JP2005341084A - Ｖｐｎシステム、リモート端末及びそれらに用いるリモートアクセス通信方法 - Google Patents

Abstract

【課題】 専用ＩＰ機器のための自動コンフィグを実現可能なＶＰＮシステムを提供する。
【解決手段】 フェーズ＃１通信で、ＩＫＥ ＳＡ通信確立後（ａ１〜ａ３）、ＩＫＥ ＳＡ上を経由して認証通信を行い（ａ４〜ａ７）、リモート端末のリモートアクセス先の閉域ＩＰ網内のＩＰアドレス及びコンフィグデータを、リモート端末へ払い出す（ａ８〜ａ１１）。上記のパラメータの払い出し過程において、ＢＧＷ（２）はリモート端末のユーザレベルでの本人性認証を行うことによって、リモート端末上のユーザを特定し、コンフィグデータ取得通信にて、リモート端末の閉域ＩＰ網内のＩＰアドレス及びコンフィグデータをコンフィグデータ管理サーバから取得する。
【選択図】 図１

Description

本発明はＶＰＮシステム、境界ゲートウェイ及びそれらに用いるリモートアクセス通信方法に関し、特にＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）トンネル技術にＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）のＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）トンネル技術を適用したリモートアクセスＩＰｓｅｃＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）に関する。

この種のリモートアクセスＩＰｓｅｃＶＰＮにおいては、リモート端末が汎用のＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）ではなく、ある決められた処理を専門に行う専用ＩＰ機器の場合がある（例えば、特許文献１参照）。

上記のシステム構成では、
（１）リモート端末のリモートアクセス先の閉域ＩＰ網内ＩＰアドレスを、センタ局舎内から動的に払い出して一括管理することによって、遠隔からの設定管理することが好ましいので、閉域ＩＰ網内のアドレス管理サーバがＩＰトンネルを介して閉域ＩＰ網内ＩＰアドレスを払い出す必要がある。
（２）リモート端末上のユーザのコンフィグデータが自動的に払い出されて設定されるのが好ましい。
（３）各ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）上のＬＡＮ ＩＰアドレスは動的に変更されるのが一般的であり、その変更に伴うＩＰトンネルの自動設定変更が必要である。
という３つの問題点がある。

特開２００２−２０８９６５号公報

リモート端末が汎用のＰＣではなく、ある決められた処理を専門に行う専用ＩＰ機器である場合には、ユーザが常に機器を操作する状況にないと考えられるので、リモートアクセス起動時、自動的にコンフィグデータが設定されることが望ましい。

しかしながら、リモート端末からリモートアクセス先の閉域ＩＰ網にＩＰｓｅｃを使用したアクセスをする場合においては、リモート端末の認証、リモート端末を使用するユーザの認証、及びリモートアクセス通信でやり取りされるデータに対するセキュリティが考慮されているのみであり、コンフィグ設定は手動で設定されるのが一般的である。現在、この専用ＩＰ機器のための自動コンフィグの実現が課題となっている。

そこで、本発明の目的は上記の問題点を解消し、専用ＩＰ機器のための自動コンフィグを実現することができるＶＰＮシステム、リモート端末及びそれらに用いるリモートアクセス通信方法を提供することにある。

本発明によるＶＰＮシステムは、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）トンネル技術にＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）のＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）トンネル技術を適用したリモートアクセスＩＰｓｅｃＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を用いるＶＰＮシステムであって、
リモート端末がリモートアクセス先の閉域ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）網内のノードと通信を行う際に前記閉域ＩＰ網内の境界ゲートウェイとの間で前記リモートアクセスＩＰｓｅｃＶＰＮ接続を行う手段を前記リモート端末に備え、前記リモート端末と前記閉域ＩＰ網内のノードとが仮想的に同じセグメント内に接続している。

本発明によるリモート端末は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）トンネル技術にＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）のＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）トンネル技術を適用したリモートアクセスＩＰｓｅｃＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を用いるＶＰＮシステムを構成するリモート端末であって、
リモートアクセス先の閉域ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）網内のノードと通信を行う際に前記閉域ＩＰ網内の境界ゲートウェイとの間で前記リモートアクセスＩＰｓｅｃＶＰＮ接続を行う手段を備え、前記閉域ＩＰ網内のノードと仮想的に同じセグメント内に接続している。

本発明によるリモートアクセス通信方法は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）トンネル技術にＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）のＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）トンネル技術を適用したリモートアクセスＩＰｓｅｃＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を用いるＶＰＮシステムに用いるリモートアクセス通信方法であって、
リモート端末側に、前記リモート端末がリモートアクセス先の閉域ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）網内のノードと通信を行う際に前記閉域ＩＰ網内の境界ゲートウェイとの間で前記リモートアクセスＩＰｓｅｃＶＰＮ接続を行う処理を備え、前記リモート端末と前記閉域ＩＰ網内のノードとが仮想的に同じセグメント内に接続している。

すなわち、本発明のＶＰＮシステムは、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）トンネル技術にＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）のＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）トンネル技術を適用したリモートアクセスＩＰｓｅｃＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）システムであって、あるローカルＩＰ網に位置する端末が、ある閉域ＩＰ網に対して、当該閉域ＩＰ網内ＩＰアドレス体系にしたがうリモート端末用アドレス（以下、閉域ＩＰ網内ＩＰアドレスとする）を保存することなしに、リモートアクセスを可能としている。

本発明のＶＰＮシステムでは、ＩＰｓｅｃのＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ＆ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）コンフィグレーションメソッドを適用することによって、リモートアクセス先の閉域ＩＰ網内ＩＰアドレスの自動払い出しを実現することを特徴としている。

同時に、本発明のＶＰＮシステムでは、ＩＳＡＫＭＰコンフィグレーションメソッドに、ユーザの認証処理、またその認証に依存してユーザが任意に定義できるコンフィグ情報を要求／応答することができる仕組みを持たせ、リモート端末のユーザ単位の自動払い出し／設定を可能としていることを特徴としている。

さらに、本発明のＶＰＮシステムでは、ＩＰｓｅｃのリモートアクセス機能を適用することによって、ローカルＩＰ網で付与されるＩＰアドレスの変更に伴い、動的にトンネル設定変更を可能としていることを特徴としている。

より具体的に説明すると、本発明のＶＰＮシステムは、リモートアクセスＩＰｓｅｃＶＰＮシステムであり、リモート端末がローカルＩＰ網ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に位置し、リモートアクセス先の閉域ＩＰ網ＬＡＮが比較的遠くに離れており、その間がＩＰ−ＶＰＮサービス、広域イーサネット（登録商標）等のＩＰ公衆網で接続されている。各ＬＡＮとＩＰ公衆網とにはＢＧＷ（Ｂｏｒｄｅｒ ＧａｔｅＷａｙ）がそれぞれ設置され、それらのＢＧＷは相互に接続されている。

本発明のＶＰＮシステムでは、リモート端末をリモートホストとし、ＢＧＷとの間をＩＰｓｅｃＶＰＮ接続する際に、その接続過程のメッセージ通信に、ＩＳＡＫＭＰコンフィグレーションメッソッドを導入している。

また、本発明のＶＰＮシステムでは、ＩＳＡＫＭＰコンフィグレーションメソッドを使用し、ＶＰＮアドレスとして閉域ＩＰ網内の固有ＩＰアドレス、またプライベートデータとしてコンフィグデータを払い出すことによって、リモート端末の閉域ＩＰ網内のＩＰアドレス及びコンフィグデータをリモート端末に動的に払い出すことが可能となる。

同時に、本発明のＶＰＮシステムでは、その閉域ＩＰ網内ＩＰアドレス及びコンフィグデータに対して、ＩＰｓｅｃプロトコルの暗号・認証アルゴリズムによってセキュリティを確保することが可能である。

これによって、本発明のＶＰＮシステムでは、リモート端末上のユーザにセキュリティを確保しつつ、対応するコンフィグデータを遠隔設定することが可能となる。

また、本発明のＶＰＮシステムでは、リモート端末上のユーザのコンフィグデータ、閉域ＩＰ網内ＩＰアドレスを自動的に設定することが可能であり、ＬＡＮ用ＩＰアドレスが動的な払い出しによって変化しても、それに伴うＩＰトンネルの自動設定変更が可能である。

さらに、本発明のＶＰＮシステムでは、リモート端末のプラグ＆プレイが可能となるので、手動で行うコンフィグ設定と比較して、設定作業工数を削除することが可能で、また設定誤りも少なくなる。

さらにまた、本発明のＶＰＮシステムでは、ＢＧＷにアドレス変換処理を入れることなく、リモート端末、コンフィグデータ管理サーバ、ＢＧＷを仮想的に同じセグメントに接続することが可能となる。よって、本発明のＶＰＮシステムでは、専用ＩＰ機器のための自動コンフィグを実現することが可能となる。

本発明は、以下に述べるような構成及び動作とすることで、専用ＩＰ機器のための自動コンフィグを実現することができるという効果が得られる。

次に、本発明の実施例について図面を参照して説明する。図１は本発明の一実施例によるＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）システムの構成を示すブロック図である。図１において、本発明の一実施例によるＶＰＮシステムは、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）トンネル技術にＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）のＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）トンネル技術を適用したリモートアクセスＩＰｓｅｃＶＰＮシステムである。

本発明の一実施例によるＶＰＮシステムは、リモート端末１と、ＢＧＷ（Ｂｏｒｄｅｒ ＧａｔｅＷａｙ）（１）２と、センタ管理局３と、ローカルＩＰ網ＬＡＮ（Ａ）１００と、ＩＰ公衆網１０１とから構成されており、リモート端末１とセンタ管理局３との間にはＩＰトンネル１０２が設置されている。センタ管理局３は閉域ＩＰ網ＬＡＮ（Ｂ）３００にそれぞれ接続されるＢＧＷ（２）３１と、コンフィグデータ管理サーバ３２とから構成されている。

リモート端末１はローカルＩＰ網ＬＡＮ（Ａ）１００に接続され、リモートアクセス先の閉域ＩＰ網ＬＡＮ（Ｂ）３００は比較的遠くに離れており、その間はＩＰ−ＶＰＮサービス、広域イーサネット（登録商標）等のＩＰ公衆網１０１で接続される。各ＬＡＮとＩＰ公衆網１０１とには、それそれＢＧＷ（１）２とＢＧＷ（２）３１とが設置され、それらは相互に接続されている。

図２は本発明の一実施例によるＶＰＮシステムの動作を示すシーケンスチャートである。図２には、リモートアクセス時のリモート端末１、ＢＧＷ（２）３１、及びコンフィグデータ管理サーバ３２の間のメッセージシーケンスを示しており、リモート端末１をリモートホストとして、ＢＧＷ（２）３１との間をＩＰｓｅｃＶＰＮ接続する過程を示している。

接続過程のメッセージａ１０，ａ１１の通信には、ＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ＆ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）コンフィグレーションメソッドを導入している。

本実施例では、ＩＳＡＫＭＰコンフィグレーションメソッドを使用して、ＶＰＮアドレスとして閉域ＩＰ網ＬＡＮ（Ｂ）３００内の固有ＩＰアドレス、プライベートデータとしてコンフィグデータを払い出すことによって、リモート端末１の閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレス及びコンフィグデータをリモート端末１に動的に払い出すことが可能となる。同時に、その閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレス及びコンフィグデータは、ＩＰｓｅｃプロトコルの暗号・認証アルゴリズムによってセキュリティを確保することが可能である。

一般に、リモート端末１が設置されるローカルＩＰ網ＬＡＮ（Ａ）１００とコンフィグデータ管理サーバ３２が設置される閉域ＩＰ網ＬＡＮ（Ｂ）３００とは比較的遠くに離れており、その間はＩＰ−ＶＰＮ、広域イーサネット（登録商標）サービス等のＩＰ公衆網１０１で接続されている。

各ＬＡＮとＩＰ公衆網１０１との間には、ＢＧＷ（１）２及びＢＧＷ（２）３１が設置され、それらが相互に接続されている。ＩＰ公衆網１０１はオープンネットワークのため、セキュリティ上の問題（脅威）が発生しやすい。

本発明のリモートアクセスＩＰｓｅｃＶＰＮシステムにおいて、コンフィグデータ管理サーバ３２が設置される閉域ＩＰ網ＬＡＮ（Ｂ）３００は、一般的に、センタ管理局３内に設置されるので、セキュリティが確保されている。しかしながら、ローカルＩＰ網ＬＡＮ（Ａ）１００とＩＰ公衆網１０１とに対してはセキュリティを確保しなければならない。

本発明では、リモート端末１がリモートホストとしてＢＧＷ（２）３１との間に、ＩＰｓｅｃＥＳＰトンネルモードを設定し、セキュリティ上の脅威を排除している。リモート端末１がセンタ管理局３内のＢＧＷ（２）３１とＩＰｓｅｃＳＡを確立する過程を図２に示す。

フェーズ＃１通信で、ＩＫＥ ＳＡ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）通信確立後（図２のａ１〜ａ３）、ＩＫＥ ＳＡ上を経由して認証通信を行い（図２のａ４〜ａ７）、リモート端末１のリモートアクセス先の閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレス及びコンフィグデータを、リモート端末１へ払い出す（図２のａ８〜ａ１１）。これによって、本実施例では、リモート端末１の自動コンフィグが可能となる。

上記のパラメータの払い出し過程において、ＢＧＷ（２）３１はリモート端末１のユーザレベルでの本人性（リモート端末１の機器ではなく、それを使用するユーザ）認証を行うことによって、リモート端末１上のユーザを特定し、コンフィグデータ取得通信にて、リモート端末１の閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレス及びコンフィグデータをコンフィグデータ管理サーバ３２から取得する。

リモート端末１に配布する閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレスは、閉域ＩＰ網ＬＡＮ（Ｂ）３００上のアドレス体系にしたがう。これによって、ＢＧＷ（２）３１にはＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）等のアドレス変換処理が不要となり、コンフィグデータ管理サーバ３２、ＢＧＷ（２）３１、リモート端末１はそれぞれ仮想的に同じセグメントに接続されているように扱うことが可能となる。

また、リモート端末１はホストとしてＢＧＷ（２）３１にＩＰｓｅｃ接続するので、ＩＰｓｅｃのリモートアクセス接続機能によって、リモート端末１のローカルＩＰ網ＬＡＮ（Ａ）１００用のＩＰアドレスを、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）等で動的に付与することが可能である。

フェーズ＃１通信後、上記のＩＫＥ ＳＡ上で行われる認証通信及びコンフィグデータの払い出し通信は、ＩＰｓｅｃのＩＳＡＫＭＰコンフィギュレーションメソッドにしたがって行われる。

図３（ａ）には、ＩＳＡＫＭＰコンフィギュレーションメソッドで用いるＩＳＡＫＭＰパケットのデータフォーマットを示している。ＩＳＡＫＭＰペイロードにはコンフィグレーションメソッド・ペイロードが使用され、そのフォーマットを図３（ｂ）に示す。

認証通信の場合、Ａｔｔｒｉｂｕｔｓに認証に関連する属性を設定し、コンフィグデータ払い出し通信の場合には、図３（ｃ）に示すように、ＶＰＮアドレス属性、また、その後にプライベートデータ属性をそれぞれ設定する。このＶＰＮアドレスに閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレス及びコンフィグデータの払い出しを可能とする。

ＩＳＡＫＭＰコンフィグレーションメソッドは、ＩＫＥ通信と同じく、メッセージをやり取りする始動者（イニシエータ）と、それに対して応答する応答者（レスポンダ）とによって行われる。本実施例では、ＢＧＷ（２）３１がイニシエータ、リモート端末１がレスポンダとなり、メッセージ交換を行う。図２に示すシーケンスにおいて、各メッセージ種別は、図３（ｂ）に示すコンフィグレーション・ペイロードのＴｙｐｅフィールドの値で識別する。

図４は本発明の一実施例による具体的なＩＰアドレスを付与したシステム構成を示す図である。図４において、ＩＰｓｅｃのＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）トンネルを設定するには、トンネルを終端するアドレスと、そのトンネル内のＩＰ通信に使用するトンネルインタフェースのＩＰアドレスとが必要である。

リモート端末１のトンネル終端アドレス、トンネルインタフェースアドレスを、各々Ｃａ１，Ｃａ２とする。また、ＢＧＷ（２）３１のトンネル終端アドレス、トンネルインタフェースアドレスを、各々Ｓａ１，Ｓａ２とする。さらに、ローカルＩＰ網ＬＡＮ（Ａ）１００のネットワークアドレスをＮａＡとし、閉域ＩＰ網ＬＡＮ（Ｂ）３００のネットワークアドレスをＮａＢとする。

また、リモート端末１の閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレス、コンフィグデータはリモート端末１を配下にもつコンフィグデータ管理サーバ３２が保持するものとする。

この時、ＩＰｓｅｃのＥＳＰトンネルを設定するために、リモート端末１とＢＧＷ（２）３１とに設定を要するパラメータを図５に示す。本実施例では、リモート接続機能を適用し、図２のフェーズ＃１通信（ａ１〜ａ３）は、アグレッシブモードで行うので、ＩＤによってＰｒｅ−Ｓｈａｒｅｄ Ｋｅｙを特定する。したがって、項番Ｃ１，Ｓ１に示すように、自ＩＤと相手ＩＤとの組み合わせに対してＰｒｅ−Ｓｈａｒｅｄ Ｋｅｙの登録が必要である。

また、項番Ｃ２，Ｓ２に示すように、ＥＳＰ暗号化アルゴリズム、ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ）認証アルゴリズム、ＤＨ（Ｄｙｎａｍｉｃ Ｈｏｓｔ）グループ等のパラメータを双方で合わせて登録する必要がある。

トンネルに関するパラメータとして、項番Ｃ３，Ｃ４に示すように、そのトンネルを終端する双方のＩＰアドレス（始点アドレスＣａ１及び終点アドレスＳａ１）を、項番Ｓ３，Ｓ４に示すように、そのトンネルを終端する双方のＩＰアドレス（始点アドレスＳａ１及び終点アドレスＣａ１）をそれぞれ登録する必要がある。

また、項番Ｃ５，Ｓ５に示すように、自ノードのトンネルインタフェースのＩＰアドレス（Ｃａ２，Ｓａ２）を登録する必要がある。ＩＰｓｅｃ処理を施す対象パケットを特定するため、項番Ｃ６，Ｓ６に示すようにセキュリティポリシー（Ｃａ２→ＮａＢ，ＮａＢ→Ｃａ２）を登録する必要がある。

リモート端末１の起動直後は、項番Ｓ３，Ｓ４，Ｃ５，Ｃ６，Ｓ６は登録されていない。起動直後、動的に「Ｃａ１」がリモート端末１に払い出され、項番Ｓ３が登録される。その後、フェーズ＃１通信のメッセージａ１が、ＢＧＷ（２）３１に受信され、項番Ｓ４の登録がされる。

その際、メインモードであれば、双方のトンネル終端アドレスによってＰｒｅ−Ｓｈａｒｅｄ−Ｋｅｙが特定されるので、項番Ｓ３は予め登録されなければならないが、アグレッシブモードによって、予め項番Ｓ３の登録は不要である。

次に、認証通信（ａ４〜ａ７）で、ＢＧＷ（２）３１がリモート端末１上のユーザを特定し、コンフィグデータ取得通信（ａ８，ａ９）で、リモート端末１を配下に持つコンフィグデータ管理サーバ３２に、リモート端末１の閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレスとコンフィグデータとを問い合わせる。

取得後、コンフィグデータ配布通信（ａ１０，ａ１１）で、リモート端末１へ閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレスとコンフィグデータとを配布する。この際、その閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレスは、リモート端末１のトンネルインタフェースアドレスＣａ２となるので、項番Ｃ５，Ｃ６，Ｓ６が登録される。この段階では、ＩＳＡＫＭＰ ＳＡ上の通信なので、トンネルインタフェースアドレス、すなわち閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレスは不要なので、正常に通信が行うことが可能である。

その後、フェーズ＃２通信によって、ＩＰｓｅｃＳＡが結ばれ、ＩＰｓｅｃＥＳＰトンネルによる通信が開始される。この段階では、図５に示すパラメータがすべて登録されているので、正常に通信を行うことが可能となる。

このように、本実施例では、リモート端末１上のユーザに、セキュリティを確保しつつ、対応するコンフィグデータを遠隔設定することが可能となる。

また、本実施例では、リモート端末１上のユーザのコンフィグデータ、閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレスを自動的に設定することが可能であり、ローカルＩＰ網ＬＡＮ（Ａ）１００用のＩＰアドレスが動的な払い出しによって変化しても、それに伴うＩＰトンネルの自動設定変更が可能となり、リモート端末１のプラグ＆プレイが可能となるので、手動で行うコンフィグ設定と比較して、設定作業工数を削除することができ、また設定誤りも少なくなる。

さらに、本実施例では、ＢＧＷ（２）３１にアドレス変換処理を入れることなく、リモート端末１、コンフィグデータ管理サーバ３２、ＢＧＷ（１）２及びＢＧＷ（２）３１を仮想的に、同じセグメントに接続することが可能である。

本実施例では、コンフィグデータ管理サーバ３１が、リモート端末１に対する閉域ＩＰ網ＬＡＮ（Ｂ）３００内のＩＰアドレスを管理し、払い出しているが、この機能を別ノード（アドレス管理サーバ）に担わせることも可能である。その場合、図２に示すａ８，ａ９の取得メッセージは、ＶＰＮアドレス取得メッセージ用と、プライベートデータ（コンフィグデータ）取得用メッセージ用とに分けられ、それぞれアドレス管理サーバ、コンフィグデータ管理サーバ３２とのメッセージ通信が行われる。

本発明の一実施例によるＶＰＮシステムの構成を示すブロック図である。 本発明の一実施例によるＶＰＮシステムの動作を示すシーケンスチャートである。 （ａ）はＩＳＡＫＭＰコンフィギュレーションメソッドで用いるＩＳＡＫＭＰパケットのデータフォーマットを示す図、（ｂ）はコンフィグレーションメソッド・ペイロードのフォーマットを示す図、（ｃ）はＡｔｔｒｉｂｕｔｓのフォーマットを示す図である。 本発明の一実施例による具体的なＩＰアドレスを付与したシステム構成を示す図である。 図４のリモート端末とＢＧＷ（２）３１とに設定を要するパラメータを示す図である。

符号の説明

１ リモート端末
２ ＢＧＷ（１）
３ センタ管理局
３１ ＢＧＷ（２）
３２ コンフィグデータ管理サーバ
１００ ローカルＩＰ網ＬＡＮ（Ａ）
１０１ ＩＰ公衆網
１０２ ＩＰトンネル
３００ 閉域ＩＰ網ＬＡＮ（Ｂ）

Claims (15)

1. ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）トンネル技術にＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）のＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）トンネル技術を適用したリモートアクセスＩＰｓｅｃＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を用いるＶＰＮシステムであって、
   リモート端末がリモートアクセス先の閉域ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）網内のノードと通信を行う際に前記閉域ＩＰ網内の境界ゲートウェイとの間で前記リモートアクセスＩＰｓｅｃＶＰＮ接続を行う手段を前記リモート端末に有し、前記リモート端末と前記閉域ＩＰ網内のノードとが仮想的に同じセグメント内に接続することを特徴するＶＰＮシステム。
2. 前記リモート端末が前記閉域ＩＰ網内の境界ゲートウェイと前記リモートアクセスＩＰｓｅｃＶＰＮ接続する際、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）通信時に、ＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ＆ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）コンフィグレーションの認証通信にて前記リモート端末上のユーザを特定し、対応する前記閉域ＩＰ網内のＩＰアドレスを前記閉域ＩＰ網内のノードから取得し、前記ＩＳＡＫＭＰコンフィグレーションのＶＰＮアドレス払い出しにおいて前記ＶＰＮアドレスに前記閉域ＩＰ網内のＩＰアドレスを割当てることで前記閉域ＩＰ網内からの前記ＩＰアドレスの払い出しを行うことを特徴とする請求項１記載のＶＰＮシステム。
3. 前記閉域ＩＰ網内のノードは、前記対応する閉域ＩＰ網内のＩＰアドレスを保持するアドレス管理サーバであることを特徴とする請求項２記載のＶＰＮシステム。
4. 前記リモート端末が前記閉域ＩＰ網内の境界ゲートウェイと前記リモートアクセスＩＰｓｅｃＶＰＮ接続する際、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）通信時に、ＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ＆ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）コンフィグレーションの認証通信にて前記リモート端末上のユーザを特定し、対応するコンフィグデータを前記閉域ＩＰ網内のノードから取得し、前記ＩＳＡＫＭＰコンフィグレーションのメッセージに前記コンフィグデータを統合して前記閉域ＩＰ網内からの前記リモート端末のコンフィグデータの払い出しを行うことを特徴とする請求項１から請求項３のいずれか記載のＶＰＮシステム。
5. 前記閉域ＩＰ網内のノードは、前記対応するコンフィグデータを保持するコンフィグデータ管理サーバであることを請求項４記載のＶＰＮシステム。
6. ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）トンネル技術にＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）のＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）トンネル技術を適用したリモートアクセスＩＰｓｅｃＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を用いるＶＰＮシステムを構成するリモート端末であって、
   リモートアクセス先の閉域ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）網内のノードと通信を行う際に前記閉域ＩＰ網内の境界ゲートウェイとの間で前記リモートアクセスＩＰｓｅｃＶＰＮ接続を行う手段を有し、前記閉域ＩＰ網内のノードと仮想的に同じセグメント内に接続することを特徴するリモート端末。
7. 前記閉域ＩＰ網内の境界ゲートウェイと前記リモートアクセスＩＰｓｅｃＶＰＮ接続する際、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）通信時に、ＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ＆ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）コンフィグレーションの認証通信にて端末上のユーザを特定し、対応する前記閉域ＩＰ網内のＩＰアドレスを前記閉域ＩＰ網内のノードから取得し、前記ＩＳＡＫＭＰコンフィグレーションのＶＰＮアドレス払い出しにおいて前記ＶＰＮアドレスに前記閉域ＩＰ網内のＩＰアドレスを割当てることで前記閉域ＩＰ網内からの前記ＩＰアドレスの払い出しを行うことを特徴とする請求項６記載のリモート端末。
8. 前記閉域ＩＰ網内のノードが、前記対応する閉域ＩＰ網内のＩＰアドレスを保持するアドレス管理サーバであることを特徴とする請求項７記載のリモート端末。
9. 前記閉域ＩＰ網内の境界ゲートウェイと前記リモートアクセスＩＰｓｅｃＶＰＮ接続する際、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）通信時に、ＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ＆ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）コンフィグレーションの認証通信にて端末上のユーザを特定し、対応するコンフィグデータを前記閉域ＩＰ網内のノードから取得し、前記ＩＳＡＫＭＰコンフィグレーションのメッセージに前記コンフィグデータを統合して前記閉域ＩＰ網内からのコンフィグデータの払い出しを行うことを特徴とする請求項６から請求項８のいずれか記載のリモート端末。
10. 前記閉域ＩＰ網内のノードが、前記対応するコンフィグデータを保持するコンフィグデータ管理サーバであることを請求項９記載のリモート端末。
11. ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）トンネル技術にＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）のＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）トンネル技術を適用したリモートアクセスＩＰｓｅｃＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を用いるＶＰＮシステムに用いるリモートアクセス通信方法であって、
    リモート端末側に、前記リモート端末がリモートアクセス先の閉域ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）網内のノードと通信を行う際に前記閉域ＩＰ網内の境界ゲートウェイとの間で前記リモートアクセスＩＰｓｅｃＶＰＮ接続を行う処理を有し、前記リモート端末と前記閉域ＩＰ網内のノードとが仮想的に同じセグメント内に接続することを特徴するリモートアクセス通信方法。
12. 前記リモート端末が前記閉域ＩＰ網内の境界ゲートウェイと前記リモートアクセスＩＰｓｅｃＶＰＮ接続する際、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）通信時に、ＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ＆ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）コンフィグレーションの認証通信にて前記リモート端末上のユーザを特定し、対応する前記閉域ＩＰ網内のＩＰアドレスを前記閉域ＩＰ網内のノードから取得し、前記ＩＳＡＫＭＰコンフィグレーションのＶＰＮアドレス払い出しにおいて前記ＶＰＮアドレスに前記閉域ＩＰ網内のＩＰアドレスを割当てることで前記閉域ＩＰ網内からの前記ＩＰアドレスの払い出しを行うことを特徴とする請求項１１記載のリモートアクセス通信方法。
13. 前記閉域ＩＰ網内のノードが、前記対応する閉域ＩＰ網内のＩＰアドレスを保持するアドレス管理サーバであることを特徴とする請求項１２記載のリモートアクセス通信方法。
14. 前記リモート端末が前記閉域ＩＰ網内の境界ゲートウェイと前記リモートアクセスＩＰｓｅｃＶＰＮ接続する際、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）通信時に、ＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ＆ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）コンフィグレーションの認証通信にて前記リモート端末上のユーザを特定し、対応するコンフィグデータを前記閉域ＩＰ網内のノードから取得し、前記ＩＳＡＫＭＰコンフィグレーションのメッセージに前記コンフィグデータを統合して前記閉域ＩＰ網内からの前記リモート端末のコンフィグデータの払い出しを行うことを特徴とする請求項１１から請求項１３のいずれか記載のリモートアクセス通信方法。
15. 前記閉域ＩＰ網内のノードが、前記対応するコンフィグデータを保持するコンフィグデータ管理サーバであることを請求項１４記載のリモートアクセス通信方法。
    

Images