JP5069139B2

JP5069139B2 - 通信装置、およびその通信装置が行う通信方法

Info

Publication number: JP5069139B2
Application number: JP2008018428A
Authority: JP
Inventors: 総一郎松本
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2008-01-30
Filing date: 2008-01-30
Publication date: 2012-11-07
Anticipated expiration: 2028-01-30
Also published as: JP2009182534A

Description

本発明は、IPsecを適用してデータ通信を行う通信装置、特に汎用ブロードバンド経由で接続する通信装置、およびその通信装置が行う通信方法に関するものである。

従来より、暗号通信プロトコルの１つとして、IPsec（Internet Protocol security）が使用されている。IPsecの暗号方式に関する内容は下記非特許文献１に記載されている。IPsecでの暗号化では、共有鍵暗号が使用されるため、通信を始める前に、暗号のための鍵情報（秘密鍵）をIPsec通信相手との間で交換する必要がある。鍵情報を交換するキー交換シーケンスは、セキュリティレベルを保つために、起動時以外にも一定時間毎に更新する方法が規格化されている。この鍵交換シーケンスは、Phase１とPhase２の２段階に分けられて行われ、IPsec適用ルールが１つの場合でも、Phase１で４シーケンス、Phase２で３シーケンスが最低でも必要となる（ここで、IPsec通信相手と１パケット送信、１パケット受信のやりとりを１シーケンスと呼ぶことにする）。IPsec適用ルールが複数の場合や、シーケンスが再送された場合は、シーケンス数はさらに多くなる。

送信側は、送ろうとするデータに対して、受信側と交換した秘密鍵を使って暗号化を行う。一方、受信側の方では、受け取ったデータを秘密鍵で復号化することで、元の内容を得ることになる。ここで、IPsec暗号方式では、IPアドレスによって通信相手を識別する。すなわち、IPsecを適用してデータ通信を行う場合、IPsec適用区間のIPアドレスは不変であること、固定IPアドレス割り当てであることが前提となっている。IPsec適用区間のIPアドレスが変更もしくは不定になり、この前提が適用できなくなった場合は、そのIPsecトンネルは無効になり、新たにIPアドレスが確定した場合に再度IPsecキー交換を行い、新たにIPsecトンネルを作り直すことを前提としている。このIPsecに関する内容が下記特許文献１、非特許文献１〜４に記載されている。

特開２００５−２１０６４５号公報古河電工VPNソリューション、"IPsecとは？"、［online］、［平成２０年１月７日検索］、インターネット＜URL：http://www.furukawa.co.jp/network/vpn/about_vpn/ipsec/ipsec_top.html＞ W.Simpson著、「RFC１６６１」、"The Point-to-Point Protocol（PPP）"、１９９４年７月、p２６−p２７ L.Mamakos著、外５名、「RFC２５１６」、"A Method for Transmitting PPP Over Ethernet（PPPoE）"、１９９９年２月、p４−p６ R.Droms著、「RFC２１３１」、"Dynamic Host Configuration Protocol"、１９９７年３月、p１３−p２２

PPPoE、DHCPといった汎用ブロード回線経由でVPN接続する場合においては、PPPoEサーバと切断された場合（同様にDHCPサーバと切断された場合）、その接続装置のIPアドレスは一時的に不定になったり、再接続により再度IPアドレスが確定するといった動作をすることになり、すなわち、動的にIPアドレスが決定される。

上述したように、従来のIPsec暗号方式では、IPアドレスが不定→確定するたびにIPsecキー交換シーケンスが発生する。従って、IPアドレスが不定となった場合、IPsecキー交換シーケンスが完了するまではIPsecトンネルが確立されていないので、データトラフィックの送受信はできないことになる。

特にPPPoE等の汎用ブロード回線経由でVPN接続する場合においては、PPPoEサーバとの一時的な切断（例えば、PPPoEサーバのリセット）によりIPアドレスが一時的に不定になることがあるが、PPPoEサーバとの再接続時に切断前と同一のIPアドレスを取得する（割り当てられる）場合は、IPsecトンネルとしては再接続前と同一のルールとなる。接続前と同一のルールになる場合、IPsecキー交換シーケンスにより暗号キーを再交換しなくてもIPsec通信は可能である。

しかしながら、この様に同一のIPアドレスを取得した場合であっても、従来の通信装置では、IPsecキー交換シーケンスを行うため、不要なパケットをネットワークに送信することになり、IPsecトンネルの再接続に時間がかかるという問題があった。

そこで本発明はかかる問題を解決するためになされたものであり、暗号キーの再交換が必須でない場合は、キー交換シーケンスを省略することで、不要なパケットをネットワークに送信することを防ぐことができ、かつ、IPsecトンネルの再接続を高速化することで、データトラフィックの送受信再開を早められる通信装置を得ること、およびこの通信装置に適した製造方法を得ることを目的とする。

本発明における通信装置は、サーバを介して他の通信装置との間で送受信を行うデータにIPsecを適用し、前記サーバからIPアドレスが動的に割り当てられる通信装置であって、前記サーバから割り当てられたIPアドレスを取得するIPアドレス取得部と、前記IPアドレス取得部がIPアドレスを取得した後にIPsecキー交換シーケンスを行うIPsecシーケンス制御部と、前記サーバとの接続が切断した際に、前記IPアドレス取得部が再度取得したIPアドレスと、切断前に前記IPアドレス取得部が取得したIPアドレスとを比較するIPアドレス比較部と、前記IPsecキー交換シーケンスを省略する機能のON/OFFを決定するフラグを有する省略機能制御手段とを備え、前記IPsecシーケンス制御部は、前記IPアドレス比較部が同一のIPアドレスと判断した場合に、前記IPsecキー交換シーケンスを省略する機能がONになっているときには、前記IPアドレス取得部が再度IPアドレスを取得した後に行う前記IPsecキー交換シーケンスを省略し、前記IPsecキー交換シーケンスを省略する機能がOFFになっているときには、前記IPsecキー交換シーケンスを行う。

本発明における通信方法は、サーバを介して他の通信装置との間で送受信を行うデータにIPsecを適用し、前記サーバからIPアドレスが動的に割り当てられる通信装置が行う通信方法であって、（a）前記サーバから割り当てられたIPアドレスを取得する工程と、（b）前記サーバからIPアドレスを取得した後にIPsecキー交換シーケンスを行って暗号キーを取得する工程と、（c）前記サーバとの接続が切断した際に、前記サーバからIPアドレスを再度取得する工程と、（d）前記工程（a）で取得したIPアドレスと、前記工程（c）で取得したIPアドレスとを比較する工程と、（e）前記IPsecキー交換シーケンスを省略する機能のON/OFFを決定するフラグをチェックする工程と、（f）前記工程（d）でIPアドレスが同一と判定した際は、前記工程（e）で前記IPsecキー交換シーケンスを省略する機能がONになっているときには、前記工程（b）で取得した暗号キーを使用して通信し、前記工程（e）で前記IPsecキー交換シーケンスを省略する機能がOFFになっているときには、前記IPsecキー交換シーケンスを行って暗号キーを取得して通信する工程と、を備える。

本発明の通信装置および通信方法によれば、切断前のIPアドレスと、再取得したIPアドレスとが同一の場合は、IPsecキー交換フローを省略することで、不要なパケットをネットワークに送信することを防ぐこととともに、IPsecトンネルの再接続を高速化できることで、データトラフィックの送受信再開を早めることができる。また、IPsecキー交換シーケンスを省略する機能のON/OFFを変更できる。

＜実施の形態１＞
図１は、本発明における通信装置１，２を汎用ブロードバンド回線経由でVPN接続した通信システムの構成を示した図である。図２は、本実施の形態における通信装置１の構成を示した概略図である。本実施の形態における通信装置１は、他の通信装置（通信装置２）との間でPPPoEサーバ経由で送受信を行うデータにIPsecを適用し、PPPoEサーバからIPアドレスが動的に割り当てられる通信装置である。通信装置１は、PPPoEサーバから割り当てられたIPアドレスを取得するIPアドレス取得部１１、IPアドレスを取得した後に通信装置２との間で暗号のための鍵情報を交換するキー交換シーケンスを行うIPsecシーケンス制御部１４、PPPoEサーバとの接続が切断する前にIPアドレス取得部１１が取得したIPアドレスを記憶するIPアドレス記憶部１２、PPPoEサーバとの接続が切断した際に、IPアドレス取得部１１がPPPoEサーバから再度取得したIPアドレスと、IPアドレス記憶部１２に記憶されたIPアドレスとを比較するIPアドレス比較部１３、を備える。

図３は、本実施の形態における通信装置１のIPsecキー交換シーケンスを示したフローチャートである。通信装置１を起動すると（S−１）、PPPoEサーバから割り当てられたIPアドレスを取得するIPアドレス取得フローを行い、IPアドレスが確定した後に、他の通信装置（通信装置２）との間でIPsecキー交換フローを行う。IPアドレス取得フローは、PPPoEサーバから割り当てられたIPアドレスを取得するIPアドレス取得シーケンスを行い（S−２）、IPアドレスが確定する（S−３）。IPアドレスが確定したらIPアドレスを用いてIPsecキー交換フローを行い（S−４）、IPsec暗号キーが確定後（S−５）、通信装置２との間でIPsecを適用したデータ送受信を行う。

PPPoEによるIP取得シーケンス及びIPアドレスの更新シーケンスについては、非特許文献２に記載したRFC１６６１（The Point-to-Point Protocol（PPP），５.LCP Packet Formats）に規定されている。IPアドレスの継続更新は、PPPoEサーバとの間でLCP-Echo-RequestとLCP-Echo-Replyをやり取りすることで行う（S−６）。

PPPoEサーバとの切断検出は、PPPoEサーバに送信したLCP-Echo-Requestに対するLCP-Echo-Replyが受信できないことで検出される。より詳細には、LCP-Echo-Requestの再送回数を決めて、再送回数だけLCP-Echo-Requestを送信してもLCP-Echo-Replyが受信できない場合は、PPPoEサーバとの切断と判断し、自身のIPアドレスの継続更新が切断されたと判断し、自身のIPアドレスを不定＝0.0.0.0（IPv4の場合）として動作する（S−７）。この時に、切断前に取得していたIPアドレスをIPアドレス記憶部１２（図２参照）に記憶しておく。

IPアドレスが不定（S−７）となった後、PPPoEサーバからIPアドレスを再取得するシーケンスを行う。このIPアドレス再取得シーケンスは、非特許文献３に記載したRFC２５１６（A Method for Transmitting PPP Over Ethernet（PPPoE），５.Discovery Stage）に規定されているように、PPPoEでIPアドレスを取得する場合は、PADIをブロードキャストアドレス宛に送信し、PPPoEサーバからPADOが応答されることを待つようにする。一方、本発明の通信装置１では、IPアドレスが不定の場合はPADIを一定回数繰り返すか、もしくは無限に繰り返すようにして、PPPoEサーバとの接続が復旧した場合にいつでもPADOを受信して以降のPPPoE接続シーケンスを実施できるようにして、PPPoEにより再接続できるような手段を持っておく（S−８）。

PPPoEシーケンスにより再接続し、IPアドレスを再取得した場合（S−８）、IPアドレス記憶部に記憶しておいた切断前のIPアドレスと、新しく取得したIPアドレスとをIPアドレス比較部１３（図２参照）にて比較する（S−９）。比較したIPアドレスが同一の場合は、IPsecキー交換シーケンスを省略し、切断前の暗号キーを継続使用して通信装置２との間でIPsec通信を行う。一方、比較したIPアドレスが異なる場合は、IPsecキー交換シーケンスを行い（S−４）、新たなIPアドレスで暗号キーを取得し（S−５）、通信装置２との間でIPsec通信を行う。

以上より、切断前のIPアドレスと、再取得したIPアドレスとが同一の場合は、IPsecキー交換フローを省略することで、不要なパケットをネットワークに送信することを防ぐこととともに、IPsecトンネルの再接続を高速化できることで、データトラフィックの送受信再開を早めることができる。

＜実施の形態２＞
本実施の形態における通信装置１は、他の通信装置（通信装置２）との間でDHCPサーバ経由で送受信を行うデータにIPsecを適用し、DHCPサーバからIPアドレスが動的に割り当てられる通信装置である。本実施の形態における通信装置１は、実施の形態１で説明した通信装置１（図２参照）の構成と同様のため、説明を省略する。

本実施の形態における通信装置１のIPsecキー交換シーケンスは、実施の形態１で説明した図３の処理と同様であり、以下図３を参照して詳細を説明する。DHCPによるIP取得シーケンス及びIPアドレスの更新シーケンスについては、非特許文献４に記載したRFC２１３１（Dynamic Host Configuration Protocol，３.The Server Protocol）に規定されている。IPアドレスの継続更新は、DHCPサーバからのDHCP-ACKにより指定されるIPアドレスリース期間が満了する前に再度DHCPサーバに対してDHCP-Requestを送信し、再度DHCP-ACKを受信してIPアドレスのリース期間の更新を繰り返すことで行う（S−６）。

DHCPサーバとの切断検出はDHCPサーバに送信したDHCP-Requestに対するDHCP-ACKが受信できないことで検出される。より詳細には、IPアドレスリース期間内にDHCP-Requestの再送を繰り返すが、期間内にDHCP-ACKが受信できない場合は、DHCPサーバとの切断と判断し、自身のIPアドレスの継続更新が切断されたと判断し、自身のIPアドレスを不定＝0.0.0.0（IPv4の場合）として動作する（S−７）。この時に、切断前に取得していたIPアドレスをIPアドレス記憶部１２（図２参照）に記憶しておく。

IPアドレスが不定（S−７）となった後、PPPoEサーバからIPアドレスを再取得するシーケンスを行う。このIPアドレス再取得シーケンスは、前述のRFC２１３１に規定されているように、DHCPでIPアドレスを取得する場合は、DHCP-DISCOVERをブロードキャストアドレス宛に送信し、DHCPサーバからDHCP-OFFERが応答されることを待つようにする。一方、本発明の通信装置１では、IPアドレスが不定の場合はDHCP-DISCOVERを一定回数繰り返すか、もしくは無限に繰り返すようにして、DHCPサーバとの接続が復旧した場合にいつでもDHCP-OFFERを受信して以降のDHCP接続シーケンスを実施できるようにして、DHCPにより再接続できるような手段を持っておく（S−８）。

DHCPシーケンスにより再接続し、IPアドレスを再取得した場合（S−８）、IPアドレス記憶部に記憶しておいた切断前のIPアドレスと、新しく取得したIPアドレスとをIPアドレス比較部１３（図２参照）にて比較する（S−９）。比較したIPアドレスが同一の場合は、IPsecキー交換シーケンスを省略し、切断前の暗号キーを継続使用して通信装置２との間でIPsec通信を行う。一方、比較したIPアドレスが異なる場合は、IPsecキー交換シーケンスを行い（S−４）、新たなIPアドレスで暗号キーを取得し（S−５）、通信装置２との間でIPsec通信を行う。その他の動作は実施の形態１と同様のため、説明を省略する。

＜実施の形態３＞
本実施の形態における通信装置は、実施の形態１，２で説明したIPsecキー交換シーケンスを省略する機能のON/OFFを起動時および運用中に変更できる手段（省略機能制御手段）を持つ。より詳細には、IPsecで暗号処理を行って通信を行う通信装置内部にIPsecキー交換シーケンスの省略機能のON/OFFを決定する記憶素子（フラグ）を備え、起動時あるいは運用中に記憶素子を書き換えることで動作を変更する。さらには遠隔からTelnet/SNMPによりフラグを変更できるようにするのも有効である。IPsecで暗号処理を行って通信を行う装置は、IPアドレスが確定した際に該当フラグをチェックし、ONになっているときには、IPsecキー交換シーケンスの省略を実施し、OFFになっているときには、IPsecキー交換シーケンスの省略を実施しない（IPsecキー交換シーケンスを実施する）。

以上より、キー交換シーケンスを省略することで、不要なパケットをネットワークに送信することを防ぐこととともに、IPsecトンネルの再接続を高速化できることで、データトラフィックの送受信再開を早めることができる。

本発明における通信装置を汎用ブロードバンド回線経由でVPN接続した通信システムの構成を示した図である。本発明の実施の形態１における通信装置の構成を示した概略図である。本発明の実施の形態１における通信装置のIPsecキー交換シーケンスを示したフローチャートである。

符号の説明

１，２通信装置、３汎用ブロードバンド回線終端装置、１１ IPアドレス取得部、１２ IPアドレス記憶部、１３ IPアドレス比較部、１４ IPsecシーケンス制御部。

Claims

サーバを介して他の通信装置との間で送受信を行うデータにIPsecを適用し、前記サーバからIPアドレスが動的に割り当てられる通信装置であって、
前記サーバから割り当てられたIPアドレスを取得するIPアドレス取得部と、
前記IPアドレス取得部がIPアドレスを取得した後にIPsecキー交換シーケンスを行うIPsecシーケンス制御部と、
前記サーバとの接続が切断した際に、前記IPアドレス取得部が再度取得したIPアドレスと、切断前に前記IPアドレス取得部が取得したIPアドレスとを比較するIPアドレス比較部と、
前記IPsecキー交換シーケンスを省略する機能のON/OFFを決定するフラグを有する省略機能制御手段とを備え、
前記IPsecシーケンス制御部は、前記IPアドレス比較部が同一のIPアドレスと判断した場合に、前記IPsecキー交換シーケンスを省略する機能がONになっているときには、前記IPアドレス取得部が再度IPアドレスを取得した後に行う前記IPsecキー交換シーケンスを省略し、前記IPsecキー交換シーケンスを省略する機能がOFFになっているときには、前記IPsecキー交換シーケンスを行う、通信装置。
前記サーバとの接続が切断する前に前記IPアドレス取得部が取得したIPアドレスを記憶するIPアドレス記憶部をさらに備え、
前記IPアドレス比較部は、前記IPアドレス取得部が再度取得したIPアドレスと、前記IPアドレス記憶部に記憶されたIPアドレスとを比較する、請求項１に記載の通信装置。
サーバを介して他の通信装置との間で送受信を行うデータにIPsecを適用し、前記サーバからIPアドレスが動的に割り当てられる通信装置が行う通信方法であって、
（a）前記サーバから割り当てられたIPアドレスを取得する工程と、
（b）前記サーバからIPアドレスを取得した後にIPsecキー交換シーケンスを行って暗号キーを取得する工程と、
（c）前記サーバとの接続が切断した際に、前記サーバからIPアドレスを再度取得する工程と、
（d）前記工程（a）で取得したIPアドレスと、前記工程（c）で取得したIPアドレスとを比較する工程と、
（e）前記IPsecキー交換シーケンスを省略する機能のON/OFFを決定するフラグをチェックする工程と、
（f）前記工程（d）でIPアドレスが同一と判定した際は、前記工程（e）で前記IPsecキー交換シーケンスを省略する機能がONになっているときには、前記工程（b）で取得した暗号キーを使用して通信し、前記工程（e）で前記IPsecキー交換シーケンスを省略する機能がOFFになっているときには、前記IPsecキー交換シーケンスを行って暗号キーを取得して通信する工程と、を備えた通信方法。