JP2006121738A

JP2006121738A - 中継装置

Info

Publication number: JP2006121738A
Application number: JP2005344289A
Authority: JP
Inventors: Tatsuya Shinmyo; 明達哉神; Masahiro Ishiyama; 山政浩石; Yuzo Tamada; 田雄三玉
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2005-11-29
Filing date: 2005-11-29
Publication date: 2006-05-11
Anticipated expiration: 2023-03-10
Also published as: JP3840254B2

Abstract

【課題】セキュリティを保持しつつ、サービス品質を保証する。
【解決手段】本発明に係る通信装置は、送信すべきIPパケットを暗号化した暗号パケットを生成する暗号化部１１と、IPパケットが暗号化されていることを示す第１の付加情報を暗号パケットに付加する第１の付加情報生成部１２と、IPパケットが所定の通信品質を要求する場合に、所定の通信品質が要求されることを示す第２の付加情報を暗号パケットに付加する第２の付加情報生成部１３と、第１及び第２の付加情報が付加された暗号パケットを送信する送信部１４と、を有する。送信パケットを暗号化して送信する際、そのパケットのサービス品質を決定するのに利用可能な宛先オプションヘッダｄ４を暗号化パケットに付加して送信するため、この送信パケットを受信したエッジルータ２が暗号鍵を所持していなくても、送信パケットのサービス品質を正しく決定でき、通信品質を保証した通信が可能になる。
【選択図】図１

Description

本発明は、IPパケットを暗号化して送信する中継装置に関する。

インターネットの普及とともに、その設計当初には想定されていなかった問題が顕在化するようになった。その一例として、セキュリティとサービス品質( QoS：Quality of Service)が挙げられる。

インターネットでセキュリティを確保するための仕組みの一つにIPセキュリティ（IPsec：IP security )がある。IPsecでは、通信の内容を暗号化して盗聴を防ぐために、ESP(encapsulated security payload)という新しいヘッダを定義している。ESPを用いた通信では、パケットのデータ部分を暗号化した上で、IPヘッダと暗号データの間に、データが暗号化されていることを示すESPヘッダを付加してネットワークへ送信する。受信側では、ESPヘッダを発見すると、そのヘッダの識別子に対応する復号用の鍵を用いて暗号データを復号し、ESPヘッダを取り除いて暗号前のパケットを再構成する。

一方、QoSのための仕組みとして、differentiated service(diffserv)がある。diffservを利用した通信では、サービス品質(たとえばネットワーク帯域)を保証する領域が存在し、その領域への入り口となるルータ(エッジルータ)が、転送するパケットの内容に応じて適切な品質を選択し、その品質に応じた転送処理(たとえばパケット廃棄率の変更など)を行う。

ここで、品質選択のためのパケットの内容として、TCP（Transmission Control Protocol）やUDP（User Datagram Protocol）のポート番号が有用な情報となる。通常、ポート番号は特定のアプリケーションに対応しており、アプリケーションの中には特定のサービス品質を要求するものがある（特許文献１、２及び３参照）。
IETF RFC2460 Internet Protocol, Version 6 (IPv6) Specification December 1998 IETF RFC2475 An Architecture for Differentiated Services December 1998 IETF RFC2406 IP Encapsulating Security Payload (ESP) November 1998

しかしながら、ESPによる暗号化を施している場合、TCPまたUDPのヘッダ以降のすべての部分が暗号化されており、通常エッジルータはこの暗号を解く鍵を持たないため、適切な品質を決定できない場合がある。このため、特定のサービス品質を要求するアプリケーションを実行できないおそれがある。

ESPの規格を変更して、たとえば、TCPのデータ部分のみを暗号化するといった拡張を施せばこの問題は解消できるが、このような拡張を行うと、相互接続性が限定されてしまう。

また、IPv6(Internet Protocol version 6）のフローラベルフィールドに、エッジルータに対する情報を付加する方法も考えられるが、フローラベルフィールドは20ビットしかないため、品質選択のためのポート番号の組を格納するには不十分である。また、フローラベルの利用方法自体、現在確立されておらず、途中のルータでフローラベルの内容が書き換えられる可能性があるなど、やはり相互接続性に問題がある。

本発明は、このような点に鑑みてなされたものであり、その目的は、セキュリティを保持しつつ、サービス品質を保証可能な中継装置を提供することにある。

本発明の一態様によれば、ある通信装置から送信されたIPパケットを受信して、他の通信装置に転送する中継装置において、受信された前記IPパケットのヘッダ部に、このIPパケットが所定の通信品質を要求することを示す付加情報が含まれているか否かを検出する通信品質情報検出手段と、前記付加情報が含まれている場合に、この付加情報に応じたIPパケットの転送処理を行う転送手段と、を備えることを特徴とする中継装置が提供される。

本発明によれば、セキュリティを保持しつつ、サービス品質を保証することができる。

以下、本発明に係る中継装置について、図面を参照しながら具体的に説明する。

図１は本発明に係る通信装置の一実施形態の内部構成を示すブロック図、図２は図１の通信装置を送信ホストとした通信ネットワークシステムの概略構成図である。

図２の通信ネットワークシステムは、図１の通信装置からなる送信ホスト１と、送信ホスト１から送信されたIPパケットを中継するエッジルータ２，３と、エッジルータ２，３間に設けられるサービス品質を保証可能なディフサーブ・ドメイン４（diffserv domain）と、IPパケットの最終的な宛先である受信ホスト５とを備えている。

送信ホスト１から送信されたIPパケットは、ディフサーブ・ドメイン４を通過して受信ホスト５で受信される。

送信ホスト１となる通信装置は、図１に示すように、送信すべきIP（Internet Protocol）パケットを暗号化した暗号パケットを生成する暗号化部１１と、IPパケットが暗号化されていることを示す第１の付加情報を暗号パケットに付加する第１の付加情報生成部１２と、IPパケットが所定の通信品質を要求する場合に、所定の通信品質が要求されることを示す第２の付加情報を暗号パケットに付加する第２の付加情報生成部１３と、第１及び第２の付加情報が付加された暗号パケットを送信する送信部１４と、を有する。

図１の通信装置は、IPセキュリティ（IPsec）で規定されているESPによる暗号化を行った状態で、IPパケットを送信する。図３は通信装置から送信されるIPパケットのデータ構造を示す図である。図示のように、パケット本体を暗号化した暗号化データｄ１と、パケット本体が暗号化されていることを示すESPヘッダｄ２と、IPパケットのプロトコルがIPv6であることを示すIPv6ヘッダｄ３と、ESPヘッダｄ２及びIPv6ヘッダｄ３の間に設けられる宛先オプションヘッダｄ４（destination options header）とを有する。

宛先オプションヘッダｄ４は、TCPのポート番号などの、送信パケットのサービス品質を決定するのに利用できる情報が含まれている。

これに対して、図４は従来のIPパケットのデータ構造を示している。図３に示す本実施形態のIPパケットは、従来のIPパケットのデータ構造に、新たに宛先オプションヘッダｄ４を追加している。

送信ホスト１からのIPパケットを受信したエッジルータ２は、宛先オプションヘッダｄ４の内容を解析し、そのIPパケットのサービス品質を決定する。

送信ホスト１は宛先オプションヘッダｄ４の内容を暗号化せずに送信するため、エッジルータ２，３は、暗号鍵を所持していなくても、宛先オプションヘッダの内容を把握できる。

この宛先オプションヘッダｄ４は、受信ホスト５では利用されない。また、宛先オプションヘッダｄ４の内容を理解できないエッジルータや他の中継装置が仮に存在したとしても、これら装置はこのヘッダを無視する。したがって、仮にエッジルータや中継装置が宛先オプションヘッダｄ４を含むIPパケットに対応していない場合でも、特に支障は起きない。

本実施形態のように、宛先オプションヘッダｄ４を利用してIPパケットを送信すると、本来は暗号化されるべき情報の一部、例えばTCPのポート番号が暗号化されずにネットワーク上を伝送することになるため、注意が必要である。ただし、パケット本体は暗号化されているため、実用的なセキュリティ要求の多くを満たせる。

本実施形態によれば、送信パケットの一部の情報を暗号化せずに送信する代償として、ディフサーブ・ドメイン４によるサービス品質を確実に保証した通信が可能になる。

このように、本実施形態では、送信パケットを暗号化して送信する際、そのパケットのサービス品質を決定するのに利用可能な宛先オプションヘッダｄ４を暗号化パケットに付加して送信するため、この送信パケットを受信したエッジルータ２が暗号鍵を所持していなくても、送信パケットのサービス品質を正しく決定でき、ディフサーブ・ドメイン４において通信品質を保証した通信が可能になる。

また、エッジルータ２が宛先オプションヘッダｄ４の内容を理解できない場合は、このヘッダの内容を無視するため、従来と同様のサービス品質を選択することができ、特に不具合は生じない。これにより、ネットワーク間での相互接続性がよくなる。

上述した実施形態では、送信パケットのプロトコルとしてIPv6を利用する例を説明したが、プロトコルの具体的な種類はIPv6に限定されない。

上述した実施形態で説明した通信装置は、ハードウェアで構成してもよいし、ソフトウェアで構成してもよい。ソフトウェアで構成する場合には、通信装置の少なくとも一部の機能を実現するプログラムをフロッピーディスクやＣＤ−ＲＯＭ等の記録媒体に収納し、コンピュータに読み込ませて実行させてもよい。記録媒体は、磁気ディスクや光ディスク等の携帯可能なものに限定されず、ハードディスク装置やメモリなどの固定型の記録媒体でもよい。

また、通信装置の少なくとも一部の機能を実現するプログラムを、インターネット等の通信回線（無線通信も含む）を介して頒布してもよい。さらに、同プログラムを暗号化したり、変調をかけたり、圧縮した状態で、インターネット等の有線回線や無線回線を介して、あるいは記録媒体に収納して頒布してもよい。

本発明に係る通信装置の一実施形態の内部構成を示すブロック図。図１の通信装置を送信ホストとした通信ネットワークシステムの概略構成図。通信装置から送信されるIPパケットのデータ構造を示す図。従来のIPパケットのデータ構造を示す図。

符号の説明

１送信ホスト
２，３エッジルータ
４受信ホスト
１１暗号化部
１２第１の付加情報生成部
１３第２の付加情報生成部
１４送信部

Claims

ある通信装置から送信されたIPパケットを受信して、他の通信装置に転送する中継装置において、
受信された前記IPパケットのヘッダ部に、このIPパケットが所定の通信品質を要求することを示す付加情報が含まれているか否かを検出する通信品質情報検出手段と、
前記付加情報が含まれている場合に、この付加情報に応じたIPパケットの転送処理を行う転送手段と、を備えることを特徴とする中継装置。
前記転送手段は、通信品質を保証するディフサーブ・ドメインにIPパケットを転送することを特徴とする請求項１に記載の中継装置。
前記転送手段は、前記通信品質情報検出手段が前記付加情報を検出できなかった場合には、前記IPパケットのヘッダ部を無視して、予め定めた通信品質で前記IPパケットを前記他の通信装置に転送することを特徴とする請求項１または２に記載の中継装置。
前記付加情報は、TCP（Transmission Control Protocol）のポート番号であることを特徴とする請求項１乃至３のいずれかに記載の中継装置。