(57)【要約】  暗号化通信に先立って行なわれる仕様確定通信時に、第１の装置から送信される転送データからセキュリティ情報を取得する第１セキュリティ情報取得部（１２）と、この取得されたセキュリティ情報と第１の装置のアドレスとを対応付けて第１ルーティング情報（１４）として登録する第１登録部（１３）と、第２の装置から送信される転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得部（１２）と、第２セキュリティ情報取得部（１２）によって取得されたセキュリティ情報に基づいて第１ルーティング情報（１４）を参照し、転送データを送信先の第１の装置に振り分ける第１振り分け部（１５）とをそなえるように構成することにより、複数の第１の装置から仕様確定通信を正常に行なうことができるとともに、仕様確定通信完了後においても、それぞれのLAN側の第１の装置に対して、暗号化されたパケットを正しく振り分けることができるようにする。
2007069327.tif 000002
【特許請求の範囲】
【請求項１】
第１の装置と第２の装置との間において暗号化された転送データを送受信可能な中継装置であって、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得部と、
該第1セキュリティ情報取得部によって取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録部と、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得部と、
該第２セキュリティ情報取得部によって取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分け部とをそなえることを特徴とする、中継装置。
【請求項２】
当該中継装置がIP（Internet Protocol）マスカレード機能をそなえるとともに、
該仕様確定通信時において、該IPマスカレード機能を抑止する抑止部と、
仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定部とをそなえ、
該ポート番号設定部によって該ソースポートの設定が行なわれた該転送データを該第２の装置に送出することを特徴とする、請求項１記載の中継装置。
【請求項３】
該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信部と、
該要求信号送信部から送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信部と、
該応答信号受信部によって受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録部と、
該第２の装置から送信される該転送データから該識別値を取得する識別値取得部と、
該識別値取得部によって取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分け部とをそなえることを特徴とする、請求項１又は請求項２記載の中継装置。
【請求項４】
第１の装置と第２の装置との間において暗号化された転送データを送受信可能な中継方法であって、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、
該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、
該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとをそなえることを特徴とする、中継方法。
【請求項５】
該仕様確定通信時において、IP（Internet Protocol）マスカレード機能を抑止する抑止ステップと、
仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定ステップとをそなえ、
該第１振り分けステップにおいて、該ポート番号設定ステップにおいて該ソースポートの設定が行なわれた該転送データを該第２の装置に送出することを特徴とする、請求項４記載の中継方法。
【請求項６】
該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信ステップと、
該要求信号送信ステップにおいて送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信ステップと、
該応答信号受信ステップにおいて受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録ステップと、
該第２の装置から送信される該転送データから該識別値を取得する識別値取得ステップと、
該識別値取得ステップにおいて取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分けステップとをそなえることを特徴とする、請求項４又は請求項５記載の中継方法。
【請求項７】
第１の装置と第２の装置との間において暗号化された転送データの送受信を行なう中継機能をコンピュータに実行させるための中継用プログラムであって、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、
該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、
該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとを、該コンピュータに実行させることを特徴とする、中継用プログラム。
【請求項８】
該仕様確定通信時において、IP（Internet Protocol）マスカレード機能を抑止する抑止ステップと、
仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定ステップとを、該コンピュータに実行させるとともに、
該第１振り分けステップにおいて、該ポート番号設定ステップにおいて該ソースポートの設定が行なわれた該転送データを該第２の装置に送出するように、該コンピュータを機能させることを特徴とする、請求項７記載の中継用プログラム。
【請求項９】
該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信ステップと、
該要求信号送信ステップにおいて送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信ステップと、
該応答信号受信ステップにおいて受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録ステップと、
該第２の装置から送信される該転送データから該識別値を取得する識別値取得ステップと、
該識別値取得ステップにおいて取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分けステップとを、該コンピュータに実行させることを特徴とする、請求項７又は請求項８記載の中継用プログラム。
【請求項１０】
第１の装置と第２の装置との間において暗号化された転送データの送受信を行なう中継機能をコンピュータに実行させるための中継用プログラムを記録したコンピュータ読取可能な記録媒体であって、
該中継用プログラムが、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、
該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、
該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとを、該コンピュータに実行させることを特徴とする、中継用プログラムを記録したコンピュータ読取可能な記録媒体。
【請求項１１】
該中継用プログラムが、
該仕様確定通信時において、IP（Internet Protocol）マスカレード機能を抑止する抑止ステップと、
仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定ステップとを、該コンピュータに実行させるとともに、
該第１振り分けステップにおいて、該ポート番号設定ステップにおいて該ソースポートの設定が行なわれた該転送データを該第２の装置に送出するように、該コンピュータを機能させることを特徴とする、請求項１０記載の中継用プログラムを記録したコンピュータ読取可能な記録媒体。
【請求項１２】
該中継用プログラムが、
該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信ステップと、
該要求信号送信ステップにおいて送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信ステップと、
該応答信号受信ステップにおいて受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録ステップと、
該第２の装置から送信される該転送データから該識別値を取得する識別値取得ステップと、
該識別値取得ステップにおいて取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分けステップとを、該コンピュータに実行させることを特徴とする、請求項１０又は請求項１１記載の中継用プログラムを記録したコンピュータ読取可能な記録媒体。
【請求項１３】
中継装置を介して、他の情報処理装置との間で転送データの送受信を行なう情報処理装置であって、
該他の情報処理装置との間において暗号化通信に先立って行なわれる仕様確定通信の完了後に、該中継装置から送信される要求信号を受信する要求信号受信部と、
該要求信号受信部が該要求信号を受信したときに、該仕様確定通信時に使用した識別値を該中継装置に対して応答信号として送信する応答信号送信部とをそなえることを特徴とする、情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、IPマスカレード（Internet Protocol masquerade）機能により、レスポンダと複数のイニシエータとの間でIPsec（IP Security）によるパケットの転送を行なう技術に関する。
【背景技術】
【０００２】
IPsec（IP Security）は利用者専用のネットワーク（IPsecトンネル）を作り出す技術であって、暗号化や認証情報を設定することにより、遠隔地のLAN（Local Area Network）上のアプリケーションやデータをインターネット上でも安全に利用することができる。
IPsecを使った通信を行なおうとするＰＣ（イニシエータおよびレスポンダ）間においては、先ずIPsecのネゴシエーションを行なう。このIPsecのネゴシエーションはIKE（Internet Key Exchange）と呼ばれるプロトコルを用いて、UDP（User Datagram Protocol）ポートの５００番を用いてパケットの転送を行なうようになっている。【０００３】
図１５（ａ），（ｂ）はIPsec接続を確立するためのネゴシエーションにおける工程（フェーズ）を説明するための図であり、図１５（ａ）はそのフェーズ１を説明するための図、図１５（ｂ）はそのフェーズ２を説明するための図である。
ネゴシエーションは、図１５（ａ），（ｂ）に示すような２つの工程（フェーズ１，２）に分かれており、イニシエータ１３１とレスポンダ１３２との間において、先ず、そのフェーズ（phase）１で、ISAKMP（Internet Security Association Key Management Protocol） SA （Security Association）の確立が行なわれる。具体的には、イニシエータ１３１とレスポンダ１３２との間で、「ISAKMP SAのプロポーサル」，「ISAKMP SAの選択」，「イニシエータからの鍵作成のための情報」，「レスポンダからの鍵作成のための情報」，「イニシエータからの認証データ」および「レスポンダからの認証データ」の6つのメッセージを交換することにより、ISAKMP SAの確立が行なわれる。【０００４】
その後、フェーズ２で、イニシエータとレスポンダとの間で、「IPsec SAのプロポーサルと鍵生成のための情報」，「IPsec SAの選択と鍵生成のための情報」および「認証データ」の３つのメッセージを交換することにより、セキュリティプロトコルのためのIPsec SAの確立が行なわれる。
これらの２つのフェーズが完了すると、イニシエータ１３１とレスポンダ１３２との間でIPsecを使った暗号化通信が可能になる。【０００５】
そして、LAN（Local Area Network）等のプライベートネットワークとWAN（Wide Area Network）等のグローバルネットワークとの間を、上述したIPsec機能をそなえたルータ等を用いて接続することにより、例えば、LAN側にあるＰＣ（イニシエータ）とWAN側にあるＰＣ（レスポンダ）との間で、IPsecを用いた暗号化通信を行なうことができる。
また、近年においては、一般的に、プライベートネットワークとグローバルネットワークとを接続する際に、プライベートIPアドレスと、Internetアクセスに利用できるグローバルなIPアドレスとを相互に変換し、ローカルなIPアドレスしか割り当てられていないノードから、透過的にInternetをアクセスできるようにするために、NAT（Network Address Translation）と呼ばれる手法が用いられている。【０００６】
グローバルIPとプライベートIPとを１対１で変換するNATにおいては、複数のクライアントが同時にインターネットに接続することができない。そこで、複数のクライアントからインターネットへの同時接続を可能にするためにIPマスカレード機能が用いられている。
このIPマスカレード機能は、TCP（Transmission Control Protocol）/UDPのポート番号を変更することにより、複数のクライアントが同一のグローバルアドレスを用いてインターネットに同時に接続できるようにするものである。
【非特許文献１】“古河電工VPNソリューション  VPNって何だろう？  IPsecとは？”、[online]、[平成１７年９月２２日検索]、インターネット<URL： HYPERLINK "http://www.furukawa.co.jp/network/vpn/about_vpn/ipsec/ipsec_top.html" http://www.furukawa.co.jp/network/vpn/about_vpn/ipsec/ipsec_top.html>
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、従来のルータにおいては、IPsecとNATとは相性があまりよくない。IPsecのネゴシエーションにおいては、IKEは必ずUDPポート５００番を使用することが規定されており、IPマスカレード等でそのポート番号を変更すると、ネゴシエーションを正常に行なうことができないからである。
図１６（ａ），（ｂ）は従来のルータにおけるIPマスカレード機能を用いた場合でのIPsecのネゴシエーション時に送受信されるパケットを説明するための図であり、図１６（ａ）はイニシエータ（ＰＣ１３１ａ，ＰＣ１３１ｂ），ルータ２０１およびレスポンダ（ＰＣ１３２）間において送受信されるパケット（Ｐ１１〜Ｐ１８）を示す図、図１６（ｂ）は図１６（ａ）に示す各パケットについてＳＰ（Source Port），ＤＰ（Destination Port），ＳＡ（Source Address）およびＤＡ（Destinatio Address）をそれぞれ示す図である。【０００８】
なお、これらの図１６（ａ），（ｂ）に示す例においては、２つのイニシエータ（ＰＣ１３１ａ，ＰＣ１３１ｂ）が接続されたLANと１つのレスポンダ（ＰＣ１３２）が接続されたWANとをルータ２０１を介して接続して構成されている。
また、これらの図１６（ａ），（ｂ）に示す例においては、図１６（ａ）中に示すパケットＰ１１，Ｐ１２，Ｐ１３，Ｐ１４により、ＰＣ１３１ａ（イニシエータ）とＰＣ１３２（レスポンダ）との間で、既にIKE（UDPポート500番）を使用したIPsecのネゴシエーション（phase 1，2）が完了し、IPsecを使った暗号化通信が可能な状態になっているものとする。【０００９】
このような状態において、新たにＰＣ１３１ｂ（イニシエータ）とＰＣ１３２（レスポンダ）との間でネゴシエーションを開始する場合に、ＰＣ１３１ｂがフェーズ１の最初のパケット（「ISAKMP SAのプロポーサル」パケット；パケットＰ１５）を出力すると、ルータ２０１はIPマスカレードによりパケットのSource portを５００から任意の番号（図１６（ｂ）の例では１）に変換してしまう（パケットＰ１６参照）。【００１０】
そして、このようにルータ２０１によってソースポートの番号を変更されたパケットを受信したＰＣ１３２においては、受信したパケットのポート番号が５００ではないので、このパケットＩＫＥであると判断できないおそれがある。
また、仮にＰＣ１３２がそのパケットをＩＫＥであると判断し、次のパケット（「ISAKMP SAの選択」パケット；パケットＰ１７）をＰＣ１３１ｂ宛に返信したとしても、このパケットのSource portとDestination portはそれぞれ５００として発信されるので、ＰＣ１３１ａのネゴシエーションにおいて送信されたパケットＰ１３と同じになり、ルータ２０１はそのパケットを区別できず、ＰＣ１３１ｂに正しく振り分けることができない。【００１１】
このように、従来のルータ２０１において、LAN−WAN間でNATを挟んだネゴシエーションを行なう場合には、１台のイニシエータしかネゴシエーションを正常に行なうことができないおそれがある。
図１７（ａ），（ｂ）は従来のルータにおけるIPマスカレード機能を用いた場合でのIPsecのネゴシエーション完了後に送受信されるパケットを説明するための図であり、図１７（ａ）はイニシエータ（ＰＣ１３１ａ，ＰＣ１３１ｂ），ルータ２０１およびレスポンダ（ＰＣ１３２）間において送受信されるパケット（Ｐ２１，Ｐ２２，Ｐ２３，Ｐ２６）を示す図、図１７（ｂ）は図１７（ａ）における各パケットの内容を模式的に示す図である。なお、以下、図中、既述の略語や符号と同一の略号や符号は同一の意味部分を示しているので、その詳細な説明は省略する。【００１２】
これらの図１７（ａ），（ｂ）に示すように、IPsecのネゴシエーション完了後に送受信される暗号化されたパケットＰ２３，Ｐ２６においては、パケットの最終的な送信先であるＰＣ１３１ａ，１３１ｂのアドレスやポート番号が暗号化される。
従って、たとえ複数のイニシエータから同時にIPsecのネゴシエーションが完了し、IPsecを使った暗号化通信を同時に行なえるようになったとしても、ネゴシエーション完了後においては、パケットのポート番号自体がIPsecによって暗号化されてしまうので、ポート番号を変更できず、IPマスカレードを使用することができない。【００１３】
なお、従来のルータにおいては、IPsecパススルーと呼ばれる手法を用いて、IPsecなどで暗号化されたパケットはIPマスカレードを行わずに素通りさせ、送信元アドレスをルータ２０１のグローバルアドレス（192.168.20.1）に付け替えることも行なわれている。しかしながら、このようなIPsecパススルー方式においては、ポート番号の変更が行なわないので、例えば、図１７（ａ），（ｂ）におけるパケットＰ２３とパケットＰ２６とはルータ２０１から見れば同じものに見えてしまう。【００１４】
すなわち、この場合においても、ルータ２０１はＰＣ１３２から送られてきたパケットをＰＣ１３１ａ，ＰＣ１３１ｂに正しく振り分けることができないので、結果的にルータ２０１には１台のイニシエータしか接続することができない。
本発明は、このような課題に鑑み創案されたもので、複数のイニシエータからIPsecのネゴシエーションを正常に行なうことができるとともに、ネゴシエーション完了後においても、それぞれのLAN側のＰＣ（イニシエータ）に対して、IPsecによって暗号化されたパケットを正しく振り分けることができるようにすることを目的とする。
【課題を解決するための手段】
【００１５】
上記の目的を達成するために、本発明の中継装置は、第１の装置と第２の装置との間において暗号化された転送データを送受信可能な中継装置であって、前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得部と、該第1セキュリティ情報取得部によって取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録部と、該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得部と、該第２セキュリティ情報取得部によって取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分け部とをそなえることを特徴としている。【００１６】
なお、当該中継装置がIP（Internet Protocol）マスカレード機能をそなえるとともに、該仕様確定通信時において、該IPマスカレード機能を抑止する抑止部と、仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定部とをそなえ、該ポート番号設定部によって該ソースポートの設定が行なわれた該転送データを該第２の装置に送出してもよい。【００１７】
そして、該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信部と、該要求信号送信部から送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信部と、該応答信号受信部によって受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録部と、該第２の装置から送信される該転送データから該識別値を取得する識別値取得部と、該識別値取得部によって取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分け部とをそなえてもよい。【００１８】
また、本発明の中継方法は、第１の装置と第２の装置との間において暗号化された転送データを送受信可能な中継方法であって、前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとをそなえることを特徴としている。【００１９】
なお、該仕様確定通信時において、IP（Internet Protocol）マスカレード機能を抑止する抑止ステップと、仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定ステップとをそなえ、該第１振り分けステップにおいて、該ポート番号設定ステップにおいて該ソースポートの設定が行なわれた該転送データを該第２の装置に送出してもよい。【００２０】
そして、該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信ステップと、該要求信号送信ステップにおいて送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信ステップと、該応答信号受信ステップにおいて受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録ステップと、該第２の装置から送信される該転送データから該識別値を取得する識別値取得ステップと、該識別値取得ステップにおいて取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分けステップとをそなえてもよい。【００２１】
また、本発明の中継用プログラムは、第１の装置と第２の装置との間において暗号化された転送データの送受信を行なう中継機能をコンピュータに実行させるための中継用プログラムであって、前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとを、該コンピュータに実行させることを特徴としている。【００２２】
なお、該仕様確定通信時において、IP（Internet Protocol）マスカレード機能を抑止する抑止ステップと、仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定ステップとを、該コンピュータに実行させるとともに、該第１振り分けステップにおいて、該ポート番号設定ステップにおいて該ソースポートの設定が行なわれた該転送データを該第２の装置に送出するように、該コンピュータを機能させてもよい。【００２３】
そして、該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信ステップと、該要求信号送信ステップにおいて送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信ステップと、該応答信号受信ステップにおいて受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録ステップと、該第２の装置から送信される該転送データから該識別値を取得する識別値取得ステップと、該識別値取得ステップにおいて取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分けステップとを、該コンピュータに実行させてもよい。【００２４】
また、本発明のコンピュータ読取可能な記録媒体は、上述した中継用プログラムを記録したものである。
さらに、本発明の情報処理装置は、中継装置を介して、他の情報処理装置との間で転送データの送受信を行なう情報処理装置であって、該他の情報処理装置との間において暗号化通信に先立って行なわれる仕様確定通信の完了後に、該中継装置から送信される要求信号を受信する要求信号受信部と、該要求信号受信部が該要求信号を受信したときに、該仕様確定通信時に使用した識別値を該中継装置に対して応答信号として送信する応答信号送信部とをそなえることを特徴としている。
【発明の効果】
【００２５】
本発明によれば、以下の少なくともいずれか１つの効果ないし利点がある。
（１）第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時において、転送データを確実に振り分けることができ、仕様確定通信を行なうことができる。
（２）仕様確定通信完了後においても、暗号化された転送データを正しく振り分けて暗号化通信を行なうことができる。
【図面の簡単な説明】
【００２６】
【図１】本発明の一実施形態としてのルータ（中継装置）をそなえた中継システムの構成を模式的に示す図である。
【図２】本発明の一実施形態としてのルータの構成のハードウェア構成を模式的に示す図である。
【図３】本発明の一実施形態としてのルータにおけるIPsec無効時に用いられるルーティングテーブルの例を示す図である。
【図４】本発明の一実施形態としてのルータにおける第1ルーティングテーブルの例を示す図である。
【図５】本発明の一実施形態としてのルータにおいて用いられる要求パケットの例を示す図である。
【図６】本発明の一実施形態としてのルータにおいて用いられる応答パケットの例を示す図である。
【図７】本発明の一実施形態としてのルータにおける第２ルーティングテーブルの例を示す図である。
【図８】IPsecのネゴシエーションのフェーズ２においてイニシエータからレスポンダに送信されるパケットの一部を示す図である。
【図９】IPsecのネゴシエーションのフェーズ２においてレスポンダからイニシエータに送信されるパケットの一部を示す図である。
【図１０】IPsecのネゴシエーション完了後にイニシエータからレスポンダに送信されるパケットの構成例を示す図である。
【図１１】IPsecのネゴシエーション完了後にレスポンダからイニシエータに送信されるパケットの構成例を示す図である。
【図１２】本発明の一実施形態としてのルータに接続されるレスポンダのSADの例を示す図である。
【図１３】本発明の一実施形態としてのルータにおけるIPsecのネゴシエーション時の処理を説明するためのフローチャートである。
【図１４】本発明の一実施形態としてのルータにおけるIPsecのネゴシエーション完了後の処理を説明するためのフローチャートである。
【図１５】（ａ），（ｂ）はIPsec接続を確立するためのネゴシエーションにおける工程を説明するための図である。
【図１６】（ａ），（ｂ）は従来のルータにおけるIPマスカレード機能を用いた場合でのIPsecのネゴシエーション時に送受信されるパケットを説明するための図である。
【図１７】（ａ），（ｂ）は従来のルータにおけるIPマスカレード機能を用いた場合でのIPsecのネゴシエーション完了後に送受信されるパケットを説明するための図である。
【符号の説明】
【００２７】
１０    ルータ（中継装置）
１１    LAN側通信部
１２    イニシエータクッキー取得部（第１イニシエータクッキー取得部，第２イニシエータクッキー取得部，第１セキュリティ情報取得部，第２セキュリティ情報取得部）
１３    第１登録部
１４    第１ルーティングテーブル（第１ルーティング情報）
１５    第１振り分け部
１６    第３ルーティングテーブル
１７    WAN側通信部
１８    抑止部
１９    ポート番号設定部
２０    要求パケット送信部（要求信号送信部）
２１    応答パケット受信部（応答信号送信部）
２２    第２登録部
２３    第２振り分け部
２４    SPI値取得部（識別値取得部）
２５    第２ルーティングテーブル（第２ルーティング情報）
３１，３１ａ，３１ｂ    ＰＣ（イニシエータ，第１の装置）
３２    ＰＣ（レスポンダ，第２の装置）
４０    ＣＰＵ
４１    メモリチップ
４２，４５    PHYチップ
４３    WAN側MAC
４４    LAN側MAC
【発明を実施するための最良の形態】
【００２８】
以下、図面を参照して本発明の実施の形態を説明する。
図１は本発明の一実施形態としてのルータ（中継装置）をそなえた中継システムの構成を模式的に示す図、図２は本発明の一実施形態としてのルータの構成のハードウェア構成を模式的に示す図である。
ルータ（中継装置）１０は、ネットワーク同士を通信可能に接続し、これらのネットワーク間でパケットの中継処理を行なう中継装置である。本実施形態においては、ルータ１０は、プライベートネットワーク（ＬＡＮ；Local Area Network）とグローバルネットワーク（ＷＡＮ；Wide Area Network）との間でパケット（転送データ）の中継処理を行なうようになっており、ＬＡＮ側の１以上（本実施形態では２つ）のＰＣ（Personal Computer）３１ａ，３１ｂと、ＷＡＮ側の１以上（本実施形態では１つ）のＰＣ３２との間でパケットの中継（転送，送受信）を行なうようになっている。【００２９】
なお、本実施形態においては、図１に示すように、ＰＣ３１ａのアドレス（LAN上におけるプライベートアドレス）が192.168.2.100、ＰＣ３１ａのアドレスが192.168.2.101、ルータ１０のLAN側のアドレス（プライベートアドレス）が192.168.2.1、ルータ１０のWAN側のアドレス（グローバルアドレス）が192.168.20.10、ＰＣ３２のアドレス（WAN上におけるグローバルアドレス）が192.168.20.1であるものとする。【００３０】
また、本ルータ１０は、ＩＰマスカレード機能をそなえており、TCP/UDP（Transmission Control Protocol/User Datagram Protocol）のポート番号を変更することで、一のグローバルアドレスを用いてＬＡＮ側の複数のＰＣ３１ａ，３１ｂが同時にインターネットに接続することができるようになっている。
さらに、本ルータ１０は、IPsec（IP Security）通信（暗号化通信）機能をそなえており、このIPsec機能によってIPパケット（転送データ）の暗号化や認証機能を付加し、パケットの改ざんや盗聴を防止することができるようになっている。図１に示す例においては、ルータ１０は、LAN側のＰＣ３１ａ，３１ｂとWAN側のＰＣ３２との間においてIPsecによる通信を可能にするものであって、本実施形態においては、ＰＣ３１ａ，３１ｂ（イニシエータ，第１の装置）からＰＣ３２（レスポンダ，第２の装置）に対してIPsecによる通信要求を行なう場合について説明する。【００３１】
以下、本実施形態においては、ＰＣ３１ａやＰＣ３１ｂをイニシエータ３１ａやイニシエータ３１ｂという場合がある。又、ＰＣ（イニシエータ）を示す符号としては、複数のＰＣ（イニシエータ）のうち１つを特定する必要があるときには符号３１ａ，３１ｂを用いるが、任意のＰＣ（イニシエータ）を指すときには符号３１を用いる。
また、本ルータ１０においては、上述の如きIPsec機能を有効にする他、IPsec機能を使用しないで通信を行なうこともできるようになっており（IPsec無効時；通常時）、このようなIPsec機能の有効／無効の設定は、例えばＰＣ３１，３２のユーザ等が任意に行なうことができるようになっている。【００３２】
図３は本発明の一実施形態としてのルータ１０におけるIPsec無効時に用いられる第３ルーティングテーブル１６の例を示す図であって、ＰＣ３１ａ，３１ｂからＰＣ３２へ送信したパケットに関する情報の例を示すものである。この図３に示すように、IPsec無効時においては、本ルータ１０が有するIPマスカレード機能により、パケットのソースポート（Source port）やデスティネーションポート（Destination port）の値を任意の値（1024,1124,768,1755,53等）に変更し、後述する第２振り分け部２３が、この第３ルーティングテーブル１６を参照してパケットの振り分けを行ない、正しい送信先にパケットの送信を行なうようになっている。【００３３】
本ルータ１０は、図２に示すように、ＣＰＵ４０，メモリチップ（Memory Chip）４１，PHYチップ（PHY Chip）４２，４５，WAN側MAC４３およびLAN側MAC４４をそなえて構成されている。
メモリチップ４１は、ＣＰＵ（Central Processing Unit）４０を動作させるためのプログラムやデータを格納したり、第３ルーティングテーブル１６の他、後述する第１ルーティングテーブル１４（図１参照）や第２ルーティングテーブル２５（図１参照）を格納するものである。【００３４】
ＣＰＵ４０は、ルータ１０における種々の制御・処理を行なうものであって、メモリチップ４１や図示しないＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等の内部記憶装置に格納されたプログラムを実行することにより、後述する、イニシエータクッキー取得部１２，第１登録部１３，第１振り分け部１５，抑止部１８，ポート番号設定部１９，要求パケット送信部２０，応答パケット受信部２１，第２登録部２２，第２振り分け部２３およびSPI値取得部２４として機能するようになっている。【００３５】
なお、これらのイニシエータクッキー取得部１２，第１登録部１３，第１振り分け部１５，抑止部１８，ポート番号設定部１９，要求パケット送信部２０，応答パケット受信部２１，第２登録部２２，第２振り分け部２３およびSPI値取得部２４としての機能を実現するためのプログラムは、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷ等），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ＋Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋ＲＷ等），磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供してもよい。【００３６】
なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、ルータ１０がコンピュータとしての機能を有しているのである。【００３７】
さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等のコンピュータ読取可能な種々の媒体を利用することができる。【００３８】
PHYチップ４２，４５は、ネットワークの物理的（physical）な接続・伝送を制御するものであって、PHYチップ４２は本ルータ１０とWAN側のイーサネット（登録商標）（WAN Ethernet）との間で物理的な接続・伝送を行ない、PHYチップ４５は本ルータ１０とLAN側のイーサネット（LAN Ethernet）との間で物理的な接続・伝送を行なうようになっている。又、本実施形態においては、PHYチップ４５は、スイッチングハブチップ（Switching Hub Chip）を内蔵しており、スイッチングハブとしての機能も有している。【００３９】
WAN側MAC（Media Access Control）４３は、本ルータ１０とWANとの間でのメディアアクセス制御を行なうものであって、例えばパケットの送受信における誤り検出等を行なうようになっている。LAN側MAC（Media Access Control）４４は、本ルータ１０とLAN側の通信機器（本実施形態ではＰＣ３２）との間でのメディアアクセス制御を行なうものであって、例えばパケットの送受信における誤り検出等を行なうようになっている。【００４０】
また、ルータ１０は、図１に示すように、LAN側通信部１１，WAN側通信部１７，イニシエータクッキー取得部（第１イニシエータクッキー取得部，第２イニシエータクッキー取得部）１２，第１登録部１３，第１ルーティングテーブル１４，第１振り分け部１５，抑止部１８，ポート番号設定部１９，要求パケット送信部２０，応答パケット受信部２１，第２登録部２２，第２振り分け部２３，SPI値取得部２４および第２ルーティングテーブル２５をそなえて構成されている。【００４１】
LAN通信部１１は、LAN側のＰＣ３１ａ，３１ｂ等との間でパケット通信を行なうものであり、図２におけるPHYチップ４５，LAN側MAC４４等によって実現される。WAN側通信部１７は、WAN側のＰＣ３２等との間でパケット通信を行なうものであり、図２におけるPHYチップ４２，WAN側MAC４３等によって実現される。
抑止部１８は、IPsecのネゴシエーション時（暗号化通信に先立って行なわれる仕様確定通信時）において、前述した本ルータ１０におけるIPマスカレード機能を抑止するものであり、パケットのソースポートやデスティネーションポートの値を任意の値に変更することを抑止するようになっている。【００４２】
ポート番号設定部１９は、パケットのソースポートを任意に設定するものであって、IPsecのネゴシエーション時において、イニシエータ３１ａ，３１ｂから送信されたネゴシエーションのパケットのソースポートをIKEの規格に則って設定するものであり、本実施形態においてはUDP（User Datagram Protocol）の５００に設定するようになっている。すなわち、ポート番号設定部１９は、抑止部１８によってソースポートやデスティネーションポートの値の変更（IPマスカレード機能）を抑止されたパケットについて、そのソースポートを５００に変更する。【００４３】
イニシエータクッキー取得部（第１イニシエータクッキー取得部，第２イニシエータクッキー取得部，第１セキュリティ情報取得部，第２セキュリティ情報取得部）１２は、イニシエータ３１やレスポンダ３２から送信されたパケットからイニシエータクッキー（セキュリティ情報）を取得・抽出するものである。
イニシエータクッキーはイニシエータ３１がネゴシエーションを開始するときに作成する任意の値であって、例えば64bitの乱数が用いられ、IPsecの暗号鍵を作成する要素となるものである。なお、一般に、IPsecネゴシエーションの工程フェーズ１，２において、すべてのパケットで共通のイニシエータクッキーが使用される。【００４４】
そして、イニシエータクッキー取得部１２は、IPsecのネゴシエーション時に、イニシエータ３１から送信されるIKE（Internet Key Exchange）のフェーズ１における最初のパケット（「ISAKMP SAのプロポーサル」パケット）から、イニシエータ３１により作成されるイニシエータクッキーを取得するようになっている。
例えば、イニシエータクッキー取得部１２は、IPsecのネゴシエーション時におけるフェーズ１の「ISAKMP SAのプロポーサル」パケットを認識し、このパケット中における特定部分を抽出することにより、そのイニシエータクッキーを取得することができる。【００４５】
また、イニシエータクッキー取得部（第２イニシエータクッキー取得部，第２セキュリティ情報取得部）１２は、IPsecのネゴシエーションの工程において、レスポンダ３２から送信されるパケットのイニシエータクッキーを取得するようになっており、レスポンダ３２から送信されるパケット中における特定部分を抽出することによって、そのイニシエータクッキーを取得するようになっている。【００４６】
第１登録部１３は、イニシエータクッキー取得部１２によって取得されたイニシエータクッキーと、そのパケットを送出したイニシエータ３１のアドレスと、レスポンダ３２のアドレスとを対応付けて、第１ルーティングテーブル１４としてメモリチップ３１に格納（登録）するようになっている。
具体的には、第１登録部１３は、イニシエータクッキー取得部１２によってパケットから取得されたイニシエータクッキーと、そのパケットの送信元アドレスとに基づいて第１ルーティングテーブル１４を参照して、これらのイニシエータクッキーや送信元アドレスが第１ルーティングテーブル１４に登録（格納）されているか否かを確認し、登録されていない場合には、そのパケットがIPsecのネゴシエーション時におけるフェーズ１の最初のパケット（「ISAKMP SAのプロポーサル」パケット）であるとみなし、これらのイニシエータクッキー，NAT（Network Address Translation）変換前ソースアドレス（Source address；送信元アドレス），NAT変換後デスティネーションアドレス（Destination address；送信先アドレス），NAT変換前ソースポート（Source port），NAT変換後ソースポート，NAT変換前デスティネーションポート，NAT変換後デスティネーションポートおよびNAT変換後デスティネーションポートを互いに関連付けて第１ルーティングテーブル１４に追加（登録）するようになっている。【００４７】
なお、本ルータ１０は、プライベートIPアドレスと、Internetアクセスに利用できるグローバルなIPアドレスとを相互に変換するNAT（Network Address Translation）変換機能をそなえており、NAT変換後デスティネーションアドレス， NAT変換後ソースポート，NAT変換後デスティネーションポートおよびNAT変換後デスティネーションポートは、それぞれこのNAT変換機能によって生成されるようになっている。又、このようなNAT変換機能は既知の種々の手法を用いて実現することができる。【００４８】
第１ルーティングテーブル（第１ルーティング情報）１４は、IPsecのネゴシエーション時に転送するパケットに関して、第1イニシエータクッキー取得部１２によって取得されたイニシエータクッキーと、そのイニシエータ３１のアドレスとを対応付けて保持するものである。
図４は本発明の一実施形態としてのルータ１０における第1ルーティングテーブル１４の例を示す図である。この図４に示す第1ルーティングテーブル１４は、上述したように、NAT変換前ソースアドレス（Source address），NAT変換後デスティネーションアドレス（Destination address），NAT変換前ソースポート（Source port），NAT変換後ソースポート，NAT変換前デスティネーションポート，NAT変換後デスティネーションポート，NAT変換後デスティネーションポートおよびイニシエータクッキーを相互に関連させて登録することにより構成されている。【００４９】
また、第１ルーティングテーブル１４においては、第1イニシエータクッキー取得部１２によって取得されたイニシエータクッキーと、そのイニシエータ３１のアドレスとレスポンダ３２のアドレスとを対応付けることにより、レスポンダ３２が複数ある場合に対応することができるようになっている。
なお、この図４に示す第1ルーティングテーブル１４においては、ＰＣ３１ａ，３１ｂのそれぞれからＰＣ３２に対して送信されたパケットであって、抑止部１８によってソースポートやデスティネーションポートの値の変更（IPマスカレード機能）を抑止された後に、ポート番号設定部１９によってソースポートを５００に変更された各パケットについての情報がそれぞれ表示されている。【００５０】
また、この第１ルーティングテーブル１４は、例えば、メモリチップ４１や図示しないＲＡＭやＲＯＭ，ハードディスク等の記憶装置内に格納されるようになっている。
第１振り分け部１５は、イニシエータクッキー取得部１２によって取得されたイニシエータクッキーに基づいて第１ルーティングテーブル１４を参照し、そのパケットを送信先のイニシエータ３１に振り分けるものである。【００５１】
具体的には、第１振り分け部１５は、レスポンダ３２から送信されるパケットについて、イニシエータクッキー取得部１２によって取得されたイニシエータクッキーに基づいて第１ルーティングテーブル１４を参照して、そのイニシエータクッキーに対応するイニシエータ３１のアドレス（ソースアドレス）を取得し、そのパケットがそのイニシエータ３１に送信されるように振り分けを行ない、LAN側通信部１１に、その振り分けられたイニシエータ３１のアドレスに対してパケットを送信させるようになっている。【００５２】
すなわち、本ルータ１０においては、IPsecのネゴシエーション時において、イニシエータクッキーがIPマスカレードにおけるポート番号と同様の役割を果たすようになっており、このイニシエータクッキーを用いることにより、レスポンダ３２からイニシエータ３１へ返信されるソースポートやデスティネーションポートが５００のパケットを、その送信先のイニシエータ３１に正しく振り分けることができる。【００５３】
要求パケット送信部（要求信号送信部）２０は、イニシエータ３１とレスポンダ３２との間におけるIPsecのネゴシエーション完了後に、そのイニシエータ３１に対してIPsecのネゴシエーション時に使用したSPI（Security Parameter Index）値（識別値）の通知を要求する要求パケット（要求信号）を送信するものである。
また、この要求パケットを受信したイニシエータ３１（ＰＣ３１ａ，３１ｂ）は、SPI値を格納した「応答パケット（応答信号）」を返信するようになっている。【００５４】
図５は本発明の一実施形態としてのルータ１０において用いられる要求パケットの例を示す図、図６は本発明の一実施形態としてのルータ１０において用いられる応答パケットの例を示す図である。
要求パケットはイニシエータ３１に対してIPsecのネゴシエーション時に使用したSPI値の通知を要求するための特定の文字列や情報（コマンド等）をそなえて構成され、図５に示す例においては、要求パケットはTCP/IPヘッダとデータ部とをそなえて構成されており、そのデータ部にはSPI値の送信を要求するコマンド“SPI#value”が格納されている。【００５５】
一方、イニシエータ３１は、受信したパケットのデータ部にコマンド“SPI#value”を検出すると、ルータ１０に対して、図６に示すような応答パケットを送信するように予め規定（設定）されている。
応答パケットは、要求パケット送信部２０から送信された要求パケットに対する応答として各イニシエータ３１から送信されるものであって、イニシエータ（応答パケット送信部）３１は、IPsecのネゴシエーション時に使用した（イニシエータ３１が「IPsec SAのプロポーサルと鍵生成のための情報」パケット内に格納した）SPI値を含む応答パケット（図６参照）をルータ１０に送信するようになっている。【００５６】
なお、図６に示す例においては、応答パケットはTCP/IPヘッダとデータ部とをそなえて構成されており、そのデータ部には３２ビットのSPI値（図６に示す例では“deff9c4a”）が格納されている。
応答パケット受信部（応答信号受信部）２１は、要求パケット送信部２０から送信された要求パケットに対する応答としてイニシエータ３１から応答パケットとして送信されるSPI値を受信するものであって、イニシエータ３１から送信された応答パケットのデータ部からSPI値を抽出して、このSPI値を第２登録部２２に渡すようになっている。【００５７】
第２登録部２２は、応答パケット受信部２１によって受信されたSPI値と、その応答パケットを送信したイニシエータ３１のアドレスと、レスポンダ３２のアドレスとを対応付けて第２ルーティングテーブル（第２ルーティング情報）２５として登録するものであり、本実施形態においては、NAT変換前ソースアドレス，NAT変換後ソースアドレス，NAT変換前デスティネーションアドレス，NAT変換後デスティネーションアドレスおよびSPI値を相互に関連させて第２ルーティングテーブル２５として登録するようになっている。【００５８】
第２ルーティングテーブル２５は、IPsecのネゴシエーション完了後に転送するパケットに関して、応答パケット受信部２１によって取得されたSPI値と、その応答パケットを送信したイニシエータ３１のアドレスとを対応付けて保持するものである。
図７は本発明の一実施形態としてのルータ１０における第２ルーティングテーブル２５の例を示す図である。この図７に示す第２ルーティングテーブル２５は、上述したように、NAT変換前ソースアドレス，NAT変換後ソースアドレス，NAT変換前デスティネーションアドレス，NAT変換後デスティネーションアドレスおよびSPI値を相互に関連させて登録することにより構成されている。【００５９】
また、第２ルーティングテーブル２５においては、応答パケット受信部２１によって取得されたSPI値と、その応答パケットを送信したイニシエータ３１のアドレスと、レスポンダ３２のアドレスとを対応付けることにより、レスポンダ３２が複数ある場合に対応することができるようになっている。
また、この第２ルーティングテーブル２５は、上述した第１ルーティングテーブル１４と同様に、例えば、メモリチップ４１や図示しないＲＡＭやＲＯＭ，ハードディスク等の記憶装置内に格納されるようになっている。【００６０】
なお、この図７に示す第２ルーティングテーブル２５においては、ＰＣ３１ａ，３１ｂのそれぞれからＰＣ３２に対して送信された各パケットについての情報がそれぞれ表示されている。
SPI値取得部（識別値取得部）２４は、IPsecのネゴシエーション完了後に行なわれる暗号化通信において、レスポンダ３２から送信されるパケットからSPI値を取得するものであって、前述したイニシエータクッキー取得部１２等と同様に、パケット中における特定部分を抽出することにより、そのSPI値を取得するようになっている。【００６１】
図８はIPsecのネゴシエーションのフェーズ２においてイニシエータ３１からレスポンダ３２に送信されるパケット（「IPsec SAのプロポーサルと鍵生成のための情報」パケット）の一部を示す図、図９はIPsecのネゴシエーションのフェーズ２においてレスポンダ３２からイニシエータ３１に送信されるパケット（「IPsec SAのプロポーサルと鍵生成のための情報」パケット）の一部を示す図、図１０はIPsecのネゴシエーション完了後にイニシエータ３１からレスポンダ３２に送信されるパケットの構成例を示す図、図１１はIPsecのネゴシエーション完了後にレスポンダ３２からイニシエータ３１に送信されるパケットの構成例を示す図、図１２は本発明の一実施形態としてのルータ１０に接続されるレスポンダ３２のSADの例を示す図である。【００６２】
ここで、SPI値は、イニシエータ３１，レスポンダ３２それぞれがIPsecで暗号化パケットを復号化する時に、自身が持つSAD（Security Association Database；図１２参照）を検索するために使われる３２ビットの任意の値であり、イニシエータ３１によって生成され、図８に示すように、IPsecのネゴシエーションのフェーズ２の最初にイニシエータ３１が送信する「IPsec SAのプロポーサルと鍵生成のための情報」パケットに格納されるようになっている。【００６３】
また、図９に示すように、SPI値は、IPsecのネゴシエーションのフェーズ２の最初にレスポンダ３２がイニシエータ３１に送信する「IPsec SAのプロポーサルと鍵生成のための情報」パケットにも格納されるようになっている。
レスポンダ３２は、イニシエータ３１から送信された「IPsec SAのプロポーサルと鍵生成のための情報」パケット（図８参照）内にあるSPI値を取得し、ネゴシエーション完了後の暗号化通信においてパケットを送る場合に、図１０に示すように、このSPI値を暗号化パケットに格納して送信するようになっている。【００６４】
イニシエータ３１は、図１２に示すように、宛先アドレス，IPsecプロトコル，カプセル化モード等にSPI値を関連付けて構成したSADをメモリやハードディスク等の図示しない記憶装置に格納しており、暗号化パケットを受信すると、そのSPI値を用いて自身のSADの中を検索して復号化するようになっている。
一方、イニシエータ３１がパケットを送信する場合には、イニシエータ３１は、IPsecのネゴシエーションのフェーズ２の最初にレスポンダ３２から送信される「IPsec SAの選択と鍵生成のための情報」パケット（図９参照）内からSPI値を取得し、図１１に示すように、この取得したSPI値を送信するパケットに格納して送信するようになっている。【００６５】
第２振り分け部２３は、SPI値取得部２４によって取得されたSPI値に基づいて第２ルーティングテーブル２５を参照し、そのパケットを送信先のイニシエータ３１に振り分けるものである。
具体的には、第２振り分け部２３は、通常通信時にレスポンダ３２から送信されるパケットについて、SPI値取得部２４によって取得されたSPI値に基づいて第２ルーティングテーブル２５を参照して、そのSPI値に対応するイニシエータ３１のアドレス（ソースアドレス）を取得し、そのパケットがそのイニシエータ３１に送信されるように振り分けを行ない、LAN側通信部１１に対して、その振り分けられたイニシエータ３１のアドレスに対してパケットを送信させるようになっている。【００６６】
すなわち、本ルータ１０においては、IPsecのネゴシエーション完了後において、SPI値がIPマスカレードのポート番号と同様の役割を果たすようになっている。
図１０および図１１に示すように、ネゴシエーション完了後の暗号化パケット中におけるSPI値の部分は暗号化されていないので、本ルータ１０は、レスポンダ３２から送られてきた暗号化パケットに対しては、パケット内のSPI値を取得して第２ルーティングテーブル２５を参照することにより各イニシエータ３１ａ，３１ｂに暗号化パケットを振り分けることができる。又、イニシエータ３１ａ，３１ｂから送られてきたパケットに対してはそのソースアドレス（Source address）のみを変更してレスポンダ３２に送ればよい。【００６７】
また、第２振り分け部２３は、IPsec無効時には、前述した第３ルーティングテーブル１６を参照してパケットの振り分けを行なうようになっている。
上述のごとく構成された本発明の一実施形態としてのルータ１０におけるIPsecのネゴシエーション時の処理を、図１３に示すフローチャート（ステップＡ１０〜Ａ６０）に従って説明する。【００６８】
ルータ１０がイニシエータ３１からIKEのパケットを受信すると、イニシエータクッキー取得部１２がそのパケットのイニシエータクッキーを取得し、第１登録部１３が、このイニシエータクッキーと（ステップＡ１０）、そのパケットの送信元アドレスとに基づいて第１ルーティングテーブル１４を参照して、これらのイニシエータクッキーや送信元アドレスが第１ルーティングテーブル１４に登録（格納）されているか否かを確認する（ステップＡ２０）。【００６９】
これらのイニシエータクッキーや送信元アドレスが第１ルーティングテーブル１４に登録されている場合には（ステップＡ２０のＹＥＳルート参照）、第１振り分け部１５は、第１ルーティングテーブル１４からそのイニシエータクッキーに対応するイニシエータ３１のアドレス（ソースアドレス）を取得し、転送するパケットのソースアドレスを第１ルーティングテーブル１４から取得したソースアドレスに変更する。【００７０】
また、抑止部１８がIPマスカレード機能を抑止するとともに、ポート番号設定部１９がそのパケットのソースポートを５００に設定し、第１振り分け部１５が、そのパケットをWAN側通信部１７にレスポンダ３２に対して送信させる（ステップＡ４０）。
一方、これらのイニシエータクッキーや送信元アドレスが第１ルーティングテーブル１４に登録されていない場合には（ステップＡ２０のＮＯルート参照）、第１登録部１３は、そのパケットがIPsecのネゴシエーション時におけるフェーズ１の最初のパケット（「ISAKMP SAのプロポーサル」パケット）であるとみなし、これらのイニシエータクッキー，NAT（Network Address Translation）変換前ソースアドレス（Source address；送信元アドレス），NAT変換後デスティネーションアドレス（Destination address；送信先アドレス），NAT変換前ソースポート（Source port），NAT変換後ソースポート，NAT変換前デスティネーションポート，NAT変換後デスティネーションポートおよびNAT変換後デスティネーションポートを互いに関連付けて第１ルーティングテーブル１４に追加（登録）して（ステップＡ３０）、ステップＡ４０に移行する。【００７１】
そして、レスポンダ３２からの返信パケットを受信すると、イニシエータクッキー取得部１２が、そのパケットのイニシエータクッキーを取得し、第１振り分け部１５が、この取得されたイニシエータクッキーに基づいて第１ルーティングテーブル１４を参照し、そのパケットを送信先のイニシエータ３１に振り分ける（ステップＡ５０）。
ルータ１０は、IPsecのネゴシエーションにけるフェーズ１，２の全ての処理が完了したか否かを確認し（ステップＡ６０）、IPsecのネゴシエーションにけるフェーズ１，２の全ての処理が完了した場合には（ステップＡ６０のＹＥＳルート参照）、処理を終了し、又、IPsecのネゴシエーションにけるフェーズ１，２の全ての処理が完了していない場合には（ステップＡ６０のＮＯルート参照）、ステップＡ１０に戻る。【００７２】
次に、本発明の一実施形態としてのルータ１０におけるIPsecのネゴシエーション完了後の処理を、図１４に示すフローチャート（ステップＢ１０〜Ｂ３０）に従って説明する。
IPsecのネゴシエーション（フェーズ１，２）が完了すると、ルータ１０は、各イニシエータ３１のSPI値を知るために、各イニシエータ３１に対して要求パケットを送信する（ステップＢ１０）。  要求パケットを受信したイニシエータ３１は、ルータ１０に対してそのSPI値を含む応答パケットを送信する。【００７３】
ルータ１０は、イニシエータ３１から送信された応答パケットを受信して、この応答パケットからSPI値を取得し、第２登録部２２が、第２ルーティングテーブル２５にNAT変換前ソースアドレス，NAT変換後ソースアドレス，NAT変換前デスティネーションアドレス，NAT変換後デスティネーションアドレスおよびSPI値を相互に関連させて登録（追加）する（ステップＢ２０）。【００７４】
そして、ルータ１０は、以下、レスポンダ３２から暗号化されたパケットを受信すると、SPI値取得部２４によりそのパケットのSPI値を取得し、第２振り分け部２３が、この取得したSPI値に基づいて第２ルーティングテーブル２５を参照して、受信したパケットを各イニシエータ３１に振り分ける（ステップＢ３０）。
このように、本発明の一実施形態としてのルータ１０によれば、複数のイニシエータ３１（LAN側PC）とレスポンダ３２（WAN側PC）との間で、IPsecのネゴシエーションを行なうことができるとともに、IPsecによって暗号化されたパケットを正しく振り分けて暗号化通信を行なうことができる。【００７５】
すなわち、IPsecのネゴシエーション時において、イニシエータクッキー取得部１２によって取得されたイニシエータ３１のイニシエータクッキーと、そのイニシエータ３１のアドレスと、レスポンダ３２のアドレスとを対応付けて第１ルーティングテーブル１４として登録し、パケットを受信する際に、第１振り分け部１５が、イニシエータクッキー取得部１２によって取得されたそのパケットのイニシエータクッキーに基づいて第１ルーティングテーブル１４を参照して、そのパケットを送信先のイニシエータ３１に振り分けることにより、IPsecのネゴシエーション時においてパケットを確実に振り分けることができ、IPsecのネゴシエーションを行なうことができる。【００７６】
また、IPsecのネゴシエーション時において、抑止部１８が、本ルータ１０におけるIPマスカレード機能を抑止することにより、パケットのソースポートやデスティネーションポートの値を任意の値に変更することを抑止し、ポート番号設定部１９が、イニシエータ３１ａ，３１ｂから送信されたネゴシエーションのパケットのソースポートをIKEの規格に則ってソースポートを５００に変更することにより、IPsecのネゴシエーションを確実に行なうことができる。【００７７】
さらに、IPsecのネゴシエーション完了後に、イニシエータ３１に対して要求パケットを送信して、イニシエータから応答パケットとして送信されるSPI値を受信し、このSPI値と、そのイニシエータ３１のアドレスおよびレスポンダ３２のアドレスを対応付けて第２ルーティングテーブル２５として登録し、SPI値取得部２４によって取得されたSPI値に基づいて第２ルーティングテーブル２５を参照し、そのパケットを送信先のイニシエータ３１に振り分けることにより、IPsecのネゴシエーション完了後においても、IPsecによって暗号化されたパケットを確実且つ正確に振り分けることができる。【００７８】
そして、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
例えば、上述した実施形態においては、第1イニシエータクッキー取得部１２によって取得されたイニシエータクッキーと、そのイニシエータ３１のアドレスとレスポンダ３２のアドレスとを対応付けて登録しているが、これに限定されるものではなく、例えば、これら以外の情報をイニシエータクッキーやそのイニシエータ３１のアドレスに対応付けて登録してもよく、又、レスポンダ３２が１つだけの場合には、イニシエータクッキーとそのイニシエータ３１のアドレスとだけを登録してもよい。【００７９】
また、上述した実施形態においては、要求パケットはTCP/IPヘッダとデータ部とをそなえて構成され、そのデータ部にはSPI値の送信を要求するコマンド（SPI#value）が格納されているが、これに限定されるものではなく、SPI値の送信を要求するためにSPI#value以外の他のコマンドを用いてもよく、又、このようなコマンド以外の情報を要求パケットにそなえてもよい。【００８０】
さらに、上述した実施形態においては、第１ルーティングテーブル１４と第２ルーティングテーブル２５とが別々に構成されているが、これに限定されるものではなく、これらの第１ルーティングテーブル１４と第２ルーティングテーブル２５とを１つにまとめて構成し、第１ルーティングテーブル１４と第２ルーティングテーブル２５との両方の機能をそなえた１つのルーティングテーブルをそなえてもよい。【００８１】
また、本発明は以下に示すように要約することができる。
本発明の中継装置は、IP（Internet Protocol）マスカレード機能をそなえ、レスポンダと複数のイニシエータとの間でパケットの送受信を行なう中継装置であって、IPsec（IP Security）のネゴシエーション時に、該イニシエータから送信されるIKE（Internet Key Exchange）のフェーズ１における最初のパケット（「ISAKMP SAのプロポーサル」パケット）から、該イニシエータにより作成されるイニシエータクッキーを取得する第１イニシエータクッキー取得部と、該第1イニシエータクッキー取得部によって取得された該イニシエータクッキーと、当該イニシエータのアドレスと、該レスポンダのアドレスとを対応付けて第１ルーティングテーブルとして登録する第１登録部と、該レスポンダから送信される該パケットの該イニシエータクッキーを取得する第２イニシエータクッキー取得部と、該第２イニシエータクッキー取得部によって取得された該イニシエータクッキーに基づいて該第１ルーティングテーブルを参照し、当該パケットを送信先の該イニシエータに振り分ける第１振り分け部とをそなえることを特徴としている。【００８２】
なお、前記IPsecのネゴシエーション時において、該IPマスカレード機能を抑止する抑止部と、該イニシエータから送信されたネゴシエーションのパケットのソースポートを前記IKEの規格に則って設定するポート番号設定部とをそなえ、該ポート番号設定部によって該ソースポートの設定が行なわれた該パケットを該レスポンダに送出してもよい。
そして、前記IPsecのネゴシエーション完了後に、該イニシエータに対して前記IPsecのネゴシエーション時に使用したSPI（Security Parameter Index）値の通知を要求する要求パケットを送信する要求パケット送信部と、該要求パケット送信部から送信された該要求パケットに対する応答として前記イニシエータから応答パケットとして送信される該SPI値を受信する応答パケット受信部と、該応答パケット受信部によって受信された該SPI値と、当該イニシエータのアドレスと、該レスポンダのアドレスとを対応付けて第２ルーティングテーブルとして登録する第２登録部と、該レスポンダから送信される該パケットから該SPI値を取得するSPI値取得部と、該SPI値取得部によって取得された該SPI値に基づいて該第２ルーティングテーブルを参照し、当該パケットを送信先の該イニシエータに振り分ける第２振り分け部とをそなえてもよい。【００８３】
また、本発明の中継方法は、IP（Internet Protocol）マスカレード機能を用いて、レスポンダと複数のイニシエータとの間でパケットの送受信を行なう中継方法であって、IPsec（IP Security）のネゴシエーション時に、該イニシエータから送信されるIKE（Internet Key Exchange）のフェーズ１における最初のパケット（「ISAKMP SAのプロポーサル」パケット）から、該イニシエータにより作成されるイニシエータクッキーを取得する第１イニシエータクッキー取得ステップと、該第1イニシエータクッキー取得ステップにおいて取得した該イニシエータクッキーと、当該イニシエータのアドレスと、該レスポンダのアドレスとを対応付けて第１ルーティングテーブルとして登録する第１登録ステップと、該レスポンダから送信される該パケットの該イニシエータクッキーを取得する第２イニシエータクッキー取得ステップと、該第２イニシエータクッキー取得ステップにおいて取得した該イニシエータクッキーに基づいて該第１ルーティングテーブルを参照し、当該パケットを送信先の該イニシエータに振り分ける第１振り分けステップとをそなえることを特徴としている。【００８４】
なお、前記IPsecのネゴシエーション時において、該IPマスカレード機能を抑止する抑止ステップと、該イニシエータから送信されたネゴシエーションのパケットのソースポートを前記IKEの規格に則って設定するポート番号設定ステップとをそなえ、該ポート番号設定ステップにおいて該ソースポートの設定が行なわれた該パケットを該レスポンダに送出してもよい。【００８５】
そして、前記IPsecのネゴシエーション完了後に、該イニシエータに対して前記IPsecのネゴシエーション時に使用したSPI（Security Parameter Index）値の通知を要求する要求パケットを送信する要求パケット送信ステップと、該要求パケット送信ステップにおいて送信された該要求パケットに対する応答として前記イニシエータから応答パケットとして送信される該SPI値を受信する応答パケット受信ステップと、該応答パケット受信ステップにおいて受信された該SPI値と、当該イニシエータのアドレスと、該レスポンダのアドレスとを対応付けて第２ルーティングテーブルとして登録する第２登録ステップと、該レスポンダから送信される該パケットから該SPI値を取得するSPI値取得ステップと、該SPI値取得ステップにおいて取得された該SPI値に基づいて該第２ルーティングテーブルを参照し、当該パケットを送信先の該イニシエータに振り分ける第２振り分けステップとをそなえてもよい。【００８６】
また、本発明の中継用プログラムは、IP（Internet Protocol）マスカレード機能を用いて、レスポンダと複数のイニシエータとの間でパケットの送受信を行なう中継機能をコンピュータに実行させるための中継用プログラムであって、IPsec（IP Security）のネゴシエーション時に、該イニシエータから送信されるIKE（Internet Key Exchange）のフェーズ１における最初のパケット（「ISAKMP SAのプロポーサル」パケット）から、該イニシエータにより作成されるイニシエータクッキーを取得する第１イニシエータクッキー取得ステップと、該第1イニシエータクッキー取得ステップにおいて取得した該イニシエータクッキーと、当該イニシエータのアドレスと、該レスポンダのアドレスとを対応付けて第１ルーティングテーブルとして登録する第１登録ステップと、該レスポンダから送信される該パケットの該イニシエータクッキーを取得する第２イニシエータクッキー取得ステップと、該第２イニシエータクッキー取得ステップにおいて取得した該イニシエータクッキーに基づいて該第１ルーティングテーブルを参照し、当該パケットを送信先の該イニシエータに振り分ける第１振り分けステップとを、該コンピュータに実行させることを特徴としている。【００８７】
なお、前記IPsecのネゴシエーション時において、該IPマスカレード機能を抑止する抑止ステップと、該イニシエータから送信されたネゴシエーションのパケットのソースポートを前記IKEの規格に則って設定するポート番号設定ステップとを、該コンピュータに実行させるとともに、該ポート番号設定ステップにおいて該ソースポートの設定が行なわれた該パケットを該レスポンダに送出するように、該コンピュータを機能させてもよい。【００８８】
そして、前記IPsecのネゴシエーション完了後に、該イニシエータに対して前記ＩＰｓｅｃのネゴシエーション時に使用したSPI（Security Parameter Index）値の通知を要求する要求パケットを送信する要求パケット送信ステップと、該要求パケット送信ステップにおいて送信された該要求パケットに対する応答として前記イニシエータから応答パケットとして送信される該SPI値を受信する応答パケット受信ステップと、該応答パケット受信ステップにおいて受信された該SPI値と、当該イニシエータのアドレスと、該レスポンダのアドレスとを対応付けて第２ルーティングテーブルとして登録する第２登録ステップと、該レスポンダから送信される該パケットから該SPI値を取得するSPI値取得ステップと、該SPI値取得ステップにおいて取得された該SPI値に基づいて該第２ルーティングテーブルを参照し、当該パケットを送信先の該イニシエータに振り分ける第２振り分けステップとを、該コンピュータに実行させてもよい。【００８９】
そして、本発明のコンピュータ読取可能な記録媒体は、上述した中継用プログラムを記録したものである。
また、本発明の情報処理装置は、IP（Internet Protocol）マスカレード機能をそなえた中継装置を介して、レスポンダとの間でパケットの送受信を行なう情報処理装置であって、IPsec（IP Security）のネゴシエーション完了後に、該中継装置から送信される要求パケットを受信する要求パケット受信部と、該要求パケット受信部が該要求パケットを受信したときに、前記IPsecのネゴシエーション時に使用したSPI（Security Parameter Index）値を該中継装置に対して応答パケットとして送信する応答パケット送信部とをそなえることを特徴としている。【００９０】
なお、本発明の実施形態が開示されていれば、本発明を当業者によって実施・製造することが可能である。
【産業上の利用可能性】
【００９１】
ルータの他、IPマスカレード機能により、レスポンダと複数のイニシエータとの間でIPsecによるパケットの転送を行なう種々のパケット転送用機器にも適用できる。
【図１】
2007069327.tif 000003
【図２】
2007069327.tif 000004
【図３】
2007069327.tif 000005
【図４】
2007069327.tif 000006
【図５】
2007069327.tif 000007
【図６】
2007069327.tif 000008
【図７】
2007069327.tif 000009
【図８】
2007069327.tif 000010
【図９】
2007069327.tif 000011
【図１０】
2007069327.tif 000012
【図１１】
2007069327.tif 000013
【図１２】
2007069327.tif 000014
【図１３】
2007069327.tif 000015
【図１４】
2007069327.tif 000016
【図１５】
2007069327.tif 000017
【図１６】
2007069327.tif 000018
【図１７】
2007069327.tif 000019
【手続補正書】
【提出日】平成20年5月8日(2008.5.8)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
第１の装置と第２の装置との間において暗号化された転送データを送受信可能な中継装置であって、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得部と、
該第1セキュリティ情報取得部によって取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録部と、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得部と、
該第２セキュリティ情報取得部によって取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分け部とをそなえることを特徴とする、中継装置。
【請求項２】
第１の装置と第２の装置との間において暗号化された転送データを送受信可能な中継方法であって、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、
該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、
該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとをそなえることを特徴とする、中継方法。
【請求項３】
第１の装置と第２の装置との間において暗号化された転送データの送受信を行なう中継機能をコンピュータに実行させるための中継用プログラムであって、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、
該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、
該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとを、該コンピュータに実行させることを特徴とする、中継用プログラム。
【請求項４】
第１の装置と第２の装置との間において暗号化された転送データの送受信を行なう中継機能をコンピュータに実行させるための中継用プログラムを記録したコンピュータ読取可能な記録媒体であって、
該中継用プログラムが、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、
該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、
該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとを、該コンピュータに実行させることを特徴とする、中継用プログラムを記録したコンピュータ読取可能な記録媒体。
【請求項５】
中継装置を介して、他の情報処理装置との間で転送データの送受信を行なう情報処理装置であって、
該他の情報処理装置との間において暗号化通信に先立って行なわれる仕様確定通信の完了後に、該中継装置から送信される要求信号を受信する要求信号受信部と、
該要求信号受信部が該要求信号を受信したときに、該仕様確定通信時に使用した識別値を該中継装置に対して応答信号として送信する応答信号送信部とをそなえることを特徴とする、情報処理装置。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００５４
【補正方法】変更
【補正の内容】
【００５４】
図５は本発明の一実施形態としてのルータ１０において用いられる要求パケットの例を示す図、図６は本発明の一実施形態としてのルータ１０において用いられる応答パケットの例を示す図である。
要求パケットはイニシエータ３１に対してIPsecのネゴシエーション時に使用したSPI値の通知を要求するための特定の文字列や情報（コマンド等）をそなえて構成され、図５に示す例においては、要求パケットはTCP/IPヘッダとデータ部とをそなえて構成されており、そのデータ部にはSPI値の送信を要求するコマンド“SPI_value”が格納されている。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００５５
【補正方法】変更
【補正の内容】
【００５５】
一方、イニシエータ３１は、受信したパケットのデータ部にコマンド“SPI_value”を検出すると、ルータ１０に対して、図６に示すような応答パケットを送信するように予め規定（設定）されている。
応答パケットは、要求パケット送信部２０から送信された要求パケットに対する応答として各イニシエータ３１から送信されるものであって、イニシエータ（応答パケット送信部）３１は、IPsecのネゴシエーション時に使用した（イニシエータ３１が「IPsec SAのプロポーサルと鍵生成のための情報」パケット内に格納した）SPI値を含む応答パケット（図６参照）をルータ１０に送信するようになっている。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００９０
【補正方法】変更
【補正の内容】
【００９０】
なお、本発明の実施形態が開示されていれば、本発明を当業者によって実施・製造することが可能である。
また、本発明は以下のように要約することができる。
（付記１）  第１の装置と第２の装置との間において暗号化された転送データを送受信可能な中継装置であって、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得部と、
該第1セキュリティ情報取得部によって取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録部と、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得部と、
該第２セキュリティ情報取得部によって取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分け部とをそなえることを特徴とする、中継装置。
（付記２）  当該中継装置がIP（Internet Protocol）マスカレード機能をそなえるとともに、
該仕様確定通信時において、該IPマスカレード機能を抑止する抑止部と、
仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定部とをそなえ、
該ポート番号設定部によって該ソースポートの設定が行なわれた該転送データを該第２の装置に送出することを特徴とする、付記１記載の中継装置。
（付記３）  該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信部と、
該要求信号送信部から送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信部と、
該応答信号受信部によって受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録部と、
該第２の装置から送信される該転送データから該識別値を取得する識別値取得部と、
該識別値取得部によって取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分け部とをそなえることを特徴とする、付記１又は付記２記載の中継装置。
（付記４）  第１の装置と第２の装置との間において暗号化された転送データを送受信可能な中継方法であって、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、
該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、
該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとをそなえることを特徴とする、中継方法。
（付記５）  該仕様確定通信時において、IP（Internet Protocol）マスカレード機能を抑止する抑止ステップと、
仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定ステップとをそなえ、
該第１振り分けステップにおいて、該ポート番号設定ステップにおいて該ソースポートの設定が行なわれた該転送データを該第２の装置に送出することを特徴とする、付記４記載の中継方法。
（付記６）  該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信ステップと、
該要求信号送信ステップにおいて送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信ステップと、
該応答信号受信ステップにおいて受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録ステップと、
該第２の装置から送信される該転送データから該識別値を取得する識別値取得ステップと、
該識別値取得ステップにおいて取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分けステップとをそなえることを特徴とする、付記４又は付記５記載の中継方法。
（付記７）  第１の装置と第２の装置との間において暗号化された転送データの送受信を行なう中継機能をコンピュータに実行させるための中継用プログラムであって、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、
該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、
該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとを、該コンピュータに実行させることを特徴とする、中継用プログラム。
（付記８）  該仕様確定通信時において、IP（Internet Protocol）マスカレード機能を抑止する抑止ステップと、
仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定ステップとを、該コンピュータに実行させるとともに、
該第１振り分けステップにおいて、該ポート番号設定ステップにおいて該ソースポートの設定が行なわれた該転送データを該第２の装置に送出するように、該コンピュータを機能させることを特徴とする、付記７記載の中継用プログラム。
（付記９）  該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信ステップと、
該要求信号送信ステップにおいて送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信ステップと、
該応答信号受信ステップにおいて受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録ステップと、
該第２の装置から送信される該転送データから該識別値を取得する識別値取得ステップと、
該識別値取得ステップにおいて取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分けステップとを、該コンピュータに実行させることを特徴とする、付記７又は付記８記載の中継用プログラム。
（付記１０）  第１の装置と第２の装置との間において暗号化された転送データの送受信を行なう中継機能をコンピュータに実行させるための中継用プログラムを記録したコンピュータ読取可能な記録媒体であって、
該中継用プログラムが、
前記第１の装置と第２の装置との間において暗号化通信に先立って行なわれる仕様確定通信時に、該第１の装置から送信される転送データから、セキュリティ情報を取得する第１セキュリティ情報取得ステップと、
該第1セキュリティ情報取得ステップにおいて取得された該セキュリティ情報と、当該第１の装置のアドレスとを対応付けて第１ルーティング情報として登録する第１登録ステップと、
該第２の装置から送信される該転送データ中からセキュリティ情報を取得する第２セキュリティ情報取得ステップと、
該第２セキュリティ情報取得ステップにおいて取得された該セキュリティ情報に基づいて該第１ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第１振り分けステップとを、該コンピュータに実行させることを特徴とする、中継用プログラムを記録したコンピュータ読取可能な記録媒体。
（付記１１）  該中継用プログラムが、
該仕様確定通信時において、IP（Internet Protocol）マスカレード機能を抑止する抑止ステップと、
仕様確認通信時において、該第１の装置から送信された転送データのソースポートを任意に設定可能なポート番号設定ステップとを、該コンピュータに実行させるとともに、
該第１振り分けステップにおいて、該ポート番号設定ステップにおいて該ソースポートの設定が行なわれた該転送データを該第２の装置に送出するように、該コンピュータを機能させることを特徴とする、付記１０記載の中継用プログラムを記録したコンピュータ読取可能な記録媒体。
（付記１２）  該中継用プログラムが、
該仕様確定通信の完了後に、該第１の装置に対して該仕様確定通信時に使用した識別値の通知を要求する要求信号を送信する要求信号送信ステップと、
該要求信号送信ステップにおいて送信された該要求信号に対する応答として該第１の装置から応答信号として送信される該識別値を受信する応答信号受信ステップと、
該応答信号受信ステップにおいて受信された該識別値と、当該第１の装置のアドレスとを対応付けて第２ルーティング情報として登録する第２登録ステップと、
該第２の装置から送信される該転送データから該識別値を取得する識別値取得ステップと、
該識別値取得ステップにおいて取得された該識別値に基づいて該第２ルーティング情報を参照し、当該転送データを送信先の該第１の装置に振り分ける第２振り分けステップとを、該コンピュータに実行させることを特徴とする、付記１０又は付記１１記載の中継用プログラムを記録したコンピュータ読取可能な記録媒体。
（付記１３）  中継装置を介して、他の情報処理装置との間で転送データの送受信を行なう情報処理装置であって、
該他の情報処理装置との間において暗号化通信に先立って行なわれる仕様確定通信の完了後に、該中継装置から送信される要求信号を受信する要求信号受信部と、
該要求信号受信部が該要求信号を受信したときに、該仕様確定通信時に使用した識別値を該中継装置に対して応答信号として送信する応答信号送信部とをそなえることを特徴とする、情報処理装置。
【国際調査報告】
2007069327.tif 000020
2007069327.tif 000021
2007069327.tif 000022
2007069327.tif 000023
2007069327.tif 000024
2007069327.tif 000025