JP4759382B2 - 通信機器、通信方法、通信プログラム、及び記録媒体 - Google Patents

Description

本発明は、画像形成装置等の情報処理装置にＩＰＳｅｃ通信等のセキュア通信を提供する通信機器に関する。

現在ＩＰＳｅｃ（IP security protocol）という技術が存在する。これは、インターネット等で利用されているＩＰ（Internet Protocol）をセキュア化しようというプロトコルである。これは、全てのＩＰに関する通信を暗号化したり、認証したりする機能を持っているものである。

このＩＰＳｅｃ通信を行う場合、暗号化のための演算処理が行われるため、大量のＣＰＵ資源を消費する。従って、ＩＰＳｅｃを使う場合はＣＰＵを強化しないと高速な通信が望めなくなる。

そのため、小規模ＣＰＵを使った機器でＩＰＳｅｃを使う場合、従来よりハードウェアアクセラレータの利用が検討されてきた。

このハードウェアアクセラレータには大きく分けて二種類あり、一つがコプロセッサ形式で実現するタイプである。コプロセッサ形式のアクセラレータは、ＩＰＳｅｃ通信を行う機器内部に実装され、ＣＰＵとは別個にＩＰＳｅｃ演算を行うための回路として組み込まれる。そして、ＩＰＳｅｃ通信を行う場合、暗号化に伴う演算処理をＣＰＵで行わず、このＩＰＳｅｃ演算専用回路で演算処理を行う。汎用ＣＰＵでの演算ではなく、専用ハードウェアによる演算のため、高速で演算が可能になる。

もう一つのハードウェアアクセラレータが、ＩＰＳｅｃ通信を行う機器と、通信路との間に挿まれるタイプのものである。

これは、ＩＰＳｅｃ通信を行いたい機器は従来通り普通のＩＰで通信を行い、機器から流出するパケットはこのハードウェアアクセラレータを一旦通って外部のネットワークに流される。また、ネットワークから機器に流入するパケットも、機器に流入する前に必ずこのハードウェアアクセラレータを通った後で機器に流入する。

そして、このハードウェアアクセラレータで、到着したＩＰＳｅｃパケットを通常のＩＰパケットに変換したり、流出するＩＰパケットをＩＰＳｅｃパケットに変換したりする。

このブリッジタイプのＩＰＳｅｃアクセラレータは基本的に自身の機能のみでＩＰＳｅｃ化を実現するために高速化しやすく、機器に影響を与えにくいものである。
特開２００２−３１７１４８号公報 特開２００３−７８８１３号公報 特開２００４−８６５９０号公報 特開２００２−２５１０７１号公報

しかしながら、ブリッジタイプのＩＰＳｅｃアクセラレータは、接続する機器に対する設定が手動で行わなければならないとともに、接続する機器も設定が必要となる場合もあり、使用するために手間がかかるという問題がある。

本発明は、このような問題点に鑑み、設定に手間がかからず、接続する機器が意識することなくセキュア通信を提供できる通信機器、通信方法、通信プログラム、及び記録媒体を提供することを目的とする。

上記の課題は、情報処理装置に接続される通信機器であって、前記情報処理装置を発見する情報処理装置発見手段と、既知の情報処理装置の機種情報毎に、前記通信機器によるセキュア通信のためのパケット変換処理が必要か否かを示すパケット変換処理要否情報を格納する情報処理装置情報格納手段と、前記情報処理装置発見手段により発見された情報処理装置から、当該情報処理装置の機種情報を取得する情報取得手段と、前記情報取得手段により取得した機種情報に基づき前記情報処理装置情報格納手段を検索することにより、当該機種情報に対応するパケット変換処理要否情報を取得し、当該パケット変換処理要否情報に基づき、前記情報処理装置発見手段により発見された情報処理装置に対してセキュア通信のためのパケット変換処理を行うか否かを判定する判定手段と、前記判定手段により、パケット変換処理を行うと判定された場合に、前記発見された情報処理装置が送信する非セキュア通信パケットをセキュア通信パケットに変換し、当該情報処理装置宛のセキュア通信パケットを非セキュア通信パケットに変換するパケット変換手段とを有することを特徴とする通信機器により解決できる。

また、前記通信機器は、既知の情報処理装置毎にセキュア通信のためのセキュア通信設定情報を格納した設定情報格納手段を有し、前記情報処理装置発見手段により発見された情報処理装置に対応するセキュア通信設定情報を前記設定情報格納手段から取得し、当該セキュア通信設定情報を用いて、前記発見された情報処理装置に対するセキュア通信のための設定を行うようにすることもできる。

また、前記通信装置は、前記情報処理装置情報格納手段に格納された情報処理装置情報、及び前記設定情報格納手段に格納されたセキュア通信設定情報を、外部装置からの要求に基づき更新する手段を備えてもよい。

前記情報処理装置発見手段は、前記情報処理装置のＩＰアドレスの設定のための通信を監視することにより前記情報処理装置のＩＰアドレスを取得する手段として構成してもよい。前記ＩＰアドレスの設定のための通信は例えばＤＨＣＰの通信である。

また、前記通信機器は、前記情報処理装置がＩＰｖ６に対応していない場合、所定のＩＰｖ６アドレスを自らに設定するＩＰｖ６アドレス設定手段と、前記ＩＰｖ６アドレス宛のパケットの宛先を前記情報処理装置のＩＰｖ４アドレスに変換して前記情報処理装置に送信する擬似ＩＰｖ４パケット送信手段と、前記情報処理装置が送信するパケットの送信元を、前記ＩＰｖ６アドレスに変換して送信する擬似ＩＰｖ６パケット送信手段とを有することとしてもよい。

また、本発明は上記の通信機器の処理に対応した通信方法として構成することができる。また、本発明は、通信方法の各ステップを前記情報処理装置に接続される通信機器に実行させるための通信プログラムとして構成することもできる。

以上説明したように、本発明は設定に手間がかからず、接続する機器が意識することなくセキュア通信を提供できる通信機器、通信方法、通信プログラム、及び記録媒体を提供することができる。

以下、図面を参照し、本発明の実施形態について説明する。

（概要構成）
図１は、本実施の形態の全体構成図を示している。図１には、ＩＰＳｅｃ、ＳＳＬ（Secure Sockets Layer）等のセキュア通信を行うためのアクセラレータであるセキュア通信ブリッジ１０と、プリンタ等のセキュア通信アクセラレーションの対象となるネットワーク機器１１と、コンピュータ１２と、それらを接続する内部ネットワーク１３と、外部ネットワーク１４とが示されている。

ネットワーク機器１１にはＩＰｓｅｃ等のセキュア通信機能はなく、通常のＩＰによる通信機能だけを有する。ネットワーク機器１１はネットワーク通信機能を持った情報処理装置であり、例えば、プリンタ、コピー機等の画像形成装置、家電製品、コンピュータ等である。このネットワーク機器１１とセキュア通信ブリッジ１０を内部ネットワーク１３で接続し、その先に外部ネットワーク１４を接続する。なお、内部ネットワーク１３と外部ネットワーク１４は共に有線、無線のどちらでもよいが、内部ネットワーク１３は有線であることが好ましい。

外部ネットワーク１４にはセキュア通信機能を持つコンピュータ１２を接続する。そして、セキュア通信ブリッジ１０は、外部ネットワーク１４から到達したセキュア通信パケットを非セキュア通信化してネットワーク機器１１に転送し、またネットワーク機器１１から出た非セキュア通信パケットをセキュア通信化してコンピュータ１２に転送する機能を有する。

このような構成によって、コンピュータ１２から見ると、ネットワーク機器１１がセキュア通信機能を持っているように見え、またネットワーク機器１１はコンピュータ１２と通常のＩＰで通信しているように見える。

図２は、セキュア通信ブリッジ１０の外観例を示している。セキュア通信ブリッジ１０は、２つのコネクタ２１、２２を有する。これらのコネクタは、ＲＪ−４５インタフェースであり、２つのイーサネット（登録商標）と接続できるようになっている。

２つのコネクタ２１、２２のうち、一方を内部ネットワーク１３に接続し、もう一方を外部ネットワーク１４に接続する。

上記コネクタ２１、２２はその後ろにある基盤に接続されており、この基盤にはＩＰＳｅｃ処理等のセキュア通信処理を行う回路が設けられている。

なお、内部ネットワーク１３にはセキュア通信処理を施されていないパケットが流れるため、内側のネットワークに対する盗聴は防御できない。このため、内部ネットワーク１３のインタフェースを汎用のＲＪ−４５にせず、専用の経路で接続し、その部分をネットワーク機器１１内部に封入することも行われ得る。

この場合、図３にセキュア通信ブリッジ２０に示されるように、ＲＪ−４５のコネクタ２６は外部ネットワーク１４に接続するための1つのみになる。

このセキュア通信ブリッジ２０は、ネットワーク機器１１と別個のものとして活用しても良いが、ネットワーク機器１１の拡張用スロットに搭載するものとして実装することで、電源もネットワーク機器１１から取得することができるようになる。

（第１の実施の形態）
まず、本発明の第１の実施の形態について説明する。図４に示すように、第１の実施の形態では、セキュア通信としてＩＰｓｅｃ通信を例にとり、ＳＮＭＰを用いてアクセラレーションの対象となるネットワーク機器１１の機器情報を取得し、機器情報に基づきＩＰｓｅｃ通信のための設定を行う。

図５に、第１の実施の形態におけるセキュア通信ブリッジ４０の構成を示す。図５に示すように、第１の実施の形態におけるセキュア通信ブリッジ４０は、ＳＮＭＰによるネットワーク機器情報取得部４１、セキュリティポリシー設定部４２、パケットのＩＰｓｅｃ処理／送受信機能部４３、ネットワークインタフェース部４４、４５、ネットワーク機器情報格納部４６、既知機器情報格納部４７、セキュリティポリシー格納部４８を有している。

ＳＮＭＰによるネットワーク機器情報取得部４１は、ＳＮＭＰを用いてアクセラレーションの対象となるネットワーク機器の情報を取得する。セキュリティポリシー設定部４２は、ネットワーク機器情報取得部４１により取得した機器情報と、各格納部に格納されている情報とに基づき、ＩＰｓｅｃアクセラレーションの対象となるネットワーク機器に対するセキュリティポリシーを設定する。パケットのＩＰｓｅｃ処理／送受信機能部４３は、受信したパケットのＩＰアドレスと設定されたセキュリティポリシーとに基づきパケットに対するＩＰｓｅｃ処理を行う。また、ネットワークインタフェース部４４、４５は、ネットワークを介してパケットの送受信を行うための機能部である。

ネットワーク機器情報格納部４６は、ネットワーク機器情報取得部４１により取得したネットワーク機器情報を格納する。既知機器情報格納部４７は、例えばネットワーク機器のカタログ情報等の既知の機器情報を格納する。セキュリティポリシー格納部４８は、セキュリティポリシー設定部４２によりＩＰｓｅｃアクセラレーション対象となるネットワーク機器のセキュリティポリシーが格納される。これらの格納部は、例えば不揮発性の記憶装置内の記憶領域として実現できる。なお、既知機器情報格納部４７はセキュア通信ブリッジ４０内に存在する必要はなく、外部ネットワーク上に存在してもよい。この場合の構成を図６に示す。

次に、各格納部に格納されるデータの例を説明する。図７はネットワーク機器情報格納部４６に格納されるデータの例を示す図である。図７に示すように、ネットワーク機器情報格納部４６には製品名等のネットワーク機器の機種を特定する情報（以下、機種情報と呼ぶ）、ネットワーク機器のＩＰｖ４アドレス及びＩＰｖ６アドレスが格納される。図８は既知機器情報格納部４７に格納されるデータの例を示す図であり、図８に示すように、既知機器情報格納部４７には機種情報毎にＩＰｓｅｃアクセラレーションの必要性が格納される。既知機器情報格納部４７は、ＩＰｓｅｃアクセラレーションの必要性に代えて、ＩＰｓｅｃ通信機能の有無の情報を格納してもよい。

また、図９はセキュリティポリシー格納部４８に格納されるデータの例を示す図である。図９に示すように、アクセラレーションの対象となる機器のＩＰアドレス毎にＩＰｓｅｃ通信を行うためのセキュリティポリシーが格納される。各ＩＰアドレスのネットワーク機器に対し、対応するセキュリティポリシーに従ってＩＰｓｅｃアクセラレーションが実施される。

次に、図１０のフローチャートを参照して、セキュア通信ブリッジ４０がＳＮＭＰを用いてネットワーク機器情報を取得する際の処理を説明する。この処理はネットワーク機器情報取得部４１により実行されるものである。

まず、ステップＳ１で、セキュア通信ブリッジ４０は、ネットワークインタフェース部４４を介してブロードキャストアドレスへ向けてＳＮＭＰクエリを送信する。ステップＳ２においてセキュア通信ブリッジ４０はＳＮＭＰクエリに対するＳＮＭＰリプライを受信すると、そのＳＮＭＰリプライの中からネットワーク機器１１のＩＰアドレスを取得する。そして、ステップＳ３でセキュア通信ブリッジ４０は、ＳＮＭＰを用いてネットワーク機器１１に向けて機種情報（製品名など）を要求する。ステップＳ４で、セキュア通信ブリッジ４０は、ネットワーク機器１１から受信したＩＰアドレス、及び機種情報をネットワーク機器情報格納部４６に格納する。

次に、図１１のフローチャートを参照して、取得したネットワーク機器情報に基づきセキュリティポリシーを設定する処理を説明する。この処理はセキュリティポリシー設定部４２により行われるものである。

ステップＳ１１において、セキュリティポリシー設定部４２は、ネットワーク機器情報格納部４６に格納された機種情報に基づき既知機器情報格納部４７を検索し、当該機種情報に該当する情報を発見する。セキュリティポリシー設定部４２は、検索により機種情報に該当する情報を発見できた場合（ステップＳ１２のＹｅｓ）、その情報に基づき該当のネットワーク機器はＩＰｓｅｃアクセラレーションが必要かどうかを判定する（ステップＳ１３）。なお、既知機器情報格納部４７にＩＰｓｅｃ機能の有無が機器情報として格納される場合には、ＩＰｓｅｃ機能有りの場合はＩＰｓｅｃアクセラレーション不要と判定し、ＩＰｓｅｃ機能無しの場合はＩＰｓｅｃアクセラレーション必要と判定する。ステップＳ１３においてＩＰｓｅｃアクセラレーションが必要であると判定された場合には、ステップＳ１４においてセキュリティポリシー設定部４２は対象のネットワーク機器のＩＰアドレスと対応付けてセキュリティポリシーをセキュリティポリシー格納部４８に設定する。これにより、当該ネットワーク機器に対してＩＰｓｅｃアクセラレーションが行われることになる。ここでのセキュリティポリシーとしては予め定めておいたものを用いる。例えば図９に示すように、全ての相手先ＩＰアドレスに対してＩＰｓｅｃアクセラレーションができるような設定とする。

ステップＳ１３においてＮｏの場合、つまりＩＰｓｅｃアクセラレーションが不要であると判定された場合には、セキュリティポリシー設定は行われない。ステップＳ１２においてＮｏの場合、つまり対象のネットワーク機器に対する既知機器情報が発見されなかった場合には、当該ネットワーク機器に対して既知の一般的なセキュリティポリシーを適用してセキュリティポリシー設定を行う（ステップＳ１５）。

上記の設定を行うことによりＩＰｓｅｃアクセラレーションが可能となる。すなわち、セキュア通信ブリッジ４０は、内部ネットワークから受信したパケットの送信元アクドレスがセキュリティポリシー格納部４８に設定されたＩＰアドレスに含まれていればＩＰｓｅｃ処理を行ってパケットを送出する。また、外部ネットワークから受信したパケットは、ＩＰｓｅｃ通信パケットであればＩＰパケットに変換する処理を行い、ＩＰｓｅｃパケットでなければそのまま宛先に送信する。

上記のネットワーク機器情報取得部４１としては、ＳＮＭＰを用いる他、ＳＳＤＰ、ＷＳ−Ｄｉｓｃｏｖｅｒｙ、Ｂｏｎｊｏｕｒ（Ｒｅｎｄｅｚｖｏｕｓ）等も用いることが可能である。また、ネットワーク機器１１のＩＰアドレスの設定のための通信を監視することによりネットワーク機器のＩＰアドレスを取得することが可能である。ＩＰアドレスの設定のための通信は、例えば、ＤＨＣＰの通信、ＩＰｖ６のステートレスアドレス設定のための通信等である。他の実施の形態において上記のうちのいくつかの例を示している。

また、セキュア通信ブリッジ４０は、ハードウェアで構成することもできるし、ＣＰＵ及び記憶装置等からなるコンピュータに、ネットワーク機器情報取得部４１、セキュリティポリシー設定部４２、ＩＰｓｅｃ処理／送受信機能部４３の処理のためのプログラムを搭載することにより実現することも可能である。当該プログラムはメモリ等の記録媒体に格納して提供することもできるし、ネットワークからのダウンロードにより提供することも可能である。他の実施の形態においても同様に、セキュア通信ブリッジはハードウェアで構成することもできるし、コンピュータにプログラムを実行させることにより構成することもできる。

（第２の実施の形態）
次に、本発明の第２の実施の形態について説明する。図１２に示すように第２の実施の形態では、セキュア通信としてＳＳＬ通信を例にとる。そして、ＤＨＣＰアクセスを監視することによりアクセラレーションの対象となるネットワーク機器のＩＰアドレスを取得し、ＳＳＬ通信のための設定を行う。

つまり、ネットワーク機器１１がＤＨＣＰを使ったＩＰアドレス自動設定の機能を持っている場合、ネットワーク機器起動後に、ネットワーク機器１１がＤＨＣＰサーバ１５と通信して、ＩＰアドレスの自動設定を受ける。セキュア通信ブリッジ５０は、ＤＨＣＰパケットを監視し、ＤＨＣＰサーバからの応答があったら、そのパケットの内容を解析し、ネットワーク機器１１に割り振られたＩＰアドレスを自動的に識別する。

図１３に、第２の実施の形態におけるセキュア通信ブリッジ５０の構成を示す。図１３に示すように、第２の実施の形態におけるセキュア通信ブリッジ５０は、ＤＨＣＰ通信監視によるネットワーク機器情報取得部５１、セキュリティポリシー設定部５２、パケットのＳＳＬ処理／送受信機能部５３、ネットワークインタフェース部５４、５５、ネットワーク機器情報格納部５６、セキュリティポリシー格納部５７を有している。

ＤＨＣＰ通信監視によるネットワーク機器情報取得部５１は、ネットワーク機器１１によるＤＨＣＰ通信を監視することによりアクセラレーションの対象となるネットワーク機器の情報（ＩＰアドレス）を取得する。セキュリティポリシー設定部５２は、ネットワーク機器情報取得部５１により取得した機器情報に基づき、ＳＳＬアクセラレーションの対象となるネットワーク機器１１に対するセキュリティポリシーを設定する。パケットのＳＳＬ処理／送受信機能部５３は、受信したパケットのＩＰアドレスと設定されたセキュリティポリシーとに基づきパケットに対するＳＳＬ処理を行う。また、ネットワークインタフェース部５４、５５は、ネットワークを介してパケットの送受信を行うための機能部である。

ネットワーク機器情報格納部５６は、ネットワーク機器情報取得部５１により取得したネットワーク機器情報（ＩＰアドレス）を格納する。セキュリティポリシー格納部５７は、セキュリティポリシー設定部５２によりＳＳＬアクセラレーション対象となるネットワーク機器のセキュリティポリシーが格納される。これらの格納部は、例えば不揮発性の記憶装置内の記憶領域として実現できる。

次に、各格納部に格納されるデータの例を説明する。図１４はネットワーク機器情報格納部５６に格納されるデータの例を示す図である。図１４に示すように、ネットワーク機器情報格納部５６にはネットワーク機器のＩＰｖ４アドレス、ＩＰｖ６アドレス等が格納される。また、図１５はセキュリティポリシー格納部５７に格納されるデータの例を示す図である。図１５に示すように、アクセラレーションの対象となる機器のＩＰアドレス毎にＳＳＬ通信を行うためのセキュリティポリシーが格納される。

次に、図１６のフローチャートを参照して、セキュア通信ブリッジ５０がＤＨＣＰ通信を監視することによりネットワーク機器のＩＰアドレスを取得する際の処理を説明する。この処理はネットワーク機器情報取得部５１により実行されるものである。

ステップＳ２１において、セキュア通信ブリッジ５０は、内部ネットワークにあるネットワーク機器と外部機器との通信パケットを監視する。そして、通信パケットが、ＤＨＣＰ通信のものであってネットワーク機器１１に設定されるＩＰパケットを含むものであることを発見すると（ステップＳ２２のＹｅｓ）、ＤＨＣＰ通信のパケットからネットワーク機器１１に割り当てられたＩＰアドレスを取得し、アクセラレーション対象のＩＰアドレスとしてネットワーク機器情報格納部５６に格納する（ステップＳ２３）。

次に、図１７のフローチャートを参照して、取得したネットワーク機器情報に基づきセキュリティポリシーを設定する処理を説明する。この処理はセキュリティポリシー設定部５２により行われるものである。

セキュリティポリシー設定部５２は、ネットワーク機器情報格納部５６に新たなＩＰアドレスが設定されたことを検知すると（ステップＳ３１のＹｅｓ）、当該ＩＰアドレスと対応付けて、ＳＳＬ通信のためのセキュリティポリシーをセキュリティポリシー格納部５７に設定する。これにより、当該ＩＰアドレスを持つネットワーク機器１１に対してＳＳＬアクセラレーションが行われることになる。ここでのセキュリティポリシーとしては予め定めておいたものを用いる。例えば図１５に示すように、全ての相手先ＩＰアドレスに対してＳＳＬアクセラレーションができるような設定とする。

上記の設定を行うことによりＳＳＬアクセラレーションが可能となる。すなわち、セキュア通信ブリッジ５０は、内部ネットワークから受信したパケットの送信元アドレスがセキュリティポリシー格納部５７に設定されたＩＰアドレスに含まれていればＳＳＬ処理を行ってパケットを送出する。また、外部ネットワークから受信したパケットがＳＳＬパケットであればＩＰパケットに変換する処理を行う。

（第３の実施の形態）
次に、本発明の第３の実施の形態について説明する。図１８に示すように、第３の実施の形態では、セキュア通信としてＩＰｓｅｃ通信を例にとる。そして、ＳＳＤＰ（Simple Service Discovery Protocol）を用いてアクセラレーションの対象となるネットワーク機器１１の機器情報を取得し、ＩＰｓｅｃ通信のための設定を行う。また、管理者のコンピュータから既知機器情報等の情報を更新することが可能となっている。

図１９に、第３の実施の形態におけるセキュア通信ブリッジ６０の構成を示す。図１９に示すように、第３の実施の形態におけるセキュア通信ブリッジ６０は、ＳＳＤＰによるネットワーク機器情報取得部６１、セキュリティポリシー設定部６２、情報管理部６３、パケットのＩＰｓｅｃ処理／送受信機能部６４、ネットワークインタフェース部６５、６６、ネットワーク機器情報格納部６７、既知機器情報格納部６８、セキュリティポリシーテンプレート格納部６９、セキュリティポリシー格納部７０を有している。

ＳＳＤＰによるネットワーク機器情報取得部６１は、ＳＳＤＰを用いてアクセラレーションの対象となるネットワーク機器１１の情報を取得する。セキュリティポリシー設定部６２は、ネットワーク機器情報取得部６１により取得した機器情報と、各格納部に格納されている情報とに基づき、ＩＰｓｅｃアクセラレーションの対象となるネットワーク機器１１に対するセキュリティポリシーを設定する。情報管理部６３は、外部装置からの指示に基づき、既知機器情報格納部６８及びセキュリティポリシーテンプレート格納部６９の情報を更新する。

パケットのＩＰｓｅｃ処理／送受信機能部６４は、受信したパケットのＩＰアドレスと、設定されたセキュリティポリシーとに基づきパケットに対するＩＰｓｅｃ処理を行う。また、ネットワークインタフェース部６５、６６は、ネットワークを介してパケットの送受信を行うための機能部である。

ネットワーク機器情報格納部６７は、ネットワーク機器情報取得部６１により取得したネットワーク機器情報を格納する。既知機器情報格納部６８は、例えばネットワーク機器のカタログ情報等の既知の機器情報を格納する。セキュリティポリシーテンプレート格納部６９は、既知の機器の機種毎のセキュリティポリシーを格納する。セキュリティポリシー格納部７０には、セキュリティポリシー設定部６２により、ＩＰｓｅｃアクセラレーション対象となるネットワーク機器のセキュリティポリシーが格納される。これらの格納部は、例えば不揮発性の記憶装置内の記憶領域として実現できる。なお、既知機器情報格納部６８及びセキュリティポリシーテンプレート格納部６９はセキュア通信ブリッジ６０内に存在する必要はなく、外部ネットワーク上に存在してもよい。セキュリティポリシーテンプレート格納部６９を外部ネットワークに設置した場合の構成例を図２０に示す。

次に、各格納部に格納されるデータの例を説明する。図２１、図２２に示すように、ネットワーク機器情報格納部６７、既知情報格納部６８には第１の実施の形態と同様のデータが格納される。また、図２３に示すように、セキュリティポリシテンプレート格納部６９には、既知機器の機種情報毎にＩＰｓｅｃ通信のためのセキュリティポリシーが格納される。また、図２４に示すように、セキュリティポリシー格納部７０にはアクセラレーションの対象となる機器のＩＰアドレス毎にＩＰｓｅｃ通信を行うためのセキュリティポリシーが格納される。なお、セキュリティポリシー格納部７０は、既知機器情報格納部６８及びセキュリティポリシーテンプレート格納部６９に対する情報設定を行う管理者コンピュータとセキュア通信ブリッジ間でのＩＰｓｅｃ通信用のセキュリティポリシーを含む。

次に、図２５のフローチャートを参照して、セキュア通信ブリッジ６０がＳＳＤＰを用いてネットワーク機器情報を取得する際の処理を説明する。この処理はネットワーク機器情報取得部６１により実行されるものである。

まず、ステップＳ４１において、セキュア通信ブリッジ６０は、ネットワークインタフェース部６５を介してブロードキャストアドレスへ向けてＳＳＤＰクエリを送信する。ステップＳ４２においてセキュア通信ブリッジ６０はＳＳＤＰクエリに対する応答を受信すると、そのＳＳＤＰの応答の中からネットワーク機器１１のＩＰアドレスを取得する。そして、ステップＳ４３において、セキュア通信ブリッジ６０は、ＳＳＤＰの応答に基づきネットワーク機器１１の機種情報を要求する。ステップＳ４４において、セキュア通信ブリッジ６０は、ネットワーク機器１１から受信したＩＰアドレス、機種情報をネットワーク機器情報格納部６７に格納する。

次に、図２６のフローチャートを参照して、取得したネットワーク機器情報に基づきセキュリティポリシーを設定する処理を説明する。この処理はセキュリティポリシー設定部６２により行われるものである。

ステップＳ５１において、セキュリティポリシー設定部６２は、ネットワーク機器情報格納部６７に格納された機種情報に基づき、既知機器情報格納部６８を検索する。セキュリティポリシー設定部６２は、検索により機種情報に該当する情報を発見できた場合（ステップＳ５２のＹｅｓ）、ステップＳ５３において、その情報に基づき該当のネットワーク機器１１はＩＰｓｅｃアクセラレーションが必要かどうかを判定する。なお、既知機器情報格納部６８にＩＰｓｅｃ機能の有無が機器情報として格納される場合には、ＩＰｓｅｃ機能有りの場合はＩＰｓｅｃアクセラレーション不要と判定し、ＩＰｓｅｃ機能無しの場合はＩＰｓｅｃアクセラレーション必要と判定する。ステップＳ５３においてＩＰｓｅｃアクセラレーションが必要であると判定された場合には、ステップＳ５４において、セキュリティポリシー設定部６２は対象のネットワーク機器１１の機種情報に対応するセキュリティポリシーをセキュリティポリシーテンプレート格納部６９から検索する。セキュリティポリシー設定部６２は、該当のセキュリティポリシーを発見できた場合（ステップＳ５５のＹｅｓ）、ステップＳ５６において、発見されたセキュリティポリシーに基づき、対象のネットワーク機器のＩＰアドレスと対応付けてセキュリティポリシーをセキュリティポリシー格納部７０に設定する。これにより、当該ネットワーク機器１１に対してＩＰｓｅｃアクセラレーションが行われることになる。

ステップＳ５３においてＮｏの場合、つまりＩＰｓｅｃアクセラレーションが不要であると判定されて場合には、セキュリティポリシー設定は行われない。ステップＳ５２、ステップＳ５５においてＮｏの場合、当該ネットワーク機器１１に対して既知の一般的なセキュリティポリシーを適用してセキュリティポリシー設定を行う（ステップＳ５７）。上記の設定を行うことによりＩＰｓｅｃアクセラレーションが可能となる。

次に、図２７のフローチャートを参照して、管理者コンピュータ等の外部装置から既知機器情報とセキュリティポリシーテンプレートの更新を行う場合の処理を説明する。以下の処理は情報管理部６３により行われるものである。

まず、ステップＳ６１において、セキュリティ通信ブリッジ６０は外部装置からのアクセスを受ける。このとき、セキュリティポリシー格納部７０に格納された管理者用のエントリが使用されてＩＰｓｅｃ通信による接続が行われる。

次に、ステップＳ６２において、情報管理部６３は外部装置から既知機器情報の更新を要求されたかどうかを判定する。既知機器情報の更新を要求された場合（ステップＳ６２のＹｅｓ）、ステップＳ６３において情報管理部６３はネットワーク経由で既知機器情報を受け取り、既知機器情報格納部６７に保持している既知機器情報を更新する。続いて、ステップＳ６４において、情報管理部６３は外部装置からセキュリティポリシーテンプレートの更新を要求されたかどうかを判定する。セキュリティポリシーテンプレートの更新を要求された場合（ステップＳ６４のＹｅｓ）、ステップＳ６５において情報管理部６３はネットワーク経由で特定の機種情報に対応するセキュリティポリシーテンプレートを受け取り、セキュリティポリシーテンプレート格納部６９に保持している該当のセキュリティポリシーテンプレートを更新する。本実施の形態ではセキュリティポリシーテンプレートを用いることとしたので、機種毎に柔軟にセキュリティポリシーを設定することが可能となる。

（第４の実施の形態）
次に、本発明の第４の実施の形態について説明する。第４の実施の形態ではセキュア通信としてＩＰｓｅｃ通信を例にとり、ネットワーク機器発見機能を用いてアクセラレーションの対象となるネットワーク機器１１のＩＰアドレスを取得し、更にＳＭＮＰを用いてネットワーク機器１１の機器情報を取得し、ＩＰｓｅｃ通信のための設定を行う。更に、第４の実施の形態のセキュア通信ブリッジ３０はネットワーク機器サーバ機能も備えている。

第４の実施の形態のセキュア通信ブリッジ３０の構成を、図２８を用いて説明する。図２８には、ネットワークインタフェース部２１、２２と、ＩＰＳｅｃ設定格納部３２と、パケットのＩＰＳｅｃ処理及び送受信機能部３３と、ＳＮＭＰ機能部３４と、ネットワーク機器サーバ機能３５と、ＩＰｖ６機器自動発見機能部３６と、既知機器情報格納部３７と、ネットワーク機器情報格納部３８と、ＩＰアドレス情報格納部３９とが示されている。

これらのうち、ＩＰＳｅｃ設定格納部３２と、既知機器情報格納部３７と、ネットワーク機器情報格納部３８と、ＩＰアドレス情報格納部３９は、データベースであり、後に説明する。なお、これらのデータベースは、例えば不揮発性の記憶装置に記憶される。この不揮発性の記憶装置には、さらにセキュア通信ブリッジ３０を動作させるためのプログラムを記憶しておいても良い。

パケットのＩＰＳｅｃ処理および送受信機能部３３は、パケットの送受信並びに、パケットの暗号化など、ＩＰＳｅｃに関する処理を行う。ＳＮＭＰ機能部３４は、ＳＮＭＰ（Simple Network Management Protocol）を用いてネットワーク機器から情報を取得する機能部である。ネットワーク機器サーバ機能部３５は、ネットワーク機器サーバとして振舞うための機能部である。ＩＰｖ６機器自動発見対応機能部３６は、ＩＰｖ６もしくはＩＰｖ４に対応しているネットワーク機器を自動的に発見する機能部である。

上記図２８に示されるデータベースの中で、セキュア通信ブリッジ３０に直接に搭載される必要がないものは、外部ネットワーク上に存在していてもよい。例えば、図２９に示すように、既知機器情報格納部３７を外部ネットワーク１４上に配置してもよい。このようにすることで、セキュア通信ブリッジ３０のハードウェア資源を節約することができる。

以下、データベースの説明を行う。図３０は、ネットワーク機器１１としてプリンタを例にとった場合におけるネットワーク機器情報格納部３８に格納される情報の例を示す図である。これらの情報はＳＮＭＰ機能部等により取得されるものであり、その項目は、「識別用番号」と、「ＩＰｖ６通信可能性」と、「ＩＰＳｅｃ通信可能性」と、「プリンタ型式」と、「ＩＰｖ４アドレス」と、「ＩＰｖ６アドレス」とを含む。

「識別用番号」は、プリンタを識別するための番号である。「ＩＰｖ６通信可能性」は、そのプリンタがＩＰｖ６で通信が可能かどうかを示すものである。「ＩＰＳｅｃ通信可能性」は、そのプリンタがＩＰＳｅｃで通信可能かどうかを示すものである。「プリンタ形式」は、そのプリンタの形式（機種）を示す。なお、「ＩＰｖ６通信可能性」と、「ＩＰＳｅｃ通信可能性」については、既知機器情報３７から取得した情報を設定する。

図３１は、既知機器情報格納部３７に格納される情報の例を示す図である。この既知機器情報３７は、型式識別名が分かった場合、その型式識別名から、「ＩＰｖ６通信可能性」と、「ＩＰＳｅｃ通信可能性」を知るために用いられる。

図３２は、ＩＰアドレス情報格納部３９に格納される情報の例を示す図である。このＩＰアドレス情報は、セキュア通信ブリッジ３０が持つＩＰアドレスに関する情報である。つまり、セキュア通信ブリッジ３０は複数のＩＰアドレスを持ち、アクセスを受けるＩＰアドレスに応じた動作を行うことができる。ＩＰアドレス情報格納部３９に格納される情報の項目は、「ＩＰアドレス」と、「接続許可／不許可」と、「制御用接続許可／不許可」と、「セキュア通信ブリッジのネットワーク機器側ＩＰｖ４アドレス」とを含む。

「ＩＰアドレス」は、セキュア通信ブリッジ３０のＩＰアドレスである。「接続許可／不許可」は、そのＩＰアドレスでのアクセスに対する接続を許可するかどうかを示す。「制御用接続許可／不許可」は、制御用の接続を許可するかどうかを示す。ネットワーク機器サーバのネットワーク機器側ＩＰｖ４アドレスは、ネットワーク機器サーバとしてのＩＰｖ４アドレスを示す。

図３３は、ＩＰＳｅｃ設定格納部３２に格納される情報を示す図である。図３３に示すように、ＩＰｓｅｃアクセラレーションの対象となるネットワーク機器毎にＩＰＳｅｃの設定内容（セキュリティポリシー）が格納されている。

次に、各処理についてフローチャートを用いて説明していく。

図３４は、ネットワーク機器自動発見に関する処理を示すフローチャートである。ステップＳ１０１で、ネットワーク機器の自動発見機能による内部ネットワーク機器の自動発見処理が行われる。ネットワーク機器の自動発見機能処理は公知の自動発見機能を用いることが可能である。

次に、ステップＳ１０２で、セキュア通信ブリッジ３０は、自動発見機能部３６の通知が発見通知または削除通知かどうか判断する。削除通知の場合、ステップＳ１０３で、ネットワーク機器情報格納部３８で該当するネットワーク機器に関する情報が削除される。なお、本実施の形態では、発見通知とともに削除通知を行う公知の自動発見機能を用いている。

発見通知を検知した場合、ステップＳ１０４で、自動発見で得られたＩＰアドレスはネットワーク機器情報格納部３８に既に登録済みかどうか判断される。登録済みの場合、ステップＳ１０７に移る。登録済みではない場合、ステップＳ１０５で、ネットワーク機器情報格納部３８に新たなネットワーク機器のＩＰアドレスが追加される。さらに、設定されている全てのＩＰｖ４／ＩＰｖ６アドレスと、ネットワーク機器の型式（機種）がＳＮＭＰを用いて確認される。

次に、ステップＳ１０７で、既知機器情報を参照することにより、発見されたネットワーク機器が既知の機種かどうか判断される。既知の機種ではない場合、ステップＳ１０８で、ＩＰＳｅｃ処理だけを行うネットワーク機器であると決定し、ＩＰｓｅｃ設定内容をＩＰｓｅｃ設定格納部３２に格納する。ステップＳ１０７において、既知の機種のネットワーク機器の場合、既知機器情報を参照し、そのネットワーク機器がＩＰｓｅｃ通信に対応していなければＩＰｓｅｃ通信を行うと判定し（ステップＳ１０９のＮｏ）、ステップＳ１１０でＩＰｓｅｃ設定格納部３２の設定を行う。なお、設定の方法はこれまでに説明した実施の形態の方法を用いることができる。また、ステップＳ１１１で、そのネットワーク機器がＩＰｖ６に対応しているかどうかが判定され、ＩＰｖ６に対応していなければ（ステップＳ１１１のＮｏ）、ネットワーク機器サーバとしての処理を実施すると決定し、その旨を該当のネットワーク機器に対応付けて記録する（ステップＳ１１２）。なお、ＩＰｖ６に対応していれば、ＩＰＳｅｃ処理だけを行う。

次に、外部ネットワークからパケットが到着したときの処理を、図３５のフローチャートを用いて説明する。ステップＳ２０１で、セキュア通信ブリッジ３０は、ＩＰｓｅｃ設定格納部３２を参照することにより、到着したパケットがＩＰＳｅｃアクセラレーション対応のネットワーク機器宛のパケットかどうか判断する。対象ネットワーク機器宛のパケットではない場合、ステップＳ２０２で、通常のブリッジとしてパケットを透過させる。

到着したパケットが対象ネットワーク機器宛のパケットの場合、ステップＳ２０３で、セキュア通信ブリッジ３０は、ＩＰｖ６ネットワーク機器サーバとしての自身宛のパケットかどうか判断する。自身宛のパケットの場合、ステップＳ２０４で、そのパケットがネットワーク機器自動発見処理のパケットかどうか判断する。ネットワーク機器自動発見処理のパケットの場合、ステップＳ２０５で、ネットワーク機器発見パケットへの応答処理が行われる。

ステップＳ２０４で、ネットワーク機器自動発見処理のパケットではないと判断された場合、ステップＳ２０６で、セキュア通信ブリッジ３０は、ＩＰｖ６で到着したパケットをネットワーク機器サーバとして受信し、ＩＰアドレス情報格納部３９に記載されたＩＰｖ４アドレスに向けて送信する。

ステップＳ２０３で、自身宛のパケットではないと判断された場合、ステップＳ２０７で、パケットはＩＰＳｅｃパケットかどうか判断される。パケットがＩＰＳｅｃパケットの場合、ステップＳ２１０で、該当ＳＡに応じてＩＰＳｅｃパケットが通常のＩＰパケットに変換される。該当ＳＡがない場合は、パケットは変換されずそのままのパケットとなる。そして、ステップＳ２１１で、ＩＰＳｅｃが解除されたパケットは内部ネットワークに流される。

ステップＳ２０７でパケットがＩＰＳｅｃパケットではないと判断された場合、ステップＳ２０８で、パケットがＩＫＥネゴシエーションパケットかどうか判断される。ＩＫＥネゴシエーションパケットではない場合、ステップＳ２０２の処理に進む。

ＩＫＥネゴシエーションパケットの場合、ステップＳ２０９でＩＫＥネゴシエーション処理と、それに応じたＳＡの構築が行われる。

次に、内部ネットワークからパケットが到着した場合の処理を、図３６のフローチャートを用いて説明する。

ステップＳ３０１で、到着したパケットがＩＰＳｅｃ対象ネットワーク機器からのパケットかどうか判断される。ＩＰＳｅｃ対象ネットワーク機器からのパケットではない場合、ステップＳ３０２で、通常のブリッジとしてパケットが透過される。

ＩＰＳｅｃ対象ネットワーク機器からのパケットの場合、ステップＳ３０３で、ネットワーク機器サーバとしての自身宛のパケットかどうか判断される。自身宛のパケットの場合、ステップＳ３０４で、ＩＰｖ４で到着したパケットはＩＰアドレス情報格納部３９に記載されたＩＰｖ６アドレスのパケットとして送信される。

ステップＳ３０５で、新たなＩＫＥネゴシエーション処理が必要かどうか判断される。必要な場合、ステップＳ３０６で、ＩＫＥネゴシエーションの処理が開始される。

次に、ステップＳ３０７で、該当ＳＡに応じてパケットはＩＰＳｅｃパケットに変換処理される。該当ＳＡがない場合は、パケットは変換されない。そして、ステップＳ３０８で、ＩＰＳｅｃパケットは外部ネットワークに流される。

上述した処理は、公知のネットワーク発見機能を用いたものであったが、次に説明する処理は、第２の実施の形態と同様に、ネットワーク機器を自動発見する手段として、ＤＨＣＰを用いたものである。

本実施の形態における処理を、図３７のフローチャートを用いて説明する。監視するＤＨＣＰパケットは、外部ネットワークから内部ネットワークに向けて通過するＤＨＣＰパケットである。

セキュア通信ブリッジ３０は、ステップＳ４０１で、通過するＤＨＣＰパケット内のＩＰアドレスを取得し、次のステップＳ４０２で、ＤＨＣＰ通信の完了を検知する。

ステップＳ４０３で、セキュア通信ブリッジ３０は、得られたＩＰアドレスは既に登録済みかどうか判断する。登録済みの場合、ステップＳ４０６に移る。登録済みではない場合、ステップＳ４０４で、ネットワーク機器情報に新たなネットワーク機器が追加される。さらに、設定されている全てのＩＰｖ４／ｖ６アドレスと、ネットワーク機器の型式（機種）がＳＮＭＰを用いて確認される。

次に、ステップＳ４０６で、既知機器情報を参照することにより、発見されたネットワーク機器が既知の機種かどうか判断される。既知の機種ではない場合、ステップＳ４０７で、ＩＰＳｅｃ処理だけを行うネットワーク機器であると決定し、ＩＰｓｅｃ設定内容をＩＰｓｅｃ設定格納部３２に格納する。既知の機種のネットワーク機器の場合、既知機器情報を参照し、そのネットワーク機器がＩＰｓｅｃ通信に対応していない場合（ステップＳ４０８のＮｏ）、ＩＰｓｅｃ通信を行うと判定し、ステップＳ４０９においてＩＰｓｅｃ設定格納部３２の設定を行う。なお、設定の方法はこれまでに説明した実施の形態の方法を用いることができる。また、ステップＳ４１０で、そのネットワーク機器がＩＰｖ６に対応しているかどうかが判定され、ＩＰｖ６に対応していなければ（ステップＳ４１０のＮｏ）、ネットワーク機器サーバとしての処理も実施すると決定し、ステップＳ４１１においてその旨を該当のネットワーク機器に対応付けて記録する。

上記ＤＨＣＰパケットを監視する場合での、外部ネットワークからパケットが到着したときの処理を、図３８のフローチャートを用いて説明する。

ステップＳ５０１で、パケットがＤＨＣＰネゴシエーションパケットかどうか判断される。ＤＨＣＰネゴシエーションパケットの場合、ステップＳ５０２に進み、図３７で説明した処理が行われ、ＤＨＣＰネゴシエーションパケットではない場合、ステップＳ５０３に進み、図３５で説明した処理が行われる。

同様に、ＤＨＣＰパケットを監視する場合での、内部ネットワークからパケットが到着したときの処理を、図３９のフローチャートを用いて説明する。

ステップＳ６０１で、パケットがＤＨＣＰネゴシエーションパケットかどうか判断される。ＤＨＣＰネゴシエーションパケットの場合、ステップＳ６０２に進み、図３７で説明した処理が行われ、ＤＨＣＰネゴシエーションパケットではない場合、ステップＳ６０３に進み、図３６で説明した処理が行われる。なお、この場合、ステップＳ６０２では、ＤＨＣＰネゴシエーションにおける外部から内部へのパケットの監視に入り、図３７の処理が行われる。

次に、対象ネットワーク機器がＩＰｖ６に対応していない場合、そのネットワーク機器をＩＰＳｅｃだけでなく、擬似的にＩＰｖ６にも対応させるための処理を、図４０を用いて説明する。ステップＳ７０１で、ＩＰｖ４対応ネットワーク機器が発見される。このとき、セキュア通信ブリッジ３０は、既知機器情報から、当該ネットワーク機器はＩＰｖ４にしか対応していないことを知る。

セキュア通信ブリッジ３０は、ステップＳ７０２で、該当ネットワーク機器のＭＡＣアドレスと、ＲＡからＩＰｖ６アドレスを算出し、ステップＳ７０３で、そのＩＰアドレスを自身にセットし、ＩＰアドレス情報格納部３９の情報を更新する。

ステップＳ７０４で、セキュア通信ブリッジ３０は、セットされたＩＰアドレスを、外部ネットワークから見てネットワーク機器のＩＰアドレスに見せるため、公知のＩＰｖ６ネットワーク機器の自動発見処理を実行する。

以上説明した実施の形態により、ネットワーク機器に自動的にセキュア通信を行わせることが可能となる。また、セキュア通信ブリッジ３０は、ネットワーク機器の詳細な情報を得ることができ、ネットワーク機器に合わせたセキュア通信設定を自動的に行うことができる。

また、従来から一般に存在しているＤＨＣＰ通信機能を利用してネットワーク機器を発見し、そのＩＰアドレスを得て、セキュア通信設定を自動的に行うことができる。これによって、ネットワーク機器に自身の存在を通知するための機構が備わっていなくてもネットワーク機器を発見することができる。

さらに、ＩＰｖ４にしか対応していないネットワーク機器もＩＰｖ６に対応させることができるようになる。また、このセキュア通信ブリッジは元々セキュア通信対応機能を持っているため、ＩＰｖ６対応を行う際に対応すべきセキュア通信への対応も、低コストで実現できる。

なお、本発明は、パケット通信装置が適用されるネットワークの種類や用途に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

本発明の実施の形態の全体構成を示す図である。 ２つのコネクタを持つセキュア通信ブリッジの外観を示す図である。 １つのコネクタを持つセキュア通信ブリッジの外観を示す図である。 第１の実施の形態の概要を示す図である。 第１の実施の形態におけるセキュア通信ブリッジの構成を示す図である。 第１の実施の形態におけるセキュア通信ブリッジの構成を示す図である。 ネットワーク機器情報格納部４６に格納されるデータの例を示す図である。 既知機器情報格納部４７に格納されるデータの例を示す図である。 セキュリティポリシー格納部４８に格納されるデータの例を示す図である。 セキュア通信ブリッジがＳＮＭＰを用いてネットワーク機器情報を取得する際の処理を説明するための図である。 ネットワーク機器情報に基づきセキュリティポリシーを設定する処理を説明するための図である。 第２の実施の形態の概要を示す図である。 第２の実施の形態におけるセキュア通信ブリッジの構成を示す図である。 ネットワーク機器情報格納部５６に格納されるデータの例を示す図である。 セキュリティポリシー格納部５７に格納されるデータの例を示す図である。 セキュア通信ブリッジがＤＨＣＰ通信を監視することによりネットワーク機器のＩＰアドレスを取得する際の処理を説明するための図である。 取得したネットワーク機器情報に基づきセキュリティポリシーを設定する処理を説明するための図である。 第３の実施の形態の概要を示す図である。 第３の実施の形態におけるセキュア通信ブリッジの構成を示す図である。 第３の実施の形態におけるセキュア通信ブリッジの構成を示す図である。 ネットワーク機器情報格納部６７に格納されるデータの例を示す図である。 既知情報格納部６８に格納されるデータの例を示す図である。 セキュリティポリシテンプレート格納部６９に格納されるデータの例を示す図である。 セキュリティポリシー格納部７０に格納されるデータの例を示す図である。 セキュア通信ブリッジがＳＳＤＰを用いてネットワーク機器情報を取得する際の処理を説明するための図である。 ネットワーク機器情報に基づきセキュリティポリシーを設定する処理を説明するための図である。 外部装置から既知機器情報とセキュリティポリシーテンプレートの更新を行う場合の処理を説明するための図である。 第４の実施の形態におけるセキュア通信ブリッジの構成を示す図である。 第４の実施の形態におけるセキュア通信ブリッジの構成を示す図である。 ネットワーク機器情報格納部３８に格納される情報の例を示す図である。 既知機器情報格納部３７に格納される情報の例を示す図である。 ＩＰアドレス情報格納部３９に格納される情報の例を示す図である。 ＩＰＳｅｃ設定格納部３２に格納される情報の例を示す図である。 ネットワーク機器自動発見に関する処理を示すフローチャートである。 外部ネットワークからパケットが到着したときの処理を示すフローチャートである。 内部ネットワークからパケットが到着したときの処理を示すフローチャートである。 ＤＨＣＰを用いた自動発見処理を示すフローチャートである。 外部ネットワークからパケットが到着したときの処理を示すフローチャートである。 内部ネットワークからパケットが到着したときの処理を示すフローチャートである。 擬似的にＩＰｖ６に対応させる処理を示すフローチャートである。

符号の説明

１０、２０、３０、４０、５０、６０ セキュア通信ブリッジ
１１ ネットワーク機器
１２ コンピュータ
１３ 内部ネットワーク
１４ 外部ネットワーク
２１、２２、２６ コネクタ
３２ ＩＰＳｅｃ設定格納部
３３ パケットのＩＰＳｅｃ処理および送受信機能部
３４ ＳＮＭＰ機能部
３５ ネットワーク機器サーバ機能部
３６ ＩＰｖ６機器自動発見機能部
３７ 既知機器情報格納部
３８ ネットワーク機器情報格納部
３９ ＩＰアドレス情報格納部
４１ ＳＮＭＰによるネットワーク機器情報取得部
４２ セキュリティポリシー設定部
４３ パケットのＩＰｓｅｃ処理／送受信機能部
４４、４５ ネットワークインタフェース部
４６ ネットワーク機器情報格納部
４７ 既知機器情報格納部
４８ セキュリティポリシー格納部
５１ ＤＨＣＰ通信監視によるネットワーク機器情報取得部
５２ セキュリティポリシー設定部
５３ パケットのＳＳＬ処理／送受信機能部
５４、５５ ネットワークインタフェース部
５６ ネットワーク機器情報格納部
５７ セキュリティポリシー格納部
６１ ＳＳＤＰによるネットワーク機器情報取得部
６２ セキュリティポリシー設定部
６３ 情報管理部
６４ パケットのＩＰｓｅｃ処理／送受信機能部
６５、６６ ネットワークインタフェース部
６７ ネットワーク機器情報格納部
６８ 既知機器情報格納部
６９ セキュリティポリシーテンプレート格納部
７０ セキュリティポリシー格納部

Claims (14)

1. 情報処理装置に接続される通信機器であって、
   前記情報処理装置を発見する情報処理装置発見手段と、
   既知の情報処理装置の機種情報毎に、前記通信機器によるセキュア通信のためのパケット変換処理が必要か否かを示すパケット変換処理要否情報を格納する情報処理装置情報格納手段と、
   前記情報処理装置発見手段により発見された情報処理装置から、当該情報処理装置の機種情報を取得する情報取得手段と、
   前記情報取得手段により取得した機種情報に基づき前記情報処理装置情報格納手段を検索することにより、当該機種情報に対応するパケット変換処理要否情報を取得し、当該パケット変換処理要否情報に基づき、前記情報処理装置発見手段により発見された情報処理装置に対してセキュア通信のためのパケット変換処理を行うか否かを判定する判定手段と、
   前記判定手段により、パケット変換処理を行うと判定された場合に、前記発見された情報処理装置が送信する非セキュア通信パケットをセキュア通信パケットに変換し、当該情報処理装置宛のセキュア通信パケットを非セキュア通信パケットに変換するパケット変換手段と
   を有することを特徴とする通信機器。
2. 前記通信機器は、既知の情報処理装置毎にセキュア通信のためのセキュア通信設定情報を格納した設定情報格納手段を有し、
   前記情報処理装置発見手段により発見された情報処理装置に対応するセキュア通信設定情報を前記設定情報格納手段から取得し、当該セキュア通信設定情報を用いて、前記発見された情報処理装置に対するセキュア通信のための設定を行うことを特徴とする請求項１に記載の通信機器。
3. 前記情報処理装置情報格納手段に格納された情報処理装置の情報、及び前記設定情報格納手段に格納されたセキュア通信設定情報を、外部装置からの要求に基づき更新する手段を備えたことを特徴とする請求項２に記載の通信機器。
4. 前記情報処理装置発見手段は、前記情報処理装置のＩＰアドレスの設定のための通信を監視することにより前記情報処理装置のＩＰアドレスを取得する請求項１ないし３のうちいずれか１項に記載の通信機器。
5. 前記ＩＰアドレスの設定のための通信はＤＨＣＰの通信である請求項４に記載の通信機器。
6. 前記情報処理装置がＩＰｖ６に対応していない場合、
   所定のＩＰｖ６アドレスを自らに設定するＩＰｖ６アドレス設定手段と、
   前記ＩＰｖ６アドレス宛のパケットの宛先を前記情報処理装置のＩＰｖ４アドレスに変換して前記情報処理装置に送信する擬似ＩＰｖ４パケット送信手段と、
   前記情報処理装置が送信するパケットの送信元を、前記ＩＰｖ６アドレスに変換して送信する擬似ＩＰｖ６パケット送信手段と
   を有することを特徴とする請求項１ないし５のうちいずれか１項に記載の通信機器。
7. 情報処理装置に接続される通信機器における通信方法であって、
   前記通信機器は、既知の情報処理装置の機種情報毎に、当該通信機器によるセキュア通信のためのパケット変換処理が必要か否かを示すパケット変換処理要否情報を格納する情報処理装置情報格納手段を備え、
   前記情報処理装置を発見する情報処理装置発見ステップと、
   前記情報処理装置発見ステップにより発見された情報処理装置から、当該情報処理装置の機種情報を取得する情報取得ステップと、
   前記情報取得ステップにより取得された機種情報に基づき前記情報処理装置情報格納手段を検索することにより、当該機種情報に対応するパケット変換処理要否情報を取得し、当該パケット変換処理要否情報に基づき、前記情報処理装置発見ステップにより発見された情報処理装置に対してセキュア通信のためのパケット変換処理を行うか否かを判定する判定ステップと、
   前記判定ステップにより、パケット変換処理を行うと判定された場合に、前記発見された情報処理装置が送信する非セキュア通信パケットをセキュア通信パケットに変換し、当該情報処理装置宛のセキュア通信パケットを非セキュア通信パケットに変換するパケット変換ステップと
   を有することを特徴とする通信方法。
8. 前記通信機器は、既知の情報処理装置毎にセキュア通信のための設定情報を格納した設定情報格納手段を有し、
   前記情報処理装置発見ステップで発見された情報処理装置に対応するセキュア通信設定情報を前記設定情報格納手段から取得し、当該セキュア通信設定情報を用いて、前記発見された情報処理装置に対するセキュア通信のための設定を行う設定ステップを有することを特徴とする請求項７に記載の通信方法。
9. 前記情報処理装置情報格納手段に格納された情報処理装置の情報、及び前記設定情報格納手段に格納されたセキュア通信設定情報を、外部装置からの要求に基づき更新する更新ステップを有することを特徴とする請求項８に記載の通信方法。
10. 前記情報処理装置発見ステップにおいて、前記通信機器は、前記情報処理装置のＩＰアドレスの設定のための通信を監視することにより前記情報処理装置のＩＰアドレスを取得する請求項７ないし９のうちいずれか１項に記載の通信方法。
11. 前記ＩＰアドレスの設定のための通信はＤＨＣＰの通信である請求項１０に記載の通信方法。
12. 前記情報処理装置がＩＰｖ６に対応していない場合、
    所定のＩＰｖ６アドレスを前記通信機器に設定するＩＰｖ６アドレス設定ステップと、
    前記ＩＰｖ６アドレス宛のパケットの宛先を前記情報処理装置のＩＰｖ４アドレスに変換して前記情報処理装置に送信する擬似ＩＰｖ４パケット送信ステップと、
    前記情報処理装置が送信するパケットの送信元を、前記ＩＰｖ６アドレスに変換して送信する擬似ＩＰｖ６パケット送信ステップと
    を有することを特徴とする請求項７ないし１１のうちいずれか１項に記載の通信方法。
13. 請求項７ないし１２のうちいずれか１項に記載の通信方法の各ステップを前記情報処理装置に接続される通信機器に実行させるための通信プログラム。
14. 請求項１３に記載のプログラムを格納したコンピュータ読み取り可能な記録媒体。

Images