JP3651424B2

JP3651424B2 - Large-scale IPSec VPN construction method, large-scale IPSec VPN system, program, and key sharing information processing apparatus

Info

Publication number: JP3651424B2
Application number: JP2001257681A
Authority: JP
Inventors: 恭弘山口
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2001-08-28
Filing date: 2001-08-28
Publication date: 2005-05-25
Anticipated expiration: 2021-08-28
Also published as: JP2003069597A

Description

【０００１】
【発明の属する技術分野】
本発明は、複数のゲートウェイを有する大規模ＬＡＮとＩＰＳｅｃによるＶＰＮを構築するにあたり、鍵交換とともに鍵転送を行うことによって、一部のゲートウェイに障害が発生しても、通信不能とならない大規模ＩＰＳｅｃＶＰＮ構築方法、大規模ＩＰＳｅｃＶＰＮシステム、大規模ＩＰＳｅｃＶＰＮプログラム及び鍵共有情報処理装置に関する。
【０００２】
【従来の技術】
ＩＰＳｅｃ（ＳｅｃｕｒｉｔｙａｒｃｈｉｔｅｃｔｕｒｅｆｏｒＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ））は特定のメンバ間で秘密鍵を共有することによってセキュリティを確保している。
この秘密鍵を共有するためには、通常ＩＫＥ（ＩｎｔｅｒｎｅｔＫｅｙＥｘｃｈａｎｇｅ；インターネットキーエクスチェンジ）プロトコルを用いるが、これは特定の２者間で秘密鍵を生成するプロトコルであるため、事実上ＩＰＳｅｃは、特定２者間でセキュリティを確保するプロトコルになっている。
【０００３】
一方、大企業のネットワークなどの大規模なＬＡＮは、通常ＬＡＮ外からの通信を受け入れるために、複数のゲートウェイを持っている。そのため、一つのゲートウェイで障害が発生しても別のゲートウェイを経由して、ＬＡＮ外からの通信が可能になる。
【０００４】
ところが、ＩＰＳｅｃを用いると、ＬＡＮ外の装置は一つのゲートウェイとの間でしかセキュリティを確保できなくなるため、このゲートウェイにおいて障害が発生するとＬＡＮ内との通信ができなくなってしまっていた。
このような問題を解決するために、ＩＰＳｅｃによるセキュリティの確保が行われたゲートウェイに障害が発生した場合には、その時点で別のゲートウェイとの間で新たにＩＰＳｅｃ通信を行う方法なども行われている。
【０００５】
【発明が解決しようとする課題】
しかしながら、このような従来の方法などは、ゲートウェイの障害に備えて、常にその動作状況を監視する必要があることに加え、障害が発生した場合には、別のゲートウェイと再度新たに鍵の共有を行う必要があり、ネットワークに高い負荷をかける方法であった。
このため、一つのゲートウェイで障害が発生しても別のゲートウェイを経由してＬＡＮ外との通信を行うことのできる大規模ＬＡＮの利点を損なうことなく、ＩＰＳｅｃによるセキュリティの確保を可能とする方法等の実現が望まれていた。
【０００６】
本発明は、上記の事情にかんがみなされたものであり、従来のようなＩＰＳｅｃにおける不都合を解消し、ＩＰＳｅｃによるセキュリティの確保されたゲートウェイにおいて障害が発生しても、ネットワークに高負荷をかけることなく、別のゲートウェイを経由して、ＬＡＮ外からの通信を可能とする大規模ＩＰＳｅｃＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）構築方法、大規模ＩＰＳｅｃＶＰＮシステム、大規模ＩＰＳｅｃＶＰＮプログラム及び鍵共有情報処理装置の提供を目的とする。
【０００７】
【課題を解決するための手段】
上記目的を達成するため、本発明の請求項１記載の大規模ＩＰＳｅｃＶＰＮの構築方法は、複数のゲートウェイを有する大規模ＬＡＮのゲートウェイと、その他のＬＡＮのゲートウェイとの間で、ＩＰＳｅｃにもとづく鍵交換が行われた場合において、大規模ＬＡＮのゲートウェイのインターネットキーエクスチェンジ部が、このゲートウェイのＩＰＳｅｃ部に鍵設定を行うとともに、このゲートウェイの鍵転送部に鍵転送を要求し、ゲートウェイの鍵転送部が、要求に応じて、大規模ＬＡＮの他のゲートウェイの鍵転送部に鍵転送を行い、他のゲートウェイの鍵転送部が、この転送されてきた鍵を用いて、他のゲートウェイのＩＰＳｅｃ部に鍵設定を行う方法としてある。
【０００８】
大規模ＩＰＳｅｃＶＰＮの構築方法をこのような方法にすれば、大規模ＬＡＮ内において、鍵交換を行ったゲートウェイが、他のゲートウェイにその鍵をコピーし、実際には鍵交換を行っていないゲートウェイに、鍵交換行った場合と同様の権限をもたせることができる。
【０００９】
このため、鍵交換を行ったゲートウェイに障害が発生しても、他のゲートウェイが、その障害が発生したゲートウェイに代わり、同様の役割を果たすことが可能となるため、このような場合に通信不能とはならなくなる。
また、この方法によれば、余分に鍵交換を行う必要がなくなるため、ネットワークや、ゲートウェイにかかる負荷を大幅に軽減することが可能となる。
【００１０】
次に、本発明の請求項２記載の大規模ＩＰＳｅｃＶＰＮの構築方法は、鍵転送は、大規模ＬＡＮのゲートウェイが、大規模ＬＡＮの他のゲートウェイに鍵転送を要求し、他のゲートウェイが、この要求に対して、ＯＫ信号を暗号化してゲートウェイに返し、ゲートウェイが、この暗号化されたＯＫ信号を検査するとともに、鍵を暗号化して他のゲートウェイに転送し、他のゲートウェイが、この転送されてきた鍵を検査して、ゲートウェイにＯＫ信号を返す手順を含む方法としてある。
【００１１】
大規模ＩＰＳｅｃＶＰＮの構築方法をこのような方法にすれば、鍵転送を行う場合において、セキュリティを確保することが可能となり、この鍵転送を行うＬＡＮの内部に悪意のユーザが存在したとしても、盗聴などが行われることを防止することができる。
【００１２】
次に、本発明の請求項３記載の大規模ＩＰＳｅｃＶＰＮの構築方法は、大規模ＬＡＮの他のゲートウェイの鍵転送部が、大規模ＬＡＮのゲートウェイから鍵転送を受けると、他のゲートウェイのＩＰＳｅｃ部に鍵設定を行うとともに、この鍵を大規模ＬＡＮのさらなる他のゲートウェイの鍵転送部に転送し、さらなる他のゲートウェイも、他のゲートウェイと同様に、自分のＩＰＳｅｃ部に鍵設定を行うとともに、この鍵をゲートウェイの鍵転送部に転送し、ゲートウェイは、転送されてきた鍵が、最初に自分が転送した鍵に一致すること確認する方法としてある。
【００１３】
大規模ＩＰＳｅｃＶＰＮの構築方法をこのような方法にすれば、大規模ＬＡＮのゲートウェイが、３台以上の場合には、鍵転送を受けたゲートウェイが、さらに他のゲートウェイに鍵転送を行うことができ、鍵転送を効率的に行うことが可能となる。
また、大規模ＬＡＮ内のゲートウェイが多数ある場合には、鍵交換を行ったゲートウェイと鍵転送を受けたゲートウェイをコピー元として、同時に複数の転送を行うことによって、速やかに鍵転送を行うことも可能となる。
【００１４】
次に、本発明の請求項４記載の大規模ＩＰＳｅｃＶＰＮシステムは、複数のゲートウェイを有する大規模ＬＡＮのゲートウェイと、その他のＬＡＮのゲートウェイとの間で、ＩＰＳｅｃにもとづく鍵交換が行われると、大規模ＬＡＮ内のゲートウェイ間で鍵転送が行われる大規模ＩＰＳｅｃＶＰＮシステムであって、インターネットキーエクスチェンジ部によりその他のＬＡＮのゲートウェイと鍵交換を行うとともに、このインターネットキーエクスチェンジ部により自分のＩＰＳｅｃ部に鍵設定を行って、自分の鍵転送部に鍵転送を要求し、この鍵転送部により大規模ＬＡＮの他のゲートウェイに鍵転送を行う大規模ＬＡＮのゲートウェイと、大規模ＬＡＮのゲートウェイから、鍵転送部が鍵転送を受けるとともに、自分のＩＰＳｅｃ部に鍵設定を行う大規模ＬＡＮの他のゲートウェイと、大規模ＬＡＮのゲートウェイと鍵交換を行うその他のＬＡＮのゲートウェイと、大規模ＬＡＮのゲートウェイと、大規模ＬＡＮの他のゲートウェイと、その他のＬＡＮのゲートウェイを接続する通信回線とを有する構成としてある。
【００１５】
大規模ＩＰＳｅｃＶＰＮシステムをこのような構成にすれば、鍵交換を行ったゲートウェイに障害が発生しても、他のゲートウェイが、その障害が発生したゲートウェイに代わり、同様の役割を果たすことが可能となるため、ＩＰＳｅｃ通信不能とはならなくなる。
【００１６】
また、従来技術にあるように、別途鍵交換を行うことによって、迂回用のゲートウェイを設定する場合に比べると、本システムでは負荷の大きい鍵交換を１度しか行う必要がないため、ネットワークや、ゲートウェイにかかる負荷を大幅に軽減することが可能となる。
【００１７】
次に、本発明の請求項５記載の大規模ＩＰＳｅｃＶＰＮシステムは、鍵転送は、大規模ＬＡＮのゲートウェイが、大規模ＬＡＮの他のゲートウェイに鍵転送を要求し、他のゲートウェイが、この要求に対して、ＯＫ信号を暗号化してゲートウェイに返し、ゲートウェイが、この暗号化されたＯＫ信号を検査するとともに、鍵を暗号化して他のゲートウェイに転送し、他のゲートウェイが、この転送されてきた鍵を検査して、ゲートウェイにＯＫ信号を返す手順を含む構成としてある。
【００１８】
大規模ＩＰＳｅｃＶＰＮシステムをこのような構成にすれば、ＬＡＮの内部に悪意のユーザが存在したとしても、鍵転送時における盗聴などを防止することが可能となる。
【００１９】
次に、本発明の請求項６記載の大規模ＩＰＳｅｃＶＰＮシステムは、大規模ＬＡＮの他のゲートウェイの鍵転送部が、大規模ＬＡＮのゲートウェイから鍵転送を受けると、他のゲートウェイのＩＰＳｅｃ部に鍵設定を行うとともに、この鍵を大規模ＬＡＮのさらなる他のゲートウェイの鍵転送部に転送し、さらなる他のゲートウェイも、他のゲートウェイと同様に、自分のＩＰＳｅｃ部に鍵設定を行うとともに、この鍵をゲートウェイの鍵転送部に転送し、ゲートウェイは、転送されてきた鍵が、最初に自分が転送した鍵に一致すること確認する構成としてある。
【００２０】
大規模ＩＰＳｅｃＶＰＮシステムをこのような構成にすれば、大規模ＬＡＮのゲートウェイが、３台以上の場合には、鍵転送を受けたゲートウェイが、さらに他のゲートウェイに鍵転送を行うことができ、鍵転送を効率的に行うことが可能となる。
【００２１】
次に、本発明の請求項７記載の大規模ＩＰＳｅｃＶＰＮシステムは、転送が、大規模ＬＡＮが有する４台以上のゲートウェイについて同様に行われる構成としてある。
この転送とは、請求項６における鍵設定、鍵転送及び鍵の確認を含む鍵を転送する際の一連の処理を意味する。
大規模ＩＰＳｅｃＶＰＮシステムをこのような構成にすれば、大規模ＬＡＮが多数のゲートウェイを有する場合であっても、鍵転送を受けたゲートウェイ自体も、他のゲートウェイに対して鍵転送を行うことが可能となる。
【００２２】
この場合、鍵転送を受けたゲートウェイが、次に他のゲートウェイに鍵転送を順次行うといったように、単に複数の鍵転送を直線的に実施するのみならず、所定の鍵転送経路を設定するなどして、鍵交換を行ったゲートウェイと鍵転送を受けたゲートウェイをコピー元として、複数の転送を同時に実行することによって、速やかに転送を行うことも可能である。
【００２３】
次に、本発明の請求項８記載の大規模ＩＰＳｅｃＶＰＮシステムは、大規模ＬＡＮのゲートウェイと、その他のＬＡＮのゲートウェイが鍵交換を行うとともに、大規模ＬＡＮのゲートウェイが、大規模ＬＡＮの他のゲートウェイに鍵転送を行い、大規模ＬＡＮのゲートウェイに障害が発生すると、通信回線上の複数のルータの情報交換によって、大規模ＬＡＮのゲートウェイ宛の転送を、大規模ＬＡＮの他のゲートウェイに対して行うように経路情報が修正され、大規模ＬＡＮのホストに対して、その他のＬＡＮの他のホストからパケット発信がなされると、その他のＬＡＮのゲートウェイが、このパケットをカプセル化して、大規模ＬＡＮのゲートウェイ宛に通信回線を介して送信し、送信されたパケットが、修正された経路情報に従って、大規模ＬＡＮの他のゲートウェイに転送され、大規模ＬＡＮの他のゲートウェイが、送信されたパケットの逆カプセル化を行って、大規模ＬＡＮのホストに送信し、大規模ＬＡＮのホストがこの送信されてきたパケットの受信を行う構成としてある。
【００２４】
大規模ＩＰＳｅｃＶＰＮシステムをこのような構成にすれば、大規模ＬＡＮにおける鍵交換を行ったゲートウェイに障害が発生しても、鍵交換を行った時点で事前に、大規模ＬＡＮにおける他のゲートウェイに鍵転送が行われているため、その他のＬＡＮの他のホストから、その他のＬＡＮにおける上記鍵交換を行ったゲートウェイを経由して、大規模ＬＡＮのホストに対してパケットが送信された場合に、上記障害が発生したゲートウェイを迂回し、鍵転送を受けた他のゲートウェイを経由して、適切なホストに受信させることが可能となる。
なお、この場合のホストとは、所謂ホストコンピュータに限定する意味のものではなく、端末やサーバ等、ネットワークに接続する広く一般の情報処理装置を意味するものである。
【００２５】
次に、本発明の請求項９記載の大規模ＩＰＳｅｃＶＰＮプログラムは、複数のゲートウェイを有する大規模ＬＡＮのゲートウェイと、その他のＬＡＮのゲートウェイとの間で、ＩＰＳｅｃにもとづく鍵交換を行わせる大規模ＩＰＳｅｃＶＰＮプログラムであって、大規模ＬＡＮのゲートウェイのインターネットキーエクスチェンジ部が鍵交換を行った場合、ゲートウェイのインターネットキーエクスチェンジ部に、ゲートウェイのＩＰＳｅｃ部に対して鍵設定を行わせるとともに、ゲートウェイの鍵転送部に対して鍵転送を要求させ、ゲートウェイの鍵転送部に、大規模ＬＡＮの他のゲートウェイの鍵転送部に対して鍵転送を行わせ、他のゲートウェイの鍵転送部が鍵転送を受けた場合、他のゲートウェイの鍵転送部に、転送されてきた鍵を用いて、他のゲートウェイのＩＰＳｅｃ部に対して鍵設定を行わせる構成としてある。
【００２６】
大規模ＩＰＳｅｃＶＰＮプログラムをこのような構成にすれば、鍵交換を行ったゲートウェイに障害が発生しても、他のゲートウェイにその代役をさせることができるため、このような場合にＩＰＳｅｃ通信不能となることを防止することが可能となる。
また、従来技術の別途鍵交換を行うことにより迂回用のゲートウェイを設定する場合に比べると、負荷の大きい鍵交換を１度しか行わせないため、ネットワークや、ゲートウェイにかかる負荷を大幅に軽減させることが可能となる。
【００２７】
次に、本発明の請求項１０記載の大規模ＩＰＳｅｃＶＰＮプログラムは、鍵転送は、大規模ＬＡＮのゲートウェイに、大規模ＬＡＮの他のゲートウェイに対して鍵転送を要求させ、他のゲートウェイに、この要求に対して、ＯＫ信号を暗号化させてゲートウェイに返却させ、ゲートウェイに、この暗号化されたＯＫ信号を検査させるとともに、鍵を暗号化させて他のゲートウェイに転送させ、他のゲートウェイに、この転送されてきた鍵を検査させて、ゲートウェイにＯＫ信号を返却させる手順を含む構成としてある。
【００２８】
大規模ＩＰＳｅｃＶＰＮプログラムをこのような構成にすれば、ＬＡＮの内部に悪意のユーザが存在したとしても、鍵転送時における盗聴などを防止させることが可能となる。
【００２９】
次に、本発明の請求項１１記載の大規模ＩＰＳｅｃＶＰＮプログラムは、大規模ＬＡＮのゲートウェイの他の鍵転送部が鍵転送を受けた場合、この転送されてきた鍵を用いて、他のゲートウェイの鍵転送部に、他のゲートウェイのＩＰＳｅｃ部に対して鍵設定を行わせるとともに、大規模ＬＡＮのさらなる他のゲートウェイに対して鍵転送を行わせる構成としてある。
【００３０】
大規模ＩＰＳｅｃＶＰＮプログラムをこのような構成にすれば、大規模ＬＡＮのゲートウェイが、３台以上の場合に、鍵転送を受けたゲートウェイに、さらに他のゲートウェイへ鍵転送を行わせることができるため、鍵転送の効率化を図ることが可能となる。
【００３１】
次に、本発明の請求項１２記載の鍵共有情報処理装置は、通信回線を介してＩＰＳｅｃによる鍵交換を行う際に、鍵転送も行う鍵共有情報処理装置であって、鍵共有情報処理装置のインターネットキーエクスチェンジ部が、鍵交換を行った場合には、このインターネットキーエクスチェンジ部が、鍵共有情報処理装置のＩＰＳｅｃ部に鍵設定を行うとともに、鍵共有情報処理装置の鍵転送部に鍵転送を要求し、この鍵転送部が他の鍵共有情報処理装置に鍵転送を行い、鍵共有情報処理装置の鍵転送部が、鍵転送を受けた場合には、この転送されてきた鍵を用いて、鍵共有情報処理装置のＩＰＳｅｃ部に鍵設定を行う構成としてある。
【００３２】
鍵共有情報処理装置をこのような構成にすれば、自分が鍵交換を行った場合には、自身のＩＰＳｅｃ部に鍵設定を行うとともに、他の鍵共有情報処理装置に鍵を転送し、他の鍵共有情報処理装置が鍵設定を行った場合には、鍵転送を受けるとともに、この転送されてきた鍵を自身のＩＰＳｅｃ部に設定することが可能となる。
【００３３】
そして、大規模ＬＡＮなどにおいて、このような鍵共有情報処理装置をＬＡＮ外との情報の送受信の窓口として用いることにより、特定の鍵共有情報処理装置に障害が発生しても、この鍵共有情報処理装置から鍵転送を受けた他の鍵共有情報処理装置が、その代役を果たすことにより、通信不能となることを防止することが可能となる。
【００３４】
また、このような鍵共有情報処理装置を、大規模ＩＰＳｅｃＶＰＮ以外に応用してもかまわない。
例えば、インターネットショッピングなどにおいて、利用者端末が、ショップにおける本発明の鍵共有情報処理装置とセキュリティを確立する際に、ショップの別個の鍵共有情報処理装置に鍵転送を行うことによって、利用者のショッピング中にショップの鍵共有情報処理装置に障害が発生しても、その別個の鍵共有情報処理装置に以降の処理を代行させることによって、通信不能となることを防止することが可能となる。
【００３５】
次に、本発明の請求項１３記載の鍵共有情報処理装置は、大規模ＩＰＳｅｃＶＰＮにおけるゲートウェイである構成としてある。
鍵共有情報処理装置をこのような構成にすれば、上記のような鍵転送機能を大規模ＩＰＳｅｃＶＰＮにおけるゲートウェイにもたせることが可能となる。
【００３６】
【発明の実施の形態】
以下、本発明の実施形態につき、図面を参照して説明する。
［第一実施形態］
まず、本発明の第一実施形態について、図１を参照して説明する。同図は、本実施形態における大規模ＩＰＳｅｃＶＰＮシステムの構成を示すブロック図である。
【００３７】
同図に示すように、大規模ＩＰＳｅｃＶＰＮシステムは、ＬＡＮＡ１０、ＬＡＮＢ２０及び通信回線３０を有している。
ＬＡＮＡ１０は、複数のゲートウェイを有する大規模ＬＡＮであって、ゲートウェイＡ１（ＧＷ＿Ａ１）１１とゲートウェイＡ２（ＧＷ＿Ａ２）１２等を有している。
【００３８】
また、ＬＡＮＢ２０は、その他のＬＡＮであって、その規模に特に制限はないが、ゲートウェイＢ（ＧＷ＿Ｂ）２１等を有している。
これらＬＡＮＡ１０とＬＡＮＢ２０とは通信回線３０を介して接続されている。
【００３９】
そして、これらＬＡＮＡ１０とＬＡＮＢ２０が通信するにあたり、ＩＰＳｅｃによるセキュリティを確保したい場合には、通常、例えばゲートウェイＡ１１１と、ゲートウェイＢ２１が、ＩＫＥ（インターネットキーエクスチェンジ）による鍵交換を行って同じ鍵を共有し、その鍵を使ってＩＰＳｅｃ通信を行う。
【００４０】
この際、本実施形態においては、ゲートウェイＡ１１１と、ゲートウェイＢ２１が鍵交換を行うにあたり、ゲートウェイＡ１１１が、ゲートウェイＡ２１２に鍵転送を行って、その後ゲートウェイＡ１１１に障害が発生しても、ゲートウェイＡ２１２にＩＰＳｅｃ通信機能を代行させることを可能とする。
【００４１】
通信回線３０としては、従来公知の任意好適な公衆回線、商業回線又は専用回線を用いることができる。また、ゲートウェイＡ１１１、ゲートウェイＡ２１２及びゲートウェイＢ２１等のそれぞれの間においては、同一又は別個の通信回線で構成することができる。
【００４２】
さらに、通信回線３０は、ゲートウェイＡ１１１、ゲートウェイＡ２１２及びゲートウェイＢ２１等のそれぞれの間を、無線あるいは有線で接続可能な回線であり、例えば、携帯端末網、公衆回線網、専用回線網及びインターネット回線網により構成することができる。
【００４３】
次に、図２を用いて、上記各ゲートウェイの機能について、その処理手順とともに詳細に説明する。
ゲートウェイＡ１１１は、ＩＫＥ部１１１、ＩＰＳｅｃ部１１２、鍵転送部１１３を有している。
また、ゲートウェイＡ２１２も同様に、ＩＫＥ部１２１、ＩＰＳｅｃ部１２２、鍵転送部１２３を有しており、ゲートウェイＢ２１は、ＩＫＥ部２１１及びＩＰＳｅｃ部２１２を有している。
【００４４】
そして、ＩＫＥ部１１１が、ＩＫＥ部２１１と鍵交換を行う（ステップ１０）と、これらはそれぞれ、ＩＰＳｅｃ部１１２、ＩＰＳｅｃ部２１２に鍵設定を行う（ステップ１１）。
この鍵交換としては、ＩＫＥによる従来の鍵交換技術を用いる。そして、鍵設定によって、それぞれのＩＰＳｅｃ部に共通の鍵が設定される。
【００４５】
次に、鍵交換を行ったゲートウェイＡ１１１のＩＫＥ部１１１は、鍵転送部１１３に鍵転送要求を行い（ステップ１２）、この鍵転送部１１３は、ゲートウェイＡ２１２の鍵転送部１２３に鍵転送を行う（ステップ１３）。
鍵転送を受けた鍵転送部１２３は、ＩＰＳｅｃ部１２２に鍵設定を行う（ステップ１４）。
【００４６】
このようにすることによって、ゲートウェイＢ２１のＩＰＳｅｃ部２１２は、ゲートウェイＡ１１１のＩＰＳｅｃ部１１２とＩＰＳｅｃ通信を行うことができるとともに、ゲートウェイＡ１１１に障害が発生して、これと通信を行うことができなくなった場合にあっても、ゲートウェイＡ２１２のＩＰＳｅｃ部１２２とＩＰＳｅｃ通信を行うことが可能となる（ステップ１５）。
【００４７】
次に、図３を用いて、上記鍵転送の処理手順について詳細に説明する。同図は、本実施形態の大規模ＩＰＳｅｃＶＰＮシステムにおける鍵転送プロトコルの動作を表わす動作手順図である。
まず、ゲートウェイＡ１１１の鍵転送部１１３が、ゲートウェイＡ２１２の鍵転送部１２３に対して、鍵転送を要求する（ステップ２０）。
【００４８】
これに対して、鍵転送部１２３は、鍵転送部１１３にＯＫ信号を返す（ステップ２１）。
このときのＯＫ信号は、ＩＰＳｅｃ処理の一種である認証付暗号ＥＳＰ（ＥｎｃａｐｓｕｌａｔｉｎｇＳｅｃｕｒｉｔｙＰｒｏｔｏｃｏｌ）により暗号化されて送信される。
【００４９】
ＯＫ信号を受けた鍵転送部１１３は、このＯＫ信号の認証符号を検査し、鍵を転送する相手が本物のゲートウェイＡ２１２であることを確認する（ステップ２２）。
そして、鍵転送部１１３は、鍵転送部１２３に鍵転送を行う（ステップ２３）。
【００５０】
このときの鍵データも認証付暗号ＥＳＰによってＩＰＳｅｃ処理される。
このような暗号化を行うことによって、ＬＡＮＡ１０内に悪意のユーザが存在しても、盗聴などを行うことはできない。
そして、鍵転送部１２３は、送信されてきた鍵データの認証符号を検査し、鍵データを送ったのが本物のゲートウェイＡ１１１であることを確認する（ステップ２４）。
【００５１】
最後に、鍵転送部１２３は、転送された鍵を自らの鍵として設定するとともに、鍵転送部１１３に対して、ＯＫ信号を返す（ステップ２５）。
このＯＫ信号については、特に認証付暗号ＥＳＰによるＩＰＳｅｃ処理を行う必要はないが、行ってもかまわない。
【００５２】
次に、第一実施形態の大規模ＩＰＳｅｃＶＰＮシステムの処理手順について、図４及び図５を参照して説明する。
図４は、本実施形態における鍵交換及び鍵転送を説明するためのものであり、図５は、鍵転送が行われた後に、鍵交換を行った大規模ＬＡＮにおけるゲートウェイが故障した場合に、どのようにＩＰＳｅｃ通信が実現されるのかを説明するためのものである。
【００５３】
なお、これらの図において、Ｒ１、Ｒ２、Ｒ３は通信回線上に存在し、それぞれゲートウェイＢ２１、ゲートウェイＡ１１１、ゲートウェイＡ２１２との情報の送受信を中継するルータであり、これら以外の構成及びその機能については、図１と同様である。
【００５４】
まず、図４において、ゲートウェイＡ１１１とゲートウェイＢ２１の間で、鍵交換が行われると（ステップ３０）、ゲートウェイＡ１１１は、ゲートウェイＡ２１２に対して上述したようなネゴシエーションを行って、鍵転送を行う（ステップ３１）。
【００５５】
次に、図５において、ゲートウェイＡ１１１に障害が発生し、通信回線を介した通信が行えなくなると（ステップ４０）、ルーティングプロトコルによってＲ２がこれを認識するとともに、Ｒ１、Ｒ３にその情報を伝達し、ゲートウェイＡ１１１宛の全てのパケットを、ゲートウェイＡ２１２に転送するように、経路情報が修正される（ステップ４１）。
【００５６】
そして、ＬＡＮＢ２０におけるホストｂ（Ｈｏｓｔｂ）が、ＬＡＮＡ１０におけるホストａ（Ｈｏｓｔａ）に対してパケットを発信すると（ステップ４２）、ゲートウェイＢ２１は、このパケットを受け取って、正常時と同様にＩＰＳｅｃのカプセル化を行って（ステップ４３）、最寄りのルータＲ１に転送する。
このとき、ステップ４１により転送経路情報が変更されているため、通信回線を通ったパケットは、鍵交換を行ったゲートウェイＡ１１１ではなく、最終的に、ゲートウェイＡ２１２にたどり着く（ステップ４４）。
【００５７】
ゲートウェイＡ２１２は、ゲートウェイＢ２１と共有する鍵をもっているため、これを使って逆カプセル化を行い（ステップ４５）、この逆カプセル化されたパケットは、ゲートウェイＡ２１２によって、ホストａに転送される（ステップ４６）。
このようにして、ゲートウェイＡ１１１の障害にも拘わらず、ホストａとホストｂ間のＩＰＳｅｃ通信は成立する。
【００５８】
［第二実施形態］
次に、本発明の第二実施形態につき、図６を参照して説明する。同図は、本実施形態の大規模ＩＰＳｅｃＶＰＮシステムの機能を示すブロック図である。
本実施形態は、第一実施形態と比較して、ＬＡＮＡ１０において、鍵転送が複数回行われる点で相違する。
【００５９】
同図に示すように、本実施形態の大規模ＩＰＳｅｃＶＰＮシステムのＬＡＮＡ１０は、ゲートウェイＡ１１１、ゲートウェイＡ２１２、ゲートウェイＡ３１３を有している。これ以外の構成及びその機能については、図１におけるものと同様である。
まず、ゲートウェイＡ１１１とゲートウェイＢ２１間で鍵交換が行われると（ステップ５０）、ゲートウェイＡ１１１は、この鍵を自らに設定するとともに、ゲートウェイＡ２１２に対して鍵転送を行う。
【００６０】
鍵転送を受けたゲートウェイＡ２１２は、自ら鍵設定を行うとともに、さらにゲートウェイＡ３１３に対して、鍵転送を行う。
そして、ゲートウェイＡ３１３は、自ら鍵設定を行うとともに、鍵をさらにゲートウェイＡ１１１に送信し、ゲートウェイＡ１１１が、この送信されてきた鍵が、自分が転送した鍵と一致することを確認して鍵転送を終了する（ステップ５１）。
【００６１】
なお、本実施形態においては、ＬＡＮＡ１０内の３台のゲートウェイ間で、鍵転送を行っているが、より多くのゲートウェイ間で同様の処理を行うこともできる。
また、本実施形態においては、鍵転送を受けたゲートウェイが、次に他のゲートウェイに鍵転送を順次行う手順としているが、より多くのゲートウェイ間で転送処理を行う場合には、所定の鍵転送経路を設定するなどして、鍵交換を行ったゲートウェイと鍵転送を受けたゲートウェイをコピー元として、まだ鍵転送を受けていないゲートウェイに対し、複数の転送を同時に実行することによって、速やかに転送を行うことも可能である。
【００６２】
さらに、マルチキャスト（Ｍｕｌｔｉｃａｓｔ）ＩＰＳｅｃによって、大規模ＬＡＮのゲートウェイに一斉に鍵転送し、鍵設定を行うようにしてもよい。
また、以上の実施形態では、ＬＡＮＢ２０内において、鍵転送処理を行ってはいないが、ＬＡＮＢ２０が複数のゲートウェイを有する場合にはＬＡＮＡ１０における場合と同様に、必要に応じて鍵転送による鍵の共有化を行うことはもちろん可能である。
【００６３】
加えて、これらの実施形態におけるゲートウェイの機能を、ＶＰＮ以外に応用することも可能である。
すなわち、このような鍵転送機能による鍵の共有化を、例えば、インターネット上にショップを提供するサーバなどの情報処理装置（鍵共有情報処理装置）に用いることにより、インターネットショッピングにおいてセキュリティを確立した後に、一部の情報処理装置に障害が発生したとしても、通信不能となることを防止することが可能となる。
【００６４】
そして、このような処理についても、上記実施形態において、ゲートウェイの代わりに鍵共有情報処理装置を用いることにより、同様の構成（ただし、この場合、ＬＡＮＡ１０は大規模でなくともよい。）で、同様の鍵転送プロトコルを用いて実現することが可能である。
【００６５】
大規模ＩＰＳｅｃＶＰＮシステムにおける処理手順をこのような順序とすれば、大規模ＬＡＮ内のゲートウェイが鍵をコピーすることによって、実際には鍵交換をしていない相手とも鍵を共有することができるため、複数のゲートウェイを有する大規模なＬＡＮとＩＰＳｅｃによるＶＰＮを構築するにあたり、その一部のゲートウェイの障害などによる通信不能を防止することが可能となる。
また、大規模ＬＡＮ内のゲートウェイ間における鍵の共有化を、鍵転送によって行うことにより、このような鍵の共有化を鍵交換によって行う場合に比較すると、装置にかかる負荷を大幅に削減することが可能となる。
【００６６】
上記の実施形態における鍵転送等は、大規模ＩＰＳｅｃＶＰＮプログラムにより実行される。
この大規模ＩＰＳｅｃＶＰＮプログラムは、コンピュータの各構成要素に指令を送り、所定の処理、例えば、鍵転送処理等を行わせる。
これによって、これらの処理は、大規模ＩＰＳｅｃＶＰＮプログラムとコンピュータとが協働したゲートウェイＡ１１１、ゲートウェイＡ２１２等により実現される。
【００６７】
なお、大規模ＩＰＳｅｃＶＰＮプログラムは、コンピュータのＲＯＭやハードディスクに記憶させる他、コンピュータ読み取り可能な記録媒体、例えば、外部記憶装置及び可搬記録媒体等に格納することができる。
外部記憶装置とは、磁気ディスク等の記録媒体を内蔵し、例えばゲートウェイＡ１１１などに外部接続される記憶増設装置をいう。一方、可搬記録媒体とは、記録媒体駆動装置（ドライブ装置）に装着でき、かつ、持ち運び可能な記録媒体であって、例えば、ＣＤ−ＲＯＭ、フレキシブルディスク、メモリカード、光磁気ディスク等をいう。
【００６８】
そして、記録媒体に記録されたプログラムは、コンピュータのＲＡＭにロードされて、ＣＰＵにより実行される。この実行により、上述した本実施形態のゲートウェイＡ１１１、ゲートウェイＡ２１２等の機能が実現される。
さらに、コンピュータで大規模ＩＰＳｅｃＶＰＮプログラムをロードする場合、他のコンピュータで保有された大規模ＩＰＳｅｃＶＰＮプログラムを、通信回線を利用して自己の有するＲＡＭや外部記憶装置にダウンロードすることもできる。
このダウンロードされた大規模ＩＰＳｅｃＶＰＮプログラムも、ＣＰＵにより実行され、鍵転送処理等を実現する。
【００６９】
なお、本発明は以上の実施形態に限定されるものではなく、これをＶＰＮ構築以外の場合にも応用することができる。
例えば、インターネットショッピングにおいて、利用者端末が、ショップのサーバとセキュリティを確立する際に、ショップの別個のサーバに鍵転送を行うことによって、利用者のショッピング中にショップのサーバに障害が発生しても、その別個のサーバに以降の処理を代行させることによって、通信不能とならなくするなど、適宜設計変更できるものである。
【００７０】
【発明の効果】
以上のように、本発明によれば、複数のゲートウェイを有する大規模なＬＡＮとＩＰＳｅｃによるＶＰＮを構築する場合に、一部のゲートウェイの障害などによる通信不能を防止することができる。
【００７１】
また、鍵交換によって装置にかかる負荷を大幅に軽減することが可能となる。すなわち、ＩＫＥによる鍵交換は、公開鍵暗号技術にもとづく処理であり、他の処理に比べて非常に負荷が大きく、障害時の迂回を考えて２つ以上のゲートウェイとそれぞれ鍵交換を行えば、ゲートウェイの台数分だけ鍵交換を行う必要があるが、本方式では１度の鍵交換でよい。
【００７２】
さらに、システム全体を安価に構築することが期待できる。これは、パケットがどのゲートウェイに渡されるかはインターネット上のルータが決める方式であるため、大規模なＬＡＮにアクセスする側のＬＡＮは、相手のどのゲートウェイと通信しているかを意識しなくて良いからである。
すなわち、これは本方式を実現するためにアクセスする側のゲートウェイに特別な仕掛けが必要ないことを意味する。
【００７３】
このようなネットワークは、一般に、１つの大規模ＬＡＮに多数の小規模ＬＡＮがアクセスする構成をとるため、小規模ＬＡＮ側のゲートウェイとして、ＩＰＳｅｃ／ＩＫＥに対応した通常のＩＰＳｅｃゲートウェイを用いることができれば、システム全体として安価なものとなる。
【００７４】
また、大規模ＩＰＳｅｃＶＰＮプログラムは、コンピュータの各構成要素へ所定の指令を送ることにより、このコンピュータに、鍵転送機能等を実現させることができる。
これによって、これらの機能等は、大規模ＩＰＳｅｃＶＰＮプログラムとコンピュータとが協働したゲートウェイ等により実現可能である。
【図面の簡単な説明】
【図１】本発明の第一実施形態における大規模ＩＰＳｅｃＶＰＮシステムの構成を示すブロック図である。
【図２】本発明の第一実施形態における大規模ＩＰＳｅｃＶＰＮシステムのゲートウェイの機能を示すブロック図である。
【図３】本発明の各実施形態における大規模ＩＰＳｅｃＶＰＮシステムの鍵転送プロトコルの動作を示す動作手順図である。
【図４】本発明の第一実施形態における大規模ＩＰＳｅｃＶＰＮシステムの機能を示すブロック図（１）である。
【図５】本発明の第一実施形態における大規模ＩＰＳｅｃＶＰＮシステムの機能を示すブロック図（２）である。
【図６】本発明の第二実施形態における大規模ＩＰＳｅｃＶＰＮシステムの機能を示すブロック図である。
【符号の説明】
１０ＬＡＮＡ
１１ゲートウェイＡ１（ＧＷ＿Ａ１）
１２ゲートウェイＡ２（ＧＷ＿Ａ２）
１３ゲートウェイＡ３（ＧＷ＿Ａ３）
１４ホストａ（Ｈｏｓｔａ）
２０ＬＡＮＢ
２１ゲートウェイＢ（ＧＷ＿Ｂ）
２２ホストｂ（Ｈｏｓｔｂ）
３０通信回線
３１ルータ１（Ｒ１）
３２ルータ２（Ｒ２）
３３ルータ３（Ｒ３）[0001]
BACKGROUND OF THE INVENTION
In constructing a VPN with a large-scale LAN having a plurality of gateways and IPSec, the present invention performs a key transfer together with key exchange, so that even if some gateways fail, a large-scale IPSec that does not become incapable of communication. The present invention relates to a VPN construction method, a large-scale IPSec VPN system, a large-scale IPSec VPN program, and a key sharing information processing apparatus.
[0002]
[Prior art]
IPSec (Security architecture for IP (Internet Protocol)) secures security by sharing a secret key between specific members.
In order to share this secret key, the IKE (Internet Key Exchange) protocol is usually used, but since this is a protocol for generating a secret key between two specific parties, IPSec is effectively specified. It is a protocol that ensures security between the two parties.
[0003]
On the other hand, large-scale LANs such as large corporate networks usually have a plurality of gateways in order to accept communications from outside the LAN. Therefore, even if a failure occurs in one gateway, communication from outside the LAN becomes possible via another gateway.
[0004]
However, when IPSec is used, a device outside the LAN can ensure security only with a single gateway, and if a failure occurs in this gateway, communication with the LAN becomes impossible.
In order to solve such a problem, when a failure occurs in a gateway where security is ensured by IPSec, a method of newly performing IPSec communication with another gateway at that time is also performed. ing.
[0005]
[Problems to be solved by the invention]
However, in the case of such a conventional method, it is necessary to constantly monitor the operation status in preparation for a gateway failure, and in the event of a failure, a new key is shared again with another gateway. It was a method to put a high load on the network.
For this reason, even if a failure occurs in one gateway, it is possible to ensure security by IPSec without impairing the advantages of a large-scale LAN that can communicate with outside the LAN via another gateway. Etc. were desired.
[0006]
The present invention has been considered in view of the above circumstances, solves the conventional problems of IPSec, and does not put a heavy load on the network even if a failure occurs in a security-secured gateway by IPSec. To provide a large-scale IPSec VPN (Virtual Private Network) construction method, a large-scale IPSec VPN system, a large-scale IPSec VPN program, and a key sharing information processing apparatus that enable communication from outside the LAN via another gateway And
[0007]
[Means for Solving the Problems]
In order to achieve the above object, a method for constructing a large-scale IPSec VPN according to claim 1 of the present invention is a key based on IPSec between a gateway of a large-scale LAN having a plurality of gateways and gateways of other LANs. When the exchange is performed, the Internet key exchange unit of the gateway of the large-scale LAN sets a key in the IPSec unit of the gateway and requests the key transfer unit of the gateway to perform key transfer. In response to the request, the key is transferred to the key transfer unit of the other gateway of the large-scale LAN, and the key transfer unit of the other gateway uses the transferred key to the IPSec unit of the other gateway. This is a key setting method.
[0008]
If the construction method of the large-scale IPSec VPN is such a method, the gateway that has exchanged the key in the large-scale LAN copies the key to another gateway and does not actually exchange the key. Can have the same authority as in the case of key exchange.
[0009]
For this reason, even if a failure occurs in the key exchange gateway, other gateways can play the same role in place of the failure gateway, so communication is not possible in such a case. It will not be.
Also, according to this method, it is not necessary to perform extra key exchange, so that the load on the network and the gateway can be greatly reduced.
[0010]
Next, in the method for constructing a large-scale IPSec VPN according to claim 2 of the present invention, the key transfer is such that the gateway of the large-scale LAN requests the key transfer from another gateway of the large-scale LAN, and the other gateways In response to this request, an OK signal is encrypted and returned to the gateway, and the gateway inspects the encrypted OK signal, encrypts the key, and forwards it to the other gateway. This is a method including a procedure of checking a key that has been sent and returning an OK signal to the gateway.
[0011]
If such a method for constructing a large-scale IPSec VPN is used, it is possible to ensure security when performing key transfer, and even if a malicious user exists in the LAN that performs this key transfer, Eavesdropping and the like can be prevented.
[0012]
Next, in the method for constructing a large-scale IPSec VPN according to claim 3 of the present invention, when the key transfer unit of another gateway of the large-scale LAN receives the key transfer from the gateway of the large-scale LAN, the IPSec of the other gateway The key is set in the unit, and the key is transferred to the key transfer unit of another gateway in the large-scale LAN. The other gateway sets the key in its own IPSec unit in the same manner as the other gateways. This key is transferred to the key transfer unit of the gateway, and the gateway confirms that the transferred key matches the key transferred by itself.
[0013]
If such a method is used for constructing a large-scale IPSec VPN, if there are three or more gateways of a large-scale LAN, the gateway that has received the key transfer may further perform the key transfer to another gateway. It is possible to perform key transfer efficiently.
If there are many gateways in a large-scale LAN, key transfer can be performed quickly by simultaneously performing multiple transfers using the gateway that has performed key exchange and the gateway that has received key transfer as the copy source. It becomes possible.
[0014]
Next, in the large-scale IPSec VPN system according to claim 4 of the present invention, when key exchange based on IPSec is performed between a large-scale LAN gateway having a plurality of gateways and another LAN gateway, A large-scale IPSec VPN system in which keys are transferred between gateways in a large-scale LAN. The Internet key exchange unit exchanges keys with other LAN gateways, and the Internet key exchange unit allows its own IPSec unit to be exchanged. From the large-scale LAN gateway that performs key setting, requests key transfer to its own key transfer unit, and transfers the key to another gateway of the large-scale LAN by this key transfer unit, and the gateway of the large-scale LAN The forwarding part receives the key forwarding, and the own IPSec part Other gateways for large-scale LANs for key setting, gateways for other LANs for key exchange with large-scale LAN gateways, gateways for large-scale LANs, other gateways for large-scale LANs, and other LANs And a communication line connecting the gateway.
[0015]
If the large-scale IPSec VPN system is configured in this way, even if a failure occurs in the gateway that exchanged the keys, other gateways can play the same role instead of the failed gateway. Therefore, IPSec communication is not disabled.
[0016]
Also, as in the prior art, by performing separate key exchange, compared to the case of setting a detour gateway, this system only needs to perform a heavy key exchange once, so the network, The load on the gateway can be greatly reduced.
[0017]
Next, in the large-scale IPSec VPN system according to claim 5 of the present invention, in the key transfer, the gateway of the large-scale LAN requests key transfer from another gateway of the large-scale LAN, and the other gateway requests this request. On the other hand, the OK signal is encrypted and returned to the gateway, and the gateway inspects the encrypted OK signal and encrypts the key and forwards it to the other gateway. The configuration includes a procedure for checking the received key and returning an OK signal to the gateway.
[0018]
If the large-scale IPSec VPN system has such a configuration, even if a malicious user exists in the LAN, it is possible to prevent wiretapping at the time of key transfer.
[0019]
Next, in the large-scale IPSec VPN system according to claim 6 of the present invention, when the key transfer unit of the other gateway of the large-scale LAN receives the key transfer from the gateway of the large-scale LAN, the IPSec unit of the other gateway In addition to performing key setting, this key is transferred to the key transfer unit of another gateway of the large-scale LAN, and the other gateway also performs key setting in its own IPSec unit in the same manner as other gateways. The key is transferred to the key transfer unit of the gateway, and the gateway confirms that the transferred key matches the key transferred by itself for the first time.
[0020]
If the large-scale IPSec VPN system has such a configuration, when there are three or more large-scale LAN gateways, the gateway that has received the key transfer can perform key transfer to another gateway. Key transfer can be performed efficiently.
[0021]
Next, the large-scale IPSec VPN system according to claim 7 of the present invention is configured such that the transfer is similarly performed for four or more gateways included in the large-scale LAN.
This transfer means a series of processing when transferring a key including key setting, key transfer and key confirmation in claim 6.
If the large-scale IPSec VPN system is configured in this way, even if the large-scale LAN has a large number of gateways, the gateway itself that has received the key transfer can also perform key transfer to other gateways. It becomes possible.
[0022]
In this case, the gateway that has received the key transfer not only simply performs a plurality of key transfers linearly, such as sequentially performing key transfers to other gateways, but also sets a predetermined key transfer path, etc. Thus, it is also possible to perform the transfer quickly by simultaneously executing a plurality of transfers using the gateway that has performed the key exchange and the gateway that has received the key transfer as a copy source.
[0023]
Next, in the large-scale IPSec VPN system according to claim 8 of the present invention, the gateway of the large-scale LAN and the gateway of the other LAN exchange keys, and the gateway of the large-scale LAN When a key is transferred to a gateway and a failure occurs in the gateway of a large-scale LAN, transfer to the gateway of the large-scale LAN is transferred to other gateways of the large-scale LAN by exchanging information between multiple routers on the communication line. When the route information is modified as described above and a packet is transmitted from another host of the other LAN to the host of the large-scale LAN, the gateway of the other LAN encapsulates the packet, and the large-scale LAN Is sent to the gateway via the communication line, and the transmitted packet is in accordance with the corrected route information. Forwarded to another gateway of the large LAN, and the other gateway of the large LAN decapsulates the transmitted packet and sends it to the host of the large LAN, and the host of the large LAN sends this transmission. The received packet is received.
[0024]
If the large-scale IPSec VPN system has such a configuration, even if a failure occurs in the gateway that has exchanged the key in the large-scale LAN, the gateway to the other gateway in the large-scale LAN in advance when the key exchange is performed. Since key transfer is performed, when a packet is transmitted from another host of another LAN to the host of the large-scale LAN via the gateway that has performed the key exchange in the other LAN, It is possible to bypass the gateway in which the failure has occurred and allow an appropriate host to receive it via another gateway that has received the key transfer.
The host in this case is not limited to a so-called host computer, but means a general information processing apparatus connected to a network such as a terminal or a server.
[0025]
Next, the large-scale IPSec VPN program according to claim 9 of the present invention is: Allows key exchange based on IPSec between a gateway of a large-scale LAN having a plurality of gateways and a gateway of another LAN A large-scale IPSec VPN program, the Internet key exchange section of a large-scale LAN gateway But When key exchange is performed , Causes the Internet key exchange unit of the gateway to perform key setting for the IPSec unit of the gateway and requests the key transfer unit of the gateway to perform key transfer, and causes the gateway key transfer unit to send another gateway of the large-scale LAN. Make the key transfer part of the other Gateway key transfer unit But When receiving a key transfer Of other gateways Using the transferred key to the key transfer unit, other The configuration is such that key setting is performed for the IPSec section of the gateway.
[0026]
If the large-scale IPSec VPN program is configured in this way, even if a failure occurs in the gateway that has exchanged the key, other gateways can substitute for it. It becomes possible to prevent becoming.
In addition, compared to the case of setting a bypass gateway by performing a separate key exchange in the prior art, a key exchange with a large load can be performed only once, so the load on the network and the gateway is greatly reduced. It becomes possible.
[0027]
Next, in the large-scale IPSec VPN program according to claim 10 of the present invention, the key transfer is performed by causing a gateway of the large-scale LAN to request key transfer to another gateway of the large-scale LAN, and causing the other gateway to In response to this request, an OK signal is encrypted and returned to the gateway, and the gateway is inspected for the encrypted OK signal, and the key is encrypted and transferred to another gateway. The configuration includes a procedure for checking the transferred key and returning an OK signal to the gateway.
[0028]
If the large-scale IPSec VPN program has such a configuration, even if a malicious user exists in the LAN, it is possible to prevent eavesdropping at the time of key transfer.
[0029]
Next, the large-scale IPSec VPN program according to claim 11 of the present invention is a gateway for a large-scale LAN. other Key transfer part But When receiving a key transfer , Using this transferred key, other In the key transfer part of the gateway, other In this configuration, the IPSec part of the gateway is set with a key, and another gateway of the large-scale LAN is further subjected to key transfer.
[0030]
If the large-scale IPSec VPN program has such a configuration, when there are three or more large-scale LAN gateways, it is possible to cause the gateway that has received the key transfer to perform key transfer to another gateway. Thus, it is possible to improve the efficiency of key transfer.
[0031]
Next, a key sharing information processing apparatus according to claim 12 of the present invention is a key sharing information processing apparatus that also performs key transfer when performing key exchange by IPSec via a communication line. When the Internet key exchange unit performs key exchange, the Internet key exchange unit sets a key in the IPSec unit of the key sharing information processing apparatus and transfers a key to the key transfer unit of the key sharing information processing apparatus. When the key transfer unit performs key transfer to another key sharing information processing apparatus and the key transfer unit of the key sharing information processing apparatus receives the key transfer, the transferred key is used. Thus, the key setting is performed in the IPSec section of the key sharing information processing apparatus.
[0032]
If the key sharing information processing device has such a configuration, when the user performs key exchange, the key is set in the own IPSec unit, and the key is transferred to another key sharing information processing device. When the key sharing information processing apparatus performs key setting, it is possible to receive key transfer and set the transferred key in its own IPSec section.
[0033]
In a large-scale LAN or the like, even if a failure occurs in a specific key sharing information processing apparatus, such key sharing information processing apparatus can be used as a window for transmitting and receiving information to and from outside the LAN. When another key sharing information processing apparatus that has received the key transfer from the processing apparatus fulfills its role, it becomes possible to prevent communication from being disabled.
[0034]
Further, such a key sharing information processing apparatus may be applied to other than a large-scale IPSec VPN.
For example, in Internet shopping, when a user terminal establishes security with the key sharing information processing apparatus of the present invention in a shop, by transferring the key to a separate key sharing information processing apparatus in the shop, the user terminal Even if a failure occurs in the shop's key sharing information processing apparatus during shopping, it is possible to prevent communication from becoming impossible by substituting the separate processing for the key sharing information processing apparatus.
[0035]
Next, the key agreement information processing apparatus according to claim 13 of the present invention is configured as a gateway in a large-scale IPSec VPN.
If the key sharing information processing apparatus has such a configuration, the key transfer function as described above can be provided to a gateway in a large-scale IPSec VPN.
[0036]
DETAILED DESCRIPTION OF THE INVENTION
Embodiments of the present invention will be described below with reference to the drawings.
[First embodiment]
First, a first embodiment of the present invention will be described with reference to FIG. FIG. 2 is a block diagram showing the configuration of the large-scale IPSec VPN system in the present embodiment.
[0037]
As shown in the figure, the large-scale IPSec VPN system has a LAN A 10, a LAN B 20, and a communication line 30.
The LAN A10 is a large-scale LAN having a plurality of gateways, and includes a gateway A1 (GW_A1) 11, a gateway A2 (GW_A2) 12, and the like.
[0038]
The LAN B20 is another LAN, and there is no particular limitation on the scale thereof, but it includes a gateway B (GW_B) 21 and the like.
These LAN A 10 and LAN B 20 are connected via a communication line 30.
[0039]
When LAN A10 and LAN B20 communicate with each other, when it is desired to ensure security by IPSec, for example, gateway A111 and gateway B21 normally perform key exchange by IKE (Internet Key Exchange) to obtain the same key. Share and perform IPSec communication using the key.
[0040]
At this time, in the present embodiment, when the gateway A1 11 and the gateway B21 exchange keys, the gateway A1 11 performs key transfer to the gateway A212, and then the gateway A111 fails even if a failure occurs. A2 12 can be made to perform the IPSec communication function.
[0041]
As the communication line 30, a publicly known arbitrary suitable public line, commercial line, or dedicated line can be used. Moreover, between each of gateway A1 11, gateway A2 12, gateway B21 grade | etc., Can be comprised by the same or separate communication line.
[0042]
Further, the communication line 30 is a line that can be connected wirelessly or by wire between the gateway A111, the gateway A212, the gateway B21, etc., for example, a mobile terminal network, a public line network, a dedicated line network, and It can be configured by an internet network.
[0043]
Next, the function of each gateway will be described in detail with reference to FIG.
The gateway A1 11 includes an IKE unit 111, an IPSec unit 112, and a key transfer unit 113.
Similarly, the gateway A2 12 includes an IKE unit 121, an IPSec unit 122, and a key transfer unit 123, and the gateway B 21 includes an IKE unit 211 and an IPSec unit 212.
[0044]
Then, when the IKE unit 111 exchanges keys with the IKE unit 211 (step 10), these perform key setting on the IPSec unit 112 and the IPSec unit 212, respectively (step 11).
As this key exchange, a conventional key exchange technique by IKE is used. Then, a common key is set in each IPSec unit by key setting.
[0045]
Next, the IKE unit 111 of the gateway A1 11 that has performed the key exchange makes a key transfer request to the key transfer unit 113 (step 12), and the key transfer unit 113 transfers the key to the key transfer unit 123 of the gateway A212. (Step 13).
The key transfer unit 123 that has received the key transfer sets the key in the IPSec unit 122 (step 14).
[0046]
By doing in this way, the IPSec part 212 of the gateway B 21 can perform IPSec communication with the IPSec part 112 of the gateway A 1 11, and a failure occurs in the gateway A 1 11, and communication with this can be performed. Even if it becomes impossible, IPSec communication can be performed with the IPSec unit 122 of the gateway A2 12 (step 15).
[0047]
Next, the key transfer processing procedure will be described in detail with reference to FIG. This figure is an operation procedure diagram showing the operation of the key transfer protocol in the large-scale IPSec VPN system of this embodiment.
First, the key transfer unit 113 of the gateway A1 11 requests key transfer from the key transfer unit 123 of the gateway A2 12 (step 20).
[0048]
In response to this, the key transfer unit 123 returns an OK signal to the key transfer unit 113 (step 21).
The OK signal at this time is encrypted by an encrypted encryption ESP (Encapsulating Security Protocol), which is a type of IPSec processing, and transmitted.
[0049]
Upon receiving the OK signal, the key transfer unit 113 checks the authentication code of the OK signal and confirms that the other party to which the key is transferred is the real gateway A2 12 (step 22).
Then, the key transfer unit 113 performs key transfer to the key transfer unit 123 (step 23).
[0050]
The key data at this time is also IPSec-processed by the authenticated encryption ESP.
By performing such encryption, even if a malicious user exists in the LAN A10, eavesdropping or the like cannot be performed.
Then, the key transfer unit 123 checks the authentication code of the transmitted key data, and confirms that it is the genuine gateway A11 1 that has sent the key data (step 24).
[0051]
Finally, the key transfer unit 123 sets the transferred key as its own key, and returns an OK signal to the key transfer unit 113 (step 25).
For this OK signal, it is not particularly necessary to perform IPSec processing by the authenticated encryption ESP, but it may be performed.
[0052]
Next, the processing procedure of the large-scale IPSec VPN system according to the first embodiment will be described with reference to FIGS.
FIG. 4 is a diagram for explaining key exchange and key transfer in the present embodiment. FIG. 5 illustrates a case where a gateway in a large-scale LAN that performs key exchange fails after key transfer is performed. This is to explain how IPSec communication is realized.
[0053]
In these figures, R1, R2, and R3 are routers that exist on the communication line and relay information transmission / reception to / from the gateway B21, gateway A111, and gateway A2 12, respectively. The function is the same as in FIG.
[0054]
First, in FIG. 4, when a key exchange is performed between the gateway A1 11 and the gateway B 21 (step 30), the gateway A1 11 negotiates with the gateway A2 12 as described above, and performs key transfer. (Step 31).
[0055]
Next, in FIG. 5, when a failure occurs in the gateway A1 11 and communication via the communication line cannot be performed (step 40), R2 recognizes this by the routing protocol and transmits the information to R1 and R3. Then, the route information is modified so that all packets addressed to the gateway A1 11 are transferred to the gateway A2 12 (step 41).
[0056]
Then, when the host b (Host b) in the LAN B 20 transmits a packet to the host a (Host a) in the LAN A 10 (Step 42), the gateway B 21 receives this packet and performs the same as in the normal state. IPSec encapsulation is performed (step 43), and the packet is transferred to the nearest router R1.
At this time, since the transfer path information has been changed in step 41, the packet passing through the communication line finally reaches the gateway A2 12 instead of the gateway A1 11 that has performed the key exchange (step 44).
[0057]
Since the gateway A2 12 has a key shared with the gateway B21, it uses this to perform decapsulation (step 45), and the decapsulated packet is transferred to the host a by the gateway A212. (Step 46).
In this way, the IPSec communication between the host a and the host b is established despite the failure of the gateway A111.
[0058]
[Second Embodiment]
Next, a second embodiment of the present invention will be described with reference to FIG. FIG. 2 is a block diagram showing functions of the large-scale IPSec VPN system according to the present embodiment.
This embodiment is different from the first embodiment in that key transfer is performed a plurality of times in LAN A10.
[0059]
As shown in the figure, the LANA 10 of the large-scale IPSec VPN system of this embodiment has a gateway A 1 11, a gateway A 2 12, and a gateway A 3 13. Other configurations and functions thereof are the same as those in FIG.
First, when a key exchange is performed between the gateway A1 11 and the gateway B 21 (step 50), the gateway A1 11 sets this key to itself and performs key transfer to the gateway A2 12.
[0060]
The gateway A2 12 that has received the key transfer sets the key itself and further performs the key transfer to the gateway A313.
Then, the gateway A3 13 sets the key itself and further transmits the key to the gateway A1 11, and the gateway A1 11 confirms that the transmitted key matches the key transferred by itself. The key transfer ends (step 51).
[0061]
In the present embodiment, key transfer is performed between three gateways in the LAN A10. However, similar processing can be performed between more gateways.
Further, in this embodiment, the gateway that has received the key transfer has the procedure of sequentially transferring the key to the other gateways in the next step. However, when the transfer process is performed between more gateways, a predetermined key transfer is performed. Prompt transfer by executing multiple transfers simultaneously to the gateway that has received key transfer and the gateway that has received key transfer, such as setting a route, to the gateway that has not received key transfer yet It is also possible to perform.
[0062]
Furthermore, key setting may be performed by simultaneously transferring keys to a gateway of a large-scale LAN by multicast (Multicast) IPSec.
Further, in the above embodiment, the key transfer process is not performed in the LAN B20. However, when the LAN B20 has a plurality of gateways, as in the case of the LAN A10, the key by the key transfer is used as necessary. Of course, sharing is possible.
[0063]
In addition, the gateway function in these embodiments can be applied to other than VPN.
That is, after the security is established in Internet shopping by using such key sharing by the key transfer function for an information processing device (key sharing information processing device) such as a server providing a shop on the Internet, for example. Even if a failure occurs in some information processing apparatuses, it is possible to prevent communication from being disabled.
[0064]
Also for such processing, in the above-described embodiment, by using a key sharing information processing apparatus instead of a gateway, the configuration is similar (however, in this case, the LAN A 10 does not have to be large-scale). It can be implemented using a similar key transfer protocol.
[0065]
If the processing procedure in the large-scale IPSec VPN system is in this order, the gateway in the large-scale LAN copies the key so that the key can be shared with the other party who has not actually exchanged the key. In constructing a large-scale LAN having a plurality of gateways and a VPN based on IPSec, it becomes possible to prevent communication failure due to failure of some of the gateways.
In addition, by sharing keys between gateways in a large-scale LAN by key transfer, the load on the device can be greatly reduced compared to the case where such key sharing is performed by key exchange. Is possible.
[0066]
The key transfer and the like in the above embodiment are executed by a large-scale IPSec VPN program.
This large-scale IPSec VPN program sends commands to each component of the computer to perform predetermined processing such as key transfer processing.
Thus, these processes are realized by the gateway A1 11, the gateway A2 12, and the like in which the large-scale IPSec VPN program and the computer cooperate.
[0067]
The large-scale IPSec VPN program can be stored in a computer ROM or hard disk, and can also be stored in a computer-readable recording medium, such as an external storage device and a portable recording medium.
The external storage device refers to a storage expansion device that incorporates a recording medium such as a magnetic disk and is externally connected to, for example, the gateway A111. On the other hand, the portable recording medium is a recording medium that can be mounted on a recording medium driving device (drive device) and is portable, and refers to, for example, a CD-ROM, a flexible disk, a memory card, a magneto-optical disk, and the like. .
[0068]
The program recorded on the recording medium is loaded into the RAM of the computer and executed by the CPU. By this execution, the functions of the gateway A1 11 and the gateway A2 12 of the present embodiment described above are realized.
Furthermore, when a large-scale IPSec VPN program is loaded by a computer, the large-scale IPSec VPN program held by another computer can be downloaded to its own RAM or external storage device using a communication line.
The downloaded large-scale IPSec VPN program is also executed by the CPU to realize key transfer processing and the like.
[0069]
In addition, this invention is not limited to the above embodiment, This can be applied also in cases other than VPN construction.
For example, in Internet shopping, when the user terminal establishes security with the shop server, a failure occurs in the shop server during the user shopping by performing key transfer to a separate server in the shop. However, the design can be changed as appropriate, for example, by disabling communication by substituting the separate server for subsequent processing.
[0070]
【The invention's effect】
As described above, according to the present invention, when a large-scale LAN having a plurality of gateways and a VPN based on IPSec are constructed, communication failure due to a failure of some gateways or the like can be prevented.
[0071]
In addition, it is possible to greatly reduce the load on the apparatus by key exchange. In other words, key exchange by IKE is a process based on public key cryptography, which is very heavy compared to other processes, and if each key exchange is performed with two or more gateways in consideration of detours at the time of failure, Although it is necessary to exchange keys as many as the number of gateways, this method only requires one key exchange.
[0072]
Furthermore, it can be expected that the entire system is constructed at low cost. This is a method in which a router on the Internet determines which gateway a packet is passed to, so the LAN on the side accessing the large-scale LAN does not need to be aware of which gateway it is communicating with. Because.
In other words, this means that a special device is not required for the gateway on the accessing side to realize this system.
[0073]
Since such a network generally has a configuration in which a large number of small LANs access a single large LAN, if a normal IPSec gateway corresponding to IPSec / IKE can be used as a gateway on the small LAN side. As a whole, the system becomes inexpensive.
[0074]
Further, the large-scale IPSec VPN program can realize a key transfer function and the like in this computer by sending a predetermined command to each component of the computer.
Accordingly, these functions and the like can be realized by a gateway or the like in which a large-scale IPSec VPN program and a computer cooperate.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a large-scale IPSec VPN system in a first embodiment of the present invention.
FIG. 2 is a block diagram showing functions of a gateway of the large-scale IPSec VPN system in the first embodiment of the present invention.
FIG. 3 is an operation procedure diagram showing an operation of a key transfer protocol of the large-scale IPSec VPN system in each embodiment of the present invention.
FIG. 4 is a block diagram (1) showing functions of the large-scale IPSec VPN system in the first embodiment of the present invention.
FIG. 5 is a block diagram (2) showing functions of the large-scale IPSec VPN system in the first embodiment of the present invention.
FIG. 6 is a block diagram showing functions of a large-scale IPSec VPN system in the second embodiment of the present invention.
[Explanation of symbols]
10 LAN A
11 Gateway A1 (GW_A1)
12 Gateway A2 (GW_A2)
13 Gateway A3 (GW_A3)
14 Host a
20 LAN B
21 Gateway B (GW_B)
22 Host b (Host b)
30 Communication line
31 Router 1 (R1)
32 Router 2 (R2)
33 Router 3 (R3)

Claims

When a key exchange based on IPSec is performed between a gateway of a large-scale LAN having a plurality of gateways and a gateway of another LAN,
The Internet key exchange unit of the large-scale LAN gateway performs key setting for the IPSec unit of the gateway, and requests key transfer to the key transfer unit of the gateway.
The key transfer unit of the gateway performs key transfer to the key transfer unit of another gateway of the large-scale LAN in response to the request,
A method for constructing a large-scale IPSec VPN, wherein the key transfer unit of the other gateway uses the transferred key to set a key in the IPSec unit of the other gateway.

The key transfer is
The gateway of the large-scale LAN requests key transfer from the other gateway of the large-scale LAN;
In response to this request, the other gateway encrypts an OK signal and returns it to the gateway.
The gateway examines the encrypted OK signal, encrypts the key and forwards it to the other gateway;
2. The method for constructing a large-scale IPSec VPN according to claim 1, further comprising a procedure in which the other gateway inspects the transferred key and returns an OK signal to the gateway.

When the key transfer unit of the other gateway of the large-scale LAN receives the key transfer from the gateway of the large-scale LAN, the key setting is performed on the IPSec unit of the other gateway, and this key is set to the large-scale LAN. Forward to the key forwarding part of the other gateway of
The further other gateway, like the other gateways, sets a key in its own IPSec part and transfers this key to the key transfer part of the gateway,
3. The method for constructing a large-scale IPSec VPN according to claim 1, wherein the gateway confirms that the transferred key matches the key transferred by itself for the first time.

When a key exchange based on IPSec is performed between a gateway of a large-scale LAN having a plurality of gateways and a gateway of another LAN, a large-scale IPSec VPN in which key transfer is performed between the gateways in the large-scale LAN. A system,
The Internet key exchange unit exchanges keys with the other LAN gateways, and the Internet key exchange unit sets a key in its own IPSec unit to request key transfer from its own key transfer unit. The gateway of the large-scale LAN that performs key transfer to another gateway of the large-scale LAN by a unit;
The key transfer unit receives the key transfer from the gateway of the large-scale LAN, and the other gateway of the large-scale LAN performs key setting in its own IPSec unit,
The other LAN gateway for key exchange with the gateway of the large-scale LAN;
A large-scale IPSec VPN system comprising: the gateway of the large-scale LAN; the other gateway of the large-scale LAN; and a communication line connecting the gateways of the other LAN.

The key transfer is
The gateway of the large-scale LAN requests key transfer from the other gateway of the large-scale LAN;
In response to this request, the other gateway encrypts an OK signal and returns it to the gateway.
The gateway examines the encrypted OK signal, encrypts the key and forwards it to the other gateway;
5. The large-scale IPSec VPN system according to claim 4, further comprising a procedure in which the other gateway checks the transferred key and returns an OK signal to the gateway.

When the key transfer unit of the other gateway of the large-scale LAN receives the key transfer from the gateway of the large-scale LAN, the key setting is performed on the IPSec unit of the other gateway, and this key is set to the large-scale LAN. Forward to the key forwarding part of the other gateway of
The further other gateway, like the other gateways, sets a key in its own IPSec part and transfers this key to the key transfer part of the gateway,
6. The large-scale IPSec VPN system according to claim 4, wherein the gateway confirms that the transferred key matches the key transferred by itself for the first time.

The large-scale IPSec VPN system according to claim 6, wherein the transfer is performed in the same manner for four or more gateways included in the large-scale LAN.

The gateway of the large-scale LAN and the gateway of the other LAN perform key exchange, and the gateway of the large-scale LAN performs key transfer to the other gateway of the large-scale LAN,
When a failure occurs in the gateway of the large-scale LAN,
By exchanging information between a plurality of routers on a communication line, the route information is corrected so that forwarding to the gateway of the large-scale LAN is performed to the other gateway of the large-scale LAN,
When a packet is transmitted from another host of the other LAN to the host of the large-scale LAN, the gateway of the other LAN encapsulates the packet and is addressed to the gateway of the large-scale LAN. Sent over a communication line,
The transmitted packet is forwarded to the other gateway of the large-scale LAN according to the modified route information;
The other gateway of the large-scale LAN performs decapsulation of the transmitted packet and transmits it to the host of the large-scale LAN;
The large-scale IPSec VPN system according to any one of claims 4 to 7, wherein the host of the large-scale LAN receives the transmitted packet.

A large-scale IPSec VPN program for exchanging a key based on IPSec between a large-scale LAN gateway having a plurality of gateways and another LAN gateway ,
If an Internet Key Exchange portion of the large-scale LAN gateway was key exchange, the Internet Key Exchange unit of the gateway, together to perform key settings for IPSec portion of the gateway, the key transfer unit of the gateway Request key transfer to
Let the key transfer unit of the gateway perform key transfer to the key transfer unit of another gateway of the large-scale LAN,
If the key transfer part of the other gateway receives the key transfer, the key transfer part of the other gateway, using a key that has been transferred, to perform key settings for IPSec portion of the other gateway A large-scale IPSec VPN program to get things done.

The key transfer is
Causing the gateway of the large-scale LAN to request key transfer to the other gateway of the large-scale LAN;
In response to this request, the other gateway encrypts an OK signal and returns it to the gateway.
Have the gateway inspect the encrypted OK signal, encrypt the key and forward it to the other gateway,
10. The large-scale IPSec VPN program according to claim 9, further comprising a procedure for causing the other gateway to check the transferred key and returning an OK signal to the gateway.

If the key transfer part of the other gateway of the large-scale LAN is subject to key transfer, using the key that has been this transfer, the key transfer part of the other gateway, to IPSec portion of the other gateway 11. The large-scale IPSec VPN program according to claim 9, wherein key setting is performed and key transfer is performed to another gateway of the large-scale LAN.

A key sharing information processing apparatus that also performs key transfer when performing key exchange by IPSec via a communication line,
When the Internet key exchange unit of the key sharing information processing apparatus performs key exchange, the Internet key exchange unit performs key setting in the IPSec unit of the key sharing information processing apparatus, and the key sharing information processing Request key transfer to the key transfer unit of the device, this key transfer unit performs key transfer to other key sharing information processing device,
When the key transfer unit of the key sharing information processing apparatus receives key transfer, the key setting is performed in the IPSec unit of the key sharing information processing apparatus using the transferred key. Key sharing information processing device.

13. The key sharing information processing apparatus according to claim 12, wherein the key sharing information processing apparatus is a gateway in a large-scale IPSec VPN.