(57)【要約】【課題】ＩＰｓｅｃの複数セッションを処理する通信装置に関し、同一のＩＰｓｅｃゲートウェイ装置に対して同時に複数のＩＰｓｅｃセッションを確立し、また鍵の更新（Ｒｅｋｅｙ）があった場合でも、複数のＩＰｓｅｃのセッションの通信を継続させる。【解決手段】通信装置１５は、端末装置１３とＩＰｓｅｃゲートウェイ装置１６との間の鍵交換プロトコルのＩＳＡＫＭＰパケットのイニシエータＣｏｏｋｉｅ及びＩＰｓｅｃ  ＥＳＰパケットのＳＰＩを、送信元ＩＰアドレス、宛先ＩＰアドレス、アドレス変換後の送信元アドレスなどと共に、各セッションのエントリ情報として管理テーブルに格納し、該エントリ情報を基にＩＳＡＫＭＰパケット又はＩＰｓｅｃ  ＥＳＰパケットをアドレス変換して転送する。端末装置１３のＩＰｓｅｃのＳＰＩの登録が完了した後に、他の端末装置１４からのＩＰｓｅｃ通信の要求パケットを受付け、同様に処理する。【選択図】図１
2008092108.tif 000002
【特許請求の範囲】
【請求項１】
配下のＬＡＮ側ネットワークに接続された端末装置と、ＷＡＮ側ネットワークに接続されたＩＰｓｅｃゲートウェイ装置との間に、ＩＰｓｅｃセッションの通信を通過させる通信装置であって、
鍵交換プロトコルのＩＳＡＫＭＰパケットのイニシエータ識別情報（Ｃｏｏｋｉｅ）及びＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）を、該パケットの送信元ＩＰアドレス、宛先ＩＰアドレス、ポート番号、プロトコル種別及びアドレス変換後の送信元アドレスと共に、ＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションのエントリ情報として格納する管理テーブルを備え、
受信されるＩＳＡＫＭＰパケットのイニシエータ識別情報（Ｃｏｏｋｉｅ）又はＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）を基に、前記管理テーブルに登録されたエントリ情報を参照して、該ＩＳＡＫＭＰパケット又はＩＰｓｅｃ  ＥＳＰパケットのエントリを識別し、
受信されるＩＳＡＫＭＰパケット又はＩＰｓｅｃ  ＥＳＰパケットを、前記管理テーブルに登録されたエントリ情報に従ってアドレス変換し、前記端末装置又はＩＰｓｅｃゲートウェイ装置に転送する構成を有することを特徴とするＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項２】
１つのＩＰｓｅｃセッションにおける鍵交換プロトコルの最初のＩＳＡＫＭＰパケットを受信してから、該ＩＰｓｅｃセッションにおけるＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）を前記管理テーブルに登録する処理が完了するまでの間は、新たに受信される鍵交換プロトコルの最初のＩＳＡＫＭＰパケットを廃棄する構成を有することを特徴とする請求項１に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項３】
前記ＩＳＡＫＭＰパケットを受信してＩＳＡＫＭＰセッションを確立した後、前記ＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）が管理テーブルに登録されるまでの経過時間を計測するＩＰｓｅｃセッション通信開始待ち受けタイマを備え、
前記ＩＰｓｅｃセッション通信開始待ち受けタイマが、予め定められたエントリタイムを越えたとき、前記管理テーブルから、該ＩＳＡＫＭＰセッションのエントリ及びＩＰｓｅｃセッションのエントリを削除する構成を備えたことを特徴とする請求項１に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項４】
前記ＩＰｓｅｃセッション通信開始待ち受けタイマが前記エントリタイムより短い所定の閾値を越えたことを検出し、かつ、配下の他の端末装置から新たに鍵交換プロトコルの最初のＩＳＡＫＭＰパケットを受信したとき、前記管理テーブルから、前記ＩＰｓｅｃセッション通信開始待ち受け中のＩＳＡＫＭＰセッションのエントリ及びＩＰｓｅｃセッションのエントリを削除する構成を備えたことを特徴とする請求項３に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項５】
前記ＩＳＡＫＭＰセッションの交渉において決定される該ＩＳＡＫＭＰセッションの有効期間タイプ（ＬｉｆｅＴｙｐｅ）及び有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を確認し、有効期間タイプ（ＬｉｆｅＴｙｐｅ）が時間の場合、該有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を、前記ＩＳＡＫＭＰセッションのエントリタイムとして前記管理テーブルに設定することを特徴とする請求項３に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項６】
前記ＩＳＡＫＭＰパケットを受信してＩＳＡＫＭＰセッションを確立した後、前記ＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）が管理テーブルに登録されるまでのＩＳＡＫＭＰセッションの通信量を計測するＩＰｓｅｃセッション通信量カウンタを備え、
前記ＩＰｓｅｃセッション通信量カウンタが、予め定められたエントリ通信量を越えたとき、前記管理テーブルから、該ＩＳＡＫＭＰセッションのエントリ及びＩＰｓｅｃセッションのエントリを削除する構成を備えたことを特徴とする請求項１に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項７】
前記ＩＳＡＫＭＰセッションの交渉において決定される該ＩＳＡＫＭＰセッションの有効期間タイプ（ＬｉｆｅＴｙｐｅ）及び有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を確認し、有効期間タイプ（ＬｉｆｅＴｙｐｅ）が通信量の場合、該有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を、前記ＩＳＡＫＭＰセッションのエントリ通信量として前記管理テーブルに設定することを特徴とする請求項６に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項８】
前記ＩＰｓｅｃゲートウェイ装置側からＩＳＡＫＭＰセッションのＲｅｋｅｙパケットを受信したとき、該パケットのＩＰアドレス、プロトコル種別及びポート番号を、前記管理テーブルに登録されたＩＳＡＫＭＰセッションのエントリ情報と照合し、それらが一致した場合に該ＩＳＡＫＭＰセッションの鍵更新用のＲｅｋｅｙパケットであると判断し、該ＩＳＡＫＭＰセッションの送信元ＩＰアドレス、宛先ＩＰアドレス、ポート番号、プロトコル種別及びアドレス変換後の送信元アドレスと共にイニシエータ識別情報（Ｃｏｏｋｉｅ）を管理テーブルに新たにＩＳＡＫＭＰセッションのエントリ情報として登録し、
以降のＩＳＡＫＭＰセッションのパケットを該新たなＩＳＡＫＭＰセッションのエントリ情報に基づいてアドレス変換を行って、通信先の端末装置に転送する構成を有することを特徴とする請求項１に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項９】
前記端末装置と前記ＩＰｓｅｃゲートウェイ装置との間で行うＩＳＡＫＭＰセッションの有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）の交渉において、該端末装置が送出するＩＳＡＫＭＰセッションの有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を、配下の全ての端末装置が送出する有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）の何れよりも小さい同一の値に変更して送出し、配下の全ての端末装置のＩＳＡＫＭＰセッションの有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を統一化し、
前記統一化した有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を基に、ＩＳＡＫＭＰセッションのＲｅｋｅｙパケットの受信タイミングを推測することを特徴とする請求項８に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項１０】
前記端末装置と前記ＩＰｓｅｃゲートウェイ装置との間の交渉で決定されるＩＳＡＫＭＰセッションの有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）の有効期間タイプ（ＬｉｆｅＴｙｐｅ）が時間である場合、該有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）と、最初のＩＳＡＫＭＰセッションのＲｅｋｅｙパケットの受信タイミングとを基に、前記ＩＰｓｅｃゲートウェイ装置のＲｅｋｅｙパケットの送出タイミングを学習することを特徴とする請求項８に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項１１】
前記端末装置と前記ＩＰｓｅｃゲートウェイ装置との間の交渉で決定されるＩＳＡＫＭＰセッションの有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）の有効期間タイプ（ＬｉｆｅＴｙｐｅ）が通信量である場合、該有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）と、最初のＩＳＡＫＭＰセッションのＲｅｋｅｙパケットが受信されたときまで行われた通信の通信量とを基に、前記ＩＰｓｅｃゲートウェイ装置のＲｅｋｅｙパケットの送出タイミングを学習することを特徴とする請求項８に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項１２】
前記ＩＰｓｅｃゲートウェイ装置のＲｅｋｅｙパケットの送出タイミングの学習が完了するまで、他の端末装置からの新たなＩＳＡＫＭＰパケットを受け付けずに廃棄することを特徴とする請求項１０又は１１に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項１３】
前記ＩＰｓｅｃゲートウェイ装置側からＩＳＡＫＭＰパケットを受信し、該パケットがＩＰｓｅｃセッションの鍵交換交渉のパケットであることを示し、かつ、該パケットのＩＰアドレスを前記管理テーブルに登録されたＩＰｓｅｃセッションのエントリ情報と照合し、それらが一致した場合、該パケットが該ＩＰｓｅｃセッションの鍵更新用のＲｅｋｅｙパケットであると判断し、該ＩＰｓｅｃセッションの送信元ＩＰアドレス、宛先ＩＰアドレス、ポート番号、プロトコル種別及びアドレス変換後の送信元アドレスと共にイニシエータ識別情報（Ｃｏｏｋｉｅ）を管理テーブルに新たにＩＰｓｅｃセッションのエントリ情報として登録し、該Ｒｅｋｅｙパケットの通信先の端末装置を判断して該Ｒｅｋｅｙパケットを転送し、
その後、前記ＩＰｓｅｃゲートウェイ装置側からＩＰｓｅｃ  ＥＳＰパケットを受信したとき、該パケットのＩＰアドレス及びプロトコル種別を識別してＩＰｓｅｃセッションを識別し、該パケットのセキュリティパラメータインデックス（ＳＰＩ）を前記管理テーブルの該ＩＰｓｅｃセッションのエントリに追記し、
以降のＩＰｓｅｃセッションのパケットを該新たなＩＰｓｅｃセッションのエントリ情報に基づいてアドレス変換を行って、通信先の端末装置に転送する構成を有することを特徴とする請求項１に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項１４】
前記ＩＰｓｅｃセッションの鍵更新用のＲｅｋｅｙパケットを受信し、該Ｒｅｋｅｙパケットの受信タイミングの学習が完了するまでは、他の端末装置からの新たなＩＰｓｅｃセッションのパケットを受け付けずに廃棄することを特徴とする請求項１３に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項１５】
請求項１０又は１１に記載したＲｅｋｅｙパケットの送出タイミングの学習の結果を基に、ＩＳＡＫＭＰセッションのエントリタイムを算出し、
該算出したエントリタイムをＩＳＡＫＭＰセッションのエントリタイムとして前記管理テーブルに設定し、該ＩＳＡＫＭＰセッションが該エントリタイムを越えたとき、前記管理テーブルから該ＩＳＡＫＭＰセッションのエントリを削除することを特徴とする請求項１０又は１１に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項１６】
請求項１２に記載したＲｅｋｅｙパケットの送出タイミングの学習の結果を基に、ＩＰｓｅｃＰセッションのエントリタイムを算出し、
該算出したエントリタイムをＩＰｓｅｃセッションのエントリタイムとして前記管理テーブルに設定し、該ＩＰｓｅｃセッションが該エントリタイムを越えたとき、前記管理テーブルから該ＩＰｓｅｃセッションのエントリを削除する構成を備えたことを特徴とする請求項１２に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【請求項１７】
前記管理テーブルにおける同一の通信端末に係るＩＳＡＫＭＰセッションのエントリ又はＩＰｓｅｃセッションのエントリの何れか一方のエントリを削除したとき、該エントリに係る他方のエントリを管理テーブルから削除する構成を有することを特徴とする請求項１５又は１６に記載のＩＰｓｅｃの複数セッションを処理する通信装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰ（Internet Protocol）技術をベースにしたルーティング機能及びネットワークアドレス変換（ＮＡＴ：Network Address Translation,RFC3022）機能を有する一般的なルータ、ブロードバンドルータ又はゲートウェイ等の通信装置であって、インターネットで暗号通信を行うための規格であるＩＰｓｅｃ（Security Architecture for Internet Protocol）の複数のセッションを処理する通信装置に関する。
【背景技術】
【０００２】
一般的な家庭等の宅内の通信装置によるインターネットアクセスでは、１つのグローバルアドレスで宅内の複数の端末装置をインターネットに接続し、更に宅内ネットワークのセキュリティを高めるために、ネットワークアドレス変換（ＮＡＴ）機能、パケットフィルタリング機能、ファイアウォール機能等を備えたブロードバンドルータを設置する場合が多い。
【０００３】
この場合、ネットワークアドレス変換（ＮＡＴ）機能によって、宅内ネットワーク内の各端末装置のプライベートアドレスを、ブロードバンドルータの外部側に割り当てられたグローバルアドレスに変換することにより、宅内の複数の端末装置のインターネット接続を可能にしている。
【０００４】
また、複数の端末装置を同時に接続する場合は、宅内端末装置のネットワークアドレス（ＩＰアドレス等）に加えて、ＴＣＰ／ＵＤＰプロトコルのポート番号を変換するＮＡＰＴ（Network Address Port Translation,同RFC3022）機能によって、複数の端末装置に対する同時アドレス変換を実現している。
【０００５】
コンピュータなどの宅内端末装置から、インターネット通信網を利用する仮想専用線網（ＶＰＮ：Virtual Private Network）によって、企業内ネットワークにリモートアクセスを行う場合、一般的に、ＩＰｓｅｃプロトコル（RFC2401等）による暗号化通信が使用されるが、宅内ネットワークにＮＡＰＴ機能を有するルータが設置されている場合、宅内端末装置から該仮想専用線網（ＶＰＮ）接続を正常に行うためには、ＮＡＰＴ機能を有するルータにおいて、ＩＰｓｅｃセッションの通信を正常に通過（パススルー）させる機能が必要になる。
【０００６】
通常、ＩＰｓｅｃプロトコルの通信を行うためには、鍵交換等を処理する鍵管理プロトコルのＩＳＡＫＭＰ（Internet Security Association and Key Management Protocol,RFC2408）セッションと、実際の暗号化通信を行うＩＰｓｅｃセッションの２つのセッションによる通信が順番に行われるが、それぞれのセッションでは通信フォーマットが異なり、更にＩＰｓｅｃセッションでは、ＴＣＰ／ＵＤＰプロトコルが使われていないため、一般的なＮＡＰＴ機能を備えたブロードバンドルータ等は、これの通信を正常に通過させることができない。
【０００７】
ＮＡＰＴ機能を有するルータでＩＰｓｅｃセッションの通信を正常に通過させるには、最初の鍵管理プロトコル（ＩＳＡＫＭＰ）のセッションの通信の開始によりＩＰｓｅｃ通信を認識し、ルータで特殊な処理を行うことでＮＡＴ機能を透過させている。鍵管理プロトコル（ＩＳＡＫＭＰ）には、送信元／宛先に５００番のポート番号を割り当てたＵＤＰが使用され、該ポート番号により鍵管理プロトコル（ＩＳＡＫＭＰ）の通信を認識することができる。
【０００８】
但し、複数の鍵管理プロトコル（ＩＳＡＫＭＰ）のセッションを処理するには、５００番以外のポート番号を使用しなければならない。しかし、企業側に設置されるいくつかのＩＰｓｅｃゲートウェイ装置は、送信元ポート番号が５００以外の鍵管理プロトコル（ＩＳＡＫＭＰ）の通信を受け付けない場合がある。
【０００９】
また、鍵管理プロトコル（ＩＳＡＫＭＰ）セッション後のＩＰｓｅｃセッション通信時に至っては、ＴＣＰ／ＵＤＰプロトコル自体が使用されず、ポート番号の変換による通常のＮＡＰＴ処理を実施することができない。そのため、ＩＰアドレスのみを変換してＩＰｓｅｃセッションの通信を透過（パススルー）させる方式が一般的である。
【００１０】
図１４は宅内の端末装置から複数のＩＰｓｅｃセッションを確立する接続構成例を示している。図１４の（ａ）は、第１の端末装置１４２が、ＮＡＴ機能透過（パススルー）通信装置１４１を経由して、第１のＩＰｓｅｃゲートウェイ装置１４４とＩＰｓｅｃ通信を行い、第２の端末装置１４３が、同様にＮＡＴ機能透過（パススルー）通信装置１４１を経由して、第２のＩＰｓｅｃゲートウェイ装置１４５とＩＰｓｅｃ通信を行う接続構成例を示している。
【００１１】
この場合、第１及び第２のＩＰｓｅｃゲートウェイ装置１４４及び１４５のグローバルＩＰアドレスが異なるため、ＮＡＴパススルー通信装置１４１は、各ＩＰｓｅｃゲートウェイ装置１４４及び１４５のそれぞれの異なるＩＰアドレスを用いて、２つのＩＰｓｅｃセッションを識別し、２つのＩＰｓｅｃセッションを同時に扱うことができる。
【００１２】
図１４の（ｂ）は、端末装置１４２が、ＮＡＴパススルー通信装置１４１を経由して、第１のＩＰｓｅｃゲートウェイ装置１４４及び第２のＩＰｓｅｃゲートウェイ装置１４５のそれぞれに対して、ＩＰｓｅｃ通信を行う接続構成例を示している。この構成例の場合も、第１及び第２のＩＰｓｅｃゲートウェイ装置１４４及び１４５のグローバルＩＰアドレスがそれぞれ異なるため、ＮＡＴパススルー装置１４１は、２つのＩＰｓｅｃセッションを識別して同時に扱うことができる。
【００１３】
図１４の（ｃ）は、第１の端末装置１４２が、ＮＡＴパススルー通信装置１４１を経由して、ＩＰｓｅｃゲートウェイ装置１４４とＩＰｓｅｃ通信を行い、また、第２の端末装置１４３も同様にＩＰｓｅｃゲートウェイ装置１４４とＩＰｓｅｃ通信を行おうとする例を示している。
【００１４】
この場合、ＩＰｓｅｃゲートウェイ装置１４４からＮＡＴパススルー装置通信１４１へ向かって転送されるパケットは、同一宅内の第１の端末装置１４２又は第２の端末装置１４３の何れかのＩＰｓｅｃセッションのパケットであるとしても、グローバルＩＰアドレスとしては、１組の送信元ＩＰアドレスと宛先ＩＰアドレスしか使用することができないため、それらのＩＰアドレスで２つのＩＰｓｅｃセッションを識別することができず、ＮＡＴパススルー通信装置１４１では、ＩＰｓｅｃの複数セッションをパススルーすることができない。
【００１５】
本発明に関連する先行技術文献として下記の特許文献１には、宅内通信網内のダイアルアップ環境下にある端末と、認証サーバ通信網内にあり情報提供源となる情報サーバとが、インターネットを介して接続されるインターネット中継接続方式において、ＩＰ（internet protocol）による通信のセキュリティ（ＩＰｓｅｃ, internet protocol security）を高度化する技術、及び異なるネットワーク間のアドレス変換（ＮＡＴ, network address translation）に関する技術等について記載されている。
【特許文献１】特開２００２−２０８９６５号公報
【発明の開示】
【発明が解決しようとする課題】
【００１６】
図１４の（ｃ）で説明したように、ＮＡＴ機能を有する通信装置の配下に置かれた複数の端末装置から、ＩＰｓｅｃゲートウェイ装置へＩＰｓｅｃセッションを確立する際に、従来では、１台の端末装置がＩＰｓｅｃゲートウェイ装置に対してＩＰｓｅｃセッションを確立してしまうと、他の端末装置は同一のＩＰｓｅｃゲートウェイ装置に対して同時にＩＰｓｅｃセッションの接続をすることができないという問題があった。
【００１７】
本発明は、ＮＡＴ機能を有する通信装置の配下に置かれた複数の端末装置から、同一のＩＰｓｅｃゲートウェイ装置に対して同時にＩＰｓｅｃセッションを確立することができる通信装置を提供する。また、長時間に亘ってＩＰｓｅｃセッションの通信を行っているときに、鍵の更新（Ｒｅｋｅｙ）動作が行われた場合でも、複数のＩＰｓｅｃプロトコルの通信を継続して行わせることができる通信装置を提供する。
【課題を解決するための手段】
【００１８】
本発明の通信装置は、（１）配下のＬＡＮ側ネットワークに接続された端末装置と、ＷＡＮ側ネットワークに接続されたＩＰｓｅｃゲートウェイ装置との間に、ＩＰｓｅｃセッションの通信を通過させる通信装置であって、鍵交換プロトコルのＩＳＡＫＭＰパケットのイニシエータ識別情報（Ｃｏｏｋｉｅ）及びＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）を、該パケットの送信元ＩＰアドレス、宛先ＩＰアドレス、ポート番号、プロトコル種別及びアドレス変換後の送信元アドレスと共に、ＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションのエントリ情報として格納する管理テーブルを備え、受信されるＩＳＡＫＭＰパケットのイニシエータ識別情報（Ｃｏｏｋｉｅ）又はＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）を基に、前記管理テーブルに登録されたエントリ情報を参照して、該ＩＳＡＫＭＰパケット又はＩＰｓｅｃ  ＥＳＰパケットのエントリを識別し、受信されるＩＳＡＫＭＰパケット又はＩＰｓｅｃ  ＥＳＰパケットを、前記管理テーブルに登録されたエントリ情報に従ってアドレス変換し、前記端末装置又はＩＰｓｅｃゲートウェイ装置に転送する構成を有することを特徴とする。
【００１９】
また、（２）１つのＩＰｓｅｃセッションにおける鍵交換プロトコルの最初のＩＳＡＫＭＰパケットを受信してから、該ＩＰｓｅｃセッションにおけるＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）を前記管理テーブルに登録する処理が完了するまでの間は、新たに受信される鍵交換プロトコルの最初のＩＳＡＫＭＰパケットを廃棄する構成を有することを特徴とする。
【００２０】
また、（３）前記ＩＳＡＫＭＰパケットを受信してＩＳＡＫＭＰセッションを確立した後、前記ＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）が管理テーブルに登録されるまでの経過時間を計測するＩＰｓｅｃセッション通信開始待ち受けタイマを備え、前記ＩＰｓｅｃセッション通信開始待ち受けタイマが、予め定められたエントリタイムを越えたとき、前記管理テーブルから、該ＩＳＡＫＭＰセッションのエントリ及びＩＰｓｅｃセッションのエントリを削除する構成を備えたことを特徴とする。
【００２１】
また、（４）前記ＩＰｓｅｃセッション通信開始待ち受けタイマが前記エントリタイムより短い所定の閾値を越えたことを検出し、かつ、配下の他の端末装置から新たに鍵交換プロトコルの最初のＩＳＡＫＭＰパケットを受信したとき、前記管理テーブルから、前記ＩＰｓｅｃセッション通信開始待ち受け中のＩＳＡＫＭＰセッションのエントリ及びＩＰｓｅｃセッションのエントリを削除する構成を備えたことを特徴とする。
【００２２】
また、（５）前記ＩＳＡＫＭＰセッションの交渉において決定される該ＩＳＡＫＭＰセッションの有効期間タイプ（ＬｉｆｅＴｙｐｅ）及び有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を確認し、有効期間タイプ（ＬｉｆｅＴｙｐｅ）が時間の場合、該有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を、前記ＩＳＡＫＭＰセッションのエントリタイムとして前記管理テーブルに設定することを特徴とする。
【００２３】
また、（６）前記ＩＳＡＫＭＰパケットを受信してＩＳＡＫＭＰセッションを確立した後、前記ＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）が管理テーブルに登録されるまでのＩＳＡＫＭＰセッションの通信量を計測するＩＰｓｅｃセッション通信量カウンタを備え、前記ＩＰｓｅｃセッション通信量カウンタが、予め定められたエントリ通信量を越えたとき、前記管理テーブルから、該ＩＳＡＫＭＰセッションのエントリ及びＩＰｓｅｃセッションのエントリを削除する構成を備えたことを特徴とする。
【００２４】
また、（７）前記ＩＳＡＫＭＰセッションの交渉において決定される該ＩＳＡＫＭＰセッションの有効期間タイプ（ＬｉｆｅＴｙｐｅ）及び有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を確認し、有効期間タイプ（ＬｉｆｅＴｙｐｅ）が通信量の場合、該有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を、前記ＩＳＡＫＭＰセッションのエントリ通信量として前記管理テーブルに設定することを特徴とする。
【００２５】
また、（８）前記ＩＰｓｅｃゲートウェイ装置側からＩＳＡＫＭＰセッションのＲｅｋｅｙパケットを受信したとき、該パケットのＩＰアドレス、プロトコル種別及びポート番号を、前記管理テーブルに登録されたＩＳＡＫＭＰセッションのエントリ情報と照合し、それらが一致した場合に該ＩＳＡＫＭＰセッションの鍵更新用のＲｅｋｅｙパケットであると判断し、該ＩＳＡＫＭＰセッションの送信元ＩＰアドレス、宛先ＩＰアドレス、ポート番号、プロトコル種別及びアドレス変換後の送信元アドレスと共にイニシエータ識別情報（Ｃｏｏｋｉｅ）を管理テーブルに新たにＩＳＡＫＭＰセッションのエントリ情報として登録し、以降のＩＳＡＫＭＰセッションのパケットを該新たなＩＳＡＫＭＰセッションのエントリ情報に基づいてアドレス変換を行って、通信先の端末装置に転送する構成を有することを特徴とする。
【００２６】
また、（９）前記端末装置と前記ＩＰｓｅｃゲートウェイ装置との間で行うＩＳＡＫＭＰセッションの有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）の交渉において、該端末装置が送出するＩＳＡＫＭＰセッションの有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を、配下の全ての端末装置が送出する有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）の何れよりも小さい同一の値に変更して送出し、配下の全ての端末装置のＩＳＡＫＭＰセッションの有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を統一化し、前記統一化した有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）を基に、ＩＳＡＫＭＰセッションのＲｅｋｅｙパケットの受信タイミングを推測することを特徴とする。
【００２７】
また、（１０）前記端末装置と前記ＩＰｓｅｃゲートウェイ装置との間の交渉で決定されるＩＳＡＫＭＰセッションの有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）の有効期間タイプ（ＬｉｆｅＴｙｐｅ）が時間である場合、該有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）と、最初のＩＳＡＫＭＰセッションのＲｅｋｅｙパケットの受信タイミングとを基に、前記ＩＰｓｅｃゲートウェイ装置のＲｅｋｅｙパケットの送出タイミングを学習することを特徴とする。
【００２８】
また、（１１）前記端末装置と前記ＩＰｓｅｃゲートウェイ装置との間の交渉で決定されるＩＳＡＫＭＰセッションの有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）の有効期間タイプ（ＬｉｆｅＴｙｐｅ）が通信量である場合、該有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）と、最初のＩＳＡＫＭＰセッションのＲｅｋｅｙパケットが受信されたときまで行われた通信の通信量とを基に、前記ＩＰｓｅｃゲートウェイ装置のＲｅｋｅｙパケットの送出タイミングを学習することを特徴とする。
【００２９】
また、（１２）前記ＩＰｓｅｃゲートウェイ装置のＲｅｋｅｙパケットの送出タイミングの学習が完了するまで、他の端末装置からの新たなＩＳＡＫＭＰパケットを受け付けずに廃棄することを特徴とする。
【００３０】
また、（１３）前記ＩＰｓｅｃゲートウェイ装置側からＩＳＡＫＭＰパケットを受信し、該パケットがＩＰｓｅｃセッションの鍵交換交渉のパケットであることを示し、かつ、該パケットのＩＰアドレスを前記管理テーブルに登録されたＩＰｓｅｃセッションのエントリ情報と照合し、それらが一致した場合、該パケットが該ＩＰｓｅｃセッションの鍵更新用のＲｅｋｅｙパケットであると判断し、該ＩＰｓｅｃセッションの送信元ＩＰアドレス、宛先ＩＰアドレス、ポート番号、プロトコル種別及びアドレス変換後の送信元アドレスと共にイニシエータ識別情報（Ｃｏｏｋｉｅ）を管理テーブルに新たにＩＰｓｅｃセッションのエントリ情報として登録し、該Ｒｅｋｅｙパケットの通信先の端末装置を判断して該Ｒｅｋｅｙパケットを転送し、その後、前記ＩＰｓｅｃゲートウェイ装置側からＩＰｓｅｃ  ＥＳＰパケットを受信したとき、該パケットのＩＰアドレス及びプロトコル種別を識別してＩＰｓｅｃセッションを識別し、該パケットのセキュリティパラメータインデックス（ＳＰＩ）を前記管理テーブルの該ＩＰｓｅｃセッションのエントリに追記し、以降のＩＰｓｅｃセッションのパケットを該新たなＩＰｓｅｃセッションのエントリ情報に基づいてアドレス変換を行って、通信先の端末装置に転送する構成を有することを特徴とする。
【００３１】
また、（１４）前記ＩＰｓｅｃセッションの鍵更新用のＲｅｋｅｙパケットを受信し、該Ｒｅｋｅｙパケットの受信タイミングの学習が完了するまでは、他の端末装置からの新たなＩＰｓｅｃセッションのパケットを受け付けずに廃棄することを特徴とする。
【００３２】
また、（１５）前記（１０）又は（１１）に記載したＲｅｋｅｙパケットの送出タイミングの学習の結果を基に、ＩＳＡＫＭＰセッションのエントリタイムを算出し、該算出したエントリタイムをＩＳＡＫＭＰセッションのエントリタイムとして前記管理テーブルに設定し、該ＩＳＡＫＭＰセッションが該エントリタイムを越えたとき、前記管理テーブルから該ＩＳＡＫＭＰセッションのエントリを削除することを特徴とする。
【００３３】
また、（１６）前記（１２）に記載したＲｅｋｅｙパケットの送出タイミングの学習の結果を基に、ＩＰｓｅｃＰセッションのエントリタイムを算出し、該算出したエントリタイムをＩＰｓｅｃセッションのエントリタイムとして前記管理テーブルに設定し、該ＩＰｓｅｃセッションが該エントリタイムを越えたとき、前記管理テーブルから該ＩＰｓｅｃセッションのエントリを削除する構成を備えたことを特徴とする。
【００３４】
また、（１７）前記管理テーブルにおける同一の通信端末に係るＩＳＡＫＭＰセッションのエントリ又はＩＰｓｅｃセッションのエントリの何れか一方のエントリを削除したとき、該エントリに係る他方のエントリを管理テーブルから削除する構成を有することを特徴とする。
【発明の効果】
【００３５】
本発明によれば、家庭や企業等において、ＮＡＴ機能を有する通信装置の配下に置かれた複数の端末装置から、ＩＰｓｅｃゲートウェイ装置へＩＰｓｅｃセッションを確立する際に、鍵交換プロトコルのＩＳＡＫＭＰパケットのイニシエータ識別情報（Ｃｏｏｋｉｅ）及びＩＰｓｅｃ  ＥＳＰパケットのセキュリティパラメータインデックス（ＳＰＩ）を、ＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションのエントリ情報として管理テーブルに格納し、該イニシエータ識別情報（Ｃｏｏｋｉｅ）又はセキュリティパラメータインデックス（ＳＰＩ）を基に、受信したＩＳＡＫＭＰパケット又はＩＰｓｅｃ  ＥＳＰパケットのセッションを識別し、管理テーブルに登録されたエントリ情報に従ってそれらのパケットのアドレス変換することにより、複数台の端末装置に対して同一のＩＰｓｅｃゲートウェイ装置を通信相手とするＩＰｓｅｃセッションを同時に確立することができる。
【００３６】
また、長時間に亘り、ＩＰｓｅｃセッションを確立している場合、鍵更新（Ｒｅｋｅｙ）動作が行われても、鍵更新（Ｒｅｋｅｙ）のタイミングを推測又は学習し、該鍵更新（Ｒｅｋｅｙ）のタイミングを基に、鍵更新対象のＩＳＡＫＭＰセッション又はＩＰｓｅｃセッションを識別し、該ＩＳＡＫＭＰセッション又はＩＰｓｅｃセッションの管理テーブルのエントリ情報を更新することにより、ＩＰｓｅｃ通信を継続して行うことが可能となる。
【発明を実施するための最良の形態】
【００３７】
図１及び図２は本発明によるＩＰｓｅｃセッション確立の実施形態を示す。同図において１３，１４は端末装置、１５は本発明を適用した通信装置、１６はＩＰｓｅｃゲートウェイ装置であり、端末装置１３，１４が接続されたＬＡＮ側ネットワーク１１と、ＩＰｓｅｃゲートウェイ装置１６が接続されたＷＡＮ側ネットワーク１２とが、通信装置１５を介して接続される。
【００３８】
端末装置１３又は端末装置１４は、ＩＰｓｅｃゲートウェイ装置１６との間でＩＰｓｅｃセッションの通信を行うものとし、端末装置１３及び端末装置１４はイニシエータであり、ＩＰｓｅｃゲートウェイ装置１６はレスポンダであるとする。また、端末装置１３、端末装置１４、通信装置１５及びＩＰｓｅｃゲートウェイ装置１６のＩＰアドレスをそれぞれ“Ａ”，“Ｂ”，“Ｃ”，“Ｄ”とする。これらは以下に説明する全ての実施形態において同様であるものとする。
【００３９】
通信装置１５は、端末装置１３から鍵交換処理プロトコル（ＩＫＥ：Internet Key Exchange）の最初のＩＳＡＫＭＰ（Internet Security Association Key Management Protocol）パケット（Ｐ１１）を受信すると、該パケットがＩＳＡＫＭＰパケットであることをポート番号（５００）により識別し、通信装置１５内に備えられた管理テーブルに、ＩＳＡＫＭＰセッションのエントリとして、送信元ＩＰアドレス“Ａ”、宛先ＩＰアドレス“Ｄ”、送信元ポート番号“５００”、宛先ポート番号“５００”、プロトコル種別“ＵＤＰ”、ＮＡＴ変換後の送信元ＩＰアドレス“Ｃ”、ＩＳＡＫＭＰヘッダのイニシエータ識別情報（Ｃｏｏｋｉｅ）“ｘｘｘｘｘ”を登録する（図中、テーブルＴ１１参照）。そして該ＩＳＡＫＭＰパケットＰ１１をＩＰｓｅｃゲートウェイ装置１６へ転送する。
【００４０】
続いて通信装置１５は、ＷＡＮ側１２からのＩＰｓｅｃパケットをＬＡＮ側１１に通過させるため、端末装置１３とＩＰｓｅｃゲートウェイ装置１６との間でＩＳＡＫＭＰパケット（Ｐ１３）の送受により、ＩＰｓｅｃセッションが確立したときに、ＩＰｓｅｃセッションのエントリとして、送信元ＩＰアドレス“Ａ”、宛先ＩＰアドレス“Ｄ”、プロトコル種別“ＥＳＰ”、ＮＡＴ変換後の送信元ＩＰアドレス“Ｃ”を登録する（テーブルＴ１２参照）。
【００４１】
そして、通信装置１５は、ＩＰｓｅｃセッション確立後、ＩＰｓｅｃゲートウェイ装置１６から最初のＩＰｓｅｃパケット（Ｐ１５）を受信すると、送信元／宛先ＩＰアドレス、プロトコル種別（ＥＳＰ）により、登録済みのＩＰｓｅｃセッションのパケットであることを識別し、該エントリに、受信したＥＳＰ（Encapsulating Security Payload）パケットのヘッダのセキュリティパラメータインデックス（ＳＰＩ）“ＸＸＸＸＸ”を追記する（図２のテーブルＴ１３参照）。
【００４２】
以降、端末装置１３とＩＰｓｅｃゲートウェイ装置１６との間のＩＰｓｅｃセッションの通信を、このセキュリティパラメータインデックス（ＳＰＩ）によって識別し、通信装置１５は、ＩＰｓｅｃゲートウェイ装置１６からＩＰｓｅｃパケットを受信したときに、該パケットがどのＩＳＡＫＭＰセッションに所属するＩＰｓｅｃパケットであるかを判別することが可能となる。
【００４３】
通信装置１５は、端末装置１３から鍵交換処理プロトコル（ＩＫＥ）の最初のＩＳＡＫＭＰパケット（Ｐ１１）を受信し、管理テーブルにＩＳＡＫＭＰセッションのエントリを登録（テーブルＴ１１参照）した後、次にＩＰｓｅｃセッションのエントリを登録し、該ＩＰｓｅｃセッションのエントリにセキュリティパラメータインデックス（ＳＰＩ）の登録（テーブルＴ１３参照）が完了するまでの間は、他の端末装置１４から鍵交換処理プロトコル（ＩＫＥ）のＩＳＡＫＭＰパケット（Ｐ１２，Ｐ１４）を受信しても、これを廃棄する。
【００４４】
ＩＰｓｅｃセッションのエントリにセキュリティパラメータインデックス（ＳＰＩ）の登録（テーブルＴ１３参照）が完了した後は、他の端末装置１４から鍵交換処理プロトコル（ＩＫＥ）のＩＳＡＫＭＰパケット（Ｐ１６）を受信すると、通信装置１５は、管理テーブルに端末装置１４のＩＳＡＫＭＰセッション用のエントリを登録する（テーブルＴ１４参照）。
【００４５】
即ち、該エントリとして、受信した送信元ＩＰアドレス“Ｂ”、宛先ＩＰアドレス“Ｄ”、送信元ポート番号“５００”、宛先ポート番号“５００”、プロトコル種別“ＵＤＰ”、ＮＡＴ変換後の送信元ＩＰアドレス“Ｃ”、ＩＳＡＫＭＰヘッダのイニシエータ識別情報（Ｃｏｏｋｉｅ）“ｙｙｙｙｙ”を登録し（テーブルＴ１４参照）、該ＩＳＡＫＭＰパケットをＩＰｓｅｃゲートウェイ装置１６へ転送する。
【００４６】
以降は端末装置１３の場合と同様に、ＩＰｓｅｃゲートウェイ装置１６から最初のＩＰｓｅｃパケットを受信すると、該受信したＥＳＰ（Encapsulating Security Payload）パケットのヘッダのセキュリティパラメータインデックス（ＳＰＩ）を、管理テーブルのＩＰｓｅｃセッションのエントリに追記する。
【００４７】
そして、通信装置１５は、端末装置１３及び端末装置１４のそれぞれのＩＰｓｅｃゲートウェイ装置１６との間のＩＰｓｅｃセッションの通信を、セキュリティパラメータインデックス（ＳＰＩ）によって識別することにより、ＩＰｓｅｃの複数セッションの通信に対して、ネットワークアドレス変換（ＮＡＴ）を行って正常に通過させることが可能となる。
【００４８】
図３は管理テーブルのエントリを削除する第１の実施形態を示す。通信装置１５は、前述のように、端末装置１３のＩＳＡＫＭＰセッションのエントリを管理テーブルに登録（テーブルＴ３１参照）した後、所定の時間が経過しても、ＩＰｓｅｃゲートウェイ装置１６から最初のＩＰｓｅｃパケットが受信されず、前述のセキュリティパラメータインデックス（ＳＰＩ）を追記することができない場合、その間、他の端末装置１４からのＩＳＡＫＭＰパケットを廃棄してしまうため、他の端末装置１４はＩＰｓｅｃ通信を行うことができなくなってしまう。
【００４９】
そこで、通信装置１５は、端末装置１３とＩＰｓｅｃゲートウェイ装置１６間のＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションを確立し、ＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションのエントリを管理テーブルに登録（テーブルＴ３１参照）した後、ＩＰｓｅｃゲートウェイ装置１６からＩＰｓｅｃパケットが受信されず、所定のエントリタイムが経過（タイムアウト）すると、管理テーブルから該当するＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションのエントリ及びＩＰｓｅｃセッションのエントリを削除する（テーブルＴ３２参照）。
【００５０】
こうすることにより、端末装置１３が最初にＩＳＡＫＭＰパケットを送信した後、何らかの不具合でセキュリティパラメータインデックス（ＳＰＩ）を登録することができない場合が発生しても、所定時間経過後には、他の端末装置１４からのＩＳＡＫＭＰパケットを受け付けることが可能になる。
【００５１】
図４は管理テーブルのエントリを削除する第２の実施形態を示す。通信装置１５は、端末装置１３とＩＰｓｅｃゲートウェイ装置１６との間で、ＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションを確立し、ＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションのエントリを管理テーブルに登録（テーブルＴ４１参照）した後、ＩＰｓｅｃゲートウェイ装置１６からＩＰｓｅｃパケットが受信されず、所定時間（但し、前述の図３で説明した所定のエントリタイムよりも短い時間）経過した後、他の端末装置１４からのＩＳＡＫＭＰパケット（Ｐ４１）を受信した場合に、管理テーブルに登録されている先の端末装置１３のＩＳＡＫＭＰセッション及びＩＰｓｅｃセッション用のエントリを管理テーブルから削除し、後の端末装置１４に対するＩＳＡＫＭＰセッション用のエントリを登録する（テーブルＴ４２参照）。
【００５２】
こうすることにより、他の端末装置１４は、図３の実施形態の場合より早い待ち時間で、ＩＳＡＫＭＰパケットが受け付けられるようになるとともに、他の端末装置１４からＩＳＡＫＭＰパケットの送信要求が無い場合には、先の端末装置１３に対して、セキュリティパラメータインデックス（ＳＰＩ）の受信待ち時間を前述のエントリタイムまで十分長くすることができる。
【００５３】
図５は、管理テーブルのエントリを削除する第３の実施形態を示す。通信装置１５は、端末装置１３とＩＰｓｅｃゲートウェイ装置１６との間のＩＳＡＫＭＰセッション確立後に、管理テーブルに該ＩＳＡＫＭＰセッションのエントリを登録するが、該ＩＳＡＫＭＰセッションの有効期間タイプ（ＬｉｆｅＴｙｐｅ）が時間（秒）である場合、管理テーブルに該セッションのエントリタイムとして、ＩＳＡＫＭＰセッションの有効時間を示すＬｉｆｅＤｕｒａｔｉｏｎの値“ｘｘ”を設定する(テーブルＴ５１参照）。そして、このエントリタイムを超過すると、該ＩＳＡＫＭＰセッションのエントリを管理テーブルから削除する（テーブルＴ５２参照）。
【００５４】
このように、管理テーブルからエントリを削除するエントリタイムのタイムアウト時間として、ＩＳＡＫＭＰセッションにおけるネゴシエーションで決定されるＩＳＡＫＭＰセッションの有効時間を設定することにより、管理テーブルからエントリを削除する時間を、ＩＳＡＫＭＰセッションが有効な期間のみの最小時間に設定することが可能となる。
【００５５】
図６は、管理テーブルのエントリを削除する第４の実施形態を示す。通信装置１５は、端末装置１３とＩＰｓｅｃゲートウェイ装置１６との間のＩＳＡＫＭＰセッション確立後に、管理テーブルに該ＩＳＡＫＭＰセッションのエントリを登録するが、ＩＳＡＫＭＰセッションの有効期間タイプ（ＬｉｆｅＴｙｐｅ）が通信量（キロバイト）である場合、管理テーブルに該セッションのエントリ通信量として、ＩＳＡＫＭＰセッションの有効通信量を示すＬｉｆｅＤｕｒａｔｉｏｎの値“ｘｘｘ”を設定する（テーブルＴ６１参照）。このエントリ通信量の分だけ通信装置１５がＩＳＡＫＭＰパケットを転送すると、該ＩＳＡＫＭＰセッション用のエントリを管理テーブルから削除する（テーブルＴ６２参照）。
【００５６】
図７は本発明におけるＩＳＡＫＭＰセッションの鍵更新（Ｒｅｋｅｙ）に対する第１の実施形態を示す。同図において、端末装置１３とＩＰｓｅｃゲートウェイ装置１６との間でＩＰｓｅｃの通信が行われており、通信装置１５内の管理テーブルには、このＩＰｓｅｃ通信で使われるＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションのエントリ情報が登録されている（テーブルＴ7１参照）。
【００５７】
通信装置１５は、ＩＰｓｅｃ通信中にＩＰｓｅｃゲートウェイ装置１６からＩＳＡＫＭＰ  Ｒｅｋｅｙパケットを受信すると、該Ｒｅｋｅｙパケットの送信元／送信先ＩＰアドレス、プロトコル種別及び送信元／送信先ポート番号と、管理テーブルに登録されているエントリ情報とを照合し、それらが一致したとき、該ＲｅｋｅｙパケットがＩＰｓｅｃセッション確立中のＩＳＡＫＭＰセッションのＲｅｋｅｙパケットであると判断し、新たに該ＲｅｋｅｙパケットのＩＰアドレス、プロトコル種別、ポート番号、ＮＡＴ変換後の送信元ＩＰアドレスとイニシエータ識別情報（Ｃｏｏｋｉｅ）“ｙｙｙｙｙｙ”を管理テーブルへ追加する（テーブルＴ７２参照）。
【００５８】
通信装置１５は、受信したＲｅｋｅｙパケットに対して、管理テーブルに登録されたアドレス変換情報に従ってＮＡＴ機能によりアドレス変換を行い、端末装置１３へ転送する。このように、Ｒｅｋｅｙパケットによって新たに作成されたＩＳＡＫＭＰセッションのエントリを管理テーブルに追加し、該エントリ情報を基にアドレス変換を行うことにより、Ｒｅｋｅｙパケットに対してＮＡＴパススルーを行うことが可能となる。
【００５９】
図８は本発明におけるＩＳＡＫＭＰセッションの鍵更新（Ｒｅｋｅｙ）に対する第２の実施形態を示す。端末装置１３からＩＳＡＫＭＰパケット（Ｐ８１）を受信した通信装置１５は、有効期間タイプ（ＬｉｆｅＴｙｐｅ）及び有効期間即ちセッションの更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）を参照し、該更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）の値が、通信装置１５に予め設定された設定値より大きい場合、更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）の値をこの設定値に書換えたＩＳＡＫＭＰパケット（Ｐ８２）をＩＰｓｅｃゲートウェイ装置１６へ転送する。ここで、通信装置１５に予め設定された設定値として、配下の全ての端末装置が送出する有効期間値（ＬｉｆｅＤｕｒａｔｉｏｎ）の何れよりも小さい値とする。
【００６０】
この後、端末装置１４からもＩＳＡＫＭＰパケット（Ｐ８３）を受信すると、同様に通信装置１５は、有効期間タイプ（ＬｉｆｅＴｙｐｅ）及び更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）を参照し、該更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）の値が通信装置１５に予め設定された設定値より大きい場合、同様に、該更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）の値を該設定値に書換えたＩＳＡＫＭＰパケット（Ｐ８４）をＩＰｓｅｃゲートウェイ装置１６へ転送する。
【００６１】
通常、ＩＰｓｅｃゲートウェイ装置１６から通信装置１５へ送信されるＲｅｋｅｙパケット（Ｐ８５）は、端末装置１３又は端末装置１４の何れかのＩＳＡＫＭＰセッション用のＲｅｋｅｙパケットであるとしても、ＩＰアドレス、プロトコル種別及びポート番号の全ての情報において同一である。
【００６２】
また、図８の例では、端末装置１３及び端末装置１４の更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）の値は、それぞれ２８８００及び１４４００であるが、この値のままＩＳＡＫＭＰの交渉が終了してこれらの値が採用された場合、実際の更新タイミングは、交渉で決定した更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）の値より短い時間で行われ、これは通信毎にタイミングが異なるため、次にＩＰｓｅｃゲートウェイ装置１６から受信されるＲｅｋｅｙパケットは、端末装置１３又は端末装置１４の何れのＩＳＡＫＭＰセッションのＲｅｋｅｙパケットであるのか判断することができなくなる。
【００６３】
しかし、上述したように通信装置１５で更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）の値を十分に小さい値（例えば３００）に変更し、ＩＳＡＫＭＰの交渉においてこの変更後の値が採用されるようにすることにより、全てのセッションの更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）を統一化することができ、これによってＩＰｓｅｃゲートウェイ装置１６から受信したＲｅｋｅｙパケットがどのセッションのＲｅｋｅｙであるか推測できるようになる。
【００６４】
図８の例では、端末装置１３及び端末装置１４の何れからのＩＳＡＫＭＰパケットも更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）を十分に小さい値である３００に変更し、交渉後の値としてこの３００が採用されるようにしている。これによって、全てのセッションの更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）が統一されるため、最初にＩＰｓｅｃゲートウェイ１６から受信するＲｅｋｅｙパケット（Ｐ８５）は、先にセッションを確立した端末装置１３のセッションの鍵更新（Ｒｅｋｅｙ）であると推測することが可能となり、該Ｒｅｋｅｙパケット（ｐ８５）の送信先を決定することができる。
【００６５】
図９は本発明におけるＩＳＡＫＭＰセッションの鍵更新（Ｒｅｋｅｙ）に対する第３の実施形態を示す。この実施形態では、端末装置１３とＩＰｓｅｃゲートウェイ装置１６の間の交渉で決定した更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）と、その後、ＩＰｓｅｃゲートウェイ装置１６から受信した最初のＲｅｋｅｙパケットの受信タイミングとを基に、ＩＳＡＫＭＰセッションのＲｅｋｅｙパケットの受信タイミングを学習し、該学習結果を基に次のＲｅｋｅｙパケットの受信タイミングを推測する。
【００６６】
例えば、端末装置１３のＩＳＡＫＭＰセッションのパケット（Ｐ９１）の送受で決定した更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）が２８８００秒で、ＩＰｓｅｃゲートウェイ装置１６から最初に受信したＲｅｋｅｙパケット（Ｐ９２）の受信タイミングが１４４００秒後であった場合、更に次のＲｅｋｅｙパケットの受信タイミングも１４４００秒後と推測することができる。
【００６７】
また、例えば、ＩＳＡＫＭＰセッションのパケット（Ｐ９３）の送受で決定した更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）が１００００キロバイトで、最初のＲｅｋｅｙパケット（Ｐ９４）受信タイミングが、５０００キロバイトのデータを受信後であった場合、更に次のＲｅｋｅｙパケットの受信タイミングは５０００キロバイトのデータ受信後と推測する。
【００６８】
Ｒｅｋｅｙパケットの受信毎に更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）の値が変化する場合、最初に学習する際に、
Ｒｅｋｅｙパケット受信タイミング＝更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）×１／α
又は
Ｒｅｋｅｙパケット受信タイミング＝更新間隔（ＬｉｆｅＤｕｒａｔｉｏｎ）−β
としてＲｅｋｅｙパケット受信タイミングを算定するものとし、上記のα又はβの値を算定することで、次のＲｅｋｅｙパケット受信タイミングを推測することができる。
【００６９】
なお、この学習結果の正確さを高めるため、Ｒｅｋｅｙパケット受信を複数回に亘って行い、複数回に亘って観測したＲｅｋｅｙパケット受信タイミングを基に、上記のα又はβの値を決定する構成とすることができる。
【００７０】
このＲｅｋｅｙパケットの受信タイミングの学習に際して、Ｒｅｋｅｙパケットの受信タイミングの学習が完了するまで、他の端末装置１４（ＩＳＡＫＭＰセッションを確立していない端末装置）から受信した新規のＩＳＡＫＭＰパケット（Ｐ９５，Ｐ９６）を廃棄する。こうすることによって、鍵更新（Ｒｅｋｅｙ）タイミングの未学習の複数のＩＳＡＫＭＰセッションが管理テーブルに登録されるのを防ぎ、新たなＲｅｋｅｙパケット受信時に、何れのＩＳＡＫＭＰセッションのＲｅｋｅｙパケットであるのか不明となってしまうことがないようにすることができる。
【００７１】
図１０及び図１１は本発明におけるＩＰｓｅｃセッションの鍵更新（Ｒｅｋｅｙ）に対する実施形態を示す。同図において、端末装置１３とＩＰｓｅｃゲートウェイ装置１６との間でＩＰｓｅｃの通信が行われており、管理テーブルにはこのＩＰｓｅｃ通信で使われているＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションのエントリが登録されているものとする（テーブルＴ１０１参照）。
【００７２】
ＩＰｓｅｃ通信中にＩＰｓｅｃゲートウェイ装置１６からＩＳＡＫＭＰ  Ｒｅｋｅｙパケット（Ｐ１０１）を受信し、その鍵交換タイプ（ＥｘｃｈａｎｇｅＴｙｐｅ）がＩＰｓｅｃセッションの鍵交換を表す“ＱｕｉｃｋＭｏｄｅ”であった場合、通信装置１５は該Ｒｅｋｅｙパケット（Ｐ１０１）の送信元／送信先ＩＰアドレス、プロトコル種別及び送信元／送信先ポート番号と、管理テーブルに登録されているエントリ情報とを照合し、それらが一致した場合、該Ｒｅｋｅｙパケット（Ｐ１０１）が通信中のＩＰｓｅｃセッションのＲｅｋｅｙパケットであると判断し、新たに該Ｒｅｋｅｙパケット（Ｐ１０１）のセッションの送信元／送信先ＩＰアドレス、ＮＡＴ変換後の送信元ＩＰアドレスの情報を管理テーブルへ仮登録し（テーブルＴ１０２参照）、該Ｒｅｋｅｙパケット（Ｐ１０１）を端末装置１３へ転送する。
【００７３】
その後、鍵交換（Ｒｅｋｅｙ）シーケンスが完了し、ＩＰｓｅｃゲートウェイ装置１６からＩＰｓｅｃ  ＥＳＰパケット（Ｐ１０２）を受信すると、通信装置１５は該ＩＰｓｅｃ  ＥＳＰパケット（Ｐ１０２）の送信元／送信先ＩＰアドレス及びプロトコル種別と、管理テーブルに登録されているエントリ情報とを照合し、該ＩＰｓｅｃ  ＥＳＰパケット（Ｐ１０２）が鍵更新（Ｒｅｋｅｙ）によって更新されたＩＰｓｅｃセッションの通信のパケットであると判断し、新たに該ＩＰｓｅｃ  ＥＳＰパケット（Ｐ１０２）のセキュリティパラメータインデックス（ＳＰＩ）の値“ＹＹＹＹＹ”を、先の管理テーブルの仮登録したエントリに上書き追加する（テーブルＴ１０３参照）。
【００７４】
これによって、鍵更新（Ｒｅｋｅｙ）によって新たに作成されたＩＰｓｅｃセッションも管理テーブルに追加され、該管理テーブルの情報を基にＮＡＴ変換を行うことにより、更新後のＩＰｓｅｃ通信を正常に通過（ＮＡＴパススルー）させることが可能となる。
【００７５】
なお、このＩＰｓｅｃセッションの鍵交換（Ｒｅｋｅｙ）シーケンスにおいても、ＩＳＡＫＭＰセッションにおける鍵交換（Ｒｅｋｅｙ）シーケンスと同様に、Ｒｅｋｅｙパケットの受信タイミングを学習するまで、他の端末装置１４（ＩＰｓｅｃセッションを確立していない端末装置）から受信した新規のＩＳＡＫＭＰパケット（Ｐ１０３）は廃棄する。
【００７６】
こうすることによって、鍵交換（Ｒｅｋｅｙ）タイミングの未学習の複数のＩＰsecセッションが管理テーブルに登録されるのを防ぎ、新たな鍵更新（Ｒｅｋｅｙ）時に、何れのセッションの鍵更新（Ｒｅｋｅｙ）であるか不明となってしまうことがないようにすることができる。
【００７７】
図１２は、ＩＳＡＫＭＰセッションの鍵更新（Ｒｅｋｅｙ）タイミングを基に管理テーブルのエントリを削除する実施形態を示す。同図において、通信装置１５は、端末装置１３とＩＰｓｅｃゲートウェイ装置１６との間のＩＳＡＫＭＰセッションを確立し、ＩＳＡＫＭＰセッションのエントリを管理テーブルに登録（テーブルＴ１２１参照）した後、ＩＳＡＫＭＰセッションの鍵更新のためのＩＳＡＫＭＰ  Ｒｅｋｅｙパケット（Ｐ１２１）を受信するまでの時間（秒）を計測し、上述した手法で鍵更新（Ｒｅｋｅｙ）タイミングを学習し、該鍵更新（Ｒｅｋｅｙ）の時間（タイミング）より若干長い値“ｘｘ”を管理テーブルにエントリタイムとして設定する（テーブルＴ１２２参照）。そして、このエントリタイムがタイムアウトしたとき、該当するＩＳＡＫＭＰセッションのエントリを管理テーブルから削除する（テーブルＴ１２３参照）。
【００７８】
図１３は、ＩＰｓｅｃセッションの鍵更新（Ｒｅｋｅｙ）タイミングを基に管理テーブルのエントリを削除する実施形態を示す。通信装置１５は、端末装置１３とＩＰｓｅｃゲートウェイ装置１６との間のＩＰｓｅｃセッション確立し、ＩＳＡＫＭＰセッション及びＩＰｓｅｃセッションのエントリを管理テーブルに登録（テーブルＴ１３１参照）した後、鍵交換処理プロトコル（ＩＫＥ）のＩＰｓｅｃ  Ｒｅｋｅｙパケット（Ｐ１３１）を受信するまでの時間（秒）を計測し、ＩＰｓｅｃセッションの鍵更新（Ｒｅｋｅｙ）タイミングを学習し、該鍵更新（Ｒｅｋｅｙ）の時間（タイミング）より若干長い値“ｘｘ”を管理テーブルにエントリタイムとして設定する（テーブルＴ１３２参照）。そして、このエントリタイムがタイムアウトしたとき、該当するＩＳＡＫＭＰセッションのエントリを管理テーブルから削除する（テーブルＴ１３３参照）。
【００７９】
本発明の通信装置１５は、管理テーブルからＩＳＡＫＭＰセッションのエントリ又はＩＰｓｅｃセッションのエントリの何れか一方のエントリを、エントリタイムのタイムアウト又は鍵更新（Ｒｅｋｅｙ）などにより削除する際、通信装置１５のリソースを軽減させるため、この削除するエントリに牽連するＩＳＡＫＭＰセッションのエントリ又はＩＰｓｅｃセッションのエントリも管理テーブルから併せて削除する構成とすることができる。
【図面の簡単な説明】
【００８０】
【図１】本発明によるＩＰｓｅｃセッション確立の実施形態を示す図である。
【図２】本発明によるＩＰｓｅｃセッション確立の実施形態を示す図である。
【図３】本発明における管理テーブルのエントリを削除する第１の実施形態を示す図である。
【図４】本発明における管理テーブルのエントリを削除する第２の実施形態を示す図である。
【図５】本発明における管理テーブルのエントリを削除する第３の実施形態を示す図である。
【図６】本発明における管理テーブルのエントリを削除する第４の実施形態を示す図である。
【図７】本発明におけるＩＳＡＫＭＰセッションの鍵更新（Ｒｅｋｅｙ）に対する第１の実施形態を示す図である。
【図８】本発明におけるＩＳＡＫＭＰセッションの鍵更新（Ｒｅｋｅｙ）に対する第２の実施形態を示す図である。
【図９】本発明におけるＩＳＡＫＭＰセッションの鍵更新（Ｒｅｋｅｙ）に対する第３の実施形態を示す図である。
【図１０】本発明におけるＩＰｓｅｃセッションの鍵更新（Ｒｅｋｅｙ）に対する実施形態を示す図である。
【図１１】本発明におけるＩＰｓｅｃセッションの鍵更新（Ｒｅｋｅｙ）に対する実施形態を示す図である。
【図１２】ＩＳＡＫＭＰセッションの鍵更新（Ｒｅｋｅｙ）タイミングを基に本発明の管理テーブルのエントリを削除する実施形態を示す図である。
【図１３】ＩＰｓｅｃセッションの鍵更新（Ｒｅｋｅｙ）タイミングを基に本発明の管理テーブルのエントリを削除する実施形態を示す図である。
【図１４】宅内の端末装置から複数のＩＰｓｅｃセッションを確立する接続構成例を示す図である。
【符号の説明】
【００８１】
１１  ＬＡＮ側ネットワーク
１２  ＷＡＮ側ネットワーク
１３，１４  端末装置
１５  通信装置
１６  ＩＰｓｅｃゲートウェイ装置
【図１】
2008092108.tif 000003
【図２】
2008092108.tif 000004
【図３】
2008092108.tif 000005
【図４】
2008092108.tif 000006
【図５】
2008092108.tif 000007
【図６】
2008092108.tif 000008
【図７】
2008092108.tif 000009
【図８】
2008092108.tif 000010
【図９】
2008092108.tif 000011
【図１０】
2008092108.tif 000012
【図１１】
2008092108.tif 000013
【図１２】
2008092108.tif 000014
【図１３】
2008092108.tif 000015
【図１４】
2008092108.tif 000016