(57)【要約】【課題】複数のCUGから一意のCUGを特定して通信することが可能であり、更に拠点間におけるプライベートアドレス重複問題の解決が可能となるパケット転送装置を提供する。【解決手段】本発明のパケット転送装置は、受信したパケットの送信元アドレスを、送信先アドレスと前記送信元アドレスと、に基づいて決定される第２の送信元アドレスに変換して、前記パケットを送信することを特徴としている。このパケット転送装置により、複数の通信目的から、前記送信パケットの前記送信元アドレスと前記送信先アドレスとに基づいた一意の通信目的を特定することが可能となる。【選択図】      図３
2008311717.tif 000002
【特許請求の範囲】
【請求項１】
受信したパケットの送信元アドレスを、送信先アドレスと、前記送信元アドレスと、に基づいて決定される第２の送信元アドレスに変換して、前記パケットを送信することを特徴とするパケット転送装置。
【請求項２】
拠点内で一意のプライベートアドレスを送信元アドレスとした送信パケットを、前記拠点内から受信するパケット受信部と、
前記送信パケットの前記送信元アドレスを、前記送信元アドレスと前記送信パケットの送信先アドレスとに基づいてCUG内で一意のCUG通信アドレスに変換するアドレス変換部と、
アドレス変換された前記送信パケットを送信する送信部と、を有することを特徴とする請求項１に記載のパケット転送装置。
【請求項３】
前記送信先アドレスに基づいて、前記送信部からの前記送信パケットの送出先経路を切り替える送出先決定部と、を更に有することを特徴とする請求項１または２のいずれかに記載のパケット転送装置。
【請求項４】
前記送出先経路は、前記CUGの拠点間を接続するトンネルであることを特徴とする請求項３に記載のパケット転送装置。
【請求項５】
更に前記アドレス変換部は、前記パケット受信部が受信した前記送信パケットの前記送信先アドレスがCUG通信アドレスである時は、前記送信パケットの前記送信元アドレスを、前記送信元アドレスと前記送信先アドレスとに基づいてCUG通信アドレスに変換し、前記パケット受信部が受信した前記送信パケットの前記送信先アドレスがグローバルアドレスであるときは、前記送信パケットの前記送信元アドレスを、前記送信パケット転送装置のグローバルアドレスに変換することを特徴とする請求項２乃至４のいずれかに記載のパケット転送装置。
【請求項６】
前記CUG通信アドレスは複数のCUG間で一意であって、前記アドレス変換部が、前記送信先アドレスから送信先ＣＵＧを取得し、前記送信パケット前記送信元アドレスを、前記送信先CUGの前記送信元アドレスに対応するCUG通信アドレスに変換することを特徴とする請求項２乃至５のいずれかに記載のパケット転送装置。
【請求項７】
前記パケット転送装置から受信した受信パケットの送信先アドレスを、第２の送信先アドレスに変換して、前記受信パケットを送信することを特徴とする請求項１に記載のパケット転送装置。
【請求項８】
前記受信パケットを受信する受信部と、
前記送信先アドレスを前記送信先アドレスに対応するプライベートアドレスに変換するアドレス変換部と、
アドレス変換された前記受信パケットを拠点内に送信する送信部と、を有することを特徴とする請求項７に記載のパケット転送装置。
【請求項９】
ＣＵＧの拠点内から受信した送信パケットの送信元アドレスを、前記送信元アドレスと送信先アドレスとに基づいて、前記拠点内で一意のプライベートアドレスから前記CUG内で一意のＣＵＧ通信アドレスに変換し、前記送信先アドレスに基づいた前記拠点外への送信先経路に前記送信パケットを送信するＣＵＧ送信ルータと、
前記拠点外から受信した受信パケットの前記送信先アドレスを、CUG通信アドレスから前記送信先アドレスに対応するプライベートアドレスへ変換し、前記受信パケットを前記拠点内へ送信するＣＵＧ受信ルータと、を含むことを特徴とするパケット転送システム。
【請求項１０】
さらに前記送信ルータは、前記拠点内から受信した前記送信パケットの前記送信先アドレスがCUG通信アドレスであるときは、前記送信パケットの前記送信元アドレスを、前記送信元アドレスと前記送信先アドレスとに基づいてCUG通信アドレスに変換し、前記送信パケットの前記送信先アドレスがグローバルアドレスであるときは、前記送信パケットの前記送信元アドレスを、前記パケット転送装置のグローバルアドレスに変換し、前記送信パケットをアドレス変換された前記送信先アドレスに基づいて前記拠点外への送信先経路に送信することを特徴とする請求項９に記載のパケット転送システム。
【請求項１１】
受信したパケットの送信元アドレスを、前記送信元アドレスと送信先アドレスと、に基づいて第２の送信元アドレスに変換して、前記パケットを送信することを特徴とするパケット転送方法。
【請求項１２】
拠点内で一意のプライベートアドレスを送信元アドレスとした送信パケットを、前記拠点内から受信し、前記送信元アドレスを、前記送信元アドレスと前記送信先アドレスとに基づいてCUG内で一意のＣＵＧ通信アドレスに変換し、アドレスが変換された前記送信パケットを前記拠点外へ送信することを特徴とする請求項１１に記載のパケット転送方法。
【請求項１３】
前記送信先アドレスに基づいて、アドレス変換された前記送信パケットの前記拠点外への送出先経路を切り替えることを特徴とする請求項１１または１２のいずれかに記載のパケット転送方法。
【請求項１４】
前記CUG通信アドレスは複数のCUG間で一意であり、前記アドレス変換部が、前記送信先アドレスから送信先ＣＵＧを取得し、前記送信パケットの前記送信元アドレスを、前記送信元アドレスの前記送信先CUGに対応するCUG通信アドレスに変換することを特徴とする請求項１２または１３のいずれかに記載のパケット転送方法。
【請求項１５】
更に前記アドレス変換部は、前記パケット受信部が受信した前記送信パケットの前記送信先アドレスがCUG通信アドレスである時は、前記送信パケットの前記送信元アドレスを、前記送信元アドレスと前記送信パケットの前記送信先アドレスとに基づいてCUG通信アドレスに変換し、前記パケット受信部が受信した前記送信パケットの前記送信先アドレスがグローバルアドレスであるときは、前記送信パケットの前記送信元アドレスを、前記パケット転送装置のグローバルアドレスに変換することを特徴とする請求項１２乃至１４のいずれかに記載のパケット転送方法。
【請求項１６】
前記パケット転送装置から受信した受信パケットの送信先アドレスを、第２の送信先アドレスに変換して、前記受信パケットを前記拠点内へ送信することを特徴とする請求項１１に記載のパケット転送方法。
【請求項１７】
前記受信パケットの前記送信先アドレスを、前記送信先アドレスに対応するプライベートアドレスに変換し、
アドレス変換された前記受信パケットを拠点内へ送信することを特徴とする請求項１６に記載のパケット転送方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、閉域ユーザグループ（CUG：Closed User Group）で構成される閉域ネットワークシステムを一元的に管理するネットワーク管理方法と、CUG内の拠点間の通信を可能にするパケット転送装置、ネットワークシステム、及び、ＣＵＧ内の拠点間の通信方法に関する。詳細には、複数の拠点間におけるプライベートアドレス重複問題に対する対処方法および装置に関する。CUGとは、二者以上の指定された端末から構成され、端末間での秘匿された相互通信を保障するサービスを指す。
【背景技術】
【０００２】
従来、閉域ネットワークシステムは、公衆網を介して複数の拠点間を接続する用途で利用されていた。しかしながら、CUG内で使用するプライベートアドレスが拠点間で重複する可能性がある。そのままで重複したプライベートアドレスを有する端末間で通信を行うことはできない。これをプライベートアドレスの重複問題という。
【０００３】
拠点間のプライベートアドレスの重複問題の解決方法としては、ある拠点がCUGに参加する際にそのCUG内でプライベートアドレスの重複が起こらないようアドレスを付け替える方法がある。また、プライベートアドレスが重複しているままで、拠点間の通信を可能とする方法としては、アドレスを変換する方法が挙げられる。特許文献１にアドレス変換の一例が記載されている。特許文献１には、複数の拠点間を接続したエンド・トゥ・ステーション型のネットワークにおいて、接続先の候補となる端末が属する一の拠点と接続元との通信系路上の通信データに対して、その接続先アドレスを接続先端末のアドレスに変換することにより、同一の接続先アドレスを有する通信データの接続先を振り分ける方法が記載されている。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上述のように、閉域ネットワークに参加する拠点内のプライベートアドレスを付け替えることで、プライベートアドレスの重複は回避できる。しかし、アドレスの付け替え作業には一般に大きな手間がかかる。また、既に運用されているネットワークを統合する場合、アドレスの付け替えが事実上できない場合も多い。
【０００５】
一方、プライベートアドレス重複問題の解決方法としてアドレスの変換を用いた場合、アドレスを付け替える場合と比較して手間が掛からず、既に運用されているネットワーク同士の統合も可能である。しかし、特許文献１に記載のアドレス変換方法では、通常の方式であるステーション・トゥ・ステーションの場合には適応させることができない。これは、クライアントマシンをVPNトンネル（VPN：Virtual Private Network）によって識別するために、VPNトンネルとクライアントマシンが直接接続されている形態に限定されるからである。更に、クライアント側が通信可能な端末はサーバ側の拠点内の一つの端末に限定されているために、ネットワークの構成が制限される。例えば、一つの端末に対して複数の通信目的を設定することができない。
【０００６】
本発明の目的は、ステーション・トゥ・ステーション型の閉域ネットワークにおいても、アドレスを付け替えることなくプライベートアドレス重複問題を解決し、更に、一つの端末が複数の通信目的で通信することを可能とするパケット転送装置を提供することにある。
【０００７】
【特許文献１】特開2000-228674号公報
【課題を解決するための手段】
【０００８】
本発明のパケット転送装置は、受信したパケットの送信元アドレスを、送信先アドレスと送信元アドレスと、に基づいて決定される第２の送信元アドレスに変換して、パケットを送信することを特徴とする。
【０００９】
また、拠点内で一意のプライベートアドレスを送信元アドレスとした送信パケットを、拠点内から受信するパケット受信部と、前記送信パケットの前記送信元アドレスを、前記送信元アドレスと前記送信先アドレスとに基づいてCUG内で一意のCUG通信アドレスに変換するアドレス変換部と、アドレス変換された前記送信パケットを送信する送信部と、を有することを特徴としても良い。
【００１０】
本発明のパケット転送装置は更に、送信パケットの送信元アドレスを、CUG間で一意のCUG通信アドレスに変換して転送することを特徴としても良い。
【発明の効果】
【００１１】
本発明によれば、パケットの送信元アドレスを、送信元アドレスと送信先アドレスと、に基づいて決定される第２の送信元アドレスに変換して転送する。そのため変換された送信元アドレスに応じてパケットの通信目的の判別が可能となる。例えば、通信目的としてCUG内の通信とCUG外の通信の場合、或いは複数のCUG内の通信の判別が可能となる。なぜならば、本発明のパケット転送装置が、送信パケットの送信元アドレスと送信先アドレスとに基づいて、送信パケットの送信元アドレスを通信目的に対応した送信元アドレスに変換して送信するからである。
【００１２】
さらに、本発明のパケット転送装置をCUGの拠点のゲートウェイに設置して、CUGの拠点間のパケット転送時にアドレス変換することにより、アドレス重複問題の解決が可能となる。なぜならば、送信パケットの送信先アドレスが、CUG内で一意のCUG通信アドレスに変換されて送信パケットが転送されるからである。既に運用されている端末がCUGに参加した場合においても、プライベートアドレスの付け替えを必要とせずに、プライベートアドレスの重複問題の解決が可能となる。
【００１３】
また、本発明のパケット転送装置は、CUG内で一意のCUG通信アドレスの代わりに複数のCUG間で一意のCUG通信アドレスを使用することにより、複数から一つのCUGを特定したパケット転送が可能となる。なぜならば、送信パケットの送信元アドレスは、送信パケットの送信先アドレスから取得された送信先CUGにおける前記送信元アドレスに対応するCUG通信アドレスに変換されて、送信パケットが転送されるからである。さらに一つの端末に複数のCUGに応じた複数のCUG通信アドレスを割り当てることによって、一つの端末が、同時に複数のCUGに参加することが可能となる。
【発明を実施するための最良の形態】
【００１４】
本発明の実施の形態について図面を参照しながら説明する。しかしながら、係る形態は本発明の技術的範囲を限定するものではない。
【００１５】
本発明の実施の形態について図面を参照して詳細に説明する。図１に、本発明による通信アドレス管理方法および通信アドレス変換方法を利用して構成される閉域ネットワークシステムの第一の実施形態を示す。
【００１６】
図１は、それぞれ３つの拠点からなる、２つのCUGで構成されたネットワーク構成を示す。図２に一台のCUGルータにより多拠点を接続された拠点の一つを示す。
【００１７】
図１は公衆網によって接続されたCUG_AとCUG_Bの二つのCUGを含む閉域ネットワークを示す。ここで第一の実施形態では、The Internetを公衆網と称している。この閉域ネットワークシステムでは、CUG管理サーバ１０２が、動的に生成／解除される閉域ネットワークと各CUGに動的に参加／離脱する端末を集中管理し、各端末がCUG内で使用する通信アドレスを要求に応じて割り当てる。
【００１８】
端末のプライベートアドレスと動的に割り当てられるCUG通信アドレスの対応は、名前解決サーバ１０１が管理している。
【００１９】
また、この閉域ネットワークシステムは、CUG_A内の３つの拠点１１０，１２０，１３０及びCUG_B内の３つの拠点２１０，２２０，２３０間で、各拠点内の端末間の、拠点を跨いだセキュアな相互通信のサービスを提供する。
【００２０】
第一の実施形態では、各拠点のルータ１１４、１２４、１３４、２１４、２２４、２３４は公衆網上に張られたトンネルTn(n：１〜６)によって相互に接続する。公衆網での通信傍受を防止するため、IPsecなどの通信暗号化技術を用いたトンネルで接続しても良い。なお、第一の実施形態におけるルータは従来のルータと区別するために、CUGルータと称する。
【００２１】
第一の実施形態では、CUG内の異なる拠点のCUGルータ間の通信は、上記トンネルを利用している。例えば、端末１１１が同じCUG_A内の別の拠点の端末１２２と通信する場合は、CUGルータ１１４からCUGルータ１２４へのトンネルT１を介して通信する。
端末とCUGルータの間は通常のローカルネットワークで接続しても良い。より堅牢な秘匿通信を実現する必要がある場合、即ち、同じ拠点内通信の傍受の危険を排除したい場合は、IPsecなどを用いた暗号化通信路で接続しても良い。
【００２２】
いずれの場合においても、端末１１１が端末１２２にパケットを送信する場合は、CUGルータ１１４が端末１１１から送出されたパケットを受信し、宛先アドレスがCUGルータ１２４を経由した端末１２２であることを判断し、CUGルータ１２４に転送する。第一の実施形態においては、CUGルータ１１４からCUGルータ１２４でのパケット転送はトンネルT1が使用される。
【００２３】
第一の実施形態においては、通信アドレスとして、現在、インターネットなどで広く利用可能なIPv4アドレスを想定して説明する。公衆網上での通信では公衆網で一意性が保証されたグローバルアドレスを用いる。図１に示すように、各CUGルータを接続するトンネルTnの両端には、グローバルアドレスを割り当てる。
【００２４】
各拠点内の端末には、プライベートアドレスを割り当てる。プライベートアドレスはグローバルアドレスとは異なるアドレス空間で、一意性を保証して、各端末やCUGルータに割り当てる。
【００２５】
プライベートアドレスは、拠点内ユニークなアドレスである。そのため各端末は、プライベートアドレスを用いて、公衆網上のグローバルアドレスを有するホストと直接通信することはできない。このような場合一般的には、各拠点の公衆網への接続点に設置されるルータ装置において、プライベートアドレスとグローバルアドレスの相互変換を行うNAT機能を用いる。第一の実施形態においても、CUG内ルータがNAT（Network Address Translation）機能を搭載し、拠点内の端末が、公衆網上のグローバルアドレスを有するホストと通信することを可能としている。
【００２６】
CUG内の異なる拠点に存在する端末間の通信の場合、拠点間のプライベートアドレスの重複が問題となる。プライベートアドレでは、拠点間で端末を区別することができないためである。そこで、CUG内拠点間の通信には、プライベートアドレスやグローバルアドレスとは独立にCUG通信アドレスを用いる。CUG通信アドレスは、端末がCUGに参加する際にCUG管理サーバがCUG内で、あるいは複数のCUG間で一意となるように割り当てる。一意性が保障されたCUG通信アドレスにより、CUG内での端末の識別が可能となる。即ち、CUG通信アドレスの導入により、プライベートアドレスが重複していてもこれを変更することなく、CUG内での通信を行うことが可能となる。
【００２７】
第一の実施形態におけるCUGルータの構造を図３に示す。各拠点に設置されたCUGルータは、受信したパケットがCUG内トラフィックかCUG外トラフィックかを判別するフォワーディング処理部３０１と、受信したパケットが正常なCUG内トラフィックかどうか判別するトラフィックフィルタ３０２と、プライベートアドレスとCUG通信アドレスの相互変換するCUGアドレス変換処理部３０３と、フォワーディング処理部３０１によって指示されたトンネルにパケットを出力するトンネルインターフェイス３０４を備えている。また、拠点間のパケット送受信処理の際に参照されるCUGデータベース３０５とアドレス変換テーブル３０６、さらにCUG内端末がCUG外公衆網との通信の際に、従来のNATあるいはNAPT(Network Address and Port Translation)相当の処理を行うアドレス変換処理部３０８と、CUG内データベースの書き換えなどを処理する制御メッセージ処理部３０７と、を備える。なお、本発明においては図４に示すアドレス変換部３０９によってパケットのアドレス変換を行う。前記アドレス変換部３０９は、図３のCUGアドレス変換処理部３０３と、CUGデータベース３０５と、アドレス変換テーブル３０６とに対応する。
【００２８】
第一の実施形態の詳細な動作について図１から図６を参照して説明する。図５は、端末１１１がＣＵＧ_Ａにメンバとして参加し、既にＣＵＧ_Ａに参加している端末１２２と通信を開始するまでのメッセージシーケンスを示している。
【００２９】
まず、端末１１１は、ＣＵＧ管理サーバ１０２に、ＣＵＧ_Ａへの参加要求を送信する（S301）。ＣＵＧ管理サーバ１０２は、端末１１１に割り当てるＣＵＧ_Ａ内アドレス（本例ではＡ１１１とする）を割り当てて、端末１１１が接続される拠点１１０のＣＵＧルータ１１４のグローバルアドレス（本例ではＲ１１４とする）を取得し、ＣＵＧ管理テーブに格納する。CUG管理サーバ１０２のCUG管理テーブルの一例を図６に示す。
【００３０】
ここで、Ｒ１１４のグローバルアドレスを抽出する方法には以下のようなものが挙げられる。
【００３１】
（１）CUG管理サーバ１０２が、CUG参加要求メッセージの送信元アドレスよりＲ１１４を取得する。端末１１１からCUG管理サーバ１０２へ送信されたCUG参加要求メッセージは、途中のＣＵＧルータ１１４において、アドレス変換処理部３０８によるＮＡＴによりアドレス変換される。そのため、送信元アドレスがＣＵＧルータ１１４のグローバルアドレス（Ｒ１１４）に変換される。CUG管理サーバ１０２は、送信元アドレスがＣＵＧルータ１１４のグローバルアドレス（Ｒ１１４）とされたCUG参加要求メッセージを受信する。そのためCUG管理サーバ１０２は、CUG参加要求メッセージの送信元アドレスからＣＵＧルータ１１４のグローバルアドレスを取得することが可能となる。
【００３２】
（２）端末１１１に、自身が所属する拠点のCUGルータ１１４のグローバルアドレスを事前設定し、端末１１１からのCUG参加要求メッセージに所属する拠点のCUGルータ１１４のグローバルアドレス（R１１４）を含めるという方法
（３）端末１１１からCUGルータ１１４を経由してCUG管理サーバ１０２に送信されるCUG参加要求メッセージを、CUGルータ１１４が検出し、CUGルータ１１４が、CUGルータ１１４のグローバルアドレス（R１１４）を含めるよう、検出された参加要求メッセージを書き換えて、CUG管理サーバ１０２に送信する。
【００３３】
ＣＵＧ管理サーバ１０２は、端末１１１に対して、参加・登録したＣＵＧ名ＣＵＧ_Ａと、CUG通信アドレスA１１１を応答する（S302）。なお、CUG名は、複数のCUGを識別するものであり、名前に限らず、識別子や番号でも良い。これらの要求と応答のメッセージは、図３に記載のＣＵＧルータ１１４内で、制御メッセージ処理部３０７とアドレス変換処理部３０８を経由して送受信される。制御メッセージ処理部３０７は、応答メッセージをアドレス変換処理部３０８から受信してフォワーディング処理部３０１に転送する際、メッセージの中身を解読する。その結果、端末１１１のプライベートアドレス（第一の実施形態ではP１１１とする）、対応するCUG通信アドレスＡ１１１、参加するＣＵＧグループ名ＣＵＧ_Ａの情報を取得し、アドレス変換テーブル３０６を更新する。アドレス変換テーブル３０６の実装例を図８に示す。応答メッセージは、最終的に端末１１１のＣＵＧクライアントアプリケーションで受信される（S302）。端末１１１は、応答メッセージの受信により、CUGへの参加・登録処理の終了を検出する。
【００３４】
次に、ＣＵＧ管理サーバ１０２は、端末１１１が拠点１１０からＣＵＧ_Ａへの新しい参加メンバであると判断した場合、ＣＵＧルータ１１４に、ＣＵＧ_Ａに既に参加しているメンバのCUG通信アドレスと、そのメンバと通信する際に経由する宛先拠点のＣＵＧルータのグローバルアドレスのリストを、ＣＵＧルータ１１４に通知する（S303）。通知するリストは、図６のＣＵＧ_Ａに相当する部分となる。
【００３５】
ＣＵＧルータ１１４の制御メッセージ処理部３０７は、通知されたリストを元に、ＣＵＧデータベース３０５に、ＣＵG_Ａに関する情報を格納する。CUGルータ１１４のＣＵＧデータベース３０５の実装例を図７に示す。このテーブルでは、通信先端末のCUG通信アドレスと、該端末が属するＣＵＧ名、該端末と通信をするために使用するトンネル番号の対応が格納される。本テーブルを生成するためには、ＣＵＧ管理サーバから取得したＣＵＧルータ情報（図６ではＲ１１４，Ｒ１２４など）を、そのＣＵＧルータと通信するために使用するトンネル番号に置き換える必要があるが、これは予め、接続する可能性のあるＣＵＧルータのアドレスとトンネル番号の対応を手動で設定しておき、その情報を参照するなどの方法がある。
【００３６】
ＣＵＧ管理サーバ１０２は、端末１１１の参加要求への応答処理とＣＵＧルータ１１４へのＣＵＧ_Ａメンバリスト通知を完了すると、拠点内にCUG_Aに参加する端末を抱えるＣＵＧルータへ、端末１１１のメンバ追加を通知する。図５のS304は、ＣＵＧルータ１２４への、端末１１１に関するメンバ追加の通知を示す。ＣＵＧルータ１２４は、この通知により、ＣＵＧデータベース３０５を更新する。
【００３７】
端末１１１は、CUG通信アドレスを割り当てられると、名前解決サーバ１０１に、ホスト名（第一の実施形態ではＨ１１１とする）とCUG通信アドレスＡ１１１とを登録する。名前解決サーバ１０１は、これらの情報を保持し、以降のホスト名１１１の名前解決の要求に対して、対応する通信アドレスA１１１を応答する。
【００３８】
端末１１１は、端末１２２との通信を開始するために、名前解決サーバ１０１に対して、端末１２２のホスト名Ｈ１２２に対応する通信アドレスの解決を要求し、Ａ１２２を得る（S307）。端末１１１は、送信元アドレスをプライベートアドレスP１１１、送信先アドレスをＡ１２２としたパケットを、ＣＵＧルータ１１４に送出する。
【００３９】
以下、ＣＵＧルータ１１４でのパケット転送処理と、ＣＵＧルータ１２４でのパケット受信処理を説明する。端末１１１から送信されたパケットは、拠点内ローカルネットワークを介して受信されCUGルータ１１４のフォワーディング処理部３０１に入力される。フォワーディング処理部３０１は、ＣＵＧデータベース３０５を参照する。CUGデータベース３０５は、ＣＵＧルータに接続された端末がメンバとなっている各ＣＵＧのリモートメンバ（他の拠点のメンバ端末）リストを保持している。パケットの送信先がメンバリストに登録されたリモートメンバのいずれかに一致した場合はトラフィックフィルタ３０２に、一致しない場合は制御メッセージ処理部３０７にパケットを転送する。
【００４０】
フォワーディング処理部３０１は、パケットをトラフィックフィルタに転送する際に、ＣＵＧデータベース３０５の情報から、そのパケットの宛先端末が属するＣＵＧ名と、ＣＵＧルータ１１４からパケットを送出する際に使用するトンネル番号（T1）を取得する。フォワーディング処理部３０１は、取得した情報を付加してパケットをトラフィックフィルタ３０２に転送する。CUGルータ１１４のＣＵＧデータベース３０５が保持するデータ例を図７に示す。
【００４１】
トラフックフィルタ３０２は、アドレス変換テーブル３０６を参照して、転送されたパケットの送信元端末のプライベートアドレスから送信元端末が属するＣＵＧ名を取得する。トラフィックフィルタ３０２が取得したCUG名と、フォワーディング処理部３０１が付加したCUG名が一致した場合に、正常トラフィックとしてパケットをアドレス変換処理部３０３に転送し、一致しない場合はＣＵＧ間をまたぐ異常トラフィックとしてパケットを廃棄する。
【００４２】
アドレス変換処理部３０３は、アドレス変換テーブル３０６を参照して、トラフィックフィルタ３０２から受信したパケットの送信元プライベートアドレスを、送信元端末のCUG通信アドレスに変換して、トンネルインターフェイス３０４に転送する。CUGルータ１１４のアドレス変換テーブルの例を図８に示す。
【００４３】
トンネルインターフェイス３０４は、フォワーディング処理部３０１が付加したトンネルインターフェイス番号のトンネル（T1）にパケットを出力する。ここまでが、ＣＵＧルータ１１４によるパケット送信処理である。
【００４４】
ＣＵＧルータ１１４からトンネルT1に出力されたパケットは、図３に示すＣＵＧルータ１１４と同様の構成を有するCUGルータ１２４で受信される。CUGルータ１２４は、T1からのパケットをトンネルインターフェイス３０４で受信する。パケットを受信すると、アドレス変換処理部３０３は、アドレス変換テーブル３０６を参照して、送信先アドレスをCUG通信アドレスA１２２からプライベートアドレスP１２２に変換する。さらにアドレス変換部３０３は、CUG通信アドレスから特定されるＣＵＧ名を付加して、トラフィックフィルタ３０２に転送する。
【００４５】
トラフィックフィルタ３０２は、パケットの送信元アドレスをキーにしてＣＵＧデータベース３０５を検索し、パケット送信元端末が属するＣＵＧのグループ名を取得する。取得したCUG名とアドレス変換部が付加したＣＵＧ名が一致した場合は正常なＣＵＧ内トラフィックとしてフォワーディング処理部３０１にパケットを転送し、一致しない場合は、異常トラフィックとしてパケットを廃棄する。最後に、フォワーディング処理部３０１は、パケットを拠点ローカルネットワークの端末１２２へと送出する。
【００４６】
また、本発明のネットワークシステムを用いた場合、一つの拠点を複数のCUGに所属させることが可能となる。更には、端末ごとに複数のCUGに所属させることが可能となる。
【００４７】
詳細な実施形態を、図９を用いて説明する。ここでは、端末２１１及びCUGルータ２１４がCUG_BとともにCUG_Aにも参加する例が示されている。これは、端末２１１に対して二つのCUG通信アドレスを割り当てることで実現する。
【００４８】
すなわち、既にCUG_Bに参加し、CUG_Bに対応したCUG通信アドレスB２１１を割り当てられた端末２１１が、CUG管理サーバ１０２に対してCUG_Aへの参加を依頼する。CUG管理サーバ１０２は、端末２１１に対して新たにCUG_Aに対応したCUG通信アドレスA２１１を割り当てる。これにより端末２１１は、CUG_Bに対応したCUG通信アドレスB２１１と、CUB_Aに対応したCUG通信アドレスA２１１の２つが割り当てられる。CUG通信アドレスは、全てのCUGに渡って一意性を保障されており、CUG通信アドレスから、対応するCUG名と端末が一意に対応する。これにより、参加するCUGに対応して、複数のCUG通信アドレスを割り当てることにより、各端末が複数のCUGに参加することが可能となる。
【００４９】
次に複数のCUGに参加する複数の端末のパケットの送受信におけるアドレス変換を図１０に示す。CUGルータ２１４のCUGデータベース及びアドレス変換テーブルの例をそれぞれ図１１、１２に示す。図１０では、端末２１１が端末１１１と端末２２１にパケットを送信する場合について示している。
【００５０】
はじめにCUG_AとCUG_Bとに参加する端末２１１から、CUG_Aの端末１１１へのパケット送信を説明する。端末２１１は、名前解決サーバ１０１に問い合わせ、端末１１１のCUG_Aにおけるホスト名から、端末１１１のCUG_AにおけるCUG通信アドレス（A１１１）を取得する。次に端末２１１は、パケットの送信元アドレスには端末２１１のプライベートアドレスP２１１を、送信先アドレスには名前解決サーバ１０１から得た端末１１１のCUG通信アドレスA１１１を書き込む。
【００５１】
パケットを受信したCUGルータ２１４は、図１１、１２に示したデータベース（CUGデータベース３０５及びアドレス変換テーブル３０６）を参照して送信先アドレスがCUG_Aに属する端末のものであることを判別する。CUGルータ２１４では、パケットの送信元アドレスを、端末２１１のプライベートアドレスP２１１からCUG_AでのCUG通信アドレスA２１１へとアドレス変換する。
【００５２】
パケットを受信した拠点１１０のCUG内ルータ１１４は、パケットの送信先アドレスを、CUG通信アドレスA１１１からプライベートアドレスP１１１へと変換して拠点ローカルネットワークへと送信し、端末１１１でパケットが受信される。
【００５３】
一方、CUG_Bに参加する端末として端末２１１からCUG_Bの端末２２１へのパケット送信の場合には、CUGルータ２１４は、送信先アドレスがCUG_Bに属するCUG通信アドレスであると判別し、送信元アドレスを、端末２１１のプライベートアドレスP２１１からCUG_BでのCUG通信アドレスB２１１へと変換し、トンネルT4を介してCUGルータ２２４へと送信する。パケットを受信したCUGルータ２２４は、送信先のCUG通信アドレスB２２１をプライベートアドレスP２２１に変換し、拠点ローカルネットワークへと送出し、端末２１１においてパケットが受信される。なお、本実施形態では複数のCUGから一意のCUGを特定して通信を行う例を挙げたが、本発明はこれに限らず、複数の通信目的から、前記送信パケットの前記送信元アドレスと前記送信先アドレスとに基づいた一意の通信目的を特定することを可能とする。
【００５４】
図１３、１４には、本発明を活用した第二の実施形態と、それに利用されるＣＵＧルータの第二の実施形態を示した。この例では、図１のシステム構成の、ＣＵＧ管理サーバ１０２を用いていない。ＣＵＧ管理サーバ１０２で管理される情報を図６に示したが、第二の実施形態では、これらの情報をＣＵＧルータ１１４，１２４，１３４、２１４，２２４，２３４に分散して格納している。即ち、図５に示したＣＵＧ_Ａへの参加処理や、端末へのアドレス割り当て、ＣＵＧデータベース３０５やアドレス変換テーブル３０６の更新処理は、ＣＵＧルータ間で実行される。このため、各ＣＵＧルータには、ＣＵＧルータリスト３１０が追加されている。ＣＵＧルータリスト３１０には図１５に示すように、各ＣＵＧグループ名とそれぞれのＣＵＧに関連するＣＵＧルータのリストが格納されている。このリストは、例えば事前に管理者によって手動で設定される。各ＣＵＧルータは、このリストの情報を元に、メンバの追加や削除に伴う、アドレスの割り当てや開放を、関連するＣＵＧルータ間で通知し、必要に応じて調停することにより、CUGで一意のアドレスを管理する。本調停機能は、制御メッセージ３０７で実行され、結果は、ＣＵＧデータベース３０５、アドレス変換テーブル３０６に反映される。
【図面の簡単な説明】
【００５５】
【図１】本発明の閉域ネットワーク構成の一例を示す図である。
【図２】本発明の閉域ネットワーク構成の拠点を示す図である。
【図３】本発明のCUGルータ装置の構造の一例を示す図である。
【図４】本発明のアドレス変換部を示す図である。
【図５】本発明のパケット通信の動作の一例を示す図である。
【図６】本発明のCUG管理テーブルの一例を示す図である。
【図７】本発明のCUGデータベースの一例を示す図である。
【図８】本発明のアドレス変換テーブルの一例を示す図である。
【図９】本発明の閉域ネットワーク構成の一例を示す図である。
【図１０】本発明のパケット通信の動作の一例を示す図である。
【図１１】本発明のCUGデータベースの一例を示す図である。
【図１２】本発明のアドレス変換テーブルの一例を示す図である。
【図１３】本発明の閉域ネットワーク構成の一例を示す図である。
【図１４】本発明のCUGルータ装置の構造の一例を示す図である。
【図１５】本発明のCUGルータリストの一例を示す図である。
【符号の説明】
【００５６】
１０１    名前解決サーバ
１０２    CUG管理サーバ
１１０、１２０、１３０、２１０、２２０、２３０、２４０    拠点
１１１〜１１３、１２１〜１２３、１３１〜１３３、２１１〜２１３、２２１〜２２３、２３１〜２３３    端末
１１４、１２４、１３４、２１４、２２４、２３４、２４４    CUGルータ
T1〜T９    トンネル
３０１    フォワーディング処理部
３０２    トラフィックフィルタ
３０３    CUGアドレス変換処理部
３０４    トンネルインターフェイス
３０５    CUGデータベース
３０６    アドレス変換テーブル
３０７    制御メッセージ処理部
３０８    CUGアドレス変換処理部
３０９    アドレス変換部
３１０    CUGルータリスト
【図１】
2008311717.tif 000003
【図２】
2008311717.tif 000004
【図３】
2008311717.tif 000005
【図４】
2008311717.tif 000006
【図５】
2008311717.tif 000007
【図６】
2008311717.tif 000008
【図７】
2008311717.tif 000009
【図８】
2008311717.tif 000010
【図９】
2008311717.tif 000011
【図１０】
2008311717.tif 000012
【図１１】
2008311717.tif 000013
【図１２】
2008311717.tif 000014
【図１３】
2008311717.tif 000015
【図１４】
2008311717.tif 000016
【図１５】
2008311717.tif 000017