JP3972335B2

JP3972335B2 - Network connection device, communication method, program, and storage medium storing program

Info

Publication number: JP3972335B2
Application number: JP2003314913A
Authority: JP
Inventors: 和彦鈴木; 啓輔 ▲崎▼谷; 康志 ▲高▼木
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-09-08
Filing date: 2003-09-08
Publication date: 2007-09-05
Anticipated expiration: 2023-09-08
Also published as: JP2005086381A

Description

本発明は、利用者が通信データパケットへのＩＰｓｅｃの適用／非適用のセキュリティポリシを選択することができるネットワーク接続機器等に関する。 The present invention relates to a network connection device or the like that allows a user to select a security policy for applying / not applying IPsec to a communication data packet.

従来、インターネット上での通信セキュリティに関する技術としては、インターネットの国際的技術標準化団体であるＩＥＴＦ（ＴｈｅＩｎｔｅｒｎｅｔＥｎｇｉｎｅｅｒｉｎｇＴａｓｋＦｏｒｃｅ）のＩＰｓｅｃ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＳｅｃｕｒｉｔｙ）ワーキンググループで議論されている技術、例えばＳｅｃｕｒｉｔｙＡｒｃｈｉｔｅｃｔｕｒｅｆｏｒｔｈｅＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ（インターネットプロトコルのためのセキュリティアーキテクチャ）やＩＫＥ（自動鍵交換プロトコルＩｎｔｅｒｎｅｔＫｅｙＥｘｃｈａｎｇｅ）等が知られている（非特許文献１、非特許文献２参照）。
ここで、ＩＰｓｅｃとは、インターネット上でパケットを暗号化して、通信を安全に行うためのプロトコルであり、ＩＫＥとは、通信を始める前に暗号化アルゴリズムや暗号化鍵等の情報を交換・共有するための折衝を自動で行うプロトコルである。
IETF、RFC2401、[online]、[2003年8月21日検索]、インターネット、<URL: http://www.ietf.org/rfc/rfc2401.txt?number=2401 > IETF、RFC2409、[online]、[2003年8月21日検索]、インターネット、<URL: ttp://www.ietf.org/rfc/rfc2409.txt?number=2409 > Conventionally, as a technology related to communication security on the Internet, a technology discussed in the IPsec (Internet Protocol Security) working group of the IETF (The Internet Engineering Task Force) which is an international technical standardization organization of the Internet, for example, Security Architecture fore. The Internet Protocol (security architecture for the Internet protocol), IKE (automatic key exchange protocol Internet Key Exchange), and the like are known (see Non-Patent Document 1 and Non-Patent Document 2).
Here, IPsec is a protocol for encrypting packets on the Internet and performing communication safely. IKE exchanges and shares information such as encryption algorithms and encryption keys before starting communication. This is a protocol that automatically negotiates to do this.
IETF, RFC2401, [online], [searched August 21, 2003], Internet, <URL: http://www.ietf.org/rfc/rfc2401.txt?number=2401> IETF, RFC2409, [online], [searched August 21, 2003], Internet, <URL: ttp: //www.ietf.org/rfc/rfc2409.txt? Number = 2409>

しかし、前記した技術のいずれもが、ノード間の通信データのＩＰｓｅｃの適用／非適用のセキュリティポリシを変更するためには通信を行う双方のノードのセキュリティポリシデータベースを書き換える必要があり、通信を行う片方のノードの設定変更のみでＩＰｓｅｃの適用／非適用のセキュリティポリシを変更することはできなかった。
すなわち、例えば、利用者側ノードが相手方のノードから画像データ等の大容量のデータをダウンロードするとき、そのノードの利用者が特にセキュリティを確保する必要がないと判断した場合には、ダウンロード時間の短縮のためにＩＰｓｅｃを適用しないようにして、そのほかのデータを送受信するときにはセキュリティ確保のためＩＰｓｅｃを適用する等、片方のノードの設定変更のみで、ＩＰｓｅｃの適用／非適用のセキュリティポリシを動的にかつ容易に変更することはできなかった。 However, in any of the above-described techniques, it is necessary to rewrite the security policy database of both nodes that perform communication in order to change the security policy of IPsec application / non-application of communication data between nodes. It was not possible to change the security policy for IPsec application / non-application only by changing the setting of one of the nodes.
That is, for example, when a user node downloads a large amount of data such as image data from the other node, if the user of that node determines that there is no need to ensure security, the download time The security policy for IPsec application / non-application is dynamically changed only by changing the setting of one node, such as applying IPsec to ensure security when not transmitting IPsec for shortening and transmitting / receiving other data. And could not be changed easily.

そこで本発明は、ノード間の通信でＩＰｓｅｃを適用するか否かのセキュリティポリシについて片方のノードの意思のみでも動的に変更（選択）可能なネットワーク接続機器、通信方法等を提供することを目的とする。 Accordingly, an object of the present invention is to provide a network connection device, a communication method, and the like that can dynamically change (select) only the intention of one node with respect to a security policy for whether or not IPsec is applied in communication between nodes. And

前記した課題を解決するため、本発明は、ネットワークを介して、通信相手のネットワーク接続機器との通信データのＩＰｓｅｃの適用／非適用を動的に変更して通信を行うネットワーク接続機器であって、ネットワークを介して、通信を行うインターフェース部、前記通信データの属性ごとに、通信データ処理部が前記通信データのＩＰｓｅｃを適用するか、ＩＰｓｅｃを適用しないか、前記通信データを削除するか、前記ネットワーク接続機器の利用者が前記通信データのＩＰｓｅｃの適用／非適用を選択できるかを示したセキュリティポリシを記憶するセキュリティポリシデータベース部、前記ネットワーク接続機器間でＩＰｓｅｃ通信を行うためのコネクションであるセキュリティアソシエーションに関する情報を記憶するセキュリティアソシエーションデータベース部、前記通信データの属性を示す前記通信データのヘッダ情報を参照して、前記セキュリティポリシデータベース部から前記通信データのセキュリティポリシを検索し、前記セキュリティアソシエーションデータベース部から前記通信データのセキュリティアソシエーションに関する情報を検索し、これらの検索結果に基づき、前記通信データのＩＰｓｅｃを適用するか、ＩＰｓｅｃを適用しないか、前記通信データを削除するか、前記ネットワーク接続機器の利用者が前記通信データのＩＰｓｅｃの適用／非適用を選択できるかを決定するポリシ管理部、自動鍵交換プロトコルにより、前記通信相手のネットワーク接続機器とセキュリティアソシエーションの折衝を行い、この折衝結果であるセキュリティアソシエーションに関する情報を前記セキュリティアソシエーションデータベース部へ記憶または削除を行うセキュリティアソシエーション処理部、前記利用者からの前記通信データのＩＰｓｅｃの適用／非適用の選択情報を前記通信データ処理部へ入力する入力部、および前記ネットワーク接続機器の利用者からの前記通信データのＩＰｓｅｃの適用／非適用の選択情報を受け付け、前記通信データの生成、削除、取得を行い、前記通信データにＩＰｓｅｃを適用する通信データ処理部、を備え、前記セキュリティアソシエーションに関する情報は、前記ネットワーク接続機器が自動鍵交換プロトコルにより、前記通信相手のネットワーク接続機器とセキュリティアソシエーションの折衝の始動処理を行ったか否かに関する折衝始動情報をさらに含み、前記ポリシ管理部は、前記セキュリティアソシエーションデータベース部の折衝始動情報を含んだセキュリティアソシエーションに関する情報を検索して、前記自己のネットワーク接続機器がセキュリティアソシエーションの始動処理を行った第１のネットワーク接続機器である旨の情報を発見した場合、または前記自己のネットワーク接続機器のセキュリティアソシエーションに関する情報が発見されなかった場合に、前記通信データ処理部に前記利用者からの前記通信データのＩＰｓｅｃの適用／非適用の選択情報を受け付けさせ、前記セキュリティアソシエーション処理部は、前記セキュリティアソシエーションデータベース部の折衝始動情報を含んだセキュリティアソシエーションに関する情報を検索して、前記自己のネットワーク接続機器が前記第１のネットワーク接続機器であることが確認されたときに、このセキュリティアソシエーションの通信相手のネットワーク接続機器である第２のネットワーク接続機器からの前記セキュリティアソシエーションの撤回をするための自動鍵交換プロトコルによる折衝、または前記第２のネットワーク接続機器からの新たなセキュリティアソシエーションを確立するための自動鍵交換プロトコルによる折衝に応答しない構成を有することを特徴とする。
そのほかの課題解決の手段については、後記する発明を実施するための最良の形態の項で述べる。 In order to solve the above-described problems, the present invention is a network connection device that performs communication by dynamically changing the application / non-application of IPsec of communication data with a network connection device of a communication partner via a network. An interface unit that performs communication via a network, and for each attribute of the communication data, the communication data processing unit applies IPsec of the communication data, does not apply IPsec, deletes the communication data, A security policy database unit that stores a security policy indicating whether a user of the network connection device can select application / non-application of IPsec of the communication data, and a security that is a connection for performing IPsec communication between the network connection devices Security that stores information about associations I association database unit, by referring to the header information of the communication data indicating the attribute of the communication data, the searching security policy of the communication data from the security policy database portion, of the communication data from the security association database unit Security Search for information on the association, and based on these search results, apply IPsec of the communication data, do not apply IPsec, delete the communication data, or the user of the network connection device policy management unit that determines can choose to apply / non-application of the IPsec, the automatic key exchange protocol, negotiates the network connection device and security association of the communication partner is the negotiation result security A security association processing unit that stores or deletes information related to the association in the security association database unit, an input unit that inputs selection information of IPsec application / non-application of the communication data from the user to the communication data processing unit; And a communication data processing unit that accepts selection information of application / non-application of IPsec of the communication data from a user of the network connection device, generates, deletes, and acquires the communication data, and applies IPsec to the communication data The security association information includes negotiation start information regarding whether or not the network connection device has performed a negotiation process for security association with the network connection device of the communication partner using an automatic key exchange protocol. In addition, the policy management unit searches for information relating to a security association including negotiation start information in the security association database unit, and the first network connection in which the network connection device of the self has performed a security association start process When the information indicating that the device is a device or when the information regarding the security association of the network connection device is not found, the communication data processing unit applies the IPsec of the communication data from the user. to accept the selection information of the non-application, the security association processing unit, the search for information about the security association database unit security association including the negotiation start information, the self When Ttowaku connected device it was confirmed that the first network connection device, for the withdrawal of the security association from the second network connection device is a network connection apparatus of the communication partner of the security association It is characterized in that it does not respond to a negotiation by an automatic key exchange protocol or a negotiation by an automatic key exchange protocol for establishing a new security association from the second network connection device.
Other means for solving the problem will be described in the section of the best mode for carrying out the invention described later.

なお、各請求項において、ネットワーク接続機器とは、後記する実施の形態のノードに相当し、例えばルータやパーソナルコンピュータ等である。また、セキュリティアソシエーションの始動を行うネットワーク接続機器とは、後記する実施の形態のｉｎｉｔｉａｔｏｒに相当する。なお、このセキュリティアソシエーションの折衝を受ける側（通信相手）はｒｅｓｐｏｎｄｅｒに相当する。ネットワークは、有線または無線のネットワークであり、例えばＩＰネットワークである。ＩＰｓｅｃとは、IPパケットの暗号化処理と認証処理を行なうプロトコルであり、暗号化と認証の両方の処理を行う場合のほか、いずれか一方の処理を行う場合も含まれる。 In each claim, the network connection device corresponds to a node in an embodiment described later, and is, for example, a router or a personal computer. Further, the network connection device that starts the security association corresponds to an initiator of an embodiment described later. Note that the side (communication partner) that receives this security association negotiation corresponds to a responder. The network is a wired or wireless network, for example, an IP network. IPsec is a protocol that performs encryption processing and authentication processing of IP packets, and includes cases in which either processing is performed in addition to processing in both encryption and authentication.

本発明の請求項２、請求項４、請求項６および請求項７に記載の発明によれば、ネットワーク接続機器が、通信データにＩＰｓｅｃを適用する（ａｐｐｌｙＩＰｓｅｃ）か、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）か、前記通信データを削除（ｄｉｓｃａｒｄ）するかというセキュリティポリシのほかに、通信データにＩＰｓｅｃを適用する／しないを選択できる（ｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃ）というセキュリティポリシを記憶（格納）するので、通信を行うどちらか一方のネットワーク接続機器の利用者の意思のみでも、通信データのＩＰｓｅｃの適用／非適用を動的に選択（変更）することができる。 According to the invention described in claim 2 , claim 4 , claim 6 and claim 7 of the present invention, the network connection device applies IPsec to the communication data (apply IPsec) or does not apply IPsec (bypass). In addition to the security policy of whether to delete the communication data (IPsec) or the communication data, a security policy of dynamically applying IPsec to the communication data can be selected (dynamically applied IPsec). It is possible to dynamically select (change) the application / non-application of IPsec for communication data only by the intention of the user of either one of the network connection devices.

本発明の請求項１に記載の発明によれば、セキュリティアソシエーション（以下、ＳＡと略す）に関する情報は、自己のネットワーク接続機器が当該ＳＡの始動処理を行った（始動者）側のネットワーク接続機器（ｉｎｉｔｉａｔｏｒ）であるか否かに関する情報を含み、セキュリティアソシエーション処理部は、自己のネットワーク接続機器がＳＡの始動処理を行った側のネットワーク接続機器（ｉｎｉｔｉａｔｏｒ）である場合には、通信相手（ｒｅｓｐｏｎｄｅｒ）のネットワーク接続機器から自動鍵交換プロトコル（ＩＫＥ）による折衝を受け付けないので、ＳＡの始動者（ｉｎｉｔｉａｔｏｒ）のネットワーク接続機器のみが通信データのＩＰｓｅｃの適用／非適用のセキュリティポリシを動的に選択（変更）することができる。
すなわち、通信を行うネットワーク接続機器のうち、ＳＡの始動処理を行う側（ｉｎｉｔｉａｔｏｒ）のネットワーク接続機器がＩＰｓｅｃによる通信の主導権を握り、ＳＡの始動を受けた側（ｒｅｓｐｏｎｄｅｒ）のネットワーク接続機器はこれに従うよう動作するので、双方のネットワーク接続機器でＩＰｓｅｃを適用する／しないの選択が食い違い、ＩＰｓｅｃを適用する／しないのセキュリティポリシの決定ができなくなることを防ぐことができる。
したがって、片方のネットワーク接続機器の意思のみでも、ＩＰｓｅｃを適用する／しないのセキュリティポリシの変更（選択）をすることができる。
なお、セキュリティアソシエーションの情報を検索して、前記ネットワーク接続機器のセキュリティアソシエーションに関する情報が発見されなかった場合とは、まだ通信相手のネットワーク接続機器とＳＡが確立されていないこと、すなわち自己のネットワーク接続機器が通信相手のネットワーク接続機器とのＩＰｓｅｃの適用を行えば、自己のネットワーク接続機器がＳＡの始動者（ｉｎｉｔｉａｔｏｒ）となる場合を示す。 According to the first aspect of the present invention, the information related to the security association (hereinafter abbreviated as “SA”) is the network connection device on the (starter) side where the own network connection device has started the SA. The security association processing unit includes information regarding whether or not the network connection device is an initiator, and if the network connection device of the security association processing unit is the network connection device (initiator) on the side where the SA is started, the communication partner (responder) ) Negotiations based on automatic key exchange protocol (IKE) are not accepted from network connected devices, so only the network initiator of the SA initiator dynamically selects the security policy for applying / not applying IPsec for communication data. (Changed).
That is, among the network connection devices that perform communication, the network connection device on the side that performs the start process of the SA (initiator) takes the initiative of communication by IPsec, and the network connection device on the side that receives the start of the SA (responder) Since the operation is performed in accordance with this, it is possible to prevent the selection of whether to apply IPsec between the two network connection devices is inconsistent, and it is possible to prevent the security policy from being applied / not applied from being determined.
Accordingly, it is possible to change (select) the security policy whether or not IPsec is applied only by the intention of one of the network connection devices.
Note that when the information on the security association is searched and no information on the security association of the network connection device is found, the SA is not established with the network connection device of the communication partner, that is, the own network connection. If the device applies IPsec with the network connection device of the communication partner, the case where the own network connection device becomes the initiator of the SA is shown.

本発明の請求項３に記載の発明によれば、ネットワーク接続機器の利用者が通信データにＩＰｓｅｃを適用することを選択したときに、この通信データのＳＡがない場合でも、自動鍵交換プロコトルによりＳＡを確立させるので、通信相手のネットワーク接続機器との間でＩＰｓｅｃが適用された通信データの送受信を行うことができる。
また、セキュリティアソシエーションに関する情報は、自己のネットワーク接続機器がＳＡの始動者（ｉｎｉｔｉａｔｏｒ）であるか否かに関する情報を含み、自己がＳＡの始動者（ｉｎｉｔｉａｔｏｒ）であることを確認することができる。
すなわち、通信を行うネットワーク接続機器のうち、ＳＡの始動者側（ｉｎｉｔｉａｔｏｒ）のネットワーク接続機器が通信の主導権を握るので、双方のネットワーク接続機器でＩＰｓｅｃを適用する／しないの選択が食い違い、ＩＰｓｅｃを適用する／しないのセキュリティポリシの決定ができなくなることを防ぐことができる。したがって、片方のネットワーク接続機器の意思のみでも、ＩＰｓｅｃを適用する／しないのセキュリティポリシの変更（選択）をすることができる。 According to the third aspect of the present invention, when the user of the network connection device selects to apply IPsec to the communication data, even if there is no SA of the communication data, the automatic key exchange protocol is used. Since the SA is established, communication data to which IPsec is applied can be transmitted / received to / from the network connection device of the communication partner.
Further, the information regarding the security association includes information regarding whether or not the own network connection device is an SA initiator, and it is possible to confirm that the device is an SA initiator.
That is, among the network connection devices that perform communication, the network connection device on the initiator side of the SA takes the initiative in communication, so there is a conflict between the choices of whether or not IPsec is applied to both network connection devices. It is possible to prevent the security policy from being applied / not applied from being determined. Accordingly, it is possible to change (select) the security policy whether or not IPsec is applied only by the intention of one of the network connection devices.

本発明の請求項５に記載の発明によれば、ネットワーク接続機器の利用者が通信データにＩＰｓｅｃを適用しないことを選択したときに、この通信データのＳＡがある場合でも、自動鍵交換プロコトルによりＳＡを撤回（削除）するので、通信相手のネットワーク接続機器との間でＩＰｓｅｃを適用していない通信データの送受信を行うことができる。 According to the invention described in claim 5 of the present invention, when the user of the network connection device chooses not to apply IPsec to the communication data, even if there is SA of the communication data, the automatic key exchange protocol is used. Since the SA is withdrawn (deleted), communication data to which IPsec is not applied can be exchanged with the network connection device of the communication partner.

以下、本発明の実施の形態について、図面を参照して詳細に説明する。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.

まず、本発明の実施の形態であるネットワーク接続機器（ノード）の基本的構成および基本的処理手順について図１〜図３を用いて説明し、その後、本発明の特徴的構成を説明する。 First, a basic configuration and a basic processing procedure of a network connection device (node) according to an embodiment of the present invention will be described with reference to FIGS. 1 to 3, and then a characteristic configuration of the present invention will be described.

＜基本的構成＞
本発明の実施の形態であるノードは、ノード間で相互にデータの送受信（通信）を行うものであるが、ここでは説明のため、送信側ノードをノード１００Ａ、受信側ノード１００をノード１００Ｂとする。
なお、送信側ノード１００Ａも受信側ノード１００Ｂも同様の構成であるので、ノード１００（１００Ａ、１００Ｂ）の構成を送信側ノード１００Ａの構成を示す図１を用いて説明する。 <Basic configuration>
The node according to the embodiment of the present invention performs mutual data transmission / reception (communication) between the nodes. For the sake of explanation here, the node on the transmitting side is the node 100A and the node on the receiving side 100 is the node 100B. To do.
Since the transmitting side node 100A and the receiving side node 100B have the same configuration, the configuration of the node 100 (100A, 100B) will be described with reference to FIG. 1 showing the configuration of the transmitting side node 100A.

ノード１００（１００Ａ）は、通信の相手方であるノード１００（１００Ｂ）との間で取り決められたセキュリティポリシとセキュリティアソシエーションに基づき通信データのＩＰｓｅｃによる通信を行い、ノード１００（１００Ｂ）との通信データの送受信をする機能を有する。 The node 100 (100A) performs communication by IPsec of communication data based on the security policy and security association negotiated with the node 100 (100B) which is a communication partner, and the communication data of the node 100 (100B) It has a function to send and receive.

したがって、ノード１００は、ネットワーク２を介して、通信を行うインターフェース部１０１、ＩＰｓｅｃの適用を行うためのＳＡに関する情報を記憶するセキュリティアソシエーションデータベース（ＳＡＤ）部１０２、通信データの属性ごとに、通信データにＩＰｓｅｃを適用する／しない等のセキュリティポリシを記憶したセキュリティポリシデータベース（ＳＰＤ）部１０３、通信データの生成、削除、取得および通信データのＩＰｓｅｃの適用を行う通信データ処理部１０４、通信データのヘッダ情報を参照して、通信データの処理内容を決定するポリシ管理部１０５、自動鍵交換プロトコルにより通信相手のノード１００とのＳＡを確立するための折衝を行い、この折衝結果であるＳＡに関する情報の生成等を行うセキュリティアソシエーション（ＳＡ）処理部１０６およびノード１００の利用者からの各種情報の入力を受け付ける入力部１０７を含んで構成される。 Therefore, the node 100 includes an interface unit 101 that performs communication via the network 2, a security association database (SAD) unit 102 that stores information on SA for applying IPsec, and communication data for each attribute of communication data. Security policy database (SPD) unit 103 that stores security policies such as whether or not IPsec is applied to communication, communication data processing unit 104 that generates, deletes, and acquires communication data, and applies IPsec of communication data, header of communication data The policy management unit 105 that determines the processing content of the communication data with reference to the information, negotiates to establish the SA with the communication partner node 100 by the automatic key exchange protocol, and the information about the SA that is the negotiation result Generate security etc. Configured to include an input unit 107 for accepting input of various information from the association (SA) the user of the processing unit 106 and the node 100.

ここで、本実施の形態におけるＳＡとは、ノード１００（１００Ａ、１００Ｂ）間でＩＰｓｅｃによる通信を行うためのコネクションである。すなわち、ノード１００（１００Ａ、１００Ｂ）間でＩＰｓｅｃによる通信を始める前に、ノード１００（１００Ａ、１００Ｂ）の自動鍵交換プロトコル（ＩＫＥ）により暗号化アルゴリズムや暗号化鍵等の折衝を行い、ノード１００（１００Ａ、１００Ｂ）間で暗号化アルゴリズムや暗号化鍵に関する情報を共有することである。 Here, the SA in the present embodiment is a connection for performing communication by IPsec between the nodes 100 (100A, 100B). That is, before starting communication by IPsec between the nodes 100 (100A, 100B), the node 100 (100A, 100B) negotiates an encryption algorithm, an encryption key, and the like using the automatic key exchange protocol (IKE). (100A, 100B) is to share information about the encryption algorithm and the encryption key.

ノード１００（１００Ａ、１００Ｂ）は、ネットワーク２を介して通信データの送受信を行うネットワーク接続機器であり、ＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）でもよいし、ルータであってもよい。
なお、説明のため、図１にはノード１００は、ノード１００Ａとノード１００Ｂの２個しか描いていないが、もちろん３個以上のノード１００間で通信を行ってもよい。 The node 100 (100A, 100B) is a network connection device that transmits and receives communication data via the network 2, and may be a PC (Personal Computer) or a router.
For illustration purposes, only two nodes 100A and 100B are illustrated in FIG. 1 for the sake of illustration, but of course, communication may be performed between three or more nodes 100.

（セキュリティポリシデータベース部）
ＳＰＤ部１０３は、通信データ処理部１０４が通信データパケットを廃棄（ｄｉｓｃａｒｄ）する、ＩＰｓｅｃを適用する（ａｐｐｌｙＩＰｓｅｃ）、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）といったノード１００の通信データのセキュリティポリシ（処理内容／処理方針）を記憶（格納）する機能を有する。また、このセキュリティポリシは、通信データ処理部１０４がＩＰｓｅｃを適用する場合のカプセル化モード、暗号化アルゴリズムや認証アルゴリズムに関する情報も含んでいる。
また、ＳＰＤ部１０３は、ノード１００が送信（出力）する通信データパケットのセキュリティポリシを記憶した出力用ＳＰＤと、ノード１００が受信する（入力される）通信データ（通信データパケット）のセキュリティポリシを記憶した入力用ＳＰＤとの２種類のＳＰＤで構成される。 (Security Policy Database Department)
The SPD unit 103 is a security policy (processing contents) of the communication data of the node 100 such that the communication data processing unit 104 discards the communication data packet, applies IPsec (apply IPsec), or does not apply IPsec (bypass IPsec). / Processing policy) is stored (stored). The security policy also includes information on the encapsulation mode, encryption algorithm, and authentication algorithm when the communication data processing unit 104 applies IPsec.
Further, the SPD unit 103 stores the output SPD that stores the security policy of the communication data packet transmitted (output) by the node 100 and the security policy of the communication data (communication data packet) received (input) by the node 100. It consists of two types of SPDs with the stored input SPD.

表１にノード１００の出力用ＳＰＤを例示する。ここでノード１００は、ＡＡＡ．ＡＡＡ．ＡＡＡ．１というＩＰアドレスを持つものとする。
表１に例示されるように、出力用ＳＰＤは、各処理内容を適用する優先順位を示す項目と、処理対象である通信データパケットの始点ＩＰアドレスを示す項目と、終点ＩＰアドレスを示す項目と、プロトコルを示す項目と、宛先ポートを示す項目と、これらの項目（セレクタ）に該当する通信データパケットに適用する処理内容に関する情報とを含んで構成される。 Table 1 illustrates an output SPD of the node 100. Here, the node 100 is AAA. AAA. AAA. Assume that the IP address is 1.
As illustrated in Table 1, the output SPD includes an item indicating the priority order to which each processing content is applied, an item indicating the start point IP address of the communication data packet to be processed, and an item indicating the end point IP address. , An item indicating a protocol, an item indicating a destination port, and information regarding processing contents applied to communication data packets corresponding to these items (selectors).

例えば、表１の出力用ＳＰＤは、通信データパケットがＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４というＩＰアドレスのネットワークを始点とし、ＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４というＩＰアドレスのネットワークを終点とする通信データパケットである場合、プロトコルや、宛先ポート番号を問わず（Ａｎｙ）、ＩＰｓｅｃを適用し（ａｐｐｌｙＩＰｓｅｃ）、ＡＡＡ．ＡＡＡ．ＡＡＡ．１を始点、ＣＣＣ．ＣＣＣ．ＣＣＣ．１を終点としてトンネルモードを適用し、暗号化アルゴリズムはＤＥＳ−ＣＢＣ（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ − ＣｉｐｈｅｒＢｌｏｃｋＣｈａｉｎｉｎｇ）で、認証アルゴリズムはＨＭＡＣ−ＳＨＡ−１（ＨａｓｈＭｅｓｓａｇｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＣｏｄｅｓ− ＳｅｃｕｒｅＨａｓｈＡｌｇｏｒｉｔｈｍ１）を適用し、ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４以外の宛先の通信データパケットにはＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）というセキュリティポリシを示している。 For example, in the output SPD in Table 1, the communication data packet is AAA. AAA. AAA. Start with a network with an IP address of 0/24, and CCC. CCC. CCC. In the case of a communication data packet whose destination is a network with an IP address of 0/24, regardless of the protocol or destination port number (Any), IPsec is applied (apply IPsec), and AAA. AAA. AAA. 1 starting point, CCC. CCC. CCC. The tunnel mode is applied with 1 as the end point, the encryption algorithm is DES-CBC (Data Encryption Standard-Cipher Block Chaining), and the authentication algorithm is HMAC-SHA-1 (Hash Message Authentication Codes-Secure Almost Applied). AAA. AAA. AAA. This indicates a security policy that IPsec is not applied to communication data packets of destinations other than 0/24 (bypass IPsec).

表２にノード１００の入力用ＳＰＤを例示する。表２に例示されるように、入力用ＳＰＤも、出力用ＳＰＤと同様の項目で構成される。
例えば、表２の入力用ＳＰＤは、通信データパケットがＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４というＩＰアドレスのネットワークを始点とし、ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４というＩＰアドレスのネットワークを終点とする通信データパケットである場合、プロトコルや宛先ポート番号を問わず（Ａｎｙ）、ＩＰｓｅｃを適用し（ａｐｐｌｙＩＰｓｅｃ）、ＣＣＣ．ＣＣＣ．ＣＣＣ．１を始点、ＡＡＡ．ＡＡＡ．ＡＡＡ．１を終点としてトンネルモードを適用し、暗号化アルゴリズムはＤＥＳ−ＣＢＣ（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ − ＣｉｐｈｅｒＢｌｏｃｋＣｈａｉｎｉｎｇ）で、認証アルゴリズムはＨＭＡＣ−ＳＨＡ−１（ＨａｓｈＭｅｓｓａｇｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＣｏｄｅｓ− ＳｅｃｕｒｅＨａｓｈＡｌｇｏｒｉｔｈｍ１）を適用し、ＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４以外の宛先の通信データパケットにはＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）というセキュリティポリシを示している。 Table 2 illustrates an input SPD of the node 100. As illustrated in Table 2, the input SPD is configured by the same items as the output SPD.
For example, in the input SPD in Table 2, the communication data packet is CCC. CCC. CCC. Start with a network with an IP address of 0/24, AAA. AAA. AAA. In the case of a communication data packet whose destination is a network with an IP address of 0/24, regardless of the protocol or destination port number (Any), IPsec is applied (apply IPsec), and CCC. CCC. CCC. 1 as the starting point, AAA. AAA. AAA. 1 is the end point, the tunnel mode is applied, the encryption algorithm is DES-CBC (Data Encryption Standard-Cipher Block Chaining), and the authentication algorithm is HMAC-SHA-1 (Hash Message Authentication Codes-Secure Hash 1). CCC. CCC. CCC. This indicates a security policy that IPsec is not applied to communication data packets of destinations other than 0/24 (bypass IPsec).

なお、後記するポリシ管理部１０５は、通信データパケットのヘッダ情報をセレクタとして、このＳＰＤ部１０３の中のセキュリティポリシを検索し、通信データパケットに適用する処理内容を決定する。
また、ＳＰＤ部１０３の情報は、ノード１００（１００Ａ、１００Ｂ）間のＩＰｓｅｃの適用を行う前に、ノード１００（１００Ａ、１００Ｂ）の利用者が入力部１０７を介して、設定入力を行うものとする。 The policy management unit 105, which will be described later, searches the security policy in the SPD unit 103 using the header information of the communication data packet as a selector, and determines the processing content to be applied to the communication data packet.
Further, the information of the SPD unit 103 is input by the user of the node 100 (100A, 100B) via the input unit 107 before applying IPsec between the nodes 100 (100A, 100B). To do.

（セキュリティアソシエーションデータベース部）
ＳＡＤ部１０２は、後記するＳＡ処理部１０６が生成したノード１００（１００Ａ、１００Ｂ）間の通信データのＳＡに関する情報を記憶（格納）する機能を有する。
ＳＡに関する情報には、通信データの終点ＩＰアドレス（宛先ＩＰアドレス）、ＩＰｓｅｃプロトコルの種類、各ＳＡを識別するための値であるＳＰＩ（ＳｅｃｕｒｔｙＰａｒａｍｅｔｅｒＩｎｄｅｘ）値、暗号化アルゴリズム、暗号化鍵に関する情報のほか、様々な情報が記述される。 (Security Association Database Department)
The SAD unit 102 has a function of storing (storing) information on SA of communication data between nodes 100 (100A and 100B) generated by the SA processing unit 106 described later.
Information related to the SA includes the end point IP address (destination IP address) of the communication data, the type of IPsec protocol, the SPI (Security Parameter Index) value that is a value for identifying each SA, the encryption algorithm, and the information related to the encryption key. In addition, various information is described.

また、ＳＡＤ部１０２は、ノード１００が送信（出力）する通信データパケットに関するＳＡを記憶した出力用ＳＡＤと、ノード１００が受信する（入力される）通信データパケット）のＳＡを記憶した入力用ＳＡＤとの２種類のＳＡＤで構成される。 The SAD unit 102 also outputs an SAD for storing the SA related to the communication data packet transmitted (output) by the node 100 and an input SAD for storing the SA of the communication data packet received (input) by the node 100. And two types of SAD.

表３にノード１００の出力用ＳＡＤを例示する。ここでノード１００は、ＡＡＡ．ＡＡＡ．ＡＡＡ．１というＩＰアドレスを持つものとする。
表３に例示されるように、出力用ＳＡＤは、ＳＡの対象である通信データパケットの、終点ＩＰアドレス、ＩＰｓｅｃのプロトコルやＳＰＩ値といったパラメータを示す項目のほか、カプセル化モード、暗号化アルゴリズム、暗号化鍵、認証アルゴリズムや認証鍵に関する情報等を含んで構成される。 Table 3 illustrates the output SAD of the node 100. Here, the node 100 is AAA. AAA. AAA. Assume that the IP address is 1.
As illustrated in Table 3, the output SAD includes items indicating parameters such as an end point IP address, an IPsec protocol, and an SPI value of a communication data packet that is an object of SA, an encapsulation mode, an encryption algorithm, It includes an encryption key, an authentication algorithm, information about the authentication key, and the like.

例えば、表３の出力用ＳＡＤは、ＤＤＤ．ＤＤＤ．ＤＤＤ．ＤＤＤというＩＰアドレスのノードを終点として、ＩＰｓｅｃプロトコルがＥＳＰ（暗号ペイロードＥｎｃａｐｓｕｌａｔｅｄＳｅｃｕｒｉｔｙＰａｙｌｏａｄ）で、ＳＰＩ値が３０００である通信データパケットについては、カプセル化モードはトンネルモードであり、暗号化アルゴリズムはＤＥＳ−ＣＢＣであり、暗号化鍵はＸＸＸであり、認証アルゴリズムはＨＭＡＣ−ＳＨＡ−１であり、認証鍵はＹＹＹというＳＡが確立されていることを示している。 For example, the output SAD in Table 3 is DDD. DDD. DDD. For a communication data packet having an IP protocol of DDD as an end point, an IPsec protocol of ESP (Encrypted Payload Encapsulated Security Payload), and an SPI value of 3000, the encapsulation mode is the tunnel mode, and the encryption algorithm is DES- It is CBC, the encryption key is XXX, the authentication algorithm is HMAC-SHA-1, and the authentication key indicates that the SA of YYY is established.

入力用ＳＡＤは、ＳＡの対象である通信データパケットの終点ＩＰアドレスを示す項目の代わりに始点ＩＰアドレスの項目を含んでいる他は、出力用ＳＡＤと同様の構成となっている。表４に入力用ＳＡＤを例示する。 The input SAD has the same configuration as the output SAD except that it includes an item of the start point IP address instead of the item indicating the end point IP address of the communication data packet that is the target of the SA. Table 4 illustrates input SADs.

例えば、表４の入力用ＳＡＤは、ＤＤＤ．ＤＤＤ．ＤＤＤ．ＤＤＤというＩＰアドレスのノードを始点として、ＩＰｓｅｃプロトコルがＥＳＰ（暗号ペイロードＥｎｃａｐｓｕｌａｔｅｄＳｅｃｕｒｉｔｙＰａｙｌｏａｄ）であり、ＳＰＩ値が３０００である通信データパケットについては、カプセル化モードはトンネルモードであり、暗号化アルゴリズムはＤＥＳ−ＣＢＣであり、暗号化鍵はＸＸＸであり、認証アルゴリズムはＨＭＡＣ−ＳＨＡ−１であり、認証鍵はＹＹＹというＳＡが確立されていることを示している。 For example, the input SAD in Table 4 is DDD. DDD. DDD. For a communication data packet having an IP protocol of DDD as a starting point and an IPsec protocol of ESP (Encrypted Payload Encapsulated Security Payload) and an SPI value of 3000, the encapsulation mode is the tunnel mode, and the encryption algorithm is DES. -CBC, the encryption key is XXX, the authentication algorithm is HMAC-SHA-1, and the authentication key indicates that the SA of YYY is established.

なお、後記するポリシ管理部１０５は、ＳＰＤ部１０３から検索されたセキュリティポリシと、このＳＡＤ部１０２から検索されたＳＡに関する情報とを参照して、後記するＳＡ処理部１０６へ新たなＳＡの生成依頼や、ＳＡの削除依頼を行う。 The policy management unit 105, which will be described later, refers to the security policy retrieved from the SPD unit 103 and the information regarding the SA retrieved from the SAD unit 102, and generates a new SA to the SA processing unit 106, which will be described later. Request and SA deletion request.

また、ＳＡＤ部１０２の情報は、ＳＡ処理部１０６がＩＫＥを使用して自動で設定（書き換え）をするが、ノード１００（１００Ａ、１００Ｂ）の利用者が入力部１０７を介して手動で設定（書き換え）することもできる。 The information of the SAD unit 102 is automatically set (rewritten) by the SA processing unit 106 using IKE. However, the user of the node 100 (100A, 100B) sets the information manually via the input unit 107 ( Can be rewritten).

（通信データ処理部）
通信データ処理部１０４は、入力部１０７から入力された各種情報に基づき通信データの生成を行う機能を有する。また、この生成した通信データやインターフェース部１０１から出力された通信データの処理内容（処理方法）をポリシ管理部１０５へ問い合わせて、ポリシ管理部１０５から出力された通信データの処理内容（方法）に従って、通信データの削除またはＩＰｓｅｃを適用する機能を有する。 (Communication data processor)
The communication data processing unit 104 has a function of generating communication data based on various information input from the input unit 107. Further, the policy management unit 105 is inquired about the processing contents (processing method) of the generated communication data and the communication data output from the interface unit 101, and the processing contents (method) of the communication data output from the policy management unit 105 are inquired. It has a function of deleting communication data or applying IPsec.

ここで、通信データの処理内容とは、例えば通信データパケットを廃棄（ｄｉｓｃａｒｄ）する、ＩＰｓｅｃを適用する（ａｐｐｌｙＩＰｓｅｃ）、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）といった内容であり、さらにＩＰｓｅｃを適用する場合は暗号化アルゴリズムや認証アルゴリズム等も含む。 Here, the processing contents of the communication data are, for example, contents such as discarding the communication data packet, applying IPsec (apply IPsec), not applying IPsec (bypass IPsec), and further applying IPsec. Includes an encryption algorithm and an authentication algorithm.

（ポリシ管理部）
ポリシ管理部１０５は、通信データの処理内容を決定する機能を有する。
具体的には、ポリシ管理部１０５が通信データ処理部１０４から、通信データの処理方法に関する問い合わせを受信すると、この通信データの属性を示すヘッダ情報を参照して、前記したＳＰＤ部１０３の出力用セキュリティポリシデータベースからこの通信データのセキュリティポリシを検索し、前記したＳＡＤ部１０２から、この通信データのＳＡに関する情報を検索する。そして、この検索結果（セキュリティポリシおよびＳＡ）に基づいて、ポリシ管理部１０５は、通信データの処理内容を決定する。
ポリシ管理部１０５の処理手順の詳細については、後記するノード１００（１００Ａ、１００Ｂ）の処理手順の説明の項で述べる。 (Policy Management Department)
The policy management unit 105 has a function of determining the processing content of communication data.
More specifically, when the policy management unit 105 receives an inquiry about the communication data processing method from the communication data processing unit 104, the policy management unit 105 refers to the header information indicating the attribute of the communication data, and outputs the SPD unit 103. The security policy of the communication data is searched from the security policy database, and information related to the SA of the communication data is searched from the SAD unit 102 described above. Based on the search result (security policy and SA), the policy management unit 105 determines the processing content of the communication data.
Details of the processing procedure of the policy management unit 105 will be described later in the description of the processing procedure of the nodes 100 (100A, 100B).

（ＳＡ処理部）
ＳＡ処理部１０６は、ポリシ管理部１０５から、相手方ノード１００（１００Ｂ）への通信データに関するＳＡの生成依頼を受信すると、この通信データのＳＡを作成し、自動鍵交換プロトコル（ＩＫＥ）により通信の相手方ノード１００（１００Ｂ）との間でＳＡの折衝を行なう。そして、この折衝結果であるＳＡに関する情報を、ＳＡＤ部１０２に記憶させる（登録する）機能を有する。 (SA processor)
When the SA processing unit 106 receives from the policy management unit 105 an SA generation request for communication data to the counterpart node 100 (100B), the SA processing unit 106 creates an SA of the communication data and performs communication using the automatic key exchange protocol (IKE). SA negotiation is performed with the counterpart node 100 (100B). The SAD unit 102 has a function of storing (registering) information on the SA that is the negotiation result.

また、ＳＡ処理部１０６は、相手方ノード１００（１００Ｂ）との通信データについて、ポリシ管理部１０５からＳＡの削除（撤回）依頼を受信すると、自動鍵交換プロトコルによりノード１００（１００Ｂ）との間で確立したＳＡを撤回する通知をノード１００（１００Ｂ）へ行い、ノード１００（１００Ａ）のＳＡＤ部１０２から、相手方ノード１００（１００Ｂ）との通信データのＳＡに関する情報を削除する機能を有する。 When the SA processing unit 106 receives an SA deletion (withdrawal) request from the policy management unit 105 for communication data with the counterpart node 100 (100B), the SA processing unit 106 communicates with the node 100 (100B) using the automatic key exchange protocol. The node 100 (100B) is notified of withdrawal of the established SA, and has a function of deleting information related to SA of communication data with the counterpart node 100 (100B) from the SAD unit 102 of the node 100 (100A).

次に、図１〜図３を用いてノード１００（１００Ａ、１００Ｂ）の各構成要素の処理手順を説明する。ここでは、送信側ノード１００Ａが、受信側ノード１００Ｂへ通信データを送信する場合を例として説明する。 Next, the processing procedure of each component of the node 100 (100A, 100B) will be described with reference to FIGS. Here, a case where the transmission side node 100A transmits communication data to the reception side node 100B will be described as an example.

図１は、送信側ノードの構成を示す図である。
図２は、送信側ノードの処理手順を示すフローチャート図である。
図３は、受信側ノードの処理手順を示すフローチャート図である。
まず、図１を参照しつつ図２を用いて、ノード１００Ａが通信データパケットを送信する際の処理手順について説明する。 FIG. 1 is a diagram illustrating a configuration of a transmission side node.
FIG. 2 is a flowchart showing the processing procedure of the transmitting side node.
FIG. 3 is a flowchart showing the processing procedure of the receiving side node.
First, a processing procedure when the node 100A transmits a communication data packet will be described using FIG. 2 with reference to FIG.

（ステップＳ１０１）
ステップＳ１０１では、ノード１００Ａの通信データ処理部１０４が、入力部１０７からへ出力された情報に基づき、ノード１００Ｂへ送信する通信データパケットを生成する。
そして、通信データ処理部１０４は、この通信データパケットの処理内容をポリシ管理部１０５へ問い合わせる。具体的には、通信データ処理部１０４は、ノード１００Ａの通信データパケットのヘッダ情報をポリシ管理部１０５へ出力する。 (Step S101)
In step S101, the communication data processing unit 104 of the node 100A generates a communication data packet to be transmitted to the node 100B based on the information output from the input unit 107.
Then, the communication data processing unit 104 inquires of the policy management unit 105 about the processing content of the communication data packet. Specifically, the communication data processing unit 104 outputs the header information of the communication data packet of the node 100A to the policy management unit 105.

（ステップＳ１０２）
ポリシ管理部１０５は、ステップＳ１０１で生成した通信データパケットのヘッダ情報の始点ＩＰアドレス、終点ＩＰアドレス、上位層プロトコル等の情報をセレクタとして、ノード１００ＡのＳＰＤ部１０３の出力用ＳＰＤからセキュリティポリシ（処理内容）を検索する。検索されたセキュリティポリシ（処理内容）が、ＩＰｓｅｃを適用する（ａｐｐｌｙＩＰｓｅｃ）であった場合は、ステップＳ１０３へ進む。
検索されたセキュリティポリシが、通信データパケットにＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）であった場合には、ステップＳ１０６へ進み、ＩＰｓｅｃを適用せずにインターフェース部１０１からノード１００Ｂへ通信データパケットを送信する。検索されたセキュリティポリシが通信データパケットを廃棄（ｄｉｓｃａｒｄ）であった場合には、ステップＳ１０７へ進み、通信データ処理部１０４で生成した通信データパケットを廃棄する。すなわち、ノード１００Ｂへ通信データパケットを送信しない。 (Step S102)
The policy management unit 105 uses the information such as the start point IP address, the end point IP address, and the upper layer protocol of the header information of the communication data packet generated in step S101 as a selector from the output SPD of the SPD unit 103 of the node 100A to the security policy ( Search for (Processing content). If the searched security policy (processing content) is to apply IPsec (apply IPsec), the process proceeds to step S103.
If the retrieved security policy is that IPsec is not applied to the communication data packet (bypass IPsec), the process proceeds to step S106, and the communication data packet is transmitted from the interface unit 101 to the node 100B without applying IPsec. . If the retrieved security policy is a communication data packet discard, the process proceeds to step S107, and the communication data packet generated by the communication data processing unit 104 is discarded. That is, the communication data packet is not transmitted to the node 100B.

（ステップＳ１０３）
ステップＳ１０３では、ポリシ管理部１０５が、ステップＳ１０２で検索されたセキュリティポリシと、通信データパケットのヘッダ情報を参照して、これをセレクタとして、ノード１００ＡのＳＡＤ部１０２の出力用ＳＡＤから、この通信データパケットのＳＡに関する情報を検索する。ここで、出力用ＳＡＤにこの通信データパケットのＳＡに関する情報が発見されなかった場合（Ｓ１０３の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ無し）、ＳＡ処理部１０６へ、この通信データパケットのヘッダ情報を含む通信データパケットのＳＡの生成を依頼するデータを出力し、ステップＳ１０４へ進む。出力用ＳＡＤに、この通信データパケットのＳＡに関する情報が発見された場合（Ｓ１０３該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ有り）、ステップＳ１０５へ進む。 (Step S103)
In step S103, the policy management unit 105 refers to the security policy searched in step S102 and the header information of the communication data packet, and uses this as a selector from the output SAD of the SAD unit 102 of the node 100A to this communication. Retrieve information about SA in data packet. Here, when the information regarding the SA of this communication data packet is not found in the output SAD (the corresponding Security Association in S103 is not found), the SA of the communication data packet including the header information of this communication data packet is sent to the SA processing unit 106. The data for requesting generation is output, and the process proceeds to step S104. If information related to the SA of this communication data packet is found in the output SAD (S103, there is a Security Association), the process proceeds to step S105.

（ステップＳ１０４）
ステップＳ１０４では、ポリシ管理部１０５から通信データパケットのＳＡの生成を依頼するデータを受信したＳＡ処理部１０６が、このデータに含まれる通信データパケットのヘッダ情報を参照して、ＩＫＥによりこの通信データパケットに関する受信側（通信相手）ノード１００ＢとのＳＡを生成する。
具体的には、ＳＡ処理部１０６がＩＫＥを始動して、インターフェース部１０１を介して、ノード１００Ｂへ送信予定の通信データパケットのＳＡ確立のための各種データ（暗号化アルゴリズム、暗号化鍵）の送受信を行う。すなわち、ノード１００ＢとＳＡ確立のための折衝を始動する。
そして、ノード１００ＡのＳＡＤ部１０２が、ノード１００Ｂと折衝した結果、当該通信データパケットのＳＡを確立させると、このＳＡに関する情報を生成し、この情報をＳＡＤ部１０２に記憶させ、ステップＳ１０５へ進む。 (Step S104)
In step S104, the SA processing unit 106 that has received the data requesting the generation of the SA of the communication data packet from the policy management unit 105 refers to the header information of the communication data packet included in this data, and performs this communication data using IKE. An SA with the receiving side (communication partner) node 100B regarding the packet is generated.
Specifically, the SA processing unit 106 starts IKE, and various data (encryption algorithm, encryption key) for establishing SA of the communication data packet scheduled to be transmitted to the node 100B via the interface unit 101. Send and receive. That is, the negotiation for establishing the SA with the node 100B is started.
When the SAD unit 102 of the node 100A negotiates with the node 100B and establishes the SA of the communication data packet, information about the SA is generated, the information is stored in the SAD unit 102, and the process proceeds to step S105. .

（ステップＳ１０５）
ステップＳ１０５では、ポリシ管理部１０５が、ＳＰＤ部１０３の出力用ＳＰＤに記憶された当該通信データパケットのセキュリティポリシと、ＳＡＤ部１０２に記憶された当該通信データパケットのＳＡに関する情報に基づき、この通信データパケットの処理内容（暗号化アルゴリズム等）を決定する。そして、この処理内容を通信データ処理部１０４へ出力する。通信データ処理部１０４は、この処理内容を受信すると、これに基づき通信データパケットにＩＰｓｅｃを適用してインターフェース部１０１を介してノード１００Ｂへ送信する。 (Step S105)
In step S105, the policy management unit 105 performs this communication based on the security policy of the communication data packet stored in the output SPD of the SPD unit 103 and the information on the SA of the communication data packet stored in the SAD unit 102. The processing contents (encryption algorithm etc.) of the data packet are determined. Then, this processing content is output to the communication data processing unit 104. Upon receiving this processing content, the communication data processing unit 104 applies IPsec to the communication data packet based on this and transmits it to the node 100B via the interface unit 101.

次に、図１を参照しつつ図３を用いて、受信側ノード１００Ｂが通信データを受信する際の処理手順を説明する。 Next, a processing procedure when the receiving node 100B receives communication data will be described using FIG. 3 with reference to FIG.

（ステップＳ２０１）
ステップＳ２０１では、ノード１００Ｂの通信データ処理部１０４が、インターフェース部１０１を介して、ノード１００Ａからの通信データパケットを受信する。 (Step S201)
In step S201, the communication data processing unit 104 of the node 100B receives a communication data packet from the node 100A via the interface unit 101.

（ステップＳ２０２）
ステップＳ２０２では、通信データ処理部１０４が、ステップＳ２０１で受信した通信データパケットのヘッダ情報等を参照して、この通信データのＩＰｓｅｃ適用・非適用（ＩＰｓｅｃが適用されているか、適用されていないか）を検証する。この通信データパケットにＩＰｓｅｃが適用されている場合には、通信データ処理部１０４は、この通信データパケットのヘッダ情報をポリシ管理部１０５へ出力し、ステップＳ２０３へ進む（ステップＳ２０２のＩＰｓｅｃ適用有り）。ＩＰｓｅｃが適用されていない場合は（ステップＳ２０２のＩＰｓｅｃ適用無し）、この通信データパケットのヘッダ情報をポリシ管理部１０５へ出力し、ステップＳ２０７へ進む。 (Step S202)
In step S202, the communication data processing unit 104 refers to the header information and the like of the communication data packet received in step S201, and applies or does not apply IPsec of this communication data (whether IPsec is applied or not applied). ) Is verified. If IPsec is applied to the communication data packet, the communication data processing unit 104 outputs the header information of the communication data packet to the policy management unit 105, and proceeds to step S203 (IPsec is applied in step S202). . If IPsec is not applied (no IPsec application in step S202), the header information of this communication data packet is output to the policy management unit 105, and the process proceeds to step S207.

（ステップＳ２０３）
ステップＳ２０３では、ポリシ管理部１０５は、ステップＳ２０１で受信した通信データパケットのヘッダ情報に含まれる始点ＩＰアドレス、終点ＩＰアドレス、上位層プロトコル等の情報をパラメータとして、ノード１００ＢのＳＡＤ部１０２の入力用ＳＡＤからこの通信データパケットに関するＳＡを検索する。検索した結果、ポリシ管理部１０５がこの通信データパケットのＳＡを発見した場合（Ｓ２０３の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ有り）、この通信データパケットに関するＳＡを通信データ処理部１０４へ出力し、ステップＳ２０６へ進む。当該通信データパケットのＳＡを発見できなかった場合（Ｓ２０３の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ無し）、ステップＳ２０４へ進む。 (Step S203)
In step S203, the policy management unit 105 uses the information such as the start point IP address, end point IP address, and upper layer protocol included in the header information of the communication data packet received in step S201 as parameters, and inputs to the SAD unit 102 of the node 100B. The SA related to this communication data packet is searched from the SAD for use. If the policy management unit 105 finds the SA of the communication data packet as a result of the search (the corresponding Security Association in S203 is present), the SA regarding the communication data packet is output to the communication data processing unit 104, and the process proceeds to step S206. If the SA of the communication data packet cannot be found (no corresponding Security Association in S203), the process proceeds to step S204.

（ステップＳ２０４）
ステップＳ２０４では、通信データ処理部１０４が、ポリシ管理部１０５で検索された通信データパケットに関するＳＡに基づき、通信データパケットのＩＰｓｅｃを外す処理（通信データパケットの復号化・認証処理）を行う。そして、この通信データパケットのヘッダ情報を、ポリシ管理部１０５へ出力する。 (Step S204)
In step S204, the communication data processing unit 104 performs processing for removing IPsec of the communication data packet (decoding / authentication processing of the communication data packet) based on the SA regarding the communication data packet searched by the policy management unit 105. Then, the header information of the communication data packet is output to the policy management unit 105.

（ステップＳ２０５）
ステップＳ２０５では、ポリシ管理部１０５が、通信データ処理部１０４から出力された当該通信データパケットのヘッダ情報をセレクタとして、ＳＰＤ部１０３の入力用ＳＰＤから当該通信データパケットのセキュリティポリシを検索する。そして、この検索されたセキュリティポリシに基づく当該通信データパケットの処理内容を決定し、この処理内容を通信データ処理部１０４へ出力する。
ここで、ＳＰＤ部１０３から検索されたセキュリティポリシが、ＩＰｓｅｃを適用する（ａｐｐｌｙＩＰｓｅｃ）であった場合は、ステップＳ２０８へ進む。検索されたセキュリティポリシが、通信データパケットを廃棄（ｄｉｓｃａｒｄ）またはＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）であった場合には、ステップＳ２０６へ進む。 (Step S205)
In step S205, the policy management unit 105 searches for the security policy of the communication data packet from the input SPD of the SPD unit 103 using the header information of the communication data packet output from the communication data processing unit 104 as a selector. Then, the processing content of the communication data packet is determined based on the searched security policy, and the processing content is output to the communication data processing unit 104.
If the security policy retrieved from the SPD unit 103 is to apply IPsec (apply IPsec), the process proceeds to step S208. If the retrieved security policy is to discard the communication data packet (discard) or not apply IPsec (bypass IPsec), the process proceeds to step S206.

（ステップＳ２０６）
ステップＳ２０６では、通信データ処理部１０４が、ポリシ管理部１０５から送信された通信データパケットの処理内容（通信データパケットの廃棄）を受信すると、これに基づき、当該通信データパケットの廃棄をする。 (Step S206)
In step S206, when the communication data processing unit 104 receives the processing content of the communication data packet (discarding the communication data packet) transmitted from the policy management unit 105, the communication data packet is discarded based on this.

（ステップＳ２０７）
ノード１００Ｂが受信した通信データパケットがＩＰｓｅｃを適用していない場合であるステップＳ２０７では、ポリシ管理部１０５が、当該通信データパケットのヘッダ情報をセレクタとして、ＳＰＤ部１０３の入力用ＳＰＤから当該通信データパケットのセキュリティポリシを検索する。ここで、ＳＰＤ部１０３から検索されたセキュリティポリシが、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）であった場合は、ステップＳ２０８へ進む。検索されたセキュリティポリシが、通信データパケットを廃棄（ｄｉｓｃａｒｄ）またはＩＰｓｅｃを適用する（ａｐｐｌｙＩＰｓｅｃ）であった場合には、ステップＳ２０９へ進む。 (Step S207)
In step S207, in which the communication data packet received by the node 100B does not apply IPsec, the policy management unit 105 uses the header information of the communication data packet as a selector to input the communication data from the input SPD of the SPD unit 103. Retrieve packet security policy. If the security policy retrieved from the SPD unit 103 is not applying IPsec (bypass IPsec), the process proceeds to step S208. If the retrieved security policy is to discard the communication data packet (discard) or apply IPsec (apply IPsec), the process proceeds to step S209.

（ステップＳ２０８）
ステップＳ２０８では、ポリシ管理部１０５で検索されたセキュリティポリシ（ＩＰｓｅｃ非適用）に基づく当該通信データパケットの処理内容（通信データパケットの受信完了）を決定し、この処理内容を通信データ処理部１０４へ出力する。通信データ処理部１０４が、ポリシ管理部１０５から送信された当該通信データパケットの処理内容（通信データパケットの受信完了）を受信すると、これに基づき、当該通信データパケットを受信する。 (Step S208)
In step S208, the processing content of the communication data packet (completion of reception of the communication data packet) based on the security policy (IPsec not applied) retrieved by the policy management unit 105 is determined, and this processing content is transmitted to the communication data processing unit 104. Output. When the communication data processing unit 104 receives the processing content of the communication data packet (completion of reception of the communication data packet) transmitted from the policy management unit 105, the communication data packet is received based on this.

（ステップＳ２０９）
ステップＳ２０９では、ポリシ管理部１０５で検索されたセキュリティポリシに基づく当該通信データパケットの処理内容（通信データパケット廃棄）を決定し、この処理内容を通信データ処理部１０４へ出力する。通信データ処理部１０４が、ポリシ管理部１０５から送信された当該通信データパケットの処理内容を受信すると、これに基づき、当該通信データパケットの廃棄をする。 (Step S209)
In step S209, the processing content (communication data packet discard) of the communication data packet based on the security policy searched by the policy management unit 105 is determined, and the processing content is output to the communication data processing unit 104. When the communication data processing unit 104 receives the processing content of the communication data packet transmitted from the policy management unit 105, the communication data processing unit 104 discards the communication data packet based on this.

以上、送信側ノード１００Ａが受信側ノード１００Ｂへ通信データを送信する場合を例として、ノード１００の基本的構成要素および基本的処理手順を説明した。
ノード１００がこのような処理手順を実行することにより、ノード１００はＳＰＤ部１０３に格納されたセキュリティポリシに基づき、通信データパケットへのＩＰｓｅｃの適用／非適用を実行する。 The basic components and basic processing procedures of the node 100 have been described above by taking as an example the case where the transmitting node 100A transmits communication data to the receiving node 100B.
When the node 100 executes such a processing procedure, the node 100 executes application / non-application of IPsec to the communication data packet based on the security policy stored in the SPD unit 103.

＜特徴的構成＞
次に、本発明の本実施の形態の特徴的構成について説明する。なお、前記した基本的構成と同様の構成要素は、同じ符号を付して説明を省略する。
本実施の形態の特徴的構成は、ノード１００が通信データパケットへのＩＰｓｅｃの適用／非適用のセキュリティポリシを動的に変更できることを特徴とする。 <Characteristic configuration>
Next, a characteristic configuration of the present embodiment of the present invention will be described. Note that the same components as the basic configuration described above are denoted by the same reference numerals, and description thereof is omitted.
The characteristic configuration of the present embodiment is characterized in that the node 100 can dynamically change the security policy for the application / non-application of IPsec to the communication data packet.

したがって、前記した基本的構成におけるノード１００のＳＰＤ部１０３の出力用ＳＰＤおよび入力用ＳＰＤは、通信データ処理部１０４が通信データパケットを廃棄（ｄｉｓｃａｒｄ）する、ＩＰｓｅｃを適用する（ａｐｐｌｙＩＰｓｅｃ）、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）といったセキュリティポリシ（処理内容）のほかに、ノード１００の利用者が通信データパケットへのＩＰｓｅｃの適用／非適用を動的に選択しうるｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃというセキュリティポリシを含んで構成される。 Therefore, the output SPD and the input SPD of the SPD unit 103 of the node 100 in the basic configuration described above apply IPsec (apply IPsec), in which the communication data processing unit 104 discards the communication data packet (apply IPsec), IPsec. In addition to a security policy (processing contents) such as not applying (bypass IPsec), a security policy called dynamically apply IPsec that allows the user of the node 100 to dynamically select whether or not to apply IPsec to a communication data packet is included. Consists of.

表５は、本実施の形態におけるノード１００のＳＰＤ部１０３の出力用ＳＰＤを例示した表である。表５に例示されるように、本実施の形態の出力用ＳＰＤは、基本的構成の出力用ＳＰＤとセレクタの項目は同じであるが、適用する処理の項目にノード１００の利用者が通信データパケットへのＩＰｓｅｃの適用／非適用を動的に変更できるｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃというセキュリティポリシを加えた構成となっている。 Table 5 is a table illustrating the output SPD of the SPD unit 103 of the node 100 according to the present embodiment. As illustrated in Table 5, the output SPD of this embodiment has the same configuration as the output SPD of the basic configuration, but the selector item is the same, but the user of the node 100 sets the communication data as the processing item to be applied. It is configured with a security policy called dynamically apply IPsec that can dynamically change the application / non-application of IPsec to a packet.

例えば、表５に例示されるＳＰＤ部１０３の出力用ＳＰＤは、通信データパケットが、ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４というＩＰアドレスのネットワークを始点とし、ＢＢＢ．ＢＢＢ．ＢＢＢ．０／２４というＩＰアドレスのネットワークを終点とする通信データパケットである場合、プロトコルや、宛先ポート番号を問わず（Ａｎｙ）、通信データパケットへのＩＰｓｅｃの適用／非適用を動的に選択（変更）でき（ｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃ）、通信データパケットがＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４というＩＰアドレスのネットワークを始点とし、ＣＣＣ．ＣＣＣ．ＣＣＣ．０／２４というアドレスのネットワークを終点とする通信データパケットである場合、ＩＰｓｅｃを適用し（ａｐｐｌｙＩＰｓｅｃ）、ＡＡＡ．ＡＡＡ．ＡＡＡ．０／２４以外の宛先の通信データパケットにはＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）というセキュリティポリシを示している。 For example, the SPD for output of the SPD unit 103 exemplified in Table 5 includes a communication data packet of AAA. AAA. AAA. Start with a network with an IP address of 0/24, BBB. BBB. In the case of a communication data packet whose destination is a network with an IP address of 0/24, regardless of protocol or destination port number (Any), the application / non-application of IPsec to the communication data packet is dynamically selected (changed). ) (Dynamically apply IPsec), and the communication data packet is AAA. AAA. AAA. Start with a network with an IP address of 0/24, and CCC. CCC. CCC. In the case of a communication data packet whose destination is a network having an address of 0/24, IPsec is applied (apply IPsec), and AAA. AAA. AAA. This indicates a security policy that IPsec is not applied to communication data packets of destinations other than 0/24 (bypass IPsec).

以上、ＳＰＤ部１０３の出力用ＳＰＤを例として説明したが、入力用ＳＰＤも、出力用ＳＰＤと同様にｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃという処理内容を含むことを特徴とする。 The output SPD of the SPD unit 103 has been described above as an example, but the input SPD includes the processing contents of dynamically apply IPsec as in the case of the output SPD.

ＳＡＤ部１０２も、基本的構成で説明した通り、出力用ＳＡＤおよび入力用ＳＡＤの２種類のＳＡＤから構成されるが、ＳＡに関する情報は、自己のノード１００がＩＫＥにより、通信相手のノード１００とＳＡの折衝の始動を行ったか否か、すなわち自己のノード１００がＳＡ確立のｉｎｉｔｉａｔｏｒであるか否かに関する情報（折衝始動情報）をさらに含むことを特徴とする。 As described in the basic configuration, the SAD unit 102 is also composed of two types of SADs, that is, output SAD and input SAD. It further includes information (negotiation start information) regarding whether or not SA negotiation has been started, that is, whether or not its own node 100 is an initiator for establishing SA.

表６に本実施の形態におけるノード１００の出力用ＳＡＤを例示する。表６に例示されるように、出力用ＳＡＤは、ＳＡの対象である通信データパケットごとに、終点ＩＰアドレス、ＩＰｓｅｃのプロトコル、ＳＰＩ値やカプセル化モードや暗号化アルゴリズムといったパラメータに関する情報を記憶するが、これに加えて各ＳＡごとに自己のノード１００がｉｎｉｔｉａｔｏｒであるが、ｒｅｓｐｏｎｄｅｒ（折衝を受ける側、通信相手）であるかに関する情報も記憶している。 Table 6 illustrates an output SAD of the node 100 in the present embodiment. As illustrated in Table 6, the output SAD stores information on parameters such as an end point IP address, an IPsec protocol, an SPI value, an encapsulation mode, and an encryption algorithm for each communication data packet that is a target of SA. However, in addition to this, for each SA, the node 100 is an initiator, but also stores information on whether it is a responder (negotiating side, communication partner).

例えば、表６の出力用ＳＡＤは、ＤＤＤ．ＤＤＤ．ＤＤＤ．ＤＤＤというＩＰアドレスのノードを終点として、ＩＰｓｅｃプロトコルがＥＳＰであり、ＳＰＩ値が３０００である通信データパケットについては、自らのノード１００がｉｎｉｔｉａｔｏｒであることを示している。
また、ＥＥＥ．ＥＥＥ．ＥＥＥ．ＥＥＥというＩＰアドレスのノードを終点として、ＩＰｓｅｃプロトコルがＥＳＰであり、ＳＰＩ値が３０１０である通信データパケットについては、自らのノード１００がｒｅｓｐｏｎｄｅｒであることを示している。すなわち、前記したＳＡは、通信相手のノード１００がｉｎｉｔｉａｔｏｒとなって確立したものであることを示している。 For example, the output SAD in Table 6 is DDD. DDD. DDD. For a communication data packet whose end point is a node with an IP address of DDD, the IPsec protocol is ESP, and the SPI value is 3000, it indicates that its own node 100 is an initiator.
In addition, EEE. EEE. EEE. For a communication data packet whose end point is a node with an IP address of EEE, the IPsec protocol is ESP, and the SPI value is 3010, it indicates that its own node 100 is a responder. That is, the above-described SA indicates that the communication partner node 100 is established as an initiator.

なお、入力用ＳＡＤも、出力用ＳＡＤと同様に、基本的構成で述べた構成要素に加えて、各ＳＡごとに自己のノード１００がｉｎｉｔｉａｔｏｒであるか、ｒｅｓｐｏｎｄｅｒであるかに関する情報も含んで構成される。 In addition to the components described in the basic configuration, the input SAD also includes information regarding whether each node 100 is an initiator or a responder for each SA, in the same manner as the output SAD. Is done.

ＳＡ処理部１０６は、相手側ノード１００とのＳＡを成立（確立）させると、このＳＡに関する情報（暗号化アルゴリズム等）に加えて、このＳＡにおいて自己のノード１００がｉｎｉｔｉａｔｏｒであるか、ｒｅｓｐｏｎｄｅｒであるかに関する情報をＳＡＤ部１０２に記憶させる機能を有する。
また、ＳＡ処理部１０６は、ＩＫＥによりＳＡを確立させる機能のほか、前記したＳＡＤ部１０２の情報を検索（参照）して、自らのノード１００がｉｎｉｔｉａｔｏｒであることを確認すると、ｒｅｓｐｏｎｄｅｒ側のノード１００からＳＡの確立またはＳＡ撤回（削除）のＩＫＥによる折衝を始動されても、これを受け付けない（応答しない）機能を有する。
すなわち、ｒｅｓｐｏｎｄｅｒ側のノード１００からＳＡの確立またはＳＡ撤回（削除）のＩＫＥによる折衝のためのデータを受信してもこのデータを廃棄して、ｒｅｓｐｏｎｄｅｒ側のノードへその後の応答をしない。 When the SA processing unit 106 establishes (establishes) an SA with the counterpart node 100, in addition to information about the SA (encryption algorithm, etc.), the SA processing unit 106 determines whether the node 100 is an initiator or not in the responder. The SAD unit 102 has a function of storing information regarding whether there is any.
In addition to the function of establishing the SA by IKE, the SA processing unit 106 searches (refers to) the information of the SAD unit 102 described above, and confirms that its own node 100 is an initiator. Even if an IKE negotiation for establishing SA or withdrawing (deleting) SA is started from 100, it has a function of not accepting (not responding to) this.
That is, even if data for negotiation by IKE for SA establishment or SA withdrawal (deletion) is received from the responder side node 100, this data is discarded and no subsequent response is made to the responder side node.

また、基本的構成の項で述べたとおり、ＳＰＤ部１０３の出力用ＳＰＤおよび入力用ＳＰＤは、ノード１００間において通信を行う前に、ノード１００の利用者が入力部１０７を介して、設定入力を行うものとする。 Further, as described in the section of the basic configuration, the SPD for output and the SPD for input of the SPD unit 103 are input by the user of the node 100 via the input unit 107 before performing communication between the nodes 100. Shall be performed.

したがって、例えば、ノード１００の利用者が、ノード１００のＳＰＤ部１０３の出力用ＳＰＤおよび入力用ＳＰＤのｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃのセレクタの項目に、ＩＰｓｅｃの適用／非適用のセキュリティポリシを固定的にしたくないネットワークの情報を設定することで、設定したネットワークへデータを送信するときＩＰｓｅｃの適用／非適用のセキュリティポリシを動的に変更（選択）することができる。 Therefore, for example, the user of the node 100 does not want to make the security policy for applying / non-applying IPsec fixed in the items of the selector of the output SPD of the SPD unit 103 of the node 100 and the dynamically apply IPsec of the input SPD. By setting the network information, it is possible to dynamically change (select) the security policy for IPsec application / non-application when data is transmitted to the set network.

なお、ＳＡＤ部１０２の入力用ＳＡＤおよび出力用ＳＡＤも、それぞれのＳＡに関する情報ごとに、自らのノード１００がｉｎｉｔｉａｔｏｒとなるかｒｅｓｐｏｎｄｅｒとなるかを利用者が入力部１０７を介して手動で設定してもよい。 In addition, the input SAD and the output SAD of the SAD unit 102 are also set manually by the user via the input unit 107 as to whether the node 100 becomes an initiator or a responder for each piece of information related to the SA. May be.

また、ポリシ管理部１０５でＳＡＤ部１０２を検索した結果、自らのノード１００が通信主体（ｉｎｉｔｉａｔｏｒ）となる場合（ＳＡＤ部１０２に該当するＳＡが無かった場合）および自らのノード１００がｉｎｉｔｉａｔｏｒであった場合（ＳＡＤ部１０２のＳＡに関する情報に自己のノード１００がｉｎｉｔｉａｔｏｒである旨が記述されていた場合）のみ、通信データ処理部１０４でノード１００の利用者から通信データパケットのＩＰｓｅｃの適用／非適用の選択情報を受付けさせる機能を有する。
このように通信を行うノード１００間でＩＰｓｅｃを適用する／しないの選択の主導権を握るノード１００が決めることで、ＩＰｓｅｃを適用する／しないの決定ができなくなることを防ぐことができる。 In addition, as a result of searching the SAD unit 102 by the policy management unit 105, when the own node 100 becomes the communication initiator (when there is no SA corresponding to the SAD unit 102), the own node 100 is the initiator. Only when the information about the SA of the SAD unit 102 indicates that the node 100 is an initiator, the communication data processing unit 104 uses the node 100 to apply / not apply the IPsec of the communication data packet. It has a function of accepting application selection information.
In this way, it is possible to prevent the node 100 having the initiative to select whether or not to apply IPsec between the nodes 100 performing communication from being determined, so that it is not possible to determine whether or not to apply IPsec.

次に、本実施の形態における、各構成要素の処理手順を、図１〜図３を参照しつつ、図４〜図７を用いて説明する。
図４は、本実施の形態における、ノードの通信データ送信の処理手順を示した図である。
図５は、本実施の形態における、ｒｅｓｐｏｎｄｅｒ側ノードの通信データ送信の処理手順を示した図である。
図６は、本実施の形態におけるノードの通信データの受信前の処理手順を示した図である。
図７は、本実施の形態における、ノードの通信データ受信後の処理手順を示した図である。 Next, the processing procedure of each component in this Embodiment is demonstrated using FIGS. 4-7, referring FIGS. 1-3.
FIG. 4 is a diagram showing a processing procedure for transmitting communication data of a node in the present embodiment.
FIG. 5 is a diagram showing a communication data transmission processing procedure of the responder side node in the present embodiment.
FIG. 6 is a diagram showing a processing procedure before reception of communication data of a node in the present embodiment.
FIG. 7 is a diagram showing a processing procedure after receiving communication data of a node in the present embodiment.

まず、図４を用いて、ノード１００が通信データを送信する処理手順を説明する。ステップＳ３０１は、前記した基本的処理手順の図２のステップＳ１０１と同様の処理動作であるので説明を省略し、ステップＳ３０２から説明する。 First, a processing procedure in which the node 100 transmits communication data will be described with reference to FIG. Since step S301 is the same processing operation as step S101 of FIG. 2 of the basic processing procedure described above, description thereof will be omitted, and step S302 will be described.

（ステップＳ３０２）
ステップＳ３０２では、ポリシ管理部１０５は、ステップＳ３０１で生成した通信データパケットのヘッダ情報に含まれる始点ＩＰアドレス、終点ＩＰアドレス、上位層プロトコル等の情報をセレクタとして、ノード１００のＳＰＤ部１０３の出力用ＳＰＤからセキュリティポリシを検索する。 (Step S302)
In step S302, the policy management unit 105 uses the information such as the start point IP address, end point IP address, and upper layer protocol included in the header information of the communication data packet generated in step S301 as a selector to output the SPD unit 103 of the node 100. The security policy is retrieved from the SPD for use.

ここで、検索されたセキュリティポリシが、ＩＰｓｅｃの適用／非適用を選択することができる（ｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃ）であった場合、ステップＳ３０３へ進む。検索されたセキュリティポリシが通信データパケットを廃棄する（ｄｉｓｃａｒｄ）、ＩＰｓｅｃを適用しない（ｂｙｐａｓｓＩＰｓｅｃ）またはＩＰｓｅｃを適用する（ａｐｐｌｙＩＰｓｅｃ）であった場合には、ステップＳ３１１へ進み、前記した基本的構成における通信データの送信手順（基本的処理手順）と同様の処理手順を行う。 Here, if the searched security policy is to select whether to apply IPsec (dynamically apply IPsec), the process proceeds to step S303. If the retrieved security policy is to discard the communication data packet (discard), not apply IPsec (bypass IPsec), or apply IPsec (apply IPsec), the process proceeds to step S311 and the basic configuration described above The same processing procedure as the communication data transmission procedure (basic processing procedure) is performed.

（ステップＳ３０３）
ステップＳ３０３では、ポリシ管理部１０５が、ＳＡＤ部１０２の出力用ＳＡＤを参照して、当該通信データパケットについて自らのノード１００が通信主体（ｉｎｉｔｉａｔｏｒ）か通信相手（ｒｅｓｐｏｎｄｅｒ）かを確認する。 (Step S303)
In step S303, the policy management unit 105 refers to the SAD for output from the SAD unit 102, and confirms whether the node 100 of the communication data packet is a communication entity (initiator) or a communication partner (responder).

具体的には、ポリシ管理部１０５で、ＳＡＤ部１０２を検索した結果、ＳＡＤ部１０２に該当するＳＡが有り、かつそのＳＡに自己のノード１００がｒｅｓｐｏｎｄｅｒである旨が記述されていた場合（またはｉｎｉｔｉａｔｏｒである旨の記述がなかった場合）、ポリシ管理部１０５は、自らのノード１００をｒｅｓｐｏｎｄｅｒと判断する。
そして、それ以外の場合は、ポリシ管理部１０５は自らのノード１００をｉｎｉｔｉａｔｏｒと判断する。すなわち、ポリシ管理部１０５で当該通信データパケットに関するＳＡについてＳＡＤ部１０２を検索した結果、ＳＡＤ部１０２に該当するＳＡが無かった場合およびＳＡＤ部１０２に該当するＳＡが有り、かつそのＳＡに関する情報に自己のノード１００がｉｎｉｔｉａｔｏｒである旨が記述されていた場合、ポリシ管理部１０５は、自らのノード１００はｉｎｉｔｉａｔｏｒであると判断する。
つまり、ここで通信主体（ｉｎｉｔｉａｔｏｒ）と判断される場合とは、既に自己のノード１００が通信相手のノード１００との間でＳＡを確立している場合のほか、まだ自己のノード１００は通信相手となるノード１００との間でＳＡを確立していないが、このあと通信相手となるノード１００へＩＫＥを始動すればｉｎｉｔｉａｔｏｒとなる場合を含むものとする。 Specifically, when the policy management unit 105 searches the SAD unit 102, the SA corresponding to the SAD unit 102 is present, and it is described in the SA that the own node 100 is a responder (or When there is no description that the initiator is an initiator), the policy management unit 105 determines that the node 100 is a responder.
In other cases, the policy management unit 105 determines that the node 100 is an initiator. That is, when the policy management unit 105 searches the SAD unit 102 for SAs related to the communication data packet, there is no SA corresponding to the SAD unit 102, and there is an SA corresponding to the SAD unit 102, and information on the SA When it is described that the own node 100 is an initiator, the policy management unit 105 determines that the own node 100 is an initiator.
In other words, the case where the node is determined to be an initiator is the case where the own node 100 has already established an SA with the communication partner node 100, and the own node 100 is still the communication partner. It is assumed that the SA is not established with the node 100 to become the initiator, but if the IKE is started to the node 100 to be the communication partner after this, the case of becoming an initiator is included.

ここで、自らノード１００がｉｎｉｔｉａｔｏｒであった場合は、ポリシ管理部１０５は自らのノード１００がｉｎｉｔｉａｔｏｒである旨を通信データ処理部１０４へ出力し、ステップＳ３０４へ進む。自らのノード１００がｒｅｓｐｏｎｄｅｒであった場合には、後記する図５（ｒｅｓｐｏｎｄｅｒ側ノード１００の送信処理手順）のステップＳ４０１へ進む。 If the node 100 is an initiator, the policy management unit 105 outputs to the communication data processing unit 104 that the node 100 is an initiator, and proceeds to step S304. If the node 100 is a responder, the process proceeds to step S401 in FIG. 5 (transmission processing procedure of the responder side node 100) described later.

（ステップＳ３０４）
ステップＳ３０４では、ステップＳ３０３で自らのノード１００がｉｎｉｔｉａｔｏｒであることを確認した通信データ処理部１０４が、入力部１０７を介してノード１００の利用者から当該通信データパケットに対するＩＰｓｅｃの適用／非適用の選択情報を受け付ける。 (Step S304)
In step S304, the communication data processing unit 104, which has confirmed that the node 100 is an initiator in step S303, applies / non-applies IPsec to the communication data packet from the user of the node 100 via the input unit 107. Accept selection information.

例えば、ここでＩＰｓｅｃの適用／非適用の選択情報の受付は、図示しない出力部（モニタ画面等）に、利用者へＩＰｓｅｃの適用／非適用の選択を促す画面を出力するようにしてもよい。そして、利用者がＩＰｓｅｃの適用／非適用の選択情報を、入力部１０７を介して入力し、この選択情報を通信データ処理部１０４で受け付ける。ノード１００の利用者が、当該通信データパケット（送信パケット）に対してＩＰｓｅｃを適用することを選択した場合は、ステップＳ３０５へ進む。ＩＰｓｅｃを適用しないことを選択した場合は、ステップＳ３０８へ進む。 For example, in this case, the selection information for the application / non-application of IPsec may be output to a not-shown output unit (a monitor screen or the like) by a screen prompting the user to select application / non-application of IPsec. . Then, the user inputs selection information on application / non-application of IPsec via the input unit 107, and the selection information is received by the communication data processing unit 104. When the user of the node 100 selects to apply IPsec to the communication data packet (transmission packet), the process proceeds to step S305. If it is selected not to apply IPsec, the process proceeds to step S308.

（ステップＳ３０５）
ステップＳ３０５では、通信データ処理部１０４が、ステップＳ３０４で入力された選択情報（ＩＰｓｅｃ適用）と、ノード１００の通信データパケットのヘッダ情報とをポリシ管理部１０５へ出力し、通信データパケットの処理内容をポリシ管理部１０５へ問い合わせる。そして、ポリシ管理部１０５は、ステップＳ３０３で出力された選択情報（ＩＰｓｅｃ適用）と、通信データパケットのヘッダ情報を受信し、当該通信データパケットのヘッダ情報を参照して、この情報をパラメータとして、ノード１００のＳＡＤ部１０２の出力用ＳＡＤから、この通信データパケットのＳＡに関する情報を検索する。ここで、出力用ＳＡＤから、この通信データパケットのＳＡに関する情報が発見されなかった場合（Ｓ３０４の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ無し）は、ポリシ管理部１０５が、ＳＡ処理部１０６へこの通信データパケットのヘッダ情報とともに当該通信データパケットのＳＡの生成を依頼するデータを出力し、ステップＳ３０６へ進む。
出力用ＳＡＤにこの通信データパケットのＳＡに関する情報が発見された場合（Ｓ３０４の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ有り）は、ステップＳ３０７へ進む。 (Step S305)
In step S305, the communication data processing unit 104 outputs the selection information (IPsec application) input in step S304 and the header information of the communication data packet of the node 100 to the policy management unit 105, and the processing contents of the communication data packet Is inquired to the policy management unit 105. The policy management unit 105 receives the selection information (IPsec application) output in step S303 and the header information of the communication data packet, refers to the header information of the communication data packet, and uses this information as a parameter. Information regarding the SA of this communication data packet is retrieved from the output SAD of the SAD unit 102 of the node 100. Here, when the information regarding the SA of the communication data packet is not found from the output SAD (the corresponding Security Association is not found in S304), the policy management unit 105 sends the header information of the communication data packet to the SA processing unit 106. At the same time, data requesting generation of SA of the communication data packet is output, and the process proceeds to step S306.
If information related to the SA of the communication data packet is found in the output SAD (there is a corresponding Security Association in S304), the process proceeds to step S307.

（ステップＳ３０６）
ステップＳ３０６では、ＳＡ処理部１０６が、ポリシ管理部１０５から通信データパケットのＳＡの生成を依頼するデータを受信すると、このデータに含まれる通信データパケットのヘッダ情報を参照して、ＩＫＥにより当該通信データパケットについて通信相手側ノード１００とのＳＡを生成する。 (Step S306)
In step S306, when the SA processing unit 106 receives data requesting the generation of the SA of the communication data packet from the policy management unit 105, the SA processing unit 106 refers to the header information of the communication data packet included in the data and performs the communication by the IKE. An SA with the communication partner node 100 is generated for the data packet.

具体的には、ＳＡ処理部１０６がＩＫＥを始動して、ノード１００へ送信予定の通信データパケットのＳＡ確立のための各種データ（暗号化アルゴリズム、暗号化鍵）の送受信を、インターフェース部１０１を介して行う。すなわち、ノード１００とＳＡ確立のための折衝を始動する。 Specifically, the SA processing unit 106 starts IKE and transmits / receives various data (encryption algorithm, encryption key) for establishing SA of the communication data packet scheduled to be transmitted to the node 100, and the interface unit 101. Do through. That is, the negotiation for establishing the SA with the node 100 is started.

そして、ノード１００のＳＡ処理部１０６が、ノード１００と折衝後、当該通信データパケットのＳＡを確立させ、このＳＡに関する情報を生成し、この情報をＳＡＤ部１０２に記憶させ、ステップＳ３０７へ進む。 Then, after negotiating with the node 100, the SA processing unit 106 of the node 100 establishes the SA of the communication data packet, generates information related to the SA, stores the information in the SAD unit 102, and proceeds to step S307.

（ステップＳ３０７）
ステップＳ３０７では、ポリシ管理部１０５が、ＳＰＤ部１０３の出力用ＳＰＤに記憶された当該通信データパケットのセキュリティポリシと、ＳＡＤ部１０２に記憶された当該通信データパケットのＳＡに関する情報に基づき、この通信データパケットの処理内容（暗号化アルゴリズム等）を決定する。そして、この処理内容を通信データ処理部１０４へ出力する。通信データ処理部１０４は、この処理内容に基づきＩＰｓｅｃを適用した通信データパケットを、インターフェース部１０１を介して通信相手のノード１００へ送信する。 (Step S307)
In step S307, the policy management unit 105 performs this communication based on the security policy of the communication data packet stored in the output SPD of the SPD unit 103 and the information on the SA of the communication data packet stored in the SAD unit 102. The processing contents (encryption algorithm etc.) of the data packet are determined. Then, this processing content is output to the communication data processing unit 104. The communication data processing unit 104 transmits a communication data packet to which IPsec is applied based on the processing content to the communication partner node 100 via the interface unit 101.

ノード１００が、このような処理手順を実行することで、通信データパケットがＩＰｓｅｃの適用／非適用を利用者が選択可能なｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃであり、この通信データパケットについてｉｎｉｔｉａｔｏｒであるノード１００の利用者がＩＰｓｅｃを適用することを選択した場合には、通信相手のノード１００へＩＰｓｅｃを適用した通信データパケットを送信することができる。 When the node 100 executes such a processing procedure, the communication data packet is dynamically applicable IPsec that allows the user to select application / non-application of IPsec, and use of the node 100 that is an initiator for the communication data packet When the person chooses to apply IPsec, a communication data packet to which IPsec is applied can be transmitted to the node 100 of the communication partner.

（ステップＳ３０８）
ノード１００の利用者が、当該通信データパケットにＩＰｓｅｃを適用しないことを選択したステップＳ３０７では、ステップＳ３０３で出力された選択情報（ＩＰｓｅｃを適用しない）と、通信データパケットのヘッダ情報を受信する。そして、ステップＳ３０４と同様に、当該通信データパケットのヘッダ情報を参照して、この情報をパラメータとして、ノード１００のＳＡＤ部１０２の出力用ＳＡＤから、この通信データパケットのＳＡに関する情報を検索する。 (Step S308)
In step S307 in which the user of the node 100 has selected not to apply IPsec to the communication data packet, the selection information output in step S303 (does not apply IPsec) and the header information of the communication data packet are received. Then, similarly to step S304, the header information of the communication data packet is referred to, and the information on the SA of the communication data packet is searched from the output SAD of the SAD unit 102 of the node 100 using this information as a parameter.

ここで、出力用ＳＡＤにこの通信データパケットのＳＡに関する情報が発見された場合（Ｓ３０７の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ有り）は、ＳＡ処理部１０６へ、この通信データパケットのヘッダ情報とともに当該通信データパケットのＳＡの撤回（削除）を依頼するデータを出力し、ステップＳ３０９へ進む。 If information related to the SA of this communication data packet is found in the output SAD (there is a corresponding Security Association in S307), the SA processing unit 106 is notified of the SA of the communication data packet along with the header information of this communication data packet. Data for requesting withdrawal (deletion) is output, and the process proceeds to step S309.

出力用ＳＡＤから、この通信データパケットのＳＡに関する情報が発見されなかった場合（Ｓ３０７の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ無し）は、ポリシ管理部１０５は、当該通信データパケットの処理内容（ＩＰｓｅｃを適用せず送信）を決定し、この処理内容を通信データ処理部１０４へ出力し、ステップＳ３１０へ進む。 If no information related to the SA of this communication data packet is found from the output SAD (no relevant Association in S307), the policy management unit 105 processes the communication data packet (transmits without applying IPsec). Is output to the communication data processing unit 104, and the process proceeds to step S310.

（ステップＳ３０９）
ステップＳ３０９では、ＳＡ処理部１０６が、ポリシ管理部１０５から通信データパケットのＳＡの撤回（削除）を依頼するデータを受信すると、このデータに含まれる通信データパケットのヘッダ情報を参照して、ＩＫＥにより当該通信データパケットについて相手側ノード１００との間で確立されたＳＡを撤回（削除）する。 (Step S309)
In step S309, when the SA processing unit 106 receives data requesting withdrawal (deletion) of the SA of the communication data packet from the policy management unit 105, the SA processing unit 106 refers to the header information of the communication data packet included in this data, and determines the IKE. Thus, the SA established with the counterpart node 100 for the communication data packet is withdrawn (deleted).

具体的には、ＳＡ処理部１０６がＩＫＥを始動して、通信相手のノード１００と通信データパケットのＳＡ撤回（削除）のための各種データ（ＳＰＩ値等）の送受信を、インターフェース部１０１を介して行う。すなわち、通信相手のノード１００とＳＡ撤回（削除）のための折衝を始動する。 Specifically, the SA processing unit 106 starts IKE and transmits / receives various data (SPI value, etc.) for SA withdrawal (deletion) of communication data packets to / from the communication partner node 100 via the interface unit 101. Do it. That is, negotiation with the communication partner node 100 for SA withdrawal (deletion) is started.

そして、ノード１００のＳＡ処理部１０６が、ノード１００間のＳＡを削除（撤回）する通知を行う。そして、ＳＡ処理部１０６は、自己のノード１００のＳＰＤ部１０３から、このＳＡに関する情報を削除する。 Then, the SA processing unit 106 of the node 100 performs a notification of deleting (withdrawing) the SA between the nodes 100. Then, the SA processing unit 106 deletes information related to the SA from the SPD unit 103 of its own node 100.

（ステップＳ３１０）
ステップＳ３１０では、ポリシ管理部１０５が、再度当該通信データパケットのＳＡに関する情報をＳＡＤ部１０２から検索し、この検索結果（該当するＳＡ無し）に基づき当該通信データパケットの処理内容（ＩＰｓｅｃを適用せず送信）を決定する。そして、この処理内容を通信データ処理部１０４へ出力する。通信データ処理部１０４は、ポリシ管理部１０５から処理内容を受信すると、これに基づき当該通信データパケットにＩＰｓｅｃを適用せず送信する。
ノード１００が、このような処理手順を実行することで、通信データパケットがＩＰｓｅｃの適用／非適用を利用者が選択可能なｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃであり、この通信データパケットについてｉｎｉｔｉａｔｏｒであるノード１００の利用者がＩＰｓｅｃを適用しないことを選択した場合には、通信相手のノード１００へＩＰｓｅｃを適用しないで通信データパケットを送信することができる。 (Step S310)
In step S310, the policy management unit 105 searches the information regarding the SA of the communication data packet again from the SAD unit 102, and applies the processing content (IPsec) of the communication data packet based on the search result (no corresponding SA). Send). Then, this processing content is output to the communication data processing unit 104. Upon receiving the processing content from the policy management unit 105, the communication data processing unit 104 transmits the communication data packet without applying IPsec based on the received processing content.
When the node 100 executes such a processing procedure, the communication data packet is dynamically applicable IPsec that allows the user to select application / non-application of IPsec, and use of the node 100 that is an initiator for the communication data packet When the person chooses not to apply IPsec, the communication data packet can be transmitted to the communication partner node 100 without applying IPsec.

次に、図１〜図３を参照しつつ、図５を用いて、ｒｅｓｐｏｎｄｅｒ側ノード１００が通信データパケットを送信する手順について説明する。 Next, a procedure for the responder side node 100 to transmit a communication data packet will be described with reference to FIGS. 1 to 3 and FIG.

（ステップＳ４０１）
ステップＳ４０１では、ステップＳ３０１で受信した通信データパケットのヘッダ情報を参照して、この情報をパラメータとして、ノード１００のＳＡＤ部１０２の出力用ＳＡＤから、この通信データパケットのＳＡに関する情報を検索する。ここで、出力用ＳＡＤからこの通信データパケットのＳＡに関する情報が発見された場合（Ｓ４０１の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ有り）は、ステップＳ４０２へ進む。出力用ＳＡＤから、この通信データパケットのＳＡに関する情報が発見されなかった場合（Ｓ４０１の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ無し）は、ステップＳ４０３へ進む。 (Step S401)
In step S401, referring to the header information of the communication data packet received in step S301, using this information as a parameter, information related to the SA of the communication data packet is searched from the output SAD of the SAD unit 102 of the node 100. If information related to the SA of this communication data packet is found from the output SAD (the corresponding Security Association in S401 is present), the process proceeds to step S402. If no information regarding the SA of the communication data packet is found from the output SAD (no corresponding Security Association in S401), the process proceeds to step S403.

（ステップＳ４０２）
ステップＳ４０２では、ポリシ管理部１０５が、図４のステップＳ３０７と同様の手順によりＩＰｓｅｃを適用した通信データパケットを、インターフェース部１０１を介して通信相手のノード１００へ送信する。 (Step S402)
In step S402, the policy management unit 105 transmits a communication data packet to which IPsec is applied to the communication partner node 100 via the interface unit 101 in the same procedure as in step S307 of FIG.

（ステップＳ４０３）
ステップＳ４０３では、ポリシ管理部１０５が、図４のステップＳ３１０と同様の手順によりＩＰｓｅｃを適用せず通信データパケットを、インターフェース部１０１を介して通信相手のノード１００へ送信する。 (Step S403)
In step S403, the policy management unit 105 transmits a communication data packet to the communication partner node 100 via the interface unit 101 without applying IPsec in the same procedure as in step S310 of FIG.

次に、図６、図７を用いて、ノード１００が通信データを受信するまでの処理手順について説明する。まず、図１〜図３を参照しつつ、図６を用いて、ノード１００が通信データを受信する前の処理手順について説明する。 Next, a processing procedure until the node 100 receives communication data will be described with reference to FIGS. First, a processing procedure before the node 100 receives communication data will be described with reference to FIGS. 1 to 3 and FIG.

（ステップＳ５０１）
ステップＳ５０１では、ノード１００の利用者が、受信予定の通信データパケットに関する情報（例えば、始点ＩＰアドレス、終点ＩＰｓｅｃや上位層プロトコル等）をノード１００の入力部１０７を介して通信データ処理部１０４へ入力する。そして、通信データ処理部１０４は、この通信データパケットの処理内容をポリシ管理部１０５へ問い合わせる。具体的には、通信データ処理部１０４へ入力された情報をノード１００の通信データパケットの処理内容をポリシ管理部１０５へ出力する。 (Step S501)
In step S501, the user of the node 100 sends information (for example, the start point IP address, the end point IPsec, the upper layer protocol, etc.) regarding the communication data packet to be received to the communication data processing unit 104 via the input unit 107 of the node 100. input. Then, the communication data processing unit 104 inquires of the policy management unit 105 about the processing content of the communication data packet. Specifically, the information input to the communication data processing unit 104 is output to the policy management unit 105 as the processing content of the communication data packet of the node 100.

（ステップＳ５０２）
ステップＳ５０２では、ステップＳ５０１で通信データ処理部１０４へ入力された通信データパケットに関する情報をセレクタとして、ノード１００のＳＰＤ部１０３の出力用ＳＰＤからセキュリティポリシを検索する。検索されたセキュリティポリシが、ｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃであった場合には、ステップＳ５０３へ進む。検索されたセキュリティポリシがａｐｐｌｙＩＰｓｅｃ、ｄｉｓｃａｒｄまたはｂｙｐａｓｓＩＰｓｅｃであった場合には、ステップＳ５１１へ進み、図３に示した基本的処理手順（受信）と同様の処理を行う。 (Step S502)
In step S502, a security policy is searched from the output SPD of the SPD unit 103 of the node 100 using the information related to the communication data packet input to the communication data processing unit 104 in step S501 as a selector. If the retrieved security policy is dynamically apply IPsec, the process proceeds to step S503. If the retrieved security policy is apply IPsec, discard, or bypass IPsec, the process proceeds to step S511, and processing similar to the basic processing procedure (reception) shown in FIG. 3 is performed.

（ステップＳ５０３）
ステップＳ５０３では、ポリシ管理部１０５が、図４のステップＳ３０３と同様の処理手順により、自らのノード１００がｉｎｉｔｉａｔｏｒかｒｅｓｐｏｎｄｅｒかを確認する。
ここで、自らノード１００がｉｎｉｔｉａｔｏｒであった場合には、ポリシ管理部１０５は自らのノード１００がｉｎｉｔｉａｔｏｒである旨を通信データ処理部１０４へ出力し、ステップＳ５０４へ進む。自らのノード１００がｒｅｓｐｏｎｄｅｒであった場合には、後記する図７（通信データ受信後の処理手順）のステップＳ６０１へ進む。 (Step S503)
In step S503, the policy management unit 105 checks whether its own node 100 is an initiator or a responder by the same processing procedure as in step S303 in FIG.
If the node 100 is an initiator, the policy management unit 105 outputs to the communication data processing unit 104 that the node 100 is an initiator, and proceeds to step S504. If the node 100 is a responder, the process proceeds to step S601 in FIG. 7 (processing procedure after receiving communication data) described later.

ステップＳ５０４からステップＳ５０５は、図４のステップＳ３０４からステップＳ３０５の処理手順と同様であるので説明を省略し、ノード１００の利用者が受信予定の通信データパケットにＩＰｓｅｃを適用することを選択したが、ＳＡＤ部１０２に該当するＳＡが無かった場合であるステップＳ５０６から説明する。 Steps S504 to S505 are the same as the processing steps from step S304 to step S305 in FIG. 4 and thus will not be described. The user of the node 100 has selected to apply IPsec to the communication data packet scheduled to be received. A description will be given from step S506, which is a case where there is no SA corresponding to the SAD unit 102.

（ステップＳ５０６）
ステップＳ５０６では、図４のステップＳ３０６と同様に、ＩＫＥによるＳＡの生成を行う。具体的には、ノード１００のＳＡ処理部１０６がＩＫＥを始動してｉｎｉｔｉａｔｏｒとなり、ｒｅｓｐｏｎｄｅｒである送信側ノード１００との間でＳＡを確立する。 (Step S506)
In step S506, as in step S306 in FIG. 4, SA generation by IKE is performed. Specifically, the SA processing unit 106 of the node 100 starts IKE and becomes an initiator, and establishes SA with the transmitting side node 100 which is a responder.

（ステップＳ５０７）
ステップＳ５０７では、インターフェース部１０１を介してｒｅｓｐｏｎｄｅｒである送信側ノード１００からＩＰｓｅｃが適用された通信データパケットを受信する。 (Step S507)
In step S507, a communication data packet to which IPsec is applied is received from the sender node 100 as a responder via the interface unit 101.

ステップＳ５０８は、図４のステップＳ３０８と同様であるので、説明を省略し、利用者が受信予定の通信データパケットにＩＰｓｅｃを適用しないことを選択したが、ＳＡＤ部１０２に、該当するＳＡが有った場合であるステップＳ５０９から説明する。 Since step S508 is the same as step S308 in FIG. 4, the description is omitted and the user has selected not to apply IPsec to the communication data packet scheduled to be received. However, the SAD unit 102 has the corresponding SA. A description will be given starting from step S509.

（ステップＳ５０９）
ステップＳ５０９では、図４のステップＳ３０９の処理手順と同様に、ＩＫＥによりＳＡの削除を行う。具体的には、ｉｎｉｔｉａｔｏｒ側のノード１００のＳＡ処理部１０６がＩＫＥを始動して、送信側（ｒｅｓｐｏｎｄｅｒ側）のノード１００からｉｎｉｔｉａｔｏｒ側のノード１００へＩＰｓｅｃが適用されていない通信データパケットを送信するよう、送信側ｒｅｓｐｏｎｄｅｒ側のノード１００との間で確立されたＳＡを撤回する。 (Step S509)
In step S509, the SA is deleted by IKE, as in the processing procedure of step S309 in FIG. Specifically, the SA processing unit 106 of the initiator side node 100 starts IKE and transmits a communication data packet to which the IPsec is not applied from the transmission side (responder side) node 100 to the initiator side node 100. As described above, the SA established with the node 100 on the transmission side responder is withdrawn.

（ステップＳ５１０）
ステップＳ５１０では、インターフェース部１０１を介して送信側（ｒｅｓｐｏｎｄｅｒ側）のノード１００からＩＰｓｅｃが適用されていない通信データパケットを受信する。 (Step S510)
In step S510, a communication data packet to which IPsec is not applied is received from the node 100 on the transmission side (responder side) via the interface unit 101.

次に、図７を用いて、ノード１００が通信データを受信した後の処理手順について説明する。 Next, a processing procedure after the node 100 receives communication data will be described with reference to FIG.

（ステップＳ６０１）
ノード１００のインターフェース部１０１を介して、送信側ノード１００から通信データパケットを受信する。 (Step S601)
A communication data packet is received from the transmission side node 100 via the interface unit 101 of the node 100.

ステップＳ６０２とステップＳ６０３の処理手順は、それぞれ図３のステップＳ２０２とステップＳ２０３の処理手順と同様であり、ステップＳ６０４の処理手順は、図３のステップＳ２０４の処理手順と同様であり、ステップＳ６０７の処理手順は図３のステップＳ２０６の処理手順と同様であるので説明を省略し、ノード１００の利用者が受信した通信データパケットにＩＰｓｅｃが適用されており、この通信データパケットをＳＡＤ部１０２から検索されたＳＡに基づき、入力処理（復号化・認証処理）を行ったあとの処理手順であるステップＳ６０５から説明する。 The processing procedures of step S602 and step S603 are the same as the processing procedures of step S202 and step S203 of FIG. 3, respectively. The processing procedure of step S604 is the same as the processing procedure of step S204 of FIG. Since the processing procedure is the same as the processing procedure of step S206 in FIG. 3, the description thereof is omitted, and IPsec is applied to the communication data packet received by the user of the node 100, and this communication data packet is retrieved from the SAD unit 102. A description will be given from step S605, which is a processing procedure after input processing (decryption / authentication processing) is performed based on the SA.

（ステップＳ６０５）
ステップＳ６０５では、ポリシ管理部１０５が、ステップＳ６０４で通信データ処理部１０４から出力された通信データパケットのヘッダ情報をセレクタとして、ＳＰＤ部１０３の入力用ＳＰＤから当該通信データパケットのセキュリティポリシを検索する。そして、この検索されたセキュリティポリシに基づき当該通信データパケットの処理内容を決定し、この処理内容を通信データ処理部１０４へ出力する。ここで、ＳＰＤ部１０３から検索されたセキュリティポリシが、ｄｉｓｃａｒｄ、ｂｙｐａｓｓＩＰｓｅｃまたはａｐｐｌｙＩＰｓｅｃであった場合は、ステップＳ６０６へ進む。検索されたセキュリティポリシが、ｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃであった場合は、ステップＳ６１０へ進む。 (Step S605)
In step S605, the policy management unit 105 searches for the security policy of the communication data packet from the input SPD of the SPD unit 103 using the header information of the communication data packet output from the communication data processing unit 104 in step S604 as a selector. . Then, the processing content of the communication data packet is determined based on the retrieved security policy, and the processing content is output to the communication data processing unit 104. If the security policy retrieved from the SPD unit 103 is “discard”, “bypass IPsec”, or “apply IPsec”, the process proceeds to step S606. If the retrieved security policy is dynamically apply IPsec, the process proceeds to step S610.

（ステップＳ６０６）
ステップＳ６０６では、ポリシ管理部１０５が、図３の基本的処理手順と同じ処理を行う。具体的には、図３のステップＳ２０５以降の処理手順と同様の処理手順（ＳＰＤ部１０３から検索されたセキュリティポリシに応じた処理）を実行する。 (Step S606)
In step S606, the policy management unit 105 performs the same processing as the basic processing procedure of FIG. Specifically, the same processing procedure (processing according to the security policy retrieved from the SPD unit 103) as the processing procedure after step S205 in FIG. 3 is executed.

（ステップＳ６０８）
通信データパケットにＩＰｓｅｃが適用されていなかったステップＳ６０８では、ポリシ管理部１０５が、ステップＳ６０４で通信データ処理部１０４から出力された通信データパケットのヘッダ情報をセレクタとして、ＳＰＤ部１０３の入力用ＳＰＤから当該通信データパケットのセキュリティポリシを検索する。ここで、検索されたセキュリティポリシが、ｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃであった場合は、ステップＳ６０９へ進む。
検索されたセキュリティポリシがｄｉｓｃａｒｄ、ｂｙｐａｓｓＩＰｓｅｃまたはａｐｐｌｙＩＰｓｅｃであった場合は、ステップＳ６１２へ進む。
ステップＳ６１２では、ポリシ管理部１０５が、図３の基本的処理手順と同じ処理を行う。具体的には、図３のステップＳ２０７以降の処理手順と同様の処理手順（ＳＰＤ部１０３から検索されたセキュリティポリシに応じた処理）を実行する。 (Step S608)
In step S608 in which IPsec is not applied to the communication data packet, the policy management unit 105 uses the header information of the communication data packet output from the communication data processing unit 104 in step S604 as a selector, and the SPD for input of the SPD unit 103. To retrieve the security policy of the communication data packet. If the retrieved security policy is dynamically apply IPsec, the process proceeds to step S609.
If the retrieved security policy is “discard”, “bypass IPsec”, or “apply IPsec”, the process proceeds to step S612.
In step S612, the policy management unit 105 performs the same processing as the basic processing procedure of FIG. Specifically, the same processing procedure (processing according to the security policy retrieved from the SPD unit 103) as the processing procedure after step S207 in FIG. 3 is executed.

（ステップＳ６０９）
ステップＳ６０９では、ポリシ管理部１０５がステップＳ６０１で受信した通信データパケットのヘッダ情報をパラメータとして、ノード１００のＳＡＤ部１０２の入力用ＳＡＤから当該通信データパケットのＳＡを検索する。検索した結果、当該通信データパケットのＳＡを発見できなかった場合（Ｓ６０９の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ無し）、ステップＳ６１０へ進む。ポリシ管理部１０５が当該通信データパケットのＳＡを発見した場合（Ｓ６０９の該当ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ有り）、この通信データパケットのＳＡを通信データ処理部１０４へ出力し、ステップＳ６１１へ進む。 (Step S609)
In step S609, the policy management unit 105 searches the SA of the communication data packet from the input SAD of the SAD unit 102 of the node 100 using the header information of the communication data packet received in step S601 as a parameter. If the SA of the communication data packet cannot be found as a result of the search (no corresponding Security Association in S609), the process proceeds to step S610. When the policy management unit 105 finds the SA of the communication data packet (the corresponding Security Association in S609), the SA of the communication data packet is output to the communication data processing unit 104, and the process proceeds to step S611.

ステップＳ６１０は図３のステップＳ２０８と同様に通信データパケットの受信を完了するステップＳ６１１は、図３のステップＳ２０９と同様に通信データパケットの廃棄を行う。 In step S610, the reception of the communication data packet is completed in the same manner as in step S208 in FIG. 3, and in step S611, the communication data packet is discarded as in step S209 in FIG.

ノード１００が以上のような処理手順を実行することで、ｉｎｉｔｉａｔｏｒ側のノード１００は、ｄｙｎａｍｉｃａｌｌｙａｐｐｌｙＩＰｓｅｃというセキュリティポリシの通信において、ｉｎｉｔｉａｔｏｒ側のノード１００の利用者がＩＰｓｅｃを適用することを選択すると、ｒｅｓｐｏｎｄｅｒである送信側のノード１００から、ＩＰｓｅｃが適用された通信データパケットを受信することができる。また、ｉｎｉｔｉａｔｏｒ側のノード１００の利用者がＩＰｓｅｃを適用しないことを選択すると、ｒｅｓｐｏｎｄｅｒである送信側のノード１００から、ＩＰｓｅｃが適用されていない通信データパケットを受信することができる。 When the node 100 executes the processing procedure as described above, the node 100 on the initiator side selects that the user of the node 100 on the initiator side applies IPsec in communication with a security policy of dynamically apply IPsec. A communication data packet to which IPsec is applied can be received from the node 100 on the transmission side which is a responder. If the user of the initiator side node 100 selects not to apply IPsec, a communication data packet to which IPsec is not applied can be received from the transmitting side node 100 as a responder.

したがって、以上のような構成および処理手順によれば利用者（ｉｎｉｔｉａｔｏｒ側ノードの利用者）は、通信データパケットへのＩＰｓｅｃの適用／非適用のセキュリティポリシを動的に変更することができる。 Therefore, according to the configuration and processing procedure as described above, the user (user of the initiator node) can dynamically change the security policy for application / non-application of IPsec to the communication data packet.

このように利用者が通信データパケットへのＩＰｓｅｃの適用／非適用のセキュリティポリシを動的に変更することができれば、例えば、情報端末（パーソナルコンピュータ）等でインターネット接続する際にＩＰｓｅｃが必要な場合にのみＩＰｓｅｃを適用することで必要十分なセキュリティを確保しつつ、通信データパケットに付加するＩＰｓｅｃヘッダの数を抑えることによるデータ転送の効率化等を図ることができる。特に、移動端末等で、移動先により様々な通信形態や通信環境となる場合にも、必要十分なセキュリティを確保しつつ、データの効率化や、通信遅延時間の削減が可能となるので、移動端末の利用者にとって便利である。 If the user can dynamically change the security policy for applying / not applying IPsec to the communication data packet in this way, for example, when IPsec is required when connecting to the Internet with an information terminal (personal computer) or the like. By applying IPsec only to the network, it is possible to increase the efficiency of data transfer by suppressing the number of IPsec headers added to the communication data packet while ensuring the necessary and sufficient security. In particular, even when a mobile terminal or the like has various communication forms and communication environments depending on the destination, it is possible to improve data efficiency and reduce communication delay time while ensuring necessary and sufficient security. Convenient for terminal users.

ここで、前記したノード１００の構成および処理手段を、ＭｏｂｉｌｅＩＰｖ６通信における移動端末（ＭＮ）と所定のノード（ＣＮ）に適用した場合の実施の形態を、図８を用いて説明する。 Here, an embodiment in which the configuration and processing means of the node 100 described above are applied to a mobile terminal (MN) and a predetermined node (CN) in Mobile IPv6 communication will be described with reference to FIG.

ＭｏｂｉｌｅＩＰｖ６とは、ＩＰｖ６（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＶｅｒｓｉｏｎ６）のアドレスの自動生成の機能を利用し、移動端末（ＭＮ）が予めホームエージェント（ＨｏｍｅＡｇｅｎｔ：ＨＡ）から自分のネットワーク（ホームネットワーク）におけるＩＰアドレス（ホームアドレスＨｏｍｅＡｄｄｒｅｓｓ：ＨｏＡ）を受信しておき、これを様々なネットワークに移動した際にも自己のアドレスとして使う通信方法である。 Mobile IPv6 is a function that automatically generates an IPv6 (Internet Protocol Version 6) address, and a mobile terminal (MN) is previously assigned an IP address (home network) from its home agent (Home Agent) to its own network (home network). This is a communication method in which an address (HomeAddress: HoA) is received and used as its own address even when it is moved to various networks.

すなわち、移動端末（ＭＮ）は移動先で新たなＩＰアドレス（気付けアドレスＣａｒｅｏｆＡｄｄｒｅｓｓ：ＣｏＡ）を取得するが、ＨＡや、ＨＡと似た働きをするモビリティアンカーポイント（ＭｏｂｉｌｉｔｙＡｎｃｈｏｒＰｏｉｎｔ）等がＨｏＡとＣｏＡとの対応情報を持つことにより、ＭＮは移動先でも同一のアドレスで通信を続けられる方法である。 That is, the mobile terminal (MN) obtains a new IP address (care-of address: CoA) at the destination, but the HA, a mobility anchor point (Mobility Anchor Point) that works similar to HA, and the like are HoA. By having correspondence information between and CoA, the MN can continue communication with the same address even at the destination.

図８は、移動端末（ＭＮ）が同一の通信相手（ＣＮ）とＭｏｂｉｌｅＩＰｖ６により通信を行う際の様々な通信形態を示した図である。 FIG. 8 is a diagram showing various communication modes when a mobile terminal (MN) communicates with the same communication partner (CN) using Mobile IPv6.

図８の通信形態＜１＞は、移動端末（ＭＮ）が、移動先のネットワークでのアドレスであるＭＮの気付けアドレス（ＣｏＡ）をホームエージェント（ＨＡ）に登録したした後で、ＭＮとＣＮとがＭＮのＣｏＡを管理するＨＡを経由して通信を行う場合のネットワークの構成図である。
図８の通信形態＜２＞は、ＭＮが、自分のＣｏＡをＨＡに登録した後で、さらにＭＮがＣＮとの間の通信経路を最適化（ＭＮがＣＮとＨＡを経由しないで通信する）するＲｅｔｕｒｎＲｏｕｔａｂｉｌｉｔｙＰｒｏｃｅｄｕｒｅを実施して、ＭＮとＣＮとがＨＡを経由しないで直接通信する場合のネットワーク構成図である。
図８の通信形態＜３＞は、ＭＮが、自分のＬＣｏＡをＭＡＰに登録し、さらに現在ＭＮが存在しているネットワーク（ＭＡＰドメイン）の位置情報（ＲｅｇｉｏｎａｌＣａｒｅｏｆＡｄｄｒｅｓｓ：ＲＣｏＡ）をＨＡに登録した後で、ＭＮとＣＮがＭＮの実際の位置（ＬｏｃａｌＣａｒｅｏｆＡｄｄｒｅｓｓ：ＬＣｏＡ）を管理するＭＡＰと、ＭＮが存在しているネットワーク（ＭＡＰドメイン）の位置を管理するＨＡを経由して通信する場合のネットワーク構成図である。
図８の通信形態＜４＞は、ＭＮが、自分の位置（ＬＣｏＡ）をＭＡＰに登録し、ＭＮが、自分が存在しているネットワーク（ＭＡＰドメイン）の位置（ＲＣｏＡ）をＨＡに登録した後で、さらにＭＮがＣＮとの間の通信経路を最適化する（ＭＮがＣＮとの間でＨＡを経由しないで通信する）ために、ＭＮとＣＮとの間で、ＲｅｔｕｒｎＲｏｕｔａｂｉｌｉｔｙＰｒｏｃｅｄｕｒｅを実施し、ＭＮとＣＮがＨＡを経由しないで直接通信する場合のネットワーク構成図である。 In the communication mode <1> in FIG. 8, the mobile terminal (MN) registers the care-of address (CoA) of the MN, which is an address in the destination network, with the home agent (HA). FIG. 3 is a configuration diagram of a network when performing communication via an HA that manages a CoA of an MN.
In the communication mode <2> in FIG. 8, after the MN registers its own CoA in the HA, the MN further optimizes the communication path between the CN (the MN communicates with the CN without going through the HA). FIG. 3 is a network configuration diagram in a case where a Return Routability Procedure is performed and a MN and a CN communicate directly without going through an HA.
In the communication mode <3> in FIG. 8, the MN registers its own LCoA in the MAP, and further registers the location information (Regional Care of Address: RCoA) of the network (MAP domain) in which the MN currently exists in the HA. After that, the MN and the CN communicate via the MAP that manages the actual location of the MN (Local Care of Address: LCoA) and the HA that manages the location of the network (MAP domain) where the MN exists. It is a network block diagram in the case.
In the communication mode <4> in FIG. 8, the MN registers its location (LCoA) with the MAP, and the MN registers the location (RCCoA) of the network (MAP domain) in which the MN exists with the HA. Then, in order to further optimize the communication path between the MN and the CN (the MN communicates with the CN without going through the HA), the Return Routeability Procedure is performed between the MN and the CN. It is a network block diagram in case MN and CN communicate directly without going through HA.

以上のような通信形態＜１＞〜＜４＞において、図８に示す通信区間（１）〜（３）の通信環境（セキュリティが確保されているかどうか）に応じて、ＭＮ３００とＣＮ４００との間で交換する通信データパケットに対して必要とされるセキュリティ（ＩＰｓｅｃ適用の必要／不要）を表７に示す。 In the communication modes <1> to <4> as described above, between the MN 300 and the CN 400 according to the communication environment (whether security is ensured) in the communication sections (1) to (3) shown in FIG. Table 7 shows the security (necessity / unnecessity of IPsec application) required for the communication data packets exchanged by.

ＭｏｂｉｌｅＩＰｖ６による通信においては、表７に示すように、ＭＮ３００が同一のノードＣＮ４００と通信する場合でも、通信経路上の各区間ＣＮ−ＭＮ、ＨＡ−ＭＮ、ＭＡＰ−ＭＮにおけるＩＰｓｅｃ適用の必要性が変化するが、従来の技術では、表７に示す特定の通信形態／通信環境を想定して、ＣＮ−ＭＮ間、ＨＡ−ＭＮ間、ＭＡＰ−ＭＮ間のＩＰｓｅｃ適用／非適用を事前に決めて固定するか、表７に示すすべての通信形態／通信環境においてもセキュリティを確保するために、既にセキュリティが確保されている／されていないにかかわらず常にＣＮ−ＭＮ間、ＨＡ−ＭＮ間、ＭＡＰ−ＭＮ間にＩＰｓｅｃを適用するといった運用しか行えない。
しかし、各ノード（ＭＮ３００、ＣＮ４００、ＨＡ５００、ＭＡＰ６００）間の通信において本実施の形態の構成を適用し、処理手順を実行することにより、例えば、表７の通信形態＜３＞において、通信環境がＣの場合には、通信主体（ｉｎｉｔｉａｔｏｒ側ノード）であるＭＮ３００が、ＣＮ−ＭＮ間はＩＰｓｅｃを適用しない、ＨＡ一ＭＮ間はＩＰｓｅｃを適用する、ＭＡＰ−ＭＮ間はＩＰｓｅｃを適用しないというセキュリティポリシを選択し、必要な通信区間にのみＩＰｓｅｃを適用することで、必要十分なセキュリティレベルを確保しつつ、通信データパケットに付加するＩＰｓｅｃヘッダの数を必要最低限に抑えるのでデータ転送を効率的に行い、またＭＮ、ＣＮ、ＨＡ、ＭＡＰにおける暗号化／復号化処理回数を必要最低限に抑えるので、通信遅延時間の削減することができる。 In communication using Mobile IPv6, as shown in Table 7, even when the MN 300 communicates with the same node CN 400, it is necessary to apply IPsec in each section CN-MN, HA-MN, and MAP-MN on the communication path. Although it changes, in the conventional technology, IPsec application / non-application between CN and MN, between HA and MN, and between MAP and MN is determined in advance assuming a specific communication form / communication environment shown in Table 7. In order to ensure security even in all communication modes / communication environments shown in Table 7, it is always between CN-MN, between HA-MN, MAP, regardless of whether security is already secured or not. -Only operations such as applying IPsec between MNs can be performed.
However, by applying the configuration of the present embodiment in the communication between the nodes (MN300, CN400, HA500, MAP600) and executing the processing procedure, for example, in the communication mode <3> in Table 7, the communication environment is In the case of C, the MN 300 that is a communication subject (initiator side node) does not apply IPsec between CN and MN, applies IPsec between one HA and one MN, and does not apply IPsec between MAP and MN. By selecting IPsec and applying IPsec only to the necessary communication section, while ensuring the necessary and sufficient security level, the number of IPsec headers added to the communication data packet is minimized, so that data transfer is efficiently performed. And the minimum number of encryption / decryption processes in MN, CN, HA, and MAP Since suppress, it is possible to reduce the communication delay time.

以上本発明の好適な実施の形態を示したが、この実施の形態に限定されず発明の趣旨を変更しない範囲で広く応用可能である。また、本発明の実施の形態に係るノード１００は、コンピュータ及びプログラムによって実現することができ、そのプログラムをコンピュータによる読み取り可能な記録媒体に記録することでその記録媒体によって提供することが可能である。また、そのプログラムを、ネットワークを通して提供することも可能である。 Although a preferred embodiment of the present invention has been described above, the present invention is not limited to this embodiment and can be widely applied without departing from the spirit of the invention. The node 100 according to the embodiment of the present invention can be realized by a computer and a program, and can be provided by recording the program on a computer-readable recording medium. . It is also possible to provide the program through a network.

本発明の実施の形態におけるノードの構成を示す図である。It is a figure which shows the structure of the node in embodiment of this invention. 図１のノードの処理手順を示すフローチャート図である。It is a flowchart figure which shows the process sequence of the node of FIG. 図１の受信側ノードの処理手順を示すフローチャート図である。It is a flowchart figure which shows the process sequence of the receiving side node of FIG. 本発明の実施の形態におけるノードの通信データ送信の処理手順を示した図である。It is the figure which showed the processing procedure of the communication data transmission of the node in embodiment of this invention. 本実施の形態におけるｒｅｓｐｏｎｄｅｒ側ノードの通信データ送信の処理手順を示した図である。It is the figure which showed the processing procedure of the communication data transmission of the responder side node in this Embodiment. 本実施の形態におけるノードの通信データの受信前の処理手順を示した図である。It is the figure which showed the process sequence before reception of the communication data of the node in this Embodiment. 本実施の形態におけるノードの通信データの受信後の処理手順を示した図である。It is the figure which showed the process sequence after reception of the communication data of the node in this Embodiment. 移動端末（ＭＮ）が同一の通信相手（ＣＮ）とＭｏｂｉｌｅＩＰｖ６により通信を行う際の様々な通信形態を示した図である。It is the figure which showed the various communication modes at the time of a mobile terminal (MN) communicating with the same communication partner (CN) by Mobile IPv6.

Explanation of symbols

２ネットワーク
１００（１００Ａ、１００Ｂ）ノード（ネットワーク接続機器）
１０１インターフェース部
１０２ＳＡＤ（セキュリティアソシエーションデータベース）部
１０３ＳＰＤ（セキュリティポリシデータベース）部
１０４通信データ処理部
１０５ポリシ管理部
１０６ＳＡ（セキュリティアソシエーション）処理部
１０７入力部 2 Network 100 (100A, 100B) Node (network connection equipment)
DESCRIPTION OF SYMBOLS 101 Interface part 102 SAD (security association database) part 103 SPD (security policy database) part 104 Communication data processing part 105 Policy management part 106 SA (security association) processing part 107 Input part

Claims

A network connection device that performs communication by dynamically changing application / non-application of IPsec of communication data with a network connection device of a communication partner via a network,
An interface unit for performing communication via a network;
For each attribute of the communication data, the communication data processing unit applies the IPsec of the communication data, does not apply the IPsec, deletes the communication data, or the user of the network connection device determines the IPsec of the communication data. A security policy database section for storing a security policy indicating whether application / non-application can be selected
A security association database unit for storing information relating to a security association which is a connection for performing IPsec communication between the network connection devices;
Referring to the header information of the communication data indicating the attribute of the communication data, the security policy of the communication data is searched from the security policy database unit, and the information about the security association of the communication data is searched from the security association database unit Then, based on these search results, whether to apply IPsec of the communication data, not apply IPsec, delete the communication data, or whether the user of the network connection device applies / non-applies IPsec of the communication data. A policy management unit that determines whether the application can be selected ,
A security association processing unit that performs security association with the network connection device of the communication partner by an automatic key exchange protocol, and stores or deletes information on the security association as a result of the negotiation in the security association database unit;
An input unit for inputting selection information on application / non-application of IPsec of the communication data from the user to the communication data processing unit;
And a communication data processing unit that accepts selection information on application / non-application of IPsec of the communication data from a user of the network connection device, generates, deletes, and acquires the communication data, and applies IPsec to the communication data ,
With
The information on the security association further includes negotiation start information regarding whether or not the network connection device of the self has performed a process of starting a negotiation of a security association with the network connection device of the communication partner by an automatic key exchange protocol,
The policy management unit is a first network connection device in which the network connection device searches for information related to a security association including negotiation start information of the security association database unit, and the network connection device of the self performs a security association start process. When the information to the effect is found, or when the information related to the security association of the network connection device is not found, the communication data processing unit applies the IPsec of the communication data from the user. Accept selection information,
The security association processing unit, the search for information about the security association database unit Security Association including the negotiation start information, when it network connection device of the self is the first network connection device has been confirmed In addition, the negotiation by the automatic key exchange protocol for withdrawing the security association from the second network connection device which is the network connection device of the communication partner of this security association, or a new one from the second network connection device A network connection device characterized by having a configuration that does not respond to negotiation by an automatic key exchange protocol for establishing a security association.

A network connection device that performs communication by dynamically changing application / non-application of IPsec of communication data with a network connection device of a communication partner via a network,
For each attribute of communication data, whether to apply IPsec to the communication data, not to apply IPsec, to delete the communication data, or for the user of the network connection device to apply / non-apply IPsec of the communication data Storing a security policy indicating whether it can be selected;
Storing information related to security association including negotiation start information indicating whether or not the network connection device of its own has performed negotiation start processing of security association with the network connection device of the communication partner by an automatic key exchange protocol;
Searching a security policy of the communication data to determine a security policy of the communication data;
Security policy and said determining when said the communication data transmitted and received between the network connection apparatus is capable of selecting / city to apply IPsec, and retrieve information about the security association of the communication data, said self If the information indicating that the network connection device of the first network connection device is the first network connection device that has started the security association is found , or if information about the security association of the network connection device of its own cannot be found,
Negotiation by the automatic key exchange protocol for withdrawing the security association from the second network connection device which is the network connection device of the communication partner of this security association, or a new security association from the second network connection device Accepting selection information on whether or not to apply IPsec to the communication data from a user of the network connection device without responding to a negotiation by an automatic key exchange protocol for establishing
And accepting selection information on whether or not to apply IPsec to the communication data, and when applying IPsec to the communication data is selected, sending and receiving communication data by applying IPsec.
The communication method characterized by performing.

In the step of accepting selection information on whether or not to apply IPsec to the communication data, when it is selected to apply IPsec to the communication data, the step of transmitting and receiving the communication data by applying IPsec,
When searching for information related to the security association of the communication data and information related to the security association of the communication data is not found,
For the communication data, establishing a security association with the network connection device of the communication counterpart by an automatic key exchange protocol, and storing information relating to the security association;
The communication method according to claim 2 , further comprising:

In the step of accepting selection information on whether or not to apply IPsec to the communication data from a user of the own network connection device, when it is selected not to apply IPsec to the communication data, Transmitting and receiving communication data without applying IPsec;
The communication method according to claim 2 or 3 , further comprising:

The step of transmitting and receiving the communication data without applying IPsec,
When information related to the security association of the communication data is searched and information related to the security association of the communication data is found,
With respect to the communication data, an automatic key exchange protocol is used to notify the network connection device of the communication partner that the security association established with the network connection device of the communication partner is withdrawn, and information related to the established security association is deleted. Step,
The communication method according to claim 4 , further comprising:

A program that causes the network-connected device to execute each step according to any one of claims 2 to 5 .

A storage medium storing the program according to claim 6 .