JP2013077957A - Relay device, encryption communication system, encryption communication program, and encryption communication method - Google Patents
Relay device, encryption communication system, encryption communication program, and encryption communication method Download PDFInfo
- Publication number
- JP2013077957A JP2013077957A JP2011216317A JP2011216317A JP2013077957A JP 2013077957 A JP2013077957 A JP 2013077957A JP 2011216317 A JP2011216317 A JP 2011216317A JP 2011216317 A JP2011216317 A JP 2011216317A JP 2013077957 A JP2013077957 A JP 2013077957A
- Authority
- JP
- Japan
- Prior art keywords
- router
- communication device
- address
- vpn
- communication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Small-Scale Networks (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
Description
本発明は、中継装置の処理負荷に応じて、中継装置に接続された通信装置同士に暗号化通信を実行させる中継装置、暗号化通信システム、暗号化通信プログラム、および暗号化通信方法に関するものである。 The present invention relates to a relay device, an encrypted communication system, an encrypted communication program, and an encrypted communication method that cause encrypted communication to be performed between communication devices connected to the relay device according to the processing load of the relay device. is there.
従来、インターネットまたは専用／公衆回線を介して、複数のノードの間において暗号化通信を行う技術が知られている。例えば、特許文献１に開示されている技術では、ＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｓｅｃｕｒｉｔｙ）等のプロトコルに準拠して送信側のノードにおいてパケットが暗号化され、受信側のノードで復号される。特許文献１に開示された技術では、ハブ＆スポーク型と呼ばれる形式で、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）が構築され、暗号化通信が行われる。ハブ＆スポーク型でＶＰＮが構築された場合、送信側のノードがパケットを暗号化する。送信側のルータは、暗号化されたパケットを中継ノードへ送信する。中継ノードは暗号化されたパケットを復号し、送信すべき受信側のノードを選択し、再びパケットを暗号化する。次に、中継ノードは、再び暗号化されたパケットを選択された受信側のノードに送信する。
Conventionally, a technique for performing encrypted communication between a plurality of nodes via the Internet or a dedicated / public line is known. For example, in the technique disclosed in
特許文献１に開示された技術では、送信側のノードが、送信側のノードと中継ノードとの間のトラフィック量が閾値を越えたことを検出すると、送信側のノードと受信側のノードとの間に直接ＶＰＮを構築する。
In the technique disclosed in
上述した特許文献１に記載された暗号化通信において、送信側のノードが、送信側のノードと中継ノードとの間のトラフィック量を検出するので、以下の問題が生じる可能性がある。
In the encrypted communication described in
別の送信側のノードが中継ノードに接続され、暗号化通信している場合、送信側のノードは、別の送信側のノードと中継ノードとの間のトラフィック量を検出できない。これにより、別の送信側のノードと中継ノードとの間のトラフィック量が多い場合、送信側のノードと受信側のノードとの間で直接ＶＰＮが構築されず、中継ノードを介する暗号化通信が継続される。また、中継ノードと各送信側のノードとの間のトラフィック量が閾値を超えなければ、送信側のノードと受信側のノードとの間で直接ＶＰＮが構築されず、中継ノードを介する暗号化通信が継続される。 When another transmitting node is connected to the relay node and performs encrypted communication, the transmitting node cannot detect the amount of traffic between the other transmitting node and the relay node. As a result, when there is a large amount of traffic between another transmission-side node and a relay node, a VPN is not directly constructed between the transmission-side node and the reception-side node, and encrypted communication via the relay node is not possible. Will continue. Also, if the traffic volume between the relay node and each transmission side node does not exceed the threshold, a VPN is not directly constructed between the transmission side node and the reception side node, and encrypted communication via the relay node Is continued.
送信側のノードと中継ノードとの間におけるトラフィック量が多くなると、中継ノードにおいて、送信側のノードから送信されるパケットの暗号化処理、および復号処理の処理負荷が大きくなることが考えられる。この暗号化処理、及び復号処理の処理負荷が大きくなると、受信側のノードへ送信されるべき暗号化パケットが中継ノードから遅れて送信される場合、または受信側のノードへ送信されるべき暗号化パケットが中継ノードから送信されない場合が発生する恐れがある。 If the amount of traffic between the transmission-side node and the relay node increases, it is considered that the processing load of the encryption processing and decryption processing of the packet transmitted from the transmission-side node increases in the relay node. When the processing load of the encryption process and the decryption process increases, the encryption packet to be transmitted to the receiving node is delayed from the relay node, or the encryption packet to be transmitted to the receiving node There is a possibility that the packet may not be transmitted from the relay node.
本発明は、上述した問題点を解決するためになされたものであり、受信側の通信装置への暗号化パケットの通信遅延が低減される中継装置、暗号化通信システム、暗号化通信プログラム、および暗号化通信方法を提供することを目的とする。 The present invention has been made to solve the above-described problems, and a relay device, an encrypted communication system, an encrypted communication program, and a communication device that reduce a communication delay of an encrypted packet to a communication device on the receiving side, and An object is to provide an encrypted communication method.
上記目的を達成するために、請求項１記載の本発明は、複数の通信装置と暗号化通信する中継装置であって、前記複数の通信装置のＩＰアドレスを記憶する記憶手段と、前記複数の通信装置のうちの第１通信装置との間でＶＰＮを構築する第１構築手段と、前記第１構築手段により構築されたＶＰＮを介して暗号化されたデータを受信する受信手段と、前記受信手段により受信された暗号化データを復号する復号手段と、前記復号手段により復号されたデータに指定された宛先のＩＰアドレスから前記受信手段により受信されたデータを送信する第２通信装置のＩＰアドレスを前記記憶手段から抽出する抽出手段と、前記第２通信装置との間でＶＰＮを構築する第２構築手段と、データを復号する処理、およびデータを暗号化する処理の変換処理負荷を含む処理負荷を検出する検出手段と、前記検出手段により検出された処理負荷が閾値よりも大きいか否かを判断する判断手段と、前記判断手段により処理負荷が大きいと判断された場合、前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、前記第１通信装置と前記第２通信装置との間でＶＰＮが構築される際の通信相手の認証に用いられる認証パラメータを含むＶＰＮ構築情報と、を送信する送信手段と、を備えることを特徴とするものである。
In order to achieve the above object, the present invention according to
上記目的を達成するために、請求項２記載の本発明は、請求項１に記載の中継装置において、前記送信手段は、前記第１構築手段、および前記第２構築手段の少なくとも１つの構築手段により構築されるＶＰＮを介して前記他方の通信装置のＩＰアドレスと、前記ＶＰＮ構築情報とを送信することを特徴とするものである。 In order to achieve the above object, according to a second aspect of the present invention, in the relay apparatus according to the first aspect, the transmission means is at least one construction means of the first construction means and the second construction means. The IP address of the other communication device and the VPN construction information are transmitted via the VPN constructed by the above.
上記目的を達成するために、請求項３記載の本発明は、請求項１または２に記載の中継装置であって、前記第１構築手段によりＶＰＮが構築される際、および前記第２構築手段によりＶＰＮが構築される際の通信相手の認証に用いられるパラメータと異なる前記認証パラメータを生成する生成手段を備え、前記送信手段は、前記生成手段により生成された認証パラメータを前記他方の通信装置に送信することを特徴とするものである。
To achieve the above object, the present invention according to
上記目的を達成するために、請求項４記載の本発明は、請求項１〜３のいずれかに記載の中継装置であって、前記検出手段は、前記復号する処理、および暗号化する処理に含まれるデータのうち、リアルタイム性が求められるデータの変換処理負荷を前記処理負荷の一部として検出し、前記判断手段が、処理負荷が大きいと判断すると、前記送信手段は、前記複数の通信装置のうち、リアルタイム性が求められるデータを送信、および受信する前記第１通信装置と前記第２通信装置とを抽出し、少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、前記ＶＰＮ構築情報と、を送信することを特徴とするものである。
In order to achieve the above object, the present invention according to
上記目的を達成するために、請求項５記載の本発明は、請求項１〜４のいずれかに記載の中継装置であって、前記送信手段は、前記判断手段が、処理負荷が大きいと判断した後に、前記検出手段により検出された処理負荷が閾値よりも小さくなったと判断した場合、前記第１通信装置、および前記第２通信装置に負荷軽減通知を送信することを特徴とするものである。
In order to achieve the above object, the present invention according to
上記目的を達成するために、請求項６記載の本発明は、複数の通信装置が中継装置を介して暗号化通信する暗号化通信システムであって、前記中継装置は、前記複数の通信装置のＩＰアドレスを記憶する記憶手段と、前記複数の通信装置のうちの第１通信装置との間でＶＰＮを構築する第１構築手段と、前記第１構築手段により構築されたＶＰＮを介して暗号化されたデータを受信する中継装置受信手段と、前記中継装置受信手段により受信されたデータを復号する復号手段と、前記復号手段により復号されたデータに指定された宛先のＩＰアドレスから前記中継装置受信手段により受信されたデータを送信する第２通信装置のＩＰアドレスを前記記憶手段から抽出する抽出手段と、前記第２通信装置との間でＶＰＮを構築する第２構築手段と、データを復号する処理、およびデータを暗号化する処理の変換処理負荷を含む処理負荷を検出する検出手段と、前記検出手段により検出された処理負荷が閾値よりも大きいか否かを判断する判断手段と、前記判断手段により処理負荷が大きいと判断された場合、前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、前記第１通信装置と前記第２通信装置との間でＶＰＮが構築される際の通信相手の認証に用いられる認証パラメータを含むＶＰＮ構築情報と、を送信する中継装置送信手段と、を備え、前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置は、前記他方の通信装置のＩＰアドレスと、前記ＶＰＮ構築情報と、を受信する通信装置受信手段と、前記通信装置受信手段により受信された前記他方の通信装置のＩＰアドレスで指定される通信装置と、前記認証パラメータに基づきＶＰＮを構築する通信装置構築手段と、前記通信装置構築手段により構築されたＶＰＮを介して暗号化されたデータを前記他方の通信装置に送信する通信装置送信手段と、を備えることを特徴とするものである。
In order to achieve the above object, the present invention according to
上記目的を達成するために、請求項７記載の本発明は、複数の通信装置と暗号化通信する中継装置に使用される暗号化通信方法であって、前記複数の通信装置のうちの第１通信装置との間で構築されたＶＰＮを介して暗号化されたデータを受信する受信ステップと、前記受信ステップにより受信されたデータを復号する復号ステップと、前記復号ステップにより復号されたデータに指定された宛先のＩＰアドレスから前記受信ステップにより受信されたデータを送信する第２通信装置のＩＰアドレスを、前記複数の通信装置のＩＰアドレスを記憶する記憶手段から抽出する抽出ステップと、データを復号する処理、およびデータを暗号化する処理の変換処理負荷を含む処理負荷を検出する検出ステップと、前記検出ステップにより検出された処理負荷が閾値よりも大きいか否かを判断する判断ステップと、前記判断ステップにより処理負荷が大きいと判断された場合、前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、前記第１通信装置と前記第２通信装置との間でＶＰＮが構築される際の通信相手の認証に用いられる認証パラメータを含むＶＰＮ構築情報と、を送信する送信ステップと、を備えることを特徴とする方法である。
In order to achieve the above object, the present invention according to
上記目的を達成するために、請求項８記載の本発明は、複数の通信装置と暗号化通信する中継装置を制御するコンピュータに、前記複数の通信装置のうちの第１通信装置との間でＶＰＮを構築する第１構築ステップと、前記第１構築ステップにより構築されたＶＰＮを介して暗号化されたデータを受信する受信ステップと、前記受信ステップにより受信されたデータを復号する復号ステップと、前記復号ステップにより復号されたデータに指定された宛先のＩＰアドレスから前記第１受信ステップにより受信されたデータを送信する第２通信装置のＩＰアドレスを、前記複数の通信装置のＩＰアドレスを記憶する記憶手段から抽出する抽出ステップと、データを復号する処理、およびデータを暗号化する処理の変換処理負荷を含む処理負荷を検出する検出ステップと、前記検出ステップにより検出された処理負荷が閾値よりも大きいか否かを判断する判断ステップと、前記判断ステップにより処理負荷が大きいと判断された場合、前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、前記第１通信装置と前記第２通信装置との間でＶＰＮが構築される際の通信相手の認証に用いられる認証パラメータを含むＶＰＮ構築情報と、を送信する送信ステップと、を実行させることを特徴とするプログラムである。 In order to achieve the above object, the present invention according to claim 8 is directed to a computer that controls a relay apparatus that performs encrypted communication with a plurality of communication apparatuses, between the first communication apparatus and the first communication apparatus. A first construction step for constructing a VPN; a reception step for receiving encrypted data via the VPN constructed by the first construction step; and a decryption step for decrypting the data received by the reception step; The IP address of the second communication device that transmits the data received by the first reception step from the IP address of the destination specified in the data decrypted by the decryption step, and the IP addresses of the plurality of communication devices are stored. A processing load including an extraction step of extracting from the storage means, a process of decrypting the data, and a conversion processing load of the process of encrypting the data A detection step to be issued; a determination step for determining whether or not the processing load detected by the detection step is greater than a threshold; and when the determination step determines that the processing load is large, At least one of the communication devices with the second communication device has an IP address of the other communication device and a communication partner when a VPN is constructed between the first communication device and the second communication device. This is a program characterized by executing a transmission step of transmitting VPN construction information including an authentication parameter used for authentication.
請求項１記載の中継装置によれば、判断手段により処理負荷が大きいと判断された場合、第１通信装置と第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、ＶＰＮ構築情報とが送信される。これにより、他方の通信装置のＩＰアドレス、およびＶＰＮ構築情報を受信した一方の通信装置は、中継装置を介さずに、他方の通信装置とＶＰＮを介した暗号化通信を行うことが可能である。すなわち、中継装置において、データを復号する処理、およびデータを暗号化する処理の変換処理負荷が軽減される。従って、第２通信装置へ送信されるべきデータが遅れて送信される場合、または第２通信装置へ送信されるべきデータが送信されない場合の発生頻度を低減することが出来る。
According to the relay device according to
請求項２記載の中継装置によれば、他方の通信装置のＩＰアドレスと、ＶＰＮ構築情報とが、中継装置の少なくとも１つの構築手段により構築されるＶＰＮを介して一方の通信装置に送信される。従って、他方の通信装置のＩＰアドレスと、ＶＰＮ構築情報とが、上記構築手段により構築されるＶＰＮを介さずに一方の通信装置に送信されるよりも、ＩＰアドレスと、ＶＰＮ構築情報とが、第１通信装置、第２通信装置、および中継装置以外の他の装置に漏洩することを抑えることが出来る。
According to the relay device according to
請求項３記載の中継装置によれば、第１構築手段、または第２構築手段によりＶＰＮが構築される際の通信相手の認証に用いられるパラメータと異なる認証パラメータが生成される。すなわち、認証パラメータは、中継装置で新規に生成される。第１構築手段、または第２構築手段によりＶＰＮが構築される際の通信相手の認証に用いられるパラメータと同じ認証パラメータがＶＰＮ構築情報に含まれると、第１通信装置、第２通信装置、および中継装置が同じ認証パラメータを保持することになる。認証パラメータが複数の通信装置に保持されると、通信装置と一意に認証することが出来なくなる可能性がある。これに対し、請求項３記載の中継装置は、第１構築手段、または第２構築手段によりＶＰＮが構築される際の通信相手の認証に用いられるパラメータと異なる認証パラメータが生成される。この認証パラメータは、第１通信装置、および第２通信装置に送信され、第１通信装置と前記第２通信装置との間でＶＰＮが構築される際の通信相手の認証に用いられる。よって、第１通信装置、第２通信装置、および中継装置が同じ認証パラメータで認証されることが無い。従って、各通信装置を一意に認証することが出来る。これと共に、認証パラメータが中継装置において生成されるので、認証パラメータの管理が容易になる。従って、第１通信装置と第２通信装置とがＶＰＮを構築する際の通信相手の認証の精度を高く出来ると共に、認証パラメータの管理を容易にすることが出来る。
According to the relay device of the third aspect, the authentication parameter different from the parameter used for authentication of the communication partner when the VPN is constructed by the first construction unit or the second construction unit is generated. That is, the authentication parameter is newly generated by the relay device. When the VPN construction information includes the same authentication parameter as that used for authentication of the communication partner when the VPN is constructed by the first construction means or the second construction means, the first communication device, the second communication device, and The relay device holds the same authentication parameter. If the authentication parameter is held in a plurality of communication devices, it may not be possible to uniquely authenticate with the communication device. On the other hand, the relay device according to
請求項４記載の中継装置によれば、リアルタイム性が求められるデータを送信、および受信する第１通信装置と第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスとＶＰＮ構築情報とが送信される。リアルタイム性が求められるデータは、音声通信などに使用される。このリアルタイム性が求められるデータが含まれる第１通信装置と第２通信装置との間の暗号化通信が、中継装置を介さずに実行される。従って、第２通信装置へ送信されるべきリアルタイム性が求められるデータが遅れて送信される場合、または第２通信装置へ送信されるべきリアルタイム性が求められるデータが送信されない場合の発生頻度を低減させることが出来る。
According to the relay device according to
請求項５記載の中継装置によれば、負荷軽減通知を受信した第１通信装置、および第２通信装置は、再び、中継装置を介した暗号化通信を行うことが可能である。中継装置の処理負荷が閾値を超えていないので、負荷軽減通知を受信した第１通信装置、および第２通信装置が中継装置を介して暗号化通信を行っても、第２通信装置へ送信されるべきデータが遅れて送信される場合、または第２通信装置へ送信されるべきデータが送信されない場合の発生頻度を低減することが出来る。 According to the relay device of the fifth aspect, the first communication device and the second communication device that have received the load reduction notification can perform encrypted communication again via the relay device. Since the processing load of the relay device does not exceed the threshold value, even if the first communication device and the second communication device that have received the load reduction notification perform encrypted communication via the relay device, they are transmitted to the second communication device. It is possible to reduce the frequency of occurrence when data to be transmitted is delayed or when data to be transmitted to the second communication device is not transmitted.
請求項６記載の暗号化通信システムによれば、判断手段により処理負荷が大きいと判断された場合、前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、ＶＰＮ構築情報とが送信される。いずれか一方の通信装置は、受信された他方の通信装置のＩＰアドレスで指定される通信装置と、認証パラメータに基づきＶＰＮを構築し、暗号化されたデータを構築されたＶＰＮを介して他方の通信装置に送信する。これにより、他方の通信装置のＩＰアドレス、およびＶＰＮ構築情報を受信した一方の通信装置は、中継装置を介さずに、他方の通信装置とＶＰＮを介した暗号化通信を行うことが可能である。すなわち、中継装置において、データを復号する処理、およびデータを暗号化する処理の変換処理負荷が軽減される。従って、第２通信装置へ送信されるべきデータが遅れて送信される場合、または第２通信装置へ送信されるべきデータが送信されない場合の発生頻度を低減することが出来る。
According to the encrypted communication system of
請求項７記載の暗号化通信方法によれば、判断ステップにより処理負荷が大きいと判断された場合、第１通信装置、および第２通信装置に、他方の通信装置のＩＰアドレスと、ＶＰＮ構築情報とが送信される。これにより、他方の通信装置のＩＰアドレス、およびＶＰＮ構築情報を受信した一方の通信装置は、中継装置を介さずに、他方の通信装置とＶＰＮを介した暗号化通信を行うことが可能である。すなわち、中継装置において、データを復号する処理、およびデータを暗号化する処理の変換処理負荷が軽減される。従って、第２通信装置へ送信されるべきデータが遅れて送信される場合、または第２通信装置へ送信されるべきデータが送信されない場合の発生頻度を低減することが出来る。
According to the encrypted communication method of
請求項８記載の暗号化通信プログラムによれば、判断ステップにより処理負荷が大きいと判断された場合、第１通信装置と第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、ＶＰＮ構築情報とが送信される。これにより、他方の通信装置のＩＰアドレス、およびＶＰＮ構築情報を受信した一方の通信装置は、中継装置を介さずに、他方の通信装置とＶＰＮを介した暗号化通信を行うことが可能である。すなわち、中継装置において、データを復号する処理、およびデータを暗号化する処理の変換処理負荷が軽減される。従って、第２通信装置へ送信されるべきデータが遅れて送信される場合、または第２通信装置へ送信されるべきデータが送信されない場合の発生頻度を低減することが出来る。 According to the encrypted communication program of claim 8, when it is determined in the determination step that the processing load is large, at least one of the first communication device and the second communication device is connected to the other communication device. IP address and VPN construction information are transmitted. As a result, the one communication apparatus that has received the IP address of the other communication apparatus and the VPN construction information can perform encrypted communication with the other communication apparatus via the VPN without using the relay apparatus. . That is, the conversion processing load of the process of decrypting data and the process of encrypting data is reduced in the relay device. Therefore, it is possible to reduce the occurrence frequency when data to be transmitted to the second communication device is transmitted with a delay, or when data to be transmitted to the second communication device is not transmitted.
図１を参照して本発明の一実施形態に係る暗号化通信システム１について説明する。図１は、暗号化通信ステムの概要構成を示す図である。
An
暗号化通信システム１は、ルータ２〜６と、パーソナルコンピュータ（ＰＣ）７〜１０とを備える。ＰＣ７〜１０は、ルータ２〜５とＬＡＮを介して接続する。ルータ２〜５は、ルータ６とＶＰＮを構築する。ＶＰＮは、インターネットに構成される仮想的な私設網である。すなわち、ルータ２〜６はＶＰＮゲートウェイである。ルータ２、ルータ３が、それぞれ本発明の第１通信装置、および第２通信装置の一例である。ルータ６が本発明の中継装置の一例である。
The
ルータ２〜５は、それぞれＰＣ７〜１０から送信されたパケットを暗号化する。次に、ルータ２〜５は、暗号化されたパケットをルータ６に送信する。ルータ６は、暗号化されたパケットを受信すると、この暗号化されたパケットを復号する。次に、ルータ６は、復号されたパケットをルータ２〜５に送信する。ルータ２〜５は、暗号化されたパケットを復号する。ルータ２〜５は、復号したパケットを、ＰＣ７〜１０に送信する。すなわち、ＰＣ７〜１０から送信されたパケットはルータ６を介してＰＣ７〜１０に送信される。この暗号化通信の形態はハブ＆スポーク型と呼ばれ、ルータ２〜５がスポーク、ルータ６がハブに相当する。
The
本実施形態では、例えば、インターネットに構築されるＶＰＮを介して暗号化通信が行われる際に、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）が採用される。ＩＰｓｅｃは、ネットワーク層でデータを暗号化するプロトコルである。 In this embodiment, for example, when encrypted communication is performed via a VPN constructed on the Internet, IPsec (Security Architecture for Internet Protocol) is employed. IPsec is a protocol for encrypting data in a network layer.
ＩＰｓｅｃはＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ）、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｅｄ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）などの複数のプロトコルから構成される。これらのプロトコルは公知であるので簡単に説明する。 IPsec is composed of a plurality of protocols such as AH (Authentication Header), ESP (Encapsulated Security Payload), and IKE (Internet Key Exchange). Since these protocols are known, they will be briefly described.
ＡＨは認証機能を有するセキュリティプロトコルである。ＥＳＰは、ペイロード部に対して暗号化するセキュリティプロトコルである。ＩＫＥは鍵交換を行うプロトコルである。 AH is a security protocol having an authentication function. ESP is a security protocol that encrypts the payload portion. IKE is a protocol for exchanging keys.
[ルータのハードウェア構成]
図２を参照して、ルータ２のハードウェア構成を説明する。ルータ３〜６のハードウェア構成は、ルータ２のハードウェア構成と同等であるので、説明を省略する。ルータ２は、ＣＰＵ２１、フラッシュメモリ２２、ＲＡＭ２３、ＷＡＮ側のイーサネット（登録商標）インタフェース２４、およびＬＡＮ側のイーサネット（登録商標）インタフェース２５を備える。ＣＰＵ２１、フラッシュメモリ２２、ＲＡＭ２３、ＷＡＮ側のイーサネット（登録商標）インタフェース２４、およびＬＡＮ側のイーサネット（登録商標）インタフェース２５はバスを介して接続される。フラッシュメモリ２２は、ＣＰＵ２１により処理される後述のＶＰＮ構築処理などの制御プログラムを記憶する。フラッシュメモリ２２は後述するＳＡＤ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）として、ＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）を記憶する。フラッシュメモリ２２は、ＳＰＤ（Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｄａｔａｂａｓｅ）として、ＳＰ（Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ）を記憶する。フラッシュメモリ２２が本発明の記憶手段の一例である。
[Hardware configuration of router]
The hardware configuration of the
ＲＡＭ２２は、ＣＰＵ２１が制御プログラムを実行する際の一時的なデータを記憶する。ＣＰＵ２１が本発明のコンピュータの一例である。
The
ＷＡＮ側のイーサネット（登録商標）インタフェース２４は、ＬＡＮケーブルが接続されるポートを含み、ルータ６との間でＩＰ網に構築されたＶＰＮを介して暗号化されたパケットの送受信を行う。ＬＡＮ側のイーサネット（登録商標）インタフェース２５は、ＬＡＮケーブルが接続されるポートを含み、ＬＡＮケーブルを介してＰＣ７との間で暗号化されていないパケットの送受信を行う。
The WAN-side Ethernet (registered trademark)
図３を参照して、ＳＰＤを説明する。ＳＰＤはＳＰを記憶するデータベースである。ＳＰは、暗号化通信が可能な２つのルータとの間で暗号化通信を行うか否かを示す情報である。ＳＰは、送信元アドレス、宛先アドレス、上位層プロトコル、および動作などを記憶している。送信元アドレスは、パケットの送信元のＰＣのＩＰアドレスである。宛先アドレスは、パケットの宛先のＰＣのＩＰアドレスである。上位層プロトコルは、ペイロード部を含むパケットのプロトコルである。動作は、暗号化通信を行うか否かの情報である。 The SPD will be described with reference to FIG. The SPD is a database that stores SP. SP is information indicating whether or not to perform encrypted communication with two routers capable of encrypted communication. The SP stores a source address, a destination address, an upper layer protocol, an operation, and the like. The source address is the IP address of the PC that is the source of the packet. The destination address is the IP address of the destination PC of the packet. The upper layer protocol is a packet protocol including a payload portion. The operation is information on whether or not to perform encrypted communication.
図４を参照して、ＳＡＤを説明する。ＳＡＤはＳＡを記憶するデータベースである。ＳＡは、暗号化通信を行う２つのルータとの間で確立されるコネクションである。ＳＡは、送信元アドレス、宛先アドレス、始点アドレス、終点アドレス、セキュリティプロトコル、ＳＰＩ（Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒ Ｉｎｄｅｘ）、暗号鍵、および暗号化アルゴリズムなどを記憶する。始点アドレスは、暗号化されたパケットを送信するルータのＩＰアドレスである。終点アドレスは、暗号化されたパケットが受信されるルータのＩＰアドレスである。セキュリティプロトコルとしては、ＡＨ、またはＥＳＰが指定される。ＳＰＩはＳＡを識別する情報である。暗号鍵は、２つのルータの間で暗号化通信が実行される際に、パケットの暗号化に使用される鍵である。暗号化アルゴリズムは、３ＤＥＳ−ＣＢＣ、ＤＥＳ−ＣＢＣなどのアルゴリズムである。 The SAD will be described with reference to FIG. SAD is a database that stores SA. SA is a connection established between two routers that perform encrypted communication. The SA stores a source address, a destination address, a start point address, an end point address, a security protocol, an SPI (Security Parameter Index), an encryption key, an encryption algorithm, and the like. The start point address is the IP address of the router that transmits the encrypted packet. The end point address is the IP address of the router that receives the encrypted packet. AH or ESP is designated as the security protocol. SPI is information for identifying the SA. The encryption key is a key used for packet encryption when encrypted communication is executed between two routers. The encryption algorithm is an algorithm such as 3DES-CBC or DES-CBC.
図５、および図６を参照して、ＰＣ７からＰＣ８にパケットが送信される際のシーケンスを説明する。図５、および図６において、ルータ６のＣＰＵ２１が実行する処理を、ＶＰＮ制御部が実行する処理、切替制御部が実行する処理、および負荷監視部が実行する処理として説明する。図５、および図６に示す記憶部は、ルータ６のフラッシュメモリ２２である。
A sequence when a packet is transmitted from the
［ルータ６の処理負荷が小さい場合の動作］
Ｓ１において、ルータ２のＶＰＮ制御部とルータ６のＶＰＮ制御部がＶＰＮを構築する。次に、Ｓ２においてルータ６のＶＰＮ制御部とルータ３のＶＰＮ制御部がＶＰＮを構築する。Ｓ１の処理が本発明の第１構築手段の一例である。Ｓ２が本発明の第２構築手段の一例である。
[Operation when the processing load of the
In S1, the VPN control unit of the
Ｓ１、およびＳ２におけるＶＰＮの構築について、図７、および図８を参照して説明する。図７、および図８は、ルータ２とルータ６との間にＶＰＮが構築されるＳ１の処理の一例を示す。ＶＰＮが構築されるには、暗号化通信が実行される２つのルータの間において、ＳＡが生成されなければならない。ＳＡはＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）により、動的に生成される。このＳＡの生成過程において、ルータ２のＶＰＮ制御部、およびルータ６のＶＰＮ制御部はフェーズ１とフェーズ２と呼ばれる公知の処理を実行する。フェーズ１は、メインモードとアグレッシブモードとのどちらか一方のモードにより処理される。フェーズ１、およびフェーズ２の処理の実行が完了すると、ルータ２とルータ６との間にＶＰＮが構築される。図７はメインモードでフェーズ１の処理が実行されるシーケンス図である。図８はアグレッシブモードでフェーズ１の処理が実行されるシーケンス図である。
The construction of the VPN in S1 and S2 will be described with reference to FIG. 7 and FIG. 7 and 8 show an example of the process of S1 in which a VPN is constructed between the
［メインモード］
図７に示すＳ１０１において、ルータ２は、ＩＳＡＫＭＰ ＳＡ生成要求をルータ６に送信する。このＩＳＡＫＭＰ ＳＡ生成要求は、ルータ２とルータ６との間でＩＳＡＫＭＰ ＳＡの生成を提案するパケットである。ＩＳＡＫＭＰ ＳＡは、ＩＫＥによりＳＡが自動的に生成される場合のＩＫＥの制御用チャネルである。この提案パケットをルータ６に送信すると、Ｓ１０２に処理を移行する。
[Main mode]
In S101 illustrated in FIG. 7, the
提案パケットは、ＩＳＡＫＭＰ ＳＡを確立するためのパラメータを含む。このパラメータは、暗号化アルゴリズム、ハッシュアルゴリズム、認証方式、およびＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ交換に使用されるパラメータなどである。 The proposal packet includes parameters for establishing an ISAKMP SA. This parameter includes an encryption algorithm, a hash algorithm, an authentication method, a parameter used for Diffie-Hellman exchange, and the like.
暗号化アルゴリズムは、ＩＳＡＫＭＰ ＳＡが暗号化される際のアルゴリズムである。この暗号化アルゴリズムは、３ＤＥＳ−ＣＢＣ、ＤＥＳ−ＣＢＣなどから後述するＳ１０２において１つ指定される。 The encryption algorithm is an algorithm used when ISAKMP SA is encrypted. One encryption algorithm is designated in S102, which will be described later, from 3DES-CBC, DES-CBC, and the like.
ハッシュアルゴリズムは、ＩＳＡＫＭＰ ＳＡの確立過程において認証に使用されるアルゴリズムである。このハッシュアルゴリズムはＳＨＡ−１、ＭＤ５などから１つ指定される。 The hash algorithm is an algorithm used for authentication in the establishment process of ISAKMP SA. One hash algorithm is designated from SHA-1, MD5, and the like.
認証方式は、通信先のルータを認証する際の方式である。認証方式は、ＰＳＫ（Ｐｒｅ−Ｓｈａｒｅｄ Ｋｅｙ）認証、公開鍵認証から１つ指定される。以降の記載では、ＰＳＫ認証がパラメータとして指定されたとする。 The authentication method is a method for authenticating a communication destination router. One authentication method is designated from PSK (Pre-Shared Key) authentication and public key authentication. In the following description, it is assumed that PSK authentication is designated as a parameter.
Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ交換に使用されるパラメータは、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ交換により共通鍵が生成される際に使用されるパラメータである。 The parameters used for the Diffie-Hellman exchange are parameters used when a common key is generated by the Diffie-Hellman exchange.
Ｓ１０２において、ルータ６は、受信されたＩＳＡＫＭＰ ＳＡの生成要求に含まれるパラメータの認証を行う。パラメータの認証を行うと、ＩＳＡＫＭＰ ＳＡの生成を受諾すると判断し、ＩＳＡＫＭＰ ＳＡの生成の受諾を通知するパケットをルータ２に送信する。この通知パケットをルータ２に送信すると、Ｓ１０３、およびＳ１０４に処理を移行する。
In S102, the
Ｓ１０３、およびＳ１０４において、ルータ２、およびルータ６は乱数を発生する。乱数の発生を終了すると、Ｓ１０５、およびＳ１０６に処理を移行する。
In S103 and S104, the
Ｓ１０５、およびＳ１０６において、ルータ２、およびルータ６は、発生された乱数を他方のルータ２、６に送信する。この乱数の送受信は、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ交換と呼ばれる。乱数の送信が終了すると、Ｓ１０７、およびＳ１０８に処理を移行する。
In S105 and S106, the
Ｓ１０７において、ルータ２はＳ１０３で発生した乱数と、Ｓ１０６で受信した乱数とから共通鍵を生成する。Ｓ１０８において、ルータ６はＳ１０４で発生した乱数と、Ｓ１０５で受信した乱数とから共通鍵を生成する。すなわち、ルータ２とルータ６とは、同じ共通鍵を生成する。共通鍵の生成が終了すると、Ｓ１０９に処理を移行する。
In S107, the
Ｓ１０９において、ルータ２は、ルータ２とルータ６との間で予め設定されるＰＳＫからハッシュ値を生成する。このＰＳＫは、ルータ２、およびルータ６のＩＰアドレスと対応付けてルータ２、ルータ６の記憶部に記憶される。ルータ２は、生成されたハッシュ値をルータ６に送信する。このハッシュ値は、Ｓ１０７において生成された共通鍵により暗号化されてルータ６に送信される。ハッシュ値の送信が終了すると、Ｓ１１０に処理を移行する。
In S109, the
Ｓ１１０において、ルータ６は、Ｓ１０８において生成された共通鍵を用いて、ハッシュ値を復号する。復号されたハッシュ値と、送信元のアドレスに付与されたルータ２のＩＰアドレスから、Ｓ１０１〜Ｓ１０９の処理において、通信しているルータがルータ２であることを認証する。通信しているルータがルータ２であると判断すると、Ｓ１１１に処理を移行する。すなわち、ＰＳＫはＶＰＮを構築する際の、通信相手の認証に用いられる。
In S110, the
Ｓ１１１において、ルータ６は、ルータ２とルータ６との間で予め設定されるＰＳＫからハッシュ値を生成する。このハッシュ値は、Ｓ１０８において生成された共通鍵により暗号化されてルータ６に送信される。ハッシュ値の送信が終了すると、Ｓ１１２に処理を移行する。
In S <b> 111, the
Ｓ１１２において、ルータ２は、Ｓ１０７において生成された共通鍵からハッシュ値を復号する。復号されたハッシュ値と送信元のアドレスに付与されたルータ６のＩＰアドレスとに基づき、Ｓ１０１〜Ｓ１０９の処理において、通信しているルータがルータ６であることを検証する。通信しているルータがルータ６であると判断すると、Ｓ１１３に処理を移行する。
In S112, the
Ｓ１０１〜Ｓ１１２の処理は、フェーズ１と呼ばれる。Ｓ１０１〜Ｓ１１２の処理により、ＩＳＡＫＭＰ ＳＡが確立される。以降のＳ１１３〜Ｓ１１６において、ルータ２とルータ６との間で送受信されるパケットはＩＳＡＫＭＰ ＳＡの確立過程において生成された共通鍵により暗号化される。
The processing of S101 to S112 is called
Ｓ１１３において、ルータ２は、ＩＰｓｅｃ ＳＡ生成要求をルータ６に送信する。このＩＰｓｅｃ ＳＡ生成要求は、ルータ２とルータ６との間でＩＰｓｅｃ ＳＡの生成を提案するパケットである。ルータ２は、乱数、暗号化アルゴリズム、セキュリティプロトコルを提案パケットに付与する。Ｓ１１３において、提案パケットに付与される乱数は、ルータ２、およびルータ６に接続されたＰＣとの間で通信が実行される際に、パケットの暗号化に使用される暗号鍵を生成するための乱数である。暗号化アルゴリズムは、３ＤＥＳ−ＣＢＣ、ＤＥＳ−ＣＢＣなどのアルゴリズムである。セキュリティプロトコルとしては、ＡＨ、またはＥＳＰが指定される。この提案パケットをルータ６に送信すると、Ｓ１１４に処理を移行する。
In S113, the
Ｓ１１４において、ルータ６は、ルータ２とルータ６との間でＩＰｓｅｃ ＳＡの生成を受諾すると、ルータ６は、受信した提案パケットに付与された乱数から暗号鍵を生成する。鍵の生成が終了すると、Ｓ１１５に処理を移行する。
In S114, when the
Ｓ１１５において、ルータ６は、ＩＰｓｅｃ ＳＡの生成の受諾を通知するパケットをルータ２に送信する。ルータ６はこの通知パケットに乱数を付与する。この通知パケットをルータ２に送信すると、Ｓ１１６に処理を移行する。
In S <b> 115, the
Ｓ１１６において、ルータ２は通知パケットに付与された乱数から暗号鍵を生成する。暗号鍵の生成が終了すると、ＩＰｓｅｃ ＳＡが確立されたこと通知する確立通知パケットをルータ６に送信する。
In S116, the
Ｓ１１３〜Ｓ１１６の処理は、フェーズ２と呼ばれる。ＶＰＮは、Ｓ１０１〜Ｓ１１２の処理であるフェーズ１と、Ｓ１１３〜Ｓ１１６の処理であるフェーズ２とが実行されることにより構築される。すなわち、２つのルータ間でＶＰＮが構築されるためには、ルータ２とルータ６との間でＰＳＫが設定されていなければならない。ＶＰＮが構築されると、ルータ２とルータ６との記憶部に記憶されたＳＡＤの始点アドレス、および終点アドレスと対応付けて、セキュリティプロトコル、暗号鍵、暗号化アルゴリズムが記憶される。この際、ＳＡを識別するＳＰＩがＳＡに付与される。ルータ２からルータ６へ送信される暗号化パケットのＳＡと、ルータ６からルータ２へ送信される暗号化パケットのＳＡとの２つのＳＡが作成される。
The processing of S113 to S116 is called
［アグレッシブモード］
図８を参照して、アグレッシブモードを説明する。Ｓ２０１において、ルータ２は乱数を生成する。乱数の生成が終了すると、Ｓ２０２に処理を移行する。
[Aggressive mode]
The aggressive mode will be described with reference to FIG. In S201, the
Ｓ２０２において、ルータ２は、ＩＳＡＫＭＰ ＳＡ生成要求を送信する。このＩＳＡＫＭＰ ＳＡ生成要求は、Ｓ２０１において生成された乱数を含む。ＩＳＡＫＭＰ ＳＡ生成要求を送信すると、Ｓ２０３に処理を移行する。
In S202, the
Ｓ２０３において、ルータ６は、乱数を生成する。乱数を生成すると、Ｓ２０４に処理を移行する。
In S203, the
Ｓ２０４において、ルータ６は、ＩＳＡＫＭＰ ＳＡの生成要求に含まれるパラメータを認証する。このパラメートを認証すると判断すると、ＩＳＡＫＭＰ ＳＡの生成の受諾を通知するパケットをルータ２に送信する。この通知パケットは、Ｓ２０３において生成された乱数と、ルータ２とルータ６との間で予め設定されるＰＳＫから生成されるハッシュ値とを含む。通知パケットをルータ２に送信すると、Ｓ２０５に処理を移行する。
In S204, the
Ｓ２０５において、ルータ２は、受信された通知パケットに含まれるハッシュ値と、送信元のアドレスに付与されたルータ６のＩＰアドレスとに基づき、Ｓ２０１〜Ｓ２０４の処理において、通信しているルータがルータ６であることを認証する。通信しているルータがルータ６であると判断すると、Ｓ２０６に処理を移行する。
In S205, the
Ｓ２０６において、ルータ２は、受信された通知パケットに含まれる乱数から共通鍵を生成する。共通鍵の生成が終了すると、Ｓ２０７に処理を移行する。
In S206, the
Ｓ２０７において、ルータ２は、ルータ２とルータ６との間で予め設定されるＰＳＫから生成されるハッシュ値を含む認証パケットをルータ６に送信する。認証パケットの送信が終了すると、Ｓ２０８に処理を移行する。このハッシュ値は、Ｓ２０６において生成された共通鍵により暗号化される。
In S <b> 207, the
Ｓ２０８において、ルータ６は認証パケットに含まれるハッシュ値と、送信元のアドレスに付与されたルータ２のＩＰアドレスとに基づき、Ｓ２０１〜Ｓ２０４の処理において、通信しているルータがルータ２であることを認証する。通信しているルータがルータ６であると判断すると、アグレッシブモードにおけるフェーズ１を終了し、フェーズ２の処理に移行する。
In S208, based on the hash value included in the authentication packet and the IP address of the
図５に戻り、説明を続ける。以下の記載において、パケットの内容を示す図９を参照して説明する。Ｓ３において、ルータ２のＶＰＮ制御部は、ＰＣ７から暗号化されていないパケットを受信する。このパケットは、図９（ａ）に示すように、ＰＣ８のＩＰアドレスが宛先のＩＰアドレスに指定され、ＰＣ７のＩＰアドレスが送信元のＩＰアドレスに指定されているパケットである。このパケットのペイロード部にＲＴＰ（Ｒｅａｌ−ｔｉｍｅ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）に従うデータが含まれているとして説明する。ルータ２のＶＰＮ制御部が、ＰＣ７から送信されたパケットを受信すると、Ｓ４に処理を移行する。
Returning to FIG. 5, the description will be continued. In the following description, description will be given with reference to FIG. In S <b> 3, the VPN control unit of the
Ｓ４において、ルータ２のＶＰＮ制御部は、ルータ２の記憶部に記憶されたＳＰＤを参照する。ＰＣ７から送信されたパケットの宛先ＩＰアドレス、送信元のＩＰアドレス、およびペイロード部のプロトコルに一致するＳＰがあるか否かを判断する。ＳＰがあると判断すると、そのＳＰの動作に示される通信方法で宛先のＰＣ８にパケットを送信すると判断する。ＳＰが無いと、宛先のＰＣ８にパケットを送信しないと判断する。以降の記載では、ＳＰの動作にＩＰＳｅｃが記憶されているとして、暗号化通信でパケットが送信される場合を説明する。暗号化通信でパケットを送信すると判断すると、ＳＡＤを参照する。次に、パケットに付与された宛先ＩＰアドレス、送信元のＩＰアドレス、およびペイロード部のプロトコルと一致し、始点アドレスが、ルータ２のＩＰアドレスであるＳＡから、暗号鍵、および暗号化アルゴリズムを抽出する。次に、ＰＣ７から送信されたパケットをこの暗号鍵、および暗号化アルゴリズムにより暗号化する。暗号化されたパケットに、宛先のルータのＩＰアドレス、送信元のルータのＩＰアドレス、およびＳＡに指定されたＳＰＩを付与する。宛先のルータのアドレスには、終点アドレスであるルータ６のＩＰアドレスが付与される。送信元のルータのアドレスには、始点アドレスであるルータ２のＩＰアドレスが付与される。暗号化が終了すると、Ｓ５に処理を移行する。図９（ｂ）に暗号化されたパケットを示す。終点アドレス、始点アドレス、およびＳＰＩが、この暗号化されたパケットに付与される。以降の記載において、ルータ２とルータ６との間で使用される暗号鍵、暗号化方式をそれぞれ第１暗号鍵、第１暗号化アルゴリズムとする。宛先のルータのアドレスは、予めＳＡの終点アドレスとして記憶部に記憶されている。すなわち、宛先のルータのＩＰアドレスが記憶部に記憶されていないと、そのルータと暗号化通信を行うことは出来ない。
In S <b> 4, the VPN control unit of the
Ｓ５において、ルータ２のＶＰＮ制御部は、暗号化されたパケットをルータ６のＶＰＮ制御部に送信する。この暗号化されたパケットは、Ｓ１において構築されたＶＰＮを介して、ルータ６のＶＰＮ制御部に送信される。ルータ６のＶＰＮ制御部は、ルータ２のＶＰＮ制御部から送信された暗号化パケットを受信する。ルータ６のＶＰＮ制御部が、暗号化パケットを受信すると、Ｓ６に処理を移行する。以降の記載において、暗号化されたパケットを暗号化パケットと記載する。Ｓ６に示す、ルータ６のＶＰＮ制御部の暗号化パケットを受信する処理が、本発明の受信手段の一例である。
In S <b> 5, the VPN control unit of the
Ｓ６において、ルータ２のＶＰＮ制御部から送信された暗号化パケットを受信したルータ６のＶＰＮ制御部は、暗号化パケットに付与されたＳＰＩを参照し、第１暗号鍵、および第１暗号化アルゴリズムをルータ６の記憶部に記憶されたＳＡＤから抽出する。この第１暗号鍵、および第１暗号化アルゴリズムにより、暗号化パケットを復号する。復号が終了すると、Ｓ７に処理を移行する。復号されたパケットは、図９（ａ）に示すＰＣ７から送信されたパケットと同じである。Ｓ６の処理が、本発明の復号手段の一例である。
In S6, the VPN control unit of the
Ｓ７において、ルータ６のＶＰＮ制御部は、復号されたパケットに含まれる送信元アドレス、宛先アドレス、プロトコル、およびパケットサイズをルータ６の記憶部に記憶する。この処理は、後述する。すなわち、ＰＣ７のＩＰアドレスが送信元アドレス、ＰＣ８のＩＰアドレスが宛先アドレス、ペイロード部に含まれるデータのプロトコルであるＲＴＰがプロトコル、およびペイロード部に含まれるデータのサイズがパケットサイズである。復号されたパケットに含まれる各項目をを記憶部に記憶すると、Ｓ８に処理を移行する。
In S <b> 7, the VPN control unit of the
Ｓ８において、ルータ６のＶＰＮ制御部は、ルータ６の記憶部に記憶されたＳＰＤを参照する。ＰＣ７から送信されたパケットの宛先ＩＰアドレス、送信元のＩＰアドレス、およびペイロード部のプロトコルに一致するＳＰがあるか否かを判断する。ＳＰがあると判断すると、そのＳＰの動作に示される通信方法で宛先のＰＣ８にパケットを送信すると判断する。ＳＰが無いと、宛先のＰＣ８にパケットを送信しないと判断する。暗号化通信でパケットを送信すると判断すると、ＳＡＤを参照する。次に、パケットに付与された宛先ＩＰアドレス、送信元のＩＰアドレス、およびペイロード部のプロトコルと一致し、始点アドレスが、ルータ６のＩＰアドレスであるＳＡから、暗号鍵、および暗号化アルゴリズムを抽出する。この暗号鍵、および暗号化アルゴリズムにより、ＰＣ７から送信されたパケットを暗号化する。Ｓ６において復号されたパケットに付与された宛先のＩＰアドレス、送信元のＩＰアドレス、およびペイロード部のプロトコルと一致し、始点アドレスが、ルータ６のＩＰアドレスであるＳＡから、終点アドレスに記憶されたルータのＩＰアドレスを抽出する。暗号化されたパケットに、宛先のルータのＩＰアドレス、送信元のルータのＩＰアドレス、およびＳＡに指定されたＳＰＩを付与する。宛先のルータのアドレスは、抽出された終点アドレスであるルータ３のＩＰアドレスであり、送信元のルータのアドレスは、始点アドレスであるルータ６のＩＰアドレスである。暗号化が終了すると、Ｓ９に処理を移行する。以降の記載において、ルータ６とルータ３との間で使用される暗号鍵、暗号化アルゴリズムをそれぞれ第２暗号鍵、第２暗号化アルゴリズムとする。Ｓ８の処理が、本発明の抽出手段の一例である。
In S <b> 8, the VPN control unit of the
Ｓ９において、ルータ６のＶＰＮ制御部は、暗号化パケットをルータ３のＶＰＮ制御部に送信する。暗号化パケットの送信が終了すると、Ｓ１０に処理を移行する。
In S <b> 9, the VPN control unit of the
Ｓ１０において、ルータ６のＶＰＮ制御部から送信された暗号化パケットを受信したルータ３のＶＰＮ制御部は、暗号化パケットに付与されたＳＰＩを参照し、第２暗号鍵、および第２暗号化アルゴリズムをルータ３の記憶部に記憶されたＳＡＤから抽出する。この第２暗号鍵、および第２暗号化アルゴリズムにより、暗号化パケットを復号する。復号が終了すると、Ｓ１１に処理を移行する。
In S10, the VPN control unit of the
Ｓ１１において、ルータ３のＶＰＮ制御部は、復号されたパケットのヘッダーに含まれる宛先アドレスを参照して、ＰＣ８にパケットを送信する。
In S11, the VPN control unit of the
［ルータの処理負荷が大きい場合の動作］
負荷が大きくなった場合のシーケンスを、図６を参照して説明する。Ｓ２１において、ルータ６の負荷監視部は、記憶部に記憶されているパケット量に基づき、現在の負荷を検出する。このＳ２１の負荷検出処理は、定期的に実行される。負荷検出の具体的な処理は後述する。現在の負荷を検出するとＳ２２に処理を移行する。Ｓ２１の処理が、本発明の検出手段の一例である。
[Operation when the processing load on the router is heavy]
A sequence when the load increases will be described with reference to FIG. In S21, the load monitoring unit of the
Ｓ２２において、負荷監視部は、負荷が、閾値よりも大きいか否かを判断する。この閾値は、予め設定されて、ルータ６の記憶部に記憶される。検出された負荷が閾値よりも大きいと判断した場合、Ｓ２３に処理を移行する。検出された負荷が閾値よりも小さいと判断した場合は、ハブ＆スポーク型で暗号化通信が行われる。Ｓ２２の処理が、本発明の判断手段の一例である。
In S22, the load monitoring unit determines whether the load is greater than a threshold value. This threshold value is set in advance and stored in the storage unit of the
Ｓ２３において、負荷監視部は、切替要求を切替制御部に送信する。切替要求は、ルータ６を介さずに暗号化通信する要求である。切替要求を切替制御部に送信すると、Ｓ２４に処理を移行する。
In S23, the load monitoring unit transmits a switching request to the switching control unit. The switching request is a request for encrypted communication without using the
Ｓ２４において、切替要求を受信した切替制御部は、ルータ６を介さずに暗号化通信させる切替対象をルータ６の記憶部から取得する。切替対象はルータ２〜５の何れかの２つのルータである。具体的に、送信元アドレス、宛先アドレス、始点アドレス、および終点アドレスを切替対象の情報として抽出する。具体的な切替対象の取得処理は、後述する。切替対象の抽出が終了すると、Ｓ２５に処理を移行する。以下の記載において、切替対象をルータ２、およびルータ３として説明する。また、切替対象にルータ６は含まれない。
In S <b> 24, the switching control unit that has received the switching request acquires from the storage unit of the router 6 a switching target for encrypted communication without using the
Ｓ２５において、切替制御部は、ＰＳＫを生成する。このＰＳＫは、ルータ２とルータ３との間でＶＰＮを構築する際に使用される。このＰＳＫは、Ｓ１、およびＳ２におけるＶＰＮの構築の際のＰＳＫと異なる。ＰＳＫの生成が終了すると、Ｓ２６に処理を移行する。ＰＳＫが本発明の認証パラメータの一例である。Ｓ２５の処理が、本発明の生成手段の一例である。
In S25, the switching control unit generates PSK. This PSK is used when a VPN is constructed between the
Ｓ２６において、切替制御部は、２つの接続情報パケットを生成する。接続情報パケットは、作成されたＰＳＫと、ＰＣ７のアドレス、ＰＣ８のアドレス、ルータ２、およびルータ３のＩＰアドレスとをペイロード部に含む。接続情報パケットの生成が終了すると、Ｓ２７に処理を移行する。接続情報パケットが本発明のＶＰＮ構築情報の一例である。
In S26, the switching control unit generates two connection information packets. The connection information packet includes the created PSK, the address of
Ｓ２７において、切替制御部は、２つの接続情報パケットをルータ６のＶＰＮ制御部に送信し、Ｓ２８に処理を移行する。
In S27, the switching control unit transmits two connection information packets to the VPN control unit of the
Ｓ２８において、２つの接続情報パケットを受信したルータ６のＶＰＮ制御部は、記憶部に記憶されたＳＡＤを参照し、接続情報パケットを暗号化する。一方の接続情報パケットは、第１暗号鍵、および第１暗号化アルゴリズムで暗号化される。他方の接続情報パケットは、第２暗号鍵、および第２暗号化アルゴリズムで暗号化される。接続情報パケットの暗号化が終了すると、Ｓ２９に処理を移行する。
In S28, the VPN control unit of the
Ｓ２９において、ルータ６のＶＰＮ制御部は、第１暗号鍵、および第１暗号化アルゴリズムで暗号化された接続情報パケットに、ルータ２のＩＰアドレス、およびＳＰＩを付与する。ルータ６のＶＰＮ制御部は、ルータ２のＩＰアドレス、およびＳＰＩが付与された接続情報パケットをルータ２との間に構築されたＶＰＮを介して、ルータ２のＶＰＮ制御部に送信する。ルータ６のＶＰＮ制御部は、第２暗号鍵、および第２暗号化方式で暗号化された接続情報パケットにルータ３のＩＰアドレス、およびＳＰＩを付与する。ルータ６のＶＰＮ制御部は、ルータ３のＩＰアドレス、およびＳＰＩが付与された接続情報パケットをルータ３との間に構築されたＶＰＮを介して、ルータ３のＶＰＮ制御部に送信する。接続情報パケットの送信が終了すると、Ｓ３０に処理を移行する。Ｓ２９の処理が、本発明の送信手段の一例である。
In S29, the VPN control unit of the
Ｓ３０において、暗号化された接続情報パケットを受信したルータ２、およびルータ３のＶＰＮ制御部は、暗号化された接続情報パケットに付与されたＳＰＩを参照し、第１暗号鍵、および第１暗号化アルゴリズム、または第２暗号鍵、および第２暗号化アルゴリズムを、記憶部に記憶されたＳＡから抽出する。この第１暗号鍵、および第１暗号化アルゴリズム、または第２暗号鍵、および第２暗号化アルゴリズムにより、暗号化された接続情報パケットを復号する。接続情報パケットの復号が終了すると、Ｓ３１に処理を移行する。
In S30, the VPN control unit of the
Ｓ３１において、ルータ２のＶＰＮ制御部は、復号化された接続情報パケットに含まれるＰＣ７のＩＰアドレス、ＰＣ８のＩＰアドレス、およびルータ３のＩＰアドレスに基づき、ＳＡを抽出する。具体的に、ルータ２のＶＰＮ制御部は、宛先アドレスにＰＣ７のＩＰアドレス、および送信元アドレスにＰＣ８のＩＰアドレスが含まれるＳＡと、宛先アドレスにＰＣ８のＩＰアドレス、および送信元アドレスにＰＣ７のＩＰアドレスが含まれるＳＡとを抽出する。抽出されたＳＡに切替済みフラグを付与する。次に、ルータ２のＶＰＮ制御部は、新たにＳＡを作成する。新たに作成されるＳＡの宛先アドレス、送信元アドレス、およびプロトコルは、抽出されたＳＡの宛先アドレス、送信元アドレス、およびプロトコルと同じである。新たに作成されるＳＡは終点アドレス、および始点アドレスの一方にはルータ３のＩＰアドレスが記憶され、他方には、ルータ２のＩＰアドレスが記憶される。一方、ルータ３のＶＰＮ制御部は、復号化された接続情報パケットに含まれるＰＣ７のＩＰアドレス、ＰＣ８のＩＰアドレス、およびルータ２のＩＰアドレスに基づき、ＳＡを抽出する。具体的に、ルータ３のＶＰＮ制御部は、宛先アドレスにＰＣ７のＩＰアドレス、および送信元アドレスにＰＣ８のＩＰアドレスが含まれるＳＡと、宛先アドレスにＰＣ８のＩＰアドレス、および送信元アドレスにＰＣ７のＩＰアドレスが含まれるＳＡとを抽出する。抽出されたＳＡに切替済みフラグを付与する。次に、ルータ３のＶＰＮ制御部は、新たにＳＡを作成する。新たに作成されるＳＡの宛先アドレス、送信元アドレス、およびプロトコルは、抽出されたＳＡの宛先アドレス、送信元アドレス、およびプロトコルと同じである。新たに作成されるＳＡは終点アドレス、および始点アドレスの一方にはルータ２のＩＰアドレスが記憶され、他方には、ルータ３のＩＰアドレスが記憶される。新たなＳＡの作成、および切替済みフラグの付与が終了すると、Ｓ３２に処理を移行する。
In S31, the VPN control unit of the
Ｓ３２において、ルータ２のＶＰＮ制御部は、接続情報パケットに含まれるＰＳＫを使用して、ルータ２とルータ３との間でＶＰＮを構築する。ＰＳＫは接続情報パケットに含まれ、ルータ２、およびルータ３のＩＰアドレスと対応付けて記憶部に記憶される。このＶＰＮ構築処理は、Ｓ１の処理と同様である。ＶＰＮの構築が終了すると、ルータ２、およびルータ３のＶＰＮ制御部は、ＶＰＮの構築過程において作成された暗号鍵、暗号化アルゴリズム、およびＳＰＩを、Ｓ３１において新たに作成されたＳＡに付与する。暗号鍵、暗号化アルゴリズム、およびＳＰＩの付与が終了すると、Ｓ３３に処理を移行する。以降の記載において、Ｓ３２の処理において生成された暗号鍵、および暗号化アルゴリズムを第３暗号鍵、および第３暗号化アルゴリズムとする。
In S <b> 32, the VPN control unit of the
Ｓ３３において、ルータ２のＶＰＮ制御部は、ルータ６のＶＰＮ制御部に切替完了通知を送信する。この切替完了通知は、ルータ２とルータ３との間でＶＰＮが構築されたことを示す通知である。切替完了通知を送信するとＳ３４に処理を移行する。
In S <b> 33, the VPN control unit of the
Ｓ３４において、ルータ６のＶＰＮ制御部は、切替対象を記憶部に記憶する。すなわち、接続情報パケットを送信したルータを示す情報を記憶部に記憶する。具体的には、宛先アドレス、および送信元アドレスにＰＣ７、およびＰＣ８のＩＰアドレスが記憶され、始点アドレス、または終点アドレスにルータ２、またはルータ３のＩＰアドレスが付与されているＳＡに切替済みフラグを立てる。切替済みフラグを立てると、Ｓ３５に処理を移行する。
In S34, the VPN control unit of the
Ｓ３５において、ルータ２のＶＰＮ制御部は、ＰＣ７から暗号化されていないパケットを受信する。このパケットは、図９（ａ）に示すように、ＰＣ８のＩＰアドレスが宛先アドレスに指定されているパケットである。ＰＣ７から送信されたパケットを受信すると、Ｓ３６に処理を移行する。
In S <b> 35, the VPN control unit of the
Ｓ３６において、ルータ２のＶＰＮ制御部は、宛先アドレスに指定されたＩＰアドレス、および記憶部に記憶されたＳＰＤを参照することにより、宛先のＰＣ８に暗号化通信でパケットを送信することを判断する。暗号化通信でパケットを送信することを判断すると、記憶部に記憶され、切替済みフラグが付与されていないＳＡを参照する。ＳＡは、終点アドレスがルータ３のＩＰアドレスであるので、第３暗号鍵、および第３暗号化アルゴリズムをＳＡから抽出する。次に、ＰＣ７から送信されたパケットを、第３暗号鍵、および第３暗号化アルゴリズムにより暗号化する。暗号化されたパケットのヘッダーに宛先アドレス、始点アドレス、およびＳＰＩを付与する。ルータ３のＩＰアドレスが宛先アドレスに指定され、ルータ２のＩＰアドレスが始点アドレスに指定される。暗号化が終了すると、Ｓ３７に処理を移行する。
In S36, the VPN control unit of the
Ｓ３７の処理において、ルータ２のＶＰＮ制御部は、暗号化パケットをルータ３のＶＰＮ制御部に送信する。暗号化パケットの送信が終了すると、Ｓ３８に処理を移行する。
In the process of S37, the VPN control unit of the
Ｓ３８において、ルータ３のＶＰＮ制御部は、ルータ２から送信された暗号化パケットを受信する。次に、暗号化パケットのヘッダーに付与されたＳＰＩから第３暗号鍵、および第３暗号化アルゴリズムを抽出し、暗号化パケットを復号する。復号が終了するとＳ３９に処理を移行する。
In S <b> 38, the VPN control unit of the
Ｓ３９において、ルータ３のＶＰＮ制御部は、復号されたパケットに指定された宛先ＩＰアドレスに従い、ＰＣ８にパケットを送信する。
In S39, the VPN control unit of the
［負荷検出処理］
図１０を参照して、ルータ６の負荷監視部の処理である負荷検出処理を説明する。Ｓ３０１において、タイマをゼロにセットする。タイマをゼロにセットすると、Ｓ３０２に処理を移行する。
[Load detection processing]
With reference to FIG. 10, the load detection process which is a process of the load monitoring part of the
Ｓ３０２において、図５に示すＳ６において復号されたパケットを、Ｓ６で復号された順に抽出する。復号されたパケットの抽出が終了すると、Ｓ３０３に処理を移行する。図５に示すＳ５においてルータ６に受信されたパケットは、ＣＰＵ２１により、復号される。次に、復号されたパケットは、ＣＰＵ２１により、暗号化される。ＣＰＵ２１がルータ６に受信されたパケットを復号、暗号化する変換処理が、本発明のデータを復号する処理、およびデータを暗号化する変換処理である。この変換処理によりＣＰＵ２１にかかる負担が、本発明の変換処理負荷の一例である。
In S302, the packets decoded in S6 shown in FIG. 5 are extracted in the order decoded in S6. When the extraction of the decrypted packet is completed, the process proceeds to S303. The packet received by the
Ｓ３０３において、抽出されたパケットのペイロード部に含まれるデータのプロトコルはリアルタイム性が求められるプロトコルであるか否かを判断する。リアルタイム性が求められるプロトコルは、ＲＴＰ、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）、ＲＴＳＰ（Ｒｅａｌ Ｔｉｍｅ Ｓｔｒｅａｍｉｎｇ Ｐｒｏｔｏｃｏｌ）などが挙げられる。リアルタイム性があると判断すると、Ｓ３０４に処理を移行する。リアルタイム性がないと判断すると、Ｓ３０５に処理を移行する。 In S303, it is determined whether or not the protocol of data included in the payload portion of the extracted packet is a protocol that requires real-time characteristics. Examples of protocols that require real-time performance include RTP, UDP (User Datagram Protocol), and RTSP (Real Time Streaming Protocol). If it is determined that there is real-time property, the process proceeds to S304. If it is determined that there is no real-time property, the process proceeds to S305.
Ｓ３０４において、ルータ６の記憶部に記憶されたテーブル１を選択する。図１１にテーブル１の内容を示す。図１１に示すように、テーブル１は、宛先アドレス、送信元アドレス、プロトコル、ｂｐｓ計測用フィールド、およびｂｐｓフィールドの項目を１レコードとして記憶している。テーブル１の選択が終了すると、Ｓ３０６に処理を移行する。
In S304, the table 1 stored in the storage unit of the
Ｓ３０５において、ルータ６の記憶部に記憶されたテーブル２を選択する。図１２にテーブル２の内容を示す。図１２に示すように、テーブル２は、宛先アドレス、送信元アドレス、プロトコル、ｂｐｓ計測用フィールド、およびｂｐｓフィールドの項目を１レコードとして記録している。テーブル２の選択が終了すると、Ｓ３０６に処理を移行する。
In S305, the table 2 stored in the storage unit of the
Ｓ３０６において、宛先アドレス、送信元アドレス、およびプロトコルが合致するレコードがテーブル１、またはテーブル２にあるか否かを判断する。レコードがあると判断すると、Ｓ３０７に処理を移行する。レコードがないと判断すると、Ｓ３０８に処理を移行する。 In S306, it is determined whether there is a record in Table 1 or Table 2 that matches the destination address, the source address, and the protocol. If it is determined that there is a record, the process proceeds to S307. If it is determined that there is no record, the process proceeds to S308.
Ｓ３０７において、合致したレコードのｂｐｓ計測用フィールドを更新する。具体的には、復号されたパケットのペイロード部のデータサイズをｂｐｓ計測用フィールドの値に加算する。更新が終了すると、Ｓ３０９に処理を移行する。 In S307, the bps measurement field of the matched record is updated. Specifically, the data size of the payload portion of the decoded packet is added to the value of the bps measurement field. When the update is completed, the process proceeds to S309.
Ｓ３０８において、ペイロード部に含まれるデータのプロトコルに従い、新規のレコードをテーブル１、またはテーブル２に登録する。登録が終了すると、復号パケットのペイロード部のデータサイズをｂｐｓ計測用フィールドの値に加算する。新規のレコードの登録が終了すると、Ｓ３０９に処理を移行する。 In S308, a new record is registered in Table 1 or Table 2 in accordance with the protocol of the data included in the payload portion. When registration is completed, the data size of the payload portion of the decoded packet is added to the value of the bps measurement field. When registration of a new record is completed, the process proceeds to S309.
Ｓ３０９において、タイマが１秒経過したか否かを判断する。１秒経過したと判断すると、Ｓ３１０に処理を移行する。１秒経過していないと判断すると、Ｓ３０２に処理を移行する。 In S309, it is determined whether or not the timer has elapsed for 1 second. If it is determined that one second has elapsed, the process proceeds to S310. If it is determined that one second has not elapsed, the process proceeds to S302.
Ｓ３１０において、テーブル１、およびテーブル２のｂｐｓ計測用フィールドの値を全て対応するｂｐｓフィールドに上書きする。次に、テーブルごとのｂｐｓフィールドの和を計算する。次に、テーブル１のｂｐｓフィールドの和とテーブル２のｂｐｓフィールドの和とを足し合わせ、全てのｂｐｓフィールドの和を算出する。全てのｂｐｓフィールドの和を算出すると、Ｓ３１１に処理を移行する。全てのｂｐｓフィールドの和が本発明の変換処理負荷の一例である。 In S310, all the values of the bps measurement fields in Table 1 and Table 2 are overwritten in the corresponding bps field. Next, the sum of the bps field for each table is calculated. Next, the sum of the bps fields of Table 1 and the sum of the bps fields of Table 2 are added to calculate the sum of all bps fields. When the sum of all bps fields is calculated, the process proceeds to S311. The sum of all bps fields is an example of the conversion processing load of the present invention.
Ｓ３１１において、テーブル１、およびテーブル２の全てのｂｐｓ計測用フィールドの値をゼロにする。全てのｂｐｓ計測用フィールドの値をゼロにすると、Ｓ３０１に処理を移行する。 In S311, the values of all bps measurement fields in Table 1 and Table 2 are set to zero. When all the bps measurement fields are set to zero, the process proceeds to S301.
[切替対象決定処理]
図１３を参照して、ルータ６の負荷監視部、および切替制御部の切替対象決定処理を説明する。Ｓ４０１において、トラフィックが閾値を超えているか否かを判断する。具体的には、図１０に示すＳ３１０において、算出された全てのｂｐｓフィールドの和が予め定められた、閾値を超えているか否かを判断する。閾値を超えていると判断すると、Ｓ４０２に処理を移行する。超えていないと判断すると、Ｓ４０１に処理を移行する。Ｓ４０１の処理は、図６に示すＳ２２の処理である。
[Switch target decision processing]
With reference to FIG. 13, the load monitoring unit of the
Ｓ４０２において、ルータ６の負荷監視部は切替要求を切替制御部に送信する。切替要求の送信が終了すると、Ｓ４０３に処理を移行する。Ｓ４０２の処理は、図６に示すＳ２３の処理である。
In S402, the load monitoring unit of the
Ｓ４０３において、切替制御部は、ｂｐｓフィールドがゼロで無いレコードがテーブル１にあるか否かを判断する。ｂｐｓフィールドがゼロで無いレコードがテーブル１にあると判断するとＳ４０４に処理を移行する。ｂｐｓフィールドがゼロで無いレコードがテーブル１にない、または、レコードが１つもテーブル１にないと判断すると、Ｓ４０５に処理を移行する。 In S403, the switching control unit determines whether there is a record in the table 1 in which the bps field is not zero. If it is determined that there is a record in the table 1 whose bps field is not zero, the process proceeds to S404. If it is determined that there is no record in the table 1 in which the bps field is not zero, or there is no record in the table 1, the process proceeds to S405.
Ｓ４０４において、切替制御部は、テーブル１のｂｐｓフィールドがゼロで無いレコードを抽出する。次に、抽出されたレコードの宛先アドレス、および送信元アドレスに対応するルータごとのｂｐｓフィールドの和を算出する。宛先アドレス、および送信元アドレスに対応する２つのルータがＳＡＤから抽出される。算出された和が一番大きいルータのＩＰアドレスがＳＡＤから抽出される。この２つのＩＰアドレスに対応する２つのルータを切替対象とする。切替対象のルータのＩＰアドレス、およびこのルータのＩＰアドレスとＳＡにおいて関連付けられた宛先アドレス、および送信元アドレスが、上述した接続情報パケットに含まれる。切替対象の決定が終了すると、Ｓ４０１に処理を移行する。 In S404, the switching control unit extracts a record in which the bps field of Table 1 is not zero. Next, the sum of the bps field for each router corresponding to the destination address of the extracted record and the source address is calculated. Two routers corresponding to the destination address and the source address are extracted from the SAD. The IP address of the router having the largest calculated sum is extracted from the SAD. Two routers corresponding to these two IP addresses are to be switched. The IP address of the router to be switched, the destination address associated with the IP address of this router in the SA, and the transmission source address are included in the connection information packet described above. When the determination of the switching target is completed, the process proceeds to S401.
Ｓ４０５において、切替制御部は、テーブル２の宛先アドレス、および送信元アドレスに対応するルータごとのｂｐｓフィールドの和を算出する。算出された和が一番大きい２つのルータのＩＰアドレスをＳＡＤから抽出する。この２つのルータのＩＰアドレスに対応する２つのルータを切替対象とする。切替対象のルータのＩＰアドレス、およびこのルータのＩＰアドレスとＳＡにおいて関連付けられた宛先アドレス、および送信元アドレスが、上述した接続情報パケットに含まれる。切替対象の決定が終了すると、Ｓ４０１に処理を移行する。Ｓ４０４、またはＳ４０５の処理が図６に示すＳ２４の処理である。 In S405, the switching control unit calculates the sum of the bps field for each router corresponding to the destination address and the source address in Table 2. The IP addresses of the two routers having the largest calculated sum are extracted from the SAD. Two routers corresponding to the IP addresses of the two routers are set as switching targets. The IP address of the router to be switched, the destination address associated with the IP address of this router in the SA, and the transmission source address are included in the connection information packet described above. When the determination of the switching target is completed, the process proceeds to S401. The process of S404 or S405 is the process of S24 shown in FIG.
[ルータの処理負荷が低くなったことを検出した場合の動作]
図１４を参照して、ルータ２とルータ３との間でＶＰＮが構築された状態において、ルータ６が、処理負荷が低くなったことを検出した場合を説明する。Ｓ５１において、ルータ６の負荷監視部は、記憶部に記憶されたテーブル１とテーブル２とのｂｐｓフィールドの総和が予め定められた閾値以下になったことを検出する。図１０に示すＳ３１０の処理において、ｂｐｓフィールドの総和が予め定められた閾値以下になったことを検出すると、Ｓ５２に処理を移行する。
[Operation when it is detected that the processing load on the router is low]
With reference to FIG. 14, a case will be described in which the
Ｓ５２において、ルータ６の負荷監視部は、ルータ６の切替制御部に切替要求を送信する。切替要求の送信が終了すると、Ｓ５３に処理を移行する。
In S <b> 52, the load monitoring unit of the
Ｓ５３において、ルータ６の切替制御部は、図６に示すＳ３４において、ルータ６の記憶部に記憶されたＳＡＤを参照し、切替済みフラグが立てられたＳＡを抽出する。抽出されたＳＡの始点アドレス、および終点アドレスに対応するルータを切替済み端末として抽出する。切替済み端末の抽出が終了すると、Ｓ５４に処理を移行する。以降の記載では、切替済み端末をルータ２、およびルータ３として説明する。
In S53, the switching control unit of the
Ｓ５４において、ルータ６の切替制御部は、切断情報パケットを生成する。切断情報パケットは、ペイロード部にルータ２、およびルータ３のＩＰアドレスを含む。切断情報パケットの生成が終了すると、Ｓ５５に処理を移行する。切断情報パケットが、本発明の負荷軽減通知の一例である。
In S54, the switching control unit of the
Ｓ５５において、切断情報パケットをルータ６のＶＰＮ制御部に送信する。切断情報パケットの送信が終了すると、Ｓ５６に処理を移行する。
In S55, the disconnection information packet is transmitted to the VPN control unit of the
Ｓ５６において、ルータ６のＶＰＮ制御部は、ルータ２、およびルータ３に切断情報パケットを送信する。切断情報パケットの送信が終了すると、Ｓ５７に処理を移行する。
In S <b> 56, the VPN control unit of the
Ｓ５７において、ルータ２のＶＰＮ制御部は、切断処理を実行する。ルータ２のＶＰＮ制御部は、切断情報パケットに含まれるルータ２、およびルータ３のＩＰアドレスを参照し、ＳＡの始点アドレスがルータ２のＩＰアドレス、および終点アドレスがルータ３のＩＰアドレスであるＳＡを抽出する。抽出されたＳＡをＳＡＤから削除する。次に、切替済みフラグが付与されたＳＡ、かつ始点アドレスがルータ２のＩＰアドレス、および終点アドレスがルータ６のＩＰアドレスであるＳＡを抽出する。この抽出されたＳＡに付与された切替済みフラグを削除する。Ｓ５７において、ルータ３のＶＰＮ制御部は、切断情報パケットに含まれるルータ２、およびルータ３のＩＰアドレスを参照し、ＳＡの始点アドレスがルータ３のＩＰアドレス、および終点アドレスがルータ２のＩＰアドレスであるＳＡを抽出する。抽出されたＳＡをＳＡＤから削除する。次に、切替済みフラグが付与されたＳＡ、かつ始点アドレスがルータ３のＩＰアドレス、および終点アドレスがルータ６のＩＰアドレスであるＳＡを抽出する。この抽出されたＳＡに付与された切替済みフラグを削除する。切断処理が完了すると、Ｓ５８に処理を移行する。
In S57, the VPN control unit of the
Ｓ５８において、ルータ２のＶＰＮ制御部、およびルータ３のＶＰＮ制御部は、切断完了通知をルータ６に送信する。切断完了通知は、Ｓ５７におけるＳＡの削除および切替済みフラグの削除を示す。切断完了通知の送信が終了すると、Ｓ５９に処理を移行する。
In S <b> 58, the VPN control unit of the
Ｓ５９において、ルータ６の切替制御部は、切替対象を削除する。具体的には、ルータ６のＶＰＮ制御部は、記憶部に記憶されたＳＡのうち、始点アドレス、および終点アドレスがルータ２、およびルータ３のＩＰアドレスであるＳＡに付与された切替済みフラグを削除する。
In S59, the switching control unit of the
Ｓ６０〜Ｓ６５において、ルータ２のＶＰＮ制御部は、ＰＣ７から送信されたパケットを暗号化通信でルータ３に送信する。この処理は、図５に示すＳ３〜Ｓ９の処理と同様である。Ｓ６６、およびＳ６７において、ルータ３のＶＰＮ制御部は、ルータ６から送信された暗号化パケットを復号し、復号されたパケットをＰＣ８に送信する。この処理は、図５に示すＳ１０、およびＳ１１の処理と同様である。
In S60 to S65, the VPN control unit of the
［実施形態の効果］
本実施形態のルータ６によれば、Ｓ２２において処理負荷が大きいと判断された場合、Ｓ２９においてルータ２とルータ３との少なくともいずれか一方のルータに、他方のルータのＩＰアドレスと、接続情報パケットが送信される。これにより、他方のルータのＩＰアドレス、および接続情報パケットを受信した一方のルータは、ルータ６を介さずに、他方のルータとＶＰＮを介した暗号化通信を行うことが可能である。すなわち、ルータ６において、パケットを復号する処理、およびパケットを暗号化する処理の変換処理負荷が軽減される。従って、ルータ３へ送信されるべきデータが遅れて送信される場合、またはルータ３へ送信されるべきデータが送信されない場合の発生頻度を低減することが出来る。
[Effect of the embodiment]
According to the
本実施形態のルータ６によれば、他方のルータのＩＰアドレスと、接続情報パケットとが、Ｓ１、またはＳ２により構築されるＶＰＮを介して一方のルータに送信される。従って、他方のルータのＩＰアドレスと、接続情報パケットとが、ＶＰＮを介さずに一方のルータに送信されるよりも、ＩＰアドレスと、接続情報パケットとが、ルータ２、ルータ３、およびルータ６以外の他の装置に漏洩することを抑えることが出来る。
According to the
本実施形態のルータ６によれば、Ｓ１の処理、またはＳ２の処理によりＶＰＮが構築される際の通信相手の認証に用いられるＰＳＫと異なるＰＳＫが、Ｓ２５において生成される。すなわち、認証パラメータは、ルータ６で新規に生成される。ＰＳＫが、Ｓ１の処理、またはＳ２の処理によりＶＰＮが構築される際の通信相手の認証に用いられるＰＳＫと同じＰＳＫが接続情報パケットに含まれると、ルータ２、ルータ３、およびルータ６が同じＰＳＫを保持することになる。ＰＳＫが複数のルータに保持されると、ＶＰＮを構築するルータと一意に認証することが出来なくなる可能性がある。これに対し、本実施形態のルータ６によれば、Ｓ１の処理、またはＳ２の処理によりＶＰＮが構築される際の通信相手の認証に用いられるＰＳＫと異なるＰＳＫが生成される。このＰＳＫは、ルータ２、およびルータ３に送信され、ルータ２とルータ３との間でＶＰＮが構築される際の通信相手の認証に用いられる。よって、ルータ２、ルータ３、およびルータ６が同じＰＳＫで認証されることが無い。従って、各ルータを一意に認証することが出来る。これと共に、ＰＳＫがルータ６において生成されるので、ＰＳＫの管理が容易になる。従って、ルータ２とルータ３とがＶＰＮを構築する際の通信相手の認証の精度を高く出来ると共に、ＰＳＫの管理を容易にすることが出来る。
According to the
本実施形態のルータ６によれば、リアルタイム性が求められるデータを送信、および受信するルータ２とルータ３とに、他方のルータのＩＰアドレスと接続情報パケットとが送信される。音声通信などに使用されるデータは、リアルタイム性が求められる。このリアルタイム性が求められるデータが多く含まれるルータ２とルータ３との間の暗号化通信が、ルータ６を介さずに実行される。従って、ルータ３へ送信されるべきリアルタイム性が求められるデータが遅れて送信される場合、またはルータ３へ送信されるべきリアルタイム性が求められるデータが送信されない場合の発生頻度を低減させることが出来る。
According to the
本実施形態のルータ６によれば、ルータ６は、処理負荷が、予め定められた閾値よりも小さいと判断すると、接続情報パケットを送信したルータ２、およびルータ３に切断情報パケットを送信する。切断情報パケットを受信したルータ２、およびルータ３は、再び、ルータ６を介した暗号化通信を行うことが可能である。これにより、ルータ６を介した暗号化通信を行った場合、ルータ３へ送信されるべきデータが遅れて送信される場合、またはルータ３へ送信されるべきデータが送信されない場合の発生頻度を低減することが出来る。
According to the
［変形例１］
本実施形態では、ＰＣがルータ２〜５に接続され、パケットを送信したが、ＩＰ電話機スマートフォンなどの端末装置が、ルータ２〜５に接続され、パケットを送信してもよい。また、アナログ電話などの端末装置がルータ２〜５に接続され、ルータ２〜５がアナログ電話機からの信号をデジタルデータに変換してもよい。このデジタルデータがパケットを構成する。
[Modification 1]
In the present embodiment, the PC is connected to the
［変形例２］
本実施形態では、Ｓ２５の処理においてＰＳＫが生成されたが、新たにＰＳＫを生成しなくても良い。Ｓ２６において、ルータ６の切替制御部は、ルータ２、およびルータ３のＩＰアドレス、およびＳ２の処理において、ルータ３とルータ６との認証に使用されたＰＳＫを含む接続情報パケットを生成しても良い。ＶＰＮ制御部は、Ｓ２８において、この接続情報パケットを暗号化し、ルータ２に送信する。ルータ２は、ルータ３のＩＰアドレスに基づいて、ＩＳＡＫＭＰ ＳＡ生成要求をルータ３に送信し、ルータ３とルータ６との間でＶＰＮが構築された際のＰＳＫに基づきＶＰＮを構築する。これにより、ルータ６が接続情報パケットをルータ３に送信しなくても、ルータ２とルータ３との間でＶＰＮが構築される。同様に、Ｓ２６において、ルータ６の切替制御部は、ルータ２、およびルータ３のＩＰアドレス、およびＳ１の処理において、ルータ２とルータ６との認証に使用されたＰＳＫを含む接続情報パケットを生成しても良い。ルータ６は、この接続情報パケットをルータ３にのみ送信してもよい。
[Modification 2]
In the present embodiment, PSK is generated in the processing of S25, but it is not necessary to newly generate PSK. In S26, the switching control unit of the
［変形例３］
本実施形態では、Ｓ２６において、ルータ６のＶＰＮ制御部は、ＰＣ７、ＰＣ８、ルータ２、およびルータ３のＩＰアドレス、およびＰＳＫを接続情報パケットに含んだが、これに限られない。Ｓ２５の処理において、ルータ６のＶＰＮ制御部は、暗号化アルゴリズムをＰＳＫと共に生成し、ＰＣ７、ＰＣ８、ルータ２、およびルータ３のＩＰアドレス、ＰＳＫ、暗号化アルゴリズムを接続情報パケットに含んでも良い。これにより、Ｓ３２のＶＰＮ構築の際のフェーズ２の処理において、暗号化アルゴリズムを決定する処理を省略することが出来る。同様に、接続情報パケットは、フェーズ１の処理をメインモードで実行するか、アグレッシブモードで行うかを指定するモード指定情報を含んでも良い。
[Modification 3]
In the present embodiment, in S26, the VPN control unit of the
［変形例４］
本実施形態では、接続情報パケットは、Ｓ２５において作成されたＰＳＫと、ＰＣ７、ＰＣ８、ルータ２、およびルータ３のＩＰアドレスとがペイロード部に含まれたが、これに限られない。図１３に示すＳ４０４、またはＳ４０５において、テーブル１、またはテーブル２の宛先アドレス、送信元アドレス、およびプロトコルごとのｂｐｓフィールドの和を算出する。次に、プロトコルごとの算出された和が一番大きい宛先アドレス、および送信元アドレスに対応するルータのＩＰアドレスをＳＡＤから抽出する。この２つのＩＰアドレスに対応する２つのルータを切替対象とする。この２つのルータは、ルータ２、およびルータ３であるとして、説明する。接続情報パケットは、Ｓ２５において作成されたＰＳＫと、ＰＣ７、ＰＣ８、ルータ２、およびルータ３のＩＰアドレスと、プロトコルとを含む。Ｓ３１において、ルータ２のＶＰＮ制御部は、復号化された接続情報パケットに含まれるＰＣ７のＩＰアドレス、ＰＣ８のＩＰアドレス、ルータ３のＩＰアドレス、およびプロトコルに基づき、ＳＡを抽出する。具体的に、ルータ２のＶＰＮ制御部は、宛先アドレスにＰＣ７のＩＰアドレス、送信元アドレスにＰＣ８のＩＰアドレス、および接続情報パケットに含まれるプロトコルと一致する上位層プロトコルが含まれるＳＡと、宛先アドレスにＰＣ８のＩＰアドレス、送信元アドレスにＰＣ７のＩＰアドレス、および接続情報パケットに含まれるプロトコルと一致する上位層プロトコルが含まれるＳＡとを抽出する。抽出されたＳＡに切替済みフラグを付与する。次に、ルータ２のＶＰＮ制御部は、新たにＳＡを作成する。新たに作成されるＳＡの宛先アドレス、送信元アドレス、およびプロトコルは、抽出されたＳＡの宛先アドレス、送信元アドレス、およびプロトコルと同じである。新たに作成されるＳＡは終点アドレス、および始点アドレスの一方にはルータ３のＩＰアドレスが記憶され、他方には、ルータ２のＩＰアドレスが記憶される。一方、ルータ３のＶＰＮ制御部は、復号化された接続情報パケットに含まれるＰＣ７のＩＰアドレス、ＰＣ８のＩＰアドレス、ルータ２のＩＰアドレス、およびプロトコルに基づき、ＳＡを抽出する。具体的に、ルータ３のＶＰＮ制御部は、宛先アドレスにＰＣ７のＩＰアドレス、送信元アドレスにＰＣ８のＩＰアドレス、および接続情報パケットに含まれるプロトコルと一致する上位層プロトコルが含まれるＳＡと、宛先アドレスにＰＣ８のＩＰアドレス、送信元アドレスにＰＣ７のＩＰアドレス、および接続情報パケットに含まれるプロトコルと一致する上位層プロトコルが含まれるＳＡとを抽出する。抽出されたＳＡに切替済みフラグを付与する。次に、ルータ３のＶＰＮ制御部は、新たにＳＡを作成する。新たに作成されるＳＡの宛先アドレス、送信元アドレス、およびプロトコルは、抽出されたＳＡの宛先アドレス、送信元アドレス、およびプロトコルと同じである。新たに作成されるＳＡは終点アドレス、および始点アドレスの一方にはルータ２のＩＰアドレスが記憶され、他方には、ルータ３のＩＰアドレスが記憶される。これにより、ルータ６の処理負荷が大きい場合は、ＰＣ７〜１０から送信されるパケットのペイロード部に含まれるプロトコルごとに、ルータ６を介さずに暗号化通信される。
[Modification 4]
In the present embodiment, the connection information packet includes the PSK created in S25 and the IP addresses of the
［変形例５］
本実施形態では、ルータ６の監視部が、他のルータから送信された暗号化パケットを復号し、この復号されたパケットの宛先アドレス、送信元アドレス、およびプロトコルに従い、ペイロード部のデータ量をテーブル１、またはテーブル２に記憶したが、これに限られない。ルータ６の監視部が、復号されたパケットの宛先アドレス、送信元アドレス、およびプロトコルを１つのテーブルに記憶してもよい。この場合、図１３に示すＳ４０３の処理は実行されず、１つのテーブルに記憶されたｂｐｓフィールドの一番大きい宛先アドレス、および送信元アドレスと関連付けられるＰＣ、またはルータが切替対象となる。
[Modification 5]
In the present embodiment, the monitoring unit of the
［変形例６］
本実施形態では、ＰＳＫはルータのＩＰアドレスと関連付けられて、各ルータに記憶されたが、ｆｑｄｎ（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ）など、ルータを特定する情報であればよい。メインモードでフェーズ１の処理が行われる場合は、ＰＳＫから生成されたハッシュ値は暗号化される。従って、ルータを特定する情報は、ＩＰアドレスでしかない。よって、このＩＰアドレスが動的ＩＰアドレスである場合は、認証を行うことが出来ない。すなわち、ルータのＩＰアドレスが動的ＩＰアドレスである場合は、ＩＰアドレス以外のルータを特定する情報が用いられる。ＩＰアドレス以外のルータを特定する情報として、ｆｑｄｎなどの特定情報が用いられれば良い。よって、ｆｑｄｎなどの特定情報が接続情報パケットに含められる。アグレッシブモードで認証が実行される場合は、ＩＰアドレスが動的ＩＰアドレスでもよい。アグレッシブモードで認証が実行され、ルータを特定する情報がＩＰアドレスであれば、ｆｑｄｎなどの特定情報は接続情報パケットに含められなくてよい。
[Modification 6]
In this embodiment, the PSK is associated with the IP address of the router and stored in each router. However, any information that identifies the router such as fqdn (Fully Qualified Domain Name) may be used. When the
［変形例７］
本実施形態では、Ｓ３１０において算出された全てのｂｐｓフィールドの和が、予め定められた閾値を超えているか否かを判断することにより、処理負荷が閾値よりも大きいか否かを判断したが、これに限られない。ルータ６のＣＰＵは、他のルータから送信され、ルータ６に受信されたパケットを復号、および暗号化する変換処理の他に、ルータ６に接続されるＰＣから送信されたパケットを暗号化する変換処理負荷、ルータ６に接続されるＰＣへ送信するパケットを暗号化、および復号する変換処理負荷、ルータ６に接続されるＰＣが暗号化通信されないパケットを送受信するためのルーティング処理負荷などの処理負荷の総和が予め定められた閾値を超えているか否かを判断しても良い。処理負荷の総和が本発明の処理負荷の一例である。
[Modification 7]
In the present embodiment, it is determined whether the processing load is greater than the threshold by determining whether the sum of all bps fields calculated in S310 exceeds a predetermined threshold. It is not limited to this. The CPU of the
［変形例８］
本実施形態では、ＰＳＫが用いられたが、これに限られない。Ｓ２５において、ルータ６の切替制御部は、ＰＳＫの代わりに、秘密鍵、および公開鍵を生成する。Ｓ２６において、ルータ３に送信する接続情報パケットに秘密鍵を含め、ルータ２に送信する接続情報パケットに公開鍵を含める。Ｓ３２において、ルータ２、およびルータ３のＶＰＮ制御部は、公開鍵、および秘密鍵を使用して、ＶＰＮを構築してもよい。この公開鍵、および秘密鍵が本発明の認証パラメータの一例である。
[Modification 8]
In the present embodiment, PSK is used, but the present invention is not limited to this. In S25, the switching control unit of the
１ 暗号化通信システム
２〜６ ルータ
７〜１０ ＰＣ
２１ ＣＰＵ
２２ 記憶手段
1 Encrypted communication system 2-6 Router 7-10 PC
21 CPU
22 Memory means
Claims (8)
前記複数の通信装置のＩＰアドレスを記憶する記憶手段と、
前記複数の通信装置のうちの第１通信装置との間でＶＰＮを構築する第１構築手段と、
前記第１構築手段により構築されたＶＰＮを介して暗号化されたデータを受信する受信手段と、
前記受信手段により受信された暗号化データを復号する復号手段と、
前記復号手段により復号されたデータに指定された宛先のＩＰアドレスから前記受信手段により受信されたデータを送信する第２通信装置のＩＰアドレスを前記記憶手段から抽出する抽出手段と、
前記第２通信装置との間でＶＰＮを構築する第２構築手段と、
データを復号する処理、およびデータを暗号化する処理の変換処理負荷を含む処理負荷を検出する検出手段と、
前記検出手段により検出された処理負荷が閾値よりも大きいか否かを判断する判断手段と、
前記判断手段により処理負荷が大きいと判断された場合、前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、前記第１通信装置と前記第２通信装置との間でＶＰＮが構築される際の通信相手の認証に用いられる認証パラメータを含むＶＰＮ構築情報と、を送信する送信手段と、
を備えることを特徴とする中継装置。 A relay device that performs encrypted communication with a plurality of communication devices,
Storage means for storing IP addresses of the plurality of communication devices;
First construction means for constructing a VPN with a first communication device of the plurality of communication devices;
Receiving means for receiving encrypted data via the VPN constructed by the first construction means;
Decryption means for decrypting the encrypted data received by the reception means;
Extracting means for extracting from the storage means the IP address of the second communication device that transmits the data received by the receiving means from the IP address of the destination specified in the data decoded by the decoding means;
Second construction means for constructing a VPN with the second communication device;
Detection means for detecting a processing load including a conversion processing load of a process of decrypting data and a process of encrypting data;
Determination means for determining whether the processing load detected by the detection means is greater than a threshold;
When the determination unit determines that the processing load is large, at least one of the first communication device and the second communication device includes the IP address of the other communication device and the first communication device. Transmission means for transmitting VPN construction information including authentication parameters used for authentication of a communication partner when a VPN is constructed between the second communication apparatus and the second communication device;
A relay device comprising:
を特徴とする請求項１に記載の中継装置。 The transmission means transmits the IP address of the other communication device and the VPN construction information via a VPN constructed by at least one construction means of the first construction means and the second construction means. The relay device according to claim 1.
前記送信手段は、前記生成手段により生成された認証パラメータを前記他方の通信装置に送信する
ことを特徴とする請求項１または２に記載の中継装置。 Generating means for generating the authentication parameter different from the parameter used for authentication of the communication partner when the VPN is constructed by the first construction means and when the VPN is constructed by the second construction means;
The relay device according to claim 1, wherein the transmission unit transmits the authentication parameter generated by the generation unit to the other communication device.
前記判断手段が、処理負荷が大きいと判断すると、前記送信手段は、前記複数の通信装置のうち、リアルタイム性が求められるデータを送信、および受信する前記第１通信装置と前記第２通信装置とを抽出し、少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、前記ＶＰＮ構築情報と、を送信すること
を特徴とする請求項１〜３のいずれかに記載の中継装置。 The detection means detects, as part of the processing load, a conversion processing load of data that requires real-time property among the data included in the decrypting process and the encrypting process,
When the determination unit determines that the processing load is large, the transmission unit transmits and receives data that requires real-time property among the plurality of communication devices, and the second communication device. The relay apparatus according to claim 1, wherein an IP address of the other communication apparatus and the VPN construction information are transmitted to at least one of the communication apparatuses.
を特徴とする請求項１〜４のいずれかに記載の中継装置。 When the determination unit determines that the processing load detected by the detection unit is smaller than a threshold after the determination unit determines that the processing load is large, the transmission unit and the second communication unit The relay apparatus according to claim 1, wherein a load reduction notification is transmitted to the apparatus.
前記中継装置は、
前記複数の通信装置のＩＰアドレスを記憶する記憶手段と、
前記複数の通信装置のうちの第１通信装置との間でＶＰＮを構築する第１構築手段と、
前記第１構築手段により構築されたＶＰＮを介して暗号化されたデータを受信する中継装置受信手段と、
前記中継装置受信手段により受信されたデータを復号する復号手段と
前記復号手段により復号されたデータに指定された宛先のＩＰアドレスから前記中継装置受信手段により受信されたデータを送信する第２通信装置のＩＰアドレスを前記記憶手段から抽出する抽出手段と、
前記第２通信装置との間でＶＰＮを構築する第２構築手段と、
データを復号する処理、およびデータを暗号化する処理の変換処理負荷を含む処理負荷を検出する検出手段と、
前記検出手段により検出された処理負荷が閾値よりも大きいか否かを判断する判断手段と、
前記判断手段により処理負荷が大きいと判断された場合、前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、前記第１通信装置と前記第２通信装置との間でＶＰＮが構築される際の通信相手の認証に用いられる認証パラメータを含むＶＰＮ構築情報と、を送信する中継装置送信手段と、
を備え、
前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置は、
前記他方の通信装置のＩＰアドレスと、前記ＶＰＮ構築情報と、を受信する通信装置受信手段と、
前記通信装置受信手段により受信された前記他方の通信装置のＩＰアドレスで指定される通信装置と、前記認証パラメータに基づきＶＰＮを構築する通信装置構築手段と、
前記通信装置構築手段により構築されたＶＰＮを介して暗号化されたデータを前記他方の通信装置に送信する通信装置送信手段と、
を備えることを特徴とする暗号化通信システム。 An encryption communication system in which a plurality of communication devices perform encrypted communication via a relay device,
The relay device is
Storage means for storing IP addresses of the plurality of communication devices;
First construction means for constructing a VPN with a first communication device of the plurality of communication devices;
A relay device receiving means for receiving the encrypted data via the VPN constructed by the first construction means;
Decoding means for decoding data received by the relay device receiving means; and a second communication device for transmitting data received by the relay device receiving means from an IP address of a destination designated in the data decoded by the decoding means Extracting means for extracting the IP address of the storage means from the storage means;
Second construction means for constructing a VPN with the second communication device;
Detection means for detecting a processing load including a conversion processing load of a process of decrypting data and a process of encrypting data;
Determination means for determining whether the processing load detected by the detection means is greater than a threshold;
When the determination unit determines that the processing load is large, at least one of the first communication device and the second communication device includes the IP address of the other communication device and the first communication device. And VPN construction information including an authentication parameter used for authentication of a communication partner when a VPN is constructed between the second communication device and the second communication device;
With
At least one of the first communication device and the second communication device is:
A communication device receiving means for receiving the IP address of the other communication device and the VPN construction information;
A communication device specified by the IP address of the other communication device received by the communication device reception means; a communication device construction means for constructing a VPN based on the authentication parameter;
Communication device transmission means for transmitting data encrypted via the VPN constructed by the communication device construction means to the other communication device;
An encryption communication system comprising:
前記複数の通信装置のうちの第１通信装置との間で構築されたＶＰＮを介して暗号化されたデータを受信する受信ステップと、
前記受信ステップにより受信されたデータを復号する復号ステップと、
前記復号ステップにより復号されたデータに指定された宛先のＩＰアドレスから前記受信ステップにより受信されたデータを送信する第２通信装置のＩＰアドレスを、前記複数の通信装置のＩＰアドレスを記憶する記憶手段から抽出する抽出ステップと、
データを復号する処理、およびデータを暗号化する処理の変換処理負荷を含む処理負荷を検出する検出ステップと、
前記検出ステップにより検出された処理負荷が閾値よりも大きいか否かを判断する判断ステップと、
前記判断ステップにより処理負荷が大きいと判断された場合、前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、前記第１通信装置と前記第２通信装置との間でＶＰＮが構築される際の通信相手の認証に用いられる認証パラメータを含むＶＰＮ構築情報と、を送信する送信ステップと、
を備えることを特徴とする暗号化通信方法。 An encryption communication method used for a relay device that performs encrypted communication with a plurality of communication devices,
A receiving step of receiving encrypted data via a VPN established with a first communication device of the plurality of communication devices;
A decoding step of decoding the data received by the receiving step;
Storage means for storing the IP address of the second communication device that transmits the data received by the receiving step from the IP address of the destination specified in the data decoded by the decoding step, and the IP addresses of the plurality of communication devices An extraction step to extract from,
A detection step of detecting a processing load including a conversion processing load of a process of decrypting data and a process of encrypting data;
A determination step of determining whether the processing load detected by the detection step is greater than a threshold;
If it is determined in the determination step that the processing load is large, at least one of the first communication device and the second communication device is assigned an IP address of the other communication device, and the first communication device. Transmitting VPN construction information including authentication parameters used for authentication of a communication partner when a VPN is constructed between the second communication device and the second communication device; and
An encrypted communication method comprising:
前記複数の通信装置のうちの第１通信装置との間でＶＰＮを構築する第１構築ステップと、
前記第１構築ステップにより構築されたＶＰＮを介して暗号化されたデータを受信する受信ステップと、
前記受信ステップにより受信されたデータを復号する復号ステップと、
前記復号ステップにより復号されたデータに指定された宛先のＩＰアドレスから前記第１受信ステップにより受信されたデータを送信する第２通信装置のＩＰアドレスを、前記複数の通信装置のＩＰアドレスを記憶する記憶手段から抽出する抽出ステップと、
データを復号する処理、およびデータを暗号化する処理の変換処理負荷を含む処理負荷を検出する検出ステップと、
前記検出ステップにより検出された処理負荷が閾値よりも大きいか否かを判断する判断ステップと、
前記判断ステップにより処理負荷が大きいと判断された場合、前記第１通信装置と前記第２通信装置との少なくともいずれか一方の通信装置に、他方の通信装置のＩＰアドレスと、前記第１通信装置と前記第２通信装置との間でＶＰＮが構築される際の通信相手の認証に用いられる認証パラメータを含むＶＰＮ構築情報と、を送信する送信ステップと、
を実行させることを特徴とする暗号化通信プログラム。 In a computer that controls a relay device that performs encrypted communication with a plurality of communication devices,
A first construction step of constructing a VPN with a first communication device of the plurality of communication devices;
A receiving step of receiving encrypted data via the VPN constructed by the first construction step;
A decoding step of decoding the data received by the receiving step;
The IP address of the second communication device that transmits the data received by the first reception step from the IP address of the destination specified in the data decrypted by the decryption step, and the IP addresses of the plurality of communication devices are stored. An extraction step of extracting from the storage means;
A detection step of detecting a processing load including a conversion processing load of a process of decrypting data and a process of encrypting data;
A determination step of determining whether the processing load detected by the detection step is greater than a threshold;
If it is determined in the determination step that the processing load is large, at least one of the first communication device and the second communication device is assigned an IP address of the other communication device, and the first communication device. Transmitting VPN construction information including authentication parameters used for authentication of a communication partner when a VPN is constructed between the second communication device and the second communication device; and
An encrypted communication program characterized in that
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2011216317A JP2013077957A (en) | 2011-09-30 | 2011-09-30 | Relay device, encryption communication system, encryption communication program, and encryption communication method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2011216317A JP2013077957A (en) | 2011-09-30 | 2011-09-30 | Relay device, encryption communication system, encryption communication program, and encryption communication method |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2013077957A true JP2013077957A (en) | 2013-04-25 |
Family
ID=48481125
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2011216317A Pending JP2013077957A (en) | 2011-09-30 | 2011-09-30 | Relay device, encryption communication system, encryption communication program, and encryption communication method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2013077957A (en) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2014078830A (en) * | 2012-10-10 | 2014-05-01 | Softbank Mobile Corp | Analysis device, analysis method, and analysis program |
| KR101491731B1 (en) | 2014-01-22 | 2015-02-09 | 에스케이 텔레콤주식회사 | Method and Apparatus for Improving Security of Network and Communication Relay Apparatus Thereof |
| JP2015053674A (en) * | 2013-09-06 | 2015-03-19 | 富士通株式会社 | Method for safely accessing network from personal device, personal device, network server, and access point |
| JP2015207878A (en) * | 2014-04-18 | 2015-11-19 | 富士電機株式会社 | Inter-control system communication system, and communication control method |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005260594A (en) * | 2004-03-11 | 2005-09-22 | Oki Techno Creation:Kk | Network system and communication device |
| US7366894B1 (en) * | 2002-06-25 | 2008-04-29 | Cisco Technology, Inc. | Method and apparatus for dynamically securing voice and other delay-sensitive network traffic |
| JP2011055305A (en) * | 2009-09-02 | 2011-03-17 | Nippon Telegr & Teleph Corp <Ntt> | System, method and program for setting vpn setting |
| JP2011176395A (en) * | 2010-02-23 | 2011-09-08 | Nippon Telegr & Teleph Corp <Ntt> | IPsec COMMUNICATION METHOD AND IPsec COMMUNICATION SYSTEM |
-
2011
- 2011-09-30 JP JP2011216317A patent/JP2013077957A/en active Pending
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7366894B1 (en) * | 2002-06-25 | 2008-04-29 | Cisco Technology, Inc. | Method and apparatus for dynamically securing voice and other delay-sensitive network traffic |
| JP2005260594A (en) * | 2004-03-11 | 2005-09-22 | Oki Techno Creation:Kk | Network system and communication device |
| JP2011055305A (en) * | 2009-09-02 | 2011-03-17 | Nippon Telegr & Teleph Corp <Ntt> | System, method and program for setting vpn setting |
| JP2011176395A (en) * | 2010-02-23 | 2011-09-08 | Nippon Telegr & Teleph Corp <Ntt> | IPsec COMMUNICATION METHOD AND IPsec COMMUNICATION SYSTEM |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2014078830A (en) * | 2012-10-10 | 2014-05-01 | Softbank Mobile Corp | Analysis device, analysis method, and analysis program |
| JP2015053674A (en) * | 2013-09-06 | 2015-03-19 | 富士通株式会社 | Method for safely accessing network from personal device, personal device, network server, and access point |
| KR101491731B1 (en) | 2014-01-22 | 2015-02-09 | 에스케이 텔레콤주식회사 | Method and Apparatus for Improving Security of Network and Communication Relay Apparatus Thereof |
| JP2015207878A (en) * | 2014-04-18 | 2015-11-19 | 富士電機株式会社 | Inter-control system communication system, and communication control method |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10601594B2 (en) | End-to-end service layer authentication | |
| KR101421399B1 (en) | Terminal apparatus having link layer encryption and decryption capabilities and method for processing data thereof | |
| US20170359344A1 (en) | Network-visitability detection control | |
| US20170201382A1 (en) | Secure Endpoint Devices | |
| JP5364796B2 (en) | Encryption information transmission terminal | |
| US20070022475A1 (en) | Transmission of packet data over a network with a security protocol | |
| AU2008335604B2 (en) | Method and system for secure exchange of data in a network | |
| US10419411B2 (en) | Network-visitability detection | |
| KR101485279B1 (en) | Switch equipment and data processing method for supporting link layer security transmission | |
| US9444796B2 (en) | Group member recovery techniques | |
| US20170126623A1 (en) | Protected Subnet Interconnect | |
| CN110191052B (en) | Cross-protocol network transmission method and system | |
| US10911581B2 (en) | Packet parsing method and device | |
| US20220263811A1 (en) | Methods and Systems for Internet Key Exchange Re-Authentication Optimization | |
| JP2013077957A (en) | Relay device, encryption communication system, encryption communication program, and encryption communication method | |
| US20210067956A1 (en) | Methods and apparatus for end-to-end secure communications | |
| CN110832806B (en) | ID-based data plane security for identity-oriented networks | |
| Jerschow et al. | CLL: A cryptographic link layer for local area networks | |
| KR20220148880A (en) | Inter-node privacy communication method and network node | |
| JP2008199420A (en) | Gateway device and authentication processing method | |
| WO2021032304A1 (en) | Gateway devices and methods for performing a site-to-site communication | |
| Yogender et al. | Impact of Employing Different Security Levels on QoS Parameters in Virtual Private Networks. | |
| CN111556084B (en) | Communication method, device, system, medium and electronic equipment among VPN (virtual private network) devices | |
| Premalatha et al. | A certificate based authorization and protected application layer protocol for IoT | |
| JP2013211633A (en) | Communication device, encryption communication system, encryption communication program, and encryption communication method |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20140314 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20150119 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20150128 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20150602 |