JP2009260847A - Ｖｐｎ接続方法、及び通信装置 - Google Patents

Abstract

【課題】２つの通信装置間のVPN接続のために事前に必要になる情報を、手間をかけることなく安全に通信装置に設定するための技術を提供する。
【解決手段】 IP通信網を介して接続元通信装置と接続先通信装置とがVPN接続を行うためのVPN接続方法において、前記接続元通信装置が、VPN接続要求を含むSIPメッセージを、SIPを用いて呼制御を行うIP電話網を介して前記接続先通信装置に送信するVPN接続要求ステップと、前記接続先通信装置が、当該接続先通信装置のIPアドレスを含むSIPメッセージを前記接続元通信装置に送信し、当該接続元通信装置が前記SIPメッセージを受信し、当該SIPメッセージから前記IPアドレスを取得するIPアドレス取得ステップと、前記接続元通信装置が、前記IPアドレス取得ステップにおいて取得した前記IPアドレスを用いて、前記接続先通信装置と通信を行うことにより、VPN接続を行うVPN接続ステップとを備える。
【選択図】図１

Description

本発明は、インターネット、その他の公衆IP通信網に接続された２つの通信装置間でVPN（Virtual Private Network：仮想専用線）を構築するための技術に関するものである。

インターネットに代表される公衆IP通信網において、ある２点間を接続するために、VPNと呼ばれる技術を用いて、当該公衆IP通信網上に仮想の専用線を構築することが一般的に行われている。

このVPNを構築するための技術には種々のものが存在するが、そのような技術の１つとして、IPレイヤで動作し、かつ、IPレイヤ及びIPレイヤより上位のレイヤをトンネリングにより透過的に伝送するプロトコルとしてIPsec（Security Architecture for Internet Protocol）がある。なお、本願に関連する先行技術文献として特許文献１がある。
特開２００８−２８６００号公報

さて、上述したIPsecを利用するためには、VPNを構築する両側の通信装置のうちの少なくとも一方の側（IPsecの起動をかける側：イニシエータ）がもう一方の側のIPアドレスを取得している必要がある。

一方の側の通信装置が、もう一方の側の通信装置のIPアドレスを取得するためには、DNS（Domain Name System）を用いる方式があるが、DNSを利用するためには、ドメイン名の取得、DNSサーバへの登録が必要になり、利便性の良い方式ではない。

また、上述したIPsecを利用するためには、接続時の認証のために必要な情報をVPNの両側の通信装置が相互に保持しておく必要がある。IPsecにおける認証の方式としては、例えば事前共有鍵（Pre-shared key）暗号方式と公開鍵暗号方式がある。

事前共有鍵暗号方式を用いる場合、接続を行う両側の２点の通信装置において同一の事前共有鍵をお互いに事前に保持しておく必要がある。

また、公開鍵暗号方式を用いる場合であれば、双方の公開鍵を両者がお互いに事前に保持しておく必要がある。更に、認証のためにデジタル署名方式を使用する場合には、接続認証時に交換されるお互いの公開鍵証明書の正当性の確認のために、その公開鍵証明書の発行を行ったCA局の公開鍵も必要になる。

これらの情報については、予め事前に両方の通信装置に設定しておく方式を採用することが考えられる。しかし、事前に設定しておく方式では、セキュリティ上、もしくはそれ以外の理由により、事前共有鍵や公開鍵を変更しなければならない場合、作業者が直接該当の通信装置に設定を行ったりする必要があり、手間がかかるという問題がある。

また、上記の情報を所定のサーバにデータベースとして格納しておき、接続が発生した場合に両側の通信装置が当該所定のサーバから情報を取得する方式も提案されている（特許文献１）。しかし、この方式では、そもそもそのようなサーバを用意し、維持管理する必要が生じ、運用に手間がかかるという問題がある。

本発明は上記の点に鑑みてなされたものであり、２つの通信装置間のVPN接続のために事前に必要になる情報を、手間をかけることなく安全に通信装置に設定するための技術を提供することを目的とする。

上記の課題は、IP通信網を介して接続元通信装置と接続先通信装置とがVPN接続を行うためのVPN接続方法であって、前記接続元通信装置が、VPN接続要求を含むSIPメッセージを、SIPを用いて呼制御を行うIP電話網を介して前記接続先通信装置に送信するVPN接続要求ステップと、前記接続先通信装置が、当該接続先通信装置のIPアドレスを含むSIPメッセージを前記接続元通信装置に送信し、当該接続元通信装置が前記SIPメッセージを受信し、当該SIPメッセージから前記IPアドレスを取得するIPアドレス取得ステップと、前記接続元通信装置が、前記IPアドレス取得ステップにおいて取得した前記IPアドレスを用いて、前記接続先通信装置と通信を行うことにより、VPN接続を行うVPN接続ステップとを有することを特徴とするVPN接続方法により解決できる。

前記VPN接続ステップは、前記接続元通信装置が、当該接続元通信装置の識別子を含むVPN接続のためのパケットを前記接続先通信装置に対して送信するパケット送信ステップと、前記接続先通信装置が、前記パケットを受信し、当該パケットに含まれる前記識別子に基づき前記接続元通信装置の宛先を特定し、VPN接続の過程で用いられる共有鍵を含むSIPメッセージを前記IP電話網を介して前記宛先に送信する共有鍵送信ステップとを有することとしてもよい。

また、前記VPN接続要求ステップにおいて、前記接続元通信装置は、自身の公開鍵と前記VPN接続要求とを含むSIPメッセージを、前記IP電話網を介して前記接続先通信装置に送信し、前記IPアドレス取得ステップにおいて、前記接続先通信装置が、自身の公開鍵とIPアドレスとを含むSIPメッセージを、前記IP電話網を介して前記接続元通信装置に送信し、当該接続元通信装置が前記SIPメッセージを受信し、当該SIPメッセージから前記接続先通信装置の公開鍵とIPアドレスとを取得し、前記VPN接続ステップにおいて、前記接続元通信装置と前記接続先通信装置とは互いに相手の公開鍵を用いてVPN接続を行うこととしてもよい。
また、前記識別子として、前記IP電話網において前記接続元通信装置に付与されている電話番号を用いることとしてもよい。

また、本発明は、上記接続元の通信装置に相当する通信装置、及び上記接続先の通信装置に相当する通信装置として構成することもできる。

２つの通信装置間のVPN接続のために事前に必要になる情報を、手間をかけることなく安全に通信装置に設定するための技術を提供することが可能になる。

以下、図面を参照して本発明の実施の形態について説明する。

（システム構成）
図１に、本発明の実施の形態におけるシステムの構成図を示す。図１に示すように、本実施の形態のシステムは、接続元VPNゲートウェイ装置１、接続元VPNゲートウェイ装置の配下に接続されるPC端末２、ネットワーク接続装置３、接続先VPNゲートウェイ装置４、及び接続先VPNゲートウェイ装置４の配下に接続される業務システム５を有している。ネットワーク接続装置３と接続先VPNゲートウェイ装置４はネットワーク６を介して接続されている。

本実施の形態では、PC端末２、接続元VPNゲートウェイ装置１、及びネットワーク接続装置３は、自宅やSOHO(SOHOの拠点）等の遠隔アクセス元に設置され、接続先VPNゲートウェイ装置４、及び業務システム５は、会社等の遠隔アクセス先に設置されている。

接続元VPNゲートウェイ装置１は、本発明に係るVPN接続機能を有し、接続先VPNゲートウェイ装置４との間でVPNを構築する機能を有している。この機能により、接続元VPNゲートウェイ装置１は、配下のPC端末２を業務システム５にVPNを介して接続させることができるVPNゲートウェイとして機能する。更に、本実施形態における接続元VPNゲートウェイ装置１は、接続先VPNゲートウェイ装置４の内線電話機（内線子機）としての機能も有している。

接続先VPNゲートウェイ装置４は、本発明に係るVPN接続機能を有し、接続元VPNゲートウェイ装置１との間でVPNを構築する機能を有している。この機能により、接続先VPNゲートウェイ装置４は、配下の業務システム５と遠隔アクセス元とをVPN接続させることができるVPNゲートウェイとして機能する。また、本実施の形態における接続先VPNゲートウェイ装置４はボタン電話主装置としての機能も含み、内線子機をVPNを経由して収容し、ボタン電話サービス（電話発信、着信、保留、転送など）を提供する機能を含む。

更に、接続先VPNゲートウェイ装置４は、ネットワーク６との接続機能（IPデータ通信機能、ISPへの接続機能、IP電話サービスへの接続機能等）を有している。

ネットワーク接続装置３は、遠隔アクセス元の宅内に設置され、ネットワーク６との接続機能（IPデータ通信機能、ISPへの接続機能、IP電話サービスへの接続機能等）を有している。また、ネットワーク接続装置３は、通常のIP電話サービスへの接続機能だけではなく、SIP（session initiation protocol）のMESSAGEリクエストによるショートメッセージの交換を行う機能も有している。また、ネットワーク接続装置３は、その配下に内線電話機として機能するSIP端末を収容し、SIP端末からのSIPによる呼制御情報を中継してネットワーク６に送出する機能も有している。

ネットワーク６は、加入者間のIP電話サービス、IPによるデータ通信サービスの両方を提供するネットワークであり、電気通信事業者により提供されている一般的なネットワークである。なお、ネットワーク６の中で、IP電話サービスを提供する部分からなるネットワークを、IP電話網と称することができる。また、本実施の形態におけるネットワーク６により提供されるIP電話サービスにおいては、SIPのMESSAGEリクエストによるショートメッセージングサービスが提供され、当該サービスにおいては、SIPのMESSAGEリクエストのbody部を使用して、SIP端末間で任意の情報のやり取り可能である。

次に、本発明に係る通信装置の一例である接続元VPNゲートウェイ装置１と接続先VPNゲートウェイ装置４のそれぞれの機能構成を詳細に説明する。

＜接続元VPNゲートウェイ装置１の機能構成＞
図２に、接続元VPNゲートウェイ装置１の機能構成図を示す。図２に示すように、接続元VPNゲートウェイ装置１は、DHCPクライアント機能部１０１、DHCPv6クライアント機能部１０２、情報設定機能部１０３、SIP−UA機能部１０４、IPsec機能部１０５、DHCPサーバ機能部１０６、IPv6-NDP機能部１０７、DHCPv6サーバ機能部１０８、内線電話機能部１０９、ボタン・表示器１１０、ルーティング機能部１１１、Ethernet I/F（１１２、１１３）を有する。

DHCPクライアント機能部１０１は、ネットワーク接続装置３からIPv4アドレス、DNSサーバアドレス等のIPv4通信に必要となる情報の払い出しを受けるための機能部である。DHCPv6クライアント機能部１０２は、ネットワーク接続装置３からIPv6プレフィックス、DNSサーバアドレス等のIPv6通信に必要となる情報の払い出しを受けるための機能部である。情報設定機能部１０３は、DHCPクライアント機能部１０１、DHCPv6クライアント機能部１０２から得られた情報をIPv4通信及びIPv6通信を行うための情報として接続元VPNゲートウェイ装置１自身に設定するための機能部である。なお、IPv4通信及びIPv6通信を行うために必要な情報を、DHCPクライアント機能部１０１及びDHCPv6クライアント機能部１０２を使用せずにネットワーク接続装置３から取得する方式とすることも可能である。

SIP−UA機能部１０４は、接続元VPNゲートウェイ装置１を、ネットワーク接続装置３のSIP端末として動作させる機能部である。より具体的には、SIP−UA機能部１０４は、ネットワーク接続装置３に対してREGISTERリクエストを発行してSIP端末としての登録を行い、MESSAGEリクエストのbody部を使用して、ネットワーク接続装置３及びネットワーク６を介して接続先VPNゲートウェイ装置４と通信を行うことにより、接続先VPNゲートウェイ装置４に対するVPN接続要求、VPN接続のための鍵情報の受け渡し等を行う機能を有している。

IPsec機能部１０５は、IPsec（ESPトンネルモード）により接続元VPNゲートウェイ装置１を接続先VPNゲートウェイ装置４にVPN接続させるための機能部である。また、IPsec機能部１０５は、IKEv1のイニシエータの機能を有し、モードコンフィグにより、接続元VPNゲートウェイ装置４からIPアドレスの払い出しを受けることができる。また、IPsec機能部１０５におけるIKEの認証（本人性確認）は、接続先VPNゲートウェイ装置４により生成され、SIPメッセージにより受信した鍵情報を用いた事前共有鍵暗号方式を用いて行うことができる。もしくは、SIPメッセージにより交換された公開鍵を使用した公開鍵暗号方式を用いて行うことができる。

また、ネットワーク接続装置３がNAPT機能を有している場合、IPsec機能部１０５は、NAPT超えを行うために、Negotiation of NAT-Traversal in the IKE (RFC3974)やUDP encapsulation of IPsec Packets (RFC3948）をサポートしてもよい。

DHCPサーバ機能部１０６は、PC端末２からの要求によりIPv4アドレスを払い出す機能部である。IPv6-NDP機能部１０７は、ネットワーク接続装置３から受信したIPv6プレフィックスを元に接続元VPNゲートウェイ装置１にIPv6アドレスを設定するとともに、PC端末２に対してIPv6を払い出すための機能部である。この機能によりプレフィックスを受け取った装置は、ホスト部を自動生成し、プレフィックスと組み合わせてIPv6アドレスを生成する。DHCPv6サーバ機能部１０８は、PC端末２からの要求により、IPv6に関する、IPv6プレフィックス以外の情報（例えばDNSサーバアドレスなど）を払い出す機能部である。

内線電話機能部１０９は、IPsec機能部１０５により生成されたVPN上で、接続先VPNゲートウェイ装置４と通信を行うことにより、接続元VPNゲートウェイ装置１を、ボタン電話主装置としての接続先VPNゲートウェイ装置４の内線電話機として動作させるための機能部である。ボタン・表示器１１０は、電話の発着信操作の指示を行ったり、電話着信の表示を行ったりするためのダイヤルボタン、液晶画面、表示器等である。

ルーティング機能部１１１は、PC端末２側のインタフェース（Ethernet I/F１１２)、ネットワーク接続装置３側のインタフェース（Ethernet I/F１１３）、及び接続元VPNゲートウェイ装置１の各機能部相互間で、IPv4、IPv6の通信を行えるように、パケットのルーティング処理を行うための機能部である。

なお、接続元VPNゲートウェイ装置１は、CPU、記憶装置等を備えたコンピュータの構成を有する装置に、本実施の形態で説明した機能に対応したプログラムを搭載することにより実現される。また、接続元VPNゲートウェイ装置１を、VPNを構築する機能を有する装置と、内線電話機能を有する装置とを有するシステムとして構成することもできる。

なお、本発明に係る処理は主にSIP-UA機能部１０４と、IPsec機能部１０５とにより実現されている。

つまり、SIP-UA機能部１０４とIPsec機能部１０５とを含む機能部は、SIPを用いて呼制御を行うIP電話網を介して接続先VPNゲートウェイ装置４にVPN接続要求を含むSIPメッセージを送信し、当該接続先VPNゲートウェイ装置から当該接続先VPNゲートウェイ装置のIPアドレスを含むSIPメッセージを受信するIPアドレス取得手段と、前記IPアドレス取得手段により取得した前記IPアドレスを用いて、前記接続先の通信装置に対するVPN接続を行うVPN接続手段とを少なくとも有している。

また、事前共有鍵暗号方式に対応するために、前記VPN接続手段は、接続元VPNゲートウェイ装置１の識別子を含むVPN接続のためのパケットを接続先VPNゲートウェイ装置４に対して送信するパケット送信手段と、VPN接続の過程で用いられる共有鍵を含むSIPメッセージをIP電話網を介して接続先VPNゲートウェイ装置４から受信する共有鍵受信手段とを有している。更に、公開鍵暗号方式に対応するために、前記IPアドレス取得手段は、接続元VPNゲートウェイ装置１の公開鍵とVPN接続要求とを含むSIPメッセージを、IP電話網を介して接続先VPNゲートウェイ装置４に送信する手段と、接続先VPNゲートウェイ装置４の公開鍵と前記IPアドレスとを含むSIPメッセージを、IP電話網を介して接続先VPNゲートウェイ装置４から受信する手段とを有しており、前記VPN接続手段は、接続先VPNゲートウェイ装置４の公開鍵を用いてVPN接続のための処理を行う手段を有している。

なお、上記の各手段は、コンピュータとしての接続元VPNゲートウェイ装置１において、プログラムが実行されることにより実現される手段である。

＜接続先VPNゲートウェイ装置４の機能構成＞
次に、接続先VPNゲートウェイ装置４の機能構成について説明する。図３に、接続先VPNゲートウェイ装置４の機能構成図を示す。図３に示すように、接続先VPNゲートウェイ装置４は、SIP−UA機能部４０１、IPsec機能部４０２、内線電話収容機能部４０３、ユーザ管理部４０４、ルーティング機能部４０５、Ethernet I/F（４０６、４０７）を有する。

SIP−UA機能部４０１は、接続先VPNゲートウェイ装置４を、ネットワーク６に接続されてそのネットワーク６により提供されるIP電話サービスを利用できるSIP端末として動作させる機能部である。より具体的には、SIP−UA機能部４０１は、MESSAGEリクエストのbody部を使用して、接続元VPNゲートウェイ装置１からのVPN接続要求の受け付け、VPN接続のための鍵情報の受け渡しを行う機能を有している。

IPsec機能部４０２は、IPsec（ESPトンネルモード）により接続先VPNゲートウェイ装置４と接続元VPNゲートウェイ装置１とをVPN接続させるための機能部である。また、IPsec機能部４０２は、IKEv1のレスポンダの機能を有し、モードコンフィグにより、接続元VPNゲートウェイ装置１に対してIPアドレスの払い出しを行うことができる。また、IPsec機能部４０２におけるIKEの認証（本人性確認）は、接続先VPNゲートウェイ装置４により生成した鍵情報を用いた事前共有鍵方式により行うことができる。もしくは、SIPメッセージにより交換された公開鍵を使用した公開鍵認証方式を用いて行うことができる。

また、NAPT越えを行う必要がある場合、IPsec機能部４０２は、Negotiation of NAT-Traversal in the IKE (RFC3974)やUDP encapsulation of IPsec Packets (RFC3948）をサポートしてもよい。

内線電話収容機能部４０３は、接続先VPNゲートウェイ装置４をボタン電話主装置として機能させる機能部であり、IPsec機能部４０２により生成されたVPN上で、接続元VPNゲートウェイ装置１を内線電話機として収容するための機能部である。

ユーザ管理部４０４は、VPN接続を受け入れるユーザ（接続元VPNゲートウェイ装置）の識別子を格納し、管理するための機能部である。本実施の形態では、この識別子として電話番号を使用している。ユーザ管理部４０４は、データを記憶するための記憶装置を含む機能部である。

ルーティング機能部４０５は、ネットワーク６側のインタフェース（Ethernet I/F４０６)、業務システム５側のインタフェース（Ethernet I/F４０７）、及び接続先VPNゲートウェイ装置４の各機能部相互間で、IPv4、IPv6の通信を行えるように、パケットのルーティング処理を行うための機能部である。

なお、接続先VPNゲートウェイ装置４は、CPU、記憶装置等を備えたコンピュータの構成を有する装置に、本実施の形態で説明した機能に対応したプログラムを搭載することにより実現される。また、本発明に係る処理は主にSIP-UA機能部４０１と、IPsec機能部４０２とにより実現されている。

つまり、SIP-UA機能部４０１とIPsec機能部４０２とを含む機能部は、接続元VPNゲートウェイ装置１から、VPN接続要求を含むSIPメッセージをSIPを用いて呼制御を行うIP電話網を介して受信したことに応じて、自身のIPアドレスを含むSIPメッセージをIP電話網を介して接続元VPNゲートウェイ装置１に送信するIPアドレス送信手段と、接続元VPNゲートウェイ装置１と通信を行うことにより、接続元VPNゲートウェイ装置１との間でVPN接続を行うVPN接続手段とを少なくとも有する。

また、事前共有鍵暗号方式に対応するために、前記VPN接続手段は、接続元VPNゲートウェイ装置１から、当該接続元VPNゲートウェイ装置１の識別子を含むVPN接続のためのパケットを受信し、当該パケットに含まれる前記識別子に基づき接続元VPNゲートウェイ装置１の宛先を特定し、VPN接続の過程で用いられる共有鍵を含むSIPメッセージをIP電話網を介して当該宛先に送信する共有鍵送信手段を有する。

また、公開鍵暗号方式に対応するために、前記IPアドレス送信手段は、接続元VPNゲートウェイ装置１から、当該接続元VPNゲートウェイ装置１の公開鍵とVPN接続要求とを含むSIPメッセージをIP電話網を介して受信する手段と、接続先VPNゲートウェイ装置４の公開鍵とIPアドレスとを含むSIPメッセージを、IP電話網を介して接続元VPNゲートウェイ装置１に送信する手段とを有し、前記VPN接続手段は、接続元VPNゲートウェイ装置１の公開鍵を用いてVPN接続のための処理を行う手段を有する。

（システムの動作）
次に、上記の構成を有するシステムにおける動作を図面を参照して詳細に説明する。以下では、事前共有鍵暗号方式を用いる場合の動作と、公開鍵暗号方式を用いる場合の動作のそれぞれについて説明する。

＜事前共有鍵暗号方式を用いる場合の動作＞
まず、事前共有鍵暗号方式を用いて接続元VPNゲートウェイ装置１と接続先VPNゲートウェイ装置４間でVPNを構築する場合のシーケンスについて、図４〜図６を参照して説明する。なお、本例では、VPN接続においてIKEv1、Aggressiveモード、モードコンフィグを使用しているが、本発明はこれに限らず適用できる。

接続元VPNゲートウェイ装置１を、家庭やSOHOの場所に設置してあるネットワーク接続装置３に接続し、起動する。接続元VPNゲートウェイ装置１は、まず、ネットワーク接続装置３の元でネットワーク６を利用するための設定処理を行う。図４に示す例では、DHCPによるIPアドレスの取得を行い（ステップ１）、IP電話サービスを受けるためのSIPに関する情報（接続元VPNゲートウェイ装置１が使うべき電話番号、SIP-UA機能部１０４に設定すべきパラメータ等）の取得を行い（ステップ２）、その後、IP電話サービスを利用可能とするためにネットワーク接続装置３に対してREGISTERリクエストにより登録処理を行う（ステップ３）。これらの処理は、ネットワーク接続装置３配下の装置がSIP通信を行えるようになるまでの通常の処理である。

続いて、接続元VPNゲートウェイ装置１は、接続先VPNゲートウェイ装置４に対してVPN接続をするための処理を行う。以下の処理において、SIPメッセージに関わる処理はSIP-UA機能部１０４、４０１が実行し、VPN接続のための処理（鍵生成、IKEパケットの送受信等）はIPsec機能部１０５、４０２が実行する。

まず、接続元VPNゲートウェイ装置１は、接続先VPNゲートウェイ装置４に対するアクセス先となるIPアドレスを取得するために、IP電話サービスにおいて提供されているメッセージングサービスに係るSIPメッセージ（SIP MESSAGEリクエスト）を送出する（ステップ４）。このとき、接続元VPNゲートウェイ装置１は、SIP MESSAGEリクエストの宛先として既知の接続先（接続先VPNゲートウェイ装置４）の電話番号を使用する。なお、この電話番号は、ユーザが接続元VPNゲートウェイ装置１に入力することとしてもよいし、接続元VPNゲートウェイ装置１の記憶装置に予め記憶しておき、それを読み出すこととしてもよい。

また、接続元VPNゲートウェイ装置１は、上記SIP MESSAGEリクエストのbody部に、当該メッセージがVPN接続を行う要求であることを示す情報と、IPsecで使用する識別子（IDi：IPsecのパケット中で使用する識別子、もしくはIPsecで使用しようとしているIPアドレス）を記載する。

なお、接続元VPNゲートウェイ装置１は、上記識別子をSIP MESSAGEリクエストのbody部に記載しなくてもよい。その場合、以降の処理では、当該識別子に相当する情報として、SIPリクエスト（SIP MESSAGEリクエスト）のヘッダの発信者情報を利用する。この発信者情報としては、IP電話網としてのネットワーク６がその確からしさ（詐称がないこと）をネットワークの機能として保証（担保）している情報を用いる。つまり、当該発信者情報を含むSIPメッセージを受信した受信側は、そのSIPメッセージが当該発信者情報に対応する正当な発信側から発信されたものであると信頼できる。そのような発信者情報としては、ネットワークによって異なるが、例えばFrom:ヘッダの情報、P-Asserted-Identity:ヘッダの情報等がある。本例では、当該発信者情報は発信者の電話番号であるものとする。

接続元VPNゲートウェイ装置１から送出されたSIP MESSAGEリクエストは、ネットワーク接続装置３により中継され、ネットワーク６を介して接続先VPNゲートウェイ装置４に到達する（ステップ４〜６）。

そして、接続先VPNゲートウェイ装置４は、SIP MESSAGEリクエストの受信を完了した旨を示す２００OKレスポンスを返送するとともに（ステップ７〜９）、SIP MESSAGEリクエストのbody部の解析を行う。その結果、接続先VPNゲートウェイ装置４は、受信したSIP MESSAGEリクエストがVPN接続の要求であると判断する。

そして、接続先VPNゲートウェイ装置４は、SIP MESSAGEリクエストにおける前述した発信者情報に該当する部分（電話番号）がユーザ管理部４０４に登録されているかどうかを確認し、当該電話番号に対応するユーザが、VPN接続を行うことが許可された正当なユーザであるかどうかの判定を行う。ここでは、当該ユーザは、VPN接続を行うことが許可された正当なユーザであると判定されたものとする。

続いて、接続先VPNゲートウェイ装置４は、当該SIP MESSAGEリクエストに含まれるIPsecの識別子を、接続先VPNゲートウェイ装置４の電話番号と対応付けてユーザ管理部４０４に記録し、VPN接続において接続先VPNゲートウェイ装置４が使用することになる自信のIPアドレスをSIP MESSAGEリクエストのbody部に記載し、そのSIP MESSAGEリクエストを接続元VPNゲートウェイ装置１に送信する（ステップ１０）。

接続元VPNゲートウェイ装置１は、接続先VPNゲートウェイ装置４から送出されたSIP MESSAGEリクエストを受信し（ステップ１１〜１３）、受信が完了したことを示す２００OKレスポンスを返送するともに（ステップ１４〜１６）、当該メッセージのbody部の解析を行う。接続元VPNゲートウェイ装置１は、当該body部から、接続先VPNゲートウェイ装置４に対するVPN接続で使用するべきIPアドレスを抽出し、そのIPアドレスをIPsec部１０５に渡す（ステップ１７）。

そして、接続元VPNゲートウェイ装置１は、そのIPアドレスに対してIPsecの接続開始要求（IKEフェーズ１の第１パケット）を送信する（図５のステップ１８）。このパケットは、ネットワーク接続装置３、及びネットワーク６を介して接続先VPNゲートウェイ装置４に送信される。このパケットには、前述した識別子が含められる。また、前述した識別子を用いない場合には、発信者情報に該当する部分の情報（電話番号）が含められる。

接続先VPNゲートウェイ装置４は、受信したパケットの中の上記識別子、もしくは識別子として用いられる電話番号をユーザ管理部４０４から検索することにより、当該パケットが、先ほどIPアドレスを通知した先の接続元VPNゲートウェイ装置１からのIPsec接続開始要求であると判断する。

通常のIPsec通信であれば、この後、直ちにIKEフェーズ１の第２パケットを送出することになるが、本発明の実施の形態における接続先VPNゲートウェイ装置４は、鍵が必要になるこのタイミングで、本接続シーケンスのみに有効な認証情報を含むSIP MESSAGEリクエストを接続元VPNゲートウェイ装置１に対して送信することになる。

本例では、認証方式として、事前共有鍵暗号方式をとることとしているので、接続先VPNゲートウェイ装置４は、上記の認証情報として事前共有鍵（PSK:Pre-shared Key)を生成する（ステップ１９）。また、接続先VPNゲートウェイ装置４は、電話番号でない上記識別子を用いる場合において、当該識別子に対応付けて格納されている接続元VPNゲートウェイ装置１の電話番号をユーザ管理部４０４から取得する。この電話番号はSIP MESSAGEリクエストの宛先として用いられる。識別子として電話番号を用いる場合は、ユーザ管理部４０４で確認された当該電話番号を用いる。

そして、接続先VPNゲートウェイ装置４は、事前共有鍵をSIP MESSAGEリクエストのbody部に記載し、接続元VPNゲートウェイ装置１に通知する。当該SIP MESSAGEリクエストは、ネットワーク６を介して確かに接続元VPNゲートウェイ装置１に到達する（ステップ２０〜２２）。この確かさはネットワーク６（IP電話網）におけるIP電話機能（SIP通信機能）により担保されているものである。

もし、ステップ１８におけるIKEフェーズ１の第１パケットを、悪意の第三者が何らかの手段で知りえた情報に基づき生成し、それを接続先VPNゲートウェイ装置４に送信したとしても、当該悪意の第三者は、上記SIP MESSAGEリクエストに含まれる事前共有鍵を受け取ることができないので、当該第三者は、続くIPsecの接続シーケンスを完了することができず、不正アクセスを行うことはできない。また、接続元VPNゲートウェイ装置１では、想定しないタイミングでSIP MESSAGEリクエストが到達した場合に、不正に接続先VPNゲートウェイ装置４へのアクセスが行われたと判断することもできる。

接続先VPNゲートウェイ装置４は、２００OKレスポンスを受信することにより（ステップ２３〜２５）、ステップ２０において送信したSIP MESSAGEリクエストの到達を確認する。そして、IKEフェーズ１の第２パケットを送出することにより（ステップ２６）、IPsecの接続シーケンスを継続する。

上記のようにして、接続先VPNゲートウェイ装置４が生成した事前共有鍵は、接続先VPNゲートウェイ装置４と接続元VPNゲートウェイ装置１とにより共有され、双方がそれぞれ、引き続くIPsec接続シーケンスで使用するための暗号鍵（SKEYID、その他の秘密対象鍵等）を生成することができる（ステップ２７、２８）。

引き続き、IKEフェーズ１の第３パケットの送信（ステップ２９）、モードコンフィグによるIPアドレスの設定（図６のステップ３０〜３３）が行われ、更に、IKEフェーズ２のパケットの送受信が行われる（ステップ３４〜３６）。これにより、VPNのセッションが生成される（ステップ３７）。つまり、接続元VPNゲートウェイ装置１と接続先VPNゲートウェイ装置４間でのIPsecに基づくVPNが構築される。

その後、接続元VPNゲートウェイ装置１は、当該VPN接続を用いることにより、ボタン電話主装置としての接続先VPNゲートウェイ装置４に対して内線電話機としての接続を行い（ステップ３８）、セキュアに、ネットワーク６を介して遠隔で接続された内線子機として動作する（ステップ４０）。

更に、接続元VPNゲートウェイ装置１は、その配下に接続されたPC端末２に対して、当該VPN接続（IPsec接続）で使用できるIPアドレスを払い出す（ステップ４１）。これにより、PC端末２は、接続元VPNゲートウェイ装置１と接続先VPNゲートウェイ装置間４でのIPsecに基づくVPN接続を利用して、接続先VPNゲートウェイ装置４配下に存在する業務システム５のサービスを受けることができる（ステップ４３〜４８）。

上述したような処理を行うことにより、事前共有鍵暗号方式において、VPN接続を行う通信装置同士で予め事前共有鍵を事前に設定しておく必要がなくなる。また、本方式によれば、もとよりVPN接続毎に事前共有鍵を変更できるので、セキュリティその他の理由により事前共有鍵を変更する場合において従来は必要であった設定変更作業は不要になり、利便性・安全性が向上する。
＜公開鍵暗号方式を用いる場合の動作＞
次に、公開鍵暗号方式を用いて接続元VPNゲートウェイ装置１と接続先VPNゲートウェイ装置４間でVPNを構築する場合のシーケンスについて、図７、図８を参照して説明する。なお、本例でも、VPN接続においてIKEv1、Aggressiveモード、モードコンフィグを使用しているが、本発明はこれに限らず適用できる。

まず、事前共有鍵暗号方式の場合と同様に、接続元VPNゲートウェイ装置１は、ネットワーク接続装置３の元でネットワーク６を利用するための設定処理を行う（ステップ１〜３）。続いて、接続元VPNゲートウェイ装置１は、接続先VPNゲートウェイ装置４に対してVPN接続をするための処理を行う。以下の処理において、SIPメッセージに関わる処理はSIP-UA機能部１０４、４０１が実行し、VPN接続のための処理（鍵生成、IKEパケットの送受信等）はIPsec機能部１０５、４０２が実行する。

まず、接続元VPNゲートウェイ装置１は、VPN接続要求等を含むSIP MESSAGEリクエストを送出する（ステップ４）。VPN接続要求のためにSIP MESSAGEリクエストを送出する点は事前共有鍵方式と同じであるが、公開鍵暗号方式では、IKEフェーズ１の第１パケット送出（すなわち、IPsec接続シーケンス開始）前にお互いの公開鍵を交換する必要がある。

従って、接続元VPNゲートウェイ装置１は、上記SIP MESSAGEリクエストのbody部に、当該メッセージがVPN接続を行う要求であることを示す情報と、IPsecで使用する識別子（IDi：IPsecのパケット中で使用する識別子、もしくはIPsecで使用しようとしているIPアドレス）とに加え、接続元VPNゲートウェイ装置１が保有する秘密鍵に対応した公開鍵の電文を記載する。

また、事前共有鍵方式の場合と同様に、接続元VPNゲートウェイ装置は、SIP MESSAGEリクエストのbody部に上記識別子を記載しなくてもよい。その場合、SIPリクエスト（SIP MESSAGEリクエスト）のヘッダにおける前述した発信者情報が上記識別子の代わりに用いられる。

接続元VPNゲートウェイ装置１から送出されたSIP MESSAGEリクエストは、ネットワーク接続装置３により中継され、ネットワーク６を介して接続先VPNゲートウェイ装置４に到達する（ステップ４〜６）。そして、接続先VPNゲートウェイ装置４は、SIP MESSAGEリクエストの受信を完了した旨を示す２００OKレスポンスを返送するとともに（ステップ７〜９）、body部の解析を行う。その結果、接続先VPNゲートウェイ装置４は、受信したSIP MESSAGEリクエストがVPN接続の要求であると判断する。

そして、接続先VPNゲートウェイ装置４は、SIP MESSAGEリクエストにおける前述した発信者情報に該当する部分（電話番号）をユーザ管理部４０４により確認し、当該発信者情報が示すユーザが、VPN接続を行うことが許可された正当なユーザであるかどうかの判定を行う（ステップ１０）。ここでは、当該ユーザは、VPN接続を行うことが許可された正当なユーザであると判定されたものとする。

続いて、接続先VPNゲートウェイ装置４は、当該SIP MESSAGEリクエストに含まれるIPsecの識別子を、接続元VPNゲートウェイ装置１の電話番号（発信者情報）に対応付けてユーザ管理部４０４に記録し、VPN接続において接続先VPNゲートウェイ装置４が使用することになる自身のIPアドレスと、接続先VPNゲートウェイ装置４が保有している秘密鍵に対応した公開鍵をSIP MESSAGEリクエストのbody部に記載し、そのSIP MESSAGEリクエストを接続元VPNゲートウェイ装置１に送信する（ステップ１１〜１３）。

なお、上記の処理における各公開鍵に関して、公開鍵を生成するには計算量が多くなるので、公開鍵を送信する装置は、事前に公開鍵を計算して保持しておいてもよいし、計算リソース（CPUの計算能力など）が十分にある場合は、セキュリティをより強固にするために、接続のたびに公開鍵の生成を行ってもよい。

接続元VPNゲートウェイ装置１におけるSIP-UA機能部は、接続先VPNゲートウェイ装置４から送出されたSIP MESSAGEリクエストを受信し、受信が完了したことを示す２００OKレスポンスを返送するともに（ステップ１４〜１５）、当該メッセージのbody部の解析を行う。接続元VPNゲートウェイ装置１は、当該body部から、接続先VPNゲートウェイ装置４に対するVPN接続で使用するべきIPアドレスと、接続先VPNゲートウェイ装置４の公開鍵を取得し、それらをIPsec部１０５に渡す（ステップ１７）。

そして、接続元VPNゲートウェイ装置１におけるIPsec部１０５は、そのIPアドレスに対してIPsecの接続開始要求（IKEフェーズ１の第１パケット）を送信する（図８のステップ１８、１９）。このパケットには、前述した識別子、もしくは発信者情報に該当する部分の情報（電話番号）が含められる。また、このとき、接続元VPNゲートウェイ装置１は、パケットの一部（IKEフェーズ１の第１パケットのIDペイロードおよびnonceペイロード）を接続先VPNゲートウェイ装置４の公開鍵で暗号化する（ステップ１８）。

このパケットは、ネットワーク接続装置３、及びネットワーク３を介して接続先VPNゲートウェイ装置４に送信される（ステップ１９）。

接続先VPNゲートウェイ装置４は、受信したパケットの一部（IKEフェーズ１の第１パケットのIDペイロードおよびnonceペイロード）を自身の秘密鍵で復号化する（ステップ２０）。そして、パケット中の上記識別子、もしくは識別子として用いられる発信者情報に該当する部分（電話番号）をユーザ管理部４０４から検索することにより、先ほどIPアドレスを通知した先の接続元VPNゲートウェイ装置１からのIPsec接続開始要求であると判断する。

続いて、接続先VPNゲートウェイ装置４は、IKEフェーズ１の第２パケットを生成し、送信する（ステップ２１、２２）。このとき、接続先VPNゲートウェイ装置４は、当該パケットの一部（IKEフェーズ１の第２パケットのIDペイロードおよびnonceペイロード）を接続元VPNゲートウェイ装置１の公開鍵で暗号化する（ステップ２１）。

接続元VPNゲートウェイ装置１は、上記パケットを受信し、受信したパケットの一部（IKEフェーズ１の第２パケットのIDペイロードおよびnonceペイロード）を自身の秘密鍵で復号化する（ステップ２３）。

接続先VPNゲートウェイ装置４と接続元VPNゲートウェイ装置１はぞれぞれ、引き続くIPsec接続シーケンスで使用するための暗号鍵（SKEYID、その他の秘密対象鍵等）を生成し（ステップ２４、２５）、事前共有鍵方式の場合と同様のシーケンスが実行されて、VPN接続による通信が行われる。

本方式において、仮に、SIPによる公開鍵の交換を悪意の第三者が盗聴して利用しようとしても、第三者は、秘密鍵を有していないので、IKEパケットの復号化を行うことができず、IPsec接続シーケンスの継続に失敗するので、不正アクセスが行われることはない。なお、これはもともとの公開鍵暗号方式の特徴である。また、前述したように、おのおのの装置の計算リソースが十分である場合には、接続のつど秘密鍵と公開鍵を生成してもよい。

これによって、公開鍵暗号方式において、VPN接続を行う通信装置同士で予め公開鍵を事前に設定しておく必要がなくなる。また、本方式によれば、もとよりVPN接続毎に公開鍵を変更できるので、セキュリティその他の理由により公開鍵を変更する場合において従来は必要であった設定変更作業は不要になり、利便性・安全性が向上する。
以上説明したように、本発明の実施形態によれば、VPN接続を行う通信装置相互において、VPN接続に必要な認証情報等の情報を事前に自動的に設定することが可能となる。また、本発明の実施形態によれば、VPN接続毎に情報設定を行うことができるので、情報設定を変更するための作業が不要になり、利便性及び安全性が向上する。

更に、電気通信事業者が提供する、発信者情報（電話番号）を詐称できないIP電話網を利用して、SIPメッセージを用いて情報（IPアドレス、鍵情報）の送受信を行っているので、情報交換のために別途別のサーバ等を用意することなく、安全に情報の送受信を実施することができる。つまり、IPアドレスや鍵情報のSIPメッセージを用いた送受信において、SIPメッセージのヘッダに含まれる発信者電話番号を確認することにより、悪意の第三者によるIPアドレスや鍵情報の取得を防ぐことができる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

本発明の実施の形態におけるシステムの構成図である。 接続元VPNゲートウェイ装置１の機能構成図である。 接続先VPNゲートウェイ装置４の機能構成図である。 事前共有鍵暗号方式を用いる場合のシステムの動作を示すシーケンス図である。 事前共有鍵暗号方式を用いる場合のシステムの動作を示すシーケンス図である。 事前共有鍵暗号方式を用いる場合のシステムの動作を示すシーケンス図である。 公開鍵暗号方式を用いる場合のシステムの動作を示すシーケンス図である。 公開鍵暗号方式を用いる場合のシステムの動作を示すシーケンス図である。

符号の説明

１ 接続元VPNゲートウェイ装置
２ PC端末
３ ネットワーク接続装置
４ 接続先VPNゲートウェイ装置
５ 業務システム
６ ネットワーク
１０１ DHCPクライアント機能部
１０２ DHCPv6クライアント機能部
１０３ 情報設定機能部
１０４ SIP−UA機能部
１０５ IPsec機能部
１０６ DHCPサーバ機能部
１０７ IPv6-NDP機能部
１０８ DHCPv6サーバ機能部
１０９ 内線電話機能部
１１０ ボタン・表示器
１１１ ルーティング機能部
１１２、１１３ Ethernet I/F
４０１ SIP−UA機能部
４０２ IPsec機能部
４０３ 内線電話収容機能部
４０４ ユーザ管理部
４０５ ルーティング機能部
４０６、４０７ Ethernet I/F

Claims (10)

1. IP通信網を介して接続元通信装置と接続先通信装置とがVPN接続を行うためのVPN接続方法であって、
   前記接続元通信装置が、VPN接続要求を含むSIPメッセージを、SIPを用いて呼制御を行うIP電話網を介して前記接続先通信装置に送信するVPN接続要求ステップと、
   前記接続先通信装置が、当該接続先通信装置のIPアドレスを含むSIPメッセージを前記接続元通信装置に送信し、当該接続元通信装置が前記SIPメッセージを受信し、当該SIPメッセージから前記IPアドレスを取得するIPアドレス取得ステップと、
   前記接続元通信装置が、前記IPアドレス取得ステップにおいて取得した前記IPアドレスを用いて、前記接続先通信装置と通信を行うことにより、VPN接続を行うVPN接続ステップと
   を有することを特徴とするVPN接続方法。
2. 前記VPN接続ステップは、
   前記接続元通信装置が、当該接続元通信装置の識別子を含むVPN接続のためのパケットを前記接続先通信装置に対して送信するパケット送信ステップと、
   前記接続先通信装置が、前記パケットを受信し、当該パケットに含まれる前記識別子に基づき前記接続元通信装置の宛先を特定し、VPN接続の過程で用いられる共有鍵を含むSIPメッセージを前記IP電話網を介して前記宛先に送信する共有鍵送信ステップと
   を有することを特徴とする請求項１に記載のVPN接続方法。
3. 前記VPN接続要求ステップにおいて、前記接続元通信装置は、自身の公開鍵と前記VPN接続要求とを含むSIPメッセージを、前記IP電話網を介して前記接続先通信装置に送信し、
   前記IPアドレス取得ステップにおいて、前記接続先通信装置が、自身の公開鍵とIPアドレスとを含むSIPメッセージを、前記IP電話網を介して前記接続元通信装置に送信し、当該接続元通信装置が前記SIPメッセージを受信し、当該SIPメッセージから前記接続先通信装置の公開鍵とIPアドレスとを取得し、
   前記VPN接続ステップにおいて、前記接続元通信装置と前記接続先通信装置とは互いに相手の公開鍵を用いてVPN接続を行うことを特徴とする請求項１に記載のVPN接続方法。
4. 前記識別子は、前記IP電話網において前記接続元通信装置に付与されている電話番号であることを特徴とする請求項２に記載のVPN接続方法。
5. IP通信網を介して接続先の通信装置とVPN接続を行う機能を有する通信装置であって、
   SIPを用いて呼制御を行うIP電話網を介して前記接続先の通信装置にVPN接続要求を含むSIPメッセージを送信し、当該接続先の通信装置から当該接続先の通信装置のIPアドレスを含むSIPメッセージを前記IP電話網を介して受信するIPアドレス取得手段と、
   前記IPアドレス取得手段により取得した前記IPアドレスを用いて、前記接続先の通信装置に対するVPN接続を行うVPN接続手段と
   を備えたことを特徴とする通信装置。
6. 前記VPN接続手段は、
   前記通信装置の識別子を含むVPN接続のためのパケットを前記接続先の通信装置に対して送信するパケット送信手段と、
   VPN接続の過程で用いられる共有鍵を含むSIPメッセージを前記IP電話網を介して前記接続先の通信装置から受信する共有鍵受信手段と
   を有することを特徴とする請求項５に記載の通信装置。
7. 前記IPアドレス取得手段は、
   前記通信装置の公開鍵と前記VPN接続要求とを含むSIPメッセージを、前記IP電話網を介して前記接続先の通信装置に送信する手段と、
   前記接続先の通信装置の公開鍵と前記IPアドレスとを含むSIPメッセージを、前記IP電話網を介して前記接続先の通信装置から受信する手段とを有し、
   前記VPN接続手段は、前記接続先の通信装置の公開鍵を用いてVPN接続のための処理を行う手段を有することを特徴とする請求項５に記載の通信装置。
8. IP通信網を介して接続元の通信装置とVPN接続を行うための通信装置であって、
   前記接続元の通信装置から、VPN接続要求を含むSIPメッセージを、SIPを用いて呼制御を行うIP電話網を介して受信したことに応じて、自身のIPアドレスを含むSIPメッセージを前記IP電話網を介して前記接続元の通信装置に送信するIPアドレス送信手段と、
   前記IPアドレスを取得した前記接続元の通信装置と通信を行うことにより、前記接続元の通信装置との間でVPN接続を行うVPN接続手段と
   を有することを特徴とする通信装置。
9. 前記VPN接続手段は、
   前記接続元の通信装置から、当該接続元の通信装置の識別子を含むVPN接続のためのパケットを受信し、当該パケットに含まれる前記識別子に基づき前記接続元の通信装置の宛先を特定し、VPN接続の過程で用いられる共有鍵を含むSIPメッセージを前記IP電話網を介して前記宛先に送信する共有鍵送信手段を有することを特徴とする請求項８に記載の通信装置。
10. 前記IPアドレス送信手段は、
    前記接続元の通信装置から、当該接続元の通信装置の公開鍵と前記VPN接続要求とを含むSIPメッセージを、前記IP電話網を介して受信する手段と、
    自身の公開鍵とIPアドレスとを含むSIPメッセージを、前記IP電話網を介して前記接続元の通信装置に送信する手段とを有し、
    前記VPN接続手段は、前記接続元の通信装置の公開鍵を用いてVPN接続のための処理を行う手段を有することを特徴とする請求項８に記載の通信装置。

Images