JP2002504286A - 仮想専用網構造 - Google Patents

Abstract

(57)【要約】 安全な仮想専用網用のプロトコルおよびアーキテクチャ。企業内データ通信は、安全な仮想専用網を実現することによって、インタネットまたはその他の公衆網空間を介して安全にサポートされる。仮想専用網群のメンバーは、メンバー同士の間でデジタルデータを交換する場合、圧縮し暗号化し認証することのできるデータを交換する。

Description

【発明の詳細な説明】 仮想専用網構造 発明の背景 １．関連情報 本発明は、本発明の出願人に譲渡され本発明と同時に出願された「Ａｎ Ａｐ ｐａｒａｔｕｓ ｆｏｒ Ｉｍｐｌｅｍｅｎｔｉｎｇ Ｖｉｒｔｕａｌ Ｐｒｉ ｖａｔｅ Ｎｅｔｗｏｒｋｓ」と題する関連米国特許出願第０８／８７４０９１ 号［代理人整理番号２０１５５−７０２］に記載された発明に関する。 ２．発明の分野 本発明は、データ通信の分野に関する。詳細には、本発明は、公衆データ通信 インフラストラクチャ、または安全ではないその他のデータ通信インフラストラ クチャを介して安全な仮想専用網を実現する技法に関する。 ３．背景 近年、企業は、その構成員の間で電子データを伝送する能力に強く依存するよ うになってきた。このようなデータには通常、電子メールおよびファイル共用ま たはファイル転送が含まれる。中央集権化された単一サイト企業の場合、このよ うな電子データ転送は一般に、特定の企業によって設置され操作されるローカル エリアネットワーク（ＬＡＮ）によって容易になる。 企業のＬＡＮを通過するデータへの許可されていないアクセスを防止するのは 比較的簡単である。このことは、企業の構成員による許可されていないアクセス に当てはまると共に、より重要なこととして、外部の第三者にも当てはまる。イ ンテリジェントネットワーク管理が維持されるかぎり、企業の内部ＬＡＮを通過 するデータへの許可されていないアクセスは比較的容易に回避される。企業が複 数のサイトに広がっていくと、セキュリティに対する外部からの脅威が大きな問 題になっていく。 前述の電子データ転送の好都合さを望む分散された企業の場合、現在、いくつ かのオプションが存在するが、それらのオプションはそれぞれ欠点を伴う。第１ のオプションは、しばしば専用回線と呼ばれる専用または私的通信接続と企業ま たは様々なサイトを相互接続することである。これは、企業が広域ネットワーク （ＷＡＮ）を実現するために使用する従来型の方法である。企業が所有し制御す るＷＡＮを実現することの欠点は自明である。すなわち、このようなＷＡＮは高 価で厄介であり、企業のピーク容量要件を処理するために確立された場合、利用 度が低くなることが多い。この手法の自明の利点は、回線が企業専用であり、し たがって安全であり、中間の第三者による盗聴またはいたずらに対してかなり安 全であることである。 広域ネットワークで専用通信回線を使用することの代替策は、企業が新しい公 衆網空間を介してサイト間データ分散を処理することである。近年、インタネッ トは、主として科学者および研究者用のツールから、様々な営利目的のグローバ ル通信へと変遷している。インタネットは、コンピュータが存在する様々なネッ トワーク同士を相互接続することによって多数のコンピュータの間の電子通信経 路を形成する。企業、場合によっては非技術分野の企業が、企業内のコンピュー タの少なくとも一部へのインタネットアクセスを実現することが一般的になり、 場合によっては日常的になってきている。多くの企業では、このため、顧客、潜 在的な取引先、ならびに企業の分散された各構成員との通信が容易になっている 。 分散型の企業は、インタネットが企業の構成員同士の間の電子通信を実現する 好都合なツールであることを認識している。たとえば、企業内の２つのリモート サイトはそれぞれ、ローカルインタネットサービスプロバイダ（ＩＳＰ）を介し てインタネットに接続することができる。これによって、企業の様々な構成員は 、その企業内のサイトを含むインタネット上の他のサイトと通信することができ る。インタネットを企業内通信に使用することの制限的な欠点は、インタネット が公衆網空間であることである。各地点の間でデータ通信を行う経路は、パケッ トごとに異なり、ほぼ不確定である。さらに、インタネットの様々なネットワー クを介して情報を伝送するためのデータプロトコルは広く知られており、したが って、電子通信は妨害および盗聴を受けやすく、大部分の中間ホップでパケット が複製される。通信を通過中に修正することができるか、あるいは場合によって は通信 を不正なユーザによって開始できることが認識されたときにより重大な問題が生 じる。混乱を生じさせるこのような危険があるので、大部分の企業は、独自の秘 密の内部通信を公衆通信網にさらすことを望まない。現在多くの企業では、一般 に、前述のすべての欠点を付随させたままで、各サイトでインタネットアクセス を実現させるだけでなく、内部企業通信用の既存の専用通信経路も維持している 。 様々な暗号化機構およびその他の保護機構は、データ通信用に開発されたもの であるが、企業が公衆網空間に真に依存して安全な企業内データ通信を行うこと を可能にする場合に生じる問題に完全にかつ適切に対処する機構はない。分散さ れた企業が公衆網空間のみに依存して、現存するセキュリティリスクの問題なし に企業内通信を行うことを可能にするような機構を提供することが望ましく、し たがって、このことが本発明の目的である。 発明の概要 上記のことから、単一の企業が公衆網空間に依存して安全な企業内電子データ 通信を行うことを可能にするプロトコルおよびアーキテクチャを開発することが 望ましくかつ有利であることがわかる。したがって、本発明は、インタネットま たはその他の公衆網装置を介して安全な仮想専用網を実現するプロトコルおよび アーキテクチャを対象とする。本発明のアーキテクチャは、定義された仮想専用 網（ＶＰＮ）群のメンバーの間のデータ通信を変調するサイトプロテクタまたは ＶＰＮユニットを導入する。本発明の一実施形態によれば、サイトプロテクタは 、インタネットの企業側に接続するために使用されるサイトのルータまたはルー ティング装置のＷＡＮ側に存在する。代替実施形態では、サイトプロテクタは、 ルータのＬＡＮ側に存在する。すべての実施形態の基本的な点は、サイトプロテ クタが経路内あるいはすべての関連データトラフィック内にあることである。 同じＶＰＮ群のメンバーの間の安全なデータ通信を確保するために、サイトプ ロテクタまたはＶＰＮユニットは、群のメンバーの間でパケットを送信すべきと きにデータパケット処理技法のある組合せを実現する。パケット処理プロセスに は、圧縮、暗号化、および認証の様々な組合せが含まれ、圧縮、暗号化、および 認証のそれぞれに関する規則は、それぞれの群のメンバーごとに異なる規則でよ い。仮想専用網として定義された各群の場合、圧縮、暗号化、および認証を定義 する様々なパラメータが、関連するＶＰＮユニットの参照テーブル内に維持され る。参照テーブルが各群の固定アドレスメンバーに関する情報を維持するだけで なく、リモートクライアントに対するサポートも実現される。この能力は、リモ ートユーザがローカルインタネットサービスプロバイダにダイヤルし、しかも、 インタネットを介してある仮想専用網の群の他のメンバーと安全な通信を行うた めのこの群のメンバーシップを維持することを可能にする。リモートクライアン トの場合、一実施形態では、リモートクライアント上で実行されるソフトウェア によってサイトプロテクタをシミュレートすることができる。 本発明の他の態様では、ＶＰＮユニットまたはサイトプロテクタは、仮想専用 網群にメンバーを加えるか、あるいは仮想専用網群からメンバーを削除するか、 あるいはメンバーの移動を認識するか、あるいはこの群に影響を及ぼす他のパラ メータを変更するように動的に構成される。本発明の他の様々パケット処理態様 には、暗号化認証情報を含めることによっていくつかのデータパケットが大きく なり過ぎる問題の対処が含まれる。他のパケット処理態様は、データパケットの 送信元および宛先を識別する情報を隠すインタネット通信用の機構を実現する。 本発明のこの態様では、ＶＰＮユニットは、インタネット通信データパケットの 送信元および宛先とみなされ、端末局の送信元アドレスおよび宛先アドレスをカ プセル化する。 図面の簡単な説明 本発明の目的、特徴、および利点は、以下の詳細な説明から明らかになろう。 図１は、例示的な企業の企業内通信アーキテクチャ用の従来技術の構成を示す 図である。 図２は、仮想専用網のメンバーの間でメッセージを搬送する手段としてインタ ネットまたはその他の公衆網空間を使用する本発明による企業通信方法を示す図 である。 図３は、仮想専用網群のあるメンバーから他のメンバーへインタネットを介し て伝送されるパケットの処理に関する流れ図である。 図４は、仮想専用網群のあるメンバーによってインタネットを介して他のメン バーから受信されるデータパケットの処理を示す図である。 図５は、仮想専用網群のあるメンバーから他のメンバーへインタネットを介し て送信されるデータパケットのライフサイクルを示す図である。 図６は、群メンバーの送信元アドレスおよび宛先アドレスが隠される、仮想専 用網群のあるメンバーから他のメンバーへインタネットを介して送信されるデー タパケットの代替ライフサイクルを示す図である。 発明の詳細な説明 インタネットまたはその他の公衆網空間を介して企業通信用の安全な仮想専用 網を実現するプロトコルおよび装置を開示する。主としてインタネットを通信媒 体として使用することに関して本発明を説明するが、この概念および方法は、他 の公衆通信媒体または安全ではない通信媒体を介して安全な仮想専用網を実現で きるほど広義である。本発明を完全に理解していただくために、この詳細な説明 全体にわたって、特定の暗号化プロトコルや鍵管理プロトコルなど、多数の特定 の詳細について述べる。しかし、当業者には、本発明がそのような特定の詳細な しに実施できることが理解されよう。他の例では、本発明を曖昧にしないように 、周知の制御構造およびシステム構成要素は詳しく示されていない。 多くの例で、本発明によって実現される構成要素については、アーキテクチャ 機能レベルで説明する。多くの要素は、周知の構造、特に様々な圧縮技法または 暗号化技法に関する構造として指定された構造を使用して構成することができる 。また、本発明の装置内に論理を含めるために、当業者が過度の実験なしに特定 の方法を実施できるように機能および流れ図について説明する。様々な技術を使 用して本発明の技法を実施することもできることを理解されたい。たとえば、本 明細書でさらに説明する仮想専用網ユニットまたはサイトプロテクタは、コンピ ュータシステム上で実行されるソフトウェアで実現することも、あるいはマイク ロプロセッサまたは特別に設計された他の特定用途向け集積回路、プログラム可 能論理デバイス、あるいはそれらの様々な組合せを使用してハードウェアで実現 することもできる。当業者には、本発明が１つの特定の実施技法に限らないこと が 理解されよう。当業者は、このような構成要素によって実行される機能の説明が なされた後で、過度の実験なしに様々な技術を用いて本発明を実施することがで きる。 次に、図１を参照すると、分散された企業用の従来型の企業内データ通信方法 が示されている。例示的な企業構成のこの図で、企業は、追加のサイトまたは支 社１１０および１１２を有する本社位置１０５からなる。図１の例示的な企業の ような現代の企業では、本社のサイト１０５ならびに支社サイト１１０および１ １２はそれぞれ、多数の社員を備え、その多くはネットワークアクセスが可能な コンピュータまたはワークステーションを有する。本社における支社用の内部ネ ットワーク構成は、１つまたは複数のローカルエリアネットワーク（ＬＡＮ）を 含め多数の形態をとることができる。本社と支社の間のサイト間通信用に、専用 通信回線１１５および１２０を設けることができる。また、支社１１０と支社１ １２との間に任意選択の専用通信経路１２５を設けることができる。支社同士の 間の任意選択の専用通信回線１２５の代替策として、支社１１０と支社１１２と の間のデータパケットを本社のネットワーク機器を介してルーティングすること ができる。 本社と様々な支社との間の専用通信回線だけでなく、現在では、一般に、企業 内のコンピュータユーザは、インタネットにアクセスし、外部当事者に電子メー ルを送信すると共に、ＷＷＷなどのツールを使用してインタネットを介して様々 な種類の調査を行うことができる。図１に示すように、通常、本社のサイト１０ ５ならびに支社１１０および１１２はそれぞれ別々に、インタネットサービスプ ロバイダ１３０、１３３、および１３６に直接アクセスすることができる。これ によって、様々なサイトにいるユーザが上記の目的でインタネットにアクセスす るのが容易になる。代替構成では、インタネットサービスプロバイダ１３０にア クセスできるのは本社サイト１０５だけであり、支社サイト１１０および１１２ のコンピュータのユーザはその専用通信経路１１５および１２０を介し本社を通 してインタネットに接続される。この代替構成の欠点は、専用回線上の帯域幅利 用度が大幅に、おそらくは飽和点まで増大することである。利点は、インタネッ トとの１つのゲートウェイを企業に設けるだけでよく、外部との接続に関するセ キュリティ制約の実施が簡略化されることである。 例示的な企業１００では、ある種の状況で、顧客または他の提携企業がこの企 業のコンピュータネットワークに直接ダイヤルインできるようにすることが望ま しいことも示されている。図１には、顧客１４０が実際に、通信経路１４５、た とえば顧客の都合のために顧客とこの企業との間に設けられた専用回線を介して このような通信を実行できることが示されている。経路１４５は、顧客が散発的 にのみ使用するダイヤルアップ回線でもよい。インタネットの新しい使用法およ びその普及度に応じて、顧客１４０はＩＳＰ１４８を介してそれ自体のインタネ ット接続を有するように示されている。 最後に、図１には、外回りの仕事をしているか、あるいは在宅または社外の他 の場所で仕事をしている企業の他のメンバーが、企業の他のメンバーとデータを 交換することが多くの場合望ましいことが示されている。したがって、リモート クライアント１５０および１５５が長距離電話回線１５７および１５８を介して 本社と通信することが示されている。この例では、リモートクライアントは本社 からかなり離れた位置にいるものと仮定されている。リモートクライアント１５ ０および１５５はそれぞれ、ローカルＩＳＰ１６０および１６５を介してインタ ネットにローカルアクセスできるようにも示されている。 図１による企業データ通信構成についての上記の説明は、前節で説明した欠点 を示している。これらの欠点は、全体的に図２を参照して例示するように本発明 を実施することによって解消される。図２に示す企業ネットワーク通信構成２０ ０で、企業の本社１０５、第１の支社１１０、および第２の支社１１２は、図１ に示すよりも詳しく論理的に示されている。したがって、本社１０５は、それぞ れの端末局がローカルエリアネットワーク（ＬＡＮ）２０５を介してデータ・パ ケットを伝達するように結合された３つの端末局２０１、２０２、および２０３ を有するように示されている。同様に、支社サイト１１０は、それぞれの端末局 がＬＡＮ２１５を介してローカルにデータを伝達するように結合された複数の端 末局２１１、２１２、および２１３を有するサイトとして示されている。最後に 、第２の支社サイト１１２は、ＬＡＮ２２５を介して通信するように結合された 例示的な１組のコンピュータ・ステーション２２１、２２２、および２２３を有 す るサイトとして示されている。顧客サイト１４０はまた、図２では、顧客のＬＡ Ｎ２３５を介して通信するよう結合された３３１および３３２で示される複数の コンピュータを備えるものとして示されている。本社サイト、顧客サイト、およ び支社サイト内でデータ通信に利用されるローカルエリアネットワークは、様々 なネットワークプロトコルに従い、そのうちで最も一般的なプロトコルはイーサ ネットおよびトークンリングである。 図２を見るとわかるように、本社サイト１０５と支社サイト１１０および１１ ２との間の専用回線、ならびに本社サイト１０５と顧客サイト１４０との間の専 用通信回線はなくなっている。その代わりに、本発明によれば、企業のメンバー 同士の間のデータ通信は、インタネットまたはその他の公衆網空間を介して行う ことが予定される。本発明では、企業のメンバー同士の間のデータ・パケット転 送用の媒体が、広く使用されているインタネットであるものと仮定される。 図２に示す特定のサイト用の各ＬＡＮは最終的に、関連するルーティング装置 またはゲートウェイ装置、すなわち、それぞれルータ２４０、２４２、２４４、 および２４６として識別される装置を介してインタネット２５０と相互接続され る。２００で示す様々なサイト同士の間で搬送されるデータ・パケットが多くの 場合、パケットの送信元サイトと宛先サイトとの間で複数の他のルーティング装 置を横切ることを理解されたい。インタネットを介したデータ・パケット転送用 の機構は、よく知られており、本明細書では詳しく説明しない。データ・パケッ トが、インタネット・プロトコル（ＩＰ）に従ってアセンブルされ、本明細書で は、現在実施されているインタネット・プロトコルのバージョンにかかわらずＩ Ｐパケットと呼ばれることを理解されたい。図２に示すリモート・クライアント １５０および１５５の場合、それ自体がインタネット２５０を介した通信に必要 なゲートウェイを形成するローカル・インタネット・サービス・プロバイダをダ イヤルアップするために通信ソフトウェアを使用することを理解されたい。 前述のように、インタネットを利用して安全なデータ通信を行う従来型の方法 では、端末局でセキュリティ要件を意識または実現する必要があった。これは、 エンドユーザに対するトランスペアレンシィが望ましいときには不利である。本 発明は、一方ではエンドユーザに対してトランスペアレントであり、インタネッ トを介したデータ通信は、従来とまったく同じように行われる。しかし、同じ仮 想専用網のメンバーとして識別されるユーザの場合、データ通信は、データ・パ ケットのセキュリティおよび完全性を確保するように処理される。図２に示すよ うに、インタネット２５０とルータ２４０、２４２、２４４、および２４６のそ れぞれとの間に仮想専用網ユニット（ＶＰＮユニット）２５０、２５２、２５４ 、および２５６がある。本発明の例示された特定の実施形態によれば、ＶＰＮユ ニットはそのサイトのルータとインタネットへの経路との間に存在する。全体的 なシステムアーキテクチャにＶＰＮＵ（ユニット）をこのように配置することが 配置上の１つの選択を表わすに過ぎないことを理解されたい。以下の内容から、 ＶＰＮＵの配置に関する重要な点が、ＶＰＮＵがデータトラフィックの経路内に 存在することであることが明らかになろう。多くの実施形態では、実際には、Ｖ ＰＮＵをそのサイトのルータのＬＡＮ側に位置することが望ましい。以下で詳し く説明するように、ＶＰＮユニットは、特定の仮想専用網群のメンバーを識別す るために参照テーブルを維持する。 送信元アドレスと宛先アドレス、すなわち、同じＶＰＮ群のメンバー同士の間 でデータ・パケットが送信されるとき、ＶＰＮユニットは、データ・パケットが 暗号化され、認証され、任意選択で圧縮されるように送信側からのデータ・パケ ットを処理する。同様に、宛先アドレスが位置するサイトのサービスを実行する ＶＰＮユニットは、同じＶＰＮ群のメンバー同士の間でパケットが伝搬されてい ることを検出する。受信側ＶＰＮユニットは、パケットを宛先端末局の方へ転送 する前に復号し認証するプロセスを処理する。このようにして、エンドユーザ同 士の間の安全なデータ通信は、エンドユーザに対してトランスペアレントに行わ れる。リモートクライアント１５０および１５５の場合、リモートクライアント を関連するローカルインタネットサービスプロバイダに接続する通信ソフトウェ アと共に動作するソフトウェアでＶＰＮユニットをシミュレートすることができ る。 ＶＰＮユニットの機能について、図３のフローチャートから始まる以下の図を 参照して説明する。サイト１０５にあるＬＡＮ２０５の端末局２０２などの端末 局からデータパケットが送信され、その宛先が本社サイト１０５以外のリモート サイトであるとき、このデータパケットは最初、通常のインタネットデータパケ ット転送とみなされる。パケットは端末局２０２からＬＡＮ２０５を介してルー ティング装置２４０に進み、ルーティング装置２４０はインタネットプロトコル に従ってデータパケットをカプセル化し、アウトバウンドＩＰパケットを形成す る。サイトから出る際、ＩＰパケットは、そのサイトの関連するＶＰＮユニット を通過する。図３に示すフローチャートは、ＶＰＮユニットによって受信された アウトバウンドパケットに対するＶＰＮユニットの機能動作を示す。パケット送 信手順３００は、ステップ３１０で、アウトバウンドデータパケットがＶＰＮユ ニットで受信されたときに開始する。判断ボックス３２０で、このデータパケッ トに関する送信元アドレスと宛先アドレスが共に同じＶＰＮ群のメンバーである か否かが判定される。この判定は、ＶＰＮユニットによって維持されている参照 テーブルを参照するか、あるいは他のメモリ機構を参照して下すことができる。 このステップは、特定のサイトと、そのサイトのサービスを実行するＶＰＮユニ ットとの間で送信されるデータパケットに対するメンバーフィルタリングとみな すことができる。データパケットに関する送信元アドレスと宛先アドレスの両方 が同じＶＰＮ群のメンバーであるわけではない場合、ステップ３３０で、パケッ トは、ＶＰＮユニットを使用しない場合と同様に、サイトからの通常のインタネ ットトラフィックとしてインタネットへ転送される。この場合、手順はステップ ３３５で終了する。一代替実施形態では、データトラフィックを安全ではないト ラフィックとして転送するのではなく、ＶＰＮ群のメンバー同士の間で転送され るのではないデータトラフィックを破棄することが望ましい。他の代替実施形態 では、非ＶＰＮ群データトラフィックを通過させるか、あるいは破棄するオプシ ョンを与えることが望ましい。 判断ボックス３２０で、データパケットに関する送信元アドレスと宛先アドレ スの両方が同じＶＰＮ群のメンバーであると判定された場合、ステップ３４０で データパケットが処理され、圧縮、暗号化、および認証の様々な組合せを受ける 。ＶＰＮユニット２５０およびすべてのＶＰＮユニットによって維持されている 参照テーブルは、特定のＶＰＮ群の識別側メンバーと共に、特定のＶＰＮ軍のメ ンバー同士の間で転送されるデータパケットを圧縮すべきかどうかも識別し、そ う である場合、どんなアルゴリズムを圧縮に使用すべきかを識別する。多数の可能 な圧縮アルゴリズムがよく知られているが、本発明の一実施形態では、ＬＺＷ圧 縮を実施する。送信元アドレスおよび宛先アドレスがメンバーであるＶＰＮ群用 の参照テーブルはまた、このＶＰＮ群のためにインタネットを横切るデータパケ ットに使用される特定の暗号化アルゴリズムと、このアルゴリズムによって使用 される認証鍵管理プロトコル情報を識別する。参照テーブルの代替策として、常 にすべてのＶＰＮ群に同じアルゴリズムを使用するようにＶＰＮユニットをプロ グラムすることができる。 送信側ＶＰＮユニットと受信側ＶＰＮユニットの両方の参照テーブルが、同じ 圧縮規則、暗号化規則、および認証規則を識別し、同じ群のメンバーに対してそ れらの規則を実施し実施解除することができるかぎり、ＶＰＮトラフィックに使 用される特定のパケット処理アルゴリズムを変更することができる。単一のＶＰ Ｎユニットが、複数のＶＰＮ群のサービスを実行することができ、かつ特定のア ドレスが複数の群のメンバーでよいことを理解されたい。したがって、ステップ ３４０で、ＶＰＮ群のあるメンバーから他のメンバーへパケットが転送されると きに、この特定のＶＰＮ群用のＶＰＮユニットテーブルで識別された圧縮規則、 暗号化規則、および認証規則に従ってこのパケットが処理される。次いで、ステ ップ３５０で、処理済みのパケットがインタネットを介して宛先アドレスの方へ 転送される。次いで、ＶＰＮユニットを送信する手順はステップ３５５で終了す る。 受信側ＶＰＮユニットは、図４のフローチャートで示すようにＶＰＮトラフィ ックに対する上記のプロセスを反転する。パケット受信手順４００は、ステップ ４１０で、受信側ＶＰＮユニットでインタネットからインバウンドデータパケッ トが受信されたときに開始する。判断ボックス４２０で、インバウンドデータパ ケットが調べられ、データパケットの送信元アドレスと宛先アドレスが共に同じ ＶＰＮ群のメンバーであるかどうかが判定される。すべてのＶＰＮユニットによ って維持されている参照テーブルは、一貫していると共に整合しているものと仮 定される。インバウンドデータパケットがＶＰＮトラフィックではないと判定さ れた場合、このパケットは、ステップ４３０で、通常のインタネットデータトラ フィックの場合と同様にパスされ受信側サイトへ転送される。この場合、プロセ スはステップ４３５で終了する。一代替実施形態では、ＶＰＮＵによってサポー トされるＶＰＮ群の識別されたメンバーからのトラフィックではない着信データ トラフィックを破棄することが望ましい。 判断ボックス４２０で、ＶＰＮトラフィックであると判定されたデータパケッ トの場合、ＶＰＮユニットは、送信元端末局から与えられた最初のデータパケッ トを回復するようにインバウンドパケットを処理する。受信側ＶＰＮユニットに よって維持されている参照テーブルは、ＶＰＮ群に使用される圧縮規則、暗号化 規則、および認証規則を識別し、ステップ４４０で、これらの規則に従って最初 のＩＰパケットを再構築する。次いで、再構築されたパケットが、４５０で宛先 アドレスのサイトに供給され、手順がステップ４５５で終了する。 図５は、同じＶＰＮ群の２人のメンバーの間で送信されるデータパケットのラ イフサイクルを示す。データパケットは、送信元５００から送信され、送信元サ イトからこのサイトに関連するルータを介して伝搬し、ＩＰデータパケット５１ ０を生成する。データパケット５１０は、完全なＩＰデータパケットに関連する すべてのフィールドを示すためのものではなく、宛先アドレス、送信元アドレス 、およびパケットのペイロード情報を含む、この議論の関連部分を示す。次いで 、データパケット５１０はＶＰＮユニットによって調べられ、このデータパケッ トが、識別されたＶＰＮ群のメンバー同士の間のトラフィックであるかどうかが 判定される。ＶＰＮユニット５２０は、上記で図３に関して説明したパケット処 理手順に従ってパケットを処理する。この結果として得られるパケットをパケッ ト５３０として示す。パケット５３０は、依然としてこのデータパケットの宛先 アドレスおよび送信元アドレスを示すが、パケットの残りの部分は暗号化され、 任意選択で圧縮される。 アウトバウンドＶＰＮユニットによる処理の後で、データパケットはインタネ ットを介して５５０に至り、宛先および送信元の情報により、パケットがその宛 先に到達するために最終的にとるべき経路が、インタネットの関連するルータに 対して識別される。パケットは、インタネットの宛先サイトの縁から、データパ ケット５３０とほぼ同一のデータパケット５４０として現れる。パケットは、受 信側ＶＰＮユニット５５０によって「処理解除」され、ＶＰＮユニット５５０は 、最初のパケットを形式５６０で復元し、宛先５７０にある受信側サイトの関連 するルータを介して最終的な宛先に供給する。 前述のように、仮想専用網に対する本発明の手法は、データパケットの任意選 択の圧縮をサポートするだけでなく、暗号化技法および認証技法もサポートする 。認証を用いるインタネットプロトコルデータ転送に関連する鍵管理についての １つの新しい標準は、インタネットプロトコル用簡単鍵管理（ＳＫＩＰ）と呼ば れ、カリフォルニア州マウンテンビューのＳｕｎ Ｍｉｃｒｏａｐｐａｒａｔｕ ｓ，Ｉｎｃ．に譲渡された米国特許第５５８８０６０号に記載されている。ＳＫ ＩＰを使用する認証されたデータ転送は、トンネルモードと呼ばれるデータ転送 モードをサポートする。図５に関する前述のデータ転送はトランスポート動作モ ードを示し、このモードでは、データパケットがインタネットを横切る際にデー タおよび送信元アドレスが曝露される。トンネルモードでは、データパケット全 体を、ＶＰＮユニットのためにのみ送信元アドレスおよび宛先アドレスを識別す る他のパケット内にカプセル化することによって、より高い程度のセキュリティ を与えることができる。これによって、最終的な送信元アドレスおよび宛先アド レスが通過中に隠される。 図６は、トンネルモードを使用して送信元６００から宛先６７０に伝搬される データパケットのライフサイクルを示す。この動作モードでは、データパケット ６１０はアウトバウンドＶＰＮユニット６２０によって処理され、ＶＰＮユニッ ト６２０は、結果として得られるパケット６３０を生成する。結果として得られ るパケット６３０は、パケットのデータペイロードだけでなく、端末局の宛先ア ドレスおよび送信元アドレスも暗号化し（任意選択で）圧縮する。次いで、パケ ットの送信元がアウトバウンドＶＰＮユニット６２０であり、宛先がインバウン ドＶＰＮユニット６５０であることを識別する追加のヘッダが、カプセル化され たパケットに与えられる。したがって、インタネットから現れるパケット６４０ は、その送信元およびアドレス情報ならびにカプセル化されたペイロードに関し てパケット６３０と同一である。パケットはインバウンドＶＰＮユニット６５０ によって分解され、６６０で最初のデータパケットが再構築され、宛先６７０に 供給される。 本発明の全体的なアーキテクチャはロバストである。このアーキテクチャは、 インタネットなどの公衆網空間を介して独自のデータ通信を行う好都合さをエン ド・ユーザに与える。本発明のアーキテクチャは、トランザクションの各端部に あるＶＰＮユニットが関連するプロトコルをサポートするかぎり、様々な圧縮技 術、暗号化技術、および認証技術を実現することも可能にする。本発明は、企業 ファイアウォールなど従来型のインタネットセキュリティ機構と共に動作するこ ともできる。ファイアウォールは、所与のサイトでＶＰＮユニットと直列に動作 することができ、あるいは並列ファイアウォールおよびＶＰＮユニットセキュリ ティ機能を実現するようにＶＰＮユニットと共に単一のボックス内にインテリジ ェントに構成することができる。 したがって、公衆網空間を使用して安全な専用網データ通信を行うための仮想 専用網を実現するプロトコルおよびアーキテクチャについて説明した。ある例示 的な実施形態および実現された実施形態に関して本発明を説明したが、当業者に は本発明の様々な代替策が容易に理解されることを理解されたい。したがって、 本発明の趣旨および範囲は以下の請求の範囲によって評価すべきである。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ， ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，Ｌ Ｓ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ， ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，Ｅ Ｅ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＧＭ，ＧＷ，ＨＵ ，ＩＤ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＺ， ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，Ｍ Ｇ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ， ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，Ｙ Ｕ，ＺＷ (72)発明者 パルマ，デレク. アメリカ合衆国 94587 カリフォルニア 州 ユニオン シティー モンタレー ウ ェイ 3253 (72)発明者 ロウラー，ジョン. アメリカ合衆国 94087 カリフォルニア 州 サニーベイル ロチンバー アベニュ ー 1180 アパートメント 85

Claims (1)

1. 【特許請求の範囲】 １．仮想専用網の第１のメンバーから前記仮想専用網の第２のメンバーにデー タパケットを送信する方法であって、 前記データパケットを前記第２のメンバーに送信される途中で受信するステッ プと、 前記仮想専用網のメンバー同士の間で前記データパケットが送信されているこ とを判定するステップと、 前記仮想専用網のメンバー同士の間で送信されるパケットに対するパケット操 作規則を決定するステップと、 前記データパケットに対して前記パケット操作規則を実行することによって安 全なデータパケットを形成するステップと、 前記安全なデータパケットを前記仮想専用網の前記第２のメンバーに転送する ステップとを含むことを特徴とする方法。 ２．前記データパケットが前記仮想専用網のメンバー同士の間で送信されてい ることを判定するステップが、データパケットの送信元アドレスおよび宛先アド レスを、仮想専用網アドレステーブルに記憶されているアドレスと比較するステ ップを含むことを特徴とする請求項１に記載の方法。 ３．パケット操作規則を判定する前記ステップが、仮想専用網のメンバー同士 の間で送信されるデータパケットに使用すべき圧縮アルゴリズム、暗号化アルゴ リズム、および認証アルゴリズムを識別する情報を維持する参照テーブルにアク セスするステップを含むことを特徴とする請求項１に記載の方法。 ４．安全なデータパケットを形成する前記ステップが、 識別された暗号化アルゴリズムに従ってデータパケットの少なくともペイロー ド部を暗号化するステップと、 識別された認証アルゴリズムに従ってデータパケットに関する認証情報を生成 するステップとを含むことを特徴とする請求項３に記載の方法。 ５．安全なデータパケットを形成する前記ステップが、識別された圧縮アルゴ リズムに従ってデータパケットの前記ペイロード部を圧縮するステップを含むこ とを特徴とする請求項４に記載の方法。 ６．前記圧縮ステップが前記暗号化ステップの前に行われることを特徴とする 請求項５に記載の方法。 ７．安全なデータパケットを形成する前記ステップが、識別されたパケット操 作規則に従ってデータパケットの送信元アドレスおよび宛先アドレスを隠すステ ップを含むことを特徴とする請求項３に記載の方法。 ８．仮想専用網のメンバー同士の間で送信される安全なデータパケットからオ リジナルデータパケットを回復する方法であって、 前記安全なデータパケットを受信するステップと、 前記仮想専用網のメンバー同士の間で送信されるパケット用のパケット操作規 則を判定するステップと、 識別されたパケット操作規則を反転することにより安全なデータパケットを操 作することによってオリジナルデータパケットを回復するステップと、 回復されたデータパケットを宛先に転送するステップとを含むことを特徴とす る方法。 ９．パケット操作規則を判定する前記ステップが、仮想専用網のメンバー同士 の間で送信されるデータパケットに使用すべき圧縮アルゴリズム、暗号化アルゴ リズム、および認証アルゴリズムを識別する情報を維持する参照テーブルにアク セスするステップを含むことを特徴とする請求項８に記載の方法。 １０．前記回復ステップが、オリジナルデータパケットの送信元アドレスおよ び宛先アドレスが隠されているときに前記アドレスを回復するステップを含むこ とを特徴とする請求項９に記載の方法。 １１．仮想専用網のメンバーによってデータパケットを安全に交換する方法で あって、 送信元アドレス、宛先アドレス、およびデータペイロード部を含む第１のデー タパケットを生成するステップと、 前記第１のデータパケットを宛先アドレスに送信するステップと、 前記第１のデータパケットを前記宛先アドレスに送信される途中でインタセプ トするステップと、 前記第１のデータパケットが仮想専用網群のメンバー同士の間で送信されてい ることを検証するステップと、 前記仮想専用網群のメンバー同士の間で送信されるパケット用のパケット操作 規則を判定するステップと、 前記第１のデータパケットに対して前記パケット操作規則を実行することによ って第２のデータパケットを生成するステップと、 前記第２のデータパケットを前記宛先アドレスの方へ転送するステップと、 前記第２のデータパケットを受信するステップと。 前記第２のデータパケットが前記仮想専用網群のメンバー同士の間で送信され ていることを検証するステップと、 前記仮想専用網群のメンバー同士の間で送信されるパケット用のパケット操作 規則を判定するステップと、 識別されたパケット操作規則を反転することによって、前記データペイロード 部を含む第３のパケットを生成するステップと、 前記第３のデータパケットを前記宛先アドレスに供給するステップとを含むこ とを特徴とする方法。 １２．前記第２のパケットが前記送信元アドレスおよび宛先アドレスを隠すこ とを特徴とする請求項１１に記載の方法。 １３．第３のパケットを生成する前記ステップが、前記第３のパケットに含め られる前記送信元アドレスおよび宛先アドレスを回復するステップを含むことを 特徴とする請求項１１に記載の方法。 １４．仮想専用網群のメンバー同士の間でデータパケットを安全に交換する装 置であって、 第１のサイトにあり、第１のネットワークアドレスを有する第１のコンピュー タと、 前記第１のコンピュータから公衆網を介して送信されたデータパケットをルー ティングするために前記第１のサイトに関連付けられた第１のルータと、 前記ルータと前記公衆網との間に配設され、仮想専用網群データトラフィック を識別し、前記仮想専用網ユニットによって維持されるパケット操作規則に従っ て前記データトラフィックを操作することによって前記データトラフィックの安 全を確保する第１の仮想専用網ユニットと、 第２のサイトを公衆網に結合するために前記第２のサイトに関連付けられた第 ２のルータと、 前記第２のサイトを宛先とするネットワークトラフィックをインタセプトする ために前記第２のルータと公衆網との間に配設され、仮想専用網群トラフィック を検出し、オリジナルパケットデータを回復する第２の仮想専用網ユニットと、 前記第２のサイトにあり、前記パケットデータを受信するために第２のネット ワークアドレスを有する第２のコンピュータとを備えたことを特徴とするシステ ム。 １５．前記第１および第２の仮想専用網ユニットが、前記第１および第２のネ ットワークアドレスが共に前記仮想専用網群のメンバーであることを検証する手 段を含むことを特徴とする請求項１４に記載のシステム。 １６．前記第１および第２の仮想専用網ユニットがそれぞれ、関連するネット ワークアドレスを有し、前記ネットワークトラフィックが、仮想専用網アドレス を使用して第１および第２のネットワークアドレスのＩＤを隠すことを特徴とす る請求項１５に記載のシステム。