JP5662133B2 - Ｉｐｓｅｃとｉｐｖ６近隣要請の競合解消方法及びそのシステム - Google Patents

Description

本発明は、ＩＰｓｅｃとＩＰｖ６近隣要請の競合解消方法及びそのシステムに関するもので、特に、ＩＰｖ６ネットワーク（インターネットプロトコルバージョン６）における近隣探索ＩＰセキュリティ（ＩＰｓｅｃ）にアドレス解決プロトコル（ＡＲＰ）を使用する方法およびそのシステムに関する。

ネットワーク（ネットワーク接続）によってパソコンと他のパソコン及び／又は他のネットワークデバイスに通信をさせ、電子メッセージを使用することによって、通信及び情報アクセス能力が高められてきた。パソコン間及び／又はネットワークデバイス間で電子メッセージの伝送が行われる際、電子メッセージは、電子メッセージ内のデータに処理（例えば、パケット分解、ルーティング、フロー制御など）を施すプロトコルスタックを通過することが多い。

アドレッシング構造の最初の主要バージョンであるインターネットプロトコルバージョン４（ＩＰｖ４）は、後継者であるインターネットプロトコルバージョン６（ＩＰｖ６）が世界中に活発に広がってきてはいるものの、依然として有力なインターネットプロトコルである。ＩＰｖ４ベースのインターネットからＩＰｖ６ベースのインターネットへの移行には時間がかかると考えられ、その間は両者が共存することになるだろう。具体的には、その段階的移行期間中、既存のＩＰｖ４アプリケーションは、ＩＰｖ４プロトコルスタックとＩＰｖ６プロトコルスタックの両方を備えるデュアルスタックを使用した、新しいＩＰｖ６対応アプリケーションと連携可能となる。

ＩＰｖ６ネットワークプロトコルは、ＩＰｖ６ホストやＩＰｖ６ホストデバイス（例えば、画像形成装置や他のデバイス）はＩＣＭＰｖ６近隣探索メッセージ（すなわち、近隣探索プロトコル又はＮＤＰ）を使用するＩＰｖ６ネットワークに接続されると、自動設定（すなわち、ステートレスアドレス自動設定）を行う、と規定している。ＩＰｖ６ホストはネットワークに最初に接続された際、重複アドレス検出（ｄａｄ）のため、仮リンクローカルアドレスを広告するリンクローカルマルチキャスト近隣要請要求を送信し、問題がなければそのリンクローカルアドレスを使用する。そして、ネットワーク層構成パラメータを取得するためにルータ要請を送信（タイミングによってはルータ広告を受信）し、ルータはこのような要求に対し、ネットワーク層構成パラメータを含むルータ広告パケットで応答する。

しかし近隣探索プロトコル（ＮＤＰ）仕様は、ＮＤＰメッセージを保護するためにＩＰｓｅｃの使用を要求する。これがホスト（ホストデバイス）に問題をもたらすことがある。具体的には、ＩＰｓｅｃでは、ＩＫＥ（インターネット鍵交換）使用におけるブートストラップ問題のために、セキュリティアソシエーションを手動設定することによってのみしか使用できないことが問題となる。なぜなら、いかなるＩＰｖ６パケットでも配信できるようにするためには、ＮＤＰメッセージ送信に必要なセッションの確立に、ＮＤＰメッセージの事前交換が要求されるからである。また、一ネットワーク上に存在するホストの一般的な数に鑑みて、手動設定されるＩＰｓｅｃセッションのソリューションは現実的ではない。さらに、ＮＤＰを保護するために必要とされる、手動設定されるセキュリティアソシエーションの数は膨大になる可能性があり、大抵の場合、そのアプローチは非実用的である。

上述の問題を解決する方法の一つとして、セキュア近隣探索（ＳＥＮＤ）プロトコルが使用されてきた。セキュア近隣探索プロトコルは、ＩＰｖ6における近隣探索プロトコルのセキュリティ拡張版である。セキュア近隣探索（ＳＥＮＤ）はＩＰｓｅｃとは別の暗号化方式を用いてＮＤＰの安全性を高めるためのメカニズムを提供するものであり、ＩＰｖ６通信を安全に行うためのオリジナルかつ特有の方法である。

上述の問題点に鑑みると、ＳＥＮＤに代わる解決方法を持つことが望まれる。その解決方法として、近隣要請にアドレス解決プロトコルを用いてＩＰｓｅｃとＩＰｖ６近隣要請の競合を解消する、画像形成装置などのホストデバイス及び／又はネットワークデバイスと関連するアプリケーションが考えられる。

一実施形態によれば、ＩＰｓｅｃポリシーを有する複数のホストデバイスがＩＰｖ６通信ネットワークを介して相互通信を行うための方法は、
ターゲットホストのＩＰｖ６アドレスのセキュリティポリシーから、該ターゲットホストのメディアアクセス制御識別子（ＭＡＣ ＩＤ）を抽出する工程と、
送信元ホスト上のアドレス解決プロトコル（ＡＲＰ）テーブルにおいて、前記ターゲットホストのＭＡＣ ＩＤを検索する工程と、
前記ターゲットホストのＭＡＣ ＩＤを検出すると、前記ターゲットホストのために近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成する工程と、
前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間に、前記送信元ホストと前記ターゲットホスト間のＩＰｖ６通信を可能にするセキュリティアソシエーションを確立する工程と、を備える方法である。

他の実施形態によれば、ＩＰｖ６通信ネットワークのための近隣探索システムは、
アプリケーションを有する送信元ホストと、
アプリケーションを有するターゲットホストと、を備え、
前記送信元ホストは、
前記ターゲットホストのＩＰｖ６アドレスのセキュリティポリシーから、前記ターゲットホストのメディアアクセス制御識別子（ＭＡＣ ＩＤ）を抽出する工程と、
前記送信元ホスト上のアドレス解決プロトコル（ＡＲＰ）テーブルにおいて、前記ターゲットホストのＭＡＣ ＩＤを検索する工程と、
前記ターゲットホストのＭＡＣ ＩＤを検出すると、前記ターゲットホストのために近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成する工程と、
前記送信元ホストに関連するメディアアクセス制御識別子（ＭＡＣ ＩＤ）を有するアドレス解決プロトコル（ＡＲＰ）要求を、前記ターゲットホストに送信する工程と、を実行し、
前記ターゲットホストは、
前記ターゲットホスト上で前記ＡＲＰ要求を受信する工程と、
前記送信元ホストの前記ＭＡＣ ＩＤを前記ターゲットホストに関連するローカルＡＲＰテーブルと比較する工程と、
前記送信元ホストの前記ＭＡＣ ＩＤが前記ターゲットホストに関連する前記ローカルＡＲＰテーブルにあるＭＡＣ ＩＤと一致する場合、前記ターゲットホストに関連する近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成する工程と、を実行するシステムである。

更に他の実施形態によれば、ＩＰｖ６通信ネットワークの近隣探索のためのコンピュータプログラムを収容するコンピュータ読取可能媒体において、該コンピュータプログラムは実行可能な指示を備え、該実行可能な指示は、
ターゲットホストのＩＰｖ６アドレスのセキュリティポリシーから、該ターゲットホストのメディアアクセス制御識別子（ＭＡＣ ＩＤ）を抽出するための指示と、
送信元ホスト上のアドレス解決プロトコル（ＡＲＰ）テーブルにおいて、前記ターゲットホストのＭＡＣ ＩＤを検索するための指示と、
前記ターゲットホストのＭＡＣ ＩＤを検出すると、前記ターゲットホストのために近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成するための指示と、
前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間に、前記送信元ホストと前記ターゲットホスト間のＩＰｖ６通信を可能にするセキュリティアソシエーションを確立するための指示と、であることを特徴とする前記コンピュータ読取可能媒体である。

上述した概要及び以下の詳細な説明は共に、例示的かつ説明的なものであって、特許請求の範囲に記載された本発明について更なる説明を提供することを意図するものである。

添付の図面は本発明の更なる理解を提供するために含まれ、この明細書に組み込まれてその一部を構成する。これらの図面は、本発明の実施態様を例示し、明細書と共に、本発明の原則を説明するためのものである。図面において、
一の実施形態に係る通常の通信プロトコルを用いたネットワークシステムを示す図である。 他の実施形態に係るセキュアなＩＰｖ６通信プロトコルを用いたネットワークシステムを示す図である。 一の実施形態に係るＩＰｓｅｃとＩＰｖ６近隣要請の競合解消にアドレス解決プロトコル（ＡＲＰ）を使用するアプリケーションの実行を示すフローチャートである。 他の実施形態に係るＩＰｓｅｃとＩＰｖ６近隣要請の競合解消にアドレス解決プロトコル（ＡＲＰ）を使用するアプリケーションの実行を示すフローチャートである。

ここで、添付図に例示される本発明の望ましい実施の形態について詳細に説明する。同一又は類似の部品を参照するため、可能な限り、図面及び説明中に同一の参照番号を用いる。

図１は、本発明の実施形態に係る通常の通信プロトコルを有するネットワークシステム１００を示し、ネットワークシステム１００は、画像形成装置の形態のホストデバイス（ホストＡ）１１０を備えている。図１に示されるように、ネットワークシステム１００はホストデバイス（画像形成装置）１１０と、少なくとも一の第二ホスト又はクライアントデバイス（ホストＢ）１２０で構成されている。ホストデバイス（画像形成装置）１１０と第二ホスト（クライアントデバイス）１２０は、通信ネットワーク１３０を介してデータ通信可能な状態で相互接続されている。ホスト１１０、１２０は、ＡＲＰ、ＩＰｖ４、ＩＰｓｅｃ及びＩＰｖ６をサポートするネットワークデバイスであれば、いかなるデバイスでもよい。本発明の実施形態に従った通信ネットワーク１３０としては、例えば、インターネット、イントラネット、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）などがあるが、これらに限られるものではない。ホストデバイス（画像形成装置）１１０と第二ホスト（クライアントデバイス）１２０は、ケーブルを用いて有線接続することができる。また、無線周波数（ＲＦ）、赤外線（ＩＲ）伝送、ＵＳＢ，ＩＥＥＥ１３９４及び／又はその他の適切な無線技術を用いて、無線接続することもできる。

本発明の実施形態によれば、図１に示される通信ネットワーク１３０は、ＩＰｖ６（インターネットプロトコルバージョン６）１３２と、ＩＰｖ４（インターネットプロトコルバージョン４）１３４と、第三のコンピュータネットワークプロトコルとしてのアドレス解決プロトコル（ＡＲＰ）１３６を備えている。本発明の実施形態によれば、ＩＰｖ６ １３２は、近隣探索プロトコルを備えている。ホスト１１０、１２０間でＡＲＰパケットの交換が行われると、ＡＲＰパケットにはホスト１１０、１２０のＭＡＣ ＩＤ及びＩＰｖ４アドレスが含まれる。ＩＰｖ４アドレスはＩＰｖ６から独立したものである。

本発明の実施形態によれば、ホストデバイス（画像形成装置）１１０は、プリンタ、複合機（ＭＦＰ）、その他周知の画像形成装置などによって具現化され、第二ホスト（クライアントデバイス）１２０によって生成された印刷データに基づいて、用紙などの印刷媒体（記録媒体）に画像を印刷する。本発明の実施形態において、ホストデバイス（画像形成装置）１１０は複合機（ＭＦＰ）であり、少なくとも、コピー機能、画像読取機能及び印刷機能を備え、第二ホスト（クライアントデバイス）１２０から送信された印刷ジョブ（印刷指示）や、ホストデバイス（画像形成装置）１１０に備えられたスキャナなどの画像読取部によって読み取られた画像データなどに基づいて、用紙に画像を形成する。

本発明の実施形態によれば、コンピュータシステムなどで具現化される第二ホスト（クライアントデバイス）１２０は、ホストデバイス（画像形成装置）１１０で使用可能な印刷データを生成し、生成した印刷データをホストデバイス（画像形成装置）１１０へ送信する。第二ホスト（クライアントデバイス）１２０は、例えば、コンピュータ及び／又はノートパソコン、携帯電話、携帯情報端末（ＰＤＡ）などの可搬型デバイスである。ホストデバイス（画像形成装置）１１０と第二ホスト（クライアントデバイス）１２０は、画像形成システムを構築して、通信ポートを設置し、印刷データを生成し、生成した印刷データに応じて印刷媒体に画像を形成する印刷動作を行うことができる。

第二ホストデバイス（クライアントデバイス）１２０は複数のパソコンであってもよく、画像形成装置の形態の第一ホストデバイス１１０へ印刷ジョブを送信する機能を備えている。プリンタドライバプログラム（以下、単に「プリンタドライバ」とする場合有り）が第二ホスト１２０内に設置され、第二ホスト１２０はプリンタドライバの機能を使用して、画像形成時に適用される印刷条件のデータや画像データなどを含む印刷ジョブを生成し、生成した印刷ジョブを画像形成装置の形態の第一ホストデバイス１１０へ送信する。

図２は、本発明の他の実施形態に係るセキュアなＩＰｖ６通信プロトコルを用いたネットワークシステム２００を示す図である。図２に示されるように、システム２００は、ホストデバイス又は送信元ホスト（ホストＡ）２１０と、少なくとも一の第二ホスト又はターゲット／宛先ホスト（ホストＢ）２２０と、通信ネットワーク２３０とを、データ通信可能な状態で備えている。本発明の実施形態によれば、通信ネットワーク２３０は図２に示されるように、自動ＩＰｓｅｃを実装したＩＰｖ６（インターネットプロトコルバージョン６）２３２と、自動ＩＰｓｅｃを実装したＩＰｖ４（インターネットプロトコルバージョン４）と、アドレス解決プロトコル（ＡＲＰ）２３６を備えている。本発明の実施形態によれば、ＩＰｖ６ ２３２は近隣探索プロトコルを備えている。しかし、ＩＰｖ６ネットワークのセキュリティポリシーはＩＰｓｅｃセキュリティを含んでおり、ＩＰｖ６アドレスをリンク層アドレス（及びＩＰｖ４アドレス）に変換するメカニズムが近隣探索プロトコル（ＮＤＰ）を用いて実行されるため、ホスト２１０、２２０（ホストＡ、Ｂ）は相互通信を行うことができない。

本発明の実施形態によれば、上記課題の一つの解決方法は、アプリケーション（ソフトウェアモジュール）を用いることである。このアプリケーションは、ホスト（ノード）２１０、２２０のＭＡＣ ＩＤの一致を確立するために、アドレス解決プロトコル（ＡＲＰ）テーブル情報を使用するものである。ＡＲＰテーブルによりＭＡＣ ＩＤの一致が確立すると、アプリケーションによって、各ホスト（ノード）２１０、２２０の近隣キャッシュテーブルに、仮近隣キャッシュエントリが作成される。近隣キャッシュテーブル内に仮近隣キャッシュエントリが設定されると、対応するセキュリティアソシエーションが作成され、ＩＰｓｅｃネゴシエーションが開始される。本発明の他の実施形態によれば、ホスト２１０、２２０間のＩＰｖ６接続が確立すると、アプリケーションによって、一方または両方の近隣キャッシュテーブルから、キャッシュエントリを削除することができる。

本発明の実施形態において、ホスト（ホストＡ、Ｂ）２１０、２２０が、各ホストに完全にセキュアなＩＰｖ６通信を要求するＩＰｓｅｃポリシーを備えている場合、ＩＰｖ６ネットワークプロトコルは、ＩＰｖ６ホスト又はＩＰｖ６ホストデバイス（例えば、画像形成装置や他のデバイス）はＩＣＭＰｖ６近隣探索メッセージ（すなわち、近隣探索プロトコル又はＮＤＰ）を使用するＩＰｖ６ネットワークに接続した場合、自動設定（すなわち、ステートレスアドレス自動設定）できる、と規定している。一般的にＩＰｖ６ネットワーク接続において、ＩＰｖ６ホストは初めてそのネットワークに接続した際には、重複アドレス検出（ｄａｄ）のため、仮リンクローカルアドレスを広告するリンクローカルマルチキャスト近隣要請要求を送信し、問題がなければ、そのリンクローカルアドレスを使用する。しかしホスト２１０、２２０は、ＩＰｓｅｃポリシーにより、ＩＰｖ６パケット配信を可能にするためのＮＤＰメッセージ交換を行うことができない。

本発明の実施形態において、各ホスト２１０、２２０はアプリケーションを備えている。このアプリケーションによって、ＩＰｖ４アドレス解決プロトコル（ＡＲＰ）の交換が行われ、ホスト（ノード）間でＩＰｓｅｃネゴシエーションをするのに必要なセキュリティアソシエーションが確立される。本発明の実施形態によれば、ホスト２１０、２２０のＡＲＰテーブルには他のホスト（ノード）のＭＡＣ ＩＤを事前に投入することができ、このテーブルに基づいて、ホスト（ノード）２１０、２２０間に適切なセキュリティプロトコルが設定されている。

本発明の他の実施形態によれば、各ホスト（ノード）２１０、２２０は、ステートレスアドレス自動設定プロトコルによって生成されたＩＰｖ６アドレスからメディアアクセス制御（ＭＡＣ）ＩＤを取得するアプリケーションを備えている。このアプリケーションによって、与えられたＩＰｖ６アドレスからＭＡＣ ＩＤを取得したり、ＡＲＰテーブル内のＭＡＣ ＩＤからＩＰｖ６アドレスを取得したりすることができる。ＭＡＣ ＩＤの一致があると、アプリケーションによって、近隣キャッシュテーブルに仮近隣キャッシュエントリが作成される。本発明の実施形態によれば、対応するセキュリティアソシエーションが作成されると、ＩＰｓｅｃネゴシエーションが開始される。

本発明の更に他の実施形態によれば、第一ホスト２１０（例えば、ホストＡ）のＩＰｓｅｃポリシーが所定の第二ホスト２２０（例えば、ホストＢ）の（全トラフィックは安全でならなければならないことを意味する）ＩＰｖ６アドレスを所有していない場合、アプリケーションによって、ＩＰｖ６用セキュリティアソシエーションがＡＲＰテーブル内の各ＭＡＣ ＩＤに対して作成されているか確認され、その後、セキュアなＩＰｖ６通信を設定するための処理が行われる。

本発明の実施形態によれば、ＩＰｖ６近隣探索はＩＰｖ４ ＡＲＰプロトコルを用いて行われる。それによって、ネットワークインターフェイスカードの物理アドレスを既知のＩＰアドレスに対応させることができる。ネットワークに接続される各デバイスや装置は、４８ビットの識別番号（ＭＡＣ ＩＤ）を有する。しかし、インターネット上の通信においては、ＭＡＣ ＩＤは直接的には使用されない。これは、ネットワークインターフェイスカードが変わる度に、ホストのアドレスも必然的に変わるためである。代わりに、システムによって割り当てられる論理アドレス、すなわちＩＰアドレスが使用される。物理アドレスは論理アドレスとリンクできるため、ＩＰｖ４ ＡＲＰプロトコルを使用してネットワーク装置の物理アドレスが取得され、キャッシュメモリ内に論理アドレスと物理アドレスのルックアップテーブルが作成される。

一般的には、一のホストが他のホストとの通信を必要とする場合、第一ホストはルックアップテーブルを調べる。通常、要求されたアドレスがテーブル内で発見されない場合、ＡＲＰプロトコルによりネットワーク上に要求を発行する。ネットワーク上の各ホストは、この論理アドレスと自身のアドレスを比較する。これらホストのいずれかがその論理アドレスによって自身を特定すると、そのホストはＩＰｖ４ ＡＲＰ要求に応答し、ルックアップテーブルにはその一対のアドレスが記憶される。そして、ホスト２１０、２２０間でＩＰｖ６通信が可能となる。

本発明の実施形態によれば、ＡＲＰテーブルを備えた第一ホストデバイス（送信元ホスト）２１０は、ＡＲＰ要求内にＭＡＣ ＩＤを内包する。第一ホストデバイス２１０は、ターゲットホスト２２０が属するブロードキャストドメインへ、ＡＲＰ要求を有するパケットをブロードキャストする。それにより、特定のＭＡＣ ＩＤアドレスを有するターゲットホスト２１０が自身を特定し、受信側のハードウェアアドレスを要求側に提供する。この処理はリソースディスカバリとして知られている。

ＡＲＰ要求は、（送信元ホスト又は送信元デバイスのための）宛先局のＩＰアドレスや、（ターゲットホスト又は遠隔デバイスのための）デフォルトルータのＩＰアドレスを含む。対象とされたノードは、ＡＲＰ応答内に自身のＭＡＣアドレスを内包して応答する。ローカルホスト（送信元ホスト）は、この情報を用いてフレームの宛先ＭＡＣアドレスを解決する。不要なトラフィックを最小化するために、ＩＰアドレスとＭＡＣアドレスのマッピングをローカルにＡＲＰキャッシュ内に記憶させる。ＡＲＰキャッシュはＴＣＰ／ＩＰプロトコルの実行に応じて、所定期間保持される。

ネットワークの効率を高め、また、ＡＲＰブロードキャストに係る帯域幅を独占しないように、各ホスト２１０、２２０は、ＩＰアドレスとそれに一致するＭＡＣ ＩＤアドレスのテーブル、すなわち、ＡＲＰキャッシュをメモリ（メモリ配列）に保持する。送信側ホスト（ホストデバイス）２１０、２２０は、ブロードキャストを送信する前に、情報がＡＲＰキャッシュ内にあるかどうか確認する。ターゲットホスト２２０のＭＡＣ ＩＤが送信元ホスト２１０のＡＲＰキャッシュ内にある場合、送信元ホスト２１０は、ＡＲＰブロードキャストを行わずに、ＡＲＰデータパケットを完成することができる。

ネットワーク層は、インターネットプロトコル（ＩＰ）アドレスに応じて、送信元デバイス（送信元ホスト）２１０と宛先デバイス（ターゲットホスト）２２０の間でメッセージを伝送させる。これは、送信元ＩＰアドレスと宛先ＩＰアドレスを示す各パケットにＩＰヘッダを追加することによって行われる。最下層はハードウェアＭＡＣアドレスが使われる物理リンク層である。したがってＩＰｖ４ネットワークにおいて、ＡＲＰプロトコルはＩＰｖ４やＩＰｖ６のネットワーク層よりも下層で使用されるため、ホスト２１０、２２０は最初からＩＰｓｅｃを動作させることなく、通信を行うことができる。

各ホストやデバイスが固有のＭＡＣ ＩＤやＩＰアドレスを保持することは、通信ネットワークを適切に機能させるために不可欠である。ＭＡＣ ＩＤ（ＭＡＣアドレス）は４８ビット長であり、ＩＰアドレスは３２ビット長である。ＭＡＣ ＩＤ（ＭＡＣアドレス）はハードウェアアドレスであり、簡単に変更できるものではなく、シリアルナンバーの形式で製造者毎に割り当てられている。よって、実際のアプリケーションにおいて、ＭＡＣアドレスが複製されて問題を引き起こすことはほとんどない。

送信元ホスト（デバイス）２１０がターゲットホスト（ノード）２２０と通信するための情報を持っている場合、ＩＰアドレス割り当ての動的性質によって、ターゲットホスト又はターゲットホストデバイス２２０の現在のＩＰアドレスは、ＭＡＣアドレスにマッピングするよう要求される。このマッピングは、送信元ホスト（ノード）２１０がＡＲＰ要求を送信することで行われる。ＡＲＰ要求はネットワーク上の全デバイスにブロードキャストされ、ターゲットのＩＰアドレスを持つデバイスにＭＡＣアドレスで応答するよう要求するものである。通常、該当する唯一のターゲットホスト（ノード）２２０が応答し、通信セッションが開始される。

また、画像形成装置（例えば、複合機（ＭＦＰ）やプリンタ）の形態のホスト２１０、２２０を含めてスタートレスアドレス設定を行うＩＰｖ６動作可能デバイスは、通常、固有の識別子またはメディアアクセス制御アドレス（ＭＡＣアドレス）を有する。ＭＡＣアドレスは、識別のために製造業者によってネットワークアダプタやネットワークインターフェイスカード（ＮＩＣｓ）に割り当てられており、インターネットプロトコルバージョン６（ＩＰｖ６）のメディアアクセス制御プロトコル副層で使用される。製造業者によって割り当てられると、ＭＡＣアドレスには通常、製造業者の登録識別番号がコード化される。ＭＡＣアドレスは、イーサネットハードウェアアドレス（ＥＨＡ）、ハードウェアアドレス、アダプタアドレス又は物理アドレスとしても知られている。

一方、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）を使用することで、データストリームの各ＩＰパケットの認証や暗号化によってインターネットプロトコル（ＩＰ）通信を安全に行うのに適したプロトコルが提供される。またＩＰｓｅｃは、通信セッション開始時にエージェント間の相互認証を行うためのプロトコルや、セッション中に使用される暗号鍵ネゴシエーションを行うためのプロトコルも含む。例えばＩＰｓｅｃは、一対のホスト２１０、２２０（例えば、コンピュータユーザ又はサーバ）間、一対のセキュリティゲートウェイ（例えば、ルータ又はファイアウォール）間、または、セキュリティゲートウェイとホスト２１０またはホスト２２０間のデータフローの保護に用いられる。

図３は、本発明の実施形態に係るＩＰｖ４とＩＰｖ６の両方で運用可能なネットワーク接続時の近隣探索に、ＩＰｖ４アドレス解決プロトコル（ＡＲＰ）を使用するアプリケーションの実行を示すフローチャートである。本発明の実施形態において、システム３００は一対のホスト（ホストＡ、Ｂ）を備え、各ホストＡ，ＢはＩＰｖ６とＩＰｓｅｃの両方で動作可能である。

本発明の実施形態によれば、ホストＡは、他のホスト（ノード）のＭＡＣアドレスのキャッシュ（ローカルデータベース）を有し、そのＭＡＣアドレスを該他のホスト（ノード）のＩＰアドレスにマッピングする。図３に示されるように、最初のステップ３１０において、管理者はセキュリティポリシーを設定する。このセキュリティポリシーは、ホストＡとホストＢにセキュアなＩＰｖ６ネットワーク通信を介して通信する（すなわち、ＩＰｖ６−ＡはＩＰｖ６−Ｂとセキュア通信する）ことを要求するものである。その結果、ステップ３２０で、ＡＲＰプロトコル、セキュアＩＰｖ４プロトコル、セキュアＩＰｖ６プロトコルが全て自動的に開始するが、ホストＡとホストＢはＩＰｖ６プロトコルに従って互いからのパケットの認識を拒否するため、結果、ホストＡ、Ｂ間の通信は失敗する。

ステップ３３０で、ホストＡに関連するアプリケーションによって、セキュリティポリシーＩＰｖ６−ホストＢアドレスからホストＢのＭＡＣ ＩＤが抽出される。ホストＢのＭＡＣ ＩＤは、ステートレス自動設定プロトコル（ＩＰｖ６）によって生成されたＩＰｖ６アドレスから生成するか、または、ＡＲＰテーブルを介してホストＢのＩＰｖ６アドレスを使用して取得することができる。そして、アプリケーションによってＡＲＰテーブル内でホストＢのＭＡＣ ＩＤが検索され（ステップ３４０）、ホストＢのＭＡＣ ＩＤがＡＲＰテーブルにあった場合、ステップ３５０で、そのホストＢのＭＡＣ ＩＤが検出及び／又は発見される。そして、ステップ３６０で、ホストＡに関連するアプリケーションにより、ホストＢのために近隣キャッシュテーブル内に仮近隣キャッシュエントリが作成される。ステップ３７０で、ホストＢのＭＡＣ ＩＤ情報が利用可能となり、ホストＡ、Ｂは、ホストＡの近隣キャッシュテーブル内で発見されたホストＢのＭＡＣ ＩＤに基づいて、セキュアなＩＰｓｅｃ通信を確立することができる。

ステップ３８０に示されるように、セキュリティアソシエーションが確立されたため、ホストＡ、Ｂ間でセキュアなＩＰｖ６通信を確立することができる。オプションのステップ３９０においては、セキュアなＩＰｖ６通信がホストＡ，Ｂ間で確立すると、一方もしくは両方のホストから近隣キャッシュテーブルエントリを削除することができる。

図４は、本発明の他の実施形態に係るＩＰｓｅｃとＩＰｖ６近隣要請の競合解消にアドレス解決プロトコル（ＡＲＰ）を使用するアプリケーション４００の実行を示すフローチャートである。上述のホスト及び／又はデバイスはイーサネット層を備え、イーサネット層は送信元ホスト（すなわち、ホストＡ）と宛先ホスト（ホストＢ）の両方のＭＡＣ ＩＤを含み、以下のように構成されている。

ステップ４２０で、ＡＲＰテーブルにデータが投入される。イーサネット宛先層のＭＡＣ ＩＤを取得するために、ＩＰｖ４通信が行われる前にＡＲＰ（“ａｒｐ”又は“＜ａｒｐ＞”）メッセージを交換する必要がある。以下はａｒｐテーブル内に表示されるＭＳ−ＤＯＳ＜ａｒｐ＞指令の一例である。

本発明の実施形態によれば、２０．０．０．５が２０．０．０．３に対して通信を行う前にＡＲＰパッケージの交換が行われ、イーサネット宛先層のテーブルエントリが作成される。

ステップ４３０で、管理者はホスト（すなわち、送信元ホスト及び宛先ホスト）間で交換する一のセキュリティポリシー（もしくは複数のセキュリティポリシー）を作成する。例えばセキュリティポリシーのひとつを[Any packets going out from fe80::211:2fff:fe72:3ad5 to fe80::210:4bff:fe69:ae47 must be (encrypted) protected by a security association in the following way]: spdadd fe80::211:2fff:fe72:3ad5 fe80::210:4bff:fe69:ae47 any -P out ipsec, esp/transport//requireとすることができる。

ステップ４４０でＩＰｓｅｃが開始する。しかし、ＩＰｓｅｃがセキュリティアソシエーションを作成し、ホストＡからホストＢにＩＰｖ６パッケージを送信するためには、イーサネット層はホストＡ上でホストＢのＭＡＣ ＩＤが必要となる。しかし、ホストＡはfe80::211:2fff:fe72:3ad5 to fe80::210:4bff:fe69:ae47に関連する近隣キャッシュを有していない。ＩＰｖ６プロトコルは（ＡＲＰ実行による）近隣探索を有するので、近隣要請メッセージを作成する。この近隣要請メッセージは保護されないので、ホストＡから離れない。すなわち、セキュリティアソシエーションが必要となる。そのため、ＩＰｓｅｃ通信は自動的に失敗する。

本発明の実施形態によれば、ステップ４５０で、ホストＡ上の、ＩＰｓｅｃとＩＰｖ６近隣要請の競合解消にアドレス解決プロトコル（ＡＲＰ）を使用するアプリケーションが開始し、例えばfe80::210:4bff:fe69:ae47 -> fe80::210:4b:ff:fe69:ae47-> 00:10:4b:69:ae:47のように、セキュリティアソシエーションからＭＡＣ ＩＤが抽出される。しかし（ホストＢの）ＭＡＣ ＩＤは、基準ＩＰｖ６アドレスやグローバルアドレス及び／又はリンクローカルアドレスから抽出することができる。

ステップ４６０で、アプリケーションにより、ＡＲＰテーブル内で00:10:4b:69:ae:47の一致を検索する。オプションのステップにおいて、ホストＡはホストＢのＭＡＣ ＩＤを取得及び／又は確認するために、ＡＲＰメッセージをホストＢに送信することができる。

ステップ４８０で00:10:4b:69:ae:47の一致が発見されると、アプリケーションによって以下のような近隣キャッシュエントリが作成される。

ステップ４９０でアプリケーションによりＩＰｓｅｃが再スタートする。ＩＰｓｅｃは、データストリームの各ＩＰパケットの認証や暗号化によってインターネットプロトコル（ＩＰ）通信を安全に行うのに適したプロトコルを提供する。またＩＰｓｅｃは、セッション開始時にエージェント間の相互認証を行うためのプロトコルと、セッション中に使用される暗号鍵ネゴシエーションを行うためのプロトコルも有する。

本発明の実施形態によれば、ＩＰｖ６ネットワークスタックはセキュリティアソシエーションを確立させるためのパッケージを構築する一方、内部構造として内部に以下を含む。

オプションのステップにおいて、ホストＡ，Ｂ間のＩＰｖ６通信が確立されると、アプリケーションによって仮近隣キャッシュエントリを削除することができる。

本発明の他の実施形態によれば、ＩＰｖ６通信ネットワークの近隣探索のためのコンピュータプログラムを収容するコンピュータ読取可能媒体において、該コンピュータプログラムは実行可能な指示を備え、該実行可能な指示は、ターゲットホストのＩＰｖ６アドレスのセキュリティポリシーから、該ターゲットホストのメディアアクセス制御識別子（ＭＡＣ ＩＤ）を抽出するための指示と、送信元ホスト上のアドレス解決プロトコル（ＡＲＰ）テーブルにおいて、前記ターゲットホストのＭＡＣ ＩＤを検索するための指示と、前記ターゲットホストのＭＡＣ ＩＤを検出すると、前記ターゲットホストの近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成するための指示と、前記近隣キャッシュテーブル内の前記仮近隣エントリに基づいて、前記送信元ホストと前記ターゲットホスト間に、前記送信元ホストと前記ターゲットホスト間のＩＰｖ６通信を可能にするセキュリティアソシエーションを確立するための指示である。

コンピュータ読み取り媒体は、当然のことながら、磁気記録媒体、光磁気記録媒体、またはその他今後開発される記録媒体であってもよい。これら記録媒体は全て、上述同様、本発明に適用可能であると考えられる。第一及び第二複製物、その他複製物を含むこれら媒体の複製物は、疑いなく、上記媒体の均等物であると考えられる。さらに、本発明の実施形態が、ソフトウェアとハードウェアの組み合わせであったとしても、本発明の趣旨から逸脱するものではない。本発明は、そのソフトウェア部分を事前に記録媒体に書き込んでおき、操作時に必要に応じて読み出すことにより実行されてもよい。

本発明の構成に本発明の要旨から逸脱することなく種々の改良及び変更を加え得ることは、当業者において明らかであろう。このように、本発明は、特許請求の範囲及びその均等物の範囲内における改良及び変更を包含することが意図されている。

Claims (21)

1. ＩＰｓｅｃポリシーを有する複数のホストデバイスがＩＰｖ６通信ネットワークを介して相互通信を行うための方法であって、
   ターゲットホストのＩＰｖ６アドレスのセキュリティポリシーから、該ターゲットホストのメディアアクセス制御識別子（ＭＡＣ ＩＤ）を抽出する工程と、
   送信元ホスト上のアドレス解決プロトコル（ＡＲＰ）テーブルにおいて、前記ターゲットホストのＭＡＣ ＩＤを検索する工程と、
   前記ターゲットホストのＭＡＣ ＩＤを検出すると、前記ターゲットホストのために近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成する工程と、
   前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間に、前記送信元ホストと前記ターゲットホスト間のＩＰｖ６通信を可能にするセキュリティアソシエーションを確立する工程と、を備える方法。
2. 前記送信元ホストに関連するメディアアクセス制御識別子（ＭＡＣ ＩＤ）を有するアドレス解決プロトコル（ＡＲＰ）要求を、前記ターゲットホストに送信する工程と、
   前記ターゲットホスト上で前記ＡＲＰ要求を受信する工程と、
   前記送信元ホストの前記ＭＡＣ ＩＤを前記ターゲットホストに関連するローカルＡＲＰテーブルと比較する工程と、
   前記送信元ホストの前記ＭＡＣ ＩＤが前記ターゲットホストに関連する前記ローカルＡＲＰテーブルにあるＭＡＣ ＩＤと一致する場合、前記ターゲットホストに関連する近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成する工程と、を更に備えることを特徴とする請求項１に記載の方法。
3. 前記各ホストに関連する前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間に前記セキュリティアソシエーションを確立する工程は、
   前記送信元ホストにＡＲＰ応答を送信する工程と、
   前記送信元ホスト上で前記ＡＲＰ応答を受信する工程と、
   前記ターゲットホストのＭＡＣ ＩＤを、前記送信元ホストに関連するローカルアドレス解決プロトコル（ＡＲＰ）テーブルと比較する工程と、
   前記ターゲットホストの前記ＭＡＣ ＩＤが前記送信元ホストに関連する前記ＡＲＰテーブルにあるＭＡＣ ＩＤと一致する場合、前記各ホストに関連する前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間に前記セキュリティアソシエーションを確立する工程と、を備える請求項２に記載の方法。
4. 前記セキュリティアソシエーションを確立する工程は、
   前記送信元ホストと前記ターゲットホスト間のセキュリティアソシエーションに基づいて、前記送信元ホストと前記ターゲットホスト間のＩＰｓｅｃネゴシエーションを開始する工程と、を備える請求項１に記載の方法。
5. 前記送信元ホストと前記ターゲットホスト間にＩＰｖ６接続を確立する請求項２に記載の方法。
6. 前記送信元ホストと前記ターゲットホスト間に前記ＩＰｖ６接続が確立されると、前記送信元ホスト及び／又は前記ターゲットホストから前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリを削除する工程を更に備える請求項５に記載の方法。
7. 前記送信元ホストと前記ターゲットホストは、前記仮近隣キャッシュエントリによって、データストリームの各ＩＰパケットの認証及び暗号化を含むＩＰｖ６ネットワークプロトコルで、ＩＰｖ６パケットの交換が可能となることを特徴とする請求項１に記載の方法。
8. 前記送信元ホストと前記ターゲットホストのＩＰｖ６アドレスは、ステートレスアドレス自動設定を用いて自動的に設定されることを特徴とする請求項７に記載の方法。
9. 前記ＡＲＰ要求を前記ターゲットホストに送信する工程は、
   前記アドレス解決プロトコル（ＡＲＰ）テーブルから前記メディアアクセス制御識別子（ＭＡＣ ＩＤ）を読み出す工程と、
   前記送信元ホストの前記ＭＡＣ ＩＤを、当該ＭＡＣ ＩＤを内包するＡＲＰデータパケットに変換する工程と、
   前記内包ＡＲＰデータパケットを前記ターゲットホストにブロードキャストする工程と、を備える請求項２に記載の方法。
10. 前記ターゲットホストは、少なくとも二以上のターゲットホストで構成されていることを特徴とする請求項１に記載の方法。
11. 前記送信元ホスト及び／又は前記ターゲットホスト上にアプリケーションを更に備え、
    該アプリケーションは、前記送信元ホスト及び／又は前記ターゲットホストのインターネット層でＩＰｖ６アドレスを有する入力ＩＰｖ６パケットが受信される前に、前記ＩＰｖ６パケットを取り込むことを特徴とする請求項１に記載の方法。
12. 前記ＩＰｖ６アドレスは、ルータによって前記送信元ホストと前記ターゲットホストに提供されるネットワークプレフィクスから形成され、前記ターゲットホストのリンクローカルアドレス形成中に生成される前記ＭＡＣ ＩＤと組み合わされた、グローバルに一意なアドレスであることを特徴とする請求項１に記載の方法。
13. 前記アプリケーションは前記送信元ホストと前記ターゲットホストのオペレーティングシステム上で実行されていることを特徴とする請求項１１に記載の方法。
14. 前記送信元ホスト及び／又は前記ターゲットホストのうち、少なくとも１つは画像形成装置であることを特徴とする請求項１に記載の方法。
15. ＩＰｖ６通信ネットワークのための近隣探索システムであって、
    アプリケーションを有する送信元ホストと、
    アプリケーションを有するターゲットホストと、を備え、
    前記送信元ホストは、
    前記ターゲットホストのＩＰｖ６アドレスのセキュリティポリシーから、前記ターゲットホストのメディアアクセス制御識別子（ＭＡＣ ＩＤ）を抽出する工程と、
    前記送信元ホスト上のアドレス解決プロトコル（ＡＲＰ）テーブルにおいて、前記ターゲットホストのＭＡＣ ＩＤを検索する工程と、
    前記ターゲットホストのＭＡＣ ＩＤを検出すると、前記ターゲットホストのために近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成する工程と、
    前記送信元ホストに関連するメディアアクセス制御識別子（ＭＡＣ ＩＤ）を有するアドレス解決プロトコル（ＡＲＰ）要求を、前記ターゲットホストに送信する工程と、を実行し、
    前記ターゲットホストは、
    前記ターゲットホスト上で前記ＡＲＰ要求を受信する工程と、
    前記送信元ホストの前記ＭＡＣ ＩＤを前記ターゲットホストに関連するローカルＡＲＰテーブルと比較する工程と、
    前記送信元ホストの前記ＭＡＣ ＩＤが前記ターゲットホストに関連する前記ローカルＡＲＰテーブルにあるＭＡＣ ＩＤと一致する場合、前記ターゲットホストに関連する近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成する工程と、を実行するシステム。
16. 前記各ホストに関連する前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間にセキュリティアソシエーションを確立する工程をさらに備える請求項１５に記載のシステム。
17. 前記各ホストに関連する前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間に前記セキュリティアソシエーションを確立する工程は、
    前記送信元ホストにＡＲＰ応答を送信する工程と、
    前記送信元ホスト上で前記ＡＲＰ応答を受信する工程と、
    前記ターゲットホストの前記ＭＡＣ ＩＤを、前記送信元ホストに関連する前記ローカルアドレス解決プロトコル（ＡＲＰ）テーブルと比較する工程と、
    前記ターゲットホストの前記ＭＡＣ ＩＤが前記送信元ホストに関連する前記ＡＲＰテーブルにあるＭＡＣ ＩＤと一致する場合、前記各ホストに関連する前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間に前記セキュリティアソシエーションを確立する工程と、を備える請求項１６に記載のシステム。
18. 前記送信元ホストと前記ターゲットホスト間の前記セキュリティアソシエーションに基づいて、前記送信元ホストと前記ターゲットホスト間のＩＰｓｅｃネゴシエーションを開始する工程を更に備える請求項１７に記載のシステム。
19. ＩＰｖ６通信ネットワークの近隣探索のためのコンピュータプログラムを収容するコンピュータ読取可能媒体であって、該コンピュータプログラムは実行可能な指示を備え、該実行可能な指示は、
    ターゲットホストのＩＰｖ６アドレスのセキュリティポリシーから、該ターゲットホストのメディアアクセス制御識別子（ＭＡＣ ＩＤ）を抽出するための指示と、
    送信元ホスト上のアドレス解決プロトコル（ＡＲＰ）テーブルにおいて、前記ターゲットホストのＭＡＣ ＩＤを検索するための指示と、
    前記ターゲットホストのＭＡＣ ＩＤを検出すると、前記ターゲットホストのために近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成するための指示と、
    前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間に、前記送信元ホストと前記ターゲットホスト間のＩＰｖ６通信を可能にするセキュリティアソシエーションを確立するための指示と、であることを特徴とする前記コンピュータ読取可能媒体。
20. 前記コンピュータプログラムは前記実行可能な指示として、
    前記送信元ホストに関連するメディアアクセス制御識別子（ＭＡＣ ＩＤ）を有するアドレス解決プロトコル（ＡＲＰ）要求を、前記ターゲットホストに送信するための指示と、
    前記ターゲットホスト上で前記ＡＲＰ要求を受信するための指示と、
    前記送信元ホストの前記ＭＡＣ ＩＤを前記ターゲットホストに関連するローカルＡＲＰテーブルを比較するための指示と、
    前記送信元ホストの前記ＭＡＣ ＩＤが前記ターゲットホストに関連する前記ローカルＡＲＰテーブルにあるＭＡＣ ＩＤと一致する場合、前記ターゲットホストに関連する近隣キャッシュテーブル内に仮近隣キャッシュエントリを作成するための指示と、を更に備えることを特徴とする請求項１９に記載のコンピュータ読出可能媒体。
21. 前記各ホストに関連する前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間に前記セキュリティアソシエーションを確立するための指示は、
    前記送信元ホストにＡＲＰ応答を送信するための指示と、
    前記送信元ホスト上で前記ＡＲＰ応答を受信するための指示と、
    前記ターゲットホストの前記ＭＡＣ ＩＤを、前記送信元ホストに関連する前記ローカルアドレス解決プロトコル（ＡＲＰ）テーブルと比較するための指示と、
    前記ターゲットホストの前記ＭＡＣ ＩＤが前記送信元ホストに関連する前記ＡＲＰテーブルにあるＭＡＣ ＩＤと一致する場合、前記各ホストに関連する前記近隣キャッシュテーブル内の前記仮近隣キャッシュエントリに基づいて、前記送信元ホストと前記ターゲットホスト間に前記セキュリティアソシエーションを確立するための指示と、を備えることを特徴とする請求項２０に記載のコンピュータ読取可能媒体。

Images