JP2006074457A - ネットワーク中継装置、ネットワークシステム及び暗号化通信方法 - Google Patents

Abstract

【課題】ＩＰｓｅｃ等に基づく暗号トンネルを構築して暗号化通信を行うネットワーク中継装置、ネットワークシステム及び暗号化通信方法において、より多くの暗号トンネルを同時並列的に利用可能にすること。
【解決手段】暗号トンネル構築の際に、ユーザ装置固有のＫＥＹデータがルータ２０のＳＡ２ａにＳＡに関連付けて保存する。これにより、ユーザ装置１０とルータ２０との間で暗号トンネルが構築された後、当該暗号トンネルが終了される前に当該ユーザ装置１０が故障等により再起動されて新たな暗号トンネル構築要求がユーザ装置１０からルータ２０になされた場合、ルータ２０は、ＫＥＹデータに基づき、当該ユーザ装置１０が、現在未終了の暗号トンネルを利用中であると確認し、当該未終了の暗号トンネルに係るＳＡをＳＡ２ａから消去する。
【選択図】図５

Description

本発明は、ＩＰｓｅｃ等に基づく高度なセキュリティ機能を備えたネットワーク通信が行えるネットワーク中継装置、ネットワークシステム及び暗号化通信方法に関する。

最近、ＩＰｓｅｃ（IP Security Protocol）等に基づく高度なセキュリティ機能を備えたネットワーク通信が実現されている（例えば、特許文献１を参照）。このようなネットワーク通信を用ることにより、ＣＰＥ（Customer Premises Equipment、以下、ユーザ装置という）とネットワーク中継装置（以下、ルータ（router）という場合がある）等の通信相手同士があたかも安全な専用回線で直結されたかのように通信可能なＶＰＮ（Virtual Private Network）が実現できる。

このようなＩＰｓｅｃを用いたネットワーク通信では、ＩＰｓｅｃに基づく暗号トンネルを構築して暗号化通信を行うため、ＩＳＡＫＭＰ（Internet Security Association & Key Management Protocol）等の鍵管理プロトコルに基づく認証・暗号化情報の交換（ＩＫＥ；Internet Key Exchange）が行われる。このＩＫＥには、二段階のネゴシエーション（negotiation）が含まれ、まず、第一段目のネゴシエーション（以下、Ｐｈａｓｅ−Ｉという）が実行されることにより、続く第二段目のネゴシエーション（以下、Ｐｈａｓｅ−ＩＩという）が暗号化され、次いでこのＰｈａｓｅ−ＩＩが実行されることにより、ＥＰＳ（Encapsulating Security Payload）による暗号化通信（暗号トンネル）の構築が完了する。

この際、当該暗号化通信を行うための認証・暗号化のアルゴリズムや鍵（ＫＥＹ）等の情報を表すＳＡ（Security Association）がＩＫＥの各ネゴシエーションの際に作成されて両通信相手（ユーザ装置、ネットワーク中継装置）のメモリ内に保存される。
特開２００４−１０４５５９号公報

しかし、上記従来の技術には次のような問題点がある。
例えばユーザ装置とネットワーク中継装置との間で上記暗号トンネルが構築された後（すなわち、当該暗号トンネルに係るＳＡが作成・保存された後）、当該ユーザ装置が故障等により再起動された場合には、ユーザ装置は、暗号トンネル構築要求をネットワーク中継装置に対し再度行う。この際、ネットワーク中継装置は、当該再要求された暗号トンネル構築要求を、新規な暗号トンネル構築要求であると判断し、当該新規な暗号トンネルに係るＳＡの作成・保存を行う。このため、再起動前に構築された暗号トンネルに係るＳＡがネットワーク中継装置のメモリ内に一定時間保存された状態となり、ネットワーク中継装置内のメモリ資源の有効活用が困難となる。特に、多くの暗号トンネルが同時に構築され、それに伴い多くのＳＡが作成・保存されるような場合には、メモリの空き容量が多ければ多いほど、多くの暗号トンネルが構築可能となるため、利用不可なメモリ領域の減少化が望まれる。
本発明の課題は、ＩＰｓｅｃ等に基づく暗号トンネルを構築して暗号化通信を行うネットワーク中継装置、ネットワークシステム及び暗号化通信方法において、より多くの暗号トンネルを同時並列的に利用可能にすることである。

上記課題を解決するため、この発明のネットワーク中継装置は、
ユーザ装置（例えば、ユーザ装置１０）との間で暗号トンネルを構築して暗号化通信を行い、該暗号トンネルを介したデータ通信が所定時間行われない場合には当該暗号トンネルの設定を解除するネットワーク中継装置（例えば、ルータ２０）であって、
前記ユーザ装置から該ユーザ装置を識別するための機器識別情報（例えば、図４に示すＫＥＹデータ）が前記暗号トンネル構築中に通知されると該機器識別情報をメモリ内に格納し、前記暗号トンネルの設定が解除された際に前記機器識別情報を前記メモリ（例えば、ＳＡ２ａ）から消去する識別情報制御手段（例えば、ＣＰ２１）と、
前記暗号トンネルの構築後に新たな暗号トンネルの構築要求が前記ユーザ装置から行われた場合には、前記機器識別情報が前記メモリ内に現在保存されているか否かに基づいて前記暗号トンネルが現在継続中であるか否かを判定し、暗号トンネル継続中の場合には、当該継続中の暗号トンネルの設定を解除して前記新たな暗号トンネルの構築を開始するよう制御する暗号トンネル構築制御手段（例えば、ＣＰ２１）と、
を備えたことを特徴とするネットワーク中継装置である。

また、上記課題を解決するため、この発明のネットワークシステムは、
ネットワーク間で行われるデータ通信を中継する中継するネットワーク中継装置（例えば、ルータ２０）と、該ネットワーク中継装置を経由してデータ通信が可能なユーザ装置（例えば、ユーザ装置１０）とを備え、該ユーザ装置と前記ネットワーク中継装置との間で暗号トンネルを構築して相互に暗号化通信を行い、該暗号トンネルを介したデータ通信が所定時間行われない場合には当該暗号トンネルの設定を解除するネットワークシステム（例えば、ネットワークシステム１００）であって、
前記ユーザ装置は、
前記暗号トンネルの構築中に、自装置を識別するための機器識別情報（例えば、図４に示すＫＥＹデータ）を前記ネットワーク中継装置に通知する識別情報通知手段（例えば、ＣＰ１１）を備え、
前記ネットワーク中継装置は、
前記機器識別情報が通知されると該機器識別情報をメモリ（例えば、ＳＡ１ａ）内に格納し、前記暗号トンネルの設定が解除された際に前記機器識別情報を前記メモリから消去する識別情報制御手段（例えば、ＣＰ２１）と、
前記暗号トンネルの構築後に新たな暗号トンネルの構築要求が前記ユーザ装置から行われた場合には、前記機器識別情報が前記メモリ内に現在保存されているか否かに基づいて前記暗号トンネルが現在継続中であるか否かを判定し、暗号トンネル継続中の場合には、当該継続中の暗号トンネルの設定を解除して前記新たな暗号トンネルの構築を開始するよう制御する暗号トンネル構築制御手段（例えば、ＣＰ２１）と、
を備えたことを特徴とするネットワークシステムである。

また、上記課題を解決するため、この発明の暗号化通信方法は、
ネットワーク間で行われるデータ通信を中継するネットワーク中継装置（例えば、ルータ２０）と、該ネットワーク中継装置を経由してデータ通信が可能なユーザ装置（例えば、ユーザ装置１０）との間で暗号トンネルを構築して相互に暗号化通信を行い、該暗号トンネルを介したデータ通信が所定時間行われない場合には当該暗号トンネルの設定を解除する暗号化通信方法であって、
前記暗号トンネルの構築中に、前記ユーザ装置を識別するための機器識別情報（例えば、図４に示すＫＥＹデータ）を、該ユーザ装置から前記ネットワーク中継装置に通知する識別情報通知ステップと、
前記機器識別情報が前記ネットワーク中継装置に通知されると、該機器識別情報を該ネットワーク中継装置のメモリ（例えば、ＳＡ２ａ）内に格納する情報格納ステップと、
前記暗号トンネルの設定が解除された際に、前記機器識別情報を前記メモリ内から消去する情報消去ステップとを含み、
前記暗号トンネルの構築後に新たな暗号トンネルの構築要求が前記ユーザ装置から行われた場合には、前記機器識別情報が前記メモリ内に現在保存されているか否かに基づいて前記暗号トンネルが現在継続中であるか否かを判定し、暗号トンネル継続中の場合には、当該継続中の暗号トンネルの設定を解除して前記新たな暗号トンネルの構築を開始することを特徴とする暗号化通信方法である。

本発明によれば、暗号トンネル構築の際に、ユーザ装置固有の識別情報がネットワーク中継装置に保存される。このため、ユーザ装置とネットワーク中継装置との間で暗号トンネルが構築された後、当該暗号トンネルが終了される前に、当該ユーザ装置が故障等により再起動されて新たな暗号トンネル構築要求がユーザ装置からネットワーク中継装置になされた場合であっても、ネットワーク中継装置は、識別情報に基づいて、この新たな暗号トンネル構築要求を行ったユーザ装置が、現在未終了の暗号トンネルを利用していたものと容易に確認できる。そして、当該未終了の暗号トンネルに係る認証・暗号情報がネットワーク中継装置のメモリから消去できるので、ネットワーク中継装置のメモリ資源の有効活用が可能となる。特に、ネットワーク中継装置の空きメモリ容量が増加可能となるので、多くの暗号トンネルの構築が同時並列的により可能となる。

以下、図面を参照して本発明を適用したネットワークシステム１００について説明する。
ネットワークシステム１００は、図１に示すように、ユーザ装置（ＣＰＥ）１０と、ネットワーク中継装置としてのルータ２０とが、ネットワークＮに暗号トンネルを構築し、当該暗号トンネルを介し相互に暗号化通信可能に接続される。なお、ネットワークシステム１００は、複数のユーザ装置１０が接続された構成であってもよい。

ユーザ装置１０は、図２（ａ）に示すように、ＣＰ（Central Processor）１１、ＮＰ（Network Processor）１２を備え、ＣＰ１１は、ＩＳＡＫＭＰ制御デーモン（daemon）１１ａ、カーネル（kernel）１１ｂ、ＤＢ（Data Base）１１ｃ、ＳＡ（SA data base）１ａを備える。このＩＳＡＫＭＰ制御デーモン１１ａ、カーネル１１ｂは、ＣＰ１１が実行するプログラムの各機能を表すものであってもよいし、ハードウェアの機能を表すものであってもよい。

ＩＳＡＫＭＰ制御デーモン１１ａは、ＩＰｓｅｃによる暗号化通信を確立するため、ルータ２０との間で、ＩＳＡＫＭＰの鍵管理プロトコルに基づく認証・暗号化情報の交換（Ｐｈａｓｅ−Ｉ、ＩＩのネゴシエーション）を行う。特にＰｈａｓｅ−Ｉの際、ＩＳＡＫＭＰ制御デーモン１１ａは、ＤＢ１１ｃに格納された各種ピア（peer）情報（例えば、ルータ２０のアドレス等。）を用いて、図３に示すＩＳＡＫＭＰパケットＤ１やＩＳＡＫＭＰパケットＤ３を作成する。

ＩＳＡＫＭＰ制御デーモン１１ａは、ＩＳＡＫＭＰパケットＤ１を作成する際に、ＩＤペイロードを、ユーザ装置１０のＩＤデータに、ＭＡＣアドレス等のユーザ装置１０を識別するための固有のＫＥＹデータを加えて作成する。例えば、図４の図中符号Ｄ４に示すＩＤペイロードに含まれる“Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｄａｔａ”の数バイト分にユーザ装置１０に係るＩＰアドレス“ｕｓｅｒ＠ｃｕｓｔｏｍｅｒｅ．ｃｏｍ”が記録され、残りの数バイト分にはＭＡＣアドレス等のユーザ装置１０を識別するためのＫＥＹデータ（“０００１０２０３”）が記録されている。

また、ＩＳＡＫＭＰ制御デーモン１１ａは、Ｐｈａｓｅ−Ｉ、ＩＩの各段階で作成した各ＳＡ（それぞれＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡという）をＳＡ１ａに格納する。この各ＳＡには、上記ＫＥＹデータが加えられたＩＤデータが含まれる。

カーネル１１ｂは、ネットワークＮを介してパケットを送信する場合には、ＳＡ１ａを参照して、当該送信パケットに係るＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡがＳＡ１ａに既に格納（作成）されているか否かを判定し、当該各ＳＡが既にＳＡ１ａに格納されている場合には、各ＳＡを用いて当該送信パケットの暗号化を行う。当該送信パケットに係る各ＳＡがＳＡ１ａに格納されていない場合には、ＩＳＡＫＭＰ制御デーモン１１ａに対して各ＳＡの作成要求を行う。その際、ＩＳＡＫＭＰ制御デーモン１１ａは、当該パケットの送信先との間でＰｈａｓｅ−Ｉ、ＩＩを行って各ＳＡを作成する。

ＮＰ１２は、ネットワークＮを介してパケットの送受信を行うためのインターフェースを備える。

ルータ２０は、図２（ｂ）に示すように、ＣＰ２１、ＮＰ２２を備え、ＣＰ２１は、ＩＳＡＫＭＰ制御デーモン２１ａ、カーネルｌ２１ｂ、ＤＢ２１ｃ、ＳＡ２ａを備える。このＩＳＡＫＭＰ制御デーモン２１ａ、カーネル２１ｂは、ＣＰ２１が実行するプログラムの各機能を表すものであってもよいし、ハードウェアの機能を表すものであってもよい。

ＩＳＡＫＭＰ制御デーモン２１ａは、ＩＰｓｅｃによる暗号トンネルを構築するため、ユーザ装置１０との間で、ＩＳＡＫＭＰの鍵管理プロトコルに基づく認証・暗号化情報の交換（Ｐｈａｓｅ−Ｉ、ＩＩのネゴシエーション）を行う。特にＰｈａｓｅ−Ｉの際、ＩＳＡＫＭＰ制御デーモン２１ａは、ＤＢ２１ｃに格納された各種ピア（peer）情報（例えば、ユーザ装置１０のアドレス等）を用いて、図３に示すＩＳＡＫＭＰパケットＤ２を作成する。

また、ＩＳＡＫＭＰ制御デーモン２１ａは、Ｐｈａｓｅ−Ｉ、ＩＩの各段階で作成した各ＳＡ（それぞれＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡという）をＳＡ２ａに格納する。この各ＳＡには、上記ＫＥＹデータが加えられたＩＤデータが含まれる。

カーネル２１ｂは、ネットワークＮを介してパケットが受信されると、ＳＡ２ａを参照して、当該受信パケットに係るＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡがＳＡ２ａに既に格納（作成）されているか否かを判定し、当該各ＳＡが既にＳＡ２ａに格納されている場合には、各ＳＡを用いて当該受信パケットの復号化を行う。当該受信パケットに係る各ＳＡがＳＡ２ａに格納されていない場合には、ＩＳＡＫＭＰ制御デーモン２１ａに対して各ＳＡの作成要求を行う。その際、ＩＳＡＫＭＰ制御デーモン２１ａは、当該パケットの送信元との間でＰｈａｓｅ−Ｉ、ＩＩを行って各ＳＡを作成する。

カーネルｌ２１ｂは、暗号トンネル構築後、ユーザ装置１０からパケット送信が所定時間行われなかった場合、若しくは、ユーザ装置１０から暗号トンネルの設定解除指示を受信した際には、当該暗号トンネルの設定を解除する。この場合、カーネルｌ２１ｂは、当該暗号トンネルに係るＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡをＳＡ２ａから消去する。

ＮＰ２２は、ネットワークＮを介してパケットの送受信を行うためのインターフェースを備える。

次に、ネットワークＮを介して、ユーザ装置１０のＩＳＡＫＭＰ制御デーモン１１ａと、ルータ２０のＩＳＡＫＭＰ制御デーモン２１ａとの間で行われるＰｈａｓｅ−Ｉの処理内容について説明する。

まず、ＩＳＡＫＭＰ制御デーモン１１ａは、ＩＳＡＫＭＰパケットＤ１を作成し、このＩＳＡＫＭＰパケットＤ１をＮＰ１２を介してルータ２０側に送信する（ステップＳ１）。ここで、ＩＳＡＫＭＰパケットＤ１には、ＩＰヘッダ（ＩＰ）、ＵＤＰヘッダ（ＵＤＰ）、ＩＳＡＫＭＰヘッダ（ＩＳＡＫＭＰ）、ＳＡペイロード（ＳＡ）、ｋｅｙ ｅｘｃｈｅｎｇｅペイロード（ＫＥ）、ＮＯＮＣＥペイロード（Ｎｉ）及びＩＤペイロード（ＩＤｉ）が含まれる。

次に、ＩＳＡＫＭＰ制御デーモン２１ａは、ユーザ装置１０側からＩＳＡＫＭＰパケットＤ１が受信されると、このＩＳＡＫＭＰパケットＤ１にＨＡＳＨペイロード（ＨＡＳＨｒ）を加えてＩＳＡＫＭＰパケットＤ２を作成し、このＩＳＡＫＭＰパケットＤ２をＮＰ２２を介してユーザ装置１０側に送信する（ステップＳ２）。ここで、ＩＳＡＫＭＰパケットＤ２には、ＩＰヘッダ（ＩＰ）、ＵＤＰヘッダ（ＵＤＰ）、ＩＳＡＫＭＰヘッダ（ＩＳＡＫＭＰ）、ＳＡペイロード（ＳＡ）、ｋｅｙ ｅｘｃｈｅｎｇｅペイロード（ＫＥ）、ＮＯＮＣＥペイロード（Ｎｒ）、ＩＤペイロード（ＩＤｒ）及びＨＡＳＨペイロード（ＨＡＳＨｒ）が含まれる。

そして、ＩＳＡＫＭＰ制御デーモン１１ａは、ルータ２０側からＩＳＡＫＭＰパケットＤ２が受信されると、このうちＩＰヘッダ、ＵＤＰヘッダ及びＩＳＡＫＭＰヘッダに、更に暗号化されたＨＡＳＨペイロード（ＨＡＳＨ＿ｉ）を加えてＩＳＡＫＭＰパケットＤ３を作成し、このＩＳＡＫＭＰパケットＤ３をルータ２０に送信する（ステップＳ３）。ここで、ＩＳＡＫＭＰパケットＤ３には、ＩＰヘッダ（ＩＰ）、ＵＤＰヘッダ（ＵＤＰ）、ＩＳＡＫＭＰヘッダ（ＩＳＡＫＭＰ）及びＨＡＳＨペイロード（ＨＡＳＨｉ）が含まれる。

次に、図５を参照して、ユーザ装置１０とルータ２０との間で暗号トンネルが構築された後にユーザ装置１０が再起動された際の再起動処理について説明する。

まず、暗号トンネル（第１の暗号トンネルという）がユーザ装置１０とルータ２０との間で一旦構築されると、ユーザ装置１０、ルータ２０には、それぞれ、当該第１の暗号トンネルに係るＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡ（第１のＰｈａｓｅ−Ｉ、第１のＰｈａｓｅ−ＩＩ ＳＡという）が作成されて保存される。ここで、第１の暗号トンネル構築の際に用いられたＩＰアドレスを第１のＩＰアドレスとし、ＩＤペイロード（ＩＤｉ）を第１のＩＤペイロードという。

その後、ユーザ装置１０が故障等により再起動されると、ＩＳＡＫＭＰ制御デーモン１１ａにより、新たに付与されたＩＰアドレス（第１のＩＰアドレスとは異なる第２のＩＰアドレスという）に、ユーザ装置１０に固有のＫＥＹデータ（第１の暗号トンネルに用いられたものと同じＫＥＹデータ）が更に加えられて新たな第２のＩＤペイロード（ＩＤｉ）が作成される。

更に、ＩＳＡＫＭＰ制御デーモン１１ａにより、この第２のＩＤペイロードが含まれる新たなＩＳＡＫＭＰパケットＤ１が作成されてルータ２０側に送信される。

その後、ルータ２０のＩＳＡＫＭＰ制御デーモン２１ａは、当該新たに作成されたＩＳＡＫＭＰパケットＤ１が受信されると、第２のＩＤペイロードに含まれるＫＥＹデータを第２のＰｈａｓｅ−Ｉ ＳＡとしてＳＡ２ａに格納し、今後受信されるパケットの認証を、この第２のＩＤペイロードに含まれる第２のＩＰアドレスに基づいて行う（ステップＳ１１）。

その後、第２のＰｈａｓｅ−Ｉ ＳＡの作成終了に伴い、図３に示すＰｈａｓｅ−Ｉのネゴシエーションが終了され、この第２のＰｈａｓｅ−Ｉ ＳＡがユーザ装置１０、ルータ２０の各ＳＡ１ａ、ＳＡ２ａに保存される（ステップＳ１２）。

そして、ＩＳＡＫＭＰ制御デーモン２１ａは、ＳＡ２ａを参照して、第２のＩＰアドレスに係る他の（第１の暗号トンネルとは無関係な）Ｐｈａｓｅ−Ｉ ＳＡがＳＡ２ａに格納されているか否かを判定する（ステップＳ１３）。

ステップＳ１３の段階で、第２のＩＰアドレスに係る他のＰｈａｓｅ−Ｉ ＳＡがＳＡ２ａに格納されている場合には（ステップＳ１３；Ｙｅｓ）、当該他のＰｈａｓｅ−Ｉ ＳＡを消去してステップＳ１５に移行し（ステップＳ１４）、上記他のＰｈａｓｅ−Ｉ ＳＡがＳＡ２ａに格納されていない場合には（ステップＳ１３；Ｎｏ）、ステップＳ１５に移行する。

その後、ＩＳＡＫＭＰ制御デーモン２１ａは、ユーザ装置１０に固有のＫＥＹデータに係る他のＰｈａｓｅ−Ｉ ＳＡがＳＡ２ａに格納されているか否かを判定する（ステップＳ１５）。

この際、ユーザ装置１０の再起動が、予め設定されたＰｈａｓｅ−Ｉ ＳＡのライフタイム終了前に行われた場合、第１の暗号トンネル構築の際（当該再起動前）に既に作成・保存されたＰｈａｓｅ−Ｉ ＳＡがＳＡ２ａに未だ残っているため（ステップＳ１５；Ｙｅｓ）、ＩＳＡＫＭＰ制御デーモン２１ａは、当該再起動前に作成・保存され、ＳＡ２ａに未だ残っているＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡを消去し（ステップＳ１６）、ステップＳ１７に移行する。

ステップＳ１５の段階で、上記ＫＥＹデータに係る他のＰｈａｓｅ−Ｉ ＳＡがＳＡ２ａに格納されていな場合には（ステップＳ１５；Ｎｏ）、ステップＳ１７に移行する。

そして、ＩＳＡＫＭＰ制御デーモン２１ａは、Ｐｈａｓｅ−ＩＩの処理を行い、ユーザ装置１０との間で新たな暗号トンネルを構築する（ステップＳ１７）。

以上説明したように、暗号トンネル構築の際に、ユーザ装置固有のＫＥＹデータがルータ２０のＳＡ２ａにＳＡに関連付けて保存される。このため、ユーザ装置１０とルータ２０との間で暗号トンネルが構築された後、当該暗号トンネルが終了される前に、当該ユーザ装置１０が故障等により再起動されて新たな暗号トンネル構築要求がユーザ装置１０からルータ２０になされた場合であっても、ルータ２０は、ＫＥＹデータに基づいて、この新たな暗号トンネル構築要求を行ったユーザ装置１０が、現在未終了の暗号トンネルを利用していたものと容易に確認できる。そして、当該未終了の暗号トンネルに係るＳＡがルータ２０のＳＡ２ａから消去できるので、ルータ２０のメモリ資源の有効活用が可能となる。特に、ルータ２０の空きメモリ容量が増加でき、より多くの暗号トンネルの構築が同時並列的に可能となる。

なお、本実施の形態における記述は上記したものに限定されない。本実施の形態におけるネットワークシステム１００、ユーザ装置１０、ルータ２０の細部構成及び詳細な動作等に関しては、本発明の趣旨を逸脱しない範囲で適宜変更可能である。

本発明を適用したネットワークシステムの概略構成を示す図である。 （ａ）は、図１に示すユーザ装置の機能ブロック図であり、（ｂ）は、図１に示すルータの機能ブロック図である。 暗号トンネル構築の際のＰｈａｓｅ−ＩネゴシエーションにおけるＩＳＡＫＭＰパケットの詳細内容及び送受信タイミングを示す図である。 本発明を適用したＩＤペイロードの内容を示す図である。 本発明を適用した暗号トンネル構築後に行われるユーザ装置の再起動処理を説明するフローチャートである。

符号の説明

１０ ユーザ装置
１００ ネットワークシステム
１１ ＣＰ
１１ａ ＩＳＡＫＭＰ制御デーモン
１１ｂ カーネル
１１ｃ ＤＢ
１２ ＮＰ
１ａ ＳＡ
２０ ルータ
２１ ＣＰ
２１ａ ＩＳＡＫＭＰ制御デーモン
２１ｂ カーネル
２１ｃ ＤＢ
２２ ＮＰ
２ａ ＳＡ
Ｄ１、Ｄ２、Ｄ３ ＩＳＡＫＭＰパケット
Ｎ ネットワーク

Claims (3)

1. ユーザ装置との間で暗号トンネルを構築して暗号化通信を行い、該暗号トンネルを介したデータ通信が所定時間行われない場合には当該暗号トンネルの設定を解除するネットワーク中継装置であって、
   前記ユーザ装置から該ユーザ装置を識別するための機器識別情報が前記暗号トンネル構築中に通知されると該機器識別情報をメモリ内に格納し、前記暗号トンネルの設定が解除された際に前記機器識別情報を前記メモリから消去する識別情報制御手段と、
   前記暗号トンネルの構築後に新たな暗号トンネルの構築要求が前記ユーザ装置から行われた場合には、前記機器識別情報が前記メモリ内に現在保存されているか否かに基づいて前記暗号トンネルが現在継続中であるか否かを判定し、暗号トンネル継続中の場合には、当該継続中の暗号トンネルの設定を解除して前記新たな暗号トンネルの構築を開始するよう制御する暗号トンネル構築制御手段と、
   を備えたことを特徴とするネットワーク中継装置。
2. ネットワーク間で行われるデータ通信を中継する中継するネットワーク中継装置と、該ネットワーク中継装置を経由してデータ通信が可能なユーザ装置とを備え、該ユーザ装置と前記ネットワーク中継装置との間で暗号トンネルを構築して相互に暗号化通信を行い、該暗号トンネルを介したデータ通信が所定時間行われない場合には当該暗号トンネルの設定を解除するネットワークシステムであって、
   前記ユーザ装置は、
   前記暗号トンネルの構築中に、自装置を識別するための機器識別情報を前記ネットワーク中継装置に通知する識別情報通知手段を備え、
   前記ネットワーク中継装置は、
   前記機器識別情報が通知されると該機器識別情報をメモリ内に格納し、前記暗号トンネルの設定が解除された際に前記機器識別情報を前記メモリから消去する識別情報制御手段と、
   前記暗号トンネルの構築後に新たな暗号トンネルの構築要求が前記ユーザ装置から行われた場合には、前記機器識別情報が前記メモリ内に現在保存されているか否かに基づいて前記暗号トンネルが現在継続中であるか否かを判定し、暗号トンネル継続中の場合には、当該継続中の暗号トンネルの設定を解除して前記新たな暗号トンネルの構築を開始するよう制御する暗号トンネル構築制御手段と、
   を備えたことを特徴とするネットワークシステム。
3. ネットワーク間で行われるデータ通信を中継するネットワーク中継装置と、該ネットワーク中継装置を経由してデータ通信が可能なユーザ装置との間で暗号トンネルを構築して相互に暗号化通信を行い、該暗号トンネルを介したデータ通信が所定時間行われない場合には当該暗号トンネルの設定を解除する暗号化通信方法であって、
   前記暗号トンネルの構築中に、前記ユーザ装置を識別するための機器識別情報を、該ユーザ装置から前記ネットワーク中継装置に通知する識別情報通知ステップと、
   前記機器識別情報が前記ネットワーク中継装置に通知されると、該機器識別情報を該ネットワーク中継装置のメモリ内に格納する情報格納ステップと、
   前記暗号トンネルの設定が解除された際に、前記機器識別情報を前記メモリ内から消去する情報消去ステップとを含み、
   前記暗号トンネルの構築後に新たな暗号トンネルの構築要求が前記ユーザ装置から行われた場合には、前記機器識別情報が前記メモリ内に現在保存されているか否かに基づいて前記暗号トンネルが現在継続中であるか否かを判定し、暗号トンネル継続中の場合には、当該継続中の暗号トンネルの設定を解除して前記新たな暗号トンネルの構築を開始することを特徴とする暗号化通信方法。
   

Images