(57)【要約】【課題】企業側で特別なシステムを構築することなく、インターネットに接続された端末が、安全にプライベートネットワークに接続することを可能にする。【解決手段】アクセス制御装置と、複数のプライベートネットワークに接続されるネットワーク交換装置とを備える通信システムにおいて、前記ネットワーク交換装置は、ユーザIDに対応付けられたユーザ端末のIPアドレスと、ユーザ端末が属するNSPの識別情報と、接続先の識別情報と、接続先におけるIPアドレスとを対応付けて格納しており、パケットを前記アクセス制御装置から受信した場合において、パケットの送信元のNSPを識別し、格納情報に基づき、当該NSP及び受信したパケットの送信元IPアドレスに対応する接続先を決定し、更に、当該パケットのIPアドレスを、決定した接続先におけるIPアドレスに変換し、変換後のパケットを前記決定した接続先に向けて送出する。【選択図】図１
2011217174.tif 000002
【特許請求の範囲】
【請求項１】
パブリックネットワークへの入口に備えられるアクセス制御装置と、複数のプライベートネットワークに接続されるネットワーク交換装置とを備える通信システムであって、
前記アクセス制御装置は、ユーザIDに対応付けられたユーザ端末のIPアドレスと、接続先の識別情報とを対応付けて格納するアクセス側接続情報格納手段を備え、
前記ネットワーク交換装置は、前記ユーザIDに対応付けられたユーザ端末のIPアドレスと、当該ユーザ端末が属するNSPの識別情報と、接続先の識別情報と、接続先におけるIPアドレスとを対応付けて格納するネットワーク側接続情報格納手段を備え、
前記アクセス制御装置は、前記ユーザ端末からパケットを受信し、前記アクセス側接続情報格納手段を参照することにより、受信したパケットの送信元IPアドレスに対応する接続先を決定し、当該接続先にパケットを送出し、
前記ネットワーク交換装置が、前記パケットを前記アクセス制御装置から受信した場合において、前記ネットワーク交換装置は、前記パケットの送信元のNSPを識別し、前記ネットワーク側接続情報格納手段を参照することにより、当該NSP及び受信したパケットの送信元IPアドレスに対応する接続先を決定し、更に、当該パケットのIPアドレスを、決定した接続先におけるIPアドレスに変換し、変換後のパケットを前記決定した接続先のプライベートネットワークに向けて送出する
ことを特徴とする通信システム。
【請求項２】
前記通信システムは、ユーザIDと、接続先ネットワークの識別情報とを対応付けて格納する認証情報格納手段を備えた認証システムを更に有し、
前記アクセス制御装置は、前記認証システムから、認証に成功したユーザIDに対応するユーザ端末のIPアドレスと、当該ユーザIDに対応する接続先ネットワークの識別情報とを含む情報を受信し、当該受信した情報を用いて、前記アクセス側接続情報格納手段に、前記ユーザIDに対応付けられたユーザ端末のIPアドレスと、接続先の識別情報とを格納し、
前記ネットワーク交換装置は、前記認証システムから、認証に成功したユーザIDに対応するユーザ端末のIPアドレスと、当該ユーザ端末が属するNSPの識別情報と、当該ユーザIDに対応する接続先ネットワークの識別情報とを含む情報を受信し、当該受信した情報を用いて、前記ネットワーク側接続情報格納手段に、前記ユーザIDに対応付けられたユーザ端末のIPアドレスと、当該ユーザ端末が属するNSPの識別情報と、接続先の識別情報と、接続先におけるIPアドレスとを格納する
ことを特徴とする請求項１に記載の通信システム。
【請求項３】
前記ネットワーク交換装置は、各接続先プライベートネットワーク毎のDNSサーバのIPアドレスを記録した接続先用DNSサーバ情報リストを格納したDNSサーバ情報格納手段を備え、
前記ネットワーク交換装置は、前記アクセス制御装置からDNS要求パケットを受信した場合において、当該DNS要求パケットの接続先のプライベートネットワークにおけるDNSサーバのIPアドレスを前記DNSサーバ情報格納手段から取得し、前記DNS要求パケットの送信先IPアドレスを、前記取得したIPアドレスに変換し、変換したDNS要求パケットを、前記接続先のプライベートネットワークに向けて送出する
ことを特徴とする請求項１又は２に記載の通信システム。
【請求項４】
前記ネットワーク交換装置は、前記アクセス制御装置から受信するパケットの送信元NSPを、パケットを受信する物理インタフェース、又はパケットに付加されたVLANタグ情報に基づき識別する
ことを特徴とする請求項１ないし３のうちいずれか1項に記載の通信システム。
【請求項５】
パブリックネットワークへの入口に備えられるアクセス制御装置と、複数のプライベートネットワークに接続されるネットワーク交換装置とを備える通信システムが実行するパケット転送方法であって、
前記アクセス制御装置は、ユーザIDに対応付けられたユーザ端末のIPアドレスと、接続先の識別情報とを対応付けて格納するアクセス側接続情報格納手段を備え、
前記ネットワーク交換装置は、前記ユーザIDに対応付けられたユーザ端末のIPアドレスと、当該ユーザ端末が属するNSPの識別情報と、接続先の識別情報と、接続先におけるIPアドレスとを対応付けて格納するネットワーク側接続情報格納手段を備え、
前記アクセス制御装置は、前記ユーザ端末からパケットを受信し、前記アクセス側接続情報格納手段を参照することにより、受信したパケットの送信元IPアドレスに対応する接続先を決定し、当該接続先にパケットを送出し、
前記ネットワーク交換装置が、前記パケットを前記アクセス制御装置から受信した場合において、前記ネットワーク交換装置は、前記パケットの送信元のNSPを識別し、前記ネットワーク側接続情報格納手段を参照することにより、当該NSP及び受信したパケットの送信元IPアドレスに対応する接続先を決定し、更に、当該パケットのIPアドレスを、決定した接続先におけるIPアドレスに変換し、変換後のパケットを前記決定した接続先のプライベートネットワークに向けて送出する
ことを特徴とするパケット転送方法。
【請求項６】
パブリックネットワークへの入口に備えられるアクセス制御装置と、複数のプライベートネットワークに接続されるネットワーク交換装置とを備える通信システムで用いられる前記ネットワーク交換装置であって、
ユーザIDに対応付けられたユーザ端末のIPアドレスと、当該ユーザ端末が属するNSPの識別情報と、接続先の識別情報と、接続先におけるIPアドレスとを対応付けて格納する接続情報格納手段と、
前記ユーザ端末から送信されたパケットを前記アクセス制御装置から受信し、当該パケットの送信元のNSPを識別し、前記接続情報格納手段を参照することにより、当該NSP及び受信したパケットの送信元IPアドレスに対応する接続先を決定する方路制御手段と、
前記接続情報格納手段を参照することにより、前記パケットのIPアドレスを、前記方路制御手段により決定した接続先におけるIPアドレスに変換するアドレス変換手段と、
前記変換後のパケットを前記決定した接続先のプライベートネットワークに向けて送出する通信手段と
を備えることを特徴とするネットワーク交換装置。
【請求項７】
コンピュータを、請求項６に記載の前記ネットワーク交換装置における各手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザ端末から送出されたパケットを、種々のネットワークに振り分ける技術に関するものである。
【背景技術】
【０００２】
一般に、各企業では、企業内の通信を行うために、インターネット等の誰でも利用できる公開されたネットワークであるパブリックネットワークを利用せず、社員のみが利用できる閉じたネットワークであるプライベートネットワークを構築し、それを企業の専用ネットワークとして利用する。
【０００３】
このような専用ネットワークを有する各企業では、インターネットしか使えない出張先等からでも専用ネットワークに接続して業務を行えるようにするニーズがあるのが一般的である。
【０００４】
インターネットに接続された端末から、専用ネットワークに接続できるようにするためには、そのためのシステムを構築する必要がある。例えば、企業において、専用ネットワークとインターネットとの境界にゲートウェイ装置を導入し、端末側に、ゲートウェイ装置へ接続するための専用ソフトウェアを導入することが必要である。なお、本願に関連する先行技術として、例えば特許文献１に記載された技術がある。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開2008-199497号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、インターネットから専用ネットワークに接続できるようにするシステムを構築するには、各企業にとって多大なコストがかかるとともに、システム構築後においても、ゲートウェイ装置や端末毎の専用ソフトウェアに対する管理のために大きなコストがかかるという問題がある。
【０００７】
本発明は、上記の点に鑑みてなされたものであり、各企業において特別なシステムを構築したり、端末に専用ソフトウェアを導入したりすることなく、インターネット等のパブリックネットワークに接続された端末が、安全に企業等のプライベートネットワークに接続することを可能とした技術を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記の課題を解決するために、本発明は、パブリックネットワークへの入口に備えられるアクセス制御装置と、複数のプライベートネットワークに接続されるネットワーク交換装置とを備える通信システムであって、前記アクセス制御装置は、ユーザIDに対応付けられたユーザ端末のIPアドレスと、接続先の識別情報とを対応付けて格納するアクセス側接続情報格納手段を備え、前記ネットワーク交換装置は、前記ユーザIDに対応付けられたユーザ端末のIPアドレスと、当該ユーザ端末が属するNSPの識別情報と、接続先の識別情報と、接続先におけるIPアドレスとを対応付けて格納するネットワーク側接続情報格納手段を備え、前記アクセス制御装置は、前記ユーザ端末からパケットを受信し、前記アクセス側接続情報格納手段を参照することにより、受信したパケットの送信元IPアドレスに対応する接続先を決定し、当該接続先にパケットを送出し、前記ネットワーク交換装置が、前記パケットを前記アクセス制御装置から受信した場合において、前記ネットワーク交換装置は、前記パケットの送信元のNSPを識別し、前記ネットワーク側接続情報格納手段を参照することにより、当該NSP及び受信したパケットの送信元IPアドレスに対応する接続先を決定し、更に、当該パケットのIPアドレスを、決定した接続先におけるIPアドレスに変換し、変換後のパケットを前記決定した接続先のプライベートネットワークに向けて送出することを特徴とする通信システムとして構成される。
【０００９】
前記通信システムは、ユーザIDと、接続先ネットワークの識別情報とを対応付けて格納する認証情報格納手段を備えた認証システムを更に有してもよく、その場合、前記アクセス制御装置は、前記認証システムから、認証に成功したユーザIDに対応するユーザ端末のIPアドレスと、当該ユーザIDに対応する接続先ネットワークの識別情報とを含む情報を受信し、当該受信した情報を用いて、前記アクセス側接続情報格納手段に、前記ユーザIDに対応付けられたユーザ端末のIPアドレスと、接続先の識別情報とを格納し、前記ネットワーク交換装置は、前記認証システムから、認証に成功したユーザIDに対応するユーザ端末のIPアドレスと、当該ユーザ端末が属するNSPの識別情報と、当該ユーザIDに対応する接続先ネットワークの識別情報とを含む情報を受信し、当該受信した情報を用いて、前記ネットワーク側接続情報格納手段に、前記ユーザIDに対応付けられたユーザ端末のIPアドレスと、当該ユーザ端末が属するNSPの識別情報と、接続先の識別情報と、接続先におけるIPアドレスとを格納する。
【００１０】
また、前記ネットワーク交換装置は、各接続先プライベートネットワーク毎のDNSサーバのIPアドレスを記録した接続先用DNSサーバ情報リストを格納したDNSサーバ情報格納手段を備えてもよく、その場合、前記ネットワーク交換装置は、前記アクセス制御装置からDNS要求パケットを受信した場合において、当該DNS要求パケットの接続先のプライベートネットワークにおけるDNSサーバのIPアドレスを前記DNSサーバ情報格納手段から取得し、前記DNS要求パケットの送信先IPアドレスを、前記取得したIPアドレスに変換し、変換したDNS要求パケットを、前記接続先のプライベートネットワークに向けて送出する。
【００１１】
前記ネットワーク交換装置は、前記アクセス制御装置から受信するパケットの送信元NSPを、パケットを受信する物理インタフェース、又はパケットに付加されたVLANタグ情報に基づき識別することとしてもよい。
【発明の効果】
【００１２】
本発明によれば、各企業において特別なシステムを構築したり、端末に専用ソフトウェアを導入したりすることなく、インターネット等のパブリックネットワークに接続された端末が、安全に企業等のプライベートネットワークに接続することが可能となる。
【図面の簡単な説明】
【００１３】
【図１】本発明の実施の形態に係るシステムの全体構成図である。
【図２】アクセス制御装置１の機能構成図である。
【図３】アクセス制御装置１におけるテーブル情報の例を示す図である。
【図４】ネットワーク交換装置２の機能構成図である。
【図５】ネットワーク交換装置２におけるテーブル情報の例を示す図である。
【図６】認証装置６におけるテーブル情報の例を示す図である。
【図７】認可情報中継装置３におけるテーブル情報の例を示す図である。
【図８】ユーザ認証段階での動的設定処理を説明するためのシーケンスチャートである。
【図９】認可情報を受信するネットワーク交換装置２の動作を説明するためのフローチャートである。
【図１０】パケット転送時の動作を説明するための図である。
【図１１】ネットワーク交換装置２でのパケット転送処理を説明するためのフローチャートである。
【図１２】ネットワーク交換装置２の構成例を示す図である。
【図１３】パケット転送処理を説明するためのフレームの構成図である。
【図１４】ネットワーク交換装置２の構成例を示す図である。
【図１５】パケット転送処理を説明するためのフレームの構成図である。
【図１６】スプリットDNS解消のためにネットワーク交換装置２が有するテーブル情報の例を示す図である。
【図１７】DNS要求に関わるシステムの動作を説明するためのシーケンスチャートである。
【図１８】DNS要求に関わる処理を説明するためのフレームの構成図である。
【図１９】DNS要求に関わる処理を説明するためのフレームの構成図である。
【発明を実施するための形態】
【００１４】
以下、図面を参照して本発明の実施の形態を説明する。
【００１５】
（システム構成）
図１に、本発明の実施の形態に係るシステムの全体構成図を示す。図１に示すように、このシステムは、アクセス制御装置１、ネットワーク交換装置２、認可情報中継装置３、及び認証装置４を備える。
【００１６】
アクセス制御装置１は、NSP（ネットワークサービスプロバイダ）単位に、パブリックネットワーク（本実施の形態ではインターネット５である）への入口に備えられる。アクセス制御装置１は、各ユーザ端末６、インターネット５、ネットワーク交換装置２、及び認可情報中継装置３に接続され、ユーザ端末６から受信したパケットを、インターネット５もしくはネットワーク交換装置２に振り分ける等の処理を行う。
【００１７】
ネットワーク交換装置２は、アクセス制御装置１を介して受信したユーザ端末６からのパケットを、適切なネットワーク７に振り分ける等の処理を行う装置である。ネットワーク７は、企業内ネットワーク等のプライベートネットワークであり、図１の例では、企業ＸのネットワークＸ等が示されている。
【００１８】
認可情報中継装置３は、ユーザ端末６からの認証要求を認証装置４に転送し、認証装置４から受信する認証結果に基づいて、アクセス制御装置１とネットワーク交換装置２に、認可情報を送信する等の処理を行う。認証装置４は、ユーザ認証を行う装置である。
【００１９】
図１中に示す装置間を結ぶ線は、当該装置間でデータ通信可能であることを示す。当該データ通信のために使用する回線は、セキュリティが保たれた回線であれば、どのような回線（専用線、ＶＰＮ等）でもよい。以下、各装置についてより詳細に説明する。
【００２０】
＜アクセス制御装置１＞
図２に、アクセス制御装置１の機能構成図を示す。図２に示すように、アクセス制御装置１は、通信インタフェース部１１、通過制御部１２、方路制御部１３、ユーザ認証制御部１４、及びユーザ通信情報管理部１５を有する。また、ユーザ通信情報管理部１５は、ユーザ通信情報格納部１６を備える。
【００２１】
通信インタフェース部１１は、外部とデータ通信を行うためのインタフェース機能部である。通過制御部１２は、予め設定されたテーブル情報に基づき、受信したパケットを通過させて転送するか否かの制御を行う機能部であり、「ファイアウォール」とも呼ばれる。また、通過制御機能部１２は、ログイン認証を行っていないユーザのユーザ端末６からのパケットを識別し、当該パケットの処理をユーザ認証制御部１４に渡すとともに、ログイン認証に成功しているユーザのパケットを含む、通過を許可したパケットについては、方路制御部１３に渡す機能を有する。
【００２２】
方路制御部１３は、予め設定されたテーブル情報及びパケットのヘッダ情報等に基づき、送出するパケットの方路を決定し、通信インタフェース部１１を介して、決定した方路に向けてパケットを送出する機能部である。本実施の形態では、方路制御部１３は、パケットがインターネット５向けか、その他のネットワーク向け（ネットワーク交換装置２向け）かを決定し、決定に応じた方路にパケットを送出する。
【００２３】
ユーザ認証制御部１４は、ユーザ端末６からの認証要求を認可情報中継装置３に転送するとともに、認可情報中継装置３から受信する認可情報をユーザ通信情報管理部１５に渡す機能を有する。
【００２４】
ユーザ通信情報管理部１５は、ユーザ認証制御部１４から受信した認可情報を、ユーザ通信情報としてユーザ通信情報格納部１６に格納するとともに、格納したユーザ通信情報を用いて、通過制御部１２と方路制御１３に対する設定を行う機能を有する。
【００２５】
図３（ａ）に、ユーザ通信情報格納部１６に格納されるテーブル情報の例を示す。図３（ａ）に示すように、ユーザ通信情報格納部１６には、ユーザ端末６のIPアドレス、当該IPアドレスについて認証済みであるか否かの情報、ユーザID（ユーザ名）、及び接続先（インターネットか、インターネット以外か）が格納される。
【００２６】
図３（ｂ）に、通過制御部１２における設定情報であるテーブル情報（メモリ等の記憶手段に格納される情報）の例を示す。図３（ｂ）に示すように、通過制御部１２には、IPアドレス、及び、当該IPアドレスを持つパケットを通過させるか否かを示す情報が対応付けて設定されている。例えば、通過制御部１２は、パケットを受信したときに、パケットの送信元IPアドレスでテーブル情報を検索し、当該IPアドレスについて、通過が許可されていることを検知した場合に、パケットを通過させる。
【００２７】
図３（ｃ）に、方路制御部１３における設定情報であるテーブル情報（メモリ等の記憶手段に格納される情報）の例を示す。図３（ｃ）に示すように、方路制御部１３には、IPアドレスと、当該IPアドレスに対応する接続先を示す情報とが対応付けて設定されている。方路制御部１３は、送出しようとするパケットのソースIPアドレスに基づき図３（ｃ）のテーブルを参照し、当該IPアドレスに対応する接続先を識別して、当該接続先の方路にパケットを送出する。接続先を示す情報は、例えば、物理ＩＦを識別する情報、VLANID等であるが、これに限定されず、方路を決定できる情報であればどのような情報でもよい。
【００２８】
なお、上記のように、ユーザ通信情報格納部１６の情報と、各テーブル情報を分けてもよいし、ユーザ通信情報格納部１６のみが情報を有し、各部がユーザ通信情報格納部１６を参照することとしてもよい。
【００２９】
アクセス制御装置１における各機能部は、コンピュータやルータ等の装置にプログラムを実行させることにより実現可能である。また、当該プログラムは、メモリ等の記録媒体に記録して配布することが可能である。
【００３０】
また、アクセス制御装置１は、１つの装置（コンピュータ、ルータ等）で実現してもよいし、複数の装置をネットワークを介して接続することにより実現してもよい。
【００３１】
＜ネットワーク交換装置２＞
図４に、ネットワーク交換装置２の機能構成図を示す。図４に示すように、ネットワーク交換装置２は、通信インタフェース部２１、通過制御部２２、方路制御部２３、アドレス変換部２４、仮想接続セッション情報管理部２５を有する。また、仮想接続セッション情報管理部２５は、仮想接続セッション情報格納部２６を有する。
【００３２】
通信インタフェース部２１は、外部とデータ通信を行うためのインタフェース機能部である。通過制御部２２は、予め設定されたテーブル情報に基づき、受信したパケットを通過させて転送するか否かの制御を行う機能部であり、「ファイアウォール」とも呼ばれる。
【００３３】
方路制御部２３は、予め設定されたテーブル情報及びパケットのヘッダ情報等に基づき、送出するパケットの方路を決定し、通信インタフェース部２１を介して、決定した方路に向けてパケットを送出する機能部である。本実施の形態では、方路制御部２３は、パケットがどのネットワーク向けかを決定し、決定に応じた方路にパケットを送出する。
【００３４】
アドレス変換部２４は、予め設定されたテーブル情報及びパケットのヘッダ情報等に基づき、パケットのIPアドレスを変換する機能を有する。
【００３５】
仮想接続セッション情報管理部２５は、認可情報中継装置３から認可情報を受信し、それを仮想接続セッション情報を構成する情報として仮想接続セッション情報格納部２６に格納するととともに、格納された情報を用いて、通過制御部２２、方路制御部２３、及びアドレス変換部２４に対する設定を行う機能を有する。
【００３６】
図５（ａ）に、仮想接続セッション情報格納部２６に仮想接続セッション情報として格納されるテーブル情報の例を示す。図５（ａ）に示すように、当該テーブル情報は、ユーザID、NSPの識別情報、NSPでのIPアドレス、接続先の識別情報、及び接続先でのIPアドレスが対応付けられたテーブルである。これらの情報のうち、ユーザID、NSPを識別する情報、NSPでのIPアドレス、接続先の識別情報は、認可情報として認可情報中継装置３から受信する情報であり、接続先でのIPアドレスは、ネットワーク交換装置２において接続先毎に予め記憶手段（これをアドレスプールと呼ぶことにする）に格納しておく情報から取得するものである。
【００３７】
図５（ｂ）に、通過制御部２２が、設定情報として記憶手段に保持するテーブル情報の例を示す。図５（ｂ）に示すように、当該テーブル情報は、IPアドレス、NSPの識別情報、及び通過が許可されているか否かを示す情報が対応付けられたテーブルである。
【００３８】
例えば、通信制御部２２は、受信したパケットの受信インタフェース等に基づき、パケットの送信元NSPを把握し、当該送信元NSPと、パケットのソースIPアドレスとに基づき上記テーブル情報を参照することにより、パケットの通過可否を判断し、通過可である場合にパケットを通過させる制御を行う。
【００３９】
図５（ｃ）に、方路制御部２３が、設定情報として記憶手段に保持するテーブル情報の例を示す。図５（ｃ）に示すように、当該テーブル情報は、IPアドレス、NSPの識別情報、及び接続先の識別情報とを対応付けた情報である。例えば、方路制御部２３は、ユーザ端末６から受信したパケットのソースIPアドレス、及び送信元のNSPとから、図５（ｃ）のテーブルを参照して、パケットの接続先を決定して、接続先に対応する方路に向けてパケットを送出する。
【００４０】
図５（ｄ）に、アドレス変換部２４が、設定情報として記憶手段に保持するテーブル情報の例を示す。図５（ｄ）に示すように、当該テーブル情報は、NSPの識別情報、NSPでのIPアドレス、接続先の識別情報、及び接続先でのIPアドレスを対応付けたテーブルである。例えば、アドレス変換部２４は、ユーザ端末６から受信したパケットの送信元NSP及びIPアドレスから決定される接続先におけるIPアドレスを上記テーブルから取得し、パケットのソースIPアドレスを接続先におけるIPアドレスに書き換える。
【００４１】
なお、上記のように、仮想接続セッション情報格納部２６の情報と、各テーブル情報を分けてもよいし、仮想接続セッション情報格納部２６のみが情報を有し、各部が仮想接続セッション情報格納部２６を参照することとしてもよい。また、仮想接続セッション情報格納部２６とは別にテーブル情報を持つ場合でも、図５（ｂ）〜（ｄ）におけるテーブル情報の分け方は一例であり、例えば、図５（ｃ）、（ｄ）のテーブル情報をまとめて１つのテーブル情報としてもよい。
【００４２】
ネットワーク交換装置２における各機能部は、コンピュータやルータ等の装置にプログラムを実行させることにより実現可能である。また、当該プログラムは、メモリ等の記録媒体に記録して配布することが可能である。
【００４３】
また、ネットワーク交換装置２は、１つの装置（コンピュータ、ルータ等）で実現してもよいし、複数の装置をネットワークを介して接続することにより実現してもよい。
【００４４】
＜認可情報中継装置３、認証装置４＞
認証装置４は、RADIUS等の認証プロトコルを用いて認証処理を行う機能を有する。図６に、認証装置４が、記憶手段に格納しているテーブル情報の例を示す。図６に示すように、このテーブル情報は、ユーザID、宛先ネットワークの識別情報等が対応付けられたものである。これらの情報は、予め管理者等により登録される情報である。
【００４５】
図６において、例えば、ユーザＡは、ネットワークＸに接続できるように登録されていることが示されている。
【００４６】
認可情報中継装置３は、ユーザ端末６からの認証要求を認証装置４に転送し、認証装置４から受信する認証結果に基づいて、アクセス制御装置１とネットワーク交換装置２に、認可情報を送信する等の処理を行う装置である。
【００４７】
また、認証情報中継装置３は、あるNSPからの認証要求に基づき、認証装置４との間で所定の認証プロトコルを用いて送受信する情報の一部を、当該NSPにおける認証の仕様に合わせて、最適化するために、変更する機能も有している。例えば、アトリビュート変更やフィルタリング等を行う。
【００４８】
このような変更やフィルタリング処理を行うために、認可情報中継装置３は、一例として図７に示すテーブル情報を保持している。図７に示すように、このテーブル情報は、NSPの識別情報、認証プロトコル、当該NSPのプロトコル設定情報を対応付けた情報である。認可情報中継装置３は、受信したパケットのソースIPアドレス等からNSPを判別し、テーブル情報を参照することにより、NSPに対応したプロトコル設定情報を把握し、当該プロトコル設定情報を用いて上述した情報の一部の変更を行う。なお、認可情報中継装置３と認証装置４とで認証システムを構成する。
【００４９】
（システムの動作）
次に、本実施の形態に係るシステムの動作について図を参照して説明する。
【００５０】
＜ユーザ認証段階での動的設定（プロビジョニング)処理＞
まず、ユーザ認証の段階で実行される処理を図８のシーケンスチャートを参照して説明する。この処理の中で、動的に通信（仮想接続）のために必要な情報の設定がなされるので、ここでの処理を動的プロビジョニングと呼ぶことができる。
【００５１】
本実施の形態では、認証のプロトコルとしてRADIUS(RFC2865)を用いた例を説明するが、認証のプロトコルはRADIUSに限定されるわけではなく、例えばDIAMETER  (RFC3588)等の他のプロトコルを用いてもよい。
【００５２】
ユーザ端末６からの認証要求（ユーザIDを含む）を受信するアクセス制御装置１は、ユーザが未認証であることを識別し、ユーザ認証制御部１４は、認証要求を認可情報中継装置３に送信する（ステップ１）。
【００５３】
認証要求を受信した認可情報中継装置３は、認証装置４に認証要求を転送する（ステップ２）。認証装置４は、認証に成功すると、認証要求に含まれるユーザIDに対応する接続先のネットワークの識別情報を図６に示したテーブル情報から取得し、接続先の識別情報を含む認証結果（認証成功応答）を認可情報中継装置３に送信する（ステップ３）。なお、認証に失敗した場合は、認証拒否応答が返される。
【００５４】
なお、本例では、認証装置４は、ユーザが接続可能な宛先ネットワークの識別情報を、Filter-IDアトリビュートに含めている。
【００５５】
続いて、認可情報中継装置３は、認証要求のソースIPアドレスから識別されたNSPの識別情報と、認証成功応答に含まれる情報とを、ネットワーク交換装置２に転送する（ステップ４）。NSPの識別情報と、認証成功応答に含まれる情報とを認可情報と呼ぶことにする。
【００５６】
認証成功応答に含まれる情報は、ユーザID（User-Nameアトリビュート）、IPアドレス（Framed-IP-Addressアトリビュート）、接続先ネットワークの識別情報（Filter-IDアトリビュート）である。
【００５７】
上記の情報を受信するネットワーク交換装置２の動作を図９のフローチャートを参照して説明する。
【００５８】
ステップ１０１にて上記情報を受信したネットワーク交換装置２において、仮想接続セッション管理部２５が、Filter-IDアトリビュートから、当該ユーザの接続可能なネットワークの識別情報を取得し（ステップ１０２）、アドレスプールを参照して、当該ネットワークにおけるIPアドレスを予約する（ステップ１０３）。
【００５９】
そして、仮想接続セッション情報管理部２５は、ユーザID、NSPの識別情報、NSPでのIPアドレス、接続先ネットワークの識別情報、及び接続先ネットワークでのIPアドレスを仮想接続セッション情報格納部２６に格納するとともに、図５（ｂ）、（ｃ）、（ｄ）に示したテーブル情報を各部に設定する（ステップ１０４）。ただし、この時点では、通過制御部２２におけるパケット通過はさせない設定（"Ｎｏ"）にしておく。その後、ネットワーク交換装置２は正常に認可情報を処理できたことを示す確認応答を認可情報中継装置３に返信する（ステップ１０５）。図９のステップ１０５は、図８のシーケンスにおけるステップ５に相当する。
【００６０】
なお、パケット交換装置２において、認可情報が正常に処理されなかった場合には、エラーが認可情報中継装置３に送られ、認可情報中継装置３から、アクセス制御装置に向けて認証拒否応答が返されることになる。
【００６１】
図８において、ステップ５で確認応答を受信した認可情報中継装置３は、認可情報を含む認証成功応答を、要求元のアクセス制御装置１に送信する（ステップ６）。
【００６２】
認証成功応答を受信したアクセス制御装置１において、ユーザ通信情報管理部１５が、受信した情報に基づき、図３（ａ）に示すような、認証済みであることを示すテーブル情報（１レコード）をユーザ通信情報格納部１６に格納するとともに、ユーザ通信情報管理部１５は、図３（ｂ）、（ｃ）に示す情報を各部に設定する。ここで、通過制御部１２において、該当のソースIPアドレスを持つパケットは通過を許可する設定がなされる。
【００６３】
そして、アクセス制御装置１はサービス開始要求（課金開始要求）を認可情報中継装置３へ送信し（ステップ７）、認可情報中継装置３はサービス開始命令をネットワーク交換装置２に通知する（ステップ８）。サービス開始命令を受信したネットワーク交換装置２では、仮想接続セッション情報管理部２５が、通過制御部２２において該当ユーザのIPアドレスを持つパケットが通過できるように、設定を通過許可にする。
【００６４】
また、認可情報中継装置３は、サービス開始済み確認応答をアクセス制御装置１に対して返信する（ステップ９）。更に、認可情報中継装置３は、認証装置４へサービス開始要求（課金開始要求）を送信し（ステップ１０）、認証装置４はサービス開始済みの応答をする（ステップ１１）。
【００６５】
ユーザ端末６によるデータ通信が行われた後、ユーザ端末６からのログアウト要求により、アクセス制御装置１はサービス中止要求を認可情報中継装置３に送信し（ステップ１２）、認可情報中継装置３はサービス終了命令をネットワーク交換装置２へ送信する（ステップ１３）。この情報を受信したネットワーク交換装置２は、該当IPアドレスに対するトラフィックを遮断するために通過制御部２２における設定を通過拒否にする。
【００６６】
認可情報中継装置３は認証装置４へサービス中止要求を送信し（ステップ１４）、認証装置４はサービス中止済み確認の応答を認可情報中継装置３に対して行い（ステップ１５）、認可情報中継装置３はアクセス制御装置１に対してサービス中止済み確認の応答を転送する（ステップ１６）。
【００６７】
＜パケット転送動作＞
ユーザ認証に基づく設定処理が終了した後に行われるパケット転送時の動作について、図１０を参照して説明する。
【００６８】
この例では、NSP−Ｂのアクセス制御装置１には、図３（ａ）〜（ｃ）に示した情報が設定されているものとし、ネットワーク交換装置２には、図１０に示すとおりの仮想接続セッション情報、及びこの仮想接続セッション情報に基づく各テーブル情報が設定されているものとする。
【００６９】
例えば、NSP−Ｂのアクセス制御装置１が、ユーザＣのユーザ端末６から、B.B.B.1をソースIPアドレスとして有するパケットを受信すると、アクセス制御装置１の通過制御部１２は、図３（ｂ）に示す設定情報から、当該パケットを通過させる。また、方路制御部１３は、図３（ｃ）のテーブル情報に基づき、当該パケットはインターネットではない他のネットワークに送出すると決定し、当該パケットをネットワーク交換装置２に向けて送出する。
【００７０】
ネットワーク交換装置２でのパケット転送処理については、図１１のフローチャートも参照して説明する。
【００７１】
上記のようにしてパケットをアクセス制御装置１から受信（ステップ２０１）したネットワーク交換装置２では、パケットを受信した物理インターフェースもしくはVLANタグのような論理インターフェース等に基づき、ソース（送信元）のNSPを識別する(ステップ２０２）。本例では、ソースのNSPはＢであると識別される。
【００７２】
そして、ネットワーク交換装置２の通過制御部２２は、図５（ｂ）に示したテーブル情報に基づき、ソースIPアドレスがB.B.B.1で、ソースNSPがＢである当該パケットは通過ＯＫであると判定する（ステップ２０３）。なお、該当エントリがテーブルにない場合や、通過ＯＫでない場合には、パケットは廃棄される（ステップ２０４）。
【００７３】
続いて、方路制御部２３が、図５（ｃ）に示したテーブル情報を参照することにより、当該パケットの接続先のネットワークはＹであることを決定する（ステップ２０５）。更に、アドレス変換部２４は、図５（ｄ）のテーブルを参照して、当該パケットに関して、接続先のネットワークで使用されるIPアドレスY.Y.Y.2を取得し、パケットのソースIPアドレスを、このIPアドレスY.Y.Y.2に変換する（ステップ２０６）。そして、方路制御部２３は、ソースIPアドレスが変換されたパケットをネットワークＹに対応する方路に送出する（ステップ２０７）。
【００７４】
図１０において、ネットワークＹから、宛先IPアドレスとしてY.Y.Y.2を持つパケットを受信した場合のネットワーク交換装置２においては、まず、パケットのソースのネットワークがＹであることが識別される。そして、アドレス変換部２４が、図５（ｄ）のテーブルを参照することにより、ソースネットワークがＹで、宛先IPアドレスがY.Y.Y.2であるパケットに対応する宛先IPアドレスB.B.B.1を取得し、パケットの宛先IPアドレスをB.B.B.1に変換する。また、方路制御部２３は、ネットワークＹから受信し、アドレス変換を受けた当該パケットの転送先NSPはＢであることを識別する。
【００７５】
そして、通過制御部２２は、宛先IPアドレスがB.B.B.1である、転送先NSPがＢの当該パケットは通過ＯＫであると判定し、当該パケットは、方路制御部２３を介して、NSP−Ｂのネットワーク制御装置１に転送される。
【００７６】
アクセス制御装置１では、通過制御部１２が図３（ｂ）のテーブル情報を参照し、宛先IPアドレスB.B.B.1のパケットは通過ＯＫであると判定し、当該パケットはユーザＣのユーザ端末６に送信される。
【００７７】
上記のように、ネットワーク交換装置２におけるパケット転送処理においては、IPアドレスとNSP（ネットワーク）とに基づきパケットの接続先ネットワーク及び接続先でのIPアドレスが決定される。これにより、NSP（ネットワーク）間で同じIPアドレスが使用されている場合でも、適切に方路を決定し、パケットを転送できる。また、上述したように、接続しているNSP（ネットワーク）の識別方法は、物理的なインタフェースで識別してもよいし、VLANタグのような論理的なインタフェースで識別してもよい。また、これら両方を用いて識別してもよい。
【００７８】
（具体例）
次に、ネットワーク交換装置２の構成及び動作のより具体的な例として、VLANでNSP等を識別する場合の例について説明する。
【００７９】
＜NSP−＞接続先ネットワーク＞
図１２は、NSPから各宛先（接続先）ネットワークにパケットを送信する場合を想定して描いたネットワーク交換装置２の構成例である。
【００８０】
図１２に示すように、ネットワーク交換装置２とNSP及び接続先ネットワークとの間にVLANスイッチが備えられ、VLANスイッチのトランクポートがネットワーク交換装置２の物理インタフェースに接続される。なお、図１２では、図示の便宜上、ユーザ端末からのパケットを受信する側と、送出する側とのそれぞれにおいて、VLANスイッチを備えているが、受信する側、送出する側を区別することなく、１つのVLANスイッチが備えられることとしてもよい。また、物理インタフェースＡとＢが示されているが、これらも１つの物理インタフェースであってもよい。
【００８１】
また、図１２に示すように、ネットワーク交換装置２は、VLANの論理インタフェース（vlana, vlanb, ....... vlan1, vlan2...)を備え、物理インタフェースと合わせて、図４に示した通信インタフェース部２１を構成している。以下、パケット（イーサフレーム）の転送動作を、図１３に示すフレームの構成図を適宜参照しながら説明する。
【００８２】
図１２の装置構成において、ネットワーク交換装置２は、NSP側のアクセス制御装置１からパケットを受信すると、パケットに付与されているVLANタグ（図１３のＡ）に基づき送信元のNSPを識別し、通過制御部２２においてNSP（図１３のＡ）とIPアドレス（図１３のＢ）を用いてパケット通過判定を行うとともに、方路制御部２３が、設定テーブル情報を参照して、該当NSPとIPアドレスとに対応する接続先ネットワーク（図１３のＣ）を決定し、その情報（VLANタグ）をVLANインタフェースに通知する。
【００８３】
また、アドレス変換部２４は、設定テーブル情報を参照することにより、パケットのIPアドレスを変換する（図１３のＤ、Ｅ）。
【００８４】
その後、VLANインタフェースにより、接続先ネットワークに対応したVLANタグがパケットに付与され（図１３のＦ）、当該パケット（イーサフレーム）は、物理インタフェースＢを介して接続先のネットワークに届けられる。
【００８５】
より詳細には、ネットワーク交換装置２の方路制御部２３等において、接続先ネットワーク情報（図１３のＧ）及びＡＲＰテーブル（図１３のＨ）が設定されており、接続先ネットワーク情報におけるネクストホップ(図１３のＩ）に対応するＭＡＣアドレス（図１３のＪ）が、イーサフレームの宛先ＭＡＣアドレスとして設定される（図１３のＫ）。
【００８６】
なお、受信したパケットに関して、通過制御部２２において通過が許可されていない場合や、方路制御部２３及びアドレス変換部２４におけるテーブル情報に、該当するエントリがない場合には、パケットはブロックされ、廃棄されることになる。
【００８７】
＜接続先ネットワーク−＞NSP＞
図１４は、接続先ネットワークからNSPにパケットを送信する場合を想定して描いたネットワーク交換装置２の構成例である。当該構成は、図１２に示すものと同様であるが、本例では、接続先ネットワークからNSPにパケットを送信する動作を考慮して、アドレス変換部２２と方路制御部２３の図示方法が図１２のものと異なる。以下、パケット（イーサフレーム）の転送動作を、図１５に示すフレームの構成図を適宜参照しながら説明する。
【００８８】
ユーザが接続先ネットワークに接続する際に変換されるIPアドレスを接続先ネットワーク側の対向ルータにてルーティング設定することで、接続先ネットワークからユーザへの通信がネットワーク交換装置２までルーティングされる。
【００８９】
本例のように、VLANタグでネットワークを区別する場合、接続先ネットワークからネットワーク交換装置２への通信がまず図１４に示すVLANスイッチに届き、VLANスイッチが受信ポートに対応したタグを追加する。その後、VLANスイッチのトランクポートからパケットが出力され、ネットワーク交換装置２に転送される。
【００９０】
パケットを受信したネットワーク交換装置２において、VLANタグ（図１５のＡ）によりソースのネットワーク（接続先ネットワーク）が識別される。また、アドレス変換部２４により、設定テーブル情報が参照され、ソースのネットワークと宛先IPアドレスに対応するNSPで使用するIPアドレス(図１５のＢ）が取得される。そして、パケットの宛先IPアドレス（図１５のＣ）が、NSPでのIPアドレス（図１５のＢ、Ｄ）に変換される。方路制御部２３は、設定テーブル情報を参照し、パケット送出先となるNSPの識別情報（VLANタグ、図１５のＥ）を取得し、VLANインタフェースに通知する。
【００９１】
通過制御部２２は、設定テーブル情報を参照して、送信先のNSPと、送信先のIPアドレスに関して、通過が許可されているかを確認し、許可されていればパケットを通過させる。そして、VLANインタフェースは、パケットに、送信先のNSPに対応する識別情報（VLANタグ、図１５のＦ）を付加し、送出する。
【００９２】
より詳細には、ネットワーク交換装置２の方路制御部２３等において、NSP情報（図１５のＧ）及びＡＲＰテーブル（図１５のＨ）が設定されており、NSP情報におけるネクストホップ(図１５のＩ）に対応するＭＡＣアドレス（図１５のＪ）が、イーサフレームの宛先ＭＡＣアドレスとして設定される（図１５のＫ）。
【００９３】
そして、VLANスイッチは、ネットワーク交換装置２からトランクポートを経由して受信するパケットを、VLANタグに応じたポートに転送する。これにより、パケットは、該当NSPのアクセス制御装置１に届けられ、そこからユーザ端末６に転送される。
【００９４】
なお、通過制御部２２において通過が許可されていない場合や、方路制御部２３及びアドレス変換部２４におけるテーブル情報に、該当するエントリがない場合には、パケットはブロックされ、廃棄されることになる。
【００９５】
（スプリットDNSに対する対応について）
一般に、ユーザ端末６は、NSPにアクセスした際に、当該NSPに備えられるDNSサーバが割り当てられ、当該DNSサーバにアクセスすることにより各種サーバの名前解決（ＦＱＤＮ解決）を行っている。しかし、本実施の形態では、接続先ネットワーク（企業の専用ネットワーク）内のサーバを利用することになるため、NSPに備えられるDNSサーバでは名前解決を行うことができない。このような問題はスプリットDNS問題と呼ばれている。
【００９６】
本実施の形態では、この問題を解決するため、接続先ネットワークへ接続を行ったユーザ端末６から、DNS要求（FQDN解決の問合せ）が送出され、当該DNS要求をネットワーク交換装置２が受信した場合に、ネットワーク交換装置２は、当該DNS要求の宛先アドレスを変換することにより、接続先ネットワーク内でのDNSサーバへDNS要求を届けることしている。この名前解決に関する機能は、アドレス変換部２４が備えている。このアドレス変換は、前述したソースIPアドレスの変換に加えて行われるものである。
【００９７】
本実施の形態では、ネットワーク変換装置２は、これまでに説明した情報に加えて、図１６（ａ）に示すNSP側でのDNSサーバリストと、図１６（ｂ）に示す接続先ネットワーク側のDNSサーバリストとを記憶手段に記録して保持している。図１６（ａ）に示すNSP側でのDNSサーバリストは、NSP毎に、当該NSPでのDNSサーバのIPアドレスを記録したリストであり、図１６（ｂ）に示す接続先ネットワーク側のDNSサーバリストは、接続先ネットワーク毎に、当該接続先ネットワークでのDNSサーバのIPアドレスを記録したリストである。
【００９８】
ネットワーク交換装置２は、ユーザからのNSPのDNSサーバへのDNS要求（FQDN解決要求）を受信すると、接続先ネットワーク内のDNSサーバにその要求が届くよう宛先IPアドレスを接続先ネットワーク向けDNSサーバのIPアドレスへ変換する。以下、図１７のシーケンスチャートを参照して、本実施の形態におけるFQDN解決に関するシステムの動作を説明する。図１８、図１９に示すイーサフレームの構成も適宜参照することとする。なお、以下の例は、VLANでネットワークを識別する場合の例であるが、前述したとおり、ネットワークの識別方法はVLANに限られるわけではない。
【００９９】
ネットワーク交換装置２が、アクセス制御装置１を経由してDNS要求を受信すると（ステップ３０１）、ネットワーク交換装置２のアドレス変換部２４は、ソースのNSP（図１８のＡ）及び宛先IPアドレス（図１８のＢ）が、NSPのDNSサーバリスト（図１８のＣ）にあるかどうかをチェックし、当該アドレスがあれば、DNS要求の宛先IPアドレスを、宛先ネットワーク（図１８のＤ）内のDNSサーバのIPアドレス（図１８のＥ、Ｆ）に変換する（ステップ３０２）。また、アドレス変換部２４は、宛先ネットワーク内のDNSサーバのIPアドレスを元の要求したIPアドレスに戻せるよう、要求元のDNSサーバのIPアドレス、変換先のDNSサーバのIPアドレス、要求を出したユーザ端末の宛先ネットワークでのIPアドレス、及びユーザの宛先ネットワークをDNSサーバマッピングテーブル（図１８のＧ）に記録しておく。なお、DNSサーバマッピングテーブルは、メモリ等の記憶手段に格納されるテーブルである。
【０１００】
その後、アドレス変換が行われたDNS要求は、接続先ネットワーク（ここではネットワークＸ）のDNSサーバに送られる（ステップ３０３）。
【０１０１】
ネットワーク変換装置２が、接続先ネットワークのDNSサーバからDNS応答を受信すると（ステップ３０４）、アドレス変換部２４は、受信したパケットのVLANタグ（接続先ネットワークのVLANタグ）（図１９のＡ）、ソースIPアドレス（接続先ネットワークでのDNSサーバのIPアドレス）（図１９のＢ）、宛先IPアドレス（ユーザ端末６の接続先ネットワークでのIPアドレス）（図１９のＣ）に基づき、DNSサーバのマッピングテーブル（図１９のＤ）を参照し、要求元であるNSPでのDNSサーバのIPアドレス（図１９のＥ）を取得し、ソースIPアドレスを、取得したIPアドレスに変換する（図１９のＦ）（ステップ３０５）。このようにしてアドレス変換されたDNS応答が、アクセス制御装置１を経由してユーザ端末６に送信される（ステップ３０６）。
【０１０２】
なお、ユーザがログアウトした際は、ネットワーク交換装置２における各テーブル情報から当該ユーザに関するレコードが削除される。
【０１０３】
（実施の形態のまとめ）
以上説明したように、本実施の形態におけるシステムによれば、認証装置４において、ユーザID毎にどのネットワークへ接続可能かを登録しておき、ユーザ認証時に、認証に基づき得られる認可情報（どのネットワークへ接続可能かを示す情報を含む）が、認可情報中継装置３を介してアクセス制御装置１とネットワーク交換装置２に設定される。
【０１０４】
このユーザIDに基づく設定により、アクセス制御装置１は、インターネット等のパブリックネットワークと企業ネットワーク等のプライベートネットワークのうちのいずれか適切なネットワークにパケットを振り分けるので、NSPにおけるユーザ端末６へのIPアドレス割当てがダイナミックであっても、特定IPレンジであってもどちらでも対応可能である。
【０１０５】
また、ネットワーク交換装置２により、複数のプライベートネットワークがある場合、それぞれのプライベートネットワークへ接続する資格をもつユーザのユーザID毎に、適切なプライベートネットワークへパケットを振り分ることが可能になる。
【０１０６】
また、ネットワーク交換装置２において、それぞれのプライベートネットワークへ接続するユーザのIPアドレスをそれぞれのプライベートネットワークが管理している適切なIPアドレスへ変換するので、プライベートネットワークにおいて適切に通信を行うことができる。
【０１０７】
また、ネットワーク交換装置２は、IPアドレスだけでなく、ソースネットワークの識別情報も用いて方路の決定を行うので、NSPやプライベートネットワークにおいて、RFC1918で定義されたプライベートIPアドレスが利用され、ネットワーク間でIPアドレスが重複する可能性がある場合でも、適切にパケットを振り分けることができる。
【０１０８】
また、ネットワーク交換装置２が、NSPのDNSサーバ向けのDNS要求を受けた場合に、接続先ネットワーク内で運用しているDNSサーバへのDNS要求に変換を行うので、スプリットDNS問題が解消される。
【０１０９】
以上の構成により、各企業において特別なシステムを構築したり、ユーザ端末に専用ソフトウェアを導入したりすることなく、インターネット等のパブリックネットワークに接続されたユーザ端末が、安全に企業等のプライベートネットワークに接続することが可能となる。
【０１１０】
本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【符号の説明】
【０１１１】
１  アクセス制御装置
２  ネットワーク交換装置
３  認可情報中継装置
４  認証装置
５  インターネット
６  ユーザ端末
７  プライベートネットワーク
１１  通信インタフェース部
１２  通過制御部
１３  方路制御部
１４  ユーザ認証制御部
１５  ユーザ通信情報管理部
１６  ユーザ通信情報格納部
２１  通信インタフェース部
２２  通過制御部
２３  方路制御部
２４  アドレス変換部
２５  仮想接続セッション情報管理部
２６  仮想接続セッション情報格納部
【図１】
2011217174.tif 000003
【図２】
2011217174.tif 000004
【図３】
2011217174.tif 000005
【図４】
2011217174.tif 000006
【図５】
2011217174.tif 000007
【図６】
2011217174.tif 000008
【図７】
2011217174.tif 000009
【図８】
2011217174.tif 000010
【図９】
2011217174.tif 000011
【図１０】
2011217174.tif 000012
【図１１】
2011217174.tif 000013
【図１２】
2011217174.tif 000014
【図１３】
2011217174.tif 000015
【図１４】
2011217174.tif 000016
【図１５】
2011217174.tif 000017
【図１６】
2011217174.tif 000018
【図１７】
2011217174.tif 000019
【図１８】
2011217174.tif 000020
【図１９】
2011217174.tif 000021