JP2010232775A - 中継装置、転送方法およびコンピュータプログラム - Google Patents

Abstract

【課題】サービスを提供する装置に対して何ら要求することなく、暗号化されたＩＰパケットを、そのＩＰパケットのサービスに応じたＱｏＳを有する通信経路に送出できるようにすることを目的とする。
【解決手段】カプセル化ヘッダを用いて、暗号化された内包パケットをカプセル化したパケットであるＩＰパケットを第１装置から第２装置に転送する中継装置は、前記第１装置がＩＰパケットを生成する際に用いた暗号化に関する暗号情報と、前記第２装置への経路を示す経路情報とを対応付けて記憶しておき、前記第１装置から受信した前記ＩＰパケットのカプセル化ヘッダに含まれる暗号情報に基づいて、前記第２装置への経路を決定する。
【選択図】図２

Description

本発明は、パケットを転送する中継装置に関する。

近年、ＩＰ（Internet Protocol）ベースのネットワークにおいて、ユーザが使用するサービスに応じたＱｏＳ（Quality of Service）を保証するネットワーク技術がある。例えば、ユーザがＩＰ電話で通話しているときに、通話が途切れないように帯域を保証するなどである。

サービスに応じたＱｏＳの保証は、中継装置が、受信したＩＰパケットを、ＩＰパケットのサービスに応じた帯域を有する通信経路に送出することで実現される。中継装置は、ＩＰパケットの通信経路を選択する際には、ＩＰパケットに含まれるサービスを示す情報、例えば、ＵＤＰ（User Datagram Protocol）ヘッダに含まれるポート番号を参照する。

また、ＩＰベースのネットワークであるインターネットはオープンなネットワークであり、悪質な利用者も存在することから、通信の内容を保護するための技術が開発されている。

通信の内容を保護する技術としては、例えば、エンド−エンドの通信を暗号化するＩＰｓｅｃ／ＥＳＰ（IP Security Protocol/Encapsulating Security Payload）がある。この方式では、エンドユーザの装置は、ＩＰパケットを暗号化し、新たなＩＰヘッダを付加してカプセル化して送出する。

従って、中継装置は、ＩＰｓｅｃ／ＥＳＰで暗号化されたＩＰパケットを、そのＩＰパケットのサービスに応じた帯域を有する通信経路に送出しようとした場合、サービスを示す情報も暗号化されているため、適切な通信経路を選択することができない。

そこで、カプセル化に際して新たに付加されたＩＰヘッダに、サービスに関する情報を埋め込む技術がある（特許文献１等参照）。

この技術によれば、暗号化されたＩＰパケットであっても、通信経路を選択することが可能となる。

特開２０００−３４１３２７号公報

しかしながら、この技術では、ユーザ側から送信するＩＰパケットのみならず、サービスを提供する側が送信するＩＰパケットにおいても、新たに付加するＩＰヘッダにサービスに関する情報を埋め込む必要がある。

すなわち、新たに付加するＩＰヘッダにサービスに関する情報を埋め込むという機能の実装を、現在サービスを提供している装置にも必要とする。

しかし、現在広く普及している様々なサービスを提供している全ての装置に、その機能を実装させることは、現実的ではない。

そこで、本発明は、サービスを提供する装置に対して何ら要求することなく、暗号化されたＩＰパケットを、そのＩＰパケットのサービスに応じたＱｏＳを有する通信経路に送出できるようにすることを目的とする。

本発明の１形態に係る中継装置は、第１装置と第２装置との間で、ＩＰパケットを転送する中継装置であって、前記ＩＰパケットは、カプセル化ヘッダを用いて、暗号化された内包パケットをカプセル化したパケットであり、前記第１装置が前記ＩＰパケットを生成する際に用いた暗号化に関する暗号情報と、前記第２装置への経路を示す経路情報とを対応付けて記憶する記憶手段と、前記第１装置から受信した前記ＩＰパケットの前記第２装置への経路として、当該ＩＰパケットのカプセル化ヘッダに含まれる暗号情報に対応する経路情報で示される経路を決定する経路決定手段と、を有する。

上記構成の中継装置は、受信したＩＰパケットのヘッダに含まれる暗号化に関する情報と、経路情報とを対応付けて記憶しているので、ヘッダ以外の部分が暗号化されていたとしても、通信経路を決定することができる。

通信システムの構成の例を示す図である。 中継装置、ユーザ端末及び加入者管理装置の機能的構成の例を示すブロック図である。 加入者情報管理テーブル１７１０の構成及び内容の例を示す図である。 ｄｏｗｎｌｉｎｋＳＰＩ管理テーブル１６１０の構成及び内容の例を示す図である。 契約ＱｏＳ管理テーブルの構成及び内容の例を示す図である。 ユーザ情報管理テーブルの構成及び内容の例を示す図である。 通信管理テーブルの構成及び内容の例を示す図である。 ネットワーク接続要求イベントの構成及び内容の例を示す図である。 接続認証要求イベントの構成及び内容の例を示す図である。 ユーザ情報送信イベントの構成及び内容の例を示す図である。 通信経路生成イベントの構成及び内容の例を示す図である。 ユーザ端末と中継装置との間で送受信されるカプセル化されたパケットの構成例を示す図である。 ユーザ端末とサービス提供装置との間で送受信されるカプセル化されたパケットの構成例を示す図である。 装置間のカプセル化されたパケットの流れを示す図である。 ユーザ端末がサービス提供装置との暗号化ＩＰパケットの送受信を開始する場合の、各装置の処理を示すフローチャートである。 中継装置が行う上り転送処理を示すフローチャートである。 中継装置が行う下り転送処理を示すフローチャートである。 加入者管理装置から中継装置にｕｐｌｉｎｋＳＰＩを通知するための、ｏｐｔｉｏｎ部にＳＰＩの記載ルールを追加拡張したＩＰＦｉｌｔｅｒＲｕｌｅの例を示す図である。 中継装置から基地局にｕｐｌｉｎｋＳＰＩを通知するための、Ｐａｔｈ＿Ｒｅｇ＿Ｒｅｑのメッセージフォーマットの例を示す図である。 基地局からユーザ端末にｕｐｌｉｎｋＳＰＩを通知するための、ＤＳＡ−ＲＥＱのメッセージフォーマットの例を示す図である。

＜実施形態＞
＜概要＞
中継装置は、暗号化されたＩＰパケット（以下、「暗号化ＩＰパケット」という。）を受信し、受信したＩＰパケットが送出されるべき通信経路、すなわち、ＩＰパケットのサービスに応じたＱｏＳを有する通信経路に送出するために、ＳＰＩ（Security Parameters Index）を参照する。実施形態では、暗号化のプロトコルとして、ＩＰｓｅｃ（ＲＦＣ（Request For Comments）２４０１）／ＥＳＰ（ＲＦＣ２４０６）を用いている。

ＳＰＩとは、ＩＰパケットを暗号化する際に用いる暗号化方式及び暗号鍵等の暗号化情報の識別子であり、ユーザ端末装置とサービス提供装置との間で、暗号化情報と共に交換するものである。各装置が、それぞれ任意の値をＳＰＩとして指定する。

各装置は、自装置と相手装置とが共有する暗号化情報と、自装置が指定したＳＰＩと、相手装置が指定したＳＰＩとを対応付けて記憶しておく。

各装置は、暗号化に用いた暗号化情報のＳＰＩを、暗号化ＩＰパケットに付加するヘッダに含ませて送信する。暗号化ＩＰパケットを受信した装置は、付加されているヘッダに含まれるＳＰＩから暗号化情報を特定し、暗号化ＩＰパケットの復号を行う。

すなわち、本来、ＳＰＩは、ユーザ端末装置とサービス提供装置とがそれぞれ任意に決定し、交換して使用するものであるため、他の装置は知る必要がない情報である。

しかし、ＳＰＩは、暗号化ＩＰパケットがどの装置からどの装置に送信されているかを示している情報でもあり得る。

実施形態では、ユーザ端末装置が指定するＳＰＩを通信事業者が管理することで、サービス提供装置からユーザ端末装置に送信された暗号化ＩＰパケットを、暗号化ＩＰパケットに付加されたヘッダに含まれるＳＰＩに基づいて、本来送出されるべき通信経路に送出してユーザ端末装置に届けるものである。

以下、本発明の実施形態における中継装置について、図面を用いて説明する。

＜機能＞
実施形態では、サービスに応じたＱｏＳを保証して通信経路の選択を行うネットワークとして、Ｍｏｂｉｌｅ ＷｉＭＡＸ（Worldwide interoperability for Microwave Access）ネットワークを例に説明する。図１を用いて、実施形態のＭｏｂｉｌｅ ＷｉＭＡＸネットワークを簡単に説明する。

図１は、実施形態の通信システムの構成の例を示す図である。

実施形態の通信システム１００は、加入者管理装置３０００、中継装置１０００、基地局５０００、ユーザ端末２０００及びサービス提供装置４０００を含む。

サービス提供装置４０００は、インターネットを介して中継装置１０００と接続される。また、中継装置１０００、基地局５０００及び加入者管理装置３０００は、ある通信事業者によって提供されるネットワークを構成する。ユーザ端末２０００は、当該通信事業者の提供するサービスに加入しており、加入者管理装置３０００によって管理されている。

ユーザ端末２０００は、サービス提供装置４０００からサービスを受けるために、基地局５０００及び中継装置１０００を介してサービス提供装置４０００とＩＰパケットの送受信を行う。この際ＩＰパケットの暗号化に用いられるプロトコルは、ＩＰｓｅｃ／ＥＳＰである。

ユーザ端末２０００と基地局５０００との間の無線区間の通信経路１０２は、ＩＥＥＥ８０２．１６ｅに従ったものである。また、基地局５０００と中継装置１０００との間の有線区間の通信経路１０１は、ＧＲＥ（Generic Routing Encapsulation:RFC2785、RFC2890）トンネルとなる。

これらの通信経路（１０１、１０２）は、ＱｏＳ保証がなされた通信経路である。

ネットワーク接続及び通信経路生成で使用されるプロトコルは、中継装置１０００と基地局５０００との間は、ＷｉＭＡＸ Ｆｏｒｕｍ Ｎｅｔｗｏｒｋ Ａｒｃｈｉｔｅｃｔｕｒｅであり、基地局５０００とユーザ端末２０００との間は、ＩＥＥＥ８０２．１６ｅである。また、加入者管理装置３０００と中継装置１０００との間で認証時に使用されるプロトコルは、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）（ＲＦＣ２８６５）をベースとしＷｉＭＡＸ Ｆｏｒｕｍ Ｎｅｔｗｏｒｋ Ａｒｃｈｉｔｅｃｔｕｒｅで規定される拡張を含んだものである。

次に、図２を用いて、中継装置１０００、ユーザ端末２０００及び加入者管理装置３０００について説明する。

図２は、中継装置１０００、ユーザ端末２０００及び加入者管理装置３０００の機能的構成の例を示すブロック図である。尚、基地局５０００は、中継装置１０００とはブリッジ接続のイメージで接続され通信経路の選択は行わないため、図２には記載していない。

中継装置１０００は、ＩＰパケット転送制御部１１００、ｕｐｌｉｎｋＳＰＩ登録部１２１０を含む加入者情報取得部１２００、通信経路生成部１３００、ｄｏｗｎｌｉｎｋＳＰＩ登録部１４００、上り経路処理部１５００、下り経路選択部１５５０、ｄｏｗｎｌｉｎｋＳＰＩ管理テーブル記憶部１６００及び加入者情報管理テーブル記憶部１７００を有する。

ＩＰパケット転送制御部１１００は、ＩＰパケットの、いわゆるルーティング処理、カプセル化処理、カプセル化解除処理等を行う機能を有する他、本発明に特有の処理のための制御等を行う。

次に、加入者情報取得部１２００は、ネットワーク接続を要求してきた加入者に関する情報を、加入者管理装置３０００から取得する機能を有する。加入者に関する情報とは、ユーザが通信事業者と契約をした通信経路のＱｏＳ情報等である。

ｕｐｌｉｎｋＳＰＩ登録部１２１０は、加入者情報取得部１２００が取得した加入者の情報であるＱｏＳ情報やＳＰＩ等を、管理テーブルに記憶させる機能を備える。

通信経路生成部１３００は、ユーザ端末２０００と中継装置１０００との間の通信経路を生成する機能を有する。

実施形態では、通信経路生成部１３００が生成する通信経路は２種類とする。ユーザが契約した帯域保証された通信経路と、デフォルトの通信経路である。ユーザ端末２０００と中継装置１０００との間の通信は、一対の通信経路、すなわち、２本の通信経路を使用する。１本は、上りの通信経路であり、もう１本は、下りの通信経路である。上りと下りの経路は、基本的に同じＱｏＳが設定される。

ユーザは、複数の通信経路を契約することが可能であり、それぞれ異なるＱｏＳを設定できる。ただし、２種類の通信経路のうちの1つであるデフォルトの通信経路は、帯域保証の無いＱｏＳが設定されているものとする。

一般的に、ユーザが通信事業者と契約を行う場合、最初は帯域保証の無い接続を契約し、ユーザが必要となったときに、ＱｏＳ保証のある接続を追加して契約する。従って、実施形態では、帯域保証の無いＱｏＳが設定されたデフォルトの通信経路は、必ず生成されることとする。中継装置１０００において、転送する通信経路の選択が出来ない場合は、デフォルトの通信経路を使用してユーザ端末２０００にＩＰパケットを転送する。

ｄｏｗｎｌｉｎｋＳＰＩ登録部１４００は、下り経路選択部１５５０から依頼を受けて、下りの経路で使用するＳＰＩを、管理テーブルに記憶させる機能を有する。

上り経路処理部１５００は、ＩＰパケット転送制御部１１００から依頼を受けて、ユーザ端末２０００からサービス提供装置４０００に向けて送信されたＩＰパケットから、必要な情報を取り出して管理テーブルに記憶させる機能を有する。

また、下り経路選択部１５５０は、ＩＰパケット転送制御部１１００から依頼を受けて、サービス提供装置４０００から送信されてきたＩＰパケットの転送先である通信経路を選択する機能を有する。また、下りの経路で使用するＳＰＩが管理テーブルに設定されていない場合は、ｄｏｗｎｌｉｎｋＳＰＩ登録部１４００に登録を依頼する。

ｄｏｗｎｌｉｎｋＳＰＩ管理テーブル記憶部１６００は、サービス提供装置４０００から送信される暗号化ＩＰパケットのＳＰＩを管理するテーブルを記憶しておく機能を有する。

加入者情報管理テーブル記憶部１７００は、ユーザ端末毎の通信経路情報や、ＱｏＳ情報等を管理する加入者情報管理テーブルを記憶しておく機能を有する。

次に、ユーザ端末２０００は、制御部２１００、暗号化情報交換部２２１０を含むＩＰパケット送受信部２２００、通信経路生成部２３００、通信管理テーブル記憶部２４００及びサービスアプリケーション２９００を含む。

このユーザ端末２０００は、いわゆるパソコンであり、キーボード等のマンマシンインタフェース、ディスプレイ、通信機能等を備える。

制御部２１００は、パソコンとしてのユーザ端末２０００に必要な処理を行う他、本発明に特有の処理、例えば、中継装置１０００との間で通信経路を生成するために他の機能部を制御する機能等を有する。

ＩＰパケット送受信部２２００は、中継装置１０００を介して、サービス提供装置４０００を相手に、暗号化ＩＰパケットを送受信する機能を有する。また、ＩＰパケットの暗号化等の処理を行う機能を有する。

暗号化情報交換部２２１０は、暗号化情報をサービス提供装置４０００と交換する機能を有する。この際、ＳＰＩも交換する。暗号化情報交換部２２１０は、自装置のＳＰＩとして、中継装置１０００を介して加入者管理装置３０００が指定したＳＰＩをサービス提供装置４０００に渡す。一方、サービス提供装置４０００のＳＰＩとして、サービス提供装置４０００からＳＰＩをもらう。

この暗号化情報交換部２２１０が行う暗号化情報の交換は、ＩＫＥ（Internet Key Exchange:RF2409）若しくはＩＫＥｖ２（Internet Key Exchange version2:RF4306）を用いて行われる。

通信経路生成部２３００は、ユーザ端末２０００と中継装置１０００との間の通信経路を生成する機能を有する。

通信管理テーブル記憶部２４００は、自装置が生成した通信経路毎のＱｏＳ情報等を管理する通信管理テーブルを記憶しておく機能を有する。

サービスアプリケーション２９００は、ユーザが利用する様々なサービスを実現する機能を有する。具体的には、サービスに応じて、所定のサービス提供装置と通信を行ってサービスを実現する。例えば、ＩＰ電話サービスや、動画視聴サービスなどである。

次に、加入者管理装置３０００は、制御部３１００、ユーザ情報通知部３２００、ユーザ情報管理テーブル記憶部３３００及び契約ＱｏＳ管理テーブル記憶部３４００を含む。

この加入者管理装置３０００は、いわゆるサーバであり、通信事業者が提供するネットワークサービスを受けるために加入したユーザに関する情報を管理等する装置である。

制御部３１００は、サーバとしての加入者管理装置３０００に必要な処理を行う他、本発明に特有の処理、例えば、中継装置１０００に加入者の情報を通知する等の処理のための制御等を行う機能を有する。

ユーザ情報通知部３２００は、中継装置１０００から要求があったユーザに関する情報を、中継装置１０００に送信する機能を有する。また、ユーザ情報通知部３２００は、中継装置１０００が情報を要求したユーザが正当な加入者であるか否かの認証も行う。認証が肯定的であった場合にのみ、当該ユーザに関する情報を中継装置１０００に送信する
ユーザ情報管理テーブル記憶部３３００は、通信事業者の提供するサービスへの加入者であるユーザのユーザ端末のＩＰアドレスや契約内容等を管理するユーザ情報管理テーブルを記憶しておく機能を有する。

契約ＱｏＳ管理テーブル記憶部３４００は、加入者であるユーザが契約した通信経路のＱｏＳ等を管理する契約ＱｏＳ管理テーブルを記憶しておく機能を有する。

上述した機能の全部または一部は、中継装置１０００、ユーザ端末２０００及び加入者管理装置３０００のそれぞれが有するＣＰＵが、各装置それぞれのメモリ等に記録されているプログラムを実行することにより実現される。

＜データ＞
次に、実施形態の通信システム１００で用いる主なデータについて図３〜図７を用いて説明する。

図３は、加入者情報管理テーブル１７１０の構成及び内容の例を示す図である。

この加入者情報管理テーブル１７１０は、中継装置１０００の加入者情報管理テーブル記憶部１７００に記憶されている。

加入者情報管理テーブル１７１０は、レコード番号１７１１、ユーザ端末ＩＰアドレス１７１２、通信経路情報１７１３、ＱｏＳ情報１７１４、ｕｐｌｉｎｋＳＰＩ１７１５、サービス提供装置ＩＰアドレス１７１６及びｄｏｗｎｌｉｎｋＳＰＩ１７１７が含まれる。

レコード番号１７１１は、加入者情報管理テーブル１７１０に登録されているレコードの番号を示す。レコードは、中継装置１０００が通信経路を生成する際に登録される。

ユーザ端末ＩＰアドレス１７１２は、中継装置１０００が通信経路を生成する相手であるユーザ端末のＩＰアドレスを示す。

通信経路情報１７１３は、中継装置１０００が、ユーザ端末ＩＰアドレス１７１２で示されるユーザ端末との間で生成する通信経路の情報を示す。

この通信経路情報１７１３は、通信経路の上り又は下りを示す「方向」と、ポート番号及びポート番号に対応付けられているプロトコルを示す「ポート番号／プロトコル」と、通信経路であるＧＲＥトンネルの識別子を示す「ＧＲＥ−ＫＥＹ」とを含む。

この「ポート番号／プロトコル」が「ａｎｙ／ａｎｙ」の通信経路は、送出すべき通信経路が不明なＩＰパケットや、通信経路を指定していないＩＰパケットを送出するデフォルトの通信経路である。

ＱｏＳ情報１７１４は、通信経路情報１７１３で示される通信経路に設定された帯域幅を示す。

ｕｐｌｉｎｋＳＰＩ１７１５は、上り、すなわち、ユーザ端末ＩＰアドレス１７１２で示されるユーザ端末から、サービス提供装置ＩＰアドレス１７１６で示されるサービス提供装置へ送信するＩＰパケットを暗号化するのにユーザ端末が用いた暗号化情報の識別子を示す。従って、方向が下りの通信経路には設定されず、ｕｐｌｉｎｋＳＰＩ１７１５の欄には「−」が記載されている。

サービス提供装置ＩＰアドレス１７１６は、ユーザ端末ＩＰアドレス１７１２で示されるユーザ端末が、ＩＰパケットを送受信する相手であるサービス提供装置のＩＰアドレスを示す。

このサービス提供装置ＩＰアドレス１７１６は、ユーザ端末ＩＰアドレス１７１２で示されるユーザ端末が送信したｕｐｌｉｎｋＳＰＩ１７１５で示されるＳＰＩを含んだ最初のＩＰパケットを、中継装置１０００が受信したときに設定される。

ｄｏｗｎｌｉｎｋＳＰＩ１７１７は、下り、すなわち、サービス提供装置ＩＰアドレス１７１６で示されるサービス提供装置から、ユーザ端末ＩＰアドレス１７１２で示されるユーザ端末へ送信するＩＰパケットを暗号化するのにサービス提供装置が用いた暗号化情報の識別子を示す。従って、方向が上りの通信経路には設定されず、ｄｏｗｎｌｉｎｋＳＰＩ１７１７の欄には「−」が記載されている。

このｄｏｗｎｌｉｎｋＳＰＩ１７１７は、サービス提供装置ＩＰアドレス１７１６で示されるサービス提供装置からユーザ端末ＩＰアドレス１７１２で示されるユーザ端末へ送信された最初のＩＰパケットを、中継装置１０００が受信したときに設定される。

次に、図４は、ｄｏｗｎｌｉｎｋＳＰＩ管理テーブル１６１０の構成及び内容の例を示す図である。

このｄｏｗｎｌｉｎｋＳＰＩ管理テーブル１６１０は、中継装置１０００のｄｏｗｎｌｉｎｋＳＰＩ管理テーブル記憶部１６００に記憶されている。

ｄｏｗｎｌｉｎｋＳＰＩ管理テーブル１６１０は、レコード番号１６１１、ｄｏｗｎｌｉｎｋＳＰＩ１６１３及び加入者テーブルレコード番号１６１３が含まれる。

レコード番号１６１１は、ｄｏｗｎｌｉｎｋＳＰＩ管理テーブル１６１０に登録されているレコードの番号を示す。レコードは、中継装置１０００が、下りのＳＰＩを取得すると登録される。

ｄｏｗｎｌｉｎｋＳＰＩ１６１２は、下りのＩＰパケットを暗号化するのに用いた暗号化情報の識別子を示す。

加入者テーブルレコード番号１６１３は、加入者情報管理テーブル１７１０のレコード番号１７１１を示す。ｄｏｗｎｌｉｎｋＳＰＩ管理テーブル１６１０にレコードが登録された時には、同じＳＰＩが加入者情報管理テーブル１７１０のｄｏｗｎｌｉｎｋＳＰＩ１７１７にも設定される。その設定されたレコードのレコード番号が加入者テーブルレコード番号１６１３に設定される。

次に、図５は、契約ＱｏＳ管理テーブルの構成及び内容の例を示す図である。

この契約ＱｏＳ管理テーブル３４１０は、加入者管理装置３０００の契約ＱｏＳ管理テーブル記憶部３４００に記憶されている。この契約ＱｏＳ管理テーブル３４１０は、加入者が契約した通信経路の情報を管理している。

契約ＱｏＳ管理テーブル３４１０は、レコード番号３４１１、通信経路情報３４１２、ＱｏＳ情報３４１３及びｕｐｌｉｎｋＳＰＩ３４１４が含まれる。

レコード番号３４１１は、契約ＱｏＳ管理テーブル３４１０に登録されているレコードの番号を示す。契約ＱｏＳ管理テーブル３４１０には、ユーザが契約した上り下り一対の通信経路ごとのレコードが登録されている。

通信経路情報３４１２は、通信経路の情報を示す。上りの経路のポート番号及びポート番号に対応付けられているプロトコルを示す「上りポート番号／プロトコル」と、下りの経路のポート番号及びポート番号に対応付けられているプロトコルを示す「下りポート番号／プロトコル」とを含む。

ＱｏＳ情報３４１３は、通信経路情報３４１２で示される通信経路に割り当てられている帯域幅を示す。

ｕｐｌｉｎｋＳＰＩ３４１４は、ユーザ端末に通知する上りのＳＰＩを示す。このＳＰＩは、中継装置１０００を介してユーザ端末２０００に通知される。ユーザ端末２０００は、サービス提供装置４０００と通信する際にこのＳＰＩを用いる。

次に、図６は、ユーザ情報管理テーブル３３１０の構成及び内容の例を示す図である。

このユーザ情報管理テーブル３３１０は、加入者管理装置３０００のユーザ情報管理テーブル記憶部３３００に記憶されている。

ユーザ情報管理テーブル３３１０は、レコード番号３３１１、ユーザ情報３３１２、ユーザ端末ＩＰアドレス３３１３及び契約ＱｏＳ情報３３１４が含まれる。

レコード番号３３１１は、ユーザ情報管理テーブル３３１０に登録されているレコードの番号を示す。レコードは、加入者管理装置３０００が管理しているユーザ全員分が登録されている。

ユーザ情報３３１２は、加入者管理装置３０００が管理しているユーザの情報を示す。このユーザ情報３３１２は、通信事業者から割り当てられたユーザの識別子である「ＮＡＩ（Network Access Identifier）」と、ユーザを認証するために用いる情報である「認証パスワード」を含む。

ユーザ端末ＩＰアドレス３３１３は、加入者管理装置３０００が管理しているユーザ端末のＩＰアドレスを示す。

契約ＱｏＳ情報１７１４は、ユーザ情報３３１２で示されるユーザが、通信事業者と契約したＱｏＳを示す。具体的には、契約ＱｏＳ管理テーブル３４１０のレコード番号３４１１を示している。例えば、レコード番号３３１１「１」で示されるレコードの契約ＱｏＳ情報３３１４は「１、２、３」であるので、このレコードのユーザ情報３３１２で示されるユーザは、契約ＱｏＳ管理テーブル３４１０のレコード番号３４１１が「１」と「２」と「３」で示される３つの通信経路を生成する契約をしていることになる。

次に、図７は、通信管理テーブルの構成及び内容の例を示す図である。

この通信管理テーブル２４１０は、ユーザ端末２０００の通信管理テーブル記憶部２４００に記憶されている。この通信管理テーブル２４１０は、ユーザ端末２０００が生成する通信経路の情報を管理している。

通信管理テーブル２４１０は、レコード番号２４１１、サービス２４１２、通信経路情報２４１３、ＱｏＳ情報２４１４、ｕｐｌｉｎｋＳＰＩ２４１５及び暗号化条件２４１６が含まれる。

レコード番号２４１１は、通信管理テーブル２４１０に登録されているレコードの番号を示す。ユーザ端末が生成する通信経路の数分のレコードが登録されている。

サービス２４１２は、ユーザがユーザ端末２０００を用いて利用するサービスを示す。ユーザ端末２０００は、これらサービスを実現する複数のアプリケーションを備えている。

通信経路情報２４１３は、ユーザ端末２０００が中継装置１０００との間で生成する通信経路の情報を示す。

この通信経路情報２４１３は、上りのポート番号及びポート番号に対応付けられているプロトコル示す「上りポート番号／プロトコル」と、ユーザ端末２０００と基地局５０００との間のトンネルの識別子である「ＣＩＤ（Connection IDentifier）」とを含む。

ＱｏＳ情報２４１４は、通信経路情報２４１３で示される通信経路に割り当てられている帯域幅を示す。

ｕｐｌｉｎｋＳＰＩ２４１５は、ユーザ端末２０００が、通信経路情報２４１３で示される経路から送出するＩＰパケットを暗号化するのに用いる暗号化情報の識別子を示す。このＳＰＩは、中継装置１０００を介して加入者管理装置３０００から通知される。

暗号化条件２４１６は、ｕｐｌｉｎｋＳＰＩ２４１５で示されるＳＰＩで識別される暗号化情報を示す。

この暗号化条件２４１６は、セキュリティプロトコルを示す「ＩＰｓｅｃ条件」、暗号化の方式を示す「暗号化方式」、通信相手の装置を示す「サービス提供装置ＩＰアドレス」、下りのＳＰＩを示す「ｄｏｗｎｌｉｎｋＳＰＩ」、暗号化する際に用いる鍵を示す「暗号鍵」を含む。

＜イベント＞
以下、実施形態の通信システム１００で用いられるイベントについて、図８〜図１１を用いて説明する。

イベントとは、ユーザ装置２０００及び加入者管理装置３０００と中継装置１０００とがやり取りする、通信経路の生成に必要なデータをいう。

図８は、ネットワーク接続要求イベント２０１０の構成及び内容の例を示す図である。

このネットワーク接続要求イベント２０１０は、ユーザ端末２０００から中継装置１０００に、ネットワークの接続を要求する場合に送信される。

ネットワーク接続要求イベント２０１０は、接続要求コード２０１１、ユーザ端末ＩＰアドレス２０１２及びユーザ認証情報２０１３を含む。

接続要求コード２０１１は、当該イベントがネットワーク接続を要求するイベントであることを示す。

ユーザ端末ＩＰアドレス２０１２は、当該イベントの送信元の装置、すなわち、ネットワーク接続を要求している装置のＩＰアドレスを示す。具体的には、ユーザ端末２０００のＩＰアドレスである。

ユーザ認証情報２０１３は、当該イベントの送信元の装置を使用しているユーザを認証するための情報を示す。いわゆる、パスワードである。ユーザが通信事業者との契約時に、通信事業者との間で決めたものである。

図９は、接続認証要求イベント１０１０の構成及び内容の例を示す図である。

この接続認証要求イベント１０１０は、中継装置１０００から加入者管理装置３０００に、ユーザの認証を依頼する場合に送信される。このユーザとは、中継装置１０００にネットワークの接続を要求してきたユーザである。

接続認証要求イベント１０１０は、接続認証要求コード１０１１、ユーザ端末ＩＰアドレス１０１２及びユーザ認証情報１０１３を含む。

接続認証要求コード１０１１は、当該イベントが、ユーザの認証を依頼するイベントであることを示す。

ユーザ端末ＩＰアドレス１０１２は、認証の対象であるユーザが使用している装置のＩＰアドレスを示す。具体的には、ユーザ端末２０００のＩＰアドレスである。

ユーザ認証情報１０１３は、ユーザ端末ＩＰアドレス１０１２で示される装置のユーザを認証するための情報を示す。

図１０は、ユーザ情報送信イベント３０１０の構成及び内容の例を示す図である。

このユーザ情報送信イベント３０１０は、加入者管理装置３０００から中継装置１０００に、ユーザ情報を通知する場合に送信される。このユーザ情報とは、接続認証要求イベント１０１０で認証の対象となったユーザの情報である。加入者管理装置３０００は、認証が肯定的であった場合のみユーザ情報送信イベント３０１０を送信する。

ユーザ情報送信イベント３０１０は、ユーザ情報送信コード３０１１、ユーザ端末ＩＰアドレス３０１２及び契約ＱｏＳ情報３０１３を含む。

ユーザ情報送信コード３０１１は、当該イベントがユーザ情報を送信するイベントであることを示す。

ユーザ端末ＩＰアドレス３０１２は、当該イベントで送信するユーザ情報が、どのユーザの情報であるかを示す。ユーザを示す情報として、ユーザが使用するユーザ端末のＩＰアドレスが設定される。

契約ＱｏＳ情報３０１３は、ユーザ端末ＩＰアドレス３０１２で示される装置のユーザが、通信事業者と契約した通信経路の情報を示す。この契約ＱｏＳ情報３０１３として、契約ＱｏＳ管理テーブル記憶部３４００に記憶されている契約ＱｏＳ管理テーブル３４１０の通信経路情報３４１２、ＱｏＳ情報３４１３及びｕｐｌｉｎｋＳＰＩ３４１４が設定される。

図１１は、通信経路生成イベント１０２０の構成及び内容の例を示す図である。

この通信経路生成イベント１０２０は、中継装置１０００からユーザ端末２０００に、生成する通信経路の情報を通知する場合に送信される。

通信経路生成イベント１０２０は、通信経路生成コード１０２１及び生成経路情報１０２２を含む。

通信経路生成コード１０２１は、当該イベントが生成する通信経路の情報を送信するイベントであることを示す。

生成経路情報１０２２は、当該通信経路生成イベント１０２０の送信先であるユーザ端末２０００と、中継装置１０００との間で生成する通信経路の情報を示す。この生成経路情報１０２２として、加入者情報管理テーブル記憶部１７００に記憶されている加入者情報管理テーブル１７１０の通信経路情報１７１３、ＱｏＳ情報１７１４及びｕｐｌｉｎｋＳＰＩ１７１５が設定される。

＜パケット＞
以下、実施形態の通信システム１００で用いられるパケットについて、図１２〜図１４を用いて説明する。

図１２は、ユーザ端末と中継装置との間で送受信されるカプセル化されたパケットの構成例を示す図である。

ユーザ端末２０００と基地局５０００との無線区間は、パケット９０１０の構成のパケットが送受信される。また、基地局５０００と中継装置１０００との間のＧＲＥトンネルでは、パケット９０２０の構成のパケットが送受信される。

パケット９０１０は、ＩＥＥＥ８０２．１６ｅに従ったヘッダ９０１１とペイロード９０３０で構成される。

また、パケット９０２０は、ＧＲＥトンネルを通過するためのＩＰヘッダ部９０２１、通過するＧＲＥトンネルを示すＧＲＥ−Ｋｅｙ９０２３を含むＧＲＥヘッダ部９０２２及びペイロード９０３０で構成される。

ペイロード（９０１０、９０２０）には、図１３を用いて説明するパケットが挿入される。

図１３は、ユーザ端末２０００とサービス提供装置４０００との間で送受信されるカプセル化されたパケットの構成例を示す図である。

ユーザ端末２０００とサービス提供装置４０００との間は、パケット９０３０の構成のパケットが送受信される。このパケット９０３０は、ＥＳＰを適用する場合のＩＰｓｅｃパケットである。

パケット９０３０は、ＩＰヘッダ部９０３１、ＥＳＰヘッダ部９０３２及び暗号化ペイロード９０３３で構成される。

ＩＰヘッダ部９０３１は、パケット９０３０の送信元を示す送信元ＩＰアドレス９０３４と、送信先を示す送信先ＩＰアドレス９０３５とを含む。

ＥＳＰヘッダ部９０３２は、ＥＳＰを適用した場合にＩＰヘッダ部９０３１の後ろに挿入されるヘッダであり、ＳＰＩ９０３６を含む。

このＩＰヘッダ部９０３１とＥＳＰヘッダ部９０３２とは、暗号化されていない。

暗号化ペイロード９０３３は、暗号化されたＩＰパケットである。このＩＰパケットは、ユーザ端末２０００とサービス提供装置４０００との間で送受信しようとしているＩＰパケットである。このＩＰパケットは、ＩＰヘッダ部９０３７とデータ部９０３８とで構成される。データ部９０３８は、送信するデータが設定される。

また、ＩＰヘッダ部９０３７は、送信元ＩＰアドレス９０３９、送信先ＩＰアドレス９０４０及びポート番号９０４１を含む。例えば、ユーザ端末２０００からサービス提供装置４０００に送信するＩＰパケットの場合は、ユーザ端末２０００のＩＰアドレスを送信元ＩＰアドレス９０３９に設定し、サービス提供装置４０００のＩＰアドレスを送信先ＩＰアドレス９０４０に設定する。また、サービス提供装置４０００が提供するサービスが割り当てられているポート番号を、ポート番号９０４１に設定する。

尚、実施形態のように、ＩＰｓｅｃ／ＥＳＰを適用したＩＰパケットは暗号化されているので、復号しない限り内容を参照することはできない。しかし、ＩＰパケットを暗号化しないで送信するプロトコルでは、中継装置は、ポート番号９０４１を参照し、割り当てられているサービスに応じたＱｏＳが設定されている通信経路に、ＩＰパケットを送出することが可能である。

図１４は、装置間のカプセル化されたパケットの流れを示す図である。

ユーザ端末２０００で生成されたパケット９０３０ａは、ＩＥＥＥ８０２．１６ｅに従ったヘッダ９０１１が付加され、パケット９０１０の構成のパケット９０１０ａが基地局５０００に送信される。

基地局５０００において、ＩＥＥＥ８０２．１６ｅに従ったヘッダ９０１１が削除され、ＩＰヘッダ部９０２１とＧＲＥヘッダ部９０２２とがパケット９０３０ａに付加され、パケット９０２０の構成のパケット９０２０ａが中継装置１０００に送信される。

また、中継装置１０００において、パケット９０２０ａからＩＰヘッダ部９０２１とＧＲＥヘッダ部９０２２とが削除され、パケット９０３０ｂがサービス提供装置４０００に送信される。

サービス提供装置４０００で生成されたパケット９０３０ｃは、中継装置１０００まで送信され、中継装置１０００において、ＩＰヘッダ部９０２１とＧＲＥヘッダ部９０２２とがパケット９０３０に付加され、パケット９０２０の構成のパケット９０２０ｂが基地局５０００に送信される。

基地局５０００において、ＩＰヘッダ部９０２１とＧＲＥヘッダ部９０２２とが削除され、ＩＥＥＥ８０２．１６ｅに従ったヘッダ９０１１が付加され、パケット９０１０の構成のパケット９０１０ｂがユーザ端末２０００に送信される。

パケット９０１０ｂを受信したユーザ端末２０００は、ＩＥＥＥ８０２．１６ｅに従ったヘッダ９０１１を削除する。ユーザ端末２０００及びサービス提供装置４０００は、暗号化ＩＰパケットを復号し、データに応じた処理を行う。

以下、基地局５０００等で、必要なヘッダを付加することを「カプセル化」といい、ヘッダを削除することを「カプセル化の解除」というものとする。

＜動作＞
以下、実施形態の通信システム１００の動作について図１５〜図１７を用いて説明する。

図１５は、ユーザ端末２０００がサービス提供装置４０００との暗号化ＩＰパケットの送受信を開始する場合の、各装置の処理を示すフローチャートである。

図１５において、括弧で囲んだ数字は、図８〜図１３を用いて説明したイベント及びパケットの符号の番号を示す。

インターネット上にあるサービス提供装置４０００が提供するサービスをユーザが利用しようとした場合、ユーザは、ユーザ端末２０００にサービスの実行を指示する。

サービスの実行を指示するユーザの操作を検出した制御部２１００は、契約している通信事業者のネットワークに接続するよう通信経路生成部２３００に依頼する。

依頼を受けた通信経路生成部２３００は、ネットワーク接続要求イベント２０１０（図８参照）を生成する。

具体的には、ユーザ端末ＩＰアドレス２０１２としてユーザ端末２０００のＩＰアドレスを設定し、ユーザ認証情報２０１３としてパスワードを設定する。パスワードは、通信事業者との契約時に認証情報として通信事業者に伝えたものである。ユーザ端末２０００のＩＰアドレスとパスワードとは、ユーザ端末２０００のメモリに記憶されているものとする。

通信経路生成部２３００は、生成したネットワーク接続要求イベント２０１０を中継装置１０００に送信する（ステップＳ２００）。

ネットワーク接続要求イベント２０１０を受信した中継装置１０００の通信経路生成部１３００は、加入者情報取得部１２００に、ネットワーク接続を依頼してきたユーザに関する情報を取得するよう依頼する。この際、受信したネットワーク接続要求イベント２０１０のユーザ端末ＩＰアドレス２０１２とユーザ認証情報２０１３とを渡す。

依頼を受けた加入者情報取得部１２００は、接続認証要求イベント１０１０（図９参照）を生成する。

具体的には、渡されたユーザ端末ＩＰアドレス２０１２をユーザ端末ＩＰアドレス１０１２として設定し、渡されたユーザ認証情報２０１３をユーザ認証情報１０１３として設定する。

加入者情報取得部１２００は、生成した接続認証要求イベント１０１０を加入者管理装置３０００に送信する（ステップＳ１００）。

接続認証要求イベント１０１０を受信した加入者管理装置３０００のユーザ情報通知部３２００は、まず、接続を要求しているユーザの認証を行う（ステップＳ３００）。

具体的には、ユーザ情報通知部３２００は、ユーザ情報管理テーブル３３１０（図６参照）のユーザ端末ＩＰアドレス３３１３が、接続認証要求イベント１０１０のユーザ端末ＩＰアドレス１０１２で示されているＩＰアドレスと一致するレコードがあるか検索を行う。一致したレコードがある場合は、一致したレコードのユーザ情報３３１２の認証パスワードが、接続認証要求イベント１０１０のユーザ認証情報１０１３と同じであるか否かを判断する。同じである場合は、肯定的な認証結果とする。この場合以外は、否定的な認証結果とする。

認証結果が肯定的であると判断した場合、ユーザ情報通知部３２００は、ユーザ情報送信イベント３０１０（図１０参照）を生成する。

具体的には、受信した接続認証要求イベント１０１０のユーザ端末ＩＰアドレス１０１２を、ユーザ端末ＩＰアドレス３０１２として設定する。

また、契約ＱｏＳ管理テーブル３４１０（図５参照）から、一致したレコードの契約ＱｏＳ情報３３１４で示される番号と同じ番号のレコード番号１７１１のレコードを読み出す。読み出したレコードの通信経路情報３４１２とＱｏＳ情報３４１３とｕｐｌｉｎｋＳＰＩ３４１４とを、契約ＱｏＳ情報３０１３として設定する。検索されたレコードの契約ＱｏＳ情報３３１４に複数のレコード番号が設定されている場合は、すべてのレコード番号で示されるレコードを読み出して、契約ＱｏＳ情報３０１３として設定する。

ユーザ情報通知部３２００は、生成したユーザ情報送信イベント３０１０を中継装置１０００に送信する（ステップＳ３１０）。

一方、認証結果が否定的であると判断した場合、ユーザ情報通知部３２００は、認証結果が否定的であった旨を、中継装置１０００を介してユーザ端末２０００に通知する。通知を受けたユーザ端末２０００は、認証されなかった旨のメッセージを表示する。

ユーザ情報送信イベント３０１０を受信した中継装置１０００の加入者情報取得部１２００は、受信したユーザ情報送信イベント３０１０からユーザ端末ＩＰアドレス３０１２と契約ＱｏＳ情報３０１３とを読み出して、ｕｐｌｉｎｋＳＰＩ登録部１２１０に渡して登録を依頼する。

依頼を受けたｕｐｌｉｎｋＳＰＩ登録部１２１０は、まず、加入者情報管理テーブル１７１０（図３参照）に登録する。

具体的には、受け取ったユーザ端末ＩＰアドレス３０１２を、ユーザ端末ＩＰアドレス１７１２に設定する。また、契約ＱｏＳ情報３０１３の通信経路情報３４１２を基に、上り及び下りそれぞれの通信経路の通信経路情報１７１３を設定し、ＱｏＳ情報３４１３をＱｏＳ情報１７１４に設定する。尚、契約ＱｏＳ情報３０１３に、複数の通信経路情報３４１２等が含まれている場合は、それらの通信経路についても加入者情報管理テーブル１７１０に登録する。

また、ｕｐｌｉｎｋＳＰＩ登録部１２１０は、ユーザ情報送信イベント３０１０の契約ＱｏＳ情報３０１３からｕｐｌｉｎｋＳＰＩ３４１４を読み出し、通信経路情報１７１３の方向が上りのレコードのｕｐｌｉｎｋＳＰＩ１７１５に設定する（ステップＳ１１０）。

加入者情報管理テーブル１７１０に登録したｕｐｌｉｎｋＳＰＩ登録部１２１０は、その旨を加入者情報取得部１２００に通知する。

通知を受けた加入者情報取得部１２００は、通信経路生成部１３００に、ユーザに関する情報を取得した旨を通知する。

通知を受けた通信経路生成部１３００は、通信経路を生成すべく通信経路生成イベント１０２０（図１１参照）を生成し、ユーザ端末２０００に送信する（ステップＳ１２０）。詳細には、ネットワークの接続を要求してきたユーザ端末のＩＰアドレス、すなわち、受信したネットワーク接続要求イベント２０１０のユーザ端末ＩＰアドレス２０１２宛てに送信する。

通信経路生成イベント１０２０は、具体的には、生成経路情報１０２２として、加入者情報管理テーブル１７１０のユーザ端末ＩＰアドレス１７１２が、ネットワーク接続要求イベント２０１０のユーザ端末ＩＰアドレス２０１２と一致するレコードの、通信経路情報１７１３、ＱｏＳ情報１７１４及びｕｐｉｎｋＳＰＩ１７１５を設定して生成する。

例えば、図３の加入者情報管理テーブル１７１０では、ユーザ端末ＩＰアドレス１７１２が「192.168.100.100」のユーザ端末に送信する通信経路生成イベント１０２０の生成経路情報１０２２としては、レコード番号１７１１が「１」〜「６」のレコードの通信経路情報１７１３等が設定される。すなわち、ユーザ端末ＩＰアドレス１７１２が「192.168.100.100」のユーザ端末のユーザは、３つの通信経路を契約していることになる。

この通信経路生成イベント１０２０がユーザ端末２０００に送信されることで、ユーザ端末装置２０００に対して、上り方向の暗号化ＩＰパケットに使用するＳＰＩが付与されたことになる。

通信経路生成イベント１０２０を受信したユーザ端末２０００の通信経路生成部２３００は、通信管理テーブル２４１０（図７参照）に、生成する通信経路の情報を設定する。

具体的には、受信した通信経路生成イベント１０２０の生成経路情報１０２２を、通信経路情報２４１３に設定し、ＱｏＳ情報１７１４をＱｏＳ情報２４１４に設定し、ｕｐｌｉｎｋＳＰＩ１７１５をｕｐｌｉｎｋＳＰＩ２４１５に設定する。これらは、サービス２４１４に応じて設定される。

例えば、図７の通信管理テーブル２４１０では、サービス２４１２「ＶｏＩＰ」のＱｏＳ情報２４１４として、「１２８Ｋ」が設定され、サービス２４１２「ストリーミング」のＱｏＳ情報２４１４として、「６４Ｋ〜１．５Ｍ」が設定されている。

通信管理テーブル２４１０に、生成する通信経路の情報を設定した通信経路生成部２３００は、通信管理テーブル２４１０に設定した情報を元に通信経路１０１を生成する（ステップＳ２１０、ステップＳ１３０）。

通信経路を生成した通信経路生成部２３００は、通信経路が生成された旨を制御部２１００に通知する。

通知を受けた制御部２１００は、ＩＰパケット送受信部２２００の暗号化情報交換部２２１０に暗号化情報の交換を行うよう指示する。

指示を受けた暗号化情報交換部２２１０は、サービス提供装置４０００と暗号化情報の交換を中継装置１０００を介して行う（ステップＳ２２０、ステップＳ１４０、ステップＳ４００）。

この暗号化情報の交換において、ユーザ端末２０００がサービス提供装置４０００に通知するＳＰＩは、通信管理テーブル２４１０のｕｐｌｉｎｋＳＰＩ２４１５である。すなわち、中継装置１０００を介して加入者管理装置３０００から通信経路生成イベント１０２０で通知されたＳＰＩである。

暗号情報の交換を行った暗号情報交換部２２１０は、暗号化情報を交換した結果として得られた情報を、通信管理テーブル２４１０の暗号化条件２４１６に設定する。

暗号化情報を通信管理テーブル２４１０に設定した暗号情報交換部２２１０は、その旨を制御部２１００に通知する。

通知を受けた制御部２１００は、暗号通信の準備が整ったと判断し、ユーザが指定したサービスを実行するサービスアプリケーション２９００にサービス提供装置４０００との通信開始を指示する。

指示されたサービスアプリケーション２９００は、サービス提供装置４０００との通信を開始する。一般的に通信の開始はユーザ端末装置４０００から、上りのパケットを送信して開始される。

サービスアプリケーション２９００は、通信管理テーブル２４１０のサービス２４１２がユーザに指定されたサービスであるレコードの暗号化条件１４１６を参照して、ＩＰパケットを暗号化する。更に、暗号化ＩＰパケットに、ｕｐｌｉｎｋＳＰＩ２４１５を含んだカプセル化ヘッダを付加してパケット９０３０を生成して送信する（ステップＳ２３０）。

無線通信経路に送出する際には、パケット９０３０をカプセル化したパケット９０１０を、通信経路情報２４１３のＣＩＤで示される無線通信経路に送出する。ユーザ端末２０００は、送信するパケットがどのサービスのパケットであるかを知っているため、最適なＱｏＳの経路に送出することができる。

基地局５０００では、パケット９０１０からパケット９０２０を生成し、中継装置１０００に送信する。無線通信経路から有線通信経路への接続は、ブリッジ接続のイメージの為、基地局５０００では通信経路の選択は行われない。

パケット９０３０をカプセル化したパケット９０２０を受信したＩＰパケット転送制御部１１００は、カプセル化を解除したパケット９０３０をサービス提供装置４０００に向けて送出する（ステップＳ１５０）。

このステップＳ１５０の上り転送処理において、中継装置１０００は、加入者情報管理テーブル１７１０のサービス提供装置ＩＰアドレス１７１６を設定する。この処理の詳細は、図１６を用いて後で説明する。

パケット９０３０を受信したサービス提供装置４０００は（ステップＳ４１０）、パケット９０３０のカプセル化を解除してパケット９０２０を取り出し、パケット９０２０のカプセル化ヘッダに含まれたＳＰＩから、暗号化情報を特定して復号する。復号したデータを元に、サービスを実現するための処理を行う。

次に、サービス提供装置４０００は、パケット９０３０を生成してユーザ端末２０００に向けて送信する（ステップＳ４２０）。

パケット９０３０を受信した中継装置１０００のＩＰパケット転送制御部１１００は、パケット９０３０をカプセル化したパケット９０２０をユーザ端末２０００に向けて、選択した通信経路に送出する（ステップＳ１６０）。

このステップＳ１６０の下り転送処理において、中継装置１０００は、最初の下りの転送処理で、加入者情報管理テーブル１７１０のｄｏｗｎｌｉｎｋＳＰＩ１７１７を設定する。この処理の詳細は、図１７を用いて後で説明する。

パケット９０１０を基地局５０００を介して受信したユーザ端末２０００のＩＰパケット送受信部２２００は（ステップＳ２４０）、パケット９０１０のカプセル化の解除と復号処理を行い、データをサービスアプリケーション２９００に渡す。

＜上り転送処理＞
以下、ステップＳ１５０の上り転送処理について、図１６を用いて説明する。

図１６は、中継装置１０００が行う上り転送処理を示すフローチャートである。

ユーザ端末２０００から、パケット９０３０をカプセル化したパケット９０２０を受信したＩＰパケット転送制御部１１００は（ステップＳ５００）、パケット９０３０を上り経路処理部１５００に渡して、処理を指示する。

処理を行う指示を受けた上り経路選択部１５００は、渡されたパケット９０３０の送信元ＩＰアドレス９０３４及びＳＰＩ９０３６を読み出す。

上り経路処理部１５００は、加入者情報管理テーブル１７１０を参照して、受信したパケット９０３０の送信先ＩＰアドレス９０３５が登録されているかを判断する（ステップＳ５１０）。

具体的には、加入者情報管理テーブル１７１０のユーザ端末ＩＰアドレス１７１２及びｕｐｌｉｎｋＳＰＩ１７１５が、読み出した送信元ＩＰアドレス９０３４及びＳＰＩ９０３６と一致するレコードの検索を行う。一致するレコードがある場合は登録されていると判断し、一致するレコードが無い場合は登録されていないと判断する。

登録されていない場合は（ステップＳ５１０：Ｎｏ）、パケット９０２０を破棄して転送処理を終了する（ステップＳ５５０）。

登録されていた場合は（ステップＳ５１０：Ｙｅｓ）、登録されていたレコードのサービス提供装置ＩＰアドレス１７１６にＩＰアドレスが設定されているか否かを確認する（ステップＳ５２０）。

設定されていない場合は（ステップＳ５２０：Ｎｏ）、登録されていたレコードのサービス提供装置ＩＰアドレス１７１６に、パケット９０２０の送信先ＩＰアドレス９０３５を設定する（ステップＳ５３０）。

設定されていた場合（ステップＳ５２０：Ｙｅｓ）、又は、サービス提供装置ＩＰアドレス１７１６を設定後、上り経路処理部１５００は、処理が終了した旨をＩＰパケット転送制御部１１００に通知する。

通知を受けたＩＰパケット転送制御部１１００は、カプセル化を解除したパケット９０３０を送出する（ステップＳ５４０）。

＜下り転送処理＞
以下、ステップＳ１６０の下り転送処理について、図１７を用いて説明する。

図１７は、中継装置１０００が行う下り転送処理を示すフローチャートである。

サービス提供装置４０００からパケット９０３０を受信したＩＰパケット転送制御部１１００は（ステップＳ６００）、パケット９０３０を下り経路選択部１５５０に渡して、通信経路の選択を指示する。

通信経路の選択の指示を受けた下り経路選択部１５５０は、渡されたパケット９０３０のＥＳＰヘッダ部９０３２に含まれるＳＰＩ９０３６を読み出す（ステップＳ６１０）。

下り経路選択部１５５０は、ｄｏｗｎｌｉｎｋＳＰＩテーブル１６１０のｄｏｗｎｌｉｎｋＳＰＩ１６１２が、読み出したＳＰＩ９０３６と一致するレコードがあるか検索を行う（ステップＳ６２０）。

一致するレコードがあった場合は（ステップＳ６２０：Ｙｅｓ）、通信経路を選択する。具体的には、一致するレコードの加入者テーブルレコード番号１６１３で示される番号を読み出す。加入者情報管理テーブル１７１０のレコード番号１７１１が読み出した番号と一致するレコードの、通信経路情報１７１３のＧＲＥ−ＫＥＹで示されるＧＲＥトンネルの識別子を、ＩＰパケット転送制御部１１００に返す（ステップＳ６７０）。

一致するレコードがなかった場合は（ステップＳ６２０：Ｎｏ）、ｄｏｗｎｌｉｎｋＳＰＩ登録部１４００にｄｏｗｎｌｉｎｋＳＰＩの取得と登録を依頼する。この際、渡されたパケット９０３０を渡す。

依頼を受けたｄｏｗｎｌｉｎｋＳＰＩ登録部１４００は、加入者情報管理テーブル１７１０のユーザ端末ＩＰアドレス１７１２が、渡されたパケット９０３０の送信先ＩＰアドレス９０３５、すなわち、ユーザ端末２０００のＩＰアドレスと一致するレコードがあるか検索する（ステップＳ６３０）。この際、通信経路情報１７１３の方向が「下り」のレコードのみ検索する。

一致するレコードがなかった場合は（ステップＳ６３０：Ｎｏ）、廃棄し（ステップＳ７００）、その旨を下り経路選択部１５５０を介してＩＰパケット転送制御部１１００に返す。

一致するレコードがあった場合は（ステップＳ６３０：Ｙｅｓ）、そのレコードのサービス提供装置ＩＰアドレス１７１６と、渡されたパケット９０３０の送信元ＩＰアドレス９０３４、すなわち、サービス提供装置４０００のＩＰアドレスと同じかどうかを判断する（ステップＳ６４０）。

同じでなかった場合は（ステップＳ６４０：Ｎｏ）、通信経路情報１７１３のポート番号／プロトコルが「ａｎｙ／ａｎｙ」であるデフォルトの通信経路の通信経路情報１７１３のＧＲＥ−ＫＥＹで示されるＧＲＥトンネルの識別子を、下り経路選択部１５５０を介して、ＩＰパケット転送制御部１１００に返す（ステップＳ６９０）。

同じであった場合は（ステップＳ６４０：Ｙｅｓ）、ｄｏｗｎｌｉｎｋＳＰＩテーブル１６１０に、渡されたパケット９０３０から読み出したＳＰＩ９０３６を登録する。

具体的には、渡されたパケット９０３０のＳＰＩ９０３６を、ｄｏｗｎｌｉｎｋＳＰＩテーブル１６１０のｄｏｗｎｌｉｎｋＳＰＩ１６１２に設定し、一致したレコードのレコード番号１７１１を加入者テーブルレコード番号１６１３に設定する（ステップＳ６５０）。

次に、加入者情報管理テーブル１７１０に、下りのＳＰＩを設定する。具体的には、一致したレコードのｄｏｗｎｌｉｎｋＳＰＩ１７１７に、渡されたパケット９０３０のＳＰＩ９０３６を設定する（ステップＳ６６０）。

一致したレコードのｄｏｗｎｌｉｎｋＳＰＩ１７１７にＳＰＩ９０３６を設定したｄｏｗｎｌｉｎｋＳＰＩ登録部１４００は、一致したレコードのレコード番号１７１１と登録した旨とを、下り経路選択部１５５０に返す。

登録した旨を受け取った下り経路選択部１５５０は、受け取ったレコード番号１７１１のレコードの通信経路情報１７１３のＧＲＥ−ＫＥＹで示されるＧＲＥトンネルの識別子を、ＩＰパケット転送制御部１１００に返す（ステップＳ６７０）。

ＧＲＥトンネルの識別子を、下り経路選択部１５５０から受け取ったＩＰパケット転送制御部１１００は、ＧＲＥヘッダ部９０２２のＧＲＥ−Ｋｅｙ９０２３に受け取ったＧＲＥトンネルの識別子を設定し、パケット９０３０をカプセル化したパケット９０２０を送出する（ステップＳ６８０）。

パケット９０３０を破棄した旨を受け取ったＩＰパケット転送制御部１１００は、転送処理を行わない。

＜補足＞
以上、本発明の実施形態について説明したが、本発明は上記形態に限らず、以下のようにしてもよい。
（１）実施形態では、加入者管理装置３０００から中継装置１０００にｕｐｌｉｎｋＳＰＩを通知する場合に、ユーザ情報送信イベント３０１０を送信することとしているが、詳細には、例えば、Ｍｏｂｉｌｅ ＷｉＭＡＸネットワークにおいて以下のように行う。

ユーザ端末２０００がネットワーク接続を行う場合、ＷｉＭＡＸ認証手順（Initial Network Entry Procedure）（ネットワーク接続要求イベント２０１０に相当）が行われる。

ＷｉＭＡＸ認証手順の中で中継装置１０００から加入者管理装置３０００に送信されるＲＡＤＩＵＳ−Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔ（接続認証要求イベント１０１０に相当）を契機とし、ユーザ端末２０００と加入者管理装置３０００との間でEAP認証が行われる。

加入者管理装置３０００では、ユーザ情報管理テーブル３３１０及びＱｏＳ管理テーブル３４１０から、ＲＡＤＩＵＳ−Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔに付与されているユーザ認証情報のＮＡＩ(Network Access Identifier)を元に、ユーザ端末２０００に関するＱｏＳ情報と通信経路情報であるＣｌａｓｓｉｆｙルールとｕｐｌｉｎｋＳＰＩの情報を取得した後、ＲＡＤＩＵＳ−Ａｃｃｅｓｓ−Ａｃｃｅｐｔ（ユーザ情報送信イベント３０１０に相当）に付与して中継装置１０００に通知する。

加入者管理装置３０００から取得した情報要素は、ＲＡＤＩＵＳ−Ａｃｃｅｓｓ−Ａｃｃｅｐｔに含まれる次の詳細イベントによって中継装置１０００に通知することができる。

ＱｏＳ情報はＷｉＭＡＸ Ｆｏｒｕｍで規定されているＱｏＳ−ＤｅｓｃｒＩＰｔｏｒ Ａｔｔｒｉｂｕｔｅで通知する。また、ＣｌａｓｓｉｆｙルールはＷｉＭＡＸ Ｆｏｒｕｍで規定されているＰａｃｋｅｔ Ｆｌｏｗ ＤｅｓｃｒＩＰｔｏｒ Ａｔｔｒｉｂｕｔｅで通知する。Ｃｌａｓｓｉｆｙルールの通知はＩＰＦｉｌｔｅｒＲｕｌｅ(RFC3588)に従い、ＣｌａｓｓｉｆｙルールをASCIIキャラクタにて通知を行うが、このＩＰＦｉｌｔｅｒＲｕｌｅのｏｐｔｉｏｎ部に、ＳＰＩの記載ルールを追加拡張することで、Ｃｌａｓｓｉｆｙルールに関連付けたｕｐｌｉｎｋＳＰＩを通知する。

図１８に、ｏｐｔｉｏｎ部にＳＰＩの記載ルールを追加拡張したＩＰＦｉｌｔｅｒＲｕｌｅの例を示す。
（２）実施形態では、中継装置１０００からユーザ端末２０００にｕｐｌｉｎｋＳＰＩを通知する場合に、通信経路生成イベント１０２０を送信することとしているが、詳細には、例えば、Ｍｏｂｉｌｅ ＷｉＭＡＸネットワークにおいて以下のように行う。

ユーザ端末２０００へのｕｐｌｉｎｋＳＰＩの通知は、ＷｉＭＡＸ認証手順完了後に、ＷｉＭＡＸ通信経路生成手順（Path Registration Procedure）（通信経路生成イベント１０２０に相当）のＰａｔｈ＿Ｒｅｇ＿ＲｅｑおよびＤＳＡ−ＲＥＱのメッセージを拡張することにより通知することができる。

図１９に、中継装置１０００から基地局５０００に通知される、Ｐａｔｈ＿Ｒｅｇ＿Ｒｅｑのメッセージフォーマットを示す。

基地局５０００と中継装置１０００との間のメッセージはＷｉＭＡＸ Ｆｏｒｕｍ Ｎｅｔｗｏｒｋ Ａｒｃｈｉｔｅｃｔｕｒｅ Ｓｔａｇｅ３によって規定されており、ヘッダ部とボディー部に分けられる。ボディー部はＴＬＶ形式(Ｔｙｐｅ(識別)、 Ｌｅｎｇｔｈ(長さ)、 Ｖａｌｕｅ(値))で表現される。Ｔｙｐｅ及びＬｅｎｇｔｈは固定長で、ＶａｌｕｅはＬｅｎｇｔｈが示す長さで表現される。また、ＴｙｐｅとＬｅｎｇｔｈのみを持ち、値はＳｕｂ ＴＬＶで表現するＰａｒｅｎｔ ＴＬＶも規定されている。

ＱｏＳ情報、Ｃｌａｓｓｉｆｙルール（通信経路情報）はＷｉＭＡＸ Ｆｏｒｕｍによって規定されているＳＦ Ｉｎｆｏ、ＱｏＳ Ｐａｒａｍｅｔｅｒフィールドで通知される。ｕｐｌｉｎｋＳＰＩは、ＳＦ ＩｎｆｏのＰａｃｋｅｔ Ｃｌａｓｓｉｆｉｃａｔｉｏｎ Ｒｕｌｅ ／Ｍｅｄｉａ Ｆｌｏｗ ＤｅｓｃｒＩＰｔｉｏｎのＳｕｂ ＴＬＶにＳＰＩ Ｉｎｆｏ ＴＬＶを追加して通知する。

図２０に、基地局５０００からユーザ端末２０００に通知される、ＤＳＡ−ＲＥＱのメッセージフォーマットを示す。ユーザ端末２０００と基地局５０００との間のメッセージはＩＥＥＥ８０２−１６／１６ｅによって規定されており、基地局５０００と中継装置１０００との間と同様にＴＬＶ形式で表現される。ＱｏＳ情報、Ｃｌａｓｓｉｆｙルール（通信経路情報）は、ＩＥＥＥ８０２−１６／１６ｅのＣＳ Ｓｐｅｃｉｆｉｃ Ｓｅｒｖｉｃｅ Ｆｌｏｗ に規定されているＳｅｒｖｉｃｅ Ｆｌｏｗ Ｉｄｅｎｔｉｆｉｅｒ ＴＬＶ等により通知される。ｕｐｌｉｎｋＳＰＩは、ＣＳ Ｓｐｅｃｉｆｉｃ Ｓｅｒｖｉｃｅ ＦｌｏｗにＳＰＩ Ｉｎｆｏ ＴＬＶを追加して通知する。
（３）実施形態では、加入者管理装置３０００がｕｐｌｉｎｋＳＰＩをユーザ端末２０００に付与することとしているが、他の装置が付与することとしてもよい。例えば、中継装置１０００が付与してもよく、また、ＳＰＩを管理して付与する装置を新たに設けてもよい。
（４）中継装置１０００等は、図２等の各構成要素の全部又は一部を、１チップ又は複数チップの集積回路で実現してもよい。
（５）中継装置１０００等は、図２等の各構成要素の全部又は一部を、コンピュータのプログラムで実現してもよいし、その他どのような形態で実施してもよい。

コンピュータプログラムの場合、メモリカード、ＣＤ−ＲＯＭなどいかなる記録媒体に書き込まれたものをコンピュータに読み込ませて実行させる形にしてもよいし、ネットワークを経由してプログラムをダウンロードして実行させる形にしてもよい。

１０００ 中継装置
１１００ ＩＰパケット転送制御部
１２００ 加入者情報取得部
１３００ ２３００ 通信経路生成部
１４００ ｄｏｗｎｌｉｎｋＳＰＩ登録部
１５００ 上り経路処理部
１５５０ 下り経路選択部
１６００ ｄｏｅｎｌｉｎｋＳＰＩ管理テーブル記憶部
１７００ 加入者情報管理テーブル記憶部
２０００ ユーザ端末
２１００ ３１００ 制御部
２２００ ＩＰパケット送受信部
２４００ 通信管理テーブル記憶部
２９００ サービスアプリケーション
３０００ 加入者管理装置
３２００ ユーザ情報通知部
３３００ ユーザ情報管理テーブル記憶部
３４００ 契約ＱｏＳ管理テーブル記憶部

Claims (6)

1. 第１装置と第２装置との間で、ＩＰパケットを転送する中継装置であって、
   前記ＩＰパケットは、カプセル化ヘッダを用いて、暗号化された内包パケットをカプセル化したパケットであり、
   前記第１装置が前記ＩＰパケットを生成する際に用いた暗号化に関する暗号情報と、前記第２装置への経路を示す経路情報とを対応付けて記憶する記憶手段と、
   前記第１装置から受信した前記ＩＰパケットの前記第２装置への経路として、当該ＩＰパケットのカプセル化ヘッダに含まれる暗号情報に対応する経路情報で示される経路を決定する経路決定手段と
   を備えることを特徴とする中継装置。
2. 前記中継装置は、前記第２装置に対して、当該第２装置が前記ＩＰパケットを生成する際に用いる暗号化に関する第２暗号情報を送信する送信手段を備え、
   前記第１装置から受信した前記第２装置宛のＩＰパケットのカプセル化ヘッダから、前記第１装置が当該ＩＰパケットを生成する際に用いた暗号化に関する第１暗号情報を取得する取得手段を備え、
   前記記憶手段は、取得した第１暗号情報を前記暗号情報とし、前記第２装置が前記第１装置に対して前記第２暗号情報をカプセル化ヘッダに含んだＩＰパケットを送信した通信経路と対になる通信経路を示す情報を前記第２装置への経路を示す経路情報とし、対応付けて記憶する
   請求項１記載の中継装置。
3. 前記経路決定手段が決定した前記第２装置への経路は、所定の帯域が保証された経路である
   請求項１記載の中継装置。
4. 前記ＩＰパケットのカプセル化ヘッダは、ＩＰｓｅｃ／ＥＳＰ に準拠したカプセル化ヘッダであり、
   前記暗号情報は、ＳＰＩである
   請求項１記載の中継装置。
5. 第１装置と第２装置との間で、ＩＰパケットを転送する中継装置で用いられる転送方法であって、
   前記ＩＰパケットは、カプセル化ヘッダを用いて、暗号化された内包パケットをカプセル化したパケットであり、
   前記第１装置が前記ＩＰパケットを生成する際に用いた暗号化に関する暗号情報と、前記第２装置への経路を示す経路情報とを対応付けてメモリに記憶する記憶ステップと、
   前記第１装置から受信した前記ＩＰパケットの前記第２装置への経路として、当該ＩＰパケットのカプセル化ヘッダに含まれる暗号情報に対応する経路情報で示される経路を決定する経路決定ステップと
   を備える転送方法。
6. 第１装置と第２装置との間で、中継装置に、ＩＰパケットを転送させるためのコンピュータプログラムであって、
   前記ＩＰパケットは、カプセル化ヘッダを用いて、暗号化された内包パケットをカプセル化したパケットであり、
   前記第１装置が前記ＩＰパケットを生成する際に用いた暗号化に関する暗号情報と、前記第２装置への経路を示す経路情報とを対応付けてメモリに記憶する処理を実行させ、
   前記第１装置から受信した前記ＩＰパケットの前記第２装置への経路として、当該ＩＰパケットのカプセル化ヘッダに含まれる暗号情報に対応する経路情報で示される経路を決定する処理を実行させる
   コンピュータプログラム。
   

Images