(57)【要約】【課題】キャリア管理網やユーザ拠点ＬＡＮをインターネットなどの外部ネットワークに接続することなく、ＶＰＮサービスを利用するユーザがキャリア管理網内の管理情報や制御情報に対して、ユーザ拠点ＬＡＮ内の端末から安全にアクセスできる公開用管理ネットワークを提供する。【解決手段】公開用管理ネットワークは、キャリア転送網１０と、キャリア転送網１０を管理するキャリア管理網１１と、ユーザ拠点ＬＡＮ１２とを備える。キャリア転送網１０は、ＶＰＮのコアネットワーク１０１、ユーザ拠点ＬＡＮ１２を収容するアクセス網１０２、ＣＵＧ間を相互接続する共通アクセス網１０３、キャリア管理網１１をユーザへ公開する公開用アクセス網１０４、エッジノード１０５Ａ，１０５Ｂ，１０５Ｃ、及びファイアウォール装置１０６を備え、キャリア管理網１１は、キャリア管理網１１の管理情報や制御情報をユーザへ公開する公開用サーバ１１１を備える。【選択図】        図１
2004304532.tif 000002
【特許請求の範囲】
【請求項１】
ＶＰＮを管理するキャリア管理網と、該キャリア管理網を１拠点として収容する公開用ＶＰＮと、前記キャリア管理網と公開用ＶＰＮとを相互接続する公開用サーバと、ユーザが利用する端末を備えたユーザ拠点ＬＡＮと、該ユーザ拠点ＬＡＮを１拠点として収容するユーザＶＰＮと、前記公開用ＶＰＮとユーザＶＰＮとを相互接続するファイアウォール装置とを備え、前記端末が、公開用サーバを中継してキャリア管理網内の管理情報及び制御情報を取得または設定することを特徴とする公開用管理ネットワーク。
【請求項２】
請求項１に記載の公開用管理ネットワークにおいて、公開用サーバは、Ｗｅｂサーバの機能を有し、ユーザ拠点ＬＡＮ内の端末は、前記公開用サーバ内のＷｅｂページを指すＵＲＬを指定してユーザパケットを送出する機能を有し、ファイアウォール装置は、前記端末が指定したＵＲＬによってユーザパケットのフィルタリング処理を行い、前記公開用サーバ内の特定のＷｅｂページへのアクセスのみを許可する機能を有することを特徴とする公開用管理ネットワーク。
【請求項３】
請求項２に記載の公開用管理ネットワークにおいて、ファイアウォール装置は、送出元ＩＰアドレス、宛先ＩＰアドレス及び宛先ＵＲＬを含むフィルタリングテーブルを有し、端末が送出するユーザパケットの送出元ＩＰアドレスと前記フィルタリングテーブルとに基づいてフィルタリング処理を行うことを特徴とする公開用管理ネットワーク。
【請求項４】
請求項１に記載の公開用管理ネットワークにおいて、公開用サーバは、キャリア管理網に接続する第１のネットワークインタフェースと、公開用ＶＰＮに接続する第２のネットワークインタフェースとを備え、前記第１のネットワークインタフェースによって、キャリア管理網内の管理システムと通信を行い、前記第２のネットワークインタフェースによって、ユーザ拠点ＬＡＮ内の端末とＨＴＴＰ通信を行うことを特徴とする公開用管理ネットワーク。
【請求項５】
請求項１に記載の公開用管理ネットワークにおいて、公開用ＶＰＮは、キャリア管理網を１つのユーザ拠点として収容し、キャリア管理網を公開するためのＶＰＮとしてユーザＶＰＮと相互接続されることを特徴とする公開用管理ネットワーク。
【請求項６】
請求項１に記載の公開用管理ネットワークにおいて、キャリア管理網は、ＶＰＮを構成する各ノードを管理するノード管理システムと、ＶＰＮサービスに関する設定情報を管理するサービス管理システムとを備え、公開用サーバは、端末からの要求に応じて、前記ノード管理システム及びサービス管理システムの情報を取得または設定する機能を有することを特徴とする公開用管理ネットワーク。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークサービス事業者であるキャリアがＶＰＮ（仮想プライベートネットワーク）サービスをユーザへ提供する際に、ユーザ自身がＶＰＮサービスに関する情報をオンラインで参照したり、設定したりすることを可能とするために、キャリア管理網内にある管理情報や制御情報にアクセスする公開用管理ネットワークに関するものである。
【０００２】
【従来の技術】
従来、ネットワークサービス事業者であるキャリアが提供する専用線やＶＰＮなどによるプライベートネットワークサービスにおいては、顧客であるユーザに対して回線の使用状況やネットワークの設定内容などの情報を提供するため、ＣＮＭ（カスタマネットワークマネージメント）と呼ばれる技術によってキャリア管理網をユーザに対して公開するという方法が用いられてきた。
【０００３】
ＣＮＭでは、プライベートネットワークサービスを実現しているキャリア転送網を管理するキャリア管理網内に、キャリア管理網内の情報を公開するためのＨＴＴＰサーバなどのＣＮＭサーバを構築する。ＣＮＭサーバをインターネットに接続することにより、ユーザは、インターネットに接続した端末から普段使っているＷｅｂブラウザを用いてオンラインで、キャリア管理網内の情報を取得したり、設定したりすることができる。
【０００４】
ところで、プライベートネットワークサービスを提供するＶＰＮは、不特定多数のユーザ端末が接続されているネットワーク中に、特定のユーザ端末だけが利用できる通信網を設定したネットワークである。例えば、このＶＰＮの構成として、パケット通信網において、パケットヘッダーに、ＬＡＮ端末の物理的な接続位置を表す識別子であるコアアドレスと、ＬＡＮ端末が帰属する上位階層グループを表す識別子であるＣＵＧ識別子とを記述するパケット通信処理方法は既知である。この場合、加入者ノードが、上位階層毎に作成されているルーチングテーブルを用いてパケットを転送すべき上位階層グループのＬＡＮ端末を特定することができ、単一の加入者収容のノードに収容された複数の端末を互いに異なる上位階層グループに帰属させることができる（例えば、特許文献１参照。）。一般に、このような構成例においても、ユーザは、キャリア管理網内に設置されたＨＴＴＰサーバにインターネットを介して接続することにより、加入者ノードに設定されているルーチングテーブルの情報などを取得したり、設定したりすることができる。
【０００５】
【特許文献１】
特開平１０−２３３７９５号公報（段落〔００１２〕〜〔００１８〕、図２、図４）
【０００６】
【発明が解決しようとする課題】
このような従来技術においては、以下のような問題がある。
第一の問題は、キャリア管理網が外部からの不正アクセスなどの攻撃を受けやすくなることである。その理由は、キャリア管理網内にある管理情報や制御情報をユーザへ公開するために、キャリア管理網をＣＮＭサーバを介してインターネットへ接続する必要があり、インターネット上の第三者がキャリア管理網に対して様々な方法で攻撃してくる可能性があるからである。
【０００７】
第二の問題は、キャリア管理網内の管理情報や制御情報へアクセスするための、ユーザが負担するコストが高くなることである。その第一の理由は、ＶＰＮサービスのユーザがキャリア管理網へ接続するために、ＶＰＮサービスとは別にインターネットの回線契約を結ぶ必要があるからである。第二の理由は、ユーザ拠点において、ＶＰＮサービスに接続するＬＡＮとインターネットへ接続するＬＡＮを別々に構築した場合には、１つのユーザ拠点で２つのＬＡＮを構築する必要があり、ユーザにとって設備的にも運用的にもコスト負担となるからである。第三の理由は、ユーザ拠点において、ＶＰＮサービスに接続するＬＡＮとインターネットへ接続するＬＡＮを別々に構築した場合には、キャリア管理網へアクセスするための端末をＶＰＮサービスに接続する端末とは別に用意する必要があるため、ユーザにとって設備的にも運用的にもコスト負担となるからである。
【０００８】
第三の問題は、ＶＰＮサービスを利用するユーザ拠点ＬＡＮも、外部から攻撃を受ける可能性があることである。その理由は、ＶＰＮサービスに接続するユーザ拠点ＬＡＮを、ＶＰＮとインターネット両方に接続するネットワーク構成とした場合、ユーザ拠点ＬＡＮもインターネットに接続する必要があるため、インターネット上の第三者が、ユーザ拠点ＬＡＮに対して攻撃する可能性があるからである。さらに、この場合は、ユーザ拠点ＬＡＮはＶＰＮに接続されているため、仮に、第三者があるユーザ拠点ＬＡＮへインターネットから侵入した場合には、ＶＰＮ全体に侵入できてしまうため、ＶＰＮ本来の目的であるプライベートネットワークの閉鎖性、秘密性が破られてしまう可能性があるからである。
【０００９】
本発明はこのような問題を解決するためになされたものであり、その目的は、キャリア管理網やユーザ拠点ＬＡＮをインターネットなどの外部ネットワークに接続することなく、ＶＰＮサービスを利用するユーザがキャリア管理網内の管理情報や制御情報に対して、ユーザ拠点ＬＡＮ内の端末から安全にアクセスできる公開用管理ネットワークを提供することにある。
【００１０】
【課題を解決するための手段】
上述した問題を解決するために、請求項１の発明は、ＶＰＮを管理するキャリア管理網と、該キャリア管理網を１拠点として収容する公開用ＶＰＮと、前記キャリア管理網と公開用ＶＰＮとを相互接続する公開用サーバと、ユーザが利用する端末を備えたユーザ拠点ＬＡＮと、該ユーザ拠点ＬＡＮを１拠点として収容するユーザＶＰＮと、前記公開用ＶＰＮとユーザＶＰＮとを相互接続するファイアウォール装置とを備え、前記端末が、公開用サーバを中継してキャリア管理網内の管理情報及び制御情報を取得または設定することを特徴とする公開用管理ネットワークにある。
【００１１】
また、請求項２の発明は、請求項１に記載の公開用管理ネットワークにおいて、公開用サーバは、Ｗｅｂサーバの機能を有し、ユーザ拠点ＬＡＮ内の端末は、前記公開用サーバ内のＷｅｂページを指すＵＲＬを指定してユーザパケットを送出する機能を有し、ファイアウォール装置は、前記端末が指定したＵＲＬによってユーザパケットのフィルタリング処理を行い、前記公開用サーバ内の特定のＷｅｂページへのアクセスのみを許可する機能を有することを特徴とする。
【００１２】
また、請求項３の発明は、請求項２に記載の公開用管理ネットワークにおいて、ファイアウォール装置は、送出元ＩＰアドレス、宛先ＩＰアドレス及び宛先ＵＲＬを含むフィルタリングテーブルを有し、端末が送出するユーザパケットの送出元ＩＰアドレスと前記フィルタリングテーブルとに基づいてフィルタリング処理を行うことを特徴とする。
【００１３】
また、請求項４の発明は、請求項１に記載の公開用管理ネットワークにおいて、公開用サーバは、キャリア管理網に接続する第１のネットワークインタフェースと、公開用ＶＰＮに接続する第２のネットワークインタフェースとを備え、前記第１のネットワークインタフェースによって、キャリア管理網内の管理システムと通信を行い、前記第２のネットワークインタフェースによって、ユーザ拠点ＬＡＮ内の端末とＨＴＴＰ通信を行うことを特徴とする。
【００１４】
また、請求項５の発明は、請求項１に記載の公開用管理ネットワークにおいて、公開用ＶＰＮは、キャリア管理網を１つのユーザ拠点として収容し、キャリア管理網を公開するためのＶＰＮとしてユーザＶＰＮと相互接続されることを特徴とする。
【００１５】
また、請求項６の発明は、請求項１に記載の公開用管理ネットワークにおいて、キャリア管理網は、ＶＰＮを構成する各ノードを管理するノード管理システムと、ＶＰＮサービスに関する設定情報を管理するサービス管理システムとを備え、公開用サーバは、端末からの要求に応じて、前記ノード管理システム及びサービス管理システムの情報を取得または設定する機能を有することを特徴とする。
【００１６】
本発明と従来技術とを比較すると、本発明は、ユーザ拠点ＬＡＮとキャリア管理網とを、ＶＰＮサービスを実現するＶＰＮ内で相互接続するようにしたから、ユーザ拠点ＬＡＮやキャリア管理網をインターネットなどの外部ネットワークに接続する必要がなく、また、キャリアが、キャリア管理網内にある管理情報や制御情報をＶＰＮサービスのユーザに対してのみ安全な形で公開することが可能となる点において異なる。
【００１７】
【発明の実施の形態】
図１は、本発明の一実施形態による通信網の構成例を示す図である。図１において、１０はユーザパケットが流れるキャリア転送網、１１はキャリア転送網１０を管理するためのキャリア管理網、１２は例えば支店や支社などの地域に分散したユーザ拠点毎に構築されるユーザ拠点ＬＡＮである。
【００１８】
１０１はＶＰＮのコアネットワーク、１０２はユーザ拠点ＬＡＮ１２を収容するアクセス網、１０３はＣＵＧ間を相互接続するために利用する共通アクセス網、１０４はキャリア管理網１１をユーザへ公開するための公開用アクセス網である。１０５Ａ，１０５Ｂ，１０５Ｃは、各アクセス網１０２，１０３，１０４をコアネットワーク１０１へ接続するためのエッジノードであり、１０６は、ＣＵＧ間を相互接続するファイアウォール装置である。また、１０７は、公開用アクセス網１０４を終端して、キャリア転送網１０とキャリア管理網１１とを接続するルータである。
【００１９】
ここで、本構成例におけるＣＵＧとは、Ｃｌｏｓｅｄ  Ｕｓｅｒｓ  Ｇｒｏｕｐの略であり、１つの仮想的な閉域網であるＶＰＮに属するユーザの集合を意味する。従って、１つのＶＰＮに含まれるユーザ群と１つのＣＵＧとは同じことを意味し、ＣＵＧを相互接続するとは、ＶＰＮを相互接続することを意味する。
【００２０】
１１１は、キャリア管理網１１とキャリア転送網１０とを相互接続し、キャリア管理網１１の管理情報や制御情報をユーザへ公開するための公開用サーバである。１１２は、キャリア転送網１０を構成するエッジノード１０５Ａ，１０５Ｂ，１０５Ｃ及びファイアウォール装置１０６を管理するノード管理システムであり、管理するノードの種類などによって複数存在する場合がある。１１３は、ノード管理システム１１２と連携しながら、ＶＰＮサービスに関する設定などを管理するサービス管理システム１１３であり、提供するサービスの種類によって複数存在する場合がある。１１４は、エッジノード１０５Ａ，１０５Ｂ，１０５Ｃ及びファイアウォール装置１０６を管理したり、制御したりするための管理用回線であり、キャリア管理網１１から各ノードへ接続される。ノード管理システム１１２及びサービス管理システム１１３は、管理用回線１１４を経由して、エッジノード１０５Ａ，１０５Ｂ，１０５Ｃ及びファイアウォール装置１０６の管理や制御を行う。
【００２１】
１２１は、アクセス網１０２を終端して、キャリア転送網１０とユーザ拠点ＬＡＮ１２とを接続するためのルータである。また、１２２Ａ，１２２Ｂはユーザ端末である。
【００２２】
図１に示した構成例において、キャリア管理網１１は、１７２．１６．２００．＊というＩＰサブネットを用い、公開用サーバ１１１、ノード管理システム１１２、サービス管理システム１１３、エッジノード１０５Ａ，１０５Ｂ，１０５Ｃ及びファイアウォール装置１０６に対して、１７２．１６．２００．＊に属するＩＰアドレスがそれぞれ割り当てられている。また、ユーザ拠点ＬＡＮ１２は、１９２．１６８．１１０．＊のＩＰサブネットを用い、ユーザ拠点ＬＡＮ１２内のユーザ端末１２２Ａ，１２２Ｂに対して、１９２．１６８．１１０．＊に属するＩＰアドレスがそれぞれ割り当てられている。
【００２３】
エッジノード１０５Ａ，１０５Ｂ，１０５Ｃには、コアネットワーク１０１内でユーザパケットをカプセル化し、独自のアドレス体系によりパケットを転送するためのコアアドレスと呼ばれるアドレスが割り当てられている。コアアドレスは、コアネットワーク１０１内で一意に識別可能なアドレスであり、１つのエッジノードが複数のコアアドレスを持つことも可能である。本構成例では、エッジノード１０５Ａのコアアドレスは０００−０８１−０００−０００１−０１、エッジノード１０５Ｂのコアアドレスは０００−０８１−０００−０００２−０１、エッジノード１０５Ｃのコアアドレスは０００−０８１−０００−０００３−０１である。
【００２４】
また、エッジノード１０５Ａ，１０５Ｂ，１０５Ｃは、それぞれ接続されるユーザ拠点を識別するためのＣＵＧ−ＩＤ及びＵｓｅｒ−ＩＤという識別子を用いる。ＣＵＧ−ＩＤは、ユーザ拠点が属するＣＵＧの識別子であり、コアネットワーク１０１内で一意に割り振られる。Ｕｓｅｒ−ＩＤは、ユーザ拠点の識別子であり、エッジノード１０５Ａ，１０５Ｂ，１０５Ｃ内で一意に割り振られる。本構成例では、エッジノード１０５Ａには、ＣＵＧ−ＩＤ＝１，Ｕｓｅｒ−ＩＤ＝５であるユーザ拠点が接続され、エッジノード１０５Ｃには、ＣＵＧ−ＩＤ＝２，Ｕｓｅｒ−ＩＤ＝８であるユーザ拠点が接続されていることを示している。従って、ユーザ拠点ＬＡＮ１２は、ＣＵＧ−ＩＤ＝１のＣＵＧに属し、公開用サーバ１１１はＣＵＧ−ＩＤ＝２のＣＵＧに属している。
【００２５】
また、共通アクセス網１０３は、ファイアウォール装置１０６に接続される特別なアクセス網であり、エッジノード１０５Ｂには、ＣＵＧ−ＩＤ＝１，Ｕｓｅｒ−ＩＤ＝６、及びＣＵＧ−ＩＤ＝２，Ｕｓｅｒ−ＩＤ＝９である２つのユーザ拠点が接続される。ファイアウォール装置１０６は、これらの２つのユーザ拠点間のパケット通過を許可することにより、ＣＵＧ間の相互接続を実現する。本構成例では、ファイアウォール装置１０６は、ＣＵＧ−ＩＤ＝１とＣＵＧ−ＩＤ＝２のＣＵＧを相互に接続する。
【００２６】
公開用サーバ１１１は、キャリア管理網１１側及び公開用アクセス網１０４側に接続する２つのインタフェースを持っている。本構成例では、公開用サーバ１１１の公開用アクセス網１０４側のインタフェースには、１７２．１６．１１０．２のＩＰアドレスが割り当てられている。また、キャリア管理網１１側のインタフェースには、キャリア管理網１１の１７２．１６．２００．＊に属するＩＰアドレスが割り当てられている。尚、この２つのインタフェース間ではパケットの転送は行わない。従って、キャリア管理網１１とキャリア転送網１０間において直接通信が行われることはない。
【００２７】
また、公開用サーバ１１１は、公開用アクセス網１０４側のインタフェースによりＨＴＴＰ（Ｗｅｂ）サーバを動作させており、公開用アクセス網１０４側から到着するＨＴＴＰリクエストに対してＨＴＭＬ（Ｗｅｂ）ページのサービスを提供する。一方、キャリア管理網１１側のインタフェースでは、ノード管理システム１１２やサービス管理システム１１３と通信を行う。
【００２８】
図２は、エッジノード１０５Ａ，１０５Ｂ，１０５Ｃに設定する、ユーザパケットの転送経路情報を表すルーチングテーブルの例を示す図である。図２（Ａ）は、エッジノード１０５Ａにおいて、コアネットワーク１０１側から送信されたユーザパケットを、アクセス網１０２方向へ転送するためのルーチングテーブルである。（Ｂ）は、エッジノード１０５Ａにおいて、アクセス網１０２側から送信されたユーザパケットを、コアネットワーク１０１方向へ転送するためのルーチングテーブルである。以下同様に、（Ｃ）は、エッジノード１０５Ｃにおいて、コアネットワーク１０１側から送信されたユーザパケットを、公開用アクセス網１０４方向へ転送するためのルーチングテーブルである。（Ｄ）は、エッジノード１０５Ｃにおいて、公開用アクセス網１０４側から送信されたユーザパケットを、コアネットワーク１０１方向へ転送するためのルーチングテーブルである。（Ｅ）は、エッジノード１０５Ｂにおいて、コアネットワーク１０１側から送信されたユーザパケットを、共通アクセス網１０３方向へ転送するためのルーチングテーブルである。（Ｆ）は、エッジノード１０５Ｂにおいて、共通アクセス網１０３側から送信されたユーザパケットを、コアネットワーク１０１方向へ転送するためのルーチングテーブルである。また、２１〜２８は、ユーザ拠点ＬＡＮ１２から公開用サーバ１１１へ通信可能とするために、エッジノード１０５Ａ，１０５Ｂ，１０５Ｃに設定する設定エントリの一例である。
【００２９】
図３は、ファイアウォール装置１０６に設定するＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）フィルタリングテーブルの例を示す図である。ファイアウォール装置１０６は、ＣＵＧへ出入りするパケットを、アドレスやポート、ＨＴＴＰのＵＲＬなどによって制限するパケットフィルタリングを行うことができる。３１は、公開用サーバ１１１のＩＰアドレス（１７２．１６．１１０．２）の公開ＵＲＬ（ｈｔｔｐ：／／ｈｏｇｅ．ｃｏ．ｊｐ／ｖｉｅｍ／）に対して、ユーザ拠点ＬＡＮ１２からのＨＴＴＰ接続を許可するパケットフィルタリングの設定エントリの一例である。
【００３０】
図４は、図１に示した公開用サーバ１１１の内部構成を示す図である。４０１は、公開用アクセス網１０４側のＬＡＮと接続して通信を行うための公開用アクセス網インタフェースであり、図１に示したＩＰアドレス１７２．１６．１１０．２が割り当てられている。４０２は、一般のＨＴＴＰサーバと同様に、公開用アクセス網１０４側から公開用アクセス網インタフェース４０１を介してＨＴＴＰリクエストを受け取り、そのリクエストに対する応答内容であるＨＴＭＬ文書を含むＨＴＴＰリプライを送り返すＨＴＴＰサーバである。４０３は、ＨＴＴＰサーバ４０２が受け取ったＨＴＴＰリクエストの内容に基づいて、応答内容であるＨＴＭＬ文書を作成するために、キャリア管理網１１内のノード管理システム１１２やサービス管理システム１１３から必要なデータを取得したり、あるいは、それらの管理システムに対して処理を依頼したりする制御ロジック部である。４０４は、制御ロジック部４０３がノード管理システム１１２やサービス管理システム１１３と通信するためのプロトコル処理やデータ変換などを行うアダプタ部である。４０５は、キャリア管理網１１のＬＡＮと接続して通信を行うためのキャリア管理網インタフェースであり、図１に示したように、１７２．１６．２００．＊に属するＩＰアドレスが割り当てられている。
【００３１】
次に、本実施形態の動作について説明する。
図５及び６は、図１に示した通信網の構成例において、ユーザ拠点ＬＡＮ１２から送出されたＨＴＴＰリクエストパケットが、公開用サーバ１１１まで転送される流れを説明するフロー図である。まず、ＨＴＴＰリクエストが、ユーザ拠点ＬＡＮ１２内にあるユーザ端末１２２Ａから、公開用サーバ１１１の公開用アクセス網１０４側インタフェースのアドレスである宛先１７２．１６．１１０．２に対して送出される（ステップＳ５０１）。このとき、ＨＴＴＰリクエストパケットは、公開用サーバ１１１が提供しているＨＴＭＬページを指定する公開用ＵＲＬを指定して送られる。本実施例では、公開用ＵＲＬはｈｔｔｐ：／／ｈｏｇｅ．ｃｏ．ｊｐ／ｖｉｅｍ／＊であるとする。ＨＴＴＰリクエストパケットは、ルータ１２１とアクセス網１０２を経由し、エッジノード１０５Ａへ到達する（ステップＳ５０２）。
【００３２】
エッジノード１０５Ａは、図２（Ｂ）に示したコアネットワークルーチングテーブルを検索し、宛先ＩＰアドレスが１７２．１６．１１０．２である設定エントリ２２から、次に転送するエッジノードの宛先コアアドレス０００−０８１−０００−０００２−０１を取り出す（ステップＳ５０３）。エッジノード１０５Ａは、コアアドレス０００−０８１−０００−０００２−０１を持つエッジノード１０５ＢへＨＴＴＰリクエストパケットを転送する（ステップＳ５０４）。エッジノード１０５Ｂは、図２（Ｅ）に示した共通アクセス網ルーチングテーブルを検索し、宛先ＩＰアドレスが１７２．１６．１１０．２である設定エントリ２５から、次に転送するユーザ拠点のＵｓｅｒ−ＩＤ＝６を取り出す（ステップＳ５０５）。エッジノード１０５Ｂは、Ｕｓｅｒ−ＩＤ＝６を持つユーザ拠点、すなわちファイアウォール装置１０６に対してＨＴＴＰリクエストパケットを転送する（ステップＳ５０６）。
【００３３】
ファイアウォール装置１０６は、ＣＵＧ−ＩＤ＝１，Ｕｓｅｒ−ＩＤ＝６のユーザ拠点としてＨＴＴＰリクエストパケットを受け取り、ＨＴＴＰリクエストパケットに含まれる送出元（Ｓｏｕｒｃｅ）ＩＰアドレス１９２．１６８．１１０．＊、宛先（Ｄｅｓｔｉｎａｔｉｏｎ）ＩＰアドレス１７２．１６．１１０．２及び宛先のＵＲＬであるｈｔｔｐ：／／ｈｏｇｅ．ｃｏ．ｊｐ／ｖｉｅｍ／＊の情報を取り出す。次に、ＵＲＬフィルタリングテーブルを参照し、ＨＴＴＰリクエストパケットから取り出した送出元（Ｓｏｕｒｃｅ）ＩＰアドレスから、宛先（Ｄｅｓｔｉｎａｔｉｏｎ）ＩＰアドレスかつ宛先ＵＲＬへのＨＴＴＰ接続が許可されているか否かを判断する（ステップＳ５０７）。本実施例では、図３に示したパケットフィルタリングの設定エントリ３１により、送出元（Ｓｏｕｒｃｅ）ＩＰアドレス１９２．１６８．１１０．＊から、宛先（Ｄｅｓｔｉｎａｔｉｏｎ）ＩＰアドレスが１７２．１６．１１０．２かつ宛先ＵＲＬがｈｔｔｐ：／／ｈｏｇｅ．ｃｏ．ｊｐ／ｖｉｅｍ／＊であるＨＴＴＰサーバへの通信が許可されている。
【００３４】
パケットフィルタリングの設定エントリ３１により通信を許可されたＨＴＴＰリクエストパケットは、宛先（Ｄｅｓｔｉｎａｔｉｏｎ）側のユーザ拠点へ送出される。本実施例では、ＣＵＧ−ＩＤ＝２、Ｕｓｅｒ−ＩＤ＝９のユーザ拠点へ送出される（ステップＳ５０８）。パケットフィルタリングの設定エントリ３１により通信を許可されなかったＨＴＴＰリクエストパケットは、全て破棄される（ステップＳ５０９）。これにより、送出元（Ｓｏｕｒｃｅ）ＩＰアドレスから宛先（Ｄｅｓｔｉｎａｔｉｏｎ）ＩＰアドレスへの通信を許可するだけでなく、ユーザに公開するＵＲＬに対してのみ通信を許可することが可能となる。従って、公開用サーバ１１１に対するユーザ拠点ＬＡＮ１２側からの接続をきめ細かく制限することができ、公開用サーバ１１１及びキャリア管理網１１の外部からの攻撃に対する安全性を高めることができる。
【００３５】
ファイアウォール装置１０６内のＣＵＧ−ＩＤ＝２，Ｕｓｅｒ−ＩＤ＝９のユーザ拠点から送出されたＨＴＴＰリクエストパケットは、エッジノード１０５Ｂに到達する（ステップＳ５１０）。エッジノード１０５Ｂは、図２（Ｆ）に示したコアネットワークルーチングテーブルを検索し、宛先ＩＰアドレスが１７２．１６．１１０．２である設定エントリ２８から、次に転送するエッジノードの宛先コアアドレス０００−０８１−０００−０００３−０１を取り出す（ステップＳ５１１）。エッジノード１０５Ｂは、コアアドレス０００−０８１−０００−０００３−０１をもつエッジノード１０５ＣへＨＴＴＰリクエストパケットを転送する（ステップＳ５１２）。エッジノード１０５Ｃは、図２（Ｃ）に示した公開用アクセス網ルーチングテーブルを検索し、宛先ＩＰアドレスが１７２．１６．１１０．２である設定エントリ２３から、次に転送するアクセス網のＵｓｅｒ−ＩＤ＝８を取り出す（ステップＳ５１３）。エッジノード１０５Ｃは、Ｕｓｅｒ−ＩＤ＝８を持つユーザ拠点がある公開用アクセス網１０４へＨＴＴＰリクエストパケットを転送する（ステップＳ５１４）。  公開用アクセス網１０４へ転送されたＨＴＴＰリクエストパケットは、ルータ１０７を経由して公開用サーバ１１１へ到達する（ステップＳ５１５）。
【００３６】
以上のようにして、ユーザ拠点ＬＡＮ１２内のユーザ端末１２２Ａから、公開用サーバ１１１の公開用ＵＲＬへのアクセスが可能となる。また、公開用サーバ１１１から送出されるＨＴＴＰリプライパケットは、上記で説明したステップ５０１から５１４の逆のシーケンスを辿ってユーザ端末１２２Ａへ到達する。ＨＴＴＰリプライパケットの場合には、ファイアウォール装置１０６は、ＨＴＴＰリクエストパケットのＵＲＬフィルタリングにおいて通過を許可されたリクエストに対する応答であることを判断し、ＨＴＴＰリプライパケットの通過を許可する。
【００３７】
図７及び８は、ＨＴＴＰリクエストパケットを受け取った公開用サーバ１１１の動作を説明するフロー図である。まず、公開用アクセス網１０４からＨＴＴＰリクエストパケットが到着する（ステップＳ６０１）。図４に示したように、公開用アクセス網インタフェース４０１は、そのパケットからＨＴＴＰリクエストを取り出し、ＨＴＴＰサーバ４０２へ転送する（ステップＳ６０２）。
【００３８】
ＨＴＴＰサーバ４０２は、ＨＴＴＰリクエストの要求種類及びパラメータなどを取り出し、制御ロジック部４０３へ転送する（ステップＳ６０３）。制御ロジック部４０３は、要求種類及びパラメータからＨＴＴＰリプライの応答内容であるＨＴＭＬ文書を作成する。この時、必要に応じて、アダプタ部４０４を介して、ノード管理システム１１２やサービス管理システム１１３から情報を取得する情報取得手段や、これらのシステムに情報を設定する情報設定手段を呼び出す（ステップＳ６０４）。
【００３９】
アダプタ部４０４は、ノード管理システム１１２やサービス管理システム１１３に対する情報取得手段や情報設定手段を呼び出す要求データを生成し、キャリア管理網インタフェース４０５へ転送する（ステップＳ６０５）。
【００４０】
キャリア管理網インタフェース４０５は、要求データからリクエストパケットを生成してキャリア管理網１１へ送出する（ステップＳ６０６）。キャリア管理網インタフェース４０５は、ノード管理システム１１２やサービス管理システム１１３から情報取得要求や情報設定要求に対する応答データをリプライパケットとして受け取る（ステップＳ６０７）。キャリア管理網インタフェース４０５は、応答データをリプライパケットから取り出してアダプタ部４０４へ転送する（ステップＳ６０８）。
【００４１】
アダプタ部４０４は、受け取った応答データから情報取得や情報設定が成功したか失敗したかを判断し、取得した情報を適切なデータ形式へ変換するなどの処理を行い、その処理結果を制御ロジック部４０３へ転送する（ステップＳ６０９）。
【００４２】
制御ロジック部４０３は、受け取った処理結果からＨＴＭＬ文書を作成し、ＨＴＴＰサーバ４０２へ転送する（ステップＳ６１０）。ＨＴＴＰサーバ４０２は、ＨＴＭＬ文書を受け取り、ＨＴＴＰリプライを作成して公開用アクセス網インタフェース４０１へ転送する（ステップＳ６１１）。公開用アクセス網インタフェース４０１は、ＨＴＴＰリプライパケットを生成し、公開用アクセス網１０４へ送出する（ステップＳ６１２）。
【００４３】
【発明の効果】
以上説明したように、本発明によれば、ユーザ拠点ＬＡＮとキャリア管理網を、ＶＰＮとファイアウォール装置を介して相互接続することができるため、キャリア管理網内にある管理情報や制御情報を、ＶＰＮサービスのユーザに対してのみ安全に公開することが可能になるという利点がある。
【００４４】
さらに、送出元（Ｓｏｕｒｃｅ）ＩＰアドレスから宛先（Ｄｅｓｔｉｎａｔｉｏｎ）ＩＰアドレスへの通信を許可するだけでなく、ユーザに公開するＵＲＬに対してのみ通信を許可するため、公開するＷｅｂページ以外のＵＲＬによる不正アクセス、ＨＴＴＰプロトコル以外のプロトコルによる不正アクセス、及びその他の攻撃からキャリア管理網を防御することができるという利点がある。
【００４５】
また、ＶＰＮサービスのユーザは、ユーザ拠点ＬＡＮ内にあるユーザ端末上のＷｅｂブラウザを用いて、キャリア管理網内の管理情報や制御情報へアクセスすることができるため、特別にネットワーク管理用のソフトウェアや機器を用意する必要がなく、低コストかつ容易にユーザ自身が利用するＶＰＮサービスに関する情報を参照したり設定したりすることができるという利点がある。
【００４６】
また、ＶＰＮサービスのユーザは、キャリア管理網内の管理情報や制御情報へアクセスするために、別途インターネットや専用線などの外部回線契約を結ぶ必要がなく、キャリア管理網への接続コストを削減することができるという利点がある。さらに、ユーザ拠点ＬＡＮをキャリア転送網以外のネットワークに接続する必要がないため、ユーザ拠点ＬＡＮ自体が外部から攻撃される可能性が低くなり、ユーザ拠点ＬＡＮの安全性を高めることができるという利点がある。
【図面の簡単な説明】
【図１】本発明の一実施形態による通信網の構成例を示す図である。
【図２】エッジノード１０５Ａ，１０５Ｂ，１０５Ｃに設定する、ユーザパケットの転送経路情報を表すルーチングテーブルの例を示す図である。
【図３】ファイアウォール装置１０６に設定するＵＲＬフィルタリングテーブルの例を示す図である。
【図４】図１に示した公開用サーバ１１１の内部構成を示す図である。
【図５】図１に示した通信網の構成例におけるＨＴＴＰリクエストパケットの流れを説明するフロー図（１）である。
【図６】図１に示した通信網の構成例におけるＨＴＴＰリクエストパケットの流れを説明するフロー図（２）である。
【図７】ＨＴＴＰリクエストパケットを受け取った公開用サーバ１１１の動作を説明するフロー図（１）である。
【図８】ＨＴＴＰリクエストパケットを受け取った公開用サーバ１１１の動作を説明するフロー図（２）である。
【符号の説明】
１０  キャリア転送網
１１  キャリア管理網
１２  ユーザ拠点ＬＡＮ
２１〜２８，３１  設定エントリ
１０１  コアネットワーク
１０２  アクセス網
１０３  共通アクセス網
１０４  公開用アクセス網
１０５Ａ，１０５Ｂ，１０５Ｃ  エッジノード
１０６  ファイアウォール装置
１０７，１２１  ルータ
１１１  公開用サーバ
１１２  ノード管理システム
１１３  サービス管理システム
１１４  管理用回線
１２２Ａ，１２２Ｂ  ユーザ端末
４０１  公開用アクセス網インタフェース
４０２  ＨＴＴＰサーバ
４０３  制御ロジック部
４０４  アダプタ部
４０５  キャリア管理網インタフェース
【図１】
2004304532.tif 000003
【図２】
2004304532.tif 000004
【図３】
2004304532.tif 000005
【図４】
2004304532.tif 000006
【図５】
2004304532.tif 000007
【図６】
2004304532.tif 000008
【図７】
2004304532.tif 000009
【図８】
2004304532.tif 000010