(57)【要約】【課題】広域ＩＰ網などのネットワークにおいて、転送リソースを制御し、かつ、パスのハイジャックを防止した上でトンネル通信を実現する。【解決手段】制御装置は、着側トンネル通信装置との間に仮想パスを生成することを要求するパス生成要求を発側トンネル通信装置から受信し、発側トンネル通信装置と着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行うことで仮想パスを生成し、発側トンネル通信装置および着側トンネル通信装置は、トンネル通信相手装置との間で相互に認証し合う相互認証に用いる相互認証情報を、仮想パスを用いてトンネル通信相手装置と交換し、トンネル通信相手装置から取得された相互認証情報に基づいて、トンネル通信相手装置とのトンネル通信を確立するか拒否するかを判断し、拒否すると判断するとトンネル通信の確立を拒否する。【選択図】        図１
2008187686.tif 000002
【特許請求の範囲】
【請求項１】
ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、当該データ転送に用いられる仮想パスを制御装置が制御するトンネル通信システムであって、
前記制御装置は、
前記着側トンネル通信装置を前記ネットワーク上で一意に識別する識別子を含み当該着側トンネル通信装置との間に前記仮想パスを生成することを要求するパス生成要求を、前記発側トンネル通信装置から受信するパス生成要求受信手段と、
前記パス生成要求受信手段によって前記パス生成要求が受信されると、前記発側トンネル通信装置と前記着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行うことで前記仮想パスを生成するパス生成手段と、
前記パス生成手段によって生成されることになる仮想パスの生成を通知するパス生成通知を、前記発側トンネル通信装置および前記着側トンネル通信装置各々に送信するパス生成通知送信手段とを備え、
前記発側トンネル通信装置は、
前記パス生成手段によって生成されることになる仮想パスの前記パス生成要求を、前記制御装置に送信するパス生成要求送信手段を備え、
前記発側トンネル通信装置および前記着側トンネル通信装置は、
前記パス生成通知送信手段によって送信された前記パス生成通知を、前記制御装置から受信するパス生成通知受信手段と、
前記トンネル通信において通信相手となるトンネル通信相手装置との間で相互に認証し合う相互認証に用いる相互認証情報を、前記パス生成手段によって生成された仮想パスを用いて当該トンネル通信相手装置と交換する相互認証情報交換手段と、
前記相互認証情報交換手段によって前記トンネル通信相手装置から取得された前記相互認証情報に基づいて、当該トンネル通信相手装置とのトンネル通信を確立するか拒否するかを判断し、拒否すると判断すると前記トンネル通信の確立を拒否するトンネル通信確立拒否手段と、
前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、前記パス生成手段によって生成された仮想パスを用いて当該トンネル通信相手装置に当該トンネル通信データを送信するトンネルデータ送信手段と、
前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置から、前記パス生成手段によって生成された仮想パスを用いて前記トンネル通信データを受信すると、当該トンネル通信データからオリジナルデータを抽出するトンネルデータ受信手段と、
を備えたことを特徴とするトンネル通信システム。
【請求項２】
前記制御装置は、
前記パス生成手段によって仮想パスが生成される際に前記発側トンネル通信装置および前記着側トンネル通信装置各々の通信相手となる仮想パス相手装置について、互いの当該仮想パス相手装置を照合するための情報であるパス生成相手照合情報を、当該着側トンネル通信装置に、または、当該着側トンネル通信装置および当該発側トンネル通信装置に送信するパス生成相手照合情報送信手段をさらに備え、
前記発側トンネル通信装置および前記着側トンネル通信装置は、
前記パス生成相手照合情報を、前記パス生成要求送信手段によって送信される前記パス生成要求から前記識別子を抽出することまたは前記パス生成相手照合情報送信手段によって送信された前記パス生成相手照合情報を前記制御装置から受信することにより取得するパス生成相手照合情報取得手段をさらに備え、
前記トンネル通信確立拒否手段は、前記パス生成相手照合情報取得手段によって取得された前記パス生成相手照合情報と、前記相互認証情報交換手段によって前記トンネル通信相手装置から取得された前記相互認証情報とに基づいて、前記トンネル通信相手装置が前記仮想パス相手装置と同一であるか否かを判断し、当該トンネル通信相手装置が当該仮想パス相手装置と同一でないと判断する場合にはトンネル通信を拒否すると判断することを特徴とする請求項１に記載のトンネル通信システム。
【請求項３】
前記ネットワークは、当該ネットワーク上で開示されない非開示ＩＰアドレスおよび非開示ポート番号の組み合わせと当該ネットワーク上で開示される開示ＩＰアドレスおよび開示ポート番号の組み合わせとの間で変換するＮＡＰＴ機能を備えており、前記発側トンネル通信装置は、発側非開示ＩＰアドレスおよび発側非開示ポート番号が付与されており、前記着側トンネル通信装置は、着側非開示ＩＰアドレスおよび着側非開示ポート番号が付与されているものであって、
前記パス生成手段は、前記発側非開示ＩＰアドレスおよび発側非開示ポート番号の組み合わせに対応づけて選択された前記発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせを前記着側トンネル通信装置に送信すること、前記着側非開示ＩＰアドレスおよび着側非開示ポート番号の組み合わせに対応づけて選択された着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを前記発側トンネル通信装置に送信すること、並びに、当該発側非開示ＩＰアドレスおよび発側非開示ポート番号の組み合わせと当該発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせとの間での変換を前記ＮＡＰＴ機能に設定すること、当該着側非開示ＩＰアドレスおよび着側非開示ポート番号の組み合わせと当該着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせとの間での変換を前記ＮＡＰＴ機能に設定することによって、前記ネットワークに前記転送リソースの設定を行うことで前記仮想パスを生成し、
前記相互認証情報交換手段は、前記パス生成手段によって前記制御装置から送信された前記発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、前記着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いて前記相互認証情報を交換し、
前記トンネルデータ送信手段は、前記パス生成手段によって前記制御装置から送信された前記発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、前記着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いて前記トンネル通信データを送信し、
前記トンネルデータ受信手段は、前記発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、前記着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いて送信された前記トンネル通信データを受信することを特徴とする請求項１または２に記載のトンネル通信システム。
【請求項４】
前記パス生成手段は、前記転送リソースの設定として、前記データ転送に適用すべき帯域に関する設定および／または前記データ転送に適用すべきデータの優先度に関する設定を行うことで前記仮想パスを生成することを特徴とする請求項１または２に記載のトンネル通信システム。
【請求項５】
前記ネットワークは、パケットフィルタに設定された設定に基づいてパケットを導通させるか否かを判断するパケットフィルタ機能を備えたものであって、
前記パス生成手段は、前記転送リソースの設定として、前記データ転送に関するパケットが導通するように前記パケットフィルタに設定を行うことで前記仮想パスを生成することを特徴とする請求項１または２に記載のトンネル通信システム。
【請求項６】
ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、当該データ転送に用いられる仮想パスを制御装置が制御するトンネル通信システムにおける前記制御装置であって、
前記着側トンネル通信装置を前記ネットワーク上で一意に識別する識別子を含み当該着側トンネル通信装置との間に前記仮想パスを生成することを要求するパス生成要求を、前記発側トンネル通信装置から受信するパス生成要求受信手段と、
前記パス生成要求受信手段によって前記パス生成要求が受信されると、前記発側トンネル通信装置と前記着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行うことで前記仮想パスを生成するパス生成手段と、
前記パス生成手段によって生成されることになる仮想パスの生成を通知するパス生成通知を、前記発側トンネル通信装置および前記着側トンネル通信装置各々に送信することで、当該発側トンネル通信装置および当該着側トンネル通信装置に相互認証情報を交換させて前記トンネル通信を確立するか拒否するかを判断させるパス生成通知送信手段と、
を備えたことを特徴とする制御装置。
【請求項７】
ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、当該データ転送に用いられる仮想パスを制御装置が制御するトンネル通信システムにおける前記発側トンネル通信装置としてのトンネル通信装置であって、
前記制御装置に前記発側トンネル通信装置と前記着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行わせることで前記仮想パスを生成させるように、当該着側トンネル通信装置を前記ネットワーク上で一意に識別する識別子を含み当該着側トンネル通信装置との間に当該仮想パスを生成することを要求するパス生成要求を当該制御装置に送信するパス生成要求送信手段と、
前記制御装置において生成されることになる前記仮想パスの生成を通知するパス生成通知を、当該制御装置から受信するパス生成通知受信手段と、
前記トンネル通信において通信相手となるトンネル通信相手装置との間で相互に認証し合う相互認証に用いる相互認証情報を、前記制御装置において生成された前記仮想パスを用いて当該トンネル通信相手装置と交換する相互認証情報交換手段と、
前記相互認証情報交換手段によって前記トンネル通信相手装置から取得された前記相互認証情報に基づいて、前記トンネル通信相手装置とのトンネル通信を確立するか拒否するかを判断し、拒否すると判断すると前記トンネル通信の確立を拒否するトンネル通信確立拒否手段と、
前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、前記制御装置において生成された前記仮想パスを用いて当該トンネル通信相手装置に当該トンネル通信データを送信するトンネルデータ送信手段と、
前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置から、前記制御装置において生成された前記仮想パスを用いて前記トンネル通信データを受信すると、当該トンネル通信データからオリジナルデータを抽出するトンネルデータ受信手段と、
を備えたことを特徴とするトンネル通信装置。
【請求項８】
ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、当該データ転送に用いられる仮想パスを制御装置が制御するトンネル通信システムにおける前記着側トンネル通信装置としてのトンネル通信装置であって、
前記制御装置に前記発側トンネル通信装置と前記着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行わせることで当該制御装置において生成されることになる前記仮想パスの生成を通知するパス生成通知を、当該制御装置から受信するパス生成通知受信手段と、
前記トンネル通信において通信相手となるトンネル通信相手装置との間で相互に認証し合う相互認証に用いる相互認証情報を、前記制御装置において生成された前記仮想パスを用いて当該トンネル通信相手装置と交換する相互認証情報交換手段と、
前記相互認証情報交換手段によって前記トンネル通信相手装置から取得された前記相互認証情報に基づいて、前記トンネル通信相手装置とのトンネル通信を確立するか拒否するかを判断し、拒否すると判断すると前記トンネル通信の確立を拒否するトンネル通信確立拒否手段と、
前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、前記制御装置において生成された前記仮想パスを用いて当該トンネル通信相手装置に当該トンネル通信データを送信するトンネルデータ送信手段と、
前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置から、前記制御装置において生成された前記仮想パスを用いて前記トンネル通信データを受信すると、当該トンネル通信データからオリジナルデータを抽出するトンネルデータ受信手段と、
を備えたことを特徴とするトンネル通信装置。
【請求項９】
前記制御装置において仮想パスが生成される際に前記発側トンネル通信装置および前記着側トンネル通信装置各々の通信相手となる仮想パス相手装置について、互いの当該仮想パス相手装置を照合するための情報であるパス生成相手照合情報を、前記パス生成要求送信手段によって送信される前記パス生成要求から前記識別子を抽出することまたは前記パス生成相手照合情報送信手段によって送信された前記パス生成相手照合情報を前記制御装置から受信することにより取得するパス生成相手照合情報取得手段をさらに備え、
前記トンネル通信確立拒否手段は、前記パス生成相手照合情報取得手段によって取得された前記パス生成相手照合情報と、前記相互認証情報交換手段によって前記トンネル通信相手装置から取得された前記相互認証情報とに基づいて、前記トンネル通信相手装置が前記仮想パス相手装置と同一であるか否かを判断し、当該トンネル通信相手装置が当該仮想パス相手装置と同一でないと判断する場合にはトンネル通信を拒否すると判断することを特徴とする請求項７または８に記載のトンネル通信装置。
【請求項１０】
前記通信相手を前記ネットワーク上で一意に識別する識別子と、当該通信相手との間で予め共有されている鍵情報である共有鍵とを対応づけて保持する共有鍵保持手段をさらに備え、
前記パス生成相手照合情報取得手段は、前記パス生成相手照合情報として、前記仮想パス相手装置を前記ネットワーク上で一意に識別する識別子を、前記パス生成要求送信手段によって送信される前記パス生成要求から当該識別子を抽出することまたは前記制御装置から受信することにより取得し、
前記相互認証情報交換手段は、前記共有鍵保持手段によって保持されている共有鍵のうち前記パス生成相手照合情報取得手段によって取得された前記識別子に対応づけられている共有鍵を選択し、当該共有鍵を用いて生成した情報を前記相互認証情報として前記トンネル通信相手装置と交換し、
前記トンネル通信確立拒否手段は、前記トンネル通信相手装置から取得された前記相互認証情報を前記共有鍵を用いて検証し、当該検証の結果が失敗である場合に、当該トンネル通信相手装置が前記仮想パス相手装置と同一ではないと判断して前記トンネル通信の確立を拒否すると判断することを特徴とする請求項９に記載のトンネル通信装置。
【請求項１１】
前記パス生成相手照合情報取得手段は、前記パス生成相手照合情報として、前記相互認証情報を生成する際に用いる共有鍵を生成するにあたり必要となるパラメータを、前記制御装置から受信することにより取得し、
前記相互認証情報交換手段は、前記パス生成相手照合情報取得手段によって取得された前記パラメータを用いて前記共有鍵を生成し、当該共有鍵を用いて生成した情報を前記相互認証情報として前記トンネル通信相手装置と交換し、
前記トンネル通信確立拒否手段は、前記トンネル通信相手装置から取得された前記相互認証情報を前記共有鍵を用いて検証し、当該検証の結果が失敗である場合に、当該トンネル通信相手装置が前記仮想パス相手装置と同一ではないと判断して前記トンネル通信の確立を拒否すると判断することを特徴とする請求項９に記載のトンネル通信装置。
【請求項１２】
前記パス生成要求送信手段による前記制御装置に対する前記パス生成要求の送信および／または前記パス生成相手照合情報取得手段による前記制御装置からの前記パス生成相手照合情報の取得において、当該制御装置を認証する制御装置認証手段をさらに備えたことを特徴とする請求項１１に記載のトンネル通信装置。
【請求項１３】
前記パス生成相手照合情報取得手段は、前記パス生成相手照合情報として、前記仮想パス相手装置を前記ネットワーク上で一意に識別する識別子を、前記パス生成要求送信手段によって送信される前記パス生成要求から当該識別子を抽出することまたは前記制御装置から受信することにより取得し、
前記相互認証情報交換手段は、自らの装置を前記ネットワーク上で一意に識別する自装置識別子を含む情報を前記相互認証情報として前記トンネル通信相手装置と交換し、
前記トンネル通信確立拒否手段は、前記パス生成相手照合情報取得手段によって取得された前記識別子と、前記トンネル通信相手装置から取得された前記相互認証情報に含まれる当該トンネル通信相手装置の自装置識別子とが一意に対応付け可能でない場合に、当該トンネル通信相手装置が前記仮想パス相手装置と同一ではないと判断して前記トンネル通信の確立を拒否すると判断することを特徴とする請求項９に記載のトンネル通信装置。
【請求項１４】
前記制御装置において仮想パスが生成される際に、前記発側トンネル通信装置および前記着側トンネル通信装置各々の通信相手となる仮想パス相手装置を前記ネットワーク上で一意に識別する識別子を当該制御装置から受信する仮想パス相手装置識別子受信手段と、
前記仮想パス相手装置識別子受信手段によって受信された識別子に基づいて、当該識別子で識別される前記仮想パス相手装置とのトンネル通信を確立するか拒否するかを判断する判断手段と、
をさらに備えたことを特徴とする請求項８に記載のトンネル通信装置。
【請求項１５】
請求項６に記載の制御装置をコンピュータに実現させる制御装置用プログラム。
【請求項１６】
請求項７〜１４のいずれか一つに記載のトンネル通信装置をコンピュータに実現させるトンネル通信装置用プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トンネル通信システム、制御装置およびトンネル通信装置に関する。
【背景技術】
【０００２】
従来よりデータ通信に用いられてきたＩＰ（Internet  Protocol）技術によって、通信キャリアによる公衆サービスを提供することを目的として、数百万、数千万の加入者数を想定するキャリアスケールのネットワークが構築されようとしている。このようなキャリアスケールのネットワーク（以下、「広域ＩＰ網」と呼ぶ）においては、パケットが転送されるネットワーク上のリソースを制御すること（以下、「転送リソース制御」と呼ぶ）が必要になると考えられる。
【０００３】
具体的に説明すると、例えば、ネットワークにおいては、テキストデータやファイルデータが転送されるのみならず、電話のようなリアルタイム通信が求められるデータをも転送されることから、転送リソース制御の一つとして、通信の特性に応じた「帯域制御」が必要になると考えられる。すなわち、当該データを含むパケットの転送について、通信の特性に応じて帯域を割り当てる帯域割り当てをしたり、通信の特性に応じてパケットの転送優先度を設定する転送優先度設定をしたりすることなどが必要になる。
【０００４】
また、例えば、ネットワークにおいては、ＤＯＳ攻撃（Denial  of  Service攻撃、ある装置が別の装置に対して大量の要求を送信する攻撃）などの不正アクセスから装置やサービスシステムを防御しなければならないことから、転送リソース制御の一つとして、不必要なパケットが転送されることを遮断する「フィルタリング制御」が必要になると考えられる。すなわち、正当な通信に関するパケットについてのみ転送するようにパケットフィルタの導通設定をすることなどが必要になる。
【０００５】
さらに、例えば、広域ＩＰ網においては、加入者数が数千万規模にも及ぶと想定される一方で、ＩＰアドレスは有限であるので（例えば、ＩＰｖ４アドレスの場合、クラスＡアドレスの空間サイズは１，５００万であり、ＩＰｖ４アドレスを複数のサブネットに分割して運用することを考えれば、実際に割り当て可能なＩＰアドレスはさらに少なくなる）、ＩＰアドレスが不足する事態を回避しなければならないことから、転送リソース制御の一つとして、ＩＰアドレスが不足しないようにする「ＩＰアドレス制御」が必要になると考えられる。
【０００６】
ここで、例えば、非特許文献１および非特許文献７には、転送リソース制御の一つである「帯域制御」や「フィルタリング制御」を、セッションを単位として行う手法が開示されている。具体的に説明すると、非特許文献１に開示されている手法では、まず、装置が、装置間で通信を開始する（セッションを確立する）前に、セッションを確立するに際して必要とされるメッセージをネットワークに送信する。すると、ネットワークにおける通信の制御装置は、このメッセージに記述された内容に基づいて、「帯域制御」や「フィルタリング制御」を行う。制御装置がセッションに属するデータを特定する手法としては、ソースＩＰアドレスおよび宛先ＩＰアドレスの組み合わせで特定する手法や、これらのパラメータに、ＴＣＰ／ＵＤＰ（Transmission  Control  Protocol／User  Datagram  Protocol）のプロトコル種別、ソースポート番号、宛先ポート番号などのパラメータを加えた組み合わせで特定する手法などがある。なお、このように通信を行う装置間のパケット転送に必要な転送リソースが設定されている状態を、本発明においては当該通信装置間に仮想パスが生成されている状態とみなし、転送リソースを設定することを仮想パスの生成と表現する。
【０００７】
また、例えば、非特許文献２には、転送リソース制御の一つである「ＩＰアドレス制御」を、ＮＡＰＴ（Network  Address  Port  Translation）と呼ばれる技術を用いて行う手法が開示されている。ＮＡＰＴは、インターネットにおいてパブリックＩＰアドレス（インターネット空間で一意性が保たれるＩＰアドレス）が不足する事態を回避することを目的とした技術である。
【０００８】
以下、インターネットに適用されるＮＡＰＴについて具体的に説明すると、非特許文献２に開示されている手法では、ＬＡＮ（Local  Area  Network）上の複数の装置が、一つのパブリックＩＰアドレスを共有しながら、インターネット上の他の装置と通信を行う。図２７は、ＮＡＰＴについて説明するための図である。例えば、図２７に示すように、ＬＡＮとインターネットとの間でＩＰパケットを中継するゲートウェイ装置が、ＬＡＮとインターネットとの間に設置され、パブリックＩＰアドレス『Ｉｇ』が割り当てられているものとする。また、ＬＡＮ上には、装置Ａおよび装置Ｂが設置され、プライベートＩＰアドレス（私設のＩＰネットワーク空間でのみ一意性が保たれるＩＰアドレス）『Ｉａ』および『Ｉｂ』が各々割り当てられているものとする。さらに、インターネット上には、サーバＣおよびサーバＤが設置され、パブリックＩＰアドレス『Ｉｃ』および『Ｉｄ』が各々割り当てられているものとする。
【０００９】
このような構成のもと、装置Ａがポート番号『Ｐａ』を用いてサーバＣと通信する場合、装置Ａは、図２７に示すように、ソースＩＰアドレス『Ｉａ』、ソースポート番号『Ｐａ』、宛先ＩＰアドレス『Ｉｃ』とするパケットを送出する。ゲートウェイ装置は、このパケットをインターネットに中継するが、その際に、ＩＰアドレス『Ｉａ』およびポート番号『Ｐａ』に対応するポート番号『Ｐｘ』を選択し、パケットのソースＩＰアドレスを『Ｉｇ』に書き換え、ソースポート番号を『Ｐｘ』に書き換えて、サーバＣに転送する。反対に、ゲートウェイ装置が、宛先ＩＰアドレス『Ｉｇ』、ポート番号『Ｐｘ』とするパケットを受信した場合は、ゲートウェイ装置は、パケットの宛先ＩＰアドレスを『Ｉａ』に書き換え、宛先ポート番号を『Ｐａ』に書き換えて、装置Ａに転送する。
【００１０】
同様に、装置Ｂがポート番号『Ｐｂ』を用いてサーバＤと通信する場合、装置Ｂは、図２７に示すように、ソースＩＰアドレス『Ｉｂ』、ソースポート番号『Ｐｂ』、宛先ＩＰアドレス『Ｉｄ』とするパケットを送出する。ゲートウェイ装置は、このパケットをインターネットに中継するが、その際に、ＩＰアドレス『Ｉｂ』およびポート番号『Ｐｂ』に対応するポート番号『Ｐｙ』を選択し、パケットのソースＩＰアドレスを『Ｉｇ』に書き換え、ソースポート番号を『Ｐｙ』に書き換えて、サーバＤに転送する。反対に、ゲートウェイ装置が、宛先ＩＰアドレス『Ｉｇ』、ポート番号『Ｐｙ』とするパケットを受信した場合は、ゲートウェイ装置は、パケットの宛先ＩＰアドレスを『Ｉｂ』に書き換え、宛先ポート番号を『Ｐｂ』に書き換えて、装置Ｂに転送する。
【００１１】
かかるＮＡＰＴによって、ＬＡＮ上の異なる装置における「ＩＰアドレスの違い」は、インターネット上では「ポート番号の違い」にマッピングされることから、必要なパブリックＩＰアドレスの数を１個にし、パブリックＩＰアドレスが不足する事態を回避することになる。なお、パケットはポート番号で特定されるものであるので、ＮＡＰＴを適用することが可能なＩＰ通信は、ＴＣＰ／ＩＰ、ＵＤＰ／ＩＰなどのレイヤ４通信である。
【００１２】
ここまで、ネットワークにおいて必要になると考えられる転送リソース制御について説明してきたが、一方、従来より、ネットワークを利用する加入者側には、加入者自身が管理するＩＰ網（企業のイントラネットや一般ユーザの宅内ＬＡＮなど。以下、私設ＩＰ網と呼ぶ）や外出先の装置から、インターネットや広域ＩＰ網を介して他の私設ＩＰ網（同一私設ＩＰ網の他拠点のネットワークを含む）に接続するトンネル通信を行いたいという要望がある。このトンネル通信では、私設ＩＰ網や外出先の装置から他の私設ＩＰ網への接続を行うので、ネットワークにおいては、プライベートＩＰアドレスに基づくＩＰ通信を中継しなければならない。
【００１３】
ここで、例えば、非特許文献３には、トンネリング通信を、「ＩＰｓｅｃＥＳＰトンネルモード」と呼ばれる技術を用いて行う手法が開示されている。但し、「ＩＰｓｅｃＥＳＰトンネルモード」のＩＰパケットはポート番号を持たないので、ＮＡＰＴによる中継に対応していない。このため、通常は、トンネリング通信を、「ＩＰｓｅｃＵＤＰカプセル方式」と呼ばれる技術を用いて行う手法が利用されている（非特許文献４および５を参照）。具体的に説明すると、非特許文献４および５に開示されている手法では、まず、ＩＰパケットが、「ＩＰｓｅｃＥＳＰトンネルモード」の規定に従って暗号化され、次に、暗号化されたＩＰパケットが、ＵＤＰ／ＩＰパケットのペイロードに記入されて転送されることになる。もっとも、「ＩＰｓｅｃＵＤＰカプセル方式」においても、トンネル通信の着信側となる着側トンネル通信装置には、パブリックＩＰアドレスが割り当てられなければならない（すなわち、プライベートＩＰアドレスを割り当てることができるのは、トンネル通信の発信側となる発側トンネル通信装置のみである）。
【００１４】
なお、着側トンネル通信装置には、パブリックＩＰアドレスが割り当てられなければならないが、固定のパブリックＩＰアドレスを割り当てずに済む技術として、「Dynamic  ＤＮＳ」（非特許文献６を参照）が開示されている。
【００１５】
【非特許文献１】“SIP:  Session  Initiation  Protocol”、［online］、［平成１９年１月１７日検索］、インターネット＜http://www.ietf.org/rfc/rfc3261.txt＞
【非特許文献２】“IP  Network  Address  Translator  (NAT)  Terminology  and  Considerations”、［online］、［平成１９年１月１７日検索］、インターネット＜http://www.ietf.org/rfc/rfc2663.txt＞
【非特許文献３】“IP  Encapsulating  Security  Payload  (ESP)”、［online］、［平成１９年１月１７日検索］、インターネット＜http://www.ietf.org/rfc/rfc4303.txt＞
【非特許文献４】“Negotiation  of  NAT-Traversal  in  the  IKE”、［online］、［平成１９年１月１７日検索］、インターネット＜http://www.ietf.org/rfc/rfc3947.txt＞
【非特許文献５】“UDP  Encapsulation  of  IPsec  ESP  Packets”、［online］、［平成１９年１月１７日検索］、インターネット＜http://www.ietf.org/rfc/rfc3948.txt＞
【非特許文献６】“Dynamic  Updates  in  the  Domain  Name  System  (DNS  UPDATE)”、［online］、［平成１９年１月１７日検索］、インターネット＜http://www.ietf.org/rfc/rfc2136.txt＞
【非特許文献７】“Megaco Protocol Version 1.0”、[online]、[平成１９年１月１９日検索]、インターネット＜http://www.ietf.org/rfc/rfc3015.txt＞
【発明の開示】
【発明が解決しようとする課題】
【００１６】
ところで、上記した従来の技術では、以下に説明するように、広域ＩＰ網などのネットワークにおいて、転送リソースを制御し、かつ、パスのハイジャックを防止した上で、トンネル通信を実現することができないという課題があった。
【００１７】
すなわち、非特許文献３〜６に開示されている技術を用いてトンネル通信を行うとすると、「帯域制御」や「フィルタリング制御」、「ＩＰアドレス制御」など、転送リソースを制御することができない。すると、トンネル通信を実現するにあたり、例えば、パケットが転送されるリソースについて、通信の特性に応じて帯域を割り当てることができず、通信の特性に応じてパケットの転送優先度を設定することができず、パケットフィルタが設定されたネットワーク上では必要なパケットの導通を確保することができず、ＩＰアドレスが不足する事態を回避できないなどの課題が生じる。
【００１８】
また、上記したような仮想パス上でトンネル通信を行うとすると、パスのハイジャックに対する配慮が必要になる。すなわち、従来の電話網やＩＳＤＮ（Integrated  Services  of  Digital  Network）とは異なり、ＩＰ網では装置を識別するＩＰアドレスの詐称や横取りが容易であることから、パスのハイジャックの脅威に対する配慮が必要になる。パスのハイジャックとは、すなわち、第一の通信装置と第二の通信装置との間でパスが生成された後に、別の第三の通信装置が当該第一の通信装置または当該第二の通信装置の代わりに当該パスを利用することである。例えば、前記第三の通信装置が前記第一の通信装置を何らかの手段により停止させたうえ、当該第一の通信装置に割り当てられたＩＰアドレスを用いれば、パスのハイジャックは可能となってしまう。
【００１９】
セキュリティや通信利用料請求の適正化などを考えると、このようなパスのハイジャックは防止する必要がある。例えば、パス生成時に相手装置を識別して特定の通信装置とのみトンネル通信を実行するように制限設定をしていたとしても、パスのハイジャックによって不正な装置がこの制限を破ることが可能となってしまうからである。また、ある装置がＩＳＰ（Internet  Services  Provider）ネットワークとトンネル通信を実行するためにパスを生成した後に、別の装置がこのパスをハイジャックすれば、他人の通信利用料支払いでインターネットを利用することが可能となってしまうからである。
【００２０】
なお、非特許文献１および７に開示されている技術は、トンネル通信を実現するものではない。また、非特許文献２に開示されている技術は、インターネットにおいてパブリックＩＰアドレスが不足する事態を回避することを目的とするものであり、広域ＩＰ網において広域ＩＰアドレス（広域ＩＰ網全体で一意性が保たれるＩＰアドレス）が不足する事態を回避することを目的とするものではない。
【００２１】
そこで、この発明は、上記した従来技術の課題を解決するためになされたものであり、広域ＩＰ網などのネットワークにおいて、転送リソースを制御し、かつ、パスのハイジャックを防止した上でトンネル通信を実現することが可能なトンネル通信システム、制御装置およびトンネル通信装置を提供することを目的とする。
【課題を解決するための手段】
【００２２】
上述した課題を解決し、目的を達成するため、請求項１に係る発明は、ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、当該データ転送に用いられる仮想パスを制御装置が制御するトンネル通信システムであって、前記制御装置は、前記着側トンネル通信装置を前記ネットワーク上で一意に識別する識別子を含み当該着側トンネル通信装置との間に前記仮想パスを生成することを要求するパス生成要求を、前記発側トンネル通信装置から受信するパス生成要求受信手段と、前記パス生成要求受信手段によって前記パス生成要求が受信されると、前記発側トンネル通信装置と前記着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行うことで前記仮想パスを生成するパス生成手段と、前記パス生成手段によって生成されることになる仮想パスの生成を通知するパス生成通知を、前記発側トンネル通信装置および前記着側トンネル通信装置各々に送信するパス生成通知送信手段とを備え、前記発側トンネル通信装置は、前記パス生成手段によって生成されることになる仮想パスの前記パス生成要求を、前記制御装置に送信するパス生成要求送信手段を備え、前記発側トンネル通信装置および前記着側トンネル通信装置は、前記パス生成通知送信手段によって送信された前記パス生成通知を、前記制御装置から受信するパス生成通知受信手段と、前記トンネル通信において通信相手となるトンネル通信相手装置との間で相互に認証し合う相互認証に用いる相互認証情報を、前記パス生成手段によって生成された仮想パスを用いて当該トンネル通信相手装置と交換する相互認証情報交換手段と、前記相互認証情報交換手段によって前記トンネル通信相手装置から取得された前記相互認証情報に基づいて、当該トンネル通信相手装置とのトンネル通信を確立するか拒否するかを判断し、拒否すると判断すると前記トンネル通信の確立を拒否するトンネル通信確立拒否手段と、前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、前記パス生成手段によって生成された仮想パスを用いて当該トンネル通信相手装置に当該トンネル通信データを送信するトンネルデータ送信手段と、前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置から、前記パス生成手段によって生成された仮想パスを用いて前記トンネル通信データを受信すると、当該トンネル通信データからオリジナルデータを抽出するトンネルデータ受信手段と、を備えたことを特徴とする。
【００２３】
また、請求項２に係る発明は、上記の発明において、前記制御装置は、前記パス生成手段によって仮想パスが生成される際に前記発側トンネル通信装置および前記着側トンネル通信装置各々の通信相手となる仮想パス相手装置について、互いの当該仮想パス相手装置を照合するための情報であるパス生成相手照合情報を、当該着側トンネル通信装置に、または、当該着側トンネル通信装置および当該発側トンネル通信装置に送信するパス生成相手照合情報送信手段をさらに備え、前記発側トンネル通信装置および前記着側トンネル通信装置は、前記パス生成相手照合情報を、前記パス生成要求送信手段によって送信される前記パス生成要求から前記識別子を抽出することまたは前記パス生成相手照合情報送信手段によって送信された前記パス生成相手照合情報を前記制御装置から受信することにより取得するパス生成相手照合情報取得手段をさらに備え、前記トンネル通信確立拒否手段は、前記パス生成相手照合情報取得手段によって取得された前記パス生成相手照合情報と、前記相互認証情報交換手段によって前記トンネル通信相手装置から取得された前記相互認証情報とに基づいて、前記トンネル通信相手装置が前記仮想パス相手装置と同一であるか否かを判断し、当該トンネル通信相手装置が当該仮想パス相手装置と同一でないと判断する場合にはトンネル通信を拒否すると判断することを特徴とする。
【００２４】
また、請求項３に係る発明は、上記の発明において、前記ネットワークは、当該ネットワーク上で開示されない非開示ＩＰアドレスおよび非開示ポート番号の組み合わせと当該ネットワーク上で開示される開示ＩＰアドレスおよび開示ポート番号の組み合わせとの間で変換するＮＡＰＴ機能を備えており、前記発側トンネル通信装置は、発側非開示ＩＰアドレスおよび発側非開示ポート番号が付与されており、前記着側トンネル通信装置は、着側非開示ＩＰアドレスおよび着側非開示ポート番号が付与されているものであって、前記パス生成手段は、前記発側非開示ＩＰアドレスおよび発側非開示ポート番号の組み合わせに対応づけて選択された前記発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせを前記着側トンネル通信装置に送信すること、前記着側非開示ＩＰアドレスおよび着側非開示ポート番号の組み合わせに対応づけて選択された着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを前記発側トンネル通信装置に送信すること、並びに、当該発側非開示ＩＰアドレスおよび発側非開示ポート番号の組み合わせと当該発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせとの間での変換を前記ＮＡＰＴ機能に設定すること、当該着側非開示ＩＰアドレスおよび着側非開示ポート番号の組み合わせと当該着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせとの間での変換を前記ＮＡＰＴ機能に設定することによって、前記ネットワークに前記転送リソースの設定を行うことで前記仮想パスを生成し、前記相互認証情報交換手段は、前記パス生成手段によって前記制御装置から送信された前記発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、前記着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いて前記相互認証情報を交換し、前記トンネルデータ送信手段は、前記パス生成手段によって前記制御装置から送信された前記発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、前記着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いて前記トンネル通信データを送信し、前記トンネルデータ受信手段は、前記発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、前記着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いて送信された前記トンネル通信データを受信することを特徴とする。
【００２５】
また、請求項４に係る発明は、上記の発明において、前記パス生成手段は、前記転送リソースの設定として、前記データ転送に適用すべき帯域に関する設定および／または前記データ転送に適用すべきデータの優先度に関する設定を行うことで前記仮想パスを生成することを特徴とする。
【００２６】
また、請求項５に係る発明は、上記の発明において、前記ネットワークは、パケットフィルタに設定された設定に基づいてパケットを導通させるか否かを判断するパケットフィルタ機能を備えたものであって、前記パス生成手段は、前記転送リソースの設定として、前記データ転送に関するパケットが導通するように前記パケットフィルタに設定を行うことで前記仮想パスを生成することを特徴とする。
【００２７】
また、請求項６に係る発明は、ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、当該データ転送に用いられる仮想パスを制御装置が制御するトンネル通信システムにおける前記制御装置であって、前記着側トンネル通信装置を前記ネットワーク上で一意に識別する識別子を含み当該着側トンネル通信装置との間に前記仮想パスを生成することを要求するパス生成要求を、前記発側トンネル通信装置から受信するパス生成要求受信手段と、前記パス生成要求受信手段によって前記パス生成要求が受信されると、前記発側トンネル通信装置と前記着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行うことで前記仮想パスを生成するパス生成手段と、前記パス生成手段によって生成されることになる仮想パスの生成を通知するパス生成通知を、前記発側トンネル通信装置および前記着側トンネル通信装置各々に送信することで、当該発側トンネル通信装置および当該着側トンネル通信装置に相互認証情報を交換させて前記トンネル通信を確立するか拒否するかを判断させるパス生成通知送信手段と、を備えたことを特徴とする。
【００２８】
また、請求項７に係る発明は、ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、当該データ転送に用いられる仮想パスを制御装置が制御するトンネル通信システムにおける前記発側トンネル通信装置としてのトンネル通信装置であって、前記制御装置に前記発側トンネル通信装置と前記着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行わせることで前記仮想パスを生成させるように、当該着側トンネル通信装置を前記ネットワーク上で一意に識別する識別子を含み当該着側トンネル通信装置との間に当該仮想パスを生成することを要求するパス生成要求を当該制御装置に送信するパス生成要求送信手段と、前記制御装置において生成されることになる前記仮想パスの生成を通知するパス生成通知を、当該制御装置から受信するパス生成通知受信手段と、前記トンネル通信において通信相手となるトンネル通信相手装置との間で相互に認証し合う相互認証に用いる相互認証情報を、前記制御装置において生成された前記仮想パスを用いて当該トンネル通信相手装置と交換する相互認証情報交換手段と、前記相互認証情報交換手段によって前記トンネル通信相手装置から取得された前記相互認証情報に基づいて、前記トンネル通信相手装置とのトンネル通信を確立するか拒否するかを判断し、拒否すると判断すると前記トンネル通信の確立を拒否するトンネル通信確立拒否手段と、前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、前記制御装置において生成された前記仮想パスを用いて当該トンネル通信相手装置に当該トンネル通信データを送信するトンネルデータ送信手段と、前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置から、前記制御装置において生成された前記仮想パスを用いて前記トンネル通信データを受信すると、当該トンネル通信データからオリジナルデータを抽出するトンネルデータ受信手段と、を備えたことを特徴とする。
【００２９】
また、請求項８に係る発明は、ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、当該データ転送に用いられる仮想パスを制御装置が制御するトンネル通信システムにおける前記着側トンネル通信装置としてのトンネル通信装置であって、前記制御装置に前記発側トンネル通信装置と前記着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行わせることで当該制御装置において生成されることになる前記仮想パスの生成を通知するパス生成通知を、当該制御装置から受信するパス生成通知受信手段と、前記トンネル通信において通信相手となるトンネル通信相手装置との間で相互に認証し合う相互認証に用いる相互認証情報を、前記制御装置において生成された前記仮想パスを用いて当該トンネル通信相手装置と交換する相互認証情報交換手段と、前記相互認証情報交換手段によって前記トンネル通信相手装置から取得された前記相互認証情報に基づいて、前記トンネル通信相手装置とのトンネル通信を確立するか拒否するかを判断し、拒否すると判断すると前記トンネル通信の確立を拒否するトンネル通信確立拒否手段と、前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、前記制御装置において生成された前記仮想パスを用いて当該トンネル通信相手装置に当該トンネル通信データを送信するトンネルデータ送信手段と、前記トンネル通信確立拒否手段によって前記トンネル通信を確立すると判断された場合の前記トンネル通信相手装置から、前記制御装置において生成された前記仮想パスを用いて前記トンネル通信データを受信すると、当該トンネル通信データからオリジナルデータを抽出するトンネルデータ受信手段と、を備えたことを特徴とする。
【００３０】
また、請求項９に係る発明は、上記の発明において、前記制御装置において仮想パスが生成される際に前記発側トンネル通信装置および前記着側トンネル通信装置各々の通信相手となる仮想パス相手装置について、互いの当該仮想パス相手装置を照合するための情報であるパス生成相手照合情報を、前記パス生成要求送信手段によって送信される前記パス生成要求から前記識別子を抽出することまたは前記パス生成相手照合情報送信手段によって送信された前記パス生成相手照合情報を前記制御装置から受信することにより取得するパス生成相手照合情報取得手段をさらに備え、前記トンネル通信確立拒否手段は、前記パス生成相手照合情報取得手段によって取得された前記パス生成相手照合情報と、前記相互認証情報交換手段によって前記トンネル通信相手装置から取得された前記相互認証情報とに基づいて、前記トンネル通信相手装置が前記仮想パス相手装置と同一であるか否かを判断し、当該トンネル通信相手装置が当該仮想パス相手装置と同一でないと判断する場合にはトンネル通信を拒否すると判断することを特徴とする。
【００３１】
また、請求項１０に係る発明は、上記の発明において、前記通信相手を前記ネットワーク上で一意に識別する識別子と、当該通信相手との間で予め共有されている鍵情報である共有鍵とを対応づけて保持する共有鍵保持手段をさらに備え、前記パス生成相手照合情報取得手段は、前記パス生成相手照合情報として、前記仮想パス相手装置を前記ネットワーク上で一意に識別する識別子を、前記パス生成要求送信手段によって送信される前記パス生成要求から当該識別子を抽出することまたは前記制御装置から受信することにより取得し、前記相互認証情報交換手段は、前記共有鍵保持手段によって保持されている共有鍵のうち前記パス生成相手照合情報取得手段によって取得された前記識別子に対応づけられている共有鍵を選択し、当該共有鍵を用いて生成した情報を前記相互認証情報として前記トンネル通信相手装置と交換し、前記トンネル通信確立拒否手段は、前記トンネル通信相手装置から取得された前記相互認証情報を前記共有鍵を用いて検証し、当該検証の結果が失敗である場合に、当該トンネル通信相手装置が前記仮想パス相手装置と同一ではないと判断して前記トンネル通信の確立を拒否すると判断することを特徴とする。
【００３２】
また、請求項１１に係る発明は、上記の発明において、前記パス生成相手照合情報取得手段は、前記パス生成相手照合情報として、前記相互認証情報を生成する際に用いる共有鍵を生成するにあたり必要となるパラメータを、前記制御装置から受信することにより取得し、前記相互認証情報交換手段は、前記パス生成相手照合情報取得手段によって取得された前記パラメータを用いて前記共有鍵を生成し、当該共有鍵を用いて生成した情報を前記相互認証情報として前記トンネル通信相手装置と交換し、前記トンネル通信確立拒否手段は、前記トンネル通信相手装置から取得された前記相互認証情報を前記共有鍵を用いて検証し、当該検証の結果が失敗である場合に、当該トンネル通信相手装置が前記仮想パス相手装置と同一ではないと判断して前記トンネル通信の確立を拒否すると判断することを特徴とする。
【００３３】
また、請求項１２に係る発明は、上記の発明において、前記パス生成要求送信手段による前記制御装置に対する前記パス生成要求の送信および／または前記パス生成相手照合情報取得手段による前記制御装置からの前記パス生成相手照合情報の取得において、当該制御装置を認証する制御装置認証手段をさらに備えたことを特徴とする。
【００３４】
また、請求項１３に係る発明は、上記の発明において、前記パス生成相手照合情報取得手段は、前記パス生成相手照合情報として、前記仮想パス相手装置を前記ネットワーク上で一意に識別する識別子を、前記パス生成要求送信手段によって送信される前記パス生成要求から当該識別子を抽出することまたは前記制御装置から受信することにより取得し、前記相互認証情報交換手段は、自らの装置を前記ネットワーク上で一意に識別する自装置識別子を含む情報を前記相互認証情報として前記トンネル通信相手装置と交換し、前記トンネル通信確立拒否手段は、前記パス生成相手照合情報取得手段によって取得された前記識別子と、前記トンネル通信相手装置から取得された前記相互認証情報に含まれる当該トンネル通信相手装置の自装置識別子とが一意に対応付け可能でない場合に、当該トンネル通信相手装置が前記仮想パス相手装置と同一ではないと判断して前記トンネル通信の確立を拒否すると判断することを特徴とする。
【００３５】
また、請求項１４に係る発明は、上記の発明において、前記制御装置において仮想パスが生成される際に、前記発側トンネル通信装置および前記着側トンネル通信装置各々の通信相手となる仮想パス相手装置を前記ネットワーク上で一意に識別する識別子を当該制御装置から受信する仮想パス相手装置識別子受信手段と、前記仮想パス相手装置識別子受信手段によって受信された識別子に基づいて、当該識別子で識別される前記仮想パス相手装置とのトンネル通信を確立するか拒否するかを判断する判断手段と、をさらに備えたことを特徴とする。
【００３６】
また、請求項１５に係る発明は、上記の発明において、請求項６に記載の制御装置をコンピュータに実現させることを特徴とする。
【００３７】
また、請求項１６に係る発明は、上記の発明において、請求項７〜１４のいずれか一つに記載のトンネル通信装置をコンピュータに実現させることを特徴とする。
【発明の効果】
【００３８】
請求項１、６〜８、１５または１６の発明によれば、ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、データ転送に用いられる仮想パスを制御装置が制御するトンネル通信システムであって、制御装置は、着側トンネル通信装置をネットワーク上で一意に識別する識別子を含み着側トンネル通信装置との間に仮想パスを生成することを要求するパス生成要求を、発側トンネル通信装置から受信し、パス生成要求を受信すると、発側トンネル通信装置と着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行うことで仮想パスを生成し、仮想パスの生成を通知するパス生成通知を、発側トンネル通信装置および着側トンネル通信装置各々に送信し、発側トンネル通信装置は、仮想パスのパス生成要求を、制御装置に送信し、発側トンネル通信装置および着側トンネル通信装置は、パス生成通知を、制御装置から受信し、トンネル通信において通信相手となるトンネル通信相手装置との間で相互に認証し合う相互認証に用いる相互認証情報を、仮想パスを用いてトンネル通信相手装置と交換し、トンネル通信相手装置から取得された相互認証情報に基づいて、トンネル通信相手装置とのトンネル通信を確立するか拒否するかを判断し、拒否すると判断するとトンネル通信の確立を拒否し、トンネル通信を確立すると判断された場合のトンネル通信相手装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、生成された仮想パスを用いてトンネル通信相手装置にトンネル通信データを送信し、トンネル通信を確立すると判断された場合のトンネル通信相手装置から、仮想パスを用いてトンネル通信データを受信すると、トンネル通信データからオリジナルデータを抽出するので、トンネル通信装置は、広域ＩＰ網などのネットワークにおいて、転送リソースを制御し、かつ、パスのハイジャックを防止した上でトンネル通信を実現することが可能になる。
【００３９】
また、請求項２または９の発明によれば、制御装置は、仮想パスが生成される際に発側トンネル通信装置および着側トンネル通信装置各々の通信相手となる仮想パス相手装置について、互いの仮想パス相手装置を照合するための情報であるパス生成相手照合情報を、着側トンネル通信装置に、または、着側トンネル通信装置および発側トンネル通信装置に送信し、発側トンネル通信装置および着側トンネル通信装置は、パス生成相手照合情報を、送信されるパス生成要求から識別子を抽出することまたはパス生成相手照合情報を制御装置から受信することにより取得し、取得されたパス生成相手照合情報と、トンネル通信相手装置から取得された相互認証情報とに基づいて、トンネル通信相手装置が仮想パス相手装置と同一であるか否かを判断し、トンネル通信相手装置が仮想パス相手装置と同一でないと判断する場合にはトンネル通信を拒否すると判断するので、パス生成手順における通信相手を照合する情報と、トンネル通信における通信相手から取得した相互認証情報とに基づいて、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証することができることから、トンネル通信装置は、パスをハイジャックする不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）と相互認証可能な関係になっている場合においても、パスのハイジャックを防止した上でトンネル通信を実現することが可能になる。
【００４０】
また、請求項３の発明によれば、ネットワークは、ネットワーク上で開示されない非開示ＩＰアドレスおよび非開示ポート番号の組み合わせとネットワーク上で開示される開示ＩＰアドレスおよび開示ポート番号の組み合わせとの間で変換するＮＡＰＴ機能を備えており、発側トンネル通信装置は、発側非開示ＩＰアドレスおよび発側非開示ポート番号が付与されており、着側トンネル通信装置は、着側非開示ＩＰアドレスおよび着側非開示ポート番号が付与されているものであって、発側非開示ＩＰアドレスおよび発側非開示ポート番号の組み合わせに対応づけて選択された発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせを着側トンネル通信装置に送信すること、着側非開示ＩＰアドレスおよび着側非開示ポート番号の組み合わせに対応づけて選択された着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを発側トンネル通信装置に送信すること、並びに、発側非開示ＩＰアドレスおよび発側非開示ポート番号の組み合わせと発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせとの間での変換をＮＡＰＴ機能に設定すること、着側非開示ＩＰアドレスおよび着側非開示ポート番号の組み合わせと着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせと間での変換をＮＡＰＴ機能に設定することによって、ネットワークに転送リソースの設定を行うことで仮想パスを生成し、制御装置から送信された発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いて相互認証情報を交換し、制御装置から送信された発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いてトンネルデータを送信し、発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いて送信されたトンネルデータを受信するので、転送リソース制御として、ＩＰアドレス制御を行うことも可能になる。また、本発明に係るトンネル通信システムが、転送リソースの制御としてＩＰアドレス制御（ＮＡＰＴ結合）を行った場合には、着側トンネル通信装置のＩＰアドレスもＮＡＰＴで変換することができるようになることから、着側トンネル通信装置に広域ＩＰアドレスを割り当てる必要がなくなり、広域ＩＰ網において広域ＩＰアドレスが不足する事態を適切に回避することも可能になる。
【００４１】
また、請求項４の発明によれば、転送リソースの設定として、データ転送に適用すべき帯域に関する設定および／またはデータ転送に適用すべきデータの優先度に関する設定を行うことで仮想パスを生成するので、転送リソース制御として、帯域制御を行うことも可能になる。
【００４２】
また、請求項５の発明によれば、ネットワークは、パケットフィルタに設定された設定に基づいてパケットを導通させるか否かを判断するパケットフィルタ機能を備えたものであって、転送リソースの設定として、データ転送に関するパケットが導通するようにパケットフィルタに設定を行うことで仮想パスを生成するので、転送リソース制御として、フィルタリング制御を行うことも可能になる。
【００４３】
また、請求項１０の発明によれば、通信相手をネットワーク上で一意に識別する識別子と、通信相手との間で予め共有されている鍵情報である共有鍵とを対応づけて保持し、パス生成相手照合情報として、仮想パス相手装置をネットワーク上で一意に識別する識別子を、送信されるパス生成要求から識別子を抽出することまたは制御装置から受信することにより取得し、保持されている共有鍵のうち取得された識別子に対応づけられている共有鍵を選択し、共有鍵を用いて生成した情報を相互認証情報としてトンネル通信相手装置と交換し、トンネル通信相手装置から取得された相互認証情報を共有鍵を用いて検証し、検証の結果が失敗である場合に、トンネル通信相手装置が仮想パス相手装置と同一ではないと判断してトンネル通信の確立を拒否すると判断するので、事前に設定された共有鍵を用いる方式で、パス上のトンネル通信を保護（例えば、メッセージ認証、データ暗号化など）することも可能になり、かつ、パス上の中間者攻撃を防止することも可能になる。また、パス生成手順において通信相手の識別子を取得し、取得した識別子に対応づけて保持する共有鍵を用いて相互認証を行うことになるので、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証することができることから、パスをハイジャックする不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）と相互認証可能な関係になっている場合においても、パスのハイジャックを防止することが可能になる。
【００４４】
また、請求項１１の発明によれば、パス生成相手照合情報として、相互認証情報を生成する際に用いる共有鍵を生成するにあたり必要となるパラメータを、制御装置から受信することにより取得し、取得されたパラメータを用いて共有鍵を生成し、共有鍵を用いて生成した情報を相互認証情報としてトンネル通信相手装置と交換し、トンネル通信相手装置から取得された相互認証情報を共有鍵を用いて検証し、検証の結果が失敗である場合に、トンネル通信相手装置が仮想パス相手装置と同一ではないと判断してトンネル通信の確立を拒否すると判断するので、事前に設定された共有鍵を用いる方式によらず、パス生成手順で生成された共有鍵を用いる方式で、パス上のトンネル通信を保護することも可能になる（例えば、トンネル通信が一時的な関係である通信相手との間で行われるケースにも適用できる）。また、パス生成手順において生成された共有鍵を用いて相互認証を行うことになるので、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証することができることから、パスをハイジャックする不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）と相互認証可能な関係になっている場合においても、パスのハイジャックを防止することが可能になる。
【００４５】
また、請求項１２の発明によれば、制御装置に対するパス生成要求の送信および／または制御装置からのパス生成相手照合情報の取得において、制御装置を認証するので、パス生成手順における中間者攻撃も防止できる結果（例えば、トンネル通信装置が、中間者攻撃を試みる偽の制御装置とメッセージを送受信してしまう事態を回避できる結果）、正当なパス生成相手照合情報を受信することを確保できることから、これにより、上記のパスのハイジャックをより安全に防止することができる。
【００４６】
また、請求項１３の発明によれば、パス生成相手照合情報として、仮想パス相手装置をネットワーク上で一意に識別する識別子を、送信されるパス生成要求から識別子を抽出することまたは制御装置から受信することにより取得し、自らの装置をネットワーク上で一意に識別する自装置識別子を含む情報を相互認証情報としてトンネル通信相手装置と交換し、取得された前記識別子と、トンネル通信相手装置から取得された相互認証情報に含まれるトンネル通信相手装置の自装置識別子とが一意に対応付け可能でない場合に、トンネル通信相手装置が仮想パス相手装置と同一ではないと判断してトンネル通信の確立を拒否すると判断するので、パス生成手順において取得した通信相手の識別子と、相互認証手順において取得した通信相手の識別子（相互認証手順における認証も行う）とが一意に対応付けが可能か否かを判断することで、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証することができることから、パスをハイジャックする不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）と相互認証可能な関係になっている場合においても、パスのハイジャックを防止することが可能になる。例えば、Ｘ．５０９証明書を用いる方式によって相互認証を行う際に、不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）とＸ．５０９証明書によって相互認証可能な関係になっている場合などにおいても、パスのハイジャックを防止することが可能になる。
【００４７】
また、請求項１４の発明によれば、制御装置において仮想パスが生成される際に、発側トンネル通信装置および着側トンネル通信装置各々の通信相手となる仮想パス相手装置をネットワーク上で一意に識別する識別子を制御装置から受信し、受信された識別子に基づいて、識別子で識別される仮想パス相手装置とのトンネル通信を確立するか拒否するかを判断するので、トンネル通信装置は、特定のトンネル通信装置とのみトンネルを確立するための認可を実現することが可能になる。例えば、着側トンネル通信装置が、特定の発側トンネル通信装置とのみトンネルを確立するための認可を実現することが可能になる。
【発明を実施するための最良の形態】
【００４８】
以下に添付図面を参照して、本発明に係るトンネル通信システム、制御装置およびトンネル通信装置の実施例を詳細に説明する。なお、以下では、実施例で用いる主要な用語、実施例１に係るトンネル通信システムの概要および特徴、実施例１に係るトンネル通信システムの構成、実施例１に係るトンネル通信システムによる処理の手順、実施例１の効果を順に説明し、続いて、他の実施例について説明する。
【実施例１】
【００４９】
［用語の説明］
まず最初に、以下の実施例で用いる主要な用語を説明する。以下の実施例で用いる「トンネル通信」とは、例えば、普段は企業のイントラネット（私設ＩＰ網）を利用しているユーザが、ユーザ自身の宅内ＬＡＮ（Local  Area  Network）に設置されている装置（パーソナル・コンピュータなど）から、広域ＩＰ（Internet  Protocol）網などのネットワークを経由して企業のイントラネットに接続し、イントラネット上の装置（ブロードバンド・ルータなど）との間で、あたかも直結しているネットワークであるかのような通信を行うことである。
【００５０】
かかる「トンネル通信」は、トンネル通信を行うことを要求する「発側トンネル通信装置」と、要求に応答してトンネル通信を行う「着側トンネル通信装置」とが、各々広域ＩＰ網に接続され、「発側トンネル通信装置」と「着側トンネル通信装置」とを互いに通信相手として行われるものである。上記の例では、宅内ＬＡＮに設置されているパーソナル・コンピュータが「発側トンネル通信装置」に対応し、イントラネット上のブロードバンド・ルータが「着側トンネル通信装置」に対応する。なお、実施例１においては、宅内ＬＡＮに設置されているパーソナル・コンピュータとイントラネット上のブロードバンド・ルータとを互いに通信相手として行われるトンネル通信を想定する場合を説明するが、本発明はこれに限られるものではない。例えば、「発側トンネル通信装置」や「着側トンネル通信装置」として、携帯情報端末（ＰＤＡ：Personal  Digital  Assistants）、ネットワーク家電、あるいは携帯電話端末などを想定する場合や、イントラネット同士を通信相手として行われるトンネル通信の構成や、外出先の装置とイントラネットとを通信相手として行われるトンネル通信の構成などを想定する場合などにも、本発明を同様に適用することができる。
【００５１】
また、実施例１における「トンネル通信」は、「発側トンネル通信装置」および「着側トンネル通信装置」の他に、「パス制御装置」（特許請求の範囲に記載の「制御装置」に対応する）が制御することで実現されるものである。すなわち、実施例１における「トンネル通信」は、「発側トンネル通信装置」と「着側トンネル通信装置」との間で送受信されるデータについて、広域ＩＰ網に設置された「パス制御装置」が、データが転送される経路である「仮想パス」を生成し、「発側トンネル通信装置」や「着側トンネル通信装置」が、「パス制御装置」によって生成された「仮想パス」を用いてデータを送受信するのである。ここで、「仮想パス」について説明すると、ある二つの通信装置について、これら二つの通信装置間のデータ転送に必要な転送リソースが割り当てられている状態を、これらの二つの通信装置間に仮想的なパスが生成されている状態とみなし、これを「仮想パス」と表現するものである。また、転送リソースを割り当てることを「仮想パスを生成する」と表現する。すなわち、「パス制御装置」が「仮想パス」を生成するとは、「パス制御装置」が、「発側トンネル通信装置」と「着側トンネル通信装置」との間のデータ転送に必要な転送リソースの割り当てを行うことである。
【００５２】
なお、実施例１においては、「パス制御装置」として、ＴＣＰ／ＩＰ（Transmission  Control  Protocol/Internet  Protocol）通信機能を持つ汎用サーバ・コンピュータを想定する場合を説明するが、本発明はこれに限られるものではなく、例えば、「パス制御装置」がネットワーク機器の一部である場合など、「パス制御装置」としてその他の装置を想定する場合にも、本発明を同様に適用することができる。
【００５３】
ところで、広域ＩＰ網のようなキャリアスケールのネットワークにおいては、「帯域制御」、「フィルタリング制御」、あるいは「ＩＰアドレス制御」のような、「転送リソース制御」が必要になると考えられる。また、同時に、「仮想パス」上で「トンネル通信」を行う場合には、パスのハイジャックを防止することが必要になると考えられる。このため、以下の実施例では、「発側トンネル通信装置」と「着側トンネル通信装置」と「パス制御装置」とで構成される「トンネル通信システム」が、どのようにして、転送リソースを制御し、かつ、パスのハイジャックを防止した上で「トンネル通信」を実現するかが重要な点になる。
【００５４】
［実施例１に係るトンネル通信システムの概要および特徴］
続いて、図１を用いて、実施例１に係るトンネル通信システムの概要および特徴を説明する。図１は、実施例１に係るトンネル通信システムの概要および特徴を説明するための図である。なお、以下の実施例１においては、パス制御装置が広域ＩＰ網を構成するローカルＩＰ網ごとに配備され、発側トンネル通信装置と着側トンネル通信装置とが、各々異なるパス制御装置に収容されている事例について説明するが、本発明はこれに限られるものではなく、パス制御装置が広域ＩＰ網に一台配備され、発側トンネル通信装置と着側トンネル通信装置とが同一のパス制御装置に収容されている事例などにも、本発明を同様に適用することができる。また、実施例１においては、発側トンネル通信の機能を持つ装置と着側トンネル通信の機能を持つ装置とで構成されるトンネル通信システムについて説明するが、本発明はこれに限られるものではなく、発側トンネル通信の機能および着側トンネル通信の機能の両方の機能を兼ね備えた装置で構成されるトンネル通信システムなどにも、本発明を同様に適用することができる。
【００５５】
また、実施例１においては、転送リソース制御として、ＩＰアドレス制御を行う事例について説明するが、本発明はこれに限られるものではなく、転送リソース制御として、帯域制御やフィルタリング制御を行う事例などにも、本発明を同様に適用することができる。なお、これらの事例については、実施例５において詳述することとする。
【００５６】
ところで、本発明に係るトンネル通信システムが、広域ＩＰ網において広域ＩＰアドレスが不足する事態をどのように回避するかについて説明すると、ＮＡＰＴ（インターネットにおいてパブリックＩＰアドレスが不足する事態を回避することを目的とした技術）を広域ＩＰ網に適用することで、広域ＩＰアドレスが不足する事態を回避することになる。
【００５７】
具体的には、広域ＩＰ網を、複数のローカルＩＰ網と、ローカルＩＰ網間を中継する中継装置とによって構成することとし、広域ＩＰ網の加入者が利用する加入者装置に対しては、ローカルＩＰアドレス（加入者装置が属するローカルＩＰ網においてのみ一意性が保証されるＩＰアドレス）を割り当てる。言い換えると、異なるローカルＩＰ網に属する加入者装置に対しては、同一のＩＰアドレスを重複して割り当てる。
【００５８】
この時、ある加入者装置が、ＤＮＳ（Domain  Name  System）などの機構を用いて、通信相手となる他の加入者装置のＩＰアドレスを取得し、このＩＰアドレスに対してパケットを送信したとしても、通信相手の加入者装置が異なるローカルＩＰ網に属する場合には、パケットは通信相手の加入者装置に転送されない。このため、異なるローカルＩＰ網に属する加入者装置間の通信を実現するには、中継装置にＮＡＰＴ機能を備えさせ、中継装置がＮＡＰＴ機能を実行することになる。
【００５９】
なお、かかるＮＡＰＴを従来のトンネル通信技術である「ＩＰｓｅｃＵＤＰカプセル方式」と組み合わせたとしても、着側トンネル通信装置には、広域ＩＰアドレスが割り当てられなければならない。この場合には、「Dynamic  ＤＮＳ」を利用したとしても、稼働中のトンネル通信装置（発側トンネル通信装置専用を除く）の台数分だけの広域ＩＰアドレスが必要になり、トンネル通信装置の数が数千万台の規模になれば、結局広域ＩＰアドレスが不足するという事態が生じることになる。本発明に係るトンネル通信システムは、この点についても解決している。
【００６０】
実施例１に係るトンネル通信システムは、上記したように、ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、データ転送に用いられる仮想パスをパス制御装置が制御することを概要とし、広域ＩＰ網などのネットワークにおいて、転送リソースを制御し、かつ、パスのハイジャックを防止した上でトンネル通信を実現することを主たる特徴とする。なお、実施例１は、パス生成手順において通信相手の識別子（電気通信番号）を取得し、取得した識別子に対応づけて保持する共有鍵を用いて相互認証を行うことで、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証し、パスのハイジャックを防止する実施例である。
【００６１】
この主たる特徴について簡単に説明すると、まず、図示してはいないが、実施例１における発側トンネル通信装置や着側トンネル通信装置は、互いの通信相手を広域ＩＰ網上で一意に識別する電気通信番号と、通信相手との間で予め共有されている鍵情報である共有鍵とを対応づけて保持している。すなわち、発側トンネル通信装置は、着側トンネル通信装置の電気通信番号（図１においては「着−ＩＤ」）と共有鍵とを対応づけて保持し、着側トンネル通信装置は、発側トンネル通信装置の電気通信番号（図１においては「発−ＩＤ」）と共有鍵とを対応づけて保持しているものとする。
【００６２】
このような構成のもと、実施例１に係るトンネル通信システムは、図１に示すように、まず、発側トンネル通信装置が、パス生成要求（着側トンネル通信装置の電気通信番号を含み、着側トンネル通信装置との間に仮想パスを生成することを要求するメッセージ）を、パス制御装置に送信する（図１の（１）を参照）。例えば、発側トンネル通信装置は、着側トンネル通信装置の電気通信番号や、広域ＩＰ網上で開示されない発側非開示ＩＰアドレスおよび発側非開示ポート番号を、ＳＩＰ（Session  Initiation  Protocol）のINVITEメッセージに付加した形態で、パス制御装置に送信する。
【００６３】
すると、パス制御装置は、パス生成要求を発側トンネル通信装置から受信し（図１の（２）を参照）、次に、発側トンネル通信装置と着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行うことで、仮想パスを生成する（図１の（３）を参照）。例えば、パス制御装置は、パス生成要求に含まれる発側非開示ＩＰアドレスおよび発側非開示ポート番号を受信し、受信した発側非開示ＩＰアドレスおよび発側非開示ポート番号の組み合わせと、これらに対応づけて選択された発側開示ＩＰアドレスおよび発側開示ポート番号（広域ＩＰ網上で開示される）の組み合わせとの間の変換を、ＮＡＰＴ機能を備えたゲートルータなどのネットワーク機器に設定するなどして転送リソースの設定を行い、仮想パスを生成する。
【００６４】
その後、パス制御装置は、仮想パスが生成される際に発側トンネル通信装置および着側トンネル通信装置各々の通信相手となる仮想パス相手装置について、互いの仮想パス相手装置を照合するための情報であるパス生成相手照合情報（図１において「照合情報」）を、発側トンネル通信装置および着側トンネル通信装置各々に送信する（図１の（４）を参照）。例えば、パス制御装置は、パス生成相手照合情報として、仮想パス相手装置を広域ＩＰ網上で一意に識別する電気通信番号（図１において「発−ＩＤ」や「着−ＩＤ」）を送信する。なお、実施例１におけるパス制御装置は、パス生成相手照合情報を送信するとともに、発側開示ＩＰアドレスおよび発側開示ポート番号を着側トンネル通信装置に送信し、着側非開示ＩＰアドレスおよび着側非開示ポート番号を発側トンネル通信装置に送信する。また、実施例１においては、パス生成相手照合情報として、仮想パス相手装置の識別子を送信する手法について説明したが、仮想パス相手装置が生成した鍵交換情報を送信する手法など、パス生成相手照合情報として交換する情報は、いずれでもよい。
【００６５】
すると、発側トンネル通信装置や着側トンネル通信装置は、パス生成相手照合情報をパス制御装置から受信する（図１の（５）を参照）。例えば、発側トンネル通信装置は、パス生成相手照合情報として「着−ＩＤ」を受信し、着側トンネル通信装置は、パス生成相手照合情報として「発−ＩＤ」を受信する。そして、発側トンネル通信装置と着側トンネル通信装置との間でセッションが確立される。なお、発側トンネル通信装置では、自装置がパス生成要求に付加した着側トンネル通信装置の識別子（電気通信番号）をパス生成相手照合情報としてもよい。
【００６６】
続いて、発側トンネル通信装置や着側トンネル通信装置は、相互認証（トンネル通信において通信相手となるトンネル通信相手装置との間で相互に認証し合う）に用いる相互認証情報を、生成された仮想パスを用いて、トンネル通信相手装置と交換する（図１の（６）を参照）。例えば、発側トンネル通信装置は、「着−ＩＤ」に対応づけて予め保持している共有鍵を用いて生成した情報を相互認証情報として着側トンネル通信装置に送信し、着側トンネル通信装置は、「発−ＩＤ」に対応づけて予め保持している共有鍵を用いて生成した情報を相互認証情報として発側トンネル通信装置に送信する。
【００６７】
そして、発側トンネル通信装置や着側トンネル通信装置は、パス生成要求に含まれる電気通信番号またはパス制御装置から受信した電気通信番号と、相互認証情報とに基づいて、トンネル通信相手装置が仮想パス相手装置と同一であるか否かを判断する（図１の（７）を参照）。例えば、発側トンネル通信装置は、着側トンネル通信装置から取得された相互認証情報（図１においては「着−相互認証」）を共有鍵を用いて検証し、着側トンネル通信装置は、発側トンネル通信装置から取得された相互認証情報（図１においては「発−相互認証」）を共有鍵を用いて検証する。
【００６８】
この結果、発側トンネル通信装置や着側トンネル通信装置は、トンネル通信相手装置が仮想パス相手装置と同一でないと判断する場合には、トンネル通信の確立を拒否すると判断し、トンネル通信の確立を拒否する（図１の（８）を参照）。例えば、発側トンネル通信装置や着側トンネル通信装置は、相互認証情報を共有鍵を用いて検証した結果が失敗である場合に、同一でないと判断して、トンネル通信の確立を拒否し、パスのハイジャックを防止する。
【００６９】
一方、発側トンネル通信装置や着側トンネル通信装置は、トンネル通信相手装置が仮想パス相手装置と同一であると判断する場合には、トンネル通信を確立すると判断し、トンネル通信データを送受信する（図１の（９）を参照）。例えば、発側トンネル通信装置は、着側トンネル通信装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、仮想パスを用いて着側トンネル通信装置にトンネル通信データを送信したり、着側トンネル通信装置から、仮想パスを用いてトンネル通信データを受信すると、トンネル通信データからオリジナルデータを抽出するなどする。
【００７０】
このようにして、実施例１に係るトンネル通信システムは、広域ＩＰ網などのネットワークにおいて、転送リソースを制御し、かつ、パスのハイジャックを防止した上でトンネル通信を実現することが可能になる。
【００７１】
［実施例１に係るトンネル通信システムの構成］
次に、図２〜図８を用いて、実施例１に係るトンネル通信システムの構成を説明する。図２は、実施例１に係るトンネル通信システムの構成を示すブロック図であり、図３は、アドレス記憶部について説明するための図であり、図４は、番号テーブル部について説明するための図であり、図５は、サーバアドレステーブル部について説明するための図であり、図６は、装置アドレステーブル部について説明するための図であり、図７は、信号部について説明するための図であり、図８は、ＰＳＫテーブル部について説明するための図である。
【００７２】
まず、図２を用いて、実施例１に係るトンネル通信システムの構成について説明する。まず、図２に示すように、発側トンネル通信装置２０および着側トンネル通信装置１０は、広域ＩＰ網にアクセス回線を介して各々接続している。ここで、発側トンネル通信装置２０および着側トンネル通信装置１０には、広域識別子（広域ＩＰ網全体で一意性が保たれるように各装置に割り当てられた識別子）として、電気通信番号が割り当てられている。この広域識別子は、トンネル通信装置が通信相手との間でセッションを確立するセッション確立手順（パス生成手順）において、トンネル通信装置が通信相手を指定するために割り当てられたものである。また、発側トンネル通信装置２０および着側トンネル通信装置１０には、広域ＩＰ網事業者によって、ローカルＩＰアドレス（トンネル通信装置が属するローカルＩＰ網においてのみ一意性が保証されるＩＰアドレス）が割り当てられている。以下では、発側トンネル通信装置２０の電気通信番号を『Ｎ２０２』、ローカルＩＰアドレスを『ＬＡ２０２』と表記し、着側トンネル通信装置１０の電気通信番号を『Ｎ１０２』、ローカルＩＰアドレスを『ＬＡ１０２』と表記する。
【００７３】
なお、実施例１においては、広域識別子として電気通信番号が割り当てられる手法を説明するが、本発明はこれに限られるものではなく、例えば、インターネットのホストネームのような文字列形式にするなど、広域ＩＰ網全体で一意性が保たれるように各装置に割り当てられる識別子であれば、具体的な識別子の形態はいずれでもよい。
【００７４】
また、ユーザが管理する私設ＩＰ網のＩＰアドレスとして、発側トンネル通信装置２０に『ＰＡ２０』がユーザによって割り当てられ、着側トンネル通信装置１０に『ＰＡ１０』がユーザによって割り当てられている。なお、『ＰＡ２０』および『ＰＡ１０』は、ユーザが管理するＩＰアドレスであって、インターネットのアドレス運用規定におけるパブリックＩＰアドレスであるのかプライベートＩＰアドレスであるのかは問わない。以下の実施例では、かかるＩＰアドレスを、ユーザＩＰアドレスと呼ぶ。
【００７５】
次に、広域ＩＰ網について説明すると、実施例１における広域ＩＰ網は、図２に示すように、ローカルＩＰ網２００、中継装置３００、およびローカルＩＰ網１００によって構成されている。ローカルＩＰ網２００には、ローカルルータ２３０が配備され、ローカルＩＰ網１００には、ローカルルータ１３０が配備され、ローカルＩＰアドレスに基づくＩＰルーチングおよび広域ＩＰアドレスに基づくＩＰルーチングを行う。ローカルルータ２３０およびローカルルータ１３０は、市販のＩＰルータなどによって実現できる。
【００７６】
中継装置３００は、コアルータ３１０と、ゲートルータ２２０およびゲートルータ１２０とによって構成される。中継装置３００は、広域ＩＰアドレスに基づくＩＰルーチングを行う。また、ゲートルータ２２０およびゲートルータ１２０は、ＮＡＰＴ機能を備え、ゲートルータ２２０は、ローカルＩＰ網２００のローカルＩＰアドレスと広域ＩＰ網アドレスとの間のＮＡＰＴ処理を行いながら、ローカルＩＰ網２００と中継装置３００との間でパケットを転送する。ゲートルータ１２０は、ローカルＩＰ網１００のローカルＩＰアドレスと広域ＩＰ網アドレスとの間のＮＡＰＴ処理を行いながら、ローカルＩＰ網１００と中継装置３００との間でパケットを転送する。なお、ゲートルータ２２０およびゲートルータ１２０には、ＮＡＰＴ用の広域ＩＰアドレスが事前に設定されている。例えば、ゲートルータ２２０には、広域アドレス『ＷＡ２００』が設定されており、ゲートルータ１２０には、広域アドレス『ＷＡ１００』が設定されている。また、コアルータ３１０、ゲートルータ２２０およびゲートルータ１２０は、市販のＩＰルータなどによって実現できる。
【００７７】
ところで、実施例１に係るトンネル通信システムには、図２に示すように、パス制御装置２１０と、パス制御装置１１０と、ゲートルータ２２０と、ゲートルータ１２０と、ローカルルータ２３０と、ローカルルータ１３０と、コアルータ３１０と、発側トンネル通信装置２０と、着側トンネル通信装置１０とが設けられているが、以下では、これらの装置のうち、特に本発明に密接に関連するものとして、パス制御装置２１０、パス制御装置１１０、ゲートルータ２２０、ゲートルータ１２０、発側トンネル通信装置２０、および着側トンネル通信装置１０について説明する。
【００７８】
［パス制御装置２１０およびパス制御装置１１０］
実施例１におけるパス制御装置２１０は、データ転送にトンネル通信が適用される場合に、データ転送に用いられる仮想パスを制御する装置であり、特に本発明に密接に関連するものとしては、図２に示すように、信号部２１１と、アドレス記憶部２１２と、パス制御部２１３とを備える。かかるパス制御装置２１０は、ＴＣＰ／ＩＰ通信機能を持つ汎用サーバ・コンピュータなどに、これらの部に対応するプログラムをインストールすることにより実現できる。なお、信号部２１１は、特許請求の範囲に記載の「パス生成要求受信手段」や「パス生成相手照合情報送信手段」としての機能を備え、パス制御部２１３は、特許請求の範囲に記載の「パス生成手段」としての機能を備える。
【００７９】
信号部２１１は、ＳＩＰ通信用の一般的なライブラリを備え、発側トンネル通信装置２０や着側トンネル通信装置１０との間で、セッションを確立するに際して必要とされる信号などを送受信する部である。
【００８０】
アドレス記憶部２１２は、パス制御装置２１０が利用する各種情報等を予め記憶する部であり、特に本発明に密接に関連するものとしては、図３に示すように、番号テーブル部２１２ａと、サーバアドレステーブル部２１２ｂと、装置アドレステーブル部２１２ｃとを備える。なお、実施例１においては、パス制御装置２１０がアドレス記憶部２１２を備える手法について説明するが、本発明はこれに限られるものではなく、アドレス記憶部２１２をパス制御装置２１０とは独立に備える手法にも、本発明を同様に適用することができる。
【００８１】
番号テーブル部２１２ａは、電気通信番号の範囲とパス制御装置との対応関係を予め記憶する部である。例えば、番号テーブル部２１２ａは、図４に示すように、電気通信番号とパス制御装置とを対応づけて記憶している。図４の例で説明すると、電気通信番号の上位２桁が『０３』または『０４』のトンネル通信装置は、パス制御装置１１０が収容しており、電気通信番号の上位２桁が『０６』のトンネル通信装置は、パス制御装置１２０が収容していることを示している。
【００８２】
サーバアドレステーブル部２１２ｂは、他のパス制御装置の広域ＩＰアドレスを予め記憶する部である。例えば、サーバアドレステーブル部２１２ｂは、図５に示すように、パス制御装置と広域ＩＰアドレスとを対応づけて記憶している。図５の例で説明すると、図５の（Ａ）が、パス制御装置２１０のサーバアドレステーブル部２１２ｂの例であるが、パス制御装置１１０の広域ＩＰアドレスが『ＷＡ１０１』であることなどを示している。
【００８３】
装置アドレステーブル部２１２ｃは、パス制御装置２１０に収容される装置の電気通信番号とローカルＩＰアドレスとの対応関係を予め記憶する部である。例えば、装置アドレステーブル部２１２ｃは、図６に示すように、装置の電気通信番号とローカルＩＰアドレスとを対応づけて記憶している。図６の例で説明すると、図６の（Ａ）が、パス制御装置２１０の装置アドレステーブル部２１２ｃの例であるが、電気通信番号『Ｎ２０２』の装置であってパス制御装置２１０に収容される装置のローカルＩＰアドレスが、『ＬＡ２０２』であることなどを示している。
【００８４】
図２に戻ると、パス制御部２１３は、データが転送される経路である仮想パスを生成する部である。具体的には、パス制御部２１３は、発側トンネル通信装置２０からパス生成要求を受信すると、発側トンネル通信装置２０と着側トンネル通信装置１０との間のデータ転送に必要な転送リソースの設定を行うことで仮想パスを生成する。なお、パス制御部２１３による具体的な処理については、後に、実施例１に係るトンネル通信装置による処理の手順を説明する際に詳述することとする。
【００８５】
ところで、実施例１におけるパス制御装置１１０も、パス制御装置２１０と同様に、データ転送にトンネル通信が適用される場合に、データ転送に用いられる仮想パスを制御する装置であり、パス制御装置２１０と同様の部を備える。そこで、パス制御装置１１０のアドレス記憶部１１２についてのみ簡単に説明する。
【００８６】
アドレス記憶部１１２は、アドレス記憶部２１２と同様、パス制御装置１１０が利用する各種情報等を予め記憶する部であり、特に本発明に密接に関連するものとしては、図３に示すように、番号テーブル部１１２ａと、サーバアドレステーブル部１１２ｂと、装置アドレステーブル部１１２ｃとを備える。
【００８７】
番号テーブル部１１２ａは、番号テーブル部２１２ａと同様、電気通信番号の範囲とパス制御装置との対応関係を予め記憶する部である。サーバアドレステーブル部１１２ｂは、サーバアドレステーブル部２１２ｂと同様、他のパス制御装置の広域ＩＰアドレスを記憶する部であり、図５の例で説明すると、図５の（Ｂ）が、パス制御装置１１０のサーバアドレステーブル部１１２ｂの例であるが、パス制御装置２１０の広域ＩＰアドレスが『ＷＡ２０１』であることなどを示している。
【００８８】
装置アドレステーブル部１１２ｃは、装置アドレステーブル部２１２ｃと同様、パス制御装置１１０に収容される装置の電気通信番号とローカルＩＰアドレスとの対応関係を予め記憶する部であり、図６の例で説明すると、図６の（Ｂ）が、パス制御装置１１０の装置アドレステーブル部１１２ｃの例であるが、電気通信番号『Ｎ１０２』の装置であってパス制御装置１１０に収容される装置のローカルＩＰアドレスが、『ＬＡ１０２』であることなどを示している。
【００８９】
［ゲートルータ２２０およびゲートルータ１２０］
実施例１におけるゲートルータ２２０は、ローカルＩＰ網２００のローカルＩＰアドレスと広域ＩＰ網アドレスとの間のＮＡＰＴ処理を行いながら、ローカルＩＰ網２００と中継装置３００との間でデータを転送する装置であり、特に本発明に密接に関連するものとしては、図２に示すように、転送リソース設定部２２１と、転送制御部２２２と、転送部２２３とを備える。かかるゲートルータ２２０は、市販のＩＰルータなどによって実現でき、ＮＡＰＴ機能と、ＮＡＰＴ生成処理を外部装置から受け付けるインタフェース（Ｉ／Ｆ）とを備えている必要がある。
【００９０】
転送リソース設定部２２１は、発側トンネル通信装置２０と着側トンネル通信装置１０とを互いに通信相手として行われるトンネル通信に必要な転送リソースを、転送制御部２２２に設定する部である。転送制御部２２２は、転送リソース設定部２２１によって設定された設定に従ってデータを転送するように、転送部２２３を制御する部である。実施例１においては、転送制御部２２２がＮＡＰＴ機能を有するが、転送リソース制御として、帯域制御やフィルタリング制御など、その他の制御を行う場合には、転送制御部２２２は、ＮＡＰＴ機能以外のその他の機能（帯域制御やフィルタリング制御に対応する機能など）を備えることになる。転送部２２３は、転送制御部２２２によって制御されて、データを転送する部である。なお、ゲートルータ２２０による具体的な処理については、後に、実施例１に係るトンネル通信装置による処理の手順を説明する際に詳述することとする。
【００９１】
ところで、実施例１におけるゲートルータ１２０も、ゲートルータ２２０と同様に、ローカルＩＰ網１００のローカルＩＰアドレスと広域ＩＰ網アドレスとの間のＮＡＰＴ処理を行いながら、ローカルＩＰ網１００と中継装置３００との間でデータを転送する装置であり、ゲートルータ２２０と同様の部を備える。そこで、ゲートルータ１２０の説明については、割愛することとする。
【００９２】
［発側トンネル通信装置２０］
実施例１における発側トンネル通信装置２０は、着側トンネル通信装置１０を通信相手としてトンネル通信を行う装置であり、特に本発明に密接に関連するものとしては、図２に示すように、信号部２１と、トンネル通信部２２と、パケット送受信部２３と、ＰＳＫテーブル部２４と、相互認証部２５とを備える。かかる発側トンネル通信装置２０は、パーソナル・コンピュータなどに、これらの部に対応するプログラムをインストールすることにより実現できる。なお、トンネル通信部２２は、特許請求の範囲に記載の「トンネルデータ送信手段」や「トンネルデータ受信手段」としての機能を備え、相互認証部２５は、特許請求の範囲に記載の「相互認証情報交換手段」としての機能と「トンネル通信確立拒否手段」としての機能を備える。
【００９３】
信号部２１は、ＳＩＰ通信用の一般的なライブラリを備え、パス制御装置２１０との間で、セッションを確立するに際して必要とされる信号などを送受信する部である。また、信号部２１は、収容されているＩＰ網のパス制御装置の広域ＩＰアドレスを予め記憶する。例えば、信号部２１は、図７の（Ａ）に示すように、パス制御装置２１０の広域ＩＰアドレス『ＷＡ２０１』を記憶する。
【００９４】
トンネル通信部２２は、トンネル通信用のパケットを生成する部である。パケット送受信部２３は、ＩＰ通信用の一般的なライブラリを備え、トンネル通信部２２によってトンネル通信用に生成されたパケット（例えば、ＵＤＰ／ＩＰパケットにカプセル化されたパケットなど）を、ローカルルータ２３０などとの間で送受信する部である。
【００９５】
ＰＳＫテーブル部２４は、他のトンネル通信装置の電気通信番号と共有鍵との対応関係を予め記憶する部である。例えば、ＰＳＫテーブル部２４は、図８に示すように、電気通信番号と共有鍵とを対応づけて記憶している。図８の例で説明すると、図８の（Ａ）が、発側トンネル通信装置２０のＰＳＫテーブル部２４の例であるが、発側トンネル通信装置２０と電気通信番号『Ｎ１０２』で識別される着側トンネル通信装置１０との間で共有される共有鍵が、『Ｋ』であることを示している。
【００９６】
相互認証部２５は、発側トンネル通信装置２０と着側トンネル通信装置１０との間の相互認証を行う部である。ところで、相互認証部２５が相互認証に用いる鍵付きハッシュ関数のアルゴリズムや、セッション鍵を計算するためのDiffie−Helmanのアルゴリズムや、トンネル通信パケットを保護する暗号アルゴリズムは、広域ＩＰ網において、事前に規定されているものとする。ただし、これらのアルゴリズムは、パス生成手順や、トンネル通信開始時のメッセージ交換などにより、動的に決定することとしてもよい。なお、これらの部による具体的な処理については、後に、実施例１に係るトンネル通信装置による処理の手順を説明する際に詳述する。
【００９７】
［着側トンネル通信装置１０］
実施例１における着側トンネル通信装置１０は、発側トンネル通信装置２０を通信相手としてトンネル通信を行う装置であり、特に本発明に密接に関連するものとしては、図２に示すように、信号部１１と、トンネル通信部１２と、転送部１３と、ＰＳＫテーブル部１４と、相互認証部１５とを備える。かかる着側トンネル通信装置１０は、ブロードバンド・ルータなどに、これらの部に対応するプログラムをインストールすることにより実現できる。なお、着側トンネル通信装置１０は、発側トンネル通信装置２０と同様の部を備えることから、信号部１１とＰＳＫテーブル部１４についてのみ簡単に説明することとする。
【００９８】
信号部１１は、信号部２１と同様、ＳＩＰ通信用の一般的なライブラリを備え、パス制御装置１１０との間で、セッションを確立するに際して必要とされる信号などを送受信する部であり、例えば、図７の（Ｂ）に示すように、パス制御装置１１０の広域ＩＰアドレス『ＷＡ１０１』を記憶する。
【００９９】
ＰＳＫテーブル部１４は、ＰＳＫテーブル部２４と同様、他のトンネル通信装置の電気通信番号と共有鍵との対応関係を予め記憶する部であり、図８の例で説明すると、図８の（Ｂ）が、着側トンネル通信装置１０のＰＳＫテーブル部１４の例であるが、着側トンネル通信装置１０と電気通信番号『Ｎ２０２』で識別される発側トンネル通信装置２０との間で共有される共有鍵が、『Ｋ』であることを示している。なお、着側トンネル通信装置１０が備える部による具体的な処理については、後に、実施例１に係るトンネル通信装置による処理の手順を説明する際に詳述する。
【０１００】
［実施例１に係るトンネル通信システムによる処理の手順］
次に、図９〜図１９を用いて、実施例１に係るトンネル通信システムによる処理の手順を説明する。図９は、実施例１に係るトンネル通信システムによる処理の手順を示すシーケンス図であり、図１０および図１１は、転送リソース制御（ＮＡＰＴ結合）について説明するための図であり、図１２〜図１６は、相互認証について説明するための図であり、図１７および図１８は、トンネル通信について説明するための図であり、図１９は、トンネル通信装置がアプリケーションＧＷである場合の実施例について説明するための図である。
【０１０１】
なお、本発明においては、図９に示すように、発側トンネル通信装置２０と着側トンネル通信装置１０との間でセッションを確立する手順であるセッション確立手順（パス生成手順）の後に、セッションが確立され、そして、発側トンネル通信装置２０と着側トンネル通信装置１０との間で相互認証を行う相互認証手順が続き、その後、トンネル通信が開始される。
【０１０２】
ここで、発側トンネル通信装置２０と着側トンネル通信装置１０との間で行われる相互認証の必要性等について簡単に説明する。相互認証は、トンネル通信を実現するあたり、セキュリティを確保することを目的として、通信相手との間で相互に認証するものである。すなわち、トンネル通信システムがパス生成手順によってパスを生成したとしても、パスの生成を傍受した不正な装置が正当な装置を何らかの攻撃により停止させた上で、この装置のＩＰアドレスを用いて正当な装置に成り代わってパスを使用する攻撃（パスのハイジャック）や、何らかの手段でパス上を転送されるパケットを盗聴、改竄する中間者攻撃などの脅威が依然として存在すると考えられるからである。相互認証の具体的な方式は、ＩＫＥ（Internet  Key  Exchange）（ＩＥＴＦ  ＲＦＣ−２４０９参照）などで定められており、「事前に設定された共有鍵を用いる方式」や、「公開鍵証明書を用いる方式（ＰＫＩ：Public  Key  Infrastructure）」などがある。以下の実施例１においては、「事前に設定された共有鍵を用いる方式」を採用する。
【０１０３】
なお、通常の「事前に設定された共有鍵を用いる方式」では、トンネル通信装置の各々が、通信相手となりうるトンネル通信装置の各々について、トンネル通信装置のＩＰアドレスと共有鍵とを対応づけて予め記憶しており、相互認証時に、トンネル通信装置の各々が、通信相手のＩＰアドレスに基づいて共有鍵を選択することになる。しかしながら、実施例１のように、広域ＩＰ網においてＮＡＰＴが実行される場合には、通信相手のＩＰアドレスが動的に割り当てられることから、ＩＰアドレスと共有鍵との対応づけを予め記憶する手法では対応することができない。実施例１に係るトンネル通信システムは、この点についても解決している。
【０１０４】
それでは、以下に、実施例１に係るトンネル通信システムの処理の手順について、具体的に説明する。まず、発側トンネル通信装置２０は、発側トンネル通信装置２０を利用するユーザによって着側トンネル通信装置１０の電気通信番号『Ｎ１０２』が指定されることで、トンネル通信部２２を起動する。なお、発側トンネル通信装置２０が着側トンネル通信装置１０の電気通信番号を予め記憶している場合には、ユーザによって電気通信番号が指定されることなく、発側トンネル通信装置２０は、トンネル通信部２２を起動する（すなわち、ユーザによる電気通信番号の入力を不要とさせる形態でよい）。
【０１０５】
次に、発側トンネル通信装置２０は、着側トンネル通信装置１０の電気通信番号『Ｎ１０２』を含むパス生成要求を生成し、このパス生成要求を、パス制御装置２１０へ送信する（ステップＳ２１０）。
【０１０６】
例えば、発側トンネル通信装置２０は、パス生成要求として、ＳＩＰのINVITEメッセージのToフィールドに着側トンネル通信装置１０の電気通信番号『Ｎ１０２』を含むメッセージを生成する。
【０１０７】
また、発側トンネル通信装置２０は、実行しようとしている通信がトンネル通信であり、トンネル通信用のローカルＩＰポート番号として『４５００／ＵＤＰ』を使用することを示すことを目的として、ＳＩＰのＳＤＰデータとして、“m=application  4500  udp  x-ngn-dial-up”という行を記述する。なお、事前の手順によって、実行しようとしている通信がトンネル通信であること、ローカルＩＰポート番号として『４５００／ＵＤＰ』を使用することが予め明白な場合には、このｍ行は記述しなくてよい。
【０１０８】
また、発側トンネル通信装置２０は、トンネル通信用のローカルＩＰアドレスとして『ＬＡ２０２』を使用することを示すことを目的として、ＳＤＰデータとして、『ＬＡ２０２』という行をｃ行に記述する。なお、事前の手順によって、ローカルＩＰアドレスとして『ＬＡ２０２』を使用することが予め明白な場合や、パス制御装置２１０が別の手段でローカルＩＰアドレスを取得可能な場合には、このｃ行は記述しなくてよい。例えば、パス制御装置２１０が、装置アドレステーブル部２１２ｃを参照して、INVITEのFROMヘッダ中の電気通信番号に対応するローカルＩＰアドレスを取得する手法や、SIPメッセージの発ＩＰアドレスと同一値であるとみなす手法などが考えられる。
【０１０９】
また、発側トンネル通信装置２０は、ＳＤＰの値として、電話用の値を記述してもよい。この場合、広域ＩＰ網側では、この通信をＩＰ電話呼として通信路を確立するが、発側トンネル通信装置２０および着側トンネル通信装置１０は、ＵＤＰ／ＩＰパケットのペイロードにトンネル通信用のデータを記述することになる。
【０１１０】
そして、発側トンネル通信装置２０は、生成されたパス生成要求（INVITEメッセージ）を、パス制御用のＵＤＰポート番号が『５０６０』であり、宛先ＩＰアドレスが『ＷＡ２０１』であるとして、ＵＤＰ／ＩＰパケットによってパス制御装置２１０へ送信する。
【０１１１】
次に、パス生成要求を受信したパス制御装置２１０は、パス生成を行う。具体的には、パス制御装置２１０は、発側トンネル通信装置２０のトンネル通信用のローカルＩＰアドレス『ＬＡ２０２』を、INVITEメッセージのＳＤＰデータｃ行から取得し、ローカルポート番号『ＬＰ２０２１』をｍ行から取得する（『４５００／ＵＤＰ』が得られる）。
【０１１２】
そして、パス制御装置２１０は、このローカルＩＰアドレス『ＬＡ２０２』およびローカルポート番号『ＬＰ２０２１』を引数として、ゲートルータ２２０に、トンネル通信用ＮＡＰＴ結合（ＮＡＰＴ  binding）の生成を要求する（ステップＳ２１１）。
【０１１３】
すると、ゲートルータ２２０は、ＮＡＰＴ用広域ＩＰアドレス『ＷＡ２００』について、未使用のＵＤＰポート番号『ＷＰ２０２１』を選択し、これを、要求されたＮＡＰＴ結合の広域ポート番号とする。そして、ゲートルータ２２０は、ＮＡＰＴ結合として、（ＬＡ２０２：ＬＰ２０２１、ＷＡ２００：ＷＰ２０２１）を登録する。ここで、実施例１においては、（ＬＡ：ＬＰ、ＷＡ：ＷＰ）といった形式で、ＮＡＰＴ結合を表記する。例えば、この表記例は、ゲートルータ２２０が、ソースＩＰアドレス『ＬＡ』、ソースポート番号『ＬＰ』のＬ４パケット（ポート番号で識別可能なパケット、レイヤ４パケット）を受信した場合には、宛先アドレスを『ＬＡ』に書き換え、宛先ポート番号を『ＬＰ』に書き換えて転送する、というＮＡＰＴを意味する。
【０１１４】
続いて、ゲートルータ２２０は、ＮＡＰＴ結合生成要求に対する応答として、広域ＩＰアドレス『ＷＡ２００』および広域ポート番号『ＷＰ２０２１』を、パス制御装置２１０に送信する（ステップＳ２１２）。
【０１１５】
すると、パス制御装置２１０は、INVITEメッセージのｍ行中のポート番号を『ＷＰ２０２１』に書き換え、ｃ行中のＩＰアドレスを『ＷＡ２００』に書き換える。そして、パス制御装置２１０は、INVITEメッセージ中のToヘッダが示す着側トンネル通信装置１０の電気通信番号『Ｎ１０２』に基づき番号テーブル部２１２ａを参照し、INVITEメッセージの転送先となるパス制御装置１１０を決定する。その後、パス制御装置２１０は、転送先のパス制御装置（パス制御装置１１０）のＩＰアドレスをサーバアドレステーブル部２１２ｂから参照し、取得したＩＰアドレス『ＷＡ１０１』に、INVITEメッセージを送信する（ステップＳ２２０）。
【０１１６】
続いて、パス制御装置１１０は、INVITEメッセージのToフィールドから、着側トンネル通信装置１０の電気通信番号『Ｎ１０２』を抽出し、この電気通信番号『Ｎ１０２』に対応するローカルＩＰアドレスを、装置アドレステーブル部１１２ｃから参照し、取得したＩＰアドレス『ＬＡ１０２』に、INVITEメッセージを送信する（ステップＳ２３０）。
【０１１７】
すると、INVITEメッセージを受信した着側トンネル通信装置１０は、まず、INVITEメッセージのｍ行から、このＳＩＰ通信がトンネル通信用であることを取得し、トンネル通信部１２を起動する。すなわち、着側トンネル通信装置１０は、INVITEメッセージのFromヘッダまたはP-Asserted-Identityヘッダから、発側トンネル通信装置２０の電気通信番号『Ｎ２０２』を抽出し（この時、着側トンネル通信装置１０は、パス生成相手照合情報をパス制御装置１１０から受信したといえる）、ＳＤＰのｍ行から発側開示ポート番号『ＷＰ２０２１』を抽出し、ｃ行から発側開示ＩＰアドレス『ＷＡ２００』を抽出する。さらに、着側トンネル通信装置１０は、着側トンネル通信装置１０のトンネル通信用ＵＤＰポート番号として、『ＬＰ１０２１』を選択する。この選択アルゴリズムとしては、固定値（『４５００』など）を選択する手法、未使用のポート番号を選択する手法などがあり得る。そして、着側トンネル通信装置１０は、これらのパラメータを引数として、トンネル通信部１２を起動する。
【０１１８】
そして、着側トンネル通信装置１０は、INVITEメッセージに応答する応答メッセージを、パス制御装置１１０に送信する（ステップＳ２４０）。すなわち、着側トンネル通信装置１０は、応答メッセージのＳＤＰデータとして、ｍ行に着側トンネル通信装置１０のトンネル通信用のＵＤＰポート番号『ＬＰ１０２１』を記述し、ｃ行に着側トンネル通信装置１０のＩＰアドレス『ＬＡ１０２』を記述する。
【０１１９】
次に、パス制御装置１１０は、受信した応答メッセージのＳＤＰデータから、着側トンネル通信装置１０のトンネル通信用のローカルＩＰアドレス『ＬＡ１０２』、ローカルポート番号『ＬＰ１０２１』を抽出する。なお、パス制御装置１１０が、着側トンネル通信装置１０のローカルＩＰアドレス、ローカルポート番号を取得する別の手段がある場合には、応答メッセージ中のｃ行、ｍ行の記述は省略することができる。例えば、ローカルポート番号を『４５００』の固定とする手法があり得る。また、ローカルＩＰアドレスについては、パス制御装置１１０が、応答メッセージのソースＩＰアドレスを用いる手法や、装置アドレステーブル部１１２ｃから取得する手法などがあり得る。
【０１２０】
次に、パス生成応答を受信したパス制御装置１１０は、パス生成を行う。具体的には、パス制御装置１１０は、着側トンネル通信装置１０のトンネル通信用のローカルＩＰアドレス『ＬＡ１０２』を、INVITE応答メッセージのＳＤＰデータｃ行から取得し、ローカルポート番号『ＬＰ１０２１』をｍ行から取得する（『４５００／ＵＤＰ』が得られる）。
【０１２１】
そして、パス制御装置１１０は、このローカルＩＰアドレス『ＬＡ１０２』およびローカルポート番号『ＬＰ１０２１』を引数として、ゲートルータ１２０に、トンネル通信用ＮＡＰＴ結合の生成を要求する（ステップＳ２４１）。
【０１２２】
すると、ゲートルータ１２０は、ＮＡＰＴ用広域ＩＰアドレス『ＷＡ１００』について、未使用のＵＤＰポート番号『ＷＰ１０２１』を選択し、これを、要求されたＮＡＰＴ結合の広域ポート番号とする。そして、ゲートルータ１２０は、ＮＡＰＴ結合として、（ＬＡ１０２：ＬＰ１０２１、ＷＡ１００：ＷＰ１０２１）を登録する。
【０１２３】
続いて、ゲートルータ１２０は、ＮＡＰＴ結合生成要求に対する応答として、広域ＩＰアドレス『ＷＡ１００』および広域ポート番号『ＷＰ１０２１』を、パス制御装置１１０に送信する（ステップＳ２４２）。
【０１２４】
すると、パス制御装置１１０は、INVITE応答メッセージのｍ行中のポート番号を『ＷＰ１０２１』に書き換え、ｃ行中のＩＰアドレスを『ＷＡ１００』に書き換える。そして、パス制御装置１１０は、INVIT応答メッセージ中のToヘッダが示す発側トンネル通信装置２０の電気通信番号『Ｎ２０２』に基づき番号テーブル部１１２ａを参照し、INVITE応答メッセージの転送先となるパス制御装置２１０を決定する。その後、パス制御装置１１０は、転送先のパス制御装置（パス制御装置２１０）のＩＰアドレスをサーバアドレステーブル部１１２ｂから参照し、取得したＩＰアドレス『ＷＡ２０１』に、INVITE応答メッセージを送信する（ステップＳ２５０）。
【０１２５】
続いて、パス制御装置２１０は、INVITE応答メッセージのToフィールドから、発側トンネル通信装置２０の電気通信番号『Ｎ２０２』を抽出し、この電気通信番号『Ｎ２０２』に対応するローカルＩＰアドレスを、装置アドレステーブル部２１２ｃから参照し、取得したＩＰアドレス『ＬＡ２０２』に、INVITE応答メッセージを送信する（ステップＳ２６０）。こうして、発側トンネル通信装置２０と着側トンネル通信装置１０との間でセッションが確立される。
【０１２６】
すなわち、図９に示すように、実施例１においては、ステップＳ２１０〜ステップＳ２６０までの手順が、セッション確立手順であり、パス生成手順である。言い換えると、実施例１に係るトンネル通信システムでは、パス制御装置２１０やパス制御装置１１０が、発側トンネル通信装置２０と着側トンネル通信装置１０との間でステップＳ２６０において確立されることになる仮想パスを生成することを要求するパス生成要求を発側トンネル通信装置２０から受信し、発側トンネル通信装置２０と着側トンネル通信装置１０との間のデータ転送に必要な転送リソースの設定を行うことで（実施例１においては、ＮＡＰＴ結合の設定登録をしている）仮想パスを生成する点に、まず特徴がある。
【０１２７】
そこで、ＮＡＰＴ結合の設定登録の手順について改めて確認すると、図１０および図１１のようになる。すなわち、図１０に示すように、発側トンネル通信装置２０は、広域ＩＰ網上で開示されない発側非開示ＩＰアドレス（ローカルＩＰアドレス）として『ＬＡ２０２』が付与されており、発側非開示ポート番号（ローカルポート番号）として『ＬＰ２０２１』が付与されている（図１０の（１）を参照）。
【０１２８】
発側トンネル通信装置２０は、発側非開示ＩＰアドレス『ＬＡ２０２』および発側非開示ポート番号『ＬＰ２０２１』を、INVITEメッセージに付加する形態で、パス制御装置２１０に送信する（図１０の（２）を参照）。
【０１２９】
すると、パス制御装置２１０は、発側非開示ＩＰアドレス『ＬＡ２０２』および発側非開示ポート番号『ＬＰ２０２１』をゲートルータ２２０に送信し（図１０の（３）を参照）、ゲートルータ２２０において、ＮＡＰＴ結合がなされることで（図１０の（４）を参照）、発側非開示ＩＰアドレス『ＬＡ２０２』および発側非開示ポート番号『ＬＰ２０２１』に対応づけるように、ネットワーク上で開示する発側開示ＩＰアドレス『ＷＡ２００』および発側開示ポート番号『ＷＰ２０２１』を取得する（図１０の（５）を参照）。
【０１３０】
続いて、パス制御装置２１０は、INVITEメッセージ中の発側非開示ＩＰアドレス『ＬＡ２０２』を発側開示ＩＰアドレス『ＷＡ２００』に書き換え、発側非開示ポート番号『ＬＰ２０２１』を発側開示ポート番号『ＷＰ２０２１』に書き換えて（図１０の（６）を参照）、パス制御装置１１０に送信し（図１０の（７）を参照）、パス制御装置１１０が、着側トンネル通信装置１０に転送する（図１０の（８）を参照）。
【０１３１】
同様に、図１１に示すように、着側トンネル通信装置１０は、広域ＩＰ網上で開示されない着側非開示ＩＰアドレス（ローカルＩＰアドレス）として『ＬＡ１０２』が付与されており、着側非開示ポート番号（ローカルポート番号）として『ＬＰ１０２１』が付与されている（図１１の（１）を参照）。
【０１３２】
着側トンネル通信装置１０は、着側非開示ＩＰアドレス『ＬＡ１０２』および着側非開示ポート番号『ＬＰ１０２１』を、INVITE応答メッセージに付加する形態で、パス制御装置１１０に送信する（図１１の（２）を参照）。
【０１３３】
すると、パス制御装置１１０は、着側非開示ＩＰアドレス『ＬＡ１０２』および着側非開示ポート番号『ＬＰ１０２１』をゲートルータ１２０に送信し（図１１の（３）を参照）、ゲートルータ１２０において、ＮＡＰＴ結合がなされることで（図１１の（４）を参照）、着側非開示ＩＰアドレス『ＬＡ１０２』および着側非開示ポート番号『ＬＰ１０２１』に対応づけるように、ネットワーク上で開示する着側開示ＩＰアドレス『ＷＡ１００』および着側開示ポート番号『ＷＰ１０２１』を取得する（図１１の（５）を参照）。
【０１３４】
続いて、パス制御装置１１０は、INVITE応答メッセージ中の着側非開示ＩＰアドレス『ＬＡ１０２』を着側開示ＩＰアドレス『ＷＡ１００』に書き換え、着側非開示ポート番号『ＬＰ１０２１』を着側開示ポート番号『ＷＰ１０２１』に書き換えて（図１１の（６）を参照）、パス制御装置２１０に送信し（図１１の（７）を参照）、パス制御装置２１０が、発側トンネル通信装置２０に転送する（図１１の（８）を参照）。
【０１３５】
次に、図９に戻り、相互認証手順について説明すると、INVITE応答メッセージを受信した発側トンネル通信装置２０は、応答メッセージのｃ行から着側開示ＩＰアドレス『ＷＡ１００』を取得し、ｍ行から着側開示ポート番号『ＷＰ１０２１』を取得する。また、これらのパラメータ『ＷＡ１００』および『ＷＰ１０２１』と、ステップＳ２１０で指定した着側トンネル通信装置１０の電気通信番号『Ｎ１０２』とを引数として、トンネル通信部２２を起動する。なお、実施例１においては、発側トンネル通信装置２０が、ステップＳ２１０で指定した着側トンネル通信装置１０の電気通信番号『Ｎ１０２』とを引数としてトンネル通信部２２を起動する手法について説明したが、本発明はこれに限られるものではなく、ステップＳ２６０のパス生成応答に含まれる着側トンネル通信装置１０の電気通信番号『Ｎ１０２』（パス制御装置２１０からパス生成相手照合情報として受信した着側トンネル通信装置１０の電気通信番号『Ｎ１０２』）を引数としてトンネル通信部２２を起動する手法などにも、本発明を同様に適用することができる。
【０１３６】
発側トンネル通信装置２０のトンネル通信部２２は、まず、電気通信番号『Ｎ１０２』に対応する共有鍵『Ｋ』を、ＰＳＫテーブル部２４から取得する。そして、発側トンネル通信装置２０は、トンネル通信開始要求を生成する。具体的には、発側トンネル通信装置２０は、図１２の（１）に示すように、トンネルパケット保護用の共有鍵（セッション鍵）を生成するためのＤＨ公開情報『ＤＨＰ２０２』と、ＤＨ秘密情報『ＤＨＳ２０２』とを生成する。そして、発側トンネル通信装置２０は、図１２の（２）に示すように、ＤＨ公開情報『ＤＨＰ２０２』をメインボディとして、このメインボディに対する署名データ『ＳＩＧＮ２０２』を共有鍵『Ｋ』による鍵付きハッシュ関数により求める。そして、発側トンネル通信装置２０は、図１２の（３）に示すように、このメインボディと署名データ『ＳＩＧＮ２０２』とを含むトンネル通信開始要求を、ＵＤＰ／ＩＰパケットで、着側トンネル通信装置１０に送信する（ステップＳ３１０）。ＵＤＰ／ＩＰパケットのソースＩＰアドレスは『ＬＡ２０２』、ソースポート番号は『ＬＰ２０２１』、宛先ＩＰアドレスは『ＷＡ１００』、宛先ポート番号は『ＷＰ１０２１』とする。
【０１３７】
なお、発側トンネル通信装置２０の電気通信番号『Ｎ２０２』、現在時刻値、乱数値、トンネル通信を識別するためのトンネルセッションＩＤなど、その他のパラメータをさらにメインボディに含ませてもよい。
【０１３８】
ステップＳ３１０で送信されたＵＤＰパケットは、経路上のルータを経て、着側トンネル通信装置１０に受信される。この過程で、ゲートルータ２２０が、ソースＩＰアドレスを『ＷＡ２００』に書き換え、ソースポート番号を『ＷＰ２０２１』に書き換える。
【０１３９】
着側トンネル通信装置１０のトンネル通信部１２は、起動時に引数として入力された電気通信番号『Ｎ２０２』に対応する共有鍵『Ｋ』を、ＰＳＫテーブル部１４から取得する。そして、着側トンネル通信装置１０は、受信したトンネル通信開始要求からメインボディと発側トンネル通信装置１０の署名『ＳＩＧＮ２０２』とを抽出し、共有鍵『Ｋ』により『ＳＩＧＮ２０２』の正当性を検証する。具体的には、着側トンネル通信装置１０は、図１２の（４）に示すように、メインボディと署名データ『ＳＩＧＮ２０２』とを発側トンネル通信装置２０から受信すると、図１２の（５）に示すように、メインボディに対する署名データ『ＳＩＧＮ２０２．ｅｘｐ』を共有鍵『Ｋ』による鍵付きハッシュ関数により求め、図１２の（６）に示すように、『ＳＩＧＮ２０２』と『ＳＩＧＮ２０２．ｅｘｐ』とが一致するか否かにより、『ＳＩＧＮ２０２』の正当性を検証する。『ＳＩＧＮ２０２』と『ＳＩＧＮ２０２．ｅｘｐ』とが一致せず、検証がエラーとなった場合には、着側トンネル通信装置１０は、エラー応答を送信する。この時、着側トンネル通信装置１０は、トンネル通信において通信相手となるトンネル通信相手装置が、仮想パスが生成される際の通信相手であった仮想パス相手装置と同一ではないと判断してトンネル通信の確立を拒否することを判断し、トンネル通信の確立を拒否するものであり、このエラー応答の送信が、トンネル通信の確立を拒否する動作に相当する。
【０１４０】
『ＳＩＧＮ２０２』と『ＳＩＧＮ２０２．ｅｘｐ』とが一致して、署名データ『ＳＩＧＮ２０２』が正当であることが検証された場合、着側トンネル通信装置１０は、図１３の（２）に示すように、トンネルパケット保護用の共有鍵を生成するためのＤＨ公開情報『ＤＨＰ１０２』とＤＨ秘密情報『ＤＨＳ１０２』とを生成し、図１３の（３）に示すように、トンネル通信開始要求から抽出したＤＨ公開情報『ＤＨＰ２０２』と、着側トンネル通信装置１０が生成したＤＨ秘密情報『ＤＨＳ１０２』とから、Diffie-Helman鍵交換アルゴリズムによって、セッション鍵ＫＳを求める。
【０１４１】
次に、着側トンネル通信装置１０は、トンネル通信開始応答を生成する。具体的には、着側トンネル通信装置１０は、正常応答を示す応答コード『ＲＥＳＰ−ＯＫ』を生成する。そして、着側トンネル通信装置１０は、図１４の（１）に示すように、トンネルパケット保護用の共有鍵を生成するためのＤＨ公開情報『ＤＨＰ１０２』とＤＨ秘密情報『ＤＨＳ１０２』とをすでに生成しているので、図１４の（２）に示すように、ＤＨ公開情報『ＤＨＰ１０２』をメインボディとして、このメインボディに対する署名データ『ＳＩＧＮ１０２』を共有鍵『Ｋ』による鍵付きハッシュ関数により求める。そして、着側トンネル通信装置１０は、図１４の（３）に示すように、このメインボディと署名データ『ＳＩＧＮ１０２』とを含むトンネル通信開始応答を、ＵＤＰ／ＩＰパケットで、発側トンネル通信装置２０に送信する（ステップＳ３２０）。ＵＤＰ／ＩＰパケットのソースＩＰアドレスは『ＬＡ１０２』、ソースポート番号は『ＬＰ１０２１』、宛先ＩＰアドレスは『ＷＡ２００』、宛先ポート番号は『ＷＰ２０２１』とする。なお、着側トンネル通信装置１０は、宛先ＩＰアドレス、宛先ポート番号はトンネル通信部１２起動時の引数から取得してもよいし、トンネル開始要求のソースＩＰアドレス、ソースポート番号から取得してもよい。また、署名データ『ＳＩＧＮ２０２』が不当であった場合、ステップＳ３２０において、応答コードは認証エラーを示す応答コード『ＲＥＳＰ−ＥＲＲ−ＡＵＴＨ』とし、メインボディには、応答コード『ＲＥＳＰ−ＥＲＲ−ＡＵＴＨ』のみを含めることとする。
【０１４２】
ステップＳ３２０で送信されたＵＤＰパケットは、経路上のルータを経て、発側トンネル通信装置２０に受信される。この過程で、ゲートルータ１２０が、ソースＩＰアドレスを『ＷＡ１００』に書き換え、ソースポート番号を『ＷＰ１０２１』に書き換える。
【０１４３】
発側トンネル通信装置２０は、受信したトンネル通信開始応答からメインボディと着側トンネル通信装置１０の署名『ＳＩＧＮ１０２』とを抽出し、共有鍵『Ｋ』により『ＳＩＧＮ１０２』の正当性を検証する。具体的には、発側トンネル通信装置２０は、図１４の（４）に示すように、メインボディと署名データ『ＳＩＧＮ１０２』とを着側トンネル通信装置１０から受信すると、図１４の（５）に示すように、メインボディに対する署名データ『ＳＩＧＮ１０２．ｅｘｐ』を共有鍵『Ｋ』による鍵付きハッシュ関数により求め、図１４の（６）に示すように、『ＳＩＧＮ１０２』と『ＳＩＧＮ１０２．ｅｘｐ』とが一致するか否かにより、『ＳＩＧＮ１０２』の正当性を検証する。『ＳＩＧＮ１０２』と『ＳＩＧＮ１０２．ｅｘｐ』とが一致せず、検証がエラーとなった場合には、発側トンネル通信装置２０は、エラー応答を送信する。この時、発側トンネル通信装置２０は、トンネル通信において通信相手となるトンネル通信相手装置が、仮想パスが生成される際の通信相手であった仮想パス相手装置と同一ではないと判断してトンネル通信の確立を拒否することを判断し、トンネル通信の確立を拒否するものであり、このエラー応答の送信が、トンネル通信の確立を拒否する動作に相当する。
【０１４４】
『ＳＩＧＮ１０２』と『ＳＩＧＮ１０２．ｅｘｐ』とが一致して、署名データ『ＳＩＧＮ１０２』が正当であることが検証された場合、発側トンネル通信装置２０は、図１５の（３）に示すように、トンネル通信開始応答から抽出したＤＨ公開情報『ＤＨＰ１０２』と、発側トンネル通信装置２０が生成したＤＨ秘密情報『ＤＨＳ２０２』とから、Diffie-Helman鍵交換アルゴリズムによって、セッション鍵『ＫＳ』を求める。
【０１４５】
そして、発側トンネル通信装置２０は、正常応答を示す応答コード『ＲＥＳＰ−ＯＫ』を含むトンネル通信開始応答確認を、着側トンネル通信装置１０に送信する（ステップＳ３３０）。この段階で、発側トンネル通信装置２０と着側トンネル通信装置１０との間で相互認証が完了し、セッション鍵『ＫＳ』が共有された状態となる。
【０１４６】
ここで、発側トンネル通信装置２０と着側トンネル通信装置１０との間で行われる相互認証について改めて確認すると、実施例１における相互認証は、図１６に示すように、発側トンネル通信装置２０と着側トンネル通信装置１０とが、事前に設定された共有鍵を互いに保持しており、パス上には、公開情報および署名データのみが流通する手法であることがわかる。
【０１４７】
こうして、発側トンネル通信装置２０および着側トンネル通信装置１０は、トンネル通信を開始することになる（ステップＳ４１０、４２０）。まず、発側トンネル通信装置２０は、図１７に示すように、トンネリング対象のＩＰパケット（オリジナルデータ）を、セッション鍵『ＫＳ』で暗号化し、暗号化されたＩＰパケットをＵＤＰパケットのペイロードに含ませて送信する。ここで、図１７は、発側トンネル通信装置２０が送信する場合を説明するものであるので、ソースＩＰアドレスは『ＬＡ２０２』、ソースポート番号は『ＬＰ２０２１』、宛先ＩＰアドレスは『ＷＡ１００』、宛先ポート番号は『ＷＰ１０２１』とする。
【０１４８】
すると、図１７に示すように、ゲートルータ２２０が、ソースＩＰアドレスを『ＷＡ２００』に書き換え、ソースポート番号を『ＷＰ２０２１』に書き換え、ゲートルータ１２０が、宛先ＩＰアドレスを『ＬＡ１０２』に書き換え、宛先ポート番号を『ＬＰ１０２１』に書き換えて、着側トンネル通信装置１０に送信することになる。その後、着側トンネル通信装置１０は、図１７に示すように、ＵＤＰパケットのペイロードをセッション鍵ＫＳで復号して、ＩＰパケットを復元する。
【０１４９】
一方、着側トンネル通信装置１０も、図１８に示すように、トンネリング対象のＩＰパケット（オリジナルデータ）を、セッション鍵『ＫＳ』で暗号化し、暗号化されたＩＰパケットをＵＤＰパケットのペイロードに含ませて送信する。ここで、図１８は、着側トンネル通信装置１０が送信する場合を説明するものであるので、ソースＩＰアドレスは『ＬＡ１０２』、ソースポート番号は『ＬＰ１０２１』、宛先ＩＰアドレスは『ＷＡ２００』、宛先ポート番号は『ＷＰ２０２１』とする。
【０１５０】
すると、図１８に示すように、ゲートルータ１２０が、ソースＩＰアドレスを『ＷＡ１００』に書き換え、ソースポート番号を『ＷＰ１０２１』に書き換え、ゲートルータ２２０が、宛先ＩＰアドレスを『ＬＡ２０２』に書き換え、宛先ポート番号を『ＬＰ２０２１』に書き換えて、発側トンネル通信装置２０に送信することになる。その後、発側トンネル通信装置２０は、図１８に示すように、ＵＤＰパケットのペイロードをセッション鍵ＫＳで復号して、ＩＰパケットを復元する。
【０１５１】
なお、図９のステップＳ３１０以降の相互認証やセッション鍵生成の手順は、上記の手法に限定されるものではなく、例えば、ＩＥＴＦ  ＲＦＣ−３９４７が定める方式をベースとしてＩＰアドレスおよびポート番号の決定方法を上記の通りとして、さらに、ＩＫＥフェーズ１におけるＰＳＫの選択方法を、上記の通り、電気通信番号に対応する鍵をＰＳＫテーブル部から取得する方法へ修正した方式など、いずれでもよい。また、トンネル転送におけるＵＤＰ／ＩＰのペイロード形式についても上記に限定されることはなく、ＩＥＴＦ  ＲＦＣ−３９４８が定める形式とすることも可能である。
【０１５２】
また、トンネル通信装置が使用するユーザＩＰアドレスを固定とせず、動的に割り当てることとしてもよい。例えば、ステップＳ３３０が完了した段階で、発側トンネル通信装置２０が着側トンネル通信装置１０にアドレス割り当て要求を送信し、着側トンネル通信装置１０は発側トンネル通信装置２０に割り当てアドレスを発信する。この際、同時に、ネットマスク値やデフォルトゲートウェイアドレスを送信してもよい。
【０１５３】
また、パス生成手順で生成したパスをデータリンク層とみなして、ＩＥＴＦ  ＲＦＣ−１６６１で規定の方式により、ＰＰＰリンクを確立するトンネル通信でもよい。この際、いずれかのトンネル通信装置が使用するユーザＩＰアドレスを「unnumbered」（割り当てなし）とすることも考えられる。
【０１５４】
また、実施例１においては、パスをＵＤＰ／ＩＰによって実現しているが、ＴＣＰ／ＩＰによって実現してもよい。この場合、上記の各ポート番号をＴＣＰポート番号として扱うこととし、ステップＳ３１０の直前で、発側トンネル通信装置２０が、ソースＩＰアドレス『ＬＡ２０２』およびポート番号『ＬＰ２０２１』を用いて、宛先ＩＰアドレス『ＷＡ２００』および宛先ポート番号『ＷＰ２０２１』に対して、ＴＣＰコネクションの生成を要求する。このＴＣＰコネクションの生成要求は、着側トンネル通信装置１０のポート番号『ＬＰ１０２１』に届き、着側トンネル通信装置１０が要求を受け付けて、ＴＣＰコネクションを確立する。そして、ステップＳ３１０以降のメッセージ交換やトンネル転送は、ＴＣＰコネクション上で実行される。
【０１５５】
また、発側トンネル接続装置２０は、ステップＳ２１０において、ＳＤＰ値として、ＩＰ電話用を示す「m=audio  LP2021  RTP/AVP  0」と記述してもよい。この場合、広域ＩＰ網は、この通信をＩＰ電話呼として通信路を確立するが、発側トンネル通信装置２０および着側トンネル通信装置１０は、ＵＤＰ／ＩＰペイロードに、トンネル通信用のデータをみなしＲＴＰデータとして記述する。
【０１５６】
また、実施例１においては、トンネル通信の方式として、トンネル通信装置がＩＰパケット全体を暗号化して仮想パスに送信する方式を説明したが、本発明はこれに限られるものではなく、トンネル通信装置がアプリケーションＧＷとなり通信を中継する方式にも、本発明を同様に適用することができる。図１９はその一例を示すものであるが、例えば、発側がＨＴＴＰクライアントで、着側ＬＡＮに存在するＨＴＴＰサーバとのトンネル通信を実現する場合には、発側トンネル通信装置にはＨＴＴＰプロキシ機能を備えさせ、着側トンネル通信装置にはＨＴＴＰリバースプロキシ機能を備えさせることになる。そして、ＨＴＴＰクライアントがＨＴＴＰ要求を送信すると（図１９の（１）を参照）、発側トンネル通信装置は、ＨＴＴＰ要求を受信し、このＨＴＴＰ要求を暗号化して仮想パスに送信する（図１９の（２）を参照）。着側トンネル通信装置は、仮想パス経由で受信したＨＴＴＰ要求を復号し（図１９の（３）を参照）、復元されたＨＴＴＰ要求をＨＴＴＰリバースプロキシ機能によりＨＴＴＰサーバへ中継する（図１９の（４）を参照）。このＨＴＴＰ要求の応答であるＨＴＴＰ応答の中継は逆の経路で中継される。すなわち、ＨＴＴＰサーバが送信するＨＴＴＰ応答を着側トンネル通信装置のＨＴＴＰリバースプロキシ機能が受信し（図１９の（５）を参照）、暗号化して仮想パスに送信する（図１９の（６）を参照）。このＨＴＴＰ応答を、発側トンネル通信装置のＨＴＴＰプロキシ機能が受信し、復号して（図１９の（７）を参照）、復元されたＨＴＴＰ応答をＨＴＴＰクライアントへ送信する（図１９の（８）を参照）。
【０１５７】
［実施例１の効果］
上記してきたように、実施例１によれば、ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、データ転送に用いられる仮想パスを制御装置が制御するトンネル通信システムであって、制御装置は、着側トンネル通信装置をネットワーク上で一意に識別する識別子を含み着側トンネル通信装置との間に仮想パスを生成することを要求するパス生成要求を、発側トンネル通信装置から受信し、パス生成要求を受信すると、発側トンネル通信装置と着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行うことで仮想パスを生成し、仮想パスの生成を通知するパス生成通知を、発側トンネル通信装置および着側トンネル通信装置各々に送信し、発側トンネル通信装置は、仮想パスのパス生成要求を、制御装置に送信し、発側トンネル通信装置および着側トンネル通信装置は、パス生成通知を、制御装置から受信し、トンネル通信において通信相手となるトンネル通信相手装置との間で相互に認証し合う相互認証に用いる相互認証情報を、仮想パスを用いてトンネル通信相手装置と交換し、トンネル通信相手装置から取得された相互認証情報に基づいて、トンネル通信相手装置とのトンネル通信を確立するか拒否するかを判断し、拒否すると判断するとトンネル通信の確立を拒否し、トンネル通信を確立すると判断された場合のトンネル通信相手装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、生成された仮想パスを用いてトンネル通信相手装置にトンネル通信データを送信し、トンネル通信を確立すると判断された場合のトンネル通信相手装置から、仮想パスを用いてトンネル通信データを受信すると、トンネル通信データからオリジナルデータを抽出するので、トンネル通信装置は、広域ＩＰ網などのネットワークにおいて、転送リソースを制御し、かつ、パスのハイジャックを防止した上でトンネル通信を実現することが可能になる。
【０１５８】
また、実施例１によれば、制御装置は、仮想パスが生成される際に発側トンネル通信装置および着側トンネル通信装置各々の通信相手となる仮想パス相手装置について、互いの仮想パス相手装置を照合するための情報であるパス生成相手照合情報を、着側トンネル通信装置に、または、着側トンネル通信装置および発側トンネル通信装置に送信し、発側トンネル通信装置および着側トンネル通信装置は、パス生成相手照合情報を、送信されるパス生成要求から識別子を抽出することまたはパス生成相手照合情報を制御装置から受信することにより取得し、取得されたパス生成相手照合情報と、トンネル通信相手装置から取得された相互認証情報とに基づいて、トンネル通信相手装置が仮想パス相手装置と同一であるか否かを判断し、トンネル通信相手装置が仮想パス相手装置と同一でないと判断する場合にはトンネル通信を拒否すると判断するので、パス生成手順における通信相手を照合する情報と、トンネル通信における通信相手から取得した相互認証情報とに基づいて、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証することができることから、トンネル通信装置は、パスをハイジャックする不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）と相互認証可能な関係になっている場合においても、パスのハイジャックを防止した上でトンネル通信を実現することが可能になる。
【０１５９】
また、実施例１によれば、ネットワークは、ネットワーク上で開示されない非開示ＩＰアドレスおよび非開示ポート番号の組み合わせとネットワーク上で開示される開示ＩＰアドレスおよび開示ポート番号の組み合わせとの間で変換するＮＡＰＴ機能を備えており、発側トンネル通信装置は、発側非開示ＩＰアドレスおよび発側非開示ポート番号が付与されており、着側トンネル通信装置は、着側非開示ＩＰアドレスおよび着側非開示ポート番号が付与されているものであって、発側非開示ＩＰアドレスおよび発側非開示ポート番号の組み合わせに対応づけて選択された発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせを着側トンネル通信装置に送信すること、着側非開示ＩＰアドレスおよび着側非開示ポート番号の組み合わせに対応づけて選択された着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを発側トンネル通信装置に送信すること、並びに、発側非開示ＩＰアドレスおよび発側非開示ポート番号の組み合わせと発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせとの間での変換をＮＡＰＴ機能に設定すること、着側非開示ＩＰアドレスおよび着側非開示ポート番号の組み合わせと着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせとの間での変換をＮＡＰＴ機能に設定することによって、ネットワークに転送リソースの設定を行うことで仮想パスを生成し、制御装置から送信された発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いて相互認証情報を交換し、制御装置から送信された発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いてトンネル通信データを送信し、発側開示ＩＰアドレスおよび発側開示ポート番号の組み合わせ、あるいは、着側開示ＩＰアドレスおよび着側開示ポート番号の組み合わせを用いて送信されたトンネル通信データを受信するので、転送リソース制御として、ＩＰアドレス制御を行うことも可能になる。また、本発明に係るトンネル通信システムが、転送リソースの制御としてＩＰアドレス制御（ＮＡＰＴ結合）を行った場合には、着側トンネル通信装置のＩＰアドレスもＮＡＰＴで変換することができるようになることから、着側トンネル通信装置に広域ＩＰアドレスを割り当てる必要がなくなり、広域ＩＰ網において広域ＩＰアドレスが不足する事態を適切に回避することも可能になる。
【０１６０】
また、実施例１によれば、通信相手をネットワーク上で一意に識別する識別子と、通信相手との間で予め共有されている鍵情報である共有鍵とを対応づけて保持し、パス生成相手照合情報として、仮想パス相手装置をネットワーク上で一意に識別する識別子を、送信されるパス生成要求から識別子を抽出することまたは制御装置から受信することにより取得し、保持されている共有鍵のうち取得された識別子に対応づけられている共有鍵を選択し、共有鍵を用いて生成した情報を相互認証情報としてトンネル通信相手装置と交換し、トンネル通信相手装置から取得された相互認証情報を共有鍵を用いて検証し、検証の結果が失敗である場合に、トンネル通信相手装置が仮想パス相手装置と同一ではないと判断してトンネル通信の確立を拒否すると判断するので、事前に設定された共有鍵を用いる方式で、パス上のトンネル通信を保護（例えば、メッセージ認証、データ暗号化など）することも可能になり、かつ、パス上の中間者攻撃を防止することも可能になる。また、パス生成手順において通信相手の識別子を取得し、取得した識別子に対応づけて保持する共有鍵を用いて相互認証を行うことになるので、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証することができることから、パスをハイジャックする不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）と相互認証可能な関係になっている場合においても、パスのハイジャックを防止することが可能になる。
【実施例２】
【０１６１】
ところで、これまで実施例１として、発側トンネル通信装置と着側トンネル通信装置との間で行われる相互認証が、通信相手との間で「事前に設定された共有鍵を用いる方式」で行われる事例について説明してきた。確かに、実施例１におけるこの方式は、「広域ＩＰ網においてＮＡＰＴが実行される場合には、ＩＰアドレスと対応づけて記憶された共有鍵を選択できない」といった課題を解決することが可能になり、なおかつ、パス上のトンネル通信を保護し、中間者攻撃を防止し、パスのハイジャックを防止することが可能になることから、有効な手法であるといえる。しかしながら、トンネル通信が一時的な関係である通信相手との間で行われるケースには、トンネル通信装置の各々が、通信相手との間で事前に設定された共有鍵を共有することが困難になるおそれもある。そこで、以下では、本発明に係る実施例２として、かかるケースに対応することを目的とした「パス生成手順で生成された共有鍵を用いる方式」を説明する。
【０１６２】
ここで、トンネル通信が一時的な関係である通信相手との間で行われるケースについて、その背景を簡単に説明する。従来のトンネル通信は、企業の従業員の装置と企業のＬＡＮの間でトンネル通信が行われるケースなど、接続し得る装置と接続先のＬＡＮとの関係が長期的である場合に適用されてきた。今後はさらに、例えば、家電メーカの保守業者が、ネットワーク家電の故障診断のために消費者のＬＡＮに接続するといったケースなど、接続し得る装置と接続先のＬＡＮとの関係が一時的な場合にも対応することが望まれる。しかし、このような一時的な関係の場合においては、相互認証に「事前に設定された共有鍵を用いる方式」を適用することは困難であるおそれがある。また、相互認証を「公開鍵証明書を用いる方式（ＰＫＩ：Public  Key  Infrastructure）」により実現することも可能であるが、ＣＡ局の設置や証明書失効情報の配信などが必要となることから、「事前に設定された共有鍵を用いる方式」と比較すると、コストが高くなってしまう。このため、本発明に係る実施例２では、相互認証を「パス生成手順で生成された共有鍵を用いる方式」により実現することを提案するものである。
【０１６３】
もっとも、相互認証を「パス生成手順で生成された共有鍵を用いる方式」により実現すると、パス生成手順における中間者攻撃には脆弱であるという課題が新たに生じるおそれがある。このため、以下の実施例２では、パス生成手順における中間者攻撃に対応することを目的として、トンネル通信装置がパス生成手順においてパス制御装置を認証することによって、中間者攻撃を試みる偽のパス制御装置との間でメッセージを送受信してしまうことを回避している。
【０１６４】
［実施例２に係るトンネル通信システムの概要および特徴］
図２０を用いて、実施例２に係るトンネル通信システムの概要および特徴を説明する。図２０は、実施例２に係るトンネル通信システムの概要および特徴を説明するための図である。
【０１６５】
実施例２に係るトンネル通信システムは、実施例１と同様、ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、データ転送に用いられる仮想パスをパス制御装置が制御することを概要とし、事前に設定された共有鍵を用いる方式によらず、パス生成手順で生成された共有鍵を用いる方式で、パス上のトンネル通信を保護し、パスのハイジャックを防止することを主たる特徴とする（例えば、トンネル通信が一時的な関係である通信相手との間で行われるケースにも適用できる）。なお、実施例２は、パス生成手順において、相互認証情報を生成する際に用いる共有鍵を生成するにあたり必要となるパラメータ（例えば、各々のＤＨ公開情報など）を取得し、取得したパラメータから生成した共有鍵を用いて相互認証を行うことで、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証し、パスのハイジャックを防止する実施例である。
【０１６６】
この主たる特徴について説明すると、まず、実施例２においては、各トンネル通信装置において、ＰＳＫテーブル部１４が不要になる。また、図示してはいないが、各トンネル通信装置とパス制御装置とは、事前に共有鍵を設定している。
【０１６７】
このような構成のもと、実施例２に係るトンネル通信システムは、実施例１と同様、発側トンネル通信装置が、パス生成要求をパス制御装置に送信し（図２０の（１）を参照）、パス制御装置は、パス生成要求を発側トンネル通信装置から受信し（図２０の（２）を参照）、発側トンネル通信装置と着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行うことで、仮想パスを生成する（図２０の（３）を参照）。
【０１６８】
もっとも、実施例２に係るトンネル通信システムでは、実施例１と異なり、発側トンネル通信装置がパス生成要求をパス制御装置に送信する際や、発側トンネル通信装置がパス生成相手照合情報をパス制御装置から受信する際など、パス生成手順において、発側トンネル通信装置が、パス制御装置との間で相互認証を行っている。例えば、発側トンネル通信装置とパス制御装置との間で、ダイジェスト認証による相互認証（ＩＥＴＦ  ＲＦＣ−２６１７など）が適用される。すると、例えば、パス制御装置は、パス生成要求の送信元装置（発側トンネル通信装置）の認証に成功した場合にのみ、パス生成要求を転送するなどする。また、発側トンネル通信装置は、パス制御装置の認証をすることで、パス制御装置が偽のパス制御装置ではないことを確認し、中間者攻撃を防止する。
【０１６９】
なお、セキュリティの観点からは、発側トンネル通信装置とパス制御装置との間で相互認証を行う実施形態が一番望ましい実施形態であると考えられるが、本発明はこれに限られるものではなく、発側トンネル通信装置によるパス制御装置の認証、あるいは、パス制御装置による発側トンネル通信装置の認証のいずれかを省略する実施形態などにも、本発明を同様に適用することができる。また、着側トンネル通信装置とパス制御装置との間の相互認証（あるいは認証）についても、着側トンネル通信装置とパス制御装置との間の相互認証を行う実施形態や、着側トンネル通信装置によるパス制御装置の認証、あるいは、パス制御装置による着側トンネル通信装置の認証のいずれかを省略する実施形態などにも、本発明を同様に適用することができる。セキュリティの観点から、運用に適した実施形態を選択することが望ましい。
【０１７０】
また、実施例２における発側トンネル通信装置は、実施例１と異なり、着側トンネル通信装置との間で共有鍵を生成するにあたり必要となるパラメータを生成し、生成したパラメータを、パス生成要求に付加するなどしてパス制御装置に送信している（図２０の（１）を参照）。例えば、発側トンネル通信装置は、パラメータとして、ＤＨ公開情報およびＤＨ秘密情報を生成し、生成したパラメータのうち、ＤＨ公開情報のみを、パス生成要求に付加するなどして送信している。一方、実施例２における着側トンネル通信装置も、実施例１と異なり、発側トンネル通信装置との間で共有鍵を生成するにあたり必要となるパラメータを生成し、生成したパラメータを、パス生成応答に付加するなどしてパス制御装置に送信している。例えば、着側トンネル通信装置は、パラメータとして、ＤＨ公開情報およびＤＨ秘密情報を生成し、生成したパラメータのうち、ＤＨ公開情報のみを、パス生成応答に付加するなどして送信している。
【０１７１】
そして、パス制御装置は、実施例１と同様、パス生成相手照合情報を、発側トンネル通信装置および着側トンネル通信装置各々に送信するが、実施例１と異なり、パス生成相手照合情報として、互いの仮想パス相手装置において生成されたＤＨ公開情報を送信する（図２０の（４）を参照）。
【０１７２】
すると、発側トンネル通信装置や着側トンネル通信装置は、実施例１と同様、パス生成相手照合情報をパス制御装置から受信するが、実施例１と異なり、パス生成相手照合情報として、互いの仮想パス相手装置において生成されたＤＨ公開情報を受信する（図２０の（５）を参照）。そして、発側トンネル通信装置と着側トンネル通信装置との間でセッションが確立される。
【０１７３】
続いて、発側トンネル通信装置や着側トンネル通信装置は、実施例１と同様、相互認証に用いる相互認証情報を、生成された仮想パスを用いて、トンネル通信相手装置と交換するが、実施例１と異なり、まず、自装置で生成したＤＨ秘密情報と、パス生成相手照合情報としてパス制御装置から受信したＤＨ公開情報とから、共有鍵を生成し（図２０の（６）を参照）、生成した共有鍵を用いて生成した情報を相互認証情報として（図２０の（７）を参照）、トンネル通信相手装置に送信する（図２０の（８）を参照）。
【０１７４】
そして、発側トンネル通信装置や着側トンネル通信装置は、実施例１と同様、パス制御装置から受信したパス生成相手照合情報と、相互認証情報とに基づいて、トンネル通信相手装置が仮想パス相手装置と同一であるか否かを判断するが、実施例１と異なり、発側トンネル通信装置は、着側トンネル通信装置から取得された相互認証情報（図２０においては「着−相互認証」）を、図２０の（６）において生成した共有鍵を用いて検証し、着側トンネル通信装置は、発側トンネル通信装置から取得された相互認証情報（図２０においては「発−相互認証」）を、図２０の（６）において生成した共有鍵を用いて検証する（図２０の（９）を参照）。
【０１７５】
この結果、発側トンネル通信装置や着側トンネル通信装置は、実施例１と同様、トンネル通信相手装置が仮想パス相手装置と同一ではないと判断すると、トンネル通信の確立を拒否することを判断し、トンネル通信の確立を拒否する（図２０の（１０）を参照）。すなわち、発側トンネル通信装置や着側トンネル通信装置は、相互認証情報を共有鍵を用いて検証した結果が失敗である場合に、同一ではないと判断して、トンネル通信の確立を拒否し、パスのハイジャックを防止する。
【０１７６】
一方、発側トンネル通信装置や着側トンネル通信装置は、実施例１と同様、トンネル通信相手装置が仮想パス相手装置と同一であると判断すると、トンネル通信を確立し、トンネル通信データを送受信する（図２０の（１１）を参照）。すなわち、発側トンネル通信装置は、着側トンネル通信装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、仮想パスを用いて着側トンネル通信装置にトンネル通信データを送信したり、着側トンネル通信装置から、仮想パスを用いてトンネル通信データを受信すると、トンネル通信データからオリジナルデータを抽出するなどする。
【０１７７】
［実施例２に係るトンネル通信システムによる処理の手順］
次に、図２１を用いて、実施例２に係るトンネル通信システムによる処理の手順を説明する。図２１は、実施例２に係るトンネル通信システムによる処理の手順を示すシーケンス図である。なお、以下では、実施例２に係るトンネル通信システムによる処理の手順のうち、実施例１に係るトンネル通信システムによる処理の手順とほぼ同様に行われる点については説明を省略し、特に異なる点についてのみ説明することとする。
【０１７８】
まず、発側トンネル通信装置２０は、ステップＳ２１０においてパス生成要求を送信する前に、共有鍵を生成するにあたり必要となるパラメータとして、ＤＨ公開情報『ＤＨＰ２０２ｐ』およびＤＨ秘密情報『ＤＨＳ２０２ｐ』を生成する（ステップＳ２００）。
【０１７９】
そして、発側トンネル通信装置２０は、ステップＳ２１０で送信するパス生成要求に、ＤＨ公開情報『ＤＨＰ２０２ｐ』を含める。例えば、発側トンネル通信装置２０は、ＩＥＴＦ  ＲＦＣ−４５６７に規定されている形式により、ＤＨ公開情報『ＤＨＰ２０２ｐ』をＳＤＰに記入するなどする。すると、ステップＳ２２０やステップＳ２３０などにおいて、ＤＨ公開情報『ＤＨＰ２０２ｐ』は、着側トンネル通信装置１０に送信されることになる。なお、図２１においては、発側トンネル通信装置２０が、ステップＳ２１０において、パス制御装置２１０との間で相互認証を行う処理の手順を示しているが、本発明はこれに限られるものではなく、他のタイミングで相互認証を行う処理の手順など、いずれでもよい。
【０１８０】
同様に、着側トンネル通信装置１０は、ステップＳ２４０においてパス生成応答を送信する前に、ＤＨ公開情報『ＤＨＰ１０２ｐ』およびＤＨ秘密情報『ＤＨＳ１０２ｐ』を生成する（ステップＳ２３１）。
【０１８１】
そして、着側トンネル通信装置１０は、ステップＳ２４０で送信するパス生成応答に、ＤＨ公開情報『ＤＨＰ１０２ｐ』を含める。例えば、着側トンネル通信装置１０は、ＩＥＴＦ  ＲＦＣ−４５６７に規定されている形式により、ＤＨ公開情報『ＤＨＰ１０２ｐ』をＳＤＰに記入するなどする。すると、ステップＳ２５０やステップＳ２６０などにおいて、ＤＨ公開情報『ＤＨＰ１０２ｐ』は、発側トンネル通信装置２０に送信されることになる。なお、図２１においては、着側トンネル通信装置１０が、ステップＳ２４０において、パス制御装置１１０との間で相互認証を行う処理の手順を示しているが、本発明はこれに限られるものではなく、他のタイミングで相互認証を行う処理の手順など、いずれでもよい。
【０１８２】
また、着側トンネル通信装置１０は、パス生成要求からＤＨ公開情報『ＤＨＰ２０２ｐ』を抽出し、このＤＨ公開情報『ＤＨＰ２０２ｐ』と、自装置が生成したＤＨ秘密情報『ＤＨＳ１０２ｐ』とから、Diffie-Helman鍵交換アルゴリズムによって、共有鍵『Ｋ』を生成する（ステップＳ２７１）。なお、図２１においては、着側トンネル通信装置１０がステップＳ２７１において共有鍵『Ｋ』を生成する処理の手順を示しているが、本発明はこれに限られるものではなく、ステップＳ２３１で通知情報を生成した後にすぐに共有鍵を生成する処理の手順など、いずれでもよい。
【０１８３】
同様に、発側トンネル通信装置２０は、パス生成応答からＤＨ公開情報『ＤＨＰ１０２ｐ』を抽出し、このＤＨ公開情報『ＤＨＰ１０２ｐ』と、自装置が生成したＤＨ秘密情報『ＤＨＳ２０２ｐ』とから、Diffie-Helman鍵交換アルゴリズムによって、共有鍵『Ｋ』を生成する（ステップＳ２７２）。
【０１８４】
実施例２に係るトンネル通信システムは、このようにして生成された共有鍵『Ｋ』を、ステップＳ３１０以降の手順における共有鍵として用いる。
【０１８５】
［実施例２の効果］
上記してきたように、実施例２によれば、パス生成相手照合情報として、相互認証情報を生成する際に用いる共有鍵を生成するにあたり必要となるパラメータを、制御装置から受信することにより取得し、取得されたパラメータを用いて共有鍵を生成し、共有鍵を用いて生成した情報を相互認証情報としてトンネル通信相手装置と交換し、トンネル通信相手装置から取得された相互認証情報を共有鍵を用いて検証し、検証の結果が失敗である場合に、トンネル通信相手装置が仮想パス相手装置と同一ではないと判断してトンネル通信の確立を拒否すると判断するので、事前に設定された共有鍵を用いる方式によらず、パス生成手順で生成された共有鍵を用いる方式で、パス上のトンネル通信を保護することも可能になる（例えば、トンネル通信が一時的な関係である通信相手との間で行われるケースにも適用できる）。また、パス生成手順において生成された共有鍵を用いて相互認証を行うことになるので、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証することができることから、パスをハイジャックする不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）と相互認証可能な関係になっている場合においても、パスのハイジャックを防止することが可能になる。
【０１８６】
また、実施例２によれば、制御装置に対するパス生成要求の送信および／または制御装置からのパス生成相手照合情報の取得において、制御装置を認証するので、パス生成手順における中間者攻撃も防止できる結果（例えば、トンネル通信装置が、中間者攻撃を試みる偽の制御装置とメッセージを送受信してしまう事態を回避できる結果）、正当なパス生成相手照合情報を受信することを確保できることから、これにより、上記のパスのハイジャックをより安全に防止することができる。
【実施例３】
【０１８７】
ところで、これまで実施例２として、トンネル通信が一時的な関係である通信相手との間で行われるケースに対応することを目的として、相互認証に「パス生成手順で生成された共有鍵を用いる方式」を用いる手法について説明してきた。確かに、実施例２におけるこの方式は、任意のトンネル通信装置からの接続を受け付けるケースなどに有効な手法であるといえる。しかしながら、運用の形態によっては、安全性を考慮して任意のトンネル通信装置からの接続を受け付けたくはないというケースも考え得る。このようなケースには、例えば、認可リストを追加するといった手法によって、対応することが考えられる。すなわち、トンネル通信装置は、認可リストを適宜追加、削除するのみで、例えば、頻繁に許可するトンネル通信装置からの接続は認め、認可リストに登録されていないトンネル通信装置からの接続は認めないといった運用を行うことが可能になる。そこで、以下では、本発明に係る実施例３として、かかるケースに対応することを目的とした「認可リストを用いる方式」を説明する。
【０１８８】
［実施例３に係るトンネル通信システムの概要および特徴］
図２２を用いて、実施例３に係るトンネル通信システムの概要および特徴を説明する。図２２は、実施例３に係るトンネル通信システムの概要および特徴を説明するための図である。
【０１８９】
実施例３に係るトンネル通信システムの主たる特徴について説明すると、実施例３においては、図２２に示すように、着側トンネル通信装置が、認可リストを予め保持している。例えば、認可リストは、接続を認可するトンネル通信装置の電気通信番号のリストである。なお、実施例３においては、着側トンネル通信装置が認可リストを保持する手法について説明するが、本発明はこれに限られるものではなく、例えば、接続を認可しないトンネル通信装置の電気通信番号のリストを保持するなど、受信した識別子に基づいてトンネル通信を行うか否かを判断できる情報であれば、具体的な情報の形態はいずれでもよい。
【０１９０】
このような構成のもと、実施例３における発側トンネル通信装置は、自装置を広域ＩＰ網において一意に識別する識別子として電気通信番号『Ｎ２０２』を、パス制御装置に送信し、これをパス制御装置が着側トンネル通信装置に送信する（図２２の（１）を参照）。
【０１９１】
すると、着側トンネル通信装置は、パス制御装置から電気通信番号『Ｎ２０２』を受信し（図２２の（２）を参照）、受信した電気通信番号『Ｎ２０２』に基づいて、発側トンネル通信装置との間でトンネル通信を確立するか許否するかを判断する（図２２の（３）を参照）。
【０１９２】
［実施例３に係るトンネル通信システムによる処理の手順］
次に、図２３を用いて、実施例３に係るトンネル通信システムによる処理の手順を説明する。図２３は、実施例３に係るトンネル通信システムによる処理の手順を示すシーケンス図である。なお、以下では、実施例３に係るトンネル通信システムによる処理の手順のうち、実施例２に係るトンネル通信システムによる処理の手順とほぼ同様に行われる点については説明を省略し、特に異なる点についてのみ説明することとする。
【０１９３】
まず、着側トンネル通信装置１０は、ステップＳ２３０においてパス生成要求をパス制御装置１１０から受信した後に、パス生成要求のFromヘッダまたはP-Asserted-Identityヘッダから、発側トンネル通信装置の電気通信番号『Ｎ２０２』を抽出し、認可リストを用いて、発側トンネル通信装置との間でトンネル通信を確立するか許否するかを判断する（ステップＳ２３１）。そして、この電気通信番号が認可リストに含まれていない場合には、着側トンネル通信装置１０は、ステップＳ２４０において、接続を拒否する応答を、発側トンネル通信装置２０に向けてパス制御装置１１０に送信する。
【０１９４】
なお、実施例３においては、着側トンネル通信装置２０が認可リストを保持している手法について説明したが、本発明はこれに限られるものではなく、例えば、パス制御装置１１０が認可リストを保持し、ステップＳ２２０において、パス制御装置１１０がパス生成要求を受信した段階で、パス生成要求のFromヘッダまたはP-Asserted-Identityヘッダから、発側トンネル通信装置の電気通信番号『Ｎ２０２』を抽出し、認可リストを用いて、発側トンネル通信装置２０と着側トンネル通信装置１０との間でトンネル通信を行わせるか否かを判断してもよい。
【０１９５】
また、着側トンネル通信装置１０がパス生成要求を受信した時点で、電話のナンバーディスプレイと同様の要領で発側トンネル通信装置２０の広域識別子をユーザにプレゼンテーションさせて、ユーザからの接続可否を入力させて判断を取得するといった認可も可能である。
【０１９６】
［実施例３の効果］
上記してきたように、実施例３によれば、制御装置において仮想パスが生成される際に、発側トンネル通信装置および着側トンネル通信装置各々の通信相手となる仮想パス相手装置をネットワーク上で一意に識別する識別子を制御装置から受信し、受信された識別子に基づいて、識別子で識別される仮想パス相手装置とのトンネル通信を確立するか拒否するかを判断するので、トンネル通信装置は、特定のトンネル通信装置とのみトンネルを確立するための認可を実現することが可能になる。例えば、着側トンネル通信装置が、特定の発側トンネル通信装置とのみトンネルを確立するための認可を実現することが可能になる。
【０１９７】
また、実施例３によれば、識別子（例えば、電気通信番号など）は秘密にする情報ではなく、例えば、トンネル通信が一時的な関係である通信相手との間で行われるケースにおいて、発側トンネル通信装置のユーザは、着側トンネル通信装置の公開情報を自装置に登録するのみでよいことから、共有鍵を秘密裏に連絡し合った上で共有鍵を装置に設定する手法に比較して、はるかに簡易な手法といえる。
【実施例４】
【０１９８】
ところで、これまで実施例１〜３として、発側トンネル通信装置と着側トンネル通信装置との間で行われる相互認証が、「事前に設定された共有鍵を用いる方式」もしくは「パス生成手順で生成された共有鍵を用いる方式」で行われる事例について説明してきた。しかしながら、本発明はこれに限られるものではなく、相互認証が「公開鍵証明書を用いる方式」で行われる事例についても、本発明を同様に適用することができる。そこで、以下では、本発明に係る実施例４として、相互認証が「公開鍵証明書を用いる方式」で行われる事例について説明する。
【０１９９】
［実施例４に係るトンネル通信システムの概要および特徴］
図２４を用いて、実施例４に係るトンネル通信システムの概要および特徴を説明する。図２４は、実施例４に係るトンネル通信システムの概要および特徴を説明するための図である。
【０２００】
実施例４に係るトンネル通信システムは、実施例１と同様、ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるデータ転送にトンネル通信が適用される場合に、データ転送に用いられる仮想パスをパス制御装置が制御することを概要とし、公開鍵証明書を用いる方式によって相互認証を行った場合に、パスのハイジャックを防止することを主たる特徴とする。なお、実施例４は、パス生成手順において取得した通信相手の識別子（電気通信番号）と、相互認証手順において取得した通信相手の識別子（相互認証手順における認証も行う）とが一意に対応付けが可能か否かを判断することで、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証し、パスのハイジャックを防止する実施例である。
【０２０１】
この主たる特徴について説明すると、まず、実施例４に係るトンネル通信システムは、実施例１と同様、発側トンネル通信装置が、パス生成要求をパス制御装置に送信し（図２４の（１）を参照）、パス制御装置は、パス生成要求を発側トンネル通信装置から受信し（図２４の（２）を参照）、発側トンネル通信装置と着側トンネル通信装置との間のデータ転送に必要な転送リソースの設定を行うことで、仮想パスを生成し（図２４の（３）を参照）、パス生成相手照合情報を、発側トンネル通信装置および着側トンネル通信装置各々に送信する（図２４の（４）を参照）。
【０２０２】
すると、発側トンネル通信装置や着側トンネル通信装置は、実施例１と同様、パス生成相手照合情報をパス制御装置から受信する（図２４の（５）を参照）。そして、発側トンネル通信装置と着側トンネル通信装置との間でセッションが確立される。
【０２０３】
続いて、発側トンネル通信装置や着側トンネル通信装置は、実施例１と同様、相互認証に用いる相互認証情報を、生成された仮想パスを用いて、トンネル通信相手装置と交換するが、実施例１と異なり、自らの装置を広域ＩＰ網上で一意に識別する自装置識別子を含む情報を相互認証情報として、トンネル通信相手装置に送信する（図２４の（６）を参照）。
【０２０４】
そして、発側トンネル通信装置や着側トンネル通信装置は、実施例１と同様、パス制御装置から受信したパス生成相手照合情報と、相互認証情報とに基づいて、トンネル通信相手装置が仮想パス相手装置と同一であるか否かを判断するが、実施例１と異なり、発側トンネル通信装置は、着側トンネル通信装置から取得された相互認証情報（図２４においては「着−ＩＤ」を含む「着−相互認証」）を認証し（図２４の（７）を参照）、次に、パス生成相手照合情報として受信した識別子（「着−ＩＤ」）と、相互認証情報に含まれる自装置識別子（「着−ＩＤ」）とが一意に対応付け可能であるか否かを判断する（図２４の（８）を参照）。同様に、着側トンネル通信装置は、発側トンネル通信装置から取得された相互認証情報（図２４においては「発−ＩＤ」を含む「発−相互認証」）を認証し（図２４の（７）を参照）、次に、パス生成相手照合情報として受信した識別子（「発−ＩＤ」）と、相互認証情報に含まれる自装置識別子（「発−ＩＤ」）とが一意に対応付け可能であるか否かを判断する（図２４の（８）を参照）。なお、図２４の（７）と（８）との順番は、いずれが先になってもよい。
【０２０５】
この結果、発側トンネル通信装置や着側トンネル通信装置は、実施例１と同様、トンネル通信相手装置が仮想パス相手装置と同一ではないと判断すると、トンネル通信の確立を拒否するが、実施例１と異なり、パス生成相手照合情報として受信した識別子と、相互認証情報に含まれる自装置識別子とが一意に対応付け可能でない場合に、同一ではないと判断して、トンネル通信の確立を拒否し、パスのハイジャックを防止する（図２４の（９）を参照）。
【０２０６】
一方、発側トンネル通信装置や着側トンネル通信装置は、実施例１と同様、トンネル通信相手装置が仮想パス相手装置と同一であると判断すると、トンネル通信を確立し、トンネル通信データを送受信する（図２４の（１０）を参照）。すなわち、発側トンネル通信装置は、着側トンネル通信装置に送信すべきデータであるオリジナルデータからトンネル通信データを生成し、仮想パスを用いて着側トンネル通信装置にトンネル通信データを送信したり、着側トンネル通信装置から、仮想パスを用いてトンネル通信データを受信すると、トンネル通信データからオリジナルデータを抽出するなどする。
【０２０７】
［実施例４に係るトンネル通信システムによる処理の手順］
次に、図２５および図２６を用いて、実施例４に係るトンネル通信システムによる処理の手順を説明する。図２５は、実施例４に係るトンネル通信システムによる処理の手順を示すシーケンス図であり、図２６は、相互認証について説明するための図である。なお、以下では、実施例４に係るトンネル通信システムによる処理の手順のうち、実施例１に係るトンネル通信システムによる処理の手順とほぼ同様に行われる点については説明を省略し、特に異なる点についてのみ説明することとする。
【０２０８】
まず、前提として、発側トンネル通信装置２０は、ＣＡ局の公開鍵と、発側トンネル通信装置２０の公開鍵ＰＫ２０２および秘密鍵ＳＫ２０２のペアと、公開鍵ＰＫ２０２についてＣＡ局の署名が付加された公開鍵証明書ＣＥＲＴ２０２とを保持している。同様に、着側トンネル通信装置１０は、ＣＡ局の公開鍵と、着側トンネル通信装置１０の公開鍵ＰＫ１０２および秘密鍵ＳＫ１０２のペアと、公開鍵ＰＫ１０２についてＣＡ局の署名が付加された公開鍵証明書ＣＥＲＴ１０２とを保持している。なお、ＣＥＲＴ２０２には、発側トンネル通信装置２０の電気通信番号『Ｎ２０２』が記述されており、ＣＥＲＴ１０２には、着側トンネル通信装置１０の電気通信番号『Ｎ１０２』が記述されている。また、各トンネル通信装置のＰＳＫテーブル部は不要となり、共有鍵『Ｋ』の選択も不要となる。
【０２０９】
発側トンネル通信装置２０は、図２５のステップＳ３１０において、メインボディに自装置の公開鍵証明書『ＣＥＲＴ２０２』を含め、『ＳＩＧＮ２０２』を、自装置の秘密鍵『ＳＫ２０２』を用いて公開鍵暗号を用いた電子署名アルゴリズムにより生成する（図２６の（２）を参照）。
【０２１０】
着側トンネル通信装置１０は、図２５のステップＳ３１１において、トンネル通信開始要求から公開鍵証明書『ＣＥＲＴ２０２』を抽出する（図２６の（４）を参照）。
【０２１１】
そして、着側トンネル通信装置１０は、まず、『ＣＥＲＴ２０２』中の電気通信番号『Ｎ．ｅｘｐ』と、パス生成要求から抽出した電気通信番号『Ｎ２０２』とが一意に対応付け可能であるか否かを確認し（図２６の（５）を参照）、一意に対応付け可能でない場合には、認証エラーとする。この時、着側トンネル通信装置１０は、トンネル通信において通信相手となるトンネル通信相手装置が、仮想パスが生成される際の通信相手であった仮想パス相手装置と同一ではないと判断してトンネル通信の確立を拒否し、パスのハイジャックを防止することを目的として、認証エラーとするものである。一意に対応付け可能である場合には、着側トンネル通信装置１０は、『ＣＥＲＴ２０２』から『ＰＫ２０２』を抽出し、トンネル通信開始要求から抽出した『ＳＩＧＮ２０２』を『ＰＫ２０２』で検証する（図２６の（６）を参照）。
【０２１２】
同様に、着側トンネル通信装置１０は、図２５のステップＳ３２０において、メインボディに自装置の公開鍵証明書『ＣＥＲＴ１０２』を含め、『ＳＩＧＮ１０２』を、自装置の秘密鍵『ＳＫ１０２』を用いて公開鍵暗号を用いた電子署名アルゴリズムにより生成する。
【０２１３】
発側トンネル通信装置２０は、図２５のステップＳ３２１において、トンネル通信開始応答から公開鍵証明書『ＣＥＲＴ１０２』を抽出する。
【０２１４】
そして、発側トンネル通信装置２０は、まず、『ＣＥＲＴ１０２』中の電気通信番号『Ｎ．ｅｘｐ』と、パス生成要求から抽出した電気通信番号『Ｎ１０２』とが一意に対応付け可能であるか否かを確認し、一意に対応付け可能でない場合には、認証エラーとする。この時、発側トンネル通信装置２０は、トンネル通信において通信相手となるトンネル通信相手装置が、仮想パスが生成される際の通信相手であった仮想パス相手装置と同一ではないと判断してトンネル通信の確立を拒否することを判断し、トンネル通信の確立を拒否するものであり、この認証エラーが、トンネル通信の確立を拒否する動作に相当する。一意に対応付け可能である場合には、発側トンネル通信装置２０は、『ＣＥＲＴ１０２』から『ＰＫ１０２』を抽出し、トンネル通信開始応答から抽出した『ＳＩＧＮ１０２』を『ＰＫ１０２』で検証する。
【０２１５】
なお、ＣＡ局の運用は、広域ＩＰ網の運用事業者によって運用される形態や、第三の運用事業者によって運用される形態など、いずれでもよい。
【０２１６】
ここで、再度、図２６を確認するとわかるように、発側トンネル通信装置２０と着側トンネル通信装置１０との間で「公開鍵証明書を用いる方式」で相互認証が行われたとしても、例えば、着側トンネル通信装置１０側では、図２６の（６）による検証の結果、公開鍵証明書の内容に改竄がないこと、公開鍵証明書が確かにＣＡ局によって発行されたものであること、「公開鍵証明書を送ってきた装置」がこの公開鍵証明書を送信したことを否認しないことなどを検証することしかできない。
【０２１７】
つまり、「公開鍵証明書を送ってきた装置」が、パス生成手順における通信相手であるパス生成相手装置であるか否かを検証することはしていない。すると、着側トンネル通信装置１０と同じＣＡ局に属し、ＣＡ局が発行した公開鍵証明書を保持する第三の装置によってパスがハイジャックされると、着側トンネル通信装置１０は、公開鍵証明書を検証することのみでは、パスがハイジャックされていることに気づかないおそれがある。このため、実施例４に係るトンネル通信システムにおいては、公開鍵証明書に識別子を含め、パス生成手順において取得した識別子と、相互認証手順において取得した自装置識別子とを一意に対応付け可能であるか否かを照合することで、「公開鍵証明書を送ってきた装置」が、パスを生成した通信相手である発側トンネル通信装置であることを確認している。
【０２１８】
なお、実施例４においては、パス生成相手照合情報として電気通信番号を受信し、相互認証情報の自装置識別子として電気通信番号を受信し、電気通信番号と電気通信番号とが一意に対応付け可能であるか否かを判断する手法について説明したが、本発明はこれに限られるものではなく、例えば、パス生成相手照合情報として「０４２２−１２−３４５６」のような電気通信番号を受信し、相互認証情報のＸ．５０９に含まれる自装置識別子として「example.xxx.co.jp」のようなホスト名を受信し、「０４２２−１２−３４５６」と「example.xxx.co.jp」とが一意に対応づけ可能であるか否かを判断する手法などにも、本発明を同様に適用することができる。この手法の場合には、トンネル通信装置やネット上のサーバなどのいずれかに、ホスト名と電気通信番号との対応テーブルを保持させ、トンネル通信装置はこの対応テーブルを参照することで、パス生成相手照合情報と相互認証情報との対応関係（一意に対応付け可能であるか否か）を確認するなどする。
【０２１９】
また、実施例４においては、パス生成手順において取得した通信相手の識別子と、相互認証手順において取得した公開鍵証明書に含まれる通信相手の識別子とが一意に対応付け可能か否かを判断することで、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証する手法について説明してきたが、本発明はこれに限られるものではない。相互認証手順において取得した公開鍵証明書を認証するのみでトンネル通信を確立し、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証しない手法にも、本発明を同様に適用することができる。後者の手法によると、例えば、不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）とＸ．５０９証明書によって相互認証可能な関係になっている場合などの特殊な事例において、パスのハイジャックを防止することはできない。しかしながら、後者の手法も、Ｘ．５０９証明書で相互認証をし、その相互認証に成功した場合にのみトンネル通信を確立するものであり、相手装置が一応の確率で不正な装置ではないことが担保され、パスのハイジャックはおおよそ防止できると考えられる。
【０２２０】
［実施例４の効果］
上記してきたように、実施例４によれば、パス生成相手照合情報として、仮想パス相手装置をネットワーク上で一意に識別する識別子を、送信されるパス生成要求から識別子を抽出することまたは制御装置から受信することにより取得し、自らの装置をネットワーク上で一意に識別する自装置識別子を含む情報を相互認証情報としてトンネル通信相手装置と交換し、取得された前記識別子と、トンネル通信相手装置から取得された相互認証情報に含まれるトンネル通信相手装置の自装置識別子とが一意に対応付け可能でない場合に、トンネル通信相手装置が仮想パス相手装置と同一ではないと判断してトンネル通信の確立を拒否すると判断するので、パス生成手順において取得した通信相手の識別子と、相互認証手順において取得した通信相手の識別子（相互認証手順における認証も行う）とが一意に対応付けが可能か否かを判断することで、パス生成手順における通信相手とトンネル通信における通信相手との一致関係を検証することができることから、パスをハイジャックする不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）と相互認証可能な関係になっている場合においても、パスのハイジャックを防止することが可能になる。例えば、Ｘ．５０９証明書を用いる方式によって相互認証を行う際に、不正な装置が着側トンネル通信装置（あるいは発側トンネル通信装置）とＸ．５０９証明書によって相互認証可能な関係になっている場合などにおいても、パスのハイジャックを防止することが可能になる。
【実施例５】
【０２２１】
［他の実施例］
さて、これまで本発明の実施例について説明したが、本発明は上記した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、実施例５に係るトンネル通信システムとして、異なる実施例を説明する。
【０２２２】
実施例１〜４においては、転送リソース制御として「ＩＰアドレス制御」（具体的には、ＮＡＰＴ結合など）を想定し、制御装置が、「ＩＰアドレス制御」を行った上でトンネル通信を実現するようにパスを生成する事例について説明したが、本発明はこれに限られるものではなく、転送リソース制御として「帯域制御」（具体的には、帯域割り当てや転送優先度設定など）や「フィルタリング制御」（具体的には、パケット導通設定など）を想定し、制御装置が、「帯域制御」や「フィルタリング制御」を行った上でトンネル通信を実現するようにパスを生成する事例にも、本発明を同様に適用することができる。
【０２２３】
以下に、ＮＡＰＴ結合を行わないこれらの事例について簡単に説明する。この事例においては、発側トンネル通信装置２０には広域ＩＰアドレス『ＷＡ２０２』が割り当てられ、着側トンネル通信装置１０には広域ＩＰアドレス『ＷＡ１０２』が割り当てられているものとする。したがって、図９のステップＳ２１０において、発側トンネル通信装置２０は、自装置のＩＰアドレスとして、『ＬＡ２０２』の代わりに『ＷＡ２０２』をＳＤＰに記入することとなり、ステップＳ２４０において、着側トンネル通信装置１０は、自装置のＩＰアドレスとして、『ＬＡ１０２』の代わりに『ＷＡ１０２』をＳＤＰに記入することとなる。
【０２２４】
そして、ステップＳ２４１において、パス制御装置１１０は、ＩＰアドレス『ＷＡ２０２』およびポート番号『ＬＰ２０２１』と、ＩＰアドレス『ＷＡ１０２』およびポート番号『ＬＰ１０２１』との間のＬ４通信に対して、帯域割り当て、転送優先度設定、あるいは、パケット導通設定などを行う。
【０２２５】
また、この事例においては、ＮＡＰＴが実行されないことから、ステップＳ２３０において、発側トンネル通信装置２０のポート番号として、『ＷＰ２０２１』の代わりに『ＬＰ２０２１』が通知され、着側トンネル通信装置１０のポート番号として、『ＷＰ１０２１』の代わりに『ＬＰ１０２１』が通知されることになる。この結果、ステップＳ３１０以降において、発側トンネル通信装置２０は、ＩＰアドレス『ＷＡ１０２』およびポート番号『ＬＰ１０２１』を用い、着側トンネル通信装置１０は、ＩＰアドレス『ＷＡ２０２』およびポート番号『ＬＰ２０２１』を用いることになる。
【０２２６】
［システム構成等］
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【０２２７】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示（例えば、図２など）の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０２２８】
なお、本実施例で説明したトンネル通信方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。
【産業上の利用可能性】
【０２２９】
以上のように、本発明に係るトンネル通信システム、制御装置およびトンネル通信装置は、ＩＰ通信を行うネットワークに各々接続された発側トンネル通信装置と着側トンネル通信装置とを互いに通信相手として行われるトンネル通信を制御装置が制御することに有用であり、特に、広域ＩＰ網などのネットワークにおいて、転送リソースを制御した上でトンネル通信を実現することに適する。
【図面の簡単な説明】
【０２３０】
【図１】実施例１に係るトンネル通信システムの概要および特徴を説明するための図である。
【図２】実施例１に係るトンネル通信システムの構成を示すブロック図である。
【図３】アドレス記憶部について説明するための図である。
【図４】番号テーブル部について説明するための図である。
【図５】サーバアドレステーブル部について説明するための図である。
【図６】装置アドレステーブル部について説明するための図である。
【図７】信号部について説明するための図である。
【図８】ＰＳＫテーブル部について説明するための図である。
【図９】実施例１に係るトンネル通信システムによる処理の手順を示すシーケンス図である。
【図１０】転送リソース制御（ＮＡＰＴ結合）について説明するための図である。
【図１１】転送リソース制御（ＮＡＰＴ結合）について説明するための図である。
【図１２】相互認証について説明するための図である。
【図１３】相互認証について説明するための図である。
【図１４】相互認証について説明するための図である。
【図１５】相互認証について説明するための図である。
【図１６】相互認証について説明するための図である。
【図１７】トンネル通信について説明するための図である。
【図１８】トンネル通信について説明するための図である。
【図１９】トンネル通信装置がアプリケーションＧＷである場合の実施例について説明するための図である。
【図２０】実施例２に係るトンネル通信システムの概要および特徴を説明するための図である。
【図２１】実施例２に係るトンネル通信システムによる処理の手順を示すシーケンス図である。
【図２２】実施例３に係るトンネル通信システムの概要および特徴を説明するための図である。
【図２３】実施例３に係るトンネル通信システムによる処理の手順を示すシーケンス図である。
【図２４】実施例４に係るトンネル通信システムの概要および特徴を説明するための図である。
【図２５】実施例４に係るトンネル通信システムによる処理の手順を示すシーケンス図である。
【図２６】相互認証について説明するための図である。
【図２７】ＮＡＰＴについて説明するための図である。
【符号の説明】
【０２３１】
１０  着側トンネル通信装置
１１  信号部
１２  トンネル通信部
１３  転送部
１４  ＰＳＫテーブル部
１５  相互認証部
１６  ＬＡＮスイッチ
２０  発側トンネル通信装置
２１  信号部
２２  トンネル通信部
２３  パケット送受信部
２４  ＰＳＫテーブル部
２５  相互認証部
１００  ローカルＩＰ網
１１０  パス制御装置
１１１  信号部
１１２  アドレス記憶部
１１３  パス制御部
１２０  ゲートルータ
１２１  転送リソース設定部
１２２  転送制御部
１２３  転送部
１３０  ローカルルータ
２００  ローカルＩＰ網
２１０  パス制御装置
２１１  信号部
２１２  アドレス記憶部
２１３  パス制御部
２２０  ゲートルータ
２２１  転送リソース設定部
２２２  転送制御部
２２３  転送部
２３０  ローカルルータ
３００  中継装置
３１０  コアルータ
【図１】
2008187686.tif 000003
【図２】
2008187686.tif 000004
【図３】
2008187686.tif 000005
【図４】
2008187686.tif 000006
【図５】
2008187686.tif 000007
【図６】
2008187686.tif 000008
【図７】
2008187686.tif 000009
【図８】
2008187686.tif 000010
【図９】
2008187686.tif 000011
【図１０】
2008187686.tif 000012
【図１１】
2008187686.tif 000013
【図１２】
2008187686.tif 000014
【図１３】
2008187686.tif 000015
【図１４】
2008187686.tif 000016
【図１５】
2008187686.tif 000017
【図１６】
2008187686.tif 000018
【図１７】
2008187686.tif 000019
【図１８】
2008187686.tif 000020
【図１９】
2008187686.tif 000021
【図２０】
2008187686.tif 000022
【図２１】
2008187686.tif 000023
【図２２】
2008187686.tif 000024
【図２３】
2008187686.tif 000025
【図２４】
2008187686.tif 000026
【図２５】
2008187686.tif 000027
【図２６】
2008187686.tif 000028
【図２７】
2008187686.tif 000029