(57)【特許請求の範囲】
【請求項１】
通信相手のＩＰアドレスの特性を判定する手段と、
判定した通信相手のＩＰアドレスの特性に応じて使用するＩＰｓｅｃ設定を決定する手段と、
決定したＩＰｓｅｃ設定に基づいてＩＰｓｅｃ通信を行う手段とを備え、
自己がＩＰｓｅｃ通信の接続を受け付けるレスポンダ側である場合には通信相手から接続があったときに前記各手段の処理を開始し、自己がＩＰｓｅｃ通信の接続を開始するイニシエータ側である場合には通信相手にパケットを送信する前に前記各手段の処理を開始し、
ＩＰアドレスの特性に応じて適切なＩＰｓｅｃ通信のセキュリティレベルを適用することを特徴とするネットワーク機器。
【請求項２】
請求項１に記載のネットワーク機器において、
ＩＰｓｅｃ通信にグローバルアドレスを使用する場合は、通信相手のＩＰアドレスに対して設定されたルーティングテーブルのホップ数に応じてＩＰｓｅｃ通信のセキュリティレベルを更に変更することを特徴とするネットワーク機器。
【請求項３】
請求項１または２のいずれか一項に記載のネットワーク機器において、
ＩＰアドレスはＩＰｖ６アドレスであり、
ＩＰｖ６アドレスの種類がリンクローカルアドレス、サイトローカルアドレスもしくはステートレスアドレスのいずれであるかをＩＰアドレスの特性として使用することを特徴とするネットワーク機器。
【請求項４】
請求項１乃至３のいずれか一項に記載のネットワーク機器において、
セキュリティレベルを事前に設定された高・中・低などの簡易レベルで設定する手段を備えたことを特徴とするネットワーク機器。
【請求項５】
請求項１乃至４のいずれか一項に記載のネットワーク機器において、
使用者が機器から直接にＩＰｓｅｃの設定・確認を行えるオペレーションパネルを備えたことを特徴とするネットワーク機器。
【請求項６】
請求項１乃至５のいずれか一項に記載のネットワーク機器において、
使用者が、外部機器からＩＰｓｅｃの設定・確認を行えるｔｅｌｎｅｔサーバを備えたことを特徴とするネットワーク機器。
【請求項７】
請求項１乃至６のいずれか一項に記載のネットワーク機器において、
使用者が、外部機器からＩＰｓｅｃの設定・確認を行えるＷｅｂサーバを備えたことを特徴とするネットワーク機器。
【請求項８】
通信相手のＩＰアドレスの特性を判定する工程と、
判定した通信相手のＩＰアドレスの特性に応じて使用するＩＰｓｅｃ設定を決定する工程と、
決定したＩＰｓｅｃ設定に基づいてＩＰｓｅｃ通信を行う工程とを備え、
自己がＩＰｓｅｃ通信の接続を受け付けるレスポンダ側である場合には通信相手から接続があったときに前記各工程の処理を開始し、自己がＩＰｓｅｃ通信の接続を開始するイニシエータ側である場合には通信相手にパケットを送信する前に前記各工程の処理を開始し、
ＩＰアドレスの特性に応じて適切なＩＰｓｅｃ通信のセキュリティレベルを適用することを特徴とするネットワーク機器のセキュリティレベル適用方法。
【請求項９】
請求項８に記載のネットワーク機器のセキュリティレベル適用方法において、
ＩＰｓｅｃ通信にグローバルアドレスを使用する場合は、通信相手のＩＰアドレスに対して設定されたルーティングテーブルのホップ数に応じてＩＰｓｅｃ通信のセキュリティレベルを更に変更することを特徴とするネットワーク機器のセキュリティレベル適用方法。
【請求項１０】
請求項８または９のいずれか一項に記載のネットワーク機器のセキュリティレベル適用方法において、
ＩＰアドレスはＩＰｖ６アドレスであり、
ＩＰｖ６アドレスの種類がリンクローカルアドレス、サイトローカルアドレスもしくはステートレスアドレスのいずれであるかをＩＰアドレスの特性として使用することを特徴とするネットワーク機器のセキュリティレベル適用方法。
【請求項１１】
ネットワーク機器を構成するコンピュータを、
通信相手のＩＰアドレスの特性を判定する手段、
判定した通信相手のＩＰアドレスの特性に応じて使用するＩＰｓｅｃ設定を決定する手段、
決定したＩＰｓｅｃ設定に基づいてＩＰｓｅｃ通信を行う手段として機能させ、
自己がＩＰｓｅｃ通信の接続を受け付けるレスポンダ側である場合には通信相手から接続があったときに前記各手段の処理を開始し、自己がＩＰｓｅｃ通信の接続を開始するイニシエータ側である場合には通信相手にパケットを送信する前に前記各手段の処理を開始し、
ＩＰアドレスの特性に応じて適切なＩＰｓｅｃ通信のセキュリティレベルを適用することを特徴とするネットワーク機器の制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰｓｅｃ（Security Architecture for Internet Protocol）通信において、通信相手ごとに適切なセキュリティレベルを適用することのできるネットワーク機器に関する。
【背景技術】
【０００２】
ＩＰｓｅｃ通信では設定によりきめ細かいセキュリティレベルの設定が可能であるが、一般に、セキュリティレベルを上げると通信速度が低下し、セキュリティレベルを下げると通信速度は増大する。
【０００３】
このようなことから、通信相手によってセキュリティレベルの異なるＩＰｓｅｃ通信を使い分けることが望まれるが、どの相手に対してどういったＩＰｓｅｃパラメータで通信するかを細かに使用者が設定する必要がある。
【０００４】
なお、出願人は出願時点までに本発明に関連する先行技術文献を発見することができなかった。よって、先行技術文献情報を開示していない。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上述したように、ＩＰｓｅｃ通信では設定によりきめ細かいセキュリティレベルの設定が可能であるが、設定が非常に煩雑であるため、必要以上のセキュリティレベルを均一に設定しまうことが多々あり、通信速度の低下を招くという問題があった。
【０００６】
また、セキュリティレベルの異なるＩＰｓｅｃ通信を通信相手によって使い分ける場合、どの相手に対してどういったＩＰｓｅｃパラメータで通信をするかにつき、多数のパラメータ設定を必要とするため、この設定には下記のような手順が必要となり、非常に多くの労力を要していた。
【０００７】
ＩＰｓｅｃ設定として、ユーザは、まずＩＰｓｅｃ接続確立のための鍵の交換手法として、自動鍵交換方式と手動鍵交換方式のどちらを使用するかというパラメータを設定する必要がある。
【０００８】
ＩＰｓｅｃ接続を自動鍵交換方式を用いて確立する場合は、自動鍵交換プロトコルＩＫＥ（Internet Key Exchange：インターネット鍵交換）と呼ばれる通信を行う。ＩＫＥには、ＭａｉｎモードとＡｇｇｒｅｓｓｉｖｅモードの２つの動作モードがあるため、使用者はどちらを使用するかというパラメータを設定する必要がある。
【０００９】
また、ＩＫＥでは相手認証方式を使用して相手の認証を行う。ＩＫＥにおける相手認証方式は４種類が定義されている。よって使用者は、事前共有秘密鍵認証方式（Ｐｒｅ−Ｓｈａｒｅｄ  Ｋｅｙ）、デジタル署名認証方式、公開鍵認証暗号方式、改良型公開鍵暗号認証方式の４種類のどの方式を使用するかというパラメータを設定する必要がある。
【００１０】
また、ＩＫＥ自体の通信を暗号化するため、暗号アルゴリズム（ＤＥＳ−ＣＢＣ／３ＤＥＳ−ＣＢＣなど）、ハッシュアルゴリズム（ＭＤ５／ＳＨＡ１など）、相手認証方式（事前共有秘密鍵認証方式／デジタル署名認証方式／公開鍵認証暗号方式／改良型公開鍵暗号認証方式）、Ｏａｋｌｅｙグループ（７６８ビットＭＯＤＰグループ／１０２４ビットＭＯＤＰグループなど）のパラメータを設定する必要がある。
【００１１】
さらに、ＩＰｓｅｃ通信を行う場合は、自動鍵交換方式と手動鍵交換方式のどちらを使用する場合でもＡＨ（Authentication Header）認証アルゴリズム（ＨＭＡＣ−ＭＤ５／ＨＭＡＣ−ＳＨＡ１など）、ＥＳＰ（Encapsulating Security Payload）暗号アルゴリズム（ＮＵＬＬ／ＤＥＳ−ＣＢＣ／ＡＥＳ−ＣＢＣなど）、ＥＳＰ認証アルゴリズム（ＨＭＡＣ−ＭＤ５／ＨＭＡＣ−ＳＨＡ１など）、ＰＦＳ（Perfect Forward Secrecy）グループ（使用しない／７６８ビットＭＯＤＰグループ／１０２４ビットＭＯＤＰグループ）のパラメータを設定する必要がある。
【００１２】
本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、通信相手ごとに適切なセキュリティレベルを適用することのできるネットワーク機器を提供することにある。
【課題を解決するための手段】
【００１３】
上記の課題を解決するため、本発明にあっては、請求項１に記載されるように、通信相手のＩＰアドレスの特性を判定する手段と、判定した通信相手のＩＰアドレスの特性に応じて使用するＩＰｓｅｃ設定を決定する手段と、決定したＩＰｓｅｃ設定に基づいてＩＰｓｅｃ通信を行う手段とを備え、自己がＩＰｓｅｃ通信の接続を受け付けるレスポンダ側である場合には通信相手から接続があったときに前記各手段の処理を開始し、自己がＩＰｓｅｃ通信の接続を開始するイニシエータ側である場合には通信相手にパケットを送信する前に前記各手段の処理を開始し、ＩＰアドレスの特性に応じて適切なＩＰｓｅｃ通信のセキュリティレベルを適用するネットワーク機器を要旨としている。通信相手のＩＰアドレスの特性から使用するセキュリティポリシーを自動判定するため、過剰なセキュリティレベルによる通信速度の低下がないとともに、ユーザのＩＰｓｅｃ設定が容易になる。
【００１４】
また、請求項２に記載されるように、請求項１に記載のネットワーク機器において、ＩＰｓｅｃ通信にグローバルアドレスを使用する場合は、通信相手のＩＰアドレスに対して設定されたルーティングテーブルのホップ数に応じてＩＰｓｅｃ通信のセキュリティレベルを更に変更するようにすることができる。
【００１５】
また、請求項３に記載されるように、請求項１または２のいずれか一項に記載のネットワーク機器において、ＩＰアドレスはＩＰｖ６アドレスであり、ＩＰｖ６アドレスの種類がリンクローカルアドレス、サイトローカルアドレスもしくはステートレスアドレスのいずれであるかをＩＰアドレスの特性として使用するようにすることができる。これにより、ＩＰｖ６の環境での判定基準が明確になる。
【００１８】
また、請求項４に記載されるように、請求項１乃至３のいずれか一項に記載のネットワーク機器において、セキュリティレベルを事前に設定された高・中・低などの簡易レベルで設定する手段を備えるようにすることができる。これにより、ユーザがセキュリティポリシーを意識することなく、より容易にＩＰｓｅｃ設定を使用することができ、また使い分けることができる。
【００１９】
また、請求項５に記載されるように、請求項１乃至４のいずれか一項に記載のネットワーク機器において、使用者が機器から直接にＩＰｓｅｃの設定・確認を行えるオペレーションパネルを備えるようにすることができる。これにより、ユーザがパネルを使用して、自由にＩＰｓｅｃ設定の設定・変更をすることが可能になる。
【００２０】
また、請求項６に記載されるように、請求項１乃至５のいずれか一項に記載のネットワーク機器において、使用者が、外部機器からＩＰｓｅｃの設定・確認を行えるｔｅｌｎｅｔサーバを備えるようにすることができる。機器内にｔｅｌｎｅｔサーバを持つことにより、直接機器を操作してＩＰｓｅｃ設定を行う必要がなくなり、ユーザの設定が容易になる。
【００２１】
また、請求項７に記載されるように、請求項１乃至６のいずれか一項に記載のネットワーク機器において、使用者が、外部機器からＩＰｓｅｃの設定・確認を行えるＷｅｂサーバを備えるようにすることができる。機器内にＷｅｂサーバを持つことにより、直接機器を操作してＩＰｓｅｃ設定を行う必要がなくなり、Ｗｅｂブラウザを使用して簡単に設定が行えるようになり、ユーザの設定が容易になる。
【００２２】
また、請求項８〜１０に記載されるように、ネットワーク機器のセキュリティレベル適用方法として構成することができる。
【００２３】
また、請求項１１に記載されるように、ネットワーク機器の制御プログラムとして構成することができる。
【発明の効果】
【００２４】
本発明のネットワーク機器にあっては、ＩＰｓｅｃ通信を行う際に使用されるＩＰアドレスの特性を用いて通信相手ごとに適切なセキュリティレベルを自動判定するため、通信相手ごとに適切なセキュリティレベルを適用することができ、過剰なセキュリティレベルによる通信速度の低下がないとともに、ユーザのＩＰｓｅｃ設定が容易になる。
【発明を実施するための最良の形態】
【００２５】
以下、本発明の好適な実施形態につき説明する。
【００２６】
なお、以下の実施形態では、ＩＰアドレスのみからリンク内の通信であるかリンク外の通信であるかを判定し、セキュリティレベルの決定を行っているが、グローバルアドレスを使用する際は、外部機器であるルータの情報を参照することによってセキュリティレベルを決定することも可能である。例えば、ルータが保持するルーティングテーブル内のホップ数の情報を用いれば、グローバルアドレスを保持する通信相手機器とのネットワーク的な距離がどの程度近いかを知ることができ、この情報を用いて機器に近いと判断した相手に対してはセキュリティレベルを低くして速度向上を図ることができる。
【００２７】
また、リンク内の通信であるかリンク外の通信であるかの２通りに限らず、更に細かくレベル分けすることもできる。
【００２８】
更に、ＩＰアドレスの特性としては、
・リンクローカルアドレスであるかどうか
・サイトローカルアドレスであるかどうか
・ステートレスアドレスであるかどうか
等の種々の特性を利用することができる。
【００２９】
図１は本発明のネットワーク機器を用いたネットワークシステムの一実施形態を示す図である。図１において、ネットワーク機器１Ａ〜１Ｃはセグメント＃１を構成するネットワーク３上に配置され、ネットワーク機器１Ｄ〜１Ｆはセグメント＃２を構成するネットワーク４上に配置され、両ネットワーク３、４はルータ２により接続されている。ネットワーク機器１Ａ〜１Ｆは、クライアントＰＣ（Personal Computer）、サーバ、プリンタ、ＭＦＰ（Multi Function Printer）等が想定される。また、ネットワーク機器１Ａ〜１Ｆはｔｅｌｎｅｔ端末やＷｅｂブラウザとして動作することもある。
【００３０】
ネットワーク機器１Ａ〜１ＦはＩＰｓｅｃに対応している。図ではＩＰｖ６（Internet Protocol version 6）の環境を記載しているが、ＩＰｖ４（Internet Protocol version 4）でも同様に構成可能である。それぞれのリンク（セグメント）内では「fe80::/64」で始まるＩＰｖ６リンクローカルアドレス同士での通信が可能であるが、リンクローカルアドレスではルータを超えるリンク外に対して通信を行うことはできない。その場合、リンクローカルアドレスとは別にルータが配布するグローバルユニキャストアドレスを用いて通信を行う。このように、本発明ではリンク内外で使用されるアドレスが異なることを用いて、セキュリティポリシーの使い分けを行う。リンクローカルアドレスで通信が行われる範囲はリンク内であるため、一般的に一定の安全性が確保されている。このことから、リンクローカルアドレスを使用した通信は、セキュリティレベルを下げて速度向上を図るようにしている。
【００３１】
図２はＩＰｖ６アドレスの構成図である。ＩＰｖ６アドレスは６４ｂｉｔごとに上位がプレフィックス部、下位がインタフェースＩＤと呼ばれる。
【００３２】
ＩＰｖ６ではリンク内ではリンクローカルアドレスと呼ばれるＩＰアドレスで通信が行われる。リンクローカルアドレスとは単一リンク専用のアドレスである。主に自動アドレス設定時・近隣探索時・ルータが存在しない場合に使用される。通信元・通信相手のどちらかのアドレスがリンクローカルアドレスである場合、ルータは他リンクにパケットの転送を行わない。アドレスの上位６４ｂｉｔが「fe80::/64」であることが特徴である。また、リンク外と通信する場合はグローバルアドレスが使用される。アドレスの先頭４８ビットがプロバイダから入手され、続く１６ビットがサイト内サブネット用として使用される。上位３ｂｉｔが「001」（２進）であることが特徴である。
【００３３】
本実施形態では、ＩＰｖ６の場合、上位６４ｂｉｔが「fe80::/64」であるかどうかを調べ、通信相手がリンク内かどうかを判断するようにしている。
【００３４】
また、ＩＰｖ４ではリンク内はＩＰｖ４リンクローカルアドレス（Ａｕｔｏ  ＩＰ）と呼ばれるＩＰアドレスで通信が行われる。ＩＰｖ４リンクローカルアドレスは、ＤＨＣＰ（Dynamic Host Configuration Protocol）が利用できない場合に、“169.254.0.1”〜“169.254.255.254”の範囲から他と重複しないＩＰアドレスが自動的に選択され、割り当てられたものである。これをＡＰＩＰＡ（Automatic Private IP Addressing）機能と呼ぶ。
【００３５】
本実施形態では、ＩＰｖ４の場合、ＩＰアドレスが“169.254.0.1”〜“169.254.255.254”の範囲内であるかどうかを調べ、通信相手がリンク内かどうかを判断するようにしている。
【００３６】
図３はネットワーク機器１の内部構成例を示すソフトウェアモジュール構成図である。図３において、ネットワーク機器１は、ＩＰｓｅｃ通信を利用する上位のアプリケーション１１と、ＩＰｓｅｃ通信を司るネットワーク制御部１２と、ＯＳ（Operating System）１３とを備えている。
【００３７】
アプリケーション１１は、ＩＰ通信をＩＰｓｅｃ化したいアプリケーションである。ＩＰｓｅｃでは全てのＩＰ通信をセキュリティ化できるため、多くのアプリケーションが該当する。例えばＷｅｂアプリケーションが該当する。
【００３８】
ネットワーク制御部１２のＩＰｓｅｃ設定テーブル１２１は、ＩＰｓｅｃ通信に必要な各種パラメータを格納するテーブルである。具体的には、暗号化アルゴリズム・ＩＫＥモードなどが格納される。
【００３９】
ネットワーク制御部１２のＩＰｓｅｃ通信部１２２は、ＩＰｓｅｃ通信を担当するモジュールである。ＩＰｓｅｃ通信の管理・パケットのセキュリティ化等を担当するモジュールである。
【００４０】
ネットワーク制御部１２の簡易設定テンプレートテーブル１２３は、ＩＰｓｅｃの設定を簡易化するため、セキュリティレベルに応じたＩＰｓｅｃ設定内容を格納したテーブルである。
【００４１】
ネットワーク制御部１２の通信相手判定部１２４は、ＩＰアドレスから通信相手がリンク内外のどちらにいるかの判定を担当するモジュールである。
【００４２】
ネットワーク制御部１２の使用ＩＰｓｅｃ設定判定部１２５は、ＩＰｓｅｃ通信部１２２で実際に使用されるＩＰｓｅｃ設定を判定するモジュールである。
【００４３】
ＯＳ１３のネットワークプロトコル１３１は、ネットワークプロトコルの処理を担当するモジュールである。ＩＰパケットの処理・ＯＳへのセキュリティポリシーの設定などを担当する。
【００４４】
ＯＳ１３のネットワーク通信ドライバ１３２は、ネットワークデバイスの制御を担当するモジュールである。
【００４５】
図４はＩＰｓｅｃ設定テーブル１２１の例を示す図であり、ｍｏｄｅ、ＩＫＥ  Ｐｈａｓｅ１認証方式、ＩＰアドレス／マスク等の項目と、それに対応する設定値とで構成されるセキュリティポリシーが複数保持される。
【００４６】
図５は簡易設定テンプレートテーブル１２３の例を示す図であり、セキュリティポリシー（低・中・高）ごとに、鍵交換、ＩＫＥ  Ｍｏｄｅ等の項目が予め設定されている。
【００４７】
以下、上記の実施形態の動作について説明する。
【００４８】
まず、使用者はＩＰｓｅｃ設定を行う。このＩＰｓｅｃ設定には、簡易設定と詳細設定とがある。
【００４９】
図６はＩＰｓｅｃ簡易設定画面の例を示す図である。ここではＩＰｓｅｃ簡易設定を、ネットワーク機器１に搭載された設定パネルを用いて設定するための画面の例を示す。使用者は高・中・低の中からセキュリティレベルをタッチパネルに触れることを通して設定することで、細かいＩＰｓｅｃ設定パラメータを意識することなくＩＰｓｅｃ設定を行うことができる。例えば、リンク内ポリシー設定ボタンの「中」のボタンをタッチすると、リンク内には中程度のセキュリティポリシーが設定される。パネルを通して設定された設定項目はＩＰｓｅｃ設定テーブル１２１に保存される。
【００５０】
図７および図８はネットワーク機器１のパネルでのＩＰｓｅｃ設定項目の詳細設定画面の例を示す図である。使用者はネットワーク機器１の設定パネルから、ＩＫＥ・ＩＰｓｅｃの各種設定を行う。設定項目には選択式のものや、鍵フレーズと呼ばれるパスワード情報を入力するものが存在する。使用者はそれぞれの項目につきボタンをタッチしたり、パネルキーボードから文字入力したりすることによって設定する。リンク内外のセキュリティポリシーをそれぞれ設定することができる。パネルを通して設定された設定項目はＩＰｓｅｃ設定テーブル１２１に保存される。
【００５１】
図９はｔｅｌｎｅｔによるＩＰｓｅｃ設定画面の例を示す図である。ネットワーク機器１がｔｅｌｎｅｔサーバを具備することで、ユーザは遠隔からＩＰｓｅｃ設定を行うことができる。使用者はｔｅｌｎｅｔ端末を用いて機器に接続し、キーボードから文字を打ち込むことによってＩＰｓｅｃ設定を行う。ｔｅｌｎｅｔを用いて設定された設定項目はＩＰｓｅｃ設定テーブル１２１に保存される。
【００５２】
このように、ネットワーク機器１内にｔｅｌｎｅｔサーバを持つことにより、直接機器を操作してＩＰｓｅｃ設定を行う必要がなくなり、ユーザの設定が容易になる。
【００５３】
図１０および図１１はＷｅｂによるＩＰｓｅｃ設定画面の例を示す図である。ネットワーク機器１がＷｅｂサーバを具備することで、ユーザは遠隔からＩＰｓｅｃ設定を行うことができる。使用者はＷｅｂ上のボタンをクリックするなどしてＩＰｓｅｃ設定を行う。Ｗｅｂを用いて設定された設定項目はＩＰｓｅｃ設定テーブル１２１に保存される。
【００５４】
このように、ネットワーク機器１内にＷｅｂサーバを持つことにより、直接機器を操作してＩＰｓｅｃ設定を行う必要がなくなり、Ｗｅｂブラウザを使用して簡単に設定が行えるようになり、ユーザの設定が容易になる。
【００５５】
図１２はＩＰｓｅｃ通信の処理例を示すシーケンス図である。図１２において、ネットワーク機器１Ａとネットワーク機器１Ｂとの間でＩＰｓｅｃ通信を行うものとすると、ネットワーク機器１Ａは、通信相手のネットワーク機器１Ｂから接続があった場合（ステップＳ１０１）、通信相手判定部１２４により通信相手のＩＰアドレスがリンク内であるかリンク外であるかを判定する（ステップＳ１０２）。
【００５６】
そして、ネットワーク機器１Ａでは、判定結果に応じて使用ＩＰｓｅｃ設定判定部１２５により使用するセキュリティポリシー（ＩＰｓｅｃ設定）を判定し、ＩＰｓｅｃ通信部１２２はＩＰｓｅｃ設定テーブル１２１からＩＰｓｅｃ接続に必要なセキュリティポリシーを読み出し（ステップＳ１０３）、通信相手とのＩＰｓｅｃ接続を確立し、ＩＰｓｅｃによる通信を行う（ステップＳ１０４）。
【００５７】
なお、図ではネットワーク機器１Ａがレスポンダ（ＩＰｓｅｃ接続受信側）となる例を示したが、ネットワーク機器１Ａがイニシエータ（ＩＰｓｅｃ通信開始側）となる場合も同様である。ネットワーク機器１Ａがイニシエータとなる場合は、パケットを送信する前に、通信相手判定部１２４で送信相手のＩＰアドレスを判定し、リンク内セキュリティポリシー／リンク外セキュリティポリシーのどちらかを適用し、ＩＰｓｅｃ通信を開始する。
【００５８】
図１３はＩＰｓｅｃ通信の処理例を示すフローチャートである。図１３において、処理を開始すると（ステップＳ２０１）、ネットワーク機器１は、通信相手判定部１２４により通信相手のＩＰアドレスを判定し（ステップＳ２０２）、リンク内セキュリティポリシーで通信するか、リンク外セキュリティポリシーで通信するかを決定する（ステップＳ２０３、Ｓ２０４）。
【００５９】
そして、ＩＰｓｅｃ通信部１２２は、使用ＩＰｓｅｃ設定判定部１２５によってＩＰｓｅｃ設定テーブル１２１からＩＰｓｅｃ接続に必要なセキュリティポリシーを読み出し、通信相手とのＩＰｓｅｃ接続を確立し、ＩＰｓｅｃによる通信を行う（ステップＳ２０５）。
【００６０】
このように、本発明では、ＩＰｓｅｃ通信を行う際に使用されるＩＰアドレスの特性を用いて通信路が安全かどうかを判定し、通信相手ごとに適切なセキュリティレベルを自動決定する。一般に、セキュリティレベルを上げると通信速度が低下することから、本発明では比較的安全な通信路においては、自動的にセキュリティレベルの低いＩＰｓｅｃ通信を行うことで、通信速度低下の防止を狙う。
【００６１】
一般に、ＬＡＮ環境等であるリンク内に比較して、インターネット環境等であるリンク外には、より強固なセキュリティが必要とされる。本発明では通信相手アドレスがリンクローカルアドレスかどうかを判定することにより、リンクの内の通信とリンク外の通信に対しセキュリティ強度の異なるＩＰｓｅｃ通信を使い分ける。セキュリティポリシーを自動で設定できるようになることから、通信相手ごとのＩＰｓｅｃ設定の使い分けも容易となる。
【００６２】
また、本発明はセキュリティポリシーの自動設定により、ユーザのＩＰｓｅｃ設定を容易とする効果も持つ。従来、セキュリティレベルの異なるＩＰｓｅｃ通信を通信相手によって使い分ける場合、どの相手に対してどういったＩＰｓｅｃパラメータで通信をするかを細かに使用者が設定する必要があった。本発明では、これら多数のＩＰｓｅｃパラメータ設定を自動で使い分けることができるため、ユーザの労力を削減することができる。
【００６３】
以上、本発明の好適な実施の形態により本発明を説明した。ここでは特定の具体例を示して本発明を説明したが、特許請求の範囲に定義された本発明の広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により本発明が限定されるものと解釈してはならない。
【図面の簡単な説明】
【００６４】
【図１】本発明のネットワーク機器を用いたネットワークシステムの一実施形態を示す図である。
【図２】ＩＰｖ６アドレスの構成図である。
【図３】ネットワーク機器の内部構成例を示すソフトウェアモジュール構成図である。
【図４】ＩＰｓｅｃ設定テーブルの例を示す図である。
【図５】簡易設定テンプレートテーブルの例を示す図である。
【図６】ＩＰｓｅｃ簡易設定画面の例を示す図である。
【図７】ネットワーク機器のパネルでのＩＰｓｅｃ設定項目の詳細設定画面の例を示す図（その１）である。
【図８】ネットワーク機器のパネルでのＩＰｓｅｃ設定項目の詳細設定画面の例を示す図（その２）である。
【図９】ｔｅｌｎｅｔによるＩＰｓｅｃ設定画面の例を示す図である。
【図１０】ＷｅｂによるＩＰｓｅｃ設定画面の例を示す図（その１）である。
【図１１】ＷｅｂによるＩＰｓｅｃ設定画面の例を示す図（その２）である。
【図１２】ＩＰｓｅｃ通信の処理例を示すシーケンス図である。
【図１３】ＩＰｓｅｃ通信の処理例を示すフローチャートである。
【符号の説明】
【００６５】
１、１Ａ〜１Ｆ    ネットワーク機器
１１              アプリケーション
１２              ネットワーク制御部
１２１            ＩＰｓｅｃ設定テーブル
１２２            ＩＰｓｅｃ通信部
１２３            簡易設定テンプレートテーブル
１２４            通信相手判定部
１２５            使用ＩＰｓｅｃ設定判定部
１３              ＯＳ
１３１            ネットワークプロトコル
１３２            ネットワーク通信ドライバ
２                ルータ
３、４            ネットワーク
【図１】
0004704247.tif 000002
【図２】
0004704247.tif 000003
【図３】
0004704247.tif 000004
【図４】
0004704247.tif 000005
【図５】
0004704247.tif 000006
【図６】
0004704247.tif 000007
【図７】
0004704247.tif 000008
【図８】
0004704247.tif 000009
【図９】
0004704247.tif 000010
【図１０】
0004704247.tif 000011
【図１１】
0004704247.tif 000012
【図１２】
0004704247.tif 000013
【図１３】
0004704247.tif 000014