ＩＰｓｅｃ通信方法およびＩＰｓｅｃ通信システム
【課題】ＩＰｓｅｃポリシの管理が容易であって、パケットロスの発生や通信の遅延を減らすことが可能なＩＰｓｅｃ通信方法およびＩＰｓｅｃ通信システムを提供する。
【解決手段】クライアントＢ（２０Ｂ）とはＩＰｓｅｃポリシを共有しないクライアントＡ（２０Ａ）と、双方のクライアントとＩＰｓｅｃポリシを共有するゲートウェイ処理部１０との間に、終端アドレスの変更が可能なＭＯＢＩＫＥトンネルＴ３を確立し、そのＳＡ情報をゲートウェイ処理部１０がクライアントＢ（２０Ｂ）に通知して、クライアントＡ（２０Ａ）との間でＭＯＢＩＫＥトンネルＴ３の終端アドレスを変更させることにより、ＭＯＢＩＫＥトンネルＴ３をクライアントＡ（２０Ａ）とクライアントＢ（２０Ｂ）との間のＩＰｓｅｃトンネルとして利用可能とする。
【解決手段】クライアントＢ（２０Ｂ）とはＩＰｓｅｃポリシを共有しないクライアントＡ（２０Ａ）と、双方のクライアントとＩＰｓｅｃポリシを共有するゲートウェイ処理部１０との間に、終端アドレスの変更が可能なＭＯＢＩＫＥトンネルＴ３を確立し、そのＳＡ情報をゲートウェイ処理部１０がクライアントＢ（２０Ｂ）に通知して、クライアントＡ（２０Ａ）との間でＭＯＢＩＫＥトンネルＴ３の終端アドレスを変更させることにより、ＭＯＢＩＫＥトンネルＴ３をクライアントＡ（２０Ａ）とクライアントＢ（２０Ｂ）との間のＩＰｓｅｃトンネルとして利用可能とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰｓｅｃ（Security Architecture for Internet Protocol）トンネルを用いて暗号通信を行うＩＰｓｅｃ通信方法およびＩＰｓｅｃ通信システムに関し、特に、ＩＰｓｅｃトンネルを確立するために必要な共有情報をもたない通信相手との間で、ＩＰｓｅｃトンネルを確立する技術に関する。
【背景技術】
【０００２】
ＩＰｓｅｃトンネル（以下、適宜「トンネル」ともいう。）を利用した暗号通信では、通信を行う２つの装置間で、暗号通信を始める前に暗号化方法や暗号鍵などのセキュリティアソシエーション情報（以下、「ＳＡ情報」という。）をネゴシエーションして共有することにより、仮想的な暗号通信路であるＩＰｓｅｃトンネルが確立される。このＳＡ情報のネゴシエーションは、ＲＦＣ４３０６（非特許文献１）に規定されている鍵交換プロトコルであるＩＫＥｖ２（Internet Key Exchange Version 2）を用いて行われるが、そのためには、通信を行う２つの装置間で、ＩＰｓｅｃポリシ（以下、適宜「ポリシ」ともいう。）と呼ばれる、互いのＩＰ（Internet Protocol）アドレス、共有鍵、鍵生成アルゴリズムなどを事前に共有しておく必要がある。
【０００３】
また、ＲＦＣ４５５５（非特許文献２）には、トンネルを確立した装置の一方の終端アドレスがハンドオーバなどによって変化したときに、変更先の終端アドレスをもう一方の装置に通知することでトンネルを維持するためのプロトコルであるＭＯＢＩＫＥ（IKEv2 Mobility and Multihoming Protocol）が規定されている。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】IETF, "Internet Key Exchange (IKEv2) Protocol", RFC4306, December 2005.
【非特許文献２】IETF, "IKEv2 Mobility and Multihoming Protocol(MOBIKE)", RFC4555, June 2006.
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ＩＰｓｅｃトンネルを利用した仮想的な閉域通信網であるＶＰＮ（Virtual Private Network）（以下、「ＩＰｓｅｃＶＰＮ」という。）を構築して、網内の複数の装置と通信を行おうとする場合、通信先の装置ごとに個別にトンネルを確立するためには、それぞれの装置について、通信先の装置の数に相当するポリシを事前に設定しておく必要があり、管理が煩雑になる。そこで、ポリシを集約するゲートウェイ装置を設け、すべての装置がこのゲートウェイ装置との間だけにトンネルを確立し、ゲートウェイ装置がＩＰｓｅｃの暗号化パケットを中継する、ハブスポークモデルが一般に利用される。
【０００６】
しかしながら、このハブスポークモデルでは、網内のすべてのトラフィックがゲートウェイ装置に集中するとともに、中継する暗号化パケットの復号化および再暗号化処理の負荷が大きいため、ゲートウェイ装置の性能が不足してパケットロスが生じたり、通信に大きな遅延が発生したりするという問題があった。この問題を回避するには、通信する装置同士が、トンネルを直接確立すればよいが、ハブスポークモデルでは、各装置間では、新たなトンネルの確立に必要なポリシが共有されていないので、装置間で新たなトンネルを直接確立することはできない。
【０００７】
本発明は、前記の問題を克服するためになされたものであり、ＩＰｓｅｃポリシの管理が容易であって、パケットロスの発生や通信の遅延を減らすことが可能なＩＰｓｅｃ通信方法およびＩＰｓｅｃ通信システムを提供することを課題とする。
【課題を解決するための手段】
【０００８】
前記の課題を解決するために、本発明は、ＩＰｓｅｃポリシを共有しない第１装置と第２装置との間に新たなＩＰｓｅｃトンネルを確立して、前記第１装置と前記第２装置との間のＩＰｓｅｃによる暗号通信を行うＩＰｓｅｃ通信方法であって、前記第１装置および前記第２装置に接続され、前記第１装置と共有する第１のＩＰｓｅｃポリシと前記第２装置と共有する第２のＩＰｓｅｃポリシとを記憶部に保持するゲートウェイ装置が、前記第１のＩＰｓｅｃポリシを用いて確立される第１のＩＰｓｅｃトンネルを介して前記第１装置と通信することによって、前記第１装置との間に終端アドレスが変更可能な第３のＩＰｓｅｃトンネルを確立し、前記ゲートウェイ装置が、前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要なＳＡ（Security Association）情報を、前記第２のＩＰｓｅｃポリシを用いて確立される第２のＩＰｓｅｃトンネルを介して前記第２装置に通知し、前記第２装置が、通知された前記ＳＡ情報を用いて前記第１装置に前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを前記第２装置のＩＰアドレスに変更するように指示し、前記第１装置が、前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを、前記指示された前記第２装置のＩＰアドレスに変更することによって、前記第３のＩＰｓｅｃトンネルを前記第１装置と前記第２装置との間の前記新たなＩＰｓｅｃトンネルとして利用することを特徴とする。
【０００９】
これにより、各装置はゲートウェイ装置との間で１つのＩＰｓｅｃポリシを共有しておくだけで、必要に応じてＩＰｓｅｃポリシを共有しない他の装置との間で新たなＩＰｓｅｃトンネルを確立して直接暗号通信を行うことが可能となる。
【００１０】
また、本発明は、前記のＩＰｓｅｃ通信方法において、前記ゲートウェイ装置が、前記第１のＩＰｓｅｃトンネルまたは前記第２のＩＰｓｅｃトンネルを介して前記第１装置または前記第２装置に前記第３のＩＰｓｅｃトンネルの削除を要求し、前記第３のＩＰｓｅｃトンネルの削除を要求された前記第１装置または前記第２装置が、前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要な前記ＳＡ情報を破棄することを特徴とする。
【００１１】
これにより、ゲートウェイ装置が確立した第３のＩＰｓｅｃトンネルが不正に使用された場合などに、ゲートウェイ装置はその使用を中止させることができる。
【００１２】
また、本発明は、前記のＩＰｓｅｃ通信方法において、前記第１装置と前記第２装置との間の通信量が所定値以下の場合は、前記ゲートウェイ装置が前記第１のＩＰｓｅｃトンネルと前記第２のＩＰｓｅｃトンネルとの間で暗号化パケットの中継を行い、前記第１装置と前記第２装置との間の通信量が前記所定値を超えた場合は、前記第１装置と前記第２装置との間に前記新たなＩＰｓｅｃトンネルを確立して、前記第１装置と前記第２装置との間で直接暗号化パケットを交換することを特徴とする。
【００１３】
これにより、通信量が少ない装置間はゲートウェイ装置がＩＰｓｅｃトンネル間の暗号化パケットの中継を行い、通信量が多い装置間は両者の間で新たなＩＰｓｅｃトンネルを確立して直接暗号通信を行わせることができるので、ゲートウェイ装置の性能不足によるパケットロスの発生や通信の遅延を減らすことができる。
【発明の効果】
【００１４】
本発明によれば、ＩＰｓｅｃポリシの管理が容易であって、パケットロスの発生や通信の遅延を減らすことが可能なＩＰｓｅｃ通信方法およびＩＰｓｅｃ通信システムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】新たなＩＰｓｅｃトンネルの確立手順を示す説明図である。
【図２】ＩＰｓｅｃゲートウェイ装置のハードウェア構成例を示すブロック図である。
【図３】ＩＰｓｅｃゲートウェイ装置を備えた通信システムの接続構成図である。
【図４】新たなＩＰｓｅｃトンネルの確立手順を示すシーケンスチャートである。
【図５】ハブスポークモデルによるＶＰＮの構成例とその動作の説明図である。
【図６】ＶＰＮにおけるＭＯＢＩＫＥトンネルの確立についての説明図である。
【図７】ＶＰＮにおけるＭＯＢＩＫＥ実施要求についての説明図である。
【図８】ＶＰＮにおける終端アドレス変更要求についての説明図である。
【図９】ＶＰＮにおける終端アドレス変更結果についての説明図である。
【図１０】ＶＰＮにおけるＭＯＢＩＫＥトンネル削除要求についての説明図である。
【図１１】複数のクラウドサービスを提供する通信システムの構成例である。
【図１２】端末とクラウドサーバ間に新たなＩＰｓｅｃトンネルを確立した状態を示す説明図である。
【発明を実施するための形態】
【００１６】
以下、本発明を実施するための形態（以下、「本実施形態」という。）につき図面を参照して説明する。まず始めに、本実施形態に係る新たなＩＰｓｅｃトンネルの確立手順について説明し、次に、ＶＰＮに収容される複数の装置間で暗号通信を行う場合の適用例（実施形態１）と、クラウドサービスを提供する複数のクラウドサーバと１つの装置との間で暗号通信を行う場合の適用例（実施形態２）とを順に説明する。
【００１７】
図１は、互いにポリシを共有していない２つのＩＰｓｅｃクライアント（以下、適宜「クライアント」と略す。）の間に新たなトンネルを確立する手順を示す説明図である。図１において、クライアントＡ（２０Ａ）とクライアントＢ（２０Ｂ）とは、新たなトンネルによって通信を行う２つの装置に搭載され、ゲートウェイ処理部１０は、これら２つの装置とＩＰネットワークで接続されるＩＰｓｅｃゲートウェイ装置に搭載される。
【００１８】
クライアントＡ（２０Ａ）は、ゲートウェイ処理部１０との間でトンネルを確立するための共有鍵Ａを含むポリシを、クライアントＢ（２０Ｂ）は、ゲートウェイ処理部１０との間でトンネルを確立するための共有鍵Ｂを含むポリシを、それぞれ保持している。また、ゲートウェイ処理部１０は、ＩＰｓｅｃトンネルの制御を司るＩＰｓｅｃトンネル制御部１１と、ＩＰｓｅｃの暗号化パケットの中継を行うＩＰｓｅｃパケット中継部１２とを備え、クライアントＡ（２０Ａ）との間でトンネルを確立するための共有鍵Ａを含むポリシと、クライアントＢ（２０Ｂ）との間でトンネルを確立するための共有鍵Ｂを含むポリシとを保持している。
【００１９】
ここでは、一例として、クライアントＡ（２０Ａ）およびＢ（２０Ｂ）とゲートウェイ処理部１０との間に、それぞれＡＧ間トンネルＴ１およびＢＧ間トンネルＴ２が確立されている状態から、クライアントＡ（２０Ａ）とＢ（２０Ｂ）との間に新たなトンネルを確立する手順を説明するが、ＡＧ間トンネルＴ１またはＢＧ間トンネルＴ２は事前に確立されていなくてもよい。なお、ＩＰｓｅｃトンネルは、ＩＫＥ ＳＡと呼ばれる１つの制御用の暗号鍵を含むＳＡ情報と、ＣＨＩＬＤ ＳＡと呼ばれる１つ以上のデータ通信用の暗号鍵を含むＳＡ情報から構成されるが、以下の説明における「暗号鍵」は、特に断らない限りＩＫＥ ＳＡに含まれる制御用の暗号鍵を意味するものとする。
【００２０】
例えば、クライアントＡ（２０Ａ）とＢ（２０Ｂ）との間の新たなトンネルの確立要求が、クライアントＡ（２０Ａ）からゲートウェイ処理部１０に送信されたものとする。すると、ゲートウェイ処理部１０のＩＰｓｅｃトンネル制御部１１は、図１の破線で示すように、クライアントＡ（２０Ａ）との間に、ＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３を生成する。「ＭＯＢＩＫＥトンネル」とは、ＭＯＢＩＫＥの技術によって終端アドレスの変更を可能としたＩＰｓｅｃトンネルであることを表す便宜的な呼称である。
【００２１】
次に、ＩＰｓｅｃトンネル制御部１１は、すでに確立されているＢＧ間トンネル（暗号鍵：BG-tunnel）Ｔ２を用いて、生成したＭＯＢＩＫＥトンネルＴ３の暗号鍵：ext-tunnelとクライアントＡ（２０Ａ）の終端アドレスとを含むＳＡ情報を、クライアントＢ（２０Ｂ）に送信して、終端アドレスの変更の実行を要求する。
【００２２】
次に、この実行要求を受信したクライアントＢ（２０Ｂ）は、通知された終端アドレスと暗号鍵：ext-tunnelを使って、クライアントＡ（２０Ａ）に自身のＩＰアドレスを通知して、ＭＯＢＩＫＥトンネルＴ３の終端アドレスの変更を要求する。そして、クライアントＡ（２０Ａ）がこの変更要求を受け付けて、ＭＯＢＩＫＥトンネルＴ３の通信先の終端アドレスをゲートウェイ処理部１０のアドレスから通知されたクライアントＢ(２０Ｂ）のＩＰアドレスに変更することで、最終的に、図１の太線で示すように、クライアントＡ（２０Ａ）とＢ（２０Ｂ）との間の新たなＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３が確立される。
【００２３】
ところで、ＲＦＣ４５５５に規定されている従来のＭＯＢＩＫＥは、同一のクライアントの終端アドレスが変化する場合だけを想定していたため、終端アドレスの変更を要求するとき（ＭＯＢＩＫＥ要求時）には、ＭＯＢＩＫＥトンネルに係るＳＡ情報そのものを送信するようにはなっていなかった。これに対し、本実施形態では、ＭＯＢＩＫＥ要求時に、生成したＭＯＢＩＫＥトンネルＴ３に係るＳＡ情報をも送信することによって、別のクライアントにそのＭＯＢＩＫＥトンネルＴ３の使用権を譲渡可能とした。
【００２４】
また、使用権を譲渡したＭＯＢＩＫＥトンネルＴ３については、ゲートウェイ処理部１０がクライアントＡ（２０Ａ）との間で暗号通信を行うためのＳＡ情報が譲渡先のクライアントＢ（２０Ｂ）にも保持されるので、そのＳＡ情報を無効化して不正利用を防止できることが望ましい。そこで、使用権を譲渡したＭＯＢＩＫＥトンネルＴ３については、それを生成したゲートウェイ処理部１０から、譲渡先のクライアントＢ（２０Ｂ）と暗号通信を行うクライアントＡ（２０Ａ）に対して、トンネルの削除を要求してそのＳＡ情報を廃棄させるものとした。なお、このトンネルの削除の要求を譲渡先のクライアントＢ（２０Ｂ）にも通知するようにしてもよい。
【００２５】
図２は、前記したゲートウェイ処理部１０を搭載するＩＰｓｅｃゲートウェイ装置のハードウェア構成例を示すブロック図である。図２に示すように、ＩＰｓｅｃゲートウェイ装置１は、ＣＰＵ１３、メモリ１４、ハードディスク１５、入出力制御部１６によって制御される入力部１７および表示部１８、通信制御部１９などを備えて構成されるコンピュータであり、ＣＰＵ１３が所定のプログラムをメモリ１４にロードして実行することによって、ゲートウェイ処理部１０としての各種機能が具現化される。また、暗号通信に必要なポリシやＳＡ情報は、メモリ１４またはハードディスク１５などの記憶部に保持される。
【００２６】
通信制御部１９は、例えばＬＡＮケーブルによってＩＰネットワーク４に接続され、ＩＰｓｅｃゲートウェイ装置１は、通信制御部１９を介してＩＰネットワーク４に接続される他の装置との間でＩＰパケットの交換を行う。
【００２７】
図３は、ＩＰｓｅｃクライアントが搭載された２台の装置である端末Ａ（２Ａ）と端末Ｂ（２Ｂ）とが、ＩＰネットワーク４を介してＩＰｓｅｃゲートウェイ装置１に接続された通信システムの例を示す接続構成図である。以下、図３に示した通信システムにおいて、端末Ａ（２Ａ）と端末Ｂ（２Ｂ）との間に新たなＩＰｓｅｃトンネルを確立するときの、これらの装置間のメッセージのやり取りを、シーケンスチャートを用いて説明する。
【００２８】
図４は、互いにポリシを共有していない端末Ａ（２Ａ）（以下、適宜「Ａ」と略す。）と端末Ｂ（２Ｂ）（以下、適宜「Ｂ」と略す。）との間に新たなトンネルを確立するときの、ＩＰｓｅｃゲートウェイ装置１（以下、適宜「Ｇ」と略す。）を含めた装置間のメッセージのやり取りを示すシーケンスチャートである。
【００２９】
まず、初期状態において、ＡとＧとは第１のポリシを共有しており、トンネルを確立可能であるがトンネルはまだ確立していないものとする。また、ＢとＧとは第２のポリシを共有しており、それを用いてすでにＢＧ間トンネル（暗号鍵：BG-tunnel）Ｔ２を確立済みであるものとする。
【００３０】
ここで、ＡとＢとの間に直接トンネルを生成するための何らかの契機が発生したものとする（Ｓ１０）。そのような契機としては、例えば、ＡがＢと通信するためのＧへの要求であるセッション確立要求、データ転送要求、あるいはＧがＡとＢとの間で中継するデータ量の上限値超過などのＧが主導する契機や、新たに定義されるＩＫＥｖ２メッセージによってＧに要求されるＡからＢへのトンネル確立要求などＡが主導する契機が考えられる。
【００３１】
前記のような契機の発生に基づき、まず、ＡとＧとの間に新たなＭＯＢＩＫＥトンネルを確立するためのＩＫＥｖ２／ＭＯＢＩＫＥのメッセージ交換（requestとそれに対応するresponseの対）であるIKE_SA_INIT交換とIKE_AUTH交換とが、ＡとＧとの間で実行される（Ｓ１１）。このとき、MOBIKE SUPPORTEDパラメータを通知することで、のちに終端アドレスの変更が可能なＡＧ間ＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３ＡＧが確立される。
【００３２】
次に、ＧはＢに対して、確立済みのＢＧ間トンネルＴ２を介して（暗号鍵：BG-tunnelを用いて）、新たに定義したDo Mobike with this SAパラメータを含む INFORMATIONAL requestを送信する（Ｓ１２）。このメッセージでは、先に確立したＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧの使用に必要な暗号鍵：ext-tunnelとＡの終端アドレスとを含むＳＡ情報（ＩＫＥ ＳＡおよびＣＨＩＬＤ ＳＡ）がＢに通知される。
【００３３】
次に、ＢはＡに対して、通知されたＳＡ情報に含まれるＩＫＥ ＳＡを用いて（ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧの暗号鍵：ext-tunnelを用いて）、自己のＩＰアドレスへの終端アドレスの変更を要求するUPDATE_SA_ADDRESSESパラメータを含むINFORMATIONAL交換を行う。そして、このrequestを受信したＡが、ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧの通信先終端アドレスを、Ｇのアドレスから通知されたＢのＩＰアドレスに変更することによって、ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧは、ＡとＢとの間のＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢに切り替えられる（Ｓ１３）。
【００３４】
ＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢへの切替完了は、ＢからＧへのMOBIKE DONEパラメータを含むINFORMATIONAL responseによってＧに通知される（Ｓ１４）。
【００３５】
また、ＧからＢに使用権を譲渡した旧ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧであったＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢが、Ｂによって不正利用された場合などには、そのトンネルの削除を要求する新たに定義したDelete Mobiked SAパラメータを含むINFORMATIONAL requestを、ＧからＢの通信先であるＡに送信することができる（Ｓ１５）。なお、図４ではＡＧ間のトンネルを確立するシーケンスは省略している。
【００３６】
この削除要求を受信したＡは、Ｂとの間でＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢを削除するためのINFORMATIONAL交換を行ったのち（Ｓ１６）、当該トンネルの削除が完了したことを示す新たに定義したMobiked SA Deletedパラメータを含むINFORMATIONAL responseをＧに送信する（Ｓ１７）。これにより、ＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢは、破線で示した削除完了の状態（Ｔ３Ｄ）となる。
【００３７】
［実施形態１］
続いて、ハブスポークモデルによって構築されるＩＰｓｅｃＶＰＮに収容される複数の装置間で暗号通信を行う場合の適用例を説明する。図５に示すように、ＶＰＮ Ｘを構成する拠点Ａ、拠点Ｂ、拠点Ｃが、通信キャリアが提供するキャリアＩＰネットワーク４ａに接続されている。また、キャリアＩＰネットワーク４ａには、本実施形態に係るゲートウェイ装置として通信キャリアが備えるゲートウェイ装置Ｇ（１ａ）（以下、適宜「Ｇ」と略す。）が接続され、ハブスポークモデルのＩＰｓｅｃＶＰＮが構築されている。
【００３８】
拠点Ａ、Ｂ、Ｃには、それぞれ前記のＩＰｓｅｃクライアントが搭載された端末Ａ（２Ａ）（以下、適宜「Ａ」と略す。）、端末Ｂ（２Ｂ）（以下、適宜「Ｂ」と略す。）、端末Ｃ（２Ｃ）（以下、適宜「Ｃ」と略す。）が設置され、ＧとＡ、Ｂ、Ｃとの間には、それぞれＩＰｓｅｃトンネルが確立されているか、確立可能な状態にある。そして、各端末は、Ｇとの間にＩＰｓｅｃトンネルを確立することによって、ＶＰＮ Ｘに参加することができる。
【００３９】
例えば、図５に示すように、Ｇとの間でＡＧ間トンネル（暗号鍵：AG-tunnel）Ｔ１を確立したＡと、Ｇとの間でＢＧ間トンネル（暗号鍵：BG-tunnel）Ｔ２を確立したＢとが通信する場合、Ｇが中継するトラフィックが少ないときには、Ｇが備えるＩＰｓｅｃパケット中継部１２（図１参照）が両端末間で交換される暗号化パケットの中継を行う。例えば、ＡからＢ宛に送信された暗号化パケットは、ＩＰｓｅｃパケット中継部１２が、ＡＧ間トンネルＴ１のデータ通信用の暗号鍵で一旦復号化したのち、ＢＧ間トンネルＴ２のデータ通信用の暗号鍵で再暗号化してＢに送信する。
【００４０】
しかし、Ｇが中継するトラフィックが増大すると、中継する暗号化パケットの復号化および再暗号化処理の負荷が大きくなって、パケットロスが発生したり、遅延時間が増大する可能性がある。
【００４１】
そこで、例えば、各端末間の通信を、Ｇによる中継方式から、端末間の直接通信方式に切り替えるための通信量の基準値を定めておき、それぞれの端末間の単位時間当りの通信量が、この基準値を上回った場合に、両端末間に直接ＩＰｓｅｃトンネルを確立して直接通信させることによって、パケットロスの発生や遅延時間の増大を防止する。
【００４２】
ここでは、図５に示したＶＰＮ Ｘにおいて、ＡとＢとの間の通信量が前記の基準値を上回ったものとする。Ｇが備えるＩＰｓｅｃパケット中継部１２（図１参照）は、各端末間で自身が中継している暗号化パケットの単位時間当りのデータ量が所定の基準値を上回るか否かを監視しており、それによりＡとＢとの間の通信量が基準値を上回ったことを検知する。
【００４３】
そこで、Ｇが備えるＩＰｓｅｃトンネル制御部１１（図１参照）は、図６に示すように、まず、Ａとの間でＩＫＥｖ２／ＭＯＢＩＫＥのメッセージ交換を行うことで、ＧとＡとの間に、新たなＩＰｓｅｃトンネルであるＡＧ間ＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３ＡＧを確立する。終端アドレスの変更が可能なこのＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧは、ＡにＩＫＥｖ２／ＭＯＢＩＫＥのMOBIKE SUPPORTEDパラメータ通知を送信することによって確立することができる。
【００４４】
次に、ＩＰｓｅｃトンネル制御部１１は、図７に示すように、このＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧを確立したときに生成されたＳＡ情報を、既設のＢＧ間トンネル（暗号鍵：BG-tunnel）Ｔ２を用いてＢに通知しつつＭＯＢＩＫＥの実施を要求する。このＭＯＢＩＫＥ実施要求は、Ｂに新たに定義したDo Mobikeパラメータを通知することによって行われる。ここで、Ｂに通知されるＳＡ情報の中には、ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧの暗号鍵：ext-tunnelとＡの終端アドレスとが含まれる。したがって、Ｂは、それらの情報を用いることによってＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧに対応する制御用の暗号化パケットをＡに直接送信できることになる。この時点では、まだＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢは片方向（Ｂ→Ａ）だけが開通した状態である。
【００４５】
次に、Do Mobikeパラメータを通知されたＢは、図８に示すように、片方向（Ｂ→Ａ）だけが開通したＡＢ間ＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３ＡＢを用いて、ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧのＳＡ情報に含まれているＧの終端アドレスを、自身のＩＰアドレス（例えば、ＢＧ間トンネルＴ２のＢの終端アドレス）に更新するように、Ａに要求する。この終端アドレスの更新要求は、ＡにＩＫＥｖ２／ＭＯＢＩＫＥのUPDATE_SA_ADDRESSESパラメータを通知することによって行われる。
【００４６】
最後に、UPDATE_SA_ADDRESSESパラメータを通知されたＡは、自身が保持しているＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧのＳＡ情報に含まれているＧの終端アドレスを指定されたＢのＩＰアドレスに変更したのち、そのアドレス宛に完了通知を送信する。これにより、図９の２点鎖線矢印にて示すように、ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧのＧの終端アドレスがＢのＩＰアドレスに変更され、それまでＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧであったトンネルは、以後ＡとＢとの間で直接暗号通信を行うためのＡＢ間ＭＯＢＩＫＥトンネル［旧ＡＧ間］Ｔ３ＡＢに切り替えられる。
【００４７】
また、Ｇが備えるＩＰｓｅｃトンネル制御部１１は、図１０に示すように、必要に応じて、Do MobikeパラメータによってＢに使用権を譲渡した旧ＡＧ間トンネルであったＡＢ間ＭＯＢＩＫＥトンネル［旧ＡＧ間］Ｔ３ＡＢの削除を、ＡおよびＢ、またはそのいずれか一方に要求するすることができる。この削除要求は、当該端末に新たに定義したDelete Mobiked SAパラメータを通知することにより行われる。このDelete Mobiked SAパラメータを通知された端末は、該当するＡＢ間ＭＯＢＩＫＥトンネル［旧ＡＧ間］Ｔ３ＡＢを削除する。
【００４８】
以上説明したように、実施形態１によれば、ハブスポークモデルによって構成されるＩＰｓｅｃＶＰＮにおいて、ゲートウェイ装置の性能不足によるパケットロスの発生や通信の遅延を減らすことができる。また、任意の装置間にＩＰｓｅｃトンネルを自由に確立し削除することができるようになるので、通信キャリアが提供するＩＰｓｅｃＶＰＮのユーザ拠点間を動的に接続するダイナミックＶＰＮの実現が可能となる。
【００４９】
［実施形態２］
続いて、ハブスポークモデルによってクラウドサービスを提供する複数のクラウドサーバと１つのクライアント装置との間で暗号通信を行う場合の適用例を説明する。図１１に示すように、それぞれが異なるクラウドサービスを提供する複数のサーバとして、クラウドサービスＸを提供するサーバＸ（５Ｘ）（以下、適宜「Ｘ」と略す。）、クラウドサービスＹを提供するサーバＹ（５Ｙ）（以下、適宜「Ｙ」と略す。）、クラウドサービスＺを提供するサーバＺ（５Ｚ）（以下、適宜「Ｚ」と略す。）がＩＰネットワーク４に接続されている。また、ＩＰネットワーク４のクラウド集約拠点には、本実施形態に係るゲートウェイ装置として通信キャリアまたはサービスプロバイダなどが備えるゲートウェイ装置Ｇ（１ｂ）（以下、適宜「Ｇ」と略す。）が接続されている。
【００５０】
それら複数のクラウドサービスを利用するユーザＡのクライアント装置である端末Ａ（２Ａ）（以下、適宜「Ａ」と略す。）とＧとの間、および、ＧとＸ、Ｙ、Ｚとの間には、それぞれＩＰｓｅｃトンネルが確立されているか、確立可能な状態にあるものとする。
【００５１】
このように、Ａから複数のクラウドサービスを利用する場合であっても、Ｇが、Ａと各サーバＸ、Ｙ、Ｚとの間の暗号化パケットの中継を行うようにすることによって、Ａに事前設定するポリシはＧと共有する１つだけで済む。また、クラウドサービス側も、サービスを利用するユーザ毎にポリシを事前設定しておく必要がなく、事前設定するポリシはＧと共有する１つだけで済む。
【００５２】
しかし、Ｇが中継するトラフィックが増大すると、実施形態１と同様に、中継する暗号化パケットの復号化および再暗号化処理の負荷が大きくなって、パケットロスが発生したり、遅延時間が増大したりする可能性がある。
【００５３】
そこで、例えば、各サーバＸ、Ｙ、ＺとＡとの間の通信を、Ｇによる中継方式から、両者の直接通信方式に切り替えるための通信量の基準値を定めておき、それぞれのサーバＸ、Ｙ、ＺとＡとの間の単位時間当りの通信量が、この基準値を上回った場合に、両者の間に直接ＩＰｓｅｃトンネルを確立して直接通信させることによって、パケットロスの発生や遅延時間の増大を防止する。
【００５４】
例えば、図１１において、ＸとＡとの間の通信量が前記の基準値を上回ったものとする。Ｇは、各サーバと各ユーザ端末との間で自身が中継している暗号化パケットの単位時間当りのデータ量が所定の基準値を上回るか否かを監視しており、それによりＸとＡとの間の通信量が基準値を上回ったことを検知する。
【００５５】
そこで、Ｇは、図１２に示すように、前記した実施形態１の場合と同様な手順により、まず、ＧとＡとの間に、新たなＡＧ間ＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３ＡＧを確立し、そのＳＡ情報を既設のＸＧ間トンネルＴ２ＸＧを用いてＸに通知して当該ＭＯＢＩＫＥトンネルの使用権を譲渡することにより、ＡとＸとの間で直接暗号通信を行うためのＡＸ間ＭＯＢＩＫＥトンネル［旧ＡＧ間］Ｔ３ＡＸを確立する。
【００５６】
また、このような直接暗号通信を行うためのＭＯＢＩＫＥトンネルの確立の契機として、例えば、クラウドサービスＸの利用開始時などに、ＡとＸとの間に直接トンネルを確立したい旨を通知する新たなＩＫＥｖ２メッセージを定義して、Ｇに伝えるようにしてもよい。
【００５７】
以上説明したように、実施形態２によれば、ハブスポークモデルによって複数のクラウドサービスが提供される通信システムにおいて、ゲートウェイ装置の性能不足によるパケットロスの発生や通信の遅延を減らすことができる。また、不特定多数のユーザと不特定多数のサービスプロバイダとの間に個別にポリシを共有することなしに、セキュリティが高くかつ高速な通信サービスを提供する集約拠点を実現することができる。
【００５８】
以上にて、本発明を実施するための形態の説明を終えるが、本発明の実施の態様は、これらに限定されるものではなく、本発明の趣旨を逸脱しない範囲で各種の変形や変更が可能である。
【符号の説明】
【００５９】
１，１ａ，１ｂ ＩＰｓｅｃゲートウェイ装置（ゲートウェイ装置）
２Ａ，２Ｂ，２Ｃ 端末（第１装置／第２装置）
４，４ａ ＩＰネットワーク
５Ｘ，５Ｙ，５Ｚ サーバ（第１装置／第２装置）
１０ ゲートウェイ処理部（処理部）
１１ ＩＰｓｅｃトンネル制御部
１２ ＩＰｓｅｃパケット中継部
１３ ＣＰＵ
１４ メモリ（記憶部）
１５ ハードディスク（記憶部）
１６ 入出力制御部
１７ 入力部
１８ 表示部
１９ 通信制御部
２０Ａ，２０Ｂ ＩＰｓｅｃクライアント
Ｔ１ ＡＧ間トンネル（第１のＩＰｓｅｃトンネル）
Ｔ２ ＢＧ間トンネル（第２のＩＰｓｅｃトンネル）
Ｔ２ｘｙ ｘｙ間トンネル（第２のＩＰｓｅｃトンネル）
Ｔ３ ＭＯＢＩＫＥトンネル(第３のＩＰｓｅｃトンネル）
Ｔ３ｘｙ ｘｙ間ＭＯＢＩＫＥトンネル(第３のＩＰｓｅｃトンネル）
【技術分野】
【０００１】
本発明は、ＩＰｓｅｃ（Security Architecture for Internet Protocol）トンネルを用いて暗号通信を行うＩＰｓｅｃ通信方法およびＩＰｓｅｃ通信システムに関し、特に、ＩＰｓｅｃトンネルを確立するために必要な共有情報をもたない通信相手との間で、ＩＰｓｅｃトンネルを確立する技術に関する。
【背景技術】
【０００２】
ＩＰｓｅｃトンネル（以下、適宜「トンネル」ともいう。）を利用した暗号通信では、通信を行う２つの装置間で、暗号通信を始める前に暗号化方法や暗号鍵などのセキュリティアソシエーション情報（以下、「ＳＡ情報」という。）をネゴシエーションして共有することにより、仮想的な暗号通信路であるＩＰｓｅｃトンネルが確立される。このＳＡ情報のネゴシエーションは、ＲＦＣ４３０６（非特許文献１）に規定されている鍵交換プロトコルであるＩＫＥｖ２（Internet Key Exchange Version 2）を用いて行われるが、そのためには、通信を行う２つの装置間で、ＩＰｓｅｃポリシ（以下、適宜「ポリシ」ともいう。）と呼ばれる、互いのＩＰ（Internet Protocol）アドレス、共有鍵、鍵生成アルゴリズムなどを事前に共有しておく必要がある。
【０００３】
また、ＲＦＣ４５５５（非特許文献２）には、トンネルを確立した装置の一方の終端アドレスがハンドオーバなどによって変化したときに、変更先の終端アドレスをもう一方の装置に通知することでトンネルを維持するためのプロトコルであるＭＯＢＩＫＥ（IKEv2 Mobility and Multihoming Protocol）が規定されている。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】IETF, "Internet Key Exchange (IKEv2) Protocol", RFC4306, December 2005.
【非特許文献２】IETF, "IKEv2 Mobility and Multihoming Protocol(MOBIKE)", RFC4555, June 2006.
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ＩＰｓｅｃトンネルを利用した仮想的な閉域通信網であるＶＰＮ（Virtual Private Network）（以下、「ＩＰｓｅｃＶＰＮ」という。）を構築して、網内の複数の装置と通信を行おうとする場合、通信先の装置ごとに個別にトンネルを確立するためには、それぞれの装置について、通信先の装置の数に相当するポリシを事前に設定しておく必要があり、管理が煩雑になる。そこで、ポリシを集約するゲートウェイ装置を設け、すべての装置がこのゲートウェイ装置との間だけにトンネルを確立し、ゲートウェイ装置がＩＰｓｅｃの暗号化パケットを中継する、ハブスポークモデルが一般に利用される。
【０００６】
しかしながら、このハブスポークモデルでは、網内のすべてのトラフィックがゲートウェイ装置に集中するとともに、中継する暗号化パケットの復号化および再暗号化処理の負荷が大きいため、ゲートウェイ装置の性能が不足してパケットロスが生じたり、通信に大きな遅延が発生したりするという問題があった。この問題を回避するには、通信する装置同士が、トンネルを直接確立すればよいが、ハブスポークモデルでは、各装置間では、新たなトンネルの確立に必要なポリシが共有されていないので、装置間で新たなトンネルを直接確立することはできない。
【０００７】
本発明は、前記の問題を克服するためになされたものであり、ＩＰｓｅｃポリシの管理が容易であって、パケットロスの発生や通信の遅延を減らすことが可能なＩＰｓｅｃ通信方法およびＩＰｓｅｃ通信システムを提供することを課題とする。
【課題を解決するための手段】
【０００８】
前記の課題を解決するために、本発明は、ＩＰｓｅｃポリシを共有しない第１装置と第２装置との間に新たなＩＰｓｅｃトンネルを確立して、前記第１装置と前記第２装置との間のＩＰｓｅｃによる暗号通信を行うＩＰｓｅｃ通信方法であって、前記第１装置および前記第２装置に接続され、前記第１装置と共有する第１のＩＰｓｅｃポリシと前記第２装置と共有する第２のＩＰｓｅｃポリシとを記憶部に保持するゲートウェイ装置が、前記第１のＩＰｓｅｃポリシを用いて確立される第１のＩＰｓｅｃトンネルを介して前記第１装置と通信することによって、前記第１装置との間に終端アドレスが変更可能な第３のＩＰｓｅｃトンネルを確立し、前記ゲートウェイ装置が、前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要なＳＡ（Security Association）情報を、前記第２のＩＰｓｅｃポリシを用いて確立される第２のＩＰｓｅｃトンネルを介して前記第２装置に通知し、前記第２装置が、通知された前記ＳＡ情報を用いて前記第１装置に前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを前記第２装置のＩＰアドレスに変更するように指示し、前記第１装置が、前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを、前記指示された前記第２装置のＩＰアドレスに変更することによって、前記第３のＩＰｓｅｃトンネルを前記第１装置と前記第２装置との間の前記新たなＩＰｓｅｃトンネルとして利用することを特徴とする。
【０００９】
これにより、各装置はゲートウェイ装置との間で１つのＩＰｓｅｃポリシを共有しておくだけで、必要に応じてＩＰｓｅｃポリシを共有しない他の装置との間で新たなＩＰｓｅｃトンネルを確立して直接暗号通信を行うことが可能となる。
【００１０】
また、本発明は、前記のＩＰｓｅｃ通信方法において、前記ゲートウェイ装置が、前記第１のＩＰｓｅｃトンネルまたは前記第２のＩＰｓｅｃトンネルを介して前記第１装置または前記第２装置に前記第３のＩＰｓｅｃトンネルの削除を要求し、前記第３のＩＰｓｅｃトンネルの削除を要求された前記第１装置または前記第２装置が、前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要な前記ＳＡ情報を破棄することを特徴とする。
【００１１】
これにより、ゲートウェイ装置が確立した第３のＩＰｓｅｃトンネルが不正に使用された場合などに、ゲートウェイ装置はその使用を中止させることができる。
【００１２】
また、本発明は、前記のＩＰｓｅｃ通信方法において、前記第１装置と前記第２装置との間の通信量が所定値以下の場合は、前記ゲートウェイ装置が前記第１のＩＰｓｅｃトンネルと前記第２のＩＰｓｅｃトンネルとの間で暗号化パケットの中継を行い、前記第１装置と前記第２装置との間の通信量が前記所定値を超えた場合は、前記第１装置と前記第２装置との間に前記新たなＩＰｓｅｃトンネルを確立して、前記第１装置と前記第２装置との間で直接暗号化パケットを交換することを特徴とする。
【００１３】
これにより、通信量が少ない装置間はゲートウェイ装置がＩＰｓｅｃトンネル間の暗号化パケットの中継を行い、通信量が多い装置間は両者の間で新たなＩＰｓｅｃトンネルを確立して直接暗号通信を行わせることができるので、ゲートウェイ装置の性能不足によるパケットロスの発生や通信の遅延を減らすことができる。
【発明の効果】
【００１４】
本発明によれば、ＩＰｓｅｃポリシの管理が容易であって、パケットロスの発生や通信の遅延を減らすことが可能なＩＰｓｅｃ通信方法およびＩＰｓｅｃ通信システムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】新たなＩＰｓｅｃトンネルの確立手順を示す説明図である。
【図２】ＩＰｓｅｃゲートウェイ装置のハードウェア構成例を示すブロック図である。
【図３】ＩＰｓｅｃゲートウェイ装置を備えた通信システムの接続構成図である。
【図４】新たなＩＰｓｅｃトンネルの確立手順を示すシーケンスチャートである。
【図５】ハブスポークモデルによるＶＰＮの構成例とその動作の説明図である。
【図６】ＶＰＮにおけるＭＯＢＩＫＥトンネルの確立についての説明図である。
【図７】ＶＰＮにおけるＭＯＢＩＫＥ実施要求についての説明図である。
【図８】ＶＰＮにおける終端アドレス変更要求についての説明図である。
【図９】ＶＰＮにおける終端アドレス変更結果についての説明図である。
【図１０】ＶＰＮにおけるＭＯＢＩＫＥトンネル削除要求についての説明図である。
【図１１】複数のクラウドサービスを提供する通信システムの構成例である。
【図１２】端末とクラウドサーバ間に新たなＩＰｓｅｃトンネルを確立した状態を示す説明図である。
【発明を実施するための形態】
【００１６】
以下、本発明を実施するための形態（以下、「本実施形態」という。）につき図面を参照して説明する。まず始めに、本実施形態に係る新たなＩＰｓｅｃトンネルの確立手順について説明し、次に、ＶＰＮに収容される複数の装置間で暗号通信を行う場合の適用例（実施形態１）と、クラウドサービスを提供する複数のクラウドサーバと１つの装置との間で暗号通信を行う場合の適用例（実施形態２）とを順に説明する。
【００１７】
図１は、互いにポリシを共有していない２つのＩＰｓｅｃクライアント（以下、適宜「クライアント」と略す。）の間に新たなトンネルを確立する手順を示す説明図である。図１において、クライアントＡ（２０Ａ）とクライアントＢ（２０Ｂ）とは、新たなトンネルによって通信を行う２つの装置に搭載され、ゲートウェイ処理部１０は、これら２つの装置とＩＰネットワークで接続されるＩＰｓｅｃゲートウェイ装置に搭載される。
【００１８】
クライアントＡ（２０Ａ）は、ゲートウェイ処理部１０との間でトンネルを確立するための共有鍵Ａを含むポリシを、クライアントＢ（２０Ｂ）は、ゲートウェイ処理部１０との間でトンネルを確立するための共有鍵Ｂを含むポリシを、それぞれ保持している。また、ゲートウェイ処理部１０は、ＩＰｓｅｃトンネルの制御を司るＩＰｓｅｃトンネル制御部１１と、ＩＰｓｅｃの暗号化パケットの中継を行うＩＰｓｅｃパケット中継部１２とを備え、クライアントＡ（２０Ａ）との間でトンネルを確立するための共有鍵Ａを含むポリシと、クライアントＢ（２０Ｂ）との間でトンネルを確立するための共有鍵Ｂを含むポリシとを保持している。
【００１９】
ここでは、一例として、クライアントＡ（２０Ａ）およびＢ（２０Ｂ）とゲートウェイ処理部１０との間に、それぞれＡＧ間トンネルＴ１およびＢＧ間トンネルＴ２が確立されている状態から、クライアントＡ（２０Ａ）とＢ（２０Ｂ）との間に新たなトンネルを確立する手順を説明するが、ＡＧ間トンネルＴ１またはＢＧ間トンネルＴ２は事前に確立されていなくてもよい。なお、ＩＰｓｅｃトンネルは、ＩＫＥ ＳＡと呼ばれる１つの制御用の暗号鍵を含むＳＡ情報と、ＣＨＩＬＤ ＳＡと呼ばれる１つ以上のデータ通信用の暗号鍵を含むＳＡ情報から構成されるが、以下の説明における「暗号鍵」は、特に断らない限りＩＫＥ ＳＡに含まれる制御用の暗号鍵を意味するものとする。
【００２０】
例えば、クライアントＡ（２０Ａ）とＢ（２０Ｂ）との間の新たなトンネルの確立要求が、クライアントＡ（２０Ａ）からゲートウェイ処理部１０に送信されたものとする。すると、ゲートウェイ処理部１０のＩＰｓｅｃトンネル制御部１１は、図１の破線で示すように、クライアントＡ（２０Ａ）との間に、ＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３を生成する。「ＭＯＢＩＫＥトンネル」とは、ＭＯＢＩＫＥの技術によって終端アドレスの変更を可能としたＩＰｓｅｃトンネルであることを表す便宜的な呼称である。
【００２１】
次に、ＩＰｓｅｃトンネル制御部１１は、すでに確立されているＢＧ間トンネル（暗号鍵：BG-tunnel）Ｔ２を用いて、生成したＭＯＢＩＫＥトンネルＴ３の暗号鍵：ext-tunnelとクライアントＡ（２０Ａ）の終端アドレスとを含むＳＡ情報を、クライアントＢ（２０Ｂ）に送信して、終端アドレスの変更の実行を要求する。
【００２２】
次に、この実行要求を受信したクライアントＢ（２０Ｂ）は、通知された終端アドレスと暗号鍵：ext-tunnelを使って、クライアントＡ（２０Ａ）に自身のＩＰアドレスを通知して、ＭＯＢＩＫＥトンネルＴ３の終端アドレスの変更を要求する。そして、クライアントＡ（２０Ａ）がこの変更要求を受け付けて、ＭＯＢＩＫＥトンネルＴ３の通信先の終端アドレスをゲートウェイ処理部１０のアドレスから通知されたクライアントＢ(２０Ｂ）のＩＰアドレスに変更することで、最終的に、図１の太線で示すように、クライアントＡ（２０Ａ）とＢ（２０Ｂ）との間の新たなＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３が確立される。
【００２３】
ところで、ＲＦＣ４５５５に規定されている従来のＭＯＢＩＫＥは、同一のクライアントの終端アドレスが変化する場合だけを想定していたため、終端アドレスの変更を要求するとき（ＭＯＢＩＫＥ要求時）には、ＭＯＢＩＫＥトンネルに係るＳＡ情報そのものを送信するようにはなっていなかった。これに対し、本実施形態では、ＭＯＢＩＫＥ要求時に、生成したＭＯＢＩＫＥトンネルＴ３に係るＳＡ情報をも送信することによって、別のクライアントにそのＭＯＢＩＫＥトンネルＴ３の使用権を譲渡可能とした。
【００２４】
また、使用権を譲渡したＭＯＢＩＫＥトンネルＴ３については、ゲートウェイ処理部１０がクライアントＡ（２０Ａ）との間で暗号通信を行うためのＳＡ情報が譲渡先のクライアントＢ（２０Ｂ）にも保持されるので、そのＳＡ情報を無効化して不正利用を防止できることが望ましい。そこで、使用権を譲渡したＭＯＢＩＫＥトンネルＴ３については、それを生成したゲートウェイ処理部１０から、譲渡先のクライアントＢ（２０Ｂ）と暗号通信を行うクライアントＡ（２０Ａ）に対して、トンネルの削除を要求してそのＳＡ情報を廃棄させるものとした。なお、このトンネルの削除の要求を譲渡先のクライアントＢ（２０Ｂ）にも通知するようにしてもよい。
【００２５】
図２は、前記したゲートウェイ処理部１０を搭載するＩＰｓｅｃゲートウェイ装置のハードウェア構成例を示すブロック図である。図２に示すように、ＩＰｓｅｃゲートウェイ装置１は、ＣＰＵ１３、メモリ１４、ハードディスク１５、入出力制御部１６によって制御される入力部１７および表示部１８、通信制御部１９などを備えて構成されるコンピュータであり、ＣＰＵ１３が所定のプログラムをメモリ１４にロードして実行することによって、ゲートウェイ処理部１０としての各種機能が具現化される。また、暗号通信に必要なポリシやＳＡ情報は、メモリ１４またはハードディスク１５などの記憶部に保持される。
【００２６】
通信制御部１９は、例えばＬＡＮケーブルによってＩＰネットワーク４に接続され、ＩＰｓｅｃゲートウェイ装置１は、通信制御部１９を介してＩＰネットワーク４に接続される他の装置との間でＩＰパケットの交換を行う。
【００２７】
図３は、ＩＰｓｅｃクライアントが搭載された２台の装置である端末Ａ（２Ａ）と端末Ｂ（２Ｂ）とが、ＩＰネットワーク４を介してＩＰｓｅｃゲートウェイ装置１に接続された通信システムの例を示す接続構成図である。以下、図３に示した通信システムにおいて、端末Ａ（２Ａ）と端末Ｂ（２Ｂ）との間に新たなＩＰｓｅｃトンネルを確立するときの、これらの装置間のメッセージのやり取りを、シーケンスチャートを用いて説明する。
【００２８】
図４は、互いにポリシを共有していない端末Ａ（２Ａ）（以下、適宜「Ａ」と略す。）と端末Ｂ（２Ｂ）（以下、適宜「Ｂ」と略す。）との間に新たなトンネルを確立するときの、ＩＰｓｅｃゲートウェイ装置１（以下、適宜「Ｇ」と略す。）を含めた装置間のメッセージのやり取りを示すシーケンスチャートである。
【００２９】
まず、初期状態において、ＡとＧとは第１のポリシを共有しており、トンネルを確立可能であるがトンネルはまだ確立していないものとする。また、ＢとＧとは第２のポリシを共有しており、それを用いてすでにＢＧ間トンネル（暗号鍵：BG-tunnel）Ｔ２を確立済みであるものとする。
【００３０】
ここで、ＡとＢとの間に直接トンネルを生成するための何らかの契機が発生したものとする（Ｓ１０）。そのような契機としては、例えば、ＡがＢと通信するためのＧへの要求であるセッション確立要求、データ転送要求、あるいはＧがＡとＢとの間で中継するデータ量の上限値超過などのＧが主導する契機や、新たに定義されるＩＫＥｖ２メッセージによってＧに要求されるＡからＢへのトンネル確立要求などＡが主導する契機が考えられる。
【００３１】
前記のような契機の発生に基づき、まず、ＡとＧとの間に新たなＭＯＢＩＫＥトンネルを確立するためのＩＫＥｖ２／ＭＯＢＩＫＥのメッセージ交換（requestとそれに対応するresponseの対）であるIKE_SA_INIT交換とIKE_AUTH交換とが、ＡとＧとの間で実行される（Ｓ１１）。このとき、MOBIKE SUPPORTEDパラメータを通知することで、のちに終端アドレスの変更が可能なＡＧ間ＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３ＡＧが確立される。
【００３２】
次に、ＧはＢに対して、確立済みのＢＧ間トンネルＴ２を介して（暗号鍵：BG-tunnelを用いて）、新たに定義したDo Mobike with this SAパラメータを含む INFORMATIONAL requestを送信する（Ｓ１２）。このメッセージでは、先に確立したＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧの使用に必要な暗号鍵：ext-tunnelとＡの終端アドレスとを含むＳＡ情報（ＩＫＥ ＳＡおよびＣＨＩＬＤ ＳＡ）がＢに通知される。
【００３３】
次に、ＢはＡに対して、通知されたＳＡ情報に含まれるＩＫＥ ＳＡを用いて（ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧの暗号鍵：ext-tunnelを用いて）、自己のＩＰアドレスへの終端アドレスの変更を要求するUPDATE_SA_ADDRESSESパラメータを含むINFORMATIONAL交換を行う。そして、このrequestを受信したＡが、ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧの通信先終端アドレスを、Ｇのアドレスから通知されたＢのＩＰアドレスに変更することによって、ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧは、ＡとＢとの間のＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢに切り替えられる（Ｓ１３）。
【００３４】
ＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢへの切替完了は、ＢからＧへのMOBIKE DONEパラメータを含むINFORMATIONAL responseによってＧに通知される（Ｓ１４）。
【００３５】
また、ＧからＢに使用権を譲渡した旧ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧであったＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢが、Ｂによって不正利用された場合などには、そのトンネルの削除を要求する新たに定義したDelete Mobiked SAパラメータを含むINFORMATIONAL requestを、ＧからＢの通信先であるＡに送信することができる（Ｓ１５）。なお、図４ではＡＧ間のトンネルを確立するシーケンスは省略している。
【００３６】
この削除要求を受信したＡは、Ｂとの間でＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢを削除するためのINFORMATIONAL交換を行ったのち（Ｓ１６）、当該トンネルの削除が完了したことを示す新たに定義したMobiked SA Deletedパラメータを含むINFORMATIONAL responseをＧに送信する（Ｓ１７）。これにより、ＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢは、破線で示した削除完了の状態（Ｔ３Ｄ）となる。
【００３７】
［実施形態１］
続いて、ハブスポークモデルによって構築されるＩＰｓｅｃＶＰＮに収容される複数の装置間で暗号通信を行う場合の適用例を説明する。図５に示すように、ＶＰＮ Ｘを構成する拠点Ａ、拠点Ｂ、拠点Ｃが、通信キャリアが提供するキャリアＩＰネットワーク４ａに接続されている。また、キャリアＩＰネットワーク４ａには、本実施形態に係るゲートウェイ装置として通信キャリアが備えるゲートウェイ装置Ｇ（１ａ）（以下、適宜「Ｇ」と略す。）が接続され、ハブスポークモデルのＩＰｓｅｃＶＰＮが構築されている。
【００３８】
拠点Ａ、Ｂ、Ｃには、それぞれ前記のＩＰｓｅｃクライアントが搭載された端末Ａ（２Ａ）（以下、適宜「Ａ」と略す。）、端末Ｂ（２Ｂ）（以下、適宜「Ｂ」と略す。）、端末Ｃ（２Ｃ）（以下、適宜「Ｃ」と略す。）が設置され、ＧとＡ、Ｂ、Ｃとの間には、それぞれＩＰｓｅｃトンネルが確立されているか、確立可能な状態にある。そして、各端末は、Ｇとの間にＩＰｓｅｃトンネルを確立することによって、ＶＰＮ Ｘに参加することができる。
【００３９】
例えば、図５に示すように、Ｇとの間でＡＧ間トンネル（暗号鍵：AG-tunnel）Ｔ１を確立したＡと、Ｇとの間でＢＧ間トンネル（暗号鍵：BG-tunnel）Ｔ２を確立したＢとが通信する場合、Ｇが中継するトラフィックが少ないときには、Ｇが備えるＩＰｓｅｃパケット中継部１２（図１参照）が両端末間で交換される暗号化パケットの中継を行う。例えば、ＡからＢ宛に送信された暗号化パケットは、ＩＰｓｅｃパケット中継部１２が、ＡＧ間トンネルＴ１のデータ通信用の暗号鍵で一旦復号化したのち、ＢＧ間トンネルＴ２のデータ通信用の暗号鍵で再暗号化してＢに送信する。
【００４０】
しかし、Ｇが中継するトラフィックが増大すると、中継する暗号化パケットの復号化および再暗号化処理の負荷が大きくなって、パケットロスが発生したり、遅延時間が増大する可能性がある。
【００４１】
そこで、例えば、各端末間の通信を、Ｇによる中継方式から、端末間の直接通信方式に切り替えるための通信量の基準値を定めておき、それぞれの端末間の単位時間当りの通信量が、この基準値を上回った場合に、両端末間に直接ＩＰｓｅｃトンネルを確立して直接通信させることによって、パケットロスの発生や遅延時間の増大を防止する。
【００４２】
ここでは、図５に示したＶＰＮ Ｘにおいて、ＡとＢとの間の通信量が前記の基準値を上回ったものとする。Ｇが備えるＩＰｓｅｃパケット中継部１２（図１参照）は、各端末間で自身が中継している暗号化パケットの単位時間当りのデータ量が所定の基準値を上回るか否かを監視しており、それによりＡとＢとの間の通信量が基準値を上回ったことを検知する。
【００４３】
そこで、Ｇが備えるＩＰｓｅｃトンネル制御部１１（図１参照）は、図６に示すように、まず、Ａとの間でＩＫＥｖ２／ＭＯＢＩＫＥのメッセージ交換を行うことで、ＧとＡとの間に、新たなＩＰｓｅｃトンネルであるＡＧ間ＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３ＡＧを確立する。終端アドレスの変更が可能なこのＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧは、ＡにＩＫＥｖ２／ＭＯＢＩＫＥのMOBIKE SUPPORTEDパラメータ通知を送信することによって確立することができる。
【００４４】
次に、ＩＰｓｅｃトンネル制御部１１は、図７に示すように、このＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧを確立したときに生成されたＳＡ情報を、既設のＢＧ間トンネル（暗号鍵：BG-tunnel）Ｔ２を用いてＢに通知しつつＭＯＢＩＫＥの実施を要求する。このＭＯＢＩＫＥ実施要求は、Ｂに新たに定義したDo Mobikeパラメータを通知することによって行われる。ここで、Ｂに通知されるＳＡ情報の中には、ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧの暗号鍵：ext-tunnelとＡの終端アドレスとが含まれる。したがって、Ｂは、それらの情報を用いることによってＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧに対応する制御用の暗号化パケットをＡに直接送信できることになる。この時点では、まだＡＢ間ＭＯＢＩＫＥトンネルＴ３ＡＢは片方向（Ｂ→Ａ）だけが開通した状態である。
【００４５】
次に、Do Mobikeパラメータを通知されたＢは、図８に示すように、片方向（Ｂ→Ａ）だけが開通したＡＢ間ＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３ＡＢを用いて、ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧのＳＡ情報に含まれているＧの終端アドレスを、自身のＩＰアドレス（例えば、ＢＧ間トンネルＴ２のＢの終端アドレス）に更新するように、Ａに要求する。この終端アドレスの更新要求は、ＡにＩＫＥｖ２／ＭＯＢＩＫＥのUPDATE_SA_ADDRESSESパラメータを通知することによって行われる。
【００４６】
最後に、UPDATE_SA_ADDRESSESパラメータを通知されたＡは、自身が保持しているＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧのＳＡ情報に含まれているＧの終端アドレスを指定されたＢのＩＰアドレスに変更したのち、そのアドレス宛に完了通知を送信する。これにより、図９の２点鎖線矢印にて示すように、ＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧのＧの終端アドレスがＢのＩＰアドレスに変更され、それまでＡＧ間ＭＯＢＩＫＥトンネルＴ３ＡＧであったトンネルは、以後ＡとＢとの間で直接暗号通信を行うためのＡＢ間ＭＯＢＩＫＥトンネル［旧ＡＧ間］Ｔ３ＡＢに切り替えられる。
【００４７】
また、Ｇが備えるＩＰｓｅｃトンネル制御部１１は、図１０に示すように、必要に応じて、Do MobikeパラメータによってＢに使用権を譲渡した旧ＡＧ間トンネルであったＡＢ間ＭＯＢＩＫＥトンネル［旧ＡＧ間］Ｔ３ＡＢの削除を、ＡおよびＢ、またはそのいずれか一方に要求するすることができる。この削除要求は、当該端末に新たに定義したDelete Mobiked SAパラメータを通知することにより行われる。このDelete Mobiked SAパラメータを通知された端末は、該当するＡＢ間ＭＯＢＩＫＥトンネル［旧ＡＧ間］Ｔ３ＡＢを削除する。
【００４８】
以上説明したように、実施形態１によれば、ハブスポークモデルによって構成されるＩＰｓｅｃＶＰＮにおいて、ゲートウェイ装置の性能不足によるパケットロスの発生や通信の遅延を減らすことができる。また、任意の装置間にＩＰｓｅｃトンネルを自由に確立し削除することができるようになるので、通信キャリアが提供するＩＰｓｅｃＶＰＮのユーザ拠点間を動的に接続するダイナミックＶＰＮの実現が可能となる。
【００４９】
［実施形態２］
続いて、ハブスポークモデルによってクラウドサービスを提供する複数のクラウドサーバと１つのクライアント装置との間で暗号通信を行う場合の適用例を説明する。図１１に示すように、それぞれが異なるクラウドサービスを提供する複数のサーバとして、クラウドサービスＸを提供するサーバＸ（５Ｘ）（以下、適宜「Ｘ」と略す。）、クラウドサービスＹを提供するサーバＹ（５Ｙ）（以下、適宜「Ｙ」と略す。）、クラウドサービスＺを提供するサーバＺ（５Ｚ）（以下、適宜「Ｚ」と略す。）がＩＰネットワーク４に接続されている。また、ＩＰネットワーク４のクラウド集約拠点には、本実施形態に係るゲートウェイ装置として通信キャリアまたはサービスプロバイダなどが備えるゲートウェイ装置Ｇ（１ｂ）（以下、適宜「Ｇ」と略す。）が接続されている。
【００５０】
それら複数のクラウドサービスを利用するユーザＡのクライアント装置である端末Ａ（２Ａ）（以下、適宜「Ａ」と略す。）とＧとの間、および、ＧとＸ、Ｙ、Ｚとの間には、それぞれＩＰｓｅｃトンネルが確立されているか、確立可能な状態にあるものとする。
【００５１】
このように、Ａから複数のクラウドサービスを利用する場合であっても、Ｇが、Ａと各サーバＸ、Ｙ、Ｚとの間の暗号化パケットの中継を行うようにすることによって、Ａに事前設定するポリシはＧと共有する１つだけで済む。また、クラウドサービス側も、サービスを利用するユーザ毎にポリシを事前設定しておく必要がなく、事前設定するポリシはＧと共有する１つだけで済む。
【００５２】
しかし、Ｇが中継するトラフィックが増大すると、実施形態１と同様に、中継する暗号化パケットの復号化および再暗号化処理の負荷が大きくなって、パケットロスが発生したり、遅延時間が増大したりする可能性がある。
【００５３】
そこで、例えば、各サーバＸ、Ｙ、ＺとＡとの間の通信を、Ｇによる中継方式から、両者の直接通信方式に切り替えるための通信量の基準値を定めておき、それぞれのサーバＸ、Ｙ、ＺとＡとの間の単位時間当りの通信量が、この基準値を上回った場合に、両者の間に直接ＩＰｓｅｃトンネルを確立して直接通信させることによって、パケットロスの発生や遅延時間の増大を防止する。
【００５４】
例えば、図１１において、ＸとＡとの間の通信量が前記の基準値を上回ったものとする。Ｇは、各サーバと各ユーザ端末との間で自身が中継している暗号化パケットの単位時間当りのデータ量が所定の基準値を上回るか否かを監視しており、それによりＸとＡとの間の通信量が基準値を上回ったことを検知する。
【００５５】
そこで、Ｇは、図１２に示すように、前記した実施形態１の場合と同様な手順により、まず、ＧとＡとの間に、新たなＡＧ間ＭＯＢＩＫＥトンネル（暗号鍵：ext-tunnel）Ｔ３ＡＧを確立し、そのＳＡ情報を既設のＸＧ間トンネルＴ２ＸＧを用いてＸに通知して当該ＭＯＢＩＫＥトンネルの使用権を譲渡することにより、ＡとＸとの間で直接暗号通信を行うためのＡＸ間ＭＯＢＩＫＥトンネル［旧ＡＧ間］Ｔ３ＡＸを確立する。
【００５６】
また、このような直接暗号通信を行うためのＭＯＢＩＫＥトンネルの確立の契機として、例えば、クラウドサービスＸの利用開始時などに、ＡとＸとの間に直接トンネルを確立したい旨を通知する新たなＩＫＥｖ２メッセージを定義して、Ｇに伝えるようにしてもよい。
【００５７】
以上説明したように、実施形態２によれば、ハブスポークモデルによって複数のクラウドサービスが提供される通信システムにおいて、ゲートウェイ装置の性能不足によるパケットロスの発生や通信の遅延を減らすことができる。また、不特定多数のユーザと不特定多数のサービスプロバイダとの間に個別にポリシを共有することなしに、セキュリティが高くかつ高速な通信サービスを提供する集約拠点を実現することができる。
【００５８】
以上にて、本発明を実施するための形態の説明を終えるが、本発明の実施の態様は、これらに限定されるものではなく、本発明の趣旨を逸脱しない範囲で各種の変形や変更が可能である。
【符号の説明】
【００５９】
１，１ａ，１ｂ ＩＰｓｅｃゲートウェイ装置（ゲートウェイ装置）
２Ａ，２Ｂ，２Ｃ 端末（第１装置／第２装置）
４，４ａ ＩＰネットワーク
５Ｘ，５Ｙ，５Ｚ サーバ（第１装置／第２装置）
１０ ゲートウェイ処理部（処理部）
１１ ＩＰｓｅｃトンネル制御部
１２ ＩＰｓｅｃパケット中継部
１３ ＣＰＵ
１４ メモリ（記憶部）
１５ ハードディスク（記憶部）
１６ 入出力制御部
１７ 入力部
１８ 表示部
１９ 通信制御部
２０Ａ，２０Ｂ ＩＰｓｅｃクライアント
Ｔ１ ＡＧ間トンネル（第１のＩＰｓｅｃトンネル）
Ｔ２ ＢＧ間トンネル（第２のＩＰｓｅｃトンネル）
Ｔ２ｘｙ ｘｙ間トンネル（第２のＩＰｓｅｃトンネル）
Ｔ３ ＭＯＢＩＫＥトンネル(第３のＩＰｓｅｃトンネル）
Ｔ３ｘｙ ｘｙ間ＭＯＢＩＫＥトンネル(第３のＩＰｓｅｃトンネル）
【特許請求の範囲】
【請求項１】
ＩＰｓｅｃポリシを共有しない第１装置と第２装置との間に新たなＩＰｓｅｃトンネルを確立して、前記第１装置と前記第２装置との間のＩＰｓｅｃによる暗号通信を行うＩＰｓｅｃ通信方法であって、
前記第１装置および前記第２装置に接続され、前記第１装置と共有する第１のＩＰｓｅｃポリシと前記第２装置と共有する第２のＩＰｓｅｃポリシとを記憶部に保持するゲートウェイ装置が、前記第１のＩＰｓｅｃポリシを用いて確立される第１のＩＰｓｅｃトンネルを介して前記第１装置と通信することによって、前記第１装置との間に終端アドレスが変更可能な第３のＩＰｓｅｃトンネルを確立し、
前記ゲートウェイ装置が、前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要なＳＡ（Security Association）情報を、前記第２のＩＰｓｅｃポリシを用いて確立される第２のＩＰｓｅｃトンネルを介して前記第２装置に通知し、
前記第２装置が、通知された前記ＳＡ情報を用いて前記第１装置に前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを前記第２装置のＩＰアドレスに変更するように指示し、
前記第１装置が、前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを、前記指示された前記第２装置のＩＰアドレスに変更することによって、前記第３のＩＰｓｅｃトンネルを前記第１装置と前記第２装置との間の前記新たなＩＰｓｅｃトンネルとして利用する
ことを特徴とするＩＰｓｅｃ通信方法。
【請求項２】
請求項１に記載のＩＰｓｅｃ通信方法において、
前記ゲートウェイ装置が、前記第１のＩＰｓｅｃトンネルまたは前記第２のＩＰｓｅｃトンネルを介して前記第１装置または前記第２装置に前記第３のＩＰｓｅｃトンネルの削除を要求し、
前記第３のＩＰｓｅｃトンネルの削除を要求された前記第１装置または前記第２装置が、前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要な前記ＳＡ情報を破棄する
ことを特徴とするＩＰｓｅｃ通信方法。
【請求項３】
請求項１または請求項２に記載のＩＰｓｅｃ通信方法において、
前記第１装置と前記第２装置との間の通信量が所定値以下の場合は、前記ゲートウェイ装置が前記第１のＩＰｓｅｃトンネルと前記第２のＩＰｓｅｃトンネルとの間で暗号化パケットの中継を行い、
前記第１装置と前記第２装置との間の通信量が前記所定値を超えた場合は、前記第１装置と前記第２装置との間に前記新たなＩＰｓｅｃトンネルを確立して、前記第１装置と前記第２装置との間で直接暗号化パケットを交換する
ことを特徴とするＩＰｓｅｃ通信方法。
【請求項４】
ＩＰｓｅｃポリシを共有しない第１装置と第２装置との間に新たなＩＰｓｅｃトンネルを確立して、前記第１装置と前記第２装置との間のＩＰｓｅｃによる暗号通信を行うＩＰｓｅｃ通信システムであって、
前記第１装置および前記第２装置に接続され、記憶部と処理部とを有するゲートウェイ装置を備え、
前記ゲートウェイ装置は、
前記記憶部に、前記第１装置と共有する第１のＩＰｓｅｃポリシと前記第２装置と共有する第２のＩＰｓｅｃポリシとを保持し、
前記処理部は、
前記第１のＩＰｓｅｃポリシを用いて確立される第１のＩＰｓｅｃトンネルを介して前記第１装置と通信することによって、前記第１装置との間に終端アドレスが変更可能な第３のＩＰｓｅｃトンネルを確立したのち、
前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要なＳＡ情報を、前記第２のＩＰｓｅｃポリシを用いて確立される第２のＩＰｓｅｃトンネルを介して前記第２装置に通知し、
前記第２装置は、通知された前記ＳＡ情報を用いて前記第１装置に前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを前記第２装置のＩＰアドレスに変更するように指示し、
前記第１装置は、前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを、前記指示された前記第２装置のＩＰアドレスに変更することによって、前記第３のＩＰｓｅｃトンネルを前記第１装置と前記第２装置との間の前記新たなＩＰｓｅｃトンネルとして利用する
ことを特徴とするＩＰｓｅｃ通信システム。
【請求項５】
請求項４に記載のＩＰｓｅｃ通信システムにおいて、
前記ゲートウェイ装置の前記処理部は、前記第１のＩＰｓｅｃトンネルまたは前記第２のＩＰｓｅｃトンネルを介して前記第１装置または前記第２装置に前記第３のＩＰｓｅｃトンネルの削除を要求し、
前記第３のＩＰｓｅｃトンネルの削除を要求された前記第１装置または前記第２装置は、前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要な前記ＳＡ情報を破棄する
ことを特徴とするＩＰｓｅｃ通信システム。
【請求項６】
請求項４または請求項５に記載のＩＰｓｅｃ通信システムにおいて、
前記ゲートウェイ装置の前記処理部は、
前記第１装置と前記第２装置との間の通信量が所定値以下の場合は、前記第１のＩＰｓｅｃトンネルと前記第２のＩＰｓｅｃトンネルとの間で暗号化パケットの中継を行い、
前記第１装置と前記第２装置との間の通信量が前記所定値を超えた場合は、前記第１装置と前記第２装置との間に前記新たなＩＰｓｅｃトンネルを確立させて前記第１装置と前記第２装置との間で直接暗号化パケットを交換させる
ことを特徴とするＩＰｓｅｃ通信システム。
【請求項１】
ＩＰｓｅｃポリシを共有しない第１装置と第２装置との間に新たなＩＰｓｅｃトンネルを確立して、前記第１装置と前記第２装置との間のＩＰｓｅｃによる暗号通信を行うＩＰｓｅｃ通信方法であって、
前記第１装置および前記第２装置に接続され、前記第１装置と共有する第１のＩＰｓｅｃポリシと前記第２装置と共有する第２のＩＰｓｅｃポリシとを記憶部に保持するゲートウェイ装置が、前記第１のＩＰｓｅｃポリシを用いて確立される第１のＩＰｓｅｃトンネルを介して前記第１装置と通信することによって、前記第１装置との間に終端アドレスが変更可能な第３のＩＰｓｅｃトンネルを確立し、
前記ゲートウェイ装置が、前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要なＳＡ（Security Association）情報を、前記第２のＩＰｓｅｃポリシを用いて確立される第２のＩＰｓｅｃトンネルを介して前記第２装置に通知し、
前記第２装置が、通知された前記ＳＡ情報を用いて前記第１装置に前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを前記第２装置のＩＰアドレスに変更するように指示し、
前記第１装置が、前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを、前記指示された前記第２装置のＩＰアドレスに変更することによって、前記第３のＩＰｓｅｃトンネルを前記第１装置と前記第２装置との間の前記新たなＩＰｓｅｃトンネルとして利用する
ことを特徴とするＩＰｓｅｃ通信方法。
【請求項２】
請求項１に記載のＩＰｓｅｃ通信方法において、
前記ゲートウェイ装置が、前記第１のＩＰｓｅｃトンネルまたは前記第２のＩＰｓｅｃトンネルを介して前記第１装置または前記第２装置に前記第３のＩＰｓｅｃトンネルの削除を要求し、
前記第３のＩＰｓｅｃトンネルの削除を要求された前記第１装置または前記第２装置が、前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要な前記ＳＡ情報を破棄する
ことを特徴とするＩＰｓｅｃ通信方法。
【請求項３】
請求項１または請求項２に記載のＩＰｓｅｃ通信方法において、
前記第１装置と前記第２装置との間の通信量が所定値以下の場合は、前記ゲートウェイ装置が前記第１のＩＰｓｅｃトンネルと前記第２のＩＰｓｅｃトンネルとの間で暗号化パケットの中継を行い、
前記第１装置と前記第２装置との間の通信量が前記所定値を超えた場合は、前記第１装置と前記第２装置との間に前記新たなＩＰｓｅｃトンネルを確立して、前記第１装置と前記第２装置との間で直接暗号化パケットを交換する
ことを特徴とするＩＰｓｅｃ通信方法。
【請求項４】
ＩＰｓｅｃポリシを共有しない第１装置と第２装置との間に新たなＩＰｓｅｃトンネルを確立して、前記第１装置と前記第２装置との間のＩＰｓｅｃによる暗号通信を行うＩＰｓｅｃ通信システムであって、
前記第１装置および前記第２装置に接続され、記憶部と処理部とを有するゲートウェイ装置を備え、
前記ゲートウェイ装置は、
前記記憶部に、前記第１装置と共有する第１のＩＰｓｅｃポリシと前記第２装置と共有する第２のＩＰｓｅｃポリシとを保持し、
前記処理部は、
前記第１のＩＰｓｅｃポリシを用いて確立される第１のＩＰｓｅｃトンネルを介して前記第１装置と通信することによって、前記第１装置との間に終端アドレスが変更可能な第３のＩＰｓｅｃトンネルを確立したのち、
前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要なＳＡ情報を、前記第２のＩＰｓｅｃポリシを用いて確立される第２のＩＰｓｅｃトンネルを介して前記第２装置に通知し、
前記第２装置は、通知された前記ＳＡ情報を用いて前記第１装置に前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを前記第２装置のＩＰアドレスに変更するように指示し、
前記第１装置は、前記第３のＩＰｓｅｃトンネルの通信先の終端アドレスを、前記指示された前記第２装置のＩＰアドレスに変更することによって、前記第３のＩＰｓｅｃトンネルを前記第１装置と前記第２装置との間の前記新たなＩＰｓｅｃトンネルとして利用する
ことを特徴とするＩＰｓｅｃ通信システム。
【請求項５】
請求項４に記載のＩＰｓｅｃ通信システムにおいて、
前記ゲートウェイ装置の前記処理部は、前記第１のＩＰｓｅｃトンネルまたは前記第２のＩＰｓｅｃトンネルを介して前記第１装置または前記第２装置に前記第３のＩＰｓｅｃトンネルの削除を要求し、
前記第３のＩＰｓｅｃトンネルの削除を要求された前記第１装置または前記第２装置は、前記第３のＩＰｓｅｃトンネルによって暗号通信を行うために必要な前記ＳＡ情報を破棄する
ことを特徴とするＩＰｓｅｃ通信システム。
【請求項６】
請求項４または請求項５に記載のＩＰｓｅｃ通信システムにおいて、
前記ゲートウェイ装置の前記処理部は、
前記第１装置と前記第２装置との間の通信量が所定値以下の場合は、前記第１のＩＰｓｅｃトンネルと前記第２のＩＰｓｅｃトンネルとの間で暗号化パケットの中継を行い、
前記第１装置と前記第２装置との間の通信量が前記所定値を超えた場合は、前記第１装置と前記第２装置との間に前記新たなＩＰｓｅｃトンネルを確立させて前記第１装置と前記第２装置との間で直接暗号化パケットを交換させる
ことを特徴とするＩＰｓｅｃ通信システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２０１１−１７６３９５（Ｐ２０１１−１７６３９５Ａ）
【公開日】平成２３年９月８日（２０１１．９．８）
【国際特許分類】
【出願番号】特願２０１０−３６９１９（Ｐ２０１０−３６９１９）
【出願日】平成２２年２月２３日（２０１０．２．２３）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２３年９月８日（２０１１．９．８）
【国際特許分類】
【出願日】平成２２年２月２３日（２０１０．２．２３）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]