JP4679393B2 - Ｓｉｐ通信システム、ｓｉｐゲートウェイ装置及びそれらに用いるｓｉｐ通信制御方法 - Google Patents

Description

本発明はＳＩＰ通信システム、ＳＩＰゲートウェイ装置及びそれらに用いるＳＩＰ通信制御方法に関し、特にインタネットを介したプライベートアドレス拠点からのＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）通信に関する。

従来、インタネットを介したプライベートアドレス拠点からのＳＩＰ通信の代表としては、ＳＩＰ−ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ）を用いてＳＩＰ通信を行う通信システムがある（例えば、非特許文献１参照）。このシステムの構成を図６に示す。

図６において、この通信システムでは、拠点２０１にＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）フォンに代表されるＳＩＰ端末２−１とＳＩＰ−ＮＡＴ５−１とが存在し、拠点２０２にＳＩＰ端末２−２とＳＩＰ−ＮＡＴ５−２とが存在し、センタ拠点３００にＳＩＰサーバ３とセンタルータ４とが存在している。

ＳＩＰ−ＮＡＴ５−１とＳＩＰ−ＮＡＴ５−２とセンタルータ４とは、ＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）トンネルが設定可能であり、ＳＩＰ−ＮＡＴ５−１とセンタルータ４との間にはＩＰｓｅｃトンネル１０２が、ＳＩＰ−ＮＡＴ５−２とセンタルータ４との間にはＩＰｓｅｃトンネル１０３が予め設定されている。

ＳＩＰ端末２−１とＳＩＰ端末２−２との間で行われるＳＩＰパケットの通信は、ＳＩＰサーバ３を経由するため、グローバルネットワーク１００上では、ＳＩＰ−ＮＡＴ５−１，５−２とセンタルータ４とのグローバルアドレスを用いたＩＰｓｅｃトンネルの中を通過する。つまり、ＳＩＰパケットのセキュリティは、ＩＰｓｅｃトンネル１０２とＩＰｓｅｃトンネル１０３とを予め設定しておくことによって保たれるものとする。

ＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔｓ）１６３１ "Ｔｈｅ ＩＰ Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒ（ＮＡＴ）"（Ｍａｙ １９９４）

しかしながら、上述した従来のＳＩＰ−ＮＡＴ等に代表されるインタネットを介したＳＩＰ通信では、ＳＩＰ−ＮＡＴ５−１から送信された通話のＲＴＰ（Ｒｅａｌ−ｔｉｍｅ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）通信において、宛先がＳＩＰ−ＮＡＴ５−２のグローバルアドレスとなるため、通常、ＩＰｓｅｃトンネル１０２とＩＰｓｅｃトンネル１０３とを経由せずに、直接グローバルネットワーク１００を通過する。したがって、このＳＩＰ通信では、通話のＲＴＰ通信がインタネット内で盗聴、改変される危険性があるという問題がある。

また、従来のＳＩＰ通信では、上記の問題を回避するために、すべてのＲＴＰ通信をＩＰｓｅｃトンネル１０２やＩＰｓｅｃトンネル１０３を経由する設定を行った場合、すべての拠点のＲＴＰ通信がセンタルータ４に集中し、負荷が非常に増したり、センタルータ４と拠点２０１，２０２が非常に離れた場所にあった場合、通話の遅延についても影響が発生するという問題がある。

さらに、従来のＳＩＰ通信では、ＲＴＰのポート番号がＳＩＰシーケンスで確定するまで不定であるため、グローバルネットワーク１００上のＲＴＰ通信路上に存在するファイアウォールでＲＴＰ通信を通過させるための設定が困難であるという問題がある。

さらにまた、従来のＳＩＰ通信では、ＳＩＰ−ＮＡＴによる実現方法の場合、ＳＩＰペイロード内に含まれるすべてのプライベートアドレスをグローバルアドレスに変換する必要があるため、キャッシュ等にて管理するアドレスが大きくなりすぎることによって、メモリが増加し、処理が複雑化するという問題がある。

そこで、本発明の目的は上記の問題点を解消し、拠点内アドレスをプライベートアドレスで構成することができ、ＲＴＰ通信の盗聴や改変を防ぐことができるＳＩＰ通信システム、ＳＩＰゲートウェイ装置及びそれらに用いるＳＩＰ通信制御方法を提供することにある。

本発明によるＳＩＰ通信システムは、第１及び第２のＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）ゲートウェイ装置がそれぞれＳＩＰサーバに接続されるＳＩＰ通信システムであって、
前記第１及び第２のＳＩＰゲートウェイ装置各々は、前記第１のＳＩＰゲートウェイ装置と前記第２のＳＩＰゲートウェイ装置との間で動的にＲＴＰ（Ｒｅａｌ−ｔｉｍｅ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）通信を行うためのＩＰｓｅｃ［ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ） ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ］トンネルを設定する手段と、前記第１及び第２のＳＩＰゲートウェイ装置各々は、前記ＳＩＰサーバを通したＳＩＰ通信のＳＩＰペイロードを解析して前記ＩＰｓｅｃトンネルを設定するための情報を得る手段とを備え、
前記第１及び第２のＳＩＰゲートウェイ装置が、前記第１のＳＩＰゲートウェイ装置に接続される第１のＳＩＰ端末と前記第２のＳＩＰゲートウェイ装置に接続される第２のＳＩＰ端末との間でＲＴＰセッションを確立する過程において、前記ＳＩＰペイロードに前記第１及び第２のゲートウェイ装置各々のアドレスを記録し、
前記第１及び第２のＳＩＰゲートウェイ装置は、前記ＳＩＰペイロードに含まれる対向する前記第２及び第１のＳＩＰゲートウェイ装置のアドレス及び前記第１のＳＩＰ端末と前記第２のＳＩＰ端末との間で使われるＲＴＰアドレス、ポート番号を検知し、前記第１のＳＩＰゲートウェイ装置と前記第２のＳＩＰゲートウェイ装置との間の前記ＲＴＰ通信をカプセル化するための前記ＩＰｓｅｃトンネルを動的に設定している。

本発明によるＳＩＰゲートウェイ装置は、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバに接続されるＳＩＰゲートウェイ装置であって、
他のＳＩＰゲートウェイ装置との間で動的にＲＴＰ（Ｒｅａｌ−ｔｉｍｅ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）通信を行うためのＩＰｓｅｃ［ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ） ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ］トンネルを設定する手段と、前記ＳＩＰサーバを通したＳＩＰ通信のＳＩＰペイロードを解析して前記ＩＰｓｅｃトンネルを設定するための情報を得る手段とを備え、
自装置に接続されるＳＩＰ端末と他のＳＩＰゲートウェイ装置に接続されるＳＩＰ端末との間でＲＴＰセッションを確立する過程において、前記ＳＩＰペイロードに自装置のアドレスを記録し、
前記ＳＩＰペイロードに含まれる対向する他のＳＩＰゲートウェイ装置のアドレス及び前記ＳＩＰ端末間で使われるＲＴＰアドレス、ポート番号を検知し、前記他のＳＩＰゲートウェイ装置との間の前記ＲＴＰ通信をカプセル化するための前記ＩＰｓｅｃトンネルを動的に設定している。

本発明によるＳＩＰ通信制御方法は、第１及び第２のＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）ゲートウェイ装置がそれぞれＳＩＰサーバに接続されるＳＩＰ通信システムに用いるＳＩＰ通信制御方法であって、
前記第１及び第２のＳＩＰゲートウェイ装置各々が、前記第１のＳＩＰゲートウェイ装置と前記第２のＳＩＰゲートウェイ装置との間で動的にＲＴＰ（Ｒｅａｌ−ｔｉｍｅ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）通信を行うためのＩＰｓｅｃ［ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ） ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ］トンネルを設定する処理と、前記第１及び第２のＳＩＰゲートウェイ装置各々が、前記ＳＩＰサーバを通したＳＩＰ通信のＳＩＰペイロードを解析して前記ＩＰｓｅｃトンネルを設定するための情報を得る処理とを実行し、
前記第１及び第２のＳＩＰゲートウェイ装置が、前記第１のＳＩＰゲートウェイ装置に接続される第１のＳＩＰ端末と前記第２のＳＩＰゲートウェイ装置に接続される第２のＳＩＰ端末との間でＲＴＰセッションを確立する過程において、前記ＳＩＰペイロードに前記第１及び第２のゲートウェイ装置各々のアドレスを記録し、
前記第１及び第２のＳＩＰゲートウェイ装置が、前記ＳＩＰペイロードに含まれる対向する前記第２及び第１のＳＩＰゲートウェイ装置のアドレス及び前記第１のＳＩＰ端末と前記第２のＳＩＰ端末との間で使われるＲＴＰアドレス、ポート番号を検知し、前記第１のＳＩＰゲートウェイ装置と前記第２のＳＩＰゲートウェイ装置との間の前記ＲＴＰ通信をカプセル化するための前記ＩＰｓｅｃトンネルを動的に設定している。

すなわち、本発明のＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）通信システムは、ＳＩＰ通信によるＳＩＰペイロードを解析し、ＳＩＰゲートウェイ間で動的にＲＴＰ（Ｒｅａｌ−ｔｉｍｅ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）通信を行うためのＩＰｓｅｃトンネルを設定している。また、本発明のＳＩＰ通信システムは、セキュアなＳＩＰゲートウェイ装置にて、ＳＩＰペイロードにゲートウェイアドレスを挿入している。

これによって、本発明のＳＩＰ通信システムでは、インタネットで接続された拠点間のＳＩＰ通信において、ＲＴＰの盗聴や改変を防ぎ、かつＲＴＰ通信のセンタルータへの一極集中を防ぐことが可能となる。

より具体的に説明すると、本発明のＳＩＰ通信システムでは、第１の拠点に存在する第１のＳＩＰゲートウェイと第２の拠点に存在する第２のＳＩＰゲートウェイとが、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）フォンに代表される第１の拠点に存在する第１のＳＩＰ端末と第２の拠点に存在する第２のＳＩＰ端末との間で通話等のＲＴＰセッションを確立する過程において、ＳＩＰパケットのペイロードにＳＩＰゲートウェイのアドレスを記録する。

第１のＳＩＰゲートウェイは、ＳＩＰパケットのペイロードに含まれる対向する第２のＳＩＰゲートウェイのアドレス及び第１のＳＩＰ端末と第２のＳＩＰ端末との間で使われるＲＴＰアドレス、ポート番号を検知することによって、第１のＳＩＰゲートウェイと第２のＳＩＰゲートウェイとの間の通話等で使用するＲＴＰをＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）でカプセル化するＩＰｓｅｃトンネルを動的に設定する。

これによって、グローバルネットワークでは、ＲＴＰ通信で使用されるグローバルアドレスがＳＩＰゲートウェイのアドレスに限定されるため、第１の拠点と第２の拠点とのネットワークにプライベートアドレスを用いることが可能になる。また、本発明のＳＩＰ通信システムでは、第１のＳＩＰゲートウェイと第２のＳＩＰゲートウェイとの間のＲＴＰ通信はＩＰｓｅｃによって保護されるため、グローバルネットワークでのＲＴＰ通信の盗聴や改変を防ぐことが可能となる。

さらに、本発明のＳＩＰ通信システムでは、ＩＰｓｅｃによって、グローバルネットワークでのＲＴＰ通信のためのアドレスとプロトコルとがＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ：暗号化ペイロード）やＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）で固定されるため、グローバルネットワークの中にファイアウォールが存在しても、ＲＴＰポート用にすべてのポート番号を開いておく必要がなくなり、セキュリティ管理が容易となる。

上記のように、本発明のＳＩＰ通信システムでは、ＳＩＰゲートウェイ間のＲＴＰ通信をＳＩＰゲートウェイのグローバルアドレスを使って、ＩＰｓｅｃでカプセル化するため、拠点内アドレスをプライベートアドレスで構成することが可能となる。この場合、本発明のＳＩＰ通信システムでは、ＳＩＰゲートウェイ間のＲＴＰ通信をＩＰｓｅｃトンネルで保護しているので、ＲＴＰ通信の盗聴や改変を防ぐことが可能となる。

また、本発明のＳＩＰ通信システムでは、ＳＩＰゲートウェイ間のＲＴＰ通信を直接ＩＰｓｅｃトンネルで結ぶため、ＲＴＰ通信をセンタルータ経由とする必要がなく、センタルータの負荷を軽減することが可能となる。

さらに、本発明のＳＩＰ通信システムでは、ＳＩＰゲートウェイ間のＲＴＰ通信が必要となった時に動的にＩＰｓｅｃトンネルが張られるため、ＩＰｓｅｃトンネルを張るためのリソースを常時占有することがない。

さらにまた、本発明のＳＩＰ通信システムでは、セキュリティポリシやＳＩＰゲートウェイのアドレスをＳＩＰパケットに追加して送信しているため、本構成にＳＩＰゲートウェイのＩＰｓｅｃトンネルを制御するセキュリティサーバ等を別途用意する必要がない。

本発明は、上記のような構成及び動作とすることで、拠点内アドレスをプライベートアドレスで構成することができ、ＲＴＰ通信の盗聴や改変を防ぐことができるという効果が得られる。

次に、本発明の実施例について図面を参照して説明する。図１は本発明の一実施例によるＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）通信システムの構成を示すブロック図である。図１において、本発明の一実施例では、拠点２０１と拠点２０２とセンタ拠点３００とがグローバルネットワーク１００を介して接続可能となっている。

拠点２０１にはＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）フォンに代表されるＳＩＰ端末２−１とＳＩＰゲートウェイ１−１とが存在し、拠点２０２にはＳＩＰ端末２−２とＳＩＰゲートウェイ１−２とが存在し、センタ拠点３００にはＳＩＰサーバ３とセンタルータ４とが存在している。

ＳＩＰゲートウェイ１−１，ＳＩＰゲートウェイ１−２、センタルータ４はＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）トンネルが設定可能であり、ＳＩＰゲートウェイ１−１とセンタルータ４との間にはＩＰｓｅｃトンネル１０２が、ＳＩＰゲートウェイ１−２とセンタルータ４との間にはＩＰｓｅｃトンネル１０３が予め設定されている。

ＳＩＰ端末２−１とＳＩＰ端末２−２との間で行われるＳＩＰパケットの通信は、ＳＩＰサーバ３を経由するため、グローバルネットワーク１００上では、ＳＩＰゲートウェイ１−１，１−２及びセンタルータ４のグローバルアドレスを用いたＩＰｓｅｃトンネルの中を通過する。これによって、ＳＩＰ端末１−１及びＳＩＰ端末１−２のアドレスがプライベートアドレスであるとしても、グローバルネットワーク１００で使用されることはない。

図２は図１のＳＩＰゲートウェイ１−１，１−２の構成を示すブロック図である。図２においては、ＳＩＰゲートウェイ１−１，１−２をまとめてＳＩＰゲートウェイ１として表記する。このＳＩＰゲートウェイ１はインタフェース１１，１２と、ＳＩＰ判定部１３と、ＳＩＰパーサ１４と、ＳＩＰペイロード制御部１５と、ＳＩＰ情報記憶部１６と、ルーティング処理部１７と、ＩＰｓｅｃ処理部１８と、ＩＰｓｅｃ制御部１９とから構成されている。尚、ＳＩＰ判定部１３、ＳＩＰパーサ１４、ＳＩＰペイロード制御部１５、ルーティング処理部１７、ＩＰｓｅｃ処理部１８、ＩＰｓｅｃ制御部１９各々の処理はコンピュータがプログラムを実行することで置き換えることが可能である。

インタフェース１１で入力されたパケットは、ＳＩＰ判定部１３でＳＩＰパケットであるかどうかが判定される。ＳＩＰパケットでない場合、ＳＩＰ判定部１３はそのパケットをルーティング処理部１７に渡す。ルーティング処理部１７は、ＳＩＰ端末２−１，２−２等から送信されたＩＰパケットを宛先アドレスにしたがって、最適なインタフェース１２を選び出す。

その後、パケットはルーティング処理部１７からＩＰｓｅｃ処理部１８に渡される。ＩＰｓｅｃ処理部１８では指定された送信アドレス、宛先アドレス、ポート番号のＩＰパケットを、予め設定されたセキュリティポリシにしたがって、ＩＰｓｅｃでカプセル化する。尚、ルーティング処理部１７やＩＰｓｅｃ処理部１８については、よく知られたルータの持つ機能と同等であるため、その詳細な動作の説明については省略する。これらの処理が終了したパケットは、インタフェース１２から出力される。

次に、ＳＩＰ判定部１３でＳＩＰパケットであると判定された場合、そのＳＩＰパケットはＳＩＰパーサ１４に渡される。ＳＩＰパーサ１４は、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）ポート番号５０６０で代表されるＳＩＰパケットのペイロードを解析し、ＲＴＰ（Ｒｅａｌ−ｔｉｍｅ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）通信で使用されるアドレスやポート番号を取得する。ここで取得した情報は、ＳＩＰ情報記憶部１６に保存される。

このＳＩＰパケットはＳＩＰパーサ１４からＳＩＰペイロード制御部１５に渡される。ＳＩＰペイロード制御部１５ではＳＩＰゲートウェイ１のインタフェース１２側に付与されているグローバルアドレスや予め設定されたセキュリティポリシをＳＩＰパケットのペイロードに付与する。ＳＩＰパーサ１４はＳＩＰペイロード制御部１５で付与された情報を取得する機能をも持っており、ＳＩＰパーサ１４でこの情報を取得した時には、これらの情報もＳＩＰ情報記憶部１６に記憶される。

ＳＩＰペイロード制御部１５で処理が行われた後、ＳＩＰパケットはルーティング処理部１７に渡され、ルーティング処理部１７でＳＩＰ端末２−１，２−２等から送信されたＩＰパケットを宛先アドレスにしたがって、最適なインタフェース１２を選び出す。その後、ＳＩＰパケットはルーティング処理部１７からＩＰｓｅｃ処理部１８に渡される。ＩＰｓｅｃ処理部１８では指定された送信アドレス、宛先アドレス、ポート番号のＩＰパケットを、予め設定されたセキュリティポリシにしたがって、ＩＰｓｅｃでカプセル化し、インタフェース１２から出力する。

ＳＩＰペイロード制御部１５はＳＩＰ情報記憶部１６に、ＳＩＰゲートウェイ間でＩＰｓｅｃトンネルを設定するための情報が揃った時に、ＩＰｓｅｃ制御部１９を通して、ＩＰｓｅｃ処理部１８にＩＰｓｅｃトンネルを動的に設定する。この動的に設定されたＩＰｓｅｃトンネルは、図１のＩＰｓｅｃトンネル２０１で示される。

図３〜図５は本発明の一実施例によるＳＩＰ通信システムの動作を示すシーケンスチャートである。これら図１〜図５を参照して本発明の一実施例によるＳＩＰ通信システムのセキュリティＳＩＰネットワークとしての動作について説明する。図３〜図５に示すＳＩＰシーケンスは、一般的なＳＩＰシーケンスの一例であり、ＳＩＰサーバとＳＩＰ端末との組み合わせによっては異なるシーケンスとなることがあるが、本発明とは無関係であるため、それらについての説明は省略する。また、本発明の一実施例によるＳＩＰ通信システムの説明に重要とされないＳＩＰシーケンスの記述についても省略する。

ＩＰフォン＃１（ＳＩＰ端末２−１）がＩＰフォン＃２（ＳＩＰ端末２−２）に電話を掛けると、ＩＰフォン＃１からＳＩＰサーバ宛てにＳＩＰパケットの「ＩＮＶＩＴＥ（インバイト）リクエスト（セッション確立要求）」が送信される（図３のａ１参照）。この「ＩＮＶＩＴＥリクエスト」には、通話時のＲＴＰ通信に必要なＩＰフォン＃１の待ち受けアドレスやポート番号が含まれている。

ＳＩＰゲートウェイ＃１（ＳＩＰゲートウェイ１−１）はこの「ＩＮＶＩＴＥリクエスト」を受信した時、ＩＰフォン＃１のＲＴＰ待ち受けアドレスとポート番号とを読取り、ＳＩＰ情報記憶部１６に記憶する（図３のａ２参照）。ＳＩＰゲートウェイ＃１は「ＩＮＶＩＴＥリクエスト」にＳＩＰゲートウェイ＃１のアドレスとセキュリティポリシとを書込み（図３のａ３参照）、ＳＩＰサーバに転送する（図３のａ４参照）。

ＳＩＰサーバは「ＩＮＶＩＴＥリクエスト」を受取ると、一般的なＳＩＰ処理を行った後、ＩＰフォン＃２宛てに「ＩＮＶＩＴＥリクエスト」を送信する（図３のａ５参照）。この「ＩＮＶＩＴＥリクエスト」には、ＳＩＰゲートウェイ＃１で付与された情報も含まれる。

ＳＩＰゲートウェイ＃２（ＳＩＰゲートウェイ１−２）は「ＩＮＶＩＴＥリクエスト」を受信すると、ＩＰフォン＃１のＲＴＰ待ち受けアドレスとポート番号と、ＳＩＰゲートウェイ＃１のアドレスとセキュリティポリシとを読取り、ＳＩＰ情報記憶部１６に記憶する（図３のａ６参照）。ここで、ＳＩＰゲートウェイ＃２はＳＩＰゲートウェイ＃１で追記され、ＩＰフォン＃２では不要である情報を削除する（図３のａ７参照）。その後に、ＳＩＰゲートウェイ＃２は不要な情報を削除した「ＩＮＶＩＴＥリクエスト」をＩＰフォン＃２に転送する（図３のａ８参照）。

ＩＰフォン＃２は「ＩＮＶＩＴＥリクエスト」を受取ると、一般的なＳＩＰ処理を行った後、「２００ ＯＫレスポンス」をＳＩＰサーバ宛てに送信する（図４のａ９参照）。この「２００ ＯＫレスポンス」には、通話時のＲＴＰ通信に必要なＩＰフォン＃２の待ち受けアドレスやポート番号が含まれる。

ＳＩＰゲートウェイ＃２は「２００ ＯＫレスポンス」を受信すると、ＩＰフォン＃２のＲＴＰ待ち受けアドレスとポート番号とを読取り、ＳＩＰ情報記憶部１６に記憶する（図４のａ１０参照）。ＳＩＰゲートウェイ＃２は「２００ ＯＫレスポンス」にＳＩＰゲートウェイ＃２のアドレスと、ＳＩＰゲートウェイ＃１から受取ったセキュリティポリシの応答とを書込み（図４のａ１１参照）、ＳＩＰサーバに転送する（図４のａ１２参照）。

ＳＩＰサーバは「２００ ＯＫレスポンス」を受取ると、一般的なＳＩＰ処理を行った後、ＩＰフォン＃１宛てに「２００ ＯＫレスポンス」を送信する（図４のａ１３参照）。この「２００ ＯＫレスポンス」には、ＳＩＰゲートウェイ＃２で付与された情報も含まれる。

ＳＩＰゲートウェイ＃１は「２００ ＯＫレスポンス」を受信すると、ＩＰフォン＃２のＲＴＰ待ち受けアドレスとポート番号と、ＳＩＰゲートウェイ＃２のアドレスとセキュリティポリシの応答とを読取り、ＳＩＰ記憶部１６に記憶する（図４のａ１４参照）。ここで、ＳＩＰゲートウェイ＃１は「２００ ＯＫレスポンス」から、ＳＩＰゲートウェイ＃２で付与され、ＩＰフォン＃１では不要である情報を削除する（図４のａ１５参照）。ＳＩＰゲートウェイ＃１は不要な情報を削除した「２００ ＯＫレスポンス」をＩＰフォン＃１に転送する（図４のａ１６参照）。

ＩＰフォン＃１は「２００ ＯＫレスポンス」を受信すると、それに対する「ＡＣＫ（ＡＣＫｎｏｗｌｅｄｇｅｍｅｎｔ）」をＳＩＰサーバ宛てに送信し（図５のａ１７参照）、通話で使用するＲＴＰポートを開ける。

ＳＩＰゲートウェイ＃１は「ＡＣＫ」を受信すると、上記のＳＩＰ記憶部１６で記憶してきた情報を用いて、通話で使用するＲＴＰパケットをＩＰｓｅｃでカプセル化するための設定を行う（図５のａ１８参照）。ＳＩＰゲートウェイ＃１は「ＡＣＫ」にＳＩＰゲートウェイ＃２から受取ったセキュリティポリシの応答のＡＣＫを追加し（図５のａ１９参照）、ＳＩＰサーバに転送する（図５のａ２０参照）。

ＳＩＰサーバは「ＡＣＫ」を受取ると、一般的なＳＩＰ処理を行った後、ＩＰフォン＃２宛てに「ＡＣＫ」を送信する（図５のａ２１参照）。ＳＩＰゲートウェイ＃２は「ＡＣＫ」を受信すると、上記でＳＩＰ記憶部１６に記憶してきた情報を用いて、通話で使用するＲＴＰパケットをＩＰｓｅｃでカプセル化するための設定を行う（図５のａ２２参照）。

ＳＩＰゲートウェイ＃２は「ＡＣＫ」から、ＳＩＰゲートウェイ＃１で付与され、ＩＰフォン＃２では不要である情報を削除する（図５のａ２３参照）。ＳＩＰゲートウェイ＃２は不要な情報を削除した「ＡＣＫ」をＩＰフォン＃１に転送する（図５のａ２４参照）。ＩＰフォン＃２は「ＡＣＫ」を受取ると、一般的なＳＩＰ処理を行い、通話で使用するＲＴＰポートを開ける。

上述した一連の動作によって、ＩＰフォン＃１とＩＰフォン＃２との間のＲＴＰ通信（図５のａ２５，ａ２７参照）と、ＳＩＰゲートウェイ＃１とＳＩＰゲートウェイ＃２との間にＲＴＰ通信をＩＰｓｅｃでカプセル化するＩＰｓｅｃトンネル（図５のａ２６参照）が確立する。

これによって、ＲＴＰ通信は、グローバルネットワーク１００上において、ＳＩＰゲートウェイ１−１及びＳＩＰゲートウェイ１−２のグローバルアドレスで設定されたＩＰｓｅｃトンネル１０１の中を通過するため、ＳＩＰ端末２−１及びＳＩＰ端末２−２のプライベートアドレスがグローバルネットワーク１００上で使用されることはない。

本実施例においては、セキュリティポリシ自体の盗聴や改変等について、図１のＩＰｓｅｃトンネル１０３とＩＰｓｅｃトンネル１０２とで守られるものとする。また、本実施例においては、セキュリティポリシがＩＰｓｅｃトンネル１０３やＩＰｓｅｃトンネル１０２で守られない構成をとった場合、セキュリティポリシ自体を暗号化して交換する等のプロトコルが考えられるが、本発明とは直接関係しないため、これらの説明については詳述しない。

このように、本実施例では、ＳＩＰゲートウェイ１−１，１−２間のＲＴＰ通信をＳＩＰゲートウェイ１−１，１−２のグローバルアドレスを使って、ＩＰｓｅｃでカプセル化するため、拠点内アドレスをプライベートアドレスで構成することができる。この場合、本実施例では、ＳＩＰゲートウェイ１−１，１−２間のＲＴＰ通信をＩＰｓｅｃトンネル１０１で保護しているので、ＲＴＰ通信の盗聴や改変を防ぐことができる。

また、本実施例では、ＳＩＰゲートウェイ１−１，１−２間のＲＴＰ通信を直接ＩＰｓｅｃトンネル１０１で結ぶため、ＲＴＰ通信をセンタルータ４経由とする必要がなく、センタルータ４の負荷を軽減することができる。

さらに、本実施例では、ＳＩＰゲートウェイ１−１，１−２間のＲＴＰ通信が必要となった時に動的にＩＰｓｅｃトンネル１０１が張られるため、ＩＰｓｅｃトンネルを張るためのリソースを常時占有することがない。

さらにまた、本実施例では、セキュリティポリシやＳＩＰゲートウェイ１−１，１−２のアドレスをＳＩＰパケットに追加して送信するため、本構成にＳＩＰゲートウェイ１−１，１−２のＩＰｓｅｃトンネルを制御するセキュリティサーバ等を別途用意する必要がない。

尚、本発明の他の実施例として、その基本的構成は上記の通りであるが、ＩＰｓｅｃ処理部を単なるＩＰｏｖｅｒＩＰ処理部等に置き換えることができる。ＩＰｏｖｅｒＩＰ処理部では、ＲＴＰパケット等のＩＰパケットをＳＩＰゲートウェイ１−１，１−２のアドレスを終端としたＩＰヘッダにてカプセル化する。

この構成において、ＩＰｓｅｃのセキュリティポリシをＳＩＰパケットに書込む必要がなくなり、ＳＩＰゲートウェイ１−１，１−２のアドレスのみを書込めばよい。本実施例では、ＩＰｓｅｃによる盗聴や改変のリスクをＳＩＰ端末２−１，２−２がＲＴＰパケットを暗号化して送信する等の回避策を講じる必要があるが、その他の効果は保たれるので、ＲＴＰがＳＩＰ端末２−１，２−２で暗号化できる構成等では有用である。

本発明の一実施例によるＳＩＰ通信システムの構成を示すブロック図である。 図１のＳＩＰゲートウェイの構成を示すブロック図である。 本発明の一実施例によるＳＩＰ通信システムの動作を示すシーケンスチャートである。 本発明の一実施例によるＳＩＰ通信システムの動作を示すシーケンスチャートである。 本発明の一実施例によるＳＩＰ通信システムの動作を示すシーケンスチャートである。 従来のＳＩＰ通信システムの構成を示すブロック図である。

符号の説明

１，１−１，１−２ ＳＩＰゲートウェイ
２−１，２−２ ＳＩＰ端末
３ ＳＩＰサーバ
４ センタルータ
１１，１２ インタフェース
１３ ＳＩＰ判定部
１４ ＳＩＰパーサ
１５ ＳＩＰペイロード制御部
１６ ＳＩＰ情報記憶部
１７ ルーティング処理部
１８ ＩＰｓｅｃ処理部
１９ ＩＰｓｅｃ制御部１９
１００ グローバルネットワーク
２０１，２０２ 拠点
３００ センタ拠点

Claims (6)

1. 第１及び第２のＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）ゲートウェイ装置がそれぞれＳＩＰサーバに接続されるＳＩＰ通信システムであって、
   前記第１及び第２のＳＩＰゲートウェイ装置各々は、前記第１のＳＩＰゲートウェイ装置と前記第２のＳＩＰゲートウェイ装置との間で動的にＲＴＰ（Ｒｅａｌ−ｔｉｍｅ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）通信を行うためのＩＰｓｅｃ［ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ） ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ］トンネルを設定する手段と、前記第１及び第２のＳＩＰゲートウェイ装置各々は、前記ＳＩＰサーバを通したＳＩＰ通信のＳＩＰペイロードを解析して前記ＩＰｓｅｃトンネルを設定するための情報を得る手段とを有し、
   前記第１及び第２のＳＩＰゲートウェイ装置が、前記第１のＳＩＰゲートウェイ装置に接続される第１のＳＩＰ端末と前記第２のＳＩＰゲートウェイ装置に接続される第２のＳＩＰ端末との間でＲＴＰセッションを確立する過程において、前記ＳＩＰペイロードに前記第１及び第２のゲートウェイ装置各々のアドレスを記録し、
   前記第１及び第２のＳＩＰゲートウェイ装置は、前記ＳＩＰペイロードに含まれる対向する前記第２及び第１のＳＩＰゲートウェイ装置のアドレス及び前記第１のＳＩＰ端末と前記第２のＳＩＰ端末との間で使われるＲＴＰアドレス、ポート番号を検知し、前記第１のＳＩＰゲートウェイ装置と前記第２のＳＩＰゲートウェイ装置との間の前記ＲＴＰ通信をカプセル化するための前記ＩＰｓｅｃトンネルを動的に設定することを特徴とするＳＩＰ通信システム。
2. 前記第１及び第２のＳＩＰゲートウェイ装置は、それぞれ前記ＳＩＰサーバとの間に前記ＩＰｓｅｃトンネルを設定して前記ＳＩＰ通信を行うことを特徴とする請求項１記載のＳＩＰ通信システム。
3. ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバに接続されるＳＩＰゲートウェイ装置であって、
   他のＳＩＰゲートウェイ装置との間で動的にＲＴＰ（Ｒｅａｌ−ｔｉｍｅ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）通信を行うためのＩＰｓｅｃ［ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ） ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ］トンネルを設定する手段と、前記ＳＩＰサーバを通したＳＩＰ通信のＳＩＰペイロードを解析して前記ＩＰｓｅｃトンネルを設定するための情報を得る手段とを有し、
   自装置に接続されるＳＩＰ端末と他のＳＩＰゲートウェイ装置に接続されるＳＩＰ端末との間でＲＴＰセッションを確立する過程において、前記ＳＩＰペイロードに自装置のアドレスを記録し、
   前記ＳＩＰペイロードに含まれる対向する他のＳＩＰゲートウェイ装置のアドレス及び前記ＳＩＰ端末間で使われるＲＴＰアドレス、ポート番号を検知し、前記他のＳＩＰゲートウェイ装置との間の前記ＲＴＰ通信をカプセル化するための前記ＩＰｓｅｃトンネルを動的に設定することを特徴とするＳＩＰゲートウェイ装置。
4. 前記ＳＩＰサーバとの間に前記ＩＰｓｅｃトンネルを設定して前記ＳＩＰ通信を行うことを特徴とする請求項３記載のＳＩＰゲートウェイ装置。
5. 第１及び第２のＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）ゲートウェイ装置がそれぞれＳＩＰサーバに接続されるＳＩＰ通信システムに用いるＳＩＰ通信制御方法であって、
   前記第１及び第２のＳＩＰゲートウェイ装置各々が、前記第１のＳＩＰゲートウェイ装置と前記第２のＳＩＰゲートウェイ装置との間で動的にＲＴＰ（Ｒｅａｌ−ｔｉｍｅ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ）通信を行うためのＩＰｓｅｃ［ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ） ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ］トンネルを設定する処理と、前記第１及び第２のＳＩＰゲートウェイ装置各々が、前記ＳＩＰサーバを通したＳＩＰ通信のＳＩＰペイロードを解析して前記ＩＰｓｅｃトンネルを設定するための情報を得る処理とを実行し、
   前記第１及び第２のＳＩＰゲートウェイ装置が、前記第１のＳＩＰゲートウェイ装置に接続される第１のＳＩＰ端末と前記第２のＳＩＰゲートウェイ装置に接続される第２のＳＩＰ端末との間でＲＴＰセッションを確立する過程において、前記ＳＩＰペイロードに前記第１及び第２のゲートウェイ装置各々のアドレスを記録し、
   前記第１及び第２のＳＩＰゲートウェイ装置が、前記ＳＩＰペイロードに含まれる対向する前記第２及び第１のＳＩＰゲートウェイ装置のアドレス及び前記第１のＳＩＰ端末と前記第２のＳＩＰ端末との間で使われるＲＴＰアドレス、ポート番号を検知し、前記第１のＳＩＰゲートウェイ装置と前記第２のＳＩＰゲートウェイ装置との間の前記ＲＴＰ通信をカプセル化するための前記ＩＰｓｅｃトンネルを動的に設定することを特徴とするＳＩＰ通信制御方法。
6. 前記第１及び第２のＳＩＰゲートウェイ装置が、それぞれ前記ＳＩＰサーバとの間に前記ＩＰｓｅｃトンネルを設定して前記ＳＩＰ通信を行うことを特徴とする請求項５記載のＳＩＰ通信制御方法。

Images