータ装置。
【請求項７】
ＩＰｓｅｃのカプセル化モードとしてトランスポートモードを用いた
ことを特徴とする請求項６記載の代理セキュアルータ装置。
【請求項８】
第１のネットワークと第２のネットワークとの間でパケットを中継するとともにパケットの暗号処理を第２のネットワーク側の装置の代理で行う代理セキュアルータ装置を実現するプログラムであって、
コンピュータを、
暗号化処理の適用要否のルール情報を記憶した記憶手段と、
前記記憶手段に記憶されたルール情報に基づき第１のネットワーク又は第２のネットワークから受信したパケットに対して暗号化処理を適用するか否かを判定する暗号化処理要否判定手段と、
第１のネットワーク側から第２のネットワーク側に中継する第２のネットワーク側の装置宛の暗号化パケットが前記暗号化処理要否判定手段で暗号化処理を適用すると判定された場合に、該暗号化パケットを宛先装置に代理して復号化する復号化手段と、
第２のネットワーク側から第１のネットワーク側に中継する非暗号化パケットが前記暗号化処理要否判定手段で暗号化処理を適用すると判定された場合に、該非暗号化パケットを発信元装置に代理して暗号化する暗号化手段として機能させる
ことを特徴とする代理セキュアルータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク間でパケットを中継するルータ装置に関し、詳しくは、ＩＰｓｅｃ等のセキュア機能が実装されていない端末装置に対してセキュア処理を代理する代理セキュアルータ装置に関する。
【背景技術】
【０００２】
従来、インターネット等のネットワークを介して暗号通信を行うための規格として、ＩＰｓｅｃ（Security Architecture for Internet Protocol）が知られている（例えば非特許文献１参照）。ＩＰｓｅｃ機能は、端末装置に実装される他に、ＶＰＮ（Virtual Private Network）装置等によって構成される代理ＩＰｓｅｃ装置に実装される。
【０００３】
このような代理ＩＰｓｅｃ装置として、例えば、アクセスが制限された閉鎖型ネットワークに接続され、閉鎖型ネットワークをアークとゲートウェイを経由して接続された開放型ネットワークに接続された端末装置との暗号通信を閉鎖型ネットワークに接続された端末装置に代行して行うものがある（例えば、特許文献１参照）。
【非特許文献１】馬場  達也、”マスタリングＩＰｓｅｃ”、株式会社オライリー・ジャパン、２００１年１０月２５日、ｐ．７３−８９
【特許文献１】特開２００３−３０４２２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、前述したような従来の技術では、ＩＰｓｅｃによる暗号化の終端が代理ＩＰｓｅｃ装置であり、パケットの送信先の終端が端末装置であるため、代理ＩＰｓｅｃ装置を導入した場合には、通信相手側で端末装置を示すＩＰアドレス等の設定情報を変更する必要があり、通信相手に設定の手間をかけてしまうという問題があった。
【０００５】
本発明は、このような問題を解決するためになされたもので、通信相手に設定の手間をかけずにセキュア機能が実装されていない端末装置に対してセキュア処理を代理することができる代理セキュアルータ装置及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本願では、第１のネットワークと第２のネットワークとの間でパケットを中継するとともにパケットの暗号処理を第２のネットワーク側の装置の代理で行う代理セキュアルータ装置において、暗号化処理の適用要否のルール情報を記憶した記憶手段と、前記記憶手段に記憶されたルール情報に基づき第１のネットワーク又は第２のネットワークから受信したパケットに対して暗号化処理を適用するか否かを判定する暗号化処理要否判定手段と、第１のネットワーク側から第２のネットワーク側に中継する第２のネットワーク側の装置宛の暗号化パケットが前記暗号化処理要否判定手段で暗号化処理を適用すると判定された場合に、該暗号化パケットを宛先装置に代理して復号化する復号化手段と、第２のネットワーク側から第１のネットワーク側に中継する非暗号化パケットが前記暗号化処理要否判定手段で暗号化処理を適用すると判定された場合に、該非暗号化パケットを発信元装置に代理して暗号化する暗号化手段とを備えたことを特徴とするものを提案する。
【０００７】
本発明によれば、代理セキュアルータ装置が、該装置を通過するパケットに対して、ルール情報に基づいて第２のネットワーク側の装置に代理して暗号化処理を実施する。したがって、第１のネットワーク側の装置では、通信相手先となる第２のネットワーク側の装置がセキュア機能を有しているか否かに関わらず、セキュア機能を有しているものとしてセキュア通信を行うことができる。換言すれば、第１のネットワーク側の装置では、第２のネットワーク側の装置構成等に併せた設定等を行う必要がないので利便性の高いものとなる。
【０００８】
本願発明の好適な一例として、本願では、さらに、第１のネットワークと第２のネットワークとの間を中継するパケットが前記暗号化処理要否判定手段で暗号化処理を適用すると判定された場合に、前記復号化手段及び暗号化手段での暗号通信路形成に必要な暗号通信路情報を、第２のネットワーク側の装置に代理して、第１のネットワーク側の装置との間で合意する暗号通信路情報合意手段を備えたことを特徴とするものを提案する。
【０００９】
本発明によれば、暗号通信路形成に必要な暗号通信路情報についても代理セキュアルータ装置が第２のネットワーク側の装置に代理して合意を行うので、前述の暗号化処理を確実に行うことができる。
【００１０】
また、本願では、前記暗号処理要否判定手段は、第１のネットワーク側から受信した暗号化パケットの正当性を判定するパケット正当性判定手段を備えたことを特徴とするものを提案する。
【００１１】
本発明によれば、不当な暗号化パケットを検出できるので該パケットを廃棄等することにより第２のネットワーク側の装置では不要なパケットの連続受信を防止できる。
【００１２】
さらに、本願では、第２のネットワーク側の装置の情報を収集するとともに該装置情報に基づいて前記ルール情報を生成するルール情報生成手段を備えたことを特徴とするものを提案する。
【００１３】
本発明によれば、前記ルール情報が自動生成されるのでネットワーク構築をより容易に行うことができる。
【００１４】
なお、上記ルール情報の好適な一例としては、少なくともパケットの送信元情報、送信先情報及びプロトコル情報を含むものが挙げられ、また、暗号処理プロトコルの好適な一例としてはＩＰｓｅｃプロトコルスイートが挙げられる。なお、暗号処理プロトコルとしてＩＰｓｅｃプロトコルスイートを用いる場合には、カプセル化モード（ＩＰｓｅｃプロトコルモードとも言う）としてトランスポートモードを用いると本発明を好適に実施できる。
【発明の効果】
【００１５】
以上説明したように本発明によれば、代理セキュアルータ装置が、該装置を通過するパケットに対して、ルール情報に基づいて第２のネットワーク側の装置に代理して暗号化処理を実施する。したがって、第１のネットワーク側の装置では、通信相手先となる第２のネットワーク側の装置がセキュア機能を有しているか否かに関わらず、セキュア機能を有しているものとしてセキュア通信を行うことができる。
【発明を実施するための最良の形態】
【００１６】
本発明の一実施の形態に係る代理セキュアルータ装置（以下、単に「ルータ装置」と言う）について図面を参照して説明する。図１は、本実施形態に係るルータ装置の構成を示すブロック図である。なお、本実施の形態ではＴＣＰ／ＩＰプロトコルスイートを用いるものとし、特にセキュア機能の実現にはＩＰｓｅｃプロトコルスイートを用いる。
【００１７】
ルータ装置１は、図１に示すように、インターネットなどのＷＡＮ（Wide Area Network）２とＬＡＮ（Local Area Network）３との間に介在して両ネットワーク間のパケットを中継する。ＷＡＮ２にはＩＰｓｅｃが実装された相手先端末装置４が接続しており、ＬＡＮ３にはＩＰｓｅｃが実装されていない（又はＩＰｓｅｃを機能させていない）端末装置５が接続されている。本願発明では、相手先端末装置４からみると、端末装置５がＩＰｓｅｃ機能を有しており、該端末装置５との間でトランスポートでＩＰｓｅｃを用いたセキュア通信しているのと等価となるように、ルータ装置１が端末装置５の代理でセキュア機能を処理する。なお、端末装置５は、例えばパーソナルコンピュータや通信機能を有する家電等のインターネット通信機器よりなる。
【００１８】
ルータ装置１の装置構成について図１を参照して説明する。ルータ装置１は、図１に示すように、ＷＡＮ２のパケットの送受信を行うＷＡＮ側ネットワークインターフェース１０と、ＬＡＮ３とのパケットの送受信を行うＬＡＮ側ネットワークインターフェース１１とを備えている。各インターフェース１０，１１には、それぞれ各ネットワーク側のＩＰアドレスが振られている。
【００１９】
また、ルータ装置１は、相手先端末装置４との間で暗号通信路情報（以下、単に「ＳＡ（Security Association）情報」と言う）を合意する暗号通信路情報合意手段１２と、暗号通信路情報合意手段１２によって合意された暗号通信路情報を記憶する暗号通信路情報記憶手段１３とを備えている。前記ＳＡ情報は、相手先端末装置４と端末装置５との間でＩＰｓｅｃに準拠したパケットを伝送するために、ＷＡＮ２上に安全な通信経路を確立するための両端末間で合意される情報である。
【００２０】
さらに、ルータ装置１は、相手先端末装置４がＩＰｓｅｃに準拠して暗号化して送信したパケットを復号化する復号化手段１４と、セキュア機能を代理で行うか否かのルール情報であるフィルタ情報を記憶したフィルタ情報記憶手段１５と、相手先端末装置４が送信したパケットを復号化手段１４によって復号化するか否かをフィルタ情報に基づいて判断する復号化要否判定手段１６と、相手先端末装置４が送信した暗号化パケットが正当なものであるか否かを判断する受信パケット正当性判定手段１７とを備えている。フィルタ情報記憶手段１５に記憶したフィルタ情報の詳細については後述する。
【００２１】
さらに、ルータ装置１は、暗号通信路情報記憶手段１３に記憶されたＳＡ情報に基づいて、端末装置５が送信したＩＰｓｅｃに準拠していないパケットをＩＰｓｅｃに準拠して暗号化する暗号化手段１８と、フィルタ情報記憶手段１５に記憶されたフィルタ情報に基づいて、端末装置５が送信したパケットを暗号化手段１８によって暗号化するか否かを判断する暗号化要否判定手段１９とを備えている。
【００２２】
暗号通信路情報記憶手段１３は、不揮発性の記憶媒体によって構成される。ＳＡ情報には、各ＳＡ情報を識別するための識別番号（ＳＰＩ：Security Parameter Index）、ＡＨ（Authentication Header）及びＥＳＰ（Encapsulation Security Payload）の何れかのプロトコルを表すプロトコル情報、暗号化や認証でそれぞれ使用される暗号アルゴリズムや鍵情報、トンネルモード及びトランスポートモードの何れかのモードを表すモード情報、ＩＰアドレスやポート番号よりなる識別子、及びＳＡ情報の生存時間等が含まれる。
【００２３】
ＳＡの各パラメータは、ＩＫＥ（Internet Key Exchange）等の鍵交換プロトコルによって通信相手との間で合意されるものであり、暗号通信路情報合意手段１２は、端末装置５に代わってＳＡ情報の各パラメータを相手先端末装置４と合意し、合意したパラメータが反映されたＳＡ情報を暗号通信路情報記憶手段１３に格納する。
【００２４】
復号化手段１４は、暗号通信路情報記憶手段１３に記憶されたＳＡ情報に含まれる暗号アルゴリズムや鍵情報に基づいて、相手先端末装置４が端末装置５に向けて送信したＩＰｓｅｃに準拠して暗号化したパケットを、パケットの送信元と送信先を変えずに復号化するようになっている。
【００２５】
復号化要否判定手段１６は、フィルタ情報記憶手段１５に記憶されたフィルタ情報を参照し、相手先端末装置４が端末装置５に向けて送信したパケットを復元するか、端末装置５にそのままＬＡＮ側ネットワークインターフェース１１を介して送信するか、パケットを廃棄するか、を判断し、判断結果に応じてパケットを出力又は廃棄する。
【００２６】
受信パケット正当性判定手段１７は、ＩＰｓｅｃに準拠して暗号化されたパケットに含まれる完全性チェック値やシーケンス番号等に基づいて、当該パケットが正当であるか判断する。なお、完全性チェック値（ＩＣＶ：Integrity Check Value）の算出アルゴリズムは、認証アルゴリズムによって決定する。
【００２７】
暗号化手段１８は、暗号通信路情報記憶手段１３に記憶されたＳＡ情報に含まれる暗号アルゴリズムや鍵情報に基づいて、端末装置５が相手先端末装置４に向けて送信したパケットを、パケットの送信元と送信先を変えずにＩＰｓｅｃに準拠して暗号化する。
【００２８】
暗号化要否判定手段１９は、フィルタ情報記憶手段１５に記憶されたフィルタ情報を参照し、端末装置５が送信したパケットを暗号化するか、相手先端末装置４にそのままＷＡＮ側ネットワークインターフェース１０を介して送信するか、パケットを廃棄するか、を判断し、判断結果に応じてパケットを出力又は廃棄する。
【００２９】
暗号化要否判定手段１９を設けることによって、ルータ装置１は、ＬＡＮ３内の複数の端末装置のうち不正な端末装置の接続を防ぐことができ、さらに、不正な相手先端末装置４との間で暗号通信が行われることを防ぐことができる。
【００３０】
次に、フィルタ情報記憶手段１５に記憶されるフィルタ情報について図２を参照して説明する。フィルタ情報は、パケットの送信元を識別するための送信元識別情報、パケットの送信先を識別するための送信先識別情報、及びパケットを伝送するための通信手順を表すプロトコル情報に対応したパケットの処理情報を含んでいる。
【００３１】
図２の具体例では、送信元識別情報を構成する送信元のＩＰアドレス、送信先識別情報を構成する送信先のＩＰアドレス、プロトコル、送信元識別情報を構成する送信元のポート番号、送信先識別情報を構成する送信先のポート番号、及びパケットをどのように処理するかを表す情報を含む。
【００３２】
例えば、１行目は、送信元のＩＰアドレス（ＩＰｖ４）が１０．０．１．１／３２、送信先のアドレスが１０．０．０．＊／２４に含まれ、及び、プロトコルがｔｃｐ（Transmission Control Protcol）の場合には、受信したパケットに対してＩＰｓｅｃの処理を行う（ａｐｐｌｙ）ことを示している。
【００３３】
また、２行目は、送信元のＩＰアドレス（ＩＰｖ６）が２００１：：１、送信先のＩＰアドレスが２００１：：２、プロトコルがｕｄｐ（User Datagram Protocol）、及び、送信元のポート番号と送信先のポート番号とが１３７の場合には、受信したパケットをそのまま送信する（ｂｙｐａｓｓ）ことを示している。
【００３４】
また、３行目は、送信元のＩＰアドレス（ＩＰｖ６）が２００１：：１／１２８、送信先のＩＰアドレスが２００１：：２／１２８、プロトコルがｉｃｍｐ（Internet Control Message Protocol）、及び、送信元のポート番号が１３５の場合には、受信したパケットを廃棄する（ｄｒｏｐ）ことを示している。
【００３５】
このように、このフィルタ情報により、ＩＰｓｅｃ機能を実装していない端末装置５が送受信するパケットにはＩＰｓｅｃの処理を行う（ａｐｐｌｙ）ように、ＩＰｓｅｃ機能を実装している端末装置が送受信するパケットはそのまま送信する（ｂｙｐａｓｓ）ように設定することができる。
【００３６】
なお、復号化要否判定手段１６は、相手先端末装置４が送信したパケットを復号化すると判断した際に、相手先端末装置４が送信したパケットを参照し、この参照したパケットがＩＰｓｅｃに準拠して暗号化されていないと判断された場合に、このパケットを廃棄するようにしてもよい。
【００３７】
以下に、ルータ装置１の動作を説明する。なお、以下に説明するルータ装置１の各動作においては、暗号通信路情報合意手段１２によって合意されたパラメータが反映されたＳＡ情報が、暗号通信路情報記憶手段１３に既に記憶されているものとする。
【００３８】
図３は、ルータ装置１のＷＡＮ２側からのパケット受信動作を示すフローチャートである。ルータ装置１のパケット受信動作は、相手先端末装置４がＷＡＮ２を介して端末装置５に向けて送信したパケットが、ＷＡＮ側ネットワークインターフェース１０によって受信されたときにスタートする。
【００３９】
まず、復号化要否判定手段１６が、ＷＡＮ側ネットワークインターフェース１０で受信したパケットを復号化するか、端末装置５にそのままＬＡＮ側ネットワークインターフェース１１を介して送信するか、パケットを廃棄するかについて、フィルタ情報記憶手段１５に記憶されたフィルタ情報に基づいて判断する（ステップＳ１，Ｓ２）。
【００４０】
パケットを復号化すると判断した場合には、受信パケット正当性判定手段１７が、当該受信パケットの正当性を判断する（ステップＳ３）。当該受信パケットが正当なものではないと判断した場合は、受信パケット正当性判定手段１７は当該受信パケットを廃棄する（ステップＳ４）。
【００４１】
ＷＡＮ側ネットワークインターフェース１０で受信したパケットが正当なものであると判断された場合に、復号化手段１４が、当該受信パケットを、暗号通信路情報記憶手段１３に記憶されたＳＡ情報に基づいて復号化し（ステップＳ５）、復号化されたパケットをＬＡＮ側ネットワークインターフェース１１及びＬＡＮ３を介して端末装置５に送信する（ステップＳ６）。
【００４２】
一方、ＷＡＮ側ネットワークインターフェース１０で受信したパケットを端末装置５にそのままＬＡＮ側ネットワークインターフェース１１を介して送信すると判断した場合（ステップＳ２）、復号化要否判定手段１６は、当該受信パケットをＬＡＮ側ネットワークインターフェース１１及びＬＡＮ３を介して端末装置５に送信する（ステップＳ６）。
【００４３】
他方、ＷＡＮ側ネットワークインターフェース１０で受信したパケットを復号化せず、かつ端末装置５にそのまま送信しないと判断した場合（ステップＳ１，Ｓ２）、すなわち、パケットを廃棄すると判断した場合、復号化要否判定手段１６は、当該受信パケットを廃棄する（ステップＳ４）。
【００４４】
次に、ルータ装置１のＷＡＮ２側へのパケット送信動作について図４のフローチャートを参照して説明する。ルータ装置１のパケット送信動作は、端末装置５がＬＡＮ３を介して相手先端末装置４に向けて送信したパケットが、ＬＡＮ側ネットワークインターフェース１１によって受信されたときにスタートする。
【００４５】
まず、暗号化要否判定手段１９が、ＬＡＮ側ネットワークインターフェース１１で受信したパケットを暗号化するか、相手先端末装置４にそのままＷＡＮ側ネットワークインターフェース１０を介して送信するか、パケットを廃棄するかについて、フィルタ情報記憶手段１５に記憶されたフィルタ情報に基づいて判断する（ステップＳ１１，Ｓ１２）。
【００４６】
パケットを暗号化すると判断した場合には、暗号化手段１８が、ＬＡＮ側ネットワークインターフェース１１で受信したパケットを、暗号通信路情報記憶手段１３に記憶されたＳＡ情報に基づいてＩＰｓｅｃに準拠して暗号化し（ステップＳ１３）、この暗号化したパケットをＷＡＮ側ネットワークインターフェース１０及びＷＡＮ２を介して相手先端末装置４に送信する（ステップＳ１４）。
【００４７】
一方、ＬＡＮ側ネットワークインターフェース１１で受信したパケットを相手先端末装置４にそのままＷＡＮ側ネットワークインターフェース１０を介して送信すると判断した場合（ステップＳ１２）、暗号化要否判定手段１９は、当該パケットをＷＡＮ側ネットワークインターフェース１０及びＷＡＮ２を介して相手先端末装置４に送信する（ステップＳ１４）。
【００４８】
他方、ＬＡＮ側ネットワークインターフェース１１で受信したパケットを暗号化せず、かつ相手先端末装置４にそのまま送信しないと判断した場合（ステップＳ１１，Ｓ１２）、すなわち、パケットを廃棄すると判断した場合、暗号化要否判定手段１９は、当該受信パケットを廃棄する。
【００４９】
なお、以上で説明したルータ装置１の各構成要素は、上記で説明した動作を記述したプログラムをプロセッサに実行させるようにしてもよい。すなわち、暗号通信路情報合意手段１２、復号化手段１４、復号化要否判定手段１６、受信パケット正当性判定手段１７、暗号化手段１８、及び、暗号化要否判定手段１９は、上記プログラムを実行するプロセッサによって構成するようにしてもよい。
【００５０】
また、暗号通信路情報記憶手段１３及びフィルタ情報記憶手段１５のうち少なくとも一方は、記憶した情報の少なくとも一部を利用者が変更できないよう、ＩＣカード、ＵＳＢ（Universal Serial Bus）キー、ＳＤ（Secure Digital）メモリカードなどの耐タンパ性のある着脱可能なデバイスによって構成してもよい。
【００５１】
一方、暗号通信路情報記憶手段１３及びフィルタ情報記憶手段１５のうち少なくとも一方は、ＷＡＮ２を介して認証された利用者が、記憶した情報の少なくとも一部を変更できるようにしてもよい。
【００５２】
なお、ルータ装置１は、ＡＲＰ（Address Resolution Protocol：アドレス解決プロトコル）やＮＤＰ（Neighbor Discovery Protocol：近隣発見プロトコル）などの情報収集プロトコルや、ＵＰｎＰ（Universal Plug and Play）などの相互接続機能をもって、接続されている端末装置５のＩＰアドレスやサービス等の機器情報を収集し、収集した機器情報に基づいて暗号通信路情報及びフィルタ情報のうち少なくとも一方を生成する際の、ＩＰアドレスの生成、情報参照の効率化、及び、ユーザ入力の支援などの情報管理を行うようにしてもよい。
【００５３】
以上説明したように、ルータ装置１によれば、ＩＰｓｅｃによる暗号化の終端が端末装置５であるものとして相手先端末装置４が処理できるため、トランスポートモードを採ることができ、相手先端末装置４の利用者に設定の手間をかけずにＩＰｓｅｃ機能が実装されていない端末装置５に対してＩＰｓｅｃ処理を代理することができる。
【００５４】
なお、フィルタ情報記憶手段１５に記憶されているフィルタ情報は、ルータ装置１が動作する前に決められて設定される必要があるが、ルータ装置１が該フィルタ情報を自動的に生成するようにしてもよい。例えば、ルータ装置１がＤＨＣＰ（Dynamic Host Configuration Protocol）機能やＲＡ（ルータアドバタイズ）といったアドレス払い出し機能を備え、配下の端末装置５がルータ装置１からアドレスの払い出しを受ける設定になっている場合、ルータ装置１では、配下の端末装置５が利用しているアドレス状況が分かることになる。そこで、ルータ装置１がアドレスを払い出す際に、アドレスを払い出した端末装置５に対してＩＰｓｅｃのセッション要求を送信し、その端末装置５がＩＰｓｅｃを利用可能であるかを判定し、その判定結果に基づいてフィルタ情報を作成するようにしてもよい。また、ＵＰｎＰなどの端末装置５からルータ装置１へ通信を行うプロトコルを用いて、端末装置５がＬＡＮ３に接続されたことをルータ装置１が検知し、検出した端末装置５に対してＩＰｓｅｃのセッション要求を送信し、その結果に基づいてフィルタ情報を作成するようにしてもよい。
【００５５】
また、上記実施の形態では、セキュア機能を実現するためのＩＰｓｅｃプロトコルスイートを用いたが他のプロトコルであってもよい。また、上記実施の形態では、ＴＣＰ／ＩＰプロトコルスイートを用いてるが他のプロトコルを用いてネットワークを構成してもよい。
【図面の簡単な説明】
【００５６】
【図１】代理セキュアルータ装置のブロック図
【図２】フィルタ情報の一例を説明する図
【図３】ＷＡＮ側からのパケット受信時のルータ装置の動作を説明するフローチャート
【図４】ＬＡＮ側からのパケット受信時のルータ装置の動作を説明するフローチャート
【符号の説明】
【００５７】
１…ルータ装置、２…ＷＡＮ、３…ＬＡＮ、４…相手先端末装置、５…端末装置、１０…ＷＡＮ側ネットワークインターフェース、１１…ＬＡＮ側ネットワークインターフェース、１２…暗号通信路経路情報合意手段、１３…暗号通信路情報記憶手段、１４…復号化手段、１５…フィルタ情報記憶手段、１６…復号化要否判定手段、１７…受信パケット正当性判定手段、１８…暗号化手段、１９…暗号化要否判定手段。
【図１】
2006033350.tif 000003
【図２】
2006033350.tif 000004
【図３】
2006033350.tif 000005
【図４】
2006033350.tif 000006