JP3603830B2

JP3603830B2 - Security gateway device

Info

Publication number: JP3603830B2
Application number: JP2001300137A
Authority: JP
Inventors: 拓也久保
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2001-09-28
Filing date: 2001-09-28
Publication date: 2004-12-22
Anticipated expiration: 2021-09-28
Also published as: JP2003110628A

Description

【０００１】
【発明の属する技術分野】
本発明は、例えば、イントラネットとインターネットとを接続するために使用されるゲートウェイ装置におけるセキュリティーを向上させたセキュリティーゲートウェイ装置に関する。
【０００２】
【従来の技術】
インターネットのアプリケーションの一つとして、仮想専用線（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ：ＶＰＮ）がある。この仮想専用線においては、インターネット自体のオープン性から、セキュリティの問題があるため、インターネットプロトコル（ＩＰ）にセキュリティー機能を付加するプロトコルであるＩＰセキュリティー（ＩＰＳｅｃｕｒｉｔｙ：以下「ＩＰｓｅｃ」と記する）によりパケットを暗号化して通信を行うことが必須となっている。
【０００３】
図９は従来の信号通信システムの一例のブロック図である。
【０００４】
この暗号通信システムにおいては、端末１００ａ−１００ｎからなる第１のグループの各端末に第１の暗号ゲートウェイ装置１１０が接続されており、同様に、端末１２０ａ−１２０ｎからなる第２のグループの各端末に第２の暗号ゲートウェイ装置１３０が接続されている。第１の暗号ゲートウェイ装置１１０と第２の暗号ゲートウェイ装置１３０とはネットワーク１４０を介して相互に接続されている。
【０００５】
第１のグループの各端末１００ａ−１００ｎと第２のグループの各端末１２０ａ−１２０ｎとの間の通信において、第１及び第２の暗号ゲートウェイ装置１１０、１３０を介して通信されるパケットデータの暗号化アルゴリズムあるいは暗号化に使用する鍵その他のパラメータは、第１及び第２の暗号ゲートウェイ装置１１０、１３０間においては、固定されている。
【０００６】
図９に示すような暗号通信システムにおいては、第１及び第２の暗号ゲートウェイ装置１１０、１３０を通過しないパケットは、本来、復号化されることはない。しかしながら、第１及び第２の暗号ゲートウェイ装置１１０、１３０を接続するネットワーク１４０においては、これらの暗号化されたパケットが傍受され、パケットの暗号化アルゴリズムや鍵を解読されるおそれがある。
【０００７】
このようなおそれに対して、例えば、特開平７−１０７０８２号公報は、暗号化または非暗号化の選択またはセッション鍵の選択を端末の組み合わせ毎に、あるいは、セッション毎に設定することができる暗号ゲートウェイ装置を開示している。
【０００８】
【発明が解決しようとする課題】
また、ＲＦＣ（ＲｅｑｕｅｓｔＦｏｒＣｏｍｍｅｎｔｓ）１８２５−１８２８には、インターネットプロトコル（ＩＰ）におけるセキュリティーを扱った「ＳｅｃｕｒｉｔｙＡｒｃｈｉｔｅｃｔｕｒｅｆｏｒＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ」（以下「ＩＰｓｅｃ」と呼ぶ）が規定されている。
【０００９】
図１０は、ＩＰｓｅｃにおいて規定されているＩＰ用セキュリティ認証ヘッダの一例を示す図である。
【００１０】
このＩＰ用セキュリティ認証ヘッダには、このヘッダの次のヘッダの識別子、このヘッダの長さ、ＳＰＩ（ＳｅｃｕｒｉｔｙＰａｒａｍｅｔｅｒＩｎｄｅｘ）可変長の認証データ（ａｕｔｈｅｎｔｉｃａｔｅｄｄａｔａ）が格納されている。このＩＰ用セキュリティ認証ヘッダは、各ＩＰパケットにおいて、ＩＰヘッダとＩＰデータグラムとの間に挿入される。
【００１１】
上述したようなパケットの暗号化処理はそれ自体非常に演算処理負荷が高い。このため、専用の暗号ＬＳＩを適用するなどの性能向上がはかられているが、根本的な解決にはなっていないのが現状である。
【００１２】
本発明は、このような問題点に鑑みてなされたものであり、パケットを暗号化して通信を行うシステムにおいて、パケットの暗号化に要する演算処理の負荷の集中を防止し、個々のコンポーネントにおける演算処理の負荷を減少させることを可能にするセキュリティーゲートウェイ装置及びパケット処理方法を提供することを目的とする。
【００１３】
【課題を解決するための手段】
この目的を達成するため、本発明は、ＩＰセキュリティ通信に必要なパラメータを対向するセキュリティゲートウェイとの間でネゴシエートするネゴシエーション処理を行う認証キー交換手段と、前記認証キー交換手段と内部通信路で接続されており、前記認証キー交換手段から送られてきたパケットに対してＩＰセキュリティ処理を実行するＩＰセキュリティ処理手段と、からなり、前記ＩＰセキュリティ処理手段は複数のＩＰセキュリティ処理装置からなり、前記認証キー交換手段は、前記ネゴシエーション処理後に、前記パケットを前記複数のＩＰセキュリティ処理装置の何れかに振り分ける振り分け処理を行い、前記複数のＩＰセキュリティ処理装置の各々は前記認証キー交換手段から振り分けられた前記パケットに対してＩＰセキュリティ処理を実行するものであり、前記認証キー交換手段は、ＩＰセキュリティ処理を行うべきパケットを受信した場合に、ネゴシエートしたパラメータの中からそのパケットに対応するパラメータを検索し、検索したパラメータに基づいて、前記パケットのＩＰセキュリティ処理を行うＩＰセキュリティ処理装置を決定し、前記パケットを前記ＩＰセキュリティ処理装置に転送することを特徴とするセキュリティゲートウェイ装置を提供する。
【００１５】
本発明に係るセキュリティゲートウェイ装置においては、ＩＰｓｅｃ通信に必要な２つの機能要素である認証キー交換（ＩｎｔｅｒｎｅｔＫｅｙＥｘｃｈａｎｇｅ：ＩＫＥ）とＩＰｓｅｃとが別手段として配備され、さらに、ＩＰｓｅｃ通信のバンドルが負荷分散される。これにより、通信スループットをマクロレベルで向上させることが可能となる。
【００１６】
さらに、ＩＰセキュリティ処理手段をクラスタ構成とし、すなわち、複数のＩＰセキュリティ処理装置からなるものとすることにより、セキュリティゲートウェイ装置全体のスケーラビリティを確保することが可能となる。
【００１８】
前記認証キー交換手段はローカルデータベースを有しているものとして構成することができる。この場合、前記認証キー交換手段は、検索したパラメータと、前記パケットのＩＰセキュリティ処理を行わせることに決定した前記ＩＰセキュリティ処理装置の識別子とを相互にリンク付けした状態で、前記パラメータ及び前記識別子を前記ローカルデータベースに保存することができる。
【００１９】
前記認証キー交換手段は、検索したパラメータを前記パケットとともに前記ＩＰセキュリティ処理装置に転送することが好ましい。
【００２０】
前記複数のＩＰセキュリティ処理装置の各々はローカルデータベースを備えており、前記認証キー交換手段から受信した前記パラメータを前記ローカルデータベースに保存するものとして構成することができる。
【００２１】
前記認証キー交換手段から前記パケットを受信した前記ＩＰセキュリティ処理装置は、前記ローカルデータベースから、前記パケットに対応するパラメータを検索し、検索したパラメータに基づいて、前記パケットに対してＩＰセキュリティ処理を行うものとして構成することができる。
【００２２】
前記認証キー交換手段は前記パケットをカプセル化し、カプセル化した前記パケットを前記ＩＰセキュリティ処理装置に転送するものとして構成することができる。
【００２３】
前記複数のＩＰセキュリティ処理装置の各々はローカルデータベースを備えているものとして構成することができる。この場合、前記複数のＩＰセキュリティ処理装置の各々は、前記認証キー交換手段から受信したカプセル化した前記パケットを復元し、前記ローカルデータベースから、前記パケットに対応するパラメータを検索し、検索したパラメータに基づいて、前記パケットに対してＩＰセキュリティ処理を行うことものとして構成することができる。
【００２４】
前記認証キー交換手段並びに前記複数のＩＰセキュリティ処理装置の各々はプロセッサを搭載した基板から構成することができる。この場合、前記認証キー交換手段並びに前記複数のＩＰセキュリティ処理装置の各々は内部バスで相互に接続される。
【００２５】
前記認証キー交換手段と前記ＩＰセキュリティ処理手段との間におけるパケットの転送は、データリンクレイヤの種別に応じて、最適化することが可能である。
【００２６】
また、本発明は、認証キー交換手段が、ＩＰセキュリティ通信に必要なパラメータを対向するセキュリティゲートウェイとの間でネゴシエートする第１の過程と、
前記認証キー交換手段と内部通信路で接続され、複数のＩＰセキュリティ処理装置からなるＩＰセキュリティ処理手段にて、前記認証キー交換手段から送られてきたパケットに対してＩＰセキュリティ処理を実行する第２の過程と、
前記第１の過程の後に、前記認証キー交換手段が、前記パケットを前記複数のＩＰセキュリティ処理装置の何れかに振り分ける第３の過程と、
を備え、
前記第２の過程においては、前記複数のＩＰセキュリティ処理装置の各々が前記認証キー交換手段から振り分けられた前記パケットに対してＩＰセキュリティ処理を実行するものであり、
前記認証キー交換手段が、ＩＰセキュリティ処理を行うべきパケットを受信した場合に、ネゴシエートしたパラメータの中からそのパケットに対応するパラメータを検索する第４の過程と、
検索したパラメータに基づいて、前記パケットのＩＰセキュリティ処理を行うＩＰセキュリティ処理装置を決定する第５の過程と、
前記パケットを前記第５の過程において決定した前記ＩＰセキュリティ処理装置に転送する第６の過程と、
を備えることを特徴とするパケットに対するＩＰセキュリティ処理方法を提供する。
【００２９】
前記認証キー交換手段はローカルデータベースを有するものとして構成することができる。この場合、本方法は、前記認証キー交換手段が、検索したパラメータと、前記パケットのＩＰセキュリティ処理を行わせることに決定した前記ＩＰセキュリティ処理装置の識別子とを相互にリンク付けする過程と、前記認証キー交換手段が、前記パラメータ及び前記識別子を前記ローカルデータベースに保存する過程と、を備えることが好ましい。
【００３０】
前記第６の過程において、前記認証キー交換手段は、検索したパラメータを前記パケットとともに前記ＩＰセキュリティ処理装置に転送することが好ましい。
【００３１】
前記複数のＩＰセキュリティ処理装置の各々はローカルデータベースを備えているものとして構成することができる。この場合、本方法は、前記複数のＩＰセキュリティ処理装置の各々が、前記認証キー交換手段から受信した前記パラメータを前記ローカルデータベースに保存する過程を備えることができる。
【００３２】
本方法は、前記認証キー交換手段から前記パケットを受信した前記ＩＰセキュリティ処理装置が、前記ローカルデータベースから、前記パケットに対応するパラメータを検索する過程と、前記ＩＰセキュリティ処理装置が、検索したパラメータに基づいて、前記パケットに対してＩＰセキュリティ処理を行う過程と、を備えることが好ましい。
【００３３】
本方法は、前記認証キー交換手段が前記パケットをカプセル化する過程を備えることが好ましく、この場合、前記カプセル化された前記パケットが前記第６の過程において前記ＩＰセキュリティ処理装置に転送されることが好ましい。
【００３４】
前記複数のＩＰセキュリティ処理装置の各々はローカルデータベースを備えているものとして構成することができる。この場合、本方法は、前記複数のＩＰセキュリティ処理装置の各々が、前記認証キー交換手段から受信したカプセル化した前記パケットを復元する過程と、前記複数のＩＰセキュリティ処理装置の各々が、前記ローカルデータベースから、前記パケットに対応するパラメータを検索する過程と、前記複数のＩＰセキュリティ処理装置の各々が、検索したパラメータに基づいて、前記パケットに対してＩＰセキュリティ処理を行う過程と、を備えることが好ましい。
【００３５】
さらに、本方法は、前記認証キー交換手段と前記ＩＰセキュリティ処理手段との間におけるパケットの転送を、データリンクレイヤの種別に応じて、最適化する過程を備えることができる。
【００３６】
【発明の実施の形態】
図１は、本発明の第１の実施形態に係るセキュリティゲートウェイ装置のブロック図である。
【００３７】
ＩＰｓｅｃ通信を行う際には、対向装置との間でアルゴリズムや鍵などのＩＰｓｅｃ通信パラメータをネゴシエートするプロトコル（ＩＫＥ）と、ネゴシエートしたパラメータを適用して実際にＩＰｓｅｃ処理を行うプロトコル（ＩＰｓｅｃ）とが必要となる。
【００３８】
このため、本実施形態に係るセキュリティゲートウェイ装置は、図１に示すように、認証キー交換を行う、すなわち、ＩＰｓｅｃ通信パラメータをネゴシエートする認証キー交換処理部１１（以下、「ＩＫＥ処理部１１」と呼ぶ）と、実際にＩＰｓｅｃ処理を行うＩＰｓｅｃ処理部１２の２つのコンポーネントに分割されている。
【００３９】
さらに、ＩＰｓｅｃ処理部１２をクラスタ構成とされている。すなわち、ＩＰｓｅｃ処理部１２はｎ個（ｎは２以上の正の整数）のＩＰｓｅｃ処理装置１２ａ−１２ｎから構成されている。
【００４０】
ＩＫＥ処理部１１とＩＰｓｅｃ処理部１２とはイーサネットその他の内部通信路１３を介して接続されている。
【００４１】
図２は、本実施形態に係るセキュリティゲートウェイ装置のより具体的なブロック図である。
【００４２】
図２に示すように、ＩＫＥ処理部１１は対向するセキュリティゲートウェイ（ＳＧＷ）１４とインターネットその他のインセキュアネットワーク１７を介して接続されている。
【００４３】
また、ＩＫＥ処理部１１はローカルデータベース１５を内蔵しており、同様に、ＩＰｓｅｃ処理部１２を構成するＩＰｓｅｃ処理装置１２ａ−１２ｎの各々もローカルデータベース１６を内蔵している。
【００４４】
次いで、本実施形態に係るセキュリティゲートウェイ装置の動作の概要を以下に説明する。
【００４５】
ＩＫＥ処理部１１は、対向するセキュリティゲートウェイ１４との間でＩＫＥプロトコルによりＩＰｓｅｃ通信パラメータをネゴシエートする。ネゴシエートしたパラメータ情報（以後「ＩＰｓｅｃＳＡ」と呼ぶ）を、ローカルデータベース１５に保存するとともに、このＩＰｓｅｃ処理を実際に行うＩＰｓｅｃ処理装置をＩＰｓｅｃ処理装置１２ａ−１２ｎの中から一つ決定する。例えば、ＩＰｓｅｃ処理装置１２ａが決定される。
【００４６】
次いで、ＩＰｓｅｃＳＡをＩＰｓｅｃ処理装置１２ａに転送する。同時に、選択したＩＰｓｅｃ処理装置１２ａの識別子を、対応するＩＰｓｅｃＳＡにリンク付ける。
【００４７】
ＩＫＥ処理部１１からＩＰｓｅｃＳＡタを受信したＩＰｓｅｃ処理装置１２ａは、そのＩＰｓｅｃＳＡをローカルデータベース１６に保存する。
【００４８】
ＩＫＥ処理部１１は、セキュリティゲートウェイ１４からＩＰｓｅｃ処理すべきパケットを受信した場合、そのパケットに対応するＩＰｓｅｃＳＡを検索する。次いで、ＩＫＥ処理部１１は、検索したＩＰｓｅｃＳＡに基づいて、対応するＩＰｓｅｃ処理装置（例えば、ＩＰｓｅｃ処理装置１２ａ）を決定し、受信パケットをＩＰｓｅｃ処理装置１２ａへ転送する。
【００４９】
ＩＫＥ処理部１１からＩＰｓｅｃ処理パケットを受信したＩＰｓｅｃ処理装置１２ａは、ローカルデータベース１６から、対応するＩＰｓｅｃＳＡを検索する。ＩＰｓｅｃ処理装置１２ａは、検索したＩＰｓｅｃＳＡに基づいて、実際のＩＰｓｅｃ処理（暗号／復号処理及び認証処理）を実行し、処理済みのパケット１８を出力する。
【００５０】
次いで、本実施形態に係るセキュリティゲートウェイ装置の動作をＩＰｓｅｃＳＡ確立フェーズ及びＩＰｓｅｃ通信フェーズの２つのフェーズに分けて、それぞれ図２から図７までを参照して説明する。図２は、ＩＰｓｅｃＳＡ確立フェーズにおける本セキュリティゲートウェイ装置の作動状態を示すブロック図、図３は、ＩＰｓｅｃ通信フェーズにおける本セキュリティゲートウェイ装置の作動状態を示すブロック図、図４は、ＩＰｓｅｃＳＡ確立フェーズにおけるＩＫＥ処理部１１の動作を示すフローチャート、図５は、ＩＰｓｅｃＳＡ確立フェーズにおけるＩＰｓｅｃ処理部１２の動作を示すフローチャート、図６は、ＩＰｓｅｃ通信フェーズにおけるＩＫＥ処理部１１の動作を示すフローチャート、図７は、ＩＰｓｅｃ通信フェーズにおけるＩＰｓｅｃ処理部１２の動作を示すフローチャートである。
【００５１】
ＩＰｓｅｃＳＡ確立フェーズにおいては、ＩＫＥ処理部１１が対向するセキュリティゲートウェイ１４との間で、ＩＫＥプロトコルを用いてＩＰｓｅｃ処理に必要な各種パラメータ（アルゴリズム、鍵等）をネゴシエートする（図４のステップＳ４０１）。以後、このネゴシエーション処理の実行をＩＰｓｅｃＳＡ確立と呼ぶ。
【００５２】
ＩＰｓｅｃＳＡを確立すると、ＩＫＥ処理部１１は、このＩＰｓｅｃ処理を実際に行うＩＰｓｅｃ処理装置として、クラスタすなわちＩＰｓｅｃ処理装置１２ａ−１２ｎの中から一つのＩＰｓｅｃ処理装置を選択する（図４のステップＳ４０２）。この際、ラウンドロビン等のアルゴリズムにより、クラスタ内の負荷分散を考慮して、ＩＰｓｅｃ処理装置を選択する。ここでは、ＩＰｓｅｃ処理装置１２ｎが選択されたものと想定する。
【００５３】
次いで、ＩＫＥ処理部１１は、ＩＰｓｅｃＳＡと選択したＩＰｓｅｃ処理装置１２ｎの識別子とをリンク付けし、双方をローカルデータベース１５に保存する（図４のステップＳ４０３）。例えば、図２に示すように、ローカルデータベース１５には、ＩＰｓｅｃＳＡとしてパラメータ「ＳＡ_２１」、それに対応するＩＰｓｅｃ処理装置としてＩＰｓｅｃ処理装置１２ｎの識別子「２３」がリンク付けされた状態で保存される。
【００５４】
次いで、ＩＫＥ処理部１１は、そのＩＰｓｅｃＳＡを、選択したＩＰｓｅｃ処理装置であるＩＰｓｅｃ処理装置１２ｎに転送する（図４のステップＳ４０４）。
【００５５】
ＩＫＥ処理部１１からＩＰｓｅｃＳＡ「ＳＡ_２１」を受信したＩＰｓｅｃ処理装置１２ｎは（図５のステップＳ５０１）、そのＩＰｓｅｃＳＡ「ＳＡ_２１」を自らのローカルデータベース１６に保存する（図５のステップＳ５０２）。
【００５６】
ＩＰｓｅｃ通信フェーズにおいては、ＩＫＥ処理部１１は対向するセキュリティゲートウェイ１４からパケットを受信すると（図６のステップＳ６０１）、
受信したパケットに基づいて、そのパケットを処理すべきＩＰｓｅｃＳＡをローカルデータベース１５から検索する（図６のステップＳ６０２）。例えば、図３に示すように、ローカルデータベース１５には、ＩＰｓｅｃＳＡ「ＳＡ_３１」と、それに対応するＩＰｓｅｃ処理装置の識別子「３３」とが相互にリンク付けされた状態で保存されている。
【００５７】
次いで、ＩＫＥ処理部１１はエントリがあるか否かを判定する（図６のステップＳ６０３）。
【００５８】
エントリがある場合には（図６のステップＳ６０３のＹＥＳ）、パケットを処理すべきＩＰｓｅｃ処理装置を決定する（図６のステップＳ６０４）。例えば、パケットを処理すべきＩＰｓｅｃＳＡとしてＩＰｓｅｃＳＡ「ＳＡ_３１」が検索された場合には、そのＩＰｓｅｃＳＡ「ＳＡ_３１」に対応するＩＰｓｅｃ処理装置として、識別子「３３」で表されるＩＰｓｅｃ処理装置が決定される。ここでは、識別子「３３」で表されるＩＰｓｅｃ処理装置はＩＰｓｅｃ処理装置１２ｎであるとする。
【００５９】
次いで、ＩＫＥ処理部１１は、パケットをＩＰｉｎＩＰＴｕｎｎｅｌｉｎｇでカプセル化し、カプセル化したパケットをＩＰｓｅｃ処理装置１２ｎに対して転送する（図６のステップＳ６０５）。
【００６０】
一方、エントリがない場合には（図６のステップＳ６０３のＮＯ）、受信したパケットを破棄し（図６のステップＳ６０６）、次のパケットの受信を待つ。
【００６１】
ＩＰｓｅｃ処理装置１２ｎはＩＫＥ受信部１１からパケットを受信すると（図７のステップＳ７０１）、カプセル化されたパケットを復元する、すなわち、パケットからカプセルを取り外す（図７のステップＳ７０２）。
【００６２】
次いで、ＩＰｓｅｃ処理装置１２ｎは、ローカルデータベース１６から、そのパケットに対応するＩＰｓｅｃＳＡを検索する（図７のステップＳ７０３）。
【００６３】
次いで、ＩＰｓｅｃ処理装置１２ｎは、エントリが有るか否かを判定する（図７のステップＳ７０４）。
【００６４】
エントリが有る場合には（図７のステップＳ７０４のＹＥＳ）、検索したＩＰｓｅｃＳＡに基づいて実際のＩＰｓｅｃ処理（暗号化／復号及び認証）を実行する（図７のステップＳ７０５）。
【００６５】
次いで、ＩＰｓｅｃ処理装置１２ｎは、このようにしてＩＰｓｅｃ処理したパケット１９（図３参照）をネットワークへ送出する（図７のステップＳ７０６）。
【００６６】
一方、エントリがない場合には（図７のステップＳ７０４のＮＯ）、受信したパケットを破棄し（図７のステップＳ７０７）、次のパケットの受信を待つ。
【００６７】
以上のように、本実施形態に係るセキュリティゲートウェイ装置によれば、次のような効果を得ることができる。
【００６８】
第一の効果は、処理負荷の高いＩＰｓｅｃ処理からＩＰｓｅｃＳＡ確立処理を分離させることにより、ＩＰｓｅｃ処理のスループットを上げることができる点である。
【００６９】
第二の効果は、ＩＰｓｅｃ処理部１２を複数のＩＰｓｅｃ処理装置１２ａ−１２ｎからなるクラスタ構成とすることにより、ＩＰｓｅｃ処理の負荷分散を図り、通信負荷に対して柔軟に対応することができ、スケーラビリティを確保することができる点である。
【００７０】
図８は、本発明の第２の実施形態に係るセキュリティゲートウェイ装置の構造を示す概略図である。
【００７１】
本実施形態に係るセキュリティゲートウェイ装置においては、第１の実施形態の場合と同様に、ＩＫＥ処理部とＩＰｓｅｃ処理部とはそれぞれ別のコンポーネントとして形成されているが、本実施形態におけるＩＫＥ処理部８１とＩＰｓｅｃ処理部８２とはともにプロセッサ搭載ボードとして形成されており、内部バス８３を介して相互に接続されている。これにより、ＩＫＥ処理部８１とＩＰｓｅｃ処理部８２とは外見上は単一の装置として構成されている。
【００７２】
ＩＫＥ処理部８１とＩＰｓｅｃ処理部８２を構成する複数のＩＰｓｅｃ処理装置との間の通信は内部バス８３を経由して行われる。
【００７３】
また、ＩＫＥ処理部８１とＩＰｓｅｃ処理部８２との間の通信路においては、データリンクレイヤの種別に応じて、転送方式を最適化することが可能である。
【００７４】
例えば、ＡＴＭ（ＡｓｙｎｃｈｒｏｎｏｕｓＴｒａｎｓｆｅｒＭｏｄｅ：非同期転送モード）を用いる場合、ＩＫＥ処理部８１とＩＰｓｅｃ処理部８２との間をポイントツーポイント（ＰｏｉｎｔｔｏＰｏｉｎｔ）の仮想チャネル（ＶｉｒｔｕａｌＣｈａｎｎｅｌ：ＶＣ）で接続し、ダイレクトにＬＬＣ／ＳＮＡＰカプセル化することにより、ＩＰｉｎＩＰＴｕｎｎｅｌｉｎｇのオーバヘッドを軽減することができる。
【００７５】
【発明の効果】
以上のように、本発明に係るセキュリティゲートウェイ装置によれば、ＩＰｓｅｃ処理のスループットを上げることができるという効果を得ることができる。
【００７６】
本発明に係るセキュリティゲートウェイ装置においては、ＩＰｓｅｃＳＡ確立処理とＩＰｓｅｃ処理とが分離されている。具体的には、認証キー交換手段（実施形態におけるＩＫＥ処理部）がＩＰｓｅｃＳＡ確立処理、すなわち、ＩＰセキュリティ通信に必要なパラメータをセキュリティゲートウェイとの間でネゴシエートする処理を行い、ＩＰセキュリティ処理手段（実施形態におけるＩＰｓｅｃ処理部）が認証キー交換手段から送られてきたパケットに対して実際にＩＰセキュリティ処理を実行する。このように、処理負荷の高いＩＰｓｅｃ処理からＩＰｓｅｃＳＡ確立処理を分離させることにより、ＩＰｓｅｃ処理のスループットを上げることが可能である。
【００７７】
また、ＩＰｓｅｃ処理部を複数のＩＰｓｅｃ処理装置からなるクラスタ構成とすることにより、ＩＰｓｅｃ処理の負荷分散を図ることができ、高いスケーラビリティを確保することができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係るセキュリティゲートウェイ装置のブロック図である。
【図２】ＩＰｓｅｃＳＡ確立フェーズにおける、第１の実施形態に係るセキュリティゲートウェイ装置の作動状態を示すブロック図である。
【図３】ＩＰｓｅｃ通信フェーズにおける、第１の実施形態に係るセキュリティゲートウェイ装置の作動状態を示すブロック図である。
【図４】第１の実施形態に係るセキュリティゲートウェイ装置において、ＩＰｓｅｃＳＡ確立フェーズにおけるＩＫＥ処理部の動作を示すフローチャートである。
【図５】第１の実施形態に係るセキュリティゲートウェイ装置において、ＩＰｓｅｃＳＡ確立フェーズにおけるＩＰｓｅｃ処理部の動作を示すフローチャートである。
【図６】第１の実施形態に係るセキュリティゲートウェイ装置において、ＩＰｓｅｃ通信フェーズにおけるＩＫＥ処理部の動作を示すフローチャートである。
【図７】第１の実施形態に係るセキュリティゲートウェイ装置において、ＩＰｓｅｃ通信フェーズにおけるＩＰｓｅｃ処理部の動作を示すフローチャートである。
【図８】本発明の第１の実施形態に係るセキュリティゲートウェイ装置の概略図である。
【図９】従来の信号通信システムの一例のブロック図である。
【図１０】ＩＰｓｅｃにおいて規定されているＩＰ用セキュリティ認証ヘッダの一例を示す図である。
【符号の説明】
１１第１の実施形態におけるＩＫＥ処理部
１２第１の実施形態におけるＩＰｓｅｃ処理部
１２ａ−１２ｎＩＰｓｅｃ処理装置
１３内部通信路
１４セキュリティゲートウェイ
１５ローカルデータベース
１６ローカルデータベース
１７インセキュアネットワーク
１８、１９パケット
８１第２の実施形態におけるＩＫＥ処理部
８２第２の実施形態におけるＩＰｓｅｃ処理部
８３内部バス[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a security gateway device that improves security in a gateway device used for connecting an intranet and the Internet, for example.
[0002]
[Prior art]
One of the applications of the Internet is a virtual private network (Virtual Private Network: VPN). In this virtual leased line, since there is a security problem due to the openness of the Internet itself, IP security (IP Security), which is a protocol for adding a security function to Internet Protocol (IP), is hereinafter referred to as “IPsec”. It is essential to communicate by encrypting packets.
[0003]
FIG. 9 is a block diagram of an example of a conventional signal communication system.
[0004]
In this cryptographic communication system, a first cryptographic gateway device 110 is connected to each terminal of a first group consisting of terminals 100a-100n, and similarly, each terminal of a second group consisting of terminals 120a-120n. Is connected to the second encryption gateway device 130. The first cryptographic gateway device 110 and the second cryptographic gateway device 130 are mutually connected via a network 140.
[0005]
In communication between each terminal 100a-100n in the first group and each terminal 120a-120n in the second group, encryption of packet data communicated via the first and second cryptographic gateway devices 110 and 130 is performed. The encryption algorithm, the key used for encryption, and other parameters are fixed between the first and second cryptographic gateway devices 110 and 130.
[0006]
In a cryptographic communication system as shown in FIG. 9, packets that do not pass through the first and second cryptographic gateway devices 110 and 130 are not originally decrypted. However, in the network 140 connecting the first and second cryptographic gateway devices 110 and 130, these encrypted packets may be intercepted and the encryption algorithm or key of the packets may be decrypted.
[0007]
To cope with such a fear, for example, Japanese Patent Application Laid-Open No. 7-107082 discloses a cryptographic gateway that can select encryption or non-encryption or session key selection for each combination of terminals or for each session. An apparatus is disclosed.
[0008]
[Problems to be solved by the invention]
RFC (Request For Comments) 1825-1828 specifies "Security Architecture for Internet Protocol" (hereinafter, referred to as "IPsec") which deals with security in the Internet Protocol (IP).
[0009]
FIG. 10 is a diagram illustrating an example of an IP security authentication header defined in IPsec.
[0010]
The IP security authentication header stores the identifier of the header next to the header, the length of the header, and authentication data (authenticated data) having a SPI (Security Parameter Index) variable length. This IP security authentication header is inserted between the IP header and the IP datagram in each IP packet.
[0011]
The above-described packet encryption processing itself has a very high calculation processing load. For this reason, the performance has been improved by applying a dedicated cryptographic LSI or the like, but at present it has not been a fundamental solution.
[0012]
The present invention has been made in view of such a problem, and in a system for encrypting and communicating a packet, it is possible to prevent a concentration of an arithmetic processing required for encrypting a packet from being concentrated, and to perform an arithmetic operation in each component. An object of the present invention is to provide a security gateway device and a packet processing method capable of reducing a processing load.
[0013]
[Means for Solving the Problems]
In order to achieve this object, the present invention provides an authentication key exchanging means for performing negotiation processing for negotiating parameters necessary for IP security communication with an opposing security gateway, and connecting the authentication key exchanging means with an internal communication path. are, and IP security processing means for performing an IP security processing for packets sent from the authentication key exchange unit, Ri Tona, the IP security processing means comprises a plurality of IP security processor, wherein The authentication key exchange unit performs a distribution process of distributing the packet to any of the plurality of IP security processing devices after the negotiation process, and each of the plurality of IP security processing devices is distributed from the authentication key exchange unit. IPsec for the packet The authentication key exchanging means, when receiving a packet to be subjected to IP security processing, searches for a parameter corresponding to the packet from the negotiated parameters, based on the searched parameter. Thus, an IP security processing device that performs IP security processing on the packet is determined, and the packet is transferred to the IP security processing device .
[0015]
In the security gateway device according to the present invention, the authentication key exchange (Internet Key Exchange: IKE) and the IPsec, which are two functional elements necessary for the IPsec communication, are provided as separate means, and the bundle of the IPsec communication is load-balanced. Is done. This makes it possible to improve the communication throughput at the macro level.
[0016]
Further, by configuring the IP security processing means in a cluster configuration, that is, by configuring a plurality of IP security processing devices, it is possible to ensure the scalability of the entire security gateway device.
[0018]
The authentication key exchange means may be configured to have a local database. In this case, the authentication key exchange means links the retrieved parameter and the identifier of the IP security processing device determined to perform the IP security processing on the packet, with the parameter and the identifier being linked to each other. Can be stored in the local database.
[0019]
It is preferable that the authentication key exchange unit transfers the searched parameters together with the packet to the IP security processing device.
[0020]
Each of the plurality of IP security processing devices may include a local database, and may store the parameters received from the authentication key exchange unit in the local database.
[0021]
The IP security processing device that has received the packet from the authentication key exchange means searches the local database for a parameter corresponding to the packet, and performs IP security processing on the packet based on the searched parameter. Can be configured as
[0022]
The authentication key exchange means may be configured to encapsulate the packet and transfer the encapsulated packet to the IP security processing device.
[0023]
Each of the plurality of IP security processing devices may be configured to include a local database. In this case, each of the plurality of IP security processing devices restores the encapsulated packet received from the authentication key exchange means, searches the local database for a parameter corresponding to the packet, and Based on this, the packet can be configured to perform IP security processing.
[0024]
Each of the authentication key exchange means and the plurality of IP security processing devices can be constituted by a board on which a processor is mounted. In this case, the authentication key exchange means and each of the plurality of IP security processing devices are mutually connected by an internal bus.
[0025]
Packet transfer between the authentication key exchange unit and the IP security processing unit can be optimized according to the type of the data link layer.
[0026]
Also, the present invention provides a first step in which the authentication key exchange means negotiates parameters necessary for IP security communication with the opposite security gateway,
A second IP security processing unit connected to the authentication key exchange unit via an internal communication path and configured to perform IP security processing on a packet sent from the authentication key exchange unit by an IP security processing unit including a plurality of IP security processing devices; and the process of,
A third step in which after the first step, the authentication key exchange means distributes the packet to one of the plurality of IP security processing devices;
With
In the second step, each of the plurality of IP security processing devices performs an IP security process on the packet distributed from the authentication key exchange means,
A fourth step of, when the authentication key exchange means receives a packet to be subjected to IP security processing, searching for a parameter corresponding to the packet from the negotiated parameters;
A fifth step of determining an IP security processing device that performs IP security processing on the packet based on the retrieved parameters;
A sixth step of transferring the packet to the IP security processing device determined in the fifth step,
It provides IP security processing method for a packet, characterized in that it comprises a.
[0029]
The authentication key exchange means may be configured to have a local database. In this case, the method comprises the steps of: the authentication key exchange means linking the retrieved parameters with an identifier of the IP security processing device determined to perform IP security processing on the packet; Preferably, the authentication key exchange means includes a step of storing the parameter and the identifier in the local database.
[0030]
In the sixth step, it is preferable that the authentication key exchange unit transfers the searched parameters together with the packet to the IP security processing device.
[0031]
Each of the plurality of IP security processing devices may be configured to include a local database. In this case, the method may include the step of each of the plurality of IP security processing devices storing the parameters received from the authentication key exchange means in the local database.
[0032]
In the method, the IP security processing device receiving the packet from the authentication key exchange means searches the local database for parameters corresponding to the packet, and the IP security processing device Performing an IP security process on the packet based on the IP address.
[0033]
Preferably, the method further comprises the step of the authentication key exchange means encapsulating the packet, in which case the encapsulated packet is forwarded to the IP security processing device in the sixth step. Is preferred.
[0034]
Each of the plurality of IP security processing devices may be configured to include a local database. In this case, the method comprises the steps of: restoring the encapsulated packet received from the authentication key exchange means by each of the plurality of IP security processing devices; A step of searching a database for a parameter corresponding to the packet; and a step of each of the plurality of IP security processing devices performing IP security processing on the packet based on the searched parameter. preferable.
[0035]
Further, the method may include a step of optimizing a transfer of a packet between the authentication key exchange unit and the IP security processing unit according to a type of a data link layer.
[0036]
BEST MODE FOR CARRYING OUT THE INVENTION
FIG. 1 is a block diagram of the security gateway device according to the first embodiment of the present invention.
[0037]
When performing IPsec communication, a protocol (IKE) for negotiating an IPsec communication parameter such as an algorithm and a key with an opposing device and a protocol (IPsec) for actually performing IPsec processing by applying the negotiated parameter are used. Required.
[0038]
For this reason, as shown in FIG. 1, the security gateway device according to the present embodiment performs an authentication key exchange, that is, an authentication key exchange processing unit 11 (hereinafter, referred to as an “IKE processing unit 11”) that negotiates IPsec communication parameters. This is divided into two components of an IPsec processing unit 12 that actually performs IPsec processing.
[0039]
Further, the IPsec processing unit 12 has a cluster configuration. That is, the IPsec processing unit 12 includes n (n is a positive integer of 2 or more) IPsec processing devices 12a to 12n.
[0040]
The IKE processing unit 11 and the IPsec processing unit 12 are connected via an Ethernet or other internal communication path 13.
[0041]
FIG. 2 is a more specific block diagram of the security gateway device according to the present embodiment.
[0042]
As shown in FIG. 2, the IKE processing unit 11 is connected to a facing security gateway (SGW) 14 via the Internet or another insecure network 17.
[0043]
Further, the IKE processing unit 11 has a built-in local database 15, and similarly, each of the IPsec processing devices 12a to 12n constituting the IPsec processing unit 12 also has a built-in local database 16.
[0044]
Next, an outline of the operation of the security gateway device according to the present embodiment will be described below.
[0045]
The IKE processing unit 11 negotiates an IPsec communication parameter with the security gateway 14 using the IKE protocol. The negotiated parameter information (hereinafter, referred to as "IPsec SA") is stored in the local database 15, and one IPsec processing device that actually performs the IPsec processing is determined from the IPsec processing devices 12a to 12n. For example, the IPsec processing device 12a is determined.
[0046]
Next, the IPsec SA is transferred to the IPsec processing device 12a. At the same time, the identifier of the selected IPsec processing device 12a is linked to the corresponding IPsec SA.
[0047]
The IPsec processing device 12a that has received the IPsec SA data from the IKE processing unit 11 stores the IPsec SA in the local database 16.
[0048]
When receiving a packet to be subjected to IPsec processing from the security gateway 14, the IKE processing unit 11 searches for an IPsec SA corresponding to the packet. Next, the IKE processing unit 11 determines a corresponding IPsec processing device (for example, the IPsec processing device 12a) based on the searched IPsec SA, and transfers the received packet to the IPsec processing device 12a.
[0049]
Upon receiving the IPsec processing packet from the IKE processing unit 11, the IPsec processing device 12a searches the local database 16 for a corresponding IPsec SA. The IPsec processing device 12a executes the actual IPsec processing (encryption / decryption processing and authentication processing) based on the searched IPsec SA, and outputs the processed packet 18.
[0050]
Next, the operation of the security gateway device according to the present embodiment will be described with reference to FIGS. 2 to 7 by dividing into two phases, an IPsec SA establishment phase and an IPsec communication phase. FIG. 2 is a block diagram showing an operation state of the security gateway device in an IPsec SA establishment phase, FIG. 3 is a block diagram showing an operation state of the security gateway device in an IPsec communication phase, and FIG. 4 is a diagram in an IPsec SA establishment phase. 5 is a flowchart showing the operation of the IKE processing unit 11, FIG. 5 is a flowchart showing the operation of the IPsec processing unit 12 in the IPsec SA establishment phase, FIG. 6 is a flowchart showing the operation of the IKE processing unit 11 in the IPsec communication phase, and FIG. 5 is a flowchart showing the operation of the IPsec processing unit 12 in the IPsec communication phase.
[0051]
In the IPsec SA establishment phase, the IKE processing unit 11 negotiates various parameters (algorithm, key, etc.) required for the IPsec processing with the facing security gateway 14 using the IKE protocol (step S401 in FIG. 4). . Hereinafter, the execution of the negotiation process is referred to as IPsec SA establishment.
[0052]
When the IPsec SA is established, the IKE processing unit 11 selects one IPsec processing device from the cluster, that is, the IPsec processing devices 12a to 12n, as the IPsec processing device that actually performs the IPsec processing (step S402 in FIG. 4). . At this time, an IPsec processing device is selected by an algorithm such as round robin in consideration of load distribution in a cluster. Here, it is assumed that the IPsec processing device 12n is selected.
[0053]
Next, the IKE processing unit 11 links the IPsec SA with the identifier of the selected IPsec processing device 12n, and stores both in the local database 15 (Step S403 in FIG. 4). For example, as shown in FIG. 2, the local database 15 stores the parameter “SA ₂₁ ” as an IPsec SA and the identifier “23” of the IPsec processing device 12 n as a corresponding IPsec processing device in a linked state. .
[0054]
Next, the IKE processing unit 11 transfers the IPsec SA to the IPsec processing device 12n that is the selected IPsec processing device (Step S404 in FIG. 4).
[0055]
IPsec processing apparatus 12n which received the IPsec SA _{"SA 21"} from the IKE processing unit 11 (step S501 in FIG. 5), and stores the IPsec SA _{"SA 21"} to its own local database 16 (step S502 in FIG. 5) .
[0056]
In the IPsec communication phase, when the IKE processing unit 11 receives a packet from the opposite security gateway 14 (Step S601 in FIG. 6),
Based on the received packet, the local database 15 is searched for an IPsec SA to process the packet (step S602 in FIG. 6). For example, as shown in FIG. 3, the local database 15 stores the IPsec SA “SA ₃₁ ” and the identifier “33” of the corresponding IPsec processing device in a state of being mutually linked.
[0057]
Next, the IKE processing unit 11 determines whether or not there is an entry (Step S603 in FIG. 6).
[0058]
If there is an entry (YES in step S603 in FIG. 6), the IPsec processing device to process the packet is determined (step S604 in FIG. 6). For example, when the IPsec SA “SA ₃₁ ” is searched as the IPsec SA to process the packet, the IPsec processing device represented by the identifier “33” is regarded as the IPsec processing device corresponding to the IPsec SA “SA ₃₁ ”. Is determined. Here, it is assumed that the IPsec processing device represented by the identifier “33” is the IPsec processing device 12n.
[0059]
Next, the IKE processing unit 11 encapsulates the packet with IP in IP Tunneling, and transfers the encapsulated packet to the IPsec processing device 12n (Step S605 in FIG. 6).
[0060]
On the other hand, if there is no entry (NO in step S603 in FIG. 6), the received packet is discarded (step S606 in FIG. 6), and the reception of the next packet is waited.
[0061]
Upon receiving the packet from the IKE receiving unit 11 (step S701 in FIG. 7), the IPsec processing device 12n restores the encapsulated packet, that is, removes the capsule from the packet (step S702 in FIG. 7).
[0062]
Next, the IPsec processing device 12n searches the local database 16 for an IPsec SA corresponding to the packet (Step S703 in FIG. 7).
[0063]
Next, the IPsec processing device 12n determines whether or not there is an entry (Step S704 in FIG. 7).
[0064]
If there is an entry (YES in step S704 in FIG. 7), an actual IPsec process (encryption / decryption and authentication) is executed based on the retrieved IPsec SA (step S705 in FIG. 7).
[0065]
Next, the IPsec processing apparatus 12n sends the packet 19 (see FIG. 3) subjected to the IPsec processing to the network (step S706 in FIG. 7).
[0066]
On the other hand, if there is no entry (NO in step S704 in FIG. 7), the received packet is discarded (step S707 in FIG. 7), and the reception of the next packet is waited.
[0067]
As described above, according to the security gateway device of the present embodiment, the following effects can be obtained.
[0068]
The first effect is that the throughput of the IPsec processing can be increased by separating the IPsec SA establishment processing from the IPsec processing with a high processing load.
[0069]
The second effect is that, by configuring the IPsec processing unit 12 in a cluster configuration including a plurality of IPsec processing devices 12a to 12n, the load of the IPsec processing can be distributed, and the communication load can be flexibly dealt with. This is the point that can be secured.
[0070]
FIG. 8 is a schematic diagram showing the structure of the security gateway device according to the second embodiment of the present invention.
[0071]
In the security gateway device according to the present embodiment, the IKE processing unit and the IPsec processing unit are formed as separate components, respectively, as in the case of the first embodiment. The IPsec processing unit 82 and the IPsec processing unit 82 are both formed as a processor-mounted board, and are mutually connected via an internal bus 83. Thus, the IKE processing unit 81 and the IPsec processing unit 82 are externally configured as a single device.
[0072]
Communication between the IKE processing unit 81 and a plurality of IPsec processing devices constituting the IPsec processing unit 82 is performed via the internal bus 83.
[0073]
In the communication path between the IKE processing unit 81 and the IPsec processing unit 82, it is possible to optimize the transfer method according to the type of the data link layer.
[0074]
For example, when using an ATM (Asynchronous Transfer Mode), the IKE processing unit 81 and the IPsec processing unit 82 are connected by a point-to-point virtual channel (Virtual Channel: VC). By directly encapsulating the LLC / SNAP, the overhead of IP in IP Tunneling can be reduced.
[0075]
【The invention's effect】
As described above, according to the security gateway device of the present invention, the effect that the throughput of the IPsec processing can be increased can be obtained.
[0076]
In the security gateway device according to the present invention, the IPsec SA establishment process and the IPsec process are separated. Specifically, the authentication key exchange means (IKE processing unit in the embodiment) performs IPsec SA establishment processing, that is, processing for negotiating parameters necessary for IP security communication with the security gateway, and performs IP security processing means ( The IPsec processing unit in the embodiment) actually executes the IP security processing on the packet sent from the authentication key exchange unit. As described above, by separating the IPsec SA establishment processing from the IPsec processing having a high processing load, it is possible to increase the throughput of the IPsec processing.
[0077]
In addition, by configuring the IPsec processing unit in a cluster configuration including a plurality of IPsec processing devices, the load of the IPsec processing can be distributed, and high scalability can be secured.
[Brief description of the drawings]
FIG. 1 is a block diagram of a security gateway device according to a first embodiment of the present invention.
FIG. 2 is a block diagram illustrating an operation state of the security gateway device according to the first embodiment in an IPsec SA establishment phase.
FIG. 3 is a block diagram illustrating an operation state of the security gateway device according to the first embodiment in an IPsec communication phase.
FIG. 4 is a flowchart illustrating an operation of an IKE processing unit in an IPsec SA establishment phase in the security gateway device according to the first embodiment.
FIG. 5 is a flowchart illustrating an operation of an IPsec processing unit in an IPsec SA establishment phase in the security gateway device according to the first embodiment.
FIG. 6 is a flowchart illustrating an operation of an IKE processing unit in an IPsec communication phase in the security gateway device according to the first embodiment.
FIG. 7 is a flowchart illustrating an operation of an IPsec processing unit in an IPsec communication phase in the security gateway device according to the first embodiment.
FIG. 8 is a schematic diagram of a security gateway device according to the first embodiment of the present invention.
FIG. 9 is a block diagram illustrating an example of a conventional signal communication system.
FIG. 10 is a diagram illustrating an example of an IP security authentication header defined in IPsec.
[Explanation of symbols]
11 IKE processing unit 12 in the first embodiment 12 IPsec processing unit 12a-12n IPsec processing device 13 in the first embodiment Internal communication path 14 Security gateway 15 Local database 16 Local database 17 Insecure network 18, 19 Packet 81 Second IKE processing unit 82 in the second embodiment IPsec processing unit 83 in the second embodiment Internal bus

Claims

Authentication key exchange means for performing negotiation processing for negotiating parameters required for IP security communication with the opposite security gateway;
An IP security processing unit connected to the authentication key exchange unit via an internal communication path and performing IP security processing on a packet sent from the authentication key exchange unit;
Tona is,
The IP security processing means comprises a plurality of IP security processing devices;
The authentication key exchange unit performs a distribution process of distributing the packet to any of the plurality of IP security processing devices after the negotiation process,
Each of the plurality of IP security processing devices executes an IP security process on the packet distributed from the authentication key exchange means,
The authentication key exchange means, when receiving a packet to be subjected to IP security processing, searches for a parameter corresponding to the packet from the negotiated parameters, and performs an IP security processing of the packet based on the searched parameter. A security gateway device that determines an IP security processing device to be performed and transfers the packet to the IP security processing device.

The authentication key exchange means has a local database,
The authentication key exchange unit links the retrieved parameter and the identifier of the IP security processing apparatus determined to cause the IP security processing of the packet to be performed, and stores the parameter and the identifier in the local area. The security gateway device according to claim 1 , wherein the security gateway device is stored in a database.

The authentication key exchange unit, the security gateway device according to claim 1 or 2, characterized in that to transfer the retrieved parameter in the IP security processing apparatus together with the packet.

Each of the plurality of IP security processor has a local database, any one of claims 1 to 3, characterized in that said that said received from the authentication key exchange unit parameters intended to be stored in the local database The security gateway device according to claim 1.

The IP security processing device that has received the packet from the authentication key exchange means searches the local database for a parameter corresponding to the packet, and performs IP security processing on the packet based on the searched parameter. The security gateway device according to claim 4 , wherein:

The security gateway device according to any one of claims 1 to 5, wherein the authentication key exchange unit encapsulates the packet and transfers the encapsulated packet to the IP security processing device.

Each of the plurality of IP security processing devices has a local database,
Each of the plurality of IP security processing devices restores the encapsulated packet received from the authentication key exchange means, searches the local database for a parameter corresponding to the packet, and, based on the searched parameter, The security gateway device according to claim 6 , wherein an IP security process is performed on the packet.

Each of the authentication key exchange means and the plurality of IP security processing devices is constituted by a board on which a processor is mounted, and each of the authentication key exchange means and the plurality of IP security processing devices are interconnected by an internal bus. The security gateway device according to any one of claims 1 to 7 , wherein:

The transfer of packets between the authentication key exchange unit and the IP security processing unit, according to the type of data link layer, according to any one of claims 1 to 8, characterized in that it is optimized Security gateway device.

A first step in which the authentication key exchange means negotiates parameters necessary for IP security communication with the opposite security gateway;
A second IP security processing unit connected to the authentication key exchange unit via an internal communication path and configured to perform IP security processing on a packet sent from the authentication key exchange unit by an IP security processing unit including a plurality of IP security processing devices; and the process of,
A third step in which after the first step, the authentication key exchange means distributes the packet to one of the plurality of IP security processing devices;
With
In the second step, each of the plurality of IP security processing devices performs an IP security process on the packet distributed from the authentication key exchange means,
A fourth step of, when the authentication key exchange means receives a packet to be subjected to IP security processing, searching for a parameter corresponding to the packet from the negotiated parameters;
A fifth step of determining an IP security processing device that performs IP security processing on the packet based on the retrieved parameters;
A sixth step of transferring the packet to the IP security processing device determined in the fifth step,
IP security processing method for a packet, characterized in that it comprises a.

The authentication key exchange means has a local database,
A step in which the authentication key exchanging means mutually links the retrieved parameter and an identifier of the IP security processing device determined to perform the IP security processing on the packet;
A step in which the authentication key exchange means stores the parameter and the identifier in the local database;
The IP security processing method for a packet according to claim 10 , further comprising:

12. The IP security processing method for a packet according to claim 10 , wherein in the sixth step, the authentication key exchange unit transfers the retrieved parameter together with the packet to the IP security processing device.

Each of the plurality of IP security processing devices has a local database,
The packet according to any one of claims 10 to 12 , further comprising a step of each of the plurality of IP security processing devices storing the parameter received from the authentication key exchange unit in the local database. IP security processing method.

A step in which the IP security processing device receiving the packet from the authentication key exchange means searches the local database for a parameter corresponding to the packet;
A step in which the IP security processing device performs IP security processing on the packet based on the searched parameters;
IP security processing method for a packet of claim 1 3, characterized in that it comprises a.

The authentication key exchange means includes a step of encapsulating the packet,
The method according to any one of claims 10 to 14, wherein the encapsulated packet is transferred to the IP security processing device in the sixth step.

Each of the plurality of IP security processing devices has a local database,
A step in which each of the plurality of IP security processing devices restores the encapsulated packet received from the authentication key exchange means;
A step in which each of the plurality of IP security processing devices retrieves a parameter corresponding to the packet from the local database;
A step in which each of the plurality of IP security processing devices performs IP security processing on the packet based on the searched parameters;
16. The IP security processing method for packets according to claim 15 , further comprising:

17. The method according to claim 10 , further comprising a step of optimizing a transfer of a packet between the authentication key exchange unit and the IP security processing unit according to a type of a data link layer. 2. An IP security processing method for a packet described in 1.