特許 6239320 ネットワークシステム、ブランチルータ、および、これらの制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6239320

(24)【登録日】2017年11月10日

(45)【発行日】2017年11月29日

(54)【発明の名称】ネットワークシステム、ブランチルータ、および、これらの制御方法

(51)【国際特許分類】

   H04L 12/46 20060101AFI20171120BHJP

   H04L 12/70 20130101ALI20171120BHJP

   H04L 9/08 20060101ALI20171120BHJP

【ＦＩ】

   H04L12/46 V

   H04L12/70 D

   H04L9/00 601E

   H04L9/00 601C

【請求項の数】6

【全頁数】19

(21)【出願番号】特願2013-182354(P2013-182354)

(22)【出願日】2013年9月3日

(65)【公開番号】特開2015-50699(P2015-50699A)

(43)【公開日】2015年3月16日

【審査請求日】2016年7月21日

(73)【特許権者】

【識別番号】000005290

【氏名又は名称】古河電気工業株式会社

(73)【特許権者】

【識別番号】505173245

【氏名又は名称】古河ネットワークソリューション株式会社

(74)【代理人】

【識別番号】100130247

【弁理士】

【氏名又は名称】江村 美彦

(74)【代理人】

【識別番号】100167863

【弁理士】

【氏名又は名称】大久保 恵

(72)【発明者】

【氏名】植木 健

(72)【発明者】

【氏名】山谷 有史

(72)【発明者】

【氏名】小林 康宏

(72)【発明者】

【氏名】井上 亮一

【審査官】 野元 久道

(56)【参考文献】

【文献】 特表２００８−５４１５０４（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ １２／４６

Ｈ０４Ｌ ９／０８

Ｈ０４Ｌ １２／７０

(57)【特許請求の範囲】

【請求項1】

複数のブランチルータを有する１以上のグループと、これら１以上のグループを制御するゲートウェイとを有するネットワークシステムにおいて、
前記ゲートウェイは、
各グループを構成する複数の前記ブランチルータに対してＭＰＳＡ（Multi-point Security Association）情報を配布する配布手段を有し、
前記複数のブランチルータは、
前記配布手段によって配布された前記ＭＰＳＡ情報に基づいて相互に暗号化通信を行う通信手段と、
他のブランチルータから送信されるパケットに付与されたシーケンス番号の重複の有無を判定するための情報であるシーケンス番号ウィンドウを、ブランチルータ毎に記憶する記憶手段と、
他のブランチルータからパケットを受信した場合、前記記憶手段に記憶されているシーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する判定手段と、
前記判定手段によってシーケンス番号が重複すると判定された場合にはそのパケットを破棄する破棄手段と、を有し、
複数の他のブランチルータに対してパケットを送信する場合、送信側は共通のシーケンス番号を使用してパケットを送信し、受信側はブランチルータ毎に前記記憶手段に記憶した前記シーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する、
ことを特徴とするネットワークシステム。

【請求項2】

前記記憶手段は、通信が発生した場合に、そのブランチルータの前記シーケンス番号ウィンドウを記憶する、ことを特徴とする請求項１に記載のネットワークシステム。

【請求項3】

いずれかの前記ブランチルータが再起動された場合、前記ゲートウェイは全ての前記ブランチルータに対して前記ＭＰＳＡの再登録を要求する、ことを特徴とする請求項１または２に記載のネットワークシステム。

【請求項4】

複数のブランチルータを有する１以上のグループと、これら１以上のグループを制御するゲートウェイとを有するネットワークシステムの制御方法において、
前記ゲートウェイは、
各グループを構成する複数の前記ブランチルータに対してＭＰＳＡ（Multi-point Security Association）情報を配布する配布ステップを有し、
前記複数のブランチルータは、
前記配布ステップにおいて配布された前記ＭＰＳＡ情報に基づいて相互に暗号化通信を行う通信ステップと、
他のブランチルータから送信されるパケットに付与されたシーケンス番号の重複の有無を判定するための情報であるシーケンス番号ウィンドウを、ブランチルータ毎に記憶装置に記憶させる記憶ステップと、
他のブランチルータからパケットを受信した場合、前記記憶装置に記憶されているシーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する判定ステップと、
前記判定ステップにおいてシーケンス番号が重複すると判定された場合にはそのパケットを破棄する破棄ステップと、を有し、
複数の他のブランチルータに対してパケットを送信する場合、送信側は共通のシーケンス番号を使用してパケットを送信し、受信側はブランチルータ毎に前記記憶装置に記憶させた前記シーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する、
ことを特徴とするネットワークシステムの制御方法。

【請求項5】

複数のブランチルータを有する１以上のグループと、これら１以上のグループを制御するとともに、各グループを構成する複数の前記ブランチルータに対してＭＰＳＡ（Multi-point Security Association）情報を配布する配布手段を備えるゲートウェイとを有するネットワークシステムを構成する前記ブランチルータにおいて、
前記配布手段によって配布された前記ＭＰＳＡ情報に基づいて相互に暗号化通信を行う通信手段と、
他のブランチルータから送信されるパケットに付与されたシーケンス番号の重複の有無を判定するための情報であるシーケンス番号ウィンドウを、ブランチルータ毎に記憶する記憶手段と、
他のブランチルータからパケットを受信した場合、前記記憶手段に記憶されているシーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する判定手段と、
前記判定手段によってシーケンス番号が重複すると判定された場合にはそのパケットを破棄する破棄手段と、を有し、
複数の他のブランチルータに対してパケットを送信する場合、送信側は共通のシーケンス番号を使用してパケットを送信し、受信側はブランチルータ毎に前記記憶手段に記憶した前記シーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する、
ことを特徴とするブランチルータ。

【請求項6】

複数のブランチルータを有する１以上のグループと、これら１以上のグループを制御するとともに、各グループを構成する複数の前記ブランチルータに対してＭＰＳＡ（Multi-point Security Association）情報を配布する配布手段を備えるゲートウェイとを有するネットワークシステムを構成する前記ブランチルータの制御方法において、
前記配布手段によって配布された前記ＭＰＳＡ情報に基づいて相互に暗号化通信を行う通信ステップと、
他のブランチルータから送信されるパケットに付与されたシーケンス番号の重複の有無を判定するための情報であるシーケンス番号ウィンドウを、ブランチルータ毎に記憶装置に記憶させる記憶ステップと、
他のブランチルータからパケットを受信した場合、前記記憶手段に記憶されているシーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する判定ステップと、
前記判定ステップにおいてシーケンス番号が重複すると判定された場合にはそのパケットを破棄する破棄ステップと、を有し、
複数の他のブランチルータに対してパケットを送信する場合、送信側は共通のシーケンス番号を使用してパケットを送信し、受信側はブランチルータ毎に前記記憶装置に記憶させた前記シーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する、
ことを特徴とするブランチルータの制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワークシステム、ブランチルータ、および、これらの制御方法に関するものである。

【背景技術】

【0002】

ＶＰＮ（Virtual Private Network）通信においては、ネットワークのハブ（Hub）となるゲートウェイと、このゲートウェイに接続されたスポーク（Spoke）となる複数のブランチルータによって構成されるＨｕｂ−ａｎｄ−Ｓｐｏｋｅ型ＶＰＮネットワークシステムが存在する。

【0003】

ところで、このようなＨｕｂ−ａｎｄ−Ｓｐｏｋｅ型ＶＰＮネットワークシステムでは、拠点間通信が必ずゲートウェイを通過することから、例えば、ブランチルータ同士が隣接地にあってもゲートウェイが遠隔地にある場合には伝送遅延が大きくなる。また、全ての通信がゲートウェイを通過することから通信量が大きくなり、ゲートウェイの設備負荷が大きくなるという問題点がある。

【0004】

そこで、非特許文献１に記載されているように、複数のブランチルータによってグループを構成し、各グループ内における拠点間通信は共通のグループ鍵によってブランチルータ間で直接通信を行い、グループ鍵は、ゲートウェイから各ブランチルータに配布する技術が存在する。

【先行技術文献】

【非特許文献】

【0005】

【非特許文献1】スター型とメッシュ型のハイブリッドＩＰ−ＶＰＮアーキテクチャ、電子情報通信学会、信学技報ＮＳ２０１２−２０，Ｍａｙ／２０１２

【発明の概要】

【発明が解決しようとする課題】

【0006】

ところで、非特許文献１に開示された技術では、グループを構成する複数のブランチルータはグループ鍵を共用する同じＭＰＳＡ（Multi-point Security Association）を使用して通信を行うことから、シーケンス番号を個別に管理することが困難なため、リプレイ攻撃に対する防御を行うことが困難であるという問題点がある。

【0007】

本発明は、以上の点に鑑みてなされたものであり、グループ内で単一のグループ鍵を共用するネットワークシステムにおいて、リプレイ攻撃を防止することが可能なネットワークシステム、ブランチルータ、および、これらの制御方法を提供することを目的としている。

【課題を解決するための手段】

【0008】

上記課題を解決するために、本発明は、複数のブランチルータを有する１以上のグループと、これら１以上のグループを制御するゲートウェイとを有するネットワークシステムにおいて、前記ゲートウェイは、各グループを構成する複数の前記ブランチルータに対してＭＰＳＡ（Multi-point Security Association）情報を配布する配布手段を有し、前記複数のブランチルータは、前記配布手段によって配布された前記ＭＰＳＡ情報に基づいて相互に暗号化通信を行う通信手段と、他のブランチルータから送信されるパケットに付与されたシーケンス番号の重複の有無を判定するための情報であるシーケンス番号ウィンドウを、ブランチルータ毎に記憶する記憶手段と、他のブランチルータからパケットを受信した場合、前記記憶手段に記憶されているシーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する判定手段と、前記判定手段によってシーケンス番号が重複すると判定された場合にはそのパケットを破棄する破棄手段と、を有し、複数の他のブランチルータに対してパケットを送信する場合、送信側は共通のシーケンス番号を使用してパケットを送信し、受信側はブランチルータ毎に前記記憶手段に記憶した前記シーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する、ことを特徴とする。
このような構成によれば、グループ内で単一のグループ鍵を共用するネットワークシステムにおいて、リプレイ攻撃を防止することが可能となる。

【0009】

また、本発明の一側面は、前記記憶手段は、通信が発生した場合に、そのブランチルータの前記シーケンス番号ウィンドウを記憶する、ことを特徴とする。
このような構成によれば、通信が発生した場合に初めて情報を記憶するので、必要な記憶領域を少なくすることができる。

【0010】

また、本発明の一側面は、いずれかの前記ブランチルータが再起動された場合、前記ゲートウェイは全ての前記ブランチルータに対して前記ＭＰＳＡの再登録を要求する、ことを特徴とする。

【0011】

本発明は、複数のブランチルータを有する１以上のグループと、これら１以上のグループを制御するゲートウェイとを有するネットワークシステムの制御方法において、前記ゲートウェイは、各グループを構成する複数の前記ブランチルータに対してＭＰＳＡ（Multi-point Security Association）情報を配布する配布ステップを有し、前記複数のブランチルータは、前記配布ステップにおいて配布された前記ＭＰＳＡ情報に基づいて相互に暗号化通信を行う通信ステップと、他のブランチルータから送信されるパケットに付与されたシーケンス番号の重複の有無を判定するための情報であるシーケンス番号ウィンドウを、ブランチルータ毎に記憶装置に記憶させる記憶ステップと、他のブランチルータからパケットを受信した場合、前記記憶装置に記憶されているシーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する判定ステップと、前記判定ステップにおいてシーケンス番号が重複すると判定された場合にはそのパケットを破棄する破棄ステップと、を有し、複数の他のブランチルータに対してパケットを送信する場合、送信側は共通のシーケンス番号を使用してパケットを送信し、受信側はブランチルータ毎に前記記憶装置に記憶させた前記シーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する、ことを特徴とする。
このような方法によれば、グループ内で単一のグループ鍵を共用するネットワークシステムにおいて、リプレイ攻撃を防止することが可能となる。

【0012】

また、本発明は、複数のブランチルータを有する１以上のグループと、これら１以上のグループを制御するとともに、各グループを構成する複数の前記ブランチルータに対してＭＰＳＡ（Multi-point Security Association）情報を配布する配布手段を備えるゲートウェイとを有するネットワークシステムを構成する前記ブランチルータにおいて、前記配布手段によって配布された前記ＭＰＳＡ情報に基づいて相互に暗号化通信を行う通信手段と、他のブランチルータから送信されるパケットに付与されたシーケンス番号の重複の有無を判定するための情報であるシーケンス番号ウィンドウを、ブランチルータ毎に記憶する記憶手段と、他のブランチルータからパケットを受信した場合、前記記憶手段に記憶されているシーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する判定手段と、前記判定手段によってシーケンス番号が重複すると判定された場合にはそのパケットを破棄する破棄手段と、を有し、複数の他のブランチルータに対してパケットを送信する場合、送信側は共通のシーケンス番号を使用してパケットを送信し、受信側はブランチルータ毎に前記記憶手段に記憶した前記シーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する、ことを特徴とする。
このような構成によれば、グループ内で単一のグループ鍵を共用するネットワークシステムにおいて、リプレイ攻撃を防止することが可能となる。

【0013】

また、本発明は、複数のブランチルータを有する１以上のグループと、これら１以上のグループを制御するとともに、各グループを構成する複数の前記ブランチルータに対してＭＰＳＡ（Multi-point Security Association）情報を配布する配布手段を備えるゲートウェイとを有するネットワークシステムを構成する前記ブランチルータの制御方法において、前記配布手段によって配布された前記ＭＰＳＡ情報に基づいて相互に暗号化通信を行う通信ステップと、他のブランチルータから送信されるパケットに付与されたシーケンス番号の重複の有無を判定するための情報であるシーケンス番号ウィンドウを、ブランチルータ毎に記憶装置に記憶させる記憶ステップと、他のブランチルータからパケットを受信した場合、前記記憶手段に記憶されているシーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する判定ステップと、前記判定ステップにおいてシーケンス番号が重複すると判定された場合にはそのパケットを破棄する破棄ステップと、を有し、複数の他のブランチルータに対してパケットを送信する場合、送信側は共通のシーケンス番号を使用してパケットを送信し、受信側はブランチルータ毎に前記記憶装置に記憶させた前記シーケンス番号ウィンドウを参照して、シーケンス番号の重複の有無を判定する、ことを特徴とする。
このような構成によれば、グループ内で単一のグループ鍵を共用するネットワークシステムにおいて、リプレイ攻撃を防止することが可能となる。

【発明の効果】

【0014】

本発明によれば、グループ内で単一のグループ鍵を共用するネットワークシステムにおいて、リプレイ攻撃を防止することが可能なネットワークシステム、ブランチルータ、および、これらの制御方法を提供することが可能となる。

【図面の簡単な説明】

【0015】

【図1】本発明の実施形態に係るネットワークシステムの構成例を示す図である。

【図2】図１に示す実施形態に記載のゲートウェイとブランチルータの詳細な構成例を示す図である。

【図3】図２に示すＭＰＳＡ処理部の詳細な構成例を示す図である。

【図4】ＭＰＳＡの対応関係の一例を示す図である。

【図5】図３に示すＭＰＳＡテーブルの一例である。

【図6】シーケンス番号ウィンドウの動作の一例を説明する図である。

【図7】ＩＰパケットとＥＳＰパケットのフォーマットの一例を示す図である。

【図8】図７に示すＥＳＰパケットの詳細なフォーマットの一例を示す図である。

【図9】パケットを受信する際に実行される処理の一例を説明するためのフローチャートである。

【図10】パケットを送信する際に実行される処理の一例を説明するためのフローチャートである。

【図11】ブランチルータが再起動された際にゲートウェイで実行される処理の一例を説明するためのフローチャートである。

【図12】ブランチルータが再起動された際にブランチルータで実行される処理の一例を説明するためのフローチャートである。

【発明を実施するための形態】

【0016】

次に、本発明の実施形態について説明する。

【0017】

（Ａ）実施形態の構成の説明
図１は、本発明の実施形態に係るネットワークシステムの構成例を示す図である。この図に示すように、本発明の実施形態に係るネットワークシステムは、ゲートウェイ１０、トランジットネットワーク２０、Ｉ−ＩＰ（Internal-Internet Protocol）ネットワーク３０、ブランチルータ５０，６０、Ｅ−ＩＰ（External-Internet Protocol）クライアントネットワーク７０，８０が存在する。なお、ブランチルータ５０，６０はＭＰＳＡ（Multi-point Security Association）に基づいて暗号化通信を行う。

【0018】

ここで、ゲートウェイ１０は、ブランチルータ５０，６０との間でＩＫＥｖ２（Internet Key Exchange Protocol Version 2）により確立される鍵交換用の暗号化通信路であるＩＫＥ＿ＳＡ（Security Association）を介してグループ鍵を配布するとともに、ＩＫＥｖ２により確立されるデータ通信用の暗号化通信路であるＣＨＩＬＤ＿ＳＡを介して経路情報をＢＧＰ（Border Gateway Protocol）によって交換する。この経路情報には、あるブランチルータからＭＰＳＡを介して他のブランチルータの配下に存在するＥ−ＩＰクライアントネットワークに到達するために、どのブランチルータを介するべきかを示す情報が含まれており、詳細についてはＲＦＣ５５１２およびＲＦＣ５５６６で開示されている。

【0019】

トランジットネットワーク２０は、Ｉ−ＩＰネットワーク３０およびＭＰＳＡ４０のトラフィックを中継するネットワークである。

【0020】

Ｉ−ＩＰネットワーク３０は、トランジットネットワーク２０の上でＣＨＩＬＤ＿ＳＡにより設けられた仮想的なネットワークである。Ｅ−ＩＰクライアントネットワーク７０，８０はクライアントの各拠点に設けられた外部のネットワークである。

【0021】

図２は、図１に示すゲートウェイ１０およびブランチルータ５０，６０の構成例を示す図である。図２に示すように、ゲートウェイ１０は、パケット送受信部１１、ＳＡ（Security Association）処理部１２、ＩＫＥ（Internet Key Exchange）処理部１３、経路プロトコル処理部１４、ＭＰＳＡ送信部１５、ＭＰＳＡ管理部１６、および、パケット送受信部１７を有している。

【0022】

ここで、パケット送受信部１１は、ブランチルータ５０，６０との間でパケットの送受信を行う。ＳＡ処理部１２は、ブランチルータ５０，６０との間でＩＰｓｅｃによる暗号化通信を行う際に、ＩＫＥ処理部１３から通知された認証アルゴリズムや暗号化アルゴリズムに基づくＩＫＥ＿ＳＡもしくはＣＨＩＬＤ＿ＳＡによるＳＡ（Security Association）処理を実行する。この結果、ゲートウェイ１０は、ブランチルータ５０，６０との間で暗号化通信によってグループ鍵を配布することができる。

【0023】

ＩＫＥ処理部１３は、ＩＰｓｅｃにより暗号化通信を行う前に、ＩＰｓｅｃに必要な暗号化アルゴリズムの決定と暗号鍵の共有を行う処理を実行する。経路プロトコル処理部１４は、経路情報テーブルをブランチルータ５０，６０と交換するための処理を実行する。

【0024】

ＭＰＳＡ送信部１５は、ブランチルータ５０，６０に対してグループ鍵を送信する処理を実行する。ＭＰＳＡ管理部１６は、ブランチルータ５０，６０に送信するグループ鍵を管理する処理部である。パケット送受信部１７は、ブランチルータ５０，６０以外のネットワーク機器と接続され、パケットの送受信を行う。

【0025】

また、ブランチルータ５０は、パケット送受信部５１、ＳＡ処理部５２、ＩＫＥ処理部５３、経路プロトコル処理部５４、ＭＰＳＡ受信部５５、ＭＰＳＡ処理部５６、および、パケット送受信部５７を有している。

【0026】

ここで、パケット送受信部５１は、ゲートウェイ１０およびブランチルータ６０との間でパケットの送受信を行う。ＳＡ処理部５２は、ゲートウェイ１０との間でＩＰｓｅｃによる暗号化通信を行う際に、ＩＫＥ処理部５３から通知された認証アルゴリズムや暗号化アルゴリズムに基づくＩＫＥ＿ＳＡもしくはＣＨＩＬＤ＿ＳＡによるＳＡ処理を実行する。ＳＡ処理の結果、ブランチルータ５０は、ゲートウェイ１０との間で暗号化通信によってグループ鍵を受け取ることができる。

【0027】

ＩＫＥ処理部５３は、暗号化通信を行う前に、暗号化通信を行うＳＡ処理部５２で必要な暗号化アルゴリズムの決定と暗号鍵の共有を行うための処理を実行する。経路プロトコル処理部５４は、経路情報テーブルをゲートウェイ１０と交換するための処理を実行する。

【0028】

ＭＰＳＡ受信部５５は、ゲートウェイ１０から配布されたグループ鍵を受信する処理を実行する。ＭＰＳＡ処理部５６は、グループ鍵に基づくＳＡ処理を実行する。ＭＰＳＡ処理部５６が扱うパケットはＳＡ処理部５２が扱うＣＨＩＬＤ＿ＳＡと同じＥＳＰ（Encapsulated Security Payload）を用いることが可能で、ＥＳＰのヘッダ部に格納されるＳＰＩ（Security Parameter Index）によって何れのＳＡに属するパケットであるかを識別する。パケット送受信部５７は、Ｅ−ＩＰクライアントネットワーク７０との間でパケットの送受信を行う。

【0029】

ブランチルータ６０は、ブランチルータ５０と同様の構成とされているので、詳細な説明は省略する。なお、図３では図面を簡略化するためにブランチルータ６０とゲートウェイ１０との接続は省略しているが、ブランチルータ６０はブランチルータ５０と同様にゲートウェイ１０に接続されている。

【0030】

図３は、図２に示すＭＰＳＡ処理部５６の詳細な構成を示す図である。なお、ＭＰＳＡ処理部６６も同様の構成とされているので、その説明は省略する。

【0031】

図３に示すように、ＭＰＳＡ処理部５６は、ＭＰＳＡ検索部５６１、ＭＰＳＡテーブル５６２、送信元アドレス検査部５６３、ＥＳＰ復号部５６４、および、ＭＰＳＡ管理部５６５を有している。

【0032】

ここで、ＭＰＳＡ検索部５６１は、ブランチルータ６０との間で通信を行う際に、グループ鍵等に関する合意であるＭＰＳＡをＭＰＳＡテーブル５６２から検索し、該当するＭＰＳＡを取得するとともに、後述するシーケンス番号ウィンドウに基づいてシーケンス番号が重複するパケットを破棄する。ＭＰＳＡテーブル５６２は、前述したＭＰＳＡおよびシーケンス番号ウィンドウ等の情報を格納するテーブルである。

【0033】

送信元アドレス検査部５６３は、パケットに付与されたＩＰアドレスの送信元アドレスに基づいて経路情報テーブル５９を参照し、パケットの送信元が正当か否かを判定する。

【0034】

ＥＳＰ復号部５６４は、ＭＰＳＡテーブル５６２を参照して、暗号化されているパケットを復号処理する。

【0035】

ＭＰＳＡ登録部５６５は、他のブランチルータと通信を行う際に、ＭＰＳＡテーブル５６２にＭＰＳＡおよびシーケンス番号ウィンドウ等の情報を登録・更新する。

【0036】

経路情報テーブル５９は、経路プロトコル処理部５４が取得した経路情報を格納し、この経路情報に基づいて、ルーティング処理が実行される。

【0037】

（Ｂ）実施形態の動作の説明
つぎに、本発明の実施形態の動作について説明する。以下では、まず、本実施形態の概略の動作について説明した後に、詳細な動作について説明する。

【0038】

図４は、図１に示すブランチルータ５０がｎ台の他のブランチルータ６０−１〜６０−ｎと通信する場合のＭＰＳＡ、シーケンス番号、および、シーケンス番号ウィンドウの関係を示す図である。図４（Ａ）はブランチルータ５０がパケットを送信する場合を示し、図４（Ｂ）はブランチルータ５０がパケットを受信する場合を示している。

【0039】

図４（Ａ）に示すように、ブランチルータ５０がパケットを送信する場合には、ＭＰＳＡ０に基づいて他のブランチルータ６０−１〜６０−ｎとの間でＭＰＳＡが設定される。また、ブランチルータ５０はパケットを送信する毎に、シーケンス番号をカウントアップし、カウントアップされたシーケンス番号を各パケットに付与して送信する。ブランチルータ６０−１〜６０−ｎは、図４（Ｂ）に基づいて後述するように、シーケンス番号ウィンドウを通信相手毎に独立して有しており、このシーケンス番号ウィンドウに基づいて受信したパケットの正当性を判断する。

【0040】

図４（Ｂ）に示すように、ブランチルータ５０がパケットを受信する場合には、ＭＰＳＡ０に基づいて他のブランチルータ６０−１〜６０−ｎとの間でＭＰＳＡが設定される。また、ブランチルータ５０は、通信相手となるブランチルータ６０−１〜６０−ｎ毎にシーケンス番号ウィンドウを有しており、シーケンス番号ウィンドウを参照して、同じシーケンス番号が付与されたパケットを重複して受信した場合にはそのパケットは不正なパケットであるとして破棄する。

【0041】

図５はＭＰＳＡテーブル５６２に格納されている情報の一例を示す図である。図５（Ａ）はブランチルータ５０がパケットを送信する場合に参照する情報であり、図５（Ｂ）はブランチルータ５０がパケットを受信する場合に参照する情報である。図５（Ａ）に示すように、ブランチルータ５０がパケットを送信する場合は、対地（ブランチルータ６０−１〜６０−ｎ）によらず、同じＭＰＳＡ０を用いるとともに、同じシーケンス番号を用いる。このため、例えば、ブランチルータ６０−１にパケットを１つ送信し、続いて、ブランチルータ６０−ｎにパケットを１つ送信する場合、ブランチルータ６０−１にはシーケンス番号が、例えば、“１”のパケットが送信され、ブランチルータ６０−ｎにはシーケンス番号が１カウントアップされた“２”のパケットが送信される。なお、シーケンス番号は、例えば、ＥＳＰパケットの場合、３２ｂｉｔのビット長を有するデータであり、送信開始時には０とされ、パケットを送信する毎にカウントアップされ、最大値までカウントされた場合には、設定されたポリシーに基づいてＭＰＳＡを破棄するか０に戻って同じ動作を繰り返す。なお、図５（Ａ）に示すような対地を特定しないＭＰＳＡを、以下、必要に応じて「対地非特定ＭＰＳＡ」と呼ぶ。

【0042】

図５（Ｂ）に示すように、ブランチルータ５０がパケットを受信する場合、同じＭＰＳＡ０を用いるが、シーケンス番号ウィンドウについては対地毎に、すなわち、ブランチルータ６０−１〜６０−ｎ毎にシーケンス番号ウィンドウを設けて個別に管理する。なお、図５（Ｂ）に示すような対地を特定したＭＰＳＡを、以下、必要に応じて「対地特定ＭＰＳＡ」と呼ぶ。なお、実際の処理では、最初に「対地非特定ＭＰＳＡ」が設定され、その対地から正当なパケットを受信した場合に、「対地特定ＭＰＳＡ」に設定される。この処理の詳細については、図９を参照して後述する。

【0043】

図６はシーケンス番号ウィンドウの動作を説明するための図である。図６では、１６ｂｉｔ分（１６パケット分）の情報だけが例として示されている。もちろん、本発明が１６ｂｉｔに限定されるものではなく、リプレイ防御ウィンドウを広げることで無限のｂｉｔ長に対応する。図６（Ａ）に示すように、初期状態（パケットが届く前の状態）では、シーケンス番号ウィンドウの全てのビットは“０”に設定される。なお、図中の破線の矩形は、リプレイ防御ウィンドウを示し、シーケンス番号ウィンドウではこの範囲の情報のみを管理しており、この範囲内の０のｂｉｔもしくはこの範囲より右側に該当するシーケンス番号を持ったパケットのみが受信の対象となり、それ以外のシーケンス番号を持ったパケットは受信しても破棄される。リプレイ防御ウィンドウは、初期状態では、シーケンス番号０に該当するｂｉｔを左端とする位置に設定される。

【0044】

このような状態において、特定の対地からシーケンス番号が“１”のパケットが届いたとすると、図６（Ｂ）に示すように、シーケンス番号ウィンドウのＬＳＢ（Least Significant Bit）が“１”に設定される。つぎに、特定の対地からシーケンス番号が“２”のパケットが届いたとすると、図６（Ｃ）に示すように、シーケンス番号ウィンドウのＬＳＢから２番目のビットが“１”に設定される。つぎに、シーケンス番号が“３”のパケットが届かずに（例えば、他のブランチルータに送信され）、シーケンス番号が“４”のパケットが届いた場合、図６（Ｄ）に示すように、シーケンス番号ウィンドウのＬＳＢから３番目のビットが“０”のままで、シーケンス番号ウィンドウのＬＳＢから４番目のビットが“１”に設定される。このような状態において、図６（Ｅ）に示すように、シーケンス番号が“４”の不正なパケットが届いた場合には、シーケンス番号ウィンドウのＬＳＢから４番目のビットは既に“１”に設定されているので、このパケットは不正であるとして破棄される。つぎに、シーケンス番号が“９”のパケットが届いた場合、図６（Ｆ）に示すように、リプレイ防御ウィンドウが１ｂｉｔ分だけＭＳＢ（Most Significant Bit）側に移動されるとともに、シーケンス番号ウィンドウのＬＳＢから９番目のビットが“１”に設定される。なお、リプレイ防御ウィンドウが移動すると、ＬＳＢは範囲から外れるので、例え、シーケンス番号が“１”のパケットがまだ届いていない状態であったとしても、リプレイ防御ウィンドウが移動した後に、シーケンス番号が“１”のパケットが届いたとしても破棄される。なお、更に詳細には、パケット受信時にシーケンス番号ウィンドウにより重複チェックを実施し、重複していないパケットの復号化処理まで成功した場合に該当ｂｉｔを“１”に設定するとともに必要に応じてリプレイ防御ウィンドウの移動を実施する。

【0045】

つぎに、より具体的な動作について説明する。まず、ゲートウェイ１０とブランチルータ５０のＩＫＥ処理部１３，５３の間では、ＩＫＥ＿ＩＮＩＴ交換によりＩＫＥ＿ＳＡで使用する暗号化アルゴリズム（暗号方式や認証方式）が決定され、鍵交換により暗号鍵が共有される。更にＩＫＥ＿ＳＡを通じ、ＩＰｓｅｃでのＣＨＩＬＤ＿ＳＡを通じた通信で使用される暗号化アルゴリズムが決定され、暗号鍵が共有される。この結果、図１に示すように、ゲートウェイ１０とブランチルータ５０の間に暗号化トンネルとして、ＩＫＥメッセージの交換で使用されるＩＫＥ＿ＳＡとＩＰｓｅｃでの保護対象となるパケットを送受信するＣＨＩＬＤ＿ＳＡが形成される。ＭＰＳＡ送信部１５は、ＭＰＳＡ管理部１６からグループ鍵を受け取り、この暗号化トンネルを介してグループ鍵をブランチルータ５０に送信する。ブランチルータ５０のＭＰＳＡ受信部５５は、ゲートウェイ１０から暗号化アルゴリズムやグループ鍵を受信し、ＭＰＳＡ処理部５６に供給する。

【0046】

同様の処理は、ゲートウェイ１０とブランチルータ６０の間でも実行され、ブランチルータ６０のＭＰＳＡ受信部６５は、ブランチルータ５０が受信したものと同じグループ鍵をゲートウェイ１０から受信し、ＭＰＳＡ処理部６６に供給する。この結果、ブランチルータ５０とブランチルータ６０が同じグループ鍵を保持することになる。

【0047】

ブランチルータ５０とブランチルータ６０は、このようにして取得したグループ鍵を用いることで、ＩＰｓｅｃでの通信で使用される認証方式や暗号化のパラメータをブランチルータ間で個別に交換することなく、図１に示すように、ブランチルータ５０とブランチルータ６０の間に暗号化トンネルとなるＭＰＳＡが形成され、このＭＰＳＡを介して暗号化通信を行うことが可能となる。なお、図４に示すように、ブランチルータ６０がｎ台存在する場合には、前述の場合と同様の処理がゲートウェイ１０とブランチルータ６０−１〜６０−ｎのそれぞれとの間において実行され、ブランチルータ６０−１〜６０−ｎの間で個別にパラメータの受け渡しを行うことなく、これら全てのブランチルータにまたがるＭＰＳＡが形成される。

【0048】

このような状態において、例えば、図４に示すブランチルータ５０とブランチルータ６０−１の間で通信を行う場合を例に挙げて以下に説明する。ブランチルータ５０とブランチルータ６０−１の間で通信を行う場合には、まず、ゲートウェイ１０とこれらのブランチルータとの間でＩＫＥ＿ＳＡおよびＣＨＩＬＤ＿ＳＡが形成され、更にゲートウェイ１０から各ブランチルータにＭＰＳＡで使用する暗号化アルゴリズムやグループ鍵が通知されてＭＰＳＡが形成される。この結果、例えばブランチルータ５０においては、ブランチルータ５０からブランチルータ６０−１の送信方向には図４（Ａ）に示す対地非特定のＭＰＳＡ０が使用され、ブランチルータ６０−１からブランチルータ５０の受信方向には図４（Ｂ）に示す対地特定のＭＰＳＡ０が使用される。また、ブランチルータ５０のＭＰＳＡテーブル５６２には、図５（Ａ）に示す情報（対地非特定ＭＰＳＡ）が、シーケンス番号が初期値“０”の状態で格納されるとともに、図５（Ｂ）の１行目に示す対地が６０−１に関する情報（対地特定ＭＰＳＡ）が、シーケンス番号ウィンドウが初期値“００００００００”の状態で格納され、リプレイ防御ウィンドウ（図示していない）はＭＳＢの位置に設定される。なお、図５（Ａ），（Ｂ）では全ての対地に関する情報が格納されているが、実際には通信が開始される際に、初めて情報が生成されて格納されるので、必要な記憶領域の量を減らすことができる。より具体的には、受信したＥＳＰパケットの送信元に該当する対地特定ＭＰＳＡが生成されていなかった場合、シーケンス番号ウィンドウが初期値の状態の仮の対地特定ＭＰＳＡを生成して受信処理を実施し、ＥＳＰパケットの復号化処理が成功して初めて正式な対地特定ＭＰＳＡとして保持することができる。一方、受信したＥＳＰパケットの送信元に該当する対地特定ＭＰＳＡが生成されていなかった場合であって、復号化処理に失敗したときには不正なパケットとして廃棄するとともに、生成した仮の対地特定ＭＰＳＡも消去する。

【0049】

図４（Ａ）に示すように、ブランチルータ５０からパケットをブランチルータ６０−１に送信する場合には、パケットを１つ送信する毎にシーケンス番号が“１”カウントアップされる。なお、このようなシーケンス番号のカウントアップは、ブランチルータ６０−１だけではなく、全てのブランチルータ６０−１〜６０−ｎに対して実行される。例えば、ブランチルータ６０−１にパケットが送信され、つぎに、ブランチルータ６０−２にパケットが送信された場合には、シーケンス番号としては“１”と“２”がそれぞれＥＳＰパケット２００のＥＳＰヘッダ２０２のシーケンス番号２０２ｓとして付与される。このようなＥＳＰパケット２００を受信したブランチルータ６０−１では、後述するような受信処理が実行されてパケットの正当が判定される。

【0050】

図４（Ｂ）に示すように、ブランチルータ６０−１から送信されたパケットをブランチルータ５０が受信する場合、ブランチルータ６０−１は、パケットを１つ送信する毎にシーケンス番号を“１”カウントアップする。なお、このようなシーケンス番号のカウントアップは、ブランチルータ５０に送信するパケットに対してだけでなく、全てのブランチルータに送信するパケットに対して実行される。例えば、ブランチルータ６０−１が、ブランチルータ５０にパケットを送信し、つぎに、ブランチルータ６０−２にパケットを送信した場合には、シーケンス番号としては“１”と“２”がそれぞれＥＳＰパケット２００のＥＳＰヘッダ２０２のシーケンス番号２０２ｓとして付与される。

【0051】

このようなＥＳＰパケット２００を受信したブランチルータ５０は、ＥＳＰパケット２００のアウターＩＰヘッダ２０１に含まれる送信元アドレス２０１ｓから対地（ブランチルータ６０−１）を特定し、この対地に対応する情報を図５（Ｂ）に示す情報から特定する。いまの例では、図５（Ｂ）の１行目の情報が特定される。つぎに、ＥＳＰパケット２００のＥＳＰヘッダ２０２に格納されているシーケンス番号２０２ｓが取得され、シーケンス番号ウィンドウの対応するビットが参照される。例えば、シーケンス番号２０２ｓが“１”である場合に、シーケンス番号ウィンドウのＭＳＢが“０”であるときにはこのパケットは正当であると判定されて受信される。一方、シーケンス番号ウィンドウのＭＳＢが“１”であるときにはこのパケットは正当でないと判定されて破棄される。

【0052】

なお、前述のように、ブランチルータ６０−１は、ブランチルータ５０以外のブランチルータに対してパケットを送信する場合でも、シーケンス番号をカウントアップするので、ブランチルータ５０が受信するパケットに付与されているシーケンス番号は、場合によっては飛び飛びの値となる。しかし、その場合でも、リプレイ防御ウィンドウが移動すれば、受信されなかったパケット（他のブランチルータに向けて送信されたパケット）は無視されるので、問題は生じない。

【0053】

以上の処理によれば、パケットを送信する場合には複数の対地に対して１つのシーケンス番号を準備し、パケットを受信する場合にはそれぞれの対地に対して１つずつシーケンス番号ウィンドウを準備し、このシーケンス番号ウィンドウに基づいて、パケットの重複を判断するようにした。このため、グループで１つのＭＰＳＡを共有するネットワークであっても、リプレイ攻撃を防ぐことが可能になる。また、パケットを受信した場合に初めて対地特定ＭＰＳＡを設けるようにしたので、記憶領域の使用量を減らすことができる。

【0054】

つぎに、図９，１０を参照して、図３に示すＭＰＳＡ処理部５６において実行される処理について説明する。図３では主に、図９のＳ１１からＳ１４を経てＳ１９に至る処理について記している。

【0055】

図９は、パケットを受信した場合に実行される処理の流れを説明するためのフローチャートである。このフローチャートの処理が開始されると、以下のステップが実行される。

【0056】

ステップＳ１０では、パケット送受信部５１は、ＥＳＰパケット２００を受信する。例えば、パケット送受信部５１は、ブランチルータ６０−１から送信されたパケットを受信する。

【0057】

ステップＳ１１では、ＭＰＳＡ処理部５６のＭＰＳＡ検索部５６１は、ステップＳ１０で受信したＥＳＰパケット２００のＳＰＩ（Security Parameter Index）および送信元アドレス２０１ｓを参照し、ＭＰＳＡテーブル５６２から対地特定ＭＰＳＡを検索する。例えば、ブランチルータ６０−１から送信されたＥＳＰパケット２００を受信した場合には、図５（Ｂ）に示す対地が６０−１であるＭＰＳＡが検索される。

【0058】

ステップＳ１２では、ＭＰＳＡ検索部５６１は、対地特定ＭＰＳＡが存在するか否かを判定し、存在する場合（ステップＳ１２：Ｙｅｓ）にはステップＳ１３に進み、それ以外の場合（ステップＳ１２：Ｎｏ）にはステップＳ１４に進む。いまの例では、ＭＰＳＡテーブル５６２にブランチルータ６０−１に対応する対地特定ＭＰＳＡが存在する場合にはステップＳ１３に進み、それ以外の場合にはステップＳ１４に進む。

【0059】

ステップＳ１３では、対地特定ＭＰＳＡが存在する場合には、その後の処理を継続する。より詳細には、送信元アドレス検査部５６３によってアウターＩＰヘッダ２０１に含まれる送信元アドレス２０１ｓが検査されて正当な送信元からパケットが送信されているか否かが判定される処理については既に対地特定ＭＰＳＡが存在することで正当な送信元であることは判明しているので省略し、ＥＳＰ復号部５６４によってＥＳＰパケット２００が復号されるとともに対地特定ＭＰＳＡのシーケンス番号ウィンドウを更新し、ＭＰＳＡ登録部５６５は対地特定ＭＰＳＡが登録済みであるためスキップして、復号されて得られたＩＰパケット１００がＥ−ＩＰクライアントネットワーク７０に対して送信される。

【0060】

ステップＳ１４では、ＭＰＳＡ検索部５６１は、ステップＳ１０で受信したＥＳＰパケット２００のＳＰＩを参照し、ＭＰＳＡテーブル５６２から対地「非」特定ＭＰＳＡを検索する。なお、この対地非特定ＭＰＳＡとは、図５（Ｂ）に示す対地が特定されていないＭＰＳＡであり、例えば、ＭＰＳＡの種類（例えば、ＭＰＳＡ１）と、空欄とされた対地（例えば、空欄を示す「−」）と、初期値である“０”を有するシーケンス番号ウィンドウとからなる情報である。

【0061】

ステップＳ１５では、ＭＰＳＡ検索部５６１は、対地非特定ＭＰＳＡが存在するか否かを判定し、存在する場合（ステップＳ１５：Ｙｅｓ）にはステップＳ１７に進み、それ以外の場合（ステップＳ１５：Ｎｏ）にはステップＳ１６に進む。いまの例では、ＭＰＳＡテーブル５６２に、前述した対地非特定ＭＰＳＡが存在する場合にはステップＳ１７に進み、それ以外の場合にはステップＳ１６に進む。ステップＳ１５ではステップＳ１７でＥＳＰ復号化処理を行う前に、送信元アドレス検査部５６３によってＩＰヘッダ２０１に含まれる送信元アドレス２０１ｓが検査されて正当な送信元からのパケットか否かを判定することができる。この判定は粗い判定処理であるため割愛してもよい。

【0062】

ステップＳ１６では、ＭＰＳＡ検索部５６１は、処理対象となっているパケットを廃棄する。

【0063】

ステップＳ１７では、ＥＳＰ復号部５６４は、ＥＳＰパケット２００を、ステップＳ１５で特定された対地非特定ＭＰＳＡから生成した仮の対地特定ＭＰＳＡに基づいて復号化する。この結果、ＩＰパケット１００が得られる。

【0064】

ステップＳ１８では、ＥＳＰ復号部５６４は、復号処理の結果、処理の対象となるパケットが正当なパケットであるか否かを判定し、正当なパケットであると判定した場合（ステップＳ１８：Ｙｅｓ）にはステップＳ１９に進み、それ以外の場合（ステップＳ１８：Ｎｏ）にはステップＳ１６に進んでパケットを破棄する。例えば、復号化が適正に実行できたことにより、正当なパケットであると判定した場合には、ステップＳ１９に進む。

【0065】

ステップＳ１９では、ＭＰＳＡ登録部５６５は、ステップＳ１５で特定した対地非特定ＭＰＳＡに基づいて生成した仮の対地特定ＭＰＳＡを正式な対地特定ＭＰＳＡとして、ＭＰＳＡテーブル５６２に登録する。例えば、ブランチルータ６０−１からのパケットの場合には、図５（Ｂ）の１行目に示す情報であって、シーケンス番号ウィンドウの受信したシーケンス番号に対応したＢｉｔが“１”に設定された対地特定ＭＰＳＡがＭＰＳＡテーブル５６２に登録される。なお、登録が完了すると、これ以降は、対地特定ＭＰＳＡが存在することになるので、ステップＳ１２でＹｅｓと判定されてステップＳ１３の処理が実行されることになる。

【0066】

ステップＳ２０では、パケット送受信部５７は、Ｅ−ＩＰクライアントネットワーク７０に対してパケットを転送する処理を実行する。

【0067】

つぎに、図１０を参照して、ブランチルータにおいて、パケットを送信する場合に実行される処理について説明する。図１０に示すフローチャートの処理が開始される前に、ゲートウェイ１０から受信した経路情報とゲートウェイ１０から受信した情報であるということに基づき、送信しようとするパケットの送信先アドレス（Ｅ−ＩＰクライアントネットワークのアドレス）から、ＭＰＳＡを介した送信先となるブランチルータ（対地）と、使用すべきＭＰＳＡが特定される。図１０に示すフローチャートの処理が開始されると、以下のステップが実行される。

【0068】

ステップＳ３０では、ＭＰＳＡ検索部５６１は、経路情報から特定されたＭＰＳＡに適合する対地非特定ＭＰＳＡをＭＰＳＡテーブル５６２から検索する。詳細には、図５（Ａ）に示す対地非特定ＭＰＳＡがＭＰＳＡテーブル５６２から検索される。

【0069】

ステップＳ３１では、ＭＰＳＡ検索部５６１は、該当する対地非特定ＭＰＳＡがＭＰＳＡテーブル５６２に存在すると判定した場合（ステップＳ３１：Ｙｅｓ）にはステップＳ３２に進み、それ以外の場合（ステップＳ３１：Ｎｏ）にはステップＳ３３に進む。例えば、図５（Ａ）に示す対地非特定ＭＰＳＡが存在する場合にはステップＳ３２に進む。

【0070】

ステップＳ３２では、ＭＰＳＡ処理部５６は処理を継続する。具体的には、ＭＰＳＡ処理部５６は、対地非特定ＭＰＳＡに基づいて暗号化処理を行うとともに、シーケンス番号を付与し、ＥＳＰパケットを生成する。同時に対地非特定ＭＰＳＡのシーケンス番号をカウントアップする。その後、パケット送受信部５１に生成したＥＳＰパケットを供給する。この結果、パケット送受信部５１は、パケットを送信する。

【0071】

ステップＳ３３では、ＭＰＳＡ処理部５６は、処理対象としているパケットを破棄する。

【0072】

以上の処理によれば、対地非特定ＭＰＳＡが存在する相手を送信先とするパケットについては送信処理を実行し、存在しないパケットについては破棄することができる。

【0073】

（Ｃ）変形実施形態の説明
以上の各実施形態は一例であって、本発明が上述したような場合のみに限定されるものでないことはいうまでもない。例えば、図１に示す実施形態では、ブランチルータが２台の場合を示したが、ブランチルータが３台以上存在する場合であっても、本発明を適用することが可能である。また、図１に示す実施形態では、ブランチルータ５０，６０を有するグループが１つのみの場合を例に挙げて説明したが、２以上のグループが存在し、各グループ内で共通のＭＰＳＡを用いて暗号化通信を行う場合に、本発明を適用することも可能である。

【0074】

また、図５に示すＭＰＳＡテーブルは一例であって、これ以外の方法でＭＰＳＡを管理するようにしてもよい。

【0075】

また、パケットを受信した場合に、対地特定ＭＰＳＡを生成するようにしたが、ゲートウェイ１０から受信した経路情報に基づき、全ての対地特定ＭＰＳＡを常時有するようにしてもよい。

【0076】

また、図６に示すシーケンス番号ウィンドウのビット数およびリプレイ防止ウィンドウのビット数は一例であって、これ以外のビット数であってもよい。

【0077】

また、いずれかのブランチルータが停電や故障によって再起動された場合、そのブランチルータのシーケンス番号が初期化されることから、他のブランチルータとの間で整合性がとれなくなることがある。そこで、図１１および図１２に示すように、いずれかのブランチルータが再起動された場合、ＭＰＳＡを再登録するようにしてもよい。より詳細には、図１１はゲートウェイ１０において実行される処理を示し、また、図１２はブランチルータ５０，６０において実行される処理を示す。図１１に示す処理が開始されると以下のステップが実行される。

【0078】

ステップＳ５０では、ＳＡ処理部１２は、所定のブランチルータ（ＢＲ）の正当性が確認されたか否かを判定し、正当性が確認された場合（ステップＳ５０：Ｙｅｓ）にはステップＳ５１に進み、それ以外の場合（ステップＳ５０：Ｎｏ）には処理を終了する。例えば、ブランチルータ５０が再起動され、このブランチルータ５０から要求がなされた場合において、ブランチルータ５０の正当性が確認できた場合にはステップＳ５１に進む。

【0079】

ステップＳ５１では、ＭＰＳＡ管理部１６は、ステップＳ５０において正当性が確認されたブランチルータがどのＭＰＳＡに属しているかを検索する。例えば、ブランチルータ５０の正当性が確認できた場合には、ブランチルータ５０の属しているＭＰＳＡが特定される。

【0080】

ステップＳ５２では、ＳＡ処理部１２は、ステップＳ５１で特定した全てのブランチルータに対して、ＭＰＳＡの再登録を要求する。例えば、ブランチルータ５０の正当性が確認できた場合には、ブランチルータ５０の属しているＭＰＳＡに含まれる全てのブランチルータ５０，６０に対して、ＭＰＳＡの再登録を要求する。

【0081】

つぎに、図１１の要求がなされた場合におけるブランチルータの処理について図１２を参照して説明する。図１２の処理が実行されると以下のステップが実行される。なお、以下では、ブランチルータ６０を例に挙げて動作を説明する。

【0082】

ステップＳ７０では、ＭＰＳＡ処理部６６は、ゲートウェイ（ＧＷ）１０からＭＰＳＡの再登録の要求があったか否かを判定し、要求があったと判定した場合（ステップＳ７０：Ｙｅｓ）にはステップＳ７１に進み、それ以外の場合（ステップＳ７０：Ｎｏ）にはステップＳ７１に進む。例えば、ブランチルータ５０が再起動された場合には、ステップＳ５３の処理により、ゲートウェイ１０から再登録の要求がなされるので、Ｙｅｓと判定してステップＳ７１に進む。

【0083】

ステップＳ７１では、ＭＰＳＡ処理部５６は、ＭＰＳＡの再登録処理を開始する。

【0084】

ステップＳ７２では、ＭＰＳＡ処理部５６は、シーケンス番号を含めたＭＰＳＡの初期化処理を実行する。なお、ＭＰＳＡの再登録および初期化処理が実行されると、それまで使用された古いＭＰＳＡの他に新たなＭＰＳＡが生成されることになるが、ＭＰＳＡ処理部６６は、古いＭＰＳＡを直ちに削除するのではなく、古いＭＰＳＡと新しいＭＰＳＡの双方が一時的に併存する状態とし、例えば、再登録から所定の時間が経過するか、または、新たなＭＰＳＡによる受信が実行されたことをきっかけとして、古いＭＰＳＡを削除することで、パケットを失うことなく、古いＭＰＳＡから新しいＭＰＳＡへ移行することができる。

【0085】

ステップＳ７３では、ＭＰＳＡ処理部５６は、ステップＳ７０においてゲートウェイ１０からの要求に応答して再登録が終了したことをゲートウェイ１０に通知するために、応答処理を実行する。この結果、ゲートウェイ１０は、ブランチルータ５０において再登録処理が終了したことを知ることができる。

【0086】

以上の処理によれば、ブランチルータが再起動された場合であっても、シーケンス番号の整合性を保つことができる。

【0087】

なお、前述した図９〜１２に示すフローチャートの処理は一例であって、このような処理のみに本発明が限定されるものではない。

【符号の説明】

【0088】

１０ ゲートウェイ
１１ パケット送受信部
１２ ＳＡ処理部
１３ ＩＫＥ処理部
１４ 経路プロトコル処理部
１５ ＭＰＳＡ送信部（配布手段）
１６ ＭＰＳＡ管理部
２０ トランジットネットワーク
３０ Ｉ−ＩＰネットワーク
４０ ＭＰＳＡ
５０，６０ ブランチルータ
５１，６１ パケット送受信部（通信手段）
５２，６２ ＳＡ処理部
５３，６３ ＩＫＥ処理部
５４，６４ 経路プロトコル処理部
５５，６５ ＭＰＳＡ受信部
５６，６６ ＭＰＳＡ処理部
５７，６７ パケット送受信部
７０，８０ Ｅ−ＩＰクライアントネットワーク
９０ トンネル
５４，６４ 経路プロトコル処理部
５６，６６ ＭＰＳＡ処理部
５９，６９ 経路情報テーブル
５６１，６６１ ＭＰＳＡ検索部（判定手段、破棄手段）
５６２，６６２ ＭＰＳＡテーブル（記憶手段）
５６３，６６３ 送信元アドレス検査部
５６４，６６４ ＥＳＰ復号部
５６５，６６５ ＭＰＳＡ登録部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】