JP2003032286A - Ｖｐｎシステムおよびｖｐｎ装置およびプログラム - Google Patents
Ｖｐｎシステムおよびｖｐｎ装置およびプログラムInfo
- Publication number
- JP2003032286A JP2003032286A JP2001210615A JP2001210615A JP2003032286A JP 2003032286 A JP2003032286 A JP 2003032286A JP 2001210615 A JP2001210615 A JP 2001210615A JP 2001210615 A JP2001210615 A JP 2001210615A JP 2003032286 A JP2003032286 A JP 2003032286A
- Authority
- JP
- Japan
- Prior art keywords
- vpn
- vpn device
- deleted
- sad
- ipsec
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
(57)【要約】
【課題】 インターネット上の無駄なトラフィックをな
くす。ＶＰＮ装置の無駄な処理負荷の発生を防ぐ。 【解決手段】 ＶＰＮ装置内で管理されるＳＡＤ上に存
在するＳＡを削除したＶＰＮ装置は、削除された当該Ｓ
Ａを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置に対
し当該ＳＡが削除されたことを通知する。
くす。ＶＰＮ装置の無駄な処理負荷の発生を防ぐ。 【解決手段】 ＶＰＮ装置内で管理されるＳＡＤ上に存
在するＳＡを削除したＶＰＮ装置は、削除された当該Ｓ
Ａを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置に対
し当該ＳＡが削除されたことを通知する。
Description
【０００１】
【発明の属する技術分野】本発明はインターネットを介
して複数のＬＡＮ間でＩＰＳｅｃ通信を行なう場合のＳ
Ａ(Security Association)の管理技術に関する。特に、
ＩＫＥ(InternetKey Exchange)プロトコルによりＳＡが
動的に割当てられる場合に利用する。
して複数のＬＡＮ間でＩＰＳｅｃ通信を行なう場合のＳ
Ａ(Security Association)の管理技術に関する。特に、
ＩＫＥ(InternetKey Exchange)プロトコルによりＳＡが
動的に割当てられる場合に利用する。
【０００２】
【従来の技術】インターネットを介して複数のＬＡＮ間
でＩＰＳｅｃ通信を行なう場合には、これら複数のＬＡ
ＮのＶＰＮ(Virtual Private Network)装置にそれぞれ
共通のＳＡを保持しておき、この共通のＳＡによって暗
号化または復号化が行なわれる。
でＩＰＳｅｃ通信を行なう場合には、これら複数のＬＡ
ＮのＶＰＮ(Virtual Private Network)装置にそれぞれ
共通のＳＡを保持しておき、この共通のＳＡによって暗
号化または復号化が行なわれる。
【０００３】ＩＫＥによる自動鍵交換方式で作成された
ＳＡは、ライフタイム、残バイト数、シーケンス番号の
状態により周期的に削除および更新される。すなわち、
ＳＡが各ＶＰＮ装置に割当てられるときには、ほぼ同時
に各ＶＰＮ装置に割当てが行なわれるが、割当てられた
後の各ＶＰＮ装置におけるＳＡ使用状況が異なるために
ＳＡが削除および更新されるタイミングは各ＶＰＮ装置
で異なる。
ＳＡは、ライフタイム、残バイト数、シーケンス番号の
状態により周期的に削除および更新される。すなわち、
ＳＡが各ＶＰＮ装置に割当てられるときには、ほぼ同時
に各ＶＰＮ装置に割当てが行なわれるが、割当てられた
後の各ＶＰＮ装置におけるＳＡ使用状況が異なるために
ＳＡが削除および更新されるタイミングは各ＶＰＮ装置
で異なる。
【０００４】
【発明が解決しようとする課題】従来の技術では、この
ような状況下ではＳＡは各ＶＰＮ装置内で独自に削除さ
れ、ＩＰＳｅｃ通信の相手となるＶＰＮ装置に対し、対
になるＳＡが削除されたことを通知していない。
ような状況下ではＳＡは各ＶＰＮ装置内で独自に削除さ
れ、ＩＰＳｅｃ通信の相手となるＶＰＮ装置に対し、対
になるＳＡが削除されたことを通知していない。
【０００５】これでは、片方のＶＰＮ装置で管理してい
るＳＡが削除された場合には、もう片方のＶＰＮ装置は
ＳＡが削除されたことを知らず、次々と連続的にＩＰＳ
ｅｃパケットを送信してしまい、インターネット上に無
駄なトラフィックを発生させてしまう。また、受信側で
ＳＡが存在しないために、結果的に破棄されてしまうパ
ケットに対し、無駄に暗号化処理をしてしまうために、
無駄なＶＰＮ装置の処理負荷が発生してしまう。
るＳＡが削除された場合には、もう片方のＶＰＮ装置は
ＳＡが削除されたことを知らず、次々と連続的にＩＰＳ
ｅｃパケットを送信してしまい、インターネット上に無
駄なトラフィックを発生させてしまう。また、受信側で
ＳＡが存在しないために、結果的に破棄されてしまうパ
ケットに対し、無駄に暗号化処理をしてしまうために、
無駄なＶＰＮ装置の処理負荷が発生してしまう。
【０００６】特開２０００−１０１５６６号公報、特開
２０００−２７８２５８号公報、特開２００１−００７
８０３号公報、特開平１１−２８９３２６号公報、特開
平１１−３３１１４５号公報、特表２０００−５１１３
８２号公報には、ＩＫＥプロトコルにおけるその鍵交換
手法による発明は数件掲載されているが、ＳＡが作成さ
れた後の管理手法に関しては掲載されていない。
２０００−２７８２５８号公報、特開２００１−００７
８０３号公報、特開平１１−２８９３２６号公報、特開
平１１−３３１１４５号公報、特表２０００−５１１３
８２号公報には、ＩＫＥプロトコルにおけるその鍵交換
手法による発明は数件掲載されているが、ＳＡが作成さ
れた後の管理手法に関しては掲載されていない。
【０００７】本発明は、このような背景に行なわれたも
のであって、ＳＡが削除されたＶＰＮ装置がＩＰＳｅｃ
通信の相手となるＶＰＮ装置に対してＳＡ削除完了通知
を送信することにより、通知を受けたＶＰＮ装置は直ち
にＩＰＳｅｃパケットの送信を停止することができ、Ｓ
Ａ削除後のＩＰＳｅｃ通信の相手となるＶＰＮ装置が連
続的に受信側で破棄されるとわかっているデータを送信
する状態が無くなり、インターネット上の無駄なトラフ
ィックをなくすことができ、また、今から送信するＩＰ
Ｓｅｃパケットが受信側で破棄されるということを送信
側ＶＰＮ装置が知っていれば、無駄に送信ＩＰパケット
をＩＰＳｅｃ化する必要が無くなり、ＶＰＮ装置の無駄
な処理負荷の発生を防ぐことができるＶＰＮシステムお
よびＶＰＮ装置およびプログラムを提供することを目的
とする。
のであって、ＳＡが削除されたＶＰＮ装置がＩＰＳｅｃ
通信の相手となるＶＰＮ装置に対してＳＡ削除完了通知
を送信することにより、通知を受けたＶＰＮ装置は直ち
にＩＰＳｅｃパケットの送信を停止することができ、Ｓ
Ａ削除後のＩＰＳｅｃ通信の相手となるＶＰＮ装置が連
続的に受信側で破棄されるとわかっているデータを送信
する状態が無くなり、インターネット上の無駄なトラフ
ィックをなくすことができ、また、今から送信するＩＰ
Ｓｅｃパケットが受信側で破棄されるということを送信
側ＶＰＮ装置が知っていれば、無駄に送信ＩＰパケット
をＩＰＳｅｃ化する必要が無くなり、ＶＰＮ装置の無駄
な処理負荷の発生を防ぐことができるＶＰＮシステムお
よびＶＰＮ装置およびプログラムを提供することを目的
とする。
【０００８】
【課題を解決するための手段】本発明の特徴は、ＩＰ−
ＶＰＮ構築時におけるＩＰＳｅｃ通信、つまり、インタ
ーネットを介して重要なデータをやりとりする際にデー
タを暗号化することにより、悪意を持った第三者の「盗
聴」、「改竄」、「なりすまし」といった脅威から重要
なデータを守ることが可能となる方法で通信した際に、
ＶＰＮ装置内で管理されるＳＡＤ(Security Associatio
n Data-base)上に存在する、あるＳＡを削除したＶＰＮ
装置が削除された当該ＳＡを用いたＩＰＳｅｃ通信の相
手となるＶＰＮ装置に対し当該ＳＡが削除されたことを
通知することにある。
ＶＰＮ構築時におけるＩＰＳｅｃ通信、つまり、インタ
ーネットを介して重要なデータをやりとりする際にデー
タを暗号化することにより、悪意を持った第三者の「盗
聴」、「改竄」、「なりすまし」といった脅威から重要
なデータを守ることが可能となる方法で通信した際に、
ＶＰＮ装置内で管理されるＳＡＤ(Security Associatio
n Data-base)上に存在する、あるＳＡを削除したＶＰＮ
装置が削除された当該ＳＡを用いたＩＰＳｅｃ通信の相
手となるＶＰＮ装置に対し当該ＳＡが削除されたことを
通知することにある。
【０００９】このようにして、ＳＡの削除完了通知を削
除された当該ＳＡを用いたＩＰＳｅｃ通信の相手となる
ＶＰＮ装置に送信することにより、通知を受けたＶＰＮ
装置は、これから送信するＩＰＳｅｃパケットとマッチ
するＳＡが受信側のＶＰＮ装置にはもうすでに存在しな
いことが事前にわかる。したがって、ＳＡ削除後、削除
された当該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶ
ＰＮ装置からの連続送信状態を防ぐことができる。
除された当該ＳＡを用いたＩＰＳｅｃ通信の相手となる
ＶＰＮ装置に送信することにより、通知を受けたＶＰＮ
装置は、これから送信するＩＰＳｅｃパケットとマッチ
するＳＡが受信側のＶＰＮ装置にはもうすでに存在しな
いことが事前にわかる。したがって、ＳＡ削除後、削除
された当該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶ
ＰＮ装置からの連続送信状態を防ぐことができる。
【００１０】すなわち、本発明の第一の観点は、インタ
ーネットを介してＩＰＳｅｃ通信を行なう複数のＬＡＮ
にそれぞれＶＰＮ装置が備えられ、前記複数のＶＰＮ装
置には、それぞれ共通のＳＡを保持するＳＡＤがそれぞ
れ備えられ、当該ＳＡはＩＫＥプロトコルにより動的に
割当てられるＶＰＮシステムである。
ーネットを介してＩＰＳｅｃ通信を行なう複数のＬＡＮ
にそれぞれＶＰＮ装置が備えられ、前記複数のＶＰＮ装
置には、それぞれ共通のＳＡを保持するＳＡＤがそれぞ
れ備えられ、当該ＳＡはＩＫＥプロトコルにより動的に
割当てられるＶＰＮシステムである。
【００１１】ここで、本発明の特徴とするところは、い
ずれかの前記ＶＰＮ装置の前記ＳＡＤから前記ＳＡが削
除されたときには、当該ＶＰＮ装置は、その旨を削除さ
れた当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手とな
る前記ＶＰＮ装置に通知する手段を備えたところにあ
る。
ずれかの前記ＶＰＮ装置の前記ＳＡＤから前記ＳＡが削
除されたときには、当該ＶＰＮ装置は、その旨を削除さ
れた当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手とな
る前記ＶＰＮ装置に通知する手段を備えたところにあ
る。
【００１２】本発明の第二の観点は、インターネットを
介してＩＰＳｅｃ通信を行なう複数のＬＡＮにそれぞれ
備えられ、それぞれ共通のＳＡを保持するＳＡＤがそれ
ぞれ備えられ、当該ＳＡはＩＫＥプロトコルにより動的
に割当てられるＶＰＮ装置である。
介してＩＰＳｅｃ通信を行なう複数のＬＡＮにそれぞれ
備えられ、それぞれ共通のＳＡを保持するＳＡＤがそれ
ぞれ備えられ、当該ＳＡはＩＫＥプロトコルにより動的
に割当てられるＶＰＮ装置である。
【００１３】ここで、本発明の特徴とするところは、自
ＶＰＮ装置が備える前記ＳＡＤから前記ＳＡが削除され
たときには、自ＶＰＮ装置は、その旨を削除された当該
ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる他のＶ
ＰＮ装置に通知する手段を備えたところにある。
ＶＰＮ装置が備える前記ＳＡＤから前記ＳＡが削除され
たときには、自ＶＰＮ装置は、その旨を削除された当該
ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる他のＶ
ＰＮ装置に通知する手段を備えたところにある。
【００１４】本発明の第三の観点はプログラムであっ
て、本発明の特徴とするところは、情報処理装置にイン
ストールすることにより、その情報処理装置に、インタ
ーネットを介してＩＰＳｅｃ通信を行なう複数のＬＡＮ
にそれぞれ備えられたＶＰＮ装置に相応する機能とし
て、各ＶＰＮ装置にＩＫＥプロトコルにより動的に割当
てられる共通のＳＡを保持するＳＡＤに相応する機能
と、自ＶＰＮ装置が備える前記ＳＡＤから前記ＳＡが削
除されたときには、自ＶＰＮ装置は、その旨を削除され
た当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる
他のＶＰＮ装置に通知する機能とを実現させるところに
ある。
て、本発明の特徴とするところは、情報処理装置にイン
ストールすることにより、その情報処理装置に、インタ
ーネットを介してＩＰＳｅｃ通信を行なう複数のＬＡＮ
にそれぞれ備えられたＶＰＮ装置に相応する機能とし
て、各ＶＰＮ装置にＩＫＥプロトコルにより動的に割当
てられる共通のＳＡを保持するＳＡＤに相応する機能
と、自ＶＰＮ装置が備える前記ＳＡＤから前記ＳＡが削
除されたときには、自ＶＰＮ装置は、その旨を削除され
た当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる
他のＶＰＮ装置に通知する機能とを実現させるところに
ある。
【００１５】これにより、ＳＡが削除されたＶＰＮ装置
が、削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手
となるＶＰＮ装置に対してＳＡ削除完了通知を送信する
ことにより、通知を受けたＶＰＮ装置は直ちにＩＰＳｅ
ｃパケットの送信を停止することができ、ＳＡ削除後の
削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手とな
るＶＰＮ装置が連続的に受信側で破棄されるとわかって
いるデータを送信する状態が無くなり、インターネット
上の無駄なトラフィックをなくすことができ、また、今
から送信するＩＰＳｅｃパケットが受信側で削除される
ということを送信側ＶＰＮ装置が知っていれば、無駄に
送信ＩＰパケットをＩＰＳｅｃ化する必要が無くなり、
ＶＰＮ装置の無駄な処理負荷の発生を防ぐことができ
る。
が、削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手
となるＶＰＮ装置に対してＳＡ削除完了通知を送信する
ことにより、通知を受けたＶＰＮ装置は直ちにＩＰＳｅ
ｃパケットの送信を停止することができ、ＳＡ削除後の
削除された当該ＳＡを用いたＩＰＳｅｃ通信の相手とな
るＶＰＮ装置が連続的に受信側で破棄されるとわかって
いるデータを送信する状態が無くなり、インターネット
上の無駄なトラフィックをなくすことができ、また、今
から送信するＩＰＳｅｃパケットが受信側で削除される
ということを送信側ＶＰＮ装置が知っていれば、無駄に
送信ＩＰパケットをＩＰＳｅｃ化する必要が無くなり、
ＶＰＮ装置の無駄な処理負荷の発生を防ぐことができ
る。
【００１６】
【発明の実施の形態】本発明実施例のＶＰＮシステムお
よびＶＰＮ装置およびプログラムを図１および図２を参
照して説明する。図１は本発明実施例のＶＰＮシステム
の全体構成図である。図２はＳＡＤおよびＳＰＤを示す
図である。
よびＶＰＮ装置およびプログラムを図１および図２を参
照して説明する。図１は本発明実施例のＶＰＮシステム
の全体構成図である。図２はＳＡＤおよびＳＰＤを示す
図である。
【００１７】本発明の第一の観点は、図１に示すよう
に、インターネット３０を介してＩＰＳｅｃ通信を行な
う企業内ＬＡＮ１０および２０にそれぞれＶＰＮ装置４
０および５０が備えられ、ＶＰＮ装置４０および５０に
は、図２に示すように、それぞれ共通のＳＡを保持する
ＳＡＤ１８０がそれぞれ備えられ、当該ＳＡはＩＫＥプ
ロトコルにより動的に割当てられるＶＰＮシステムであ
る。
に、インターネット３０を介してＩＰＳｅｃ通信を行な
う企業内ＬＡＮ１０および２０にそれぞれＶＰＮ装置４
０および５０が備えられ、ＶＰＮ装置４０および５０に
は、図２に示すように、それぞれ共通のＳＡを保持する
ＳＡＤ１８０がそれぞれ備えられ、当該ＳＡはＩＫＥプ
ロトコルにより動的に割当てられるＶＰＮシステムであ
る。
【００１８】ここで、本発明の特徴とするところは、い
ずれかのＶＰＮ装置４０または５０のＳＡＤ１８０から
前記ＳＡが削除されたときには、ＶＰＮ装置４０または
５０は、その旨を削除された当該ＳＡを用いたＩＰＳｅ
ｃ通信を行なう相手となるＶＰＮ装置５０または４０に
通知するところにある。
ずれかのＶＰＮ装置４０または５０のＳＡＤ１８０から
前記ＳＡが削除されたときには、ＶＰＮ装置４０または
５０は、その旨を削除された当該ＳＡを用いたＩＰＳｅ
ｃ通信を行なう相手となるＶＰＮ装置５０または４０に
通知するところにある。
【００１９】本発明の第二の観点は、図１に示すよう
に、インターネット３０を介してＩＰＳｅｃ通信を行な
う企業内ＬＡＮ１０および２０にそれぞれ備えられ、図
２に示すように、それぞれ共通のＳＡを保持するＳＡＤ
１８０がそれぞれ備えられ、当該ＳＡはＩＫＥプロトコ
ルにより動的に割当てられるＶＰＮ装置４０および５０
である。
に、インターネット３０を介してＩＰＳｅｃ通信を行な
う企業内ＬＡＮ１０および２０にそれぞれ備えられ、図
２に示すように、それぞれ共通のＳＡを保持するＳＡＤ
１８０がそれぞれ備えられ、当該ＳＡはＩＫＥプロトコ
ルにより動的に割当てられるＶＰＮ装置４０および５０
である。
【００２０】ここで、本発明の特徴とするところは、自
ＶＰＮ装置４０または５０が備えるＳＡＤ１８０から前
記ＳＡが削除されたときには、自ＶＰＮ装置４０または
５０は、その旨を削除された当該ＳＡを用いたＩＰＳｅ
ｃ通信を行なう相手となる他のＶＰＮ装置５０または４
０に通知するところにある。
ＶＰＮ装置４０または５０が備えるＳＡＤ１８０から前
記ＳＡが削除されたときには、自ＶＰＮ装置４０または
５０は、その旨を削除された当該ＳＡを用いたＩＰＳｅ
ｃ通信を行なう相手となる他のＶＰＮ装置５０または４
０に通知するところにある。
【００２１】本発明の第三の観点は、図１に示すよう
に、情報処理装置であるコンピュータ装置にインストー
ルすることにより、そのコンピュータ装置に、インター
ネット３０を介してＩＰＳｅｃ通信を行なう企業内ＬＡ
Ｎ１０および２０にそれぞれ備えられたＶＰＮ装置４０
および５０に相応する機能として、各ＶＰＮ装置４０お
よび５０にＩＫＥプロトコルにより動的に割当てられる
共通のＳＡを保持するＳＡＤ１８０に相応する機能と、
自ＶＰＮ装置４０または５０が備えるＳＡＤ１８０から
前記ＳＡが削除されたときには、自ＶＰＮ装置４０また
は５０は、その旨を削除された当該ＳＡを用いたＩＰＳ
ｅｃ通信を行なう相手となる他のＶＰＮ装置５０または
４０に通知する機能とを実現させることを特徴とするプ
ログラムである。
に、情報処理装置であるコンピュータ装置にインストー
ルすることにより、そのコンピュータ装置に、インター
ネット３０を介してＩＰＳｅｃ通信を行なう企業内ＬＡ
Ｎ１０および２０にそれぞれ備えられたＶＰＮ装置４０
および５０に相応する機能として、各ＶＰＮ装置４０お
よび５０にＩＫＥプロトコルにより動的に割当てられる
共通のＳＡを保持するＳＡＤ１８０に相応する機能と、
自ＶＰＮ装置４０または５０が備えるＳＡＤ１８０から
前記ＳＡが削除されたときには、自ＶＰＮ装置４０また
は５０は、その旨を削除された当該ＳＡを用いたＩＰＳ
ｅｃ通信を行なう相手となる他のＶＰＮ装置５０または
４０に通知する機能とを実現させることを特徴とするプ
ログラムである。
【００２２】本発明のプログラムは、コンピュータ装置
読み取り可能な記録媒体に記録され、コンピュータ装置
はこの記録媒体を用いて本発明のプログラムをインスト
ールすることができる。あるいは、コンピュータ装置
は、本発明のプログラムを保持するサーバからネットワ
ークを介して本発明のプログラムをダウンロードするこ
とにより、本発明のプログラムをインストールすること
ができる。
読み取り可能な記録媒体に記録され、コンピュータ装置
はこの記録媒体を用いて本発明のプログラムをインスト
ールすることができる。あるいは、コンピュータ装置
は、本発明のプログラムを保持するサーバからネットワ
ークを介して本発明のプログラムをダウンロードするこ
とにより、本発明のプログラムをインストールすること
ができる。
【００２３】以下では、本発明実施例をさらに詳細に説
明する。
明する。
【００２４】本発明のＩＰＳｅｃ通信時におけるＳＡ削
除完了通知送信で、ＳＡ削除後にＩＰＳｅｃ通信の相手
となるＶＰＮ装置からの連続送信状態を防ぐための実施
例の構成を図１に示す。企業内ＬＡＮ１０のホストコン
ピュータ６０から企業内ＬＡＮ２０のホストコンピュー
タ７０宛にＩＰＳｅｃパケット化してほしいデータを送
信する。企業内ＬＡＮ１０のホストコンピュータ６０か
ら送信されたデータは、ＶＰＮ装置４０によって暗号化
およびＩＰＳｅｃパケット化され、トンネルモードによ
り、インターネット３０を介してＶＰＮ装置５０に送信
される。ＶＰＮ装置５０で受信したＩＰＳｅｃパケット
は、復号化されＩＰパケットとして企業内ＬＡＮ２０内
のホストコンピュータ７０宛に送信される。
除完了通知送信で、ＳＡ削除後にＩＰＳｅｃ通信の相手
となるＶＰＮ装置からの連続送信状態を防ぐための実施
例の構成を図１に示す。企業内ＬＡＮ１０のホストコン
ピュータ６０から企業内ＬＡＮ２０のホストコンピュー
タ７０宛にＩＰＳｅｃパケット化してほしいデータを送
信する。企業内ＬＡＮ１０のホストコンピュータ６０か
ら送信されたデータは、ＶＰＮ装置４０によって暗号化
およびＩＰＳｅｃパケット化され、トンネルモードによ
り、インターネット３０を介してＶＰＮ装置５０に送信
される。ＶＰＮ装置５０で受信したＩＰＳｅｃパケット
は、復号化されＩＰパケットとして企業内ＬＡＮ２０内
のホストコンピュータ７０宛に送信される。
【００２５】次に、図２を参照して本発明実施例の動作
を説明する。ＶＰＮ装置４０は、図１に示す企業内ＬＡ
Ｎ１０のホストコンピュータ６０から送信されたデータ
を暗号化し、ＩＰＳｅｃパケットとしてインターネット
３０上にＶＰＮ装置５０宛のトンネルモードで送信す
る。
を説明する。ＶＰＮ装置４０は、図１に示す企業内ＬＡ
Ｎ１０のホストコンピュータ６０から送信されたデータ
を暗号化し、ＩＰＳｅｃパケットとしてインターネット
３０上にＶＰＮ装置５０宛のトンネルモードで送信す
る。
【００２６】通常、ＩＰＳｅｃ通信がＶＰＮ装置４０と
ＶＰＮ装置５０間で成立するためには、図２に示す、各
ＶＰＮ装置間のＳＰＤ８０管轄下のＳＡＤ１８０で管理
されるＳＡが一致する必要がある。ＳＡの作成には、コ
ンフィギュレーション上で固定的にポリシを割り当てる
固定鍵方式と、ＩＫＥプロトコルを起動させて、動的に
ｉｎｂｏｕｎｄ９０、ｏｕｔｂｏｕｎｄ１００用にＳＡ
を作成する自動鍵交換方式がある。
ＶＰＮ装置５０間で成立するためには、図２に示す、各
ＶＰＮ装置間のＳＰＤ８０管轄下のＳＡＤ１８０で管理
されるＳＡが一致する必要がある。ＳＡの作成には、コ
ンフィギュレーション上で固定的にポリシを割り当てる
固定鍵方式と、ＩＫＥプロトコルを起動させて、動的に
ｉｎｂｏｕｎｄ９０、ｏｕｔｂｏｕｎｄ１００用にＳＡ
を作成する自動鍵交換方式がある。
【００２７】固定鍵の場合には、鍵の更新や新規作成と
いった作業が不要なため、上記で述べたＳＡ削除後のＩ
ＰＳｅｃ通信の相手となるＶＰＮ装置の連続送信状態に
陥る心配はないが、ＩＫＥによる自動鍵交換方式の場合
には、ＳＡのライフタイム、残バイト数、シーケンス番
号の状態によりＳＡが削除および更新される場合があ
る。
いった作業が不要なため、上記で述べたＳＡ削除後のＩ
ＰＳｅｃ通信の相手となるＶＰＮ装置の連続送信状態に
陥る心配はないが、ＩＫＥによる自動鍵交換方式の場合
には、ＳＡのライフタイム、残バイト数、シーケンス番
号の状態によりＳＡが削除および更新される場合があ
る。
【００２８】ここで、図２に示す、ＶＰＮ装置４０から
送信されたＩＰＳｅｃパケットは、ＶＰＮ装置５０で受
信される。ＶＰＮ装置５０は受信したＡＨ(Authenticat
ionHeader)およびＥＳＰ(Encapsulation Security Payl
oad)ヘッダ内に明記されているＳＰＩ(Security Parame
ter Index)番号をもとにＶＰＮ装置５０内のＳＡＤ１８
０上に管理されるＳＡを検索する。該当するＳＡが存在
すれば、そのポリシに沿って復号化されるが、ＳＡが存
在しない場合には、受信したＩＰＳｅｃパケットは破棄
となる。
送信されたＩＰＳｅｃパケットは、ＶＰＮ装置５０で受
信される。ＶＰＮ装置５０は受信したＡＨ(Authenticat
ionHeader)およびＥＳＰ(Encapsulation Security Payl
oad)ヘッダ内に明記されているＳＰＩ(Security Parame
ter Index)番号をもとにＶＰＮ装置５０内のＳＡＤ１８
０上に管理されるＳＡを検索する。該当するＳＡが存在
すれば、そのポリシに沿って復号化されるが、ＳＡが存
在しない場合には、受信したＩＰＳｅｃパケットは破棄
となる。
【００２９】仮に、図２が示すＶＰＮ装置５０のＳＡ＃
２（１１０）が削除されたことを知らないＶＰＮ装置４
０は、ＶＰＮ装置５０のＳＡＤ９０上で管理されるＳＡ
＃２（１１０）と対になるＳＡ＃２（１２０）が消滅し
ない限り、ＶＰＮ装置５０宛にＩＰＳｅｃパケットを連
続的に送信し続けてしまうという悪循環に陥ってしま
う。ここで、図２で明記されているように受信側ＶＰＮ
装置５０がＳＡ＃２（１１０）が削除された後（Ｓ
１）、削除された当該ＳＡ＃２（１１０）を用いたＩＰ
Ｓｅｃ通信の相手となるＶＰＮ装置４０宛にＳＡ＃２
（１１０）の削除完了通知を送信することにより（Ｓ
２）、ＶＰＮ装置５０のＳＡＤ１８０で管理されるＳＡ
＃２（１１０）が完全にＳＡＤ１８０上から削除された
ことをＶＰＮ装置４０は知る。これにより、ＶＰＮ装置
４０は、直ちにＶＰＮ装置５０宛に対してＩＰＳｅｃパ
ケットを送信することを停止する。以上の一連の動作に
より、ＶＰＮ装置５０のＳＡ＃２（１１０）が削除され
た後のＶＰＮ装置４０からの連続送信状態を防ぐことが
できる。
２（１１０）が削除されたことを知らないＶＰＮ装置４
０は、ＶＰＮ装置５０のＳＡＤ９０上で管理されるＳＡ
＃２（１１０）と対になるＳＡ＃２（１２０）が消滅し
ない限り、ＶＰＮ装置５０宛にＩＰＳｅｃパケットを連
続的に送信し続けてしまうという悪循環に陥ってしま
う。ここで、図２で明記されているように受信側ＶＰＮ
装置５０がＳＡ＃２（１１０）が削除された後（Ｓ
１）、削除された当該ＳＡ＃２（１１０）を用いたＩＰ
Ｓｅｃ通信の相手となるＶＰＮ装置４０宛にＳＡ＃２
（１１０）の削除完了通知を送信することにより（Ｓ
２）、ＶＰＮ装置５０のＳＡＤ１８０で管理されるＳＡ
＃２（１１０）が完全にＳＡＤ１８０上から削除された
ことをＶＰＮ装置４０は知る。これにより、ＶＰＮ装置
４０は、直ちにＶＰＮ装置５０宛に対してＩＰＳｅｃパ
ケットを送信することを停止する。以上の一連の動作に
より、ＶＰＮ装置５０のＳＡ＃２（１１０）が削除され
た後のＶＰＮ装置４０からの連続送信状態を防ぐことが
できる。
【００３０】
【発明の効果】以上説明したように、本発明によれば、
ＳＡが削除されたＶＰＮ装置が削除された当該ＳＡを用
いたＩＰＳｅｃ通信の相手となるＶＰＮ装置に対してＳ
Ａ削除完了通知を送信することにより、通知を受けたＶ
ＰＮ装置は直ちにＩＰＳｅｃパケットの送信を停止する
ことができる。これにより、ＳＡ削除後の削除された当
該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置
が連続的に受信側で破棄されるとわかっているデータを
送信する状態が無くなり、インターネット上の無駄なト
ラフィックをなくすことができる。また、今から送信す
るＩＰＳｅｃパケットが受信側で削除されると言うこと
を送信側ＶＰＮ装置が知っていれば、無駄に送信ＩＰパ
ケットをＩＰＳｅｃ化する必要が無くなり、ＶＰＮ装置
の無駄な処理負荷の発生を防ぐことができる。
ＳＡが削除されたＶＰＮ装置が削除された当該ＳＡを用
いたＩＰＳｅｃ通信の相手となるＶＰＮ装置に対してＳ
Ａ削除完了通知を送信することにより、通知を受けたＶ
ＰＮ装置は直ちにＩＰＳｅｃパケットの送信を停止する
ことができる。これにより、ＳＡ削除後の削除された当
該ＳＡを用いたＩＰＳｅｃ通信の相手となるＶＰＮ装置
が連続的に受信側で破棄されるとわかっているデータを
送信する状態が無くなり、インターネット上の無駄なト
ラフィックをなくすことができる。また、今から送信す
るＩＰＳｅｃパケットが受信側で削除されると言うこと
を送信側ＶＰＮ装置が知っていれば、無駄に送信ＩＰパ
ケットをＩＰＳｅｃ化する必要が無くなり、ＶＰＮ装置
の無駄な処理負荷の発生を防ぐことができる。
【図１】本発明実施例のＶＰＮシステムの全体構成図。
【図２】本発明実施例のＳＰＤおよびＳＡＤを示す図。
１０、２０ 企業内ＬＡＮ
３０ インターネット
４０、５０ ＶＰＮ装置
６０、７０ ホストコンピュータ
８０ ＳＰＤ
９０ ｉｎｂｏｕｎｄ
１００ ｏｕｔｂｏｕｎｄ
１１０、１２０ ＳＡ＃２
１８０ ＳＡＤ
Claims (3)
- 【請求項１】 インターネットを介してＩＰＳｅｃ通信
を行なう複数のＬＡＮにそれぞれＶＰＮ(Virtual Priva
te Network)装置が備えられ、 前記複数のＶＰＮ装置には、それぞれ共通のＳＡ(Secur
ity Association)を保持するＳＡＤ(Security Associat
ion Data-base)がそれぞれ備えられ、 当該ＳＡはＩＫＥ(Internet Key Exchange)プロトコル
により動的に割当てられるＶＰＮシステムにおいて、 いずれかの前記ＶＰＮ装置の前記ＳＡＤから前記ＳＡが
削除されたときには、当該ＶＰＮ装置は、その旨を削除
された当該ＳＡを用いたＩＰＳｅｃ通信を行なう相手と
なる前記ＶＰＮ装置に通知する手段を備えたことを特徴
とするＶＰＮシステム。 - 【請求項２】 インターネットを介してＩＰＳｅｃ通信
を行なう複数のＬＡＮにそれぞれ備えられ、 それぞれ共通のＳＡを保持するＳＡＤがそれぞれ備えら
れ、 当該ＳＡはＩＫＥプロトコルにより動的に割当てられる
ＶＰＮ装置において、 自ＶＰＮ装置が備える前記ＳＡＤから前記ＳＡが削除さ
れたときには、自ＶＰＮ装置は、その旨を削除された当
該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる他の
ＶＰＮ装置に通知する手段を備えたことを特徴とするＶ
ＰＮ装置。 - 【請求項３】 情報処理装置にインストールすることに
より、その情報処理装置に、インターネットを介してＩ
ＰＳｅｃ通信を行なう複数のＬＡＮにそれぞれ備えられ
たＶＰＮ装置に相応する機能として、 各ＶＰＮ装置にＩＫＥプロトコルにより動的に割当てら
れる共通のＳＡを保持するＳＡＤに相応する機能と、 自ＶＰＮ装置が備える前記ＳＡＤから前記ＳＡが削除さ
れたときには、自ＶＰＮ装置は、その旨を削除された当
該ＳＡを用いたＩＰＳｅｃ通信を行なう相手となる他の
ＶＰＮ装置に通知する機能とを実現させることを特徴と
するプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001210615A JP3596489B2 (ja) | 2001-07-11 | 2001-07-11 | Ｖｐｎシステムおよびｖｐｎ装置およびプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001210615A JP3596489B2 (ja) | 2001-07-11 | 2001-07-11 | Ｖｐｎシステムおよびｖｐｎ装置およびプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003032286A true JP2003032286A (ja) | 2003-01-31 |
| JP3596489B2 JP3596489B2 (ja) | 2004-12-02 |
Family
ID=19046055
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001210615A Expired - Lifetime JP3596489B2 (ja) | 2001-07-11 | 2001-07-11 | Ｖｐｎシステムおよびｖｐｎ装置およびプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3596489B2 (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005253061A (ja) * | 2004-02-06 | 2005-09-15 | Matsushita Electric Ind Co Ltd | 通信装置及び通信プログラム |
| JP2008199498A (ja) * | 2007-02-15 | 2008-08-28 | Nippon Telegr & Teleph Corp <Ntt> | ゲートウェイ装置およびセッション管理方法 |
-
2001
- 2001-07-11 JP JP2001210615A patent/JP3596489B2/ja not_active Expired - Lifetime
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005253061A (ja) * | 2004-02-06 | 2005-09-15 | Matsushita Electric Ind Co Ltd | 通信装置及び通信プログラム |
| JP2008199498A (ja) * | 2007-02-15 | 2008-08-28 | Nippon Telegr & Teleph Corp <Ntt> | ゲートウェイ装置およびセッション管理方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3596489B2 (ja) | 2004-12-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| RU2728893C1 (ru) | Способ реализации безопасности, устройство и система | |
| CN109150688B (zh) | IPSec VPN数据传输方法及装置 | |
| JP4515411B2 (ja) | ハンドオーバーの性能を改良するセキュリティアソシエーションの再利用 | |
| JP4707992B2 (ja) | 暗号化通信システム | |
| US10897509B2 (en) | Dynamic detection of inactive virtual private network clients | |
| US20080126796A1 (en) | Node device and communication control method for improving security of packet communications | |
| EP2528265A1 (en) | Technique for maintaining secure network connections | |
| CN101510889A (zh) | 一种获取动态路由的方法和设备 | |
| US7797741B2 (en) | System and method for coping with encrypted harmful traffic in hybrid IPv4/IPv6 networks | |
| CN101572644B (zh) | 一种数据封装方法和设备 | |
| US11509639B2 (en) | IPsec anti-replay window with quality of service | |
| CN105516062B (zh) | 一种实现L2TP over IPsec接入的方法 | |
| US20040158706A1 (en) | System, method, and device for facilitating multi-path cryptographic communication | |
| CN115567205A (zh) | 采用量子密钥分发实现网络会话数据流加解密方法及系统 | |
| JP2011176395A (ja) | ＩＰｓｅｃ通信方法およびＩＰｓｅｃ通信システム | |
| US7756061B2 (en) | Mobile router device and home agent device | |
| JP4305087B2 (ja) | 通信ネットワークシステム及びそのセキュリティ自動設定方法 | |
| JP3596489B2 (ja) | Ｖｐｎシステムおよびｖｐｎ装置およびプログラム | |
| US20030237003A1 (en) | Method and apparatus for recovering from the failure or reset of an IKE node | |
| JP4043997B2 (ja) | 暗号装置及びプログラム | |
| JP2004135134A (ja) | 無線通信用アダプタ | |
| US20080059788A1 (en) | Secure electronic communications pathway | |
| JP4013920B2 (ja) | 通信システム、通信装置及びその動作制御方法並びにプログラム | |
| CN113965462A (zh) | 业务传输方法、装置、网络设备和存储介质 | |
| JP2005065004A (ja) | 暗号化通信データ検査方法、暗号化通信データ検査装置及び暗号化通信データ検査プログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20040730 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20040817 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20040830 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 3596489 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080917 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080917 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090917 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090917 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100917 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110917 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120917 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130917 Year of fee payment: 9 |
|
| EXPY | Cancellation because of completion of term |