(57)【要約】複数のネットワークと接続されたネットワーク中継装置であって、該複数のネットワークのうち、いずれかのネットワークから通信パケットが入力された場合、該通信パケットの所定の情報に基づいて、該通信パケットに対して所定のＶＬＡＮタグに関する処理を行うＶＬＡＮタグ付加部１５或いはＶＬＡＮタグ書換部１７と、該所定の情報に基づいて、通信パケットの送信元のアドレスを変換するアドレス変換部１６と、少なくともＶＬＡＮタグ付加部１５或いはＶＬＡＮタグ書換部１７による処理、或いはアドレス変換手段１６によるアドレス変換のいずれかがなされた通信パケットを所定の仮想ネットワークに出力する入出力部１１とを備えることによりネットワーク間のセキュリティを確保しつつ共通の装置へのアクセスを可能にするネットワーク中継装置を提供する。
2003098880.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワークと接続されたネットワーク中継装置であって、
前記複数のネットワークのうち、いずれかのネットワークから通信パケットが入力された場合、該通信パケットの所定の情報に基づいて、該通信パケットに対して所定のＶＬＡＮタグに関する処理を行うＶＬＡＮタグ処理手段と、
前記所定の情報に基づいて、前記通信パケットの送信元のアドレスを変換する第１アドレス変換手段と、
少なくとも前記ＶＬＡＮタグ処理手段による処理、或いは前記第１アドレス変換手段によるアドレス変換のいずれかがなされた通信パケットを所定の仮想ネットワークに出力する第１出力手段とを備えてなるネットワーク中継装置。
【請求項２】
請求の範囲第１項に記載のネットワーク中継装置において、
前記ＶＬＡＮタグ処理手段は、前記入力された通信パケットに、所定のＶＬＡＮタグを付加するＶＬＡＮタグ付加手段を備えてなるネットワーク中継装置。
【請求項３】
請求の範囲第１項に記載のネットワーク中継装置において、
前記ＶＬＡＮタグ処理手段は、前記入力された通信パケットの送信元ネットワークが、ＶＬＡＮタグを用いた仮想ネットワークである場合に、前記入力された通信パケットに既に付加されているＶＬＡＮタグを所定のＶＬＡＮタグに書き換える第１ＶＬＡＮタグ書換手段を備えてなるネットワーク中継装置。
【請求項４】
請求の範囲第１項に記載のネットワーク中継装置において、
前記所定の情報は、少なくとも前記通信パケットの送信元ネットワーク或いは宛先に関する情報のいずれかであるネットワーク中継装置。
【請求項５】
請求の範囲第３項に記載のネットワーク中継装置において、
前記ＶＬＡＮタグ付加手段は、前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合、該装置に対応するＶＬＡＮタグを前記通信パケットに付加するネットワーク中継装置。
【請求項６】
請求の範囲第３項に記載のネットワーク中継装置において、
前記第１アドレス変換手段は、前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合は、該装置に対応するネットワークを送信元ネットワークとしたアドレスに前記通信パケットの送信元のアドレスを変換するネットワーク中継装置。
【請求項７】
請求の範囲第１項に記載のネットワーク中継装置において、
前記第１アドレス変換手段は、所定の外部装置内に設けられ、
該外部装置には更に、
前記第１出力手段により出力された通信パケットを入力する入力手段と、
前記入力手段により入力された通信パケットの前記所定の情報に基づいて、前記入力された通信パケットに既に付加されているＶＬＡＮタグを所定のＶＬＡＮタグに書き換える第２ＶＬＡＮタグ書換手段と、
少なくとも前記ＶＬＡＮタグ処理手段による処理、或いは前記第１アドレス変換手段によるアドレス変換のいずれかがなされた通信パケットを前記所定の仮想ネットワークに出力する第２出力手段とを備え、
前記第１アドレス変換手段は、前記入力手段により入力された通信パケットに対して、送信元アドレス変換を行うネットワーク中継装置。
【請求項８】
請求の範囲第１項に記載のネットワーク中継装置において、
前記第１アドレス変換手段による変換後のアドレス及び変換前のアドレスを対応付けて記憶する記憶手段と、
前記記憶手段に記憶されたデータに基づいて、前記通信パケットに対する返信パケットの宛先を変換する第２アドレス変換手段を備えてなるネットワーク中継装置。
【請求項９】
請求の範囲第７項に記載のネットワーク中継装置において、
前記第２アドレス変換手段は、前記通信パケットに対する返信パケットの宛先を、前記記憶手段に記憶された変換前のアドレスに変換するネットワーク中継装置。
【請求項１０】
請求の範囲第７項に記載のネットワーク中継装置において、
前記記憶手段と前記第２アドレス変換手段は所定の外部装置内に設けられているネットワーク中継装置。
【請求項１１】
請求の範囲第１項に記載のネットワーク中継装置において、
前記複数のネットワークは、仮想ネットワークを含むネットワーク中継装置。
【請求項１２】
請求の範囲第１項に記載のネットワーク中継装置において、更に、
前記複数のネットワークのうち、いずれかのネットワークから通信パケットが入力された場合、該通信パケットの送信元のユーザを送信元ネットワーク毎に認証する認証手段を備え、
前記第１出力手段は、前記認証手段により認証された場合にのみ、前記通信パケットを出力するネットワーク中継装置。
【請求項１３】
複数のネットワークのうち、いずれかのネットワークから通信パケットが入力された場合、該通信パケットの所定の情報に基づいて、該通信パケットに対して所定のＶＬＡＮタグを付加するＶＬＡＮタグ付加ステップと、
前記通信パケットに既にＶＬＡＮタグが付加されている場合に、前記所定の情報に基づいて該ＶＬＡＮタグを書き換えるＶＬＡＮタグ書換ステップと、
前記所定の情報に基づいて、前記通信パケットの送信元のアドレスを変換する第１アドレス変換ステップと、
少なくとも前記ＶＬＡＮタグ付加ステップ、前記ＶＬＡＮタグ書換ステップ、或いは前記アドレス変換ステップのいずれかのステップにおける処理がなされた通信パケットを所定の仮想ネットワークに出力する出力ステップとを備えてなるネットワーク中継方法。
【請求項１４】
請求の範囲第１３項に記載のネットワーク中継方法において、
前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合、前記ＶＬＡＮタグ付加ステップにより付加されたＶＬＡＮタグ、或いは前記ＶＬＡＮタグ書換ステップにより変換されたＶＬＡＮタグは、該装置に対応するＶＬＡＮタグとなるネットワーク中継方法。
【請求項１５】
請求の範囲第１３項に記載のネットワーク中継方法において、
前記第１アドレス変換ステップは、前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合は、該装置に対応するネットワークを送信元ネットワークとしたアドレスに前記通信パケットの送信元のアドレスを変換するネットワーク中継方法。
【請求項１６】
請求の範囲第１３項に記載のネットワーク中継方法において、更に、
前記第１アドレス変換ステップによる変換後のアドレス及び変換前のアドレスを対応付けて所定の記憶領域に記憶する記憶ステップと、
前記通信パケットに対する返信パケットを入力した場合、前記記憶領域に記憶されたデータに基づいて、前記通信パケットに対する返信パケットの宛先を変換する第２アドレス変換ステップを備えてなるネットワーク中継方法。
【請求項１７】
コンピュータにより読取り可能な媒体に記憶され、ネットワーク中継処理をコンピュータに実行させるネットワーク中継用プログラムであって、
複数のネットワークのうち、いずれかのネットワークから通信パケットが入力された場合、該通信パケットの所定の情報に基づいて、該通信パケットに対して所定のＶＬＡＮタグを付加するＶＬＡＮタグ付加ステップと、
前記通信パケットに既にＶＬＡＮタグが付加されている場合に、前記所定の情報に基づいて該ＶＬＡＮタグを書き換えるＶＬＡＮタグ書換ステップと、
前記所定の情報に基づいて、前記通信パケットの送信元のアドレスを変換する第１アドレス変換ステップと、
少なくとも前記ＶＬＡＮタグ付加ステップ、前記ＶＬＡＮタグ書換ステップ、或いは前記アドレス変換ステップのいずれかのステップにおける処理がなされた通信パケットを所定の仮想ネットワークに出力する出力ステップとをコンピュータに実行させるネットワーク中継用プログラム。
【請求項１８】
請求の範囲第１７項に記載のネットワーク中継用プログラムにおいて、
前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合、前記ＶＬＡＮタグ付加ステップにより付加されたＶＬＡＮタグ、或いは前記ＶＬＡＮタグ書換ステップにより変換されたＶＬＡＮタグは、該装置に対応するＶＬＡＮタグとなるネットワーク中継プログラム。
【請求項１９】
請求の範囲第１７項に記載のネットワーク中継用プログラムにおいて、
前記第１アドレス変換ステップは、前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合は、該装置に対応するネットワークを送信元ネットワークとしたアドレスに前記通信パケットの送信元のアドレスを変換するネットワーク中継用プログラム。
【請求項２０】
請求の範囲第１７項に記載のネットワーク中継用プログラムにおいて、更に、
前記第１アドレス変換ステップによる変換後のアドレス及び変換前のアドレスを対応付けて所定の記憶領域に記憶する記憶ステップと、
前記通信パケットに対する返信パケットを入力した場合、前記記憶領域に記憶されたデータに基づいて、前記通信パケットに対する返信パケットの宛先を変換する第２アドレス変換ステップとをコンピュータに実行させるネットワーク中継用プログラム。
【発明の詳細な説明】
技術分野
本発明は、通信ネットワークの中継技術及びセキュリティ技術、サービス提供環境構築技術に関し、特にハブ、スイッチ、ブリッジ、ルータなどのネットワーク中継装置、サービスを提供するサーバ装置、サービスへのアクセスを振り分ける振り分け装置、ユーザ認証を行う認証装置への適用に優れたネットワーク中継装置、ネットワーク中継方法、ネットワーク中継用プログラムに関する。
背景技術
企業や学校など組織等の単位毎に複数のネットワークが存在する環境や、ＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅｓ  Ｐｒｏｖｉｄｅｒ）やホールセール事業者（自らはＩＳＰ事業は行わないが、ユーザとＩＳＰを結ぶ回線を提供する事業者）など、ユーザや回線提供先毎に複数のネットワークが存在する環境など、セキュリティ面などの理由から異なるネットワーク間で相互にアクセスすることが望ましくない複数のネットワークが存在する環境では、ネットワーク間のセキュリティを確保する為、ＶＬＡＮ（Ｖｉｒｔｕａｌ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ、仮想ネットワーク）の利用や、Ｌ２ＴＰ（Ｌａｙｅｒ２  Ｔｕｎｎｅｌｉｎｇ  Ｐｒｏｔｏｃｏｌ）などに代表されるトンネリングプロトコルの技術が広く用いられている。
第１２図は、ＶＬＡＮを用いてセキュリティを確保した例である。図中のネットワーク１ａ及びネットワーク１ｂは異なるネットワークであり、ユーザ端末１２ａからの通信パケットはネットワーク１ａから出力され、ユーザ端末１２ｂからの通信パケットはネットワーク１ｂから出力される。図示される中継装置１９は、接続されているネットワーク１ａ、１ｂからの通信を中継する。中継装置１９は一般に、ＶＬＡＮに対応したスイッチングハブ等であり、特定ポートから入力されたパケットを設定したＶＬＡＮに収容する機能を有する。図に示された例では、ネットワーク１ａから入力されたパケットを仮想ネットワーク５ａに収容し、ネットワーク１ｂから入力されたパケットを仮想ネットワーク５ｂに収容している。このような技術によりネットワーク１ａとネットワーク１ｂ間の相互アクセスはなされず、外部接続ネットワーク１８ａ或いは１８ｂを介して外部ネットワーク１０へ通信パケットを送信することが可能となる。
第１３図は、Ｌ２ＴＰを用いてセキュリティを確保した例である。図中の中継装置２０は一般に、Ｌ２ＴＰに対応したサーバやスイッチなどであり、予め設定された条件により入力されたパケットをカプセル化して、予め定められた外部接続ネットワーク（１８ａ、１８ｂ）に存在するゲートウェイやサーバ・スイッチに向けて転送する。図に示された例では、ネットワーク１ａから入力されたパケットをレイヤー２トンネリング２１ａを使用して外部接続ネットワーク１８ａへ転送し、ネットワーク１ｂから入力されたパケットをレイヤー２トンネリング２１ｂを使用して外部接続ネットワーク１８ｂへ転送している。このような技術によりネットワーク１ａとネットワーク１ｂ間の相互アクセスはなされず、外部接続ネットワーク１８ａ及び１８ｂを介して外部ネットワーク１０へ通信パケットを送信することが可能となる。
実際、ホールセール事業者は、ＢＡＳ（Ｂｒｏａｄｂａｎｄ  Ａｃｃｅｓｓ  Ｓｅｒｖｅｒ）などを用い、ＰＰＰｏＥ（ＰＰＰ  ｏｖｅｒ  Ｅｔｈｅｒｎｅｔ）プロトコルなどによる認証やＭＡＣアドレス（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  ａｄｄｒｅｓｓ）による認証、接続単位に対するＩＰアドレスの払い出しなどによって、ユーザ認証、ネットワーク接続を行った後、ＩＳＰなどへＶＬＡＮやトンネリングプロトコルを使用して接続を行っている。
このように異なるネットワークが存在する環境においては、上述した技術を用いてセキュリティが確保されているが、更に、ネットワーク間のセキュリティを保ちつつ、外部ネットワーク経由など無駄なトラフィックを発生させることなく、またアクセス先装置に複数の個別アドレスを設定するなど複雑な設定を行うことなく、共通の装置へのアクセスを可能とする装置や手法が求められている。
ネットワーク間でセキュリティが確保された状態から共通の装置へアクセスする場合、従来の方法には、一旦セキュリティが確保されていない状態に戻すか、共通の装置に各ネットワークのアドレスに対応したセキュリティ対応のインタフェースを複数用意する方法、外部ネットワークを経由する方法、各ネットワークにゲートウェイを設置しアドレス変換を行い共通の装置へアクセスする方法がある。
第１４図は、一時的にセキュリティが確保されていない状態に戻す場合の手法を示した図である。本図では、共通のアクセス先である装置６へＶＬＡＮからアクセスさせるために、ＶＬＡＮからネットワーク２３へルータ２２によってルーティングを行う場合を示している。この状態では、仮想ネットワーク５ａと仮想ネットワーク５ｂのセキュリティは保たれないこととなる。
第１５図は、共通の装置に各ネットワークのアドレスに対応したセキュリティ対応のインタフェースを複数用意する手法を示した図である。本図では、共通のアクセス先である装置６へＶＬＡＮからアクセスさせるために、装置６に仮想ネットワーク５ａ用のインタフェース２４ａと仮想ネットワーク５ｂ用のインタフェース２４ｂを装備した構成となっている。この場合、インタフェース２４ａ、２４ｂには、仮想ネットワーク５ａ、５ｂに所属するアドレスが割り当てられている必要がある。この構成では、入力ネットワーク毎に異なるアドレスを返すＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバ（図示せず）が必要となる。しかしながら、一般的なＤＮＳサーバでは問い合わせ元によって回答するアドレスを変更するのは困難である。また、ＤＮＳサーバをＩＳＰ毎に配備する手法も考えられるが現実的ではない。
第１６図は、外部ネットワークを介してアクセスする手法を示した図である。この構成では、共通のアクセス先である装置６のアドレスは第１５図の場合と異なり、入力ネットワークとは無関係になり１つとなる。しかしながらこの場合、通信パケットは無駄な経路を流れることとなる。すなわち、無駄なトラフィックの発生や、スループットの低下を発生させることとなる。本手法をホールセール事業者に適用する場合、高速回線で構成されているホールセール事業者内のネットワークと異なり、品質の低い外部ネットワークを介するので、サービスの品質が保てなくなる。
本発明は、そのような問題を解決するためになされたものであって、ネットワークのセキュリティを保ちつつ、共通の装置へのアクセスを可能にするネットワーク中継装置、ネットワーク中継方法、ネットワーク中継用プログラムを提供することを目的とする。
発明の開示
本発明は、複数のネットワークと接続されたネットワーク中継装置であって、前記複数のネットワークのうち、いずれかのネットワークから通信パケットが入力された場合、該通信パケットの所定の情報に基づいて、該通信パケットに対して所定のＶＬＡＮタグに関する処理を行うＶＬＡＮタグ処理手段と、前記所定の情報に基づいて、前記通信パケットの送信元のアドレスを変換する第１アドレス変換手段と、少なくとも前記ＶＬＡＮタグ処理手段による処理、或いは前記第１アドレス変換手段によるアドレス変換のいずれかがなされた通信パケットを所定の仮想ネットワークに出力する第１出力手段とを備えてなるネットワーク中継装置を提供する。
このような構成によれば、ＶＬＡＮを使用してネットワーク間のセキュリティを確保した場合であっても、通信パケットに対しＶＬＡＮタグについて共通の装置に対応した処理を行い、且つ送信元アドレスに対しても適切な処理を実行することにより各ネットワークから共通の装置へのアクセスが可能になる。また、従来の方法では、共通の装置に対してアクセスさせる場合、共通の装置に複数のインタフェースや複数のネットワークアドレス、名前解決を行う為に複数の設定をＤＮＳサーバに行うといった複雑な設定が必要となるか、外部ネットワークを経由してのアクセスとなるが、本発明によれば、複雑な設定は不要であり、更に外部ネットワークを経由することもないため、無駄なトラフィックの発生や、スループットの低下を防止することが可能となる。
なお、本発明の実施の形態において、ＶＬＡＮタグ処理手段は、中継装置のＶＬＡＮタグ付加部或いはＶＬＡＮタグ書換部により構成され、第１アドレス変換手段は、アドレス変換部により構成され、第１出力手段は、入出力部により構成される。また、実施の形態において、所定の情報は、中継装置の記憶部内に格納される。
更に、本発明に係るネットワーク中継装置において、前記ＶＬＡＮタグ処理手段は、前記入力された通信パケットに、所定のＶＬＡＮタグを付加するＶＬＡＮタグ付加手段を備えてなる。
このような構成によれば、仮想ネットワークに対応していないネットワークからの通信パケットであっても、ＶＬＡＮタグを付加することにより、仮想ネットワークに出力することができるため、セキュリティを確保しつつ、共通の装置へのアクセスが可能となる。本発明の実施の形態において、ＶＬＡＮタグ付加手段は、ＶＬＡＮタグ付加部に相当する。
また、本発明に係るネットワーク中継装置において、前記ＶＬＡＮタグ処理手段は、前記入力された通信パケットの送信元ネットワークが、ＶＬＡＮタグを用いた仮想ネットワークである場合に、前記入力された通信パケットに既に付加されているＶＬＡＮタグを所定のＶＬＡＮタグに書き換える第１ＶＬＡＮタグ書換手段を備えてなる。
このような構成によれば、入力ネットワークが通常のネットワークであるか仮想ネットワークであるかに関わらず、通信パケットに付加すべきＶＬＡＮタグを適切なものとすることができるため、セキュリティの確保が確実になる。なお、本発明の実施の形態において、第１ＶＬＡＮタグ書換手段は、ＶＬＡＮタグ書換部或いは第１ＶＬＡＮタグ書換部に相当する。
更に、本発明に係るネットワーク中継装置において、前記所定の情報は、少なくとも前記通信パケットの送信元ネットワーク或いは宛先に関する情報のいずれかである。
このような構成によれば、通信パケットの宛先が共通にアクセスする装置であるか否かに応じて、ＶＬＡＮタグを付加或いは書き換えることができるため、確実に共通の装置にアクセスすることが可能となる。
また、本発明に係るネットワーク中継装置において、前記ＶＬＡＮタグ付加手段は、前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合、該装置に対応するＶＬＡＮタグを前記通信パケットに付加する。
このような構成によれば、共通の装置を収容する仮想ネットワークのタグを、通信パケットに付加することができるため、セキュリティを確保しつつ確実に通信パケットを共通の装置へ送信することが可能となる。
更に、本発明に係るネットワーク中継装置において、前記第１アドレス変換手段は、前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合は、該装置に対応するネットワークを送信元ネットワークとしたアドレスに前記通信パケットの送信元のアドレスを変換する。
このような構成によれば、通信パケットの送信元のアドレスを、共通の装置を収容する仮想ネットワークのアドレスとすることができるため、セキュリティを確保しつつ確実に共通の装置へアクセスすることが可能となる。
また、本発明に係るネットワーク中継装置において、前記第１アドレス変換手段は、所定の外部装置内に設けられ、該外部装置には更に、前記第１出力手段により出力された通信パケットを入力する入力手段と、前記入力手段により入力された通信パケットの前記所定の情報に基づいて、前記入力された通信パケットに既に付加されているＶＬＡＮタグを所定のＶＬＡＮタグに書き換える第２ＶＬＡＮタグ書換手段と、少なくとも前記ＶＬＡＮタグ処理手段による処理、或いは前記第１アドレス変換手段によるアドレス変換のいずれかがなされた通信パケットを前記所定の仮想ネットワークに出力する第２出力手段とを備え、前記第１アドレス変換手段は、前記入力手段により入力された通信パケットに対して、送信元アドレス変換を行う。
このような構成によれば、システムに負荷のかかるアドレス変換処理を外付けにすることができ、通過性能低下を防止することができる。特に大規模ネットワークの接続点においては、高通過性能が要望されるため、その点で本構成は非常に有効である。また、ネットワークの高速化にも十分対応できる。なお、本発明の実施の形態において、入力手段及び第２出力手段は入出力部に相当し、第２ＶＬＡＮタグ書換手段はＶＬＡＮタグ書換部或いは第２ＶＬＡＮタグ書換部に相当する。
更に、本発明に係るネットワーク中継装置において、前記第１アドレス変換手段による変換後のアドレス及び変換前のアドレスを対応付けて記憶する記憶手段と、前記記憶手段に記憶されたデータに基づいて、前記通信パケットに対する返信パケットの宛先を変換する第２アドレス変換手段を備えてなる。
また、本発明に係るネットワーク中継装置において、前記第２アドレス変換手段は、前記通信パケットに対する返信パケットの宛先を、前記記憶手段に記憶された変換前のアドレスに変換する。
このような構成によれば、通信パケットの送信元のユーザ端末に対して共通の装置から通信パケットを送信する場合に、送信元アドレス（宛先アドレス）を変換前のアドレスに戻して元のネットワークに出力することができるため、確実に送信元のユーザ端末に通信パケットを届けることができる。なお、本発明の実施の形態において、記憶手段は記憶部により構成され、第２アドレス変換手段は、アドレス変換部により構成される。
更に、本発明に係るネットワーク中継装置において、前記記憶手段と前記第２アドレス変換手段は所定の外部装置内に設けられている。
このような構成によれば、システムに負荷の係るアドレス変換処理を外付けにすることができ、通過性能低下を防止することができる。特に大規模ネットワークの接続点においては、高通過性能が要望されるため、その点で本構成は非常に有効である。また、ネットワークの高速化にも十分対応できる。
また、本発明に係るネットワーク中継装置において、前記複数のネットワークは、仮想ネットワークを含む。
このような構成によれば、実ネットワーク及び仮想ネットワークを問わず、様々なネットワークに柔軟に対応してセキュリティ確保の処理及び共通装置へのアクセスのためのタグ処理或いはアドレス変換処理を円滑に行うことができ、汎用性が高い。
また、本発明に係るネットワーク中継装置において、更に、前記複数のネットワークのうち、いずれかのネットワークから通信パケットが入力された場合、該通信パケットの送信元のユーザを送信元ネットワーク毎に認証する認証手段を備え、前記第１出力手段は、前記認証手段により認証された場合にのみ、前記通信パケットを出力する。
このような構成によれば、ネットワーク中継装置がユーザ端末から直接接続要請を受信して認証作業を行うことができるため、通信パケットをユーザ端末から即座に仮想ネットワークに収容させることができ、入力ネットワーク側の負荷が軽くなる。例えば、ホールセール事業者などでは、従来よりユーザ認証機能を統合することにより認証時から一貫してセキュリティを確保しているが、共通の装置へアクセスする場合、従来はネットワーク毎に共通の装置にインタフェースを確保するなどの手法を取るか、確保したセキュリティを一旦解除する必要があった。本構成をとることにより、そうした問題は解決され、セキュリティ確保及び共通の装置へのアクセスをより容易に実現することができる。なお、本発明の実施の形態において、認証手段は認証部に相当する。
また、本発明は、複数のネットワークのうち、いずれかのネットワークから通信パケットが入力された場合、該通信パケットの所定の情報に基づいて、該通信パケットに対して所定のＶＬＡＮタグを付加するＶＬＡＮタグ付加ステップと、前記通信パケットに既にＶＬＡＮタグが付加されている場合に、前記所定の情報に基づいて該ＶＬＡＮタグを書き換えるＶＬＡＮタグ書換ステップと、前記所定の情報に基づいて、前記通信パケットの送信元のアドレスを変換する第１アドレス変換ステップと、少なくとも前記ＶＬＡＮタグ付加ステップ、前記ＶＬＡＮタグ書換ステップ、或いは前記アドレス変換ステップのいずれかのステップにおける処理がなされた通信パケットを所定の仮想ネットワークに出力する出力ステップとを備えてなるネットワーク中継方法を提供する。
更に、本発明に係るネットワーク中継方法において、前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合、前記ＶＬＡＮタグ付加ステップにより付加されたＶＬＡＮタグ、或いは前記ＶＬＡＮタグ書換ステップにより変換されたＶＬＡＮタグは、該装置に対応するＶＬＡＮタグとなる。
更に、本発明に係るネットワーク中継方法において、前記第１アドレス変換ステップは、前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合は、該装置に対応するネットワークを送信元ネットワークとしたアドレスに前記通信パケットの送信元のアドレスを変換する。
また、本発明に係るネットワーク中継方法は、更に、前記第１アドレス変換ステップによる変換後のアドレス及び変換前のアドレスを対応付けて所定の記憶領域に記憶する記憶ステップと、前記通信パケットに対する返信パケットを入力した場合、前記記憶領域に記憶されたデータに基づいて、前記通信パケットに対する返信パケットの宛先を変換する第２アドレス変換ステップを備えてなる。
また、本発明は、コンピュータにより読取り可能な媒体に記憶され、ネットワーク中継処理をコンピュータに実行させるネットワーク中継用プログラムであって、複数のネットワークのうち、いずれかのネットワークから通信パケットが入力された場合、該通信パケットの所定の情報に基づいて、該通信パケットに対して所定のＶＬＡＮタグを付加するＶＬＡＮタグ付加ステップと、前記通信パケットに既にＶＬＡＮタグが付加されている場合に、前記所定の情報に基づいて該ＶＬＡＮタグを書き換えるＶＬＡＮタグ書換ステップと、前記所定の情報に基づいて、前記通信パケットの送信元のアドレスを変換する第１アドレス変換ステップと、少なくとも前記ＶＬＡＮタグ付加ステップ、前記ＶＬＡＮタグ書換ステップ、或いは前記アドレス変換ステップのいずれかのステップにおける処理がなされた通信パケットを所定の仮想ネットワークに出力する出力ステップとをコンピュータに実行させるネットワーク中継用プログラムを提供する。
更に、本発明に係るネットワーク中継用プログラムにおいて、前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合、前記ＶＬＡＮタグ付加ステップにより付加されたＶＬＡＮタグ、或いは前記ＶＬＡＮタグ書換ステップにより変換されたＶＬＡＮタグは、該装置に対応するＶＬＡＮタグとなる。
更に、本発明に係るネットワーク中継用プログラムにおいて、前記第１アドレス変換ステップは、前記通信パケットの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合は、該装置に対応するネットワークを送信元ネットワークとしたアドレスに前記通信パケットの送信元のアドレスを変換する。
また、本発明に係るネットワーク中継用プログラムは、更に、前記第１アドレス変換ステップによる変換後のアドレス及び変換前のアドレスを対応付けて所定の記憶領域に記憶する記憶ステップと、前記通信パケットに対する返信パケットを入力した場合、前記記憶領域に記憶されたデータに基づいて、前記通信パケットに対する返信パケットの宛先を変換する第２アドレス変換ステップとをコンピュータに実行させる。
なお、本発明において、上記コンピュータにより読取り可能な媒体は、ＣＤ−ＲＯＭやフレキシブルディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカード等の可搬型記憶媒体や、コンピュータプログラムを保持するデータベース、或いは、他のコンピュータ並びにそのデータベースや、更に回線上の伝送媒体をも含むものである。
発明を実施するための最良の形態
以下、本発明の実施の形態を図を用いて詳細に説明する。
実施の形態１．
第１図は、本実施の形態におけるネットワーク中継手法の概要を示した図である。本図は、中継装置を除いて、従来の技術を示した上述の第１２図と同様の構成を有するものとする。図に示されるように、中継装置７は、各種ネットワークとの間の入出力インタフェースである入出力部１１と、各種データを記憶する記憶部１３と、入力された通信パケットにＶＬＡＮタグを付加するＶＬＡＮタグ付加部１５と、入力された通信パケットの送信元アドレスを変換するアドレス変換部１６と、ＶＬＡＮタグ付加部１５により付加されたＶＬＡＮタグを書き換えるＶＬＡＮタグ書換部１７とから構成されている。
本実施の形態の処理の概要を説明すると、第１図にあるように中継装置７に接続されているネットワーク１ａ、１ｂからの通信パケットを仮想ネットワーク５ａ、５ｂに振り分ける。この振り分け時に通信パケットの宛先が共通にアクセスする装置６の場合、仮想ネットワーク５ｃに振り分け、送信元アドレスも仮想ネットワーク５ｃのアドレスに変更する。これにより、装置６への通信パケットは仮想ネットワーク５ｃとして他のネットワークから分離され、ユーザ端末１２ａや１２ｂは装置６へのアクセスが可能となる。また、装置６から送信元への通信パケットは中継装置７に戻ってくるため、中継装置７では変更されたアドレスを元の送信元アドレスにして宛先を書き換え、元のネットワーク１ａまたは１ｂへ通信パケットを出力する。
以下、具体的な手法を示す。ユーザ端末１２ａまたは１２ｂから共通の装置６へアクセスする場合、まず、ユーザ端末側から名前解決の問い合わせをＤＮＳサーバ９に対して行う。外部ネットワーク１０に存在するＤＮＳサーバ９は装置６のアドレスを問い合わせのあったユーザ端末に回答する。ユーザ端末１２ａまたは１２ｂは、ＤＮＳサーバ９から取得したアドレスへアクセスを開始する。なお、ここではアドレスを、「所属するネットワーク−端末番号」（第１図では「５ｃ−６」）と表現する。
中継装置７では、入出力部１１を介して、ネットワーク１ａ或いは１ｂから通信パケットを取得すると、ＶＬＡＮタグ付加部１５は記憶部１３に格納された設定情報に基づいて、仮想ネットワークのＶＬＡＮタグを決定し、通信パケットに対して該ＶＬＡＮタグを付加する。第２図は、該設定情報の一例である。例えば、ネットワーク１ａからの通信パケットであれば、ＶＬＡＮタグ付加部１５は、第２図から入力ネットワークが１ａのレコードを参照して、「出力ネットワーク用ＶＬＡＮタグ」の項目に格納されたデータ（５ａ）を取得する。この５ａをＶＬＡＮタグとして通信パケットに付加する。
続いて、ＶＬＡＮタグ変換部１７が、通信パケットの宛先アドレスを確認し、記憶部１３に格納された設定情報に基づいて付加されたＶＬＡＮタグを書き換える。第３図は、該設定情報の一例である。例えば、通信パケットの入力ネットワークが１ａであり、宛先アドレスが装置６のアドレス（第３図においては「６」）であった場合には、該当のレコード（第３図では１項）を参照して、出力ネットワーク用ＶＬＡＮタグの項目に格納されたデータ（５ｃ）を取得する。ＶＬＡＮタグ書換部１７は、ＶＬＡＮタグを５ｃに書き換える。なお、第３図の２項、４項に示される宛先アドレス０は、装置６以外の任意の端末アドレスを意味する。宛先アドレスが０の場合には、ＶＬＡＮタグ付加部１５により付加されたＶＬＡＮタグをそのまま用いればよいため、書換処理は行われない。
また、アドレス変換部１６は、第３図に基づいて通信パケットの送信元アドレスを書き換える。例えば、通信パケットの宛先アドレスを確認し、宛先アドレスが装置６のアドレス（第１図においては「６」）であった場合には、送信元アドレスを装置６が属する仮想ネットワークのアドレスに書き換える。すなわち、第３図において、宛先アドレスが６であり、入力ネットワークが１ａの通信パケットに対しては、「５ａ−２ａ」となっていた送信元アドレスを「５ｃ−１２ａ」に書き換え（変換す）る。
このＶＬＡＮタグと変換されたアドレスにより、中継装置７から出力された装置６行きの通信パケットは、仮想ネットワーク５ｃを通り、装置６へと届く。
また、装置６から、ユーザ端末１２ａ或いは１２ｂへの通信パケットは、仮想ネットワーク５ｃを通り中継装置７に入力される。中継装置７のアドレス変換部１６では第３図の設定情報から、入力された通信パケットについて、本来のユーザ端末のアドレス（図では送信元ネットワークアドレス）を検索し、宛先アドレスを書き換える。また、ＶＬＡＮタグ付加部１５は通信パケットに付加されているＶＬＡＮタグを削除する。ここで、入出力部１１から通信パケットが元のネットワークへ出力される。上述した例で言えば、アドレス変換部１６は、宛先アドレスを、変換後の送信元ネットワークアドレス（５ｃ−１２ａ）から、元の送信元ネットワークアドレス（１ａ−１２ａ）に書き換える。更に、ＶＬＡＮタグ付加部１５はＶＬＡＮタグ５ｃを消去し、入出力部１１がネットワーク１ａにパケットを出力する。
以上の処理により、ネットワーク１ａと１ｂのセキュリティが保持され、且つ共通の装置へのアクセスが可能となる。
なお、本実施の形態では、第２図及び第３図の双方を用いることにより処理を行ったが、第３図のみを用いて直接ＶＬＡＮタグを決定してもよい。この場合は第２図は不要となる。
また、設定情報は第３図のような形態に限定されない。しかしながら、アドレス変換部１６による変換処理により変換前と変換後のアドレスが異なることとなった場合、その対応表は必ず内部で保持する必要がある。なお、全ての通信が終わるか、エラーがあった場合など、データが必要ではなくなった場合には、対応表の該当項目を消去するようにしてもよい。
第４図は、第１図のネットワーク中継手法を、ホールセール事業者に適用した場合の図である。図中の点線で囲まれた部分がホールセール事業者のネットワーク３０である。ここで、ユーザ端末１２ａを持つユーザは、ＩＳＰ−Ａ（外部接続ネットワーク１８ａ）と契約しており、ユーザ端末１２ｂを持つユーザは、ＩＳＰ−Ｂ（外部接続ネットワーク１８ｂ）と契約しているとする。ＩＳＰ−Ａ、ＩＳＰ−Ｂは、インターネット（外部ネットワーク１０）におのおの接続している。ホールセール事業者は、ユーザとＩＳＰ−Ａ、ＩＳＰ−Ｂとの間の回線接続を提供している。
ＩＳＰ−Ａのユーザ端末である１２ａとＩＳＰ−Ｂのユーザ端末である１２ｂは、契約しているＩＳＰが異なるので、異なるアドレス体系のネットワークに存在していることとなる。また、セキュリティの問題からＩＳＰ−ＡのユーザとＩＳＰ−Ｂのユーザを同じネットワークに存在させ、相互アクセスをホールセール事業者内のネットワークで行うことはできない。従って、ここでは、ＩＳＰ別の仮想ネットワーク５ａ、５ｂにユーザを収容して、ユーザのセキュリティを確保している。そして仮想ネットワーク５ａ、５ｂは、各々ＩＳＰ−Ａ、ＩＳＰ−Ｂ向けにゲートウェイを有しており、それぞれのＩＳＰに接続されている。
ホールセール事業者が、自社と契約しているユーザ向けに、共通の装置６からのサービスを提供する場合、ＩＳＰ別に異なる仮想ネットワークにユーザを収容するため、ネットワークセキュリティを保ったまま装置６にアクセスさせるには、従来の手法では、各々の仮想ネットワークに装置６が個別のアドレスで接続するか、一旦外部ネットワーク（インターネット）を介してアクセスさせるしか方法がない。しかしながら、本発明によれば、中継装置に入力された通信パケットに適宜ＶＬＡＮタグを付加し、送信元アドレスを変換することによって、ネットワーク間のセキュリティを保ちつつ、外部ネットワーク経由による無駄なトラフィックを発生させることなく、アクセス先装置に複数の個別アドレスを設定するなど複雑な設定を行うことなく、共通の装置へのアクセスを可能にする。
実施の形態２．
本実施の形態は、実施の形態１とほぼ同様の構成であるが、接続されているネットワークが仮想ネットワークである場合を示している。すなわち、接続されているネットワークが既に仮想ネットワークなので、共通の装置宛ではない通信パケットは、入力ネットワークと同じ仮想ネットワークに出力することも可能である。もちろん、新しい仮想ネットワークに変換することも可能である。
第５図は、本実施の形態を簡略的に示した図である。
中継装置７のＶＬＡＮタグ付加部１５は、入力された通信パケットに既にＶＬＡＮタグが付加されているか否かを確認する。図中のネットワーク２ａ及び２ｂが既にＶＬＡＮタグが付加された仮想ネットワークであれば、ＶＬＡＮタグが付加されているものとされ、付加処理は行われない。ここで、入力ネットワークと同じ仮想ネットワークに出力する場合には、ＶＬＡＮタグの書換は行うことはないが、別の仮想ネットワークに出力する場合には、ＶＬＡＮタグ書換部１７によりタグの書換を行う。本書換処理は、例えば、記憶部１３に記憶された第６図のテーブルを用いて書き換えられる。
ＶＬＡＮタグを用いない仮想ネットワークである場合には、記憶部１３に記憶された第６図の設定情報を用いて、ＶＬＡＮタグを付加する。
続いて、ＶＬＡＮタグ書換部１７によるＶＬＡＮタグ書換処理及びアドレス変換部１６によるアドレス変換処理が第７図の設定情報を用いて行われるが、本処理は、上述した実施の形態１と同様であるため、説明を省略する。
なお、入力ネットワークが既にＶＬＡＮタグが付加されているネットワークである場合、ＶＬＡＮタグ書換部１７では、既に付加されているＶＬＡＮタグを確認し、適宜ＶＬＡＮタグを書き換えるが、共通の装置宛ではない通信パケットについては、入力ネットワークと同じ仮想ネットワークに出力するようにしてもよい（すなわち、タグ書換処理を行わない）。この場合には、第６図は不要である。もちろん、新しい仮想ネットワークに変換することも可能であり、この場合には、ＶＬＡＮタグが第６図或いは第７図を用いてＶＬＡＮタグを書き換えることとなる。
なお、そうした送出先仮想ネットワークの決定を、ＶＬＡＮタグ付加部１５が、任意に行うようにしてもよい。すなわち、通信パケットをネットワーク毎にＶＬＡＮに振り分けるか（ネットワーク２ａからの通信は仮想ネットワーク５ａへ、ネットワーク２ｂからの通信は仮想ネットワーク５ｂへ振り分ける。）、もとの仮想ネットワーク（２ａ，２ｂ）のままにするかを決定するようにする。
更に、中継装置７に接続されるネットワークに、実ネットワークと仮想ネットワークの双方が存在していても、上述した手法を用いることによって、適切なネットワーク中継を行うことができる。
実施の形態３．
本実施の形態では、上述した中継装置の機能のうち、ＶＬＡＮタグ付加部の機能を有する部分と、アドレス変換部とＶＬＡＮタグ書換部の機能を有する部分とをそれぞれ別な装置として設備し、ネットワーク中継を行う場合を例にとり説明する。
第８図は、本実施の形態を簡略的に示した図である。
中継装置以外は、第１図と同様である。第１図での中継装置７は、第８図の中継装置７ａと、アドレス変換装置７ｂとに相当する。図示されるように、中継装置７ａは、入出力部１１ａと、記憶部１３ａと、ＶＬＡＮタグ付加部１５とから構成されている。アドレス変換装置７ｂは、入出力部１１ｂと、記憶部１３ｂと、アドレス変換部１６と、ＶＬＡＮタグ書換部１７とから構成されている。
以上の構成を用いて、本実施の形態の手法を詳細に説明する。
中継装置７にネットワーク１ａ或いは１ｂから通信パケットが入力されるまでの処理は、実施の形態１と同様であるため説明を省略する。中継装置７ａに通信パケットが入力されると、該入力された通信パケットにＶＬＡＮタグ付加部１５が記憶部１３ａに記憶された設定情報に基づいてＶＬＡＮタグを付加する。該設定情報は、第２図と同様である。ＶＬＡＮタグが付加された時点で、入出力部１１ａから通信パケットが出力される。
中継装置７ａから出力された通信パケットは、仮想ネットワーク上に出力され、この時にアドレス変換装置７ａに入力される。なお中継装置７ａから出力された通信パケットは全て、一旦アドレス変換装置７ｂで処理される。アドレス変換装置７ｂのＶＬＡＮタグ書換部１７は、記憶部１３ｂに記憶された設定情報に基づき、通信パケットの宛先が共通にアクセスする装置６の場合には、ＶＬＡＮタグを仮想ネットワーク５ｃに書き換え、アドレス変換部１６は、送信元アドレスを仮想ネットワーク５ｃのアドレスに変更する。該設定情報の一例を第９図に示す。なお、宛先が共通の装置６でない場合には、アドレス変換装置７ｂでは何の処理もなされない。
これにより、装置６への通信パケットは、仮想ネットワーク５ｃとして他のネットワークから分離され、ネットワーク１ａ或いはネットワーク１ｂから装置６へアクセスすることができる。
装置６から送信元への通信パケットは、アドレス変換装置７ｂに戻ってくるため、アドレス変換部１６は第９図のデータを参照して、元の送信元アドレスに宛先を書き換え、仮想ネットワーク５ａ，５ｂに出力される。この時点ではＶＬＡＮタグは消去されない。通信パケットが仮想ネットワークを介して中継装置７ａに入力された時点で、ＶＬＡＮタグ付加部１５がＶＬＡＮタグを消去し、入出力部１１ａから元のネットワーク１ａまたは１ｂへ通信パケットが出力される。
このように、アドレス変換部の機能を分離することにより、通過性能が向上する。特に大規模ネットワークの接続点では、高通過性能が求められるが、アドレス変換など中継装置に負荷のかかる処理が通過性能低下の原因となることがあるため、そうした処理を外付けに設備することにより、通過性を高く維持することが可能となる。
実施の形態４．
本実施の形態は、実施の形態３とほぼ同様の構成であるが、接続されているネットワークが仮想ネットワークである場合を示している。すなわち、接続されているネットワークが既に仮想ネットワークなので、共通の装置宛ではない通信パケットは、入力ネットワークと同じ仮想ネットワークに出力することも可能である。もちろん、新しい仮想ネットワークに変換することも可能である。
第１０図は、本実施の形態を簡略的に示した図である。
中継装置７ｃは、ＶＬＡＮタグ付加部１５と第１ＶＬＡＮタグ書換部１７ａとから構成される。また、アドレス変換装置７ｄはアドレス変換装置１６と第２ＶＬＡＮタグ書換部１７ｂとから構成される。なお、第１ＶＬＡＮタグ書換部１７ａ及び第２ＶＬＡＮタグ書換部１７ｂは、上述の実施の形態のＶＬＡＮタグ書換部１７と同様の処理を行うこととする。
中継装置７ｃのＶＬＡＮタグ付加部１５は、入力された通信パケットに既にＶＬＡＮタグが付加されているか否かを確認する。図中のネットワーク２ａ及び２ｂが既にＶＬＡＮタグが付加された仮想ネットワークであれば、ＶＬＡＮタグが付加されているものとされ、付加処理は行われない。ここで、入力ネットワークと同じ仮想ネットワークに出力する場合には、ＶＬＡＮタグの書換は行うことはないが、別の仮想ネットワークに出力する場合には、第１ＶＬＡＮタグ書換部１７ａによりタグの書換を行う。本書換処理は、例えば、記憶部１３ａに記憶された第６図のテーブルを用いて書き換えられる。
また、入力ネットワークがＶＬＡＮタグを用いない仮想ネットワークである場合には、同様に、記憶部１３ａに記憶された第６図の設定情報を用いて、ＶＬＡＮタグを付加する。
ＶＬＡＮタグ付加及び書換処理が行われると、通信パケットは仮想ネットワークに出力される。続いて、通信パケットはアドレス変換装置７ｄに入力されるが、以降の処理は、実施の形態３と同様であるため、説明を省略する。
なお、中継装置７に接続されるネットワークに、実ネットワークと仮想ネットワークの双方が存在していても、上述した手法を用いることによって、適切なネットワーク中継を行うことができる。
実施の形態５．
本実施の形態では、上述した実施の形態の中継装置にユーザ認証の機能を持たせた場合を例にとり詳細に説明する。すなわち、ユーザ認証機能を中継装置に統合し、ＩＳＰや組織と共通にアクセスする装置の仮想ネットワークに分離収容して、該装置へのアクセスを可能にする。
第１１図は、本実施の形態を簡略的に示した図である。本図に示された中継装置７ｅは、実施の形態１に示された中継装置７に認証部１４が付加された構成となっている。
中継装置７ｅでは、接続されているユーザ端末１２ａ，１２ｂからの接続要請を受信すると、認証部１４で接続の可否を確認し、認証が取れた端末からの通信パケットのみ取り扱う。認証が取れた端末からの通信パケットは、ＩＳＰやネットワーク単位でＶＬＡＮに収容するため、上述の実施の形態と同様に、ＶＬＡＮタグ付加処理及びアドレス変換処理を行う。これ以降の処理は、上述の実施の形態と同様であるため、説明を省略する。
具体的にホールセール事業者に適用した場合、例えば、第４図に示されたホールセール事業者のネットワーク３０を例にとると、中継装置に第１１図の中継装置７ｅを適用すれば、中継装置がユーザ端末から直接接続要請を受信して認証作業を行うことができるため、通信パケットをユーザ端末から即座に仮想ネットワークに収容させることができ、入力ネットワーク側の負荷が軽くなる。
なお、上記認証部は、本実施の形態では中継装置の内部に組み込まれるようにしたが、別装置として外部に設備し連携するようにしてもよいのは言うまでもない。
以上、本発明の様々な実施の形態を説明したが、本発明は上述した実施の形態に限定されることはなく、本発明の要旨を逸脱しない範囲において応用可能であることはもちろんである。
例えば、本発明の中継装置は、ネットワークインタフェースや形態に固定観念はなく、１つまたは、複数のネットワークインタフェースを持つスイッチングハブやハブのような形態から、１つまたは複数のポートを持つコンピュータとそのソフトウェアといった形態でも構成可能である。すなわち、詳述した機能をコンピュータ上で実行するためのプログラムを、例えば中継装置の記憶部等にインストールしておき、或いは接続されたネットワークからダウンロードする等の処理を行い、実行するようにしてもよい。具体的には、中継装置に備えられたハードディスク等の記憶媒体（上述した実施の形態では記憶部に相当する）や、その他のコンピュータにより読取り可能な媒体、例えばＣＤ−ＲＯＭやフレキシブルディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカード等の可搬型記憶媒体や、コンピュータプログラムを保持するデータベース、或いは、他のコンピュータ並びにそのデータベースや、更に回線上の伝送媒体（全て図示せず）からプログラムを取得し、実行することでネットワーク中継を行うようにする。
また、入出力ネットワークと本発明における中継装置との関係は、単なるハブやスイッチ、ブリッジ的な関係から、ネットワーク間のルータとなる関係、ルーティングは行わないが特定アプリケーションのゲートウェイとなる関係でも問題はない。よってルータに本中継機能を実装することも可能である。
更に、ネットワークインタフェースは、入力と出力が対になる必要はなく、仮想ネットワークによって１つのインタフェースに複数の入出力ネットワークを構成することが可能である。
更に、入力側ネットワークは、１つまたは複数のネットワークだけでなく、１つまたは複数の仮想ネットワーク、または実ネットワークと仮想ネットワークの混在も可能である。そして識別子やインタフェースなどによってネットワークが識別可能であれば、各入力ネットワークのアドレスが重複していても問題はない。また複数の入力ネットワークを１つのネットワークとして扱うことも可能である。
一方、出力側ネットワークも、１つまたは複数のネットワークだけでなく、１つまたは複数の仮想ネットワーク、または実ネットワークと仮想ネットワークの混在も可能である。また、識別子やインタフェース等によってネットワークが識別可能であれば、各出力ネットワークのアドレスが重複していても問題はない。
なお、ＶＬＡＮ振り分けは、タグＶＬＡＮだけでなく、ポートＶＬＡＮとすることも可能である。またＶＬＡＮに振り分けず１つまたは複数のネットワークに振り分けて出力することも可能である。
更に、ルーティング機能を動作させない場合であれば、入力ネットワーク間のアクセスを禁止することが可能である。
産業上の利用の可能性
以上説明したように、本発明によれば、異なるネットワークからの通信パケットを、セキュリティを確保した出力ネットワークに分離して収容することが可能となる。更に、この状態において、各入力ネットワークから共通の装置にアクセスが可能となるので、企業や学校、ホールセール事業者やＩＳＰなど、ネットワーク間アクセスを禁止しセキュリティを確保すべき複数のネットワークが存在する環境において、共通の装置からサービスを提供することができる。また、共通の装置は、一つのアドレスが与えられればアクセスが可能となるので、１つまたは複数のＤＮＳサーバ等に対し複雑な設定をする必要がなくなるというメリットがある。更に、共通装置へのアクセスは、外部ネットワークを経由することなく直接行われるので、セキュリティが確保されるほか、品質の低い外部ネットワークを経由することによるアクセス品質の低下を防ぐことができる。
【図面の簡単な説明】
第１図は、実施の形態１におけるネットワーク中継手法の概要を示した図である。
第２図は、実施の形態１のＶＬＡＮタグに関する設定情報の一例である。
第３図は、実施の形態１のＶＬＡＮタグ及びアドレスに関する設定情報の一例である。
第４図は、第１図のネットワーク中継手法を、ホールセール事業者に適用した場合の図である。
第５図は、実施の形態２の概要を簡略的に示した図である。
第６図は、実施の形態２のＶＬＡＮタグに関する設定情報の一例である。
第７図は、実施の形態２のＶＬＡＮタグ及びアドレスに関する設定情報の一例である。
第８図は、実施の形態３の概要を簡略的に示した図である。
第９図は、実施の形態３のＶＬＡＮタグ及びアドレスに関する設定情報の一例である。
第１０図は、実施の形態４の概要を簡略的に示した図である。
第１１図は、実施の形態５の概要を簡略的に示した図である。
第１２図は、ＶＬＡＮを用いてセキュリティを確保した従来の手法の一例である。
第１３図は、Ｌ２ＴＰを用いてセキュリティを確保した従来の手法の一例である。
第１４図は、共通の装置へのアクセスを可能にするために、一時的にセキュリティが確保されていない状態に戻す場合の手法を示した図である。
第１５図は、共通の装置に各ネットワークのアドレスに対応したセキュリティ対応のインタフェースを複数用意する手法を示した図である。
第１６図は、外部ネットワークを介して共通の装置へアクセスする手法を示した図である。
【図１】
2003098880.tif 000003
【図２】
2003098880.tif 000004
【図３】
2003098880.tif 000005
【図４】
2003098880.tif 000006
【図５】
2003098880.tif 000007
【図６】
2003098880.tif 000008
【図７】
2003098880.tif 000009
【図８】
2003098880.tif 000010
【図９】
2003098880.tif 000011
【図１０】
2003098880.tif 000012
【図１１】
2003098880.tif 000013
【図１２】
2003098880.tif 000014
【図１３】
2003098880.tif 000015
【図１４】
2003098880.tif 000016
【図１５】
2003098880.tif 000017
【図１６】
2003098880.tif 000018
【国際調査報告】
2003098880.tif 000019
2003098880.tif 000020