JP2006191205A - 通信装置及び通信方法、通信システム - Google Patents

Abstract

【課題】 自己の識別子を使用せずに、各種設定を変更してデータ通信を実現することができる通信装置及び通信方法を提供する。
【解決手段】 ＩＰアドレスを有しない通信装置１，２に適用され、ＩＰアドレスを有する端末とＬＡＮ用の通信インターフェース１１を介して接続され、当該端末のＩＰアドレスと、他の端末のＩＰアドレスとの組をテーブル記憶部１４に記憶させ、ＩＰ層処理に従って作成されたパケットを、ＩＰアドレスを有しない他の通信装置２，１との間で送受信して、当該他の通信装置２，１との間で設定情報を送受信して、追加機能制御部１５で新たな機能を追加させる。
【選択図】 図２

Description

本発明は、例えばデータ暗号やデータ認証等を使用した秘密通信、グループ化通信、プロトコル変換を行うネットワークシステムに使用され、各種のデータのやりとりや通信設定を変更させるための通信装置及び通信方法、通信システムに関する。

従来より、例えばＩＰ（Internet Protocol）を利用した通信システムにおいて、通信データの盗聴や改ざんを防ぐために、パケットを暗号化すると共に認証データによって送受信間で認証処理を行って、通信データのセキュリティを高めた秘密通信を行うネットワークシステムが知られている。このようなネットワークシステムにおいては、例えば、ＲＦＣ（Request For Comments）２４０１〜２４１０で定義されたプロトコル群であるＩＰｓｅｃ（IP security protocol）などが知られている。

このＩＰｓｅｃには、トンネルモードやトランスポートモードによってデータを暗号化及び復号するＶＰＮ機能、送信側での暗号化及び受信側での復号を行うときに使用する共通秘密鍵を定期的に変更する鍵管理プロトコル（The Internet Key Exchange：ＩＫＥ）が含まれている。

また、従来より、ＬＡＮ等のネットワークにおいて、物理的な接続形態とは独立して、ソフトウェア的な暗号化処理や認証処理の設定によって端末の仮想的なグループを構築する技術が知られている。具体的には、ＬＡＮスイッチと呼ばれる機器の機能を利用して、端末毎に付与されたＭＡＣ（Media Access Control）アドレスやＩＰアドレス、利用するプロトコルなどに応じてグループ化を行っている。

更に、従来より、複数の端末が接続されたゲートウェイを使用して、当該ゲートウェイ同士で同じ暗号化処理や認証処理の設定とすることによって、インターネット等の汎用通信回線での秘密通信を実現している。このようなネットワークシステムにおいては、各ゲートウェイにＩＰアドレスを付与し、各ゲートウェイと接続された端末からのパケットをカプセリングするなどの処理を行うことによって、各端末から送信されたデータの秘密通信を行っていた。

ところで、上述の従来のネットワークシステムにおいては、省施工、省設定を図り、既存の通信で使用されているプロトコルで認識できる識別子（ＩＰアドレス）を持たない中継機器を追加することによって、新たな暗号化処理等の機能をネットワークシステムに追加する試みがなされている。ここで、新たな中継機器にＩＰアドレス等の識別子を付与しないのは、既存の端末に対して、新たな設定変更作業をできる限り省略させるためである。

このように、既存の端末に対しては中継機器に対するプラグアンドプレイによって新たな暗号化処理を追加させてデータを送信させることができる。そして、双方のネットワークシステムに同じ暗号化処理の中継機器を設置することによって、当該中継機器間で共通した暗号化処理の秘密通信を実現することができる。

しかしながら、新たに追加された中継機器には、既存のネットワークシステムにおいて使用している識別子が付与されていないので、インターネットを介した複数のネットワークシステムの中継機器間で通信を行うことができないという不都合がある。したがって、各中継機器に、新たな機能として限定した暗号化（例えばＩＰｓｅｃ）の機能を追加させようとしても、予め中継機器に静的に設定された暗号キー等のセキュリティパラメータや、暗号対象情報等のセキュリティポリシーを、中継機器間でネゴシエーションすることで動的に変更することができない。このため、セキュリティパラメータや、セキュリティポリシーは人的に設定しない限り変更することができないので、セキュリティレベルが低いと言わざると得ないのが現状である。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、自己の識別子を使用せずに、各種設定を変更してデータ通信を実現することができる通信装置及び通信方法、通信システムを提供することを目的とする。

本発明は、所定の通信プロトコルに従って処理される識別子を有しない通信装置であって、前記所定の通信プロトコルに従って処理される識別子を有する第１通信機器と接続される接続手段と、当該第１通信機器の前記所定の通信プロトコルに従って処理される識別子と、前記所定の通信プロトコルに従って処理される識別子を有する第２通信機器の識別子との組を用いて、前記所定の通信プロトコルに従って処理されるパケットを作成し、当該パケットを、前記所定の通信プロトコルに従って処理される識別子を有しない前記第２通信機器に接続された第３通信機器又は前記第２通信機器との間で送受信して、当該第３通信機器又は第２通信機器との間で機能の設定情報を送受信して、前記設定情報に基づく機能の追加又は変更を行う設定手段と、前記設定手段で追加又は変更された機能によって前記第１通信機器と前記第２通信機器との間で送受信されるパケットに処理を施す処理手段とを備えることによって、上述の課題を解決する。

本発明によれば、所定の通信プロトコルに従って処理される識別子を有しない場合であっても、接続された通信機器の識別子と他の通信機器の識別子との組を用いたパケットを作成して、所定の通信プロトコルに従って処理される識別子を有しない他の通信機器と通信を行って設定情報を送受信することができるので、自己の識別子を使用しなくとも、他の通信機器との間での各種設定を変更してデータ通信を実現することができる。

以下、本発明の第１実施形態〜第３実施形態について図面を参照して説明する。

［第１実施形態］
本発明は、例えば図１に示すように構成されたネットワークシステムにおいて、ブリッジ、スイッチングハブ、リピータハブとして機能する通信機器１，通信機器２に適用される。なお、この第１実施形態では、先ずネットワークシステムの機能的な構成について説明し、次にネットワークシステムの具体的な構成について説明する。

［ネットワークシステムの機能的な構成］
これら通信機器１，通信機器２は、例えばインターネットプロトコル（所定の通信プロトコル）によってパケットを伝送する広域ＷＡＮ（Wide Area Network）（インターネット等）の通信網ＮＴを介して接続されている。通信機器１は、複数の端末Ａ，端末Ｂ、通信機器２は、端末Ｃ，端末Ｄと接続されて、パケットの中継を行うものである。

なお、以下では、通信機器１，通信機器２が、通信網ＮＴにおける通信プロトコルとは異なる通信プロトコルであって、イーサネット（登録商標）等の通信プロトコルに従ってデータを送受信するＬＡＮ回線３，ＬＡＮ回線４を介して複数の端末Ａ，端末Ｂ、複数の端末Ｃ，端末Ｄと接続されている場合について説明するが、通信機器１，２と複数の端末Ａ，端末Ｂ、複数の端末Ｃ，端末Ｄとは如何なる通信プロトコルの通信網で接続されていてもよく、通信機器１，２でパケットを通過させることができるのであれば、イーサネットなどに限定するものではない。

このようなネットワークシステムにおいて、例えば端末Ａから端末Ｄ宛にデータが送信されると、当該データは、ＬＡＮ回線３を介して通信機器１で受信され、通信機器１から通信網ＮＴを介して通信機器２で受信され、ＬＡＮ回線４を介して端末Ｄで受信される。

端末Ａ、端末Ｂ、端末Ｃ、端末Ｄは、インターネットプロトコルに従った処理を行うことが可能な端末である。これら端末Ａ、端末Ｂ、端末Ｃ、端末Ｄは、他の端末にデータを送信する場合には、インターネットプロトコルに準拠した自己の識別子（ＩＰアドレス情報）を送信元アドレス情報とし、インターネットプロトコルに準拠した宛先の端末の識別子（ＩＰアドレス情報）を受信先アドレス情報としたパケットを作成してＬＡＮ回線に送信する。

通信機器１，通信機器２は、省施工、省設定のために通信網ＮＴに通信で使用されているインターネットプロトコルに対応する識別子（ＩＰアドレス情報）が付与されていない。そして、通信網ＮＴを介して通信を行う端末Ａ、端末Ｂに通信機器１を追加接続させ、端末Ｃ、端末Ｄに通信機器２を追加接続させて、当該通信機器１，通信機器２に暗号化処理等の機能を持たせることにより、通信網ＮＴを介した端末Ａ、端末Ｂの通信及び端末Ｃ、端末Ｄの通信に新たな機能を追加させる。このように通信機器１，通信機器２が設置され、当該通信機器１に端末Ａ、端末Ｂが接続され、通信機器２に端末Ｃ、端末Ｄが接続されると、プラグアンドプレイによって通信機器１，２は、各端末で送受信されるデータを暗号化処理することができる。

ここで、通信機器１，通信機器２は、既存のネットワークシステムの端末等に対する設定変更作業をなるべく行わせないようにするために、ＯＳＩ（Open Systems Interconnection）参照モデルにおける第３層のネットワーク層であるＩＰ層での識別子を持たない。したがって、通信機器１，通信機器２は、自己のアドレス情報を使用してＩＰ層において通信機器間における制御やデータ通信を行うことができない構成となっている。

通信機器１，通信機器２は、図２に示すように、自己のＬＡＮ回線３，４と接続されたＬＡＮ用通信インターフェース（Ｉ／Ｆ）１１と、通信網ＮＴと接続された通信インターフェース（Ｉ／Ｆ）１２と、統括制御を行う中央処理部１３と、後述の送信元識別子と受信先識別子との組を格納したテーブルデータを記憶するテーブル記憶部１４と、通信機器１，通信機器２に追加させる機能を制御する追加機能制御部１５とを備える。また、通信機器１，通信機器２は、図３に示すように、ＬＡＮ回線３，４に接続したＩ／Ｆと通信網ＮＴに接続したＩ／Ｆとを一体化した通信インターフェース２１で構成されていても良い。なお、以下の説明では、通信機器１，通信機器２が図２に示す構成である場合について説明する。

中央処理部１３は、ＬＡＮ用通信インターフェース１１及び通信インターフェース１２によるパケットの転送を制御すると共に、追加機能制御部１５とのパケットの授受、テーブル記憶部１４に対するテーブルデータの更新を行う。また、中央処理部１３は、後述するが、通信網ＮＴを介して通信機器１と通信機器２との間での通信を行わせる。

テーブル記憶部１４は、例えばＥＥＰＲＯＭからなり、通信機器１，通信機器２で送受信したパケットに含まれる情報のうち、受信先識別子と送信元識別子との組（アドレスペア）を記述したテーブルデータを記憶する。このテーブルデータは、中央処理部１３によって更新される。このアドレスペアは、例えば端末を通信機器１，通信機器２に接続して予め静的に登録しても良く、また、図示しないサーバ等からダウンロードして設定しても良い。ここで、中央処理部１３は、例えば追加機能制御部１５による暗号化・復号処理が正常に行われてパケットが正常に転送したことを条件として、ＩＰパケットに含まれる受信先識別子と送信元識別子とのアドレスペアをテーブル記憶部１４に記憶させる。

追加機能制御部１５は、ネットワークシステムに追加する機能についての処理を行う。この追加機能制御部１５の処理内容は、ネットワークシステムに追加する機能によって異なる。追加機能制御部１５が行う処理としては、例えば暗号化・復号処理、グループ化処理、プロトコル変換処理等が挙げられる。

このような通信機器１，通信機器２は、それぞれの追加機能制御部１５の処理内容を例えば一般的なＩＰｓｅｃの共通鍵、ＳＡのネゴシエーションフローを行わず固定された暗号化条件を使用するＩＰｓｅｃによる暗号化処理とする場合、ＬＡＮ用通信インターフェース１１で平文のパケットを受信すると、当該パケットのうち、ペイロード部を追加機能制御部１５によって暗号化させる。逆に、通信機器１，通信機器２は、通信インターフェース１２でペイロード部が暗号化されたパケットを受信すると、当該パケットのペイロード部を追加機能制御部１５によって復号させる。ここで、通信機器１，通信機器２のそれぞれの追加機能制御部１５による暗号化・復号処理は、予め通信機器１，通信機器２間で合意された暗号キー、暗号化方式等の暗号化情報によって行われる。

例えば、図２に示すように、ＬＡＮ回線３を介して通信機器１によって端末Ａから平文のパケットを受信すると、通信機器１の追加機能制御部１５でペイロード部を暗号化して、通信インターフェース１２から送信させ、通信網ＮＴを介して通信機器２によってパケットを受信すると、通信機器２の追加機能制御部１５でペイロード部を復号して、ＬＡＮ用通信インターフェース１１からＬＡＮ回線４を介して端末Ｄに受信させる。このとき、通信機器１，通信機器２では、それぞれの追加機能制御部１５で暗号化処理、復号処理が正常に行えたことに応じて、それぞれのテーブル記憶部１４に端末Ａの識別子Ａと端末Ｄの識別子Ｄとのアドレスペアを記憶させる。

このように構成されたネットワークシステムにおいて、通信機器１，通信機器２のそれぞれの追加機能制御部１５の処理内容を追加又は変更するために、通信機器１と通信機器２との間で通信網ＮＴを介した通信を行う。

このように通信機器１と通信機器２との間で通信を行う場合には、データリンク層におけるＭＡＣアドレス情報や、ＩＰ層のＩＰアドレス情報を使用する必要がある。これに対し、通信機器１，通信機器２は、テーブル記憶部１４に記憶されたアドレスペアを利用して、通信機器１と通信機器２との間の通信を実現する。換言すれば、通信機器１，通信機器２は、他の端末のＩＰアドレスを借り、あたかも当該端末になりすまして通信機器１，通信機器２間の通信を実現する。なお、この例では、ＩＰアドレスのアドレスペアを利用する場合について説明するが、ＭＡＣアドレスのアドレスペアを利用して通信機器１と通信機器２との間の通信を実現しても良い。

すなわち、図２を用いて説明したように、端末Ａから端末Ｄへのパケットの送信が行われ、図４に示すように、通信機器２のテーブル記憶部１４に、端末Ａの識別子Ａと端末Ｄの識別子Ｄとのアドレスペアが記憶されている場合であって、通信機器２から通信機器１にパケットを送信する場合には、通信機器２の中央処理部１３は、パケットの受信先識別子格納部１０１に識別子Ａを格納し、送信元識別子格納部１０２に識別子Ｄを格納してパケットを作成する。なお、中央処理部１３では、本例のインターネットプロトコルに限らず、送信元識別子を必要としない通信プロトコルである場合には、当該送信元識別子を含まずに受信先識別子を含むパケットを作成することになる。

また、通信機器２の中央処理部１３は、通信機器１と通信機器２間の通信を行うパケットであることを通信機器１に通知するための情報として、パケットの通信識別タグ格納部１０３に、ＬＡＮ回線には送信させないパケットであることを区別させる通信識別タグ（通信制御コード）を格納する。これにより、パケットを受信した通信機器１の中央処理部１３は、受信先識別子格納部１０１，送信元識別子格納部１０２に続いて通信識別タグ格納部１０３に格納された通信識別タグを読み出して、通信機器２から自身に送られたパケットであってＬＡＮ回線３には送信しないパケットであることを認識できる。

更に、通信機器２の中央処理部１３は、パケットのペイロード部１０４に通信機器１に対する制御コマンドや、当該制御コマンドに従った処理を行った時に使用するデータ等を格納する。ここで、制御コマンドとしては、例えば、通信機器１，２の追加機能が暗号化処理及び復号処理である場合には、暗号キーを交換するネゴシエーションに関するコマンドや、パケットの処理方法を記述したセキュリティポリシー（ＳＰ）の設定コマンドであり、追加機能制御部１５での機能の設定情報である。

このように通信機器２の中央処理部１３では、ペイロード部１０４に、通信識別タグ格納部１０３、送信元識別子格納部１０２及び受信先識別子格納部１０１を付加したパケットを作成する。このパケットは、例えばパケット中継時に参照するアドレス情報がＭＡＣアドレスである場合に、通信識別タグ格納部１０３及びペイロード部１０４がデータリンク層での処理で読み出し可能となっている。そして、通信機器２の中央処理部１３で作成されたパケットは、通信網ＮＴにおいて、識別子Ａの端末Ａで受信される経路で中継されて、通信機器１で受信される。

これに対し、通信機器１の中央処理部１３は、パケットに通信識別タグ格納部１０３が含まれているか否かを判定し、通信識別タグ格納部１０３が含まれていない場合には、ＩＰパケットをそのまま又は所定の処理（例えばペイロード部の復号処理）を施してＬＡＮ回線３に送信させる。一方、通信機器１の中央処理部１３は、通信識別タグ格納部１０３が含まれている場合には、通信識別タグを読み出して、通信機器２からのＩＰパケットであることを認識して、ＬＡＮ回線３への送信をさせない。

そして、通信機器１の中央処理部１３は、パケットのペイロード部１０４に格納された制御コマンド及びデータをデコードして、当該デコードした制御コマンドに従ってデータ処理を行う。これによって、通信機器２の制御に従って、通信機器１の追加機能の変更、具体的には暗号化処理における暗号キーの変更や、セキュリティポリシーの設定を行わせることができる。

また、このネットワークシステムでは、通信機器１のテーブル記憶部１４に識別子Ａと識別子Ｄとのアドレスペアが記憶されている場合には、通信機器１の中央処理部１３によって上述の通信機器２の中央処理部１３が行う処理と同様の処理を行って、通信識別タグを含むＩＰパケットを識別子Ｄ宛に送信し、通信機器２の中央処理部１３によって、上述の通信機器１の中央処理部１３が行う処理と同様の処理を行って、制御コマンドに従った追加機能の変更等の処理を行うことができる。

なお、上述の通信機器１，２間のやりとりは、ＷＡＮ等の通信網ＮＴを介して通信機器１，２間でＩＰパケットを送信する場合について説明しているが、イーサネットパケットのヘッダ部分に通信識別タグを格納して、通信機器１，２間の通信か、接続された端末に送信させる通信かの識別を行っても良い。

［ネットワークシステムの具体的構成例］
つぎに、ネットワークシステムの具体的構成例について説明する。なお、以下のネットワークシステムの具体的構成例の説明は、先ず具体的なＩＰｓｅｃを利用した技術的事項について説明し、次に、上述の通信機器１，通信機器２の機能を利用したネットワークシステムの具体的構成例について説明する。

ネットワークシステムは、暗号化技術としてＩＰｓｅｃを使用し、当該ＩＰｓｅｃに準拠した暗号化処理等を行うことができるＩＰｓｅｃ機器に上述の通信機器１，通信機器２の機能を適用した場合について説明する。すなわち、通信機器１，通信機器２のそれぞれに接続されている端末のアドレス情報の組を使用して通信機器１，２がなりすまして通信される設定情報として、ＩＰパケットのペイロード部を暗号化又は復号するための暗号化情報、具体的には、ＩＳＡＫＡＭＰ（Internet Security Association and Key Management protocol）のＳＡ（Security association）パラメータやＩＰｓｅｃのＳＡパラメータなどの暗号化情報を送受信する。そして、暗号化方式を設定した上で、通信機器１，通信機器２間でＩＰパケットの一部を暗号化した暗号化通信を行う。

ここで、ＩＰｓｅｃとは、ＯＳＩ参照モデルにおける第３階層であるネットワーク層で暗号化を行う技術であり、ＩＰｓｅｃ機器としては、例えば図５に示すように、ＩＰｓｅｃ機能を持たないＩＰ機器（Non secure機器）３１と接続されたゲートウェイにＩＰｓｅｃを組み入れたＩＰｓｅｃゲートウェイ３２（ＩＰｓｅｃＧＷ）や、ホスト機器にＩＰｓｅｃを組み入れたＩＰｓｅｃホスト３３（ＩＰｓｅｃＨｏｓｔ）が挙げられる。そしてネットワークシステムとしては、当該ＩＰｓｅｃゲートウェイ３２とＩＰｓｅｃホスト３３とが通信網ＮＴを介して接続されているシステムが挙げられる。なお、図５に示す例では、ＩＰｓｅｃゲートウェイ３２とＩＰｓｅｃホスト３３とが通信網ＮＴを介して接続されている場合を示しているが、ＩＰｓｅｃ機能を持たない機器同士の通信であれば、ゲートウェイやホストに限るものではない。

このようなネットワークシステムは、暗号化処理の設定データとして、ＩＰパケットごとに暗号化するか否かを判定するためのフィルター情報等が含まれているセキュリティポリシー（ＳＰ情報）や、暗号化処理に使用する暗号キーや当該暗号キーを用いた暗号方式等の情報が含まれているセキュリティアソシエーション（以下ＳＡ情報）等がある。そして、ＩＰｓｅｃホスト３３及びＩＰｓｅｃゲートウェイ３２の間で暗号通信で使用するＳＡ情報がネゴシエーションされた後に、当該ＩＰｓｅｃホスト３３及びＩＰｓｅｃゲートウェイ３２の間で同じＳＡ情報を使用する。

このようなネットワークシステムにおいては、ＩＰｓｅｃ機能を持たないＩＰ機器から、当該ＩＰ機器３１の識別子（ＩＰａｄｄ１）が格納された平文のＩＰパケットがＩＰｓｅｃゲートウェイ３２に送信されると、ＩＰｓｅｃゲートウェイ３２は、ＩＰｓｅｃホスト３３との間で合意されているＳＰ情報及びＳＡ情報に従ってＩＰｓｅｃに準拠した暗号化処理等を行う。これにより、例えば暗号化ペイロード２０５に、ＥＳＰ（IP Encapsulating Security Payload）ヘッダ２０４、ＡＨ（Authentication Header）２０３、ＩＰｓｅｃゲートウェイ３２の識別子（ＩＰａｄｄ２）である送信元アドレス情報２０２、ＩＰｓｅｃホスト３３の識別子（ＩＰａｄｄ３）である受信先アドレス情報２０１が付加されたＩＰパケットが作成される。そして、このＩＰパケットは、通信網ＮＴに送信され、これに対し、ＩＰｓｅｃホスト３３では、受信したＩＰパケットに対してＳＡ情報に従った復号処理を行う。

このように、ＩＰｓｅｃで暗号化及び復号化を行うためには、予めパケット送信側とパケット受信側との間でＳＡ情報のネゴシエーションを行う必要がある。従って、ＩＰｓｅｃゲートウェイ３２又はＩＰｓｅｃホスト３３には、本来であれば、ＩＫＥなどを利用するための自己の識別子としてのＩＰアドレスが必要となる。

これに対し、ＩＰアドレスを持たない通信装置がＩＰｓｅｃ機能の一部を行う方法として、ＩＰｓｅｃの機能を限定してＳＡ情報やＳＰ情報を固定化し、当該固定されたＳＡ情報及びＳＰ情報を使用してＩＰｓｅｃ機能を有するＩＰｓｅｃ機器同士で通信を行わせることによって、ＩＰｓｅｃのＳＡ情報を設定するためのネゴシエーションを不要とすることができる。更に、ＳＡ情報のネゴシエーションが不要であるために、ネットワーク層よりも下位層のデータリンク層（ＯＳＩ参照層の第２層：Ｌａｙｅｒ２）での処理でパケットの授受を行うブリッジに組み込んで使用でき、図６に示すように、ＩＰパケットの送受信時に自動的に固定化されたＳＡ情報を使用した暗号化処理等を行うブリッジでＩＰｓｅｃ機器４１，４２を構成することができる。

このようなＩＰｓｅｃ機器４１，４２は、ブリッジであるため、ＩＰアドレスが付与されておらず、また、固定化されたＳＡ情報を記憶している。そして、例えばＩＰｓｅｃ機能を持たないＩＰ機器４３（Non Secure）から送信されたＩＰパケットの受信先アドレス情報２１１は、ＩＰｓｅｃ機器４２のアドレス情報ではなく最終端末のＩＰ機器４４（Non Secure）のアドレス情報が指定される。また、このＩＰ機器４３からＩＰｓｅｃ機器４１に送られるＩＰパケットは、受信先アドレス情報２１１に加えて、送信元アドレス情報２１２としてＩＰ機器４３自身のアドレス情報が平文のペイロード２１３に付加されて構成される。

ＩＰ機器４３から送信されたＩＰパケットをＩＰｓｅｃ機器４１で受信すると、ＩＰｓｅｃ機器４１は、登録されているＳＡ情報を使用して、ＩＰヘッダを変更させないで、ＩＰｓｅｃにおけるトランスポート方式で、ペイロード部のみを暗号化した暗号化ペイロード２０５を作成する。そして、ペイロード部が暗号化されたＩＰパケットは、ＩＰ機器４４に送信されるが、その前にＩＰｓｅｃ機器４２で受信される。これに対し、ＩＰｓｅｃ機器４２では、固定化されたＳＡ情報を使用して、ＩＰパケットの暗号化ペイロード２０５を復号化して、ＬＡＮ回線に向かってＩＰパケットを送信させることによって、ＩＰ機器４３から送信された受信先アドレス情報２１１，送信元アドレス情報２１２，ペイロード２１３からなるＩＰパケットをＩＰ機器４４で受信させる。

このようなネットワークシステムでは、ＩＰ機器４３，４４をＩＰｓｅｃ機器４１，４２に接続させる作業のみでＩＰｓｅｃを利用した通信を実現することができるが、ＩＰｓｅｃ機器４１，４２のＳＡ情報及びＳＰ情報が固定化されているために、例えば暗号キー等は不変であり、セキュリティレベルが一般的なＩＰｓｅｃに比べて低くなる。

これに対し、上述の第１実施形態に係る通信機器１，２の機能を使用することによって、ＳＡ情報を変更可能とし、通常のＩＰｓｅｃと同等のセキュリティレベルを維持することができる。

すなわち、ＩＰｓｅｃ機器４１，４２に、通信機器１，通信機器２のＬＡＮ用通信インターフェース１１，通信インターフェース１２，中央処理部１３，テーブル記憶部１４，追加機能制御部１５を設けることによって、テーブル記憶部１４に記憶されているアドレスペアを利用して、ＩＰｓｅｃ機器４１とＩＰｓｅｃ機器４２との間で通信を行うことができる。

一例として、ＩＰｓｅｃにおけるＳＡ情報をネゴシエーションによってＩＰｓｅｃ機器４１及びＩＰｓｅｃ機器４２に設定する処理のうち、送信側で暗号化及び受信側で復号を行うときに使用する共通秘密鍵を定期的に変更する鍵管理プロトコル（Internet Key Exchange：ＩＫＥ）に従った処理について説明する。このＩＫＥには、アプリケーションデータを通信する前に、送信側と受信側との間で行う必要がある暗号アルゴリズム方式やハッシュアルゴリズムのネゴシエーション、鍵交換、相互認証といった機能を備えている。また、このＩＫＥでは、ネゴシエーション、鍵交換、相互認証を行うときに通信するデータも暗号化するという機能を備えている。このＩＫＥ処理は、ＲＦＣ２４０９で定義されているＩＰｓｅｃ機器４１，ＩＰｓｅｃ機器４２のそれぞれの暗号キーの生成手順、ＲＦＣ２４０８で定義されているＩＳＡＫＭＰ（internet security association key management）の処理手順等を含む。

このＩＫＥ処理では、図７に示すＩＰｓｅｃ機器４１，ＩＰｓｅｃ機器４２のうちの何れかのＩＰｓｅｃ機器が始動側のイニシエータとなり、当該イニシエータの始動に反応して動作する応答側のＩＰｓｅｃ機器がレスポンダとなる。また、ＩＫＥ処理には、第１フェーズと第２フェーズの２つフェーズ、その他の処理があり、通常ＵＤＰ（User Datagram Protocol）の５００番ポートが使用される。

第１フェーズは、ＩＰｓｅｃ機器４１，ＩＰｓｅｃ機器４２間の相手認証、すなわち通信相手の認証と、ＩＫＥ処理内で使用するセッション鍵（ＩＫＥ用セッション鍵）の交換を行う。第２フェーズは、実際の暗号化処理で使用するセッション鍵（データ通信用セッション鍵）の交換を行う。また、その他の処理としては、新グループモード、情報提供交換（ＩＳＡＫＭＰ：Internet Security Association and Key Management Protocol）、トランザクション交換が挙げられる。

また、第１フェーズには、イニシエータ、レスポンダそれぞれのＩＤを暗号化するメインモードと、ＩＤを暗号化しないためメインモードと比較して手順が簡略化されたアグレッシブモードとの２つのモードがあり、何れか一方を実行する。

そして、ＩＰｓｅｃ機器４１をイニシエータ、ＩＰｓｅｃ機器４２をレスポンダとした場合に、ＩＰｓｅｃ機器４１は、テーブル記憶部１４に記憶されたテーブルデータを参照して、受信先アドレス情報２０１をＩＰｓｅｃ機器４２に接続されたＩＰ機器４４のＩＰアドレス情報とし、送信元アドレス情報２０２をＩＰ機器４３のアドレス情報とする。また、ＩＰｓｅｃ機器４１は、ＩＫＥプロトコルに準拠したコマンド及び通常の暗号用のデータであるＩＫＥプロトコル関連情報２２２に、上述した通信識別タグに相当するＩＰｓｅｃ機器用コントロールコード２２１を付加し、更に、上述のＡＨ２０３，ＥＳＰヘッダ２０４に相当するＩＰｓｅｃヘッダを付加したＩＰパケットを生成する。

これに応じ、ＩＰｓｅｃ機器４２は、ＩＰパケットを受信すると、ＩＰｓｅｃ機器用コントロールコード２２１を識別して、ＩＰ機器４４に送信させないＩＰパケットであることを認識し、ＩＫＥプロトコル関連情報２２２に含まれる制御コマンドを参照することによってＩＫＥ処理に対する応答を行うことができる。このとき、ＩＰｓｅｃ機器４２は、テーブル記憶部１４に記憶されたテーブルデータに記述されたアドレスペア又は受信したＩＰパケットに付加されたアドレス情報を、イニシエータに対して応答するためのＩＰパケットに格納させることができる。

その後、ＩＰｓｅｃ機器４１とＩＰｓｅｃ機器４２とは、上記ＲＦＣで定義されているＩＫＥプロトコルに準拠した処理手順を行って、それぞれの暗号キーの更新等を行ってＳＡ情報の更新を行うことができ、ネットワークシステムにおけるセキュリティレベルを維持させる。

なお、上述のＩＫＥ処理を行う例では、イニシエータ及びレスポンダが共にＩＰアドレスが付与されていない機器である場合について説明したが、一方にはＩＰアドレスが付与されていないＩＰｓｅｃ機器４１であり、他方が既存のＩＰｓｅｃゲートウェイ３２又はＩＰｓｅｃホスト３３のような一般的なＩＰｓｅｃ機器であっても、ＩＰアドレスが付与されていないＩＰｓｅｃ機器では、自己に接続されているＩＰ機器のＩＰアドレスを利用して、ＩＫＥ処理を行うことができるのは勿論である。

また、上述のＩＫＥ処理において設定されたＳＡ情報には、暗号キーを定期的に更新させてセキュリティレベルを維持するために、暗号キーの使用期限を含んでいる。したがって、ＩＰｓｅｃ機器４１及びＩＰｓｅｃ機器４２の暗号キーを更新しても、暗号キーに対応した使用期限が切れてしまうと、当該暗号キーを使用して暗号化されたデータの復号を行うことができない。このような状況は、例えば、通信網ＮＴやＩＰｓｅｃ機器４１，ＩＰｓｅｃ機器４２上での物理的な接続変更があった場合や、ＩＰｓｅｃ機器４１，ＩＰｓｅｃ機器４２に接続されているＩＰ機器４３，ＩＰ機器４４のＩＰアドレスが動的に変更された場合に、ＩＰｓｅｃ機器４１とＩＰｓｅｃ機器４２とのアドレスペアを使用したＩＰパケットが送受信できない時に発生する。

これに対し、ＩＰｓｅｃ機器４１，ＩＰｓｅｃ機器４２は、暗号キーの寿命が切れると、同意したＳＡ情報を使用した暗号化処理及び復号処理を行うことができないため、それぞれに初期設定されているＳＡ情報（ＳＡ＿ｏｒｇ）を使用する。すなわち、例えば、ＩＰｓｅｃ機器４２の追加機能制御部１５で使用しているＳＡ情報の寿命が切れた場合、追加機能制御部１５は、それぞれで同意されている初期設定されたＳＡ情報を使用する。

そしてＳＡ情報（ＳＡ＿ｏｒｇ）により暗号化されたＩＰパケットをＩＰｓｅｃ機器４２から送信し、ＩＰｓｅｃ機器４１で受信すると、ＩＰｓｅｃ機器４１に現在登録されているＳＡ情報（ＳＡ＿ｐｒｅ）では復号できない。これに応じて、ＩＰｓｅｃ機器４１は、初期設定のＳＡ情報（ＳＡ＿ｏｒｇ）を使用して復号を行い、復号ができた場合には、当該復号したＩＰパケットの送信元アドレス情報を記憶している同種のＩＰｓｅｃ機器４２が存在するあることを認識して、テーブル記憶部１４のアドレスペアを使用して現在のＳＡ情報（ＳＡ＿ｐｒｅ）を設定させるＩＰパケットをＩＰｓｅｃ機器４２に返信する。これにより、ＩＰｓｅｃ機器４１，ＩＰｓｅｃ機器４２間の接続が切れてしまったり、一方のＩＰｓｅｃ機器が何らかの原因で初期状態になったとしても、ＳＡ情報のネゴシエーションを行って、暗号通信を継続させることができる。

［ネットワークシステムの他の構成例］
つぎに、ネットワークシステムの他の構成例として、テーブル記憶部１４に記憶されたアドレスペアを使用して任意の通信機器間で通信を行うことについて説明する。

このネットワークシステムは、図８に示すように、上述の通信機器１，通信機器２、ＩＰｓｅｃ機器４１，ＩＰｓｅｃ機器４２と同様の機能を有するＩＰｓｅｃ機器５１，５２，５３が通信網ＮＴを介して接続され、ＩＰｓｅｃ機器５１にＩＰｓｅｃ機能を持たないＩＰ機器５４，５５、ＩＰｓｅｃ機器５２にＩＰｓｅｃ機能を持たないＩＰ機器５６，５７、ＩＰｓｅｃ機器５３にＩＰｓｅｃ機能を持たないＩＰ機器５８，５９が接続されている。また、ＩＰ機器５４〜５９は、それぞれ、ＩＰアドレス情報としての識別子Ａ，Ｂ，Ｃ，Ｄ，Ｅ，Ｆが付与されている。

このようなネットワークシステムにおいて、各ＩＰｓｅｃ機器５１，５２，５３は、ＩＰ機器５４〜５９間での通信時に使用されたＩＰアドレス情報をそれぞれのテーブル記憶部１４に記憶すると共に、追加機能制御部１５によって暗号化処理等を行う。そして、各ＩＰｓｅｃ機器５１，５２，５３は、他のＩＰｓｅｃ機器ごとに２つのアドレスペアをテーブル記憶部１４に記憶しておく。そして、各ＩＰｓｅｃ機器５１，５２，５３は、通信相手となる任意のＩＰｓｅｃ機器を選択すると、テーブル記憶部１４に記憶されたアドレスペアのうち、通信相手のＩＰｓｅｃ機器に接続されたＩＰ機器のアドレス情報を含むアドレスペアを選択する。これにより、それぞれのＩＰｓｅｃ機器間で通信を行うことによって、ＳＡ情報の更新等を行うことができる。

また、複数のＩＰｓｅｃ機器５１，５２，５３を有するネットワークシステムにおいて、特定のＩＰｓｅｃ機器との間では暗号化通信を行い、他のＩＰｓｅｃ機器との間では暗号化通信を行わせない場合には、グルーピング処理を行う。例えば、ＩＰｓｅｃ機器５１は、ＩＰｓｅｃ機器５２，５３と暗号化通信を行い、ＩＰｓｅｃ機器５２は、ＩＰｓｅｃ機器５１のみと暗号化通信を行い、更に、ＩＰｓｅｃ機器５３は、ＩＰｓｅｃ機器５１のみと暗号化通信を行い、ＩＰｓｅｃ機器５２とＩＰｓｅｃ機器５３の間では暗号化通信は行わない場合について説明する。

ＩＰｓｅｃ機器５１は、ＩＰｓｅｃ機器５２，ＩＰｓｅｃ機器５３との間で暗号化通信を行うために、ＩＰｓｅｃ機器５２との間でＩＰパケットを送受信するためのアドレスペア及びＳＡ情報と、ＩＰｓｅｃ機器５３との間でＩＰパケットを送受信するためのアドレスペア及びＳＡ情報とを記憶している。また、ＩＰｓｅｃ機器５２は、ＩＰｓｅｃ機器５１とは暗号化通信を行い、ＩＰｓｅｃ機器５３とは暗号化通信を行わないので、ＩＰｓｅｃ機器５１との間でＩＰパケットを送受信するためのアドレスペア及びＳＡ情報を記憶している。更に、ＩＰｓｅｃ機器５３は、ＩＰｓｅｃ機器５１とは暗号化通信を行い、ＩＰｓｅｃ機器５２とは暗号化通信を行わないので、ＩＰｓｅｃ機器５１との間でＩＰパケットを送受信するためのアドレスペア及びＳＡ情報を記憶している。

ここで、各ＳＡ情報は、上述したように各アドレスペアを使用したネゴシエーションを行うことによって取得することができるが、ＩＰｓｅｃ機器５１とＩＰｓｅｃ機器５２とのグループとＩＰｓｅｃ機器５１とＩＰｓｅｃ機器５３とのグループとの２つのグループに加わるＩＰｓｅｃ機器５１については、予め２つのＳＡ情報を静的に記憶させ、ＩＰｓｅｃ機器５２，ＩＰｓｅｃ機器５３については、ＩＰｓｅｃ機器５１との１つのグループに加わるので、予め１つのＳＡ情報を静的に記憶させても良い。

これにより、ＩＰｓｅｃ機器５１は、ＩＰパケットに格納された情報のうち、ＳＡ情報の相違に基づく暗号の処理によって作成された情報の相違を検出することによって、当該ＩＰパケットがＩＰｓｅｃ機器５２から送信されたものか、ＩＰｓｅｃ機器５３から送信されたものかを識別することができる。すなわち、どのグループに加わっているＩＰｓｅｃ機器から送信されたＩＰパケットかを区別することができる。

また、ＩＰｓｅｃ機器５１は、ＩＰｓｅｃ機器５２，ＩＰｓｅｃ機器５３との通信が切断した場合などには、ＩＰｓｅｃ機器５２，ＩＰｓｅｃ機器５３のそれぞれについてネゴシエーションを行うことによってＳＡ情報の更新を行うことができる。

更に、このネットワークシステムにおいて、ＩＰｓｅｃ機器５１，５２，５３に同じＳＡ情報を記憶させておき、他のＩＰｓｅｃ機器とのグループを識別するためのグループ識別子（グループＩＤ：ＧＩＤ）を使用することによって、どのグループに加わっているＩＰｓｅｃ機器から送信されたＩＰパケットかを区別しても良い。このグループ識別子は、ネットワークシステムの設定時にＩＰｓｅｃ機器５１，５２，５３に静的に入力して登録しても良く、ディップＳＷ等の物理的な設定状況を検知して登録させても良く、通信網ＮＴに接続する物理的なポート単位で登録しても良く、図示しない管理サーバから各ＩＰｓｅｃ機器５１，５２，５３にそれぞれダウンロードさせて登録しても良い。

そして、ＩＰｓｅｃ機器５１，５２，５３は、他のＩＰｓｅｃ機器と通信を行うに際して、図９に示すように、グループ識別子（ＧＩＤ）２３１を含むＩＰパケットを作成して、ＩＫＥプロトコル関連情報２２２等の送信を行ってＳＡ情報のネゴシエーションを行う。これに対し、ＩＰｓｅｃ機器５１，５２，５３は、他のＩＰｓｅｃ機器からのＩＰパケットを受信すると、通信識別タグに相当するＩＰｓｅｃ機器用コントロールコード２２１を認識して、接続されたＩＰ機器に送信させないことを認識すると共に、グループ識別子２３１を認識して、自己に登録されているグループの識別子との比較を行う。これにより、ＩＰｓｅｃ機器５１，５２，５３は、何れのグループに属するＩＰｓｅｃ機器から送信されたＩＰパケットかを認識することができる。

具体的には、ＩＰｓｅｃ機器５１に、ＩＰｓｅｃ機器５１とＩＰｓｅｃ機器５２とのグループ識別子と、ＩＰｓｅｃ機器５１とＩＰｓｅｃ機器５３とのグループ識別子とをそれぞれ登録させておき、ＩＰｓｅｃ機器５１は、ＩＰｓｅｃ機器用コントロールコード２２１を参照することによってＩＰｓｅｃ機器５２又はＩＰｓｅｃ機器５３の何れかから送信されたＩＰパケットであることを確認し、更にグループ識別子２３１を参照することによってＩＰパケットを送信したＩＰｓｅｃ機器がＩＰｓｅｃ機器５２かＩＰｓｅｃ機器５３かを特定することができる。

また、ＩＰｓｅｃ機器５２に、ＩＰｓｅｃ機器５１とＩＰｓｅｃ機器５２とのグループ識別子と、ＩＰｓｅｃ機器５３とＩＰｓｅｃ機器５２とのグループ識別子とをそれぞれ登録させておき、ＩＰｓｅｃ機器５２は、ＩＰｓｅｃ機器用コントロールコード２２１を参照することによってＩＰｓｅｃ機器５１又はＩＰｓｅｃ機器５３の何れかから送信されたＩＰパケットであることを確認し、更にグループ識別子２３１を参照することによってＩＰパケットを送信したＩＰｓｅｃ機器がＩＰｓｅｃ機器５１かＩＰｓｅｃ機器５３かを特定することができる。これよって、ＩＰｓｅｃ機器５２は、ＩＰｓｅｃ機器５１との間で暗号化通信を行うと共に、ＩＰｓｅｃ機器５３との間で非暗号化通信を行うことができる。

更に、ＩＰｓｅｃ機器５３に、ＩＰｓｅｃ機器５１とＩＰｓｅｃ機器５３とのグループ識別子と、ＩＰｓｅｃ機器５２とＩＰｓｅｃ機器５３とのグループ識別子とをそれぞれ登録させておき、ＩＰｓｅｃ機器５３は、ＩＰｓｅｃ機器用コントロールコード２２１を参照することによってＩＰｓｅｃ機器５２又はＩＰｓｅｃ機器５３の何れかから送信されたＩＰパケットであることを確認し、更にグループ識別子２３１を参照することによってＩＰパケットを送信したＩＰｓｅｃ機器がＩＰｓｅｃ機器５１かＩＰｓｅｃ機器５２かを特定することができる。これよって、ＩＰｓｅｃ機器５３は、ＩＰｓｅｃ機器５１との間で暗号化通信を行うと共に、ＩＰｓｅｃ機器５２との間で非暗号化通信を行うことができる。

更にまた、グループ識別子２３１を使用することによって、ＩＰｓｅｃ機器からＩＰパケットが送信された場合に、ＩＰパケットに含まれているグループ識別子２３１と自己に登録されているグループ識別子とを比較して、グループ識別子が一致しない場合には、自己が属していないグループからのＩＰパケットを受信したことを判定して当該ＩＰパケットを破棄することができ、グループ識別子が一致している場合には、自己が属しているグループからのＩＰパケットを受信したと判定して当該ＩＰパケットに対する暗号化通信等を行うことができる。このように、グループ識別子２３１を利用することによって、処理対象となるＩＰパケットのフィルタリングを行うことができ、更には、暗号化通信を行うか否かなどのフィルタリングをも行うことができる。

このように、第１実施形態に係るネットワークシステムによれば、省施工及び省設定を目的として、ＩＰｓｅｃ機器に識別子（ＩＰアドレス）を持たせずに既存のシステムに追加しても、接続されたＩＰ機器のＩＰアドレスを利用してＩＰｓｅｃ機器同士でＩＰ通信を行うことによって、初期設定として固定化されていたＳＡ情報やＳＰ情報などの通信設定を変更することができ、セキュリティレベルを向上させることができる。

［第２実施形態］
つぎに、本発明を適用した第２実施形態について説明する。なお、上述の第１実施形態と同様の部分については、同一符号を付することによってその詳細な説明を省略する。

この第２実施形態に係るネットワークシステムは、上述した第１実施形態における機能的な構成をＶＬＡＮ（virtual LAN）技術に適用したものであって、複数の端末が接続されるＶＬＡＮ機器が複数存在する場合に、当該複数のＶＬＡＮ機器間で一又は複数の端末のグループ化処理を共有して行うものである。すなわち、上述した第１実施形態では、通信機器１，通信機器２の機能をＩＰｓｅｃ機器に適用した場合について説明したが、第２実施形態では、第１実施形態におけるアドレスペアの登録及び当該アドレスペアを利用した通信の機能をＶＬＡＮ装置に適用し、当該ＶＬＡＮ装置間で、それぞれに接続された端末のうち、予め設定された複数の端末を含むグループ間の通信を通信設定の相違によって規制するグループ化情報を設定する。

このＶＬＡＮは、ＬＡＮ内の端末が持っているＭＡＣアドレス等のアドレス情報や、各端末が利用するプロトコルに応じて、複数の端末をグループ化したネットワークであり、端末の物理的な移動に関係なく、プログラム上の設定を変更することなくネットワークを構成することができるものである。このＶＬＡＮを構築する方式としては、ポートＶＬＡＮ方式、タグＶＬＡＮ方式、マルチプルＶＬＡＮ方式等に区別される。

先ずポートＶＬＡＮ方式とは、ＶＬＡＮ機器に設けられているポートに、予め物理的にグルーピング設定を施しておき、端末が接続された場所によってグループ化を認識する。また、グルーピング設定が施されたポートにおいて、任意のポートが複数のグループには所属しない。なお、このポートＶＬＡＮ方式では、データリンク層までの処理を行えるレイヤ２のＶＬＡＮ機器同士の通信を行わない使用となっている。また、タグＶＬＡＮ方式は、ＩＥＥＥ（The Institute of Electrical and Electronics Engineers）８０２で規定されており、パケット内に４バイトのタグを含めて端末から送信させ、当該タグによってＶＬＡＮ機器の送信ポートを決定してグルーピングを行う方式である。なお、この方式は、データリンク層までの処理を行えるレイヤ２のＶＬＡＮ機器同士でも使用することができる。

そして、以下では、上述のポートＶＬＡＮ方式を採用したネットワークシステムにおいて、端末に付与されたアドレスのアドレスペアをＶＬＡＮ機器に記憶させることによって、当該アドレスペアを利用してＶＬＡＮ機器間で通信を実現する手法について説明する。なお、ＶＬＡＮ機器は、本来、上述のＩＰｓｅｃ機器と同様にデータリンク層までの処理を行うことが可能な機器であって、自己のＩＰアドレスが付与されていないものである。これに対し、端末のアドレスペアを利用することによって、各ＶＬＡＮ機器は、ＬＡＮ内及びインターネット等の通信網ＮＴを越えたグルーピング情報の通信が可能となる。

このようなＶＬＡＮ機器を備えたネットワークシステムは、図１０に示すように、ポートＶＬＡＮ方式に準拠したレイヤ２機器であるポートＶＬＡＮ機器６１，６２が通信網ＮＴ又はＬＡＮ回線で接続され、ポートＶＬＡＮ機器６１に端末６３，６４，６５，６６が接続され、ポートＶＬＡＮ機器６２に端末６７が接続されている。また、このネットワークシステムにおいて、端末６３〜６７には、少なくともＭＡＣアドレスが付与されており、ポートＶＬＡＮ機器６１，６２を介したデータリンク層での通信が可能となっている。

ポートＶＬＡＮ機器６１は、上述したポートＶＬＡＮ方式に準拠しており、任意の第１ポートに端末６３，６４が接続され、任意の第２ポートに端末６５，６６が接続されている。そして、ポートＶＬＡＮ機器６１は、端末６３，６４のグループをグループＡとしてグルーピングし、端末６５，６６のグループをグループＢとしてグルーピングし、更に、端末６７のみをグループＣにグルーピングしている。すなわちポートＶＬＡＮ機器６１は、各グループ（ポート）ごとのＬＡＮグループ識別子に対応させて、端末のＭＡＣアドレスを登録して記憶している。そして、ポートＶＬＡＮ機器６１は、ある端末からのパケットを受信した時に、当該パケットに含まれたＬＡＮグループ識別子及び受信先のＭＡＣアドレスを読み出し、当該ＬＡＮグループ識別子に対応して登録されているＭＡＣアドレスが宛先となっている場合には、パケットを転送することによって、パケットのフィルタリング等を行っている。これによって、グループ間通信のみを許容し、他のグループ間通信を禁止することができる。

ここで、グループＡに含まれる端末６４を物理的に移動させるために、ポートＶＬＡＮ機器６１から切り離すと、当該状態の変化をポートＶＬＡＮ機器６１で検知し、グループＡのグループ識別子に対応付けられた端末６４のＭＡＣアドレスを削除する。そして、端末６４が物理的にポートＶＬＡＮ機器６２に接続されると、ポートＶＬＡＮ機器６２は、自己に端末６４’が接続されたことを認識して、当該端末６４’のＭＡＣアドレスが登録できる状態となる。

このような状態では、ポートＶＬＡＮ機器６１のグループＡに属する物理的なポートに接続されている端末のみがグループＡに属することができるので、ポートＶＬＡＮ機器６２に端末６４’を接続しても、グループＡの端末６３との通信を行えないことになる。

これに対し、前述した技術を利用してポートＶＬＡＮ機器６１及びポートＶＬＡＮ機器６２は、各グループごとのポートの共通化を行う。例えば、ポートＶＬＡＮ機器６１の任意のポートに接続された端末と、ポートＶＬＡＮ機器６２の任意のポートに接続された端末とを同じグループとしてＶＬＡＮを構築する。このとき、ポートＶＬＡＮ機器６１とポートＶＬＡＮ機器６２とは、それぞれに接続された端末を同じグループとして共通化したグループを形成する共通化モードを行わせることができる。

共通化モードは、同じポート番号、物理的に同じポート或いはファイル等で静的に設定されたポート番号とグループ番号の対応関係を他のポートＶＬＡＮ機器間で統一する処理である。この共通化モードへの遷移は、通常のポートＶＬＡＮ機器の処理とは異なるために、例えば、図示しないディップＳＷや静的な操作入力等を検知することによって通常状態から共通化モードに遷移する。

この共通化モードとなる前の通常状態において、ポートＶＬＡＮ機器６１及びポートＶＬＡＮ機器６２は、以前にポートＶＬＡＮ機器６１に接続された端末６３〜６６とポートＶＬＡＮ機器６２に接続された端末６７との通信時において使用されていたアドレス情報（ＩＰアドレス）の組としてアドレスペアを記憶している。

したがって、共通化モードに遷移すると、先ず、端末６４が切り離された一方のポートＶＬＡＮ機器６１は、接続されている端末６３〜６６の何れかのＩＰアドレスを送信元アドレス情報２０２とし、ポートＶＬＡＮ機器６２に接続されているであろう端末のＩＰアドレスを受信先アドレス情報２０１とし、上述の通信識別タグであって、他方のポートＶＬＡＮ機器６２に共通化モードで生成したＩＰパケットであることを区別するポートＶＬＡＮ用コントロールコード２４１と、以前に端末６４が属していたグループ番号を識別するＬＡＮグループ識別子２４２と、以前に端末６４が属していたグループに対応したポート番号を示すポート番号情報２４３とを含むＩＰパケットを作成する。ここで、ポートＶＬＡＮ用コントロールコード２４１，ＬＡＮグループ識別子２４２，ポート番号情報２４３は、ポートＶＬＡＮ機器におけるデータリンク層での処理で読み取り及び認識可能な情報となっている。

そして、ＩＰパケットを作成したポートＶＬＡＮ機器６１は、記憶されている全部のアドレスペアごとにＩＰパケットを作成することによってブロードキャストを行う。これに対し、端末６４’の移動先のポートＶＬＡＮ機器６２にＩＰパケットが受信されると、ポートＶＬＡＮ機器６２は、受信したＩＰパケットに、ポートＶＬＡＮ用コントロールコード２４１が含まれているか否かを判定する。そして、ポートＶＬＡＮ用コントロールコード２４１が含まれている場合には、端末への転送を行わずに、当該ＩＰパケットのＬＡＮグループ識別子２４２及びポート番号情報２４３を取得する。

これによって、ポートＶＬＡＮ機器６１とポートＶＬＡＮ機器６２とによって、それぞれ端末６４’のＭＡＣアドレス、グループＡであることを示すＬＡＮグループ識別子、グループＡに属する端末が接続されているポートＶＬＡＮ機器６１のポート番号を共有化することができる。また、ポートＶＬＡＮ機器６２では、端末６４’からパケットを受信した場合に、ＩＰパケットとしてポートＶＬＡＮ機器６１に送信させるためのポートＶＬＡＮ機器６１のＩＰアドレスを記憶しておく。

そして、端末６４’がポートＶＬＡＮ機器６２に接続され、端末６４’から、端末６３の宛先ＭＡＣアドレス及び端末６４’の送信元ＭＡＣアドレス及びグループＡのＬＡＮグループ識別子２４２を含むパケットが送信されると、ポートＶＬＡＮ機器６２は、共通化モードによって記憶しておいた端末６４’のＭＡＣアドレスとＬＡＮグループ識別子とが一致すると判定できる。そして、ポートＶＬＡＮ機器６２は、受信先アドレス情報２０１を共通化モードで使用したＩＰアドレスを受信先ＩＰアドレスとし、端末６４’から受信したパケットを含むＩＰパケットを作成して送信する。

これに対し、ポートＶＬＡＮ機器６１は、ＩＰパケットに含まれる端末６４’のＭＡＣアドレス及びグループ識別子から、自己の特定のポートに接続されたグループＡに属する端末であることを認識して、端末６４’が送信したＩＰパケットを送信することによって、端末６３で受信させる。

このように、第２実施形態に係るネットワークシステムによれば、ポートＶＬＡＮ機器６１とポートＶＬＡＮ機器６２との間で以前に通信が行われたときのＩＰアドレスペアを記憶しておくことにより、ポートＶＬＡＮ機器６１とポートＶＬＡＮ機器６２との間で通信網ＮＴを介したＩＰ通信を行うことができる。これにより、ポートＶＬＡＮ機器６１から端末が切り離されてポートＶＬＡＮ機器６２に接続された場合であっても、ポートＶＬＡＮ機器６１とポートＶＬＡＮ機器６２との間でＭＡＣアドレス及びグループ識別子を共有することができる。したがって、このネットワークシステムによれば、通常はデータリンク層での処理しか行わないポートＶＬＡＮ機器間でＩＰネットワークを介した端末のグルーピングを実現することができる。

［第３実施形態］
つぎに、本発明を適用した第３実施形態に係るネットワークシステムについて説明する。なお、以下の説明において、上述の実施形態と同様の部分については同一符号を付することにより詳細な説明を省略する。

このネットワークシステムは、図１１に示すように、上述したように以前に送受信したパケットに含まれるアドレスペアを利用して、ＩＰアドレスを持たない端末から送信されたパケットをプロトコル変換させるものである。すなわち、第３実施形態では、他の通信装置との間で送受信される設定情報は、それぞれに接続された端末のうち、非ＩＰ端末から送信されたＭＡＣパケットをＩＰで処理できるＩＰパケットに変換させるためのプロトコル変換情報を通信機器１，通信機器２の間で送受信する。

ここで、ＩＰアドレスなどの識別子を持たない端末間の通信においてＩＰネットワークである通信網ＮＴを介した通信を行うためには、ＩＰ通信を行うことができるゲートウェイ等を利用して、ＩＰパケットではないパケットをＩＰパケットに変換するプロトコル変換を行う必要がある。また、ＩＰアドレスをそのゲートウェイに割付けてＮＡＴ（Network Address Translation）に準拠した処理や、ルータ等の様々なシステムの設定を変更する必要がある。

これに対して、通信網ＮＴを介してブリッジ７１，７２が設けられており、当該各ブリッジ７１，７２によって、以前に通過させたＩＰパケットのアドレスペアを記憶させておく。すなわち、ブリッジ７１，７２は、ＩＰ端末７３，７４とＩＰ端末７６との間で送受信されたＩＰパケットのアドレスペアを記憶しておく。ここで、ブリッジ７１，７２は、自己のＩＰアドレスが付与されていないものである。

そして、ブリッジ７１，７２は、自己にＩＰアドレスが付与されていない非ＩＰ端末７５、非ＩＰ端末７７が接続されており、当該非ＩＰ端末７５，非ＩＰ端末７７がＬＡＮ内通信を行った時に、当該非ＩＰ端末７５、非ＩＰ端末７７のＭＡＣアドレス等の非ＩＰ端末データを取得しておく。このような非ＩＰ端末データを取得した状態で、ブリッジ７１，７２は、非ＩＰ端末７５，非ＩＰ端末７７に通信網ＮＴを介したＩＰ通信を行わせるために、それぞれに接続された非ＩＰ端末７５，非ＩＰ端末７７の情報を共有化する。

このとき、ブリッジ７１，７２は、先ず、アドレスペアとして含まれている自己に接続されていないＩＰ端末を受信先アドレス情報２０１とし、アドレスペアとして含まれている自己に接続されているＩＰ端末を送信元アドレス情報２０２とし、自己に接続された端末にパケットを送信させないコントロールコード２５１、自己に接続された非ＩＰ端末に関する情報である非ＩＰ端末データ２５２を含むＩＰパケットを作成する。

そして、ブリッジ７１は、受信先アドレス情報２０１として通信相手に接続されたＩＰ端末７６のＩＰアドレスを格納させ、送信元アドレス情報２０２として自己に接続されたＩＰ端末７３又は７４のＩＰアドレスを格納させて、当該ＩＰパケットを、通信相手のブリッジ７２で受信させる。

これに応じ、ブリッジ７２は、ＩＰパケットを受信すると、当該ＩＰパケットにコントロールコード２５１が含まれていることを認識して、転送はさせない。そして、ブリッジ７２は、非ＩＰ端末データ２５２を読み出して、非ＩＰ端末データ２５２を記憶する。これにより、ブリッジ７１とブリッジ７２とで、ブリッジ７１に接続されている非ＩＰ端末７５のＭＡＣアドレスを共有することができる。

一方、ブリッジ７２も、ブリッジ７１と同様に、非ＩＰ端末７７の非ＩＰ端末データ２５２を含み、コントロールコード２５１が含まれていたＩＰパケットの送信元アドレス情報２０２又はアドレスペアとして記憶されていたＩＰ端末７３又は７４のＩＰアドレスを受信先アドレス情報２０１とし、コントロールコード２５１が含まれていたＩＰパケットの受信先アドレス情報２０１又はアドレスペアとして記憶されていたＩＰ端末７６のＩＰアドレスを送信元アドレス情報２０２とし、更に、自己に接続されている非ＩＰ端末７７のＭＡＣアドレス等の非ＩＰ端末データ２５２を含むＩＰパケットを作成して送信する。これに応じて、ブリッジ７１は、ブリッジ７２に接続された非ＩＰ端末７７の非ＩＰ端末データ２５２を取得することができる。

そして、例えば、非ＩＰ端末７５に、ブリッジ７２に接続されたＩＰ端末７６のＭＡＣアドレスが記憶されている場合に、非ＩＰ端末７５からＩＰ端末７６にデータを送信するＭＡＣパケットをブリッジ７１で受信した場合には、ＭＡＣパケットにブリッジ７２に接続されたＩＰ端末７６のＩＰアドレスを含むＩＰヘッダを付加してＩＰパケットを作成して、通信網ＮＴ及びブリッジ７２を介してＩＰ端末７６にＩＰパケットを送信することができる。

また、例えば、非ＩＰ端末７５から非ＩＰ端末７７にデータを送信するＭＡＣパケットをブリッジ７１で受信した場合には、アドレスペアを参照してＩＰパケットを作成してブリッジ７２に送信し、ブリッジ７２から非ＩＰ端末７７にＭＡＣパケットを送信させることができる。ここで、ブリッジ７１は、プロトコル変換を行うことを識別する情報であって、ブリッジ７２でＩＰアドレスを削除するコントロールコード２５１を含むＩＰパケットを作成する。

このように、第３実施形態に係るネットワークシステムによれば、以前に通信されたＩＰパケットのアドレスペアを記憶させておくことによって、ＩＰアドレスが付与されていない非ＩＰ端末からのＭＡＣパケットをＩＰパケットにプロトコル変換して、ＩＰネットワークを介した通信を行わせることができる。したがって、このネットワークシステムによれば、ＩＰを実装しているゲートウェイを設けてプロトコル変換を行わせなくても、それぞれにＩＰアドレスのアドレスペアを記憶させ、ブリッジ同士でそれぞれに接続された非ＩＰ端末のＭＡＣアドレスを共有することによって、仮想的なプロトコル変換装置を設置することができる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

本発明を適用した通信装置を含むネットワークシステムのシステム構成を示すブロック図である。 本発明を適用した通信装置の機能的な構成を示すブロック図である。 本発明を適用した通信装置の機能的な他の構成を示すブロック図である。 本発明を適用した通信装置の機能的な構成における動作を説明するためのブロック図である。 一般的なＩＰｓｅｃを利用したネットワークシステムについて説明するためのブロック図である。 本発明を適用した通信装置としてＩＰｓｅｃ機器を使用した場合に、ＩＰｓｅｃ機器の動作を説明するためのブロック図である。 本発明を適用した通信装置としてＩＰｓｅｃ機器を使用した場合に、ＩＰｓｅｃ機器によるＩＫＥ処理の動作を説明するためのブロック図である。 本発明を適用した通信装置としてＩＰｓｅｃ機器を使用した場合に、グルーピングを行って通信する動作を説明するためのブロック図である。 グルーピングを行って通信する時のパケットの構成を示す図である。 本発明を適用した通信装置としてＶＬＡＮ装置を使用した場合の動作を説明するためのブロック図である。 本発明を適用した通信装置としてプロトコル変換を行う機器を使用した場合の動作を説明するためのブロック図である。

符号の説明

１，２ 通信機器
３，４ ＬＡＮ回線
１１ ＬＡＮ用通信インターフェース
１２ 通信インターフェース
１３ ＩＰ機器
１４ テーブル記憶部
１５ 追加機能制御部
２１ 通信インターフェース
４１，４２，５１，５２，５３ ＩＰｓｅｃ機器
５１，５２，５３ ＩＰｓｅｃ機器
６１，６２ ポートＶＬＡＮ機器
７１，７２ ブリッジ
１０１ 受信先識別子格納部
１０２ 送信元識別子格納部
１０３ 通信識別タグ格納部
１０４ ペイロード部
２２１ ＩＰｓｅｃ機器用コントロールコード
２２２ ＩＫＥプロトコル関連情報
２３１ グループ識別子
２４１ ポートＶＬＡＮ用コントロールコード
２４２ ＬＡＮグループ識別子
２４３ ポート番号情報
２５１ コントロールコード
２５２ 非ＩＰ端末データ

Claims (14)

1. 所定の通信プロトコルに従って処理される識別子を有しない通信装置であって、
   前記所定の通信プロトコルに従って処理される識別子を有する第１通信機器と接続される接続手段と、
   当該第１通信機器の前記所定の通信プロトコルに従って処理される識別子と、前記所定の通信プロトコルに従って処理される識別子を有する第２通信機器の識別子との組を用いて、前記所定の通信プロトコルに従って処理されるパケットを作成し、当該パケットを、前記所定の通信プロトコルに従って処理される識別子を有しない前記第３通信機器に接続された第２通信機器又は前記第３通信機器との間で送受信して、当該第２通信機器又は第３通信機器との間で機能の設定情報を送受信して、前記設定情報に基づく機能の追加又は変更を行う設定手段と、
   前記設定手段で追加又は変更された機能によって前記第１通信機器と前記第２通信機器との間で送受信されるパケットに処理を施す処理手段と
   を備えることを特徴とする通信装置。
2. 前記設定手段は、前記第３通信機器との間でパケットを送受信するに際して、
   前記所定の通信プロトコルに従って処理されるパケットに、当該パケットを前記第３通信機器に接続された端末に送信させない通信制御コードを含めて前記第３通信機器との間で送受信することを特徴とする請求項１に記載の通信装置。
3. 前記第１通信機器の識別子と前記第２通信機器の識別子との組を、予め記憶しておく記憶手段を備え、
   前記設定手段は、前記記憶手段に記憶された識別子の組を前記設定情報に付加してパケットを作成すること
   を特徴とする請求項１又は請求項２に記載の通信装置。
4. 前記第１通信機器で送受信されるパケットであって、前記所定の通信プロトコルに従って処理される送信元識別子及び受信先識別子を含むパケットを転送する転送手段と、
   前記転送手段で転送したパケットから、前記送信元識別子及び受信先識別子を取り出して、当該送信元識別子と受信先識別子とを組にして記憶する記憶手段と
   を備えることを特徴とする請求項１又は請求項２に記載の通信装置。
5. 前記設定情報は、前記所定の通信プロトコルに従って作成されたパケットのうち、前記所定の通信プロトコルとは異なる通信プロトコルで処理できるペイロード部を暗号化及び復号するための暗号化情報であって、前記設定手段は、前記暗号化情報を送受信することによって前記第２通信機器又は前記第３通信機器との間で合意した暗号化情報を取得し、
   前記処理手段は、前記第１通信機器からのパケットの一部に、前記暗号化情報に基づく暗号化を施すと共に、前記第２通信機器又は前記第３通信機器からのパケットの一部を、前記暗号化情報に基づいて復号すること
   を特徴とする請求項１に記載の通信装置。
6. 前記設定情報は、予め設定された複数の端末を含むグループ間の通信を通信設定の相違によって規制するためのグループ化情報であり、前記設定手段は、前記グループ化情報を送受信することによって、前記接続手段に接続された端末及び前記第３通信機器に接続された端末のうち同一のグループに属する端末を認識し、
   前記処理手段は、前記所定の通信プロトコルに従って作成されたパケットの一部に、前記グループを識別する情報を付加して前記第２通信機器又は前記第３通信機器にパケットを送信すると共に、前記第２通信機器又は前記第３通信機器からのパケットの一部の前記グループを識別する情報から、当該グループに属する端末にパケットを転送させるグループ化通信を行うこと
   を特徴とする請求項１に記載の通信装置。
7. 前記設定情報は、前記所定の通信プロトコルに従って処理される識別子を有しない端末から送信されたデータを前記所定の通信プロトコルで処理できるパケットに変換させるためのプロトコル変換情報であり、
   前記処理手段は、前記接続手段に接続された端末から送信されたパケットを前記プロトコル変換情報に基づいてプロトコル変換をして送信させると共に、前記接続手段に接続された端末宛に送信されたパケットを前記プロトコル変換情報に基づいてプロトコル変換を行って当該端末に受信させること
   を特徴とする請求項１に記載の通信装置。
8. 所定の通信プロトコルに従って処理される識別子を有する第１通信機器と接続され、前記所定の通信プロトコルに従って処理される識別子を有しない通信装置の通信方法であって、
   前記第１通信機器の前記所定の通信プロトコルに従って処理される識別子と、前記所定の通信プロトコルに従って処理される識別子を有する第２通信機器の識別子との組を記憶しておき、
   前記第２通信機器に接続され、前記所定の通信プロトコルに従って処理される識別子を有しない第３通信機器、又は、前記第２通信機器との間で通信を行って、前記通信装置の機能の追加又は変更を行うに際して、
   前記第１通信機器の識別子と、前記第２通信機器の識別子との組とを用いて、前記所定の通信プロトコルに従って処理されるパケットを作成して、前記通信装置の機能の設定情報を送受信することで、前記設定情報に基づく機能の追加又は変更を行うこと
   を特徴とする通信方法。
9. 前記第３通信機器との間でパケットを送受信するに際して、
   前記所定の通信プロトコルに従って処理されるパケットに、当該パケットを前記第３通信機器に接続された端末に送信させない通信制御コードを含めて前記第３通信機器との間で送受信することを特徴とする請求項８に記載の通信方法。
10. 前記第１通信機器で送受信されるパケットであって、前記所定の通信プロトコルに従って処理される送信元識別子及び受信先識別子を含むパケットを転送するに際して、
    当該転送するパケットから、前記送信元識別子及び受信先識別子を取り出して、当該送信元識別子と受信先識別子とを組にして記憶しておくこと
    を特徴とする請求項８又は請求項９に記載の通信方法。
11. 前記設定情報は、前記所定の通信プロトコルに従って作成されたパケットのうち、前記所定の通信プロトコルとは異なる通信プロトコルで処理できるペイロード部を暗号化及び復号するための暗号化情報であって、前記暗号化情報を送受信することによって前記第２通信機器又は前記第３通信機器との間で合意した暗号化情報を取得し、
    前記第１通信機器からのパケットを受信した時には、当該パケットの一部に、前記暗号化情報に基づく暗号化を施し、
    前記第２通信機器又は前記第３通信機器からのパケットを受信した時には、当該パケットの一部を、前記暗号化情報に基づいて復号すること
    を特徴とする請求項８に記載の通信方法。
12. 前記設定情報は、予め設定された複数の端末を含むグループ間の通信を通信設定の相違によって規制するためのグループ化情報であり、前記グループ化情報を送受信することによって、前記接続手段に接続された端末及び前記第３通信機器に接続された端末のうち同一のグループに属する端末を認識し、
    前記第１通信機器からのパケットを受信した時には、前記所定の通信プロトコルに従って作成されたパケットの一部に、当該第１通信機器が属する前記グループを識別する情報を付加して前記第２通信機器又は前記第３通信機器にパケットを送信し、
    前記第２通信機器又は前記第３通信機器からのパケットを受信した時には、前記第２通信機器又は前記第３通信機器からのパケットの一部の前記グループを識別する情報から、当該グループに属する端末にパケットを転送させるグループ化通信を行うこと
    を特徴とする請求項８に記載の通信方法。
13. 前記設定情報は、前記所定の通信プロトコルに従って処理される識別子を有しない端末から送信されたデータを前記所定の通信プロトコルで処理できるパケットに変換させるためのプロトコル変換情報であり、
    前記所定の通信プロトコルに従って処理される識別子を有しない端末からのパケットを受信した時には、前記プロトコル変換情報に基づいてプロトコル変換をして送信させ、
    前記端末宛に送信されたパケットを前記プロトコル変換情報に基づいてプロトコル変換を行って当該端末に受信させること
    を特徴とする請求項８に記載の通信方法。
14. 所定の通信プロトコルに従って処理される識別子を有する第１端末が接続され、前記所定の通信プロトコルに従って処理される識別子を有しない第１通信装置と、
    前記所定の通信プロトコルに従って処理される識別子を有する第２端末が接続されると共に、前記第１通信装置と通信網を介して接続され、前記所定の通信プロトコルに従って処理される識別子を有しない第２通信装置とを備え、
    前記第１通信装置及び前記第２通信装置のそれぞれは、
    前記第１端末の識別子と、前記第２端末の識別子との組を用いて、前記所定の通信プロトコルに従って処理されるパケットを作成し、当該パケットを、前記通信網を介して送受信して、機能の設定情報を送受信して、前記設定情報に基づく機能の追加又は変更を行う設定手段と、
    前記設定手段で追加又は変更された機能によって前記第１端末と前記第２端末との間で送受信されるパケットに処理を施す処理手段と
    を備えることを特徴とする通信システム。

Images