(57)【要約】【課題】複数の中継装置を有する暗号化通信システムにおいて、該複数の中継装置の負荷を均一にし、システムの処理効率を向上させる。【解決手段】管理装置１５０は、異なるネットワークにあるクライアント間の暗号化通信に際して、各中継装置の負荷状況に応じて、これらの中継装置の負荷が均一になるように、送信側のクライアントが送信するフレームの復号処理と、復号された該フレームに対して受信側のクライアントが解読可能な暗号化処理を行う中継装置の選択を行う。そして、選択された中継装置が暗号化処理のための暗号鍵を所有するものではないときに、該暗号鍵を所有する中継装置から、選択された中継装置に該暗号鍵の転送を行わせ、選択された中継装置が復号処理のための復号鍵を所有するものではないときに、該復号鍵を所有する中継装置から、選択された中継装置に該復号鍵の転送を行わせる。【選択図】図１
2009182427.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク間の通信を中継する複数の中継装置であって、自身のネットワーク内のクライアントとの間の暗号鍵と復号鍵を所有する前記複数の中継装置と、
該複数の中継装置を管理する管理装置とを備え、
前記管理装置は、前記複数の中継装置の負荷状況を監視する負荷状況監視部と、
異なるネットワークにある２つのクライアント間に暗号化通信が行われる際に、前記複数の中継装置の負荷状況に基づいて該複数の中継装置の負荷が均一になるように、送信側のクライアントが送信するフレームの復号処理と、復号された該フレームに対して受信側のクライアントが解読可能な暗号化処理を行う中継装置の選択を行う中継装置選択部と、
選択された中継装置に当該処理を行わせると共に、選択された中継装置が前記暗号化処理のための暗号鍵を所有するものではないときに、該暗号鍵を所有する中継装置から、選択された前記中継装置に該暗号鍵の転送を行わせ、選択された中継装置が前記復号処理のための復号鍵を所有するものではないときに、該復号鍵を所有する中継装置から、選択された前記中継装置に該復号鍵の転送を行わせる制御部とを備えることを特徴とする暗号化通信システム。
【請求項２】
前記中継装置選択部は、前記複数の中継装置のうちの、負荷が最も小さい中継装置を選択することを特徴とする請求項１に記載の暗号化通信システム。
【請求項３】
前記中継装置選択部は、異なる２つの中継装置を、前記復号処理を行う中継装置と前記暗号化処理を行う中継装置として夫々選択可能であることを特徴とする請求項１または２に記載の暗号化通信システム。
【請求項４】
前記管理装置は、前記２つのクライアント間の最適な通信経路を選択する通信経路選択部をさらに備え、
前記中継装置選択部は、前記通信経路選択部が選択した前記通信経路上の中継装置の中から前記選択を行うことを特徴とする請求項１から３のいずれか１項に記載の暗号化通信システム。
【請求項５】
前記通信経路選択部は、最も短い通信経路を前記最適な通信経路として選択することを特徴とする請求項４に記載の暗号化通信システム。
【請求項６】
ネットワーク間の通信を中継する複数の中継装置であって、自身のネットワーク内のクライアントとの間の暗号鍵と復号鍵を所有する前記複数の中継装置を管理する管理装置において、
前記複数の中継装置の負荷状況を監視する負荷状況監視部と、
異なるネットワークにある２つのクライアント間に暗号化通信が行われる際に、前記複数の中継装置の負荷状況に基づいて該複数の中継装置の負荷が均一になるように、送信側のクライアントが送信するフレームの復号処理と、復号された該フレームに対して受信側のクライアントが解読可能な暗号化処理を行う中継装置の選択を行う中継装置選択部と、
選択された中継装置に当該処理を行わせると共に、選択された中継装置が前記暗号化処理のための暗号鍵を所有するものではないときに、該暗号鍵を所有する中継装置から、選択された前記中継装置に該暗号鍵の転送を行わせ、選択された中継装置が前記復号処理のための復号鍵を所有するものではないときに、該復号鍵を所有する中継装置から、選択された前記中継装置に該復号鍵の転送を行わせる制御部とを備えることを特徴とする管理装置。
【請求項７】
前記中継装置選択部は、前記複数の中継装置のうちの、負荷が最も小さい中継装置を選択することを特徴とする請求項６に記載の管理装置。
【請求項８】
前記中継装置選択部は、異なる２つの中継装置を、前記復号処理を行う中継装置と前記暗号化処理を行う中継装置として夫々選択可能であることを特徴とする請求項６または７に記載の管理装置。
【請求項９】
前記２つのクライアント間の最適な通信経路を選択する通信経路選択部をさらに備え、
前記中継装置選択部は、前記通信経路選択部が選択した前記通信経路上の中継装置の中から前記選択を行うことを特徴とする請求項６から８のいずれか１項に記載の管理装置。
【請求項１０】
前記通信経路選択部は、最も短い通信経路を前記最適な通信経路として選択することを特徴とする請求項９に記載の暗号化通信システム。
【請求項１１】
ネットワーク間の通信を中継する複数の中継装置であって、自身のネットワーク内のクライアントとの間の暗号鍵と復号鍵を所有する前記複数の中継装置を備えたシステムにおける暗号化通信方法であって、
前記複数の中継装置の負荷状況を監視し、
異なるネットワークにある２つのクライアント間に暗号化通信が行われる際に、前記複数の中継装置の負荷状況に基づいて該複数の中継装置の負荷が均一になるように、送信側のクライアントが送信するフレームの復号処理と、復号された該フレームに対して受信側のクライアントが解読可能な暗号化処理を行う中継装置の選択を行い、
選択された中継装置に当該処理を行わせると共に、選択された中継装置が前記暗号化処理のための暗号鍵を所有するものではないときに、該暗号鍵を所有する中継装置から、選択された前記中継装置に該暗号鍵の転送を行わせ、選択された中継装置が前記復号処理のための復号鍵を所有するものではないときに、該復号鍵を所有する中継装置から、選択された前記中継装置に該復号鍵の転送を行わせることを特徴とする暗号化通信方法。
【請求項１２】
前記選択に際して、前記複数の中継装置のうちの、負荷が最も小さい中継装置を選択することを特徴とする請求項１１に記載の暗号化通信方法。
【請求項１３】
前記選択に際して、異なる２つの中継装置を、前記復号処理を行う中継装置と前記暗号化処理を行う中継装置として夫々選択可能であることを特徴とする請求項１１または１２に記載の暗号化通信方法。
【請求項１４】
前記２つのクライアント間の最適な通信経路の選択をさらに行い、
選択された前記通信経路上の中継装置の中から前記中継装置の選択を行うことを特徴とする請求項１１から１３のいずれか１項に記載の暗号化通信方法。
【請求項１５】
最も短い通信経路を前記最適な通信経路として選択することを特徴とする請求項１４に記載の暗号化通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号化通信技術に関する。
【背景技術】
【０００２】
異なるネットワークに位置するクライアント間の通信は、ネットワークとネットワークの境界に設けられた中継装置により中継される。現在、イントラネットなどの私設ネットワークや、インターネットなどの公衆ネットワークが数多く存在し、多くの中継装置の介在によりネットワークを跨った通信が実現されている。
【０００３】
ネットワークを跨った通信特に公衆ネットワークを通過する通信では、セキュリティ性を高めるために、通信内容例えばフレームを暗号化することが行われており、様々なシステムが提案されている。
【０００４】
特許文献１には、中継装置間において暗号化／復号化処理を行うシステムが開示されている（特許文献１における「００２１」「００２５」）。このシステムにおいて、中継装置に該当するトンネルブリッジは、他のネットワークのトンネルブリッジに転送する通信内容を共通鍵で暗号化し、他のネットワークのトンネルブリッジから受信した、暗号化された通信内容を、共通鍵で復号して当該クライアントに転送する。
【０００５】
中継装置は、ネットワークの境界に位置し、当該ネットワークを出入りするすべての通信内容を中継する必要があるため、トラフィックが集中する。中継処理に加え、暗号化／復号処理も行うのでは、中継装置の負荷が大きいため、システムの通信効率が低下してしまう可能性が高くなる。
【０００６】
特許文献２には、通信内容を暗号化すると共に、中継装置の負荷を軽減可能なシステムが提案されている。図１２を参照して説明する。
【０００７】
図１２は、特許文献２における図１を簡略したものである。図１２に示すシステムにおいて、インターネットとイントラネット間の通信は、ＶＰＮゲートウェイ３０（ＶＰＮ：Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）により中継され、イントラネット内のサーバ１０と、インターネット内のクライアント２０は、ＶＰＮゲートウェイ３０を経由して暗号化通信を行う。
【０００８】
ＶＰＮゲートウェイ３０は、クライアント２０との間で暗号鍵と復号鍵を作成してサーバ１０に転送する。サーバ１０は、クライアント２０から受信したフレームを上記復号鍵で復号し、クライアント２０にフレームを送信する際に上記暗号鍵で暗号化する。こうすることにより、暗号化／復号処理は、クライアント２０とサーバ１０の間で行われ、ＶＰＮゲートウェイ３０は、フレームの転送以外に、暗号鍵と復号鍵の作成処理のみを行えればよい。したがって、中継装置に該当するＶＰＮゲートウェイ３０の負荷が軽減され、システム効率低下のリスクも軽減される。
【特許文献１】特開平０９−２７８０４号公報
【特許文献２】特開２００６−１２１５１０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
多数のネットワーク乃至中継装置が存在するシステムに特許文献２の手法を適用することが考えられる。例えば、ネットワークＡの中継装置Ａは、該ネットワーク内のクライアントからネットワークＢ内のクライアントＢとの暗号化通信が要求された際に、クライアントＡとの間で暗号鍵と復号鍵を作成してネットワークＢの中継装置Ｂに転送する。そして、クライアントＡからの暗号化フレームを受信して中継装置Ｂに転送する。中継装置Ｂは、中継装置Ａから転送されてきた暗号化フレームを受信すると、予め中継装置Ｂから転送されてきた復号鍵で暗号化フレームを復号してクライアントＢに転送する。そして、中継装置Ｂは、後にクライアントＢからクライアントＡへ送信するフレームを受信すると、それを上記暗号鍵で暗号化して中継装置Ａに転送する。中継装置Ａは、中継装置Ｂから受信した暗号化フレームをそのままクライアントＡに転送し、クライアントＡによりその暗号化フレームの復号をする。こうすることにより、暗号化／復号処理は、クライアントＡと中継装置Ｂの間で行われるため、中継装置Ａの負荷が軽減される。
【００１０】
ところで、この手法では、中継装置Ａの負荷が軽減されるものの、中継装置Ｂの負荷が軽減されない。クライアントＡとクライアントＢの通信時に、中継装置Ｂの負荷が中継装置Ａより大きい場合でも、中継装置Ｂにより暗号化／復号処理が行われる。これでは、複数の中継装置の負荷が偏り、システムの処理効率が低下する。
【００１１】
本発明は、上記事情を鑑みてなされたものであり、複数の中継装置が存在する暗号化通信システムにおいて、これらの中継装置の負荷を最適化し、システムの処理効率を向上させる技術を提供する。
【課題を解決するための手段】
【００１２】
本発明の一つの態様は、ネットワーク間の通信を中継する複数の中継装置を管理する管理装置である。これらの複数の中継装置は、自身のネットワーク内のクライアントとの間の暗号鍵と復号鍵を所有している。管理装置は、負荷情報監視部と、中継装置選択部と、制御部を備える。
付加情報監視部は、上記複数の中継装置の負荷状況を監視する。
【００１３】
中継装置選択部は、異なるネットワークにある２つのクライアント間に暗号化通信が行われる際に、上記複数の中継装置の負荷状況に基づいて、該複数の中継装置の負荷が均一になるように、送信側のクライアントが送信するフレームの復号処理と、復号された該フレームに対して受信側のクライアントが解読可能な暗号化処理を行う中継装置の選択を行う。
【００１４】
制御部は、選択された中継装置に当該処理を行わせると共に、選択された中継装置が上記暗号化処理のための暗号鍵を所有するものではないときに、該暗号鍵を所有する中継装置から、選択された中継装置に該暗号鍵の転送を行わせる。また、制御部は、選択された中継装置が上記復号処理のための復号鍵を所有するものではないときに、該復号鍵を所有する中継装置から、選択された中継装置に該復号鍵の転送を行わせる。
【００１５】
なお、上記態様の装置を方法やプログラムとして置き換えて表現したもの、上記管理装置を備えた暗号化通信システムなども、本発明の態様としては有効である。
【発明の効果】
【００１６】
本発明にかかる技術によれば、複数の中継装置を有する暗号化通信システムにおいて、該複数の中継装置の負荷を均一にし、システムの処理効率を向上させることができる。
【発明を実施するための最良の形態】
【００１７】
本発明の具体的な実施の形態を説明する前に、まず本発明にかかる技術の原理を説明する。
図１は、本発明にかかる技術を説明するための暗号化通信システムの例を示す模式図である。この暗号化通信システム１００は、中継装置１１０と、中継装置１２０と、中継装置１３０と、管理装置１５０を有する。３つの中継装置は、異なるネットワークにあるクライアント１１１と、クライアント１２１と、クライアント１３１間の通信を中継し、管理装置１５０により管理される。管理装置１５０は、負荷状況監視部１５１と、中継装置選択部１５２と、制御部１５３を備える。
【００１８】
中継装置１１０は、クライアント１１１があるネットワークのゲートウェイとして機能し、クライアント１１１と、他のネットワークにあるクライアント間に送受信されるフレームの転送を行う。クライアント１１１は、他のネットワークにあるクライアントと暗号化通信を行う際に、中継装置１１０に暗号化通信を要求する。中継装置１１０は、クライアント１１１との間の暗号鍵と復号鍵を所有している。なお、この暗号鍵と復号鍵は、予め設定されたものであってもよいし、暗号化通信の度に作成されるものであってもよい。
【００１９】
中継装置１２０は、クライアント１２１があるネットワークのゲートウェイとして機能し、クライアント１２１と、他のネットワークにあるクライアント間に送受信されるフレームの転送を行う。クライアント１２１は、他のネットワークにあるクライアントと暗号化通信を行う際に、中継装置１２０に暗号化通信を要求する。中継装置１２０は、クライアント１２１との間の暗号鍵と復号鍵を所有している。なお、この暗号鍵と復号鍵は、予め設定されたものであってもよいし、暗号化通信の度に作成されるものであってもよい。
【００２０】
中継装置１３０は、クライアント１３１があるネットワークのゲートウェイとして機能し、クライアント１３１と、他のネットワークにあるクライアント間に送受信されるフレームの転送を行う。クライアント１３１は、他のネットワークにあるクライアントと暗号化通信を行う際に、中継装置１３０に暗号化通信を要求する。中継装置１３０は、クライアント１３１との間の暗号鍵と復号鍵を所有している。なお、この暗号鍵と復号鍵は、予め設定されたものであってもよいし、暗号化通信の度に作成されるものであってもよい。
【００２１】
ここで、クライアント１１１がクライアント１３１との間の暗号化通信を中継装置１１０に要求した場合を例にして、クライアント１１１、クライアント１３１、各中継装置、および管理装置１５０を説明する。
【００２２】
中継装置１１０が、クライアント１１１から暗号化通信要求を受信すると、この暗号化通信要求を管理装置１５０に転送する。
【００２３】
管理装置１５０において、負荷状況監視部１５１は、中継装置１１０、中継装置１２０、中継装置１３０の負荷状況を監視している。
【００２４】
中継装置選択部１５２は、中継装置１１０から転送されてきた暗号化通信要求に対して、負荷状況監視部１５１の監視結果に基づいて、中継装置の負荷が均一になるように、クライアント１１１とクライアント１３１間の暗号化通信の際に、送信側のクライアントが送信するフレームの復号処理と、復号された該フレームに対して受信側のクライアントが解読可能な暗号化処理を行う中継装置の選択を行う。例えば、この３つの中継装置のうち、負荷が最も小さい中継装置を選択する。
【００２５】
中継装置選択部１５２は、上記復号処理を行う中継装置（以下復号中継装置という）と、上記暗号化処理を行う中継装置（以下暗号化中継装置という）として、同一の中継装置を選択するようにしてもよいし、別々の中継装置を選択するようにしてもよい。ここで、まず中継装置選択部１５２が復号中継装置と暗号化中継装置として、同一の中継装置を選択する場合について説明する。
中継装置選択部１５２は、３つの中継装置のいずれを選択する。
【００２６】
１．中継装置１１０の負荷が最も小さいために、中継装置１１０が選択された場合。
クライアント１１１から送信される暗号化フレームを、クライアント１３１が解読可能な暗号化フレームに変換するために、クライアント１１１との間の復号鍵と、クライアント１３１との間の暗号鍵が必要である。中継装置１１０がクライアント１１１との間の復号鍵を所有しているが、クライアント１３１との間の暗号鍵を所有していない。そのため、管理装置１５０における制御部１５３は、復号処理と暗号化処理を行うように中継装置１１０に指示すると共に、クライアント１３１との間の暗号鍵を所有する中継装置１３０に、該暗号鍵を中継装置１１０への転送を指示する。
【００２７】
中継装置１３０は、制御部１５３の指示に従って、クライアント１３１との間の暗号鍵を中継装置１１０に転送する。
【００２８】
中継装置１１０と中継装置１３０間にさらに暗号化通信チャネルを確立させるための処理が行われるが、この処理は通常の中継装置が行われるものと同じであるので、ここで説明を省略する。
【００２９】
暗号化通信チャネルが確立した後、クライアント１１１は、クライアント１３１に送信するフレームを暗号化して中継装置１１０に出力する。中継装置１１０は、受信した暗号化フレームを、所有する復号鍵で復号する。そして、復号したフレームに対して、中継装置１３０から転送されてきた暗号鍵で暗号化して中継装置１３０に送信する。
【００３０】
中継装置１３０は、受信した暗号化フレームをそのままクライアント１３１に転送する。クライアント１３１に転送されたフレームは、クライアント１３１との間の暗号鍵で暗号化されているので、クライアント１３１は、それを復号することができる。
【００３１】
図２は、この場合の暗号化通信路を示す。図２における太線は、クライアント１１１からクライアント１３１に送信されるフレームが暗号化されている区間を示し、太線先端の黒点は、該フレームが暗号化または復号される場所を示す。なお、中継装置１１０と中継装置１３０間には中継装置１２０が介在する可能性があるが、これについては後述する。
【００３２】
図２に示すように、中継装置１１０は、クライアント１１１からの暗号化フレームを復号すると共に、復号されたフレームに対して、クライアント１３１へ送信するための暗号化処理を行う。中継装置１３０は、フレームの転送のみを行う。また、中継装置１２０が介在する場合は、中継装置１２０もフレームの転送のみを行う。
【００３３】
２．中継装置１３０の負荷が最も小さいために、中継装置１３０が選択された場合。
中継装置１３０がクライアント１３１との間の暗号鍵を所有しているが、クライアント１１１との間の復号鍵を所有していない。そのため、制御部１５３は、復号処理と暗号化処理を行うように中継装置１３０に指示すると共に、クライアント１１１との間の復号鍵を所有する中継装置１１０に、該復号鍵を中継装置１３０への転送を指示する。
【００３４】
中継装置１１０は、制御部１５３の指示に従って、クライアント１１１との間の復号鍵を中継装置１３０に転送する。
【００３５】
その後、上述した１の場合に中継装置１１０が行う復号処理と暗号化処理は、中継装置１３０により行われる。図３に示すように、この場合、負荷が最も小さい中継装置１３０は、中継装置１３０は、クライアント１１１からの暗号化フレームを復号すると共に、復号されたフレームに対して、クライアント１３１へ送信するための暗号化処理を行う。中継装置１１０は、フレームの転送のみを行う。また、中継装置１２０が介在する場合は、中継装置１２０も、フレームの転送のみを行う。
【００３６】
３．中継装置１２０の負荷が最も小さいために、中継装置１２０が選択された場合。
中継装置１２０は、クライアント１１１との間の復号鍵、クライアント１３１との暗号鍵のいずれも所有していない。そのため、制御部１５３は、復号処理と暗号化処理を行うように中継装置１２０に指示すると共に、クライアント１１１との間の復号鍵を所有する中継装置１１０に、該復号鍵を中継装置１２０への転送を指示し、クライアント１３１との間の暗号鍵所有する中継装置１３０に、該暗号鍵を中継装置１２０への転送を指示する。
【００３７】
中継装置１１０は、制御部１５３の指示に従って、クライアント１１１との間の復号鍵を中継装置１２０に転送する。また、中継装置１３０も、制御部１５３の指示に従って、クライアント１３１との間の暗号鍵を中継装置１２０に転送する。
【００３８】
その後、上述した１の場合に中継装置１１０、または上述した２の場合に中継装置１３０が行う暗号化処理と復号処理は、中継装置１２０により行われる。図４に示すように、この場合、負荷が最も小さい中継装置１２０は、この場合、負荷が最も小さい中継装置１２０は、クライアント１１１からの暗号化フレームを復号すると共に、復号されたフレームに対して、クライアント１３１へ送信するための暗号化処理を行う。中継装置１１０と中継装置１３０は、フレームの転送のみを行う。
【００３９】
このように、複数の中継装置のうちの負荷が最も小さい中継装置が、クライアント１１１とクライアント１３１間の暗号化通信に伴う暗号化処理と復号処理を行うことにより、３つの中継装置の負荷の偏りを防ぐことができ、システムの処理効率向上を図ることができる。
【００４０】
次いで、管理装置１５０の中継装置選択部１５２が復号中継装置と暗号化中継装置として、異なる中継装置を選択する場合について説明する。
【００４１】
１．中継装置１３０の負荷が中継装置１１０と中継装置１２０の負荷より大きいために、中継装置１１０が復号中継装置として選択され、中継装置１２０が暗号化中継装置として選択された場合。
【００４２】
この場合、中継装置１３０から、クライアント１３１との間の暗号鍵が中継装置１２０に転送される。図５に示すように、中継装置１１０は、クライアント１１１からの暗号化フレームを復号して中継装置１２０に送信する。中継装置１２０は、このフレームに対して、中継装置１３０から転送された暗号鍵で暗号化して中継装置１３０に送信する。中継装置１３０は、この暗号化フレームをそのままクライアント１３１に転送する。すなわち、中継装置１１０と中継装置１２０は、復号処理と暗号化処理をそれぞれ行い、中継装置１３０は、フレームの転送のみを行う。
【００４３】
２．中継装置１１０の負荷が中継装置１２０と中継装置１３０の負荷より大きいために、中継装置１２０が復号中継装置として選択され、中継装置１３０が暗号化中継装置として選択された場合。
【００４４】
この場合、中継装置１１０から、クライアント１１１との間の復号鍵が中継装置１２０に転送される。図６に示すように、中継装置１１０は、クライアント１１１からの暗号化フレームをそのまま中継装置１２０に送信する。中継装置１２０は、このフレームを、中継装置１１０から転送された復号鍵で復号して中継装置１３０に送信する。中継装置１３０は、このフレームを、クライアント１３１との間の暗号鍵で暗号化してクライアント１３１に送信する。すなわち、中継装置１２０と中継装置１３０は、復号処理と暗号化処理をそれぞれ行い、中継装置１１０は、フレームの転送のみを行う。
【００４５】
３．中継装置１２０の負荷が中継装置１１０と中継装置１３０の負荷より大きいために、中継装置１１０が復号中継装置として選択され、中継装置１３０が暗号化中継装置として選択された場合。
【００４６】
この場合、復号中継装置として選択された中継装置１１０がクライアント１１１との間の復号鍵を有し、暗号化中継装置として選択された中継装置１３０がクライアント１３１との間の暗号鍵を有するため、鍵の転送は生じない。図７に示すように、中継装置１１０は、クライアント１１１からの暗号化フレームを復号して中継装置１３０に送信する。中継装置１３０は、このフレームに対して、クライアント１３１との間の暗号鍵で暗号化してクライアント１３１に転送する。すなわち、中継装置１１０と中継装置１３０は、復号処理と暗号化処理をそれぞれ行う。なお、中継装置１２０が介在する場合には、中継装置１２０は、フレームの転送のみを行う。
【００４７】
このように、複数の中継装置のうちの負荷が小さい２つの中継装置が、クライアント１１１とクライアント１３１間の暗号化通信に伴う暗号化処理と復号処理をそれぞれ行うことにより、３つの中継装置の負荷の偏りを防ぐことができ、システムの処理効率向上を図ることができる。
【００４８】
復号中継装置と暗号化中継装置として別々の中継装置と選択することは、各中継装置が共に負荷が大きい場合に特に有利である。この場合、相対的に負荷が小さい２つの中継装置に復号処理と暗号化処理を分担させることにより、システムの処理効率の低下を防ぐことができる。
【００４９】
なお、この場合、復号中継装置と暗号化中継装置が異なるため、復号中継装置と暗号化中継装置間のフレームが暗号化されていないものとなる。従って、例えば、復号中継装置と中継装置間の通信路に私設ネットワークのみが存在し、この通信路を流れるフレームが暗号化されていなくてもセキュリティの面においてそれほど問題が無いなどの場合においてのみこの手法を適用することが好ましい。
【００５０】
管理装置１５０は、上述した暗号化中継装置と復号中継装置の選択以外に、さらに最適な通信経路を選択することが好ましい。この最適な通信経路は、例えば暗号化通信する２つのクライアント間の最短経路、具体的には経由する中継装置の数が最も少ない通信経路とすることができる。この場合の管理装置は、図８に示す管理装置１５０Ａとなる。図示のように、管理装置１５０Ａは、負荷状況監視部１５１と、中継装置選択部１５２Ａと、制御部１５３と、通信経路選択部１５４を有する。負荷状況監視部１５１と制御部１５３は、図１に示す管理装置１５０における負荷状況監視部１５１と制御部１５３と同様のものである。通信経路選択部１５４は、通信される２つのクライアント間の最短経路を選択し、中継装置選択部１５２Ａは、通信経路選択部１５４により選択した通信経路上の中継装置から暗号化中継装置と復号中継装置を選択する。例えば、クライアント１１１とクライアント１３１との間の可能な通信路は、「中継装置１１０−中継装置１２０−中継装置１３０」と、「中継装置１１０−中継装置１３０」の２つある。このとき、「中継装置１１０−中継装置１２０−中継装置１３０」の通信経路よりも、「中継装置１１０−中継装置１３０」の通信経路を選択することが好ましい。
こうすることにより、フレームの転送経路が短くなるため、通信効率が向上する。
【００５１】
以下、実施の形態を用いて本発明の技術をより具体的に説明する。
図９は、本発明の実施の形態にかかる暗号化通信システム２００を示す。暗号化通信システム２００は、中継装置２１０と、中継装置２３０、管理サーバ２５０を有する。中継装置２１０と中継装置２３０は、クライアント２１５があるネットワードと、クライアント２３５があるネットワーク間の通信を中継し、管理サーバ２５０により管理される。
【００５２】
中継装置２１０は、負荷通知部２１１と通信部２１２を備え、クライアント２１５があるネットワークのゲートウェイとして機能する。負荷通知部２１１は、中継装置２１０の負荷状況を定期的に管理サーバ２５０に送信し、通信部２１２は、クライアント２１５との間の暗号鍵と復号鍵を所有している。
【００５３】
中継装置２３０は、負荷通知部２３１と通信部２３２を備え、クライアント２３５があるネットワークのゲートウェイとして機能する。負荷通知部２３１は、中継装置２３０の負荷状況を定期的に管理サーバ２５０に送信し、通信部２３２は、クライアント２３５との間の暗号鍵と復号鍵を所有している。
【００５４】
管理サーバ２５０は、負荷状況監視部２５１と、中継装置選択部２５２と、制御部２５３を備える。負荷状況監視部２５１は、負荷通知部２１１と負荷通知部２３１から送信されてきたそれぞれの中継装置の負荷状況を更新しながら保持して中継装置選択部２５２に供する。中継装置選択部２５２は、異なるネットワークにあるクライアント間に暗号化通信が行われる際に、負荷状況監視部２５１に保持された各中継装置の最新の負荷状況に基づいて、中継装置２１０と中継装置２３０の負荷が均一になるように、送信側のクライアントが送信するフレームの復号処理と、復号された該フレームに対して受信側のクライアントが解読可能な暗号化処理を行う中継装置の選択を行う。本実施の形態において、中継装置２１０と中継装置２３０から、負荷が小さい方の中継装置を選択する。
【００５５】
ここで、クライアント２１５がクライアント２３５と暗号化通信を行うため、中継装置２１０に暗号化通信要求した場合を例にして、通信部２１２、中継装置選択部２５２、制御部２５３、通信部２３２の処理を具体的に説明する。
【００５６】
図１０は、この場合のフローチャートを示す。なお、分かりやすいように、図１０において、負荷通知部２１１と負荷通知部２３１による負荷通知のステップを省略している。
【００５７】
クライアント２１５は、クライアント２３５と暗号化通信をするために、中継装置２１０の通信部２３２に暗号化通信要求を送信する（Ｓ１０）。通信部２３２は、この暗号化通信要求を管理サーバ２５０の制御部２５３に転送する（Ｓ１２）。制御部２５３は、この暗号化通信要求により要求される通信の復号処理と暗号化処理を行う中継装置を中継装置選択部２５２に選択させ、中継装置選択部２５２は、負荷状況監視部２５１に保持された各中継装置の最新負荷状況に基づいて、負荷が小さい方の中継装置を選択して制御部２５３に通知する（Ｓ１４）。ここで、例として、中継装置２１０が選択されたとする。
【００５８】
制御部２５３は、クライアント２３５との間の暗号鍵を中継装置２１０に転送することを中継装置２３０の通信部２３２に指示すると共に、復号処理と暗号化処理を行うことを中継装置２１０の通信部２１２に指示する（Ｓ１６、Ｓ１８）。なお、分かりやすいように、中継装置２３０と中継装置２１０への指示タイミングが異なるが、同時であってもよい。
【００５９】
中継装置２３０の通信部２３２は、ステップＳ１６における指示を受信すると、それに従って、クライアント２３５との間の暗号鍵を中継装置２１０に転送する（Ｓ２０）。
【００６０】
中継装置２１０の通信部２１２は、中継装置２３０からの暗号鍵を保持すると共に、暗号化チャネルの確立をもってクライアント２１５に暗号化通信の開始を通知する（Ｓ２２）。
【００６１】
開始通知を受信したクライアント２１５は、暗号化したフレームを中継装置２１０に送信する（Ｓ２４）。中継装置２１０の通信部２１２は、クライアント２１５との間の暗号鍵を用いてこの暗号化フレームを復号すると共に、中継装置２３０からの暗号鍵で再度暗号化して中継装置２３０に送信する（Ｓ２６）。
【００６２】
中継装置２３０の通信部２３２は、中継装置２１０からの暗号化フレームをそのままクライアント２３５に転送する（Ｓ２８）。クライアント２３５は、通信部２３２が転送してきた暗号化フレームを復号する（Ｓ３０）。
【００６３】
図１１は、この場合の暗号化通信路を示す。図示のように、中継装置２１０は、クライアント２１５からの暗号化フレームを復号すると共に、復号されたフレームに対して、クライアント２３５へ送信するための暗号化処理を行う。中継装置２３０は、フレームの転送のみを行う。
【００６４】
このように、本実施の形態の暗号化通信システム２００によれば、複数の中継装置を有する暗号化通信システムにおいて、該複数の中継装置の負荷を均一にし、システムの処理効率を向上させることができる。
【００６５】
以上、実施の形態をもとに本発明を説明した。実施の形態は例示であり、本発明の主旨から逸脱しない限り、さまざまな変更、増減を加えてもよい。これらの変更、増減が加えられた変形例も本発明の範囲にあることは当業者に理解されるところである。
【図面の簡単な説明】
【００６６】
【図１】本発明にかかる技術の原理を説明するための暗号化通信システムの模式図である。
【図２】図１に示す暗号化通信システムにおける暗号化通信路の例を示す図である（その１）。
【図３】図１に示す暗号化通信システムにおける暗号化通信路の例を示す図である（その２）。
【図４】図１に示す暗号化通信システムにおける暗号化通信路の例を示す図である（その３）。
【図５】図１に示す暗号化通信システムにおける暗号化通信路の例を示す図である（その４）。
【図６】図１に示す暗号化通信システムにおける暗号化通信路の例を示す図である（その５）。
【図７】図１に示す暗号化通信システムにおける暗号化通信路の例を示す図である（その６）。
【図８】図１に示す暗号化通信システムにおける管理装置の他の構成例を示す図である。
【図９】本発明の実施の形態にかかる暗号化通信システムを示す図である。
【図１０】図９に示す暗号化通信システムの処理例を示すフローチャートである。
【図１１】図１１に示す処理例に対応する暗号化通信路を示す図である。
【図１２】従来の暗号化通信システムを示す図である。
【符号の説明】
【００６７】
１０  サーバ  ２０  クライアント
３０  ＶＰＮゲートウェイ  １００  暗号化通信システム
１１０  中継装置  １１１  クライアント
１２０  中継装置  １２１  クライアント
１３０  中継装置  １３１  クライアント
１５０  管理装置  １５０Ａ  管理装置
１５１  負荷状況監視部  １５２  中継装置選択部
１５２Ａ  中継装置選択部  １５３  制御部
１５４  通信経路選択部  ２００  暗号化通信システム
２１０  中継装置  ２１１  負荷通知部
２１２  通信部  ２１５  クライアント
２３０  中継装置  ２３１  負荷通知部
２３２  通信部  ２３５  クライアント
２５０  管理サーバ  ２５１  負荷状況監視部
２５２  中継装置選択部  ２５３  制御部
【図１】
2009182427.tif 000003
【図２】
2009182427.tif 000004
【図３】
2009182427.tif 000005
【図４】
2009182427.tif 000006
【図５】
2009182427.tif 000007
【図６】
2009182427.tif 000008
【図７】
2009182427.tif 000009
【図８】
2009182427.tif 000010
【図９】
2009182427.tif 000011
【図１０】
2009182427.tif 000012
【図１１】
2009182427.tif 000013
【図１２】
2009182427.tif 000014