【０００１】
【発明の属する技術分野】
本発明は通信システム、通信装置及びその動作制御方法に関し、特に通信ネットワークを介して互いに接続された通信装置間に更新期間が定められた論理的なコネクションであるＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）を確立して通信装置間でＩＰｓｅｃ通信を行う通信システムに関する。
【０００２】
【従来の技術】
インターネットのような多くのユーザに利用される広域ネットワークにおいて安全な通信を行うための代表的なプロトコルとして、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）がある。ＩＰｓｅｃはＩＰ上のセキュリティを保証するプロトコルである。
【０００３】
ＩＰｓｅｃでは、暗号情報や認証情報を扱うため、鍵とアルゴリズムが必要である。したがって、ＩＰｓｅｃによる通信を行うためには、通信を行う両ノード間にＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）と称される論理的なコネクションを構築して両ノードで鍵やアルゴリズム等の情報を共有する必要がある。また、同じ鍵を長時間利用し続けると第三者に鍵を推察されてしまう可能性が高くなるので、鍵を更新する必要がある。
【０００４】
両ノードで共有する鍵やアルゴリズム等の情報を自動的に生成、更新、管理するための鍵交換プロトコルとして、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）がある。ＩＫＥでは、フェーズ１とフェーズ２という２段階の鍵交換を規定している。フェーズ１は、ＩＫＥによる通信を安全にするために、ＩＫＥ−ＳＡを確立するフェーズであり、フェーズ２は、フェーズ１で確立されたＩＫＥ−ＳＡによる保護の下で、ＩＰｓｅｃで使うＳＡ（ＩＰｓｅｃ−ＳＡ）を確立するフェーズである。以下、ＩＰｓｅｃ、特にＩＰｓｅｃにおけるＩＫＥについて図面を参照して説明する。図３はＩＰｓｅｃによる通信を行う従来の通信システムの構成を示す図である。図３に示したように従来の通信システムは、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）７０に接続されたホスト端末１０と、ＬＡＮ８０に接続されたホスト端末２０と、ＬＡＮ７０とインターネット１００との間に設けられたルータ５０と、ＬＡＮ８０とインターネット１００との間に設けられたルータ６０とを有している。
【０００５】
ルータ５０は、ＩＰｓｅｃを終端する機能を有するセキュリティ・ゲートウェイであり、ルーティング・テーブルを基にルーティングを行うルーティング手段等の一般的な手段（図示せず）の他に、ＩＫＥによる鍵交換を行うＩＫＥ部５１を有している。ルータ６０も、ＩＰｓｅｃを終端する機能を有するセキュリティ・ゲートウェイであり、ルーティング手段等の一般的な手段（図示せず）の他に、ＩＫＥによる鍵交換を行うＩＫＥ部６１を有している。
【０００６】
図４は図３の通信システムの動作を示すフローチャートである。ルータ５０及び６０間でＩＰｓｅｃ通信を行うためには、ルータ５０及び６０間にＳＡを確立する必要がある。そこで、ルータ５０がホスト端末１０からのユーザトラヒックを受信すると、すなわちホスト端末１０からＩＰｓｅｃで処理すべきデータを受信すると、フェーズ１の鍵交換が実行される（ステップＡ１）。すなわち、ＩＫＥ部５１が、ルータ５０及び６０間にＩＫＥ−ＳＡを確立することをＩＫＥ部６１に提案し、ＩＫＥ部５１及び６１がＩＫＥ−ＳＡを確立するためのネゴシエーションを行う。
【０００７】
フェーズ１の鍵交換によりＩＫＥ−ＳＡが確立されれば（ステップＡ２）、フェーズ２の鍵交換が実行される（ステップＡ３）。すなわち、ＩＫＥ部５１が、ルータ５０及び６０間にＩＰｓｅｃ−ＳＡを確立することをＩＫＥ部６１に提案し、ＩＫＥ部５１及び６１がＩＰｓｅｃ−ＳＡを確立するためのネゴシエーションを行う。
【０００８】
フェーズ２の鍵交換によりＩＰｓｅｃ−ＳＡが確立されれば（ステップＡ４）、ＩＫＥ通信が終了し、ＩＰｓｅｃ通信が開始される（ステップＡ５）。すなわち、ルータ５０は、ホスト端末１０からの受信データをカプセル化し、ＩＫＥ通信によりルータ５０及び６０間で交換された情報（確立されたＩＰｓｅｃ−ＳＡの情報（鍵やアルゴリズム等の情報））を基にカプセル化されたデータへの認証情報の付加及び暗号化を行う。ルータ６０は、ルータ５０からのデータを受信すると、確立されたＩＰｓｅｃ−ＳＡの情報を基に元のデータを取り出し、そしてホスト端末２０に送出する。
【０００９】
図５は図３の通信システムの鍵更新（ＳＡ更新）処理を説明するための図である。ルータ５０がホスト端末１０からのユーザトラヒックを受信すると、ルータ５０及び６０間にＳＡが確立されておらず鍵がないので、図４を用いて上述したように、ＩＫＥ部５１がＩＫＥ部６１とネゴシエーションすることにより、ルータ５０及び６０間にＩＰｓｅｃ−ＳＡを確立しＩＰｓｅｃ通信に使用する鍵（図５に示した鍵１）を生成し、ＩＰｓｅｃ通信が開始される（ステップＡ１〜Ａ５）。
【００１０】
鍵１の生成時、鍵１の有効期間（生存期間）及び鍵１の更新期間も決定される。なお、ＩＰｓｅｃ通信に使用する鍵を生成するということは、ＩＰｓｅｃ−ＳＡを確立するということであり、鍵の有効期間はＩＰｓｅｃ−ＳＡの有効期間であり、鍵の更新期間はＩＰｓｅｃ−ＳＡの更新期間である。
【００１１】
鍵１の更新期間になると、ＩＫＥ部５１及び６１間でフェーズ２の鍵交換が実行される。すなわち、ＩＫＥ部５１が、ルータ５０及び６０間に新しいＩＰｓｅｃ−ＳＡを確立することをＩＫＥ部６１に提案し、ＩＫＥ部５１及び６１が新しいＩＰｓｅｃ−ＳＡを確立するためのネゴシエーションを行う。これにより、ルータ５０及び６０間のＩＰｓｅｃ−ＳＡが更新される、すなわち鍵１が更新されて図５に示した鍵２が生成される。なお、鍵の更新期間において、フェーズ１の鍵交換を行った後にフェーズ２の鍵交換を行うようにしてもよい。
【００１２】
以上説明したように、ＩＰｓｅｃ通信に使用する鍵を更新しながら、ルータ５０及び６０はＩＰｓｅｃ通信を行っている。何らかの理由で鍵の更新期間中に鍵を更新することに失敗し、鍵が消滅（ＩＰｓｅｃ−ＳＡが消滅）してしまった場合は、ＩＰｓｅｃで処理すべきデータの受信に応答して鍵交換を再び実行することにより、ＩＰｓｅｃ−ＳＡを確立する。
【００１３】
以上説明した動作については例えば非特許文献１及び２に開示されている。
【００１４】
【非特許文献１】
ＲＦＣ２４０８ Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ （ＩＳＡＫＭＰ）、１９９８年１１月
【００１５】
【非特許文献２】
ＲＦＣ２４０９ Ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ （ＩＫＥ）、１９９８年１１月
【００１６】
【発明が解決しようとする課題】
従来の通信システムでは、鍵の更新期間になれば鍵を更新するための鍵更新動作を自動的に行うようにしている。したがって、ルータ５０内負荷が大きい場合であっても鍵の更新期間となれば鍵更新動作が行われるので、負荷をさらに増大させてしまい、ルータ５０の安定した動作を保障できないという問題がある。
【００１７】
本発明の目的は、鍵更新動作によって装置動作が不安定となることを防止することができる通信システム、通信装置及びその動作制御方法を提供することである。
【００１８】
【課題を解決するための手段】
本発明による通信システムは、通信ネットワークを介して互いに接続された通信装置間に更新期間が定められた論理的なコネクションを確立して通信装置間で通信を行う通信システムであって、前記通信装置の各々は、前記更新期間において、自装置内負荷に応じて前記論理的なコネクションの更新を行うかどうか判断する判断手段を含むことを特徴とする。前記通信システムにおいて、前記論理的なコネクションはＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）通信を行うためのＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）であることを特徴とする。
【００１９】
本発明による通信装置は、通信ネットワークを介して互いに接続された通信装置間に更新期間が定められた論理的なコネクションを確立して通信装置間で通信を行う通信システムにおける通信装置であって、前記更新期間において、自装置内負荷に応じて前記論理的なコネクションの更新を行うかどうか判断する判断手段を含むことを特徴とする。前記通信装置において、前記論理的なコネクションはＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）通信を行うためのＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）であることを特徴とする。
【００２０】
本発明による動作制御方法は、通信ネットワークを介して互いに接続された通信装置間に更新期間が定められた論理的なコネクションを確立して通信装置間で通信を行う通信システムにおける通信装置の動作制御方法であって、前記更新期間において、自装置内負荷に応じて前記論理的なコネクションの更新を行うかどうか判断することを特徴とする。前記動作制御方法において、前記論理的なコネクションはＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）通信を行うためのＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）であることを特徴とする。
【００２１】
本発明によれば、通信装置は、確立されている論理的なコネクションの更新を行う更新期間において、自装置内負荷に応じて論理的なコネクションの更新を行うかどうか判断するようにしている。したがって、高負荷時には更新動作を抑制して、低負荷時にのみ更新を行うようにすることができる。
【００２２】
【発明の実施の形態】
以下、本発明の実施例について図面を参照して説明する。
【００２３】
図１は本発明の実施例によるＩＰｓｅｃ通信を行う通信システムの構成を示す図である。図１において、本発明の実施例による通信システムは、ＬＡＮ７０に接続されたホスト端末１０と、ＬＡＮ８０に接続されたホスト端末２０と、ＬＡＮ７０とインターネット１００との間に設けられたルータ３０と、ＬＡＮ８０とインターネット１００との間に設けられたルータ４０とを有している。
【００２４】
ルータ３０は、ＩＰｓｅｃを終端する機能を有するセキュリティ・ゲートウェイであり、ルーティング・テーブルを基にルーティングを行うルーティング手段等の一般的な手段（図示せず）の他に、装置内負荷を判定する負荷判定部３１と、ＩＫＥによる鍵交換を行うＩＫＥ部３２とを有している。ルータ４０も、ＩＰｓｅｃを終端する機能を有するセキュリティ・ゲートウェイであり、ルーティング手段等の一般的な手段（図示せず）の他に、装置内負荷を判定する負荷判定部４１と、ＩＫＥによる鍵交換を行うＩＫＥ部４２とを有している。
【００２５】
次に、本発明の実施例による通信システムの動作について説明する。ルータ３０及び４０間でＩＰｓｅｃ通信を行うためには、ルータ３０及び４０間にＳＡを確立する必要がある。そこで、ルータ３０がホスト端末１０からのユーザトラヒックを受信すると、すなわちホスト端末１０からＩＰｓｅｃで処理すべきデータを受信すると、ルータ３０が鍵交換の始動者（イニシエータ）として、ルータ４０が応答者（レスポンダ）として、両者間のネゴシエーションによりＳＡを確立する。なお、この動作は図４の動作と同様である。
【００２６】
すなわち、まず、ＩＫＥ部３２が、ルータ３０及び４０間にＩＫＥ−ＳＡを確立することをＩＫＥ部４２に提案し、ＩＫＥ部３２及び４２がＩＫＥ−ＳＡを確立するためのネゴシエーションを行うことにより、フェーズ１の鍵交換が実行される（ステップＡ１）。
【００２７】
フェーズ１の鍵交換によりＩＫＥ−ＳＡが確立されれば（ステップＡ２）、フェーズ２の鍵交換が実行される（ステップＡ３）。すなわち、ＩＫＥ部３２が、ルータ３０及び４０間にＩＰｓｅｃ−ＳＡを確立することをＩＫＥ部４２に提案し、ＩＫＥ部３２及び４２がＩＰｓｅｃ−ＳＡを確立するためのネゴシエーションを行う。
【００２８】
フェーズ２の鍵交換によりＩＰｓｅｃ−ＳＡが確立されれば（ステップＡ４）、ＩＫＥ通信が終了し、ＩＰｓｅｃ通信が開始される（ステップＡ５）。すなわち、ルータ３０は、ホスト端末１０からの受信データをカプセル化し、ＩＫＥ通信によりルータ３０及び４０間で交換された情報（確立されたＩＰｓｅｃ−ＳＡの情報（鍵やアルゴリズム等の情報））を基にカプセル化されたデータへの認証情報の付加及び暗号化を行う。ルータ４０は、ルータ３０からのデータを受信すると、確立されたＩＰｓｅｃ−ＳＡの情報を基に元のデータを取り出し、そしてホスト端末２０に送出する。
【００２９】
次に、本発明の実施例による通信システムの鍵更新（ＳＡ更新）処理について説明する。従来の通信システムでは、図５を用いて上述したように、ＩＰｓｅｃ−ＳＡが確立されている状態において、ＩＰｓｅｃ−ＳＡの更新期間（鍵の更新期間）になると、フェーズ２の鍵交換を実行して新しいＩＰｓｅｃ−ＳＡを確立するという、ＩＰｓｅｃ−ＳＡの更新動作（鍵更新動作）を必ず行っていた。
【００３０】
しかしながら、本発明の実施例による通信システムでは、ＩＰｓｅｃ−ＳＡが確立されている状態において、更新期間になると、ルータ内の負荷を判定し、低負荷時にのみ鍵更新を行うようにする。この動作が図２に示されている。
【００３１】
上述したように、ルータ３０がホスト端末１０からＩＰｓｅｃで処理すべきデータを受信することにより、イニシエータであるルータ３０とレスポンダであるルータ４０間のネゴシエーションによりＩＰｓｅｃ−ＳＡが確立されている状態において、更新期間になると、図２に示すようにルータ３０の負荷判定部３１は、現在のルータ３０のＣＰＵ使用率を測定して規定値と比較する（ステップＳ１，Ｓ２）。
【００３２】
現在のＣＰＵ使用率が規定値以下であれば（ステップＳ２，ＹＥＳ）、鍵更新を行う（ステップＳ４）。すなわち、ルータ３０のＩＫＥ部３２が、ルータ３０及び４０間に新たなＩＰｓｅｃ−ＳＡを確立することをルータ４０のＩＫＥ部４２に提案し、ＩＫＥ部３２及び４２が新たなＩＰｓｅｃ−ＳＡを確立するためのネゴシエーションを行う。これにより、ルータ３０及び４０間のＩＰｓｅｃ−ＳＡを更新することができる。
【００３３】
一方、現在のＣＰＵ使用率が規定値を超えているならば（ステップＳ２，ＮＯ）、負荷判定部３１は所定時間待って、再度ルータ３０の負荷状況を判定する（ステップＳ３，Ｓ１，Ｓ２）。
【００３４】
更新期間中に、ＩＰｓｅｃ通信に用いる鍵すなわちＩＰｓｅｃ−ＳＡを更新することができなかった場合（ステップＳ５，ＮＯ）、ルータ３０の運用者により予め指定された時刻（運用者指定時刻）に鍵更新を行うよう設定する（ステップＳ６）。運用者は装置負荷の低い時間帯（例えば夜間）の時刻を運用者指定時刻として指定する。
【００３５】
なお、更新期間中に更新ができず、鍵が消滅（ＩＰｓｅｃ−ＳＡが消滅）してしまった場合は、その後にルータ３０がホスト端末１０からＩＰｓｅｃで処理すべきデータを受信したときに、ＩＫＥ部３２がルータ３０及び４０間にＩＰｓｅｃ−ＳＡを確立することをルータ４０のＩＫＥ部４２に提案し、ルータ３０及び４０間で鍵交換を再び実行することにより、ＩＰｓｅｃ−ＳＡを確立することになる。
【００３６】
また、運用者指定時刻になると、負荷状況に無関係にＩＫＥ部３２は、ルータ３０及び４０間にＩＰｓｅｃ−ＳＡを確立することをルータ４０のＩＫＥ部４２に提案し、ＩＰｓｅｃ−ＳＡを積極的に更新することになる。
【００３７】
以上では、イニシエータの負荷状況のみが考慮されていたが、レスポンダの負荷状況も考慮するようにしてもよい。すなわち、イニシエータであるルータ３０の負荷が低負荷であるため、図２のステップＳ４でルータ３０のＩＫＥ部３２が、ルータ３０及び４０間に新たなＩＰｓｅｃ−ＳＡを確立することをルータ４０のＩＫＥ部４２に提案した際、レスポンダであるルータ４０の負荷判定部４１は、ステップＳ２と同様に現在のルータ４０のＣＰＵ使用率を測定し規定値と比較する。
【００３８】
ルータ４０のＣＰＵ使用率が規定値以下であれば、通常どおり、ルータ４０のＩＫＥ部４２はルータ３０のＩＫＥ部３２からの提案に対して応答を返して鍵更新を行うが、規定値を超えていれば、ＩＫＥ部４２は当該提案に対して応答を返さないようにする。これにより、ルータ３０では低負荷であってもルータ４０で高負荷であれば、結局、更新がなされないことになる。
【００３９】
なお、上記図２に示したフローに従った処理動作は、予めＲＯＭ等の記憶媒体に格納されたプログラムを、ＣＰＵ（制御部）となるコンピュータに読み取らせて実行せしめることにより、実現できることは勿論である。
【００４０】
【発明の効果】
本発明による効果は、鍵更新動作によって装置動作が不安定となることを防止できることである。その理由は、通信装置が、確立されている論理的なコネクションであるＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）の更新を行う更新期間において、自装置内負荷に応じてＳＡの更新を行うかどうか判断するようにしているためであり、高負荷時にはＳＡの更新動作（鍵更新動作）を抑制して、低負荷時にのみ更新を行うようにすることができる。
【図面の簡単な説明】
【図１】本発明の実施例による通信システムの構成を示す図である。
【図２】本発明の実施例による通信システムの鍵更新（ＳＡ更新）処理動作を示すフローチャートである。
【図３】従来の通信システムの構成を示す図である。
【図４】図３の通信システムの動作を示すフローチャートである。
【図５】図３の通信システムの鍵更新（ＳＡ更新）処理を説明するための図である。
【符号の説明】
１０，２０ ホスト端末
３０，４０ ルータ
３１，４１ 負荷判定部
３２，４２ ＩＫＥ部
７０，８０ ＬＡＮ[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a communication system, a communication device, and an operation control method thereof, and in particular, establishes an SA (Security Association), which is a logical connection with a defined update period, between communication devices connected to each other via a communication network. The present invention relates to a communication system for performing IPsec communication between communication devices.
[0002]
[Prior art]
As a typical protocol for performing secure communication in a wide area network used by many users such as the Internet, there is IPsec (Security Architecture for Internet Protocol). IPsec is a protocol that guarantees security on IP.
[0003]
In IPsec, a key and an algorithm are required to handle encryption information and authentication information. Therefore, in order to perform communication by IPsec, it is necessary to establish a logical connection called Security Association (SA) between both nodes performing communication and to share information such as keys and algorithms between the two nodes. . Further, if the same key is used for a long time, the possibility of a third party guessing the key increases, so the key needs to be updated.
[0004]
IKE (Internet Key Exchange) is a key exchange protocol for automatically generating, updating, and managing information such as keys and algorithms shared by both nodes. The IKE defines a two-step key exchange of phase 1 and phase 2. Phase 1 is a phase in which an IKE-SA is established in order to secure communication by the IKE, and phase 2 is a SA (IPsec-SA) used in IPsec under the protection of the IKE-SA established in the phase 1. SA). Hereinafter, IPsec, particularly IKE in IPsec, will be described with reference to the drawings. FIG. 3 is a diagram illustrating a configuration of a conventional communication system that performs communication based on IPsec. As shown in FIG. 3, the conventional communication system is provided between the host terminal 10 connected to a LAN (Local Area Network) 70, the host terminal 20 connected to a LAN 80, and the LAN 70 and the Internet 100. It has a router 50 and a router 60 provided between the LAN 80 and the Internet 100.
[0005]
The router 50 is a security gateway having a function of terminating IPsec. In addition to general means (not shown) such as routing means for performing routing based on a routing table, IKE for performing key exchange by IKE. A portion 51 is provided. The router 60 is also a security gateway having a function of terminating IPsec, and has an IKE unit 61 for performing key exchange by IKE, in addition to general means (not shown) such as routing means.
[0006]
FIG. 4 is a flowchart showing the operation of the communication system of FIG. In order to perform IPsec communication between the routers 50 and 60, it is necessary to establish an SA between the routers 50 and 60. Therefore, when the router 50 receives the user traffic from the host terminal 10, that is, when data to be processed in IPsec is received from the host terminal 10, the key exchange of the phase 1 is executed (step A1). That is, the IKE unit 51 proposes to the IKE unit 61 that an IKE-SA is established between the routers 50 and 60, and the IKE units 51 and 61 perform negotiation for establishing the IKE-SA.
[0007]
If the IKE-SA is established by the key exchange of the phase 1 (step A2), the key exchange of the phase 2 is executed (step A3). That is, the IKE unit 51 proposes to the IKE unit 61 that an IPsec-SA is established between the routers 50 and 60, and the IKE units 51 and 61 perform negotiation for establishing the IPsec-SA.
[0008]
When the IPsec-SA is established by the key exchange in the phase 2 (step A4), the IKE communication ends and the IPsec communication starts (step A5). That is, the router 50 encapsulates the data received from the host terminal 10 and uses the information exchanged between the routers 50 and 60 by IKE communication (information of the established IPsec-SA (information such as keys and algorithms)). The authentication information is added to the data encapsulated in the file and encrypted. Upon receiving the data from the router 50, the router 60 extracts the original data based on the established information of the IPsec-SA, and sends it to the host terminal 20.
[0009]
FIG. 5 is a diagram for explaining a key update (SA update) process of the communication system of FIG. When the router 50 receives the user traffic from the host terminal 10, the SA is not established between the routers 50 and 60 and there is no key. Therefore, as described above with reference to FIG. By negotiating, an IPsec-SA is established between the routers 50 and 60 to generate a key (key 1 shown in FIG. 5) used for the IPsec communication, and the IPsec communication is started (steps A1 to A5).
[0010]
When key 1 is generated, the validity period (lifetime) of key 1 and the renewal period of key 1 are also determined. Generating a key used for IPsec communication means establishing an IPsec-SA, the validity period of the key is the validity period of the IPsec-SA, and the key renewal period is the renewal time of the IPsec-SA. Period.
[0011]
When the key 1 renewal period comes, a phase 2 key exchange is performed between the IKE units 51 and 61. That is, the IKE unit 51 proposes to the IKE unit 61 that a new IPsec-SA is established between the routers 50 and 60, and the IKE units 51 and 61 perform negotiation for establishing a new IPsec-SA. Thereby, the IPsec-SA between the routers 50 and 60 is updated, that is, the key 1 is updated and the key 2 shown in FIG. 5 is generated. During the key update period, the phase 2 key exchange may be performed after the phase 1 key exchange.
[0012]
As described above, the routers 50 and 60 perform the IPsec communication while updating the key used for the IPsec communication. If the key update fails for some reason during the key update period and the key disappears (IPsec-SA disappears), key exchange is performed in response to reception of data to be processed in IPsec. By executing again, the IPsec-SA is established.
[0013]
The operation described above is disclosed in Non-Patent Documents 1 and 2, for example.
[0014]
[Non-patent document 1]
RFC 2408 Internet Security Association and Key Management Protocol (ISAKMP), November 1998
[Non-patent document 2]
RFC 2409 The Internet Key Exchange (IKE), November 1998
[Problems to be solved by the invention]
In a conventional communication system, a key update operation for updating a key is automatically performed when a key update period comes. Therefore, even when the load in the router 50 is large, the key update operation is performed in the key update period, so that the load is further increased, and there is a problem that stable operation of the router 50 cannot be guaranteed.
[0017]
An object of the present invention is to provide a communication system, a communication device, and an operation control method for the communication device, which can prevent device operation from becoming unstable due to a key update operation.
[0018]
[Means for Solving the Problems]
A communication system according to the present invention is a communication system for establishing communication between communication devices by establishing a logical connection having an update period between communication devices connected to each other via a communication network, wherein the communication device Are characterized by including determination means for determining whether or not to update the logical connection in accordance with the load in the own device during the update period. In the communication system, the logical connection is an SA (Security Association) for performing IPsec (Security Architecture for Internet Protocol) communication.
[0019]
A communication device according to the present invention is a communication device in a communication system for establishing communication between communication devices by establishing a logical connection in which an update period is defined between communication devices connected to each other via a communication network, In the update period, a determination unit is included for determining whether to update the logical connection according to a load in the own device. In the communication device, the logical connection is a security association (SA) for performing IPsec (Security Architecture for Internet Protocol) communication.
[0020]
An operation control method according to the present invention provides an operation control method for a communication device in a communication system in which communication is established between communication devices by establishing a logical connection with an updated period between communication devices connected to each other via a communication network. The method is characterized in that, in the update period, it is determined whether or not to update the logical connection according to a load in the own device. In the operation control method, the logical connection is a security association (SA) for performing IPsec (Security Architecture for Internet Protocol) communication.
[0021]
According to the present invention, the communication device determines whether to update the logical connection according to the load in the own device during the update period for updating the established logical connection. Therefore, it is possible to suppress the update operation when the load is high and to perform the update only when the load is low.
[0022]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[0023]
FIG. 1 is a diagram showing a configuration of a communication system for performing IPsec communication according to an embodiment of the present invention. 1, a communication system according to an embodiment of the present invention includes a host terminal 10 connected to a LAN 70, a host terminal 20 connected to a LAN 80, a router 30 provided between the LAN 70 and the Internet 100, And a router 40 provided between the Internet and the Internet 100.
[0024]
The router 30 is a security gateway having a function of terminating IPsec. In addition to a general means (not shown) such as a routing means for performing routing based on a routing table, a load for determining an internal load of the apparatus is provided. It has a determination unit 31 and an IKE unit 32 for performing key exchange by IKE. The router 40 is also a security gateway having a function of terminating IPsec. In addition to general means (not shown) such as routing means, a load determination unit 41 for determining an internal load, and key exchange by IKE And an IKE unit 42 for performing
[0025]
Next, the operation of the communication system according to the embodiment of the present invention will be described. In order to perform IPsec communication between the routers 30 and 40, it is necessary to establish an SA between the routers 30 and 40. Therefore, when the router 30 receives the user traffic from the host terminal 10, that is, when it receives data to be processed in IPsec from the host terminal 10, the router 30 is set as a key exchange initiator (initiator), and the router 40 is set as a responder (initiator). As a responder, an SA is established by negotiation between the two. This operation is the same as the operation in FIG.
[0026]
That is, first, the IKE unit 32 proposes to the IKE unit 42 to establish an IKE-SA between the routers 30 and 40, and the IKE units 32 and 42 perform negotiation for establishing the IKE-SA. The phase 1 key exchange is performed (step A1).
[0027]
If the IKE-SA is established by the key exchange of the phase 1 (step A2), the key exchange of the phase 2 is executed (step A3). That is, the IKE unit 32 proposes that the IPsec-SA is established between the routers 30 and 40 to the IKE unit 42, and the IKE units 32 and 42 perform negotiation for establishing the IPsec-SA.
[0028]
When the IPsec-SA is established by the key exchange in the phase 2 (step A4), the IKE communication ends and the IPsec communication starts (step A5). That is, the router 30 encapsulates the data received from the host terminal 10 and bases on the information exchanged between the routers 30 and 40 by IKE communication (established IPsec-SA information (information such as keys and algorithms)). The authentication information is added to the data encapsulated in the file and encrypted. Upon receiving the data from the router 30, the router 40 extracts the original data based on the information of the established IPsec-SA, and sends it to the host terminal 20.
[0029]
Next, a key update (SA update) process of the communication system according to the embodiment of the present invention will be described. In the conventional communication system, as described above with reference to FIG. 5, in the state where the IPsec-SA is established, when the IPsec-SA renewal period (key renewal period) comes, the key exchange of the phase 2 is executed. Thus, an IPsec-SA update operation (key update operation) of establishing a new IPsec-SA is always performed.
[0030]
However, in the communication system according to the embodiment of the present invention, when the IPsec-SA is established, when the update period comes, the load in the router is determined, and the key is updated only when the load is low. This operation is shown in FIG.
[0031]
As described above, when the router 30 receives the data to be processed in IPsec from the host terminal 10 and the IPsec-SA is established by the negotiation between the router 30 as the initiator and the router 40 as the responder, In the update period, as shown in FIG. 2, the load determining unit 31 of the router 30 measures the current CPU usage rate of the router 30 and compares it with a specified value (steps S1 and S2).
[0032]
If the current CPU usage rate is equal to or less than the specified value (step S2, YES), the key is updated (step S4). That is, the IKE unit 32 of the router 30 proposes to the IKE unit 42 of the router 40 to establish a new IPsec-SA between the routers 30 and 40, and the IKE units 32 and 42 establish a new IPsec-SA. Negotiations for Thereby, the IPsec-SA between the routers 30 and 40 can be updated.
[0033]
On the other hand, if the current CPU usage rate exceeds the specified value (step S2, NO), the load determination unit 31 waits for a predetermined time and determines the load status of the router 30 again (steps S3, S1, S2). .
[0034]
If the key used for the IPsec communication, that is, the IPsec-SA cannot be updated during the update period (step S5, NO), the key update is performed at a time specified in advance by the operator of the router 30 (operator specified time). (Step S6). The operator specifies a time in a time zone during which the device load is low (for example, at night) as the operator-specified time.
[0035]
If the key cannot be updated during the update period and the key has disappeared (IPsec-SA has disappeared), then when the router 30 receives data to be processed in IPsec from the host terminal 10, the IKE The unit 32 proposes to the IKE unit 42 of the router 40 that an IPsec-SA is established between the routers 30 and 40, and performs the key exchange between the routers 30 and 40 again to establish the IPsec-SA. Become.
[0036]
Also, at the time specified by the operator, the IKE unit 32 proposes to the IKE unit 42 of the router 40 to establish the IPsec-SA between the routers 30 and 40 regardless of the load condition, and actively activates the IPsec-SA. Will be updated.
[0037]
In the above description, only the load status of the initiator is considered, but the load status of the responder may be considered. That is, since the load on the router 30 as the initiator is low, the IKE unit 32 of the router 30 in step S4 in FIG. 2 informs the router 40 of the establishment of a new IPsec-SA between the routers 30 and 40. When the proposal is made to the unit 42, the load determining unit 41 of the router 40, which is the responder, measures the current CPU usage rate of the router 40 and compares it with the specified value as in step S2.
[0038]
If the CPU usage rate of the router 40 is equal to or less than the specified value, the IKE unit 42 of the router 40 returns a response to the proposal from the IKE unit 32 of the router 30 and updates the key as usual. If so, the IKE unit 42 does not return a response to the proposal. As a result, even if the load on the router 30 is low, if the load on the router 40 is high, the update is not performed after all.
[0039]
Note that the processing operation according to the flow shown in FIG. 2 can be realized by causing a computer serving as a CPU (control unit) to read and execute a program stored in a storage medium such as a ROM in advance. It is.
[0040]
【The invention's effect】
An advantage of the present invention is that it is possible to prevent device operation from becoming unstable due to a key update operation. The reason is that the communication device determines whether to update the SA according to the load in the own device during the update period for updating the SA (Security Association) which is the established logical connection. Therefore, it is possible to suppress the SA update operation (key update operation) when the load is high and to perform the update only when the load is low.
[Brief description of the drawings]
FIG. 1 is a diagram showing a configuration of a communication system according to an embodiment of the present invention.
FIG. 2 is a flowchart illustrating a key update (SA update) processing operation of the communication system according to the embodiment of the present invention.
FIG. 3 is a diagram illustrating a configuration of a conventional communication system.
FIG. 4 is a flowchart showing an operation of the communication system of FIG. 3;
FIG. 5 is a diagram for explaining a key update (SA update) process of the communication system of FIG. 3;
[Explanation of symbols]
10, 20 Host terminal 30, 40 Router 31, 41 Load determining unit 32, 42 IKE unit 70, 80 LAN
