通信システム、通信方法、および、通信システムに用いられる応答側終端装置
【課題】セキュリティ通信およびアクセス制御を実行する通信システムにおいて、セキュリティ強度を高めるとともに、コストを抑制すること。
【解決手段】応答側終端装置２の接続応答部２１は、要求側終端装置１の接続要求部１１から所定の通信トンネル７を確立するための要求メッセージを受信すると、応答側記憶手段から通信ポリシ２２を読み取り、その通信ポリシ２２で規定される、所定の通信トンネル７内でデータ転送するフローの識別情報を、接続要求部１１に送信し、接続要求部１１が受信したフローの識別情報を、自装置内における所定の通信トンネル７内のデータ転送に適用しないときには、接続要求部１１との間に所定の通信トンネル７の確立を中断することを特徴とする。
【解決手段】応答側終端装置２の接続応答部２１は、要求側終端装置１の接続要求部１１から所定の通信トンネル７を確立するための要求メッセージを受信すると、応答側記憶手段から通信ポリシ２２を読み取り、その通信ポリシ２２で規定される、所定の通信トンネル７内でデータ転送するフローの識別情報を、接続要求部１１に送信し、接続要求部１１が受信したフローの識別情報を、自装置内における所定の通信トンネル７内のデータ転送に適用しないときには、接続要求部１１との間に所定の通信トンネル７の確立を中断することを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、通信方法、および、通信システムに用いられる応答側終端装置に関する。
【背景技術】
【０００２】
ＩＰｓｅｃの通信トンネルを用いてセキュリティが高いデータ通信を行うＶＰＮ（Virtual Private Network）の形態が、ＩＰｓｅｃＶＰＮとして知られている。この通信トンネルを確立する手順において、例えば、鍵交換プロトコルのＩＫＥｖ２（Internet Key Exchange version 2）が用いられる。ＩＫＥｖ２は、非特許文献１（概要説明），非特許文献２（詳細仕様）にそれぞれ記載されている。
【０００３】
図６は、ＩＰｓｅｃＶＰＮにおいて、アクセス制御を実施するときの構成図を示す。要求側終端装置９１と応答側終端装置９２との間には、ＩＰｓｅｃの通信トンネル９７がキャリア網９８に確立され、この通信トンネル９７を介して通信ノード９３間のデータ通信が実行される。
さらに、ルータなどのアクセス制御装置９４ａ，９４ｂは、各拠点（管理網９５、ＩＰ−ＶＰＮ９９）に設けられ、通信ノード９３が送受信するパケットに対して、ＡＣＬ（Access Control List）によるパケットフィルタリング処理を実行する。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】C. Kaufman, Ed.、“Internet Key Exchange (IKEv2) Protocol”、[online]、December 2005、IETF、［平成２１年８月１８日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc4306.txt＞
【非特許文献２】P. Eronen、P. Hoffman、“IKEv2 Clarifications and Implementation Guidelines”、[online]、October 2006、IETF、［平成２１年８月１８日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc4718.txt＞
【発明の概要】
【発明が解決しようとする課題】
【０００５】
前記図６で示した通信システムでは、セキュリティ強度およびシステムコストの点で、以下の２つの課題が存在する。
【０００６】
まず、セキュリティ強度が充分でないという課題がある。これは、図６の管理網９５内のアクセス制御装置９４ａに設定されるＡＣＬと、ＩＰ−ＶＰＮ９９内のアクセス制御装置９４ｂに設定されるＡＣＬとで、管理主体が異なる場合は、セキュリティ強度にばらつきが発生するためである。つまり、管理網９５内のセキュリティ強度の充分なＡＣＬをＩＰ−ＶＰＮ９９内に強制するしくみがないため、管理者側から拠点側に適切なフィルタリング設定を行わせる強制力がない。よって、不要パケットの網内流入を防ぐことは出来ず、場合によっては回線の非効率化に繋がるケースも想定される。
【０００７】
次に、余分なシステムコストがかかってしまうという課題がある。アクセス制御装置９４ｂは独立して各ネットワークに点在しているため、これらのアクセス制御装置９４ｂごとに、ＡＣＬを設定する必要がある。そして、拠点数や識別フロー数の増加によりＡＣＬの内容が複雑化・多様化すると、設定稼働の増大や、設定ミスによる通信不具合・不要パケットの網内流入などを招くリスクが高くなる。
【０００８】
そこで、本発明は、前記した問題を解決し、セキュリティ通信およびアクセス制御を実行する通信システムにおいて、セキュリティ強度を高めるとともに、コストを抑制することを、主な目的とする。
【課題を解決するための手段】
【０００９】
前記課題を解決するために、本発明は、要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムであって、前記要求側終端装置が、接続要求部と、前記通信ポリシを記憶する要求側記憶手段と、を有し、前記応答側終端装置が、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、前記接続応答部が、前記接続要求部から所定の通信トンネルを確立するための要求メッセージを受信すると、前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記接続要求部に送信し、前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するために前記要求側記憶手段に書き込むときには、前記接続要求部との間に前記所定の通信トンネルを確立し、前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記接続要求部との間に前記所定の通信トンネルの確立を中断することを特徴とする。
【００１０】
これにより、通信トンネルの確立と引き替えに、１台の応答側終端装置で管理している通信ポリシを、１台以上の要求側終端装置に強制できるので、管理者のセキュリティポリシが通信システム全体に適用され、セキュリティの向上が期待できる。
【００１１】
本発明は、前記接続応答部が、複数の前記フローの識別情報を前記応答メッセージとして前記接続要求部に送信し、前記接続要求部が、受信した複数の前記フローの識別情報を１つの前記所定の通信トンネル内でデータ転送するように対応づけて、前記要求側記憶手段に格納することを特徴とする。
【００１２】
これにより、応答メッセージに含まれるフローの本数を増加するように標準仕様から拡張したことで、通信ポリシの情報欠落を抑制でき、きめ細やかなアクセス制御を実施することができる。
【００１３】
本発明は、前記接続応答部が、前記フローの識別情報として、データ転送するパケットの優先度クラスを指定した前記応答メッセージで前記接続要求部に送信し、前記要求側終端装置が、前記応答メッセージで指定されたパケットの優先度クラスに適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする。
【００１４】
これにより、応答メッセージに含まれるフローの表現力を向上するように標準仕様から拡張したことで、通信ポリシの情報欠落を抑制でき、きめ細やかなアクセス制御を実施することができる。
【００１５】
本発明は、前記接続応答部が、前記フローの識別情報として、データ転送するパケットのパケットサイズを指定した前記応答メッセージで前記接続要求部に送信し、前記要求側終端装置が、前記応答メッセージで指定されたパケットサイズに適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする。
【００１６】
これにより、応答メッセージに含まれるフローの表現力を向上するように標準仕様から拡張したことで、通信ポリシの情報欠落を抑制でき、きめ細やかなアクセス制御を実施することができる。
【００１７】
本発明は、前記接続応答部が、前記フローの識別情報に加えて、そのフローのデータ転送の通信方向を示す情報を指定した前記応答メッセージで前記接続要求部に送信し、前記要求側終端装置が、前記応答メッセージで指定された通信方向に適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする。
【００１８】
これにより、応答メッセージに含まれるフローの表現力を向上するように標準仕様から拡張したことで、通信ポリシの情報欠落を抑制でき、きめ細やかなアクセス制御を実施することができる。
【００１９】
本発明は、要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムによる通信方法であって、前記要求側終端装置が、接続要求部と、前記通信ポリシを記憶する要求側記憶手段と、を有し、前記応答側終端装置が、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、前記接続応答部が、前記接続要求部から所定の通信トンネルを確立するための要求メッセージを受信すると、前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記接続要求部に送信し、前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するために前記要求側記憶手段に書き込むときには、前記接続要求部との間に前記所定の通信トンネルを確立し、前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記接続要求部との間に前記所定の通信トンネルの確立を中断することを特徴とする。
【００２０】
これにより、通信トンネルの確立と引き替えに、１台の応答側終端装置で管理している通信ポリシを、１台以上の要求側終端装置に強制できるので、管理者のセキュリティポリシが通信システム全体に適用され、セキュリティの向上が期待できる。
【００２１】
本発明は、要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムに用いられる前記応答側終端装置であって、前記応答側終端装置が、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、前記接続応答部が、前記要求側終端装置から所定の通信トンネルを確立するための要求メッセージを受信すると、前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記要求側終端装置に送信し、前記要求側終端装置が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するときには、前記要求側終端装置との間に前記所定の通信トンネルを確立し、前記要求側終端装置が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記要求側終端装置との間に前記所定の通信トンネルの確立を中断することを特徴とする。
【００２２】
これにより、通信トンネルの確立と引き替えに、１台の応答側終端装置で管理している通信ポリシを、１台以上の要求側終端装置に強制できるので、管理者のセキュリティポリシが通信システム全体に適用され、セキュリティの向上が期待できる。
【発明の効果】
【００２３】
本発明によれば、セキュリティ通信およびアクセス制御を実行する通信システムにおいて、セキュリティ強度を高めるとともに、コストを抑制することができる。
【図面の簡単な説明】
【００２４】
【図１】本発明の一実施形態に関する通信システムを示す構成図である。
【図２】本発明の一実施形態に関する図１の通信システムを構成する要求側終端装置および応答側終端装置を示す構成図である。
【図３】本発明の一実施形態に関する応答側終端装置「Ａ」から要求側終端装置「Ｇ」へと送信される接続応答を示すパケット図である。
【図４】本発明の一実施形態に関する応答側終端装置「Ｂ」から要求側終端装置「Ｇ」へと送信される接続応答を示すパケット図である。
【図５】本発明の一実施形態に関するカプセリング区間とアクセス制御の位置を示す説明図である。
【図６】ＩＰｓｅｃＶＰＮにおいて、アクセス制御を実施するときの構成図である。
【発明を実施するための形態】
【００２５】
以下、本発明の一実施形態を、図面を参照して詳細に説明する。
【００２６】
図１は、通信システムを示す構成図である。この通信システムは、キャリア（通信事業者）が提供するキャリア網８と、そのキャリア網８に接続されるユーザ網であるＩＰ−ＶＰＮ９とにより構成されるＩＰｓｅｃＶＰＮである。なお、通信システムは、ＩＰｓｅｃＶＰＮとする代わりに、ユーザ拠点間を直接接続するようなインターネットＶＰＮや、リモートアクセス用のＩＰｓｅｃにも適応可能である。さらに、図１では、ＩＰｓｅｃのＥＳＰ（Encapsulating Security Payload）におけるトンネルモードを例示したが、ＥＳＰの代わりにＡＨ（Authentication Header）を用いてもよいし、トンネルモードの代わりにトランスポートモードを用いてもよい。
要求側終端装置１および応答側終端装置２は、キャリア網８とＩＰ−ＶＰＮ９との中継地点に位置する。通信ノード３は、ＩＰ−ＶＰＮ９内に位置する。
なお、通信システムを構成する各装置（要求側終端装置１、応答側終端装置２、通信ノード３）は、それぞれ制御装置としてのＣＰＵと、記憶手段としてのメモリと、ネットワークインタフェースとを備えるコンピュータとして構成される。なお、図１の各装置の名称の後に記載される括弧内の記号（例えば、通信ノード（ａ１）における「ａ１」）は、その装置のアドレスを示す。
【００２７】
要求側終端装置１は、通信トンネル７の終端に位置する装置であり、その通信トンネル７を確立するための接続要求５を応答側終端装置２に送信する装置である。つまり、要求側終端装置１は、非特許文献１における始動装置（Initiator）に該当し、接続要求５は、「IKE_AUTH request」メッセージまたは「CREATE_CHILD_SA request」メッセージに該当する。
応答側終端装置２は、通信トンネル７の終端に位置する装置であり、その通信トンネル７を確立するための接続要求５への接続応答６を要求側終端装置１に応答する装置である。つまり、応答側終端装置２は、非特許文献１における応答装置（Responder）に該当し、接続応答６は、「IKE_AUTH response」メッセージまたは「CREATE_CHILD_SA response」メッセージに該当する。
【００２８】
通信ノード３は、通信トンネル７を介して、互いに通信を行うノード端末である。通信トンネル７は、要求側終端装置１と応答側終端装置２との間でＵＮＩ（User Network Interface）をまたいで、例えばＩＰｓｅｃ／ＩＫＥｖ２の規定に従って接続される回線交換用トンネルである。この通信トンネル７内で転送されるデータの内容は、ＩＰｓｅｃによるセキュリティが保証されることにより、盗み見や改ざんが防止される。
【００２９】
要求側終端装置１および応答側終端装置２は、それぞれ通信ノード３から到着するパケットを受信すると、自装置に設定されているＴＳ（Traffic Selector）を参照し、そのパケットを通信トンネル７内に転送するか否か、および、複数の通信トンネル７が存在するときには、どの通信トンネル７に転送するかを決定する。そして、転送するパケットは、カプセリング処理されることで、通信トンネル７内に送信される。このように、要求側終端装置１および応答側終端装置２は、ＴＳを元に通信トンネル７に転送するパケットを選択する旨のアクセス制御を実行する。
【００３０】
ＴＳは、セキュリティポリシを示す設定データであり、応答側終端装置２のＴＳが接続応答６に含まれて通知されることで、要求側終端装置１のＴＳへと設定される。このように、ＴＳの設定手順を応答側終端装置２から要求側終端装置１への片方向の通知にすることにより、最新状況を反映するＴＳの管理を応答側終端装置２の側だけで行えばよいので、セキュリティポリシの管理コストを抑制することができる。この際のＴＳの更新は、非特許文献１における、CHILD_SAのRekeyを行うことにより可能である。
【００３１】
要求側終端装置１は、ＴＳの交渉処理（Traffic Selector Negotiation）において、接続応答６に含まれるＴＳを自装置に設定しない（換言すると、応答側終端装置２から提案されたセキュリティポリシを拒否する）場合には、その拒否する旨の応答（例えば、TS_UNACCEPTABLE）を応答側終端装置２に送信する。
一方、要求側終端装置１はＴＳを受け入れる場合には、拒否する旨の応答を送信しない。そして、応答側終端装置２は、拒否する旨の応答を受信したときには、自装置から提案したセキュリティポリシが受け入れられないので、通信トンネル７の確立を中断する。
さらに、通信トンネル７の確立後に、セキュリティポリシに適合しない不正パケットを受信した応答側終端装置２は、不正パケットの送信元である要求側終端装置１に対して、セキュリティポリシ違反の通知メッセージ（例えば、INVALID_SELECTORS）を通知してもよい。
これにより、応答側終端装置２は、要求側終端装置１に対して、通信トンネル７の確立時に自装置から提案したセキュリティポリシを強制することができる。よって、要求側終端装置１から通信トンネル７内に送信されるパケットは、セキュリティポリシに適合したパケットに絞り込むことができる。
【００３２】
図２は、図１の通信システムを構成する要求側終端装置１および応答側終端装置２を示す構成図である。
要求側終端装置１は、接続要求部１１と、通信ポリシ１２と、アクセス制御部１３とを有する。
応答側終端装置２は、接続応答部２１と、通信ポリシ２２と、アクセス制御部２３とを有する。
【００３３】
接続要求部１１は、接続応答部２１に対して、通信トンネル７を確立するための接続要求５を送信し、その応答としての接続応答６を受信する。そして、接続要求部１１は、受信した接続応答６に含まれているＴＳが示すセキュリティポリシを、通信ポリシ１２として書き込む。
通信ポリシ１２は、通信ポリシ２２（後記する表１を参照）と同様の内容が、接続要求部１１によって書き込まれる。
アクセス制御部１３は、アクセス制御部１３との間に通信トンネル７を設け、データ転送を実行する。このデータ転送において、通信ポリシ１２を参照することで、受信したパケットを通信トンネル７内に転送するか否か、および、複数の通信トンネル７が存在するときには、どの通信トンネル７に転送するかを決定する。
【００３４】
接続応答部２１は、接続要求５への応答としての接続応答６を、接続要求部１１に返信する。この接続応答６には、通信ポリシ２２の内容を元に作成されるＴＳが含まれている。
アクセス制御部２３は、アクセス制御部１３との間に通信トンネル７を設け、データ転送を実行する。このデータ転送において、通信ポリシ２２を参照することで、受信したパケットを通信トンネル７内に転送するか否か、および、複数の通信トンネル７が存在するときには、どの通信トンネル７に転送するかを決定する。
【００３５】
【表１】
【００３６】
表１は、通信ポリシ２２の一例を示すテーブルである。通信ポリシ２２は、１行が１つのフローに関するセキュリティポリシを示し、１つ以上のフローが、１つの通信トンネル７に対応づけられる。
通信ポリシ２２は、フローＩＤと、ＩＰレイヤと、拠点Ａアドレスと、許可方向と、拠点Ｂアドレスと、優先度クラスと、パケットサイズとを対応づけて、フローを管理する。
フローＩＤは、フローの識別子である。
ＩＰレイヤは、後記する拠点Ａアドレスおよび拠点ＢアドレスのプロトコルＩＤを示す。
拠点Ａアドレスおよび拠点Ｂアドレスは、それぞれ通信ノード３のアドレスを示す。
許可方向は、拠点Ａアドレスと拠点Ｂアドレスとの間の通信について、許可する方向を示す。
優先度クラスは、フローに割り当てられている優先度を示す。表１内のＥＦ（Expedited Forwarding）や、ＡＦ（Assured Forwarding）という値は、ＤｉｆｆＳｅｒｖ（Differentiated Services）で規定されている。
パケットサイズは、フローを識別するためのパケットサイズを示す。
【００３７】
【表２】
【００３８】
表２は、接続要求５および接続応答６におけるＴＳのフォーマットを示す。非特許文献１に記載されている標準仕様に対して、「（拡張有）」で示すフィールドが拡張されている。なお、このフォーマットは、CREATE_CHILD_SAメッセージだけでなく、IKE_AUTHメッセージに含めてもよい。
【００３９】
まず、非特許文献１に記載されている標準仕様では、以下の５つの情報による組合せでフローを定義する。
・送信元（ソース）アドレス
・送信先（ディスティネーション）アドレス
・送信元（ソース）ポート
・送信先（ディスティネーション）ポート
・通信プロトコル
表２内のスタートアドレス〜エンドアドレスで示されるアドレス範囲が、フローのソースアドレスまたはフローのディスティネーションアドレスを示す。
表２内のスタートポート〜エンドポートで示されるアドレス範囲が、フローのソースポートまたはフローのディスティネーションポートを示す。
表２内のプロトコルＩＤは、フローの通信プロトコルを示す。
【００４０】
そして、本実施形態では、以下に示す拡張がなされている。この拡張により、きめ細やかなフロー識別によるアクセス制御が実施できる。
・表２内のＴＳタイプのビット番号「１」の値が「０（許可）」であるときには、許可方向の制御として、ＴＳｉ（要求側終端装置１が収容する各通信ノード３）宛の通信が許可される。
・表２内のＴＳタイプのビット番号「２」の値が「０（許可）」であるときには、許可方向の制御として、ＴＳｒ（応答側終端装置２が収容する各通信ノード３）宛の通信が許可される。
・表２内のＴＳタイプのビット番号「３」の値が「１（有り）」であるときには、パケットに付されている優先度クラスによりフローを識別する。その優先度クラスは、トラフィックセレクタ内のスタート優先度クラス〜エンド優先度クラスが示す範囲によって指示される。一方、ビット番号「３」の値が「０（無し）」であるときには、スタート優先度クラスおよびエンド優先度クラスの各フィールドは、トラフィックセレクタ内には不要である。
・表２内のＴＳタイプのビット番号「４」の値が「１（有り）」であるときには、パケットのパケットサイズによりフローを識別する。一方、ビット番号「４」の値が「０（無し）」であるときには、パケットサイズのフィールドは、トラフィックセレクタ内には不要である。
・表２内のＴＳタイプのビット番号「５〜８」の値は、非特許文献１に記載されている標準仕様のままであり、拡張は行っていない。
【００４１】
【表３】
【００４２】
表３は、表１の通信ポリシ２２から、接続応答６に含まれるＴＳタイプに変換した結果を示す。接続応答部２１は、通信ポリシ２２を記憶手段から読みとって、変換処理を実行して表３のＴＳタイプを作成し、送信する予定の接続応答６へと書き込む。
例えば、フローＩＤ「Ｆ１」は、ＴＳｉ宛通信「０（許可）」、ＴＳｒ宛通信「０（許可）」、優先度クラスによる制御「１（有り）」、パケットサイズによる制御「０（無し）」、通信プロトコルの種別「０１１１（ＩＰｖ４）」という通信ポリシ２２が、ビット列「００１００１１１」というＴＳタイプに変換される。
【００４３】
【表４】
【００４４】
表４は、複数のフローを通知するための接続応答６のペイロード例を示す。まず、非特許文献１に記載されている標準仕様では、１つの通信トンネル７を作成するための１回の接続応答６の送信において、その接続応答６には、フローの識別情報である「ＴＳｉおよびＴＳｒ」の組は、１組だけしか設定できなかった。そのため、表１などの通信ポリシ２２が示すような、複数のフローによるセキュリティポリシを設定するためには、フロー数と同数の通信トンネル７を作成する必要があり、ネットワーク資源の利用効率を低下させていた。
【００４５】
そこで、接続応答６を拡張し、ペアとなるＴＳｉペイロードとＴＳｒペイロードは必ず連続させて格納し、連続したＴＳｉ、ＴＳｒを一つの通信フローとして識別するようにルール化することにした。これにより、１つの接続応答６内に「ＴＳｉおよびＴＳｒ」の組を複数組格納することができるので、１つの通信トンネル７を作成するときに、複数のフローと対応づけることができる。
【００４６】
以上、通信システムの構成について、説明した。次に、通信システムの動作を説明する。以下の（１）〜（６）の順に実行され、ＴＳの交渉処理（Traffic Selector Negotiation）は、そのうちの（１）〜（４）である。
（１）応答側終端装置２は、ネットワークの管理者などから、通信ポリシ２２の入力を受け付けると、自装置内の記憶手段に格納する。
（２）要求側終端装置１の接続要求部１１は、応答側終端装置２に対して、接続要求５（表５で後記）を送信する。
（３）応答側終端装置２の接続応答部２１は、受信した接続要求５に対して、通信ポリシ２２から変換したＴＳを含む接続応答６（応答側終端装置２のアドレスが「Ａ」なら図３で、応答側終端装置２のアドレスが「Ｂ」なら図４で、それぞれ後記）を作成し、要求側終端装置１に返信する。
（４）要求側終端装置１の接続要求部１１は、受信した接続応答６からＴＳを読み取り、通信ポリシ１２に変換して自装置内の記憶手段に格納する。もし、受信したＴＳを拒否するときには、その旨を要求側終端装置１に通知する。
（５）応答側終端装置２の接続応答部２１は、受信したＴＳが拒否されないときには、要求側終端装置１との間に通信トンネル７を確立する。
（６）要求側終端装置１のアクセス制御部１３は、通信ノード３からパケットを受信すると、そのパケットが通信ポリシ１２に適合しているか否かを照合する。そして、アクセス制御部１３は、通信ポリシ１２に適合しているパケットについて、通信トンネル７を介して、応答側終端装置２のアクセス制御部２３に送信する。
【００４７】
前記（６）の処理の一例として、アドレス「ａ１」からアドレス「ｂ１」へ送信するパケットについて、その優先度クラスがＥＦまたはＡＦなら、フローＩＤ「Ｆ１」に該当するので、送信が許可される。一方、アドレス「ａ１」からアドレス「ｂ１」へ送信するパケットでも、その優先度クラスがＥＦでもＡＦでもないときには、フローＩＤ「Ｆ１」に該当しないので、廃棄される。
【００４８】
前記（６）の処理の一例として、アドレス「ａ２」からアドレス「ｂ２」へ送信するパケットについて、そのパケットサイズが１０００ｂｙｔｅ以下なら、フローＩＤ「Ｆ２」に該当するので、送信が許可される。一方、アドレス「ａ２」からアドレス「ｂ２」へ送信するパケットでも、そのパケットサイズが１０００ｂｙｔｅより大きいときには、フローＩＤ「Ｆ２」に該当しないので、廃棄される。
【００４９】
【表５】
【００５０】
表５は、接続要求５の一例を示す。１つのフィールド内に、そのフィールドの名称（例えば、セレクタ数）と、そのフィールドの値（例えば、括弧内の「１」）とを併記する。接続要求５には、表２で示したフォーマットに従って作成された、１つのＴＳｉと１つのＴＳｒとの組が、含まれている。なお、イニシエータ側が提案するＴＳｉとＴＳｒは、レスポンダ側から回答する範囲を含んでいればどのような値であっても問題ないが、ここではモデルの簡素化のために、ＩＰｖ４アドレスを、任意の値を示す「ａｎｙ（０．０．０．０〜２５５．２５５．２５５．２５５）」とする。
【００５１】
図３は、応答側終端装置２「Ａ」から要求側終端装置１「Ｇ」へと送信される接続応答６である。各行のＴＳタイプには、表３で示した８ビットの値がそれぞれ格納される。
フローＩＤ「Ｆ１」のＴＳｉ（１行目）のスタートアドレス〜エンドアドレスには「ａ１」を格納する。
フローＩＤ「Ｆ１」のＴＳｒ（２行目）のスタートアドレス〜エンドアドレスには「ｂ１」を格納する。
フローＩＤ「Ｆ２」のＴＳｉ（３行目）のスタートアドレス〜エンドアドレスには「ａ２」を格納する。
フローＩＤ「Ｆ２」のＴＳｒ（４行目）のスタートアドレス〜エンドアドレスには「ｂ２」を格納する。
フローＩＤ「Ｆ３」のＴＳｉ（５行目）のスタートアドレス〜エンドアドレスには「ａ３」を格納する。
フローＩＤ「Ｆ３」のＴＳｒ（６行目）のスタートアドレス〜エンドアドレスには「ｂ３」を格納する。
【００５２】
図４は、応答側終端装置２「Ｂ」から要求側終端装置１「Ｇ」へと送信される接続応答６である。各行のＴＳタイプには、表３で示した８ビットの値がそれぞれ格納される。
フローＩＤ「Ｆ１」のＴＳｉ（１行目）のスタートアドレス〜エンドアドレスには「ｂ１」を格納する。
フローＩＤ「Ｆ１」のＴＳｒ（２行目）のスタートアドレス〜エンドアドレスには「ａ１」を格納する。
フローＩＤ「Ｆ２」のＴＳｉ（３行目）のスタートアドレス〜エンドアドレスには「ｂ２」を格納する。
フローＩＤ「Ｆ２」のＴＳｒ（４行目）のスタートアドレス〜エンドアドレスには「ａ２」を格納する。
フローＩＤ「Ｆ３」のＴＳｉ（５行目）のスタートアドレス〜エンドアドレスには「ｂ３」を格納する。
フローＩＤ「Ｆ３」のＴＳｒ（６行目）のスタートアドレス〜エンドアドレスには「ａ３」を格納する。
【００５３】
以上説明した本実施形態によれば、要求側終端装置１の通信ポリシ１２と、応答側終端装置２の通信ポリシ２２とが共有されるとともに、要求側終端装置１と応答側終端装置２との間の通信トンネル７を介する通信に、それぞれの通信ポリシが使用される。
これにより、１台の応答側終端装置２で管理している通信ポリシ２２を、１台以上の要求側終端装置１に強制できるので、管理者のセキュリティポリシが通信システム全体に適用され、セキュリティの向上が期待できる。
そして、接続応答６に含まれるＴＳの表現力を向上するように標準仕様から拡張（複数フローの収納、優先度クラスなどのフローの詳細定義）したことで、通信ポリシ２２を接続応答６に含ませるときに、セキュリティポリシの情報欠落を抑制でき、きめ細やかなアクセス制御を実施することができる。
【００５４】
さらに、各通信ポリシを管理する装置と、その通信ポリシをもとにアクセス制御する装置とが、同一筐体として構成されることで、通信システムの装置数が削減され、各種コスト（機器購入コスト、運用コスト、保守コスト）を削減することができる。以下、比較例を示す。
【００５５】
図５（ａ）は、図６などの比較例における、カプセリング区間外でアクセス制御を実施する説明図である。ルータなどで行うＡＣＬ（Access Control List）によるパケットフィルタリング相当のアクセス制御は、パケットがトンネルによってカプセリングされる区間では、適用されない。
図５（ｂ）は、本実施形態における、カプセリング区間内でアクセス制御を実施する説明図である。トンネルの終端装置がアクセス制御を実施するため、アクセス制御用のルータを設けなくても済む。
【００５６】
以上説明した本実施形態は、あくまで一例であり、以下に示すように変形実施してもよい。
【００５７】
例えば、通信トンネル７内でデータ転送するフローの識別情報を応答メッセージに含ませて送信するときに、そのフローの識別情報の応答メッセージ内における格納場所については、前記表２で示したフォーマットに限定されず、任意に変更可能である。例えば、表２の「ＴＳタイプ」フィールドを拡張する代わりに、フローの識別情報を格納する独自のフィールドを設けて、そのフィールド内にフローの識別情報をまとめて格納してもよい。
【００５８】
また、フローの識別情報の内容として、フローの通信方向、優先度クラス、パケットサイズを例示したが、その他のフローの識別情報を設定を強制する通信ポリシとして応答メッセージに含ませてもよい。その他のフローの識別情報とは、例えば、ｔｃｐのフラグが挙げられる。
【００５９】
さらに、１つの接続応答６内に「ＴＳｉおよびＴＳｒ」の組を複数組格納するときの格納位置について、表４に示したように、連続したＴＳｉ、ＴＳｒを一つの通信フローとして識別することとしたが、その他の格納位置のルールを用いてもよい。例えば、ＴＳｉを複数個列挙したあとに、ＴＳｒを複数個列挙し、列挙された順序（１つめのＴＳｉと、１つめのＴＳｒのペアなど）でペアを組むようにしてもよい。
【符号の説明】
【００６０】
１ 要求側終端装置
２ 応答側終端装置
３ 通信ノード
５ 接続要求
６ 接続応答
７ 通信トンネル
８ キャリア網
９ ＩＰ−ＶＰＮ
１１ 接続要求部
１２ 通信ポリシ
１３ アクセス制御部
２１ 接続応答部
２２ 通信ポリシ
２３ アクセス制御部
【技術分野】
【０００１】
本発明は、通信システム、通信方法、および、通信システムに用いられる応答側終端装置に関する。
【背景技術】
【０００２】
ＩＰｓｅｃの通信トンネルを用いてセキュリティが高いデータ通信を行うＶＰＮ（Virtual Private Network）の形態が、ＩＰｓｅｃＶＰＮとして知られている。この通信トンネルを確立する手順において、例えば、鍵交換プロトコルのＩＫＥｖ２（Internet Key Exchange version 2）が用いられる。ＩＫＥｖ２は、非特許文献１（概要説明），非特許文献２（詳細仕様）にそれぞれ記載されている。
【０００３】
図６は、ＩＰｓｅｃＶＰＮにおいて、アクセス制御を実施するときの構成図を示す。要求側終端装置９１と応答側終端装置９２との間には、ＩＰｓｅｃの通信トンネル９７がキャリア網９８に確立され、この通信トンネル９７を介して通信ノード９３間のデータ通信が実行される。
さらに、ルータなどのアクセス制御装置９４ａ，９４ｂは、各拠点（管理網９５、ＩＰ−ＶＰＮ９９）に設けられ、通信ノード９３が送受信するパケットに対して、ＡＣＬ（Access Control List）によるパケットフィルタリング処理を実行する。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】C. Kaufman, Ed.、“Internet Key Exchange (IKEv2) Protocol”、[online]、December 2005、IETF、［平成２１年８月１８日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc4306.txt＞
【非特許文献２】P. Eronen、P. Hoffman、“IKEv2 Clarifications and Implementation Guidelines”、[online]、October 2006、IETF、［平成２１年８月１８日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc4718.txt＞
【発明の概要】
【発明が解決しようとする課題】
【０００５】
前記図６で示した通信システムでは、セキュリティ強度およびシステムコストの点で、以下の２つの課題が存在する。
【０００６】
まず、セキュリティ強度が充分でないという課題がある。これは、図６の管理網９５内のアクセス制御装置９４ａに設定されるＡＣＬと、ＩＰ−ＶＰＮ９９内のアクセス制御装置９４ｂに設定されるＡＣＬとで、管理主体が異なる場合は、セキュリティ強度にばらつきが発生するためである。つまり、管理網９５内のセキュリティ強度の充分なＡＣＬをＩＰ−ＶＰＮ９９内に強制するしくみがないため、管理者側から拠点側に適切なフィルタリング設定を行わせる強制力がない。よって、不要パケットの網内流入を防ぐことは出来ず、場合によっては回線の非効率化に繋がるケースも想定される。
【０００７】
次に、余分なシステムコストがかかってしまうという課題がある。アクセス制御装置９４ｂは独立して各ネットワークに点在しているため、これらのアクセス制御装置９４ｂごとに、ＡＣＬを設定する必要がある。そして、拠点数や識別フロー数の増加によりＡＣＬの内容が複雑化・多様化すると、設定稼働の増大や、設定ミスによる通信不具合・不要パケットの網内流入などを招くリスクが高くなる。
【０００８】
そこで、本発明は、前記した問題を解決し、セキュリティ通信およびアクセス制御を実行する通信システムにおいて、セキュリティ強度を高めるとともに、コストを抑制することを、主な目的とする。
【課題を解決するための手段】
【０００９】
前記課題を解決するために、本発明は、要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムであって、前記要求側終端装置が、接続要求部と、前記通信ポリシを記憶する要求側記憶手段と、を有し、前記応答側終端装置が、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、前記接続応答部が、前記接続要求部から所定の通信トンネルを確立するための要求メッセージを受信すると、前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記接続要求部に送信し、前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するために前記要求側記憶手段に書き込むときには、前記接続要求部との間に前記所定の通信トンネルを確立し、前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記接続要求部との間に前記所定の通信トンネルの確立を中断することを特徴とする。
【００１０】
これにより、通信トンネルの確立と引き替えに、１台の応答側終端装置で管理している通信ポリシを、１台以上の要求側終端装置に強制できるので、管理者のセキュリティポリシが通信システム全体に適用され、セキュリティの向上が期待できる。
【００１１】
本発明は、前記接続応答部が、複数の前記フローの識別情報を前記応答メッセージとして前記接続要求部に送信し、前記接続要求部が、受信した複数の前記フローの識別情報を１つの前記所定の通信トンネル内でデータ転送するように対応づけて、前記要求側記憶手段に格納することを特徴とする。
【００１２】
これにより、応答メッセージに含まれるフローの本数を増加するように標準仕様から拡張したことで、通信ポリシの情報欠落を抑制でき、きめ細やかなアクセス制御を実施することができる。
【００１３】
本発明は、前記接続応答部が、前記フローの識別情報として、データ転送するパケットの優先度クラスを指定した前記応答メッセージで前記接続要求部に送信し、前記要求側終端装置が、前記応答メッセージで指定されたパケットの優先度クラスに適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする。
【００１４】
これにより、応答メッセージに含まれるフローの表現力を向上するように標準仕様から拡張したことで、通信ポリシの情報欠落を抑制でき、きめ細やかなアクセス制御を実施することができる。
【００１５】
本発明は、前記接続応答部が、前記フローの識別情報として、データ転送するパケットのパケットサイズを指定した前記応答メッセージで前記接続要求部に送信し、前記要求側終端装置が、前記応答メッセージで指定されたパケットサイズに適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする。
【００１６】
これにより、応答メッセージに含まれるフローの表現力を向上するように標準仕様から拡張したことで、通信ポリシの情報欠落を抑制でき、きめ細やかなアクセス制御を実施することができる。
【００１７】
本発明は、前記接続応答部が、前記フローの識別情報に加えて、そのフローのデータ転送の通信方向を示す情報を指定した前記応答メッセージで前記接続要求部に送信し、前記要求側終端装置が、前記応答メッセージで指定された通信方向に適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする。
【００１８】
これにより、応答メッセージに含まれるフローの表現力を向上するように標準仕様から拡張したことで、通信ポリシの情報欠落を抑制でき、きめ細やかなアクセス制御を実施することができる。
【００１９】
本発明は、要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムによる通信方法であって、前記要求側終端装置が、接続要求部と、前記通信ポリシを記憶する要求側記憶手段と、を有し、前記応答側終端装置が、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、前記接続応答部が、前記接続要求部から所定の通信トンネルを確立するための要求メッセージを受信すると、前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記接続要求部に送信し、前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するために前記要求側記憶手段に書き込むときには、前記接続要求部との間に前記所定の通信トンネルを確立し、前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記接続要求部との間に前記所定の通信トンネルの確立を中断することを特徴とする。
【００２０】
これにより、通信トンネルの確立と引き替えに、１台の応答側終端装置で管理している通信ポリシを、１台以上の要求側終端装置に強制できるので、管理者のセキュリティポリシが通信システム全体に適用され、セキュリティの向上が期待できる。
【００２１】
本発明は、要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムに用いられる前記応答側終端装置であって、前記応答側終端装置が、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、前記接続応答部が、前記要求側終端装置から所定の通信トンネルを確立するための要求メッセージを受信すると、前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記要求側終端装置に送信し、前記要求側終端装置が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するときには、前記要求側終端装置との間に前記所定の通信トンネルを確立し、前記要求側終端装置が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記要求側終端装置との間に前記所定の通信トンネルの確立を中断することを特徴とする。
【００２２】
これにより、通信トンネルの確立と引き替えに、１台の応答側終端装置で管理している通信ポリシを、１台以上の要求側終端装置に強制できるので、管理者のセキュリティポリシが通信システム全体に適用され、セキュリティの向上が期待できる。
【発明の効果】
【００２３】
本発明によれば、セキュリティ通信およびアクセス制御を実行する通信システムにおいて、セキュリティ強度を高めるとともに、コストを抑制することができる。
【図面の簡単な説明】
【００２４】
【図１】本発明の一実施形態に関する通信システムを示す構成図である。
【図２】本発明の一実施形態に関する図１の通信システムを構成する要求側終端装置および応答側終端装置を示す構成図である。
【図３】本発明の一実施形態に関する応答側終端装置「Ａ」から要求側終端装置「Ｇ」へと送信される接続応答を示すパケット図である。
【図４】本発明の一実施形態に関する応答側終端装置「Ｂ」から要求側終端装置「Ｇ」へと送信される接続応答を示すパケット図である。
【図５】本発明の一実施形態に関するカプセリング区間とアクセス制御の位置を示す説明図である。
【図６】ＩＰｓｅｃＶＰＮにおいて、アクセス制御を実施するときの構成図である。
【発明を実施するための形態】
【００２５】
以下、本発明の一実施形態を、図面を参照して詳細に説明する。
【００２６】
図１は、通信システムを示す構成図である。この通信システムは、キャリア（通信事業者）が提供するキャリア網８と、そのキャリア網８に接続されるユーザ網であるＩＰ−ＶＰＮ９とにより構成されるＩＰｓｅｃＶＰＮである。なお、通信システムは、ＩＰｓｅｃＶＰＮとする代わりに、ユーザ拠点間を直接接続するようなインターネットＶＰＮや、リモートアクセス用のＩＰｓｅｃにも適応可能である。さらに、図１では、ＩＰｓｅｃのＥＳＰ（Encapsulating Security Payload）におけるトンネルモードを例示したが、ＥＳＰの代わりにＡＨ（Authentication Header）を用いてもよいし、トンネルモードの代わりにトランスポートモードを用いてもよい。
要求側終端装置１および応答側終端装置２は、キャリア網８とＩＰ−ＶＰＮ９との中継地点に位置する。通信ノード３は、ＩＰ−ＶＰＮ９内に位置する。
なお、通信システムを構成する各装置（要求側終端装置１、応答側終端装置２、通信ノード３）は、それぞれ制御装置としてのＣＰＵと、記憶手段としてのメモリと、ネットワークインタフェースとを備えるコンピュータとして構成される。なお、図１の各装置の名称の後に記載される括弧内の記号（例えば、通信ノード（ａ１）における「ａ１」）は、その装置のアドレスを示す。
【００２７】
要求側終端装置１は、通信トンネル７の終端に位置する装置であり、その通信トンネル７を確立するための接続要求５を応答側終端装置２に送信する装置である。つまり、要求側終端装置１は、非特許文献１における始動装置（Initiator）に該当し、接続要求５は、「IKE_AUTH request」メッセージまたは「CREATE_CHILD_SA request」メッセージに該当する。
応答側終端装置２は、通信トンネル７の終端に位置する装置であり、その通信トンネル７を確立するための接続要求５への接続応答６を要求側終端装置１に応答する装置である。つまり、応答側終端装置２は、非特許文献１における応答装置（Responder）に該当し、接続応答６は、「IKE_AUTH response」メッセージまたは「CREATE_CHILD_SA response」メッセージに該当する。
【００２８】
通信ノード３は、通信トンネル７を介して、互いに通信を行うノード端末である。通信トンネル７は、要求側終端装置１と応答側終端装置２との間でＵＮＩ（User Network Interface）をまたいで、例えばＩＰｓｅｃ／ＩＫＥｖ２の規定に従って接続される回線交換用トンネルである。この通信トンネル７内で転送されるデータの内容は、ＩＰｓｅｃによるセキュリティが保証されることにより、盗み見や改ざんが防止される。
【００２９】
要求側終端装置１および応答側終端装置２は、それぞれ通信ノード３から到着するパケットを受信すると、自装置に設定されているＴＳ（Traffic Selector）を参照し、そのパケットを通信トンネル７内に転送するか否か、および、複数の通信トンネル７が存在するときには、どの通信トンネル７に転送するかを決定する。そして、転送するパケットは、カプセリング処理されることで、通信トンネル７内に送信される。このように、要求側終端装置１および応答側終端装置２は、ＴＳを元に通信トンネル７に転送するパケットを選択する旨のアクセス制御を実行する。
【００３０】
ＴＳは、セキュリティポリシを示す設定データであり、応答側終端装置２のＴＳが接続応答６に含まれて通知されることで、要求側終端装置１のＴＳへと設定される。このように、ＴＳの設定手順を応答側終端装置２から要求側終端装置１への片方向の通知にすることにより、最新状況を反映するＴＳの管理を応答側終端装置２の側だけで行えばよいので、セキュリティポリシの管理コストを抑制することができる。この際のＴＳの更新は、非特許文献１における、CHILD_SAのRekeyを行うことにより可能である。
【００３１】
要求側終端装置１は、ＴＳの交渉処理（Traffic Selector Negotiation）において、接続応答６に含まれるＴＳを自装置に設定しない（換言すると、応答側終端装置２から提案されたセキュリティポリシを拒否する）場合には、その拒否する旨の応答（例えば、TS_UNACCEPTABLE）を応答側終端装置２に送信する。
一方、要求側終端装置１はＴＳを受け入れる場合には、拒否する旨の応答を送信しない。そして、応答側終端装置２は、拒否する旨の応答を受信したときには、自装置から提案したセキュリティポリシが受け入れられないので、通信トンネル７の確立を中断する。
さらに、通信トンネル７の確立後に、セキュリティポリシに適合しない不正パケットを受信した応答側終端装置２は、不正パケットの送信元である要求側終端装置１に対して、セキュリティポリシ違反の通知メッセージ（例えば、INVALID_SELECTORS）を通知してもよい。
これにより、応答側終端装置２は、要求側終端装置１に対して、通信トンネル７の確立時に自装置から提案したセキュリティポリシを強制することができる。よって、要求側終端装置１から通信トンネル７内に送信されるパケットは、セキュリティポリシに適合したパケットに絞り込むことができる。
【００３２】
図２は、図１の通信システムを構成する要求側終端装置１および応答側終端装置２を示す構成図である。
要求側終端装置１は、接続要求部１１と、通信ポリシ１２と、アクセス制御部１３とを有する。
応答側終端装置２は、接続応答部２１と、通信ポリシ２２と、アクセス制御部２３とを有する。
【００３３】
接続要求部１１は、接続応答部２１に対して、通信トンネル７を確立するための接続要求５を送信し、その応答としての接続応答６を受信する。そして、接続要求部１１は、受信した接続応答６に含まれているＴＳが示すセキュリティポリシを、通信ポリシ１２として書き込む。
通信ポリシ１２は、通信ポリシ２２（後記する表１を参照）と同様の内容が、接続要求部１１によって書き込まれる。
アクセス制御部１３は、アクセス制御部１３との間に通信トンネル７を設け、データ転送を実行する。このデータ転送において、通信ポリシ１２を参照することで、受信したパケットを通信トンネル７内に転送するか否か、および、複数の通信トンネル７が存在するときには、どの通信トンネル７に転送するかを決定する。
【００３４】
接続応答部２１は、接続要求５への応答としての接続応答６を、接続要求部１１に返信する。この接続応答６には、通信ポリシ２２の内容を元に作成されるＴＳが含まれている。
アクセス制御部２３は、アクセス制御部１３との間に通信トンネル７を設け、データ転送を実行する。このデータ転送において、通信ポリシ２２を参照することで、受信したパケットを通信トンネル７内に転送するか否か、および、複数の通信トンネル７が存在するときには、どの通信トンネル７に転送するかを決定する。
【００３５】
【表１】
【００３６】
表１は、通信ポリシ２２の一例を示すテーブルである。通信ポリシ２２は、１行が１つのフローに関するセキュリティポリシを示し、１つ以上のフローが、１つの通信トンネル７に対応づけられる。
通信ポリシ２２は、フローＩＤと、ＩＰレイヤと、拠点Ａアドレスと、許可方向と、拠点Ｂアドレスと、優先度クラスと、パケットサイズとを対応づけて、フローを管理する。
フローＩＤは、フローの識別子である。
ＩＰレイヤは、後記する拠点Ａアドレスおよび拠点ＢアドレスのプロトコルＩＤを示す。
拠点Ａアドレスおよび拠点Ｂアドレスは、それぞれ通信ノード３のアドレスを示す。
許可方向は、拠点Ａアドレスと拠点Ｂアドレスとの間の通信について、許可する方向を示す。
優先度クラスは、フローに割り当てられている優先度を示す。表１内のＥＦ（Expedited Forwarding）や、ＡＦ（Assured Forwarding）という値は、ＤｉｆｆＳｅｒｖ（Differentiated Services）で規定されている。
パケットサイズは、フローを識別するためのパケットサイズを示す。
【００３７】
【表２】
【００３８】
表２は、接続要求５および接続応答６におけるＴＳのフォーマットを示す。非特許文献１に記載されている標準仕様に対して、「（拡張有）」で示すフィールドが拡張されている。なお、このフォーマットは、CREATE_CHILD_SAメッセージだけでなく、IKE_AUTHメッセージに含めてもよい。
【００３９】
まず、非特許文献１に記載されている標準仕様では、以下の５つの情報による組合せでフローを定義する。
・送信元（ソース）アドレス
・送信先（ディスティネーション）アドレス
・送信元（ソース）ポート
・送信先（ディスティネーション）ポート
・通信プロトコル
表２内のスタートアドレス〜エンドアドレスで示されるアドレス範囲が、フローのソースアドレスまたはフローのディスティネーションアドレスを示す。
表２内のスタートポート〜エンドポートで示されるアドレス範囲が、フローのソースポートまたはフローのディスティネーションポートを示す。
表２内のプロトコルＩＤは、フローの通信プロトコルを示す。
【００４０】
そして、本実施形態では、以下に示す拡張がなされている。この拡張により、きめ細やかなフロー識別によるアクセス制御が実施できる。
・表２内のＴＳタイプのビット番号「１」の値が「０（許可）」であるときには、許可方向の制御として、ＴＳｉ（要求側終端装置１が収容する各通信ノード３）宛の通信が許可される。
・表２内のＴＳタイプのビット番号「２」の値が「０（許可）」であるときには、許可方向の制御として、ＴＳｒ（応答側終端装置２が収容する各通信ノード３）宛の通信が許可される。
・表２内のＴＳタイプのビット番号「３」の値が「１（有り）」であるときには、パケットに付されている優先度クラスによりフローを識別する。その優先度クラスは、トラフィックセレクタ内のスタート優先度クラス〜エンド優先度クラスが示す範囲によって指示される。一方、ビット番号「３」の値が「０（無し）」であるときには、スタート優先度クラスおよびエンド優先度クラスの各フィールドは、トラフィックセレクタ内には不要である。
・表２内のＴＳタイプのビット番号「４」の値が「１（有り）」であるときには、パケットのパケットサイズによりフローを識別する。一方、ビット番号「４」の値が「０（無し）」であるときには、パケットサイズのフィールドは、トラフィックセレクタ内には不要である。
・表２内のＴＳタイプのビット番号「５〜８」の値は、非特許文献１に記載されている標準仕様のままであり、拡張は行っていない。
【００４１】
【表３】
【００４２】
表３は、表１の通信ポリシ２２から、接続応答６に含まれるＴＳタイプに変換した結果を示す。接続応答部２１は、通信ポリシ２２を記憶手段から読みとって、変換処理を実行して表３のＴＳタイプを作成し、送信する予定の接続応答６へと書き込む。
例えば、フローＩＤ「Ｆ１」は、ＴＳｉ宛通信「０（許可）」、ＴＳｒ宛通信「０（許可）」、優先度クラスによる制御「１（有り）」、パケットサイズによる制御「０（無し）」、通信プロトコルの種別「０１１１（ＩＰｖ４）」という通信ポリシ２２が、ビット列「００１００１１１」というＴＳタイプに変換される。
【００４３】
【表４】
【００４４】
表４は、複数のフローを通知するための接続応答６のペイロード例を示す。まず、非特許文献１に記載されている標準仕様では、１つの通信トンネル７を作成するための１回の接続応答６の送信において、その接続応答６には、フローの識別情報である「ＴＳｉおよびＴＳｒ」の組は、１組だけしか設定できなかった。そのため、表１などの通信ポリシ２２が示すような、複数のフローによるセキュリティポリシを設定するためには、フロー数と同数の通信トンネル７を作成する必要があり、ネットワーク資源の利用効率を低下させていた。
【００４５】
そこで、接続応答６を拡張し、ペアとなるＴＳｉペイロードとＴＳｒペイロードは必ず連続させて格納し、連続したＴＳｉ、ＴＳｒを一つの通信フローとして識別するようにルール化することにした。これにより、１つの接続応答６内に「ＴＳｉおよびＴＳｒ」の組を複数組格納することができるので、１つの通信トンネル７を作成するときに、複数のフローと対応づけることができる。
【００４６】
以上、通信システムの構成について、説明した。次に、通信システムの動作を説明する。以下の（１）〜（６）の順に実行され、ＴＳの交渉処理（Traffic Selector Negotiation）は、そのうちの（１）〜（４）である。
（１）応答側終端装置２は、ネットワークの管理者などから、通信ポリシ２２の入力を受け付けると、自装置内の記憶手段に格納する。
（２）要求側終端装置１の接続要求部１１は、応答側終端装置２に対して、接続要求５（表５で後記）を送信する。
（３）応答側終端装置２の接続応答部２１は、受信した接続要求５に対して、通信ポリシ２２から変換したＴＳを含む接続応答６（応答側終端装置２のアドレスが「Ａ」なら図３で、応答側終端装置２のアドレスが「Ｂ」なら図４で、それぞれ後記）を作成し、要求側終端装置１に返信する。
（４）要求側終端装置１の接続要求部１１は、受信した接続応答６からＴＳを読み取り、通信ポリシ１２に変換して自装置内の記憶手段に格納する。もし、受信したＴＳを拒否するときには、その旨を要求側終端装置１に通知する。
（５）応答側終端装置２の接続応答部２１は、受信したＴＳが拒否されないときには、要求側終端装置１との間に通信トンネル７を確立する。
（６）要求側終端装置１のアクセス制御部１３は、通信ノード３からパケットを受信すると、そのパケットが通信ポリシ１２に適合しているか否かを照合する。そして、アクセス制御部１３は、通信ポリシ１２に適合しているパケットについて、通信トンネル７を介して、応答側終端装置２のアクセス制御部２３に送信する。
【００４７】
前記（６）の処理の一例として、アドレス「ａ１」からアドレス「ｂ１」へ送信するパケットについて、その優先度クラスがＥＦまたはＡＦなら、フローＩＤ「Ｆ１」に該当するので、送信が許可される。一方、アドレス「ａ１」からアドレス「ｂ１」へ送信するパケットでも、その優先度クラスがＥＦでもＡＦでもないときには、フローＩＤ「Ｆ１」に該当しないので、廃棄される。
【００４８】
前記（６）の処理の一例として、アドレス「ａ２」からアドレス「ｂ２」へ送信するパケットについて、そのパケットサイズが１０００ｂｙｔｅ以下なら、フローＩＤ「Ｆ２」に該当するので、送信が許可される。一方、アドレス「ａ２」からアドレス「ｂ２」へ送信するパケットでも、そのパケットサイズが１０００ｂｙｔｅより大きいときには、フローＩＤ「Ｆ２」に該当しないので、廃棄される。
【００４９】
【表５】
【００５０】
表５は、接続要求５の一例を示す。１つのフィールド内に、そのフィールドの名称（例えば、セレクタ数）と、そのフィールドの値（例えば、括弧内の「１」）とを併記する。接続要求５には、表２で示したフォーマットに従って作成された、１つのＴＳｉと１つのＴＳｒとの組が、含まれている。なお、イニシエータ側が提案するＴＳｉとＴＳｒは、レスポンダ側から回答する範囲を含んでいればどのような値であっても問題ないが、ここではモデルの簡素化のために、ＩＰｖ４アドレスを、任意の値を示す「ａｎｙ（０．０．０．０〜２５５．２５５．２５５．２５５）」とする。
【００５１】
図３は、応答側終端装置２「Ａ」から要求側終端装置１「Ｇ」へと送信される接続応答６である。各行のＴＳタイプには、表３で示した８ビットの値がそれぞれ格納される。
フローＩＤ「Ｆ１」のＴＳｉ（１行目）のスタートアドレス〜エンドアドレスには「ａ１」を格納する。
フローＩＤ「Ｆ１」のＴＳｒ（２行目）のスタートアドレス〜エンドアドレスには「ｂ１」を格納する。
フローＩＤ「Ｆ２」のＴＳｉ（３行目）のスタートアドレス〜エンドアドレスには「ａ２」を格納する。
フローＩＤ「Ｆ２」のＴＳｒ（４行目）のスタートアドレス〜エンドアドレスには「ｂ２」を格納する。
フローＩＤ「Ｆ３」のＴＳｉ（５行目）のスタートアドレス〜エンドアドレスには「ａ３」を格納する。
フローＩＤ「Ｆ３」のＴＳｒ（６行目）のスタートアドレス〜エンドアドレスには「ｂ３」を格納する。
【００５２】
図４は、応答側終端装置２「Ｂ」から要求側終端装置１「Ｇ」へと送信される接続応答６である。各行のＴＳタイプには、表３で示した８ビットの値がそれぞれ格納される。
フローＩＤ「Ｆ１」のＴＳｉ（１行目）のスタートアドレス〜エンドアドレスには「ｂ１」を格納する。
フローＩＤ「Ｆ１」のＴＳｒ（２行目）のスタートアドレス〜エンドアドレスには「ａ１」を格納する。
フローＩＤ「Ｆ２」のＴＳｉ（３行目）のスタートアドレス〜エンドアドレスには「ｂ２」を格納する。
フローＩＤ「Ｆ２」のＴＳｒ（４行目）のスタートアドレス〜エンドアドレスには「ａ２」を格納する。
フローＩＤ「Ｆ３」のＴＳｉ（５行目）のスタートアドレス〜エンドアドレスには「ｂ３」を格納する。
フローＩＤ「Ｆ３」のＴＳｒ（６行目）のスタートアドレス〜エンドアドレスには「ａ３」を格納する。
【００５３】
以上説明した本実施形態によれば、要求側終端装置１の通信ポリシ１２と、応答側終端装置２の通信ポリシ２２とが共有されるとともに、要求側終端装置１と応答側終端装置２との間の通信トンネル７を介する通信に、それぞれの通信ポリシが使用される。
これにより、１台の応答側終端装置２で管理している通信ポリシ２２を、１台以上の要求側終端装置１に強制できるので、管理者のセキュリティポリシが通信システム全体に適用され、セキュリティの向上が期待できる。
そして、接続応答６に含まれるＴＳの表現力を向上するように標準仕様から拡張（複数フローの収納、優先度クラスなどのフローの詳細定義）したことで、通信ポリシ２２を接続応答６に含ませるときに、セキュリティポリシの情報欠落を抑制でき、きめ細やかなアクセス制御を実施することができる。
【００５４】
さらに、各通信ポリシを管理する装置と、その通信ポリシをもとにアクセス制御する装置とが、同一筐体として構成されることで、通信システムの装置数が削減され、各種コスト（機器購入コスト、運用コスト、保守コスト）を削減することができる。以下、比較例を示す。
【００５５】
図５（ａ）は、図６などの比較例における、カプセリング区間外でアクセス制御を実施する説明図である。ルータなどで行うＡＣＬ（Access Control List）によるパケットフィルタリング相当のアクセス制御は、パケットがトンネルによってカプセリングされる区間では、適用されない。
図５（ｂ）は、本実施形態における、カプセリング区間内でアクセス制御を実施する説明図である。トンネルの終端装置がアクセス制御を実施するため、アクセス制御用のルータを設けなくても済む。
【００５６】
以上説明した本実施形態は、あくまで一例であり、以下に示すように変形実施してもよい。
【００５７】
例えば、通信トンネル７内でデータ転送するフローの識別情報を応答メッセージに含ませて送信するときに、そのフローの識別情報の応答メッセージ内における格納場所については、前記表２で示したフォーマットに限定されず、任意に変更可能である。例えば、表２の「ＴＳタイプ」フィールドを拡張する代わりに、フローの識別情報を格納する独自のフィールドを設けて、そのフィールド内にフローの識別情報をまとめて格納してもよい。
【００５８】
また、フローの識別情報の内容として、フローの通信方向、優先度クラス、パケットサイズを例示したが、その他のフローの識別情報を設定を強制する通信ポリシとして応答メッセージに含ませてもよい。その他のフローの識別情報とは、例えば、ｔｃｐのフラグが挙げられる。
【００５９】
さらに、１つの接続応答６内に「ＴＳｉおよびＴＳｒ」の組を複数組格納するときの格納位置について、表４に示したように、連続したＴＳｉ、ＴＳｒを一つの通信フローとして識別することとしたが、その他の格納位置のルールを用いてもよい。例えば、ＴＳｉを複数個列挙したあとに、ＴＳｒを複数個列挙し、列挙された順序（１つめのＴＳｉと、１つめのＴＳｒのペアなど）でペアを組むようにしてもよい。
【符号の説明】
【００６０】
１ 要求側終端装置
２ 応答側終端装置
３ 通信ノード
５ 接続要求
６ 接続応答
７ 通信トンネル
８ キャリア網
９ ＩＰ−ＶＰＮ
１１ 接続要求部
１２ 通信ポリシ
１３ アクセス制御部
２１ 接続応答部
２２ 通信ポリシ
２３ アクセス制御部
【特許請求の範囲】
【請求項１】
要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムであって、
前記要求側終端装置は、接続要求部と、前記通信ポリシを記憶する要求側記憶手段と、を有し、
前記応答側終端装置は、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、
前記接続応答部は、
前記接続要求部から所定の通信トンネルを確立するための要求メッセージを受信すると、
前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記接続要求部に送信し、
前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するために前記要求側記憶手段に書き込むときには、前記接続要求部との間に前記所定の通信トンネルを確立し、
前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記接続要求部との間に前記所定の通信トンネルの確立を中断することを特徴とする
通信システム。
【請求項２】
前記接続応答部は、複数の前記フローの識別情報を前記応答メッセージとして前記接続要求部に送信し、
前記接続要求部は、受信した複数の前記フローの識別情報を１つの前記所定の通信トンネル内でデータ転送するように対応づけて、前記要求側記憶手段に格納することを特徴とする
請求項１に記載の通信システム。
【請求項３】
前記接続応答部は、前記フローの識別情報として、データ転送するパケットの優先度クラスを指定した前記応答メッセージで前記接続要求部に送信し、
前記要求側終端装置は、前記応答メッセージで指定されたパケットの優先度クラスに適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする
請求項１または請求項２に記載の通信システム。
【請求項４】
前記接続応答部は、前記フローの識別情報として、データ転送するパケットのパケットサイズを指定した前記応答メッセージで前記接続要求部に送信し、
前記要求側終端装置は、前記応答メッセージで指定されたパケットサイズに適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする
請求項１または請求項２に記載の通信システム。
【請求項５】
前記接続応答部は、前記フローの識別情報に加えて、そのフローのデータ転送の通信方向を示す情報を指定した前記応答メッセージで前記接続要求部に送信し、
前記要求側終端装置は、前記応答メッセージで指定された通信方向に適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする
請求項１または請求項２に記載の通信システム。
【請求項６】
要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムによる通信方法であって、
前記要求側終端装置は、接続要求部と、前記通信ポリシを記憶する要求側記憶手段と、を有し、
前記応答側終端装置は、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、
前記接続応答部は、
前記接続要求部から所定の通信トンネルを確立するための要求メッセージを受信すると、
前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記接続要求部に送信し、
前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するために前記要求側記憶手段に書き込むときには、前記接続要求部との間に前記所定の通信トンネルを確立し、
前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記接続要求部との間に前記所定の通信トンネルの確立を中断することを特徴とする
通信方法。
【請求項７】
要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムに用いられる前記応答側終端装置であって、
前記応答側終端装置は、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、
前記接続応答部は、
前記要求側終端装置から所定の通信トンネルを確立するための要求メッセージを受信すると、
前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記要求側終端装置に送信し、
前記要求側終端装置が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するときには、前記要求側終端装置との間に前記所定の通信トンネルを確立し、
前記要求側終端装置が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記要求側終端装置との間に前記所定の通信トンネルの確立を中断することを特徴とする
応答側終端装置。
【請求項１】
要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムであって、
前記要求側終端装置は、接続要求部と、前記通信ポリシを記憶する要求側記憶手段と、を有し、
前記応答側終端装置は、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、
前記接続応答部は、
前記接続要求部から所定の通信トンネルを確立するための要求メッセージを受信すると、
前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記接続要求部に送信し、
前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するために前記要求側記憶手段に書き込むときには、前記接続要求部との間に前記所定の通信トンネルを確立し、
前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記接続要求部との間に前記所定の通信トンネルの確立を中断することを特徴とする
通信システム。
【請求項２】
前記接続応答部は、複数の前記フローの識別情報を前記応答メッセージとして前記接続要求部に送信し、
前記接続要求部は、受信した複数の前記フローの識別情報を１つの前記所定の通信トンネル内でデータ転送するように対応づけて、前記要求側記憶手段に格納することを特徴とする
請求項１に記載の通信システム。
【請求項３】
前記接続応答部は、前記フローの識別情報として、データ転送するパケットの優先度クラスを指定した前記応答メッセージで前記接続要求部に送信し、
前記要求側終端装置は、前記応答メッセージで指定されたパケットの優先度クラスに適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする
請求項１または請求項２に記載の通信システム。
【請求項４】
前記接続応答部は、前記フローの識別情報として、データ転送するパケットのパケットサイズを指定した前記応答メッセージで前記接続要求部に送信し、
前記要求側終端装置は、前記応答メッセージで指定されたパケットサイズに適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする
請求項１または請求項２に記載の通信システム。
【請求項５】
前記接続応答部は、前記フローの識別情報に加えて、そのフローのデータ転送の通信方向を示す情報を指定した前記応答メッセージで前記接続要求部に送信し、
前記要求側終端装置は、前記応答メッセージで指定された通信方向に適合するパケットを、前記所定の通信トンネル内にデータ転送することを特徴とする
請求項１または請求項２に記載の通信システム。
【請求項６】
要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムによる通信方法であって、
前記要求側終端装置は、接続要求部と、前記通信ポリシを記憶する要求側記憶手段と、を有し、
前記応答側終端装置は、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、
前記接続応答部は、
前記接続要求部から所定の通信トンネルを確立するための要求メッセージを受信すると、
前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記接続要求部に送信し、
前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するために前記要求側記憶手段に書き込むときには、前記接続要求部との間に前記所定の通信トンネルを確立し、
前記接続要求部が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記接続要求部との間に前記所定の通信トンネルの確立を中断することを特徴とする
通信方法。
【請求項７】
要求側終端装置と応答側終端装置との間の通信トンネルを介して、通信ポリシに適合するパケットをデータ転送する通信システムに用いられる前記応答側終端装置であって、
前記応答側終端装置は、接続応答部と、前記通信ポリシを記憶する応答側記憶手段と、を有し、
前記接続応答部は、
前記要求側終端装置から所定の通信トンネルを確立するための要求メッセージを受信すると、
前記応答側記憶手段から前記通信ポリシを読み取り、その通信ポリシで規定される、前記所定の通信トンネル内でデータ転送するフローの識別情報を、応答メッセージとして前記要求側終端装置に送信し、
前記要求側終端装置が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用するときには、前記要求側終端装置との間に前記所定の通信トンネルを確立し、
前記要求側終端装置が受信した前記フローの識別情報を、自装置内における前記所定の通信トンネル内のデータ転送に適用しないときには、前記要求側終端装置との間に前記所定の通信トンネルの確立を中断することを特徴とする
応答側終端装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１１−４４９８３（Ｐ２０１１−４４９８３Ａ）
【公開日】平成２３年３月３日（２０１１．３．３）
【国際特許分類】
【出願番号】特願２００９−１９２８９８（Ｐ２００９−１９２８９８）
【出願日】平成２１年８月２４日（２００９．８．２４）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２３年３月３日（２０１１．３．３）
【国際特許分類】
【出願日】平成２１年８月２４日（２００９．８．２４）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]