JP2002026988A - Ｖｐｎ接続のセキュリティ - Google Patents

Abstract

(57)【要約】 【課題】 ＶＰＮ（仮想私設網）において、ＮＡＴ（ネ
ットワーク・アドレス変換）とＩＰセキュリティ（ＩＰ
Ｓｅｃ）との双方を並行して実現する。 【解決手段】 ＶＰＮ ＮＡＴタイプ「ａ送信元−アウ
トバウンド」ＩＰ ＮＡＴ、ＶＰＮ ＮＡＴタイプ「ｂ
送信先−アウトバウンド」ＩＰ ＮＡＴ、ＶＰＮＮＡＴ
タイプ「ｃインバウンド−送信元」ＩＰ ＮＡＴ、ＶＰ
Ｎ ＮＡＴタイプ「ｄインバウンド−送信先」ＩＰ Ｎ
ＡＴから成る４タイプのＶＰＮ ＮＡＴのうちの１つま
たは組み合わせを実行することにより、ＶＰＮ ＮＡＴ
において、ＩＰセキュリティを実現する。これは、動的
にＮＡＴ規則１２８、１３０を生成し、それらと人手で
または動的に生成した（ＩＫＥ）セキュリティ連合とを
関連付けた後に、このセキュリティ連合を使うＩＰセキ
ュリティを開始することを含む。そして、アウトバウン
ド・データグラムとインバウンド・データグラムに対し
てＩＰセキュリティを実行するときに、ＮＡＴ機能も実
行する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ＶＰＮ接続のセキ
ュリティに関する。本発明は，特に、ＶＰＮ ＮＡＴ、
すなわちＮＡＴとＩＰＳｅｃプロトコルとを並行して使
用することに関する。ＶＰＮ（virtual private networ
k:仮想私設網）とは公衆網の中に仮想的に構築した私設
網のことである。ＮＡＴ（network address translatio
n)とは少ないグローバル・アドレスで利用することので
きる端末の数を増やすために、プライベート・アドレス
とグローバル・アドレスとを変換することであり、ＲＦ
Ｃ１６３１で規定されている。ＲＦＣ（request for co
mments）とはインターネット関連技術の標準化団体であ
るＩＥＴＦ（Internet Engineering Task Force)が取り
まとめている一連の文書のことである。ＩＰＳｅｃプロ
トコル（Internet Protocol Security protocols）とは
ＴＣＰ／ＩＰ（Transmission Control Protocol / Inte
rnet Protocol)にセキュリティ機能を付加するプロトコ
ルの枠組みのことである。

【０００２】

【従来の技術】ＶＰＮ（仮想私設網）は、インターネッ
トとコンピューティングの産業を通じて技術的な発展が
盛んな分野である。これは、ＶＰＮによって初めて大部
分の形態のｅビジネス（e-buisiness)が成り立ちうるよ
うになるからである。ＶＰＮではプロトコル・トンネリ
ングと暗号化・復号化技術（ＩＰＳｅｃプロトコル）を
使っているので、クライアントとサーバ、支店、あるい
は独立機関が、専用線を購入するよりもはるかに少ない
費用で、専用線の主要な便益であるプライバシーを損な
うことなく、インターネットを自分たちのＴＣＰ／ＩＰ
通信用に利用することが可能になる。

【０００３】ＶＰＮが使っているトンネリング（途中に
ある別のネットワークを経由してデータを送信するこ
と）には、以前は直接通信していなかった、サブネット
や企業など２つのユーザが通信を始めることに起因し
て、ＩＰアドレスが衝突する可能性が非常に大きくな
る、という問題を引き起こす副作用がある。

【０００４】ＩＰアドレスの衝突を克服するために、イ
ンターネット、およびインターネットに接続している企
業ではＮＡＴが広く使われている。これらＩＰアドレス
の衝突は、一般に、指定された「専用（private)」のＩ
Ｐアドレス空間（たとえば１０．＊．＊．＊）同士の間
で起こる。

【０００５】しかしながら、ＮＡＴとＩＰＳｅｃ（ＩＰ
セキュリティ）とは、アーキテクチャ上矛盾対立する関
係にある。実際、ＮＡＴは、ＩＰＳｅｃを破ってしま
う。すなわち、ＮＡＴは「ロケータ（locator)および終
点識別子（end-point identifier）双方としてのＩＰア
ドレスの意味上の過負荷を最終的には破ってしまう機能
である」（「ＮＡＴのアーキテクチャ上の意味」〔draf
t-iab-nat-implication-00.txt, １９９８年３月〕〔"a
rchitectural Implications of NAT", draft-iab-nat-i
mplication-00.txt, March 1998.〕参照。ＩＰＳｅｃ
は、ケントとアトキンソン「ＩＰのためのセキュリティ
・アーキテクチャ」〔ＲＦＣ２４０１、１９９８年１１
月〕〔Kent, S., and Atkinson, "Securuty Architectu
re for the Internet Protocol", RFC 2401, November
1998〕、ケントとアトキンソン「ＩＰ認証プロトコル」
〔ＰＦＣ２４０２、１９９８年１１月〕〔Kent, S., an
d Atkinson, "IP Authentication Protocol", RFC 240
2, November 1998 〕、および、ケントとアトキンソン
「ＩＰカプセル化セキュリティ・ペイロード」〔ＲＦＣ
２４０６、１９９８年１１月〕〔Kent, S., and Atkins
on, "IP Encapsulation Security Payload", RFC 2406,
November 1998. 〕に記載されている）。この結果、２
つのホストは、中間にＮＡＴシステムがあると、ＩＰＳ
ｅｃ接続を確立することができない。これには、以下に
示す２つの理由がある。その前に、（ＩＰＳｅｃ接続の
場合、）２つのホストの間を流れるＩＰデータには、Ａ
Ｈ（authentication header:認証用ヘッダー）とＥＳＰ
（encapsulation security payload:ＩＰパケットの暗
号化プロトコル）とが適用されることになる。（上掲Ｒ
ＦＣ２４０２、ＲＦＣ２４０６参照）。

【０００６】第１に、トンネル・モードにおけるＥＳＰ
に関しては、変換する必要のあるＩＰアドレスは、ＥＳ
Ｐトンネルの内部にあるとともに、暗号化されている。
したがって、上記ＩＰアドレスは、ＮＡＴには入手不可
能である（トンネル・モードにおけるＥＳＰではＩＰパ
ケットをヘッダーを含めて暗号化する）。トランスポー
ト・モードまたはトンネル・モードにおけるＡＨに関し
ては、変換する必要のあるＩＰアドレスは、ＮＡＴで見
ることができる。しかし、ＡＨ認証には、上記ＩＰアド
レスが含まれいてる。したがって、ＩＰアドレスを変更
することにより、ＩＰＳｅｃ接続のリモート側における
認証を破ることができる。トランスポート・モードにお
けるＥＳＰに関しては、ＥＳＰを認証とともに使ったと
しても、ＩＰアドレスは、ＮＡＴにとって入手可能であ
る（トランスポート・モードにおけるＥＳＰではＩＰパ
ケットのデータ部だけしか暗号化しない）。したがっ
て、ＩＰアドレスを変更すると、ＩＰＳｅｃ接続のリモ
ート側での認証が破れるのに起因してＩＰＳｅｃ接続が
破れてしまう。

【０００７】第２に、ＩＰＳｅｃ接続用のＩＰ通信デー
タを変換することがたとえできたとしても、ＩＰＳｅｃ
接続は２つのホストＩＰアドレスを含むセキュリティ・
アソシエーション（Security Association: ＳＡ、相互
に認証しあったネットワーク上の実体〔コンピュータや
そのユーザ、ソフトウェア・コンポーネントなど〕の一
群）に基づいているので、それはうまくゆかないだろ
う。これらの事柄は、セキュリティ・アソシエーション
アーキテクチャ（上掲ＲＦＣ２４０１参照）にとって重
要である。というのは、暗号化（または認証）がなされ
るべきホストでは、インバウンドＩＰＳｅｃは、次に示
す３要素によって一意に決定される必要があるからであ
る。 ｛送信先ＩＰアドレス，ＳＰＩ，ＩＰＳｅｃプロトコ
ル｝ただし、ＳＰＩとはセキュリティ・プロトコル・イ
ンデックス（security protocol index)のことである
（上掲ＲＦＣ２４０１参照）。

【０００８】たとえば、いま２つのホストＡ、Ｗがある
ものとして、ホストＡからホストＷへ流れる、トランス
ポート・モードにおけるＥＳＰが施されたＩＰデータグ
ラム（電線を流れるディジタル・データに対する一般用
語〔正確には、データグラムとは、非コネクション型の
経路を流れるパケットのことである。ＴＣＰ／ＩＰは非
コネクション型の経路制御を行なう〕）にＮＡＴが適用
されている、と仮定する。したがって、ＩＰ送信元アド
レスは、変更されている。パケットは、ホストＷに到着
すると、恐らく首尾よく復号化される。なぜなら、パケ
ットは、ＩＰ送信元アドレスに依存していないからであ
る（パケットはトンネル化されず、平文のままであ
る）。しかし、実装が厳密である場合には、復号化に続
くインバウンドＳＰＤチェックは、ＩＰ送信元アドレス
が変更されたことに起因して、失敗する（なぜなら、変
更されたＩＰ送信元アドレスは、セキュリティ・アソシ
エーションとネゴシエーションするのに使ったアドレス
ではないからである）。以上のように、トランスポート
・モードのＥＳＰの場合であるにもかかわらず、失敗す
る。

【０００９】ＮＡＴとＩＰＳｅｃとを相互に排他的にす
るだけでは、当技術分野で捜し求めている解決策にはな
らない。ＮＡＴは、グローバルなアドレス変更を実現す
る、アドレスの利用率を低減する、ＩＳＰ（Internet s
ervice provider:インターネット接続業者）のサポート
負担を低減する、仮想ホストとして負荷の分担を可能に
する、というように多くの問題を解決することができる
ので、ＮＡＴは、広く配置されている。

【００１０】しかし、今日では、ＮＡＴは、インターネ
ットに配置されているセキュリティ統合にとって、唯一
最大の脅威であるとみなされている。この「ＮＡＴ問
題」（いつも決まってこのように呼ばれる）は、アーキ
テクチャ上重要である。しかし、レガシーなアプリケー
ションおよびサービス（たとえば、ＩＰバージョン４
〔ＩＰｖ２〕用に開発されたもの）は、ＩＰバージョン
６〔ＩＰｖ６〕用に開発されたアプリケーションおよび
サービスと長く共存してゆくことになる。したがって、
ＮＡＴとＩＰＳｅｃとの共存を実現する技術が、少なく
とも選ばれた状況では、大いに必要とされている。しか
も、深刻な構成上の問題を引き起こさずに、ＮＡＴとＩ
ＰＳｅｃとの共存を実現する技術が必要とされている。
（ＩＰバージョン４は、「インターネット・プロトコ
ル」〔ＲＦＣ７９１、１９８１年９月〕〔"Internet Pr
otocol", RFC791, September 1981.〕に記載されてい
る。ＩＰバージョン６は、ディアリングとヒンデンの
「インターネット・プロトコル、バージョン６（ＩＰｖ
６）仕様」〔ＲＦＣ２４６０、１９９８年１２月〕〔De
ering,S., Hindrn, R., "Internet Protocol, Version
6 (IPv6) Specification", RFC2460, December 1998.
〕に記載されている）。

【００１１】２つのアドレス・ドメインの間をＶＰＮで
接続すると、接続する予定がない２つのアドレス・ドメ
インを直接接続することができる、という効果が得られ
る。したがって、ＶＰＮの使用が増大すると、アドレス
の衝突が増大しやすくなる（なぜなら、接続する予定が
ない２つのアドレス・ドメインの間では、アドレスの重
複を避ける方策がとられないからである）。また、ＶＰ
Ｎはネットワークの可視性を再定義するものであるか
ら、ＶＰＮがＮＡＴを横切ると、アドレスが衝突する可
能性が増大する、ということが分かる。今後、ＮＡＴの
陰に隠れたアドレス空間においてアドレスを管理するこ
とが、多大な負担になるであろう。したがって、この負
担を軽減する技術が必要とされている。

【００１２】米国特許出願第０９／２４０７２０号に
は、ＩＰＳｅｃとＮＡＴとを統合する際に生じる一般的
な問題に対する解決策が述べられている。そこでは、Ｎ
ＡＴを使うＶＰＮにおけるＩＰセキュリティ（ＩＰＳｅ
ｃ）を、４種類のＶＰＮ ＮＡＴのうちの１つまたはそ
れらの組み合わせを実行することによって実現してい
る。（３種類のＶＰＮ ＮＡＴは後述する。第４のＶＰ
Ｎ ＮＡＴはこの出願の出願人の出願に係る米国特許出
願に記載さている）。上記米国特許出願は、ＮＡＴ規則
を動的に生成し、それらと、セキュリティ・アソシエー
ションを使うＩＰセキュリティを開始する前に、人手で
あるいは動的に生成したＩＫＥ（Internet key exchang
e:インターネット鍵交換) セキュリティ・アソシエーシ
ョンとを関連付ける点を含んでいる。（ハーキンスとキ
ャレルの「インターネット鍵交換（ＩＫＥ）」〔ＲＦＣ
２４０９、１９９８年１１月〕〔Harkins, D., Carrel,
D., "The Internet Key Exchange (IKE)", RFC2409, N
ovemner 1998. 〕参照。セキュリティ・アソシエーショ
ン（Security Association) は、上掲ＲＦＣ２４０１で
定義されている用語である）。したがって、アウトバウ
ンド・データグラムとインバウンド・データグラムとの
双方でＩＰＳｅｃを実行しているので、ＮＡＴ機能も実
行している。「ＩＰＳｅｃを実行」なる記載は、上掲し
たＩＰＳｅｃに関する３つのＲＦＣ（および他のＲＦ
Ｃ）によって定義されているように、ＩＰＳｅｃアウト
バウンド処理またはＩＰＳｅｃインバウンド処理から成
るステップを実行することを意味している。「ＮＡＴを
実行」なる記載は、後述するＶＰＮＮＡＴ処理から成る
ステップを実行することを意味している。

【００１３】上記米国特許出願第０９／２４０７２０号
では、利用者は、個別のＶＰＮ ＮＡＴ規則を個別のＶ
ＰＮ接続として構成しなければならない。これは、時間
の無駄であるとともに、間違いを犯しやすい。したがっ
て、ＶＰＮ接続は、実際には通信を保護することになっ
ており、また、特定のＶＰＮ ＮＡＴとは無関係である
べきである。すなわち、ＶＰＮ ＮＡＴ規則は、今まで
１対１であった。これでは、ＮＡＴを利用することによ
って、必要なＶＰＮ接続の数が増大してしまう。

【００１４】

【発明が解決しようとする課題】本発明の目的は、ＮＡ
Ｔ（Network address Translation ）とＩＰセキュリテ
ィ（IP Security:ＩＰＳｅｃ）との双方を並行して実現
する、改良され、かつ大幅に簡易化されたシステムと方
法とを提供することである。

【００１５】本発明の他の目的は、ＶＰＮ（virtual Pr
ivate netwrk）の使用に内在する、ＩＰアドレスの衝突
の可能性が増大するという問題を解決するシステムと方
法とを提供することである。

【００１６】本発明の他の目的は、ドメインの再アドレ
ス指定（高価な代替手段）を必要とすることなく、ＶＰ
Ｎを利用することができるようにするシステムと方法と
を提供することである。

【００１７】本発明の他の目的は、ドメイン・ホストに
おける変更を必要とすることなく、ＩＰＳｅｃゲートウ
エイで全て実現される、ＶＰＮ ＮＡＴ用のシステムと
方法とを提供することである。

【００１８】本発明の他の目的は、接続された各ドメイ
ンにおけるルーティングの変更を全く、あるいは少しし
か必要としない、ＶＰＮ ＮＡＴ用のシステムと方法と
を提供することである。

【００１９】本発明の他の目的は、単純な構成をした、
ＶＰＮ ＮＡＴ用のシステムと方法とを提供することで
ある。

【００２０】本発明の他の目的は、ＶＰＮが引き起こす
アドレス衝突の問題の解決策を提供することである。

【００２１】本発明の他の目的は、利用者がＶＰＮ接続
を構成するのを支援する簡単化した解決策を提供するこ
とである。

【００２２】本発明の他の目的は、単一のＶＰＮ接続が
複数のＶＰＮ ＮＡＴ規則をサポートすることができる
ようにすることである。

【００２３】本発明の他の目的は、暗黙的にすなわち動
的に割り当てられたＶＰＮ ＮＡＴ規則内の衝突を、シ
ステム全体の観点から避けることのできるシステムと方
法とを提供することである。

【００２４】本発明の他の目的は、各ＮＡＴ規則に対す
る多数の別々のＶＰＮ接続を管理する必要を無くすこと
により、動的ＮＡＴ規則に要するシステムのオーバーヘ
ッドを低減することのできるシステムと方法とを提供す
ることである。

【００２５】本発明の他の目的は、ネットワークの監視
とトラフィックの分析とを簡単化することのできるＶＰ
Ｎ ＮＡＴシステムと方法とを提供することである。

【００２６】

【課題を解決するための手段】本発明によると、仮想私
設網（ＶＰＮ）ネットワーク・アドレス変換（ＮＡＴ）
の複数のタイプのうちの１つまたは組み合わせを実行す
ることにより、ＮＡＴを使ったＶＰＮでＩＰセキュリテ
ィ（ＩＰＳｅｃ）を実現することができる。これには、
ＮＡＴ規則の集合を動的に生成し、このＮＡＴ規則の集
合と人手でまたは動的に生成した（ＩＫＥ）セキュリテ
ィ・アソシエーションとを関連付けた後に、このセキュ
リティ・アソシエーションを使うＩＰセキュリティを開
始することが含まれる。アウトバウンド・データグラム
に対してＩＰＳｅｃを実行する直前に、接続（connecti
on: コネクション）に関連付けられたＮＡＴ規則の集合
から特定の規則を選んで、ＮＡＴ機能を実行し、その
後、ＩＰＳｅｃが続く。インバウンド・データグラムに
対してＩＰＳｅｃを実行した直後に、接続に関連付けら
れたＮＡＴ規則の集合から特定の規則を選んで、ＮＡＴ
機能を実行する。

【００２７】本発明の他の特徴と利点は、次に述べる本
発明の好適な実施形態の詳細な説明および添付図面から
明らかになる。

【００２８】

【発明の実施の形態】本発明の好適な実施形態に従っ
て、単一のＮＡＴ変換規則ではなく、単一のＶＰＮ接続
に適用される複数のＮＡＴ変換規則を備えたＶＰＮ Ｎ
ＡＴ機能を通じてＮＡＴ問題に焦点を当てる。これによ
り、利用者がＶＰＮ接続を構成するのが非常に簡単にな
る。従来、ＮＡＴとＶＰＮとを必要とする各アドレス
は、別々に構成しなければならなかった。本発明による
新たな機能は、上掲米国特許出願第０９／２４０７２０
号を参照すると、「タイプａ送信元−アウト（type a s
ource-out ）」・「タイプｄ送信先−イン（type d des
tination-in)」ＶＰＮ ＮＡＴを備えている。ＨＩＤＥ
ＮＡＴ規則とＭＡＰ ＮＡＴ規則（既存のＮＡＴとも
呼ばれる）が誤って使用され、ＩＰＳｅｃがこの誤使用
と結びついてしまう、という機能不全を避けるために、
既存のＮＡＴの間にＡＨまたはＥＳＰをチェックする。
ＨＩＤＥ ＮＡＴ規則とＭＡＰ ＮＡＴ規則は、図３と
図４に関連して後述する既存のＮＡＴの基本的な２つの
形態である。ＡＨヘッダーまたはＥＳＰヘッダー以外の
ＩＰパケットに所定のＮＡＴ規則を適用しても、アドレ
ス変換は行なわれない。このことは、インバウンドＮＡ
ＴとアウトバウンドＮＡＴの双方に当てはまる。したが
って、この結果は、既存のＮＡＴ（対ＩＰＳｅｃ用ＶＰ
ＮＮＡＴすなわち対ＩＰＳｅｃ ＮＡＴ）の場合には、
ＩＰＳｅｃが選ばれる、ということである。すなわち、
ＩＰＳｅｃは、既存のＮＡＴに優先する。

【００２９】ＮＡＴ規則がロードされた時点では、ＩＰ
Ｓｅｃ接続が（たとえば動的ＩＰと）衝突するか否かは
分からないので、このような問題のチェックは、オペレ
ーティング・システムのカーネルで実際にＮＡＴ処理が
行なわれるまで、行なうことができない。これらの処置
に対するユーザ可視性は、ＮＡＴ規則に対してジャーナ
リングがオンの場合、ＮＡＴ規則がデータグラムに適合
している旨をジャーナル・エントリに表示することによ
り、提供される。しかし、これは、ＩＰＳｅｃ用には実
行されていなかった。さらに、オペレーティング・シス
テムのカーネルによるこれらの処置の情報ロギングは、
既存のＮＡＴ規則１つ当たり限定された数のオカレンス
（実現値）を備えることができる。同様に、１つのオカ
レンス当たりではなく、１つの接続当たりに１つのメッ
セージを、接続マネージャのジョブ・ログすなわち接続
ジャーナルに提供することができる。「ジャーナリン
グ」、「ジャーナル」なる用語は、当技術分野では、通
常、それぞれ「ロギング」、「ログ・エントリ」とも呼
ばれている。

【００３０】ＶＰＮ ＮＡＴと呼ばれているが、ＩＰＳ
ｅｃゲートウエイでＮＡＴをＩＰＳｅｃと一緒に使うこ
とができるようにするために、利用者は、専用のＩＰア
ドレスを保持している。そして、ＩＰＳｅｃ接続の開始
と終了をＩＰＳｅｃゲートウエイで行なうことにより、
アドレスの衝突が増大するのを避けている。ＩＰＳｅｃ
ゲートウエイは、上掲ＲＦＣ２４０１で定義されている
用語である。「ＶＰＮ接続」は、一般に「ＩＰＳｅｃト
ンネル」と呼ばれているものを指す別の用語である。
「ＩＰＳｅｃトンネル」は、上掲ＲＦＣ２４０１で定義
されている。

【００３１】ＶＰＮは、統合ＮＡＴ機能を備えたイニシ
エータ・モードとレスポンダ・モードの双方で実現され
ている。セキュリティ・アソシエーションは、適切な外
部（ＮＡＴ ＲＨＳ）ＩＰアドレスを使ってネゴシエー
ションされる。対応する内部（ＮＡＴ ＬＨＳ）ＩＰア
ドレスのＮＡＴ処理は、ＩＰＳｅｃへの接続のロードと
オペレーティング・システムのカーネルにおけるＩＰＳ
ｅｃ処理とに同期して、生成されたＮＡＴ規則によって
行なわれる。アウトバウンドでは、通常の送信元ＩＰア
ドレスのほかに、インバウンド送信元ＩＰアドレスを変
換する（インバウンドでは、送信先ＩＰアドレスの対応
する変換をする）。「ＶＰＮ ＮＡＴ規則」は、図５の
ブロック１２６、１２４によって表されている。すなわ
ち、ＬＨＳアドレスとＲＨＳアドレスとの２つの組は、
１つのＶＰＮ ＮＡＴ規則から成る。

【００３２】本発明では、ＶＰＮ接続に関連付けられた
ＮＡＴ規則のクラスを利用者が指定することができるよ
うにするとともに、システムがこの指定されたクラスか
ら特定のＮＡＴバインディング（規則）を動的に生成す
ることができるようにして、単一のＶＰＮ接続が複数の
ＶＰＮ ＮＡＴ規則をサポートしている。さらに、シス
テム全体を基礎として、ＶＰＮ ＮＡＴのタイプが送信
元インバウンドである場合には、利用者が構成したＮＡ
ＴアドレスのプールとローカルＩＰアドレスとを関連付
けることにより、暗黙的にすなわち動的に割り当てられ
たＶＰＮ ＮＡＴ規則の間における衝突を回避してい
る。また、この出願にとって重要なＶＰＮＮＡＴの３つ
の型は、下に示すテーブル１によって定義されている。

【００３３】図１は、本発明の好適な実施形態の方法を
示す図である。ステップ２０でＮＡＴを必要とする接続
を構成する。ステップ２２でＩＰＳｅｃ ＮＡＴアドレ
ス・プールを定義する。ステップ２４でイニシエータ・
モードの接続を開始する。ステップ２６でレスポンダ・
モードの接続を開始する（これらは接続の反対側で開始
される）。ステップ２８でＳＡ（セキュリティ・アソシ
エーション）対の更新を処理する。そして、ステップ３
０で接続を終了する。（ＮＡＴプールとは、ＩＰアドレ
スの集合である）。これらのステップは、それぞれ、下
でさらに説明する。

【００３４】ステップ２０では、ユーザは、ＮＡＴが必
要になる接続をすることに決め、それらを構成する。こ
れは、論理的には、ＮＡＴ規則を書くのと等価である。
このようにする際に考慮される４つの場合をテーブル１
に示す。

【００３５】 〔テーブル１：ＶＰＮ ＮＡＴのタイプ〕 −−−−−−−−−−−−−−−−−−−−−−−−−−−− ＩＤｃｉ（送信元） ＩＤｃｒ（送信先） −−−−−− −−−−−−−−− −−−−−−−−− イニシエータ 送信元−アウト 送信先−アウト モード タイプａ．ＮＡＴ タイプｂ．ＮＡＴ 内部アドレス アウトバウンドでの 送信元ＩＰ インバウンドでの 送信先ＩＰ レスポンダ 送信元−イン 送信先−イン モード タイプｃ．ＮＡＴ タイプｄ．ＮＡＴ 外部アドレス 内部アドレス インバウンドでの インバウンドでの 送信元ＩＰ 送信先ＩＰ アウトバウンドでの アウトバウンドでの 送信先ＩＰ 送信元ＩＰ −−−−−−−−−−−−−−−−−−−−−−−−−−−− ただし、ＩＤｃｉ＝「クライアント・イニシエータの識別子」 ＩＤｃｒ＝「クライアント・レスポンダの識別子」

【００３６】ＶＰＮ接続は、４つの終点、すなわち２つ
の「接続終点」と２つの「データ終点」を有するものと
して定義されている。（したがって、トランスポート・
モードは、接続の各終わりで、接続終点がデータ終点と
等しい、ということを意味する）。ＩＤｃｉなる用語と
ＩＤｃｒなる用語とは、特にどれがイニシエータであ
り、どれがレスポンダであるかを示すことにより、２つ
のデータ終点を指している（上掲ＲＦＣ２４０９参
照）。また、これらの識別子は、ＩＤｃｒ定義とＩＤｃ
ｉ定義の一部を成す約６つの異なった形態のうちの１つ
をとることができる。この出願の場合、識別子の型は、
特に関係はない。

【００３７】たとえばＩＰＳｅｃポリシー・データベー
スでＮＡＴの特定のインスタンスを指定するとき、ユー
ザは、たとえばチェック・ボックスでＹｅｓ／Ｎｏを決
める。ＩＰＳｅｃポリシーとは、ここで使っているよう
に、システムで構成されたＩＰＳｅｃ情報の完全な集合
のことである。この情報は、いわゆるＩＰＳｅｃデータ
ベースすなわちＩＰＳｅｃ・ポリシー・データベースに
格納されている。レスポンダ・モードのＮＡＴフラグＩ
Ｄｃｉ、ＩＤｃｒには、接続定義の一部を用いることが
できる。イニシエータ・モードのフラグには、「ローカ
ル・クライアントＩＤ」（だけ）に関連付けられたユー
ザ−クライアント対の一部を用いることができる。レス
ポンダＩＤｃｉ ＮＡＴフラグとレスポンダＩＤｃｒ
ＮＡＴフラグとは、独立に設定することができる。両者
は、接続定義が外部開始モードを有する場合にしか関係
しない。

【００３８】今までは、全ての場合で、ＮＡＴフラグが
「オン」のときには、対応する細分値は、接続定義で
「ｓ」（スカラー）であることが必要であった。しか
し、本発明によれば、これは、もはや動的ＶＰＮ ＮＡ
Ｔに対する制約とはならない。すなわち、「ｓ」（スカ
ラー）の細分度、「ｆ」（フィルタ〕の細分度、「ｃ」
（クライアント）の細分度が全てサポートされている。
「細分度（granuality）」は、上掲ＲＦＣ２４０１の第
１５〜１６頁に記載されている。本発明の典型的な実施
形態、たとえばＩＢＭ ＡＳ／４００によれば、「細分
度」は次のように実現されている。すなわち、各ＶＰＮ
接続は、データグラム中に、当該ＶＰＮ接続中に通信が
あるべきか否かを判断するのにチェックされうる５つの
セレクタ（フィールド）を備えている。これら５つのセ
レクタは、送信元ＩＰ、送信先ＩＰ、送信元ポート、送
信先ポート、プロトコルである。この典型的な実施形態
によれば、各セレクタは、（１）当該ＶＰＮ接続用のポ
リシー・フィルタ（セレクタ細分度「ｆ」の場合）、
（２）ＩＫＥからの単一の値（セレクタ細分度「ｓ」の
場合）、（３）ＩＫＥからの連続した範囲の値（セレク
タ細分度「ｃ」の場合）のうちのいずれかからその値を
取得する。

【００３９】図２は、ＶＰＮ ＮＡＴ ＩＰプールがネ
ットワークのシナリオに関係する形態を示す図である。
線３４、３６は、インターネット４０におけるゲートウ
エイ（ＧＷ）４２、４４、４６間のＩＰＳｅｃ接続を表
わしている。タイプ「ａ送信元−アウト」と「ｃ送信元
−イン」用のＮＡＴプール５２、５４は、各リモートＩ
Ｄ（ゲートウエイ４４、４６）に独立に関連付けられて
いる。タイプ「ｄ送信先−イン」のＶＰＮ ＮＡＴの場
合には、ＶＰＮ ＮＡＴゲートウエイ４２が保持してい
るグローバルＩＰアドレス用に単一のＮＡＴプール５０
を定義することができる。この典型的な実施形態では、
ＮＡＴプール５０、５２、５４用のＩＰＳｅｃポリシー
は、ＩＰＳｅｃデータベース４８に格納されている。こ
の例では、３つの内部ネットワーク５６、５８、６０
は、全て、同じ１０．＊．＊．＊というアドレス空間を
使っている。これは、ＶＰＮ ＮＡＴに対して初期値と
契機とを与える。すなわち、これら３つの内部ネットワ
ーク５６、５８、６０の間のＩＰＳｅｃトンネル（接続
とも呼ばれる）は、それらを組み合わせる論理的な効果
を有している。これは、一般に、アドレスの衝突なくし
て行なうことができない。ＶＰＮ ＮＡＴは、ゲートウ
エイ（Ｇｗ１）４２が内部ネットワーク６０、５８上の
ゲートウエイ（ＧｗＱ）４４およびゲートウエイ（Ｇｗ
Ｙ）４６の後ろのホストとそれぞれ取引をする必要があ
る場合にゲートウエイ（Ｇｗ１）４２に招来する問題の
解決策を提供する。

【００４０】ステップ２２で、ユーザは、ＶＰＮ ＮＡ
Ｔ機能が排他的に使用するのに使用可能なＩＰアドレス
の集合を（ＮＡＴプール５０、５２、５４に）定義す
る。各ＮＡＴプールは、ＩＰアドレスのある範囲として
定義可能であるのが望ましいが、しかし、不連続なＩＰ
アドレスのリストであってもかまわない。また、各ＮＡ
Ｔプールは、リモートＩＤ ＩＰＳｅｃポリシー・デー
タベースのエンティティとローカルＩＤ ＩＰＳｅｃポ
リシー・データベースのエンティティとに自然に関連付
けられている。

【００４１】テーブル２に、様々なＮＡＴプールの動機
付けを行なうＶＰＮ ＮＡＴの各特徴の様々な意味を示
す。リモートＩＤまたはローカルＩＤごとに特定してあ
るけれども、ＮＡＴプールは、はっきり区別のできる３
つのＩＰアドレスのグループとして管理することができ
る。これにより、ユーザは、たとえば、複数のリモート
ＩＤに対して同じ範囲を指定することが可能になる。文
字ａ、ｃ、ｄは、ＶＰＮ ＮＡＴのタイプ（テーブル
１）に対応している。「ロ」の列は、ローカルにルーテ
ィング可能（locally routable）であることを意味して
いる（これは、グローバルにルーティング可能（global
ly routable)と区別したものである）。

【００４２】 〔テーブル２：ＩＰＳｅｃ ＮＡＴプール〕 −−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−− ＩＰＳｅｃ プールの目的 有効に生成された ロ ＮＡＴプール アウトバウンドＮＡＴ規則 −−−−−−−− −−−−−−−−−−− −−−−−−−−−−−− − ａローカルで １自身のＩＰ変換アドレ "MAP srcIP TO ＜value ○ 開始された スをリモート・ホストか from pool ＞" 接続 ら隠す 「送信元ＩＰを＜プールか ２リモートのゲートウエ らの値＞にマップする」 イとのＩＰアドレスの衝 突を避ける 故に、プールは各リモー トＩＤに関連付けうる。 ｃリモート側で アドレスの衝突を避ける "MAP destIP TO＜value ○ 開始された from pool ＞" 接続 「送信先ＩＤを＜プールか 故に、プールは各リモー らの値＞にマップする」 トＩＤに関連付けうる。 ｄリモート側で １一種の負荷共用を提供 "MAP srcIP TO ＜value ○ 開始された する from pool ＞" 接続 「送信元ＩＤを＜プールか ２自身のＩＰアドレスを らの値＞にマップする」 外部アドレスから隠す。 故に、プールはグローバ ルにルーティング可能な ＩＰアドレス（ＩＤｃｒ） に関連付けうる。 −−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−−

【００４３】ステップ２４でイニシエータ・モードの接
続が開始する。イニシエータ・モードの接続が開始する
と、接続マネージャが、ローカルＩＤを変換すべきか否
かを調べる。変換する必要がある場合、接続マネージャ
は、データベース中でリモートＩＤに関連付けられてい
るＮＡＴプール（たとえば５２）から使用可能なＩＰア
ドレスを捜し出す。ＩＰアドレスが使用可能であるか否
かは、接続マネージャが次のようにして判断する。接続
マネージャは、常時動作しており、ＶＰＮ接続を開始・
終了させるとともに、状態を知らせるサーバである。こ
のサーバ（接続マネージャ）は、任意のタイプ「ａ送信
元−アウト」プール（テーブル１参照）からの、あるア
クティブな接続（状態：開始、動作中、終了）で使われ
ているＩＰアドレスの単一のリストを保持している。シ
ステム当り１つの接続マネージャしか動作していないか
ら、「単一」はシステム全体で１つを意味する。接続マ
ネージャは、使用済みのリストに載っていない、上記プ
ールの最初のＩＰアドレスを選んで、使用済みのリスト
に付加する。使用可能なＩＰアドレスを見つけ出すこと
ができない場合には、接続は開始せず、適切なエラー・
メッセージ（およびＯＰ ＮＡＶ ＧＵＩへの戻りコー
ド）を生成する。ポリシー・データベースは、ＩＰアド
レスが使用中であることを示すためには更新しない。そ
うではなく、ポリシー・データベースの更新は、アクテ
ィブな接続の集合だけに基づいて、接続マネージャが動
的に決める。「ＯＰ ＮＡＶ ＧＵＩ」とは、「ＡＳ／
４００操作ナビゲータ・グラフィカル・ユーザ・インタ
フェース（ＧＵＩ）（AS/400 Operations Navigator gr
aphical user interface) 」のことであり、ＶＰＮを含
むＡＳ／４００の様々な側面を構成するのに使うＰＣ
（パーソナル・コンピュータ）ベースのＧＵＩである。

【００４４】接続マネージャがＩＫＥに送る開始メッセ
ージ（ｍｓｇ）は、プールから選択されたＮＡＴ ＲＨ
Ｓ ＩＰアドレスを持つことになる。このＮＡＴ ＲＨ
ＳＩＰアドレスは、セキュリティ・アソシエーション
（ＳＡ）対に付加される。これは、ＩＫＥからの戻りＳ
Ａが完了させる。次いで、接続マネージャは、接続をＩ
ＰＳｅｃにロードする。ＳＡ対は、２つのセキュリティ
・アソシエーションであり（上掲ＲＦＣ２４０１で定義
されている）、１つはインバウンド用であり、他の１つ
はアウトバウンド用である。

【００４５】この２つのＳＡ用のＮＡＴ規則を、ＩＰＳ
ｅｃが生成する。アウトバウンドでは、フィルタリング
後でＩＰＳｅｃ前にＮＡＴが行なわれる。インバウンド
では、ＩＰＳｅｃ後に（要すればフィルタリング前に）
ＮＡＴが行なわれる。この意味で、ＮＡＴは、ＩＰＳｅ
ｃ接続のローカル接続終点に対する「ラッピング（wrap
ping）」である。

【００４６】図３および図４は、本発明によるＶＰＮ
ＮＡＴタイプを示す後続する図面の背景および対照をな
すものとして、既存のＮＡＴ機能を説明する図である。

【００４７】図３は、最も簡単な形である静的なＮＡＴ
を示す図である。既存のＮＡＴの両方のタイプとも、ユ
ーザがＯｐＮａｖ ＧＵＩで対応するＮＡＴ規則文を書
くことにより、明示的に構成する。これは、実際のＮＡ
Ｔ規則すなわちＮＡＴ文をシステムが生成するＩＰＳｅ
ｃ ＮＡＴと対照的である。このような文の例として、
図３のＭＡＰ文＜MAP lhs TO rhs＞、図４のＨＩＤＥ文
＜HIDE ip addr set BEHIND rhs ＞が挙げられる。

【００４８】再び図３を参照すると、インバウンド処理
では、送信元ＩＰ７０が＜MAP lhsTO rhs＞文のＬＨＳ
７２と一致する場合、送信元ＩＰ７０をＲＨＳ７６に変
換する。アウトバウンド処理では、送信先ＩＰ７４がＲ
ＨＳ７６と一致する場合、送信先ＩＰ７４をＬＨＳ７２
に変換する。

【００４９】図４を参照すると、マスカレードＮＡＴ
（ＮＡＰＴ〔network address and port translation〕
とも呼ばれる）は、上掲ＨＩＤＥ文＜HIDE ip addr set
BEHIND rhs ＞を使い、自身のポート・プール１１８
（ＵＤＰ、ＴＣＰ）を使ってインバウンド通信の変換方
法を思い起こすことにより、多対１のアドレス変換を実
現している。静的ＮＡＴ（図３）と異なり、マスカレー
ドＮＡＴの会話＜CONVERSATION src ip, src port, rhs
ip, rhs port, ...＞は、内部（ＬＨＳ）アドレスしか
開始させることができない。ＶＰＮ ＮＡＴ（これは、
後述するように、本発明の好適な実施形態を識別するの
に使う名前である）は、ポート変換を備えていないの
で、静的ＮＡＴに近い。

【００５０】さらに図４を参照すると、アウトバウンド
・データグラムの処理では、ステップ＜１＞で送信元Ｉ
Ｐアドレス９０がＨＩＤＥ文のＩＰアドレス・セット９
２中にあると判断された場合、ステップ＜２＞で送信元
ＩＰアドレス９０をCONVERSATIONフィールド９４に、ス
テップ＜３＞でポート９８をフィールド９６に、ステッ
プ＜４＞でＲＨＳ１０４をフィールド１００に、ステッ
プ＜５＞でポート・プール群１１８の正しいプールから
ＲＨＳポートをフィールド１０２に、それぞれコピーす
ることによってCONVERSATIONを構成する。次いで、ステ
ップ＜６＞で送信元ＩＰ９０はＲＨＳ１０４に変換さ
れ、ステップ＜７＞で送信元ポート９８はＲＨＳポート
１０２に変更される。インバウンド・データグラムに対
する処理では、ステップ＜８＞で送信先ＩＰアドレス１
０６および送信先ポート１０８がCONVERSATIONフィール
ドのＲＨＳ ＩＰ１００およびＲＨＳポート１０２とそ
れぞれ一致する場合、ステップ＜９＞で送信先ＩＰアド
レス１０６はCONVERSATIONの送信元ＩＰアドレス９４に
変換され、ステップ＜１０＞で送信先ポート１０８はCO
NVERSATIONの送信元ポート９６に変換される。

【００５１】以上の他にもＮＡＴによって処理される特
別な状況がいくつかあるが、それらは、本発明にとって
興味がないので、説明しない。それらには、ＦＴＰやＩ
ＣＭＰが生成する特別な状況の処理などがある。これら
は、共に、変換されるＩＰアドレスを含んでいる。ＦＴ
Ｐ（＝File Transfer Protocol) はＲＦＣ９５９で定義
されている。ＩＣＭＰ（＝Internet Control Message P
rotocol)はＲＦＣ７９２で定義されている。チェックサ
ムの再計算を行なう。マスカレードＮＡＴでは、まず会
話が存在し、その後、元の（性急な）ＨＩＤＥ規則では
なく、CONVERSATIONにデータグラムを一致させ、ポート
・プールを管理し、時間に合わせて会話を終了させ、そ
して、ポートをマップする。ＶＰＮ ＮＡＴがＩＣＭＰ
と（有名なＦＴＰ ＰＯＲＴコマンドとＰＡＳＶコマン
ドならびに付随する諸問題を含む）ＦＴＰとをサポート
している点は、本発明の特別な利点である。

【００５２】本発明によれば、動的に決められるＶＰＮ
ＮＡＴ規則は、次のようにして実現する。まず、利用
者が、ＶＰＮ ＮＡＴ処理を行なうべきである旨を、Ｇ
ＵＩ（グラフィカル・ユーザ・インタフェース）で指定
する。ローカルで開始した接続の送信元ＩＰアドレスと
して、複数のＩＰアドレスが許される。これら複数のＩ
Ｐアドレスは、（連続した）範囲またはアドレス、およ
びマスクで特定する。これらは、ＶＰＮ ＮＡＴ規則の
ＬＨＳ（left-hand-side: 左手側）アドレス・セットを
構成する。ＶＰＮ ＮＡＴ規則のＲＨＳ（right-hand-s
ide:右手側）アドレス・セットは、リモートのＶＰＮゲ
ートウエイ・アドレスに関連付けられている。接続が開
始すると、当該接続用のＩＰＳｅｃセキュリティ・アソ
シエーションの一部として、ＬＨＳアドレス・セットと
ＲＨＳアドレス・セットとの双方を当該接続と一緒にロ
ードする。次いで、ＶＰＮ接続マネージャは、ＲＨＳア
ドレス・セットに使用済みの印を付けて、後刻開始する
接続との間で生じうるＮＡＴ規則の衝突を避ける。

【００５３】ロードされ（すなわちオペレーティング・
システムのカーネルにインストールされ）、ローカルで
開始された接続に対してＩＰ通信を行なう場合には、特
定のデータグラムに適用すべき特定のＮＡＴを決めるの
にＬＨＳアドレス・セットとＲＨＳアドレス・セットと
を使う。各アドレス・セットを順序付けることによっ
て、データグラムに特有のＮＡＴ規則を生成する。ＬＨ
Ｓアドレス・セットの各アドレスをＲＨＳアドレス・セ
ットの対応する要素に１対１でマップする。ＬＨＳアド
レス・セットの基数がＲＨＳアドレス・セットの基数よ
りも大きい場合には、ＬＨＳアドレス・セットの第ｎ番
目の要素に対してＶＰＮ ＮＡＴは行なわれない（ただ
し、ｎ＞ＲＨＳアドレス・セットの基数、基数とは集合
の要素の個数を表わす数のことである）。（しかしなが
ら、これは、ＧＵＩレベルの監査によって回避すること
ができる）。アウトバウンド通信の場合には、データグ
ラムの送信元ＩＰアドレスに基づいて、ＬＨＳアドレス
・セットの第ｎ番目の要素を選択する。インバウンド通
信の場合には、データグラムの送信先ＩＰアドレスに基
づいて、ＲＨＳアドレス・セットの第ｎ番目の要素を選
択する。

【００５４】ロードされ、リモートで開始された（レス
ポンダ・モードの）接続に対してＩＰ通信を行なう場
合、解決策は、ローカルで開始された接続の場合と基本
的に同じであるが、しかし、逆である。この場合、ＲＨ
Ｓアドレス・セットを、ＬＨＳアドレス・セットの対応
する要素にマップされている、インバウンド・データグ
ラムの送信先ＩＰアドレスに一致させる。ＲＨＳアドレ
ス・セットがＬＨＳアドレス・セットよりも大きい場
合、ＮＡＴ処理は、全く行なわれない。ここでも、この
処置は、人間の要因の観点から望ましくないかも知れな
い。したがって、この場合も、この処置は、ＧＵＩレベ
ルの監査によって不許可になるかも知れない。

【００５５】図５、図６、図７を参照すると、ＬＨＳと
ＲＨＳとは、連続した範囲のＩＰアドレスなどの集合
（セット）を表わしている。ｘが集合であると仮定する
と、ｓｉｚｅ（ｘ）は集合ｘの要素の個数を表わす。次
に示す３つの場合を導入する。 場合１：ｓｉｚｅ（ＬＨＳ）＝ｓｉｚｅ（ＲＨＳ）＝１ 場合２：ｓｉｚｅ（ＬＨＳ）＝ｓｉｚｅ（ＲＨＳ）＆ｓ
ｉｚｅ（ＬＨＳ）＞１ 場合３：ｓｉｚｅ（ＬＨＳ）！＝ｓｉｚｅ（ＲＨＳ）

【００５６】場合１は、上掲米国特許出願第０９／２４
０７２０号のシステムと方法によって取り扱われてい
る。

【００５７】場合２では、２つのセットは等しいから、
各接続が開始するときに各接続用に生成される暗黙的な
ＭＡＰ規則は、２つのセットの文に固有のものである。
すなわち、ＬＨＳアドレス・セットの要素とＲＨＳアド
レス・セットの要素との間には一意的な１対１の対応関
係が存在する。したがって、特定のＶＰＮ接続負荷用の
暗黙的なＭＡＰ規則は、簡単明瞭に生成される。たとえ
ば、図５のプロセスでは、送信元−アウトＶＰＮ ＮＡ
Ｔの場合、送信元ＩＰに一致する（ステップ１）ＬＨＳ
アドレス・セットの第ｎ番目の要素が見つかると、ＲＨ
Ｓアドレス・セットの第ｎ番目の要素を見つけ出して、
送信元ＩＰを置き換えるのに使う（ステップ２）。

【００５８】場合３では、ＬＨＳアドレス・セットの要
素とＲＨＳアドレス・セットの要素との動的な関連付け
（すなわちバインディング(binding) ）を、以前に生成
されたバインディングに基づいて生成する。バインディ
ングは必要に応じて通信が生成するか、あるいは、既存
のバインディングを使う。バインディングは、接続期間
中、あるいは、非アクティブ状態タイムアウト値に到達
するまで続く。バインディングには、ローカルとリモー
トとの２つのタイプがある。また、バインディングは、
システム全体で一意である。

【００５９】ＶＰＮ接続が開始する時にＶＰＮ接続当り
にいずれかの場合が一旦（いったん）決められると、そ
れは、取り扱う各データグラムごとに再計算されること
はない。

【００６０】図５は、タイプａ「送信元−アウト」のＶ
ＰＮ ＮＡＴに関する、本発明の好適な実施形態を説明
する図である。タイプａ「送信元−アウト」のＶＰＮ
ＮＡＴでは、ＩＤｃｉは、イニシエータ・モードの会話
用に変換される。システムを生成した後、暗黙的なＭＡ
Ｐ規則１２８＜MAP lhs TO rhs＞をロードするが、それ
は、静的ＮＡＴとして機能する。この作業を行なう秘訣
（ひけつ）は、ＩＫＥによってネゴシエーションされる
セキュリティ・アソシエーションが暗黙的なＭＡＰ規則
１３０＜MAP lhs TO rhs＞を使う点である。したがっ
て、ＳＡ（セキュリティ・アソシエーション）とＶＰＮ
ＮＡＴとは、同期する。

【００６１】さらに図５を参照すると、ローカルで開始
した会話の場合、ステップ＜−２＞で、ＮＡＴが要求さ
れているので、ローカル・クライアントＩＤ１２２をＬ
ＨＳ１２６にコピーすることより、暗黙的なＭＡＰ規則
１２８を生成する。ＲＨＳ１２４は、適切なプール１２
０から取得する。ステップ＜０＞は、ＶＰＮ接続を開始
する作業の一部であり、図１のステップ２４とステップ
２６とを実行する間に行なう。ステップ＜０＞では、Ｒ
ＨＳ１２４を使ってＩＫＥネゴシエーションを完了した
後、暗黙的なＭＡＰ規則１３０をオペレーティング・シ
ステムのカーネルにロードする。このステップ＜０＞
は、接続のＳＡと接続のフィルタをロードするステップ
と、ローカル・バインディング・テーブル２１０の空白
版を生成するステップとを備えている。アウトバウンド
処理では、ステップ＜１＞で送信元ＩＰ１３２が暗黙的
なＭＡＰ規則１３０の特定のＬＨＳと一致した場合、ス
テップ＜２＞で上述した場合１、場合２、場合３のいず
れかに決定する。この結果、ＲＨＳ１３８のＩＰアドレ
スが得られる。この選択されたＲＨＳ１３８は、送信元
ＩＰ１３２に取って代わる。ローカル・バインディング
・テーブル２１０に、選択されたバインディングのエン
トリを作成する。インバウンド処理では、ステップ＜３
＞で送信先ＩＰアドレス１４０がローカル・バインディ
ング・テーブル２１０のＲＨＳと一致した場合、ステッ
プ＜４＞で送信先ＩＰ１４０をローカル・バインディン
グ・テーブル２１０のＬＨＳで置き換える。

【００６２】ＬＨＳとＲＨＳとは、ＩＰアドレスの２つ
の集合のことである。ＶＰＮ ＮＡＴ規則は、１つずつ
から成る。すなわち、ＶＰＮ ＮＡＴ規則は、ＬＨＳア
ドレスのＲＨＳアドレスへのマッピング（ＬＨＳ−＞Ｒ
ＨＳ）を定義している。

【００６３】図１のステップ２６で、レスポンダ・モー
ドの接続が開始する。この際、ＩＫＥ機能が現在構成さ
れているポリシーに基づいてＳＡ群とネゴシエーション
する。ネゴシエーションが終わると、上記ＳＡ群は、１
〜ｎのＳＡ対から成るＳＡ集合体として接続マネージャ
に送られる。

【００６４】図６は、送信元−イン・タイプのＶＰＮ
ＮＡＴを説明する図である。図７は、送信先−イン・タ
イプのＶＰＮ ＮＡＴを説明する図である。

【００６５】図８を参照すると、接続マネージャ・サー
バ３００は、ＩＫＥサーバ３３０から開始メッセージ
（ｍｓｇ）３３２を受け取ると、ＶＰＮポリシー・デー
タベース３０４の接続定義３０６を見て、ＮＡＴフラグ
３１４を調べる。ＮＡＴリモート・フラグｓｏ３０８、
ｓｉ３１０、ｄｉ３１２のうちの少なくとも１つが「オ
ン」でる場合、ＩＤ１５２（図６）、ＩＤ１８２（図
７）に関連付けられたＮＡＴフラグに応じて、適切なＮ
ＡＴプール５０、５２、５４（図２）から、ＩＰアドレ
ス１５４（図６）、１８６（図７）を取得する。ＮＡＴ
フラグとＮＡＴプールとの間の関係は、次の通りであ
る。送信元−アウト（ｓｏ）フラグ３０８がオン、また
は送信元−イン（ｓｉ）フラグがオンの場合には、図２
のＮＡＴプール・タイプ５２（５４と同じタイプ）を使
い、リモートＶＰＮ接続の終点アドレスに基づいてＮＡ
Ｔプールを選択する。送信先−イン（ｄｉ）フラグ３１
２がオンである場合には、送信先アドレスが指示してい
る、図２のＮＡＴプール５０を使う。

【００６６】リモートＩＤプール１５０からのＩＰアド
レスの使用可能性の管理は、接続マネージャがアクティ
ブな接続の集合に基づいて基づいて行なう（タイプａ
「送信先−アウト」のＶＰＮ ＮＡＴの場合）。接続マ
ネージャは、ＩＤｃｒプール１８０（図７）に対する使
用可能性も取り扱う。これにより、負荷平衡をとるのが
可能になる。ＩＤｃｒプール１８０は、ＩＤｃｒのＮＡ
Ｔ処理を行なうためのＩＰアドレスの集合である。次に
示す２つの基本的な手法がある。（１）開始ごとに、Ｉ
Ｄｃｒプール１８０を始めのエントリから検索する。
（２）開始ごとに、ＩＤｃｒプール１８０を最後に使っ
たＩＰから検索する。

【００６７】ＩＰＳｅｃへのロードは、上述したイニシ
エータ・モードの場合と同様に行なう。リモートで開始
された接続の通信を処理する場合、インバウンド・パケ
ットとアウトバウンド・パケットとの各々に対して、２
つの変換を行なうことができる（送信元と送信先）。

【００６８】図６を参照すると、タイプｃ「送信元−イ
ン」のＶＰＮ ＮＡＴは、次に示すようにレスポンダ・
モードの接続を開始する。ステップ＜−２＞で、ＩＤｃ
ｉ１５２をＲＨＳ１５４にコピーすることにより、暗黙
的なＭＡＰ規則１５８＜MAPlhs TO rhs＞を生成する。
次いで、ステップ＜−１＞で、適切なＩＰアドレス・プ
ール１５０からＩＰアドレスを選択して、それをＬＨＳ
１５６にコピーする。ステップ＜０＞で、ＲＨＳ１５４
を使ったＩＫＥネゴシエーションが完了した後、暗黙的
なＭＡＰ規則１６０をロードする。このステップ＜０＞
には、上述したステップ＜０＞の処理と同じものが含ま
れる。つまり、２つのステップ＜０＞は、ＶＰＮ ＮＡ
Ｔの３つのタイプで全て同じである（ただし、いくつか
の低レベルの詳細を除く）。インバウンド・データグラ
ムの処理では、ステップ＜１＞で送信元ＩＰ１７２がＲ
ＨＳ１６８と一致した場合、ステップ＜２＞で送信元Ｉ
Ｐ１７２を対応するＬＨＳ１６６に変換する。次いで、
上述した場合１、場合２、または場合３に基づいて、リ
モート・バインディング・テーブル２１２にエントリを
作成する。アウトバウンド・データグラムの処理では、
ステップ＜３＞で送信先ＩＰ１６４がＬＨＳと一致した
場合、ステップ＜４＞で送信元ＩＰ１７２を対応するＲ
ＨＳ１６８に変換する。送信先ＩＰ１６４用の検索は、
場合３のときにはリモート・バインディング・テーブル
２１２を使い、場合１または場合２のときには暗黙的な
ＭＡＰ規則１６０を使う。

【００６９】図７を参照すると、タイプｄ「送信先−イ
ン」のＶＰＮ ＮＡＴは、次に示すように実行して、レ
スポンダ・モードの会話用にＩＤｃｒを変換する。ステ
ップ＜−２＞でＩＤｃｒ１８２をＲＨＳ１８４にコピー
して、暗黙的なＭＡＰ規則１８８を生成する。ステップ
＜−１＞で適切なＩＰアドレス・プール１８０からＩＰ
アドレスを取得して、それをＬＨＳ１８６にコピーす
る。ステップ＜０＞では、ＲＨＳ１８４を使ったＩＫＥ
ネゴシエーションが完了した後、暗黙的なＭＡＰ規則１
９０をロードする。（ステップ＜０＞は、低レベルな詳
細を除いて、図５および図６の場合と同じである）。

【００７０】インバウンド・データグラムの処理では、
ステップ＜１＞で送信先ＩＰ２００がＲＨＳ１９８と一
致した場合、ステップ＜２＞で送信先ＩＰ２００をＬＨ
Ｓ１９６に変換する。アウトバウンド・データグラムの
処理では、ステップ＜３＞で送信元ＩＰ１９２がＬＨＳ
１９６と一致した場合、ステップ＜４＞で送信元ＩＰ１
９２をＲＨＳ１９８に変換する。

【００７１】図８を参照すると、図１のステップ２８
で、接続マネージャ・サーバ３００は、ＳＡ対更新３０
２を得ると、新しいＳＡ対の情報を接続プロセス・メモ
リ３２０のＳＡ対テーブル３２２にコピーする。

【００７２】図１のステップ３０で、接続３４、３６を
終了させるとき、接続マネージャ・サーバ３００は、当
該接続に関連付けられたＮＡＴ ＩＰアドレス５２、５
４をを解放する（使用可能にする）。図８を参照して、
ＮＡＴ ＩＰアドレスを、接続マネージャ・サーバ３０
０が維持している適切なリスト３１６から除去する。

【００７３】ＬＨＳアドレス・セットとＲＨＳアドレス
・セットのサイズは、次に示す３項目の最小値をとるこ
とによって制御する。すなわち、（１）利用者が構成す
るサブネットのサイズ（すなわちアドレス範囲）、
（２）ＮＡＴプール当りを基礎にして利用者が構成する
接続当たりの並行ＶＰＮ ＮＡＴセッションの最大数、
（３）始めに構成したＮＡＴプールの中で今なお使用可
能な値の残存範囲の最大値、である。これは、接続の始
動（図１のステップ２４とステップ２６）の間に、ＶＰ
Ｎ接続マネージャが決める。

【００７４】〔別の実施形態〕ここでは説明のために本
発明の特定の実施形態を述べたけれども、本発明の本旨
と範囲から離れることなく、様々な変形をなしうる、と
いうことが認識できる。特に、本発明の方法に従ってコ
ンピュータの動作を制御する、および／または、本発明
のシステムに従って構成要素を組み立てる、コンピュー
ター・プログラム製品またはコンピューター・プログラ
ム要素、あるいは、本発明の方法に従ってコンピュータ
の動作を制御する、および／または、本発明のシステム
に従って構成要素を組み立てる、機械読み取り可能な信
号を格納する、固体または流体の伝送媒体、磁気ワイヤ
または光ワイヤ、テープまたはディスク、などのプログ
ラム格納装置すなわちプログラム記憶装置、を提供する
ことは、本発明の範囲内である。（「Ａおよび／または
Ｂ」は「ＡおよびＢ、Ａ、またはＢ」を表わす）。

【００７５】さらに、本発明の方法の各ステップは、Ｉ
ＢＭ Ｓｙｓｔｅｍ３９０、ＡＳ／４００、ＰＣ（パー
ソナル・コンピュータ）など任意の汎用コンピュータで
実行するとこができる。また、本発明の方法の各ステッ
プは、Ｃ＋＋、Ｊａｖａ（Ｒ）、ＰＬ／１、Ｆｏｒｔｒ
ａｎなど任意のプログラミング言語から生成したプログ
ラム要素、モジュール、またはオブジェクトのうちの少
なくとも１つ、あるいは、それ（またはそれら）の一部
に従うことができる。さらに、上記各ステップ、または
上記各ステップを実現するファイルやオブジェクトなど
は、専用ハードウェアまたは回路モジュールによって実
行することができる。

【００７６】したがって、本発明の保護範囲は、特許請
求の範囲およびその均等物によってしか限定されない。

【００７７】まとめとして以下の事項を開示する。 （１）ネットワーク・アドレス変換（ＮＡＴ）とＩＰセ
キュリティ（ＩＰＳｅｃ）処理とを統合するＩＰＳｅｃ
に基づいて、仮想私設網（ＶＰＮ）を操作する方法であ
って、ＮＡＴ ＩＰアドレス・プールを構成するステッ
プと、ＶＰＮ接続を構成して、前記ＮＡＴ ＩＰアドレ
ス・プールを使用するステップと、前記ＮＡＴ ＩＰア
ドレス・プールから特定のＩＰアドレスを取得し、その
特定のＩＰアドレスを前記ＶＰＮ接続に割り当てるステ
ップと、前記ＶＰＮ接続を開始するステップと、前記Ｖ
ＰＮ接続用のセキュリティ・アソシエーションおよび接
続フィルタをオペレーティング・システムのカーネルに
ロードするステップと、前記ＶＰＮ接続に対してＩＰデ
ータグラムを処理するステップと、前記ＩＰデータグラ
ムにＶＰＮ ＮＡＴを適用するステップとを備えた方
法。 （２）前記ＶＰＮ接続がアウトバウンド処理用に構成さ
れており、前記ＩＰデータグラムにＶＰＮ ＮＡＴを適
用する前記ステップが、アウトバウンド送信元ＩＰ Ｎ
ＡＴ処理を含んでいる、上記（１）に記載の方法。 （３）前記ＶＰＮ接続がインバウンド処理の組み合わせ
用に構成されており、前記ＩＰデータグラムにＶＰＮ
ＮＡＴを適用する前記ステップが、インバウンド送信元
ＩＰ ＮＡＴ処理、またはインバウンド送信先ＩＰ Ｎ
ＡＴ処理を含んでいる、上記（１）に記載の方法。 （４）さらに、ＮＡＴと、人手で施錠されたＩＰＳｅｃ
接続用のＩＰＳｅｃとを統合するために、接続鍵を人手
で構成するステップをさらに備えた、上記（１）に記載
の方法。 （５）さらに、ＮＡＴと、動的に施錠された（たとえば
ＩＫＥ）ＩＰＳｅｃ接続用のＩＰＳｅｃとを統合するた
めに、前記ＶＰＮ接続を構成して、前記ＶＰＮ接続用の
鍵を自動的に取得するステップをさらに備えた、上記
（１）に記載の方法。 （６）さらに、ＮＡＴと、ＩＫＥが動的にネゴシエーシ
ョンしたＩＰＳｅｃセキュリティ・アソシエーションと
を統合するために、前記ＶＰＮ接続を開始するステップ
が、ＩＫＥが前記ＮＡＴ ＩＰアドレス・プールから前
記ＩＰアドレスを取得するためのメッセージを生成する
ステップをさらに備え、さらに、ＩＫＥを操作してネゴ
シエーションされた鍵を動的に取得するステップを備え
た、上記（１）に記載の方法。 （７）さらに、動的に取得した鍵と前記ＮＡＴ ＩＰア
ドレ・スプールとを組み合わせるステップを備え、前記
ＶＰＮ接続用のセキュリティ・アソシエーションと接続
フィルタとをオペレーティング・システムのカーネルに
ロードする前記ステップが、セキュリティ・アソシエー
ションとしての結果を前記オペレーティング・システム
のカーネルにロードする、上記（６）に記載の方法。 （８）ＩＰＳｅｃベースのＶＰＮ接続とＶＰＮポリシー
の、定義と構成を直接使って、ＮＡＴの定義と構成を可
能にする方法であって、ＶＰＮ ＮＡＴタイプａアウト
バウンド送信元ＩＰ ＮＡＴ、ＶＰＮ ＮＡＴタイプｃ
インバウンド送信元ＩＰ ＮＡＴ、およびＶＰＮ ＮＡ
Ｔタイプｄインバウンド送信先ＩＰ ＮＡＴから成る３
つのタイプのＶＰＮ ＮＡＴの各々に対して、ポリシー
・データベースにおける諾否判断によってＶＰＮ ＮＡ
Ｔに対する要求を構成するステップと、前記ＶＰＮ Ｎ
ＡＴの各々に対する前記諾否判断に選択的に応答してリ
モートＩＰアドレス・プールすなわちサーバＩＰアドレ
ス・プールを構成するステップとを備えた方法。 （９）さらに、ＶＰＮ接続が必要されることになる各リ
モートＩＰアドレス用に前記リモートＩＰアドレス・プ
ールを一意に構成し、これにより、前記リモートＩＰア
ドレス・プールがリモートＩＤによって施錠されるステ
ップを備えた、上記（８）に記載の方法。 （１０）さらに、構成中のシステムに対して前記サーバ
ＩＰアドレス・プールをただ１つ構成するステップを備
えた、上記（８）に記載の方法。 （１１）ＶＰＮ ＮＡＴアクティビティがオペレーティ
ング・システムのカーネルで起きるときに、当該ＶＰＮ
ＮＡＴアクティビティを利用者が追跡することができ
るようにする方法であって、ＶＰＮ接続の構成に応答し
て、ジャーナル・レコードを生成するステップと、ＶＰ
Ｎ接続を通じて処理された各データグラムごとに、新し
いレコードで前記ジャーナル・レコードを更新するステ
ップと、利用者が前記ジャーナル・レコードを管理する
のを可能にするステップとを備えた方法。 （１２）ＶＰＮ ＮＡＴアドレス・プールがゲートウエ
イに関連付けらるのを可能にし、それにより、サーバの
負荷平衡を実現する方法であって、構成中のシステム用
にサーバＮＡＴ ＩＰアドレス・プールを構成するステ
ップと、前記サーバＮＡＴ ＩＰアドレス・プールに、
グローバルにルーティング可能な特定のＩＰアドレスを
格納するステップと、ＶＰＮ接続を構成して、前記サー
バＮＡＴ ＩＰアドレス・プールを使用するステップ
と、前記サーバＮＡＴ ＩＰアドレス・プール中のアド
レスの数に応じて、並行するＶＰＮ接続の総量を管理す
るステップとを備えた方法。 （１３）ＮＡＴアドレスの使用可能性に基づいて、シス
テム当りのＶＰＮ接続の総数を制御する方法であって、
ＩＰアドレスの共通集合でリモートＩＰアドレス・プー
ルの総量を構成するステップであって、前記ＩＰアドレ
スが、範囲として、単一のアドレスのリストとして、ま
たは、複数の範囲と単一のアドレスとの任意の組み合わ
せとして構成されているステップと、前記リモートＩＰ
アドレス・プールの総量にわたって構成された前記ＩＰ
アドレスの数に応じて、並行してアクティブなＶＰＮ接
続が成功裏に開始するのを制限するステップとを備えた
方法。 （１４）選択したＩＣＰＭデータグラムに対してネット
ワーク・アドレス変換を実行する方法であって、ＩＣＭ
Ｐタイプのパケットから選択したタイプを検出するステ
ップと、前記選択したタイプに応じて、ＩＣＰＭデータ
を含む全データグラムに対してネットワーク・アドレス
変換を実行するステップとを備えた方法。 （１５）選択したＦＴＰデータグラムに対してネットワ
ーク・アドレス変換を実行する方法であって、ＦＴＰ
ＰＯＲＴコマンドまたはＰＡＳＶ ＦＴＰコマンドの出
現を検出するステップと、前記ＦＴＰ ＰＯＲＴコマン
ドまたはＰＡＳＶ ＦＴＰコマンドに応答して、ＦＴＰ
データおよびヘッダーに対してネットワーク・アドレス
変換を実行するステップとを備えた方法。 （１６）ＮＡＴとＩＰＳｅｃ処理とを統合するＩＰＳｅ
ｃに基づいて、ＶＰＮを操作するシステムであって、Ｎ
ＡＴ ＩＰアドレス・プールを構成する手段と、ＶＰＮ
接続を構成して、前記ＮＡＴ ＩＰアドレス・プールを
使用する手段と、前記ＮＡＴ ＩＰアドレス・プールか
ら特定のＩＰアドレスを取得し、その特定のＩＰアドレ
スを前記ＶＰＮ接続に割り当てる手段と、前記ＶＰＮ接
続を開始する手段と、前記ＶＰＮ接続用のセキュリティ
・アソシエーションおよび接続フィルタをオペレーティ
ング・システムのカーネルにロードする手段と、前記Ｖ
ＰＮ接続に対してＩＰデータグラムを処理する手段と、
前記ＩＰデータグラムにＶＰＮ ＮＡＴを適用する手段
と備えたシステム。 （１７）ＩＰＳｅｃベースのＶＰＮ接続とＶＰＮポリシ
ーの、定義と構成を直接使って、ＮＡＴの定義と構成を
可能にするシステムであって、ＶＰＮ ＮＡＴタイプａ
アウトバウンド送信元ＩＰ ＮＡＴ、ＶＰＮ ＮＡＴタ
イプｃインバウンド送信元ＩＰ ＮＡＴ、およびＶＰＮ
ＮＡＴタイプｄインバウンド送信先ＩＰ ＮＡＴから
成る３つのタイプのＶＰＮ ＮＡＴの各々に対する諾否
判断によってＶＰＮ ＮＡＴに対する要求を構成するポ
リシー・データベースと、前記ＶＰＮ ＮＡＴの各々に
対する前記諾否判断に応答して選択的に構成されたリモ
ートＩＰアドレス・プールすなわちサーバＩＰアドレス
・プールとを備えたシステム。 （１８）ＶＰＮ ＮＡＴアドレス・プールがゲートウエ
イに関連付けらるのを可能にし、それにより、サーバの
負荷平衡を実現するシステムであって、範囲として、単
一のアドレスのリストとして、または、複数の範囲と単
一のアドレスとの任意の組み合わせとして構成された複
数のアドレスを含むように、構成中の所定のシステム用
に構成されたサーバＮＡＴ ＩＰアドレス・プールと、
グローバルにルーティング可能な特定のＩＰアドレスを
格納する前記サーバＮＡＴ ＩＰアドレス・プールと、
前記サーバＮＡＴ ＩＰアドレス・プールを使用するよ
うに構成されたＶＰＮ接続と、前記サーバＮＡＴ ＩＰ
アドレス・プール中のアドレスの数に応じて、並行する
ＶＰＮ接続の総量を管理する接続コントローラとを備え
たシステム。 （１９）ＮＡＴとＩＰＳｅｃ処理とを統合するＩＰＳｅ
ｃに基づいて、ＶＰＮを操作する方法であって、ＮＡＴ
ＩＰアドレス・プールを構成するステップと、ＶＰＮ
接続を構成して、前記ＮＡＴ ＩＰアドレス・プールを
使用するステップと、前記ＮＡＴ ＩＰアドレス・プー
ルから特定のＩＰアドレスを取得し、その特定のＩＰア
ドレスを前記ＶＰＮ接続に割り当てるステップと、前記
ＶＰＮ接続を開始するステップと、前記ＶＰＮ接続用の
セキュリティ・アソシエーションおよび接続フィルタを
オペレーティング・システムのカーネルにロードするス
テップと、前記ＶＰＮ接続に対してＩＰデータグラムを
処理するステップと、前記ＩＰデータグラムにＶＰＮ
ＮＡＴを適用するステップとを備えた方法を実行する、
機械実行可能な命令から成るプログラムを有形的に記録
した機械読み取り可能なプログラム記憶装置。 （２０）自身の中にＮＡＴとＩＰＳｅｃ処理とを統合す
るＩＰＳｅｃに基づいて、ＶＰＮを操作するコンピュー
タ読み取り可能なプログラム・コード手段を記録したコ
ンピュータ使用可能な媒体を備えた製品であって、前記
製品中のコンピュータ読み取り可能なプログラム・コー
ド手段が、ＮＡＴ ＩＰアドレス・プールを構成するよ
うにコンピュータに働きかけるコンピュータ読み取り可
能なプログラム・コード手段と、ＶＰＮ接続を構成し
て、前記ＮＡＴ ＩＰアドレス・プールを使用するよう
にコンピュータに働きかけるコンピュータ読み取り可能
なプログラム・コード手段と、前記ＮＡＴ ＩＰアドレ
ス・プールから特定のＩＰアドレスを取得し、その特定
のＩＰアドレスを前記ＶＰＮ接続に割り当てるようにコ
ンピュータに働きかけるコンピュータ読み取り可能なプ
ログラム・コード手段と、前記ＶＰＮ接続を開始するよ
うにコンピュータに働きかけるコンピュータ読み取り可
能なプログラム・コード手段と、前記ＶＰＮ接続用のセ
キュリティ・アソシエーションおよび接続フィルタをオ
ペレーティング・システムのカーネルにロードするよう
にコンピュータに働きかけるコンピュータ読み取り可能
なプログラム・コード手段と、前記ＶＰＮ接続に対して
ＩＰデータグラムを処理するようにコンピュータに働き
かけるコンピュータ読み取り可能なプログラム・コード
手段と、前記ＩＰデータグラムにＶＰＮ ＮＡＴを適用
するようにコンピュータに働きかけるコンピュータ読み
取り可能なプログラム・コード手段とを備えた製品。 （２１）ネットワーク・アドレス変換（ＮＡＴ）を使っ
て仮想私設網（ＶＰＮ）にＩＰセキュリティ（ＩＰＳｅ
ｃ）を実現する方法であって、動的にＮＡＴ規則を生成
し、それらと人手でまたは動的に生成した（ＩＫＥ）セ
キュリティ・アソシエーションとを関連付けるステップ
と、その後、前記セキュリティ・アソシエーションを使
うＩＰＳｅｃを開始するステップと、次いで、アウトバ
ウンド・データグラムおよびインバウンド・データグラ
ムに対してＩＰＳｅｃを実行するときに、ＶＰＮ ＮＡ
Ｔタイプａアウトバウンド送信元ＩＰＮＡＴ、ＶＰＮ
ＮＡＴタイプｃインバウンド送信元ＩＰ ＮＡＴ、およ
びＶＰＮ ＮＡＴタイプｄインバウンド送信先ＩＰ Ｎ
ＡＴのうちの少なくとも１つを選択的に実行するステッ
プとを備えた方法。 （２２）前記ＮＡＴ ＩＰアドレス・プールが、範囲と
して、単一のアドレスのリストとして、または、複数の
範囲と単一のアドレスとの任意の組み合わせとして構成
された複数のアドレスを含んでいる、上記（１）に記載
の方法。

【００７８】

【発明の効果】本発明の効果は、ＮＡＴ（Network addr
ess Translation ）とＩＰセキュリティ（IP Security:
ＩＰＳｅｃ）との双方を並行して実現する、改良され、
かつ大幅に簡易化したシステムと方法とが実現すること
である。

【００７９】本発明の他の効果は、ＶＰＮ（virtual Pr
ivate netwrk）の使用に内在する、ＩＰアドレスの衝突
の可能性が増大するという問題を解決するシステムと方
法とが実現することである。

【００８０】本発明の他の効果は、ドメインの再アドレ
ス指定（高価な代替手段）を必要とすることなく、ＶＰ
Ｎを利用することができるようにするシステムと方法と
が実現することである。

【００８１】本発明の他の効果は、ドメイン・ホストに
おける変更を必要とすることなく、ＩＰＳｅｃゲートウ
エイで全て実現する、ＶＰＮ ＮＡＴ用のシステムと方
法とが実現することである。

【００８２】本発明の他の効果は、接続された各ドメイ
ンにおけるルーティングの変更を全く、あるいは少しし
か必要としない、ＶＰＮ ＮＡＴ用のシステムと方法と
が実現することである。

【００８３】本発明の他の効果は、単純な構成をした、
ＶＰＮ ＮＡＴ用のシステムと方法とが実現することで
ある。

【００８４】本発明の他の効果は、ＶＰＮが引き起こす
アドレス衝突の問題の解決策が実現することである。

【００８５】本発明の他の効果は、利用者がＶＰＮ接続
を構成するのを支援する簡単化した解決策が実現するこ
とである。

【００８６】本発明の他の効果は、単一のＶＰＮ接続が
複数のＶＰＮ ＮＡＴ規則をサポートすることができる
ようにすることである。

【００８７】本発明の他の効果は、暗黙的にすなわち動
的に割り当てられたＶＰＮ ＮＡＴ規則内の衝突を、シ
ステム全体の観点から避けることのできるシステムと方
法とが実現することである。

【００８８】本発明の他の効果は、各ＮＡＴ規則に対す
る多数の別々のＶＰＮ接続を管理する必要を無くすこと
により、動的ＮＡＴ規則に要するシステムのオーバーヘ
ッドを低減することのできるシステムと方法とが実現す
ることである。

【００８９】本発明の他の効果は、ネットワークの監視
とトラフィックの分析とを簡単化することのできるＶＰ
Ｎ ＮＡＴシステムと方法とが実現することである。

【図面の簡単な説明】

【図１】 本発明の好適な実施形態のＶＰＮ ＮＡＴ方
法のフローチャートを示す図である。

【図２】 典型的なＩＰＳｅｃシナリオと関連するＶＰ
Ｎ ＮＡＴプールを示す図である。

【図３】 説明のために静的ＮＡＴ（最も簡単な既存の
ＮＡＴ）を示す図である。

【図４】 説明のためにマスカレードＮＡＴ（既存のＮ
ＡＴの典型例）を示す図である。

【図５】 イニシエータ・モードの会話用にＩＤｃｉを
変換したタイプａ（「送信元−アウト」とも呼ばれる）
のＶＰＮ ＮＡＴを示す図である。

【図６】 レスポンダ・モードの会話用にＩＤｃｉを変
換したタイプｃ（「送信元−イン」とも呼ばれる）のＶ
ＰＮ ＮＡＴを示す図である。

【図７】 レスポンダ・モードの会話用にＩＤｃｒを変
換したタイプｄ（「送信先−イン」とも呼ばれる）のＶ
ＰＮ ＮＡＴを示す図である。

【図８】 本発明のシステムと方法を実現する様々なプ
ログラム要素とデータ要素との間の関係を説明する高レ
ベルのフロー図を示す図である。

【符号の説明】

３４…線、３６…線、４０…インターネット、４２…ゲ
ートウエイ（ＧＷ）、４４…ゲートウエイ（ＧＷ）、４
６…ゲートウエイ（ＧＷ）、４８…ＩＰＳｅｃポリシー
・データベース、５０…ＮＡＴプール、５２…ＮＡＴプ
ール、５４…ＮＡＴプール、５６…内部ネットワーク、
５８…内部ネットワーク、６０…内部ネットワーク、７
０…送信元ＩＰ、７２…ＬＨＳ、７４…送信先ＩＰ、７
６…ＲＨＳ、７８…送信先ＩＰ、８０…送信元ＩＰ、９
０…送信元ＩＰ、９２…ＩＰアドレス・セット、９４…
フィールド、９６…フィールド、９８…送信元ポート、
１００…フィールド、１０２…フィールド、１０４…Ｒ
ＨＳ、１０６…送信先ＩＰ、１０８…送信先ポート、１
１０…送信元ＩＰ、１１２…送信元ポート、１１４…送
信先ＩＰ、１１６…送信先ポート、１１８…ポート・プ
ール、１２０…リモートＩＤ、１２２…ローカル・クラ
イアントＩＤ、１２４…ＲＨＳ、１２６…ＬＨＳ、１２
８…暗黙的なＭＡＰ規則、１３０…暗黙的なＭＡＰ規
則、１３２…送信元ＩＰ、１３４…送信先ＩＰ、１３６
…ＬＨＳ、１３８…ＲＨＳ、１４０…送信先ＩＰ、１４
２…送信元ＩＰ、１５０…リモートＩＤ、１５２…ロー
カル・クライアントＩＤ、１５４…ＲＨＳ、１５６…Ｌ
ＨＳ、１５８…暗黙的なＭＡＰ規則、１６０…暗黙的な
ＭＡＰ規則、１６２…送信元ＩＰ、１６４…送信先Ｉ
Ｐ、１６６…ＬＨＳ、１６８…ＲＨＳ、１７０…送信先
ＩＰ、１７２…送信元ＩＰ、１８０…リモートＩＤ、１
８２…ローカル・クライアントＩＤ、１８４…ＲＨＳ、
１８６…ＬＨＳ、１８８…暗黙的なＭＡＰ規則、１９０
…暗黙的なＭＡＰ規則、１９２…送信元ＩＰ、１９４…
送信先ＩＰ、１９６…ＬＨＳ、１９８…ＲＨＳ、２００
…送信先ＩＰ、２０２…送信元ＩＰ、２１０…ローカル
・バインディング・テーブル、２１２…リモート・バイ
ンディング・テーブル、２１４…ローカル・バインディ
ング・テーブル、３００…接続マネージャ・サーバ、３
０２…ＳＡ対更新、３０４…ＶＰＮポリシー・データベ
ース、３０６…接続定義、３０８…ＮＡＴリモート・フ
ラグｓｏ、３１０…ＮＡＴリモート・フラグｓｉ、３１
２…ＮＡＴリモート・フラグｄｉ、３１４…ＮＡＴフラ
グ、３１６…ＮＡＴアドレス・リスト、３２０…接続プ
ロセス・メモリ、３２２…ＳＡ対テーブル。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 マーク・ジェイ・メルヴィル アメリカ合衆国 ニューヨーク州 13760、 エンドウエル、フォックスボロ レーン 1301 (72)発明者 トッド・エー・モンロー アメリカ合衆国 ニューヨーク州 13760、 エンディコット、エドソン ロード 241 (72)発明者 フランク・ブイ・パックスヒア アメリカ合衆国 ニューヨーク州 13905、 ビングハムトン、エアポート ロード 1111 Ｆターム(参考） 5K030 GA11 GA15 HB19 HC01 HC13 HD03 HD09 MA01 MB09

Claims (22)

【特許請求の範囲】
1. 【請求項１】ネットワーク・アドレス変換（ＮＡＴ）と
   ＩＰセキュリティ（ＩＰＳｅｃ）処理とを統合するＩＰ
   Ｓｅｃに基づいて、仮想私設網（ＶＰＮ）を操作する方
   法であって、 ＮＡＴ ＩＰアドレス・プールを構成するステップと、 前記ＮＡＴ ＩＰアドレス・プールを使用するようにＶ
   ＰＮ接続を構成するステップと、 前記ＮＡＴ ＩＰアドレス・プールから特定のＩＰアド
   レスを取得し、その特定のＩＰアドレスを前記ＶＰＮ接
   続に割り当てるステップと、 前記ＶＰＮ接続を開始するステップと、 前記ＶＰＮ接続用のセキュリティ連合および接続フィル
   タをオペレーティング・システムのカーネルにロードす
   るステップと、 前記ＶＰＮ接続に対してＩＰデータグラムを処理するス
   テップと、 前記ＩＰデータグラムにＶＰＮ ＮＡＴを適用するステ
   ップとを備えた方法。
2. 【請求項２】前記ＶＰＮ接続がアウトバウンド処理用に
   構成されており、 前記ＩＰデータグラムにＶＰＮ ＮＡＴを適用する前記
   ステップが、アウトバウンド送信元ＩＰ ＮＡＴ処理を
   含んでいる、請求項１に記載の方法。
3. 【請求項３】前記ＶＰＮ接続がインバウンド処理の組み
   合わせ用に構成されており、 前記ＩＰデータグラムにＶＰＮ ＮＡＴを適用する前記
   ステップが、インバウンド送信元ＩＰ ＮＡＴ処理、ま
   たはインバウンド送信先ＩＰ ＮＡＴ処理を含んでい
   る、請求項１に記載の方法。
4. 【請求項４】さらに、ＮＡＴと、人手で施錠されたＩＰ
   Ｓｅｃ接続用のＩＰＳｅｃとを統合するために、 接続鍵を人手で構成するステップをさらに備えた、請求
   項１に記載の方法。
5. 【請求項５】さらに、ＮＡＴと、動的に施錠された（た
   とえばＩＫＥ）ＩＰＳｅｃ接続用のＩＰＳｅｃとを統合
   するために、 前記ＶＰＮ接続を構成して、前記ＶＰＮ接続用の鍵を自
   動的に取得するステップをさらに備えた、請求項１に記
   載の方法。
6. 【請求項６】さらに、ＮＡＴと、ＩＫＥが動的にネゴシ
   エーションしたＩＰＳｅｃセキュリティ・アソシエーシ
   ョンとを統合するために、 前記ＶＰＮ接続を開始するステップが、ＩＫＥが前記Ｎ
   ＡＴ ＩＰアドレス・プールから前記ＩＰアドレスを取
   得するためのメッセージを生成するステップをさらに備
   え、 さらに、 ＩＫＥを操作してネゴシエーションされた鍵を動的に取
   得するステップを備えた、請求項１に記載の方法。
7. 【請求項７】さらに、動的に取得した鍵と前記ＮＡＴ
   ＩＰアドレ・スプールとを組み合わせるステップを備
   え、 前記ＶＰＮ接続用のセキュリティ・アソシエーションと
   接続フィルタとをオペレーティング・システムのカーネ
   ルにロードする前記ステップが、セキュリティ・アソシ
   エーションとしての結果を前記オペレーティング・シス
   テムのカーネルにロードする、請求項６に記載の方法。
8. 【請求項８】ＩＰＳｅｃベースのＶＰＮ接続とＶＰＮポ
   リシーの、定義と構成を直接使って、ＮＡＴの定義と構
   成を可能にする方法であって、 ＶＰＮ ＮＡＴタイプａアウトバウンド送信元ＩＰ Ｎ
   ＡＴ、ＶＰＮ ＮＡＴタイプｃインバウンド送信元ＩＰ
   ＮＡＴ、およびＶＰＮ ＮＡＴタイプｄインバウンド
   送信先ＩＰ ＮＡＴから成る３つのタイプのＶＰＮ Ｎ
   ＡＴの各々に対して、ポリシー・データベースにおける
   諾否判断によってＶＰＮ ＮＡＴに対する要求を構成す
   るステップと、 前記ＶＰＮ ＮＡＴの各々に対する前記諾否判断に選択
   的に応答してリモートＩＰアドレス・プールすなわちサ
   ーバＩＰアドレス・プールを構成するステップとを備え
   た方法。
9. 【請求項９】 さらに、 ＶＰＮ接続が必要されることになる各リモートＩＰアド
   レス用に前記リモートＩＰアドレス・プールを一意に構
   成し、これにより、前記リモートＩＰアドレス・プール
   がリモートＩＤによって施錠されるステップを備えた、
   請求項８に記載の方法。
10. 【請求項１０】 さらに、 構成中のシステムに対して前記サーバＩＰアドレス・プ
    ールをただ１つ構成するステップを備えた、請求項８に
    記載の方法。
11. 【請求項１１】ＶＰＮ ＮＡＴアクティビティがオペレ
    ーティング・システムのカーネルで起きるときに、当該
    ＶＰＮ ＮＡＴアクティビティを利用者が追跡すること
    ができるようにする方法であって、 ＶＰＮ接続の構成に応答して、ジャーナル・レコードを
    生成するステップと、 ＶＰＮ接続を通じて処理された各データグラムごとに、
    新しいレコードで前記ジャーナル・レコードを更新する
    ステップと、 利用者が前記ジャーナル・レコードを管理するのを可能
    にするステップとを備えた方法。
12. 【請求項１２】ＶＰＮ ＮＡＴアドレス・プールがゲー
    トウエイに関連付けらるのを可能にし、それにより、サ
    ーバの負荷平衡を実現する方法であって、 構成中のシステム用にサーバＮＡＴ ＩＰアドレス・プ
    ールを構成するステップと、 前記サーバＮＡＴ ＩＰアドレス・プールに、グローバ
    ルにルーティング可能な特定のＩＰアドレスを格納する
    ステップと、 ＶＰＮ接続を構成して、前記サーバＮＡＴ ＩＰアドレ
    ス・プールを使用するステップと、 前記サーバＮＡＴ ＩＰアドレス・プール中のアドレス
    の数に応じて、並行するＶＰＮ接続の総量を管理するス
    テップとを備えた方法。
13. 【請求項１３】ＮＡＴアドレスの使用可能性に基づい
    て、システム当りのＶＰＮ接続の総数を制御する方法で
    あって、 ＩＰアドレスの共通集合でリモートＩＰアドレス・プー
    ルの総量を構成するステップであって、前記ＩＰアドレ
    スが、範囲として、単一のアドレスのリストとして、ま
    たは、複数の範囲と単一のアドレスとの任意の組み合わ
    せとして構成されているステップと、 前記リモートＩＰアドレス・プールの総量にわたって構
    成された前記ＩＰアドレスの数に応じて、並行してアク
    ティブなＶＰＮ接続が成功裏に開始するのを制限するス
    テップとを備えた方法。
14. 【請求項１４】選択したＩＣＰＭデータグラムに対して
    ネットワーク・アドレス変換を実行する方法であって、 ＩＣＭＰタイプのパケットから選択したタイプを検出す
    るステップと、 前記選択したタイプに応じて、ＩＣＰＭデータを含む全
    データグラムに対してネットワーク・アドレス変換を実
    行するステップとを備えた方法。
15. 【請求項１５】選択したＦＴＰデータグラムに対してネ
    ットワーク・アドレス変換を実行する方法であって、 ＦＴＰ ＰＯＲＴコマンドまたはＰＡＳＶ ＦＴＰコマ
    ンドの出現を検出するステップと、 前記ＦＴＰ ＰＯＲＴコマンドまたはＰＡＳＶ ＦＴＰ
    コマンドに応答して、ＦＴＰデータおよびヘッダーに対
    してネットワーク・アドレス変換を実行するステップと
    を備えた方法。
16. 【請求項１６】ＮＡＴとＩＰＳｅｃ処理とを統合するＩ
    ＰＳｅｃに基づいて、ＶＰＮを操作するシステムであっ
    て、 ＮＡＴ ＩＰアドレス・プールを構成する手段と、 ＶＰＮ接続を構成して、前記ＮＡＴ ＩＰアドレス・プ
    ールを使用する手段と、 前記ＮＡＴ ＩＰアドレス・プールから特定のＩＰアド
    レスを取得し、その特定のＩＰアドレスを前記ＶＰＮ接
    続に割り当てる手段と、 前記ＶＰＮ接続を開始する手段と、 前記ＶＰＮ接続用のセキュリティ・アソシエーションお
    よび接続フィルタをオペレーティング・システムのカー
    ネルにロードする手段と、 前記ＶＰＮ接続に対してＩＰデータグラムを処理する手
    段と、 前記ＩＰデータグラムにＶＰＮ ＮＡＴを適用する手段
    と備えたシステム。
17. 【請求項１７】ＩＰＳｅｃベースのＶＰＮ接続とＶＰＮ
    ポリシーの、定義と構成を直接使って、ＮＡＴの定義と
    構成を可能にするシステムであって、 ＶＰＮ ＮＡＴタイプａアウトバウンド送信元ＩＰ Ｎ
    ＡＴ、ＶＰＮ ＮＡＴタイプｃインバウンド送信元ＩＰ
    ＮＡＴ、およびＶＰＮ ＮＡＴタイプｄインバウンド
    送信先ＩＰ ＮＡＴから成る３つのタイプのＶＰＮ Ｎ
    ＡＴの各々に対する諾否判断によってＶＰＮ ＮＡＴに
    対する要求を構成するポリシー・データベースと、 前記ＶＰＮ ＮＡＴの各々に対する前記諾否判断に応答
    して選択的に構成されたリモートＩＰアドレス・プール
    すなわちサーバＩＰアドレス・プールとを備えたシステ
    ム。
18. 【請求項１８】ＶＰＮ ＮＡＴアドレス・プールがゲー
    トウエイに関連付けらるのを可能にし、それにより、サ
    ーバの負荷平衡を実現するシステムであって、 範囲として、単一のアドレスのリストとして、または、
    複数の範囲と単一のアドレスとの任意の組み合わせとし
    て構成された複数のアドレスを含むように、構成中の所
    定のシステム用に構成されたサーバＮＡＴ ＩＰアドレ
    ス・プールと、 グローバルにルーティング可能な特定のＩＰアドレスを
    格納する前記サーバＮＡＴ ＩＰアドレス・プールと、 前記サーバＮＡＴ ＩＰアドレス・プールを使用するよ
    うに構成されたＶＰＮ接続と、 前記サーバＮＡＴ ＩＰアドレス・プール中のアドレス
    の数に応じて、並行するＶＰＮ接続の総量を管理する接
    続コントローラとを備えたシステム。
19. 【請求項１９】ＮＡＴとＩＰＳｅｃ処理とを統合するＩ
    ＰＳｅｃに基づいて、ＶＰＮを操作する方法であって、 ＮＡＴ ＩＰアドレス・プールを構成するステップと、 ＶＰＮ接続を構成して、前記ＮＡＴ ＩＰアドレス・プ
    ールを使用するステップと、 前記ＮＡＴ ＩＰアドレス・プールから特定のＩＰアド
    レスを取得し、その特定のＩＰアドレスを前記ＶＰＮ接
    続に割り当てるステップと、 前記ＶＰＮ接続を開始するステップと、 前記ＶＰＮ接続用のセキュリティ・アソシエーションお
    よび接続フィルタをオペレーティング・システムのカー
    ネルにロードするステップと、 前記ＶＰＮ接続に対してＩＰデータグラムを処理するス
    テップと、 前記ＩＰデータグラムにＶＰＮ ＮＡＴを適用するステ
    ップとを備えた方法を実行する、機械実行可能な命令か
    ら成るプログラムを有形的に記録した機械読み取り可能
    なプログラム記憶装置。
20. 【請求項２０】自身の中にＮＡＴとＩＰＳｅｃ処理とを
    統合するＩＰＳｅｃに基づいて、ＶＰＮを操作するコン
    ピュータ読み取り可能なプログラム・コード手段を記録
    したコンピュータ使用可能な媒体を備えた製品であっ
    て、 前記製品中のコンピュータ読み取り可能なプログラム・
    コード手段が、 ＮＡＴ ＩＰアドレス・プールを構成するようにコンピ
    ュータに働きかけるコンピュータ読み取り可能なプログ
    ラム・コード手段と、 ＶＰＮ接続を構成して、前記ＮＡＴ ＩＰアドレス・プ
    ールを使用するようにコンピュータに働きかけるコンピ
    ュータ読み取り可能なプログラム・コード手段と、 前記ＮＡＴ ＩＰアドレス・プールから特定のＩＰアド
    レスを取得し、その特定のＩＰアドレスを前記ＶＰＮ接
    続に割り当てるようにコンピュータに働きかけるコンピ
    ュータ読み取り可能なプログラム・コード手段と、 前記ＶＰＮ接続を開始するようにコンピュータに働きか
    けるコンピュータ読み取り可能なプログラム・コード手
    段と、 前記ＶＰＮ接続用のセキュリティ・アソシエーションお
    よび接続フィルタをオペレーティング・システムのカー
    ネルにロードするようにコンピュータに働きかけるコン
    ピュータ読み取り可能なプログラム・コード手段と、 前記ＶＰＮ接続に対してＩＰデータグラムを処理するよ
    うにコンピュータに働きかけるコンピュータ読み取り可
    能なプログラム・コード手段と、 前記ＩＰデータグラムにＶＰＮ ＮＡＴを適用するよう
    にコンピュータに働きかけるコンピュータ読み取り可能
    なプログラム・コード手段とを備えた製品。
21. 【請求項２１】ネットワーク・アドレス変換（ＮＡＴ）
    を使って仮想私設網（ＶＰＮ）にＩＰセキュリティ（Ｉ
    ＰＳｅｃ）を実現する方法であって、 動的にＮＡＴ規則を生成し、それらと人手でまたは動的
    に生成した（ＩＫＥ）セキュリティ・アソシエーション
    とを関連付けるステップと、その後、 前記セキュリティ・アソシエーションを使うＩＰＳｅｃ
    を開始するステップと、次いで、 アウトバウンド・データグラムおよびインバウンド・デ
    ータグラムに対してＩＰＳｅｃを実行するときに、ＶＰ
    Ｎ ＮＡＴタイプａアウトバウンド送信元ＩＰＮＡＴ、
    ＶＰＮ ＮＡＴタイプｃインバウンド送信元ＩＰ ＮＡ
    Ｔ、およびＶＰＮ ＮＡＴタイプｄインバウンド送信先
    ＩＰ ＮＡＴのうちの少なくとも１つを選択的に実行す
    るステップとを備えた方法。
22. 【請求項２２】前記ＮＡＴ ＩＰアドレス・プールが、
    範囲として、単一のアドレスのリストとして、または、
    複数の範囲と単一のアドレスとの任意の組み合わせとし
    て構成された複数のアドレスを含んでいる、請求項１に
    記載の方法。