(57)【要約】【課題】アドレス体系が異なる複数のネットワークから構成されるネットワークシステムにおいて、アドレスの設定変更を行うことなく、ネットワーク機器を他のネットワークに移動できるようにする。【解決手段】サーバ4は、LAN60上からLAN70上に移動したネットワーク機器である。VPN装置1,2により、インターネット100上にEthernetフレームを透過するVPN10を構築し、このVPN10を介してサーバ4とユーザ端末3との間でEthernetフレームが送受信されるようにする。即ち、ユーザ端末3がサーバ4の移動前のアドレスを宛て先とするEthernetフレームをLAN60上に送出すると、VPN装置1が、VPN装置2のアドレスを含むヘッダによりEthernetフレームをカプセル化し、更にそれを暗号化してVPN装置2へ送信する。VPN装置2では、復号処理及びカプセル化解除処理を行ったEthernetフレームをLAN70上に出力する。【選択図】図２
2008227715.tif 000002
【特許請求の範囲】
【請求項１】
ＩＰアドレス体系が異なる複数のネットワークを備えたネットワークシステムにおいて、
前記複数のネットワーク毎にVPN装置を設け、
ネットワーク間を移動した移動ネットワーク機器の移動元ネットワークおよび移動先ネットワークに設けられたVPN装置が、前記移動先ネットワークと前記移動元ネットワークとの間にEthernetフレームを透過させる透過VPNを設定し、前記移動ネットワーク機器と前記移動元ネットワーク上のネットワーク機器との間のＩＰ通信を前記透過VPNを介して行うことを特徴とするネットワークシステム。
【請求項２】
請求項１記載のネットワークシステムにおいて、
前記VPN装置が、相手方のVPN装置へ前記透過VPNを介してＩＰ通信を行う場合は、前記EthernetフレームをＩＰアドレスを含んだヘッダでカプセル化すると共に暗号化して送信し、前記相手方のVPN装置から前記透過VPNを介してカプセル化および暗号化されたEthernetフレームを受信した場合は、Ethernetフレームを復号すると共にカプセル化を解除することを特徴とするネットワークシステム。
【請求項３】
請求項１記載のネットワークシステムにおいて、
前記移動元ネットワークおよび移動先ネットワークに設けられたVPN装置が、前記移動元ネットワークと前記移動先ネットワークとの間に、Ethernetフレームを透過しない非透過VPNを設定し、前記移動先ネットワーク上のネットワーク機器であって、前記移動先ネットワークのＩＰアドレス体系に従ったＩＰアドレスが付与されているネットワーク機器と前記移動元ネットワーク上のネットワーク機器との間のＩＰ通信を、前記非透過VPNを介して行うことを特徴とするネットワークシステム。
【請求項４】
請求項３記載のネットワークシステムにおいて、
前記VPN装置が、相手方のVPN装置へ前記透過VPNを介してＩＰ通信を行う場合には、前記EthernetフレームをＩＰアドレスを含んだヘッダでカプセル化すると共に暗号化して送信し、前記相手方のVPN装置へ前記非透過VPNを介してＩＰ通信を行う場合は、前記EthernetフレームをＩＰレベルで暗号化してから送信し、前記相手方のVPN装置からカプセル化および暗号化されたEthernetフレームを受信した場合は、Ethernetフレームを復号すると共にカプセル化を解除し、前記相手方のVPN装置からＩＰレベルで暗号化されたEthernetフレーム受信した場合は、Ethernetフレームを復号することを特徴とするネットワークシステム。
【請求項５】
請求項３記載のネットワークシステムにおいて、
前記移動元ネットワークおよび前記移動先ネットワークを除いた特定ネットワークに設けられたVPN装置および前記移動元ネットワークに設けられたVPN装置が、前記特定ネットワークと前記移動元ネットワークとの間に特定非透過VPNを設定し、前記移動元ネットワークに設けられているVPN装置が、前記移動先ネットワークに設けられているVPN装置から前記非透過VPNを介して送られてきたＩＰレベルで暗号化されたEthernetフレームを、前記特定非透過VPNを介して前記特定ネットワークに設けられているVPN装置へ転送することを特徴とするネットワークシステム。
【請求項６】
ＩＰアドレス体系が異なる複数のネットワークを備えたネットワークシステムにおいて、
前記複数のネットワーク毎にVPN装置を設け、
ネットワーク間を移動した移動ネットワーク機器の移動元ネットワークおよび移動先ネットワークに設けられたVPN装置が、前記移動先ネットワークと前記移動元ネットワークとの間にEthernetフレームを透過させる透過VPNを設定し、前記移動ネットワーク機器と前記移動元ネットワーク上のネットワーク機器との間のＩＰ通信を前記透過VPNを介して行うことを特徴とする通信方法。
【請求項７】
請求項６記載の通信方法において、
前記移動元ネットワークおよび移動先ネットワークに設けられたVPN装置が、前記移動元ネットワークと前記移動先ネットワークとの間に、Ethernetフレームを透過しない非透過VPNを設定し、前記移動先ネットワーク上のネットワーク機器であって、前記移動先ネットワークのＩＰアドレス体系に従ったＩＰアドレスが付与されているネットワーク機器と前記移動元ネットワーク上のネットワーク機器との間のＩＰ通信を、前記非透過VPNを介して行うことを特徴とする通信方法。
【請求項８】
請求項７記載の通信方法において、
前記移動元ネットワークおよび前記移動先ネットワークを除いた特定ネットワークに設けられたVPN装置および前記移動元ネットワークに設けられたVPN装置が、前記特定ネットワークと前記移動元ネットワークとの間に特定非透過VPNを設定し、前記移動元ネットワークに設けられているVPN装置が、前記移動先ネットワークに設けられているVPN装置から前記非透過VPNを介して送られてきた暗号化されたEthernetフレームを、前記特定非透過VPNを介して前記特定ネットワークに設けられているVPN装置へ転送することを特徴とする通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰアドレス体系が異なる複数のネットワークから構成されるネットワークシステムに関し、特に、サーバやユーザ端末などのネットワーク機器をＩＰアドレス体系が異なるネットワークへスムーズに移動させることができるネットワークシステムに関する。
【背景技術】
【０００２】
ＩＰアドレス体系が異なる複数のネットワークから構成されるネットワークシステムにおいては、共有サーバ等のIT資源をアドレス体系が異なる他のネットワークへ移動させることが必要になる場合がある。このような場合、従来は、対象となるIT資産の移動のみに留まらず、その利用者であるユーザ端末のIPアドレスやネットワーク設定の変更が必要となっていたため、多大な作業量が発生するという問題や、更には移行後のトラブルも少なからず発生していたため、スムーズな移動ができないといった問題があった。
【０００３】
一方、移動機がネットワーク間を移動しても、同一のIPアドレスで、元のネットワークにアクセスすることができる技術として、モバイルIPが従来から知られている（例えば、特許文献１、２参照）。
【０００４】
【特許文献１】特開２００５−２２９６５１号公報
【特許文献２】特開２００５−２２９６５２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
特許文献１、２に記載されているモバイルIPでは、移動機がアクセスする際に、認証等のアクションが必要である。そのため、移動機にソフトウェア等を導入し、アクションをおこすことができるよう設定するという作業が発生する。アドレス体系が異なる複数のネットワークから構成される従来のネットワークシステムにおいて、共有サーバ等のネットワーク機器をアドレス体系が異なる他のネットワークに移動させたい場合、モバイルIPにおいては、同一IPアドレスにて、元のネットワークにアクセスすることはできるが、移動機に対する初期段階の設定変更は必要になる。
【０００６】
〔発明の目的〕
そこで、本発明の目的は、ＩＰアドレス体系が異なる複数のネットワークから構成されるネットワークシステムにおいて、移動する共有サーバ等のネットワーク機器の設定変更を行うことなく、アドレス体系が異なる他のネットワークへ移動できるようにすることにある。
【課題を解決するための手段】
【０００７】
本発明にかかる第１のネットワークシステムは、
ＩＰアドレス体系が異なる複数のネットワークを備えたネットワークシステムにおいて、
前記複数のネットワーク毎にVPN装置を設け、
ネットワーク間を移動した移動ネットワーク機器の移動元ネットワークおよび移動先ネットワークに設けられたVPN装置が、前記移動先ネットワークと前記移動元ネットワークとの間にEthernetフレームを透過させる透過VPNを設定し、前記移動ネットワーク機器と前記移動元ネットワーク上のネットワーク機器との間のＩＰ通信を前記透過VPNを介して行うことを特徴とする。
【０００８】
本発明にかかる第２のネットワークシステムは、第１のネットワークシステムにおいて、
前記VPN装置が、相手方のVPN装置へ前記透過VPNを介してＩＰ通信を行う場合は、前記EthernetフレームをＩＰアドレスを含んだヘッダでカプセル化すると共に暗号化して送信し、前記相手方のVPN装置から前記透過VPNを介してカプセル化および暗号化されたEthernetフレームを受信した場合は、Ethernetフレームを復号すると共にカプセル化を解除することを特徴とする。
【０００９】
本発明にかかる第３のネットワークシステムは、第１のネットワークシステムにおいて、
前記移動元ネットワークおよび移動先ネットワークに設けられたVPN装置が、前記移動元ネットワークと前記移動先ネットワークとの間に、Ethernetフレームを透過しない非透過VPNを設定し、前記移動先ネットワーク上のネットワーク機器であって、前記移動先ネットワークのＩＰアドレス体系に従ったＩＰアドレスが付与されているネットワーク機器と前記移動元ネットワーク上のネットワーク機器との間のＩＰ通信を、前記非透過VPNを介して行うことを特徴とする。
【００１０】
本発明にかかる第４のネットワークシステムは、第３のネットワークシステムにおいて、
前記VPN装置が、相手方のVPN装置へ前記透過VPNを介してＩＰ通信を行う場合には、前記EthernetフレームをＩＰアドレスを含んだヘッダでカプセル化すると共に暗号化して送信し、前記相手方のVPN装置へ前記非透過VPNを介してＩＰ通信を行う場合は、前記EthernetフレームをＩＰレベルで暗号化してから送信し、前記相手方のVPN装置からカプセル化および暗号化されたEthernetフレームを受信した場合は、Ethernetフレームを復号すると共にカプセル化を解除し、前記相手方のVPN装置からＩＰレベルで暗号化されたEthernetフレームを受信した場合は、Ethernetフレームを復号することを特徴とする。
【００１１】
本発明にかかる第５のネットワークシステムは、第３のネットワークシステムにおいて、
前記移動元ネットワークおよび前記移動先ネットワークを除いた特定ネットワークに設けられたVPN装置および前記移動元ネットワークに設けられたVPN装置が、前記特定ネットワークと前記移動元ネットワークとの間に特定非透過VPNを設定し、前記移動元ネットワークに設けられているVPN装置が、前記移動先ネットワークに設けられているVPN装置から前記非透過VPNを介して送られてきたＩＰレベルで暗号化されたEthernetフレームを、前記特定非透過VPNを介して前記特定ネットワークに設けられているVPN装置へ転送することを特徴とする。
【００１２】
本発明にかかる第１の通信方法は、
ＩＰアドレス体系が異なる複数のネットワークを備えたネットワークシステムにおいて、
前記複数のネットワーク毎にVPN装置を設け、
ネットワーク間を移動した移動ネットワーク機器の移動元ネットワークおよび移動先ネットワークに設けられたVPN装置が、前記移動先ネットワークと前記移動元ネットワークとの間にEthernetフレームを透過させる透過VPNを設定し、前記移動ネットワーク機器と前記移動元ネットワーク上のネットワーク機器との間のＩＰ通信を前記透過VPNを介して行うことを特徴とする。
【００１３】
本発明にかかる第２の通信方法は、第１の通信方法において、
前記移動元ネットワークおよび移動先ネットワークに設けられたVPN装置が、前記移動元ネットワークと前記移動先ネットワークとの間に、Ethernetフレームを透過しない非透過VPNを設定し、前記移動先ネットワーク上のネットワーク機器であって、前記移動先ネットワークのＩＰアドレス体系に従ったＩＰアドレスが付与されているネットワーク機器と前記移動元ネットワーク上のネットワーク機器との間のＩＰ通信を、前記非透過VPNを介して行うことを特徴とする。
【００１４】
本発明にかかる第３の通信方法は、第２の通信方法において、
前記移動元ネットワークおよび前記移動先ネットワークを除いた特定ネットワークに設けられたVPN装置および前記移動元ネットワークに設けられたVPN装置が、前記特定ネットワークと前記移動元ネットワークとの間に特定非透過VPNを設定し、前記移動元ネットワークに設けられているVPN装置が、前記移動先ネットワークに設けられているVPN装置から前記非透過VPNを介して送られてきた暗号化されたEthernetフレームを、前記特定非透過VPNを介して前記特定ネットワークに設けられているVPN装置へ転送することを特徴とする。
【００１５】
〔作用〕
他のネットワーク上にネットワーク機器を移動させた場合、上記ネットワーク機器の移動元ネットワークおよび移動先ネットワークに設けられたVPN装置を用いて、移動先ネットワークと移動元ネットワークとの間にEthernetフレームを透過させる透過VPNを設定し、移動ネットワーク機器と移動元ネットワーク上のネットワーク機器との間のEthernetフレームの送受信を透過VPNを介して行うようにする。
【発明の効果】
【００１６】
本発明によれば、ＩＰアドレス体系が異なる複数のネットワークから構成されるネットワークシステムにおいて、設定変更を行うことなく、ネットワーク機器をＩＰアドレス体系が異なる他のネットワークへ移動することが可能になるという効果を得ることができる。特に、他のネットワークに移動したサーバ等のネットワーク機器を利用するユーザ端末などのネットワーク機器が移動元ネットワークに多数存在する場合、本発明の効果は非常に大きなものとなる。その理由は、ネットワーク間を移動した移動ネットワーク機器の移動元ネットワークおよび移動先ネットワークに設けられたVPN装置が、上記移動先ネットワークと上記移動元ネットワークとの間にEthernetフレームを透過させる透過VPNを設定し、上記移動ネットワーク機器と上記移動元ネットワーク上のネットワーク機器との間のEthernetフレームの送受信を上記透過VPNを介して行うようにしているからである。
【発明を実施するための最良の形態】
【００１７】
次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。
【００１８】
〔本発明の第１の実施の形態〕
図１を参照すると、本発明の第１の実施の形態のネットワークシステムは、エリアA、Bを含み、エリアA、Bにはそれぞれアドレス体系が異なるLAN60、70が設けられている。エリアA内のLAN60には、VPN（Virtual Private Network）装置１と、ユーザ端末３と、IT資産であるサーバ４とが接続され、エリアB内のLAN70には、VPN装置２が接続されている。
【００１９】
ユーザ端末３は、パーソナルコンピュータ等の情報処理装置であり、サーバ４にアクセスを行いファイル共有、グループウェア等のアプリケーションを使用する。なお、ユーザ端末３のIPアドレスは、エリアA内のプライベートアドレスを使用しており、×.×.×.×とする。
【００２０】
サーバ４は共有ファイル、グループウェア等のアプリケーションを有し、ユーザ端末３とクライアント−サーバ型で通信を行い、ユーザ端末３にサービスを提供する。なお、サーバ４のIPアドレスは、エリアA内のプライベートアドレスを使用しており、○.○.○.○とする。
【００２１】
図１に示すネットワークシステムにおいて、サーバ４をエリアAからエリアBへ移動させることが必要になる場合がある。このような場合は、先ず、VPN装置１、２を用いて図２に示すようにインターネット100上に暗号化等の対策を行ったセキュリティの確保されたVPN10を構築する。このVPN10は、Ethernet（登録商標）フレームを透過可能なVPNであり、透過VPN10と記す場合もある。その後、エリアA内のLAN60に接続されているサーバ４をLAN60から切り離し、エリアBに移動させ、エリアB内のLAN70に接続する。
【００２２】
図３は、図２に示したVPN10を構築するVPN装置１の構成例を示すブロック図である。図３を参照すると、VPN装置１は、受信手段31と、振り分け手段32と、カプセル化手段33と、暗号化手段34と、送信手段35と、受信手段36と、復号手段37と、カプセル化解除手段38と、送信手段39とを備えている。なお、VPN装置２も同様の構成を有している。
【００２３】
受信手段31は、LAN60上のEthernetフレームを受信し、振り分け手段32に渡す機能を有する。振り分け手段32は、受信手段31から渡されたEthernetフレームの宛て先がサーバ４宛である場合は、上記Ethernetフレームをカプセル化手段33に渡す機能を有する。
【００２４】
カプセル化手段33は、振り分け手段32から渡されたEthernetフレームをカプセル化し、暗号化手段34に渡す機能を有する。即ち、ＩＰアドレスを含んだヘッダをEthernetフレームに付加して暗号化手段34に渡す。
【００２５】
暗号化手段34は、カプセル化されたEthernetフレームを暗号化し、送信手段３５に渡す機能を有する。送信手段35は、インターネット100上に構築されたVPN10を介してカプセル化および暗号化されたEthernetフレームを送信する機能を有する。
【００２６】
受信手段36は、相手方のVPN装置２からインターネット100上に構築されたVPN10を介して送られてきたカプセル化および暗号化されたEthernetフレームを受信し、復号手段37に渡す機能を有する。復号手段37は、受信手段36から渡されたカプセル化および暗号化されたEthernetフレームを復号し、カプセル化解除手段38に渡す機能を有する。カプセル化解除手段38は、カプセル化を解除し（ヘッダ部を削除し）、送信手段39に渡す機能を有する。送信手段39は、カプセル化解除手段38から渡されたEthernetフレームをLAN60上に送信する機能を有する。
【００２７】
なお、VPN装置１は、コンピュータにより実現可能であり、コンピュータによって実現する場合は、例えば、次のようにする。コンピュータをVPN装置１として機能させるためのプログラムを記録したディスク、半導体メモリ、その他の記録媒体を用意し、コンピュータに上記プログラムを読み取らせる。コンピュータは、読み取ったプログラムに従って自身の動作を制御することにより、自コンピュータ上に、受信手段31、振り分け手段32、カプセル化手段33、暗号化手段34、送信手段35、受信手段36、復号手段37、カプセル化解除手段38、送信手段39を実現する。
【００２８】
〔エリアBに移動させたサーバ４とエリアA上のユーザ端末３との間の通信〕
図２に示すようにサーバ４をエリアBへ移動させ、VPN装置１、２間にVPN10を構築した後の、サーバ４とユーザ端末３との間の通信は、次のように行われる。
【００２９】
先ず、ユーザ端末３がサーバ４をアクセスするために、宛て先をサーバ４のＩＰアドレス○.○.○.○としたEthernetフレームをLAN60上に送出する（図４のステップA1）。
【００３０】
このEthernetフレームは、VPN装置１内の受信手段31で受信され、振り分け手段32に渡される。振り分け手段32は、受け取ったEthernetフレームの宛て先がサーバ４となっているので、それをカプセル化手段33に渡す。カプセル化手段33は、受け取ったEthernetフレームにＩＰアドレスを含んだヘッダを付加し、Ethernetフレームをカプセル化する（ステップA2）。更に、暗号化手段34が、カプセル化されたEthernetフレームを暗号化する（ステップA３）。このカプセル化および暗号化されたEthernetフレームは、送信手段35およびVPN10を介してVPN装置２へ送られる。
【００３１】
VPN装置２では、受信手段36がVPN装置１から送られてきたEthernetフレームを受信し、復号手段37が復号処理を行い（ステップA4）、カプセル化解除手段38がVPN装置１によって付加されたヘッダ（ステップA2で付加されたヘッダ）を取り除き（ステップA５）、送信手段39がヘッダが取り除かれたEthernetフレームをLAN70上へ送出する。このEthernetフレームに含まれるの宛て先ＩＰアドレスがアドレス○.○.○.○となっているので、サーバ４で受信される（ステップA6）。
【００３２】
サーバ４がユーザ端末３へ応答を返す場合も、上記した処理と同様の処理が行われる。即ち、サーバ４が、ユーザ端末３のＩＰアドレス×.×.×.×を宛て先ＩＰアドレスを含んだEthernetフレームをLAN70上に送出すると（ステップA7）、VPN装置２がＩＰアドレスを含んだヘッダをEthernetフレームに付加してカプセル化し（ステップA8）、更に、Ethernetフレームを暗号化してVPN装置１へ転送する（ステップA9）。
【００３３】
VPN装置１は、カプセル化および暗号化されたEthernetフレームを受信すると、Ethernetフレームを復号し（ステップA10）、更に、VPN装置２がステップA8で付加したヘッダを取り除き（ステップA11）、LAN60上へ送出する。このEthernetフレームが含む宛て先ＩＰアドレスは、アドレス×.×.×.×となっているので、ユーザ端末４によって受信される（ステップA12）。
【００３４】
〔新たなサーバの追加〕
ネットワークシステムの状態が図２に示す状態になっているときに、図５に示すように新たなサーバ５をエリアB内に増設することが必要になったとする。なお、サーバ５においては、IPアドレスはエリアB内のプライベートアドレスを使用しており、△.△.△.△とする。それ以外の仕様はサーバ４と同様とする。
【００３５】
図５に示すように、サーバ５を増設する場合は、先ず、透過VPN10に並行してEthernetフレームを透過させないVPN20を構築し、次にエリアB内のLAN70に新しいＩＰアドレス体系のサーバ５を追加接続する。なお、VPN20を非透過VPN20と記す場合もある。
【００３６】
図６は、図５に示す透過VPN10、非透過VPN20を構築するようにしたときのVPN装置１の構成例を示すブロック図である。図６を参照すると、VPN装置１は、受信手段61と、振り分け手段62と、カプセル化手段63と、暗号化手段64、65と、送信手段66と、受信手段67と、振り分け手段68と、復号手段69、70と、カプセル化解除手段71と、送信手段72とから構成されている。なお、VPN装置２も同様の構成を有している。
【００３７】
振り分け手段62は、受信手段61を介して受信したEthernetフレームが含む宛て先ＩＰアドレスが、サーバ４のアドレスである場合はカプセル化手段63に渡し、エリアBのアドレス体系に従ったアドレスである場合は暗号化手段65に渡し、それ以外である場合は破棄する機能を有する。
【００３８】
振り分け手段68は、受信手段67を介してカプセル化および暗号化されたEthernetフレームを受信した場合は、それを復号手段70に渡し、ＩＰレベルで暗号化のみが行われたEthernetフレームを受信した場合は、それを復号手段69に渡す機能を有する。
【００３９】
なお、他の手段は、図２に示した同一名称の手段と同様の機能を有している。また、図６に示したVPN装置１も、コンピュータによって実現可能である。
【００４０】
〔サーバ４とユーザ端末３との間の通信〕
図５に示したサーバ４とユーザ端末３との間の通信は、次のように行われる。
【００４１】
先ず、ユーザ端末３がサーバ４をアクセスするために、宛て先ＩＰアドレスをサーバ４のアドレス○.○.○.○としたEthernetフレームをLAN60上に送出する（図７のステップA1）。このEthernetフレームは、VPN装置１内の受信手段61で受信され、振り分け手段62に渡される。振り分け手段62は、受け取ったEthernetフレームがサーバ４宛となっているので、それをカプセル化手段63に渡す（ステップH62-1）。
【００４２】
このEthernetフレームは、カプセル化手段63でカプセル化され、更に、暗号化手段64で暗号化された後（ステップA2、A3）、送信手段66およびVPN10を介してVPN装置２へ送られる。
【００４３】
VPN装置2内の振り分け部68は、受信手段67を介してカプセル化および暗号化されたEthernetフレームを受信すると、それを復号手段70に渡す（ステップH68-1）。このEthernetフレームは、復号手段70で復号された後、カプセル化解除手段71でヘッダが取り除かれ（ステップA4、A5）、送信手段72を介してLAN70へ送出される。LAN70上のサーバ４は、上記Ethernetフレームを受信すると、ユーザ端末３へ応答するEthernetフレームをLAN70上に送出する（ステップA6、A7）。
【００４４】
VPN装置２内の振り分け手段62は、受信手段61を介して上記Ethernetフレームを受信すると、それをカプセル化手段63に渡す（ステップH62-2）。このEthernetフレームは、VPN装置２内のカプセル化手段63でカプセル化され、更に、暗号化手段64で暗号化された後（ステップA8、A9）、送信手段66およびVPN10を介してVPN装置１へ送信される。
【００４５】
VPN装置１内の振り分け手段68は、受信手段67を介してカプセル化および暗号化されているEthernetフレームを受信すると、それを復号手段70に渡す（ステップH68-2）。このEthernetフレームは、復号手段70で復号され、更に、カプセル化解除手段71でヘッダが取り除かれた後（ステップA10、A11）、LAN60上に送出され、ユーザ端末３によって受信される（ステップA12）。
【００４６】
〔ユーザ端末３とサーバ５との間の通信〕
また、ユーザ端末３とサーバ５との間の通信は、次のように行われる。
【００４７】
先ず、ユーザ端末３がサーバ５をアクセスするために、宛て先ＩＰアドレスをサーバ５のアドレス△.△.△.△としたEthernetフレームをLAN60上に送出する（ステップB1）。VPN装置１内の振り分け手段62は、受信手段61を介して上記Ethernetフレームを受信すると、宛て先ＩＰアドレスが△.△.△.△であるので、それを暗号化手段65に渡す（ステップH62-3）。このEthernetフレームは、暗号化手段65で暗号化（データ部の暗号化）された後（ステップB2）、送信手段66および非透過VPN20を介してVPN装置２へ送られる。
【００４８】
VPN２内の振り分け手段68は、受信手段67を介してＩＰレベルで暗号化されたEthernetフレームを受信すると、それを復号手段69に渡す（ステップH68-3）。このEthernetフレームは、復号手段69で復号化された後、送信手段72を介してLAN70上に送出される（ステップB3）。
【００４９】
サーバ５は、上記Ethernetフレームを受信すると、ユーザ端末３に応答するEthernetフレームをLAN70上に送出する（ステップB4、B5）。
【００５０】
VPN装置２内の振り分け手段62は、受信手段61を介して上記Ethernetフレームを受信すると、それを暗号化手段65に渡す（ステップH62-4）。このEthernetフレームは、暗号化手段65でＩＰレベルで暗号化された後（ステップB6）、送信手段66および非透過VPN20を介してVPN装置１へ送信される。
【００５１】
VPN装置１内の振り分け手段68は、受信手段67を介してＩＰレベルで暗号化されたEthernetフレームを受信すると、それを復号手段69に渡す（ステップH68-4）。このEthernetフレームは、復号手段69で復号され（ステップB7）、送信手段72を介してLAN60上に送出され、ユーザ端末３で受信される（ステップB8）。
【００５２】
なお、各エリア内で使用しているプロトコルはＩＰであるが、非ＩＰ系のプロトコルで動作するものであっても構わない。
【００５３】
〔第１の実施の形態の効果〕
本実施の形態によれば、アドレス体系が異なる複数のネットワークから構成されるネットワークシステムにおいて、設定変更を行うことなく、ネットワーク機器をＩＰアドレス体系が異なる他のネットワークへ移動することが可能になるという効果を得ることができる。その理由は、LAN60、70間を移動したサーバ４の移動元LAN60および移動先LAN70に設けられたVPN装置１、２が、LAN60、70間にEthernetフレームを透過させるVPN10を設定し、サーバ４とユーザ端末３との間のEthernetフレームの送受信をVPN10を介して行うようにしているからである。
【００５４】
また、本実施の形態では、透過VPN10と非透過VPN20とを並行して構築するようにしているので、ＩＰアドレス体系の異なるネットワーク機器の追加にも容易に対応することが可能になる。
【００５５】
〔本発明の第２の実施の形態〕
図８を参照すると、本発明の第２の実施の形態のネットワークシステムは、エリアA、B、Cを含み、エリアA、B、CにはそれぞれＩＰアドレス体系が異なるLAN60、70、80が設けられている。
【００５６】
エリアA内のLAN60には、ユーザ端末３、サーバ４及びVPN装置６が接続され、エリアB内のLAN70には、サーバ５及びVPN装置７が接続され、エリアC内のLAN80にはVPN装置８が接続されている。ユーザ端末３及びサーバ４、５は、前述した第１の実施の形態と同様の構成及び機能を有するものである。
【００５７】
図８に示すネットワークシステムにおいて、ユーザ端末３をエリアAからエリアCに移動させることが必要になったとする。この場合、先ず、図９に示すようにVPN装置６、８間にEthernetフレームを透過するVPN30(透過VPN30)と、透過しないVPN40(非透過VPN40)とを構築すると共に、VPN装置６、７間にEthernetフレームを透過しないVPN50(非透過VPN50)を構築し、その後、ユーザ端末３をLAN60から取り外し、LAN80に接続する。
【００５８】
図１０は、上記各VPN30〜50を構築するVPN装置６の構成例を示すブロック図である。同図を参照すると、VPN装置６は、受信手段101、107、114、118と、振り分け手段102、108、112、115、120と、カプセル化手段103と、暗号化手段104、105、116と、送信手段106、113、117、121と、復号手段109、111、119と、カプセル化解除手段110とを備えている。
【００５９】
振り分け手段102は、ユーザ端末３を宛て先とするEthernetフレームは、カプセル化手段103に渡し、エリアCを宛て先とするEthernetフレームは、暗号化手段105に渡し、それ以外のEthernetフレームは破棄する機能を有する。
【００６０】
振り分け手段108は、透過VPN30を介して受信したカプセル化及び暗号化されたEthernetフレームを復号手段109に渡し、非透過VPN40を介して受信した暗号化されたEthernetフレームを復号手段111に渡す機能を有する。
【００６１】
振り分け手段112は、宛て先アドレスがエリアA、C内のアドレスになっているEthernetフレームをそれぞれ送信手段113、暗号化手段116に渡す機能を有する。
【００６２】
振り分け手段115は、宛て先がエリアB内のEthernetフレームを暗号化手段116に渡し、それ以外のEthernetフレームを破棄する機能を有する。
【００６３】
振り分け手段120は、VPN50を介して受信した、宛て先アドレスがエリアA内のアドレスのEthernetフレームを送信手段121に渡し、宛て先がエリアC内のEthernetフレームを暗号化手段105に渡す機能を有する。
【００６４】
なお、VPN装置６は、コンピュータによって実現可能である。また、VPN装置７は、図３に示すような構成を有し、VPN装置８は図６に示すような構成を有する。
【００６５】
〔ユーザ端末３とサーバ４との間の通信〕
エリアCに移動したユーザ端末３とエリアA内のサーバ４との間の通信は、次のように行われる。
【００６６】
先ず、ユーザ端末３が、サーバ４のアドレス○.○.○.○を宛て先ＩＰアドレスとしたEthernetフレームをLAN80上に送出する（図１１のステップD1）。これにより、VPN装置８は図７に示したステップH62-1、ステップA2、A3と同様の処理を行い（ステップH1、D２、D3）、上記Ethernetフレームをカプセル化および暗号化したものを、VPN30を介してVPN装置６へ送信する。
【００６７】
VPN装置６内の振り分け手段108は、VPN30および受信手段107を介して上記カプセル化および暗号化されたEthernetフレームを受信すると、それを復号手段109に渡す（ステップH2）。このEthernetフレームは、復号手段109で復号され、更に、カプセル化解除手段110でヘッダが取り除かれた後、送信手段113を介してLAN60上に送出され、サーバ４で受信される（ステップD４〜D６）。これにより、サーバ４は、ユーザ端末３へ送信するEthernetフレームをLAN60上に送出する（ステップD7）。
【００６８】
VPN装置６内の振り分け手段102は、上記Ethernetフレームをカプセル化手段103に渡す（ステップH3）。このEthernetフレームは、カプセル化手段103でカプセル化され、暗号化手段104で暗号化された後（ステップD8、D9）、VPN30を介してVPN装置８へ送信される。
【００６９】
VPN装置８では、前述した図７のステップH68-2、A10、A11と同様の処理を行うことにより（ステップH4、D10、D11）、受信したEthernetフレームを復号し、更に、非カプセル化する。その後、非カプセル化されたEthernetフレームがLAN80上に送出され、ユーザ端末３がこのEthernetフレームを受信する（ステップD12）。
【００７０】
〔ユーザ端末３とサーバ５との間の通信〕
また、ユーザ端末３とサーバ５との間の通信は、次のように行われる。
【００７１】
先ず、ユーザ端末３がLAN80上に宛て先ＩＰアドレスをサーバ５のアドレス△.△.△.△としたEthernetフレームを送出する（ステップE1）。これにより、VPN装置８は、前述した図７のステップH62-3、B2と同様の処理を行い（ステップH5、E2）、ＩＰレベルで暗号化したEthernetフレームをVPN40を介してVPN装置６へ送信する。
【００７２】
VPN装置６内の振り分け手段108は、受信手段107を介して上記Ethernetフレームを受信すると、それを復号手段111に渡す（ステップH6）。上記Ethernetフレームは、復号手段111で復号される（ステップE3）。また、このEthernetフレームは、宛て先アドレスがエリアB内のアドレス△.△.△.△であるので、振り分け手段112により、暗号化手段116に渡される。暗号化手段116は、受け取ったEthernetフレームをＩＰレベルで暗号化し（ステップE4）、送信手段117、VPN50を介してVPN装置７へ送信する。
【００７３】
VPN装置７では、受信したEthernetフレームを復号してLAN70上に送出し（ステップE5）、上記Ethernetフレームがサーバ５に到達する（ステップE6）。
【００７４】
サーバ５がユーザ端末３へ応答するためのEthernetフレームをLAN70上に送出すると（ステップB7）、VPN装置７は、上記EthernetフレームをＩＰレベルで暗号化し、VPN50を介してVPN装置６へ送信する（ステップE8）。
【００７５】
VPN装置６内の復号手段119は、受信した上記Ethernetフレームを復号し（ステップE9）、振り分け手段120は、復号されたEthernetフレームの宛て先がユーザ端末３であるので、暗号化手段105に上記Ethernetフレームを渡す。このEthernetフレームは、暗号化手段105でＩＰレベルで暗号化され、送信手段106およびVPN40を介してVPN装置８へ送られる(ステップE10)。
【００７６】
VPN装置８は、暗号化されたEthernetフレームを復号してLAN80上へ送出し（ステップE11)、ユーザ端末３に上記Ethernetフレームが到達する（ステップE12）。
【００７７】
〔第２の実施の形態の効果〕
本実施の形態によっても、第１の実施の形態と同様の効果を得ることができる。
【産業上の利用可能性】
【００７８】
本発明によれば、インターネットデータセンターなどが、企業ユーザに対してホスティング、ハウジングサービスを提供する際に適用できる。また組織変更や、組織間交流の多い企業におけるIT資産移動の際にも適用可能である。
【図面の簡単な説明】
【００７９】
【図１】本発明にかかるネットワークシステムの第１の実施の形態の構成例を示すブロック図である。
【図２】サーバ４をエリアAからエリアBに移動させた後のネットワークシステムの構成を示す図である。
【図３】ネットワークシステムの構成を図２に示すものとしたときのVPN装置１の構成例を示すブロック図である。
【図４】図２に示すネットワークシステムの動作を示すフローチャートである。
【図５】図２に示す状態から更にサーバ５をエリアBに追加したときのネットワークシステムの構成を示す図である。
【図６】ネットワークシステムの構成を図５に示すものとしたときのVPN装置１の構成例を示すブロック図である。
【図７】図５に示すネットワークシステムの動作を示すフローチャートである。
【図８】本発明にかかるネットワークシステムの第２の実施の形態の構成例を示すブロック図である。
【図９】ユーザ端末３をエリアAからエリアCに移動させた後のネットワークシステムの構成例を示すブロック図である。
【図１０】VPN装置６の構成例を示すブロック図である。
【図１１】図９に示すネットワークシステムの動作を示すフローチャートである。
【符号の説明】
【００８０】
１、２、６〜８…VPN装置
３…ユーザ端末
４、５…サーバ
60、70、80…LAN
10、20、30、40、50…VPN
【図１】
2008227715.tif 000003
【図２】
2008227715.tif 000004
【図３】
2008227715.tif 000005
【図４】
2008227715.tif 000006
【図５】
2008227715.tif 000007
【図６】
2008227715.tif 000008
【図７】
2008227715.tif 000009
【図８】
2008227715.tif 000010
【図９】
2008227715.tif 000011
【図１０】
2008227715.tif 000012
【図１１】
2008227715.tif 000013