JP2006060379A - ネットワーク中継装置、ネットワークシステム及び暗号化通信方法 - Google Patents

Abstract

【課題】ＩＰｓｅｃ等に基づく暗号トンネルを介して暗号化通信が可能なネットワーク中継装置、ネットワークシステム及び暗号化通信方法において、暗号トンネル構築の完了前におけるパケットロス発生を抑制すること。
【解決手段】、ユーザ装置１０からＩＳＡＫＭＰパケットＤ１を受信したタイミングＴ１で、ユーザ装置１０から送信される暗号化データに対する暗号解除用のＰｈａｓｅ−ＩＩ ＳＡ（受信用ＳＡ）のみの設定を行い、ユーザ装置１０に送信するデータを暗号化する暗号化用のＰｈａｓｅ−ＩＩ ＳＡ（送信用ＳＡ）の設定を、ユーザ装置１０からの認証を表すＩＳＡＫＭＰパケットＤ３を受信したタイミングＴ２で行う。
【選択図】図３

Description

本発明は、ＩＰｓｅｃ等に基づく高度なセキュリティ機能を備えたネットワーク通信が行えるネットワーク中継装置、ネットワークシステム及び暗号化通信方法に関する。

最近、ＩＰｓｅｃ（IP Security Protocol）等に基づく高度なセキュリティ機能を備えたネットワーク通信が実現されている（例えば、特許文献１を参照）。このようなネットワーク通信を用ることにより、ＣＰＥ（Customer Premises Equipment、以下、ユーザ装置という）とネットワーク中継装置（以下、ルータ（router）という場合がある）等の通信相手同士があたかも安全な専用回線で直結されたかのように通信可能なＶＰＮ（Virtual Private Network）が実現できる。

このようなＩＰｓｅｃを用いたネットワーク通信では、ＩＰｓｅｃに基づく暗号化通信を行うため、ＩＳＡＫＭＰ（Internet Security Association & Key Management Protocol）等の鍵管理プロトコルに基づく認証・暗号化情報の交換（ＩＫＥ；Internet Key Exchange）が行われる。このＩＫＥには、二段階のネゴシエーション（negotiation）が含まれ、まず、第一段目のネゴシエーション（以下、Ｐｈａｓｅ−Ｉという）が実行されることにより、続く第二段目のネゴシエーション（以下、Ｐｈａｓｅ−ＩＩという）が暗号化され、次いでこのＰｈａｓｅ−ＩＩが実行されることにより、ＥＳＰ（Encapsulating Security Payload）による暗号化通信（暗号トンネル）の構築が完了する。

この際、当該暗号化通信を行うための認証・暗号化のアルゴリズムや秘密非対称鍵（ＫＥＹ）等の情報を表すＳＡ（Security Association）がＩＫＥの各ネゴシエーションの際に作成されて両通信相手（ユーザ装置、ネットワーク中継装置）のメモリ内に保存される。
特開２００４−１０４５５９号公報

しかし、上記従来の技術には次のような問題点がある。
例えば、図５に示すように、Ｐｈａｓｅ−ＩＩのネゴシエーション後、ルータ２０では、図中符号Ｔ１１に示すタイミング（すなわち、ユーザ装置１０からの認証が受信されたタイミング）で暗号トンネルの構築が開始され、その後、図中符号Ｔ１２に示すタイミングでこの暗号トンネルの構築が完了する。すなわち、この暗号トンネルに係る暗号化データ（ＥＳＰパケット）に対する暗号解除設定（すなわち、受信設定）及び暗号化設定（すなわち、送信設定）が、タイミングＴ１１、Ｔ１２間で行われる。
しかし、ユーザ装置１０から送信されたＥＳＰパケットがルータ２０に到達するタイミングＴ１３が、タイミングＴ１１、Ｔ１２の間、すなわち、暗号トンネルの構築期間にあるため、当該ＥＳＰパケットが当該暗号トンネル構築完了前にルータ２０に到達することとなる。このため、当該ＥＳＰパケットは、ルータ２０に受信されず、パケットロスが発生する。特に、タイミングＴ１２の前にルータ２０に到達するＥＳＰパケットが複数の場合、当該ＥＳＰパケットは、全てルータ２０には受信されず、そのため、多くのパケットロスが発生することとなる。
本発明の課題は、ＩＰｓｅｃ等に基づく暗号トンネルを介して暗号化通信が可能なネットワーク中継装置、ネットワークシステム及び暗号化通信方法において、暗号トンネル構築の完了前におけるパケットロス発生を抑制することである。

上記課題を解決するため、請求項１に記載の発明は、
ユーザ装置（例えば、ユーザ装置１０）との間で暗号トンネルを構築して暗号化通信を行うネットワーク中継装置（例えば、ルータ２０）であって、
前記ユーザ装置から暗号トンネルの構築要求（例えば、ＩＳＡＫＭＰパケットＤ１）が送信されると、当該暗号トンネルに基づく暗号化通信の受信設定（例えば、受信用ＳＡの設定）を行い、その後、前記ユーザ装置から認証通知（例えば、ＩＳＡＫＭＰパケットＤ３）が送信されると、当該暗号化通信の送信設定（例えば、送信用ＳＡの設定）を行うよう制御する制御手段（例えば、ＣＰ２１）を備えたことを特徴とする。

更に、請求項２に記載の発明のように、請求項１に記載の発明において、
前記制御手段は、前記暗号化通信の受信設定の後、該暗号化通信の送信設定の完了前に前記ユーザ装置から当該暗号トンネルを介して暗号化データ（例えば、ＥＳＰパケットＤ４）が送信されると、前記受信設定に基づいて当該暗号化データを受信するのが好ましい。

また、上記課題を解決するため、請求項３に記載の発明は、
ネットワーク間で行われるデータ通信を中継する中継ネットワーク中継装置（例えば、ルータ２０）と、該ネットワーク中継装置を経由してデータ通信が可能なユーザ装置（例えば、ユーザ装置１０）とを備え、該ユーザ装置と前記ネットワーク中継装置との間で暗号トンネルを構築して相互に暗号化通信を行うネットワークシステム（例えば、ネットワークシステム１００）であって、
前記ユーザ装置が、前記暗号トンネルの構築要求（例えば、ＩＳＡＫＭＰパケットＤ１）を前記ネットワーク中継装置に対して行うと、該ネットワーク中継装置は、当該暗号トンネルに基づく暗号化通信の受信設定（例えば、受信用ＳＡの設定）を行い、その後、前記ユーザ装置から認証通知（例えば、ＩＳＡＫＭＰパケットＤ３）が送信されると、当該暗号化通信の送信設定（例えば、送信用ＳＡ）を行うことを特徴とする。

更に、請求項４に記載の発明のように、請求項３に記載の発明において、
前記制御手段は、前記暗号化通信の受信設定の後、該暗号化通信の送信設定の完了前に前記ユーザ装置から当該暗号トンネルを介して暗号化データ（例えば、ＥＳＰパケットＤ４）が送信されると、前記受信設定に基づいて当該暗号化データを受信するのが好ましい。

また、上記課題を解決するため、請求項ｋ５に記載の発明は、
ネットワーク間で行われるデータ通信を中継する中継ネットワーク中継装置（例えば、ルータ２０）と、該ネットワーク中継装置を経由してデータ通信が可能なユーザ装置（例えば、ユーザ装置１０）との間で暗号トンネルを構築して相互に暗号化通信を行う暗号化通信方法であって、
前記ユーザ装置が、前記暗号トンネルの構築要求（例えば、ＩＳＡＫＭＰパケットＤ１）を前記ネットワーク中継装置に対して行うと、該ネットワーク中継装置が、当該暗号トンネルに基づく暗号化通信の受信設定（例えば、受信用ＳＡの設定）を行い、その後、前記ユーザ装置から認証通知（例えば、ＩＳＡＫＭＰパケットＤ３）が送信されると、当該暗号化通信の送信設定（例えば、送信用ＳＡの設定）を行うことを特徴とする。

更に、請求項６に記載の発明のように、請求項５に記載の発明において、
前記暗号化通信の受信設定の後、該暗号化通信の送信設定の完了前に前記ユーザ装置から当該暗号トンネルを介して暗号化データ（例えば、ＥＳＰパケットＤ４）が送信されると、前記受信設定に基づいて当該暗号化データを受信するのが好ましい。

本発明によれば、暗号化通信の送信設定前、すなわち、暗号トンネル構築完了前に、ユーザ装置１０から暗号化データ（パケット）がネットワーク中継装置に到達した場合であっても、暗号トンネル構築要求受信時に既に設定済みの受信設定に基づいて当該暗号化データの暗号解除が可能となるので、暗号トンネル構築完了前におけるデータロス（パケットロス）の発生が回避可能となる。

以下、図面を参照して本発明を適用したネットワークシステム１００について説明する。
ネットワークシステム１００は、図１に示すように、ユーザ装置（ＣＰＥ）１０と、ネットワーク中継装置としてのルータ２０とが、ネットワークＮを介し相互に通信（特に暗号化通信）可能に接続される。なお、ネットワークシステム１００は、複数のユーザ装置１０が接続された構成であってもよい。

ユーザ装置１０は、図２（ａ）に示すように、ＣＰ（Central Processor）１１、ＮＰ（Network Processor）１２を備え、ＣＰ１１は、ＩＳＡＫＭＰ制御デーモン（daemon）１１ａ、カーネル（kernel）１１ｂ、ＤＢ（Data Base）１１ｃ、ＳＡ（SA data base）１ａを備える。このＩＳＡＫＭＰ制御デーモン１１ａ、カーネル１１ｂは、ＣＰ１１が実行するプログラムの各機能を表すものであってもよいし、ハードウェアの機能を表すものであってもよい。

ＩＳＡＫＭＰ制御デーモン１１ａは、ＩＰｓｅｃによる暗号化通信を確立するため、ルータ２０との間で、ＩＳＡＫＭＰの鍵管理プロトコルに基づく認証・暗号化情報の交換（Ｐｈａｓｅ−Ｉ、ＩＩのネゴシエーション）を行う。

ＩＳＡＫＭＰ制御デーモン１１ａは、Ｐｈａｓｅ−Ｉ、ＩＩの各段階で作成した各ＳＡ（それぞれＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡという）をＳＡ１ａに格納する。

ＩＳＡＫＭＰ制御デーモン１１ａは、Ｐｈａｓｅ−ＩＩの際、ＤＢ１１ｃに格納された各種ピア（peer）情報（例えば、ルータ２０のアドレス等）を用いて、図４に示すＩＳＡＫＭＰパケットＤ１やＩＳＡＫＭＰパケットＤ３を作成する。

ここで、ＩＳＡＫＭＰパケットＤ１には、ＩＰヘッダ（ＩＰ）、ＵＤＰヘッダ（ＵＤＰ）、ＩＳＡＫＭＰヘッダ（ＩＳＡＫＭＰ）、ＨＡＳＨペイロード（ＨＡＳＨ）、ＳＡペイロード（ＳＡ）、ＮＯＮＣＥペイロード（Ｎｉ）、ｋｅｙ ｅｘｃｈｅｎｇｅペイロード（ＫＥ）、ＩＤペイロード（ＩＤｉ、ＩＤｒ）が含まれ、ＩＳＡＫＭＰパケットＤ３には、ＩＰヘッダ（ＩＰ）、ＵＤＰヘッダ（ＵＤＰ）、ＩＳＡＫＭＰヘッダ（ＩＳＡＫＭＰ）、ＨＡＳＨペイロード（ＨＡＳＨ）が含まれる。また、ＩＳＡＫＭＰパケットＤ１、Ｄ２において、ＨＡＳＨペイロード（ＨＡＳＨ）、ＳＡペイロード（ＳＡ）、ＮＯＮＣＥペイロード（Ｎｉ）、ｋｅｙ ｅｘｃｈｅｎｇｅペイロード（ＫＥ）、ＩＤペイロード（ＩＤｉ、ＩＤｒ）は、Ｐｈａｓｅ−Ｉ ＳＡに基づいて暗号化される。

カーネル１１ｂは、ネットワークＮを介してパケットを送信する場合には、ＳＡ１ａを参照して、当該送信パケットに係るＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡがＳＡ１ａに既に格納（作成）されているか否かを判定し、当該各ＳＡが既にＳＡ１ａに格納されている場合には、各ＳＡを用いて当該送信パケットの暗号化を行う。当該送信パケットに係る各ＳＡがＳＡ１ａに格納されていない場合には、ＩＳＡＫＭＰ制御デーモン１１ａに対して各ＳＡの作成要求を行う。

ＮＰ１２は、ネットワークＮを介してパケットの送受信を行うためのインターフェースを備える。

ルータ２０は、図２（ｂ）に示すように、ＣＰ２１、ＮＰ２２を備え、ＣＰ２１は、ＩＳＡＫＭＰ制御デーモン２１ａ、カーネル２１ｂ、ＤＢ２１ｃ、ＳＡ２ａを備える。ＣＰ２１は、ＩＳＡＫＭＰ制御デーモン２１ａ、カーネル２１ｂを用いて、図３に示す暗号トンネル構築時におけるＥＳＰパケット受信処理を行う。

このＩＳＡＫＭＰ制御デーモン２１ａ、カーネル２１ｂは、ＣＰ２１が実行するプログラムの各機能を表すものであってもよいし、ハードウェアの機能を表すものであってもよい。

ＩＳＡＫＭＰ制御デーモン２１ａは、ＩＰｓｅｃによる暗号化通信を確立するため、ユーザ装置１０との間で、ＩＳＡＫＭＰの鍵管理プロトコルに基づく認証・暗号化情報の交換（Ｐｈａｓｅ−Ｉ、ＩＩのネゴシエーション）を行う。

ＩＳＡＫＭＰ制御デーモン２１ａは、Ｐｈａｓｅ−Ｉ、ＩＩの各段階で作成した各ＳＡ（それぞれＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡという）をＳＡ２ａに格納する。

ＩＳＡＫＭＰ制御デーモン２１ａは、Ｐｈａｓｅ−ＩＩの際、ＤＢ２１ｃに格納された各種ピア（peer）情報（例えば、ユーザ装置１０のアドレス等）を用いて、図４に示すＩＳＡＫＭＰパケットＤ２を作成する。

ここで、ＩＳＡＫＭＰパケットＤ２は、ＩＰヘッダ（ＩＰ）、ＵＤＰヘッダ（ＵＤＰ）、ＩＳＡＫＭＰヘッダ（ＩＳＡＫＭＰ）、ＨＡＳＨペイロード（ＨＡＳＨ）、ＳＡペイロード（ＳＡ）、ＮＯＮＣＥペイロード（Ｎｒ）、ｋｅｙ ｅｘｃｈｅｎｇｅペイロード（ＫＥ）、ＩＤペイロード（ＩＤｉ、ＩＤｒ）が含まれる。また、ＨＡＳＨペイロード（ＨＡＳＨ）、ＳＡペイロード（ＳＡ）、ＮＯＮＣＥペイロード（Ｎｒ）、ｋｅｙ ｅｘｃｈｅｎｇｅペイロード（ＫＥ）、ＩＤペイロード（ＩＤｉ、ＩＤｒ）は、Ｐｈａｓｅ−Ｉ ＳＡに基づいて暗号化される。

カーネル２１ｂは、ネットワークＮを介してパケットが受信されると、ＳＡ２ａを参照して、当該受信パケットに係るＰｈａｓｅ−Ｉ ＳＡ、Ｐｈａｓｅ−ＩＩ ＳＡがＳＡ２ａに既に格納（作成）されているか否かを判定し、当該各ＳＡが既にＳＡ２ａに格納されている場合には、各ＳＡを用いて当該受信パケットの復号化を行う。当該受信パケットに係る各ＳＡがＳＡ２ａに格納されていない場合には、ＩＳＡＫＭＰ制御デーモン２１ａに対して各ＳＡの作成要求を行う。その際、ＩＳＡＫＭＰ制御デーモン２１ａは、当該パケットの送信元との間でＰｈａｓｅ−Ｉ、ＩＩを行って各ＳＡを作成する。

ＮＰ２２は、ネットワークＮを介してパケットの送受信を行うためのインターフェースを備える。

次に、図３、図４を参照して、ＣＰ２１による暗号トンネル構築時におけるＥＳＰパケット受信処理について説明する。

まず、Ｐｈａｓｅ−Ｉネゴシエーション終了後、ＩＳＡＫＭＰパケットＤ１がユーザ装置１０からタイミングＴ１（図４を参照）で受信されると、ＩＳＡＫＭＰ制御デーモン２１ａは、秘密対称鍵（ＫＥＹペイロードの内容）を作成し、ユーザ装置１０から送信される暗号化データに対する暗号解除用のＰｈａｓｅ−ＩＩ ＳＡ（以下、受信用ＳＡという）のみの設定を行う（ステップＳ１）。

その後、カーネル２１ｂは、ユーザ装置１０からこのユーザ装置１０の認証を表すＩＳＡＫＭＰパケットＤ３を受信したか否かを判定し（ステップＳ２）、ＩＳＡＫＭＰパケットＤ３をタイミングＴ２（図４を参照）で受信した場合には（ステップＳ２；Ｙｅｓ）、ＩＳＡＫＭＰ制御デーモン２１ａは、ユーザ装置１０への送信データを暗号化する暗号化用のＰｈａｓｅ−ＩＩ ＳＡ（以下、送信用ＳＡという）の設定を開始する（ステップＳ３）。

ステップＳ３の後、カーネル２１ｂは、ＩＳＡＫＭＰ制御デーモン２１ａから、送信用ＳＡの設定完了通知を受信したか否かを判定し（ステップＳ４）、送信用ＳＡの設定完了通知を受信した場合、すなわち暗号トンネル構築が完了された場合には（ステップＳ４；Ｙｅｓ）、ユーザ装置１０から送信される暗号化データの暗号解除や、ユーザ装置１０へ送信するデータの暗号化をＰｈａｓｅ−ＩＩ ＳＡに基づいて行う（ステップＳ５）。

ステップＳ４の段階で、カーネル２１ｂは、送信用ＳＡの設定完了通知を受信しない場合、すなわち暗号トンネル構築完了前の場合（ステップＳ４；Ｎｏ）、ユーザ装置１０からＥＳＰパケットＤ４が送信されたか否かを判定し（ステップＳ６）、ＥＳＰパケットＤ４が送信されていない場合には（ステップＳ６；Ｎｏ）ステップＳ４に移行し、ＥＳＰパケットＤ４が送信（例えば、タイミングＴ４でカーネル２１ｂに到達）された場合には（ステップＳ６；Ｙｅｓ）、当該ＥＳＰパケットＤ４の暗号解除を受信用ＳＡに基づいて行い（ステップＳ７）、ステップＳ４に移行する。すなわち、暗号トンネル完了時を示すタイミングＴ３の前のタイミングＴ４でユーザ装置１０からのＥＳＰパケットＤ４がカーネル２１ｂに到達しても、受信用ＳＡにより暗号解除され、カーネル２１ｂにより受信可能となる。

ステップＳ２に戻って説明する。
ステップＳ２の段階で、カーネル２１ｂは、ユーザ装置１０からＩＳＡＫＭＰパケットＤ３を受信していない場合には（ステップＳ２；Ｎｏ）ＩＳＡＫＭＰパケットＤ３受信までの受信タイマがタイムアップしたか否かを判定する（ステップＳ８）。

ステップＳ８の段階で、カーネル２１ｂは、上記受信タイマがタイムアップした場合には（ステップＳ８；Ｙｅｓ）、当該暗号トンネル構築のためのネゴシエーションを終了し（ステップＳ９）、上記受信タイマがタイムアップしていない場合には（ステップＳ８；Ｎｏ）、ユーザ装置１０からＥＳＰパケットＤ４が送信されたか否かを判定し（ステップＳ１０）、ＥＳＰパケットＤ４が送信されていない場合には（ステップＳ１０；Ｎｏ）ステップＳ２に移行し、ＥＳＰパケットＤ４が送信された場合には（ステップＳ１０；Ｙｅｓ）、当該ＥＳＰパケットＤ４の暗号解除を受信用ＳＡに基づいて行い（ステップＳ１１）、ステップＳ２に移行する。

以上説明したように、ルータ２０は、ユーザ装置１０からＩＳＡＫＭＰパケットＤ１を受信したタイミングＴ１で、ユーザ装置１０から送信される暗号化データに対する暗号解除用のＰｈａｓｅ−ＩＩ ＳＡ（受信用ＳＡ）のみの設定を行い、ユーザ装置１０に送信するデータを暗号化する暗号化用のＰｈａｓｅ−ＩＩ ＳＡ（送信用ＳＡ）の設定を、ユーザ装置１０からの認証を表すＩＳＡＫＭＰパケットＤ３を受信したタイミングＴ２で行うので、この送信用ＳＡの設定完了前、すなわち、暗号トンネル構築完了前に、ユーザ装置１０からＥＳＰパケットＤ４がルータ２０に到達した場合であっても、タイミングＴ１で既に設定済みの受信用ＳＡに基づいて当該ＥＳＰパケットＤ４の暗号解除が可能となるので、暗号トンネル構築完了前におけるパケットロスの発生が回避可能となる。

なお、本実施の形態における記述は上記したものに限定されない。本実施の形態におけるネットワークシステム１００、ユーザ装置１０、ルータ２０の細部構成及び詳細な動作等に関しては、本発明の趣旨を逸脱しない範囲で適宜変更可能である。

本発明を適用したネットワークシステムの概略構成を示す図である。 （ａ）は、図１に示すユーザ装置の機能ブロック図であり、（ｂ）は、図１に示すルータの機能ブロック図である。 本発明を適用した暗号トンネル構築時におけるＥＳＰパケット受信処理について説明するフローチャートである。 暗号トンネル構築の際のＰｈａｓｅ−ＩネゴシエーションにおけるＩＳＡＫＭＰパケットの詳細内容及び送受信タイミングを示す図である。 従来の暗号トンネル構築時におけるＥＳＰパケット受信処理について説明するフローチャートである。

符号の説明

１０ ユーザ装置
１００ ネットワークシステム
１１ ＣＰ
１１ａ ＩＳＡＫＭＰ制御デーモン
１１ｂ カーネル
１１ｃ ＤＢ
１２ ＮＰ
１ａ ＳＡ
２０ ルータ
２１ ＣＰ
２１ａ ＩＳＡＫＭＰ制御デーモン
２１ｂ カーネル
２１ｃ ＤＢ
２２ ＮＰ
２ａ ＳＡ
Ｄ１、Ｄ２、Ｄ３ ＩＳＡＫＭＰパケット
Ｄ４ ＥＳＰパケット
Ｎ ネットワーク

Claims (6)

1. ユーザ装置との間で暗号トンネルを構築して暗号化通信を行うネットワーク中継装置であって、
   前記ユーザ装置から暗号トンネルの構築要求が送信されると、当該暗号トンネルに基づく暗号化通信の受信設定を行い、その後、前記ユーザ装置から認証通知が送信されると、当該暗号化通信の送信設定を行うよう制御する制御手段を備えたことを特徴とするネットワーク中継装置。
2. 前記制御手段は、前記暗号化通信の受信設定の後、該暗号化通信の送信設定の完了前に前記ユーザ装置から当該暗号トンネルを介して暗号化データが送信されると、前記受信設定に基づいて当該暗号化データを受信することを特徴とする請求項２に記載のネットワーク中継装置。
3. ネットワーク間で行われるデータ通信を中継する中継ネットワーク中継装置と、該ネットワーク中継装置を経由してデータ通信が可能なユーザ装置とを備え、該ユーザ装置と前記ネットワーク中継装置との間で暗号トンネルを構築して相互に暗号化通信を行うネットワークシステムであって、
   前記ユーザ装置が、前記暗号トンネルの構築要求を前記ネットワーク中継装置に対して行うと、該ネットワーク中継装置は、当該暗号トンネルに基づく暗号化通信の受信設定を行い、その後、前記ユーザ装置から認証通知が送信されると、当該暗号化通信の送信設定を行うことを特徴とするネットワーク中継装置。
4. 前記制御手段は、前記暗号化通信の受信設定の後、該暗号化通信の送信設定の完了前に前記ユーザ装置から当該暗号トンネルを介して暗号化データが送信されると、前記受信設定に基づいて当該暗号化データを受信することを特徴とする請求項３に記載のネットワーク中継装置。
5. ネットワーク間で行われるデータ通信を中継する中継ネットワーク中継装置と、該ネットワーク中継装置を経由してデータ通信が可能なユーザ装置との間で暗号トンネルを構築して相互に暗号化通信を行う暗号化通信方法であって、
   前記ユーザ装置が、前記暗号トンネルの構築要求を前記ネットワーク中継装置に対して行うと、該ネットワーク中継装置が、当該暗号トンネルに基づく暗号化通信の受信設定を行い、その後、前記ユーザ装置から認証通知が送信されると、当該暗号化通信の送信設定を行うことを特徴とする暗号化通信方法。
6. 前記暗号化通信の受信設定の後、該暗号化通信の送信設定の完了前に前記ユーザ装置から当該暗号トンネルを介して暗号化データが送信されると、前記受信設定に基づいて当該暗号化データを受信することを特徴とする請求項５に記載の暗号化通信方法。
   

Images