(57)【要約】【課題】  １つの宛先アドレスが複数のＶＰＮに属する利用形態を許容する。検索時間を短縮する。ハードウェア構成を小さくする。ＶＰＮの増設を容易にする。ＦＥの処理能力の全てをＶＰＮ構築のために費やす。【解決手段】  入力回線毎に設けられ、入力ＩＰパケットの属するＶＰＮを識別するＶＰＮ識別手段と、このＶＰＮ識別手段による識別結果に応じて入力ＩＰパケットをＶＰＮ毎に振り分ける振り分け手段と、この振り分け手段の出力ポート対応に設けられ、この振り分け手段によりＶＰＮ毎に振り分けられた入力ＩＰパケットの宛先アドレスに基づき当該入力ＩＰパケットの出力方路をＶＰＮ毎に決定する手段とを備える。【選択図】  図１
2005051651.tif 000002
【特許請求の範囲】
【請求項１】
入力回線毎に設けられ、入力ＩＰパケットの属するＶＰＮを識別するＶＰＮ識別手段と、
このＶＰＮ識別手段による識別結果に応じて入力ＩＰパケットをＶＰＮ毎に振り分ける振り分け手段と、
この振り分け手段の出力ポート対応に設けられ、この振り分け手段によりＶＰＮ毎に振り分けられた入力ＩＰパケットの宛先アドレスに基づき当該入力ＩＰパケットの出力方路をＶＰＮ毎に決定する手段と
を備えたことを特徴とするＶＰＮ用ルータ。
【請求項２】
入力回線毎に設けられ、入力ＩＰパケットの属するＶＰＮを識別するＶＰＮ識別手段と、
このＶＰＮ識別手段が入力ポートの一部に設けられ、このＶＰＮ識別手段による識別結果に応じて入力ＩＰパケットをＶＰＮ毎に振り分けるルーティング手段と、
このルーティング手段の出力ポートの一部に設けられ、このルーティング手段によりＶＰＮ毎に振り分けられた入力ＩＰパケットの宛先アドレスに基づき当該入力ＩＰパケットの出力方路をＶＰＮ毎に決定する手段と
を備え、
前記ルーティング手段は、その入力ポートの一部に前記決定する手段により出力方路が決定されたＩＰパケットを入力し、その出力方路に応じて当該ＩＰパケットをルーティングする手段を備えた
ことを特徴とするＶＰＮ用ルータ。
【請求項３】
前記ＶＰＮ識別手段は、入力ＩＰパケットのアドレス情報に基づきＶＰＮを識別する手段を備えた請求項１または２記載のＶＰＮ用ルータ。
【請求項４】
ＩＰパケットには、ＶＰＮ識別子が書き込まれ、
前記ＶＰＮ識別手段は、入力ＩＰパケットのＶＰＮ識別子に基づきＶＰＮを識別する手段を備えた請求項１または２記載のＶＰＮ用ルータ。
【請求項５】
情報処理装置にインストールすることにより、その情報処理装置に、請求項１ないし４のいずれかに記載のＶＰＮ用ルータの各手段に相応する機能を実現させることを特徴とするプログラム。
【請求項６】
請求項５記載のプログラムが記録された前記情報処理装置読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はＶＰＮ(Virtual Private Network)における宛先アドレスに対応する出力ポートが記録されたテーブルの検索技術に関する。
【背景技術】
【０００２】
図５に従来のＶＰＮネットワークの構成を、図６に従来のルータの構成を示す。従来ネットワークでは基本的に、ＩＰアドレスを重複無く使用する形でＶＰＮを実現する。また、ルータでもこのＩＰアドレスをベースにルーティングを行う。
【０００３】
ＶＰＮを実現する場合は、あらかじめ登録されているＳＡ（ソース・アドレス）に許されているＤＡ（宛先アドレス）であることも監視され、他のＶＰＮから当該ＶＰＮへパケットが混入することも防いでいる（例えば、特許文献１参照）。図６に示すように、宛先アドレス（ＤＡ）に対応する出力ポート番号が記録されたテーブルを用いて、入力ＩＰパケットを所定の出力ポートに振り分ける。
【特許文献１】特開２００１−２５１３５１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
図６に示したＶＰＮ用ルータでは、回線毎にフォワーディングエンジン（以下ＦＥという）を設け、入力ＩＰパケットを所定の出力ポートに振り分けている。このような従来のルータでは、回線の増設に伴いＦＥも増設する必要がある。
【０００５】
また、図６に示すテーブルでは、例えば、記録されている宛先アドレスの最上段から順に検索を行い、入力ＩＰパケットの宛先アドレスと一致したところで出力ポートを決定する。すなわち、ＩＰアドレスの重複を許さないために、必然的に、ＩＰアドレスの一覧からなる１つの大規模なテーブルを用いることになる。このような１つの大規模なテーブルを用いて検索を行うと、テーブルのデータ量が膨大であるため、検索に長い処理時間を要する問題がある。また、ＶＰＮの増設に伴い、全ＦＥのテーブルをそれぞれ更新する必要があり、膨大な手間と費用を要する。
【０００６】
さらに、従来のＶＰＮは、図６に示すように、宛先アドレスによってＶＰＮが分類されている。したがって、前述したように、ＩＰアドレスを重複なく使用することが必要である。これは、１つの宛先アドレスが複数のＶＰＮに属することは許されていないことを意味する。
【０００７】
しかし、多種多様なＶＰＮの利用形態が要求される昨今では、１つの宛先アドレスが複数のＶＰＮに属するといったＶＰＮの利用形態も必要となる場合があり得る。例えば、ユーザ＃３はＶＰＮ＃１およびＶＰＮ＃２の双方に属しており、ＶＰＮ＃１のユーザ＃１からのＩＰパケットおよびＶＰＮ＃２のユーザ＃２からのＩＰパケットの双方をユーザ＃３が受け取るというＶＰＮ利用形態を実現しようとしても従来のＶＰＮは、このような要求に対応することは困難だった。
【０００８】
また、入力インタフェース部には、ＶＰＮを利用していないユーザからのＩＰパケットも到着する。このようなＶＰＮとは無関係のＩＰパケットであっても、その宛先アドレスに基づきテーブルを検索し、その結果、初めてＶＰＮとは無関係であることが判明するため、ＦＥの処理能力の全てをＶＰＮ構築のために費やすことは困難である。
【０００９】
本発明は、このような背景に行われたものであって、ＶＰＮ対応に独立したテーブルを用い、ＶＰＮ毎に並列に検索することにより、１つの宛先アドレスが複数のＶＰＮに属する利用形態を許容することができると共に、検索時間を短縮することができ、また、ハードウェア構成を小さくでき、また、ＶＰＮの増設を容易にし、また、ＦＥの処理能力の全てをＶＰＮ構築のために費やすことができるＶＰＮ用ルータを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明は、ＶＰＮ毎にＦＥを備え、回線毎には、ＶＰＮを識別する識別部を備えたことを特徴とする。これにより、ＶＰＮ対応に独立したテーブルを用い、ＶＰＮ毎に並列に検索することにより、１つの宛先アドレスが複数のＶＰＮに属する利用形態を許容することができるため、多種多様なＶＰＮ利用形態に対応できる。また、ＶＰＮ毎に分類されたテーブルを用いるので、従来と比較してテーブル規模が小さくできるため、検索時間を短縮することができる。また、一般的に、回線数よりもＶＰＮ数の方が少ないため、ＦＥの個数を従来と比較して減らすことができるため、ハードウェア構成を小さくできる。また、ＶＰＮが増える毎にＦＥを増幅すればよく、従来のように、全ＦＥのテーブルをそれぞれ更新するといった手間と費用を省くことができるため、ＶＰＮの増設を容易にできる。また、ＦＥにはＶＰＮに無関係なＩＰパケットの入力が無いため、ＦＥの処理能力の全てをＶＰＮ構築のために費やすことができる。
【００１１】
すなわち、本発明はＶＰＮ用ルータであって、本発明の特徴とするところは、入力回線毎に設けられ、入力ＩＰパケットの属するＶＰＮを識別するＶＰＮ識別手段と、このＶＰＮ識別手段による識別結果に応じて入力ＩＰパケットをＶＰＮ毎に振り分ける振り分け手段と、この振り分け手段の出力ポート対応に設けられ、この振り分け手段によりＶＰＮ毎に振り分けられた入力ＩＰパケットの宛先アドレスに基づき当該入力ＩＰパケットの出力方路をＶＰＮ毎に決定する手段とを備えたところにある（請求項１）。
【００１２】
あるいは、本発明のＶＰＮ用ルータの特徴とするところは、入力回線毎に設けられ、入力ＩＰパケットの属するＶＰＮを識別するＶＰＮ識別手段と、このＶＰＮ識別手段が入力ポートの一部に設けられ、このＶＰＮ識別手段による識別結果に応じて入力ＩＰパケットをＶＰＮ毎に振り分けるルーティング手段と、このルーティング手段の出力ポートの一部に設けられ、このルーティング手段によりＶＰＮ毎に振り分けられた入力ＩＰパケットの宛先アドレスに基づき当該入力ＩＰパケットの出力方路をＶＰＮ毎に決定する手段とを備え、前記ルーティング手段は、その入力ポートの一部に前記決定する手段により出力方路が決定されたＩＰパケットを入力し、その出力方路に応じて当該ＩＰパケットをルーティングする手段を備えたところにある（請求項２）。
【００１３】
いずれの構成についても、前記ＶＰＮ識別手段は、入力ＩＰパケットのアドレス情報に基づきＶＰＮを識別する手段を備えることができる（請求項３）。あるいは、ＩＰパケットには、ＶＰＮ識別子が書き込まれ、前記ＶＰＮ識別手段は、入力ＩＰパケットのＶＰＮ識別子に基づきＶＰＮを識別する手段を備えることができる（請求項４）。
【００１４】
本発明の他の観点は、情報処理装置にインストールすることにより、その情報処理装置に、本発明のＶＰＮ用ルータの各手段に相応する機能を実現させることを特徴とするプログラムである（請求項５）。
【００１５】
本発明のさらに他の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である（請求項６）。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。
【００１６】
これにより、汎用の情報処理装置を用いて、ＶＰＮ対応に独立したテーブルを用い、ＶＰＮ毎に並列に検索することにより、１つの宛先アドレスが複数のＶＰＮに属する利用形態を許容することができると共に、検索時間を短縮することができ、また、ハードウェア構成を小さくでき、また、ＶＰＮの増設を容易にし、また、ＦＥの処理能力の全てをＶＰＮ構築のために費やすことができるＶＰＮ用ルータを実現することができる。
【発明の効果】
【００１７】
各回線毎にＦＥを備えることなく、回線インタフェースでは、ＶＰＮの識別のみを行えばよく、ハードウェア構成を小さくできる。また、ＶＰＮの増設を容易にする。また、ＶＰＮ毎のフォワーディングエンジンの性能の限界まで、多重化効果が得られる。
【発明を実施するための最良の形態】
【００１８】
（第一実施例）
図１は第一実施例のＶＰＮ用ルータの構成例であり、図２および図３は、そのＶＰＮ識別部の構成例である。図１〜図３を参照して第一実施例を説明する。
【００１９】
第一実施例はＶＰＮ用ルータであって、第一実施例の特徴とするところは、図１に示すように、入力回線毎に設けられ、入力ＩＰパケットの属するＶＰＮを識別するＶＰＮ識別部（ＦＥ′）１と、このＶＰＮ識別部１による識別結果に応じて入力ＩＰパケットをＶＰＮ毎に振り分ける振り分け部２と、この振り分け部２の出力ポート対応に設けられ、この振り分け部２によりＶＰＮ毎に振り分けられた入力ＩＰパケットの宛先アドレスに基づき当該入力ＩＰパケットの出力方路をＶＰＮ毎に決定するＦＥ３とを備えたところにある（請求項１）。さらに、出力方路が決定されたＩＰパケットはルーティング部４によりルーティングされる。
【００２０】
次に、第一実施例のルータの動作を説明する。入力されたパケットは、まず、ＶＰＮ識別部１でＶＰＮ＃１〜＃Ｋ２のどれに属しているかを識別される。識別されたパケットは、該当するＶＰＮ毎のＦＥ３に転送される。この場合、ＶＰＮ識別部１の個数Ｋ１は、入力ポート数で決まり、振り分け部２の個数をｍとすれば、Ｔｏｔａｌ  Ｋ１×ｍである。
【００２１】
一方、Ｋ２は、ＶＰＮ数であり、少ない場合は、一般的にＫ１＞Ｋ２の関連がある。また、設定として、ＦＥ３の能力に合わせてＫ１は決められるので、スケーラビリティも高く、また、多重化効果により効率も高い。つまり、Ｋ１≫Ｋ２とすることにより、複数のインタフェースで１つのＦＥ３を共用化することができる。
【００２２】
ＶＰＮ識別部１は、図２のように、ＶＰＮ識別テーブルを備え、宛先アドレス（ＤＡ）のある特定の部分を見て振り分けることができる（請求項３）。また、例では、宛先アドレス（ＤＡ）だけであるが、ソースアドレス（ＳＡ）を限定したり、不法なＳＡからのＶＰＮへの混入は、ここの部分で排除することが可能である。
【００２３】
図３の例では、ＶＰＮ識別子（ＶＰＮ−ＩＤ）がパケットに付与されている場合の例を示す。ＶＰＮ識別部１は、ＶＰＮ−ＩＤによって入力ＩＰパケットのＶＰＮを識別する（請求項４）。ＶＰＮ−ＩＤは、ダイナミックに付与するが、装置内で用いるＶＰＮ毎のＦＥ番号に対応させることができる。
【００２４】
（第二実施例）
図４に第二実施例を説明する図を示す。第二実施例のＶＰＮ用ルータの特徴とするところは、入力回線毎に設けられ、入力ＩＰパケットの属するＶＰＮを識別するＶＰＮ識別部１と、このＶＰＮ識別部１が入力ポートの一部に設けられ、このＶＰＮ識別部１による識別結果に応じて入力ＩＰパケットをＶＰＮ毎に振り分けるルーティング部５と、このルーティング部５の出力ポートの一部に設けられ、このルーティング部５によりＶＰＮ毎に振り分けられた入力ＩＰパケットの宛先アドレスに基づき当該入力ＩＰパケットの出力方路をＶＰＮ毎に決定するＦＥ部６とを備え、ルーティング部５は、その入力ポートの一部にＦＥ部６により出力方路が決定されたＩＰパケットを入力し、その出力方路に応じて当該ＩＰパケットをルーティングする（請求項２）。なお、入力ＩＰパケットをＶＰＮ毎に振り分ける際には、第一実施例と同様に、宛先アドレス（ＤＡ）のある特定部分（請求項３）、あるいはＶＰＮ-ＩＤ（請求項４）によって振り分ける。
【００２５】
次に、第二実施例のルータの動作を説明する。ＶＰＮ識別部１はやはり入力回線毎に備えるが、ＶＰＮ毎のＦＥ３を備えたＦＥ部６は、トランク形式でスイッチに後置で接続する。前段のＶＰＮ識別部１で、該当するＶＰＮ毎のＦＥ３を識別し、該当するＦＥ３へのパケットを転送し、ＦＥ３で出力ポートを決定し、出力ポート番号を付与したパケットを再びルーティング部５で出力回線へ転送する。
【００２６】
（第三実施例）
本発明は、汎用の情報処理装置にインストールすることにより、その情報処理装置に本発明のＶＰＮ用ルータに相応する機能を実現させるプログラムとして実現することができる。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、ＶＰＮ識別部１、振り分け部２、ＦＥ３、ルーティング部４および５、ＦＥ部６にそれぞれ相応する機能を実現させることができる。
【産業上の利用可能性】
【００２７】
本発明によれば、ＶＰＮ対応に独立したテーブルを用い、ＶＰＮ毎に並列に検索することにより、１つの宛先アドレスが複数のＶＰＮに属する利用形態を許容することができると共に、検索時間を短縮することができ、また、ハードウェア構成を小さくでき、また、ＶＰＮの増設を容易にし、また、ＦＥの処理能力の全てをＶＰＮ構築のために費やすことができる。
【００２８】
これにより、多種多様なＶＰＮ利用形態に対応できるのでユーザに対する利便性を向上させることができる。また、ＶＰＮ構築のための費用を低く抑えることができるため、ＶＰＮ利用の普及に資することができる。
【図面の簡単な説明】
【００２９】
【図１】第一実施例のルータの構成図。
【図２】ＶＰＮ識別部の構成図。
【図３】ＶＰＮ識別部の他の構成図。
【図４】第二実施例のルータの構成図。
【図５】従来のＶＰＮネットワークを示す図。
【図６】従来のルータの構成を示す図。
【符号の説明】
【００３０】
１  ＶＰＮ識別部
２  振り分け部
３  ＦＥ
４、５ルーティング部
６  ＦＥ部
【図１】
2005051651.tif 000003
【図２】
2005051651.tif 000004
【図３】
2005051651.tif 000005
【図４】
2005051651.tif 000006
【図５】
2005051651.tif 000007
【図６】
2005051651.tif 000008