JP3446482B2 - 暗号化装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は複数のサーバとクラ
イアントを暗号化装置を介してネットワークに接続し、
データを暗号化して相互に通信を行う暗号化装置に関す
る。

【０００２】

【従来の技術】従来の暗号化装置は受信したフレームを
全て暗号化して送信し、ネットワークシステムを運用す
るための制御フレームも暗号化されていた。そのため、
暗号化機能を持たないネットワーク機器や端末とネット
ワークシステムを運用するための制御フレームを交換す
ることができず、ネットワーク機器を介してフレームの
中継を行う場合は、特開平4ー154233号公報に示された
暗号化装置のようにネットワーク機器も暗号化機能を備
える必要があった。システム構成図を図２９に示す。図
２９において、(1)は端末相互間の暗号系、(2)はネット
ワーク内の暗号系、NW11、NW12、NW13はネットワーク、
21、22は通信バス、31、32、33はブリッジなどのネット
ワーク機器、111、112、121、122、131、132は端末であ
る。

【０００３】次に動作について説明する。図３０はＩＰ
（Internet Protocol）フレームを例とした暗号化範囲
を示すフレーム図である。送信端末111は相手端末121と
の通信に必要な情報のみには、端末相互間の暗号系(1)
を適用し、ネットワークNW11、NW12やネットワーク機器
31、32での転送処理などに必要な情報には、ネットワー
ク内の暗号系(2)を適用する。即ち、送信端末111は、自
分の属するネットワークNW11と相手端末121の属するネ
ットワークNW12とを接続するネットワーク機器31、32の
ネットワークのアドレス等のネットワーク内のみで使用
する情報には該ネットワーク内の暗号系(2)により図３
０のN1、N2、N3部分を暗号化し、両端末(111、121)相互
間のみの情報には該端末相互間の暗号系(1)で図３０のT
1、T2、T3部分を暗号化し、一つのメッセージとして自
分111の属するネットワークNW11へ送出する。

【０００４】そしてネットワークNW11に接続されたネッ
トワーク機器31は該メッセージを受信し、該ネットワー
クNW11で使用する図３０のN1、N2、N3部分を解読し、相
手端末121の属するネットワークNW12と接続されるネッ
トワーク機器32へ転送する。ネットワーク機器32も、同
様にネットワークNW12で使用する図３０のN1、N2、N3部
分を解読し、該ネットワークへ該メッセージを送出す
る。ネットワークNW12に属する相手端末121は、ネット
ワーク機器32から受信したメッセージの中のネットワー
クで使用する図３０のN1、N2、N3部分をネットワーク内
の暗号系(2)で解読し、自分宛であることを認識して端
末間の情報である図３０のT1、T2、T3部分を、端末相互
間の暗号系(1)で解読する。

【０００５】従来の暗号化装置においては、ネットワー
ク装置間の暗号系と端末相互間の暗号系とに分け、ネッ
トワーク装置は中継に必要な部分を復号し、解読するこ
とにより、ネットワーク機器を含むネットワークを介し
て行う端末間のメッセージ通信を暗号化し、当該端末間
では正常通信を行える通信秘匿方式を提供している。

【０００６】

【発明が解決しようとする課題】従来の暗号化装置は以
上のように、ユーザのデータフレーム以外のネットワー
クシステムを運用するためのネットワークシステム制御
フレームも暗号化していたため、暗号化機能を持たない
ネットワーク機器や端末とネットワークシステム制御フ
レームの交換ができなかった。本発明はかかる課題を解
決するためになされたもので、既設のサーバ、クライア
ントまたはルータなどの暗号化の機能を持たないネット
ワーク機器を用いて暗号通信ができる暗号化装置を得る
ことを目的とする。

【０００７】また、暗号化装置が接続されたクライアン
トから暗号化装置の接続されていないサーバにアクセス
できる暗号化装置を得ることを目的とする。

【０００８】

【課題を解決するための手段】第１の発明に係わる暗号
化装置は、端末からサーバ情報を通知するフレームを受
信し、このフレームのサーバ情報に含まれるサーバのサ
ービスタイプが非暗号通信なら、そのサービスタイプを
暗号通信に変換し、そのフレームをネットワークに送信
する暗号サービス化手段と、ネットワークからサーバ情
報を通知するフレームを受信し、このフレームに含まれ
るサーバ情報のサービスタイプが、暗号通信なら非暗号
通信に変換して端末に送出し、非暗号通信ならそのサー
バ情報を廃棄するか、ルータを中継した数を示すホップ
数を到達不能の値に変換して、そのフレームを端末に送
出する非暗号サービス化手段と、端末からデータフレー
ムを受信し、このデータフレームに含まれる所定のデー
タ部を暗号化してネットワークに送信する暗号化手段
と、ネットワークからデータフレームを受信し、このデ
ータフレームに含まれる所定のデータ部を復号して端末
に送出する復号手段と、端末から通信経路情報を通知す
るフレームを受信し、このフレームをネットワークに送
出し、ネットワークから通信経路情報を通知するフレー
ムを受信し、このフレームを端末に送出する通信経路情
報中継手段とを有するものである。

【０００９】第２の発明に係わる暗号化装置は、暗号化
除外対象のアドレスを記憶する透過処理アドレステーブ
ルと、端末からデータフレームを受信し、このデータフ
レームの宛先サーバアドレスが透過処理アドレステーブ
ルに登録されているならデータフレームの所定のデータ
部を暗号化せずに、登録されていないならデータフレー
ムの所定のデータ部を暗号化して、ネットワークに送出
する暗号化手段と、ネットワークからデータフレームを
受信し、このデータフレームの送信元アドレスが透過処
理アドレステーブルに登録されているならデータフレー
ムの所定のデータ部を復号せず、登録されていないなら
データフレームの所定のデータ部を復号して、端末に送
出する復号手段と、暗号化対象外のサーバのサーバ情報
を記憶する透過処理サーバテーブルと、ネットワークか
らサーバ情報を通知するフレームを受信し、このフレー
ムのサーバ情報に含まれるサーバ名と透過処理サーバテ
ーブルに記憶されているサーバ名との比較結果に基づい
て前記フレームを端末に送出するサーバ情報通知フレー
ム透過処理手段透過処理手段と、端末から通信経路情報
を通知するフレームを受信し、このフレームをネットワ
ークに送出し、ネットワークから通信経路情報を通知す
るフレームを受信し、そのフレームを端末に送出する通
信経路情報中継手段とを有するものである。

【００１０】第３の発明に係わる暗号化装置は、端末か
らサーバ情報を通知するフレームを受信し、このフレー
ムのサーバ情報に含まれるホップ数に所定の数を加えた
フレームをネットワークに送信するホップ数加算手段
と、端末から、立ち上がり時の接続相手のサーバ情報を
要求するフレームを受信し、所定の接続相手のサーバ情
報を通知するフレームを端末に送出する立ち上げ要求応
答手段と、ネットワークから、立ち上がり時の接続相手
のサーバ情報を要求するフレームを受信し、廃棄する廃
棄手段と、端末からのデータフレームを受信し、データ
フレームの所定のデータ部を暗号化し、ネットワークに
送出する暗号化手段と、ネットワークからのデータフレ
ームを受信し、データフレームの所定のデータ部を復号
し端末に送出する復号手段と、端末から通信経路情報を
通知するフレームを受信し、そのフレームをネットワー
クに送出し、ネットワークから通信経路情報を通知する
フレームを受信し、そのフレームを端末に送出する通信
経路情報中継手段とを有するものである。

【００１１】

【発明の実施の形態】

実施の形態１．本実施の形態はクライアントとサーバを
ネットワークに接続して相互に平文で通信ができると共
に、クライアントを暗号化装置を介してネットワークに
接続し、またサーバを暗号化装置を介してネットワーク
に接続して、暗号化装置間は暗号通信ができるようにす
るものである。パーソナルコンピュータのネットワーク
ＯＳであるＮｅｔＷａｒｅ(Novell社の登録商標)で使用
されるプロトコルに適用した例について説明する。

【００１２】ＮｅｔＷａｒｅにおいてはネットワーク層
プロトコルとしてＩＰＸ(Internetwork Packet Exchan
ge)プロトコルが使用される。ＩＰＸのフレームを図２
に示す。図２において、X1はチェックサム、X2はフレー
ム長、X3はフレームが経由したルータをカウントするト
ランスポート制御、X4はフレームの種別を示すフレーム
タイプ、X5は宛先ネットワーク番号、X6は宛先端末を指
定する宛先ノード番号、X7は宛先プロトコルを示す宛先
ソケット番号、X8は送信元ネットワーク番号、X9は送信
元端末を指定する送信元ノード番号、X10は送信元プロ
トコルを示す送信元ソケット番号、およびX11はデータ
部である。ＩＰＸフレームは宛先ソケット番号X7によっ
てデータ部X11のデータ種別を判別する。

【００１３】ルータ等のネットワークの中継機器は、受
信したフレームに示される宛先ネットワークへ中継する
ためのルーティングテーブルを保持する。受信したフレ
ームの宛先ネットワークと、そのフレームを受信したネ
ットワークが等しくない場合に自分の保持するルーティ
ングテーブルを検索し、テーブル上のルーティング情報
に従って受信したフレームを中継する。宛先ネットワー
クに対するルーティング情報を持たなければそのフレー
ムを中継しない。ルーティング情報はルータやサーバ間
でＲＩＰ（Routing Information Protocol）プロトコル
を用いて定期的に、あるいは変更があった場合に交換す
る。ＲＩＰプロトコルはＩＰＸプロトコルの上位に位置
し、ＩＰＸヘッダ内の宛先ソケット番号（図２のX7）が
0x453（以下０xは１６進数を表わす）であることにより
判別する。

【００１４】ＲＩＰのフレームフォーマットを図３に示
す。図３においてRP1はオペレーションで、リクエスト
かまたはレスポンスかを識別する。RP2はネットワーク
番号、RP3は目的ネットワークまでに経由するネットワ
ークの数を示すHops数、RP4は目的ネットワークまでに
かかる時間を示すTicks数である。Hops数は0x01からカ
ウントし、ルータを通過する毎に１加算される。RP3のH
ops数が0x10の場合、RP2に示されるネットワークは到達
不能を意味し、無効な情報となる。RP2〜RP4は１組で１
ルーティング情報となり、１フレームの中に複数のルー
ティング情報が設定可能である。他は図２と同じで説明
を省く。

【００１５】また、ＮｅｔＷａｒｅはクライアント／サ
ーバシステムであり、サーバは自分の提供するサービス
をブロードキャストする。サーバ情報はルータやサーバ
間でＳＡＰ（Service Advertising Protocol）プロトコ
ルを用いて定期的に、あるいは変更があった場合に交換
する。ルータやサーバは受信したサーバ情報をサーバテ
ーブルに保持し、受信したリクエストに対してレスポン
スを返す。ＳＡＰプロトコルはＩＰＸプロトコルの上位
に位置し、ＩＰＸヘッダ内の宛先ソケット番号（図２の
X7）が0x452であることにより判別する。

【００１６】ＳＡＰのフレームフォーマットはリクエス
トフレームとレスポンスフレームの２種類存在する。Ｓ
ＡＰのリクエストフレームフォーマットを図４に、ＳＡ
Ｐレスポンスフレームフォーマットを図５に示す。図４
において、SP1はリクエストタイプ、SP2は要求するサー
ビスタイプである。他は図２と同じで説明を省く。ＳＡ
ＰリクエストフレームはGeneral Requestとクライアン
トが立ち上り時に送信するNearest Service Queryの２
種類があり、リクエストタイプSP1の値により判別され
る。図５において、SP3はレスポンスタイプ、SP4はサー
ビスタイプ、SP5はサーバ名、SP6はサーバのアドレスで
あるネットワーク番号、SP7はノード番号、SP8はソケッ
ト番号、SP9はサーバまでの中継ネットワーク数を示すH
ops数である。他は図２と同じで説明を省く。

【００１７】SP9のHops数が0x10の場合、サーバ名SP5に
示されるサーバは使用不能であることを示す。レスポン
スフレームはリクエストに対するレスポンスと定期的に
サーバ情報をブロードキャストするフレームの２種類あ
り、レスポンスタイプSP3により判別される。SP4〜SP8
は１組で１サーバのサーバ情報を構成し、１フレームの
中に複数のサーバ情報を設定できる。

【００１８】本実施の形態は、暗号化装置がプロトコル
を判別し、ＮｅｔＷａｒｅにおけるＲＩＰフレームとＳ
ＡＰフレームを暗号化せずに透過し、ＳＡＰフレームに
含まれるサーバのサービスタイプを暗号サービスの値に
変更して送信し、そのサーバ情報を含むＳＡＰフレーム
を受信した暗号化装置が元の非暗号サービスのサービス
タイプに戻す。その他のデータフレームは図２に示した
データ部X11を暗号化する。暗号化装置の構成を図１に
示す。図１において、1は端末、2は暗号化装置、3はネ
ットワークである。21は端末側送受信部で、１つ以上の
ポートを持ち、ポートに接続された端末と装置の間のデ
ータの送受信を行う。23はネットワーク側送受信部で、
ネットワークと装置の間のデータの送受信を行う。22は
受信したフレームを格納しておくフレーム格納メモリ、
24はプログラム及び作業用のＲＯＭ／ＲＡＭ、25は各種
の演算処理を行う中央処理部である。26は受信したデー
タのプロトコルを判別するプロトコル判別部、27は受信
したデータの暗号／復号処理を行うデータ暗号／復号処
理部、28はＳＡＰ処理部で、端末からのＳＡＰフレーム
なら、サービスタイプを非暗号サービスから暗号サービ
スに変更し、ネットワークからのＳＡＰフレームなら、
暗号サービスから非暗号サービスに変更する。

【００１９】動作について説明する。図１において、暗
号化装置の端末側送受信部21は、受信したフレームをフ
レーム格納メモリ22に格納する。ネットワーク側送受信
部23は、受信したフレームをフレーム格納メモリ22に格
納する。プロトコル判別部26はフレームのプロトコルを
判別し、ＲＩＰフレームであれば透過し、ＳＡＰフレー
ムであればＳＡＰ処理部28へ制御を渡す。ＳＡＰ処理部
28は端末1からＳＡＰフレームを受信した場合はサービ
スタイプ0x04（非暗号サービス）を例えば0xabc（暗号
サービス）に変換して、ネットワーク側送受信部23を介
してネットワーク3に送信し、ネットワーク3からSAPフ
レームを受信した場合はサービスタイプ0xabcを0x04に
変換し、サービスタイプ0x04の場合はHops数を0x10に設
定して、端末側送受信部21を介して端末側1に送信す
る。

【００２０】その他のデータフレームのデータ部（図２
のX11）はデータ暗号／復号処理部27において暗号化／
復号処理する。ネットワーク側送受信部23は、それぞれ
処理したフレームをネットワーク3へ送信する。また、
フレームを送信した端末以外の端末へは端末側送受信部
21より受信したフレームをそのまま送信する。ネットワ
ーク側送受信部23から受信したフレームも同じように処
理し、端末側送受信部21より端末側1へ送信する。

【００２１】次に、同一ネットワーク上のクライアント
／サーバが暗号化せずに通信する場合のネットワーク構
成例を図６に示す。図６において、３ａはネットワー
ク、11s、12sはサーバ、11cはクライアントである。５
１はサーバ11sが保持するサーバテーブル、５２はサー
バ12sが保持するサーバテーブルで、それぞれサーバ名
とサービスタイプ等のサーバ情報を保持している。次に
サーバが自分のサーバ情報を定期的に送信するシーケン
スを図７に示す。図において、ファイルサーバ11sはＳ
ＡＰフレームを用いて定期的に自分のサーバ情報(サー
バ名11s、サービスタイプ0x04)をネットワーク3a上にブ
ロードキャストに送信する（ステップS11）。ネットワ
ーク3aからＳＡＰフレームを受信したファイルサーバ12
sはＳＡＰフレームに含まれるサーバ名11s、サービスタ
イプ0x04をサーバテーブル５２に設定する（ステップS1
2）。

【００２２】ファイルサーバ12sはＳＡＰフレームを用
いて定期的に自分のサーバ情報(サーバ名12s、サービス
タイプ0x04)をネットワーク3a上にブロードキャストに
送信する（ステップS13）。ネットワーク3aからＳＡＰ
フレームを受信したファイルサーバ11sはＳＡＰフレー
ムに含まれるサーバ名12s、サービスタイプ0x04をサー
バテーブル５１に設定する（ステップS14）。次に、ク
ライアント11c立ち上がり時のシーケンスを図８に示
す。図において、クライアント11cは、立ち上がり時に
サービスタイプ0x04のNearest ServiceQueryのＳＡＰ
リクエストフレームをネットワーク3aに送信する（ステ
ップＳ２１）。

【００２３】サーバ１１ｓは、ネットワーク3aからサー
ビスタイプ0x04のSAPリクエストを受信すると（ステッ
プS22）、自サービスタイプと同一なので、自分のサー
バ情報（サーバ名11s、サービスタイプ0x04）のSAPレス
ポンスフレームをクライアント11cに送信する（ステッ
プS23）。クライアント11cは最初にレスポンスフレーム
をファイルサーバ11sから受信すると（ステップS24）、
レスポンスフレームに設定されているサーバ11sのルー
ティング情報を得るために、ＲＩＰリクエストフレーム
を送信する（ステップS31）。

【００２４】サーバ11sはＲＩＰリクエストフレームを
受信すると（ステップS32）、レスポンスを送信する
（ステップS33）。クラアント11cはＲＩＰレスポンスフ
レームを受信すると（ステップS34）、以後クラアント1
1cとサーバ11s間でデータフレームを送受信する（ステ
ップS41、S42）。なお、ファイルサーバ12sはネットワ
ーク3aからリクエストフレームを受信し（ステップS2
5）、サービスタイプが自サービスタイプと同一のサー
バ12sは、自分のサーバ情報（サーバ名12s、サービスタ
イプ0x04）のSAPレスポンスフレームを送信すると（ス
テップS26）クライアント11cはこの後から遅れて受信し
たレスポンスフレームを無視する（ステップS27）。

【００２５】上述のように、図８のS21で送信するＳＡ
Ｐリクエストフレームはブロードキャストするためサー
バ12sも受信し、レスポンスを送信する。クライアント
はＳＡＰレスポンスを複数受信した場合、一番最初に受
信したレスポンスフレームに従ってデータ通信を開始す
る。また、例えばサーバ11sに接続したクライアント11c
がサーバ12sともデータ通信を行ないたい場合、クライ
アント11cは接続されているサーバ11sからサーバ12sの
アドレス情報を得るために、ＲＩＰリクエストを送信
し、これに対するＲＩＰレスポンスの応答からアドレス
情報を得て、クライアント11cはサーバ12sと通信を開始
する。なお、サーバ11sからサーバ12sのアドレス情報が
得られない場合は通信できない。

【００２６】次にルータを介して異なるネットワーク上
のクライアント／サーバが、暗号化せずに通信する場合
のネットワーク構成例を図９に示す。図において、3a、
3bはネットワーク、4aはルータ、11sはサーバ、11cはク
ライアント、51はルータ4aが保持するサーバテーブル、
52はサーバ11sが保持するサーバテーブルである。サー
バ11sが自分のサーバ情報を含むレスポンスフレームを
定期的にネットワーク3bに送信するシーケンスを図１０
に示す。図１０においてファイルサーバ11sはＳＡＰフ
レームを用いて定期的に自分の情報をネットワーク3b上
にブロードキャストする（ステップS11）。ルータ4aは
サーバ情報を受信すると（ステップS12）自分のサーバ
テーブル51に登録し、他のネットワーク3aへ定期的に送
信する（ステップS13）。

【００２７】クライアント11cの立ち上がり時のシーケ
ンスを図１１に示す。図において、クライアント11cが
サービスタイプ0x04のNearest Service QueryのSAPリ
クエストフレームをネットワーク3aへ送信する（ステッ
プS21）。ルータ4aはNearestService QueryのSAPリク
エストフレームを受信する（ステップS22）と、サーバ
テーブル51を参照して、要求されたサービスタイプで
（0x04で）Hops数が最少のサーバ名11sのファイルサー
バ情報を設定したレスポンスフレームをクライアント11
cに送信する（ ステップS23）。クライアントは受信し
たレスポンスフレーム（ステップS24）に設定されてい
るサーバのルーティング情報を得るために、ＲＩＰリク
エストフレームを送信する（ステップS31）。ＲＩＰリ
クエストフレームを受信したルータ（ステップS32）は
レスポンスを送信する（ステップS33）クライアント11c
は受信したＲＩＰレスポンスフレームに従い（ステップ
S34）、通信を開始する（ステップS41、S42、S43）。

【００２８】次に、同一ネットワーク上に暗号系サーバ
／クライアント、非暗号系サーバ／クライアントが存在
するネットワークシステム構成図を図１２に示す。図１
２において、2a、2b、2cは暗号化装置、3aはネットワー
ク、11cは暗号化装置が接続されていない非暗号系クラ
イアント、12cは暗号化装置が接続された暗号系クライ
アント、11sは暗号化装置が接続されていない非暗号系
サーバ、12s、13sは暗号化装置が接続された暗号系サー
バを示す。52はサーバ11sが保持するサーバテーブル、5
3 はサーバ12sが保持するサーバテーブル、54はサーバ1
3sが保持するサーバテーブルで、サーバ名、サービスタ
イプ、Hops数などのサーバ情報を記憶する。

【００２９】図１２に示すネットワーク構成において、
非暗号系サーバ11s、暗号系サーバ12s、13sは定期的に
自分のサーバ情報をネットワーク3a上にブロードキャス
トに送信し、各サーバが他サーバからのサーバ情報を受
信して自サーバテーブルを更新するシーケンスを図１３
に示す。図１３において、非暗号系サーバ11sはネット
ワーク3aにサーバ名11sでサービスタイプ0x04のサーバ
情報をブロードキャストする（ステップS11）。

【００３０】暗号化装置2bはネットワーク3aから前記サ
ーバ11sのサーバ情報を受信するとサービスタイプ0x04
で、Hops数を0x10（サーバ11sが使用不能を示す値）に
設定し、サーバ12sへ送信する（ステップS12）。サーバ
12sは暗号化装置2bからサーバ11sのサーバ情報を受信す
ると、サーバ情報のHops数が0x10であるので、そのサー
バ情報を廃棄しサーバ12sのサーバテーブル53にはサー
バ11sのサーバ情報は書込まない（ステップS13）。同様
にして、暗号化装置2cはネットワーク3aから前記サーバ
11sのサーバ情報を受信すると、サービスタイプが0x04
なのでHops数を0x10に設定し、サーバ13sへ送信する
（ステップS14）。サーバ13sは暗号化装置2cからサーバ
11sのサーバ情報を受信すると、サーバ情報のHops数が0
x10であるので、そのサーバ情報を廃棄し、サーバ13sの
サーバテーブル54にはサーバ11sのサーバ情報は書き込
まない（ステップS15）。

【００３１】次に、暗号系サーバ12sはサーバ名12s、サ
ービスタイプ0x04のサーバ情報をブロードキャストに送
信する（ステップS21）。暗号化装置2bは暗号系サーバ
を示すサービスタイプ0xabcに変更してネットワーク3a
に送信する（ステップS22）。ネットワーク3aからサー
バ12sのサーバ情報を受信した非暗号系サーバ11sは自サ
ーバが保持するサーバテーブル52にサーバ名12sとサー
ビスタイプ0xabcを登録する（ステップS23）。また、暗
号化装置2cはネットワーク3aからサーバ12sのサーバ情
報を受信すると、受信したサーバ情報のサービスタイプ
0xabcを0x04に変更してサーバ13sに出力する（ステップ
S24）。サーバ13sはサーバ12のサーバ情報を暗号化装置
2cから受信すると自サーバが保持するサーバテーブル54
にサーバ名12sとサービスタイプ0x04を登録する（ステ
ップS25）。

【００３２】次に、暗号系サーバ13sは暗号化装置2cに
サーバ名13s、サービスタイプ0x04のサーバ情報を送信
する（ステップS31）。暗号化装置2cは暗号系サーバを
示すサービスタイプ0xabcに変換してネットワーク3aに
送信する（ステップS32）。ネットワーク3aからサーバ1
3sのサーバ情報を受信した非暗号系サーバ11sは自サー
バが保持するサーバテーブル51にサーバ名13sとサービ
スタイプ0xabcを登録する（ステップS33）。暗号化装置
2bはネットワーク3aからサーバ13sのサーバ情報を受信
すると受信したサーバ情報のサービスタイプ0xabcを0x0
4に変換してサーバ12sに送信する（ステップS34）。サ
ーバ12sはサーバ13sのサービス情報を暗号化装置2bから
受信すると、自サーバが保持するサーバテーブル53にサ
ーバ名とサービスタイプ0x04を登録する（ステップS3
5）。以上のように、サーバは定期的に互いのサーバ情
報を更新する。

【００３３】図１２のシステムにおいて、暗号系クライ
アント12cが立ち上がって暗号系サーバ12sと通信を開始
するまでのシーケンスを図１４を用いて説明する。暗号
系クライアント12cは暗号化装置2aにサービスタイプ0x0
4のNearest Service QueryのＳＡＰリクエストフレーム
を送信する（ステップS21）。暗号化装置2aは、サービ
スタイプ0x04のNearest Service QueryのＳＡＰリクエ
ストフレームを受信すると、0x04のサービスタイプを0x
abcに変更してネットワーク3aへ送信する（ステップS2
2）。非暗号系サーバ11sは自分のサービスタイプと異な
るため、リクエストを廃棄する（図示せず）。暗号化装
置2bは、ネットワーク3aからサービスタイプ0xabcのNea
rest Service QueryのＳＡＰリクエストを受信すると、
0x04に変更して暗号系サーバ12sへ送信する（ステップS
23）。

【００３４】暗号系サーバ12sは、サービスタイプ0x04
のNearest Service QueryのＳＡＰリクエストを受信す
る（ステップS24）と、自サービスタイプと同じなの
で、サーバ12sはサーバ名12sでサービスタイプ0x04の自
分のサーバ情報をレスポンスとして送信する（ステップ
S25）。暗号化装置2bは、ネットワーク3aからサーバ名1
2sでサービスタイプ0x04のレスポンスを受信すると、サ
ービスタイプ0xabcに変更してネットワーク3aへ送信す
る（ステップS26）。暗号化装置2aはネットワーク3aか
らサービスタイプ0xabcのレスポンスを受信すると0x04
に変更して暗号系クライアント12cへ送信する（ステッ
プS27）。暗号系クライアント12cは受信したサーバ（ス
テップS28）のアドレスを得るためにＲＩＰリクエスト
フレームを送信する（ステップS31）。暗号化装置2aは
受信したＲＩＰリクエストをそのまま送信する（ステッ
プS32）。

【００３５】暗号化装置2bはネットワーク3aから受信し
たＲＩＰリクエストをそのまま暗号系サーバ12sに送信
する（ステップS33）。暗号系サーバ12sはＲＩＰリクエ
ストを受信し（ステップS34）、ＲＩＰレスポンスを暗
号化装置2bに送信する（ステップS35）。暗号化装置2b
は受信したＲＩＰレスポンスをそのままネットワーク3a
に送信する（ステップS36）。暗号化装置2aはネットワ
ーク3aから受信したＲＩＰレスポンスをそのまま暗号系
クライアント12cに送信する（ステップS37）。暗号系ク
ライアント12cは受信したＲＩＰレスポンスに従い（ス
テップS38）、暗号系サーバ12sとデータフレームの送受
信を開始する。すなわち、暗号系クライアント12cはサ
ーバ12s宛にデータフレームを送信する（ステップS4
1）。暗号化装置2aは受信したデータフレームのデータ
部X11を暗号化し、ネットワーク3aへ送信する（ステッ
プS42）。暗号化装置2bは受信したデータフレームのデ
ータ部X11を復号し、暗号系サーバ12sへ送信し（ステッ
プS43）、暗号系サーバがデータフレームを受信する
（ステップS44）。また、暗号系サーバ12sから暗号系ク
ライアント12cへはステップS41からステップS44の逆を
たどってデータが送信される。

【００３６】図１２に示すシステムにおいて、暗号系ク
ライアント12cが立ち上がり時に送信するＳＡＰリクエ
ストを非暗号系サーバ11sが受信した場合のシーケンス
を図１５に示す。図１５において、暗号系クライアント
12cが立ち上がり時にサービスタイプ0x04のNearest Se
rvice QueryのＳＡＰリクエストフレームを送信すると
（ステップS21）、暗号化装置2aはサービスタイプを0xa
bcに変更してネットワーク3aに送信する（ステップS2
2）。非暗号系サーバ11sはネットワーク3aからサービス
タイプを0xabcのNearest Service QueryのＳＡＰリク
エストフレームを受信すると、非暗号系サーバ11sは自
分のサービスタイプ0x04と異なるため、リクエストを廃
棄する（ステップS23）。

【００３７】逆に非暗号系クライアント11cが立ち上が
る時に送信するＳＡＰリクエストを暗号系サーバ12sを
収容する暗号化装置2bが受信した場合のシーケンスを図
１６に示す。図１６において、非暗号系クライアント11
cが立ち上がり時にサービスタイプ0x04のNearest Serv
ice QueryのＳＡＰリクエストフレームを送信すると
（ステップS21）、このＳＡＰリクエストフレームを受
信した暗号化装置2bはサービスタイプが0xabcと異なる
ためリクエストを廃棄する（ステップS22）。従って、
非暗号系クライアントを暗号系サーバに、また暗号系ク
ライアントを非暗号系サーバに接続できない。

【００３８】次に、同一ネットワーク上に暗号系サー
バ、非暗号系サーバが存在し、ルータを介して異なるネ
ットワーク上に暗号系クライアント、非暗号系クライア
ントが存在するネットワークシステム構成図を図１７に
示す。図１７において、3a、3bはネットワーク、4aはル
ータ、2a、2b、2cは暗号化装置、11sは非暗号系サー
バ、12s、13sは暗号系サーバ、12cは暗号系クライアン
ト、11cは非暗号系クライアント、51はルータ4aが保有
するサーバテーブル、52はサーバ11sが保有するサーバ
テーブル、53はサーバ12sが保有するサーバテーブルで
ある。なお、サーバ13sが保有するサーバテーブルにつ
いての説明は省略する。

【００３９】図１２の例と同様に、非暗号系サーバ11
s、暗号系サーバ12s、13sはＳＡＰフレームを用いて定
期的に自分のサーバ情報をネットワーク上にブロードキ
ャストに送信し、非暗号系サーバ11s、暗号系サーバ12
s、13sは受信したＳＡＰフレームによりサーバ情報を学
習する（図１７の52、53）。ルータ4aはネットワーク3b
から受信した非暗号系サーバ11s、暗号系サーバ12s、13
sのＳＡＰフレームをもとにサーバ情報をサーバテーブ
ル51に登録する。即ち、サーバ11sのＳＡＰフレームは
サーバ名11s、サービスタイプ0x04を登録し、サーバ12s
のＳＡＰフレームはサーバ名12s、サービスタイプ0xabc
を登録し、サーバ13sのＳＡＰフレームはサーバ名13s、
サービスタイプ0xabcを登録する。暗号系クライアント1
2cが立ち上がり、暗号系サーバ12sと通信を開始するま
でのシーケンスを図１８に示す。図において、暗号系ク
ライアント12cは立ち上がり時にサービスタイプ0x04のN
earest Service QueryのＳＡＰリクエストを送信する
（ステップS21）。暗号化装置2aは、クライアント側か
らサービスタイプ0x04のＳＡＰリクエストを受信する
と、サービスタイプを0xabcに変更してネットワーク3a
へ送信する（ステップS22）。

【００４０】ルータ4aは、サービスタイプ0xabcのＳＡ
Ｐリクエストを受信すると（ステップS23）、サーバテ
ーブル51を参照しＳＡＰリクエストと同じサービスタイ
プ0xabcで最小のHops数のサーバ名12sを求め暗号系サー
バ12sの情報をＳＡＰレスポンスとして送信する（ステ
ップS24）。暗号化装置2aはネットワーク側からサービ
スタイプ0xabcのサーバ情報を受信すると、0x04に変更
して暗号系クライアント12cへ送信し（ステップS25）、
暗号系クライアント12cが受信する（ステップS26）。暗
号系クライアント12cは受信したサーバ12sのアドレスを
得るためにＲＩＰリクエストを送信する（ステップS3
1）。暗号化装置2aはＲＩＰフレームをそのままネット
ワーク3aへ送信する（ステップS32）。

【００４１】ルータ4aはネットワーク3aから暗号化装置
2aのＲＩＰリクエストを受信し（ステップS33）、レス
ポンスをネットワーク3aへ送信する（ステップS34）。
暗号化装置2aはネットワーク3aからのＲＩＰレスポンス
をそのまま暗号系クライアント12cへ送信し（ステップS
35）、暗号系クライアント12cがＲＩＰレスポンスを受
信する（ステップS36）。暗号系クライアント12cは暗号
系サーバ宛に通信を開始する（ステップS41）。即ち、
暗号化装置2aはデータフレームのデータ部X11を暗号化
して送信する（ステップS42）。ルータ4aはルーティン
グテーブルに従い、宛先アドレス宛にフレームを送信す
る（ステップS43）。暗号化装置2bは受信したデータフ
レームのデータ部X11を復号して送信し（ステップS4
4）、暗号系サーバが復号されたデータフレームを受信
する（ステップS45）。また、暗号系サーバ12sから暗号
系クライアント12cへはステップS41からステップS45の
逆をたどってデータが送信される。暗号系サーバ12sは
自サーバテーブル53に非暗号系サーバ11sの情報を保持
しないため、暗号系クライアント12cは非暗号系サーバ1
1sへアクセスできない。

【００４２】このように、ＲＩＰ／ＳＡＰフレームは暗
号化せず、サーバのサービスタイプを暗号系と非暗号系
に分け、その他のデータフレームは暗号化することによ
り、暗号系クライアント／サーバと非暗号系クライアン
ト／サーバが混在するネットワーク上で暗号通信が可能
となる。

【００４３】さらに同一ネットワーク上で暗号系サーバ
のサービスタイプとして割り当てる値を複数使用するこ
とにより、閉域の暗号グループを構成することができ
る。システム構成を図１９に示す。図１９において、11
cは非暗号系クライアント、12c、13cは暗号系クライア
ント、11sは非暗号系ファイルサーバ、12s、13sは暗号
系ファイルサーバを示す。暗号化装置2a、2bには変換す
るサービスタイプとして0xabcを設定し、暗号化装置2
c、2dには0xdefを設定することにより同一サービスタイ
プのクライアントとサーバが相互に通信できる。従って
暗号系サービスタイプを暗号鍵に対応付ければ、複数の
暗号グループを構成できる。

【００４４】本実施の形態ではＮｅｔＷａｒｅに適用し
た例を示したが、ルーティング情報を交換してフレーム
の中継を行い、サーバ情報を交換してクライアントがサ
ーバに接続し、サーバ／クライアント間で定期的に接続
を確認するその他のプロトコルに対しても同様の効果を
奏する。

【００４５】実施の形態２．実施の形態１ではサービス
タイプにより暗号／非暗号の区別していたが、本実施の
形態はこのほかにクライアントを収容する暗号化装置
が、宛先サーバ対応に暗号化／復号を行なうか否かを指
定する透過処理アドレステーブルと、サーバを収容する
暗号化装置に、非暗号のサーバを記憶する透過処理サー
バテーブルを設けることにより、暗号化装置に接続され
たクライアントと非暗号のサーバとを接続できるように
するものである。

【００４６】ＮｅｔＷａｒｅにおいて、クライアントは
立ち上がり時にサーバに接続し、そのサーバをベースサ
ーバとして、複数のサーバとコネクションをはり、通信
を行うことができる。クライアントが他のサーバとコネ
クションを張る場合、サーバ名を指定し、ベースサーバ
からコネクション先サーバのアドレス情報（図５のネッ
トワーク番号SP6、ノード番号SP7）を得る。アドレス情
報受信後、そのネットワーク番号SP6に対するＲＩＰリ
クエストを送信する。クライアントはＲＩＰレスポンス
受信後、サーバとコネクションを張る。ベースサーバが
コネクション先サーバのアドレス情報を保持していなけ
れば、コネクションを張ることができない。本実施の形
態では、暗号化装置に宛先アドレスによって暗号化／復
号を行うか否かの設定をすることにより、暗号化装置が
接続されているクライアントと暗号化装置が接続されて
いないサーバとの間で非暗号の通信ができるようにする
ものである。

【００４７】本実施の形態の暗号化装置の構成を図２０
に示す。図２０において、30は透過処理アドレステーブ
ル、31は透過処理サーバテーブルである。27はデータ暗
号／復号処理部で、データフレームに含まれる通信相手
のサーバアドレスが透過処理アドレステーブル30登録さ
れているなら暗号化／復号せず、登録されていないなら
暗号化／復号する。28はＳＡＰ処理部で、ネットワーク
側から受信したＳＡＰフレームに含まれるサーバ情報の
サーバが透過処理サーバテーブル31に登録されていれば
ＳＡＰフレームをそのまま送信し、登録されていなけれ
ば廃棄する。図２０の1から3，21から26は実施の形態１
（図１）と同じであり、説明を省略する。次に、通信シ
ステムの構成を図２１に示す。図において、30aは透過
処理アドレステーブル（図２０の30）で、宛先サーバア
ドレスを記憶し、クライアントを収容する暗号化装置2a
が保持する。この例では透過処理アドレステーブル30a
に宛先サーバアドレス11sを保持しており、暗号化装置2
aがサーバ11s宛のフレームを暗号化／復号しないことを
意味する。

【００４８】31bは透過処理サーバテーブル（図２０の3
1）で、サーバ名を記憶し、サーバを収容する暗号化装
置2bが保持する。この例では暗号化装置2bが透過処理サ
ーバテーブル31bにサーバ名11sを保持している。サーバ
名11sが透過処理サーバテーブル31bに登録されているこ
とは、暗号化装置がサーバ11sからのＳＡＰレスポンス
フレームのサービスタイプを変更せず、Hops数も変更せ
ず、透過処理することを意味する。また、暗号化装置2c
には透過処理するサーバがないので、透過処理サーバテ
ーブル31cにサーバ名を記憶していない。なお、11sは非
暗号サーバ、12sはサーバタイプ0xabcの暗号サーバ、13
sはサーバタイプ0xdefの暗号サーバである。11c、12c、
13c、11s、12s、13s、3a、3b、4a、51、52、53、54は図
１９と同じであり、説明を省略する。

【００４９】図２１のシステムにおいて、サーバ11s、1
2s、13sが定期的に自分のサーバ情報を送信するシーケ
ンスを図２２に示す。図において、サーバ11sは自分の
情報を定期的にブロードキャストに送信する（ステップ
S11）。暗号化装置2bはネットワーク側送受信部よりサ
ーバ11sの情報を受信し、フレーム格納メモリ（図２０
の22）に格納し、プロトコル判別部（図２０の26）に渡
す。プロトコル判別部においてＳＡＰフレームと判別さ
れ、ＳＡＰ処理部（図２０の28）に渡す。ＳＡＰ処理部
において透過処理サーバテーブル31b（図２０の31）を
検索し、サーバ11sが登録されているので、そのまま端
末側送受信部（図２０の21）より送信する（ステップS1
2）。サーバ12sはサーバ11sの情報を受信し、サーバ名1
1s、サービスタイプ0x04をサーバテーブル53に登録する
（ステップS13）。

【００５０】暗号化装置2cはネットワーク側送受信部
（図２０の23）よりサーバ11sの情報を受信し、フレー
ム格納メモリ（図２０の22）に格納し、プロトコル判別
部（図２０の26）に渡す。プロトコル判別部においてＳ
ＡＰフレームと判別され、ＳＡＰ処理部（図２０の28）
に渡す。ＳＡＰ処理部において透過処理サーバテーブル
31c（図２０の31）を検索し、サーバ11sが登録されてい
ないため、Hops数を0x10（無効なサーバ情報）に変更
し、端末側送受信部（図２０の21）より送信する（ステ
ップS14）。サーバ13sはHops数が無効な値、0x10なの
で、サーバ11sの情報を廃棄する（ステップS15）。

【００５１】サーバ12sは自分の情報を定期的にブロー
ドキャストに送信する（ステップS16）。暗号化装置2b
は端末側送受信部よりサーバ12sの情報を受信し、フレ
ーム格納メモリ（図２０の22）に格納し、プロトコル判
別部（図２０の26）に渡す。プロトコル判別部において
ＳＡＰフレームと判別され、ＳＡＰ処理部（図２０の2
8）に渡す。ＳＡＰ処理部においてサービスタイプを0xa
bcに変更し、端末側送受信部（図２０の21）より送信す
る（ステップS17）。サーバ11sはサーバ12sの情報を受
信し、サーバ名12s、サービスタイプ0xabcとしてサーバ
テーブル52に登録する（ステップS18）。

【００５２】暗号化装置2cはネットワーク側送受信部
（図２０の23）よりサーバ12sの情報を受信し、フレー
ム格納メモリ（図２０の22）に格納し、プロトコル判別
部（図２０の26）に渡す。プロトコル判別部においてＳ
ＡＰフレームと判別され、ＳＡＰ処理部（図２０の28）
に渡す。ＳＡＰ処理部においてそのまま送信と判定し、
端末側送受信部（図２０の21）よりそのまま送信する
（ステップS19）。サーバ13sはサーバ12sの情報を受信
し、サーバ名12s、サービスタイプ0xabcとしてサーバテ
ーブル54に登録する（ステップS20）。サーバ13sはサー
バ12sと同様のシーケンスにより、自分のサーバ情報で
あるサーバ名13sとサービスタイプ0xdefを定期的にブロ
ードキャストに送信し、サーバ11sはサーバテーブル52
に、サーバ12sはサーバテーブル53に登録する。

【００５３】暗号系クライアントが、暗号系サーバをベ
ースサーバとして、非暗号系サーバと通信を行うシーケ
ンスを図２３に示す。図において、暗号系クライアント
12cは立ち上がり時に図１８に示したシーケンス（ステ
ップS21）をたどり、暗号系サーバ12sに接続する。クラ
イアント12cはベースサーバ12sからコネクションを張る
サーバ11sのアドレス情報に対するリクエストをデータ
フレームのデータ部X11にサーバ11sのアドレスに対する
Requestを設定してサーバ12sへ送信する（ステップS5
1）。

【００５４】暗号化装置2aは端末側送受信部（図２０の
21）から受信したフレームをフレーム格納メモリ（図２
０の22）に格納し、プロトコル判別部（図２０の26）に
おいてデータフレームと判断し、データ暗号／復号処理
部（図２０の27）へ渡す。データ暗号／復号処理部にお
いて透過処理アドレステーブル30a（図２０の30）を検
索し、ベースサーバ12sが登録されていないのでデータ
部X11を暗号化し、ネットワーク側送受信部（図２０の2
3）より送信する（ステップS52）。ルータ4aはデータフ
レームを中継する（ステップS53）。

【００５５】暗号化装置2bはネットワーク側送受信部
（図２０の23）から受信したフレームをフレーム格納メ
モリ（図２０の22）に格納し、プロトコル判別部（図２
０の26）においてデータフレームと判断し、データ暗号
／復号処理部（図２０の27）へ渡す。データ暗号／復号
処理部において、（サーバを収容する暗号化装置は透過
処理アドレステーブル30を持たないので）データ部X11
を復号し、端末側送受信部（図２０の21）より端末へ送
信する（ステップS54）。ベースサーバ12sはサーバ11s
のアドレスに対するRequestを受信すると（ステップS5
5）、自分のサーバテーブル53を検索し、保持するサー
バ11sのサーバ情報を求めサーバ11sのアドレスに対する
Responseを送信する（ステップS56）。

【００５６】暗号化装置2bは端末側送受信部（図２０の
21）から受信したフレームをフレーム格納メモリ（図２
０の22）に格納し、プロトコル判別部（図２０の26）に
おいてデータフレームと判断し、データ暗号／復号処理
部（図２０の27）へ渡す。データ暗号／復号処理部にお
いて、（サーバを収容する暗号化装置は透過処理アドレ
ステーブル30を持たないので）データ部X11を暗号化
し、端末側送受信部（図２０の21）より端末へ送信する
（ステップS57）。

【００５７】ルータ4aは受信したデータフレームを中継
する（ステップS58）。暗号化装置2aはネットワーク側
送受信部（図２０の23）から受信したフレームをフレー
ム格納メモリ（図２０の22）に格納し、プロトコル判別
部（図２０の26）においてデータフレームと判断し、デ
ータ暗号／復号処理部（図２０の27）へ渡す。データ暗
号／復号処理部において透過処理アドレステーブル30a
（図２０の30）を検索し、サーバ12sが登録されていな
いのでデータ部X11を復号し、端末側送受信部（図２０
の21）より端末へ送信する（ステップS59）。クライア
ント12cはサーバ11sの情報を得て（ステップS60）、サ
ーバ11sのアドレスに対するＲＩＰリクエストを送信す
る（ステップS31）。

【００５８】暗号化装置2aは端末側送受信部（図２０の
21）から受信したフレームをフレーム格納メモリ（図２
０の22）に格納し、プロトコル判別部（図２０の26）に
おいてＲＩＰフレームと判断し、ネットワーク側送受信
部（図２０の23）より端末へ送信する（ステップS3
2）。ルータ4aはＲＩＰリクエストを受信すると（ステ
ップS33）、ルーティングテーブルを検索し、レスポン
スを送信する（ステップＳ３４）。暗号化装置２ａはネ
ットワーク側送受信部（図２０の23）から受信したフレ
ームをフレーム格納メモリ（図２０の22）に格納し、プ
ロトコル判別部（図２０の26）においてＲＩＰフレーム
と判断し、端末側送受信部（図２０の21）より端末へ送
信する（ステップS35）。クライアント12cはＲＩＰレス
ポンスを受信する（ステップS36）。暗号系クライアン
ト12cは非暗号系サーバ11s宛に通信を開始する（ステッ
プS46)。

【００５９】暗号化装置2aは非暗号系サーバ11s宛のフ
レームを端末側送受信部より受信するとフレーム格納メ
モリ（図２０の22）に格納する。フレーム格納メモリに
格納されたフレームはプロトコル判別部（図２０の26）
においてデータフレームと判別され、データ暗号／復号
処理部（図２０の27）に渡される。データ暗号／復号処
理部において透過処理アドレステーブル30a（図２０の3
0）を検索し、サーバ11sのアドレスが登録されているの
で、データ部X11をそのまま暗号化せず、ネットワーク
側送受信部（図２０の23）より送信する（ステップS4
7)。サーバ11sより受信したフレームも透過処理アドレ
ステーブル30aにサーバ11sが登録されているので、暗号
化装置2aは復号せずそのままデータフレームをネットワ
ーク3aに送信し、ルータ4aはネットワーク3bへ中継する
（ステップS48）。非暗号系サーバ11sはネットワーク3b
から受信したデータフレームを受信する（ステップS4
9）。このように暗号系クライアント12cは暗号系サーバ
12sとは暗号通信し、非暗号系サーバ11sとは非暗号通信
が可能となる。

【００６０】実施の形態３．実施の形態１ではサービス
タイプによって暗号／非暗号を区別していたが、本実施
の形態はHops数の大小により暗号・非暗号を区別しよう
とするものである。暗号化装置の構成を図２４に示す。
図２４において、32はHops数メモリで、端末側から受信
したＳＡＰレスポンスに加算するHops数を記憶する。33
はサーバ情報テーブルで、端末側から受信したNearest
Service QueryのＳＡＰリクエストに対して予め登録し
ておいた接続相手のサーバ情報を格納するテーブルであ
る。28はＳＡＰ処理部で、端末側からNearest Service
QueryのＳＡＰリクエストを受信した場合、サーバ情報
テーブル33に記憶しているサーバ情報をＳＡＰレスポン
スとして端末側に送出し、ネットワークからNearest Se
rvice QueryのＳＡＰリクエストを受信した場合はその
ＳＡＰリクエストを廃棄する。また、ＳＡＰ処理部33は
端末側からＳＡＰレスポンスを受信した場合、ＳＡＰレ
スポンスに含まれるHops数をHops数メモリ32の内容を加
えてネットワーク側に送信する。他は図１と同じで説明
を省く。

【００６１】ネットワークシステム構成を図２５に示
す。図２５において、11c、12c、11s、12s、13s、2a、2
b、2c、3a、3b、4a、51、52、53は図２１と同じであ
る。33は図２４の33と同じで、暗号化装置2aのNearest
Service QueryのＳＡＰリクエストに対するサーバ情報
テーブルであり、即ち立ち上げ時に接続するサーバのサ
ーバ情報を記憶するテーブルであり、本実施の形態では
暗号化装置2aの端末からのNearest Service Queryに
対するサーバ情報に暗号系サーバ12sの情報（サーバ名1
2s、サービスタイプ0x04、Hops数0x02）を登録した場合
の例を示す。32は図２４の32と同じで、暗号化装置2bの
ＳＡＰレスポンスに対して加算するHops数を記憶するHo
ps数メモリを示し、本実施の形態では５を登録した例を
示す。

【００６２】動作について説明する。図２５のネットワ
ークシステム構成において、サーバ11s、12s、13sが定
期的にサーバ情報を送信するシーケンスを図２６に示
す。図において、非暗号系サーバ11sは、サーバ名11s、
サービスタイプ0x04、Hops数0x01のサーバ情報を定期的
にブロードキャストに送信する（ステップS11）。暗号
化装置2bはネットワーク側送受信部（図２４の23）から
受信したフレームをフレーム格納メモリ（図２４の22）
に格納し、プロトコル判別部（図２４の26）においてＳ
ＡＰフレームと判断し、ＳＡＰ処理部（図２４の28）へ
渡す。ＳＡＰ処理部においてそのまま送信と判断し、端
末側送受信部（図２４の21）より端末、即ち暗号サーバ
12sへ送信する（ステップS12）。

【００６３】暗号系サーバ12sはサーバ情報を受信し、
サーバ名11s、サービスタイプ0x04、Hops数0x01のサー
バ情報をサーバテーブル53に登録する（ステップS1
3）。暗号化装置2cは暗号化装置2bと同様にフレームを
そのまま暗号系サーバ13sへ送信する（ステップS14）。
暗号系サーバ13sはサーバ情報を受信し、サーバ名11s、
サービスタイプ0x04、Hops数0x01のサーバ情報をサーバ
テーブルに登録する（ステップS15）。暗号系サーバ12s
はサーバ名12s、サービスタイプ0x04、Hops数0x01の自
分のサーバ情報を定期的にブロードキャストに送信する
（ステップS16）。

【００６４】暗号化装置2bは端末側送受信部（図２４の
21）から受信したフレームをフレーム格納メモリ（図２
４の22）に格納し、プロトコル判別部（図２４の26）に
おいてＳＡＰフレームと判断し、ＳＡＰ処理部（図２４
の28）へ渡す。ＳＡＰ処理部（図２４の28）において端
末からのファイルサーバ情報にHops数メモリ32に登録さ
れているHops数（この例では５）をＳＡＰレスポンスフ
レームのHops数（図５のSP9）に加算し、ネットワーク
側送受信部（図２４の21）よりネットワーク3bへ送信す
る（ステップS17）。非暗号系サーバ11sはサーバ名12
s、サービスタイプ0x04、Hops数0x06のサーバ情報を受
信し、サーバテーブル52に登録する（ステップS18）。
暗号化装置2cは受信したサーバ情報をＳＡＰ処理部（図
２４の28）によりそのまま送信と判断し、サーバ13sへ
送信する（ステップS19）。

【００６５】暗号系サーバ13sはサーバ情報を受信し、
サーバ名12s、サービスタイプ0x04、Hops数0x06のサー
バ情報をサーバテーブルに登録する（ステップS20）。
暗号系サーバ13sは、暗号系サーバ12sのサーバ情報受信
と同様のシーケンスにより、自分のサーバ情報を定期的
にブロードキャストに送信する。サーバ11sはサーバ名1
3s、サービスタイプ0x04、Hops数0x06のサーバ情報をサ
ーバテーブル52に登録する。サーバ12sはサーバ名13s、
サービスタイプ0x04、Hops数0x06のサーバ情報をサーバ
テーブル53に登録する。（ステップS21〜ステップS25）
なお、図２６でルータ4aの説明を省略したが、ルータ4a
はネットワーク3bから受信したサーバ情報をもとにサー
バテーブル51を更新する。即ち、サーバ11sからのサー
バ名11s、サービスタイプ0x04、Hops数0x01のサーバ情
報をネットワーク3bから受信してサーバテーブル51に登
録する。

【００６６】また、12sからのサーバ名12s、サービスタ
イプ0x04、Hops数0x06のサーバ情報をネットワーク3bか
ら受信してサーバテーブル51に、またサーバ13sからの
サーバ名13s、サービスタイプ0x04、Hops数0x06のサー
バ情報をネットワーク3bから受信してサーバテーブル51
に登録する。このように、ネットワーク上のサーバおよ
びルータは図２５の51、52、53に示したようにサーバ情
報を学習する。

【００６７】図２５のネットワークシステムにおいて非
暗号系クライアント11c立ち上がり時のシーケンスは図
１１と同じである。図１１において、ルータ4aはクライ
アント11cからNearest Service QueryのＳＡＰリクエス
トを受信すると、保持するサーバテーブル51の中でHops
数の最少のサーバ情報を（この例ではサーバ名11s、サ
ービスタイプ0x04、Hops数0x01の）ＳＡＰレスポンスと
して送信するので、非暗号系クライアント11cからのNea
rest Service QueryのＳＡＰリクエストに対して常に非
暗号系サーバ11sの情報を送信する。暗号系は暗号化装
置でHops数５を加算するので、非暗号系より大きくなり
除外するので、暗号系／非暗号系端末が混在する同一ネ
ットワーク上で非暗号系通信が可能となる。

【００６８】図２５のネットワークシステムにおいて、
暗号系クライアント12cが立ち上がり、暗号系サーバ12s
と通信を開始するまでのシーケンスを図２７に示す。図
において、暗号系クライアント12cは立ち上がり時にサ
ービスタイプ0x04のNearestService QueryのＳＡＰリク
エストを送信し（ステップS21）、暗号化装置2aが受信
する（ステップS22）。暗号化装置2aは、端末側送受信
部（図２４の21）よりフレームを受信し、フレーム格納
メモリ（図２４の22）に格納する。プロトコル判別部
（図２４の26）よりNearest Service QueryのＳＡＰフ
レームと判別され、ＳＡＰ処理部（図２４の28）に渡
す。ＳＡＰ処理部において端末からのNearest Service
QueryのＳＡＰリクエストに対するサーバ情報テーブル3
3（図２４の33）に予め設定されているサーバ情報、本
例ではサーバ名12s、サービスタイプ0x04、Hops数02の
サーバ情報に基づいてＳＡＰレスポンスフレームを作成
し、端末側送受信部よりクライアント12cに送信する
（ステップS23）。

【００６９】暗号系クライアント12cはＳＡＰレスポン
スフレームを受信し（ステップS24）、ＳＡＰレスポン
スフレームに設定されているサーバのネットワーク番号
（図５のSP6）に対するＲＩＰリクエストフレームを送
信する（ステップS31）。暗号化装置2aは、端末側送受
信部（図２４の21）よりフレームを受信し、フレーム格
納メモリ（図２４の22）に格納する。プロトコル判別部
（図２４の26）よりＲＩＰフレームと判別され、ネット
ワーク側送受信部よりそのまま送信する（ステップS3
2）。ルータ4aはＲＩＰリクエストを受信し（ステップS
33）、レスポンスを送信する（ステップS34）。

【００７０】暗号化装置2aはネットワーク側送受信部
（図２４の23）よりフレームを受信し、フレーム格納メ
モリ（図２４の22）に格納する。プロトコル判別部（図
２４の26）よりＲＩＰフレームと判別され、端末側送受
信部よりそのまま送信（ステップS35）し、暗号系クラ
イアント12cが受信する（ステップS36）。ＲＩＰレスポ
ンスに基づき、サーバ12s宛に通信を開始する（ステッ
プS41）。暗号化装置2aは、端末側からフレームを受信
するとフレーム格納メモリ（図２４の22）に格納し、プ
ロトコル判別部（図２４の26）に渡す。プロトコル判別
部においてデータフレームと判断し、フレームのデータ
部（図２のX11）以降を暗号化して送信する（ステップS
42）。ルータ4aはルーティングテーブルに従い、宛先ア
ドレス宛にフレームを送信する（ステップS43）。

【００７１】暗号化装置2bはネットワーク側からフレー
ムを受信するとフレーム格納メモリ（図２４の22）に格
納し、プロトコル判別部（図２４の26）に渡す。プロト
コル判別部においてデータフレームと判断し、フレーム
のデータ部（図２のX11）を復号して送信し（ステップS
44）、暗号系サーバ12sが受信する（ステップS45）。ま
た、暗号系サーバ12sから暗号系クライアント12cへはス
テップS41からステップS45の逆をたどってデータが送信
される。

【００７２】以上のように、クライアントを収容する暗
号化装置が暗号系サーバを指定して立ち上げるので、暗
号系のサーバと暗号系のクライアントを接続できる。ま
た、図２８に示すようにルータがないシステム構成であ
っても、クライアント11cからのNearest Service Query
のＳＡＰリクエストに対し、暗号系サーバ12sに接続さ
れている暗号化装置2bがNearest Service QueryのＳＡ
Ｐリクエストを廃棄し、非暗号系サーバ11sは自サーバ
テーブルでHops数最小のサーバ名11sを通知するので、
非暗号系サーバと非暗号系クライアントを接続できる。
以上のように、暗号系サーバのHops数を大きい値にして
おき、非暗号系クライアントを立ち上げるとき、Neares
t Service QueryのＳＡＰリクエストを受信したサーバ
またはルータはHops数の小さい値を持つサーバを選ん
で、そのサーバ名を通知し、暗号化装置はネットワーク
からのNearest Service QueryのＳＡＰリクエストを廃
棄するので、暗号系サーバを選ぶことなく、非暗号系サ
ーバと非暗号系クライアントを接続できる。従って、暗
号系／非暗号系端末が混在するネットワーク上で暗号と
非暗号の通信が可能となる。

【００７３】本実施例ではバス型のＬＡＮ上での適用例
を示したが、リング型のＬＡＮ上またはＷＡＮ上でも同
様の効果を奏する。また、端末側送受信部にネットワー
クを接続し、ネットワークへの中継時に暗号化／復号処
理を行う場合も同様の効果を奏する。

【図面の簡単な説明】

【図１】 実施の形態１による暗号化装置の構成図であ
る。

【図２】 ＩＰＸフレームのフォーマットである。

【図３】 ＲＩＰリクエストのフレームフォーマットで
ある。

【図４】 ＳＡＰリクエストのフレームフォーマットで
ある。

【図５】 ＳＡＰレスポンスのフレームフォーマットで
ある。

【図６】 暗号化せずに同一ネットワーク上のクライア
ント／サーバが通信する場合のネットワーク構成図であ
る。

【図７】 サーバが自分のサーバ情報を定期的に送信す
るシーケンス図である。

【図８】 クライアントが立ち上がる時のシーケンス図
である。

【図９】 ルータを介してクライアントとサーバを接続
する構成を示す図である。

【図１０】 サーバが自分のサーバ情報を定期的に送信
するシーケンス図である。

【図１１】 クライアントが立ち上がる時のシーケンス
図である。

【図１２】 実施の形態１による暗号通信システムの構
成図である。

【図１３】 実施の形態１による暗号通信システムでサ
ーバが自分のサーバ情報を定期的に送信するシーケンス
図である。

【図１４】 実施の形態１による暗号通信システムでク
ライアントが立ち上がる時のシーケンス図である。

【図１５】 実施の形態１による暗号通信システムで暗
号系クライアントが非暗号系サーバからのＳＡＰリクエ
スト受信したときのシーケンス図である。

【図１６】 実施の形態１による暗号通信システムで非
暗号系クライアントが暗号系サーバからのＳＡＰリクエ
スト受信したときのシーケンス図である。

【図１７】 実施の形態１によるルータを含む暗号通信
システムの構成図である。

【図１８】 実施の形態１によるルータを含む暗号通信
システムでクライアントが立ち上がる時のシーケンス図
である。

【図１９】 暗号用のサービスタイプを複数用いた場合
のルータを含む暗号通信システムの構成図である。

【図２０】 実施の形態２による暗号化装置の構成図で
ある。

【図２１】 実施の形態２によるルータを含む暗号通信
システムの構成図である。

【図２２】 実施の形態２による暗号通信システムでサ
ーバが自分のサーバ情報を定期的に送信するシーケンス
図である。

【図２３】 実施の形態２による暗号通信システムで暗
号系クライアントが新たな非暗号サーバに接続する例を
示す図である。

【図２４】 実施の形態３による暗号化装置の構成図で
ある。

【図２５】 実施の形態３による暗号通信システムの構
成図である。

【図２６】 実施の形態３による暗号通信システムでサ
ーバが自分のサーバ情報を定期的に送信するシーケンス
図である。

【図２７】 実施の形態３による暗号通信システムで暗
号系クライアントが立ち上がる時のシーケンス図であ
る。

【図２８】 実施の形態３によるルータがない場合の暗
号通信システムの構成図である。

【図２９】 従来例による通信ネットワークの構成を示
す図である。

【図３０】 従来例のフレームを暗号化する範囲を示す
図である。

【符号の説明】

１ 端末 ２、２ａ、２ｂ、２ｃ、２ｄ 暗号化装置 ３、３ａ、３ｂ ネットワーク ４ａ ルータ １１ｃ 暗号化装置が接続されないクライアント １１ｓ 暗号化装置が接続されないファイルサーバ １２ｃ 暗号化装置が接続されたクライアント １２ｓ、１３ｓ 暗号化装置が接続されたファイルサー
バ ２１ 端末側送受信部 ２２ フレーム格納メモリ ２３ ネットワーク側送受信部 ２４ ＲＯＭ／ＲＡＭ ２５ 中央処理部 ２６ プロトコル判別部 ２７ データ暗号／復号処理部 ２８ ＳＡＰ処理部 ３０、３０ａ、 透過処理アドレステーブル ３１、３１ｂ、３１ｃ 透過処理サーバテーブル ３２ Hops数メモリ ３３ サーバ情報テーブル ５１、５２、５３ サーバテーブル

───────────────────────────────────────────────────── フロントページの続き (72)発明者 厚井 裕司 東京都千代田区丸の内二丁目２番３号 三菱電機株式会社内 (56)参考文献 特開 平４−154233（ＪＰ，Ａ) 特開 平７−107082（ＪＰ，Ａ) (58)調査した分野(Int.Cl.⁷，ＤＢ名) H04L 9/36 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】 クライアントの機能をもつ端末とサーバ
   の機能をもつ端末とがネットワークを介して接続し、複
   数のネットワークが存在する場合にはネットワーク間を
   ルータで接続するローカルネットワークで、暗号通信を
   行うために前記端末とネットワーク間に挿入接続する暗
   号化装置において、以下の構成要素を有することを特徴
   とする暗号化装置、 １．前記端末からサーバ情報を通知するフレームを受信
   し、このフレームのサーバ情報に含まれるサーバのサー
   ビスタイプが非暗号通信なら、そのサービスタイプを暗
   号通信に変換し、そのフレームを前記ネットワークに送
   信する暗号サービス化手段、 ２．前記ネットワークからサーバ情報を通知するフレー
   ムを受信し、このフレームに含まれるサーバ情報のサー
   ビスタイプが、暗号通信なら非暗号通信に変換して前記
   端末に送出し、非暗号通信ならそのサーバ情報を廃棄す
   るか、ルータを中継した数を示すホップ数を到達不能の
   値に変換して、そのフレームを前記端末に送出する非暗
   号サービス化手段、 ３．前記端末からデータフレームを受信し、このデータ
   フレームに含まれる所定のデータ部を暗号化して前記ネ
   ットワークに送信する暗号化手段、 ４．前記ネットワークからデータフレームを受信し、こ
   のデータフレームに含まれる所定のデータ部を復号して
   前記端末に送出する復号手段、 ５．前記端末から通信経路情報を通知するフレームを受
   信し、このフレームを前記ネットワークに送出し、前記
   ネットワークから通信経路情報を通知するフレームを受
   信し、このフレームを前記端末に送出する通信経路情報
   中継手段。
2. 【請求項２】 暗号化除外対象のアドレスを記憶する透
   過処理アドレステーブルと、 暗号化対象外のサーバのサーバ情報を記憶する透過処理
   サーバテーブルと、 前記ネットワークからサーバ情報を通知するフレームを
   受信し、このフレームのサーバ情報に含まれるサーバ名
   と前記透過処理サーバテーブルに記憶されているサーバ
   名との比較結果に基づいて前記フレームを前記端末に送
   出するサーバ情報通知フレーム透過処理手段とを備える
   とともに、 前記暗号化手段は、前記端末からデータフレームを受信
   し、このデータフレームの宛先アドレスが前記透過処理
   アドレステーブルに登録されているならデータフレーム
   の所定のデータ部を暗号化せずに、登録されていないな
   らデータフレームの前記所定のデータ部を暗号化して、
   前記ネットワークに送出し、 前記復号手段は、前記ネットワークからデータフレーム
   を受信し、このデータフレームの送信元アドレスが前記
   透過処理アドレステーブルに登録されているならデータ
   フレームの前記所定のデータ部を復号せず、登録されて
   いないならデータフレームの前記所定のデータ部を復号
   して、前記端末に送出することを特徴とする請求項１記
   載の暗号化装置。