(57)【要約】【課題】  ＩＰｓｅｃ  ＳＡ情報を記憶するメモリ量を削減し、限りあるメモリリソースを効率よく利用する。【解決手段】  復号化処理を行う場合のＩＰｓｅｃ  ＳＡの識別に、ＩＰパケット内の送信元アドレスを使用する。メッセージ種別毎にＩＰｓｅｃ  ＳＡを定め、そのメッセージを識別するのに必要最小なｂｉｔ数をＳＰＩの任意の位置の固定フィールドに割当て、各メッセージ種別で固定フィールドが異なるようにＳＰＩを決定する。【選択図】  図１
2005348321.tif 000002
【特許請求の範囲】
【請求項１】
ＩＰｓｅｃ(IP Security Protocol)のプロトコル種類情報と当該ＩＰｓｅｃ内のＳＰＩ(Security
Parameter Index)情報と宛先アドレス情報と送信元アドレス情報とをヘッダ情報として含み、メッセージをペイロードとして含むパケットを送受信する手段と、
前記ヘッダ情報に含まれる前記ＳＰＩ情報に基づき当該パケットのＩＰｓｅｃ  ＳＡ(Security
Association)を識別し、当該パケットに含まれるメッセージをそのＩＰｓｅｃ  ＳＡに応じて復号化または暗号化する手段と
を備えたパケット通信装置において、
通信に先立って自装置に到着する予定のパケットの送信元毎に当該パケットに含まれるメッセージ種別毎のＩＰｓｅｃ  ＳＡを確立する手段と、
前記ＳＰＩ情報の一部の固定フィールドに、この確立する手段により確立されたＩＰｓｅｃ  ＳＡの識別情報を設定する手段と、
自装置に到着するパケットの送信元アドレスおよび前記固定フィールドに含まれる前記識別情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別する手段と
を備えたことを特徴とするパケット通信装置。
【請求項２】
前記識別情報は、ＩＰｓｅｃ  ＳＡを識別可能とする必要最小のビット数からなる請求項１記載のパケット通信装置。
【請求項３】
ＩＰｓｅｃのプロトコル種類情報と当該ＩＰｓｅｃ内のＳＰＩ情報と宛先アドレス情報と送信元アドレス情報とをヘッダ情報として含み、メッセージをペイロードとして含むパケットを送受信するステップと、
前記ヘッダ情報に含まれる前記ＳＰＩ情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別し、当該パケットに含まれるメッセージをそのＩＰｓｅｃ  ＳＡに応じて復号化または暗号化するステップと
をパケット通信装置が実行するパケット通信方法において、
前記パケット通信装置は、
通信に先立って前記パケット通信装置に到着する予定のパケットの送信元毎に当該パケットに含まれるメッセージ種別毎のＩＰｓｅｃ  ＳＡを確立するステップと、
前記ＳＰＩ情報の一部の固定フィールドに、この確立するステップにより確立されたＩＰｓｅｃ  ＳＡの識別情報を設定するステップと、
前記パケット通信装置に到着するパケットの送信元アドレスおよび前記固定フィールドに含まれる前記識別情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別するステップと
を実行することを特徴とするパケット通信方法。
【請求項４】
前記識別情報は、ＩＰｓｅｃ  ＳＡを識別可能とする必要最小のビット数からなる請求項３記載のパケット通信方法。
【請求項５】
情報処理装置にインストールすることにより、その情報処理装置に、
ＩＰｓｅｃのプロトコル種類情報と当該ＩＰｓｅｃ内のＳＰＩ情報と宛先アドレス情報と送信元アドレス情報とをヘッダ情報として含み、メッセージをペイロードとして含むパケットを送受信する機能と、
前記ヘッダ情報に含まれる前記ＳＰＩ情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別し、当該パケットに含まれるメッセージをそのＩＰｓｅｃ  ＳＡに応じて復号化または暗号化する機能と
を備えたパケット通信装置に相応する機能を実現させるプログラムにおいて、
通信に先立って自装置に到着する予定のパケットの送信元毎に当該パケットに含まれるメッセージ種別毎のＩＰｓｅｃ  ＳＡを確立する機能と、
前記ＳＰＩ情報の一部の固定フィールドに、この確立する機能により確立されたＩＰｓｅｃ  ＳＡの識別情報を設定する機能と、
自装置に到着するパケットの送信元アドレスおよび前記固定フィールドに含まれる前記識別情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別する機能と
を実現させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰ(Internet Protocol)ネットワークに利用する。特に、ＩＰｓｅｃ(IP
Security Protocol)を用いたパケット転送技術に関する。
【背景技術】
【０００２】
ＩＰｓｅｃは、ＩＰｖ４およびＩＰｖ６に対応し、既にＩＥＴＦで標準化が進められている暗号プロトコルであり、暗号を復号化（Ｉｎｂｏｕｎｄ）処理するために、通信先とＩＰｓｅｃのセキュリティアソシエーション（以下、ＩＰｓｅｃ  ＳＡという）を確立しておく必要がある。さらに、通信する際には、パケットのＩＰｓｅｃ  ＳＡを識別して該当するＩＰｓｅｃ  ＳＡに応じた復号化を行う必要がある（例えば、特許文献１または２参照）。
【特許文献１】特開２００１−２９８４４９号公報
【特許文献２】特開平１１−２０５３０９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
従来、復号化処理を行う場合のＩＰｓｅｃ  ＳＡの識別には、ＩＰパケット内の宛先アドレス、ＩＰｓｅｃのプロトコル種類（ＡＨ(Authentication Header)またはＥＳＰ(Encapsulation Security Payload)）、ＩＰｓｅｃプロトコル内のセキュリティパラメータインデックス（３２ｂｉｔ，以下ではＳＰＩという）の３つを必要としている。
【０００４】
ＩＰｓｅｃの復号化処理において、ＩＰｓｅｃ  ＳＡ識別のための１つの情報であるＩＰパケット内の宛先アドレスとは、すなわち自装置宛てのアドレスである。したがって、不特定多数の送信元端末から受信するＩＰパケットに、どのＩＰｓｅｃ  ＳＡが適用されているかを識別するためには、ＳＰＩで識別するより方法がなく、そのため３２ｂｉｔすべての情報を管理する必要があるという問題がある。
【０００５】
従来のＳＰＩとＩＰｓｅｃ  ＳＡとの対応関係を図５に示す。図５は、一つの通信相手に対する８種類のメッセージ種別に対応して８種類のＩＰｓｅｃ  ＳＡ♯１〜♯８が確立されている例である。８種類のＩＰｓｅｃ  ＳＡ♯１〜♯８を識別するためには、３ｂｉｔ分の情報量で済むのであるが、従来は、一律にＳＰＩを３２ｂｉｔ分識別処理する必要があるので、とりあえず、メモリには、３２ｂｉｔ分のＳＰＩを格納するためのリソースを必要とする。したがって、図５の例では、２９ｂｉｔ分のメモリリソースが無駄になる。
【０００６】
ただし、図５の例は、送信元が既に判明している場合の例であり、従来は、送信元アドレスをＩＰｓｅｃ  ＳＡの識別に利用するという発想は無いので、実際には、一つの通信相手に対して８種類のＩＰｓｅｃ  ＳＡを識別する場合であっても、３ｂｉｔ以上の情報量を必要とする。
【０００７】
本発明は、このような背景に行われたものであって、ＩＰｓｅｃ  ＳＡの識別情報を記憶するメモリ量を削減することができ、限りあるメモリリソースを効率よく利用することができるパケット転送装置および方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明は、復号化または暗号化処理を行う場合のＩＰｓｅｃ  ＳＡの識別および管理において、ＩＰパケット内の送信元アドレスおよびＳＰＩの固定フィールドのｂｉｔ値を情報として使用することにより、従来から必要とされているＳＰＩの情報量を削減することを可能とする。これにより、ＩＰｓｅｃ  ＳＡの識別情報を記憶するメモリ量を削減することができ、限りあるメモリリソースを効率よく利用することができる。
【０００９】
つまり、一般的に、ＩＰｓｅｃ通信を行う場合は、通信先との間の送信方向のメッセージ種別毎に１つのＩＰｓｅｃ  ＳＡを確立し、また、通信先との間の受信方向のメッセージ種別毎に１つのＩＰｓｅｃ  ＳＡを確立する。したがって、通信先との間では受信方向となる復号化処理に着目すると、分類したメッセージ種別数と同数のＩＰｓｅｃ  ＳＡを各送信元との間で確立することになる。
【００１０】
ここで、復号化処理を行う場合のＩＰｓｅｃ  ＳＡの識別において、ＩＰパケット内の送信元アドレスを使用すると、送信元の識別が可能となる。残る識別としては、識別した送信元との間でメッセージ種別毎に確立したどのＩＰｓｅｃ  ＳＡであるかを、ＳＰＩを使用して識別することである。
【００１１】
通信先との間の受信方向のＩＰｓｅｃ  ＳＡを確立する場合は、ＳＰＩ値は受信側である自装置で決定することができるため、例えば、メッセージを識別するのに必要最小なｂｉｔ数をＳＰＩの任意の位置の固定フィールドに割当て、各メッセージ種別で固定フィールドが異なるようにＳＰＩを決定する。
【００１２】
これにより、送信元から受信するＩＰパケット内のＳＰＩについては、その固定フィールドのみを使用すればメッセージ種別の識別が可能なため、ＳＰＩ情報の管理も固定フィールド分のみに削減することができる。
【００１３】
すなわち、本発明の第一の観点は、ＩＰｓｅｃのプロトコル種類情報と当該ＩＰｓｅｃ内のＳＰＩ情報と宛先アドレス情報と送信元アドレス情報とをヘッダ情報として含み、メッセージをペイロードとして含むパケットを送受信する手段と、前記ヘッダ情報に含まれる前記ＳＰＩ情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別し、当該パケットに含まれるメッセージをそのＩＰｓｅｃ  ＳＡに応じて復号化または暗号化する手段とを備えたパケット通信装置である。
【００１４】
ここで、本発明の特徴とするところは、通信に先立って自装置に到着する予定のパケットの送信元毎に当該パケットに含まれるメッセージ種別毎のＩＰｓｅｃ  ＳＡを確立する手段と、前記ＳＰＩ情報の一部の固定フィールドに、この確立する手段により確立されたＩＰｓｅｃ  ＳＡの識別情報を設定する手段と、自装置に到着するパケットの送信元アドレスおよび前記固定フィールドに含まれる前記識別情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別する手段とを備えたところにある。
【００１５】
前記識別情報は、ＩＰｓｅｃ  ＳＡを識別可能とする必要最小のビット数からなることが望ましい。
【００１６】
本発明の第二の観点は、ＩＰｓｅｃのプロトコル種類情報と当該ＩＰｓｅｃ内のＳＰＩ情報と宛先アドレス情報と送信元アドレス情報とをヘッダ情報として含み、メッセージをペイロードとして含むパケットを送受信するステップと、前記ヘッダ情報に含まれる前記ＳＰＩ情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別し、当該パケットに含まれるメッセージをそのＩＰｓｅｃ  ＳＡに応じて復号化または暗号化するステップとをパケット通信装置が実行するパケット通信方法である。
【００１７】
ここで、本発明の特徴とするところは、前記パケット通信装置は、通信に先立って前記パケット通信装置に到着する予定のパケットの送信元毎に当該パケットに含まれるメッセージ種別毎のＩＰｓｅｃ  ＳＡを確立するステップと、前記ＳＰＩ情報の一部の固定フィールドに、この確立するステップにより確立されたＩＰｓｅｃ  ＳＡの識別情報を設定するステップと、前記パケット通信装置に到着するパケットの送信元アドレスおよび前記固定フィールドに含まれる前記識別情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別するステップとを実行するところにある。
【００１８】
前記識別情報は、ＩＰｓｅｃ  ＳＡを識別可能とする必要最小のビット数からなることが望ましい。
【００１９】
本発明の第三の観点は、情報処理装置にインストールすることにより、その情報処理装置に、ＩＰｓｅｃのプロトコル種類情報と当該ＩＰｓｅｃ内のＳＰＩ情報と宛先アドレス情報と送信元アドレス情報とをヘッダ情報として含み、メッセージをペイロードとして含むパケットを送受信する機能と、前記ヘッダ情報に含まれる前記ＳＰＩ情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別し、当該パケットに含まれるメッセージをそのＩＰｓｅｃ  ＳＡに応じて復号化または暗号化する機能とを備えたパケット通信装置に相応する機能を実現させるプログラムである。
【００２０】
ここで、本発明の特徴とするところは、通信に先立って自装置に到着する予定のパケットの送信元毎に当該パケットに含まれるメッセージ種別毎のＩＰｓｅｃ  ＳＡを確立する機能と、前記ＳＰＩ情報の一部の固定フィールドに、この確立する機能により確立されたＩＰｓｅｃ  ＳＡの識別情報を設定する機能と、自装置に到着するパケットの送信元アドレスおよび前記固定フィールドに含まれる前記識別情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別する機能とを実現させるところにある。
【００２１】
本発明のプログラムは記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。
【００２２】
これにより、汎用の情報処理装置を用いて、ＩＰｓｅｃ  ＳＡの識別情報を記憶するメモリ量を削減することができ、限りあるメモリリソースを効率よく利用することができるパケット転送装置を実現することができる。
【発明の効果】
【００２３】
従来、復号化または暗号化処理を行う場合のＩＰｓｅｃ  ＳＡの識別には、以下の３つの情報を必要としている。
（１）ＩＰパケット内の宛先アドレス（ＩＰｖ４であれば３２ｂｉｔ、ＩＰｖ６であれば１２８ｂｉｔ）
（２）ＩＰｓｅｃのプロトコル種類（ＡＨまたはＥＳＰ、識別に１ｂｉｔ）
（３）ＩＰｓｅｃプロトコル内のＳＰＩ（３２ｂｉｔ）
これにより、１つのＩＰｓｅｃ  ＳＡを確立する毎に、合計６５ｂｉｔ（ＩＰｖ４の場合）あるいは１６１ｂｉｔ（ＩＰｖ６の場合）のメモリ量が必要であった。
【００２４】
これに対し、送信元と、８種類のメッセージにそれぞれ１つのＩＰｓｅｃ  ＳＡを確立する場合を例として、本発明を適用した場合は、ＳＰＩの固定フィールドとしては３ｂｉｔ（すなわち８通りの識別が可能）でよいため、
（１）ＩＰパケット内の送信元アドレス（ＩＰｖ４であれば３２ｂｉｔ、ＩＰｖ６であれば１２８ｂｉｔ）
（２）ＩＰｓｅｃのプロトコル種類（ＡＨまたはＥＳＰ、識別に１ｂｉｔ）
（３）ＩＰｓｅｃプロトコル内のＳＰＩの固定フィールド（３ｂｉｔ）
を用い、１つのＩＰｓｅｃ  ＳＡを確立する毎に、合計３６ｂｉｔ（ＩＰｖ４の場合）あるいは１３２ｂｉｔ（ＩＰｖ６の場合）のメモリ量となり、約４５％（ＩＰｖ４の場合、６５ｂｉｔ→３６ｂｉｔで２９ｂｉｔの削減）あるいは約１８％（ＩＰｖ６の場合、１６１ｂｉｔ→１３２ｂｉｔで２９ｂｉｔの削減）のメモリリソースの削減効果となる。
【発明を実施するための最良の形態】
【００２５】
本発明実施例のパケット通信装置の構成を図１を参照して説明する。図１は本実施例のパケット通信装置のブロック構成図である。
【００２６】
本実施例のパケット転送装置は、図１に示すように、ＩＰｓｅｃのプロトコル種類情報と当該ＩＰｓｅｃ内のＳＰＩ情報と宛先アドレス情報と送信元アドレス情報とをヘッダ情報として含み、メッセージをペイロードとして含むパケットを送受信するパケット送受信部１と、前記ヘッダ情報に含まれる前記ＳＰＩ情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別し、当該パケットに含まれるメッセージをそのＩＰｓｅｃ  ＳＡに応じて復号化または暗号化する復号化部２または暗号化部３およびＩＰｓｅｃ  ＳＡ識別部４とを備えたパケット通信装置である。
【００２７】
ここで、本実施例の特徴とするところは、通信に先立って自装置に到着する予定のパケットの送信元毎に当該パケットに含まれるメッセージ種別毎のＩＰｓｅｃ  ＳＡを確立する手段と、前記ＳＰＩ情報の一部の固定フィールドに、この確立する手段により確立されたＩＰｓｅｃ  ＳＡの識別情報を設定する手段とを含むＩＰｓｅｃ  ＳＡ確立部５を備え、ＩＰｓｅｃ  ＳＡ識別部４は、自装置に到着するパケットの送信元アドレスおよび前記固定フィールドに含まれる前記識別情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別する手段を備えたところにある。前記識別情報は、ＩＰｓｅｃ  ＳＡを識別可能とする必要最小のビット数からなる。
【００２８】
なお、設定されたＳＰＩ（３２ｂｉｔ全体）は通信相手に通知され、以降の自パケット通信装置宛のパケットに搭載される。通信相手もまた、設定されたＳＰＩ（３２ｂｉｔ全体）を自パケット通信装置に通知してくる。この通知されたＳＰＩはＩＰｓｅｃ  ＳＡ識別部４に保持され、以降の通信相手宛てのパケットに搭載される。この通知手順は従来から行われている手順と何ら変わるところはない。
【００２９】
自パケット通信装置が通信相手にパケットを送信する際には、暗号化部３により暗号化を行う。暗号化部３は、暗号化の際に、これから送信するメッセージ種別に対応するＩＰｓｅｃ  ＳＡをＩＰｓｅｃ  ＳＡ識別部４に問い合わせる。ＩＰｓｅｃ  ＳＡ識別部４は、暗号化部３からの問い合わせに対し、送信するメッセージ種別に対応するＩＰｓｅｃ  ＳＡを暗号化部３に通知する。暗号化部３は、該当するＩＰｓｅｃ  ＳＡに対応する暗号化を行う。
【００３０】
また、自パケット通信装置が受信したパケットを暗号化して利用する場合もある。あるいは、自パケット通信装置が受信したパケットを暗号化または復号化して他のパケット通信装置に中継伝送するといった利用形態もある。
【００３１】
図１に示す本実施例のパケット通信装置を用いて行われる本実施例のパケット通信方法を図２を参照して説明する。図２は本実施例のパケット通信方法を示すフローチャートである。
【００３２】
本実施例は、図２に示すように、ＩＰｓｅｃのプロトコル種類情報と当該ＩＰｓｅｃ内のＳＰＩ情報と宛先アドレス情報と送信元アドレス情報とをヘッダ情報として含み、メッセージをペイロードとして含むパケットを送受信するステップ（Ｓ４）と、前記ヘッダ情報に含まれる前記ＳＰＩ情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別し、当該パケットに含まれるメッセージをそのＩＰｓｅｃ  ＳＡに応じて復号化または暗号化するステップ（Ｓ９）とをパケット通信装置が実行するパケット通信方法である。
【００３３】
ここで、本実施例の特徴とするところは、前記パケット通信装置は、通信に先立って前記パケット通信装置に到着する予定のパケットの送信元（通信相手）毎に当該パケットに含まれるメッセージ種別毎のＩＰｓｅｃ  ＳＡを確立するステップ（Ｓ１）と、前記ＳＰＩ情報の一部の固定フィールドに、この確立するステップにより確立されたＩＰｓｅｃ  ＳＡの識別情報を設定するステップ（Ｓ２、Ｓ３）と、前記パケット通信装置に到着するパケットの送信元アドレスおよび前記固定フィールドに含まれる前記識別情報に基づき当該パケットのＩＰｓｅｃ  ＳＡを識別するステップ（Ｓ５、Ｓ６、Ｓ７）とを実行するところにある。前記識別情報は、ＩＰｓｅｃ  ＳＡを識別可能とする必要最小のビット数からなる。
【００３４】
すなわち、ＩＰｓｅｃ  ＳＡ確立部５は、通信に先立って、通信相手とメッセージ種別毎にＩＰｓｅｃ  ＳＡを確立する（Ｓ１）。ＩＰｓｅｃ  ＳＡ確立部５は、メッセージ種別毎の各ＩＰｓｅｃ  ＳＡに対してそれぞれＳＰＩを割当てるとき（Ｓ２）、それぞれのパケットのＳＰＩの固定フィールドにＩＰｓｅｃ  ＳＡの識別情報を設定する（Ｓ３）。この識別情報は、ＩＰｓｅｃ  ＳＡを識別可能とする必要最小のビット数からなる。この識別情報は、ＩＰｓｅｃ  ＳＡ確立部５からＩＰｓｅｃ  ＳＡ識別部４に渡される。ＩＰｓｅｃ  ＳＡ識別部４は、ＩＰｓｅｃ  ＳＡ確立部５から渡された識別情報を保持する。
【００３５】
なお、設定されたＳＰＩ（３２ｂｉｔ全体）は通信相手に通知され、以降の自パケット通信装置宛のパケットに搭載される。この通知手順は従来から行われている手順と何ら変わるところはない。
【００３６】
ステップＳ１〜Ｓ３のような通信に先立った処理が行われた後に、パケット送受信部１が通信相手からパケットを受信すると（Ｓ４）、パケット送受信部１は、そのパケットのヘッダ情報に基づき、そのパケットが復号化部２へ送られるべきパケットか、それとも、暗号化部３に送られるべきパケットかを判定（パケット処理内容判定）し、ここで、そのパケットが復号化部２または暗号化部３のいずれにも送る必要のないパケットである場合には、そのまま受信情報として出力する（Ｓ５）。そのパケットが、復号化部２または暗号化部３のいずれかに送られるべきパケットである場合には、パケット送受信部１は、ＩＰｓｅｃ  ＳＡ識別部４にＩＰｓｅｃ  ＳＡ識別要求と共にＩＰｓｅｃ  ＳＡの識別に必要となる情報としてそのパケットの送信元アドレス情報およびＳＰＩ情報を渡す。
【００３７】
ＩＰｓｅｃ  ＳＡ識別部４は、送信元アドレス情報を取得し（Ｓ６）、さらに、ＳＰＩの定められた固定フィールドのｂｉｔ値を取得する（Ｓ７）。ＩＰｓｅｃ  ＳＡ識別部４は、パケット送受信部１から転送された送信元アドレス情報およびＳＰＩ情報の固定フィールドのｂｉｔ値およびＩＰｓｅｃ  ＳＡ確立部５からあらかじめ渡された識別情報に基づきＩＰｓｅｃ  ＳＡを識別する（Ｓ８）。この識別結果は、ＩＰｓｅｃ  ＳＡ識別部４からパケット送受信部１に通知される。パケット送受信部１は、ＩＰｓｅｃ  ＳＡ識別部４から通知されたＩＰｓｅｃ  ＳＡの種別の情報と共に復号化部２または暗号化部３に受信したパケットを渡す。復号化部２または暗号化部３は、渡されたパケットに対して該当するＩＰｓｅｃ  ＳＡに必要な処理を行い（Ｓ１０）、受信情報を出力する。また、パケット送受信部１は、ＩＰｓｅｃ  ＳＡ識別部４からそのパケットが事前に確立されたＩＰｓｅｃ  ＳＡのいずれにも該当しないと識別した場合には（Ｓ９）、そのパケットを廃棄する（Ｓ１１）。
【００３８】
本実施例は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本実施例のパケット通信装置に相応する機能を実現させるプログラムとして実現することができる。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、パケット送受信部１、復号化部２、暗号化部３、ＩＰｓｅｃ  ＳＡ識別部４、ＩＰｓｅｃ  ＳＡ確立部５にそれぞれ相応する機能を実現させることができる。
【００３９】
以下では、本実施例を図３および図４を参照してさらに詳細に説明する。図３はモバイルノードＭＮ♯１および♯２とホームエージェントＨＡとを用いて本実施例のパケット通信方法を説明するための図であり、図３では、ホームエージェントＨＡが本実施例のパケット通信装置に相当する。図４は本実施例で用いるＩＰパケットの構成例を示す図である。
【００４０】
図３において、ＨＡはモバイルＩＰのホームエージェントであり、ＭＮ♯１、ＭＮ♯２はモバイルノードである。本実施例は、ホームエージェントＨＡとホームエージェントＨＡに収容されているモバイルノードＭＮ♯１および♯２との間において、モバイルノードＭＮ♯１および♯２からホームエージェントＨＡ方向のメッセージに対するＩＰｓｅｃ  ＳＡの識別情報を効率よく管理できることを示している。
【００４１】
図３におけるホームエージェントＨＡは、収容する各ＭＮ♯１および♯２から受信する２種類（ＭＮ♯１）および３種類（ＭＮ♯２）のメッセージにＩＰｓｅｃ  ＳＡを１つずつ確立する。このときホームエージェントＨＡは、２種類（ＭＮ♯１）および３種類（ＭＮ♯２）のメッセージを識別するのに必要な１ｂｉｔ（ＭＮ♯１）および２ｂｉｔ（ＭＮ♯２）をＳＰＩの最下位ｂｉｔ（ＭＮ♯１）および下２桁ｂｉｔ（ＭＮ♯２）とし、モバイルノードＭＮ♯１のメッセージＡには最下位ｂｉｔ＝０を、メッセージＢには最下位ｂｉｔ＝１を割当てる。また、モバイルノードＭＮ♯２のメッセージＡには下２桁ｂｉｔ＝００を、メッセージＢには下２桁ｂｉｔ＝１０を、メッセージＣには下２桁ｂｉｔ＝１１をそれぞれ割当てる。
【００４２】
また、モバイルＩＰにおけるホームエージェントＨＡでは収容する各モバイルノードＭＮ♯１および♯２のアドレスを管理する必要があることから、ＩＰｓｅｃ  ＳＡの識別においてＩＰパケット内の送信元アドレスを使用することは、既に管理している情報の再利用ということになり、メモリリソース削減という意味において、さらに都合がよい。
【００４３】
このようにして、ホームエージェントＨＡにおけるＩＰｓｅｃ  ＳＡ管理情報を効率化することができる。ＩＰｓｅｃ  ＳＡを識別するときは、モバイルノードＭＮ♯１およびＭＮ♯２から受信するパケットの中で、図４に示す送信元アドレスおよび固定フィールドのみを参照し、ＩＰｓｅｃ  ＳＡ管理情報から唯一のＩＰｓｅｃ  ＳＡを識別することができる。
【００４４】
例えば、送信元アドレスがモバイルノードＭＮ♯１であれば、ＳＰＩの最下位ｂｉｔの値を調べることにより、ＩＰｓｅｃ  ＳＡを識別することができる。ここで、最下位ｂｉｔ＝０であれば、ＩＰｓｅｃ  ＳＡはＮｏ．１と識別できる。また、最下位ｂｉｔ＝１であれば、ＩＰｓｅｃ  ＳＡはＮｏ．２と識別できる。
【００４５】
また、送信元アドレスがモバイルノードＭＮ♯２であれば、ＳＰＩの下２桁ｂｉｔの値を調べることにより、ＩＰｓｅｃ  ＳＡを識別することができる。ここで、下２桁ｂｉｔ＝００であれば、ＩＰｓｅｃ  ＳＡはＮｏ．３と識別できる。また、下２桁ｂｉｔ＝１０であれば、ＩＰｓｅｃ  ＳＡはＮｏ．４と識別できる。また、下２桁ｂｉｔ＝１１であれば、ＩＰｓｅｃ  ＳＡはＮｏ．５と識別できる。
【産業上の利用可能性】
【００４６】
本発明によれば、ＩＰｓｅｃ  ＳＡの識別情報を記憶するメモリ量を削減することができ、限りあるメモリリソースを効率よく利用することができるので、パケット転送装置におけるメモリ容量を小さくすることができ、装置構成の小型化と低コスト化に寄与することができる。さらに、小さな情報量によって、ＩＰｓｅｃによるパケット転送を実現することができるため、ＩＰｓｅｃの運用を効率化することができると共に高速化することができる。
【図面の簡単な説明】
【００４７】
【図１】本実施例のパケット通信装置のブロック構成図。
【図２】本実施例のパケット通信方法の手順を示すフローチャート。
【図３】モバイルノードとホームエージェントとを用いて本実施例のパケット通信方法を説明するための図。
【図４】本実施例で用いるＩＰパケットの構成例を示す図。
【図５】従来のＳＰＩとＩＰｓｅｃ  ＳＡとの対応関係を示す図。
【符号の説明】
【００４８】
１  パケット送受信部
２  復号化部
３  暗号化部
４  ＩＰｓｅｃ  ＳＡ識別部
５  ＩＰｓｅｃ  ＳＡ確立部
ＨＡ  ホームエージェント
ＭＮ♯１、ＭＮ♯２  モバイルノード
【図１】
2005348321.tif 000003
【図２】
2005348321.tif 000004
【図３】
2005348321.tif 000005
【図４】
2005348321.tif 000006
【図５】
2005348321.tif 000007