JP6075871B2 - Network system, communication control method, communication control apparatus, and communication control program - Google Patents
Network system, communication control method, communication control apparatus, and communication control program Download PDFInfo
- Publication number
- JP6075871B2 JP6075871B2 JP2013099612A JP2013099612A JP6075871B2 JP 6075871 B2 JP6075871 B2 JP 6075871B2 JP 2013099612 A JP2013099612 A JP 2013099612A JP 2013099612 A JP2013099612 A JP 2013099612A JP 6075871 B2 JP6075871 B2 JP 6075871B2
- Authority
- JP
- Japan
- Prior art keywords
- communication
- network
- communication data
- unit
- destination
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Description
本発明は、ネットワークシステム、通信制御方法、通信制御装置及び通信制御プログラムに関する。 The present invention relates to a network system, a communication control method, a communication control apparatus, and a communication control program.
従来、インターネット上の情報通信などにおいて、拠点間を結ぶトンネリング処理を行う通信におけるセキュアな通信を行うために、暗号化やメッセージ認証、改竄検知などのセキュリティ処理が行われることが知られている。例えば、トンネリング技術においては、暗号などが適用されたセキュアなＶＰＮ（Virtual Private Network）が利用されることが知られている。 Conventionally, in information communication on the Internet, it is known that security processing such as encryption, message authentication, and falsification detection is performed in order to perform secure communication in communication that performs tunneling processing between bases. For example, in the tunneling technology, it is known that a secure VPN (Virtual Private Network) to which encryption or the like is applied is used.
しかしながら、上述した従来の技術では、トンネリング技術において、処理負荷が高くなる場合や通信性能が低くなる場合があり、効率的に通信を行えないという課題があった。例えば、ゲートウェイ（ＧＷ：Gateway）などの通信制御装置が、既に暗号化されている通信を受信した場合、つまり、送信端末側で暗号化処理をしている通信データを受信した場合に、ＶＰＮでさらに暗号化することで、二重に暗号化してしまい、無駄な処理コストが発生し、処理負荷が高くなり、通信性能が低くなることから、効率的に通信を行えない場合があった。 However, in the conventional technique described above, there is a problem that in the tunneling technique, the processing load may be high or the communication performance may be low, and communication cannot be performed efficiently. For example, when a communication control device such as a gateway (GW) receives communication that has already been encrypted, that is, when communication data that has been encrypted on the transmission terminal side is received, Further encryption results in double encryption, resulting in unnecessary processing costs, high processing load, and low communication performance, which may prevent efficient communication.
そこで、本願に係る技術は、上述した従来技術の問題に鑑みてなされたものであって、トンネリング処理を行う通信において、処理負荷を抑えつつ、通信性能の低下を低減し、効率的に通信を行うことを可能にするネットワークシステム、通信制御方法、通信制御装置及び通信制御プログラムを提供することを目的とする。 Therefore, the technology according to the present application has been made in view of the above-described problems of the prior art, and in communication in which tunneling processing is performed, while suppressing processing load, reduction in communication performance is reduced, and communication is efficiently performed. It is an object to provide a network system, a communication control method, a communication control apparatus, and a communication control program that can be performed.
上述した課題を解決し、目的を達成するため、本願に係るネットワークシステムは、第１のネットワーク内の第１の装置と、前記第１のネットワークと通信可能な第２のネットワーク内の第２の装置とを備え、外部ネットワークが前記第１のネットワークまたは前記第２のネットワークと通信可能なネットワークシステムであって、前記第１の装置は、前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第２のネットワーク内であるか、または、前記外部ネットワークであるかを識別する識別部と、前記識別部で識別された通信データの宛先が前記第２のネットワーク内である場合には、該通信データが暗号化されたデータであるか否かを解析する解析部と、前記識別部で識別された通信データの宛先が前記外部ネットワークである場合、または、前記解析部で解析された通信データが暗号化されたデータである場合には、前記通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行し、前記解析部で解析された通信データが暗号化されたデータでない場合には、前記通信データに対して少なくとも暗号化処理及び前記第２の装置とトンネル通信するためのカプセリング処理を実行する第１のトンネリング処理部と、前記第１のトンネリング処理部による処理後の通信データを前記第２の装置へ送信する第１の通信部と、を備え、前記第２の装置は、前記第１の装置から送信された通信データを受信して、前記第１のトンネリング処理部による処理の解除を実行する第２のトンネリング処理部と、前記第２のトンネリング処理により解除された通信データを、当該通信データの宛先へ送信する第２の通信部と、を備えたことを特徴とする。 In order to solve the above-described problems and achieve the object, a network system according to the present application includes a first device in a first network and a second in a second network that can communicate with the first network. A network system in which an external network can communicate with the first network or the second network, wherein the first device transmits communication data received from a terminal in the first network. An identification unit for identifying whether a destination is in the second network or the external network, and a destination of communication data identified by the identification unit is in the second network The analysis unit that analyzes whether the communication data is encrypted data, and the destination of the communication data identified by the identification unit is the external network If the communication data analyzed by the analysis unit is encrypted data, a capsule processing for tunnel communication with the second device is executed on the communication data. If the communication data analyzed by the analysis unit is not encrypted data, the communication data is subjected to at least encryption processing and encapsulation processing for tunnel communication with the second device. 1 tunneling processing unit, and a first communication unit that transmits communication data processed by the first tunneling processing unit to the second device, wherein the second device includes the first communication unit A second tunneling processing unit that receives communication data transmitted from the apparatus and executes cancellation of processing by the first tunneling processing unit; and the second tunneling processing. Ri release communication data, characterized by comprising a second communication unit for transmitting to the said communication data destination, a.
また、本願に係る通信制御方法は、第１のネットワーク内の第１の装置と、前記第１のネットワークと通信可能な第２のネットワーク内の第２の装置とを備え、外部ネットワークが前記第１のネットワークまたは前記第２のネットワークと通信可能なネットワークシステムによって実行される通信制御方法であって、前記第１の装置によって実行される、前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第２のネットワーク内であるか、または、前記外部ネットワークであるかを識別する識別工程と、前記識別工程で識別された通信データの宛先が前記第２のネットワーク内である場合には、該通信データが暗号化されたデータであるか否かを解析する解析工程と、前記識別工程で識別された通信データの宛先が前記外部ネットワークである場合、または、前記解析工程で解析された通信データが暗号化されたデータである場合には、前記通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行し、前記解析工程で解析された通信データが暗号化されたデータでない場合には、前記通信データに対して少なくとも暗号化処理及び前記第２の装置とトンネル通信するためのカプセリング処理を実行する第１のトンネリング処理工程と、前記第１のトンネリング処理工程による処理後の通信データを前記第２の装置へ送信する第１の通信工程と、を備え、前記第２の装置によって実行される、前記第１の装置から送信された通信データを受信して、前記第１のトンネリング処理工程による処理の解除を実行する第２のトンネリング処理工程と、前記第２のトンネリング処理により解除された通信データを、当該通信データの宛先へ送信する第２の通信工程と、を含んだことを特徴とする。 The communication control method according to the present application includes a first device in a first network and a second device in a second network capable of communicating with the first network, and an external network is the first device. A communication control method executed by a network system communicable with one network or the second network, the communication control method being executed by the first device and received from a terminal in the first network An identification step for identifying whether the destination is in the second network or the external network, and the destination of the communication data identified in the identification step is in the second network Is an analysis step for analyzing whether the communication data is encrypted data, and the destination of the communication data identified in the identification step is If the communication data analyzed in the analysis step is encrypted data, a capsule processing for tunnel communication with the second device is executed on the communication data. If the communication data analyzed in the analysis step is not encrypted data, the communication data is subjected to at least encryption processing and encapsulation processing for tunnel communication with the second device. 1 tunneling processing step, and a first communication step of transmitting communication data after processing by the first tunneling processing step to the second device, and executed by the second device, 2nd tunneling which receives the communication data transmitted from the 1st apparatus, and performs cancellation | release of the process by said 1st tunneling process process And management step, the communication data is released by the second tunneling process, characterized in that it includes a second communication step of transmitting to the said communication data destination, a.
また、本願に係る通信制御装置は、第１のネットワーク内の通信制御装置であって、前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第１のネットワークと接続される前記第２のネットワーク内であるか、又は、当該第２のネットワークに接続される外部ネットワークであるかを識別する識別部と、前記識別部で識別された通信データの宛先が前記第２のネットワーク内である場合には、該通信データが暗号化されたデータであるか否かを解析する解析部と、前記識別部で識別された通信データの宛先が前記外部ネットワークである場合、または、前記解析部で解析された通信データが暗号化されたデータである場合には、前記通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行し、前記解析部で解析された通信データが暗号化されたデータでない場合には、前記通信データに対して少なくとも暗号化処理及び前記第２の装置とトンネル通信するためのカプセリング処理を実行する第１のトンネリング処理部と、前記第１のトンネリング処理部による処理後の通信データを前記第２の装置へ送信する第１の通信部と、を備えたことを特徴とする。 The communication control device according to the present application is a communication control device in a first network, and a destination of communication data received from a terminal in the first network is connected to the first network. An identification unit for identifying whether the second network is an external network connected to the second network, and the destination of the communication data identified by the identification unit is within the second network When the communication data is encrypted, the analysis unit analyzes whether the communication data is encrypted data, and the destination of the communication data identified by the identification unit is the external network, or the analysis When the communication data analyzed by the communication unit is encrypted data, a encapsulation process for performing tunnel communication with the second device is executed on the communication data. If the communication data analyzed by the analysis unit is not encrypted data, a first process that executes at least an encryption process and a encapsulation process for tunnel communication with the second device is performed on the communication data. A tunneling processing unit, and a first communication unit that transmits communication data processed by the first tunneling processing unit to the second device are provided.
本願に開示するネットワークシステム、通信制御方法、通信制御装置及び通信制御プログラムは、トンネリング処理を行う通信において、処理負荷を抑えつつ、通信性能の低下を低減し、効率的に通信を行うことが可能である。 The network system, communication control method, communication control apparatus, and communication control program disclosed in the present application can perform communication efficiently while reducing processing load while suppressing processing load in communication that performs tunneling processing. It is.
以下に添付図面を参照して、本願に係るネットワークシステム、通信制御方法、通信制御装置及び通信制御プログラムの実施形態を詳細に説明する。なお、本願に係るネットワークシステム、通信制御方法、通信制御装置及び通信制御プログラムは、以下の実施形態により限定されるものではない。 Exemplary embodiments of a network system, a communication control method, a communication control apparatus, and a communication control program according to the present application will be described below in detail with reference to the accompanying drawings. Note that the network system, the communication control method, the communication control apparatus, and the communication control program according to the present application are not limited to the following embodiments.
（第１の実施形態）
まず、第１の実施形態に係るネットワークシステムの概要について説明する。以下、図１を用いて、第１の実施形態に係るネットワークシステムの構成の一例を説明する。図１は、第１の実施形態に係るネットワークシステム１の構成の一例を説明するための図である。図１に示すように、第１の実施形態に係るネットワークシステム１は、第１のネットワーク２内の拠点Ａにおける端末１０と、第１のネットワーク２および外部ネットワーク（例えば、インターネット）５と接続される第２のネットワーク３内の拠点Ｂにおける端末２０とを備えるネットワークシステムである。
(First embodiment)
First, an outline of the network system according to the first embodiment will be described. Hereinafter, an example of the configuration of the network system according to the first embodiment will be described with reference to FIG. FIG. 1 is a diagram for explaining an example of a configuration of a
ネットワークシステム１においては、通信制御装置１００と通信制御装置２００とがトンネル接続されることで、第１のネットワーク２と第２のネットワーク３とが、同一サブネット化される。これにより、拠点Ａにおける第１のネットワーク２と、拠点Ｂにおける第２のネットワーク３とが、同一セグメントのネットワークとして利用することができる。
In the
通信制御装置１００は、第１のネットワーク２内の端末１０から受信した通信データの宛先が、第２のネットワーク３内であるか、または、外部ネットワーク５であるかを識別する。そして、通信制御装置１００は、識別された通信データの宛先が第２のネットワーク３内である場合には、該通信データが暗号化されたデータであるか否かを解析する。
The
そして、通信制御装置１００は、通信データの宛先が外部ネットワーク５であると識別された場合、または、解析された通信データが暗号化されたデータである場合には、通信データに対して通信制御装置２００とトンネル通信するためのカプセリング処理を実行し、端末２０へ送信する。また、通信制御装置１００は、解析された通信データが暗号化されたデータでない場合には、通信データに対して少なくとも暗号化処理及び通信制御装置２００とトンネル通信するためのカプセリング処理を実行し、端末２０へ送信する。
If the destination of the communication data is identified as the
その後、通信制御装置２００は、通信制御装置１００から送信された通信データを受信して、トンネリング処理の解除を実行し、トンネリング処理が解除された通信データを、宛先へ送信する。
Thereafter, the
このように、第１の実施形態に係るネットワークシステム１では、通信データの通信内容を確認し、必要に応じて暗号化処理を行うことで、既に暗号化されている通信データにさらに暗号化処理を施すことを省略する。この結果、トンネリング処理を行う通信において、処理負荷を抑えつつ、通信性能の低下を低減し、効率的に通信を行うことが可能である。
As described above, in the
次に、図２を用いて、上記した第１の実施形態に係るネットワークシステム１の具体的な構成例について説明する。なお、以降の説明では、図２の構成を例とした説明を適宜行うものとする。
Next, a specific configuration example of the
例えば、第１の実施形態に係るネットワークシステム１は、ユーザ宅内に構築された宅内ネットワーク（ＲＨＮＷ：Real Home Network）２と、データセンタ（ＤＣ： Data Center）３０内に構築された仮想ホームネットワークＶＨＮＷ（Virtual Home Network）３とを有する。そして、ネットワークシステム１は、例えば、アクセスネットワークなどの閉域網や、インターネットなどのネットワーク４を介してＲＨＮＷ２上のネットワーク装置（ＣＰＥ：Customer Premises Equipment）１００とＤＣ３０内に構築されたＶＨＮＷ３上のＶＨＧＷ（Virtual Home Gateway）２００とが接続される。
For example, the
ＲＨＮＷ２は、ＣＰＥ１００に加えて、例えば、端末などが接続される。また、ＶＨＮＷ３は、ＶＨＧＷ２００に加えて、例えば、仮想ＡＰサーバ（仮想アプリケーションサーバ）や、仮想ストレージ（仮想ストレージサーバ）などの通信装置が構築される。そして、ネットワークシステム１においては、ＣＰＥ１００とＶＨＧＷ２００とがＬ２トンネル接続されることで、ＲＨＮＷ２とＶＨＮＷ３とが、同一サブネット化（同一セグメント化）される。これにより、ユーザ宅内のＲＨＮＷ２と、遠隔拠点にあるＤＣ３０におけるＶＨＮＷ３とが、一つのホームネットワークとして利用することができる。
For example, a terminal is connected to the
このように、ネットワークシステム１は、ＶＨＮＷ３がＤＣ３０に配置されていることから、計算機リソースの制約がなくなり、ホームネットワークやホームゲートウェイとしての性能や機能を仮想化技術などによって容易に拡張することができる。ここで、このようなネットワークシステム１においては、ＲＨＮＷ２内の端末からＶＨＮＷ３内の装置（例えば、仮想ＡＰサーバや、仮想ストレージなど）にアクセスする場合も、ＲＨＮＷ２の端末からインターネット上の装置にアクセスする場合も、同一のＬ２（レイヤ２：ＯＳＩ参照モデルのデータリンク層、または第２層）トンネルを経由することとなる。
As described above, since the
上述したように、ネットワークシステム１においては、ＲＨＮＷ２とＶＨＮＷ３とがアクセスネットワークや、インターネットなどのネットワーク４の上をＬ２トンネルで接続される。従って、例えば、ＤＣ３０が盗聴や改竄される可能性の高い網であるインターネット上に位置する（インターネット上にＬ２トンネルを構築する）場合には、暗号などが適用されたセキュアなＬ２ＶＰＮ（Ｌ２ Virtual Private Network）がトンネルリング技術として適用されるのが一般的である。
As described above, in the
ここで、従来技術においては、ＲＨＮＷ２内の端末からＶＨＮＷ３内の装置にアクセスする場合も、ＲＨＮＷ２内の端末からＶＨＮＷ３とは異なるインターネットなどの外部ネットワーク５上の装置にアクセスする場合も、Ｌ２ＶＰＮによって構築されたＬ２トンネルを経由することとなる。例えば、ＲＨＮＷ２からＶＨＮＷ３内の装置にアクセスするということは、従来のホームネットワークで例えると、ホームネットワーク内の端末から、同じホームネットワーク内の通信装置にアクセスすることと同じである。従って、このアクセスに関する通信内容はホームネットワークの外部からの盗聴や改竄などに対してセキュアに管理されることが望ましいため、通信路に暗号化などが施されたセキュアなＬ２ＶＰＮによって構築されたＬ２トンネルをそのまま利用してＲＨＮＷ２からＶＨＮＷ３へアクセスするのが望ましい。
Here, in the prior art, when accessing a device in VHNW3 from a terminal in RHNW2, or when accessing a device on
一方、ネットワークシステム１のようなネットワーク環境では、ＲＨＮＷ２からインターネット上の通信装置へアクセスする場合、インターネットへのゲートウェイが配置されているＶＨＮＷ３を経由する必要があるので、Ｌ２トンネルを通過することになる。つまり、インターネットへアクセスする場合も、画一的にセキュアなＬ２ＶＰＮによって構築されたトンネルを通ることとなる。かかる場合、そもそもインターネットに出ていく通信であるため、通信内容全体の暗号化などは必須ではない通信であっても、セキュアなＬ２ＶＰＮを経由することとなるため、必須ではない暗号・認証・署名などの処理を要してしまい、通信パフォーマンスが低下してしまう。また、Ｌ２トンネルを通る通信は、その分のトンネリング（ＩＰカプセリング）のためのヘッダサイズ分だけオーバヘッドが発生して１回の通信で送信できるデータサイズが減少し、通信効率が低下してしまうため、通信処理に係るコストは、可能な限り抑える必要がある。
On the other hand, in a network environment such as the
そこで、第１の実施形態にかかるネットワークシステム１では、以下、詳細に説明する通信制御装置（ＣＰＥ）１００及び通信制御装置（ＶＨＧＷ）２００の処理により、インターネットへのアクセスにおける通信効率の低下を低減することを可能にする。なお、第１の実施形態に係るＣＰＥ１００やＶＨＧＷ２００では、図２に示すように、ＩＰｖ４及び／またはＩＰｖ６などのアドレス管理機能を備える。
Therefore, in the
以下、図２に例示した通信制御装置（ＣＰＥ）１００及び通信制御装置（ＶＨＧＷ）２００の詳細について説明する。まず、ＲＨＮＷ２内の端末１０が送信元であり、宛先がＶＨＮＷ３内の端末（仮想ＡＰサーバ又は仮想ストレージ）２０又はインターネット上の端末３０である場合について説明する。図３は、第１の実施形態に係る通信制御装置の構成の一例を示す図である。
Details of the communication control apparatus (CPE) 100 and the communication control apparatus (VHGW) 200 illustrated in FIG. 2 will be described below. First, a case where the terminal 10 in the
図３に示すように、通信制御装置１００は、通信部１１０と、制御部１２０と、記憶部１３０とを備え、アクセスネットワークやインターネットなどを介して通信制御装置２００とＬ２トンネル接続されている。
As shown in FIG. 3, the
通信部１１０は、例えば、ＬＡＮ（Local Area Network）インターフェースや、ＷＡＮ（Wide Area Network）インターフェースなどであり、通信データである、Ｌ２のフレームやその中のＬ３（レイヤ３：ＯＳＩ参照モデルのネットワーク層、または第３層）のパケットの送受信を実行する。具体的には、通信部１１０は、後述するトンネリング処理部１２４による処理後の通信を、トンネルの対向終端装置であるＶＨＧＷ２００との間で実行する。また、通信部１１０は、スイッチ、ハブ、ブリッジ機能などを備える。
The
記憶部１３０は、図３に示すように、暗号特定情報記憶部１３１を有する。記憶部１３０は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
As illustrated in FIG. 3, the
暗号特定情報記憶部１３１は、パケットが暗号化済か否かを特定するための情報を記憶する。また、暗号特定情報記憶部１３１が記憶する情報は、後述する解析部１２２によって参照される情報である。具体的には、暗号特定情報記憶部１３１は、例えば、レイヤ別に、暗号化済とみなす通信の条件および未暗号化とみなす通信の条件を記憶する。
The encryption specifying
例えば、暗号特定情報記憶部１３１は、暗号化済・未暗号化とみなす通信の条件として、「宛先・送信元情報」、「暗号通信プロトコルとして割り当てられているＩＰプロトコル番号」、「暗号通信に割り当てられているＴＣＰやＵＤＰのポート番号」、および、「データ・ファイルを暗号化して送受信するアプリケーション」の情報を記憶している。
For example, the encryption specific
暗号特定情報記憶部１３１は、宛先・送信元情報について、宛先や送信元（例えば、ＭＡＣアドレスやＩＰアドレス）と暗号通信の有無があらかじめ対応付けることができる場合には、宛先や送信元を暗号化済・未暗号化とみなす通信の条件として記憶する。つまり、あるＭＡＣアドレスを宛先とした通信については、パケットが暗号化済みであるということが予め決まっている場合には、そのＭＡＣアドレスを、暗号化済とみなす通信の条件として記憶する。
The encryption specific
また、暗号特定情報記憶部１３１は、暗号通信プロトコルとして割り当てられているＩＰプロトコル番号として、例えば、「５０番（ＥＳＰ（Encap Security Payload Protocol））」を記憶する。また、暗号特定情報記憶部１３１は、暗号通信に割り当てられているＴＣＰやＵＤＰのポート番号として、例えば、「２２番（ＳＳＨ（Secure SHell））」、「４４３番（ＨＴＴＰＳ（Hypertext Transfer Protocol Security））」を記憶する。
Also, the encryption specific
また、暗号特定情報記憶部１３１は、データ・ファイルを暗号化して送受信するアプリケーションとして、暗号化アプリケーション等で暗号化したデータやファイルを非暗号通信路で送信する場合、このことを示すアプリケーションのヘッダの制御情報や、暗号化ファイルのヘッダ情報に埋め込まれ暗号化を示す情報を記憶する。例えば、PGP（Pretty Good Privacy）の制御情報に、Mime-Versionヘッダが存在し、Content-Typeヘッダがmultipart／encryptedであり、protocolが「application／pgp-encrypted」であって、制御情報部にPGPを示すMineヘッダが存在する場合は、データが暗号化されていることとみなせる。また、例えば、S/MIME（Secure/Multipurpose Internet Mail Extensions）なども同様に制御情報を参照することで（メールのヘッダ情報に、Content-Description: S/MIME Encrypted Messageが含まれている場合）、データが暗号化されているか否かを確認できる。
In addition, the encryption specific
なお、後述する解析部１２２は、暗号化済とみなす通信の条件に対応する各情報に合致する場合には、その通信を暗号化済の通信とみなし、未暗号化とみなす通信の条件に対応する各情報に合致する場合には、その通信を未暗号化の通信とみなす。
Note that the
ここで、図４の例を用いて、暗号特定情報記憶部１３１に記憶される情報の一例を説明する。図４は、暗号特定情報記憶部１３１に記憶される情報の一例を示す図である。図４に例示するように、暗号特定情報記憶部１３１は、解析対象となる情報のレイヤを示す「パケットのレイヤ」と、解析対象となる情報の種別を示す「解析対象」と、パケットが暗号化済である場合の条件である「暗号化済とみなす通信の条件」と、パケットが暗号化済みでない場合の条件である「未暗号化とみなす通信の条件」とを対応付けて記憶する。
Here, an example of information stored in the encryption specific
例えば、暗号特定情報記憶部１３１は、パケットのレイヤ「データリンク」と、解析対象「宛先ＭＡＣ」と、暗号化済とみなす通信の条件「ＸＸ：ＹＹ：ＺＺ：ＡＡ：ＢＢ：ＣＣ」、「ＸＸ：ＶＶ：ＴＴ：ＤＤ：ＢＢ：ＦＦ」・・・と、未暗号化とみなす通信の条件「１１：２２：３３：ＡＡ：ＢＢ：８８」・・・とを対応付けて記憶する。つまり、これは、パケットにおけるデータリンク層の宛先ＭＡＣアドレスが、「ＸＸ：ＹＹ：ＺＺ：ＡＡ：ＢＢ：ＣＣ」や「ＸＸ：ＶＶ：ＴＴ：ＤＤ：ＢＢ：ＦＦ」と一致する場合には、該パケットが暗号化済であることを意味し、「１１：２２：３３：ＡＡ：ＢＢ：８８」等と一致する場合には、該パケットが未暗号化であることを意味している。また、例えば、ある特定のＩＰアドレスとポート番号の組などの様にレイヤをまたがる複数の組を条件としてもよい。
For example, the encryption specific
図３の説明に戻って、制御部１２０は、識別部１２１と、解析部１２２と、判定部１２３と、トンネリング処理部１２４とを有する。ここで、制御部１２０は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路である。
Returning to the description of FIG. 3, the
識別部１２１は、ＲＨＮＷ２に含まれる端末からの通信の宛先が、トンネルの対向側のネットワークであるＶＨＮＷ３内であるか、又は、ホームネットワーク（ＲＨＮＷ２とＶＨＮＷ３からなる同一Ｌ２セグメントネットワーク）とは異なるインターネットなどの外部ネットワーク５であるかを識別する。具体的には、識別部１２１は、ＲＨＮＷ２内の端末からのＬ２フレームまたはパケットの宛先がＶＨＮＷ３内であるか、又はインターネットであるかを識別する。図５は、第１の実施形態に係る通信制御装置１００による宛先識別処理及びトンネリング処理を説明するための図である。なお、説明上不要な情報は割愛している。
The
ここで、図５においては、図５の（Ａ）にＲＨＮＷ２内の端末から受信したＬ２フレームを示す。また、図５においては、図５の（Ｂ）にパケットの宛先がＶＨＮＷ３内の通信装置であった場合のＬ２ＶＰＮを構成するパケットの構造例を示す。また、図５においては、図５の（Ｃ）にパケットの宛先がインターネット上の通信装置であった場合のＬ２ＶＰＮ内のパケットの構造例を示す。なお、図５の（Ｂ）及び（Ｃ）については、トンネリング処理部１２４を説明する際に、詳細を説明する。
Here, in FIG. 5, an L2 frame received from a terminal in the RHNW2 is shown in FIG. FIG. 5B shows an example of the structure of a packet constituting the L2VPN when the destination of the packet is a communication device in the VHNW3. FIG. 5C shows an example of the structure of a packet in the L2VPN when the destination of the packet is a communication device on the Internet. 5 (B) and 5 (C) will be described in detail when the
例えば、端末から受信したＬ２フレームは、図５の（Ａ）に示すように、ペイロードと、ＴＣＰまたはＵＤＰの宛先ポート番号と、ＴＣＰまたはＵＤＰの送信元ポート番号と、宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ＭＡＣアドレスと、送信元ＭＡＣアドレスとを含む。なお、ＴＣＰやＵＤＰを使用しない通信では、宛先ポート番号と送信元ポート番号は含まれない。 For example, as shown in FIG. 5A, an L2 frame received from a terminal includes a payload, a TCP or UDP destination port number, a TCP or UDP source port number, a destination IP address, and a source It includes an IP address, a destination MAC address, and a source MAC address. Note that in communication not using TCP or UDP, the destination port number and the source port number are not included.
例えば、識別部１２１は、通信部１１０が図５の（Ａ）に示すＬ２フレームまたはパケットを受信すると、Ｌ２のフレームレベル、或いは、Ｌ３のパケットレベルで宛先を識別する。例えば、Ｌ２のフレームレベルで識別する場合には、識別部１２１は、受信したＬ２フレームの宛先ＭＡＣアドレスを参照して、格納されたＭＡＣアドレスが、ＶＨＮＷ３内の通信装置宛であるか、或いは、インターネット上の通信装置宛（つまり、インターネットとの間のゲートウェイ装置のＭＡＣアドレス）であるかを識別する。ここで、識別部１２１は、通信部１１０のＬ２スイッチ機能に備えられたＭＡＣアドレス学習を利用して、宛先を識別することも可能である。
For example, when the
かかる場合には、例えば、識別部１２１は、通信部１１０によるＭＡＣアドレス学習によって、スイッチのポートと、そのポートの接続先の通信装置のＭＡＣアドレスとを対応付けて記憶することで、記憶したＭＡＣアドレスの情報を用いて宛先を特定することができる。例えば、識別部１２１は、Ｌ２トンネルに使用するポートと対応付けて記憶されているＭＡＣアドレスを宛先ＭＡＣアドレスとする通信の宛先をＶＨＮＷ３内として特定する。この手法は、ＭＡＣアドレス学習によって、ホームネットワーク（ＲＨＮＷ２とＶＨＮＷ３からなる同一セグメントのＬ２ネットワーク）内の通信装置のＭＡＣアドレスを学習した後には、処理負荷の面でも、有用な識別方法である。
In such a case, for example, the
また、例えば、Ｌ３のパケットレベルで識別する場合には、識別部１２１は、受信したパケットの宛先ＩＰアドレスを参照して、格納されたＩＰアドレスが、ＶＨＮＷ３内の通信装置宛であるか、或いは、インターネット上の通信装置宛であるかを識別する。例えば、識別部１２１は、格納されたＩＰアドレスがホームネットワーク（ＲＨＮＷ２とＶＨＮＷ３からなる同一セグメントのＬ２ネットワーク）内のプライベートアドレスであるか、リンクローカルアドレスであるか、同一セグメント内のプレフィックスを持つアドレスであるか、或いは、ホームネットワークの外部ネットワーク５のグローバルアドレスであるかにより、宛先を識別する。なお、上記した識別方法は、いずれか１つを用いる場合であってもよく、或いは、複数を組み合わせて用いる場合であってもよい。
Further, for example, when identifying at the packet level of L3, the identifying
識別部１２１は、上記した識別方法を用いて、宛先として、ＶＨＮＷ３内の通信装置及びインターネット上の通信装置に加えて、ＲＨＮＷ２内の通信装置（端末）を識別することも可能である。
Using the above-described identification method, the
図３の説明に戻って、解析部１２２は、識別部１２１で識別されたパケットの宛先がＶＨＮＷ３内の端末２０である場合には、該パケットが暗号化されたデータであるか否かを解析する。具体的には、解析部１２２は、識別部１２１で識別されたパケットの宛先がＶＨＮＷ３内の端末２０である場合には、暗号特定情報記憶部１３１を参照して、パケットが暗号済か否かを、パケットのヘッダ部からデータ部までの順（例えば、データリンク層→ネットワーク層→トランスポート層→アプリケーションの順）に解析し、暗号特定情報記憶部１３１に記憶された条件に該当するものがあるか否かを確認する。例えば、解析部１２２は、ネットワーク層のＩＰヘッダ情報（宛先ＩＰアドレス）に、暗号化済とみなす通信の条件、または、未暗号化とみなす通信の条件に該当するものがあった場合には、それ以上の解析、すなわち、トランスポート層、アプリケーション層についての解析は不要である。
Returning to the description of FIG. 3, when the destination of the packet identified by the
ここで、図４の例を用いて、解析処理について具体的に説明する。まず、解析部１２２は、暗号特定情報記憶部１３１を参照し、パケットのレイヤ「データリンク」、解析対象「宛先ＭＡＣ」のレコードを読み出し、受信したパケットの宛先ＭＡＣアドレスが暗号化済とみなす通信の条件、または、未暗号化とみなす通信の条件として記憶されたＭＡＣアドレスと一致するかを確認する。この結果、受信したパケットの宛先ＭＡＣアドレスが、暗号化済とみなす通信の条件として記憶されたＭＡＣアドレスと一致する場合には、暗号化済のパケットとみなし、未暗号化とみなす通信の条件として記憶されたＭＡＣアドレスと一致する場合には、未暗号化のパケットとみなす。
Here, the analysis processing will be specifically described with reference to the example of FIG. First, the
また、受信したパケットの宛先ＭＡＣアドレスが、受信したパケットの宛先ＭＡＣアドレスが暗号化済とみなす通信の条件、および、未暗号化とみなす通信の条件として記憶されたＭＡＣアドレスと一致しない場合には、次に、パケットのレイヤ「ネットワーク」、解析対象「宛先ＩＰアドレス」のレコードを読み出し、上記と同様に、受信したパケットの宛先ＩＰアドレスが暗号化済とみなす通信の条件、または、未暗号化とみなす通信の条件として記憶されたＩＰアドレスと一致するかを確認する。 In addition, when the destination MAC address of the received packet does not match the MAC address stored as the communication condition that the destination MAC address of the received packet is considered encrypted and the communication condition that is considered as unencrypted Next, the record of the packet layer “network” and the analysis target “destination IP address” is read, and in the same manner as described above, the communication condition that the destination IP address of the received packet is regarded as encrypted or unencrypted It is confirmed whether or not the IP address stored as the communication condition to be considered matches.
その後、暗号化済とみなす通信の条件、または、未暗号化とみなす通信の条件に一致するまで、パケットのレイヤ「ネットワーク」であって解析対象「プロトコル番号」のレコード、パケットのレイヤ「トランスポート」であって解析対象「ポート番号」のレコード、パケットのレイヤ「アプリケーション」であって解析対象「パケットデータ部分」のレコードを順次読み出して、解析する処理を繰り返す。このように、パケットヘッダのみから既に暗号化された通信か否かを判定できない場合があり、データ部までチェックを要することもある。なお、最後のレコードを読み出して解析処理を行った結果、パケットが暗号化されているか否かを特定できない場合には、通信処理効率よりも安全性を重視して、パケットを未暗号化とみなす。 After that, until it matches the condition of communication considered to be encrypted or the condition of communication considered to be unencrypted, it is the packet layer “network” and the analysis target “protocol number” record, the packet layer “transport” ”And the analysis target“ port number ”record and the packet layer“ application ”and the analysis target“ packet data portion ”record are sequentially read and analyzed. In this way, it may not be possible to determine whether or not the communication is already encrypted from only the packet header, and the data part may need to be checked. Note that if it is not possible to determine whether the packet is encrypted as a result of reading and analyzing the last record, the packet is regarded as unencrypted, with an emphasis on safety rather than communication processing efficiency. .
図３の説明に戻って、判定部１２３は、識別部１２１または解析部１２２の結果を用いて、この結果に対応するパケットに施すトンネリングの処理の内容を判定する。例えば、判定部１２３は、宛先がトンネル対向側のＶＨＮＷ３でない場合には、トンネリング処理をしないと判定する。また、判定部１２３は、宛先がトンネル対向側の外部ネットワーク５の場合、つまり、例えば、送信元端末から受信したＬ２フレームまたはパケットの宛先がＶＨＮＷ３外の通信装置であると識別された場合には、カプセル化を行うと判定する。
Returning to the description of FIG. 3, the
また、判定部１２３は、宛先がトンネル対向側の内部ネットワーク、つまり送信元がＲＨＮＷ２の場合はＶＨＮＷ３であって、かつ、パケットに暗号化が施されている場合、つまり、例えば、送信元端末から受信したＬ２フレームまたはパケットの宛先がＶＨＮＷ３内の通信装置であると識別され、且つ、パケットに暗号化が施されていると解析された場合には、カプセル化を行うと判定する。
In addition, the
また、判定部１２３は、宛先がトンネル対向側の内部ネットワークであって、且つ、パケットに暗号化が施されていない場合には、暗号化およびカプセル化の処理を施すと判定する。すなわち、判定部１２３は、受信したＬ２フレームに対して暗号・認証・署名などのセキュリティ処理と、Ｌ２カプセリング処理（Ｌ２フレームに対するトンネリングのためのＩＰカプセリング処理）とを実行すると判定する。一例を挙げると、判定部１２３は、受信したＬ２フレームに対してＬ２ＴＰｖ３（Ｌ２ Tunneling Protocol version ３）とＩＰＳｅｃとを組み合わせた処理や、ＯｐｅｎＶＰＮ（登録商標）による処理を実行するように判定する。
Further, the
トンネリング処理部１２４は、判定部１２３によって判定されたＬ２トンネリング処理を実行する。具体的には、トンネリング処理部１２４は、パケットの宛先がトンネル対向側の外部ネットワーク５である場合には、カプセル化を行う。また、トンネリング処理部１２４は、パケットの宛先が内部ネットワークであって、パケットが暗号化されたデータである場合、つまり、端末からの通信の宛先がＶＨＮＷ３内である場合であって、パケットが暗号化されたデータである場合には、カプセル化を行う。また、トンネリング処理部１２４は、パケットの宛先が内部ネットワークであって、パケットが暗号化されていないデータである場合には、暗号化およびカプセル化の処理を行う。
The
例えば、受信したＬ２フレームに対して暗号・認証・署名などのセキュリティ処理と、Ｌ２カプセリング処理とを実行すると判定された場合には、トンネリング処理１２４は、図５の（Ｂ）に示すように、Ｌ２フレームをＬ２ＶＰＮの暗号化対象部分として暗号化などの処理をして、Ｌ２トンネルヘッダやその他のヘッダと、宛先ＩＰアドレスと、送信元ＩＰアドレスとを付加する。ここで、Ｌ２トンネルヘッダやその他のヘッダは、Ｌ２ＶＰＮを識別する識別情報などを格納する領域として利用されてもよい。例えば、トンネリング処理部１２４は、判定部１２３の判定結果や、自身が実行した処理内容を示す情報をＬ２トンネルヘッダやその他のヘッダに格納する。また、付加された宛先ＩＰアドレスは、ＶＨＧＷ２００側のトンネル終端装置のグローバルアドレスが格納される領域である。また、付加された送信元ＩＰアドレスは、ＣＰＥ１００側のトンネル終端装置のグローバルアドレスが格納される領域である。
For example, when it is determined to execute security processing such as encryption / authentication / signature and L2 encapsulation processing on the received L2 frame, the
また、例えば、受信したＬ２フレームに対してＬ２カプセリング処理のみを実行するように判定された場合には、トンネリング処理部１２４は、図５の（Ｃ）に示すように、Ｌ２フレームに、トンネルヘッダやその他のヘッダと、宛先ＩＰアドレスと、送信元ＩＰアドレスとを付加する。
For example, when it is determined that only the L2 encapsulation process is performed on the received L2 frame, the
また、受信したＬ２フレームをＬ２スイッチやブリッジ機能によってＬ２レイヤの処理で転送するように判定された場合には、具体的には、宛先が同じＲＨＮＷ２内である場合は、トンネリング処理部１２４は特別な処理は実行しない。
In addition, when it is determined that the received L2 frame is transferred by the L2 switch or the bridge function by the processing of the L2 layer, specifically, when the destination is in the same RHNW2, the
通信部１１０は、トンネリング処理部１２４によって処理されたパケットをＶＨＧＷ２００に対して送信する。また、通信部１１０は、Ｌ２スイッチやブリッジ機能によってパケットをＲＨＮＷ２内の通信装置に転送する。
The
ここで、図６および図７を用いて、トンネリング処理について説明する。図６は、第１の実施形態に係るネットワークシステムのトンネリング処理を説明するための図である。図７は、パケットの内容とトンネリング処理との対応関係を説明するための図である。図６に示すように、通信制御装置１００は、宛先がトンネル対向側の外部ネットワーク５の場合、つまり、例えば、送信元端末１０から受信したＬ２フレームまたはパケットの宛先がＶＨＮＷ３外の端末３０であると識別された場合には、カプセル化を行って、ＶＨＮＷ３外の端末３０に対してパケットを転送する（図６の（１）参照）。
Here, the tunneling process will be described with reference to FIGS. 6 and 7. FIG. 6 is a diagram for explaining tunneling processing of the network system according to the first embodiment. FIG. 7 is a diagram for explaining the correspondence between the packet contents and the tunneling process. As shown in FIG. 6, the
また、通信制御装置１００は、宛先がトンネル対向側の内部ネットワークであって、かつ、パケットに暗号化が施されている場合、つまり、例えば、送信元端末１０から受信したＬ２フレームまたはパケットの宛先がＶＨＮＷ３内の通信装置２０であると識別され、且つ、パケットに暗号化が施されている場合には、カプセル化およびヘッダの一部を行って、ＶＨＮＷ３内の通信装置２０に対してパケットを送信する（図６の（２）参照）。
Further, the
また、通信制御装置１００は、宛先がトンネル対向側の内部ネットワークであって、且つ、パケットに暗号化が施されていない場合には、暗号化およびカプセル化の処理を施すと判定する。すなわち、通信制御装置１００は、受信したＬ２フレームに対してＶＰＮの暗号・認証・署名などのセキュリティ処理と、Ｌ２カプセリング処理とを実行し、ＶＨＮＷ３内の通信装置２０に対してパケットを送信する（図６の（３）参照）。
Further, the
つまり、図７に示すように、通信制御装置１００は、宛先がトンネル対向側の外部ネットワーク５である場合には、パケットが暗号化済であるか否かにかかわらず、カプセル化を行う。また、通信制御装置１００は、宛先がトンネル対向側の内部ネットワークである場合には、パケットが暗号化済であれば、カプセル化を行い、パケットが未だ暗号化されていないのであれば、ＶＰＮの暗号化処理をパケットに施す。
That is, as illustrated in FIG. 7, when the destination is the
例えば、図６に例示する拠点Ｂの端末２０から拠点Ａの端末１０へ著作権保護機能が施された映像をストリーム配信する場合は、既に暗号化されているパケットに対してさらにＶＰＮにより暗号化する必要がないため、ＶＰＮの暗号化処理による通信制御装置１００、通信制御装置２００に対する過負荷を回避することで、通信品質のよいストリーミングを実現できる。
For example, when streaming a video with a copyright protection function from the terminal 20 at the base B illustrated in FIG. 6 to the terminal 10 at the base A, the encrypted packet is further encrypted by VPN. Therefore, streaming with good communication quality can be realized by avoiding overload on the
図３の説明に戻って、通信制御装置１００からパケットを受信する通信制御装置２００の構成を説明する。通信制御装置２００は、通信部２１０、トンネリング処理部２２０を有する。なお、ここでの説明では、通信制御部２００は、受信したパケットのトンネリング処理を解除し、該パケットを宛先に送信するための処理部のみを有する場合を説明するが、これに限定されるものではなく、通信制御装置１００と同様の構成であってもよく、通信制御装置１００の制御部１２０および記憶部１３０に相当する制御部および記憶部を備えていてもよい。
Returning to the description of FIG. 3, the configuration of the
通信部２１０は、ＬＡＮインターフェースや、ＷＡＮインターフェースなどであり、Ｌ２フレームやパケットを送受信する。具体的には、通信部２１０は、Ｌ２トンネルを介してＣＰＥ１００からＬ２トンネリング処理されたパケットを受信する。また、後述するトンネリング処理部２４０による処理後のパケットをＶＨＮＷ３内或いは、インターネットに送信する。
The
トンネリング処理部２４０は、Ｌ２トンネル対向側からの通信を受信して通信に施されている処理を識別して、通信内容全体に対する暗号化などのセキュリティ処理及びＬ２カプセリング処理の解除、又は、通信に対するＬ２カプセリングの解除を実行する。具体的には、トンネリング処理部２４０は、ＣＰＥ１００との間でＬ２トンネルの接続を確立して、トンネル経由で受信したパケットのＬ２トンネルヘッダやその他のヘッダに格納された識別情報などを参照して、対応したＬ２トンネリング処理を解除してパケットを取り出す。
The tunneling processing unit 240 receives the communication from the opposite side of the L2 tunnel and identifies the processing applied to the communication, and cancels the security processing such as encryption for the entire communication content and the L2 capsuling processing, or the communication Releases L2 encapsulation. Specifically, the tunneling processing unit 240 establishes an L2 tunnel connection with the
上述したように、通信部２１０は、暗号化などのセキュリティ処理及びＬ２カプセリング処理、又は、Ｌ２カプセリング処理が解除された状態で、ＶＨＮＷ３、又はインターネットを宛先とする通信を実行する。
As described above, the
ここで、通信制御装置２００から通信制御装置１００へ送信する場合の処理について説明する。まず、通信制御装置２００は、通信部２１０によってＬ２フレームまたはパケットを受信すると、Ｌ２フレームまたはパケットの宛先および送信元を、宛先ＭＡＣアドレス（送信元ＭＡＣアドレス）や宛先ＩＰアドレス（送信先ＩＰアドレス）に基づいて識別する。そして、通信制御装置２００は、宛先が外部ネットワーク５宛である場合には、そのまま宛先へ送信する。
Here, processing in the case of transmission from the
また、通信制御装置２００は、Ｌ２フレームまたはパケットの宛先が、ＲＨＮＷ２宛であって、且つ、送信元がＶＨＮＷ３内の通信装置である場合には、暗号化済であればトンネリング処理部１２４によりカプセル化が行われた後、トンネル対向側の通信装置１００へパケットを送信する。また、暗号化済でなければ、トンネリング処理部１２４により暗号化およびカプセル化の処理が施された後、トンネル対向側の通信装置１００へパケットを送信する。
Further, when the destination of the L2 frame or packet is addressed to RHNW2 and the transmission source is a communication device in VHNW3, the
また、通信制御装置２００は、Ｌ２フレームまたはパケットの宛先がＲＨＮＷ２内宛であって、且つ、送信元が外部ネットワーク５上の通信装置である場合には、トンネリング処理部１２４による単純なカプセリングのみによるトンネリングによりＲＨＮＷ２内の通信装置１００へＬ２フレームまたはパケットを転送する。
Further, the
［通信制御装置の構成］
次に、図８を用いて、第１の実施形態に係る通信制御装置１００の処理の手順を説明する。図８は、第１の実施形態に係る通信制御装置１００による処理の手順を説明するためのフローチャートである。
[Configuration of communication control unit]
Next, a processing procedure of the
通信制御装置１００は、通信部１１０がＬ２フレームまたはパケットを受信すると（ステップＳ１０１）、判定部１２３が、宛先がトンネル対向側であるか判定する（ステップＳ１０２）。ここで、判定部１２３が、宛先がトンネル対向側ではないと判定した場合には、通信部１１０は、トンネリング処理を行わずに、宛先へパケットを送信する（ステップＳ１０３）。
When the
また、判定部１２３は、宛先がトンネル対向側であると判定した場合には、宛先がトンネル対向側の内部ネットワークであるか判定する（ステップＳ１０４）。この結果、判定部１２３が、宛先がトンネル対向側の内部ネットワークでないと判定した場合には、トンネリング処理部１２４が、カプセル化を行い（ステップＳ１０５）、通信部１１０が、トンネル対向側の端末へパケットを送信する（ステップＳ１０９）。
Further, when determining that the destination is on the tunnel facing side, the determining
また、判定部１２３は、宛先がトンネル対向側の内部ネットワークであると判定した場合には、パケットが暗号化済であるか否かを判定する（ステップＳ１０６）。この結果、判定部１２３が、パケットが暗号化済であると判定した場合には、カプセル化を行い（ステップＳ１０７）、通信部１１０が、トンネル対向側の端末へパケットを送信する（ステップＳ１０９）。
If the
また、判定部１２３が、パケットが暗号化済でないと判定した場合には、トンネリング処理部１２４が、暗号化およびカプセル化の処理をパケットに施し（ステップＳ１０８）、通信部１１０が、トンネル対向側の端末へパケットを送信する（ステップＳ１０９）。
If the
（第１の実施形態の効果）
上述してきたように、第１の実施形態にかかる通信制御装置１００では、第１のネットワーク２内の端末１０から受信した通信データの宛先が、第２のネットワーク３内であるか、または、外部ネットワーク５であるかを識別する。そして、通信制御装置１００は、識別された通信データの宛先が第２のネットワーク３内である場合には、該通信データが暗号化されたデータであるか否かを解析する。そして、通信制御装置１００は、通信データの宛先が外部ネットワーク５である場合、または、解析された通信データが暗号化されたデータである場合には、通信データに対して通信制御装置２００とトンネル通信するためのカプセリング処理を実行し、端末２０へ送信する。また、通信制御装置１００は、解析された通信データが暗号化されたデータでない場合には、通信データに対して少なくとも暗号化処理及び通信制御装置２００とトンネル通信するためのカプセリング処理を実行し、端末２０へ送信する。その後、通信制御装置２００は、通信制御装置１００から送信された通信データを受信して、トンネリング処理の解除を実行し、トンネリング処理が解除された通信データを、宛先へ送信する。このため、パケットの通信内容を確認し、必要に応じて暗号化処理を行うことができる。この結果、トンネリング処理を行う通信において、処理負荷を抑えつつ、通信性能の低下を低減し、効率的に通信を行うことが可能である。
(Effects of the first embodiment)
As described above, in the
（第２の実施形態）
上述した第１の実施形態においては、パケットを受信するたびに、受信したパケットが暗号化済であるか否かを判定する場合を説明した。しかし、一度解析を行った通信については、それ以後、解析結果を流用することで、解析処理を省略し、次回以降のパケット解析の処理を簡略化することができる。
(Second Embodiment)
In the first embodiment described above, the case where it is determined whether or not the received packet has been encrypted each time a packet is received has been described. However, for the communication that has been analyzed once, the analysis result is diverted thereafter, so that the analysis processing can be omitted and the packet analysis processing from the next time onward can be simplified.
そこで、以下、第２の実施形態では、解析結果として通信の状態を記憶し、同一の通信については、記憶した通信の状態に基づいて、暗号化を行うか否かを判定する場合について説明する。図９は、第２の実施形態に係る通信制御装置の構成の一例を示す図である。ここで、第２の実施形態に係る通信制御装置１００Ａは、第１の実施形態に係る通信制御装置１００と比較して、通信状態記憶部１３２と、照会部１２５とを備える点が異なる。以下、これらを中心に説明する。なお、第１の実施形態と同様の部分については説明を省略する。
Therefore, in the second embodiment, a case will be described in which the communication state is stored as an analysis result, and for the same communication, it is determined whether to perform encryption based on the stored communication state. . FIG. 9 is a diagram illustrating an example of the configuration of the communication control apparatus according to the second embodiment. Here, the
通信状態記憶部１３２は、解析部１２２によって解析されたパケットに関する情報とともに、解析部１２２によって解析された通信データが暗号化されたデータであるか否かを示す解析結果を記憶する。具体的には、通信状態記憶部１４２は、解析部１２２により解析済のパケットに関する情報を記憶する。
The communication
例えば、通信状態記憶部１３２は、図１０に例示するように、通信の状態として、通信を識別する番号である「エントリ」と、「送信元ＭＡＣアドレス」と、「宛先ＭＡＣアドレス」と、「送信元ＩＰアドレス」と、「宛先ＩＰアドレス」と、「プロトコル番号」と、「送信元ポート番号」と、「宛先ポート番号」と、受信したパケットが暗号化済であるか未暗号化であるかを示す情報である「状態」とを対応付けて記憶する。なお、全項目について記録することは必須ではなく、「状態」を特定できる１以上の項目からなる組であればよい。また、ここで記憶されたエントリは、例えば、エントリに該当するパケットが最後に通信されてから所定時間経過した後に削除してもよく、永続的に記憶されるべき情報ではない。また、その通信のセッションやコネクションの状態をさらに記憶し、セッションやコネクションの終了を確認した後に削除してもよい。
For example, as illustrated in FIG. 10, the communication
照会部１２５は、識別部１２１で識別されたパケットに関する情報が、通信状態記憶部１３２に記憶された解析されたパケットに関する情報と一致するか照会し、一致する情報が前記記憶部に記憶されている場合には、該解析されたパケットに関する情報に対応する解析結果を取得し、判定部１２３に通知する。
The inquiry unit 125 inquires whether the information on the packet identified by the
例えば、照会部１２５は、識別部１２１が識別したパケットが通信状態記憶部１３２内の情報に該当するものである場合には、そのパケットが該当する状態を判定部１２３に通知する。これにより、解析処理を行うことなく、パケットが暗号化済であるか未暗号化であるかを特定できる。また、通信状態記憶部１３２内の情報をハッシュ値化して記憶しておき、入力されたパケットのうち識別部１２１が識別した個所のハッシュ値を計算し、ハッシュ値同士で一致不一致を比較することで特定してもよい。これにより高速に照会を行うことが可能となる。
For example, when the packet identified by the
解析部１２２は、第１の実施形態において説明した解析処理を行うとともに、解析処理により、パケットの宛先がトンネル対向の内部ネットワークであって、このパケットの全体または一部が暗号化されている、または、暗号化されていないことの状態を特定し、このパケット情報と暗号化済・暗号化されていないに関する状態を通信状態記憶部１３２に記憶させる。
The
また、解析部１２２は、照会部１２５によって照会した結果、識別部１２１で識別されたパケットに関する情報が、通信状態記憶部１３２に記憶された解析されたパケットに関する情報と一致しない場合にのみ、パケットが暗号化されたデータであるか否かを解析する。
Further, as a result of the inquiry made by the inquiry unit 125, the
次に、図１１を用いて、第２の実施形態に係る通信制御装置による処理を説明する。図１１は、第２の実施形態に係る通信制御装置による処理の手順を説明するためのフローチャートである。情報処理装置１００Ａの判定部１２３は、第１の実施形態に係る通信制御装置１００と同様に、宛先がトンネル対向側の内部ネットワークであるか判定する（ステップＳ２０４）。
Next, processing by the communication control apparatus according to the second embodiment will be described with reference to FIG. FIG. 11 is a flowchart for explaining a procedure of processing performed by the communication control apparatus according to the second embodiment. The
この結果、宛先がトンネル対向側の内部ネットワークである場合には、照会部１２５は、受信したパケットについて、通信状態記憶部１３２に該当する状態情報として、暗号化済であることを示す情報があるか否かを照会する（ステップＳ２０６）。この結果、通信状態記憶部１３２に該当する情報がある場合には、解析処理を行うことなく、トンネリング処理部１２４が、カプセル化を行い（ステップＳ２０８）、通信部１１０が、トンネル対向側の端末へパケットを送信する（ステップＳ２１０）。
As a result, when the destination is the internal network on the opposite side of the tunnel, the inquiry unit 125 has information indicating that the received packet is already encrypted as the state information corresponding to the communication
（第２の実施形態の効果）
このように、第２の実施形態に係る通信制御装置１００Ａでは、解析された通信データに関する情報とともに、解析された通信データが暗号化されたデータであるか否かを示す解析結果を記憶する。そして、通信制御装置１００Ａは、通信データに関する情報が、記憶された解析された通信データに関する情報と一致するか照会し、一致する情報が記憶されている場合には、該解析された通信データに関する情報に対応する解析結果を取得する。そして、照会した結果、識別された通信データに関する情報が、記憶された解析された通信データに関する情報と一致しない場合にのみ、通信データが暗号化されたデータであるか否かを解析する。このため、一度解析を行った通信については、解析結果を流用することで、解析処理を省略し、次回以降のパケット解析処理を簡略化することができるため、処理負荷を軽減することが可能である。
(Effect of 2nd Embodiment)
As described above, the
（第３の実施形態）
上述した第１、２の実施形態において、暗号特定情報記憶部１３１に受信したパケットが暗号化済か否かを特定するための情報を記憶する場合を説明した。この暗号特定情報記憶部１３１に記憶された情報を更新できるようにしてもよい。つまり、既に暗号化されているパケットは、通信処理効率化のため、通信制御装置のトンネリング処理にてあえて暗号化する必要がないという趣旨であるとする場合、十分な安全性の暗号処理によりトンネル対向側へ送信すべきパケットを平文・または不十分な安全性の暗号化により送信してしまうことになるため、記憶部には正確で、タイムリーな情報が記憶されているべきである。
(Third embodiment)
In the first and second embodiments described above, the case has been described in which information for specifying whether or not the received packet is encrypted is stored in the encryption specifying
そこで、以下、第３の実施形態では、暗号特定情報記憶部１３１に記憶された情報を更新できる場合について説明する。図１２は、第３の実施形態に係る通信制御装置の構成の一例を示す図である。ここで、第３の実施形態に係る通信制御装置１００Ｂは、第２の実施形態に係る通信制御装置１００Ａと比較して、更新部１２６を備える点が異なる。以下、これらを中心に説明する。なお、第１の実施形態および第２の実施形態と同様の部分については説明を省略する。
Therefore, in the third embodiment, a case where the information stored in the encryption specific
更新部１２６は、暗号特定情報記憶部１３１の情報を更新する。例えば、図示していない外部サーバなどが、脆弱性が発見されたプロトコルや危殆化した暗号技術やこれを用いたプロトコルに関する最新の情報を管理し、危殆化した技術によって処理されたデータや通信を暗号化済とは判定しないように設定するため、これらのプロトコルや暗号技術を用いたアプリケーションによる暗号化に関する情報を更新情報として更新部１２６に通知する。そして、更新部１２６は、外部サーバから受信した更新情報をもとに、暗号特定情報記憶部１３１に情報を追記したり、または、暗号化済とみなす通信の条件を更新・削除したりする。
The
例えば、通信制御装置１００Ｂは、外部サーバが適切な証明書に基づいた認証を行った後に、外部サーバから更新情報を受信し、暗号特定情報記憶部１３１の情報を更新することが望ましい。
For example, it is desirable that the
（第４の実施形態）
上述した第１〜３の実施形態において、宛先が外部ネットワークの場合、または、宛先が内部ネットワークであって且つパケットが暗号化済である場合には、さらにＶＰＮにおける暗号化を実施することなくカプセル化の処理を行う場合を説明した。しかし、これに限定されるものではなく、カプセル化の処理を行うとともに、ヘッダの一部を秘匿化する処理を行うようにしてもよい。そこで、以下に説明する第４の実施形態では、宛先が外部ネットワークの場合、または、宛先が内部ネットワークであって且つパケットが暗号化済である場合に、カプセル化の処理を行うとともに、ヘッダの一部を秘匿化する処理を行うことを説明する。ヘッダの一部とは、例えば、送信元や宛先のＭＡＣアドレス、送信元や宛先のＩＰアドレス、プロトコル番号や送信元や宛先のポート番号などのうち１つ以上からなるものを指す。これらの情報は、従来のホームネットワークではＮＡＴやＮＡＰＴの処理によって外部にさらされることのない情報である場合があるため、少なくともこれらの情報は秘匿化されることが望ましい場合がある。
(Fourth embodiment)
In the first to third embodiments described above, when the destination is an external network, or when the destination is an internal network and the packet has been encrypted, the capsule is not performed without performing encryption in the VPN. An explanation has been given of the case where the processing is performed. However, the present invention is not limited to this. Encapsulation processing may be performed and processing for concealing a part of the header may be performed. Therefore, in the fourth embodiment described below, when the destination is an external network, or when the destination is an internal network and the packet is encrypted, the encapsulation process is performed and the header A process of concealing a part will be described. The part of the header refers to, for example, a source or destination MAC address, a source or destination IP address, a protocol number, a source or destination port number, or the like. Since these pieces of information may not be exposed to the outside by NAT or NAPT processing in a conventional home network, it may be desirable that at least these pieces of information be concealed.
例えば、通信制御装置１００は、ＲＨＮＷ２内の通信装置からインターネット側をあて先とするＬ２フレームまたはパケットを受信し、宛先が外部ネットワークの場合、または、宛先が内部ネットワークであって且つＬ２フレームまたはパケットが暗号化済である場合には、受信したＬ２フレームまたはパケットのヘッダの所定の部分に秘匿処理を実行する。そして、通信制御装置１００は、秘匿処理を実行したＬ２フレームまたはパケットに対して、トンネリングのためのカプセリング処理を実行して、対向する通信制御装置２００に送信する。通信制御装置２００は、受信したカプセリング処理されたパケットのカプセリングを解除して、秘匿処理されたＬ２フレームまたはパケットを取り出す。そして、通信制御装置２００は、取り出したＬ２フレームまたはパケットのうち秘匿処理された情報を復元してインターネット側の宛先に送信する。
For example, the
また、通信制御装置２００も同様に、インターネット側からＲＨＮＷ２内宛のＬ２フレームまたはパケットを受信すると、受信したＬ２フレームまたはパケットのヘッダに秘匿処理を実行する。そして、通信制御装置２００は、秘匿処理を実行したＬ２フレームまたはパケットに対して、カプセリング処理を実行して、対向する通信制御装置１００に送信する。通信制御装置１００は、受信したカプセリング処理されたＬ２フレームまたはパケットのカプセリングを解除して、秘匿処理されたＬ２フレームまたはパケットを取り出す。そして、通信制御装置１００は、取り出したＬ２フレームまたはパケットのうち秘匿処理された情報を復元してＲＨＮＷ２内の宛先の通信装置に送信する。
Similarly, when the
また、カプセル化を行う際のヘッダの一部の秘匿化について、秘匿化には通信制御装置間で共有している値で、秘匿化する対象部分とＸＯＲをとった値に置き換えることとしてもよい。この値は所定期間経過のたびに更新するのが望ましい。通信制御装置間で時刻同期しておき、所定の時間経過ごとに装置間で共通のルールで更新してもよく、または、いずれかの装置からのメッセージ通知などの契機により、鍵交換プロトコル（例えば、Diffie-Hellman鍵交換など）を用いて新たな値を生成してもよい。または、通信制御装置間で共有している共通のルールに基づいて、転置暗号や置換暗号によって秘匿化してもよい。秘匿化した際は、トンネルのパケットヘッダ等に、秘匿化していることと秘匿化に適用している技術やルール、秘匿化している箇所を識別できる情報を付加することで、受信する側の通信制御装置は、この付加された情報を識別して対応する箇所に対して復元処理を行うこととしてもよい。また、秘匿処理後のＬ２フレームなどのチェックサムを再計算して置換えることとしてもよい。このように、第４の実施形態にかかる通信制御装置１００では、ヘッダ情報の一部分を秘匿化するので、通信におけるセキュリティを向上させることが可能である。
Further, regarding the concealment of a part of the header when encapsulating, the concealment may be replaced with a value that is shared between communication control devices, and the value obtained by XORing the target part to be concealed. . It is desirable to update this value every time a predetermined period has elapsed. The communication control devices may be synchronized in time and updated with a common rule between devices every predetermined time, or a key exchange protocol (e.g., a message notification from any device) , Diffie-Hellman key exchange, etc.) may be used to generate new values. Alternatively, it may be concealed using a transposed cipher or a replacement cipher based on a common rule shared between communication control apparatuses. When concealing, communication on the receiving side is added to the tunnel packet header, etc. by adding information that can identify the concealment, technology and rules applied to concealment, and concealment The control device may identify the added information and perform a restoration process on the corresponding location. Alternatively, the checksum of the L2 frame after the concealment process may be recalculated and replaced. Thus, in the
（第５の実施形態）
これまで第１〜第４の実施形態を説明したが、本願に係る実施形態は、第１〜第４の実施形態に限定されるものではない。すなわち、これらの実施形態は、その他の様々な形態で実行されることが可能であり、種々の省略、置き換え、変更を行うことができる。
(Fifth embodiment)
Although the first to fourth embodiments have been described so far, the embodiment according to the present application is not limited to the first to fourth embodiments. That is, these embodiments can be executed in various other forms, and various omissions, replacements, and changes can be made.
上述した実施形態におけるＣＰＥ１００とＶＨＧＷ２００との間のＬ２トンネルは、Ｌ２ＶＰＮによるトンネルと、Ｌ２カプセリングによるトンネルの両方を確立しておき、判定部の判定結果に応じて、利用するトンネルを選択するようにしてもよい。
As the L2 tunnel between the
また、ＩＰｖ４／ｖ６の回線ルータはＶＨＮＷ３側に配置されてもよいし、ＲＨＮＷ２側に配置されてもよい。例えば、上述した図１の例ではＩＰｖ４／ｖ６の回線ルータがＶＨＮＷ３側に配置されているが、これに限定されることはなく、ＲＨＮＷ２側に配置されてもよく、ＩＰｖ４の回線ルータはＶＨＮＷ３側、ＩＰｖ６の回線ルータはＲＨＮＷ２側に配置されてもよく、またこの逆であってもよいものである。 The IPv4 / v6 line router may be arranged on the VHNW3 side or may be arranged on the RHNW2 side. For example, in the example of FIG. 1 described above, the IPv4 / v6 line router is arranged on the VHNW3 side, but the present invention is not limited to this, and the IPv4 line router may be arranged on the VHNW3 side. The IPv6 line router may be arranged on the RHNW2 side or vice versa.
また、ＣＰＥ１００とＶＨＧＷ２００の間で１本のＬ２トンネルのみを利用する場合は、判定部の判定結果に基づいて、Ｌ２ＶＰＮの処理「セキュリティ処理(暗号、認証、署名)＋Ｌ２カプセリング」をするか、Ｌ２カプセリングの処理をするかを都度選択的に行ってもよい。ここで、例えば、デフォルトの処理をＬ２ＶＰＮとして、選択的にＬ２ＶＰＮのうちセキュリティ処理を実施しないＬ２カプセリングの処理をしてもよく、この逆に、デフォルトの処理をＬ２カプセリングとして、選択的にさらにセキュリティ処理を実施することでＬ２ＶＰＮの処理をしてもよい。
Further, when only one L2 tunnel is used between the
また、ＲＨＮＷ２またはＶＨＮＷ３とインターネットなどの外部ネットワーク５とがＬ２トンネル経由でアクセスする場合、Ｌ２−カプセリングによる通信を行うものとして説明した。しかしながら、このような通信では、拠点間を同一セグメント化する必要がない場合は、Ｌ２フレーム全体をトンネル対向側に送信することは必須ではないため、実施形態はこれに限定されるものではなく、例えば、この通信をＬ３カプセリング、つまり、ＩＰ−ｉｎ−ＩＰ、ＩＰ tunnelingやその他トンネリング処理を適用してもよい。
Moreover, when RHNW2 or VHNW3 and
また、暗号特定情報記憶部１３１には、一般的な暗号技術やプロトコルに基づいた情報を記憶させてもよく、内部ネットワークで特有の用途で使用される暗号技術やプロトコルがある場合は、その情報を利用者が設定してもよい。
Further, the encryption specific
また、ＶＨＮＷ３は、仮想化されたネットワークとして説明したが、仮想化されていない物理的なネットワークであってもよい。また、ＲＨＮＷ２は、物理的なネットワークとして説明したが、仮想化されたネットワークであってもよい。また、ＲＨＮＷ２とＶＨＮＷ３とを同一セグメントのＬ２ネットワークとして扱えるようにするため、ＣＰＥ１００とＶＨＧＷ２００とをＬ２ＶＰＮで接続するものとして説明したが、これに限らず、Ｌ３以上のＶＰＮによって接続してもよい。
Further, although the
また、通信の送信元や宛先に基づいて秘匿処理の要否を判断するものとして説明したが、これに限らず、通信プロトコルや通信のメッセージの種類や内容に基づいて秘匿処理の要否を判断してもよい。または、通信プロトコル、通信のメッセージ、送信元、送信先のうちいずれか一以上からなる組合せに基づいて秘匿処理の要否を判断してもよい。この場合、ＣＰＥ１００やＶＨＧＷ２００は、秘匿処理をする／しない通信プロトコルやメッセージに関する条件も事前に記憶しておくこととなる。また、ＲＨＮＷ２とＶＨＮＷ３との間の通信において、例えばセキュリティよりも低遅延であることが要求される特定の通信がある場合は、通信プロトコルやメッセージに基づいてその通信を特定して、セキュリティ処理を省略してカプセリング処理のみを実施することとしてもよく、または、カプセリング処理と秘匿処理を実施することとしてもよい。
In addition, although it has been described that the necessity of the confidential processing is determined based on the transmission source and destination of the communication, the present invention is not limited to this, and the necessity of the confidential processing is determined based on the communication protocol and the type and content of the communication message. May be. Alternatively, the necessity of the concealment process may be determined based on a combination of one or more of a communication protocol, a communication message, a transmission source, and a transmission destination. In this case, the
また、秘匿処理は、単純に、Ｌ２フレームであれば、Ｌ２ヘッダ情報とＬ３ヘッダ情報のすべて、パケットであれば、Ｌ３ヘッダ情報のすべて、を秘匿処理対象とするものであってもよい。 In addition, the concealment process may simply target all the L2 header information and L3 header information for the L2 frame, and all the L3 header information for the packet.
ＶＨＧＷ２００は、仮想化された装置として説明したが、仮想化されていない物理的な装置であってもよい。ＣＰＥ１００は、物理的な装置として説明したが、仮想化された装置であってもよい。
Although the
ＲＨＮＷ２内やＶＨＮＷ３内の通信装置は、仮想化されたサーバなどでもよく、仮想化されていない物理的なサーバなどであってもよい。また、サーバではない通信装置でもよい。 The communication device in the RHNW2 or VHNW3 may be a virtual server or the like, or may be a physical server that is not virtualized. Further, a communication device that is not a server may be used.
上述した実施形態では、ホームネットワーク、ホームゲートウェイを例に説明したが、実施形態はこれに限定されるものではなく、例えば、対象が企業ネットワークなどでもよい。 In the above-described embodiment, the home network and the home gateway have been described as examples. However, the embodiment is not limited thereto, and the target may be, for example, a corporate network.
ＣＰＥ１００やＶＨＧＷ２００の各装置の分散・統合の具体的形態（例えば、図２の形態）は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合することができる。一例を挙げると、判定部１２３とトンネリング処理部１２４とを一つの処理部として統合してもよく、一方、トンネリング処理部１２４を暗号化させる暗号処理部と、トンネリング処理を実行するトンネリング部とに分散してもよい。また、各装置は、アクセスネットワーク／インターネットなどの外部ネットワーク５と通信するためのＩＰルーティング機能を備えていてもよく、ＩＰルーティングは別の装置に具備するものであってもよい。さらに、各装置は、ＮＡＴやＤＨＣＰ、ＤＮＳ、ファイアウォールなどに係る一般的なルータの機能を備えてもよく、または、これらの機能を別の装置に具備するものであってもよい。つまり、一般的なルータに接続される装置であってもよく、この場合はＬ２通信のための処理を行う装置となる。
The specific form (for example, the form of FIG. 2) of the dispersion / integration of each device of the
また、宛先識別部１２０をＣＰＥ１００の外部装置としてネットワーク経由で接続するようにしてもよく、或いは、判定部１２３及びトンネリング処理部１２４を別の装置がそれぞれ有し、ネットワークに接続されて協働することで、上述したＣＰＥ１００の機能を実現するようにしてもよい。
Further, the
また、Ｌ２トンネルを形成させる機能を有する装置を、ＣＰＥ１００及びＶＨＧＷ２００の外部装置としてネットワーク経由で接続されて協働することで、ＣＰＥ１００とＶＨＧＷ２００との間にＬ２トンネルを形成させるようにしてもよい。
Further, an L2 tunnel may be formed between the
上述した実施形態で説明したＣＰＥ１００及びＶＨＧＷ２００は、あらかじめ用意されたプログラムをコンピュータで実行することで実現することもできる。そこで、以下では、図３に示した通信制御装置１００と同様の機能を実現するプログラムを実行するコンピュータの一例を説明する。
The
図１３は、第４の実施形態に係る通信制御プログラムを実行するコンピュータ１０００を示す図である。図１３に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
FIG. 13 is a diagram illustrating a
メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
The
ここで、図１３に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログムモジュール１０９３およびプログラムデータ１０９４を記憶する。第４の実施形態に係る通信制御プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。具体的には、ＣＰＥ１００と同様の機能を実現する場合、上記実施形態で説明した通信部１１０と同様の情報処理を実行する通信ステップと、識別部１２１と同様の情報処理を実行する識別ステップと、解析部１２２と同様の情報処理を実行する解析ステップと、判定部１２３と同様の情報処理を実行する判定ステップと、トンネリング処理部１２４と同様の情報処理を実行するトンネリング処理ステップとが記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。
Here, as shown in FIG. 13, the hard disk drive 1090 stores, for example, an OS (Operating System) 1091, an
また、上記実施形態で説明したデータベースに記憶されるデータのように、プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュールやプログラムデータを必要に応じてＲＡＭ１０１２に読み出して、通信ステップと、宛先識別ステップと、判定ステップと、トンネリング処理ステップとを実行する、或いは、通信ステップと、トンネリング処理ステップとを実行する。
Further, like the data stored in the database described in the above embodiment, data used for information processing by the program is stored as program data, for example, in the hard disk drive 1090. Then, the
なお、プログラムに係るプログラムモジュールやプログラムデータは、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュールやプログラムデータは、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
Note that the program module and program data relating to the program are not limited to being stored in the hard disk drive 1090, but may be stored in a removable storage medium and read out by the
これらの実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。 These embodiments and modifications thereof are included in the invention disclosed in the claims and equivalents thereof as well as included in the technology disclosed in the present application.
１ ネットワークシステム
２ ＲＨＮＷ
３ ＶＨＮＷ
４ ネットワーク
５ 外部ネットワーク
１００ 通信制御装置（ＣＰＥ）
１１０、２１０ 通信部
１２０ 制御部
１２１ 識別部
１２２ 解析部
１２３ 判定部
１２４、２２０ トンネリング処理部
１２５ 照会部
１２６ 更新部
１３０ 記憶部
１３１ 暗号特定情報記憶部
１３２ 通信状態記憶部
２００ 通信制御装置（ＶＨＧＷ）
1
3 VHNW
4
110, 210
Claims (9)
前記第１の装置は、
前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第２のネットワーク内であるか、または、前記外部ネットワークであるかを識別する識別部と、
前記識別部で識別された通信データの宛先が前記外部ネットワークである場合、当該通信データのうち所定の一部分として、少なくとも当該通信データのヘッダ情報に含まれる秘匿化対象部分としてＭＡＣアドレス、ＩＰアドレス、プロトコル番号およびポート番号のうち一つ以上を秘匿化し、該通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行する第１のトンネリング処理部と、
前記第１のトンネリング処理部による処理後の通信データを前記第２の装置へ送信する第１の通信部と、
を備え、
前記第２の装置は、
前記第１の装置から送信された通信データを受信して、前記第１のトンネリング処理部による処理の解除を実行する第２のトンネリング処理部と、
前記第２のトンネリング処理により解除された通信データを、当該通信データの宛先へ送信する第２の通信部と、
を備えたことを特徴とするネットワークシステム。 A network system comprising a first device in a first network and a second device in a second network capable of communicating with the first network, wherein an external network can communicate with at least the second network Because
The first device includes:
An identification unit for identifying whether a destination of communication data received from a terminal in the first network is in the second network or the external network;
If the destination of the communication data identified in the previous SL identification portion is the external network, as a predetermined part of the communication data, MAC address as concealing the subject portion included in the header information of at least the communication data, IP address, , concealed one or more of the protocol number and port number, and the first tunneling processor you perform encapsulation processing for the second device and a tunnel communication to the communication data,
A first communication unit that transmits communication data after processing by the first tunneling processing unit to the second device;
With
The second device includes:
A second tunneling processing unit that receives the communication data transmitted from the first device and executes release of processing by the first tunneling processing unit;
A second communication unit that transmits the communication data released by the second tunneling process to a destination of the communication data;
A network system characterized by comprising:
前記第１のトンネリング処理部は、前記識別部で識別された通信データの宛先が前記外部ネットワークである場合、または、前記解析部で解析された通信データが暗号化されたデータである場合には、当該通信データのうち所定の一部分として、少なくとも当該通信データのヘッダ情報の前記秘匿化対象部分を秘匿化し、前記通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行し、前記解析部で解析された通信データが暗号化されたデータでない場合には、前記通信データに対して少なくとも暗号化処理及び前記第２の装置とトンネル通信するためのカプセリング処理を実行することを特徴とする請求項１に記載のネットワークシステム。In the case where the destination of the communication data identified by the identifying unit is the external network, or the communication data analyzed by the analyzing unit is encrypted data, the first tunneling processing unit Then, as a predetermined part of the communication data, at least the part to be concealed of the header information of the communication data is concealed, and a capsuling process for performing tunnel communication with the second device is performed on the communication data When the communication data analyzed by the analysis unit is not encrypted data, the communication data is subjected to at least encryption processing and encapsulation processing for tunnel communication with the second device. The network system according to claim 1, wherein:
前記識別部で識別された通信データに関する情報が、前記記憶部に記憶された解析された通信データに関する情報に該当するか照会し、該当する情報が前記記憶部に記憶されている場合には、該解析された通信データに関する情報に対応する解析結果を取得する照会部と、
をさらに備え、
前記解析部は、前記照会部によって照会した結果、前記識別部で識別された通信データに関する情報が、前記記憶部に記憶された解析された通信データに関する情報に該当しない場合にのみ、前記通信データが暗号化されたデータであるか否かを解析することを特徴とする請求項２または３に記載のネットワークシステム。 A storage unit for storing an analysis result indicating whether or not the communication data analyzed by the analysis unit is encrypted data together with information on the communication data analyzed by the analysis unit;
When the information on the communication data identified by the identification unit corresponds to the information on the analyzed communication data stored in the storage unit, and the corresponding information is stored in the storage unit, An inquiry unit for obtaining an analysis result corresponding to the information on the analyzed communication data;
Further comprising
As a result of the inquiry by the inquiring unit, the analyzing unit is categorized only when the information on the communication data identified by the identifying unit does not correspond to the information on the analyzed communication data stored in the storage unit. 4. The network system according to claim 2 , wherein the network system analyzes whether the data is encrypted data. 5.
前記第１の装置によって実行される、
前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第２のネットワーク内であるか、または、前記外部ネットワークであるかを識別する識別工程と、
前記識別工程で識別された通信データの宛先が前記外部ネットワークである場合、当該通信データのうち所定の一部分として、少なくとも当該通信データのヘッダ情報に含まれる秘匿化対象部分としてＭＡＣアドレス、ＩＰアドレス、プロトコル番号およびポート番号のうち一つ以上を秘匿化し、該通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行する第１のトンネリング処理工程と、
前記第１のトンネリング処理工程による処理後の通信データを前記第２の装置へ送信する第１の通信工程と、
を備え、
前記第２の装置によって実行される、
前記第１の装置から送信された通信データを受信して、前記第１のトンネリング処理工程による処理の解除を実行する第２のトンネリング処理工程と、
前記第２のトンネリング処理により解除された通信データを、当該通信データの宛先へ送信する第２の通信工程と、
を含んだことを特徴とする通信制御方法。 A network system comprising a first device in a first network and a second device in a second network capable of communicating with the first network, wherein an external network can communicate with at least the second network A communication control method executed by
Executed by the first device;
An identification step for identifying whether a destination of communication data received from a terminal in the first network is in the second network or the external network;
If the destination of the previous SL communication data identified by the identification process is the external network, as a predetermined part of the communication data, MAC address as concealing the subject portion included in the header information of at least the communication data, IP address, , concealed one or more of the protocol number and port number, and the first tunneling process you perform encapsulation processing for the second device and a tunnel communication to the communication data,
A first communication step of transmitting communication data after processing by the first tunneling processing step to the second device;
With
Executed by the second device;
A second tunneling process step of receiving communication data transmitted from the first device and executing cancellation of the process by the first tunneling process step;
A second communication step of transmitting the communication data released by the second tunneling process to a destination of the communication data;
The communication control method characterized by including.
前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第１のネットワークと接続される第２のネットワーク内であるか、又は、当該第２のネットワークに接続される外部ネットワークであるかを識別する識別部と、
前記識別部で識別された通信データの宛先が前記外部ネットワークである場合、当該通信データのうち所定の一部分として、少なくとも当該通信データのヘッダ情報に含まれる秘匿化対象部分としてＭＡＣアドレス、ＩＰアドレス、プロトコル番号およびポート番号のうち一つ以上を秘匿化し、該通信データに対して前記第２のネットワーク内の第２の装置とトンネル通信するためのカプセリング処理を実行する第１のトンネリング処理部と、
前記第１のトンネリング処理部による処理後の通信データを前記第２の装置へ送信する第１の通信部と、
を備えたことを特徴とする通信制御装置。 A communication control device in the first network,
The destination of the communication data received from the terminal in the first network, the first network and that it is within the second network that will be connected, or is the external network that is connected to the second network An identification part for identifying
If the destination of the communication data identified in the previous SL identification portion is the external network, as a predetermined part of the communication data, MAC address as concealing the subject portion included in the header information of at least the communication data, IP address, , concealed one or more of the protocol number and port number, the first tunneling process you perform encapsulation processing for the second device and the tunnel communication in the second network for the communication data And
A first communication unit that transmits communication data after processing by the first tunneling processing unit to the second device;
A communication control apparatus comprising:
前記第１のネットワーク内の通信装置から送信された通信データを受信して、受信した通信データに対して実行されているヘッダ情報に含まれる秘匿化対象部分であるＭＡＣアドレス、ＩＰアドレス、プロトコル番号およびポート番号のうちの一つ以上の秘匿化処理及びトンネル通信するためのカプセリング処理、又は、トンネル通信するためのカプセリング処理の解除を実行するトンネリング処理部と、
前記トンネリング処理により解除された通信データを、当該通信データの宛先へ送信する通信部と、
を備えたことを特徴とする通信制御装置。 A communication control device in a second network connected to the first network,
The MAC address, the IP address, and the protocol number that are the concealment target parts included in the header information that is received from the communication data transmitted from the communication device in the first network and is received for the received communication data A tunneling processing unit that executes concealment processing for one or more of the port numbers and capsuling processing for tunnel communication, or canceling the capsuling processing for tunnel communication;
A communication unit that transmits the communication data released by the tunneling process to a destination of the communication data;
A communication control apparatus comprising:
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2013099612A JP6075871B2 (en) | 2013-05-09 | 2013-05-09 | Network system, communication control method, communication control apparatus, and communication control program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2013099612A JP6075871B2 (en) | 2013-05-09 | 2013-05-09 | Network system, communication control method, communication control apparatus, and communication control program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2014220707A JP2014220707A (en) | 2014-11-20 |
| JP6075871B2 true JP6075871B2 (en) | 2017-02-08 |
Family
ID=51938777
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2013099612A Active JP6075871B2 (en) | 2013-05-09 | 2013-05-09 | Network system, communication control method, communication control apparatus, and communication control program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6075871B2 (en) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP5986044B2 (en) * | 2013-07-02 | 2016-09-06 | 日本電信電話株式会社 | Network system, communication control method, communication control apparatus, and program |
Family Cites Families (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007036834A (en) * | 2005-07-28 | 2007-02-08 | Canon Inc | Encryption apparatus, program, recording medium, and method |
| JP4473851B2 (en) * | 2006-10-31 | 2010-06-02 | 株式会社東芝 | Telephone system and its encryption processing method, communication terminal, and connection device |
| JP2012075070A (en) * | 2010-09-30 | 2012-04-12 | Fujitsu Ltd | Management program, device and method, router, and information processing program and method |
| JP5893546B2 (en) * | 2012-11-30 | 2016-03-23 | 日本電信電話株式会社 | Network system, communication control method, communication control apparatus, and communication control program |
-
2013
- 2013-05-09 JP JP2013099612A patent/JP6075871B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2014220707A (en) | 2014-11-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11283772B2 (en) | Method and system for sending a message through a secure connection | |
| JP3793083B2 (en) | Method and apparatus for providing security by network address translation using tunneling and compensation | |
| US7937581B2 (en) | Method and network for ensuring secure forwarding of messages | |
| US7647492B2 (en) | Architecture for routing and IPSec integration | |
| US20160380894A1 (en) | Path maximum transmission unit handling for virtual private networks | |
| US20150304427A1 (en) | Efficient internet protocol security and network address translation | |
| JP2009111437A (en) | Network system | |
| CN102088438B (en) | Method for solving address conflict of Internet protocol security (IPSec) Client and IPSec Client | |
| CN110832806B (en) | ID-based data plane security for identity-oriented networks | |
| JP6075871B2 (en) | Network system, communication control method, communication control apparatus, and communication control program | |
| JP5893546B2 (en) | Network system, communication control method, communication control apparatus, and communication control program | |
| Hassan et al. | Enhanced encapsulated security payload a new mechanism to secure internet protocol version 6 over internet protocol version 4 | |
| Jaiswal | IP Security architecture, application, associated database, and mode | |
| Zhang | The solution and management of VPN based IPSec technology | |
| Alhoaimel | Performance Evaluation of IPv6 and the Role of IPsec in Encrypting Data | |
| Hadi | An analytical study for Security in IPv6 | |
| Al-Abaychi et al. | Evaluation of VPNs | |
| JP2005252464A (en) | Communication method, communication terminal and gateway unit |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20150805 |
|
| RD02 | Notification of acceptance of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7422 Effective date: 20151001 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20151005 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20160513 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20160524 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20160722 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20170104 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20170106 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6075871 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |