JP6752578B2 - 通信装置、通信装置の制御方法およびプログラム - Google Patents

Description

本発明は、通信装置、通信装置の制御方法およびプログラムに関する。

近年、ネットワークを介したデータの送受信における、セキュリティ確保の必要性が高まっている。ＩＰｓｅｃは、ＩＰネットワーク上を流れるデータのセキュリティを確保するプロトコルで、ＩＰパケット単位でデータの機密性の確保や、データの完全性、送信元の認証を行うことが可能である。ＩＰｓｅｃは、Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌの略である。ＩＰｓｅｃは、ＲＦＣ２４０１等で規定されている。ＲＦＣはＲｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔｓの略である。
ＩＰｓｅｃを用いて暗号通信を行う暗号通信装置は、ＩＰパケットを送信する場合、ＩＰアドレスや通信プロトコル等により、ＳＰＤを検索しＳＰを特定する。ＳＰＤはＳｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｄａｔａｂａｓｅの略であり、ＳＰはＳｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ（セキュリティポリシー）の略である。暗号通信装置は、特定したＳＰのポリシー（設定内容）に基づいてＩＰｓｅｃ処理に必要となるＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）を特定する。そして、暗号通信装置は、特定したＳＡを用いて暗号・認証処理をした後にパケットを送信する。

また、ＩＰパケットを受信する場合、暗号通信装置は、ＩＰｓｅｃパケットのヘッダ情報からＳＡＤ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）を検索してＳＡを特定する。そして、暗号通信装置は、特定したＳＡを用いて暗号（復号）・認証処理を行う。その後、暗号通信装置は、暗号（復号）・認証処理の結果得られたＩＰパケットのＩＰアドレスや通信プロトコル等により、ＳＰＤを検索してＳＰを特定し、ＳＰに指定されたポリシーに従って受信処理を行う。
ＳＡを確立する方法としては、送信側と受信側において手動でＳＡの各種情報を設定する手動鍵設定方法がある。手動鍵設定方法は、鍵交換を手動で行うので手動鍵管理方式と称されることもある。また、ＳＡを確立する別の方法としては、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ Ｐｒｏｔｏｃｏｌ）を用いた自動鍵交換方法がある。ＩＫＥは特にＲＦＣ２４０７〜２４０９等に規定されている。

暗号アルゴリズムや共有鍵は、通信に先立ち交換される必要がある。また、共有鍵は、セキュリティのレベルを保つためにも、頻繁に変更する必要がある。鍵交換を手動で行う手動鍵設定方法（手動鍵管理方式）を採用すると、頻繁に鍵交換をすることになり、鍵交換に手間が掛かり過ぎる。これに対し自動鍵管理方式を採用した場合には、鍵交換を頻繁に行うとしても、鍵交換を自動で行うことができるため、手間が掛からず実用的であると言える。
ＩＰｓｅｃ通信を適用するためのルールとなるＳＰは、鍵管理・鍵設定を自動で動的に行う場合であっても、手動で静的に行う場合であっても、暗号通信装置（セキュリティ通信装置）を管理するユーザーまたはアプリケーションにより静的に設定される。

一方で暗号通信装置は複数のＩＰアドレスを保持することが可能であり、特にＩＰｖ６においては暗号通信装置が複数のＩＰアドレスを保持することが一般的となっている。複数のＩＰアドレスを保持する暗号通信装置が、どのＩＰアドレスを送信元アドレスおよび宛先アドレスとして選択して通信を行うべきかの優先順位（優先度）を定めた推奨ルールが、ＲＦＣ３４８４等で規定されている。ＩＰｖ６はＩｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｖｅｒｓｉｏｎ ６の略である。
上記の推奨ルールは、ＳＰのルールとは無関係のルールである。すなわち、ＳＰのルールに関わりなく、ＩＰアドレスが選択される。そのため、ＳＰの設定によっては、通信装置の宛先となるＩＰアドレス及び通信装置の送信元となるＩＰアドレスが異なる場合、ＳＰが適用されなくなる場合がある。また、セキュリティレベル（セキュリティ強度）の低いＳＰが適用される場合がある。つまり同一通信装置間の通信であっても使用するＩＰアドレスが異なる場合には、セキュリティレベルが異なる通信方式で通信が行われてしまう可能性がある。

さらに、これらＩＰアドレスはＤＨＣＰやルータによるプレフィックス配信により、通信装置に動的に割り当てることができる。ＩＰアドレスが動的に割り当てられると、ＳＰ決定時に保持していなかったＩＰアドレスが通信時に選択される可能性がある。そのような場合には、ＩＰアドレス選択を考慮したＳＰが設定されていない限り、意図しないセキュリティレベルで通信が行われてしまう。このようにＳＰは煩雑な設定が必要であり、ユーザーには高度な知識が求められる。ＤＨＣＰは、Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌの略である。
所望のセキュリティレベルで暗号通信を行う技術の例が、特許文献１に開示されている。特許文献１では、クライアント装置からリクエストを受けたサーバ装置が、セキュリティおよび接続設定情報に適合していないアドレスを指定されて行われた通信の場合に、別のアドレスで、クライアント装置から再度リクエストさせる。

特開２００８−３１２０１６号公報

しかし、特許文献１に記載の手法では、アクセスを受けるサーバ装置およびアクセス要求を行うクライアント装置それぞれでの対応が求められる。そのため送信側となるクライアント装置、受信側となるサーバ装置それぞれに所定の機能を具備することが求められる。また、クライアント装置が送信した最初のリクエストはセキュリティレベルが低いものである可能性があり、再リクエストを行うまでの通信についてはセキュリティレベルが保証できないという課題があった。
上記課題を鑑み、本発明は、所望のセキュリティレベルで他の通信装置と通信を簡易に行えるようにすることを目的とする。

上記の目的を達成する本発明の一態様に係る通信装置は、パケットを他の通信装置に送信する通信装置であって、前記通信装置が有する複数のＩＰアドレスおよび前記他の通信装置が有する複数のＩＰアドレスに基づいて、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）を適用可能な設定情報を検索する検索手段と、前記検索手段によりＩＰＳｅｃを適用可能な複数の前記設定情報が検索された場合、該検索された複数の設定情報の各々に基づいて生成されるパケットのセキュリティ強度に基づいて、該検索された複数の設定情報の中から１つの前記設定情報を選択する選択手段と、前記選択手段により選択された前記設定情報に示される前記通信装置のＩＰアドレスと前記他の通信装置のＩＰアドレスとを用いて、パケットを生成する生成手段と、前記生成手段により生成されたパケットを前記他の通信装置に送信する送信手段と、を有する。

本発明によれば、簡易に所望のセキュリティレベルで他の通信装置と通信を行うことができる。

本発明の実施形態に係る暗号通信装置のソフトウェア構成を示す図。 図１の暗号通信装置が接続するネットワークの機器構成例を示す図。 図１の暗号通信装置のＩＰｓｅｃパケット送信処理フローを示す図。 図１の暗号通信装置のＩＰアドレス決定処理フローを示す図。 図１の暗号通信装置のハードウェア構成を示す図。

以下、添付図面を参照して、本発明を実施するための実施形態を詳細に説明する。以下に説明する実施形態は、本発明の実現手段としての一例であり、本発明が適用される装置の構成や各種条件によって適宜修正または変更されるべきものであり、本発明は以下の実施形態に限定されるものではない。
実施形態１
（暗号通信装置の構成）
図１を参照して、実施形態１に係る暗号通信装置１０１の構成の例について説明する。
暗号通信装置１０１は、ネットワークインタフェース部１０３と、ネットワークプロトコル処理部１０４と、アプリケーション処理部１０５と、ＩＫＥ処理部１０６と、ＩＰｓｅｃ処理部１０７と、アドレス管理部１０８とを有する。ＩＰｓｅｃ処理部１０７は、ＳＰ・ＳＡテーブル管理部１０９と、ＩＰｓｅｃプロトコル処理部１１０と、暗号・認証処理部１１１とを有する。
ネットワークインタフェース部１０３は、暗号通信装置１０１とネットワーク１０２とのインタフェース部である。暗号通信装置１０１は、ネットワークインタフェース部１０３を介してネットワーク１０２に接続され、データパケットの送受信を行うことにより、ネットワーク１０２に接続される他の通信装置（通信相手装置）と通信することができる。
ネットワークプロトコル処理部１０４は、ＴＣＰ、ＵＤＰ、ＩＰ等のネットワークプロトコルを処理する。ＴＣＰは、Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌの略であり、ＵＤＰはＵｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌの略である。

暗号通信装置１０１が他の通信装置からパケットを受信する場合、ネットワークプロトコル処理部１０４は、ネットワークインタフェース部１０３を介して受信したパケットにＭＡＣプロトコル処理およびＩＰプロトコル処理を行う。このパケットは、その後、ＩＰｓｅｃ処理部１０７でＩＰｓｅｃ受信処理される。ＩＰｓｅｃ処理部１０７がＩＰｓｅｃ受信処理を完了すると、当該パケットについて、再びネットワークプロトコル処理部１０４がＴＣＰ、ＵＤＰ等のプロトコル処理を行う。パケットのルーティング処理に関する情報は、アドレス管理部１０８が保持するアドレス管理テーブルに記憶されている。暗号通信装置１０１は、アドレス管理部１０８のアドレス管理テーブルを参照することで、パケットの振り分けを行う。その後、アプリケーション処理部１０５が、当該パケットについてアプリケーション処理を行う。受信したパケットがＩＫＥパケットであった場合、ＩＫＥ処理部１０６がＩＫＥ処理を行う。

暗号通信装置１０１が他の通信装置へパケットを送信する場合、アプリケーション処理部１０５（またはＩＫＥ処理部１０６）は、ネットワークプロトコル処理部１０４に送信要求を行う。当該送信要求に応じて、ネットワークプロトコル処理部１０４は、ＴＣＰ、ＵＤＰ、ＩＰ等のプロトコル処理を行う。ルーティング処理を行う際、アプリケーション処理部１０５（またはＩＫＥ処理部１０６）は、アドレス管理部１０８の保持するルーティングテーブルや近隣キャッシュを参照することでＩＰアドレスやＭＡＣアドレスを取得する。その後、暗号通信装置１０１は、ＩＰｓｅｃ処理部１０７でＩＰｓｅｃ処理を行い、ネットワーク処理部１０４でＩＰプロトコル処理およびＭＡＣプロトコル処理を行い、ネットワークインタフェース部１０３を介して暗号化したパケットを他の通信装置に送信する。

ＩＰｓｅｃプロトコル処理部１１０は、パケットの送受信におけるＩＰｓｅｃプロトコル処理を行い、ＥＳＰ、ＡＨといったＩＰｓｅｃプロトコル処理を行う。また、ＩＰｓｅｃプロトコル処理部１１０は、送受信パケットのポリシーを特定するためＳＰ・ＳＡテーブル管理部１０９に登録されたＳＰの検索要求を行う。ＩＰｓｅｃプロトコル処理部１１０は、暗号・認証処理で必要となるＳＡを特定するためＳＰ・ＳＡテーブル管理部１０９に登録されたＳＡの検索要求も行う。ＩＰｓｅｃプロトコル処理部１１０は、バイト数による有効期限のカウントを行い、有効期限カウントの更新等も行う。ＥＳＰはＥｎｃａｐｓｕｌａｔｅｄ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄの略であり、ＡＨはＡｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒの略である。

暗号・認証処理部１１１は、ＳＡの暗号化アルゴリズム、暗号鍵、認証アルゴリズム、認証鍵等に基づいて暗号・認証処理を行う。ＳＰ・ＳＡテーブル管理部１０９は、ＩＫＥ処理部からのＳＰおよびＳＡの登録、更新、削除および参照処理を行う。またパケット送信時、ＩＰｓｅｃプロトコル処理部１１０およびアドレス管理部１０８がＳＡ検索要求を行った結果、該当するＳＡがなかった場合は、ＳＰ・ＳＡテーブル管理部１０９は、ＩＫＥ処理部１０６に対してＳＡ折衝の通知を行う。また、ＳＰ・ＳＡテーブル管理部１０９は、ソフト有効期限切れを検知してＳＡ折衝要求をＩＫＥ処理部１０６に対して行う。ＳＰ・ＳＡテーブル管理部１０９は、指定された時間が経過した際のＳＡの有効期限管理も行う。

なお、図１に示す各機能ブロックは、プログラムとして、後述するメモリ５２２（図５）等の記憶部に記憶され、プロセッサ５２１によって実行される。また、図１に示す機能ブロックの少なくとも一部をハードウェアにより実現してもよい。ハードウェアにより実現する場合、例えば、所定のコンパイラを用いることで、各ステップを実現するためのプログラムからＦＰＧＡ上に自動的に専用回路を生成すればよい。ＦＰＧＡは、Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略である。また、ＦＰＧＡと同様にしてＧａｔｅ Ａｒｒａｙ回路を形成し、ハードウェアとして実現するようにしてもよい。また、図１に示す機能ブロックの少なくとも一部は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）により実現するようにしてもよい。

（ネットワークの機器構成）
図２を参照して、暗号通信装置１０１が接続するネットワーク１０２の機器構成例について説明する。暗号通信装置１０１は、ネットワーク１０２を介して他の機器に接続されている。図２の例では、第１のルータ２０３をそれぞれ含む２つのリンクが形成されている。２つのリンク内の１つには、第２のサーバ装置２０２、第１のルータ２０３および第２のルータ２０４が接続されている。暗号通信装置１０１は、このリンクに属している。また、第１のルータ２０３を含む他のリンクには、第１のルータ２０３、ＤＮＳサーバ２０５、ＤＨＣＰサーバ２０６および第１のサーバ装置２０７が接続されている。ＤＮＳは、Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍの略である。

第１のルータ２０３および第２のルータ２０４は、ＩＰｖ６ステートレス設定でグローバルＩＰアドレスを生成するためのプレフィックス情報をリンク内の機器に対して配信する。したがって、暗号通信装置１０１には、第１のルータ２０３および第２のルータ２０４によって割り当てられたＩＰｖ６のグローバルＩＰアドレスが設定される。また暗号通信装置１０１を含む全ての機器は、リンク内の機器とのみ通信可能なリンクローカルアドレスを自動生成する。したがって、暗号通信装置１０１には、自動生成によって割り当てられたＩＰｖ６リンクローカルアドレスが設定される。ＤＨＣＰサーバ２０６は各機器に対してＩＰｖ６アドレスおよびＩＰｖ４アドレスを配布する。したがって、暗号通信装置１０１には、ＤＨＣＰサーバ２０６によって割り当てられたＩＰｖ４アドレスとＩＰｖ６アドレスが設定される。

なお、暗号通信装置１０１が属するリンクへアドレスを配布する際、第１のルータ２０３はリレーエージェントとしての動作を行う。また暗号通信装置１０１は、手動でのＩＰアドレスの設定を可能としており、ユーザインタフェース（図示せず）からの入力によりＩＰアドレスを割り振ることが可能となっている。したがって、暗号通信装置１０１には、手動で指定された（割り当てられた）ＩＰｖ４アドレスとＩＰｖ６アドレスが設定される場合もある。
ＤＮＳサーバ２０５は各機器のホスト名とＩＰアドレスの対応づけを管理するデータベースであり、各機器からの問い合わせに応じて対応づけの情報（どのＩＰアドレスが対応しているかの情報）を返信する。暗号通信装置１０１、第１のサーバ装置２０７および第２のサーバ装置２０２は、セキュリティ通信を行うため、ＳＰを設定可能となっている。暗号通信装置１０１、第１のサーバ装置２０７および第２のサーバ装置２０２では、ＩＫＥ処理を行うアプリケーションが動作しており、設定されたＳＰに基づいて暗号・認証に用いるアルゴリズムや鍵の交換を自動で行う。

（ＩＰｓｅｃパケット送信処理）
次に、図３を参照して、暗号通信装置１０１のＩＰｓｅｃパケット送信処理について説明する。
Ｓ３０１において、アプリケーション処理部１０５は通信相手へのパケット送信処理（アプリケーション送信処理）を行い、ネットワークプロトコル処理部１０４に送信要求を行う。なお、ＩＫＥ処理部１０６がＩＫＥパケットを送信する場合は、ＩＫＥ処理部１０６がネットワークプロトコル処理部１０４に送信要求を行う。
Ｓ３０２において、アプリケーション処理部１０５はアドレス管理部１０８に対してＩＰアドレス決定処理を要求する。なお、アドレス管理部１０８に対するＩＰアドレス決定処理の要求は、アプリケーション処理部１０５ではなく、ネットワークプロトコル処理部１０４が行ってもよい。

ここで図４を用いてアドレス管理部１０８のＩＰアドレス決定処理（Ｓ３０２）について説明する。
Ｓ４０１において、アドレス管理部１０８は、宛先情報がユニキャストであるかを判定する。宛先情報がユニキャストではない場合、つまりマルチキャスト宛もしくはＩＰｖ４ブロードキャスト宛である場合はＳ４１０へ進み、送信元アドレスのみの決定処理を行う。宛先情報がユニキャストである場合、Ｓ４０２へ進む。
Ｓ４０２において、アドレス管理部１０８は、宛先情報の指定がＩＰアドレスでの指定ではなく、ホスト名での指定であるかを判定する。ホスト名での指定であった場合はＳ４０３へ進む。そうでなければＳ４０４へ進む。すなわち、宛先情報の指定がＩＰアドレスでの指定であった場合はＳ４０４へ進む。
Ｓ４０４において、アドレス管理部１０８は、宛先ＩＰアドレスがグローバルＩＰアドレスであるかを判定する。本実施形態では、ＩＰアドレスのバージョンがＩＰｖ６である場合とＩＰｖ４である場合のそれぞれで規定されているＩＰアドレス種別（グローバルＩＰアドレス、リンクローカルアドレス、それ以外のアドレス）の判定処理を行う。Ｓ４０４において、宛先ＩＰアドレスがグローバルＩＰアドレスであると判定された場合はＳ４０５へ進み、ＤＮＳサーバまたはローカルホストに指定された情報からホスト名（ドメイン名）を逆引きして取得する。ホスト名を取得した後、Ｓ４０３へ進む。宛先ＩＰアドレスがグローバルＩＰアドレスではない場合は、Ｓ４０６へ進む。

グローバルＩＰアドレスは、インターネットに接続された機器に一意に割り当てられたＩＰアドレスである。上記した「それ以外のアドレス」は、ループバックアドレス等を含む。ループバックアドレスは、自装置（暗号通信装置１０１）自身を示すＩＰアドレスである。
Ｓ４０６において、アドレス管理部１０８は、宛先ＩＰアドレスがリンクローカルアドレスかどうかを判定する。宛先ＩＰアドレスがリンクローカルアドレスではない場合、当該宛先ＩＰアドレスはループバックアドレスまたは宛先アドレスとして適していないアドレスであると判定して、Ｓ４０９へ進む。そして、Ｓ４０９において、アプリケーション等により指定されたアドレスを選択する。Ｓ４０９の後、処理を終了する。宛先ＩＰアドレスがリンクローカルアドレスであった場合はＳ４０７へ進む。

Ｓ４０７において、アドレス管理部１０８は、宛先ＩＰアドレスに対応するＭＡＣアドレスを取得する。宛先ＩＰアドレスのバージョンがＩＰｖ４の場合、アドレス管理部１０８は、アドレス管理部１０８が保持するＡＲＰテーブルを参照する。宛先ＩＰアドレスのバージョンがＩＰｖ６の場合、アドレス管理部１０８が保持する近隣キャッシュを参照する。ＡＲＰテーブルもしくは近隣キャッシュに情報が保持されていない場合は、宛先アドレスのバージョンがＩＰｖ４であるなら、ＡＲＰプロトコルによってＭＡＣアドレスの解決処理を行う。宛先アドレスのバージョンがＩＰｖ６であるなら、近隣探索によってＭＡＣアドレスの解決処理を行う。ＡＲＰは、Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌの略である。

Ｓ４０８において、アドレス管理部１０８は、宛先ホストのＩＰアドレスリストをＳ４０７において取得したＭＡＣアドレスからの逆引きにより取得する。ＩＰアドレスのバージョンがＩＰｖ４の場合、ＩＰアドレスリストの取得は、ＲＡＲＰプロトコル機能を用いて行い、ＩＰアドレスのバージョンがＩＰｖ６の場合、ＩＰアドレスリストの取得は、逆近隣探索機能を用いて行う。ＲＡＲＰは、Ｒｅｖｅｒｓｅ Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌの略である。
Ｓ４０３において、アドレス管理部１０８は、ホスト名から宛先ＩＰアドレスのリストを取得する。より詳しくは、ＤＮＳサーバへの問い合わせを行うと共に、ローカルホストに設定された情報を得ることによりアドレスリストを取得する。Ｓ４０３の後、Ｓ４１０へ進む。
なお、本実施形態では上記したフロー（Ｓ４０２〜Ｓ４０８）により宛先ＩＰアドレスのリストを取得したが、宛先ＩＰアドレスのリストを取得できるのであれば、どのような手段・構成を採用してもよい。

また宛先情報がホスト名指定またはグローバルＩＰアドレス指定であった場合のＤＮＳサーバへの問い合わせではリンクローカルアドレスを取得できないため、Ｓ４０７およびＳ４０８に示した方法でリンクローカルアドレスを取得してもよい。Ｓ４０７およびＳ４０８の方法等でリンクローカルアドレスをリストとして取得した場合、処理負荷は高まるが、リンクローカルアドレスを用いて設定されたＳＰについてもアドレス選択の候補として検索可能となる。
ただし、セキュリティレベルを考慮すると、グローバルＩＰアドレスを指定した場合のセキュリティレベルの方がリンクローカルアドレスより高く設定されることが一般的であるため、リンクローカルアドレスのリストの取得を省略してもよい。リンクローカルアドレスのリストの取得を省略することで、処理負荷を軽減することが可能となる。

Ｓ４１０において、アドレス管理部１０８は、取得したＩＰアドレスのリストから各ＩＰアドレスへパケットを送信する際に適応可能（選択可能）な送信元ＩＰアドレスのリストを取得する。Ｓ４１０における送信元ＩＰアドレスのリストの取得は、アドレス管理部１０８が保持するルーティングテーブルを検索すること（ルーティング処理）によって行う。Ｓ４１０の処理では暗号通信装置１０１に付与されているＩＰアドレスのすべてを送信元ＩＰアドレスのリストとして取得するのはなく、宛先ＩＰアドレスに応じて、送信元アドレスとして用いてよいＩＰアドレスをリストとして取得する。例えば宛先ＩＰアドレスがＩＰｖ６グローバルＩＰアドレスであった場合は、送信元アドレスとしてＩＰｖ６リンクローカルアドレスを選択しない。

次にＳ４１１において、アドレス管理部１０８は、取得した宛先ＩＰアドレスのリストと送信元ＩＰアドレスのリストからＩＰアドレスを組み合わせる（ＩＰアドレスのペアを作成する）。これに上位プロトコルとポート番号を加えて検索キー（検索条件）としてＳＰのデータベース（ＳＰＤ）からＳＰを検索する。本処理は、すべてのＩＰアドレスの組み合わせ（ペア）で実施する。
Ｓ４１２において、アドレス管理部１０８は、検索して得られた（ヒットした）ＳＰのポリシー（設定内容）を参照し、ＳＰにセキュリティ設定（ＩＰｓｅｃが適用される設定）がなされているかを調べる。すべてのＳＰにセキュリティ設定がなされていない場合、つまりＩＰｓｅｃによるセキュア化（暗号化、認証）を適用しない設定である場合は、Ｓ４１３へ進む。なお、セキュリティ設定がなされていない場合とは、例えば、ＢＹＰＡＳＳ設定（暗号化等をしない通常処理）がされている場合やＤＩＳＣＡＲＤ設定（廃棄）がなされている場合である。ＳＰのポリシー（設定内容）は、本実施形態では、ＩＰｓｅｃを適用するか否かを決めるポリシーであるので、暗号化関連設定と称することができる。つまり、本実施形態では、Ｓ４１２において、パケットを、少なくとも暗号化または認証することができる暗号化関連設定を選別（選択）している。

Ｓ４１３において、アドレス管理部１０８は、既存のデフォルトアドレス選択ルールに従って宛先ＩＰアドレスおよび送信元ＩＰアドレスを選択して処理を終了する。
Ｓ４１２において、いずれかのＳＰにセキュリティ設定がなされていると判定された場合、Ｓ４１４へ進む。
Ｓ４１４において、アドレス管理部１０８は、検索して得られたＳＰの中からセキュリティレベルの一番高いＳＰを選択する。セキュリティレベルの一番高いＳＰの選択は、さまざまな方法で行うことが可能である。例えば、ＩＰｓｅｃが適用されるか否かだけで判定する場合は、ＩＰｓｅｃが適用される設定になっているＳＰをすべて選択する。ＩＰｓｅｃが適用される設定がなされていれば、パケットを少なくとも暗号化または認証して通信相手装置に送信することができるからである。
なお、ＩＰｓｅｃでＰＲＯＴＥＣＴ設定がされている場合は、暗号化のみが有効になっている場合と、認証のみが有効になっている場合と、暗号化および認証が有効になっている場合がある。

また、セキュリティレベル（セキュリティ強度）の高さ（強さ）を判定する場合、ＳＰに設定されているセキュリティプロトコルを判定基準に含めてもよい。例えば、ＡＨ、ＥＳＰといったセキュリティプロトコルが複雑に設定されているものを「セキュリティレベルの一番高いＳＰ」として選択することや、暗号化が有効設定されているものを「セキュリティレベルの一番高いＳＰ」として選択することが考えられる。つまり、セキュリティ強度の高さは、適用されるセキュリティプロトコルの数に基づいて決めてもよいし、暗号および認証の方式も含めてセキュリティレベルの高さを判定することも可能である。なお、ＳＰを参照するだけでは暗号、認証の方式を取得できな場合がある。この場合には、ＩＫＥを用いて通信相手との間で暗号・認証の方式や鍵を含むＳＡを決定する必要がある。これによって得られた暗号・認証の方式のうちセキュリティレベルが一番高いものを選択する。なお、セキュリティレベルの高いセキュリティポリシーを選択するためのルールについては、別途指定可能であってもよい。

Ｓ４１５において、アドレス管理部１０８は、Ｓ４１４で選択したＳＰに該当するＩＰアドレスの組み合わせが複数あるかを判定する。ＩＰアドレスの組み合わせが複数ある場合はＳ４１７へ進む。ＩＰアドレスの組み合わせが複数ある場合とは、例えば、同一のＳＰに合致するＩＰアドレスの組み合わせが複数あった場合や、異なるＩＰアドレスの組み合わせで検索したＳＰであるがセキュリティレベルが同じと判定されたＳＰが複数ある場合である。Ｓ４１５において、ＩＰアドレスの組み合わせが複数ない場合、すなわち、ＩＰアドレスの組み合わせが１組に絞られている場合は、Ｓ４１６へ進む。

Ｓ４１６において、アドレス管理部１０８は、当該ＳＰを検索した際に使用した宛先ＩＰアドレスおよび送信元ＩＰアドレスを選択して処理を終了する。
Ｓ４１７において、アドレス管理部１０８は、複数の宛先ＩＰアドレスおよび送信元ＩＰアドレスの組み合わせから、デフォルトアドレス選択ルールに基づいて一番優先順位（優先度）の高いＩＰアドレスの組み合わせを選択して処理を終了する。なお、上記の説明では宛先ＩＰアドレスおよび送信元ＩＰアドレスの組み合わせからＳＰを検索したが、宛先ＩＰアドレスまたは送信元ＩＰアドレスを１つのアドレスに固定し、もう一方のアドレスのリストを取得してＳＰを検索するようにしてもよい。例えば送信元ＩＰアドレスを固定する場合、ＩＰｓｅｃによるセキュリティ通信を適用するならば、手動で設定したＩＰアドレスを必ず選択するようにし、ＳＰを検索する検索キーには送信元ＩＰアドレスに手動で設定したアドレスを用いるようにする。こうすることで、ＳＰの検索処理を効率化することができる。

上記の手順により、ＩＰアドレスが決定されたならば、図３のＳ３０３に戻る。
Ｓ３０３において、ネットワークプロトコル処理部１０４は、アプリケーション処理部１０５からデータ（パケット）の送信要求を受け付ける。この際、アプリケーション処理部１０５は、アドレス管理部１０８が決定したＩＰアドレスを用いて送信要求をネットワークプロトコル処理部１０４に対して行う。そして、ネットワークプロトコル処理部１０４は、アプリケーション処理部１０５が指定したＴＣＰまたはＵＤＰのトランスポート層プロトコル処理およびＩＰプロトコル処理を行う。ネットワークプロトコル処理部１０４のこのような処理を、本実施形態では、ネットワークプロトコル処理１と称する。ネットワークプロトコル処理部１０４は、生成したＩＰパケットをＩＰｓｅｃ処理部１０７へ送る。
なお、本実施形態ではアプリケーション処理部１０５がアドレス管理部１０８にアドレスを決定する要求を行い、ネットワークプロトコル処理部１０４へ決定したアドレスを通知した。しかし、本発明はこのような実施形態に限定されない。例えば、アプリケーション処理１０５ではなくネットワークプロトコル処理部１０４がアドレス管理部１０８に対してアドレスを決定する要求を行ってもよい。

Ｓ３０４において、ＩＰｓｅｃ処理部１０７は送信するＩＰパケットを受け取る。すると、ＩＰｓｅｃプロトコル処理部１１０がＩＰパケットのＩＰアドレスやトランスポート層プロトコル種別、ポート番号等のパケット情報から（パケット情報に基づいて）ＳＰ・ＳＡテーブル管理部１０９に対してＳＰ検索処理要求を行う。ＳＰ検索処理要求を受け付けたＳＰ・ＳＡテーブル管理部１０９は、ＳＰＤに指定パケット情報に該当するＳＰが登録されているかを検索し、検索結果をＩＰｓｅｃプロトコル処理部１１０に通知する。このように、本実施形態では、ＳＰをパケット情報から検索している。
なお、アドレス管理部１０８がＩＰアドレスを決定する際に特定したＳＰ情報を記憶しておき利用することで、ＳＰ検索処理を省略することができる。

ＳＰ・ＳＡテーブル管理部１０９はさらに、ＳＰに関連づけられたＳＡの情報とパケット情報からＳＡを検索する。ＳＡがＳＰ・ＳＡテーブル管理部１０９に登録されていない場合、ＳＰ・ＳＡテーブル管理部１０９は、ＳＡが登録されていないことをＩＫＥ処理部１０６に通知してＳＡの折衝を行う。検索または折衝によりＳＡが特定（取得）された場合、ＩＰｓｅｃプロトコル処理部１１０は、ＳＡに指定されたＥＳＰまたはＡＨのＩＰｓｅｃプロトコル処理を行う。ＩＰｓｅｃプロトコル処理における暗号化および認証処理は、暗号・認証処理部１１１で行う。
Ｓ３０５において、ネットワークプロトコル処理部１０４は、ＩＰｓｅｃ処理部１０７によってＩＰｓｅｃ処理されたＩＰｓｅｃパケットを受け取り、ＩＰｓｅｃパケットに対してフラグメント処理等のＩＰプロトコル処理、ＭＡＣヘッダ処理を行う。本実施形態では、このＩＰプロトコル処理等をネットワークプロトコル処理２と称する。その後、ネットワークプロトコル処理部１０４は、ネットワークインタフェース部１０３にパケットの送信要求を行う。

Ｓ３０６において、ネットワークインタフェース部１０３は、ネットワーク１０２へパケットを送信して処理を終了する。以上のステップにより、暗号通信装置１０１はＩＰｓｅｃによるパケット（セキュア化したパケット）の送信処理を行う。
ここで図２におけるネットワーク１０２の機器構成例において暗号通信装置１０１でどのようなＩＰアドレスが選択されるかを例示する。暗号通信装置１０１には、上記したように第１のルータ２０３および第２のルータ２０４によって割り当てられたＩＰｖ６グローバルＩＰアドレスと、自動生成によって割り当てられたＩＰｖ６リンクローカルアドレスが設定されている。また、暗号通信装置１０１には、ＤＨＣＰサーバ２０６によって割り当てられたＩＰｖ４アドレスとＩＰｖ６アドレスが設定されているか、あるいは、手動によって割り当てられたＩＰｖ４アドレスとＩＰｖ６アドレスが設定されている。これと同様に、第１のサーバ装置２０７には、第１のルータ２０３によって割り当てられたＩＰｖ６グローバルＩＰアドレスと、自動生成によって割り当てられたＩＰｖ６リンクローカルアドレスが設定されている。また、第１のサーバ装置２０７には、ＤＨＣＰサーバ２０６によって割り当てられたＩＰｖ４アドレスとＩＰｖ６アドレスが設定されているか、あるいは、手動によって割り当てられたＩＰｖ４アドレスとＩＰｖ６アドレスが設定されている。

この状況において暗号通信装置１０１が第１のサーバ装置２０７と通信するためのＳＰとして、第１のサーバ装置２０７および暗号通信装置１０１に手動で割り当てたＩＰｖ６アドレスを用いた通信にのみＩＰｓｅｃを適用するポリシーが設定されているとする。そして、その他のアドレスを用いた通信についてはＩＰｓｅｃを適用しないポリシーが設定されているとする。この際、アプリケーションが宛先情報として第１のサーバ装置２０７にＤＨＣＰサーバ２０６によって割り当てられたＩＰｖ６アドレスを指定したとする。
この場合、図４に示すフローに従うと、まず、暗号通信装置１０１は、ＤＮＳサーバ２０５から第１のサーバ装置２０７のホスト名を取得し（Ｓ４０２）、そのホスト名からＩＰアドレスリストを取得する（Ｓ４０３）。この宛先ＩＰアドレスのリストと、暗号通信装置１０１に割り当てられ、ルーティング処理をした結果、選択可能な送信元ＩＰアドレスと、からＳＰを検索する（Ｓ４１１）。すると、第１のサーバ装置２０７および暗号通信装置１０１に手動で割り当てたＩＰｖ６アドレスの組み合わせ以外を用いたＳＰの検索結果は、すべてＩＰｓｅｃを適用しないポリシーがヒットする。

一方で、手動割り当てのＩＰｖ６アドレスの組み合わせを用いてヒットしたＳＰは、ＩＰｓｅｃを適用するポリシーと一致する。ＩＰｓｅｃを適用するＳＰが１つヒットしたため（Ｓ４１５：Ｎｏ）、このＳＰのセキュリティ強度が一番高いと判定し、この検索に使用したＩＰアドレスが選択される（Ｓ４１６）。つまりアプリケーションが宛先情報として指定したＩＰアドレスではなく、本処理フローによって選択したＩＰアドレスを用いてパケットを生成する。これによりＩＰｓｅｃを適用した通信が可能となる。

以上のように本実施形態では、暗号通信装置１０１が他の通信装置（通信相手装置）と通信を行う際に生成するパケットのＩＰアドレスを決定するとき、同一の通信相手装置と通信可能な宛先ＩＰアドレスおよび送信元ＩＰアドレスのリストからＳＰを検索する。そして、検索の結果得られたＳＰのうちセキュリティ強度の一番強いポリシーを選択し、そのＳＰを特定するのに使用したＩＰアドレスを使用してパケットを生成する。このようにして、ＳＰのセキュリティ強度に基づいてＩＰアドレスを決定してパケットを生成することでＳＰに適合するパケットを生成している。換言すると、検索により得られたＳＰの中から、セキュリティ強度に基づいてＳＰを選択し、選択されたＳＰに適合する宛先ＩＰアドレスと送信元ＩＰアドレスとを用いてパケットを生成して他の通信装置に送信している。
なお、本発明は、上記したように同一の通信相手と通信可能な宛先情報を用いてＳＰを適用可能とする構成・方法であれば、どのような手順でＳＰを適用してもよい。

また処理を効率化するためにＩＰアドレスのリストを取得する前に一度一意に決定したＩＰアドレスを用いてＳＰを検索し、基準以上のセキュリティ強度を持ったポリシーであった場合は、ＩＰアドレスのリストを取得しないでパケットを生成してもよい。こうすることでセキュリティレベルは一定に保ちつつ、パケットの生成を効率的に行うことが可能となる。
つまり、本発明では、所定の強度以上のセキュリティ強度を有するＳＰ（パケットを少なくとも暗号化または認証することができるポリシー）を選択し、選択されたＳＰに適合する宛先ＩＰアドレスと送信元ＩＰアドレスとを用いてパケットを生成して通信装置相手に送信すればよい。所定の強度以上のセキュリティ強度を有するＳＰに基づいてパケットを生成・送信するので、所定のセキュリティレベルを維持して通信相手装置と通信することができる。所定の強度以上のセキュリティ強度を有するＳＰとは、例えば、ＰＲＯＴＥＣＴ設定において暗号化と認証の少なくとも一方が有効化されているＳＰである。所定の強度以上のセキュリティ強度を有するＳＰが複数ある場合には、より強いセキュリティ強度を有するＳＰを選択してよい。
なお、上記した実施形態では、セキュリティレベル（強度）が一番高いポリシーを選択するとしたが、パケットを暗号化・認証して送信できるポリシーであれば、セキュリティレベルが最も高いポリシーを選択しなくてもよい。例えば、パケットを暗号化または認証処理して送信できるポリシーであれば、二番目にセキュリティレベルの高いポリシーを選択してもよい。

本実施形態によれば、暗号通信装置１０１がＩＰアドレスを複数保持しており、それを意識しないＳＰが設定されたとしても、同一の通信相手と通信する場合、アドレスを意識しなくてもセキュリティ強度の高いポリシーを適用することができる。セキュリティ強度の高いポリシーとは、最もセキュリティ強度の高いポリシーであるか、所定の強度以上のセキュリティ強度を有するポリシーである。これにより、セキュリティ管理者がＳＰに指定するＩＰアドレスとして、通信に使うＩＰアドレスと異なるアドレスを指定してしまっても、ＳＰに基づいたＩＰアドレスによる通信が可能となる。またＳＰに該当しない、動的に割り当てられたＩＰアドレスが優先的に使われてしまうような場合においても、ＳＰが設定された相手との通信では、セキュリティ強度を保った通信が可能となる。またグローバルＩＰアドレスを送信先として指定した場合には、リンクローカルアドレスによるＩＰアドレスの組み合わせでＳＰを検索しないので、ＩＰアドレス決定処理を効率的に行うことが可能となる。

図５は暗号通信装置１０１のハードウェア構成の一例を示している。暗号通信装置１０１は、プロセッサ５２１と、メモリ５２２と、鍵管理部５２３と、暗号・復号器５２４と、データパス制御部５２５と、ＭＡＣ部５２６と、ＰＨＹ部５２７とを有している。
プロセッサ５２１は、通信相手装置とのデータ通信のための各種プロトコル処理を行う。また、プロセッサ５２１は、通信相手装置へのデータ送信指示も行う。さらに、プロセッサ５２１は、メモリ５２２の中から、通信相手装置とのデータ通信に必要な各種情報を検索する。プロセッサ５２１は、データの表示や印刷等のアプリケーション処理を行ってもよい。

メモリ５２２は、アプリケーション処理に用いるためのデータや、通信相手装置とのデータ通信に用いる各種パラメータおよび各種フローチャートを実現するためのプログラム等を記憶する。また、メモリ５２２は、通信相手装置とのデータ通信に必要な各種情報や、通信するデータを記憶する。鍵管理部５２３は、通信相手装置とのデータ通信に用いる暗号鍵を管理する。暗号鍵は、例えば、メモリ５２２に記憶されている。暗号・復号器５２４は、鍵管理部５２３により管理されている暗号鍵を用いて、通信相手装置との間で通信されるデータの暗号化および復号化を行う。
データパス制御部５２５は、メモリ５２２とＭＡＣ部５２６との間のデータ転送を制御する。ＭＡＣ部５２６はＯＳＩ参照モデルのデータリンク層（第２層）の下位副層に相当するＭＡＣ層のプロトコル処理を行う。ＰＨＹ部５２７は、ＯＳＩ参照モデルの第１層に位置するＰＨＹ（物理）層のプロトコル処理と電気信号の処理を行う。ＯＳＩ参照モデルは、国際標準化機構によって策定された、コンピュータの持つべき通信機能を階層構造に分割したモデルである。ＯＳＩは、Ｏｐｅｎ Ｓｙｓｔｅｍ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎの略である。

バス５２８は、暗号通信装置１０１内部の各種ハードウェアを接続している。ネットワーク１０２は、暗号通信装置１０１と通信相手装置とを接続している。ネットワーク１０２は有線でもよいし無線でもよい。
図１のソフトウェア構成は、図５のメモリ５２２に記憶されたプログラムをプロセッサ５２１が読み出すことで実現される。なお、図１に示した複数のソフトウェアブロックを１つのソフトウェアブロックとして構成してもよいし、１つのソフトウェアブロックを複数のソフトウェアブロックとして構成してもよい。また、図１のソフトウェアブロックの一部もしくは全部をハードウェアとして構成してもよい。
上記において、ＩＰｓｅｃによるセキュリティ通信について説明をしたが、ＩＰｓｅｃ以外のプロトコルを用いる場合にも本発明を使用することができる。

（他の実施形態）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

１０１…暗号通信装置、１０４…ネットワークプロトコル処理部、１０７…ＩＰｓｅｃ処理部、１０８…アドレス管理部

Claims (10)

1. パケットを他の通信装置に送信する通信装置であって、
   前記通信装置が有する複数のＩＰアドレスおよび前記他の通信装置が有する複数のＩＰアドレスに基づいて、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）を適用可能な設定情報を検索する検索手段と、
   前記検索手段によりＩＰＳｅｃを適用可能な複数の前記設定情報が検索された場合、該検索された複数の設定情報の各々に基づいて生成されるパケットのセキュリティ強度に基づいて、該検索された複数の設定情報の中から１つの前記設定情報を選択する選択手段と、
   前記選択手段により選択された前記設定情報に示される前記通信装置のＩＰアドレスと前記他の通信装置のＩＰアドレスとを用いて、パケットを生成する生成手段と、
   前記生成手段により生成されたパケットを前記他の通信装置に送信する送信手段と、
   を有することを特徴とする通信装置。
2. 前記セキュリティ強度は、適用されるセキュリティプロトコルの数に基づいて定められることを特徴とする請求項１に記載の通信装置。
3. 前記セキュリティ強度は、適用されるセキュリティプロトコルの暗号化もしくは認証の方式に基づいて定められることを特徴とする請求項１に記載の通信装置。
4. 前記セキュリティプロトコルは、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ＨｅａｄｅｒおよびＥｎｃａｐｓｕｌａｔｅｄ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄを含むことを特徴とする請求項２または３に記載の通信装置。
5. 前記通信装置が有するＩＰアドレスを示す第１のリストおよび前記他の通信装置が有するＩＰアドレスを示す第２のリストを取得する取得手段をさらに有し、
   前記検索手段は、前記取得手段により取得した前記第１のリストおよび前記第２のリストに基づいて、ＩＰＳｅｃを適用可能な前記設定情報を検索することを特徴とする請求項１から４のいずれか１項に記載の通信装置。
6. 前記第１のリストは、前記他の通信装置のＩＰアドレスからルーティング処理によって得られたＩＰアドレスのリストであることを特徴とする請求項５に記載の通信装置。
7. 前記他の通信装置がホスト名で指定された場合、前記取得手段は、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバを用いて前記第２のリストを取得することを特徴とする請求項５または６に記載の通信装置。
8. 前記他の通信装置がグローバルＩＰアドレスで指定された場合、前記取得手段は、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバからホスト名を取得して、当該ホスト名により前記他の通信装置のＩＰアドレスのリストを取得することを特徴とする請求項５から７のいずれか１項に記載の通信装置。
9. パケットを他の通信装置に送信する通信装置の制御方法であって、
   前記通信装置が有する複数のＩＰアドレスおよび前記他の通信装置が有する複数のＩＰアドレスに基づいて、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）を適用可能な設定情報を検索するステップと、
   前記検索するステップによりＩＰＳｅｃを適用可能な複数の前記設定情報が検索された場合、該検索された複数の設定情報の各々に基づいて生成されるパケットのセキュリティ強度に基づいて、該検索された複数の設定情報の中から１つの前記設定情報を選択するステップと、
   前記選択するステップにより選択された前記設定情報に示される前記通信装置のＩＰアドレスと前記他の通信装置のＩＰアドレスとを用いて、パケットを生成するステップと、
   前記生成するステップにより生成された前記パケットを前記他の通信装置に送信するステップと、
   を有することを特徴とする制御方法。
10. コンピュータを、請求項１から８のいずれか１項に記載の通信装置として機能させるためのプログラム。

Images