JP2004147029A

JP2004147029A - Data transfer method and device therefor

Info

Publication number: JP2004147029A
Application number: JP2002308961A
Authority: JP
Inventors: Hiroaki Higaki; 桧垣　博章; Masuko Kano; 加納　益子; Takanori Kimura; 木村　隆則
Original assignee: ELWING CO Ltd
Current assignee: ELWING CO Ltd
Priority date: 2002-10-23
Filing date: 2002-10-23
Publication date: 2004-05-20
Also published as: AU2003275572A1; WO2004039016A1

Abstract

<P>PROBLEM TO BE SOLVED: To improve security in a communication using a public network. <P>SOLUTION: When a relay point 32 is intentionally or dynamically changed against respective IP packets 20, the IP packets 20 are transferred through random routes. Even if a third person performs tapping in one route, only a part of packets can be obtained and decoding is satisfactorily inhibited. Thus, high security can be secured. Since IP packet groups are spread to a plurality of the routs and are transferred, a channel of a wide band is formed as a result. <P>COPYRIGHT: (C)2004,JPO

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネットなどの公衆ネットワークを通じてデータのパケットを転送するデータ転送方法及びその装置に関するものである。
【０００２】
【背景技術】
最近は企業内ネットワーク（イントラネット）が普及し、国内もしくは国外の各地に散在する本社，営業所，支店，工場などが相互にネットワークで接続されるようになってきている。企業内ネットワークは、機密性の高い情報が交換されており、ネットワークセキュリティへに対する要求が高い。また、例えば本社のＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ：地域網）と支店のＬＡＮのように、離れたＬＡＮをＷＡＮ（Ｗｉｄｅ　Ａｒｅａ　Ｎｅｔｗｏｒｋ：広域網）で接続する場合、専用線，フレームリレー，ＩＳＤＮなどが考えられるが、いずれも相当の通信コストがかかる。
【０００３】
そこで、公衆ネットワークであるインターネットを利用したＶＰＮ（Ｖｉｒｔｕａｌ　Ｐｒｉｖａｔｅ　Ｎｅｔｗｏｒｋ）が実用化されている。ＶＰＮは、低コスト，高セキュリティ，広帯域という特長があり、地理的に分散した社内ＬＡＮを相互接続して企業内ネットワークを構築するのに好適である。ＶＰＮを構成する基本的な機能として、「トンネリングないしカプセル化」と「暗号化」がある。これらのうち、前者のトンネリング技術は、データのパケットに新しいヘッダを付け加えてカプセル化することで、複数の社内ＬＡＮを仮想的に一つの企業内ネットワークとして見せる技術である。ユーザには、実際にはインターネットが介在しているにもかかわらず、一つのプライベートネットワークとして見えるようになる。次に、後者の暗号化技術は、上述したトンネリングのみではデータの内容が第三者から見えてしまい、データの盗聴（盗視）や改ざんが行われる恐れがあるので、それを防止するためにパケットを暗号化して伝送する技術である。
【０００４】
【発明が解決しようとする課題】
ところで、現在利用されているＶＰＮにおいては、送信元の社内ＬＡＮに接続されたルータで暗号化された情報が、カプセル化されたＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）パケットとしてインターネット上を通常のルーテイング手法を用いて配送される。そして、送信先の社内ＬＡＮに接続されたルータで復号化されている。
【０００５】
図１１にはその様子が示されており、送信元の社内ＬＡＮ９００では、ルータ９０２によって、例えば「ＨＥＬＬＯ」というデータが「ＩＦＭＭＰ」に暗号化され、更に「Ｉ」，「Ｆ」，「Ｍ」，「Ｍ」，「Ｐ」にパケット化される。これらのＩＰパケット９１２は、ルータ９０２からインターネット９１０に送り出される。送信先の社内ＬＡＮ９２０では、ルータ９２２を介してＩＰパケット９１２が受信され、ルータ９２２によってその複号化が行われる。
【０００６】
以上の場合において、ルータ９０２に記録されているルーティングテーブル（経路表）が参照され、ＩＰパケットヘッダに記述された送信先社内ＬＡＮ９２０のＩＰアドレスに従ってＩＰパケット９１２の転送先が順次決定される。すなわち、ルーティングテーブルが構成された時点で、送信元社内ＬＡＮ９００から送信先社内ＬＡＮ９２０までの経路９１４は、静的に決定される。すなわち、ルーティングテーブルに基づいて機械的に経路が決定される。ＩＰパケット９１２は、インターネット９１０の性質上、必ずしも同一の経路によって配送されるわけではない。しかし、多くの場合、ＩＰパケット９１２は同一の経路９１４を用いて配送されることになる。従って、盗聴者９５０は、この経路９１４を検出するとともに、検出した経路９１４を観測・盗聴することによって、一群のＩＰパケット９１２をすべて入手し、高性能なコンピュータを用いて復号化することが可能である。
【０００７】
暗号化のアルゴリズムとしては、各種の手法が考案されているが、いずれの手法も暗号鍵や復号鍵を必要とすることなく情報を獲得するために要する計算量の大きさを唯一の安全性に対する根拠としている。このため、コンピュータの計算能力の向上によって解読されてしまい、情報が盗聴者９５０に不当に取得されてしまう恐れが高い。
【０００８】
本発明は、以上の点に着目したもので、その目的は、公衆ネットワークを利用した通信におけるセキュリティの向上を図ることである。他の目的は、公衆ネットワークを利用したデータ伝送における盗聴の可能性を効果的に低減する手法を提供することである。
【０００９】
【課題を解決するための手段】
前記目的を達成するため、本発明は、データのパケットを公衆ネットワークを通じて転送する際に、前記パケットが通過する公衆ネットワーク上の経路を制御するとともに、これによって設定された中継点を該当するパケットが通過するように、該パケットに送信処理を施すことを特徴とするものである。本発明の前記及び他の目的，特徴，利点は、以下の詳細な説明及び添付図面から明瞭になろう。
【００１０】
【発明の実施の形態】
＜概要＞……最初に概要を説明する。本発明では、盗聴者側のコンピュータの性能がどれだけ向上しても安全な通信を可能にするためには、盗聴者にすべてのＩＰパケットを受信させなければよい点に注目した。すなわち、一つの暗号文を配送するためのＩＰパケット群を、意図的に複数の異なる経路を用いて配送することによって、ある経路を配送されるＩＰパケット群を盗聴されても、暗号文の全体を獲得できなければ解読できず、セキュリティが向上するようになる。また、配送に用いる経路を、通信要求が発生する毎に動的に決定する手法を導入することによって、更に盗聴の成功率を低減することができる。
【００１１】
＜実施形態１＞……最初に、本発明の基本的な形態である実施形態１について説明する。図１に全体構成が示されており、送信元の社内ＬＡＮ１０は、ＩＰ拡散機能を有するルータであるＩＰ拡散装置１００を介してインターネット３０に接続されている。また、インターネット３０は、ＩＰ拡散装置１０２を介して送信先の社内ＬＡＮ４０に接続されている。なお、プロバイダは、図示しないが、必要に応じて介在する。
【００１２】
送信元の社内ＬＡＮ１０では、ＩＰ拡散装置１００によって、例えば「ＨＥＬＬＯ」というデータが「ＩＦＭＭＰ」に暗号化され、更に「Ｉ」，「Ｆ」，「Ｍ」，「Ｍ」，「Ｐ」にパケット化される。これらのＩＰパケット２０は、ＩＰ拡散装置１００からインターネット３０に送り出される。送信先の社内ＬＡＮ４０では、ＩＰ拡散装置１０２を介してＩＰパケット２０が受信され、ＩＰ拡散装置１０２によってその復号化が行われる。
【００１３】
以上の場合において、本形態では、ＩＰパケット２０を配送する経路が、ＩＰ拡散装置１００によって探索され、動的に経路が設定される。このため、ＩＰパケット２０は、複数の異なる経路を用いて配送されるようになる。図示の例では、「Ｐ」，「Ｍ」のパケットは経路３４によって配送され、「Ｍ」，「Ｆ」のパケットは経路３６によって配送され、「Ｉ」のパケットは経路３８によって配送される。
【００１４】
従って、盗聴者６０が仮に経路３８を検出し、この経路３８を観測・盗聴することによってＩＰパケットを入手したとしても、「Ｉ」のＩＰパケットしか得ることができない。このため、高性能コンピュータを用いて復号化を試みたとしても復号化は不可能である。
【００１５】
次に、上述したＩＰ拡散装置１００，１０２の構成について説明する。なお、両者は同一の構成となっているので、以下ＩＰ拡散装置１００を代表して説明する。図２には、ＩＰ拡散装置１００の構成が示されており、ＣＰＵ１０４，ディスプレイ１０６，ハードディスク１０８，ＲＡＭ１１０，ＲＯＭ１１２，Ｉ／Ｆ１１４〜１２０を備えている。これらのうち、ＣＰＵ１０４は、装置全体の動作を制御し、ＲＯＭ１１２に格納されているプログラムを実行する。ディスプレイ１０６は、動作状態や結果を適宜表示するためのものである。ハードディスク１０８は、ルーティングテーブルＴＡ，アクセスログＬＡなどのデータやプログラムを格納するためのメモリである。ＲＡＭ１１０は、プログラムのロードや実行などの際に適宜利用されるメモリである。
【００１６】
Ｉ／Ｆ１１４は、社内ＬＡＮと接続するためのインターフェースである。Ｉ／Ｆ１１６〜１２０は、インターネットと接続するためのインターフェースである。なお、本実施形態では、Ｉ／Ｆ１１６のみを使用するものとし、他のＩ／Ｆ１１８，１２０については後述する。
【００１７】
ＲＯＭ１１２には、動的中継点探索ソフトウエアＰＡ，ＩＰパケット送受信ソフトウエアＰＢ，ＶＰＮソフトウエアＰＣ，ログ解析ソフトウエアＰＤ，協調型パケット分割合成ソフトウエアＰＥ，経路情報キャッシュソフトウエアＰＦが格納されている。いずれも、ＣＰＵ１０４で実行されるプログラムである。
【００１８】
これらのうち、動的中継点探索ソフトウエアＰＡは、パケット２０を伝送する経路の中継点を意図的ないしは動的に探索するためのプログラムである。図３及び図４には、中継点探索の手法の一例がフローチャートとして示されている。同図に示すように、社内ＬＡＮ１０側を送信元、社内ＬＡＮ４０側を送信先とするＩＰパケット群をＩＰ拡散装置１００が受信すると、ＩＰ拡散装置１００は、自身のルーティングテーブルＴＡを参照し、このＩＰパケットの中継ＩＰ拡散装置が１０２であることを検出する（ステップＳ１０，Ｓ１２）。次のステップＳ１４については後述する。
【００１９】
ＩＰ拡散装置１００は、自身を送信元，ＩＰ拡散装置１０２を送信先とするホップ数計測のためのＩＰパケットを送信する（ステップＳ１６）。ここで、ホップ数計測用ＩＰパケットのＴＴＬ（Ｔｉｍｅ　Ｔｏ　Ｌｉｖｅ）の初期値をＴｉとする。なお、ホップ数とは、経由したルータの数のことである。ＴＴＬは、ＩＰパケットのネットワーク上における生存時間を示す値で、ルータを通過する際のホップ数で示される。ルータの通過毎にＴＴＬの値はひとつずつ減算される。送信先のＩＰ拡散装置１０２が、ホップ数計測のためのＩＰパケットを受信すると、ＩＰ拡散装置１００からのホップ数を計算する（ステップＳ１８）。これは、受信時のＴＴＬの値をＴｏとすると、Ｔ＝Ｔｉ−Ｔｏで与えられる。
【００２０】
次にＩＰ拡散装置１０２は、自身を送信元，ＩＰ拡散装置１００を送信先とするホップ数計測結果通知のためのＩＰパケットを送信する（ステップＳ２０）。計測結果通知用のＩＰパケットには、計算されたホップ数Ｔが含まれている。送信先のＩＰ拡散装置１００が、このホップ数計測結果通知のためのＩＰパケットを受信すると、このＴの値をもとにして拡散度Ｄ＝Ｆ（Ｔ）を計算する（ステップＳ２２）。
【００２１】
なお、拡散度Ｄは、データ配送に用いる複数の経路をどれだけ拡散するかの度合を示す。拡散度Ｄが大きければ、複数の経路が共通のコンピュータを通る可能性が低くなることで安全性が高くなるが、得られる経路のホップ数は大きくなる。逆に、拡散度Ｄが小さければ、得られる経路のホップ数が小さくなるが、複数の経路が共通のコンピュータを通る可能性が高くなり、盗聴者がそのコンピュータを監視することによってデータが盗まれる可能性が高くなる。本実施形態では、ＩＰ拡散装置１００からＩＰ拡散装置１０２までの経路のホップ数Ｔと経路の拡散度Ｄの関係Ｄ＝Ｆ（Ｔ）が、実験実測データから予め得られているものとする。
【００２２】
次にＩＰ拡散装置１００は、Ｎ個のＩＰアドレスＩＰ［０］，ＩＰ［１］，……，ＩＰ［Ｎ−１］をランダムに決定する（ステップＳ２４）。そして、ＩＰ拡散装置１００は、自身を送信元，ＩＰ［ｉ］（ｉ＝０，１，……，Ｎ−１）を送信先とし、更にＴＴＬをＤとするＩＰパケットＰ［ｉ］を送信する（ステップＳ２６）。そして、ＩＰパケットＰ［ｉ］がＩＰ［ｉ］に到達したときは（ステップＳ２８のＹｅｓ）、ＩＰ［ｉ］が、自身を送信元、ＩＰ拡散装置１００を送信先とするＩＣＭＰ（Ｉｎｔｅｒｎｅｔ　Ｃｏｎｔｒｏｌ　Ｍｅｓｓａｇｅ　Ｐｒｏｔｏｃｏｌ）プロトコル不達メッセージを送信する（ステップＳ３０）。ＩＰ拡散装置１００は、Ｐ［ｉ］に対応するＩＣＭＰプロトコル不達メッセージを受信すると、ＩＰ［ｉ］をランダムに決定し直す（ステップＳ３２）。次にＩＰ拡散装置１００は、自身を送信元，ＩＰ［ｉ］を送信先とし、更にＴＴＬをＤとするＩＰパケットＰ［ｉ］を送信する（ステップＳ３４）。
【００２３】
以上のステップＳ３０〜Ｓ３２の動作を繰り返し行って、ＩＰパケットＰ［ｉ］がＩＰ［ｉ］に到達しなかったときは（ステップＳ２８のＮｏ）、Ｐ［ｉ］のＴＴＬの値が０となったルータが、自身を送信元、ＩＰ拡散装置１００を送信先とするＩＣＭＰ時間切れメッセージを送信する（ステップＳ３６）。するとＩＰ拡散装置１００は、Ｐ［ｉ］に対応したＩＣＭＰ時間切れメッセージの送信元Ｒ［ｉ］を中継点のひとつとする（ステップＳ３８）。このように、Ｐ［０］，Ｐ［１］，……，Ｐ［Ｎ−１］に対応したＩＣＭＰ時間切れメッセージを受信することによって、Ｎ個の中継点（中継ルータ）Ｒ［０］，Ｒ［１］，……，Ｒ［Ｎ−１］を決定する（ステップＳ４０）。
【００２４】
次に、ＩＰパケット送受信ソフトウエアＰＢは、上述した動的中継点探索ソフトウエアＰＡによって探索された中継点を通過する経路に対して、該当するパケットを配送するとともに、配送されたパケットを受信するためのプログラムである。図５には、その動作手順がフローチャートとして示されている。同図に示すように、ＩＰ拡散装置１００は、ＩＰ拡散装置１０２を中継し、社内ＬＡＮ４０のコンピュータに送信されるＩＰパケット群をＮ個のサブグループＰＧ［０］，ＰＧ［１］，……，ＰＧ［Ｎ−１］に分割する（ステップＳ５０）。そして、ＰＧ［ｉ］（ｉ＝０，１，……，Ｎ−１）に属するＩＰパケットを中継ルータＲ［ｉ］を経由して配送する（ステップＳ５２）。これは、このＩＰパケットをデータとし、送信元をＩＰ拡散装置１００，送信先をＩＰ拡散装置１０２とし、更にＩＰプロトコルに規定されたＬｏｏｓｅ　Ｓｏｕｒｃｅ　Ｒｏｕｔｉｎｇ（厳密でない始点経路指定）オプションを用いることで、Ｒ［ｉ］を経由して配送されるように指定したＩＰパケットＣＰ［ｉ］を作成するカプセル化を行なうことによって実現される。
【００２５】
ＩＰパケットＣＰ［ｉ］を受信したＩＰ拡散装置１０２は、このＩＰパケットのデータ部を取り出すことにより、社内ＬＡＮ１０内のいずれかのコンピュータから社内ＬＡＮ４０内のいずれかのコンピュータへ送信されたＩＰパケットを得る（ステップＳ５４）。ＩＰ拡散装置１０２は、得られたＩＰパケットを社内ＬＡＮ４０に送信する（ステップＳ５６）。
【００２６】
次に、ＶＰＮソフトウエアＰＣは、社内ＬＡＮ１０と社内ＬＡＮ４０をＶＰＮで接続するためのトンネリング及び暗号化の処理を行うためのプログラムである。ログ解析ソフトウエアＰＤは、ＩＰ拡散装置１００による通信状況を解析し、その記録をアクセスログＬＡとしてハードディスク１０８に格納するためのプログラムである。なお、協調型パケット分割合成ソフトウエアＰＥ，経路情報キャッシュソフトウエアＰＦについては、いずれも他の実施形態として後述する。
【００２７】
次に、本実施形態の全体的動作を説明する。なお、以下の説明では、各部のＩＰアドレスが図６（Ａ）に示すように割り当てられているものとする。すなわち、社内ＬＡＮ１０側にＰＣ（パソコン）１２があり、プライベートＩＰアドレスＡが割り当てられている。また、社内ＬＡＮ１０には、グローバルＩＰアドレスＢが割り当てられている。探索された経路の中継点（中継ルータ）３２にはＩＰアドレスＮが割り当てられている。更に、社内ＬＡＮ４０側のＰＣ４２にはプライベートＩＰアドレスＰが割り当てられており、社内ＬＡＮ４０には、グローバルＩＰアドレスＱが割り当てられている。そして、ＰＣ１２からＰＣ４２にデータを送信するものとする。
【００２８】
まず、データの送信に当たって、ＩＰパケット２０を送信する経路の中継点が動的中継点探索ソフトウエアＰＡによって図３及び図４の手順で探索される。具体的には、送信元の社内ＬＡＮ１０から送信先の社内ＬＡＮ４０に至る中継点がランダムに決定される。そして、図６（Ｂ）〜（Ｄ）に示すように暗号化されたデータにヘッダが付加されてＩＰパケット化が行われる。まず、図６（Ｂ）に示すように、送信元Ａ，送信先Ｐのパケットヘッダが付加される。次に、ＶＰＮソフトウエアＰＣによって、図６（Ｃ）のように送信元Ｂ，送信先Ｑのカプセル化ヘッダが付加される。次に、ＩＰパケット送受信ソフトウエアＰＢによって、上述した中継点３２を送信先とした拡散化ヘッダが図６（Ｄ）のように付加される。このとき、上述したように、ＩＰパケット２０がグループ化され、各グループ毎に中継点が指定される。
【００２９】
このようにしてヘッダが付加されたＩＰパケット２０がＩＰ拡散装置１００からインターネット３０に送出されると、まず、拡散化ヘッダの送信先ＩＰアドレスである「Ｎ」が参照され、当該アドレスに転送される。すなわち、中継点３２に相当するルータ（図示せず）にＩＰパケット２０は転送される。中継点３２に到着すると、中継点３２のＩＰアドレスは役割を終えて削除される。すると、図６（Ｃ）のようになり、今度はカプセル化ヘッダのアドレス「Ｑ」にＩＰパケット２０は転送される。アドレス「Ｑ」は社内ＬＡＮ４０なので、ＩＰパケット０は社内ＬＡＮ４０のＩＰ拡散装置１０２に到着する。すると今度は、カプセル化ヘッダが削除され、パケットヘッダのアドレス「Ｐ」にＩＰパケット２０は転送される。アドレス「Ｐ」は社内ＬＡＮ４０のＰＣ４２であるから、当該ＰＣ４２にＩＰパケット２０は転送される。
【００３０】
この場合において、本実施形態では、各ＩＰパケット２０のグループに対して中継点３２が意図的に異なるように設定されている。すなわち、ＩＰパケットのサブグループＰＧ［ｉ］（ｉ＝０，１，……Ｎ−１）は、中継ルータＲ［ｉ］をそれぞれ経由して転送される。従って、第三者がいずれかの経路で盗聴を行ったとしても一部のパケットしか得ることができず、復号化が良好に阻止されて高いセキュリティを確保することが可能となる。また、ＩＰパケット群が複数の経路に拡散して転送されるため、結果的に広帯域の通信路が形成されることになる。
【００３１】
＜実施形態２＞……次に、図７及び図８を参照して、本発明の実施形態２について説明する。この実施形態では、前記実施形態１に加えて、協調型パケット分割合成ソフトウエアＰＥによる処理と、複数のＩ／Ｆ１１６〜１２０が使用される。各Ｉ／Ｆは、それぞれ異なるＮＳＰ（ネットワークサービスプロバイダ）に接続されている。
【００３２】
社内ＬＡＮとインターネットとの接続点となるファイアウォールは、特定のＮＳＰと契約している場合は、通常一つである。この場合は、上述したように、ファイアウォールから送信先まで複数の経路を設定することで、セキュリティを確保することができる。しかし、より高いセキュリティを確保するためには、複数のファイアウォールを設け、ＩＰパケット群を複数の異なるＮＳＰを経由して配送することが望ましい。本実施形態は、そのような点に着目したものである。
【００３３】
図７には本形態の動作手順が示されており、ＩＰ拡散装置１００は、ＩＰパケットを分割し、複数のＩ／Ｆ１１６〜１２０のいずれかに割り当てる（ステップＳ６０）。各ＩＰパケットは、割り当てられたＩ／Ｆからそれぞれ配送される（ステップＳ６２）。そして、上述した実施形態１と同様に、各グループ毎に異なる中継点を経由してＩＰ拡散装置１０２に配送され、ＩＰ拡散装置１０２の協調型パケット分割合成ソフトウエアＰＥで合成される（ステップＳ６４）。
【００３４】
図８には、その様子が図１に対応して示されている。同図のように、送信元のＩ／Ｆを複数にすることで、パケットグループによって送信元のプロバイダが異なるようになる。このため、例えばＩＰパケット２２ａと２２ｂが同一の中継点２２を経由するとしても経路が異なるようになり、セキュリティが更に向上する。
【００３５】
＜実施形態３＞……次に、本発明の実施形態３について説明する。この形態では、経路情報キャッシュソフトウエアＰＦを使用する。経路情報キャッシュソフトウエアＰＦは、動的中継点探索ソフトウエアＰＡによる図３及び図４に示した処理によって得られた中継点の情報を経路情報ＤＡとして一時的にハードディスク１０８に保存する処理を行う。
【００３６】
上述した実施形態１によれば、１回のデータ送信処理毎に中継点の探索が行われ、各パケット毎に異なる経路によってＩＰパケットの配送が行われる。この場合に、毎回ではなく、適当な間隔で中継点を変更するようにしても、現実的には十分なセキュリティを確保することができる。例えば、通信イベントの発生の毎に経路が異なるように決定してもよい。同一通信イベント中は同一の中継点を使用するほうが通信の絶対速度の観点からは好都合である。
【００３７】
このような観点から、本実施形態では、図３のステップＳ１４に示すように、経路キャッシュにＩＰ拡散装置１００から１０２に至る複数の経路が経路情報ＤＡとして保存されているときは（ステップＳ１４のＹｅｓ）、ステップＳ１６以降の動作を行わず、経路情報ＤＡを利用して各ＩＰパケットの中継点をそれぞれ設定する。
【００３８】
なお、経路情報ＤＡをどの程度の頻度で更新するかは、必要に応じて適宜設定してよい。頻度が高くなるほどセキュリティは向上するが、通信速度は低下する。データの重要度に応じて、更新の頻度を変更するようにしてもよい。
【００３９】
＜実施形態４＞……次に、本発明の実施形態４について説明する。現在のインターネットでは、ＩＰプロトコルのソースルーティング機能を利用したＩＰパケットは、多くのルータで転送されずに破棄される。これは、ＲＦＣ（Ｒｅｑｕｅｓｔ　ｆｏｒ　Ｃｏｍｍｅｎｔ［ｓ］）２００３（インターネットの技術文書で、ＩＰカプセル化を扱っている）に記述されているように、ソースルーティングオプションがＩＰパケットの不正な配送に利用されることが多いためである。
【００４０】
そこで、本実施形態では、ソースルーティングが利用できない環境においても、上述したＩＰ拡散通信の実施を可能とする。本実施形態では、ＩＣＭＰエコーを利用してＩＰパケット２０の配送処理が行われる。図９には、本実施形態におけるＩＰパケット送受信ソフトウエアＰＢによる処理手順が示されている。
【００４１】
本実施形態によれば、ＩＰ拡散装置１００は、ＩＰ拡散装置１０２を中継して社内ＬＡＮ４０のコンピュータに送信されるＩＰパケット群をＮ個のサブグループＰＧ［０］，ＰＧ［１］，……，ＰＧ［Ｎ−１］に分割する（ステップＳ７０）。分割された各サブグループＰＧ［ｉ］（ｉ＝０，１，……，Ｎ−１）に属するＩＰパケット２０は、次のようにして中継ルータＲ［ｉ］を経由して配送される。
【００４２】
まず、ＩＰ拡散装置１００は、前記ＩＰパケット２０をデータとし、送信元をＩＰ拡散装置１０２、送信先をＲ［ｉ］とするＩＣＭＰエコー要求メッセージを送信する（ステップＳ７２）。このＩＣＭＰエコー要求メッセージを受信した中継ルータＲ［ｉ］は、ＩＣＭＰプロトコルの機能により、受信したエコー要求メッセージのデータ部をそのままデータ部としてコピーするとともに、送信元をＲ［ｉ］、送信先をエコー要求の送信元として指定されたＩＰ拡散装置１０２を送信先としたＩＣＭＰエコー応答メッセージを送信する（ステップＳ７４）。
【００４３】
このＩＣＭＰエコー応答を受信したＩＰ拡散装置１０２は、データ部を取り出すことにより、社内ＬＡＮ１０内のコンピュータから社内ＬＡＮ４０内のコンピュータへ送信されたＩＰパケット２０を得る（ステップＳ７６）。ＩＰ拡散装置１０２は、得られたＩＰパケット２０を社内ＬＡＮ４０に送信する（ステップＳ７８）。
【００４４】
例えば、各部のＩＰアドレスが図１０（Ａ）に示すように割り当てられているものとする（前記図６（Ａ）と同じ）。データの送信に当たって、上述した実施形態と同様に、ＩＰパケット２０を送信する経路の中継点が動的中継点探索ソフトウエアＰＡによって図３及び図４の手順で探索する。次に、図１０（Ｂ）に示すように、送信元Ａ，送信先Ｐのパケットヘッダをデータに付加する。次に、ＩＰパケット送受信ソフトウエアＰＢによる図９の処理によって、図１０（Ｃ）のように、ＩＣＭＰエコー要求ヘッダを付加する。図示の例では、送信元が「Ｑ」，送信先が「Ｎ」となっている。すなわち、本来であれば、送信元は社内ＬＡＮ１０であるから、グローバルＩＰアドレス「Ｂ」となるはずであるが、本実施形態では、送信先である社内ＬＡＮ４０のグローバルＩＰアドレス「Ｑ」が送信元となっている。
【００４５】
このようにしてヘッダが付加されたＩＰパケット２０がＩＰ拡散装置１００からインターネット３０に送出されると、まず、ＩＣＭＰエコー要求ヘッダの送信先ＩＰアドレスである「Ｎ」が参照され、当該アドレスの中継点３２に転送される。すると、中継点３２では、同図（Ｄ）に示すように、ＩＣＭＰエコー応答ヘッダが付加される。すなわち、エコー応答ヘッダは、エコー要求ヘッダに対して送信元と送信先が逆になったもので、図示の例では、送信元が「Ｎ」，送信先が「Ｑ」となる。
【００４６】
このため、ＩＰパケット２０は、中継点３２から社内ＬＡＮ４０に送信され、社内ＬＡＮ４０のＩＰ拡散装置１０２に到着する。すると、ＩＣＭＰのエコー要求ヘッダ及びエコー応答ヘッダがいずれも削除され、パケットヘッダのアドレス「Ｐ」にＩＰパケット２０は転送される。アドレス「Ｐ」は社内ＬＡＮ４０のＰＣ４２であるから、当該ＰＣ４２にＩＰパケット２０は転送される。
【００４７】
このように、エコーバックの手法を利用することで、ソースルーティングの利用可否にかかわらず拡散通信が可能となり、セキュリティの向上を図ることができる。
【００４８】
＜他の形態＞……本発明には数多くの実施形態があり、以上の開示に基づいて多様に改変することが可能である。例えば、次のようなものも含まれる。
（１）前記実施形態は、本発明をＶＰＮに適用した例であるが、インターネットなど公衆ネットワーク一般に適用可能である。
（２）図２に示した装置構成も同様の作用を奏するように各種設計変更可能である。例えば、前記実施形態では、図２及び図８に示したように、一つのＩＰ拡散装置が複数のインターネット用のＩ／Ｆを備えている場合を示したが、インターネット用のＩ／Ｆを一つ備えたＩＰ拡散装置を複数設け、それぞれ異なるＮＳＰに接続するようにしてもよい。
（３）前記実施形態では、インターネット上の中継点（中継ルータ）を変更することで、パケットの配送経路を制御しているが、経路自体を変更設定するなど、他の経路制御手法の適用を妨げるものではない。例えば、予め、多数の経路もしくは中継点をテーブルとして用意し、このテーブルからランダムに経路もしくは中継点を選択するようにしてもよい。
【００４９】
【発明の効果】
以上説明したように、本発明によれば、次のような効果がある。
（１）データパケットの転送経路を意図的に設定するとともに、これを動的に変更することとしたので、公衆ネットワークを利用した通信におけるセキュリティが向上し、盗聴の可能性が効果的に低減される。
（２）データパケットが複数の経路を介して転送されるため、通信路の広帯域化を図ることができる。
【図面の簡単な説明】
【図１】本発明の実施形態の主要部を示す図である。
【図２】ＩＰ拡散装置の一構成例を示すブロック図である。
【図３】実施形態１における中継点探索の手順を示すフローチャートである。
【図４】実施形態１における中継点探索の手順を示すフローチャートである。
【図５】実施形態１におけるＩＰパケット送受信の手順を示すフローチャートである。
【図６】実施形態１の作用を示す図である。
【図７】本発明の実施形態２の主要動作を示すフローチャートである。
【図８】前記実施形態２の作用を示す図である。
【図９】本発明の実施形態４の主要動作を示すフローチャートである。
【図１０】前記実施形態４の作用を示す図である。
【図１１】従来のＩＰパケット送受信の様子を示す図である。
【符号の説明】
１０，４０…社内ＬＡＮ
１２，４２…ＰＣ
２０，２０ａ…ＩＰパケット
２２…中継点
２２ａ，２２ｂ…ＩＰパケット
３０…インターネット
３２…中継点
３４，３６，３８…経路
６０…盗聴者
１００，１０２…ＩＰ拡散装置
１０４…ＣＰＵ
１０６…ディスプレイ
１０８…ハードディスク
１１０…ＲＡＭ
１１２…ＲＯＭ
１１４〜１２０…Ｉ／Ｆ[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a data transfer method and apparatus for transferring data packets over a public network such as the Internet.
[0002]
[Background Art]
In recent years, intra-company networks (intranets) have become widespread, and head offices, sales offices, branch offices, factories, and the like scattered throughout the country or overseas have been interconnected by networks. In the corporate network, highly confidential information is exchanged, and there is a high demand for network security. When a remote LAN is connected by a WAN (Wide Area Network: wide area network) such as a LAN at a head office (Local Area Network) and a LAN at a branch office, a dedicated line, a frame relay, an ISDN, and the like are considered. However, in each case, a considerable communication cost is required.
[0003]
Therefore, a VPN (Virtual Private Network) using the Internet, which is a public network, has been put to practical use. The VPN has features of low cost, high security, and wide band, and is suitable for constructing a corporate network by interconnecting geographically dispersed in-house LANs. Basic functions that constitute a VPN include “tunneling or encapsulation” and “encryption”. Among these, the former tunneling technology is a technology in which a plurality of in-house LANs are virtually viewed as one corporate network by adding a new header to a data packet and encapsulating the packet. The user sees it as a private network, despite the fact that the Internet is present. Next, the latter encryption technology uses the above-described tunneling alone to make data contents visible to a third party, which may lead to data eavesdropping (sniffing) or tampering. This is a technology for encrypting and transmitting packets.
[0004]
[Problems to be solved by the invention]
By the way, in a VPN currently used, information encrypted by a router connected to a transmission source in-house LAN is converted into an encapsulated IP (Internet Protocol) packet by using a normal routing method on the Internet. Will be delivered. Then, the data is decrypted by a router connected to the destination company LAN.
[0005]
FIG. 11 shows this state. In the in-house LAN 900 of the transmission source, for example, data “HELLO” is encrypted into “IFMMP” by the router 902, and further, “I”, “F”, “M” , “M”, and “P”. These IP packets 912 are sent from the router 902 to the Internet 910. In the in-house LAN 920 of the transmission destination, the IP packet 912 is received via the router 922, and the IP packet 912 is decrypted by the router 922.
[0006]
In the above case, the routing table (route table) recorded in the router 902 is referred to, and the transfer destination of the IP packet 912 is sequentially determined according to the IP address of the destination company LAN 920 described in the IP packet header. That is, when the routing table is configured, the route 914 from the source company LAN 900 to the destination company LAN 920 is statically determined. That is, the route is mechanically determined based on the routing table. Due to the nature of the Internet 910, the IP packets 912 are not always delivered by the same route. However, in many cases, the IP packets 912 will be delivered using the same route 914. Accordingly, the eavesdropper 950 can detect this route 914, observe and eavesdrop on the detected route 914, obtain all of the group of IP packets 912, and decode it using a high-performance computer. It is.
[0007]
Various methods have been devised as encryption algorithms, but each method requires only the amount of computation required to acquire information without the need for an encryption key or decryption key. It is the basis. For this reason, there is a high possibility that the information will be decrypted due to the improvement in the computing power of the computer, and the information will be illegally obtained by the eavesdropper 950.
[0008]
The present invention focuses on the above points, and an object of the present invention is to improve security in communication using a public network. Another object is to provide a method for effectively reducing the possibility of eavesdropping on data transmission using a public network.
[0009]
[Means for Solving the Problems]
In order to achieve the above object, the present invention controls a route on a public network through which a packet of data passes when the packet is transferred through the public network, and a packet corresponding to a relay point set thereby is transmitted. The transmission processing is performed on the packet so that the packet passes. The above and other objects, features, and advantages of the present invention will be apparent from the following detailed description and the accompanying drawings.
[0010]
BEST MODE FOR CARRYING OUT THE INVENTION
<Summary> First, an overview will be described. In the present invention, attention has been paid to the point that the eavesdropper must not receive all IP packets in order to enable secure communication regardless of the performance of the eavesdropper's computer. That is, even if an IP packet group for delivering one ciphertext is intentionally delivered using a plurality of different routes, even if an IP packet group for delivering a certain route is eavesdropped, the entire ciphertext is If you don't get it, you won't be able to decipher it and your security will improve. Further, by introducing a method of dynamically determining a route to be used for delivery each time a communication request occurs, the success rate of wiretapping can be further reduced.
[0011]
First Embodiment First, a first embodiment, which is a basic mode of the present invention, will be described. FIG. 1 shows the overall configuration, and a source in-house LAN 10 is connected to the Internet 30 via an IP spreading device 100 which is a router having an IP spreading function. In addition, the Internet 30 is connected to a destination company LAN 40 via an IP diffusion device 102. In addition, although not shown, a provider intervenes as needed.
[0012]
In the in-house LAN 10 of the transmission source, for example, the data “HELLO” is encrypted to “IFMMP” by the IP diffusion device 100, and further the packets are transmitted to “I”, “F”, “M”, “M”, and “P”. Be converted to These IP packets 20 are sent from the IP diffusion device 100 to the Internet 30. In the in-house LAN 40 of the transmission destination, the IP packet 20 is received via the IP spreading device 102, and the IP packet 20 is decoded by the IP spreading device 102.
[0013]
In the above case, in this embodiment, a route for delivering the IP packet 20 is searched by the IP diffusion device 100, and a route is dynamically set. Therefore, the IP packet 20 is delivered using a plurality of different routes. In the illustrated example, the “P” and “M” packets are delivered via a route 34, the “M” and “F” packets are delivered via a route 36, and the “I” packet is delivered via a route 38.
[0014]
Therefore, even if the eavesdropper 60 detects the route 38 and obtains the IP packet by observing and eavesdropping on the route 38, only the IP packet of “I” can be obtained. For this reason, even if the decoding is attempted using a high-performance computer, the decoding is impossible.
[0015]
Next, the configuration of the above-described IP diffusion apparatuses 100 and 102 will be described. Since the two have the same configuration, the following description will be given on behalf of the IP diffusion device 100. FIG. 2 shows the configuration of the IP diffusion device 100, which includes a CPU 104, a display 106, a hard disk 108, a RAM 110, a ROM 112, and I / Fs 114 to 120. Among these, the CPU 104 controls the operation of the entire apparatus and executes a program stored in the ROM 112. The display 106 is for displaying an operation state and a result appropriately. The hard disk 108 is a memory for storing data and programs such as the routing table TA and the access log LA. The RAM 110 is a memory that is appropriately used when loading or executing a program.
[0016]
The I / F 114 is an interface for connecting to an in-house LAN. The I / Fs 116 to 120 are interfaces for connecting to the Internet. In this embodiment, only the I / F 116 is used, and the other I / Fs 118 and 120 will be described later.
[0017]
The ROM 112 stores dynamic relay point search software PA, IP packet transmission / reception software PB, VPN software PC, log analysis software PD, cooperative packet division / synthesis software PE, and route information cache software PF. I have. Each is a program executed by the CPU 104.
[0018]
Among them, the dynamic relay point search software PA is a program for intentionally or dynamically searching for a relay point on a route for transmitting the packet 20. FIGS. 3 and 4 show an example of a method of searching for a relay point as a flowchart. As shown in the figure, when the IP spreading apparatus 100 receives a group of IP packets having the source on the in-house LAN 10 and the destination on the in-house LAN 40, the IP spreading apparatus 100 refers to its own routing table TA. It is detected that the relay IP diffusion device of the IP packet is 102 (steps S10, S12). The next step S14 will be described later.
[0019]
The IP diffusion apparatus 100 transmits an IP packet for measuring the number of hops with the transmission source being the IP transmission apparatus 100 and the IP diffusion apparatus 102 being the transmission destination (step S16). Here, the initial value of the TTL (Time To Live) of the IP packet for measuring the number of hops is assumed to be Ti. Note that the hop number is the number of routers that have passed. The TTL is a value indicating the lifetime of an IP packet on the network, and is indicated by the number of hops when passing through a router. The TTL value is decremented by one each time the packet passes through the router. Upon receiving the IP packet for measuring the number of hops, the destination IP diffusion device 102 calculates the number of hops from the IP diffusion device 100 (step S18). This is given by T = Ti−To, where To is the value of TTL at the time of reception.
[0020]
Next, the IP diffusion device 102 transmits an IP packet for notifying the hop count measurement result with the IP transmission device 100 as a transmission source and the IP diffusion device 100 as a transmission destination (step S20). The calculated hop number T is included in the IP packet for notification of the measurement result. When receiving the IP packet for notifying the hop number measurement result, the transmission destination IP spreading apparatus 100 calculates a spreading degree D = F (T) based on the value of T (step S22).
[0021]
The spreading degree D indicates the degree to which a plurality of routes used for data distribution are spread. If the spreading factor D is large, the possibility that a plurality of routes pass through a common computer is low, so that the security is high. However, the number of hops of the obtained route is large. Conversely, if the spreading factor D is small, the number of hops of the obtained route is small, but the possibility that a plurality of routes pass through a common computer increases, and data is stolen by an eavesdropper monitoring the computer. The likelihood increases. In the present embodiment, it is assumed that the relationship D = F (T) between the hop count T of the route from the IP spreading device 100 to the IP spreading device 102 and the spreading degree D of the route is obtained in advance from experimentally measured data.
[0022]
Next, the IP diffusion device 100 randomly determines N IP addresses IP [0], IP [1],..., IP [N−1] (Step S24). Then, the IP diffusion apparatus 100 transmits itself as a transmission source, IP [i] (i = 0, 1,..., N−1) as a transmission destination, and further transmits an IP packet P [i] having a TTL of D. (Step S26). Then, when the IP packet P [i] reaches the IP [i] (Yes in step S28), the IP [i] sends the IP control message to itself and the IP diffusion apparatus 100 to the destination. (Step S30). When receiving the ICMP protocol unreachable message corresponding to P [i], the IP diffusion device 100 randomly determines IP [i] again (step S32). Next, the IP diffusion apparatus 100 sets itself as a transmission source, sets IP [i] as a transmission destination, and further transmits an IP packet P [i] with TTL set to D (step S34).
[0023]
When the operations of steps S30 to S32 are repeated and the IP packet P [i] has not reached IP [i] (No in step S28), the TTL value of P [i] becomes 0. The router that has transmitted transmits an ICMP timeout message with itself as the transmission source and the IP diffusion device 100 as the transmission destination (step S36). Then, the IP diffusion device 100 sets the transmission source R [i] of the ICMP timeout message corresponding to P [i] as one of the relay points (step S38). Thus, by receiving the ICMP timeout message corresponding to P [0], P [1],..., P [N-1], N relay points (relay routers) R [0], R [1],..., R [N-1] are determined (step S40).
[0024]
Next, the IP packet transmission / reception software PB delivers the corresponding packet to the route passing through the relay point searched by the above-described dynamic relay point search software PA, and receives the delivered packet. It is a program for. FIG. 5 is a flowchart showing the operation procedure. As shown in the figure, the IP spreading apparatus 100 relays the IP packet group transmitted to the computer of the in-house LAN 40 by relaying the IP spreading apparatus 102 to N subgroups PG [0], PG [1],. , PG [N-1] (step S50). Then, the IP packet belonging to PG [i] (i = 0, 1,..., N−1) is delivered via the relay router R [i] (step S52). This is achieved by using the IP packet as data, using the IP spreading device 100 as the transmission source, the IP spreading device 102 as the transmission destination, and using a loose source routing option specified in the IP protocol. This is realized by performing encapsulation for creating an IP packet CP [i] designated to be delivered via R [i].
[0025]
The IP diffusion device 102 that has received the IP packet CP [i] extracts the data portion of the IP packet, and thereby transmits the IP packet transmitted from any computer in the corporate LAN 10 to any computer in the corporate LAN 40. Obtain (step S54). The IP diffusion device 102 transmits the obtained IP packet to the in-house LAN 40 (Step S56).
[0026]
Next, the VPN software PC is a program for performing tunneling and encryption processing for connecting the in-house LAN 10 and the in-house LAN 40 by VPN. The log analysis software PD is a program for analyzing the communication status of the IP diffusion device 100 and storing the record as an access log LA on the hard disk 108. The cooperative packet division / synthesis software PE and the path information cache software PF will be described later as other embodiments.
[0027]
Next, the overall operation of the present embodiment will be described. In the following description, it is assumed that the IP addresses of the respective units are assigned as shown in FIG. That is, there is a PC (personal computer) 12 on the company LAN 10 side, and a private IP address A is assigned. A global IP address B is assigned to the in-house LAN 10. An IP address N is assigned to a relay point (relay router) 32 of the searched route. Furthermore, a private IP address P is assigned to the PC 42 on the in-house LAN 40 side, and a global IP address Q is assigned to the in-house LAN 40. The data is transmitted from the PC 12 to the PC 42.
[0028]
First, at the time of data transmission, a relay point on the path for transmitting the IP packet 20 is searched by the dynamic relay point search software PA in the procedure shown in FIGS. Specifically, a relay point from the source in-house LAN 10 to the destination in-house LAN 40 is randomly determined. Then, as shown in FIGS. 6 (B) to 6 (D), a header is added to the encrypted data to perform IP packetization. First, as shown in FIG. 6B, packet headers of the transmission source A and the transmission destination P are added. Next, as shown in FIG. 6C, the encapsulation headers of the transmission source B and the transmission destination Q are added by the VPN software PC. Next, the IP packet transmission / reception software PB adds a spread header having the above-mentioned relay point 32 as a destination as shown in FIG. 6D. At this time, as described above, the IP packets 20 are grouped, and a relay point is designated for each group.
[0029]
When the IP packet 20 to which the header has been added in this manner is transmitted from the IP diffusion apparatus 100 to the Internet 30, first, the destination IP address "N" of the spread header is referred to and transferred to the address. You. That is, the IP packet 20 is transferred to a router (not shown) corresponding to the relay point 32. Upon arriving at the relay point 32, the IP address of the relay point 32 ends its role and is deleted. Then, as shown in FIG. 6C, the IP packet 20 is transferred to the address “Q” of the encapsulation header. Since the address “Q” is the corporate LAN 40, the IP packet 0 arrives at the IP diffusion device 102 of the corporate LAN 40. Then, this time, the encapsulation header is deleted, and the IP packet 20 is transferred to the address “P” of the packet header. Since the address "P" is the PC 42 of the in-house LAN 40, the IP packet 20 is transferred to the PC 42.
[0030]
In this case, in the present embodiment, the relay point 32 is set to be intentionally different for each group of the IP packets 20. That is, the subgroups PG [i] (i = 0, 1,..., N−1) of the IP packets are transferred via the respective relay routers R [i]. Therefore, even if a third party eavesdrops on any of the paths, only a part of the packets can be obtained, and the decryption is successfully prevented, so that high security can be ensured. Further, since the IP packet group is spread and transferred to a plurality of paths, a wideband communication path is formed as a result.
[0031]
Second Embodiment Next, a second embodiment of the present invention will be described with reference to FIGS. In this embodiment, in addition to the first embodiment, processing by the cooperative packet division / synthesis software PE and a plurality of I / Fs 116 to 120 are used. Each I / F is connected to a different NSP (Network Service Provider).
[0032]
If there is a contract with a specific NSP, there is usually one firewall that serves as a connection point between the in-house LAN and the Internet. In this case, as described above, security can be ensured by setting a plurality of routes from the firewall to the transmission destination. However, in order to ensure higher security, it is desirable to provide a plurality of firewalls and deliver an IP packet group via a plurality of different NSPs. The present embodiment focuses on such a point.
[0033]
FIG. 7 shows an operation procedure of the present embodiment, in which the IP diffusion device 100 divides an IP packet and assigns it to one of the plurality of I / Fs 116 to 120 (step S60). Each IP packet is delivered from the assigned I / F (step S62). Then, similarly to the above-described first embodiment, the packet is delivered to the IP spreading apparatus 102 via a different relay point for each group, and is synthesized by the cooperative packet division and synthesis software PE of the IP spreading apparatus 102 (step S64). ).
[0034]
FIG. 8 shows the state corresponding to FIG. As shown in the figure, by providing a plurality of transmission source I / Fs, the transmission source provider differs depending on the packet group. For this reason, for example, even if the IP packets 22a and 22b pass through the same relay point 22, the routes are different, and the security is further improved.
[0035]
Third Embodiment Next, a third embodiment of the present invention will be described. In this embodiment, the path information cache software PF is used. The route information cache software PF performs a process of temporarily storing the information of the relay point obtained by the process shown in FIGS. 3 and 4 by the dynamic relay point search software PA as the route information DA on the hard disk 108. .
[0036]
According to the above-described first embodiment, a search for a relay point is performed each time data transmission processing is performed, and IP packets are delivered via different routes for each packet. In this case, even if the relay point is changed not at every time but at an appropriate interval, practically sufficient security can be ensured. For example, the route may be determined to be different each time a communication event occurs. During the same communication event, it is more convenient to use the same relay point from the viewpoint of the absolute speed of communication.
[0037]
From such a viewpoint, in the present embodiment, when a plurality of routes from the IP diffusion apparatuses 100 to 102 are stored as the route information DA in the route cache as shown in step S14 of FIG. Yes), the relay point of each IP packet is set using the route information DA without performing the operation after step S16.
[0038]
The frequency of updating the route information DA may be appropriately set as needed. The higher the frequency, the higher the security, but the lower the communication speed. The update frequency may be changed according to the importance of the data.
[0039]
<Embodiment 4> Next, Embodiment 4 of the present invention will be described. In the current Internet, IP packets using the source routing function of the IP protocol are discarded without being transferred by many routers. This is because the source routing option is used for unauthorized delivery of IP packets, as described in RFC (Request for Comment [s]) 2003 (an Internet technical document dealing with IP encapsulation). This is because there are many cases.
[0040]
Thus, in the present embodiment, the above-described IP spread communication can be performed even in an environment where source routing cannot be used. In the present embodiment, the delivery processing of the IP packet 20 is performed using the ICMP echo. FIG. 9 shows a processing procedure by the IP packet transmission / reception software PB in the present embodiment.
[0041]
According to the present embodiment, the IP diffusion apparatus 100 converts the IP packet group transmitted to the computer of the in-house LAN 40 through the IP diffusion apparatus 102 into N subgroups PG [0], PG [1],. , PG [N-1] (step S70). The IP packets 20 belonging to each of the divided subgroups PG [i] (i = 0, 1,..., N−1) are delivered via the relay router R [i] as follows.
[0042]
First, the IP diffusion apparatus 100 transmits an ICMP echo request message in which the IP packet 20 is data, the transmission source is the IP diffusion apparatus 102, and the transmission destination is R [i] (step S72). The relay router R [i] that has received the ICMP echo request message copies the data portion of the received echo request message as it is as the data portion by using the function of the ICMP protocol, and sets the transmission source to R [i] and the transmission destination to R [i]. An ICMP echo response message is transmitted with the IP diffusion device 102 specified as the transmission source of the echo request as the transmission destination (step S74).
[0043]
The IP diffusion device 102 that has received the ICMP echo response obtains the IP packet 20 transmitted from the computer in the company LAN 10 to the computer in the company LAN 40 by extracting the data part (step S76). The IP diffusion device 102 transmits the obtained IP packet 20 to the in-house LAN 40 (Step S78).
[0044]
For example, it is assumed that the IP addresses of the respective units are assigned as shown in FIG. 10A (the same as FIG. 6A). In transmitting data, as in the above-described embodiment, the relay point of the route for transmitting the IP packet 20 is searched by the dynamic relay point search software PA according to the procedures shown in FIGS. Next, as shown in FIG. 10B, packet headers of the transmission source A and the transmission destination P are added to the data. Next, an ICMP echo request header is added as shown in FIG. 10C by the processing of FIG. 9 by the IP packet transmission / reception software PB. In the illustrated example, the transmission source is “Q” and the transmission destination is “N”. That is, the transmission source should be the global IP address “B” because the transmission source is the corporate LAN 10, but in this embodiment, the global IP address “Q” of the destination corporate LAN 40 is the transmission source. It has become.
[0045]
When the IP packet 20 to which the header is added in this manner is transmitted from the IP diffusion apparatus 100 to the Internet 30, first, the destination IP address "N" of the ICMP echo request header is referred to, and the relay of the address is performed. Transferred to point 32. Then, at the relay point 32, an ICMP echo response header is added as shown in FIG. That is, in the echo response header, the transmission source and the transmission destination are reversed with respect to the echo request header. In the illustrated example, the transmission source is “N” and the transmission destination is “Q”.
[0046]
Therefore, the IP packet 20 is transmitted from the relay point 32 to the office LAN 40 and arrives at the IP diffusion device 102 of the office LAN 40. Then, both the echo request header and the echo response header of ICMP are deleted, and the IP packet 20 is transferred to the address “P” of the packet header. Since the address "P" is the PC 42 of the in-house LAN 40, the IP packet 20 is transferred to the PC 42.
[0047]
As described above, by using the echo back technique, spread communication becomes possible regardless of availability of source routing, and security can be improved.
[0048]
<Other Embodiments> The present invention has many embodiments and can be variously modified based on the above disclosure. For example, the following is also included.
(1) The above embodiment is an example in which the present invention is applied to a VPN, but is applicable to general public networks such as the Internet.
(2) The design of the apparatus shown in FIG. 2 can be variously changed so as to achieve the same operation. For example, in the above-described embodiment, as shown in FIGS. 2 and 8, one IP spreading device is provided with a plurality of Internet I / Fs. It is also possible to provide a plurality of provided IP spreading devices and connect them to different NSPs.
(3) In the above embodiment, the packet delivery route is controlled by changing the relay point (relay router) on the Internet. However, other route control methods such as changing and setting the route itself may be used. It does not hinder. For example, a large number of routes or relay points may be prepared in advance as a table, and a route or a relay point may be randomly selected from this table.
[0049]
【The invention's effect】
As described above, the present invention has the following effects.
(1) Since the transfer route of the data packet is intentionally set and dynamically changed, security in communication using the public network is improved, and the possibility of eavesdropping is effectively reduced. You.
(2) Since the data packet is transferred via a plurality of paths, the bandwidth of the communication path can be widened.
[Brief description of the drawings]
FIG. 1 is a diagram showing a main part of an embodiment of the present invention.
FIG. 2 is a block diagram illustrating a configuration example of an IP diffusion device.
FIG. 3 is a flowchart showing a procedure of a relay point search in the first embodiment.
FIG. 4 is a flowchart illustrating a procedure of a relay point search in the first embodiment.
FIG. 5 is a flowchart illustrating a procedure of transmitting and receiving an IP packet according to the first embodiment.
FIG. 6 is a diagram illustrating the operation of the first embodiment.
FIG. 7 is a flowchart illustrating main operations according to the second embodiment of the present invention.
FIG. 8 is a diagram showing the operation of the second embodiment.
FIG. 9 is a flowchart illustrating main operations according to the fourth embodiment of the present invention.
FIG. 10 is a view showing the operation of the fourth embodiment.
FIG. 11 is a diagram showing a state of transmission and reception of a conventional IP packet.
[Explanation of symbols]
10, 40… In-house LAN
12, 42… PC
20, 20a ... IP packet
22 ... relay point
22a, 22b ... IP packets
30 ... Internet
32 ... relay point
34, 36, 38 ... route
60 ... Eavesdropper
100, 102 ... IP diffusion device
104 ... CPU
106 ... Display
108 ... Hard disk
110 ... RAM
112 ... ROM
114-120 ... I / F

Claims

A data transfer method for transferring data packets through a public network,
Controlling a route on the public network through which the packet passes;
Performing a transmission process on the packet so that the packet passes through the route set by this;
A data transfer method comprising:

2. The data transfer method according to claim 1, wherein the route is controlled by dynamically changing a relay point on a public network.

3. The data transfer method according to claim 1, further comprising a step of performing a VPN encapsulation process on the packet.

4. The data transfer method according to claim 1, further comprising sending the packet to a public network via a plurality of providers.

A data transfer device for transferring a data packet through a public network,
Path control means for controlling a path on the public network through which the packet passes, packet transmitting means for performing transmission processing on the packet so that the packet passes through the path set thereby,
A data transfer device comprising:

6. The data transfer device according to claim 5, wherein the route control unit controls the route by dynamically changing a relay point on a public network.

7. The data transfer device according to claim 5, further comprising an encapsulation processing unit that performs a VPN encapsulation process on the packet.

The data transfer device according to any one of claims 5 to 7, further comprising data transmission means for transmitting the packet to a public network via a plurality of providers.