JP2003018156A - Ｖｐｎ運用管理装置 - Google Patents

Abstract

(57)【要約】 【課題】 複数のセキュリティ規則の衝突検出、衝突解
決を自動的に行って、安全性の向上、運用管理者の運用
効率の向上を図ること。 【解決手段】 ＶＰＮ装置の動作設定を行うＶＰＮ運用
管理装置において、トラヒック条件とセキュリティ条件
とを含むセキュリティ規則を有するＶＰＮ利用契約情報
を記録したＶＰＮ契約情報ＤＢ１０３と、複数のセキュ
リティ規則におけるトラヒック条件の重複に基づいて、
ＶＰＮ利用契約情報間で衝突するセキュリティ規則を検
出するセキュリティ規則衝突検出手段１０８と、衝突す
るセキュリティ規則に対して、トラヒック条件の重複を
併合したトラヒック条件と、一致するセキュリティ条件
を併合したセキュリティ条件とを有する新たなセキュリ
ティ規則を生成するセキュリティ規則衝突解決手段１０
９とを備えた。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、仮想私設ネット
ワーク（ＶＰＮ；Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅ
ｔｗｏｒｋ）装置の動作設定を行うＶＰＮ運用管理装置
に関するものである。

【０００２】

【従来の技術】図１２は、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ
Ｅｎｇｉｎｅｅｒｉｎｇ ＴａｓｋＦｏｒｃｅ）規格
ＲＦＣ２４０１に定められたインターネットＶＰＮ構成
の一例を示す構成図である。この規格はＩＰｓｅｃ（Ｉ
Ｐ Ｓｅｃｕｒｉｔｙ）と一般的に呼ばれており、広く
実用化されている。ＶＰＮ装置は通常、ルータやファイ
ヤウォール装置等、外部ネットワークと内部ネットワー
ク間のパケット転送装置として実現される。

【０００３】ＶＰＮ装置は、内部ネットワーク用送受信
インタフェース１２０７、外部ネットワーク用送受信イ
ンタフェース１２０９を用いて、内外ネットワークとの
パケット送受信を行い、データパケット処理手段１２０
８によって内外ネットワーク間のパケットの転送処理を
行うものである。また、ＶＰＮ装置は、運用管理者が設
定したセキュリティ規則１２０１を格納するセキュリテ
ィ・ポリシー・データベース（ＳＰＤ）１２０２、およ
び送信者側ＶＰＮ装置と受信者側ＶＰＮ装置との間で個
々のトラヒック条件に対する暗号化・認証内容を取り決
めた情報であるセキュリティ・アソシエーション（Ｓ
Ａ）１２０３を格納するセキュリティ・アソシエーショ
ン・データベース（ＳＡＤ）１２０４を備えている。ま
た、ＶＰＮ装置は、運用管理者がＳＰＤ１２０２の表示
・入力を行うためのＳＰＤ表示・入力手段１２０５と、
相互に通信を行うＶＰＮ装置間でＳＡ１２０３の交渉を
行うためのＳＡ管理手段１２０６と、パケットに対しＳ
ＰＤ１２０２およびＳＡＤ１２０４の内容に基づいた処
理を行うデータパケット処理手段１２０８とを備えてい
る。

【０００４】このＶＰＮ構成における設定例と動作例を
以下に説明する。図１３は、運用管理者がＳＰＤ１２０
２に設定するセキュリティ規則の一例を示す説明図であ
る。ＳＰＤ１２０２はパケットの転送方向別に編成され
たデータベースであり、各転送方向ごとのセキュリティ
規則１３０４、１３０５と１３０６、１３０７はそれぞ
れ優先順位の高い方から順にソートされて示されてい
る。トラヒック条件１３０１は送受信アドレス、すなわ
ち、発信元ＩＰ（ＩＰアドレス）、発信元ポート（ＴＣ
Ｐ／ＵＤＰポート番号）、宛先ＩＰ（ＩＰアドレス）、
宛先ポート（ＴＣＰ／ＵＤＰポート番号）、プロトコル
番号により指定され、前記トラヒック条件を満たすパケ
ットのアクション種別１３０２として「そのまま送信・
受信する」、「廃棄する」、「指定された暗号化・認証
を施す」が設定されるようになっている。アクション種
別１３０２が「暗号化・認証を施す」の場合には、ＳＡ
交渉に対して使用すべきセキュリティ条件１３０３、す
なわち、暗号化方法・認証方法、パケットに対して使用
する暗号化方法・認証方法が設定される。このとき、適
用可能な暗号化方法・認証方法に幅をもたせ、双方のＶ
ＰＮ装置や組織のセキュリティ・ポリシーがともに許す
範囲で実際の暗号化方法・認証方法を交渉できるように
複数のセキュリティ条件が優先順位順に指定されるよう
になっている。

【０００５】図１２に示すように、送信側ＶＰＮ装置
は、内部ネットワークから外部ネットワークに送出すべ
きパケットに対して、トラヒック条件の合致する最も優
先順位の高いセキュリティ規則をＳＰＤ１２０２から検
索し、検索されたセキュリティ規則に基づいてパケット
を処理する。また、アクション種別１３０２が「暗号化
・認証を施す」の場合、ＳＡ１２０３が未確立であれば
送信側ＶＰＮ装置・受信側ＶＰＮ装置のＳＡ管理手段１
２０６が互いに交渉を行ってＳＡ１２０３を決定する。
ＳＡ１２０３の交渉では、互いのセキュリティ規則に基
づいて暗号化方法・認証方法の候補を双方が提示し、双
方が提供可能な暗号化方法・認証方法、暗号化鍵・認証
鍵を選択し、また、パケットの暗号化・認証に用いる鍵
を自動生成する。そして、交渉結果がＳＡ１２０３とし
て双方のＶＰＮ装置のＳＡＤ１２０４に記録される。送
信側・受信側ＶＰＮ装置のデータパケット処理手段１２
０８は、このような手順で確立したＳＡ１２０３に基づ
き暗号化・認証をパケットに施すことにより、パケット
の暗号化・認証を実現している。

【０００６】図１４は、特開２０００−２４４４９５号
公報に開示されているネットワーク管理システムの構成
図であり、図１５はこの公開公報に開示されたネットワ
ーク管理システムに設定される業務内容の定義例を示す
説明図である。このネットワーク管理システムでは、運
用管理者は管理用入出力装置１４０１を用いて各事業所
・部署の業務内容の定義を編集し、中央ポリシーＤＢ１
４０２に登録する。管理・制御装置１４０４は、中央ポ
リシーＤＢ１４０２またはその複製ＤＢ１４０３に記述
された業務内容の定義に基づいてネットワーク装置（事
業所Ａルータ１（１４０５）、事業所Ｂルータ１（１４
０６）、事業所Ａルータ２（１４０７））のセキュリテ
ィ・ポリシーやＱｏＳポリシーの設定を自動的に生成
し、ネットワーク装置を制御するものであり、複製ＤＢ
１４０３は遠隔地に配置された管理・制御装置、多数の
管理・制御装置に対するポリシーＤＢの参照の遅延や負
荷を緩和するものである。このネットワーク管理システ
ムは、運用管理者にとって理解容易な業務用語により定
義されたセキュリティ・ポリシーやＱｏＳポリシーを、
ネットワーク機器設定用のセキュリティ・ポリシーやＱ
ｏＳポリシーの表現に変換し、ネットワーク機器を制御
することにより、ネットワーク機器の知識に乏しい運用
管理者であっても、多数のネットワーク機器を適切に設
定できるようにしたものである。

【０００７】

【発明が解決しようとする課題】しかしながら、このよ
うな従来のＶＰＮ運用管理装置あるいはネットワーク管
理システムでは、ＶＰＮ装置のセキュリティ規則あるい
は業務内容の定義を設定するにあたり、運用管理者は実
際の業務要求を満たすように業務内容を定義し、業務間
のセキュリティ・ポリシーの整合性や優先順位を検証し
て、適切に設定することが前提となっている。一方で、
業務内容の定義量が増加したり、業務内容の変更が頻繁
に発生する場合は、このような設定作業を運用管理者が
人手で実施しなければならないため、多大な労力を必要
とし、不適切な設定による障害の発生やサービス開通の
遅延を生じる要因となる。

【０００８】ここで、多数の相手と契約を結びＶＰＮを
構築する場合を具体例として説明する。複数の契約に対
して同じサーバ計算機を用いて情報資源を提供したり、
また、同じ端末・端末グループで複数の情報資源を利用
する場合、双方の契約条件を満たすようにセキュリティ
規則や業務定義を定める必要がある。図１６はこのよう
な２つの契約の例を示す説明図である。契約間で共通の
端末計算機１６０３および１６０４に対して、契約間に
共通のサーバ計算機１６０７から情報公開を行うために
必要なパケットの認証方法・暗号化方法は、契約Ａのセ
キュリティ条件１６１０と契約Ｂのセキュリティ条件１
６１１の双方に共通の条件、すなわち１６１０−１（１
６１１−１）に示す認証・暗号化方式のみが適用可能で
ある。

【０００９】また、図１７は２つの契約の別の例を示す
説明図である。図１７に示すような契約においては、サ
ーバ計算機１７０７から公開される情報に対しては、契
約Ａのセキュリティ条件１７１０と契約Ｂのセキュリテ
ィ条件１７１１の双方に共通の認証方法・暗号化方法が
存在しない。このため、双方の契約をともに満たすＶＰ
Ｎを構成することはできず、契約内容の見直しが必要で
ある。あるいは、契約の運用上、一方の契約が他方に優
先し、重複する部分に対しては他方の契約による通信に
一部支障をきたしてもよいと運用管理者が判断すれば、
一方の契約のセキュリティ規則を優先することもありう
る。

【００１０】このように、運用管理者は、複数の契約で
ＶＰＮ経路（トラヒック条件）や情報資源が共有される
場合、共有部分に対して、全ての契約の条件を満たすよ
うなセキュリティ規則を設定したり、または、そのよう
な規則が設定不能な場合は契約内容を修正したり、セキ
ュリティ規則の優先順位を定めるという作業を行って、
はじめてＶＰＮ装置を適切に設定できる。実際の運用に
おいては、多数の契約に対して上記のようなセキュリテ
ィ・ポリシーの検証、修正作業を運用管理者が手作業で
行っていたため、不適切な設定による障害の発生やサー
ビス開通の遅延を生じる要因となるという問題があっ
た。

【００１１】この発明は上記に鑑みてなされたもので、
多数の契約によりＶＰＮを用いて情報の交換・提供を行
う場合を想定し、複数の契約条件に記載されたセキュリ
ティ・ポリシーの衝突を自動的に検出することにより、
安全性に優れたＶＰＮ運用管理装置を得ることを目的と
する。また、この発明は、複数の契約条件に記載された
セキュリティ・ポリシーの衝突に対してＶＰＮに関する
知識に乏しい運用管理者でも容易に衝突解決措置を行え
るＶＰＮ運用管理装置を得ることを目的とする。さら
に、この発明は、複数の契約条件に記載されたセキュリ
ティ・ポリシーに対して、適切なＶＰＮ装置の設定を自
動的に行えるＶＰＮ運用管理装置を得ることを目的とす
る。

【００１２】

【課題を解決するための手段】上記目的を達成するた
め、この発明にかかるＶＰＮ運用管理装置は、予め定義
されたセキュリティポリシーに基いて送受信パケットの
認証または暗号化を行うＶＰＮ装置の動作設定を行うＶ
ＰＮ運用管理装置であって、ネットワークのトラヒック
条件とセキュリティ条件とによりセキュリティポリシー
が定義された複数のセキュリティ規則を有するＶＰＮ利
用契約情報を記録するＶＰＮ契約情報記録手段と、異な
るＶＰＮ利用契約情報間で、トラヒック条件の重複に基
づいて衝突するセキュリティ規則を検出するセキュリテ
ィ規則衝突検出手段と、を備えたことを特徴とする。

【００１３】この発明によれば、異なるＶＰＮ利用契約
情報間で、トラヒック条件の重複に基づいて衝突するセ
キュリティ規則を検出するので、多数のＶＰＮ利用契約
情報に対して、セキュリティ・ポリシーとして定義され
たセキュリティ規則の衝突をすべて自動的に検知するこ
とができ、運用管理者は容易に衝突を回避したり、ＶＰ
Ｎ利用契約の修正を行うことができる。

【００１４】つぎの発明にかかるＶＰＮ運用管理装置
は、上記の発明において、前記衝突するセキュリティ規
則に対して、トラヒック条件の重複を併合したトラヒッ
ク条件と、一致するセキュリティ条件を併合したセキュ
リティ条件とを有する新たなセキュリティ規則を生成
し、生成された新たなセキュリティ規則の優先度を前記
衝突するセキュリティ規則の優先度より高く設定するセ
キュリティ規則衝突解決手段をさらに備えたことを特徴
とする。

【００１５】この発明によれば、セキュリティ規則衝突
検出手段により検出された衝突するセキュリティ規則に
対して、トラヒック条件の重複を併合したトラヒック条
件と、一致するセキュリティ条件を併合したセキュリテ
ィ条件とを有する新たなセキュリティ規則を生成し、生
成された新たなセキュリティ規則の優先度を衝突するセ
キュリティ規則の優先度より高く設定するので、運用管
理者のＶＰＮ装置固有の設定方法に対する知識が乏しい
場合でもセキュリティ規則の衝突の調整を自動的に行う
ことができ、多数の契約に対してＶＰＮ装置の設定を確
実に行うことができる。これにより、運用管理者は多量
のＶＰＮ利用契約情報に対して、契約およびＶＰＮ設定
の正確性を維持しながら容易にＶＰＮの管理を行うこと
ができ、ＶＰＮの運用管理において安全性の向上と、運
用の効率化を図ることができる。

【００１６】つぎの発明にかかるＶＰＮ運用管理装置
は、上記の発明において、前記衝突するセキュリティ規
則に対して、運用管理者により選択されたセキュリティ
規則の優先度を他方のセキュリティ規則の優先度より高
く設定するセキュリティ規則衝突解決手段をさらに備え
たことを特徴とする。

【００１７】この発明によれば、セキュリティ規則衝突
検出手段により検出された衝突するセキュリティ規則に
対して、運用管理者により選択されたセキュリティ規則
の優先度を他方のセキュリティ規則の優先度より高く設
定するので、運用管理者がＶＰＮ装置固有の設定方法に
対する詳細な知識を有している場合には、運用管理者に
従って、多数の契約に対してＶＰＮ装置の適切な設定を
確実に行うことができる。

【００１８】つぎの発明にかかるＶＰＮ運用管理装置
は、上記の発明において、前記衝突するセキュリティ規
則が含まれるＶＰＮ利用契約情報に対して、運用管理者
により選択されたＶＰＮ利用契約情報の優先度を他方の
ＶＰＮ利用契約情報の優先度により高く設定するセキュ
リティ規則衝突解決手段をさらに備えたことを特徴とす
る。

【００１９】この発明によれば、セキュリティ規則衝突
検出手段により検出された衝突するセキュリティ規則が
含まれるＶＰＮ利用契約情報に対して、運用管理者によ
り選択されたＶＰＮ利用契約情報の優先度を他方のＶＰ
Ｎ利用契約情報の優先度により高く設定するので、個々
のセキュリティ規則ではなく、ＶＰＮ利用契約を単位と
して全てのセキュリティ規則の衝突検出、ＶＰＮ利用契
約を単位として調整案の提示と運用管理者による調整案
の選択を行うことができ、より少ない作業によってＶＰ
Ｎ設定の検証およびＶＰＮ設定の自動生成を行うことが
できる。

【００２０】つぎの発明にかかるＶＰＮ運用管理装置
は、上記の発明において、前記セキュリティ規則衝突解
決手段は、セキュリティ規則の優先度に基づいた整列が
不可能である場合に、整列不可能なセキュリティ規則を
抽出するものであることを特徴とする。

【００２１】この発明によれば、セキュリティ規則の前
記優先度に基づいた整列が不可能である場合に、整列不
可能なセキュリティ規則を自動的に抽出するので、セキ
ュリティ規則衝突解決手段による衝突解決でセキュリテ
ィの整列ができない場合でも、セキュリティ規則の衝突
解決を確実に実現することが可能となる。

【００２２】つぎの発明にかかるＶＰＮ運用管理装置
は、上記の発明において、前記トラヒック条件は、少な
くとも発信元ＩＰアドレスと、宛先ＩＰアドレスと、発
信元ポート番号と、宛先ポート番号と、プロトコル番号
とに関する条件を含み、前記各条件の上限値または下限
値のＡＮＤ条件を組み合わせた条件と等価であることを
特徴とする。

【００２３】この発明によれば、トラヒック条件は、少
なくとも発信元ＩＰアドレスと、宛先ＩＰアドレスと、
発信元ポート番号と、宛先ポート番号と、プロトコル番
号とに関する条件を含み、前記各条件の上限値または下
限値のＡＮＤ条件を組み合わせた条件と等価であるの
で、セキュリティ規則の衝突検出、セキュリティ規則の
併合およびＶＰＮ設定情報の自動生成をより容易に行う
ことができる。

【００２４】つぎの発明にかかるＶＰＮ運用管理装置
は、上記の発明において、前記トラヒック条件は、少な
くとも発信元ＩＰアドレスと、宛先ＩＰアドレスと、発
信元ポート番号と、宛先ポート番号と、プロトコル番号
とに関する条件を含み、前記各条件の上限値または下限
値のＡＮＤ条件またはＯＲ条件を組み合わせた条件と等
価であることを特徴とする。

【００２５】この発明によれば、トラヒック条件は、少
なくとも発信元ＩＰアドレスと、宛先ＩＰアドレスと、
発信元ポート番号と、宛先ポート番号と、プロトコル番
号とに関する条件を含み、前記各条件の上限値または下
限値のＡＮＤ条件またはＯＲ条件を組み合わせた条件と
等価であるので、セキュリティ規則の衝突検出、セキュ
リティ規則の併合およびＶＰＮ設定情報の自動生成をよ
り容易に行うことができる。

【００２６】

【発明の実施の形態】以下に添付図面を参照して、この
発明にかかるＶＰＮ運用管理装置の好適な実施の形態を
詳細に説明する。

【００２７】実施の形態１．図１は、この発明の実施の
形態であるＶＰＮ運用管理装置の構成を示すブロック図
である。この実施の形態のＶＰＮ運用管理装置は、図１
に示すとおり、表示入力手段１０１、ＶＰＮ利用契約情
報表示入力手段１０２と、ＶＰＮ契約情報ＤＢ１０３
と、ＶＰＮ設定生成制御手段１０７と、セキュリティ規
則衝突検出手段１０８と、セキュリティ規則衝突解決手
段１０９と、ＶＰＮ設定生成手段１１０とを主に備えて
いる。ここで、ＶＰＮ契約情報ＤＢ１０３は、この発明
におけるＶＰＮ契約情報記録手段を構成する。

【００２８】表示入力手段１０１は、運用管理者とＶＰ
Ｎ運用管理装置のユーザインタフェースを提供するもの
であり、具体的にはキーボード、マウス等の入力装置、
ディスプレイ装置等の表示装置等で構成される。ＶＰＮ
契約情報ＤＢ１０３には、ＶＰＮ利用契約情報１０４
と、セキュリティ規則衝突調整情報１０５と、ＶＰＮ設
定情報１０６とが格納されている。ＶＰＮ利用契約情報
表示入力手段１０２は、運用管理者によるＶＰＮ利用契
約情報１０４の表示制御および入力制御の各処理を行う
ものである。

【００２９】ＶＰＮ設定生成制御手段１０７は、運用管
理者からの指示に基づいて、セキュリティ規則衝突検出
手段１０８に対してＶＰＮ利用契約情報１０４同士のセ
キュリティ規則の衝突検出の指示を出すとともに、セキ
ュリティ規則衝突解決手段１０９に対し運用管理者への
セキュリティ規則の衝突報告および調整案の選択肢提示
の各指示を行う。また、ＶＰＮ設定生成制御手段１０７
は、運用管理者による調整案の選択結果に従って、セキ
ュリティ規則衝突解決手段１０９に対しセキュリティ規
則衝突調整情報１０５の生成の指示を出し、生成された
セキュリティ規則衝突調整情報１０５をＶＰＮ契約情報
ＤＢ１０３に記録する。さらに、ＶＰＮ設定生成制御手
段１０７は、ＶＰＮ設定生成手段１１０に対しＶＰＮ設
定情報１０６の自動生成の指示を行う。

【００３０】セキュリティ規則衝突検出手段１０８は、
ＶＰＮ設定生成制御手段１０７からの指示により、セキ
ュリティ規則の衝突の検出を行うものである。セキュリ
ティ規則衝突解決手段１０９は、ＶＰＮ設定生成制御手
段１０７からの指示により、セキュリティ規則の衝突時
の調整案を自動生成するものである。ＶＰＮ設定生成手
段１１０は、ＶＰＮ設定生成制御手段１０７からの指示
により、ＶＰＮ利用契約情報１０４およびセキュリティ
規則衝突調整情報１０５の内容に基づいてＶＰＮ設定情
報の自動生成を行うものである。

【００３１】図２は、実施の形態１のＶＰＮ運用管理装
置で使用するＶＰＮ利用契約情報１０４およびセキュリ
ティ規則衝突調整情報１０５のスキーマをＵＭＬ（Unif
iedModeling Language）記法で示した説明図である。図
３は、実施の形態１のＶＰＮ運用管理装置で使用するＶ
ＰＮ利用契約情報１０４のデータ構造およびデータの一
例を示すデータ構造図である。図２および図３に示すと
おり、ＶＰＮ利用契約情報１０４は、複数のＶＰＮ利用
契約２０１のレコードから構成される。ＶＰＮ利用契約
２０１は契約名と契約当事者と契約内容の項目を有し、
さらに「内部ネットワーク向け」や「外部ネットワーク
向け」等の通信方向ごとに優先順位順にソートされた複
数のセキュリティ規則２０２（以下、ソートされた複数
のセキュリティ規則を「セキュリティ規則列」とい
う。）を含んでいる。セキュリティ規則は、トラヒック
条件とアクション種別と相手ＶＰＮ装置の項目とを有
し、さらに優先順位順にソートされた複数のセキュリテ
ィ条件（以下、ソートされた複数のセキュリティ条件を
「セキュリティ条件列」という。）を含んでいる。

【００３２】セキュリティ規則衝突調整情報１０５は、
異なるＶＰＮ利用契約２０１に属し、かつトラヒック条
件の衝突する１対のセキュリティ規則に対する調整内容
を記述したものである。セキュリティ規則衝突調整情報
１０５は、複数の衝突解決２０４のレコードから構成さ
れる。衝突解決２０４は、通信方向と解決種別の項目と
を有し、さらに後述する２つのセキュリティ規則を併合
したセキュリティ規則２０２を含んでいる。また、衝突
解決２０４は、併合元のセキュリティ規則（図２では、
セキュリティ規則Ａとセキュリティ規則Ｂ）に関連付け
されている。また、ＶＰＮ設定情報１０６にはＶＰＮ装
置の設定内容が格納される。

【００３３】次に、このように構成された実施の形態１
のＶＰＮ運用管理装置による、ＶＰＮ利用契約情報の検
証・修正処理およびＶＰＮ設定の自動生成処理の手順に
ついて説明する。図４は、実施の形態１のＶＰＮ運用管
理装置によるＶＰＮ利用契約情報の検証・修正、ＶＰＮ
設定自動生成の全体の処理手順を示したフローチャート
である。ＶＰＮ設定生成制御手段１０７は、表示入力手
段１０１を通じて運用管理者からＶＰＮ設定の生成指示
を受けると、図４に示した処理手順に従って動作する。

【００３４】まず、ＶＰＮ設定生成制御手段１０７は、
衝突集合を空集合に設定することにより衝突集合の初期
化を行う（ステップＳ４０１）。ここで、衝突集合は、
ＶＰＮ利用契約情報１０４の中で衝突するセキュリティ
規則の対を格納するものである。ついで、ＶＰＮ設定生
成制御手段１０７はセキュリティ規則衝突検出手段１０
８を呼び出し、セキュリティ規則衝突検出手段１０８は
ＶＰＮ利用契約情報１０４に含まれるＶＰＮ利用契約の
レコードの対（ＶＰＮ利用契約ＡとＶＰＮ利用契約Ｂ
等）を列挙し（ステップＳ４０２）、ＶＰＮ利用契約に
含まれるセキュリティの中で、衝突するセキュリティ規
則の対を検出して抽出する（ステップＳ４０３）。そし
て、検出された衝突するセキュリティ規則の対を衝突集
合に格納する（ステップＳ４０４）。かかる衝突検出処
理は、ＶＰＮ利用契約情報１０４に含まれるすべてのＶ
ＰＮ利用契約の対に対して繰り返し行われる（ステップ
Ｓ４０５）。これにより、衝突のあったセキュリティ規
則の対が全て自動的に列挙されるので、運用管理者はセ
キュリティ規則の衝突を手作業で行わなくてすむ。

【００３５】次に、ＶＰＮ設定生成制御手段１０７は、
衝突集合の中から衝突するセキュリティ規則の対を列挙
し（ステップＳ４０６）、各セキュリティ規則の対に対
して以下の処理を行う。まず、ＶＰＮ設定生成制御手段
１０７は、セキュリティ規則衝突解決手段１０９を呼び
出し、セキュリティ規則衝突解決手段１０９は衝突の生
じたセキュリティ規則に対して調整案の選択肢を生成し
（ステップＳ４０７）、生成された調整案を運用管理者
に対して表示して運用管理者に選択肢からの選択を求め
る（ステップＳ４０８）。生成する調整案の選択肢は、
「処理中断」、「優先度の設定」、「セキュリティ規則
の併合」とする。これにより、運用管理者は提示された
調整案を選択するだけで問題を容易に解決することがで
きる。そして、運用管理者の選択内容によって（ステッ
プＳ４０９）、以下の処理が行われる。

【００３６】（ａ）処理中断 選択内容が「処理中断」の場合にはＶＰＮ利用契約の矛
盾とみなし、ＶＰＮ設定生成処理を中断する。この場
合、運用管理者はＶＰＮ利用契約を修正し、再度ＶＰＮ
設定生成を指示することにより問題を解決できる。

【００３７】（ｂ）優先度の設定 選択内容が「優先度の設定」の場合には、衝突の生じた
セキュリティ規則間に優先順位を設定する（ステップＳ
４１０）。この場合、運用管理者は衝突の生じたセキュ
リティ規則の一方を他方より高い優先順位になるように
指定する。セキュリティ規則衝突解決手段１０９は、セ
キュリティ規則衝突調整情報１０５として図２に示す衝
突解決２０４のレコードを追加し、運用管理者の指示し
た優先順位を記録する。

【００３８】（ｃ）セキュリティ規則の併合 選択内容が「セキュリティ規則の併合」の場合には、併
合されたセキュリティ規則を適用する（ステップＳ４１
１）。この場合、２つのセキュリティ規則のアクション
種別がともに「暗号化または認証を施す」であり、か
つ、相手先のＶＰＮ装置が一致する場合は、併合したセ
キュリティ規則を後述するように算出し、運用管理者に
提示する。運用管理者により承認をうけた場合には、併
合されたセキュリティ規則をセキュリティ規則衝突調整
情報１０５としてＶＰＮ契約情報ＤＢ１０３に追加する
ことによって２つのセキュリティ規則の衝突を解決した
ことを記録する。ここで、トラヒック条件は、併合対象
のセキュリティ規則のトラヒック条件の重複部分であ
る。アクション種別は併合元のアクション種別である。
セキュリティ条件は、併合対象のセキュリティ条件に共
通のセキュリティ条件である。ここで、図５に、図２に
示す衝突解決２０４、セキュリティ規則２０２、セキュ
リティ条件２０３の各レコードに基づいた２つのセキュ
リティ規則の併合の一例を示す。図５では、セキュリテ
ィ規則５０３は、セキュリティ規則１（５０１）とセキ
ュリティ規則２（５０２）から併合される例を示してい
る。

【００３９】ついで、ステップ４０６で列挙されたすべ
ての衝突集合に対して、ステップＳ４０７からステップ
Ｓ４１０またはＳ４１１までの処理を繰り返し行う（ス
テップＳ４１２）。そして、ＶＰＮ設定生成手段１１０
は、ＶＰＮ設定生成制御手段１０７からの指示により、
ＶＰＮ利用契約情報１０４およびセキュリティ規則衝突
調整情報１０５に基づいてＶＰＮ設定情報１０６を自動
生成する（ステップＳ４１３）。図６は、ＶＰＮ設定生
成手段１１０によるＶＰＮ設定情報１０６の自動生成の
処理手順を示すフローチャートである。

【００４０】ＶＰＮ設定情報１０６の自動生成は通信方
向別に行うこととし、まず、すべての通信方向を列挙す
る（ステップＳ６０１）。ＶＰＮ設定生成手段１１０
は、セキュリティ規則の有向グラフを初期化する（ステ
ップＳ６０２）。そして、ＶＰＮ利用契約の中のステッ
プＳ６０１で列挙された通信方向の中の一つと同一通信
方向のセキュリティ規則をすべてのＶＰＮ利用契約から
列挙し（ステップＳ６０３）、各セキュリティ規則ごと
に、セキュリティ規則の有向グラフにセキュリティ規則
および優先関係を部分有向グラフとして追加する（ステ
ップＳ６０４）。そして、このステップＳ６０４の処理
を、ステップＳ６０３で列挙されたセキュリティ規則の
すべてに対して繰り返し行う（ステップＳ６０５）。

【００４１】つぎに、セキュリティ規則衝突解決手段１
０９によるセキュリティ規則の併合結果として得られた
セキュリティ規則衝突調整情報１０５として記録されて
いるセキュリティ規則（以下、「衝突解決レコード」と
いう。）の中で、同一通信方向の衝突レコードを列挙し
（ステップＳ６０６）、その衝突解決レコードの解決種
別を確認する（ステップＳ６０７）。解決種別に「セキ
ュリティの併合」が設定されている場合には、セキュリ
ティ規則の有向グラフに、併合されたセキュリティ規則
および併合元セキュリティ規則の優先関係を部分有向グ
ラフとして追加する（ステップＳ６０８）。このステッ
プＳ６０８の処理は、ステップＳ６０６で列挙されたす
べての衝突解決レコードに対して繰り返し行われる（ス
テップＳ６０９）。

【００４２】ここで、優先関係は、各ＶＰＮ利用契約内
のセキュリティ規則の並びにおける優先順位や、セキュ
リティ規則衝突解決手段１０９によって運用管理者の指
示により指定され、セキュリティ規則衝突調整情報１０
５として記録されているセキュリティ規則間の優先順位
により与えられる。この場合、運用管理者がＶＰＮ装置
に関する知識に詳しい場合に、運用管理者の指示に従っ
た優先順位を設定することができるという利点がある。
あるいは、上述のセキュリティ規則の併合時に自動生成
されたセキュリティ規則を、生成元のセキュリティ規則
より優先順位が高く設定する。この場合には、運用管理
者がＶＰＮ装置の知識に乏しい場合でも、自動的に適切
な優先順位設定を行えるという利点がある。

【００４３】次に、このように生成された有向グラフを
優先関係により整列する（ステップＳ６１０）。有向グ
ラフの整列と同時に半順序性の検証を行うアルゴリズム
は公知のトポロジカル・ソート法によって行うため、詳
細な説明は省略する。半順序性が満たされば整列が成功
することとなるため、整列が成功したか否かを判断する
（ステップＳ６１１）。整列処理が失敗した場合には、
有向グラフ中にループが検出される。このため、ループ
に含まれる衝突解決２０４のレコード（すなわちセキュ
リティ規則）を抽出し、衝突解決２０４のレコードが互
いに不整合であり、優先順位の修正が必要であることを
抽出した衝突解決２０４のレコードとともにエラー報告
として運用管理者に通知し（ステップＳ６１２）、自動
生成処理を終了する。

【００４４】一方、ステップＳ６１１において、整列が
成功したと判断した場合には、各セキュリティ規則のセ
キュリティ設定を、上記の整列順に、ＶＰＮ装置に設定
されるべきセキュリティ規則の表現（ＶＰＮ設定）に変
換する（ステップＳ６１３）。なお、この実施の形態１
に示したセキュリティ規則の表現が一般的なＶＰＮ装置
のセキュリティ・ポリシー表現に一意に変換できること
は公知であるため、その変換方法の詳細な説明は省略す
る。

【００４５】以上説明したステップＳ６０２からステッ
プＳ６１３までの処理は、ステップＳ６０１で列挙され
たすべての通信方向に対して繰り返し行われる（ステッ
プＳ６１４）。

【００４６】このようにこの実施の形態１のＶＰＮ運用
管理装置によれば、多数の契約情報に対して、セキュリ
ティ・ポリシーの衝突をすべて自動的に検知し、また、
解決策としての調整案が自動的に提示されることによ
り、運用管理者は容易に衝突を回避したり、契約の修正
を行うことができる。また、契約内容、および、衝突の
調整結果から自動的にＶＰＮ装置のＶＰＮ設定情報を生
成することができ、多数の契約に対してＶＰＮ装置の設
定を確実に行うことができる。また、ＶＰＮ装置固有の
設定方法に対する知識がなくても、正しくＶＰＮ装置の
設定が行える。以上により、運用管理者は多量のＶＰＮ
利用契約情報に対して、契約の正しさ、設定の正しさを
保ちつつ、容易にＶＰＮの管理を行うことができる。

【００４７】なお、実施の形態１のＶＰＮ運用管理装置
では、上述したＶＰＮ設定生成制御手段１０７、セキュ
リティ規則衝突検出手段１０８、セキュリティ規則衝突
解決手段１０９、ＶＰＮ設定生成手段１１０等の各手段
をすべて用い、かつセキュリティ規則の衝突検出処理、
セキュリティ規則の併合処理およびＶＰＮ設定情報の生
成処理等の各処理のすべてを行う構成となっているが、
これら各手段の一部または各処理の一部のみを用いた構
成とすることもできる。

【００４８】たとえば、ＶＰＮ設定生成制御手段１０７
を省略し、衝突するセキュリティ規則を検出して運用管
理者への報告のみを行うものとすることも可能である。
この場合には、ＶＰＮ設定の生成を行うことはできない
が、契約内容の検証を自動化することができ、運用管理
者の負担を軽減することができる。

【００４９】また、セキュリティ規則衝突解決手段１０
９において、セキュリティ規則の併合処理を省略した
り、セキュリティ規則の優先順位を運用管理者が指定す
る処理を省略するように構成してもよい。この場合に
は、セキュリティ規則の衝突回避の手段は限定されてし
まうが、ＶＰＮ利用契約の内容の検証の自動化を実現す
ることができる。

【００５０】さらに、ＶＰＮ設定生成制御手段１０７に
おいて、セキュリティ規則を優先順位順に整列できなか
った場合に、セキュリティ規則のループを形成する原因
となった衝突解決のレコードの探索および表示を行わ
ず、単にエラーのみを報告するように構成してもよい。
この場合には、運用管理者に問題点を明確に把握させる
ことは困難であるが、セキュリティ規則の衝突をすべて
正確に解決することができる。

【００５１】実施の形態２．実施の形態１のＶＰＮ運用
管理装置は、セキュリティ規則におけるトラヒック条件
およびセキュリティ条件の表現形式については特に限定
していなかったが、この発明の実施の形態２であるＶＰ
Ｎ運用管理装置は、トラヒック条件およびセキュリティ
条件の表現形式が一般的なＶＰＮ装置の設定情報と等価
な内容である場合においてセキュリティ規則の衝突検
出、セキュリティ規則の併合およびＶＰＮ設定情報の自
動生成を行うものである。

【００５２】実施の形態２のＶＰＮ運用管理装置は、表
示入力手段１０１、ＶＰＮ利用契約情報表示入力手段１
０２と、ＶＰＮ契約情報ＤＢ１０３と、ＶＰＮ設定生成
制御手段１０７と、セキュリティ規則衝突検出手段１０
８と、セキュリティ規則衝突解決手段１０９と、ＶＰＮ
設定生成手段１１０とを主に備えており、図１に示す実
施の形態１のＶＰＮ運用管理装置と同様の構成であるの
で各手段の説明は省略する。また、実施の形態２のＶＰ
Ｎ運用管理装置で使用するＶＰＮ利用契約情報１０４お
よびセキュリティ規則衝突調整情報１０５のスキーマ、
およびＶＰＮ利用契約情報１０４のデータ構造は、実施
の形態１と同様であるので説明を省略する。

【００５３】図７は実施の形態２のＶＰＮ運用管理装置
で使用するトラヒック条件の表現形式の一例を示す説明
図であり、図８はセキュリティ条件の表現形式の一例を
示す説明図である。セキュリティ条件の表現形式は、一
般的なＶＰＮ装置の設定情報と等価であり、上述したセ
キュリティ・アソシエーション（ＳＡ）に設定すべきＩ
Ｐｓｅｃプロトコルおよび暗号・認証アルゴリズムの候
補列として表現される。

【００５４】図７に示すように、トラヒック条件の表現
形式７０１も、一般的なＶＰＮ装置の設定情報と等価な
ＲＦＣ２４０１に規定されたトラヒック・セレクタに準
じたものであり、通信の発信元および宛先を、ＩＰアド
レスおよびポート番号またはサブネット（およびポート
番号）の組により指定し、さらにプロトコル番号を指定
することとしている。プロトコル番号は「任意」または
特定のプロトコル番号、発信元ポートおよび宛先ポート
は「任意」または特定のポート番号を指定する。トラヒ
ック条件は、プロトコル番号、発信元ＩＰアドレス、発
信元ポート番号、宛先ＩＰアドレス、宛先ポート番号の
５項目から構成されることから、５次元の直方体として
表現することができ、各次元は連続した１区間［ａ，
ｂ］（ａ≦ｂ）か空集合のいずれかで表現することがで
きる。

【００５５】また、トラヒック条件の表現形式は、発信
元ＩＰアドレス、宛先ＩＰアドレス、発信元ポート番
号、宛先ポート番号、プロトコル番号に関する条件で構
成され、かつ、これら各項目の上限・下限に関する条件
のＡＮＤ条件の組み合わせによる表現、もしくはこれら
各項目の上限・下限に関する条件のＡＮＤ条件およびＯ
Ｒ条件の組み合わせによる表現に帰着可能なトラヒック
条件も含まれる。たとえば、前者の例を図７の例を用い
て示せば、トラヒック条件を「発信元ＩＰ：ａ１．ａ
２．ａ３．ａ４〜ｂ１．ｂ２．ｂ３．ｂ４、かつ（ＡＮ
Ｄ）、宛先ポート：１０〜８０、かつ（ＡＮＤ）、プロ
トコル番号：ｎ」とすることができる。一方、後者の例
を図７の例を用いて示せば、トラヒック条件を「発信元
ＩＰ：ａ１．ａ２．ａ３．ａ４〜ｂ１．ｂ２．ｂ３．ｂ
４、かつ（ＡＮＤ）、宛先ポート：１０〜８０、または
（ＯＲ）、プロトコル番号：ｍ」とすることができる。

【００５６】つぎに、このような表現形式のトラヒック
条件およびセキュリティ条件を有するセキュリティ規則
を用いたときの、セキュリティ規則衝突検出手段１０８
によるセキュリティ規則の衝突検出およびセキュリティ
規則衝突解決手段１０９によるセキュリティ規則の併合
について説明する。

【００５７】図９は、実施の形態２におけるセキュリテ
ィ規則衝突検出手段１０８で行われるセキュリティ規則
の衝突検出処理のフローチャートである。図９では、説
明の都合上、セキュリティ規則列Ａとセキュリティ規則
列Ｂを考え、双方のセキュリティ規則列の間で衝突する
セキュリティ規則を検出するものとする。また、図９に
おいて、衝突集合、ｒｕｌｅＡ、ｒｕｌｅＢ、ｔｒａｆ
ｆｉｃＡ０、ｔｒａｆｆｉｃＢ０、およびｔｒａｆｆｉ
ｃＡＢは、いずれもこのセキュリティ規則の衝突検出処
理で一時的に使用される変数である。

【００５８】まず、セキュリティ規則衝突検出手段１０
８は、衝突集合を空集合とすることにより衝突集合を初
期化する（ステップＳ９０１）。そして、セキュリティ
規則列Ａの中の要素であるすべてのセキュリティ規則を
列挙し、ｒｕｌｅＡへ格納する（ステップＳ９０２）。
また、セキュリティ規則列Ｂの中の要素であるすべての
セキュリティ規則を列挙し、ｒｕｌｅＢへ格納する（ス
テップＳ９０３）。

【００５９】ついで、ｒｕｌｅＡの中からセキュリティ
規則を抽出し、またｒｕｌｅＢの中からセキュリティ規
則を抽出し、抽出された２つのセキュリティ規則のアク
ション種別を確認する（ステップＳ９０４）。そして、
双方のセキュリティ規則のアクション種別がともに「通
過」である場合、またはともに「廃棄」である場合に
は、衝突なしと判断し、ステップＳ９１２およびステッ
プＳ９１３により、ｒｕｌｅＡおよびｒｕｌｅＢに列挙
されたセキュリティ規則の中からそれぞれ次のセキュリ
ティ規則を抽出する。一方、双方のセキュリティ規則の
アクション種別が「通過」および「廃棄」以外である場
合には、双方のセキュリティ規則のトラヒック条件の重
なり（重複部分）を求める。トラヒック条件の重なり
（重複部分）は、トラヒック条件の各次元について重な
りを求めることにより計算され、結果はトラヒック条件
として表現され、ｔｒａｆｆｉｃＡＢへ格納される（ス
テップＳ９０５）。

【００６０】ついで、ｔｒａｆｆｉｃＡＢが空集合であ
るか否か、すなわち、トラヒック条件の重なりが空であ
るか否かを判断し（ステップＳ９０６）、空でない場合
には、さらに、どちらか一方のＶＰＮ利用契約のより上
位のセキュリティ規則によりトラヒック条件がカバーさ
れているかどうかを判断する。具体的には、ｔｒａｆｆ
ｉｃＡＢから、ｒｕｌｅＡに列挙されたセキュリティ規
則より優先順位の上位のすべてのセキュリティ規則のト
ラヒック条件を引き去り、ｔｒａｆｆｉｃＡ０に格納す
る（ステップＳ９０７）。そして、ｔｒａｆｆｉｃＡ０
が空集合であるか否かを調べ（ステップＳ９０８）、空
集合でない場合にはさらに、ｔｒａｆｆｉｃＡＢから、
ｒｕｌｅＢに列挙されたセキュリティ規則より優先順位
の上位のすべてのセキュリティ規則のトラヒック条件を
引き去り、ｔｒａｆｆｉｃＢ０に格納する（ステップＳ
９０９）。そして、ｔｒａｆｆｉｃＢ０が空集合である
か否かを調べ（ステップＳ９１０）、空集合でない場合
には、ｔｒａｆｆｉｃＡＢに格納されているセキュリテ
ィ規則の対（ｒｕｌｅＡ，ｒｕｌｅＢ）を衝突集合に追
加する（ステップＳ９１１）。

【００６１】すなわち、ステップＳ９０７およびステッ
プＳ９０９の処理により、一方のセキュリティ規則が他
方のセキュリティ規則にカバーされていなければ２つの
セキュリティ規則は衝突していると判定し、セキュリテ
ィ規則の対（ｒｕｌｅＡ，ｒｕｌｅＢ）を衝突集合に追
加している。ここで、トラヒック条件は、上述のように
プロトコル番号、発信元ＩＰアドレス、発信元ポート番
号、宛先ＩＰアドレス、宛先ポート番号の５項目から構
成されるため、従って５次元の直方体で表現されるか
ら、その差は有限個の直方体の集合、つまり有限個のト
ラヒック条件の和で表現可能である。したがってステッ
プＳ９０７およびステップＳ９０９の処理におけるトラ
ヒック条件の引き去り処理によって、セキュリティ規則
の衝突の検出が可能である。

【００６２】以上のステップＳ９０４からステップＳ９
１１までの処理をｒｕｌｅＢに列挙されたすべてのセキ
ュリティ規則列の要素（セキュリティ規則）およびｒｕ
ｌｅＡに列挙されたすべてのセキュリティ規則列の要素
（セキュリティ規則）について繰り返し行う（ステップ
Ｓ９１２、ステップＳ９１３）。このような処理によっ
て衝突集合には、セキュリティ規則列Ａとセキュリティ
規則列Ｂの間で衝突するセキュリティ規則がすべて検出
されることになる。

【００６３】つぎに、セキュリティ規則の併合処理につ
いて説明する。図１０は、実施の形態２におけるセキュ
リティ規則衝突解決手段１０９で行われるセキュリティ
規則の併合処理のフローチャートである。図１０では、
説明の都合上、図９に示した衝突検出処理におけるｒｕ
ｌｅＡに列挙されたセキュリティ規則とｒｕｌｅＢに列
挙されたセキュリティ規則とを併合するものとする。

【００６４】セキュリティ規則の併合は、双方のセキュ
リティ規則のアクション種別がともに「暗号化・認証を
行う」場合で、かつ、相手ＶＰＮ装置が同一である場合
にのみ行われる。セキュリティ規則衝突解決手段１０９
は、まずｒｕｌｅＡの中のセキュリティ規則とｒｕｌｅ
Ｂの中のセキュリティ規則のトラヒック条件の重なり
（重複部分）を求めることにより併合されたトラヒック
条件を算出する（ステップＳ１００１）。なお、上述の
通り、トラヒック条件の重なりもまたトラヒック条件と
して表現可能であるので、算出されたトラヒック条件の
重なりは「トラヒック条件」として格納される。そし
て、「セキュリティ条件の並び」を空集合に設定するこ
とにより、セキュリティ条件の並びを初期化する（ステ
ップＳ１００２）。

【００６５】つぎに、併合対象であるｒｕｌｅＡとｒｕ
ｌｅＢの双方のセキュリティ条件の対を列挙し（ステッ
プＳ１００３）、列挙された対ごとに、ＩＰＳＥＣヘッ
ダ種別、暗号アルゴリズム、認証アルゴリズムを比較す
る（ステップＳ１００４）。そして、対のセキュリティ
規則において、セキュリティ条件であるＩＰＳＥＣヘッ
ダ種別、暗号アルゴリズム、認証アルゴリズムのいずれ
かが一致しているか否かを判断し（ステップＳ１００
５）、一致している場合には、「セキュリティ条件の並
び」に一致したセキュリティ条件を格納する（ステップ
Ｓ１００６）。一方、一致しない場合には、ステップＳ
１００７へ進み、ついで次のセキュリティ条件の対を抽
出することになる。

【００６６】以上のステップＳ１００４からステップＳ
１００６までの処理を、ステップＳ１００３で列挙され
たｒｕｌｅＡとｒｕｌｅＢの双方のセキュリティ条件の
対に対して繰り返し行う（ステップＳ１００７）。つい
で、セキュリティ規則の並びが空集合であるか否かを判
断し（ステップＳ１００８）、空集合でない場合には
「併合結果」に成功の旨を格納し（ステップＳ１００
９）、空集合である場合には「併合結果」に失敗の旨を
格納する（ステップＳ１０１０）。以上のような併合処
理によるセキュリティ規則の併合例は、上述した図５に
示すとおりである。

【００６７】このように実施の形態２のＶＰＮ運用管理
装置では、多数のＶＰＮ利用契約に対して、契約間でト
ラヒック条件の重なりがあっても、セキュリティ条件を
自動的に併合し、あるいは自動的に矛盾を検出して運用
管理者に対処を求めることにより、運用管理者は多数の
契約間の整合性を容易に維持することができる。また、
契約内容に合致したＶＰＮ装置のＶＰＮ設定情報を自動
生成することにより、ＶＰＮ装置の設定を確実に行うこ
とができる。

【００６８】また、実施の形態２のＶＰＮ運用管理装置
では、トラヒック条件の表現形式が一般的なＶＰＮ装置
の設定情報と等価な内容であり、また発信元ＩＰアドレ
ス、宛先ＩＰアドレス、発信元ポート番号、宛先ポート
番号、プロトコル番号の各項目の上限・下限に関する条
件のＡＮＤ条件の組み合わせによる表現に帰着可能であ
るので、セキュリティ規則の衝突検出、セキュリティ規
則の併合およびＶＰＮ設定情報の自動生成を容易に行う
ことができる。また、トラヒック条件の表現形式を発信
元ＩＰアドレス、宛先ＩＰアドレス、発信元ポート番
号、宛先ポート番号、プロトコル番号の各項目の上限・
下限に関する条件のＡＮＤ条件およびＯＲ条件の組み合
わせによる表現に帰着可能な表現とすることにより、ト
ラヒック条件は複数の５次元の直方体で表現されるの
で、セキュリティ規則の衝突検出、セキュリティ規則の
併合およびＶＰＮ設定情報の自動生成をより容易に行う
ことができる。

【００６９】実施の形態３．実施の形態１および実施の
形態２のＶＰＮ運用管理装置では、セキュリティ規則の
衝突が発生したときに個々のセキュリティ規則について
運用管理者への衝突の報告、調整案の提示、運用管理者
による選択指示を自動的に行うものであったが、実施の
形態３のＶＰＮ運用管理装置は、個々のセキュリティ規
則ではなく、ＶＰＮ利用契約を単位として全てのセキュ
リティ規則の衝突の報告を行い、ＶＰＮ利用契約を単位
として調整案の提示と運用管理者による調整案の選択を
行うものである。

【００７０】実施の形態３のＶＰＮ運用管理装置は、表
示入力手段１０１、ＶＰＮ利用契約情報表示入力手段１
０２と、ＶＰＮ契約情報ＤＢ１０３と、ＶＰＮ設定生成
制御手段１０７と、セキュリティ規則衝突検出手段１０
８と、セキュリティ規則衝突解決手段１０９と、ＶＰＮ
設定生成手段１１０とを主に備えており、図１に示す実
施の形態１のＶＰＮ運用管理装置と同様の構成であるの
で各手段の説明は省略する。

【００７１】図１１は実施の形態３のＶＰＮ運用管理装
置で使用するＶＰＮ利用契約情報およびセキュリティ規
則衝突調整情報のスキーマをＵＭＬ記法により示した説
明図である。なお、ＶＰＮ利用契約情報１０４のデータ
構造は、実施の形態１におけるＶＰＮ利用契約情報１０
４と同様であるので説明を省略する。

【００７２】図１１に示すとおり、実施の形態３におけ
るＶＰＮ利用契約情報１０４のスキーマは実施の形態１
におけるＶＰＮ利用契約情報１０４のスキーマ（図２参
照）と同様の構造をしているが、セキュリティ規則衝突
調整情報のスキーマが実施の形態１におけるセキュリテ
ィ規則衝突調整情報のスキーマと異なっている。実施の
形態３のＶＰＮ運用管理装置で使用するセキュリティ規
則衝突調整情報１０５は、異なるＶＰＮ利用契約に属
し、かつトラヒック条件の衝突する１対のセキュリティ
規則に対する調整内容を記述したものである。複数の衝
突解決１１０４のレコードから構成される。衝突解決１
１０４は、実施の形態１と異なり、異なるＶＰＮ利用契
約１１０１と関連付けされる。図１１では、ＶＰＮ利用
契約ＡとＶＰＮ利用契約Ｂとから関連付けされているこ
とが示されている。また、衝突解決１１０４は、通信方
向と解決種別の項目を有し、さらに複数のセキュリティ
規則併合１１０５を含んでいる。セキュリティ規則併合
１１０５は、通信方向の項目を有し、さらに２つのセキ
ュリティ規則１１０２を併合したセキュリティ規則とか
ら構成される。また、セキュリティ規則併合１１０５
は、併合元のセキュリティ規則（図１１では、セキュリ
ティ規則Ａとセキュリティ規則Ｂ）に関連付けされてい
る。

【００７３】このように実施の形態３のＶＰＮ運用管理
装置では、セキュリティ規則衝突調整情報１０５の衝突
解決１１０４のレコードがセキュリティ規則１１０２で
はなく、ＶＰＮ利用契約１１０１に関連づけされている
ため、個々のセキュリティ規則１１０２ではなく、ＶＰ
Ｎ利用契約１１０１を単位として全てのセキュリティ規
則１１０２の衝突の報告を行い、ＶＰＮ利用契約１１０
１を単位として調整案の提示と運用管理者による調整案
の選択を行える。調整案の選択結果は、衝突解決１１０
４、およびセキュリティ規則併合１１０５に記録され、
実施の形態１のＶＰＮ運用管理装置と同様に、各セキュ
リティ規則ごとの併合および優先関係が記録される。こ
のため実施の形態１のＶＰＮ運用管理装置と同様に、セ
キュリティ規則１１０２の衝突を解決し、ＶＰＮ設定の
自動生成を実現することができる。また、実施の形態３
のＶＰＮ運用管理装置では、ＶＰＮ利用契約１１０１を
単位にセキュリティ規則１１０２の衝突検出および併合
を行えるので、運用管理者は実施の形態１のＶＰＮ運用
管理装置を使用する場合より、少ない作業によってＶＰ
Ｎ設定の検証および設定の自動生成を行うことができ
る。

【００７４】なお、以上説明した実施の形態１〜３のＶ
ＰＮ運用管理装置は、ＶＰＮ装置とは別の装置として実
現しているが、ＶＰＮ運用管理装置をＶＰＮ装置に内蔵
した構成としてもよい。

【００７５】

【発明の効果】以上説明したように、この発明によれ
ば、多数のＶＰＮ利用契約情報に対して、セキュリティ
・ポリシーとして定義されたセキュリティ規則の衝突を
すべて自動的に検知することができ、運用管理者は容易
に衝突を回避したり、契約の修正を行えるという効果を
奏する。

【００７６】つぎの発明によれば、セキュリティ規則の
衝突の調整を自動的に行うことができ、運用管理者のＶ
ＰＮ装置固有の設定方法に対する知識が乏しい場合で
も、多数の契約に対してＶＰＮ装置の設定を確実に行う
ことができるという効果を奏する。これにより、運用管
理者は多量のＶＰＮ利用契約情報に対して、契約および
ＶＰＮ設定の正確性を維持しながら容易にＶＰＮの管理
を行うことができ、ＶＰＮの運用管理において安全性の
向上と、運用の効率化を図ることができるという効果を
奏する。

【００７７】つぎの発明によれば、運用管理者がＶＰＮ
装置固有の設定方法に対する詳細な知識を有している場
合には、運用管理者に従って、多数の契約に対してＶＰ
Ｎ装置の適切な設定を確実に行えるという効果を奏す
る。

【００７８】つぎの発明によれば、個々のセキュリティ
規則ではなく、ＶＰＮ利用契約を単位として全てのセキ
ュリティ規則の衝突検出、ＶＰＮ利用契約を単位として
調整案の提示と運用管理者による調整案の選択を行うこ
とができ、より少ない作業によってＶＰＮ設定の検証お
よびＶＰＮ設定の自動生成を行えるという効果を奏す
る。

【００７９】つぎの発明によれば、セキュリティ規則衝
突解決手段による衝突解決でセキュリティの整列ができ
ない場合でも、自動的に整列不能なセキュリティ規則を
抽出して整列不能を回避することができ、セキュリティ
規則の衝突解決を確実に実現することができるという効
果を奏する。

【００８０】つぎの発明によれば、セキュリティ規則の
衝突検出、セキュリティ規則の併合およびＶＰＮ設定情
報の自動生成をより容易に行えるという効果を奏する。

【００８１】つぎの発明によれば、セキュリティ規則の
衝突検出、セキュリティ規則の併合およびＶＰＮ設定情
報の自動生成をより容易に行えるという効果を奏する。

【図面の簡単な説明】

【図１】 この発明の実施の形態１〜３であるＶＰＮ運
用管理装置の構成を示すブロック図である。

【図２】 図１に示した実施の形態１および２のＶＰＮ
運用管理装置で使用するＶＰＮ利用契約情報およびセキ
ュリティ規則衝突調整情報のスキーマをＵＭＬ表記法で
示した説明図である。

【図３】 図１に示した実施の形態１〜３のＶＰＮ運用
管理装置で使用するＶＰＮ利用契約情報のデータ構造お
よびデータの一例を示すデータ構造図である。

【図４】 図１に示した実施の形態１〜３のＶＰＮ運用
管理装置によるＶＰＮ利用契約情報の検証・修正、およ
びＶＰＮ設定自動生成の全体の処理手順のフローチャー
トである。

【図５】 図１に示した実施の形態１および２のＶＰＮ
運用管理装置による２つのセキュリティ規則の併合の一
例を示す説明図である。

【図６】 図１に示した実施の形態１〜３のＶＰＮ運用
管理装置によるＶＰＮ設定情報の自動生成の処理手順を
示すフローチャートである。

【図７】 図１に示した実施の形態２のＶＰＮ運用管理
装置で使用するトラヒック条件の表現形式の一例を示す
説明図である。

【図８】 図１に示した実施の形態２のＶＰＮ運用管理
装置で使用するセキュリティ条件の表現形式の一例を示
す説明図である。

【図９】 図１に示した実施の形態２のＶＰＮ運用管理
装置で行われるセキュリティ規則の衝突検出処理のフロ
ーチャートである。

【図１０】 図１に示した実施の形態２のＶＰＮ運用管
理装置で行われるセキュリティ規則の併合処理のフロー
チャートである。

【図１１】 図１に示した実施の形態３のＶＰＮ運用管
理装置で使用するＶＰＮ利用契約情報およびセキュリテ
ィ規則衝突調整情報のスキーマをＵＭＬ記法により示し
た説明図である。

【図１２】 従来例としてのＩＥＴＦ規格ＲＦＣ２４０
１に定められたインターネットＶＰＮ構成の一例を示す
構成図である。

【図１３】 従来例としてのＳＰＤに設定するセキュリ
ティ規則の一例を示す説明図である。

【図１４】 従来例としてのネットワーク管理システム
の構成を示すブロック図である。

【図１５】 図１４に示す従来のネットワーク管理シス
テムに設定される業務内容の定義例を示す説明図であ
る。

【図１６】 図１４に示す従来のネットワーク管理シス
テムにおいて通信相手に重なりがある２つのＶＰＮ利用
契約の一例（２つの契約に共通のセキュリティ条件が選
択可能な場合）を示す説明図である。

【図１７】 図１４に示す従来のネットワーク管理シス
テムにおいて通信相手に重なりがある２つのＶＰＮ利用
契約の別の一例（２つの契約に共通のセキュリティ条件
が選択できない場合）を示す説明図である。

【符号の説明】

１０１ 表示入力手段、１０２ ＶＰＮ利用契約情報表
示入力手段、１０３ ＶＰＮ契約情報ＤＢ、１０４ Ｖ
ＰＮ利用契約情報、１０５ セキュリティ規則衝突調整
情報、１０６ ＶＰＮ設定情報、１０７ ＶＰＮ設定生
成制御手段、１０８ セキュリティ規則衝突検出手段、
１０９ セキュリティ規則衝突解決手段、１１０ ＶＰ
Ｎ設定生成手段、２０１ ＶＰＮ利用契約、２０２ セ
キュリティ規則、２０３ セキュリティ条件、２０４
衝突解決、３０１ ＶＰＮ利用契約レコード、３０２〜
３０３ セキュリティ規則列、５０１〜５０２ 併合元
セキュリティ規則、５０３ 併合されたセキュリティ規
則、７０１ トラヒック条件の表現形式、７０２ 発信
元および宛先ＩＰアドレスの表現形式、７０３ 発信元
および宛先ポート番号の表現形式、７０４ プロトコル
番号の表現形式、８０１ セキュリティ条件の表現形
式、８０２ ＩＰＳＥＣヘッダ種別の例、８０３暗号化
アルゴリズムの例、８０４ 認証アルゴリズム名の例、
１１０１ ＶＰＮ利用契約、１１０２ セキュリティ規
則、１１０３ セキュリティ条件、１１０４ 衝突解
決、１１０５ セキュリティ規則併合、１２０１ ＳＰ
Ｄエントリ（セキュリティ規則）、１２０２ セキュリ
ティ・ポリシー・データベース（ＳＰＤ）、１２０３
セキュリティ・アソシエーション（ＳＡ）、１２０４
セキュリティ・アソシエーション・データベース（ＳＡ
Ｄ）、１２０５ ＳＰＤ表示・入力手段、１２０６ Ｓ
Ａ管理手段、１２０７ 内部ネットワーク用送受信イン
タフェース、１２０８ データパケット処理手段、１２
０９ 外部ネットワーク用送受信インタフェース、１３
０１ トラヒック条件、１３０２ アクション種別、１
３０３ セキュリティ条件、１３０４〜１３０７ セキ
ュリティ規則、１４０１ 管理用入出力装置、１４０２
中央ポリシーＤＢ、１４０３ 複製ＤＢ、１４０４
管理・制御装置、１４０５ 事業所Ａルータ１、１４０
６ 事業所Ｂルータ１、１４０７ 事業所Ａルータ２、
１５０１ 業務アプリケーション定義（ＡＰ１定義）、
１５０２〜１５０７ ゾーン定義、１６０１〜１６０６
端末計算機、１６０７ サーバ計算機、１６０８ 契約
Ａのトラヒック条件、１６０９ 契約Ｂのトラヒック条
件、１６１０ 契約Ａのセキュリティ条件の並び、１６
１０−１〜１６１０−２ 契約Ａのセキュリティ条件、
１６１１ 契約Ｂのセキュリティ条件の並び、１６１１
−１〜１６１１−２ 契約Ｂのセキュリティ条件、１７
０１〜１７０６ 端末計算機、１７０７ サーバ計算
機、１７０８契約Ａのトラヒック条件、１７０９ 契約
Ｂのトラヒック条件、１７１０ 契約Ａのセキュリティ
条件の並び、１７１０−１〜１７１０−２ 契約Ａのセ
キュリティ条件、１７１１ 契約Ｂのセキュリティ条件
の並び、１７１１−１〜１７１１−２ 契約Ｂのセキュ
リティ条件。

Claims (7)

【特許請求の範囲】
1. 【請求項１】 予め定義されたセキュリティポリシーに
   基いて送受信パケットの認証または暗号化を行うＶＰＮ
   装置の動作設定を行うＶＰＮ運用管理装置であって、 ネットワークのトラヒック条件とセキュリティ条件とに
   よりセキュリティポリシーが定義された複数のセキュリ
   ティ規則を有するＶＰＮ利用契約情報を記録するＶＰＮ
   契約情報記録手段と、 異なるＶＰＮ利用契約情報間で、トラヒック条件の重複
   に基づいて衝突するセキュリティ規則を検出するセキュ
   リティ規則衝突検出手段と、を備えたことを特徴とする
   ＶＰＮ運用管理装置。
2. 【請求項２】 前記衝突するセキュリティ規則に対し
   て、トラヒック条件の重複を併合したトラヒック条件
   と、一致するセキュリティ条件を併合したセキュリティ
   条件とを有する新たなセキュリティ規則を生成し、生成
   された新たなセキュリティ規則の優先度を前記衝突する
   セキュリティ規則の優先度より高く設定するセキュリテ
   ィ規則衝突解決手段をさらに備えたことを特徴とする請
   求項１に記載のＶＰＮ運用管理装置。
3. 【請求項３】 前記衝突するセキュリティ規則に対し
   て、運用管理者により選択されたセキュリティ規則の優
   先度を他方のセキュリティ規則の優先度より高く設定す
   るセキュリティ規則衝突解決手段をさらに備えたことを
   特徴とする請求項１に記載のＶＰＮ運用管理装置。
4. 【請求項４】 前記衝突するセキュリティ規則が含まれ
   るＶＰＮ利用契約情報に対して、運用管理者により選択
   されたＶＰＮ利用契約情報の優先度を他方のＶＰＮ利用
   契約情報の優先度により高く設定するセキュリティ規則
   衝突解決手段をさらに備えたことを特徴とする請求項１
   に記載のＶＰＮ運用管理装置。
5. 【請求項５】 前記セキュリティ規則衝突解決手段は、
   セキュリティ規則の優先度に基づいた整列が不可能であ
   る場合に、整列不可能なセキュリティ規則を抽出するも
   のであることを特徴とする請求項２〜４のいずれか一つ
   に記載のＶＰＮ運用管理装置。
6. 【請求項６】 前記トラヒック条件は、少なくとも発信
   元ＩＰアドレスと、宛先ＩＰアドレスと、発信元ポート
   番号と、宛先ポート番号と、プロトコル番号とに関する
   条件を含み、前記各条件の上限値または下限値のＡＮＤ
   条件を組み合わせた条件と等価であることを特徴とする
   請求項１に記載のＶＰＮ運用管理装置。
7. 【請求項７】 前記トラヒック条件は、少なくとも発信
   元ＩＰアドレスと、宛先ＩＰアドレスと、発信元ポート
   番号と、宛先ポート番号と、プロトコル番号とに関する
   条件を含み、前記各条件の上限値または下限値のＡＮＤ
   条件またはＯＲ条件を組み合わせた条件と等価であるこ
   とを特徴とする請求項１に記載のＶＰＮ運用管理装置。