JP2002185540A - 暗号装置、暗号化器および復号器 - Google Patents

Abstract

(57)【要約】 【課題】 既存のネットワークシステムに容易に設置で
きる暗号装置、暗号化器および復号器を得ることを目的
とする。 【解決手段】 平文ネットワークから受信した平文デー
タを暗号化すると共に、アドレスと他の暗号装置との予
め定められた対応関係を参照し、平文データのヘッダに
設定されたアドレスに対応する暗号装置に基づいて新規
にヘッダを設定するエンカプセル処理を行って生成した
暗号データを上記平文ネットワークと同一ＩＰサブネッ
トの暗号文ネットワークへ送信する暗号化／エンカプセ
ル処理部と、暗号文ネットワークから受信した暗号デー
タを平文データに復号すると共に、当該平文データのヘ
ッダに設定されたアドレスに基づいてヘッダを再設定す
るデカプセル処理を行って生成した平文データを上記暗
号文ネットワークと同一ＩＰサブネットの平文ネットワ
ークへ送信する復号／デカプセル処理部とを備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、平文ネットワーク
と暗号文ネットワークとの間でデータを中継する装置に
関し、特に、平文データを暗号化すると共に暗号データ
を復号する暗号装置、平文データを暗号化する暗号化
器、暗号データを復号する復号器に関するものである。

【０００２】

【従来の技術】IPSEC(RFC2401〜2410)に代表されるエン
カプセル暗号化方式を使用した暗号装置のネットワーク
上での基本アーキテクチャは、ルータまたは端末が想定
されている。図１２は、従来の一般的なネットワーク構
成を示す構成図である。図１２に示すネットワークに、
ルータまたは端末を基本アーキテクチャとした暗号装置
を設置し、暗号通信システムを構築する事例を以下に説
明する。

【０００３】図１２において、S1はローカルネットワー
クLN1に接続された端末、S2はローカルネットワークLN2
に接続された端末、R1はローカルネットワークLN1とイ
ンターネットINを接続するルータ、R2はローカルネット
ワークLN2とインターネットINを接続するルータであ
り、上記端末S1と上記端末S2は、上記インターネットIN
を介して通信を実施する。また、一般的にインターネッ
トINに接続されるルータR1、ルータR2では、フィルタな
どのファイアウォール機能が働いている場合が多い。な
お、ローカルネットワークLN1、LN2内にはローカルネッ
トワークを構成する複数のルータが存在する場合が一般
的である。

【０００４】図１３は、図１２に示したネットワークに
ルータを基本アーキテクチャとした暗号装置（以下、ル
ータ型暗号装置）を設置した場合のネットワーク構成を
示す構成図である。図１３において、ROE1はローカルネ
ットワークLN1側のルータ型暗号装置、ROE2はローカル
ネットワークLN2側のルータ型暗号装置、SN1は上記ルー
タ型暗号装置ROE1を設置するために新たに定義したサブ
ネット、SN2は上記ルータ型暗号装置ROE2を設置するた
めに新たに定義したサブネット、インタネットVPNは、
上記ルータ型暗号装置ROE1およびルータ型暗号装置ROE2
を設置することによって構成可能となるインタネット上
のVPN（Virtual Private Network）である。ローカルネ
ットワークLN1からLN2への通信データの流れを図中太線
矢印（実線部分：平文、点線部分：暗号文）で示す。

【０００５】ところが、図１３に示すように、ルータ型
暗号装置ROE1をローカルネットワークLN1に設置する場
合、ルータ型暗号装置ROE1というルータが、新たにロー
カルネットワークLN1に設置されるため、当該ローカル
ネットワークLN1内の端末およびルータのネットワーク
パラメータの設定をこれに合わせて変更する必要があ
る。また、ルータ型暗号装置ROE2を設置するローカルネ
ットワークLN2でも、同様の変更を実施する必要があ
る。

【０００６】また、図１４は、図１２に示したネットワ
ークに端末を基本アーキテクチャとした暗号装置（以
下、端末型暗号装置）を設置した場合のネットワーク構
成を示す構成図である。図１４において、SE1はローカ
ルネットワークLN1側の端末型暗号装置、SE2はローカル
ネットワークLN2側の端末型暗号装置、インタネットVPN
は、上記端末型暗号装置SE1および端末型暗号装置SE2を
設置することによって構成可能となるインタネット上の
VPNである。ローカルネットワークLN1からLN2への通信
データの流れを図中太線矢印（実線部分：平文、点線部
分：暗号文）で示す。

【０００７】ところが、図１４に示すように、端末型暗
号装置SE1をローカルネットワークLN1に設置する場合、
ローカルネットワークLN1からの通信データの宛先が上
記端末型暗号装置SE1となるように、上記ローカルネッ
トワークLN1内の端末およびルータのネットワークパラ
メータの設定を変更する必要がある。また、端末型暗号
装置SE2を設置するローカルネットワークLN2でも、同様
の変更を実施する必要がある。

【０００８】

【発明が解決しようとする課題】このように、従来、エ
ンカプセル暗号化方式を使用した暗号装置を新たにネッ
トワーク上に設置する場合は、その暗号装置に接続され
たローカルネットワーク内の端末およびルータのネット
ワークパラメータの設定を変更する必要があるという問
題点があった。

【０００９】本発明は、上記のような問題点を解決する
ためになされたもので、暗号装置を設置する際における
ネットワーク上の他の機器のネットワークパラメータの
変更作業をなくし、既存のネットワークシステムに容易
に設置できる暗号装置、暗号化器および復号器を得るこ
とを目的とする。

【００１０】

【課題を解決するための手段】この発明に係る暗号装置
は、平文ネットワークと暗号文ネットワークとの間でデ
ータを中継するものであって、上記平文ネットワークか
ら受信した平文データを暗号化すると共に、アドレスと
他の暗号装置との予め定められた対応関係に基づいて、
上記平文データのヘッダに設定されたアドレスに対応す
る暗号装置を決定し、当該決定した他の暗号装置に基づ
いて新規にヘッダを設定するエンカプセル処理を行って
生成した暗号データを上記平文ネットワークと同一ＩＰ
サブネットの暗号文ネットワークへ送信する暗号化／エ
ンカプセル処理部と、上記暗号文ネットワークから受信
した暗号データを平文データに復号すると共に、当該平
文データのヘッダに設定されたアドレスに基づいてヘッ
ダを再設定するデカプセル処理を行って生成した平文デ
ータを上記暗号文ネットワークと同一ＩＰサブネットの
平文ネットワークへ送信する復号／デカプセル処理部と
を備えたものである。

【００１１】次の発明に係る暗号装置は、上記暗号化／
エンカプセル処理部は、上記平文ネットワークから受信
した平文データを暗号化すると共に、アドレスと他の暗
号装置との予め定められた対応関係に基づいて、上記平
文データのＩＰヘッダに設定されたアドレスに対応する
暗号装置を決定し、当該決定した他の暗号装置に基づい
て新規にＩＰヘッダを設定するエンカプセル処理を行う
暗号化／エンカプセル処理ブロックと、当該暗号化／エ
ンカプセル処理ブロックで設定されたＩＰヘッダに基づ
いて、ＭＡＣヘッダを設定して生成した暗号データを上
記平文ネットワークと同一ＩＰサブネットの暗号文ネッ
トワークへ送信する暗号側ＭＡＣアドレス解決ブロック
とで構成され、上記復号／デカプセル処理部は、上記暗
号文ネットワークから受信した暗号データを平文データ
に復号すると共に、当該平文データのＩＰヘッダに設定
されたアドレスに基づいてＩＰヘッダを再設定するデカ
プセル処理を行う復号／デカプセル処理ブロックと、当
該復号／デカプセル処理ブロックで設定されたＩＰヘッ
ダに基づいてＭＡＣヘッダを設定して生成した平文デー
タを上記暗号文ネットワークと同一ＩＰサブネットの平
文ネットワークへ送信する平文側ＭＡＣアドレス解決ブ
ロックとで構成されたものである。

【００１２】次の発明に係る暗号装置は、上記復号／デ
カプセル処理ブロックの復号結果に基づいて、上記暗号
文ネットワークから受信した暗号データを透過中継情
報、廃棄情報、平文情報のいずれかに識別し、透過中継
情報の場合はそのまま上記暗号データを上記平文ネット
ワークに送信し、廃棄情報の場合は上記暗号データを廃
棄し、平文情報の場合は上記復号／デカプセル処理ブロ
ックで復号された平文データを上記平文側ＭＡＣアドレ
ス解決ブロックに出力する平文フィルタを備え、上記平
文側ＭＡＣアドレス解決ブロックは、上記平文フィルタ
から出力された平文データにＭＡＣヘッダを設定して平
文ネットワークへ送信するように構成されたものであ
る。

【００１３】次の発明に係る暗号装置は、上記平文ネッ
トワークから受信した平文データを透過中継情報、廃棄
情報、暗号情報のいずれかに識別し、透過中継情報の場
合はそのまま上記平文データを上記暗号文ネットワーク
に送信し、廃棄情報の場合は上記平文データを廃棄し、
暗号情報の場合は上記平文データを上記復号／デカプセ
ル処理部に出力する暗号フィルタを備え、上記暗号化／
エンカプセル処理部は、上記暗号フィルタから出力され
た平文データから暗号データを生成して暗号文ネットワ
ークへ送信するように構成されたものである。

【００１４】次の発明に係る暗号装置は、自身宛に送信
された自局宛情報を処理する端末機能ブロックと、上記
平文ネットワークから受信した平文データを自局宛情
報、廃棄情報のいずれかに識別し、自局宛情報の場合は
上記平文データを上記端末機能ブロックに出力し、廃棄
情報の場合は上記平文データまたは暗号データを廃棄す
る平文自局フィルタと、上記暗号文ネットワークから受
信した暗号データを自局宛情報、廃棄情報のいずれかに
識別し、自局宛情報の場合は上記暗号データを上記端末
機能ブロックに出力し、廃棄情報の場合は上記暗号デー
タを廃棄する暗号自局フィルタと、上記端末機能ブロッ
クから出力された自局出力情報を平文ネットワークへの
透過中継情報であるか識別し、平文ネットワークへの透
過中継情報である場合にそのまま上記自局出力情報を上
記平文ネットワークに送信する自局平文フィルタと、上
記端末機能ブロックから出力された自局出力情報を暗号
文ネットワークへの暗号情報であるか識別し、暗号文ネ
ットワークへの暗号情報である場合に上記自局出力情報
を上記復号／デカプセル処理部に出力する自局暗号フィ
ルタと、上記端末機能ブロックから出力された自局出力
情報を廃棄情報であるか識別し、廃棄情報である場合に
上記自局出力情報を廃棄する自局廃棄フィルタとを備え
たものである。

【００１５】また、次の発明に係る暗号化器は、平文ネ
ットワークと暗号文ネットワークとの間でデータを中継
するものであって、上記平文ネットワークから受信した
平文データを暗号化すると共に、アドレスと他の暗号装
置との予め定められた対応関係に基づいて、上記平文デ
ータのヘッダに設定されたアドレスに対応する暗号装置
を決定し、当該決定した他の暗号装置に基づいて新規に
ヘッダを設定するエンカプセル処理を行って生成した暗
号データを上記平文ネットワークと同一ＩＰサブネット
の暗号文ネットワークへ送信する暗号化／エンカプセル
処理部を備えたものである。

【００１６】また、次の発明に係る復号器は、平文ネッ
トワークと暗号文ネットワークとの間でデータを中継す
るものであって、上記暗号文ネットワークから受信した
暗号データを平文データに復号すると共に、当該平文デ
ータのヘッダに設定されたアドレスに基づいてヘッダを
再設定するデカプセル処理を行って生成した平文データ
を上記暗号文ネットワークと同一ＩＰサブネットの平文
ネットワークへ送信する復号／デカプセル処理部を備え
たものである。

【００１７】

【発明の実施の形態】以下、本発明の暗号装置の実施の
形態を説明する。 実施の形態１．図１は、実施の形態１の暗号装置であ
り、ネットワーク上に既存の各機器のネットワークパラ
メータを変更せずに設置可能なリピータを基本アーキテ
クチャとした暗号装置（以下、リピータ型暗号装置）の
機能ブロック構成を示す構成図である。

【００１８】図１において、端末機能ブロック1は、リ
ピータ型暗号装置自身に送信された自局宛情報、ここで
は、パケットとして送信された自局宛パケット、例え
ば、リピータ型暗号装置を管理するための管理パケット
等の処理を実施する機能ブロックであり、ネットワーク
に接続されたＩＰ（Internet Protocol）接続機能を有
する一般の端末と同等の機能を有する。

【００１９】リピータ機能ブロック2は、リピータと同
様にネットワーク上に既存の各機器のネットワークパラ
メータを変更せずに、データを暗号化および復号する機
能（以下、リピータ機能）を有する。

【００２０】平文Port20は、平文ネットワーク側に位置
する内部の論理的なポートであり、平文ネットワークか
ら受信した平文データ、ここでは、パケットとして送信
された平文パケットを後述する暗号Port21および自局Po
rt22に転送すると共に、上記暗号Port21または自局Port
22から転送されたデータ、ここではパケットを後述する
平文出力フィルタ25に出力する。

【００２１】暗号Port21は、暗号文ネットワーク側に位
置する内部の論理的なポートであり、暗号文ネットワー
クから受信した暗号データ、ここでは、パケットとして
送信された暗号パケットを上記平文Port20および自局Po
rt22に転送すると共に、上記平文Port20または自局Port
22から転送されたデータ、ここではパケットを後述する
暗号出力フィルタ23に出力する。

【００２２】自局Port22は、端末機能ブロック側に位置
する内部の論理的なポートであり、端末機能ブロック1
から出力された自局出力情報、ここではパケットを上記
平文Port20および暗号Port21に転送すると共に、上記平
文Port20または暗号Port21から転送されたパケットを自
局出力フィルタ24に出力する。

【００２３】暗号出力フィルタ23は、上記暗号Port21へ
転送されたパケットに対するフィルタであり、上記パケ
ットが暗号Port21から送信する必要のない廃棄パケッ
ト、何も処理せずに暗号文ネットワークに透過中継する
透過中継パケット、および暗号化処理を必要とする暗号
パケットのいずれかであるか識別し、廃棄パケットであ
る場合は廃棄し、透過中継パケットである場合は暗号文
ネットワークに送信し、暗号パケットの場合は後述する
暗号化／エンカプセル処理ブロックに出力する。

【００２４】すなわちここでは、上記暗号出力フィルタ
23は、平文ネットワークから受信した平文データを透過
中継情報、廃棄情報、暗号情報のいずれかに識別し、透
過中継情報の場合はそのまま上記平文データを上記暗号
文ネットワークに送信し、廃棄情報の場合は上記平文デ
ータを廃棄し、暗号情報の場合は上記平文データを復号
／デカプセル処理部に出力する暗号フィルタと、端末機
能ブロック1から出力された自局出力情報を暗号文ネッ
トワークへの暗号情報であるか識別し、暗号文ネットワ
ークへの暗号情報である場合に上記自局出力情報を復号
／デカプセル処理部に出力する自局暗号フィルタと、上
記端末機能ブロック1から出力された自局出力情報を廃
棄情報であるか識別し、廃棄情報である場合に上記自局
出力情報を廃棄する自局廃棄フィルタとで成り、さら
に、上記自局出力情報が暗号文ネットワークへの透過中
継情報の場合はそのまま上記自局出力情報を上記暗号文
ネットワークに送信するように構成されている。

【００２５】自局出力フィルタ24は、上記自局Port22へ
転送されたパケットに対するフィルタであり、上記パケ
ットが自局Port22から送信（端末機能ブロックへ通知）
する必要がある自局宛パケットか、必要がない廃棄パケ
ットかを識別し、自局宛パケットの場合は端末機能ブロ
ックへ送信し、廃棄パケットの場合は廃棄する。

【００２６】すなわちここでは、上記自局出力フィルタ
24は、平文ネットワークから受信した平文データを自局
宛情報、廃棄情報のいずれかに識別し、自局宛情報の場
合は上記平文データを上記端末機能ブロックに出力し、
廃棄情報の場合は上記平文データまたは暗号データを廃
棄する平文自局フィルタ、および、暗号文ネットワーク
から受信した暗号データを自局宛情報、廃棄情報のいず
れかに識別し、自局宛情報の場合は上記暗号データを上
記端末機能ブロックに出力し、廃棄情報の場合は上記暗
号データを廃棄する暗号自局フィルタとで構成されてい
る。

【００２７】平文出力フィルタ25は、上記平文Port20へ
転送されたパケットに対するフィルタであり、上記パケ
ットが平文Port20から送信する必要のない廃棄パケッ
ト、何も処理せずに平文ネットワークに透過中継する透
過中継パケット、後述する復号／デカプセル処理27によ
って復号化およびデカプセル処理を実施された平文パケ
ットのいずれかであるか識別し、廃棄パケットである場
合は廃棄し、透過中継パケットである場合は平文ネット
ワークに送信し、平文パケットである場合は後述する平
文側MACアドレス解決ブロック29に出力する。

【００２８】すなわちここでは、上記平文出力フィルタ
25は、後述する復号／デカプセル処理ブロックの復号結
果に基づいて、暗号文ネットワークから受信した暗号デ
ータを透過中継情報、廃棄情報、平文情報のいずれかに
識別し、透過中継情報の場合はそのまま上記暗号データ
を上記平文ネットワークに送信し、廃棄情報の場合は上
記暗号データを廃棄し、平文情報の場合は上記復号／デ
カプセル処理ブロックで復号された平文データを上記平
文側ＭＡＣアドレス解決ブロックに出力する平文フィル
タと、上記端末機能ブロック1から出力された自局出力
情報を平文ネットワークへの透過中継情報であるか識別
し、平文ネットワークへの透過中継情報である場合にそ
のまま上記自局出力情報を上記平文ネットワークに送信
する自局平文フィルタと、上記端末機能ブロック1から
出力された自局出力情報を廃棄情報であるか識別し、廃
棄情報である場合に上記自局出力情報を廃棄する自局廃
棄フィルタとで構成されている。

【００２９】暗号化／エンカプセル処理ブロック26は、
平文ネットワークから受信した平文データ、ここでは平
文パケットを暗号化すると共に、アドレスと他の暗号装
置との予め定められた対応関係に基づいて、上記平文デ
ータのＩＰヘッダ（InternetProtocolヘッダ）に設定さ
れたアドレスに対応する暗号装置を決定し、当該決定し
た他の暗号装置に基づいて新規にＩＰヘッダを設定する
エンカプセル処理を行う機能を有する。

【００３０】復号／デカプセル処理ブロック27は、暗号
文ネットワークから受信した暗号データ、ここでは暗号
パケットを、平文データに復号すると共に、当該平文デ
ータのＩＰヘッダに設定されたアドレスに基づいてＩＰ
ヘッダを再設定する機能を有し、さらにここでは、暗号
パケットに対して復号およびデカプセル処理が必要かど
うかを判断し、必要であれば復号およびデカプセル処理
を実施し、必要でなければそのまま上記自局Port22およ
び平文Port20に転送し、復号およびデカプセル処理時に
エラーが発生した場合、または復号およびデカプセル処
理が不必要で、かつ透過中継する必要のない場合には、
そのパケットを廃棄する機能を有する。

【００３１】暗号側MACアドレス解決ブロック28は、上
記暗号化／エンカプセル処理ブロック26で設定されたＩ
Ｐヘッダに基づいて、ＭＡＣヘッダ（Media Access Con
trolヘッダ）を設定して生成した暗号データを平文ネッ
トワークと同一ＩＰサブネットの暗号文ネットワークへ
送信する機能を有する。

【００３２】平文側MACアドレス解決ブロック29は、上
記復号／デカプセル処理ブロック27で再設定されたＩＰ
ヘッダに基づいてＭＡＣヘッダを設定して生成した平文
データを暗号文ネットワークと同一ＩＰサブネットの平
文ネットワークへ送信する機能を有する。

【００３３】なお、本実施の形態においては、上記暗号
化／エンカプセル処理ブロック26と、上記暗号側ＭＡＣ
アドレス解決ブロック28とで、平文ネットワークから受
信した平文データを暗号化すると共に、アドレスと他の
暗号装置との予め定められた対応関係に基づいて、上記
平文データのヘッダに設定されたアドレスに対応する暗
号装置を決定し、当該決定した他の暗号装置に基づいて
新規にヘッダを設定するエンカプセル処理を行って生成
した暗号データを上記平文ネットワークと同一ＩＰサブ
ネット（Internet Protocolサブネット）の暗号文ネッ
トワークへ送信する暗号化／エンカプセル処理部を構成
する。

【００３４】また、上記復号／デカプセル処理ブロック
27と、上記平文側ＭＡＣアドレス解決ブロック29とで、
暗号文ネットワークから受信した暗号データを平文デー
タに復号すると共に、当該平文データのヘッダに設定さ
れたアドレスに基づいてヘッダを再設定するデカプセル
処理を行って生成した平文データを上記暗号文ネットワ
ークと同一ＩＰサブネットの平文ネットワークへ送信す
る復号／デカプセル処理部を構成する。

【００３５】図２は、図１に示したリピータ暗号装置を
導入したネットワークの構成を示す構成図である。図２
において、LN1、LN2は、図１における平文ネットワーク
に相当するローカルネットワークである。S1、S2は、そ
れぞれローカルネットワークLN1、LN2に属する端末であ
る。R1、R4は、それぞれローカルネットワークLN1、LN2
内部のルータ、R2、R3は、図１における暗号ネットワー
クに相当するインターネットINとの接続ルータである。
RE1、RE2は、それぞれリピータ型暗号装置を示す。

【００３６】次に、図１および図２にに示したリピータ
型暗号装置の処理動作を、上記リピータ型暗号装置RE1
に着目して、図を用いて説明する。

【００３７】まず、リピータ型暗号装置が平文ネットワ
ークからパケットを受信した場合の処理動作について説
明する。図３は、平文ネットワークからパケットを受信
した場合の動作フローを示すフローチャートである。

【００３８】平文ネットワークからパケットが受信され
ると（ステップA1）、その受信されたパケットは、上記
平文Port20により自局Port22、暗号Port21それぞれに転
送される（ステップA2）。

【００３９】自局Port22へ転送されたパケットは、自局
出力フィルタ24に出力され、当該自局出力フィルタ24に
よって、端末機能ブロックへ通知する必要がある自局宛
パケットと、必要のない廃棄パケットとに識別される
（ステップA3）。その結果、廃棄パケットの場合は、廃
棄され（ステップA4）、自局宛パケットの場合は、自局
の動作を管理するための情報が含まれた管理パケットな
どであり、端末機能ブロックへ通知される（ステップA
5）。

【００４０】また、ステップA2で、暗号Port21へ転送さ
れたパケットは、暗号出力フィルタ23によって、何も処
理せずに暗号文ネットワークに透過中継する透過中継パ
ケット、暗号化処理を必要とする暗号パケット、暗号Po
rt21から送信する必要のない廃棄パケットのいずれかに
識別される（ステップA6）。

【００４１】その結果、ネットワーク制御パケットなど
の透過中継パケットは、リピータ型暗号装置では何も手
を加えずに中継され（ステップA7）、暗号文ネットワー
クへ送信される（ステップA8）。

【００４２】暗号パケットは、暗号化／エンカプセル処
理ブロック26へ通知され、当該暗号化／エンカプセル処
理ブロック26によって暗号化およびエンカプセル処理が
実施される（ステップA9）。すなわち、暗号化／エンカ
プセル処理ブロック26は、上記暗号パケットの全体を暗
号化し、新規にIPヘッダを付加する。この暗号化および
エンカプセル処理後、暗号側MACアドレス解決ブロック2
8へ通知され、MACアドレスが設定される。ここではルー
タR2のMACアドレスが設定されて（ステップA10）、暗号
文ネットワークへ送信される（ステップA8）。なお、MA
Cアドレス解決ブロック28でのMACアドレス解決方法につ
いては、後述する。廃棄パケットの場合は、廃棄される
（ステップA11）。

【００４３】次に、リピータ型暗号装置が暗号文ネット
ワークからパケットを受信した場合の処理動作について
説明する。図４は、暗号文ネットワークからパケットを
受信した場合の動作フローを示すフローチャートであ
る。

【００４４】暗号文ネットワークからパケットが受信さ
れると（ステップB1）、その受信されたパケットは、復
号／デカプセル処理ブロック27へ通知され、当該復号／
デカプセル処理ブロック27により復号およびデカプセル
処理が必要かどうかを判断される（ステップB2）。

【００４５】復号およびデカプセル処理が必要であれ
ば、復号／デカプセルされて（ステップB3）、暗号Port
21により自局Port22、平文Port20それぞれに転送され
る。すなわち、上記復号／デカプセル処理ブロック27
は、暗号側（ここでは、リピータ型暗号装置RE2）で新
規に付加されたIPヘッダおよびMACヘッダを外し、パケ
ット全体を復号し、平文にして上記自局Port22、平文Po
rt20それぞれに転送する。

【００４６】復号およびデカプセル処理が必要ない場合
は、そのまま、自局Port22、平文Port20それぞれに転送
される（透過中継）。また、復号およびデカプセル処理
時に認証エラーが発生した場合、または復号およびデカ
プセル処理が不必要で、かつ透過中継する必要のない場
合には、廃棄される。

【００４７】自局Port22へ転送されたパケットは、自局
出力フィルタ24に出力され、当該自局出力フィルタ24よ
って、自局宛パケットと廃棄パケットとに識別される
（ステップB4）。その結果、前述と同様に、廃棄パケッ
トの場合は、廃棄され（ステップB5）、自局宛パケット
の場合は、端末機能ブロックへ通知される（ステップB
6）。

【００４８】平文Port20へ転送されたパケットは、平文
出力フィルタ25によって、何も処理せずに平文ネットワ
ークに透過中継する透過中継パケット、上記復号／デカ
プセル処理27によって復号化およびデカプセル処理を実
施された平文パケット、廃棄パケットのいずれかに識別
される（ステップB7）。

【００４９】その結果、ネットワーク制御パケットなど
の透過中継パケットは、リピータ型暗号装置では何も手
を加えずに中継され（ステップB8）、平文ネットワーク
へ送信される（ステップB9）。

【００５０】平文パケットは、平文側MACアドレス解決
ブロックへ通知され、ルータR1のMACアドレスが設定さ
れて（ステップB10）、暗号文ネットワークへ送信され
る（ステップB9）。なお、MACアドレス解決ブロックで
のMACアドレス解決方法については、後述する。廃棄パ
ケットの場合は、廃棄される（ステップB11）。

【００５１】次に、リピータ型暗号装置において、リピ
ータ機能ブロックが端末機能ブロック1からパケットを
受信した場合の処理動作について説明する。図５は、リ
ピータ機能ブロックが端末機能ブロックからパケットを
受信した場合の動作フロー示すフローチャートである。

【００５２】端末機能ブロックからパケットが受信され
ると（ステップC1）、その受信されたパケットは、上記
自局Port22により平文Port20、暗号Port21それぞれに転
送される（ステップC2）。

【００５３】平文Port20へ転送されたパケットは、平文
出力フィルタ25に出力され、当該平文出力フィルタ25に
よって、透過中継パケットと廃棄パケットに識別される
（ステップC3）。その結果、廃棄パケットの場合は、廃
棄され（ステップC4）、透過中継パケットの場合は、そ
のまま、平文ネットワークへ送信される（ステップC
5）。

【００５４】また、ステップC2で、暗号Port21へ転送さ
れたパケットは、暗号出力フィルタ23によって、透過中
継パケット、暗号パケット、廃棄パケットのいずれかに
識別される（ステップC6）。その結果、ネットワーク制
御パケットなどの透過中継パケットは、リピータ型暗号
装置では何も手を加えずに中継され（ステップC7）、暗
号文ネットワークへ送信される（ステップC8）。

【００５５】暗号パケットは、暗号化／エンカプセル処
理ブロック26へ通知され、当該暗号化／エンカプセル処
理ブロック26によって暗号化およびエンカプセル処理が
実施される（ステップC9）。暗号化およびエンカプセル
処理後、暗号側MACアドレス解決ブロック28へ通知さ
れ、ルータR2のMACアドレスが設定されて（ステップC1
0）、暗号文ネットワークへ送信される（ステップC
8）。なお、MACアドレス解決ブロック28でのMACアドレ
ス解決方法については、後述する。廃棄パケットの場合
は、廃棄される（ステップC11）。

【００５６】以下、MACアドレス解決ブロック28、29に
おけるMACアドレスの解決方法について説明する。

【００５７】図６は、リピータ型暗号装置におけるパケ
ットの暗号（エンカプセル）または復号（デカプセル）
時のMACヘッダおよびIPヘッダの設定を説明する説明図
である。図６に示すように、IPヘッダのIPアドレスにつ
いては、リピータ型暗号装置の接続形態に依らず一義に
決定できるが、MACヘッダのMACアドレスについては、リ
ピータ型暗号装置の接続形態などによって、適切なMAC
アドレスを設定する処理が必要となる。この処理を実施
するのがMACアドレス解決ブロック28、29である。

【００５８】図７、８、９、１０にMACアドレス解決ロ
ジックで考慮すべきリピータ型暗号装置の接続形態を示
す。なお、説明は、図中のRE1を対象として実施する。

【００５９】図７は、リピータ型暗号装置RE1の接続す
る平文ネットワーク内にも、暗号文ネットワーク内に
も、ルータが存在しない場合、すなわち、IPサブネット
が１つである場合の接続形態である。

【００６０】平文ネットワークからパケットを受信した
リピータ型暗号装置RE1では、暗号化／エンカプセル処
理ブロック26が上記パケットを暗号化およびエンカプセ
ル処理する。すなわち、受信した平文パケットの全体を
オリジナルデータとして暗号化すると共に、新規のIPヘ
ッダを設定する。

【００６１】ここでは、上記暗号化／エンカプセル処理
ブロック26は、IPアドレスとそのIPアドレスが設定され
たパケットを暗号化または復号する暗号装置との対応関
係を示す対応テーブルを内部に保持しており、当該対応
テーブルを用いて、上記オリジナルデータに含まれるIP
ヘッダのIPアドレス（IP DAおよびIP SA）に設定されて
いる端末S1、S2のIPアドレスに対応する暗号装置RE1、R
E2を新規のIPヘッダのIPアドレスとして設定する。

【００６２】その後、暗号側MACアドレス解決ブロック2
8が、上記新規に設定されたIPヘッダのIPアドレスに基
づいて、MACヘッダのMACアドレスを設定する。すなわ
ち、IPSAに設定されたRE1基づいて、自分自身のMACアド
レス（RE1 MACアドレス）をMAC SAに設定する。また、I
P DAに設定されたRE2に基づいて、例えば、ここではARP
（Address Resolution Protocol）によりRE2のMACアド
レスを取得し、MAC DAに設定し、暗号パケットを生成す
る。そして、その暗号パケットを暗号文ネットワークへ
送信する。

【００６３】なお、ARPとは、TCP/IP通信時にIPアドレ
スからEthernet(R)アドレスを求めるためのプロトコル
のことであり、これによりMACアドレスを知ることがで
きる。

【００６４】暗号文ネットワークから暗号パケットを受
信したリピータ型暗号装置RE1は、復号／デカプセル処
理ブロック27が上記暗号パケットを復号およびデカプセ
ル処理する。すなわち、暗号側の他の暗号装置で新規に
付加されたIPヘッダおよびMACヘッダを取り除くと共
に、受信した暗号パケットのオリジナルデータを復号す
る。これにより、IPヘッダのIPアドレスがオリジナルデ
ータに従って再設定される。

【００６５】その後、平文側MACアドレス解決ブロック2
9が、MACヘッダのMACアドレスを設定する。ここでは、
自分自身のMACアドレス（RE1 MACアドレス）をMAC SAに
設定する。また、IP DAに設定されたS1に基づいて、例
えば、ここではARPによりS1のMACアドレスを取得し、MA
C DAに設定し、平文パケットを生成する。そして、その
平文パケットを平文ネットワークへ送信する。なお、MA
C SAに設定するMACアドレスは受信したパケットに設定
されていたMACSA（RE2）に基づいて、RE2のMACアドレス
を設定しても良い。

【００６６】図８は、リピータ型暗号装置RE1の接続す
る平文ネットワーク側IPサブネットにのみ１つ以上のル
ータが存在する場合の接続形態である。この接続形態の
場合、リピータ型暗号装置RE1は、平文ネットワーク側I
Pサブネット内の１つのルータを平文側ゲートウェイ（P
GW）として登録する。なお、リピータ型暗号装置内で、
一般端末と同等の機能を有する端末機能ブロックに設定
するデフォルトゲートウェイ（DGW）については、PGWと
同じルータでも別のルータでも良い。図８の場合は、PG
W以外のルータが存在しないため、PGWを端末機能ブロッ
クのDGWとして設定している。

【００６７】平文ネットワークからパケットを受信した
リピータ型暗号装置RE1は、図7に示したルータの無い接
続形態の場合と同様に、暗号化／エンカプセル処理ブロ
ック26が、受信した平文パケットの全体をオリジナルデ
ータとして暗号化すると共に、上記対応テーブルを用い
て新規のIPヘッダを設定する。その後、暗号側MACアド
レス解決ブロック28が、上記新規に設定されたIPヘッダ
のIPアドレスに基づいて、MACヘッダのMACアドレスを設
定して生成された暗号パケットを暗号文ネットワークへ
送信する。

【００６８】暗号文ネットワークから暗号パケットを受
信したリピータ型暗号装置RE1は、復号／デカプセル処
理ブロック27が上記暗号パケットを復号およびデカプセ
ル処理することにより、IPヘッダのIPアドレスがオリジ
ナルデータに従って再設定される。

【００６９】その後、平文側MACアドレス解決ブロック2
9が、MACヘッダのMACアドレスを設定する。ここでは、
自分自身のMACアドレス（RE1 MACアドレス）をMAC SAに
設定する。また、IP DAに設定されたS1に基づいて、宛
先である端末S1のアドレスを精査し、端末S1がリピータ
型暗号装置RE1と同一のIPセグメント（IPサブネット）
に存在するか判別する。同一のIPセグメントに存在する
場合は、端末S1のMACアドレスを、前述の図７接続形態
の場合と同様に、例えば、ARPにより取得し、MAC DAにS
1 MACアドレスを設定する。図８の接続形態の場合、端
末S1は、リピータ型暗号装置RE1と同一のIPセグメント
に存在しないため、PGWのMACアドレスを例えば、ARPに
より取得し、MAC DAにPGW MACアドレスを設定し、平文
パケットを生成する。そして、その平文パケットを平文
ネットワークへ送信する。なお、MAC SAに設定するMAC
アドレスは受信したパケットに設定されていたMACSA（R
E2）に基づいて、RE2のMACアドレスを設定しても良い。

【００７０】図９は、リピータ型暗号装置RE1の接続す
る暗号文ネットワーク側IPサブネットにのみ１つ以上の
ルータが存在する場合の接続形態である。この接続形態
の場合、リピータ型暗号装置RE1は、暗号文ネットワー
ク側IPサブネット内の１つのルータを暗号文側ゲートウ
ェイ（CGW）として登録する。なお、リピータ型暗号装
置内で、一般端末と同等の機能を有する端末機能ブロッ
クに設定するデフォルトゲートウェイ（DGW）について
は、CGWと同じルータでも別のルータでも良い。図９の
場合は、CGW以外のルータが存在しないため、CGWを端末
機能ブロックのDGWとして設定している。

【００７１】平文ネットワークから平文パケットを受信
したリピータ型暗号装置RE1は、図7に示したルータの無
い接続形態の場合と同様に、暗号化／エンカプセル処理
ブロック26が、受信した平文パケットの全体をオリジナ
ルデータとして暗号化すると共に、上記対応テーブルを
用いて新規のIPヘッダを設定する。その後、暗号側MAC
アドレス解決ブロック28が、上記新規に設定されたIPヘ
ッダのIPアドレスに基づいて、MACヘッダのMACアドレス
を設定して生成された暗号パケットを暗号文ネットワー
クへ送信する。すなわち、MAC SAに自分自身のMACアド
レス（RE1のMACアドレス）を設定し、MAC DAにRE2と同
一のIPサブネットに属するルータCGWのMACアドレスを、
例えば、ARPにより取得して、設定する。

【００７２】暗号文ネットワークから暗号パケットを受
信したリピータ型暗号装置RE1は、復号／デカプセル処
理ブロック27が上記暗号パケットを復号およびデカプセ
ル処理することにより、IPヘッダのIPアドレスがオリジ
ナルデータに従って再設定される。

【００７３】その後、平文側MACアドレス解決ブロック2
9が、MACヘッダのMACアドレスを設定する。ここでは、
自分自身のMACアドレス（RE1 MACアドレス）をMAC SAに
設定する。また、IP DAに設定されたS1に基づいて、例
えば、ここではARPによりS1のMACアドレスを取得し、MA
C DAに設定し、平文パケットを生成する。そして、その
平文パケットを平文ネットワークへ送信する。

【００７４】なお、MAC SAに設定するMACアドレスは受
信したパケットに設定されていたMACSA（CGW）に基づい
て、そのままCGWのMACアドレスを設定しても良い。ま
た、暗号文側サブネットに属するルータCGWに基づい
て、例えば、ARPにより上記CGWのMACアドレスを取得し
て設定しても良い。

【００７５】図１０は、リピータ型暗号装置RE1の接続
する平文側IPサブネット、暗号文ネットワーク側IPサブ
ネットそれぞれに１つ以上のルータが存在する場合の接
続形態である。この形態の場合の端末機能ブロックに設
定するDGWは、平文側サブネット、暗号文側サブネット
のどちらに属するルータでも良いが、一般的には、平文
側サブネットに属するルータを設定する。図１０の場合
は、PGWを端末機能ブロックのDGWとして設定している。

【００７６】平文ネットワークから平文パケットを受信
したリピータ型暗号装置RE1は、図7に示したルータの無
い接続形態の場合と同様に、暗号化／エンカプセル処理
ブロック26が、受信した平文パケットの全体をオリジナ
ルデータとして暗号化すると共に、上記対応テーブルを
用いて新規のIPヘッダを設定する。その後、暗号側MAC
アドレス解決ブロック28が、上記新規に設定されたIPヘ
ッダのIPアドレスに基づいて、MACヘッダのMACアドレス
を設定して生成された暗号パケットを暗号文ネットワー
クへ送信する。すなわち、MAC SAに自分自身のMACアド
レス（RE1のMACアドレス）を設定し、MAC DAにRE2と同
一のIPサブネットに属するルータCGWのMACアドレスを、
例えば、ARPにより取得して、設定する。

【００７７】暗号文ネットワークから暗号パケットを受
信したリピータ型暗号装置RE1は、復号／デカプセル処
理ブロック27が上記暗号パケットを復号およびデカプセ
ル処理することにより、IPヘッダのIPアドレスがオリジ
ナルデータに従って再設定される。

【００７８】その後、平文側MACアドレス解決ブロック2
9が、MACヘッダのMACアドレスを設定する。ここでは、
自分自身のMACアドレス（RE1 MACアドレス）をMAC SAに
設定する。また、IP DAに設定されたS1に基づいて、宛
先である端末S1のアドレスを精査し、端末S1がリピータ
型暗号装置RE1と同一のIPセグメント（IPサブネット）
に存在するか判別する。同一のIPセグメントに存在する
場合は、端末S1のMACアドレスを、前述の図７接続形態
の場合と同様に、例えば、ARPにより取得し、MAC DAにS
1 MACアドレスを設定する。図１０の接続形態の場合、
端末S1は、リピータ型暗号装置RE1と同一のIPセグメン
トに存在しないため、PGWのMACアドレスを例えば、ARP
により取得し、MAC DAにPGW MACアドレスを設定して平
文パケットを生成する。そして、その平文パケットを平
文ネットワークへ送信する。なお、MAC SAに設定するMA
Cアドレスは受信したパケットに設定されていたMACSA
（CGW）に基づいて、CGWのMACアドレスを設定しても良
い。

【００７９】以上のように本実施の形態によれば、平文
ネットワークから受信した平文パケットを暗号化すると
共に、上記平文パケットに新規にヘッダを設定するエン
カプセル処理を行って生成した暗号パケットを上記平文
ネットワークと同一ＩＰサブネットの暗号文ネットワー
クへ送信し、上記暗号文ネットワークから受信した暗号
パケットを平文パケットに復号すると共に、当該平文パ
ケットのヘッダに設定されたアドレスに基づいてヘッダ
を再設定するデカプセル処理を行って生成した平文パケ
ットを上記暗号文ネットワークと同一ＩＰサブネットの
平文ネットワークへ送信することにより、ネットワーク
上に接続された他の各機器にリピータ型暗号装置の存在
を意識させずに、つまり、既存ネットワークに接続され
たネットワーク機器の設定を変更せずに、容易にエンカ
プセル型の暗号装置を設置することができ、エンカプセ
ル型暗号を採用したネットワークセキュリティシステム
を構築することが可能となる。

【００８０】また、本実施の形態によれば、暗号化／エ
ンカプセル処理ブロックまたは復号／デカプセル処理ブ
ロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッ
ダをパケットに設定することにより、適切なMACアドレ
スをパケットに設定することができ、既存ネットワーク
に接続されたネットワーク機器の設定を変更せずに、容
易にエンカプセル型の暗号装置を設置することができ
る。

【００８１】また、本実施の形態によれば、リピータ型
暗号装置自身に送信された自局宛パケットの処理を実施
する端末機能ブロックを備えたことにより、ネットワー
クに接続された他の機器から送信されたデータを受信
し、処理することができ、例えば、リピータ型暗号装置
を管理するための管理パケット等の処理を実施すること
ができるので、他の機器がリピータ型暗号装置の暗号処
理の設定を変更するなどのリピータ型暗号装置自身の処
理動作管理をすることができる。

【００８２】また、本実施の形態によれば、暗号Portか
ら送信する必要のない廃棄パケット、何も処理せずに暗
号文ネットワークに透過中継する透過中継パケット、お
よび暗号化処理を必要とする暗号パケットのいずれかで
あるか識別し、廃棄パケットである場合は廃棄し、透過
中継パケットである場合は暗号文ネットワークに送信
し、暗号パケットの場合は暗号化／エンカプセル処理ブ
ロックに出力する暗号出力フィルタを備えたことによ
り、平文ネットワークまたは端末機能ブロックから受信
された暗号パケット以外のパケットを含む各種パケット
を処理することができる。

【００８３】また、本実施の形態によれば、平文Portか
ら送信する必要のない廃棄パケット、何も処理せずに平
文ネットワークに透過中継する透過中継パケット、復号
／デカプセル処理によって復号化およびデカプセル処理
を実施された平文パケットのいずれかであるか識別し、
廃棄パケットである場合は廃棄し、透過中継パケットで
ある場合は平文ネットワークに送信し、平文パケットで
ある場合は平文側MACアドレス解決ブロックに出力する
平文出力フィルタを備えたことにより、暗号ネットワー
クまたは端末機能ブロックから受信された平文パケット
以外のパケットを含む各種パケットを処理することがで
きる。

【００８４】また、本実施の形態によれば、自局Portか
ら端末機能ブロックへ通知する必要がある自局宛パケッ
トか、必要がない廃棄パケットかを識別し、自局宛パケ
ットの場合は端末機能ブロックへ送信し、廃棄パケット
の場合は廃棄する自局出力フィルタを備えたことによ
り、暗号ネットワークまたは平文ネットワークから受信
された自局宛パケット以外のパケットを含む各種パケッ
トを処理することができる。

【００８５】なお、本実施の形態においては、一つのリ
ピータ型暗号装置に、暗号化／エンカプセル処理ブロッ
クと暗号側MACアドレス解決ブロックとで構成された暗
号化／エンカプセル処理部と、復号／デカプセル処理ブ
ロックと復号側MACアドレス解決ブロックとで構成され
た復号／デカプセル処理部とを備えた場合について説明
したが、上記暗号化／エンカプセル処理部と復号／デカ
プセル処理部とをそれぞれ別々の暗号化器と復号器とに
備えるようにしても良く、同様の効果を得ることができ
る。

【００８６】また、本実施の形態において、リピータ型
暗号装置は図１に示すように各Portからの出力時にフィ
ルタを設け、出力時にフィルタする場合について説明し
たが、図１１に示すように各Portからの入力時にフィル
タを設け、入力時にフィルタし、送信する必要のあるPo
rtにのみ、入力パケットを転送するようにしても同様の
効果が得られる。

【００８７】この場合、暗号入力フィルタ30は、復号／
デカプセル処理ブロックの復号結果に基づいて、暗号文
ネットワークから受信した暗号データを透過中継情報、
廃棄情報、平文情報のいずれかに識別し、透過中継情報
の場合はそのまま上記暗号データを上記平文ネットワー
クに送信し、廃棄情報の場合は上記暗号データを廃棄
し、平文情報の場合は上記復号／デカプセル処理ブロッ
クで復号された平文データを上記平文側ＭＡＣアドレス
解決ブロックに出力する平文フィルタと、暗号文ネット
ワークから受信した暗号データを自局宛情報、廃棄情報
のいずれかに識別し、自局宛情報の場合は上記暗号デー
タを上記端末機能ブロックに出力し、廃棄情報の場合は
上記暗号データを廃棄する暗号自局フィルタとで構成さ
れる。

【００８８】また、自局入力フィルタ31は、端末機能ブ
ロックから出力された自局出力情報を平文ネットワーク
への透過中継情報であるか識別し、平文ネットワークへ
の透過中継情報である場合にそのまま上記自局出力情報
を上記平文ネットワークに送信する自局平文フィルタ
と、上記端末機能ブロックから出力された自局出力情報
を暗号文ネットワークへの暗号情報であるか識別し、暗
号文ネットワークへの暗号情報である場合に上記自局出
力情報を上記復号／デカプセル処理部に出力する自局暗
号フィルタと、上記端末機能ブロックから出力された自
局出力情報を廃棄情報であるか識別し、廃棄情報である
場合に上記自局出力情報を廃棄する自局廃棄フィルタと
で構成される。なお、図１１においては、自局入力フィ
ルタ31と平文Port25とを接続すると共に、自局入力フィ
ルタ31から暗号文ネットワークへ送信可能とすることに
より、各種パケットを処理可能に構成されている。

【００８９】また、平文入力フィルタ32は、平文ネット
ワークから受信した平文データを透過中継情報、廃棄情
報、暗号情報のいずれかに識別し、透過中継情報の場合
はそのまま上記平文データを上記暗号文ネットワークに
送信し、廃棄情報の場合は上記平文データを廃棄し、暗
号情報の場合は上記平文データを上記復号／デカプセル
処理部に出力する暗号フィルタと、平文ネットワークか
ら受信した平文データを自局宛情報、廃棄情報のいずれ
かに識別し、自局宛情報の場合は上記平文データを上記
端末機能ブロックに出力し、廃棄情報の場合は上記平文
データまたは暗号データを廃棄する平文自局フィルタと
で構成される。

【００９０】

【発明の効果】以上のように、この発明の暗号装置によ
れば、平文ネットワークと暗号文ネットワークとの間で
データを中継する暗号装置において、上記平文ネットワ
ークから受信した平文データを暗号化すると共に、アド
レスと他の暗号装置との予め定められた対応関係に基づ
いて、上記平文データのヘッダに設定されたアドレスに
対応する暗号装置を決定し、当該決定した他の暗号装置
に基づいて新規にヘッダを設定するエンカプセル処理を
行って生成した暗号データを上記平文ネットワークと同
一ＩＰサブネットの暗号文ネットワークへ送信する暗号
化／エンカプセル処理部と、上記暗号文ネットワークか
ら受信した暗号データを平文データに復号すると共に、
当該平文データのヘッダに設定されたアドレスに基づい
てヘッダを再設定するデカプセル処理を行って生成した
平文データを上記暗号文ネットワークと同一ＩＰサブネ
ットの平文ネットワークへ送信する復号／デカプセル処
理部とを備えたことにより、中継するデータのヘッダを
設定して同一IPサブネットのネットワークに送信するの
で、ネットワーク上に接続された他の各機器に暗号装置
の存在を意識させずに、つまり、リピータのように既存
ネットワークに接続されたネットワーク機器の設定を変
更せずに、容易にエンカプセル型の暗号装置を設置する
ことができ、エンカプセル型暗号を採用したネットワー
クセキュリティシステムを構築することが可能となると
いう効果がある。

【００９１】また、次の発明の暗号装置によれば、上記
暗号化／エンカプセル処理部は、上記平文ネットワーク
から受信した平文データを暗号化すると共に、アドレス
と他の暗号装置との予め定められた対応関係に基づい
て、上記平文データのＩＰヘッダに設定されたアドレス
に対応する暗号装置を決定し、当該決定した他の暗号装
置に基づいて新規にＩＰヘッダを設定するエンカプセル
処理を行う暗号化／エンカプセル処理ブロックと、当該
暗号化／エンカプセル処理ブロックで設定されたＩＰヘ
ッダに基づいて、ＭＡＣヘッダを設定して生成した暗号
データを上記平文ネットワークと同一ＩＰサブネットの
暗号文ネットワークへ送信する暗号側ＭＡＣアドレス解
決ブロックとで構成され、上記復号／デカプセル処理部
は、上記暗号文ネットワークから受信した暗号データを
平文データに復号すると共に、当該平文データのＩＰヘ
ッダに設定されたアドレスに基づいてＩＰヘッダを再設
定するデカプセル処理を行う復号／デカプセル処理ブロ
ックと、当該復号／デカプセル処理ブロックで設定され
たＩＰヘッダに基づいてＭＡＣヘッダを設定して生成し
た平文データを上記暗号文ネットワークと同一ＩＰサブ
ネットの平文ネットワークへ送信する平文側ＭＡＣアド
レス解決ブロックとで構成されたことにより、適切なMA
Cアドレスを中継するデータに設定することができ、リ
ピータのように既存ネットワークに接続されたネットワ
ーク機器の設定を変更せずに、容易にエンカプセル型の
暗号装置を設置することができるという効果がある。

【００９２】また、次の発明の暗号装置によれば、上記
復号／デカプセル処理ブロックの復号結果に基づいて、
上記暗号文ネットワークから受信した暗号データを透過
中継情報、廃棄情報、平文情報のいずれかに識別し、透
過中継情報の場合はそのまま上記暗号データを上記平文
ネットワークに送信し、廃棄情報の場合は上記暗号デー
タを廃棄し、平文情報の場合は上記復号／デカプセル処
理ブロックで復号された平文データを上記平文側ＭＡＣ
アドレス解決ブロックに出力する平文フィルタを備え、
上記平文側ＭＡＣアドレス解決ブロックは、上記平文フ
ィルタから出力された平文データにＭＡＣヘッダを設定
して平文ネットワークへ送信するように構成されたこと
により、暗号ネットワークから受信し、平文データとし
て送信する平文データ以外のデータを含む各種データを
処理することができるという効果がある。

【００９３】また、次の発明の暗号装置によれば、上記
平文ネットワークから受信した平文データを透過中継情
報、廃棄情報、暗号情報のいずれかに識別し、透過中継
情報の場合はそのまま上記平文データを上記暗号文ネッ
トワークに送信し、廃棄情報の場合は上記平文データを
廃棄し、暗号情報の場合は上記平文データを上記復号／
デカプセル処理部に出力する暗号フィルタを備え、上記
暗号化／エンカプセル処理部は、上記暗号フィルタから
出力された平文データから暗号データを生成して暗号文
ネットワークへ送信するように構成されたことにより、
平文ネットワークから受信し、暗号データとして送信す
る暗号データ以外のデータを含む各種データを処理する
ことができるという効果がある。

【００９４】また、次の発明の暗号装置によれば、自身
宛に送信された自局宛情報を処理する端末機能ブロック
と、上記平文ネットワークから受信した平文データを自
局宛情報、廃棄情報のいずれかに識別し、自局宛情報の
場合は上記平文データを上記端末機能ブロックに出力
し、廃棄情報の場合は上記平文データまたは暗号データ
を廃棄する平文自局フィルタと、上記暗号文ネットワー
クから受信した暗号データを自局宛情報、廃棄情報のい
ずれかに識別し、自局宛情報の場合は上記暗号データを
上記端末機能ブロックに出力し、廃棄情報の場合は上記
暗号データを廃棄する暗号自局フィルタと、上記端末機
能ブロックから出力された自局出力情報を平文ネットワ
ークへの透過中継情報であるか識別し、平文ネットワー
クへの透過中継情報である場合にそのまま上記自局出力
情報を上記平文ネットワークに送信する自局平文フィル
タと、上記端末機能ブロックから出力された自局出力情
報を暗号文ネットワークへの暗号情報であるか識別し、
暗号文ネットワークへの暗号情報である場合に上記自局
出力情報を上記復号／デカプセル処理部に出力する自局
暗号フィルタと、上記端末機能ブロックから出力された
自局出力情報を廃棄情報であるか識別し、廃棄情報であ
る場合に上記自局出力情報を廃棄する自局廃棄フィルタ
とを備えたことにより、ネットワークに接続された他の
機器から送信されたデータを受信し、処理することがで
き、例えば、暗号装置を管理するための管理パケット等
の処理を実施することができるので、他の機器が暗号装
置の暗号処理の設定を変更するなどの暗号装置自身の処
理動作管理をすることができる。

【００９５】さらにまた、次の発明の暗号化器によれ
ば、平文ネットワークと暗号文ネットワークとの間でデ
ータを中継する暗号化器において、上記平文ネットワー
クから受信した平文データを暗号化すると共に、アドレ
スと他の暗号装置との予め定められた対応関係に基づい
て、上記平文データのヘッダに設定されたアドレスに対
応する暗号装置を決定し、当該決定した他の暗号装置に
基づいて新規にヘッダを設定するエンカプセル処理を行
って生成した暗号データを上記平文ネットワークと同一
ＩＰサブネットの暗号文ネットワークへ送信する暗号化
／エンカプセル処理部を備えたことにより、中継するデ
ータのヘッダを設定して同一IPサブネットの暗号文ネッ
トワークに送信するので、ネットワーク上に接続された
他の各機器に暗号装置の存在を意識させずに、つまり、
リピータのように既存ネットワークに接続されたネット
ワーク機器の設定を変更せずに、容易にエンカプセル型
の暗号装置を設置することができ、エンカプセル型暗号
を採用したネットワークセキュリティシステムを構築す
ることが可能となるという効果がある。

【００９６】さらにまた、次の発明の復号器によれば、
平文ネットワークと暗号文ネットワークとの間でデータ
を中継する復号器において、上記暗号文ネットワークか
ら受信した暗号データを平文データに復号すると共に、
当該平文データのヘッダに設定されたアドレスに基づい
てヘッダを再設定するデカプセル処理を行って生成した
平文データを上記暗号文ネットワークと同一ＩＰサブネ
ットの平文ネットワークへ送信する復号／デカプセル処
理部を備えたことにより、中継するデータのヘッダを設
定して同一IPサブネットの平文ネットワークに送信する
ので、ネットワーク上に接続された他の各機器に暗号装
置の存在を意識させずに、つまり、リピータのように既
存ネットワークに接続されたネットワーク機器の設定を
変更せずに、容易にエンカプセル型の暗号装置を設置す
ることができ、エンカプセル型暗号を採用したネットワ
ークセキュリティシステムを構築することが可能となる
という効果がある。

【図面の簡単な説明】

【図１】 実施の形態１の暗号装置の構成を示す構成図
である。

【図２】 リピータ暗号装置を導入したネットワークの
構成を示す構成図である。

【図３】 平文ネットワークからパケットを受信した場
合の動作フローを示すフローチャートである。

【図４】 暗号文ネットワークからパケットを受信した
場合の動作フローを示すフローチャートである。

【図５】 リピータ機能ブロックが端末機能ブロックか
らパケットを受信した場合の動作フロー示すフローチャ
ートである。

【図６】 MACヘッダおよびIPヘッダの設定を説明する
説明図である。

【図７】 MACヘッダおよびIPヘッダの設定を説明する
説明図である。

【図８】 MACヘッダおよびIPヘッダの設定を説明する
説明図である。

【図９】 MACヘッダおよびIPヘッダの設定を説明する
説明図である。

【図１０】 MACヘッダおよびIPヘッダの設定を説明す
る説明図である。

【図１１】 実施の形態１の暗号装置の他の構成を示す
構成図である。

【図１２】 従来の一般的なネットワーク構成を示す構
成図である。

【図１３】 従来のルータ型暗号装置を設置した場合の
ネットワーク構成を示す構成図である。

【図１４】 端末型暗号装置を設置した場合のネットワ
ーク構成を示す構成図である。

【符号の説明】

１ 端末機能ブロック ２ リピー
タ機能ブロック ２０ 平文Port ２１ 暗号
Port ２２ 自局Port ２３ 暗号
出力フィルタ ２４ 自局出力フィルタ ２５ 平文
出力フィルタ ２６ 暗号化／エンカプセル処理ブロック ２７ 復号／デカプセル処理ブロック ２８ 暗号側MACアドレス解決ブロック ２９ 平文側MACアドレス解決ブロック ３０ 暗号入力フィルタ ３１ 自局
入力フィルタ ３２ 平文入力フィルタ

Claims (5)

【特許請求の範囲】
1. 【請求項１】 平文ネットワークと暗号文ネットワーク
   との間でデータを中継する暗号装置において、 上記平文ネットワークから受信した平文データを暗号化
   すると共に、アドレスと他の暗号装置との予め定められ
   た対応関係に基づいて、上記平文データのヘッダに設定
   されたアドレスに対応する暗号装置を決定し、当該決定
   した他の暗号装置に基づいて新規にヘッダを設定するエ
   ンカプセル処理を行って生成した暗号データを上記平文
   ネットワークと同一ＩＰサブネット（Internet Protoco
   lサブネット）の暗号文ネットワークへ送信する暗号化
   ／エンカプセル処理部と、 上記暗号文ネットワークから受信した暗号データを平文
   データに復号すると共に、当該平文データのヘッダに設
   定されたアドレスに基づいてヘッダを再設定するデカプ
   セル処理を行って生成した平文データを上記暗号文ネッ
   トワークと同一ＩＰサブネットの平文ネットワークへ送
   信する復号／デカプセル処理部とを備えたことを特徴と
   する暗号装置。
2. 【請求項２】 平文ネットワークと暗号文ネットワーク
   との間でデータを中継する暗号装置において、 上記平文ネットワークから受信した平文データを暗号化
   すると共に、リピータ機能を用いて、アドレスと他の暗
   号装置との予め定められた対応関係に基づいて、上記平
   文データのヘッダに設定されたアドレスに対応する暗号
   装置を決定し、当該決定した他の暗号装置に基づいて新
   規にヘッダを設定するエンカプセル処理を行って生成し
   た暗号データを上記平文ネットワークと同一ＩＰサブネ
   ット（Internet Protocolサブネット）の暗号文ネット
   ワークへ送信する暗号化／エンカプセル処理部と、 上記暗号文ネットワークから受信した暗号データを平文
   データに復号すると共に、リピータ機能を用いて、当該
   平文データのヘッダに設定されたアドレスに基づいてヘ
   ッダを再設定するデカプセル処理を行って生成した平文
   データを上記暗号文ネットワークと同一ＩＰサブネット
   の平文ネットワークへ送信する復号／デカプセル処理部
   とを備えたことを特徴とする暗号装置。
3. 【請求項３】 平文ネットワークと暗号文ネットワーク
   との間でデータを中継する暗号装置において、 上記平文ネットワークから受信した平文データを暗号化
   すると共に、アドレスと他の暗号装置との予め定められ
   た対応関係に基づいて、上記平文データのヘッダに設定
   されたアドレスに対応する暗号装置を決定し、当該決定
   した他の暗号装置に基づいて新規にヘッダを設定するエ
   ンカプセル処理を行って生成した暗号データを上記平文
   ネットワークと同一ＩＰサブネット（Internet Protoco
   lサブネット）の暗号文ネットワークへ送信する暗号化
   ／エンカプセル処理部と、 上記暗号文ネットワークから受信した暗号データを平文
   データに復号すると共に、当該平文データのヘッダに設
   定されたアドレスに基づいてヘッダを再設定するデカプ
   セル処理を行って生成した平文データを上記暗号文ネッ
   トワークと同一ＩＰサブネットの平文ネットワークへ送
   信する復号／デカプセル処理部と、 自身宛に送信された自局宛情報を処理する端末機能ブロ
   ックとを備えたことを特徴とする暗号装置。
4. 【請求項４】 平文ネットワークと暗号文ネットワーク
   との間でデータを中継する暗号化器において、 上記平文ネットワークから受信した平文データを暗号化
   すると共に、アドレスと他の暗号装置との予め定められ
   た対応関係に基づいて、上記平文データのヘッダに設定
   されたアドレスに対応する暗号装置を決定し、当該決定
   した他の暗号装置に基づいて新規にヘッダを設定するエ
   ンカプセル処理を行って生成した暗号データを上記平文
   ネットワークと同一ＩＰサブネットの暗号文ネットワー
   クへ送信する暗号化／エンカプセル処理部を備えたこと
   を特徴とする暗号化器。
5. 【請求項５】 平文ネットワークと暗号文ネットワーク
   との間でデータを中継する復号器において、 上記暗号文ネットワークから受信した暗号データを平文
   データに復号すると共に、当該平文データのヘッダに設
   定されたアドレスに基づいてヘッダを再設定するデカプ
   セル処理を行って生成した平文データを上記暗号文ネッ
   トワークと同一ＩＰサブネットの平文ネットワークへ送
   信する復号／デカプセル処理部を備えたことを特徴とす
   る復号器。