JP5258305B2

JP5258305B2 - セキュリティ通信装置、及び方法

Info

Publication number: JP5258305B2
Application number: JP2008001395A
Authority: JP
Inventors: 健介安間
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2008-01-08
Filing date: 2008-01-08
Publication date: 2013-08-07
Anticipated expiration: 2028-01-08
Also published as: US8856915B2; US20090177879A1; JP2009164960A

Description

本発明は、ネットワークを介して行われるセキュリティの確保された通信において、通信データを中継するセキュリティ通信装置および方法に関する。

従来、ネットワークを介した通信では、ネットワーク側のシステムが、ユーザ側から求められる通信の品質や特性に応じて、ネットワークの資源割り当てや経路割り当て等を行っていた。（例えば、特許文献１、特許文献２）。特許文献１では、ネットワーク資源管理システムとグローバル資源管理システムが連携し、ユーザアプリケーションが要求する、帯域や資源を確保する時間などに応じて、サービスプロバイダ内のネットワーク資源やその他資源の管理、割り当てを行っている。

また、特許文献２では、ユーザから求められる通信のＱｏＳ（ＱｕａｌｉｔｙｏｆＳｅｒｖｉｃｅ）に応じて、ＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）の経路を決定している。
特開２００６−２７９２２１号公報特開２００２−３１４５８７号公報

しかしながら、セキュリティ通信装置によるネットワークの接続に基づいて、通信装置がデータの送受信を行う場合、通信装置とセキュリティ通信装置が行う処理によっては、効率的な通信の妨げとなる恐れがある。例えば、セキュリティ通信装置が、通信装置で利用しているアプリケーションが必要としていない処理を行ってしまうことや、また、セキュリティ通信装置が行う処理によって、アプリケーションが求めているスループット等の品質が得られなくなる恐れがある。

より具体的な例として、セキュリティ通信装置を介してＶＰＮ通信を行う際に、通信装置が、アプリケーションレベルで通信データの暗号化を行うと、セキュリティ通信装置が行うＶＰＮの暗号化と合わせて、通信データが２重に暗号化されてしまう恐れがある。

また、別の例として、リアルタイムストリーミングアプリケーションの利用時において、セキュリティ通信装置がバッファリングやパケット圧縮を行うと、遅延の問題が生じてしまう恐れがある。

一方、ユーザによって、ネットワークの接続に用いるパラメータを、各々の装置に設定するためには、設定を行うユーザに、ネットワークに関する高度な知識と技術が要求される。また、パラメータの設定処理も煩雑である。

本発明は上記の問題に鑑みてなされたものであり、その目的は、セキュリティ通信装置によるネットワーク接続に基づいて行われる通信を、効率良く行えるようにすることである。

上記の課題を解決するため、本発明のセキュリティ通信装置は、第１のネットワークと第２のネットワークの間で通信を実現するセキュリティ通信装置であって、前記第１のネットワークに接続する接続手段と、通信実行時に、前記第１のネットワークに接続された通信装置がセキュリティの確保された通信を行うための処理を行うか否かを示す第１の設定を判断し、かつ、前記通信装置がセキュリティの確保された通信を必要とするか否かを示す第２の設定を判断する判断手段と、前記通信装置がセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置がセキュリティの確保された通信を行うための処理を行うことを前記第１の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行わないことを決定し、前記通信装置がセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置がセキュリティの確保された通信を行うための処理を行わないことを前記第１の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行うことを決定し、前記通信装置がセキュリティの確保された通信を必要としないことを前記第２の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行わないことを決定する決定手段と、前記決定手段の決定に応じてセキュリティの確保された通信を行うための処理を行う処理手段とを有する。

また、本発明のセキュリティ通信方法は、第１のネットワークに接続されたセキュリティ通信装置が、前記第１のネットワークと第２のネットワークの間で通信を実現するセキュリティ通信方法であって、通信実行時に、前記第１のネットワークに接続された通信装置がセキュリティの確保された通信を行うための処理を行うか否かを示す第１の設定を判断し、かつ、前記通信装置がセキュリティの確保された通信を必要とするか否かを示す第２の設定を判断する判断工程と、前記通信装置がセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置がセキュリティの確保された通信を行うための処理を行うことを前記第１の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行わないことを決定し、前記通信装置がセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置がセキュリティの確保された通信を行うための処理を行わないことを前記第１の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行うことを決定し、前記通信装置がセキュリティの確保された通信を必要としないことを前記第２の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行わないことを決定する決定工程と、前記決定工程における決定に応じてセキュリティの確保された通信を行うための処理を行う処理工程とを有する。

本発明によれば、セキュリティ通信装置によるネットワーク接続に基づいて行われる通信を、効率良く行うことができる。

＜実施形態１＞
以下、本発明の実施形態について、図面を参照して説明する。

図１は、本発明の一実施形態に係るネットワークシステムの構成図である。
１００は、インターネットである。本実施形態におけるインターネット１００は、インターネットに限るものではなく、ＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ）、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）、アドホックネットワークなどでもよく、それらの複合でもよい。

１０１ａ、及び１０１ｂは、ＬＡＮである。ＬＡＮ１０１ａ、１０１ｂは、ＬＡＮに限るものではなく、ＷＡＮ、ＬＡＮ、アドホックネットワークなどでもよく、それらの複合でもよい。本実施形態では、ＬＡＮ１０１ａ（第１のネットワーク）、１０１ｂ（第２のネットワーク）は、同一の機能を有するネットワークである。

１０２ａは、ＬＡＮ１０１ａ（第１のネットワーク）に接続され、アプリケーションを利用して通信を行うネットワーク接続機器である。また、１０２ｂは、ＬＡＮ１０１ｂ（第２のネットワーク）に接続され、アプリケーションを利用して通信を行うネットワーク接続機器である。本実施形態では、ネットワーク接続機器１０２ａ、１０２ｂは同一の機能を有する通信装置である。

１０３ａは、ＬＡＮ１０１ａ（第１のネットワーク）に接続され、ネットワーク接続機器１０２が利用するアプリケーションの特性に応じたＶＰＮ接続を実現する論理ネットワーク制御装置である。即ち、論理ネットワーク制御装置１０３ａは、ＬＡＮ１０１ａ（第１のネットワーク）とＬＡＮ１０１ｂ（第２のネットワーク）の間でセキュリティの確保された通信を実現するセキュリティ通信装置である。また、１０３ｂは、ＬＡＮ１０１ｂ（第２のネットワーク）に接続され、ネットワーク接続機器１０２が利用するアプリケーションの特性に応じたＶＰＮ接続を実現する論理ネットワーク制御装置である。即ち、論理ネットワーク制御装置１０３ｂは、ＬＡＮ１０１ｂ（第２のネットワーク）とＬＡＮ１０１ａ（第１のネットワーク）の間でセキュリティの確保された通信を実現するセキュリティ通信装置である。

本実施形態では、論理ネットワーク制御装置１０３ａ、１０３ｂは同一の機能を有するセキュリティ通信装置である。

１０４ａ、及び１０４ｂは、インターネット１００と、それぞれＬＡＮ１０１ａ、１０１ｂに接続し、パケットの経路制御などを行うルーター装置である。本実施形態では、ルーター装置１０４ａ、１０４ｂは同一の機能を有するネットワーク機器である。

図２は、論理ネットワーク制御装置１０３ａの構成図を表している。論理ネットワーク制御装置１０３ａは、ＬＡＮ１０１ａ（第１のネットワーク）とＬＡＮ１０１ｂ（第２のネットワーク）の間でセキュリティの確保された通信を実現するセキュリティ通信装置である。また、論理ネットワーク制御装置１０３ｂは、論理ネットワーク制御装置１０３ａと同一の機能を有するセキュリティ通信装置である。

論理ネットワーク制御装置１０３ａは、ＰＣ（パーソナルコンピュータ）などのコンピュータシステム以外に、ワークステーション、ノートブックＰＣ、パームトップＰＣ、コンピュータを内蔵したテレビ等の各種家電製品、通信機能を有するゲーム機、携帯電話、等を含む他のネットワーク制御装置と通信するための通信機能を有する端末、または、これらの組合せによっても実施可能である。

２０１は、コンピュータシステムの制御をつかさどる中央演算装置（以下ＣＰＵと記す）である。

２０２は、ランダムアクセスメモリ（以下ＲＡＭと記す）であり、ＣＰＵ２０１の主メモリとして、及び実行プログラムの領域や該プログラムの実行エリアならびにデータエリアとして機能する。

２０３は、ＣＰＵ２０１の動作処理手順を記録しているリードオンリーメモリー（以下ＲＯＭと記す）である。ＲＯＭ２０３には、コンピュータシステムの機器制御を行うシステムプログラムである基本ソフト（ＯＳ）を記録したプログラムＲＯＭとシステムを稼動するために必要な情報などが記録されたデータＲＯＭがある。ＲＯＭ２０３の代わりに後述のＨＤＤ２０９を用いる場合もある。

２０４は、ネットワークインターフェース（以下ＮＥＴＩＦと記す）であり、ネットワークを介してコンピュータシステム間のデータ転送を行うための制御や接続状況の診断を行う。即ち、論理ネットワーク制御装置１０３ａは、ＬＡＮ１０１ａ（第１のネットワーク）への接続をＮＥＴＩＦ２０４を介して行う。また、論理ネットワーク制御装置１０３ａは、ＬＡＮ１０１ａ（第１のネットワーク）に接続された通信装置の通信データの中継を含むＬＡＮ１０１ｂ（第２のネットワーク）とのデータの送受信を、ＮＥＴＩＦ２０４を介して行う。

２０５は、ビデオＲＡＭ（以下ＶＲＡＭと記す）であり、コンピュータシステムの稼動状態を示す後述するＣＲＴ２０６の画面に表示される画像を展開し、その表示の制御を行う。
２０６は、表示装置であって、例えば、ディスプレイである。以下ＣＲＴと記す。
２０７は、後述する外部入力装置２０８からの入力信号を制御するコントローラである。

２０８は、コンピュータシステムの利用者がコンピュータシステムに対して行う操作を受け付けるための外部入力装置であり、例えば、キーボードなどである。

２０９は、記憶装置を示し、例えば、ハードディスクなどである。アプリケーションプログラムや、画像情報などのデータ保存用に用いられる。本実施形態におけるアプリケーションプログラムとは、本実施形態を構成する論理ネットワークの制御を実行するソフトウェアプログラムなどである。

２１０は、外部入出力装置であって、例えばフロッピー（登録商標）ディスクドライブ、ＣＤ−ＲＯＭドライブなどのリムーバブル記録メディアを入出力するものであり、上述したアプリケーションプログラムの媒体からの読み出しなどに用いられる。以下、ＦＤＤと記す。

なお、ＨＤＤ２０９に格納するアプリケーションプログラムやデータをＦＤＤ２１０に格納して使用することも可能である。

２００は、上述した各ユニット間を接続するための入出力バス（アドレスバス、データバス、及び制御バス）である。

図３は、本実施形態の論理ネットワーク制御装置１０３ａのモジュール構成図である。論理ネットワーク制御装置１０３ａは、以下に説明する各モジュールの機能をプログラムとしてＨＤＤ２０９に格納し、ＣＰＵ２０１によって適宜読み出し、実行することで各機能を実現する。

論理ネットワーク制御装置１０３ａは、ＬＡＮ１０１ａ（第１のネットワーク）とＬＡＮ１０１ｂ（第２のネットワーク）の間でセキュリティの確保された通信を実現するセキュリティ通信装置である。また、論理ネットワーク制御装置１０３ｂは、論理ネットワーク制御装置１０３ａと同一の機能を有するセキュリティ通信装置である。

３００は、ＬＡＮ１０１ａ（第１のネットワーク）に接続されたネットワーク接続機器１０２ａとの間で種々のメッセージのやり取りを行う論理ネットワーク制御部である。また、論理ネットワーク制御部３００は、ネットワーク接続機器１０２ａの設定に基づいて決定されたパラメータに応じたＶＰＮ接続を実現する。即ち、論理ネットワーク制御部３００は、通信装置（ネットワーク接続機器１０２ａ）による処理に応じて、ネットワーク接続機器１０２ａから受信した通信データを、セキュリティを確保するための通信データへ変換する。そして、変換した通信データを論理ネットワーク制御装置１０３ｂに送信する。また、論理ネットワーク制御部３００は、論理ネットワーク制御装置１０３ｂから受信した、セキュリティを確保するための処理が行われた通信データを変換し、変換された通信データをネットワーク接続機器１０２ａに送信する。

３０１は、論理ネットワーク制御装置１０３ｂとの間でネゴシエーションを行うことにより、論理ネットワーク制御部３００がＶＰＮ接続を行う際に利用するパラメータを決定するネゴシエーション部である。また、ネゴシエーション部３０１は、ネットワーク接続機器１０２ａが通信に利用するアプリケーションの特性に基づいて、論理ネットワーク制御装置１０３ｂに提案するパラメータを決定する。即ち、ネゴシエーション部３０１は、通信実行時に、ＬＡＮ１０１ａ（第１のネットワーク）に接続された通信装置（ネットワーク接続機器１０２ａ）における、通信のための設定（アプリケーションの特性）を判断する。そして、ネゴシエーション部３０１は、判断された設定に応じて、ネットワーク接続機器１０２ａから受信する通信データの変換に関する変換パラメータの候補を決定し、決定された候補を論理ネットワーク制御装置１０３ｂに送信する。ネゴシエーション部３０１によるパラメータの決定方法については、後述する。

３０２は、ネットワーク接続機器１０２ａから受信するアプリケーション情報を保持し、当該アプリケーション情報に含まれるアプリケーション特性に応じたＶＰＮ接続が可能であるかの判断を行うアプリケーション特性判断部である。

次に、ネットワーク接続機器１０２ａで利用するアプリケーションに関するアプリケーション情報を、論理ネットワーク制御装置１０３ａに登録する手順について、図４を用いて説明する。

図４は、論理ネットワーク制御装置１０３ａにおけるアプリケーション情報の登録処理の流れを示すフローチャートである。論理ネットワーク制御装置１０３ａは、ＬＡＮ１０１ａ（第１のネットワーク）とＬＡＮ１０１ｂ（第２のネットワーク）の間でセキュリティの確保された通信を実現するセキュリティ通信装置である。尚、ＬＡＮ１０１ｂ（第２のネットワーク）に接続される論理ネットワーク制御装置１０３ｂも、以下の説明と同様の手順で、ネットワーク接続機器１０２ｂで利用するアプリケーションに関するアプリケーション情報を登録する。

Ｓ４０１において、論理ネットワーク制御装置１０３ａの論理ネットワーク制御部３００は、ネットワーク接続機器１０２ａから送信されたアプリケーション情報を受信し、Ｓ４０２に進む。ネットワーク接続機器１０２ａから送信されるアプリケーション情報は、識別情報と、アプリケーション特性を含む。

ネットワーク接続機器１０２ａから送信されるアプリケーション情報の一例を図７に示す。図７において、識別情報７０１は、アプリケーション名、バージョン、ネットワーク接続機器１０２ａのＩＰアドレス、当該アプリケーションで利用するポート番号である。そして、アプリケーション特性７０２は、データタイプ、暗号化の必要性、上位層での暗号化、遅延、優先度などである。尚、アプリケーション名に示したＶｉｅｗｅｒＡｐｐｌｉｃａｔｉｏｎは、送受信される画像データに基づいて、画像を表示させるためのアプリケーションソフトの名称を示している。ただし、これに限らず、種々のアプリケーションを利用することができる。また、ネットワーク接続機器１０２ａのＩＰアドレスは、アプリケーション情報の送信元から、論理ネットワーク制御装置１０３ａが判断するようにしても良い。

Ｓ４０２において、論理ネットワーク制御部３００は、受信したアプリケーション情報をアプリケーション特性判断部３０２に登録し、アプリケーション情報の登録処理を終了する。即ち、論理ネットワーク制御装置１０３ａ（セキュリティ通信装置）のアプリケーション特性判断部３０２は、ネットワーク接続機器１０２ａ（通信装置）の設定（アプリケーション特性７０２）と、当該処理の識別情報（識別情報７０１）とを対応付けて記憶する。

図８に、アプリケーション特性判断部３０２に登録される、複数のアプリケーションのアプリケーション特性７０２を示す。

まず、番号８０１は、アプリケーションを識別するための情報である。番号８０１は、Ｓ４０１で受信された識別情報７０１に対応しており、例えばアプリケーション名からアプリケーション特性７０２の検索、及び読み出しができるようになっている。この場合、アプリケーション特性判断部３０２は、アプリケーション名から、１つの番号８０１が特定できるように、アプリケーション特性を記憶する。

尚、本実施形態では、アプリケーション名からアプリケーション特性の検索を行っているが、バージョンの情報との組み合わせで検索しても良い。

また、ネットワーク接続機器１０２によってアプリケーションの設定が異なる場合などを考慮して、さらにＩＰアドレスの識別情報を組み合わせてアプリケーション特性７０２を検索しても良い。この場合、アプリケーション特性判断部３０２は、アプリケーション名、バージョン、ＩＰアドレスの情報から、１つの番号８０１が特定できるように、アプリケーション特性を記憶する。

図８は、番号８０１で示される、アプリケーション１〜アプリケーション６までの６つのアプリケーションのアプリケーション特性７０２が、アプリケーション特性判断部３０２に記憶されていることを示している。

データタイプ８０２は、アプリケーションが利用するデータの種別を示している。ここで、ｓｔｒｅａｍｉｎｇは、リアルタイム性を要求するデータ種別を示す。また、ｄａｔａは、スループットを重視するデータ種別を示す。

暗号化８０３は、通信データの暗号化が必要であるか否かを示している。暗号化８０３の項目がｙｅｓの場合は、通信データの暗号化が必要であることを示す。一方、ｎｏの場合は、通信データの暗号化が必要とされていないことを示している。

上位層暗号化８０４は、アプリケーションレベルで通信データの暗号化が行われるか否かを表している。上位層暗号化８０４がｙｅｓの場合は、アプリケーションレベルでの暗号化が行われることを示す。一方、ｎｏの場合は、アプリケーションレベルでの暗号化が行われないことを示す。

遅延８０５は、アプリケーションが許容できる遅延量を表している。遅延８０５がｌｏｗの場合は、アプリケーションが低遅延での通信を要求していることを示す。一方、遅延８０５がｈｉｇｈの場合は、遅延が大きくても問題がないアプリケーションであることを示している。

優先度８０６は、アプリケーションの処理の優先度を表している。本実施形態では、優先度８０６が５の場合、アプリケーションが、最も優先的な処理を要求していることを示している。一方、優先度８０６が１の場合は、アプリケーションが、優先的な処理を要求していないことを示している。

本実施形態における図７のアプリケーションは、図８のアプリケーション２に相当する。

次に、論理ネットワーク制御装置１０３ａと論理ネットワーク制御装置１０３ｂとの間でＶＰＮ接続を開始する手順について説明する。まず、ＶＰＮ接続開始処理の全体の流れを、図１０を用いて説明する。論理ネットワーク制御装置１０３ａは、ＬＡＮ１０１ａ（第１のネットワーク）とＬＡＮ１０１ｂ（第２のネットワーク）の間でセキュリティの確保された通信を実現するセキュリティ通信装置である。また、論理ネットワーク制御装置１０３ｂは、論理ネットワーク制御装置１０３ａと同一の機能を有するセキュリティ通信装置である。論理ネットワーク制御装置１０３ａからＬＡＮ１０１ｂの論理ネットワーク制御装置１０３ｂへ送られるメッセージ及び通信データは、ルーター装置１０４ａ、インターネット、ルーター装置１０４ｂを介して、論理ネットワーク制御装置１０３ｂに送られる。

論理ネットワーク制御装置１０３ａは、ＬＡＮ１０１ａ（第１のネットワーク）に接続されるネットワーク接続機器１０２ａから、ＶＰＮの接続開始要求を受信する（Ｆ１０１）。接続開始要求を受信した論理ネットワーク制御装置１０３ａは、接続開始要求に含まれるアプリケーションの識別情報（アプリケーション名）を用いて、対応するアプリケーション特性を検索し、発見されたアプリケーション特性を読み出す（Ｆ１０２）。アプリケーション特性を読み出した論理ネットワーク制御装置１０３ａは、アプリケーションの識別情報（アプリケーション名）及び、読み出されたアプリケーション特性を含む論理ネットワーク接続要求を、論理ネットワーク制御装置１０３ｂに送信する（Ｆ１０３）。先に述べたように、アプリケーション特性は、データタイプ、暗号化の必要性、上位層での暗号化、遅延、優先度などである。この上位層で行われる暗号化などの処理は、ネットワーク接続機器１０２ａによる処理である。

そして、ＬＡＮ１０１ｂ（第２のネットワーク）に接続される論理ネットワーク制御装置１０３ｂは、ＬＡＮ１０１ａ（第１のネットワーク）に接続される論理ネットワーク制御装置１０３ａから送信される論理ネットワーク接続要求を受信する。論理ネットワーク制御装置１０３ｂは、論理ネットワーク接続要求に含まれるアプリケーション名から、論理ネットワーク制御装置１０３ｂに登録されているアプリケーション特性を検索し、発見されたアプリケーション特性を読み出す（Ｆ１０４）。このアプリケーション特性は、ネットワーク接続機器１０２ｂによる処理を表わす。そして、論理ネットワーク制御装置１０３ｂは、Ｆ１０４で読み出されたアプリケーション特性と、Ｆ１０３で受信した論理ネットワーク接続要求に含まれるアプリケーション特性を比較し、ＶＰＮ接続による通信が可能であるか判断する（Ｆ１０５）。Ｆ１０５においてＶＰＮ接続による通信が可能であると判断される場合の例として、比較したアプリケーション特性が同じであった場合のほか、例えば、ネゴシエーションによって、共通のパラメータでＶＰＮ接続ができる可能性が高いと判断した場合などがある。この判断については、後述する。Ｆ１０５において、ＶＰＮ接続による通信が可能であると判断された場合、当該判断結果及びＦ１０４で読み出されたアプリケーション特性を、論理ネットワーク制御装置１０３ａに送信する（Ｆ１０６）。

論理ネットワーク制御装置１０３ａは、Ｆ１０６の判断結果と共に送信されたアプリケーション特性と、Ｆ１０２で読み出されたアプリケーション特性を比較し、ＶＰＮ接続による通信が可能であるか判断する（Ｆ１０７）。この判断についても、後述する。このとき、論理ネットワーク制御装置１０３ａは、Ｆ１０６の判断結果のみに基づいてＶＰＮ接続による通信が可能であると判断しても良い。すなわち、論理ネットワーク制御装置１０３ａは、論理ネットワーク制御装置１０３ｂが通信可能であると判断した場合は、通信可能であると判断してもよい。

Ｆ１０７において、ＶＰＮ接続による通信が可能であると判断された場合、Ｆ１０２で読み出されたアプリケーション特性に基づいて、ＶＰＮ接続に用いるための提案パラメータを決定する（Ｆ１０８）。すなわち、ネットワーク接続機器（通信装置）１０２ａにより行われる処理に応じて、提案パラメータ（変換パラメータの候補）を決定する。尚、このとき、論理ネットワーク制御装置１０３ｂも、同様に、Ｆ１０５において、通信可能であると判断された場合、Ｆ１０４で読み出されたアプリケーション特性に基づいて提案パラメータを決定する（Ｆ１０９）。Ｆ１０８、及びＦ１０９における提案パラメータの決定は、Ｆ１０２、Ｆ１０４でアプリケーション特性が読み出されたあとに行えば良い。また、あらかじめアプリケーション特性に対応する提案パラメータを記憶させておくことも可能である。アプリケーション特性に基づく提案パラメータの決定方法については後述する。

論理ネットワーク制御装置１０３ａと論理ネットワーク制御装置１０３ｂは、Ｆ１０８、及びＦ１０９で決定された提案パラメータを用いて、ＶＰＮ接続に用いるパラメータのネゴシエーションを行う（Ｆ１１０）。このネゴシエーションでは、例えば、ＶＰＮレベルでの通信データの暗号化やバッファリングを行うか否かなどが決定される。また、バッファリングを行う場合は、バッファリングのサイズなどを決めるようにしても良い。

２つの提案パラメータが異なる場合は、論理ネットワーク制御装置１０３ｂの提案パラメータによるＶＰＮ接続を試みてもよい。論理ネットワーク制御装置１０３ｂの提案パラメータを論理ネットワーク制御装置１０３ａに対して送信し、それを論理ネットワーク制御装置１０３ａが受け入れればネゴシエーションが成功したことになる。尚、本実施形態では、比較した提案パラメータが異なっていた場合、論理ネットワーク制御装置１０３ｂの提案パラメータによるＶＰＮ接続を試みることとしたが、論理ネットワーク制御装置１０３ａの提案パラメータでＶＰＮ接続を行うようにしても良い。また、ネットワーク接続機器１０２ａ、１０２ｂが提供するサービスの種別などに基づいて、どちらの提案パラメータを採用するか決めるようにしても良い。さらに、パラメータの項目ごとに、どちらのネットワーク接続機器１０２の提案パラメータを採用するか決めるようにしても良い。

ネゴシエーションが成功した場合、ネゴシエーションで決定されたパラメータを用いたＶＰＮ接続が開始される（Ｆ１１１）。尚、ネゴシエーションの詳細については後述する。

次に、上述のＶＰＮ接続開始処理における論理ネットワーク制御装置１０３ａの処理の流れを、図５のフローチャートを用いて詳細に説明する。論理ネットワーク制御装置１０３ａは、ＬＡＮ１０１ａ（第１のネットワーク）とＬＡＮ１０１ｂ（第２のネットワーク）と間でセキュリティの確保された通信を実現するセキュリティ通信装置である。また、論理ネットワーク制御装置１０３ｂは、論理ネットワーク制御装置１０３ａと同一の機能を有するセキュリティ通信装置である。

Ｓ５０１において、論理ネットワーク制御装置１０３ａの論理ネットワーク制御部３００は、ネットワーク接続機器１０２ａからＶＰＮの接続開始要求を受け付ける。そして、論理ネットワーク制御部３００は、受け付けた接続開始要求に含まれるアプリケーション名をアプリケーション特性判断部３０２に渡し、Ｓ５０２に進む。接続開始要求には、ＶＰＮの接続先情報、認証情報、暗号鍵、アプリケーション名などが含まれている。ここで接続先情報は、論理ネットワーク制御装置１０３ｂに到達可能なアドレスである。また、この接続開始要求に、必要に応じてアプリケーションのバージョンの情報等、他の識別情報が含まれていても良い。

Ｓ５０２において、アプリケーション特性判断部３０２は、Ｓ５０１にて渡されたアプリケーション名に対応するアプリケーション特性を検索する。検索対象のアプリケーション特性が、すでにアプリケーション特性判断部３０２に登録されていた場合、アプリケーション特性判断部３０２は、当該アプリケーション特性を読み出し、Ｓ５０４に進む。アプリケーション特性判断部３０２が、アプリケーション名に対応するアプリケーション特性を保持していなかった場合、Ｓ５０３に進む。先に述べたように、アプリケーション特性は、データタイプ、暗号化の必要性、上位層での暗号化、遅延、優先度などである。この上位層で行われる暗号化などの処理は、ネットワーク接続機器１０２ａによる処理である。

Ｓ５０３において、アプリケーション特性判断部３０２は、デフォルトアプリケーション特性を含む論理ネットワーク接続要求を論理ネットワーク制御装置１０３ｂに送信し、Ｓ５０５に進む。デフォルトアプリケーション特性とは、最も利用頻度の高いアプリケーションを想定して作成された既定値である。ただし、デフォルトアプリケーション特性は、アプリケーションの利用頻度以外の情報に基づいて作成しても良い。本実施形態のデフォルトアプリケーション特性は、リアルタイム通信アプリケーションのアプリケーション特性に基づいて作成されているものとする。

Ｓ５０４において、アプリケーション特性判断部３０２は、Ｓ５０１で受信したアプリケーション名、及びＳ５０２で読み出されたアプリケーション特性を含む論理ネットワーク接続要求を論理ネットワーク制御装置１０３ｂに送信し、Ｓ５０５に進む。

論理ネットワーク制御装置１０３ｂのアプリケーション特性判断部３０２は、論理ネットワーク制御装置１０３ａから送信されたアプリケーション名を用いて、アプリケーション特性判断部３０２に登録されているアプリケーション特性を検索する。そして、該当するアプリケーション特性が登録されていた場合、アプリケーション特性判断部３０２は、Ｓ５０４で送信されてきたアプリケーション特性との比較を行う。また、該当するアプリケーション特性が登録されていない場合、アプリケーション特性判断部３０２は、デフォルトアプリケーション特性とＳ５０４で送信されてきたアプリケーション特性との比較を行う。その比較の結果、２つのアプリケーション特性に応じたＶＰＮ接続が可能であるか否かを判断し、その判断結果を論理ネットワーク制御装置１０３ａに送信する。ここで、２つのアプリケーション特性に応じたＶＰＮ接続が可能であると判断された場合、論理ネットワーク制御装置１０３ｂに登録されていたアプリケーション特性の情報を、判断結果とともに論理ネットワーク制御装置１０３ａに送信する。この判断については、後述する。

Ｓ５０５では、論理ネットワーク制御装置１０３ａのアプリケーション特性判断部３０２が、論理ネットワーク制御装置１０３ｂから送信された判断結果、及びアプリケーション特性を受信する。即ち、論理ネットワーク制御装置１０３ａのアプリケーション特性判断部３０２は、ＬＡＮ１０１ｂ（第２のネットワーク）に接続されたネットワーク接続機器１０２ｂ（通信装置）により行われる通信データに対する処理の内容（アプリケーション特性）を受信する。

そして、受信された情報に基づいて、論理ネットワーク制御装置１０３ｂとの間でＶＰＮ接続が可能であるか否かの判断を行う。アプリケーション特性判断部３０２が、アプリケーション特性に応じたＶＰＮ接続が可能であると判断した場合、Ｓ５０６に進む。アプリケーション特性判断部３０２が、アプリケーション特性に応じたＶＰＮ接続が不可能であると判断した場合、Ｓ５１０に進む。ＶＰＮ接続が不可能であると判断される場合の例として、論理ネットワーク制御装置１０３ｂからアプリケーション特性を取得できなかった場合や、トランスポートプロトコルが通信不可能である場合がある。また、他にも、何らかの理由により論理ネットワーク制御装置１０３ｂがダウン、または、ＬＡＮ１０１ｂから切断されている場合もある。Ｓ５０３、Ｓ５０４、Ｓ５０５のような処理を行うことにより、論理ネットワーク制御装置１０３ａは、ネットワークの接続先の通信装置（ネットワーク接続機器１０２ｂ）のアプリケーションにとっても、適したパラメータで通信が行えることを確認できる。ただし、これらの処理は行わなくても構わない。

Ｓ５０６（判断手順）において、ネゴシエーション部３０１は、Ｓ５０２にて読み出されたアプリケーション特性の情報に基づいて、ＶＰＮ接続に用いるための提案パラメータを決定し、Ｓ５０７に進む。即ち、ネゴシエーション部３０１は、通信実行時に、通信データに対してネットワーク接続機器１０２ａ（通信装置）における、通信のための設定（アプリケーションの特性）を判断する。そして、ネゴシエーション部３０１は、その設定に基づいて、論理ネットワーク制御装置１０３ｂに提案するパラメータを決定する。即ち、ネゴシエーション部３０１は、ネットワーク接続機器１０２ａ（通信装置）の設定（アプリケーション特性）に応じて、論理ネットワーク制御装置１０３ａによる通信データの変換に関するパラメータの候補（提案パラメータ）を決定する。尚、ネゴシエーション部３０１は、Ｓ４０２で登録されている識別情報７０１を用いて、ネットワーク接続機器１０２ａ（通信装置）の設定（アプリケーション特性）を判断している。ここで、識別情報７０１とは、前述のように、アプリケーション名、バージョン、ネットワーク接続機器１０２ａのＩＰアドレス、当該アプリケーションで利用するポート番号などである。また、先に述べたように、アプリケーション特性７０２は、データタイプ、暗号化の必要性、上位層での暗号化、遅延、優先度などであり、これらは、ネットワーク接続機器１０２ａの設定を表わす。論理ネットワーク制御装置１０３ａと１０３ｂは、ネットワーク接続機器１０２ａと１０２ｂとの間の通信に必要な処理のうち、ネットワーク接続機器１０２ａと１０２ｂが行う処理では足りない処理を実行する。提案パラメータは、このネットワーク接続機器１０２ａと１０２ｂが行う処理では足りない処理に相当する。

Ｓ５０７において、ネゴシエーション部３０１は、論理ネットワーク制御装置１０２ｂとＶＰＮ接続に用いるパラメータのネゴシエーションを行う。ネゴシエーションを行うことで、論理ネットワーク制御装置１０３ａは、ネットワーク接続機器１０２ａとネットワーク接続機器１０２ｂのアプリケーションの特性を考慮したＶＰＮ接続のパラメータで通信を行うことができる。ネットワーク接続機器１０２ｂは、ネットワークの接続先の通信装置である。ただし、Ｓ５０６で決定された提案パラメータを用いてＶＰＮ接続を開始するよう、論理ネットワーク制御装置１０３ｂに指示しても良い。また、Ｓ５０６における提案パラメータの決定とネゴシエーションの詳細は後述する。このようにして、論理ネットワーク制御装置１０３ａが、ネットワーク接続機器１０２ａによる処理に応じて、ネットワーク接続機器１０２ａからネットワーク接続機器１０２ｂへ送信されるデータに対して、どのようにセキュリティを確保するための変換を行うかが決定される。

Ｓ５０７のネゴシエーションが成功した場合、Ｓ５０８に進む。ネゴシエーションが何らかの理由により失敗した場合、Ｓ５１０に進む。

Ｓ５０８において、論理ネットワーク制御装置１０３ａの論理ネットワーク制御部３００は、論理ネットワーク制御装置１０３ｂとの間で、Ｓ５０７のネゴシエーションによって決定したパラメータによるＶＰＮ接続を開始し、Ｓ５０９に進む。即ち、論理ネットワーク制御部３００は、ネットワーク接続機器１０２ａによる処理の行われた通信データを受信する（受信手順）。そして、ネゴシエーション部３０１により判断された設定に応じて、受信した通信データを、セキュリティを確保するための変換をする（変換手順）。さらに、論理ネットワーク制御部３００は、変換された通信データをＬＡＮ１０１ｂ（第２のネットワーク）に接続された論理ネットワーク制御装置１０３ｂへ送信する（送信手順）。一方、論理ネットワーク制御部３００は、ＬＡＮ１０１ｂ（第２のネットワーク）の論理ネットワーク制御装置１０３ｂから送信される、セキュリティを確保するための処理の行われた通信データを受信する。そして、受信された通信データを、ネゴシエーション部３０１により判断された設定に応じて変換する。さらに、変換された通信データをＬＡＮ１０１ａに接続されるネットワーク接続機器１０２ａに送信する。

Ｓ５０９において、論理ネットワーク制御部３００は、ネットワーク接続機器１０２ａのアプリケーションに、ＶＰＮ接続の完了を通知し、ＶＰＮ接続の開始処理を終了する。

Ｓ５１０において、論理ネットワーク制御部３００は、ネットワーク接続機器１０２ａのアプリケーションに、ＶＰＮ接続に失敗したことを示すメッセージ、及びアプリケーション特性の変更を促すメッセージを通知し、Ｓ５１１に進む。

Ｓ５１１において、論理ネットワーク制御部３００は、ネットワーク接続機器１０２ａのアプリケーションからアプリケーション特性の変更要求が入力されたか否かの判断を行う。論理ネットワーク制御部３００がネットワーク接続機器１０２ａのアプリケーションからアプリケーション特性の変更要求が入力されたと判断した場合、論理ネットワーク制御部３００は新たなアプリケーション特性を受信する。論理ネットワーク制御部３００は新たなアプリケーション特性をアプリケーション特性判断部３０２に渡し、Ｓ５０４に進む。

Ｓ５１１において、論理ネットワーク制御部３００がネットワーク接続機器１０２ａのアプリケーションからアプリケーション特性の変更要求が入力されなかったと判断した場合、ＶＰＮ接続の開始処理を終了する。即ち、論理ネットワーク制御部３００は、論理ネットワーク制御装置１０３ｂからデータ（提案パラメータ）の受信する。そして、受信したデータが、ＬＡＮ１０１ａ（第１のネットワーク）とＬＡＮ１０１ｂ（第２のネットワーク）間の通信ができないことを示すデータであった場合、ネットワーク接続機器１０２ａ（通信装置）による処理（アプリケーション特性）の変更を受け付ける。Ｓ５１１において、論理ネットワーク制御部３００がアプリケーション特性の変更要求が入力されなかったと判断する場合として、ネットワーク接続機器１０２ａが、アプリケーション特性を変更しないというメッセージを送信する場合がある。また、論理ネットワーク制御装置１０３ａの論理ネットワーク制御部３００が、ある一定時間待つことによって、アプリケーション特性の変更を要求していないと判断することもできる。このように、論理ネットワーク制御部３００は、能動的、あるいは、受動的にアプリケーション特性の変更に関する判断を行うことができる。また、ネットワーク接続機器１０２ｂで、アプリケーション特性を変更するようにしてもよい。

このように、ＶＰＮの接続に失敗したときに、アプリケーション特性の変更を受け付けることで、通信装置（ネットワーク接続機器）による通信データの処理に応じたネットワーク接続のパラメータを効率良く決定することができる。ただし、この処理を行わなくても構わない。

以上のように、まず、論理ネットワーク制御装置１０３ａ（セキュリティ通信装置）は、あらかじめネットワーク接続機器１０２ａ（通信装置）から登録されたアプリケーション情報を用いて、通信実行時に、通信装置における通信のための設定を判断する。そして、判断された設定に応じて通信データを変換している。このようにすることで、セキュリティ通信装置によるネットワークの接続に基づいて、通信装置がデータの送受信を行う際に、セキュリティ通信装置は、通信装置が通信データに対して行う処理を考慮してネットワークを接続できる。

次に、Ｓ５０６におけるＶＰＮ接続に用いる提案パラメータの決定及び、Ｓ５０７で行われる、論理ネットワーク制御装置１０３ａと論理ネットワーク制御装置１０３ｂ間のネゴシエーションの手順について、例を挙げて説明する。まず、Ｓ５０６において、論理ネットワーク制御装置１０３ａのネゴシエーション部３０１は、Ｓ５０２にて読み出されたアプリケーション特性の情報に基づいて、提案パラメータの決定を行う。提案パラメータは、セキュリティ通信装置により行われる通信データの変換に関するパラメータの候補である。図９は、アプリケーション毎の提案パラメータ（アプリケーション特性から決定される提案パラメータ）の一例である。

図９の番号９０１に示されるアプリケーション１〜６は、図８の番号８０１のアプリケーション１〜６にそれぞれ対応している。

トランスポートプロトコル９０２は、ＶＰＮ接続に使用されるトランスポートプロトコルを示すパラメータで、本実施形態では、優先的にＵＤＰが利用される。しかし、接続環境、および、ネットワーク環境に応じて、ＴＣＰ等の他のトランスポートプロトコルでの接続を行うことも可能である。

パケット暗号化９０３は、ＶＰＮ接続そのものに暗号化の処理を行うか否かを示すパラメータである。パケット暗号化９０３が必要ありの場合、論理ネットワーク制御装置１０３によりパケットが暗号化されたＶＰＮ接続が行われ、必要なしの場合、論理ネットワーク制御装置１０３によりパケットが暗号化されないＶＰＮ接続が行われる。

パケット圧縮９０４は、ＶＰＮ接続を行う際にパケットの圧縮を行うか否かを示すパラメータである。パケット圧縮９０４が可能の場合、論理ネットワーク制御装置１０３間でパケット圧縮が行われ、不可の場合、論理ネットワーク制御装置１０３間でのパケット圧縮は行われない。

バッファリング９０５は、ＶＰＮ接続を行う際にパケットをバッファリングするか否かを示すパラメータである。可能の場合、論理ネットワーク制御装置１０３は、パケットのバッファリングを行い、不可の場合、論理ネットワーク制御装置１０３は、パケットのバッファリングを行わない。尚、バッファリング９０５が可能の場合、バッファリングのサイズをパラメータに含めても良い。

優先制御９０６は、ＶＰＮ接続を行う際のパケットの優先度を示したパラメータである。優先制御９０６が高の場合、論理ネットワーク制御装置１０３は、そのアプリケーションのデータを最も優先的に処理を行う。中の場合、論理ネットワーク制御装置１０３は、一般的な優先度で処理を行う。低の場合、論理ネットワーク制御装置１０３は、他のアプリケーションのデータを優先して処理を行う。

例えば、図７に示したアプリケーションの場合、アプリケーション特性は、図８のアプリケーション２に相当する。すなわち、暗号化の必要はあり、上位層での暗号化はしない、遅延は低遅延、優先度は中である。そして、ネゴシエーション部３０１は、Ｓ５０６にて、当該アプリケーション特性から、図９のアプリケーション２に示されるようにＶＰＮ接続に用いる提案パラメータを決定する。即ち、トランスポートプロトコル９０２はＵＤＰ、パケット暗号化９０３は必要あり、パケット圧縮９０４は不可、バッファリング９０５は不可、優先制御９０６は中となる。なお、この場合、暗号化は必要あるが、上位層（ネットワーク接続機器１０２ａ）では暗号化しないので、論理ネットワーク制御装置１０３ａで暗号化を行う。

さらに、Ｓ５０６における提案パラメータの決定について、図８のアプリケーション３を例に挙げて説明する。アプリケーション３では、暗号化８０３がｙｅｓ（する）、上位層暗号化８０４がｙｅｓ（する）となっている。これは、先に述べたように、通信データの暗号化が必要であること、及び上位層であるアプリケーションレベルで通信データの暗号化が行われることを示している。ここで、利用するアプリケーション３が通信データの暗号化を必要としていた場合であっても、アプリケーションレベルで通信データの暗号化が行われる場合、ＶＰＮでさらに暗号化をする必要は、必ずしも、ない。そこで、ネゴシエーション部３０１は、図９のアプリケーション３に示されるように、暗号化されたＶＰＮ接続を行うか否かを示すパケット暗号化９０３の項目を、必要なしとして提案パラメータを決定している。即ち、ネゴシエーション部３０１は、通信実行時に、ネットワーク接続機器１０２ａ（通信装置）における通信のための設定（アプリケーションの特性）を判断する。この場合、ネットワーク接続機器１０２ａが暗号化を行うことを判断する。そして、ネゴシエーション部３０１は、その設定に基づいて、論理ネットワーク制御装置１０３ｂに提案するパラメータを決定する。

また、Ｓ５０６において、利用するアプリケーションが許容する遅延量を判断し、判断された遅延量とＶＰＮによるカプセル化や暗号化にかかる遅延量に基づいてバッファリング量やパケット圧縮の有無等の提案パラメータを決定することができる。このようにすることで、通信装置の設定を考慮したネットワークの接続を実現できる。

上記パラメータはあくまでも一例であり、他のパラメータを適用することも可能である。なお、論理ネットワーク制御装置１０３ｂも、論理ネットワーク制御装置１０３ａと同様に、提案パラメータを決定する。

次に、論理ネットワーク制御装置１０３ａと論理ネットワーク制御装置１０３ｂとの間で行われる、ネゴシエーション（Ｓ５０７）の手順について説明する。

論理ネットワーク制御装置１０３ａのネゴシエーション部３０１は、Ｓ５０６で決定された提案パラメータ（セキュリティ通信装置によって行う通信データの変換に関するパラメータの候補）を論理ネットワーク制御装置１０３ｂに対して送信する。即ち、論理ネットワーク制御装置１０３ａのネゴシエーション部３０１は、Ｓ５０６で決定された提案パラメータをＬＡＮ１０１ｂ（第２のネットワーク）に接続された論理ネットワーク制御装置１０３ｂ（第２のセキュリティ通信装置）に送信する。論理ネットワーク制御装置１０３ａから提案パラメータを受けた論理ネットワーク制御装置１０３ｂのネゴシエーション部３０１は、自身が決定した提案パラメータとの比較を行う。ここで、パラメータが一致していた場合は、ネゴシエーションが成功したと判断し、一致したパラメータを用いてＶＰＮ接続が行われる。一方、提案パラメータが異なっていると判断された場合は、論理ネットワーク制御装置１０３ａと論理ネットワーク制御装置１０３ｂの間でメッセージ交換を行い、ＶＰＮ接続に用いるパラメータを決める。

本実施形態では、２つの提案パラメータが異なっていると判断した場合、例えば、論理ネットワーク接続要求（Ｓ５０３、５０４）の受信側である、論理ネットワーク制御装置１０３ｂの提案パラメータを用いたＶＰＮ接続を試みる。即ち、交換されるメッセージには、論理ネットワーク制御装置１０３ｂが、自身の提案パラメータを、論理ネットワーク制御装置１０３ａに通知するためのメッセージが含まれる。そして、論理ネットワーク制御装置１０３ａのネゴシエーション部３０１は、論理ネットワーク制御装置１０３ｂが決定した提案パラメータを受信する。さらに、論理ネットワーク制御装置１０３ａの論理ネットワーク制御部３００は、受信されたデータ（提案パラメータ）に応じて、通信データを変換する。ただし、論理ネットワーク制御装置１０３ａの提案パラメータでＶＰＮ接続を行うようにすることもできる。また、ネットワーク接続機器１０２ａ、１０２ｂが提供するサービスの種別などに基づいて、どちらの提案パラメータを採用するか決めるようにしても良い。さらに、パラメータの項目ごとに、どちらのネットワーク接続機器１０２の提案パラメータを採用するか決めるようにしても良い。

論理ネットワーク制御装置１０３ａは、論理ネットワーク制御装置１０３ｂが提案したパラメータを受け入れる場合は、Ｓ５０８に進み、ＶＰＮ接続を開始する。一方、論理ネットワーク制御装置１０３ａは、論理ネットワーク制御装置１０３ｂが提案したパラメータを受け入れない場合は、Ｓ５１０に進み、ネットワーク接続機器１０２ａに、ＶＰＮ接続に失敗したことを示すメッセージ、及びアプリケーション特性の変更を促すメッセージを通知する。

論理ネットワーク制御装置１０３ａが、提案パラメータを受け入れる場合の例を説明する。例えば、論理ネットワーク接続要求（Ｓ５０３、５０４）の送信側である論理ネットワーク制御装置１０３ａ側の、暗号化に関するアプリケーション特性が、暗号化８０３がｎｏ（しない）、上位層暗号化８０４がｎｏ（しない）であったとする。一方、論理ネットワーク接続要求の受信側である論理ネットワーク制御装置１０３ｂ側の暗号化に関するアプリケーション特性は、暗号化８０３がｙｅｓ（する）で、上位層暗号化８０４がｎｏ（しない）であったとする。この場合、論理ネットワーク制御装置１０３ａ（及びｂ）は、Ｓ５０５において、アプリケーション特性に応じた接続は可能と判断する。そして、Ｓ５０６において、論理ネットワーク制御装置１０３ａは、通信データの暗号化が必要ないと判断し、ＶＰＮレベルでの通信データの暗号化を行わない（パケット暗号化９０３が必要なし）ように、提案パラメータを決定する。それに対し、論理ネットワーク制御装置１０３ｂで決定した提案パラメータは、ＶＰＮレベルの暗号化を行うことを示す（パケット暗号化９０３が必要あり）パラメータを提案する。この場合、論理ネットワーク制御装置１０３ａは、ＶＰＮレベルでの暗号化を行うように、自身のパラメータを変更する。

また、例えば、論理ネットワーク制御装置１０３ａ側の暗号化に関するアプリケーション特性が、暗号化８０３がｙｅｓ（する）で、上位層暗号化８０４がｙｅｓ（する）であったとする。そして、論理ネットワーク制御装置１０３ｂ側のアプリケーション特性が、暗号化８０３がｙｅｓ（する）で、上位層暗号化８０４がｙｅｓ（する）であったとする。さらに、このとき、論理ネットワーク制御装置１０３ａの提案パラメータが、パケット暗号化９０３が必要なしで、論理ネットワーク制御装置１０３ｂの提案パラメータが、パケット暗号化９０３が必要ありであったとする。この場合、論理ネットワーク制御装置１０３ａは、接続先のアプリケーションで、通信データの２重の暗号化が要求されていると判断し、提案されたパラメータを受け入れるようにすることができる。

一方、論理ネットワーク制御装置１０３ａが、論理ネットワーク制御装置１０３ｂから送信された提案パラメータを受け入れない場合の例を挙げる。例えば、論理ネットワーク制御装置１０３ａ側のアプリケーション特性は、暗号化８０３がｙｅｓ（する）、上位層暗号化８０４がｎｏ（しない）となっていたとする。一方、論理ネットワーク制御装置１０３ｂ側のアプリケーション特性は、暗号化８０３がｎｏ（しない）、上位層暗号化８０４がｎｏ（しない）であったとする。即ち、暗号化の必要性に関するアプリケーション特性は異なるが、上位層暗号化に関するアプリケーション特性は同じである場合である。このような場合、Ｓ５０５において、論理ネットワーク制御装置１０３ａは、アプリケーション特性に基づくＶＰＮ接続が可能であると判断する。また、論理ネットワーク制御装置１０３ｂも同様に、アプリケーション特性に基づくＶＰＮ接続が可能であると判断する。

そして、論理ネットワーク制御装置１０３ａは、Ｓ５０６において、パケット暗号化９０３（ＶＰＮレベルでの暗号化）を必要ありとして提案パラメータを決定する。しかしながら、論理ネットワーク制御装置１０３ｂから提案されたパラメータがＶＰＮレベルの暗号化を行わないことを示していたとする。

この場合、論理ネットワーク制御装置１０３ｂからの提案パラメータを受け入れてしまうと、通信データの暗号化が必要な論理ネットワーク１０３ａのアプリケーションにおける通信で、上位層、及びＶＰＮレベルのどちらでも暗号化がされずに通信が行われてしまう。そこで、このような場合は、論理ネットワーク制御装置１０３ａは、提案されたパラメータを受け入れないようにする。また、このような場合、論理ネットワーク制御装置１０３ａがＳ５０６で決定した提案パラメータを、論理ネットワーク制御装置１０３ｂに提案するようにしても良い。

このように、ネゴシエーションを行うことで、ネットワークの接続先の通信装置（ネットワーク接続機器１０２ｂ）のアプリケーションの特性を考慮したＶＰＮ接続のパラメータで通信を行うことができる。ただし、Ｓ５０６で決定された提案パラメータを用いてＶＰＮ接続を開始するよう、論理ネットワーク制御装置１０３ｂに指示しても良い。

論理ネットワーク制御装置１０３ａの論理ネットワーク制御部３００は、論理ネットワーク制御装置１０３ｂとの間で行うＶＰＮ接続を、上記のようにして決定されたパラメータに基づいて行う。即ち、論理ネットワーク制御部３００は、ネゴシエーション部３０１により判断された設定（ネットワーク接続機器１０２ａが用いるアプリケーションの特性）に応じて、通信データの変換を行う。そして、変換された通信データを論理ネットワーク制御装置１０３ｂに送信する。

次に、論理ネットワーク接続要求を受けた論理ネットワーク制御装置１０３ｂの処理について、図６を用いて説明する。図６は、図１０における論理ネットワーク制御装置１０３ｂが、論理ネットワーク接続要求の受信から始まるＶＰＮの接続開始処理の流れを示すフローチャートである。なお、論理ネットワーク制御装置１０３ａも、論理ネットワーク制御装置１０３ｂから論理ネットワーク接続要求を受信した場合は、この図６と共通の処理を行う。

Ｓ６０１において、論理ネットワーク制御装置１０３ｂの論理ネットワーク制御部３００は、論理ネットワーク制御装置１０３ａから、論理ネットワーク接続要求を受信する。論理ネットワーク制御部３００は、受信した論理ネットワーク接続要求に含まれるアプリケーション名、及びアプリケーション特性をアプリケーション特性判断部３０２に渡し、Ｓ６０２に進む。

Ｓ６０２において、アプリケーション特性判断部３０２は、Ｓ６０１にて渡されたアプリケーション名に対応するアプリケーション特性の検索を行う。アプリケーション特性判断部３０２が、アプリケーション特性の検索に成功した場合、Ｓ６０４に進む。アプリケーション特性判断部３０２が、取得したアプリケーション名に該当するアプリケーション特性の検索に失敗した場合、Ｓ６０３に進む。

Ｓ６０３において、アプリケーション特性判断部３０２は、デフォルトアプリケーション特性を読み出し、Ｓ６０５に進む。Ｓ６０４において、アプリケーション特性判断部３０２は、Ｓ６０２の検索によって得られたアプリケーション特性を読み出し、Ｓ６０５に進む。

Ｓ６０５において、アプリケーション特性判断部３０２は、Ｓ６０１で受信したアプリケーション特性と、Ｓ６０３或いはＳ６０４において読み出したアプリケーション特性の比較を行う。そして、論理ネットワーク制御装置１０３ｂのアプリケーション特性判断部３０２は、上記２つのアプリケーション特性に応じたＶＰＮ接続が可能であるかどうかの判断を行う。Ｓ６０５でアプリケーション特性に応じたＶＰＮ接続が可能であると判断される場合の例として、例えば、図８に示したアプリケーション特性のうち、優先度８０６のみが異なるようなアプリケーション特性の組み合わせが挙げられる。この場合、例えば、後述するネゴシエーションにおいて、優先度８０６が高い、即ち、アプリケーションがより優先的な処理を要求しているほうに合わせてＶＰＮ接続のパラメータを決定する。また、他の例として、例えば、論理ネットワーク制御装置１０３ａ側の暗号化８０３がｙｅｓ（する）、上位層暗号化８０４がｎｏ（しない）の場合を考える。このとき、論理ネットワーク制御装置１０３ｂ側の暗号化８０３がｎｏ（しない）、上位層暗号化８０４がｎｏ（しない）の場合、ＶＰＮ接続が可能と判断される。この場合、後述のネゴシエーションによって、ＶＰＮレベルでの暗号化を行う（パケット暗号化９０３を必要あり）ようにすることにより、ＶＰＮ接続を行える可能性がある。

一方、Ｓ６０５でアプリケーション特性に応じたＶＰＮ接続が不可能であると判断される場合の例として、例えば、上位層暗号化８０４のアプリケーション特性が異なる場合が挙げられる。この場合、ＶＰＮ接続におけるパラメータをどのようにしても、ＶＰＮ接続に基づくネットワーク接続機器１０２間の通信はできないと判断する。よって、このような場合、アプリケーション特性判断部３０２は、Ｓ６０５において、アプリケーション特性に応じたＶＰＮ接続ができないと判断する。また、本実施形態のアプリケーション特性判断部３０２は、アプリケーションが扱うデータタイプ８０２が異なる場合も、アプリケーション特性に応じたＶＰＮ接続ができないと判断する。

アプリケーション特性判断部３０２がアプリケーション特性に応じたＶＰＮ接続が可能であると判断した場合、当該判断を示す判断結果とＳ６０３又はＳ６０４で読み出したアプリケーション特性を、論理ネットワーク制御装置１０３ａに送信し（Ｓ６０５５）、Ｓ６０６に進む。アプリケーション特性判断部３０２がアプリケーション特性に応じたＶＰＮ接続が不可能であると判断した場合、当該判断を示す判断結果を論理ネットワーク制御装置１０３ａに送信し、Ｓ６１０に進む。Ｓ６０６において、論理ネットワーク制御装置１０３ｂのネゴシエーション部３０１は、Ｓ６０３或いはＳ６０４で読み出されたアプリケーション特性に基づいて、提案パラメータを決定し、Ｓ６０７に進む。アプリケーション特性に基づいた提案パラメータの決定手順については、前述の通りである。

Ｓ６０７において、論理ネットワーク制御装置１０３ｂのネゴシエーション部３０１は、論理ネットワーク制御装置１０３ａとの間で、ＶＰＮ接続に用いるパラメータのネゴシエーションを行う。

ここで、論理ネットワーク制御装置１０３ａから論理ネットワーク接続要求を受信した論理ネットワーク制御装置１０３ｂにおけるネゴシエーションの手順を説明する。まず、論理ネットワーク制御装置１０３ａから、提案パラメータを受信する。そして、論理ネットワーク制御装置１０３ｂのネゴシエーション部３０２は、論理ネットワーク制御装置１０３ａから受信した提案パラメータとＳ６０６で決定した提案パラメータとの比較を行う。ここで、提案パラメータが一致していた場合は、ネゴシエーションが成功したと判断され、一致したパラメータを用いてＶＰＮ接続が行われる。一方、提案パラメータが異なっていると判断された場合は、論理ネットワーク制御装置１０３ｂと論理ネットワーク制御装置１０３ａとの間でメッセージ交換を行い、ＶＰＮ接続に用いるパラメータを決める。本実施形態では、２つの提案パラメータが異なる場合、まず、論理ネットワーク接続要求（Ｆ１０３）の受信側である、論理ネットワーク制御装置１０３ｂの提案パラメータによるＶＰＮ接続を試みる。即ち、交換されるメッセージには、論理ネットワーク制御装置１０３ｂが、自身の提案パラメータを、論理ネットワーク制御装置１０３ａに通知するためのメッセージが含まれる。ただし、論理ネットワーク制御装置１０３ａの提案パラメータでＶＰＮ接続を行うようにすることもできる。また、ネットワーク接続機器１０２ａ、１０２ｂが提供するサービスの種別などに基づいて、どちらの提案パラメータを採用するか決めるようにしても良い。さらに、パラメータの項目ごとに、どちらのネットワーク接続機器１０２の提案パラメータを採用するか決めるようにしても良い。

ネゴシエーションが成功した場合、Ｓ６０８に進む。ネゴシエーションが何らかの理由により失敗した場合、Ｓ６１０に進む。

Ｓ６０８において、論理ネットワーク制御装置１０３ｂの論理ネットワーク制御部３００は、Ｓ６０７で決定したパラメータを用いて論理ネットワーク制御装置１０３ａとの間でＶＰＮ接続を開始し、Ｓ６０９に進む。

Ｓ６０９において、論理ネットワーク制御部３００は、ネットワーク接続機器１０２ｂのアプリケーションにＶＰＮ接続の完了を通知し、処理を終了する。

Ｓ６１０において、論理ネットワーク制御部３００は、論理ネットワーク制御装置１０３ａから、Ｓ５１１の処理によって変更されたアプリケーション特性が送信されてきたか否かを判断する。論理ネットワーク制御部３００が論理ネットワーク制御装置１０３ａから送信された、新たなアプリケーション特性を受信した場合、Ｓ６０５に進む。

Ｓ６１０において、論理ネットワーク制御部３００が論理ネットワーク制御装置１０３ａから、変更されたアプリケーション特性が送信されなかったと判断した場合、処理を終了する。

Ｓ６１０において、論理ネットワーク制御部３００が変更されたアプリケーション特性が送信されなかったと判断する場合として、論理ネットワーク制御装置１０３ａから、アプリケーション特性を変更しないというメッセージを受信する場合がある。また、論理ネットワーク制御部３００が、ある一定時間待つことによって、アプリケーション特性の変更がないと判断することもできる。このように、論理ネットワーク制御部３００は、能動的、あるいは受動的に判断を行うことができる。また、ネットワーク接続機器１０２ｂにおいて、アプリケーション特性を変更するようにしてもよい。

尚、本実施形態のＶＰＮは、レイヤ２ＶＰＮ、レイヤ３ＶＰＮ、など、１つのＶＰＮに限るものではなく、様々な種類のＶＰＮに適用することもできる。また、本実施形態では、一対の論理ネットワーク制御装置の例を示したが、これに限らず、複数の論理ネットワーク制御装置が接続されていてもよい。その場合、論理ネットワーク制御装置間のネゴシエーションは、複数機器間で論理ネットワーク用のパラメータを含むメッセージの交換が行われ、論理ネットワークのパラメータが決定される。

以上、本発明の一実施形態を示した。

＜実施形態２＞
本発明の目的は、次の形態によっても達成される。即ち、前述した実施形態の機能を実現するソフトウエアのプログラムコードを記録した記録媒体を、システムあるいは装置に供給する。そして、そのシステムあるいは装置のコンピュータ（またはＣＰＵまたはＭＰＵ）が記録媒体に格納されたプログラムコードを読み出し実行する形態である。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することとなり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになる。

プログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤなどを用いることができる。

また、本発明は、コンピュータが読み出したプログラムコードを実行することにより、前述した実施例の機能が実現される形態には限られない。すなわち、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯｐｅｒａｔｉｎｇＳｙｓｔｅｍ（ＯＳ）などが実際の処理の一部または全部を行い、その処理によって前述した実施例の機能が実現される場合も含まれる。

さらに、本発明には、以下の形態も含まれる。すなわち、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書きこまれる。その後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される形態である。

本実施形態におけるネットワークシステムの構成図である。本実施形態に係る論理ネットワーク制御装置１０３ａのハードウェア構成図である。本実施形態に係る論理ネットワーク制御装置１０３ａのモジュール構成図である。本実施形態に係るアプリケーション情報の登録処理の流れを示すフローチャートである。本実施形態に係るＶＰＮの接続開始処理の流れを示すフローチャートである。本実施形態において論理ネットワーク制御装置が論理ネットワーク接続要求の受信時に行う処理の流れを示すフローチャートである。本実施形態において、ネットワーク接続装置１０２ａから送信されたアプリケーション情報の例である。本実施形態における、アプリケーション特性判断部に登録されるアプリケーション特性の例である。本実施形態における、アプリケーション特性から決定されるパラメータの例である。ＶＰＮ接続開始処理の全体の流れを示す図である。

符号の説明

１０２ａ、１０２ｂネットワーク接続機器
１０３ａ、１０３ｂ論理ネットワーク制御装置
３００論理ネットワーク制御部
３０１ネゴシエーション部
３０２アプリケーション特性判断部

Claims

第１のネットワークと第２のネットワークの間で通信を実現するセキュリティ通信装置であって、
前記第１のネットワークに接続する接続手段と、
通信実行時に、前記第１のネットワークに接続された通信装置がセキュリティの確保された通信を行うための処理を行うか否かを示す第１の設定を判断し、かつ、前記通信装置がセキュリティの確保された通信を必要とするか否かを示す第２の設定を判断する判断手段と、
前記通信装置がセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置がセキュリティの確保された通信を行うための処理を行うことを前記第１の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行わないことを決定し、
前記通信装置がセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置がセキュリティの確保された通信を行うための処理を行わないことを前記第１の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行うことを決定し、
前記通信装置がセキュリティの確保された通信を必要としないことを前記第２の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行わないことを決定する決定手段と、
前記決定手段の決定に応じてセキュリティの確保された通信を行うための処理を行う処理手段と
を有することを特徴とするセキュリティ通信装置。
前記第２のネットワークに接続されたセキュリティ通信装置がセキュリティの確保された通信を行うか否かについて決定した処理の内容を受信する受信手段を有し、
前記決定手段は、前記受信手段が受信した処理の内容に応じて、前記第１のネットワークに接続されたセキュリティ通信装置はセキュリティの確保された通信を行うための処理を行うか否かについて決定する
ことを特徴とする請求項１記載のセキュリティ通信装置。
前記受信手段が、前記第１のネットワークと第２のネットワークの間で通信ができないことを示すデータを前記第２のネットワークに接続されたセキュリティ通信装置から受信した場合、前記通信装置の設定の変更を受け付ける受付手段
を有することを特徴とする請求項２記載のセキュリティ通信装置。
前記第１のネットワークに接続された通信装置の設定と、当該設定の識別情報とを対応付けてあらかじめ記憶する記憶手段を有し、
前記判断手段は、前記記憶手段によって記憶されている設定の識別情報に基づいて、前記第１のネットワークに接続された通信装置の前記第１の設定を判断する
ことを特徴とする請求項１に記載のセキュリティ通信装置。
前記判断手段は、通信実行時に、前記第１のネットワークに接続された通信装置が通信に利用するアプリケーションがセキュリティの確保された通信を行うための処理を行うか否かを示す第１の設定を判断し、かつ、前記第１のネットワークに接続された通信装置が通信に利用するアプリケーションがセキュリティの確保された通信を必要とするか否かを示す第２の設定を判断し、
前記決定手段は、前記通信装置が通信に利用するアプリケーションがセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって、前記通信装置が通信に利用するアプリケーションがセキュリティの確保された通信を行うための処理を行うことを前記第１の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行わないことを決定し、
前記通信装置が通信に利用するアプリケーションがセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置が通信に利用するアプリケーションがセキュリティの確保された通信を行うための処理を行わないことを前記第１の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行うことを決定する
ことを特徴とする請求項１に記載のセキュリティ通信装置。
第１のネットワークに接続されたセキュリティ通信装置が、前記第１のネットワークと第２のネットワークの間で通信を実現するセキュリティ通信方法であって、
通信実行時に、前記第１のネットワークに接続された通信装置がセキュリティの確保された通信を行うための処理を行うか否かを示す第１の設定を判断し、かつ、前記通信装置がセキュリティの確保された通信を必要とするか否かを示す第２の設定を判断する判断工程と、
前記通信装置がセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置がセキュリティの確保された通信を行うための処理を行うことを前記第１の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行わないことを決定し、
前記通信装置がセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置がセキュリティの確保された通信を行うための処理を行わないことを前記第１の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行うことを決定し、
前記通信装置がセキュリティの確保された通信を必要としないことを前記第２の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行わないことを決定する決定工程と、
前記決定工程における決定に応じてセキュリティの確保された通信を行うための処理を行う処理工程と
を有することを特徴とするセキュリティ通信方法。
前記第２のネットワークに接続されたセキュリティ通信装置がセキュリティの確保された通信を行うか否かについて決定した処理の内容を受信する受信工程を有し、
前記受信工程において受信した処理の内容に応じて、前記第１のネットワークに接続されたセキュリティ通信装置がセキュリティの確保された通信を行うための処理を行うか否かを前記決定工程において決定することを特徴とする請求項６記載のセキュリティ通信方法。
第１のネットワークに接続されたコンピュータに、
通信実行時に、前記第１のネットワークに接続された通信装置がセキュリティの確保された通信を行うための処理を行うか否かを示す第１の設定を判断し、かつ、前記通信装置がセキュリティの確保された通信を必要とするか否かを示す第２の設定を判断する判断手順と、
前記通信装置がセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置がセキュリティの確保された通信を行うための処理を行うことを前記第１の設定が示す場合には前記コンピュータがセキュリティの確保された通信を行うための処理を行わないことを決定し、
前記通信装置がセキュリティの確保された通信を必要とすることを前記第２の設定が示す場合であって前記通信装置がセキュリティの確保された通信を行うための処理を行わないことを前記第１の設定が示す場合には前記コンピュータがセキュリティの確保された通信を行うための処理を行うことを決定し、
前記通信装置がセキュリティの確保された通信を必要としないことを前記第２の設定が示す場合には前記セキュリティ通信装置がセキュリティの確保された通信を行うための処理を行わないことを決定する決定手順と、
前記決定手順における決定に応じてセキュリティの確保された通信を行うための処理を行う処理手順と
を実行させるためのプログラム。
前記コンピュータに、
前記第２のネットワークに接続されたセキュリティ通信装置がセキュリティの確保された通信を行うか否かについて決定した処理の内容を受信する受信手順を実行させ、
前記受信手順において受信した処理の内容に応じて、前記第１のネットワークに接続されたコンピュータがセキュリティの確保された通信を行うための処理を行うか否かを前記決定手順において決定する処理を前記コンピュータに実行させるための請求項８に記載のプログラム。