JP2005341127A - ネットワーク間セキュア通信方法、パケットセキュア処理装置、その処理方法、プログラム、その記録媒体、アドレス変換装置 - Google Patents

Abstract

【課題】 IPアドレス変換処理を施したネットワーク間通信にＩＰｓｅｃ通信を簡単に適用可能とする。
【解決手段】 プライベートIPアドレスをもつホストA、Bから送り出されるIPパケットはアドレス変換（NAT）装置によりプライベートIPアドレスをグローバルIPアドレスに書き換えられてホストCに届けられる。網10のようにホストAとNAT装置間にＩＰｓｅｃ装置がある場合には、ＩＰｓｅｃ装置はＵＰｎＰ等を利用して、ホストＡから受け取ったパケットのIPヘッダをNAT装置によってアドレス変換されるはずの状態へ仮想的に置き換えた上で暗号化や認証データ作成を行い、NAT装置へＩＰｓｅｃパケットを送り出す。網20のようにホストBとNAT装置の先にＩＰｓｅｃ装置がある場合においては、ＩＰｓｅｃ装置はＵＰｎＰ等を利用して、NAT装置から受け取ったパケットのIPヘッダをNAT変換される前の状態へ仮想的に置き換えた上で送信元ホストごとにセキュリティポリシを適用する。
【選択図】 図１

Description

この発明は、ＩＰアドレスの変換処理を行うネットワーク間通信にＩＰｓｅｃ（暗号などのセキュア通信を行うための規格）を適用するセキュア通信方法と、ＩＰｓｅｃに準拠したセキュア処理を行う装置並びにその処理方法、そのプログラムおよびその記録媒体、アドレス変換装置に関する。

従来、プライベートＩＰアドレス（ＲＦＣ１９１８）を割り当てられたホストがインターネット上のホストと通信するとき、プライベートＩＰアドレスをもつホストから送り出されるＩＰパケットはアドレス変換（ＮＡＴ：Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）装置によってプライベートＩＰアドレスをグローバルＩＰアドレスに書き換えられてインターネット上のホストに届けられる。一方で、インターネット等のネットワークを介して暗号通信などのセキュア通信を行うための規格としてＩＰｓｅｃ（ＩＰ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ）が知られている。ＩＰｓｅｃは通信中にデータの内容が書き換えられた場合に、データが改ざんされたと判断して受信側でパケットを破棄する。これに対しアドレス変換（ＮＡＴ）装置ではＩＰｓｅｃ通信路における途中でパケット情報（ＩＰアドレス）を変換するため、受信側ではこのアドレス変換されたＩＰｓｅｃパケットを改ざんされたものと判断して破棄してしまう。従ってネットワーク間通信に、ＩＰｓｅｃに準拠したセキュア通信方法とアドレス変換をともなう通信方法とを単純に併用することはできない。

このような問題に対して、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）では「ＩＰｓｅｃ ＮＡＴ−Ｔｒａｖｅｒｓａｌ」の提案と「ＩＰＣ−ＮＡＴ（ＩＰｓｅｃ Ｐｏｌｉｃｙ Ｃｏｎｔｒｏｌｌｅｄ ＮＡＴ）」の規定を行っている。（非特許文献１参照）。また、前記「ＩＰＣ−ＮＡＴ」に基づいていて、ＮＡＴ装置によるアドレス変換ルールに関連させてＩＰｓｅｃのセキュリティアソシエーションを更新しＩＰｓｅｃを開始する方法がある（特許文献１参照）。
ＲＦＣ（Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）２７０９ 特許第００３３９３８３６号

前記「ＩＰｓｅｃ ＮＡＴ−Ｔｒａｖｅｒｓａｌ」を利用するためには通信先（インターネット上のホスト端末やゲートウェイ）のＩＰｓｅｃ機能をもつ機器がこの機能を実装していなければならない。また、「ＩＰｓｅｃ ＮＡＴ−Ｔｒａｖｅｒｓａｌ」はＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ：ＲＦＣ２４０６）トラフィック（暗号化のようにデータを秘匿する通信）にのみ定義されており、ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ：ＲＦＣ２４０２）トラフィック（署名のようにデータ改ざんに対し保証する通信）は適用対象外となっている。一方の「ＩＰＣ−ＮＡＴ」（非特許文献１）及び「ＩＰＣ−ＮＡＴ」の類似技術（特許文献１）はＮＡＴ装置にＩＰｓｅｃプロトコルスタックを実装してＮＡＴ環境でＩＰｓｅｃを利用した場合の問題点を解決しているが、ホスト端末がＩＰｓｅｃ処理を行う場合などはＮＡＴ装置とＩＰｓｅｃ機器とを分離せざるを得ない、つまりＮＡＴ装置にＩＰｓｅｃ機能を実装できない通信環境においては依然として問題が残る。

この発明の目的は、通信相手に特別なＩＰｓｅｃ機器を求めることなくＮＡＴ環境でＩＰｓｅｃを利用した場合の問題点を解決するためであって、ＮＡＴ装置とＩＰｓｅｃ機器の前後位置関係にかかわらずＩＰｓｅｃのＡＨ及びＥＳＰを利用したセキュア通信が可能なネットワーク間通信方法とパケットセキュア処理装置並びにその処理方法、プログラムおよびその記録媒体、アドレス変換装置を提供することにある。

この発明によれば、ＩＰパケットに対しプライベートＩＰアドレスとグローバルＩＰアドレスとの変換を行うネットワーク間セキュア通信方法において、
特にセキュア処理を行う際に、アドレス変換が行われていないＩＰパケットに対しては、そのＩＰパケットのＩＰアドレスが変換されるであろう新たなＩＰアドレスを取得し、アドレス変換が行われたＩＰパケットに対しては、そのＩＰパケットのＩＰアドレスが変換される前のＩＰアドレスを取得し、
上記取得したＩＰアドレスで上記ＩＰパケットのＩＰアドレスを仮想的に置換し、そのＩＰアドレスを仮想的置換したＩＰパケットについてセキュア処理を行う。

この発明はこのように構成されているから、通信相手装置にＩＰｓｅｃ ＮＡＴ−Ｔｒａｖｅｓａｌ機能のような特別な機能を実装させることなく、ＮＡＴ装置とＩＰｓｅｃ機器の前後位置関係にかかわらずＮＡＴ環境でＩＰｓｅｃのＡＨ及びＥＳＰを利用したセキュア通信が可能であり、更にＮＡＴ装置からＩＰｓｅｃ機能が分離された通信環境においてセキュア通信をすることができる。

以下、この発明の実施の形態について図面を参照して説明する。図１にこの発明のパケットセキュア処理装置（以下ＩＰｓｅｃ装置という）ＮＡＴ装置を含む、この発明の通信方法が適用されるネットワーク間セキュア通信システムの構成例を示す。例えばＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などの通信網１０にホストＡ端末１３が収容され、また、ＩＰｓｅｃに準拠した処理を行うパケットセキュア処理装置（以下ＩＰｓｅｃ装置と書く）１１が収容され、このＩＰｓｅｃ装置１１はアドレス変換装置１２を介してインターネットなどの通信ネットワーク３０に接続される。ＬＡＮなどの通信網２０にホストＢ端末２３が収容され、またアドレス変換装置２２が収容され、アドレス変換装置２２はＩＰｓｅｃ装置２１を介して通信ネットワーク３０に接続される。通信ネットワーク３０に相手ホストＣ装置３１が接続される。

通信網１０においてはホストＡ端末１３はＩＰｓｅｃ装置１１、ＮＡＴ装置１２の順にネットワーク３０を介して相手ホストＣ装置３１に接続される。一方、通信網２０ではホストＢ端末２３がＮＡＴ装置２２、ＩＰｓｅｃ装置２１の順にネットワーク３０を介して相手ホストＣ装置３１に接続される。この発明において、相手ホストＣ装置３１はＩＰｓｅｃ機能を備えたものであってＩＰｓｅｃ端末、ＩＰｓｅｃゲートウェイのどちらであってもかまわない。以下ではこれらのいずれでもよいことを表す点で相手ホストＣ装置３１と書く。また、ホストＡ端末１３とホストＢ端末２３とはＩＰｓｅｃ機能が実装されていても実装されていなくてもどちらでもよいが、この実施形態においては両方のホスト端末ともＩＰｓｅｃ機能が実装されていないものとする。また、各々のＩＰｓｅｃ装置１１及び２１と相手ホストＣ装置３１とには予めＩＰｓｅｃ通信に必要となる鍵が設定されているものとする。ＩＰｓｅｃ装置１１及び２１の機能構成例を図２に、ＮＡＴ装置１２及び２２の機能構成例を図３にそれぞれ示す。

［第１実施形態］
図４にパケットの流れを、図５にＩＰｓｅｃ装置１１の処理手順をそれぞれ示す。この第１実施形態では図２及び図３において各装置の両側に接続されるものは実線で示すものとなる。
ホストＡから相手ホストＣへの通信
ホストＡ端末１３と相手ホストＣ装置３１とが互いにＩＰｓｅｃに準拠したセキュア通信を実施する。
ＩＰｓｅｃ装置１１はホストＡ端末１３から送り出されたＩＰパケットＡ１をＬＡＮ側ネットワークインタフェース１１１（図２）から取り込む（ステップＳ１１）。受け取ったＩＰパケットＡ１は伝送路１１２を介してセキュリティポリシ検索部１１３へ届けられ、セキュリティポリシ検索部１１３によってＩＰパケットＡ１の始点ＩＰアドレス、終点ＩＰアドレス、プロトコルなどをキーとしてセキュリティポリシ記憶部１１４から該当するセキュリティポリシが検索される。該当するセキュリティポリシが見つかると（ステップＳ１３）、ＩＰパケットＡ１は伝送路１１５を介して暗号化や認証データ作成を行う処理部１１６へ届けられる。

ＩＰｓｅｃ装置１１はＩＰアドレス変換情報を取得する（ステップＳ１４）。例えばＩＰアドレス変換情報取得部１１７によりＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ Ｐｌｕｇ ａｎｄ Ｐｌａｙ：ＤＰｎＰ対応機器はネットワークに接続するだけで自動的に相手機器の存在が認識され、機器は相互にデータのやり取りなどを行うプロトコル）を用いてＮＡＴ装置１２と通信して、ＮＡＴ装置１２にＩＰパケットＡ１に対するアドレス変換情報を要求し、ＮＡＴ装置１２ではアドレス変換情報記憶部２１１からそのＩＰパケットＡ１に対するアドレス変換情報を取り出し、アドレス変換情報発信部２１２を介してＩＰｓｅｃ装置１１へアドレス変換情報を伝送する。このようにＩＰｓｅｃ装置１１では、アドレス変換情報取得部１１７を介してＷＡＮ側ネットワークインタフェース１１９に接続されたＮＡＴ装置１２からＩＰアドレス変換情報を取得し、これをアドレス変換情報記憶部１１８に記憶する。これにより、ＩＰｓｅｃ装置１１は、受け取ったＩＰパケットＡ１の今後書き換えられるであろう新たなＩＰアドレス、つまり変換前ＩＰアドレスを知る。この実施形態においては、ＩＰｓｅｃ装置１１のＩＰアドレス変換情報はＮＡＴ装置１２との通信により取得しているが、例えば通信網１０がＬＡＮであり、その管理者により手動操作によりＩＰアドレス変換情報記憶部１１８に直接記憶させることも可能である。直接記憶させる場合は、ＩＰｓｅｃ装置１１のＩＰアドレス変換情報記憶部１１８とＮＡＴ装置１２のＩＰアドレス変換情報記憶部２１１との記憶内容を等しくすることが重要である。従ってＩＰアドレス変換情報（変換前のＩＰアドレスや変換後のＩＰアドレス）の取得は通信による取得と記憶部１１８からの取得とがある。

ＩＰｓｅｃ装置１１の暗号化や認証データ作成を行う処理部１１６では、ステップＳ１２におけるセキュリティポリシ検索により得たＥＳＰかＡＨかに基づき、暗号化又は認証データ作成を行うが、この暗号化や認証データ作成を行う前に、受け取ったＩＰパケットＡ１の今後書き換えられるであろう新たなＩＰアドレス、つまり変換後のＩＰアドレスをアドレス変換情報記憶部１１８から取得する。取得後はＩＰパケットＡ１のＩＰヘッダを、取得した新たなＩＰアドレスで仮想的に置き換えた上でＩＰｓｅｃに準拠した暗号化や認証データ作成を行い、これをパケットに埋め込む（ステップＳ１５）。このとき、処理部１１６で暗号処理生成されたＩＰｓｅｃパケットＡ２のＩＰヘッダは実際には書き換えられていないことに注意する。

ＩＰｓｅｃ装置１１によってＩＰｓｅｃ化されたＩＰパケットＡ２はＷＡＮ側ネットワークインタフェース１１９を介してＮＡＴ装置１２のＬＡＮ側ネットワークインタフェース２１３へ伝送される。ＮＡＴ装置１２では、アドレス変換情報記憶部２１１のアドレス変換情報に基づき、アドレス変換処理部２１４においてＩＰヘッダのＩＰアドレス（ＩＰパケットＡ１のそれと同一アドレス）を前記変換後のＩＰアドレスに書き換えてからＩＰｓｅｃパケットＡ３としてＷＡＮ側ネットワークインタフェース２１５を介して相手ホストＣ装置３１に伝送する（ステップＳ１６）。

相手ホストＣ装置３１は、受け取ったＩＰｓｅｃパケットＡ３について暗号の復号化や認証データの検証を行う。ホストＣ装置３１が受け取ったＩＰｓｅｃパケットＡ３はＮＡＴ装置１２によってＩＰヘッダが書き換えられているが、つまり改ざんされているがＩＰｓｅｃパケットＡ３に埋め込まれた暗号データや認証データはＮＡＴ装置１２でＩＰヘッダが変換されたと仮想したパケットに対して処理部１１６で暗号処理されているため、ホストＣ装置３１はＮＡＴ装置１２によるパケットの改ざんに気づくことなく、つまり廃棄することなく、暗号の復号化や認証データの検証を行うことができる。ステップＳ１３でセキュリティポリシが見つからなければそのＩＰパケットＡ１に対しては暗号処理することなくＮＡＴ装置１２へ送信する。

相手ホストＣからホストＡへ通信
相手ホストＣ装置３１から通信網１０のホストＡ端末１３へ向かうＩＰｓｅｃパケットについて、ＮＡＴ装置１２ではＷＡＮ側ネットワークインタフェース２１５を介して相手ホストＣ装置３１からＩＰｓｅｃパケットＣ１を受け取ると、アドレス変換情報記憶部２１１のアドレス変換情報に基づき、アドレス変換処理部２１４においてＩＰヘッダのＩＰアドレスを書き換えて、そのＩＰｓｅｃパケットＣ２を、ＬＡＮ側ネットワークインタフェース２１５を介してＩＰｓｅｃ装置１１へ伝送する。
ＩＰｓｅｃ装置１１はＷＡＮ側ネットワークインタフェース１１９を介してＩＰｓｅｃパケットＣ２をＮＡＴ装置１２から受け取ると（ステップＳ１７）、受け取ったＩＰｓｅｃパケットは伝送路１２１を介して認証データの検証や暗号の復号化を行う処理部１２２へ届けられる。

ＩＰｓｅｃ装置１１の暗号の復号化や認証データの検証を行う処理部１２２では、復号化や認証データ検証を行う前に、受け取ったＩＰｓｅｃパケットＣ２の変換前のＩＰアドレス、つまりＮＡＴ装置１２によって書き換えられる前のＩＰアドレス、つまりＩＰｓｅｃパケットＣ１のＩＰアドレスをアドレス変換情報記憶部１１７から取得する（ステップＳ１８）。取得後はＩＰｓｅｃパケットＣ２のＩＰヘッダを、取得したアドレス変換前のＩＰアドレスで仮想的に置き換えた上で暗号の復号化や認証データの検証を行う（ステップＳ１９）。ＩＰｓｅｃ装置１１は受け取ったＩＰｓｅｃパケットＣ２がＮＡＴ装置１２によって改ざんされていることを知っているため、相手ホストＣ装置３１が送り出したＩＰｓｅｃパケットＣ１、つまりＮＡＴ装置１２によってＩＰヘッダを書き換えられる前の状態に戻したパケットに対して暗号の復号化や認証データの検証を実施しており、ＩＰｓｅｃパケットＣ２を廃棄することなく復号化や検証を行うことができる。このとき、処理部１２２から出力されるＩＰパケットＣ３のＩＰヘッダは実際には書き換えられていないことに注意する。

ＩＰｓｅｃ装置１１の暗号の復号化や認証データの検証を行う処理部１２２は、伝送路１２３を介してパケットをセキュリティポリシ検索部１２４へ届ける。セキュリティポリシ検索部１２４によってＩＰパケットＣ３の始点ＩＰアドレス、終点ＩＰアドレス、プロトコルなどをキーとしてセキュリティポリシ記憶部１１４から該当するセキュリティポリシが検索される（ステップＳ２０）。該当するセキュリティポリシが見つかると（ステップＳ２１）、ＩＰパケットＣ３はＬＡＮ側ネットワークインタフェース１１１を介してホストＡ端末１３に伝送され（ステップＳ２２）、ホストＡ端末１３と相手ホストＣ装置３１とのＩＰｓｅｃを用いたセキュア通信が成り立つ。一方、ステップＳ２０で該当するセキュリティポリシが見つからない場合はそのパケットＣ３をその場で廃棄部１２５により廃棄する（ステップＳ２３）。

この第１実施形態の基本的構成及び効果を要約すると下記のようになる。
この発明の第１実施形態ではセキュア処理装置において、ＮＡＴ装置によって書き換えられる前後のＩＰアドレス情報を記憶しているＩＰアドレス変換情報記憶部を参照して、入力パケットのＩＰヘッダがアドレス変換前のパケットであればアドレス変換後の状態へ、アドレス変換後のパケットであればアドレス変換前の状態へ仮想的に置き換えた上でＩＰｓｅｃに準拠した暗号処理を入力パケットに対して行って出力する。ここで暗号処理とはデータを秘匿する暗号化処理、暗号化処理されたデータを原データに復元する復号化処理、データが改ざんされていないことを保証するための認証処理、認証処理されたデータに対し、改ざんされていないか否かを確認する検証処理のいずれかを表わす。このことは以下において同様である。

この構成により、ＩＰヘッダの内容が書き換えられることを想定した上でＩＰパケットに対し暗号化や認証データ作成を行っており、ＮＡＴ装置によってＩＰヘッダの内容が書き換えられても通信相手側ホスト装置では、改ざんされたパケットと判断してパケットを破棄されないようにすることができる。また、受信したＩＰｓｅｃパケットに対し、ＮＡＴ装置でＩＰヘッダの内容が書き換えられる前の状態を仮想してＩＰｓｅｃの復号化や認証データの検証を行うことができ、正しく処理が行われる。

［第２実施形態］
ホストＢ端末２３と相手ホストＣ装置３１との通信網２０、ネットワーク３０を介するセキュア通信の実施形態を説明する。図２および図３において各装置の両側に接続されるものは破線で示すものとなる。この場合のパケットの流れを図６に、ＩＰｓｅｃ装置２１の処理手順の例を図７にそれぞれ示す。
ホストＢから相手ホストＣへの通信
ＮＡＴ装置２２ではＬＡＮ側ネットワークインタフェース２１３を介してホストＢ端末２３からＩＰパケットＢ１を受け取ると、アドレス変換情報記憶部２１１のアドレス変換情報に基づき、アドレス変換処理部２１４においてＩＰヘッダのＩＰアドレスを書き換え、そのＩＰパケットＢ２を、ＷＡＮ側ネットワークインタフェース２１５を介してＩＰｓｅｃ装置２１へ伝送する。

また、ＮＡＴ装置２２ではアドレス変換情報記憶部２１１からアドレス変換情報を取り出し、アドレス変換情報発信部２１２を介してＩＰｓｅｃ装置２１へアドレス変換情報が伝送される。ＩＰｓｅｃ装置２１のアドレス変換情報記憶部１１８ではアドレス変換情報取得部１１７を介してＮＡＴ装置２２からＩＰアドレス変換情報を取得しこれを記憶する。これにより、ＩＰｓｅｃ装置２１は、受け取ったパケットの今後書き換えられるであろう新たなＩＰアドレス、もしくは書き換えられる前のＩＰアドレスを知ることが可能となる。この場合もＩＰアドレス変換情報はＮＡＴ装置２２との通信によることなくＩＰアドレス変換情報記憶部１１８に直接記憶させることも可能である。

ＩＰｓｅｃ装置２１はアドレス変換情報記憶部１１８のアドレス変換情報に基づきセキュリティポリシ記憶部１１４のセキュリティポリシを動的に変更する。この実施形態においては、ＩＰｓｅｃ装置２１のアドレス変換情報記憶部１１８に記憶されたＩＰアドレスとセキュリティポリシ記憶部１１４に記憶されたＩＰアドレスとを動的更新により一致させているが、セキュリティポリシ記憶部１１４に手動により直接ＩＰアドレスを記憶させることでアドレス変換情報記憶部１１８に記憶されたＩＰアドレスと一致させることも可能である。

ＩＰｓｅｃ装置２１はＮＡＴ装置２２から送り出されたＩＰパケットＢ２をＬＡＮ側ネットワークインタフェース１１１から取り込み、受け取ったＩＰパケットを伝送路１３１を介してセキュリティポリシ検索部１１３へ届ける（ステップＳ３１）。セキュリティポリシ検索部１１３では、検索を始める前に、受け取ったＩＰパケットＢ２のＮＡＴ装置２２によって書き換えられる前のＩＰアドレス、つまりＩＰパケットＢ１のＩＰアドレスをアドレス変換情報記憶部１１８から取得する（ステップＳ３２）。ＩＰパケットＢ２のＩＰヘッダを、取得した変換前のＩＰアドレスで仮想的に置き換えた上で始点ＩＰアドレス、終点ＩＰアドレス、プロトコルなどをキーとしてセキュリティポリシ記憶部１１４から該当するセキュリティポリシが検索される（ステップＳ３３）。このようにセキュリティポリシの検索はホストＢ端末２３が送信した直後のＩＰパケットＢ１の情報に基づき実施されることになっているため、ＮＡＴ装置２２によってＩＰアドレスが書き換えられても送信元ホストごとにセキュリティポリシを適用することが可能となる。該当するセキュリティポリシが見つかると（ステップＳ３４）、ＩＰパケットＢ２は伝送路１３２を介して暗号化や認証データ作成を行う処理部１１６へ届けられる。このとき、ＩＰパケットＢ２のＩＰヘッダは実際には書き換えられていないことに注意する。

ＩＰｓｅｃ装置２１の暗号化や認証データ作成を行う処理部１１６では、前記セキュリティポリシの検索結果により得られたＥＳＰかＡＨかにより、ＩＰｓｅｃに準拠した暗号化又は認証データ作成を行い、これをパケットに埋め込み（ステップＳ３５）、ＩＰｓｅｃパケットＢ３としてＷＡＮ側ネットワークインタフェース１１９を介して相手ホストＣ装置３１に伝送する（ステップＳ３６）。
相手ホストＣ装置３１は、受け取ったＩＰｓｅｃパケットＢ３について暗号の復号化や認証データの検証を行う。このＩＰｓｅｃパケットＢ３はＩＰｓｅｃ装置２１で認証データや暗号データが作成されて以降、ＮＡＴ装置２２によるアドレス書き換えは行われていないため、相手ホストＣ装置３１はパケットを廃棄することなく、暗号の復号化や認証データの検証を行うことができる。当然のことながら悪意ある者によってＩＰｓｅｃパケットＢ３の改ざんが行われた場合には復号化することができず、又は検証に成功できず、その改ざんされたパケットを廃棄する。

相手パケットＣからパケットＢへの通信
相手ホストＣ装置から通信網２０に収容されたホストＢ端末２３へ向かうＩＰｓｅｃパケットＣ４を、ＩＰｓｅｃ装置２１がＷＡＮ側ネットワークインタフェース１１９に受け取ると（ステップＳ３７）、伝送路１３３を介して暗号の復号化や認証データの検証を行う処理部１２２へＩＰｓｅｃパケットＣ４を伝送する。処理部１２２では暗号の復号化や認証データの検証が行われ（ステップＳ３８）、成功すれば、伝送路１３４を介してセキュリティポリシ検索部１２４へそのＩＰパケットＣ５を送る。

セキュリティポリシ検索部１２４では、検索を始める前に、受け取ったＩＰパケットＣ５の今後書き換えられるであろう新たなＩＰアドレス、つまりＮＡＴ装置２２によって書き換えられた後のＩＰアドレスをアドレス変換情報記憶部１１８から取得する（ステップＳ３９）。ＩＰパケットＣ５のＩＰヘッダを、その取得したＩＰアドレスで仮想的に置き換えた上で始点ＩＰアドレス、終点ＩＰアドレス、プロトコルなどをキーとしてセキュリティポリシ記憶部１１４から該当するセキュリティポリシが検索される（ステップＳ４０）。このようにセキャリティポリシの検索はホストＢ端末２３が受信する直前のパケット情報に基づき実施されることになっているため、ＮＡＴ装置２２によってＩＰアドレスが書き換えられても送信先ホストごとにセキュリティポリシを適用することが可能となる。このとき、ＩＰパケットＣ５のＩＰヘッダは実際には書き換えられていないことに注意する。該当するセキュリティポリシが見つかると（ステップＳ４１）、ＩＰパケットＣ５はＬＡＮ側ネットワークインタフェース１１１を介してＮＡＴ装置２２へ送信される（ステップＳ４２）。

ステップＳ４１で該当するセキュリティポリシが見つからない場合はこのＩＰパケットＣ５は廃棄部１２５で廃棄される（ステップＳ４３）。
ＮＡＴ装置２２ではＷＡＮ側ネットワークインタフェース２１５にＩＰパケットＣ５が受信されると、アドレス変換情報記憶部２１１のアドレス変換情報に基づきアドレス変換処理部２１４でＩＰヘッダのＩＰアドレスを書き換え、そのＩＰパケットＣ６をＬＡＮ側ネットワークインタフェース２１３を通じてホストＢ端末２３へ送信される。このようにして相手ホストＣ装置３１とホストＢ端末２３との間でＩＰｓｅｃに準拠したセキュアな通信が行われる。

この第２実施形態の基本的構成及び効果を要約すると下記のようになる。
この第２実施形態によればＮＡＴ装置によって書き換えられる前後のＩＰアドレス変換情報を記憶するＩＰアドレス変換情報記憶部を参照して、入力パケットに対しＩＰヘッダを、アドレス変換後のパケットにはアドレス変換前の、アドレス変換前のパケットにはアドレス変換後の状態へ仮想的に置き換えた上でセキュリティポリシを適用する。
この構成により、ＮＡＴ装置とＩＰｓｅｃ装置とがともにローカルなネットワークにあってＮＡＴ装置、ＩＰｓｅｃ装置の順にネットワークを介して相手ホストに接続する場合に、ＮＡＴ装置によってＩＰアドレスが書き換えられたパケットに対し、送信元ホスト端末ごとにセキュリティポリシを適用することができる。また、ＩＰｓｅｃパケットに対して先のＮＡＴ装置でＩＰヘッダの内容が書き換えられることを想定した上で送信先ホスト端末ごとにセキュリティポリシを適用することができる。

上述においてＩＰｓｅｃ装置１１又は２１においてアドレス変換情報をＮＡＴ装置２１又は２２との通信により取得したが、プライベートＩＰアドレスとグローバルＩＰアドレスとの変換を管理するサーバ装置３２との通信により取得してもよい。なお図２中の制御部１３７は記憶部１１４，１１８に対する読み書きや順次他の各部を動作させる。
更に第１実施形態においては入力ＩＰパケット（ＩＰｓｅｃパケット）に対し、ＩＰアドレス仮想的置換として暗号処理したが、第２実施形態においては入力ＩＰパケット（ＩＰｓｅｃパケット）について暗号処理をするか否かを検索し、検索により見つかるとＥＳＰかＡＨかを決定するものであるから、この仮想的置換として検索することはセキュア処理をしていると云える。従ってこの点から前記第１実施形態及び第２実施形態を総合すると、この発明におけるパケットセキュア処理装置及びその処理手順の原理は下記のようになる。図８にその機能構成を、図９にその処理手順を示す。

ＩＰｓｅｃ装置にＩＰパケット（ＩＰｓｅｃパケットを含む）が受信されると（ステップＳ５０）、その入力されたＩＰパケットがアドレス変換がなされたものか否かが判定部１４１により判定される（ステップＳ５１）。つまりＩＰｓｅｃ装置の両側には図２に示すように、実線に示すホストＡ端末１３及びアドレス変換装置１２が接続される場合と、破線に示すアドレス変換装置２２及び相手ホスト装置３１が接続される場合とがあり、これらの接続状態は予め知らされているから、ＬＡＮ側ネットワークインタフェース１１１にパケットが受信されると、前者の場合はホストＡ端末１３からであり、アドレス変換がされていないと判定され、後者の場合はアドレス変換装置２２からであり、アドレス変換がされていると判定される。同様にＷＡＮ側ネットワークインタフェース１１９にパケットが受信されると、前者の場合はアドレス変換装置１２からであり、アドレス変換がされていると判定され、後者の場合は、相手側ホストＣ装置３１からであり、アドレス変換がされていないと判定される。従って判定部１４１は実際のハードウェアとして独立に設けなくてもよい。

ステップＳ５１での判定がアドレス変換前であれば、その受信したパケットのＩＰアドレスがアドレス変換装置により変換されたＩＰアドレス（変換後ＩＰアドレス）を取得し（ステップＳ５２）、ステップＳ５１での判定がアドレス変換後であれば、その受信したパケットのＩＰアドレスがアドレス変換装置により変換される前のＩＰパケットを取得する（ステップＳ５３）。
次に受信したパケットについて、そのＩＰヘッダのＩＰアドレスをステップＳ５２又はステップＳ５３で取得したＩＰアドレスで仮想的に置き換えた上で仮想置換セキュア処理部１４２又は１４３によりセキュア処理して（ステップＳ５４）、出力する（ステップＳ５５）。仮想置換セキュア処理部１４２は図２中のＩＰアドレスを仮想置換して処理する場合のセキュリティポリシ検索部１１３及び暗号化、認証データ作成処理部１１６であり、仮想置換セキュア処理部１４３は図２中のＩＰアドレスを仮想置換して処理する場合の復号化、認証データ検証部１２２及びセキュリティポリシ検索部１２４である。

上述においてＩＰｓｅｃ装置１１はホストＡ端末１３に実装されていてもよい。図２に示したＩＰｓｅｃ装置はコンピュータにより機能させてもよい。その場合は、コンピュータに図５又は図７に示した各過程をコンピュータにより実行させるためのプログラムを、ＣＤ−ＲＯＭ、磁気ディスク、半導体記憶装置などの記録媒体からインストールし、あるいは通信回線を通じてダウンロードして、そのコンピュータにそのプログラムを実行させればよい。

この発明のネットワーク間セキュア通信方法が適用され、この発明のパケットセキュア処理装置及びアドレス変換装置を含むパケット通信システムの例を示す構成図。 この発明のＩＰｓｅｃ（パケットセキュア処理）装置の機能構成例を示すブロック図。 この発明のアドレス変換装置の機能構成例を示すブロック図。 第１実施形態におけるパケットの流れを示す図。 第１実施形態におけるＩＰｓｅｃ装置の処理手順の例を示す流れ図。 第２実施形態におけるパケットの流れを示す図。 第２実施形態におけるＩＰｓｅｃ装置の処理手順の例を示す流れ図。 この発明によるパケットセキュア処理装置の基本的な機能構成例を示すブロック図。 図８に示した装置の処理手順の例を示す流れ図。

Claims (13)

1. ＩＰパケットに対し、プライベートＩＰアドレスとグローバルＩＰアドレスとの変換を行うネットワーク間セキュア通信方法において、
   セキュア処理を行う際に、アドレス変換が行われていないＩＰパケットに対しては、そのＩＰパケットのＩＰアドレスが変換されるであろう新たなＩＰアドレスを取得し、
   アドレス変換が行われたＩＰパケットに対しては、そのＩＰパケットのＩＰアドレスが変換される前のＩＰアドレスを取得し、
   上記取得したＩＰアドレスで上記ＩＰパケットのＩＰアドレスを仮想的に置換し、そのＩＰアドレスを仮想的置換したＩＰパケットについてセキュア処理を行うことを特徴とするネットワーク間セキュア通信方法。
2. ＩＰパケットに対し、プライベートＩＰアドレスとグローバルＩＰアドレスとの変換を行うネットワーク間セキュア通信システムに用いられるセキュア処理装置であって、
   変換前のＩＰアドレスと変換後のＩＰアドレスの対応を格納するアドレス変換情報記憶部と、
   入力されたＩＰパケットのＩＰアドレスが変換前か変換後であるかを判定する前後判定部と、
   上記前後判定部の判定が変換後であれば、上記アドレス変換情報記憶部の対応する変換前のＩＰアドレスを、判定が上記変換前であれば、上記アドレス変換記憶部の対応する変換後のＩＰアドレスを用いて上記入力ＩＰパケットのＩＰアドレスを仮想的に置換したＩＰパケットについてセキュア処理して出力するセキュア処理部と
   を備えるパケットセキュア処理装置。
3. 上記パケットセキュア処理装置は、自分側ホスト端末とアドレス変換装置との間に位置して用いられるものであり、
   上記セキュア処理部は、
   上記変換後のＩＰアドレスを用いて上記仮想的に置換して、上記自分側ホスト端末から入力された入力ＩＰパケットに対して暗号化や認証データ作成を行う暗号化、認証データ作成処理部と、
   上記アドレス変換装置から入力された相手側ホスト装置よりの入力ＩＰパケットとしてのセキュアＩＰパケットに対し、上記変換前のＩＰアドレスを用いて上記仮想的に置換して、暗号の復号化や認証データの検証を行う復号化、認証データ検証処理部とであることを特徴とする請求項２記載のパケットセキュア処理装置。
4. 上記相手側ホスト装置と上記自分側ホスト端末とのセキュリティポリシを記憶するセキュリティポリシ記憶部と、
   上記自分側ホスト端末から入力された入力ＩＰパケットについて上記セキュリティポリシ記憶部を検索し、見つからなければその入力ＩＰパケットを上記アドレス変換装置へ送信し、見つかればその見つけた検索内容と共に上記入力ＩＰパケットを上記暗号化、認証データ作成処理部へ出力する第１セキュリティポリシ検索部と、
   上記復号化、認証データ検証処理部よりの処理結果のＩＰパケットが入力され、そのＩＰパケットについて上記セキュリティポリシ記憶部を検索し、見つからなければそのＩＰパケットを廃棄し、見つかれば、そのＩＰパケットを上記自分側ホスト端末へ送信する第２セキュリティポリシ検索部とを備え、
   上記暗号化、認証データ作成処理部は、入力された検索内容に応じて上記暗号化又は認証データ作成を行う処理部であることを特徴とする請求項３記載のパケットセキュア処理装置。
5. 上記パケットセキュア処理装置は、自分側ホスト端末と接続されるアドレス変換装置と、ネットワークを介して接続される相手側ホスト装置との間に位置して用いられるものであり、
   上記各自分側ホスト端末と上記相手側ホスト装置との組みごとのセキュリティポリシを記憶するセキュリティポリシ記憶部を備え、
   上記セキュリティ処理部は、
   上記アドレス変換装置より入力された自分側ホスト端末のＩＰパケットについて上記変換前のＩＰアドレスを用いて、仮想的に置換して、上記セキュリティポリシ記憶部に対する検索を行う第１セキュリティポリシ検索部と、
   上記相手側ホスト装置から入力されたセキュアＩＰパケットについて、上記変換後のＩＰアドレスを用いて仮想的に置換して、上記セキュリティポリシ記憶部に対する検索を行う第２セキュリティポリシ検索部とであることを特徴とする請求項２記載のパケットセキュア処理装置。
6. 上記第１セキュリティポリシ検索部より入力されたＩＰパケットとその検索内容が入力され、その検索内容に応じてその入力されたＩＰパケットに対し、暗号化又は認証データの作成を行って、その結果のセキュアＩＰパケットを上記相手側ホスト装置へ送信する暗号化、認証データ作成部と、
   上記相手側ホスト装置から入力されたセキュアＩＰパケットに対し、暗号の復号化や認証データの検証を行い、その復号化された又は検証に合格したＩＰパケットを上記第２セキュリティポリシ検索部へ出力する復号化、認証データ検証処理部とを備え、
   上記第１セキュリティポリシ検索部は検索により見つかればその入力されたＩＰパケット及びその検索内容を上記暗号化、認証データ作成処理部へ出力し、見つからなければ上記入力されたＩＰパケットを上記相手側ホスト装置へ送信する検索部であり、
   上記第２セキュリティポリシ検索部は検索により見つかれば上記復号化、認証データ検証処理部より入力されたＩＰパケットを上記アドレス変換装置へ送信し、検索で見つからなければこの入力されたＩＰパケットを廃棄する処理部であることを特徴とする請求項５記載のパケットセキュア処理装置。
7. 上記アドレス変換装置又はそのアドレス変換装置のアドレス変換を管理するサーバ装置と通信して上記変換前、後のＩＰアドレスの対応を取得して取得した変換前、後のＩＰアドレスを上記アドレス変換情報記憶部に格納するＩＰアドレス変換情報取得部を備えることを特徴とする請求項２〜６のいずれかに記載のパケットセキュア処理装置。
8. 上記アドレス変換装置又はそのアドレス変換装置のアドレス変換を管理するサーバ装置と通信して上記変換前、後のＩＰアドレスの対応を取得して取得した変換前、後のＩＰアドレスを上記アドレス変換情報記憶部に格納するＩＰアドレス変換情報取得部と、上記アドレス変換情報記憶部の記憶状態の変更に伴い、上記セキュリティポリシ記憶部内のセキュリティポリシを変更する手段を備えることを特徴とする請求項４〜６のいずれかに記載のパケットセキュア処理装置。
9. ＩＰパケットに対しプライベートＩＰアドレスとグローバルＩＰアドレスとの変換を行うネットワーク間セキュア通信システムにおける自分側ホスト端末とアドレス変換装置との間に位置して用いられるパケットセキュア処理装置の処理方法であって、
   上記自分側ホスト端末よりＩＰパケットを受信すると、そのＩＰパケットのＩＰアドレスを用い、上記アドレス変換装置によって変換される前後のＩＰアドレスを記憶するアドレス変換情報記憶部を参照して変換後のＩＰアドレスを取得し、
   上記入力ＩＰパケットに対し、そのＩＰヘッダを、上記取得したＩＰアドレスを用いてアドレス変換後の状態へ仮想的に置き換えた上で暗号化や認証データ作成を行って上記アドレス変換装置へ送信し、
   上記アドレス変換装置を通して相手側ホスト装置からセキュアＩＰパケットを受信すると、そのセキュアＩＰパケットのＩＰアドレスを用い、上記アドレス変換情報記憶部を参照して変換前のＩＰアドレスを取得し、
   上記セキュアＩＰパケットに対し、そのＩＰヘッダを、上記取得したＩＰアドレスを用いてアドレス変換前の状態へ仮想的に置き換えた上で暗号の復号化や認証データの検証を行うことを特徴とするパケットセキュア処理装置の処理方法。
10. ＩＰパケットに対しプライベートＩＰアドレスとグローバルＩＰアドレスとの変換を行うネットワーク間セキュア通信システムにおける、自分側ホスト端末と接続されるアドレス変換装置と、ネットワークを介して接続される相手側ホスト装置との間に位置して用いられるパケットセキュア処理装置の処理方法であって、
    上記アドレス変換装置を介して上記自分側ホスト端末からＩＰパケットを受信すると、そのＩＰパケットのＩＰアドレスを用い、上記アドレス変換装置によってＩＰアドレスが変換される前後のＩＰアドレスを記憶するアドレス変換情報記憶部を参照して変換前のＩＰアドレスを取得し、
    上記受信したＩＰパケットに対し、そのＩＰヘッダを上記取得したＩＰアドレスを用いてアドレス変換前の状態へ仮想的に置き換えた上でセキュリティポリシを適用し、
    上記相手側ホスト装置からセキュアＩＰパケットを受信すると、そのセキュアＩＰパケットのＩＰヘッダを用い、上記アドレス変換情報記憶部からその変換後のＩＰアドレスを取得し、
    上記セキュアＩＰパケットに対して、そのＩＰヘッダを上記取得したＩＰアドレスを用いてアドレス変換後の状態へ仮想的に置き換えた上でセキュリティポリシを適用することを特徴とするパケットセキュア処理装置の処理方法。
11. 請求項２〜８のいずれかに記載したパケットセキュア処理装置としてコンピュータを機能させるためのプログラム。
12. 請求項１１に記載したプログラムを記録したコンピュータ読み取り可能な記録媒体。
13. ＩＰパケットに対しプライベートＩＰアドレスとグローバルＩＰアドレスとの変換を行うネットワーク間セキュア通信システムに用いられるアドレス変換装置において、
    アドレス変換前のＩＰアドレスと変換後のＩＰアドレスとの対応を記憶するアドレス変換情報記憶部と、
    入力されたＩＰパケットのＩＰヘッダのＩＰアドレスを、上記アドレス変換情報記憶部を参照して変換後のＩＰアドレスに変換してそのＩＰパケットを出力するアドレス変換処理部と、
    上記変換したＩＰアドレス及びその変換前のＩＰアドレスを外部機器に発信するＩＰアドレス変換情報発信部とを備えることを特徴とするアドレス変換装置。

Images