(57)【要約】    【課題】新たな相手装置に応じた鍵交換プロトコルに対応するための煩雑な作業を削減することができるプロトコル代理システムを提供すること。    【解決手段】Ｌ２網３に接続された装置によって送受信されるパケットを中継するパケット中継装置４と、相手装置６と端末装置７，８との間で送受信されるパケットを暗号化および復号化するためのＳＡ情報を相手装置６と合意する代理鍵交換装置９とを備え、代理鍵交換装置９は、端末装置７，８と同一のＩＰアドレスが割り当てられてＬ２網３に接続され、パケット中継装置４は、相手装置６より送信されたパケットがＳＡ情報を合意するためのものであると検出した場合には、当該パケットを代理鍵交換装置９に送信し、当該パケットがＳＡ情報を合意するためのものでないと検出した場合には、当該パケットを端末装置７，８に送信するようにした。【選択図】図１
2007074341.tif 000002
【特許請求の範囲】
【請求項１】
装置の接続先を表すアドレス情報に基づいてパケットが送受信される第１のネットワーク内で、装置を識別するための装置識別情報に基づいてパケットが送受信される第２のネットワークに接続された装置によって送受信されるパケットを中継するパケット中継装置と、
前記第２のネットワーク外で前記第１のネットワークに接続された相手装置と前記第２のネットワークに接続された端末装置との間で送受信されるパケットを暗号化および復号化するための鍵を表す鍵情報を前記端末装置に代わって前記相手装置と合意する代理鍵交換装置と、を備え、
前記代理鍵交換装置は、前記端末装置と同一のアドレス情報が割り当てられて前記第２のネットワークに接続され、
前記パケット中継装置は、前記相手装置から前記端末装置に向けて送信されたパケットが前記鍵情報を合意するためのものであるか否かを判定するパケット判定部と、前記相手装置から前記端末装置に向けて送信されたパケットが前記鍵情報を合意するためのものであると前記パケット判定部によって判定された場合には、当該パケットを前記代理鍵交換装置に送信するよう当該パケットのヘッダ情報を変更処理するヘッダ処理部と、を有する
ことを特徴とするプロトコル代理システム。
【請求項２】
前記パケット中継装置は、パケットを暗号化する暗号化部と、パケットを復号化する復号化部と、を有し、
前記代理鍵交換装置は、前記相手装置と合意された鍵情報を前記パケット中継装置に送信する鍵情報送信部を有し、
前記暗号化部は、前記鍵情報送信部によって送信された鍵情報に基づいてパケットを暗号化し、
前記復号化部は、前記鍵情報送信部によって送信された鍵情報に基づいてパケットを復号化する
ことを特徴とする請求項１に記載のプロトコル代理システム。
【請求項３】
前記パケット中継装置は、前記暗号化部によって暗号化されるパケットを一時的に記憶するパケット記憶部と、前記暗号化部がパケットを暗号化するための鍵情報が不足している場合には、前記パケット記憶部に当該パケットを一時的に記憶するとともに前記代理鍵交換装置に前記鍵情報を要求する鍵情報要求部と、を有する
ことを特徴とする請求項２に記載のプロトコル代理システム。
【請求項４】
前記パケット判定部は、前記相手装置から前記端末装置に向けて送信されて前記復号化部によって復号化されたパケットが前記鍵情報を合意するためのものであるか否かを判定する
ことを特徴とする請求項２または３に記載のプロトコル代理システム。
【請求項５】
前記パケット中継装置は、パケットの属性に対して前記ヘッダ処理部が行う当該パケットの処理を示すプロトコル情報を記憶するプロトコル情報記憶部を有し、
前記パケット判定部は、前記プロトコル情報記憶部に記憶されたプロトコル情報に基づいて、前記パケットが前記鍵情報を合意するためのものであるか否かを判定し、
前記ヘッダ処理部は、前記プロトコル情報記憶部に記憶されたプロトコル情報に従ってパケットのヘッダ情報を変更処理する
ことを特徴とする請求項１乃至４の何れかに記載のプロトコル代理システム。
【請求項６】
前記パケット中継装置は、前記代理鍵交換装置によって送信されたパケットのうち、前記アドレス情報と前記装置識別情報との対応関係を表す情報を取得するためのアドレス解決要求を表すパケットを廃棄処理するアドレス解決処理部を有する
ことを特徴とする請求項５に記載のプロトコル代理システム。
【請求項７】
前記パケット中継装置は、前記アドレス情報と前記装置識別情報との対応関係を表す情報を取得するためのアドレス解決要求に対して予め定められた応答を行うアドレス解決応答部と、前記代理鍵交換装置によって送信された前記アドレス解決要求を表すパケットに対して前記アドレス解決応答部に応答させるよう処理するアドレス解決処理部と、を有する
ことを特徴とする請求項５に記載のプロトコル代理システム。
【請求項８】
前記アドレス解決処理部は、前記代理鍵交換装置によって送信されたパケットのうち、前記アドレス情報と前記装置識別情報との対応関係を表す情報を取得するためのアドレス解決要求に対する応答を表すパケットを廃棄処理する
ことを特徴とする請求項５乃至７の何れかに記載のプロトコル代理システム。
【請求項９】
前記パケット中継装置は、前記第２のネットワークに新たに接続された端末装置の装置識別情報を取得する装置識別情報取得部と、前記装置識別情報取得部によって取得された装置識別情報に基づいて前記プロトコル情報を生成するプロトコル情報生成部と、を有する
ことを特徴とする請求項５乃至８の何れかに記載のプロトコル代理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プロトコル代理システムに関し、詳しくは、端末装置に代わって暗号通信を行うとともに暗号通信に要する鍵情報の交換を代理するプロトコル代理システムに関するものである。
【背景技術】
【０００２】
従来、インターネット等のネットワークを介して暗号通信を行うための規格として、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）、ＳＳＬ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔｓ  Ｌａｙｅｒ）、およびＴＬＳ（Ｔｒａｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）等が知られている。上述した規格は、事前に暗号化および復号化するための鍵、暗号および復号アルゴリズム、並びにプロトコル等のＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）情報を合意しておく。このＳＡ情報の合意は、ＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）やハンドシェーク（Ｈａｎｄｓｈａｋｅ）プロトコル等のような接続先の相手装置に応じた様々なプロトコル（以下、単に「鍵交換プロトコル」という。）に準拠して行われる。
【０００３】
端末装置に代わって暗号通信に要する鍵情報の交換を代理するものとして、例えば、外部のデバイスから送信されたパケットに対し鍵交換プロトコルを検出し、データを送受信する機器相互間の認証手続を代行するためのデバイスの目録から鍵交換プロトコルに対応する内部のデバイスを検出し、検出したデバイスに代わって外部のデバイスに認証信号を送信して認証手続を実行するものがある（例えば、特許文献１参照）。
【特許文献１】特開２００３−２８９２９９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、ＳＡ情報の合意は、前述したように接続先の相手装置に応じた様々な鍵交換プロトコルに準拠して行われるため、従来の技術では、新たな相手装置に応じた鍵交換プロトコルに準拠するためにホームゲートウェイ等のようなパケット中継装置のソフトウェアを更新する等の作業が必要となり、新たな相手装置に応じた鍵交換プロトコルに対応するために煩雑な作業を要するといった問題があった。
【０００５】
本発明は、このような問題を解決するためになされたもので、新たな相手装置に応じた鍵交換プロトコルに対応するための煩雑な作業を削減することができるプロトコル代理システムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の請求項１に係るプロトコル代理システムは、装置の接続先を表すアドレス情報に基づいてパケットが送受信される第１のネットワーク内で、装置を識別するための装置識別情報に基づいてパケットが送受信される第２のネットワークに接続された装置によって送受信されるパケットを中継するパケット中継装置と、前記第２のネットワーク外で前記第１のネットワークに接続された相手装置と前記第２のネットワークに接続された端末装置との間で送受信されるパケットを暗号化および復号化するための鍵を表す鍵情報を前記端末装置に代わって前記相手装置と合意する代理鍵交換装置と、を備え、前記代理鍵交換装置は、前記端末装置と同一のアドレス情報が割り当てられて前記第２のネットワークに接続され、前記パケット中継装置は、前記相手装置から前記端末装置に向けて送信されたパケットが前記鍵情報を合意するためのものであるか否かを判定するパケット判定部と、前記相手装置から前記端末装置に向けて送信されたパケットが前記鍵情報を合意するためのものであると前記パケット判定部によって判定された場合には、当該パケットを前記代理鍵交換装置に送信するよう当該パケットのヘッダ情報を変更処理するヘッダ処理部と、を有するように構成される。
【０００７】
この構成により、パケット中継装置を変更することなく、パケット中継装置に接続された代理鍵交換装置を制御するプログラムを更新することによって、新たな鍵交換プロトコルに対応することができるため、新たな相手装置に応じた鍵交換プロトコルに対応するための煩雑な作業を削減することができる。
【０００８】
また、代理鍵交換装置に端末装置と同一のアドレス情報を割り当てることにより、相手装置側で代理鍵交換装置を意識することなく通信することができ、さらに、代理鍵交換装置を制御するプログラムとして汎用的なプログラムを用いることができる。
【０００９】
本発明の請求項２に係るプロトコル代理システムは、請求項１において、前記パケット中継装置は、パケットを暗号化する暗号化部と、パケットを復号化する復号化部と、を有し、前記代理鍵交換装置は、前記相手装置と合意された鍵情報を前記パケット中継装置に送信する鍵情報送信部を有し、前記暗号化部は、前記鍵情報送信部によって送信された鍵情報に基づいてパケットを暗号化し、前記復号化部は、前記鍵情報送信部によって送信された鍵情報に基づいてパケットを復号化するように構成される。
【００１０】
この構成により、パケット中継装置によって行われる暗号化および復号化に関する部分を変更することなく、パケット中継装置に接続された代理鍵交換装置を制御するプログラムを更新することによって、新たな鍵交換プロトコルに対応することができるため、新たな相手装置に応じた鍵交換プロトコルに対応するための煩雑な作業を削減することができる。
【００１１】
本発明の請求項３に係るプロトコル代理システムは、請求項２において、前記パケット中継装置は、前記暗号化部によって暗号化されるパケットを一時的に記憶するパケット記憶部と、前記暗号化部がパケットを暗号化するための鍵情報が不足している場合には、前記パケット記憶部に当該パケットを一時的に記憶するとともに前記代理鍵交換装置に前記鍵情報を要求する鍵情報要求部と、を有するように構成される。
【００１２】
この構成により、端末装置から相手装置に向けて送信されたパケットを中継する際に、鍵情報が不足している場合には、鍵情報を代理鍵交換装置に要求して取得するため、端末装置から相手装置に向けて送信されたパケットを確実に暗号化して相手装置に送信することができる。
【００１３】
本発明の請求項４に係るプロトコル代理システムは、請求項２または３において、前記パケット判定部は、前記相手装置から前記端末装置に向けて送信されて前記復号化部によって復号化されたパケットが前記鍵情報を合意するためのものであるか否かを判定するように構成される。
【００１４】
この構成により、相手装置によって鍵情報を合意するためのパケットが暗号化されて送信された場合でも、当該パケットを代理鍵交換装置に送信することができる。
【００１５】
本発明の請求項５に係るプロトコル代理システムは、請求項１乃至４の何れかにおいて、前記パケット中継装置は、パケットの属性に対して前記ヘッダ処理部が行う当該パケットの処理を示すプロトコル情報を記憶するプロトコル情報記憶部を有し、前記パケット判定部は、前記プロトコル情報記憶部に記憶されたプロトコル情報に基づいて、前記パケットが前記鍵情報を合意するためのものであるか否かを判定し、前記ヘッダ処理部は、前記プロトコル情報記憶部に記憶されたプロトコル情報に従ってパケットのヘッダ情報を変更処理するように構成される。
【００１６】
この構成により、プロトコル情報記憶部に記憶されたプロトコル情報を変更することによってヘッダ処理部による処理を変更することができる。
【００１７】
本発明の請求項６に係るプロトコル代理システムは、請求項５において、前記パケット中継装置は、前記代理鍵交換装置によって送信されたパケットのうち、前記アドレス情報と前記装置識別情報との対応関係を表す情報を取得するためのアドレス解決要求を表すパケットを廃棄処理するアドレス解決処理部を有するように構成される。
【００１８】
この構成により、代理鍵交換装置によって送信されたアドレス解決要求を表すパケットを廃棄するため、代理鍵交換装置に端末装置と同一のアドレス情報を割り当てたことによって生じる不整合を防止することができる。
【００１９】
本発明の請求項７に係るプロトコル代理システムは、請求項５において、前記パケット中継装置は、前記アドレス情報と前記装置識別情報との対応関係を表す情報を取得するためのアドレス解決要求に対して予め定められた応答を行うアドレス解決応答部と、前記代理鍵交換装置によって送信された前記アドレス解決要求を表すパケットに対して前記アドレス解決応答部に応答させるよう処理するアドレス解決処理部と、を有するように構成される。
【００２０】
この構成により、代理鍵交換装置によって送信されたアドレス解決要求を表すパケットに対して予め定められた応答を行うため、代理鍵交換装置に端末装置と同一のアドレス情報を割り当てたことによって生じる不整合を防止することができる。
【００２１】
本発明の請求項８に係るプロトコル代理システムは、請求項５乃至７の何れかにおいて、前記アドレス解決処理部は、前記代理鍵交換装置によって送信されたパケットのうち、前記アドレス情報と前記装置識別情報との対応関係を表す情報を取得するためのアドレス解決要求に対する応答を表すパケットを廃棄処理するように構成される。
【００２２】
この構成により、代理鍵交換装置によって送信されたアドレス解決要求に対する応答を表すパケットを廃棄するため、代理鍵交換装置に端末装置と同一のアドレス情報を割り当てたことによって生じる不整合を防止することができる。
【００２３】
本発明の請求項９に係るプロトコル代理システムは、請求項５乃至８の何れかにおいて、前記パケット中継装置は、前記第２のネットワークに新たに接続された端末装置の装置識別情報を取得する装置識別情報取得部と、前記装置識別情報取得部によって取得された装置識別情報に基づいて前記プロトコル情報を生成するプロトコル情報生成部と、を有するように構成される。
【００２４】
この構成により、新たに接続された端末装置の装置識別情報を取得し、取得した装置識別情報に基づいてプロトコル情報を生成するため、端末装置を新設した際の煩雑な作業を削減することができる。
【発明の効果】
【００２５】
本発明は、新たな相手装置に応じた鍵交換プロトコルに対応するための煩雑な作業を削減することができるプロトコル代理システムを提供することができる。
【発明を実施するための最良の形態】
【００２６】
以下、本発明の実施の形態について、図面を参照して説明する。
【００２７】
図１は、本発明の一実施の形態に係るプロトコル代理システム１の構成を示すブロック図である。プロトコル代理システム１は、装置の接続先を表すアドレス情報に基づいてパケットが送受信される第１のネットワーク２内で、装置を識別するための装置識別情報に基づいてパケットが送受信される第２のネットワーク３に接続された装置によって送受信されるパケットを中継するパケット中継装置４と、パケット中継装置４を第１のネットワーク２に接続するホームゲートウェイ装置５と、第２のネットワーク３外で第１のネットワーク２に接続された相手装置６と第２のネットワーク３に接続された端末装置７，８との間で送受信されるパケットを暗号化および復号化するための鍵を表す鍵情報を含むＳＡ情報を端末装置７，８に代わって相手装置６と合意する代理鍵交換装置９とを備えている。
【００２８】
ここで、アドレス情報は、インターネットプロトコル（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ、以下、単に「ＩＰ」と記載する。）アドレスとし、装置識別情報は、ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスとして説明する。なお、この場合には、第１のネットワーク２は、ＩＰ網となり、第２のネットワーク３は、レイヤ２（以下、単に「Ｌ２」と記載する。）網となる。また、ＩＰ網２は広域網１０と閉域網１１とを含み、相手装置６は広域網１０を介して接続され、Ｌ２網３は閉域網１１に含まれるものとする。
【００２９】
また、本実施の形態においては、パケット中継装置４には、２つの端末装置７，８が接続されているが、本発明におけるパケット中継装置に接続できる端末装置の数を限定するものではない。
【００３０】
代理鍵交換装置９は、端末装置７，８とそれぞれ同一の２つのＩＰアドレスが割り当てられてＬ２網３に接続されている。このように、代理鍵交換装置９に端末装置７，８と同一のＩＰアドレスを割り当てることにより、相手装置６側で代理鍵交換装置９を意識することなくＳＡ情報の合意や暗号化通信を行うことができ、さらに、代理鍵交換装置９を制御するプログラムとして汎用的なプログラムを用いることができる。
【００３１】
代理鍵交換装置９は、相手装置６と合意されたＳＡ情報をパケット中継装置４に送信する鍵情報送信部１２を有している。ここで、鍵情報送信部１２は、情報の漏洩や改竄が防止された安全な通信路を介してＳＡ情報をパケット中継装置４に送信するようにしてもよい。
【００３２】
具体的には、鍵情報送信部１２は、ＳＡ情報を暗号化してパケット中継装置４に送信するようにしてもよく、ＳＡ情報を専用の伝送路を介してパケット中継装置４に送信するようにしてもよい。
【００３３】
図２は、本発明の一実施の形態に係るパケット中継装置４の構成を示すブロック図である。パケット中継装置４は、Ｌ２スイッチによって構成され、Ｌ２網３外のＩＰ網２に接続されるＩＰインタフェイス２０と、Ｌ２網３に接続されるＬ２インタフェイス２１とを備えている。
【００３４】
ＩＰインタフェイス２０は、例えば、相手装置６のようにＬ２網３外のＩＰ網２を介して接続された装置とＩＰアドレスに基づいたパケットの送受信を行うようになっている。また、Ｌ２インタフェイス２１は、Ｌ２網３に接続される各装置を接続するための複数のポートを有しており、予め決められたポートに代理鍵交換装置９が接続され、他のポートに端末装置７，８が接続される。
【００３５】
パケット中継装置４は、アドレス解決の要求に関するパケットを処理するアドレス解決処理部２２と、アドレス解決の要求に対して予め定められた応答を行うアドレス解決応答部２３とをさらに備えている。
【００３６】
アドレス解決処理部２２は、代理鍵交換装置９が端末装置７，８と同一の２つのＩＰアドレスが割り当てられてＬ２網３に接続されていることによるＬ２網３内のＩＰアドレスの不整合を防止するようになっている。
【００３７】
具体的には、アドレス解決処理部２２は、代理鍵交換装置９によって送信されたパケットのうち、ＩＰアドレスとＭＡＣアドレスとの対応関係を表す情報を取得するためのアドレス解決プロトコル（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ、以下単に「ＡＲＰ」と記載する。）や近隣発見プロトコル（Ｎｅｉｇｈｂｏｒ  Ｄｉｓｃｏｖｅｒｙ  Ｐｒｏｔｏｃｏｌ、以下単に「ＮＤＰ」と記載する。）に準拠した要求パケット、および、これら要求パケットに応答するための応答パケットを廃棄するようになっている。
【００３８】
また、アドレス解決処理部２２は、代理鍵交換装置９によって送信されたパケットのうち、ＡＲＰに準拠した要求パケットに対して、アドレス解決応答部２３に応答させるよう処理するようになっている。ここで、アドレス解決応答部２３は、例えばホームゲートウェイ装置５のＭＡＣアドレスを応答するようにしてもよい。
【００３９】
なお、アドレス解決処理部２２は、磁気ディスクやメモリ等の記憶媒体に格納されたポリシーを参照し、これに従って、パケットを処理するようにしてもよい。図３は、アドレス解決処理部２２が参照するポリシーを示している。なお、図３において、代理鍵交換装置９のＭＡＣアドレスを「ＭＡＣ Ａ」と記載する。
【００４０】
例えば、ポリシー５０は、代理鍵交換装置９によって送信されたパケットのうち（ｓｏｕｒｃｅ＝ＭＡＣ Ａ）、ＡＲＰ準拠した要求パケット、およびＡＲＰに準拠した要求パケットに応答する応答パケットを廃棄することを示している。
【００４１】
また、ポリシー５１は、代理鍵交換装置９によって送信されたパケットのうち（ｓｏｕｒｃｅ＝ＭＡＣ Ａ）、ＮＤＰに準拠した要求パケット、およびＮＤＰに準拠した要求パケットに応答する応答パケットを廃棄することを示している。
【００４２】
また、ポリシー５２は、ＩＰｓｅｃのパケットを通過（ｐａｓｓ）させたい場合などには、ｓｏｕｒｃｅやｄｅｓｔｉｎａｔｉｏｎの指定にａｎｙを使用できることを示している。また、ポリシー５３は、ＤＮＳ（ＵＤＰ  ５３）はａｎｙに対してパススルーすることを示している。また、ポリシー５４は、任意のプロトコルで内側の機器（ＭＡＣ Ｂ  ＆  ＭＡＣ Ｃ）が通信できることを示している。また、ポリシー５５は、ポリシー５４と同じ指定をＭＡＣアドレスではなくＩＰアドレスを使用し、その範囲で指定することもできることを示している（但し、ＭＡＣアドレスでも範囲を指定することは可能）。また、ポリシー５６は、ポリシー５５と同様に、ＩＰアドレスによる指定であるが、プレフィックス長による前方部分一致で指定することが可能であることを示している。
【００４３】
図２において、パケット中継装置４は、ＳＡ情報を記憶するＳＡ情報記憶部２４と、パケットを復号化するか否かを判定する復号化判定部２５と、パケットを復号化する復号化部２６と、パケットを一時的に記憶するパケット記憶部２７とをさらに備えている。
【００４４】
復号化判定部２５は、ＳＡ情報記憶部２４に記憶されたＳＡ情報に基づいてパケットを復号化するか否かを判定するようになっている。また、復号化部２６は、ＳＡ情報記憶部２４に記憶されたＳＡ情報に基づいてパケットを復号化するようになっている。
【００４５】
ここで、復号化判定部２５は、パケットを復号化するためのＳＡ情報が不足している場合には、パケット記憶部２７にパケットを一時的に記憶するようになっている。
【００４６】
パケット中継装置４は、パケットに含まれる端末装置のＭＡＣアドレスを判定する装置識別情報取得部２８と、プロトコル情報を生成するプロトコル情報生成部２９と、相手装置６から端末装置７，８に向けて送信されたパケットがＳＡ情報を合意するためのものであるか否かを判定するパケット判定部３０と、パケットの属性に対して当該パケットの処理を示すプロトコル情報を記憶するプロトコル情報記憶部３１と、パケットのヘッダ情報を変更処理するヘッダ処理部３２とをさらに備えている。
【００４７】
ここで、パケットの属性とは、パケットが準拠するプロトコル、パケットの送信元のポート番号、ＩＰアドレスおよびＭＡＣアドレス、並びにパケットの送信先のポート番号、ＩＰアドレスおよびＭＡＣアドレス等が含まれる。
【００４８】
次に、プロトコル情報について、図４を参照して説明する。なお、図４において、代理鍵交換装置９のＭＡＣアドレスを「ＭＡＣ Ａ」、端末装置７のＭＡＣアドレスを「ＭＡＣ Ｂ」、端末装置８のＭＡＣアドレスを「ＭＡＣ Ｃ」とそれぞれ記載する。
【００４９】
プロトコル情報６０は、ＩＰインタフェイス２０を介して受信されたパケットがＳＡ情報を合意するためのもの（ｐｒｏｔｏｃｏｌ＝ＵＤＰ  ５００）であり、端末装置７のＭＡＣアドレス（ｄｅｓｔｉｎａｔｉｏｎ＝ＭＡＣ Ｂ）を送信先とするものであるとパケット判定部３０によって判定された場合には、当該パケットを代理鍵交換装置９に送信する（ａｃｔｉｏｎ＝ｔｏ  ＭＡＣ Ａ）ことを示している。
【００５０】
また、プロトコル情報６１は、ＩＰインタフェイス２０を介して受信されたパケットがＳＡ情報を合意するためのもの（ｐｒｏｔｏｃｏｌ＝ＵＤＰ  ５００）であり、端末装置８のＭＡＣアドレス（ｄｅｓｔｉｎａｔｉｏｎ＝ＭＡＣ Ｃ）を送信先とするものであるとパケット判定部３０によって判定された場合には、当該パケットを代理鍵交換装置９に送信する（ａｃｔｉｏｎ＝ｔｏ  ＭＡＣ Ａ）ことを示している。
【００５１】
また、プロトコル情報６２は、ＩＰインタフェイス２０を介して受信されたパケットがＳＡ情報を合意するためのもの（ｐｒｏｔｏｃｏｌ＝ＵＤＰ  ５００）であり、代理鍵交換装置９のＭＡＣアドレス及び端末装置７のＩＰアドレス（ｓｏｕｒｃｅ＝ＭＡＣ Ａ  ＆  ＩＰ Ｂ）を送信元とするものであるとパケット判定部３０によって判定された場合には、当該パケットを端末装置７に送信する（ａｃｔｉｏｎ＝ｔｏ  ＭＡＣ Ｂ）ことを示している。また、プロトコル情報６３は、ＩＰインタフェイス２０を介して受信されたパケットがＳＡ情報を合意するためのもの（ｐｒｏｔｏｃｏｌ＝ＵＤＰ  ５００）であり、代理鍵交換装置９のＭＡＣアドレス及び端末装置８のＩＰアドレス（ｓｏｕｒｃｅ＝ＭＡＣ Ａ  ＆  ＩＰ Ｃ）を送信元とするものであるとパケット判定部３０によって判定された場合には、当該パケットを端末装置８に送信する（ａｃｔｉｏｎ＝ｔｏ  ＭＡＣ Ｃ）ことを示している。なお、前述したポリシーと同様に、ｓｏｕｒｃｅやｄｅｓｔｉｎａｔｉｏｎの指定にａｎｙや範囲、プレフィックス長なども使用できる。
【００５２】
図２において、ヘッダ処理部３２は、相手装置６から端末装置７，８に向けて送信されたパケットがＳＡ情報を合意するためのものであるとパケット判定部３０によって判定されたパケットをプロトコル情報記憶部３１に記憶されたプロトコル情報に従ってヘッダ情報に含まれるＭＡＣアドレスを変更処理するようになっている。
【００５３】
装置識別情報取得部２８は、Ｌ２インタフェイス２１に受信されたパケットからＬ２網３に新たに接続された端末装置のＭＡＣアドレスを取得するようになっている。プロトコル情報生成部２９は、Ｌ２網３に新たに接続された端末装置のＭＡＣアドレスが装置識別情報取得部２８によって取得されると、図４に示したプロトコル情報６０〜６３のようなプロトコル情報を生成し、生成したプロトコル情報をプロトコル情報記憶部３１に登録するようになっている。
【００５４】
パケット中継装置４は、パケットを暗号化するか否かを判定する暗号化判定部３３と、パケットを暗号化する暗号化部３４と、パケットを一時的に記憶するパケット記憶部３５と、代理鍵交換装置９にＳＡ情報を要求する鍵情報要求部３６と、要求したＳＡ情報を受信する鍵情報受信部３７とをさらに備えている。
【００５５】
暗号化判定部３３は、ＳＡ情報記憶部２４に記憶されたＳＡ情報に基づいてパケットを暗号化するか否かを判定するようになっている。また、暗号化部３４は、ＳＡ情報記憶部２４に記憶されたＳＡ情報に基づいてパケットを復号化するようになっている。
【００５６】
ここで、パケットを暗号化するためのＳＡ情報が不足している場合には、暗号化判定部３３は、パケット記憶部３５にパケットを一時的に記憶し、鍵情報要求部３６は、代理鍵交換装置９に当該ＳＡ情報を要求するようになっている。なお、図２はベストモードの記述であり、パケット判定部３０およびヘッダ処理部３２が本特許のコアであって、他の部分は必須ではない。
【００５７】
以上のように構成されたプロトコル代理システム１について、図５乃至図１１を用いて、その動作を説明する。図５は、パケット中継装置４の１つのパケットを受信した際の動作を示すフローチャートである。
【００５８】
まず、ＩＰインタフェイス２０またはＬ２インタフェイス２１にパケットが受信されると、アドレス解決の要求に関するパケットを処理するアドレス解決動作が実行される（Ｓ１）。アドレス解決動作によって、パケットが廃棄された場合には（Ｓ２）、このパケットに対するパケット中継装置４の動作は終了する。
【００５９】
一方、パケットが廃棄されない場合には、パケットを復号化する復号化動作（Ｓ３）、プロトコル情報を生成するプロトコル情報生成動作（Ｓ４）、パケットのヘッダ情報を変更処理するヘッダ処理動作（Ｓ５）、およびパケットを暗号化する暗号化動作（Ｓ６）が実行される。
【００６０】
このように各動作が実行され、当該パケットは、ヘッダ情報に従ってＩＰインタフェイス２０またはＬ２インタフェイス２１を介して送信先の装置に送信される（Ｓ７）。
【００６１】
次に、上述した各動作について詳細に説明する。図６は、パケット中継装置４のアドレス解決動作（図５：Ｓ１）を示すフローチャートである。
【００６２】
まず、パケットが代理鍵交換装置９によって送信されたものか否かがアドレス解決処理部２２によって判定される（Ｓ１１）。パケットが代理鍵交換装置９によって送信されたものでないと判定された場合には、アドレス解決動作は、処理を戻す。
【００６３】
一方、パケットが代理鍵交換装置９によって送信されたものであると判定された場合には、このパケットがＡＲＰやＮＤＰに準拠した要求パケット、および、これら要求パケットに応答する応答パケットであるか否かがアドレス解決処理部２２によって判定される（Ｓ１２）。
【００６４】
ここで、パケットがＡＲＰやＮＤＰに準拠した要求パケット、および、これら要求パケットに応答する応答パケットの何れでもでないと判定された場合には、アドレス解決動作は、処理を戻す。
【００６５】
一方、パケットがＡＲＰやＮＤＰに準拠した要求パケット、および、これら要求パケットに応答する応答パケットの何れかであると判定された場合には、このパケットは、アドレス解決処理部２２によって廃棄される（Ｓ１３）。
【００６６】
さらに、このパケットがＡＲＰに準拠した要求パケットである場合には（Ｓ１４）、ホームゲートウェイ装置５のＭＡＣアドレスがアドレス解決応答部２３によって応答される（Ｓ１５）。
【００６７】
図７は、パケット中継装置４の復号化動作（図５：Ｓ３）を示すフローチャートである。
【００６８】
まず、ＳＡ情報記憶部２４に記憶されたＳＡ情報に基づいてパケットを復号化するか否かが復号化判定部２５によって判定される（Ｓ２１）。パケットを復号化しないと判定された場合には、復号化動作は、処理を戻す。
【００６９】
一方、パケットを復号化すると判定された場合には、当該パケットを復号化するためのＳＡ情報がＳＡ情報記憶部２４に不足なく記憶されているか否かが復号化判定部２５によって判定される（Ｓ２２）。
【００７０】
当該パケットを復号化するためのＳＡ情報がＳＡ情報記憶部２４に不足なく記憶されていないと判定された場合には、当該パケットがパケット記憶部２７に一時的に記憶され（Ｓ２３）、ＳＡ情報がＳＡ情報記憶部２４に不足なく記憶されるのを待つ（Ｓ２４）。
【００７１】
一方、当該パケットを復号化するためのＳＡ情報がＳＡ情報記憶部２４に記憶されていると判定された場合、またはＳＡ情報がＳＡ情報記憶部２４に不足なく記憶された時には、当該パケットが復号化部２６によってＳＡ情報に基づいて復号化される（Ｓ２５）。
【００７２】
図８は、パケット中継装置４のプロトコル情報生成動作（図５：Ｓ４）を示すフローチャートである。
【００７３】
まず、Ｌ２インタフェイス２１に受信されたパケットからＬ２網３に新たに接続された端末装置のＭＡＣアドレスが装置識別情報取得部２８によって取得されると（Ｓ３１）、取得されたＭＡＣアドレスに基づいて図４に示したプロトコル情報６０〜６３のようなプロトコル情報がプロトコル情報生成部２９によって生成される（Ｓ３２）。
【００７４】
プロトコル情報生成部２９によって生成されたプロトコル情報は、プロトコル情報記憶部３１に登録される（Ｓ３３）。
【００７５】
図９は、パケット中継装置４のヘッダ処理動作（図５：Ｓ５）を示すフローチャートである。
【００７６】
まず、プロトコル情報記憶部３１に記憶されたプロトコル情報に基づいて、パケットが相手装置６から端末装置７，８に向けて送信され、ＳＡ情報を合意するためのものであるか否かがパケット判定部３０によって判定される（Ｓ４１）。
【００７７】
パケットが相手装置６から端末装置７，８に向けて送信され、ＳＡ情報を合意するためのものでないと判定された場合には、ヘッダ処理動作は処理を戻す。
【００７８】
一方、パケットが相手装置６から端末装置７，８に向けて送信され、ＳＡ情報を合意するためのものであると判定された場合には、このパケットのヘッダ情報が、プロトコル情報記憶部３１に記憶されたプロトコル情報に従って代理鍵交換装置９に送信されるようヘッダ処理部３２によって変更処理される（Ｓ４２）。
【００７９】
図１０は、パケット中継装置４の暗号化動作（図５：Ｓ６）を示すフローチャートである。
【００８０】
まず、ＳＡ情報記憶部２４に記憶されたＳＡ情報に基づいてパケットを暗号化するか否かが暗号化判定部３３によって判定される（Ｓ５１）。パケットを暗号化しないと判定された場合には、暗号化動作は、処理を戻す。
【００８１】
一方、パケットを暗号化すると判定された場合には、当該パケットを暗号化するためのＳＡ情報がＳＡ情報記憶部２４に不足なく記憶されているか否かが暗号化判定部３３によって判定される（Ｓ５２）。
【００８２】
当該パケットを暗号化するためのＳＡ情報がＳＡ情報記憶部２４に不足なく記憶されていないと判定された場合には、当該パケットがパケット記憶部３５に一時的に記憶されるとともに（Ｓ５３）、ＳＡ情報が鍵情報要求部３６によって代理鍵交換装置９に要求される（Ｓ５４）。
【００８３】
一方、当該パケットを暗号化するためのＳＡ情報がＳＡ情報記憶部２４に記憶されていると判定された場合、または、代理鍵交換装置９によって生成されて送信されたＳＡ情報がＬ２インタフェイス２１に受信された場合（Ｓ５５）には、当該パケットが暗号化部３４によってＳＡ情報に基づいて暗号化される（Ｓ５６）。
【００８４】
図１１は、代理鍵交換装置９のＳＡ情報の合意動作を示すフローチャートである。
【００８５】
まず、パケット中継装置４の鍵情報要求部３６によってＳＡ情報が要求されると（Ｓ６１）、相手装置６とＳＡ情報が合意される（Ｓ６２）。合意されたＳＡ情報は、鍵情報送信部１２によってパケット中継装置４に向けて送信される（Ｓ６３）。
【００８６】
以上説明したように、プロトコル代理システム１によれば、パケット中継装置４を変更することなく、パケット中継装置４に接続された代理鍵交換装置９を制御するプログラムを更新することによって、新たな鍵交換プロトコルに対応することができるため、新たな相手装置に応じた鍵交換プロトコルに対応するための煩雑な作業を削減することができる。
【００８７】
また、プロトコル代理システム１によれば、代理鍵交換装置９に端末装置７，８と同一のアドレス情報を割り当てることにより、相手装置６側で代理鍵交換装置９を意識することなく通信することができ、さらに、代理鍵交換装置９を制御するプログラムとして汎用的なプログラムを用いることができる。
【図面の簡単な説明】
【００８８】
【図１】本発明の一実施の形態に係るプロトコル代理システムの構成を示すブロック図である。
【図２】本発明の一実施の形態に係るパケット中継装置の構成を示すブロック図である。
【図３】本発明の一実施の形態に係るパケット中継装置を構成するアドレス解決処理部が参照するポリシーの例を示す表である。
【図４】本発明の一実施の形態に係るパケット中継装置を構成するプロトコル情報記憶部に記憶されたプロトコル情報の例を示す表である。
【図５】本発明の一実施の形態に係るパケット中継装置の１つのパケットを受信した際の動作を示すフローチャートである。
【図６】本発明の一実施の形態に係るパケット中継装置のアドレス解決動作を示すフローチャートである。
【図７】本発明の一実施の形態に係るパケット中継装置の復号化動作を示すフローチャートである。
【図８】本発明の一実施の形態に係るパケット中継装置のプロトコル情報生成動作を示すフローチャートである。
【図９】本発明の一実施の形態に係るパケット中継装置のヘッダ処理動作を示すフローチャートである。
【図１０】本発明の一実施の形態に係るパケット中継装置の暗号化動作を示すフローチャートである。
【図１１】本発明の一実施の形態に係る代理鍵交換装置のＳＡ情報の合意動作を示すフローチャートである。
【符号の説明】
【００８９】
１  プロトコル代理システム
２  ＩＰ網（第１のネットワーク）
３  Ｌ２網（第２のネットワーク）
４  パケット中継装置
５  ホームゲートウェイ装置
６  相手装置
７，８  端末装置
９  代理鍵交換装置
１０  広域網
１１  閉域網
１２  鍵情報送信部
２０  ＩＰインタフェイス
２１  Ｌ２インタフェイス
２２  アドレス解決処理部
２３  アドレス解決応答部
２４  ＳＡ情報記憶部
２５  復号化判定部
２６  復号化部
２７，３５  パケット記憶部
２８  装置識別情報取得部
２９  プロトコル情報生成部
３０  パケット判定部
３１  プロトコル情報記憶部
３２  ヘッダ処理部
３３  暗号化判定部
３４  暗号化部
３６  鍵情報要求部
３７  鍵情報受信部
【図１】
2007074341.tif 000003
【図２】
2007074341.tif 000004
【図３】
2007074341.tif 000005
【図４】
2007074341.tif 000006
【図５】
2007074341.tif 000007
【図６】
2007074341.tif 000008
【図７】
2007074341.tif 000009
【図８】
2007074341.tif 000010
【図９】
2007074341.tif 000011
【図１０】
2007074341.tif 000012
【図１１】
2007074341.tif 000013