JP2004274666A - 暗号装置及びコンソール端末及び管理装置及びプログラム - Google Patents
暗号装置及びコンソール端末及び管理装置及びプログラム Download PDFInfo
- Publication number
- JP2004274666A JP2004274666A JP2003066226A JP2003066226A JP2004274666A JP 2004274666 A JP2004274666 A JP 2004274666A JP 2003066226 A JP2003066226 A JP 2003066226A JP 2003066226 A JP2003066226 A JP 2003066226A JP 2004274666 A JP2004274666 A JP 2004274666A
- Authority
- JP
- Japan
- Prior art keywords
- priority
- header
- plaintext
- network
- data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Abstract
【課題】広域ネットワーク導入に伴いセキュリティ確保するための負担を軽減するリピータ型暗号装置に係り、ＱｏＳ制御を正常に機能させ、リアルタイム性の高いデータの伝送品質を向上させることを課題とする。
【解決手段】リピータ型暗号装置は、ローカルネットワークからの平文データを暗号化し、オリジナルＩＰヘッダ３０３中のＩＰアドレスに対応する暗号装置を決定し、そのＩＰアドレスを設定したエンカプセルＩＰヘッダ３１５を設定する。その際、オリジナルＩＰヘッダ３０３あるいはＴＣＰ／ＵＤＰヘッダ３０２に含まれる情報についての優先度条件に基づいて、優先度を決定し、エンカプセルＩＰヘッダ３１５のＴＯＳフィールドに設定する。更に、新規のＭＡＣヘッダ３１６を設定する。
【選択図】 図３
【解決手段】リピータ型暗号装置は、ローカルネットワークからの平文データを暗号化し、オリジナルＩＰヘッダ３０３中のＩＰアドレスに対応する暗号装置を決定し、そのＩＰアドレスを設定したエンカプセルＩＰヘッダ３１５を設定する。その際、オリジナルＩＰヘッダ３０３あるいはＴＣＰ／ＵＤＰヘッダ３０２に含まれる情報についての優先度条件に基づいて、優先度を決定し、エンカプセルＩＰヘッダ３１５のＴＯＳフィールドに設定する。更に、新規のＭＡＣヘッダ３１６を設定する。
【選択図】 図３
Description
【０００１】
【発明の属する技術分野】
本発明は、広域ネットワーク導入に伴いセキュリティ確保するための負担を軽減するリピータ型暗号装置に係り、ＱｏＳ制御を正常に機能させ、リアルタイム性の高いデータの伝送品質を向上させる技術に関する。
【０００２】
【従来の技術】
ＴＣＰ／ＩＰをベースとするインターネットやイントラネットにおいて優先度の高い通信を確実に行うために、ＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）制御による最適化が図られている。ＱｏＳ制御について、図を用いて簡単に説明する。図１１は、ＱｏＳを適用する一般的なネットワーク構成例を示す図である。Ｒ１〜Ｒ７は、ルータ、Ｓ１〜Ｓ３は、端末である。特に、Ｒ４〜Ｒ６は、広域ネットワーク内のローカルネットワークへの接続拠点に設置されたルータであり、ＰＥ（Ｐｒｏｖｉｄｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）と呼ばれる。一方、Ｒ１〜Ｒ３は、ローカルネットワーク側から広域ネットワークへ接続する拠点に設置されたルータであり、ＣＥ（Ｃｕｓｔｏｍｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）と呼ばれる。
【０００３】
このような環境で、伝送速度を超えたトラフィックが生じると、輻輳によるパケットロスや遅延の障害が発生する。例えば、Ｓ１からＳ３へのデータ転送とＳ２からＳ３へのデータ転送が同時に発生した場合には、広域ネットワークからの出口となるＰＥ（この例では、Ｒ６）において輻輳が生じやすい。これは、広域ネットワーク内の伝送速度（例えば、Ｒ７からＲ６への伝送速度）に比べて、広域ネットワークとローカルネットワークの間の伝送速度（例えば、Ｒ６からＲ３への伝送速度）が遅いことに起因している。
【０００４】
特定のアプリケーションを用いる場合には、この障害は重大な品質問題となる。例えば、ＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ ＩＰ）による音声通話等によりリアルタイムパケットを転送する場合には、輻輳によるパケットロスや遅延の障害は、音声劣化や通話の中断などの事態を引き起こすことになる。
【０００５】
係る事態を回避するために、ＱｏＳ制御が用いられる。具体的には、優先度の高い特定のパケットに対して帯域を確保する帯域制御や、同じく優先度の高い特定のパケットを優先的に処理する優先制御などが行われている。
【０００６】
そのために、ＱｏＳ制御で優先度の高いパケットを識別するために、ＩＰヘッダ中に優先度を設定するようにしている。図１２は、フレームフォーマットの詳細を示す図である。これは、Ｅｔｈｅｒｎｅｔ（登録商標）上のＩＰフレームフォーマットを示している。ＩＰヘッダ中のＴＯＳ（Ｔｙｐｅ ｏｆ Ｓｅｒｖｉｃｅ）フィールド内に定義されているＰｒｅｃｅｄｅｎｃｅ ｂｉｔを用いて、優先度を特定している。図１３は、ＴＯＳのフォーマットの詳細を示す図である。具体的には、３ビットによる０〜７の値により、０が最も低く、７が最も高く、段階的に優先度を示すことになっている。
この例では、第４層プロトコルヘッダとしてＵＤＰヘッダを示しているが、当該部分がＴＣＰヘッダあるいはその他の第４層プロトコルヘッダとなることもある。
【０００７】
このように、ＩＰヘッダ中に優先度を設定して、広域ネットワークにパケットを送出することにより、出口側のＰＥでＱｏＳ制御され、安定した品質を確保することができるようになっている。通常ＴＯＳフィールドへの優先度の設定は、送出側のＣＥ（この例では、Ｒ１）あるいは受口側のＰＥ（この例では、Ｒ４）が行うようにシステム構成されている。具体的には、ＩＰアドレスやポート番号に基づいて、優先度を判定している。
尚、係る障害が品質上大きな影響を与えないアプリケーション（電子メールやＦＴＰなど、以下データ系という。）で利用するパケットは、優先度を高く設定することなく運用される。
【０００８】
一方、広域ネットワークとしてインターネットやＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ−Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）網を用いる場合のセキュリティ対策として、平文ネットワーク（ローカルネットワーク）と暗号文ネットワーク（広域ネットワーク）との間でデータの中継に対して、平文データを暗号化すると共に暗号データを復号する暗号装置が用いられる。従来この基本アーキテクチャとして、ルータ型の暗号装置または端末型の暗号装置が想定されていたが、新たに、リピータ型の暗号装置が導入されるようになっている。これにより、既存ネットワークに接続された機器へのＩＰ−ＶＰＮ導入時の再設定の不便を解消し、ＩＰ−ＶＰＮの導入作業を容易にし、更に導入コストを軽減することができる。
【０００９】
図１４は、従来のリピータ型暗号装置を用いるネットワーク構成例を示す図である。図中、ＲＥ１〜ＲＥ３がリピータ型暗号装置に相当する。このリピータ型暗号装置については、特許３２５９７２４号の「暗号装置、暗号化器および復号器」にその内容が開示されている。図１５は、従来のリピータ型暗号装置の構成を示す図である。
平文ネットワークからの平文データを暗号化して暗号文ネットワークに送出する場合には、暗号化／エンカプセル処理ブロック２６により、平文ネットワークから受信した平文データを暗号化し、更に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、平文データのＩＰヘッダ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ヘッダ）に設定されたアドレスに対応する暗号装置を決定し、決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行う。そして、暗号化／暗号側ＭＡＣアドレス解決ブロック２８により、暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ ヘッダ）を設定して生成した暗号データを平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する。
逆に、暗号文ネットワークからの暗号データを復号して平文ネットワークに送出する場合には、復号／デカプセル処理ブロック２７により、暗号文ネットワークから受信した暗号データを平文データに復号し、更に、平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するデカプセル処理を行う。そして、平文側ＭＡＣアドレス解決ブロック２９により、復号／デカプセル処理ブロック２７で設定されたＩＰヘッダに基づいてＭＡＣヘッダを設定して生成した平文データを暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信する。
【００１０】
これにより、以下に示すフレームフォーマットのデータが転送される。図１６は、従来のリピータ型暗号装置を用いる場合のフレームフォーマットの概要を示す図である。
図に示すように、平文データ（１６０１〜１６０４）に含まれていたＴＣＰ／ＵＤＰデータ１６０１、ＴＣＰ／ＵＤＰヘッダ１６０２、及びＩＰヘッダ１６０３の内容は、暗号化され（１６１１〜１６１３）、中継過程で盗み見できないようになっている。そして、本来のＩＰヘッダ１６０３やＭＡＣヘッダ１６０４とは異なるエンカプセルＩＰヘッダ１６１５、ＭＡＣヘッダ１６１６が新たに設定されている。尚、エンカプセルヘッダ１６１４には、セキュリティパラメータインデックスやパケットのシーケンス番号等の復号／デカプセル処理に必要なパラメータが格納されている。
【００１１】
従来のリピータ型暗号装置は、このように、転送するデータを暗号化し、エンカプセル処理することにより、セキュリティを確保する一方、前述のＱｏＳ制御による輻輳の対策を効じることができないという問題を有している。
前述のように、ＩＰヘッダのＴＯＳフィールドに優先度を設定することが前提となってＱｏＳ制御が行われているが、従来のリピータ型暗号装置は、既にＴＯＳ中で優先度を高く設定したパケットを入力した場合にも、優先度が設定されているＩＰヘッダ部分１６０３を暗号化により秘匿してしまうため（１６１３）、出口側のＰＥ（例えば、Ｒ６）で正常に優先度の判定することができない。また、未だＴＯＳ中の優先度を高く設定していないパケットを入力した場合にも、本来のＩＰヘッダ１６０３とＴＣＰ／ＵＤＰヘッダ１６０２を秘匿してしまうため（１６１２，１６１３）、優先度を設定するルータ（例えば、Ｒ１やＲ４）で、条件判定に用いるＩＰアドレスやポート番号等を参照することができない。
【００１２】
【特許文献１】
特許第３２５９７２４号公報
【特許文献２】
特開２０００−０９２１１９号公報
【００１３】
【発明が解決しようとする課題】
本発明は、上記した従来技術の欠点を除くためになされたものであって、その目的とするところは、セキュリティ確保における導入負担を軽減するリピータ型暗号装置に係り、ＱｏＳ制御を正常に機能させ、リアルタイム性の要求が高いデータの伝送品質を向上させることを課題とする。これにより、例えば、ＩＰ−ＶＰＮ網を利用したＶｏＩＰによる音声通話の通信が、容易かつ安全に、そして安定して利用できることになる。
【００１４】
【課題を解決するための手段】
本発明に係る暗号装置は、
平文ネットワークと暗号文ネットワークとの間でデータを中継する暗号装置であって、以下の要素を有することを特徴とする
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、上記決定した優先度を新規に設定されたＩＰヘッダに設定する暗号化／エンカプセル処理ブロック
（２）当該暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する暗号側ＭＡＣアドレス解決ブロック。
【００１５】
暗号装置は、更に、上記優先度条件と上記優先度を対応付けて記憶する優先条件テーブルを有し、
上記暗号化／エンカプセル処理ブロックは、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つが、優先条件テーブルの検索度条件に適合するか判定し、適合する場合に、当該優先度条件に対応する優先度を用いることを特徴とする。
【００１６】
更に、以下の要素を有することを特徴とする
（３）上記暗号文ネットワークから受信した暗号データを平文データに復号すると共に、当該平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するデカプセル処理を行い、更に、前記受信した暗号データのＩＰヘッダに設定された優先度を、前記再設定したＩＰヘッダに設定する復号／デカプセル処理ブロック
（４）当該復号／デカプセル処理ブロックで設定されたＩＰヘッダに基づいてＭＡＣヘッダを設定して生成した平文データを上記暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信する平文側ＭＡＣアドレス解決ブロック。
【００１７】
暗号化／エンカプセル処理ブロックは、上記優先度条件に基づいて決定した優先度を、前記決定した他の暗号装置への中継過程のＱｏＳ（クオリティオブサービス）制御装置における優先度の扱いに応じたＱｏＳ装置対応優先度に変換し、上記決定した優先度に代えて、上記変換したＱｏＳ制御装置対応優先度を新規に設定されたＩＰヘッダに設定することを特徴とする。
【００１８】
暗号装置は、更に、暗号装置と優先度の組合せに対応付けて、ＱｏＳ制御装置対応優先度を記憶する優先度変換テーブルを有し、
上記暗号化／エンカプセル処理ブロックは、前記決定した他の暗号装置と上記優先度条件に基づいて決定した優先度との組合せに対応するＱｏＳ制御装置対応優先度を優先度変換テーブルから取得し、取得したＱｏＳ制御装置対応優先度を、前記変換したＱｏＳ制御装置対応優先度として用いることを特徴とする。
【００１９】
本発明に係るコンソール端末は、
平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、上記決定した優先度を新規に設定されたＩＰヘッダに設定する暗号装置に接続されたコンソール端末であって、
上記優先度条件と上記優先度を対応付けて記憶する優先条件テーブルの入力を操作者に促し、入力された優先条件テーブルを暗号装置に送信し、更に、暗号装置から優先条件テーブルを受信した場合に、受信した優先条件テーブルの内容を表示することを特徴とする。
【００２０】
本発明に係るコンソール端末は、
平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、前記決定した他の暗号装置と上記優先度条件に基づいて決定した優先度との組合せに対応するＱｏＳ（クオリティオブサービス）制御装置対応優先度を優先度変換テーブルから取得し、取得したＱｏＳ制御装置対応優先度を新規に設定されたＩＰヘッダに設定する暗号装置に接続されたコンソール端末であって、
暗号装置と優先度の組合せに対応付けて、ＱｏＳ制御装置対応優先度を記憶する優先度変換テーブルの入力を操作者に促し、入力された優先度変換テーブルを暗号装置に送信し、更に、暗号装置から優先度変換テーブルを受信した場合に、受信した優先度変換テーブルの内容を表示することを特徴とする。
【００２１】
本発明に係る管理装置は、
平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、決定し優先度を新規に設定されたＩＰヘッダに設定する暗号装置にリモート接続可能な管理装置であって、
上記優先度条件と上記優先度を対応付けて記憶する優先条件テーブルの入力を操作者に促し、入力された優先条件テーブルを暗号装置に送信し、更に、暗号装置から優先条件テーブルを受信した場合に、受信した優先条件テーブルの内容を表示することを特徴とする。
【００２２】
本発明に係る管理装置は、
平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、前記決定した他の暗号装置と上記優先度条件に基づいて決定した優先度との組合せに対応するＱｏＳ（クオリティオブサービス）制御装置対応優先度を優先度変換テーブルから取得し、取得したＱｏＳ制御装置対応優先度を新規に設定されたＩＰヘッダに設定する暗号装置にリモート接続可能な管理装置であって、
暗号装置と優先度の組合せに対応付けて、ＱｏＳ制御装置対応優先度を記憶する優先度変換テーブルの入力を操作者に促し、入力された優先度変換テーブルを暗号装置に送信し、更に、暗号装置から優先度変換テーブルを受信した場合に、受信した優先度変換テーブルの内容を表示することを特徴とする。
【００２３】
本発明に係るプログラムは、
平文ネットワークと暗号文ネットワークとの間でデータを中継する暗号装置となるコンピュータに、以下の手順を実行させるためのプログラムであることを特徴とする
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、上記決定した優先度を新規に設定されたＩＰヘッダに設定する手順
（２）上記手順で設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する手順。
【００２４】
【発明の実施の形態】
実施の形態１．
以下本発明を図面に示す実施例に基づいて説明する。図１は、本発明に係るネットワークセキュリティシステムのネットワーク構成を示す図である。
Ｒ１〜Ｒ７は、ルータ、ＲＥ１〜ＲＥ３は、（リピータ型）暗号装置、Ｓ１〜Ｓ３は、端末、Ｃ１〜Ｃ３は、コンソール端末、Ｍ１は、管理端末である。特に、Ｒ４〜Ｒ６は、広域ネットワーク内のローカルネットワークへの接続拠点に設置されたルータであり、ＰＥ（Ｐｒｏｖｉｄｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）と呼ばれる。一方、Ｒ１〜Ｒ３は、ローカルネットワーク側から広域ネットワークへ接続する拠点に設置されたルータであり、ＣＥ（Ｃｕｓｔｏｍｅｒ ＥｄｇｅＲｏｕｔｅｒ）と呼ばれる。
ローカルネットワークは、平文データを転送する平文ネットワークであり、広域ネットワークは、暗号データを転送する暗号文ネットワークである。
【００２５】
図２は、実施の形態１における暗号装置の構成例を示す図である。１は、端末機能ブロック、２は、リピータ機能ブロック、２０は、平文ポート、２１は、暗号文ポート、２２は、自局ポート、２３は、暗号出力フィルタ、２４は、自局出力フィルタ、２５は、平文出力フィルタ、２６は、暗号化／エンカプセル処理ブロック、２７は、復号／デカプセル処理ブロック、２８は、暗号側ＭＡＣアドレス解決ブロック、２９は、平文側ＭＡＣアドレス解決ブロック、３３は、優先条件テーブルである。
【００２６】
端末機能ブロック１は、リピータ型暗号装置自身に送信された自局宛情報、具体的には、パケットとして送信された自局宛パケット（例えば、リピータ型暗号装置を管理するための管理パケット等）を処理する機能ブロックである。ネットワークに接続されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）接続機能を有する一般の端末と同等の機能を有する。
【００２７】
リピータ機能ブロック２は、通常のリピータと同様に、ネットワークに接続されている各機器のネットワークパラメータを変更せずに、データを暗号化および復号する機能（以下、リピータ機能）を有する。
【００２８】
平文ポート２０は、平文ネットワーク側に設けられた内部の論理的なポートである。平文ネットワークから暗号文ネットワークへデータを送出する場合には、平文ネットワークから受信した平文データ（具体的には、パケットとして送信された平文パケット）を、暗号文ポート２１と自局ポート２２に転送するように構成されている。
また、暗号文ネットワークから平文ネットワークへデータを受入れる場合や端末機能ブロック１から平文ネットワークへデータを送出する場合には、暗号文ポート２１又は自局ポート２２から転送されたデータ（具体的にはパケット）を平文出力フィルタ２５に出力するように構成されている。
【００２９】
暗号文ポート２１は、暗号文ネットワーク側に設けられた内部の論理的なポートである。暗号文ネットワークから平文ネットワークへデータを受入れる場合には、暗号文ネットワークから受信した暗号データ（具体的にはパケットとして送信された暗号パケット）を、平文ポート２０及び自局ポート２２に転送するように構成されている。
また、平文ネットワークから暗号文ネットワークへデータを送出する場合や端末機能ブロック１から暗号文ネットワークへデータを送出する場合には、平文ポート２０または自局ポート２２から転送されたデータ（具体的にはパケット）を、暗号出力フィルタ２３に出力するように構成されている。
【００３０】
自局ポート２２は、端末機能ブロック１側に設けられた内部の論理的なポートである。自局からデータを送出する場合には、端末機能ブロック１から出力された自局出力情報（具体的にはパケット）を、平文ポート２０及び暗号文ポート２１に転送するように構成されている。また、自局でデータを受入れる場合には、平文ポート２０又は暗号文ポート２１から転送されたパケットを、自局出力フィルタ２４に出力するように構成されている。
【００３１】
暗号出力フィルタ２３は、平文ネットワークから暗号文ネットワークへデータを送出する場合に、暗号文ポート２１へ転送されたパケットに対してフィルタ処理するように構成されている。廃棄パケット（転送する必要のないパケット）、透過中継パケット（何も処理せずに暗号文ネットワークに透過的に中継するパケット）、あるいは暗号パケット（暗号化およびエンカプセル処理を必要とするパケット）のいずれかであるかを識別し、廃棄パケットである場合は、当該パケットを廃棄し、透過中継パケットである場合は、当該パケットをそのまま暗号文ネットワークに送信し、暗号パケットの場合は、当該パケットを暗号化／エンカプセル処理ブロック２６に出力するように構成されている。
暗号出力フィルタ２３は、また、端末機能ブロック１からの自局出力情報を入力した場合には、当該自局出力情報が、暗号文ネットワークへの暗号情報、廃棄情報、あるいは暗号文ネットワークへの透過中継情報のいずれかであるかを識別し、上記暗号情報の場合には、自局出力情報を暗号化／エンカプセル処理ブロック２６に出力し、上記廃棄情報の場合には、自局出力情報を廃棄し、上記透過中継情報の場合には、そのまま自局出力情報を暗号文ネットワークに送信するように構成されている。
【００３２】
自局出力フィルタ２４は、自局ポート２２へ転送されたパケットに対してフィルタ処理するように構成されている。転送されたパケットが、自局宛パケット（端末機能ブロック１へ通知する必要があるパケット）、あるいは廃棄パケット（端末機能ブロックへ通知する必要がないパケット）かを識別し、自局宛パケットの場合は当該パケットを端末機能ブロック１へ送信し、廃棄パケットの場合は、廃棄するように構成されている。
【００３３】
平文出力フィルタ２５は、平文ポート２０へ転送されたパケットに対してフィルタ処理するように構成されている。廃棄パケット（平文ポート２０から送信する必要のないパケット）、透過中継パケット（何も処理せずに平文ネットワークに透過的に中継するパケット）、平文パケット（復号化およびデカプセル処理を必要とするパケット）のいずれかであるかを識別し、廃棄パケットである場合は、当該パケットを廃棄し、透過中継パケットである場合は、平文ネットワークにそのまま送信し、平文パケットである場合は、平文側ＭＡＣアドレス解決ブロック２９に出力するように構成されている。
平文出力フィルタ２５は、また、端末機能ブロック１から自局出力情報を入力した場合に、当該自局出力情報が、平文ネットワークへの透過中継情報、あるいは廃棄情報であるかを識別し、平文ネットワークへの透過中継情報である場合に、そのまま自局出力情報を平文ネットワークに送信し、廃棄情報である場合に、自局出力情報を廃棄するように構成されている。
【００３４】
暗号化／エンカプセル処理ブロック２６は、平文ネットワークから受信した平文データ（具体的には平文パケット）を暗号化し、更に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、平文データの（オリジナル）ＩＰヘッダ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌヘッダ）に設定されたアドレスに対応する暗号装置を決定し、決定した他の暗号装置に基づいて新規にエンカプセルＩＰヘッダを設定するエンカプセル処理を行うように構成されている。
本発明では、更に、平文データである受信フレームが優先条件テーブルの優先度条件に適合するか判断し、適合する場合に優先条件テーブル上で当該優先度条件に対応付けられている優先度を、エンカプセルＩＰヘッダ中のＴＯＳフィールドに設定する暗号化／エンカプセル処理側優先度設定処理を行うように構成されている。
【００３５】
復号／デカプセル処理ブロック２７は、暗号文ネットワークから受信した暗号データ（具体的には暗号パケット）を平文データに復号し、更に、平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するように構成されている。更に、暗号パケットに対して復号およびデカプセル処理が必要か否かを判断し、必要であれば復号およびデカプセル処理を行い、必要でなければそのままに転送するように構成され、また、復号およびデカプセル処理時にエラーが発生した場合、または復号およびデカプセル処理が不必要で、かつ透過中継する必要のない場合には、そのパケットを廃棄するように構成されている。
本発明では、更に、暗号データである受信フレームのエンカプセルＩＰヘッダのＴＯＳフィールドの優先度を、復号／デカプセル処理後のフレームの（オリジナル）ＩＰヘッダのＴＯＳフィールドへ設定する復号／デカプセル処理側優先度設定処理を行うように構成されている。
【００３６】
暗号側ＭＡＣアドレス解決ブロック２８は、暗号化／エンカプセル処理ブロック２６で設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌヘッダ）を設定して生成した暗号データを平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信するように構成されている。
【００３７】
平文側ＭＡＣアドレス解決ブロック２９は、復号／デカプセル処理ブロック２７で再設定されたＩＰヘッダに基づいて、ＭＡＣヘッダを設定して生成した平文データを暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信するように構成されている。
【００３８】
尚、上記暗号化／エンカプセル処理ブロック２６と、上記暗号側ＭＡＣアドレス解決ブロック２８とにより、暗号化／エンカプセル処理部を構成し、復号／デカプセル処理ブロック２７と、上記平文側ＭＡＣアドレス解決ブロック２９とにより、復号／デカプセル処理部を構成する。
【００３９】
ここで、転送されるデータ（具体的にはパケット）のフレームフォーマットについて説明する。図３は、フレームフォーマットの概要を示す図である。
上段は、平文ネットワークから受信する平文データ（暗号化／エンカプセル処理前のデータ）、あるいは平文ネットワークへ送信する平文データ（復号／デプカセル処理後のデータ）のフレームフォーマットを示している。図に示すように、このデータは、先頭から順にＭＡＣヘッダ３０４、ＩＰヘッダ３０３、ＴＣＰあるいはＵＤＰのヘッダを意味するＴＣＰ／ＵＤＰヘッダ３０２、ＴＣＰあるいはＵＤＰのデータを意味するＴＣＰ／ＵＤＰデータ３０１により構成されている。尚、３０１〜３０３は、ＭＡＣデータを構成し、３０１と３０２は、ＩＰデータを構成している。
一方、下段は、暗号文ネットワークへ出力する暗号文データ（暗号化／エンカプセル処理後のデータ）、あるいは暗号文ネットワークから入力する暗号文データ（復号／デプカセル処理前のデータ）のフレームフォーマットを示している。図に示すように、このデータは、先頭から順にＭＡＣヘッダ３１６、エンカプセルＩＰヘッダ（エンカプセルにより生成したＩＰヘッダ）３１５、エンカプセルヘッダ３１４、ＩＰヘッダ３１３とＴＣＰあるいはＵＤＰのヘッダを意味するＴＣＰ／ＵＤＰヘッダ３１２とＴＣＰあるいはＵＤＰのデータを意味するＴＣＰ／ＵＤＰデータ３１１に対し暗号化した暗号データにより構成されている。
平文データ（３０１〜３０４）に含まれていたＴＣＰ／ＵＤＰデータ３０１、ＴＣＰ／ＵＤＰヘッダ３０２、及びＩＰヘッダ３０３の内容は、暗号化され（３１１〜３１３）、中継過程で把握できないようになっている。そして、本来の（オリジナル）ＩＰヘッダ３０３やＭＡＣヘッダ３０４とは異なるエンカプセルＩＰヘッダ３１５、ＭＡＣヘッダ３１６が新たに設定されている。尚、エンカプセルヘッダ３１４には、セキュリティパラメータインデックスやパケットのシーケンス番号等のパラメータが格納されている。尚、３１１〜３１５は、ＭＡＣデータを構成し、３１１〜３１４は、ＩＰデータを構成している。
上記ＴＣＰ／ＵＤＰヘッダ３０２と上記ＴＣＰ／ＵＤＰヘッダ３１２はＴＣＰヘッダあるいはＵＤＰヘッダ以外の第４層プロトコルヘッダでも良いし、上記ＴＣＰ／ＵＤＰデータ３０１とＴＣＰ／ＵＤＰデータ３１１はＴＣＰデータあるいはＵＤＰデータ以外の第４層プロトコルデータでも良い。
特に、本発明では、エンカプセルＩＰヘッダ３１５に含まれるＴＯＳフィールドに優先度を設定する点に特徴がある。
【００４０】
優先条件テーブル３３は、ＩＰヘッダあるいはＴＣＰヘッダ（ＴＣＰヘッダに代えて、ＵＤＰヘッダあるいはその他の第４層プロトコルヘッダの場合もある）あるいはＴＣＰデータ（ＴＣＰデータに代えて、ＵＤＰデータあるいはその他の第４層プロトコルデータ）内の情報に対応付けて、予め優先度を対応付けて記憶しておくように構成されている。暗号化／エンカプセル処理ブロック２６は、この優先条件テーブル３３の優先条件と優先度の対応付けに従って、エンカプセルＩＰヘッダ３１５に含まれるＴＯＳフィールドに優先度を設定する。
【００４１】
図４は、優先条件テーブル３３の構成例を示す図である。４０１〜４０８が、優先度条件であり、４０９がその優先度条件に対応する優先度である。
そして、優先度条件は、第３層プロトコルヘッダ（ＩＰヘッダ）内の情報についての条件４０１〜４０３、第４層プロトコルヘッダ（ＴＣＰヘッダあるいはＵＤＰヘッダ）内の情報についての条件４０４〜４０７、その他の条件４０８から構成されている。
【００４２】
４０１は、第３層プロトコルヘッダ内のプロトコル番号の条件である。つまり、ＩＰヘッダのＰｒｏｔｏｃｏｌフィールドの値の条件である。例えば、ＴＣＰを条件とする場合は６、ＵＤＰを条件とする場合は１７となるように、第４層のプロトコルを条件とする。
【００４３】
４０２は、送信元ＩＰアドレス又は送信元のネットワークアドレスの条件である。例えば、ＩＰアドレス１０．１６．３．２の１つの端末を送信元とする条件の場合には、アドレスは１０．１６．３．２の１６進数＝０ｘ０ａ１００３０２となり、マスク長は３２ビットとなる。また、別の例として、ＩＰアドレス１０．１６．３．０から１０．１６．３．２５５までの２５６個のＩＰアドレス全体を表わす８ビット分のＩＰアドレス空間（ＩＰサブネット）を送信元とする条件の場合には、アドレスは１０．１６．３．０の１６進数＝０ｘ０ａ１００３００となり、マスク長は２４ビットとなる。
【００４４】
４０３は、宛先アドレス又は宛先のネットワークアドレスの条件である。例えば、ＩＰアドレス１０．１６．３．２の１つの端末を宛先とする条件の場合には、アドレスは１０．１６．３．２の１６進数＝０ｘ０ａ１００３０２となり、マスク長は３２ビットとなる。また、別の例として、ＩＰアドレス１０．１６．３．０から１０．１６．３．２５５までの２５６個のＩＰアドレス全体を表わす８ビット分のＩＰアドレス空間（ＩＰサブネット）を宛先とする条件の場合には、アドレスは１０．１６．３．０の１６進数＝０ｘ０ａ１００３００となり、マスク長は２４ビットとなる。
【００４５】
４０４は、送信元ポート番号の上限の条件である。つまり、Ｓｏｕｒｃｅ Ｐｏｒｔの値の上限条件である。４０５は、送信元ポート番号の下限の条件である。つまり、Ｓｏｕｒｃｅ Ｐｏｒｔの値の下限条件である。送信元ポート番号上限４０４と送信元ポート番号下限４０５を組み合わせることにより送信元ポート番号の範囲を条件として指定することになる。送信元ポート番号上限４０４と送信元ポート番号下限４０５が一致する場合は、１つの送信元ポート番号のみを条件として指定することになる。この例によらず、１つの送信元ポート番号のみを直接条件として指定するフォーマットでも構わない。また、複数の送信元ポート番号を直接列挙して条件として指定するフォーマットでも構わない。これにより、不連続のポート番号の候補を複数指定することができる。
【００４６】
４０６は、宛先ポート番号の上限の条件である。つまり、Ｄｉｓｔｉｎａｔｉｏｎ Ｐｏｒｔの値の上限条件である。４０７は、宛先ポート番号の下限の条件である。つまり、Ｄｉｓｔｉｎａｔｉｏｎ Ｐｏｒｔの値の下限条件である。宛先ポート番号上限４０６と宛先ポート番号下限４０７を組み合わせることにより宛先ポート番号の範囲を条件として指定することになる。宛先ポート番号上限４０６と宛先ポート番号下限４０７が一致する場合は、１つの宛先ポート番号のみを条件として指定することになる。前述同様に、１つの宛先ポート番号のみを直接条件として指定するフォーマットでも構わない。また、不連続のポート番号の候補を複数指定できるように、複数の宛先ポート番号を直接列挙して条件として指定するフォーマットとしてもよい。
【００４７】
４０８は、第４層プロトコルデータのデータについて指定する条件である。この条件は、必要により任意的に指定され、必ずしも指定する必要はない。例えば、ＵＤＰデータの３バイト目から”ｏｐｅｎ”という文字列書かれたフレームを指定する場合には、データ位置（ＵＤＰデータの先頭からのオフセット）の条件として、２バイトを指定し、データ長さの条件として、４バイトを指定し、データとして、（”ｏｐｅｎ”のａｓｃｉｉコード）０ｘ６ｆ７０６５６ｅを指定する。
【００４８】
４０９は、０〜７までの値で優先度を示す。７が最も優先度が高く、０は通常を示す。そして、その間は、段階的に順次中間的なレベルを示す。
【００４９】
前述のように優先度条件は、ＩＰヘッダのプロトコル番号、送信元アドレス、宛先アドレスと第４プロトコルヘッダの送信元ポート番号、宛先ポート番号並びに第４層プロトコルデータの値が考えられる。
優先度条件は、一つ条件のみでも、二つ以上の条件の組合せでも構わない。特に、送信元ＩＰアドレスの条件、送信元ＩＰネットワークアドレスの条件、宛先ＩＰアドレスの条件、宛先ＩＰネットワークアドレスの条件、送信元ポート番号の条件、宛先ポート番号の条件は、単独の条件として有効である。
また、複数の条件の組合せについては、上述の条件のすべての組合せが可能であるが、特に、以下の組合せが有効である。
（１）送信元ＩＰアドレスに関する条件と、宛先ＩＰアドレスに関する条件の組合せ
これは、装置あるいはネットワーク同士の関係を限定できるからである。
（２）送信元ポート番号の条件と、宛先ポート番号の条件の組合せ
これは、送信側と宛先のアプリケーションの機能を限定できるからである。
（３）送信元ＩＰアドレスに関する条件と、送信元ポート番号の条件の組合せ
これは、送信元の装置あるいはネットワークと、そのアプリケーションの機能を限定できるからである。
（４）宛先ＩＰアドレスに関する条件と、宛先ポート番号の条件の組合せ
これは、宛先の装置あるいはネットワークと、そのアプリケーションの機能を限定できるからである。
【００５０】
続いて、動作について説明する。
まず、リピータ型暗号装置が平文ネットワークからパケットを受信した場合の処理動作について説明する。ここでは、特に、暗号化した上で暗号文ネットワークに出力する形態の処理について説明する。
平文ネットワークからパケットを受信すると、パケットは平文ポート２０から暗号文ポート２１へ転送される。そして、暗号出力フィルタ２３で暗号化処理が必要であると判断されると、当該パケットは、暗号化／エンカプセル処理ブロック２６に送られる。そして、当該ブロックで、暗号化およびエンカプセル処理する。つまり、パケットのうち、ＭＡＣデータ部分（（オリジナル）ＩＰヘッダ３０３、ＴＣＰ／ＵＤＰヘッダ３０２、ＴＣＰ／ＵＤＰデータ３０１）を暗号化し、新規にエンカプセルヘッダ３１４とエンカプセルＩＰヘッダ３１５を付加する。
【００５１】
暗号化／エンカプセル処理ブロック２６は、ＩＰアドレスと、そのＩＰアドレスが設定されたパケットを暗号化または復号する暗号装置（ＩＰアドレス）との対応関係を示す対応テーブルを内部に保持している。そして、当該対応テーブルを用いて、上記オリジナルデータに含まれるＩＰヘッダのＩＰアドレス（ＩＰ ＤＡ（Ｄｉｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）およびＩＰ ＳＡ（Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ））に設定されている端末のＩＰアドレスに、それぞれ対応する暗号装置（ＩＰアドレス）をエンカプセルＩＰヘッダ３１５の宛先ＩＰアドレスとし、自局のＩＰアドレスをエンカプセルＩＰヘッダ３１５の送信元ＩＰアドレスとして設定する。
【００５２】
暗号化／エンカプセル処理ブロック２６は、更に、ＴＯＳフィールドに優先度を設定する。図５は、実施の形態１における暗号化／エンカプセル処理部による優先度設定処理フローを示す図である。
平文データである受信フレームが、優先条件テーブル３３中の各優先度条件に適合するか判断するために、優先度条件を構成するそれぞれの条件に相当する受信フレーム内の情報と、当該それぞれの条件を比較する。優先度条件として設定されている条件をすべて満足する場合に、当該優先度条件に適合すると判断する（Ｓ５０１）。
いずれかの優先度条件に適合する場合には、当該優先度条件に対応する優先度を優先条件テーブル３３から取得し（Ｓ５０４）、エンカプセルＩＰヘッダのＴＯＳフィールドに設定する（Ｓ５０５）。
いずれの優先度条件にも適合しない場合には、オリジナルＩＰヘッダ内のＴＯＳフィールドから優先度を得て（Ｓ５０３）、エンカプセルＩＰヘッダのＴＯＳフィールドに設定する（Ｓ５０５）。
【００５３】
上述の暗号化およびエンカプセル処理後、暗号側ＭＡＣアドレス解決ブロック２８へ送られ、ＭＡＣアドレスが設定される。
前述のように、ＩＰヘッダのＩＰアドレスについては、リピータ型暗号装置の接続形態に依らず一義に決定できるが、ＭＡＣヘッダのＭＡＣアドレスについては、リピータ型暗号装置の接続形態などによって、適切なＭＡＣアドレスを設定する処理がある。
【００５４】
暗号側ＭＡＣアドレス解決ブロック２８が、エンカプセルＩＰヘッダのＩＰアドレスに基づいて、ＭＡＣヘッダのＭＡＣアドレスを設定する。ＩＰ ＳＡにより特定される装置のＭＡＣアドレスをＭＡＣ ＳＡに設定する。また、ＩＰ ＤＡに基づいて、ＩＰ ＤＡにより特定される装置のＭＡＣアドレスをＭＡＣ ＤＡに設定する。また、接続の形態によっては、ＩＰ ＤＡにより特定される装置と同一サブネットに属する暗号側ゲートウェイＣＧＷのＭＡＣアドレスをＭＡＣＤＡに設定する。このとき、ＡＲＰ（Ａｄｄｒｅｓｓ ＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ）によりＭＡＣアドレスを取得することが有効である。尚、ＡＲＰは、ＴＣＰ／ＩＰ通信時にＩＰアドレスからＥｔｈｅｒｎｅｔ（登録商標）（Ｒ）アドレスを求めるためのプロトコルであり、これによりＭＡＣアドレスを知ることができる。
【００５５】
このようにして、暗号パケットを生成し、その暗号パケットを暗号文ネットワークへ送信する。
【００５６】
一方、リピータ型暗号装置が暗号文ネットワークからパケットを受信した場合の処理動作について説明する。ここでは、特に、暗号化されたパケットを受信し、復号した上で平文ネットワークに出力する形態の処理について説明する。
暗号文ネットワークからパケットを受信すると、パケットは復号／デカプセル処理ブロック２７へ転送される。そして、復号／デカプセル処理ブロック２７で復号およびデカプセル処理が必要であると判断されると、当該パケットは、復号／デカプセル処理される。つまり、暗号側で新規に付加されたエンカプセルＩＰヘッダ３１５およびＭＡＣヘッダ３１６を外し、暗号化されている部分を復号し、平文にする。そして、（オリジナル）ＩＰヘッダのＴＯＳフィールドに優先度を設定する。
【００５７】
図６は、実施の形態１における復号／デカプセル処理部による優先度設定処理フローを示す図である。
前述の復号／エンカプセル処理（Ｓ６０２）に先立って、暗号データである受信フレームのエンカプセルＩＰヘッダのＴＯＳフィールドから優先度を取得し（Ｓ６０１）、復号／エンカプセル処理（Ｓ６０２）の後に、復号された平文データ中のオリジナルＩＰヘッダのＴＯＳフィールドに、Ｓ６０１で取得した優先度を書き込む（Ｓ６０３）。
【００５８】
上述の復号およびデカプセル処理後、暗号文ポート２１から平文ポート２０へ転送されたパケットは、平文出力フィルタ２５から平文側ＭＡＣアドレス解決ブロック２９に転送される。
平文側ＭＡＣアドレス解決ブロック２９は、ＭＡＣヘッダのＭＡＣアドレスを設定する。当該リピータ型暗号装置自身のＭＡＣアドレスをＭＡＣ ＳＡに設定する。また、ＩＰ ＤＡに基づいて、ＭＡＣ ＤＡに設定する。ＩＰ ＤＡが当該リピータ型暗号装置と同一のＩＰセグメント（同一サブネット）に存在する場合には、ＩＰ ＤＡにより特定される装置のＭＡＣアドレスをＭＡＣ ＤＡに設定する。他方、同一のＩＰセグメントに存在しない場合には、平文側ゲートウェイＰＧＷのＭＡＣアドレスをＭＡＣ ＤＡに設定する。このとき、ＡＲＰによりＭＡＣアドレスを取得することが有効である。尚、受信したパケットに設定されていたＭＡＣ ＳＡを、新たなＭＡＣ ＳＡとして設定しても良い。
【００５９】
このようにして、平文パケットを生成し、その平文パケットを平文ネットワークへ送信する。
【００６０】
図６に示した復号／デカプセル処理部による復号／デカプセル処理側優先度設定処理は、例えば受信側の端末のアプリケーション等でＴＯＳフィールドの優先度に応じた処理を行う場合に有効である。
【００６１】
実施の形態２．
本実施の形態では、出口側となるＰＥ（Ｐｒｏｖｉｄｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）におけるＴＯＳフィールドの優先度の取り扱いについてのＰＥの設定内容の仕様の相違に対応する形態について説明する。出口側となるＰＥは、ＱｏＳ制御装置の例である。
【００６２】
前述のように、ＩＰヘッダの仕様としては、ＴＯＳフィールドの優先度として、０〜７の８段階のレベルを設定できるようになっている。しかし、実際にＱｏＳ制御を行うＰＥでは、３段階程度のレベル（例えば、「最優先」、「優先」、「非優先」）による制御を行っている。また、この運用上用いる３段階程度のレベルに割当てるＴＯＳフィールドのデータ上の８段階のレベルの割当てを、各広域ネットワーク提供業者が独自に設定している。例えば、広域ネットワーク提供業者Ａ社のルータであるＰＥは、０〜１を「非優先」、２〜３を「優先」、４〜７を「最優先」としてＱｏＳ制御し、広域ネットワーク提供業者Ｂ社のルータであるＰＥは、０を「非優先」、１を「優先」、２〜７を「最優先」としてＱｏＳ制御し、広域ネットワーク提供業者Ｃ社のルータであるＰＥは、０〜５を「非優先」、６を「優先」、７を「最優先」としてＱｏＳ制御する状態が想定される。このような状態では、優先度として同じ値が設定されているデータであっても、ＰＥの仕様によってＱｏＳ制御での取り扱いが異なってくる。つまり、特定のＰＥを介する場合にのみ、音声通話の品質が劣ったり、あるいは伝送品質を問わないはずのデータ系の処理によりトラフィックが悪化する事態が生じうる。
【００６３】
そこで、本実施の形態では、暗号装置で、予め各ＰＥを想定して、運用上用いるレベル（３段階程度）に割当てるデータ上のレベル（８段階）の割当てを考慮した変換用の優先度変換テーブルを記憶し、優先条件テーブルに基づいて設定した当初の優先度を、各ＰＥの仕様に適合した運用上レベルを想定したＰＥ対応優先度（ＱｏＳ制御装置対応優先度の例）に変換した上で、ＴＯＳフィールドの優先度を設定する。
【００６４】
図７は、実施の形態２における暗号装置の構成を示す図である。実施の形態１に対して、優先度変換テーブル３４が追加されている。
【００６５】
図８は、優先度変換テーブル３４の構成例を示す図である。本テーブルは、暗号装置毎に、図５のＳ５０１からＳ５０４の処理で得られる優先条件テーブル３３に基づく当初の優先度を、運用上レベルを想定したＰＥ対応優先度（ＱｏＳ制御装置対応優先度の例）に対応付けるように構成されている。
具体的には、検索のキーとなる暗号装置アドレスに対して、優先条件テーブル３３に基づく当初の優先度毎のＰＥ対応優先度８００〜８０７を記憶するように構成されている。図８の例では、当初決定した優先度が０の場合に、運用で「非優先」として扱うこと、当初の優先度が１〜４の場合に、運用で「優先」として扱うこと、当初の優先度が５〜７の場合に「最優先」として扱うことを前提としている。そして、暗号装置への転送を担うＰＥの仕様に応じて、これらの３段階の運用上のレベルに割当てられている値をＰＥ対応優先度としている。例えば、８５１の場合には、「非優先」に相当する当初の優先度（８００）には、当該暗号装置が広域ネットワークに接続する為のＰＥの仕様（前述の広域ネットワーク提供業者Ａ社の仕様）で「非優先」に割当てられている優先度０〜１のうち０を用い、「優先」に相当する当初の優先度（８０１〜８０４）には、「優先」に割当てられている優先度２〜３のうち２を用い、「最優先」に相当する当初の優先度（８０５〜８０７）には、「最優先」に割当てられている優先度４〜７のうち４を用いている。各運用上のレベルに割当てられている優先度の範囲内から採用する値については、いずれの値を用いても同様にＱｏＳ制御される。
【００６６】
図９は、実施の形態２における暗号化／エンカプセル処理部による優先度設定処理フローを示す図である。
優先条件テーブル３３に基づく当初の優先度を決定した後に（Ｓ９０１〜Ｓ９０４）、暗号装置アドレスと当該優先度に対応するＰＥ対応優先度（ＱｏＳ制御装置対応優先度の例）を取得する（Ｓ９０５）。そして、ＰＥ対応優先度をエンカプセルＩＰヘッダのＴＯＳフィールドに設定する（Ｓ９０６）。
【００６７】
実施の形態３．
本実施の形態では、図１０に示すネットワーク構成の想定の下、図４と図８を例として、優先条件テーブル３３と優先度変換テーブル３４の意義を説明する。図１０は、実施の形態３におけるネットワーク構成の具体例を示す図である。
【００６８】
ローカルネットワーク１（１０．１０．１．０〜１０．１０．１．２５５）は、リピータ型暗号装置ＲＥ１を備え、ＣＥであるルータＲ１から回線１−４を介してＰＥであるルータＲ４に接続している。同様に、ローカルネットワーク２（１０．１０．２．０〜１０．１０．２．２５５）は、リピータ型暗号装置ＲＥ２を備え、ＣＥであるルータＲ２から回線２−５を介してＰＥであるルータＲ５に接続している。更に、ローカルネットワーク３（１０．１０．３．０〜１０．１０．３．２５５）は、リピータ型暗号装置ＲＥ３を備え、ＣＥであるルータＲ３から回線３−６を介してＰＥであるルータＲ６に接続している。
【００６９】
各ローカルネットワークは、端末又は中継機Ｓ１〜Ｓ６を備え、リピータ型暗号装置ＲＥ１〜ＲＥ３には、コンソール端末Ｃ１〜Ｃ３が接続されている。また、ローカルネットワーク１は、管理端末Ｍ１を備えている。
【００７０】
端末又は中継機Ｓ１〜Ｓ６のうち、Ｓ１〜Ｓ３は、非優先情報のみを扱い、Ｓ４とＳ６は、非優先情報と優先する情報の両方を扱い、Ｓ５は優先する情報のみを扱うことを想定している。
【００７１】
また、ＰＥであるＲ５は、ＴＯＳフィールドの優先度が４の場合に、運用上「最優先」として扱い、同じく２の場合に、「優先」として扱い、同じく０の場合に、「非優先」として扱うようにＱｏＳ制御を設定している。ＰＥであるＲ６は、ＴＯＳフィールドの優先度が２の場合に、運用上「最優先」として扱い、同じく１の場合に、「優先」として扱い、同じく０の場合に、「非優先」として扱うようにＱｏＳ制御を設定している。
【００７２】
先ず、図４の優先条件テーブル３３に関して説明する。
上述のネットワーク構成で、暗号装置ＲＥ１が、ローカルネットワーク（平文ネットワーク）側からＳ４からＳ５宛のフレームを受信した場合には、当該フレームは、優先条件テーブル３３内の１列目の優先度条件に適合する。従って、当該フレームに対しては、暗号装置ＲＥ１の暗号化／エンカプセル処理ブロックで、優先条件テーブル３３を検索し、優先度３が得られる。
【００７３】
次の例として、第４層プロトコルがＴＣＰであり、Ｓ４が属するサブネットワークアドレスからＳ６が属するサブネットワークアドレス宛のデータであり、送信元ポート番号と宛先ポート番号が１７２０であり、ＴＣＰデータのオフセット４バイト目から文字列”Ｒｉｎｇｉｎｇ”と設定されているフレームを、暗号装置ＲＥ１がローカルネットワーク（平文ネットワーク）側から受信した場合には、優先条件テーブル３３内の２列目の優先度条件に適合する。従って、当該フレームに対して、優先度５が得られる。
【００７４】
次の例として、第４層プロトコルがＵＤＰであり、Ｓ４が属するサブネットワークアドレスからＳ６が属するサブネットワークアドレス宛のデータであり、送信元ポート番号と宛先ポート番号が５００４から５０６０までの値であるフレームを、暗号装置ＲＥ１がローカルネットワーク（平文ネットワーク）側から受信した場合には、優先条件テーブル３３内の３列目の条件に適合するので、優先度３が得られる。
【００７５】
続いて、図８の優先度変換テーブル３４に関して説明する。
暗号装置ＲＥ１は、ローカルネットワーク（平文ネットワーク）側から端末Ｓ４から端末Ｓ５宛のフレームを受信した場合、暗号化／エンカプセル処理ブロック２６で、端末Ｓ５のＩＰアドレス（１０．１０．２．２）に対応する暗号装置のＩＰアドレス（１０．１０．２．９）を決定する。
暗号装置のＩＰアドレス（１０．１０．２．９）と、図９のＳ９０１とＳ９０４により得られた優先度＝３に基づいて、優先度変換テーブル３４を検索する。その結果、ＰＥ対応優先度＝２を得る。エンカプセルＩＰヘッダのＴＯＳフィールド内の優先度には、このＰＥ対応優先度＝２が設定される。この結果、このエンカプセルフレームは、ＰＥであるルータＲ５で優先度＝２と認識され、運用上のレベルを「優先」として扱われ、ＱｏＳ制御される。
【００７６】
別の例として、暗号装置ＲＥ１は、ローカルネットワーク（平文ネットワーク）側から受信する端末Ｓ４から端末Ｓ６宛のフレームを受信した場合、暗号化／エンカプセル処理ブロック２６で、端末Ｓ６のＩＰアドレス（１０．１０．３．２）に対応する暗号装置のアドレス（１０．１０．３．９）を決定する。
暗号装置のＩＰアドレス（１０．１０．３．９）と、図９のＳ９０１とＳ９０４により得られた優先度＝５に基づいて、優先度変換３４テーブルを検索する。その結果、ＰＥ対応優先度＝２を得る。エンカプセルＩＰヘッダのＴＯＳフィールド内の優先度には、このＰＥ対応優先度＝２を設定する。この結果、このエンカプセルフレームは、ＰＥであるルータＲ６で優先度＝２と認識され、運用上のレベルを「最優先」として扱われ、ＱｏＳ制御される。
また、同様に端末Ｓ４から端末Ｓ６宛のフレームで、図９のＳ９０１とＳ９０４により優先度＝３が得られている場合には、優先度変換テーブル３４を検索した結果、ＰＥ対応優先度＝１を得る。エンカプセルＩＰヘッダのＴＯＳフィールド内の優先度には、このＰＥ対応優先度＝１が設定される。この結果、このエンカプセルフレームは、ＰＥであるＲ６で優先度＝１と認識され、運用上のレベルを「優先」として扱われ、ＱｏＳ制御される。
【００７７】
実施の形態４．
本実施の形態では、優先条件テーブル３３と優先度変換テーブル３４の入力と参照に係る装置について説明する。具体的には、暗号装置に接続されたコンソール端末Ｃ１〜Ｃ３、あるいは、暗号装置ＲＥ１〜ＲＥ３にリモート接続可能な管理装置Ｍ１を用いる。
【００７８】
コンソール端末Ｃ１〜Ｃ３は、前述の優先度条件と優先度を対応付けて記憶する優先条件テーブル３３の入力を操作者に促す画面を表示し、操作により入力された優先条件テーブル３３を暗号装置に送信するように構成されている。暗号装置ＲＥ１〜ＲＥ３は、受信した優先条件テーブル３３を記憶し、操作者からの要求に応じて、記憶している優先条件テーブル３３をコンソール端末Ｃ１〜Ｃ３に送信し、コンソール端末Ｃ１〜Ｃ３は、暗号装置ＲＥ１〜ＲＥ３から優先条件テーブル３３を受信した場合に、受信した優先条件テーブル３３の内容を表示するように構成されている。また、印刷や一時記憶するようにしてもよい。
【００７９】
前述の暗号装置ＲＥ１〜ＲＥ３と当初の優先度の組合せに対応付けて、ＰＥ対応優先度を記憶する優先度変換テーブル３４についても同様に、コンソール端末Ｃ１〜Ｃ３は、優先度変換テーブル３４の入力を操作者に促す画面を表示し、操作により入力された優先度変換テーブル３４を暗号装置ＲＥ１〜ＲＥ３に送信するように構成されている。暗号装置ＲＥ１〜ＲＥ３は、受信した優先度変換テーブル３４を記憶し、操作者からの要求に応じて、記憶している優先度変換テーブル３４をコンソール端末Ｃ１〜Ｃ３に送信し、コンソール端末Ｃ１〜Ｃ３は、暗号装置ＲＥ１〜ＲＥ３から優先度変換テーブル３４を受信した場合に、受信した優先度変換テーブル３４の内容を表示するように構成されている。また、印刷や一時記憶するようにしてもよい。
【００８０】
管理装置Ｍ１も同様に、前述の優先条件テーブル３３の入力を操作者に促す画面を表示し、操作により入力された優先条件テーブル３３を暗号装置ＲＥ１〜ＲＥ３に送信するように構成されている。暗号装置ＲＥ１〜ＲＥ３は、受信した優先条件テーブル３３を記憶し、操作者からの要求に応じて、記憶している優先条件テーブル３３を管理装置Ｍ１に送信し、管理装置Ｍ１は、暗号装置ＲＥ１〜ＲＥ３から優先条件テーブル３３を受信した場合に、受信した優先条件テーブル３３の内容を表示するように構成されている。また、印刷や一時記憶するようにしてもよい。
【００８１】
前述の優先度変換テーブル３４についても同様に、管理装置Ｍ１は、優先度変換テーブル３４の入力を操作者に促す画面を表示し、操作により入力された優先度変換テーブル３４を暗号装置ＲＥ１〜ＲＥ３に送信するように構成されている。暗号装置ＲＥ１〜ＲＥ３は、受信した優先度変換テーブル３４を記憶し、操作者からの要求に応じて、記憶している優先度変換テーブル３４を管理装置Ｍ１に送信し、管理装置Ｍ１は、暗号装置ＲＥ１〜ＲＥ３から優先度変換テーブル３４を受信した場合に、受信した優先度変換テーブル３４の内容を表示するように構成されている。また、印刷や一時記憶するようにしてもよい。
【００８２】
前記のように、管理装置Ｍ１は、ローカルネットワークを介して接続する暗号装置ＲＥ１以外にも、広域ネットワークを介して接続する暗号装置ＲＥ２，ＲＥ３についても上述の動作が可能である。
【００８３】
尚、リピータ型暗号装置とコンソール端末と管理装置は、いずれもコンピュータでもよく、各要素はプログラムにより処理を実行することができる。また、プログラムを記憶媒体に記憶させ、記憶媒体からコンピュータに読み取られるようにすることができる。
【００８４】
【発明の効果】
本発明においては、リピータ型暗号装置において、平文データのＩＰヘッダあるいは第４層プロトコルヘッダに含まれる情報あるいは第４層プロトコルデータのうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、決定し優先度を新規に設定されたＩＰヘッダに設定するので、セキュリティ確保における導入負担を軽減しつつ、ＱｏＳ制御を正常に機能させ、リアルタイム性の高いデータの伝送品質を向上させることができる。
【図面の簡単な説明】
【図１】本発明に係るネットワークセキュリティシステムのネットワーク構成を示す図である。
【図２】実施の形態１における暗号装置の構成例を示す図である。
【図３】フレームフォーマットの概要を示す図である。
【図４】優先条件テーブルの構成例を示す図である。
【図５】実施の形態１における暗号化／エンカプセル処理部による優先度設定処理フローを示す図である。
【図６】実施の形態１における復号／デカプセル処理部による優先度設定処理フローを示す図である。
【図７】実施の形態２における暗号装置の構成を示す図である。
【図８】優先度変換テーブルの構成例を示す図である。
【図９】実施の形態２における暗号化／エンカプセル処理部による優先度設定処理フローを示す図である。
【図１０】実施の形態３におけるネットワーク構成の具体例を示す図である。
【図１１】ＱｏＳを適用する一般的なネットワーク構成例を示す図である。
【図１２】フレームフォーマットの詳細を示す図である。
【図１３】ＴＯＳのフォーマットの詳細を示す図である。
【図１４】従来のリピータ型暗号装置を用いるネットワーク構成例を示す図である。
【図１５】従来のリピータ型暗号装置の構成を示す図である。
【図１６】従来のリピータ型暗号装置を用いる場合のフレームフォーマットの概要を示す図である。
【符号の説明】
１ 端末機能ブロック、２ リピータ機能ブロック、２０ 平文ポート、２１暗号文ポート、２２ 自局ポート、２３ 暗号出力フィルタ、２４ 自局出力フィルタ、２５ 平文出力フィルタ、２６ 暗号化／エンカプセル処理ブロック、２７ 復号／デカプセル処理ブロック、２８ 暗号側ＭＡＣアドレス解決ブロック、２９ 平文側ＭＡＣアドレス解決ブロック、３３ 優先条件テーブル、３４ 優先度変換テーブル。
【発明の属する技術分野】
本発明は、広域ネットワーク導入に伴いセキュリティ確保するための負担を軽減するリピータ型暗号装置に係り、ＱｏＳ制御を正常に機能させ、リアルタイム性の高いデータの伝送品質を向上させる技術に関する。
【０００２】
【従来の技術】
ＴＣＰ／ＩＰをベースとするインターネットやイントラネットにおいて優先度の高い通信を確実に行うために、ＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）制御による最適化が図られている。ＱｏＳ制御について、図を用いて簡単に説明する。図１１は、ＱｏＳを適用する一般的なネットワーク構成例を示す図である。Ｒ１〜Ｒ７は、ルータ、Ｓ１〜Ｓ３は、端末である。特に、Ｒ４〜Ｒ６は、広域ネットワーク内のローカルネットワークへの接続拠点に設置されたルータであり、ＰＥ（Ｐｒｏｖｉｄｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）と呼ばれる。一方、Ｒ１〜Ｒ３は、ローカルネットワーク側から広域ネットワークへ接続する拠点に設置されたルータであり、ＣＥ（Ｃｕｓｔｏｍｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）と呼ばれる。
【０００３】
このような環境で、伝送速度を超えたトラフィックが生じると、輻輳によるパケットロスや遅延の障害が発生する。例えば、Ｓ１からＳ３へのデータ転送とＳ２からＳ３へのデータ転送が同時に発生した場合には、広域ネットワークからの出口となるＰＥ（この例では、Ｒ６）において輻輳が生じやすい。これは、広域ネットワーク内の伝送速度（例えば、Ｒ７からＲ６への伝送速度）に比べて、広域ネットワークとローカルネットワークの間の伝送速度（例えば、Ｒ６からＲ３への伝送速度）が遅いことに起因している。
【０００４】
特定のアプリケーションを用いる場合には、この障害は重大な品質問題となる。例えば、ＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ ＩＰ）による音声通話等によりリアルタイムパケットを転送する場合には、輻輳によるパケットロスや遅延の障害は、音声劣化や通話の中断などの事態を引き起こすことになる。
【０００５】
係る事態を回避するために、ＱｏＳ制御が用いられる。具体的には、優先度の高い特定のパケットに対して帯域を確保する帯域制御や、同じく優先度の高い特定のパケットを優先的に処理する優先制御などが行われている。
【０００６】
そのために、ＱｏＳ制御で優先度の高いパケットを識別するために、ＩＰヘッダ中に優先度を設定するようにしている。図１２は、フレームフォーマットの詳細を示す図である。これは、Ｅｔｈｅｒｎｅｔ（登録商標）上のＩＰフレームフォーマットを示している。ＩＰヘッダ中のＴＯＳ（Ｔｙｐｅ ｏｆ Ｓｅｒｖｉｃｅ）フィールド内に定義されているＰｒｅｃｅｄｅｎｃｅ ｂｉｔを用いて、優先度を特定している。図１３は、ＴＯＳのフォーマットの詳細を示す図である。具体的には、３ビットによる０〜７の値により、０が最も低く、７が最も高く、段階的に優先度を示すことになっている。
この例では、第４層プロトコルヘッダとしてＵＤＰヘッダを示しているが、当該部分がＴＣＰヘッダあるいはその他の第４層プロトコルヘッダとなることもある。
【０００７】
このように、ＩＰヘッダ中に優先度を設定して、広域ネットワークにパケットを送出することにより、出口側のＰＥでＱｏＳ制御され、安定した品質を確保することができるようになっている。通常ＴＯＳフィールドへの優先度の設定は、送出側のＣＥ（この例では、Ｒ１）あるいは受口側のＰＥ（この例では、Ｒ４）が行うようにシステム構成されている。具体的には、ＩＰアドレスやポート番号に基づいて、優先度を判定している。
尚、係る障害が品質上大きな影響を与えないアプリケーション（電子メールやＦＴＰなど、以下データ系という。）で利用するパケットは、優先度を高く設定することなく運用される。
【０００８】
一方、広域ネットワークとしてインターネットやＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ−Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）網を用いる場合のセキュリティ対策として、平文ネットワーク（ローカルネットワーク）と暗号文ネットワーク（広域ネットワーク）との間でデータの中継に対して、平文データを暗号化すると共に暗号データを復号する暗号装置が用いられる。従来この基本アーキテクチャとして、ルータ型の暗号装置または端末型の暗号装置が想定されていたが、新たに、リピータ型の暗号装置が導入されるようになっている。これにより、既存ネットワークに接続された機器へのＩＰ−ＶＰＮ導入時の再設定の不便を解消し、ＩＰ−ＶＰＮの導入作業を容易にし、更に導入コストを軽減することができる。
【０００９】
図１４は、従来のリピータ型暗号装置を用いるネットワーク構成例を示す図である。図中、ＲＥ１〜ＲＥ３がリピータ型暗号装置に相当する。このリピータ型暗号装置については、特許３２５９７２４号の「暗号装置、暗号化器および復号器」にその内容が開示されている。図１５は、従来のリピータ型暗号装置の構成を示す図である。
平文ネットワークからの平文データを暗号化して暗号文ネットワークに送出する場合には、暗号化／エンカプセル処理ブロック２６により、平文ネットワークから受信した平文データを暗号化し、更に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、平文データのＩＰヘッダ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ヘッダ）に設定されたアドレスに対応する暗号装置を決定し、決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行う。そして、暗号化／暗号側ＭＡＣアドレス解決ブロック２８により、暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ ヘッダ）を設定して生成した暗号データを平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する。
逆に、暗号文ネットワークからの暗号データを復号して平文ネットワークに送出する場合には、復号／デカプセル処理ブロック２７により、暗号文ネットワークから受信した暗号データを平文データに復号し、更に、平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するデカプセル処理を行う。そして、平文側ＭＡＣアドレス解決ブロック２９により、復号／デカプセル処理ブロック２７で設定されたＩＰヘッダに基づいてＭＡＣヘッダを設定して生成した平文データを暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信する。
【００１０】
これにより、以下に示すフレームフォーマットのデータが転送される。図１６は、従来のリピータ型暗号装置を用いる場合のフレームフォーマットの概要を示す図である。
図に示すように、平文データ（１６０１〜１６０４）に含まれていたＴＣＰ／ＵＤＰデータ１６０１、ＴＣＰ／ＵＤＰヘッダ１６０２、及びＩＰヘッダ１６０３の内容は、暗号化され（１６１１〜１６１３）、中継過程で盗み見できないようになっている。そして、本来のＩＰヘッダ１６０３やＭＡＣヘッダ１６０４とは異なるエンカプセルＩＰヘッダ１６１５、ＭＡＣヘッダ１６１６が新たに設定されている。尚、エンカプセルヘッダ１６１４には、セキュリティパラメータインデックスやパケットのシーケンス番号等の復号／デカプセル処理に必要なパラメータが格納されている。
【００１１】
従来のリピータ型暗号装置は、このように、転送するデータを暗号化し、エンカプセル処理することにより、セキュリティを確保する一方、前述のＱｏＳ制御による輻輳の対策を効じることができないという問題を有している。
前述のように、ＩＰヘッダのＴＯＳフィールドに優先度を設定することが前提となってＱｏＳ制御が行われているが、従来のリピータ型暗号装置は、既にＴＯＳ中で優先度を高く設定したパケットを入力した場合にも、優先度が設定されているＩＰヘッダ部分１６０３を暗号化により秘匿してしまうため（１６１３）、出口側のＰＥ（例えば、Ｒ６）で正常に優先度の判定することができない。また、未だＴＯＳ中の優先度を高く設定していないパケットを入力した場合にも、本来のＩＰヘッダ１６０３とＴＣＰ／ＵＤＰヘッダ１６０２を秘匿してしまうため（１６１２，１６１３）、優先度を設定するルータ（例えば、Ｒ１やＲ４）で、条件判定に用いるＩＰアドレスやポート番号等を参照することができない。
【００１２】
【特許文献１】
特許第３２５９７２４号公報
【特許文献２】
特開２０００−０９２１１９号公報
【００１３】
【発明が解決しようとする課題】
本発明は、上記した従来技術の欠点を除くためになされたものであって、その目的とするところは、セキュリティ確保における導入負担を軽減するリピータ型暗号装置に係り、ＱｏＳ制御を正常に機能させ、リアルタイム性の要求が高いデータの伝送品質を向上させることを課題とする。これにより、例えば、ＩＰ−ＶＰＮ網を利用したＶｏＩＰによる音声通話の通信が、容易かつ安全に、そして安定して利用できることになる。
【００１４】
【課題を解決するための手段】
本発明に係る暗号装置は、
平文ネットワークと暗号文ネットワークとの間でデータを中継する暗号装置であって、以下の要素を有することを特徴とする
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、上記決定した優先度を新規に設定されたＩＰヘッダに設定する暗号化／エンカプセル処理ブロック
（２）当該暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する暗号側ＭＡＣアドレス解決ブロック。
【００１５】
暗号装置は、更に、上記優先度条件と上記優先度を対応付けて記憶する優先条件テーブルを有し、
上記暗号化／エンカプセル処理ブロックは、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つが、優先条件テーブルの検索度条件に適合するか判定し、適合する場合に、当該優先度条件に対応する優先度を用いることを特徴とする。
【００１６】
更に、以下の要素を有することを特徴とする
（３）上記暗号文ネットワークから受信した暗号データを平文データに復号すると共に、当該平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するデカプセル処理を行い、更に、前記受信した暗号データのＩＰヘッダに設定された優先度を、前記再設定したＩＰヘッダに設定する復号／デカプセル処理ブロック
（４）当該復号／デカプセル処理ブロックで設定されたＩＰヘッダに基づいてＭＡＣヘッダを設定して生成した平文データを上記暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信する平文側ＭＡＣアドレス解決ブロック。
【００１７】
暗号化／エンカプセル処理ブロックは、上記優先度条件に基づいて決定した優先度を、前記決定した他の暗号装置への中継過程のＱｏＳ（クオリティオブサービス）制御装置における優先度の扱いに応じたＱｏＳ装置対応優先度に変換し、上記決定した優先度に代えて、上記変換したＱｏＳ制御装置対応優先度を新規に設定されたＩＰヘッダに設定することを特徴とする。
【００１８】
暗号装置は、更に、暗号装置と優先度の組合せに対応付けて、ＱｏＳ制御装置対応優先度を記憶する優先度変換テーブルを有し、
上記暗号化／エンカプセル処理ブロックは、前記決定した他の暗号装置と上記優先度条件に基づいて決定した優先度との組合せに対応するＱｏＳ制御装置対応優先度を優先度変換テーブルから取得し、取得したＱｏＳ制御装置対応優先度を、前記変換したＱｏＳ制御装置対応優先度として用いることを特徴とする。
【００１９】
本発明に係るコンソール端末は、
平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、上記決定した優先度を新規に設定されたＩＰヘッダに設定する暗号装置に接続されたコンソール端末であって、
上記優先度条件と上記優先度を対応付けて記憶する優先条件テーブルの入力を操作者に促し、入力された優先条件テーブルを暗号装置に送信し、更に、暗号装置から優先条件テーブルを受信した場合に、受信した優先条件テーブルの内容を表示することを特徴とする。
【００２０】
本発明に係るコンソール端末は、
平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、前記決定した他の暗号装置と上記優先度条件に基づいて決定した優先度との組合せに対応するＱｏＳ（クオリティオブサービス）制御装置対応優先度を優先度変換テーブルから取得し、取得したＱｏＳ制御装置対応優先度を新規に設定されたＩＰヘッダに設定する暗号装置に接続されたコンソール端末であって、
暗号装置と優先度の組合せに対応付けて、ＱｏＳ制御装置対応優先度を記憶する優先度変換テーブルの入力を操作者に促し、入力された優先度変換テーブルを暗号装置に送信し、更に、暗号装置から優先度変換テーブルを受信した場合に、受信した優先度変換テーブルの内容を表示することを特徴とする。
【００２１】
本発明に係る管理装置は、
平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、決定し優先度を新規に設定されたＩＰヘッダに設定する暗号装置にリモート接続可能な管理装置であって、
上記優先度条件と上記優先度を対応付けて記憶する優先条件テーブルの入力を操作者に促し、入力された優先条件テーブルを暗号装置に送信し、更に、暗号装置から優先条件テーブルを受信した場合に、受信した優先条件テーブルの内容を表示することを特徴とする。
【００２２】
本発明に係る管理装置は、
平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、前記決定した他の暗号装置と上記優先度条件に基づいて決定した優先度との組合せに対応するＱｏＳ（クオリティオブサービス）制御装置対応優先度を優先度変換テーブルから取得し、取得したＱｏＳ制御装置対応優先度を新規に設定されたＩＰヘッダに設定する暗号装置にリモート接続可能な管理装置であって、
暗号装置と優先度の組合せに対応付けて、ＱｏＳ制御装置対応優先度を記憶する優先度変換テーブルの入力を操作者に促し、入力された優先度変換テーブルを暗号装置に送信し、更に、暗号装置から優先度変換テーブルを受信した場合に、受信した優先度変換テーブルの内容を表示することを特徴とする。
【００２３】
本発明に係るプログラムは、
平文ネットワークと暗号文ネットワークとの間でデータを中継する暗号装置となるコンピュータに、以下の手順を実行させるためのプログラムであることを特徴とする
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、上記決定した優先度を新規に設定されたＩＰヘッダに設定する手順
（２）上記手順で設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する手順。
【００２４】
【発明の実施の形態】
実施の形態１．
以下本発明を図面に示す実施例に基づいて説明する。図１は、本発明に係るネットワークセキュリティシステムのネットワーク構成を示す図である。
Ｒ１〜Ｒ７は、ルータ、ＲＥ１〜ＲＥ３は、（リピータ型）暗号装置、Ｓ１〜Ｓ３は、端末、Ｃ１〜Ｃ３は、コンソール端末、Ｍ１は、管理端末である。特に、Ｒ４〜Ｒ６は、広域ネットワーク内のローカルネットワークへの接続拠点に設置されたルータであり、ＰＥ（Ｐｒｏｖｉｄｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）と呼ばれる。一方、Ｒ１〜Ｒ３は、ローカルネットワーク側から広域ネットワークへ接続する拠点に設置されたルータであり、ＣＥ（Ｃｕｓｔｏｍｅｒ ＥｄｇｅＲｏｕｔｅｒ）と呼ばれる。
ローカルネットワークは、平文データを転送する平文ネットワークであり、広域ネットワークは、暗号データを転送する暗号文ネットワークである。
【００２５】
図２は、実施の形態１における暗号装置の構成例を示す図である。１は、端末機能ブロック、２は、リピータ機能ブロック、２０は、平文ポート、２１は、暗号文ポート、２２は、自局ポート、２３は、暗号出力フィルタ、２４は、自局出力フィルタ、２５は、平文出力フィルタ、２６は、暗号化／エンカプセル処理ブロック、２７は、復号／デカプセル処理ブロック、２８は、暗号側ＭＡＣアドレス解決ブロック、２９は、平文側ＭＡＣアドレス解決ブロック、３３は、優先条件テーブルである。
【００２６】
端末機能ブロック１は、リピータ型暗号装置自身に送信された自局宛情報、具体的には、パケットとして送信された自局宛パケット（例えば、リピータ型暗号装置を管理するための管理パケット等）を処理する機能ブロックである。ネットワークに接続されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）接続機能を有する一般の端末と同等の機能を有する。
【００２７】
リピータ機能ブロック２は、通常のリピータと同様に、ネットワークに接続されている各機器のネットワークパラメータを変更せずに、データを暗号化および復号する機能（以下、リピータ機能）を有する。
【００２８】
平文ポート２０は、平文ネットワーク側に設けられた内部の論理的なポートである。平文ネットワークから暗号文ネットワークへデータを送出する場合には、平文ネットワークから受信した平文データ（具体的には、パケットとして送信された平文パケット）を、暗号文ポート２１と自局ポート２２に転送するように構成されている。
また、暗号文ネットワークから平文ネットワークへデータを受入れる場合や端末機能ブロック１から平文ネットワークへデータを送出する場合には、暗号文ポート２１又は自局ポート２２から転送されたデータ（具体的にはパケット）を平文出力フィルタ２５に出力するように構成されている。
【００２９】
暗号文ポート２１は、暗号文ネットワーク側に設けられた内部の論理的なポートである。暗号文ネットワークから平文ネットワークへデータを受入れる場合には、暗号文ネットワークから受信した暗号データ（具体的にはパケットとして送信された暗号パケット）を、平文ポート２０及び自局ポート２２に転送するように構成されている。
また、平文ネットワークから暗号文ネットワークへデータを送出する場合や端末機能ブロック１から暗号文ネットワークへデータを送出する場合には、平文ポート２０または自局ポート２２から転送されたデータ（具体的にはパケット）を、暗号出力フィルタ２３に出力するように構成されている。
【００３０】
自局ポート２２は、端末機能ブロック１側に設けられた内部の論理的なポートである。自局からデータを送出する場合には、端末機能ブロック１から出力された自局出力情報（具体的にはパケット）を、平文ポート２０及び暗号文ポート２１に転送するように構成されている。また、自局でデータを受入れる場合には、平文ポート２０又は暗号文ポート２１から転送されたパケットを、自局出力フィルタ２４に出力するように構成されている。
【００３１】
暗号出力フィルタ２３は、平文ネットワークから暗号文ネットワークへデータを送出する場合に、暗号文ポート２１へ転送されたパケットに対してフィルタ処理するように構成されている。廃棄パケット（転送する必要のないパケット）、透過中継パケット（何も処理せずに暗号文ネットワークに透過的に中継するパケット）、あるいは暗号パケット（暗号化およびエンカプセル処理を必要とするパケット）のいずれかであるかを識別し、廃棄パケットである場合は、当該パケットを廃棄し、透過中継パケットである場合は、当該パケットをそのまま暗号文ネットワークに送信し、暗号パケットの場合は、当該パケットを暗号化／エンカプセル処理ブロック２６に出力するように構成されている。
暗号出力フィルタ２３は、また、端末機能ブロック１からの自局出力情報を入力した場合には、当該自局出力情報が、暗号文ネットワークへの暗号情報、廃棄情報、あるいは暗号文ネットワークへの透過中継情報のいずれかであるかを識別し、上記暗号情報の場合には、自局出力情報を暗号化／エンカプセル処理ブロック２６に出力し、上記廃棄情報の場合には、自局出力情報を廃棄し、上記透過中継情報の場合には、そのまま自局出力情報を暗号文ネットワークに送信するように構成されている。
【００３２】
自局出力フィルタ２４は、自局ポート２２へ転送されたパケットに対してフィルタ処理するように構成されている。転送されたパケットが、自局宛パケット（端末機能ブロック１へ通知する必要があるパケット）、あるいは廃棄パケット（端末機能ブロックへ通知する必要がないパケット）かを識別し、自局宛パケットの場合は当該パケットを端末機能ブロック１へ送信し、廃棄パケットの場合は、廃棄するように構成されている。
【００３３】
平文出力フィルタ２５は、平文ポート２０へ転送されたパケットに対してフィルタ処理するように構成されている。廃棄パケット（平文ポート２０から送信する必要のないパケット）、透過中継パケット（何も処理せずに平文ネットワークに透過的に中継するパケット）、平文パケット（復号化およびデカプセル処理を必要とするパケット）のいずれかであるかを識別し、廃棄パケットである場合は、当該パケットを廃棄し、透過中継パケットである場合は、平文ネットワークにそのまま送信し、平文パケットである場合は、平文側ＭＡＣアドレス解決ブロック２９に出力するように構成されている。
平文出力フィルタ２５は、また、端末機能ブロック１から自局出力情報を入力した場合に、当該自局出力情報が、平文ネットワークへの透過中継情報、あるいは廃棄情報であるかを識別し、平文ネットワークへの透過中継情報である場合に、そのまま自局出力情報を平文ネットワークに送信し、廃棄情報である場合に、自局出力情報を廃棄するように構成されている。
【００３４】
暗号化／エンカプセル処理ブロック２６は、平文ネットワークから受信した平文データ（具体的には平文パケット）を暗号化し、更に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、平文データの（オリジナル）ＩＰヘッダ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌヘッダ）に設定されたアドレスに対応する暗号装置を決定し、決定した他の暗号装置に基づいて新規にエンカプセルＩＰヘッダを設定するエンカプセル処理を行うように構成されている。
本発明では、更に、平文データである受信フレームが優先条件テーブルの優先度条件に適合するか判断し、適合する場合に優先条件テーブル上で当該優先度条件に対応付けられている優先度を、エンカプセルＩＰヘッダ中のＴＯＳフィールドに設定する暗号化／エンカプセル処理側優先度設定処理を行うように構成されている。
【００３５】
復号／デカプセル処理ブロック２７は、暗号文ネットワークから受信した暗号データ（具体的には暗号パケット）を平文データに復号し、更に、平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するように構成されている。更に、暗号パケットに対して復号およびデカプセル処理が必要か否かを判断し、必要であれば復号およびデカプセル処理を行い、必要でなければそのままに転送するように構成され、また、復号およびデカプセル処理時にエラーが発生した場合、または復号およびデカプセル処理が不必要で、かつ透過中継する必要のない場合には、そのパケットを廃棄するように構成されている。
本発明では、更に、暗号データである受信フレームのエンカプセルＩＰヘッダのＴＯＳフィールドの優先度を、復号／デカプセル処理後のフレームの（オリジナル）ＩＰヘッダのＴＯＳフィールドへ設定する復号／デカプセル処理側優先度設定処理を行うように構成されている。
【００３６】
暗号側ＭＡＣアドレス解決ブロック２８は、暗号化／エンカプセル処理ブロック２６で設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌヘッダ）を設定して生成した暗号データを平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信するように構成されている。
【００３７】
平文側ＭＡＣアドレス解決ブロック２９は、復号／デカプセル処理ブロック２７で再設定されたＩＰヘッダに基づいて、ＭＡＣヘッダを設定して生成した平文データを暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信するように構成されている。
【００３８】
尚、上記暗号化／エンカプセル処理ブロック２６と、上記暗号側ＭＡＣアドレス解決ブロック２８とにより、暗号化／エンカプセル処理部を構成し、復号／デカプセル処理ブロック２７と、上記平文側ＭＡＣアドレス解決ブロック２９とにより、復号／デカプセル処理部を構成する。
【００３９】
ここで、転送されるデータ（具体的にはパケット）のフレームフォーマットについて説明する。図３は、フレームフォーマットの概要を示す図である。
上段は、平文ネットワークから受信する平文データ（暗号化／エンカプセル処理前のデータ）、あるいは平文ネットワークへ送信する平文データ（復号／デプカセル処理後のデータ）のフレームフォーマットを示している。図に示すように、このデータは、先頭から順にＭＡＣヘッダ３０４、ＩＰヘッダ３０３、ＴＣＰあるいはＵＤＰのヘッダを意味するＴＣＰ／ＵＤＰヘッダ３０２、ＴＣＰあるいはＵＤＰのデータを意味するＴＣＰ／ＵＤＰデータ３０１により構成されている。尚、３０１〜３０３は、ＭＡＣデータを構成し、３０１と３０２は、ＩＰデータを構成している。
一方、下段は、暗号文ネットワークへ出力する暗号文データ（暗号化／エンカプセル処理後のデータ）、あるいは暗号文ネットワークから入力する暗号文データ（復号／デプカセル処理前のデータ）のフレームフォーマットを示している。図に示すように、このデータは、先頭から順にＭＡＣヘッダ３１６、エンカプセルＩＰヘッダ（エンカプセルにより生成したＩＰヘッダ）３１５、エンカプセルヘッダ３１４、ＩＰヘッダ３１３とＴＣＰあるいはＵＤＰのヘッダを意味するＴＣＰ／ＵＤＰヘッダ３１２とＴＣＰあるいはＵＤＰのデータを意味するＴＣＰ／ＵＤＰデータ３１１に対し暗号化した暗号データにより構成されている。
平文データ（３０１〜３０４）に含まれていたＴＣＰ／ＵＤＰデータ３０１、ＴＣＰ／ＵＤＰヘッダ３０２、及びＩＰヘッダ３０３の内容は、暗号化され（３１１〜３１３）、中継過程で把握できないようになっている。そして、本来の（オリジナル）ＩＰヘッダ３０３やＭＡＣヘッダ３０４とは異なるエンカプセルＩＰヘッダ３１５、ＭＡＣヘッダ３１６が新たに設定されている。尚、エンカプセルヘッダ３１４には、セキュリティパラメータインデックスやパケットのシーケンス番号等のパラメータが格納されている。尚、３１１〜３１５は、ＭＡＣデータを構成し、３１１〜３１４は、ＩＰデータを構成している。
上記ＴＣＰ／ＵＤＰヘッダ３０２と上記ＴＣＰ／ＵＤＰヘッダ３１２はＴＣＰヘッダあるいはＵＤＰヘッダ以外の第４層プロトコルヘッダでも良いし、上記ＴＣＰ／ＵＤＰデータ３０１とＴＣＰ／ＵＤＰデータ３１１はＴＣＰデータあるいはＵＤＰデータ以外の第４層プロトコルデータでも良い。
特に、本発明では、エンカプセルＩＰヘッダ３１５に含まれるＴＯＳフィールドに優先度を設定する点に特徴がある。
【００４０】
優先条件テーブル３３は、ＩＰヘッダあるいはＴＣＰヘッダ（ＴＣＰヘッダに代えて、ＵＤＰヘッダあるいはその他の第４層プロトコルヘッダの場合もある）あるいはＴＣＰデータ（ＴＣＰデータに代えて、ＵＤＰデータあるいはその他の第４層プロトコルデータ）内の情報に対応付けて、予め優先度を対応付けて記憶しておくように構成されている。暗号化／エンカプセル処理ブロック２６は、この優先条件テーブル３３の優先条件と優先度の対応付けに従って、エンカプセルＩＰヘッダ３１５に含まれるＴＯＳフィールドに優先度を設定する。
【００４１】
図４は、優先条件テーブル３３の構成例を示す図である。４０１〜４０８が、優先度条件であり、４０９がその優先度条件に対応する優先度である。
そして、優先度条件は、第３層プロトコルヘッダ（ＩＰヘッダ）内の情報についての条件４０１〜４０３、第４層プロトコルヘッダ（ＴＣＰヘッダあるいはＵＤＰヘッダ）内の情報についての条件４０４〜４０７、その他の条件４０８から構成されている。
【００４２】
４０１は、第３層プロトコルヘッダ内のプロトコル番号の条件である。つまり、ＩＰヘッダのＰｒｏｔｏｃｏｌフィールドの値の条件である。例えば、ＴＣＰを条件とする場合は６、ＵＤＰを条件とする場合は１７となるように、第４層のプロトコルを条件とする。
【００４３】
４０２は、送信元ＩＰアドレス又は送信元のネットワークアドレスの条件である。例えば、ＩＰアドレス１０．１６．３．２の１つの端末を送信元とする条件の場合には、アドレスは１０．１６．３．２の１６進数＝０ｘ０ａ１００３０２となり、マスク長は３２ビットとなる。また、別の例として、ＩＰアドレス１０．１６．３．０から１０．１６．３．２５５までの２５６個のＩＰアドレス全体を表わす８ビット分のＩＰアドレス空間（ＩＰサブネット）を送信元とする条件の場合には、アドレスは１０．１６．３．０の１６進数＝０ｘ０ａ１００３００となり、マスク長は２４ビットとなる。
【００４４】
４０３は、宛先アドレス又は宛先のネットワークアドレスの条件である。例えば、ＩＰアドレス１０．１６．３．２の１つの端末を宛先とする条件の場合には、アドレスは１０．１６．３．２の１６進数＝０ｘ０ａ１００３０２となり、マスク長は３２ビットとなる。また、別の例として、ＩＰアドレス１０．１６．３．０から１０．１６．３．２５５までの２５６個のＩＰアドレス全体を表わす８ビット分のＩＰアドレス空間（ＩＰサブネット）を宛先とする条件の場合には、アドレスは１０．１６．３．０の１６進数＝０ｘ０ａ１００３００となり、マスク長は２４ビットとなる。
【００４５】
４０４は、送信元ポート番号の上限の条件である。つまり、Ｓｏｕｒｃｅ Ｐｏｒｔの値の上限条件である。４０５は、送信元ポート番号の下限の条件である。つまり、Ｓｏｕｒｃｅ Ｐｏｒｔの値の下限条件である。送信元ポート番号上限４０４と送信元ポート番号下限４０５を組み合わせることにより送信元ポート番号の範囲を条件として指定することになる。送信元ポート番号上限４０４と送信元ポート番号下限４０５が一致する場合は、１つの送信元ポート番号のみを条件として指定することになる。この例によらず、１つの送信元ポート番号のみを直接条件として指定するフォーマットでも構わない。また、複数の送信元ポート番号を直接列挙して条件として指定するフォーマットでも構わない。これにより、不連続のポート番号の候補を複数指定することができる。
【００４６】
４０６は、宛先ポート番号の上限の条件である。つまり、Ｄｉｓｔｉｎａｔｉｏｎ Ｐｏｒｔの値の上限条件である。４０７は、宛先ポート番号の下限の条件である。つまり、Ｄｉｓｔｉｎａｔｉｏｎ Ｐｏｒｔの値の下限条件である。宛先ポート番号上限４０６と宛先ポート番号下限４０７を組み合わせることにより宛先ポート番号の範囲を条件として指定することになる。宛先ポート番号上限４０６と宛先ポート番号下限４０７が一致する場合は、１つの宛先ポート番号のみを条件として指定することになる。前述同様に、１つの宛先ポート番号のみを直接条件として指定するフォーマットでも構わない。また、不連続のポート番号の候補を複数指定できるように、複数の宛先ポート番号を直接列挙して条件として指定するフォーマットとしてもよい。
【００４７】
４０８は、第４層プロトコルデータのデータについて指定する条件である。この条件は、必要により任意的に指定され、必ずしも指定する必要はない。例えば、ＵＤＰデータの３バイト目から”ｏｐｅｎ”という文字列書かれたフレームを指定する場合には、データ位置（ＵＤＰデータの先頭からのオフセット）の条件として、２バイトを指定し、データ長さの条件として、４バイトを指定し、データとして、（”ｏｐｅｎ”のａｓｃｉｉコード）０ｘ６ｆ７０６５６ｅを指定する。
【００４８】
４０９は、０〜７までの値で優先度を示す。７が最も優先度が高く、０は通常を示す。そして、その間は、段階的に順次中間的なレベルを示す。
【００４９】
前述のように優先度条件は、ＩＰヘッダのプロトコル番号、送信元アドレス、宛先アドレスと第４プロトコルヘッダの送信元ポート番号、宛先ポート番号並びに第４層プロトコルデータの値が考えられる。
優先度条件は、一つ条件のみでも、二つ以上の条件の組合せでも構わない。特に、送信元ＩＰアドレスの条件、送信元ＩＰネットワークアドレスの条件、宛先ＩＰアドレスの条件、宛先ＩＰネットワークアドレスの条件、送信元ポート番号の条件、宛先ポート番号の条件は、単独の条件として有効である。
また、複数の条件の組合せについては、上述の条件のすべての組合せが可能であるが、特に、以下の組合せが有効である。
（１）送信元ＩＰアドレスに関する条件と、宛先ＩＰアドレスに関する条件の組合せ
これは、装置あるいはネットワーク同士の関係を限定できるからである。
（２）送信元ポート番号の条件と、宛先ポート番号の条件の組合せ
これは、送信側と宛先のアプリケーションの機能を限定できるからである。
（３）送信元ＩＰアドレスに関する条件と、送信元ポート番号の条件の組合せ
これは、送信元の装置あるいはネットワークと、そのアプリケーションの機能を限定できるからである。
（４）宛先ＩＰアドレスに関する条件と、宛先ポート番号の条件の組合せ
これは、宛先の装置あるいはネットワークと、そのアプリケーションの機能を限定できるからである。
【００５０】
続いて、動作について説明する。
まず、リピータ型暗号装置が平文ネットワークからパケットを受信した場合の処理動作について説明する。ここでは、特に、暗号化した上で暗号文ネットワークに出力する形態の処理について説明する。
平文ネットワークからパケットを受信すると、パケットは平文ポート２０から暗号文ポート２１へ転送される。そして、暗号出力フィルタ２３で暗号化処理が必要であると判断されると、当該パケットは、暗号化／エンカプセル処理ブロック２６に送られる。そして、当該ブロックで、暗号化およびエンカプセル処理する。つまり、パケットのうち、ＭＡＣデータ部分（（オリジナル）ＩＰヘッダ３０３、ＴＣＰ／ＵＤＰヘッダ３０２、ＴＣＰ／ＵＤＰデータ３０１）を暗号化し、新規にエンカプセルヘッダ３１４とエンカプセルＩＰヘッダ３１５を付加する。
【００５１】
暗号化／エンカプセル処理ブロック２６は、ＩＰアドレスと、そのＩＰアドレスが設定されたパケットを暗号化または復号する暗号装置（ＩＰアドレス）との対応関係を示す対応テーブルを内部に保持している。そして、当該対応テーブルを用いて、上記オリジナルデータに含まれるＩＰヘッダのＩＰアドレス（ＩＰ ＤＡ（Ｄｉｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）およびＩＰ ＳＡ（Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ））に設定されている端末のＩＰアドレスに、それぞれ対応する暗号装置（ＩＰアドレス）をエンカプセルＩＰヘッダ３１５の宛先ＩＰアドレスとし、自局のＩＰアドレスをエンカプセルＩＰヘッダ３１５の送信元ＩＰアドレスとして設定する。
【００５２】
暗号化／エンカプセル処理ブロック２６は、更に、ＴＯＳフィールドに優先度を設定する。図５は、実施の形態１における暗号化／エンカプセル処理部による優先度設定処理フローを示す図である。
平文データである受信フレームが、優先条件テーブル３３中の各優先度条件に適合するか判断するために、優先度条件を構成するそれぞれの条件に相当する受信フレーム内の情報と、当該それぞれの条件を比較する。優先度条件として設定されている条件をすべて満足する場合に、当該優先度条件に適合すると判断する（Ｓ５０１）。
いずれかの優先度条件に適合する場合には、当該優先度条件に対応する優先度を優先条件テーブル３３から取得し（Ｓ５０４）、エンカプセルＩＰヘッダのＴＯＳフィールドに設定する（Ｓ５０５）。
いずれの優先度条件にも適合しない場合には、オリジナルＩＰヘッダ内のＴＯＳフィールドから優先度を得て（Ｓ５０３）、エンカプセルＩＰヘッダのＴＯＳフィールドに設定する（Ｓ５０５）。
【００５３】
上述の暗号化およびエンカプセル処理後、暗号側ＭＡＣアドレス解決ブロック２８へ送られ、ＭＡＣアドレスが設定される。
前述のように、ＩＰヘッダのＩＰアドレスについては、リピータ型暗号装置の接続形態に依らず一義に決定できるが、ＭＡＣヘッダのＭＡＣアドレスについては、リピータ型暗号装置の接続形態などによって、適切なＭＡＣアドレスを設定する処理がある。
【００５４】
暗号側ＭＡＣアドレス解決ブロック２８が、エンカプセルＩＰヘッダのＩＰアドレスに基づいて、ＭＡＣヘッダのＭＡＣアドレスを設定する。ＩＰ ＳＡにより特定される装置のＭＡＣアドレスをＭＡＣ ＳＡに設定する。また、ＩＰ ＤＡに基づいて、ＩＰ ＤＡにより特定される装置のＭＡＣアドレスをＭＡＣ ＤＡに設定する。また、接続の形態によっては、ＩＰ ＤＡにより特定される装置と同一サブネットに属する暗号側ゲートウェイＣＧＷのＭＡＣアドレスをＭＡＣＤＡに設定する。このとき、ＡＲＰ（Ａｄｄｒｅｓｓ ＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ）によりＭＡＣアドレスを取得することが有効である。尚、ＡＲＰは、ＴＣＰ／ＩＰ通信時にＩＰアドレスからＥｔｈｅｒｎｅｔ（登録商標）（Ｒ）アドレスを求めるためのプロトコルであり、これによりＭＡＣアドレスを知ることができる。
【００５５】
このようにして、暗号パケットを生成し、その暗号パケットを暗号文ネットワークへ送信する。
【００５６】
一方、リピータ型暗号装置が暗号文ネットワークからパケットを受信した場合の処理動作について説明する。ここでは、特に、暗号化されたパケットを受信し、復号した上で平文ネットワークに出力する形態の処理について説明する。
暗号文ネットワークからパケットを受信すると、パケットは復号／デカプセル処理ブロック２７へ転送される。そして、復号／デカプセル処理ブロック２７で復号およびデカプセル処理が必要であると判断されると、当該パケットは、復号／デカプセル処理される。つまり、暗号側で新規に付加されたエンカプセルＩＰヘッダ３１５およびＭＡＣヘッダ３１６を外し、暗号化されている部分を復号し、平文にする。そして、（オリジナル）ＩＰヘッダのＴＯＳフィールドに優先度を設定する。
【００５７】
図６は、実施の形態１における復号／デカプセル処理部による優先度設定処理フローを示す図である。
前述の復号／エンカプセル処理（Ｓ６０２）に先立って、暗号データである受信フレームのエンカプセルＩＰヘッダのＴＯＳフィールドから優先度を取得し（Ｓ６０１）、復号／エンカプセル処理（Ｓ６０２）の後に、復号された平文データ中のオリジナルＩＰヘッダのＴＯＳフィールドに、Ｓ６０１で取得した優先度を書き込む（Ｓ６０３）。
【００５８】
上述の復号およびデカプセル処理後、暗号文ポート２１から平文ポート２０へ転送されたパケットは、平文出力フィルタ２５から平文側ＭＡＣアドレス解決ブロック２９に転送される。
平文側ＭＡＣアドレス解決ブロック２９は、ＭＡＣヘッダのＭＡＣアドレスを設定する。当該リピータ型暗号装置自身のＭＡＣアドレスをＭＡＣ ＳＡに設定する。また、ＩＰ ＤＡに基づいて、ＭＡＣ ＤＡに設定する。ＩＰ ＤＡが当該リピータ型暗号装置と同一のＩＰセグメント（同一サブネット）に存在する場合には、ＩＰ ＤＡにより特定される装置のＭＡＣアドレスをＭＡＣ ＤＡに設定する。他方、同一のＩＰセグメントに存在しない場合には、平文側ゲートウェイＰＧＷのＭＡＣアドレスをＭＡＣ ＤＡに設定する。このとき、ＡＲＰによりＭＡＣアドレスを取得することが有効である。尚、受信したパケットに設定されていたＭＡＣ ＳＡを、新たなＭＡＣ ＳＡとして設定しても良い。
【００５９】
このようにして、平文パケットを生成し、その平文パケットを平文ネットワークへ送信する。
【００６０】
図６に示した復号／デカプセル処理部による復号／デカプセル処理側優先度設定処理は、例えば受信側の端末のアプリケーション等でＴＯＳフィールドの優先度に応じた処理を行う場合に有効である。
【００６１】
実施の形態２．
本実施の形態では、出口側となるＰＥ（Ｐｒｏｖｉｄｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）におけるＴＯＳフィールドの優先度の取り扱いについてのＰＥの設定内容の仕様の相違に対応する形態について説明する。出口側となるＰＥは、ＱｏＳ制御装置の例である。
【００６２】
前述のように、ＩＰヘッダの仕様としては、ＴＯＳフィールドの優先度として、０〜７の８段階のレベルを設定できるようになっている。しかし、実際にＱｏＳ制御を行うＰＥでは、３段階程度のレベル（例えば、「最優先」、「優先」、「非優先」）による制御を行っている。また、この運用上用いる３段階程度のレベルに割当てるＴＯＳフィールドのデータ上の８段階のレベルの割当てを、各広域ネットワーク提供業者が独自に設定している。例えば、広域ネットワーク提供業者Ａ社のルータであるＰＥは、０〜１を「非優先」、２〜３を「優先」、４〜７を「最優先」としてＱｏＳ制御し、広域ネットワーク提供業者Ｂ社のルータであるＰＥは、０を「非優先」、１を「優先」、２〜７を「最優先」としてＱｏＳ制御し、広域ネットワーク提供業者Ｃ社のルータであるＰＥは、０〜５を「非優先」、６を「優先」、７を「最優先」としてＱｏＳ制御する状態が想定される。このような状態では、優先度として同じ値が設定されているデータであっても、ＰＥの仕様によってＱｏＳ制御での取り扱いが異なってくる。つまり、特定のＰＥを介する場合にのみ、音声通話の品質が劣ったり、あるいは伝送品質を問わないはずのデータ系の処理によりトラフィックが悪化する事態が生じうる。
【００６３】
そこで、本実施の形態では、暗号装置で、予め各ＰＥを想定して、運用上用いるレベル（３段階程度）に割当てるデータ上のレベル（８段階）の割当てを考慮した変換用の優先度変換テーブルを記憶し、優先条件テーブルに基づいて設定した当初の優先度を、各ＰＥの仕様に適合した運用上レベルを想定したＰＥ対応優先度（ＱｏＳ制御装置対応優先度の例）に変換した上で、ＴＯＳフィールドの優先度を設定する。
【００６４】
図７は、実施の形態２における暗号装置の構成を示す図である。実施の形態１に対して、優先度変換テーブル３４が追加されている。
【００６５】
図８は、優先度変換テーブル３４の構成例を示す図である。本テーブルは、暗号装置毎に、図５のＳ５０１からＳ５０４の処理で得られる優先条件テーブル３３に基づく当初の優先度を、運用上レベルを想定したＰＥ対応優先度（ＱｏＳ制御装置対応優先度の例）に対応付けるように構成されている。
具体的には、検索のキーとなる暗号装置アドレスに対して、優先条件テーブル３３に基づく当初の優先度毎のＰＥ対応優先度８００〜８０７を記憶するように構成されている。図８の例では、当初決定した優先度が０の場合に、運用で「非優先」として扱うこと、当初の優先度が１〜４の場合に、運用で「優先」として扱うこと、当初の優先度が５〜７の場合に「最優先」として扱うことを前提としている。そして、暗号装置への転送を担うＰＥの仕様に応じて、これらの３段階の運用上のレベルに割当てられている値をＰＥ対応優先度としている。例えば、８５１の場合には、「非優先」に相当する当初の優先度（８００）には、当該暗号装置が広域ネットワークに接続する為のＰＥの仕様（前述の広域ネットワーク提供業者Ａ社の仕様）で「非優先」に割当てられている優先度０〜１のうち０を用い、「優先」に相当する当初の優先度（８０１〜８０４）には、「優先」に割当てられている優先度２〜３のうち２を用い、「最優先」に相当する当初の優先度（８０５〜８０７）には、「最優先」に割当てられている優先度４〜７のうち４を用いている。各運用上のレベルに割当てられている優先度の範囲内から採用する値については、いずれの値を用いても同様にＱｏＳ制御される。
【００６６】
図９は、実施の形態２における暗号化／エンカプセル処理部による優先度設定処理フローを示す図である。
優先条件テーブル３３に基づく当初の優先度を決定した後に（Ｓ９０１〜Ｓ９０４）、暗号装置アドレスと当該優先度に対応するＰＥ対応優先度（ＱｏＳ制御装置対応優先度の例）を取得する（Ｓ９０５）。そして、ＰＥ対応優先度をエンカプセルＩＰヘッダのＴＯＳフィールドに設定する（Ｓ９０６）。
【００６７】
実施の形態３．
本実施の形態では、図１０に示すネットワーク構成の想定の下、図４と図８を例として、優先条件テーブル３３と優先度変換テーブル３４の意義を説明する。図１０は、実施の形態３におけるネットワーク構成の具体例を示す図である。
【００６８】
ローカルネットワーク１（１０．１０．１．０〜１０．１０．１．２５５）は、リピータ型暗号装置ＲＥ１を備え、ＣＥであるルータＲ１から回線１−４を介してＰＥであるルータＲ４に接続している。同様に、ローカルネットワーク２（１０．１０．２．０〜１０．１０．２．２５５）は、リピータ型暗号装置ＲＥ２を備え、ＣＥであるルータＲ２から回線２−５を介してＰＥであるルータＲ５に接続している。更に、ローカルネットワーク３（１０．１０．３．０〜１０．１０．３．２５５）は、リピータ型暗号装置ＲＥ３を備え、ＣＥであるルータＲ３から回線３−６を介してＰＥであるルータＲ６に接続している。
【００６９】
各ローカルネットワークは、端末又は中継機Ｓ１〜Ｓ６を備え、リピータ型暗号装置ＲＥ１〜ＲＥ３には、コンソール端末Ｃ１〜Ｃ３が接続されている。また、ローカルネットワーク１は、管理端末Ｍ１を備えている。
【００７０】
端末又は中継機Ｓ１〜Ｓ６のうち、Ｓ１〜Ｓ３は、非優先情報のみを扱い、Ｓ４とＳ６は、非優先情報と優先する情報の両方を扱い、Ｓ５は優先する情報のみを扱うことを想定している。
【００７１】
また、ＰＥであるＲ５は、ＴＯＳフィールドの優先度が４の場合に、運用上「最優先」として扱い、同じく２の場合に、「優先」として扱い、同じく０の場合に、「非優先」として扱うようにＱｏＳ制御を設定している。ＰＥであるＲ６は、ＴＯＳフィールドの優先度が２の場合に、運用上「最優先」として扱い、同じく１の場合に、「優先」として扱い、同じく０の場合に、「非優先」として扱うようにＱｏＳ制御を設定している。
【００７２】
先ず、図４の優先条件テーブル３３に関して説明する。
上述のネットワーク構成で、暗号装置ＲＥ１が、ローカルネットワーク（平文ネットワーク）側からＳ４からＳ５宛のフレームを受信した場合には、当該フレームは、優先条件テーブル３３内の１列目の優先度条件に適合する。従って、当該フレームに対しては、暗号装置ＲＥ１の暗号化／エンカプセル処理ブロックで、優先条件テーブル３３を検索し、優先度３が得られる。
【００７３】
次の例として、第４層プロトコルがＴＣＰであり、Ｓ４が属するサブネットワークアドレスからＳ６が属するサブネットワークアドレス宛のデータであり、送信元ポート番号と宛先ポート番号が１７２０であり、ＴＣＰデータのオフセット４バイト目から文字列”Ｒｉｎｇｉｎｇ”と設定されているフレームを、暗号装置ＲＥ１がローカルネットワーク（平文ネットワーク）側から受信した場合には、優先条件テーブル３３内の２列目の優先度条件に適合する。従って、当該フレームに対して、優先度５が得られる。
【００７４】
次の例として、第４層プロトコルがＵＤＰであり、Ｓ４が属するサブネットワークアドレスからＳ６が属するサブネットワークアドレス宛のデータであり、送信元ポート番号と宛先ポート番号が５００４から５０６０までの値であるフレームを、暗号装置ＲＥ１がローカルネットワーク（平文ネットワーク）側から受信した場合には、優先条件テーブル３３内の３列目の条件に適合するので、優先度３が得られる。
【００７５】
続いて、図８の優先度変換テーブル３４に関して説明する。
暗号装置ＲＥ１は、ローカルネットワーク（平文ネットワーク）側から端末Ｓ４から端末Ｓ５宛のフレームを受信した場合、暗号化／エンカプセル処理ブロック２６で、端末Ｓ５のＩＰアドレス（１０．１０．２．２）に対応する暗号装置のＩＰアドレス（１０．１０．２．９）を決定する。
暗号装置のＩＰアドレス（１０．１０．２．９）と、図９のＳ９０１とＳ９０４により得られた優先度＝３に基づいて、優先度変換テーブル３４を検索する。その結果、ＰＥ対応優先度＝２を得る。エンカプセルＩＰヘッダのＴＯＳフィールド内の優先度には、このＰＥ対応優先度＝２が設定される。この結果、このエンカプセルフレームは、ＰＥであるルータＲ５で優先度＝２と認識され、運用上のレベルを「優先」として扱われ、ＱｏＳ制御される。
【００７６】
別の例として、暗号装置ＲＥ１は、ローカルネットワーク（平文ネットワーク）側から受信する端末Ｓ４から端末Ｓ６宛のフレームを受信した場合、暗号化／エンカプセル処理ブロック２６で、端末Ｓ６のＩＰアドレス（１０．１０．３．２）に対応する暗号装置のアドレス（１０．１０．３．９）を決定する。
暗号装置のＩＰアドレス（１０．１０．３．９）と、図９のＳ９０１とＳ９０４により得られた優先度＝５に基づいて、優先度変換３４テーブルを検索する。その結果、ＰＥ対応優先度＝２を得る。エンカプセルＩＰヘッダのＴＯＳフィールド内の優先度には、このＰＥ対応優先度＝２を設定する。この結果、このエンカプセルフレームは、ＰＥであるルータＲ６で優先度＝２と認識され、運用上のレベルを「最優先」として扱われ、ＱｏＳ制御される。
また、同様に端末Ｓ４から端末Ｓ６宛のフレームで、図９のＳ９０１とＳ９０４により優先度＝３が得られている場合には、優先度変換テーブル３４を検索した結果、ＰＥ対応優先度＝１を得る。エンカプセルＩＰヘッダのＴＯＳフィールド内の優先度には、このＰＥ対応優先度＝１が設定される。この結果、このエンカプセルフレームは、ＰＥであるＲ６で優先度＝１と認識され、運用上のレベルを「優先」として扱われ、ＱｏＳ制御される。
【００７７】
実施の形態４．
本実施の形態では、優先条件テーブル３３と優先度変換テーブル３４の入力と参照に係る装置について説明する。具体的には、暗号装置に接続されたコンソール端末Ｃ１〜Ｃ３、あるいは、暗号装置ＲＥ１〜ＲＥ３にリモート接続可能な管理装置Ｍ１を用いる。
【００７８】
コンソール端末Ｃ１〜Ｃ３は、前述の優先度条件と優先度を対応付けて記憶する優先条件テーブル３３の入力を操作者に促す画面を表示し、操作により入力された優先条件テーブル３３を暗号装置に送信するように構成されている。暗号装置ＲＥ１〜ＲＥ３は、受信した優先条件テーブル３３を記憶し、操作者からの要求に応じて、記憶している優先条件テーブル３３をコンソール端末Ｃ１〜Ｃ３に送信し、コンソール端末Ｃ１〜Ｃ３は、暗号装置ＲＥ１〜ＲＥ３から優先条件テーブル３３を受信した場合に、受信した優先条件テーブル３３の内容を表示するように構成されている。また、印刷や一時記憶するようにしてもよい。
【００７９】
前述の暗号装置ＲＥ１〜ＲＥ３と当初の優先度の組合せに対応付けて、ＰＥ対応優先度を記憶する優先度変換テーブル３４についても同様に、コンソール端末Ｃ１〜Ｃ３は、優先度変換テーブル３４の入力を操作者に促す画面を表示し、操作により入力された優先度変換テーブル３４を暗号装置ＲＥ１〜ＲＥ３に送信するように構成されている。暗号装置ＲＥ１〜ＲＥ３は、受信した優先度変換テーブル３４を記憶し、操作者からの要求に応じて、記憶している優先度変換テーブル３４をコンソール端末Ｃ１〜Ｃ３に送信し、コンソール端末Ｃ１〜Ｃ３は、暗号装置ＲＥ１〜ＲＥ３から優先度変換テーブル３４を受信した場合に、受信した優先度変換テーブル３４の内容を表示するように構成されている。また、印刷や一時記憶するようにしてもよい。
【００８０】
管理装置Ｍ１も同様に、前述の優先条件テーブル３３の入力を操作者に促す画面を表示し、操作により入力された優先条件テーブル３３を暗号装置ＲＥ１〜ＲＥ３に送信するように構成されている。暗号装置ＲＥ１〜ＲＥ３は、受信した優先条件テーブル３３を記憶し、操作者からの要求に応じて、記憶している優先条件テーブル３３を管理装置Ｍ１に送信し、管理装置Ｍ１は、暗号装置ＲＥ１〜ＲＥ３から優先条件テーブル３３を受信した場合に、受信した優先条件テーブル３３の内容を表示するように構成されている。また、印刷や一時記憶するようにしてもよい。
【００８１】
前述の優先度変換テーブル３４についても同様に、管理装置Ｍ１は、優先度変換テーブル３４の入力を操作者に促す画面を表示し、操作により入力された優先度変換テーブル３４を暗号装置ＲＥ１〜ＲＥ３に送信するように構成されている。暗号装置ＲＥ１〜ＲＥ３は、受信した優先度変換テーブル３４を記憶し、操作者からの要求に応じて、記憶している優先度変換テーブル３４を管理装置Ｍ１に送信し、管理装置Ｍ１は、暗号装置ＲＥ１〜ＲＥ３から優先度変換テーブル３４を受信した場合に、受信した優先度変換テーブル３４の内容を表示するように構成されている。また、印刷や一時記憶するようにしてもよい。
【００８２】
前記のように、管理装置Ｍ１は、ローカルネットワークを介して接続する暗号装置ＲＥ１以外にも、広域ネットワークを介して接続する暗号装置ＲＥ２，ＲＥ３についても上述の動作が可能である。
【００８３】
尚、リピータ型暗号装置とコンソール端末と管理装置は、いずれもコンピュータでもよく、各要素はプログラムにより処理を実行することができる。また、プログラムを記憶媒体に記憶させ、記憶媒体からコンピュータに読み取られるようにすることができる。
【００８４】
【発明の効果】
本発明においては、リピータ型暗号装置において、平文データのＩＰヘッダあるいは第４層プロトコルヘッダに含まれる情報あるいは第４層プロトコルデータのうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、決定し優先度を新規に設定されたＩＰヘッダに設定するので、セキュリティ確保における導入負担を軽減しつつ、ＱｏＳ制御を正常に機能させ、リアルタイム性の高いデータの伝送品質を向上させることができる。
【図面の簡単な説明】
【図１】本発明に係るネットワークセキュリティシステムのネットワーク構成を示す図である。
【図２】実施の形態１における暗号装置の構成例を示す図である。
【図３】フレームフォーマットの概要を示す図である。
【図４】優先条件テーブルの構成例を示す図である。
【図５】実施の形態１における暗号化／エンカプセル処理部による優先度設定処理フローを示す図である。
【図６】実施の形態１における復号／デカプセル処理部による優先度設定処理フローを示す図である。
【図７】実施の形態２における暗号装置の構成を示す図である。
【図８】優先度変換テーブルの構成例を示す図である。
【図９】実施の形態２における暗号化／エンカプセル処理部による優先度設定処理フローを示す図である。
【図１０】実施の形態３におけるネットワーク構成の具体例を示す図である。
【図１１】ＱｏＳを適用する一般的なネットワーク構成例を示す図である。
【図１２】フレームフォーマットの詳細を示す図である。
【図１３】ＴＯＳのフォーマットの詳細を示す図である。
【図１４】従来のリピータ型暗号装置を用いるネットワーク構成例を示す図である。
【図１５】従来のリピータ型暗号装置の構成を示す図である。
【図１６】従来のリピータ型暗号装置を用いる場合のフレームフォーマットの概要を示す図である。
【符号の説明】
１ 端末機能ブロック、２ リピータ機能ブロック、２０ 平文ポート、２１暗号文ポート、２２ 自局ポート、２３ 暗号出力フィルタ、２４ 自局出力フィルタ、２５ 平文出力フィルタ、２６ 暗号化／エンカプセル処理ブロック、２７ 復号／デカプセル処理ブロック、２８ 暗号側ＭＡＣアドレス解決ブロック、２９ 平文側ＭＡＣアドレス解決ブロック、３３ 優先条件テーブル、３４ 優先度変換テーブル。
Claims (10)
- 平文ネットワークと暗号文ネットワークとの間でデータを中継する暗号装置であって、以下の要素を有することを特徴とする暗号装置
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、上記決定した優先度を新規に設定されたＩＰヘッダに設定する暗号化／エンカプセル処理ブロック
（２）当該暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する暗号側ＭＡＣアドレス解決ブロック。 - 暗号装置は、更に、上記優先度条件と上記優先度を対応付けて記憶する優先条件テーブルを有し、
上記暗号化／エンカプセル処理ブロックは、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つが、優先条件テーブルの検索度条件に適合するか判定し、適合する場合に、当該優先度条件に対応する優先度を用いることを特徴とする請求項１記載の暗号装置。 - 更に、以下の要素を有することを特徴とする請求項１記載の暗号装置
（３）上記暗号文ネットワークから受信した暗号データを平文データに復号すると共に、当該平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するデカプセル処理を行い、更に、前記受信した暗号データのＩＰヘッダに設定された優先度を、前記再設定したＩＰヘッダに設定する復号／デカプセル処理ブロック
（４）当該復号／デカプセル処理ブロックで設定されたＩＰヘッダに基づいてＭＡＣヘッダを設定して生成した平文データを上記暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信する平文側ＭＡＣアドレス解決ブロック。 - 暗号化／エンカプセル処理ブロックは、上記優先度条件に基づいて決定した優先度を、前記決定した他の暗号装置への中継過程のＱｏＳ（クオリティオブサービス）制御装置における優先度の扱いに応じたＱｏＳ装置対応優先度に変換し、上記決定した優先度に代えて、上記変換したＱｏＳ制御装置対応優先度を新規に設定されたＩＰヘッダに設定することを特徴とする請求項１記載の暗号装置。
- 暗号装置は、更に、暗号装置と優先度の組合せに対応付けて、ＱｏＳ制御装置対応優先度を記憶する優先度変換テーブルを有し、
上記暗号化／エンカプセル処理ブロックは、前記決定した他の暗号装置と上記優先度条件に基づいて決定した優先度との組合せに対応するＱｏＳ制御装置対応優先度を優先度変換テーブルから取得し、取得したＱｏＳ制御装置対応優先度を、前記変換したＱｏＳ制御装置対応優先度として用いることを特徴とする請求項１１記載の暗号装置。 - 平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、上記決定した優先度を新規に設定されたＩＰヘッダに設定する暗号装置に接続されたコンソール端末であって、
上記優先度条件と上記優先度を対応付けて記憶する優先条件テーブルの入力を操作者に促し、入力された優先条件テーブルを暗号装置に送信し、更に、暗号装置から優先条件テーブルを受信した場合に、受信した優先条件テーブルの内容を表示することを特徴とするコンソール端末。 - 平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、前記決定した他の暗号装置と上記優先度条件に基づいて決定した優先度との組合せに対応するＱｏＳ（クオリティオブサービス）制御装置対応優先度を優先度変換テーブルから取得し、取得したＱｏＳ制御装置対応優先度を新規に設定されたＩＰヘッダに設定する暗号装置に接続されたコンソール端末であって、
暗号装置と優先度の組合せに対応付けて、ＱｏＳ制御装置対応優先度を記憶する優先度変換テーブルの入力を操作者に促し、入力された優先度変換テーブルを暗号装置に送信し、更に、暗号装置から優先度変換テーブルを受信した場合に、受信した優先度変換テーブルの内容を表示することを特徴とするコンソール端末。 - 平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、優先度を新規に設定されたＩＰヘッダに設定する暗号装置にリモート接続可能な管理装置であって、
上記優先度条件と上記優先度を対応付けて記憶する優先条件テーブルの入力を操作者に促し、入力された優先条件テーブルを暗号装置に送信し、更に、暗号装置から優先条件テーブルを受信した場合に、受信した優先条件テーブルの内容を表示することを特徴とする管理装置。 - 平文ネットワークと暗号文ネットワークとの間でデータを中継し、上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、前記決定した他の暗号装置と上記優先度条件に基づいて決定した優先度との組合せに対応するＱｏＳ（クオリティオブサービス）制御装置対応優先度を優先度変換テーブルから取得し、取得したＱｏＳ制御装置対応優先度を新規に設定されたＩＰヘッダに設定する暗号装置にリモート接続可能な管理装置であって、
暗号装置と優先度の組合せに対応付けて、ＱｏＳ制御装置対応優先度を記憶する優先度変換テーブルの入力を操作者に促し、入力された優先度変換テーブルを暗号装置に送信し、更に、暗号装置から優先度変換テーブルを受信した場合に、受信した優先度変換テーブルの内容を表示することを特徴とする管理装置。 - 平文ネットワークと暗号文ネットワークとの間でデータを中継する暗号装置となるコンピュータに、以下の手順を実行させるためのプログラム
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行い、更に、平文データのＩＰヘッダあるいは第４層プロトコルヘッダあるいは第４層プロトコルデータに含まれる情報のうち少なくとも一つについての優先度条件に基づいて、優先度を決定し、上記決定した優先度を新規に設定されたＩＰヘッダに設定する手順
（２）上記手順で設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する手順。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003066226A JP2004274666A (ja) | 2003-03-12 | 2003-03-12 | 暗号装置及びコンソール端末及び管理装置及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003066226A JP2004274666A (ja) | 2003-03-12 | 2003-03-12 | 暗号装置及びコンソール端末及び管理装置及びプログラム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004274666A true JP2004274666A (ja) | 2004-09-30 |
Family
ID=33127008
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003066226A Pending JP2004274666A (ja) | 2003-03-12 | 2003-03-12 | 暗号装置及びコンソール端末及び管理装置及びプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2004274666A (ja) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007196971A (ja) * | 2006-01-30 | 2007-08-09 | Hitachi Ltd | 車載通信システム |
| JP2007325077A (ja) * | 2006-06-02 | 2007-12-13 | Mitsubishi Electric Corp | データ受信装置及びデータ受信方法 |
| WO2008017275A1 (fr) * | 2006-08-04 | 2008-02-14 | Huawei Technologies Co., Ltd. | Procédé et système de classification de paquet, leur noeud de cryptage et noeud de classification |
| JP2011193055A (ja) * | 2010-03-11 | 2011-09-29 | Fujitsu Ltd | 通信装置および通信方法 |
| JP2016508682A (ja) * | 2013-01-29 | 2016-03-22 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | ドメインにまたがるｖｐｎトラフィックのｑｏｓによる区別のための方法および配置構成 |
| JP2016178392A (ja) * | 2015-03-19 | 2016-10-06 | 株式会社日立製作所 | 暗号通信システム、暗号通信方法、暗号通信装置及び暗号通信装置登録サーバ |
-
2003
- 2003-03-12 JP JP2003066226A patent/JP2004274666A/ja active Pending
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007196971A (ja) * | 2006-01-30 | 2007-08-09 | Hitachi Ltd | 車載通信システム |
| JP2007325077A (ja) * | 2006-06-02 | 2007-12-13 | Mitsubishi Electric Corp | データ受信装置及びデータ受信方法 |
| WO2008017275A1 (fr) * | 2006-08-04 | 2008-02-14 | Huawei Technologies Co., Ltd. | Procédé et système de classification de paquet, leur noeud de cryptage et noeud de classification |
| JP2011193055A (ja) * | 2010-03-11 | 2011-09-29 | Fujitsu Ltd | 通信装置および通信方法 |
| JP2016508682A (ja) * | 2013-01-29 | 2016-03-22 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | ドメインにまたがるｖｐｎトラフィックのｑｏｓによる区別のための方法および配置構成 |
| US9942159B2 (en) | 2013-01-29 | 2018-04-10 | Telefonaktiebolaget Lm Ericsson | Method and arrangement for QOS differentiation of VPN traffic across domains |
| JP2016178392A (ja) * | 2015-03-19 | 2016-10-06 | 株式会社日立製作所 | 暗号通信システム、暗号通信方法、暗号通信装置及び暗号通信装置登録サーバ |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7664119B2 (en) | Method and apparatus to perform network routing | |
| US7730521B1 (en) | Authentication device initiated lawful intercept of network traffic | |
| US8116307B1 (en) | Packet structure for mirrored traffic flow | |
| JP3874628B2 (ja) | パケット転送装置、半導体装置 | |
| US20100077203A1 (en) | Relay device | |
| US20090113202A1 (en) | System and method for providing secure network communications | |
| KR20070053345A (ko) | 라우팅 및 ｉｐ 보안프로토콜 통합 구조 | |
| EP1790127A2 (en) | Methods of and systems for remote outbound control | |
| CN111787025B (zh) | 加解密处理方法、装置、系统以及数据保护网关 | |
| US20050063398A1 (en) | Method of implementing L3 switching, network address port translation, and ALG support using a combination of hardware and firmware | |
| JP3259724B2 (ja) | 暗号装置、暗号化器および復号器 | |
| CN111371798A (zh) | 数据安全传输方法、系统、装置及存储介质 | |
| KR20140122335A (ko) | 가상사설망 구성 방법, 패킷 포워딩 방법 및 이를 이용하는 게이트웨이 장치 | |
| JP3563714B2 (ja) | ネットワーク間接続装置 | |
| JP4074851B2 (ja) | 通信中継方法および中継装置 | |
| JP2004274666A (ja) | 暗号装置及びコンソール端末及び管理装置及びプログラム | |
| WO2012013003A1 (zh) | 一种数据报文的处理方法及系统 | |
| JP5151197B2 (ja) | 通信システム、パケット転送処理装置及びそれらに用いる通信セッション制御方法 | |
| CN111683093A (zh) | 基于IPv6网络的动态隐蔽通信方法 | |
| JP4043997B2 (ja) | 暗号装置及びプログラム | |
| CN110336836B (zh) | 一种网络过滤服务系统及方法 | |
| Cisco | Intranet and Extranet VPN Business Scenarios | |
| US20100042829A1 (en) | System and Method for Processing Data and Communicating Encrypted Data | |
| JP2001007849A (ja) | Ｍｐｌｓパケット処理方法及びｍｐｌｓパケット処理装置 | |
| JP4088179B2 (ja) | ネットワーク機器の接続管理装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20051025 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20051222 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20060131 |