(57)【要約】【課題】  セキュア接続を行う相手装置へのルーティング情報およびアドレス解決情報の有効無効に基づきデータ送信処理を制御する。【解決手段】  処理制御部101は、相手装置とセキュア接続を行うためのセキュリティパラメータ情報を作成する。情報管理部103は、相手装置へのルーティング情報、および、当該ルーティング情報に対応するアドレス解決情報を取得し、ルーティング情報およびアドレス解決情報をセキュリティパラメータ情報に関連付けて管理する。無効判定部105は、セキュア接続を介するデータ送信処理において、セキュリティパラメータ情報に関連付けられたルーティング情報とアドレス解決情報の有効無効を判定する。処理制御部101は、判定の結果に基づきデータ送信処理を制御する。【選択図】  図2
2015092652.tif 000002
【特許請求の範囲】
【請求項１】
相手装置とセキュア接続を行うためのセキュリティパラメータ情報を作成する作成手段と、
前記相手装置へのルーティング情報、および、当該ルーティング情報に対応するアドレス解決情報を取得し、前記ルーティング情報および前記アドレス解決情報を前記セキュリティパラメータ情報に関連付けて管理する管理手段と、
前記セキュア接続を介するデータ送信処理において、前記セキュリティパラメータ情報に関連付けられたルーティング情報とアドレス解決情報の有効無効を判定する判定手段と、
前記判定の結果に基づき前記データ送信処理を制御する制御手段とを有する通信装置。
【請求項２】
前記管理手段は、前記相手装置へのルーティング情報が取得できない場合、ルーティング情報の無効を示す情報を前記セキュリティパラメータ情報に関連付けて管理する請求項1に記載された通信装置。
【請求項３】
前記管理手段は、前記ルーティング情報に対応するアドレス解決情報が取得できない場合、アドレス解決情報の無効を示す情報を前記セキュリティパラメータ情報に関連付けて管理する請求項1または請求項2に記載された通信装置。
【請求項４】
前記判定手段の判定は、前記データ送信処理における暗号化処理の前に行われる請求項1から請求項3の何れか一項に記載された通信装置。
【請求項５】
さらに、前記セキュリティパラメータ情報に基づき前記暗号化処理を行う暗号化手段を有する請求項1から請求項4の何れか一項に記載された通信装置。
【請求項６】
前記制御手段は、前記ルーティング情報と前記アドレス解決情報の少なくとも一方が無効と判定された場合、前記データ送信処理を破棄する請求項1から請求項5の何れか一項に記載された通信装置。
【請求項７】
前記制御手段は、前記ルーティング情報と前記アドレス解決情報が有効と判定された場合、前記データ送信処理を継続する請求項1から請求項6の何れか一項に記載された通信装置。
【請求項８】
さらに、ルーティング情報を登録したルーティングテーブルを管理する第一のテーブル管理手段と、
アドレス解決情報を登録したアドレス解決情報テーブルを管理する第二のテーブル管理手段とを有し、
前記管理手段は、前記ルーティングテーブルからルーティング情報を取得し、前記アドレス解決情報テーブルからアドレス解決情報を取得する請求項1から請求項7の何れか一項に記載された通信装置。
【請求項９】
前記第一のテーブル管理手段はルーティング情報の更新イベントを検出し、前記第二のテーブル管理手段はアドレス解決情報の更新イベントを検出し、
前記ルーティング情報の更新イベントが検出された場合、前記第一のテーブル管理手段は前記ルーティングテーブルを更新し、前記第二のテーブル管理手段は前記アドレス解決情報テーブルを更新し、
前記アドレス解決情報の更新イベントが検出された場合、前記第二のテーブル管理手段は前記アドレス解決情報テーブルを更新する請求項8に記載された通信装置。
【請求項１０】
前記ルーティングテーブルが更新された場合、前記管理手段は、前記セキュリティパラメータ情報に関連付けて管理するルーティング情報の更新が必要か否かを判定し、前記更新が必要な場合、前記セキュリティパラメータ情報に関連付けて管理するルーティング情報およびアドレス解決情報を更新する請求項9に記載された通信装置。
【請求項１１】
前記ルーティングテーブルが更新されず、前記アドレス解決情報テーブルが更新された場合、前記管理手段は、前記セキュリティパラメータ情報に関連付けて管理するアドレス解決情報の更新が必要か否かを判定し、前記更新が必要な場合、前記セキュリティパラメータ情報に関連付けて管理するアドレス解決情報を更新する請求項9または請求項10に記載された通信装置。
【請求項１２】
さらに、ルーティング情報または/およびアドレス解決情報の解決要求を発行する解決要求手段を有し、
前記判定手段により、前記セキュリティパラメータ情報に関連付けられた前記ルーティング情報と前記アドレス解決情報の少なくとも一方が無効と判定された場合、前記解決要求手段は前記解決要求を発行し、前記解決要求に基づいて、前記管理手段はルーティング情報または/およびアドレス解決情報を取得する処理を実行する請求項1から請求項11の何れか一項に記載された通信装置。
【請求項１３】
前記解決要求手段は、前記セキュリティパラメータ情報ごとに解決要求が発行済みか否かを管理し、既に解決要求が発行済みであるセキュリティパラメータ情報については解決要求を重複発行しないように制御する請求項12に記載された通信装置。
【請求項１４】
作成手段が、相手装置とセキュア接続を行うためのセキュリティパラメータ情報を作成し、
管理手段が、前記相手装置へのルーティング情報、および、当該ルーティング情報に対応するアドレス解決情報を取得し、前記ルーティング情報および前記アドレス解決情報を前記セキュリティパラメータ情報に関連付けて管理し、
判定手段が、前記セキュア接続を介するデータ送信処理において、前記セキュリティパラメータ情報に関連付けられたルーティング情報とアドレス解決情報の有効無効を判定し、
制御手段が、前記判定の結果に基づき前記データ送信処理を制御する通信装置の制御方法。
【請求項１５】
コンピュータを請求項1から請求項13の何れか一項に記載された通信装置の各手段として機能させるためのプログラム。
【請求項１６】
請求項15に記載されたプログラムが記録されたコンピュータが読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号技術を用いたセキュアな通信に関する。
【背景技術】
【０００２】
近年、ネットワークを介したデータ送受信における、セキュリティ確保の必要性が高まっている。IPsec (security architecture for Internet protocol)は、IPネットワークを流れるデータのセキュリティを確保するプロトコルである。IPsecによれば、IPパケット単位にデータの機密性の確保や、データの完全性、送信元の認証を行うことが可能である。なお、IPsecは、RFC2401-2412などに規定されている。
【０００３】
IPsecによる暗号・認証機能を内蔵した暗号通信装置は、論理的な通信路を介して暗号通信を行う。IPsecにおいては、暗号通信に用いる暗号鍵と暗号アルゴリズム、認証鍵と認証アルゴリズムなどの暗号通信パラメータがSA (security association)と呼ばれる共有パラメータとして管理される。また、このSAを管理・保持するデータベースはSAD (security association database)と呼ばれる。
【０００４】
IPsecを用いる暗号通信装置は、IPアドレスや通信プロトコルなどに基づきセキュリティポリシデータベース(SPD)を検索し、セキュリティポリシ(SP)を特定する。そして、特定したSPに基づきIPsec処理に必要なSAを特定し、特定したSAを用いて暗号・認証処理を施したIPパケットを送信する。
【０００５】
IPsecを用いる二つの暗号通信装置は、互いのSADに通信相手との間で使用するSAを保持する必要があり、IPsec通信を行う前に、SAを確立する必要がある。SAの確立方法には、両通信装置において、ユーザが手動でSAの各種情報を設定する手動鍵設定方法がある。このほか、IKE (Internet key exchange)プロトコルを用いる自動鍵交換方法7がある。なお、IKEは、RFC2407-2409などに規定されている。
【０００６】
暗号アルゴリズムや共有鍵は通信に先立ち交換する必要があり、また、共有鍵はセキュリティレベルを保つために頻繁に変更する必要がある。そのため、SAは、有効期限を用いて管理され、有効期限が切れると暗号通信装置はSAをリキーして、新規SAを作成する。
【０００７】
一方、パケット送信にはルーティング情報が必要となる。IPsecのトンネルモードでトンネル用のIPヘッダが付加されたパケットにおいても同様である。具体的には、次のような処理の流れになる。
【０００８】
まず、送信パケットの宛先IPアドレスに基づきルーティングテーブルが検索され、当該パケットをルーティングするIPアドレスが決定される。ルーティングテーブルは、パケットを宛先に到達させるために、当該パケットの次の転送先を参照するための、経路情報エントリの集合である。つまり、ルーティングテーブルを検索して、パケットをローカルネットワーク上の装置に転送するか、別のネットワークへ転送するためにゲートウェイ(GW)に転送するかが決定される。
【０００９】
次の転送先が決定すると、ARP (address resolution protocol)テーブルが検索され、次の転送先のMAC (media access control)アドレスが取得される。ARPテーブルは、ネットワーク上の装置のMACアドレスとIPアドレスの対応を記憶する情報エントリの集合である。以下では、ルーティングテーブルを検索して得られる情報と、当該情報からARPテーブルを検索して得られる情報を合わせて「ルーティング情報」と呼ぶ場合がある。
【００１０】
しかし、IPパケットを送信する度に、ルーティングテーブルを検索して次の転送先を決定し、さらに、ARPテーブルから転送先のMACアドレスを取得する処理は負荷が大きい。そこで、一度検索され取得したルーティング情報を一時記憶して、パケットの送信の度にルーティングテーブルやARPテーブルの検索を行わず、一時記憶したルーティング情報に基づきパケットを送信する方法が提案されている。この方法によれば、パケットの送信処理を高速化し、処理負荷を軽減することができる。
【００１１】
しかし、セキュアな通信におけるパケットの送信処理は、暗号化処理を行った後、ルーティングテーブルとARPテーブルの検索を行ってルーティング情報を取得してパケットを送信する。そのため、ルーティング情報が取得できずにパケットの送信処理を破棄する場合、送信処理が無駄になる。とくに暗号化処理やルーティング情報の取得処理は負荷が大きく、無駄な処理により他の処理が遅延するなど影響が大きい。
【先行技術文献】
【特許文献】
【００１２】
【特許文献１】特開2006-311164号公報
【発明の概要】
【発明が解決しようとする課題】
【００１３】
本発明は、セキュア接続を行う相手装置へのルーティング情報およびアドレス解決情報の有効無効に基づきデータ送信処理を制御することを目的とする。
【課題を解決するための手段】
【００１４】
本発明は、前記の目的を達成する一手段として、以下の構成を備える。
【００１５】
本発明にかかる通信装置は、相手装置とセキュア接続を行うためのセキュリティパラメータ情報を作成し、前記相手装置へのルーティング情報、および、当該ルーティング情報に対応するアドレス解決情報を取得し、前記ルーティング情報および前記アドレス解決情報を前記セキュリティパラメータ情報に関連付けて管理し、前記セキュア接続を介するデータ送信処理において、前記セキュリティパラメータ情報に関連付けられたルーティング情報とアドレス解決情報の有効無効を判定し、前記判定の結果に基づき前記データ送信処理を制御する。
【発明の効果】
【００１６】
本発明によれば、セキュア接続を行う相手装置へのルーティング情報およびアドレス解決情報の有効無効に基づきデータ送信処理を制御することができる。
【図面の簡単な説明】
【００１７】
【図１】実施例1におけるシステムの構成例を示すブロック図。
【図２】端末の機能構成例を示すブロック図。
【図３】セキュリティパラメータ情報を作成し登録する処理を説明するフローチャート。
【図４】端末から相手端末へ向けてデータを送信する処理を説明するフローチャート。
【図５】実施例2におけるシステムの構成例を示すブロック図。
【図６】セキュリティパラメータ情報に関連付けられたルーティング情報とARP解決情報の更新処理を説明するフローチャート。
【図７】実施例3における端末の機能構成例を示すブロック図。
【図８】解決要求処理を説明するフローチャート。
【発明を実施するための形態】
【００１８】
以下、本発明にかかる実施例の通信装置およびその制御方法を図面を参照して詳細に説明する。なお、実施例は特許請求の範囲にかかる本発明を限定するものではなく、また、実施例において説明する構成の組み合わせのすべてが本発明の解決手段に必須とは限らない。
【実施例１】
【００１９】
［システムの構成］
図1のブロック図により実施例1におけるシステムの構成例を示す。実施例1では、ネットワーク16に接続された端末11が、別のネットワーク17に接続された相手端末12へアプリケーションレベルでデータを送信する例を説明する。例えば、端末11は、ネットワークアクセスが可能なディジタルカメラ、ノート型のパーソナルコンピュータ(PC)、スマートフォン、タブレットコンピュータなどであり、相手端末12はサーバ装置などである。
【００２０】
端末11から相手端末12に送信されるデータは例えば画像データである。データ送信時、端末11は、ネットワーク16のゲートウェイ(GW)14または15、および、LANまたはWAN18を経由したセキュリティゲートウェイ(SecGW)13との間に、IPsecトンネルモードによるセキュアな通信路を構築する。SecGW13は、端末11がセキュア接続する相手装置である。なお、端末11が接続するローカルネットワーク16は有線LANでも無線LANでも構わない。
【００２１】
［装置の構成］
図2のブロック図により端末11の機能構成例を示す。処理制御部101は、端末11の処理全体を統制し、パケット送信処理における処理順序の統制を行う。記憶部102は、ユーザデータや各種処理において発生する中間データなどを記憶し、セキュリティパラメータ情報、セキュア接続する相手端末のルーティング情報、当該ルーティング情報に対するARP解決情報なども記憶する。
【００２２】
情報管理部103は、セキュリティパラメータ情報に対応するルーティング情報とARP解決情報を関連付けて記憶部102に格納し、関連付けた情報を管理する。あるセキュリティパラメータ情報が指定されると、情報管理部103は、関連するルーティング情報とARP解決情報の参照先を示すことができる。
【００２３】
情報検索部104は、記憶部102に記憶されたセキュリティパラメータ情報の集合から、検索条件に合致するセキュリティパラメータ情報を検索する。検索条件は、セキュア接続の相手先アドレスやポート番号などのセキュア接続情報である。無効判定部105は、情報管理部103によって示されるルーティング情報とARP解決情報の有効無効を判定する。
【００２４】
暗号化部106は、パケットの一部または全部を暗号化したり、トンネル化したりする。つまり、IPsecトンネルモードの場合、元のパケットをヘッダ部分を含めてすべて暗号化し、トンネルIPヘッダを付加するなどの処理を行う。また、IPsecトランスポートモードの場合、パケットのデータ部分を暗号化し、IPsecヘッダを付加するなどの処理を行う。つまり、暗号化部106は、IPsecの設定やモードに応じた処理を行う。
【００２５】
パケット送信部107は、パケットに対応するルーティング情報とARP解決情報を用いてパケットの送信処理を行う。つまり、ARP解決情報から作成したEthernet（登録商標）フレームをEthernet（登録商標）などのネットワーク16に送信するなどの処理を行う。また、無線LAN通信の場合は、無線LANフレームを作成し送信する。
【００２６】
ルーティングテーブル管理部（以下、RT管理部）108は、ネットワーク16に接続された他の装置から近隣のルーティング情報を取得する。そして、取得したルーティング情報を記憶部102に登録し、記憶部102に登録したルーティング情報をルーティングテーブルとして管理する。
【００２７】
ARPテーブル管理部（以下、ARP管理部）109は、ARP解決情報を記憶部102に登録し、記憶部102に登録したARP解決情報をアドレス解決情報テーブル（以下、ARPテーブル）として管理する。ARP管理部109は、ARPテーブルを検索してARP解決情報が見付からない場合、ARP要求を送信し、その応答に含まれるARP解決情報を記憶部102のARPテーブルに登録する。
【００２８】
［処理］
以下では、端末11は、GW14を介してSecGW13までをIPsecトンネルモードによるセキュアな通信路を構築するものとする。また、ユーザデータの宛先は、SecGW13の先につながった相手端末12とする。なお、以下に説明する処理は、処理制御部101が端末11の他の構成を制御して実行される処理である。
【００２９】
●セキュリティパラメータ情報の作成と登録
図3のフローチャートにより端末11においてセキュリティパラメータ情報を作成し登録する処理を説明する。なお、図3に示す処理は、処理制御部101が端末11の他の構成を制御して実行される処理である。
【００３０】
処理制御部101は、IPsecトンネルを構築するために、セキュア接続相手であるSecGW13との間でIKEプロトコルなどによる鍵交換処理を実施する(S101)。なお、IKEプロトコルは、セキュア接続相手との間で共有するセキュリティパラメータ情報(SA)を作成するためのプロトコルである。
【００３１】
次に、処理制御部101は、鍵交換処理の結果得られたセキュリティパラメータ情報に基づきトンネルSAを作成する(S102)。勿論、トンネルSAの作成は、IKEプロトコルに依存する必要はなく、例えば、端末11のユーザがセキュリティパラメータ情報を設定することで、トンネルSAが作成されてもよい。その場合は、ステップS101の鍵交換処理は不要になる。
【００３２】
トンネルSAが作成されると、情報管理部103は、RT管理部108が管理するルーティングテーブルから、キュリティ接続相手であるSecGW13を対象とするルーティング情報を検索する(S103)。つまり、SecGW13のIPアドレスを検索条件として、SecGW13へ到達するための次の送信先IPアドレスをルーティングテーブルから検索する。検索の結果、次の送信先としてGW14を検出した場合、ルーティング情報はGW14のIPアドレスになる。もし、次の送信先が検出されなかった場合は、未検出を示す情報、または、IPアドレス「0.0.0.0」をルーティング情報の無効を示す情報として、ルーティング情報の検索結果とする。また、フラグを用いて、ルーティング情報の無効を示してもよい。
【００３３】
次に、情報管理部103は、ARP管理部109が管理するARPテーブルから、ルーティング情報が示すGW14のARP解決情報を検索する(S104)。つまり、GW14のIPアドレスを検索条件として、ARP解決情報をARPテーブルから検索する。検索の結果、GW14のMACアドレスを検出した場合、当該MACアドレスがARP解決情報である。もし、ARP解決情報が検出されなかった場合、未検出を示す情報、または、MACアドレス「00:00:00:00:00:00」をARP解決情報の無効を示す情報として、ARP解決情報の検索結果とする。その他、フラグを用いて、ARP解決情報の無効を示してもよい。
【００３４】
ルーティング情報とARP解決情報が揃うと、情報管理部103は、ステップS102で作成したトンネルSA、ルーティング情報、ARP解決情報を関連付けて記憶部102に登録する(S105)。つまり、情報管理部103は、後にトンネルSAが指定された場合、当該トンネルSAに関連付けたルーティング情報とARP解決情報を決定可能に管理する。また、上記したように、例えば「0.0.0.0」以外のIPアドレスは有効なルーティング情報を示し、「00:00:00:00:00:00」以外のMACアドレスは有効なARP解決情報を示す。
【００３５】
●データ送信処理
図4のフローチャートにより端末11から相手端末12へ向けてデータを送信する処理を説明する。図4に示すデータ送信処理は、処理制御部101に対して、端末11の記憶部102に格納されたユーザデータの送信要求が発行された場合に実行される。
【００３６】
処理制御部101は、送信要求が示す宛先情報や通信プロトコルに基づきIPsecのセキュリティポリシ(SP)を検索する(S201)。つまり、処理制御部101は、SPデータベース(SPD)から送信要求に対応するSP情報を検索する。SP情報は、IPsecが適用されるか否かなどが示すが、ここでは、IPsecの適用が示されるとする。
【００３７】
次に、処理制御部101は、情報検索部104を用いてセキュリティパラメータを検索する(S202)。つまり、処理制御部101は、SP情報および送信要求が示す宛先情報を検索条件として、SAデータベース(SAD)から対応するセキュリティパラメータを検索する。ここでは、SecGW13とセキュア接続するために作成されたトンネルSAがセキュリティパラメータとして検出されるとする。
【００３８】
次に、処理制御部101は、情報管理部103を制御して、情報検索部104が検出したトンネルSAに関連するルーティング情報とARP解決情報を検索させ、検出したルーティング情報とARP解決情報を無効判定部105に出力させる(S203)。
【００３９】
次に、処理制御部101は、無効判定部105による判定結果がルーティング情報とARP解決情報の少なくとも一方の無効を示すか否かを判定する(S204)。ルーティング情報とARP解決情報の少なくとも一方の無効が示される場合、送信要求を破棄して(S205)、データ送信処理を終了する。また、無効判定部105による判定結果がルーティング情報とARP解決情報の何れも無効ではないことを示す（言い換えれば、両情報の有効を示す）場合、処理をステップS206に進める。
【００４０】
無効判定部105による判定結果が両情報の有効を示す場合、処理制御部101は、暗号化部106を制御して暗号化処理（IPsecトンネル処理）を行う(S206)。この時点で、情報検索部104が検出したトンネルSA、ルーティング情報、ARP解決情報が決定されているが、暗号化部106は、情報検索部104が検出したトンネルSAをIPsecの暗号化処理に利用する。また、IPsecトンネルモードヘッダの付加もこの時点で行われる。
【００４１】
暗号化処理済みのIPパケットが作成されると、パケット送信部107は、暗号化処理済みのIPパケットをEthernet（登録商標）フレーム化する処理を行う(S207)。この時点で、トンネルSAと、ルーティング情報、ARP解決情報が決定されているが、パケット送信部107は、ARP解決情報を利用してフレーム化処理を行う。つまり、ARP解決情報である次の送信先のMACアドレスを用いてMACヘッダを作成して、Ethernet（登録商標）フレームを作成する。
【００４２】
次に、パケット送信部107は、作成したEthernet（登録商標）フレームをネットワーク16に送信する(S208)。なお、端末11が無線LANに接続される場合、パケット送信部107は、Ethernet（登録商標）フレームの代わりに無線LANパケットを作成し、無線LANパケットを無線LANに送信する。
【００４３】
このように、暗号化処理に先立ち、ルーティング情報やARP解決情報の有効/無効を判定することができ、データ送信処理を破棄する場合、少なくとも暗号化処理(S206)の無駄な実行を防ぐことができる。
【００４４】
また、ルーティング情報やARP解決情報が有効でデータが送信可能な場合は、セキュリティポリシ(SP)検索とセキュリティパラメータ検索に基づきルーティング情報とARP解決情報を取得することができる。つまり、別途、ルーティングテーブルやARPテーブルの検索処理を行わずにデータ送信処理を行うことができる。
【実施例２】
【００４５】
以下、本発明にかかる実施例2の通信装置およびその制御方法を説明する。なお、実施例2において、実施例1と略同様の構成については、同一の符号を付して、その詳細な説明を省略する場合がある。
【００４６】
図5のブロック図により実施例2におけるシステムの構成例を示す。実施例2では、実施例1において説明したデータ送信処理の途中で、IPsecトンネル通信区間のゲートウェイがGW14からGW15へ切り替わる例を説明する。このような状況は、端末11が接続するネットワーク16が無線LANであり、端末11が、GW14に接続する無線通信エリアからGW15に接続する無線通信エリアに移動した場合などが想定される。あるいは、ネットワーク16が無線LANか有線LANかに関わらず、GW14のメンテナンスや故障のために、GW14からGW15に切り替わった場合が想定される。以下では、端末11がGW14の無線通信エリアからGW15の無線通信エリアに移動して、GW14からGW15に切り替わった場合を説明する。
【００４７】
図6のフローチャートによりセキュリティパラメータ(SA)情報に関連付けられたルーティング情報とARP解決情報の更新処理を説明する。端末11は、GW14と無線LAN接続され、SecGW13とIPsecトンネル通信を構築してセキュア接続され、ユーザデータの送信先は相手端末12である。この状況において、RT管理部108は、近隣のルーティング情報をGW14またはその他の端末から取得し、ルーティングテーブルにより近隣のルーティング情報を管理する。近隣のルーティング情報にはGW15に対するルーティング情報も含まれる。
【００４８】
この状態で、端末11が移動し、GW14の無線通信エリアから離脱して、GW15の無線通信エリアに入り、無線LAN通信の接続先がGW15に切り替わる。無線LAN通信の接続先が切り替わる、所謂ローミングの発生をトリガとして、RT管理部108は、GW15の無線LANネットワークに対するルーティング情報の探索プロトコルによってGW15のルーティング情報を取得する。そして、ルーティングテーブルによりGW15のルーティング情報を管理する。
【００４９】
RT管理部108は、ルーティングテーブルを更新するイベント（以下、RT更新イベント）が発生（上記の例ではローミングの発生）したか否か判定する(S301)。RT更新イベントが未発生の場合、ARP管理部109は、ARPテーブルを更新するイベント（以下、ARP更新イベント）が発生したか否かを判定する(S302)。RT更新イベントとARP更新イベントがともに未発生の場合、処理はステップS301に戻り、それらイベントの発生が監視される。
【００５０】
RT更新イベントが発生した場合、RT管理部108は、上記のようにしてルーティングテーブルを更新する(S303)。RT更新イベントまたはARP更新イベントが発生した場合、ARP管理部109は、ルーティングテーブルにおいて追加または更新されたIPアドレスのARP解決情報を取得し、取得したARP解決情報によりARPテーブルを更新する(S304)。
【００５１】
ルーティングテーブルやARPテーブルが更新されると、情報管理部103は、セキュリティパラメータに関連付けたルーティング情報とARP解決情報の更新が必要か否かを判定する(S305)。そして、更新が必要な場合はルーティング情報とARP解決情報を更新する(S306)。その後、処理はステップS301に戻り、RT更新イベントおよびARP更新イベントの発生が監視される。ステップS305、S306の詳細な処理は次のようになる。
【００５２】
ルーティングテーブルを更新した場合、RT管理部108は、情報管理部103にRT更新イベントの発生、更新前のルーティング情報、更新後のルーティング情報を通知する。当該通知を受信した情報管理部103は、管理する情報から更新前のルーティング情報を検索し、更新前のルーティング情報を検出した場合（ルーティング情報の更新が必要）、当該ルーティング情報を更新後のルーティング情報に更新する。もし、RT管理部108の通知が更新後のルーティング情報が取得できない旨を示す場合は、検出したルーティング情報を無効を示す情報に書き換える。
【００５３】
つまり、GW14からGW15に切り替わった場合、情報管理部103は、GW14のIPアドレスをもつルーティング情報を検索し、検出したルーティング情報のIPアドレスをGW15のIPアドレスに書き換える。これにより、SecGW13とセキュア接続するためのトンネルSAに関連付けられたルーティング情報がGW15のIPアドレスに更新される。
【００５４】
ルーティング情報を更新した場合、ARP解決情報の更新も必要になる。つまり、情報管理部103は、ARP管理部109からGW15のMACアドレスを取得し、SecGW13とセキュア接続するためのトンネルSAに関連付けられたARP解決情報をGW15のMACアドレスに書き換える。
【００５５】
また、ARPテーブルだけが更新された場合、ARP管理部109は、情報管理部103にARP更新イベントの発生、更新前のARP解決情報、更新後のARP解決情報を通知する。当該通知を受信した情報管理部103は、管理する情報から更新前のARP解決情報を検索し、更新前のARP解決情報を検出した場合（ARP解決情報の更新が必要）、当該ARP解決情報を更新後のARP解決情報に更新する。もし、RT管理部108の通知が更新後のARP解決情報として削除を示す場合は、検出したARP解決情報を無効を示す情報に書き換える。
【００５６】
つまり、GW14からGW15に切り替わった場合、情報管理部103は、GW14のMACアドレスをもつARP解決情報を検索し、検出したARP解決情報のMACアドレスをGW15のMACアドレスに書き換える。これにより、SecGW13とセキュア接続するためのトンネルSAに関連付けられたARP解決情報がGW15のMACアドレスに更新される。
【００５７】
データ送信処理は、図4に示すフローに従って行われ、トンネルSAに関連付けられたルーティング情報とARP解決情報が参照される。そして、両情報の少なくとも一方が無効と判定されるとデータ送信処理が破棄される。上記の更新処理によれば、ルーティング情報とARP解決情報は、GW15を対象として更新されるため、両情報ともに有効であり、データ送信処理が継続される。
【００５８】
このように、ルーティング情報やARP解決情報が更新される場合も、暗号化処理に先立ち、ルーティング情報やARP解決情報の有効/無効を判定することができる。従って、データ送信処理を破棄する場合、少なくとも暗号化処理(S206)の無駄な実行を防ぐことができる。
【実施例３】
【００５９】
以下、本発明にかかる実施例3の通信装置およびその制御方法を説明する。なお、実施例3において、実施例1、2と略同様の構成については、同一の符号を付して、その詳細な説明を省略する場合がある。
【００６０】
図5のブロック図により実施例3におけるシステムの構成例を示す。また、図7のブロック図により実施例3における端末11の機能構成例を示す。図7に示す機能構成において解決要求部110が追加されているところが、図2の機能構成と異なる。
【００６１】
無効判定部105による判定結果がルーティング情報とARP解決情報の何れか一方の無効を示す場合、解決要求部110は、処理制御部101により指示を受け、情報管理部103へ解決要求を発行する。解決要求は、ルーティング情報が無効だった場合はルーティング情報を解決すべきことを示す情報を含む。また、ARP解決情報が無効だった場合はARP解決情報を解決すべきことを示す情報を含む。
【００６２】
情報管理部103は、ルーティング情報を解決すべきことを示す解決要求を受信すると、RT管理部108にルーティング情報の解決処理の実行を指示する。RT管理部108は、例えば、ネットワークに接続された他の装置から近隣のルーティング情報を取得する処理を実施する。
【００６３】
情報管理部103は、ARP解決情報を解決すべきことを示す解決要求を受信すると、ARP管理部109にARP解決情報の解決処理の実行を指示する。ARP管理部109は、例えば、ARP要求を送信して応答を受信する処理を実施する。
【００６４】
実施例3では、実施例2において説明したケースと同じく、データ送信処理の途中でIPsecトンネル通信区間のゲートウェイがGW14からGW15へ切り替わる場合について説明する。ただし、実施例2と次の点で異なる。それは、切り替わり時に、ちょうどARP解決情報の有効期限が切れて、ARP解決情報が無効となっている点である。
【００６５】
以下では、セキュリティパラメータ(SA)情報に関連付けられたルーティング情報とARP解決情報の少なくとも一方が無効となっている場合、解決要求を発行する処理を説明する。
【００６６】
実施例2において説明したように、端末11が移動し、GW14の無線通信エリアから離脱して、GW15の無線通信エリアに入る。この場合、ローミングの発生をトリガとして、RT管理部108は、GW15の無線LANネットワークに対するルーティング情報の探索プロトコルによってGW15のルーティング情報を取得する。そして、ルーティングテーブルによりGW15のルーティング情報を管理する。
【００６７】
ルーティングテーブルを更新した場合、RT管理部108は、情報管理部103にRT更新イベントの発生、更新前のルーティング情報、更新後のルーティング情報を通知する。当該通知を受信した情報管理部103は、管理する情報から更新前のルーティング情報を検索し、更新前のルーティング情報を検出した場合（ルーティング情報の更新が必要）、当該ルーティング情報を更新後のルーティング情報に更新する。もし、RT管理部108の通知が更新後のルーティング情報が取得できない旨を示す場合は、検出したルーティング情報を無効を示す情報に書き換える。実施例3においては、ルーティング情報が無効を示す情報に書き換えられていないとして説明を進める。
【００６８】
ルーティング情報を更新した場合、ARP解決情報の更新も必要になる。つまり、情報管理部103は、ARP管理部109からGW15のMACアドレスを取得し、SecGW13とセキュア接続するためのトンネルSAに関連付けられたARP解決情報をGW15のMACアドレスに書き換える。
【００６９】
また、ARPテーブルだけが更新された場合、ARP管理部109は、情報管理部103にARP更新イベントの発生、更新前のARP解決情報、更新後のARP解決情報を通知する。当該通知を受信した情報管理部103は、管理する情報から更新前のARP解決情報を検索し、更新前のARP解決情報を検出した場合（ARP解決情報の更新が必要）、当該ARP解決情報を更新後のARP解決情報に更新する。もし、RT管理部108の通知が更新後のARP解決情報として削除を示す場合は、検出したARP解決情報を無効を示す情報に書き換える。実施例3においては、ARP解決に失敗し、ARP解決情報が無効を示す情報に書き換えられたとして説明を進める。また、ARP解決に失敗したのは、ノイズにより無線LAN通信が不可能な状況にあったためであり、別の機会にはARP解決が可能な状況にあるとする。
【００７０】
図8のフローチャートにより解決要求処理を説明する。なお、図8において、図4に示す処理と同様の処理には同一符号を付して、その詳細説明を省略する。
【００７１】
データ送信処理は、図8に示すフローに従って行われ、トンネルSAに関連付けられたルーティング情報とARP解決情報が参照される。ここでは、無効判定部105によりARP解決情報が無効と判定される(S204)ため、処理制御部101は、解決要求部110に対して解決要求を発行するように指示する。なお、ステップS210の処理は後述する。解決要求の発行指示を受信した解決要求部110は、ARP解決情報の解決要求を情報管理部103へ発行する(S211)。そして、処理制御部101は、実施例2と同様に、送信要求を破棄して(S205)、データ送信処理を終了する。
【００７２】
一方、解決要求を受信した情報管理部103は、ARP管理部109へ解決処理の実施を指示する(S212)。当該指示に応じてARP管理部109は、ARP要求を送信し(S213)、ARP応答を受信してARP解決情報が得られた場合、ARP解決情報を記憶部102に登録する(S214)。そして、情報管理部103は、セキュリティパラメータ情報(SA)に対応するARP解決情報を更新する(S215)。
【００７３】
また、解決要求部110は、解決要求を連続して発行し続けることがないように、セキュリティパラメータ情報(SA)ごとに解決要求の発行済みか否かを管理し、解決要求を多重に発行しないように抑制するようにしてもよい。つまり、既に解決要求が発行済みのセキュリティパラメータ情報(SA)について、解決要求部110が解決要求を重複発行しないように制御される(S210)。
【００７４】
データ再送の仕組みにより、次の送信要求が発行されると、この時点ではARP解決情報は有効となっているため、送信要求は破棄されることなくデータ送信処理が継続されるようになる。
【００７５】
このように、ルーティング情報やARP解決情報が無効と判定された場合、それに応じて解決要求を発行することにより、無効となっている情報の解決を速やかに実施することができる。こうすることで、一時的にルーティング情報やARP解決情報が無効となっているだけの場合であっても、ルーティング情報やARP解決情報の解決を行ってデータ送信処理を復活することができる。
【００７６】
以上により、一旦、ルーティング情報やARP解決情報が無効と判定されるが、実際には解決可能な状況において、不必要に送信要求を破棄し続けることを防ぐことができる。
【００７７】
［その他の実施例］
本発明は、上述の実施形態の一以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける一以上のプロセッサがプログラムを読み出し実行する処理でも実現可能である。また、一以上の機能を実現する回路（例えば、ASIC）によっても実現可能である。
【符号の説明】
【００７８】
101 … 処理制御部、103 … 情報管理部、105 … 無効判定部
【図１】
2015092652.tif 000003
【図２】
2015092652.tif 000004
【図３】
2015092652.tif 000005
【図４】
2015092652.tif 000006
【図５】
2015092652.tif 000007
【図６】
2015092652.tif 000008
【図７】
2015092652.tif 000009
【図８】
2015092652.tif 000010