(57)【要約】【課題】     ＮＡＴ−ＰＴ機能を有するＩＰｖ６網で終端間保安サービスを提供する。【解決手段】  ネットワークアドレス変換−プロトコル変換機能を有する通信網で終端間保安サービスを提供する方法であって、ネットワークアドレス変換−プロトコル変換機能を有する第１の通信網に含まれた第１のノードと、前記第１の通信網と異なるプロトコルにより動作する第２の通信網に含まれた第２のノードと、の間の保安交渉を実行し、前記保安交渉の実行の際に発生したプロトコル変換情報を前記第１のノードに保存する過程と、前記保存されたプロトコル変換情報を使用して前記第１のノードと第２のノードとの間の保安伝送を実行する過程と、を含む。【選択図】  図２
2006238089.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークアドレス変換−プロトコル変換機能を有する通信網で終端間の保安サービスを提供する方法であって、
ネットワークアドレス変換−プロトコル変換機能を有する第１の通信網に含まれた第１のノードと、前記第１の通信網と異なるプロトコルにより動作する第２の通信網に含まれた第２のノードと、の間の保安交渉を実行し、前記保安交渉の実行の際に発生したプロトコル変換情報を前記第１のノードに保存する過程と、
前記保存されたプロトコル変換情報を使用して前記第１のノードと第２のノードとの間の保安伝送を実行する過程と、を含むこと
を特徴とする前記方法。
【請求項２】
前記保存されたプロトコル変換情報を使用して前記第１のノードと第２のノードとの間の認証を実行する過程をさらに含むこと
を特徴とする請求項１記載の前記方法。
【請求項３】
前記認証過程は、前記第１のノードが、予め保存されたプロトコル変換情報に基づいて変換されるアドレス情報を予測する段階と、
前記第１のノードが、該予測されたアドレス情報に基づいて認証情報を生成する段階と、
前記認証情報を第２のノードに伝達する段階と、
前記第２のノードが、前記認証情報に基づいて前記第１のノードを認証する段階と、を含むこと
を特徴とする請求項２記載の前記方法。
【請求項４】
前記認証過程は、前記第２のノードが自機のアドレス情報に基づいて認証情報を生成する段階と、
前記認証情報を前記第１のノードに伝達する段階と、
前記第１のノードが、予め保存されたプロトコル変換情報に基づいて前記第１のノードの変換アドレス情報を予測する段階と、
前記予測された変換アドレス情報及び前記第２のノードから伝達された認証情報を使用して前記第１のノードが前記第２のノードを認証する段階と、をさらに含むこと
を特徴とする請求項３記載の前記方法。
【請求項５】
前記保安交渉及びプロトコル変換情報の保存過程は、ネットワークアドレス及びプロトコル変換のための変換サーバーが、前記第１のノードの保安交渉要請に応答して、前記保安交渉要請メッセージのプロトコルを変換して前記第２のノードに伝達する段階と、
前記変換サーバーが、前記第２のノードからの保安交渉応答メッセージに応答して、前記プロトコル変換情報を前記第１のノードに伝達する段階と、
前記第１のノードが前記プロトコル変換情報を保存する段階と、
前記変換サーバーが前記保安交渉応答メッセージのプロトコルを変換して前記第１のノードに伝達する段階と、を含むこと
を特徴とする請求項１記載の前記方法。
【請求項６】
前記プロトコル変換情報は、前記第１のノードを前記第２の通信網で認識できるようにするために前記第１のノードに割り当てられた第２の通信網でのアドレス情報を含むこと
を特徴とする請求項１記載の前記方法。
【請求項７】
前記第１の通信網はＩＰｖ６網であり、前記第２の通信網はＩＰｖ４網であること
を特徴とする請求項１記載の前記方法。
【請求項８】
前記プロトコル変換情報は、前記ＩＰｖ６パケットとＩＰｖ４パケットとの間のＩＰヘッダー変換情報であること
を特徴とする請求項７記載の前記方法。
【請求項９】
前記保安サービスは、ＩＰｓｅｃを利用すること
を特徴とする請求項１記載の前記方法。
【請求項１０】
前記保安伝送過程は、前記第１のノードと第２のノード間のデータ発信機の認証を許容する認証ヘッダーをさらに含むパケットデータを送受信すること
を特徴とする請求項１記載の前記方法 。
【請求項１１】
前記保安伝送過程は、前記第１のノードが、予め保存されたプロトコル変換情報に基づいて改竄チェック値(ＩＣＶ)を計算する段階と、
前記改竄チェック値を含む認証ヘッダーを生成する段階と、
前記認証ヘッダーを含むパケットデータを生成して前記第２のノードに伝送する段階と、を含むこと
を特徴とする請求項１０記載の前記方法。
【請求項１２】
前記保安伝送過程は、第１のノードが第２のノードから認証ヘッダーを含むパケットデータを受信する段階と、
前記パケットデータの受信に応答して第１のノードが、予め保存されたプロトコル変換情報に基づいた改竄チェック値(ＩＣＶ)を計算する段階と、
前記改竄チェック値を使用して、前記受信されたパケットデータを検証する段階と、をさらに含むこと
を特徴とする請求項１１記載の前記方法。
【請求項１３】
前記保安伝送過程は、前記第１のノードと第２のノード間の発信機の認証及びデータ暗号化を一緒に支援する暗号化保安ペイロード(ＥＳＰ)をさらに含むパケットデータを送受信すること
を特徴とする請求項１記載の前記方法。
【請求項１４】
前記保安伝送過程は、前記第１のノードが、予め保存されたプロトコル変換情報に基づいてＴＣＰ/ＵＤＰチェックサム値を予測計算する段階と、
前記第１のノードが前記予測計算されたＴＣＰ/ＵＤＰチェックサム値を使用して暗号化保安ペイロードを生成する段階と、
前記暗号化保安ペイロードを含むパケットデータを前記第２のノードに伝送する段階と、を含むこと
を特徴とする請求項１３記載の前記方法。
【請求項１５】
前記保安伝送過程は、第１のノードが第２のノードから暗号化保安ペイロードを含むパケットデータを受信する段階と、
前記パケットデータの受信に応答して、第１のノードが、予め保存されたプロトコル変換情報に基づいてＴＣＰ/ＵＤＰチェックサム値を予測計算する段階と、
前記予測計算されたＴＣＰ/ＵＤＰチェックサム値を使用して、前記受信されたパケットデータを検証する段階と、をさらに含むこと
を特徴とする請求項１３記載の前記方法。
【請求項１６】
ネットワークアドレス変換−プロトコル変換機能を有するＩＰｖ６網で終端間の保安サービスを提供する方法であって、
前記ＩＰｖ６ 網に含まれたＩＰｖ６ノードとＩＰｖ４網に含まれたＩＰｖ４ノードとの間の保安交渉を実行し、前記保安交渉の実行の際に発生したＩＰヘッダー変換情報を前記ＩＰｖ６ノードに保存する過程と、
前記ＩＰヘッダー変換情報を使用して前記ＩＰｖ６ノードと前記ＩＰｖ４ノードとの間の保安伝送を実行する過程と、を含むこと
を特徴とする前記方法。
【請求項１７】
前記保存されたＩＰヘッダー変換情報を使用して前記ＩＰｖ６ノードとＩＰｖ４ノードとの間の認証を実行する過程をさらに含むこと
を特徴とする請求項１６記載の前記方法。
【請求項１８】
前記認証過程は、前記ＩＰｖ６ノードが、予め保存されたＩＰヘッダー変換情報に基づいて変換されるアドレス情報を予測する段階と、
前記ＩＰｖ６ノードが、該予測されたアドレス情報に基づいて認証情報を生成する段階と、
前記認証情報をＩＰｖ４ノードに伝達する段階と、
前記ＩＰｖ４ノードが、前記認証情報に基づいて前記ＩＰｖ６ノードを認証する段階と、を含むこと
を特徴とする請求項１７記載の前記方法。
【請求項１９】
前記認証過程は、前記ＩＰｖ４ノードが自機のアドレス情報に基づいて認証情報を生成する段階と、
前記認証情報を前記ＩＰｖ６ノードに伝達する段階と、
前記ＩＰｖ６ノードが、予め保存されたＩＰヘッダー変換情報に基づいて前記ＩＰｖ６ノードの変換アドレス情報を予測する段階と、
前記予測された変換アドレス情報及び前記ＩＰｖ４ノードから伝達された認証情報を使用して前記ＩＰｖ６ノードが前記ＩＰｖ４ノードを認証する段階と、をさらに含むこと
を特徴とする請求項１８記載の前記方法。
【請求項２０】
前記保安交渉及びＩＰヘッダー変換情報の保存過程は、ネットワークアドレス及びプロトコル変換のための変換サーバーが、前記ＩＰｖ６ノードの保安交渉要請に応答して、前記保安交渉要請メッセージのＩＰヘッダーを変換して前記ＩＰｖ４ノードに伝達する段階と、
前記変換サーバーが、前記ＩＰｖ４ノードからの保安交渉応答メッセージに応答して、前記ＩＰヘッダー変換情報を前記ＩＰｖ６ノードに伝達する段階と、
前記ＩＰｖ６ノードが前記ＩＰヘッダー変換情報を保存する段階と、
前記変換サーバーが前記保安交渉応答メッセージのＩＰヘッダーを変換して前記ＩＰｖ４ノードに伝達する段階と、を含むこと
を特徴とする請求項１６記載の前記方法。
【請求項２１】
前記ＩＰヘッダー変換情報は、前記ＩＰｖ６ノードを前記ＩＰｖ４網で認識できるようにするために前記ＩＰｖ６ノードに割り当てられたＩＰｖ４アドレスを含むこと
を特徴とする請求項１６記載の前記方法。
【請求項２２】
前記保安サービスは、ＩＰｓｅｃを利用すること
を特徴とする請求項１６記載の前記方法。
【請求項２３】
前記保安伝送過程は、前記ＩＰｖ６ノードとＩＰｖ４ノード間のデータ発信機の認証を許容する認証ヘッダー(ＡＨ)をさらに含むパケットデータを送受信すること
を特徴とする請求項１６記載の前記方法。
【請求項２４】
前記保安伝送過程は、前記ＩＰｖ６ノードが、予め保存されたＩＰヘッダー変換情報に基づいて改竄チェック値(ＩＣＶ)を計算する段階と、
前記改竄チェック値を含む認証ヘッダーを生成する段階と、
前記認証ヘッダーを含むパケットデータを生成して前記ＩＰｖ４ノードに伝送する段階と、を含むこと
を特徴とする請求項２３記載の前記方法。
【請求項２５】
前記保安伝送過程は、前記ＩＰｖ６ノードがＩＰｖ４ノードから認証ヘッダーを含むパケットデータを受信する段階と、
前記パケットデータの受信に応答してＩＰｖ６ノードが、予め保存されたＩＰヘッダー変換情報に基づいた改竄チェック値(ＩＣＶ)を計算する段階と、
前記改竄チェック値を使用して、前記受信されたパケットデータを検証する段階と、をさらに含むこと
を特徴とする請求項２４記載の前記方法。
【請求項２６】
前記保安伝送過程は、前記ＩＰｖ６ノードとＩＰｖ４ノード間の発信機の認証及びデータ暗号化を一緒に支援する暗号化保安ペイロード(ＥＳＰ)をさらに含むパケットデータを送受信すること
を特徴とする請求項１６記載の前記方法。
【請求項２７】
前記保安伝送過程は、前記ＩＰｖ６ノードが、予め保存されたＩＰヘッダー変換情報に基づいてＴＣＰ/ＵＤＰチェックサム値を予測計算する段階と、
前記ＩＰｖ６ノードが前記予測計算されたＴＣＰ/ＵＤＰチェックサム値を使用して暗号化保安ペイロードを生成する段階と、
前記暗号化保安ペイロードを含むパケットデータを前記ＩＰｖ４ノードに伝送する段階と、を含むこと
を特徴とする請求項２６記載の前記方法。
【請求項２８】
前記保安伝送過程は、前記ＩＰｖ６ノードがＩＰｖ４ノードから暗号化保安ペイロードを含むパケットデータを受信する段階と、
前記パケットデータの受信に応答して、ＩＰｖ４ノードが、予め保存されたＩＰヘッダー変換情報に基づいてＴＣＰ/ＵＤＰチェックサム値を予測計算する段階と、
前記予測計算されたＴＣＰ/ＵＤＰチェックサム値を使用して、前記受信されたパケットデータを検証する段階と、をさらに含むこと
を特徴とする請求項２６記載の前記方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰｖ６(Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ, ｖｅｒｓｉｏｎ ６)ネットワークに関し、特に、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網における端末間の保安サービス（end-to-end security service）を提供する方法に関する。
【背景技術】
【０００２】
現在、インターネットを基盤としてＩＰ(Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ)と呼ばれるインターネットプロトコルが広く普及され使用されている。ＩＰプロトコルは、短時間に多数のネットワークと使用者をインターネットという巨大な一つのネットワークで連結することにおいて、決定的な役割を果たす。
【０００３】
ＩＰプロトコルは、数回の設計変更を経て発展しており、現在インターネットを通じて広く使用されているバージョンはＩＰｖ４(Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ, ｖｅｒｓｉｏｎ ４)である。このＩＰｖ４は、比較的簡素で柔軟な設計である点で長所を有しているが、使用可能なＩＰアドレスの不足、ＩＰパケットルーティング処理の非効率性、ＩＰノードを動作させるために必要な各種設定プロセスの複雑性、などのような短所がある。
【０００４】
したがって、このような短所を補完するために、ＩＰｎｇ(Ｉｎｔｅｒｎｅｔｗｏｒｋｉｎｇ Ｐｒｏｔｏｃｏｌ, ｎｅｘｔ ｇｅｎｅｒａｔｉｏｎ)として知られるＩＰｖ６(Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ, ｖｅｒｓｉｏｎ ６)が提案されて、現在の標準となった。
【０００５】
したがって、最近では、ＩＰｖ６を使用するネットワーク装置の数が増加することによって、ＩＰｖ６網が広く拡散されている。しかしながら、未だ大部分のネットワーク装置は、既存のＩＰｖ４網の中で使用されている。したがって、ＩＰｖ６網とＩＰｖ４との間の連動が必要であり、そのためにＩＰアドレスの相互変換が必要である。
【０００６】
即ち、ＩＰｖ６網に連結されたノードとＩＰｖ４網に連結されたノードが相互連動されて通信するためには、ＩＰｖ６アドレスとＩＰｖ４アドレスとを相互変換するアドレス変換器が必要である。
【０００７】
現在までに、ＩＥＴＦ(Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ)で多くの変換技術が標準化されており、それらの中でも、ネットワークアドレス変換−プロトコル変換(Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ-Ｐｒｏｔｏｃｏｌ Ｔｒａｎｓｌａｔｉｏｎ：以下、 ＮＡＴ−ＰＴと称する。)技術と、ＤＳＴＭ(Ｄｕａｌ Ｓｔａｃｋ Ｔｒａｎｓｉｔｉｏｎ Ｍｅｃｈａｎｉｓｍ)技術と、が注目されている。本発明は、この内のＮＡＴ−ＰＴに関するものである。
【０００８】
‘ＮＡＴ−ＰＴ’は、インターネット国際標準化機構であるＩＥＴＦでＲＦＣ ２７６６に制定された標準であり、ＩＰｖ６-ＩＰｖ４変換機能について記述している。そして、このようなＮＡＴ−ＰＴ技術を使用することにより、ＩＰｖ６網に連結されたホストや応用プログラムとＩＰｖ４網に連結されたホストや応用プログラムとの間での通信が可能となる。この場合、ＩＰｖ６網及びＩＰｖ４網の各々のホストは各々ＩＰｖ６及びＩＰｖ４ステックのみを有しており、ＮＡＴ−ＰＴを実行する装置(所謂ＮＡＴ−ＰＴサーバー、以下、ＮＡＴ−ＰＴと称する。)は、ＩＰｖ４/ＩＰｖ６のデュアルステック（dual stack）を有している。また、ＮＡＴ−ＰＴサーバーは、ＩＰｖ６網とＩＰｖ４網の境界に位置する。特に、ＮＡＴ−ＰＴサーバーは、境界ルータが位置する所に位置することが好ましい。そして、ＮＡＴ−ＰＴサーバーは、ＩＰｖ６網に連結されたホストがＩＰｖ４ 網に連結されたホストと通信しようとする場合に、動的に割り当てるＩＰｖ４アドレスを集めておいたＩＰｖ４アドレスプール(ｐｏｏｌ)を有している。
【０００９】
一般に、ＮＡＴ−ＰＴは、大きく二つの機能を実行する。第１に、ＮＡＴ−ＰＴは、アドレス変換(ＮＡＴ: Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ)機能として、ＩＰｖ４アドレスプールに基づいてセッションが初期化される時ごとにＩＰｖ６ノードのＩＰｖ６アドレスをＩＰｖ４アドレスに変換する処理を行う。言い換えれば、ＮＡＴ−ＰＴは、ＩＰｖ６ノードに動的にＩＰｖ４アドレスを割り当てる。第２に、ＮＡＴ−ＰＴは、プロトコル変換(ＰＴ: Ｐｒｏｔｏｃｏｌ Ｔｒａｎｓｌａｔｉｏｎ)機能として、ホストにおける変換機能を定義したＲＦＣ ２７６５標準文書(ＳＩＩＴ: Ｓｔａｔｅｌｅｓｓ ＩＰ/ＩＣＭＰ Ｔｒａｎｓｌａｔｉｏｎ ａｌｇｏｒｉｔｈｍ)を基盤としたアドレス変換を実行する。
【００１０】
特に、ＮＡＴ−ＰＴは、ＩＰｖ６だけで動作するＩＰｖ６ノードとＩＰｖ４ノードとの間の通信を支援するために、ＩＰヘッダー変換方法を使用する。
【００１１】
一方、安全性について脆弱なインターネットにおいて安全な通信を実現するための保安機能の例として、終端対終端間の保安サービスのための通信規約である‘ ＩＰｓｅｃ(Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ)’がある。
【００１２】
ＩＰｓｅｃは、データ盗聴などの行為を防止するために、インターネット上に、専用回線のように利用可能な仮想的な専用回線を設立するための通信規約である。この通信規約は、ユーザー側端末機に搭載することができ、インターネットを介して特定クライアントとサーバーだけがＩＰｓｅｃによりデータを送受信することを可能とする。また、ＩＰｓｅｃは、暗号化や認証方式については規定されていないが、その方式を通知するためのフレーム（framework）を提供している。このフレームは、ＳＡ(Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ：以下、“ＳＡ”と称する。)と呼ばれる。このようなＳＡ情報は、ＮＡＴ−ＰＴを使用してデータを送受信するノード(例えば、ＩＰｖ６ノード及びＩＰｖ４ノード)の間の交渉（negotiation）により決定される。また、ＩＰｓｅｃは、本質的にデータ発信機の認証を許容する認証ヘッダー(Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｈｅａｄｅｒ：以下、“ＡＨ”と称する。)と、発信機の認証及びデータ暗号化の両方を支援するＥＳＰ(Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ)との二種類の保安サービスを提供する。このような各サービスに関する特殊な情報は、ＩＰパケットヘッダーの後を引き継ぐヘッダー内のパケットに挿入される。
【００１３】
特に、ＩＰｓｅｃは、データを送受信するノード(例えば、ＩＰｖ６ノード及びＩＰｖ４ノード)の各々のヘッダー情報(例えば、アドレス情報など)を使用して、相互認証情報を生成する。したがって、ＮＡＴ−ＰＴを使用したデータ伝送のように、パケットを伝送している間にパケットの内容(例えば、アドレス情報など)が変更される場合には、ＩＰｓｅｃを使用した保安サービスの提供が出来ない。
【００１４】
したがって、従来のアドレス変換方法を使用する通信網においてホスト間のデータ伝送を行う場合には、ＩＰｓｅｃを使用した保安サービスを適用することができない、という短所があった。例えば、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網において、ＩＰｖ６ホストとＩＰｖ４ホストとの間でのデータ伝送時には、ＩＰｓｅｃを用いた保安サービスを適用することができなかった。
【発明の開示】
【発明が解決しようとする課題】
【００１５】
したがって、本発明は上述したような従来技術の問題点を解決するためになされたもので、その目的は、アドレス変換方法を使用する通信網で、ＩＰｓｅｃを使用した保安サービスを提供できるようにする方法を提供することにある。
【００１６】
本発明の他の目的は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網で、ＩＰｓｅｃを使用した端末相互間の保安サービスの提供方法を提供することにある。
【００１７】
本発明のまた他の目的は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網で保安を維持しながら端末相互間でデータを伝送するための方法を提供することにある。
【課題を解決するための手段】
【００１８】
前記目的を達成するための本発明は、ネットワークアドレス変換−プロトコル変換機能を有する通信網で終端間保安サービスを提供する方法であって、ネットワークアドレス変換−プロトコル変換機能を有する第１の通信網に含まれた第１のノードと、前記第１の通信網と異なるプロトコルにより動作する第２の通信網に含まれた第２のノードと、の間の保安交渉を実行し、前記保安交渉の実行の際に発生したプロトコル変換情報を前記第１のノードに保存する過程と、前記保存されたプロトコル変換情報を使用して前記第１のノードと第２のノードとの間の保安伝送を実行する過程と、を含むことを特徴とする。
【００１９】
好ましくは、本発明の方法は、前記保存されたプロトコル変換情報を使用して前記第１のノードと第２のノードとの間の認証を実行する過程をさらに含む。
【００２０】
好ましくは、前記認証過程は、前記第１のノードが、予め保存されたプロトコル変換情報に基づいて変換されるアドレス情報を予測する段階と、前記第１のノードがその予測されたアドレス情報に基づいて認証情報を生成する段階と、前記認証情報を第２のノードに伝達する段階と、前記第２のノードが前記認証情報に基づいて前記第１のノードを認証する段階と、前記第２のノードが自機のアドレス情報に基づいて認証情報を生成する段階と、前記認証情報を前記第１のノードに伝達する段階と、前記第１のノードが、予め保存されたプロトコル変換情報に基づいて前記第１のノードの変換アドレス情報を予測する段階と、前記予測された変換アドレス情報及び前記第２のノードから伝達された認証情報を使用して前記第１のノードが前記第２のノードを認証する段階と、を含む。
【００２１】
好ましくは、前記保安交渉及びプロトコル変換情報の保存過程は、前記第１のノードの保安交渉要請に応答して、ネットワークアドレス及びプロトコル変換のための変換サーバーが、前記保安交渉要請メッセージのプロトコルを変換して前記第２のノードに伝達する段階と、前記第２のノードからの保安交渉応答メッセージに応答して、前記変換サーバーが、前記プロトコル変換情報を前記第１のノードに伝達する段階と、前記第１のノードが前記プロトコル変換情報を保存する段階と、前記変換サーバーが前記保安交渉応答メッセージのプロトコルを変換して前記第１のノードに伝達する段階と、を含む。
【００２２】
好ましくは、前記保安伝送過程は、前記第１のノードが、予め保存されたプロトコル変換情報に基づいて改竄チェック値(ＩＣＶ)を計算する段階と、前記改竄チェック値を含む認証ヘッダーを生成する段階と、前記認証ヘッダーを含むパケットデータを生成して前記第２のノードに伝送する段階と、第１のノードが第２のノードから認証ヘッダーを含むパケットデータを受信する段階と、前記パケットデータの受信に応答して第１のノードが、予め保存されたプロトコル変換情報に基づいた改竄チェック値(ＩＣＶ)を計算する段階と、前記改竄チェック値を使用して、前記受信されたパケットデータを検証する段階と、を含む。
【００２３】
好ましくは、前記保安伝送過程は、前記第１のノードが、予め保存されたプロトコル変換情報に基づいてＴＣＰ/ＵＤＰチェックサム値を予測計算する段階と、前記第１のノードが前記予測計算されたＴＣＰ/ＵＤＰチェックサム値を使用して暗号化保安ペイロードを生成する段階と、前記暗号化保安ペイロードを含むパケットデータを前記第２のノードに伝送する段階と、第１のノードが第２のノードから暗号化保安ペイロードを含むパケットデータを受信する段階と、前記パケットデータの受信に応答して第１のノードが、予め保存されたプロトコル変換情報に基づいてＴＣＰ/ＵＤＰチェックサム値を予測計算する段階と、前記予測計算されたＴＣＰ/ＵＤＰチェックサム値を使用して、前記受信されたパケットデータを検証する段階と、を含む。
【００２４】
好ましくは、前記第１の通信網はＩＰｖ６網であり、前記第２の通信網はＩＰｖ４網である。
【００２５】
好ましくは、前記プロトコル変換情報は、前記ＩＰｖ６パケットとＩＰｖ４パケット間のＩＰヘッダー変換情報である。
【００２６】
好ましくは、前記保安サービスは、ＩＰｓｅｃを利用する。
【発明の効果】
【００２７】
本発明によれば、アドレス変換情報を終端に予め通知することにより、アドレス変換方法を使用する通信網においてホスト間データ伝送時にアドレス情報を使用した保安サービスを適用することが可能になる。例えば、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網において、ＩＰｓｅｃを使用した終端間データ伝送時に保安サービスを適用することができる。したがって、アドレス変換方法を使用する通信網において、保安を維持しながら終端間にデータを伝送することができる。特に、ＮＡＴ−ＰＴ機能を有するＩＰｖ６ 網において、ＩＰｓｅｃを使用した終端間データ伝送を実行することにより、データ伝送時の保安を維持できる効果がある。
【発明を実施するための最良の形態】
【００２８】
以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能や構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【００２９】
図１は、本発明の一の実施形態による終端間保安サービス提供方法に関する処理フローチャートである。特に、図１は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網でＩＰｓｅｃを使用して終端間保安サービスを提供するための方法に関する処理フローチャートである。ここで、‘終端間保安サービス’とは、終端間に保安（セキュリティ）を維持しながらデータを伝送できるようにするサービスを意味し、以後も同一の意味で用いられる。
【００３０】
図１に示すように、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網に含まれたＩＰｖ６ホスト(以下、“ＮＡＴ−ＰＴノード”と称する。)とＩＰｖ４網に含まれたＩＰｖ４ホスト(以下、“ＩＰｖ４ ノード”と称する。)がＩＰｓｅｃを使用して保安が適用されたデータ伝送を実行するためには、まず、ＩＰｓｅｃ保安交渉を実行しなければならない(ステップＳ１１０)。即ち、ＮＡＴ−ＰＴノード及びＩＰｖ４ノードが、暗号化や認証のための方式(例えば、暗号化アルゴリズムなど)を通知するためのフレーム(Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ：以下、“ＳＡ”と称する。)を決定するための手続きを実行する。このとき、ＮＡＴ−ＰＴサーバーは、対応するＮＡＴ−ＰＴノードをＩＰｖ４網で認識できるようにするために、ＮＡＴ−ＰＴノードにＩＰｖ４アドレスを割り当て、そのＩＰｖ４アドレスを使用して該当パケットのＩＰヘッダーを変換した後に、そのパケットをＩＰｖ４ノードに伝達する。そして、そのＩＰヘッダー変換情報をＮＡＴ−ＰＴノードに伝達することにより、ＮＡＴ−ＰＴノードがＩＰヘッダー変換情報を保存するようにする。
【００３１】
次に、ＮＡＴ−ＰＴノードとＰｖ４ノードは、前記保安交渉結果に基づいて、暗号化及びその暗号化された情報の認証のためのキー情報(例えば、暗号キー情報)を共有するための手続きを実行する(ステップＳ１２０)。例えば、ＮＡＴ−ＰＴノードが暗号キーを設定してＮＡＴ−ＰＴサーバーを通じてＩＰｖ４ノードに伝送する場合に、ＩＰｖ４ノードは、その暗号キーを保存した後に、ＮＡＴ−ＰＴノードにその暗号キーをさらに伝達する。
【００３２】
このようにＮＡＴ−ＰＴノードとＩＰｖ４ノードとの間でＳＡ情報及び暗号キーを共有した場合に、ＮＡＴ−ＰＴノードとＩＰｖ４ノードは、そのＳＡ情報及び暗号キーを使用して認証手続きを実行する(ステップＳ１３０)。例えば、ＮＡＴ−ＰＴノードがＮＡＴ−ＰＴノードに保存された暗号キーを使用して暗号化されたヘッダー情報及び認証情報をＩＰｖ４ノードに伝達する場合には、ＩＰｖ４ノードは、ＮＡＴ−ＰＴから伝達されたヘッダー情報及び認証情報に基づいてＮＡＴ−ＰＴノードを認証する。そして、ＩＰｖ４ノードがＩＰｖ４ノードに保存された暗号キーを使用して暗号化されたヘッダー情報及び認証情報をＮＡＴ−ＰＴノードに伝達する場合には、ＮＡＴ−ＰＴノードは、ＩＰｖ４ノードから伝達されたヘッダー情報及び認証情報に基づいてＩＰｖ４ノードを認証する。
【００３３】
上述したステップＳ１３０によってＮＡＴ−ＰＴノードとＩＰｖ４ノードとの間での認証が完了される場合、ＮＡＴ−ＰＴノードとＩＰｖ４ノードとの間でＩＰｓｅｃ伝送モードを実行する(ステップＳ１４０)。即ち、ＮＡＴ−ＰＴノードとＩＰｖ４ノードとの間でＩＰｓｅｃ保安が適用されたデータ伝送を実行する。このとき、ＩＰｓｅｃは、データ発信機の認証を許容する認証ヘッダー(Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｈｅａｄｅｒ：以下、“ＡＨ”と称する。)と発信機の認証及びデータ暗号化を一緒に支援するＥＳＰ(Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ：以下、“ＥＳＰ”と称する。)などの二つの種類の保安サービスを提供する。したがって、ステップＳ１４０では、ＡＨによるＩＰｓｅｃ伝送又はＥＳＰによるＩＰｓｅｃ伝送モードを実行する。
【００３４】
図２は、本発明の一の実施形態による終端間保安サービス提供のためにノード間でデータが伝送される手続きを例示した図である。特に、図２は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網でＰｓｅｃを使用して終端間保安サービスを提供するために、ＮＡＴ−ＰＴノード１００と、ＮＡＴ−ＰＴサーバー２００と、ＩＰｖ４ノード３００との間にデータが伝送される手続きを例示している。
【００３５】
図２に示すように、ＮＡＴ−ＰＴノード１００とＩＰｖ４ノード３００がＩＰｓｅｃを使用して保安が適用されたデータ伝送を実行するために、図１に例示されたように、保安交渉過程(ステップＳ１１０)、暗号キー情報共有過程(ステップＳ１２０)、認証手続き(ステップＳ１３０)及びＩＰｓｅｃ伝送モード実行過程(ステップＳ１４０)を実行するものであって、これら各過程において、ＮＡＴ−ＰＴノード１００とＩＰｖ４ノード３００との間のデータ伝送手続きは、次の通りである。
【００３６】
まず、保安交渉過程(ステップＳ１１０)におけるデータ伝送手続きは、以下の通りである。
【００３７】
ＮＡＴ−ＰＴノード１００は、ＩＫＥ(Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ) 交渉のためにヘッダー(Ｈｅａｄｅｒ：以下、“ＨＤＲ”と称する。)及びＳＡ情報が含まれたＩＫＥペイロードを構成し、これを含むＩＰｖ６パケットを生成した後にＮＡＴ−ＰＴサーバー２００に伝達する(ステップＳ１１１)。したがって、ＮＡＴ−ＰＴサーバー２００は、ＮＡＴ−ＰＴノード１００のＩＰｖ６アドレスに関するＩＰｖ４アドレスを割り当てた後に、そのＩＰｖ４アドレスに基づいて前記ＩＰｖ６パケットをＩＰｖ４パケットに変換する。そして、その変換されたＩＰｖ４パケットをＩＰｖ４ノード３００に伝達する(ステップＳ１１３)。但し、ＮＡＴ−ＰＴサーバー２００に保存されたアドレスマッピングテーブルにＮＡＴ−ＰＴノード１００について割り当てられたＩＰｖ４アドレスが既に存在する場合には、前記ＩＰｖ４アドレス割り当て過程は省略することが出来る。即ち、アドレスマッピングテーブルに登録されたＩＰｖ４アドレスに基づいてパケット変換を実行する。
【００３８】
ここで、前記ステップＳ１１１及びステップＳ１１３の過程は、その伝送されるＩＰパケットの形態(ＩＰｖ６又はＩＰｖ４)だけが異なり、伝送されるデータについては同一である。即ち、ＨＤＲ及びＳＡ情報が伝送される。特に、ＳＡ情報の場合、ＩＰｖ４ノード３００が選択できるように多数のＳＡ情報がリスト形態で伝達されることが好ましい。
【００３９】
一方、ＮＡＴ−ＰＴサーバー２００からＨＤＲ及びＳＡ情報が含まれたＩＫＥペイロードの伝達を受けたＩＰｖ４ノード３００は、ＮＡＴ−ＰＴノード１００とのＩＫＥ交渉のためにＨＤＲとＳＡ情報が含まれたＩＫＥペイロードを構成し、それを含むＩＰｖ４パケットを生成した後にＮＡＴ−ＰＴサーバー２００に伝達する(ステップＳ１１５)。
【００４０】
その後、ＮＡＴ−ＰＴサーバー２００は、ステップＳ１１３の過程のためにＮＡＴ−ＰＴサーバー２００で実行されたＩＰヘッダー変換に関する情報を、ＮＡＴ−ＰＴノード１００に伝達する(ステップＳ１１７)。
【００４１】
そして、ＮＡＴ−ＰＴサーバー２００は、、予め保存されたアドレスマッピングテーブルに基づいて、ステップＳ１１５で伝達されたＩＰｖ４パケットをＩＰｖ６パケットに変換した後にＮＡＴ−ＰＴノード１００に伝達する(ステップＳ１１９)。
【００４２】
ここで、前記ステップＳ１１５及びステップＳ１１９の過程は、その伝送されるＩＰパケットの形態(ＩＰｖ６又はＩＰｖ４)だけが異なり、伝送されるデータについては同一である。即ち、ＨＤＲ及びＳＡ情報が伝送される。特に、ＳＡ情報の場合、ＮＡＴ−ＰＴノード１００から伝達された多数のＳＡ情報の中でＩＰｖ４ノード３００により選択されたＳＡ情報が伝達されることが好ましい。
【００４３】
ステップＳ１１７は、図２に例示されたように、ステップＳ１１５とステップＳ１１９との間で実行されることが最も好ましい。しかしながら、ステップＳ１１７の実行時点がステップＳ１１５及びステップＳ１１９の間に限定されるものではない。即ち、ステップＳ１１７は、ステップＳ１１１とステップＳ１１９の実行中において、いつに実行されても良い。言い換えれば、ステップＳ１１７は、ＩＰｓｅｃのための保安交渉が開始された時点からＮＡＴ−ＰＴノード１００のアドレス情報を使用した認証情報生成時点以前の間の任意の時点で実行することができる。
【００４４】
次に、暗号キー情報共有過程(ステップＳ１２０)におけるデータ伝送手続きは、以下の通りである。
【００４５】
ＮＡＴ−ＰＴノード１００は、ヘッダー(Ｈｅａｄｅｒ：以下、“ＨＤＲ”と称する。)、キー交換(Ｋｅｙ Ｅｘｃｈａｎｇｅ：以下、“ＫＥ”と称する。)及び臨時乱数値(Ｎｉ)が含まれたＩＫＥペイロードを構成し、それを含むＩＰｖ６パケットを生成した後にＮＡＴ−ＰＴサーバー２００に伝達する(ステップＳ１２１)。続いて、ＮＡＴ−ＰＴサーバー２００は、アドレスマッピングテーブルに登録されたＩＰｖ４アドレスに基づいてＩＰｖ６パケットを変換した後に、その変換されたＩＰｖ４パケットをＩＰｖ４ノード３００に伝達する(ステップＳ１２３)。
【００４６】
ここで、前記ステップＳ１２１及びステップＳ１２３の過程は、その伝送されるＩＰパケットの形態(ＩＰｖ６又はＩＰｖ４)だけが異なり、伝送されるデータは同一である。即ち、ＨＤＲ、ＫＥ及びＮｉ値が伝送される。
【００４７】
一方、ＮＡＴ−ＰＴサーバー２００からＨＤＲ、ＫＥ及びＮｉ値が含まれたＩＫＥペイロードの伝達を受けたＩＰｖ４ノード３００は、ＨＤＲ、ＫＥ及びＮｒ値が含まれたＩＫＥペイロードを構成し、それを含むＩＰｖ４パケットを生成した後にＮＡＴ−ＰＴサーバー２００に伝達する(ステップＳ１２５)。そして、ＮＡＴ−ＰＴサーバー２００は、予め保存されたアドレスマッピングテーブルに基づいて、ステップＳ１２５で伝達されたＩＰｖ４パケットをＩＰｖ６パケットに変換した後にＮＡＴ−ＰＴノード１００に伝達する(ステップＳ１２７)。
【００４８】
ここで、前記ステップＳ１２５及びステップＳ１２７の過程は、その伝送されるＩＰパケットの形態(ＩＰｖ６又はＩＰｖ４)だけが異なり、伝送されるデータについては同一である。即ち、ＨＤＲ、ＫＥ及びＮｒ値が伝送される。
【００４９】
次に、認証手続き(ステップＳ１３０)におけるデータ伝送手続きは、以下の通りである。
【００５０】
ＮＡＴ−ＰＴノード１００は、アドレス情報(ＩＤｉｉ)と認証情報([ＣＥＲＴ,]ＳＩＧ_I)を生成し、上記のステップＳ１１０及びステップＳ１２０を実行する過程で共有されたキー情報(ＫＥ)を使用して前記生成情報とＨＤＲ情報を一緒に暗号化した後に、その情報を含むＩＫＥペイロードを構成し、それを含むＩＰｖ６パケットを生成した後にＮＡＴ−ＰＴサーバー２００に伝達する(ステップＳ１３１)。このとき、ＩＰｖ４ノード３００がＮＡＴ−ＰＴノード１００についての認証を成功裡に実行できるようにするために、ＮＡＴ−ＰＴノード１００は、自機のＩＰｖ６アドレスではないステップＳ１１７を通じて伝達を受けたＩＰヘッダー変換情報によるアドレス情報(ＩＤｉｉ)及び認証情報(［ＣＥＲＴ,］ＳＩＧ_I)を生成した後に、それをＩＫＥペイロードに含ませる。これは、ＩＰｖ４網で、ＮＡＴ−ＰＴサーバー２００がＮＡＴ−ＰＴノード１００に割り当てたＩＰｖ４アドレスを使用してＮＡＴ−ＰＴノード１００を認証できるようにするためである。ステップＳ１３１を通じてＩＰｖ６パケットを受信したＮＡＴ−ＰＴサーバー２００は、アドレスマッピングテーブルに登録されたＩＰｖ４アドレスに基づいてＩＰｖ６パケットを変換した後に、その変換されたＩＰｖ４パケットをＩＰｖ４ノード３００に伝達する(ステップＳ１３３)。
【００５１】
ここで、前記ステップＳ１３１及びステップＳ１３３の過程は、その伝送されるＩＰパケットの形態(ＩＰｖ６又はＩＰｖ４)だけが異なり、伝送されるデータについては同一である。即ち、前記ステップＳ１３１及びステップＳ１３３の各過程では、ステップＳ１１７を通じて伝達を受けたＩＰヘッダー変換情報によるアドレス情報(ＩＤｉｉ)及び認証情報(［ＣＥＲＴ,］ＳＩＧ_I)を伝送する。
【００５２】
一方、ステップＳ１３３を通じてＮＡＴ−ＰＴサーバー２００からＩＰｖ４パケットの伝達を受けたＩＰｖ４ノード３００は、その受信情報(例えば、アドレス情報(ＩＤｉｉ)及び認証情報([ＣＥＲＴ,]ＳＩＧ_I)など)に基づいてＮＡＴ−ＰＴノード１００を認証する。そして、自機のアドレス情報(ＩＤir)とそのアドレス情報が反映された認証情報(［ＣＥＲＴ,］ＳＩＧ_Ｒ)を生成し、上記のステップＳ１１０及びステップＳ１２０を実行する過程で共有されたキー情報(ＫＥ)を使用して前記生成情報とＨＤＲ情報を一緒に暗号化した後に、その情報を含むＩＫＥペイロードを構成し、それを含むＩＰｖ４パケットを生成した後にＮＡＴ−ＰＴサーバー２００に伝達する(ステップＳ１３５)。
【００５３】
次に、ＮＡＴ−ＰＴサーバー２００は、予め保存されたアドレスマッピングテーブルに基づいて、ステップＳ１３５から伝達されたＩＰｖ４パケットをＩＰｖ６パケットに変換した後にＮＡＴ−ＰＴノード１００に伝達する(ステップＳ１３７)。
【００５４】
前記情報を受信したＮＡＴ−ＰＴノード１００は、ステップＳ１３７を通じて伝達されたＩＰｖ６パケットに含まれたアドレス情報(ＩＤｉｒ)及び認証情報(［ＣＥＲＴ,］ＳＩＧ_Ｒ)を使用してＩＰｖ４ノード３００を認証する。このとき、ＮＡＴ−ＰＴノード１００は、受信されたＩＰｖ６パケットに含まれた発信地アドレスのプレフィックス(ｐｒｅｆｉｘ)とＩＰ変換情報に含まれたプレフィックスが一致する場合には、ＩＰｖ６パケットに含まれた発信地アドレスのプレフィックスを除外した残りのアドレス部分を使用して、ＩＰｖ４ノード３００に関する認証を実行する。
【００５５】
前記認証手続き(ステップＳ１３０)に関する説明は、認証対象となる各ノードが相手ノードのアドレス情報を使用して認証を実行しようとする場合に関するものであり、上述した内容により認証手続きが限定されるものではない。例えば、認証手続き(ステップＳ１３０)が認証対象ノードのアドレス情報を使用しない場合、各ノードは前記ＩＰヘッダー変換情報を使用せずに認証を行うことが可能である。
【００５６】
このような一連のプロセス(ステップＳ１３１〜ステップＳ１３７)を経てＮＡＴ−ＰＴノード１００とＩＰｖ４ノード３００との間の認証が完了される場合に、ＮＡＴ−ＰＴノード１００とＩＰｖ４ノード３００との間のＩＰｓｅｃ伝送モードが実行される(ステップＳ１４０)。
【００５７】
図３は、本発明の一の実施形態による終端間保安サービス提供のためにＮＡＴ−ＰＴサーバーからＮＡＴ−ＰＴノード側に伝送されるＩＰヘッダー変換情報に関するメッセージの構造を例示した図である。即ち、図３は、図２のステップ１１７を通じてＮＡＴ−ＰＴサーバー２００からＮＡＴ−ＰＴノード１００に伝達するＩＰヘッダー変換情報に関するメッセージ構造の例を示している。
【００５８】
図３に示すように、ＩＰヘッダー変換情報メッセージ１０は、メッセージタイプフィールド(ｍｓｇ−ｔｙｐｅ)(８ｂｉｔｓ)１１と、予備フィールド(ｒｅｓｅｒｖｅｄ)(８ｂｉｔｓ)１３と、ペイロード長さ情報フィールド(Ｐａｙｌｏａｄ ｌｅｎｇｔｈ)(１６ｂｉｔｓ)１５と、該当ＮＡＴ−ＰＴノード(例えば、ＩＰｖ６ノード)に割り当てられたＩＰｖ４アドレスフィールド(ＡｌｌｏｃａｔｅｄＩＰｖ４ａｄｄｒｅｓｓ)(３２ｂｉｔｓ)１７と、ＮＡＴ−ＰＴプレフィックス情報フィールド(ＮＡＴ−ＰＴｐｒｅｆｉｘ ｉｎｆｏｒｍａｔｉｏｎ)(９６ｂｉｔｓ)１９と、を含む。
【００５９】
図４は、本発明の一の実施形態による終端間保安サービス提供のためにＮＡＴ−ＰＴサーバーで管理するマッピングテーブルの構造を例示した図である。即ち、図４は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網でＩＰｓｅｃを使用して終端間保安サービスを提供するためにＮＡＴ−ＰＴサーバー２００に保存されたアドレスマッピングテーブル(ａｄｄｒｅｓｓ ｍａｐｐｉｎｇ ｔａｂｌｅ)２０の構造を例示している。
【００６０】
図４に示すように、アドレスマッピングテーブル２０は、ＮＡＴ−ＰＴノードのＩＰｖ６アドレスを保存するＩＰｖ６アドレス領域２１と、対応したＮＡＴ−ＰＴノードに割り当てられたＩＰｖ４アドレスを保存するＩＰｖ４アドレス領域２３と、該当セッションのＩＰ変換情報提供可否を表示するフラッグ領域２５と、を含む。変換情報提供可否表示フラッグ領域２５は、ＩＰｖ４アドレス割当情報を対応するＮＡＴ−ＰＴノードに伝達したか否かを示すための領域である。例えば、変換情報提供可否表示フラッグ領域２５に‘１’値が保存される場合は、該当セッションのＩＰ変換情報を対応したＮＡＴ−ＰＴノードに伝達したことを示し、変換情報提供可否表示フラッグ領域２５に‘０’値が保存される場合は、該当セッションのＩＰ変換情報を対応するＮＡＴ−ＰＴノードに伝達しなかったことを示す。
【００６１】
図４の例を参照すれば、ＮＡＴ−ＰＴサーバーは、ＩＰｖ６アドレスが‘Ａ１’であるＮＡＴ−ＰＴノード(ｎ１)にＩＰｖ４アドレス‘Ａ２’を割り当て、ＩＰｖ６アドレスが‘Ａ３’であるＮＡＴ−ＰＴノード(ｎ２)にＩＰｖ４アドレス‘Ａ４’を割り当て、ＮＡＴ−ＰＴノード(ｎ１)には、ＩＰ変換情報を伝達し、ＮＡＴ−ＰＴノード(ｎ２)には、ＩＰ変換情報を伝達しなかったことが分かる。
【００６２】
図５〜図７は、本発明の一の実施形態による終端間保安サービス提供のための保安交渉時にＮＡＴ−ＰＴサーバーで実行される処理過程を示したフローチャートである。特に、図５〜図７は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網でＩＰｓｅｃを使用して終端間保安サービスを提供するための保安交渉時に、ＮＡＴ−ＰＴサーバーで実行される処理過程を示している。
【００６３】
図５に示すように、ＮＡＴ−ＰＴサーバーが保安交渉のためのパケットを受信した場合(ステップＳ２１０)に、ＮＡＴ−ＰＴサーバーは、そのパケットの発信地がＮＡＴ−ＰＴノードであるかＩＰｖ４ノードであるかを判断する(ステップＳ２２０)。例えば、ＮＡＴ−ＰＴサーバーは、そのパケットの発信地アドレスを確認することで、そのパケットの発信地がＮＡＴ−ＰＴノードであるかそれともＩＰｖ４ノードであるかを判断することが好ましい。即ち、受信されたパケットの発信地アドレスがＩＰｖ６アドレスならば発信地がＮＡＴ−ＰＴノードであると判断し、受信されたパケットの発信地アドレスがＩＰｖ４アドレスならば発信地がＩＰｖ４ノードであると判断する。
【００６４】
該判断の結果、受信されたパケットの発信地がＮＡＴ−ＰＴノードである場合には、ＮＡＴ−ＰＴサーバーはＩＰｖ６処理過程(ステップＳ２３０)を実行し、受信されたパケットの発信地がＮＡＴ−ＰＴノードである場合には、ＮＡＴ−ＰＴサーバーはＩＰｖ４処理過程(ステップＳ２４０)を実行する。
【００６５】
前記過程(ステップＳ２３０及びステップＳ２４０)各々に関する具体的な処理過程について図６及び図７に例示されている。即ち、図６は、ＩＰｖ６処理過程(ステップＳ２３０)の例を示しており、図７は、ＩＰｖ４処理過程(ステップＳ２４０)の例を示している。
【００６６】
次に、図５及び図６を参照して、ＩＰｖ６処理過程(ステップＳ２３０)について説明する。
【００６７】
まず、ＮＡＴ−ＰＴサーバーは、図４のような構成を有するアドレスマッピングテーブルに該当ＮＡＴ−ＰＴノードのアドレス情報が存在するか否かを判断する(ステップＳ２３１)。即ち、ステップＳ２１０で受信されたＩＰｖ６パケットの発信地(ＮＡＴ−ＰＴノード)アドレスが前記アドレスマッピングテーブルに存在するか否かを判断する。
【００６８】
該判断の結果、そのアドレスマッピングテーブルに該当ＮＡＴ−ＰＴノードのアドレス情報が存在する場合は、ＮＡＴ−ＰＴサーバーは、受信されたパケット(ＩＰｖ６パケット)をＩＰｖ４パケットに変換する(ステップＳ２３７)。即ち、アドレスマッピングテーブルに保存された情報を使用して該当ＮＡＴ−ＰＴノードにＩＰｖ４アドレスを割り当て、ＩＰｖ４アドレスを使用して受信されたパケットのヘッダーを変換する。
【００６９】
次に、ＮＡＴ−ＰＴサーバーは、変換されたＩＰｖ４パケットを、受信されたパケットの受信地アドレスに対応するＩＰｖ４ノードに伝達する(ステップＳ２３９)。
【００７０】
一方、ステップＳ２３１の判断の結果、アドレスマッピングテーブルに該当ＮＡＴ−ＰＴノードのアドレス情報が存在しない場合には、ＮＡＴ−ＰＴサーバーは、該当ＮＡＴ−ＰＴノードにＩＰｖ４アドレスを割り当てる処理(ステップＳ２３３)と、そのマッピング情報(例えば、ＮＡＴ−ＰＴノードのＩＰｖ６アドレス及びＮＡＴ−ＰＴノードに割り当てられたＩＰｖ４アドレスとの間のマッピング情報)をアドレスマッピングテーブルに追加する処理(ステップＳ２３５)をさらに実行する。
【００７１】
以下に、図５及び図７を参照して、ＩＰｖ４処理過程(ステップＳ２４０)について説明する。
【００７２】
まず、ＮＡＴ−ＰＴサーバーは、ステップＳ２１０で受信されたＩＰｖ４パケットがＩＫＥペイロードパケットであり且つペイロードにＳＡ情報を含むか否かを判断する(ステップＳ２４１)。即ち、受信されたパケットがＩＰｖ６網の終端間保安交渉のためのパケットであるか否かを判断する。
【００７３】
該判断の結果、該当パケットが保安交渉のためのパケットである場合は、ＮＡＴ−ＰＴサーバーは、対応するＮＡＴ−ＰＴノードにＩＰヘッダー変換情報を提供したか否かを判断する(ステップＳ２４３)。即ち、ＮＡＴ−ＰＴサーバーは、ＩＰｖ４パケットを伝送したＩＰｖ４ノードと保安交渉中であるＮＡＴ−ＰＴノードにそのＮＡＴ−ＰＴノードのＩＰヘッダー変換情報を提供したか否かを判断する。
【００７４】
該判断の結果、該当ＮＡＴ−ＰＴノードにＩＰヘッダー変換情報を提供しなかった場合、ＮＡＴ−ＰＴサーバーは、該当ＮＡＴ−ＰＴノードにＩＰヘッダー変換情報を提供した(ステップＳ２４５)後に、前記パケット(ＩＰｖ４ パケット)をＩＰｖ６パケットに変換する(ステップＳ２４７)。即ち、ＮＡＴ−ＰＴサーバーに予め設定されたＮＡＴ−ＰＴプレフィックス(ｐｒｅｆｉｘ)値を使用して、前記パケット(ＩＰｖ４ パケット)の発信地アドレスをＩＰｖ６アドレスに変換し、アドレスマッピングテーブルに保存された情報を使用して、前記パケット(ＩＰｖ４ パケット)の受信地アドレスをＩＰｖ６アドレスに変換する。
【００７５】
そして、変換されたＩＰｖ６パケットを受信されたパケットの受信地アドレスに対応するＮＡＴ−ＰＴノードに伝達する(ステップＳ２４９)。
【００７６】
図８は、本発明の一の実施形態による終端間保安サービス提供のための保安交渉時にＮＡＴ−ＰＴノードで実行される処理過程を示したフローチャートである。特に、図８は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６ 網でＩＰｓｅｃを使用して終端間保安サービスを提供するための保安交渉時に、ＮＡＴ−ＰＴノードで実行される処理過程を示している。
【００７７】
図８に示すように、まず、ＮＡＴ−ＰＴノードは、ＨＤＲ及びＳＡ情報が含まれたＩＫＥペイロードを生成した後(ステップＳ３０５)に、そのＩＫＥペイロードをＮＡＴ−ＰＴサーバーに伝達する(ステップＳ３１０)。そして、ＮＡＴ−ＰＴサーバーからパケットが受信されると(ステップＳ３１５)、受信されたパケットがＩＰヘッダー変換情報であるか否かを確認し(ステップＳ３２０)、受信されたパケットがＩＰヘッダー変換情報である場合は、そのＩＰヘッダー変換情報を保存する(ステップＳ３２５)。
【００７８】
そして、ＮＡＴ−ＰＴノードは、受信されたパケットがＨＤＲ、ＳＡ情報を含むＩＫＥペイロードであるか否かを確認し(ステップＳ３３０)、該判断の結果、受信されたパケットがＨＤＲ、ＳＡ情報を含むＩＫＥペイロードである場合は、受信されたＨＤＲ、ＳＡ情報を処理する(ステップＳ３３５)。即ち、ＮＡＴ−ＰＴサーバーから伝達されたＨＤＲ、ＳＡ情報に基づいて暗号化情報(例えば、暗号化アルゴリズムなど)を設定する。
【００７９】
また、ＮＡＴ−ＰＴノードは、ＮＡＴ−ＰＴサーバーを通じて相手ノード(例えば、ＩＰｖ４ノード)と暗号化キーを共有するためにＨＤＲ、ＫＥ及び臨時乱数値(Ｎｉ)が含まれたＩＫＥペイロードを生成した後(ステップＳ３４０)に、そのＩＫＥペイロードをＮＡＴ−ＰＴサーバーに伝達する(ステップＳ３４５)。そして、ＮＡＴ−ＰＴノードは、ＮＡＴ−ＰＴサーバーからそれに関する応答(例えば、ＨＤＲ、ＫＥ及び臨時乱数値(Ｎｒ)を含むＩＫＥペイロード)を受信し(ステップＳ３５０)、受信されたＨＤＲ、ＫＥ及び臨時乱数値(Ｎｒ)情報を処理する(ステップＳ３５５)。
【００８０】
一方、ＮＡＴ−ＰＴノードは、相手ノードとの認証を実行するために認証情報を含むＩＫＥペイロードを生成した後(ステップＳ３６０)、そのＩＫＥペイロードをＮＡＴ−ＰＴサーバーに伝達する(ステップＳ３６５)。そして、ＮＡＴ−ＰＴサーバーからそれに関する応答を受信し(ステップＳ３７０)、その応答メッセージを処理した後に相手ノードを認証する(ステップＳ３７５)。例えば、ＮＡＴ−ＰＴノードは、アドレス情報(ＩＤｉｉ)と認証情報(［ＣＥＲＴ,］ＳＩＧ_I)を生成し、相手ノードと共有されたキー情報(ＫＥ)を使用して前記生成情報とＨＤＲ情報を一緒に暗号化した後に、その情報を含むＩＫＥペイロードを生成してＮＡＴ−ＰＴサーバーに伝達する。そして、ＮＡＴ−ＰＴノードは、ＮＡＴ−ＰＴサーバーを通じて相手ノードから暗号化されたＨＤＲ＊、ＩＤｉｒ、［ＣＥＲＴ,］ＳＩＧ_Ｒを含むＩＫＥペイロードを受信してその暗号化されたＨＤＲ＊、ＩＤｉｒ、［ＣＥＲＴ,］ＳＩＧ_Ｒを処理した後に相手ノードを認証する。
【００８１】
図９及び図１０は、本発明の一実施の形態による終端間保安伝送手続きの例を示した図である。特に、図９及び図１０は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網でＡＨによるＩＰｓｅｃ伝送モードを使用してＮＡＴ−ＰＴノード１００とＩＰｖ４ノード３００との間の保安伝送を実行する手続きを例示している。ここでは、ＮＡＴ−ＰＴノード１００のＩＰｖ６アドレスは‘Ａ１’であり、ＮＡＴ−ＰＴプレフィックス(ｐｒｅｆｉｘ)は‘ｐ’であり、ＩＰｖ４ノード３００のＩＰｖ４アドレスは‘Ｂ’であると仮定する。そして、図９は、ＮＡＴ−ＰＴノード１００がＡＨによるＩＰｓｅｃ伝送モードを使用してパケットデータを伝送する手続きを例示し、図１０は、ＮＡＴ−ＰＴノード１００がＡＨによるＩＰｓｅｃ伝送モードを使用して受信されたパケットデータを検証（verify）する手続きを例示している。
【００８２】
図９に示すように、ＮＡＴ−ＰＴノード１００は、保安交渉過程(例えば、図１及び図２のステップＳ１１０及び図８のステップＳ３２５)で予め保存されたＩＰヘッダー変換情報に基づいて、改竄チェック値(Ｉｎｔｅｇｒｉｔｙ Ｃｈｅｃｋ Ｖａｌｕｅ：以下、“ＩＣＶ”と称する。)を計算する(ステップＳ４０５)。このとき、‘ＩＣＶ’は、データフレームの伝送中におけるフレームの変更可否を認証するための値として、ＩＰｖ４ヘッダーフィールドの中で変わらなかった値を使用して計算する。ＩＣＶ計算に含まれるＩＰｖ４ヘッダーフィールドに関する具体的な説明は、図１１を参照して説明する。
【００８３】
ＩＣＶを計算した後に、ＮＡＴ−ＰＴノード１００は、そのＩＣＶを使用してＩＰｓｅｃ ＡＨが適用されたＩＰｖ６パケットを生成した後(ステップＳ４１０)、ＮＡＴ−ＰＴサーバー２００に伝達する(ステップＳ４１５)。このとき、ＩＰｓｅｃ ＡＨが適用されたＩＰｖ６パケットは、ＡＨヘッダーを含むＩＰｖ６パケットとしてＡＨによるＩＰｓｅｃ伝送モードを使用して伝送されるパケットを意味し、その例が図９中の符号４１に例示されている。この符号４１を参照すれば、ステップＳ４１０で生成されたＩＰｓｅｃ ＡＨが適用されたＩＰｖ６パケットは、発信地ＩＰｖ６アドレス(Ａ１)と受信地ＩＰｖ６アドレス(ｐ＋Ｂ)を含むＩＰｖ６ヘッダーと、ＳＰＩ(Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒ Ｉｎｄｅｘ)と暗号化されたＩＣＶ(ＩＣＶ＊)を含むＡＨヘッダーと、を含む。
【００８４】
ＩＰｓｅｃ ＡＨが適用されたＩＰｖ６パケットを受信したＮＡＴ−ＰＴサーバー２００は、予め保存されたアドレスマッピングテーブルに基づいて、ＮＡＴ−ＰＴノード１００に関するＩＰｖ４アドレスを割り当てる(ステップＳ４２０)。例えば、図４に示されたように、ＩＰｖ６アドレスが‘Ａ１’である場合、ＩＰｖ４アドレス‘Ａ２’がマッピングされているので、ＮＡＴ−ＰＴサーバー２００は、ＮＡＴ−ＰＴノード１００にＩＰｖ４アドレス(Ａ２)を割り当てる。
【００８５】
そして、ＮＡＴ−ＰＴサーバー２００は、そのＩＰｖ４アドレス(Ａ２)を使用してＩＰｖ６パケットのアドレスを変換してＩＰｖ４パケットを生成し(ステップＳ４２５)、そのＩＰｖ４パケットをＩＰｖ４ノード３００に伝達する(ステップＳ４３０)。例えば、ＮＡＴ−ＰＴサーバー２００は、発信地のＩＰｖ６アドレス(Ａ１)をステップＳ４２０で割り当てられたＩＰｖ４アドレス(Ａ２)に変換し、受信地のＩＰｖ６アドレス(ｐ＋Ｂ)からＮＡＴ−ＰＴプレフィックス(ｐ)を除外した後にＩＰｖ４パケットに変換する。ステップＳ４３０により伝達されるＩＰｖ４パケットの例が図９中の符号４３に例示されている。
【００８６】
即ち、ＡＨによるＩＰｓｅｃ伝送モードを使用してＩＰｖ４ノード３００にパケットデータを伝送するために、本実施形態のＮＡＴ−ＰＴノード１００は、予め保存されたＩＰ変換ヘッダー情報(即ち、ＮＡＴ−ＰＴノード１００に割り当てられたＩＰｖ４アドレス情報)を使用して、ＡＨヘッダーに含まれるＩＣＶ値を計算する。
【００８７】
一方、図１０を参照すれば、ＮＡＴ−ＰＴノード１００がＡＨによるＩＰｓｅｃ伝送モードを使用してパケットデータを受信してそのパケットデータを検証する過程は、次の通りである。
【００８８】
まず、ＩＰｖ４ノード３００は、ＩＰｓｅｃ ＡＨが適用されたＩＰｖ４パケットを生成し(ステップＳ５０５)、ＮＡＴ−ＰＴサーバー２００に伝送する(ステップＳ５１０)。ＩＰｓｅｃ ＡＨが適用されたＩＰｖ４パケットは、図９においてのＩＰｓｅｃ ＡＨが適用されたＩＰｖ６パケットと同様に、ＡＨヘッダーを含むＩＰｖ４パケットとしてＡＨによるＩＰｓｅｃ伝送モードを使用して伝送されるＩＰｖ４パケットを意味する。そして、その例が図１０中の符号５１に例示されている。この符号５１を参照すれば、ステップＳ５０５で生成されたＩＰｓｅｃ ＡＨが適用されたＩＰｖ４パケットは、発信地ＩＰｖ４アドレス(Ｂ)と受信地ＩＰｖ４アドレス(Ａ２)を含むＩＰｖ４ヘッダーと、ＳＰＩとＩＣＶを含むＡＨヘッダーと、を含む。
【００８９】
このＩＰｓｅｃ ＡＨが適用されたＩＰｖ４パケットを受信したＮＡＴ−ＰＴサーバー２００は、予め保存されたアドレスマッピングテーブルからＩＰｖ４パケットに含まれた受信地ＩＰｖ４アドレス(Ａ２)にマッピングされたＩＰｖ６アドレスを検出する(ステップＳ５１５)。例えば、図４に示されたように、ＩＰｖ４アドレスが‘Ａ２’である場合、ＩＰｖ６アドレス‘Ａ１’がマッピングされているので、ＮＡＴ−ＰＴサーバー２００は、そのＩＰｖ６アドレス(Ａ１)を検出する。
【００９０】
そして、ＮＡＴ−ＰＴサーバー２００は、そのＩＰｖ６アドレス(Ａ１)を使用してＩＰｖ４パケットのアドレスを変換してＩＰｖ６パケットを生成し(ステップＳ５２０)、そのＩＰｖ６パケットをＮＡＴ−ＰＴノード１００に伝達する(ステップＳ５２５)。例えば、ＮＡＴ−ＰＴサーバー２００は、発信地のＩＰｖ４アドレス(Ｂ)にＮＡＴ−ＰＴプレフィックス(ｐ)を追加してＩＰｖ６アドレス(ｐ＋Ｂ)に変換し、ステップＳ５１５で検出されたＩＰｖ６アドレス(Ａ１)を使用して受信地のＩＰｖ４アドレス(Ａ２)を変換する。ステップＳ５２５により伝達されるＩＰｖ６パケットの例が図１０中の符号５３に例示されている。
【００９１】
ＩＰｖ６パケットを受信したＮＡＴ−ＰＴ１００は、その受信されたＩＰｖ６パケットを検証するために、予め保存されたＩＰヘッダー変換情報に基づいてＩＣＶを計算する(ステップＳ５３０)。この‘ＩＣＶ’に関する具体的な説明は、図１１を参照して説明する。
【００９２】
そして、ステップＳ５３０でＩＣＶを計算した場合、ＮＡＴ−ＰＴノード１００は、そのＩＣＶを使用して、ＩＰｓｅｃ ＡＨが適用されたＩＰｖ６パケットを検証する(ステップＳ５３５)。即ち、ＮＡＴ−ＰＴノード１００は、前記計算されたＩＣＶ値とＩＰｖ６パケットのＡＨヘッダーに含まれたＩＣＶ値とを比較して、ＩＰｖ６パケットを検証する。
【００９３】
図１１は、本発明の一の実施形態による終端間保安伝送手続きの実行時に認証のために必要なＩＣＶを説明するための図である。図１１は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網でＡＨによるＩＰｓｅｃ伝送を使用して保安伝送を実行する場合に、終端間認証のために必要なＩＣＶ計算時に必要な値を例示している。
【００９４】
図１１に示すように、ＩＣＶ計算に必要なＩＰｖ４ヘッダーフィールドは、ＩＰバージョンを示すバージョン(ｖｅｒｓｉｏｎ)フィールド６１と、ヘッダーの長さを示すヘッダー長さ(ｈｅａｄｅｒ ｌｅｎｇｔｈ)フィールド６２と、全体長さ(ｔｏｔａｌ ｌｅｎｇｔｈ)フィールド６３と、プロトコル(ｐｒｏｔｏｃｏｌ)フィールド６４と、識別子(ｉｄｅｎｔｉｆｉｃａｔｉｏｎ)フィールド６５と、発信地アドレス(ｓｏｕｒｃｅ ａｄｄｒｅｓｓ)フィールド６６と、受信地アドレス(ｄｅｓｔｉｎａｔｉｏｎ ａｄｄｒｅｓｓ)フィールド６７と、を含む。
【００９５】
ＮＡＴ−ＰＴノードＩＰｖ６網において、ＡＨによるＩＰｓｅｃ伝送を使用して保安伝送を実行するためには、ＮＡＴ−ＰＴサーバーから受信されたＩＰヘッダー変換情報を使用して前記フィールド各々の値を別に設定して保存していなければならない。これは、ＡＨによるＩＰｓｅｃ伝送モードでＮＡＴ−ＰＴノードがＩＰｓｅｃ ＡＨが適用されたパケットを生成する、或いは、ＩＰｓｅｃ ＡＨが適用されたパケットを検証するためであって、ＩＰｖ４ノードとの通信を実行するためにＮＡＴ−ＰＴノードのアドレスがＩＰｖ４アドレスに変更されるからである。
【００９６】
図１１には、ＡＨによるＩＰｓｅｃ伝送を使用して保安伝送を実行するために前記フィールド値についてＮＡＴ−ＰＴノードに設定された情報が例示されている。
【００９７】
図１１に示すように、バージョンフィールド６１には‘４’が保存され、ヘッダー長さ(ｈｅａｄｅｒ ｌｅｎｇｔｈ)フィールド６２にはＩＰｖ４ヘッダーの長さ情報が保存され、全体長さ(ｔｏｔａｌ ｌｅｎｇｔｈ)フィールド６３にはペイロード長さ(ｐａｙｌｏａｄ ｌｅｎｇｔｈ)に‘２０’を加算した値が保存される。その理由は、ＩＰｖ６ヘッダーフィールドのペイロード長さはＩＰデータグラムのサイズのみを示すからである。即ち、ＩＰｖ４ペイロードの全体長さを示すためには、ＩＰｖ４ヘッダーの長さである‘２０’を加算する必要がある。
【００９８】
また、プロトコル(ｐｒｏｔｏｃｏｌ)フィールド６４にはＡＨプロトコル値である‘５１’が保存される。一方、識別子(ｉｄｅｎｔｉｆｉｃａｔｉｏｎ)フィールド６５にはパケットデータのフラグメンテーション(ｆｒａｇｍｅｎｔａｔｉｏｎ)使用可否による情報を保存する。即ち、ＩＰｖ６ヘッダーにフラグメンテーションヘッダーが存在する場合は、そのフラグメンテーションの識別子値を使用し、ＩＰｖ６ヘッダーにフラグメンテーションヘッダーが存在しない場合は、識別子の値として‘０’値を使用する。これは、ＮＡＴ−ＰＴサーバーで識別子値を予測できないからである。即ち、ＮＡＴ−ＰＴサーバーで識別子値を予測できないので、ＩＰｖ６ヘッダーにフラグメンテーションヘッダーが存在する場合は、そのフラグメンテーションの識別子値をそのまま使用し、そうではない場合はフラグメンテーションを許容しない意味として識別子値を‘ ０’に設定する。
【００９９】
発信地アドレス(ｓｏｕｒｃｅ ａｄｄｒｅｓｓ)フィールド６６と、受信地アドレス(ｄｅｓｔｉｎａｔｉｏｎ ａｄｄｒｅｓｓ)フィールド６７には、ＡＨヘッダーが含まれたパケットデータの発信地及び受信地アドレスに関するＩＰｖ４アドレスが保存される。
【０１００】
もし、ＮＡＴ−ＰＴノードからＩＰｖ４ノードに伝送されるパケットデータ(ＩＰｓｅｃ ＡＨが適用されたＩＰｖ６パケット)に含まれるＩＣＶを計算するためには、発信地アドレスフィールド６６にＩＰヘッダー変換情報のＩＰｖ４アドレスを保存する。即ち、ＮＡＴ−ＰＴノードがＮＡＴ−ＰＴサーバーから割当を受けたＩＰｖ４アドレスを保存する。そして、受信地アドレスフィールド６７には、ＩＰｖ４ノードのアドレス(即ち、ＮＡＴ−ＰＴプレフィックスが除去されたＩＰｖ４アドレス)を保存する。
【０１０１】
一方、ＮＡＴ−ＰＴノードがＩＰｖ４ノードから受信したパケットデータの検証のためのＩＣＶを計算する際には、発信地アドレスフィールド６６に前記受信したパケットデータに含まれた発信地アドレス(ＩＰｖ４ノードのＩＰｖ６アドレス)からＮＡＴ−ＰＴプレフィックスを除外した値を保存する。そして、受信地アドレスフィールド６７にはＩＰヘッダー変換情報のＩＰｖ４アドレスを保存する。即ち、ＮＡＴ−ＰＴノードがＮＡＴ−ＰＴサーバーから割当を受けたＩＰｖ４アドレスを保存する。
【０１０２】
図１２〜図１４は、本発明の一の実施形態による終端間保安伝送手続きの実行時にＮＡＴ−ＰＴサーバーで実行される処理過程を示したフローチャートである。特に、図１２〜図１４は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網において、ＡＨによるＩＰｓｅｃ伝送を使用して保安伝送を実行する際にＮＡＴ−ＰＴサーバーで実行される処理過程を示した図である。
【０１０３】
図１２に示すように、ＩＰｓｅｃ ＡＨが適用されたパケットを受信した場合(ステップＳ６１０)、ＮＡＴ−ＰＴサーバーは、そのパケットの種類を判断する(ステップＳ６２０)。例えば、ＮＡＴ−ＰＴサーバーは、そのパケットの発信地アドレスを確認してそのパケットの種類を判断することが好ましい。
【０１０４】
該判断の結果、受信されたパケットがＩＰｖ６である場合には、ＮＡＴ−ＰＴサーバーはＩＰｖ６パケット変換過程(ステップＳ６３０)を実行し、受信されたパケットがＩＰｖ４である場合には、ＮＡＴ−ＰＴサーバーはＩＰｖ４パケット変換過程(ステップＳ６４０)を実行する。
【０１０５】
これらステップＳ６３０及びステップＳ６４０の各々についての具体的な処理内容は、図１３及び図１４に例示されている。即ち、図１３は、ＩＰｖ６パケット変換処理(ステップＳ６３０)の例を示しており、図１４は、ＩＰｖ４パケット変換処理(ステップＳ６４０)の例を示している。
【０１０６】
図１３を参照すれば、ＩＰｖ６パケット変換処理(ステップＳ６３０)は、次の通りである。
【０１０７】
ＩＰｓｅｃ ＡＨが適用されたＩＰｖ６パケットを受信したＮＡＴ−ＰＴサーバーは、そのＩＰｖ６パケットにフラグメンテーションヘッダーが存在するか否かを確認する(ステップＳ６３１)。該確認の結果、フラグメンテーションヘッダーが存在する場合は、そのフラグメンテーションヘッダーフィールドの識別値を使用してＩＰｖ４ヘッダーフィールドの識別値を選定し(ステップＳ６３３)、該確認の結果、フラグメンテーションヘッダーが存在しない場合には、ＩＰｖ４ヘッダーフィールドの識別値を‘０’に設定する(ステップＳ６３５)。
【０１０８】
そして、ＮＡＴ−ＰＴサーバーは、予め保存されたアドレスマッピングテーブルに基づいてＩＰｖ６パケットをＩＰｖ４パケットに変換し(ステップＳ６３７)、そのＩＰｖ４パケットをＩＰｖ４ノードに伝達する(ステップＳ６３９)。
【０１０９】
ここで、上記ステップＳ６３７及びステップＳ６３９の過程は、それぞれ、図９に例示されたステップＳ４２５及びステップＳ４３０の過程と同様である。
【０１１０】
図１４を参照すれば、ＩＰｖ４パケット変換過程(ステップＳ６４０)は、以下の通りである。
【０１１１】
ＩＰｓｅｃ ＡＨが適用されたＩＰｖ４パケットを受信したＮＡＴ−ＰＴサーバーは、そのＩＰｖ４ヘッダーフィールドの識別値を使用してＩＰｖ６フラグメンテーションヘッダーを構成する(ステップＳ６４１)。もしも、ＩＰｖ４ヘッダーフィールドの識別値が‘０’である場合には、ＩＰｖ６フラグメンテーションヘッダーがないと判断する。
【０１１２】
そして、ＮＡＴ−ＰＴサーバーは、予め保存されたアドレスマッピングテーブルに基づいて、ＩＰｖ４パケットをＩＰｖ６パケットに変換し(ステップＳ６４３)、そのＩＰｖ６パケットをＮＡＴ−ＰＴノードに伝達する(ステップＳ６４５)。
【０１１３】
ここで、上記ステップＳ６４３及びステップＳ６４５の過程は、それぞれ、図１０に例示されたステップＳ５２０及びステップＳ５２５の過程と同様である。
【０１１４】
図１５は、本発明の一の実施形態による終端間保安伝送手続きの実行時にＮＡＴ−ＰＴノードで実行される処理過程を示したフローチャートである。特に、図１５は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網において、ＡＨによるＩＰｓｅｃ伝送を用いて保安伝送を実行する際にＮＡＴ−ＰＴノードで実行される処理過程を示した図である。
【０１１５】
図１５に示すように、ＮＡＴ−ＰＴノードがＡＨによるＩＰｓｅｃ伝送を用いてパケットを伝送しようとする場合に、ＮＡＴ−ＰＴノードは、そのパケットが伝送される受信地によって相互に異なるＩＣＶを計算し、そのＩＣＶを使用してＩＰｓｅｃ ＡＨを生成する。
【０１１６】
そのために、ＩＰｓｅｃ ＡＨパケットの生成が開始される場合(ステップＳ７０５)、ＮＡＴ−ＰＴノードは、そのＩＰｓｅｃ ＡＨパケットが伝送される受信地アドレスを検査し(ステップＳ７１０)、その結果によって、ＩＰｓｅｃ ＡＨパケットの受信地がＩＰｖ４ノードであるか否かを判断する(ステップＳ７１５)。該判断の結果、受信地がＩＰｖ４ノードである場合は、ＮＡＴ−ＰＴノードは、ＩＰヘッダー変換情報(即ち、ＮＡＴ−ＰＴノードのＩＰｖ４アドレス)を使用してＩＣＶを計算し(ステップＳ７２０)、そうではない場合は、ＮＡＴ−ＰＴノードのＩＰｖ６アドレスを使用してＩＣＶを計算する(ステップＳ７２５)。
【０１１７】
そして、ＮＡＴ−ＰＴノードは、前記過程(ステップＳ７２０又はステップＳ７２５)で計算されたＩＣＶを使用してＩＰｓｅｃ ＡＨパケットを生成した後(ステップＳ７３０)に、そのＩＰｓｅｃ ＡＨパケットをＮＡＴ−ＰＴサーバーに伝達する(ステップＳ７３５)。このとき、ステップＳ７３０で生成されたＩＰｓｅｃ ＡＨパケットの例は、図９の参照符号４１に例示されている。
【０１１８】
一方、ＮＡＴ−ＰＴノードがＩＰｓｅｃ ＡＨパケットを受信した場合(ステップＳ７４０)には、ＮＡＴ−ＰＴノードは、そのＩＰｓｅｃ ＡＨパケットの発信地アドレスを検査し(ステップＳ７４５)、その結果によって、ＩＰｓｅｃ ＡＨパケットの発信地がＩＰｖ４ノードであるか否かを判断する(ステップＳ７５０)。該判断の結果、発信地がＩＰｖ４ノードである場合は、ＩＰヘッダー変換情報(即ち、ＮＡＴ−ＰＴノードのＩＰｖ４アドレス)を使用してＩＣＶを計算し(ステップＳ７５５)、そうではない場合は、受信されたパケットのＩＰｖ６アドレスを使用してＩＣＶを計算する(ステップＳ７６０)。
【０１１９】
そして、ＮＡＴ−ＰＴノードは、前記過程(ステップＳ７５５又はステップＳ７６０)で計算されたＩＣＶを使用して受信されたＩＰｓｅｃ ＡＨパケットを検証する(ステップＳ７６５)。
【０１２０】
図１６及び図１７は、本発明の他の実施の形態による終端間保安伝送手続きの例を示した図である。特に、図１６及び図１７は、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網において、ＥＳＰによるＩＰｓｅｃ伝送を使用してＮＡＴ−ＰＴノード１００とＩＰｖ４ノード３００との間の保安伝送を実行する手続きを例示している。ここで、ＮＡＴ−ＰＴノード１００のＩＰｖ６アドレスは、‘Ａ１’であり、ＮＡＴ−ＰＴプレフィックス(ｐｒｅｆｉｘ)は‘ｐ’であり、ＩＰｖ４ノード３００のＩＰｖ４アドレスは‘Ｂ’であると仮定する。そして、図１６は、ＮＡＴ−ＰＴノード１００がＥＳＰによるＩＰｓｅｃ伝送モードを使用してパケットデータを伝送する手続きを例示し、図１７は、ＮＡＴ−ＰＴノード１００がＥＳＰによるＩＰｓｅｃ伝送モードを使用して受信されたパケットデータを検証する手続きを例示している。
【０１２１】
ＥＳＰによるＩＰｓｅｃ伝送モードの場合、パケットデータを暗号化して伝送し、そのパケットデータに含まれたＴＣＰ/ＵＤＰチェックサム(ＮＡＴ−ＰＴノードのＩＰｖ６アドレス情報を含む)も一緒に暗号化して伝送する。したがって、ＮＡＴ−ＰＴサーバーを通じてその暗号化されたパケットデータを受信したＩＰｖ４ノードがそのパケットデータを解読してＴＣＰ/ＵＤＰチェックサムを確認する場合に、認証に失敗する結果をもたらす。即ち、ＴＣＰ/ＵＤＰチェックサムにはＮＡＴ−ＰＴノードのＩＰｖ６の情報が含まれており、ＩＰｖ４が受信したパケットデータはＮＡＴ−ＰＴサーバーでアドレス変換された発信地情報が含まれているので、発信地アドレス情報の不一致により、認証に失敗することになる。
【０１２２】
したがって、本実施形態では、ＥＳＰによるＩＰｓｅｃ伝送モードにより保安伝送を実行しようとする場合には、ＮＡＴ−ＰＴノードがＮＡＴ−ＰＴサーバーから伝達されたＩＰヘッダー変換情報を使用してＴＣＰ/ＵＤＰチェックサムを先に予測して、その予測された結果を用いてＩＰｓｅｃ ＥＳＰパケットの生成及び認証を実行する。図１６及び図１７は、このような一連の過程を例示している。
【０１２３】
図１６に示すように、ＮＡＴ−ＰＴノード１００は、保安交渉過程(例えば、図１及び図２のステップＳ１１０及び図８のステップＳ３２５)で予め保存されたＩＰヘッダー変換情報に基づいてＴＣＰ/ＵＤＰチェックサムを予測計算した後(ステップＳ７０５)に、その予測計算されたＴＣＰ/ＵＤＰチェックサムを使用してＥＳＰペイロードを生成する(ステップＳ７１０)。そして、ＮＡＴ−ＰＴノード１００は、そのＥＳＰペイロードを含むＩＰｖ６パケットを生成した後にＮＡＴ−ＰＴサーバー２００に伝達する(ステップＳ７１５)。ここで、ＥＳＰペイロードを含むＩＰｖ６パケットは、ＥＳＰによるＩＰｓｅｃ伝送モードを使用して伝送されるパケットを意味し、その例が図１６中の符号７１に例示されている。図１６中の符号７１を参照すれば、ＥＳＰペイロードを含むＩＰｖ６パケットは、発信地ＩＰｖ６アドレス(Ａ１)と受信地ＩＰｖ６アドレス(ｐ＋Ｂ)を含むＩＰｖ６ヘッダーと、暗号化されたＴＣＰ/ＵＤＰ ＨＤＲ＊及びデータを含むＥＳＰペイロードと、を含む。
【０１２４】
ＥＳＰペイロードを含むＩＰｖ６パケットを受信したＮＡＴ−ＰＴサーバー２００は、予め保存されたアドレスマッピングテーブルに基づいて、ＮＡＴ−ＰＴノード１００に関するＩＰｖ４アドレス(Ａ２)を割り当てる(ステップＳ７２０)。そして、ＮＡＴ−ＰＴサーバー２００は、そのＩＰｖ４アドレス(Ａ２)を使用してＩＰｖ６パケットのアドレスを変換してＩＰｖ４パケットを生成し(ステップＳ７２５)、そのＩＰｖ４パケットをＩＰｖ４ノード３００に伝達する(ステップＳ７３０)。例えば、ＮＡＴ−ＰＴサーバー２００は、発信地のＩＰｖ６アドレス(Ａ１)をステップＳ７２０で割り当てられたＩＰｖ４アドレス(Ａ２)に変換し、受信地のＩＰｖ６アドレス(ｐ＋Ｂ)からＮＡＴ−ＰＴプレフィックス(ｐ)を除外した後に、ＩＰｖ４パケットに変換する。ステップＳ７３０により伝達されるＩＰｖ４パケットの例が図中の符号‘７３’に例示されている。
【０１２５】
一方、図１７を参照すれば、ＮＡＴ−ＰＴノード１００がＥＳＰによるＩＰｓｅｃ伝送モードを使用してパケットデータを受信してそのパケットデータを検証する過程は、次の通りである。
【０１２６】
まず、ＩＰｖ４ノード３００は、ＩＰｓｅｃ ＥＳＰが適用されたＩＰｖ４パケットを生成してＮＡＴ−ＰＴサーバー２００に伝送する(ステップＳ８０５)。ＩＰｓｅｃ ＥＳＰが適用されたＩＰｖ４パケットは、図１６においてＩＰｓｅｃ ＥＳＰが適用されたＩＰｖ６パケットに関する説明と同様であり、ＥＳＰペイロードを含むＩＰｖ４パケットとしてＥＳＰによるＩＰｓｅｃ伝送モードを使用して伝送されるＩＰｖ４パケットを意味する。そして、その例が図１７中の符号８１に例示されている。図中の符号８１を参照すれば、ステップＳ８０５過程で生成されたＩＰｓｅｃ ＥＳＰが適用されたＩＰｖ４ パケットは、発信地ＩＰｖ４アドレス(Ｂ)と受信地ＩＰｖ４アドレス(Ａ２)を含むＩＰｖ４ヘッダーと、暗号化されたＴＣＰ/ＵＤＰ ＨＤＲ＊及びデータを含むＥＳＰペイロードと、を含む。
【０１２７】
ＩＰｓｅｃ ＥＳＰが適用されたＩＰｖ４パケットを受信したＮＡＴ−ＰＴサーバー２００は、予め保存されたアドレスマッピングテーブルからＩＰｖ４パケットに含まれた受信地ＩＰｖ４アドレス(Ａ２)にマッピングされたＩＰｖ６アドレスを検出する(ステップＳ８１０)。例えば、図４に例示されたように、ＩＰｖ４アドレスが‘Ａ２’である場合、ＩＰｖ６アドレス‘Ａ１’がマッピングされているので、ＮＡＴ−ＰＴサーバー２００は、そのＩＰｖ６アドレス(Ａ１)を検出する。
【０１２８】
そして、ＮＡＴ−ＰＴサーバー２００は、そのＩＰｖ６アドレス(Ａ１)を使用してＩＰｖ４パケットのアドレスを変換してＩＰｖ６パケットを生成し(ステップＳ８１５)、そのＩＰｖ６パケットをＮＡＴ−ＰＴノード１００に伝達する(ステップＳ８２０)。例えば、ＮＡＴ−ＰＴサーバー２００は、発信地のＩＰｖ４アドレス(Ｂ)にＮＡＴ−ＰＴプレフィックス(ｐ)を追加してＩＰｖ６アドレス(ｐ＋Ｂ)に変換し、ステップＳ８１０で検出されたＩＰｖ６アドレス(Ａ１)を使用して受信地のＩＰｖ４アドレス(Ａ２)を変換する。ステップＳ８２０により伝達されるＩＰｖ６パケットの例が図１７中の符号‘８３’に例示されている。
【０１２９】
前記ＩＰｖ６パケットを受信したＮＡＴ−ＰＴ１００は、その受信されたＩＰｖ６パケットを検証するために、予め保存されたＩＰヘッダー変換情報に基づいてＴＣＰ/ＵＤＰチェックサムを計算する(ステップＳ８２５)。
【０１３０】
そして、ＮＡＴ−ＰＴ１００は、そのＴＣＰ/ＵＤＰチェックサムを使用して、ステップＳ８２０の過程で受信されたＩＰｖ６パケットを検証する(ステップＳ８３０)。即ち、ＮＡＴ−ＰＴ１００は、その計算されたＴＣＰ/ＵＤＰチェックサムとＩＰｖ６パケットに含まれたＴＣＰ/ＵＤＰチェックサムを比較して、ＩＰｖ６パケットを検証する。
【０１３１】
本発明は、アドレス変換方法を使用する通信網において、アドレス情報を使用した保安サービスを提供する方法に関するものであって、本発明の詳細な説明では、ＮＡＴ−ＰＴ機能を有するＩＰｖ６網において、ＩＰｓｅｃを使用した終端間保安サービス提供する方法に関する例を説明した。しかしながら、本発明は、上述した詳細な説明の内容に限定されるものではない。
【０１３２】
以上、添付の図面を参照しながら本発明の好適な実施の形態について説明したが、本発明は上述の具体例に限定されるものではない。当業者であれば、特許請求の範囲に記載された範囲及び該記載と均等なものの範囲内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても本発明の技術的範囲に属するものと了解されるべきである。
【図面の簡単な説明】
【０１３３】
【図１】本発明の一の実施形態による終端間保安サービス提供方法に関する処理フローチャートである。
【図２】本発明の一の実施形態による終端間保安サービス提供のためにノード間でデータが伝送される手続きを例示した図である。
【図３】本発明の一の実施形態による終端間保安サービス提供のためにＮＡＴ−ＰＴサーバーからＮＡＴ−ＰＴノード側に伝送されるＩＰヘッダー変換情報に関するメッセージの構造を例示した図である。
【図４】本発明の一の実施形態による終端間保安サービス提供のためにＮＡＴ−ＰＴサーバーで管理するマッピングテーブルの構造を例示した図である。
【図５】本発明の一の実施形態による終端間保安サービス提供のための保安交渉時にＮＡＴ−ＰＴサーバーで実行される処理過程を示した図である。
【図６】本発明の一の実施形態による終端間保安サービス提供のための保安交渉時にＮＡＴ−ＰＴサーバーで実行される処理過程を示した図である。
【図７】本発明の一の実施形態による終端間保安サービス提供のための保安交渉時にＮＡＴ−ＰＴサーバーで実行される処理過程を示した図である。
【図８】本発明の一の実施形態による終端間保安サービス提供のための保安交渉時にＮＡＴ−ＰＴノードで実行される処理過程を示した図である。
【図９】本発明の一の実施形態による終端間保安伝送手続きの例を示した図である。
【図１０】本発明の一の実施形態による終端間保安伝送手続きの例を示した図である。
【図１１】本発明の一の実施形態による終端間保安伝送手続きを実行する際に認証のために必要なＩＣＶを説明するための図である。
【図１２】本発明の一の実施形態による終端間保安伝送手続きの実行時にＮＡＴ−ＰＴサーバーで実行される処理過程を示した図である。
【図１３】本発明の一の実施形態による終端間保安伝送手続きの実行時にＮＡＴ−ＰＴサーバーで実行される処理過程を示した図である。
【図１４】本発明の一の実施形態による終端間保安伝送手続きの実行時にＮＡＴ−ＰＴサーバーで実行される処理過程を示した図である。
【図１５】本発明の一の実施形態による終端間保安伝送手続きの実行時にＮＡＴ−ＰＴノードで実行される処理過程を示した図である。
【図１６】本発明の他の実施形態による終端間保安伝送手続きの例を示した図である。
【図１７】本発明の他の実施形態による終端間保安伝送手続きの例を示した図である。
【符号の説明】
【０１３４】
１０  ＩＰヘッダー変換情報メッセージ
２０  アドレスマッピングテーブル
１００  ＮＡＴ−ＰＴノード
２００  ＮＡＴ−ＰＴサーバー
３００  ＩＰｖ４ノード
【図１】
2006238089.tif 000003
【図２】
2006238089.tif 000004
【図３】
2006238089.tif 000005
【図４】
2006238089.tif 000006
【図５】
2006238089.tif 000007
【図６】
2006238089.tif 000008
【図７】
2006238089.tif 000009
【図８】
2006238089.tif 000010
【図９】
2006238089.tif 000011
【図１０】
2006238089.tif 000012
【図１１】
2006238089.tif 000013
【図１２】
2006238089.tif 000014
【図１３】
2006238089.tif 000015
【図１４】
2006238089.tif 000016
【図１５】
2006238089.tif 000017
【図１６】
2006238089.tif 000018
【図１７】
2006238089.tif 000019