JP2017130801A

JP2017130801A - Communication device, and control method and program for communication device

Info

Publication number: JP2017130801A
Application number: JP2016009160A
Authority: JP
Inventors: 昌敬深田; Masataka Fukada
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2016-01-20
Filing date: 2016-01-20
Publication date: 2017-07-27
Anticipated expiration: 2036-01-20
Also published as: JP6752578B2

Abstract

PROBLEM TO BE SOLVED: To provide a communication device capable of communicating with other communication device simply with a desired security level.SOLUTION: A communication device transmitting a packet to other communication device has: retrieval means for retrieving a security policy SP for use in encryption or authentication of the packet from a security policy database, on the basis of multiple IP addresses owned by the communication device and multiple IP addresses owned by the other communication device; selection means for selecting a SP of highest security level; generation means for generating a packet by using the IP address of the communication device and IP addresses of the other communication device, indicated in the SP selected by the selection means; and transmission means for transmitting the packet, generated by the generation means, to the other communication device.SELECTED DRAWING: Figure 4

Description

本発明は、通信装置、通信装置の制御方法およびプログラムに関する。 The present invention relates to a communication device, a communication device control method, and a program.

近年、ネットワークを介したデータの送受信における、セキュリティ確保の必要性が高まっている。ＩＰｓｅｃは、ＩＰネットワーク上を流れるデータのセキュリティを確保するプロトコルで、ＩＰパケット単位でデータの機密性の確保や、データの完全性、送信元の認証を行うことが可能である。ＩＰｓｅｃは、ＳｅｃｕｒｉｔｙＡｒｃｈｉｔｅｃｔｕｒｅｆｏｒＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌの略である。ＩＰｓｅｃは、ＲＦＣ２４０１等で規定されている。ＲＦＣはＲｅｑｕｅｓｔＦｏｒＣｏｍｍｅｎｔｓの略である。
ＩＰｓｅｃを用いて暗号通信を行う暗号通信装置は、ＩＰパケットを送信する場合、ＩＰアドレスや通信プロトコル等により、ＳＰＤを検索しＳＰを特定する。ＳＰＤはＳｅｃｕｒｉｔｙＰｏｌｉｃｙＤａｔａｂａｓｅの略であり、ＳＰはＳｅｃｕｒｉｔｙＰｏｌｉｃｙ（セキュリティポリシー）の略である。暗号通信装置は、特定したＳＰのポリシー（設定内容）に基づいてＩＰｓｅｃ処理に必要となるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を特定する。そして、暗号通信装置は、特定したＳＡを用いて暗号・認証処理をした後にパケットを送信する。 In recent years, there is an increasing need for ensuring security in data transmission / reception via a network. IPsec is a protocol that ensures the security of data flowing on an IP network, and can ensure data confidentiality, data integrity, and source authentication in units of IP packets. IPsec is an abbreviation for Security Architecture for Internet Protocol. IPsec is defined in RFC2401 and the like. RFC is an abbreviation for Request For Comments.
When transmitting an IP packet, a cryptographic communication apparatus that performs cryptographic communication using IPsec searches for an SPD and identifies an SP by an IP address, a communication protocol, or the like. SPD is an abbreviation for Security Policy Database, and SP is an abbreviation for Security Policy. The cryptographic communication apparatus identifies SA (Security Association) required for IPsec processing based on the identified SP policy (setting contents). Then, the encryption communication device transmits the packet after performing encryption / authentication processing using the specified SA.

また、ＩＰパケットを受信する場合、暗号通信装置は、ＩＰｓｅｃパケットのヘッダ情報からＳＡＤ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎＤａｔａｂａｓｅ）を検索してＳＡを特定する。そして、暗号通信装置は、特定したＳＡを用いて暗号（復号）・認証処理を行う。その後、暗号通信装置は、暗号（復号）・認証処理の結果得られたＩＰパケットのＩＰアドレスや通信プロトコル等により、ＳＰＤを検索してＳＰを特定し、ＳＰに指定されたポリシーに従って受信処理を行う。
ＳＡを確立する方法としては、送信側と受信側において手動でＳＡの各種情報を設定する手動鍵設定方法がある。手動鍵設定方法は、鍵交換を手動で行うので手動鍵管理方式と称されることもある。また、ＳＡを確立する別の方法としては、ＩＫＥ（ＩｎｔｅｒｎｅｔＫｅｙＥｘｃｈａｎｇｅＰｒｏｔｏｃｏｌ）を用いた自動鍵交換方法がある。ＩＫＥは特にＲＦＣ２４０７〜２４０９等に規定されている。 Further, when receiving an IP packet, the cryptographic communication apparatus searches for SAD (Security Association Database) from the header information of the IPsec packet to identify the SA. Then, the encryption communication device performs encryption (decryption) / authentication processing using the specified SA. Thereafter, the encryption communication device searches the SPD by the IP address or communication protocol of the IP packet obtained as a result of the encryption (decryption) / authentication process, identifies the SP, and performs the reception process according to the policy specified by the SP. Do.
As a method for establishing the SA, there is a manual key setting method for manually setting various SA information on the transmission side and the reception side. The manual key setting method is sometimes referred to as a manual key management method because key exchange is performed manually. As another method for establishing the SA, there is an automatic key exchange method using IKE (Internet Key Exchange Protocol). IKE is specified in particular in RFC 2407 to 2409.

暗号アルゴリズムや共有鍵は、通信に先立ち交換される必要がある。また、共有鍵は、セキュリティのレベルを保つためにも、頻繁に変更する必要がある。鍵交換を手動で行う手動鍵設定方法（手動鍵管理方式）を採用すると、頻繁に鍵交換をすることになり、鍵交換に手間が掛かり過ぎる。これに対し自動鍵管理方式を採用した場合には、鍵交換を頻繁に行うとしても、鍵交換を自動で行うことができるため、手間が掛からず実用的であると言える。
ＩＰｓｅｃ通信を適用するためのルールとなるＳＰは、鍵管理・鍵設定を自動で動的に行う場合であっても、手動で静的に行う場合であっても、暗号通信装置（セキュリティ通信装置）を管理するユーザーまたはアプリケーションにより静的に設定される。 Cryptographic algorithms and shared keys need to be exchanged prior to communication. Also, the shared key needs to be changed frequently in order to maintain the security level. If a manual key setting method (manual key management method) in which key exchange is performed manually is adopted, key exchange is frequently performed, and key exchange takes too much time. On the other hand, when the automatic key management method is adopted, even if the key exchange is frequently performed, the key exchange can be performed automatically.
The SP serving as a rule for applying IPsec communication is an encryption communication device (security communication device) regardless of whether the key management / key setting is automatically performed dynamically or manually performed statically. ) Is statically set by the user or application that manages it.

一方で暗号通信装置は複数のＩＰアドレスを保持することが可能であり、特にＩＰｖ６においては暗号通信装置が複数のＩＰアドレスを保持することが一般的となっている。複数のＩＰアドレスを保持する暗号通信装置が、どのＩＰアドレスを送信元アドレスおよび宛先アドレスとして選択して通信を行うべきかの優先順位（優先度）を定めた推奨ルールが、ＲＦＣ３４８４等で規定されている。ＩＰｖ６はＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＶｅｒｓｉｏｎ６の略である。
上記の推奨ルールは、ＳＰのルールとは無関係のルールである。すなわち、ＳＰのルールに関わりなく、ＩＰアドレスが選択される。そのため、ＳＰの設定によっては、通信装置の宛先となるＩＰアドレス及び通信装置の送信元となるＩＰアドレスが異なる場合、ＳＰが適用されなくなる場合がある。また、セキュリティレベル（セキュリティ強度）の低いＳＰが適用される場合がある。つまり同一通信装置間の通信であっても使用するＩＰアドレスが異なる場合には、セキュリティレベルが異なる通信方式で通信が行われてしまう可能性がある。 On the other hand, the cryptographic communication apparatus can hold a plurality of IP addresses. In particular, in IPv6, the cryptographic communication apparatus generally holds a plurality of IP addresses. A recommended rule that defines the priority order (priority) of which IP address should be selected as a source address and a destination address by a cryptographic communication apparatus holding a plurality of IP addresses is defined in RFC3484 and the like. ing. IPv6 is an abbreviation for Internet Protocol Version 6.
The above recommended rule is a rule unrelated to the SP rule. That is, the IP address is selected regardless of the SP rule. Therefore, depending on the SP setting, when the IP address that is the destination of the communication device and the IP address that is the transmission source of the communication device are different, the SP may not be applied. Also, an SP with a low security level (security strength) may be applied. That is, even when communication is performed between the same communication apparatuses, if the IP addresses to be used are different, there is a possibility that communication is performed using communication methods with different security levels.

さらに、これらＩＰアドレスはＤＨＣＰやルータによるプレフィックス配信により、通信装置に動的に割り当てることができる。ＩＰアドレスが動的に割り当てられると、ＳＰ決定時に保持していなかったＩＰアドレスが通信時に選択される可能性がある。そのような場合には、ＩＰアドレス選択を考慮したＳＰが設定されていない限り、意図しないセキュリティレベルで通信が行われてしまう。このようにＳＰは煩雑な設定が必要であり、ユーザーには高度な知識が求められる。ＤＨＣＰは、ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌの略である。
所望のセキュリティレベルで暗号通信を行う技術の例が、特許文献１に開示されている。特許文献１では、クライアント装置からリクエストを受けたサーバ装置が、セキュリティおよび接続設定情報に適合していないアドレスを指定されて行われた通信の場合に、別のアドレスで、クライアント装置から再度リクエストさせる。 Furthermore, these IP addresses can be dynamically allocated to communication devices by prefix distribution by DHCP or router. When an IP address is dynamically assigned, there is a possibility that an IP address that was not held at the time of SP determination is selected during communication. In such a case, unless an SP that takes IP address selection into consideration is set, communication is performed at an unintended security level. As described above, the SP requires complicated settings, and the user is required to have advanced knowledge. DHCP is an abbreviation for Dynamic Host Configuration Protocol.
An example of a technique for performing encrypted communication at a desired security level is disclosed in Patent Document 1. In Patent Document 1, when a server device that has received a request from a client device performs a communication performed by specifying an address that does not conform to the security and connection setting information, the server device requests another request from the client device using another address. .

特開２００８−３１２０１６号公報JP 2008-312016 A

しかし、特許文献１に記載の手法では、アクセスを受けるサーバ装置およびアクセス要求を行うクライアント装置それぞれでの対応が求められる。そのため送信側となるクライアント装置、受信側となるサーバ装置それぞれに所定の機能を具備することが求められる。また、クライアント装置が送信した最初のリクエストはセキュリティレベルが低いものである可能性があり、再リクエストを行うまでの通信についてはセキュリティレベルが保証できないという課題があった。
上記課題を鑑み、本発明は、所望のセキュリティレベルで他の通信装置と通信を簡易に行えるようにすることを目的とする。 However, in the method described in Patent Document 1, it is necessary to deal with each of the server device that receives access and the client device that issues an access request. Therefore, it is required that each of the client device serving as the transmission side and the server device serving as the reception side has a predetermined function. In addition, there is a possibility that the initial request transmitted by the client device has a low security level, and there is a problem that the security level cannot be guaranteed for communication until a re-request is made.
In view of the above problems, an object of the present invention is to facilitate communication with another communication device at a desired security level.

上記の目的を達成する本発明の一態様に係る通信装置は、パケットを他の通信装置に送信する通信装置であって、前記通信装置が有する複数のＩＰアドレスおよび前記他の通信装置が有する複数のＩＰアドレスに基づいて、パケットの暗号化または認証に用いられる設定情報を検索する検索手段と、前記検索手段により検索された前記設定情報に示される前記通信装置のＩＰアドレスと前記他の通信装置のＩＰアドレスとを用いて、パケットを生成する生成手段と、前記生成手段により生成されたパケットを前記他の通信装置に送信する送信手段と、を有する。 A communication apparatus according to an aspect of the present invention that achieves the above object is a communication apparatus that transmits a packet to another communication apparatus, and includes a plurality of IP addresses included in the communication apparatus and a plurality included in the other communication apparatus. Search means for searching for setting information used for packet encryption or authentication based on the IP address of the communication apparatus, the IP address of the communication apparatus indicated by the setting information searched by the search means and the other communication apparatus And generating means for generating a packet using the IP address and transmitting means for transmitting the packet generated by the generating means to the other communication device.

本発明によれば、簡易に所望のセキュリティレベルで他の通信装置と通信を行うことができる。 According to the present invention, it is possible to easily communicate with another communication device at a desired security level.

本発明の実施形態に係る暗号通信装置のソフトウェア構成を示す図。The figure which shows the software structure of the encryption communication apparatus which concerns on embodiment of this invention. 図１の暗号通信装置が接続するネットワークの機器構成例を示す図。The figure which shows the apparatus structural example of the network which the encryption communication apparatus of FIG. 1 connects. 図１の暗号通信装置のＩＰｓｅｃパケット送信処理フローを示す図。The figure which shows the IPsec packet transmission processing flow of the encryption communication apparatus of FIG. 図１の暗号通信装置のＩＰアドレス決定処理フローを示す図。The figure which shows the IP address determination processing flow of the encryption communication apparatus of FIG. 図１の暗号通信装置のハードウェア構成を示す図。The figure which shows the hardware constitutions of the encryption communication apparatus of FIG.

以下、添付図面を参照して、本発明を実施するための実施形態を詳細に説明する。以下に説明する実施形態は、本発明の実現手段としての一例であり、本発明が適用される装置の構成や各種条件によって適宜修正または変更されるべきものであり、本発明は以下の実施形態に限定されるものではない。
実施形態１
（暗号通信装置の構成）
図１を参照して、実施形態１に係る暗号通信装置１０１の構成の例について説明する。
暗号通信装置１０１は、ネットワークインタフェース部１０３と、ネットワークプロトコル処理部１０４と、アプリケーション処理部１０５と、ＩＫＥ処理部１０６と、ＩＰｓｅｃ処理部１０７と、アドレス管理部１０８とを有する。ＩＰｓｅｃ処理部１０７は、ＳＰ・ＳＡテーブル管理部１０９と、ＩＰｓｅｃプロトコル処理部１１０と、暗号・認証処理部１１１とを有する。
ネットワークインタフェース部１０３は、暗号通信装置１０１とネットワーク１０２とのインタフェース部である。暗号通信装置１０１は、ネットワークインタフェース部１０３を介してネットワーク１０２に接続され、データパケットの送受信を行うことにより、ネットワーク１０２に接続される他の通信装置（通信相手装置）と通信することができる。
ネットワークプロトコル処理部１０４は、ＴＣＰ、ＵＤＰ、ＩＰ等のネットワークプロトコルを処理する。ＴＣＰは、ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌの略であり、ＵＤＰはＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌの略である。 DESCRIPTION OF EMBODIMENTS Hereinafter, embodiments for carrying out the present invention will be described in detail with reference to the accompanying drawings. The embodiment described below is an example as means for realizing the present invention, and should be appropriately modified or changed according to the configuration of the apparatus to which the present invention is applied and various conditions. The present invention is described below. It is not limited to.
Embodiment 1
(Configuration of encryption communication device)
An example of the configuration of the cryptographic communication apparatus 101 according to the first embodiment will be described with reference to FIG.
The cryptographic communication apparatus 101 includes a network interface unit 103, a network protocol processing unit 104, an application processing unit 105, an IKE processing unit 106, an IPsec processing unit 107, and an address management unit 108. The IPsec processing unit 107 includes an SP / SA table management unit 109, an IPsec protocol processing unit 110, and an encryption / authentication processing unit 111.
The network interface unit 103 is an interface unit between the cryptographic communication apparatus 101 and the network 102. The cryptographic communication device 101 is connected to the network 102 via the network interface unit 103 and can communicate with other communication devices (communication counterpart devices) connected to the network 102 by transmitting and receiving data packets.
The network protocol processing unit 104 processes network protocols such as TCP, UDP, and IP. TCP is an abbreviation for Transmission Control Protocol, and UDP is an abbreviation for User Datagram Protocol.

暗号通信装置１０１が他の通信装置からパケットを受信する場合、ネットワークプロトコル処理部１０４は、ネットワークインタフェース部１０３を介して受信したパケットにＭＡＣプロトコル処理およびＩＰプロトコル処理を行う。このパケットは、その後、ＩＰｓｅｃ処理部１０７でＩＰｓｅｃ受信処理される。ＩＰｓｅｃ処理部１０７がＩＰｓｅｃ受信処理を完了すると、当該パケットについて、再びネットワークプロトコル処理部１０４がＴＣＰ、ＵＤＰ等のプロトコル処理を行う。パケットのルーティング処理に関する情報は、アドレス管理部１０８が保持するアドレス管理テーブルに記憶されている。暗号通信装置１０１は、アドレス管理部１０８のアドレス管理テーブルを参照することで、パケットの振り分けを行う。その後、アプリケーション処理部１０５が、当該パケットについてアプリケーション処理を行う。受信したパケットがＩＫＥパケットであった場合、ＩＫＥ処理部１０６がＩＫＥ処理を行う。 When the cryptographic communication apparatus 101 receives a packet from another communication apparatus, the network protocol processing unit 104 performs MAC protocol processing and IP protocol processing on the packet received via the network interface unit 103. This packet is then subjected to IPsec reception processing by the IPsec processing unit 107. When the IPsec processing unit 107 completes the IPsec reception processing, the network protocol processing unit 104 again performs protocol processing such as TCP and UDP for the packet. Information relating to packet routing processing is stored in an address management table held by the address management unit 108. The cryptographic communication apparatus 101 sorts packets by referring to the address management table of the address management unit 108. Thereafter, the application processing unit 105 performs application processing on the packet. If the received packet is an IKE packet, the IKE processing unit 106 performs IKE processing.

暗号通信装置１０１が他の通信装置へパケットを送信する場合、アプリケーション処理部１０５（またはＩＫＥ処理部１０６）は、ネットワークプロトコル処理部１０４に送信要求を行う。当該送信要求に応じて、ネットワークプロトコル処理部１０４は、ＴＣＰ、ＵＤＰ、ＩＰ等のプロトコル処理を行う。ルーティング処理を行う際、アプリケーション処理部１０５（またはＩＫＥ処理部１０６）は、アドレス管理部１０８の保持するルーティングテーブルや近隣キャッシュを参照することでＩＰアドレスやＭＡＣアドレスを取得する。その後、暗号通信装置１０１は、ＩＰｓｅｃ処理部１０７でＩＰｓｅｃ処理を行い、ネットワーク処理部１０４でＩＰプロトコル処理およびＭＡＣプロトコル処理を行い、ネットワークインタフェース部１０３を介して暗号化したパケットを他の通信装置に送信する。 When the cryptographic communication device 101 transmits a packet to another communication device, the application processing unit 105 (or IKE processing unit 106) makes a transmission request to the network protocol processing unit 104. In response to the transmission request, the network protocol processing unit 104 performs protocol processing such as TCP, UDP, and IP. When performing the routing process, the application processing unit 105 (or the IKE processing unit 106) acquires an IP address and a MAC address by referring to the routing table and the neighborhood cache held by the address management unit 108. Thereafter, the cryptographic communication device 101 performs IPsec processing in the IPsec processing unit 107, performs IP protocol processing and MAC protocol processing in the network processing unit 104, and transmits the encrypted packet to another communication device through the network interface unit 103. Send.

ＩＰｓｅｃプロトコル処理部１１０は、パケットの送受信におけるＩＰｓｅｃプロトコル処理を行い、ＥＳＰ、ＡＨといったＩＰｓｅｃプロトコル処理を行う。また、ＩＰｓｅｃプロトコル処理部１１０は、送受信パケットのポリシーを特定するためＳＰ・ＳＡテーブル管理部１０９に登録されたＳＰの検索要求を行う。ＩＰｓｅｃプロトコル処理部１１０は、暗号・認証処理で必要となるＳＡを特定するためＳＰ・ＳＡテーブル管理部１０９に登録されたＳＡの検索要求も行う。ＩＰｓｅｃプロトコル処理部１１０は、バイト数による有効期限のカウントを行い、有効期限カウントの更新等も行う。ＥＳＰはＥｎｃａｐｓｕｌａｔｅｄＳｅｃｕｒｉｔｙＰａｙｌｏａｄの略であり、ＡＨはＡｕｔｈｅｎｔｉｃａｔｉｏｎＨｅａｄｅｒの略である。 The IPsec protocol processing unit 110 performs IPsec protocol processing in packet transmission / reception, and performs IPsec protocol processing such as ESP and AH. In addition, the IPsec protocol processing unit 110 makes a search request for the SP registered in the SP / SA table management unit 109 in order to specify the policy of the transmission / reception packet. The IPsec protocol processing unit 110 also makes a search request for the SA registered in the SP / SA table management unit 109 in order to specify the SA required for the encryption / authentication process. The IPsec protocol processing unit 110 counts the expiration date based on the number of bytes, and updates the expiration date count. ESP is an abbreviation for Encapsulated Security Payload, and AH is an abbreviation for Authentication Header.

暗号・認証処理部１１１は、ＳＡの暗号化アルゴリズム、暗号鍵、認証アルゴリズム、認証鍵等に基づいて暗号・認証処理を行う。ＳＰ・ＳＡテーブル管理部１０９は、ＩＫＥ処理部からのＳＰおよびＳＡの登録、更新、削除および参照処理を行う。またパケット送信時、ＩＰｓｅｃプロトコル処理部１１０およびアドレス管理部１０８がＳＡ検索要求を行った結果、該当するＳＡがなかった場合は、ＳＰ・ＳＡテーブル管理部１０９は、ＩＫＥ処理部１０６に対してＳＡ折衝の通知を行う。また、ＳＰ・ＳＡテーブル管理部１０９は、ソフト有効期限切れを検知してＳＡ折衝要求をＩＫＥ処理部１０６に対して行う。ＳＰ・ＳＡテーブル管理部１０９は、指定された時間が経過した際のＳＡの有効期限管理も行う。 The encryption / authentication processing unit 111 performs encryption / authentication processing based on the SA encryption algorithm, encryption key, authentication algorithm, authentication key, and the like. The SP / SA table management unit 109 performs SP, SA registration, update, deletion, and reference processing from the IKE processing unit. When the packet is transmitted, when the IPsec protocol processing unit 110 and the address management unit 108 make a SA search request and there is no corresponding SA, the SP / SA table management unit 109 sends an SA to the IKE processing unit 106. Notification of negotiations. Further, the SP / SA table management unit 109 detects the software expiration date and makes an SA negotiation request to the IKE processing unit 106. The SP / SA table management unit 109 also manages the SA expiration date when the specified time has elapsed.

なお、図１に示す各機能ブロックは、プログラムとして、後述するメモリ５２２（図５）等の記憶部に記憶され、プロセッサ５２１によって実行される。また、図１に示す機能ブロックの少なくとも一部をハードウェアにより実現してもよい。ハードウェアにより実現する場合、例えば、所定のコンパイラを用いることで、各ステップを実現するためのプログラムからＦＰＧＡ上に自動的に専用回路を生成すればよい。ＦＰＧＡは、ＦｉｅｌｄＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙの略である。また、ＦＰＧＡと同様にしてＧａｔｅＡｒｒａｙ回路を形成し、ハードウェアとして実現するようにしてもよい。また、図１に示す機能ブロックの少なくとも一部は、ＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）により実現するようにしてもよい。 Each functional block shown in FIG. 1 is stored as a program in a storage unit such as a memory 522 (FIG. 5) described later, and is executed by the processor 521. Further, at least a part of the functional blocks shown in FIG. 1 may be realized by hardware. When realized by hardware, for example, a dedicated circuit may be automatically generated on the FPGA from a program for realizing each step by using a predetermined compiler. FPGA is an abbreviation for Field Programmable Gate Array. Further, a Gate Array circuit may be formed in the same manner as an FPGA and realized as hardware. Also, at least a part of the functional blocks shown in FIG. 1 may be realized by ASIC (Application Specific Integrated Circuit).

（ネットワークの機器構成）
図２を参照して、暗号通信装置１０１が接続するネットワーク１０２の機器構成例について説明する。暗号通信装置１０１は、ネットワーク１０２を介して他の機器に接続されている。図２の例では、第１のルータ２０３をそれぞれ含む２つのリンクが形成されている。２つのリンク内の１つには、第２のサーバ装置２０２、第１のルータ２０３および第２のルータ２０４が接続されている。暗号通信装置１０１は、このリンクに属している。また、第１のルータ２０３を含む他のリンクには、第１のルータ２０３、ＤＮＳサーバ２０５、ＤＨＣＰサーバ２０６および第１のサーバ装置２０７が接続されている。ＤＮＳは、ＤｏｍａｉｎＮａｍｅＳｙｓｔｅｍの略である。 (Network device configuration)
With reference to FIG. 2, a device configuration example of the network 102 to which the cryptographic communication apparatus 101 is connected will be described. The cryptographic communication device 101 is connected to other devices via the network 102. In the example of FIG. 2, two links each including the first router 203 are formed. A second server device 202, a first router 203, and a second router 204 are connected to one of the two links. The encryption communication device 101 belongs to this link. In addition, the first router 203, the DNS server 205, the DHCP server 206, and the first server device 207 are connected to other links including the first router 203. DNS is an abbreviation for Domain Name System.

第１のルータ２０３および第２のルータ２０４は、ＩＰｖ６ステートレス設定でグローバルＩＰアドレスを生成するためのプレフィックス情報をリンク内の機器に対して配信する。したがって、暗号通信装置１０１には、第１のルータ２０３および第２のルータ２０４によって割り当てられたＩＰｖ６のグローバルＩＰアドレスが設定される。また暗号通信装置１０１を含む全ての機器は、リンク内の機器とのみ通信可能なリンクローカルアドレスを自動生成する。したがって、暗号通信装置１０１には、自動生成によって割り当てられたＩＰｖ６リンクローカルアドレスが設定される。ＤＨＣＰサーバ２０６は各機器に対してＩＰｖ６アドレスおよびＩＰｖ４アドレスを配布する。したがって、暗号通信装置１０１には、ＤＨＣＰサーバ２０６によって割り当てられたＩＰｖ４アドレスとＩＰｖ６アドレスが設定される。 The first router 203 and the second router 204 distribute prefix information for generating a global IP address with IPv6 stateless setting to devices in the link. Therefore, the IPv6 global IP address assigned by the first router 203 and the second router 204 is set in the cryptographic communication apparatus 101. In addition, all devices including the encryption communication device 101 automatically generate a link local address that can communicate only with devices in the link. Therefore, the IPv6 link local address assigned by automatic generation is set in the encryption communication apparatus 101. The DHCP server 206 distributes an IPv6 address and an IPv4 address to each device. Therefore, the IPv4 address and the IPv6 address assigned by the DHCP server 206 are set in the encryption communication apparatus 101.

なお、暗号通信装置１０１が属するリンクへアドレスを配布する際、第１のルータ２０３はリレーエージェントとしての動作を行う。また暗号通信装置１０１は、手動でのＩＰアドレスの設定を可能としており、ユーザインタフェース（図示せず）からの入力によりＩＰアドレスを割り振ることが可能となっている。したがって、暗号通信装置１０１には、手動で指定された（割り当てられた）ＩＰｖ４アドレスとＩＰｖ６アドレスが設定される場合もある。
ＤＮＳサーバ２０５は各機器のホスト名とＩＰアドレスの対応づけを管理するデータベースであり、各機器からの問い合わせに応じて対応づけの情報（どのＩＰアドレスが対応しているかの情報）を返信する。暗号通信装置１０１、第１のサーバ装置２０７および第２のサーバ装置２０２は、セキュリティ通信を行うため、ＳＰを設定可能となっている。暗号通信装置１０１、第１のサーバ装置２０７および第２のサーバ装置２０２では、ＩＫＥ処理を行うアプリケーションが動作しており、設定されたＳＰに基づいて暗号・認証に用いるアルゴリズムや鍵の交換を自動で行う。 The first router 203 operates as a relay agent when distributing an address to the link to which the cryptographic communication apparatus 101 belongs. The encryption communication apparatus 101 can manually set an IP address, and can assign an IP address by an input from a user interface (not shown). Therefore, the encryption communication apparatus 101 may be set with an IPv4 address and an IPv6 address that are manually specified (assigned).
The DNS server 205 is a database that manages the association between the host name and the IP address of each device, and returns the association information (information about which IP address corresponds) in response to an inquiry from each device. The cryptographic communication device 101, the first server device 207, and the second server device 202 can set SPs for security communication. In the cryptographic communication apparatus 101, the first server apparatus 207, and the second server apparatus 202, an application that performs IKE processing is operating, and automatically exchanges algorithms and keys used for encryption / authentication based on the set SP. To do.

（ＩＰｓｅｃパケット送信処理）
次に、図３を参照して、暗号通信装置１０１のＩＰｓｅｃパケット送信処理について説明する。
Ｓ３０１において、アプリケーション処理部１０５は通信相手へのパケット送信処理（アプリケーション送信処理）を行い、ネットワークプロトコル処理部１０４に送信要求を行う。なお、ＩＫＥ処理部１０６がＩＫＥパケットを送信する場合は、ＩＫＥ処理部１０６がネットワークプロトコル処理部１０４に送信要求を行う。
Ｓ３０２において、アプリケーション処理部１０５はアドレス管理部１０８に対してＩＰアドレス決定処理を要求する。なお、アドレス管理部１０８に対するＩＰアドレス決定処理の要求は、アプリケーション処理部１０５ではなく、ネットワークプロトコル処理部１０４が行ってもよい。 (IPsec packet transmission processing)
Next, IPsec packet transmission processing of the encryption communication apparatus 101 will be described with reference to FIG.
In step S 301, the application processing unit 105 performs packet transmission processing (application transmission processing) to the communication partner, and makes a transmission request to the network protocol processing unit 104. When the IKE processing unit 106 transmits an IKE packet, the IKE processing unit 106 makes a transmission request to the network protocol processing unit 104.
In step S 302, the application processing unit 105 requests the address management unit 108 for IP address determination processing. The request for IP address determination processing to the address management unit 108 may be made by the network protocol processing unit 104 instead of the application processing unit 105.

ここで図４を用いてアドレス管理部１０８のＩＰアドレス決定処理（Ｓ３０２）について説明する。
Ｓ４０１において、アドレス管理部１０８は、宛先情報がユニキャストであるかを判定する。宛先情報がユニキャストではない場合、つまりマルチキャスト宛もしくはＩＰｖ４ブロードキャスト宛である場合はＳ４１０へ進み、送信元アドレスのみの決定処理を行う。宛先情報がユニキャストである場合、Ｓ４０２へ進む。
Ｓ４０２において、アドレス管理部１０８は、宛先情報の指定がＩＰアドレスでの指定ではなく、ホスト名での指定であるかを判定する。ホスト名での指定であった場合はＳ４０３へ進む。そうでなければＳ４０４へ進む。すなわち、宛先情報の指定がＩＰアドレスでの指定であった場合はＳ４０４へ進む。
Ｓ４０４において、アドレス管理部１０８は、宛先ＩＰアドレスがグローバルＩＰアドレスであるかを判定する。本実施形態では、ＩＰアドレスのバージョンがＩＰｖ６である場合とＩＰｖ４である場合のそれぞれで規定されているＩＰアドレス種別（グローバルＩＰアドレス、リンクローカルアドレス、それ以外のアドレス）の判定処理を行う。Ｓ４０４において、宛先ＩＰアドレスがグローバルＩＰアドレスであると判定された場合はＳ４０５へ進み、ＤＮＳサーバまたはローカルホストに指定された情報からホスト名（ドメイン名）を逆引きして取得する。ホスト名を取得した後、Ｓ４０３へ進む。宛先ＩＰアドレスがグローバルＩＰアドレスではない場合は、Ｓ４０６へ進む。 Here, the IP address determination process (S302) of the address management unit 108 will be described with reference to FIG.
In step S401, the address management unit 108 determines whether the destination information is unicast. If the destination information is not unicast, that is, if the destination information is for multicast or IPv4 broadcast, the process proceeds to S410, and only the source address is determined. If the destination information is unicast, the process proceeds to S402.
In step S 402, the address management unit 108 determines whether designation of destination information is not designation by an IP address but designation by a host name. If the host name is specified, the process proceeds to S403. Otherwise, the process proceeds to S404. That is, if the destination information is specified by an IP address, the process proceeds to S404.
In S404, the address management unit 108 determines whether the destination IP address is a global IP address. In the present embodiment, the IP address type (global IP address, link local address, and other addresses) is determined according to whether the IP address version is IPv6 or IPv4. In S404, if it is determined that the destination IP address is a global IP address, the process proceeds to S405, and the host name (domain name) is reversely acquired from the information designated as the DNS server or the local host. After acquiring the host name, the process proceeds to S403. If the destination IP address is not a global IP address, the process proceeds to S406.

グローバルＩＰアドレスは、インターネットに接続された機器に一意に割り当てられたＩＰアドレスである。上記した「それ以外のアドレス」は、ループバックアドレス等を含む。ループバックアドレスは、自装置（暗号通信装置１０１）自身を示すＩＰアドレスである。
Ｓ４０６において、アドレス管理部１０８は、宛先ＩＰアドレスがリンクローカルアドレスかどうかを判定する。宛先ＩＰアドレスがリンクローカルアドレスではない場合、当該宛先ＩＰアドレスはループバックアドレスまたは宛先アドレスとして適していないアドレスであると判定して、Ｓ４０９へ進む。そして、Ｓ４０９において、アプリケーション等により指定されたアドレスを選択する。Ｓ４０９の後、処理を終了する。宛先ＩＰアドレスがリンクローカルアドレスであった場合はＳ４０７へ進む。 The global IP address is an IP address uniquely assigned to a device connected to the Internet. The above “other addresses” include a loopback address and the like. The loopback address is an IP address indicating the device itself (encrypted communication device 101).
In S406, the address management unit 108 determines whether the destination IP address is a link local address. If the destination IP address is not a link local address, it is determined that the destination IP address is not suitable as a loopback address or a destination address, and the process proceeds to S409. In step S409, an address designated by the application or the like is selected. After S409, the process ends. If the destination IP address is a link local address, the process proceeds to S407.

Ｓ４０７において、アドレス管理部１０８は、宛先ＩＰアドレスに対応するＭＡＣアドレスを取得する。宛先ＩＰアドレスのバージョンがＩＰｖ４の場合、アドレス管理部１０８は、アドレス管理部１０８が保持するＡＲＰテーブルを参照する。宛先ＩＰアドレスのバージョンがＩＰｖ６の場合、アドレス管理部１０８が保持する近隣キャッシュを参照する。ＡＲＰテーブルもしくは近隣キャッシュに情報が保持されていない場合は、宛先アドレスのバージョンがＩＰｖ４であるなら、ＡＲＰプロトコルによってＭＡＣアドレスの解決処理を行う。宛先アドレスのバージョンがＩＰｖ６であるなら、近隣探索によってＭＡＣアドレスの解決処理を行う。ＡＲＰは、ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌの略である。 In step S407, the address management unit 108 acquires a MAC address corresponding to the destination IP address. When the version of the destination IP address is IPv4, the address management unit 108 refers to the ARP table held by the address management unit 108. When the version of the destination IP address is IPv6, the neighbor cache held by the address management unit 108 is referred to. When information is not held in the ARP table or the neighborhood cache, if the version of the destination address is IPv4, the MAC address resolution processing is performed by the ARP protocol. If the version of the destination address is IPv6, the MAC address resolution process is performed by neighbor search. ARP is an abbreviation for Address Resolution Protocol.

Ｓ４０８において、アドレス管理部１０８は、宛先ホストのＩＰアドレスリストをＳ４０７において取得したＭＡＣアドレスからの逆引きにより取得する。ＩＰアドレスのバージョンがＩＰｖ４の場合、ＩＰアドレスリストの取得は、ＲＡＲＰプロトコル機能を用いて行い、ＩＰアドレスのバージョンがＩＰｖ６の場合、ＩＰアドレスリストの取得は、逆近隣探索機能を用いて行う。ＲＡＲＰは、ＲｅｖｅｒｓｅＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌの略である。
Ｓ４０３において、アドレス管理部１０８は、ホスト名から宛先ＩＰアドレスのリストを取得する。より詳しくは、ＤＮＳサーバへの問い合わせを行うと共に、ローカルホストに設定された情報を得ることによりアドレスリストを取得する。Ｓ４０３の後、Ｓ４１０へ進む。
なお、本実施形態では上記したフロー（Ｓ４０２〜Ｓ４０８）により宛先ＩＰアドレスのリストを取得したが、宛先ＩＰアドレスのリストを取得できるのであれば、どのような手段・構成を採用してもよい。 In S408, the address management unit 108 acquires the destination host IP address list by reverse lookup from the MAC address acquired in S407. When the IP address version is IPv4, the IP address list is acquired using the RARP protocol function, and when the IP address version is IPv6, the IP address list is acquired using the reverse neighbor search function. RARP is an abbreviation for Reverse Address Resolution Protocol.
In step S403, the address management unit 108 acquires a list of destination IP addresses from the host name. More specifically, an address list is acquired by making an inquiry to the DNS server and obtaining information set in the local host. After S403, the process proceeds to S410.
In the present embodiment, the list of destination IP addresses is acquired by the above-described flow (S402 to S408). However, any means and configuration may be adopted as long as the list of destination IP addresses can be acquired.

また宛先情報がホスト名指定またはグローバルＩＰアドレス指定であった場合のＤＮＳサーバへの問い合わせではリンクローカルアドレスを取得できないため、Ｓ４０７およびＳ４０８に示した方法でリンクローカルアドレスを取得してもよい。Ｓ４０７およびＳ４０８の方法等でリンクローカルアドレスをリストとして取得した場合、処理負荷は高まるが、リンクローカルアドレスを用いて設定されたＳＰについてもアドレス選択の候補として検索可能となる。
ただし、セキュリティレベルを考慮すると、グローバルＩＰアドレスを指定した場合のセキュリティレベルの方がリンクローカルアドレスより高く設定されることが一般的であるため、リンクローカルアドレスのリストの取得を省略してもよい。リンクローカルアドレスのリストの取得を省略することで、処理負荷を軽減することが可能となる。 In addition, since the link local address cannot be obtained by inquiry to the DNS server when the destination information is the host name designation or the global IP address designation, the link local address may be obtained by the method shown in S407 and S408. When link local addresses are acquired as a list by the methods of S407 and S408, the processing load increases, but SPs set using link local addresses can also be searched as candidates for address selection.
However, considering the security level, since the security level when a global IP address is specified is generally set higher than the link local address, acquisition of the link local address list may be omitted. . By omitting the acquisition of the link local address list, the processing load can be reduced.

Ｓ４１０において、アドレス管理部１０８は、取得したＩＰアドレスのリストから各ＩＰアドレスへパケットを送信する際に適応可能（選択可能）な送信元ＩＰアドレスのリストを取得する。Ｓ４１０における送信元ＩＰアドレスのリストの取得は、アドレス管理部１０８が保持するルーティングテーブルを検索すること（ルーティング処理）によって行う。Ｓ４１０の処理では暗号通信装置１０１に付与されているＩＰアドレスのすべてを送信元ＩＰアドレスのリストとして取得するのはなく、宛先ＩＰアドレスに応じて、送信元アドレスとして用いてよいＩＰアドレスをリストとして取得する。例えば宛先ＩＰアドレスがＩＰｖ６グローバルＩＰアドレスであった場合は、送信元アドレスとしてＩＰｖ６リンクローカルアドレスを選択しない。 In S410, the address management unit 108 acquires a list of source IP addresses that can be applied (selectable) when transmitting a packet to each IP address from the acquired list of IP addresses. The list of source IP addresses in S410 is acquired by searching the routing table held by the address management unit 108 (routing process). In the process of S410, not all IP addresses assigned to the cryptographic communication device 101 are acquired as a list of source IP addresses, but IP addresses that can be used as source addresses are listed according to the destination IP address. get. For example, when the destination IP address is an IPv6 global IP address, the IPv6 link local address is not selected as the source address.

次にＳ４１１において、アドレス管理部１０８は、取得した宛先ＩＰアドレスのリストと送信元ＩＰアドレスのリストからＩＰアドレスを組み合わせる（ＩＰアドレスのペアを作成する）。これに上位プロトコルとポート番号を加えて検索キー（検索条件）としてＳＰのデータベース（ＳＰＤ）からＳＰを検索する。本処理は、すべてのＩＰアドレスの組み合わせ（ペア）で実施する。
Ｓ４１２において、アドレス管理部１０８は、検索して得られた（ヒットした）ＳＰのポリシー（設定内容）を参照し、ＳＰにセキュリティ設定（ＩＰｓｅｃが適用される設定）がなされているかを調べる。すべてのＳＰにセキュリティ設定がなされていない場合、つまりＩＰｓｅｃによるセキュア化（暗号化、認証）を適用しない設定である場合は、Ｓ４１３へ進む。なお、セキュリティ設定がなされていない場合とは、例えば、ＢＹＰＡＳＳ設定（暗号化等をしない通常処理）がされている場合やＤＩＳＣＡＲＤ設定（廃棄）がなされている場合である。ＳＰのポリシー（設定内容）は、本実施形態では、ＩＰｓｅｃを適用するか否かを決めるポリシーであるので、暗号化関連設定と称することができる。つまり、本実施形態では、Ｓ４１２において、パケットを、少なくとも暗号化または認証することができる暗号化関連設定を選別（選択）している。 In step S411, the address management unit 108 combines the IP addresses from the acquired list of destination IP addresses and the list of source IP addresses (creates an IP address pair). The SP is searched from the SP database (SPD) as a search key (search condition) by adding the upper protocol and the port number to this. This process is performed for all combinations (pairs) of IP addresses.
In S412, the address management unit 108 refers to the policy (setting contents) of the SP (hit) obtained by the search, and checks whether the security setting (setting to which IPsec is applied) is set for the SP. If security settings have not been made for all SPs, that is, if the setting is such that IPsec security (encryption and authentication) is not applied, the process proceeds to S413. Note that the case where the security setting is not performed is, for example, the case where BYPASS setting (normal processing without encryption or the like) is performed or the case where DISCARD setting (discard) is performed. In this embodiment, the SP policy (setting contents) is a policy for determining whether or not to apply IPsec, and can be referred to as encryption-related setting. In other words, in this embodiment, in S412, the encryption-related settings that can at least encrypt or authenticate the packet are selected (selected).

Ｓ４１３において、アドレス管理部１０８は、既存のデフォルトアドレス選択ルールに従って宛先ＩＰアドレスおよび送信元ＩＰアドレスを選択して処理を終了する。
Ｓ４１２において、いずれかのＳＰにセキュリティ設定がなされていると判定された場合、Ｓ４１４へ進む。
Ｓ４１４において、アドレス管理部１０８は、検索して得られたＳＰの中からセキュリティレベルの一番高いＳＰを選択する。セキュリティレベルの一番高いＳＰの選択は、さまざまな方法で行うことが可能である。例えば、ＩＰｓｅｃが適用されるか否かだけで判定する場合は、ＩＰｓｅｃが適用される設定になっているＳＰをすべて選択する。ＩＰｓｅｃが適用される設定がなされていれば、パケットを少なくとも暗号化または認証して通信相手装置に送信することができるからである。
なお、ＩＰｓｅｃでＰＲＯＴＥＣＴ設定がされている場合は、暗号化のみが有効になっている場合と、認証のみが有効になっている場合と、暗号化および認証が有効になっている場合がある。 In step S413, the address management unit 108 selects a destination IP address and a source IP address according to an existing default address selection rule, and ends the process.
If it is determined in S412 that any one of the SPs has security settings, the process proceeds to S414.
In S414, the address management unit 108 selects the SP with the highest security level from the SPs obtained by the search. The SP having the highest security level can be selected by various methods. For example, when judging only whether or not IPsec is applied, all SPs that are set to apply IPsec are selected. This is because if the setting to apply IPsec is made, the packet can be at least encrypted or authenticated and transmitted to the communication partner apparatus.
When PROTECT is set in IPsec, there are cases where only encryption is enabled, only authentication is enabled, and encryption and authentication are enabled.

また、セキュリティレベル（セキュリティ強度）の高さ（強さ）を判定する場合、ＳＰに設定されているセキュリティプロトコルを判定基準に含めてもよい。例えば、ＡＨ、ＥＳＰといったセキュリティプロトコルが複雑に設定されているものを「セキュリティレベルの一番高いＳＰ」として選択することや、暗号化が有効設定されているものを「セキュリティレベルの一番高いＳＰ」として選択することが考えられる。つまり、セキュリティ強度の高さは、適用されるセキュリティプロトコルの数に基づいて決めてもよいし、暗号および認証の方式も含めてセキュリティレベルの高さを判定することも可能である。なお、ＳＰを参照するだけでは暗号、認証の方式を取得できな場合がある。この場合には、ＩＫＥを用いて通信相手との間で暗号・認証の方式や鍵を含むＳＡを決定する必要がある。これによって得られた暗号・認証の方式のうちセキュリティレベルが一番高いものを選択する。なお、セキュリティレベルの高いセキュリティポリシーを選択するためのルールについては、別途指定可能であってもよい。 Further, when determining the height (strength) of the security level (security strength), the security protocol set in the SP may be included in the determination criteria. For example, a security protocol such as AH or ESP that is set in a complicated manner is selected as the “SP with the highest security level”, or a security protocol that is enabled is set as “the SP with the highest security level”. It is possible to select as “ That is, the high security strength may be determined based on the number of security protocols to be applied, or the high security level can be determined including encryption and authentication methods. Note that there are cases where the encryption and authentication methods cannot be obtained simply by referring to the SP. In this case, it is necessary to determine the SA including the encryption / authentication method and key with the communication partner using IKE. Among the encryption / authentication methods obtained, the one with the highest security level is selected. Note that a rule for selecting a security policy with a high security level may be separately specified.

Ｓ４１５において、アドレス管理部１０８は、Ｓ４１４で選択したＳＰに該当するＩＰアドレスの組み合わせが複数あるかを判定する。ＩＰアドレスの組み合わせが複数ある場合はＳ４１７へ進む。ＩＰアドレスの組み合わせが複数ある場合とは、例えば、同一のＳＰに合致するＩＰアドレスの組み合わせが複数あった場合や、異なるＩＰアドレスの組み合わせで検索したＳＰであるがセキュリティレベルが同じと判定されたＳＰが複数ある場合である。Ｓ４１５において、ＩＰアドレスの組み合わせが複数ない場合、すなわち、ＩＰアドレスの組み合わせが１組に絞られている場合は、Ｓ４１６へ進む。 In S415, the address management unit 108 determines whether there are a plurality of combinations of IP addresses corresponding to the SP selected in S414. If there are a plurality of combinations of IP addresses, the process proceeds to S417. When there are a plurality of IP address combinations, for example, when there are a plurality of IP address combinations that match the same SP, or when a SP is searched with a combination of different IP addresses, the security level is determined to be the same. This is a case where there are a plurality of SPs. In S415, if there are not a plurality of combinations of IP addresses, that is, if the combination of IP addresses is limited to one, the process proceeds to S416.

Ｓ４１６において、アドレス管理部１０８は、当該ＳＰを検索した際に使用した宛先ＩＰアドレスおよび送信元ＩＰアドレスを選択して処理を終了する。
Ｓ４１７において、アドレス管理部１０８は、複数の宛先ＩＰアドレスおよび送信元ＩＰアドレスの組み合わせから、デフォルトアドレス選択ルールに基づいて一番優先順位（優先度）の高いＩＰアドレスの組み合わせを選択して処理を終了する。なお、上記の説明では宛先ＩＰアドレスおよび送信元ＩＰアドレスの組み合わせからＳＰを検索したが、宛先ＩＰアドレスまたは送信元ＩＰアドレスを１つのアドレスに固定し、もう一方のアドレスのリストを取得してＳＰを検索するようにしてもよい。例えば送信元ＩＰアドレスを固定する場合、ＩＰｓｅｃによるセキュリティ通信を適用するならば、手動で設定したＩＰアドレスを必ず選択するようにし、ＳＰを検索する検索キーには送信元ＩＰアドレスに手動で設定したアドレスを用いるようにする。こうすることで、ＳＰの検索処理を効率化することができる。 In S416, the address management unit 108 selects the destination IP address and the source IP address used when searching for the SP, and ends the process.
In S417, the address management unit 108 selects a combination of IP addresses having the highest priority (priority) from the combination of a plurality of destination IP addresses and transmission source IP addresses based on the default address selection rule, and performs processing. finish. In the above description, the SP is searched from the combination of the destination IP address and the source IP address. However, the destination IP address or the source IP address is fixed to one address, and the list of the other address is obtained to obtain the SP. You may make it search. For example, when the source IP address is fixed, if security communication by IPsec is applied, the manually set IP address must be selected, and the search key for searching the SP is manually set to the source IP address. Use addresses. By doing so, the SP search process can be made more efficient.

上記の手順により、ＩＰアドレスが決定されたならば、図３のＳ３０３に戻る。
Ｓ３０３において、ネットワークプロトコル処理部１０４は、アプリケーション処理部１０５からデータ（パケット）の送信要求を受け付ける。この際、アプリケーション処理部１０５は、アドレス管理部１０８が決定したＩＰアドレスを用いて送信要求をネットワークプロトコル処理部１０４に対して行う。そして、ネットワークプロトコル処理部１０４は、アプリケーション処理部１０５が指定したＴＣＰまたはＵＤＰのトランスポート層プロトコル処理およびＩＰプロトコル処理を行う。ネットワークプロトコル処理部１０４のこのような処理を、本実施形態では、ネットワークプロトコル処理１と称する。ネットワークプロトコル処理部１０４は、生成したＩＰパケットをＩＰｓｅｃ処理部１０７へ送る。
なお、本実施形態ではアプリケーション処理部１０５がアドレス管理部１０８にアドレスを決定する要求を行い、ネットワークプロトコル処理部１０４へ決定したアドレスを通知した。しかし、本発明はこのような実施形態に限定されない。例えば、アプリケーション処理１０５ではなくネットワークプロトコル処理部１０４がアドレス管理部１０８に対してアドレスを決定する要求を行ってもよい。 If the IP address is determined by the above procedure, the process returns to S303 in FIG.
In step S 303, the network protocol processing unit 104 receives a data (packet) transmission request from the application processing unit 105. At this time, the application processing unit 105 makes a transmission request to the network protocol processing unit 104 using the IP address determined by the address management unit 108. The network protocol processing unit 104 performs TCP or UDP transport layer protocol processing and IP protocol processing specified by the application processing unit 105. Such processing of the network protocol processing unit 104 is referred to as network protocol processing 1 in this embodiment. The network protocol processing unit 104 sends the generated IP packet to the IPsec processing unit 107.
In this embodiment, the application processing unit 105 requests the address management unit 108 to determine an address, and notifies the network protocol processing unit 104 of the determined address. However, the present invention is not limited to such an embodiment. For example, the network protocol processing unit 104 instead of the application processing 105 may make a request for determining an address to the address management unit 108.

Ｓ３０４において、ＩＰｓｅｃ処理部１０７は送信するＩＰパケットを受け取る。すると、ＩＰｓｅｃプロトコル処理部１１０がＩＰパケットのＩＰアドレスやトランスポート層プロトコル種別、ポート番号等のパケット情報から（パケット情報に基づいて）ＳＰ・ＳＡテーブル管理部１０９に対してＳＰ検索処理要求を行う。ＳＰ検索処理要求を受け付けたＳＰ・ＳＡテーブル管理部１０９は、ＳＰＤに指定パケット情報に該当するＳＰが登録されているかを検索し、検索結果をＩＰｓｅｃプロトコル処理部１１０に通知する。このように、本実施形態では、ＳＰをパケット情報から検索している。
なお、アドレス管理部１０８がＩＰアドレスを決定する際に特定したＳＰ情報を記憶しておき利用することで、ＳＰ検索処理を省略することができる。 In S304, the IPsec processing unit 107 receives the IP packet to be transmitted. Then, the IPsec protocol processing unit 110 makes an SP search processing request to the SP / SA table management unit 109 (based on the packet information) from the packet information such as the IP address, transport layer protocol type, and port number of the IP packet. . Upon receipt of the SP search processing request, the SP / SA table management unit 109 searches whether the SP corresponding to the designated packet information is registered in the SPD, and notifies the IPsec protocol processing unit 110 of the search result. Thus, in the present embodiment, the SP is searched from the packet information.
The SP search process can be omitted by storing and using the SP information specified when the address management unit 108 determines the IP address.

ＳＰ・ＳＡテーブル管理部１０９はさらに、ＳＰに関連づけられたＳＡの情報とパケット情報からＳＡを検索する。ＳＡがＳＰ・ＳＡテーブル管理部１０９に登録されていない場合、ＳＰ・ＳＡテーブル管理部１０９は、ＳＡが登録されていないことをＩＫＥ処理部１０６に通知してＳＡの折衝を行う。検索または折衝によりＳＡが特定（取得）された場合、ＩＰｓｅｃプロトコル処理部１１０は、ＳＡに指定されたＥＳＰまたはＡＨのＩＰｓｅｃプロトコル処理を行う。ＩＰｓｅｃプロトコル処理における暗号化および認証処理は、暗号・認証処理部１１１で行う。
Ｓ３０５において、ネットワークプロトコル処理部１０４は、ＩＰｓｅｃ処理部１０７によってＩＰｓｅｃ処理されたＩＰｓｅｃパケットを受け取り、ＩＰｓｅｃパケットに対してフラグメント処理等のＩＰプロトコル処理、ＭＡＣヘッダ処理を行う。本実施形態では、このＩＰプロトコル処理等をネットワークプロトコル処理２と称する。その後、ネットワークプロトコル処理部１０４は、ネットワークインタフェース部１０３にパケットの送信要求を行う。 The SP / SA table management unit 109 further searches the SA from the SA information and packet information associated with the SP. When the SA is not registered in the SP / SA table management unit 109, the SP / SA table management unit 109 notifies the IKE processing unit 106 that the SA is not registered, and negotiates the SA. When the SA is specified (acquired) by search or negotiation, the IPsec protocol processing unit 110 performs the ESP or AH IPsec protocol processing designated by the SA. The encryption / authentication processing unit 111 performs encryption and authentication processing in the IPsec protocol processing.
In step S305, the network protocol processing unit 104 receives the IPsec packet subjected to the IPsec processing by the IPsec processing unit 107, and performs IP protocol processing such as fragment processing and MAC header processing on the IPsec packet. In the present embodiment, this IP protocol processing or the like is referred to as network protocol processing 2. Thereafter, the network protocol processing unit 104 sends a packet transmission request to the network interface unit 103.

Ｓ３０６において、ネットワークインタフェース部１０３は、ネットワーク１０２へパケットを送信して処理を終了する。以上のステップにより、暗号通信装置１０１はＩＰｓｅｃによるパケット（セキュア化したパケット）の送信処理を行う。
ここで図２におけるネットワーク１０２の機器構成例において暗号通信装置１０１でどのようなＩＰアドレスが選択されるかを例示する。暗号通信装置１０１には、上記したように第１のルータ２０３および第２のルータ２０４によって割り当てられたＩＰｖ６グローバルＩＰアドレスと、自動生成によって割り当てられたＩＰｖ６リンクローカルアドレスが設定されている。また、暗号通信装置１０１には、ＤＨＣＰサーバ２０６によって割り当てられたＩＰｖ４アドレスとＩＰｖ６アドレスが設定されているか、あるいは、手動によって割り当てられたＩＰｖ４アドレスとＩＰｖ６アドレスが設定されている。これと同様に、第１のサーバ装置２０７には、第１のルータ２０３によって割り当てられたＩＰｖ６グローバルＩＰアドレスと、自動生成によって割り当てられたＩＰｖ６リンクローカルアドレスが設定されている。また、第１のサーバ装置２０７には、ＤＨＣＰサーバ２０６によって割り当てられたＩＰｖ４アドレスとＩＰｖ６アドレスが設定されているか、あるいは、手動によって割り当てられたＩＰｖ４アドレスとＩＰｖ６アドレスが設定されている。 In step S 306, the network interface unit 103 transmits a packet to the network 102 and ends the process. Through the above steps, the cryptographic communication apparatus 101 performs a packet transmission process using IPsec (secure packet).
An example of what IP address is selected by the cryptographic communication apparatus 101 in the device configuration example of the network 102 in FIG. As described above, the IPv6 global IP address assigned by the first router 203 and the second router 204 and the IPv6 link local address assigned by automatic generation are set in the cryptographic communication apparatus 101. Further, in the cryptographic communication apparatus 101, the IPv4 address and the IPv6 address assigned by the DHCP server 206 are set, or the IPv4 address and the IPv6 address assigned manually are set. Similarly, the IPv6 global IP address assigned by the first router 203 and the IPv6 link local address assigned by automatic generation are set in the first server device 207. Further, the IPv4 address and IPv6 address assigned by the DHCP server 206 are set in the first server device 207, or the IPv4 address and IPv6 address assigned manually are set.

この状況において暗号通信装置１０１が第１のサーバ装置２０７と通信するためのＳＰとして、第１のサーバ装置２０７および暗号通信装置１０１に手動で割り当てたＩＰｖ６アドレスを用いた通信にのみＩＰｓｅｃを適用するポリシーが設定されているとする。そして、その他のアドレスを用いた通信についてはＩＰｓｅｃを適用しないポリシーが設定されているとする。この際、アプリケーションが宛先情報として第１のサーバ装置２０７にＤＨＣＰサーバ２０６によって割り当てられたＩＰｖ６アドレスを指定したとする。
この場合、図４に示すフローに従うと、まず、暗号通信装置１０１は、ＤＮＳサーバ２０５から第１のサーバ装置２０７のホスト名を取得し（Ｓ４０２）、そのホスト名からＩＰアドレスリストを取得する（Ｓ４０３）。この宛先ＩＰアドレスのリストと、暗号通信装置１０１に割り当てられ、ルーティング処理をした結果、選択可能な送信元ＩＰアドレスと、からＳＰを検索する（Ｓ４１１）。すると、第１のサーバ装置２０７および暗号通信装置１０１に手動で割り当てたＩＰｖ６アドレスの組み合わせ以外を用いたＳＰの検索結果は、すべてＩＰｓｅｃを適用しないポリシーがヒットする。 In this situation, IPsec is applied only to communication using the IPv6 address manually assigned to the first server device 207 and the cryptographic communication device 101 as an SP for the cryptographic communication device 101 to communicate with the first server device 207. Suppose a policy is set. Assume that a policy that does not apply IPsec is set for communication using other addresses. At this time, it is assumed that the application designates the IPv6 address assigned by the DHCP server 206 to the first server device 207 as the destination information.
In this case, according to the flow shown in FIG. 4, first, the cryptographic communication device 101 acquires the host name of the first server device 207 from the DNS server 205 (S402), and acquires the IP address list from the host name ( S403). The SP is searched from the list of destination IP addresses and the source IP addresses that can be selected as a result of routing processing assigned to the cryptographic communication apparatus 101 (S411). Then, all the search results of SPs using combinations other than the IPv6 address combinations manually assigned to the first server device 207 and the cryptographic communication device 101 are hit with a policy that does not apply IPsec.

一方で、手動割り当てのＩＰｖ６アドレスの組み合わせを用いてヒットしたＳＰは、ＩＰｓｅｃを適用するポリシーと一致する。ＩＰｓｅｃを適用するＳＰが１つヒットしたため（Ｓ４１５：Ｎｏ）、このＳＰのセキュリティ強度が一番高いと判定し、この検索に使用したＩＰアドレスが選択される（Ｓ４１６）。つまりアプリケーションが宛先情報として指定したＩＰアドレスではなく、本処理フローによって選択したＩＰアドレスを用いてパケットを生成する。これによりＩＰｓｅｃを適用した通信が可能となる。 On the other hand, an SP that hits using a manually assigned IPv6 address combination matches the policy to which IPsec is applied. Since one SP to which IPsec is applied is hit (S415: No), it is determined that the security strength of this SP is the highest, and the IP address used for this search is selected (S416). That is, the packet is generated using the IP address selected by this processing flow, not the IP address designated by the application as the destination information. As a result, communication to which IPsec is applied becomes possible.

以上のように本実施形態では、暗号通信装置１０１が他の通信装置（通信相手装置）と通信を行う際に生成するパケットのＩＰアドレスを決定するとき、同一の通信相手装置と通信可能な宛先ＩＰアドレスおよび送信元ＩＰアドレスのリストからＳＰを検索する。そして、検索の結果得られたＳＰのうちセキュリティ強度の一番強いポリシーを選択し、そのＳＰを特定するのに使用したＩＰアドレスを使用してパケットを生成する。このようにして、ＳＰのセキュリティ強度に基づいてＩＰアドレスを決定してパケットを生成することでＳＰに適合するパケットを生成している。換言すると、検索により得られたＳＰの中から、セキュリティ強度に基づいてＳＰを選択し、選択されたＳＰに適合する宛先ＩＰアドレスと送信元ＩＰアドレスとを用いてパケットを生成して他の通信装置に送信している。
なお、本発明は、上記したように同一の通信相手と通信可能な宛先情報を用いてＳＰを適用可能とする構成・方法であれば、どのような手順でＳＰを適用してもよい。 As described above, in this embodiment, when the encryption communication apparatus 101 determines an IP address of a packet generated when communicating with another communication apparatus (communication partner apparatus), a destination that can communicate with the same communication partner apparatus. The SP is searched from the list of IP addresses and source IP addresses. Then, the policy with the strongest security strength is selected from the SPs obtained as a result of the search, and a packet is generated using the IP address used to identify the SP. In this way, a packet conforming to the SP is generated by determining the IP address based on the security strength of the SP and generating the packet. In other words, the SP is selected from the SPs obtained by the search based on the security strength, a packet is generated using the destination IP address and the source IP address that match the selected SP, and other communication is performed. Sending to the device.
In the present invention, the SP may be applied by any procedure as long as the SP can be applied using destination information that can communicate with the same communication partner as described above.

また処理を効率化するためにＩＰアドレスのリストを取得する前に一度一意に決定したＩＰアドレスを用いてＳＰを検索し、基準以上のセキュリティ強度を持ったポリシーであった場合は、ＩＰアドレスのリストを取得しないでパケットを生成してもよい。こうすることでセキュリティレベルは一定に保ちつつ、パケットの生成を効率的に行うことが可能となる。
つまり、本発明では、所定の強度以上のセキュリティ強度を有するＳＰ（パケットを少なくとも暗号化または認証することができるポリシー）を選択し、選択されたＳＰに適合する宛先ＩＰアドレスと送信元ＩＰアドレスとを用いてパケットを生成して通信装置相手に送信すればよい。所定の強度以上のセキュリティ強度を有するＳＰに基づいてパケットを生成・送信するので、所定のセキュリティレベルを維持して通信相手装置と通信することができる。所定の強度以上のセキュリティ強度を有するＳＰとは、例えば、ＰＲＯＴＥＣＴ設定において暗号化と認証の少なくとも一方が有効化されているＳＰである。所定の強度以上のセキュリティ強度を有するＳＰが複数ある場合には、より強いセキュリティ強度を有するＳＰを選択してよい。
なお、上記した実施形態では、セキュリティレベル（強度）が一番高いポリシーを選択するとしたが、パケットを暗号化・認証して送信できるポリシーであれば、セキュリティレベルが最も高いポリシーを選択しなくてもよい。例えば、パケットを暗号化または認証処理して送信できるポリシーであれば、二番目にセキュリティレベルの高いポリシーを選択してもよい。 Also, in order to improve the efficiency of processing, the SP is searched using the IP address uniquely determined once before acquiring the IP address list, and if the policy has a security strength higher than the standard, the IP address The packet may be generated without acquiring the list. This makes it possible to efficiently generate packets while keeping the security level constant.
In other words, in the present invention, an SP (policy that can at least encrypt or authenticate a packet) having a security strength equal to or higher than a predetermined strength is selected, and a destination IP address and a source IP address that match the selected SP, A packet may be generated using and transmitted to the communication apparatus partner. Since a packet is generated and transmitted based on an SP having a security strength equal to or higher than a predetermined strength, it is possible to communicate with a communication partner device while maintaining a predetermined security level. An SP having a security strength equal to or higher than a predetermined strength is, for example, an SP in which at least one of encryption and authentication is enabled in the PROTECT setting. When there are a plurality of SPs having a security strength equal to or higher than a predetermined strength, an SP having a stronger security strength may be selected.
In the above-described embodiment, the policy having the highest security level (strength) is selected. However, the policy having the highest security level need not be selected as long as it can be transmitted by encrypting and authenticating the packet. Also good. For example, a policy having the second highest security level may be selected as long as it is a policy in which a packet can be transmitted after being encrypted or authenticated.

本実施形態によれば、暗号通信装置１０１がＩＰアドレスを複数保持しており、それを意識しないＳＰが設定されたとしても、同一の通信相手と通信する場合、アドレスを意識しなくてもセキュリティ強度の高いポリシーを適用することができる。セキュリティ強度の高いポリシーとは、最もセキュリティ強度の高いポリシーであるか、所定の強度以上のセキュリティ強度を有するポリシーである。これにより、セキュリティ管理者がＳＰに指定するＩＰアドレスとして、通信に使うＩＰアドレスと異なるアドレスを指定してしまっても、ＳＰに基づいたＩＰアドレスによる通信が可能となる。またＳＰに該当しない、動的に割り当てられたＩＰアドレスが優先的に使われてしまうような場合においても、ＳＰが設定された相手との通信では、セキュリティ強度を保った通信が可能となる。またグローバルＩＰアドレスを送信先として指定した場合には、リンクローカルアドレスによるＩＰアドレスの組み合わせでＳＰを検索しないので、ＩＰアドレス決定処理を効率的に行うことが可能となる。 According to the present embodiment, even if the cryptographic communication apparatus 101 holds a plurality of IP addresses and an SP that is unaware of this is set, when communicating with the same communication partner, security can be achieved without being conscious of the address. A strong policy can be applied. A policy with a high security strength is a policy with the highest security strength or a policy having a security strength higher than a predetermined strength. As a result, even if the IP address specified by the security administrator for the SP is different from the IP address used for communication, communication using the IP address based on the SP is possible. Even when a dynamically assigned IP address that does not correspond to an SP is preferentially used, communication with a security level can be maintained in communication with the other party to which the SP is set. Further, when a global IP address is designated as a transmission destination, the SP is not searched by a combination of IP addresses based on link local addresses, so that the IP address determination process can be performed efficiently.

図５は暗号通信装置１０１のハードウェア構成の一例を示している。暗号通信装置１０１は、プロセッサ５２１と、メモリ５２２と、鍵管理部５２３と、暗号・復号器５２４と、データパス制御部５２５と、ＭＡＣ部５２６と、ＰＨＹ部５２７とを有している。
プロセッサ５２１は、通信相手装置とのデータ通信のための各種プロトコル処理を行う。また、プロセッサ５２１は、通信相手装置へのデータ送信指示も行う。さらに、プロセッサ５２１は、メモリ５２２の中から、通信相手装置とのデータ通信に必要な各種情報を検索する。プロセッサ５２１は、データの表示や印刷等のアプリケーション処理を行ってもよい。 FIG. 5 shows an example of the hardware configuration of the cryptographic communication apparatus 101. The encryption communication apparatus 101 includes a processor 521, a memory 522, a key management unit 523, an encryption / decryption device 524, a data path control unit 525, a MAC unit 526, and a PHY unit 527.
The processor 521 performs various protocol processes for data communication with the communication partner apparatus. The processor 521 also issues a data transmission instruction to the communication partner apparatus. Further, the processor 521 searches the memory 522 for various information necessary for data communication with the communication partner apparatus. The processor 521 may perform application processing such as data display and printing.

メモリ５２２は、アプリケーション処理に用いるためのデータや、通信相手装置とのデータ通信に用いる各種パラメータおよび各種フローチャートを実現するためのプログラム等を記憶する。また、メモリ５２２は、通信相手装置とのデータ通信に必要な各種情報や、通信するデータを記憶する。鍵管理部５２３は、通信相手装置とのデータ通信に用いる暗号鍵を管理する。暗号鍵は、例えば、メモリ５２２に記憶されている。暗号・復号器５２４は、鍵管理部５２３により管理されている暗号鍵を用いて、通信相手装置との間で通信されるデータの暗号化および復号化を行う。
データパス制御部５２５は、メモリ５２２とＭＡＣ部５２６との間のデータ転送を制御する。ＭＡＣ部５２６はＯＳＩ参照モデルのデータリンク層（第２層）の下位副層に相当するＭＡＣ層のプロトコル処理を行う。ＰＨＹ部５２７は、ＯＳＩ参照モデルの第１層に位置するＰＨＹ（物理）層のプロトコル処理と電気信号の処理を行う。ＯＳＩ参照モデルは、国際標準化機構によって策定された、コンピュータの持つべき通信機能を階層構造に分割したモデルである。ＯＳＩは、ＯｐｅｎＳｙｓｔｅｍＩｎｔｅｒｃｏｎｎｅｃｔｉｏｎの略である。 The memory 522 stores data used for application processing, various parameters used for data communication with a communication partner apparatus, programs for realizing various flowcharts, and the like. The memory 522 stores various information necessary for data communication with the communication partner device and data to be communicated. The key management unit 523 manages an encryption key used for data communication with the communication partner apparatus. The encryption key is stored in the memory 522, for example. The encryption / decryption device 524 uses the encryption key managed by the key management unit 523 to encrypt and decrypt data communicated with the communication partner device.
The data path control unit 525 controls data transfer between the memory 522 and the MAC unit 526. The MAC unit 526 performs protocol processing of the MAC layer corresponding to the lower sublayer of the data link layer (second layer) of the OSI reference model. The PHY unit 527 performs protocol processing and electrical signal processing of the PHY (physical) layer located in the first layer of the OSI reference model. The OSI reference model is a model established by the International Organization for Standardization, in which the communication functions that a computer should have are divided into a hierarchical structure. OSI is an abbreviation for Open System Interconnection.

バス５２８は、暗号通信装置１０１内部の各種ハードウェアを接続している。ネットワーク１０２は、暗号通信装置１０１と通信相手装置とを接続している。ネットワーク１０２は有線でもよいし無線でもよい。
図１のソフトウェア構成は、図５のメモリ５２２に記憶されたプログラムをプロセッサ５２１が読み出すことで実現される。なお、図１に示した複数のソフトウェアブロックを１つのソフトウェアブロックとして構成してもよいし、１つのソフトウェアブロックを複数のソフトウェアブロックとして構成してもよい。また、図１のソフトウェアブロックの一部もしくは全部をハードウェアとして構成してもよい。
上記において、ＩＰｓｅｃによるセキュリティ通信について説明をしたが、ＩＰｓｅｃ以外のプロトコルを用いる場合にも本発明を使用することができる。 A bus 528 connects various hardware in the cryptographic communication apparatus 101. The network 102 connects the encryption communication device 101 and a communication partner device. The network 102 may be wired or wireless.
The software configuration in FIG. 1 is realized by the processor 521 reading the program stored in the memory 522 in FIG. The plurality of software blocks shown in FIG. 1 may be configured as one software block, or one software block may be configured as a plurality of software blocks. Also, some or all of the software blocks in FIG. 1 may be configured as hardware.
In the above, the security communication by IPsec has been described, but the present invention can also be used when a protocol other than IPsec is used.

（他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。 (Other embodiments)
The present invention supplies a program that realizes one or more functions of the above-described embodiments to a system or apparatus via a network or a storage medium, and one or more processors in the computer of the system or apparatus read and execute the program This process can be realized. It can also be realized by a circuit (for example, ASIC) that realizes one or more functions.

１０１…暗号通信装置、１０４…ネットワークプロトコル処理部、１０７…ＩＰｓｅｃ処理部、１０８…アドレス管理部 DESCRIPTION OF SYMBOLS 101 ... Encryption communication apparatus, 104 ... Network protocol processing part, 107 ... IPsec processing part, 108 ... Address management part

Claims

A communication device that transmits a packet to another communication device,
Search means for searching for setting information used for packet encryption or authentication based on a plurality of IP addresses of the communication device and a plurality of IP addresses of the other communication devices;
Generating means for generating a packet using the IP address of the communication device indicated by the setting information searched by the search means and the IP address of the other communication device;
Transmitting means for transmitting the packet generated by the generating means to the other communication device;
A communication apparatus comprising:

The communication device according to claim 1, wherein the setting information is information for applying IPsec (Security Architecture for Internet Protocol).

When a plurality of the setting information is searched by the search means, one of the plurality of setting information searched for based on a security strength of a packet generated based on the plurality of searched setting information. A selection means for selecting the setting information;
The generation unit generates a packet using an IP address of the communication device and an IP address of the other communication device indicated in the setting information selected by the selection unit. Or the communication apparatus of 2.

The communication apparatus according to claim 3, wherein the security strength is determined based on a number of security protocols to be applied.

The communication apparatus according to claim 3, wherein the security strength is determined based on an encryption or authentication scheme of an applied security protocol.

6. The communication apparatus according to claim 4, wherein the security protocol includes an Authentication Header and an Encapsulated Security Payload.

An obtaining unit for obtaining a first list indicating an IP address included in the communication device and a second list indicating an IP address included in the other communication device;
The search unit searches for setting information used for packet encryption or authentication based on the first list and the second list acquired by the acquisition unit. The communication device according to any one of the above.

8. The communication apparatus according to claim 7, wherein the first list is a list of IP addresses obtained by routing processing from IP addresses of the other communication apparatuses.

The said acquisition means acquires the said 2nd list | wrist using a DNS (Domain Name System) server, when the said other communication apparatus is designated by the host name, The Claim 7 or 8 characterized by the above-mentioned. Communication device.

When the other communication device is designated by a global IP address, the acquisition unit acquires a host name from a DNS (Domain Name System) server, and uses the host name to obtain a list of IP addresses of the other communication devices. The communication device according to claim 7, wherein the communication device is acquired.

A communication device control method for transmitting a packet to another communication device,
Retrieving setting information used for packet encryption or authentication based on a plurality of IP addresses possessed by the communication device and a plurality of IP addresses possessed by the other communication device;
Generating a packet using the IP address of the communication device and the IP address of the other communication device indicated in the retrieved setting information;
Transmitting the generated packet to the other communication device;
A control method characterized by comprising:

The program for functioning a computer as a communication apparatus of any one of Claim 1 to 10.