JP2008227923A

JP2008227923A - Communications system

Info

Publication number: JP2008227923A
Application number: JP2007063349A
Authority: JP
Inventors: Yukio Tada; 幸生多田
Original assignee: Yamaha Corp
Current assignee: Yamaha Corp
Priority date: 2007-03-13
Filing date: 2007-03-13
Publication date: 2008-09-25

Abstract

<P>PROBLEM TO BE SOLVED: To provide a communications system that can establish safe encryption communication, while reducing the cost in a communication system connecting multiple points. <P>SOLUTION: A voice conference device inquires for an IPsec-VPN in a router. No encryption is applied on a point with the IPsec-VPN and a voice packet is transmitted directly. Encryption is applied to a point with no IPsec-VPN, and the voice packet is transmitted in an SSL-VPN via a relay server 3. The load of the relay server 3 is reduced between the points with the IPsec-VPN to transmit and receive the voice packet directly, without through the relay server 3. When the IPsec-VPN is established at all points, no relay server is required. <P>COPYRIGHT: (C)2008,JPO&INPIT

Description

この発明は、暗号化されたデータを送受信する通信システムに関する。 The present invention relates to a communication system for transmitting / receiving encrypted data.

従来、遠隔地において音声会議を行う音声会議装置（通信会議装置）が普及している。音声会議装置を各地点に設置し、各地点のルータ、ネットワークを介して接続することで音声通信システムが構築される。 Conventionally, a voice conference device (communication conference device) that performs a voice conference in a remote place has been widespread. A voice communication system is constructed by installing a voice conference device at each point and connecting them via a router and a network at each point.

しかし、音声通信システムでは、各地点の音声がインターネットを経由してパケット化して送受信されるため、盗聴の危険性が有った。そこで、ＳＳＬ−ＶＰＮサーバを経由して暗号化通信を行うことが一般的である（例えば特許文献１参照）。
特開２００２−４１４６１号公報 However, the voice communication system has a risk of eavesdropping because the voice of each point is packetized and transmitted via the Internet. Therefore, it is common to perform encrypted communication via an SSL-VPN server (see, for example, Patent Document 1).
JP 2002-41461 A

しかし、ＳＳＬ−ＶＰＮ通信を行う場合、中継サーバが必要となり、コストがかかるという問題が有った。また、多数の地点を接続する場合、中継サーバに負荷がかかるという問題も有り、高機能で高コストな中継サーバが必要となっていた。しかし、中継サーバを用いなければ安全な暗号化通信を行うことができず、通信の安全性確保とコスト削減はトレードオフの関係にあった。 However, when SSL-VPN communication is performed, there is a problem that a relay server is required and costs are increased. Further, when connecting a large number of points, there is a problem that a load is applied to the relay server, and a high-function and high-cost relay server is required. However, secure encrypted communication cannot be performed unless a relay server is used, and there has been a trade-off between ensuring communication safety and reducing costs.

そこで、この発明は、多地点を接続する通信システムにおいて、コストを削減しながら、安全な暗号化通信を実現することができる通信システムを提供することを目的とする。 Accordingly, an object of the present invention is to provide a communication system that can realize secure encrypted communication while reducing costs in a communication system that connects multiple points.

この発明の通信システムは、インターネットを介して接続される複数のルータ装置、および中継サーバ装置と、前記複数のルータ装置に接続される複数の通信端末装置と、からなる通信システムであって、前記ルータ装置は、入力されたデータを暗号化、または復号化し、データの送信元を識別する識別情報を付加、または抽出することで、所定の通信先と暗号化通信を行うルータ暗号処理部と、入力されたデータを、前記ルータ暗号処理部を介して他の装置に送信するルータ制御部と、を備え、前記通信端末装置は、入力されたデータを暗号化、または復号化する端末暗号処理部と、送信先を指定して前記端末暗号処理部を介してデータを送信する端末制御部と、を備え、前記通信端末装置の端末制御部は、接続されるルータに、送信先と暗号化通信が行われているか否かを問い合わせる問い合わせ情報を送信し、前記ルータ装置のルータ制御部は、受信した問い合わせ情報の示す送信先が、暗号化通信を行っている送信先であれば、当該送信先と暗号化通信が行われている旨を示す通知情報を前記通信端末装置に送信し、前記通信端末装置の端末制御部は、前記通知情報を受信し、送信先と暗号化通信が行われていれば、当該送信先に送信するデータについて、暗号化せずに前記ルータ装置を介して他の通信端末装置に送信し、送信先と暗号通信が行われていなければ、当該送信先に送信するデータについて、前記端末暗号処理部で暗号化して、前記ルータおよび中継サーバを介して他の通信端末装置に送信することを特徴とする。 A communication system according to the present invention is a communication system including a plurality of router devices connected via the Internet, a relay server device, and a plurality of communication terminal devices connected to the plurality of router devices, The router device encrypts or decrypts input data, and adds or extracts identification information for identifying a data transmission source, thereby performing a router encryption processing unit that performs encrypted communication with a predetermined communication destination, A router control unit that transmits the input data to another device via the router encryption processing unit, and the communication terminal device encrypts or decrypts the input data. And a terminal control unit that designates a transmission destination and transmits data via the terminal encryption processing unit, and the terminal control unit of the communication terminal apparatus transmits a transmission destination to the connected router. Inquiry information for inquiring whether or not encoded communication is being performed, the router control unit of the router device, if the transmission destination indicated by the received inquiry information is a transmission destination performing encrypted communication, Notification information indicating that encrypted communication with the transmission destination is being performed is transmitted to the communication terminal device, and the terminal control unit of the communication terminal device receives the notification information, and the transmission communication with the transmission destination is performed. If it is performed, the data to be transmitted to the transmission destination is transmitted to the other communication terminal device via the router device without encryption, and if the communication with the transmission destination is not performed, the transmission destination The data to be transmitted to the terminal is encrypted by the terminal encryption processing unit and transmitted to another communication terminal device via the router and the relay server.

この構成では、端末装置（音声会議装置）は、自装置に接続されているルータに問い合わせ情報を送信する。問い合わせ情報は、音声会議装置が接続する地点のＩＰアドレス等が含まれており、ルータ装置は、このＩＰアドレスが示す地点と暗号化通信（例えばＩＰｓｅｃ−ＶＰＮ）が構築されているか否かを判断する。ＩＰｓｅｃ−ＶＰＮが構築されていれば、その旨を示す情報を音声会議装置に通知する。音声会議装置は、ＩＰｓｅｃ−ＶＰＮが構築されている地点に送信するデータについて、暗号化せずに、ルータ装置を介して直接他の音声会議装置に送信する。一方で、ＩＰｓｅｃ−ＶＰＮが構築されていない地点に送信するデータについては、装置の暗号処理部で暗号化してから、ルータ装置および中継サーバを介して他の音声会議装置に送信する。このデータは、例えばＳＳＬプロトコルに準じた暗号パケットで送信され、ＳＳＬ−ＶＰＮで送信される。 In this configuration, the terminal device (voice conference device) transmits inquiry information to the router connected to the own device. The inquiry information includes the IP address of the point to which the voice conference device is connected, and the router device determines whether or not encrypted communication (for example, IPsec-VPN) is established with the point indicated by this IP address. To do. If the IPsec-VPN is established, information indicating that is notified to the audio conference apparatus. The voice conference apparatus transmits the data to be transmitted to the point where the IPsec-VPN is established directly to the other voice conference apparatus via the router apparatus without encryption. On the other hand, the data to be transmitted to a point where the IPsec-VPN is not established is encrypted by the encryption processing unit of the device and then transmitted to another voice conference device via the router device and the relay server. This data is transmitted in an encrypted packet conforming to the SSL protocol, for example, and transmitted by SSL-VPN.

また、この発明は、さらに、前記通信端末装置は、ユーザ操作を受け付ける操作部を備え、前記端末制御部は、前記操作部で、ユーザから所定の送信先について送信データを暗号化しない旨を示す操作を受け付けた場合、当該送信先に暗号化せずに前記ルータ装置を介してデータを送信することを特徴とする。 In addition, according to the present invention, the communication terminal device further includes an operation unit that receives a user operation, and the terminal control unit indicates that the operation unit does not encrypt transmission data for a predetermined transmission destination from the user. When the operation is accepted, the data is transmitted to the transmission destination via the router device without being encrypted.

この構成では、ユーザから暗号化せずにデータを送受信する旨の操作を受け付けた場合、暗号化せず、かつ中継サーバを介さずにデータを送受信する。例えば社内のＬＡＮで他の部屋（部署）に音声パケットを送受信する場合、社外から盗聴される可能性が低いため、暗号化せずに送受信する。暗号化せずに送受信することで、通信速度の向上が期待できる。 In this configuration, when an operation for transmitting / receiving data without encryption is received from the user, the data is transmitted / received without being encrypted and not via the relay server. For example, when a voice packet is transmitted / received to / from another room (department) via an in-house LAN, since there is a low possibility of eavesdropping from outside the company, the packet is transmitted without encryption. By transmitting and receiving without encryption, an improvement in communication speed can be expected.

この発明によれば、暗号化通信が構築されている地点間では、中継サーバを介さずに直接音声パケットを送受信するため、中継サーバの負荷を低減する。よって、中継サーバを必要としない構成、あるいは廉価な中継サーバを備えた構成でありながら多地点の通信端末装置を安全に接続することができる。 According to the present invention, since voice packets are directly transmitted and received between points where encrypted communication is established, the load on the relay server is reduced. Therefore, it is possible to safely connect multi-point communication terminal apparatuses with a configuration that does not require a relay server or a configuration that includes an inexpensive relay server.

以下、図面を参照してこの発明の実施形態である通信システムについて説明する。図１は通信システムの構成を示すブロック図である。図２は、音声会議装置の構成を示すブロック図である。図３は、ルータの構成を示すブロック図である。 Hereinafter, a communication system according to an embodiment of the present invention will be described with reference to the drawings. FIG. 1 is a block diagram showing a configuration of a communication system. FIG. 2 is a block diagram showing the configuration of the audio conference apparatus. FIG. 3 is a block diagram showing the configuration of the router.

図１において、地点Ａに音声会議装置１Ａ、およびルータ２Ａが設置され、地点Ｂに音声会議装置１Ｂ、およびルータ２Ｂが設置され、地点Ｃに音声会議装置１Ｃ、およびルータ４Ｃが設置されている。また、地点Ｄには中継サーバ３が設置されている。 In FIG. 1, a voice conference device 1A and a router 2A are installed at a point A, a voice conference device 1B and a router 2B are installed at a point B, and a voice conference device 1C and a router 4C are installed at a point C. . A relay server 3 is installed at the point D.

ルータ２Ａ、ルータ２Ｂ、ルータ４Ｃ、および中継サーバ３は、インターネット１０を介して接続されている。なお、中継サーバ３は、地点Ａ〜Ｃのいずれかに設置されていてもよい。音声会議装置１Ａ、音声会議装置１Ｂ、および音声会議装置１Ｃは、いずれも同じ構成、機能を有しており、図２では代表して音声会議装置１Ａの構成を示す。また、ルータ２Ａ、ルータ２Ｂは、同じ構成、機能を有しており、図３では代表してルータ２Ａの構成を示す。 The router 2A, router 2B, router 4C, and relay server 3 are connected via the Internet 10. Note that the relay server 3 may be installed at any of the points A to C. The audio conference device 1A, the audio conference device 1B, and the audio conference device 1C all have the same configuration and function, and FIG. 2 shows the configuration of the audio conference device 1A as a representative. Further, the router 2A and the router 2B have the same configuration and function, and FIG. 3 shows the configuration of the router 2A as a representative.

図２において、音声会議装置１Ａは、マイク１１、アンプ（ＡＭＰ）１２、Ａ／Ｄコンバータ１３、音声処理部１４、暗号処理部１５、通信インタフェース（Ｉ／Ｆ）１６、Ｄ／Ａコンバータ１７、アンプ（ＡＭＰ）１８、スピーカ１９、および制御部２０を備えている。 In FIG. 2, the audio conference apparatus 1A includes a microphone 11, an amplifier (AMP) 12, an A / D converter 13, an audio processing unit 14, an encryption processing unit 15, a communication interface (I / F) 16, a D / A converter 17, An amplifier (AMP) 18, a speaker 19, and a control unit 20 are provided.

マイク１１は、音声会議装置１Ａの周囲の音声を収音し、音声信号を出力する。マイク１１から出力された音声信号は、フロントエンドのアンプ１２で増幅され、Ａ／Ｄコンバータ１３でデジタル化される。デジタル化された音声信号は、音声処理部１４で所定のプロトコルでパケット化される。符号化方式やパケット長は制御部２０により設定される。パケット化された音声信号（以下、音声パケットと言う。）は、暗号処理部１５を介して通信Ｉ／Ｆ１６に出力され、外部（同図においてはルータ２Ａ）に出力される。 The microphone 11 collects sound around the audio conference apparatus 1A and outputs an audio signal. The audio signal output from the microphone 11 is amplified by the front-end amplifier 12 and digitized by the A / D converter 13. The digitized audio signal is packetized by the audio processing unit 14 using a predetermined protocol. The control unit 20 sets the encoding method and the packet length. The packetized voice signal (hereinafter referred to as voice packet) is output to the communication I / F 16 via the encryption processing unit 15 and output to the outside (the router 2A in the figure).

また、外部（ルータ２Ａ）から通信Ｉ／Ｆ１６に入力された音声パケットは、暗号処理部１５を介して音声処理部１４に入力される。音声処理部１４は、入力された音声パケットを復号し、デジタル音声信号としてＤ／Ａコンバータ１７に出力する。デジタル音声信号はＤ／Ａコンバータ１７でアナログ化され、アンプ１８で増幅されてスピーカ１９から放音される。 A voice packet input from the outside (router 2A) to the communication I / F 16 is input to the voice processing unit 14 via the encryption processing unit 15. The audio processing unit 14 decodes the input audio packet and outputs it to the D / A converter 17 as a digital audio signal. The digital audio signal is analogized by the D / A converter 17, amplified by the amplifier 18, and emitted from the speaker 19.

暗号処理部１５は、音声処理部１４から入力された音声パケットをＳＳＬプロトコルに準じた暗号パケットに変換し、通信Ｉ／Ｆ１６に出力する。音声処理部１４から入力された音声パケットを暗号化するか否かは制御部２０により設定される。また、通信Ｉ／Ｆ１６から入力したＳＳＬプロトコルに準じた暗号パケットを復号し、音声処理部１４に出力する。
なお、音声処理部１４、暗号処理部１５の構成、機能は、制御部２０のソフトウェア処理により実現してもよい。 The cryptographic processing unit 15 converts the voice packet input from the voice processing unit 14 into a cryptographic packet conforming to the SSL protocol, and outputs the encrypted packet to the communication I / F 16. Whether to encrypt the voice packet input from the voice processing unit 14 is set by the control unit 20. Further, the encrypted packet conforming to the SSL protocol input from the communication I / F 16 is decrypted and output to the voice processing unit 14.
The configurations and functions of the voice processing unit 14 and the cryptographic processing unit 15 may be realized by software processing of the control unit 20.

このように、音声会議装置１Ａは、自装置で収音した音声を他の音声会議装置に音声パケットとして送信し、他の音声会議装置から受信した音声パケットを復号して自装置で放音することにより、音声会議を実現する。 In this way, the audio conference apparatus 1A transmits the audio collected by the own apparatus as an audio packet to the other audio conference apparatus, decodes the audio packet received from the other audio conference apparatus, and emits the sound by the own apparatus. By doing so, an audio conference is realized.

図３において、ルータ２Ａは、ＬＡＮインタフェース（Ｉ／Ｆ）２１、ＷＡＮＩ／Ｆ２２、ルータ制御部２３、およびルータ暗号処理部２４を備えている。 In FIG. 3, the router 2 </ b> A includes a LAN interface (I / F) 21, a WAN I / F 22, a router control unit 23, and a router encryption processing unit 24.

ＬＡＮＩ／Ｆ２１は、音声会議装置１Ａと接続され、データ送受信を行うＬＡＮ側の通信インタフェースである。また、ＷＡＮＩ／Ｆ２２は、インターネット１０と接続され、インターネット１０とルータ２Ａとの間でデータ送受信を行うＷＡＮ側の通信インタフェースである。 The LAN I / F 21 is a communication interface on the LAN side that is connected to the audio conference apparatus 1A and performs data transmission / reception. The WAN I / F 22 is a WAN-side communication interface that is connected to the Internet 10 and performs data transmission / reception between the Internet 10 and the router 2A.

ルータ制御部２３は、ＬＡＮＩ／Ｆ２１から入力されたデータ（音声パケット等）を、ルータ暗号処理部２４を介してＷＡＮＩ／Ｆ２２に出力し、ＷＡＮＩ／Ｆ２２からルータ暗号処理部２４を介して入力されたデータを、ＬＡＮＩ／Ｆ２１に出力する。 The router control unit 23 outputs data (such as voice packets) input from the LAN I / F 21 to the WAN I / F 22 via the router encryption processing unit 24, and is input from the WAN I / F 22 via the router encryption processing unit 24. The data is output to the LAN I / F 21.

ルータ暗号処理部２４は、ルータ制御部２３から入力されたデータを暗号化し、送信元、送信先のアドレスを示したヘッダ情報等を付加してＷＡＮＩ／Ｆ２２に送信する。また、ＷＡＮＩ／Ｆ２２から入力された暗号化データを復号する。暗号方式、復号方式は、例えばＩＰｓｅｃプロトコルにて用いられる方式を利用する。
ルータ２Ａは、ＩＰｓｅｃプロトコルを用いることで、特定の装置（ルータ２Ｂ）と暗号化通信（ＩＰｓｅｃ−ＶＰＮ）を実現する。 The router encryption processing unit 24 encrypts the data input from the router control unit 23, adds header information indicating the addresses of the transmission source and the transmission destination, and transmits the data to the WAN I / F 22. Also, the encrypted data input from the WAN I / F 22 is decrypted. As the encryption method and the decryption method, for example, a method used in the IPsec protocol is used.
The router 2A implements encrypted communication (IPsec-VPN) with a specific device (router 2B) by using the IPsec protocol.

中継サーバ３は、ＳＳＬサーバであり、各地点の音声会議装置を接続し、暗号化通信を行う。各音声会議装置の暗号処理部１５は、通信Ｉ／Ｆ１６を介して認証済のＳＳＬサーバ（中継サーバ３）と暗号パケットを送受信し、ＳＳＬ通信を行う。このように、中継サーバ３は、各音声会議装置とＳＳＬ通信を行うことで、複数の音声会議装置間で暗号化通信（ＳＳＬ−ＶＰＮ）を実現する。 The relay server 3 is an SSL server, and connects to the audio conference device at each point and performs encrypted communication. The encryption processing unit 15 of each voice conference device transmits and receives encrypted packets to and from an authenticated SSL server (relay server 3) via the communication I / F 16, and performs SSL communication. Thus, the relay server 3 implement | achieves encryption communication (SSL-VPN) between several audio conference apparatuses by performing SSL communication with each audio conference apparatus.

図４は、通信システムの動作の一例を示す図である。なお、図１と共通する構成については同一の符号を付し、その説明を省略する。なお、各ルータ２Ａ，２Ｂ，２Ｃは、実際にはインターネット１０を介して互いに接続されているが、同図においては説明を容易にするためにインターネット１０の図示を省略している。同図に示す例では、ルータ２Ａとルータ２ＢにおいてＩＰｓｅｃ−ＶＰＮが構築されている。 FIG. 4 is a diagram illustrating an example of the operation of the communication system. In addition, about the structure which is common in FIG. 1, the same code | symbol is attached | subjected and the description is abbreviate | omitted. The routers 2A, 2B, and 2C are actually connected to each other via the Internet 10, but the illustration of the Internet 10 is omitted in FIG. In the example shown in the figure, an IPsec-VPN is constructed in the router 2A and the router 2B.

各音声会議装置の制御部２０は、音声パケットの送受信を開始するとき、ルータにＩＰｓｅｃ−ＶＰＮが構築されているか否かを問い合わせる。例えば、音声会議装置１Ａが音声会議装置１Ｂおよび音声会議装置１Ｃと音声パケットの送受信を開始するとき、音声会議装置１Ａの制御部２０は、ルータ２Ａにこれらの装置とＩＰｓｅｃ−ＶＰＮで音声パケットを送受信できるか否かを問い合わせる。問い合わせは、制御部２０が通信Ｉ／Ｆ１６を介してルータ２Ａに問い合わせ情報（通信先のＩＰアドレスを示す情報）を送信することで行う。ルータ２Ａのルータ制御部２３は、ＬＡＮＩ／Ｆ２１を介してこの問い合わせ情報を受信し、ＩＰｓｅｃ−ＶＰＮが構築されている地点（ルータ）を判断する。受信した問い合わせ情報に含まれているＩＰアドレスが、ＩＰｓｅｃ−ＶＰＮが構築されている地点に該当するか否かを判断する。同図に示す例では、ルータ２Ａとルータ２ＢにおいてＩＰｓｅｃ−ＶＰＮが構築されているため、ルータ２Ａのルータ制御部２３は、地点Ｂの音声会議装置１ＢとＩＰｓｅｃ−ＶＰＮで音声パケットの送受信ができる旨を示す情報を音声会議装置１Ａに返信する。 When starting the transmission / reception of the voice packet, the control unit 20 of each voice conference apparatus inquires of the router whether or not the IPsec-VPN is established. For example, when the audio conference apparatus 1A starts transmission / reception of audio packets with the audio conference apparatus 1B and the audio conference apparatus 1C, the control unit 20 of the audio conference apparatus 1A sends the audio packets to the router 2A using these apparatuses and IPsec-VPN. Queries whether transmission / reception is possible. The inquiry is made by the controller 20 sending inquiry information (information indicating the IP address of the communication destination) to the router 2A via the communication I / F 16. The router control unit 23 of the router 2A receives this inquiry information via the LAN I / F 21 and determines a point (router) where the IPsec-VPN is constructed. It is determined whether or not the IP address included in the received inquiry information corresponds to a point where IPsec-VPN is established. In the example shown in the figure, since the IPsec-VPN is constructed in the router 2A and the router 2B, the router control unit 23 of the router 2A can transmit and receive voice packets between the voice conference device 1B at the point B and the IPsec-VPN. Information indicating this is returned to the audio conference apparatus 1A.

その結果、音声会議装置１Ａの制御部２０は、音声会議装置１Ｂと送受信する音声パケットについて、暗号処理部１５で暗号パケットに変換しないよう設定する。この音声パケットは音声会議装置１Ａと音声会議装置１Ｂとの間で直接送受信される。音声会議装置１Ａおよび音声会議装置１Ｂにおいて暗号パケットに変換しなくとも、ルータ２Ａとルータ２Ｂとの間でＩＰｓｅｃ−ＶＰＮで音声パケットが送受信されるため、通話内容が盗聴される可能性は極めて低い。 As a result, the control unit 20 of the audio conference apparatus 1A sets the audio packet to be transmitted / received to / from the audio conference apparatus 1B so that the encryption processing unit 15 does not convert it into an encrypted packet. This voice packet is directly transmitted and received between the voice conference apparatus 1A and the voice conference apparatus 1B. Even if the voice conference device 1A and the voice conference device 1B do not convert the encrypted packet into an encrypted packet, the voice packet is transmitted and received between the router 2A and the router 2B by IPsec-VPN. .

一方、音声会議装置１Ａは、音声会議装置１Ｃと送受信する音声パケットについて、暗号処理部１５でＳＳＬプロトコルに準じた暗号パケットに変換するように設定する。この暗号パケットは、中継サーバ３を介して送受信される。中継サーバ３を介して、ＳＳＬ−ＶＰＮで音声パケットが送受信されるため、通話内容が盗聴される可能性は極めて低い。 On the other hand, the audio conference apparatus 1A sets the audio packet transmitted / received to / from the audio conference apparatus 1C to be converted into an encryption packet conforming to the SSL protocol by the encryption processing unit 15. This encrypted packet is transmitted / received via the relay server 3. Since voice packets are transmitted and received by SSL-VPN via the relay server 3, the possibility of wiretapping of the call content is extremely low.

音声会議装置１Ｂ、音声会議装置１Ｃにおいても同様の動作がなされ、図４に示すように、音声会議装置１Ａと音声会議装置１Ｂとの間ではＩＰｓｅｃ−ＶＰＮで音声パケットが送受信され、音声会議装置１Ａと音声会議装置１Ｃとの間、および音声会議装置１Ｂと音声会議装置１Ｃとの間ではＳＳＬ−ＶＰＮで音声パケットが送受信される。このように、ＩＰｓｅｃ−ＶＰＮが構築されている地点間では、中継サーバ３を介さずに直接音声パケットを送受信するため、中継サーバ３の負荷を低減する。また、全ての地点でＩＰｓｅｃ−ＶＰＮが構築されていれば中継サーバ３を設置する必要がない。したがって、本実施形態の通信システムは、中継サーバを必要としない構成、あるいは廉価な中継サーバを備えた構成でありながら多地点の音声会議装置を安全に接続することができる。 The same operation is performed in the audio conference apparatus 1B and the audio conference apparatus 1C. As shown in FIG. 4, audio packets are transmitted and received by the IPsec-VPN between the audio conference apparatus 1A and the audio conference apparatus 1B. Voice packets are transmitted and received by SSL-VPN between 1A and the audio conference apparatus 1C, and between the audio conference apparatus 1B and the audio conference apparatus 1C. As described above, since voice packets are directly transmitted and received between the points where the IPsec-VPN is established, the load on the relay server 3 is reduced. Moreover, if IPsec-VPN is constructed at all points, there is no need to install the relay server 3. Therefore, the communication system according to the present embodiment can safely connect multi-point audio conferencing apparatuses with a configuration that does not require a relay server or a configuration that includes an inexpensive relay server.

なお、地点Ｃに設置されているルータ４Ｃは、ルータ２Ａおよびルータ２Ｂと異なる構成、機能を有するルータ（ＶＰＮ機能を有しないルータ）として説明したが、同じ構成、機能を有していてもよい。同じ構成、機能を有していた場合であっても、ＶＰＮを構築できない地点間では中継サーバ３を介してＳＳＬ−ＶＰＮで音声パケットが送受信される。 Although the router 4C installed at the point C has been described as a router having a configuration and function different from those of the router 2A and the router 2B (router having no VPN function), it may have the same configuration and function. . Even in the case of having the same configuration and function, voice packets are transmitted and received by SSL-VPN via the relay server 3 between points where a VPN cannot be constructed.

なお、音声会議装置にユーザの操作を受け付ける操作部を設け、ユーザが手動でＩＰｓｅｃ−ＶＰＮを用いて音声パケットを送受信するか、ＳＳＬ−ＶＰＮで音声パケットを送受信するか、または全く暗号化せずに音声パケットを送受信するか、を指定できるようにしてもよい。例えば社内のＬＡＮで他の部屋（部署）に音声パケットを送受信する場合、社外から盗聴される可能性が低いため、暗号化せずに送受信する。暗号化せずに送受信することで、通信速度の向上が期待できる。 Note that an operation unit that accepts user operations is provided in the audio conference device, and the user manually transmits / receives voice packets using IPsec-VPN, transmits / receives voice packets using SSL-VPN, or is not encrypted at all. It may be possible to designate whether to transmit / receive voice packets. For example, when a voice packet is transmitted / received to / from another room (department) via an in-house LAN, since there is a low possibility of eavesdropping from outside the company, the packet is transmitted without encryption. By transmitting and receiving without encryption, an improvement in communication speed can be expected.

以下、音声会議装置およびルータの動作について詳細に説明する。図５は、音声会議装置が音声通信を開始する場合の、音声会議装置およびルータの動作を示すフローチャートである。 Hereinafter, operations of the audio conference apparatus and the router will be described in detail. FIG. 5 is a flowchart showing the operations of the voice conference device and the router when the voice conference device starts voice communication.

まず、音声会議装置の制御部２０は、ルータに問い合わせ情報を送信する（ｓ１１）。この問い合わせ情報は、接続する音声会議装置のＩＰアドレス等が含まれている。ルータ制御部２３は、問い合わせ情報を受信し（ｓ２１）、問い合わせ情報に含まれているＩＰアドレスが示す地点とＩＰｓｅｃ−ＶＰＮが構築されているかを判断する（ｓ２２）。ＩＰｓｅｃ−ＶＰＮが構築されている該当ＩＰアドレスが存在すれば、これを音声会議装置に通知する（ｓ２３）。なお、受信した問い合わせ情報に含まれているＩＰアドレスの示す地点について、全てＩＰｓｅｃ−ＶＰＮが構築されていなければ、「該当無し」を示す情報を通知してもよい。 First, the control unit 20 of the audio conference apparatus transmits inquiry information to the router (s11). This inquiry information includes the IP address of the audio conference device to be connected. The router control unit 23 receives the inquiry information (s21), and determines whether the point indicated by the IP address included in the inquiry information and the IPsec-VPN are constructed (s22). If there is a corresponding IP address for which IPsec-VPN is constructed, this is notified to the audio conference apparatus (s23). Note that information indicating “not applicable” may be notified if no IPsec-VPN is established for all points indicated by the IP address included in the received inquiry information.

音声会議装置の制御部２０は、該当するＩＰアドレスを示す情報を受信し（ｓ１２）、暗号処理部１５で暗号化するか否かの設定を行う（ｓ１３）。制御部２０は、ルータからの通知の内容に基づいて、ＩＰｓｅｃ−ＶＰＮが構築されているＩＰアドレスに対しては暗号処理部１５で暗号化せず、ＩＰｓｅｃ−ＶＰＮで直接音声パケットを送受信する。制御部２０は、ルータからの通知の内容に基づいて、ＩＰｓｅｃ−ＶＰＮが構築されていないＩＰアドレスに対しては暗号処理部１５で暗号化し、中継サーバ３を介してＳＳＬ−ＶＰＮで音声パケットを送受信する。制御部２０は、各地点に送信する音声パケットをルータに送信する（ｓ１４）。 The control unit 20 of the audio conference apparatus receives information indicating the corresponding IP address (s12), and sets whether or not the encryption processing unit 15 performs encryption (s13). Based on the content of the notification from the router, the control unit 20 does not encrypt the IP address for which the IPsec-VPN is constructed by the encryption processing unit 15 and directly transmits / receives a voice packet using the IPsec-VPN. Based on the content of the notification from the router, the control unit 20 encrypts the IP address for which the IPsec-VPN is not established by the encryption processing unit 15 and transmits the voice packet by SSL-VPN via the relay server 3. Send and receive. The control unit 20 transmits a voice packet to be transmitted to each point to the router (s14).

ルータ制御部２３は、音声会議装置から音声パケットを受信し（ｓ２４）、各地点の音声会議装置に送信する（ｓ２５）。このとき、ＩＰｓｅｃ−ＶＰＮが構築されている地点の音声会議装置に対してはＩＰｓｅｃ−ＶＰＮで直接送信し、ＩＰｓｅｃ−ＶＰＮが構築されていない地点の音声会議装置に対しては中継サーバ３を介して送信する。ルータ制御部２３は、中継サーバ３を介して送信する場合、ルータ暗号処理部２４で音声パケット（ＳＳＬプロトコルに準じた暗号パケット）を暗号化しないように設定する。 The router control unit 23 receives the voice packet from the voice conference device (s24), and transmits it to the voice conference device at each point (s25). At this time, the voice conference apparatus at the point where the IPsec-VPN is constructed is directly transmitted by IPsec-VPN, and the voice conference apparatus at the point where the IPsec-VPN is not constructed is transmitted via the relay server 3. To send. When transmitting via the relay server 3, the router control unit 23 sets the router encryption processing unit 24 not to encrypt the voice packet (encrypted packet conforming to the SSL protocol).

以上のようにして、本実施形態の通信システムは、コストを削減しながら、安全な暗号化通信を実現することができる。 As described above, the communication system of the present embodiment can realize secure encrypted communication while reducing costs.

通信システムの構成を示すブロック図である。It is a block diagram which shows the structure of a communication system. 音声会議装置の構成を示すブロック図である。It is a block diagram which shows the structure of an audio conference apparatus. ルータの構成を示すブロック図である。It is a block diagram which shows the structure of a router. 通信システムの動作の一例を示す図である。It is a figure which shows an example of operation | movement of a communication system. 音声会議装置が音声通信を開始する場合の、音声会議装置およびルータの動作を示すフローチャートである。It is a flowchart which shows operation | movement of an audio conference apparatus and a router when an audio conference apparatus starts audio | voice communication.

Explanation of symbols

１Ａ，１Ｂ，１Ｃ−音声会議装置
２Ａ，２Ｂ−ルータ
３−中継サーバ
４Ｃ−ルータ
１０−インターネット 1A, 1B, 1C-voice conference device 2A, 2B-router 3-relay server 4C-router 10-Internet

Claims

A plurality of router devices and relay server devices connected via the Internet;
A plurality of communication terminal devices connected to the plurality of router devices;
A communication system comprising:
The router device encrypts or decrypts input data, and adds or extracts identification information for identifying a data transmission source, thereby performing a router encryption processing unit that performs encrypted communication with a predetermined communication destination. ,
A router controller that transmits the input data to another device via the router encryption processor, and
The communication terminal device encrypts or decrypts input data, a terminal encryption processing unit,
A terminal control unit that designates a transmission destination and transmits data via the terminal encryption processing unit,
The terminal control unit of the communication terminal device transmits inquiry information asking whether or not encrypted communication with the transmission destination is performed to the connected router,
If the transmission destination indicated by the received inquiry information is a transmission destination performing encrypted communication, the router control unit of the router device transmits notification information indicating that the communication with the transmission destination is performed. Transmitted to the communication terminal device,
If the terminal control unit of the communication terminal apparatus receives the notification information and performs encrypted communication with the transmission destination, the terminal controller does not encrypt the data to be transmitted to the transmission destination via the router apparatus. Send to other communication terminal devices,
If encrypted communication with the transmission destination is not performed, the data transmitted to the transmission destination is encrypted by the terminal encryption processing unit and transmitted to another communication terminal device via the router and the relay server. A communication system.

The communication terminal device includes an operation unit that receives a user operation,
When the operation unit receives an operation indicating that the transmission data is not encrypted for a predetermined transmission destination from the user, the terminal control unit transmits the data via the router device without encryption to the transmission destination. The communication system according to claim 1 for transmitting.