JP4043997B2 - 暗号装置及びプログラム - Google Patents
暗号装置及びプログラム Download PDFInfo
- Publication number
- JP4043997B2 JP4043997B2 JP2003143715A JP2003143715A JP4043997B2 JP 4043997 B2 JP4043997 B2 JP 4043997B2 JP 2003143715 A JP2003143715 A JP 2003143715A JP 2003143715 A JP2003143715 A JP 2003143715A JP 4043997 B2 JP4043997 B2 JP 4043997B2
- Authority
- JP
- Japan
- Prior art keywords
- encryption device
- data
- encryption
- transfer length
- plaintext
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Small-Scale Networks (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、セキュリティ確保における導入負担を軽減するリピータ型暗号装置に係り、不測のフレーム分割（フラグメント）処理を回避し、更に、経路ＭＴＵ探索を正常に機能させることにより、データ転送効率を向上させるリピータ型暗号装置に関する。
【０００２】
【従来の技術】
従来から行われている経路ＭＴＵ探索について説明する。図１６は、従来の相手暗号装置毎最適転送長探索が行われるネットワークの構成例を示す図である。図に示すように、ローカルネットワーク１と回線とローカルネットワーク２では、それぞれＭＴＵ（Ｍａｘｉｍｕｍ Ｔｒａｎｓｍｉｓｓｉｏｎ Ｕｎｉｔ）が異なる。ＭＴＵは、転送可能な最大のフレームサイズ（ＭＡＣヘッダを除く）を示している。
【０００３】
以下、ＭＴＵの特徴について述べる。
１）ＭＴＵは、通信媒体で決まる絶対的な限界値以下の値でなければならない。
２）ＭＴＵは、各機器でパラメータとして記憶されている。例えば、ルータＲ１では、物理ポートのパラメータとしてＭＴＵ値を記憶している。
３）ＭＴＵは大きい方が、転送効率がよい。ＭＴＵが小さい場合には、フレームサイズが小さいので、フレーム量が増大する。その結果、オーバヘッドの増加等により転送効率が悪くなる。
【０００４】
ＩＰ層の制限では、一度に６４Ｋｂｙｔｅｓまでのデータを送れることになっているが、このように、実際の物理層の制限で一度に転送できないことがある。このような場合はデータを分割して送信し、受信した方で再合成する必要がある。この動作を、フラグメントという。
【０００５】
フレームフォーマットの仕様のうちフラグメントに関連する箇所について説明する。図１７は、ローカルネットワーク上のフレームフォーマットを示す図である。
図中のフラグ１７０１は、各種制御フラグを示している。そのうち、ビット１（ＤＦ：分割禁止フラグ）は、フレーム分割の可否を示している。ＤＦ＝０（分割禁止フラグリセット）は、分割許可を意味し、当該フレームを分割（フラグメント）して転送することを許している。ＤＦ＝１（分割禁止フラグセット）は、分割禁止を意味し、当該フレームを分割（フラグメント）して転送することを禁止している。
ビット２（ＭＦ）は、更に分割（フラグメント）された後続のフレームが存在するか否かを示している。ＭＦ＝０は、最終分割を意味し、当該フレーム以降に分割（フラグメント）されたフレームが存在しないことを示している。ＭＦ＝１は、分割継続を意味し、当該フレーム以降に分割（フラグメント）されたフレームが存在することを示している。
【０００６】
ここで、フレーム転送のシーケンスの例を示す。まず、フラグメントする場合のシーケンスについて説明する。図１８は、フラグメントするシーケンスの例を示す図である。以下、フレーム長（フレームのデータ長）は、ＭＡＣヘッダを除くサイズを示す。
図は、端末Ｓ１から端末Ｓ２へ３０００バイトのデータを転送する場合の例を示している。この例では、分割（フラグメント）を許可するので、分割禁止フラグはリセットになっている。その為、ルータＲ１で、フレームを分割し、分割したフレームを送信する。ルータＲ２は、これらのフレームを中継し、端末Ｓ２は、受信したフレームの再合成処理（組み立て処理）を行う。この例では、図に示すように、ルータＲ１でフレームの分割処理が２回発生し、フレーム送信処理が４回発生している。また、ルータＲ２でフレームの中継処理が４回発生し、端末Ｓ２でフレームの再合成処理が２回発生している。
このように、ルータＲ１におけるフレームの分割処理の負荷、ルータＲ２におけるフレーム中継処理の負荷、端末Ｓ２におけるフレームの再合成処理（組み立て処理）の負荷が、転送効率を悪化させる。
【０００７】
次に、フラグメントしない場合のシーケンスについて説明する。図１９は、フラグメントしないシーケンスの例を示す図である。
図は、端末Ｓ１から端末Ｓ２へ３０００バイトのデータを転送する場合の例を示している。この例では、分割（フラグメント）を禁止するので、分割禁止フラグはセットになっている。そのため、端末Ｓ１が最初１５００バイトのフレームを送信するが、ルータＲ１より端末Ｓ１に宛先到達不能通知（コード＝要分割、転送先ＭＴＵ＝１０００バイト）が通知される。これを受けた端末Ｓ１は、長さ１０００バイトで再送し、合計３フレームを送信する。ルータＲ１とルータＲ２ではフレームの中継処理が３回発生するが（分割処理は行わない）、端末Ｓ２では再合成処理（組み立て処理）が必要ない。
上述のように、分割禁止フラグをセットし、フラグメントしない場合のシーケンスの方が、ルータの分割処理が発生しないことと中継処理回数が少ないこと、受信側端末の再合成処理が不用であることなどから転送効率が良い。
【０００８】
図１９に示したように、ネットワーク上の任意の経路について、その経路上の最大データ転送長を探索する機能を経路ＭＴＵ探索（Ｐａｔｈ ＭＴＵ Ｄｉｓｃｏｖｅｒｙ）という。この機能において重要なことは、転送先のＭＴＵを送信側に通知することである。これにより、送信側で、分割の必要がない範囲で最長のフレームを転送することが可能となる。
【０００９】
ここで、宛先到達不能通知フォームフォーマットについて説明する。図２０は、ローカルネットワーク上の宛先到達不能通知フレームフォーマットを示す図である。
本通知は、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）により定義されている。尚、ＩＣＭＰは、ＩＰプロトコルの機能を補助するために用意された制御用のプロトコルである。図に示すように、ＩＰヘッダの後に、ＩＣＭＰメッセージが置かれている。
当該フレームが、宛先到達不能通知（宛先到達不能メッセージ）である場合には、形式２００１に「３」を設定する。フレーム長が大きすぎるため分割が必要にもかかわらず、分割が禁止されている場合には、コード２００２に「４」を設定する。転送先のＭＴＵ２００３には、ルータが転送する際の転送先のインタフェースに定義された転送可能なフレーム長（最大データ転送長：ＭＡＣヘッダを除く）を設定する。送信側では、この値に基づいて、再送するデータ長を決定することができる。また、２００４には、元のＩＰヘッダと元のＩＰデータの先頭から６４ｂｉｔｓ分のデータが格納される。この元のＩＰヘッダ部分を参照することにより、転送に失敗した元のフレームの送信元アドレスと宛先アドレスを特定できる。
【００１０】
一方、広域ネットワークとしてインターネットやＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ−Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）網を用いる場合のセキュリティ対策として、平文ネットワーク（ローカルネットワーク）と暗号文ネットワーク（広域ネットワーク）との間でデータの中継に対して、平文データを暗号化すると共に暗号データを復号する暗号装置が用いられる。従来この基本アーキテクチャとして、ルータ型の暗号装置または端末型の暗号装置が想定されていたが、新たに、リピータ型の暗号装置が導入されるようになっている。これにより、既存ネットワークに接続された機器へのＩＰ−ＶＰＮ導入時の再設定の不便を解消し、ＩＰ−ＶＰＮの導入作業を容易にし、更に導入コストを軽減することができる。
【００１１】
図２１は、従来のリピータ型暗号装置を用いるネットワーク構成例を示す図である。図中、ＲＥ１〜ＲＥ３がリピータ型暗号装置に相当する。このリピータ型暗号装置については、特許３２５９７２４号の「暗号装置、暗号化器および復号器」にその内容が開示されている。図２２は、従来のリピータ型暗号装置の構成を示す図である。
平文ネットワークからの平文データを暗号化して暗号文ネットワークに送出する場合には、暗号化／エンカプセル処理ブロック２６により、平文ネットワークから受信した平文データを暗号化し、更に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、平文データのＩＰヘッダ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ヘッダ）に設定されたアドレスに対応する暗号装置を決定し、決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行う。そして、暗号化／暗号側ＭＡＣアドレス解決ブロック２８により、暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ ヘッダ）を設定して生成した暗号データを平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する。
逆に、暗号文ネットワークからの暗号データを復号して平文ネットワークに送出する場合には、復号／デカプセル処理ブロック２７により、暗号文ネットワークから受信した暗号データを平文データに復号し、更に、平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するデカプセル処理を行う。そして、平文側ＭＡＣアドレス解決ブロック２９により、復号／デカプセル処理ブロック２７で設定されたＩＰヘッダに基づいてＭＡＣヘッダを設定して生成した平文データを暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信する。
【００１２】
これにより、以下に示すフレームフォーマットのデータが転送される。図２３は、従来のリピータ型暗号装置を用いる場合のフレームフォーマットの概要を示す図である。
図に示すように、平文データ（２３０１〜２３０４）に含まれていたＴＣＰ／ＵＤＰデータ２３０４、ＴＣＰ／ＵＤＰヘッダ２３０３、及びＩＰヘッダ２３０２の内容は、暗号化され（２３１４〜２３１６）、中継過程で盗み見できないようになっている。そして、本来のＩＰヘッダ２３０２やＭＡＣヘッダ２３０１とは異なるエンカプセルＩＰヘッダ２３１２、ＭＡＣヘッダ２３１１が新たに設定されている。尚、エンカプセルヘッダ２３１３には、セキュリティパラメータインデックスやパケットのシーケンス番号等の復号／デカプセル処理に必要なパラメータが格納されている。
【００１３】
このようなリピータ型暗号装置を端末とルータの間に設置して、経路ＭＴＵ探索を行うためには、ルータから端末に宛先到達不能通知を通知する必要があるが、暗号化エンカプセル後のフレームでは、オリジナルのＩＰヘッダ２３０２が暗号化され、エンカプセルＩＰヘッダ２３１３中の発信元のアドレスには、リピータ型暗号装置のアドレスが設定されている。そのため、オリジナルのＩＰヘッダ２３０２に設定されている本来の発信元である端末のアドレスがわからず、宛先到達不能通知を通知すべき本来の発信元に送信できない。
【００１４】
また、新たにエンカプセルヘッダ２３１３とエンカプセルＩＰヘッダ２３１２を付加しているため、これらのヘッダのデータ長Ｘバイト分、全体のフレーム長が大きくなる。そのため、このデータ増加分によりＭＴＵを越えてしまい、本来分割（フラグメント）の必要がないデータが、暗号化／エンカプセル処理により、分割（フラグメント）が必要になるケースが発生し得る。
【００１５】
リピータ型暗号装置を用いた環境における経路ＭＴＵ探索によるシーケンスの例を示す。図２４は、宛先到達不能通知を転送できないシーケンスを示す図である。
フレーム２４０１のデータ長は、１５００バイトであり、ローカルネットワーク１のＭＴＵ＝１５００以内なので、ルータＲ１に転送する際に、本来分割（フラグメント）は必要ない。しかし、前述の通り、エンカプセルヘッダ２３１３とエンカプセルＩＰヘッダ２３１２の付加データのＸバイト分だけデータが大きくなるので、その増加データ長に相当するデータを分割（フラグメント）し、２つのフレームを送信している。
また、フレーム２４０２のデータ長は回線１−４のＭＴＵを越えており、更に当該フレームが分割禁止であるため、ルータＲ１は、宛先到達不能通知を返信する必要がある。しかし、前述のように、エンカプセルＩＰヘッダ２３１３中の発信元のアドレスには、リピータ型暗号装置ＲＥ１のアドレスが設定されているため、宛先到達不能通知は、リピータ型暗号装置ＲＥ１に返信され、本来の発信元である端末Ｓ１に至らない。また、リピータ型暗号装置ＲＥ１は、宛先到達不能通知のデータ内容から本来の送信元を特定できないので、転送することもできない。従って、送信先である端末Ｓ３にフレームが至らず、また、本来の送信元である端末Ｓ１が宛先到達不能通知を受け取ることができないので、経路ＭＴＵ探索も機能しない。
【００１６】
図２５は、従来の暗号装置を用いたネットワークでフラグメントするシーケンスを示す図である。
図２４に示したように、リピータ型暗号装置ＲＥ１からルータＲ１に分割禁止フラグセットのフレームを転送すると、正常に動作しないので、リピータ型暗号装置ＲＥ１は、受信したフレームがＤＦ＝０（分割禁止フラグリセット）あるいはＤＦ＝１（分割禁止フラグセット）のいずれであっても、分割許可で転送せざるを得ない。この場合には、ルータＲ１におけるフレームの分割処理の負荷、ルータＲ３におけるフレーム中継処理の負荷、リピータ型暗号装置ＲＥ２におけるフレームの再合成処理（組み立て処理）の負荷が問題となる。
また、この場合でも、図２４の場合と同様に、暗号化／エンカプセルによるデータ増分のＸバイトの影響で、分割（フラグメント）が必要になる。
【００１７】
転送するデータを暗号化し、エンカプセル処理することにより、セキュリティを確保するリピータ型暗号装置を用いるネットワーク環境でのデータ転送効率に関しては、前述のように以下の問題がある。
１）暗号化／エンカプセル化処理により、新たなヘッダを付加するため、このデータ増加分によりＭＴＵを越えてしまい、本来分割（フラグメント）の必要がないフレームが、暗号化／エンカプセル化処理により、分割（フラグメント）が必要になるケースが発生し、転送効率が劣化する。
２）暗号化／エンカプセル化処理により、オリジナルのＩＰヘッダが暗号化され、本来の送信元のアドレスが不明になるため、宛先到達不能通知が送信元に転送されず、経路ＭＴＵ探索を実行できない。従って、経路ＭＴＵ探索を用いたデータ転送効率の向上が図られない。
【００１８】
【特許文献１】
特許第３２５９７２４号公報
【特許文献２】
特開２０００−９２１１９号公報
【００１９】
【発明が解決しようとする課題】
本発明は、上記した従来技術の欠点を除くためになされたものであって、その目的とするところは、セキュリティ確保における導入負担を軽減するリピータ型暗号装置に係り、不測のフレーム分割（フラグメント）処理を回避し、更に、経路ＭＴＵ探索を正常に機能させることにより、データ転送効率を向上させることを課題とする。
【００２０】
【課題を解決するための手段】
本発明に係る暗号装置は、
平文ネットワークと暗号文ネットワークとの間でデータを中継する暗号装置であって、以下の要素を有することを特徴とする
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行う暗号化／エンカプセル処理ブロック
（２）当該暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する暗号側ＭＡＣアドレス解決ブロック
（３）受信した平文データが分割禁止に設定されている場合に、暗号データの最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長よりも、前記平文データのデータ長が大きい場合に、前記平文データの送信元を宛先とする宛先到達不能通知を生成し、平文ネットワーク側へ送信する宛先到達不能代理通知処理ブロック。
【００２１】
宛先到達不能代理通知処理ブロックは、前記宛先到達不能通知に、暗号データの最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長を含めることを特徴とする。
【００２２】
宛先到達不能代理通知処理ブロックは、暗号文ネットワーク側から受信した宛先到達不能通知に含まれる転送先のＭＴＵを、最適転送長として用いることを特徴とする。
【００２３】
暗号装置は、更に、上記他の暗号装置毎に、最適転送長を記憶する相手暗号装置最適転送長テーブルを有し、
宛先到達不能代理通知処理ブロックは、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダに設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に対応して記憶されている最適転送長を、相手暗号装置最適転送長テーブルから取得することを特徴とする。
【００２４】
暗号装置は、更に、暗号文ネットワーク側から受信した宛先到達不能通知に含まれる転送先のＭＴＵ（マキシマムトランスミッションユニット）を、相手暗号装置最適転送長テーブルに最適転送長として記憶させる相手暗号装置毎最適転送長テーブル管理処理ブロックを有することを特徴とする。
【００２５】
上記他の暗号装置を宛先とし、分割禁止に設定した相手暗号装置毎最適転送長探索フレームを生成し、暗号文ネットワーク側に送信する相手暗号装置毎最適転送長代理探索処理ブロックを有することを特徴とする。
【００２６】
相手暗号装置毎最適転送長代理探索処理ブロックは、相手暗号装置毎最適転送長探索フレームを、暗号文ネットワークのＭＴＵに基づく最長のデータ長とすることを特徴とする。
【００２７】
最適転送長は、所定のタイミングで初期化されることを特徴とする。
【００２８】
本発明に係るプログラムは、
暗号装置となるコンピュータに、以下の手順を実行させるためのプログラムであることを特徴とする
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行う手順
（２）当該暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する手順
（３）受信した平文データが分割禁止に設定されている場合に、暗号データの最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長よりも、前記平文データのデータ長が大きい場合に、前記平文データの送信元へ返信する宛先到達不能通知を生成する手順。
【００２９】
【発明の実施の形態】
実施の形態１．
以下本発明を図面に示す実施例に基づいて説明する。本実施の形態では、宛先到達不能代理通知処理するリピータ型暗号装置について説明する。
図１は、ネットワークセキュリティシステムのネットワーク構成例を示す図である。Ｒ１〜Ｒ７は、ルータ、ＲＥ１〜ＲＥ３は、（リピータ型）暗号装置、Ｓ１〜Ｓ３は、端末、Ｃ１〜Ｃ３は、コンソール端末、Ｍ１は、管理端末である。特に、Ｒ４〜Ｒ６は、広域ネットワーク内のローカルネットワークへの接続拠点に設置されたルータであり、ＰＥ（Ｐｒｏｖｉｄｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）と呼ばれる。一方、Ｒ１〜Ｒ３は、ローカルネットワーク側から広域ネットワークへ接続する拠点に設置されたルータであり、ＣＥ（Ｃｕｓｔｏｍｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）と呼ばれる。
ローカルネットワークは、平文データを転送する平文ネットワークであり、広域ネットワークは、暗号データを転送する暗号文ネットワークである。
【００３０】
図２は、本発明に係るリピータ型暗号装置の構成ブロックを示す図である。１は、端末機能ブロック、２は、リピータ機能ブロック、２０は、平文ポート、２１は、暗号文ポート、２２は、自局ポート、２３は、暗号出力フィルタ、２４は、自局出力フィルタ、２５は、平文出力フィルタ、２６は、暗号化／エンカプセル処理ブロック、２７は、復号／デカプセル処理ブロック、２８は、暗号側ＭＡＣアドレス解決ブロック、２９は、平文側ＭＡＣアドレス解決ブロック、３１は、相手暗号装置毎最適転送長テーブルである。また、端末機能ブロック１は、相手暗号装置毎最適転送長代理探索処理ブロック３２、宛先到達不能代理通知（要分割）処理ブロック３３、及び相手暗号装置毎最適転送長テーブル管理処理ブロック３４を含んでいる。
【００３１】
端末機能ブロック１は、リピータ型暗号装置自身に送信された自局宛情報、具体的には、パケット（フレーム）として送信された自局宛パケット（例えば、リピータ型暗号装置を管理するための管理パケット等）を処理する機能ブロックである。ネットワークに接続されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）接続機能を有する一般の端末と同等の機能を有する。
【００３２】
リピータ機能ブロック２は、通常のリピータと同様に、ネットワークに接続されている各機器のネットワークパラメータを変更せずに、データを暗号化および復号する機能（以下、リピータ機能）を有する。
【００３３】
平文ポート２０は、平文ネットワーク側に設けられた内部の論理的なポートである。平文ネットワークから暗号文ネットワークへデータを送出する場合には、平文ネットワークから受信した平文データ（具体的には、パケットとして送信された平文パケット）を、暗号文ポート２１と自局ポート２２に転送するように構成されている。
また、暗号文ネットワークから平文ネットワークへデータを受入れる場合や端末機能ブロック１から平文ネットワークへデータを送出する場合には、暗号文ポート２１又は自局ポート２２から転送されたデータ（具体的にはパケット）を平文出力フィルタ２５に出力するように構成されている。
【００３４】
暗号文ポート２１は、暗号文ネットワーク側に設けられた内部の論理的なポートである。暗号文ネットワークから平文ネットワークへデータを受入れる場合には、暗号文ネットワークから受信した暗号データ（具体的にはパケットとして送信された暗号パケット）を、平文ポート２０及び自局ポート２２に転送するように構成されている。
また、平文ネットワークから暗号文ネットワークへデータを送出する場合や端末機能ブロック１から暗号文ネットワークへデータを送出する場合には、平文ポート２０または自局ポート２２から転送されたデータ（具体的にはパケット）を、暗号出力フィルタ２３に出力するように構成されている。
【００３５】
自局ポート２２は、端末機能ブロック１側に設けられた内部の論理的なポートである。自局からデータを送出する場合には、端末機能ブロック１から出力された自局出力情報（具体的にはパケット）を、平文ポート２０及び暗号文ポート２１に転送するように構成されている。また、自局でデータを受入れる場合には、平文ポート２０又は暗号文ポート２１から転送されたパケットを、自局出力フィルタ２４に出力するように構成されている。
【００３６】
暗号出力フィルタ２３は、平文ネットワークから暗号文ネットワークへデータを送出する場合に、暗号文ポート２１へ転送されたパケットに対してフィルタ処理するように構成されている。廃棄パケット（転送する必要のないパケット）、透過中継パケット（何も処理せずに暗号文ネットワークに透過的に中継するパケット）、あるいは暗号パケット（暗号化およびエンカプセル処理を必要とするパケット）のいずれかであるかを識別し、廃棄パケットである場合は、当該パケットを廃棄し、透過中継パケットである場合は、当該パケットをそのまま暗号文ネットワークに送信し、暗号パケットの場合は、当該パケットを暗号化／エンカプセル処理ブロック２６に出力するように構成されている。
暗号出力フィルタ２３は、また、端末機能ブロック１からの自局出力情報を入力した場合には、当該自局出力情報が、暗号文ネットワークへの暗号情報、廃棄情報、あるいは暗号文ネットワークへの透過中継情報のいずれかであるかを識別し、上記暗号情報の場合には、自局出力情報を暗号化／エンカプセル処理ブロック２６に出力し、上記廃棄情報の場合には、自局出力情報を廃棄し、上記透過中継情報の場合には、そのまま自局出力情報を暗号文ネットワークに送信するように構成されている。
【００３７】
自局出力フィルタ２４は、自局ポート２２へ転送されたパケットに対してフィルタ処理するように構成されている。転送されたパケットが、自局宛パケット（端末機能ブロック１へ通知する必要があるパケット）、あるいは廃棄パケット（端末機能ブロックへ通知する必要がないパケット）かを識別し、自局宛パケットの場合は当該パケットを端末機能ブロック１へ送信し、廃棄パケットの場合は、廃棄するように構成されている。
【００３８】
平文出力フィルタ２５は、平文ポート２０へ転送されたパケットに対してフィルタ処理するように構成されている。廃棄パケット（平文ポート２０から送信する必要のないパケット）、透過中継パケット（何も処理せずに平文ネットワークに透過的に中継するパケット）、平文パケット（復号化およびデカプセル処理を必要とするパケット）のいずれかであるかを識別し、廃棄パケットである場合は、当該パケットを廃棄し、透過中継パケットである場合は、平文ネットワークにそのまま送信し、平文パケットである場合は、平文側ＭＡＣアドレス解決ブロック２９に出力するように構成されている。
平文出力フィルタ２５は、また、端末機能ブロック１から自局出力情報を入力した場合に、当該自局出力情報が、平文ネットワークへの透過中継情報、あるいは廃棄情報であるかを識別し、平文ネットワークへの透過中継情報である場合に、そのまま自局出力情報を平文ネットワークに送信し、廃棄情報である場合に、自局出力情報を廃棄するように構成されている。
【００３９】
暗号化／エンカプセル処理ブロック２６は、平文ネットワークから受信した平文データ（具体的には平文パケット）を暗号化し、更に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、平文データの（オリジナル）ＩＰヘッダ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌヘッダ）に設定されたアドレスに対応する暗号装置を決定し、決定した他の暗号装置に基づいて新規にエンカプセルＩＰヘッダを設定するエンカプセル処理を行うように構成されている。
【００４０】
復号／デカプセル処理ブロック２７は、暗号文ネットワークから受信した暗号データ（具体的には暗号パケット）を平文データに復号し、更に、平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するように構成されている。更に、暗号パケットに対して復号およびデカプセル処理が必要か否かを判断し、必要であれば復号およびデカプセル処理を行い、必要でなければそのままに転送するように構成され、また、復号およびデカプセル処理時にエラーが発生した場合、または復号およびデカプセル処理が不必要で、かつ透過中継する必要のない場合には、そのパケットを廃棄するように構成されている。
【００４１】
暗号側ＭＡＣアドレス解決ブロック２８は、暗号化／エンカプセル処理ブロック２６で設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌヘッダ）を設定して生成した暗号データを平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信するように構成されている。
【００４２】
平文側ＭＡＣアドレス解決ブロック２９は、復号／デカプセル処理ブロック２７で再設定されたＩＰヘッダに基づいて、ＭＡＣヘッダを設定して生成した平文データを暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信するように構成されている。
【００４３】
相手暗号装置毎最適転送長テーブル３１は、相手暗号装置毎に最適転送長と生存時間を記憶するように構成されている。詳しくは、図４を用いて後述する。
【００４４】
相手暗号装置毎最適転送長代理探索処理ブロック３２は、暗号装置が自主的に各相手暗号装置に対して、相手暗号装置毎最適転送長を探索する処理を行うように構成されている。
【００４５】
宛先到達不能代理通知（要分割）処理ブロック３３は、分割禁止であるにも関わらず、分割しなければ転送できないフレーム（パケット）を受信した場合に、宛先到達不能通知を生成し、送信元に通知する処理を行うように構成されている。
【００４６】
相手暗号装置毎最適転送長テーブル管理処理ブロック３４は、相手暗号装置毎最適転送長テーブルを更新する処理を行うように構成されている。
【００４７】
尚、上記暗号化／エンカプセル処理ブロック２６と、上記暗号側ＭＡＣアドレス解決ブロック２８とにより、暗号化／エンカプセル処理部を構成し、復号／デカプセル処理ブロック２７と、上記平文側ＭＡＣアドレス解決ブロック２９とにより、復号／デカプセル処理部を構成する。
【００４８】
図３は、宛先到達不能代理通知（要分割）処理ブロックの動作を説明するシーケンスを示す図である。
端末Ｓ１は、端末Ｓ２と通信するために端末Ｓ２宛のＤＦ＝１（分割禁止フラグセット）の１５００バイトのフレーム３０１を、ルータＲ１に送信する。リピータ型暗号装置ＲＥ１は、このフレーム３０１を暗号化／エンカプセル処理し、新たなリピータ型暗号装置ＲＥ２宛のフレーム３０２をルータＲ１に送信する。この新たなフレーム３０２は、オリジナルのフレームのＤＦを引継ぎ、ローカルネットワークのＭＴＵを越えないサイズに分割（フラグメント）されている。
ルータＲ１は、フレーム３０２のサイズが、回線１−４のＭＴＵを越え、またＤＦ＝１（分割禁止フラグセット）であるので、データの中継を中止する。そして、宛先到達不能通知３０３を生成し、返信する。このとき、エンカプセルＩＰヘッダに設定されている送信元アドレスに従って、リピータ型暗号装置ＲＥ１を送信先とする。宛先到達不能通知３０３を受信したリピータ型暗号装置ＲＥ１は、宛先到達不能通知３０３から相手暗号装置アドレス（図２０の元のＩＰヘッダ２００４中）と、転送先のＭＴＵ（図２０の２００３）を読み取り、相手暗号装置アドレスに対応付けて転送先のＭＴＵを記憶する。
その後、端末Ｓ１は端末Ｓ２からの返信が無いので、タイムアウト処理し、最初のフレーム３０１と同様のフレーム３０４を、再度送信する。リピータ型暗号装置ＲＥ１は、ＩＰヘッダ内の送信先アドレスに基づいて相手暗号装置を特定し、この相手暗号装置のアドレスに対応付けて記憶しているＭＴＵから、暗号化／エンカプセルによるデータ増分のＸバイトを差し引いたデータサイズ（１０００−Ｘ）を、転送先のＭＴＵ２００３に設定した宛先到達不能通知３０５を生成し、送信元である端末Ｓ１に返信する。
宛先到達不能通知３０５を受信した端末Ｓ１は、転送先のＭＴＵ２００３に従って、改めて１０００−Ｘバイトのフレーム３０６を生成し、ルータＲ１に送信する。リピータ型暗号装置ＲＥ１は、このフレーム３０６を暗号化／エンカプセル処理し、新たなフレーム３０７をルータＲ１に送信する。この新たなフレームは、データの増加分（Ｘバイト）を含めても回線１−４のＭＴＵを越えないサイズとなる。従って、不測のフレーム分割（フラグメント）は発生せず、また中継処理や再合成処理の負荷が軽減される。
このように、本実施の形態に係るリピータ型暗号装置ＲＥ１は、相手暗号装置毎にＭＴＵを学習し、ルータＲ１に代わり宛先到達不能通知を端末Ｓ１に送信し、更に、データ増加分を考慮したフレーム長を、宛先到達不能通知の転送先のＭＴＵ２００３に設定する。
【００４９】
学習したＭＴＵは、相手暗号装置毎最適転送長テーブルに記憶される。図４は、相手暗号装置毎最適転送長テーブルの構成を示す図である。図に示すように、相手暗号装置毎最適転送長テーブル３１は、相手暗号装置アドレス４０１に対応付けて、最適転送長４０２と生存時間４０３を記憶している。
【００５０】
相手暗号装置アドレス４０１は、ネットワーク環境に従って予め設定されている。
【００５１】
最適転送長４０２には、受信した宛先到達不能通知に含まれる転送先のＭＴＵ２００３を記憶する。初期値としては、暗号文ネットワーク側のネットワーク（ローカルネットワーク１）のＭＴＵを用いる。
但し、この例に拠らず、前記転送先のＭＴＵ２００３から、暗号化／エンカプセル処理に伴うデータの増加分（Ｘバイト）を差し引いたフレーム長を記憶するようにしてもよい。その場合、初期値としては、暗号文ネットワーク側のネットワーク（ローカルネットワーク１）のＭＴＵから、上述のデータの増加分を差し引いたフレーム長を用いる。また、新たな宛先到達不能通知の生成の際に、データの増加分（Ｘバイト）を差し引く必要がなくなる。
【００５２】
生存時間４０３は、最適転送長４０２の適正期間を管理するために用いる。
【００５３】
以下、リピータ型暗号装置（例えば、ＲＥ１）の処理について述べる。
まず、図３の３０３のように、宛先到達不能通知を受信した際の処理について説明する。
暗号文ネットワークから受信した宛先到達不能通知は、復号／デカプセル処理されず、自局（当該リピータ型暗号装置）宛てなので、暗号文ポート２１、自局ポート２２、及び自局出力フィルタ２４を介して端末機能ブロック１に入力される。そして、相手暗号装置毎最適転送長テーブル管理処理ブロック３４により、以下のように処理される。
図５は、相手暗号装置毎最適転送長テーブル管理処理ブロックにおける宛先到達不能（要分割）通知受信の処理フローを示す図である。
受信した宛先到達不能通知(要分割)に含まれる元のＩＰヘッダ２００４（図２０）内の宛先アドレスを読む。これは、到達不能となったフレーム（例えば、図３に示した３０２）のＩＰヘッダ内の宛先アドレスと同じであり、相手暗号装置のアドレスを示している。このアドレスと一致するものを、相手暗号装置毎最適転送長テーブルの相手暗号装置アドレス４０１として含むエントリを特定する（Ｓ５０１）。
そして、該当エントリの相手暗号装置毎最適転送長４０２に、宛先到達不能通知（要分割）に設定されていた転送先のＭＴＵ２００３を記憶する（Ｓ５０２）。
最後に、該当エントリの生存時間４０３を所定の初期タイマ値で初期化し、タイマを起動する（Ｓ５０３）。タイマは、時間の経過に従って、生存時間４０３の値を減ずる。
【００５４】
また、相手暗号装置毎最適転送長テーブル管理処理ブロック３４は、フレーム送受信の動作と連携せずに、相手暗号装置毎最適転送長テーブル３１の生存時間４０３を監視し、適時相手暗号装置毎最適転送長４０２を初期化している。図６は、相手暗号装置毎最適転送長テーブル管理処理ブロックにおける生存時間管理の処理フローを示す図である。
相手暗号装置毎最適転送長テーブル３１における生存時間４０３が生存時間満了値を満了したエントリがあるか判定し（Ｓ６０１）、ある場合には、該当エントリの相手暗号装置毎最適転送長４０２を、暗号文ネットワークのＭＴＵで初期化する（Ｓ６０２）。そして、該当エントリの生存時間に対するタイマを停止する（Ｓ６０３）。
このように処理することにより、前回の相手暗号装置毎最適転送長４０２にＭＴＵを設定した時から所定期間経過した場合に、改めて相手暗号装置毎最適転送長４０２にＭＴＵを設定し直すようにすることができる。
【００５５】
次に、図３の３０４のように、分割（フラグメント）が必要であって、分割禁止フラグセットされているフレームを受信した場合に、ルータ（例えば、Ｒ１）にかわり宛先到達不能通知を送信する処理について説明する。図７は、暗号化／エンカプセル処理ブロックから起動される宛先到達不能代理通知送信の処理フローを示す図である。
平文ネットワークから受信したフレームは、平文ポート２０、暗号文ポート２１、及び暗号出力フィルタ２３を介して、暗号化／エンカプセル処理ブロック２６に送られる。
受信フレームのＩＰヘッダ内の分割禁止フラグがセットされている場合には（Ｓ７０１）、受信フレームのＩＰヘッダから宛先アドレスを読む。このアドレスに予め対応付けて記憶している他の暗号装置（例えば、端末Ｓ２に対応する暗号装置ＲＥ２）のアドレスを得る（Ｓ７０２）。そして、相手暗号装置毎最適転送長テーブル中で、この暗号装置のアドレスと一致する相手暗号装置アドレスを有するエントリを特定し、そのエントリの相手暗号装置毎最適転送長４０２を取得する。そして、受信フレームのデータ長を、相手暗号装置毎最適転送長から暗号化／エンカプセル処理に伴うデータの増加分（Ｘバイト）を差し引いたデータ長と比較する（Ｓ７０３）。受信フレームのデータ長の方が大きい場合には、受信フレームのＩＰヘッダの送信元アドレス宛てに、相手暗号装置毎最適転送長から前記データの増加分（Ｘバイト）を差し引いたデータ長を、転送先のＭＴＵ２００３に設定した宛先到達不能通知（要分割）を生成し、送信する。受信フレームは廃棄する（Ｓ７０４）。
【００５６】
ＭＴＵは、最適値の例である。最適値として他の値を用いることも有効である。
【００５７】
実施の形態２．
前述の形態では、フレーム中継の機会（例えば、図３のフレーム３０２送信の後）にＭＴＵを学習する例を示したが、本実施の形態では、暗号装置で自主的にＭＴＵを学習する経路ＭＴＵ代理探索処理について説明する。
【００５８】
図８は、相手暗号装置毎最適転送長探索処理ブロックの動作を説明するシーケンスを示す図である。この例は、暗号装置ＲＥ１で、相手暗号装置ＲＥ３までの経路のＭＴＵを探索するシーケンスを示している。
リピータ型暗号装置ＲＥ１は、暗号文ネットワーク側のネットワーク（この例では、ローカルネットワーク１）のＭＴＵと一致するデータ長の相手暗号装置毎最適転送長探索フレーム（８０１）を相手（リピータ型）暗号装置ＲＥ３までの経路に送出する。つまり、ルータＲ１に送信する。
フレームを受信したルータＲ１は、フレーム長（１５００バイト）が回線１−４のＭＴＵ（１０００バイト）を越えるので、回線１−４のＭＴＵを転送先のＭＴＵ２００３に設定した宛先到達不能通知（８０２）をリピータ型暗号装置ＲＥ１に返信する。
宛先到達不能通知を受信したリピータ型暗号装置ＲＥ１は、宛先到達不能通知に設定されている転送先のＭＴＵ２００３と等しいデータ長の相手暗号装置毎最適転送長探索フレーム（８０３）を再度ルータＲ１に送信する。
経路中で、相手暗号装置毎最適転送長探索フレームのデータ長がＭＴＵを越える場合には、その都度、宛先到達不能通知が返信され、リピータ型暗号装置ＲＥ１は、転送先のＭＴＵ２００３に応じた相手暗号装置毎最適転送長探索フレームの再送を繰り返す。
最終的に、相手暗号装置ＲＥ３に相手暗号装置毎最適転送長探索フレーム（８１０）が到達すると、相手暗号装置ＲＥ３は相手暗号装置毎最適転送長探索応答フレーム（８１１）を、送信元のリピータ型暗号装置ＲＥ１に返信する。
相手暗号装置毎最適転送長探索応答フレーム（８１４）を受信したリピータ型暗号装置ＲＥ１は、これにより、相手暗号装置ＲＥ３に対する最適転送長を決定し、記憶する。
このように、経路ＭＴＵ代理探索処理を行う。その後、分割禁止フラグセットされているフレーム（８１５）を受信した場合に、前述の実施の形態と同様に、相手暗号装置を特定し、その相手暗号装置への経路の最適転送長を知らせる宛先到達不能通知（８１６）を送信元（端末Ｓ１）に返信する。これにより、送信元（端末Ｓ１）は、最適転送長のフレーム（８１７）を送信する。
【００５９】
図９は、実施の形態２における相手暗号装置毎最適転送長テーブルを示す図である。本実施の形態では、更に、相手暗号装置毎最適転送長探索応答フレーム受信監視タイマ９０４を設定している。
【００６０】
続いて、処理について説明する。
まず、相手暗号装置毎最適転送長代理探索処理ブロック３２による相手暗号装置毎最適転送長探索フレーム（例えば、図８の８０１）を送信する処理について説明する。図１０は、相手暗号装置毎最適転送長探索処理ブロックにおける相手暗号装置毎最適転送長探索フレーム送信の処理フローを示す図である。
本処理は、暗号装置立上げ直後に起動され、更に定期的に起動される。定期的間隔は、相手暗号装置毎最適転送長テーブルにおける生存時間満了値より短い値とする。
相手暗号装置毎最適転送長テーブル内のすべての相手暗号装置アドレスを取得し（Ｓ１００１）、当該暗号装置の暗号文ネットワークのＭＴＵと等しいデータ長の相手暗号装置毎最適転送長探索フレームを、すべての相手暗号装置のアドレス宛てに送信する（Ｓ１００２）。そして、相手暗号装置毎最適転送長探索応答フレーム受信監視タイマを起動する（Ｓ１００３）。
【００６１】
相手暗号装置毎最適転送長探索フレームの送信は、相手暗号装置毎最適転送長探索応答フレーム受信監視タイマ満了時にも行われる。図１１に、相手暗号装置毎最適転送長探索応答フレーム受信監視タイマ満了時に起動される処理のフローを示す。
まず、相手暗号装置毎最適転送長テーブル内で、相手暗号装置毎最適転送長探索応答フレーム受信監視タイマ９０４が満了したエントリを特定し、当該エントリの相手暗号装置アドレス９０１を取得し（Ｓ１１０１）、更に当該エントリの相手暗号装置毎最適転送長９０２を取得する（Ｓ１１０２）。そして、相手暗号装置毎最適転送長と等しいデータ長さの相手暗号装置毎最適転送長探索フレームを該当暗号装置アドレス宛てに送信する（Ｓ１１０３）。最後に、当該エントリの相手暗号装置毎最適転送長探索応答フレーム受信監視タイマ９０４を、再起動する（Ｓ１１０４）。
【００６２】
ここで、相手暗号装置毎最適転送長代理探索フレームのフォーマットを説明する。図１２は、相手暗号装置毎最適転送長代理探索フレームのフォーマットを示す図である。
ＩＰヘッダ１２０２は、ＤＦ＝１（分割禁止フラグセット）に設定する。また、ＵＤＰヘッダ１２０３中のポート番号は、相手暗号装置毎最適転送長代理探索を示す値とする。これにより、他のアプリケーションのデータとの混同を防止する。この例では、ＵＤＰヘッダ１２０３を示したが、ＴＣＰヘッダの場合も同様である。コード１２０４には、相手暗号装置毎最適転送長代理探索を示すコードを設定する。
ＩＰヘッダ１２０２から相手暗号装置毎最適転送長代理探索データ１２０５までのデータ長が、転送先のＭＴＵと等しくなるように、相手暗号装置毎最適転送長代理探索データ１２０５を設定する。
【００６３】
宛先到達不能通知（例えば、図８の８０２や８０６）を受信した場合の処理は、実施の形態１で示した図５の処理と同様である。
【００６４】
次に、相手暗号装置（例えば、ＲＥ３）で、相手暗号装置毎最適転送長代理探索フレームを受信し、相手暗号装置毎最適転送長代理探索応答フレームを返信する処理について説明する。図１３は、相手暗号装置毎最適転送長代理探索処理ブロックにおける相手暗号装置毎最適転送長代理探索フレーム受信の処理フローを示す図である。
暗号装置は、暗号文ネットワークから相手暗号装置毎最適転送長代理探索フレームを受信する。当該フレームは、復号／デカプセル処理されず、自局（当該リピータ型暗号装置）宛てなので、暗号文ポート２１、自局ポート２２、及び自局出力フィルタ２４を介して端末機能ブロック１に入力される。そして、相手暗号装置毎最適転送長代理探索処理ブロック３２により、以下のように処理される。
相手暗号装置毎最適転送長代理探索フレーム内の送信元アドレスを読み込み、当該アドレスを宛先アドレスに設定した相手暗号装置毎最適転送長代理探索応答フレームを、暗号文ネットワーク（例えば、回線３−６）側に送信する（Ｓ１３０１）。
【００６５】
ここで、相手暗号装置毎最適転送長代理探索応答フレームのフォーマットについて説明する。図１４は、相手暗号装置毎最適転送長代理探索応答フレームのフォーマットを示す図である。
ＩＰヘッダ１４０２中の宛先アドレスに、相手暗号装置毎最適転送長代理探索フレーム内の送信元アドレスが設定される。ＵＤＰヘッダ１４０３中のポート番号は、相手暗号装置毎最適転送長代理探索応答を示す値とする。これにより、他のアプリケーションのデータとの混同を防止する。この例では、ＵＤＰヘッダ１４０３を示したが、ＴＣＰヘッダの場合も同様である。コード１４０４には、相手暗号装置毎最適転送長代理探索応答を示すコードを設定する。
【００６６】
次に、リピータ型暗号装置（例えば、ＲＥ１）で相手暗号装置毎最適転送長代理探索応答フレーム（例えば、図８の８１４）を受信した場合の処理について説明する。図１５は、相手暗号装置毎最適転送長代理探索処理ブロックにおける相手暗号装置毎最適転送長代理探索応答フレーム受信の処理フローを示す図である。
暗号装置は、暗号文ネットワーク側から相手暗号装置毎最適転送長代理探索応答フレームを受信する。当該フレームは、自局（当該リピータ型暗号装置）宛てなので、暗号文ポート２１、自局ポート２２、及び自局出力フィルタ２４を介して端末機能ブロック１に入力される。そして、相手暗号装置毎最適転送長代理探索処理ブロック３２により、以下のように処理される。
受信した相手暗号装置毎最適転送長代理探索応答フレーム内の送信元アドレスを得る（Ｓ１５０１）。該当アドレスと一致する相手暗号装置毎最適転送長テーブル内の暗号装置のアドレスがあるか判定し（Ｓ１５０２）、ある場合には、当該エントリの相手暗号装置毎最適転送長に暗号文ネットワークのＭＴＵを設定する（Ｓ１５０３）。そして、当該エントリの相手暗号装置毎最適転送長探索応答フレーム受信監視タイマを停止する（Ｓ１５０４）。更に、当該エントリの生存時間に対応するタイマを停止する（Ｓ１５０５）。
【００６７】
リピータ型暗号装置は、コンピュータで実現することもでき、各要素はプログラムにより処理を実行することができる。また、プログラムを記憶媒体に記憶させ、記憶媒体からコンピュータに読み取られるようにすることができる。
【００６８】
【発明の効果】
本発明においては、暗号データの最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長よりも、平文データのデータ長が大きい場合に、平文データの送信元を宛先とする宛先到達不能通知を生成し、平文ネットワーク側へ送信するので、不測のフレーム分割（フラグメント）を未然に防止し、データ転送の効率を向上させることができる。
また、相手暗号装置に対応して最適転送長を記憶し、フレームの送信先に応じて特定される相手暗号装置毎の最適転送長を含めた宛先到達不能通知をフレーム送信元に送るので、経路ＭＴＵ探索を正常に機能させることができる。
【図面の簡単な説明】
【図１】 ネットワークセキュリティシステムのネットワーク構成例を示す図である。
【図２】 本発明に係るリピータ型暗号装置の構成ブロックを示す図である。
【図３】 宛先到達不能代理通知（要分割）処理ブロックの動作を説明するシーケンスを示す図である。
【図４】 相手暗号装置毎最適転送長テーブルの構成を示す図である。
【図５】 相手暗号装置毎最適転送長テーブル管理処理ブロックにおける宛先到達不能（要分割）通知受信の処理フローを示す図である。
【図６】 相手暗号装置毎最適転送長テーブル管理処理ブロックにおける生存時間管理の処理フローを示す図である。
【図７】 暗号化／エンカプセル処理ブロックから起動される宛先到達不能代理通知送信の処理フローを示す図である。
【図８】 相手暗号装置毎最適転送長探索処理ブロックの動作を説明するシーケンスを示す図である。
【図９】 実施の形態２における相手暗号装置毎最適転送長テーブルを示す図である。
【図１０】 相手暗号装置毎最適転送長探索処理ブロックにおける相手暗号装置毎最適転送長探索フレーム送信の処理フローを示す図である。
【図１１】 相手暗号装置毎最適転送長探索処理ブロックにおける相手暗号装置毎最適転送長探索フレーム送信の処理フローを示す図である。
【図１２】 相手暗号装置毎最適転送長代理探索フレームのフォーマットを示す図である。
【図１３】 相手暗号装置毎最適転送長代理探索処理ブロックにおける相手暗号装置毎最適転送長代理探索フレーム受信の処理フローを示す図である。
【図１４】 相手暗号装置毎最適転送長代理探索応答フレームのフォーマットを示す図である。
【図１５】 相手暗号装置毎最適転送長代理探索処理ブロックにおける相手暗号装置毎最適転送長代理探索応答フレーム受信の処理フローを示す図である。
【図１６】 従来の相手暗号装置毎最適転送長探索が行われるネットワークの構成例を示す図である。
【図１７】 ローカルネットワーク上のフレームフォーマットを示す図である。
【図１８】 フラグメントするシーケンスの例を示す図である。
【図１９】 フラグメントしないシーケンスの例を示す図である。
【図２０】 ローカルネットワーク上の宛先到達不能通知フレームフォーマットを示す図である。
【図２１】 従来のリピータ型暗号装置を用いるネットワーク構成例を示す図である。
【図２２】 従来のリピータ型暗号装置の構成を示す図である。
【図２３】 従来のリピータ型暗号装置を用いる場合のフレームフォーマットの概要を示す図である。
【図２４】 宛先到達不能通知を転送できないシーケンスを示す図である。
【図２５】 従来の暗号装置を用いたネットワークでフラグメントするシーケンスを示す図である。
【符号の説明】
１ 端末機能ブロック、２ リピータ機能ブロック、２０ 平文ポート、２１暗号文ポート、２２ 自局ポート、２３ 暗号出力フィルタ、２４ 自局出力フィルタ、２５ 平文出力フィルタ、２６ 暗号化／エンカプセル処理ブロック、２７ 復号／デカプセル処理ブロック、２８ 暗号側ＭＡＣアドレス解決ブロック、２９ 平文側ＭＡＣアドレス解決ブロック、３１ 相手暗号装置毎最適転送長テーブル、３２ 相手暗号装置毎最適転送長代理探索処理ブロック、３３ 宛先到達不能代理通知（要分割）処理ブロック、３４ 相手暗号装置毎最適転送長テーブル管理処理ブロック。
【発明の属する技術分野】
本発明は、セキュリティ確保における導入負担を軽減するリピータ型暗号装置に係り、不測のフレーム分割（フラグメント）処理を回避し、更に、経路ＭＴＵ探索を正常に機能させることにより、データ転送効率を向上させるリピータ型暗号装置に関する。
【０００２】
【従来の技術】
従来から行われている経路ＭＴＵ探索について説明する。図１６は、従来の相手暗号装置毎最適転送長探索が行われるネットワークの構成例を示す図である。図に示すように、ローカルネットワーク１と回線とローカルネットワーク２では、それぞれＭＴＵ（Ｍａｘｉｍｕｍ Ｔｒａｎｓｍｉｓｓｉｏｎ Ｕｎｉｔ）が異なる。ＭＴＵは、転送可能な最大のフレームサイズ（ＭＡＣヘッダを除く）を示している。
【０００３】
以下、ＭＴＵの特徴について述べる。
１）ＭＴＵは、通信媒体で決まる絶対的な限界値以下の値でなければならない。
２）ＭＴＵは、各機器でパラメータとして記憶されている。例えば、ルータＲ１では、物理ポートのパラメータとしてＭＴＵ値を記憶している。
３）ＭＴＵは大きい方が、転送効率がよい。ＭＴＵが小さい場合には、フレームサイズが小さいので、フレーム量が増大する。その結果、オーバヘッドの増加等により転送効率が悪くなる。
【０００４】
ＩＰ層の制限では、一度に６４Ｋｂｙｔｅｓまでのデータを送れることになっているが、このように、実際の物理層の制限で一度に転送できないことがある。このような場合はデータを分割して送信し、受信した方で再合成する必要がある。この動作を、フラグメントという。
【０００５】
フレームフォーマットの仕様のうちフラグメントに関連する箇所について説明する。図１７は、ローカルネットワーク上のフレームフォーマットを示す図である。
図中のフラグ１７０１は、各種制御フラグを示している。そのうち、ビット１（ＤＦ：分割禁止フラグ）は、フレーム分割の可否を示している。ＤＦ＝０（分割禁止フラグリセット）は、分割許可を意味し、当該フレームを分割（フラグメント）して転送することを許している。ＤＦ＝１（分割禁止フラグセット）は、分割禁止を意味し、当該フレームを分割（フラグメント）して転送することを禁止している。
ビット２（ＭＦ）は、更に分割（フラグメント）された後続のフレームが存在するか否かを示している。ＭＦ＝０は、最終分割を意味し、当該フレーム以降に分割（フラグメント）されたフレームが存在しないことを示している。ＭＦ＝１は、分割継続を意味し、当該フレーム以降に分割（フラグメント）されたフレームが存在することを示している。
【０００６】
ここで、フレーム転送のシーケンスの例を示す。まず、フラグメントする場合のシーケンスについて説明する。図１８は、フラグメントするシーケンスの例を示す図である。以下、フレーム長（フレームのデータ長）は、ＭＡＣヘッダを除くサイズを示す。
図は、端末Ｓ１から端末Ｓ２へ３０００バイトのデータを転送する場合の例を示している。この例では、分割（フラグメント）を許可するので、分割禁止フラグはリセットになっている。その為、ルータＲ１で、フレームを分割し、分割したフレームを送信する。ルータＲ２は、これらのフレームを中継し、端末Ｓ２は、受信したフレームの再合成処理（組み立て処理）を行う。この例では、図に示すように、ルータＲ１でフレームの分割処理が２回発生し、フレーム送信処理が４回発生している。また、ルータＲ２でフレームの中継処理が４回発生し、端末Ｓ２でフレームの再合成処理が２回発生している。
このように、ルータＲ１におけるフレームの分割処理の負荷、ルータＲ２におけるフレーム中継処理の負荷、端末Ｓ２におけるフレームの再合成処理（組み立て処理）の負荷が、転送効率を悪化させる。
【０００７】
次に、フラグメントしない場合のシーケンスについて説明する。図１９は、フラグメントしないシーケンスの例を示す図である。
図は、端末Ｓ１から端末Ｓ２へ３０００バイトのデータを転送する場合の例を示している。この例では、分割（フラグメント）を禁止するので、分割禁止フラグはセットになっている。そのため、端末Ｓ１が最初１５００バイトのフレームを送信するが、ルータＲ１より端末Ｓ１に宛先到達不能通知（コード＝要分割、転送先ＭＴＵ＝１０００バイト）が通知される。これを受けた端末Ｓ１は、長さ１０００バイトで再送し、合計３フレームを送信する。ルータＲ１とルータＲ２ではフレームの中継処理が３回発生するが（分割処理は行わない）、端末Ｓ２では再合成処理（組み立て処理）が必要ない。
上述のように、分割禁止フラグをセットし、フラグメントしない場合のシーケンスの方が、ルータの分割処理が発生しないことと中継処理回数が少ないこと、受信側端末の再合成処理が不用であることなどから転送効率が良い。
【０００８】
図１９に示したように、ネットワーク上の任意の経路について、その経路上の最大データ転送長を探索する機能を経路ＭＴＵ探索（Ｐａｔｈ ＭＴＵ Ｄｉｓｃｏｖｅｒｙ）という。この機能において重要なことは、転送先のＭＴＵを送信側に通知することである。これにより、送信側で、分割の必要がない範囲で最長のフレームを転送することが可能となる。
【０００９】
ここで、宛先到達不能通知フォームフォーマットについて説明する。図２０は、ローカルネットワーク上の宛先到達不能通知フレームフォーマットを示す図である。
本通知は、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）により定義されている。尚、ＩＣＭＰは、ＩＰプロトコルの機能を補助するために用意された制御用のプロトコルである。図に示すように、ＩＰヘッダの後に、ＩＣＭＰメッセージが置かれている。
当該フレームが、宛先到達不能通知（宛先到達不能メッセージ）である場合には、形式２００１に「３」を設定する。フレーム長が大きすぎるため分割が必要にもかかわらず、分割が禁止されている場合には、コード２００２に「４」を設定する。転送先のＭＴＵ２００３には、ルータが転送する際の転送先のインタフェースに定義された転送可能なフレーム長（最大データ転送長：ＭＡＣヘッダを除く）を設定する。送信側では、この値に基づいて、再送するデータ長を決定することができる。また、２００４には、元のＩＰヘッダと元のＩＰデータの先頭から６４ｂｉｔｓ分のデータが格納される。この元のＩＰヘッダ部分を参照することにより、転送に失敗した元のフレームの送信元アドレスと宛先アドレスを特定できる。
【００１０】
一方、広域ネットワークとしてインターネットやＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ−Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）網を用いる場合のセキュリティ対策として、平文ネットワーク（ローカルネットワーク）と暗号文ネットワーク（広域ネットワーク）との間でデータの中継に対して、平文データを暗号化すると共に暗号データを復号する暗号装置が用いられる。従来この基本アーキテクチャとして、ルータ型の暗号装置または端末型の暗号装置が想定されていたが、新たに、リピータ型の暗号装置が導入されるようになっている。これにより、既存ネットワークに接続された機器へのＩＰ−ＶＰＮ導入時の再設定の不便を解消し、ＩＰ−ＶＰＮの導入作業を容易にし、更に導入コストを軽減することができる。
【００１１】
図２１は、従来のリピータ型暗号装置を用いるネットワーク構成例を示す図である。図中、ＲＥ１〜ＲＥ３がリピータ型暗号装置に相当する。このリピータ型暗号装置については、特許３２５９７２４号の「暗号装置、暗号化器および復号器」にその内容が開示されている。図２２は、従来のリピータ型暗号装置の構成を示す図である。
平文ネットワークからの平文データを暗号化して暗号文ネットワークに送出する場合には、暗号化／エンカプセル処理ブロック２６により、平文ネットワークから受信した平文データを暗号化し、更に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、平文データのＩＰヘッダ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ヘッダ）に設定されたアドレスに対応する暗号装置を決定し、決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行う。そして、暗号化／暗号側ＭＡＣアドレス解決ブロック２８により、暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ ヘッダ）を設定して生成した暗号データを平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する。
逆に、暗号文ネットワークからの暗号データを復号して平文ネットワークに送出する場合には、復号／デカプセル処理ブロック２７により、暗号文ネットワークから受信した暗号データを平文データに復号し、更に、平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するデカプセル処理を行う。そして、平文側ＭＡＣアドレス解決ブロック２９により、復号／デカプセル処理ブロック２７で設定されたＩＰヘッダに基づいてＭＡＣヘッダを設定して生成した平文データを暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信する。
【００１２】
これにより、以下に示すフレームフォーマットのデータが転送される。図２３は、従来のリピータ型暗号装置を用いる場合のフレームフォーマットの概要を示す図である。
図に示すように、平文データ（２３０１〜２３０４）に含まれていたＴＣＰ／ＵＤＰデータ２３０４、ＴＣＰ／ＵＤＰヘッダ２３０３、及びＩＰヘッダ２３０２の内容は、暗号化され（２３１４〜２３１６）、中継過程で盗み見できないようになっている。そして、本来のＩＰヘッダ２３０２やＭＡＣヘッダ２３０１とは異なるエンカプセルＩＰヘッダ２３１２、ＭＡＣヘッダ２３１１が新たに設定されている。尚、エンカプセルヘッダ２３１３には、セキュリティパラメータインデックスやパケットのシーケンス番号等の復号／デカプセル処理に必要なパラメータが格納されている。
【００１３】
このようなリピータ型暗号装置を端末とルータの間に設置して、経路ＭＴＵ探索を行うためには、ルータから端末に宛先到達不能通知を通知する必要があるが、暗号化エンカプセル後のフレームでは、オリジナルのＩＰヘッダ２３０２が暗号化され、エンカプセルＩＰヘッダ２３１３中の発信元のアドレスには、リピータ型暗号装置のアドレスが設定されている。そのため、オリジナルのＩＰヘッダ２３０２に設定されている本来の発信元である端末のアドレスがわからず、宛先到達不能通知を通知すべき本来の発信元に送信できない。
【００１４】
また、新たにエンカプセルヘッダ２３１３とエンカプセルＩＰヘッダ２３１２を付加しているため、これらのヘッダのデータ長Ｘバイト分、全体のフレーム長が大きくなる。そのため、このデータ増加分によりＭＴＵを越えてしまい、本来分割（フラグメント）の必要がないデータが、暗号化／エンカプセル処理により、分割（フラグメント）が必要になるケースが発生し得る。
【００１５】
リピータ型暗号装置を用いた環境における経路ＭＴＵ探索によるシーケンスの例を示す。図２４は、宛先到達不能通知を転送できないシーケンスを示す図である。
フレーム２４０１のデータ長は、１５００バイトであり、ローカルネットワーク１のＭＴＵ＝１５００以内なので、ルータＲ１に転送する際に、本来分割（フラグメント）は必要ない。しかし、前述の通り、エンカプセルヘッダ２３１３とエンカプセルＩＰヘッダ２３１２の付加データのＸバイト分だけデータが大きくなるので、その増加データ長に相当するデータを分割（フラグメント）し、２つのフレームを送信している。
また、フレーム２４０２のデータ長は回線１−４のＭＴＵを越えており、更に当該フレームが分割禁止であるため、ルータＲ１は、宛先到達不能通知を返信する必要がある。しかし、前述のように、エンカプセルＩＰヘッダ２３１３中の発信元のアドレスには、リピータ型暗号装置ＲＥ１のアドレスが設定されているため、宛先到達不能通知は、リピータ型暗号装置ＲＥ１に返信され、本来の発信元である端末Ｓ１に至らない。また、リピータ型暗号装置ＲＥ１は、宛先到達不能通知のデータ内容から本来の送信元を特定できないので、転送することもできない。従って、送信先である端末Ｓ３にフレームが至らず、また、本来の送信元である端末Ｓ１が宛先到達不能通知を受け取ることができないので、経路ＭＴＵ探索も機能しない。
【００１６】
図２５は、従来の暗号装置を用いたネットワークでフラグメントするシーケンスを示す図である。
図２４に示したように、リピータ型暗号装置ＲＥ１からルータＲ１に分割禁止フラグセットのフレームを転送すると、正常に動作しないので、リピータ型暗号装置ＲＥ１は、受信したフレームがＤＦ＝０（分割禁止フラグリセット）あるいはＤＦ＝１（分割禁止フラグセット）のいずれであっても、分割許可で転送せざるを得ない。この場合には、ルータＲ１におけるフレームの分割処理の負荷、ルータＲ３におけるフレーム中継処理の負荷、リピータ型暗号装置ＲＥ２におけるフレームの再合成処理（組み立て処理）の負荷が問題となる。
また、この場合でも、図２４の場合と同様に、暗号化／エンカプセルによるデータ増分のＸバイトの影響で、分割（フラグメント）が必要になる。
【００１７】
転送するデータを暗号化し、エンカプセル処理することにより、セキュリティを確保するリピータ型暗号装置を用いるネットワーク環境でのデータ転送効率に関しては、前述のように以下の問題がある。
１）暗号化／エンカプセル化処理により、新たなヘッダを付加するため、このデータ増加分によりＭＴＵを越えてしまい、本来分割（フラグメント）の必要がないフレームが、暗号化／エンカプセル化処理により、分割（フラグメント）が必要になるケースが発生し、転送効率が劣化する。
２）暗号化／エンカプセル化処理により、オリジナルのＩＰヘッダが暗号化され、本来の送信元のアドレスが不明になるため、宛先到達不能通知が送信元に転送されず、経路ＭＴＵ探索を実行できない。従って、経路ＭＴＵ探索を用いたデータ転送効率の向上が図られない。
【００１８】
【特許文献１】
特許第３２５９７２４号公報
【特許文献２】
特開２０００−９２１１９号公報
【００１９】
【発明が解決しようとする課題】
本発明は、上記した従来技術の欠点を除くためになされたものであって、その目的とするところは、セキュリティ確保における導入負担を軽減するリピータ型暗号装置に係り、不測のフレーム分割（フラグメント）処理を回避し、更に、経路ＭＴＵ探索を正常に機能させることにより、データ転送効率を向上させることを課題とする。
【００２０】
【課題を解決するための手段】
本発明に係る暗号装置は、
平文ネットワークと暗号文ネットワークとの間でデータを中継する暗号装置であって、以下の要素を有することを特徴とする
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行う暗号化／エンカプセル処理ブロック
（２）当該暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する暗号側ＭＡＣアドレス解決ブロック
（３）受信した平文データが分割禁止に設定されている場合に、暗号データの最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長よりも、前記平文データのデータ長が大きい場合に、前記平文データの送信元を宛先とする宛先到達不能通知を生成し、平文ネットワーク側へ送信する宛先到達不能代理通知処理ブロック。
【００２１】
宛先到達不能代理通知処理ブロックは、前記宛先到達不能通知に、暗号データの最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長を含めることを特徴とする。
【００２２】
宛先到達不能代理通知処理ブロックは、暗号文ネットワーク側から受信した宛先到達不能通知に含まれる転送先のＭＴＵを、最適転送長として用いることを特徴とする。
【００２３】
暗号装置は、更に、上記他の暗号装置毎に、最適転送長を記憶する相手暗号装置最適転送長テーブルを有し、
宛先到達不能代理通知処理ブロックは、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダに設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に対応して記憶されている最適転送長を、相手暗号装置最適転送長テーブルから取得することを特徴とする。
【００２４】
暗号装置は、更に、暗号文ネットワーク側から受信した宛先到達不能通知に含まれる転送先のＭＴＵ（マキシマムトランスミッションユニット）を、相手暗号装置最適転送長テーブルに最適転送長として記憶させる相手暗号装置毎最適転送長テーブル管理処理ブロックを有することを特徴とする。
【００２５】
上記他の暗号装置を宛先とし、分割禁止に設定した相手暗号装置毎最適転送長探索フレームを生成し、暗号文ネットワーク側に送信する相手暗号装置毎最適転送長代理探索処理ブロックを有することを特徴とする。
【００２６】
相手暗号装置毎最適転送長代理探索処理ブロックは、相手暗号装置毎最適転送長探索フレームを、暗号文ネットワークのＭＴＵに基づく最長のデータ長とすることを特徴とする。
【００２７】
最適転送長は、所定のタイミングで初期化されることを特徴とする。
【００２８】
本発明に係るプログラムは、
暗号装置となるコンピュータに、以下の手順を実行させるためのプログラムであることを特徴とする
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行う手順
（２）当該暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する手順
（３）受信した平文データが分割禁止に設定されている場合に、暗号データの最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長よりも、前記平文データのデータ長が大きい場合に、前記平文データの送信元へ返信する宛先到達不能通知を生成する手順。
【００２９】
【発明の実施の形態】
実施の形態１．
以下本発明を図面に示す実施例に基づいて説明する。本実施の形態では、宛先到達不能代理通知処理するリピータ型暗号装置について説明する。
図１は、ネットワークセキュリティシステムのネットワーク構成例を示す図である。Ｒ１〜Ｒ７は、ルータ、ＲＥ１〜ＲＥ３は、（リピータ型）暗号装置、Ｓ１〜Ｓ３は、端末、Ｃ１〜Ｃ３は、コンソール端末、Ｍ１は、管理端末である。特に、Ｒ４〜Ｒ６は、広域ネットワーク内のローカルネットワークへの接続拠点に設置されたルータであり、ＰＥ（Ｐｒｏｖｉｄｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）と呼ばれる。一方、Ｒ１〜Ｒ３は、ローカルネットワーク側から広域ネットワークへ接続する拠点に設置されたルータであり、ＣＥ（Ｃｕｓｔｏｍｅｒ Ｅｄｇｅ Ｒｏｕｔｅｒ）と呼ばれる。
ローカルネットワークは、平文データを転送する平文ネットワークであり、広域ネットワークは、暗号データを転送する暗号文ネットワークである。
【００３０】
図２は、本発明に係るリピータ型暗号装置の構成ブロックを示す図である。１は、端末機能ブロック、２は、リピータ機能ブロック、２０は、平文ポート、２１は、暗号文ポート、２２は、自局ポート、２３は、暗号出力フィルタ、２４は、自局出力フィルタ、２５は、平文出力フィルタ、２６は、暗号化／エンカプセル処理ブロック、２７は、復号／デカプセル処理ブロック、２８は、暗号側ＭＡＣアドレス解決ブロック、２９は、平文側ＭＡＣアドレス解決ブロック、３１は、相手暗号装置毎最適転送長テーブルである。また、端末機能ブロック１は、相手暗号装置毎最適転送長代理探索処理ブロック３２、宛先到達不能代理通知（要分割）処理ブロック３３、及び相手暗号装置毎最適転送長テーブル管理処理ブロック３４を含んでいる。
【００３１】
端末機能ブロック１は、リピータ型暗号装置自身に送信された自局宛情報、具体的には、パケット（フレーム）として送信された自局宛パケット（例えば、リピータ型暗号装置を管理するための管理パケット等）を処理する機能ブロックである。ネットワークに接続されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）接続機能を有する一般の端末と同等の機能を有する。
【００３２】
リピータ機能ブロック２は、通常のリピータと同様に、ネットワークに接続されている各機器のネットワークパラメータを変更せずに、データを暗号化および復号する機能（以下、リピータ機能）を有する。
【００３３】
平文ポート２０は、平文ネットワーク側に設けられた内部の論理的なポートである。平文ネットワークから暗号文ネットワークへデータを送出する場合には、平文ネットワークから受信した平文データ（具体的には、パケットとして送信された平文パケット）を、暗号文ポート２１と自局ポート２２に転送するように構成されている。
また、暗号文ネットワークから平文ネットワークへデータを受入れる場合や端末機能ブロック１から平文ネットワークへデータを送出する場合には、暗号文ポート２１又は自局ポート２２から転送されたデータ（具体的にはパケット）を平文出力フィルタ２５に出力するように構成されている。
【００３４】
暗号文ポート２１は、暗号文ネットワーク側に設けられた内部の論理的なポートである。暗号文ネットワークから平文ネットワークへデータを受入れる場合には、暗号文ネットワークから受信した暗号データ（具体的にはパケットとして送信された暗号パケット）を、平文ポート２０及び自局ポート２２に転送するように構成されている。
また、平文ネットワークから暗号文ネットワークへデータを送出する場合や端末機能ブロック１から暗号文ネットワークへデータを送出する場合には、平文ポート２０または自局ポート２２から転送されたデータ（具体的にはパケット）を、暗号出力フィルタ２３に出力するように構成されている。
【００３５】
自局ポート２２は、端末機能ブロック１側に設けられた内部の論理的なポートである。自局からデータを送出する場合には、端末機能ブロック１から出力された自局出力情報（具体的にはパケット）を、平文ポート２０及び暗号文ポート２１に転送するように構成されている。また、自局でデータを受入れる場合には、平文ポート２０又は暗号文ポート２１から転送されたパケットを、自局出力フィルタ２４に出力するように構成されている。
【００３６】
暗号出力フィルタ２３は、平文ネットワークから暗号文ネットワークへデータを送出する場合に、暗号文ポート２１へ転送されたパケットに対してフィルタ処理するように構成されている。廃棄パケット（転送する必要のないパケット）、透過中継パケット（何も処理せずに暗号文ネットワークに透過的に中継するパケット）、あるいは暗号パケット（暗号化およびエンカプセル処理を必要とするパケット）のいずれかであるかを識別し、廃棄パケットである場合は、当該パケットを廃棄し、透過中継パケットである場合は、当該パケットをそのまま暗号文ネットワークに送信し、暗号パケットの場合は、当該パケットを暗号化／エンカプセル処理ブロック２６に出力するように構成されている。
暗号出力フィルタ２３は、また、端末機能ブロック１からの自局出力情報を入力した場合には、当該自局出力情報が、暗号文ネットワークへの暗号情報、廃棄情報、あるいは暗号文ネットワークへの透過中継情報のいずれかであるかを識別し、上記暗号情報の場合には、自局出力情報を暗号化／エンカプセル処理ブロック２６に出力し、上記廃棄情報の場合には、自局出力情報を廃棄し、上記透過中継情報の場合には、そのまま自局出力情報を暗号文ネットワークに送信するように構成されている。
【００３７】
自局出力フィルタ２４は、自局ポート２２へ転送されたパケットに対してフィルタ処理するように構成されている。転送されたパケットが、自局宛パケット（端末機能ブロック１へ通知する必要があるパケット）、あるいは廃棄パケット（端末機能ブロックへ通知する必要がないパケット）かを識別し、自局宛パケットの場合は当該パケットを端末機能ブロック１へ送信し、廃棄パケットの場合は、廃棄するように構成されている。
【００３８】
平文出力フィルタ２５は、平文ポート２０へ転送されたパケットに対してフィルタ処理するように構成されている。廃棄パケット（平文ポート２０から送信する必要のないパケット）、透過中継パケット（何も処理せずに平文ネットワークに透過的に中継するパケット）、平文パケット（復号化およびデカプセル処理を必要とするパケット）のいずれかであるかを識別し、廃棄パケットである場合は、当該パケットを廃棄し、透過中継パケットである場合は、平文ネットワークにそのまま送信し、平文パケットである場合は、平文側ＭＡＣアドレス解決ブロック２９に出力するように構成されている。
平文出力フィルタ２５は、また、端末機能ブロック１から自局出力情報を入力した場合に、当該自局出力情報が、平文ネットワークへの透過中継情報、あるいは廃棄情報であるかを識別し、平文ネットワークへの透過中継情報である場合に、そのまま自局出力情報を平文ネットワークに送信し、廃棄情報である場合に、自局出力情報を廃棄するように構成されている。
【００３９】
暗号化／エンカプセル処理ブロック２６は、平文ネットワークから受信した平文データ（具体的には平文パケット）を暗号化し、更に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、平文データの（オリジナル）ＩＰヘッダ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌヘッダ）に設定されたアドレスに対応する暗号装置を決定し、決定した他の暗号装置に基づいて新規にエンカプセルＩＰヘッダを設定するエンカプセル処理を行うように構成されている。
【００４０】
復号／デカプセル処理ブロック２７は、暗号文ネットワークから受信した暗号データ（具体的には暗号パケット）を平文データに復号し、更に、平文データのＩＰヘッダに設定されたアドレスに基づいてＩＰヘッダを再設定するように構成されている。更に、暗号パケットに対して復号およびデカプセル処理が必要か否かを判断し、必要であれば復号およびデカプセル処理を行い、必要でなければそのままに転送するように構成され、また、復号およびデカプセル処理時にエラーが発生した場合、または復号およびデカプセル処理が不必要で、かつ透過中継する必要のない場合には、そのパケットを廃棄するように構成されている。
【００４１】
暗号側ＭＡＣアドレス解決ブロック２８は、暗号化／エンカプセル処理ブロック２６で設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌヘッダ）を設定して生成した暗号データを平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信するように構成されている。
【００４２】
平文側ＭＡＣアドレス解決ブロック２９は、復号／デカプセル処理ブロック２７で再設定されたＩＰヘッダに基づいて、ＭＡＣヘッダを設定して生成した平文データを暗号文ネットワークと同一ＩＰサブネットの平文ネットワークへ送信するように構成されている。
【００４３】
相手暗号装置毎最適転送長テーブル３１は、相手暗号装置毎に最適転送長と生存時間を記憶するように構成されている。詳しくは、図４を用いて後述する。
【００４４】
相手暗号装置毎最適転送長代理探索処理ブロック３２は、暗号装置が自主的に各相手暗号装置に対して、相手暗号装置毎最適転送長を探索する処理を行うように構成されている。
【００４５】
宛先到達不能代理通知（要分割）処理ブロック３３は、分割禁止であるにも関わらず、分割しなければ転送できないフレーム（パケット）を受信した場合に、宛先到達不能通知を生成し、送信元に通知する処理を行うように構成されている。
【００４６】
相手暗号装置毎最適転送長テーブル管理処理ブロック３４は、相手暗号装置毎最適転送長テーブルを更新する処理を行うように構成されている。
【００４７】
尚、上記暗号化／エンカプセル処理ブロック２６と、上記暗号側ＭＡＣアドレス解決ブロック２８とにより、暗号化／エンカプセル処理部を構成し、復号／デカプセル処理ブロック２７と、上記平文側ＭＡＣアドレス解決ブロック２９とにより、復号／デカプセル処理部を構成する。
【００４８】
図３は、宛先到達不能代理通知（要分割）処理ブロックの動作を説明するシーケンスを示す図である。
端末Ｓ１は、端末Ｓ２と通信するために端末Ｓ２宛のＤＦ＝１（分割禁止フラグセット）の１５００バイトのフレーム３０１を、ルータＲ１に送信する。リピータ型暗号装置ＲＥ１は、このフレーム３０１を暗号化／エンカプセル処理し、新たなリピータ型暗号装置ＲＥ２宛のフレーム３０２をルータＲ１に送信する。この新たなフレーム３０２は、オリジナルのフレームのＤＦを引継ぎ、ローカルネットワークのＭＴＵを越えないサイズに分割（フラグメント）されている。
ルータＲ１は、フレーム３０２のサイズが、回線１−４のＭＴＵを越え、またＤＦ＝１（分割禁止フラグセット）であるので、データの中継を中止する。そして、宛先到達不能通知３０３を生成し、返信する。このとき、エンカプセルＩＰヘッダに設定されている送信元アドレスに従って、リピータ型暗号装置ＲＥ１を送信先とする。宛先到達不能通知３０３を受信したリピータ型暗号装置ＲＥ１は、宛先到達不能通知３０３から相手暗号装置アドレス（図２０の元のＩＰヘッダ２００４中）と、転送先のＭＴＵ（図２０の２００３）を読み取り、相手暗号装置アドレスに対応付けて転送先のＭＴＵを記憶する。
その後、端末Ｓ１は端末Ｓ２からの返信が無いので、タイムアウト処理し、最初のフレーム３０１と同様のフレーム３０４を、再度送信する。リピータ型暗号装置ＲＥ１は、ＩＰヘッダ内の送信先アドレスに基づいて相手暗号装置を特定し、この相手暗号装置のアドレスに対応付けて記憶しているＭＴＵから、暗号化／エンカプセルによるデータ増分のＸバイトを差し引いたデータサイズ（１０００−Ｘ）を、転送先のＭＴＵ２００３に設定した宛先到達不能通知３０５を生成し、送信元である端末Ｓ１に返信する。
宛先到達不能通知３０５を受信した端末Ｓ１は、転送先のＭＴＵ２００３に従って、改めて１０００−Ｘバイトのフレーム３０６を生成し、ルータＲ１に送信する。リピータ型暗号装置ＲＥ１は、このフレーム３０６を暗号化／エンカプセル処理し、新たなフレーム３０７をルータＲ１に送信する。この新たなフレームは、データの増加分（Ｘバイト）を含めても回線１−４のＭＴＵを越えないサイズとなる。従って、不測のフレーム分割（フラグメント）は発生せず、また中継処理や再合成処理の負荷が軽減される。
このように、本実施の形態に係るリピータ型暗号装置ＲＥ１は、相手暗号装置毎にＭＴＵを学習し、ルータＲ１に代わり宛先到達不能通知を端末Ｓ１に送信し、更に、データ増加分を考慮したフレーム長を、宛先到達不能通知の転送先のＭＴＵ２００３に設定する。
【００４９】
学習したＭＴＵは、相手暗号装置毎最適転送長テーブルに記憶される。図４は、相手暗号装置毎最適転送長テーブルの構成を示す図である。図に示すように、相手暗号装置毎最適転送長テーブル３１は、相手暗号装置アドレス４０１に対応付けて、最適転送長４０２と生存時間４０３を記憶している。
【００５０】
相手暗号装置アドレス４０１は、ネットワーク環境に従って予め設定されている。
【００５１】
最適転送長４０２には、受信した宛先到達不能通知に含まれる転送先のＭＴＵ２００３を記憶する。初期値としては、暗号文ネットワーク側のネットワーク（ローカルネットワーク１）のＭＴＵを用いる。
但し、この例に拠らず、前記転送先のＭＴＵ２００３から、暗号化／エンカプセル処理に伴うデータの増加分（Ｘバイト）を差し引いたフレーム長を記憶するようにしてもよい。その場合、初期値としては、暗号文ネットワーク側のネットワーク（ローカルネットワーク１）のＭＴＵから、上述のデータの増加分を差し引いたフレーム長を用いる。また、新たな宛先到達不能通知の生成の際に、データの増加分（Ｘバイト）を差し引く必要がなくなる。
【００５２】
生存時間４０３は、最適転送長４０２の適正期間を管理するために用いる。
【００５３】
以下、リピータ型暗号装置（例えば、ＲＥ１）の処理について述べる。
まず、図３の３０３のように、宛先到達不能通知を受信した際の処理について説明する。
暗号文ネットワークから受信した宛先到達不能通知は、復号／デカプセル処理されず、自局（当該リピータ型暗号装置）宛てなので、暗号文ポート２１、自局ポート２２、及び自局出力フィルタ２４を介して端末機能ブロック１に入力される。そして、相手暗号装置毎最適転送長テーブル管理処理ブロック３４により、以下のように処理される。
図５は、相手暗号装置毎最適転送長テーブル管理処理ブロックにおける宛先到達不能（要分割）通知受信の処理フローを示す図である。
受信した宛先到達不能通知(要分割)に含まれる元のＩＰヘッダ２００４（図２０）内の宛先アドレスを読む。これは、到達不能となったフレーム（例えば、図３に示した３０２）のＩＰヘッダ内の宛先アドレスと同じであり、相手暗号装置のアドレスを示している。このアドレスと一致するものを、相手暗号装置毎最適転送長テーブルの相手暗号装置アドレス４０１として含むエントリを特定する（Ｓ５０１）。
そして、該当エントリの相手暗号装置毎最適転送長４０２に、宛先到達不能通知（要分割）に設定されていた転送先のＭＴＵ２００３を記憶する（Ｓ５０２）。
最後に、該当エントリの生存時間４０３を所定の初期タイマ値で初期化し、タイマを起動する（Ｓ５０３）。タイマは、時間の経過に従って、生存時間４０３の値を減ずる。
【００５４】
また、相手暗号装置毎最適転送長テーブル管理処理ブロック３４は、フレーム送受信の動作と連携せずに、相手暗号装置毎最適転送長テーブル３１の生存時間４０３を監視し、適時相手暗号装置毎最適転送長４０２を初期化している。図６は、相手暗号装置毎最適転送長テーブル管理処理ブロックにおける生存時間管理の処理フローを示す図である。
相手暗号装置毎最適転送長テーブル３１における生存時間４０３が生存時間満了値を満了したエントリがあるか判定し（Ｓ６０１）、ある場合には、該当エントリの相手暗号装置毎最適転送長４０２を、暗号文ネットワークのＭＴＵで初期化する（Ｓ６０２）。そして、該当エントリの生存時間に対するタイマを停止する（Ｓ６０３）。
このように処理することにより、前回の相手暗号装置毎最適転送長４０２にＭＴＵを設定した時から所定期間経過した場合に、改めて相手暗号装置毎最適転送長４０２にＭＴＵを設定し直すようにすることができる。
【００５５】
次に、図３の３０４のように、分割（フラグメント）が必要であって、分割禁止フラグセットされているフレームを受信した場合に、ルータ（例えば、Ｒ１）にかわり宛先到達不能通知を送信する処理について説明する。図７は、暗号化／エンカプセル処理ブロックから起動される宛先到達不能代理通知送信の処理フローを示す図である。
平文ネットワークから受信したフレームは、平文ポート２０、暗号文ポート２１、及び暗号出力フィルタ２３を介して、暗号化／エンカプセル処理ブロック２６に送られる。
受信フレームのＩＰヘッダ内の分割禁止フラグがセットされている場合には（Ｓ７０１）、受信フレームのＩＰヘッダから宛先アドレスを読む。このアドレスに予め対応付けて記憶している他の暗号装置（例えば、端末Ｓ２に対応する暗号装置ＲＥ２）のアドレスを得る（Ｓ７０２）。そして、相手暗号装置毎最適転送長テーブル中で、この暗号装置のアドレスと一致する相手暗号装置アドレスを有するエントリを特定し、そのエントリの相手暗号装置毎最適転送長４０２を取得する。そして、受信フレームのデータ長を、相手暗号装置毎最適転送長から暗号化／エンカプセル処理に伴うデータの増加分（Ｘバイト）を差し引いたデータ長と比較する（Ｓ７０３）。受信フレームのデータ長の方が大きい場合には、受信フレームのＩＰヘッダの送信元アドレス宛てに、相手暗号装置毎最適転送長から前記データの増加分（Ｘバイト）を差し引いたデータ長を、転送先のＭＴＵ２００３に設定した宛先到達不能通知（要分割）を生成し、送信する。受信フレームは廃棄する（Ｓ７０４）。
【００５６】
ＭＴＵは、最適値の例である。最適値として他の値を用いることも有効である。
【００５７】
実施の形態２．
前述の形態では、フレーム中継の機会（例えば、図３のフレーム３０２送信の後）にＭＴＵを学習する例を示したが、本実施の形態では、暗号装置で自主的にＭＴＵを学習する経路ＭＴＵ代理探索処理について説明する。
【００５８】
図８は、相手暗号装置毎最適転送長探索処理ブロックの動作を説明するシーケンスを示す図である。この例は、暗号装置ＲＥ１で、相手暗号装置ＲＥ３までの経路のＭＴＵを探索するシーケンスを示している。
リピータ型暗号装置ＲＥ１は、暗号文ネットワーク側のネットワーク（この例では、ローカルネットワーク１）のＭＴＵと一致するデータ長の相手暗号装置毎最適転送長探索フレーム（８０１）を相手（リピータ型）暗号装置ＲＥ３までの経路に送出する。つまり、ルータＲ１に送信する。
フレームを受信したルータＲ１は、フレーム長（１５００バイト）が回線１−４のＭＴＵ（１０００バイト）を越えるので、回線１−４のＭＴＵを転送先のＭＴＵ２００３に設定した宛先到達不能通知（８０２）をリピータ型暗号装置ＲＥ１に返信する。
宛先到達不能通知を受信したリピータ型暗号装置ＲＥ１は、宛先到達不能通知に設定されている転送先のＭＴＵ２００３と等しいデータ長の相手暗号装置毎最適転送長探索フレーム（８０３）を再度ルータＲ１に送信する。
経路中で、相手暗号装置毎最適転送長探索フレームのデータ長がＭＴＵを越える場合には、その都度、宛先到達不能通知が返信され、リピータ型暗号装置ＲＥ１は、転送先のＭＴＵ２００３に応じた相手暗号装置毎最適転送長探索フレームの再送を繰り返す。
最終的に、相手暗号装置ＲＥ３に相手暗号装置毎最適転送長探索フレーム（８１０）が到達すると、相手暗号装置ＲＥ３は相手暗号装置毎最適転送長探索応答フレーム（８１１）を、送信元のリピータ型暗号装置ＲＥ１に返信する。
相手暗号装置毎最適転送長探索応答フレーム（８１４）を受信したリピータ型暗号装置ＲＥ１は、これにより、相手暗号装置ＲＥ３に対する最適転送長を決定し、記憶する。
このように、経路ＭＴＵ代理探索処理を行う。その後、分割禁止フラグセットされているフレーム（８１５）を受信した場合に、前述の実施の形態と同様に、相手暗号装置を特定し、その相手暗号装置への経路の最適転送長を知らせる宛先到達不能通知（８１６）を送信元（端末Ｓ１）に返信する。これにより、送信元（端末Ｓ１）は、最適転送長のフレーム（８１７）を送信する。
【００５９】
図９は、実施の形態２における相手暗号装置毎最適転送長テーブルを示す図である。本実施の形態では、更に、相手暗号装置毎最適転送長探索応答フレーム受信監視タイマ９０４を設定している。
【００６０】
続いて、処理について説明する。
まず、相手暗号装置毎最適転送長代理探索処理ブロック３２による相手暗号装置毎最適転送長探索フレーム（例えば、図８の８０１）を送信する処理について説明する。図１０は、相手暗号装置毎最適転送長探索処理ブロックにおける相手暗号装置毎最適転送長探索フレーム送信の処理フローを示す図である。
本処理は、暗号装置立上げ直後に起動され、更に定期的に起動される。定期的間隔は、相手暗号装置毎最適転送長テーブルにおける生存時間満了値より短い値とする。
相手暗号装置毎最適転送長テーブル内のすべての相手暗号装置アドレスを取得し（Ｓ１００１）、当該暗号装置の暗号文ネットワークのＭＴＵと等しいデータ長の相手暗号装置毎最適転送長探索フレームを、すべての相手暗号装置のアドレス宛てに送信する（Ｓ１００２）。そして、相手暗号装置毎最適転送長探索応答フレーム受信監視タイマを起動する（Ｓ１００３）。
【００６１】
相手暗号装置毎最適転送長探索フレームの送信は、相手暗号装置毎最適転送長探索応答フレーム受信監視タイマ満了時にも行われる。図１１に、相手暗号装置毎最適転送長探索応答フレーム受信監視タイマ満了時に起動される処理のフローを示す。
まず、相手暗号装置毎最適転送長テーブル内で、相手暗号装置毎最適転送長探索応答フレーム受信監視タイマ９０４が満了したエントリを特定し、当該エントリの相手暗号装置アドレス９０１を取得し（Ｓ１１０１）、更に当該エントリの相手暗号装置毎最適転送長９０２を取得する（Ｓ１１０２）。そして、相手暗号装置毎最適転送長と等しいデータ長さの相手暗号装置毎最適転送長探索フレームを該当暗号装置アドレス宛てに送信する（Ｓ１１０３）。最後に、当該エントリの相手暗号装置毎最適転送長探索応答フレーム受信監視タイマ９０４を、再起動する（Ｓ１１０４）。
【００６２】
ここで、相手暗号装置毎最適転送長代理探索フレームのフォーマットを説明する。図１２は、相手暗号装置毎最適転送長代理探索フレームのフォーマットを示す図である。
ＩＰヘッダ１２０２は、ＤＦ＝１（分割禁止フラグセット）に設定する。また、ＵＤＰヘッダ１２０３中のポート番号は、相手暗号装置毎最適転送長代理探索を示す値とする。これにより、他のアプリケーションのデータとの混同を防止する。この例では、ＵＤＰヘッダ１２０３を示したが、ＴＣＰヘッダの場合も同様である。コード１２０４には、相手暗号装置毎最適転送長代理探索を示すコードを設定する。
ＩＰヘッダ１２０２から相手暗号装置毎最適転送長代理探索データ１２０５までのデータ長が、転送先のＭＴＵと等しくなるように、相手暗号装置毎最適転送長代理探索データ１２０５を設定する。
【００６３】
宛先到達不能通知（例えば、図８の８０２や８０６）を受信した場合の処理は、実施の形態１で示した図５の処理と同様である。
【００６４】
次に、相手暗号装置（例えば、ＲＥ３）で、相手暗号装置毎最適転送長代理探索フレームを受信し、相手暗号装置毎最適転送長代理探索応答フレームを返信する処理について説明する。図１３は、相手暗号装置毎最適転送長代理探索処理ブロックにおける相手暗号装置毎最適転送長代理探索フレーム受信の処理フローを示す図である。
暗号装置は、暗号文ネットワークから相手暗号装置毎最適転送長代理探索フレームを受信する。当該フレームは、復号／デカプセル処理されず、自局（当該リピータ型暗号装置）宛てなので、暗号文ポート２１、自局ポート２２、及び自局出力フィルタ２４を介して端末機能ブロック１に入力される。そして、相手暗号装置毎最適転送長代理探索処理ブロック３２により、以下のように処理される。
相手暗号装置毎最適転送長代理探索フレーム内の送信元アドレスを読み込み、当該アドレスを宛先アドレスに設定した相手暗号装置毎最適転送長代理探索応答フレームを、暗号文ネットワーク（例えば、回線３−６）側に送信する（Ｓ１３０１）。
【００６５】
ここで、相手暗号装置毎最適転送長代理探索応答フレームのフォーマットについて説明する。図１４は、相手暗号装置毎最適転送長代理探索応答フレームのフォーマットを示す図である。
ＩＰヘッダ１４０２中の宛先アドレスに、相手暗号装置毎最適転送長代理探索フレーム内の送信元アドレスが設定される。ＵＤＰヘッダ１４０３中のポート番号は、相手暗号装置毎最適転送長代理探索応答を示す値とする。これにより、他のアプリケーションのデータとの混同を防止する。この例では、ＵＤＰヘッダ１４０３を示したが、ＴＣＰヘッダの場合も同様である。コード１４０４には、相手暗号装置毎最適転送長代理探索応答を示すコードを設定する。
【００６６】
次に、リピータ型暗号装置（例えば、ＲＥ１）で相手暗号装置毎最適転送長代理探索応答フレーム（例えば、図８の８１４）を受信した場合の処理について説明する。図１５は、相手暗号装置毎最適転送長代理探索処理ブロックにおける相手暗号装置毎最適転送長代理探索応答フレーム受信の処理フローを示す図である。
暗号装置は、暗号文ネットワーク側から相手暗号装置毎最適転送長代理探索応答フレームを受信する。当該フレームは、自局（当該リピータ型暗号装置）宛てなので、暗号文ポート２１、自局ポート２２、及び自局出力フィルタ２４を介して端末機能ブロック１に入力される。そして、相手暗号装置毎最適転送長代理探索処理ブロック３２により、以下のように処理される。
受信した相手暗号装置毎最適転送長代理探索応答フレーム内の送信元アドレスを得る（Ｓ１５０１）。該当アドレスと一致する相手暗号装置毎最適転送長テーブル内の暗号装置のアドレスがあるか判定し（Ｓ１５０２）、ある場合には、当該エントリの相手暗号装置毎最適転送長に暗号文ネットワークのＭＴＵを設定する（Ｓ１５０３）。そして、当該エントリの相手暗号装置毎最適転送長探索応答フレーム受信監視タイマを停止する（Ｓ１５０４）。更に、当該エントリの生存時間に対応するタイマを停止する（Ｓ１５０５）。
【００６７】
リピータ型暗号装置は、コンピュータで実現することもでき、各要素はプログラムにより処理を実行することができる。また、プログラムを記憶媒体に記憶させ、記憶媒体からコンピュータに読み取られるようにすることができる。
【００６８】
【発明の効果】
本発明においては、暗号データの最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長よりも、平文データのデータ長が大きい場合に、平文データの送信元を宛先とする宛先到達不能通知を生成し、平文ネットワーク側へ送信するので、不測のフレーム分割（フラグメント）を未然に防止し、データ転送の効率を向上させることができる。
また、相手暗号装置に対応して最適転送長を記憶し、フレームの送信先に応じて特定される相手暗号装置毎の最適転送長を含めた宛先到達不能通知をフレーム送信元に送るので、経路ＭＴＵ探索を正常に機能させることができる。
【図面の簡単な説明】
【図１】 ネットワークセキュリティシステムのネットワーク構成例を示す図である。
【図２】 本発明に係るリピータ型暗号装置の構成ブロックを示す図である。
【図３】 宛先到達不能代理通知（要分割）処理ブロックの動作を説明するシーケンスを示す図である。
【図４】 相手暗号装置毎最適転送長テーブルの構成を示す図である。
【図５】 相手暗号装置毎最適転送長テーブル管理処理ブロックにおける宛先到達不能（要分割）通知受信の処理フローを示す図である。
【図６】 相手暗号装置毎最適転送長テーブル管理処理ブロックにおける生存時間管理の処理フローを示す図である。
【図７】 暗号化／エンカプセル処理ブロックから起動される宛先到達不能代理通知送信の処理フローを示す図である。
【図８】 相手暗号装置毎最適転送長探索処理ブロックの動作を説明するシーケンスを示す図である。
【図９】 実施の形態２における相手暗号装置毎最適転送長テーブルを示す図である。
【図１０】 相手暗号装置毎最適転送長探索処理ブロックにおける相手暗号装置毎最適転送長探索フレーム送信の処理フローを示す図である。
【図１１】 相手暗号装置毎最適転送長探索処理ブロックにおける相手暗号装置毎最適転送長探索フレーム送信の処理フローを示す図である。
【図１２】 相手暗号装置毎最適転送長代理探索フレームのフォーマットを示す図である。
【図１３】 相手暗号装置毎最適転送長代理探索処理ブロックにおける相手暗号装置毎最適転送長代理探索フレーム受信の処理フローを示す図である。
【図１４】 相手暗号装置毎最適転送長代理探索応答フレームのフォーマットを示す図である。
【図１５】 相手暗号装置毎最適転送長代理探索処理ブロックにおける相手暗号装置毎最適転送長代理探索応答フレーム受信の処理フローを示す図である。
【図１６】 従来の相手暗号装置毎最適転送長探索が行われるネットワークの構成例を示す図である。
【図１７】 ローカルネットワーク上のフレームフォーマットを示す図である。
【図１８】 フラグメントするシーケンスの例を示す図である。
【図１９】 フラグメントしないシーケンスの例を示す図である。
【図２０】 ローカルネットワーク上の宛先到達不能通知フレームフォーマットを示す図である。
【図２１】 従来のリピータ型暗号装置を用いるネットワーク構成例を示す図である。
【図２２】 従来のリピータ型暗号装置の構成を示す図である。
【図２３】 従来のリピータ型暗号装置を用いる場合のフレームフォーマットの概要を示す図である。
【図２４】 宛先到達不能通知を転送できないシーケンスを示す図である。
【図２５】 従来の暗号装置を用いたネットワークでフラグメントするシーケンスを示す図である。
【符号の説明】
１ 端末機能ブロック、２ リピータ機能ブロック、２０ 平文ポート、２１暗号文ポート、２２ 自局ポート、２３ 暗号出力フィルタ、２４ 自局出力フィルタ、２５ 平文出力フィルタ、２６ 暗号化／エンカプセル処理ブロック、２７ 復号／デカプセル処理ブロック、２８ 暗号側ＭＡＣアドレス解決ブロック、２９ 平文側ＭＡＣアドレス解決ブロック、３１ 相手暗号装置毎最適転送長テーブル、３２ 相手暗号装置毎最適転送長代理探索処理ブロック、３３ 宛先到達不能代理通知（要分割）処理ブロック、３４ 相手暗号装置毎最適転送長テーブル管理処理ブロック。
Claims (8)
- 平文ネットワークと暗号文ネットワークとの間でデータを中継する暗号装置であって、以下の要素を有することを特徴とする暗号装置
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行う暗号化／エンカプセル処理ブロック
（２）当該暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する暗号側ＭＡＣアドレス解決ブロック
（３）暗号文ネットワーク側から受信した宛先到達不能通知に含まれる転送先のＭＴＵ（マキシマムトランスミッションユニット）を、最適転送長として用い、受信した平文データが分割禁止に設定されている場合に、当該最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長よりも、前記平文データのデータ長が大きい場合に、前記平文データの送信元を宛先とする宛先到達不能通知を生成し、平文ネットワーク側へ送信する宛先到達不能代理通知処理ブロック。 - 宛先到達不能代理通知処理ブロックは、前記宛先到達不能通知に、暗号データの最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長を含めることを特徴とする請求項１記載の暗号装置。
- 暗号装置は、更に、上記他の暗号装置毎に、最適転送長を記憶する相手暗号装置最適転送長テーブルを有し、
宛先到達不能代理通知処理ブロックは、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダに設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に対応して記憶されている最適転送長を、相手暗号装置最適転送長テーブルから取得することを特徴とする請求項１記載の暗号装置。 - 暗号装置は、更に、暗号文ネットワーク側から受信した宛先到達不能通知に含まれる転送先のＭＴＵ（マキシマムトランスミッションユニット）を、同宛先到達不能通知に含まれる相手暗号装置と対応付けて、相手暗号装置最適転送長テーブルに最適転送長として記憶させる相手暗号装置毎最適転送長テーブル管理処理ブロックを有することを特徴とする請求項３記載の暗号装置。
- 上記他の暗号装置を宛先とし、分割禁止に設定した相手暗号装置毎最適転送長探索フレームを生成し、暗号文ネットワーク側に送信する相手暗号装置毎最適転送長代理探索処理ブロックを有することを特徴とする請求項４に記載の暗号装置。
- 相手暗号装置毎最適転送長代理探索処理ブロックは、相手暗号装置毎最適転送長探索フレームを、暗号文ネットワークのＭＴＵに基づく最長のデータ長とすることを特徴とする請求項５記載の暗号装置。
- 最適転送長は、所定のタイミングで初期化されることを特徴とする請求項４記載の暗号装置。
- 暗号装置となるコンピュータに、以下の手順を実行させるためのプログラム
（１）上記平文ネットワークから受信した平文データを暗号化すると共に、アドレスと他の暗号装置との予め定められた対応関係に基づいて、上記平文データのＩＰヘッダ（インターネットプロトコルヘッダ）に設定されたアドレスに対応する暗号装置を決定し、当該決定した他の暗号装置に基づいて新規にＩＰヘッダを設定するエンカプセル処理を行う手順
（２）当該暗号化／エンカプセル処理ブロックで設定されたＩＰヘッダに基づいて、ＭＡＣヘッダ（メディアアクセスコントロールヘッダ）を設定して生成した暗号データを上記平文ネットワークと同一ＩＰサブネットの暗号文ネットワークへ送信する手順
（３）暗号文ネットワーク側から受信した宛先到達不能通知に含まれる転送先のＭＴＵ（マキシマムトランスミッションユニット）を、最適転送長として記憶する手順
（４）受信した平文データが分割禁止に設定されている場合に、当該最適転送長からエンカプセル処理により増加するデータ長を差し引いたデータ長よりも、前記平文データのデータ長が大きい場合に、前記平文データの送信元へ返信する宛先到達不能通知を生成する手順。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003143715A JP4043997B2 (ja) | 2003-05-21 | 2003-05-21 | 暗号装置及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003143715A JP4043997B2 (ja) | 2003-05-21 | 2003-05-21 | 暗号装置及びプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004349958A JP2004349958A (ja) | 2004-12-09 |
| JP4043997B2 true JP4043997B2 (ja) | 2008-02-06 |
Family
ID=33531413
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003143715A Expired - Fee Related JP4043997B2 (ja) | 2003-05-21 | 2003-05-21 | 暗号装置及びプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4043997B2 (ja) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4558570B2 (ja) * | 2005-04-20 | 2010-10-06 | パナソニック株式会社 | データ送受信システム、受信装置、送信装置およびデータ送受信方法 |
| US8085669B2 (en) | 2005-11-07 | 2011-12-27 | Nec Corporation | Session relay device and session relay method |
| JP5672836B2 (ja) | 2010-08-09 | 2015-02-18 | 日本電気株式会社 | 通信装置、通信方法、および通信プログラム |
| WO2012124035A1 (ja) * | 2011-03-11 | 2012-09-20 | 富士通株式会社 | 通信装置および通信方法 |
| JP6583029B2 (ja) * | 2016-02-03 | 2019-10-02 | 株式会社デンソー | 中継装置 |
| CN112333540B (zh) * | 2020-10-26 | 2022-06-24 | 浙江大华技术股份有限公司 | 视频加密长度的确定方法及装置 |
-
2003
- 2003-05-21 JP JP2003143715A patent/JP4043997B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004349958A (ja) | 2004-12-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9838362B2 (en) | Method and system for sending a message through a secure connection | |
| JP3343064B2 (ja) | フレームを捕獲、カプセル化及び暗号化するための擬似ネットワークアダプタ | |
| US7571463B1 (en) | Method an apparatus for providing a scalable and secure network without point to point associations | |
| EP0702477B1 (en) | System for signatureless transmission and reception of data packets between computer networks | |
| EP0876027B1 (en) | Method and apparatus for achieving perfect forward secrecy in closed user groups | |
| KR101291501B1 (ko) | 보안 네트워크 접속을 유지하기 위한 방법, 시스템 및컴퓨터 판독가능 매체 | |
| US20100077203A1 (en) | Relay device | |
| EP0693836A1 (en) | Method and apparatus for a key-management scheme for internet protocols. | |
| US20090113202A1 (en) | System and method for providing secure network communications | |
| US20060182124A1 (en) | Cipher Key Exchange Methodology | |
| CN111787025B (zh) | 加解密处理方法、装置、系统以及数据保护网关 | |
| EP2827551B1 (en) | Communication method, communication apparatus and communication program | |
| Dhall et al. | Implementation of IPSec protocol | |
| JP3259724B2 (ja) | 暗号装置、暗号化器および復号器 | |
| CN111614463A (zh) | 一种基于IPsec封装功能的密钥更新方法及装置 | |
| JP2006019975A (ja) | 暗号パケット通信システム、これに備えられる受信装置、送信装置、及びこれらに適用される暗号パケット通信方法、受信方法、送信方法、受信プログラム、送信プログラム | |
| JP4043997B2 (ja) | 暗号装置及びプログラム | |
| CN115733683A (zh) | 采用量子密钥分发的以太链路自组织加密隧道实现方法 | |
| JPH07170280A (ja) | ローカルエリアネットワーク | |
| CN110351308B (zh) | 一种虚拟专用网络通信方法和虚拟专用网络设备 | |
| CN115766063B (zh) | 数据传输方法、装置、设备及介质 | |
| JP3596489B2 (ja) | Ｖｐｎシステムおよびｖｐｎ装置およびプログラム | |
| Nagashima et al. | A repeater encryption unit for 1pv4 and 1pv6 | |
| JP2005252464A (ja) | 通信方法、通信端末装置およびゲートウェイ装置 | |
| JP4783665B2 (ja) | メールサーバ装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050510 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050517 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050714 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20050809 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20071114 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4043997 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101122 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131122 Year of fee payment: 6 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |