Brevet FR2761843A1 — publié le 19981009

L'invention concerne un procédé d'exploitation de réseaux vir- tuels privés dans un réseau commun de commutation de paquets de don- nées et un dispositif pour la mise en oeuvre de ce procédé. Il est connu d'utiliser un système dit "Intranet", qui consiste en soi en l'utilisation de protocoles et d'outils du réseau Internet pour résou- dre des problèmes de communication interne dans une entreprise. On uti- lise le concept Intranet d'une manière non uniforme, ce concept allant du plan du réseau (couche 3 du modèle OSI, c'est-à-dire du modèle d'inter- connexions de systèmes) jusqu'à des plans plus élevés. Des abonnés du réseau Intranet peuvent communiquer, à l'intérieur d'une entreprise, par l'intermédiaire du réseau Intranet de cette entreprise avec d'autres abon- nés du système Intranet. En outre une communication avec des abonnés situés à l'extérieur du système Intranet est possible par l'intermédiaire de ports du système Intranet, qui sont raccordées à l'extérieur, comme par exemple des ports du réseau Internet. Etant donné que des données in- ternes à une entreprise doivent en général être protégées vis-à-vis d'un accès non autorisé, au moins des données importantes du point de vue sécurité d'une entreprise ne sont en général pas transmises au moyen du réseau Internet, et le système Intranet interne à l'entreprise est séparé du réseau Internet public par des mécanismes de protection. La commutation de paquets de données par l'intermédiaire d'un système Intranet de communication de paquets de données, interne à une société, s'effectue au niveau de la couche 3 du modèle OSI en des noeuds de réseau (routeurs). Dans le cas de réseaux assez étendus, on utilise plusieurs plans de commutation, les plans supérieurs de commutation étant agen- cés avec des systèmes de commutation performants (routeurs) et avec des largeurs de bandes de puissance performantes, de manière à permet- tre une focalisation du trafic des données par l'intermédiaire de ces plans de commutation. Dans le cas d'un système Intranet d'une entreprise, in- séré d'une manière protégée dans un réseau de télécommunication pu- blic, des services sont délivrés avec une protection vis-à-vis de l'accès à partir d'un autre réseau (notamment Internet); de tels services sont par exemple le serveur de noms (également connu sous l'expression Name- Server), le système de messagerie électronique (également connu sous le terme "Mail"), le système WWW (c'est-à-dire la partie multimédia du ré- seau Internet), le système garde-barrière (connu également sous le terme "Firewall"), etc. Réaliser un tel système Intranet est relativement compliqué. La présente invention a pour objet une réalisation du système Intranet, aussi universelle que possible, bon marché et protégée vis-à-vis d'accès externes. Ce problème est résolu conformément à l'invention à l'aide d'un procédé d'exploitation de réseaux virtuels privés de la couche 3 dans un réseau commun de commutation de paquets de données, remarquable en ce que: 1 5 - une séparation logique de ces réseaux virtuels privés de la cou- che 3 I'un de l'autre s'effectue par association d'espaces partiels disjonc- tifs d'adresses d'un espace homogène complet prédéterminé d'adresses à ces réseaux virtuels privés de la couche 3, - à un réseau virtuel privé de la couche 3 est associée respecti- vement un identifiant déterminé de réseau virtuel privé, qui sert à caracté- riser l'espace partiel disjoint d'adresses du réseau virtuel privé de la cou- che 3 et constitue la partie de l'adresse de chaque abonné individuel du réseau virtuel privé de la couche 3, - un identifiant, qui caractérise le réseau virtuel privé de la couche 3, commence au niveau d'une position binaire fixe dans une adresse d'un abonné individuel du réseau virtuel privé de la couche 3 et possède une longueur variable ou fixe, et - la réalisation de la séparation des réseaux virtuels privés de la couche 3 s'effectue par filtrage de paquets de données et d'informations d'acheminement dans des routeurs du réseau de commutation de paquets de données sur la base de l'identifiant. Selon une autre caractéristique de l'invention, il est prévu une uti- lisation commune d'une infrastructure pour des services centraux, aux- quels les abonnés individuels de l'ensemble ou de plusieurs des réseaux virtuels privés de la couche 3 peuvent accéder par visualisation d'un es- pace commun d'adresses pour la totalité ou plusieurs des réseaux virtuels privés. Selon une autre caractéristique de l'invention, le contrôle de l'au- torisation d'un abonné individuel d'un réseau virtuel privé de la couche 3 à accéder à certains services centraux et la séparation de ces services pour différents réseaux virtuels privés de la couche 3 sont garantis au moyen de l'identifiant de réseau virtuel privé contenu dans l'adresse d'émission de l'abonné individuel et dans l'adresse de destination du ser- vice central. Selon une autre caractéristique de l'invention, on utilise un proto- cole OSI (protocole de modèle d'interconnexion de systèmes), un proto- cole IPv4 (version 4 du protocole du réseau Internet), un protocole IPv6 (version 6 du protocole du réseau Internet) ou un protocole IPX (protocole d'échange de paquets inter-réseaux) dans le réseau de commutation de paquets de données. Selon une autre caractéristique de l'invention, un service central est mis en oeuvre, dans lequel un processus (un processus de répartition) associe des demandes de services à des processus de services spécifi- ques aux réseaux virtuels privés, sur la base de l'identifiant. Selon une autre caractéristique de l'invention, un processus de répartition à serveurs de noms de domaines associe une demande de ser- vice de noms de domaines (demande DNS) sur la base de l'identifiant (VPNID) de l'émetteur, aux processus de serveurs de noms spécifiques aux réseaux virtuels privés. La présente invention concerne également un dispositif pour la mise en oeuvre du procédé ci-dessus, remarquable en ce qu'il comprend: - des moyens pour effectuer une séparation logique des réseaux virtuels privés de la couche 3 (VPN A, VPN B) I'un de l'autre par associa- tion d'espaces partiels disjonctifs d'adresses d'un espace homogène complet prédéterminé d'adresses à ces réseaux virtuels privés de la cou- che 3, - des moyens pour, à un réseau virtuel privé de la couche 3, as- socier respectivement un identifiant déterminé de réseau virtuel privé (VPN-ID), qui sert à caractériser l'espace partiel disjoint d'adresses du réseau virtuel privé de la couche 3 et constitue la partie de l'adresse de chaque abonné individuel du réseau virtuel privé de la couche 3, - des moyens pour qu'un identifiant (VPN-ID), qui caractérise le réseau virtuel privé de la couche 3, commence au niveau d'une position binaire fixe dans une adresse d'un abonné individuel du réseau virtuel pri- vé de la couche 3 et possède une longueur variable ou fixe, et - des moyens pour effectuer la réalisation de la séparation des ré- seaux virtuels privés de la couche 3 par filtrage de paquets de données et d'informations d'acheminement dans des routeurs du réseau de commu- tation de paquets de données sur la base de l'identifiant (VPN-ID). Conformément à l'invention, pour un abonné (qui comprend plu- sieurs abonnés individuels séparés dans l'espace (calculateurs individuels et/ou réseaux locaux LAN)), par exemple un abonné tel qu'une entreprise comportant plusieurs établissements distants spatialement, on réalise un système Intranet pour les abonnés individuels, distants spatialement, de l'abonné au moyen d'un réseau virtuel privé pour l'abonné dans un ré- seau commun de commutation de paquets de données (comme par exemple une commutation de données par l'intermédiaire d'un réseau té- léphonique public d'un ou de plusieurs exploitants, de l'lnternet ou des deux) pour plusieurs abonnés. Un espace partiel d'adresses de l'espace complet homogène pré- déterminé d'adresses du réseau de commutation de paquets de données est affecté au réseau virtuel privé d'un abonné (comme par exemple une société comportant plusieurs établissements distants spatialement). Le réseau virtuel privé d'un abonné est séparé des réseaux virtuels privés d'autres abonnés du réseau de commutation de paquets de données. A cet effet, une zone déterminée pour un identifiant désigné par VPN-ID (c'est-à-dire une séquence binaire d'identification pour ce réseau virtuel privé VPN) est fixée dans l'adresse de chaque abonné individuel à l'inté- rieur d'un réseau virtuel privé. L'identifiant VPN-ID d'un réseau virtuel privé est identique pour tous les abonnés partiels à l'intérieur du réseau virtuel privé (également en des emplacements distants spatialement). La séparation des réseaux virtuels privés s'effectue sur la base du filtrage de paquets de données et d'informations d'acheminement sur la base des bits de l'identifiant (VPN-ID). La séparation des réseaux virtuels privés s'effectue au niveau de la couche 3 du modèle OSI. Les réseaux virtuels privés d'abonnés individuels sont séparés par le fait que lorsqu'un abonné d'un réseau virtuel privé émet un paquet de données ayant une adresse de destination, qui contient l'identifiant de son réseau virtuel privé, le paquet de données reste à l'intérieur du réseau virtuel privé. Cependant à partir d'un réseau virtuel privé, on peut établir des portes tournées vers l'extérieur, c'est-à-dire vers le réseau Internet, vers d'autres réseaux virtuels privés, etc. Conformément à l'invention, il est possible de mettre en place des services centraux pour un réseau virtuel privé séparément de services centraux d'un autre réseau virtuel privé, et d'amener ces processus à se dérouler pour différents réseaux virtuels privés, dans des dispositifs communs (mais séparément). Par exemple, les serveurs de noms de deux réseaux virtuels privés peuvent être réalisés dans un dispositif commun, mais ceci peut être mis en oeuvre sous la forme d'un déroulement de processus séparés, non visibles les uns des autres. Il est alors possible de réaliser un processus central de répartition, qui associe les demandes de services provenant de réseaux virtuels privés différents, sur la base de l'identifiant VPN-ID, respectivement à un processus de service spécifique au réseau virtuel privé. Un abonné individuel au sens de la présente in- vention est notamment n'importe quel réseau local LAN, etc. Un abonné au sens de la présente invention est un groupe d'abonnés individuels, par exemple une entreprise, etc. Les figures du dessin annexé feront bien comprendre comment l'invention peut être réalisée. La figure 1 illustre la transmission de données entre un emplace- ment d'établissement 1 (= LOC 1) et un emplacement d'établissement 2 (= LOC 2) d'un abonné du réseau de commutation de paquets de don- nées, réalisée au moyen d'un réseau virtuel privé et ce pour différents réseaux virtuels privés (VPN-A et VPN-B), dans un réseau de commuta- tion de paquets de données de la couche 3 du modèle OSI (désigné par "Arcor IP Backbone"), la séparation des réseaux virtuels privés s'effec- tuant par filtrage de paquets de données et d'informations d'achemine- ment au niveau des points d'accès au réseau "Backbone" (point d'accès au réseau). La figure 2 représente la constitution d'une adresse du réseau de commutation de paquets de données. La figure 3 représente la constitution, qui est intégrée spatiale- ment et séparée du point de vue fonctionnel, de services centraux com- muns pour les réseaux virtuels privés d'un réseau de commutation de pa- quets de données dans le cas de l'exemple des services de noms de do- maines. La figure 1 représente un réseau 1 de commutation de paquets selon l'invention comportant deux réseaux virtuels privés (VPN A, VPN B). Un réseau virtuel privé VPN A comprend l'ensemble des abonnés indi- viduels locaux et des réseaux locaux 2, 3 et 4; le réseau virtuel VPN B englobe et relie tous les réseaux locaux 5, 6 et 7 séparés spatialement. Les accès de réseaux locaux 2 à 7 au réseau de commutation de paquets de données 1 sont représentés respectivement par des cercles (un cercle = point d'accès au réseau) au niveau du bord du réseau de commutation de paquets de données 1. Des paquets de données, qui cir- culent dans le réseau de commutation de paquets de données, sont re- présentés le long de liaisons entre les réseaux locaux et le réseau de commutation de paquets, respectivement sous la forme de rectangles, et ici par exemple on a représenté le trajet pour le paquet de données 8 (VPN-A) qui va du réseau local VPN-A-Loc 1 (= 2) au réseau local VPN- A-Loc2 (= 3) et pour le paquet de données 9 (VPN-B), qui va de 5 à 6. La désignation de réseaux virtuels privés selon l'invention comme étant des réseaux virtuels privés de la couche 3 signifie simplement que dans la couche 3 du modèle OSI il se produit une séparation de réseaux virtuels privés sur la base d'un filtrage de paquets de données ou d'in- formations d'acheminement avec les bits de réseau virtuel privé contenus dans une adresse d'un paquet. Le maillage des établissements (2-4) du premier abonné A et le maillage des établissements (5-7) du second abonné B sont réalisés par l'intermédiaire d'un réseau commun de commutation de paquets de don- nées 1, mais une séparation virtuelle des réseaux des deux abonnés du point de vue commutation ultérieure et autorisation de mise en oeuvre pour des services, etc. est obtenue grâce au fait que dans l'ensemble du réseau de commutation de paquets de données, un réseau virtuel privé VPN A est créé pour le premier abonné et un réseau virtuel privé VPN B est créé pour le second abonné. Dans le cas présent, seuls deux réseaux virtuels VPN A et VPN B sont créés pour chaque abonné à partir du réseau de commutation de paquets de données 1; cependant la réalisation de réseaux virtuels privés pour plus de deux abonnés est également possible. Le réseau de commutation de paquets de données 1 est subdivisé en réseaux virtuels privés de la couche 3, c'est-à-dire en des réseaux vir- tuels privés contenus dans la couche 3 du modèle de référence OSI. La séparation des réseaux virtuels privés VPN A du premier abon- né et VPN B du second abonné s'effectue par association d'espaces par- tiels disjoints (sans chevauchement) d'adresses de l'espace complet pré- déterminé d'adresses (du réseau de commutation de paquets de données 1) aux abonnés du réseau de commutation de paquets de données. Par conséquent une partie de l'espace complet d'adresses du réseau de commutation de paquets de données 1 1 est associé au réseau virtuel pri- vé VPN A du premier abonné; un espace partiel d'adresses, non en che- vauchement avec le premier espace partiel d'adresses, de l'espace com- plet d'adresses est associé au réseau virtuel privé VPN B du second abonné. La séparation des réseaux virtuels privés est réalisée dans la cou- che 3 du modèle de référence OSI (couche 3 de OSI), c'est-à-dire dans la couche du réseau. Pour la séparation des réseaux virtuels A et B on réa- lise un filtrage de paquets de données et d'informations d'acheminement sur la base de l'identifiant VPN-ID (S). L'identifiant VPN-ID est contenu dans un en-tête d'un paquet, qui est retransmis entre deux réseaux lo- caux 2, 3, séparés spatialement, d'un réseau virtuel privé A. La poursuite de la commutation d'un paquet 8 sur le trajet allant d'un emplacement 2 d'un réseau virtuel VPN A à un autre emplacement 3 du réseau virtuel VPN A s'effectue dans le réseau de commutation de paquets de données 1 par l'intermédiaire de routeurs 10, 11, 15, 17, 21 (ou sinon par exem- ple par l'intermédiaire de 10, 11, 14, 17, 21). La séparation réciproque des réseaux virtuels privés VPN A et VPN B peut être agencée concrètement de différentes manières. Ainsi il est possible que des abonnés individuels d'un réseau virtuel privé VPN A ainsi que des abonnés partiels d'un autre réseau virtuel privé VPN B puis- sent avoir accès à un espace partiellement commun d'adresses, qui est visible pour tous les abonnés individuels des deux réseaux virtuels privés VPN A et VPN B. Dans cet espace commun d'adresses, on peut réaliser une infrastructure commune pour les services centraux pour les deux ré- seaux virtuels privés VPN A et VPN B, ce qui réalise une économie de coût. L'infrastructure commune peut cependant être strictement séparée en ce qui concerne les autorisations d'accès à des processus et/ou à des données pour les deux réseaux virtuels privés VPN A et VPN B. Par exemple, il est possible de réaliser, pour deux réseaux virtuels privés A, B ou plus, un serveur de noms commun, avec lequel cependant des processus totalement ou partiellement séparés se déroulent pour les réseaux virtuels privés VPN-A et VPN-B. Par exemple, à partir du réseau virtuel VPN A on peut voir d'autres adresses qu'à partir du réseau virtuel VPN B. Lors de la communication d'un abonné individuel à un autre abon- né individuel par l'intermédiaire du réseau de commutation de paquets de données, on obtient l'acheminement, notamment en ce qui concerne les bits des réseaux virtuels privés de ces abonnés individuels, entre la cou- che de distribution et la couche d'accès. Le contrôle des informations d'acheminement et des filtres de paquets s'effectue automatiquement, au moyen d'une gestion centrale de configuration, avec une application de blocs de données. Le filtrage d'informations d'acheminement s'effectue à l'aide de cartes de routes et de listes de distribution au niveau des interfaces cor- respondantes du routeur de la couche de distribution ou du routeur de points de présence ou d'accès locaux au réseau de commutation de pa- quets de données pour des abonnés individuels ou des réseaux locaux LAN, et notamment des centraux à trafic intense sont équipés de rou- teurs très performants. Au niveau des accès du réseau de commutation de paquets de données, il n'existe aucun trajet implicite dans le tableau d'acheminement pour des paquets ayant une adresse inconnue. La figure 2 représente la subdivision de l'espace complet d'adres- ses d'un réseau de commutation de paquets de données avec une lon- gueur d'adresse de 20 bits (IETF groupe de travail traitant des techniques de l'lnternet - Classe A 10.0.0.0) en des espaces partiels d'adresses pour des réseaux virtuels privés VPN 1 à VPN 5 ainsi qu'un autre espace par- tiel d'adresses. La constitution d'une adresse de commutation de paquets de données, formée par une partie de réseau (NET-ID) 100, une partie de réseau virtuel privé (VPN-ID) 101 et de sous-réseaux 102 et hôtes 103, est représentée dans le cas de l'exemple de l'adressage selon le protocole IP, c'est-à-dire le protocole de l'lnternet. L'exemple contient une partie d'acheminement régional à 4 bits, qui est réparti uniformément entre l'en- semble des réseaux virtuels privés. L'espace d'adresses à 20 bits restant est subdivisé, avec l'identifiant VPN-ID, en des espaces partiels disjoints d'adresses. Un exemple représente quatre réseaux virtuels privés possé- dant une longueur d'identifiant VPN-ID différente avec le nombre associé d'adresses hôtes possible, soit: - VPN1 ID = 0100: 1048000 hôtes - VPN2: ID = 100001: 260000 hôtes l - VPN3: ID = 00010101: 65000 hôtes - VPN4: ID = 000010000000: 4000 hôtes. A la partie supérieure de la figure 2, on a représenté une subdivi- sion de l'adresse IP en un indicatif de réseau 10 (= IETF-Classe A 10.0.0.0)104, des bits d'acheminement régionaux (ici 4 bits) 105, des bits de réseaux virtuels privés et des bits d'abonnés individuels 106 (ou des bits d'hôtes d'abonnés individuels). Le début de l'identifiant VPN-ID à l'intérieur des adresses d'un réseau de commutation de paquets de don- nées est fixe, la longueur de l'identifiant VPN-ID peut être fixe ou varia- ble. Dans le cas d'un identifiant VPN-ID long, il existe un nombre relati- vement faible de bits pour des abonnés individuels (ou leurs hôtes) alors que dans le cas d'un identifiant VPN-ID bref, il subsiste un nombre relati- vement élevé de bits pour l'identifiant d'abonnés individuels ou l'identi- fiant d'hôtes d'abonnés individuels. Par exemple, un identifiant de ré- seaux virtuels privés à 16 bits et un identifiant d'hôtes à quatre bits sont possibles ou bien un identifiant VPN-ID à 12 bits et un identifiant d'hôte à 8 bits ou bien un identifiant VPN-ID à 4 bits et un identifiant d'hôte à 16 bits. A la place de l'identifiant d'hôte, on peut également prévoir un iden- tifiant de sous-réseau. L'identifiant VPN-ID est disposé en avant de l'iden- tifiant d'hôte ou de l'identifiant de sous-réseau. En outre sur la figure 2 on a représenté la taille de l'espace d'adresses (pour l'identifiant d'hôte) en fonction de la longueur de l'iden- tifiant VPN-ID. A gauche sur la figure 2, de haut en bas, on a représenté bits d'adresses (pour l'identifiant VPN-ID + I'identifiant d'hôte). Le bord gauche de la pyramide correspond respectivement, au niveau du n- ème (n = 1...20) bit, un "0", et le bord de droite correspond à "1 ". Dans le cas d'un identifiant VPN-ID long, c'est-à-dire d'un espace d'adresses de réseau virtuel privé, qui commence dans une position relativement basse sur la figure 2, I'espace d'adresses du réseau virtuel privé est rela- tivement faible. Dans le cas d'un identifiant VPN-ID bref, c'est-à-dire d'un espace d'adresses de réseau virtuel privé, qui commence dans une posi- tion relativement élevée sur la figure (pour l'adresse d'hôte d'abonné in- dividuel), il existe un nombre relativement élevé d'adresses possibles d'abonnés individuels dans ce réseau virtuel privé. Pour le réseau virtuel VPN 1, la longueur de l'identifiant VPN-ID est de 4 bits et par conséquent l'espace partiel d'adresses comprend 16 bits pour l'identifiant de l'hôte, respectivement dans les 16 régions. Pour le réseau virtuel privé plus petit VPN 2, la longueur de l'identifiant VPN-ID est égale à 6 bits et par consé- quent l'espace partiel d'adresses pour l'identifiant de l'hôte est de 14 bits dans les régions. Pour le réseau virtuel privé VPN 3 encore plus petit, la longueur de l'identifiant VPN-ID est égale à 12 bits, et par conséquent la longueur de l'identifiant de l'hôte est de 8 bits, c'est-àdire un espace d'adresses à 8 bits à l'intérieur du réseau virtuel privé 3. Comme le mon- tre la figure 2, un grand espace d'adresses est disponible pour un identi- fiant VPN-ID pour le réseau virtuel privé. L'autorisation d'un réseau virtuel privé (ou de chaque abonné in- dividuel d'un réseau local de ce réseau local privé) pour certains services centraux peut être contrôlée sur la base de l'identifiant VPN- ID dans I'adresse d'émetteur d'un abonné individuel. L'adresse d'émetteur de l'abonné individuel d'un réseau virtuel privé, qui pourrait solliciter un ser- vice central déterminé dans le réseau de commutation de paquets de données, est transmise en tant qu'adresse d'émetteur au service central, avec la demande d'utilisation du service, et peut ainsi être contrôlée. En outre, il est possible notamment de réaliser, en tant que ser- vice central, un processus de répartition pour un réseau virtuel privé dans le réseau de commutation de paquets de données, qui associe des de- mandes de services à partir du réseau virtuel privé à des processus de services spécifiques au réseau virtuel privé sur la base de l'identifiant VPN-ID. Un processus 33 de distribution des serveurs de noms de domai- nes peut associer une demande du service de noms de domaines (demande DNS) à un processus de serveur de noms 34, 35 spécifique au réseau virtuel privé sur la base de l'identifiant VPN-ID de l'émetteur de la demande. Ce processus est illustré sur la figure 3. Les processus peuvent être mis en oeuvre dans une infrastructure commune. Le processus 34 désigné VPNB est associé au réseau virtuel privé VPNB 30 et de façon correspondante le processus désigné par VPNA 35 est associé au réseau virtuel privé VPNA 31 (32 désignant le réseau). REVENDICATIONS 1. Procédé d'exploitation de réseaux virtuels privés de la couche 3 (VPN A, VPN B) dans un réseau commun de commutation de paquets de données (couche 3 du modèle OSI d'interconnexion de systèmes-réseau de commutation de paquets de données 1), caractérisé en ce que: - une séparation logique de ces réseaux virtuels privés de la cou- che 3 (VPN A, VPN B) I'un de l'autre s'effectue par association d'espaces partiels disjonctifs d'adresses d'un espace homogène complet prédéter- miné d'adresses à ces réseaux virtuels privés de la couche 3, - à un réseau virtuel privé de la couche 3 est associé respective- ment un identifiant déterminé de réseau virtuel privé (VPN-ID), qui sert à caractériser l'espace partiel disjoint d'adresses du réseau virtuel privé de la couche 3 et constitue la partie de l'adresse de chaque abonné indivi- i 5 duel du réseau virtuel privé de la couche 3, - un identifiant (VPNID), qui caractérise le réseau virtuel privé de la couche 3, commence au niveau d'une position binaire fixe dans une adresse d'un abonné individuel du réseau virtuel privé de la couche 3 et possède une longueur variable ou fixe, et - la réalisation de la séparation des réseaux virtuels privés de la couche 3 s'effectue par filtrage de paquets de données et d'informations d'acheminement dans des routeurs du réseau de commutation de paquets de données sur la base de l'identifiant (VPN-ID). 2. Procédé selon la revendication 1, caractérisé par une utilisation commune d'une infrastructure pour des services centraux, auxquels les abonnés individuels de l'ensemble ou de plusieurs des réseaux virtuels privés de la couche 3 peuvent accéder par visualisation d'un espace commun d'adresses pour la totalité ou plusieurs des réseaux virtuels privés. 3. Procédé selon l'une des revendications 1 ou 2, caractérisé en ce que le contrôle de l'autorisation d'un abonné individuel d'un réseau virtuel privé de la couche 3 à accéder à certains services centraux et la séparation de ces services pour différents réseaux virtuels privés de la couche 3 sont garantis au moyen de l'identifiant de réseau virtuel privé (VPN-ID) contenu dans l'adresse d'émission de l'abonné indi- viduel et dans l'adresse de destination du service central. 4. Procédé selon l'une quelconque des revendications 1 à 3, ca- ractérisé en ce qu'on utilise un protocole OSI (protocole de modèle d'in- terconnexion de systèmes), un protocole IPv4 (version 4 du protocole du réseau Internet), un protocole IPv6 (version 6 du protocole du réseau In- ternet) ou un protocole IPX (protocole d'échange de paquets inter- réseaux) dans le réseau (19) de commutation de paquets de données. 5. Procédé selon l'une quelconque des revendications 1 à 4, ca- l5 ractérisé en ce qu'un service central est mis en oeuvre, dans lequel un processus (un processus de répartition) associe des demandes de servi- ces à des processus de services spécifiques aux réseaux virtuels privés, sur la base de l'identifiant (VPN-ID). 6. Procédé selon l'une quelconque des revendications 1 à 5, ca- ractérisé en ce qu'un processus de répartition à serveurs de noms de do- maines associe une demande de service de noms de domaines (demande DNS) sur la base de l'identifiant (VPN-ID) de l'émetteur, aux processus de serveurs de noms spécifiques aux réseaux virtuels privés. 7. Dispositif pour la mise en oeuvre du procédé selon l'une quel- conque des revendications 1 à 6, caractérisé en ce qu'il comprend - des moyens pour effectuer une séparation logique des réseaux virtuels privés de la couche 3 (VPN A, VPN B) I'un de l'autre par associa- tion d'espaces partiels disjonctifs d'adresses d'un espace homogène complet prédéterminé d'adresses à ces réseaux virtuels privés de la cou- che 3, - des moyens pour, à un réseau virtuel privé de la couche 3, as- socier respectivement un identifiant déterminé de réseau virtuel privé (VPN-ID), qui sert à caractériser l'espace partiel disjoint d'adresses du réseau virtuel privé de la couche 3 et constitue la partie de l'adresse de chaque abonné individuel du réseau virtuel privé de la couche 3, - des moyens pour qu'un identifiant (VPN-ID), qui caractérise le réseau virtuel privé de la couche 3, commence au niveau d'une position binaire fixe dans une adresse d'un abonné individuel du réseau virtuel pri- vé de la couche 3 et possède une longueur variable ou fixe, et - des moyens pour effectuer la réalisation de la séparation des ré- seaux virtuels privés de la couche 3 par filtrage de paquets de données et d'informations d'acheminement dans des routeurs du réseau de commu- tation de paquets de données sur la base de l'identifiant (VPN-ID).