JP4566855B2 - 通信セキュリティ方針管理装置 - Google Patents

Description

本発明は、通信セキュリティ方針管理装置に関する。

従来、公衆回線のようなネットワークであっても、あたかも専用回線であるかのように利用できるバーチャルプライベートネットワーク（Virtual Private Network。以下、ＶＰＮネットワーク）が知られており、このようなネットワークにおいては、多数のユーザ端末がＶＰＮ装置を介してネットワークで結ばれ、ＶＰＮ装置により通信データを暗号化または復号してユーザ端末間のデータ通信が行われている。
このようなＶＰＮネットワークにおいて、各ＶＰＮ装置の動作を規定するために、セキュリティポリシーデータベース（Security Policy Database。以下、ＳＰＤ）が使用される。操作員がＳＰＤをＶＰＮ管理装置に入力し、ＶＰＮ管理装置がこれを各ＶＰＮ装置に送信する。

このようなセキュリティ管理の例は、特許文献１に示される。特許文献１には、セキュリティサーバ１がセキュリティポリシーを管理するとともに、これをセキュリティクライアントに配布し、セキュリティクライアントがこのセキュリティポリシーを用いてアクセス制御を行う技術が開示されている。

特開２００４―９４４０１号公報

ＶＰＮネットワークの規模は様々であり、これに応じてＳＰＤのエントリ数も変動する。数拠点からなる小規模なＶＰＮネットワークの場合は、ＳＰＤは十数エントリであり、数十〜数百拠点を含む大規模なＶＰＮネットワークの場合は、ＳＰＤは数万〜数十万エントリとなる場合がある。

しかしながら、従来のＶＰＮネットワーク、とくに大規模なＶＰＮネットワークにおけるＳＰＤの管理においては、作成・追加・削除等に関連する操作員の作業が大量となり、効率的に行えないという問題があった。たとえば、数万〜数十万エントリを有するＳＰＤを操作員が個別に管理するのは困難であり、作業ミスを誘発する原因ともなる。

この発明は、このような問題点を解決するためになされたものであり、ＳＰＤの管理を効率化する通信セキュリティ方針管理装置を提供することを目的とする。

この発明に係る通信セキュリティ方針管理装置は、複数のＶＰＮ装置を用いて暗号通信を行うネットワークにおいて使用され、ＶＰＮ装置の動作を規定する複数の規則を含むＳＰＤを生成する、通信セキュリティ方針管理装置であって、ネットワークは、複数のＶＰＮ装置にそれぞれ対応してネットワークの一部をなす送信元拠点および宛先拠点を含み、通信セキュリティ方針管理装置は、規則の少なくとも一部を、複数のアドレス帳に共通して含まれる共通名称を用いて表したものを含む、マスターポリシーと、送信元拠点および宛先拠点に対応して設けられるアドレス帳であって、共通名称と、それぞれ異なる１つまたは複数のアドレスとを関係付けるアドレス帳とを入力として受け取り、マスターポリシーと、アドレス帳によって共通名称に関係付けられる１つまたは複数のアドレスとに基づいて、ＳＰＤを生成するものである。

ＳＰＤの少なくとも一部は、ＶＰＮ装置を介して行われる通信の送信元アドレスおよび宛先アドレスを含むものであってもよい。
ネットワークは、複数のＶＰＮ装置にそれぞれ対応してネットワークの一部をなす拠点を含み、アドレス帳は、拠点に対応して設けられ、抽象化された表現は、複数のアドレス帳に共通して含まれる表現であり、それぞれのアドレス帳は、共通して含まれる表現と、それぞれ異なる１つまたは複数のアドレスとを関係付けるものであってもよい。
さらに暗号通信の鍵を生成して配送するものであってもよい。
規則は、ＶＰＮ装置が通信のデータを暗号化するという動作を規定する、秘匿規則を含み、秘匿規則は、暗号化されたデータを宛先拠点に対応するＶＰＮ装置が復号するという指定を含むものであってもよい。
通信セキュリティ方針管理装置は、マスターポリシーと、送信元拠点に対応するアドレス帳によって共通名称に関係付けられる１つまたは複数のアドレスとに基づいて、第１のＳＰＤの送信元アドレスおよび第２のＳＰＤの宛先アドレスを生成し、マスターポリシーと、宛先拠点に対応するアドレス帳によって共通名称に関係付けられる１つまたは複数のアドレスとに基づいて、第１のＳＰＤの宛先アドレスおよび第２のＳＰＤの送信元アドレスを生成するものであってもよい。

また、この発明に係る通信セキュリティ方針管理装置は、複数のパケットフィルタリング装置を用いて通信を行うネットワークにおいて使用され、パケットフィルタリング装置の動作を規定する複数の規則を含むＳＰＤを生成する、通信セキュリティ方針管理装置であって、ネットワークは、複数のパケットフィルタリング装置にそれぞれ対応してネットワークの一部をなす送信元拠点および宛先拠点を含み、規則は、パケットフィルタリング装置が通信のデータを透過するという動作を規定する、透過規則と、パケットフィルタリング装置が通信のデータを廃棄するという動作を規定する、廃棄規則とを含み、通信セキュリティ方針管理装置は、規則の少なくとも一部を、複数のアドレス帳に共通して含まれる共通名称を用いて表したものを含む、マスターポリシーと、送信元拠点および宛先拠点に対応して設けられるアドレス帳であって、共通名称と、それぞれ異なる複数のアドレスとを関係付けるアドレス帳とを入力として受け取り、マスターポリシーと、アドレス帳によって共通名称に関係付けられる１つまたは複数のアドレスとに基づいて、ＳＰＤを生成するものである。

この発明によれば、通信セキュリティ方針管理装置は、ＳＰＤの生成を効率化するので、ＳＰＤの管理を効率化することができる。

以下、この発明の実施の形態を添付図面に基づいて説明する。
実施の形態１．
図１は、本発明の実施の形態１に係るＶＰＮ（Virtual Private Network）ネットワーク１００を含む構成を示す図である。
ＶＰＮネットワーク１００は、インターネットプロトコル（ＩＰ）に従った通信を媒介するＷＡＮ（Wide Area Network）を含む。このＶＰＮネットワーク１００には、ＶＰＮの管理を行うＶＰＮ管理装置１が接続されている。ＶＰＮ管理装置１は、複数のＶＰＮ装置の管理および監視と、暗号化のための鍵の生成および配送とを行うものである。また、このＶＰＮ管理装置１は、ＶＰＮ装置の動作を規定する規則であるＳＰＤの生成および配送を行う、通信セキュリティ方針管理装置としても機能する。
また、ＶＰＮネットワーク１００には、ＶＰＮ管理装置１の管理に従ってＶＰＮの機能を実現する、第１〜第３ＶＰＮ装置であるＶＰＮ装置５０Ａ〜５０Ｃが接続されている。このＶＰＮ装置５０Ａ〜５０Ｃは、それぞれの動作を規定するＳＰＤに従って各拠点に対応するネットワーク間の通信を制御し、通信経路の安全を確保するものである。ＶＰＮ管理装置１は、このＳＰＤを生成し、ＶＰＮ装置５０Ａ〜５０Ｃに送信することによってＶＰＮネットワーク１００の管理を行うものである。

ＶＰＮネットワーク１００は、ＶＰＮ装置５０Ａ〜５０Ｃにそれぞれ対応する拠点を含む。この拠点は、第１〜第３拠点としてのネットワークである拠点６０Ａ〜６０Ｃであり、それぞれがＬＡＮ（Local Area Network）を含む。ここでは１つの拠点が複数のＬＡＮを含むが、これは単一のＬＡＮからなってもよい。

図２は、ＶＰＮネットワーク１００に関するＩＰアドレスの構成を示す図である。拠点６０Ａ〜６０Ｃのそれぞれについて、拠点に含まれるネットワークのＩＰアドレス（ネットワークアドレス）、拠点に含まれるネットワークのサブネットマスク、拠点に対応するＶＰＮ装置のＩＰアドレスが示されている。なお、サブネットマスクの「２５５．２５５．２５５．０」という表記は、ＩＰアドレスを示す３２ビットのうち、ビットが１である部分、すなわち先頭２４ビットがネットワークアドレスを表し、ビットが０である部分、すなわち残りの８ビットがホストアドレスを表すことを示す。

また、図２には、拠点６０Ａ〜６０Ｃにそれぞれ含まれる目的別ネットワークとして、第１目的別ネットワークであるＩＰ電話用ネットワーク、および、第２目的別ネットワークである経理システム用ネットワークに含まれるＩＰアドレスの範囲が示されている。
ここで、「／」記号より前の部分がネットワークアドレスを示し、「／」記号より後の部分がサブネットマスクのビット数を示す。すなわち、たとえば拠点６０ＡにおけるＩＰ電話用ネットワークでは、サブネットマスクが先頭から２５ビットすなわち「２５５．２５５．２５５．１２８」となり、これに含まれる端末のＩＰアドレスは、１０．１．１．１２９〜１０．１．１．２５４となる。

拠点６０Ａは、上記のＶＰＮ装置５０Ａと、経理システムサーバ９０と、ＩＰ電話用端末８２および８４とを含む。
拠点６０Ｂは、上記のＶＰＮ装置５０Ｂと、ＩＰ電話用端末８６と、経理システム用端末９６とを含む。
拠点６０Ｃは、上記のＶＰＮ装置５０Ｃと、ＩＰ電話用端末８８と、経理システム用端末９８とを含む。
図１に、ＶＰＮ管理装置１、ＩＰ電話用端末８２〜８８、経理システムサーバ９０、ならびに経理システム用端末９６および９８のＩＰアドレスを示す。なお、ＩＰ電話用端末８２〜８８はＩＰ電話用ネットワークにも含まれ、経理システムサーバ９０と、経理システム用端末９６および９８とは経理システム用ネットワークにも含まれる。

ＩＰ電話用端末８２〜８８は、ＩＰ電話用ネットワーク内で互いに通信することによってＩＰ電話機能（ＩＰプロトコルを使用した電話機能）を実現するものであり、通信に使用されるポート番号は不定である。
経理システム用端末９６および９８は、経理システム用ネットワーク内で、ＴＣＰプロトコルを使用して経理システムサーバ９０と通信することによって、経理システムに関する処理を実行するものである。この通信に使用されるポート番号は１０２４〜４０９６である。

図３〜図５を用いて、ＶＰＮ管理装置１と、その内部にあらかじめ格納されるデータ、すなわち操作員等が外部から入力するデータの構成とを示す。
図３に、ＶＰＮ管理装置１の構成を示す。ＶＰＮ管理装置１は、演算手段および記憶手段を含むコンピュータである。この記憶手段は、マスターポリシー格納手段１０と、アドレス帳格納手段１２と、ＳＰＤ格納手段１４とを含む。
マスターポリシー格納手段１０には、ＳＰＤを生成するもととなる基本ルールである、マスターポリシー３０が格納される。
アドレス帳格納手段１２には、拠点６０Ａ〜６０Ｃのそれぞれについて、目的別ネットワークの名称と、その目的別ネットワークに含まれるＩＰアドレスの範囲との対応を定義する、第１〜第３拠点アドレス帳である拠点アドレス帳３２Ａ〜３２Ｃが格納される。ＳＰＤ格納手段１４には、ＶＰＮ装置５０Ａ〜５０Ｃの動作をそれぞれ規定する、第１〜第３拠点ＳＰＤである拠点ＳＰＤ３４Ａ〜３４Ｃが格納される。
ここで、拠点アドレス帳３２Ａ〜３２Ｃおよび拠点ＳＰＤ３４Ａ〜３４Ｃは、それぞれ、拠点６０Ａ〜６０Ｃに対応するアドレス帳およびＳＰＤである。

ＶＰＮ管理装置１の演算手段は、マスターポリシー３０および拠点アドレス帳３２Ａ〜３２Ｃに基づいて拠点ＳＰＤ３４Ａ〜３４Ｃを生成する、ＳＰＤ生成手段２０を含む。このＳＰＤ生成手段２０は、マスターポリシー格納手段１０およびアドレス帳格納手段１２からマスターポリシー３０および拠点アドレス帳３２Ａ〜３２Ｃを入力として読み込む機能と、ＳＰＤ格納手段１４に拠点ＳＰＤ３４Ａ〜３４Ｃを出力として書き出す機能とを有する。

また、ＶＰＮ管理装置１の演算手段は、拠点ＳＰＤ３４Ａ〜３４ＣをＶＰＮネットワーク１００に送信する、ＳＰＤ送信手段２２を含む。このＳＰＤ送信手段２２は、ＳＰＤ格納手段から拠点ＳＰＤ３４Ａ〜３４Ｃを入力として読み込む機能と、読み込んだ拠点ＳＰＤ３４Ａ〜３４Ｃを出力として、ＶＰＮネットワーク１００上のＶＰＮ装置５０Ａ〜５０Ｃに向けて送信する機能とを有する。この送信はＳＰＤ送信手段２２が直接行うものであるが、これはＶＰＮ管理装置１に取り付けられてＶＰＮネットワーク１００との通信を行うネットワークインタフェース等に対する出力によって代替されてもよい。

図４に、マスターポリシー３０の例を示す。マスターポリシー３０は、２次元表形式の構造を持つデータである。各エントリが、通信における特定のパケットを指定する条件と、その条件に合致するパケットに対しての処理、すなわちそのパケットに対するＶＰＮ装置５０Ａ〜５０Ｃの動作とを含む。
図４の例では、エントリＲ１およびＲ２が、それぞれ、通信の条件として、送信元名称、宛先名称、送信元ポート番号範囲、宛先ポート番号範囲、プロトコル番号、送信元拠点、および宛先拠点を表す列を持ち、それに対応する処理として、アクションを表す列を持つ。

送信元名称および宛先名称は、それぞれ、通信の送信元および宛先を名称によって規定する。ここで、送信元および宛先は、「ＩＰ電話用ネットワーク」のように目的別ネットワークを表すものであってもよく、「経理システムサーバ」のように単一のコンピュータを表すものであってもよい。また、この例ではそれぞれ文字による名称を用いて定義されているが、これは後述の拠点アドレス帳３２Ａ〜３２Ｃの定義と整合するものであれば文字による名称でなくともよく、ＩＰアドレスや単一の数値等、他の形式のデータを用いて定義されてもよい。
このように、マスターポリシー３０は、ＳＰＤにおける送信元および宛先のアドレスを、それらが抽象化された表現である送信元名称および宛先名称に置き換えたものを含む。

送信元ポート番号範囲および宛先ポート番号範囲は、それぞれ、送信元および宛先において通信に使用されるポート番号の範囲を、下限および上限を定義することで規定する。ここで、「０〜０」という指定は、いかなるポート番号を使用した通信も含むことを示す。または、「１〜６５５３５」と記述してもよいし、いかなるポート番号を使用した通信も含むことを表す特定の文字列でもよい。
プロトコル番号は、通信に使用されるプロトコルのプロトコル番号を規定する。たとえばＴＣＰプロトコルはプロトコル番号６によって表される。また、「０」という指定は、いかなるプロトコルを使用した通信も含むことを示す。

送信元拠点および宛先拠点は、それぞれ、送信元および宛先に該当する拠点を規定する。たとえば、図１における経理システムサーバ９０から経理システム用端末９８への通信は、拠点６０Ａが送信元拠点であり、拠点６０Ｃが宛先拠点となる。図４の例におけるエントリＲ２では、送信元拠点に「第１拠点」という指定があり、これは第１拠点である拠点６０Ａを表す。指定される拠点は複数であってもよい。
また、「ＡＮＹ」という指定は、いかなる拠点による通信も含むことを示す。たとえばエントリＲ２は、送信元拠点は拠点６０Ａを表す「第１拠点」であり、宛先拠点が「ＡＮＹ」であるので、拠点６０Ａと、拠点６０Ｂおよび拠点６０Ｃとの間の通信を含むが、拠点６０Ｂと拠点６０Ｃとの間の通信は含まない。すなわち、拠点６０Ａを中心とするスター構造の通信を表す。
さらに、エントリＲ１は、送信元拠点および宛先拠点の両方が「ＡＮＹ」であるので、全拠点間の通信を含む。すなわちフルメッシュ通信を表す。

なお、本実施形態では「第１拠点」のように拠点の名称によって指定されるが、これは各拠点と一対一に対応するものであれば他の形式のデータでもよく、たとえばＶＰＮ装置５０Ａ〜５０ＣのＩＰアドレスであってもよい。
このように、マスターポリシー３０は、ＳＰＤにおける送信元および宛先の拠点を、それらが抽象化された表現、すなわち「ＡＮＹ」指定に置き換えたものを含む。

アクションは、ＶＰＮ装置５０Ａ〜５０Ｃの動作を規定する。「秘匿」は、その通信のデータを暗号化するという動作を規定する、秘匿規則を示す。
アクションは、これ以外の動作を含んでもよい。たとえば、「透過」として、その通信のデータを暗号化せずにそのままＶＰＮネットワーク１００に送信するという動作を規定する、透過規則が定義されてもよい。
なお、いずれのエントリの条件にも該当しない通信の要求に対しては、省略値として、その通信のデータを廃棄するという動作、すなわちその通信を許可しない動作（「廃棄」）を規定する、廃棄規則が適用される。または、省略値として、透過規則が適用されるようにしてもよい。この廃棄規則および透過規則は、省略値でなくともよく、たとえば特定の通信に対して、それぞれ「廃棄」および「透過」として明示的に指定されるものであってもよい。

図５に、拠点６０Ａ〜６０Ｃにそれぞれ対応する拠点アドレス帳３２Ａ〜３２Ｃの例を、それぞれ（Ａ）〜（Ｃ）として示す。拠点アドレス帳３２Ａ〜３２Ｃは、２次元表形式の構造を持つデータである。各エントリＲ１１〜Ｒ１６が、それぞれの拠点における、目的別ネットワークおよびコンピュータの名称と、アドレス（単一のＩＰアドレス、または複数のＩＰアドレスを含む範囲）との対応を定義し、これらを関係付ける。ここで、「／」記号より前の部分がネットワークアドレスを示し、「／」記号より後の部分がサブネットマスクのビット数を示す。サブネットマスクのビット数が３２であるときは、アドレスは単一のＩＰアドレスを示し、３２未満であるときは、アドレスは複数のＩＰアドレスを含む範囲を示す。

たとえば（Ａ）においては、「ＩＰ電話用ネットワーク」という名称を持つ目的別ネットワークに対応するアドレスとして、１０．１．１．１２９〜１０．１．１．２５４が定義され、また、「経理システムサーバ」という名称を持つコンピュータのアドレスとして、単一のＩＰアドレス１７２．１６．１．１００が定義されている。
また、目的別ネットワークの名称は、複数の拠点アドレス帳に共通して含まれる場合がある。たとえば「ＩＰ電話用ネットワーク」は、拠点アドレス帳３２Ａ〜３２Ｃのすべてに含まれている。ただし、同一の名称であっても、それぞれの拠点アドレス帳において、異なる端末に対応するアドレスが関係付けられる。
なお、名称は文字によって定義されているが、これは前述のマスターポリシー３０の定義と整合するものであれば他の形式によって定義されてもよい。

図６および図７を用いて、ＶＰＮ管理装置１が拠点ＳＰＤ３４Ａ〜３４Ｃを生成する際の処理について説明する。図６は処理の流れを示すフローチャートであり、図７は生成される拠点ＳＰＤ３４Ａ〜３４Ｃの構成を示す図である。また、マスターポリシー３０および拠点アドレス帳３２Ａ〜３２Ｃは、それぞれ図４および図５に示すものであるとする。

図６のフローチャートにおいて、まずＳＰＤ生成手段２０は、マスターポリシーのエントリ数に対応するカウンタ変数ｉを初期化する（ステップＳ１）。この例ではｉ＝１とする。
次に、ＳＰＤ生成手段２０は、マスターポリシー格納手段１０から、マスターポリシー３０のｉ行目のエントリを読み込む（ステップＳ２）。たとえばｉ＝１の場合は図４におけるエントリＲ１を読み込む。以下、ここで読み込まれたエントリを「処理中のマスターポリシーエントリ」と呼ぶ。

次に、ＳＰＤ生成手段２０は、送信元拠点に含まれる拠点の数に対応するカウンタ変数ｊを初期化する（ステップＳ３）。この例ではｊ＝１とする。
次に、ＳＰＤ生成手段２０は、処理中のマスターポリシーエントリにおいて、送信元拠点のうちｊ番目のものがどの拠点であるかを決定する（ステップＳ４）。たとえばｉ＝１の場合、該当する送信元拠点（図４のエントリＲ１の送信元拠点）の指定は「ＡＮＹ」であり全拠点を含む。さらにｊ＝１の場合、該当する拠点すなわち１番目の拠点は拠点６０Ａである。なお、本実施の形態において、「ＡＮＹ」指定における１番目〜３番目の拠点はそれぞれ拠点６０Ａ〜６０Ｃであるとする。

また、この指定がたとえば「ＡＮＹ」でなく、単一の拠点を指定したもの（たとえば「第１拠点」が指定されている図４のエントリＲ２における送信元拠点）である場合は、送信元拠点に含まれる拠点の数は１であり、該当の拠点が１番目の拠点となる。
以下、ここで決定された送信元拠点である拠点を「処理中の送信元拠点」と呼ぶ。
次に、ＳＰＤ生成手段２０は、処理中の送信元拠点に対応する拠点アドレス帳を読み込む（ステップＳ５）。たとえば処理中のマスターポリシーエントリがエントリＲ１であり、かつｊ＝１の場合は、拠点６０Ａに対応する拠点アドレス帳３２Ａ、すなわち図５の（Ａ）が読み込まれる。

次に、ＳＰＤ生成手段２０は、処理中のマスターポリシーエントリにおける送信元名称に対応するＩＰアドレスまたはその範囲を、ステップＳ４で読み込んだ拠点アドレス帳に基づいて得る（ステップＳ６）。たとえばｉ＝１かつｊ＝１の場合、該当する送信元名称（図４のエントリＲ１の送信元名称）の指定は「ＩＰ電話用ネットワーク」である。拠点アドレス帳３２Ａには、エントリＲ１１に、「ＩＰ電話用ネットワーク」という名称に対応するアドレスとして「１０．１．１．１２８／２５」、すなわち１０．１．１．１２９〜１０．１．１．２５４の範囲が指定されているので、ＳＰＤ生成手段２０はこのアドレスを得る。このアドレスは、拠点ＳＰＤのエントリを生成する際の送信元アドレスとして、記憶手段の図示されない部分に格納される。

次に、ＳＰＤ生成手段２０は、宛先拠点に含まれる拠点の数に対応するカウンタ変数ｋを初期化する（ステップＳ７）。この例ではｋ＝１とする。
次に、ＳＰＤ生成手段２０は、処理中のマスターポリシー３０のエントリにおいて、宛先拠点のうちｋ番目のものがどの拠点であるかを決定する（ステップＳ８）。たとえばｉ＝１の場合、該当する宛先拠点（図４のエントリＲ１の宛先拠点）の指定は「ＡＮＹ」であり全拠点を含む。さらにｋ＝１の場合、該当する拠点すなわち１番目の拠点は拠点６０Ａである。
また、この指定がたとえば「ＡＮＹ」でなく、単一の拠点を指定したものである場合は、宛先拠点に含まれる拠点の数は１であり、該当の拠点が１番目の拠点となる。
以下、ここで決定された宛先拠点である拠点を「処理中の宛先拠点」と呼ぶ。

次に、ＳＰＤ生成手段２０は、処理中の送信元拠点と、処理中の宛先拠点とが等しいかどうかを判定する。等しい場合はステップＳ２０へと進み、そうでない場合はステップＳ１０へと進む。

ＳＰＤ生成手段２０は、処理中の宛先拠点に対応する拠点アドレス帳を読み込む（ステップＳ１０）。たとえば、処理中のマスターポリシーエントリがエントリＲ１であり、かつｋ＝２の場合、拠点６０Ｂに対応する拠点アドレス帳３２Ｂ、すなわち図５の（Ｂ）が読み込まれる。
次に、ＳＰＤ生成手段２０は、処理中のマスターポリシーエントリにおける宛先名称に対応するアドレスを、ステップＳ１０で読み込んだ拠点アドレス帳に基づいて得る（ステップＳ１１）。たとえば処理中のマスターポリシーエントリがエントリＲ１であり、かつｋ＝２の場合、該当する宛先名称の指定は「ＩＰ電話用ネットワーク」である。拠点アドレス帳３２Ｂには、エントリＲ１３に、「ＩＰ電話用ネットワーク」という名称に対応するアドレスとして「１０．１．２．１２８／２５」、すなわち１０．１．２．１２９〜１０．１．２．２５４の範囲が指定されているので、ＳＰＤ生成手段２０はこのアドレスを得る。このアドレスは拠点ＳＰＤのエントリを生成する際の宛先アドレスとして、記憶手段の図示されない部分に格納される。

次に、ＳＰＤ生成手段２０は、拠点ＳＰＤ３４Ａ〜３４Ｃそれぞれのエントリを生成する（ステップＳ１２）。
図７に、拠点６０Ａ〜６０Ｃにそれぞれ対応する拠点ＳＰＤ３４Ａ〜３４Ｃの例を、それぞれ（Ａ）〜（Ｃ）として示す。拠点ＳＰＤ３４Ａ〜３４Ｃは、２次元表形式の構造を持つデータである。各エントリＲ２１〜Ｒ２４、Ｒ３１〜Ｒ３３、およびＲ４１〜４３が、それぞれ、通信の条件として、送信元アドレス、宛先アドレス、送信元ポート番号範囲、宛先ポート番号範囲、およびプロトコル番号を表す列を持ち、その条件に合致するパケットに対する処理として、アクションを表す列を持つ。また、宛先アドレスが含まれる拠点に対応するＶＰＮ装置のＩＰアドレスを表す列も持つ。

これらの列のうち、送信元アドレスには、ステップＳ６で格納された送信元アドレスが指定され、宛先アドレスには、ステップＳ１１で格納された宛先アドレスが指定される。また、送信元ポート番号範囲、宛先ポート番号範囲、プロトコル番号、およびアクションの列には、処理中のマスターポリシーエントリに指定されたそれぞれの値がそのまま指定される。さらに、アクションが「秘匿」である場合には、宛先ＶＰＮ装置の列に、処理中の宛先拠点に対応するＶＰＮ装置のＩＰアドレスが指定される。これは、暗号化されたデータをＶＰＮ装置のいずれが復号するかに関する指定をすることに相当する。
アクションが「秘匿」でない場合には、宛先ＶＰＮ装置の列は空欄のままとなる。
こうして生成されたエントリは、処理中の送信元拠点に対応する拠点ＳＰＤに追加される。
例として、処理中のマスターポリシーエントリがエントリＲ１であり、処理中の送信元拠点が拠点６０Ａであり、処理中の宛先拠点が拠点６０Ｂであるとすると、拠点ＳＰＤ３４ＡにエントリＲ２１が追加されることになる。

さらに、送信元拠点と宛先拠点とを逆にしたＳＰＤのエントリが同様に生成される。すなわち、このＳＰＤのエントリにおいて、送信元アドレスには、ステップＳ１１で格納された宛先アドレスが指定され、宛先アドレスには、ステップＳ６で格納された送信元アドレスが指定される。また、ＳＰＤのエントリの送信元ポート番号範囲には、処理中のマスターポリシーエントリに指定された宛先ポート番号範囲が指定され、ＳＰＤのエントリの宛先ポート番号範囲には、処理中のマスターポリシーエントリに指定された送信元ポート番号範囲が指定される。プロトコル番号、およびアクションの列には、処理中のマスターポリシーエントリに指定されたそれぞれの値がそのまま指定される。さらに、アクションが「秘匿」である場合には、宛先ＶＰＮ装置の列に、処理中の送信元拠点に対応するＶＰＮ装置のＩＰアドレスが指定される。
こうして生成されたエントリは、処理中の宛先拠点に対応する拠点ＳＰＤに追加される。
上記の例、すなわち、処理中のマスターポリシーエントリがエントリＲ１であり、処理中の送信元拠点が拠点６０Ａであり、処理中の宛先拠点が拠点６０Ｂである場合においては、拠点ＳＰＤ３４ＢにエントリＲ３１が追加されることになる。

次に、ＳＰＤ生成手段２０は、カウンタ変数ｋと、宛先拠点に含まれる拠点の数との比較を行う（ステップＳ１３）。
ステップＳ１３における比較の結果としてｋが拠点の数より小さい場合、または、ステップＳ９における比較の結果として送信元拠点と宛先拠点とが等しい場合は、ｋを１増加させ（ステップＳ２０）、その後ステップＳ８へと戻る。そうでない場合は、ＳＰＤ生成手段２０は、カウンタ変数ｊと、送信元拠点に含まれる拠点の数との比較を行う（ステップＳ１４）。
ステップＳ１４における比較の結果、ｊが拠点の数より小さい場合は、ｊを１増加させ（ステップＳ２１）、その後ステップＳ４へと戻る。そうでない場合は、ＳＰＤ生成手段２０は、カウンタ変数ｉと、マスターポリシー３０のエントリ数との比較を行う（ステップＳ１５）。

ステップＳ１５における比較の結果、ｉがマスターポリシー３０のエントリ数より小さい場合は、ｉを１増加させ（ステップＳ２２）、その後ステップＳ２へと戻る。そうでない場合は、それまでに生成された拠点ＳＰＤ３４Ａ〜３４Ｃのそれぞれを、送信元拠点となる拠点ごとにまとまったデータとして、ＳＰＤ格納手段１４に格納する（ステップＳ１６）。拠点６０Ａ〜６０Ｃ用の拠点ＳＰＤ３４Ａ〜３４Ｃは、図７の例ではそれぞれ（Ａ）〜（Ｃ）で示されるものとして格納される。

こうして生成された拠点ＳＰＤ３４Ａ〜３４Ｃは、外部からの指示に応じて、ＳＰＤ送信手段２２により読み込まれ、それぞれ対応するＶＰＮ装置５０Ａ〜５０Ｃに向けて送信される。また、この送信は外部からの指示を待たずに自動的に行われるものであってもよい。

このように、実施の形態１に係るＶＰＮ管理装置１は、抽象化された表現を含むマスターポリシー３０と、その抽象化された部分を実際のＩＰアドレスに置き換えるための関係付けを含む拠点アドレス帳３２Ａ〜３２Ｃとに基づき、拠点ＳＰＤ３４Ａ〜３４Ｃを自動生成するので、多数のエントリを含む多数の拠点ＳＰＤを効率的に生成することができる。

たとえば、拠点数が１００であるＶＰＮネットワークに、新たな目的別ネットワークを定義し、そのフルメッシュ通信を暗号化するＳＰＤを追加したい場合を想定する。この場合、すべての拠点から、他のすべての拠点への通信に対応するエントリを生成する必要があるので、その総数は１００×９９＝９９００となる。従来のＶＰＮ管理装置では、この９９００のエントリを操作員が直接入力する必要がある。
これに対し、実施の形態１に係るＶＰＮ管理装置１は、送信元拠点および宛先拠点に「ＡＮＹ」が指定されたマスターポリシーの１つのエントリと、各拠点のアドレス帳において新たな目的別ネットワークを定義する各１つのエントリとに基づいて、上記の９９００のエントリを生成することができる。このため、操作員は、マスターポリシーの１つのエントリと、拠点アドレス帳の１００のエントリとを入力するだけでよい。このようにして操作員の作業が低減でき、拠点ＳＰＤが効率的に生成できる。

次に、拠点数が１００であるＶＰＮネットワークに、新たな拠点が追加される場合を想定する。この場合、すべての既存の拠点の拠点ＳＰＤに対して、新たな拠点への通信に対応するエントリを、新たな拠点が含む目的別ネットワークの数だけ追加することになる。従来のＶＰＮ管理装置では、操作員が、拠点ＳＰＤにエントリを追加する作業を、すべての１００の拠点について繰り返す必要がある。
これに対し、実施の形態１に係るＶＰＮ管理装置１は、「ＡＮＹ」指定により、新たな拠点を自動的に含む。このため、操作員は、新たな拠点に対応する拠点アドレス帳を入力して拠点ＳＰＤの再生成を行うだけでよい。このようにして拠点ＳＰＤが効率的に生成できる。このように、スケーラビリティーについても柔軟性を持たせることが可能である。
なお、既存の拠点が削除される場合も、すべての拠点についてエントリの削除を行う必要がなく、該当の拠点アドレス帳を削除した後に拠点ＳＰＤの再生成を行うだけでよいので、スケーラビリティーについても柔軟性を持たせることが可能である。
また、暗号化されたデータを復号する、宛先ＶＰＮ装置の指定も、自動生成される拠点ＳＰＤに含まれるので、この点についても拠点ＳＰＤの生成を効率化することができる。

上述の実施の形態１において、ＶＰＮ管理装置１は、ＳＰＤの生成および配布を行うとともに、暗号化に使用される鍵の生成および配送も行うものであるが、これは個別の装置によって行われてもよい。すなわち、ＶＰＮ管理装置１がＳＰＤの生成および配布を行い、これとは別に設けられた鍵管理装置が鍵の生成および配送を行う構成であってもよい。

また、実施の形態１において、図４に示されるマスターポリシー３０は、「アクション」の列に設定される値として通信データの暗号化を指示する「秘匿」を含むが、これは「秘匿」以外のアクションのみ設定可能であってもよい。すなわち、「透過」または「廃棄」のみが設定可能であってもよい。この場合、復号するＶＰＮ装置を指定することが不要となるので、図７に示される拠点ＳＰＤ３４Ａ〜３４Ｃは、「宛先ＶＰＮ装置」の列を持たないものであってもよい。
このようにすることにより、ＶＰＮ装置５０Ａ〜５０Ｃは、通信の暗号化を行わず、通信の両端の拠点に応じてデータを単に透過または廃棄する、単なるパケットフィルタリング装置として利用することができる。

本発明の実施の形態１に係るＶＰＮ管理装置１を含む、ＶＰＮネットワーク１００を示す図である。 ＶＰＮネットワーク１００に関するＩＰアドレスの構成を示す図である。 本発明の実施の形態１に係るＶＰＮ管理装置１の構成を示す図である。 本発明の実施の形態１に係るマスターポリシー３０を示す図である。 本発明の実施の形態１に係る拠点アドレス帳３２Ａ〜３２Ｃを示す図である。 ＶＰＮ管理装置１の処理の流れを示すフローチャートである。 ＶＰＮ管理装置１によって作成される拠点ＳＰＤ３４Ａ〜３４Ｃを示す図である。

符号の説明

１ ＶＰＮ管理装置（通信セキュリティ方針管理装置）、３０ マスターポリシー、３２Ａ〜３２Ｃ アドレス帳（拠点アドレス帳）、３４Ａ〜３４Ｃ ＳＰＤ（拠点ＳＰＤ）、５０Ａ〜５０Ｃ ＶＰＮ装置（パケットフィルタリング装置）、６０Ａ〜６０Ｃ 拠点、１００ ネットワーク（ＶＰＮネットワーク）。

Claims (6)

1. 複数のＶＰＮ装置を用いて暗号通信を行うネットワークにおいて使用され、前記ＶＰＮ装置の動作を規定する複数の規則を含むＳＰＤを生成する、通信セキュリティ方針管理装置であって、
   前記ネットワークは、前記複数のＶＰＮ装置にそれぞれ対応して前記ネットワークの一部をなす送信元拠点および宛先拠点を含み、
   前記通信セキュリティ方針管理装置は、
   前記規則の少なくとも一部を、複数のアドレス帳に共通して含まれる共通名称を用いて表したものを含む、マスターポリシーと、
   前記送信元拠点および前記宛先拠点に対応して設けられるアドレス帳であって、前記共通名称と、それぞれ異なる１つまたは複数のアドレスとを関係付けるアドレス帳と
   を入力として受け取り、
   前記マスターポリシーと、前記アドレス帳によって前記共通名称に関係付けられる前記１つまたは複数のアドレスとに基づいて、前記ＳＰＤを生成する、通信セキュリティ方針管理装置。
2. さらに前記暗号通信の鍵を生成して配送する、請求項１に記載の通信セキュリティ方針管理装置。
3. 前記規則は、前記ＶＰＮ装置が通信のデータを暗号化するという動作を規定する、秘匿規則を含み、
   前記秘匿規則は、前記暗号化されたデータを前記宛先拠点に対応する前記ＶＰＮ装置が復号するという指定を含む
   請求項１または２に記載の通信セキュリティ方針管理装置。
4. 複数のパケットフィルタリング装置を用いて通信を行うネットワークにおいて使用され、前記パケットフィルタリング装置の動作を規定する複数の規則を含むＳＰＤを生成する、通信セキュリティ方針管理装置であって、
   前記ネットワークは、前記複数のパケットフィルタリング装置にそれぞれ対応して前記ネットワークの一部をなす送信元拠点および宛先拠点を含み、
   前記規則は、前記パケットフィルタリング装置が通信のデータを透過するという動作を規定する、透過規則と、前記パケットフィルタリング装置が通信のデータを廃棄するという動作を規定する、廃棄規則とを含み、
   前記通信セキュリティ方針管理装置は、
   前記規則の少なくとも一部を、複数のアドレス帳に共通して含まれる共通名称を用いて表したものを含む、マスターポリシーと、
   前記送信元拠点および前記宛先拠点に対応して設けられるアドレス帳であって、前記共通名称と、それぞれ異なる複数のアドレスとを関係付けるアドレス帳と
   を入力として受け取り、
   前記マスターポリシーと、前記アドレス帳によって前記共通名称に関係付けられる前記１つまたは複数のアドレスとに基づいて、前記ＳＰＤを生成する、通信セキュリティ方針管理装置。
5. 前記ＳＰＤの少なくとも一部は、前記通信の送信元アドレスおよび宛先アドレスを含む、請求項１〜４のいずれか一項に記載の通信セキュリティ方針管理装置。
6. 前記通信セキュリティ方針管理装置は、
   前記マスターポリシーと、前記送信元拠点に対応する前記アドレス帳によって前記共通名称に関係付けられる前記１つまたは複数のアドレスとに基づいて、第１の前記ＳＰＤの前記送信元アドレスおよび第２の前記ＳＰＤの前記宛先アドレスを生成し、
   前記マスターポリシーと、前記宛先拠点に対応する前記アドレス帳によって前記共通名称に関係付けられる前記１つまたは複数のアドレスとに基づいて、第１の前記ＳＰＤの前記宛先アドレスおよび第２の前記ＳＰＤの前記送信元アドレスを生成する
   請求項５に記載の通信セキュリティ方針管理装置。

Images