JP2002504285A - 仮想専用網を実現する装置 - Google Patents

Abstract

(57)【要約】 安全な仮想専用網用のプロトコルおよびアーキテクチャ。企業内データ通信は、安全な仮想専用網を実現することによって、インタネットまたはその他の公衆網空間を介して安全にサポートされる。仮想専用網グループのメンバーは、グループのメンバー同士の間でデジタルデータを交換する場合、圧縮し暗号化し認証することのできるデータを交換する。

Description

【発明の詳細な説明】 仮想専用網を実現する装置 発明の背景 １．関連情報 本発明は、本発明の出願人に譲渡され本発明と同時に出願された「Architectu re for Virtual Private Networks（仮想専用網用アーキテクチャ）」と題する 関連米国特許出願第０８／８７４０９０号［代理人整理番号２０１５５−７０１ ］に記載された発明に関する。 ２．発明の分野 本発明は、データ通信の分野に関する。詳細には、本発明は、公衆データ通信 インフラストラクチャ、または安全ではないその他のデータ通信インフラストラ クチャを介して安全な仮想専用網を実現する技法に関する。 ３．背景 近年、企業は、その構成員の間で電子データを伝送する能力に強く依存するよ うになってきた。このようなデータには通常、電子メールおよびファイル共用ま たはファイル転送が含まれる。中央集権化された単一サイト企業の場合、このよ うな電子データ転送は一般に、特定の企業によって設置され操作されるローカル エリアネットワーク（ＬＡＮ）によって容易になる。 企業のＬＡＮを通過するデータへの許可されていないアクセスを防止するのは 比較的簡単である。このことは、企業の構成員による許可されていないアクセス に当てはまると共に、より重要なこととして、外部の第三者にも当てはまる。イ ンテリジェントネットワーク管理が維持されるかぎり、企業の内部ＬＡＮを通過 するデータへの許可されていないアクセスは比較的容易に回避される。企業が複 数のサイトに広がっていくと、セキュリティに対する外部からの脅威が大きな問 題になっていく。 前述の電子データ転送の好都合さを望む分散された企業の場合、現在、いくつ かのオプションが存在するが、それらのオプションはそれぞれ欠点を伴う。第１ のオプションは、しばしば専用回線と呼ばれる専用または私的通信接続と企業ま たは様々なサイトを相互接続することである。これは、企業が広域ネットワーク （ＷＡＮ）を実現するために使用する従来型の方法である。企業が所有し制御す るＷＡＮを実現することの欠点は自明である。すなわち、このようなＷＡＮは高 価で厄介であり、企業のピーク容量要件を処理するために確立された場合、利用 度が低くなることが多い。この手法の自明の利点は、回線が企業専用であり、し たがって安全であり、中間の第三者による盗聴またはいたずらに対してかなり安 全であることである。 広域ネットワークで専用通信回線を使用することの代替策は、企業が新しい公 衆網空間を介してサイト間データ分散を処理することである。近年、インタネッ トは、主として科学者および研究者用のツールから、様々な営利目的のグローバ ル通信へと変遷している。インタネットは、コンピュータが存在する様々なネッ トワーク同士を相互接続することによって多数のコンピュータの間の電子通信パ スを形成する。企業、場合によっては非技術分野の企業が、企業内のコンピュー タの少なくとも一部へのインタネットアクセスを実現することが一般的になり、 場合によっては日常的になってきている。多くの企業では、このため、顧客、潜 在的な取引先、ならびに企業の分散された各構成員との通信が容易になっている 。 分散型の企業は、インタネットが企業の構成員同士の間の電子通信を実現する 好都合なツールであることを認識している。たとえば、企業内の２つのリモート サイトはそれぞれ、ローカルインタネットサービスプロバイダ（ＩＳＰ）を介し てインタネットに接続することができる。これによって、企業の様々な構成員は 、その企業内のサイトを含むインタネット上の他のサイトと通信することができ る。インタネットを企業内通信に使用することの制限的な欠点は、インタネット が公衆網空間であることである。各地点の間でデータ通信を行うパスは、パケッ トごとに異なり、ほぼ不確定である。さらに、インタネットの様々なネットワー クを介して情報を伝送するためのデータプロトコルは広く知られており、したが って、電子通信は妨害および盗聴を受けやすく、大部分の中間ホップでパケット が複製される。通信を通過中に修正することができるか、あるいは場合によって は通信 を不正なユーザによって開始できることが認識されたときにより重大な問題が生 じる。混乱を生じさせるこのような危険があるので、大部分の企業は、独自の秘 密の内部通信を公衆通信網にさらすことを望まない。現在多くの企業では、一般 に、前述のすべての欠点を付随させたままで、各サイトでインタネットアクセス を実現させるだけでなく、内部企業通信用の既存の専用通信パスも維持している 。 様々な暗号化機構およびその他の保護機構は、データ通信用に開発されたもの であるが、企業が公衆網空間に真に依存して安全な企業内データ通信を行うこと を可能にする場合に生じる問題に完全にかつ適切に対処する機構はない。分散さ れた企業が公衆網空間のみに依存して、現存するセキュリティリスクの問題なし に企業内通信を行うことを可能にするような機構を提供することが望ましく、し たがって、このことが本発明の目的である。 発明の概要 上記のことから、単一の企業が公衆網空間に依存して安全な企業内電子データ 通信を行うことを可能にするプロトコルおよびアーキテクチャを開発することが 望ましくかつ有利であることがわかる。したがって、本発明は、インタネットま たはその他の公衆網装置を介して安全な仮想専用網を実現するプロトコルおよび アーキテクチャを対象とする。本発明のアーキテクチャは、定義された仮想専用 網（ＶＰＮ）グループのメンバーの間のデータ通信を変調するサイトプロテクタ またはＶＰＮユニットを導入する。本発明の一実施形態によれば、サイトプロテ クタは、インタネットの企業側に接続するために使用されるサイトのルータまた はルーティング装置のＷＡＮ側に存在する。代替実施形態では、サイトプロテク タは、ルータのＬＡＮ側に存在する。すべての実施形態の基本的な点は、サイト プロテクタがパス内あるいはすべての関連データトラフィック内にあることであ る。 同じＶＰＮグループのメンバーの間の安全なデータ通信を確保するために、サ イトプロテクタまたはＶＰＮユニットは、グループのメンバーの間でパケットを 送信すべきときにデータパケット処理技法のある組合せを実現する。パケット処 理プロセスには、圧縮、暗号化、および認証の様々な組合せが含まれ、圧縮、暗 号化、および認証のそれぞれに関する規則は、それぞれのグループのメンバーご とに異なる規則でよい。仮想専用網として定義された各グループの場合、圧縮、 暗号化、および認証を定義する様々なパラメータが、関連するＶＰＮユニットの ルックアップテーブル内に維持される。ルックアップテーブルが各グループの固 定アドレスメンバーに関する情報を維持するだけでなく、リモートクライアント に対するサポートも実現される。この能力は、リモートユーザがローカルインタ ネットサービスプロバイダにダイヤルし、しかも、インタネットを介してある仮 想専用網のグループの他のメンバーと安全な通信を行うためのこのグループのメ ンバーシップを維持することを可能にする。リモートクライアントの場合、一実 施形態では、リモートクライアント上で実行されるソフトウェアによってサイト プロテクタをシミュレートすることができる。 本発明の他の態様では、ＶＰＮユニットまたはサイトプロテクタは、仮想専用 網グループにメンバーを加えるか、あるいは仮想専用網グループからメンバーを 削除するか、あるいはメンバーの移動を認識するか、あるいはこのグループに影 響を及ぼす他のパラメータを変更するように動的に構成される。本発明の他の様 々パケット処理態様には、暗号化認証情報を含めることによっていくつかのデー タパケットが大きくなり過ぎる問題の対処が含まれる。他のパケット処理態様は 、データパケットの発信元および宛先を識別する情報を隠すインタネット通信用 の機構を実現する。本発明のこの態様では、ＶＰＮユニットは、インタネット通 信データパケットの発信元および宛先とみなされ、端末局の発信元アドレスおよ び宛先アドレスをカプセル化する。 ＶＰＮユニット用のハードウェアアーキテクチャおよび具体化も開示される。 この実施形態は、所与のサイトのルータのＷＡＮ(広域網)側に存在するように設 計される実施形態である。例示された実施形態では、マイクロプロセッサの命令 下で圧縮、暗号化、および認証に関するＶＰＮ装置のプロセスを実行するコンピ ュータハードウェアとソフトウェアの組合せが提供される。 図面の簡単な説明 本発明の目的、特徴、および利点は、以下の詳細な説明から明らかになろう。 図１は、例示的な企業の企業内通信アーキテクチャ用の従来技術の構成を示す 図である。 図２は、仮想専用網のメンバーの間でメッセージを搬送する手段としてインタ ネットまたはその他の公衆網空間を使用する本発明による企業通信方法を示す図 である。 図３は、仮想専用網グループのあるメンバーから他のメンバーへインタネット を介して伝送されるパケットの処理に関する流れ図である。 図４は、仮想専用網グループのあるメンバーによってインタネットを介して他 のメンバーから受信されるデータパケットの処理を示す図である。 図５は、仮想専用網グループのあるメンバーから他のメンバーへインタネット を介して送信されるデータパケットのライフサイクルを示す図である。 図６は、グループメンバーの発信元アドレスおよび宛先アドレスが隠される、 仮想専用網グループのあるメンバーから他のメンバーへインタネットを介して送 信されるデータパケットの代替ライフサイクルを示す図である。 図７は、本発明の一実施形態による仮想専用網ユニットの具体化の構成ブロッ ク図である。 図８は、本発明の一実施形態による仮想専用網ユニットの具体化のより詳細な ブロック図である。 発明の詳細な説明 インタネットまたはその他の公衆網空間を介して企業通信用の安全な仮想専用 網を実現する装置を開示する。主としてインタネットを通信媒体として使用する ことに関して本発明を説明するが、この概念および方法は、他の公衆通信媒体ま たは安全ではない通信媒体を介して安全な仮想専用網を実現できるほど広義であ る。本発明を完全に理解していただくために、この詳細な説明全体にわたって、 特定の暗号化プロトコルやキー管理プロトコルなど、多数の特定の詳細について 述べる。しかし、当業者には、本発明がそのような特定の詳細なしに実施できる ことが理解されよう。他の例では、本発明を曖昧にしないように、周知の制御構 造および構成要素は詳しく示されていない。 多くの例で、本発明によって実現される構成要素については、アーキテクチャ 機能レベルで説明する。多くの要素は、周知の構造、特に様々な圧縮技法または 暗号化技法に関する構造として指定された構造を使用して構成することができる 。また、本発明の装置内にロジックを含めるために、当業者が過度の実験なしに 特定の方法を実施できるように機能および流れ図について説明する。様々な技術 を使用して本発明の技法を実施することもできることを理解されたい。たとえば 、本明細書でさらに説明する仮想専用網ユニットまたはサイトプロテクタは、コ ンピュータ上で実行されるソフトウェアで実現することも、あるいはマイクロプ ロセッサまたは特別に設計された他の専用集積回路、プログラム可能ロジックデ バイス、あるいはそれらの様々な組合せを使用してハードウェアで実現すること もできる。当業者には、本発明が１つの特定の実施技法に限らないことが理解さ れよう。当業者は、このような構成要素によって実行される機能の説明がなされ た後で、過度の実験なしに様々な技術を用いて本発明を実施することができる。 次に、図１を参照すると、分散された企業用の従来型の企業内データ通信方法 が示されている。例示的な企業構成のこの図で、企業は、追加のサイトまたは支 社１１０および１１２を有する本社位置１０５からなる。図１の例示的な企業の ような現代の企業では、本社のサイト１０５ならびに支社サイト１１０および１ １２はそれぞれ、多数の社員を備え、その多くはネットワークアクセスが可能な コンピュータまたはワークステーションを有する。本社における支社用の内部ネ ットワーク構成は、１つまたは複数のローカルエリアネットワーク（ＬＡＮ）を 含め多数の形態をとることができる。本社と支社の間のサイト間通信用に、専用 通信回線１１５および１２０を設けることができる。また、支社１１０と支社１ １２との間に任意選択の専用通信パス１２５を設けることができる。支社同士の 間の任意選択の専用通信回線１２５の代替策として、支社１１０と支社１１２と の間のデータパケットを本社のネットワーク機器を介してルーティングすること ができる。 本社と様々な支社との間の専用通信回線だけでなく、現在では、一般に、企業 内のコンピュータユーザは、インタネットにアクセスし、外部当事者に電子メー ルを送信すると共に、ＷＷＷ（world wide web）などのツールを使用してインタ ネットを介して様々な種類の調査を行うことができる。図１に示すように、通常 、本社のサイト１０５ならびに支社１１０および１１２はそれぞれ別々に、イン タネットサービスプロバイダ１３０、１３３、および１３６に直接アクセスする ことができる。これによって、様々なサイトにいるユーザが上記の目的でインタ ネットにアクセスするのが容易になる。代替構成では、インタネットサービスプ ロバイダ１３０にアクセスできるのは本社サイト１０５だけであり、支社サイト １１０および１１２のコンピュータのユーザはその専用通信パス１１５および１ ２０を介し本社を通してインタネットに接続される。この代替構成の欠点は、専 用回線上の帯域幅利用度が大幅に、おそらくは飽和点まで増大することである。 利点は、インタネットとの１つのゲートウェイを企業に設けるだけでよく、外部 との接続に関するセキュリティ制約の実施が簡略化されることである。 例示的な企業１００では、ある種の状況で、顧客または他の提携企業がこの企 業のコンピュータネットワークに直接ダイヤルインできるようにすることが望ま しいことも示されている。図１には、顧客１４０が実際に、通信パス１４５、た とえば顧客の都合のために顧客とこの企業との間に設けられた専用回線を介して このような通信を実行できることが示されている。パス１４５は、顧客が散発的 にのみ使用するダイヤルアップ回線でもよい。インタネットの新しい使用法およ びその普及度に応じて、顧客１４０はＩＳＰ（ローカルネットサービスプロバイ ダ）１４８を介してそれ自体のインタネット接続を有するように示されている。 最後に、図１には、外回りの仕事をしているか、あるいは在宅または社外の他 の場所で仕事をしている企業の他のメンバーが、企業の他のメンバーとデータを 交換することが多くの場合望ましいことが示されている。したがって、リモート クライアント１５０および１５５が長距離電話回線１５７および１５８を介して 本社と通信することが示されている。この例では、リモートクライアントは本社 からかなり離れた位置にいるものと仮定されている。リモートクライアント１５ ０および１５５はそれぞれ、ローカルＩＳＰ１６０および１６５を介してインタ ネットにローカルアクセスできるようにも示されている。 図１による企業データ通信構成についての上記の説明は、前節で説明した欠点 を示している。これらの欠点は、全体的に図２を参照して例示するように本発明 を実施することによって解消される。図２に示す企業ネットワーク通信構成２０ ０で、企業の本社１０５、第１の支社１１０、および第２の支社１１２は、図１ に示すよりも詳しくロジック的に示されている。したがって、本社１０５は、そ れぞれの端末局がローカルエリアネットワーク（ＬＡＮ）２０５を介してデータ ・パケットを伝達するように結合された３つの端末局２０１、２０２、および２ ０３を有するように示されている。同様に、支社サイト１１０は、それぞれの端 末局がＬＡＮ２１５を介してローカルにデータを伝達するように結合された複数 の端末局２１１、２１２、および２１３を有するサイトとして示されている。最 後に、第２の支社サイト１１２は、ＬＡＮ２２５を介して通信するように結合さ れた例示的な１組のコンピュータ・ステーション２２１、２２２、および２２３ を有するサイトとして示されている。顧客サイト１４０はまた、図２では、顧客 のＬＡＮ２３５を介して通信するよう結合された３３１および３３２で示される 複数のコンピュータを備えるものとして示されている。本社サイト、顧客サイト 、および支社サイト内でデータ通信に利用されるローカルエリアネットワークは 、様々なネットワークプロトコルに従い、そのうちで最も一般的なプロトコルは イーサネットおよびトークンリングである。 図２を見るとわかるように、本社サイト１０５と支社サイト１１０および１１ ２との間の専用回線、ならびに本社サイト１０５と顧客サイト１４０との間の専 用通信回線はなくなっている。その代わりに、本発明によれば、企業のメンバー 同士の間のデータ通信は、インタネットまたはその他の公衆網空間を介して行う ことが予定される。本発明では、企業のメンバー同士の間のデータ・パケット転 送用の媒体が、広く使用されているインタネットであるものと仮定される。 図２に示す特定のサイト用の各ＬＡＮは最終的に、関連するルーティング装置 またはゲートウェイ装置、すなわち、それぞれルータ２４０、２４２、２４４、 および２４６として識別される装置を介してインタネット２５０と相互接続され る。２００で示す様々なサイト同士の間で搬送されるデータ・パケットが多くの 場合、パケットの発信元サイトと宛先サイトとの間で複数の他のルーティング装 置を横切ることを理解されたい。インタネットを介したデータ・パケット転送用 の機構は、よく知られており、本明細書では詳しく説明しない。データ・パケッ トが、インタネット・プロトコル（ＩＰ）に従ってアセンブルされ、本明細書で は、現在実施されているインタネット・プロトコルのバージョンにかかわらずＩ Ｐパケットと呼ばれることを理解されたい。図２に示すリモート・クライアント １５０および１５５の場合、それ自体がインタネット２５０を介した通信に必要 なゲートウェイを形成するローカル・インタネット・サービス・プロバイダをダ イヤルアップするために通信ソフトウエアを使用することを理解されたい。 前述のように、インタネットを利用して安全なデータ通信を行う従来型の方法 では、端末局でセキュリティ要件を意識または実現する必要があった。これは、 エンドユーザに対するトランスペアレンシィが望ましいときには不利である。本 発明は、一方ではエンドユーザに対してトランスペアレントであり、インタネッ トを介したデータ通信は、従来とまったく同じように行われる。しかし、同じ仮 想専用網のメンバーとして識別されるユーザの場合、データ通信は、データ・パ ケットのセキュリティおよび完全性を確保するように処理される。図２に示すよ うに、インタネット２５０とルータ２４０、２４２、２４４、および２４６のそ れぞれとの間に仮想専用網ユニット（ＶＰＮユニット）２５０、２５２、２５４ 、および２５６がある。本発明の例示された特定の実施形態によれば、ＶＰＮユ ニットはそのサイトのルータとインタネットへのパスとの間に存在する。全体的 なシステムアーキテクチャにＶＰＮＵ（ＶＰＮユニット）をこのように配置する ことが配置上の１つの選択を表わすに過ぎないことを理解されたい。以下の内容 から、ＶＰＮＵの配置に関する重要な点が、ＶＰＮＵがデータトラフィックのパ ス内に存在することであることが明らかになろう。多くの実施形態では、実際に は、ＶＰＮＵをそのサイトのルータのＬＡＮ側に位置することが望ましい。以下 で詳しく説明するように、ＶＰＮユニットは、特定の仮想専用網グループのメン バーを識別するためにルックアップテーブルを維持する。 発信元アドレスと宛先アドレス、すなわち、同じＶＰＮグループのメンバー同 士の間でデータ・パケットが送信されるとき、ＶＰＮユニットは、データ・パケ ットが暗号化され、認証され、任意選択で圧縮されるように送信側からのデータ ・パケットを処理する。同様に、宛先アドレスが位置するサイトのサービスを実 行するＶＰＮユニットは、同じＶＰＮグループのメンバー同士の間でパケットが 伝 搬されていることを検出する。受信側ＶＰＮユニットは、パケットを宛先端末局 の方へ転送する前に解読し認証するプロセスを処理する。このようにして、エン ドユーザ同士の間の安全なデータ通信は、エンドユーザに対してトランスペアレ ントに行われる。リモートクライアント１５０および１５５の場合、リモートク ライアントを関連するローカルインタネットサービスプロバイダに接続する通信 ソフトウェアと共に動作するソフトウェアでＶＰＮユニットをシミュレートする ことができる。 ＶＰＮユニットの機能について、図３のフローチャートから始まる以下の図を 参照して説明する。サイト１０５にあるＬＡＮ２０５の端末局２０２などの端末 局からデータパケットが送信され、その宛先が本社サイト１０５以外のリモート サイトであるとき、このデータパケットは最初、通常のインタネットデータパケ ット転送とみなされる。パケットは端末局２０２からＬＡＮ２０５を介してルー ティング装置２４０に進み、ルーティング装置２４０はインタネットプロトコル に従ってデータパケットをカプセル化し、アウトバウンドＩＰパケットを形成す る。サイトから出る際、ＩＰパケットは、そのサイトの関連するＶＰＮユニット を通過する。図３に示すフローチャートは、ＶＰＮユニットによって受信された アウトバウンドパケットに対するＶＰＮユニットの機能動作を示す。パケット送 信手順３００は、ステップ３１０で、アウトバウンドデータパケットがＶＰＮユ ニットで受信されたときに開始する。判断ボックス３２０で、このデータパケッ トに関する発信元アドレスと宛先アドレスが共に同じＶＰＮグループのメンバー であるか否かが判定される。この判定は、ＶＰＮユニットによって維持されてい るルックアップテーブルを参照するか、あるいは他のメモリ機構を参照して下す ことができる。このステップは、特定のサイトと、そのサイトのサービスを実行 するＶＰＮユニットとの間で送信されるデータパケットに対するメンバーフィル タリングとみなすことができる。データパケットに関する発信元アドレスと宛先 アドレスの両方が同じＶＰＮグループのメンバーであるわけではない場合、ステ ップ３３０で、パケットは、ＶＰＮユニットを使用しない場合と同様に、サイト からの通常のインタネットトラフィックとしてインタネットへ転送される。この 場合、手順はステップ３３５で終了する。一代替実施形態では、データトラフィ ックを安全ではないトラフィックとして転送するのではなく、ＶＰＮグループの メンバー同士の間で転送されるのではないデータトラフィックを破棄することが 望ましい。他の代替実施形態では、非ＶＰＮグループデータトラフィックを通過 させるか、あるいは破棄するオプションを与えることが望ましい。 判断ボックス３２０で、データパケットに関する発信元アドレスと宛先アドレ スの両方が同じＶＰＮグループのメンバーであると判定された場合、ステップ３ ４０でデータパケットが処理され、圧縮、暗号化、および認証の様々な組合せを 受ける。ＶＰＮユニット２５０およびすべてのＶＰＮユニットによって維持され ているルックアップテーブルは、特定のＶＰＮグループの識別側メンバーと共に 、特定のＶＰＮ軍のメンバー同士の間で転送されるデータパケットを圧縮すべき かどうかも識別し、そうである場合、どんなアルゴリズムを圧縮に使用すべきか を識別する。多数の可能な圧縮アルゴリズムがよく知られているが、本発明の一 実施形態では、ＬＺＷ（Lempel Ziv Welch）圧縮を実施する。発信元アドレスお よび宛先アドレスがメンバーであるＶＰＮグループ用のルックアップテーブルは また、このＶＰＮグループのためにインタネットを横切るデータパケットに使用 される特定の暗号化アルゴリズムと、このアルゴリズムによって使用される認証 キー管理プロトコル情報を識別する。ルックアップテーブルの代替策として、常 にすべてのＶＰＮグループに同じアルゴリズムを使用するようにＶＰＮユニット をプログラムすることができる。 送信側ＶＰＮユニットと受信側ＶＰＮユニットの両方のルックアップテーブル が、同じ圧縮規則、暗号化規則、および認証規則を識別し、同じグループのメン バーに対してそれらの規則を実施し実施解除することができるかぎり、ＶＰＮト ラフィックに使用される特定のパケット処理アルゴリズムを変更することができ る。単一のＶＰＮユニットが、複数のＶＰＮグループのサービスを実行すること ができ、かつ特定のアドレスが複数のグループのメンバーでよいことを理解され たい。したがって、ステップ３４０で、ＶＰＮグループのあるメンバーから他の メンバーへパケットが転送されるときに、この特定のＶＰＮグループ用のＶＰＮ ユニットテーブルで識別された圧縮規則、暗号化規則、および認証規則に従って このパケットが処理される。次いで、ステップ３５０で、処理済みのパケットが インタネットを介して宛先アドレスの方へ転送される。次いで、ＶＰＮユニット を送信する手順はステップ３５５で終了する。 受信側ＶＰＮユニットは、図４のフローチャートで示すようにＶＰＮトラフィ ックに対する上記のプロセスを反転する。パケット受信手順４００は、ステップ ４１０で、受信側ＶＰＮユニットでインタネットからインバウンドデータパケッ トが受信されたときに開始する。判断ボックス４２０で、インバウンドデータパ ケットが調べられ、データパケットの発信元アドレスと宛先アドレスが共に同じ ＶＰＮグループのメンバーであるかどうかが判定される。すべてのＶＰＮユニッ トによって維持されているルックアップテーブルは、一貫していると共に整合し ているものと仮定される。インバウンドデータパケットがＶＰＮトラフィックで はないと判定された場合、このパケットは、ステップ４３０で、通常のインタネ ットデータトラフィックの場合と同様にパスされ受信側サイトへ転送される。こ の場合、プロセスはステップ４３５で終了する。一代替実施形態では、ＶＰＮＵ によってサポートされるＶＰＮグループの識別されたメンバーからのトラフィッ クではない着信データトラフィックを破棄することが望ましい。 判断ボックス４２０で、ＶＰＮトラフィックであると判定されたデータパケッ トの場合、ＶＰＮユニットは、発信元端末局から与えられたオリジナルデータパ ケットを回復するようにインバウンドパケットを処理する。受信側ＶＰＮユニッ トによって維持されているルックアップテーブルは、ＶＰＮグループに使用され る圧縮規則、暗号化規則、および認証規則を識別し、ステップ４４０で、これら の規則に従ってオリジナルＩＰパケットを再構築する。次いで、再構築されたパ ケットが、４５０で宛先アドレスのサイトに供給され、手順がステップ４５５で 終了する。 図５は、同じＶＰＮグループの２人のメンバーの間で送信されるデータパケッ トのライフサイクルを示す。データパケットは、発信元５００から送信され、発 信元サイトからこのサイトに関連するルータを介して伝搬し、ＩＰデータパケッ ト５１０を生成する。データパケット５１０は、完全なＩＰデータパケットに関 連するすべてのフィールドを示すためのものではなく、宛先アドレス、発信元ア ドレス、およびパケットのペイロード情報を含む、この議論の関連部分を示す。 次いで、データパケット５１０はＶＰＮユニットによって調べられ、このデータ パケットが、識別されたＶＰＮグループのメンバー同士の間のトラフィックであ るかどうかが判定される。ＶＰＮユニット５２０は、上記で図３に関して説明し たパケット処理手順に従ってパケットを処理する。この結果として得られるパケ ットをパケット５３０として示す。パケット５３０は、依然としてこのデータパ ケットの宛先アドレスおよび発信元アドレスを示すが、パケットの残りの部分は 暗号化され、任意選択で圧縮される。 アウトバウンドＶＰＮユニットによる処理の後で、データパケットはインタネ ットを介して５５０に至り、宛先および発信元の情報により、パケットがその宛 先に到達するために最終的にとるべきパスが、インタネットの関連するルータに 対して識別される。パケットは、インタネットの宛先サイトの縁から、データパ ケット５３０とほぼ同一のデータパケット５４０として現れる。パケットは、受 信側ＶＰＮユニット５５０によって「処理解除」され、ＶＰＮユニット５５０は 、オリジナルパケットを形式５６０で復元し、宛先５７０にある受信側サイトの 関連するルータを介して最終的な宛先に供給する。 前述のように、仮想専用網に対する本発明の手法は、データパケットの任意選 択の圧縮をサポートするだけでなく、暗号化技法および認証技法もサポートする 。認証を用いるインタネットプロトコルデータ転送に関連するキー管理について の１つの新しい標準規格は、インタネットプロトコル用簡単キー管理（ＳＫＩＰ ）と呼ばれ、カリフォルニア州マウンテンビューのSun Micro apparatus Inc.社 に譲渡された米国特許第５５８８０６０号に記載されている。ＳＫＩＰを使用す る認証されたデータ転送は、トンネルモードと呼ばれるデータ転送モードをサポ ートする。図５に関する前述のデータ転送はトランスポート動作モードを示し、 このモードでは、データパケットがインタネットを横切る際にデータおよび発信 元アドレスが曝露される。トンネルモードでは、データパケット全体を、ＶＰＮ ユニットのためにのみ発信元アドレスおよび宛先アドレスを識別する他のパケッ ト内にカプセル化することによって、より高い程度のセキュリティを与えること ができる。これによって、最終的な発信元アドレスおよび宛先アドレスが通過中 に隠される。 図６は、トンネルモードを使用して発信元６００から宛先６７０に伝搬される データパケットのライフサイクルを示す。この動作モードでは、データパケット ６１０はアウトバウンドＶＰＮユニット６２０によって処理され、ＶＰＮユニッ ト６２０は、結果として得られるパケット６３０を生成する。結果として得られ るパケット６３０は、パケットのデータペイロードだけでなく、端末局の宛先ア ドレスおよび発信元アドレスも暗号化し（任意選択で）圧縮する。次いで、パケ ットの発信元がアウトバウンドＶＰＮユニット６２０であり、宛先がインバウン ドＶＰＮユニット６５０であることを識別する追加のヘッダが、カプセル化され たパケットに与えられる。したがって、インタネットから現れるパケット６４０ は、その発信元およびアドレス情報ならびにカプセル化されたペイロードに関し てパケット６３０と同一である。パケットはインバウンドＶＰＮユニット６５０ によって分解され、６６０でオリジナルデータパケットが再構築され、宛先６７ ０に供給される。 本発明の全体的なアーキテクチャはロバストである。このアーキテクチャは、 インタネットなどの公衆網空間を介して独自のデータ通信を行う好都合さをエン ド・ユーザに与える。本発明のアーキテクチャは、トランザクションの各端部に あるＶＰＮユニットが関連するプロトコルをサポートするかぎり、様々な圧縮技 術、暗号化技術、および認証技術を実現することも可能にする。本発明は、企業 ファイアウォールなど従来型のインタネットセキュリティ機構と共に動作するこ ともできる。ファイアウォールは、所与のサイトでＶＰＮユニットと直列に動作 することができ、あるいは並列ファイアウォールおよびＶＰＮユニットセキュリ ティ機能を実現するようにＶＰＮユニットと共に単一のボックス内にインテリジ ェントに構成することができる。仮想専用網ユニット用アーキテクチャ 上記の議論は、仮想専用網を実現する機能に関する議論である。次に、本発明 の一実施形態による仮想専用網ユニット用のハードウェアアーキテクチャおよび 具体化について説明する。次に、図７を参照すると、仮想専用網ユニット７００ の全体的なブロック図が示されている。ＶＰＮユニット７００の全体的なアーキ テクチャは本質的に、特別に構成されたパーソナルコンピュータ（ＰＣ）装置ア ーキテクチャである。ＶＰＮユニット７００の全体的な動作は、装置バス７１０ を介して装置の他の構成要素と通信するように結合された中央演算処理装置（Ｃ ＰＵ）７０５によって駆動される。ＶＰＮユニット７００について示された全体 的なアーキテクチャには、メモリ装置７２０も装置バス７１０上に存在するよう に示されている。当業者にはもちろん、様々なメモリ構成を実現できることが認 識されよう。このようなメモリ構成には、メモリ装置７２０への速度スループッ トを高める専用メモリバスを含めることができる。 ＶＰＮユニット７００は、あるサイトのローカルエリアネットワークとインタ ネットまたはその他の公衆網空間との間の中間装置になるように設計される。し たがって、ＶＰＮユニット７００は、ＶＰＮユニット７００をインタネットまた はその他の公衆網空間に結合する入出力コントローラ７３０を有するユニットと して示されている。同様に、ＶＰＮユニット７００をサイトのエッジ・ルータに 結合する入出力コントローラ７４０が設けられる。前述の機能要件に従って、Ｖ ＰＮユニット７００はサイトのルータとインタネットとの間に存在する。この具 体化では、入出力コントローラ７４０は、このサイト用のルータとＶＰＮユニッ ト７００との間のデータパケット伝送に責任を負う。本発明の代替実施形態とし て、ＶＰＮユニット７００はあるサイトのローカルエリアネットワークとこのサ イトのルータとの間に配設されることができ、この場合、入出力コントローラ７ ３０はＶＰＮユニット７００とルータとの間のデータパケット伝送に責任を負う ことになるであろうし、それに対して入出力コントローラ７４０は実際上、ＶＰ Ｎユニットの、ローカルエリアネットワークとのインタフェースになるであろう 。この代替実施形態では、データパケット伝送はおそらく、上記とは異なり公衆 網空間ＩＰ伝送ではなくローカルエリアネットワークのネットワークプロトコル 標準規格に従って処理する必要があろう。いずれの場合も、ＶＰＮユニット７０ ０の全体的なアーキテクチャは、２つの入出力コントローラ７３０および７４０ が装置バス７１０を介し入出力制御ロジック７５０を通して通信するように結合 されることを示す。このアーキテクチャによれば、入出力制御ロジック７５０は 、データパケットの着信および送出に関する装置バスへのアクセスを調停し、デ ータ接続に必要なスループットを確保する責任を負う。 前述のように、ＶＰＮユニット７００でデータパケットが受信されると、アウ トバウンド（帯域外周波）であるか、それともインバウンド（帯域内周波）であ るかにかかわらず、発信元アドレスと宛先アドレスの両方が同じＶＰＮグループ のメンバーを表わしているか否かについて、データパケットのヘッダを調べるこ とによって判定が下される。一実施形態に関する判定では、ＶＰＮユニット７０ ０によってサービスが実行される様々なＶＰＮグループのＩＤと、グループメン バーと、グループメンバー同士の間で交換されるデータパケットの様々な処理パ ラメータとを維持するルックアップテーブルに問い合わせる必要がある。ＶＰＮ ユニット７００の全体的なアーキテクチャによれば、この問合せは、メモリ装置 ７２０に保持されるルックアップテーブルを参照してＣＰＵ７０５によって処理 することができる。 サポートされるＶＰＮグループのメンバー同士の間で送信されるパケットとし て処理されるデータパケットの場合、このようなデータに関して、圧縮機能およ び圧縮解除機能と、暗号化機能および解読機能を実行する必要があることを説明 した。したがって、ＶＰＮユニット７００アーキテクチャは、装置バス７６０を 介して装置の残りの部分と通信するように結合された圧縮エンジン７６０と、同 様に装置バス７１０に結合された暗号化エンジン７７０とを含む。パケットカプ セル化ヘッダを生成する前述の様々なキー管理プロトコルなどの機能をサポート する場合、ＣＰＵ７０５によって処理を実行し、それらパケットをＣＰＵ７０５ 内でアセンブルするか、あるいはメモリ装置７２０内の指定されたメモリ位置で アセンブルする。別法として、このようなキー管理プロトコルまたはその他のパ ケット処理動作をサポートするように特別に設計されたロジックをＶＰＮユニッ ト７００に組み込むことができる。 最後に、ＶＰＮユニット７００アーキテクチャには、任意選択の入出力装置７ ８０を入出力制御ロジック７９０を介してＶＰＮユニット７００と相互接続でき ることが示されている。この場合、直接キーボードアクセスによってプロセッサ を制御することを可能にすることによってユニットの管理が容易になるか、ある いはＶＰＮユニット７００と通信する必要のある他の通信装置用の接続パスが形 成される。 次に、図８を参照すると、本発明の一実施形態によるＶＰＮユニットの一具体 化のより詳細なブロック図が示されている。ＶＰＮユニット８００のこの実現さ れた実施形態では、マイクロプロセッサ８０５、すなわち、１００ＭＨｚ Inte l ４８６ＤＸ４によって駆動されるアーキテクチャが開示されている。この構成 に用いる装置バスはＶＳＩＡバス８１０であり、このバスに装置の他の構成要素 が結合される。この場合のメモリ装置は、高速ダイナミックランダムアクセスメ モリ（ＤＲＡＭ）８２０のいくつかのバンクによって提供される。この実現され た実施形態によれば、装置の全体的な動作を制御するために、OPti Corporation 社から実用化されているＰＣチップセットが８２５に設けられる。Ｏｐｔｉチッ プセットは、４８６ＤＸ４マイクロプロセッサ用の装置コントローラ機能を実現 すると共に、他の周辺機器を装置に結合することのできる任意選択のＩＳＡ（In dustry Standard Architecture）バス８２８とのインタフェースを実現するため に使用することもできる。 実現されたＶＰＮユニット８００では、ＤＢ−２５コネクタを含む一連のマル チプロトコルトランシーバによって公衆網空間８３０との入出力接続が形成され る。同様に、ユニットの専用網側への接続は、追加のマルチプロトコルトランシ ーバおよび追加のＤＢ−２５コネクタを介して行われる。公衆網および専用網と の入出力接続はデュアルポートＳＣＣ８４５を介して処理され、デュアルポート ＳＣＣ８４５は、データパケットをＶＰＮユニット８００に送信しＶＰＮユニッ ト８００から受信するために複数の入力バッファおよび出力バッファを含む。デ ータパケット入出力コントローラは、ＦＰＧＡ制御及び接着ロジック(Glue Logi c)８５０を介してＶＳＩＡバス８１０に結合される。 実現されたＶＰＮユニット８００用の圧縮エンジンは、ＳＴＡＣチップ９７１ ０圧縮エンジン８６０を使用するＳＴＡＣ圧縮アルゴリズムを実現することによ って用意され、ＳＴＡＣチップ９７１０圧縮エンジン８６０は、ＳＲＡＭ(スタ ティックＲＡＭ)８６５の処理をサポートするためにＳＲＡＭ８６５の専用バン クに結合される。最後に、実現された実施形態では、暗号化エンジンはＤＥＳ（ Data Encryption Standard）エンジン８７０によって形成され、ＤＥＳエンジン ８７０は、オフザシェルフ（off-the-shelf）特別集積回路構成、またはＶＰＮ ユニット ８００の動作に従って動作するように設計された集積回路構成で実現することが できる。本発明の代替実施形態によれば、マイクロプロセッサ８０５またはその 他の汎用処理ロジック上で実行されるソフトウェアルーチンによって圧縮エンジ ンおよび暗号化エンジンを操作できることが考えられる。他の代替実施形態は、 より高い速度で動作するより新しい世代のマイクロプロセッサを使用することが でき、これから現れるＰＣＩバス標準規格など異なる装置の実現を要求すること ができる。当業者には、特定の目的に適合するように設計することのできる様々 な代替実施形態が認識されよう。 以上のように、公衆網空間を使用して安全な専用網データ通信を行うための仮 想専用網を実現するプロトコルおよびアーキテクチャについて説明した。ある例 示的な実施形態および実現された実施形態に関して本発明を説明したが、当業者 には本発明の様々な代替策が容易に察知され得ることを理解されたい。したがっ て、本発明の要旨および範囲は、以下の請求の範囲によって評価すべきである。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ， ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，Ｌ Ｓ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ， ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，Ｅ Ｅ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＧＭ，ＧＷ，ＨＵ ，ＩＤ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＺ， ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，Ｍ Ｇ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ， ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，Ｙ Ｕ，ＺＷ

Claims (1)

1. 【特許請求の範囲】 １．仮想専用網グループのメンバー同士の間で安全なデータ通信を行う装置で あって、 前記仮想専用網グループのメンバー同士の間でデータパケットを送受信する入 出力回路と、 前記システムの構成要素同士の間でデータを搬送するために前記入出力回路と 通信するシステムバスと、 アウトバウンドデータパケットを圧縮しインバウンドデータパケットを圧縮解 除するために前記システムバスと通信する圧縮エンジンと、 アウトバウンドデータパケットを暗号化しインバウンドデータパケットを解読 するために前記システムと通信する暗号化エンジンと、 前記システムによるデータパケットの処理を制御するために前記システムバス と通信し、前記仮想専用網のメンバー同士の間でどのデータパケットが送信され ているかを判定し、前記仮想専用網の所定のパラメータに従って前記データパケ ット用のデータフローを判定する中央演算処理装置（ＣＰＵ）と、 前記仮想専用網のメンバーのリストを維持し前記所定のパラメータを記憶する ために前記システムと通信するメモリ装置とを備えることを特徴とする装置。 ２．前記入出力回路が、 前記装置をあるサイトの専用網に結合する専用入出力ポートと、 前記装置をある公衆網空間に結合する公衆入出力ポートと、 前記装置と前記仮想専用網の前記メンバーとの間のデータパケットフローを制 御するために、前記システムバスと通信し、かつ前記専用入出力ポートおよび前 記公衆入出力ポートに結合された入出力制御ロジックとを備えることを特徴とす る請求項１に記載の装置。 ３．前記ＣＰＵが、キー管理プロトコルに従ってアウトバウンドデータパケッ ト用のカプセル化ヘッダを生成することを特徴とする請求項２に記載の装置。 ４．前記キー管理プロトコルがインターネットプロトコル用簡単キー管理（Ｓ ＫＩＰ）を含むことを特徴とする請求項３に記載の装置。 ５．前記暗号化エンジンが、ＤＥＳ（Data Encryption Standard）暗号化を実 行する専用集積回路を備えることを特徴とする請求項２に記載の装置。 ６．前記暗号化エンジンが、前記所定のパラメータに従ってＤＥＳ暗号化また はトリプルＤＥＳ暗号化を実行する専用集積回路を備えることを特徴とする請求 項２に記載の装置。 ７．前記圧縮エンジンが、ＬＺＷ（Lempel Ziv Welch）圧縮を実行する集積回 路を備えることを特徴とする請求項１に記載の装置。 ８．前記メモリが、前記装置によってサポートされるすべての仮想専用網グル ープと前記グループのメンバーとを識別するルックアップテーブルを含み、前記 メンバーがそれぞれ、ネットワークアドレスによって識別され、単一のネットワ ークアドレスが複数のグループのメンバーを識別できることを特徴とする請求項 １に記載の装置。 ９．仮想専用網グループのメンバー同士の間でデータパケットを安全に交換す る装置であって、 第１のサイトにあり、第１のネットワークアドレスを有する第１のコンピュー タと、 前記第１のコンピュータから公衆網を介して発信されたデータパケットをルー ティングするために前記第１のサイトに関連付けられた第１のルータと、 前記ルータと前記公衆網との間に配設され、仮想専用網グループデータトラフ ィックを識別し、前記仮想専用網ユニットによって維持されるパケット操作規則 に従って前記データトラフィックを操作することによって前記データトラフィッ クの安全を確保する第１の仮想専用網ユニットと、 第２のサイトを公衆網に結合するために前記第２のサイトに関連付けられた第 ２のルータと、 前記第２のサイトを宛先とするネットワークトラフィックをインタセプト（傍 受）するために前記第２のルータと公衆網との間に配設され、仮想専用網グルー プトラフィックを検出し、オリジナルパケットデータを回復する第２の仮想専用 網ユニットと、 前記第２のサイトにあり、前記パケットデータを受信するために第２のネット ワークアドレスを有する第２のコンピュータとを備え、前記第１および第２の仮 想専用網ユニットがそれぞれ、 前記仮想専用網グループのメンバー同士の間でデータパケットを送受信する入 出力回路と、 前記装置の構成要素同士の間でデータを搬送するために前記入出力回路と通信 するシステムバスと、 アウトバウンドデータパケットを圧縮しインバウンドデータパケットを圧縮解 除するために前記システムバスと通信する圧縮エンジンと、 アウトバウンドデータパケットを暗号化しインバウンドデータパケットを解読 するために前記システムと通信する暗号化エンジンと、 前記装置によるデータパケットの処理を制御するために前記システムバスと通 信し、前記仮想専用網のメンバー同士の間でどのデータパケットが送信されてい るかを判定し、前記仮想専用網の所定のパラメータに従って前記データパケット 用のデータフローを判定する中央演算処理装置（ＣＰＵ）と、 前記仮想専用網のメンバーのリストを維持し前記所定のパラメータを記憶する ために前記システムと通信するメモリ装置とを備えることを特徴とする装置。 １０．前記入出力回路が、 前記装置をあるサイトの専用網に結合する専用入出力ポートと、 前記装置をある公衆網空間に結合する公衆入出力ポートと、 前記装置と前記仮想専用網の前記メンバーとの間のデータパケットフローを制 御するために、前記システムバスと通信し、かつ前記専用入出力ポートおよび前 記公衆入出力ポートに結合された入出力制御ロジックとを備えることを特徴とす る請求項９に記載のシステム。 １１．前記ＣＰＵが、キー管理プロトコルに従ってアウトバウンドデータパケ ット用のカプセル化ヘッダを生成することを特徴とする請求項１０に記載のシス テム。 １２．前記キー管理プロトコルがインターネットプロトコル用管理キー管理( ＳＫＩＰ)を含むことを特徴とする請求項１１に記載のシステム。 １３．前記暗号化エンジンが、ＤＥＳ暗号化を実行する専用集積回路を備える ことを特徴とする請求項１０に記載の装置。 １４．前記暗号化エンジンが、前記所定のパラメータに従ってＤＥＳ暗号化ま たはトリプルＤＥＳ暗号化を実行する専用集積回路を備えることを特徴とする請 求項１０に記載のシステム。 １５．前記圧縮エンジンが、ＬＺＷ圧縮を実行する集積回路を備えることを特 徴とする請求項１０に記載のシステム。 １６．前記メモリが、前記装置によってサポートされるすべての仮想専用網グ ループと前記グループのメンバーとを識別するルックアップテーブルを含み、前 記メンバーがそれぞれ、ネットワークアドレスによって識別され、単一のネット ワークアドレスが複数のグループのメンバーを識別できることを特徴とする請求 項１０に記載のシステム。