(57)【要約】【課題】通信相手が可変ＩＰアドレス環境であっても相手側とのＩＰｓｅｃ通信を行うことが可能なネットワークを提供する。【解決手段】端末Ａ１１はアドレス解決サーバ３１に対して端末Ｂ２１のホスト名をキーにアドレス問合わせを行い、端末Ｂ２１のＩＰアドレスを取得し、解決したアドレス情報をＳＰＤ１２にセレクタ条件として動的に登録する。端末Ａ１１から端末Ｂ２１宛の通信は動的に追加したＳＰＤセレクタ条件によってＩＰｓｅｃ通信対象となり、ＩＰｓｅｃ通信が行われる。ＩＰｓｅｃ通信の要求があった場合、ＩＰｓｅｃ通信を確立する前に、端末Ａ１１と端末Ｂ２１との間で互いを認証する処理が行われる。端末Ｂ２１は認証が終了し、相手側が信頼できるとわかった時点で、ＩＰｓｅｃ通信に必要なＳＰＤセレクタ条件を動的に追加する。以後、端末Ａ１１と端末Ｂ２１との間でＩＰｓｅｃ通信が行われる。【選択図】      図４
2005020657.tif 000002
【特許請求の範囲】
【請求項１】
インタネットへの通信時に動的にアドレス情報が付与される通信処理装置間においてＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）セレクタ情報を用いてＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）による暗号通信路を確立するネットワークであって、
通信先のアドレス情報を取得する取得手段と、前記取得手段にて取得した前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更する手段とを前記通信処理装置に有することを特徴とするネットワーク。
【請求項２】
前記ＩＰｓｅｃの通信要求時に前記通信先との相互認証を行う手段と、その相互認証にて正常終了した時に前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更する手段とを前記通信処理装置に含むことを特徴とする請求項１記載のネットワーク。
【請求項３】
前記通信処理装置に搭載されかつＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）を用いて前記インタネットへの通信を行うアプリケーションソフトウェアが、前記ＳＰＤセレクタ情報のエントリを変更することを特徴とする請求項１または請求項２記載のネットワーク。
【請求項４】
前記ＳＰＤセレクタ情報は、パケットの任意のバイト列をキーワードとして定義自在としたことを特徴とする請求項３記載のネットワーク。
【請求項５】
前記パケットの任意のバイト列にて前記ＩＰｓｅｃの通信・非通信の制御を行うことを特徴とする請求項４記載のネットワーク。
【請求項６】
インタネットへの通信時に動的にアドレス情報が付与され、通信先との間においてＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）セレクタ情報を用いてＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）による暗号通信路を確立する通信処理装置であって、
通信先のアドレス情報を取得する取得手段と、前記取得手段にて取得した前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更する手段とを有することを特徴とする通信処理装置。
【請求項７】
前記ＩＰｓｅｃの通信要求時に前記通信先との相互認証を行う手段と、その相互認証にて正常終了した時に前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更する手段とを含むことを特徴とする請求項６記載の通信処理装置。
【請求項８】
前記ＳＰＤセレクタ情報は、パケットの任意のバイト列をキーワードとして定義自在としたことを特徴とする請求項６または請求項７記載の通信処理装置。
【請求項９】
前記パケットの任意のバイト列にて前記ＩＰｓｅｃの通信・非通信の制御を行うことを特徴とする請求項８記載の通信処理装置。
【請求項１０】
ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）を用いて前記インタネットへの通信を行うアプリケーションソフトウェアを搭載し、前記インタネットへの通信時に動的にアドレス情報が付与され、通信先との間においてＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）セレクタ情報を用いてＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）による暗号通信路を確立する通信処理装置であって、
通信先のアドレス情報を取得する取得手段を有し、
前記アプリケーションソフトウェアが前記取得手段にて取得した前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更することを特徴とする通信処理装置。
【請求項１１】
前記ＩＰｓｅｃの通信要求時に前記通信先との相互認証を行う手段を含み、
前記アプリケーションソフトウェアがその相互認証にて正常終了した時に前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更することを特徴とする請求項１０記載の通信処理装置。
【請求項１２】
前記ＳＰＤセレクタ情報は、パケットの任意のバイト列をキーワードとして定義自在としたことを特徴とする請求項１０または請求項１１記載の通信処理装置。
【請求項１３】
前記パケットの任意のバイト列にて前記ＩＰｓｅｃの通信・非通信の制御を行うことを特徴とする請求項１２記載の通信処理装置。
【請求項１４】
インタネットへの通信時に動的にアドレス情報が付与される通信処理装置間においてＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）セレクタ情報を用いてＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）による暗号通信路を確立するネットワークのＩＰセキュリティ方法であって、前記通信処理装置側に、通信先のアドレス情報を取得するステップと、その取得した前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更するステップとを有することを特徴とするＩＰセキュリティ方法。
【請求項１５】
前記通信処理装置側に、前記ＩＰｓｅｃの通信要求時に前記通信先との相互認証を行うステップと、その相互認証にて正常終了した時に前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更するステップとを含むことを特徴とする請求項１４記載のＩＰセキュリティ方法。
【請求項１６】
前記通信処理装置に搭載されかつＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）を用いて前記インタネットへの通信を行うアプリケーションソフトウェアが、前記ＳＰＤセレクタ情報のエントリを変更することを特徴とする請求項１４または請求項１５記載のＩＰセキュリティ方法。
【請求項１７】
前記ＳＰＤセレクタ情報は、パケットの任意のバイト列をキーワードとして定義自在としたことを特徴とする請求項１６記載のＩＰセキュリティ方法。
【請求項１８】
前記パケットの任意のバイト列にて前記ＩＰｓｅｃの通信・非通信の制御を行うことを特徴とする請求項１７記載のＩＰセキュリティ方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明はネットワーク、通信処理装置及びそれに用いるＩＰセキュリティ方法に関し、特に可変ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス環境下におけるＩＰセキュリティ方法に関する。
【０００２】
【従来の技術】
ＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）は、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）／ＩＰにセキュリティ機能を付加するプロトコルの枠組みとして策定されたものである（例えば、非特許文献１参照）。
【０００３】
ＩＰｓｅｃの仕様の第一版は１９９５年にＲＦＣ（Ｒｅｑｕｅｓｔ  Ｆｏｒ  Ｃｏｍｍｅｎｔｓ）１８２５〜１８２９で定義され、認証ヘッダ（ＡＨ：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｈｅａｄｅｒ）、ＩＰパケットの暗号化（ＥＳＰ：Ｅｎｃａｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）等のプロトコルを含んでいる。
【０００４】
上記のＥＳＰプロトコルではＩＰパケットレベルでの暗号化を規定しており、トンネリング・モードとトランスポート・モードとの２方式がある。トンネリング・モードはＩＰパケットをヘッダごと暗号化する手順であり、トランスポート・モードはＩＰパケットのデータ部だけを暗号化する手順である。ＡＨプロトコルはＩＰパケットの認証を規定しており、これらは組み合わせて使用することもできる。
【０００５】
１９９８年１１月にはＲＦＣ２４０１〜２４１２等が策定され、従来の文書が一部更新され、規定が追加されている。これらの規定の大きな変更点は、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃に対する防御機構をＡＨプロトコルやＥＳＰプロトコルに組み込んだこと、及び鍵交換プロトコル（ＩＫＥ：Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）を組み込んだことである（例えば、非特許文献２，３参照）。
【０００６】
ＩＫＥは、汎用的な鍵管理の枠組みＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ  ａｎｄ  Ｋｅｙ  ＭａｎａｇｅｍｅｎｔＰｒｏｔｏｃｏｌ）の下で、鍵交換方式の違いによってＩＳＡＫＭＰ／ＯａｋｌｅｙまたはＩＳＡＫＭＰ／ＳＫＥＭＥ（Ｓｅｃｕｒｅ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ  Ｍｅｃｈａｎｉｓｍ）の２種類のプロトコルが採用されている。
【０００７】
図９に示すように、ＶｏＩＰ（Ｖｏｉｃｅ  ｏｖｅｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）４４のようなＩＰを用いて通信を行うアプリケーションソフトウェアが、ＴＣＰ／ＵＤＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ／Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）スタック４１及びＩＰスタック４２と、暗号通信を司るＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙｐｒｏｔｏｃｏｌ）プロトコルモジュール４３とによって上記のＩＰｓｅｃ通信を行うためには、ＩＰｓｅｃ通信のトリガとなるセレクタ情報として通信相手（終点）のＩＰアドレス、またはアドレス範囲（ネットワークアドレス）を予めＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）４５に登録する必要があり、この登録が手動で行われている。
【０００８】
【非特許文献１】
“Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ”（ＲＦＣ２４０１，Ｎｏｖｅｍｂｅｒ  １９９８）
【非特許文献２】
“Ｉｎｔｅｒｎｅｔ  Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ  ａｎｄ  Ｋｅｙ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ（ＩＳＡＫＭＰ）”（ＲＦＣ２４０８，Ｎｏｖｅｍｂｅｒ  １９９８）
【非特許文献３】
“Ｔｈｅ  Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ”（ＲＦＣ２４０９，Ｎｏｖｅｍｂｅｒ  １９９８）
【０００９】
【発明が解決しようとする課題】
従来のＩＰセキュリティ方法では、相手端末とネットワークを介してＩＰｓｅｃ通信をする場合、事前に通信相手ホストのＩＰアドレスまたはネットワークアドレスをＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）セレクタに手動で登録しなければならない。しかしながら、このＩＰセキュリティ方法では、通信相手が動的にアサインされる可変ＩＰアドレス環境である場合、事前にＳＰＤセレクタ条件を登録することができない。
【００１０】
従来、ＳＰＤセレクタ条件としては、ＩＰアドレス、プロトコル、宛先ポートのみが指定可能である。しかしながら、アプリケ―ション独自のペイロードバイト列等をキーワードとしてＩＰｓｅｃ通信の可否を決定したい場合もある。
【００１１】
したがって、従来のＩＰセキュリティ方法では、動的（可変）にＩＰアドレスがアサインされる相手端末との間でＩＰｓｅｃ通信を行うことができないという問題がある。
【００１２】
そこで、本発明の目的は上記の問題点を解消し、通信相手が可変ＩＰアドレス環境であっても相手側とのＩＰｓｅｃ通信を行うことができるネットワーク、通信処理装置及びそれに用いるＩＰセキュリティ方法を提供することにある。
【００１３】
【課題を解決するための手段】
本発明によるネットワークは、インタネットへの通信時に動的にアドレス情報が付与される通信処理装置間においてＳＰＤ（Ｓｅｃｕｒｉｔｙ  ＰｏｌｉｃｙＤａｔａｂａｓｅ）セレクタ情報を用いてＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）による暗号通信路を確立するネットワークであって、
通信先のアドレス情報を取得する取得手段と、前記取得手段にて取得した前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更する手段とを前記通信処理装置に備えている。
【００１４】
本発明による通信処理装置は、インタネットへの通信時に動的にアドレス情報が付与され、通信先との間においてＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）セレクタ情報を用いてＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ
ｐｒｏｔｏｃｏｌ）による暗号通信路を確立する通信処理装置であって、
通信先のアドレス情報を取得する取得手段と、前記取得手段にて取得した前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更する手段とを備えている。
【００１５】
本発明による他の通信処理装置は、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）を用いて前記インタネットへの通信を行うアプリケーションソフトウェアを搭載し、前記インタネットへの通信時に動的にアドレス情報が付与され、通信先との間においてＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）セレクタ情報を用いてＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）による暗号通信路を確立する通信処理装置であって、
通信先のアドレス情報を取得する取得手段を備え、
前記アプリケーションソフトウェアが前記取得手段にて取得した前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更している。
【００１６】
本発明によるＩＰセキュリティ方法は、インタネットへの通信時に動的にアドレス情報が付与される通信処理装置間においてＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）セレクタ情報を用いてＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）による暗号通信路を確立するネットワークのＩＰセキュリティ方法であって、前記通信処理装置側に、通信先のアドレス情報を取得するステップと、その取得した前記通信先のアドレス情報を基に前記ＳＰＤセレクタ情報のエントリを変更するステップとを備えている。
【００１７】
すなわち、本発明のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）セキュリティ方法は、通信処理装置において、事前に通信相手先のＩＰアドレスがわからない場合においてもＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）による暗号通信路確立を可能としている。
【００１８】
また、本発明のＩＰセキュリティ方法では、通信処理装置において、ＩＰｓｅｃ通信のセキュリティポリシを定義する上位アプリケーションソフトウェア（以下、アプリケーションとする）から動的に変更可能とするインタフェースを備えている。
【００１９】
さらに、本発明のＩＰセキュリティ方法では、通信処理装置において、ＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）セレクタ情報のキーワードとして、ＩＰアドレス、ポート番号だけではなく、パケットの任意のバイト列をキーワードとして定義可能としている。
【００２０】
ＩＰｓｅｃ通信を行うためには、ＩＰｓｅｃ通信のトリガとなるセレクタ情報として通信相手（終点）のＩＰアドレス、またはアドレス範囲（ネットワークアドレス）を予めＳＰＤに登録する必要がある。しかしながら、動的にＩＰアドレスがアサインされる環境の端末装置とＩＰｓｅｃ通信を行う場合、事前にＳＰＤセレクタ情報を登録することができない。
【００２１】
本発明のＩＰセキュリティ方法では、アプリケーションからＳＰＤセレクタ条件を動的に登録可能とすることから、例えば通信相手が可変ＩＰアドレス環境であっても、相手ＩＰアドレス情報取得後にＳＰＤセレクタ条件へエントリを追加することで、ＩＰｓｅｃ通信を可能としている。
【００２２】
また、従来のＳＰＤセレクタ条件として使用できるのはＩＰアドレス、ポート番号等のＩＰヘッダが持つ情報だけである。しかしながら、本発明のＩＰセキュリティ方法では、パケットの任意のバイト列をセレクタ条件とすることで、ユーザアプリケーション側からＩＰｓｅｃ通信・非通信の制御が可能となる。
【００２３】
【発明の実施の形態】
次に、本発明の実施例について図面を参照して説明する。図１は本発明の一実施例による通信処理装置内のソフトウェア構成を示すブロック図である。図１において、本発明の一実施例による通信処理装置はＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）が標準的に有するＴＣＰ／ＵＤＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ／Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）スタック１及びＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）スタック２と、暗号通信を司るＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）プロトコルモジュール３と、アプリケーションソフトウェア４と、それぞれ送受信ＩＰパケットに適用する送信用ＳＰＤ（Ｓｅｃｕｒｉｔｙ  Ｐｏｌｉｃｙ  Ｄａｔａｂａｓｅ）５及び受信用ＳＰＤ６とから構成されている。
【００２４】
送信用ＳＰＤ５及び受信用ＳＰＤ６には、ＩＰパケットに対する暗号（ＩＰｓｅｃ適用）・非暗号（ＩＰｓｅｃ非適用）・廃棄のポリシが静的に定義されており、そのテーブル（ＳＰＤ）内容にしたがってＩＰパケットが送受信される。また、任意のアプリケーションソフトウェア４と送信用ＳＰＤ５及び受信用ＳＰＤ６との間には、アプリケーションソフトウェア４から動的に送信用ＳＰＤ５及び受信用ＳＰＤ６各々の内容の追加・削除を可能とするインタフェース１０１，１０２が配設されている。
【００２５】
図２は本発明の一実施例による拡張ＳＰＤの構成を示す図である。通常、ＳＰＤはＩＰパケットに対するポリシ適用のキーワードとして、エントリＡ１に示すように、ＩＰアドレス、プロトコル、ポート番号が使用される。本実施例では、エントリＡ２に示すように、拡張フィールドを設け、拡張フィールドがＯＮ（＝“１”）である時、パケットの任意のバイト列をキーワードとした通信ポリシの定義を可能とする。
【００２６】
拡張定義では、始点ＩＰアドレス指定する部分に、ＩＰヘッダの先頭を０バイト目としたパターンマッチ開始の位置を、続くフィールド（終点ＩＰアドレス部分の位置）にパターンマッチ対象のバイト数、最後に照合対象となるパターンをそれぞれ定義する。
【００２７】
図２に示す例では、通信対象のパケットに対して評価順序「１」→「２」→「３」の順にポリシが適用される。エントリＡ３はエントリＡ１，Ａ２の条件にマッチしなかった場合、ＩＰｓｅｃを適用しないパケット通信（通常のＩＰ通信）を行うことを意味する。エントリＡ４は動的にＳＰＤセレクタエントリを追加することをイメージしている。動的に追加されたエントリは既に登録されているＳＰＤエントリよりも先に比較される（動的に追加されたＳＰＤエントリが最も優先順位が高い）。
【００２８】
図３は図１のアプリケーションソフトウェア４からＳＰＤセレクタ条件を動的に変更（追加登録、削除等）する方法を示す図である。図３においては、アプリケーションソフトウェア４としてＶｏＩＰ（Ｖｏｉｃｅ  ｏｖｅｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）４ａの例を示している。尚、アプリケーションソフトウェア４としては、このＶｏＩＰ４ａ以外に、ＨＴＴＰ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ），ＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ），電子メール，Ｔｅｌｎｅｔ等のＩＰ関連の通信ソフトウェアがある。
【００２９】
ＶｏＩＰ４ａがＳＰＤセレクタ条件を動的に変更する方法としては、関数レベルのＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｉｎｔｅｒｆａｃｅ）［アプリケーションソフトウェアがＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）等のサービスを利用するためのインタフェース］による方法（図４の▲１▼参照）、ＳＯＣＫＥＴ通信（アプリケーションソフトウェアがＴＣＰ／ＩＰにアクセスできるようにするための論理インタフェース）を用いる方法（図４の▲２▼参照）、ＩＰパケットによる特定の情報を埋め込んで識別する方法（図４の▲３▼参照）等がある。
【００３０】
図４は本発明の一実施例によるネットワークの動作を示す図である。図４において、本実施例では通信処理装置である端末Ａ１１と端末Ｂ２１との間でＩＰｓｅｃ通信を行うこととし、端末Ａ１１をＩＰｓｅｃ通信のＩｎｉｔｉａｔｏｒ（始動側）、端末Ｂ２１をＲｅｓｐｏｎｄｅｒ（応答側）とする。
【００３１】
また、端末Ａ１１及び端末Ｂ２１はそれぞれ、“ａ．ｔｅｓｔ１．ｎｅ．ｊｐ”、“ｂ．ｔｅｓｔ２．ｎｅ．ｊｐ”というホスト名を持ち、動的にＩＰアドレスを取得する可変ＩＰアドレス環境であるものとする。アドレス解決サーバ３１は端末Ａ１１からの要求にしたがってホスト名からアドレスを解決する。
【００３２】
図５は図４の端末Ａ１１の機能構成を示すブロック図である。図５において、端末Ａ１１はアプリケーションソフトウェア４と、アドレス取得機能１１１と、認証機能１１２と、ＩＰｓｅｃ通信機能１１３とから構成されている。これら各機能の動作については後述する。また、図示していないが、端末Ｂ２１の機能構成は上記の端末Ａ１１の機能構成と同様となっている。
【００３３】
図６及び図７は図４の端末Ａ１１及び端末Ｂ２１の動作を示すフローチャートである。これら図１〜図７を参照して本発明の一実施例によるネットワークの動作について説明する。ここで、図６は端末Ａ１１による送信動作を示し、図７は端末Ｂ２１による受信動作を示している。
【００３４】
従来、端末Ａ１１のＳＰＤ１２へはＩＰｓｅｃ通信対象のアドレスとして端末Ｂ２１のＩＰアドレスを予め登録しなければならない。しかしながら、可変ＩＰアドレス環境では端末Ｂ２１のＩＰアドレスが動的にアサインされるため、事前にＳＰＤ１２へ端末Ｂ２１のアドレスを指定することができない。これらの点をふまえた上で本実施例の動作と効果とについて説明する。
【００３５】
まず、始動側である端末Ａ１１の動作について、特に図６を参照して説明する。端末Ａ１１のアドレス取得機能１１１はアドレス解決サーバ３１に対して端末Ｂ２１（ｂ．ｔｅｓｔ２．ｎｅ．ｊｐ）のホスト名をキーにアドレス問合わせを行い（図４のａの手順）（図６ステップＳ１，Ｓ２，Ｓ４）、端末Ｂ２１のＩＰアドレス（１３３．２０３．２０．２）を取得する（図４のｂの手順）（図６ステップＳ５）。
【００３６】
端末Ａ１１のアプリケーションソフトウェア４は解決したアドレス情報（１３３．２０３．２０．２）をＳＰＤ１２にセレクタ条件として動的に登録する（図４のｃの手順）（図６ステップＳ６）。結果として、端末Ａ１１から端末Ｂ２１宛の通信は動的に追加したＳＰＤセレクタ条件によってＩＰｓｅｃ通信対象となり、ＩＰｓｅｃ通信が行われる（図４のｆの手順）（図６ステップＳ７〜Ｓ９）。
【００３７】
次に、ＩＰｓｅｃ通信の応答側となる端末Ｂ２１の動作について、特に図７を参照して説明する。応答側には不特定多数の端末からＩＰｓｅｃ通信の要求がくるので、むやみにＳＰＤ２２にエントリを追加することはセキュリティレベルを下げることとなり、好ましくない。
【００３８】
通常、ＩＰｓｅｃ通信の要求があった場合（図７ステップＳ１２）、ＩＰｓｅｃ通信を確立する前に、端末Ａ１１と端末Ｂ２１との間で各々の認証機能１１２によって互いを認証する処理が行われる（図４のｄの手順）（図７ステップＳ１３）。
【００３９】
応答側の端末Ｂ２１は認証が終了し、相手側（端末Ａ１１）が信頼できるとわかった時点で（図７ステップＳ１４）、アプリケーションソフトウェア４によってＩＰｓｅｃ通信に必要なＳＰＤセレクタ条件を動的に追加する（図４のｅの手順）。以後、端末Ａ１１と端末Ｂ２１との間でＩＰｓｅｃ通信が行われる（図４のｆの手順）（図７ステップＳ１５）。
【００４０】
ＩＰｓｅｃ通信終了後（図６ステップＳ１０）、またはＩＰｓｅｃ通信未確立時（図４のｄの手順による相互認証の失敗時等）（図６ステップＳ８）、端末Ａ１１のアプリケーションソフトウェア４は動的に登録したＳＰＤセレクタのエントリを削除する（図６ステップＳ１１）。同様に、ＩＰｓｅｃ通信終了後（図７ステップＳ１７）、端末Ｂ２１はアプリケーションソフトウェア４によって動的に登録したＳＰＤセレクタのエントリを削除する（図７ステップＳ１８）。
【００４１】
このように、ＩＰｓｅｃ通信を行うためには、ＩＰｓｅｃ通信のトリガとなるセレクタ情報として通信相手（終点）のＩＰアドレス、またはアドレス範囲（ネットワークアドレス）を予めＳＰＤに登録する必要がある。しかしながら、動的にＩＰアドレスがアサインされる環境の端末Ａ１１と端末Ｂ２１との間でＩＰｓｅｃ通信を行う場合、事前にＳＰＤセレクタ情報を登録することができない。
【００４２】
本実施例では、端末Ａ１１及び端末Ｂ２１において、アプリケーションソフトウェア４からＳＰＤ１２，２２（送信用ＳＰＤ５及び受信用ＳＰＤ６）にセレクタ条件を動的に登録可能としているので、例えば通信相手が可変ＩＰアドレス環境であっても、相手側のＩＰアドレス情報の取得後にＳＰＤ１２のセレクタ条件へエントリを追加することで、相手側とのＩＰｓｅｃ通信を行うことができる。
【００４３】
また、従来のＳＰＤセレクタ条件として使用できるのはＩＰアドレス、ポート番号等のＩＰヘッダが持つ情報だけであるが、本実施例ではパケットの任意のバイト列をセレクタ条件とすることで、ユーザアプリケーションソフトウェア４側からＩＰｓｅｃ通信・非通信の制御を行うことができる。
【００４４】
図８は本発明の他の実施例による拡張ＳＰＤの構成を示す図である。本発明の一実施例においては、ＳＰＤセレクタ条件としてＩＰアドレス、プロトコル、宛先ポートを通信ポリシ（ＩＰｓｅｃ通信か通常通信か）のキーワードとして用いるケースについて説明しているが、本発明の他の実施例では、これを図８に示すように拡張することで、ＩＰパケットの任意バイト列を通信ポリシ決定のキーワードにしている。
【００４５】
図８では、拡張エリアが“０”の時、通常通り、セレクタの条件としてはＩＰアドレス、プロトコル、宛先ポートを指定する（エントリＢ１）。拡張エリアが“１”である時、各フィールドを任意のバイト列とパターンマッチングする形で通信ポリシを指定することを可能とする（エントリＢ２）。エントリＢ２の例では、ＩＰヘッダ先頭２９バイト目から６バイト分のデータ（文字列）が‘ｎｅｗａｐｉ’と一致する場合、ＩＰｓｅｃ適用することを示している。
【００４６】
例えば、ＵＤＰ通信を行うアプリケーションソフトウェアにおいて、ＵＤＰヘッダに続く任意の文字列をキーワードに暗号、非暗号の通信ポリシを決定したいとする。従来のＳＰＤではセレクタとしてＩＰアドレス、プロトコル、宛先ポートしか指定することができないため、所望の処理を行うことができない。本発明の他の実施例では、任意の文字列を通信ポリシとして定義可能とするため、先の要件を満たすことが可能となる。
【００４７】
【発明の効果】
以上説明したように本発明は、上記のような構成及び動作とすることで、通信相手が可変ＩＰアドレス環境であっても相手側とのＩＰｓｅｃ通信を行うことができるという効果が得られる。
【図面の簡単な説明】
【図１】本発明の一実施例による通信処理装置内のソフトウェア構成を示すブロック図である。
【図２】本発明の一実施例による拡張ＳＰＤの構成を示す図である。
【図３】図１のアプリケーションソフトウェアからＳＰＤセレクタ条件を動的に変更する方法を示す図である。
【図４】本発明の一実施例によるネットワークの動作を示す図である。
【図５】図４の端末の機能構成を示すブロック図である。
【図６】図４の端末の動作を示すフローチャートである。
【図７】図４の端末の動作を示すフローチャートである。
【図８】本発明の他の実施例による拡張ＳＰＤの構成を示す図である。
【図９】従来例による通信処理装置内のソフトウェア構成を示すブロック図である。
【符号の説明】
１  ＴＣＰ／ＵＤＰスタック
２  ＩＰスタック
３  ＩＰｓｅｃプロトコルモジュール
４  アプリケーションソフトウェア
５  送信用ＳＰＤ
６  受信用ＳＰＤ
１１  端末Ａ
１２，２２  ＳＰＤ
２１  端末Ｂ
３１  アドレス解決サーバ
１０１，１０２  インタフェース
１１１  アドレス取得機能
１１２  認証機能
１１３  ＩＰｓｅｃ通信機能
【図１】
2005020657.tif 000003
【図２】
2005020657.tif 000004
【図３】
2005020657.tif 000005
【図４】
2005020657.tif 000006
【図５】
2005020657.tif 000007
【図６】
2005020657.tif 000008
【図７】
2005020657.tif 000009
【図８】
2005020657.tif 000010
【図９】
2005020657.tif 000011