(57)【要約】【課題】処理負荷の増大を招くことなく、パケットを暗号化して転送することができるようにする。【解決手段】コネクション状態監視部１３により受信されたパケットの送信元及び宛先と一致するパケットの送信元情報及び宛先情報が図２のＳＳＨポートフォワーディング設定テーブルにエントリされていれば、そのパケットに係るＳＳＨサーバの接続先情報及びログイン情報を用いて、ネットワーク中継装置４のＳＳＨサーバ機能部２５との間にＳＳＨトンネルを確立し、ＳＳＨクライアント機能部１４がコネクション状態監視部１３により受信されたパケットを暗号化し、そのＳＳＨトンネルを使用して、暗号化後のパケットを送信する。【選択図】図１
2009177239.tif 000002
【特許請求の範囲】
【請求項１】
ＳＳＨポートフォワーディングを使用するパケットの宛先情報、上記パケットに係るＳＳＨサーバの接続先情報及び上記ＳＳＨサーバに対するログイン情報を記録している情報記録手段と、クライアントから送信されたパケットを受信するパケット受信手段と、上記パケット受信手段により受信されたパケットの宛先と一致するパケットの宛先情報が上記情報登録手段に登録されていれば、上記情報記録手段から上記パケットに係るＳＳＨサーバの接続先情報及びログイン情報を取得する情報取得手段と、上記情報取得手段により取得されたＳＳＨサーバの接続先情報及びログイン情報を用いて、上記ＳＳＨサーバとの間にＳＳＨトンネルを確立するＳＳＨトンネル確立手段と、上記パケット受信手段により受信されたパケットを暗号化し、上記ＳＳＨトンネル確立手段により確立されたＳＳＨトンネルを使用して、暗号化後のパケットを送信するパケット送信手段とを備えたネットワーク中継装置。
【請求項２】
パケット受信手段により受信されたパケットの宛先と一致するパケットの宛先情報が上記情報登録手段に登録されていなければ、パケット送信手段がＳＳＨトンネルを使用せずに、平文のパケットを送信することを特徴とする請求項１記載のネットワーク中継装置。
【請求項３】
ＳＳＨサーバとの間にＳＳＨトンネルが既に確立されていれば、ＳＳＨトンネル確立手段が新たなＳＳＨトンネルを確立せずに、パケット送信手段が既に確立されているＳＳＨトンネルを使用して、暗号化後のパケットを送信することを特徴とする請求項１または請求項２記載のネットワーク中継装置。
【請求項４】
ＳＳＨトンネル確立手段は、ＳＳＨトンネルを使用している全てのコネクションが切断されると、上記ＳＳＨトンネルを削除することを特徴とする請求項１から請求項３のうちのいずれか１項記載のネットワーク中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、受信したパケットを暗号化し、暗号化後のパケットを転送するネットワーク中継装置に関するものである。
【背景技術】
【０００２】
ネットワークに接続されているクライアントＰＣとサーバＰＣ間のパケット通信は、通常、平文で行われる。
パケットの暗号化を図る場合、当該暗号化に対応するアプリケーションをクライアントＰＣに用意する必要がある。
あるいは、Ｐｓｅｃ等の暗号化に対応する専用のネットワーク中継装置をクライアントＰＣ側とサーバＰＣ側の両方に用意する必要がある。
【０００３】
なお、クライアントＰＣとサーバＰＣ間のパケットの暗号化通信は、ネットワーク上の様々な装置が中継することで実現されるが、これらの装置の中には、コネクションが新たに生成される度に、例えば、接続可否のチェック等を行うなど、様々な処理を実行するものがある（例えば、特許文献１を参照）。
このように、コネクションが生成される度に、様々な処理が実行されるため、装置の負荷が増大する。
【０００４】
【特許文献１】特開平０７−０６４７９６号公報（段落番号［００１４］から［００２０］、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来のネットワーク中継装置は以上のように構成されているので、コネクションが新たに生成される度に、例えば、接続可否のチェック等を行うなどの様々な処理を実行する必要があり、処理負荷が増大してしまうなどの課題があった。
【０００６】
この発明は上記のような課題を解決するためになされたもので、処理負荷の増大を招くことなく、パケットを暗号化して転送することができるネットワーク中継装置を得ることを目的とする。
【課題を解決するための手段】
【０００７】
この発明に係るネットワーク中継装置は、パケット受信手段により受信されたパケットの宛先と一致するパケットの宛先情報が情報登録手段に登録されていれば、情報記録手段から上記パケットに係るＳＳＨサーバの接続先情報及びログイン情報を取得する情報取得手段と、情報取得手段により取得されたＳＳＨサーバの接続先情報及びログイン情報を用いて、ＳＳＨサーバとの間にＳＳＨトンネルを確立するＳＳＨトンネル確立手段とを設け、パケット送信手段がパケット受信手段により受信されたパケットを暗号化し、ＳＳＨトンネル確立手段により確立されたＳＳＨトンネルを使用して、暗号化後のパケットを送信するようにしたものである。
【発明の効果】
【０００８】
この発明によれば、パケット受信手段により受信されたパケットの宛先と一致するパケットの宛先情報が情報登録手段に登録されていれば、情報記録手段から上記パケットに係るＳＳＨサーバの接続先情報及びログイン情報を取得する情報取得手段と、情報取得手段により取得されたＳＳＨサーバの接続先情報及びログイン情報を用いて、ＳＳＨサーバとの間にＳＳＨトンネルを確立するＳＳＨトンネル確立手段とを設け、パケット送信手段がパケット受信手段により受信されたパケットを暗号化し、ＳＳＨトンネル確立手段により確立されたＳＳＨトンネルを使用して、暗号化後のパケットを送信するように構成したので、処理負荷の増大を招くことなく、パケットを暗号化して転送することができる効果がある。
【発明を実施するための最良の形態】
【０００９】
実施の形態１．
図１はこの発明の実施の形態１によるネットワーク中継装置を示す構成図であり、図において、クライアントＰＣ１はネットワーク中継装置３，４経由でサーバＰＣ２とパケット通信を行う。
ネットワーク中継装置３はネットワーク５を介してネットワーク中継装置４と接続され、受信パケットを転送する処理を実施する。
【００１０】
ＳＳＨポートフォワーディング設定テーブル記憶部１１はＳＳＨポートフォワーディングを使用するパケットの送信元情報（送信元ＩＰアドレス、送信元ポート番号）、宛先情報（宛先ＩＰアドレス、宛先ポート番号）、上記パケットに係るＳＳＨサーバの接続先情報（ＳＳＨサーバのＩＰアドレス）及びＳＳＨサーバに対するログイン情報（ログインに必要なユーザ名、パスワード）を示すＳＳＨポートフォワーディング設定テーブルを記録しているメモリである。なお、ＳＳＨポートフォワーディング設定テーブル記憶部１１は情報記録手段を構成している。
【００１１】
ＳＳＨトンネル状態テーブル記憶部１２は確立されているＳＳＨトンネルの状態等を示すＳＳＨトンネル状態テーブルを記録しているメモリである。
コネクション状態監視部１３はクライアントＰＣ１から送信されたパケットを受信する処理のほか、そのパケットの送信元及び宛先と一致するパケットの送信元情報及び宛先情報がＳＳＨポートフォワーディング設定テーブルにエントリされているか否かを調査し、エントリされていれば、ＳＳＨポートフォワーディング設定テーブルから上記パケットに係るＳＳＨサーバの接続先情報及びログイン情報を取得する処理を実施する。
なお、コネクション状態監視部１３はパケット受信手段及び情報取得手段を構成している。
【００１２】
ＳＳＨクライアント機能部１４はコネクション状態監視部１３により取得されたＳＳＨサーバの接続先情報及びログイン情報を用いて、そのＳＳＨサーバとの間にＳＳＨトンネルを確立する処理のほか、コネクション状態監視部１３により受信されたパケットを暗号化し、そのＳＳＨトンネルを使用して、暗号化後のパケットを送信する処理を実施する。
なお、ＳＳＨクライアント機能部１４はＳＳＨトンネル確立手段及びパケット送信手段を構成している。
ＳＳＨサーバ機能部１５はネットワーク中継装置３がＳＳＨサーバとして機能する場合、ネットワーク中継装置４のＳＳＨクライアント機能部２４との間にＳＳＨトンネルを確立する処理を実施する。
【００１３】
ＳＳＨポートフォワーディング設定テーブル記憶部２１はネットワーク中継装置３のＳＳＨポートフォワーディング設定テーブル記憶部１１に相当するメモリである。
ＳＳＨトンネル状態テーブル記憶部２２はネットワーク中継装置３のＳＳＨトンネル状態テーブル記憶部１２に相当するメモリである。
コネクション状態監視部２３はネットワーク中継装置３のコネクション状態監視部１３に相当する処理部である。
ＳＳＨクライアント機能部２４はネットワーク中継装置３のＳＳＨクライアント機能部１４に相当する処理部である。
ＳＳＨサーバ機能部２５はネットワーク中継装置３のＳＳＨクライアント機能部１４と情報交換を実施して、ＳＳＨトンネルを確立するとともに、ネットワーク中継装置３のＳＳＨクライアント機能部１４から送信されたパケットを受信して、そのパケットの暗号化を復号する処理を実施する。
【００１４】
次に動作について説明する。
ネットワーク中継装置３のコネクション状態監視部１３は、クライアントＰＣ１から送信されたパケットを受信する。
また、コネクション状態監視部１３は、パケットを受信すると、そのパケットの送信元（送信元ＩＰアドレス、送信元ポート番号）及び宛先（宛先ＩＰアドレス、宛先ポート番号）を確認する。
コネクション状態監視部１３は、クライアントＰＣ１から送信されたパケットの送信元及び宛先を確認すると、そのパケットの送信元及び宛先と一致するパケットの送信元情報及び宛先情報がＳＳＨポートフォワーディング設定テーブルにエントリされているか否かを調査する。
【００１５】
ここで、図２はＳＳＨポートフォワーディング設定テーブル記憶部１１に記憶されているＳＳＨポートフォワーディング設定テーブルを示す説明図である。
コネクション状態監視部１３は、ＳＳＨポートフォワーディング設定テーブル記憶部１１に記憶されている図２のＳＳＨポートフォワーディング設定テーブルにエントリされている場合、そのＳＳＨポートフォワーディング設定テーブルから当該パケットに係るＳＳＨサーバの接続先情報（ＳＳＨサーバのＩＰアドレス）及びログイン情報（ログインに必要なユーザ名、パスワード）を取得して、そのＳＳＨサーバの接続先情報及びログイン情報をＳＳＨクライアント機能部１４に出力する。
【００１６】
ネットワーク中継装置３のＳＳＨクライアント機能部１４は、コネクション状態監視部１３からＳＳＨサーバの接続先情報及びログイン情報を受けると、ＳＳＨトンネル状態テーブル記憶部１２に記憶されているＳＳＨトンネル状態テーブルを参照して（図３を参照）、該当するＳＳＨサーバとの間にＳＳＨトンネルが既に確立されているか否かを調査する。
図３のＳＳＨトンネル状態テーブルにおいて、「ＳＳＨトンネルの使用コネクション数」が１以上であれば、該当するＳＳＨサーバとの間にＳＳＨトンネルが既に確立されている。
【００１７】
ＳＳＨクライアント機能部１４は、該当するＳＳＨサーバとの間にＳＳＨトンネルが確立されていない場合、コネクション状態監視部１３から出力されたＳＳＨサーバの接続先情報を参照して、そのＳＳＨサーバ（ネットワーク中継装置４のＳＳＨサーバ機能部２５）にアクセスし、また、ＳＳＨサーバのログイン情報を用いて、そのＳＳＨサーバ機能部２５にログインする。
ＳＳＨクライアント機能部１４は、ネットワーク中継装置４のＳＳＨサーバ機能部２５にログインすると、そのＳＳＨサーバ機能部２５と所定の情報を交換して、ＳＳＨトンネルを確立する。
【００１８】
ＳＳＨクライアント機能部１４は、上記のようにして、新たにＳＳＨトンネルを確立すると、そのＳＳＨトンネルに関する情報を図３のＳＳＨトンネル状態テーブルにエントリする。
なお、ＳＳＨクライアント機能部１４は、該当するＳＳＨサーバとの間にＳＳＨトンネルが既に確立されている場合、新たなＳＳＨトンネルを確立せずに、図３のＳＳＨトンネル状態テーブルにおける「ＳＳＨトンネルの使用コネクション数」を１だけインクリメントする。また、該当エントリの「アイドル時間」を０にリセットする。
【００１９】
ＳＳＨクライアント機能部１４は、ＳＳＨトンネルの確立処理が完了すると、コネクション状態監視部１３により受信されたパケットを暗号化し、新たに確立したＳＳＨトンネル又は既に確立しているＳＳＨトンネルを使用して、暗号化後のパケットをネットワーク中継装置４のＳＳＨサーバ機能部２５に送信する。
ネットワーク中継装置４のＳＳＨサーバ機能部２５は、ネットワーク中継装置３のＳＳＨクライアント機能部１４から送信されたパケットを受信すると、そのパケットの暗号化を復号して、平文のパケットをサーバＰＣ２に転送する。
【００２０】
ここでは、ＳＳＨクライアント機能部１４がパケットを暗号化し、ＳＳＨトンネルを使用して、暗号化後のパケットをネットワーク中継装置４のＳＳＨサーバ機能部２５に送信するものについて示したが、クライアントＰＣ１から送信されたパケットの送信元及び宛先と一致するパケットの送信元情報及び宛先情報が図２のＳＳＨポートフォワーディング設定テーブルにエントリされていない場合、ＳＳＨトンネルを使用せずに、平文のパケットを送信する。
【００２１】
ネットワーク中継装置３，４間のパケット通信は、上記のようにして実施されるが、ＳＳＨトンネルを使用している全てのコネクションが切断されると、そのＳＳＨトンネルを削除するようにする。
即ち、コネクション状態監視部１３は、ＳＳＨトンネルを使用しているコネクションが切断された場合、図３のＳＳＨトンネル状態テーブルにおける該当エントリの「ＳＳＨトンネルの使用コネクション数」を１だけデクリメントする。
【００２２】
コネクション状態監視部１３は、「ＳＳＨトンネルの使用コネクション数」が“０”になると、該当エントリのＳＳＨトンネルを使用しているコネクションが全て切断されたことを意味するので、そのＳＳＨトンネルの削除指令をＳＳＨクライアント機能部１４に出力する。
ＳＳＨクライアント機能部１４は、コネクション状態監視部１３からＳＳＨトンネルの削除指令を受けると、そのＳＳＨトンネルを削除する。
【００２３】
なお、コネクションがＴＣＰであれば、ＦＩＮやＲＳＴパケットによってコネクションの切断を検出することができる。
ただし、コネクションがＵＤＰの場合、ＦＩＮやＲＳＴパケットによってコネクションの切断を検出することができない。また、ＴＣＰの場合でも、異常シーケンスによって切断を検出することができないことも考えられる。
この場合、コネクション数のカウントを正しく行えず、不要なＳＳＨトンネルが残ってしまう可能性がある。
これを回避するために、図３のＳＳＨトンネル状態テーブルには、「アイドル時間」が記録されている。
「アイドル時間」は、「ＳＳＨトンネルの使用コネクション数」が１以上の場合、カウントアップされており、該当するＳＳＨサーバ宛のパケットを受信した際に“０”にリセットされる。
このアイドル時間が予め設定された値を超えたとき、コネクション状態監視部１３が該当エントリのＳＳＨトンネルを使用しているコネクションが全て切断されたものと判断する。
【００２４】
以上で明らかなように、この実施の形態１によれば、コネクション状態監視部１３により受信されたパケットの送信元及び宛先と一致するパケットの送信元情報及び宛先情報が図２のＳＳＨポートフォワーディング設定テーブルにエントリされていれば、そのパケットに係るＳＳＨサーバの接続先情報及びログイン情報を用いて、ネットワーク中継装置４のＳＳＨサーバ機能部２５との間にＳＳＨトンネルを確立し、ＳＳＨクライアント機能部１４がコネクション状態監視部１３により受信されたパケットを暗号化し、そのＳＳＨトンネルを使用して、暗号化後のパケットを送信するように構成したので、処理負荷の増大を招くことなく、パケットを暗号化して転送することができる効果を奏する。
【００２５】
即ち、図２のＳＳＨポートフォワーディング設定テーブルにエントリされているパケットはＳＳＨトンネル経由で送信され、ＳＳＨトンネル内の通信は全て暗号化されているため、安全性の高い通信が可能になる。クライアントＰＣ１への設定は不要であり、クライアントＰＣ１のユーザは、通常と同じ手順でサーバＰＣ２と通信が可能である。
また、ＳＳＨトンネルを使用してパケットを送信することで、複数のコネクションをまとめることができるため、ネットワーク５上にある装置の負荷を下げる効果も期待することができる。
また、ネットワーク装置の中には、新たに生成されるコネクションに対して、接続の可否のチェックなど、様々な処理を実行するものがあるが、ＳＳＨトンネルを使用すれば、ネットワーク５上では、１本のコネクションにしかみえないので、このような処理の負荷を低減することが可能になる。
また、クライアントＰＣ１のユーザは、意識することなく、サーバＰＣ２と安全性の高い暗号化通信が可能になる。
さらに、パケットのＩＰアドレスやポート番号等により、ＳＳＨトンネルの使用／不使用を柔軟に設定することができるため、ネットワーク上にある装置の負荷を下げる効果も期待することができる。
【００２６】
実施の形態２．
図４はこの発明の実施の形態２によるネットワーク中継装置を示す構成図であり、図において、図１と同一符号は同一または相当部分を示すので説明を省略する。
上記実施の形態１と比べて、この実施の形態２では、ネットワーク中継装置３，４の機能を必要最小限にしている点で相違している。
ネットワーク中継装置４がＳＳＨサーバ機能部２５を実装していないので、ＳＳＨサーバ機能部２５に相当するＳＳＨサーバ２６を別に用意して、ネットワーク中継装置３のＳＳＨクライアント機能部１４がＳＳＨサーバ２６との間で、ＳＳＨトンネルを確立するようにしている。
ＳＳＨサーバ２６は、ＵＮＩＸ機（ＵＮＩＸは登録商標）等を使用することにより、容易に実現することができる。
【００２７】
図５はＳＳＨポートフォワーディング設定テーブル記憶部１１に記憶されているＳＳＨポートフォワーディング設定テーブルを示す説明図である。図５のＳＳＨポートフォワーディング設定テーブルは、図３のＳＳＨトンネル状態テーブルを兼ねている。
図５のＳＳＨポートフォワーディング設定テーブルでは、本来のＳＳＨポートフォワーディング機能と同様に、宛先ポート番号だけで受信パケットをチェックする仕様になっており、通信相手が決まっているポートの通信にしか利用することができない。
また、ＳＳＨトンネルの使用コネクション数ではなく、ＳＳＨトンネルの有無だけを管理している。このため、ＳＳＨトンネルの切断はアイドル時間の満了でのみ判断する。
【００２８】
ＳＳＨトンネルは、上記実施の形態１のように、ＳＳＨサーバ毎に１本でなく、ＳＳＨポートフォワーディング設定テーブルのエントリ毎に１本となる。
このため、ネットワーク上にある機器の負荷を下げる効果はあるが、上記実施の形態１と比べると小さくなる。
この実施の形態２によれば、クライアントＰＣ１のユーザは、意識することなく、サーバＰＣ２と安全性の高い通信が可能である。
また、ネットワーク上にある装置の負荷を下げる効果も期待することができる。
上記実施の形態１と比べて、機能の制約は多いが、対向のネットワーク中継装置４として、ＳＳＨサーバ機能部２５を内蔵していない通常の装置を使用することができるメリットがある。
また、ネットワーク中継装置３への機能の実装を最小限に抑えることができるメリットがある。
【図面の簡単な説明】
【００２９】
【図１】この発明の実施の形態１によるネットワーク中継装置を示す構成図である。
【図２】ＳＳＨポートフォワーディング設定テーブル記憶部１１に記憶されているＳＳＨポートフォワーディング設定テーブルを示す説明図である。
【図３】ＳＳＨトンネル状態テーブル記憶部１２に記憶されているＳＳＨトンネル状態テーブルを示す説明図である。
【図４】この発明の実施の形態２によるネットワーク中継装置を示す構成図である。
【図５】ＳＳＨポートフォワーディング設定テーブル記憶部１１に記憶されているＳＳＨポートフォワーディング設定テーブルを示す説明図である。
【符号の説明】
【００３０】
１  クライアントＰＣ、２  サーバＰＣ、３，４  ネットワーク中継装置、１１  ＳＳＨポートフォワーディング設定テーブル記憶部（情報記録手段）、１２  ＳＳＨトンネル状態テーブル記憶部、１３  コネクション状態監視部（パケット受信手段、情報取得手段）、１４  ＳＳＨクライアント機能部（ＳＳＨトンネル確立手段、パケット送信手段）、１５  ＳＳＨサーバ機能部、２１  ＳＳＨポートフォワーディング設定テーブル記憶部、２２  ＳＳＨトンネル状態テーブル記憶部、２３  コネクション状態監視部、２４  ＳＳＨクライアント機能部、２５  ＳＳＨサーバ機能部（ＳＳＨサーバ）、２６  ＳＳＨサーバ。
【図１】
2009177239.tif 000003
【図２】
2009177239.tif 000004
【図３】
2009177239.tif 000005
【図４】
2009177239.tif 000006
【図５】
2009177239.tif 000007