(57)【要約】      （修正有）【課題】単一のアクセラレータ演算部を通過する複数の仮想プライベート・ネットワークが存在する環境において、それぞれの仮想プライベート・ネットワークごとに、この単一のアクセラレータ演算部にＩＰパケットのアクセラレーションを独立して行なわせる。【解決手段】アクセラレータ演算部の前段階で、当該ＩＰパケットが転送されるべきネットワークのＩＰアドレスを含む新しいＩＰヘッダを付加してオリジナルＩＰパケットのカプセル化を暗号化を伴わない形で行ない、その新しいＩＰパケットをアクセラレーション部でアクセラレート後暗号化を伴う通常のカプセル化をおこない、セキュリティの保障のない公衆網に送出し、その先に接続された機器において、暗号化付きＩＰパケット・カプセルの還元、アクセラレーションの還元、暗号化を伴わないＩＰパケット・カプセルの還元により、この装置に投入されたオリジナルＩＰパケットと等しいＩＰパケットを得る。【選択図】図２
2005323319.tif 000002
【特許請求の範囲】
【請求項１】
インターネット・プロトコル（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ：以下ＩＰとする）を用いるＩＰネットワーク環境において、特定の利用者しかアクセスすることのないイントラネットに代表される１個のプライベートＩＰネットワーク上の１個以上の端末装置から、不特定多数の利用者がアクセスすることがあるインターネットに代表されるパブリックＩＰネットワークを含み得るＩＰネットワークを経由して接続された、前記プライベートＩＰネットワークとは別の１個のプライベートＩＰネットワーク上の１個以上の端末装置へ、ＩＰパケットを、その内容が漏洩されないように暗号化し、内容が改竄された時に改竄の事実を認識できるように、認証機能を設けて伝送するための仮装プライベート・ネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ：以下ＶＰＮとする）システムにおいて、
前記パブリックＩＰネットワークを含み得るＩＰネットワークの中で、２個以上のＩＰネットワークの間または、１個のＩＰネットワークを２個以上に分割されたＩＰネットワークの間に置かれる、
前記ＶＰＮを実施するために暗号化された最終転送先のＩＰアドレスを含む原始ＩＰパケット部とその原始ＩＰパケット部の転送先ネットワークを示す暗号化されていない転送先ネットワークＩＰアドレスを含むＩＰヘッダ部とで構成されるＩＰパケットにおいて、前記暗号化されていない転送先ネットワークＩＰアドレスを含むＩＰヘッダ部を切り離し、保存する転送先ネットワークＩＰアドレス保存部と、
暗号化された最終転送先のＩＰアドレスを含む原始ＩＰパケット部を復号する原始ＩＰパケット復号演算部と、
トラフィック・データの圧縮により単位時間あたりの有効転送トラフィック量を増加させる機能であるアクセラレーション機能を持ち、前記復号された最終転送先のＩＰアドレスを含む原始ＩＰパケット部を圧縮アクセラレートするアクセラレーション演算部と、
前記アクセラレートされたＩＰパケットを更に暗号化して、前記ＶＰＮヘッダ保存部に保存された転送先ネットワークのＩＰアドレスを含む新ＩＰヘッダを付加するトンネル・モード暗号演算部と、
を備えるアクセラレーション装置と、
前記パブリックＩＰネットワークを含み得るＩＰネットワークを間に挟んで、暗号化されたＩＰパケットをトンネル・モードで受取り、復号する復号演算部と、
前記復号演算部により復号されたＩＰパケットのアクセラレート状態を還元するアクセラレーション還元演算部と、
を備えるアクセラレーション還元装置と、
を有する、
複数仮装プライベート・ネットワーク集約アクセラレーション装置。
【請求項２】
前記ＶＰＮシステムにおいて、
前記パブリックＩＰネットワークを含み得るＩＰネットワークの中で、２個以上のＩＰネットワークの間または、１個のＩＰネットワークを２個以上に分割されたＩＰネットワークの間に置かれる、
到着ＩＰパケットの一部を構成する暗号化された原始ＩＰパケット部を復号する原始ＩＰパケット復号演算部と、
前記復号された原始ＩＰパケットを含む復号済ＩＰパケットの先頭に転送先ネットワークのＩＰアドレスを含む新ＩＰヘッダを付加する新ＩＰヘッダ付加部と、
前記アクセラレーション演算部と、
前記トンネル・モード暗号演算部と、
を備えるアクセラレーション装置と、
前記パブリックＩＰネットワークを含み得るＩＰネットワークを間に挟んで、暗号化されたＩＰパケットをトンネル・モードで受取り、復号する復号演算部と、
前記復号演算部により復号されたＩＰパケットのアクセラレート状態を還元するアクセラレーション還元演算部と、
更に前記アクセラレーション還元演算部で還元されたＩＰパケットに含まれるら新ＩＰヘッダ除去し、当該ＩＰパケットを本装置が受け取ったときの状態に還元する新ＩＰヘッダ除去部と、
を備えるアクセラレーション還元装置と、
を有する、
複数仮装プライベート・ネットワーク集約アクセラレーション装置。
【発明の詳細な説明】
【技術分野】
【０００１】    本発明は、インターネットワーキング及びＶＰＮシステム及びそこに組み込まれるアクセラレータ・システムに関する。
【背景技術】
【０００２】    従来のＶＰＮシステムとアクセラレーション・システムの統合は、元データをアクセラレーション・システムで圧縮変換を掛けた後、ＶＰＮシステム内に投入し、ＶＰＮシステムの他端のインターフェース部より取り出し、還元ソフトで圧縮を還元するものであった。【０００３】    前記ＶＰＮシステムでは、ＩＰパケットの前に別の新しいＩＰヘッダ部が付加され、後ろにテール部が付加されることにより、オリジナルのＩＰパケットをカプセル化する。前記カプセル化されたＩＰパケットは、前記新ＩＰヘッダ内のＩＰアドレスが指し示すルータ部に転送され、そのルータ部内で前記カプセル化されたＩＰパケットから後で付加されたＩＰヘッダ部およびテール部が取り外される。その後、内部に包まれていたオリジナルＩＰパケットは、オリジナルＩＰパケット内のＩＰアドレスが指し示すネットワークにそのルータ部によって送られる。【０００４】    前項機能により、前記オリジナルＩＰパケットのパケット送付元ＩＰアドレスおよびパケット送付先ＩＰアドレスをプライベートＩＰアドレスとし、送信元の前記ＶＰＮ機能を持つルータ部によって付加されるＩＰアドレスをグローバルＩＰアドレスとし、送付元ネットワークと送付先ネットワークをインターネット等のセキュリティを保障しないパブリック・ネットワークを介して、パケット送付元ネットワークとパケット送付先ネットワークを相互に接続したプライベート・ネットワークとしてパケット転送を行なうことが可能なっている。【０００５】    前記ＶＰＮシステムでは、前記インターネント等のセキュリティを保障しないパブリック・ネットワークを介するパケット転送における情報の漏洩を防ぐため暗号化が行なわれる。【０００６】    前記暗号化は、暗号化アルゴリズムと暗号化デジタル鍵に基づいて行なわれ、入力データに元々存在する可能性の高い、二進数表記での０と１がそれぞれ連続して同じものが並ぶ状態は、ランダムに入れ替えられ０ないし１の偏在は無くなる。【０００７】    一方、前記アクセラレーション・システムのアクセラレート機能は、圧縮アルゴリズムに負うところが大きく、入力データが、二進数表記での０と１がそれぞれ連続して同じものが並ぶ割合が高いほど圧縮効率は高くなるとされている。【０００８】    前記ＶＰＮシステムでは、前記インターネット等のセキュリティを保障しないパブリック・ネットワークを介するパケット転送における情報の改竄を防ぐため認証が行なわれる。【０００９】    前記認証は、認証アルゴリズムに認証デジタル鍵に基づいて行なわれ、認証発行後、認証されるまで前記ＩＰパケットの内容の変更はできない。【００１０】    前記認証は、ＶＰＮ機能を持つルータ部において暗号化の後に施される。【００１１】    したがって、前記アクセラレーションは、ＶＰＮ暗号化の前に施されなければ、高いアクセラレーション効率を得ることはできない。【００１２】
【特許文献１】米国特許６，３５３，８８６（第１−１２頁）（優先権カナダ特許１９８６０９）
【特許文献２】米国特許６，４９６，８６７（第３頁）
【非特許文献１】「ヤマハルータでつくるインターネットＶＰＮ」，井上  孝司著  株式会社毎日コミュニケーションズ（第３７−４０頁）
【非特許文献２】「Ｃｉｓｃｏ  ＩＰＳｅｃＶＰＮ」教科書  シスコシステムズ著、ソフトバンク  パブリッシング株式会社（第４−１３頁）
【発明の開示】
【発明が解決しようとする課題】
【００１３】  しかしながら、通信事業者等が、その所有または管理するところの帯域の狭い接続サービスを、アクセラレーションの後にＶＰＮ化するためには、提供するＶＰＮトンネルの数量だけ独立したアクセラレータ演算部が必要になることになる。そのため、複数のＶＰＮトンネルに対し、それらのＶＰＮトンネルから共有できるアクセラレータ演算部が必要になるが、暗号化されているためアクセラレーションの効率は上がらないというのが課題である。【００１４】  １個のネットワークを複数の仮想独立ネットワーク化する技術にはＶＰＮの他にＶＬＡＮがある。前記ＶＬＡＮは、ＯＳＩモデルにおける第２層のネットワーク層の技術であり、フレームのヘッダにタグと呼ばれる仮想独立ネットワークのＩＤが割り振られるが、規格が統一されておらず、アクセラレータ部ではＩＰパケットを通過させる機能の他に、ＶＬＡＮフレームを通過させる機能が必要になり、アクセラレータ部が複雑化する。そのため、ＩＰパケットを通過させる機能だけで１個のネットワークを複数の仮想独立ネットワーク化する技術の確立が課題である。【００１５】  また、ＶＬＡＮフレームを通過させるアクセラレータ演算部が存在しても、それぞれのＶＬＡＮが持つネットワーク・アドレスには、通常プライベートＩＰアドレスが与えられ、そのＩＰアドレスは、利用者からプライベートＩＰアドレスの範囲内で、任意に設定されるため、ＶＬＡＮ同士のＩＰアドレスの重複の回避ができないことも課題である。【００１６】  そこで、本発明は、ＩＰパケットを通過させる機能しか持たないアクセラレータ演算部に複数の仮想独立ネットワーク上でのアクセラレーションを独立して行なわせることを目的とする。
【課題を解決するための手段】
【００１７】  上記の課題を解決するために、本発明においては、請求項１に示されるように、アクセラレータ演算部の前段階では、転送先ＩＰアドレス情報を含むＩＰヘッダ以外の部分が暗号化されて到着するＩＰパケットの暗号化された部分の復号だけを行ない、転送先ＩＰアドレス情報を含むＩＰヘッダによる原始ＩＰパケットの暗号化を伴わないカプセル化だけが行なわれている状態にし、その新しいＩＰパケットの原始ＩＰパケット部分のみを前記アクセラレーション部でアクセラレートし、更にこのアクセラレーション変換済みＩＰパケット部分のみを前記トンネル・モード暗号演算部で暗号化し、セキュリティの保障のない前記パブリック・ネットワークに送出し、前記パブリック・ネットワークを挟んだ先に接続された機器において、暗号化付きＩＰパケット・カプセルの還元、アクセラレーションの還元、によりこの装置に投入されたオリジナルＩＰパケットと等しいＩＰパケットを得る。【００１８】  また、請求項２に示されるように、アクセラレータ演算部の前段階では、転送先ＩＰアドレス情報を含むＩＰヘッダ以外の部分が暗号化されて到着するＩＰパケットの暗号化された部分の復号だけを行ない、転送先ＩＰアドレス情報を含むＩＰヘッダによる原始ＩＰパケットの暗号化を伴わないカプセル化だけが行なわれている状態にし、転送先ＩＰアドレス情報を含むＩＰヘッダを更に付加し、その新しいＩＰヘッダの付加前のＩＰパケット全体を前記アクセラレーション部でアクセラレートし、更にこのアクセラレーション変換済みＩＰパケット部分のみを前記トンネル・モード暗号演算部で暗号化し、セキュリティの保障のない前記パブリック・ネットワークに送出し、前記パブリック・ネットワークを挟んだ先に接続された機器において、暗号化付きＩＰパケット・カプセルの還元、アクセラレーションの還元、前記転送先ＩＰアドレスを含むＩＰヘッダの切り離しによりこの装置に投入されたオリジナルＩＰパケットと等しいＩＰパケットを得るようにしてもよい。
【発明の効果】
【００１９】  これにより、帯域幅が狭くアクセラレーションの適用が効果的な前記パブリック・ネットワークを挟んだＶＰＮデータ通信がアクセラレータ部の効果により高速に行なえ、課題が解決される。【００２０】  前記帯域幅の狭いパブリック・ネットワークに繋がるアクセラレータを含むプライベート・ネットワーク上のＶＰＮトンネルの入口に別のプライベート・ネットワークから専用線で繋がるようにしてもよい。【００２１】  前記帯域幅の狭いパブリック・ネットワークに繋がるアクセラレータを含むプライベート・ネットワーク上のＶＰＮトンネルの入口に別のプライベート・ネットワークから暗号化機能付きＶＰＮで繋がるようにしてもよい。【００２２】  前記アクセラレータを含むプライベート・ネットワークのネットワークＩＰアドレスは、ＶＬＡＮの数だけ必要となるＶＬＡＮ使用時とは異なり、スタティックなネットワークＩＰアドレス１個で構成できるため、特定のネットワークＩＰアドレスを１個だけ利用することにより、ＶＬＡＮ使用時のプライベート・ネットワークＩＰアドレスの重複の回避という課題が解決される。【００２３】  これにより、特定の利用者が所有ないし管理するプライベート・ネットワークからＷＡＮを経由して、狭帯域パブリック・ネットワーク上に存在するその特定の利用者が所有ないし管理する端末機器とを仮想的に閉じたネットワーク上で接続できることとなり、課題が解決される。
【発明を実施するための最良の形態】
【００２４】  以下、本発明の実施するための最良の形態について、図を用いて説明する。なお、本発明は、これら実施の形態に何ら限定されるものではなく、その要旨を逸脱しない範囲において、種々たる態様で実施し得る。【００２５】（発明の概念）
図１は、請求項１に基づく本発明の概念を示す。
転送先ネットワークＩＰアドレス保存部１１０、１１２、１１４、
原始ＩＰパケット復号演算部１１１、１１３、１１５、
アクセラレーション演算部１１６、
トンネル・モード暗号演算部１１７が、
本発明に係わる複数ＶＰＮ集約アクセラレーション装置の構成要素である。
例えば、転送先ネットワークＩＰアドレス保存部１１０、１１２、１１４、
原始ＩＰパケット復号演算部１１１、１１３、１１５は、
前記ＶＰＮ機能を持つルータ１０９の一部であり、アクセラレータ演算部１１６は独立したアプライアンスであり、ＩＰパケット暗号演算部１１７は前記ＶＰＮ機能を持つルータ１０９とは別の前記ＶＰＮ機能を持つルータの一部であり、それぞれのルータおよびアプライアンスはネットワークで通信可能になっている。【００２６】  インターネット１１８は、ダイアルアップやモバイル・アクセスによる狭帯域インターネットを想定している。アクセラレータ演算部１１６は、トラフィックを圧縮アルゴリズムを用いて圧縮し、狭帯域インターネットにおけるトラフィックのスループットの改善を目的としている。【００２７】    利用者端末機器１１９、１２０、１２１は、それぞれ複合演算部、アクセラレーション還元演算部を持つパーソナル・コンピュータである。【００２８】  利用者端末機器１１９、１２０、１２１は、複合演算部、アクセラレーション還元演算部から構成される専用のアプライアンス機器であってもよい。【００２９】  利用者端末機器１１９、１２０、１２１は、インターネット１１８のほかに、個別に別のネットワークに接続していてもよい。【００３０】      図２は、請求項２に基づく本発明の概念を示す。
原始ＩＰパケット復号演算部１１０、１１２、１１４、
新ＩＰヘッダ付加部１１１、１１３、１１５、
アクセラレーション演算部１１６、
トンネル・モード暗号演算部１１７が、
本発明に係わる複数ＶＰＮ集約アクセラレーション装置の構成要素である。
例えば、原始ＩＰパケット復号演算部１１０、１１２、１１４と、
新ＩＰヘッダ付加部１１１、１１３１，１１５は、
前記ＶＰＮ機能を持つルータ１０９の一部であり、アクセラレータ演算部１１６は独立したアプライアンスであり、ＩＰパケット暗号演算部１１７は前記ＶＰＮ機能を持つルータ１０９とは別の前記ＶＰＮ機能を持つルータの一部であり、それぞれのルータおよびアプライアンスはネットワークで通信可能になっている。【００３１】  インターネット１１８は、ダイアルアップやモバイル・アクセスによる狭帯域インターネントを想定している。アクセラレータ演算部１１６は、トラフィックを圧縮アルゴリズムを用いて圧縮し、狭帯域インターネットにおけるトラフィックのスループットの改善を目的としている。【００３２】    利用者端末機器１１９、１２０、１２１は、それぞれ復号演算部、アクセラレーション還元演算部、新ＩＰヘッダ除去部を持つパーソナル・コンピュータである。【００３３】  利用者端末機器１１９、１２０、１２１は、復号演算部、アクセラレーション還元演算部、新ＩＰヘッダ除去部から構成される専用のアプライアンス機器でもよい。【００３４】  利用者端末機器１１９、１２０、１２１は、インターネット１１８のほかに、個別に別のネットワークに接続していてもよい。【００３５】  図３は、請求項１において、ＩＰパケットを受け取ってから、転送先ネットワークＩＰアドレスを含むＶＰＮ−ＩＰヘッダを保存し、原始ＩＰパケット部分を切り離し、その原始ＩＰパケット部分のみのアクセラレーションを行い、暗号化し、保存したＶＰＮ−ＩＰヘッダを付加し、インターネットを経て、付加されたＶＰＮ−ＩＰヘッダを除去し、暗号を復号し、アクセラレータによる圧縮を還元するまでの各段階に於けるＩＰパケットの状態遷移状態図である。【００３６】  図３の中で、投入されたＶＰＮ−ＩＰパケット２０１の、ＶＰＮ−ＩＰヘッダは以外の暗号パケットは、ＩＰパケット復号演算部１０１により原始ＩＰパケットのＩＰヘッダ部とセル部に復号される。【００３７】  図３の中で、復号済みＶＰＮ−ＩＰパケット２０２のＩＰヘッダ部とセル部は、アクセラレーション演算部１０２により、圧縮され、アクセラレーテッドＶＰＮ−ＩＰパケット２０３となる。【００３８】  図３の中で、アクセラレーテッドＶＰＮ−ＩＰパケット２０３の被圧縮パケット部は、ＩＰパケット暗号演算部１０３により、暗号化され、暗号化済みＶＰＮ−ＩＰパケット２０４となる。【００３９】  図３の中で、暗号化済みＶＰＮ−ＩＰパケット２０４は、狭帯域幅インターネット１０４を経て、セキュアな状態で、暗号化済みＶＰＮ−ＩＰパケット２０５となる。【００４０】  図３の中で、暗号化済みＶＰＮ−ＩＰパケット２０５は、伝送相手先のネットワーク上にある端末機器内のＩＰパケット復号演算部１０５に渡され、被圧縮パケット２０６となる。【００４１】  図３の中で、被圧縮パケット２０６は、アクセラレーション還元演算部１０６によって、還元され、ＩＰパケット２０７を得る。【００４２】  図４は、請求項２における、ＩＰパケットを受け取ってから、新ＩＰヘッダを付加し、アクセラレーションを行い、暗号化し、新ＩＰヘッダを付加し、インターネットを経て、新ＩＰヘッダを除去し、暗号を復号し、アクセラレータによる圧縮を還元し、新規ＩＰヘッダを除去す���までの各段階に於けるＩＰパケットの状態遷移状態図である。【００４３】  図４の中で、ＩＰパケット２０１は新ＩＰヘッダ付加部１０１により、先頭に最終転送先のネットワークのグローバルＩＰアドレスを含む新ＩＰヘッダを付加しＶＰＮ−ＩＰパケット２０２となる。【００４４】  図４の中で、ＶＰＮ−ＩＰパケット２０２は、アクセラレーション演算部１０２により、元のＩＰパケット２０１相当分が圧縮され、アクセラレーテッドＶＰＮ−ＩＰパケット２０３となる。【００４５】  図４の中で、アクセラレーテッドＶＰＮ−ＩＰパケット２０３は、ＩＰパケット暗号演算部１０３により、暗号化され、先頭に最終転送先のネットワークのグローバルＩＰアドレスを含む新ＩＰヘッダを付加しＶＰＮ−ＩＰパケット２０４となる。【００４６】  図４の中で、ＶＰＮ−ＩＰパケット２０４は、狭帯域幅インターネット１０４を経て、セキュアな状態で、伝送相手先のネットワーク上にある端末機器内のＩＰパケット復号部１０６に渡され、ＶＰＮ−ＩＰパケット２０５となる。【００４７】  前記最終転送先のネットワークのグローバルＩＰアドレスを含む先頭部の新ＩＰヘッダを除去し暗号を復号し、アクセラレーテッドＶＰＮ−ＩＰパケット２０６を得る。【００４８】  アクセラレーション還元演算部１０６によって、アクセラレーテッドＶＰＮ−ＩＰパケット２０６の被圧縮パケットを還元し、新ＩＰヘッダ付ＩＰパケット２０７を得る。【００４９】  新ＩＰヘッダ除去部１０７により、新ＩＰヘッダ付ＩＰパケット２０７から新ＩＰヘッダを除去し、投入されたＩＰパケット２０１と等価のＩＰパケット２０８を得る。
【実施例】
【００５０】  ＩＰパケットの交換をサービスとする通信事業者で、ダイアルアップやモバイル通信等の数十Ｋｂｐｓ（１秒あたりのデータ転送ビット数）から百数十Ｋｂｐｓのサービスを利用して出先から、かたやＡＤＳＬやＦＴＴＨの普及で数Ｍｂｐｓか数十Ｍｂｐｓという広帯域インターネットで流れている情報をダウンロードするには非常な通信時間を必要とする。そのため、ダウンロードするデータを圧縮して、その分、接続時間を短くするという手法が使われている。【００５１】  いっぽう、だれが利用しているかわからないセキュアでないインターネットを代表とするパブリックＩＰネットワークにおいて、暗号化・認証技術に基づいて仮想のトンネルを作り、そこを通る安全な仮想プライベート・ネットワーク、所謂ＶＰＮの構築が普及してきた。【００５２】  そこで、出先から、広帯域インターネットに常時接続している自分の会社のイントラネットにＶＰＮとモバイル通信を使ってアクセスしようとする際、アクセラレータによるデータ圧縮がデータのダウンロード時間の短縮に効果を示す。【００５３】  しかし、ＶＰＮを利用して暗号化したデータのアクセラレーション圧縮は圧縮率の問題で実用的ではなく、またＩＰＳｅｃを利用したＶＰＮでは、暗号化のための共通鍵を本来のトンネルのほかのサブトンネルも利用しているため、その還元によって再現性が保障されない。そのため、従来はアクセラレーションを行ってから暗号化を行わなければならずアクセラレータのＶＰＮ内でのセンターサービスは提供されてこなかった。【００５４】  ここで、本件発明により、ＶＰＮルータによる暗号化の後、アクセラレーションを行うことができるようになり、効率のよい能力の大きなアクセラレータを前記通信業者のインオフィス・サービスとして行うことができるようになり、前記通信業者のサービス・メニューにリズナブルな価格でのＶＰＮ経由のモバイル・通信によるアクセラレート機能をが提供されるようになる。
【図面の簡単な説明】
【図１】概念図１  本発明の請求項１に基づく概念図
【図２】概念図２  本発明の請求項２に基づく概念図
【図３】状態遷移図１  本発明の請求項１に基づく投入されたＩＰパケットが狭帯域パブリックＩＰネットワークを経由して転送されるときの状態遷移図
【図４】状態遷移図２  本発明の請求項２に基づく投入されたＩＰパケットが狭帯域パブリックＩＰネットワークを経由して転送されるときの状態遷移図
【図１】
2005323319.tif 000003
【図２】
2005323319.tif 000004
【図３】
2005323319.tif 000005
【図４】
2005323319.tif 000006