JP4763560B2

JP4763560B2 - 接続支援装置

Info

Publication number: JP4763560B2
Application number: JP2006249533A
Authority: JP
Inventors: 治幸武吉; 直樹松岡; 敦史北田
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2006-09-14
Filing date: 2006-09-14
Publication date: 2011-08-31
Anticipated expiration: 2026-09-14
Also published as: US8312532B2; JP2008072473A; US20080072312A1

Description

本発明は、IPSec（IP Security Protocol）機能を具備したクライアントまたは装置が
、様々なネットワーク環境において、安全に遠隔のネットワークに対してリモートアクセスを行う方式に関する。

IPsecで利用されているインターネット鍵交換プロトコルの１つとして、ＩＫＥ(Internet Key Exchange)がある。ＩＫＥは、秘密鍵などのIPsec SA(IPsec security association)の設定に必要なパラメータを通信相手と交渉し、得られた値をシステムに設定する。

ＩＫＥのプロトコルは、「フェーズ１」と「フェーズ２」という二つのフェーズ(phase)に分けられている。フェーズ１では、ＩＫＥ自身のメッセージをやりとりする安全な通
信路を確立するためのＳＡ(Security Association, “Internet Security Association and Key Management Protocol(ISAKMP) SA”と呼ばれる)が確立される。フェーズ１では、ＩＫＥのメッセージを暗号化するための鍵やＩＫＥ自身の認証が行われる。フェーズ２では、フェーズ１で確立したISAKMP SA(IKE SA)を使って、IPsecの通信で使用される認証や暗号化のパラメータが交換され、最終的にIPsec SAが確立される。

フェーズ１には、メインモードとアグレッシブモードという２つのモードがあり、いずれかが使用される。メインモードでは、全部で6つのメッセージを交換することによってISAKMP SAが確立される。これに対し、アグレッシブモードでは、メインモードより少ない３つのメッセージ交換を通じてISAKMP SAが確立される。

IPSecにてクライアントからゲートウェイへリモートアクセスを行う場合には、一般的
に、アグレッシブモードが用いられる。しかし、アグレッシブモードでは、ＩＫＥの認証に用いる識別情報(ＩＤ(認証ＩＤ)：例えば、電子メールアドレス，ＦＱＤＮ(Fully Qualified Domain Name)等)が、ゲートウェイ及びクライアントで事前登録される。ＩＤはＩ
Ｄ認証時に平文状態でゲートウェイ−クライアント間を送受信される。このため、ＩＤが第三者に漏洩するおそれがあった。

例えば、ＷＥＰ(Wired Equivalent Privacy)キーの設定を必要としない公衆ホットスポットやホテルなどの無線ＬＡＮ(Radio Local Area Network)の通信エリアで、ＩＤと、このＩＤに対応する固定的なゲートウェイアドレスとが第三者に傍受される場合があった。この場合、第三者が、ゲートウェイやクライアントに対してリプレイ攻撃やスキャン攻撃のような外部攻撃を仕掛けるおそれがあった。

外部攻撃に対するゲートウェイの管理者が存在する場合には、管理者がスキャン攻撃などを検出し、その対応策を行うことができる場合がある。しかし、専門的知識を有した管理者が不在であるホームネットワークへのリモートアクセスについては、システムの脆弱性に基づく攻撃を第三者から仕掛けられるおそれがあった。

一方、メインモードでは、ＩＤ認証の際に、フェーズ１で生成された共有鍵でＩＤが暗号化される。このため、アグレッシブモードにおけるＩＤ漏洩の問題はない。もっとも、メインモードでは、アグレッシブモードと異なり、固定的なＩＰアドレスがクライアント認証用のＩＤとして用いられる。このため、メインモードは、ＩＰアドレスが変化しないインターネット上でのグローバルＩＰアドレスを有するノード間の通信のような拠点間接続で主に用いられている。

また、本発明に関連する先行技術として、Mobile IPで利用される管理サーバでの端末
管理情報やネットワーク上のVPN(Virtual Private Network)パス情報と組み合わせて、管理サーバがクライアントにデータを送信するためのVPNパスを、クライアントの移動に伴
ってシームレスに切り替える方法がある(例えば、特許文献１)。
特開２００２−１１１７３２号公報特開２００２−４４１４１号公報

本発明の目的は、アグレッシブモードよりもセキュリティ強度の高いメインモードの適用範囲を拡張することができる技術を提供することである。

本発明は、上述した課題を解決するために以下の手段を採用する。

即ち、本発明の第１の態様は、第１装置が第２装置との間でＩＫＥ(Internet Key Exchange)を通じてＶＰＮ(Virtual Private Network)を確立することを支援する装置であって、
ＩＫＥで用いられる第１装置の認証情報を受信し、この認証情報に基づいて、前記第１装置の鍵交換モードがメインモードか否かを判定するモード判定部と、
前記第１装置の鍵交換モードがメインモードである場合に、前記第１装置が前記第２装置との間でＩＫＥを実行する場合に使用すべき通信鍵の情報と、前記認証情報とを含むＶＰＮ設定要求を前記第２装置に送信するＶＰＮ設定要求送信部と、
前記第２装置からＶＰＮ設定要求に対する応答を受信した場合に、前記通信鍵と前記第２装置のＩＰ(Internet Protocol)アドレスとを前記第１装置に通知する通知部と
を含む接続支援装置である。

好ましくは、本発明の第１の態様は、前記第１装置の認証情報を含むＩＰパケットの受信時に、前記認証情報と該ＩＰパケットの送信元ＩＰアドレスとに基づいて、前記接続支援装置と前記第１装置との間にＩＰアドレス変換装置が介在しているか否かを判定する判定部をさらに含み、
前記ＩＰアドレス変換装置が介在している場合に、前記ＶＰＮ設定要求送信部が、前記ＩＰパケットの送信元ＩＰアドレスをさらに含むＶＰＮ設定要求を前記第２装置に送信する。

好ましくは、本発明の第１の態様において、前記第１装置の鍵交換モードがメインモードである場合に複数の第２装置のリストが前記第１装置に送信され、前記第１装置で決定された前記複数の第２装置の一つを示す情報を含む返信が受信された場合に、前記ＶＰＮ設定要求送信部は前記複数の第２装置の一つに前記ＶＰＮ設定要求を送信する。

好ましくは、本発明の第１の態様は、前記第２装置に収容された前記第１装置の通信相手が属するサブネットアドレスの情報を含む前記ＶＰＮ設定要求の応答が前記第２装置から受信された場合に、前記通知部は前記サブネットアドレスの情報を前記第１装置に通知する。

好ましくは、本発明の第１の態様において、前記第１装置に割り当てられるべきＩＰアドレスを含むＶＰＮ設定要求の応答が前記第２装置から受信された場合に、前記通知部は前記ＩＰアドレスを前記第１装置に通知する。

本発明の第２の態様は、ゲートウェイ装置との間でＩＫＥ(Internet Key Exchange)を
通じたＶＰＮ確立を所望する場合に、ＩＫＥで用いる自装置の認証情報として自装置のＩＰアドレスを含むメッセージを接続支援装置に送信し、該接続支援装置からＩＫＥで使用すべき通信鍵と前記ゲートウェイ装置のＩＰ(Internet Protocol)アドレスとを含む応答
メッセージを受け取る接続部と、
前記通信鍵及び前記ゲートウェイ装置並びに前記自装置の認証情報を用いて前記ゲートウェイ装置との間でＩＫＥを実行しＶＰＮ(Virtual Private Network)を確立するＶＰＮ
処理部とを含むクライアント装置である。

好ましくは、本発明の第２の態様において、前記応答メッセージに前記ゲートウェイ装置に収容された前記クライアント装置の通信相手が属するサブネットアドレスの情報が含まれている場合に、このサブネットアドレスと競合しない仮想ＩＰアドレスが生成され、前記ＶＰＮ確立後のＶＰＮ通信でカプセル化されるＩＰパケットの送信元ＩＰアドレスに前記仮想ＩＰアドレスが設定される。

本発明の第３の態様は、接続支援装置から、自装置とのＩＫＥ(Internet Key Exchange)を通じたＶＰＮ確立を所望するクライアント装置の認証情報としてのクライアント装置
のＩＰアドレスと、ＩＫＥで使用すべき通信鍵とを含むＶＰＮ設定要求メッセージを受信し、このＶＰＮ設定要求メッセージに対する応答メッセージを前記接続支援装置に送信する接続部と、
前記認証情報としてのクライアント装置のＩＰアドレス及び前記通信鍵を用いて前記クライアント装置との間でＩＫＥを通じてＶＰＮを確立するＶＰＮ処理部とを含む
ゲートウェイ装置である。

好ましくは、本発明の第３の態様において、前記接続部は、前記ゲートウェイ装置に収容された前記クライアント装置の通信相手が属するサブネットネットアドレスを含む前記応答メッセージを前記接続支援装置に返信する。

好ましくは、本発明の第３の態様において、前記ＶＰＮ設定要求メッセージの受信時に、前記クライアント装置に割り当てるべき仮想ＩＰアドレスが決定され、前記接続部が前記決定された仮想ＩＰアドレスを含む前記応答メッセージを前記接続支援装置に返信する。

本発明によれば、アグレッシブモードよりもセキュリティ強度の高いメインモードの適用範囲を拡張することができる。

〔第１実施形態〕
〈構成〉
図１は、本発明の実施形態による接続支援システムの構成例を示す図である。図１において、接続支援システム１００は、第１装置としてのクライアント装置２０と、このクライアント装置２０とIPsecを用いたＶＰＮ通信を行う第２装置としてのゲートウェイ装置
４０と、ゲートウェイ装置４０に直接接続された、クライアント装置２０の通信相手となる機器５０と、クライアント装置２０とゲートウェイ装置４０との間のＶＰＮ接続を支援する接続支援装置１０と、接続支援装置１０とクライアント装置３０との間に介在するＮＡＴルータ(ＩＰアドレス変換装置)３０とを備えている。接続支援装置１０とクライアント装置２０との間の通信経路は、無線区間を含んでいても良い。

クライアント装置２０は、パソコン(ＰＣ)，ＰＤＡ(Personal Digital Assistant)等の
ようなコンピュータ(端末装置)であり、接続部２１及びＶＰＮ処理部としてのIPSecクラ
イアント２２を備えている。クライアント装置１０には、鍵交換プロトコルとしてＩＫＥが実装されており、メインモードによるIPSecを用いてゲートウェイ装置４０との間でＶ
ＰＮトンネルを確立し、このＶＰＮトンネルを用いた暗号化通信を行う。

接続部２１は、接続支援装置１０とのやりとりを行い、IPsecクライアント２２がゲー
トウェイ装置４０のIPsecゲートウェイ４２とIPsecによるＶＰＮトンネルを確立するために必要な情報を接続支援装置１０から入手し、IPsecクライアント２２に設定する。

IPsecクライアント２２は、接続部２１によって設定された情報を用いて、ゲートウェ
イ装置４０との間でＩＫＥ(フェーズ１及びフェーズ２)を実行し、ゲートウェイ装置４０との間にIPsec SAを確立する。

ＮＡＴルータ３０は、汎用のＮＡＴ機能(ＮＡＰＴ)を有している。すなわち、ＮＡＴルータ３０は、クライアント装置２０と接続支援装置１０との間を転送されるＩＰパケットに付与されたＩＰアドレスの変換処理(ローカルＩＰアドレス←→グローバルＩＰアドレ
ス)処理を行う。ここに、クライアント装置２０には、図示しないＤＨＣＰサーバによっ
て、ローカルＩＰアドレスが一時的に割り当てられるようになっている。

接続支援装置１０は、モード判定部としての鍵交換モード検出部１１と、判定部としてのＮＡＴ検出部１２と、ゲートウェイ選択部１３と、通信鍵生成部１４とを備えている。鍵交換モード検出部１１は、クライアント装置２０からＮＡＴルータ３０を通じて到着するＩＰパケットに含まれるＩＫＥ認証用のＩＤから、ＩＫＥフェーズ１でのモードがメインモードか否かを判別する。

ＮＡＴ検出部１２は、ＩＰパケットの送信元ＩＰアドレスとＩＰパケットに含まれたＩＤとに基づいて、接続支援装置１０とクライアント装置２０との間にＮＡＴルータ３０が介在しているか否かを判別する。

ゲートウェイ選択部１３は、クライアント装置２０とＶＰＮ接続可能な複数のゲートウェイ装置(但し、図１ではゲートウェイ装置４０のみを図示)の情報(ゲートウェイリスト)を、記憶装置上に有している。ゲートウェイ選択部１３は、クライアント装置２０で接続先のゲートウェイ装置を選択するために、ゲートウェイリストをクライアント装置２０に提供する。

通信鍵生成部１４は、鍵交換モードがメインモードである場合に、クライアント装置１２０とゲートウェイ装置４０との間で実行されるＩＫＥでのやりとりを暗号化するための通信鍵(事前共有鍵：ＩＫＥで生成される事前共有鍵とは異なる)を生成する。

ゲートウェイ装置４０は、接続部４１とＶＰＮ処理部としてのIPSecゲートウェイ４２
とを有している。接続部４１は、接続支援装置１０との間でやりとりを行い、クライアント装置２０との間でＩＫＥに必要な情報を入手してIPsecゲートウェイ４２に設定する。

IPSecゲートウェイ４２は、接続部４１によって設定された情報を用いて、クライアン
ト装置２０のIPsecクライアント２２(イニシエータ)に対するレスポンダとして機能し、
ＩＫＥフェーズ１及び２を通じてIPsec SAを確立し、ＶＰＮトンネルを確立させる。

ＶＰＮトンネルが確立されると、クライアント装置２０は、ゲートウェイ装置４０との間に確立されたＶＰＮトンネルを用いて機器５０と通信を行う。このとき、クライアント装置２０とゲートウェイ装置４０との間では、IPsecによる暗号化通信が行われる。

〈接続支援装置による処理〉
図２は、接続支援装置１０による処理フローの例を示す。図２に示す処理は、接続支援装置１０がＮＡＴルータ３０を経由したクライアント装置２０からのデータ(メッセージ
をペイロードに含むＩＰパケット)を受信することによって開始される。

接続支援装置１０では、最初に、鍵交換モード検出部１１が、クライアント装置２０からメッセージの所定位置を参照し、この所定位置に格納されているＩＫＥ認証用のＩＤがＩＰアドレスか否かを判定する(ステップＳ０１)。

即ち、鍵交換モード検出部１１は、ＩＤとして格納されているデータがＩＰアドレスのフォーマットを有しているかを判定する。ＩＤがＩＰアドレスであれば(Ｓ０１のＹＥＳ)、鍵交換モード検出部１１は、ＩＫＥフェーズ１の鍵交換モードがメインモードであると判定し、処理をステップ０２に進める。

これに対し、ＩＤがＩＰアドレスでない場合には(Ｓ０１のＮＯ)、接続支援装置１０は、他の処理を実行する(ステップＳ０７)。例えば、接続支援装置１０は、鍵交換モードがアグレッシブモードであると仮定して、そのアグレッシブモードを用いたＶＰＮ接続を支援する。或いは、接続支援装置１０は、所定のエラー処理を実行することもできる。

ステップＳ０２では、接続支援装置１０のＮＡＴ検出部１２が、クライアント装置２０からのＩＰパケットのＩＰヘッダ中の送信元ＩＰアドレスとＩＰペイロードにＩＤとして格納されたＩＰアドレスとを比較し、両者が一致するか否かを判定する。ＩＰアドレスが一致する場合(Ｓ０２のＹＥＳ)には、ＮＡＴ検出部１２は、クライアント装置２０と接続支援装置１０との間にＮＡＰＴ(ＮＡＴルータ３０)が介在しないと判定し、処理がステップＳ０４に進む。

これに対し、ＩＰアドレスが一致しない場合(Ｓ０２のＮＯ)には、ＮＡＴ検出部１２は、クライアント装置２０と接続支援装置１０との間にＮＡＰＴ(ＮＡＴルータ３０)が介在すると判定する。この場合、ＩＰパケットからＩＤが抽出され(ステップＳ０３)、処理がステップＳ０４に進む。ＩＤはクライアント装置２０のローカルＩＰアドレスとして、ゲートウェイ装置４０に通知するために抽出される。

ステップＳ０４では、接続支援装置１０のゲートウェイ選択部１３が、クライアント装置２０に対して接続先のゲートウェイを問い合わせる。クライアント装置２０から接続先のゲートウェイ装置を指定する回答を受信すると、接続支援装置１０は、クライアント装置２０とゲートウェイ装置４０との間でのＩＫＥで使用すべき通信鍵を通信鍵生成部１４で生成する。通信鍵生成部４１は、自身以外の他の場所で格納されている通信鍵を入手するようにしても良い。

接続支援装置１０は、通信鍵等を含むIPsecデータの透過設定要求(ＶＰＮ設定要求メッセージ)を生成し、接続先のゲートウェイ装置(図１では、ゲートウェイ装置４０)へ送信
する。

ゲートウェイ装置４０からＶＰＮ設定要求メッセージに対する正常な応答(ＶＰＮ設定
要求応答メッセージ)が受信されると(ステップＳ０５のＹＥＳ)、接続支援装置１０は、
クライアント装置１０に対し、通信鍵及びゲートウェイアドレス(ゲートウェイ装置４０
のＩＰアドレス)を通知する(ステップＳ０６)。

これに対して、正常なＶＰＮ設定要求応答メッセージをゲートウェイ装置４０から受信
できない場合(Ｓ０５のＮＯ)には、他の処理(例えば、所定のエラー処理)が実行される(
Ｓ０７)。ステップＳ０６又はＳ０７の処理が終了すると、接続支援装置１０は、図１に
示す処理を終了する。

クライアント装置２０では、接続部２１が接続支援装置１０から通知された通信鍵及びゲートウェイアドレスをIPSec クライアント２２に設定する。IPSecクライアント２２は
、通信鍵及びゲートウェイアドレスを用いて、ゲートウェイ装置４０のIPSecゲートウェ
イ４２との間でＩＫＥに基づく通信(フェーズ１及び２)を行い、クライアント装置２０とゲートウェイ装置４０との間に、IPSecを用いたＶＰＮ(IPSec SA)を確立する。フェーズ
１でのパラメータネゴシエーションや鍵情報交換(ＤＨ鍵素材交換)では、IPsecクライア
ント２２及びIPsecゲートウェイ４２に夫々設定された通信鍵(事前共有鍵)を用いた暗号
化通信が行われる。

その後、クライアント装置２０とゲートウェイ装置４０との間にＶＰＮトンネルが確立されると、このＶＰＮトンネルを用いてクライアント装置２０−ゲートウェイ装置４０間で暗号化通信が行われ、クライアント装置２０と機器５０との間で、ゲートウェイ装置４０を介した通信が行われる。

図３は、クライアント装置２０の処理フローの例を示す。図３に示す処理は、クライアント装置２０が機器５０との通信を開始する場合に開始される。図３に示す処理が開始されると、クライアント装置２０の接続部２１は、IPSecクライアント２２を構成する記憶
装置に格納されているIPSec設定情報から、鍵交換モードに基づく鍵交換情報(ここでは、ＩＫＥメインモードに基づくＩＤ= xxx.xxx.xxx.xxx，即ちクライアント装置２０のＩＰ
アドレス(本発明の「認証情報」に相当))を抽出し、接続支援装置１０に送信する(ステップＳ１１)。

次に、クライアント装置２０の接続部２１は、接続支援装置１０のゲートウェイ選択部１３から通知されるゲートウェイ情報(クライアント装置２０が接続可能なゲートウェイ
装置のリスト：ゲートウェイリスト)を受け取り、ゲートウェイ装置を選択する(ステップＳ１２)。

例えば、ゲートウェイリストは、クライアント装置２０が備えるディスプレイ装置(図
示せず)にて表示される。クライアント装置２０のユーザは、クライアント装置２０が備
える入力装置(図示せず)を用いて、ゲートウェイリスト中から接続を希望するゲートウェイ装置の選択結果を入力することができる。接続部２１は、選択結果を、接続支援装置１０からの問い合わせに対する回答として、接続支援装置１０へ送信する。

その後、クライアント装置２０の接続部２１は、接続支援装置１０から通知される通信鍵及びゲートウェイＩＰアドレスを受信する(ステップＳ１３)。すると、接続部２１は、通信鍵及びゲートウェイＩＰアドレスをIPSecクライアント２２に設定し、IPSecクライアント２２を起動させる。これによって、IPSecクライアントがゲートウェイ装置４０のIPSecゲートウェイ４２とＩＫＥを実行しIPSec SAを確立するためのやりとりを行い、ＶＰＮトンネルを確立する。このＶＰＮトンネルを用いて、クライアント装置２０は、ゲートウェイ装置４０との間で暗号化通信を行うことができ、ゲートウェイ装置４０が機器５０とクライアント装置２０との間でやりとりされるデータ(ＩＰパケット)を中継する。このようにして、クライアント装置２０と機器５０は通信を行うことができる。

〔動作例１〕
次に、接続支援システムにおける動作例１として、接続支援装置１０がＩＫＥメインモードリモートアクセス支援を行う場合について説明する。動作例１では、クライアント装
置２０と接続支援装置１０との間に、ＮＡＴ(ＮＡＴルータ３０)が介在している。図４は、動作例１(メインモードのリモートアクセス支援(NATあり))の説明図である。

図４において、機器５０との通信を望むクライアント装置２０は、接続部２１を用いてクライアント鍵交換情報(ＩＤ)を含むメッセージを有するＩＰパケットを生成し、このＩＰパケットを接続支援装置１０に送信する(図４の(１))。ＩＤとして、クライアント装置２０のＩＰアドレス(ローカルＩＰアドレス：クライアントＩＰアドレス)が設定される(
図５Ａ参照)。第１実施形態では、クライアント装置２０は、図示しないＤＨＣＰサーバ
から割り当てられるローカルＩＰアドレスを用いてＩＰ通信を行う。

ＩＰパケットは、ＮＡＴルータ３０を通過して接続支援装置１０に受信される。ＮＡＴルータ３０は、ＩＰパケットの送信元ＩＰアドレス(クライアントＩＰアドレス)を、グローバルＩＰアドレス(ＮＡＴＩＰアドレス)に書き換える(図５Ｂ参照)。

接続支援装置１０でＩＰパケットが受信されると、鍵交換モード検出部１１がメッセージ中のＩＤ格納フィールドを参照する。鍵交換モード検出部１１がＩＤ格納フィールドに格納されたデータがＩＰアドレスのフォーマットを有することを検出すると、ＩＫＥのフェーズ１がメインモードであることが判定(検出)される。鍵交換モード検出部１１は、ＩＰパケットをＮＡＴ検出部１２に渡す(図４の(２))。

ＮＡＴ検出部１２は、ＩＤとして格納されたＩＰアドレスと、ＩＰパケットの送信元ＩＰアドレスとを比較する。ここでは、ＩＤとしてのＩＰアドレスはクライアントＩＰアドレスであり、送信元ＩＰアドレスはＮＡＴＩＰアドレスであるので、両者は一致しない
。このため、ＮＡＴ検出部１２は、接続支援装置１０とクライアント装置２０との間に、ＮＡＴルータ３０が介在していることを検出する。

その後、ＮＡＴ検出部１２は、ＩＰパケット(ＩＫＥメッセージ)をゲートウェイ選択部１３に渡す(図４の(３))。このとき、ＩＤがＩＰパケットから抽出される。

ゲートウェイ選択部１３は、記憶装置からゲートウェイリストを読み出し、ゲートウェイリストを含むＩＰパケット(送信元ＩＰアドレス：接続支援装置，宛先ＩＰアドレス：
ＮＡＴＩＰ)をクライアント装置２０に送信する(図４の(４))。ＩＰパケットの宛先ＩＰアドレスは、ＮＡＴルータ３０を通過する際に、ＮＡＴＩＰアドレスからクライアント
ＩＰアドレスに書き換えられる。

ＩＰパケットがクライアント装置２０で受信されると、クライアント装置２０は、ゲートウェイリストを図示しないディスプレイ装置に表示する。クライアント装置２０のユーザは、ゲートウェイリストを参照し、接続を所望するゲートウェイの選択結果(指定ゲー
トウェイの情報)を、図示しない入力装置を介してクライアント装置２０に入力する。す
ると、接続部２１は、指定ゲートウェイの情報を含むメッセージ(ＩＰパケット)を送信する。このメッセージは、ＮＡＴルータ３０を介して接続支援装置１０に到達する(図４の(５))。ここでは、ユーザがゲートウェイ装置４０を選択したと仮定する。

ゲートウェイ選択部１３は、指定ゲートウェイの情報を受信すると、その情報を通信鍵生成部１４に渡す(図４の(６))。通信鍵生成部１４は、指定ゲートウェイ(ゲートウェイ
装置４０)とクライアント装置１０との間にＶＰＮを確立するための通信鍵(事前共有鍵)
を生成し、ゲートウェイ選択部１３に渡す。

ゲートウェイ選択部１３は、指定ゲートウェイに応じたＶＰＮ設定要求メッセージを生成し、このメッセージを含むＩＰパケットをゲートウェイ装置４０に送信する(図４の(７
))。このＩＰパケットの宛先ＩＰアドレスとして、例えば、ゲートウェイリスト中に含まれたゲートウェイ装置４０のＩＰアドレスが設定される。

図６は、ＶＰＮ設定要求メッセージのフォーマット例を示す図である。図６には、ＳＩＰ(Session Initiation Protocol)に基づくＶＰＮ設定要求メッセージが示されている。
このメッセージには、ＳＩＰで用いるＳＤＰ(Session Description Protocol)のフォーマットを含んでおり、このＳＤＰフォーマット部分に拡張領域が設けられ、拡張領域に、クライアントＩＰアドレス(ＩＤ)，ＮＡＴＩＰアドレス及び通信鍵(事前共有鍵)が格納さ
れる。

ＶＰＮ設定要求メッセージは、ゲートウェイ装置４０の接続部４１で受信される。接続部４１は、ＶＰＮ設定要求メッセージに基づくＶＰＮ設定をIPsecゲートウェイ４２に対
して行う(図４の(８))。このとき、クライアントＩＰアドレス(ＩＤ)，ＮＡＴＩＰアド
レス，及び通信鍵がIPsecゲートウェイ４２に設定される。このような処理が終了すると
、接続部４１は、ＶＰＮ設定要求メッセージに対する応答メッセージ(ＶＰＮ設定要求応
答メッセージ)を生成し、接続支援装置１０に送信する(図４の(９))。

図７は、ＶＰＮ設定要求応答メッセージのフォーマット例を示す図である。図７に示すように、ＶＰＮ設定要求応答メッセージは、ＳＩＰの応答メッセージフォーマットを有し、ＳＤＰフォーマット部分と、ＳＤＰフォーマットの拡張部分とを含んでいる。この拡張部分には、接続支援装置１０から受け取った通信鍵が格納される。この通信鍵は、このＶＰＮ設定要求応答メッセージがＶＰＮ設定要求メッセージに対応する応答メッセージであることを示すセッションＩＤとして機能する。よって、通信鍵が応答メッセージに格納されることは必須の要件ではない。応答メッセージを接続支援装置１０で識別できれば良い。

ゲートウェイ選択部１３は、ＶＰＮ設定要求応答メッセージを受信し、応答メッセージであると識別すると、ゲートウェイ装置４０に通知した通信鍵(事前供給鍵)と、ゲートウェイ装置４０のＩＰアドレス(ゲートウェイＩＰアドレス)とを含む応答メッセージを作成し、クライアント装置２０に送信する(図４の(１０))。

図８は、応答メッセージのフォーマット例を示す図である。この例では、応答メッセージは、ＨＴＴＰ(Hyper Text Transfer Protocol)に基づくフォーマットを有しており、このフォーマット中に通信鍵事前共有鍵とゲートウェイＩＰアドレスとが含められる。

クライアント装置２０では、接続部で応答メッセージが受信されると、IPsecクライア
ント２２に対してIPSecの設定が行われる(図４の(１１))。即ち、ＶＰＮ接続を行うゲー
トウェイＩＰアドレスと、ＩＫＥフェーズ１で使用する通信鍵とがIPsecクライアント２
２に設定される。

これにより、クライアント装置２０とゲートウェイ装置４０との間で、ＩＫＥフェーズ１の開始時に両者の通信を暗号化するための通信鍵(暗号化鍵)が共有された状態となる。通信鍵は、ＩＫＥフェーズ１でＤＨ鍵交換(Diffie-Hellman鍵共有アルゴリズム)により共有鍵が生成及び共有されるまで、クライアント装置２０とゲートウェイ装置４０との通信を暗号化するために使用される。

IPsecクライアント２２(イニシエータ)は、ゲートウェイ装置４０のIPsecゲートウェイ４２(レスポンダ)へ向けてＩＫＥフェーズ１の実行を開始する。フェーズ１はメインモードで実行される。このとき、IPsecクライアント２２からIPsecゲートウェイ４２への最初のメッセージ交換(ＳＡの条件提案と選択のやりとり)は、通信鍵を用いて暗号化される。
その後、フェーズ１でＤＨ鍵交換が行われ、両者間で事前共有鍵が生成されると、この事前共有鍵を用いてＩＤ認証(ＶＰＮ装置間の相互認証)が行われ、ISAKMP SAが確立され、
フェーズ１が終了する。続いて、両者間でフェーズ２が実行され、ISAKMP SAを用いてIPsec SAが確立され、両者間にＶＰＮトンネルが確立される。

このようなＶＰＮトンネルが確立されると、クライアント装置２０は、ゲートウェイ装置４０を介して、機器５０と通信を行うことができる。

〔動作例２〕
次に、第１実施形態の動作例２について説明する。動作例２として、図１に示した接続支援システム１００と異なり、クライアント装置２０と接続支援装置１０との間にＮＡＴルータ３０が介在しない場合の動作例について説明する。クライアント装置２０は、図示しないＤＨＣＰサーバから貸与されるグローバルＩＰアドレスを用いてＩＰ通信を行う。

動作例２での手順は、動作例１とほぼ同様であるが、以下の点において異なる。すなわち、ＮＡＴルータ３０が存在しないので、クライアント装置２０から接続支援装置１０へ送信されるＩＰパケットの送信元ＩＰアドレスの変換は行われない。言い換えれば、図５Ａに示したような、クライアントＩＰアドレスを有するＩＰパケットが接続支援装置１０に到達する。但し、クライアントＩＰアドレスはグローバルＩＰアドレスである。

この場合、接続支援装置１０のＮＡＴ検出部１２は、ＩＰパケットヘッダの送信元ＩＰアドレスとＩＰデータ(ＩＰペイロード)にＩＤとして格納されたクライアントＩＰアドレスとが一致するので、接続支援装置１０とクライアント装置２０との間にＮＡＴが介在しないと判定する。この場合、送信元ＩＰアドレスをクライアントＩＰアドレスとしてゲートウェイ装置４０に通知すれば良いので、動作例１と異なり、ＩＤの抽出は行われない。

また、ゲートウェイ選択部１３は、ＮＡＴＩＰアドレスが存在しないので、指定ゲー
トウェイ(例えば、ゲートウェイ装置４０)へ送信するＶＰＮ設定要求メッセージに、ＮＡＴＩＰアドレスを格納しない(図６に示したメッセージから、ＮＡＴＩＰアドレスが除
かれたものとなる)。

以上の点を除き、動作例２は、動作例１と同様であるので、説明を省略する。

〔第１実施形態の作用効果〕
第１実施形態によると、接続支援装置１０が、IPSecクライアント２２との間のＮＡＴ
有無検出手段(ＮＡＴ検出部１２)や、クライアント装置２０の鍵交換モード検出手段(鍵
交換モード検出部１１)などを有しており、クライアント装置２０及びゲートウェイ装置
４０に対して適切なＶＰＮトンネル確立のための情報設定を行う。

また、ゲートウェイ装置４０は、接続支援装置１０を介して、クライアント装置２０がIPSecを行うために必要な情報を通知することができる。これによって、ＩＫＥメインモ
ードのみに対応したIPSecクライアントを、このクライアントが接続しているネットワー
クの状態を考慮した上で、安全にゲートウェイ装置にＶＰＮ接続させることが可能となる。

第１実施形態によれば、ＩＫＥアグレッシブモードよりもセキュリティ強度の高いＩＫＥメインモードを適用することによって、ＩＤ漏洩によりゲートウェイ装置が攻撃対象となる問題を回避することができる。

また、第１実施形態によれば、ＩＫＥメインモードの適用可能領域を、ネットワークの
構成に応じて柔軟に変更可能とする。

また、第１実施形態によれば、ＩＫＥメインモードのみに対応したIPSec クライアント(例えば、Windows （登録商標）XP標準IPSec, IPSec対応各種装置)に対して、セキュリティポリシ(ＳＰ)の変更のみで、柔軟に、インターネット上の様々なゲートウェイと通信することを可能となる。

また、第１実施形態によれば、クライアント装置２０がＤＨＣＰ(Dynamic Host Configuration Protocol)を用いて動的にＩＰアドレスを取得するような場合においても、クラ
イアントの現在のＩＰアドレスを接続支援装置１０に通知することによって、クライアント装置２０をＩＫＥメインモードで正常にゲートウェイ装置４０に接続させることが可能となる。

本実施形態によれば、ＩＫＥメインモード対応クライアントに対して、単体では実現が困難であった様々なネットワークへの接続を容易に実現することができる。

なお、第１実施形態における通信鍵は、ＤＨ鍵交換方式を用いて、接続支援装置１０とゲートウェイ装置４０との間でＤＨ鍵素材の交換を通じて作成・共有され、そのような事前共有鍵がクライアント装置２０に通知されるようにしても良い。

また、接続支援装置がゲートウェイリストをクライアント装置に通知し、クライアント装置から指定ゲートウェイの回答を得ることは、必須の要件ではない。すなわち、ゲートウェイ選択部が、ＮＡＴの有無が判定された後に、予め用意された１以上のゲートウェイの一つを自動的に選択し、ＶＰＮ接続要求メッセージを送信するようにしても良い。

〔第２実施形態〕
次に、本発明の第２実施形態について説明する。第２実施形態では、クライアント装置がゲートウェイ装置とＶＰＮを構築し、機器を制御するために設定する仮想ＩＰアドレスを決定する方法について説明する。

通常のIPSec VPNを用いた通信においては、Mode-cfg や、IPSec DHCPといった標準に近いプロトコルが使用される。しかしながら、Mode-cfg及び IPSec DHCPのようなプロトコル
は、クライアント及びゲートウェイの双方でサポートされる必要がある。このため、中小規模の各ネットワーク拠点に配置されるＩＫＥメインモード対応のルータなどの機器においては、Mode-cfgやIPSec DHCPをサポートしていない場合があった。

このため、第２実施形態では、Mode-cfg やIPSec DHCPといったＩＫＥプロトコル内で仮
想アドレスを払い出す機能に依存することなく、ＩＫＥが実行される前に、クライアントとゲートウェイとの間で、接続支援装置を経由して、ＩＫＥを行う仮想アドレスを決定する。これによって、Mode-cfg やIPSec DHCPを不要にし、これらの既存プロトコルに依存
することなく、クライアントに対して仮想アドレスの設定を行うことを可能とする。

第２実施形態は、第１実施形態と同様の構成を有するので、主として異なる構成について説明し、共通する構成については説明を省略する。図９は、第２実施形態における接続支援システム１００は、第１実施形態と同様の構成を有する。但し、図９では、接続支援装置１０とクライアント装置２０との間にＮＡＴルータ３０が介在しない場合を示している。

第２実施形態の動作は、接続支援装置がＶＰＮ設定要求メッセージをゲートウェイ装置４０へ送信するまでは、第１実施形態の動作例２と同様である。但し、第２実施形態では、
ゲートウェイ装置４０は、ＶＰＮ設定要求応答メッセージに、ゲートウェイ装置４０が収容するローカルサブネットアドレス(機器５０が属するローカルサブネットアドレス：例
えば、172.0.0.0/24)を格納する。

図１０は、第２実施形態で適用されるＶＰＮ設定要求応答メッセージのフォーマット例を示す図である。図１０に示すように、ＶＰＮ設定要求応答メッセージには、セッションＩＤとして機能する通信鍵(事前登録鍵)とともに、ローカルサブネットアドレスが格納される(図９の(２))。

接続支援装置１０は、ＶＰＮ設定要求応答メッセージを受信すると、ゲートウェイＩＰアドレス，通信鍵(事前登録鍵)に加えて、さらにローカルサブネットアドレスを含む応答メッセージをクライアント装置２０に通知する(図９の(２))。

図１１は、第３実施形態におけるクライアント装置２０内部の処理説明図である。図１１に示すように、クライアント装置２０では、接続部２１が、応答メッセージを受信すると、この応答メッセージ中のローカルサブネットアドレス(172.0.0.0/24)と競合しない任意のサブネット上の任意のＩＰアドレス(例えば、111.222.111.222/24)を、クライアント仮想ＩＰとして生成し、ゲートウェイＩＰアドレス及び通信鍵(事前共有鍵)とともにIPsec
クライアント２２に設定する。

IPsecクライアント２２は、第１実施形態と同様に、ゲートウェイ装置４０のIPsecゲートウェイ４２との間でＩＫＥを実行し、IPsec SA(ＶＰＮトンネル)を確立させる。その後、クライアント装置２０は、機器５０に対してＩＰパケットを送信する場合には、機器５０のＩＰアドレスが宛先ＩＰアドレスに設定されるとともに、クライアント仮想ＩＰアドレスが送信元ＩＰアドレスに設定されたＩＰパケットを生成する。このＩＰパケットは、IPsecトンネルモードで送信される。

即ち、当該ＩＰパケットはIPsec SAに基づく方式で暗号化され、暗号化されたＩＰパケット(内側アドレス及びデータ)がＩＰデータ(ＩＰペイロード)となり、このＩＰデータに外側ＩＰヘッダが付与されたカプセル化パケットが生成される。外側ＩＰヘッダでは、ゲートウェイＩＰアドレスが宛先アドレスに設定され、クライアントＩＰアドレスが送信元ＩＰアドレスに設定される。このようなカプセル化パケットがゲートウェイ装置４０へ送信される(図９の(３)ＶＰＮデータ通信)。

ゲートウェイ装置４０では、カプセル化パケットが受信されると、外側ＩＰヘッダが除去された後、ＩＰデータ(内側アドレス及びデータ)の復号化によって、元のＩＰパケットが得られる。その後、元のＩＰパケットの宛先ＩＰアドレス(機器ＩＰアドレス)に従って、ＩＰパケットが機器５０に転送される(図９の(４)内部データ通信)。

第２実施形態によれば、クライアント装置２０にて、ゲートウェイ装置４０のローカル側サブネットアドレスと異なるＩＰアドレスがクライアント装置２０のＩＰアドレスとして割り当てられる。これによって、機器５０のＩＰアドレスとクライアント２０のＩＰアドレスとが競合し、ゲートウェイ装置４０でＩＰパケットのルーティングができなくなることを回避することができる。

なお、上述した動作例では、ＮＡＴルータ３０が介在しない例について説明した。ＮＡＴルータ３０が接続支援装置１０とクライアント装置２０との間に介在する場合では、動作例１と同様の動作に加えて、上述したクライアント装置２０へのローカルサブネットアドレスの通知と、クライアント装置２０での仮想ＩＰアドレス生成及び設定が行われる。そして、ＶＰＮデータ通信において、外側ＩＰヘッダ(外側アドレス：図９)におけるクラ
イアントＩＰアドレス(送信元ＩＰアドレス)がＮＡＴＩＰアドレスに変換されて、ゲー
トウェイ装置４０に到着する。

第２実施形態によれば、第１実施形態と同様の作用効果を得ることができる。さらに、第２実施形態によれば、Mode-cfg, IPSec-DHCPのようなＩＫＥレベルでのアドレス払い出し(アドレス管理)プロトコルを実装していないクライアントに対しても、アドレス管理を行いつつ、クライアント−ゲートウェイ間で標準プロトコルにてIPSec通信を行うことが
可能となる。

また、第２実施形態によれば、クライアント装置２０で仮想ＩＰアドレスがクライアント装置２０に対して割り当てられることで、メインモードでの通信を実現する際に、ゲートウェイにてリモートアクセスを行うクライアントのアドレス(=IPSecトンネルモードの
内側ＩＰアドレス)やＶＰＮパスの違いを識別することが可能となる。

〔第３実施形態〕
次に、本発明の第３実施形態について説明する。第３実施形態は、第１及び第２実施形態との共通点を有するので、主として相違点について説明し、共通点については説明を省略する。

第３実施形態として、接続支援システムによるメインモードリモートアクセス支援(ア
ドレスプール分割り当て)に関して説明する。第２実施形態では、ゲートウェイ装置４０
から取得したローカルサブネットアドレスを基に、クライアント装置２０が仮想ＩＰアドレスを決定する方法について説明した。

ゲートウェイ装置に対して２以上のクライアント装置が接続する場合に、或るクライアントが他のクライアントと競合するＩＰアドレスを用いてゲートウェイ装置とＶＰＮ通信を行う可能性がある。この場合、ゲートウェイ装置での仮想ＩＰアドレスの競合制御が必要となったり、クライアントに対するルーティングが困難となったりするおそれがある。

第３実施形態では、ゲートウェイ装置がリモートアクセスを行うクライアント装置に対して割り当てられるアドレスを管理する。図１２は、第３実施形態におけるゲートウェイ装置の構成例を示す図である。

第３実施形態におけるゲートウェイ装置４０は、仮想アドレス管理部(リモートアクセ
ス用)４３をさらに有する。仮想アドレス管理部４３は、仮想ＩＰアドレス管理データベ
ース４４を有している。

仮想ＩＰアドレス管理データベースは、所定の割当可能ＩＰアドレス範囲(例：xxx.xxx.xxx.0/24)に属する仮想ＩＰアドレスリスト(仮想アドレスプール)と、その使用状態を示す情報を格納する。この例では、使用状態の仮想ＩＰアドレスに対して、その仮想ＩＰアドレスを使用するクライアント装置２０に設定される事前共有鍵(通信鍵)が対応づけて格納される。

ＶＰＮ設定要求メッセージ受信時におけるゲートウェイ装置４０の動作は、次の通りである。ゲートウェイ装置４０の接続部４１が、接続支援装置１０からのＶＰＮ設定要求メッセージを受信する(図１２の(１))。このＶＰＮ設定要求メッセージには、通信鍵(事前
共有鍵)としての鍵Ｂと、クライアントＩＰアドレスとが格納されている。

接続部４１は、ＶＰＮ設定要求メッセージを受信すると、第１実施形態と同様に、IPsecゲートウェイ４２に対するＶＰＮ設定(鍵ＢやクライアントＩＰアドレスの設定)を行う(
図１２の(２))。IPsecゲートウェイ４２は、仮想アドレス管理部４３に対し、仮想アドレス取得要求(鍵Ｂを含む)を渡す(図１２の(３))。仮想アドレス管理部４３は、仮想ＩＰアドレス管理データベース４４から、未使用状態の仮想ＩＰアドレスの一つ(例えば、xxx.xxx.xxx.2)を特定し、この仮想ＩＰアドレスに関連付けて鍵Ｂをデータベース４４に格納(登録)する(図１２の(４))。さらに、仮想アドレス管理部４３は、この仮想ＩＰアドレス
を取り出し、取得要求に対する応答としてIPsecゲートウェイ４２に渡す(図１２の(５))
。

IPsecゲートウェイ４２は、この仮想ＩＰアドレスと鍵Ｂとの関連付けをIPsec SAデー
タベース４５(図１４)に登録するとともに、仮想ＩＰアドレスとメインモードＩＤ(クラ
イアントＩＰアドレス)との関連付けをＩＤ管理データベース４６(図１４)に登録した後
、この仮想ＩＰアドレスを接続部４１に渡す(図１２の(６))。接続部４１は、仮想ＩＰアドレスと鍵Ｂとを含むＶＰＮ設定要求応答メッセージを生成し、接続支援装置１０へ送信する(図１２の(７))。

その後、接続支援装置１０は、仮想ＩＰアドレス，ゲートウェイＩＰアドレス及び通信鍵(事前共有鍵：鍵Ｂ)を含む応答メッセージをクライアント装置２０に送信する。クライアント装置２０では、接続部２１は、第３実施形態と異なり、仮想ＩＰアドレスを生成すすることなく、仮想ＩＰアドレス，ゲートウェイＩＰアドレス，通信鍵(鍵Ｂ)をIPsecク
ライアント２２に設定する。

IPsecクライアント２２は、第３実施形態と同様に、クライアント装置２０とゲートウ
ェイ装置４０との間にＶＰＮトンネルを確立する。その後、クライアント装置２０から機器５０へのデータ送信において、ＶＰＮデータ通信が行われる。この際に、IPsecクライ
アント２２は、ゲートウェイ装置４０から貸し出された仮想ＩＰアドレスを、クライアント仮想ＩＰアドレスとして使用する。

その後、クライアント装置２０から機器５０へのデータ送信が終了し、ゲートウェイ装置４０とクライアント装置２０との間のＶＰＮが終了する場合には、クライアント装置２０がゲートウェイ装置４０にＶＰＮ終了要求メッセージを送信する。

図１３は、ＶＰＮ終了要求メッセージのフォーマット例の説明図である。例えば、ＶＰＮ終了要求メッセージとして、ＩＫＥにて定義されているISAKMP Inforamational Exchange メッセージが使用される。このメッセージにおいて、削除を行うセキュリティポリシ
がISAKMPペイロードにて指定される。図１３に示す例では、ペイロードタイプ１２でISAKMP SAの削除を示し、protocol ID：ESPによって、IPSec SAを削除することを示す。IPsec
SAの識別情報SPIとして、ここでは、仮想IPアドレスが使用されている。ＶＰＮ収容要求メッセージは、これらのＳＡの削除要求を含む。

図１４は、ゲートウェイ装置４０でのＶＰＮ終了処理を示す説明図である。図１４において、クライアント装置２０からのＶＰＮ終了要求メッセージ(仮想ＩＰアドレス(xxx.xxx.xxx.2)の削除要求を含む)がゲートウェイ装置４０にて受信される(図１４の(１))。

すると、IPsecゲートウェイ４２は、IPsec SAデータベース４５から、IPsec SA削除要
求に対応するエントリ(即ち、仮想ＩＰアドレスと鍵Ｂの関連付けが格納されたエントリ)を削除する(図１４の(２)：IPsec SA削除)。このとき、データベース４５から事前共有鍵(鍵Ｂ)が抽出され、IPsecゲートウェイ４２は、ＩＤ管理データベース４６から、鍵Ｂと
対応するメインモードＩＤ(クライアントＩＰアドレス)を削除する(図１４の(３))。

次に、IPsecゲートウェイ４２は、仮想アドレス管理部４３に仮想アドレス削除指示を
渡す(図１４の(４))。仮想アドレス管理部４３は、データベース４４における、削除指示で指定されている仮想ＩＰアドレス(xxx.xxx.xxx.2)のエントリを抽出し、このエントリ
に格納されている“鍵Ｂ”を“０”で上書きする。これによって、“鍵Ｂ”がデータベース４４から削除され、仮想ＩＰアドレス(xxx.xxx.xxx.2)が割当(利用)可能状態となる(図１４の(５))。

仮想アドレス管理部４３は、鍵Ｂの削除をIPsecゲートウェイ４３に通知し(図１４の(
６))、IPsecゲートウェイ４２は、仮想ＩＰアドレス(xxx.xxx.xxx.2)の削除を接続部４１に通知する。すると、接続部４１は、ＶＰＮ終了メッセージ(ＢＹＥメッセージ)を接続支援装置１０に送信し(図１４の(８))、接続支援装置１０からＶＰＮ終了メッセージの応答メッセージ(ＶＰＮ終了応答(ＢＹＥ応答)メッセージを受け取る(図１４の(９))。

このように、各データベース４４，４５及び４６内のエントリは、ＶＰＮ設定要求時に作成され、ＶＰＮ終了時に削除される。

図１５は、ゲートウェイ装置４０から接続支援装置１０に送信されるＶＰＮ終了メッセージの例を示す図である。図１５に示す例では、終了メッセージはＳＩＰに基づくフォーマットを有し、ＳＩＰで使用されるＳＤＰ部分を独自に拡張した領域を有する。この拡張領域には、削除対象のＶＰＮに係る事前共有鍵(通信鍵)が格納される。

接続支援装置１０は、接続支援に係るＶＰＮに関する情報を管理するデータベース(図
示せず)を有しており、このデータベースには、ＶＰＮに関する情報として、通信鍵(事前共有鍵)，クライアントＩＰアドレス，ゲートウェイＩＰアドレス，ＮＡＴＩＰアドレスのような情報を格納するエントリが格納され、通信鍵をキーとして検索可能となっている。

接続支援装置１０は、ＶＰＮ終了メッセージの受信時に、このメッセージに含まれる通信鍵をキーとして、対応するエントリを検索し、そのエントリをデータベースから削除する。エントリが削除されると、ＶＰＮ終了応答メッセージを作成し、ゲートウェイ装置４０へ送信する。図１６は、接続支援装置１０からゲートウェイ装置４０に送信されるＶＰＮ終了応答メッセージの例を示す。

第３実施形態によると、ゲートウェイ装置４０は、クライアント装置２０に対して割り当てを行うＩＰアドレスを管理し、接続支援装置１０からのＶＰＮ設定要求メッセージの受信時に、クライアント装置２０に割り当てる仮想ＩＰアドレスを決定し、ＶＰＮ設定要求応答メッセージで仮想ＩＰアドレスを通知する。

これによって、クライアント装置２０とゲートウェイ装置４０との間で、ＩＫＥを行う事前にＩＰアドレスの割り当てが行われる。このため、アドレス管理プロトコルが実装されていないクライアントや機器に対しても、IPSec通信を実現することができる。クライ
アント装置２０がゲートウェイ装置４０からログアウトするときに、クライアント装置２０のアドレスを空に設定し、ルーティングテーブル(データベース４５及び４６)から削除する。

《その他》
更に、本発明の実施の形態は以下の発明を開示する。また、以下の各発明（以下、付記と称する）のいずれかに含まれる構成要素を他の付記の構成要素と組み合わせても良い。

（付記１）第１装置が第２装置との間でＩＫＥ(Internet Key Exchange)を通じてＶ
ＰＮ(Virtual Private Network)を確立することを支援する装置であって、
ＩＫＥで用いられる第１装置の認証情報を受信し、この認証情報に基づいて、前記第１装置の鍵交換モードがメインモードか否かを判定するモード判定部と、
前記第１装置の鍵交換モードがメインモードである場合に、前記第１装置が前記第２装置との間でＩＫＥを実行する場合に使用すべき通信鍵の情報と、前記認証情報とを含むＶＰＮ設定要求を前記第２装置に送信するＶＰＮ設定要求送信部と、
前記第２装置からＶＰＮ設定要求に対する応答を受信した場合に、前記通信鍵と前記第２装置のＩＰ(Internet Protocol)アドレスとを前記第１装置に通知する通知部と
を含む接続支援装置。(１)

(付記２) 前記第１装置の認証情報を含むＩＰパケットの受信時に、前記認証情報と該ＩＰパケットの送信元ＩＰアドレスとに基づいて、前記接続支援装置と前記第１装置との間にＩＰアドレス変換装置が介在しているか否かを判定する判定部をさらに含み、
前記ＩＰアドレス変換装置が介在している場合に、前記ＶＰＮ設定要求送信部が、前記ＩＰパケットの送信元ＩＰアドレスをさらに含むＶＰＮ設定要求を前記第２装置に送信する
付記１記載の接続支援装置。(２)

(付記３) 前記第１装置の鍵交換モードがメインモードである場合に複数の第２装置のリストが前記第１装置に送信され、前記第１装置で決定された前記複数の第２装置の一つを示す情報を含む返信が受信された場合に、前記ＶＰＮ設定要求送信部は前記複数の第２装置の一つに前記ＶＰＮ設定要求を送信する
付記１又は２記載の接続支援装置。(３)

(付記４) 前記第２装置へ送信した通信鍵を含む前記ＶＰＮ設定要求の応答を受信する付記１〜３のいずれかに記載の接続支援装置。

(付記５) 前記第２装置に収容された前記第１装置の通信相手が属するサブネットアドレスの情報を含む前記ＶＰＮ設定要求の応答が前記第２装置から受信された場合に、前記通知部は前記サブネットアドレスの情報を前記第１装置に通知する
付記１〜４のいずれかに記載の接続支援装置。(４)

(付記６) 前記第１装置に割り当てられるべきＩＰアドレスを含むＶＰＮ設定要求の応答が前記第２装置から受信された場合に、前記通知部は前記ＩＰアドレスを前記第１装置に通知する
付記１〜４のいずれかに記載の接続支援装置。(５)

(付記７) 前記モード判定部は、前記第１装置の認証情報がＩＰアドレスのフォーマットを有している場合に、前記第１装置の鍵交換モードがメインモードであると判定する
付記１記載の接続支援装置。

(付記８) 前記判定部は、前記第１装置の認証情報としてのＩＰアドレスと前記ＩＰパケットの送信元ＩＰアドレスとが一致する場合に前記接続支援装置と前記第１装置との間に前記アドレス変換装置が介在しないと判定し、ＩＰアドレスの双方が一致しない場合に前記接続支援装置と前記第１装置との間に前記アドレス変換装置が介在すると判定する
付記２記載の接続支援装置。

(付記９) ゲートウェイ装置との間でＩＫＥ(Internet Key Exchange)を通じたＶＰＮ
確立を所望する場合に、ＩＫＥで用いる自装置の認証情報として自装置のＩＰアドレスを含むメッセージを接続支援装置に送信し、該接続支援装置からＩＫＥで使用すべき通信鍵と前記ゲートウェイ装置のＩＰ(Internet Protocol)アドレスとを含む応答メッセージを
受け取る接続部と、
前記通信鍵及び前記ゲートウェイ装置並びに前記自装置の認証情報を用いて前記ゲートウェイ装置との間でＩＫＥを実行しＶＰＮ(Virtual Private Network)を確立するＶＰＮ
処理部とを含む
クライアント装置。(６)

(付記１０) 前記応答メッセージに、前記ゲートウェイ装置に収容された前記クライアント装置の通信相手が属するサブネットアドレスの情報が含まれている場合に、このサブネットアドレスと競合しない仮想ＩＰアドレスが生成され、前記ＶＰＮ確立後のＶＰＮ通信でカプセル化されるＩＰパケットの送信元ＩＰアドレスに前記仮想ＩＰアドレスが設定される
付記９記載のクライアント装置。(７)

(付記１１) 前記応答メッセージに、前記クライアント装置に割り当てられるべき仮想ＩＰアドレスが含まれている場合に、前記ＶＰＮ確立後のＶＰＮ通信でカプセル化されるＩＰパケットの送信元ＩＰアドレスに前記仮想ＩＰアドレスが設定される
付記９記載のクライアント装置。

(付記１２) 接続支援装置から、自装置とのＩＫＥ(Internet Key Exchange)を通じた
ＶＰＮ確立を所望するクライアント装置の認証情報としてのクライアント装置のＩＰアドレスと、ＩＫＥで使用すべき通信鍵とを含むＶＰＮ設定要求メッセージを受信し、このＶＰＮ設定要求メッセージに対する応答メッセージを前記接続支援装置に送信する接続部と、
前記認証情報としてのクライアント装置のＩＰアドレス及び前記通信鍵を用いて前記クライアント装置との間でＩＫＥを通じてＶＰＮを確立するＶＰＮ処理部とを含む
ゲートウェイ装置。(８)

(付記１３) 前記接続支援装置と前記クライアント装置との間にアドレス変換装置が介在している場合に、このアドレス変換装置のＩＰアドレスを更に含むＶＰＮ設定要求メッセージを受信する
付記１２記載のゲートウェイ装置。

(付記１４) 前記通信鍵を含む前記応答メッセージを前記接続支援装置に返信する
付記１２又は１３記載のゲートウェイ装置。

(付記１５) 前記ゲートウェイ装置に収容された前記クライアント装置の通信相手が属するサブネットネットアドレスを含む前記応答メッセージを前記接続部が前記接続支援装置に返信する付記１２〜１４のいずれかに記載のゲートウェイ装置。(９)

(付記１６) 前記ＶＰＮ設定要求メッセージの受信時に、前記クライアント装置に割り当てるべき仮想ＩＰアドレスが決定され、前記接続部が前記決定された仮想ＩＰアドレスを含む前記応答メッセージを前記接続支援装置に返信する
付記１２〜１４のいずれかに記載のゲートウェイ装置。(１０)

本発明の実施形態に係る接続支援システムの構成例を示す図である。図１に示した接続支援装置の処理フロー例を示す図である。図３に示したクライアント装置の処理フロー例を示す図である。第１実施形態の動作例１の説明図であり、メインモードのリモートアクセス支援(ＮＡＴあり)の動作を説明する図である。クライアントから接続支援装置へ向けて送信されるメッセージのフォーマット例を示す図である。ＮＡＴルータ(アドレス変換装置)で送信元ＩＰアドレスが変換された図５Ａに示したメッセージを示す図である。ＶＰＮ設定要求メッセージのフォーマット例の説明図である。ＶＰＮ設定要求応答メッセージのフォーマット例の説明図である。クライアント装置への応答メッセージのフォーマット例の説明図である。第２実施形態に係る接続支援システムの構成例及び動作例の説明図である。第２実施形態におけるＶＰＮ設定要求応答メッセージの説明図である。第２実施形態におけるクライアント装置の説明図である。第３実施形態におけるゲートウェイ装置の説明図である。第３実施形態におけるＶＰＮ終了要求メッセージのフォーマット例の説明図である。第３実施形態におけるＶＰＮ終了処理の説明図である。第３実施形態におけるＶＰＮ終了メッセージの説明図である。第３実施形態におけるＶＰＮ終了応答メッセージの説明図である。

符号の説明

１０・・・接続支援装置
１１・・・鍵交換モード検出部
１２・・・ＮＡＴ検出部
１３・・・ゲートウェイ選択部(ＶＰＮ設定要求送信部)
１４・・・通信鍵生成部
２０・・・クライアント装置
２１・・・接続部
２２・・・IPsecクライアント
３０・・・ＮＡＴルータ
４０・・・ゲートウェイ装置
４１・・・接続部
４２・・・IPsecゲートウェイ
４３・・・仮想アドレス管理部
４４・・・仮想ＩＰアドレス管理データベース
４５・・・IPsec SAデータベース
４６・・・ＩＤ管理データベース
５０・・・機器(通信相手)

Claims

第１装置が第２装置との間でＩＫＥ(Internet Key Exchange)を通じてＶＰＮ(Virtual Private Network)を確立することを支援する装置であって、
ＩＫＥで用いられる第１装置の認証情報を受信し、この認証情報に基づいて、前記第１装置の鍵交換モードがメインモードか否かを判定するモード判定部と、
前記第１装置の鍵交換モードがメインモードである場合に、前記第１装置が前記第２装置との間でＩＫＥを実行する場合に使用すべき通信鍵の情報と前記認証情報とを含むＶＰＮ設定要求を前記第２装置に送信するＶＰＮ設定要求送信部と、
前記第２装置からＶＰＮ設定要求に対する応答を受信した場合に、前記通信鍵と前記第２装置のＩＰ(Internet Protocol)アドレスとを前記第１装置に通知する通知部と
を含む接続支援装置。
前記第１装置の認証情報を含むＩＰパケットの受信時に、前記認証情報と該ＩＰパケットの送信元ＩＰアドレスとに基づいて、前記接続支援装置と前記第１装置との間にＩＰアドレス変換装置が介在しているか否かを判定する判定部をさらに含み、
前記ＩＰアドレス変換装置が介在している場合に、前記ＶＰＮ設定要求送信部が、前記ＩＰパケットの送信元ＩＰアドレスをさらに含むＶＰＮ設定要求を前記第２装置に送信する請求項１記載の接続支援装置。
前記第１装置の鍵交換モードがメインモードである場合に複数の第２装置のリストが前記第１装置に送信され、前記第１装置で決定された前記複数の第２装置の一つを示す情報を含む返信が受信された場合に、前記ＶＰＮ設定要求送信部は前記複数の第２装置の一つに前記ＶＰＮ設定要求を送信する
請求項１又は２記載の接続支援装置。
前記第２装置に収容された前記第１装置の通信相手が属するサブネットアドレスの情報を含む前記ＶＰＮ設定要求の応答が前記第２装置から受信された場合に、前記通知部は前記サブネットアドレスの情報を前記第１装置に通知する
請求項１〜３のいずれかに記載の接続支援装置。
前記第１装置に割り当てられるべきＩＰアドレスを含むＶＰＮ設定要求の応答が前記第２装置から受信された場合に、前記通知部は前記ＩＰアドレスを前記第１装置に通知する請求項１〜３のいずれかに記載の接続支援装置。
ゲートウェイ装置との間でＩＫＥ(Internet Key Exchange)を通じたＶＰＮ(Virtual Private Network)確立を所望する場合に、ＩＫＥで用いる自装置の認証情報として自装置のＩＰ(Internet Protocol)アドレスを含むメッセージを接続支援装置に送信し、該接続支援
装置における自装置の鍵交換モードがメインモードか否かの判定においてメインモードと判定された場合に該接続支援装置から送信される、ＩＫＥで使用すべき通信鍵と前記ゲートウェイ装置のＩＰアドレスとを含む応答メッセージを受け取る接続部と、
前記通信鍵及び前記ゲートウェイ装置のＩＰアドレス並びに前記自装置の認証情報を用いて前記ゲートウェイ装置との間でＩＫＥを実行しＶＰＮを確立するＶＰＮ処理部とを含むクライアント装置。
前記応答メッセージに、前記ゲートウェイ装置に収容された前記クライアント装置の通信相手が属するサブネットアドレスの情報が含まれている場合に、このサブネットアドレスと競合しない仮想ＩＰアドレスが生成され、前記ＶＰＮ確立後のＶＰＮ通信でカプセル化されるＩＰパケットの送信元ＩＰアドレスに前記仮想ＩＰアドレスが設定される
請求項６記載のクライアント装置。
クライアント装置と自装置との間のＶＰＮ(Virtual Private Network)確立を支援する
接続支援装置から、自装置とのＩＫＥ(Internet Key Exchange)を通じたＶＰＮ確立を所
望する、鍵交換モードがメインモードであると前記接続支援装置にて判定されたクライアント装置の認証情報としてのクライアント装置のＩＰ(Internet Protocol)アドレスと、
ＩＫＥで使用すべき通信鍵とを含むＶＰＮ設定要求メッセージを受信し、このＶＰＮ設定要求メッセージに対する応答メッセージを前記接続支援装置に送信する接続部と、
前記認証情報としてのクライアント装置のＩＰアドレス及び前記通信鍵を用いて前記クライアント装置との間でＩＫＥを通じてＶＰＮを確立するＶＰＮ処理部とを含む
ゲートウェイ装置。
前記ゲートウェイ装置に収容された前記クライアント装置の通信相手が属するサブネットネットアドレスを含む前記応答メッセージを前記接続部が前記接続支援装置に返信する請求項８記載のゲートウェイ装置。
前記ＶＰＮ設定要求メッセージの受信時に、前記クライアント装置に割り当てるべき仮想ＩＰアドレスが決定され、前記接続部が前記決定された仮想ＩＰアドレスを含む前記応答メッセージを前記接続支援装置に返信する
請求項８記載のゲートウェイ装置。