(57)【要約】【課題】セキュリティを確保しつつ、複数のユーザサイトを跨いだ共通の情報基盤の下でクラウドサービスを利用できるようにする。【解決手段】ユーザ側ＮＷ５２のユーザ側第２ＮＡＴ装置３１２は、情報処理サービスの要求パケットをユーザ装置３０からユーザ側ＮＷ５２を介して受信すると、予め設定された変換規則に従って、当該要求パケットのヘッダのユーザ側ＮＷ５２のプライベートアドレスで表記された送信元アドレスを、クラウド側ＮＷ５１のプライベートアドレスで表記された送信元アドレスに変換する。ユーザ側ＶＰＮ装置３１１は、変換後の要求パケットをＶＰＮ通信によりインターネット５を介してクラウド側ＶＰＮ装置２１に送信する。クラウド側ＶＰＮ装置２１は、受信したＶＰＮパケットのカプセル化を解除して要求パケットを取得し、これをクラウド側ＮＷ５１を介してサーバ装置２０に送信する。
2015068255.tif 000002
【特許請求の範囲】
【請求項１】
情報処理サービスを提供する提供サイトの通信ネットワークである提供側ネットワークに接続するサーバ装置と、
インターネットを介して前記提供側ネットワークと通信可能に接続する、前記情報処理サービスを利用するユーザサイトの通信ネットワークであるユーザ側ネットワークに接続し、前記サーバ装置にアクセスして前記情報処理サービスを利用するユーザ装置と、
前記提供側ネットワークに接続する提供側ＶＰＮ装置と、
前記ユーザ側ネットワークに接続し、前記提供側ＶＰＮ装置と共に前記インターネットを介したＶＰＮ通信を実現するユーザ側ＶＰＮ装置と、
前記ユーザ側ネットワークに接続するユーザ側第２アドレス変換装置と、
を備え、
前記ユーザ側第２アドレス変換装置は、前記ユーザ装置から、前記サーバ装置に対して前記情報処理サービスの利用を要求するパケットである要求パケットを前記ユーザ側ネットワークを介して受信すると、予め設定された変換規則に従って、当該要求パケットの、前記ユーザ側ネットワークの通信に用いるヘッダに設定されている、前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレスに変換し、
前記ユーザ側ＶＰＮ装置は、前記変換後の前記要求パケットをカプセル化したパケットであるＶＰＮパケットを、前記ＶＰＮ通信によりインターネットを介して前記提供側ＶＰＮ装置に送信し、
前記提供側ＶＰＮ装置は、前記ＶＰＮパケットを受信すると、当該ＶＰＮパケットのカプセル化を解除して前記要求パケットを取得し、取得した前記要求パケットを、前記提供側ネットワークを介して前記サーバ装置に送信する
ネットワークシステム。
【請求項２】
請求項１に記載のネットワークシステムであって、
前記ユーザ側ネットワークは複数存在し、
前記ユーザ側ネットワークの夫々に接続する、前記ユーザ装置、前記ユーザ側ＶＰＮ装置、及び前記ユーザ側第２アドレス変換装置を含み、
前記ユーザ側第２アドレス変換装置の夫々の前記変換規則は、前記ユーザ側ネットワークの夫々に接続する前記ユーザ側第２アドレス変換装置が、前記要求パケットのヘッダの前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記ユーザ側ネットワーク間で固有の前記提供側ネットワークのプライベートアドレスに変換するように設定されている
ネットワークシステム。
【請求項３】
請求項１又は２に記載のネットワークシステムであって、
前記ユーザ側第２アドレス変換装置は、前記要求パケットを受信すると、予め設定された変換規則に従って、当該要求パケットのヘッダに設定されている送信先ポート番号を、前記サーバ装置が前記情報処理サービスの識別に用いるポート番号である提供サイト側のポート番号に変換する
ネットワークシステム。
【請求項４】
請求項３に記載のネットワークシステムであって、
前記ユーザ側ＶＰＮ装置は、前記サーバ装置が前記情報処理サービスの識別に用いるポート番号と前記提供側ＶＰＮ装置のグローバルアドレスとの対応を記憶し、前記要求パケットの前記変換後のポート番号に対応する前記グローバルアドレスを宛先として前記ＶＰＮパケットを前記ＶＰＮ通信により送信する
ネットワークシステム。
【請求項５】
請求項１又は２に記載のネットワークシステムであって、
前記ユーザ側ＶＰＮ装置は、前記ユーザ側ネットワークのプライベートアドレスと前記ＶＰＮ通信の制御方法との対応を記憶し、前記要求パケットの前記変換前の前記ユーザ側ネットワークのプライベートアドレスで表記された前記送信元アドレスに対応する前記制御方法に従って前記ＶＰＮ通信を行う
ネットワークシステム。
【請求項６】
請求項１に記載のネットワークシステムであって、
前記ユーザ側ネットワークと前記インターネットとの間に介在し、前記ユーザ側ネットワークと前記インターネットとの間で送受信されるパケットについて、前記ユーザ側ネットワークのプライベートアドレスと前記インターネットのグローバルアドレスとの相互変換を行うユーザ側第１アドレス変換装置を更に備え、
前記ユーザ側ＶＰＮ装置は、前記ユーザ側第１アドレス変換装置を介して前記提供側ＶＰＮ装置と前記ＶＰＮ通信を行う
ネットワークシステム。
【請求項７】
請求項１又は２に記載のネットワークシステムであって、
前記サーバ装置は、受信した前記要求パケットの前記ヘッダに設定されている、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレスを送信先アドレスとしてヘッダに設定した応答パケットを、前記提供側ネットワークを介して前記提供側ＶＰＮ装置に送信し、
前記提供側ＶＰＮ装置は、前記応答パケットをカプセル化したパケットであるＶＰＮパケットをＶＰＮ通信により前記ユーザ側ＶＰＮ装置に送信し、
前記ユーザ側ＶＰＮ装置は、前記ＶＰＮパケットを受信するとカプセル化を解除して前記応答パケットを取得し、取得した前記応答パケットを前記ユーザ側第２アドレス変換装置に送信し、
前記ユーザ側第２アドレス変換装置は、前記変換規則を参照し、当該応答パケットのヘッダに設定されている、前記提供側ネットワークのプライベートアドレスで表記された送信先アドレスを、前記ユーザ側ネットワークのプライベートアドレスで表記された送信先アドレスに変換し、変換後の応答パケットを、前記ユーザ側ネットワークを介して前記ユーザ装置に送信する
ネットワークシステム。
【請求項８】
請求項１に記載のネットワークシステムであって、
前記ユーザ側第２アドレス変換装置は、ユーザインタフェースを介して受け付けた更新指示に応じて、又は、前記提供側ネットワークに接続する情報処理装置もしくは前記ユーザ側ネットワークに接続する情報処理装置から送られてくる更新指示に応じて、前記変換規則を更新する
ネットワークシステム。
【請求項９】
請求項８に記載のネットワークシステムであって、
前記ユーザ側第２アドレス変換装置、又は前記提供側ネットワークに接続する情報処理装置もしくは前記ユーザ側ネットワークに接続する情報処理装置は、前記変換規則の設定を受け付ける画面を表示装置に表示しつつ前記変換規則の設定内容を受け付ける
ネットワークシステム。
【請求項１０】
請求項１又は２に記載のネットワークシステムであって、
前記情報処理サービスはクラウドサービスである
ネットワークシステム。
【請求項１１】
請求項１又は２に記載のネットワークシステムであって、
前記ユーザ側第２アドレス変換装置は、ＮＡＴ装置又はＮＡＰＴ装置である
ネットワークシステム。
【請求項１２】
請求項１に記載のネットワークシステムにおける前記ユーザ側第２アドレス変換装置として機能する通信制御装置であって、
前記ユーザ装置から、前記サーバ装置に対して前記情報処理サービスの利用を要求するパケットである要求パケットを前記ユーザ側ネットワークを介して受信すると、予め設定された変換規則に従って、当該要求パケットの、前記ユーザ側ネットワークの通信に用いるヘッダに設定されている、前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレスに変換する
通信制御装置。
【請求項１３】
請求項１に記載のネットワークシステムにおける前記ユーザ側第２アドレス変換装置及び前記ユーザ側ＶＰＮ装置を備えた通信制御装置であって、
前記ユーザ装置から、前記サーバ装置に対して前記情報処理サービスの利用を要求するパケットである要求パケットを前記ユーザ側ネットワークを介して受信すると、予め設定された変換規則に従って、当該要求パケットの、前記ユーザ側ネットワークの通信に用いるヘッダに設定されている、前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレスに変換し、
前記変換後の前記要求パケットをカプセル化したパケットであるＶＰＮパケットを、前記ＶＰＮ通信によりインターネットを介して前記提供側ＶＰＮ装置に送信する
通信制御装置。
【請求項１４】
請求項１２又は１３に記載の通信制御装置であって、
前記ユーザ側ネットワークは複数存在し、
前記ユーザ側ネットワークの夫々に接続する、前記ユーザ装置、前記ユーザ側ＶＰＮ装置、及び前記ユーザ側第２アドレス変換装置を含み、
前記ユーザ側第２アドレス変換装置の夫々の前記変換規則は、前記ユーザ側ネットワークの夫々に接続する前記ユーザ側第２アドレス変換装置が、前記要求パケットのヘッダの前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記ユーザ側ネットワーク間で固有の前記提供側ネットワークのプライベートアドレスに変換するように設定されている
通信制御装置。
【請求項１５】
情報処理サービスを提供する提供サイトの通信ネットワークである提供側ネットワークに接続するサーバ装置と、
インターネットを介して前記提供側ネットワークと通信可能に接続する、前記情報処理サービスを利用するユーザサイトの通信ネットワークであるユーザ側ネットワークに接続し、前記サーバ装置にアクセスして前記情報処理サービスを利用するユーザ装置と、
前記提供側ネットワークに接続する提供側ＶＰＮ装置と、
前記ユーザ側ネットワークに接続し、前記提供側ＶＰＮ装置と共に前記インターネットを介したＶＰＮ通信を実現するユーザ側ＶＰＮ装置と、
前記ユーザ側ネットワークに接続するユーザ側第２アドレス変換装置と、
を含んで構成されるネットワークシステムにおける通信方法であって、
前記ユーザ側第２アドレス変換装置が、前記ユーザ装置から、前記サーバ装置に対して前記情報処理サービスの利用を要求するパケットである要求パケットを前記ユーザ側ネットワークを介して受信すると、予め設定された変換規則に従って、当該要求パケットの、前記ユーザ側ネットワークの通信に用いるヘッダに設定されている、前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレスに変換し、
前記ユーザ側ＶＰＮ装置が、前記変換後の前記要求パケットをカプセル化したパケットであるＶＰＮパケットを、前記ＶＰＮ通信によりインターネットを介して前記提供側ＶＰＮ装置に送信し、
前記提供側ＶＰＮ装置が、前記ＶＰＮパケットを受信すると、当該ＶＰＮパケットのカプセル化を解除して前記要求パケットを取得し、取得した前記要求パケットを、前記提供側ネットワークを介して前記サーバ装置に送信する
通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークシステム、通信制御装置、及び通信方法に関する。
【背景技術】
【０００２】
特許文献１には、ゲートウェイからエンドポイントまでパケットをルーティングするための装置が、パブリックＩＰアドレスを有するエンドポイントにプライベートアドレスを関連付けるアドレス指定要素と、該アドレス指定要素と通信し、該エンドポイントの該プライベートアドレスに送信される予定のパケットを傍受する受信機と、該受信機と通信し、該パケットに適用されるポリシーに応答して、該パケットを受信および該パケットを該エンドポイントに送信するポリシーエンジンと、該受信機、該ポリシーエンジン、および該アドレス指定要素と通信し、該パケットに対しネットワークアドレス変換を実行し、該パケットを該エンドポイントに送信することが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−２１５２０１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
初期導入コストの低減、サイト間の連携の実現、仮想化における障害切り替えの実現等を目的として、クラウドコンピューティングサービス（以下、クラウドサービスと称する。）の利用が進んでいる。クラウドサービスの利用に関し、セキュリティを確保しつつ、複数のユーザサイトを跨いだ共通の情報基盤の下でクラウドサービスを利用できるようにし、ユーザサイト全体として俯瞰的に情報を活用したい、個々のユーザサイト間の情報を統合して経営者向けのサービスを提供したいといったニーズが存在する。【０００５】
こうしたニーズに対応する方法としては、例えば、図１０に示すように、データセンタ等のクラウドサイト２におけるクラウドサービスの提供者側のネットワーク（以下、クラウド側ＮＷ５１と称する。）と、ユーザサイト３ごとに存在するユーザ側のネットワーク（以下、ユーザ側ＮＷ５２と称する。）をＶＰＮ（VPN: Virtual Private Network）によって結ぶことが考えられる。【０００６】
しかし個々のユーザサイト３におけるユーザ側ＮＷ５２では、プライベートアドレスを用いた既存のネットワークが運用されていることが多く、ＶＰＮによってサイト間を結んでしまうとユーザサイト３間でプライベートアドレスの重複が生じる可能性がある。尚、重複を避けるためにユーザサイト３におけるプライベートアドレスの体系を変更することも考えられるが、プライベートアドレスの体系を変更することは既存のシステムに対する影響が大きく、設定ミスや考慮不足等によりユーザサイト３の垣根を越えて影響が波及するリスクもある。【０００７】
本発明はこのような背景に基づきなされたもので、セキュリティを確保しつつ、複数のユーザサイトを跨いだ共通の情報基盤の下でクラウドサービスを利用できるようにすることが可能なネットワークシステム、通信制御装置、及び通信方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記課題を解決する本発明のうちの一つは、情報処理サービスを提供する提供サイトの通信ネットワークである提供側ネットワークに接続するサーバ装置と、インターネットを介して前記提供側ネットワークと通信可能に接続する、前記情報処理サービスを利用するユーザサイトの通信ネットワークであるユーザ側ネットワークに接続し、前記サーバ装置にアクセスして前記情報処理サービスを利用するユーザ装置と、前記提供側ネットワークに接続する提供側ＶＰＮ装置と、前記ユーザ側ネットワークに接続し、前記提供側ＶＰＮ装置と共に前記インターネットを介したＶＰＮ通信を実現するユーザ側ＶＰＮ装置と、前記ユーザ側ネットワークに接続するユーザ側第２アドレス変換装置と、を備え、前記ユーザ側第２アドレス変換装置は、前記ユーザ装置から、前記サーバ装置に対して前記情報処理サービスの利用を要求するパケットである要求パケットを前記ユーザ側ネットワークを介して受信すると、予め設定された変換規則に従って、当該要求パケットの、前記ユーザ側ネットワークの通信に用いるヘッダに設定されている、前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレスに変換し、前記ユーザ側ＶＰＮ装置は、前記変換後の前記要求パケットをカプセル化したパケットであるＶＰＮパケットを、前記ＶＰＮ通信によりインターネットを介して前記提供側ＶＰＮ装置に送信し、前記提供側ＶＰＮ装置は、前記ＶＰＮパケットを受信すると、当該ＶＰＮパケットのカプセル化を解除して前記要求パケットを取得し、取得した前記要求パケットを、前記提供側ネットワークを介して前記サーバ装置に送信する。【０００９】
その他本願が開示する課題やその解決方法については、発明の実施形態の欄及び図面により明らかにされる。
【発明の効果】
【００１０】
本発明によれば、セキュリティを確保しつつ、複数のユーザサイトを跨いだ共通の情報基盤の下でクラウドサービスを利用することができる。
【図面の簡単な説明】
【００１１】
【図１】ネットワークシステム１の概略的な構成を示す図である。
【図２】ユーザ装置３０から送信された要求パケットがサーバ装置２０に受信されるまでの要求パケットの流れを説明する図である。
【図３】サーバ装置２０から送信された応答パケットがユーザ装置３０に受信されるまでの応答パケットの流れを説明する図である。
【図４】変換テーブル４００の一例である。
【図５】ユーザ側ＧＷ装置３１の主な機能並びにユーザ側ＧＷ装置３１が記憶する主な情報を示す図である。
【図６】ＶＰＮ制御情報３６２の一例である。
【図７】ＶＰＮ宛先情報３６３の一例である。
【図８】入出力ポートＡ３５１にパケットが着信した際にユーザ側ＧＷ装置３１が行う処理を説明するフローチャートである。
【図９】入出力ポートＢ３５２にパケットが着信した際にユーザ側ＧＷ装置３１が行う処理を説明するフローチャートである。
【図１０】クラウドサービスを提供するネットワークシステムの一例である。
【発明を実施するための形態】
【００１２】
以下、実施例について図面を用いて説明する。
【００１３】
図１に実施例として説明するネットワークシステム１（情報処理システム）の概略的な構成を示している。同図に示すように、ネットワークシステム１は、情報処理サービスであるクラウドコンピューティングサービス（以下、「クラウドサービス」とも称する。）を提供すべく、データセンタ等のクラウドサイト２（提供サイト）に設置された装置群（情報処理装置、通信ネットワーク機器等）と、インターネット５を介してクラウドサービスを利用する複数のユーザサイト３の夫々に設置された装置群（情報処理装置、通信ネットワーク機器等）とを含む。クラウドサービスは、例えば、ＡＳＰサービス（Application Service Provider Service）、ＳａａＳ（Software as a Service）、ＰａａＳ（Platform as a Service）等である。
【００１４】
クラウドサイト２には、クラウドサービスを実現するサーバ装置２０、クラウド側ＶＰＮ装置２１（提供側ＶＰＮ装置）、及びクラウド側ＮＡＴ装置２２（提供側アドレス変換装置）が存在する。サーバ装置２０は、中央処理装置（ＣＰＵ、ＭＰＵ）、記憶装置（メモリ（ＲＯＭ、ＲＡＭ等）、ハードディスクドライブ、ＳＳＤ（Solid State Drive）等）、及び通信装置を備えた情報処理装置（コンピュータ）である。サーバ装置２０では、例えば、オペレーティングシステム、仮想化基盤を提供するソフトウエア、各種アプリケーション（ＤＢＭＳ（Data Base Management System）、各種Ｗｅｂサービス等）が動作する。
【００１５】
クラウドサイト２にはクラウドサービスの提供者側のネットワーク（提供側ネットワーク）（以下、「クラウド側ＮＷ５１」とも称する。）が存在し、これにサーバ装置２０とクラウド側ＶＰＮ装置２１が接続する。クラウド側ＮＷ５１は、例えば、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等であり、ＴＣＰ／ＩＰに準拠した通信が可能である。
【００１６】
サーバ装置２０は、ユーザ装置３０から、後述するユーザ側ＮＷ５２、インターネット５、及びクラウド側ＮＷ５１を経由して送られてくる、クラウドサービスの利用を要求するパケット（以下、「要求パケット」とも称する。）を受信すると、当該要求パケットに指定されているクラウドサービスを実行し、その実行結果や処理完了通知等を含んだパケット（以下、「応答パケット」とも称する）を生成し、これを上記要求パケットの送信元のユーザ装置３０に送信する。
【００１７】
クラウド側ＶＰＮ装置２１は、インターネット５を介したＶＰＮ通信（VPN: Virtual Private Network）を実現する。クラウド側ＶＰＮ装置２１は、インターネット５に送信するパケットについて、認証情報の付加、暗号化、及びカプセル化（以下、この一連の処理を「ＶＰＮカプセル化」とも称する。）を行う。またクラウド側ＶＰＮ装置２１は、インターネット５から受信するパケットについて、カプセル化の解除、復号化、及び認証処理(以下、この一連の処理を「ＶＰＮカプセル化解除」とも称する。）を行う。
【００１８】
クラウド側ＮＡＴ装置２２（NAT:Network Address Translation）は、インターネット５に接続するとともにクラウド側ＶＰＮ装置２１と通信可能に接続し、クラウド側ＮＷ５１とインターネット５とを接続する中継装置として機能する。クラウド側ＮＡＴ装置２２は、インターネット５を介して送受信するパケットについて、インターネット５におけるグローバルＩＰアドレスとクラウド側ＮＷ５１におけるプライベートアドレス（「ローカルアドレス」とも称される。）の相互変換を行う。即ちクラウド側ＮＡＴ装置２２は、インターネット５から受信したパケットについて、これに設定されているグローバルＩＰアドレスをクラウド側ＮＷ５１のプライベートアドレスに変換する。またクラウド側ＮＡＴ装置２２は、クラウド側ＶＰＮ装置２１から受信したパケットについて、これに設定されているクラウド側ＮＷ５１のプライベートアドレスをグローバルＩＰアドレスに変換する。
【００１９】
クラウド側ＶＰＮ装置２１とクラウド側ＮＡＴ装置２２は同一のハードウエアとして実現されていてもよく、例えば、これらを両者の機能を備えたゲートウェイ装置で代替させることもできる。またクラウド側ＶＰＮ装置２１やクラウド側ＮＡＴ装置２２は、負荷分散や可用性の確保等を目的として夫々複数台設けてもよい。尚、以下の説明において、「ＮＡＴ」という場合、ＩＰアドレスに加えてポート番号の変換も行う、いわゆる「ＮＡＰＴ」（NAPT（Network Address Port Translation））の意味も含むものとする。
【００２０】
ユーザサイト３には、クラウドサービスのユーザ側のネットワーク（以下、「ユーザ側ＮＷ５２」とも称する。）が存在し、これにクラウドサービスを利用するユーザ装置３０、ゲートウェイ装置（以下、「ユーザ側ＧＷ装置３１」とも称する。）、及びユーザ側第１ＮＡＴ装置３２（ユーザ側第１アドレス変換装置）が接続する。ユーザ側ＮＷ５２は、例えば、ＬＡＮ、ＷＡＮ等であり、ＴＣＰ／ＩＰに準拠した通信が可能である。
【００２１】
ユーザ装置３０は、中央処理装置（ＣＰＵ、ＭＰＵ）、記憶装置（メモリ（ＲＯＭ、ＲＡＭ等）、ハードディスクドライブ、ＳＳＤ等）、及び通信装置を備えた情報処理装置（コンピュータ）である。ユーザ装置３０では、オペレーティングシステムやアプリケーション（クラウドサービスを利用するためのクライアントアプリケーション、Ｗｅｂブラウザ等）が動作し、ユーザ装置３０のユーザにクラウドサービスの利用環境を提供する。クラウドサービスの利用に際し、ユーザ装置３０は要求パケットをユーザ側ＧＷ装置３１に送信し、その応答パケットをユーザ側ＧＷ装置３１から受信する。
【００２２】
ユーザ側ＧＷ装置３１は、ユーザ側ＶＰＮ装置３１１とユーザ側第２ＮＡＴ装置３１２（ユーザ側第２アドレス変換装置）を備える。尚、ユーザ側ＶＰＮ装置３１１とユーザ側第２ＮＡＴ装置３１２は通信可能に接続された複数の独立したハードウエアとして実現されていてもよいし、共通のハードウエアによって実現されていてもよい。
【００２３】
ユーザ側ＶＰＮ装置３１１は、クラウド側ＶＰＮ装置２１とインターネット５を介してＶＰＮ通信を実現する。ユーザ側ＶＰＮ装置３１１は、インターネット５に送信する要求パケットについてはＶＰＮカプセル化を行い、インターネット５から受信する応答パケットについてはＶＰＮカプセル化解除を行う。
【００２４】
ユーザ側第２ＮＡＴ装置３１２は、予め設定され記憶している変換規則に従い、ユーザ装置３０からサーバ装置２０に送信される要求パケットのユーザ側ＮＷ５２の通信に用いるヘッダに設定されている、ユーザ側ＮＷ５２のプライベートアドレスで表記された送信元アドレス及び送信先アドレスを、クラウド側ＮＷ５１におけるプライベートアドレスで表記された送信元アドレス及び送信先アドレスに変換する。またユーザ側第２ＮＡＴ装置３１２は、サーバ装置２０から送られてきた応答パケットのヘッダに設定されている、クラウド側ＮＷ５１におけるプライベートアドレスで表記された送信元アドレス及び送信先アドレスを、ユーザ側ＮＷ５２におけるプライベートアドレスで表記された送信元アドレス及び送信先アドレスに変換する。
【００２５】
このように、本実施例のネットワークシステム１においては、ユーザ側第２ＮＡＴ装置３１２が、ユーザ装置３０からサーバ装置２０に送信される要求パケットに、クラウド側ＮＷ５１におけるプライベートアドレスで表記された送信元アドレス及び送信先アドレスを設定するので、クラウド側ＮＷ５１において、当該要求パケットがあたかもクラウド側ＮＷ５１に接続している情報処理装置から送信されたものであるかのようにサーバ装置２０に見せることができる。また複数のユーザ側ＮＷ５２が存在する場合、個々のユーザ側ＮＷ５２に接続するユーザ装置３０から送信される要求パケットに、ユーザ装置３０間で重複しないようにクラウド側ＮＷ５１におけるプライベートアドレスで表記された送信元アドレスを設定するので、異なるユーザ側ＮＷ５２が共通のクラウドサービスを利用することが可能となる。このため、例えば、複数のユーザサイトを跨いだ共通の情報基盤の下でクラウドサービスを利用することが可能となり、俯瞰的に情報を活用したい、ユーザサイト３間の情報を統合して経営者向けのサービスを提供したいといったニーズに応えることができる。また複数のユーザサイト３で分散していた情報が共有化されることで、集約された情報に基づく多様なサービスの提供等が可能となる。
【００２６】
またユーザ側第２ＮＡＴ装置３１２は、例えば、クラウドサービスの提供者によって各ユーザサイト３に設置され、変換規則はクラウドサービスの提供者によって設定される。このため、ユーザ装置３０やユーザ側第１ＮＡＴ装置３２に新たなソフトウエアの導入や設定変更等を強いることもなく、ユーザサイト３で運用されていたサービスを容易かつ低コストでクラウドサービスに移行させることができる。
【００２７】
図１に示すユーザ側第１ＮＡＴ装置３２は、ユーザ側ＮＷ５２とインターネット５を接続する中継装置として機能する。ユーザ側第１ＮＡＴ装置３２は、インターネット５を介して送受信するパケットについて、インターネット５のグローバルＩＰアドレスとユーザ側ＮＷ５２のプライベートアドレスとの相互変換を行う。尚、ユーザ側第１ＮＡＴ装置３２は、例えばインターネットプロバイダ側に存在していてもよい。
【００２８】
ユーザ側ＮＷ５２において、ユーザ側ＧＷ装置３１とユーザ装置３０は対等な関係にある。即ちユーザ側第１ＮＡＴ装置３２は、パケットを送受信する相手がユーザ側ＧＷ装置３１であるかユーザ装置３０であるかを区別することなく上記相互変換を行う。これはユーザサイト３にインターネット５とユーザサイト３を中継する既存のＮＡＴ装置が存在する場合はそのＮＡＴ装置をユーザ側第１ＮＡＴ装置３２として利用できることを意味している。尚、ユーザサイト３においてユーザ側第１ＮＡＴ装置３２の機能をクラウドサービスのユーザ以外に提供する必要がないような場合はユーザ側第１ＮＡＴ装置３２をユーザ側ＮＷ５２に接続せずにユーザ側第１ＮＡＴ装置３２をユーザ側ＧＷ装置３１に直接接続するようにしてもよい。
【００２９】
続いてパケット(要求パケット及び応答パケット）の流れについて説明する。以下の説明において、パケットのヘッダに設定される、送信元のＩＰアドレス、宛先のＩＰアドレス、送信元のポート番号、送信先のポート番号のことを、夫々、「SIP」、「DIP」、「Sport」、「Dport」とも表記する。以下に説明するパケットのヘッダの内容は、例えば、クラウド側ＮＷ５１、インターネット５、及びユーザ側ＮＷ５２の要所にネットワークアナライザ（Network Analyzer）を接続してパケット分析を実施することにより取得することができる。
【００３０】
尚、本実施例では、クラウド側ＮＷ５１、インターネット５、及びユーザ側ＮＷ５２で用いられるネットワークアドレスがＩＰｖ４（Internet Protocol version 4）である場合を例として説明するが、通信方式（通信プロトコルの種類）はこれに限定されず、ＩＰｖ６（Internet Protocol version 6）に準拠したアドレス、ＭＡＣアドレス（Media Access Control address）、ＭＰＬＳ（Multi-Protocol Label Switching）におけるラベル（Label）等、本実施例のネットワークシステム１は、ネットワークアドレスとして他の種類のアドレス体系が用いられている場合も適用することが可能である。
【００３１】
まず図２とともにユーザ装置３０から送信された要求パケットがサーバ装置２０に受信されるまでの要求パケットの流れについて説明する。同図に示すように、この例では、ユーザ装置３０が、ヘッダに「SIP:192.168.0.10」、「DIP:192.168.0.129」、「Sport:10000」、「Dport：1500」が設定された要求パケット１０１をユーザ側第２ＮＡＴ装置３１２に送信した場合を想定している。ここで「SIP:192.168.0.10」は、ユーザ側ＮＷ５２においてユーザ装置３０に付与されているプライベートアドレスであり、「DIP:192.168.0.129」は、ユーザ側ＮＷ５２においてユーザ側第２ＮＡＴ装置３１２に付与されているプライベートアドレスである。このようにユーザ装置３０は、サーバ装置２０が提供するクラウドサービスを利用する場合、ユーザ側第２ＮＡＴ装置３１２のプライベートアドレスをヘッダに設定した要求パケットを送信する（Ｓ１１１）。尚、クラウドサービスとは無関係のパケットをインターネット５に送信する場合、ユーザ装置３０は、ユーザ側第１ＮＡＴ装置３２のプライベートアドレス「DIP:192.168.0.1」を当該パケットのヘッダに設定してユーザＮＷ５２に送信する。
【００３２】
要求パケットのヘッダに設定されている「Sport:10000」は、ユーザ装置３０が任意に選択した値（ウェルノウンポート（well known port）以外の値が選択される）であり、例えば、ユーザ装置３０で動作するクラウドサービスを利用するためのアプリケーションによって付与される。「Dport：1500」は、当該要求パケット１０１が利用を要求するクラウドサービスに対応するポート番号である。このようにユーザ装置３０（ユーザ装置３０で動作するアプリケーション）は、複数提供されるクラウドサービスの中から利用しようとするクラウドサービスを指定することができる。
【００３３】
続いてユーザ側第２ＮＡＴ装置３１２は、変換規則に従い、ユーザ装置３０から受信した要求パケット１０１のヘッダに指定されているユーザ側ＮＷ５２におけるプライベートアドレスとポート番号の組み合わせをクラウド側ＮＷ５１におけるプライベートアドレス及びポート番号の組み合わせに変換する（Ｓ１１２）。この例では、ユーザ側第２ＮＡＴ装置３１２は、変換規則に従い、「SIP:192.168.0.10」をクラウド側ＮＷ５１におけるプライベートアドレスである「SIP:10.0.0.20」に、「DIP:192.168.0.129」をクラウド側ＮＷ５１におけるサーバ装置２０のプライベートアドレスである「DIP:10.0.0.10」に、「Sport:10000」を「Sport:20000」に、「Dport：1500」を「Dport：1024」に夫々変換している。
【００３４】
ここで要求パケット１０２のヘッダに設定される「Sport:20000」は、ユーザ装置３０が送信したパケット１０１の「SIP:192.168.0.10」と「Sport:10000」の組み合わせについて固有に付与されるポート番号である。ユーザ側第２ＮＡＴ装置３１２は、「SIP:192.168.0.10」と「Sport:10000」の組み合わせと「Sport:20000」の対応を変換テーブル４００に記憶する。ユーザ側第２ＮＡＴ装置３１２は、当該要求パケットに対する応答パケットを受信した際、このポート番号「Sport:20000」に基づき、当該要求パケットを送信したユーザ装置３０の「SIP:192.168.0.10」と「Sport:10000」を特定し、該当のユーザ装置３０に応答パケットを送信する。
【００３５】
「Dport：1024」は、利用するクラウドサービスに対応するポート番号であり、サーバ装置２０がクラウドサービスを識別するためのポート番号である。このようにユーザ装置３０で指定した「Dport：1500」は、変換規則に従い自動的にサーバ装置２０がクラウドサービスを識別するためのポート番号に変換される。これは例えば、サーバ装置２０側のポート番号の体系が変更になる場合は変換規則を更新するだけでよいことを意味しており、ユーザ装置３０に影響を与えることなくクラウドサービスのポート番号の体系を変更することができる。
【００３６】
ユーザ側ＶＰＮ装置３１１は、ユーザ側第２ＮＡＴ装置３１２による変換後の要求パケット１０２をＶＰＮカプセル化し、これをユーザ側ＮＷ５２を介してユーザ側第１ＮＡＴ装置３２に送信する（Ｓ１１３）。同図に示すように、この例では、ユーザ側ＶＰＮ装置３１１は、ＶＰＮカプセル化した要求パケット１０３のヘッダ（以下、ＶＰＮヘッダと称する。）に「SIP:192.168.0.130」、「DIP:210.0.0.100」、「Sport:25000」、「Dport：1194」を設定している。
【００３７】
ここで「SIP:192.168.0.130」は、ユーザ側ＮＷ５２においてユーザ側ＶＰＮ装置３１１に付与されているプライベートアドレスである。「DIP:210.0.0.100」は、クラウド側ＮＡＴ装置２２に付与されているインターネット５上のグローバルＩＰアドレスである。「Sport:25000」は、ユーザ側ＶＰＮ装置３１１が任意に付与するポート番号である。この「Sport:25000」は、例えば、負荷分散や可用性の確保等を目的として同じユーザサイト３に複数のユーザ側ＶＰＮ装置３１１が設けられているような場合に、個々のユーザ側ＶＰＮ装置３１１を特定する識別子として利用される。「Dport：1194」は、ＶＰＮサービスに割り当てられているウェルノウンポートである。
【００３８】
ユーザ側第１ＮＡＴ装置３２は、ユーザ側ＶＰＮ装置３１１によってＶＰＮカプセル化された要求パケットを、インターネット５を介してクラウド側ＮＡＴ装置２２に送信する（Ｓ１１４）。同図に示すように、この例では、ユーザ側第１ＮＡＴ装置３２は、インターネット５に送信する要求パケット１０４のヘッダに「SIP:96.50.0.20」、「DIP:210.0.0.100」、「Sport:40000」、「Dport：1194」を設定している。ここで「SIP:96.50.0.20」は、インターネット５上でユーザ側第１ＮＡＴ装置３２に付与されているグローバルＩＰアドレス（クラウド側ＶＰＮ装置２１がインターネット５に直接接続している場合にはクラウド側ＶＰＮ装置２１のグローバルＩＰアドレスでもよい。）である。「Sport:40000」は、ユーザ側第１ＮＡＴ装置３２が任意に選択した値（ウェルノウンポート以外の値が選択される）が設定される。ユーザ側第１ＮＡＴ装置３２は、要求パケット１０３の「SIP:10.0.0.130」と「Sport:25000」の組み合わせと、付与した「Sport:40000」との対応を記憶する。ユーザ側第１ＮＡＴ装置３２は、例えば、この対応を当該要求パケット１０４に対する応答パケットを受信した際に利用する。
【００３９】
クラウド側ＮＡＴ装置２２は、インターネット５を介して要求パケット１０４を受信すると、要求パケット１０４に設定されているグローバルＩＰアドレスをクラウド側ＮＷ５１のプライベートアドレスに変換し、変換後の要求パケット１０５を、クラウド側ＮＷ５１を介してクラウド側ＶＰＮ装置２１に送信する（Ｓ１１５）。この例では、クラウド側ＮＡＴ装置２２は、インターネット５を介して受信した要求パケット１０４のヘッダに設定されているグローバルＩＰアドレス「SIP:96.50.0.20」を、クラウド側ＮＷ５１においてクラウド側ＮＡＴ装置２２に設定されているプライベートアドレスである「SIP:10.0.0.15」に変換している。また「DIP:210.0.0.100」を、クラウド側ＮＷ５１においてクラウド側ＶＰＮ装置２１に設定されている「DIP:10.0.0.130」に変換している。
【００４０】
クラウド側ＶＰＮ装置２１は、クラウド側ＮＡＴ装置２２から要求パケット１０５を受信するとこれについてＶＰＮカプセル化解除を行い、ＶＰＮカプセル化解除後の要求パケット１０６を、クラウド側ＮＷ５１を介してサーバ装置２０に送信する（Ｓ１１６）。尚、同図に示すように、クラウド側ＶＰＮ装置２１がサーバ装置２０に送信する要求パケット１０６のヘッダの「SIP:10.0.0.20」、「SIP:10.0.0.10」、「Sport:20000」、及び「Dport：1024」は、先にユーザ側第２ＮＡＴ装置３１２が生成した要求パケット１０２のヘッダと同一である。
【００４１】
続いて、図３とともにサーバ装置２０から送信された応答パケットがユーザ装置３０に受信されるまでの流れについて説明する。同図に示すように、サーバ装置２０は、図２に示した要求パケット１０６についてクラウドサービスを実行すると、応答パケットとして、そのヘッダに上記要求パケット１０６のヘッダの送受信の関係を反転させた応答パケット、即ち「SIP:10.0.0.10」、「DIP:10.0.0.20」、「Sport:1024」、「Dport：20000」をそのヘッダに設定した応答パケット２０１を、クラウド側ＶＰＮ装置２１に送信する（Ｓ２１１）。尚、サーバ装置２０は、例えば、Ｌ２レイヤ（ＯＳＩ（Open Systems Interconnection）参照モデルのデータリンク層(第２層)）にて要求パケット１０６に設定されていた物理アドレス（例えばＭＡＣアドレス）をクラウド側ＮＷ５１、インターネット５、及びユーザ側ＮＷ５２の少なくともいずれかに問い合わせることで、応答パケット２０１の宛先となるユーザ側第２ＮＡＴ装置３１２が存在するユーザサイト３（ユーザ側ＮＷ５２）を特定する。また例えば、クラウド側ＶＰＮ装置２１やクラウド側ＮＡＴ装置２２がルーティング情報を記憶している場合には、サーバ装置２０はＬ３レイヤ（ＯＳＩ参照モデルのネットワーク層(第３層)）にてクラウド側ＶＰＮ装置２１に問い合わせることで応答パケットの宛先となるユーザ側第２ＮＡＴ装置３１２が存在するユーザサイト３（ユーザ側ＮＷ５２）を特定する。
【００４２】
クラウド側ＶＰＮ装置２１は、応答パケット２０１を受信するとこれをＶＰＮカプセル化し、ＶＰＮカプセル化後の応答パケット２０２をクラウド側ＮＡＴ装置２２に送信する（Ｓ２１２）。同図に示すように、この例では、ＶＰＮヘッダに「SIP:10.0.0.130」、「DIP:10.0.0.15」、「Sport:1194」、「Dport：30000」を設定している。ここで「SIP:10.0.0.130」は、クラウド側ＮＷ５１においてクラウド側ＶＰＮ装置２１に付与されているプライベートアドレスであり、「DIP:10.0.0.15」は、クラウド側ＮＷ５１においてクラウド側ＮＡＴ装置２２に付与されているプライベートアドレスである。「Sport：1194」は、ＶＰＮサービスに割り当てられているウェルノウンポートである。「Dport：30000」は、クラウド側ＶＰＮ装置２１が任意に付与するポート番号である。このポート番号は、例えば、負荷分散や可用性の確保等を目的として同じクラウドサイト２に複数のクラウド側ＶＰＮ装置２１が設けられているような場合に、個々のクラウド側ＶＰＮ装置２１を特定する識別子として利用される。
【００４３】
クラウド側ＮＡＴ装置２２は、クラウド側ＶＰＮ装置２１によってＶＰＮカプセル化された応答パケット２０２を、インターネット５を介してユーザ側第１ＮＡＴ装置３２に送信する（Ｓ２１３）。同図に示すように、この例では、クラウド側ＮＡＴ装置２２は、インターネット５に送信する応答パケット２０３のヘッダに、「SIP:210.0.0.100」、「DIP:96.50.0.20」、「Sport:1194」、「Dport：40000」を設定している。ここで「SIP:210.0.0.100」は、インターネット５上でクラウド側ＮＡＴ装置２２に付与されているグローバルＩＰアドレスである。また「DIP:96.50.0.20」は、ユーザ側第１ＮＡＴ装置３２にインターネット５上で付与されているグローバルＩＰアドレスである。「Sport:1194」は、ＶＰＮサービスに割り当てられているウェルノウンポートである。「Dport：40000」は、要求パケット１０４の送信に際してユーザ側第１ＮＡＴ装置３２が設定した値である。
【００４４】
ユーザ側第１ＮＡＴ装置３２は、インターネット５を介して応答パケット２０３を受信すると、応答パケット２０３に設定されているグローバルＩＰアドレスをユーザ側ＮＷ５２のプライベートアドレスに変換し、変換後の応答パケット２０４を、ユーザ側ＮＷ５２を介してユーザ側ＶＰＮ装置３１１に送信する（Ｓ２１４）。この例では、ユーザ側第１ＮＡＴ装置３２は、応答パケット２０４のヘッダに、「SIP:192.168.0.1」、「DIP:10.0.0.130」、「Sport:1194」、「Dport：25000」を設定している。ここで「SIP:192.168.0.1」は、ユーザ側ＮＷ５２においてユーザ側第１ＮＡＴ装置３２に付与されているプライベートアドレスである。「DIP:10.0.0.130」は、ユーザ側ＮＷ５２においてユーザ側ＶＰＮ装置３１１に付与されているプライベートアドレスである。「Sport:1194」は、ＶＰＮサービスに割り当てられているウェルノウンポートである。「Dport：25000」は、要求パケット１０４の送信に際してユーザ側第１ＮＡＴ装置３２が記憶した内容に基づき設定する。前述したように、ユーザ側第１ＮＡＴ装置３２は、要求パケット１０３の「SIP:10.0.0.130」と「Sport:25000」の組み合わせと、要求パケット１０４に付与した「Sport:40000」の対応を記憶しており、ユーザ側第１ＮＡＴ装置３２は、応答パケット２０３の「Dport：40000」に基づき「SIP:10.0.0.130」と「Sport:25000」の組み合わせを取得する。
【００４５】
ユーザ側ＶＰＮ装置３１１は、ユーザ側第１ＮＡＴ装置３２が受信した応答パケット２０４をＶＰＮカプセル化解除し、ＶＰＮカプセル化解除後の応答パケット２０５をユーザ側第２ＮＡＴ装置３１２に送信する（Ｓ２１５）。
【００４６】
ユーザ側第２ＮＡＴ装置３１２は、応答パケット２０５を受信すると、要求パケット１０１を要求パケット１０２に変換する際に記憶した「SIP:192.168.0.10」と「Sport:10000」の組み合わせと「Sport:20000」との対応、及び変換規則に基づき、図２Ｓ１１２とは逆の変換を行って応答パケット２０５のヘッダを変換し、変換後の応答パケット２０６をユーザ装置３０に送信する（Ｓ２１６）。同図に示すように、ユーザ側第２ＮＡＴ装置３１２は「SIP:192.168.0.129」、「DIP:192.168.0.10」、「Dport：1500」、「Sport:10000」をヘッダに設定した応答パケット２０６を生成してこれをユーザ装置３０に送信している。
【００４７】
図４はユーザ側ＧＷ装置３１が記憶する変換テーブル４００の一例である。尚、前述した変換規則は、この変換テーブル４００の結果を生成するように設定されたアルゴリズムやテーブルで構成される。ユーザ側第２ＮＡＴ装置３１２（ユーザ側ＧＷ装置３１）は、ユーザ装置３０から受信した新たな要求パケットについて、変換規則に従ってそのヘッダに指定されているユーザ側ＮＷ５２におけるプライベートアドレスとポート番号の組み合わせをクラウド側ＮＷ５１におけるプライベートアドレスとポート番号の組み合わせに変換すると、その結果を変換テーブル４００に記憶する。
【００４８】
変換テーブル４００の各レコードは、受信した要求パケットを送信したユーザ装置３０のユーザ側ＮＷ５２におけるプライベートアドレスであるユーザ側ＩＰアドレス４１１、当該要求パケットについてクラウド側ＮＷ５１で用いるプライベートアドレスであるクラウド側ＩＰアドレス４１２、受信した要求パケットに設定されていたポート番号であるユーザ側ポート番号４１３、当該要求パケットについてクラウド側ＮＷ５１で用いるポート番号であるクラウド側ポート番号４１４の各項目を含む。尚、クラウド側ポート番号４１４は、クラウドサービスの種類に対応しており、異なるクラウド側ポート番号４１４には異なるユーザ側ポート番号４１３が対応づけられる。
【００４９】
変換規則は、ユーザ装置３０ごとに固有のクラウド側ＩＰアドレス４１２を付与するように設定される。これによりクラウド側ＮＷ５１において要求パケットの固有性（ユニーク性）が確保され、異なるユーザ側ＮＷ５２に所属するユーザ装置３０が同じクラウドサービスに同時にアクセスすることが可能になる。尚、変換規則は、異なるユーザ側ＩＰアドレス４１１に同じクラウド側ＩＰアドレス４１２を対応づけるように設定することも可能である（図４の変換テーブル４００では、複数のユーザ側ＩＰアドレス４１１「192.168.0.10」及び「192.168.0.11」が同じクラウド側ＩＰアドレス４１２「10.0.0.20」に変換されている）。
【００５０】
図５にユーザ側ＧＷ装置３１の主な機能並びにユーザ側ＧＷ装置３１が記憶する主な情報（データ、テーブル）を示す。尚、同図ではユーザ側ＧＷ装置３１が備える、ユーザ側ＶＰＮ装置３１１とユーザ側第２ＮＡＴ装置３１２の２つの装置を区別していない。同図に示す情報（変換規則３６１(前述した変換規則に相当）、ＶＰＮ制御情報３６２、及びＶＰＮ宛先情報３６３。以下、これらをパケット制御情報とも総称する。）は、ユーザ側ＶＰＮ装置３１１の構成とユーザ側第２ＮＡＴ装置３１２のうちの少なくともいずれかが記憶することになる。
【００５１】
ユーザ側ＧＷ装置３１は、パケット制御情報を保守するためのインタフェースを提供する。パケット制御情報は、例えば、ユーザ側ＧＷ装置３１が備えるユーザインタフェース（例えば、入力装置（キーボード、マウス等）、表示装置（液晶モニタ等）等）を介して設定することができる。またパケット制御情報は、例えば、クラウド側ＮＷ５１に接続する情報処理装置（保守端末等）から更新指示（例えば後述する情報更新パケット）をユーザ側ＧＷ装置３１に送信することにより、もしくはユーザ側ＮＷ５２に接続する情報処理装置（管理端末等）からユーザ側ＧＷ装置３１に更新指示(例えば後述する情報更新パケット）を送信することにより、設定することができる。ユーザ側ＧＷ装置３１、クラウド側ＮＷ５１に接続する上記情報処理装置（保守端末等）、及びユーザ側ＮＷ５２に接続する情報処理装置（管理端末等）は、例えば、パケット制御情報の設定を受け付ける画面を表示装置（液晶ディスプレイ等）に表示しつつ、パケット制御情報の設定内容や更新指示を受け付ける。
【００５２】
同図に示すように、ユーザ側ＧＷ装置３１は、入出力ポートＡ３５１、及び入出力ポートＢ３５２を備える。これらはいずれもユーザ側ＧＷ装置３１が備える通信ポート（例えばＮＩＣ（Network Interface Card）が備える通信ポート）である。入出力ポートＡ３５１にはユーザ装置３０から送信されたパケットが着信し、ユーザ装置３０宛のパケットが送信される。入出力ポートＢ３５２には、サーバ装置２０から送信されたパケットが着信し、サーバ装置２０宛のパケットが送信される。入出力ポートＡ３５１には、前述したユーザ側第２ＮＡＴ装置３１２のプライベートアドレス（例えば、図２又は図３における「192.168.0.129」）が付与される。また入出力ポートＢ３５２には、前述したユーザ側ＶＰＮ装置３１１のプライベートアドレス（例えば、図２又は図３における「192.168.0.130」）が付与される。尚、本実施例では、このようにユーザ側ＧＷ装置３１２がユーザ側ＮＷ５２と２つの通信ポートで接続している場合について説明するが、ユーザ側ＧＷ装置３１２がユーザ側ＮＷ５２と１つの通信ポートのみで接続している場合や３つ以上の通信ポートで接続している場合においても、適切にネットワークアドレスやポート番号の変換を行うことによりユーザ側ＧＷ装置３１に本実施例で説明する機能と同等の機能を持たせることができる。
【００５３】
同図に示すパケット判定部３５３は、入出力ポートＡ３５１に着信したパケットが、要求パケットであるのか、それともパケット制御情報の更新を目的としたパケット（以下、情報更新パケットと称する。）であるのかを判定する。パケット判定部３５３は、入出力ポートＡ３５１に着信したパケットが要求パケットである場合は当該要求パケットをＮＡＴ変換部３５４に送信し、情報更新パケットである場合は同図に示す情報更新処理部３５６に当該情報更新パケットを送信する。またパケット判定部３５３は、入出力ポートＢ３５２に着信したパケットが、応答パケットであるのか、それとも情報更新パケットであるのかを判定する。パケット判定部３５３は、応答パケットである場合は当該応答パケットを同図に示すＮＡＴ変換部３５４に送信し、情報更新パケットである場合は情報更新処理部３５６に当該情報更新パケットを送信する。尚、クラウドサイト２からユーザ側ＧＷ装置３１への情報更新パケットの送信は、前述したＶＰＮ通信により行ってもよいし他の認証方式を利用して行ってもよい。またクラウドサイト２とユーザサイト３を結ぶ専用の物理回線を用意し、これによりクラウドサイト２からユーザ側ＧＷ装置３１に情報更新パケットを送信するようにしてもよい。
【００５４】
情報更新処理部３５６は、パケット判定部３５３から情報更新パケットを受信すると、その内容に従ってパケット制御情報（変換規則３６１、ＶＰＮ制御情報３６２、及びＶＰＮ宛先情報３６３のうちの少なくともいずれか）を更新する。尚、入出力ポートＡ３５１に着信した情報更新パケットは、例えば、ユーザ側ＮＷ５２に接続する情報処理装置（保守端末等）から送信されたものであり、また入出力ポートＢ３５２に着信した情報更新パケットは、インターネット５を介してクラウドサイト２の情報処理装置(管理端末等）から送信されたものである。
【００５５】
ＮＡＴ変換部３５４は、変換規則３６１に従って、パケット判定部３５３から送られてくる要求パケットに設定されている、ユーザ側ＮＷ５２におけるプライベートアドレスとポート番号の組み合わせを、クラウド側ＮＷ５１におけるプライベートアドレスとポート番号の組み合わせに変換する。またＮＡＴ変換部３５４は、変換規則３６１に従って、サーバ装置２０から送られてきた応答パケットに設定されているクラウド側ＮＷ５１におけるプライベートアドレスとポート番号の組み合わせを、ユーザ側ＮＷ５２におけるプライベートアドレスとポート番号の組み合わせに変換する。尚、前述したように、ＮＡＴ変換部３５４は変換の内容（結果）を変換テーブル４００に記録する。ＮＡＴ変換部３５４は、変換後の要求パケットについてはＶＰＮ処理部３５５に、変換後の応答パケットについては入出力ポートＡ３５１に送信する。
【００５６】
ＶＰＮ処理部３５５は、ＮＡＴ変換部３５４から受信した要求パケットのヘッダに設定されている、ＮＡＴ変換部３５４による変換前の「SIP」をキーとしてＶＰＮ制御情報３６２を検索し、それによりＶＰＮ通信の制御方法（優先度６１２、ＶＰＮ方式６１３）を取得する。尚、変換前の要求パケットの「SIP」は、例えば、ＮＡＴ変換部３５４からＶＰＮ処理部３５５に随時通知される。またＶＰＮ処理部３５５は、ＮＡＴ変換部３５４による変換後の要求パケットのヘッダに設定されている「Sport」をキーとしてＶＰＮ宛先情報３６３のクラウドサイト側ポート番号７１１を検索し、それによりクラウドサイト側グローバルＩＰアドレス７１２を取得する。ＶＰＮ処理部３５５は、取得した上記制御方法に従って要求パケットをＶＰＮカプセル化し、ＶＰＮカプセル化後の要求パケットを、そのヘッダの「DIP」に取得した上記グローバルＩＰアドレスを設定して入出力ポートＢ３５２から送信する。一方、ＶＰＮ処理部３５５は、入出力ポートＢ３５２に着信した応答パケットをＶＰＮカプセル化解除し、ＶＰＮカプセル化解除後の応答パケットをパケット判定部３５３に送信する。
【００５７】
図６にユーザ側ＧＷ装置３１が記憶するＶＰＮ制御情報３６２の一例を示す。同図に示すように、ＶＰＮ制御情報３６２は、ユーザ側ＩＰアドレス６１１、優先度６１２、及びＶＰＮ方式６１３の各項目からなる複数のレコードで構成されている。尚、優先度６１２及びＶＰＮ方式６１３は、ＶＰＮカプセル化の際のＱｏＳ（Quality of Service）を制御するパラメータの一例に過ぎず、ＶＰＮカプセル化の制御方法を決定するパラメータの種類はこれに限られない。
【００５８】
図７にユーザ側ＧＷ装置３１が記憶するＶＰＮ宛先情報３６３の一例を示す。同図に示すように、ＶＰＮ宛先情報３６３は、クラウドサイト側ポート番号７１１、及びクラウドサイト側グローバルＩＰアドレス７１２の各項目からなる複数のレコードで構成されている。クラウドサイト側ポート番号７１１には、サーバ装置２０がクラウドサービスの識別に用いるポート番号が設定される。クラウドサイト側グローバルＩＰアドレス７１２には、クラウド側ＮＡＴ装置２２のグローバルＩＰアドレス（クラウド側ＶＰＮ装置２１がインターネット５に接続している場合にはクラウド側ＶＰＮ装置２１のグローバルＩＰアドレス。）が設定される。尚、クラウドサイト側グローバルＩＰアドレス７１２が複数存在するのは、例えば、負荷分散や可用性の確保等を目的として、クラウドサイト２やクラウド側ＮＡＴ装置２２が複数設けられているからである。またクラウド側ＶＰＮ装置２１に仮想的に複数のグローバルＩＰアドレスが付与されている場合や複数のＶＬＡＮが構築されている場合もある。クラウドサイト側グローバルＩＰアドレス７１２は動的に変化することもある。
【００５９】
続いてユーザ側ＧＷ装置３１の処理について説明する。図８はユーザ側ＧＷ装置３１の入出力ポートＡ３５１にパケットが着信した際にユーザ側ＧＷ装置３１が行う処理を説明するフローチャートである。
【００６０】
入出力ポートＡ３５１にパケットが着信すると（Ｓ８１１：Ｙ）、パケット判定部３５３が、着信したパケットが、情報更新パケットであるか要求パケットであるかを判定する（Ｓ８１２）。着信したパケットが情報更新パケットである場合（Ｓ８１２：情報更新パケット）、パケット判定部３５３は当該情報更新パケットを情報更新処理部３５６に送信する（Ｓ８１３）。着信したパケットが要求パケットである場合（Ｓ８１２：要求パケット）、パケット判定部３５３は当該要求パケットをＮＡＴ変換部３５４に送信する（Ｓ８２１）。
【００６１】
情報更新処理部３５６は、パケット判定部３５３から情報更新パケットを受信すると、当該情報更新パケットの内容に従ってパケット制御情報（変換規則３６１、ＶＰＮ制御情報３６２、ＶＰＮ宛先情報３６３のうちの少なくともいずれか）を更新する（Ｓ８１４）。その後、処理はＳ８１１に戻る。
【００６２】
ＮＡＴ変換部３５４は、パケット判定部３５３から要求パケットを受信すると、変換規則３６１に従い、当該要求パケットに設定されている「SIP」及び「Sport」をクラウド側ＮＷ５１で用いる「SIP」及び「Sport」に変換し、変換後の要求パケットをＶＰＮ処理部３５５に送信する（Ｓ８２２）。
【００６３】
ＶＰＮ処理部３５５は、ＮＡＴ変換部３５４から要求パケットを受信すると、Ｓ８２３における変換前の要求パケットの「SIP」をキーとしてＶＰＮ制御情報３６２を検索し、ＶＰＮカプセル化に際し当該要求パケットについて実施する制御方法を取得する（Ｓ８２３）。
【００６４】
またＶＰＮ処理部３５５は、Ｓ８２３における変換後の要求パケットの「Sport」をキーとしてＶＰＮ宛先情報３６３を検索し、当該要求パケットの宛先であるクラウドサイト２側のグローバルＩＰアドレス、即ちクラウド側ＮＡＴ装置２２のグローバルＩＰアドレス（クラウド側ＶＰＮ装置２１がインターネット５に直接接続している場合にはクラウド側ＶＰＮ装置２１のグローバルＩＰアドレス）を取得する（Ｓ８２４）。
【００６５】
続いてＶＰＮ処理部３５５は、Ｓ８２３にて取得した制御方法に基づき当該要求パケットをＶＰＮカプセル化し、ＶＰＮカプセル化後の要求パケットを、Ｓ８２４にて取得したグローバルＩＰアドレス宛に入出力ポートＢ３５２から送信する（Ｓ８２５）。その後、処理はＳ８１１に戻る。
【００６６】
ユーザ側ＧＷ装置３１の入出力ポートＡ３５１にパケットが着信するとユーザ側ＧＷ装置３１は以上のように動作する。
【００６７】
図９はユーザ側ＧＷ装置３１の入出力ポートＢ３５２にパケットが着信した際にユーザ側ＧＷ装置３１が行う処理を説明するフローチャートである。
【００６８】
入出力ポートＢ３５２にパケットが着信すると（Ｓ９１１）、まずＶＰＮ処理部３５５が、着信したパケットをＶＰＮカプセル化解除し、ＶＰＮカプセル化解除後のパケットをパケット判定部３５３に送信する（Ｓ９１２）。
【００６９】
パケット判定部３５３は、ＶＰＮカプセル化解除後のパケットを受信すると、当該パケットが情報更新パケットであるか応答パケットであるかを判定する（Ｓ９１３）。着信したパケットが情報更新パケットである場合（Ｓ９１３：情報更新パケット）、パケット判定部３５３は当該情報更新パケットを情報更新処理部３５６に送信する（Ｓ９１４）。また着信したパケットが応答パケットである場合（Ｓ９１３：応答パケット）、パケット判定部３５３は当該応答パケットをＮＡＴ変換部３５４に送信する（Ｓ９２１）。
【００７０】
情報更新処理部３５６は、パケット判定部３５３から情報更新パケットを受信すると、当該情報更新パケットの内容に従ってパケット制御情報（変換規則３６１、ＶＰＮ制御情報３６２、ＶＰＮ宛先情報３６３のうちの少なくともいずれか）を更新する（Ｓ９１５）。その後、処理はＳ９１１に戻る。
【００７１】
ＮＡＴ変換部３５４は、パケット判定部３５３から応答パケットを受信すると、これに設定されている「DIP」並びに「Dport」をキーとして変換テーブル４００を検索し、応答パケットに設定されているクラウド側ＮＷ５１の「DIP」並びに「Dport」を、ユーザ側ＮＷ５２の「DIP」並びに「Dport」に変換する（Ｓ９２２）。そしてＮＡＴ変換部３５４は、変換後の応答パケットを該当のユーザ装置３０に入出力ポートＡ３５１から送信する（Ｓ９２３）。その後、処理はＳ９１１に戻る。
【００７２】
ユーザ側ＧＷ装置３１の入出力ポートＢ３５２にパケットが着信するとユーザ側ＧＷ装置３１は以上のように動作する。
【００７３】
ところで、本発明は以上に説明した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。またある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、またある実施例の構成に他の実施例の構成を加えることも可能である。また各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【００７４】
また上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウエアで実現してもよい。また上記の各構成、機能等は、中央処理装置（プロセッサ）がそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウエアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に記憶することができる。
【００７５】
また制御線や情報線は説明上必要と考えられるものを示すものであり、必ずしも本発明が適用される製品の全ての制御線や情報線を示しているとは限らない。
【００７６】
また以上の説明における「ＮＡＴ装置」、「ゲートウェイ装置（ＧＷ装置）」、「ＶＰＮ装置」等のネットワーク機器の名称は便宜上のものに過ぎず、これらの装置は夫々の機能に特化した装置として構成することもできるし、複数の機能を兼ね備えた装置として構成することもできる。また同等の機能をルータ装置、スイッチ装置、情報処理装置等に組み込んでもよい。
【符号の説明】
【００７７】
１  ネットワークシステム、２  クラウドサイト、３  ユーザサイト、５  インターネット、２０  サーバ装置、２１  クラウド側ＶＰＮ装置、２２  クラウド側ＮＡＴ装置、３０  ユーザ装置、３１  ユーザ側ＧＷ装置、３１１  ユーザ側ＶＰＮ装置、３１２  ユーザ側第２ＮＡＴ装置、３５１  入出力ポートＡ、３５２  入出力ポートＢ、３５３  パケット判定部、３５４  ＮＡＴ変換部、３５５  ＶＰＮ処理部、３５６  情報更新処理部、３６１  変換規則、３６２  ＶＰＮ制御情報、３６３  ＶＰＮ宛先情報、３２  ユーザ側第１ＮＡＴ装置、５１  クラウド側ＮＷ、５２  ユーザ側ＮＷ、４００  変換テーブル
【図１】
2015068255.tif 000003
【図２】
2015068255.tif 000004
【図３】
2015068255.tif 000005
【図４】
2015068255.tif 000006
【図５】
2015068255.tif 000007
【図６】
2015068255.tif 000008
【図７】
2015068255.tif 000009
【図８】
2015068255.tif 000010
【図９】
2015068255.tif 000011
【図１０】
2015068255.tif 000012
【手続補正書】
【提出日】平成28年4月12日(2016.4.12)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
情報処理サービスを提供する提供サイトの通信ネットワークである提供側ネットワークに接続するサーバ装置と、
インターネットを介して前記提供側ネットワークと通信可能に接続する、前記情報処理サービスを利用するユーザサイトの通信ネットワークであるユーザ側ネットワークに接続し、前記サーバ装置にアクセスして前記情報処理サービスを利用するユーザ装置と、
前記提供側ネットワークに接続する提供側ＶＰＮ装置と、
互いに通信可能な、前記ユーザ側ネットワークに接続し、前記提供側ＶＰＮ装置と共に前記インターネットを介したＶＰＮ通信を実現するユーザ側ＶＰＮ装置、及び、前記ユーザ側ネットワークに接続するユーザ側第２アドレス変換装置と、
前記ユーザ側ネットワークと前記インターネットとの間に介在し、前記ユーザ側ネットワークと前記インターネットとの間で送受信されるパケットについて、前記ユーザ側ネットワークのプライベートアドレスと前記インターネットのグローバルアドレスとの相互変換を行うユーザ側第１アドレス変換装置と、
を備え、
前記ユーザ側第２アドレス変換装置は、前記ユーザ装置から、前記サーバ装置に対して前記情報処理サービスの利用を要求するパケットである要求パケットを前記ユーザ側ネットワークを介して受信すると、
予め設定された変換規則に従って、当該要求パケットの、前記ユーザ側ネットワークの通信に用いるヘッダに設定されている、前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレス及び送信先アドレスを、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレス及び送信先アドレスに変換し、
前記変換された要求パケットを、前記ユーザ側ＶＰＮに送信し、
前記ユーザ側ＶＰＮ装置は、前記ユーザ側第２アドレス変換装置から、前記変換された要求パケットを受信すると、
前記提供側ネットワークのプライベートアドレスで表記された送信先アドレスに対応する前記インターネットのグローバルアドレスを取得し、
前記送信先アドレスに前記取得したインターネットのグローバルアドレスを設定し、
前記送信元アドレスに前記ユーザ側ネットワークで表記された前記ユーザ側ＶＰＮ装置のプライベートアドレスを設定し、
前記変換後の前記要求パケットをカプセル化したパケットであるＶＰＮパケットを、前記ユーザ側ネットワークを介して前記ユーザ側第１アドレス変換装置に送信し、
前記ユーザ側第１アドレス変換装置は、前記ユーザ側ＶＰＮ装置から、前記ＶＰＮパケットを前記ユーザ側ネットワークを介して受信すると、
前記送信元アドレスに前記ユーザ側第１アドレス変換装置のグローバルアドレスを設定し、
前記設定されたＶＰＮパケットを、前記インターネットを介して前記提供側ＶＰＮ装置に送信し、
前記提供側ＶＰＮ装置は、前記ＶＰＮパケットを受信すると、当該ＶＰＮパケットのカプセル化を解除して前記要求パケットを取得し、取得した前記要求パケットを、前記提供側ネットワークを介して前記サーバ装置に送信する
ネットワークシステム。
【請求項２】
請求項１に記載のネットワークシステムであって、
前記ユーザ側ネットワークは複数存在し、
前記ユーザ側ネットワークの夫々に接続する、前記ユーザ装置、前記ユーザ側ＶＰＮ装置、及び前記ユーザ側第２アドレス変換装置を含み、
前記ユーザ側第２アドレス変換装置の夫々の前記変換規則は、前記ユーザ側ネットワークの夫々に接続する前記ユーザ側第２アドレス変換装置が、前記要求パケットのヘッダの前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記ユーザ側ネットワーク間で固有の前記提供側ネットワークのプライベートアドレスに変換するように設定されている
ネットワークシステム。
【請求項３】
請求項１又は２に記載のネットワークシステムであって、
前記ユーザ側第２アドレス変換装置は、前記要求パケットを受信すると、予め設定された変換規則に従って、当該要求パケットのヘッダに設定されている送信先ポート番号を、前記サーバ装置が前記情報処理サービスの識別に用いるポート番号である提供サイト側のポート番号に変換する
ネットワークシステム。
【請求項４】
請求項３に記載のネットワークシステムであって、
前記ユーザ側ＶＰＮ装置は、前記サーバ装置が前記情報処理サービスの識別に用いるポート番号と前記提供側ＶＰＮ装置のグローバルアドレスとの対応を記憶し、前記要求パケットの前記変換後のポート番号に対応する前記グローバルアドレスを宛先として前記ＶＰＮパケットを前記ＶＰＮ通信により送信する
ネットワークシステム。
【請求項５】
請求項１又は２に記載のネットワークシステムであって、
前記ユーザ側ＶＰＮ装置は、前記ユーザ側ネットワークのプライベートアドレスと前記ＶＰＮ通信の制御方法との対応を記憶し、前記要求パケットの前記変換前の前記ユーザ側ネットワークのプライベートアドレスで表記された前記送信元アドレスに対応する前記制御方法に従って前記ＶＰＮ通信を行う
ネットワークシステム。
【請求項６】
請求項１又は２に記載のネットワークシステムであって、
前記サーバ装置は、受信した前記要求パケットの前記ヘッダに設定されている、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレスを送信先アドレスとしてヘッダに設定した応答パケットを、前記提供側ネットワークを介して前記提供側ＶＰＮ装置に送信し、
前記提供側ＶＰＮ装置は、前記応答パケットをカプセル化したパケットであるＶＰＮパケットをＶＰＮ通信により前記ユーザ側ＶＰＮ装置に送信し、
前記ユーザ側ＶＰＮ装置は、前記ＶＰＮパケットを受信するとカプセル化を解除して前記応答パケットを取得し、取得した前記応答パケットを前記ユーザ側第２アドレス変換装置に送信し、
前記ユーザ側第２アドレス変換装置は、前記変換規則を参照し、当該応答パケットのヘッダに設定されている、前記提供側ネットワークのプライベートアドレスで表記された送信先アドレスを、前記ユーザ側ネットワークのプライベートアドレスで表記された送信先アドレスに変換し、変換後の応答パケットを、前記ユーザ側ネットワークを介して前記ユーザ装置に送信する
ネットワークシステム。
【請求項７】
請求項１に記載のネットワークシステムであって、
前記ユーザ側第２アドレス変換装置は、ユーザインタフェースを介して受け付けた更新指示に応じて、又は、前記提供側ネットワークに接続する情報処理装置もしくは前記ユーザ側ネットワークに接続する情報処理装置から送られてくる更新指示に応じて、前記変換規則を更新する
ネットワークシステム。
【請求項８】
請求項７に記載のネットワークシステムであって、
前記ユーザ側第２アドレス変換装置、又は前記提供側ネットワークに接続する情報処理装置もしくは前記ユーザ側ネットワークに接続する情報処理装置は、前記変換規則の設定を受け付ける画面を表示装置に表示しつつ前記変換規則の設定内容を受け付ける
ネットワークシステム。
【請求項９】
請求項１又は２に記載のネットワークシステムであって、
前記情報処理サービスはクラウドサービスである
ネットワークシステム。
【請求項１０】
請求項１又は２に記載のネットワークシステムであって、
前記ユーザ側第２アドレス変換装置は、ＮＡＴ装置又はＮＡＰＴ装置である
ネットワークシステム。
【請求項１１】
請求項１に記載のネットワークシステムにおける前記ユーザ側第２アドレス変換装置として機能する通信制御装置であって、
前記ユーザ装置から、前記サーバ装置に対して前記情報処理サービスの利用を要求するパケットである要求パケットを前記ユーザ側ネットワークを介して受信すると、予め設定された変換規則に従って、当該要求パケットの、前記ユーザ側ネットワークの通信に用いるヘッダに設定されている、前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレスに変換する
通信制御装置。
【請求項１２】
請求項１に記載のネットワークシステムにおける前記ユーザ側第２アドレス変換装置及び前記ユーザ側ＶＰＮ装置を備えた通信制御装置であって、
前記ユーザ装置から、前記サーバ装置に対して前記情報処理サービスの利用を要求するパケットである要求パケットを前記ユーザ側ネットワークを介して受信すると、予め設定された変換規則に従って、当該要求パケットの、前記ユーザ側ネットワークの通信に用いるヘッダに設定されている、前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレスに変換し、
前記変換後の前記要求パケットをカプセル化したパケットであるＶＰＮパケットを、前記ＶＰＮ通信によりインターネットを介して前記提供側ＶＰＮ装置に送信する
通信制御装置。
【請求項１３】
請求項１１又は１２に記載の通信制御装置であって、
前記ユーザ側ネットワークは複数存在し、
前記ユーザ側ネットワークの夫々に接続する、前記ユーザ装置、前記ユーザ側ＶＰＮ装置、及び前記ユーザ側第２アドレス変換装置を含み、
前記ユーザ側第２アドレス変換装置の夫々の前記変換規則は、前記ユーザ側ネットワークの夫々に接続する前記ユーザ側第２アドレス変換装置が、前記要求パケットのヘッダの前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレスを、前記ユーザ側ネットワーク間で固有の前記提供側ネットワークのプライベートアドレスに変換するように設定されている
通信制御装置。
【請求項１４】
情報処理サービスを提供する提供サイトの通信ネットワークである提供側ネットワークに接続するサーバ装置と、
インターネットを介して前記提供側ネットワークと通信可能に接続する、前記情報処理サービスを利用するユーザサイトの通信ネットワークであるユーザ側ネットワークに接続し、前記サーバ装置にアクセスして前記情報処理サービスを利用するユーザ装置と、
前記提供側ネットワークに接続する提供側ＶＰＮ装置と、
互いに通信可能な、前記ユーザ側ネットワークに接続し、前記提供側ＶＰＮ装置と共に前記インターネットを介したＶＰＮ通信を実現するユーザ側ＶＰＮ装置、及び、前記ユーザ側ネットワークに接続するユーザ側第２アドレス変換装置と、
前記ユーザ側ネットワークと前記インターネットとの間に介在し、前記ユーザ側ネットワークと前記インターネットとの間で送受信されるパケットについて、前記ユーザ側ネットワークのプライベートアドレスと前記インターネットのグローバルアドレスとの相互変換を行うユーザ側第１アドレス変換装置と、
を含んで構成されるネットワークシステムにおける通信方法であって、
前記ユーザ側第２アドレス変換装置が、前記ユーザ装置から、前記サーバ装置に対して前記情報処理サービスの利用を要求するパケットである要求パケットを前記ユーザ側ネットワークを介して受信すると、
予め設定された変換規則に従って、当該要求パケットの、前記ユーザ側ネットワークの通信に用いるヘッダに設定されている、前記ユーザ側ネットワークのプライベートアドレスで表記された送信元アドレス及び送信先アドレスを、前記提供側ネットワークのプライベートアドレスで表記された送信元アドレス及び送信先アドレスに変換し、
前記変換された要求パケットを、前記ユーザ側ＶＰＮに送信し、
前記ユーザ側ＶＰＮ装置が、前記ユーザ側第２アドレス変換装置から、前記変換された要求パケットを受信すると、
前記提供側ネットワークのプライベートアドレスで表記された送信先アドレスに対応する前記インターネットのグローバルアドレスを取得し、
前記送信先アドレスに前記取得したインターネットのグローバルアドレスを設定し、
前記送信元アドレスに前記ユーザ側ネットワークで表記された前記ユーザ側ＶＰＮ装置のプライベートアドレスを設定し、
前記変換後の前記要求パケットをカプセル化したパケットであるＶＰＮパケットを、前記ユーザ側ネットワークを介して前記ユーザ側第１アドレス変換装置に送信し、
前記ユーザ側第１アドレス変換装置は、前記ユーザ側ＶＰＮ装置から、前記ＶＰＮパケットを前記ユーザ側ネットワークを介して受信すると、
前記送信元アドレスに前記ユーザ側第１アドレス変換装置のグローバルアドレスを設定し、
前記設定されたＶＰＮパケットを、前記インターネットを介して前記提供側ＶＰＮ装置に送信し、
前記提供側ＶＰＮ装置が、前記ＶＰＮパケットを受信すると、当該ＶＰＮパケットのカプセル化を解除して前記要求パケットを取得し、取得した前記要求パケットを、前記提供側ネットワークを介して前記サーバ装置に送信する
通信方法。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００４４
【補正方法】変更
【補正の内容】
【００４４】
ユーザ側第１ＮＡＴ装置３２は、インターネット５を介して応答パケット２０３を受信すると、応答パケット２０３に設定されているグローバルＩＰアドレスをユーザ側ＮＷ５２のプライベートアドレスに変換し、変換後の応答パケット２０４を、ユーザ側ＮＷ５２を介してユーザ側ＶＰＮ装置３１１に送信する（Ｓ２１４）。この例では、ユーザ側第１ＮＡＴ装置３２は、応答パケット２０４のヘッダに、「SIP:192.168.0.1」、「DIP: 192.168.0.130」、「Sport:1194」、「Dport：25000」を設定している。ここで「SIP:192.168.0.1」は、ユーザ側ＮＷ５２においてユーザ側第１ＮＡＴ装置３２に付与されているプライベートアドレスである。「DIP: 192.168.0.130」は、ユーザ側ＮＷ５２においてユーザ側ＶＰＮ装置３１１に付与されているプライベートアドレスである。「Sport:1194」は、ＶＰＮサービスに割り当てられているウェルノウンポートである。「Dport：25000」は、要求パケット１０４の送信に際してユーザ側第１ＮＡＴ装置３２が記憶した内容に基づき設定する。前述したように、ユーザ側第１ＮＡＴ装置３２は、要求パケット１０３の「SIP:10.0.0.130」と「Sport:25000」の組み合わせと、要求パケット１０４に付与した「Sport:40000」の対応を記憶しており、ユーザ側第１ＮＡＴ装置３２は、応答パケット２０３の「Dport：40000」に基づき「SIP:10.0.0.130」と「Sport:25000」の組み合わせを取得する。
【手続補正３】
【補正対象書類名】図面
【補正対象項目名】図３
【補正方法】変更
【補正の内容】
【図３】
2015068255.tif 000013
【国際調査報告】
2015068255.tif 000014
2015068255.tif 000015
2015068255.tif 000016
2015068255.tif 000017