JP2008079059A

JP2008079059A - ＩＰｓｅｃの複数セッションを処理する通信装置及びその処理方法

Info

Publication number: JP2008079059A
Application number: JP2006256595A
Authority: JP
Inventors: Motoyuki Takizawa; 基行滝澤; Toru Minato; 透湊; Takahiro Furukawa; 隆弘古川; Koichi Seki; 孝一関
Original assignee: Fujitsu Telecom Networks Ltd
Current assignee: Fujitsu Telecom Networks Ltd
Priority date: 2006-09-22
Filing date: 2006-09-22
Publication date: 2008-04-03

Abstract

【課題】ＩＰｓｅｃの複数セッションを処理する通信装置及びその処理方法に関し、ＮＡＴ機能を有する通信装置の配下に置かれた複数の端末装置から、同一のＩＰｓｅｃゲートウェイ装置に対して同時にＩＰｓｅｃセッションを確立することができるようにする。
【解決手段】端末装置１０８，１０９からＩＰｓｅｃの鍵交換処理を含むＩＳＡＫＭＰの最初のパケットを受信し、ＩＰｓｅｃ通信の開始を検出部１０２で検出すると、アドレス取得部１０４によりアドレス割り当てサーバ１１０からグローバルＩＰアドレス１０６，１０７を新たに取得し、各ＩＰｓｅｃ通信に該グローバルＩＰアドレス１０６，１０７をそれぞれ割り当て、ネットワークアドレス変換処理部１０３でアドレス変換処理を行って各ＩＰｓｅｃセッションの通信を通過させ、各ＩＰｓｅｃセッションの通信の終了時に、アドレス変換管理テーブル１０５から各グローバルＩＰアドレスを解放する。
【選択図】図１

Description

本発明は、ＩＰ（Internet Protocol）技術をベースにしたルーティング機能及びネットワークアドレス変換（ＮＡＴ：Network Address Translation,RFC3022）機能を有する一般的なルータ、ブロードバンドルータ又はゲートウェイ等の通信装置であって、インターネットで暗号通信を行うための規格であるＩＰｓｅｃ（Security Architecture for Internet Protocol）の複数のセッションを処理する通信装置及びその処理方法に関する。

一般的な家庭等の宅内の通信装置によるインターネットアクセスでは、１つのグローバルアドレスで宅内の複数の端末装置をインターネットに接続し、更に宅内ネットワークのセキュリティを高めるために、ネットワークアドレス変換（ＮＡＴ）機能、パケットフィルタリング機能、ファイアウォール機能等を備えたブロードバンドルータを設置する場合が多い。

この場合、ネットワークアドレス変換（ＮＡＴ）機能によって、宅内ネットワーク内の各端末装置のプライベートアドレスを、ブロードバンドルータの外部側に割り当てられたグローバルアドレスに変換することにより、宅内の複数の端末装置のインターネット接続を可能にしている。

また、複数の端末装置を同時に接続する場合は、宅内端末装置のネットワークアドレス（ＩＰアドレス等）に加えて、ＴＣＰ／ＵＤＰプロトコルのポート番号を変換するＮＡＰＴ（Network Address Port Translation,同RFC3022）機能によって、複数の端末装置に対する同時アドレス変換を実現している。

コンピュータなどの宅内端末装置から、インターネット通信網を利用する仮想専用線網（ＶＰＮ：Virtual Private Network）によって、企業内ネットワークにリモートアクセスを行う場合、一般的に、ＩＰｓｅｃプロトコル（RFC2401等）による暗号化通信が使用されるが、宅内ネットワークにＮＡＰＴ機能を有するルータが設置されている場合、宅内端末装置から該仮想専用線網（ＶＰＮ）接続を正常に行うためには、ＮＡＰＴ機能を有するルータにおいて、ＩＰｓｅｃセッションの通信を正常に通過（パススルー）させる機能が必要になる。

通常、ＩＰｓｅｃプロトコルの通信を行うためには、鍵交換等を行う鍵管理プロトコルのＩＳＡＫＭＰ（Internet Security Association and Key Management Protocol,RFC2408）セッションと、実際の暗号化通信を行うＩＰｓｅｃセッションの２つのセッションによる通信が順番に行われるが、それぞれのセッションでは通信フォーマットが異なり、更にＩＰｓｅｃセッションでは、ＴＣＰ／ＵＤＰプロトコルが使われないため、一般的なＮＡＰＴ機能を備えたブロードバンドルータ等は、これの通信を正常に通過させることができない。

ＮＡＰＴ機能を有するルータでＩＰｓｅｃセッションの通信を正常に通過させるには、最初の鍵管理プロトコル（ＩＳＡＫＭＰ）のセッションの通信の開始によりＩＰｓｅｃ通信を認識し、ルータで特殊な処理を行うことでＮＡＴ機能を透過させている。鍵管理プロトコル（ＩＳＡＫＭＰ）には、送信元／宛先に５００番のポート番号を割り当てたＵＤＰが使用され、該ポート番号により鍵管理プロトコル（ＩＳＡＫＭＰ）の通信を認識することができる。

但し、複数の鍵管理プロトコル（ＩＳＡＫＭＰ）のセッションを処理するには、５００番以外のポート番号を使用しなければならない。しかし、企業側に設置されるいくつかのＩＰｓｅｃゲートウェイ装置は、送信元ポート番号が５００以外の鍵管理プロトコル（ＩＳＡＫＭＰ）の通信を受け付けない場合がある。

また、鍵管理プロトコル（ＩＳＡＫＭＰ）セッション後のＩＰｓｅｃセッション通信時に至っては、ＴＣＰ／ＵＤＰプロトコル自体が使用されず、ポート番号の変換による通常のＮＡＰＴ処理を実施することができない。そのため、ＩＰアドレスのみを変換してＩＰｓｅｃセッションの通信を透過（パススルー）させる方式が一般的である。

図４〜図６は宅内の端末装置から複数のＩＰｓｅｃセッションを確立する接続構成例を示している。図４は、第１の端末装置４２が、ＮＡＴ機能透過（パススルー）通信装置４１を経由して、第１のＩＰｓｅｃゲートウェイ装置４４とＩＰｓｅｃ通信を行い、第２の端末装置４３が、同様にＮＡＴ機能透過（パススルー）通信装置４１を経由して、第２のＩＰｓｅｃゲートウェイ装置４５とＩＰｓｅｃ通信を行う接続構成例を示している。

この場合、第１及び第２のＩＰｓｅｃゲートウェイ装置４４及び４５のグローバルＩＰアドレスが異なるため、ＮＡＴパススルー通信装置４１は、各ＩＰｓｅｃゲートウェイ装置４４及び４５のそれぞれの異なるＩＰアドレスを用いて、２つのＩＰｓｅｃセッションを識別し、２つのＩＰｓｅｃセッションを同時に扱うことができる。

図５は、端末装置５２が、ＮＡＴパススルー通信装置５１を経由して、第１のＩＰｓｅｃゲートウェイ装置５３及び第２のＩＰｓｅｃゲートウェイ装置５４のそれぞれに対して、ＩＰｓｅｃ通信を行う接続構成例を示している。この構成例の場合も、第１及び第２のＩＰｓｅｃゲートウェイ装置５３及び５４のグローバルＩＰアドレスがそれぞれ異なるため、ＮＡＴパススルー装置５１は、２つのＩＰｓｅｃセッションを識別して同時に扱うことができる。

図６は、第１の端末装置６２が、ＮＡＴパススルー通信装置６１を経由して、ＩＰｓｅｃゲートウェイ装置６４とＩＰｓｅｃ通信を行い、また、第２の端末装置６３も同様にＩＰｓｅｃゲートウェイ装置６４とＩＰｓｅｃ通信を行おうとする例を示している。

この場合、ＩＰｓｅｃゲートウェイ装置６４からＮＡＴパススルー装置通信６１へ向かって転送されるパケットは、同一宅内の第１の端末装置６２又は第２の端末装置６３の何れかのＩＰｓｅｃセッションのパケットであるとしても、グローバルＩＰアドレスとしては、１組の送信元ＩＰアドレスと宛先ＩＰアドレスしか使用することができないため、それらのＩＰアドレスで２つのＩＰｓｅｃセッションを識別することができず、ＮＡＴパススルー通信装置６１では、ＩＰｓｅｃの複数セッションをパススルーすることができない。

本発明に関連する先行技術文献として下記の特許文献１には、宅内通信網内のダイアルアップ環境下にある端末と、認証サーバ通信網内にあり情報提供源となる情報サーバとが、インターネットを介して接続されるインターネット中継接続方式において、ＩＰ（internet protocol）による通信のセキュリティ（ＩＰｓｅｃ, internet protocol security）を高度化する技術、及び異なるネットワーク間のアドレス変換（ＮＡＴ, network address translation）に関する技術等について記載されている。
特開２００２−２０８９６５号公報

図６で説明したように、ＮＡＴ機能を有する通信装置の配下に置かれた複数の端末装置から、ＩＰｓｅｃゲートウェイ装置へＩＰｓｅｃセッションを確立する際に、従来では、１台の端末装置がＩＰｓｅｃゲートウェイ装置に対してＩＰｓｅｃセッションを確立してしまうと、他の端末装置は同一のＩＰｓｅｃゲートウェイ装置に対して同時にＩＰｓｅｃセッションの接続をすることができないという問題があった。本発明は、ＮＡＴ機能を有する通信装置の配下に置かれた複数の端末装置から、同一のＩＰｓｅｃゲートウェイ装置に対して同時にＩＰｓｅｃセッションを確立することができる通信装置を提供することを目的とする。

本発明のＩＰｓｅｃの複数セッションを処理する通信装置は、（１）プライベートＩＰアドレスとグローバルＩＰアドレスとを変換するアドレス変換管理テーブルを有するネットワークアドレス変換処理部と、配下の端末装置から、暗号通信を行うための規格であるＩＰｓｅｃの鍵交換処理を含むＩＳＡＫＭＰ（Internet Security Association Key Management Protocol）の最初のパケットを受信し、ＩＰｓｅｃ通信の開始を検出するＩＰｓｅｃ通信検出部と、前記ＩＰｓｅｃ通信検出部によりＩＰｓｅｃ通信の開始を検出した際に、アドレス割り当てサーバからグローバルＩＰアドレスを新たに取得するアドレス取得部と、を備え、前記新たに取得したグローバルＩＰアドレスを前記アドレス変換管理テーブルに登録し、前記ＩＰｓｅｃ通信に該新たに取得したグローバルＩＰアドレスを割り当て、前記ネットワークアドレス変換処理部で、該グローバルＩＰアドレスと前記端末装置のプライベートＩＰアドレスとのアドレス変換処理を行ってＩＰｓｅｃセッションの通信を通過させ、前記ＩＰｓｅｃセッションの通信の終了時に、前記アドレス変換管理テーブルから前記取得したグローバルＩＰアドレスを解放することを特徴とする。

また、（２）前記アドレス取得部で予めグローバルＩＰアドレスを取得して前記アドレス変換管理テーブルに登録しておき、前記ＩＰｓｅｃ通信検出部によりＩＰｓｅｃ通信の開始を検出した際に、前記アドレス変換管理テーブルに予め登録されているグローバルＩＰアドレスを前記ＩＰｓｅｃ通信に割り当て、前記ネットワークアドレス変換処理部で、該グローバルＩＰアドレスと前記端末装置のプライベートＩＰアドレスとのアドレス変換処理を行ってＩＰｓｅｃセッションの通信を通過させるとともに、前記アドレス取得部によりアドレス割り当てサーバから新たにグローバルＩＰアドレスを取得し、前記アドレス変換管理テーブルに登録し、前記ＩＰｓｅｃセッションの通信の終了時に、該ＩＰｓｅｃセッションの通信に割り当てたグローバルＩＰアドレスを前記アドレス変換管理テーブルから解放することを特徴とする。

また、（３）前記ＩＰｓｅｃ通信検出部でＩＰｓｅｃ通信の開始を検出したとき、前記アドレス割り当て部によりアドレス割り当てサーバから新たに取得したグローバルＩＰアドレスを、該ＩＰｓｅｃ通信を要求した前記端末装置に割り当て、該グローバルＩＰアドレスを用いてＩＰｓｅｃセッションの通信を前記端末装置に行わせることを特徴とする。

また、本発明のＩＰｓｅｃの複数セッションの処理方法は、（４）端末装置から、暗号通信を行うための規格であるＩＰｓｅｃの鍵交換処理を含むＩＳＡＫＭＰ（Internet Security Association Key Management Protocol）の最初のパケットを受信し、ＩＰｓｅｃ通信の開始を検出するステップと、前記ＩＰｓｅｃ通信の開始を検出した際に、アドレス割り当てサーバからグローバルＩＰアドレスを新たに取得し、該新たに取得したグローバルＩＰアドレスをアドレス変換管理テーブルに登録するステップと、前記ＩＰｓｅｃ通信に該新たに取得したグローバルＩＰアドレスを割り当て、前記アドレス変換管理テーブルを用い、該グローバルＩＰアドレスと前記端末装置のプライベートＩＰアドレスとのアドレス変換処理を行ってＩＰｓｅｃセッションの通信を通過させるステップと、前記ＩＰｓｅｃセッションの通信の終了時に、前記アドレス変換管理テーブルから前記取得したグローバルＩＰアドレスを解放するステップと、を含むことを特徴とする。

また、（５）前記ＩＰｓｅｃ通信の開始を検出した際に、予めアドレス割り当てサーバから取得してアドレス変換管理テーブルに登録しておいたグローバルＩＰアドレスを前記ＩＰｓｅｃ通信に割り当て、前記アドレス変換管理テーブルを用い、該グローバルＩＰアドレスと前記端末装置のプライベートＩＰアドレスとのアドレス変換処理を行ってＩＰｓｅｃセッションの通信を通過させるステップと、アドレス割り当てサーバから新たにグローバルＩＰアドレスを取得し、前記アドレス変換管理テーブルに登録するステップと、前記ＩＰｓｅｃセッションの通信の終了時に、該ＩＰｓｅｃ通信に割り当てたグローバルＩＰアドレスを前記アドレス変換管理テーブルから解放するステップと、を含むことを特徴とする。

また、（６）前記ＩＰｓｅｃ通信の開始を検出するステップと、アドレス割り当てサーバからグローバルＩＰアドレスを新たに取得して前記端末装置に割り当てるステップと、前記ＩＰｓｅｃ通信の開始を検出したとき、前記アドレス割り当てサーバから新たに取得したグローバルＩＰアドレスを、該ＩＰｓｅｃ通信を要求した前記端末装置に割り当て、該グローバルＩＰアドレスを用いて前記端末装置にＩＰｓｅｃセッションの通信を行わせるステップと、を含むことを特徴とする。

本発明によれば、家庭や企業等において、ＮＡＴ機能を有する通信装置の配下に置かれた複数の端末装置から、ＩＰｓｅｃゲートウェイ装置へＩＰｓｅｃセッションを確立する際に、各ＩＰｓｅｃセッションの通信又は各端末装置にそれぞれ異なるグローバルＩＰアドレスを取得して割り当てることにより、複数台の端末装置が同一のＩＰｓｅｃゲートウェイ装置に対して同時にＩＰｓｅｃセッションの接続をすることができるようになる。

図１は本発明の通信装置の第１の実施形態を示す。第１の実施形態の通信装置１０１は、第１の端末装置１０８からのＩＰｓｅｃ通信の最初のパケットである鍵管理プロトコル（ＩＳＡＫＭＰ）のパケットを検出部１０２で検出すると、アドレス取得部１０４にてアドレス割り当てサーバ１１０から新たなグローバルＩＰアドレス１０６を取得する。この取得には、一般的にはＤＨＣＰ（Dynamic Host Configuration Protocol）やＰＰＰｏＥ（Point to Point Protocol over Ethernet（登録商標））等のプロトコルが使用される。

ＮＡＴ処理部１０３は、第１の端末装置１０８のプライベートＩＰアドレスと、この取得したグローバルＩＰアドレス１０６と、更に第１の端末装置１０８の通信相手となるＩＰｓｅｃゲートウェイ装置１１１のグローバルＩＰアドレスとを、アドレス変換管理テーブル１０５に登録し、以降の通信に対して、これらの登録した各ＩＰアドレス情報を使ってアドレス変換を行い、ＩＰｓｅｃセッションの通信を通過させる。

更に、第１の端末装置１０８がＩＰｓｅｃゲートウェイ装置１１１に対してＩＰｓｅｃセッションを確立している状態で、第２の端末装置１０９から同一のＩＰｓｅｃゲートウェイ装置１１１に対して新たなＩＰｓｅｃセッションの要求が発生すると、検出部１０２にてこれを検出し、同様にアドレス割り当てサーバ１１０から新たなグローバルＩＰアドレス１０７を取得し、アドレス変換管理テーブル１０５に、これら第２の端末装置１０９のプライベートＩＰアドレスと、この取得したグローバルＩＰアドレス１０７と、通信相手となるＩＰｓｅｃゲートウェイ装置１１１のグローバルＩＰアドレスとを登録し、以降の通信に対して、この登録した各ＩＰアドレス情報を使ってアドレス変換を行い、ＩＰｓｅｃセッションの通信を通過させる。

このように、同一のＩＰｓｅｃゲートウェイ装置１１１に対する複数のＩＰｓｅｃセッションに対して、それぞれ異なるグローバルＩＰアドレスを取得して割り当てることにより、複数のＩＰｓｅｃセッションのパススルー接続を確立することが可能となる。

また、第１の端末装置１０８がＩＰｓｅｃセッションの通信を終了すると、通信装置１０１は、アドレス変換管理テーブル１０５から該通信に係るグローバルＩＰアドレス１０６を削除し、アドレス取得部１０４にてこのグローバルＩＰアドレス１０６を解放し、アドレス割り当てサーバ１１０に返却することにより、アドレス割り当てサーバ１１０の管理するＩＰアドレスを節約することができる。グローバルＩＰアドレス１０７についても同様に、第２の端末装置１０９がＩＰｓｅｃセッションの通信を終了したとき、アドレス割り当てサーバ１１０に返却する。

図２は本発明の通信装置の第２の実施形態を示す。第２の実施形態の通信装置２０１は、予めグローバルＩＰアドレス２０６を所持しておく。第１の端末装置２０９からのＩＰｓｅｃ通信の最初のパケットである鍵管理プロトコル（ＩＳＡＫＭＰ）のパケットを検出部２０２で検出すると、ＮＡＴ処理部２０３は、第１の端末装置２０９のプライベートＩＰアドレスと、この予め所持しているグローバルＩＰアドレス２０６と、更に第１の端末装置２０９の通信相手となるＩＰｓｅｃゲートウェイ装置２１２のグローバルＩＰアドレスとを、アドレス変換管理テーブル２０５に登録し、以降の通信に対して、これらの登録した各ＩＰアドレス情報を使ってアドレス変換を行い、ＩＰｓｅｃセッションの通信を通過させる。

上述のＩＰｓｅｃセッションの通信の開通動作と同時に、アドレス取得部２０４は、アドレス割り当てサーバ２１１から新たなグローバルＩＰアドレス２０７を取得する。更にこの状態で、第２の端末装置２１０からＩＰｓｅｃゲートウェイ装置２１２に対して新たなＩＰｓｅｃセッションの通信要求が発生すると、検出部２０２でこれを検出し、同様に第２の端末装置２１０のプライベートＩＰアドレスと、先刻取得したグローバルＩＰアドレス２０７と、更に通信相手のＩＰｓｅｃゲートウェイ装置２１２のグローバルＩＰアドレスとを、アドレス変換管理テーブル２０５に登録し、以降の通信に対して、これらの登録したＩＰアドレス情報を使ってアドレス変換を行い、ＩＰｓｅｃセッションの通信を通過させる。

更に上述のＩＰｓｅｃセッションの通信の開通動作と同時に、アドレス取得部２０４は、再度、アドレス割り当てサーバ２１１から新たなグローバルＩＰアドレス２０８を取得し、保持しておく。このようにして、同一のＩＰｓｅｃゲートウェイ装置２１２との間に複数のＩＰｓｅｃセッションのパススルー接続機能を実現し、なおかつ、予め通信開始前にＩＰｓｅｃセッション用のグローバルＩＰアドレスを確保しておくことにより、アドレス割り当てサーバ２１１との接続が一時的に不可能な場合や、グローバルＩＰアドレス取得に長時間掛かって通信要求がタイムアウトしてしまう場合など、ＩＰｓｅｃ通信が不能となる頻度を減少させることができる。

また、第１の端末装置２０９がＩＰｓｅｃセッションの通信を終了したとき、通信装置２０１は、アドレス変換管理テーブル２０５から該通信に係るグローバルＩＰアドレス２０６を削除し、アドレス取得部２０４にてこのグローバルＩＰアドレス２０６を解放してアドレス割り当てサーバ２１１に返却することにより、アドレス割り当てサーバ２１１の管理するグローバルＩＰアドレスを節約することができる。

図３は本発明の通信装置の第３の実施形態を示す。第３の実施形態の通信装置３０１において、該通信装置３０１の配下の第１の端末装置３０５及び第２の端末装置３０８は、それぞれプライベートＩＰアドレス３０６及びプライベートＩＰアドレス３０９を使用して、ＮＡＴ処理部３０４によるアドレス変換処理を経て、通常のインターネット通信を行っているものとする。

このとき、第１の端末装置３０５からＩＰｓｅｃセッションの通信要求が行われると、検出部３０２は、最初のパケットである鍵管理プロトコル（ＩＳＡＫＭＰ）のパケットを検出し、アドレス割り当て部３０３にネットワークアドレス（グローバルＩＰアドレス）の再取得を促し、アドレス割り当て部３０３は、アドレス割り当てサーバ（図示省略）からグローバルＩＰアドレス３０７を再取得し、該グローバルＩＰアドレス３０７を第１の端末装置３０５に割り当てる。

このときに使われるプロトコルの一般的な例として、ＤＨＣＰのＤＨＣＰＦＯＲＣＥＲＥＮＥＷメッセージ（ＲＦＣ３２０３）を用いることができる。以降、通信装置３０１は、第１の端末装置３０５に対して、ＮＡＴ処理部３０４によるアドレス変換処理を経ることなく、グローバルＩＰアドレス３０７を使用して、直接ＩＰｓｅｃゲートウェイ装置３１１とＩＰｓｅｃセッションの通信を行わせる。

更にこの状態で、第２の端末装置３０８からＩＰｓｅｃセッションの通信要求が行われると、同様に、検出部３０２により最初の鍵管理プロトコル（ＩＳＡＫＭＰ）のパケットを検出し、アドレス割り当て部３０３にネットワークアドレス（グローバルＩＰアドレス）の再取得を促し、アドレス割り当て部３０３により第２の端末装置３０８にグローバルＩＰアドレス３１０を割り当てる。

第２の端末装置３０８は、ＮＡＴ処理部３０４によるアドレス変化処理を経ることなく、グローバルＩＰアドレス３１０を使用して、直接ＩＰｓｅｃゲートウェイ装置３１１とＩＰｓｅｃセッションの通信を開始する。これによって、同一のＩＰｓｅｃゲートウェイ装置３１１に対して複数のＩＰｓｅｃセッションのパススルー接続を実現することが可能となる。

本発明の通信装置の第１の実施形態を示す図である。本発明の通信装置の第２の実施形態を示す図である。本発明の通信装置の第３の実施形態を示す図である。宅内の端末装置から複数のＩＰｓｅｃセッションを確立する第１の接続構成例を示す図である。宅内の端末装置から複数のＩＰｓｅｃセッションを確立する第２の接続構成例を示す図である。宅内の端末装置から複数のＩＰｓｅｃセッションを確立する第３の接続構成例を示す図である。

符号の説明

１０１第１の実施形態の通信装置
１０２検出部
１０３ＮＡＴ処理部
１０４アドレス取得部
１０５アドレス変換管理テーブル
１０６グローバルＩＰアドレス
１０７グローバルＩＰアドレス
１０８第１の端末装置
１０９第２の端末装置
１１０アドレス割り当てサーバ
１１１ＩＰｓｅｃゲートウェイ装置

Claims

プライベートＩＰアドレスとグローバルＩＰアドレスとを変換するアドレス変換管理テーブルを有するネットワークアドレス変換処理部と、
配下の端末装置から、暗号通信を行うための規格であるＩＰｓｅｃの鍵交換処理を含むＩＳＡＫＭＰ（Internet Security Association Key Management Protocol）の最初のパケットを受信し、ＩＰｓｅｃ通信の開始を検出するＩＰｓｅｃ通信検出部と、
前記ＩＰｓｅｃ通信検出部によりＩＰｓｅｃ通信の開始を検出した際に、アドレス割り当てサーバからグローバルＩＰアドレスを新たに取得するアドレス取得部と、を備え、
前記新たに取得したグローバルＩＰアドレスを前記アドレス変換管理テーブルに登録し、前記ＩＰｓｅｃ通信に該新たに取得したグローバルＩＰアドレスを割り当て、前記ネットワークアドレス変換処理部で、該グローバルＩＰアドレスと前記端末装置のプライベートＩＰアドレスとのアドレス変換処理を行ってＩＰｓｅｃセッションの通信を通過させ、
前記ＩＰｓｅｃセッションの通信の終了時に、前記アドレス変換管理テーブルから前記取得したグローバルＩＰアドレスを解放することを特徴とするＩＰｓｅｃの複数セッションを処理する通信装置。
プライベートＩＰアドレスとグローバルＩＰアドレスとを変換するアドレス変換管理テーブルを有するネットワークアドレス変換処理部と、
配下の端末装置から、暗号通信を行うための規格であるＩＰｓｅｃの鍵交換処理を含むＩＳＡＫＭＰ（Internet Security Association Key Management Protocol）の最初のパケットを受信し、ＩＰｓｅｃ通信の開始を検出するＩＰｓｅｃ通信検出部と、
アドレス割り当てサーバからグローバルＩＰアドレスを新たに取得するアドレス取得部と、を備え、
前記アドレス取得部で予めグローバルＩＰアドレスを取得して前記アドレス変換管理テーブルに登録しておき、前記ＩＰｓｅｃ通信検出部によりＩＰｓｅｃ通信の開始を検出した際に、前記アドレス変換管理テーブルに予め登録されているグローバルＩＰアドレスを前記ＩＰｓｅｃ通信に割り当て、前記ネットワークアドレス変換処理部で、該グローバルＩＰアドレスと前記端末装置のプライベートＩＰアドレスとのアドレス変換処理を行ってＩＰｓｅｃセッションの通信を通過させるとともに、前記アドレス取得部によりアドレス割り当てサーバから新たにグローバルＩＰアドレスを取得し、前記アドレス変換管理テーブルに登録し、
前記ＩＰｓｅｃセッションの通信の終了時に、該ＩＰｓｅｃセッションの通信に割り当てたグローバルＩＰアドレスを前記アドレス変換管理テーブルから解放することを特徴とするＩＰｓｅｃの複数セッションを処理する通信装置。
配下の端末装置から、暗号通信を行うための規格であるＩＰｓｅｃの鍵交換処理を含むＩＳＡＫＭＰ（Internet Security Association Key Management Protocol）の最初のパケットを受信し、ＩＰｓｅｃ通信の開始を検出するＩＰｓｅｃ通信検出部と、
アドレス割り当てサーバからグローバルＩＰアドレスを新たに取得して前記端末装置に割り当てるアドレス割り当て部と、を備え、
前記ＩＰｓｅｃ通信検出部でＩＰｓｅｃ通信の開始を検出したとき、前記アドレス割り当て部によりアドレス割り当てサーバから新たに取得したグローバルＩＰアドレスを、該ＩＰｓｅｃ通信を要求した前記端末装置に割り当て、該グローバルＩＰアドレスを用いてＩＰｓｅｃセッションの通信を前記端末装置に行わせることを特徴とするＩＰｓｅｃの複数セッションを処理する通信装置。
端末装置から、暗号通信を行うための規格であるＩＰｓｅｃの鍵交換処理を含むＩＳＡＫＭＰ（Internet Security Association Key Management Protocol）の最初のパケットを受信し、ＩＰｓｅｃ通信の開始を検出するステップと、
前記ＩＰｓｅｃ通信の開始を検出した際に、アドレス割り当てサーバからグローバルＩＰアドレスを新たに取得し、該新たに取得したグローバルＩＰアドレスをアドレス変換管理テーブルに登録するステップと、
前記ＩＰｓｅｃ通信に該新たに取得したグローバルＩＰアドレスを割り当て、前記アドレス変換管理テーブルを用い、該グローバルＩＰアドレスと前記端末装置のプライベートＩＰアドレスとのアドレス変換処理を行ってＩＰｓｅｃセッションの通信を通過させるステップと、
前記ＩＰｓｅｃセッションの通信の終了時に、前記アドレス変換管理テーブルから前記取得したグローバルＩＰアドレスを解放するステップと、
を含むことを特徴とするＩＰｓｅｃの複数セッションの処理方法。
端末装置から、暗号通信を行うための規格であるＩＰｓｅｃの鍵交換処理を含むＩＳＡＫＭＰ（Internet Security Association Key Management Protocol）の最初のパケットを受信し、ＩＰｓｅｃ通信の開始を検出するステップと、
前記ＩＰｓｅｃ通信の開始を検出した際に、予めアドレス割り当てサーバから取得してアドレス変換管理テーブルに登録しておいたグローバルＩＰアドレスを前記ＩＰｓｅｃ通信に割り当て、前記アドレス変換管理テーブルを用い、該グローバルＩＰアドレスと前記端末装置のプライベートＩＰアドレスとのアドレス変換処理を行ってＩＰｓｅｃセッションの通信を通過させるステップと、
アドレス割り当てサーバから新たにグローバルＩＰアドレスを取得し、前記アドレス変換管理テーブルに登録するステップと、
前記ＩＰｓｅｃセッションの通信の終了時に、該ＩＰｓｅｃ通信に割り当てたグローバルＩＰアドレスを前記アドレス変換管理テーブルから解放するステップと、
を含むことを特徴とするＩＰｓｅｃの複数セッションの処理方法。
端末装置から、暗号通信を行うための規格であるＩＰｓｅｃの鍵交換処理を含むＩＳＡＫＭＰ（Internet Security Association Key Management Protocol）の最初のパケットを受信し、ＩＰｓｅｃ通信の開始を検出するステップと、
アドレス割り当てサーバからグローバルＩＰアドレスを新たに取得して前記端末装置に割り当てるステップと、
前記ＩＰｓｅｃ通信の開始を検出したとき、前記アドレス割り当てサーバから新たに取得したグローバルＩＰアドレスを、該ＩＰｓｅｃ通信を要求した前記端末装置に割り当て、該グローバルＩＰアドレスを用いて前記端末装置にＩＰｓｅｃセッションの通信を行わせるステップと、
を含むことを特徴とするＩＰｓｅｃの複数セッションの処理方法。