(57)【要約】【課題】インターネットへのアクセスにおける通信効率の低下を低減すること。【解決手段】ＣＰＥの宛先識別部は、ＲＨＮＷ内の端末から受信した通信データの宛先が、ＶＨＮＷ内であるか、又は、インターネットであるかを識別する。トンネリング処理部は、識別された通信データの宛先がＶＨＮＷ内である場合には、通信データに対してセキュリティ処理及びＬ２カプセリング処理を実行し、宛先がインターネットである場合には、通信データに対してＬ２カプセリング処理を実行する。通信部は、トンネリング処理部による処理後の通信データをＶＨＧＷに送信する。ＶＨＧＷのトンネリング処理部は、ＣＰＥからの通信データを受信して、ＣＰＥのトンネリング処理部の処理を解除する。通信部は、処理が解除され通信データを宛先に送信する。【選択図】        図１
2014110454.tif 000002
【特許請求の範囲】
【請求項１】
第１のネットワーク内の第１の装置と、前記第１のネットワークおよび外部ネットワークと接続される第２のネットワーク内の第２の装置とを備えるネットワークシステムであって、
前記第１の装置は、
前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第２のネットワーク内であるか、又は、前記外部ネットワークであるかを識別する識別部と、
前記識別部で識別された通信データの宛先が前記第２のネットワーク内である場合には、前記通信データに対して少なくとも暗号化処理及び前記第２の装置とトンネル通信するためのカプセリング処理を実行し、前記識別部で識別された通信データの宛先が前記外部ネットワークである場合には、前記通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行する第１のトンネリング処理部と、
前記第１のトンネリング処理部による処理後の通信データを前記第２の装置へ送信する第１の通信部と、
を備え、
前記第２の装置は、
前記第１の装置から送信された通信データを受信して、前記第１のトンネリング処理部による処理の解除を実行する第２のトンネリング処理部と、
前記第２のトンネリング処理により解除された通信データを、当該通信データの宛先へ送信する第２の通信部と、
を備えたことを特徴とするネットワークシステム。
【請求項２】
前記第１の装置は、前記識別部が前記端末から受信したデータ通信の宛先が前記外部ネットワークであると識別した場合に、当該通信データのうち所定の一部分を秘匿化する第１の秘匿処理部をさらに備え、
前記第１の通信部は、前記第１のトンネリング処理部及び前記秘匿処理部の処理後の通信データを前記第２の装置へ送信し、
前記第２の装置は、前記第１の秘匿処理部による処理を解除する第２の秘匿処理部をさらに備え、
前記第２の通信部は、前記第２のトンネリング処理及び第２の秘匿処理部により解除された通信データに対して当該通信データの宛先への送信を実行することを特徴とする請求項１に記載のネットワークシステム。
【請求項３】
前記第１の秘匿化処理部は、前記通信データのうち所定の一部分として、少なくとも当該通信データのヘッダ情報の一部分を秘匿化することを特徴とする請求項２に記載のネットワークシステム。
【請求項４】
ＩＰｖ６インターネットが接続される第１のネットワーク内の第１の装置と、前記第１のネットワークおよびＩＰｖ４インターネットと接続される第２のネットワーク内の第２の装置とを備えるネットワークシステムであって、
前記第１の装置は、
前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第２のネットワーク内であるか、又は、前記第２のネットワークに接続されるＩＰｖ４インターネットであるかを識別する第１の識別部と、
前記第１の識別部で識別された通信データの宛先が前記第２のネットワーク内である場合には、前記通信データに対して少なくとも暗号化処理及び前記第２の装置とトンネル通信するためのカプセリング処理を実行し、前記第１の識別部で識別された通信データの宛先が前記ＩＰｖ４インターネットである場合には、前記通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行する第１のトンネリング処理部と、
前記第１のトンネリング処理部による処理後の通信データを前記第２の装置を介して宛先に送信し、かつ、前記第１のネットワークに接続されるＩＰｖ６インターネットに対する通信データを送受信する第１の通信部と、
を備え、
前記第２の装置は、
前記第２のネットワーク内の端末から受信した通信データの宛先が、前記第１のネットワーク内であるか、又は、前記第１のネットワークに接続されるＩＰｖ６インターネットであるかを識別する第２の識別部と、
前記第２の識別部で識別された通信データの宛先が前記第１のネットワーク内である場合には、前記通信データに対して少なくとも暗号化処理及び前記第１の装置とトンネル通信するためのカプセリング処理を実行し、前記第２の識別部で識別された通信データの宛先が前記ＩＰｖ６インターネットである場合には、前記通信データに対して前記第１の装置とトンネル通信するためのカプセリング処理を実行する第２のトンネリング処理部と、
前記第２のトンネリング処理部による処理後の通信データを前記第１の装置を介して宛先に送信し、かつ、前記第２のネットワークに接続されるＩＰｖ４インターネットに対する通信データを送受信する際に、前記第２の装置に予め割り当てられたプライベートアドレスとグローバルアドレスとの変換を実行する第２の通信部と、
を備えたことを特徴とするネットワークシステム。
【請求項５】
第１のネットワーク内の第１の装置と、前記第１のネットワークおよび外部ネットワークと接続される第２のネットワーク内の第２の装置とを備えるネットワークシステムによって実行される通信制御方法であって、
前記第１の装置によって実行される、
前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第２のネットワーク内であるか、又は、前記外部ネットワークであるかを識別する識別工程と、
前記識別工程で識別された通信データの宛先が前記第２のネットワーク内である場合には、前記通信データに対して少なくとも暗号化処理及び前記第２の装置とトンネル通信するためのカプセリング処理を実行し、前記識別工程で識別された通信データの宛先が前記外部ネットワークである場合には、前記通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行する第１のトンネリング処理工程と、
前記第１のトンネリング処理工程による処理後の通信データを前記第２の装置へ送信する第１の通信工程と、
前記第２の装置によって実行される、
前記第１の装置から送信された通信データを受信して、前記第１のトンネリング処理部による処理の解除を実行する第２のトンネリング処理工程と、
前記第２のトンネリング処理により解除された通信データを、当該通信データの宛先へ送信する第２の通信工程と、
を含んだことを特徴とする通信制御方法。
【請求項６】
第１のネットワーク内の通信制御装置であって、
前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第１のネットワークと接続される前記第２のネットワーク内であるか、又は、当該第２のネットワークに接続される外部ネットワークであるかを識別する識別部と、
前記識別部で識別された通信データの宛先が前記第２のネットワーク内である場合には、前記通信データに対して少なくとも暗号化処理及び前記第２の装置とトンネル通信するためのカプセリング処理を実行し、前記識別部で識別された通信データの宛先が前記外部ネットワークである場合には、前記通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行するトンネリング処理部と、
前記トンネリング処理部による処理後の通信データを前記第２の装置へ送信する通信部と、
を備えたことを特徴とする通信制御装置。
【請求項７】
第１のネットワークと接続される第２のネットワーク内の通信制御装置であって、
前記第１のネットワーク内の通信装置から送信された通信データを受信して、受信した通信データに対して実行されている暗号化処理及びトンネル通信するためのカプセリング処理、又は、トンネル通信するためのカプセリング処理の解除を実行するトンネリング処理部と、
前記トンネリング処理により解除された通信データを、当該通信データの宛先へ送信する通信部と、
を備えたことを特徴とする通信制御装置。
【請求項８】
コンピュータを請求項６又は７に記載の通信制御装置として機能させるための通信制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークシステム、通信制御方法、通信制御装置及び通信制御プログラムに関する。
【背景技術】
【０００２】
従来、ユーザ宅において構築されたホームネットワーク（ＨＮＷ：Home  Network）における新たなサービスを実現するために、ホームゲートウェイ（ＨＧＷ：Home  Gateway）が利用されている。しかしながら、ＨＧＷ（または、ブロードバンドルータなど）は、市中に普及させるために、低コストで製造されることが要求されており、ＣＰＵ・メモリ・ハードディスクなどの計算機リソースの制約が厳しく、また、性能・機能を外付け装置の接続によって拡張することも困難である。
【０００３】
そこで、近年、仮想化技術の発展に伴い、ＨＧＷを仮想化する技術が検討されている。かかる技術は、計算機リソースをオンデマンドで拡張・縮退することが可能なクラウドコンピューティング技術を適用したデータセンタ上などで仮想化されたＨＧＷを動作させるものであり、これにより、計算機リソースの制約から解放され、ＨＧＷの性能・機能をさらに拡張させることが可能となる。
【０００４】
上述したＨＧＷの仮想化技術では、これまでＨＧＷを配置していたユーザ宅側のホームネットワーク（以下、ＲＨＮＷ：Real   Home  Networkと記す）と、ＲＨＮＷに対して遠隔拠点にあって、仮想化されたＨＧＷ（以下、ＶＨＧＷ：Virtual   Home  Gatewayと記す）を配置したデータセンタ側のユーザ用のネットワーク（以下、ＶＨＮＷ：Virtual   Home  Networkと記す）とが、例えば、レイヤ２（Layer２）のトンネリング（Tunneling）技術で接続される。これは、ＲＨＮＷとＶＨＮＷとが、Ethernet（登録商標）などが適用されるレイヤ２において、同一セグメントのネットワークとして扱えるようにするためである。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】Daniel  Abgrall, Orange,  "Virtual  Home  Gateway",  EURESCOM,［online］,［平成２４年１１月２日検索］、インターネット＜http://archive.eurescom.eu/~pub/deliverables/documents/P2000-series/P2055/D1/P2055-D1.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述した従来技術では、インターネットへのアクセスにおいて、通信効率が低下する場合があった。例えば、ＲＨＮＷに含まれる端末がＶＨＧＷを介して、インターネットにアクセスする場合に、通信効率が低下する場合があった。
【０００７】
そこで、本願に係る技術は、上述した従来技術の問題に鑑みてなされたものであって、インターネットへのアクセスにおける通信効率の低下を低減することを可能にするネットワークシステム、通信制御装置、通信制御プログラム及び通信制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するため、本願に係るネットワークシステムは、第１のネットワーク内の第１の装置と、前記第１のネットワークおよび外部ネットワークと接続される第２のネットワーク内の第２の装置とを備えるネットワークシステムであって、前記第１の装置は、前記第１のネットワーク内の端末から受信した通信データの宛先が、前記第２のネットワーク内であるか、又は、前記外部ネットワークであるかを識別する識別部と、前記識別部で識別された通信データの宛先が前記第２のネットワーク内である場合には、前記通信データに対して少なくとも暗号化処理及び前記第２の装置とトンネル通信するためのカプセリング処理を実行し、前記識別部で識別された通信データの宛先が前記外部ネットワークである場合には、前記通信データに対して前記第２の装置とトンネル通信するためのカプセリング処理を実行する第１のトンネリング処理部と、前記第１のトンネリング処理部による処理後の通信データを前記第２の装置へ送信する第１の通信部とを備え、前記第２の装置は、前記第１の装置から送信された通信データを受信して、前記第１のトンネリング処理部による処理の解除を実行する第２のトンネリング処理部と、前記第２のトンネリング処理により解除された通信データを、当該通信データの宛先へ送信する第２の通信部とを備えたことを特徴とする。
【発明の効果】
【０００９】
本願に係るネットワークシステム、通信制御方法、通信制御装置及び通信制御プログラムは、インターネットへのアクセスにおける通信効率の低下を低減することを可能にする。
【図面の簡単な説明】
【００１０】
【図１】図１は、第１の実施形態に係るネットワークシステムの構成の一例を示す図である。
【図２】図２は、第１の実施形態に係るＣＰＥの構成の一例を示す図である。
【図３】図３は、第１の実施形態に係るＣＰＥによる宛先識別処理及びトンネリング処理を説明するための図である。
【図４】図４は、第１の実施形態に係るＶＨＧＷの構成の一例を示す図である。
【図５】図５は、第１の実施形態に係るＶＨＧＷの構成の一例を示す図である。
【図６】図６は、第１の実施形態に係るネットワークシステムの概要を模式的に示す図である。
【図７】図７は、第１の実施形態に係るネットワークシステムの第１処理の手順を説明するためのシーケンス図である。
【図８】図８は、第１の実施形態に係るネットワークシステムの第２処理の手順を説明するためのシーケンス図である。
【図９】図９は、第１の実施形態に係るＣＰＥ及びＶＨＧＷの構成の変形例を示す図である。
【図１０】図１０は、第１の実施形態に係るネットワークシステムの変形例を説明するための図である。
【図１１】図１１は、第２の実施形態に係るＣＰＥの構成の一例を示す図である。
【図１２】図１２は、第２の実施形態に係る秘匿処理部による秘匿処理の対象の例を示す図である。
【図１３】図１３は、第２の実施形態に係るＶＨＧＷの構成の一例を示す図である。
【図１４】図１４は、第２の実施形態に係るネットワークシステムの第１処理の手順を説明するためのシーケンス図である。
【図１５】図１５は、第２の実施形態に係るネットワークシステムの第２処理の手順を説明するためのシーケンス図である。
【図１６】図１６は、第３の実施形態に係るネットワークシステムの概要を模式的に示す図である。
【図１７】図１７は、第３の実施形態に係るネットワークシステムの構成の一例を示す図である。
【図１８】図１８は、第４の実施形態に係るＩＰカプセリング処理の一例を説明するための図である。
【図１９】図１９は、第４の実施形態に係る通信制御プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１１】
以下に添付図面を参照して、本願に係るネットワークシステム、通信制御方法、通信制御装置及び通信制御プログラムの実施形態を詳細に説明する。なお、本願に係るネットワークシステム、通信制御方法、通信制御装置及び通信制御プログラムは、以下の実施形態により限定されるものではない。
【００１２】
（第１の実施形態）
まず、第１の実施形態に係るネットワークシステムについて説明する。以下、図１を用いて、第１の実施形態に係るネットワークシステムの構成の一例を説明する。図１は、第１の実施形態に係るネットワークシステム１の構成の一例を説明するための図である。図１に示すように、例えば、第１の実施形態に係るネットワークシステム１は、ユーザ宅内に構築されたホームネットワーク（ＲＨＮＷ）２と、データセンタ（ＤＣ： Data  Center）１０とを有する。そして、ネットワークシステム１は、例えば、アクセスネットワークなどの閉域網や、インターネットなどのネットワーク４を介してＲＨＮＷ２上のネットワーク装置（ＣＰＥ：Customer  Premises  Equipment）１００とＤＣ１０内に構築されたＶＨＮＷ３上のＶＨＧＷ２００とが接続される。
【００１３】
ＲＨＮＷ２は、ＣＰＥ１００に加えて、例えば、端末などが接続される。また、ＶＨＮＷ３は、ＶＨＧＷ２００に加えて、例えば、仮想サービスＡＰ（仮想アプリケーションサーバ）や、仮想ストレージ（仮想ストレージサーバ）などの通信装置が構築される。そして、ネットワークシステム１においては、ＣＰＥ１００とＶＨＧＷ２００とがＬ２トンネル接続されることで、ＲＨＮＷ２とＶＨＮＷ３とが、同一サブネット化（同一セグメント化）される。これにより、ユーザ宅内のＲＨＮＷ２と、遠隔拠点にあるＤＣ１０におけるＶＨＮＷ３とが、一つのホームネットワークとして利用することができる。
【００１４】
このように、ネットワークシステム１は、ＶＨＮＷ３がＤＣ１０に配置されていることから、計算機リソースの制約がなくなり、ホームゲートウェイとしての性能や機能を仮想化技術などによって容易に拡張することができる。ここで、このようなネットワークシステム１においては、ＲＨＮＷ２内の端末からＶＨＮＷ３内の装置（例えば、仮想サービスＡＰや、仮想ストレージなど）にアクセスする場合も、ＲＨＮＷ２の端末からインターネット上の装置にアクセスする場合も、同一のＬ２（レイヤ２：ＯＳＩ参照モデルのデータリンク層、または第２層）トンネルを経由することとなる。
【００１５】
上述したように、ネットワークシステム１においては、ＲＨＮＷ２とＶＨＮＷ３とがアクセスネットワークや、インターネットなどのネットワーク４の上をＬ２トンネルで接続される。従って、例えば、ＤＣ１０がインターネット上に位置する（インターネット上にＬ２トンネルを構築する）場合には、暗号などが適用されたセキュアなＬ２ＶＰＮ（Ｌ２  Virtual  Private  Network）がトンネルリング技術として適用されるのが一般的である。
【００１６】
ここで、従来技術においては、ＲＨＮＷ２内の端末からＶＨＮＷ３内の装置にアクセスする場合も、ＲＨＮＷ２内の端末からＶＨＮＷ３とは異なるインターネットなどの外部ネットワーク上の装置にアクセスする場合も、Ｌ２ＶＰＮによって構築されたＬ２トンネルを経由することとなる。例えば、ＲＨＮＷ２からＶＨＮＷ３内の装置にアクセスするということは、従来のホームネットワークで例えると、ホームネットワーク内の端末から、同じホームネットワーク内の通信装置にアクセスすることと同じである。従って、このアクセスに関する通信内容はホームネットワークの外部から秘匿化されることが望ましいため、通信路に暗号化などが施されたセキュアなＬ２ＶＰＮによって構築されたＬ２トンネルをそのまま利用してＲＨＮＷ２からＶＨＮＷ３へアクセスするのが望ましい。
【００１７】
一方、ネットワークシステム１のようなネットワーク環境では、ＲＨＮＷ２からインターネット上の通信装置へアクセスする場合、インターネットへのゲートウェイが配置されているＶＨＮＷ３を経由する必要があるので、Ｌ２トンネルを通過することになる。つまり、インターネットへアクセスする場合も、画一的にセキュアなＬ２ＶＰＮによって構築されたトンネルを通ることとなる。かかる場合、そもそもインターネットに出ていく通信であるため、通信内容全体の暗号化などは必須ではない通信であっても、セキュアなＬ２ＶＰＮを経由することとなるため、必須ではない暗号・認証・署名などの処理を要してしまい、通信パフォーマンスが低下してしまう。また、Ｌ２トンネルを通る通信は、その分のトンネリング（ＩＰカプセリング）のためのヘッダサイズ分だけオーバヘッドが発生して１回の通信で送信できるデータサイズが減少し、通信効率が低下してしまうため、通信処理に係るコストは、可能な限り抑える必要がある。
【００１８】
そこで、第１の実施形態にかかるネットワークシステム１では、以下、詳細に説明するＣＰＥ１００及びＶＨＧＷ２００の処理により、インターネットへのアクセスにおける通信効率の低下を低減することを可能にする。なお、第１の実施形態に係るＣＰＥ１００やＶＨＧＷ２００では、図１に示すように、ＩＰｖ４及び／またはＩＰｖ６などのアドレス管理機能を備える。
【００１９】
以下、ＣＰＥ１００及びＶＨＧＷ２００の詳細について説明する。まず、ＲＨＮＷ２内の通信装置（端末）が送信元であり、宛先がＶＨＮＷ３内の通信装置（仮想サービスＡＰ又は仮想ストレージ）又はインターネット上の通信装置である場合について説明する。図２は、第１の実施形態に係るＣＰＥ１００の構成の一例を示す図である。
【００２０】
図２に示すように、ＣＰＥ１００は、通信部１１０と、宛先識別部１２０と、判定部１３０と、トンネリング処理部１４０とを備える。通信部１１０は、例えば、ＬＡＮ（Local  Area  Network）インターフェースや、ＷＡＮ（Wide  Area  Network）インターフェースなどであり、通信データである、Ｌ２のフレームやその中のＬ３（レイヤ３：ＯＳＩ参照モデルのネットワーク層、または第３層）のパケットの送受信を実行する。具体的には、通信部１１０は、後述するトンネリング処理部１４０による処理後の通信を、トンネルの対向終端装置であるＶＨＧＷ２００との間で実行する。また、通信部１１０は、スイッチ、ハブ、ブリッジ機能などを備える。
【００２１】
宛先識別部１２０は、ＲＨＮＷ２に含まれる端末からの通信の宛先が、トンネルの対向側のネットワークであるＶＨＮＷ３内であるか、又は、ホームネットワーク（ＲＨＮＷ２とＶＨＮＷ３からなる同一Ｌ２セグメントネットワーク）とは異なるインターネットなどの外部ネットワークであるかを識別する。具体的には、宛先識別部１２０は、ＲＨＮＷ２内の端末からのＬ２フレームまたはパケットの宛先がＶＨＮＷ３内であるか、又はインターネットであるかを識別する。図３は、第１の実施形態に係るＣＰＥ１００による宛先識別処理及びトンネリング処理を説明するための図である。なお、説明上不要な情報は割愛している。
【００２２】
ここで、図３においては、図３の（Ａ）にＲＨＮＷ２内の端末から受信したＬ２フレームを示す。また、図３においては、図３の（Ｂ）にパケットの宛先がＶＨＮＷ３内の通信装置であった場合のＬ２ＶＰＮを構成するパケットの構造例を示す。また、図３においては、図３の（Ｃ）にパケットの宛先がインターネット上の通信装置であった場合のＬ２ＶＰＮ内のパケットの構造例を示す。なお、図３の（Ｂ）及び（Ｃ）については、トンネリング処理部１４０を説明する際に、詳細を説明する。
【００２３】
例えば、端末から受信したＬ２フレームは、図３の（Ａ）に示すように、ペイロードと、ＴＣＰまたはＵＤＰの宛先ポート番号と、ＴＣＰまたはＵＤＰの送信元ポート番号と、宛先ＩＰアドレスと、送信元ＩＰアドレスと、宛先ＭＡＣアドレスと、送信元ＭＡＣアドレスとを含む。なお、ＴＣＰやＵＤＰを使用しない通信では、宛先ポート番号と送信元ポート番号は含まれない。
【００２４】
例えば、宛先識別部１２０は、通信部１１０が図３の（Ａ）に示すＬ２フレームまたはパケットを受信すると、Ｌ２のフレームレベル、或いは、Ｌ３のパケットレベルで宛先を識別する。例えば、Ｌ２のフレームレベルで識別する場合には、宛先識別部１２０は、受信したＬ２フレームの宛先ＭＡＣアドレスを参照して、格納されたＭＡＣアドレスが、ＶＨＮＷ３内の通信装置宛であるか、或いは、インターネット上の通信装置宛（つまり、インターネットとの間のゲートウェイ装置のＭＡＣアドレス）であるかを識別する。ここで、宛先識別部１２０は、通信部１１０のＬ２スイッチ機能に備えられたＭＡＣアドレス学習を利用して、宛先を識別することも可能である。
【００２５】
かかる場合には、例えば、宛先識別部１２０は、通信部１１０によるＭＡＣアドレス学習によって、スイッチのポートと、そのポートの接続先の通信装置のＭＡＣアドレスとを対応付けて記憶することで、記憶したＭＡＣアドレスの情報を用いて宛先を特定することができる。例えば、宛先識別部１２０は、Ｌ２トンネルに使用するポートと対応付けて記憶されているＭＡＣアドレスを宛先ＭＡＣアドレスとする通信の宛先をＶＨＮＷ３内として特定する。この手法は、ＭＡＣアドレス学習によって、ホームネットワーク（ＲＨＮＷ２とＶＨＮＷ３からなる同一セグメントのＬ２ネットワーク）内の通信装置のＭＡＣアドレスを学習した後には、処理負荷の面でも、有用な識別方法である。
【００２６】
また、例えば、Ｌ３のパケットレベルで識別する場合には、宛先識別部１２０は、受信したパケットの宛先ＩＰアドレスを参照して、格納されたＩＰアドレスが、ＶＨＮＷ３内の通信装置宛であるか、或いは、インターネット上の通信装置宛であるかを識別する。例えば、宛先識別部１２０は、格納されたＩＰアドレスがホームネットワーク（ＲＨＮＷ２とＶＨＮＷ３からなる同一セグメントのＬ２ネットワーク）内のプライベートアドレスであるか、或いは、ホームネットワークの外部ネットワークのグローバルアドレスであるかにより、宛先を識別する。なお、上記した識別方法は、いずれか１つを用いる場合であってもよく、或いは、複数を組み合わせて用いる場合であってもよい。
【００２７】
宛先識別部１２０は、上記した識別方法を用いて、宛先として、ＶＨＮＷ３内の通信装置及びインターネット上の通信装置に加えて、ＲＨＮＷ２内の通信装置（端末）を識別することも可能である。
【００２８】
図２に戻って、判定部１３０は、宛先識別部１２０によって識別された宛先に応じた処理を判定する。例えば、送信元端末から受信したＬ２フレームまたはパケットの宛先がＶＨＮＷ３内の通信装置であると識別された場合には、判定部１３０は、受信したＬ２フレームに対してＬ２トンネリング処理におけるＬ２ＶＰＮを実行すると判定する。すなわち、判定部１３０は、受信したＬ２フレームに対して暗号・認証・署名などのセキュリティ処理と、Ｌ２カプセリング処理（Ｌ２フレームに対するＩＰカプセリング処理）とを実行すると判定する。一例を挙げると、判定部１３０は、受信したＬ２フレームに対してＬ２ＴＰｖ３（Ｌ２  Tunneling  Protocol  version  ３）とＩＰＳｅｃとを組み合わせた処理や、ＯｐｅｎＶＰＮ（登録商標）による処理を実行するように判定する。
【００２９】
また、例えば、送信元端末から受信したＬ２フレームまたはパケットの宛先がインターネット上の通信装置であると識別された場合には、判定部１３０は、受信したＬ２フレームまたはパケットに対してＬ２トンネリング処理におけるＬ２カプセリング処理（ＩＰカプセリング処理）のみを実行すると判定する。
【００３０】
また、例えば、送信元端末から受信したＬ２フレームの宛先がＲＨＮＷ２内の通信装置であると識別された場合には、判定部１３０は、受信したＬ２フレームをスイッチやブリッジ機能によってＬ２レベルの処理で転送するように判定する。
【００３１】
トンネリング処理部１４０は、判定部１３０によって判定されたＬ２トンネリング処理を実行する。具体的には、トンネリング処理部１４０は、端末からの通信の宛先がＶＨＮＷ３内である場合には、Ｌ２ＶＰＮ（通信に対して通信内容であるＬ２フレーム全体の暗号化等のセキュリティ処理及びＬ２カプセリング処理）を実行し、端末からの通信の宛先が外部ネットワークである場合には、通信に対してＬ２カプセリング処理を実行する。
【００３２】
例えば、受信したＬ２フレームに対して暗号・認証・署名などのセキュリティ処理と、Ｌ２カプセリング処理とを実行すると判定された場合には、トンネリング処理１４０は、図３の（Ｂ）に示すように、Ｌ２フレームをＬ２ＶＰＮの暗号化対象部分として暗号化などの処理をして、Ｌ２トンネルヘッダやその他のヘッダと、宛先ＩＰアドレスと、送信元ＩＰアドレスとを付加する。ここで、Ｌ２トンネルヘッダやその他のヘッダは、Ｌ２ＶＰＮを識別する識別情報などを格納する領域として利用されてもよい。例えば、トンネリング処理部１４０は、判定部１３０の判定結果や、自身が実行した処理内容を示す情報をＬ２トンネルヘッダやその他のヘッダに格納する。また、付加された宛先ＩＰアドレスは、ＶＨＧＷ２００側のトンネル終端装置のグローバルアドレスが格納される領域である。また、付加された送信元ＩＰアドレスは、ＣＰＥ１００側のトンネル終端装置のグローバルアドレスが格納される領域である。
【００３３】
また、例えば、受信したＬ２フレームに対してＬ２カプセリング処理のみを実行するように判定された場合には、トンネリング処理部１４０は、図３の（Ｃ）に示すように、Ｌ２フレームに、トンネルヘッダやその他のヘッダと、宛先ＩＰアドレスと、送信元ＩＰアドレスとを付加する。
【００３４】
また、受信したＬ２フレームをＬ２スイッチやブリッジ機能によってＬ２レイヤの処理で転送するように判定された場合には、具体的には、宛先が同じＲＨＮＷ２内である場合は、トンネリング処理部１４０は特別な処理は実行しない。
【００３５】
通信部１１０は、トンネリング処理部１４０によって処理されたパケットをＶＨＧＷ２００に対して送信する。また、通信部１１０は、Ｌ２スイッチやブリッジ機能によってパケットをＲＨＮＷ２内の通信装置に転送する。
【００３６】
次に、ＶＨＧＷ２００による処理を説明する。図４は、第１の実施形態に係るＶＨＧＷ２００の構成の一例を示す図である。図４に示すように、ＶＨＧＷ２００は、通信部２１０と、トンネリング処理部２４０とを備える。通信部２１０は、ＬＡＮインターフェースや、ＷＡＮインターフェースなどであり、Ｌ２フレームやパケットを送受信する。具体的には、通信部２１０は、Ｌ２トンネルを介してＣＰＥ１００からＬ２トンネリング処理されたパケットを受信する。また、後述するトンネリング処理部２４０による処理後のパケットをＶＨＮＷ３内或いは、インターネットに送信する。
【００３７】
トンネリング処理部２４０は、Ｌ２トンネル対向側からの通信を受信して通信に施されている処理を識別して、通信内容全体に対する暗号化などのセキュリティ処理及びＬ２カプセリング処理の解除、又は、通信に対するＬ２カプセリングの解除を実行する。具体的には、トンネリング処理部２４０は、ＣＰＥ１００との間でＬ２トンネルの接続を確立して、トンネル経由で受信したパケットのＬ２トンネルヘッダやその他のヘッダに格納された識別情報などを参照して、対応したＬ２トンネリング処理を解除してパケットを取り出す。
【００３８】
上述したように、通信部２１０は、暗号化などのセキュリティ処理及びＬ２カプセリング処理、又は、Ｌ２カプセリング処理が解除された状態で、ＶＨＮＷ３、又はインターネットを宛先とする通信を実行する。
【００３９】
上述した例では、ＲＨＮＷ２内の端末が送信元の端末であり、ＣＰＥ１００からＶＨＧＷ２００に対してパケットが送信される場合について説明した。次に、ＶＨＮＷ３内の通信装置またはインターネットなどの外部ネットワークの通信装置からＲＨＮＷ２内の通信装置へのパケット通信の場合について説明する。図５は、第１の実施形態に係るＶＨＧＷ２００の構成の一例を示す図である。ここで、図５においては、図４に示すＶＨＧＷ２００に新たに送信元識別部２２０及び判定部２３０が追加され、通信部２１０及びトンネリング処理部２４０に新たな機能が追加されたものである。
【００４０】
ＶＨＮＷ３内の通信装置またはインターネットなどの外部ネットワークの通信装置からＲＨＮＷ２内の通信装置へパケットを送信する場合には、通信部２１０は、ＶＨＮＷ３内又はインターネット上の通信装置からパケットを受信する。そして、後述するトンネリング処理部２４０の処理後のパケットをＣＰＥ１００に対して送信する。
【００４１】
送信元識別部２２０は、通信部２１０によって受信されたＬ２フレームまたはパケットの送信元を識別する。具体的には、送信元識別部２２０は、通信部２１０によって受信されたＬ２フレームの送信元ＭＡＣアドレス、パケットの送信元ＩＰアドレスに基づいて、送信元がＶＨＮＷ３内の通信装置であるか、或いは、インターネット上の通信装置であるかを識別する（図３の（Ａ）参照）。すなわち、ＣＰＥ１００の宛先識別部１２０と同様に、Ｌ２のフレームレベル、又はＬ３のパケットレベルで送信元を識別する。なお、送信元識別部２２０は、宛先識別部１２０と同様に、通信部２１０によるＭＡＣアドレス学習を利用した送信元の識別も実行する。なお、送信元識別部２２０は、受信したＬ２フレームまたはパケットの宛先が、ＲＨＮＷ２内宛かＶＨＮＷ３内宛かを宛先ＭＡＣアドレスまたは宛先ＩＰアドレスに基づいて識別し、ＲＨＮＷ２内宛と識別されたＬ２フレームまたはパケットに対して上述の識別を行う。
【００４２】
判定部２３０は、送信元識別部２２０によって識別された送信元に応じたＬ２トンネリング処理を判定する。具体的には、受信したＬ２フレームまたはパケットの送信元がＶＨＮＷ３内の通信装置であると識別された場合には、判定部２３０は、受信したＬ２フレームに対してＬ２ＶＰＮを実行すると判定する。すなわち、判定部２３０は、Ｌ２フレームに対して暗号・認証・署名などのセキュリティ処理と、Ｌ２カプセリング処理とを実行すると判定する。
【００４３】
また、例えば、受信したＬ２フレームまたはパケットの送信元がインターネット上の通信装置であると識別された場合には、判定部２３０は、受信したＬ２フレームに対してＬ２カプセリング処理のみを実行すると判定する。
【００４４】
また、例えば、受信したＬ２フレームまたはパケットの送信元及び宛先の端末がＶＨＮＷ３内の通信装置であると識別された場合には、判定部２３０は、受信したＬ２フレームをＬ２スイッチやブリッジ機能によってＬ２レベルの処理で転送するように判定する。
【００４５】
トンネリング処理部２４０は、宛先がＲＨＮＷ２内であって、送信元端末がＶＨＮＷ３内にある場合には、通信に対して通信内容全体の暗号化などのセキュリティ処理及びＬ２カプセリング処理を実行し、送信元端末が外部ネットワークにある場合には、通信に対してＬ２カプセリング処理を実行する。具体的には、トンネリング処理部２４０は、受信したＬ２フレームに対して、判定部２３０によって判定された処理を実行する。
【００４６】
例えば、受信したＬ２フレームに対して暗号・認証・署名などのセキュリティ処理と、Ｌ２カプセリング処理とを実行すると判定された場合には、トンネリング処理２４０は、Ｌ２フレームをＬ２ＶＰＮの暗号化対象部分として暗号化などの処理をして、Ｌ２トンネルヘッダやその他のヘッダと、宛先ＩＰアドレスと、送信元ＩＰアドレスとを付加する（図３の（Ｂ）参照）。ここで、トンネリング処理部２４０は、判定部２３０の判定結果や、自身が実行した処理内容を示す情報をＬ２トンネルヘッダやその他のヘッダに格納することとしてもよい。
【００４７】
また、例えば、受信したＬ２フレームに対してＬ２カプセリング処理のみを実行するように判定された場合には、トンネリング処理部２４０は、Ｌ２フレームに、Ｌ２トンネルヘッダやその他のヘッダと、宛先ＩＰアドレスと、送信元ＩＰアドレスとを付加する（図３の（Ｃ）参照）。また、受信したＬ２フレームをＬ２スイッチやブリッジ機能によってＬ２レベルの処理で転送するように判定された場合には、トンネリング処理部２４０は特別な処理は実行しない。そして、通信部２１０は、トンネリング処理部２４０によって処理されたパケットをＣＰＥ１００に対して送信する。また、通信部２１０は、ＶＨＮＷ３内の通信装置から同じＶＨＮＷ３内の通信装置への通信の場合は、スイッチ機能等により転送し、インターネット上の通信装置からＶＨＮＷ３内の通信装置への通信の場合は、ＩＰルーティングする。
【００４８】
次に、ＶＨＮＷ３内の通信装置またはインターネットなどの外部ネットワークの通信装置からＲＨＮＷ２内の通信装置へパケットを送信する場合のＣＰＥ１００について説明する。かかる場合のＣＰＥ１００は、少なくとも通信部１１０と、トンネリング処理部１４０から構成される。従って、以下、図２を参照して説明する。
【００４９】
かかる場合、通信部１１０は、Ｌ２トンネルを介してＶＨＧＷ２００からＬ２トンネリング処理されたパケットを受信する。また、後述するトンネリング処理部１４０による処理後のパケットをＲＨＮＷ２内に送信する。
【００５０】
通信部１１０は、ＶＨＧＷ２００からの通信データを受信して、トンネリング処理部１４０は、通信に施されている処理を識別して、受信した通信内容全体に対する暗号化などのセキュリティ処理及びＬ２カプセリング処理の解除、又は、通信データに対するＬ２カプセリング処理の解除を実行して、Ｌ２フレームまたはパケットを取り出す。通信部１１０は、暗号化などのセキュリティ処理及びＬ２カプセリング処理、又は、Ｌ２カプセリング処理が解除された状態で、ＲＨＮＷ２内を宛先とする通信を実行する。
【００５１】
上述したように、第１の実施形態に係るネットワークシステム１においては、ＲＨＮＷ２内の通信装置が送信元である通信においては、ＣＰＥ１００にて通信の宛先に基づいて、セキュアなＬ２ＶＰＮによるＬ２トンネルにより通信するか、或いは、単純なカプセリングによるＬ２トンネルにより通信するかを判定する。また、第１の実施形態に係るネットワークシステム１においては、ＶＨＮＷ３や外部ネットワークの通信装置が送信元であって宛先がＲＨＮＷ２内の通信装置である通信においては、ＶＨＧＷ２００にて通信の送信元に基づいて、セキュアなＬ２ＶＰＮによるＬ２トンネルにより通信するか、或いは、単純なカプセリングによるＬ２トンネルにより通信するかを判定する。図６は、第１の実施形態に係るネットワークシステム１の概要を模式的に示す図である。
【００５２】
図６に示すように、パケットの通信順路において、ＲＨＮＷ２内の通信端末が送信元の場合には、宛先がＶＨＮＷ３である場合に、ネットワークシステム１は、Ｌ２ＶＰＮなどのセキュアなＶＰＮでＬ２トンネルによる通信を実行する。一方、宛先がインターネット側である場合に、ネットワークシステム１は、Ｌ２カプセリングなどのＩＰカプセリングによりＬ２トンネルによる通信を実行する。従って、第１の実施形態に係るネットワークシステム１は、ＲＨＮＷ２からＶＨＮＷ３へのアクセス時には、同じホームネットワーク内の通信とみなして、セキュアな通信を確立しつつ、ＲＨＮＷ２からインターネットへのアクセス時には、必須ではない暗号化などを実行しないようにすることで、インターネットへのアクセスにおける通信効率の低下を低減することを可能とする。なお、第１の実施形態に係るネットワークシステム１は、ＲＨＮＷ２内の通信にはスイッチ機能などを用いて対応することができる。
【００５３】
また、図６に示すように、パケットの通信順路において、宛先がＲＨＮＷ２内の通信装置である場合には、送信元がＶＨＮＷ３である場合に、ネットワークシステム１は、Ｌ２ＶＰＮなどのセキュアなＶＰＮでＬ２トンネルによる通信を実行する。一方、送信元がインターネット側である場合に、ネットワークシステム１は、Ｌ２カプセリングなどのＩＰカプセリングによりＬ２トンネルによる通信を実行する。従って、第１の実施形態に係るネットワークシステム１は、ＶＨＮＷ３からＲＨＮＷ２へのアクセス時には、同じホームネットワーク内の通信とみなして、セキュアな通信を確立しつつ、インターネットからＲＨＮＷ２へのアクセス時には、必須ではない暗号化などを実行しないようにすることで、インターネットからのアクセスにおける通信効率の低下も低減することを可能とする。なお、第１の実施形態に係るネットワークシステム１は、ＶＨＮＷ３からインターネットへのアクセス、インターネットからＶＨＮＷ３へのアクセス、及びＶＨＮＷ３内の通信にはスイッチ機能やルーティング機能などを用いて対応することができる。
【００５４】
次に、図７及び図８を用いて、第１の実施形態に係るネットワークシステム１の処理の手順を説明する。図７は、第１の実施形態に係るネットワークシステム１の第１処理の手順を説明するためのシーケンス図である。図８は、第１の実施形態に係るネットワークシステムの第２処理の手順を説明するためのシーケンス図である。図７においては、ＣＰＥ１００からＶＨＧＷ２００への通信における処理の手順を示す。また、図８においては、ＶＨＧＷ２００からＣＰＥ１００への通信における処理の手順を示す。
【００５５】
ＣＰＥ１００からＶＨＧＷ２００への通信では、図７に示すように、第１の実施形態に係るネットワークシステム１において、ＣＰＥ１００の通信部１１０がＬ２フレームまたはパケットを受信すると（ステップＳ１０１）、宛先識別部１２０が宛先を判定する（ステップＳ１０２）。ここで、宛先がＶＨＮＷ３宛てである場合には（ステップＳ１０３肯定）、トンネリング処理部１３０は、Ｌ２ＶＰＮなどのセキュアなＬ２トンネリング処理を実行して、通信部１１０がＶＨＧＷ２００に対してパケットを送信する（ステップＳ１０４）。
【００５６】
一方、ステップＳ１０３において、宛先がＶＨＮＷ３宛てではない外部ネットワーク宛である場合には（ステップＳ１０３否定）、トンネリング処理部１３０は、Ｌ２カプセリング処理などの単純なＬ２トンネリング処理を実行して、通信部１１０がＶＨＧＷ２００に対してパケットを送信する（ステップＳ１０５）。なお、宛先がＲＨＮＷ２内である場合は、スイッチ機能等により転送されることとなる。
【００５７】
ＶＨＧＷ２００は、通信部２１０がパケットを受信すると（ステップＳ１０６）、トンネリング処理部２４０が、識別情報などを参照して、実施されたＬ２トンネリング処理に対応するＬ２トンネリング処理の解除を実行して、パケットを取得する（ステップＳ１０７）。そして、通信部２１０が宛先に対してパケットを送信する（ステップＳ１０８）。
【００５８】
次に、ＶＨＧＷ２００からＣＰＥ１００への通信では、図８に示すように、第１の実施形態に係るネットワークシステム１において、ＶＨＧＷ２００の通信部２１０がＬ２フレームまたはパケットを受信すると（ステップＳ２０１）、宛先がＲＨＮＷ２宛である通信に対して、送信元識別部２２０が送信元を判定する（ステップＳ２０２）。ここで、送信元がＶＨＮＷ３内である場合には（ステップＳ２０３肯定）、トンネリング処理部２３０は、Ｌ２ＶＰＮなどのセキュアなＬ２トンネリング処理を実行して、通信部２１０がＣＰＥ１００に対してパケットを送信する（ステップＳ２０４）。なお、ＶＨＧＷ２００の通信部２１０が受信したパケットの宛先の識別は、送信元識別部２２０で行ってもよい。
【００５９】
一方、ステップＳ２０３において、送信元がＶＨＮＷ３内ではない外部ネットワークかである場合には、（ステップＳ２０３否定）、トンネリング処理部２３０は、Ｌ２カプセリング処理などの単純なＬ２トンネリング処理を実行して、通信部２１０がＣＰＥ１００に対してパケットを送信する（ステップＳ２０５）。
【００６０】
ＣＰＥ１００は、通信部１１０がパケットを受信すると（ステップＳ２０６）、トンネリング処理部１４０が、識別情報などを参照して、実施されたＬ２トンネリング処理に対応するＬ２トンネリング処理の解除を実行して、パケットを取得する（ステップＳ２０７）。そして、通信部１１０が宛先に対してパケットを送信する（ステップＳ２０８）。
【００６１】
上述した第１の実施形態では、ＲＨＮＷ２側からＶＨＮＷ３側への通信と、ＶＨＮＷ３側からＲＨＮＷ２側への通信とを分けて説明したが、双方向の通信が発生する場合は、ＣＰＥ１００とＶＨＧＷ２００が備える構成は同等のものとなってもよい。図９は、第１の実施形態に係るＣＰＥ１００及びＶＨＧＷ２００の構成の変形例を示す図である。例えば、ＣＰＥ１００及びＶＨＧＷ２００は、図９に示すように、それぞれ同一の構成を有し、双方向の通信を実行する。
【００６２】
また、上述した第１の実施形態では、ネットワークシステム１として、ＶＨＧＷ２００を経由してインターネットに接続される場合について説明した。しかしながら、実施形態はこれに限定されるものではなく、例えば、ＣＰＥ１００を経由してインターネットに接続される場合であってもよい。図１０は、第１の実施形態に係るネットワークシステム１の変形例を説明するための図である。
【００６３】
例えば、図１０に示すように、インターネットがＣＰＥ１００から接続される場合には、ＲＨＮＷ２、ＶＨＮＷ３、ＣＰＥ１００及びＶＨＧＷ２００は、以下のような構成となる。つまり、図６の構成と「アクセスネットワーク／インターネット」を基に対称的な構成となる。ＲＨＮＷ２は、上述したＶＨＮＷ３と同様の構成となる。すなわち、ＲＨＮＷ２には、サービスＡＰや、ストレージ装置が接続される（図１参照）。また、ＶＨＮＷ３は、上述したＲＨＮＷ２と同様の構成となる。すなわち、ＶＨＮＷ３には、端末が接続される（図１参照）。
【００６４】
ＣＰＥ１００は、上述したＶＨＧＷ２００と同様の構成となる。すなわち、少なくとも通信部２１０、トンネリング処理部２４０と同様の機能を備えた各部を備え（図４参照）、さらに、送信元識別部２２０、判定部２３０と同様の機能を備えた各部を備えてもよい（図５参照）。また、ＣＰＥ１００は、ＩＰｖ４インターネット、ＩＰｖ６インターネット、或いは、これらの両方のインターネットをルーティングすることができる。
【００６５】
ＶＨＧＷ２００は、上述したＣＰＥ１００と同様の構成となる。すなわち、通信部１１０、送信元識別部１２０、判定部１３０及びトンネリング処理部１４０と同様の機能を備えた各部を備える（図２参照）。
【００６６】
第１の実施形態に係る変形例では、上述した構成を備えたＲＨＮＷ２、ＶＨＮＷ３、ＣＰＥ１００及びＶＨＧＷ２００により、図１０に示すように、各パケット通信順路に応じて、Ｌ２ＶＰＮか、或いは、Ｌ２カプセリングかを判定して、Ｌ２トンネルによる通信を実行する。
【００６７】
［第１の実施形態の効果］
上述したように、第１の実施形態によれば、ネットワークシステム１は、ＲＨＮＷ２に含まれるＣＰＥ１００と、ＲＨＮＷ２とＬ２トンネル接続されるＶＨＮＷ３に含まれるＶＨＧＷ２００とを備えるネットワークシステムであって、ＣＰＥ１００の宛先識別部１２０は、ＲＨＮＷ２内の端末からの通信の宛先が、ＶＨＮＷ３内であるか、又は、インターネットなどの外部ネットワークであるかを識別する。そして、トンネリング処理部１２０は、端末からの通信の宛先がＶＨＮＷ３内である場合には、通信データに対して暗号化などのセキュリティ処理及びＬ２カプセリング処理を実行し、端末からの通信の宛先が外部ネットワークである場合には、通信に対してＬ２カプセリング処理を実行する。そして、通信部１１０は、トンネリング処理部１２０による処理後の通信を、ＶＨＧＷ２００との間で実行する。ＶＨＧＷ２００のトンネリング処理部２２０は、ＣＰＥ１００からの通信データを受信して、通信データに対する暗号化などのセキュリティ処理及びＬ２カプセリング処理の解除、又は、通信に対するＬ２カプセリング処理の解除を実行する。通信部２１０は、暗号化などのセキュリティ処理及びＬ２カプセリング処理、又は、Ｌ２カプセリング処理が解除された状態で、ＶＨＮＷ３内、又は外部ネットワークを宛先とする通信を実行する。従って、第１の実施形態に係るネットワークシステム１は、宛先に応じてセキュアなＬ２トンネル接続と、ＩＰカプセリングのみＬ２トンネル接続による使い分けることができ、インターネットへのアクセスにおける通信効率の低下を低減することを可能にする。
【００６８】
（第２の実施形態）
上述した第１の実施形態においては、インターネットなどの外部ネットワーク上の通信装置を宛先とした通信において、Ｌ２トンネリング処理におけるＬ２カプセリング処理のみを実行する場合について説明した。かかる場合、第１の実施形態においては、送信元端末から送信されたＬ２フレームは平文のままである。ＣＰＥ１００とＶＨＧＷ２００との間の通信路が、インターネットを経由することなく、第三者による盗聴や改ざんなどの無いセキュアな閉域網のみを通る場合はこれでもよい。しかしながら、この通信路がインターネットなどを経由する場合は、以下を考慮するのが望ましい場合がある。
【００６９】
例えば、一般のホームネットワークでは、通信においてホームネットワークの外に出ない情報は、本発明においても、平文のままではホームネットワークの外に出ない方が望ましい場合がある。一例を挙げると、通信装置のＭＡＣアドレスは、その通信装置の所有者のプライバシー情報とみなされる場合がある。また、ＩＰｖ４による通信の場合、送信元端末の送信元プライベートアドレスや送信元ポート番号も秘匿されるべき情報とみなされる場合があり、一般のホームネットワークでは、ホームゲートウェイでＮＡＴ（Network  Address  Translation）やＮＡＰＴ（Network  Address  Port  Translation）の処理によって別の値に変換されて外部ネットワークに出る。そこで、第２の実施形態では、送信元端末が送信するＬ２フレームのうち、少なくともこのような情報を第三者に盗聴されないように秘匿処理を施す。つまり、第１の実施形態で説明したＬ２カプセリングの処理に対してさらに秘匿化処理を行う。
【００７０】
以下、第２の実施形態として、インターネット上の通信装置に送信するパケットの一部を秘匿化する場合について説明する。図１１は、第２の実施形態に係るＣＰＥ１００の構成の一例を示す図である。ここで、第２の実施形態に係るＣＰＥ１００は、第１の実施形態に係るＣＰＥ１００と比較して、トンネリング処理部１４０に新たなにルール記憶部１４１と、秘匿処理部１４２とを備える点が異なる。以下、これらを中心に説明する。
【００７１】
ルール記憶部１４１は、Ｌ２フレームやパケット内の所定の情報に対して秘匿処理を実行するための参照情報を記憶する。具体的には、ルール記憶部１４１は、送信元端末から受信したＬ２フレームにおいて、どの領域をどのように秘匿処理するかを示すルール情報を記憶する。例えば、ルール記憶部１４１は、フレームがEthernet（登録商標）のフレームである場合に、Ｌ２フレーム内の送信元及び宛先のＭＡＣアドレス、送信元端末のプライベートアドレス（Ｌ３がＩＰｖ４の場合など）、また、ＴＣＰやＵＤＰを用いた通信である場合は、送信元端末が設定したポート番号のうち、少なくとも１つ以上の情報について、あらかじめ秘匿する対象として指定されたルール情報を記憶する。
【００７２】
ルール記憶部１４１によって記憶される秘匿処理としては、ＭＡＣアドレスやＩＰアドレス、ポート番号の値全体を秘匿してもよいが、例えば、ＭＡＣアドレス４８ビットのうち、機器製造者が独自に割り当てる下位２４ビットのみを秘匿化対象とすることとしてもよい。また、送信元ＩＰｖ４アドレス３２ビットのうち、下位２４／１６／８ビットのみを、送信元ＩＰｖ６アドレス１２８ビットのうち、インターフェースＩＤである６４ビットのみを、秘匿化対象とすることとしてもよい。すなわち、秘匿処理は、指定された情報に対して、その情報のみを公知の暗号化処理をしてもよく、第三者が特定することが困難なルールに基づいて、元の情報を特定することが困難な、元の情報とは異なる値や文字などに置換・変換してもよく、または難読化することでもよい。または、指定した情報の全体ではなく、さらにその情報の所定または任意の一部分のみを秘匿対象としてもよい。言い換えると、この情報が一意に特定されなければよい。なお、これらのルールは、ＣＰＥ１００とＶＨＧＷ２００との間で事前に共有される。
【００７３】
その他、ルールの一例として、数値・文字を異なる数値・文字・記号に１対１の変換をする変換テーブルであってもよく、任意のエンコード・デコード処理でもよい。また、この変換テーブルやエンコード・デコード処理のアルゴリズムを所定の契機、所定の期間ごとに変更してもよく、この場合は、ＣＰＥ１００とＶＨＧＷ２００の間で変更内容が同期される必要がある。また、変換前後でデータサイズが変わらないルールとする方が通信データサイズ全体に影響を与えずに済むので望ましい。なお、上記した例では、Ｌ２がEthernet（登録商標）である場合について説明したが、Ｌ２がEthernet（登録商標）でない場合は、そのプロトコルに対応する情報が対象となる。
【００７４】
秘匿処理部１４２は、端末からの通信の宛先がインターネット上である場合に、通信における所定の通信内容を秘匿化する。具体的には、秘匿処理部１４２は、宛先識別部１２０によって通信の宛先がインターネット上の通信装置であると識別された場合に、ルール記憶部１４１によって記憶されたルール情報に基づいて、平文のＬ２フレームの所定領域に秘匿処理を実行する。ここで、秘匿処理部１４２は、実行した秘匿処理に係る情報をＶＰＮ通信のトンネル終端するためのパケットのヘッダ領域などに識別情報として格納する。具体的には、秘匿処理部１４２は、どの領域にどのようなルールの秘匿処理をしたのかを識別できる情報を識別できる情報を識別情報として格納する。なお、秘匿処理の対象領域が固定であって、秘匿処理が１通りの場合は、秘匿処理されていることを示す識別情報さえ格納されていればよい。
【００７５】
図１２は、第２の実施形態に係る秘匿処理部１４２による秘匿処理の対象の例を示す図である。例えば、秘匿処理部１４２は、図１２に示すように、Ｌ２トンネリング処理が実行されるパケットの送信元ＭＡＣアドレス、宛先ＭＡＣアドレス、送信元ＩＰアドレス及び送信元ポート番号のうち少なくとも１つ以上からなる組に対してルール情報に基づいた秘匿処理を実行する。ここで、図１２に示す４つの領域は、インターネットに送出されるパケットが通常秘匿化される領域である。従って、これらの領域を秘匿化することにより、例えば、ＣＰＥ１００とＶＨＧＷ２００との間のネットワークにインターネットが用いられた場合であっても、通常外部ネットワークに出ない情報を秘匿して通信を実行することができる。
【００７６】
図１３は、第２の実施形態に係るＶＨＧＷ２００の構成の一例を示す図である。図１３に示すように、第２の実施形態に係るＶＨＧＷ２００は、第１の実施形態に係るＶＨＧＷ２００と比較して、トンネリング処理部１４０に新たなにルール記憶部２４１と、秘匿処理部２４２とを備える点が異なる。以下、これらを中心に説明する。
【００７７】
ルール情報記憶部２４１は、パケットに対して秘匿処理を実行するための参照情報を記憶する。すなわち、ルール記憶部２４１は、上述したルール情報記憶部１４１と同様のルール情報を記憶する。これらの情報は、ネットワークシステム１の管理者などによって予め設定され、ルール記憶部１４１とルール記憶部２４１とで共有される。
【００７８】
秘匿処理部２４２は、秘匿処理部１４２による所定の通信内容の秘匿化を解除する。具体的には、秘匿処理部２４２は、Ｌ２トンネルの対向側から受信したパケットに含まれている識別情報を参照して、秘匿処理された情報を復元する。なお、上述した例では、ＣＰＥ１００からＶＨＧＷ２００に対してＬ２カプセリング処理したパケットを送信する場合について説明したが、ＶＨＧＷ２００からＣＰＥ１００に対してＬ２カプセリング処理したパケットを送信する場合にも適用できる。かかる場合には、秘匿処理部１４２と、秘匿処理部２４２とが上述した処理をそれぞれ逆に実行する。
【００７９】
次に、図１４及び図１５を用いて、第２の実施形態に係るネットワークシステム１による処理の手順を説明する。図１４は、第２の実施形態に係るネットワークシステムの第１処理の手順を説明するためのシーケンス図である。図１５は、第２の実施形態に係るネットワークシステムの第２処理の手順を説明するためのシーケンス図である。図１４においては、ＣＰＥ１００からＶＨＧＷ２００への通信における処理の手順を示す。また、図１４においては、ＶＨＧＷ２００からＣＰＥ１００への通信における処理の手順を示す。
【００８０】
ＣＰＥ１００からＶＨＧＷ２００への通信では、図１４に示すように、第２の実施形態に係るネットワークシステム１において、ＣＰＥ１００の通信部１１０がＬ２フレームまたはパケットを受信すると（ステップＳ３０１）、宛先識別部１２０が宛先を判定する（ステップＳ３０２）。ここで、宛先がＶＨＮＷ３宛てである場合には（ステップＳ３０３肯定）、トンネリング処理部１３０は、Ｌ２ＶＰＮなどのセキュアなＬ２トンネリング処理を実行して、通信部１１０がＶＨＧＷ２００に対してパケットを送信する（ステップＳ３０４）。
【００８１】
一方、ステップＳ３０３において、宛先がＶＨＮＷ３宛てではない外部ネットワークである場合には（ステップＳ３０３否定）、秘匿処理部１４２が秘匿処理を実行する（ステップＳ３０５）。そして、トンネリング処理部１３０は、Ｌ２カプセリング処理などの単純なＬ２トンネリング処理を実行して、通信部１１０がＶＨＧＷ２００に対してパケットを送信する（ステップＳ３０６）。
【００８２】
ＶＨＧＷ２００は、通信部２１０がＬ２フレームまたはパケットを受信すると（ステップＳ３０７）、トンネリング処理部２４０が、識別情報などを参照して、実施されたＬ２トンネリング処理に対応するＬ２トンネリング処理の解除を実行して、Ｌ２フレームまたはパケットを取得する（ステップＳ３０８）。そして、秘匿処理部２４２が、秘匿処理された情報があるか否かを判定する（ステップＳ３０９）。ここで、秘匿処理された情報がある場合には（ステップＳ３０９肯定）、秘匿処理部２４２が、秘匿処理された情報を復元して（ステップＳ３１０）、通信部２１０が宛先に対してパケットを送信する（ステップＳ３１１）。一方、秘匿処理された情報がない場合には（ステップＳ３０９否定）、通信部２１０が宛先に対してパケットを送信する（ステップＳ３１１）。なお、ＲＨＮＷ２から外部ネットワーク宛の通信は、必ず秘匿処理するようＣＰＥ１００とＶＨＧＷ２００とで事前設定されている場合は、ステップＳ３０９の処理はスキップしてもよい。
【００８３】
次に、ＶＨＧＷ２００からＣＰＥ１００への通信では、図１５に示すように、第２の実施形態に係るネットワークシステム１において、ＶＨＧＷ２００の通信部２１０がＬ２フレームまたはパケットを受信すると（ステップＳ４０１）、送信元識別部２２０が送信元を判定する（ステップＳ４０２）。ここで、送信元がＶＨＮＷ３内である場合には（ステップＳ４０３肯定）、トンネリング処理部２３０は、Ｌ２ＶＰＮなどのセキュアなＬ２トンネリング処理を実行して、通信部２１０がＣＰＥ１００に対してパケットを送信する（ステップＳ４０４）。
【００８４】
一方、ステップＳ４０３において、送信元がＶＨＮＷ３内ではない外部ネットワークからである場合には（ステップＳ４０３否定）、秘匿処理部２４２が秘匿処理を実行する（ステップＳ４０５）。そして、トンネリング処理部２３０は、Ｌ２カプセリング処理などの単純なＬ２トンネリング処理を実行して、通信部２１０がＣＰＥ１００に対してパケットを送信する（ステップＳ４０６）。
【００８５】
ＣＰＥ１００は、通信部１１０がパケットを受信すると（ステップＳ４０７）、トンネリング処理部１４０が、識別情報などを参照して、実施されたＬ２トンネリング処理に対応するＬ２トンネリング処理の解除を実行して、Ｌ２フレームまたはパケットを取得する（ステップＳ４０８）。そして、秘匿処理部２４１が、秘匿処理された情報があるか否かを判定する（ステップＳ４０９）。ここで、秘匿処理された情報がある場合には（ステップＳ４０９肯定）、秘匿処理部２４１が、秘匿処理された情報を復元して（ステップＳ４１０）、通信部２１０が宛先に対してパケットを送信する（ステップＳ４１１）。一方、秘匿処理された情報がない場合には（ステップＳ４０９否定）、通信部２１０が宛先に対してパケットを送信する（ステップＳ４１１）。上述した図１４のステップＳ３０９と同様にステップＳ４０９の処理はスキップしてもよい。
【００８６】
なお、上述した処理の手順においては、秘匿処理を実行した後に、Ｌ２トンネリング処理を実行する場合について説明した。しかしながら、実施形態はこれに限定されるものではなく、例えば、Ｌ２トンネリング処理が実行された後に、秘匿処理が実行される場合であってもよい。
【００８７】
［第２の実施形態の効果］
上述したように、第２の実施形態によれば、ＣＰＥ１００の秘匿処理部１４１は、端末からの通信の宛先がインターネット上にある場合に、通信における所定の通信内容を秘匿化する。そして、通信部１１０は、トンネリング処理部１４０及び秘匿処理部１４１の処理後の通信を、ＶＨＧＷ２００との間で実行する。そして、ＶＨＧＷ２００の秘匿処理部２４２は、秘匿処理部１４２による所定の通信内容の秘匿化を解除する。そして、通信部２１０は、トンネリング処理２４０及び所定の通信内容の秘匿化が解除された状態で、インターネット上の宛先への通信を実行する。従って、第２の実施形態に係るネットワークシステム１は、Ｌ２トンネル接続に用いるネットワークがインターネットのような公衆網の場合に、最低限のセキュリティを備えさせることができ、かつ、通信効率の低下を低減することを可能にする。
【００８８】
（第３の実施形態）
上述した第１及び第２の実施形態では、ネットワークシステムの構成例について説明した。第３の実施形態では、利用環境の一例を説明する。ここで、近年のグローバルＩＰｖ４アドレスの枯渇により、今後は１つのグローバルＩＰｖ４アドレスを複数ユーザ間で共用するケースが増えることが予想される。そこでは、大規模ＮＡＴ（Large  Scale  NATやCarrier  Grade  NATと呼ばれる）という技術が適用され、ホームゲートウェイとＩＳＰ（Internet  Service  Provider）で計２回、またはＩＳＰでＮＡＴ処理をすることで１つのグローバルＩＰｖ４アドレスを複数ユーザで共用することになる。
【００８９】
このような、大規模ＮＡＴが適用される環境では、ＮＡＴ処理の負荷も小さくはないので、また、メンテナンスコストも考慮すると、ホームゲートウェイでのＮＡＴ処理を回避できる方が望ましい。また、今後のＩＰｖ６技術の普及に伴い、ＩＰｖ６によるネットワークが増えることが容易に予想されることを考慮する。そこで、第３の実施形態では、例えば、図１６に示すネットワークシステムについて説明する。
【００９０】
図１６は、第３の実施形態に係るネットワークシステムの概要を模式的に示す図である。すなわち、第３の実施形態に係るネットワークシステムでは、図１６に示すように、ＩＰｖ４によるインターネット通信については、ＶＨＧＷ２００でルーティングし、ＩＰｖ６によるインターネット通信は、ＣＰＥ１００でルーティングして、それぞれ外部ネットワークに出ていくシステム構成について説明する。またこの実施形態では、「アクセスネットワーク／インターネット」はＩＰｖ６によるネットワークであるものとし、ＣＰＥ１００とＶＨＧＷ２００とはＩＰｖ６のＬ２トンネル接続を確立できる機能を備えているものとする。
【００９１】
図１７は、第３の実施形態に係るネットワークシステム１の構成の一例を示す図である。例えば、図１７に示すように、ネットワークシステム１においては、ＲＨＮＷ２内のＣＰＥ１００は、主な機能として、ＩＰｖ６に関するルーティング機能と、Ｌ２トンネリング処理の機能とを有する。一方、ＶＨＮＷ３内のＶＨＧＷ２００は、主な機能として、ＩＰｖ４に関するルーティング機能と、Ｌ２トンネリング処理の機能とを有する。また、トンネル終端するためのＩＰｖ６ルーティング機能を有する、またはＶＨＧＷ２００とは異なる装置がこの機能を備えることとしてもよい。
【００９２】
ここで、例えば、ＲＨＮＷ２及びＶＨＮＷ３内の端末からＩＰｖ６インターネットにアクセスする場合には、ＣＰＥ１００からＩＰｖ６パケットが外部ネットワークへルーティングされる。また、例えば、ＲＨＮＷ２及びＶＨＮＷ３内の端末からＩＰｖ４インターネットにアクセスする場合には、ＶＨＧＷ２００からＩＰｖ４パケットが外部ネットワークへルーティングされる。つまり、ＲＨＮＷ２内の端末から送信されるＩＰｖ４インターネットあてのパケットは、第１、第２の実施形態で説明したように、ＣＰＥ１００からＬ２トンネルを経由してＶＨＧＷ２００から外部ネットワークへルーティングされる。
【００９３】
一方、ＶＨＮＷ３内の端末から送信されるＩＰｖ６インターネット宛てのパケットは、第１、第２の実施形態で説明した構成と対称となるもの、すなわち、第１の実施形態の変形例で説明したようにＶＨＧＷ２００からＬ２トンネルを経由してＣＰＥ１００から外部ネットワークへルーティングされる。
【００９４】
ここで、ＩＰｖ４インターネットにアクセスする場合、ＶＨＧＷ２００のＷＡＮ側インターフェースに付与されるアドレスがグローバルＩＰｖ４アドレスとなるが、大規模ＮＡＴを適用する場合、このグローバルアドレスを複数のユーザ、つまり、複数のＶＨＧＷ２００で共有することになる。例えば、このＶＨＧＷ２００のＷＡＮ側インターフェースにさらに異なるネットワークドメインの共用プライベートアドレスを付与して、ＩＰｖ４インターネットへのゲートウェイ（ＧＷ）にＮＡＴ装置を置き、このＮＡＴ装置が共用プライベートアドレスをグローバルＩＰｖ４アドレスに変換して、ＩＰｖ４インターネットと通信することとしてもよい。この場合は、ＤＣ１０内にユーザごとのＶＨＮＷ３が構築され、この複数のＶＨＮＷ３のＩＰｖ４インターネットとのゲートウェイを集約することになる。
【００９５】
ここで、例えば、ＩＰｖ４インターネットからＲＨＮＷ２にアクセスされる場合、ＮＡＴ装置のグローバルＩＰｖ４アドレス宛にパケットが送信され、ＮＡＴ装置がＶＨＧＷ２００に割り当てられた共用プライベートアドレス宛にパケットを送信する。ＶＨＧＷ２００は、受信したパケットをＩＰカプセリング及び／又は秘匿処理を実行してＣＰＥ１００に送信する。ＣＰＥ１００は、受信したパケットをＲＨＮＷ２内に送信する。一方、例えば、ＩＰｖ４インターネットからＶＨＮＷ３にアクセスされる場合、ＮＡＴ装置のグローバルＩＰｖ４アドレス宛にパケットが送信され、ＮＡＴ装置がＶＨＧＷ２００に割り当てられた共用プライベートアドレス宛にパケットを送信する。ＶＨＧＷ２００は、受信したパケットをさらにアドレス変換してホームネットワーク内のプライベートアドレスに変換して、ＶＨＮＷ３内に転送する。
【００９６】
また、例えば、ＩＰｖ６インターネットからＲＨＮＷ２にアクセスされる場合、ＣＰＥ１００は、ＩＰｖ６インターネットから受信したパケットをＲＨＮＷ２に転送する。一方、例えば、ＩＰｖ６インターネットからＶＨＮＷ３にアクセスされる場合、ＣＰＥ１００は、受信したパケットをＩＰカプセリング及び／又は秘匿処理を実行してＶＨＧＷ２００に送信する。ＶＨＧＷ２００は、受信したパケットをＶＨＧＷ３内に送信する。
【００９７】
上述したように、第３の実施形態によれば、ＲＨＮＷ２内のＣＰＥ１００と、ＲＨＮＷ２とＬ２トンネル接続されるＶＨＮＷ３内のＶＨＧＷ２００とを備えるネットワークシステムであって、ＣＰＥ１００の宛先識別部は、ＲＨＮＷ２内の端末からの通信の宛先が、ＩＰｖ４インターネット宛であるかを識別する。トンネリング処理部１４０は、宛先がＩＰｖ４インターネット宛である場合には、通信に対してトンネリング処理を実行する。通信部１１０は、トンネリング処理部１４０による処理後の通信を、ＶＨＧＷ２００との間で実行し、かつ、ＶＨＧＷ２００は、受信したパケットをＩＰｖ４インターネットへ転送する。ＶＨＧＷ２００の宛先識別部は、ＶＨＮＷ３内の端末からの通信の宛先がＩＰｖ６インターネット宛であるかを識別する。トンネリング処理部２４０は、宛先がＩＰｖ６インターネット宛である場合には、通信に対してトンネリング処理を実行する。ＩＰｖ４インターネットに対して通信を実行する際に、ＤＣ１０に配置したＮＡＴ装置によって、ＶＨＧＷ２００にてホームネットワークのプライベートアドレスからアドレス変換された共用プライベートアドレスをグローバルアドレスに変換した後に実行する。または、この共用プライベートアドレスを用いずに、ＶＨＧＷ２００が受信したＩＰｖ４プライベートアドレスをＮＡＴ装置によって直接グローバルアドレスに変換してもよい。従って、第３の実施形態に係るネットワークシステム１は、グローバルＩＰｖ４アドレスの枯渇に対応するネットワークシステムを構築することを可能にする。上述のように、２回のアドレス変換処理することなく、１回のアドレス変換処理で実施することとしてもよい。
【００９８】
（第４の実施形態）
これまで第１〜第３の実施形態を説明したが、本願に係る実施形態は、第１〜第３の実施形態に限定されるものではない。すなわち、これらの実施形態は、その他の様々な形態で実行されることが可能であり、種々の省略、置き換え、変更を行うことができる。
【００９９】
上述した実施形態におけるＣＰＥ１００とＶＨＧＷ２００との間のＬ２トンネルは、Ｌ２ＶＰＮによるトンネルと、Ｌ２カプセリングによるトンネルの両方を確立しておき、判定部の判定結果に応じて、利用するトンネルを選択するようにしてもよい。
【０１００】
また、ＣＰＥ１００とＶＨＧＷ２００の間で１本のＬ２トンネルのみを利用する場合は、判定部の判定結果に基づいて、Ｌ２ＶＰＮの処理「セキュリティ処理(暗号、認証、署名)＋Ｌ２カプセリング」をするか、Ｌ２カプセリングの処理をするかを都度選択的に行ってもよい。ここで、例えば、デフォルトの処理をＬ２ＶＰＮとして、選択的にＬ２ＶＰＮのうちセキュリティ処理を実施しないＬ２カプセリングの処理をしてもよく、この逆に、デフォルトの処理をＬ２カプセリングとして、選択的にさらにセキュリティ処理を実施することでＬ２ＶＰＮの処理をしてもよい。
【０１０１】
また、ＲＨＮＷ２またはＶＨＮＷ３とインターネットなどの外部ネットワークとがＬ２トンネル経由でアクセスする場合、Ｌ２−カプセリングによる通信を行うものとして説明した。しかしながら、このような通信では、Ｌ２フレーム全体をトンネル対向側に送信することは必須ではないため、実施形態はこれに限定されるものではなく、例えば、この通信をＬ３カプセリング、つまり、ＩＰ−ｉｎ−ＩＰ、ＩＰ  tunnelingを適用してもよい。図１８は、第４の実施形態に係るＩＰカプセリング処理の一例を説明するための図である。図１８に示すように、Ｌ３カプセリング処理によってパケットをカプセル化して送信する場合であってもよい。秘匿処理対象は、図１８に示す２つの領域の全体であってもよく、２つの領域のうち一部であってもよく、これらは事前に決定されていればよい。
【０１０２】
これは、内部ネットワーク用のＩＰパケットに外部用のＩＰパケットで直接カプセル化することで、他のネットワーク経由で転送可能にするためのトンネリング技術である。この時、第２、３の実施形態において、ホームネットワークである内部ネットワーク用のＬ２フレームヘッダ情報がインターネット上に流れることがなくなるので、Ｌ３以上の秘匿すべき情報のみを秘匿処理すればよくなる。秘匿処理に関する情報は、トンネル用ＩＰヘッダのオプション部分に格納することとしてもよい。例えば、ＧＲＥ(Generic  Routing  Encapsulation)を用いる場合、ＧＲＥヘッダ内に格納してもよい。また、Ｌ２フレームヘッダ情報を送信しないため、１パケット当たり送信できるデータ量が増えることになり、通信効率が向上する。
【０１０３】
以下、上述した第１〜第３の実施形態に係るネットワークシステム１において、Ｌ３カプセリングを行う場合の詳細について説明する。まず、第１の実施形態に係るネットワークシステム１にてＬ３カプセリングを行う場合について説明する。かかる場合、ＣＰＥ１００は、ＲＨＮＷ２内の通信装置からインターネット側を宛先とするパケットを受信すると、受信したパケットに対して、Ｌ３カプセリング処理を実行して、対向するＶＨＧＷ２００に送信する。ＶＨＧＷ２００は、受信したＬ３カプセリング処理されたパケットのＬ３カプセリングを解除して、パケットを取り出し、取り出したパケットをインターネット側の宛先に送信する。
【０１０４】
また、ＶＨＧＷ２００は、インターネット側からＲＨＮＷ２内宛のパケットを受信すると、受信したパケットに対して、Ｌ３カプセリング処理を実行して、対向するＣＰＥ１００に送信する。ＣＰＥ１００は、受信したＬ３カプセリング処理されたパケットのＬ３カプセリングを解除してパケットを取り出し、取り出したパケットをＲＨＮＷ２内の宛先の通信装置に送信する。
【０１０５】
次に、第２の実施形態に係るネットワークシステム１にてＬ３カプセリングを行う場合について説明する。かかる場合、ＣＰＥ１００は、ＲＨＮＷ２内の通信装置からインターネット側をあて先とするパケットを受信すると、受信したパケットのＬ３ヘッダの所定の部分に秘匿処理を実行する。そして、ＣＰＥ１００は、秘匿処理を実行したパケットに対して、Ｌ３カプセリング処理を実行して、対向するＶＨＧＷ２００に送信する。ＶＨＧＷ２００は、受信したＬ３カプセリング処理されたパケットのＬ３カプセリングを解除して、秘匿処理されたパケットを取り出す。そして、ＶＨＧＷ２００は、取り出したパケットのうち秘匿処理された情報を復元してインターネット側の宛先に送信する。
【０１０６】
また、ＶＨＧＷ２００は、インターネット側からＲＨＮＷ２内宛のパケットを受信すると、受信したパケットのＬ３ヘッダに秘匿処理を実行する。そして、ＶＨＧＷ２００は、秘匿処理を実行したパケットに対して、Ｌ３カプセリング処理を実行して、対向するＣＰＥ１００に送信する。ＣＰＥ１００は、受信したＬ３カプセリング処理されたパケットのＬ３カプセリングを解除して、秘匿処理されたパケットを取り出す。そして、ＣＰＥ１００は、取り出したパケットのうち秘匿処理された情報を復元してＲＨＮＷ２内の宛先の通信装置に送信する。
【０１０７】
次に、第３の実施形態に係るネットワークシステム１にてＬ３カプセリングを行う場合について説明する。かかる場合、ＣＰＥ１００は、ＲＨＮＷ２内の通信装置からＩＰｖ４インターネット側を宛先とするパケットを受信すると、受信したパケットに対して、Ｌ３カプセリング処理を実行して、対向するＶＨＧＷ２００に送信する。ＶＨＧＷ２００は、受信したＬ３カプセリング処理されたパケットのＬ３カプセリングを解除して、パケットを取り出し、取り出したパケットをＮＡＴ装置に送信する。ＮＡＴ装置は、受信したパケットをインターネット側の宛先に送信する。
【０１０８】
また、ＣＰＥ１００は、ＩＰｖ６インターネット側からＶＨＮＷ３宛のパケットを受信すると、受信したパケットに対して、Ｌ３カプセリング処理を実行して、対向するＶＨＧＷ２００に送信する。ＶＨＧＷ２００は、受信したＬ３カプセリング処理されたパケットのＬ３カプセリングを解除して、パケットを取り出し、取り出したパケットをＶＨＮＷ３内の通信装置に送信する。
【０１０９】
また、ＶＨＧＷ２００は、ＶＨＮＷ３内の通信装置からＩＰｖ６インターネット側をあて先とするパケットを受信すると、受信したパケットに対して、Ｌ３カプセリング処理を実行して、対向するＣＰＥ１００に送信する。ＣＰＥ１００は、受信したＬ３カプセリング処理されたパケットのＬ３カプセリングを解除して、パケットを取り出し、取り出したパケットをＩＰｖ６インターネット側の宛先に送信する。
【０１１０】
また、ＩＰｖ４インターネット側からＲＨＮＷ２宛にパケットを送信する場合には、まず、ＮＡＴ装置がＩＰｖ４インターネットからパケットを受信して、受信したパケットのグローバルＩＰｖ４アドレスを共用プライベートアドレスに変換して、ＶＨＧＷ２００に送信する。ＶＨＧＷ２００は、ＮＡＴ装置からＲＨＮＷ２内宛のパケットを受信すると、受信したパケットに対して、Ｌ３カプセリング処理を実行して、対向するＣＰＥ１００に送信する。ＣＰＥ１００は、受信したＬ３カプセリング処理されたパケットのＬ３カプセリングを解除してパケットを取り出し、取り出したパケットをＲＨＮＷ２内の宛先の通信装置に送信する。なお、上述した第３の実施形態に係るネットワークシステム１において、秘匿処理を実行する場合には、ＣＰＥ１００及びＶＨＧＷ２００は、対向側にパケットを送信する際に、パケットのＬ３ヘッダの所定の部分に秘匿処理を実行する。
【０１１１】
また、ＶＨＮＷ３は、仮想化されたネットワークとして説明したが、仮想化されていない物理的なネットワークであってもよい。また、ＲＨＮＷ２は、物理的なネットワークとして説明したが、仮想化されたネットワークであってもよい。また、ＲＨＮＷ２とＶＨＮＷ３とを同一セグメントのＬ２ネットワークとして扱えるようにするため、ＣＰＥ１００とＶＨＧＷ２００とをＬ２ＶＰＮで接続するものとして説明したが、これに限らず、Ｌ３ＶＰＮによって接続してもよい。
【０１１２】
また、通信の送信元や宛先に基づいて秘匿処理の要否を判断するものとして説明したが、これに限らず、通信プロトコルや通信のメッセージの種類や内容に基づいて秘匿処理の要否を判断してもよい。または、通信プロトコル、通信のメッセージ、送信元、送信先のうちいずれか一以上からなる組合せに基づいて秘匿処理の要否を判断してもよい。この場合、ＣＰＥ１００やＶＨＧＷ２００は、秘匿処理をする／しない通信プロトコルやメッセージに関する条件も事前に記憶しておくこととなる。また、ＲＨＮＷ２とＶＨＮＷ３との間の通信において、例えばセキュリティよりも低遅延であることが要求される特定の通信がある場合は、通信プロトコルやメッセージに基づいてその通信を特定して、セキュリティ処理を省略してカプセリング処理のみを実施することとしてもよく、または、カプセリング処理と秘匿処理を実施することとしてもよい。
【０１１３】
また、秘匿処理は、単純に、Ｌ２フレームであれば、Ｌ２ヘッダ情報とＬ３ヘッダ情報のすべて、パケットであれば、Ｌ３ヘッダ情報のすべて、を秘匿処理対象とするものであってもよい。
【０１１４】
ＶＨＧＷ２００は、仮想化された装置として説明したが、仮想化されていない物理的な装置であってもよい。ＣＰＥ１００は、物理的な装置として説明したが、仮想化された装置であってもよい。
【０１１５】
ＲＨＮＷ２内やＶＨＮＷ３内の通信装置は、仮想化されたサーバなどでもよく、仮想化されていない物理的なサーバなどであってもよい。また、サーバではない通信装置でもよい。
【０１１６】
上述した実施形態では、ホームネットワーク、ホームゲートウェイを例に説明したが、実施形態はこれに限定されるものではなく、例えば、対象が企業ネットワークなどでもよい。
【０１１７】
ＣＰＥ１００やＶＨＧＷ２００の各装置の分散・統合の具体的形態（例えば、図２の形態）は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合することができる。一例を挙げると、宛先識別部１２０と、判定部１３０とを一つの処理部として統合してもよく、一方、トンネリング処理部１４０を暗号化させる暗号処理部と、トンネリング処理を実行するトンネリング部とに分散してもよい。また、各装置は、アクセスネットワーク／インターネットなどの外部ネットワークと通信するためのＩＰルーティング機能を備えていてもよく、ＩＰルーティングは別の装置に具備するものであってもよい。さらに、各装置は、ＮＡＴやＤＨＣＰ、ＤＮＳに係る一般的なルータの機能を備えてもよく、または、これらの機能を別の装置に具備するものであってもよい。
【０１１８】
また、宛先識別部１２０をＣＰＥ１００の外部装置としてネットワーク経由で接続するようにしてもよく、或いは、宛先識別部１２０及び判定部１３０を別の装置がそれぞれ有し、ネットワークに接続されて協働することで、上述したＣＰＥ１００の機能を実現するようにしてもよい。
【０１１９】
また、Ｌ２トンネルを形成させる機能を有する装置を、ＣＰＥ１００及びＶＨＧＷ２００の外部装置としてネットワーク経由で接続されて協働することで、ＣＰＥ１００とＶＨＧＷ２００との間にＬ２トンネルを形成させるようにしてもよい。
【０１２０】
上述した実施形態で説明したＣＰＥ１００及びＶＨＧＷ２００は、あらかじめ用意されたプログラムをコンピュータで実行することで実現することもできる。そこで、以下では、図２に示したＣＰＥ１００又は図４で示したＶＨＧＷ２００と同様の機能を実現するプログラムを実行するコンピュータの一例を説明する。
【０１２１】
図１９は、第４の実施形態に係る通信制御プログラムを実行するコンピュータ１０００を示す図である。図１９に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central  Processing  Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。 
【０１２２】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。 
【０１２３】
ここで、図１９に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating  System）１０９１、アプリケーションプログラム１０９２、プログムモジュール１０９３およびプログラムデータ１０９４を記憶する。第４の実施形態に係る通信制御プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。具体的には、ＣＰＥ１００と同様の機能を実現する場合、上記実施形態で説明した通信部１１０と同様の情報処理を実行する通信ステップと、宛先識別部１２０と同様の情報処理を実行する宛先識別ステップと、判定部１３０と同様の情報処理を実行する判定ステップと、トンネリング処理部１４０と同様の情報処理を実行するトンネリング処理ステップとが記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。一方、ＶＨＧＷ２００と同様の機能を実現する場合、上記実施形態で説明した通信部２１０と同様の情報処理を実行する通信ステップと、トンネリング処理部２４０と同様の情報処理を実行するトンネリング処理ステップとが記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。
【０１２４】
また、上記実施形態で説明したデータベースに記憶されるデータのように、プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュールやプログラムデータを必要に応じてＲＡＭ１０１２に読み出して、通信ステップと、宛先識別ステップと、判定ステップと、トンネリング処理ステップとを実行する、或いは、通信ステップと、トンネリング処理ステップとを実行する。
【０１２５】
なお、プログラムに係るプログラムモジュールやプログラムデータは、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュールやプログラムデータは、ＬＡＮ（Local  Area  Network）やＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【０１２６】
これらの実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
【符号の説明】
【０１２７】
１  ネットワークシステム
２  ＲＨＮＷ
３  ＶＨＮＷ
４  ネットワーク
１０  ＤＣ
１００  ＣＰＥ
１１０、２１０  通信部
１２０、２５０  宛先識別部
１３０、２３０  判定部
１４０、２４０  トンネリング処理部
１４１、２４１  ルール記憶部
１４２、２４２  秘匿処理部
２００  ＶＨＧＷ
２２０  送信元識別部
【図１】
2014110454.tif 000003
【図２】
2014110454.tif 000004
【図３】
2014110454.tif 000005
【図４】
2014110454.tif 000006
【図５】
2014110454.tif 000007
【図６】
2014110454.tif 000008
【図７】
2014110454.tif 000009
【図８】
2014110454.tif 000010
【図９】
2014110454.tif 000011
【図１０】
2014110454.tif 000012
【図１１】
2014110454.tif 000013
【図１２】
2014110454.tif 000014
【図１３】
2014110454.tif 000015
【図１４】
2014110454.tif 000016
【図１５】
2014110454.tif 000017
【図１６】
2014110454.tif 000018
【図１７】
2014110454.tif 000019
【図１８】
2014110454.tif 000020
【図１９】
2014110454.tif 000021