JP2009081710A - 通信機器及び通信機器に用いられる通信方法 - Google Patents

Abstract

【課題】従来のような煩雑な処理を必要とせずに、セキュリティゲートウェイ自身の上の機能のアドレスを応答から取得することが可能な通信機器を提供する。
【解決手段】通信機器１０は、通信機器２０と認証を行う認証モジュール１２と、通信機器２０とトンネルＩＰ通信を行うＩＰｓｅｃモジュール１３とを備える。認証モジュール１２は、通信機器２０との認証の手順の一環として、トンネルＩＰ通信に用いる暗号鍵と第２の通信機器の仮想ＩＰアドレスを取得し、ＩＰｓｅｃモジュール１３は、取得した仮想ＩＰアドレス宛のパケットを取得した暗号鍵で暗号データに暗号化し、暗号データをペイロードとして通信機器２０宛のＩＰパケットを送信し、応答を取得した暗号鍵で復号することによりトンネルＩＰ通信を行う。
【選択図】図２

Description

本発明は、通信機器及び通信機器に用いられる通信方法に関し、より詳細にはＩＰｓｅｃに代表されるトンネルモード暗号通信を応用した機器間の通信における技術に関する。

近年、ＡＤＳＬや光ファイバーなどのブロードバンド環境が整ったことにより、企業、一般家庭を問わずインターネット常時接続環境が急速に普及してきている。また、パーソナルコンピュータ（ＰＣ）だけでなく、テレビやＤＶＤレコーダ、エアコン、冷蔵庫のような家電もインターネットに接続できるようになってきている。

インターネットに接続された機器間で安全に通信を行うたに様々なプロトコルが開発されているが、中でもＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）が発行する一連のＲＦＣ規格によって規定されるＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ）プロトコルは、機器間を接続する暗号通信プロトコルとして近年採用例が増えている。

ＩＰｓｅｃプロトコルにおいては、トランスポートモード及びトンネルモードを選択することができる。

トランスポートモードは、機器間を１対１に接続するために使用され、通常のアプリケーションが送信するＩＰパケットのヘッダを除いたペイロード部分のみを暗号化し、これに送信先機器アドレス、送信元機器アドレスを含むＩＰヘッダを付けて送信を行う。

トンネルモードにおいては、ＩＰパケットを丸ごと暗号化し、これにさらに送信先機器アドレス、送信元機器アドレスを含むＩＰヘッダを付けて送信を行う。この様にＩＰパケットを暗号化してさらにＩＰパケット化することをトンネルカプセル化と呼ぶ。以下で特に断らない限りトンネルカプセル化を単にカプセル化と略す。カプセル化ではＩＰパケットを丸ごと転送するため、ＬＡＮ内のパケットを全て他のＬＡＮに転送するＶＰＮ（Ｖｉｕｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）ルータ等に用いることができる。この様なＶＰＮの通信構成図を図３に示す。

図３は、従来の通信システムの全体構成を示すブロック図であり、非特許文献１の2.2節に記載される構成をより詳細に図示したものである。

図３に示されるように、通信システム９００は、通信機器９１０と、通信機器９２０と、通信機器９３０と、通信機器９１０と通信機器９２０とを通信可能に接続するネットワーク９４０と、通信機器９２０と通信機器９３０とを通信可能に接続するネットワーク９５０とから構成される。

通信機器９１０は、アプリケーション９１１と、認証モジュール９１２と、ＩＰｓｅｃトンネルモード対応ＶＰＮモジュール（以下、単に「ＩＰｓｅｃモジュール」とも記す。）９１３と、ネットワークＩＦ９１４とを備える。

通信機器９２０は、認証モジュール９２１と、ルータモジュール９２２と、ＩＰｓｅｃモジュール９２３と、ＴＣＰ／ＩＰスタック９２４と、ネットワークＩＦ９２５と、ネットワークＩＦ９２６とを備える。

通信機器９３０は、ＴＣＰ／ＩＰスタック９３１と、ネットワークＩＦ９３２とを備える。

通信機器９１０は、ネットワークＩＦ９１４、ネットワーク９４０及びネットワークＩＦ９２５を介して、通信機器９２０とＩＰ通信により接続される。

通信機器９１０は、トンネルモードで暗号通信を行うＩＰｓｅｃモジュール９１３を搭載する。ＩＰｓｅｃにおいて認証と鍵交換は、任意の仕様のものが使用できるが、よく使われるのはＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）と呼ばれる一連の認証・鍵交換プロトコルである。

通信機器９１０はＩＫＥにより認証・鍵交換を行う認証モジュール９１２を搭載する。通信機器９１０は初めに認証モジュール９１２により通信機器９２０の認証モジュール９２１と認証・鍵交換を実施し、その結果通信機器９１０と通信機器９２０とは共通の暗号鍵Ｋを得る。この暗号鍵Ｋにより、通信機器９１０のＩＰｓｅｃモジュール９１３は通信機器９２０のＩＰｓｅｃモジュール９２３に対し任意のＩＰパケットを暗号化して送受信可能となる。

ここでアプリケーション９１１が通信機器９３０と通信したい場合、通信機器９３０に付与されたＩＰアドレスを宛先としたパケットＡを、ＩＰｓｅｃモジュール９１３によってカプセル化し、ＩＰｓｅｃモジュール９２３に転送し、ＩＰｓｅｃモジュール９２３はこれを元の平文ＩＰパケットに戻し、宛先のＩＰアドレスをルータモジュール９２２に予め設定されたルーティングテーブルと照合し、ＴＣＰ／ＩＰスタック９２４、ネットワークＩＦ９２６を経由して通信機器９３０に転送する。

通信機器９３０ではネットワークＩＦ９３２、ＴＣＰ／ＩＰスタック９３１を経由して受信を行う。

なおこの際に、パケットＡの送信元アドレスとしては通信機器９１０に付与されたアドレスＳが使われるが、このアドレスは通信機器９１０のネットワークＩＦ９１４に割り当てられた実際のＩＰアドレスでもかまわないし、それと関係ないアドレスでもかまわない。インターネットを介してＬＡＮにアクセスする様な用途では、ＬＡＮ内のアドレスとのアドレス重複をさけるため、送信元アドレスにはネットワークＩＦと関係ないアドレスが選ばれるケースが多い。以下、機器のネットワークＩＦと関係ないＩＰアドレスが設定される場合を機器の仮想アドレスと呼ぶ。またこの様に仮想的なＩＰアドレスによって通信を行う通信機器９１０と通信機器９２０間のＩＰパケット通信層を以下では仮想プライベートネットワークないし、ＶＰＮ（Ｖｉｕｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）と記述する。この様な仮想プライベートネットワークを用いると、通信機器９１０内のアプリケーション９１１は、ＬＡＮ内の通信機器９３０から見ると仮想的にＬＡＮ内に存在する様に扱うことが出来るため、通信機器９３０から容易に通信が出来る。非特許文献１の2.2節には、この様な仮想プライベートネットワークを用いる例が説明されており、通信機器９１０はRemoteAccessClientに相当し、アプリケーション９１１はvirtual hostに相当し、ＬＡＮ内に仮想的に存在するアプリケーション９１１はvirtual presenceに相当する。

以上の様にパソコンなどの機器からルータ上に実装されたＩＰｓｅｃ機能及びルーティング機能を用いてＬＡＮ内の任意の通常の機器にアクセスすることができる。
Request for Comments 3457（RFC3457） Scott Kelly他著 TheInternetSociety発行、2003年1月

しかしながら、従来の方法では、セキュリティゲートウェイを転送する通信の設定には充分であるが、セキュリティゲートウェイ自身の上の機能にアクセスするためには課題がある。

すなわち、ＩＫＥプロトコルには仮想ＩＰアドレスを特定するための仕組みがなく、図３において通信機器９１０が通信機器９２０の機能と通信するためには、通信機器９２０のＩＰｓｅｃモジュール９２３が、通信機器９２０のネットワークＩＦに起因するアドレスを使用しているか、また複数ある場合はそのうちいずれか、さらには仮想ＩＰアドレスを使っている場合はどの様な値かを別途調べる必要があり、手動でアドレスを調査設定することは煩雑であり、自動でアドレス調査する場合には調査結果の検証手順も必要であるという第１の問題がある。

さらに、通信機器９１０が通信機器９３０と通信を行う場合のアクセス制限は、通信機器９２０のルータモジュール９２２の設定に依存しており、従って通信機器９１０からＬＡＮ内への通信可能条件の設定を予め通信機器９２０に対して行っておく必要があり、煩雑であるという第２の問題もある。

そこで、上記第１の問題を解決し、従来のような煩雑な処理を必要とせずに、セキュリティゲートウェイ自身の上の機能のアドレスを応答から取得することが可能な通信機器を提供することを第１の目的とする。

また、上記第２の問題を解決し、第２の通信機器の転送処理手段の設定に依存することなく、第３の通信機器と通信することが可能な通信機器を提供することを第２の目的とする。

上記の第１の目的を達成するために、本発明に係る第１の通信機器においては、ネットワークに接続され、第２の通信機器とＩＰ通信を行う第１の通信機器であって、前記第２の通信機器と認証を行う第１認証手段と、前記第２の通信機器とトンネルＩＰ通信を行う第１暗号通信手段とを備え、前記第１認証手段は、前記第２の通信機器との認証の手順の一環として、前記トンネルＩＰ通信に用いる暗号鍵と第２の通信機器の仮想ＩＰアドレスを取得し、前記第１暗号通信手段は、取得した仮想ＩＰアドレス宛のパケットを前記取得した暗号鍵で暗号データに暗号化し、前記暗号データをペイロードとして前記第２の通信機器宛のＩＰパケットを送信し、応答を前記取得した暗号鍵で復号することによりトンネルＩＰ通信を行うことを特徴とする。

これにより、従来のような煩雑な処理を必要とせずに、セキュリティゲートウェイ自身の上の機能のアドレスを応答から取得することができる。

また、上記の第２の目的を達成するために、本発明に係る第１の通信機器においては、前記第１暗号通信手段は、さらに前記取得した第２の通信機器の仮想ＩＰアドレス以外のトンネル通信アドレスに関し、ＩＰアドレス単位で、任意の数の第３の通信機器と認証を行い、認証が成功した場合、前記トンネル通信アドレスを宛先とするパケットを前記取得した暗号鍵で暗号データに暗号化し、前記暗号データをペイロードとして前記第２の通信機器宛のＩＰパケットを送信し、応答を前記取得した暗号鍵で復号することにより前記任意の数の第３の通信機器とトンネルＩＰ通信を行うことを特徴とすることができる。

これにより、第２の通信機器の転送処理手段の設定に依存することなく、第３の通信機器と通信することができる。

また、上記の第２の目的を達成するために、前記第１暗号通信手段は、前記第２の通信機器に搭載された転送処理部とトンネルＩＰ通信を行って所望の第３の通信機器に対する転送を許可し、転送を許可後に、前記取得した第２の通信機器の仮想ＩＰアドレス宛以外のアドレスを宛先とするパケットを前記取得した暗号鍵で暗号データに暗号化し、前記暗号データをペイロードとして前記第２の通信機器宛のＩＰパケットを送信し、応答を前記取得した暗号鍵で復号することにより前記任意の数の第３の通信機器とトンネルＩＰ通信を行うことを特徴とすることができる。

これによっても、第２の通信機器の転送処理手段の設定に依存することなく、第３の通信機器と通信することができる。

上記の第１の目的を達成するために、本発明に係る第２の通信機器においては、ネットワークに接続され、第１の通信機器とＩＰ通信を行う第２の通信機器であって、前記第１の通信機器と認証を行う第２認証手段と、前記第１の通信機器とトンネルＩＰ通信を行う第２暗号通信手段とを備え、前記第２認証手段は、認証の手順の一環として暗号鍵と、前記第２の通信機器の仮想ＩＰアドレスとを前記第１の通信機器に通知し、前記第２暗号通信手段は、前記第１の通信機器から受信したパケットのペイロードを前記取得した暗号鍵で復号して平文データ化し、前記平文データが前記仮想ＩＰアドレス宛のＩＰパケットであった場合は、自己宛のＩＰパケットとして処理し、前記仮想ＩＰアドレス宛のＩＰパケットを前記取得した暗号鍵で暗号化して、これをペイロードとして前記第１の通信機器宛のＩＰパケットを送信することにより前記第１の通信機器とトンネルＩＰ通信を行うことを特徴とする。

これにより、従来のような煩雑な処理を必要とせずに、セキュリティゲートウェイ自身の上の機能のアドレスを応答により通知することができる。

また、上記の第２の目的を達成するために、前記第２の通信機器は、さらにＩＰパケットを転送する転送処理手段を備え、前記第２暗号通信手段は、前記平文データがその他のＩＰアドレス宛のＩＰパケットであった場合は、前記転送処理手段により、予め設定された転送規則に従って任意の数の第３の通信機器に対しＩＰパケットとして転送を行い、前記第３の通信機器からの応答であるＩＰパケットを前記取得した暗号鍵で暗号化して、これをペイロードとして前記第１の通信機器宛のＩＰパケットを送信することにより前記第１の通信機器とトンネルＩＰ通信を行うことを特徴とすることができる。

これにより、第２の通信機器の転送処理手段の設定に依存することなく、第１の通信機器と第３の通信機器とを通信させることができる。

また、上記の第２の目的を達成するために、前記第２の通信機器は、さらにＩＰパケットを転送する転送処理手段を備え、前記第２暗号通信手段は、前記第２の通信機器宛の通信が前記転送処理手段宛である場合、当該通信に従って任意の数の第３の通信機器に対する転送許可を設定し、前記平文データがその他のＩＰアドレス宛のＩＰパケットであった場合は、前記転送処理手段により、前記設定された転送許可に従って任意の数の第３の通信機器に対するＩＰパケットとして転送を行い、前記第３の通信機器からの応答であるＩＰパケットを前記取得した暗号鍵で暗号化して、これをペイロードとして前記第１の通信機器宛のＩＰパケットを送信することにより前記第１の通信機器とトンネルＩＰ通信を行うことを特徴とすることができる。

これによっても、第２の通信機器の転送処理手段の設定に依存することなく、第１の通信機器と第３の通信機器とを通信させることができる。

なお、本発明は、このような第１および第２の通信装置として実現することができるだけでなく、このような第１および第２の通信装置が備える特徴的な手段をステップとする通信方法として実現したり、それらのステップをコンピュータに実行させるプログラムとして実現したりすることもできる。そして、そのようなプログラムは、ＣＤ−ＲＯＭ等の記録媒体やインターネット等の伝送媒体を介して配信することができるのはいうまでもない。

以上の説明から明らかなように、第１の機器からトンネルモードによるカプセル化されたＩＰパケットを用いて第２の機器にアクセスする際、ないしは第２の機器を経由して第３の機器にアクセスする際に、仮想ＩＰアドレスを事前認証手順の一環として通知することで、第１の通信機器からトンネルモードによるカプセル化されたＩＰパケットを用いて第２の通信機器にアクセスする際、ないしは第２の通信機器を経由して第３の通信機器にアクセスする際に、トンネル内のＩＰアドレスを効率よく安全に検出でき、また事前の設定なく、ＬＡＮ内への任意の機器へのアクセス制御を行って通信できる通信機器を提供することが可能となる。

よって、本発明により、煩雑な操作が不要となり、インターネット及びトンネルモード対応の通信機器が普及してきた今日における本願発明の実用的価値は極めて高い。

以下、本発明の実施の形態について、図面を用いて詳細に説明する。

（実施の形態１）
図１は、本実施の形態における通信システムの全体構成を示す機能ブロック図である。

図１に示されるように、通信システム１は、通信機器１０と、通信機器２０と、通信機器３０と、これらの通信機器１０、通信機器２０及び通信機器３０を相互に通信可能に接続するネットワーク４０等とから構成される。

通信機器１０は、アプリケーション１１と、認証モジュール１２と、ＩＰｓｅｃモジュール１３と、ネットワークＩＦ１４とを備える。

通信機器２０は、通信機器１０とのＶＰＮ通信のために、アプリケーション２１と、認証モジュール２２と、ＩＰｓｅｃモジュール２４と、ネットワークＩＦ２６とを備える。通信機器２０は、また、通信機器１０のパケットをＬＡＮと中継するために、つまり、通信機器１０のパケットを通信機器３０に中継するために、ルータモジュール２３と、ＴＣＰ／ＩＰスタック２５とをさらに備える。

通信機器３０は、アプリケーション３１と、認証モジュール３２と、ＴＣＰ／ＩＰスタック３３と、ネットワークＩＦ３４とを備える。

ついで、通信システム１の通信機器１０、通信機器２０及び通信機器３０間で行われる通信手順について説明する。

図２は、本実施の形態において通信機器１０、通信機器２０及び通信機器３０間で実行される通信シーケンス例を示す図である。

通信機器１０からＶＰＮ通信を開始する際（ステップＳ３０１）に、通信機器１０の認証モジュール１２は、まず、通信機器２０の認証モジュール２２に対して認証のための通信を行う（ステップＳ３０２）。この通信のシーケンス詳細記述は略するが、一般的なＤｅｆｉｉ−Ｈｅｌｌｍａｎ手順や、署名確認手順などにより、互いの素性の正当性を確認し、かつ認証モジュール同士の通信を安全にするための暗号鍵Ｋ１を共有するものとする。

次に通信機器１０の認証モジュール１２は、暗号鍵Ｋ１を用いて暗号化されたパケットを送信する（ステップＳ３０３）。このパケットは、ＩＰｓｅｃ対応ＶＰＮ通信を行うための情報交換パケットであり、暗号鍵の種類のネゴシエーション等の機能を含むものである。

通信機器２０の認証モジュール２２は、パケットを受信すると（ステップＳ３０３）、通信機器２０の仮想ＩＰアドレスとして用いるべき仮想ＩＰアドレスＡを生成するとともに（Ｓ３０４）、ＩＰｓｅｃで用いるための暗号鍵Ｋ２を生成し、決定する（ステップＳ３０５）。なお、暗号鍵Ｋ２の生成は必ずしも通信機器２０で行わなくてもよく、通信機器１０で行ってもよく、機器間で協調して生成してもよい。また仮想ＩＰアドレスＡも通信機器２０のみで生成する必要は無く、通信機器１０とのネゴシエーションを経てアサインしてもよく、要するに一意に通信機器２０を識別可能で、他のＩＰアドレスと衝突しないアドレスを生成する手順であればよい。

次に通信機器２０の認証モジュール２２は、その中で暗号鍵Ｋ２と仮想ＩＰアドレスＡを通信機器１０に通知するためのパケットを生成し、このパケットを秘密鍵Ｋ１を用いて暗号化して送信する（Ｓ３０６）。

通信機器１０の認証モジュール１２は、受信したパケットを秘密鍵Ｋ１を用いて復号し、受信した暗号鍵Ｋ２を、ＡＰＩ呼び出しによりＩＰｓｅｃモジュール１３に設定するとともに（Ｓ３０７）、受信した仮想ＩＰアドレスＡを、ＡＰＩ呼び出しによりアプリケーション１１に通知する（Ｓ３０８）。また、図では略するが、一般的に設定されるその他のパラメータ、例えばセキュリティアソシエーション（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ：ＳＡ）を示すインデックス、ＩＰｓｅｃ通信用のポート番号なども一般的なＩＫＥの手順により交換され、設定される。

以上の手順で、認証処理の過程でＶＰＮ通信の準備が完了する。
ＶＰＮ通信の準備が完了すると、次に通信機器１０のアプリケーション１１は、通信機器２０上のアプリケーション２１に対し通信を行う際に、通知された仮想ＩＰアドレスＡを宛先としたＩＰパケットを送信する（Ｓ３０９）。この仮想ＩＰアドレスＡ宛のパケットは、通信機器１０内においてＩＰｓｅｃモジュール１３宛にルーティングされる。ＩＰｓｅｃモジュール１３は、ルーティングされてきた仮想ＩＰアドレスＡ宛のパケットを通知された暗号鍵Ｋ２で暗号化し、さらに通信機器２０宛のＩＰアドレスを含むヘッダを付与し、ＩＰｓｅｃ用に設定されたポート、インデックス等の情報を付与されたＩＰパケットとして送信する（Ｓ３１０）。これにより、このＩＰパケットは通信機器２０に到着する。

通信機器２０のＩＰｓｅｃモジュール２４は、ＩＰパケットを受信すると、このＩＰパケットを暗号鍵Ｋ２により復号化する。この結果、ＩＰｓｅｃモジュール２４は、仮想ＩＰアドレスＡ宛のパケットを得るので、これをＡＰＩ呼び出しにより通信機器２０内で所定のポートを待ち受けるアプリケーション２１に転送する（Ｓ３１１）。

以上の様に、通信機器１０のアプリケーション１１は、ユーザの事前設定無しに適切な仮想ＩＰアドレスを用いて、通信機器２０のアプリケーション２１と送信を開始できる。なお、アプリケーション２１から、アプリケーション１１への応答は、送信と逆の流れで行うことができるが、図では応答シーケンスが省略されている。

次に、以上の様に通信機器１０と通信機器２０のＶＰＮ通信が確立した状況において、通信機器１０が通信機器２０に対し、適切なアクセス制限を設定して、通信機器３０との間でＩＰパケットの転送を開始するための手順について説明する。

通信機器１０は、通信機器２０宛のＩＰｓｅｃアドレスパケット送出において、ブロードキャストアドレスなど、ＬＡＮ内へ転送されるべき仮想アドレスを予め取り決めておいて、ないし取得しておいて、パケットの宛先仮想ＩＰアドレスに用いることで、通信機器３０に対する検索（Ｓ３１２）を行うことができる。

図２において、この検索（Ｓ３１２）はＩＰｓｅｃモジュール１３とＩＰｓｅｃモジュール２４を経由し、その後ＩＰｓｅｃモジュール２４で取得される平文ＩＰパケットがＬＡＮ内向けであるので、パケット３１４として転送され、ルータモジュール２３を経由してパケット３１５として通信機器３０に至る。

この様にして確立できる通信路において、通信機器１０は通信機器３０と認証を行う（Ｓ３１６）。認証の結果を通知するパケットは、前述の通信路を逆に辿り、通信機器３０の認証モジュール３２から通信機器２０のルータモジュール２３、ＩＰｓｅｃモジュール２４、通信機器１０のＩＰｓｅｃモジュール１３を経由してアプリケーション１１に認証結果として到達する（Ｓ３１７，Ｓ３１８，Ｓ３１９，Ｓ３２０）。

認証結果を受信すると、アプリケーション１１は、通信機器２０上でサーバプロセスとして動作するルータモジュール２３に対し、前述の仮想ＩＰアドレスＡ宛のＩＰパケットに通信を行うことができる。

具体的には、仮想ＩＰアドレスＡ宛で、かつルータモジュール２３がサービスしているポート番号のＴＣＰヘッダないしＵＤＰヘッダなどを付加することにより、パケットは、アプリケーション１１からアプリケーション２１への転送（Ｓ３２１）、アプリケーション２１からルータモジュール２３への転送（Ｓ３２２）を経て、ステップＳ３２３においてルータモジュール２３に対するルーティング設定等を行うことができる。

アプリケーション１１は、ステップＳ３２３において、通信機器３０のユニキャストＩＰアドレスを、通信機器１０との間で互いにルーティングする様に設定することで、以後は通信機器１０が持つ仮想ＩＰアドレスと、通信機器３０が持つユニキャストＩＰアドレスの間で、制限無く互いに通信を行うことが可能となる。

具体的には、通信機器３０から何時でも自由に、パケットの認証モジュール３２からルータモジュール２３への転送（Ｓ３２４）、ルータモジュール２３からＩＰｓｅｃモジュール２４への転送（Ｓ３２５）、ＩＰｓｅｃモジュール２４からＩＰｓｅｃモジュール１３への転送（Ｓ３２６）、認証モジュール１２から通信機器１０への転送（Ｓ３２７）を経て通信機器１０に宛てたＩＰパケットを送出することができる。

通信機器３０からは単に通信機器１０の仮想ＩＰアドレスに宛てたパケットを送出すればよいため、従来のＩＰｓｅｃ機能を持たないＬＡＮ内機器をそのまま使用できることはいうまでもない。

以上述べたようなシーケンスにより、認証手順中に接続先機器から接続元機器へのＶＰＮの仮想ＩＰアドレスの通知を加えることで、ＶＰＮの確立時点で接続元の通信機器１０は、接続先通信機器２０と認証済みの仮想ＩＰアドレスＡを用いて通信を開始できる。

さらに、接続先通信機器２０はＶＰＮをＬＡＮに転送するためのルーティング機能を有するルータモジュール２３を備え、ルータモジュール２３に対し仮想ＩＰアドレスＡを用いて、接続元の通信機器１０からルーティング設定要求（Ｓ３２１，Ｓ３２２）を出すことで、ＬＡＮ内の通信機器３０に接続する際のアクセス制限とルーティング設定を自由に行うこともできる。

以上のように本発明によれば、ＶＰＮ接続の際に機器に設定を行わずとも機器間の１対１通信、ＬＡＮ内への１対Ｎ通信ともに行え、ユーザインタフェースが限られる組み込み機器で、インターネット経由での安全な接続をネットワーク設定の知識無しに実現することが可能となる。

本発明は、機器間をＩＰネットワークによって接続して暗号通信を行う場合に利用でき、その際に機器に設定を行わずとも機器間でＶＰＮ接続を行うことができるため、インターネット経由での安全な接続をネットワーク設定の知識無しに実現でき、ユーザインタフェースが限られる組み込み機器や、またテレビやＤＶＤレコーダ、エアコン、冷蔵庫を始めとする家電機器に適用することができる。

本発明の実施の形態１で前提とする機器間のネットワーク接続と機器内の機能構成を図示したものである。 本発明の実施の形態１の機器間の通信シーケンスを図示したものである。 従来の技術で前提とする機器間のネットワーク接続と機器内の機能構成を図示したものである。

符号の説明

１ 通信システム
１０，２０，３０ 通信機器
１１，２１，３１ アプリケーション
１２，２２，３２ 認証モジュール
１３，２４ ＩＰｓｅｃトンネルモード対応ＶＰＮモジュール（ＩＰｓｅｃモジュール）
１４，２６，３４ ネットワークＩＦ
２３ ルータモジュール
２５，３３ ＴＣＰ／ＩＰスタック
４０ ネットワーク

Claims (10)

1. ネットワークに接続され、第２の通信機器とＩＰ通信を行う第１の通信機器であって、
   前記第２の通信機器と認証を行う第１認証手段と、
   前記第２の通信機器とトンネルＩＰ通信を行う第１暗号通信手段とを備え、
   前記第１認証手段は、前記第２の通信機器との認証の手順の一環として、前記トンネルＩＰ通信に用いる暗号鍵と第２の通信機器の仮想ＩＰアドレスを取得し、
   前記第１暗号通信手段は、取得した仮想ＩＰアドレス宛のパケットを前記取得した暗号鍵で暗号データに暗号化し、前記暗号データをペイロードとして前記第２の通信機器宛のＩＰパケットを送信し、応答を前記取得した暗号鍵で復号することによりトンネルＩＰ通信を行う
   ことを特徴とする第１の通信機器。
2. 前記第１暗号通信手段は、さらに前記取得した第２の通信機器の仮想ＩＰアドレス以外のトンネル通信アドレスに関し、ＩＰアドレス単位で、任意の数の第３の通信機器と認証を行い、認証が成功した場合、前記トンネル通信アドレスを宛先とするパケットを前記取得した暗号鍵で暗号データに暗号化し、前記暗号データをペイロードとして前記第２の通信機器宛のＩＰパケットを送信し、応答を前記取得した暗号鍵で復号することにより前記任意の数の第３の通信機器とトンネルＩＰ通信を行う
   ことを特徴とする請求項１記載の第１の通信機器。
3. 前記第１暗号通信手段は、前記第２の通信機器に搭載された転送処理部とトンネルＩＰ通信を行って所望の第３の通信機器に対する転送を許可し、
   転送を許可後に、前記取得した第２の通信機器の仮想ＩＰアドレス宛以外のアドレスを宛先とするパケットを前記取得した暗号鍵で暗号データに暗号化し、前記暗号データをペイロードとして前記第２の通信機器宛のＩＰパケットを送信し、応答を前記取得した暗号鍵で復号することにより前記任意の数の第３の通信機器とトンネルＩＰ通信を行う
   ことを特徴とする請求項１記載の第１の通信機器。
4. ネットワークに接続され、第２の通信機器とＩＰ通信を行う第１の通信機器に用いられる通信方法であって、
   前記第２の通信機器と認証を行う第１認証ステップと、
   前記第２の通信機器とトンネルＩＰ通信を行う第１暗号通信ステップとを含み、
   前記第１認証ステップでは、前記第２の通信機器との認証の手順の一環として、前記トンネルＩＰ通信に用いる暗号鍵と第２の通信機器の仮想ＩＰアドレスを取得し、
   前記第１暗号通信ステップでは、取得した仮想ＩＰアドレス宛のパケットを前記取得した暗号鍵で暗号データに暗号化し、前記暗号データをペイロードとして前記第２の通信機器宛のＩＰパケットを送信し、応答を前記取得した暗号鍵で復号することによりトンネルＩＰ通信を行う
   ことを特徴とする通信方法。
5. 請求項４に記載の通信方法に含まれるステップをコンピュータに実行させるためのプログラム。
6. ネットワークに接続され、第１の通信機器とＩＰ通信を行う第２の通信機器であって、
   前記第１の通信機器と認証を行う第２認証手段と、
   前記第１の通信機器とトンネルＩＰ通信を行う第２暗号通信手段とを備え、
   前記第２認証手段は、認証の手順の一環として暗号鍵と、前記第２の通信機器の仮想ＩＰアドレスとを前記第１の通信機器に通知し、
   前記第２暗号通信手段は、前記第１の通信機器から受信したパケットのペイロードを前記取得した暗号鍵で復号して平文データ化し、前記平文データが前記仮想ＩＰアドレス宛のＩＰパケットであった場合は、自己宛のＩＰパケットとして処理し、前記仮想ＩＰアドレス宛のＩＰパケットを前記取得した暗号鍵で暗号化して、これをペイロードとして前記第１の通信機器宛のＩＰパケットを送信することにより前記第１の通信機器とトンネルＩＰ通信を行う
   ことを特徴とする第２の通信機器。
7. 前記第２の通信機器は、さらにＩＰパケットを転送する転送処理手段を備え、
   前記第２暗号通信手段は、前記平文データがその他のＩＰアドレス宛のＩＰパケットであった場合は、前記転送処理手段により、予め設定された転送規則に従って任意の数の第３の通信機器に対しＩＰパケットとして転送を行い、前記第３の通信機器からの応答であるＩＰパケットを前記取得した暗号鍵で暗号化して、これをペイロードとして前記第１の通信機器宛のＩＰパケットを送信することにより前記第１の通信機器とトンネルＩＰ通信を行う
   ことを特徴とする請求項６記載の第２の通信機器。
8. 前記第２の通信機器は、さらにＩＰパケットを転送する転送処理手段を備え、
   前記第２暗号通信手段は、前記第２の通信機器宛の通信が前記転送処理手段宛である場合、当該通信に従って任意の数の第３の通信機器に対する転送許可を設定し、前記平文データがその他のＩＰアドレス宛のＩＰパケットであった場合は、前記転送処理手段により、前記設定された転送許可に従って任意の数の第３の通信機器に対するＩＰパケットとして転送を行い、前記第３の通信機器からの応答であるＩＰパケットを前記取得した暗号鍵で暗号化して、これをペイロードとして前記第１の通信機器宛のＩＰパケットを送信することにより前記第１の通信機器とトンネルＩＰ通信を行う
   ことを特徴とする請求項６記載の第２の通信機器。
9. ネットワークに接続され、第１の通信機器とＩＰ通信を行う第２の通信機器に用いられる通信方法であって、
   前記第１の通信機器と認証を行う第２認証ステップと、
   前記第１の通信機器とトンネルＩＰ通信を行う第２暗号通信ステップとを含み、
   前記第２認証ステップでは、認証の手順の一環として暗号鍵と、前記第２の通信機器の仮想ＩＰアドレスとを前記第１の通信機器に通知し、
   前記第２暗号通信ステップでは、前記第１の通信機器から受信したパケットのペイロードを前記取得した暗号鍵で復号して平文データ化し、前記平文データが前記仮想ＩＰアドレス宛のＩＰパケットであった場合は、自己宛のＩＰパケットとして処理し、前記仮想ＩＰアドレス宛のＩＰパケットを前記取得した暗号鍵で暗号化して、これをペイロードとして前記第１の通信機器宛のＩＰパケットを送信することにより前記第１の通信機器とトンネルＩＰ通信を行う
   ことを特徴とする通信方法。
10. 請求項９に記載の通信方法に含まれるステップをコンピュータに実行させるためのプログラム。

Images