JP4013920B2

JP4013920B2 - 通信システム、通信装置及びその動作制御方法並びにプログラム

Info

Publication number: JP4013920B2
Application number: JP2004163928A
Authority: JP
Inventors: 雅之上田
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2004-06-02
Filing date: 2004-06-02
Publication date: 2007-11-28
Anticipated expiration: 2024-06-02
Also published as: CN100353711C; GB0511272D0; GB2414907B; CN1705282A; GB2414907A; US20050273606A1; JP2005347978A

Description

本発明は通信システム、通信装置及びその動作制御方法並びにプログラムに関し、特に通信ネットワーク上に設けられた第１及び第２の通信ノード間に論理的なコネクションであるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を確立して第１及び第２の通信ノード間で通信を行う通信システムに関する。

ＩＰ上のセキュリティを保証するプロトコルとして、ＩＰｓｅｃ（ＳｅｃｕｒｉｔｙＡｒｃｈｉｔｅｃｔｕｒｅｆｏｒＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）がある。ＩＰｓｅｃによる通信を行うためには、通信を行う両ノード間にＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）と称される論理的なコネクションを構築して両ノードで鍵やアルゴリズム等の情報を共有する必要がある。

ＩＰｓｅｃＳＡにはその有効期間（生存期間）が定められており、ＩＰｓｅｃＳＡを確立しているノード間で、トラヒックが発生しているか否かに関わらず、ＳＡの有効期間が切れそうになると、新たなＳＡを作成し、古いＳＡを新たに作成したＳＡに切り替える。すなわち、２つのノード間のＩＰｓｅｃＳＡ上を流れるトラヒックが無くても、ＩＰｓｅｃＳＡは存在し続けることになる。ＳＡ数が多いほど、ＩＰｓｅｃ終端ノードのメモリ消費量、ＳＡを検索するときの所要時間が長くなるので、リソース使用効率、処理効率が悪い。

一方、非特許文献１には、ＩＰｓｅｃ終端ノードは、終端ノード間のＩＰｓｅｃＳＡ上のトラヒックが規定時間ない場合に、終端ノード間でノードの生存確認をし、生存が確認できなかった場合に、ＳＡを削除し、新たなＳＡを作成する技術が記載されている。

ＲＦＣ３７０６，ＡＴｒａｆｆｉｃ−ＢａｓｅｄＭｅｔｈｏｄｏｆＤｅｔｅｃｔｉｎｇＤｅａｄＩｎｔｅｒｎｅｔＫｅｙＥｘｃｈａｎｇｅ（ＩＫＥ）Ｐｅｅｒｓ，５．４章，５．５章，２００４年２月

ＩＰｓｅｃ終端ノードはＳＡの管理を行っているが、非特許文献１に記載の技術ではさらに、ＳＡの削除を行うか否かの判断をも行わなければならず、終端ノードの負荷が増大してしまう。

また、非特許文献１に記載の技術では、規定時間トラヒックがなくともノードの生存が確認されるとＳＡの削除は行われないので、トラヒックがないＳＡが維持され、これはＩＰｓｅｃ終端ノードにおけるリソース使用効率、処理効率の低下を招いてしまう。

本発明の目的は、ＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）が確立されている通信ノードの負荷を低減することができる通信システム、通信装置及びその動作制御方法並びにプログラムを提供することである。

本発明による通信システムは、通信ネットワーク上に設けられた第１及び第２の通信ノード間に論理的なコネクションであるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を確立して前記第１及び第２の通信ノード間で通信を行う通信システムであって、前記通信ネットワーク上に設けられ前記ＳＡを介した通信を行う第３の通信ノードを含み、前記第３の通信ノードは、前記ＳＡを介して送受信されるデータの宛先アドレス及び送信元アドレスを含む情報を予め有し、前記情報を基に、送受信されるデータが前記ＳＡを経由するか否かを判断し、前記ＳＡ上のトラヒック量に応じて前記ＳＡの削除の要否を判断することを特徴とする。

本発明による通信ノード装置は、第１及び第２の通信ノード間に論理的なコネクションであるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を確立して通信を行う第１及び第２の通信ノードを含む通信ネットワーク上に設けられ前記ＳＡを介した通信を行う通信ノード装置であって、前記ＳＡを介して送受信されるデータの宛先アドレス及び送信元アドレスを含む情報を予め有し、前記情報を基に、送受信されるデータが前記ＳＡを経由するか否かを判断し、前記ＳＡ上のトラヒック量に応じて前記ＳＡの削除の要否を判断することを特徴とする。

本発明による動作制御方法は、第１及び第２の通信ノード間に論理的なコネクションであるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を確立して通信を行う第１及び第２の通信ノードを含む通信ネットワーク上に設けられ前記ＳＡを介した通信を行う通信ノード装置の動作制御方法であって、前記ＳＡを介して送受信されるデータの宛先アドレス及び送信元アドレスを含む前記通信ノード装置が予め有する情報を基に、送受信されるデータが前記ＳＡを経由するか否かを判断し、前記ＳＡ上のトラヒック量に応じて前記ＳＡの削除の要否を判断するステップを含むことを特徴とする。

本発明によるプログラムは、第１及び第２の通信ノード間に論理的なコネクションであるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を確立して通信を行う第１及び第２の通信ノードを含む通信ネットワーク上に設けられ前記ＳＡを介した通信を行う通信ノード装置の動作制御方法をコンピュータに実行させるためのプログラムであって、前記ＳＡを介して送受信されるデータの宛先アドレス及び送信元アドレスを含む前記通信ノード装置が予め有する情報を基に、送受信されるデータが前記ＳＡを経由するか否かを判断し、前記ＳＡ上のトラヒック量に応じて前記ＳＡの削除の要否を判断するステップを含むことを特徴とする。

本発明では、ＳＡを終端する終端ノードではなく、当該ＳＡを介して通信を行う別の通信ノードが当該ＳＡのトラヒックを監視することにより、当該ＳＡを削除するか否か判断するようにしている。

本発明によれば、第１及び第２の通信ノード間に論理的なコネクションであるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を確立して通信を行う第１及び第２の通信ノードを含む通信ネットワーク上に設けられＳＡを介した通信を行う通信ノード装置において、ＳＡ上のトラヒック量に応じてＳＡを削除するか否か判断することにより、ＳＡが確立されている通信ノードの負荷を低減することができるという効果が得られる。

以下、本発明の実施例について図面を参照して説明する。

ＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）ネットワークにおけるリモートアクセスシステムは、サーバとリモートホストから構成され、ルータが存在する場合もある。図１は本発明の実施例によるＩＰネットワークにおけるリモートアクセスシステムの構成を示す図である。本発明の実施例によるＩＰネットワーク４は、リモートホスト１と、サーバ２と、ルータ（＃１）３１と、ルータ（＃２）３２とを有している。

サーバ２は、リモートホスト１に対して、ＩＰ上でサービスやデータの提供などを行う。ルータ３１及び３２は、受信されたＩＰパケットのヘッダ情報から宛先ＩＰアドレスを読み取り、保持しているルーティングテーブル（図示せず）に従ってＩＰパケットを宛先ＩＰアドレスへフォワーディングする。

ＩＰｓｅｃ（ＳｅｃｕｒｉｔｙＡｒｃｈｉｔｅｃｔｕｒｅｆｏｒＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）は、主に攻撃、盗聴が懸念されるノード間のネットワーク（本実施例ではルータ３１及び３２間のネットワーク６）で使用され、暗号化、認証機能により、ネットワーク層レベルでのセキュリティを提供する。あるノード間でＩＰｓｅｃ通信を行うためには、そのノード間にＩＰｓｅｃＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）と称される論理的なコネクションを確立する必要がある。ＩＰｓｅｃＳＡは方向性を持つため、ある２つのノード間で双方向にＩＰｓｅｃ通信を実現したい場合、上りと下りのＳＡがそれぞれ必要となる。本実施例では図１に示すように、ルータ３１及び３２間にＩＰｓｅｃＳＡ５が確立されており、ルータ３１及び３２はそれぞれＩＰｓｅｃを終端するＩＰｓｅｃ終端ノードである。サーバ２は、ルータ３１及び３２間のＩＰｓｅｃＳＡ５を介してリモートホスト１と通信を行い、ＩＰｓｅｃＳＡ５上のトラヒック量に応じてＳＡ５を削除するか否かを判断する。

図２は図１のシステムにおけるＩＰｓｅｃ通信時のＩＰパケット構成の遷移例を示す図であり、図１と同等部分は同一符号にて示している。図２において、パケット構成中の「ａ→ｄ」は、送信元アドレスをａ、宛先アドレスをｄとしたＩＰヘッダが付加されていることを意味している。

リモートホスト１からサーバ２への通信においては、まずリモートホスト１は、サーバ２のＩＰアドレスであるｄを宛先アドレスに指定し、送信元アドレスには自ＩＰアドレスであるａを指定したヘッダが付加されたＩＰパケット７１を送信する。リモートホスト１では、ｄ宛のパケットは、まずＩＰアドレスｂに送るべきであることが分かっているため、ＩＰパケット７１はＩＰアドレスｂのルータ３１に送信される。

ＩＰｓｅｃ終端ノードであるルータ３１は、「ａ→ｄ」宛のパケットはＩＰｓｅｃＳＡ５を通すことが必要であると分かっているので、もう一方のＩＰｓｅｃ終端ノードであるルータ３２のＩＰアドレスｃ宛のヘッダでパケット７１をカプセリングし、その結果パケット７２を送信する。一方、「ｂ→ｃ」宛のパケット７２を受け取ったルータ３２は、このパケット７２がＩＰｓｅｃＳＡ５を通ってきたことが分かっているため、「ｂ→ｃ」のヘッダが付加されたパケット７２をデカプセル化し、その結果アドレスｄ宛にパケット７３を送信する。

サーバ２からリモートホスト１への通信においては、まずサーバ２は、リモートホスト１のＩＰアドレスであるａを宛先アドレスに指定し、送信元アドレスには自ＩＰアドレスであるｄを指定したヘッダが付加されたＩＰパケット７４を送信する。サーバ２では、ａ宛のパケットは、まずＩＰアドレスｃに送るべきであることが分かっているため、パケット７４はＩＰアドレスｃのルータ３２に送信される。

ＩＰｓｅｃ終端ノードであるルータ３２は、「ｄ→ａ」宛のパケットはＩＰｓｅｃＳＡ５を通すことが必要であると分かっているので、もう一方のＩＰｓｅｃ終端ノードであるルータ３１のＩＰアドレスｂ宛のヘッダでパケット７４をカプセリングし、その結果パケット７５を送信する。一方、「ｃ→ｂ」宛のパケット７５を受け取ったルータ３１は、このパケット７５がＩＰｓｅｃＳＡ５を通ってきたことが分かっているため、「ｃ→ｂ」のヘッダが付加されたパケット７５をデカプセル化し、その結果アドレスａ宛にパケット７６を送信する。以上のようにカプセリング、デカプセリングをすることで、ＩＰｓｅｃＳＡ５を介した通信が可能となる。

サーバ２は、ＩＰｓｅｃＳＡ５上のトラヒック量に応じてＳＡ５を削除するか否かを判断する。サーバ２は図３に示すように、サーバ２において送受信されるパケットがＩＰｓｅｃＳＡ５を経由するか否か判断するための情報が記録されたＩＰｓｅｃＳＡエントリを予め保持している。

図３において、ＩＰｓｅｃＳＡ識別子００１はルータ３２からルータ３１に向かう方向のＩＰｓｅｃＳＡ５（以下、下りＳＡと称す）を示し、ＩＰｓｅｃＳＡ識別子００２はルータ３１からルータ３２に向かう方向のＩＰｓｅｃＳＡ５（以下、上りＳＡと称す）を示す。

例えば、サーバ２は、「ｄ→ａ」のヘッダが付加された送信パケットが発生すると、ＩＰｓｅｃＳＡエントリから当該パケットが識別子００１の下りＳＡを通過すると判断することができ、したがって、下りＳＡ上のトラヒックの発生を認識することができる。また、サーバ２は、「ａ→ｄ」のヘッダが付加されたパケットを受信すると、ＩＰｓｅｃＳＡエントリから当該パケットが識別子００２の上りＳＡを通過して到来してきたと判断することができ、したがって、上りＳＡ上のトラヒックの発生を認識することができる。

また、サーバ２はエントリ内のＩＰｓｅｃＳＡ識別子のＩＰｓｅｃＳＡ毎に対応する図示せぬタイマーを有しており、トラヒックが発生した際にそれが発生したＳＡに対応するタイマーを起動させるために、エントリ内には各タイマーの識別子も保持する。さらに、ＩＰｓｅｃＳＡエントリには、ＩＰｓｅｃＳＡ識別子、宛先ＩＰアドレス、送信元ＩＰアドレス及びタイマー識別子の他に、該当するＩＰｓｅｃＳＡを終端するノードのＩＰアドレスも保持する。

次に、本発明の実施例によるサーバ２の動作について図面を参照して説明する。図４はＩＰパケット発生時のサーバ２の動作を示すフローチャートであり、図５はタイマー起動時のサーバ２の動作を示すフローチャートである。

図４に示すように、サーバ２はＩＰパケットを受信もしくは送信し、ＩＰトラヒックが発生したことが分かると（ステップＳ１）、当該ＩＰパケットがＩＰｓｅｃＳＡ５（上りまたは下りＳＡ）を通過するか否か判断すべく、当該ＩＰパケットの宛先及び送信元ＩＰアドレスを基にＩＰｓｅｃＳＡエントリを検索する（ステップＳ２）。これにより、当該ＩＰパケットが上りまたは下りＳＡを通過すると判断されると（ステップＳ３，Ｙｅｓ）、サーバ２はそのＳＡに対応するタイマーをリセットして起動する（ステップＳ４）。

図５に示すように、タイマーが起動されると（ステップＳ５）、計時が開始され、規定時間に達するまで、ステップＳ４において再びタイマーリセットが行われない場合（ステップＳ６，Ｙｅｓ）、該当するＩＰｓｅｃＳＡの終端ノードへＩＰｓｅｃＳＡの削除を要求するメッセージを送信する（ステップＳ６）。当該メッセージを受け取った終端ノードは該当するＩＰｓｅｃＳＡを削除する処理を行う。

例えば、ステップＳ１において発生したＩＰパケットの宛先アドレスがａ、送信元アドレスがｄである場合、ＩＰｓｅｃＳＡエントリより当該ＩＰパケットはＩＰｓｅｃＳＡ識別子００１の下りＳＡを介してリモートホスト１へ送信されると判断され（ステップＳ３，Ｙｅｓ）、サーバ２はタイマー識別子００１のタイマーをリセットした後、起動する（ステップＳ４）。そして、サーバ２において宛先アドレスがａ、送信元アドレスがｄのＩＰパケットが発生することなく、タイマー識別子００１のタイマーの計時が規定時間に達すれば（ステップＳ６，Ｙｅｓ）、サーバ２は下りＳＡの終端ノードであるルータ３１及び３２へ当該ＳＡの削除を要求するメッセージを送信する（ステップＳ６）。

なお、サーバ２は上記の削除要求メッセージを終端ノードであるルータ３１及び３２両方に送信するのではなく、一方にのみ送信するようにしてもよい。この場合、削除要求メッセージを受信した終端ノードは、該当するＳＡを削除した後、削除したことをもう一方の終端ノードに通知すればよい。

図４及び５に示した各フローチャートに従った処理動作は、予めＲＯＭ等の記憶媒体に格納されたプログラムを、ＣＰＵ（制御部）となるコンピュータに読み取らせて実行せしめることにより、実現できることは勿論である。

以上説明したように、本発明の実施例では、サーバ２がＩＰｓｅｃＳＡエントリを用いてＩＰｓｅｃＳＡ上のトラヒックを監視することにより、サーバ２は、ＩＰｓｅｃＳＡ上のトラヒック量に応じてＩＰｓｅｃＳＡを削除するか否かを判断するようにしている。ＩＰｓｅｃ終端ノードであるルータ３１及び３２がＳＡの削除を行うか否かの判断を行うことなく、トラヒックがないにも関わらず依然確立されているＩＰｓｅｃＳＡを削除することが可能であるので、終端ノードの負荷を低減することができる。

また、ＩＰｓｅｃ終端ノードの生存の有無に関わらず規定時間トラヒックがないＳＡは削除されるので、ＩＰｓｅｃ終端ノードが確立するＩＰｓｅｃＳＡ数をより抑えることが可能である。これにより、ＩＰｓｅｃ終端ノードでのＩＰｓｅｃＳＡ保持に必要なリソースを減少させることができると共に、ＩＰｓｅｃＳＡ検索のための所要時間を短くすることができる。

本発明の実施例では、サーバ２が、ＩＰｓｅｃＳＡ上のトラヒック監視を行うことにより、ＩＰｓｅｃＳＡの削除を要求するメッセージを送信し、ＩＰｓｅｃ終端ノードでのＳＡ数を抑える。しかし、サーバ２だけではなく、他のノードでもＩＰｓｅｃＳＡエントリを持たせることによりＩＰｓｅｃＳＡのトラヒックが認識できればこの制御は実現可能である。また、本発明の実施例では、ＩＰｓｅｃＳＡを対象としていたが、これに限られるものではなく、ＳＡを生成または管理する機能を持つその他のプロトコルで利用されるＳＡ（例えば、ＩＳＡＫＭＰ（ＩｎｔｅｒｎｅｔＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ＆ＫｅｙＭａｎａｇｅｍｅｎｔＰｒｏｔｏｃｏｌ）ＳＡ）でもよい。また、サーバ２のＩＰｓｅｃＳＡエントリは、他ノードから通知されてもよい。

本発明の実施例によるＩＰネットワークにおけるリモートアクセスシステムの構成を示す図である。図１のシステムにおけるＩＰｓｅｃ通信時のＩＰパケット構成の遷移例を示す図である。図１のサーバが保持するＩＰｓｅｃＳＡエントリの例を示す図である。ＩＰパケット発生時の図１のサーバの動作を示すフローチャートである。タイマー起動時の図１のサーバの動作を示すフローチャートである。

符号の説明

１リモートホスト
２サーバ
４ＩＰネットワーク
５ＩＰｓｅｃＳＡ
６ネットワーク
３１，３２ルータ

Claims

通信ネットワーク上に設けられた第１及び第２の通信ノード間に論理的なコネクションであるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を確立して前記第１及び第２の通信ノード間で通信を行う通信システムであって、
前記通信ネットワーク上に設けられ前記ＳＡを介した通信を行う第３の通信ノードを含み、前記第３の通信ノードは、前記ＳＡを介して送受信されるデータの宛先アドレス及び送信元アドレスを含む情報を予め有し、前記情報を基に、送受信されるデータが前記ＳＡを経由するか否かを判断し、前記ＳＡ上のトラヒック量に応じて前記ＳＡの削除の要否を判断することを特徴とする通信システム。
前記第３の通信ノードは、所定時間前記ＳＡ上のトラヒックがない場合に前記ＳＡの削除を要求するメッセージを前記第１及び第２の通信ノードの少なくとも一方に送信することを特徴とする請求項１記載の通信システム。
第１及び第２の通信ノード間に論理的なコネクションであるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を確立して通信を行う第１及び第２の通信ノードを含む通信ネットワーク上に設けられ前記ＳＡを介した通信を行う通信ノード装置であって、
前記ＳＡを介して送受信されるデータの宛先アドレス及び送信元アドレスを含む情報を予め有し、前記情報を基に、送受信されるデータが前記ＳＡを経由するか否かを判断し、前記ＳＡ上のトラヒック量に応じて前記ＳＡの削除の要否を判断することを特徴とする通信ノード装置。
所定時間前記ＳＡ上のトラヒックがない場合に前記ＳＡの削除を要求するメッセージを前記第１及び第２の通信ノードの少なくとも一方に送信することを特徴とする請求項３記載の通信ノード装置。
第１及び第２の通信ノード間に論理的なコネクションであるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を確立して通信を行う第１及び第２の通信ノードを含む通信ネットワーク上に設けられ前記ＳＡを介した通信を行う通信ノード装置の動作制御方法であって、
前記ＳＡを介して送受信されるデータの宛先アドレス及び送信元アドレスを含む前記通信ノード装置が予め有する情報を基に、送受信されるデータが前記ＳＡを経由するか否かを判断し、前記ＳＡ上のトラヒック量に応じて前記ＳＡの削除の要否を判断するステップを含むことを特徴とする動作制御方法。
前記ステップは、所定時間前記ＳＡ上のトラヒックがない場合に前記ＳＡの削除を要求するメッセージを前記第１及び第２の通信ノードの少なくとも一方に送信することを特徴とする請求項５記載の動作制御方法。
第１及び第２の通信ノード間に論理的なコネクションであるＳＡ（ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ）を確立して通信を行う第１及び第２の通信ノードを含む通信ネットワーク上に設けられ前記ＳＡを介した通信を行う通信ノード装置の動作制御方法をコンピュータに実行させるためのプログラムであって、
前記ＳＡを介して送受信されるデータの宛先アドレス及び送信元アドレスを含む前記通信ノード装置が予め有する情報を基に、送受信されるデータが前記ＳＡを経由するか否かを判断し、前記ＳＡ上のトラヒック量に応じて前記ＳＡの削除の要否を判断するステップを含むことを特徴とするプログラム。