JPWO2008026243A1 - データ暗号装置及びアドレス解決方法及びアドレス解決プログラム - Google Patents

データ暗号装置及びアドレス解決方法及びアドレス解決プログラム Download PDF

Info

Publication number
JPWO2008026243A1
JPWO2008026243A1 JP2008531902A JP2008531902A JPWO2008026243A1 JP WO2008026243 A1 JPWO2008026243 A1 JP WO2008026243A1 JP 2008531902 A JP2008531902 A JP 2008531902A JP 2008531902 A JP2008531902 A JP 2008531902A JP WO2008026243 A1 JPWO2008026243 A1 JP WO2008026243A1
Authority
JP
Japan
Prior art keywords
address
encryption
packet
processing unit
terminal device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2008531902A
Other languages
English (en)
Inventor
規充 永嶋
規充 永嶋
忍 後沢
忍 後沢
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Publication of JPWO2008026243A1 publication Critical patent/JPWO2008026243A1/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload

Abstract

同一リンク上の端末装置間の通信において、ホップリミットをデクリメントせず、かつ、アドレス解決の内容を秘匿する。データ暗号装置１００は、端末装置１０からＮＳパケットを受信すると、ＳＡ、ＴＡ、ＬＡを格納した後、ＳＡを自己の論理アドレスに、ＬＡを自己の物理アドレスに書き換える。データ暗号装置２００は、受信したＮＳパケットのＴＡが自己のアドレスでない場合、そのまま中継する。端末装置２０は、中継されたＮＳパケットのＴＡが自己の論理アドレスである場合、ＮＳパケットのＬＡに自己の物理アドレスを格納し、ＮＡパケットとしてデータ暗号装置２００宛に送信する。データ暗号装置２００は、ＮＡパケットを暗号化してデータ暗号装置１００に送信する。データ暗号装置１００は、ＮＡパケットを復号し、保持するアドレスに書き換えて、端末装置１０宛に送信する。

Description

この発明は、端末装置が送信したパケットをネットワーク上で暗号化、復号することにより、データが盗聴されることを防ぐ、データ暗号装置、アドレス解決方法及びアドレス解決プログラムに関する。
図２２は、インターネット３２０を介して端末装置の間で通信をする場合の例である。端末装置１０はスイッチ３０に接続され、端末装置３５０はスイッチ３４０に接続されている。スイッチ間にはルータ３１０、ルータ３３０が設置されている。端末装置１０は、端末装置３５０にデータを送信する場合、Ｎｅｘｔ Ｈｏｐであるルータ３１０に対してパケットを送信する。ルータ３１０は、内部に保持しているルーティング情報を参照して受信したパケットをルータ３３０に転送する。ルータ３３０は、転送されたパケットを端末装置３５０に送信する。
ＩＰｖ６では、暗号通信の際に使用するプロトコルの１つであるＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ Ｐｒｏｃｏｔｏｌ）が標準機能となっている。このため、図２２の端末装置１０，端末装置３５０でデータを暗号化することは可能である。
しかし、暗号化により、ネットワーク管理者が端末装置の監視が困難になるため、企業ネットワークではネットワーク上に設置されたルータ３１０，ルータ３３０によってデータを暗号化、復号するケースが多くみられる。ルータによる暗号化では、同一リンク上に配置された端末間（端末装置１０−端末装置２０）の通信には暗号化は適用することができない。端末装置１０，端末装置２０が接続されたスイッチ３０の下に、それぞれルータを導入することは可能である。しかし、ルータは異なるネットワーク間を接続するものであり、端末装置１０，端末装置２０のアドレス構成を変更しなければならないという課題がある。
同一リンク上の端末装置間の通信に暗号通信を導入する方法として、論文「“Ｔｒａｎｓｐａｒｅｎｔ ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｅｎｆｏｒｃｅｍｅｎｔ”，ＵＳＥＮＩＸ，Ｆｒｅｅｎｉｘ Ｔｒａｃｋ，Ｐｒｏｃｅｅｄｉｎｇｓ，ｐｐ．２１５−２２６．Ａｕｇｕｓｔ １９９７」（非特許文献１）がある。このデータ暗号装置は、後述する図１のように設置され、端末装置１０と端末装置２０との間に暗号通信を適用することが可能となる。端末装置１０と端末装置２０との間では、図２３に示すように、通信に先立ち、通信相手の端末装置のアドレスを解決するため、アドレス問い合わせパケット（Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ／Ｎｅｉｇｈｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ）が送受信される。データ暗号装置は、アドレス解決応答（Ｎｅｉｇｈｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ）パケット４９を暗号化し、復号時にヘッダ内のＨｏｐ Ｌｉｍｉｔをデクリメントする。ＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔ）では、Ｎｅｉｇｈｂｏｒ ＡｄｖｅｒｔｉｓｅｍｅｎｔパケットのＨｏｐ Ｌｉｍｉｔは２５５でなければならないと決まっている。このため、Ｈｏｐ Ｌｉｍｉｔがデクリメントされたパケットを受信した端末装置は、エラーパケットとしてこのパケットを廃棄する。このため、アドレス解決が完了せず、端末装置は通信できないという課題がある。
アドレス解決の問題を導入する方法として、論文「“Ａ Ｒｅｐｅａｔｅｒ Ｅｎｃｒｙｐｔｉｏｎ Ｕｎｉｔ ｆｏｒ ＩＰｖ４ ａｎｄ ＩＰｖ６”，２００５ １３ｔｈ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｎｅｔｗｏｒｋ，Ｐｒｏｃｅｅｄｉｎｇｓ ｖｏｌ．１，ｐｐ．３３５−３４０．Ｎｏｖｅｍｂｅｒ ２００５」（非特許文献２）がある。このデータ暗号装置は、上記と同様、図１のように設置される。データ暗号装置は、図２４に示すように、「Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ／Ｎｅｉｇｈｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ」を含むネットワーク制御のためのパケットを暗号化せずに、平文のまま送信するため、アドレス解決の内容が解析されてしまうという課題がある。
「"Ｔｒａｎｓｐａｒｅｎｔ ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｅｎｆｏｒｃｅｍｅｎｔ"，ＵＳＥＮＩＸ，Ｆｒｅｅｎｉｘ Ｔｒａｃｋ，Ｐｒｏｃｅｅｄｉｎｇｓ，ｐｐ．２１５−２２６．Ａｕｇｕｓｔ １９９７」 「"Ａ Ｒｅｐｅａｔｅｒ Ｅｎｃｒｙｐｔｉｏｎ Ｕｎｉｔ ｆｏｒ ＩＰｖ４ ａｎｄ ＩＰｖ６"，２００５ １３ｔｈ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｎｅｔｗｏｒｋ，Ｐｒｏｃｅｅｄｉｎｇｓ ｖｏｌ．１，ｐｐ．３３５−３４０．Ｎｏｖｅｍｂｅｒ ２００５」
本発明は、同一リンク上の端末装置間の通信に暗号通信を適用する暗号装置において、Ｈｏｐ Ｌｉｍｉｔが２５５であるというＲＦＣ規定に基づくアドレス解決を図り、かつ、アドレス解決の内容が解析されるのを防ぐことを目的とする。
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部とを備え、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定し、
前記平文ポートは、
前記アドレス解決処理部の決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号処理部は、
前記アドレス処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記平文ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すＨｏｐ Ｌｉｍｉｔとを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記Ｈｏｐ Ｌｉｍｉｔをデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記Ｈｏｐ Ｌｉｍｉｔの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。
この発明のデータ暗号装置は、
データを暗号化するデータ暗号装置において、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備え、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すＨｏｐ Ｌｉｍｉｔとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記Ｈｏｐ Ｌｉｍｉｔの値をデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記Ｈｏｐ Ｌｉｍｉｔの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。
この発明のアドレス解決方法は、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。
この発明のアドレス解決方法は、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定し、
前記平文ポートは、
前記アドレス解決処理部の決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。
この発明のアドレス解決方法は、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記暗号処理部は、
前記アドレス処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
前記平文ポートは、
前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。
この発明のアドレス解決方法は、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が行うアドレス解決方法において、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
前記平文ポートは、
前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。
この発明のアドレス解決方法は、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が実行するアドレス解決方法において、
前記平文ポートは、
前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すＨｏｐ Ｌｉｍｉｔとを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
前記暗号処理部は、
前記暗号ポートが受信した前記暗号化応答パケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記Ｈｏｐ Ｌｉｍｉｔをデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記Ｈｏｐ Ｌｉｍｉｔの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とする。
この発明のアドレス解決方法は、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
アドレス解決処理部と、
暗号処理部と、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたデータ暗号装置が実行するアドレス解決方法において、
前記暗号ポートは、
前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すＨｏｐ Ｌｉｍｉｔとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
前記暗号処理部は、
前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
前記アドレス解決処理部は、
前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記Ｈｏｐ Ｌｉｍｉｔの値をデクリメントすることなく維持し、
前記平文ポートは、
前記アドレス解決処理部が前記Ｈｏｐ Ｌｉｍｉｔの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
前記アドレス解決処理部は、
前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
前記暗号処理部は、
前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
前記暗号ポートは、
前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とする。
この発明のアドレス解決プログラムは、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
記憶部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
（３）前記暗号ポートが、前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
（４）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
（５）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更する処理
（６）前記平文ポートが、前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理
この発明のアドレス解決プログラムは、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定する処理
（３）前記平文ポートが、前記決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
（４）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定する処理
（５）暗号化を決定した場合には前記応答パケットを暗号化する処理
（６）前記暗号ポートが、暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理
この発明のアドレス解決プログラムは、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
（３）前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化する処理
（４）前記暗号ポートが、暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
（５）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
（６）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更する処理
（７）前記平文ポートが、前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理。
この発明のアドレス解決プログラムは、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信する処理
（２）前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号する処理
（３）復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
（４）前記平文ポートが、前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
（５）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定する処理
（６）前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化する処理
（７）前記暗号ポートが、暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理
この発明のアドレス解決プログラムは、
第１の端末装置に接続した平文ポートと、
他のデータ暗号装置に接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
（２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定する処理
（３）前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化する処理
（４）前記暗号ポートが、暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すＨｏｐ Ｌｉｍｉｔとを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
（５）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
（６）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記Ｈｏｐ Ｌｉｍｉｔをデクリメントすることなく維持する処理
（７）前記平文ポートが、前記Ｈｏｐ Ｌｉｍｉｔの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理
この発明のアドレス解決プログラムは、
端末装置と接続した平文ポートと、
他のデータ暗号装置と接続した暗号ポートと、
記憶部と、
暗号通信条件を格納する暗号通信条件格納部と
を備えたコンピュータであるデータ暗号装置に以下の処理を実行させることを特徴とする。
（１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すＨｏｐ Ｌｉｍｉｔとを含む暗号化されたアドレス解決問い合わせパケットを受信する処理
（２）前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号する処理
（３）復号した前記アドレス解決問い合わせパケットに含まれる前記Ｈｏｐ Ｌｉｍｉｔの値をデクリメントすることなく維持する処理
（４）前記平文ポートが、前記Ｈｏｐ Ｌｉｍｉｔの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
（５）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定する処理
（６）暗号化を決定した場合には前記応答パケットを暗号化する処理
（７）前記暗号ポートが、前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理
この発明により、同一リンク上の端末装置間の通信に暗号通信を適用する暗号装置において、Ｈｏｐ Ｌｉｍｉｔが２５５であるというＲＦＣ規定に基づくアドレス解決を図り、かつ、アドレス解決の内容が解析されるのを防ぐことができる。
実施の形態１．
図１〜図１２を使用して実施の形態１を説明する。実施の形態１は、アドレス解決処理において、データ暗号装置が、Ｎｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙ パケットに含まれるアドレスを書き換える実施形態である。データ暗号装置は、アドレスを書き換えることにより、端末装置に代わりアドレス解決を実行する。これにより、データ暗号装置において、通信が一旦終端する。このため、Ｎｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙ パケットに含まれるＨｏｐ Ｌｉｍｉｔのデクリメントは、発生せず、アドレス解決が可能となる。
図１は、実施の形態１におけるデータ暗号装置の接続されたシステムの構成を示す。端末装置１０と端末装置２０とは、データ暗号装置を介してスイッチ３０に接続されている。端末装置３５０は、スイッチ３４０に接続されている。スイッチ間には、インターネット３２０を介して、ルータ３１０とルータ３３０とが設置されている。ルータ３１０とルータ３３０とはインターネット３２０に接続している。端末装置３５０はスイッチ３４０に接続しており、スイッチ３４０はルータ３３０に接続している。
データ暗号装置１００は、端末装置１０とスイッチ３０との間に設置されている。データ暗号装置２００は、端末装置２０とスイッチ３０との間に設置されている。データ暗号装置は、ルータ（レイヤ３）ではなくレイヤ２で動作する。このため、データ暗号装置の上流ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ：暗号ＬＡＮ５０、暗号ＬＡＮ６０）及び下流ＬＡＮ（平文ＬＡＮ４０、平文ＬＡＮ７０）のネットワークアドレス（リンクレイヤアドレス）は同一である。端末装置１０、端末装置２０、データ暗号装置１００、及びデータ暗号装置２００は同一リンク上に設置されており、端末装置１０と端末装置２０とは、ルータを介さずに通信することが可能である。
図２は、図１のシステムにおいて、データ暗号装置１００とデータ暗号装置２００との構成を示す図である。データ暗号装置１００とデータ暗号装置２００とは、同じ構成である。データ暗号装置１００の構成を説明する。データ暗号装置１００は、記憶部１０２と、平文ポート１０３と、暗号ポート１０４と、送受信制御部１０５と、プロトコル解析部１０６と、後述のＳＰＤ／ＳＡＤを格納するＳＰＤ／ＳＡＤ格納部１０７（暗号通信条件格納部）と、暗号化／復号部１０８（暗号処理部）と、ＮＤアドレス解決処理部１０９とを備える。これらの構成要素の機能は以下の動作の説明で述べる。
図３は、実施の形態１におけるアドレス解決処理を示すシーケンス図である。図３では、それぞれのＮＳパケット（後述する）、ＮＡパケット（後述する）に含まれるアドレスの内容を示している。図３、及び以下の説明において、
ＤＡは、宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）を示し、
ＳＡは、送信元アドレス（Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）を示し、
ＴＡは、ターゲットアドレス（Ｔａｒｇｅｔ Ａｄｄｒｅｓｓ）を示し、
ＬＡは、リンクレイヤアドレス（Ｌｉｎｋ Ｌａｙｅｒ Ａｄｄｒｅｓｓ）を示す。
このうち、ＬＡのみが物理アドレス（例えばＭＡＣアドレス）であり、他のアドレスは論理アドレス（例えばＩＰｖ６アドレス）である。例えば、ＮＳパケット３１において「ＳＡ：端末１０」とあるのは、ＮＳパケット３１のＳＡが端末装置１０のＩＰｖ６アドレスであることを示し、「ＬＡ：端末１０」とあるのは、ＮＳパケット３１のＬＡが端末装置１０のＭＡＣアドレスであることを示す。以下の説明で、「ＳＡのアドレスが端末装置１０」とあるのは、ＳＡのアドレスが端末装置１０のアドレスであることを意味する。そして、ＬＡの場合は物理アドレスであり、ＬＡ以外のアドレスの場合は、論理アドレスである。図３を参照して、アドレス解決処理の動作を説明する。
（Ｓ３１：端末装置１０がＮＳパケット３１を送信）
図３に示すように、端末装置１０は、端末装置２０にデータを送信するにあたり、端末装置２０のリンクレイヤアドレス（物理アドレス）を取得するため、アドレス解決問い合わせ（Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ）のための「Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ パケット」（以下、ＮＳパケットという。）を端末装置２０宛に送信する（ステップＳ３１）。
（Ｓ３２：データ暗号装置１００が平文ポート１０３からＮＳパケット３２を受信）
データ暗号装置１００の送受信制御部１０５は、平文ポート１０３を介して端末装置１０からＮＳパケット３１を受信する（ステップＳ３２）。データ暗号装置１００のプロトコル解析部１０６は、平文ポート１０３が受信したパケットを解析する。プロトコル解析部１０６による解析の結果、ＮＳパケットである場合には、ＮＤアドレス解決処理部１０９が、平文ポート１０３から受信したＮＳパケット３１の処理を行う。平文ポート１０３からＮＳパケット３１を受け取った際のＮＤアドレス解決処理部１０９による具体的な処理は、図５で後述する。
（ＮＤパケットの説明）
ここで、図３の説明を続ける前に、図４を用いて「Ｎｅｉｇｈｂｏｒ Ｄｉｓｃｏｖｅｒｙ（Ｓｏｌｉｃｉｔａｔｉｏｎ及びＡｄｖｅｒｔｉｓｅｍｅｎｔ）パケット」（以下、ＮＤパケットという。）を説明する。「ＮＤパケット」は、「Ｎｅｉｇｈｂｏｒ Ｓｏｌｉｃｉｔａｔｉｏｎ パケット」（以下、ＮＳパケットという）」あるいは、「Ｎｅｉｇｈｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ パケット」（以下、ＮＡパケットという）として通信される。ＮＤパケットは、ターゲットアドレスを持つ端末装置に向かう時にはＮＳパケットであり、また、ターゲットアドレスを持つ端末装置から返信される場合にはＮＡパケットである。
図４は、「アドレス解決」に使用するＮＤパケットの構造を示している。ＮＤパケットはＩＰｖ６ヘッダ及びＮＤデータから構成される。ＩＰｖ６ヘッダは、（１）バージョン、（２）Ｃｌａｓｓ、（３）Ｆｌｏｗ ｌａｂｅ、（４）ペイロード長、（５）次ヘッダ、（６）Ｈｏｐ Ｌｉｍｉｔ、（７）ＳＡ（Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）、（８）ＤＡ（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）の情報を含む。また、ＮＤデータは、（１）Ｔｙｐｅ、（２）Ｃｏｄｅ、（３）チェックサム、（４）フラグ、（５）ＴＡ（Ｔａｒｇｅｔ Ａｄｄｒｅｓｓ）、（６）ＬＡ（Ｌｉｎｋ Ｌａｙｅｒ Ａｄｄｒｅｓｓ）の情報を含む。
（Ｓ３２:データ暗号装置１００が平文ポート１０３からＮＳパケット３１を受信）
図５を参照して、データ暗号装置１００の平文ポート１０３がＮＳパケットを受信した際の、ＮＤアドレス解決処理部１０９による具体的な処理を説明する。図５は、データ暗号装置１００が平文ポート１０３からＮＳパケットを受信した場合に、ＮＤアドレス解決処理部１０９が実行する処理を示すフローチャートである。
図５において、Ｓ１０１、Ｓ１０２、Ｓ１０３、Ｓ１０４の一連のステップが、本実施の形態１に関する処理である。データ暗号装置１００のＮＤアドレス解決処理部１０９は、受信したＮＳパケット３１のＴＡが自局アドレスと一致するかをチェックする（ステップＳ１０１）。図３に示すように、ＮＳパケット３１のＴＡは端末装置２０のためアドレスは一致しない。このため、ＮＤアドレス解決処理部１０９は、ＮＳパケット３１に含まれるＳＡ、ＴＡ、ＬＡをデータ暗号装置１００の記憶部１０２に保持する（ステップＳ１０２）。そして、ＮＤアドレス解決処理部１０９は、ＮＳパケット３１のＳＡをデータ暗号装置１００のＩＰｖ６アドレス（論理アドレス）に書き換え、及びＬＡをデータ暗号装置１００のリンクレイヤアドレス（物理アドレス）に書き換える（ステップＳ１０３）。送受信制御部１０５は、ＳＡとＬＡとが書き換えられたＮＳパケット３２を暗号ポート１０４から送信する（ステップＳ１０４）。
図５のＳ１０５以降は、本実施の形態１の特徴を示すステップではないので簡単に説明する。端末装置１０がデータ暗号装置１００と通信する場合に送信するＮＳパケット（データ暗号装置１００のリンクレイヤアドレスを要求するＮＳパケット）は、ＴＡがデータ暗号装置１００のＩＰｖ６アドレスである。よって、図５のステップＳ１０１において、アドレスが一致する。このため、データ暗号装置１００は、Ｓ１０５以降の処理を実行する。この場合、データ暗号装置１００は、データ暗号装置１００のリンクレイヤアドレス（物理アドレス）を格納した「Ｎｅｉｇｈｂｏｒ Ａｄｖｅｒｔｉｓｅｍｅｎｔ パケット」を生成し（ステップＳ１０５）、このＮＡパケットを平文ポート１０３及び暗号ポート１０４から送信する。暗号ポート１０４への送信に対しては、暗号通信の通信条件が設定されたＳＰＤ／ＳＡＤ格納部１０７を参照する（ステップＳ１０７）。
（ＳＰＤ、ＳＡＤの説明）
図６は、ＳＰＤ／ＳＡＤ格納部１０７に保持されている、暗号通信条件を規定するＳＰＤ（Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ Ｄａｔａｂａｓｅ）の設定例を示す。また、図７は、ＳＰＤ／ＳＡＤ格納部１０７に保持されている、暗号通信の条件を規定するＳＡＤ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）の設定例を示す。図６に示すように、ＳＰＤは、送信元アドレス（ＳＡ）、宛先アドレス（ＤＡ）、プロトコル、処理種別、及び暗号化時のトンネルアドレスが設定される。ＮＤアドレス解決処理部１０９は、ＳＰＤの示すアドレス及びプロトコルの条件に一致したパケットに対して、ＳＰＤの処理種別に従って、暗号中継、平文中継、廃棄のいずれかの処理をする。暗号中継の場合には、暗号化時のトンネルのアドレスが設定される。
図７に示すように、ＳＡＤには、暗号通信のパラメータが設定され、ＳＰＤの処理種別が暗号中継の場合に参照する。ＳＡＤは、トンネルアドレス、暗号プロトコル、ＳＰＩ（Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒ Ｉｎｄｅｘ）、暗号アルゴリズム、暗号鍵、ハッシュアルゴリズム、ハッシュ鍵といった情報を持つ。
図６に示すように、端末装置１０から端末装置２０宛のすべてのプロトコルのパケットは、暗号化される設定である。図７に示すように、トンネルのアドレスは、データ暗号装置１００−データ暗号装置２００である。データ暗号装置１００−データ暗号装置２００の暗号通信には、ＥＳＰを用いる。
図７に示すように、ＳＡＤは、
ＳＰＩ：０ｘ１１１１、
アルゴリズム：ＤＥＳ、
暗号鍵１１２２３３４４５５、
ハッシュアルゴリズム：ＨＭＡＣ−ＳＨＡ１、
ハッシュ鍵１１２２３３４４５５
を使用する設定である。
（Ｓ３３：データ暗号装置２００が暗号ポートからＮＳパケットを受信）
図３を参照して説明を続ける。データ暗号装置２００は、データ暗号装置１００が送信したＮＳパケット３２を暗号ポート２０４から受信する（Ｓ３３）。プロトコル解析部２０６が、このパケットを解析する。プロトコル解析部２０６による解析の結果、ＮＳパケットである場合には、ＮＤアドレス解決処理部２０９が、平文ポート２０３から受信したＮＳパケット３２の処理を行う。
図８は、データ暗号装置２００が暗号ポート２０４からＮＳパケット３２を受信した場合に、ＮＤアドレス解決処理部２０９が実行する処理を示すフローチャートである。図８を参照して説明する。Ｓ１３１、Ｓ１３２が本実施の形態１に関するステップである。まず、ＮＤアドレス解決処理部２０９は、受信したＮＳパケット３２のＴＡが自局アドレスと一致するかをチェックする（ステップＳ１３１）。図３に示すように、ＮＳパケット３２のＴＡは端末装置２０のため、アドレスは一致しない。よって、ＮＤアドレス解決処理部２０９は、アドレスは一致しないと判断する（Ｓ１３１のＮｏ）。この場合、ＮＤアドレス解決処理部２０９は、送受信制御部２０５を用いて、受信したＮＳパケット３２をＮＳパケット３３として平文ポート２０３から送信させる（ステップＳ１３２）。
図８のＳ１３３以降は、本実施の形態１の特徴を示すステップではないので簡単に説明する。データ暗号装置２００に対するアドレス解決（データ暗号装置２００のリンクレイヤアドレスを要求するＮＳパケット）の場合は、図８のステップＳ１３１においてアドレスが一致する。このため、データ暗号装置２００は、自己のリンクレイヤアドレスを格納したＮＡパケットを生成し、平文ポート２０３及び暗号ポート２０４から送信する。手順は、図５のＳ１０６以降と同様である。この場合、データ暗号装置２００から端末装置１０へのＮＡパケットはＳＰＤの条件には一致しない。このため、このＮＡパケットは、平文のまま暗号ポート２０４から送信される。
（Ｓ３４：端末装置２０の動作）
図３に示すように、端末装置２０は、データ暗号装置２００が送信したＮＳパケット３３を受信する（Ｓ３４）。端末装置２０は、ＮＳパケット３３内のターゲットアドレスＴＡと自身のアドレス（ＩＰｖ６アドレス）が一致するため、リンクレイヤアドレス部分に端末装置２０のＭＡＣアドレス（物理アドレス）を格納する。また、端末装置２０は、「宛先アドレスＤＡ：データ暗号装置１００」、及び「送信元アドレスＳＡ：端末装置２０」を含むＮＡパケット３４をＮＳパケット３３に応答する応答パケットとしてデータ暗号装置１００宛に送信する。
（Ｓ３５：データ暗号装置２００が平文ポート２０３からＮＡパケット３４を受信）
データ暗号装置２００は、端末装置２０が送信したＮＡパケット３４を平文ポート２０３から受信する（ステップＳ３５）。プロトコル解析部２０６がパケットを解析する。プロトコル解析部２０６による解析の結果、ＮＡパケットの場合は、ＮＤアドレス解決処理部２０９が、平文ポート２０３から受信したＮＡパケット３４に対する処理を行う。
図９は、データ暗号装置２００が平文ポート２０３からＮＡパケット３４を受信した場合に、ＮＤアドレス解決処理部２０９が実行する処理を示すフローチャートである。図９を参照して説明する。Ｓ１２１〜Ｓ１２４が本実施の形態１に関するステップである。まず、ＮＤアドレス解決処理部２０９は、ＮＡパケット３４の宛先アドレスＤＡが自局アドレス（ＩＰｖ６アドレス）と一致するかをチェックする（ステップＳ１２１）。図３に示すように、ＮＡパケット３４の宛先アドレスＤＡはデータ暗号装置１００であり、アドレスは一致しない。この場合、ＮＤアドレス解決処理部２０９は、ＳＰＤ／ＳＡＤを参照し、パケットを暗号化するかどうかを判定する（ステップＳ１２２）。図６に示したように、ＳＰＤは、端末装置２０とデータ暗号装置１００との間で通信されるパケットを暗号化する設定である。このため、ＮＤアドレス解決処理部２０９は、暗号化と判定する（Ｓ１２２，Ｓ１２３）。ＮＤアドレス解決処理部２０９の判定に従って、暗号化／復号部２０８が、ＳＡＤに設定されている暗号アルゴリズム、暗号鍵、ハッシュアルゴリズム、ハッシュ鍵を用いてＮＡパケット３４を暗号化する（ステップＳ１２３）。送受信制御部２０５は、暗号化されたＮＡパケット３４をＮＡパケット３５（暗号化応答パケット）として暗号ポート２０４から送信する（ステップＳ１２４）。
図９のステップＳ１２７は、本実施の形態１の特徴を示すステップではないので簡単に説明する。データ暗号装置２００と端末装置２０とが通信する場合など、データ暗号装置２００からＮＳパケットを送信した場合、このＮＳパケットに対する応答であるＮＡパケットをデータ暗号装置２００が受信した場合には、ＤＡはデータ暗号装置２００のアドレスに一致する。この場合、データ暗号装置２００は、このＮＡパケット内のターゲットアドレスＴＡ，リンクレイヤアドレスＬＡをＮｅｉｇｈｂｏｒ Ｃａｃｈｅに登録する（ステップＳ１２７）。
（Ｓ３６：データ暗号装置１００が暗号ポート１０４からＮＡパケット３５を受信）
データ暗号装置１００は、データ暗号装置２００が送信した暗号化されているＮＡパケット３５を受信する（ステップＳ３６）。
図１０は、データ暗号装置１００が暗号ポート２０４からＮＡパケット３５を受信した場合に、ＮＤアドレス解決処理部１０９が実行する処理を示すフローチャートである。図１０を参照して説明する。Ｓ１４１〜Ｓ１４７が本実施の形態１に関するステップである。
図１０のフローにしたがって、暗号化／復号部１０８が、暗号化されているＮＡパケット３５を復号する（ステップＳ１４１、Ｓ１４２）。次に、ＮＤアドレス解決処理部１０９は、復号されたＮＡパケット３５の宛先アドレスＤＡが自局アドレスと一致するかをチェックする（ステップＳ１４３）。図３に示すように、ＮＡパケット３５は、データ暗号装置１００が送信元アドレスＳＡとリンクレイヤアドレスＬＡとを自己のアドレスに書き換えたＮＳパケット３２に対する応答である。このため、宛先アドレスＤＡは自局アドレスと一致する（Ｓ１４３のＹｅｓ）。次に、ＮＤアドレス解決処理部１０９は、ターゲットアドレスＴＡ，リンクレイヤアドレスＬＡを「Ｎｅｉｇｈｂｏｒ Ｃａｃｈｅ」に登録する（ステップＳ１４４）。そして、ＮＤアドレス解決処理部１０９は、先に保持しているターゲットアドレスＴＡの情報（図５のＳ１０２）と、受信したＮＡパケット３５のターゲットアドレスＴＡとが一致するため、復号したＮＡパケット３５の宛先アドレスＤＡを端末装置１０に変更する（ステップＳ１４５、Ｓ１４６）。このＮＡパケット３５は、ＮＡパケット３６として平文ポート１０３から送信される（ステップＳ１４７）。
このとき、データ暗号装置１００のＮＤアドレス解決処理部１０９は、ＮＡパケット３６の「Ｈｏｐ Ｌｉｍｉｔ」を、２５５に設定して端末装置１０に送信する。
（Ｓ３７：端末装置１０）
端末装置１０は、ＮＡパケット３６を受信する（ステップＳ１３７）。端末装置１０は、ＮＡパケット３６の「Ｈｏｐ Ｌｉｍｉｔ」が２５５であるため正常パケットと判断し、ＮＡパケット３６から端末装置２０のリンクレイヤアドレス（ＭＡＣアドレス）を取り出す。これにより、アドレス解決が完了する。
（アドレス解決後の端末装置間のデータ通信）
図１１、図１２は、アドレス解決後の端末装置間のデータ通信のフローチャートを示す。図３に示すように、端末装置１０は、取得した端末装置２０のリンクレイヤアドレスを用いて、端末装置２０宛のデータ３７を送信する。以降は、以下の手順で、端末装置１０と端末装置２０とが、データ暗号装置１００，データ暗号装置２００を介して暗号通信を行う。データ３７を受信したデータ暗号装置１００は、図１１の処理を行う。データ暗号装置１００は、ＳＰＤ／ＳＡＤに設定された暗号条件によりパケットを暗号化して、暗号ポート１０４から送信する（ステップＳ１５１、Ｓ１５２、Ｓ１５３）。暗号化されたデータ３８を受信したデータ暗号装置２００は、図１２の処理を行う。データ暗号装置２００は、データ３８を復号し（Ｓ１６１、Ｓ１６２）、復号後のパケットに対してＳＰＤ／ＳＡＤを参照し、暗号化の場合に平文ポート２０３から送信する（ステップＳ１６５）。
以上のように、データ暗号装置は、端末装置が送信したＮＤ問い合わせパケット（ＮＳパケット）のアドレスを書き換え、端末装置の代わりにアドレス解決を代行する。このため、アドレス解決は一旦、データ暗号装置で終端し、その後に端末装置にアドレス解決結果が通知されることなる。よって、パケットのＨｏｐ Ｌｉｍｉｔのデクリメントによるアドレス解決の失敗を防ぐことが可能となる。
以上の実施の形態１では、データ暗号装置１００が、アドレスを書き換えた。
すなわち、
（１）データ暗号装置１００は、端末装置１０からＮＳパケットを受信した場合、ＳＡ、ＴＡ、ＬＡを記憶部１０２に格納した後、ＳＡ、ＬＡを次のように書き換え、ＮＳパケットをマルチキャストアドレス送信する。データ暗号装置１００は、ＳＡ（端末装置１０のＩＰｖ６アドレス）をデータ暗号装置１００のＩＰｖ６アドレスに書き換え、ＬＡ（送信元ＭＡＣアドレス）をデータ暗号装置１００のＭＡＣアドレスに書き換える。
（２）データ暗号装置２００は、受信したＮＳパケットのＴＡが自己のアドレスと一致しない場合は、受信したＮＳパケットをそのまま中継する。
（３）端末装置２０は、受信したＮＳパケットのＴＡが自己のＩＰｖ６アドレスと一致するので、受信したＮＳパケットのＬＡに自己のＭＡＣアドレスを格納し、ＮＡパケットとしてデータ暗号装置２００宛に送信する。
（３）ＮＡパケットを受信したデータ暗号装置２００は、暗号通信条件ＳＰＤを参照し、参照結果に基づき、ＮＡパケットを暗号化してデータ暗号装置１００に送信する。
（４）データ暗号装置１００は、暗号化されたＮＡパケットを復号し、保持していたアドレスに書き換えて、端末装置１０宛に送信する。
（５）以上のように、データ暗号装置１００がＮＤアドレスを書き換え、端末装置１０の代わりにアドレス解決を実行する。これにより、通信がデータ暗号装置１００で一旦終端した後に、実行結果を端末装置１０に通知するため、Ｈｏｐ Ｌｉｍｉｔのデクリメントが発生せず、アドレス解決が可能となる。
実施の形態２．
図１３〜図１６を使用して実施の形態２を説明する。実施の形態２は、実施の形態１に対して、データ暗号装置１００がＮＳパケット３１を暗号化し、暗号化したＮＳパケット３１をＮＳパケット４３としてデータ暗号装置２００に送信する実施形態である。実施の形態２ではＮＳパケットを暗号化するので、セキュリティを向上することができる。
実施の形態２のシステム構成及びデータ暗号装置の構成は、実施の形態１と同じである。
図１３は、実施の形態２におけるアドレス解決処理を示すシーケンス図である。図１３を参照して、実施の形態２におけるアドレス解決処理の動作を説明する。図１３は、図３に対応する。図１３は、図３に対して破線で囲まれたＳ４３、Ｓ４４、Ｓ４５、Ｓ４６のステップの処理内容が異なる。端末装置１０が端末装置２０にデータを送信するにあたり、端末装置２０のリンクレイヤアドレスを取得するため、アドレス解決問い合わせパケット（ＮＳパケット３１）を端末装置２０宛に送信するのは実施形態１と同様である。
（Ｓ４３：データ暗号装置１００がＮＳパケット３１を受信）
図１３のＳ３１は、図３のＳ３１と同じである。データ暗号装置１００の送受信制御部１０５は、図３と同様に、平文ポート１０３を介してＮＳパケット３１を受信する（Ｓ４３）。プロトコル解析部１０６が、受信したパケットを解析する。プロトコル解析部１０６による解析の結果、ＮＳパケットである場合には、ＮＤアドレス解決処理部１０９が、平文ポート１０３が受信したＮＳパケット３１の処理を行う。
図１４は、実施の形態２において、データ暗号装置１００が平文ポート１０３からＮＳパケット３１を受信した場合に、ＮＤアドレス解決処理部１０９が実行する処理を示すフローチャートである。図１４を参照して説明する。Ｓ１７１〜Ｓ１７７が本実施の形態２に関するステップである。
まず、ＮＤアドレス解決処理部１０９は、受信したＮＳパケット３１のＴＡが自局アドレスと一致するかをチェックする（ステップＳ１７１）。図１３に示すように、ＮＳパケット３１のＴＡは端末装置２０である。よって一致せず（Ｓ１７１のＮｏ）、ＮＤアドレス解決処理部１０９は、ＮＳパケット３１内のＳＡ、ＴＡ、ＬＡをデータ暗号装置１００の記憶部１０２に保持する（ステップＳ１７２）。そして、ＮＤアドレス解決処理部１０９は、ＮＳパケット３１のＳＡ（端末装置１０）及びＴＡ（端末装置２０）を用いて、ＳＰＤ／ＳＡＤを検索する（ステップＳ１７３）。ＳＰＤは、図６のように、端末装置１０−端末装置２０の通信を暗号化する設定である。よって、ＮＤアドレス解決処理部１０９は、パケットの暗号化を決定する。ＮＤアドレス解決処理部１０９は、ＮＳパケット３１のＳＡを自己（データ暗号装置１００）のＩＰｖ６アドレスに書き換え、また、ＬＡを自己（データ暗号装置１００）のリンクレイヤアドレスに書き換える（ステップＳ１７５）。そして、暗号化／復号部１０８がＮＤアドレス解決処理部１０９の決定に従って、ＳＡとＬＡとが書き換えられたＮＳパケット３１を暗号化する（ステップＳ１７６）。ＮＤアドレス解決処理部１０９は、暗号化されたＮＳパケットの宛先にデータ暗号装置２００を設定する。送受信制御部１０５は、暗号化されたＮＳパケットをＮＳパケット４３として、暗号ポート１０４から送信する（ステップＳ１７７）。
（Ｓ４４：データ暗号装置２００が暗号ポート２０４からＮＳパケット４３を受信）
データ暗号装置２００は、暗号ポート２０４から暗号化されたＮＳパケット４３を受信する（ステップＳ４４）。
図１５は、データ暗号装置２００が暗号ポート２０４からＮＳパケット４３を受信した場合に、ＮＤアドレス解決処理部２０９が実行する処理を示すフローチャートである。図１５を参照して説明する。Ｓ２０１〜Ｓ２０６が本実施の形態２に関するステップである。Ｓ４４の内容を図１５を用いて説明する。
データ暗号装置２００は、データ暗号装置１００が送信した暗号化されたＮＳパケット４３を暗号ポート２０４から受信する。暗号化／復号部２０８は、受信されたＮＳパケット４３を復号する（ステップＳ２０１、Ｓ２０２）。次に、ＮＤアドレス解決処理部２０９は、復号されたＮＳパケット４３のＴＡが自局アドレスと一致するかをチェックする（ステップＳ２０３）。図１３に示すように、ＮＳパケット４３のＴＡは端末装置２０のため一致しない（Ｓ２０３のＮｏ）。このため、ＮＤアドレス解決処理部２０９は、ＮＳパケット４３内のＳＡ、ＴＡ、ＬＡをデータ暗号装置２００の記憶部２０２に保持する（ステップＳ２０４）。ＮＤアドレス解決処理部２０９は、ＮＳパケット４３のＳＡをデータ暗号装置２００のＩＰｖ６アドレスに書き換え、ＬＡをデータ暗号装置２００のリンクレイヤアドレスに書き換える（ステップＳ２０５）。送受信制御部２０５は、このアドレスが書き換えられたＮＳパケットをＮＳパケット４４として平文ポート２０３から送信する（ステップＳ２０６）。
（Ｓ４５：端末装置２０がＮＳパケット４４を受信）
端末装置２０は、ＮＳパケット４４を受信する（Ｓ４５）。データ暗号装置２００が送信したＮＳパケット４４を受信した端末装置２０は、実施の形態１と同様に、ＮＳパケット４４の内容を書き換え、ＮＳパケット４４に応答するＮＡパケット４５（応答パケット）としてデータ暗号装置２００に送信する。すなわち、データ暗号装置２００が送信するＮＳパケット４４において、ＤＡはマルチキャストであり、ＳＡはデータ暗号装置２００であり、ＴＡは端末２０であり、ＬＡはデータ暗号装置２００である。図１３に示すように、端末装置２０は、ＤＡをデータ暗号装置２００に書き換え、ＳＡを自己のアドレスに書き換え、ＬＡを自己の物理アドレスに書き換え、データ暗号装置２００に送信する。
（Ｓ４６：データ暗号装置２００が平文ポート２０３からＮＡパケット４５を受信）
データ暗号装置２００は、端末装置２０が送信したＮＡパケット４５を平文ポート２０３から受信する（Ｓ４６）。プロトコル解析部２０６は、受信したパケットを解析する。ＮＤアドレス解決処理部２０９は、プロトコル解析部２０６による解析の結果、パケットがＮＡパケットの場合、平文ポート２０３から受信したＮＡパケット４５に対する処理を行う。
図１６は、データ暗号装置２００が平文ポート２０３からＮＡパケット４５を受信した場合に、ＮＤアドレス解決処理部２０９が実行する処理を示すフローチャートである。図１６を参照して説明する。Ｓ１９１〜Ｓ１９７が本実施の形態２に関するステップである。
図１３に示すように、ＮＡパケット４５のＤＡはデータ暗号装置２００のため（Ｓ１９１のＹｅｓ）、ＮＤアドレス解決処理部２０９は、ＴＡ，ＬＡをＮｅｉｇｈｂｏｒ Ｃａｃｈｅに登録する（ステップＳ１９２）。ＮＤアドレス解決処理部２０９は、先に保持している（図１５のＳ２０４）ＴＡの情報と受信したＮＡパケット４５のＴＡとが一致するため（Ｓ１９３のＹｅｓ）、ＮＡパケット４５のＤＡを、データ暗号装置１００に変更する（ステップＳ１９３、Ｓ１９４）。次に、ＮＤアドレス解決処理部２０９は、ＤＡ（データ暗号装置１００）及びＳＡ（端末装置２０）を用いて、ＳＰＤ／ＳＡＤを検索し、パケットを暗号化するかどうかを判定する（ステップＳ１９５）。ＳＰＤには図６のように、端末装置２０とデータ暗号装置１００との間の通信を暗号化するよう設定されている。よって、ＮＤアドレス解決処理部２０９は、パケットの暗号化を決定する（Ｓ１９５の暗号化）。暗号化／復号部２０８は、ＮＤアドレス解決処理部２０９の決定に従って、ＤＡを変更したＮＡパケットを暗号化（ステップＳ１９６）する。図１３に示すように、送受信制御部２０５は、暗号化されたＮＡパケットをＮＡパケット３５（暗号化応答パケット）として暗号ポート２０４から送信する（ステップＳ１９７）。
（Ｓ３６：データ暗号装置１００が暗号ポート１０４からＮＡパケット３５を受信）
データ暗号装置１００が、データ暗号装置２００の送信したＮＡパケット３５を暗号ポート１０４から受信した場合の処理は、実施の形態１の図１０と同様である。データ暗号装置１００は、ＮＡパケット３５を復号後、ＮＡパケット３５のＤＡを端末装置１０のＩＰｖアドレスに変更し（ステップＳ１４６）、「Ｈｏｐ Ｌｉｍｉｔ２５５」のＮＡパケット３６を平文ポート１０３から送信する（ステップＳ１４７）。アドレス解決が完了した後において、端末装置１０が端末装置２０にデータを送信する際の動作は、実施の形態１の図１１、図１２と同様である。
以上のように、データ暗号装置が端末の代わりにアドレス解決を代行するだけでなく、ＮＳパケット内のＳＡとＴＡとを用いてＳＰＤ／ＳＡＤを検索してＮＳパケットを暗号化して送信する。これより、アドレス問い合わせの内容が秘匿され、パケットのＨｏｐ Ｌｉｍｉｔのデクリメントによるアドレス解決の失敗を防ぐとともに、セキュリティの向上を図ることができる。
以上の実施の形態２では、データ暗号装置１００がＮＳパケットを暗号化した。すなわち、データ暗号装置１００は、ＳＡ、ＴＡの情報をもとに暗号通信条件ＳＰＤを参照し、ＮＳパケットを暗号化し、データ暗号装置２００のアドレスを宛先に付与してデータ暗号装置に送信する。この場合、マルチキャストアドレスは使用しない。データ暗号装置２００は、暗号化されたＮＳパケットを復号しＮＳパケットを取り出し、マルチキャスト宛に送信する。このようにＮＳパケットも暗号化するのでセキュリティを向上することができる。
実施の形態３．
図１７〜図２０を使用して実施の形態３を説明する。実施の形態２では、データ暗号装置１００が、実施の形態１のＮＳパケット３２に相当するパケットを暗号化し、ＮＳパケット４３として送信した。実施の形態３は、データ暗号装置１００が、端末装置１０の送信したＮＳパケット３１を暗号化する実施形態である。このようにＮＳパケットを暗号化するので、実施の形態２と同様に、セキュリティを向上することができる。
実施の形態３のシステム構成及びデータ暗号装置の構成は、実施の形態１と同じである。
図１７は、実施の形態３におけるアドレス解決処理を示すシーケンス図である。図１７は、図３に対応する。図１７を参照して、実施の形態３におけるアドレス解決処理の動作を説明する。図１７は、図３に対して、破線で囲まれたＳ４７、Ｓ４８、Ｓ４９、Ｓ５０、Ｓ５１のステップの処理内容が異なる。なおＳ５０は、実施の形態１に対してＮＡパケットの内容が異なり、後述のように処理のフローは同様である。図１７を参照して、実施の形態３におけるアドレス解決処理の動作を説明する。
端末装置１０が端末装置２０にデータを送信するにあたり、端末装置２０のリンクレイヤアドレスを取得するため、端末装置１０がアドレス解決問い合わせパケット（ＮＳパケット３１）を端末装置２０宛に送信するのは実施形態１と同様である。
（Ｓ４７：データ暗号装置１００がＮＳパケット３１を受信）
端末装置１０は、ＮＳパケット３１を送信する（Ｓ３１）。データ暗号装置１００の送受信制御部１０５は、平文ポート１０３を介してＮＳパケット３１を受信する（Ｓ４７）。プロトコル解析部１０６が、受信したパケットを解析する。プロトコル解析部１０６による解析の結果、ＮＳパケットである場合には、ＮＤアドレス解決処理部１０９が、平文ポート１０３から受信したＮＳパケット３１の処理を行う。
図１８は、データ暗号装置１００が平文ポート１０３からＮＳパケット３１を受信した場合に、ＮＤアドレス解決処理部１０９が実行する処理を示すフローチャートである。図１８を参照して説明する。Ｓ２２１〜Ｓ２２５が本実施の形態３に関するステップである。
ＮＤアドレス解決処理部１０９は、受信したＮＳパケット３１のＴＡが自局アドレスと一致するかをチェックする（ステップＳ２２１）。図１７に示すように、ＮＳパケット３１のＴＡは端末装置２０のためアドレスは一致しない（Ｓ２２１のＮｏ）。ＮＤアドレス解決処理部１０９は、ＮＳパケット３１のＳＡ（端末装置１０）及びＴＡ（端末装置２０）を用いてＳＰＤ／ＳＡＤを検索し、パケットを暗号化するかどうかを判定する（ステップＳ２２２）。この場合、ＮＤアドレス解決処理部１０９は、ＳＰＤ／ＳＡＤの設定にしたがって、ＮＳパケット３１を暗号化することを決定する（ステップＳ２２３の暗号化）。そして、暗号化／復号部１０８が、ＮＳパケット３１を暗号化する（ステップＳ２２４）。ＮＤアドレス解決処理部１０９は、暗号化されたＮＳパケット３１の宛先にデータ暗号装置２００のアドレスを設定する。送受信制御部１０５が、暗号化されたパケットをＮＳパケット４６として暗号ポート１０４から送信する（ステップＳ２２５）。
（Ｓ４８：データ暗号装置２００が暗号ポート２０４からＮＳパケット４６を受信）
データ暗号装置２００は、暗号ポート２０４からＮＳパケット４６を受信する（ステップＳ４８）。図１９は、データ暗号装置２００が暗号ポート２０４からＮＳパケット４６を受信した場合に、ＮＤアドレス解決処理部２０９が実行する処理を示すフローチャートである。図１９を参照して説明する。Ｓ２４１〜Ｓ２４５が本実施の形態３に関するステップである。Ｓ４８の内容を図１９を用いて説明する。
データ暗号装置２００は、データ暗号装置１００が送信した暗号化されたＮＳパケット４６を暗号ポート２０４から受信する。データ暗号装置２００は、図１９のフローにしたがって、暗号化／復号部２０８がＮＳパケット４６を復号する（ステップＳ２４１，Ｓ２４２）。次に、ＮＤアドレス解決処理部２０９は、復号されたＮＳパケット４６のＴＡが自局アドレスと一致するかをチェックする（ステップＳ２４３）。図１７に示すように、ＮＳパケット４６のＴＡは端末装置２０のため一致しない。この場合、ＮＤアドレス解決処理部２０９は、ヘッダ内のＨｏｐ Ｌｉｍｉｔをデクリメントせずに２５５の値に維持する（ステップＳ２４４）。送受信制御部２０５は、復号されたＮＳパケット４６をＮＳパケット４７として、平文ポート２０３から送信する（ステップＳ２４５）。
（Ｓ４９：端末装置２０）
端末装置２０は、データ暗号装置２００が送信したＮＳパケット４７を受信し、受信したＮＳパケット４７のアドレスを書き換えて、ＮＡパケット４８として端末装置１０宛に送信する（Ｓ４９）。すなわち、端末装置２０が受信するＮＳパケット４７において、ＤＡはマルチキャストであり、ＳＡは端末１０であり、ＴＡは端末２０であり、ＬＡは端末１０である。図１７に示すように、端末装置２０は、ＤＡを端末１０に書き換え、ＳＡを自己のアドレスに書き換え、ＬＡを自己の物理アドレスに書き換える。端末装置２０は、アドレスを書き換えたパケットをＮＡパケット４８として端末装置１０宛に送信する。
（Ｓ５０：データ暗号装置２００が平文ポートからＮＡパケット４８を受信）
端末装置２０が送信したＮＡパケット４８を平文ポート２０３から受信したデータ暗号装置２００の処理は、実施の形態１の図９と同様である。すなわち、データ暗号装置２００は、ＳＰＤ／ＳＡＤを参照し（Ｓ１２２）、ＳＰＤ／ＳＡＤの設定に従ってＮＡパケット４８を暗号化し、暗号化したＮＡパケット４８をＮＡパケット４９としてデータ暗号装置１００宛に送信する。
（Ｓ５１：データ暗号装置１００が暗号ポート１０４からＮＡパケット４９を受信）
図１７に示すように、データ暗号装置１００は、暗号ポート２０４からＮＡパケット４９を受信する（ステップＳ５１）。
図２０は、データ暗号装置１００が暗号ポート１０４からＮＡパケット４９を受信した場合に、ＮＤアドレス解決処理部１０９が実行する処理を示すフローチャートである。図２０を参照して説明する。Ｓ２６１〜Ｓ２６５が本実施の形態３に関するステップである。Ｓ５１の内容を図２０を用いて説明する。
データ暗号装置２００が送信した暗号化されたＮＡパケット４９を受信したデータ暗号装置１００は、図２０に従って処理を行う。暗号化／復号部１０８がＮＡパケット４９を復号する（ステップＳ２６１、Ｓ２６２）。次に、ＮＤアドレス解決処理部１０９が、復号されたＮＡパケット４９のＤＡが自局アドレスと一致するかをチェックする（ステップＳ２６３）。図１７に示すように、ＮＡパケット４９のＤＡは端末装置１０のため一致しない。この場合、ＮＤアドレス解決処理部１０９は、ヘッダ内のＨｏｐ ＬｉｍｉｔをデクリメントせずにＨｏｐ Ｌｉｍｉｔ＝２５５に維持する（ステップＳ２６４）。送受信制御部１０５は、復号されたＮＡパケット４９をＮＡパケット３６として平文ポート１０３から送信する（ステップＳ２６５）
以上のように、データ暗号装置が「ＮＳパケット」及び「ＮＡパケット」を暗号化して送信するとともに、復号時にヘッダ内のＨｏｐ Ｌｉｍｉｔをデクリメントせずに中継する。これにより、パケットのＨｏｐ Ｌｉｍｉｔのデクリメントによるアドレス解決の失敗を防ぎ、かつ、アドレス解決情報を秘匿することが可能となり、セキュリティ向上を図ることができる
実施の形態４．
次に実施の形態４を説明する。実施の形態４は、データ暗号装置の一連の動作を、アドレス解決方法、アドレス解決プログラムとして把握した場合の実施形態である。
以上の実施の形態１〜実施の形態３では、データ暗号装置について説明した。実施の形態１〜実施の形態３のデータ暗号装置の暗号化／復号部やＮＤアドレス解決処理部等の構成要素の一連の動作は互いに関連しており、この一連の動作を、データ暗号装置が行うアドレス解決方法として把握することも可能である。また、これらの一連の動作をコンピュータに実行させる処理として把握することで、コンピュータに実行させるアドレス解決プログラムとして把握することができる。
図２１は、コンピュータであるデータ暗号装置のハードウェア資源の一例を示す図である。なお端末装置もコンピュータであり、ハードウェア資源は、データ暗号装置と同様である。
図２１において、データ暗号装置は、プログラムを実行するＣＰＵ８１０（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を備えている。ＣＰＵ８１０は、バス８２５を介してＲＯＭ８１１（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ８１２（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、通信ボード８１６、磁気ディスク装置８２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置８２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ８１２は、揮発性メモリの一例であり、ＲＯＭ８１１、磁気ディスク装置８２０等の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部、格納部の一例である。ＲＯＭ８１１には、データ暗号装置のＭＡＣアドレス（物理アドレス）が格納されている。
通信ボード８１６は、スイッチあるいは端末装置との間で通信を行う。
磁気ディスク装置８２０には、オペレーティングシステム８２１（ＯＳ）、プログラム群８２３、ファイル群８２４が記憶されている。プログラム群８２３のプログラムは、ＣＰＵ８１０、オペレーティングシステム８２１により実行される。
上記プログラム群８２３には、以上の実施の形態１〜実施の形態３の説明において「〜部」として述べた機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。
ファイル群８２４には、ＳＰＤ／ＳＡＤ、あるいは前述したＳＡ、ＴＡ、ＬＡ等のアドレス情報、及びデータ暗号装置の論理アドレスなどが格納されている。また、ファイル群８２４には、上記の実施の形態で述べた「〜の判定結果」、「〜の決定結果」、「〜の抽出結果」、「〜の処理結果」として説明した情報や、データや信号値や変数値やパラメータなどが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１０によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、以上で述べた実施の形態の説明において「〜部」として説明したものは、「〜回路」、「〜装置」、「〜機器」、「手段」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明したものは、ＲＯＭ８１１に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。プログラムはＣＰＵ８１０により読み出され、ＣＰＵ８１０により実行される。すなわち、プログラムは、以上の説明で述べた「〜部」としてコンピュータを機能させるものである
以上のように、アドレス解決方法、アドレス解決プログラムは、端末装置が送信したＮＤ問い合わせパケット（ＮＳパケット）のアドレスを書き換え、端末装置の代わりにアドレス解決を代行する。このため、アドレス解決は一旦、データ暗号装置で終端し、その後に端末装置にアドレス解決結果が通知されることなる。よって、パケットのＨｏｐ Ｌｉｍｉｔのデクリメントによるアドレス解決の失敗を防ぐことが可能となる。また、データ暗号装置が「ＮＡパケット」だけでなく、「ＮＳパケット」をも暗号化して送信するので、アドレス解決情報を秘匿することが可能となり、セキュリティ向上を図ることができる
実施の形態１におけるシステム構成を示す図。 実施の形態１におけるデータ暗号装置の構成を示す図。 実施の形態１におけるアドレス解決の動作を示すシーケンス図。 実施の形態１におけるＮＤパケットの構成を示す図。 実施の形態１における平文ポートからＮＳパケットを受信した際のフローチャート。 実施の形態１におけるＳＰＤを示す図。 実施の形態１におけるＳＡＤを示す図。 実施の形態１における暗号ポートからＮＳパケットを受信した際のフローチャート。 実施の形態１における平文ポートからＮＡパケットを受信した際のフローチャート。 実施の形態１における暗号ポートからＮＡパケットを受信した際のフローチャート。 実施の形態１における平文ポートからデータを受信した際のフローチャート。 実施の形態１における暗号ポートからデータを受信した際のフローチャート。 実施の形態２におけるアドレス解決の動作を示すシーケンス図。 実施の形態２における平文ポートからＮＳパケットを受信した際のフローチャート。 実施の形態２における暗号ポートからＮＳパケットを受信した際のフローチャート。 実施の形態２における平文ポートからＮＡパケットを受信した際のフローチャート。 実施の形態３におけるアドレス解決の動作を示すシーケンス図。 実施の形態３における平文ポートからＮＳパケットを受信した際のフローチャート。 実施の形態３における暗号ポートからＮＳパケットを受信した際のフローチャート。 実施の形態３における暗号ポートからＮＡパケットを受信した際のフローチャート。 実施の形態４におけるデータ暗号装置のハードウェア構成の一例を示す図。 従来例を示す図。 従来例を示す図。 従来例を示す図。
符号の説明
１０ 端末装置、２０ 端末装置、３０ スイッチ、３１，３２，３３ ＮＳパケット、３４，３５，３６ ＮＡパケット、４０ 平文ＬＡＮ、４３，４４ ＮＳパケット、４５ ＮＡパケット、４６，４７ ＮＳパケット、４８，４９ ＮＡパケット、５０ 暗号ＬＡＮ、６０ 暗号ＬＡＮ、７０ 平文ＬＡＮ、１００ データ暗号装置、１０２ 記憶部、１０３ 平文ポート、１０４ 暗号ポート、１０５ 送受信制御部、１０６ プロトコル解析部、１０７ ＳＰＤ／ＳＡＤ格納部、１０８ 暗号化／復号部、１０９ ＮＤアドレス解決処理部、２００ データ暗号装置、２０２ 記憶部、２０３ 平文ポート、２０４ 暗号ポート、２０５ 送受信制御部、２０６ プロトコル解析部、２０７ ＳＰＤ／ＳＡＤ格納部、２０８ 暗号化／復号部、２０９ ＮＤアドレス解決処理部、３１０ ルータ、３２０ インターネット、３３０ ルータ、３４０ スイッチ、３５０ 端末装置。

Claims (18)

  1. データを暗号化するデータ暗号装置において、
    第１の端末装置に接続した平文ポートと、
    他のデータ暗号装置に接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部とを備え、
    前記平文ポートは、
    前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
    前記暗号ポートは、
    前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
    前記暗号処理部は、
    前記暗号ポートが受信した前記暗号化応答パケットを復号し、
    前記アドレス解決処理部は、
    前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
    前記平文ポートは、
    前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするデータ暗号装置。
  2. データを暗号化するデータ暗号装置において、
    端末装置と接続した平文ポートと、
    他のデータ暗号装置と接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備え、
    前記暗号ポートは、
    前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
    前記アドレス解決処理部は、
    前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定し、
    前記平文ポートは、
    前記アドレス解決処理部の決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
    前記暗号処理部は、
    前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
    前記暗号ポートは、
    前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするデータ暗号装置。
  3. データを暗号化するデータ暗号装置において、
    第１の端末装置に接続した平文ポートと、
    他のデータ暗号装置に接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備え、
    前記平文ポートは、
    前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
    前記暗号処理部は、
    前記アドレス処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化し、
    前記暗号ポートは、
    前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
    前記暗号処理部は、
    前記暗号ポートが受信した前記暗号化応答パケットを復号し、
    前記アドレス解決処理部は、
    前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
    前記平文ポートは、
    前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするデータ暗号装置。
  4. データを暗号化するデータ暗号装置において、
    端末装置と接続した平文ポートと、
    他のデータ暗号装置と接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備え、
    前記暗号ポートは、
    前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
    前記暗号処理部は、
    前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
    前記アドレス解決処理部は、
    前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
    前記平文ポートは、
    前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定し、
    前記暗号処理部は、
    前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
    前記暗号ポートは、
    前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするデータ暗号装置。
  5. データを暗号化するデータ暗号装置において、
    第１の端末装置に接続した平文ポートと、
    他のデータ暗号装置に接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備え、
    前記平文ポートは、
    前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、
    前記暗号処理部は、
    前記アドレス解決処理部が前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化し、
    前記暗号ポートは、
    前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すホップリミットとを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
    前記暗号処理部は、
    前記暗号ポートが受信した前記暗号化応答パケットを復号し、
    前記アドレス解決処理部は、
    前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記ホップリミットをデクリメントすることなく維持し、
    前記平文ポートは、
    前記アドレス解決処理部が前記ホップリミットの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするデータ暗号装置。
  6. データを暗号化するデータ暗号装置において、
    端末装置と接続した平文ポートと、
    他のデータ暗号装置と接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備え、
    前記暗号ポートは、
    前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すホップリミットとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
    前記暗号処理部は、
    前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
    前記アドレス解決処理部は、
    前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記ホップリミットの値をデクリメントすることなく維持し、
    前記平文ポートは、
    前記アドレス解決処理部が前記ホップリミットの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
    前記暗号処理部は、
    前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
    前記暗号ポートは、
    前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするデータ暗号装置。
  7. 第１の端末装置に接続した平文ポートと、
    他のデータ暗号装置に接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と
    を備えたデータ暗号装置が行うアドレス解決方法において、
    前記平文ポートは、
    前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
    前記暗号ポートは、
    前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
    前記暗号処理部は、
    前記暗号ポートが受信した前記暗号化応答パケットを復号し、
    前記アドレス解決処理部は、
    前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
    前記平文ポートは、
    前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするアドレス解決方法。
  8. 端末装置と接続した平文ポートと、
    他のデータ暗号装置と接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備えたデータ暗号装置が行うアドレス解決方法において、
    前記暗号ポートは、
    前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
    前記アドレス解決処理部は、
    前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定し、
    前記平文ポートは、
    前記アドレス解決処理部の決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
    前記暗号処理部は、
    前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
    前記暗号ポートは、
    前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするアドレス解決方法。
  9. 第１の端末装置に接続した平文ポートと、
    他のデータ暗号装置に接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備えたデータ暗号装置が行うアドレス解決方法において、
    前記平文ポートは、
    前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
    前記暗号処理部は、
    前記アドレス処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化し、
    前記暗号ポートは、
    前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
    前記暗号処理部は、
    前記暗号ポートが受信した前記暗号化応答パケットを復号し、
    前記アドレス解決処理部は、
    前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更し、
    前記平文ポートは、
    前記アドレス解決処理部が前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするアドレス解決方法。
  10. 端末装置と接続した平文ポートと、
    他のデータ暗号装置と接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備えたデータ暗号装置が行うアドレス解決方法において、
    前記暗号ポートは、
    前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
    前記暗号処理部は、
    前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
    前記アドレス解決処理部は、
    前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換え、
    前記平文ポートは、
    前記アドレス解決処理部が前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定し、
    前記暗号処理部は、
    前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
    前記暗号ポートは、
    前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするアドレス解決方法。
  11. 第１の端末装置に接続した平文ポートと、
    他のデータ暗号装置に接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備えたデータ暗号装置が実行するアドレス解決方法において、
    前記平文ポートは、
    前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、
    前記暗号処理部は、
    前記アドレス解決処理部が前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化し、
    前記暗号ポートは、
    前記暗号処理部が暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すホップリミットとを含む暗号化応答パケットを前記他のデータ暗号装置から受信し、
    前記暗号処理部は、
    前記暗号ポートが受信した前記暗号化応答パケットを復号し、
    前記アドレス解決処理部は、
    前記暗号処理部が復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記ホップリミットをデクリメントすることなく維持し、
    前記平文ポートは、
    前記アドレス解決処理部が前記ホップリミットの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信することを特徴とするアドレス解決方法。
  12. 端末装置と接続した平文ポートと、
    他のデータ暗号装置と接続した暗号ポートと、
    アドレス解決処理部と、
    暗号処理部と、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備えたデータ暗号装置が実行するアドレス解決方法において、
    前記暗号ポートは、
    前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すホップリミットとを含む暗号化されたアドレス解決問い合わせパケットを受信し、
    前記暗号処理部は、
    前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号し、
    前記アドレス解決処理部は、
    前記暗号処理部が復号した前記アドレス解決問い合わせパケットに含まれる前記ホップリミットの値をデクリメントすることなく維持し、
    前記平文ポートは、
    前記アドレス解決処理部が前記ホップリミットの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信し、
    前記アドレス解決処理部は、
    前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定し、
    前記暗号処理部は、
    前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化し、
    前記暗号ポートは、
    前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信することを特徴とするアドレス解決方法。
  13. 第１の端末装置に接続した平文ポートと、
    他のデータ暗号装置に接続した暗号ポートと、
    記憶部と
    を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム。
    （１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
    （２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
    （３）前記暗号ポートが、前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
    （４）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
    （５）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更する処理
    （６）前記平文ポートが、前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理
  14. 端末装置と接続した平文ポートと、
    他のデータ暗号装置と接続した暗号ポートと、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム
    （１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
    （２）前記暗号ポートが受信した前記アドレス解決問い合わせパケットの示すターゲットアドレスが自己の装置のアドレスではない場合、前記アドレス解決問い合わせパケットを前記平文ポートから送信することを決定する処理
    （３）前記平文ポートが、前記決定に従って前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
    （４）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定する処理
    （５）暗号化を決定した場合には前記応答パケットを暗号化する処理
    （６）前記暗号ポートが、暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理
  15. 第１の端末装置に接続した平文ポートと、
    他のデータ暗号装置に接続した暗号ポートと、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム
    （１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
    （２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて前記アドレス解決問い合わせパケットを暗号化するかどうかを決定し、暗号化することを決定した場合には、前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
    （３）前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた前記アドレス解決問い合わせパケットを暗号化する処理
    （４）前記暗号ポートが、暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
    （５）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
    （６）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報に基づいて、復号された前記暗号化応答パケットの前記宛先アドレスを自己の装置のアドレスから前記第１の端末装置のアドレスに変更する処理
    （７）前記平文ポートが、前記宛先アドレスを変更した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理。
  16. 端末装置と接続した平文ポートと、
    他のデータ暗号装置と接続した暗号ポートと、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム
    （１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスとを含む暗号化されたアドレス解決問い合わせパケットを受信する処理
    （２）前記暗号ポートが受信した暗号化された前記アドレス解決問い合わせパケットを復号する処理
    （３）復号した前記アドレス解決問い合わせパケットに含まれるアドレスをアドレス情報として前記記憶部に格納するとともに、復号した前記アドレス解決問い合わせパケットに含まれる前記送信元アドレスと前記リンクレイヤアドレスとを自己の装置のアドレスに書き換える処理
    （４）前記平文ポートが、前記送信元アドレスと前記リンクレイヤアドレスとを書き換えた復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
    （５）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの前記宛先アドレスが自己の装置のアドレスである場合には、前記記憶部が格納した前記アドレス情報を参照することにより前記平文ポートが受信した前記応答パケットの前記宛先アドレスを前記アドレス解決問い合わせパケットに含まれる送信元アドレスに変更するとともに前記宛先アドレスが変更された前記応答パケットを暗号化するかどうかを前記暗号通信条件格納部が格納する前記暗号通信条件に基づき決定する処理
    （６）前記アドレス解決処理部が暗号化を決定した場合には前記応答パケットを暗号化する処理
    （７）前記暗号ポートが、暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理
  17. 第１の端末装置に接続した平文ポートと、
    他のデータ暗号装置に接続した暗号ポートと、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム
    （１）前記平文ポートが、前記第１の端末装置から、第２の端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記第２の端末装置の論理アドレスと、前記リンクレイヤアドレスとして所定のアドレスとを含むアドレス解決問い合わせパケットを受信する処理
    （２）前記平文ポートが受信した前記アドレス解決問い合わせパケットに含まれるアドレスに基づいて前記暗号通信条件格納部が格納する前記暗号通信条件を検索することにより、前記アドレス解決問い合わせパケットを暗号化するかどうかを決定する処理
    （３）前記アドレス解決問い合わせパケットの暗号化を決定した場合には前記アドレス解決問い合わせパケットを暗号化する処理
    （４）前記暗号ポートが、暗号化した前記アドレス解決問い合わせパケットを前記他のデータ暗号装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答する暗号化されたパケットであって宛先アドレスと自己の可能な中継回数を示すホップリミットとを含む暗号化応答パケットを前記他のデータ暗号装置から受信する処理
    （５）前記暗号ポートが受信した前記暗号化応答パケットを復号する処理
    （６）復号した前記暗号化応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記宛先アドレスが自己の装置のアドレスではない場合には、前記暗号化応答パケットに含まれる前記ホップリミットをデクリメントすることなく維持する処理
    （７）前記平文ポートが、前記ホップリミットの値を維持した復号後の前記暗号化応答パケットを前記第１の端末装置に送信する処理
  18. 端末装置と接続した平文ポートと、
    他のデータ暗号装置と接続した暗号ポートと、
    記憶部と、
    暗号通信条件を格納する暗号通信条件格納部と
    を備えたコンピュータであるデータ暗号装置に以下の処理を実行させるアドレス解決プログラム
    （１）前記暗号ポートが、前記他のデータ暗号装置から、前記端末装置の物理アドレスをリンクレイヤアドレスとして取得するためのパケットであって宛先アドレスと、送信元アドレスと、ターゲットアドレスとして前記端末装置の論理アドレスと、リンクレイヤアドレスとして所定のアドレスと、自己の可能な中継回数を示すホップリミットとを含む暗号化されたアドレス解決問い合わせパケットを受信する処理
    （２）前記暗号ポートの受信した暗号化された前記アドレス解決問い合わせパケットを復号する処理
    （３）復号した前記アドレス解決問い合わせパケットに含まれる前記ホップリミットの値をデクリメントすることなく維持する処理
    （４）前記平文ポートが、前記ホップリミットの値を維持した復号後の前記アドレス解決問い合わせパケットを前記端末装置に送信するとともに、送信した前記アドレス解決問い合わせパケットに応答するパケットであって宛先アドレスを含む応答パケットを前記端末装置から受信する処理
    （５）前記平文ポートが受信した前記応答パケットの前記宛先アドレスが自己の装置のアドレスかどうかを判定し、前記応答パケットの宛先アドレスが自己の装置のアドレスではない場合には、前記暗号通信条件格納部が格納する前記暗号通信条件に基づいて、前記応答パケットを暗号化するかどうかを決定する処理
    （６）暗号化を決定した場合には前記応答パケットを暗号化する処理
    （７）前記暗号ポートが、前記暗号処理部が暗号化した前記応答パケットを前記他のデータ暗号装置に送信する処理
JP2008531902A 2006-08-28 2006-08-28 データ暗号装置及びアドレス解決方法及びアドレス解決プログラム Pending JPWO2008026243A1 (ja)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2006/316887 WO2008026243A1 (fr) 2006-08-28 2006-08-28 Dispositif de cryptage de données, procédé et programme de résolution d'adresse

Publications (1)

Publication Number Publication Date
JPWO2008026243A1 true JPWO2008026243A1 (ja) 2010-01-14

Family

ID=39135535

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008531902A Pending JPWO2008026243A1 (ja) 2006-08-28 2006-08-28 データ暗号装置及びアドレス解決方法及びアドレス解決プログラム

Country Status (2)

Country Link
JP (1) JPWO2008026243A1 (ja)
WO (1) WO2008026243A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115996210B (zh) * 2023-03-23 2023-06-27 湖南盾神科技有限公司 一种源变模式的地址端口跳变方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07170280A (ja) * 1993-12-15 1995-07-04 Ricoh Co Ltd ローカルエリアネットワーク
JPH09252315A (ja) * 1996-03-14 1997-09-22 Mitsubishi Electric Corp 暗号通信システムおよび暗号装置
JP3259724B2 (ja) * 1999-11-26 2002-02-25 三菱電機株式会社 暗号装置、暗号化器および復号器
JP2002271417A (ja) * 2001-03-06 2002-09-20 Hitachi Cable Ltd トンネリング装置

Also Published As

Publication number Publication date
WO2008026243A1 (fr) 2008-03-06

Similar Documents

Publication Publication Date Title
US11057351B1 (en) System and method for session affinity in proxy media routing
US7948921B1 (en) Automatic network optimization
US6751728B1 (en) System and method of transmitting encrypted packets through a network access point
US7215667B1 (en) System and method for communicating IPSec tunnel packets with compressed inner headers
US7191331B2 (en) Detection of support for security protocol and address translation integration
US7436833B2 (en) Communication system, router, method of communication, method of routing, and computer program product
JP4766574B2 (ja) ネットワーク・アドレス・ポート変換器によって扱われるクライアントからの重複ソースの防止
US20070276958A1 (en) System, method and program for encryption during routing
JP4814489B2 (ja) 階層化ヘッダ付きのパケットの処理方法、システム及びコンピュータ製品
JP2005515664A (ja) モバイル通信ネットワークのための安全な伝送
KR20070053345A (ko) 라우팅 및 ｉｐ 보안프로토콜 통합 구조
US20070061485A1 (en) Network address selection
JP2016025658A (ja) インタレストリターン制御メッセージ
JP2006270894A (ja) ゲートウェイ装置、端末装置、通信システムおよびプログラム
EP2874376A1 (en) Method and system for information synchronization between cloud storage gateways, and cloud storage gateway
CN109981820B (zh) 一种报文转发方法及装置
CN107306198B (zh) 报文转发方法、设备和系统
US20100250731A1 (en) Systems and methods for application identification
US20060075137A1 (en) Information processing apparatus and receiving apparatus
JP4933286B2 (ja) 暗号化パケット通信システム
KR20090061253A (ko) 인터넷 프로토콜 보안 적용을 위한 유디피 기반의 터널링방법 및 상기 방법을 수행하는 시스템
US20240114013A1 (en) Packet processing method, client end device, server end device, and computer-readable medium
JP2008311939A (ja) ネットワーク通信機器
JPWO2008026243A1 (ja) データ暗号装置及びアドレス解決方法及びアドレス解決プログラム
US20180159798A1 (en) Packet relay apparatus and packet relay method