(57)【要約】【課題】  複数のインターネットサービスプロバイダ（ＩＳＰ）にまたがる仮想専用網（ＶＰＮ：Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）を提供することである。【解決手段】  それぞれのＩＳＰがサービスを提供するＶＰＮに固有の識別符号を割り当て、送信先のＶＰＮの識別符号を第１カプセル化ヘッダとし、ＶＰＮ内を転送するためのＶＰＮの識別符号を第２カプセル化ヘッダとしてＩＰパケットに付与する。それぞれのＶＰＮの接続部分のインターワークルーターにおいて、各パケットの方路を決定する際に、第１カプセル化ヘッダと第２カプセル化ヘッダの情報を用いて方路を決定する。【選択図】  図１
2005080271.tif 000002
【特許請求の範囲】
【請求項１】
それぞれの閉域通信網に固有の識別符号を設定し、送信先の閉域通信網の識別符号をカプセル化ヘッダとして可変長パケットに付与し、可変長パケットが、閉域通信網間を相互に往来できることを特徴とするＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）構成方式。
【請求項２】
可変長パケットにより通信を行うユーザに対してパケット通信サービスを提供するための第一の通信網と、同様に可変長パケットにより通信を行うユーザに対してパケット通信サービスを提供するための第二の通信網があり、前記第一の通信網では、特定のユーザのパケットを他のユーザのパケットと混合させない第一の通信網及び第二の通信網にまたがる閉域網を構成するために前記第一の通信網及び第二の通信網にまたがる閉域網の内部では可変長パケットに対して閉域網を転送するために特別に付与する第一のカプセル化ヘッダと、特定のユーザのパケットを他のユーザのパケットと混合させない閉域網を構成するために、前記通信網の内部では可変長パケットに対して通信網内を転送するために特別に付与する第二のカプセル化ヘッダを通信網の入り口で付与し、前記第一の通信網と前記第二の通信網の接続点では、第一の通信網から第二の通信網に転送される特定のユーザのパケットに対しては、第一のカプセル化ヘッダ及び第二のカプセル化ヘッダの組み合わせより、第二の通信網への方路選択及び第二の通信網で使用する第二のカプセル化ヘッダを更新することにより、第一の通信網及び第二の通信網にまたがる閉域網を構成することを特徴とする、可変長パケット通信によるＶＰＮ構成方式。
【請求項３】
可変長パケット通信方式にインターネットプロトコルを用いることを特徴とした請求項２に記載のＶＰＮ構成方式。
【請求項４】
第一の通信網のカプセル化ヘッダとして、インターネットプロトコルによるカプセル化ヘッダを用いることを特徴とした請求項３記載のＶＰＮ構成方式。
【請求項５】
第一の通信網のカプセル化ヘッダとして、インターネットプロトコルの下位レイヤにあたる、ＡＴＭ通信方式のヘッダを使用することを特徴とした請求項３記載のＶＰＮ構成方式。
【請求項６】
第一の通信網のカプセル化ヘッダとして、インターネットプロトコルの下位レイヤにあたる、ＨＤＬＣ（ＰＰＰ、フレームリレー）通信方式のヘッダを使用することを特徴とした請求項３記載のＶＰＮ構成方式。
【請求項７】
第一の通信網のカプセル化ヘッダとして、インターネットプロトコルの下位レイヤにあたる、ＭＰＬＳ（Ｍｕｌｔｉ−Ｐｒｏｔｏｃｏｌ  Ｌａｙｅｒ  Ｓｗｉｔｃｈｉｎｇ）通信方式のヘッダを使用することを特徴とした請求項３記載のＶＰＮ構成方式。
【請求項８】
可変長パケットにより通信を行うユーザに対してパケット通信サービスを提供し、特定のユーザのパケットを他のユーザのパケットと混合させない複数の通信網にまたがる閉域網を構成するために、前記閉域網の内部では可変長パケットに対して複数の通信網を転送するために特別に付与する第一のカプセル化ヘッダと特定のユーザのパケットを他のユーザのパケットと混合させない閉域網を構成するために、前記通信網の内部では可変長パケットに対して通信網内を転送するために特別に付与する第二のカプセル化ヘッダを通信網の入り口で付与し、閉域網を構成することのできる複数の通信網があり、それぞれの接続点では、第一の通信網から第二の通信網に転送される特定のユーザのパケットに対しては、第一のカプセル化ヘッダ及び第二のカプセル化ヘッダの組み合わせより、第二の通信網への方路選択及び第二の通信網で使用する第二のカプセル化ヘッダを更新し、第二の通信網から第一の通信網に転送される特定のユーザのパケットに対しては、第一のカプセル化ヘッダ及び第二のカプセル化ヘッダの組み合わせより、第一の通信網への方路選択及び第−の通信網で使用する第二のカプセル化ヘッダを更新することにより２つの通信網にまたがる閉域網を構成することにより、同様にして、複数の通信網にまたがる閉域網を構成することを特徴とするＶＰＮ構成方式。
【請求項９】
可変長パケット通信方式にインターネットプロトコルを用いることを特徴とした請求項８に記載のＶＰＮ構成方式。
【請求項１０】
それぞれの通信網で使用されるカプセル化ヘッダとして、インターネットプロトコルによるカプセル化ヘッダを用いることを特徴とした請求項９記載のＶＰＮ構成方式。
【請求項１１】
それぞれの通信網で使用されるカプセル化ヘッダとして、インターネットプロトコルの下位レイヤにあたる、ＡＴＭ通信方式のヘッダを使用することを特徴とした請求項９記載のＶＰＮ構成方式。
【請求項１２】
それぞれの通信網で使用されるカプセル化ヘッダとして、インターネットプロトコルの下位レイヤにあたる、ＨＤＬＣ（ＰＰＰ、フレームリレー）通信方式のヘッダを使用することを特徴とした請求項９記載のＶＰＮ構成方式。
【請求項１３】
それぞれの通信網で使用されるカプセル化ヘッダとして、インターネットプロトコルの下位レイヤにあたる、ＭＰＬＳ通信方式のヘッダを使用することを特徴とした請求項９記載のＶＰＮ構成方式。
【請求項１４】
可変長パケットにより通信を行うユーザに対してパケット通信サービスを提供するための第一の通信網と、同様に可変長パケットにより通信を行うユーザに対してパケット通信サービスを提供するための第二の通信網があり、前記第一の通信網では、特定のユーザのパケットを他のユーザのパケットと混合させない第一の通信網及び第二の通信網にまたがる閉域網を構成するために、前記第一の通信網及び第二の通信網にまたがる閉域網の内部では可変長パケットに対して閉域網の内部を転送するために特別に付与する第一のカプセル化ヘッダと、特定のユーザのパケットを他のユーザのパケットと混合させない閉域網を構成するために、前記通信網の内部では可変長パケットに対して通信網内を転送するために特別に付与する第二のカプセル化ヘッダを通信網の入り口で付与し、前記第二の通信網でも同様に、特定のユーザのパケットを他のユーザのパケットと混合させない第一の通信網及び第二の通信網にまたがる閉域網を構成するために、前記第一の通信網及び第二の通信網にまたがる閉域網の内部では可変長パケットに対して閉域網の内部を転送するために特別に付与する第一のカプセル化ヘッダと、特定のユーザのパケットを他のユーザのパケットと混合させない閉域網を構成するために、前記通信網の内部では可変長パケットに対して通信網内を転送するために特別に付与する第二のカプセル化ヘッダを通信網の入り口で付与し、双方の通信網の接続点にはインターワークルーターを配置し、前記インターワークルーター装置では、第一の通信網から第二の通信網に転送される特定のユーザのパケットに対しては、第一のカプセル化ヘッダ及び第二のカプセル化ヘッダの組み合わせより、第二の通信網への方路選択及び第二の通信網で使用する第二のカプセル化ヘッダを更新し、第二の通信網から第一の通信網に転送される特定のユーザのパケットに対しては、第一のカプセル化ヘッダ及び第二のカプセル化ヘッダの組み合わせより、第一の通信網への方路選択及び第一の通信網で使用する第二のカプセル化ヘッダを更新することにより、第一の網及び第二の網にまたがる閉域網を構成することを特徴とする、可変長パケット通信によるＶＰＮ構成方式。
【請求項１５】
可変長パケットにより通信を行うユーザに対してパケット通信サービスを提供し、特定のユーザのパケットを他のユーザのパケットと混合させない複数の通信網にまたがる閉域網を構成するために、前記複数の通信網の内部では可変長パケットに対して閉域網の内部を転送するために特別に付与する第一のカプセル化ヘッダと特定のユーザのパケットを他のユーザのパケットと混合させない閉域網を構成するために、前記通信網の内部では可変長パケットに対して通信網内を転送するために特別に付与する第二のカプセル化ヘッダを通信網の入り口で付与し、閉域網を構成することのできる複数の通信網があり、それぞれの接続点にはインターワークルーターを配置し、前記インターワークルーター装置では、第一の通信網から第二の通信網に転送される特定のユーザのパケットに対しては、第一のカプセル化ヘッダ及び第二のカプセル化ヘッダの組み合わせより、第二の通信網への方路選択及び第二の通信網で使用する第二のカプセル化ヘッダを更新し、第二の通信網から第一の通信網に転送される特定のユーザのパケットに対しては、第一のカプセル化ヘッダ及び第二のカプセル化ヘッダの組み合わせより、第一の通信網への方路選択及び第一の通信網で使用する第二のカプセル化ヘッダを更新することにより２つの通信網にまたがる閉域網を構成することにより、同様にして、複数の通信網にまたがる閉域網を構成することを特徴とするＶＰＮ構成方式。
【請求項１６】
それぞれの通信網に固有の識別符号を設定し、送信先の通信網の識別符号を第一のカプセル化ヘッダとして可変長パケットに付与したことを特徴とする請求項２、８、１４および１５記載のＶＰＮ構成方式。
【発明の詳細な説明】
【発明の詳細な説明】
【技術分野】
【０００１】  本発明は、インターネット等の公衆網上に構築される、特定のユーザ間でのみ通信を行うための仮想的な専用線から成る仮想プライベート網（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ：以下、ＶＰＮと称す）に関する。
【背景技術】
【０００２】  インターネット・プロトコル（Ｉｎｔｅｒｎｅｔ  ｐｒｏｔｏｃｏｌ：ＩＰ）ネットワーク上では、電子メール、ＷＷＷ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ）などのアプリケーションを使用することができる。また、ＩＰネットワークは、従来の電話ベースの交換網と比較して構築コストが安い。そのためインターネットは近年爆発的に普及している。このような状況の下、ＩＰで構築した企業内網（イントラネット）は、企業活動にも欠かすことの出来ないものとなってきている。【０００３】  企業は複数の地域に偏在している場合が多い。この場合、各地域の企業網を相互接続し、一つの企業網を構築する必要が生じる。企業網を複数地域にわたって構築する場合、次の２つの方法が考えられる。【０００４】  第１は、各地域の企業内網を専用線で相互接続することである。このように構築することにより、企業網を外部のネットワークから隔絶、セキュリティを確保することができる。【０００５】  第２に、ＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）技術により、自網のネットワークのパケットを識別する機能を端末に設け、インターネット内ではグローバルアドレスに基づくＩＰパケットとして転送を行うことである。悪意のユーザからの攻撃にはこの識別機能と、暗号化により対抗することでＶＰＮを実現することができる。【０００６】  しかし、専用線を使用するとネットワークコストが上昇してしまうこと、さらにＩＰｓｅｃ方式によるＶＰＮでは、アタック及び暗号解読により悪意のユーザの侵入を許したり、暗号化処理が高速ネットワークの速度のボトルネックになったり、端末コストが上昇するという問題があった。【０００７】  このため、コストを押さえ、かつ外部のネットワークから隔絶した安全な通信網の構築の要求が高まってきた。【０００８】  この要求を満たすネットワークとして次のようなＶＰＮが考えられている。ＶＰＮを提供するインターネット・サービス・プロバイダ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ：ＩＳＰ）のネットワークの入り口でカプセル化を行う。ＩＳＰのネットワーク上では、このカプセル化したヘッダに基づき転送を行い、ネットワークの出口でカプセル化ヘッダを外す。このＶＰＮ構成方式では、ＶＰＮ固有のカプセル化ヘッダを用いることにより外部のネットワークから隔絶し、セキュリティを確保している。【０００９】  近年の企業活動は広範囲に渡っている。このため、例えば、日、米、欧に拠点を持ち、それぞれの拠点でイントラネットを構築した上で、ＶＰＮにより、それらを相互接続したいというニーズが生じてくるものと考えられる。【００１０】  他方、ＩＳＰはある特定の地域でサービスを提供しているのが一般的なため、前記したような各拠点のネットワークをＶＰＮにより接続するためには、複数のＩＳＰをまたがった形でＶＰＮを構築する必要がある。【００１１】  図７は、第１のＩＳＰのＶＰＮ２０１と第２のＩＳＰのＶＰＮ２０２をインターワークルーター２０３で接続して、Ａ社用のＶＰＮ２００を構成している図である。【００１２】  このインターワークルーターは、ＶＰＮ識別符号であるカプセル化ヘッダとＩＰヘッダ双方の情報を用いて、出力方路の決定及び出力側ＩＳＰ網内でのカプセル化ヘッダの生成を行う。下位レイヤにＡＴＭを用いるＭＰＬＳ網を運用するＩＳＰ同士を接続する場合を例により具体的に説明すると、網の入り口では、エッジルーターが図８に示すように、ＩＰパケットにカプセル化ヘッダをつけて網内に流す。それを受けたインターワークルーターは、ＶＰＮ識別に使用するカプセル化ヘッダであるＡＴＭのＶＰＩ（Ｖｉｒｔｕａｌ  Ｐａｔｈ  Ｉｄｅｎｔｉｆｉｅｒ）、ＶＣＩ（Ｖｉｒｔｕａｌ  Ｃｈａｎｎｅｌ  Ｉｄｅｎｔｉｆｉｅｒ）等のヘッダ情報と、ＩＰアドレスをキーに検索を行い、次の方路及び次のネットワーク内部でのＶＰＮ識別に使用するＡＴＭのＶＰＩ，ＶＣＩ等のヘッダ情報を生成し、後段の網に送り出す際に生成したヘッダ情報を付与して送出する。【００１３】  これによりＶＰＮのインターワークが実現でき、２つのＩＳＰにまたがる地域に対する、インターネット上でのＶＰＮ構成を構成することが出来る。
【発明が解決しようとする課題】
【００１４】  企業活動がより広範囲に渡り、２つのＩＳＰによるＶＰＮを接続しただけではカバーすることができない状態が発生する。図１は、３つ以上のＩＳＰからなるＶＰＮを接続し、Ａ社のＶＰＮを構成する図である。Ａ社ｘ支店がそれぞれのＩＳＰが提供するＶＰＮ１からＶＰＮ２、ＶＰＮ３、ＶＰＮ４をインターワークルーターによって経由して最終的にＡ社ｙ支店と接続する。他に、ＶＰＮ２にはＢ社が、ＶＰＮ３にはＣ社が接続している。
【００１５】  通常ＩＰアドレスにグローバルアドレスを使用しているので、同一のＶＰＮを使用しても、Ｂ社、Ｃ社と分離することができる。
【００１６】  しかし、企業によっては、グローバルアドレスを使用せずプライベートアドレスを用いてＶＰＮを構成する場合がある。図１において、Ｂ社、Ｃ社、Ａ社ｙ支店のプライベートアドレスが偶然一致する場合、Ａ社ｘ支店からＡ社ｙ支店へ送られるパケットに対して、ＶＰＮ識別符号とＩＰアドレスだけをキーにして検索を行うと、誤ってＢ社やＣ社へ送るためのパケットを生成する危険がある。
【００１７】  そこで、本発明は、複数のＩＳＰにまたがっていても、実用レベルのＶＰＮを提供することにある。
【課題を解決するための手段】
【００１８】  本発明は、それぞれのＩＳＰがサービスを提供するＶＰＮに固有の識別符号を割り当てる。そして、従来のＩＰパケットにＶＰＮ内を転送するためのカプセル化ヘッダの他に、送信先のノードが接続されているＶＰＮの識別符号、すなわち送信先ＶＰＮ識別符号をカプセル化ヘッダとして付与する。
【００１９】  従来は、ＩＰアドレスにグローバルアドレスの代わりにプライベートアドレスを使用すると、パケットが正式な受信者に転送されないことがあった。
【００２０】  本発明は、パケット転送に際しＩＰアドレスを参照する代わりに送信先ＶＰＮ識別符号を参照するので、ＩＰアドレスにプライベートアドレスを使用していても、パケットを正式な受信者に転送することができる。
【００２１】  また、パケット転送中は、ＩＰアドレスを参照することなくカプセル化ヘッダだけを参照するので、高速な転送が可能となる。
【発明を実施するための最良の形態】
【００２２】  以下、図を用いて本発明の実施例について説明する。
（実施の形態１）【００２３】  図１、図２、図３および図４を用いて本発明による複数のＩＳＰにまたがるＶＰＮの構成法およびそのインターワークルーターの役割について説明する。【００２４】  まず、図１により、従来の方法により複数のＩＳＰにまたがるＶＰＮを構成した場合の問題点について説明する。図１では、実現するＶＰＮ１、ＶＰＮ２、ＶＰＮ３、ＶＰＮ４がインターワークルーター１０、１１、１２によりインターワークして大規模なＶＰＮ５を形成している。ＶＰＮ１は、Ａ地区でサービスが展開されていてＡ社ｘ支店を収容している。ＶＰＮ２は、Ｂ地区でサービスが展開されていてＢ社を収容している。また、ＶＰＮ３は、Ｃ地区でサービスが展開されていてＣ社を収容している。ＶＰＮ４は、Ｙ地区でサービスが展開されていてＡ社ｙ支店を収容している。【００２５】  例えばＡ社ｘ支店からＡ社ｙ支店にデータを送信する場合を説明する。ただしＡ社、Ｂ社、およびＣ社は、グローバルアドレスを使用せずプライベートアドレスを用いている。しかも、Ａ社ｙ支店、Ｂ社、およびＣ社のプライベートアドレスが偶然にも同一である。【００２６】  ＶＰＮ１はＩＰカプセル化によりＶＰＮを実現しており、ＶＰＮ２はＭＰＬＳ（ＡＴＭによる）によりカプセル化を行いＶＰＮを実現している。Ａ社ｘ支店から到来したパケットはＶＰＮ１に入るとエッジルーター（図示せず）はＩＰカプセル化を行い、パケットはＶＰＮ１を通じてインターワークルーター１０に到着する。インターワークルーター１０ではパケットが搭載されてきたＶＰＮ１を示すＩＰカプセル化ヘッダと、元々のパケットヘッダの双方から出力方路を検索すると共に、ＶＰＮ２内でのカプセル化ヘッダを作成する。しかし、Ａ社ｙ支店とＢ社のプライベートアドレスが同一であるため、誤ってＢ社宛のカプセル化ヘッダを作成してしまう。【００２７】  ＶＰＮ２とＶＰＮ４は、異なるＩＳＰによってそれぞれ独自に運営されているため、Ｂ社とＡ社ｙ支店のプライベートアドレスが同一にならないようにＩＳＰ間で調整をすることは難しい。またＡ社とＢ社は無関係なので、Ａ社とＢ社の間でＡ社ｙ支店とＢ社のプライベートアドレスが同一にならないように調整をすることも難しい。【００２８】  図２は、本発明によるパケット２０の構造を示す図である。第１カプセル化ヘッダ２１と、第２カプセル化ヘッダ２２とＩＰパケット２３からなる。第１カプセル化ヘッダ２１は、送信先ＶＰＮを識別するための送信先ＶＰＮ識別符号２４を示す。第２カプセル化ヘッダ２２は、パケットが通過中のＶＰＮを識別するためのＶＰＮ識別符号２５と次のルーターを示すネクストルーター番号２６からなる。【００２９】  従来は、ＩＰパケットにカプセル化ヘッダが１段だけであったのに対して、本発明は、ＩＰパケットにカプセル化ヘッダが２段付与している点が大きく異なる。【００３０】  なお、それぞれのＶＰＮには、固有の識別符号を割り当てる。割り当ては、ＩＳＰ間の取り決めによる方法や、特定のＩＳＰから独立した第三者機関が行う方法などがある。【００３１】  図３は、動作を説明する図である。それぞれのＶＰＮは、インターワークルーターで接続している。ＶＰＮと各社のノードは、エッジルーターで接続している。エッジルーターは、メモリ内にルーティングテーブルを有している。はじめにＡ社ｘ支店６がＩＰパケット２３をＡ社ｙ支店９に送信する。ＩＰパケット２３を受信したエッジルーター３０は、ルーティングテーブル３４を参照する。送られてきたノード番号からＡ社のものであることを検出し、送信先ＶＰＮ識別符号を第１カプセル化ヘッダ２１としてＩＰパケット２３に付与する。自網内の情報であるＶＰＮ識別符号とネクストルーター番号を第２カプセル化ヘッダ２２としてＩＰパケット２３に付与する。実際には、第１カプセル化ヘッダ２１と第２カプセル化ヘッダ２２の付与は同時に行われる。【００３２】  カプセル化されたＩＰパケット（パケット２０）は、ＶＰＮ１内を転送され、インターワークルーター１０に届く。インターワークルーター１０は、メモリ内にルーティングテーブルを有している。インターワークルーター１０は、パケット２０の第２カプセル化ヘッダ２２のＶＰＮ識別符号をＶＰＮ２を識別する符号に更新する。パケット２０は、同様にＶＰＮ２、ＶＰＮ３を経由して、インターワークルーター１２まで転送される。インターワークルーター１２は、ルーティングテーブルの送信先ＶＰＮ識別符号とパケットの第１カプセル化ヘッダ２１を比較して同一な場合、第１カプセル化ヘッダ２１を除去する。第２カプセル化ヘッダ２２は、網内のＶＰＮ識別符号がＶＰＮ４を識別する符号に更新される。【００３３】  ＶＰＮ４のエッジルーター３３まで到達したパケット２０は、第２カプセル化ヘッダ２２が除去されてＡ社ｙ支店９のノードに送られる。【００３４】  図４は、本発明の動作を示すフロー図である。Ａ社ｘ支店からＡ社ｙ支店へ向けてデータを送信する（Ｓ１００）。この場合、Ａ社ｘ支店のノードは、データをＩＰパケットにする。ＶＰＮ１のエッジルーターは、ＩＰパケットに第１カプセル化ヘッダと第２カプセル化ヘッダを付与してカプセル化する（Ｓ１０１）。カプセル化されたＩＰパケットは、第２カプセル化ヘッダのネクストルーター番号が更新されながらＶＰＮ１内を転送される（Ｓ１０２）。インターワークルーター１０は、第１カプセル化ヘッダを参照して第２カプセル化ヘッダのＶＰＮ識別符号とネクストルーター番号を更新する（Ｓ１０３）。同様にしてインターワークルーター１２にパケットが到着すると、インターワークルーター１２は、ルーティングテーブルの送信先ＶＰＮ識別符号とパケットの第１カプセル化ヘッダを比較して同一な場合、第１カプセル化ヘッダを除去する（Ｓ１０４）。ＶＰＮ４のエッジルーターまでパケットが到着すると、エッジルーターは、第２カプセル化ヘッダを除去してＡ社ｙ支店のノードにＩＰパケットだけを送信する（Ｓ１０５）。Ａ社ｙ支店のノードは、ＩＰパケットをデータに再生する（Ｓ１０６）。
（実施の形態２）【００３５】  図５は、取引を行う企業同志が、それぞれ使用するＶＰＮを相互接続し、円滑なデータの送受信を行うことを目的とした場合の概略図である。【００３６】  取引を行う企業同志が、取引相手とデータの送受信を行う場合、インターネットを使用すると、暗号を使用してもセキュリティーの心配があった。そこで一時的にＭＰＬＳによるＶＰＮを利用して取引相手と送受を行えば、セキュリティーの問題がなくなる。ＭＰＬＳによるＶＰＮは、閉じた網を使用するため外部から侵入することができない。【００３７】  しかし、ＭＰＬＳによるＶＰＮは、別々の顧客を分離することを前提としているため、別々の顧客のＭＰＬＳによるＶＰＮ同志を接続する方法がなかった。【００３８】  本実施例は、別々のＶＰＮ同志を接続して、取引相手同志がセキュリティーの心配なくデータを送受信できるＶＰＮを提供する。【００３９】  図５において、Ａ社ｘ支店６とＡ社ｙ支店９は、ＶＰＮ１００によって接続している。同様に、Ｂ社ｅ支店１０５とＢ社ｆ支店１０６は、ＶＰＮ１０１によって接続している。さらに、Ｃ社ｇ支店１０７とＣ社ｈ支店１０８は、ＶＰＮ１０２によって接続している。【００４０】  従来のシステムでは、ＶＰＮ１００とＶＰＮ１０１は、分離していたので、例えば、Ａ社ｘ支店６とＢ社ｆ支店１０６とが通信を行うことができなかった。この場合、Ａ社ｘ支店６とＢ社ｆ支店１０６は、ＶＰＮ以外の通信方法（例えばインターネット）を利用して通信をしていた。インターネットを利用する場合、第３者に通信が傍受される危険性があるため、必ず通信内容を暗号化しなければならなかった。【００４１】  しかし、暗号化や復号化に使用する暗号鍵の送受信や管理は、利用者に負担がかかり、また暗号化や復号化に時間がかかっていた。さらに、暗号化してあっても、第三者に解読されてしまう危険性があった。【００４２】  本実施例では、ＶＰＮ１００とＶＰＮ１０１がインターワークルーター１０３で接続されている。ＶＰＮと各社のノードは、エッジルーター１０９、１１０、１１１、１１２で接続している。エッジルーターは、メモリ内にルーティングテーブルを有している。はじめにＡ社ｘ支店６のノードがＩＰパケットをＢ社ｆ支店１０６に送信する。ＩＰパケットを受信したエッジルーター１０９は、ルーティングテーブルを参照する。送信先のＩＰアドレスからＢ社へ送信するものであることを検出し、送信先ＶＰＮであるＶＰＮ１０１の送信先ＶＰＮ識別符号を第１カプセル化ヘッダとしてＩＰパケットに付与する。さらに、自網内の情報であるＶＰＮ識別符号とネクストルーター番号を第２カプセル化ヘッダとしてＩＰパケットに付与する。【００４３】  カプセル化されたＩＰパケットは、ＶＰＮ１００内を転送され、インターワークルーター１０３まで転送される。インターワークルーター１０３は、メモリ内のルーティングテーブルの送信先ＶＰＮ識別符号とパケットの第１カプセル化ヘッダを比較して同一な場合、第１カプセル化ヘッダを除去する。第２カプセル化ヘッダは、網内のＶＰＮ認識符号がＶＰＮ１０１を認識する符号に更新される。【００４４】  ＶＰＮ１０１のエッジルーター１１２まで到達したパケットは、第２カプセル���ヘッダが除去されてＢ社ｆ支店１０６のノードに送られる。
（実施の形態３）【００４５】  図５は、さらに２つのＶＰＮの間に第３のＶＰＮが介在して通信を行う場合のシステム概略も示す。【００４６】  図５において、ＶＰＮ１０１とＶＰＮ１０２がインターワークルーター１０４で接続されている。Ａ社ｘ支店６とＣ社ｈ支店１０８が通信を行う場合、はじめにＡ社ｘ支店６のノードがＩＰパケットをＣ社ｈ支店１０８に送信する。ＩＰパケットを受信したエッジルーター１０９は、ルーティングテーブルを参照する。送信先のＩＰアドレスからＣ社へ送信するものであることを検出し、送信先ＶＰＮであるＶＰＮ１０２の送信先ＶＰＮ識別符号を第１カプセル化ヘッダとしてＩＰパケットに付与する。自網内の情報であるＶＰＮ識別符号とネクストルーター番号を第２カプセル化ヘッダとしてＩＰパケットに付与する。【００４７】  カプセル化されたＩＰパケットは、ＶＰＮ１００内を転送され、インターワークルーター１０３で網内のＶＰＮ識別符号がＶＰＮ１０１を識別する符号に更新される。同様にして、パケットは、インターワークルーター１０４まで転送される。インターワークルーター１０４は、メモリ内のルーティングテーブルの送信先ＶＰＮ識別符号とパケットの第１カプセル化ヘッダを比較して同一な場合、第１カプセル化ヘッダを除去する。第２カプセル化ヘッダは、網内のＶＰＮ識別符号がＶＰＮ１０２を識別する符号に更新され、パケットは、網内を転送される。【００４８】  ＶＰＮ１０２のエッジルーター１１４まで到達したパケットは、第２カプセル化ヘッダが除去されてＣ社ｈ支店１０８のノードに送られる。【００４９】  ここで、ＶＰＮ１０１では、Ｂ社のどのノードにもパケットは送られず単にＶＰＮ１０１を通過しただけである。【００５０】  本実施例は、ＶＰＮ１００とＶＰＮ１０２が直接接続することが、物理的に不可能な場合に利用される。また、ＶＰＮ１００とＶＰＮ１０２が直接接続することが、コスト的に割高になる場合に利用される。【００５１】  後者の例として、例えば、Ａ社とＢ社が取引があり、すでにＡ社のＶＰＮ１００とＢ社のＶＰＮ１０１が接続していて、さらにＢ社とＣ社が取引があり、Ｂ社のＶＰＮ１０１とＣ社のＶＰＮ１０２が接続している場合に、新たにＡ社とＣ社の間で通信を行う場合に利用される。Ａ社使用のＶＰＮ１００とＣ社使用のＶＰＮ１０２を直接接続する場合に多くの設備投資が必要となるのに比較して、上に述べた関係が構築されていれば、関係するエッジルーターやインターワークルーターのルーティングテーブルを更新するだけで通信を行うことができるので割安になる。
（実施の形態４）【００５２】  図６は、エッジルーターとインターワークルーターの概略構成図である。制御部４１、ルーティングテーブル４２、スイッチ部４３、カプセル化ヘッダ作成・更新・除去部４４、受信処理部４５および送信処理部４６を有する。【００５３】  制御部４１は、ルーターの全体の制御を行う。また特に他のルーターとＶＰＮのルーティング情報を交換してルーティングテーブル４２の更新を行う。ルーティングテーブル４２は、ルーティングに必要な情報やカプセル化ヘッダの作成や更新さらに除去に必要な情報を収納している。スイッチ部４３は、ルーティング情報によってパケットの送り先を切り替える機能を有する。カプセル化ヘッダ作成・更新・除去部４４は、受信したパケットにカプセル化ヘッダを作成して付与したり、すでに付与されているカプセル化ヘッダの更新や除去を行う。その際、後述の受信処理部４５で処理した結果とルーティングテーブルの情報を参照する。受信処理部４５は、受信したパケットの第１カプセル化ヘッダおよび第２カプセル化ヘッダを参照する。もし、両方のカプセル化ヘッダが付与されていない場合は、ＩＰパケットのＩＰヘッダを参照する。いずれかのヘッダを参照することにより、後行程のカプセル化ヘッダ作成・更新・除去が行えるのに必要な情報を得る。
【発明の効果】
【００５４】  本発明により複数のＩＳＰ間にまたがるＶＰＮを構築することができる。また企業の使用するＶＰＮ同志を接続し相互に通信を行うことができる。ＶＰＮ内では、カプセル化ヘッダだけを参照し、ＩＰヘッダを参照しないので高速な転送を行うことができるという効果を奏する。
【図面の簡単な説明】
【図１】本発明によるＶＰＮ構成方法の概念図である。
【図２】本発明によるパケットのフォーマットを説明する図である。
【図３】本発明によるルーターのルーティングテーブルの構成およびＶＰＮ構成方法の動作を説明する図である。
【図４】本発明によるＶＰＮ構成方法の動作を説明するフローチャートである。
【図５】本発明による実施の形態２および３を説明する図である。
【図６】本発明によるエッジルーターとインターワークルーターの概略構成図である。
【図７】従来のＶＰＮ構成方法を説明する図である。
【図８】従来のパケットのフォーマットを説明する図である。
【符号の説明】
１ＶＰＮ、２ＶＰＮ、３ＶＰＮ、４ＶＰＮ、５ＶＰＮ、６Ａ社ｘ支店、７Ｂ社、８Ｃ社、９Ａ社ｙ支店、１０インターワークルーター、１１インターワークルーター、１２インターワークルーター、２０パケット、２１第１カプセル化ヘッダ、２２第２カプセル化ヘッダ、２３ＩＰパケット、２４送信先ＶＰＮ識別符号、２５ＶＰＮ識別符号、２６ネクストルーター番号、２７ＩＰヘッダ、２８データ、３０エッジルーター、３１エッジルーター、３２エッジルーター、３３エッジルーター、３４ルーティングテーブル、４０エッジルーター・インターワークルーター、４１制御部、４２ルーティングテーブル、４３スイッチ部、４４カプセル化ヘッダ作成・更新・除去部、４５受信処理部、４６送信処理部、５０パケット、５１カプセル化ヘッダ、５２ＩＰパケット、５３ＶＰＮ識別符号、５４ネクストルーター番号、５５ＩＰヘッダ、５６データ、１００ＶＰＮ、１０１ＶＰＮ、１０２ＶＰＮ、１０３インターワークルーター、１０４インターワークルーター、１０５Ｂ社ｅ支店、１０６Ｂ社ｆ支店、１０７Ｃ社ｇ支店、１０８Ｃ社ｈ支店、１０９エッジルーター、１１０エッジルーター、１１１エッジルーター、１１２エッジルーター、１１３エッジルーター、１１４エッジルーター、２００ＶＰＮ、２０１ＶＰＮ、２０２ＶＰＮ、２０３インターワークルーター。
【図１】
2005080271.tif 000003
【図２】
2005080271.tif 000004
【図３】
2005080271.tif 000005
【図４】
2005080271.tif 000006
【図５】
2005080271.tif 000007
【図６】
2005080271.tif 000008
【図７】
2005080271.tif 000009
【図８】
2005080271.tif 000010