パケット転送システム、パケット転送方法、通信装置及びパケット転送プログラム
【課題】従来のＧＲＥ ｏｖｅｒ ＩＰｓｅｃ通信方式よりも、パケットのヘッダサイズを小さくして暗号パケットを伝送することができ、かつ、トンネル確立工程を少なくしてパケット伝送することができるようにする。
【解決手段】本発明のパケット転送システムは、第１の通信装置と、第１の通信装置に対向する第２の通信装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送するパケット転送システムにおいて、第１の通信装置が、鍵交換プロトコルによる第２の通信装置との間のネゴシエーションの際、自装置が要求するカプセル方式を第２の通信装置に通知するモード通知手段を有し、第２の通信装置が、第１の通信装置の要求するカプセル方式を認識するモード認識手段を有し、第１の通信装置及び第２の通信装置は、鍵交換プロトコルを用いて、カプセル方式によるトンネルを設定するトンネル設定手段を有することを特徴とする。
【解決手段】本発明のパケット転送システムは、第１の通信装置と、第１の通信装置に対向する第２の通信装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送するパケット転送システムにおいて、第１の通信装置が、鍵交換プロトコルによる第２の通信装置との間のネゴシエーションの際、自装置が要求するカプセル方式を第２の通信装置に通知するモード通知手段を有し、第２の通信装置が、第１の通信装置の要求するカプセル方式を認識するモード認識手段を有し、第１の通信装置及び第２の通信装置は、鍵交換プロトコルを用いて、カプセル方式によるトンネルを設定するトンネル設定手段を有することを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムに関し、例えば、仮想プライベートネットワーク（ＶＰＮ：Vertual Private Network）上でパケット転送を実現するパケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムに適用し得るものである。
【背景技術】
【０００２】
従来、仮想プライベートネットワークを用いて、ＶＰＮゲートウェイ装置間でパケット転送を実現する方法の１つとして、例えばＧＲＥ Ｏｖｅｒ ＩＰＳｅｃ通信方式があり（特許文献１、非特許文献１参照）、この通信方式が広く利用されている。
【０００３】
ＧＲＥ（Generic Routing Encapsulation）とはトンネルプロトコルの１つであり、ＩＥＴＦのＲＦＣ１７０１、ＲＦＣ２７８４で規定されている標準化技術である。
【０００４】
ＧＲＥトンネリングでは、トンネルの両端のＶＰＮゲートウェイ装置が、任意のプロトコルをＩＰ（Internet Protocol）トンネル内でカプセル化してパケット転送を行い、又受信したパケットのカプセル化の解除を行う。そのため、トンネルの両端のＶＰＮゲートウェイ装置が、直結したパケット転送を行うように見える。
【０００５】
しかし、ＧＲＥは、暗号化機能を備えていない。そのため、ルーティングセキュリティが保たれても、データそのものに対するセキュリティが保たれていない。そこで、データの安全性を保つために、図２に示すようにＧＲＥ Ｏｖｅｒ ＩＰｓｅｃを用いている。
【０００６】
ここで、ＩＰｓｅｃ（Security Architecture For Internet Protocol）は、暗号技術を用いてＩＰパケット単位のデータの改竄防止や秘匿性等を提供するプロトコルである。
【０００７】
ＩＰｓｅｃでは、ＡＨ（Authentication Header）とＥＳＰ（Encapsulating Security Payload）といつ２つのセキュリティプロトコルが定義されている。ＡＨは、パケットの認証機能を提供し、ＥＳＰは、パケットの認証機能と暗号化機能を提供するものであり、セキュリティポリシーに応じていずれかの機能を選択することができる。
【０００８】
また、ＩＰｓｅｃの動作モードとしては、トランスポートモードとトンネルモードとがある。トランスポートモードは、元のＩＰパケットのペイロードのみをＩＰｓｅｃのパケットにカプセル化するモードであり、トンネルモードは、元のＩＰパケットの全てをＩＰｓｅｃのパケットにカプセル化するモードである。
【０００９】
ＧＲＥ Ｏｖｅｒ ＩＰｓｅｃ通信を行う際、ＶＰＮゲートウェイ装置間でＧＲＥトンネルを確立した後、そのＧＲＥトンネル上を流れるパケットをトランスポートモードのＩＰｓｅｃを利用して暗号化していた。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００８−３０６７２５号公報
【非特許文献】
【００１１】
【非特許文献１】シスコシステムズ合同会社、テクニカルサポート、「ＧＲＥ Ｏｖｅｒ ＩＰＳｅｃＶＰＮを用いたＬＡＮ−ｔｏ−ＬＡＮ接続設定例」、２００６年１月２７日初版、インターネット検索、http://www.cisco.com/JP/support/public/loc/tac/100/1005663/gre_overipsec.shtml
【発明の概要】
【発明が解決しようとする課題】
【００１２】
上述したＧＲＥトンネリングは、カプセル化されるプロトコルとして、ＩＰ、ＩＰＸ、Ａｐｐｌｅ Ｔａｌｋ、ＣＬＮＳ、ＤＥＣｎｅｔ、ＶＩＮＥＳ、Ｂａｎｙａｎなど様々なレイヤ３プロトコルを利用することができる。
【００１３】
しかしながら、ネットワークプロトコルにＩＰのみを採用している環境において、従来のようなＧＲＥ ｏｖｅｒ ＩＰｓｅｃ方式を行うと、ＧＲＥトンネルの確立後に、暗号化処理を行うため、図３に示すように、転送されるパケットサイズはトンネルモードのＩＰｓｅｃパケットに比べて、ＧＲＥヘッダサイズ（８Ｂｙｔｅ）分オーバヘッドが増加してしまうという問題がある。
【００１４】
また、ＧＥＲ ｏｖｅｒ ＩＰｓｅｃ通信を確立する際、オペレータ（ＶＰＮゲートウェイ装置）は、
（ａ）ＧＲＥトンネル確立
（ｂ）ＩＫＥ等の鍵交換プロトコルの設定
と２段階の手順を踏まなければならなかった。
【００１５】
そのため、従来のＧＲＥ ｏｖｅｒ ＩＰｓｅｃ通信方式よりも、パケットのヘッダサイズを小さくして暗号パケットを伝送することができ、かつ、トンネル確立工程を少なくしてパケット伝送することができるパケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムが求められている。
【課題を解決するための手段】
【００１６】
かかる課題を解決するために、第１の本発明のパケット転送システムは、第１の通信装置と、第１の通信装置に対向する第２の通信装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送するパケット転送システムにおいて、（１）第１の通信装置が、鍵交換プロトコルによる第２の通信装置との間のネゴシエーションの際、自装置が要求するカプセル方式を第２の通信装置に通知するモード通知手段を有し、（２）第２の通信装置が、第１の通信装置の要求するカプセル方式を認識するモード認識手段を有し、（３）第１の通信装置及び第２の通信装置は、鍵交換プロトコルを用いて、カプセル方式によるトンネルを設定するトンネル設定手段を有することを特徴とする。
【００１７】
第２の本発明のパケット転送方法は、第１の通信装置と、第１の通信装置に対向する第２の通信装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送するパケット転送方法において、（１）第１の通信装置が、鍵交換プロトコルによる第２の通信装置との間のネゴシエーションの際、自装置が要求するカプセル方式を第２の通信装置に通知するモード通知工程と、（２）第２の通信装置が、第１の通信装置の要求するカプセル方式を認識するモード認識工程と、（３）第１の通信装置及び第２の通信装置は、鍵交換プロトコルを用いて、カプセル方式によるトンネルを設定するトンネル設定工程とを有することを特徴とする。
【００１８】
第３の本発明の通信装置は、対向装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送する通信装置において、（１）鍵交換プロトコルにより対向装置との間でネゴシエーションを行うネゴシエーション手段と、（２）ネゴシエーション手段による対向装置との間のネゴシエーションの際、自装置が要求するカプセル方式を対向装置に通知するモード通知手段と、（３）対向装置の要求するカプセル方式を認識するモード認識手段と、（４）鍵交換プロトコルを用いて、カプセル方式によるトンネルを設定するトンネル設定手段とを備えることを特徴とする。
【００１９】
第４の本発明のパケット転送プログラムは、対向装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送する通信装置を、（１）鍵交換プロトコルにより対向装置との間でネゴシエーションを行うネゴシエーション手段、（２）ネゴシエーション手段による対向装置との間のネゴシエーションの際、自装置が要求するカプセル方式を対向装置に通知するモード通知手段、（３）対向装置の要求するカプセル方式を認識するモード認識手段、（４）鍵交換プロトコルを用いて、カプセル方式によるトンネルを設定するトンネル設定手段として機能させることを特徴とする。
【発明の効果】
【００２０】
本発明によれば、従来方式（ＧＲＥ ｏｖｅｒ ＩＰｓｅｃ通信方式）よりも、パケットのヘッダサイズを小さくして暗号パケットを伝送することができ、かつ、トンネル確立工程を少なくしてパケット伝送することができる。
【図面の簡単な説明】
【００２１】
【図１】第１の実施形態の通信装置の内部構成を示す内部構成図である。
【図２】従来のＧＲＥ ｏｖｅｒ ＩＰｓｅｃ通信を説明する説明図である。
【図３】従来のＧＲＥ ｏｖｅｒ ＩＰｓｅｃのパケットサイズを示す図である。
【図４】第１の実施形態のパケット転送システムの構成を示す構成図である。
【図５】第１の実施形態のトンネル設定部の機能構成を示すブロック図である。
【図６】第１の実施形態のネゴシエーション部の機能構成を示すブロック図である。
【図７】第１の実施形態のセキュリティポリシーの構成例を示す構成図である。
【図８】第１の実施形態のセキュリティアソシエーションの構成例を示す構成図である。
【図９】第１の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。
【図１０】第１の実施形態の通信装置における処理を示すフローチャートである。
【図１１】ＩＫＥｖ１のメッセージの構成を説明する説明図である。
【図１２】第２の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。
【図１３】第３の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。
【図１４】第３の実施形態の通信装置における処理を示すフローチャートである。
【発明を実施するための形態】
【００２２】
（Ａ）第１の実施形態
以下では、本発明のパケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムの第１の実施形態を、図面を参照しながら説明する。
【００２３】
第１の実施形態は、本発明を利用して、例えば、ネットワークプロトコルとしてＩＰを採用する環境において、ＩＰパケットをインターネットプロトコル（ＩＰ）でカプセル化してトンネル内をパケット転送するパケット転送システムのＩＰＩＰトンネル確立処理を実現する実施形態を例示する。
【００２４】
なお、本発明は、後述するようにＩＰＩＰトンネルを確立するものであり、例えば、ＩＥＴＦのＲＦＣ１８５３「IP in Tunneling」の規定等に適用することができる。ＲＦＣ１８５３では、ＩＰヘッダを他のＩＰヘッダで単純に包むことが提案されており、ＩＰＩＰトンネルのパケットのカプセル化形式が示されている。
【００２５】
また、本発明は、ＩＰヘッダを他のヘッダで包む観点で捉えるならば、ＲＦＣ１８５３をモバイルＩＰ（Ｍｏｂｉｅ ＩＰ）向けに拡張したＲＦＣ２００３「IP Encapsulation within IP」の規定等にも適用できる。
【００２６】
（Ａ−１）第１の実施形態の構成
図４は、第１の実施形態のパケット転送システム５の構成を示す構成図である。図４に示すように、ネットワーク２０及びサブネットＡに接続する通信装置１０−１と、ネットワーク２０及びサブネットＢに接続する通信装置１０−２を備える。
【００２７】
ネットワーク２０は、例えばインターネットに代表されるように、通信プロトコルをインターネットプロトコル（ＩＰ）とする通信網を想定し、例えば拠点間のパケット転送を行うＷＡＮ（Wide Area Network）が該当する。
【００２８】
サブネットＡ及びサブネットＢは、例えば通信プロトコルをインターネットプロトコル（ＩＰ）とする通信網を想定し、例えばローカルエリアネットワーク（ＬＡＮ）等のサブネットワークが該当する。
【００２９】
通信装置１０−１及び通信装置１０−２は、対向する通信装置との間で、所定のトンネルプロトコルに従ってトンネルを確立してパケット転送を行う通信装置であり、例えば、ＶＰＮゲートウェイ装置やＶＰＮルータ装置などのパケット転送装置を適用することができる。
【００３０】
また、通信装置１０−１及び通信装置１０−２は、暗号化処理に係る鍵交換プロトコルに従ったネゴシエーションの際に、自装置が利用するカプセル化方式（カプセル化モード）を対向装置に通知し、又自装置が対向装置から通知されたカプセル化方式に対応可能である場合にはその旨を応答し、鍵交換後に、上記カプセル化方式に従ったトンネルを確立するものである。
【００３１】
ここで、第１の実施形態では、所定のトンネルプロトコルとしてＩＰｓｅｃを適用し、鍵交換プロトコルとしてＩＫＥｖ１（Internet Key Exchange Protocol version 1）を適用するものとする。
【００３２】
また、図４に示すように、ネットワークプロトコルとしてＩＰのみを利用する場合であり、通信装置１０−１及び通信装置１０−２が、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立する場合を中心に説明する。ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することで、自装置と対向装置との間で特定のパケットを暗号化することができる。
【００３３】
図１は、通信装置１０−１及び通信装置１０−２の内部構成を示す内部構成図である。なお、通信装置１０−１と通信装置１０−２との内部構成は同一であり、共通する構成要素を説明する場合には「通信装置１０」と示して説明する。
【００３４】
図１において、通信装置１０は、ユーザインタフェース部１００、プログラム部２００、ネットワークスタック部３００を少なくとも有して構成される。
【００３５】
ユーザインタフェース部１００は、ユーザによる所定の設定情報の入力を受け付ける処理部又は装置である。ユーザインタフェース部１００は、例えば、ＨＴＴＰ（HyperText Transfer Protocol）サーバ等を利用したＧＵＩ（Graphical User Interface）を適用することができ、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立するために必要な設定情報の入力を行う。
【００３６】
ここで、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立するために必要な設定情報としては、主として、ＩＰＩＰトンネル確立に係る設定情報と、鍵交換プロトコルの設定に係る設定情報とがある。
【００３７】
ＩＰＩＰトンネル確立に係る設定情報（トンネル確立設定情報）としては、具体的に、（ａ）対向装置のアドレス（ＩＰアドレス等）、（ｂ）自装置のアドレス（ＩＰアドレス等）、（ｃ）ＩＰＩＰトンネルのアドレス（例えば、自装置のサブネット側ネットワークアドレスに属すアドレス等）、（ｄ）ＩＰＩＰトンネルに流したいトラフィックのルーティング設定（例えば、対向装置のサブネットを指定する情報等）等がある。
【００３８】
また、鍵交換プロトコルの設定に係る設定情報（鍵交換設定情報）としては、具体的に、（ｅ）対向装置のアドレス（ＩＰアドレス等）、（ｆ）自装置のアドレス（ＩＰアドレス等）、（ｇ）事前鍵共有方式（ＰＳＫ：Pre Shared Key）認証用パフフレーズ（パスワード）又はＲＳＡ認証用デジタル証明書等がある。
【００３９】
ユーザインタフェース部１００は、上記のような設定情報の入力を受け付け、入力された設定情報をプログラム部２００の鍵交換管理部２１０に与える。なお、鍵交換管理部２１０では、上記設定情報の入力について、「（ａ）と（ｅ）」、「（ｂ）と（ｆ）」は同じ値が設定されるため、一方が設定されたら、他方に同じ値を自動挿入するようにする。これにより、オペレータの設定作業を軽減することができる。
【００４０】
プログラム部２００は、自装置（通信装置）１０のＯＳ（オペレーティングシステム）上で実行される各処理機能部を提供するものである。プログラム部２００は、図１に示すように、鍵交換管理部２１０、ＳＰ（セキュリティポリシー）設定部２２０、ＳＡ（セキュリティアソシエーション）部２３０、トンネル設定部２４０、ネゴシエーション部２５０を少なくとも有する。
【００４１】
鍵交換管理部２１０は、ユーザインタフェース部１００からの設定情報に応じて、対向装置との間でネゴシエーション管理を行い、対向装置との間で安全に鍵交換処理を制御するものである。
【００４２】
鍵交換管理部２１０は、ユーザインタフェース部１００から受け取った鍵交換設定情報をＳＡ設定部２３０に与え、ＳＡＤ（セキュリティデータベース）３２０にセキュリティアソシエーションの設定情報の設定登録させるものである。
【００４３】
また、鍵交換管理部２１０は、ユーザインタフェース部１００から受け取ったトンネル確立設定情報をトンネル設定部２４０に与えるものである。これにより、トンネル設定部２４０は、トンネル確立設定情報を用いて対向装置との間でＩＰＩＰトンネルを確立することができる。
【００４４】
また、鍵交換管理部２１０は、ユーザインタフェース部１００からの設定情報に基づいて、今回のパケットをＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃ通信で対向装置へ伝送する場合、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを対向装置との間で確立すべき旨の指示を、ネゴシエーション部２５０及びトンネル設定部２４０に行うものである。
【００４５】
さらに、鍵交換管理部２１０は、対向装置がＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルの確立要求してきたことをネゴシエーション部２５０から受けると、トンネル設定部２４０に対して、カプセル化方式が一致するか否かを判断させ、ＩＰＩＰトンネルを対向装置との間で確立すべき旨の指示を行うものである。
【００４６】
ＳＰ設定部２２０は、ユーザインタフェース部１００からの設定情報を鍵交換管理部２１０を通じて、ネットワークスタック部３００のＳＰＤ（セキュリティポリシーデータベース）３１０にセキュリティポリシーを設定するものである。
【００４７】
ＳＡ設定部２３０は、ユーザインタフェース部１００からの設定情報（鍵交換設定情報）を鍵交換管理部２１０を通じて、ネットワークスタック部３００のＳＡＤ（セキュリティアソシエーションデータベース）３２０にセキュリティアソシエーションを設定するものである。
【００４８】
トンネル設定部２４０は、ユーザインタフェース部１００からのトンネル確立設定情報に基づいて、自装置と対向装置との間で、カプセル化モードとしてＩＰＩＰトンネルモードを利用することを認識した後、ＩＰＩＰトンネルの設定を行うものである。
【００４９】
図５は、トンネル設定部２４０の機能構成を示すブロック図である。図５に示すように、トンネル設定部２４０は、ＩＰＩＰトンネル処理起動設定部２４１、ＩＰＩＰトンネル生成部２４２、ルーティング設定部２４３、トンネル確立設定情報格納部２４４を少なくとも有する。
【００５０】
ＩＰＩＰトンネル処理起動設定部２４１は、自装置と対向装置との間で、ＩＰＩＰトンネルモードを利用すると認識すると、自装置のＯＳ上でＩＰＩＰトンネルの生成に関する処理が行えるように設定するものである。
【００５１】
例えば、自装置のＯＳがＬｉｎｕｘ（登録商標）の場合、ＩＰＩＰトンネル処理起動設定部２４１は、ＩＰ／ＩＰプロトコルデコーダ処理に関するモジュール（例えばｉｐｉｐ．ｏ等）やトンネル処理に関するモジュール（例えばｎｅｗ＿ｔｕｎｎｅｌ．ｏ（ｔｕｎｎｅｌ．ｏ）等）をローディングし、ＯＳ上でＩＰＩＰトンネルに関する処理が行えるようにする。
【００５２】
また、ＩＰＩＰトンネル処理起動設定部２４１は、上記のようにしてローティングしたＩＰＩＰトンネルの生成処理に関するモジュールが正常にローディングできたか否かを確認するものである。
【００５３】
例えば、ＩＰＩＰトンネル処理起動設定部２４１は、ロードされているモジュールの一覧にローディングしたモジュールが存在するか否かを確認することにより、正常のローディングできたか否かを判断する。
【００５４】
ＩＰＩＰトンネル生成部２４２は、ＩＰＩＰトンネルの設定準備が整うと、ＯＳ上でトンネルの通信に用いる擬似デバイス（例えばｔｕｎ１０等）の生成及び設定を行い、トンネル確立設定情報を用いて対向装置との間でＩＰＩＰトンネルを生成するものである。
【００５５】
例えば、ＩＰＩＰトンネル生成部２４２は、擬似デバイスを生成すると、対向装置のＩＰアドレスと紐付けを行うことで、ＩＰＩＰトンネルを生成する。
【００５６】
ルーティング設定部２４２は、生成したＩＰＩＰトンネルで経由するネットワークに関するルーティングの設定を行うものである。
【００５７】
例えば、ルーティング設定部２４３は、対向装置と通信するＷＡＮインタフェースである通信処理部のインタフェースＡの通信経路を、生成したＩＰＩＰトンネルで経由するように設定する。
【００５８】
トンネル確立設定情報格納部２４４は、トンネル確立設定情報を格納するものである。
【００５９】
ネゴシエーション部２５０は、鍵交換管理部２１０の制御の下、パケット処理部３３０を介して、対向装置との間で、所定の鍵交換プロトコルに従ったネゴシエーションを行うものである。
【００６０】
また、ネゴシエーション部２５０は、鍵交換管理部２１０から自装置が対向装置との愛で、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立すべく旨の指示を受けると、鍵交換プロトコルによるネゴシエーション（以下では、鍵交換ネゴシエーションともいう）の際に、自装置が利用するカプセル化方式を対向装置に通知（以下では、カプセル化モードの通知ともいう）するものである。
【００６１】
なお、第１の実施形態では、鍵交換プロトコルとしてＩＫＥｖ１を採用する場合を例示する。これは、鍵交換ネゴシエーションの手順に応じて、自装置が利用するカプセル化方式の通知手順が異なるため、第１の実施形態ではＩＫＥｖ１の場合を例示し、第２の実施形態ではＩＫＥｖ２の場合を例示する。
【００６２】
ここで、カプセル化モードの通知タイミングは、鍵交換ネゴシエーション中の場合を例示するが、鍵交換ネゴシエーション中に限らず、鍵交換ネゴシエーション後に行うようにしても良い。つまり、鍵交換ネゴシエーション後にカプセル化モードの通知を行う場合、通常のトランスポートモードのＩＰｓｅｃ暗号通信が可能なので、この暗号通信路を利用して対向装置にカプセル化モードを通知しあうことができるからである。
【００６３】
図６は、ネゴシエーション部２５０の機能構成を示すブロック図である。図６に示すように、ネゴシエーション部２５０は、動作モード通知部２５１を少なくとも有する。
【００６４】
動作モード通知部２５１は、自装置が利用するカプセル化モードを対向装置に通知するものである。また、受信したカプセル化モードの通知に対する応答を行うものである。動作モード通知部２５１は、鍵交換プロトコルのＩＫＥｖ１を拡張して、ネゴシエーションの際に対向装置との間で、カプセル化モードの通知の授受を行う。
【００６５】
次に、ネットワークスタック部３００は、一般に、通信処理を実行するＯＳ上のネットワークスタックである。ネットワークスタック部３００は、図１に示すように、ＳＰＤ３１０、ＳＡＤ３２０、パケット処理部３３０、インタフェース部Ａ３４０−１、インタフェース部Ｂ３４０−２を少なくとも有する。
【００６６】
ＳＰＤ３１０は、セキュリティポリシーを保持するデータベースである。図７は、ＳＰＤ３１０に保持されるセキュリティポリシーの構成を説明する説明図である。なお図７は、例えば、通信装置１０−１におけるセキュリティポリシーを例示する。
【００６７】
図７において、セキュリティポリシーは、セレクタとして「ローカルＩＰアドレス」及び「リモートＩＰアドレス」、「動作」、ＩＰｓｅｃ「モード」、「ＳＡリンク」等を項目として構成される。
【００６８】
なお、必要に応じて、セレクタの欄に、ローカルポート番号、リモートポート番号、上位層プロトコル等を項目を有するようにしても良い。ＩＰｓｅｃの欄に、セキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム等の項目を有するようにしても良い。
【００６９】
「ローカルＩＰアドレス」は、自装置１０−１の接続するサブネットに属する端末のアドレスを格納するものである。図７の場合、通信装置１０−２の接続するサブネットＢに属するネットワークアドレスとして、「192.168.1.0」〜「198.162.1.255」が設定されている。
【００７０】
「リモートＩＰアドレス」は、対向装置の接続するサブネットに属する端末のアドレスを格納するものである。図７の場合、対向装置の１つとして通信端末１０−２の接続するサブネットＡに属するネットワークアドレスとして、「192.168.2.0」〜「198.162.2.255」が設定されている。
【００７１】
「動作」は、動作モードを保持するものであり、例えば図７では、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃとして動作する場合を例示する。
【００７２】
「モード」は、ＩＰｓｅｃを行う場合に、トランスポートモードとするか又はトンネルモードとするかを格納するものである。図７では、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃ通信を行う際には、トランスポートを選択することが設定されている。
【００７３】
「ＳＡリンク」は、ＳＡＤ３２０におけるＳＡと対応付けるための識別子を格納するものである。図７では、鍵交換プロトコルとしてＩＫＥｖ１を採用する「１」が設定されている。
【００７４】
ＳＡＤ３２０は、セキュリティアソシエーションを保持するデータベースである。図８は、ＳＡＤ３２０に保持されるセキュリティアソシエーションの構成を説明する説明図である。なお図８は、例えば、通信装置１０−１におけるセキュリティアソシエーションを例示する。
【００７５】
図８において、セキュリティアソシエーションは、「ＳＰＩ」、「モード」、「セキュリティプロトコル」、「暗号パラメータ」、「認証パラメータ」等を項目として構成される。
【００７６】
「ＳＰＩ」は、セキュリティアソシエーションを一意に識別する識別子を格納するものである。
【００７７】
「モード」は、ＩＰｓｅｃを行う場合に、トランスポートモードとするか又はトンネルモードとするかを格納するものである。
【００７８】
「セキュリティプロトコル」は、セキュリティプロトコルを格納するものであり、例えば、ＡＨ、ＥＳＰなどの種別が格納される。
【００７９】
「暗号パラメータ」は、暗号アルゴリズムや鍵などを格納するものである。
【００８０】
「認証パラメータ」は、認証アルゴリズムや鍵などを格納するものである。
【００８１】
パケット処理部３３０は、パケットの送信処理、受信・解析処理、転送処理、暗号化・復号処理等を行う処理部又は装置である。パケット処理部３３０は、パケットの送受信時に、ＳＰＤ３１０から当該パケットのセキュリティポリシーを検索し、セキュリティポリシーがある場合には、セキュリティポリシーに紐付けされたセキュリティアソシエーションをＳＡＤ３２０から検索し、セキュリティポリシーに紐付けされた鍵を用いて、暗号化・復号処理を行い、パケット転送を行う。
【００８２】
インタフェース部Ａ３４０−１は、ネットワーク２０に接続する通信インタフェースであり、インタフェース部Ｂ３４０−２は、サブネットＡ又はＢに接続する通信インタフェースである。
【００８３】
（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のパケット転送処理の動作を図面を参照しながら説明する。
【００８４】
図９は、第１の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。また、図１０は、通信装置１０における鍵交換処理のフローチャートである。
【００８５】
なお、図９では、通信装置１０−１が、通信１０−２を対向装置として、鍵交換プロトコルにＩＫＥｖ１を拡張して、ＩＫＥｖ１のＭａｉｎモードを利用して、自動的にＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立する場合を例示する。
【００８６】
まず、通信装置１０−１において、ユーザインタフェース部１００は、ユーザによる設定情報の入力を読み込み（ステップＳ２０１）、鍵交換管理部２１０の制御の下、根後シーエーション部２５０が、対向装置である通信装置１０−２との間で鍵交換ネゴシエーションを開始する（ステップＳ２０２）。
【００８７】
鍵交換管理部２１０は、入力した設定情報に基づいて自装置のカプセル化モードを確認し、カプセル化モードがＩＰＩＰトンネルモードである場合には（ステップＳ２０３）、ＩＰＩＰトンネルモードを要求することを、対向装置１０−２とのネゴシエーション中に通知する（ステップＳ２０４）。なお、ＩＰＩＰトンネルモードでない場合には、入力した設定情報に基づく鍵交換処理が行われる。
【００８８】
このとき、通信装置１０−１と通信装置１０−２との間で鍵交換ネゴシエーションが失敗すると（ステップＳ２０３）、ネゴシエーションエラーとしてリソースの開放を行い（ステップＳ２１２）、処理は終了する。
【００８９】
一方、鍵交換ネゴシエーションが成功すると、各通信装置１０−１及び１０−２では、入力された設定情報に基づいて、ＳＰ設定部２２０がＳＰ設定を行い（ステップＳ２０６）、さらにＳＡ設定部２３０がＳＡ設定を行い（ステップＳ２０７）、鍵交換ネゴシエーションが完了する（ステップＳ２０８）。
【００９０】
ここで、図９を用いて、鍵交換ネゴシエーション中にＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立する処理を説明する。
【００９１】
図９に示すように、鍵交換管理部２１０がＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルの確立要求する場合（ステップＳ１０１）、ネゴシエーション部２５０は、ＩＫＥｖ１のＭａｉｎモードで、自装置が利用するカプセル化モードがＩＰＩＰトンネルモードであることを記載したＭａｉｎモード第１メッセージを通信装置１０−２に送信する（ステップＳ１０２）。
【００９２】
カプセル化モードの通知は、例えば、ＲＦＣ２４０７の４．５章で定義されているカプセル化モード（Ｅｎｃａｐｓｕｌａｔｉｏｎ Ｍｏｄｅ）を拡張して、カプセル化モードがＩＰＩＰトンネルモードであることを通知する。
【００９３】
例えば、図１１（Ａ）は、ＩＫＥｖ１におけるメッセージの構成例を示す構成図であり、図１１（Ｂ）は、メッセージに含まれるＴｒａｎｓｆｏｒｍペイロードの構成例を示す構成図である。ネゴシエーション部２５０は、Ｍａｉｎモード第１メッセージのＴｒａｎｓｆｏｒｍペイロードのＳＡ Ａｔｔｒｉｂｕｔｅｓ（ＳＡ属性）に、カプセル化モードがＩＰＩＰトンネルモードであること示す情報（例えば、属性値等）を記載することで通信装置１０−２に通知する方法を用いることができる。つまり、ＩＫＥｖ１プロトコルを拡張して、鍵交換ネゴシエーション中にカプセル化モードがＩＰＩＰトンネルモードであることを通知する。
【００９４】
通信装置１０−２では、通信装置１０−１からのＭａｉｎモード第１メッセージを受信し、ネゴシエーション部２５０が、通信装置１０−１のカプセル化モードとしてＩＰＩＰトンネルモードを要求することを認識し（ステップＳ１０３）、対応可能である場合に、通信装置１０−２のカプセル化モードをＩＰＩＰトンネルモードとするＭａｉｎモード第２メッセージを通信装置１０−１に応答する（ステップＳ１０４）。
【００９５】
このときも、例えば、ネゴシエーション部２５０は、Ｍａｉｎモード第２メッセージのＴｒａｎｓｆｏｒｍペイロードのＳＡ Ａｔｔｒｉｂｕｔｅｓに、カプセル化モードがＩＰＩＰトンネルモードであること示す情報を記載して通信装置１０−１に返信する。
【００９６】
その後、通信装置１０−１と通信装置１０−２との間で、通常のＩＫＥｖ１の鍵交換ネゴシエーションを行う（ステップＳ１０５）。
【００９７】
通信装置１０−１と通信装置１０−２との間で鍵交換ネゴシエーションが完了し、カプセル化モードがＩＰＩＰトンネルモードであることを確認する（ステップＳ２０９）。
【００９８】
トンネル設定部２４０は、ＩＰＩＰトンネルモードに関する処理するモジュール（例えば、ｉｐｉｐ．ｏやｔｕｎｎｅｌ．ｏ等）をローディングし、ローディングしたモジュールを確認した後、ＯＳ上で、トンネルの通信に用いる擬似デバイス（例えば、ｔｕｎ１０等）を生成・設定してＩＰＩＰトンネルを生成する（図９のステップＳ１０６、図１０のステップＳ２１０）。
【００９９】
また、トンネル設定部２４０は、生成したＩＰＩＰトンネルで経由するネットワークに関するネットワークのルーティングの設定をする（ステップＳ２１１）。
【０１００】
これにより、通信装置１０−１と通信装置１０−２との間で、双方向のＩＰＩＰトンネルが確立完了し、インタフェースＡ３４０−１においてＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃの通信が確立すると、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルが確立完了する（ステップＳ１０７）。
【０１０１】
（Ａ−３）第１の実施形態の効果
上記のように、第１の実施形態によれば、従来の方式であるＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルよりも少ないオーバヘッドで暗号パケットを伝送することができるＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することができる。
【０１０２】
また、第１の実施形態によれば、ＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルの確立にオペレータによる２段階の操作が必要だったことに対し、ＩＫＥｖ１プロトコルを拡張することで１段階の手順でＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することができる。
【０１０３】
（Ｂ）第２の実施形態
次に、本発明のパケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムの第２の実施形態を、図面を参照しながら説明する。
【０１０４】
（Ｂ−１）第２の実施形態の構成及び動作
第２の実施形態の構成は、第１の実施形態で説明した構成と同じであるから、第２の実施形態においても図１を用いて説明する。
【０１０５】
第２の実施形態が、第１の実施形態と異なる点は、鍵交換プロトコルとしてＩＫＥｖ２（Internet Key Exchange Protocol version 2）を採用する点であり、ネゴシエーション部２５０が、ＩＥＴＦのＲＦＣ４３０７に規定されているＩＫＥｖ２を拡張して、カプセル化モードの通知を行う点である。
【０１０６】
従って、以下では、ＩＫＥｖ２を利用した場合の自装置と対向装置との間のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理の動作を中心に説明する。
【０１０７】
図１２は、第２の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。なお、図１２は、拡張認証プロトコル（ＥＡＰ）による認証未使用時のシーケンス図である。
【０１０８】
通信装置１０−１の鍵交換管理部２１０は、第１の実施形態と同様に、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルの確立要求する場合（ステップＳ３０１）、後述するように、通信装置１０−２との間の鍵交換ネゴシエーションの際に、カプセル化モードの通知を行う。
【０１０９】
通信装置１０−１のネゴシエーション部２５０は、ＩＫＥｖ２のＩＫＥ＿ＳＡ＿ＩＮＩＴ第１メッセージを通信装置１０−２に送信する（ステップＳ３０２）。
【０１１０】
通信装置１０−２のネゴシエーション部２５０は、通信装置１０−１から受信したＩＫＥ＿ＳＡ＿ＩＮＩＴ第１メッセージに基づいて、通信装置１０−１がＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルの確立を要求することを認識し（ステップＳ３０３）、ＩＫＥ＿ＳＡ＿ＩＮＩＴ第２メッセージを通信装置１０−１に返信する（ステップＳ３０４）。
【０１１１】
通信装置１０−１のネゴシエーション部２５０は、ＮＯＴＩＦＩＹ ＭＥＳＳＥＡＧＥでカプセル化モードがＩＰＩＰトンネルであることを記載したＩＫＥ＿ＡＵＴＨ第１メッセージを通信装置１０−２に送信する（ステップＳ３０５）。
【０１１２】
また、通信装置１０−２のネゴシエーション部２５０は、ＮＯＴＩＦＩＹ ＭＥＳＳＡＧＥでカプセル化モードがＩＰＩＰトンネルであることを記載したＩＫＥ＿ＡＵＴＨ第２メッセージを通信装置１０−２に返信する（ステップＳ３０６）。
【０１１３】
ここで、カプセル化モードの通知は、ＲＦＣ４３０６の３．１０．１章で定義されているＮＯＴＩＦＹ ＭＥＳＳＡＧＥを拡張して、ＩＰＩＰトンネルモードであることを通知する方法を適用することができる。
【０１１４】
その後、通信装置１０−１及び通信装置１０−２では、トンネル設定部２４０が、第１の実施形態と同様にして、ＩＰＩＰトンネルモードに関する処理するモジュール（例えば、ｉｐｉｐ．ｏやｔｕｎｎｅｌ．ｏ等）をローディングし、ローディングしたモジュールを確認した後、ＯＳ上で、トンネルの通信に用いる擬似デバイス（例えば、ｔｕｎ１０等）を生成・設定してＩＰＩＰトンネルを生成する（ステップＳ３０７）。
【０１１５】
また、通信装置１０−１及び通信装置１０−２のそれぞれにおいて、トンネル設定部２４０が、生成したＩＰＩＰトンネルで経由するネットワークに関するネットワークのルーティングの設定をして、双方向のＩＰＩＰトンネルが確立完了し、インタフェースＡ３４０−１においてＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃの通信が確立すると、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルが確立完了する（ステップＳ３０８）。
【０１１６】
通信装置１０−１では、ＳＡのリキー処理を開始し（ステップＳ３０９）、ネゴシエーション部２５０が、ＮＯＴＩＦＩＹ ＭＥＳＳＥＡＧＥでカプセル化モードがＩＰＩＰトンネルであることを記載したＣＲＥＡＴＥ＿ＣＨＩＬＤ＿ＳＡ ｒｅｑｕｅｓｔを通信装置１０−２に送信する（ステップＳ３１０）。
【０１１７】
また、通信装置１０−２のネゴシエーション部２５０は、ＮＯＴＩＦＩＹ ＭＥＳＳＡＧＥでカプセル化モードがＩＰＩＰトンネルであることを記載したＣＲＥＡＴＥ＿ＣＨＩＬＤ＿ＳＡ ｒｅｓｐｏｎｓｅを通信装置１０−２に返信する（ステップＳ３１１）。
【０１１８】
ここで、図１２では、ＥＡＰ認証未使用時のシーケンスを示した。これは、ＥＡＰ認証使用時は、ＩＫＥ＿ＡＵＴＨのメッセージ送受信回数が異なり、ＮＯＴＩＦＹ ＭＥＳＳＡＧＥを挿入する箇所が異なるためである。
【０１１９】
ＥＡＰ認証使用時の場合には、ＩＫＥ＿ＡＵＴＨのメッセージ送受信回数が異なるが、この場合、ＩＫＥ＿ＡＵＴＨの第１メッセージと最終メッセージにカプセル化モードが「ＩＰＩＰトンネル」であることを通知するＮＯＴＩＦＹ ＭＥＳＳＡＧＥを挿入することで実現することができる。
【０１２０】
（Ｂ−２）第２の実施形態の効果
上記のように、第２の実施形態によれば、鍵交換プロトコルとしてＩＫＥｖ２を利用する場合でも、従来の方式であるＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルよりも少ないオーバヘッドで暗号パケットを伝送することができるＩＰＩＰ ｏｖｅｒ Ｉｐｓｅｃトンネルを確立することができる。
【０１２１】
また、ＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルの確立にオペレ一夕による２段階の操作が必要だったことに対し、ＩＫＥｖ２プロトコルを拡張することで１段階の手順でＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することができる。
【０１２２】
（Ｃ）第３の実施形態
次に、本発明のパケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムの第２の実施形態を、図面を参照しながら説明する。
【０１２３】
（Ｃ−１）第３の実施形態の構成及び動作
第３の実施形態の構成も、第１の実施形態で説明した構成と同じであるから、第３の実施形態においても図１を用いて説明する。
【０１２４】
第３の実施形態が、第１の実施形態と異なる点は、カプセル化モードの通知を、鍵交換ネゴシエーション後に行う点である。
【０１２５】
従って、ネゴシエーション部２４０による鍵交換ネゴシエーション後に、トンネル設定部２５０がＩＰＩＰトンネルを生成するという手順を中心に説明する。
【０１２６】
なお、第３の実施形態では、鍵交換ネゴシエーション後に、カプセル化モードの通知を行うので、鍵交換プロトコルは、ＩＰｓｅｃトンネルを確立できるプロトコルであれば、ＩＫＥｖ１、ＩＫＥｖ２等広く適用することができる。
【０１２７】
図１３は、第３の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。また、図１４は、通信装置１０における鍵交換処理のフローチャートである。
【０１２８】
まず、第１の実施形態と同様に、通信装置１０−１では、ユーザインタフェース部１００が、ユーザによる設定情報の入力を読み込み（ステップＳ５０１）、鍵交換管理部２１０の制御の下、ネゴシエーション部２５０が、対向装置である通信装置１０−２との間で鍵交換ネゴシエーションを開始する（ステップＳ５０２）。
【０１２９】
このとき、通信装置１０−１と通信装置１０−２との間で鍵交換ネゴシエーションが失敗すると（ステップＳ５０３）、ネゴシエーションエラーとしてリソースの開放を行い（ステップＳ５０４）、処理は終了する。
【０１３０】
一方、鍵交換ネゴシエーションが成功すると、各通信装置１０−１及び１０−２では、入力された設定情報に基づいて、ＳＰ設定部２２０がＳＰ設定を行い（ステップＳ５０５）、さらにＳＡ設定部２３０がＳＡ設定を行い（ステップＳ５０６）、鍵交換ネゴシエーションが完了する（ステップＳ５０７）。
【０１３１】
ここで、図１３に示すように、通信装置１０−１の鍵交換管理部２１０がＩＰｓｅｃトンネルの確立要求する場合（ステップＳ４０１）、通信装置１０−１のネゴシエーション部２５０は、ＩＰｓｅｃトンネルを確立する所定の鍵交換ネゴシエーションメッセージを通信装置１０−２に送信する（ステップＳ４０２）。
【０１３２】
通信装置１０−２のネゴシエーション部２５０は、ＩＰｓｅｃトンネル確立要求を受信すると（ステップＳ４０３）、通信装置１０−１に対して所定の鍵交換ネゴシエーションを返信する（ステップＳ４０４）。
【０１３３】
このように、通信装置１０−１及び通信装置１０−２間で、ＩＰｓｅｃトンネルを確立する所定の鍵交換ネゴシエーションが完了し、通信装置１０−１及び通信装置１０−２では、トンネル設定部２４０が、ＩＰｓｅｃトンネルを確立する（ステップＳ４０５）。
【０１３４】
通信装置１０−１では、通信装置１０−２との間で鍵交換ネゴシエーションが完了し、カプセル化モードがＩＰＩＰトンネルモードであることを確認する（ステップＳ５０８）。
【０１３５】
そうすると、通信装置１０−１の鍵交換管理部２１０は、対向する通信装置１０−２に対して、カプセル化モードがＩＰＩＰトンネルモードであることを通知する（図１３のＳ４０７及びＳ４０８、図１４のステップＳ５０９）。
【０１３６】
このとき、通信装置１０−１は、ＩＰｓｅｃトンネルが確立しているので、ＩＰｓｅｃトンネルを通じてカプセル化モードの通知を行う。
【０１３７】
そして、通信装置１０−１及び通信装置１０−２のカプセル化モードがＩＰＩＰトンネルモードである場合（ステップＳ５１０）、トンネル設定部２４０は、第１の実施形態と同様に、ＩＰＩＰトンネルモードに関する処理するモジュール（例えば、ｉｐｉｐ．ｏやｔｕｎｎｅｌ．ｏ等）をローディングし、ローディングしたモジュールを確認した後、ＯＳ上で、トンネルの通信に用いる擬似デバイス（例えば、ｔｕｎ１０等）を生成・設定してＩＰＩＰトンネルを生成する（図１３のステップＳ４０９、図１４のステップＳ５１１）。
【０１３８】
また、トンネル設定部２４０は、生成したＩＰＩＰトンネルで経由するネットワークに関するネットワークのルーティングの設定をする（ステップＳ５１２）。
【０１３９】
なお、ステップＳ５１０で、通信装置１０−１及び通信装置１０−２のカプセル化モードがＩＰＩＰトンネルモードでない場合、ＩＰｓｅｃ切断後、リソースを開放して、処理を終了する（ステップＳ５１３）。
【０１４０】
（Ｃ−２）第３の実施形態の効果
上記のように、第３の実施形態によれば、鍵交換ネゴシエーション後に、ＩＰＩＰトンネルを確立することによっても、従来の方式であるＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルよりも少ないオーバヘッドで暗号パケットを伝送することができるＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することができる。
【０１４１】
また、ＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルの確立にオペレータによる２段階の操作が必要だったことに対し、任意の鍵交換プロトコルであっても、生成した暗号トンネルを通じてカプセル化モードを対向装置に通知することで１段階の手順でＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することができる。
【０１４２】
（Ｄ）他の実施形態
第１の実施形態では、ＩＫＥｖ１の特定のペイロードにカプセル化モードを挿入して通知する方式であったが、対向装置に自装置のカプセル化モードを知らせることができれば、どのようなべイロードであっても良い。例えば、第１の実施形態では、ＩＫＥｖ１のＭａｉｎモード第１メッセージを拡張する場合を例示したが、第１メッセージに限定されず、第３、第５メッセージであってもよい。
【０１４３】
第２の実施形態では、ＩＫＥｖ２の特定のペイロードにカプセル化モードを挿入して通知する方式であったが、対向装置に自装置のカプセル化モードを知らせることができれば、どのようなべイロードであっても良い。
【０１４４】
第１及び第２の実施形態では、ＩＫＥｖ１やＩＫＥｖ２の特定のペイロードにカプセル化モードを挿入して通知する方式であったが、対向装置に自装置のカプセル化モードを知らせることができれば、どのような鍵交換プロトコルであっても良い。
【０１４５】
第１、第２、第３の実施形態では、カプセル化モードとしてＩＰＩＰトンネルを使用したが、「ＩＰｖ６ ｏｖｅｒ ＩＰｖ４トンネル」「ＩＰｖ４ ｏｖｅｒ ＩＰｖ６トンネル」「ＩＰｖ６ ｏｖｅｒ ＩＰｖ６トンネル」等、どのようなトンネリングプロトコルでも良い。
【０１４６】
第１、第２、第３の実施形態では、カプセル化モードとしてＩＰＩＰトンネルを使用したが、「Ｅｔｈｅｒ ｏｖｅｒ ＩＰ」レイヤ２トンネル等、レイヤ３トンネリングプロトコル以外でも良い。
【０１４７】
第１の実施形態では、ＩＰＩＰトンネル自身に設定するアドレスを自装置のユーザインタフェースによって設定したが、ｍｏｄｅ−ｃｏｎｆｉｇ（ｄｒａｆｔ−ｄｕｋｅｓ−ｉｋｅ−ｍｏｄｅ−ｃｆｇ−０２．ｔｘｔ）を使って対向装置から自動的に取得したアドレスを設定しても良い。
【０１４８】
第２の実施形態では、ＩＰＩＰトンネル自身に設定するアドレスを自装置のユーザインタフェースによって設定したが、Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐａｙｌｏａｄ（ＲＦＣ４３０６ ３．１５章）を使って対向装置から自動的に取得したアドレスを設定しても良い。
【０１４９】
第１、第２、第３の実施形態では、マルチキャストパケットのようなトンネルモードのＩＰｓｅｃ上で送受信することができないトラフィックを扱う際、ＧＲＥ ｏｖｅｒ ＩＰｓｅｃの代わりにＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃを利用することができる。これにより、ＧＲＥヘッダ分のオーバヘッドを軽減することができる。
【符号の説明】
【０１５０】
５…パケット転送システム、１０−１及び１０−２…通信装置、
１００…ユーザインタフェース部、２００…プログラム部、
２１０…鍵交換管理部、２２０…ＳＰ設定部、２３０…ＳＡ設定部、
２４０…トンネル設定部、２５０…ネゴシエーション部、
３００…ネットワークスタック部、
３１０…ＳＰＤ、３２０…ＳＡＤ、３３０…パケット処理部、
３４０−１…インタフェース部（ＷＡＮ側）、３４０−２…インタフェース部（ＬＡＮ側）。
【技術分野】
【０００１】
本発明は、パケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムに関し、例えば、仮想プライベートネットワーク（ＶＰＮ：Vertual Private Network）上でパケット転送を実現するパケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムに適用し得るものである。
【背景技術】
【０００２】
従来、仮想プライベートネットワークを用いて、ＶＰＮゲートウェイ装置間でパケット転送を実現する方法の１つとして、例えばＧＲＥ Ｏｖｅｒ ＩＰＳｅｃ通信方式があり（特許文献１、非特許文献１参照）、この通信方式が広く利用されている。
【０００３】
ＧＲＥ（Generic Routing Encapsulation）とはトンネルプロトコルの１つであり、ＩＥＴＦのＲＦＣ１７０１、ＲＦＣ２７８４で規定されている標準化技術である。
【０００４】
ＧＲＥトンネリングでは、トンネルの両端のＶＰＮゲートウェイ装置が、任意のプロトコルをＩＰ（Internet Protocol）トンネル内でカプセル化してパケット転送を行い、又受信したパケットのカプセル化の解除を行う。そのため、トンネルの両端のＶＰＮゲートウェイ装置が、直結したパケット転送を行うように見える。
【０００５】
しかし、ＧＲＥは、暗号化機能を備えていない。そのため、ルーティングセキュリティが保たれても、データそのものに対するセキュリティが保たれていない。そこで、データの安全性を保つために、図２に示すようにＧＲＥ Ｏｖｅｒ ＩＰｓｅｃを用いている。
【０００６】
ここで、ＩＰｓｅｃ（Security Architecture For Internet Protocol）は、暗号技術を用いてＩＰパケット単位のデータの改竄防止や秘匿性等を提供するプロトコルである。
【０００７】
ＩＰｓｅｃでは、ＡＨ（Authentication Header）とＥＳＰ（Encapsulating Security Payload）といつ２つのセキュリティプロトコルが定義されている。ＡＨは、パケットの認証機能を提供し、ＥＳＰは、パケットの認証機能と暗号化機能を提供するものであり、セキュリティポリシーに応じていずれかの機能を選択することができる。
【０００８】
また、ＩＰｓｅｃの動作モードとしては、トランスポートモードとトンネルモードとがある。トランスポートモードは、元のＩＰパケットのペイロードのみをＩＰｓｅｃのパケットにカプセル化するモードであり、トンネルモードは、元のＩＰパケットの全てをＩＰｓｅｃのパケットにカプセル化するモードである。
【０００９】
ＧＲＥ Ｏｖｅｒ ＩＰｓｅｃ通信を行う際、ＶＰＮゲートウェイ装置間でＧＲＥトンネルを確立した後、そのＧＲＥトンネル上を流れるパケットをトランスポートモードのＩＰｓｅｃを利用して暗号化していた。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００８−３０６７２５号公報
【非特許文献】
【００１１】
【非特許文献１】シスコシステムズ合同会社、テクニカルサポート、「ＧＲＥ Ｏｖｅｒ ＩＰＳｅｃＶＰＮを用いたＬＡＮ−ｔｏ−ＬＡＮ接続設定例」、２００６年１月２７日初版、インターネット検索、http://www.cisco.com/JP/support/public/loc/tac/100/1005663/gre_overipsec.shtml
【発明の概要】
【発明が解決しようとする課題】
【００１２】
上述したＧＲＥトンネリングは、カプセル化されるプロトコルとして、ＩＰ、ＩＰＸ、Ａｐｐｌｅ Ｔａｌｋ、ＣＬＮＳ、ＤＥＣｎｅｔ、ＶＩＮＥＳ、Ｂａｎｙａｎなど様々なレイヤ３プロトコルを利用することができる。
【００１３】
しかしながら、ネットワークプロトコルにＩＰのみを採用している環境において、従来のようなＧＲＥ ｏｖｅｒ ＩＰｓｅｃ方式を行うと、ＧＲＥトンネルの確立後に、暗号化処理を行うため、図３に示すように、転送されるパケットサイズはトンネルモードのＩＰｓｅｃパケットに比べて、ＧＲＥヘッダサイズ（８Ｂｙｔｅ）分オーバヘッドが増加してしまうという問題がある。
【００１４】
また、ＧＥＲ ｏｖｅｒ ＩＰｓｅｃ通信を確立する際、オペレータ（ＶＰＮゲートウェイ装置）は、
（ａ）ＧＲＥトンネル確立
（ｂ）ＩＫＥ等の鍵交換プロトコルの設定
と２段階の手順を踏まなければならなかった。
【００１５】
そのため、従来のＧＲＥ ｏｖｅｒ ＩＰｓｅｃ通信方式よりも、パケットのヘッダサイズを小さくして暗号パケットを伝送することができ、かつ、トンネル確立工程を少なくしてパケット伝送することができるパケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムが求められている。
【課題を解決するための手段】
【００１６】
かかる課題を解決するために、第１の本発明のパケット転送システムは、第１の通信装置と、第１の通信装置に対向する第２の通信装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送するパケット転送システムにおいて、（１）第１の通信装置が、鍵交換プロトコルによる第２の通信装置との間のネゴシエーションの際、自装置が要求するカプセル方式を第２の通信装置に通知するモード通知手段を有し、（２）第２の通信装置が、第１の通信装置の要求するカプセル方式を認識するモード認識手段を有し、（３）第１の通信装置及び第２の通信装置は、鍵交換プロトコルを用いて、カプセル方式によるトンネルを設定するトンネル設定手段を有することを特徴とする。
【００１７】
第２の本発明のパケット転送方法は、第１の通信装置と、第１の通信装置に対向する第２の通信装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送するパケット転送方法において、（１）第１の通信装置が、鍵交換プロトコルによる第２の通信装置との間のネゴシエーションの際、自装置が要求するカプセル方式を第２の通信装置に通知するモード通知工程と、（２）第２の通信装置が、第１の通信装置の要求するカプセル方式を認識するモード認識工程と、（３）第１の通信装置及び第２の通信装置は、鍵交換プロトコルを用いて、カプセル方式によるトンネルを設定するトンネル設定工程とを有することを特徴とする。
【００１８】
第３の本発明の通信装置は、対向装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送する通信装置において、（１）鍵交換プロトコルにより対向装置との間でネゴシエーションを行うネゴシエーション手段と、（２）ネゴシエーション手段による対向装置との間のネゴシエーションの際、自装置が要求するカプセル方式を対向装置に通知するモード通知手段と、（３）対向装置の要求するカプセル方式を認識するモード認識手段と、（４）鍵交換プロトコルを用いて、カプセル方式によるトンネルを設定するトンネル設定手段とを備えることを特徴とする。
【００１９】
第４の本発明のパケット転送プログラムは、対向装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送する通信装置を、（１）鍵交換プロトコルにより対向装置との間でネゴシエーションを行うネゴシエーション手段、（２）ネゴシエーション手段による対向装置との間のネゴシエーションの際、自装置が要求するカプセル方式を対向装置に通知するモード通知手段、（３）対向装置の要求するカプセル方式を認識するモード認識手段、（４）鍵交換プロトコルを用いて、カプセル方式によるトンネルを設定するトンネル設定手段として機能させることを特徴とする。
【発明の効果】
【００２０】
本発明によれば、従来方式（ＧＲＥ ｏｖｅｒ ＩＰｓｅｃ通信方式）よりも、パケットのヘッダサイズを小さくして暗号パケットを伝送することができ、かつ、トンネル確立工程を少なくしてパケット伝送することができる。
【図面の簡単な説明】
【００２１】
【図１】第１の実施形態の通信装置の内部構成を示す内部構成図である。
【図２】従来のＧＲＥ ｏｖｅｒ ＩＰｓｅｃ通信を説明する説明図である。
【図３】従来のＧＲＥ ｏｖｅｒ ＩＰｓｅｃのパケットサイズを示す図である。
【図４】第１の実施形態のパケット転送システムの構成を示す構成図である。
【図５】第１の実施形態のトンネル設定部の機能構成を示すブロック図である。
【図６】第１の実施形態のネゴシエーション部の機能構成を示すブロック図である。
【図７】第１の実施形態のセキュリティポリシーの構成例を示す構成図である。
【図８】第１の実施形態のセキュリティアソシエーションの構成例を示す構成図である。
【図９】第１の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。
【図１０】第１の実施形態の通信装置における処理を示すフローチャートである。
【図１１】ＩＫＥｖ１のメッセージの構成を説明する説明図である。
【図１２】第２の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。
【図１３】第３の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。
【図１４】第３の実施形態の通信装置における処理を示すフローチャートである。
【発明を実施するための形態】
【００２２】
（Ａ）第１の実施形態
以下では、本発明のパケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムの第１の実施形態を、図面を参照しながら説明する。
【００２３】
第１の実施形態は、本発明を利用して、例えば、ネットワークプロトコルとしてＩＰを採用する環境において、ＩＰパケットをインターネットプロトコル（ＩＰ）でカプセル化してトンネル内をパケット転送するパケット転送システムのＩＰＩＰトンネル確立処理を実現する実施形態を例示する。
【００２４】
なお、本発明は、後述するようにＩＰＩＰトンネルを確立するものであり、例えば、ＩＥＴＦのＲＦＣ１８５３「IP in Tunneling」の規定等に適用することができる。ＲＦＣ１８５３では、ＩＰヘッダを他のＩＰヘッダで単純に包むことが提案されており、ＩＰＩＰトンネルのパケットのカプセル化形式が示されている。
【００２５】
また、本発明は、ＩＰヘッダを他のヘッダで包む観点で捉えるならば、ＲＦＣ１８５３をモバイルＩＰ（Ｍｏｂｉｅ ＩＰ）向けに拡張したＲＦＣ２００３「IP Encapsulation within IP」の規定等にも適用できる。
【００２６】
（Ａ−１）第１の実施形態の構成
図４は、第１の実施形態のパケット転送システム５の構成を示す構成図である。図４に示すように、ネットワーク２０及びサブネットＡに接続する通信装置１０−１と、ネットワーク２０及びサブネットＢに接続する通信装置１０−２を備える。
【００２７】
ネットワーク２０は、例えばインターネットに代表されるように、通信プロトコルをインターネットプロトコル（ＩＰ）とする通信網を想定し、例えば拠点間のパケット転送を行うＷＡＮ（Wide Area Network）が該当する。
【００２８】
サブネットＡ及びサブネットＢは、例えば通信プロトコルをインターネットプロトコル（ＩＰ）とする通信網を想定し、例えばローカルエリアネットワーク（ＬＡＮ）等のサブネットワークが該当する。
【００２９】
通信装置１０−１及び通信装置１０−２は、対向する通信装置との間で、所定のトンネルプロトコルに従ってトンネルを確立してパケット転送を行う通信装置であり、例えば、ＶＰＮゲートウェイ装置やＶＰＮルータ装置などのパケット転送装置を適用することができる。
【００３０】
また、通信装置１０−１及び通信装置１０−２は、暗号化処理に係る鍵交換プロトコルに従ったネゴシエーションの際に、自装置が利用するカプセル化方式（カプセル化モード）を対向装置に通知し、又自装置が対向装置から通知されたカプセル化方式に対応可能である場合にはその旨を応答し、鍵交換後に、上記カプセル化方式に従ったトンネルを確立するものである。
【００３１】
ここで、第１の実施形態では、所定のトンネルプロトコルとしてＩＰｓｅｃを適用し、鍵交換プロトコルとしてＩＫＥｖ１（Internet Key Exchange Protocol version 1）を適用するものとする。
【００３２】
また、図４に示すように、ネットワークプロトコルとしてＩＰのみを利用する場合であり、通信装置１０−１及び通信装置１０−２が、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立する場合を中心に説明する。ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することで、自装置と対向装置との間で特定のパケットを暗号化することができる。
【００３３】
図１は、通信装置１０−１及び通信装置１０−２の内部構成を示す内部構成図である。なお、通信装置１０−１と通信装置１０−２との内部構成は同一であり、共通する構成要素を説明する場合には「通信装置１０」と示して説明する。
【００３４】
図１において、通信装置１０は、ユーザインタフェース部１００、プログラム部２００、ネットワークスタック部３００を少なくとも有して構成される。
【００３５】
ユーザインタフェース部１００は、ユーザによる所定の設定情報の入力を受け付ける処理部又は装置である。ユーザインタフェース部１００は、例えば、ＨＴＴＰ（HyperText Transfer Protocol）サーバ等を利用したＧＵＩ（Graphical User Interface）を適用することができ、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立するために必要な設定情報の入力を行う。
【００３６】
ここで、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立するために必要な設定情報としては、主として、ＩＰＩＰトンネル確立に係る設定情報と、鍵交換プロトコルの設定に係る設定情報とがある。
【００３７】
ＩＰＩＰトンネル確立に係る設定情報（トンネル確立設定情報）としては、具体的に、（ａ）対向装置のアドレス（ＩＰアドレス等）、（ｂ）自装置のアドレス（ＩＰアドレス等）、（ｃ）ＩＰＩＰトンネルのアドレス（例えば、自装置のサブネット側ネットワークアドレスに属すアドレス等）、（ｄ）ＩＰＩＰトンネルに流したいトラフィックのルーティング設定（例えば、対向装置のサブネットを指定する情報等）等がある。
【００３８】
また、鍵交換プロトコルの設定に係る設定情報（鍵交換設定情報）としては、具体的に、（ｅ）対向装置のアドレス（ＩＰアドレス等）、（ｆ）自装置のアドレス（ＩＰアドレス等）、（ｇ）事前鍵共有方式（ＰＳＫ：Pre Shared Key）認証用パフフレーズ（パスワード）又はＲＳＡ認証用デジタル証明書等がある。
【００３９】
ユーザインタフェース部１００は、上記のような設定情報の入力を受け付け、入力された設定情報をプログラム部２００の鍵交換管理部２１０に与える。なお、鍵交換管理部２１０では、上記設定情報の入力について、「（ａ）と（ｅ）」、「（ｂ）と（ｆ）」は同じ値が設定されるため、一方が設定されたら、他方に同じ値を自動挿入するようにする。これにより、オペレータの設定作業を軽減することができる。
【００４０】
プログラム部２００は、自装置（通信装置）１０のＯＳ（オペレーティングシステム）上で実行される各処理機能部を提供するものである。プログラム部２００は、図１に示すように、鍵交換管理部２１０、ＳＰ（セキュリティポリシー）設定部２２０、ＳＡ（セキュリティアソシエーション）部２３０、トンネル設定部２４０、ネゴシエーション部２５０を少なくとも有する。
【００４１】
鍵交換管理部２１０は、ユーザインタフェース部１００からの設定情報に応じて、対向装置との間でネゴシエーション管理を行い、対向装置との間で安全に鍵交換処理を制御するものである。
【００４２】
鍵交換管理部２１０は、ユーザインタフェース部１００から受け取った鍵交換設定情報をＳＡ設定部２３０に与え、ＳＡＤ（セキュリティデータベース）３２０にセキュリティアソシエーションの設定情報の設定登録させるものである。
【００４３】
また、鍵交換管理部２１０は、ユーザインタフェース部１００から受け取ったトンネル確立設定情報をトンネル設定部２４０に与えるものである。これにより、トンネル設定部２４０は、トンネル確立設定情報を用いて対向装置との間でＩＰＩＰトンネルを確立することができる。
【００４４】
また、鍵交換管理部２１０は、ユーザインタフェース部１００からの設定情報に基づいて、今回のパケットをＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃ通信で対向装置へ伝送する場合、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを対向装置との間で確立すべき旨の指示を、ネゴシエーション部２５０及びトンネル設定部２４０に行うものである。
【００４５】
さらに、鍵交換管理部２１０は、対向装置がＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルの確立要求してきたことをネゴシエーション部２５０から受けると、トンネル設定部２４０に対して、カプセル化方式が一致するか否かを判断させ、ＩＰＩＰトンネルを対向装置との間で確立すべき旨の指示を行うものである。
【００４６】
ＳＰ設定部２２０は、ユーザインタフェース部１００からの設定情報を鍵交換管理部２１０を通じて、ネットワークスタック部３００のＳＰＤ（セキュリティポリシーデータベース）３１０にセキュリティポリシーを設定するものである。
【００４７】
ＳＡ設定部２３０は、ユーザインタフェース部１００からの設定情報（鍵交換設定情報）を鍵交換管理部２１０を通じて、ネットワークスタック部３００のＳＡＤ（セキュリティアソシエーションデータベース）３２０にセキュリティアソシエーションを設定するものである。
【００４８】
トンネル設定部２４０は、ユーザインタフェース部１００からのトンネル確立設定情報に基づいて、自装置と対向装置との間で、カプセル化モードとしてＩＰＩＰトンネルモードを利用することを認識した後、ＩＰＩＰトンネルの設定を行うものである。
【００４９】
図５は、トンネル設定部２４０の機能構成を示すブロック図である。図５に示すように、トンネル設定部２４０は、ＩＰＩＰトンネル処理起動設定部２４１、ＩＰＩＰトンネル生成部２４２、ルーティング設定部２４３、トンネル確立設定情報格納部２４４を少なくとも有する。
【００５０】
ＩＰＩＰトンネル処理起動設定部２４１は、自装置と対向装置との間で、ＩＰＩＰトンネルモードを利用すると認識すると、自装置のＯＳ上でＩＰＩＰトンネルの生成に関する処理が行えるように設定するものである。
【００５１】
例えば、自装置のＯＳがＬｉｎｕｘ（登録商標）の場合、ＩＰＩＰトンネル処理起動設定部２４１は、ＩＰ／ＩＰプロトコルデコーダ処理に関するモジュール（例えばｉｐｉｐ．ｏ等）やトンネル処理に関するモジュール（例えばｎｅｗ＿ｔｕｎｎｅｌ．ｏ（ｔｕｎｎｅｌ．ｏ）等）をローディングし、ＯＳ上でＩＰＩＰトンネルに関する処理が行えるようにする。
【００５２】
また、ＩＰＩＰトンネル処理起動設定部２４１は、上記のようにしてローティングしたＩＰＩＰトンネルの生成処理に関するモジュールが正常にローディングできたか否かを確認するものである。
【００５３】
例えば、ＩＰＩＰトンネル処理起動設定部２４１は、ロードされているモジュールの一覧にローディングしたモジュールが存在するか否かを確認することにより、正常のローディングできたか否かを判断する。
【００５４】
ＩＰＩＰトンネル生成部２４２は、ＩＰＩＰトンネルの設定準備が整うと、ＯＳ上でトンネルの通信に用いる擬似デバイス（例えばｔｕｎ１０等）の生成及び設定を行い、トンネル確立設定情報を用いて対向装置との間でＩＰＩＰトンネルを生成するものである。
【００５５】
例えば、ＩＰＩＰトンネル生成部２４２は、擬似デバイスを生成すると、対向装置のＩＰアドレスと紐付けを行うことで、ＩＰＩＰトンネルを生成する。
【００５６】
ルーティング設定部２４２は、生成したＩＰＩＰトンネルで経由するネットワークに関するルーティングの設定を行うものである。
【００５７】
例えば、ルーティング設定部２４３は、対向装置と通信するＷＡＮインタフェースである通信処理部のインタフェースＡの通信経路を、生成したＩＰＩＰトンネルで経由するように設定する。
【００５８】
トンネル確立設定情報格納部２４４は、トンネル確立設定情報を格納するものである。
【００５９】
ネゴシエーション部２５０は、鍵交換管理部２１０の制御の下、パケット処理部３３０を介して、対向装置との間で、所定の鍵交換プロトコルに従ったネゴシエーションを行うものである。
【００６０】
また、ネゴシエーション部２５０は、鍵交換管理部２１０から自装置が対向装置との愛で、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立すべく旨の指示を受けると、鍵交換プロトコルによるネゴシエーション（以下では、鍵交換ネゴシエーションともいう）の際に、自装置が利用するカプセル化方式を対向装置に通知（以下では、カプセル化モードの通知ともいう）するものである。
【００６１】
なお、第１の実施形態では、鍵交換プロトコルとしてＩＫＥｖ１を採用する場合を例示する。これは、鍵交換ネゴシエーションの手順に応じて、自装置が利用するカプセル化方式の通知手順が異なるため、第１の実施形態ではＩＫＥｖ１の場合を例示し、第２の実施形態ではＩＫＥｖ２の場合を例示する。
【００６２】
ここで、カプセル化モードの通知タイミングは、鍵交換ネゴシエーション中の場合を例示するが、鍵交換ネゴシエーション中に限らず、鍵交換ネゴシエーション後に行うようにしても良い。つまり、鍵交換ネゴシエーション後にカプセル化モードの通知を行う場合、通常のトランスポートモードのＩＰｓｅｃ暗号通信が可能なので、この暗号通信路を利用して対向装置にカプセル化モードを通知しあうことができるからである。
【００６３】
図６は、ネゴシエーション部２５０の機能構成を示すブロック図である。図６に示すように、ネゴシエーション部２５０は、動作モード通知部２５１を少なくとも有する。
【００６４】
動作モード通知部２５１は、自装置が利用するカプセル化モードを対向装置に通知するものである。また、受信したカプセル化モードの通知に対する応答を行うものである。動作モード通知部２５１は、鍵交換プロトコルのＩＫＥｖ１を拡張して、ネゴシエーションの際に対向装置との間で、カプセル化モードの通知の授受を行う。
【００６５】
次に、ネットワークスタック部３００は、一般に、通信処理を実行するＯＳ上のネットワークスタックである。ネットワークスタック部３００は、図１に示すように、ＳＰＤ３１０、ＳＡＤ３２０、パケット処理部３３０、インタフェース部Ａ３４０−１、インタフェース部Ｂ３４０−２を少なくとも有する。
【００６６】
ＳＰＤ３１０は、セキュリティポリシーを保持するデータベースである。図７は、ＳＰＤ３１０に保持されるセキュリティポリシーの構成を説明する説明図である。なお図７は、例えば、通信装置１０−１におけるセキュリティポリシーを例示する。
【００６７】
図７において、セキュリティポリシーは、セレクタとして「ローカルＩＰアドレス」及び「リモートＩＰアドレス」、「動作」、ＩＰｓｅｃ「モード」、「ＳＡリンク」等を項目として構成される。
【００６８】
なお、必要に応じて、セレクタの欄に、ローカルポート番号、リモートポート番号、上位層プロトコル等を項目を有するようにしても良い。ＩＰｓｅｃの欄に、セキュリティプロトコル、暗号化アルゴリズム、認証アルゴリズム等の項目を有するようにしても良い。
【００６９】
「ローカルＩＰアドレス」は、自装置１０−１の接続するサブネットに属する端末のアドレスを格納するものである。図７の場合、通信装置１０−２の接続するサブネットＢに属するネットワークアドレスとして、「192.168.1.0」〜「198.162.1.255」が設定されている。
【００７０】
「リモートＩＰアドレス」は、対向装置の接続するサブネットに属する端末のアドレスを格納するものである。図７の場合、対向装置の１つとして通信端末１０−２の接続するサブネットＡに属するネットワークアドレスとして、「192.168.2.0」〜「198.162.2.255」が設定されている。
【００７１】
「動作」は、動作モードを保持するものであり、例えば図７では、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃとして動作する場合を例示する。
【００７２】
「モード」は、ＩＰｓｅｃを行う場合に、トランスポートモードとするか又はトンネルモードとするかを格納するものである。図７では、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃ通信を行う際には、トランスポートを選択することが設定されている。
【００７３】
「ＳＡリンク」は、ＳＡＤ３２０におけるＳＡと対応付けるための識別子を格納するものである。図７では、鍵交換プロトコルとしてＩＫＥｖ１を採用する「１」が設定されている。
【００７４】
ＳＡＤ３２０は、セキュリティアソシエーションを保持するデータベースである。図８は、ＳＡＤ３２０に保持されるセキュリティアソシエーションの構成を説明する説明図である。なお図８は、例えば、通信装置１０−１におけるセキュリティアソシエーションを例示する。
【００７５】
図８において、セキュリティアソシエーションは、「ＳＰＩ」、「モード」、「セキュリティプロトコル」、「暗号パラメータ」、「認証パラメータ」等を項目として構成される。
【００７６】
「ＳＰＩ」は、セキュリティアソシエーションを一意に識別する識別子を格納するものである。
【００７７】
「モード」は、ＩＰｓｅｃを行う場合に、トランスポートモードとするか又はトンネルモードとするかを格納するものである。
【００７８】
「セキュリティプロトコル」は、セキュリティプロトコルを格納するものであり、例えば、ＡＨ、ＥＳＰなどの種別が格納される。
【００７９】
「暗号パラメータ」は、暗号アルゴリズムや鍵などを格納するものである。
【００８０】
「認証パラメータ」は、認証アルゴリズムや鍵などを格納するものである。
【００８１】
パケット処理部３３０は、パケットの送信処理、受信・解析処理、転送処理、暗号化・復号処理等を行う処理部又は装置である。パケット処理部３３０は、パケットの送受信時に、ＳＰＤ３１０から当該パケットのセキュリティポリシーを検索し、セキュリティポリシーがある場合には、セキュリティポリシーに紐付けされたセキュリティアソシエーションをＳＡＤ３２０から検索し、セキュリティポリシーに紐付けされた鍵を用いて、暗号化・復号処理を行い、パケット転送を行う。
【００８２】
インタフェース部Ａ３４０−１は、ネットワーク２０に接続する通信インタフェースであり、インタフェース部Ｂ３４０−２は、サブネットＡ又はＢに接続する通信インタフェースである。
【００８３】
（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のパケット転送処理の動作を図面を参照しながら説明する。
【００８４】
図９は、第１の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。また、図１０は、通信装置１０における鍵交換処理のフローチャートである。
【００８５】
なお、図９では、通信装置１０−１が、通信１０−２を対向装置として、鍵交換プロトコルにＩＫＥｖ１を拡張して、ＩＫＥｖ１のＭａｉｎモードを利用して、自動的にＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立する場合を例示する。
【００８６】
まず、通信装置１０−１において、ユーザインタフェース部１００は、ユーザによる設定情報の入力を読み込み（ステップＳ２０１）、鍵交換管理部２１０の制御の下、根後シーエーション部２５０が、対向装置である通信装置１０−２との間で鍵交換ネゴシエーションを開始する（ステップＳ２０２）。
【００８７】
鍵交換管理部２１０は、入力した設定情報に基づいて自装置のカプセル化モードを確認し、カプセル化モードがＩＰＩＰトンネルモードである場合には（ステップＳ２０３）、ＩＰＩＰトンネルモードを要求することを、対向装置１０−２とのネゴシエーション中に通知する（ステップＳ２０４）。なお、ＩＰＩＰトンネルモードでない場合には、入力した設定情報に基づく鍵交換処理が行われる。
【００８８】
このとき、通信装置１０−１と通信装置１０−２との間で鍵交換ネゴシエーションが失敗すると（ステップＳ２０３）、ネゴシエーションエラーとしてリソースの開放を行い（ステップＳ２１２）、処理は終了する。
【００８９】
一方、鍵交換ネゴシエーションが成功すると、各通信装置１０−１及び１０−２では、入力された設定情報に基づいて、ＳＰ設定部２２０がＳＰ設定を行い（ステップＳ２０６）、さらにＳＡ設定部２３０がＳＡ設定を行い（ステップＳ２０７）、鍵交換ネゴシエーションが完了する（ステップＳ２０８）。
【００９０】
ここで、図９を用いて、鍵交換ネゴシエーション中にＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立する処理を説明する。
【００９１】
図９に示すように、鍵交換管理部２１０がＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルの確立要求する場合（ステップＳ１０１）、ネゴシエーション部２５０は、ＩＫＥｖ１のＭａｉｎモードで、自装置が利用するカプセル化モードがＩＰＩＰトンネルモードであることを記載したＭａｉｎモード第１メッセージを通信装置１０−２に送信する（ステップＳ１０２）。
【００９２】
カプセル化モードの通知は、例えば、ＲＦＣ２４０７の４．５章で定義されているカプセル化モード（Ｅｎｃａｐｓｕｌａｔｉｏｎ Ｍｏｄｅ）を拡張して、カプセル化モードがＩＰＩＰトンネルモードであることを通知する。
【００９３】
例えば、図１１（Ａ）は、ＩＫＥｖ１におけるメッセージの構成例を示す構成図であり、図１１（Ｂ）は、メッセージに含まれるＴｒａｎｓｆｏｒｍペイロードの構成例を示す構成図である。ネゴシエーション部２５０は、Ｍａｉｎモード第１メッセージのＴｒａｎｓｆｏｒｍペイロードのＳＡ Ａｔｔｒｉｂｕｔｅｓ（ＳＡ属性）に、カプセル化モードがＩＰＩＰトンネルモードであること示す情報（例えば、属性値等）を記載することで通信装置１０−２に通知する方法を用いることができる。つまり、ＩＫＥｖ１プロトコルを拡張して、鍵交換ネゴシエーション中にカプセル化モードがＩＰＩＰトンネルモードであることを通知する。
【００９４】
通信装置１０−２では、通信装置１０−１からのＭａｉｎモード第１メッセージを受信し、ネゴシエーション部２５０が、通信装置１０−１のカプセル化モードとしてＩＰＩＰトンネルモードを要求することを認識し（ステップＳ１０３）、対応可能である場合に、通信装置１０−２のカプセル化モードをＩＰＩＰトンネルモードとするＭａｉｎモード第２メッセージを通信装置１０−１に応答する（ステップＳ１０４）。
【００９５】
このときも、例えば、ネゴシエーション部２５０は、Ｍａｉｎモード第２メッセージのＴｒａｎｓｆｏｒｍペイロードのＳＡ Ａｔｔｒｉｂｕｔｅｓに、カプセル化モードがＩＰＩＰトンネルモードであること示す情報を記載して通信装置１０−１に返信する。
【００９６】
その後、通信装置１０−１と通信装置１０−２との間で、通常のＩＫＥｖ１の鍵交換ネゴシエーションを行う（ステップＳ１０５）。
【００９７】
通信装置１０−１と通信装置１０−２との間で鍵交換ネゴシエーションが完了し、カプセル化モードがＩＰＩＰトンネルモードであることを確認する（ステップＳ２０９）。
【００９８】
トンネル設定部２４０は、ＩＰＩＰトンネルモードに関する処理するモジュール（例えば、ｉｐｉｐ．ｏやｔｕｎｎｅｌ．ｏ等）をローディングし、ローディングしたモジュールを確認した後、ＯＳ上で、トンネルの通信に用いる擬似デバイス（例えば、ｔｕｎ１０等）を生成・設定してＩＰＩＰトンネルを生成する（図９のステップＳ１０６、図１０のステップＳ２１０）。
【００９９】
また、トンネル設定部２４０は、生成したＩＰＩＰトンネルで経由するネットワークに関するネットワークのルーティングの設定をする（ステップＳ２１１）。
【０１００】
これにより、通信装置１０−１と通信装置１０−２との間で、双方向のＩＰＩＰトンネルが確立完了し、インタフェースＡ３４０−１においてＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃの通信が確立すると、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルが確立完了する（ステップＳ１０７）。
【０１０１】
（Ａ−３）第１の実施形態の効果
上記のように、第１の実施形態によれば、従来の方式であるＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルよりも少ないオーバヘッドで暗号パケットを伝送することができるＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することができる。
【０１０２】
また、第１の実施形態によれば、ＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルの確立にオペレータによる２段階の操作が必要だったことに対し、ＩＫＥｖ１プロトコルを拡張することで１段階の手順でＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することができる。
【０１０３】
（Ｂ）第２の実施形態
次に、本発明のパケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムの第２の実施形態を、図面を参照しながら説明する。
【０１０４】
（Ｂ−１）第２の実施形態の構成及び動作
第２の実施形態の構成は、第１の実施形態で説明した構成と同じであるから、第２の実施形態においても図１を用いて説明する。
【０１０５】
第２の実施形態が、第１の実施形態と異なる点は、鍵交換プロトコルとしてＩＫＥｖ２（Internet Key Exchange Protocol version 2）を採用する点であり、ネゴシエーション部２５０が、ＩＥＴＦのＲＦＣ４３０７に規定されているＩＫＥｖ２を拡張して、カプセル化モードの通知を行う点である。
【０１０６】
従って、以下では、ＩＫＥｖ２を利用した場合の自装置と対向装置との間のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理の動作を中心に説明する。
【０１０７】
図１２は、第２の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。なお、図１２は、拡張認証プロトコル（ＥＡＰ）による認証未使用時のシーケンス図である。
【０１０８】
通信装置１０−１の鍵交換管理部２１０は、第１の実施形態と同様に、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルの確立要求する場合（ステップＳ３０１）、後述するように、通信装置１０−２との間の鍵交換ネゴシエーションの際に、カプセル化モードの通知を行う。
【０１０９】
通信装置１０−１のネゴシエーション部２５０は、ＩＫＥｖ２のＩＫＥ＿ＳＡ＿ＩＮＩＴ第１メッセージを通信装置１０−２に送信する（ステップＳ３０２）。
【０１１０】
通信装置１０−２のネゴシエーション部２５０は、通信装置１０−１から受信したＩＫＥ＿ＳＡ＿ＩＮＩＴ第１メッセージに基づいて、通信装置１０−１がＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルの確立を要求することを認識し（ステップＳ３０３）、ＩＫＥ＿ＳＡ＿ＩＮＩＴ第２メッセージを通信装置１０−１に返信する（ステップＳ３０４）。
【０１１１】
通信装置１０−１のネゴシエーション部２５０は、ＮＯＴＩＦＩＹ ＭＥＳＳＥＡＧＥでカプセル化モードがＩＰＩＰトンネルであることを記載したＩＫＥ＿ＡＵＴＨ第１メッセージを通信装置１０−２に送信する（ステップＳ３０５）。
【０１１２】
また、通信装置１０−２のネゴシエーション部２５０は、ＮＯＴＩＦＩＹ ＭＥＳＳＡＧＥでカプセル化モードがＩＰＩＰトンネルであることを記載したＩＫＥ＿ＡＵＴＨ第２メッセージを通信装置１０−２に返信する（ステップＳ３０６）。
【０１１３】
ここで、カプセル化モードの通知は、ＲＦＣ４３０６の３．１０．１章で定義されているＮＯＴＩＦＹ ＭＥＳＳＡＧＥを拡張して、ＩＰＩＰトンネルモードであることを通知する方法を適用することができる。
【０１１４】
その後、通信装置１０−１及び通信装置１０−２では、トンネル設定部２４０が、第１の実施形態と同様にして、ＩＰＩＰトンネルモードに関する処理するモジュール（例えば、ｉｐｉｐ．ｏやｔｕｎｎｅｌ．ｏ等）をローディングし、ローディングしたモジュールを確認した後、ＯＳ上で、トンネルの通信に用いる擬似デバイス（例えば、ｔｕｎ１０等）を生成・設定してＩＰＩＰトンネルを生成する（ステップＳ３０７）。
【０１１５】
また、通信装置１０−１及び通信装置１０−２のそれぞれにおいて、トンネル設定部２４０が、生成したＩＰＩＰトンネルで経由するネットワークに関するネットワークのルーティングの設定をして、双方向のＩＰＩＰトンネルが確立完了し、インタフェースＡ３４０−１においてＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃの通信が確立すると、ＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルが確立完了する（ステップＳ３０８）。
【０１１６】
通信装置１０−１では、ＳＡのリキー処理を開始し（ステップＳ３０９）、ネゴシエーション部２５０が、ＮＯＴＩＦＩＹ ＭＥＳＳＥＡＧＥでカプセル化モードがＩＰＩＰトンネルであることを記載したＣＲＥＡＴＥ＿ＣＨＩＬＤ＿ＳＡ ｒｅｑｕｅｓｔを通信装置１０−２に送信する（ステップＳ３１０）。
【０１１７】
また、通信装置１０−２のネゴシエーション部２５０は、ＮＯＴＩＦＩＹ ＭＥＳＳＡＧＥでカプセル化モードがＩＰＩＰトンネルであることを記載したＣＲＥＡＴＥ＿ＣＨＩＬＤ＿ＳＡ ｒｅｓｐｏｎｓｅを通信装置１０−２に返信する（ステップＳ３１１）。
【０１１８】
ここで、図１２では、ＥＡＰ認証未使用時のシーケンスを示した。これは、ＥＡＰ認証使用時は、ＩＫＥ＿ＡＵＴＨのメッセージ送受信回数が異なり、ＮＯＴＩＦＹ ＭＥＳＳＡＧＥを挿入する箇所が異なるためである。
【０１１９】
ＥＡＰ認証使用時の場合には、ＩＫＥ＿ＡＵＴＨのメッセージ送受信回数が異なるが、この場合、ＩＫＥ＿ＡＵＴＨの第１メッセージと最終メッセージにカプセル化モードが「ＩＰＩＰトンネル」であることを通知するＮＯＴＩＦＹ ＭＥＳＳＡＧＥを挿入することで実現することができる。
【０１２０】
（Ｂ−２）第２の実施形態の効果
上記のように、第２の実施形態によれば、鍵交換プロトコルとしてＩＫＥｖ２を利用する場合でも、従来の方式であるＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルよりも少ないオーバヘッドで暗号パケットを伝送することができるＩＰＩＰ ｏｖｅｒ Ｉｐｓｅｃトンネルを確立することができる。
【０１２１】
また、ＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルの確立にオペレ一夕による２段階の操作が必要だったことに対し、ＩＫＥｖ２プロトコルを拡張することで１段階の手順でＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することができる。
【０１２２】
（Ｃ）第３の実施形態
次に、本発明のパケット転送システム、パケット転送方法、通信装置及びパケット転送プログラムの第２の実施形態を、図面を参照しながら説明する。
【０１２３】
（Ｃ−１）第３の実施形態の構成及び動作
第３の実施形態の構成も、第１の実施形態で説明した構成と同じであるから、第３の実施形態においても図１を用いて説明する。
【０１２４】
第３の実施形態が、第１の実施形態と異なる点は、カプセル化モードの通知を、鍵交換ネゴシエーション後に行う点である。
【０１２５】
従って、ネゴシエーション部２４０による鍵交換ネゴシエーション後に、トンネル設定部２５０がＩＰＩＰトンネルを生成するという手順を中心に説明する。
【０１２６】
なお、第３の実施形態では、鍵交換ネゴシエーション後に、カプセル化モードの通知を行うので、鍵交換プロトコルは、ＩＰｓｅｃトンネルを確立できるプロトコルであれば、ＩＫＥｖ１、ＩＫＥｖ２等広く適用することができる。
【０１２７】
図１３は、第３の実施形態のＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネル確立処理を示すシーケンス図である。また、図１４は、通信装置１０における鍵交換処理のフローチャートである。
【０１２８】
まず、第１の実施形態と同様に、通信装置１０−１では、ユーザインタフェース部１００が、ユーザによる設定情報の入力を読み込み（ステップＳ５０１）、鍵交換管理部２１０の制御の下、ネゴシエーション部２５０が、対向装置である通信装置１０−２との間で鍵交換ネゴシエーションを開始する（ステップＳ５０２）。
【０１２９】
このとき、通信装置１０−１と通信装置１０−２との間で鍵交換ネゴシエーションが失敗すると（ステップＳ５０３）、ネゴシエーションエラーとしてリソースの開放を行い（ステップＳ５０４）、処理は終了する。
【０１３０】
一方、鍵交換ネゴシエーションが成功すると、各通信装置１０−１及び１０−２では、入力された設定情報に基づいて、ＳＰ設定部２２０がＳＰ設定を行い（ステップＳ５０５）、さらにＳＡ設定部２３０がＳＡ設定を行い（ステップＳ５０６）、鍵交換ネゴシエーションが完了する（ステップＳ５０７）。
【０１３１】
ここで、図１３に示すように、通信装置１０−１の鍵交換管理部２１０がＩＰｓｅｃトンネルの確立要求する場合（ステップＳ４０１）、通信装置１０−１のネゴシエーション部２５０は、ＩＰｓｅｃトンネルを確立する所定の鍵交換ネゴシエーションメッセージを通信装置１０−２に送信する（ステップＳ４０２）。
【０１３２】
通信装置１０−２のネゴシエーション部２５０は、ＩＰｓｅｃトンネル確立要求を受信すると（ステップＳ４０３）、通信装置１０−１に対して所定の鍵交換ネゴシエーションを返信する（ステップＳ４０４）。
【０１３３】
このように、通信装置１０−１及び通信装置１０−２間で、ＩＰｓｅｃトンネルを確立する所定の鍵交換ネゴシエーションが完了し、通信装置１０−１及び通信装置１０−２では、トンネル設定部２４０が、ＩＰｓｅｃトンネルを確立する（ステップＳ４０５）。
【０１３４】
通信装置１０−１では、通信装置１０−２との間で鍵交換ネゴシエーションが完了し、カプセル化モードがＩＰＩＰトンネルモードであることを確認する（ステップＳ５０８）。
【０１３５】
そうすると、通信装置１０−１の鍵交換管理部２１０は、対向する通信装置１０−２に対して、カプセル化モードがＩＰＩＰトンネルモードであることを通知する（図１３のＳ４０７及びＳ４０８、図１４のステップＳ５０９）。
【０１３６】
このとき、通信装置１０−１は、ＩＰｓｅｃトンネルが確立しているので、ＩＰｓｅｃトンネルを通じてカプセル化モードの通知を行う。
【０１３７】
そして、通信装置１０−１及び通信装置１０−２のカプセル化モードがＩＰＩＰトンネルモードである場合（ステップＳ５１０）、トンネル設定部２４０は、第１の実施形態と同様に、ＩＰＩＰトンネルモードに関する処理するモジュール（例えば、ｉｐｉｐ．ｏやｔｕｎｎｅｌ．ｏ等）をローディングし、ローディングしたモジュールを確認した後、ＯＳ上で、トンネルの通信に用いる擬似デバイス（例えば、ｔｕｎ１０等）を生成・設定してＩＰＩＰトンネルを生成する（図１３のステップＳ４０９、図１４のステップＳ５１１）。
【０１３８】
また、トンネル設定部２４０は、生成したＩＰＩＰトンネルで経由するネットワークに関するネットワークのルーティングの設定をする（ステップＳ５１２）。
【０１３９】
なお、ステップＳ５１０で、通信装置１０−１及び通信装置１０−２のカプセル化モードがＩＰＩＰトンネルモードでない場合、ＩＰｓｅｃ切断後、リソースを開放して、処理を終了する（ステップＳ５１３）。
【０１４０】
（Ｃ−２）第３の実施形態の効果
上記のように、第３の実施形態によれば、鍵交換ネゴシエーション後に、ＩＰＩＰトンネルを確立することによっても、従来の方式であるＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルよりも少ないオーバヘッドで暗号パケットを伝送することができるＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することができる。
【０１４１】
また、ＧＲＥ ｏｖｅｒ ＩＰｓｅｃトンネルの確立にオペレータによる２段階の操作が必要だったことに対し、任意の鍵交換プロトコルであっても、生成した暗号トンネルを通じてカプセル化モードを対向装置に通知することで１段階の手順でＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃトンネルを確立することができる。
【０１４２】
（Ｄ）他の実施形態
第１の実施形態では、ＩＫＥｖ１の特定のペイロードにカプセル化モードを挿入して通知する方式であったが、対向装置に自装置のカプセル化モードを知らせることができれば、どのようなべイロードであっても良い。例えば、第１の実施形態では、ＩＫＥｖ１のＭａｉｎモード第１メッセージを拡張する場合を例示したが、第１メッセージに限定されず、第３、第５メッセージであってもよい。
【０１４３】
第２の実施形態では、ＩＫＥｖ２の特定のペイロードにカプセル化モードを挿入して通知する方式であったが、対向装置に自装置のカプセル化モードを知らせることができれば、どのようなべイロードであっても良い。
【０１４４】
第１及び第２の実施形態では、ＩＫＥｖ１やＩＫＥｖ２の特定のペイロードにカプセル化モードを挿入して通知する方式であったが、対向装置に自装置のカプセル化モードを知らせることができれば、どのような鍵交換プロトコルであっても良い。
【０１４５】
第１、第２、第３の実施形態では、カプセル化モードとしてＩＰＩＰトンネルを使用したが、「ＩＰｖ６ ｏｖｅｒ ＩＰｖ４トンネル」「ＩＰｖ４ ｏｖｅｒ ＩＰｖ６トンネル」「ＩＰｖ６ ｏｖｅｒ ＩＰｖ６トンネル」等、どのようなトンネリングプロトコルでも良い。
【０１４６】
第１、第２、第３の実施形態では、カプセル化モードとしてＩＰＩＰトンネルを使用したが、「Ｅｔｈｅｒ ｏｖｅｒ ＩＰ」レイヤ２トンネル等、レイヤ３トンネリングプロトコル以外でも良い。
【０１４７】
第１の実施形態では、ＩＰＩＰトンネル自身に設定するアドレスを自装置のユーザインタフェースによって設定したが、ｍｏｄｅ−ｃｏｎｆｉｇ（ｄｒａｆｔ−ｄｕｋｅｓ−ｉｋｅ−ｍｏｄｅ−ｃｆｇ−０２．ｔｘｔ）を使って対向装置から自動的に取得したアドレスを設定しても良い。
【０１４８】
第２の実施形態では、ＩＰＩＰトンネル自身に設定するアドレスを自装置のユーザインタフェースによって設定したが、Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐａｙｌｏａｄ（ＲＦＣ４３０６ ３．１５章）を使って対向装置から自動的に取得したアドレスを設定しても良い。
【０１４９】
第１、第２、第３の実施形態では、マルチキャストパケットのようなトンネルモードのＩＰｓｅｃ上で送受信することができないトラフィックを扱う際、ＧＲＥ ｏｖｅｒ ＩＰｓｅｃの代わりにＩＰＩＰ ｏｖｅｒ ＩＰｓｅｃを利用することができる。これにより、ＧＲＥヘッダ分のオーバヘッドを軽減することができる。
【符号の説明】
【０１５０】
５…パケット転送システム、１０−１及び１０−２…通信装置、
１００…ユーザインタフェース部、２００…プログラム部、
２１０…鍵交換管理部、２２０…ＳＰ設定部、２３０…ＳＡ設定部、
２４０…トンネル設定部、２５０…ネゴシエーション部、
３００…ネットワークスタック部、
３１０…ＳＰＤ、３２０…ＳＡＤ、３３０…パケット処理部、
３４０−１…インタフェース部（ＷＡＮ側）、３４０−２…インタフェース部（ＬＡＮ側）。
【特許請求の範囲】
【請求項１】
第１の通信装置と、上記第１の通信装置に対向する第２の通信装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送するパケット転送システムにおいて、
上記第１の通信装置が、上記鍵交換プロトコルによる上記第２の通信装置との間のネゴシエーションの際、自装置が要求するカプセル方式を上記第２の通信装置に通知するモード通知手段を有し、
上記第２の通信装置が、上記第１の通信装置の要求するカプセル方式を認識するモード認識手段を有し、
上記第１の通信装置及び上記第２の通信装置は、上記鍵交換プロトコルを用いて、上記カプセル方式によるトンネルを設定するトンネル設定手段を有する
ことを特徴とするパケット転送システム。
【請求項２】
上記モード通知手段が、上記鍵交換プロトコルによるネゴシエーション中に、自装置が要求するカプセル方式を上記第２の通信装置に通知することを特徴とする請求項１に記載のパケット転送システム。
【請求項３】
上記モード通知手段が、上記鍵交換プロトコルによるネゴシエーション後に、上記鍵交換プロトコルによる暗証通信確立後に、自装置が要求するカプセル方式を上記第２の通信装置に通知することを特徴とする請求項１に記載のパケット転送システム。
【請求項４】
上記第１の通信装置及び上記第２の通信装置は、
上記鍵交換プロトコルによる鍵交換処理に必要な鍵交換設定情報を設定する鍵交換設定情報設定手段と、
上記カプセル方式によるトンネルを確立するために必要なトンネル確立設定情報を設定するトンネル確立設定手段と
を備え、
上記トンネル確立設定手段及び上記鍵交換設定情報設定手段が、上記トンネル確立設定情報と上記鍵交換設定情報との間で重複する設定項目を相互に補完することを特徴とする請求項１〜３のいずれかに記載のパケット転送システム。
【請求項５】
上記鍵交換プロトコルがＩＰｓｅｃであり、上記トンネル設定手段が、ＩＰｓｅｃのトランスポートモードで上記トンネルを確立することを特徴とする請求項１〜４のいずれかに記載のパケット転送システム。
【請求項６】
第１の通信装置と、上記第１の通信装置に対向する第２の通信装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送するパケット転送方法において、
上記第１の通信装置が、上記鍵交換プロトコルによる上記第２の通信装置との間のネゴシエーションの際、自装置が要求するカプセル方式を上記第２の通信装置に通知するモード通知工程と、
上記第２の通信装置が、上記第１の通信装置の要求するカプセル方式を認識するモード認識工程と、
上記第１の通信装置及び上記第２の通信装置は、上記鍵交換プロトコルを用いて、上記カプセル方式によるトンネルを設定するトンネル設定工程と
を有することを特徴とするパケット転送方法。
【請求項７】
対向装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送する通信装置において、
上記鍵交換プロトコルにより上記対向装置との間でネゴシエーションを行うネゴシエーション手段と、
上記ネゴシエーション手段による上記対向装置との間のネゴシエーションの際、自装置が要求するカプセル方式を上記対向装置に通知するモード通知手段と、
上記対向装置の要求するカプセル方式を認識するモード認識手段と、
上記鍵交換プロトコルを用いて、上記カプセル方式によるトンネルを設定するトンネル設定手段と
を備えることを特徴とする通信装置。
【請求項８】
対向装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送する通信装置を、
上記鍵交換プロトコルにより上記対向装置との間でネゴシエーションを行うネゴシエーション手段、
上記ネゴシエーション手段による上記対向装置との間のネゴシエーションの際、自装置が要求するカプセル方式を上記対向装置に通知するモード通知手段、
上記対向装置の要求するカプセル方式を認識するモード認識手段、
上記鍵交換プロトコルを用いて、上記カプセル方式によるトンネルを設定するトンネル設定手段
として機能させることを特徴とするパケット転送プログラム。
【請求項１】
第１の通信装置と、上記第１の通信装置に対向する第２の通信装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送するパケット転送システムにおいて、
上記第１の通信装置が、上記鍵交換プロトコルによる上記第２の通信装置との間のネゴシエーションの際、自装置が要求するカプセル方式を上記第２の通信装置に通知するモード通知手段を有し、
上記第２の通信装置が、上記第１の通信装置の要求するカプセル方式を認識するモード認識手段を有し、
上記第１の通信装置及び上記第２の通信装置は、上記鍵交換プロトコルを用いて、上記カプセル方式によるトンネルを設定するトンネル設定手段を有する
ことを特徴とするパケット転送システム。
【請求項２】
上記モード通知手段が、上記鍵交換プロトコルによるネゴシエーション中に、自装置が要求するカプセル方式を上記第２の通信装置に通知することを特徴とする請求項１に記載のパケット転送システム。
【請求項３】
上記モード通知手段が、上記鍵交換プロトコルによるネゴシエーション後に、上記鍵交換プロトコルによる暗証通信確立後に、自装置が要求するカプセル方式を上記第２の通信装置に通知することを特徴とする請求項１に記載のパケット転送システム。
【請求項４】
上記第１の通信装置及び上記第２の通信装置は、
上記鍵交換プロトコルによる鍵交換処理に必要な鍵交換設定情報を設定する鍵交換設定情報設定手段と、
上記カプセル方式によるトンネルを確立するために必要なトンネル確立設定情報を設定するトンネル確立設定手段と
を備え、
上記トンネル確立設定手段及び上記鍵交換設定情報設定手段が、上記トンネル確立設定情報と上記鍵交換設定情報との間で重複する設定項目を相互に補完することを特徴とする請求項１〜３のいずれかに記載のパケット転送システム。
【請求項５】
上記鍵交換プロトコルがＩＰｓｅｃであり、上記トンネル設定手段が、ＩＰｓｅｃのトランスポートモードで上記トンネルを確立することを特徴とする請求項１〜４のいずれかに記載のパケット転送システム。
【請求項６】
第１の通信装置と、上記第１の通信装置に対向する第２の通信装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送するパケット転送方法において、
上記第１の通信装置が、上記鍵交換プロトコルによる上記第２の通信装置との間のネゴシエーションの際、自装置が要求するカプセル方式を上記第２の通信装置に通知するモード通知工程と、
上記第２の通信装置が、上記第１の通信装置の要求するカプセル方式を認識するモード認識工程と、
上記第１の通信装置及び上記第２の通信装置は、上記鍵交換プロトコルを用いて、上記カプセル方式によるトンネルを設定するトンネル設定工程と
を有することを特徴とするパケット転送方法。
【請求項７】
対向装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送する通信装置において、
上記鍵交換プロトコルにより上記対向装置との間でネゴシエーションを行うネゴシエーション手段と、
上記ネゴシエーション手段による上記対向装置との間のネゴシエーションの際、自装置が要求するカプセル方式を上記対向装置に通知するモード通知手段と、
上記対向装置の要求するカプセル方式を認識するモード認識手段と、
上記鍵交換プロトコルを用いて、上記カプセル方式によるトンネルを設定するトンネル設定手段と
を備えることを特徴とする通信装置。
【請求項８】
対向装置との間で、所定の鍵交換プロトコルに従って転送パケットをカプセル化してパケット転送する通信装置を、
上記鍵交換プロトコルにより上記対向装置との間でネゴシエーションを行うネゴシエーション手段、
上記ネゴシエーション手段による上記対向装置との間のネゴシエーションの際、自装置が要求するカプセル方式を上記対向装置に通知するモード通知手段、
上記対向装置の要求するカプセル方式を認識するモード認識手段、
上記鍵交換プロトコルを用いて、上記カプセル方式によるトンネルを設定するトンネル設定手段
として機能させることを特徴とするパケット転送プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２０１１−７７８８７（Ｐ２０１１−７７８８７Ａ）
【公開日】平成２３年４月１４日（２０１１．４．１４）
【国際特許分類】
【出願番号】特願２００９−２２８０１３（Ｐ２００９−２２８０１３）
【出願日】平成２１年９月３０日（２００９．９．３０）
【出願人】（３０８０３３７２２）株式会社ＯＫＩネットワークス (165)
【Ｆターム（参考）】
【公開日】平成２３年４月１４日（２０１１．４．１４）
【国際特許分類】
【出願日】平成２１年９月３０日（２００９．９．３０）
【出願人】（３０８０３３７２２）株式会社ＯＫＩネットワークス (165)
【Ｆターム（参考）】
[ Back to top ]