(57)【要約】  第１のネットワークドメイン内のノードと、第２のネットワークドメイン内のＶＰＮクライアントにデータパケットを伝送するためにそれによって実行される方法が提供され、ノードおよびＶＰＮクライアントはＶＰＮの一部であり、第１および第２のネットワークドメインは第３のネットワークドメインによって接続される。この方法は、第１のＩＰヘッダおよびペイロードを含む第１のパケットをアプリケーションサーバから受信すること、ならびにＤＳＣＰを決定することを含む。方法は、決定されたＤＳＣＰおよびＶＰＮクライアントのＩＰアドレスを含む第２のヘッダを追加して第２のパケットを生じさせること、ならびに第２のパケットを暗号化することをさらに含む。方法は、暗号化された第２のパケットに、第２のネットワークドメイン内のノードの宛先アドレスを含む第３のヘッダを追加して第３のパケットを生じさせること、および、第２のネットワークドメイン内のノードで終端するＩＰトンネル内で第３のパケットを伝送することをさらに含む。【選択図】図１ａ
2016508682.tif 000002
【特許請求の範囲】
【請求項１】
第２のネットワークドメイン（１２０）内の仮想プライベートネットワーク（ＶＰＮ）クライアント（１２２）にデータパケットを伝送するために第１のネットワークドメイン（１００）内のノード（１０２）によって実行される方法（２００）であって、前記ノード（１０２）および前記ＶＰＮクライアント（１２２）はＶＰＮの一部であり、前記第１のネットワークドメイン（１００）と第２のネットワークドメイン（１２０）は第３のネットワークドメイン（１１０）によって接続され、
第１のインターネットプロトコル（ＩＰ）ヘッダおよびペイロードを含む第１のパケットを、アプリケーションサーバ（１０１）から受信すること（２１０）と、
Ｄｉｆｆｅｒｅｎｔｉａｔｅｄ  Ｓｅｒｖｉｃｅｓ  Ｃｏｄｅ  Ｐｏｉｎｔ（ＤＳＣＰ）を決定すること（２２０）と、
前記決定されたＤＳＣＰを含む第２のヘッダを追加して第２のパケットを生じさせること（２３０）と、
前記第２のパケットを暗号化すること（２４０）と、
前記暗号化された第２のパケットに、前記第２のネットワークドメイン（１２０）内のノード（１２１）の宛先アドレスを含む第３のヘッダを追加して第３のパケットを生じさせること（２５０）と、
前記第２のネットワークドメイン（１２０）内の前記ノード（１２１）で終端するＩＰトンネル内で前記第３のパケットを伝送すること（２５５）と
を含む、方法（２００）。
【請求項２】
前記ＩＰトンネルは、Ｇｅｎｅｒｉｃ  Ｒｏｕｔｉｎｇ  Ｅｎｃａｐｓｕｌａｔｉｎｇ（ＧＲＥ）、ＩＰ−ｉｎ−ＩＰ、Ｍｕｌｔｉ  Ｐｒｏｔｏｃｏｌ  Ｌａｂｅｌ  Ｓｗｉｔｃｈ（ＭＰＬＳ）トンネルのうちの１つである、請求項１に記載の方法（２００）。
【請求項３】
前記第１のネットワークドメイン（１００）内の前記ノード（１０２）は、ＶＰＮゲートウェイ（ＶＰＮ−ＧＷ）である、請求項１または２に記載の方法（２００）。
【請求項４】
前記アプリケーションサーバではない第２のサーバからパケットを受信すること（２６０）と、
所定の基準に基づき、前記パケットが、前記第３のヘッダを追加しないで、前記第２のネットワークドメイン内の前記ノードで終端する前記ＩＰトンネルの外で前記第２のネットワークドメインに向けて伝送されるべきであることを決定すること（２７０）と、
前記第２のネットワークドメイン内の前記ノードで終端する前記ＩＰトンネルの外で前記パケットを伝送すること（２８０）と
をさらに含む、請求項１から３のいずれか一項に記載の方法（２００）。
【請求項５】
前記所定の基準は前記第１のＩＰヘッダ内にＤＳＣＰがないことであり、前記第１のヘッダ内に前記ＤＳＣＰがないことによって、前記パケットは、前記第２のネットワークドメイン内の前記ノードで終端する前記ＩＰトンネルの外で伝送されることになる、請求項４に記載の方法（２００）。
【請求項６】
前記ＤＳＣＰを決定することは、前記第１のＩＰヘッダから前記ＤＳＣＰをコピーすることを含む、請求項１から３のいずれか一項に記載の方法（２００）。
【請求項７】
前記ＤＳＣＰを決定することは、前記ノードが前記第１のパケットを受信した送信元である前記アプリケーションサーバに基づく、請求項１から３のいずれか一項に記載の方法（２００）。
【請求項８】
前記ＤＳＣＰを決定することは、前記パケットまたは前記ＶＰＮサーバに関連付けられたサービス品質（ＱｏＳ）を決定すること、および、前記決定されたＱｏＳを前記ＤＳＣＰに変換することを含む、請求項１から３のいずれか一項に記載の方法（２００）。
【請求項９】
第２のネットワークドメイン内の仮想プライベートネットワーク（ＶＰＮ）クライアントにデータパケットを伝送する、第１のネットワークドメイン内のノード（３００）であって、前記ノード（３００）および前記ＶＰＮクライアントはＶＰＮの一部であり、前記第１のネットワークドメインと第２のネットワークドメインは第３のネットワークドメインによって接続され、
第１のインターネットプロトコル（ＩＰ）ヘッダおよびペイロードを含む第１のパケットをアプリケーションサーバ（３２０）から受信する受信ユニット（３０２）と、
Ｄｉｆｆｅｒｅｎｔｉａｔｅｄ  Ｓｅｒｖｉｃｅｓ  Ｃｏｄｅ  Ｐｏｉｎｔ（ＤＳＣＰ）を決定する決定ユニット（３０３）と、
前記決定されたＤＳＣＰを含む第２のヘッダを追加して第２のパケットを生じさせる追加ユニット（３０４）と、
前記第２のパケットを暗号化する暗号化ユニット（３０５）と
を備えており、
前記追加ユニット（３０４）は、前記暗号化された第２のパケットに、前記第２のネットワークドメイン内のノード（３３０）の宛先アドレスを含む第３のヘッダをさらに追加して第３のパケットを生じさせ、
さらに、
前記第２のネットワークドメイン（１２０）内の前記ノード（３３０）で終端するＩＰトンネル内で前記第３のパケットを伝送するための送信ユニット（３０６）
を備える、ノード（３００）。
【請求項１０】
前記ＩＰトンネルは、Ｇｅｎｅｒｉｃ  Ｒｏｕｔｉｎｇ  Ｅｎｃａｐｓｕｌａｔｉｎｇ（ＧＲＥ）、ＩＰ−ｉｎ−ＩＰ、Ｍｕｌｔｉ  Ｐｒｏｔｏｃｏｌ  Ｌａｂｅｌ  Ｓｗｉｔｃｈ（ＭＰＬＳ）トンネルのうちの１つである、請求項９に記載のノード（３００）。
【請求項１１】
前記第１のネットワークドメイン内の前記ノード（３００）はＶＰＮゲートウェイ（ＶＰＮ−ＧＷ）である、請求項９または１０に記載のノード（３００）。
【請求項１２】
前記受信ユニット（３０２）は、さらに前記アプリケーションサーバではない第２のサーバからパケットを受信し、
前記決定ユニット（３０３）は、所定の基準に基づき、前記パケットが、前記第３のヘッダを追加しないで、前記第２のネットワークドメイン内の前記ノードで終端する前記ＩＰトンネルの外で前記第２のネットワークドメインに向けて伝送されるべきであることを決定し、
前記送信ユニット（３０６）は、前記第２のネットワークドメイン内の前記ノード（３３０）で終端する前記ＩＰトンネルの外で前記パケットを伝送する、請求項９から１１のいずれか一項に記載のノード（３００）。
【請求項１３】
前記所定の基準は前記第１のＩＰヘッダ内にＤＳＣＰがないことであり、前記第１のヘッダ内に前記ＤＳＣＰがないことで、結果として前記送信ユニット（３０６）は、前記第２のネットワークドメイン内の前記ノードで終端する前記ＩＰトンネルの外で前記パケットを伝送することになる、請求項１２に記載のノード（３００）。
【請求項１４】
前記決定ユニット（３０３）は、前記第１のＩＰヘッダから前記ＤＳＣＰをコピーすることによって前記ＤＳＣＰを決定する、請求項９から１１のいずれか一項に記載のノード（３００）。
【請求項１５】
前記決定ユニット（３０３）は、前記ノード（３００）が前記第１のパケットを受信した送信元である前記アプリケーションサーバに基づいて、前記ＤＳＣＰを決定する、請求項９から１１のいずれか一項に記載のノード（３００）。
【請求項１６】
前記決定ユニット（３０３）は、前記パケットまたは前記ＶＰＮサーバに関連付けられたサービス品質（ＱｏＳ）を決定すること、および前記決定されたＱｏＳを前記ＤＳＣＰに変換することによって前記ＤＳＣＰを決定する、請求項９から１１のいずれか一項に記載のノード（３００）。
【請求項１７】
第２のネットワークドメイン内の仮想プライベートネットワーク（ＶＰＮ）クライアントにデータパケットを伝送するように適合された、第１のネットワークドメイン内のノード（５００）であって、前記ノード（５００）および前記ＶＰＮクライアントはＶＰＮの一部であり、前記第１のネットワークドメインと第２のネットワークドメインは第３のネットワークドメインによって接続され、前記ノード（５００）はプロセッサ（５２１）およびメモリ（５２２）を含み、前記メモリは、前記プロセッサ（５２１）によって実行された場合、
第１のインターネットプロトコル（ＩＰ）、ヘッダおよびペイロードを含む第１のパケットをアプリケーションサーバから受信することと、
Ｄｉｆｆｅｒｅｎｔｉａｔｅｄ  Ｓｅｒｖｉｃｅｓ  Ｃｏｄｅ  Ｐｏｉｎｔ（ＤＳＣＰ）を決定することと、
前記決定されたＤＳＣＰを含む第２のヘッダを追加して第２のパケットを生じさせることと、
前記第２のパケットを暗号化することと、
前記暗号化された第２のパケットに、前記第２のネットワークドメイン内のノードの宛先アドレスを含む第３のヘッダを追加して第３のパケットを生じさせることと、
前記第２のネットワークドメイン内の前記ノードで終端するＩＰトンネル内で前記第３のパケットを伝送することと
を、前記装置（５００）に行わせる命令を含む、ノード（５００）。
【請求項１８】
請求項９から１６のいずれか一項に記載のノード（４００）内の配置構成に含まれる処理ユニット（４０６）内で実行された場合、請求項１から８のいずれか一項に記載の方法を前記ノード（４００）に行わせる、コンピュータ可読コード手段を含むコンピュータプログラム（４１０）。
【請求項１９】
請求項１８に記載のコンピュータプログラム（４１０）を含む、コンピュータプログラム製品（４０８）。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、仮想プライベートネットワーク（ＶＰＮ）トラフィックに関し、詳細には、ドメイン全体にわたるサービス品質（ＱｏＳ）に関するＶＰＮトラフィックの区別に関する。
【背景技術】
【０００２】
ＶＰＮは、２つの地点または端末間に、非セキュアなデータ通信ネットワークを介してセキュアな接続、いわゆるトンネルを確立するために使用される技術である。ＶＰＮは、インターネットなどのパブリックネットワークをまたいで、プライベートネットワークと、そのネットワークに含まれるリソースとを、拡張するためにも使用可能である。ＶＰＮは、ホストコンピュータが共有ネットワークすなわちパブリックネットワークにまたがってデータを送受信できるようにし、この際、共有ネットワークはあたかもプライベートネットワークのすべての機能、セキュリティ、および管理ポリシーを備えたプライベートネットワークであるかのようである。また、トンネルまたは仮想２地点間接続が確立され、これによってホストコンピュータが共有ネットワークすなわちパブリックネットワークにまたがってデータを送受信できるようになる。
【０００３】
しかしながら、ＶＰＮを用いて伝送されるパケットは、破損しているパケットのヘッダ内の情報から損害を被る可能性が依然としてあり、パケットの最終宛先への送達に影響を与える可能性がある。ヘッダが破損しているということは、送信機から受信機へ移動する間にヘッダ内のＤＳＣＰ値が変更されたか除去された可能性があることを意味する。
【発明の概要】
【０００４】
目的は、上記で概説した問題のうちの少なくともいくつかを未然に防ぐことである。特に、第２のネットワークドメイン内のＶＰＮクライアントにデータパケットを伝送する第１のネットワークドメイン内のノードと、第１のネットワークドメイン内のそのノードによって実行される方法とを、提供することが目的であり、ノードおよびＶＰＮクライアントはＶＰＮの一部であり、第１のネットワークドメインと第２のネットワークドメインは第３のネットワークドメインによって接続される。これらの目的およびその他は、以下に添付された独立請求項に従い、第１のネットワークドメイン内のノードと、第１のネットワークドメイン内のノードによって実行される方法とを、提供することによって得ることができる。
【０００５】
ある態様によれば、第２のネットワークドメイン内のＶＰＮクライアントにデータパケットを伝送するために第１のネットワークドメイン内のノードによって実行される方法が提供され、ノードおよびＶＰＮクライアントはＶＰＮの一部であり、第１のネットワークドメインと第２のネットワークドメインは第３のネットワークドメインによって接続されている。この方法は、第１のＩＰヘッダおよびペイロードを含む第１のパケットをアプリケーションサーバから受信すること、ならびにＤＳＣＰを決定することを含む。方法は、決定されたＤＳＣＰおよびＶＰＮクライアントのＩＰアドレスを含む第２のヘッダを追加して第２のパケットを生じさせること、ならびに第２のパケットを暗号化することを、さらに含む。方法は、暗号化された第２のパケットに、第２のネットワークドメイン内のノードの宛先アドレスを含む第３のヘッダを追加して第３のパケットを生じさせること、および、第２のネットワークドメイン内のそのノードで終端するＩＰトンネル内で第３のパケットを伝送することを、さらに含む。
【０００６】
ある態様によれば、第２のネットワークドメイン内のＶＰＮクライアントにデータパケットを伝送する、第１のネットワークドメイン内のノードが提供され、ノードおよびＶＰＮクライアントはＶＰＮの一部であり、第１のネットワークドメインと第２のネットワークドメインは第３のネットワークドメインによって接続されている。第１のネットワークドメイン内のノードは、第１のＩＰヘッダおよびペイロードを含む第１のパケットをアプリケーションサーバから受信するように適合された受信ユニットと、ＤＳＣＰを決定するように適合された決定ユニットとを含む。ノードは、決定されたＤＳＣＰを含む第２のヘッダを追加して第２のパケットを生じさせるように適合された追加ユニットと、パケットを暗号化するように適合された暗号化ユニットとを、さらに含み、その追加ユニットは、暗号化された第２のパケットに第３のヘッダを追加して第３のパケットを生じさせるようにさらに適合される。ノードは、第２のネットワークドメイン内のノードで終端するＩＰトンネル内で第３のパケットを伝送するように適合された送信ユニットを、さらに含む。
【０００７】
ある態様によれば、第２のネットワークドメイン内のＶＰＮクライアントにデータパケットを伝送するように適合された、第１のネットワークドメイン内のノードが提供され、ノードおよびＶＰＮクライアントはＶＰＮの一部であり、第１のネットワークドメインと第２のネットワークドメインは第３のネットワークドメインによって接続される。ノードはプロセッサおよびメモリを含み、メモリは、命令を有しており、命令はプロセッサによって実行された場合、第１のＩＰヘッダおよびペイロードを含む第１のパケットをアプリケーションサーバから受信すること、ＤＳＣＰを決定すること、および、決定されたＤＳＣＰを含む第２のヘッダを追加して第２のパケットを生じさせることを、ノードに行わせる。さらに、メモリ内の命令は、プロセッサによって実行された場合、第２のパケットを暗号化すること、暗号化された第２のパケットに、第２のネットワークドメイン内のノードの宛先アドレスを含む第３のヘッダを追加して第３のパケットを生じさせること、および、第２のネットワークドメイン内のノードで終端するＩＰトンネル内で第３のパケットを伝送することを、ノードに行わせる。
【０００８】
ある態様によれば、前述のようなノード内の配置構成に含まれる処理ユニット内で実行された場合、前述のような方法をノードに行わせる、コンピュータ可読コード手段を含む、コンピュータプログラムが提供される。
【０００９】
第２のネットワークドメイン内のＶＰＮクライアントにデータパケットを伝送する、ノードと、第１のネットワークドメイン内のノードによって実行される方法は、いくつかの潜在的利点を有し得る。この方法およびノードはＶＰＮクライアントに影響を与えないため、ＶＰＮクライアントの更新または修正は不要である。この方法およびノードは、ＶＰＮゲートウェイにほとんどまたはまったく影響を与えない。
【００１０】
次に、添付の図面に関して、実施形態をより詳細に説明する。
【図面の簡単な説明】
【００１１】
【図１ａ】一例に係るＶＰＮを介して第３のネットワークドメインにまたがって、第２のネットワークドメイン内のノードと通信する第１のネットワークドメイン内のノードを示す概略図である。
【図１ｂ】一例に係るＶＰＮを介して第３のネットワークドメインにまたがって、第２のネットワークドメイン内のノードと通信する第１のネットワークドメイン内のノードを示す概略図である。
【図１ｃ】さらに一例に係るＶＰＮを介して第３のネットワークドメインにまたがって、第２のネットワークドメイン内のノードと通信する第１のネットワークドメイン内のノードを示す概略図である。
【図１ｄ】一例に係るＶＰＮを介して第３のネットワークドメインにまたがって、第１のネットワークドメイン内のノードと通信する第２のネットワークドメイン内のノードを示す概略図である。
【図２ａ】例示の実施形態に係る、ＶＰＮを介して第２のネットワークドメイン内のアプリケーションクライアントにデータパケットを伝送するために、第１のネットワークドメイン内のノードによって実行される方法を示すフローチャートである。
【図２ｂ】例示の実施形態に係る、第２のネットワークドメインにデータパケットを伝送するために、第１のネットワークドメイン内のノードによって実行される方法を示すフローチャートである。
【図３】例示の実施形態に係る、ＶＰＮを介して第２のネットワークドメイン内のアプリケーションクライアントにデータパケットを伝送するように適合された、第１のネットワークドメイン内のノードを示すブロック図である。
【図４】例示の実施形態に係る、ＶＰＮを介して第２のネットワークドメイン内のアプリケーションクライアントにデータパケットを伝送するように適合された、第１のネットワークドメイン内のノードにおける配置構成を示すブロック図である。
【図５】例示の実施形態に係る、ＶＰＮを介して第２のネットワークドメイン内のアプリケーションクライアントにデータパケットを伝送するための、第１のネットワークドメイン内のノードを示すブロック図である。
【発明を実施するための形態】
【００１２】
ＶＰＮにおいて、たとえばＶＰＮトラフィックに関連付けられたＱｏＳに応じて、異なるＶＰＮトラフィックに対して異なる優先順位付け規則を採用することが望ましいかもしれない。
【００１３】
ドメインにまたがるＶＰＮトラフィックの区別を実現する方法の一例は、ＱｏＳタグ、たとえば、ＩＰトンネルを介して伝送されることになるパケットの第１の／内部インターネットプロトコル（ＩＰ）ヘッダのＤｉｆｆｅｒｅｎｔｉａｔｅｄ  Ｓｅｒｖｉｃｅｓ  Ｃｏｄｅ  Ｐｏｉｎｔ（ＤＳＣＰ）を、パケットの第２の／外部ＩＰヘッダにマッピング（変換）することである。アプリケーションサーバからのパケットがＶＰＮを介してＶＰＮクライアントに伝送されるべきである場合、伝送されるべきパケットは、たとえばパケットの受信機のアドレス情報を含む第１の／内部ヘッダを有する。第１の／内部ヘッダは、パケットのＱｏＳを示すＤＳＣＰを含んでもよい。ＤＳＣＰは、たとえばパケットを、受信され得る他のパケットと比べてどの程度優先させるかの情報を、送信機から受信機への移送中にパケットを受信する任意のノードまたはルータに「教える」、または提供することになる。パケットがＶＰＮを介して、またはＶＰＮによって伝送される場合、パケットは、そのパケットに追加された第２の／外部ヘッダを得ることになり、第２の／外部ヘッダには第１の／内部ヘッダからＤＳＣＰ値をコピーすることができる。
【００１４】
パケット検査（たとえば５−ｔｕｐｌｅ）を実行するための、およびパケット検査に基づいた、別のオプションは、第２の／外部ＩＰヘッダのＱｏＳ（たとえばＤＳＣＰ）を設定する。
【００１５】
ＱｏＳをタギングすること、すなわちたとえばＤＳＣＰを第２の／外部ＩＰヘッダ内に挿入することの起こり得る欠点は、それがドメインをまたいで（あるいはドメイン内で）変更されずに移動することを保証できないことである。
【００１６】
ＱｏＳのタギングが変更されずにパケットがドメインをまたいで移動することを保護するため、または少なくともその可能性を増加させるために、添付の図面に関して以下でより詳細に説明するようなある対策を講じることができる。
【００１７】
簡潔に言えば、第２のネットワークドメイン内のＶＰＮクライアントにデータパケットを伝送する第１のネットワークドメイン内のノードと、そのノードによって実行される方法とが提供される。ノードおよびＶＰＮクライアントはＶＰＮの一部であり、第１のネットワークドメインと第２のネットワークドメインは第３のネットワークドメインによって接続される。
【００１８】
図１ａは、一例に係る、第３のネットワークドメイン１１０にまたがって、第２のネットワークドメイン１２０内のＶＰＮクライアント１２２と通信する第１のネットワークドメイン１００内のノード１０２の概略図である。この例では、第１のネットワークドメイン１００内のアプリケーションサーバ１０１は、ダウンリンクでデータパケットを第１のネットワークドメイン１００内のノード１０２を介して、さらにＶＰＮによってまたはＶＰＮを用いて第２のネットワークドメイン１２０内のＶＰＮクライアント１２２を介してアプリケーションクライアント（図示せず）に送信する。第１のネットワークドメイン１００内のアプリケーションサーバ１０１は、パケットがアドレス、たとえばＩＰアドレスを有する受信機（アプリケーションクライアント）に送信されることのみを知っており、ＶＰＮを認識しない可能性がある。代替として、第１のネットワークドメイン１００内のアプリケーションサーバ１０１は、パケットがＶＰＮを介してまたはＶＰＮによって受信機に送られるべきであると決定してもよい。アプリケーションサーバ１０１およびアプリケーションクライアントは、ＶＰＮの一部であるかまたはＶＰＮに接続されている。ＶＰＮは、図１ａにおいて、第２のネットワーク１２０内のＶＰＮクライアント１２２と第１のネットワーク１００内のノード１０２との間の、長い方の水平に伸びた円筒によって示されている。この水平に伸びた円筒が第１のネットワークドメイン１００内のノード１０２内で終端しているように示されていても、第１のネットワークドメイン１００のアプリケーションサーバ１０１も、ＶＰＮの一部であるかまたはＶＰＮに接続されている。図１ａは単なる概略図であることを指摘する。たとえば、ＶＰＮクライアント１２２の「左側で」またはその後、アプリケーションクライアントはアプリケーションサーバからのパケットを受信するが、これについては図１ｄを参照しながらより詳細に説明する。ＶＰＮによって、アプリケーションサーバおよびアプリケーションクライアントは、異なるネットワークドメイン内に配置されていても、同じアドレス領域（ａｄｄｒｅｓｓｉｎｇ  ｄｏｍａｉｎ）の一部である。ＶＰＮトンネルはＶＰＮの一部であるか、またはＶＰＮを助長するものと言えよう。
【００１９】
図１ａにおいて、アプリケーションサーバ１０１は、アプリケーションクライアント（図示せず）を宛先とするパケットを、第１のネットワークドメイン内のノード１０２に送信する。パケットは、ペイロードおよび第１のＩＰヘッダすなわち内部ＩＰヘッダを有する。図１ａでパケットはＤＳＣＰを含まないものとして示されているが、第１のＩＰヘッダはオプションとしてＤＳＣＰを含んでもよい。第１の／内部ＩＰヘッダは、第１のネットワークドメイン１００内のアプリケーションサーバ１０１によって第１のパケットの第１の／内部ヘッダ内に挿入された、宛先アドレス、すなわちアプリケーションクライアントのアドレスを含む。パケットは、第１のネットワークドメイン内のノード１０２によって受信される。第１のネットワークドメイン１００内のノード１０２は、ＤＳＣＰを決定し、これを、受信されたパケットに追加される第２のＩＰヘッダに挿入することができる。第１のネットワークドメイン１００内のノード１０２は、第２のネットワークドメイン１２０内のＶＰＮクライアント１２２のＩＰアドレスを、さらに挿入することができる。ペイロードおよび第１のＩＰヘッダを含むオリジナルパケットは、追加された第２のＩＰヘッダと共に、第２のパケットを構成するものと言えよう。前述のように、第１のネットワークドメイン１００内のアプリケーションサーバ１０１はＶＰＮに気付かない可能性さえあり、第１のネットワークドメイン１００内のノード１０２は、パケットがＶＰＮを介してまたはＶＰＮによって受信機（アプリケーションクライアント）に送信されるべきであると決定することができる。第１のネットワークドメイン１００内のノード１０２と第２のネットワークドメイン１２０内のＶＰＮクライアント１２２との間のＶＰＮは、すでに存在していてもよい。パケットがアプリケーションクライアントに直接送信されるべきである場合、図１ｃを参照しながら以下でより詳細に説明するように、第１のネットワークドメイン１００内のノード１０２は、単にパケットを外側トンネル（図１ａの短い方の太く伸びた円筒）の外の宛先アドレスに転送してもよい。パケットがこのように宛先アドレスに転送される場合、パケットは外側トンネルの外へ伝送され（第３のＩＰヘッダは追加されない）、すなわち、図１ａの短い方の太い円筒によって取り囲まれていない（第３のＩＰヘッダが追加されないため）、細長い方の伸びた円筒内で伝送される（第２のＩＰヘッダは追加される）ことを指摘するものとする。しかしながら、第１のネットワークドメイン１００内のノード１０２が、パケットがＶＰＮによってまたはＶＰＮを介して送信されるべきであると決定した場合、第１のネットワークドメイン１００内のノード１０２は、第２のＩＰヘッダをパケットに追加することになる。これは、第１のネットワークドメイン１００内のノード１０２が、たとえばパケットを検査し、パケット検査の結果に基づいて、パケットがＶＰＮおよびＶＰＮクライアントを介してまたはＶＰＮおよびＶＰＮクライアントによって受信機（アプリケーションクライアント）に送信されるべきであると決定することによって、決定することができる。代替として、第１のネットワークドメイン１００内のノード１０２は、第１のネットワークドメイン１００内のノード１０２がパケットを受信する送信元であるアプリケーションサーバに基づいて、パケットがＶＰＮを介してまたはＶＰＮによって受信機（アプリケーションクライアント）に送信されるべきであると決定してもよい。
【００２０】
次いで、第１のネットワークドメイン内のノード１０２は、第２のパケット、または、第１のパケットのペイロードおよび第１のＩＰヘッダを含む第２のパケットのペイロードを、暗号化することができる。したがって、第２のパケットの第２のＩＰヘッダは暗号化されない。これは図にも示されている。
【００２１】
次いで、第１のネットワークドメイン１００内のノード１０２は、暗号化された第２のパケットに第３のＩＰヘッダを追加して第３のパケットを生じさせることができる。図１ａにおいて、この第３のパケットは、ペイロード、ＤＳＣＰを含む第１のＩＰヘッダ、ＤＳＣＰを含む第２のＩＰヘッダ、およびＤＳＣＰを含まない第３のＩＰヘッダを伴って、示されている。しかしながら、第３のＩＰヘッダはＤＳＣＰを含まないものと示されているが、第１のネットワークドメイン１００内のノード１０２は、第３のＩＰヘッダ内にもＤＳＣＰを挿入してもよい。第１のネットワークドメイン１００内のノード１０２によって受信されたときに第１のＩＰヘッダがＤＳＣＰを含まないケースでは、第１のネットワークドメイン１００内のノード１０２は、決定されたＤＳＣＰを第１のＩＰヘッダにも挿入してもよい。図１ａは、第１のＩＰヘッダおよびペイロードが暗号化されているが、第２および第３のＩＰヘッダは暗号化されていないことも示している。第３のＩＰヘッダは、第２のネットワークドメイン１２０内のノード１２１の宛先アドレスを含む。
【００２２】
第１のネットワークドメイン１００内のノード１０２と第２のネットワークドメイン１２０内のノード１２１との間に、ＩＰトンネルがまだ作成されていないケースでは、第１のネットワークドメイン１００内のノード１０２がこうしたＩＰトンネルを作成する。このＩＰトンネルは、図１ａでは、２つのノード１０２と１２１との間の短く伸びた方の水平の円筒として示されており、このトンネルは、第２のネットワーク１２０内のＶＰＮクライアント１２２と第１のネットワーク内のノード１０２との間の長く伸びた方の水平の円筒を取り囲んでもいる。
【００２３】
次いで、第１のネットワークドメイン１００内のノード１０２は、第２のネットワークドメイン１２０内のノード１２１で終端しているＩＰトンネル内で、第３のパケットを伝送することができる。
【００２４】
図１ａは概略図であることを、再度指摘するものとする。第２のネットワーク１２０内のＶＰＮクライアント１２２と第１のネットワーク１００内のノード１０２との間により長く水平に伸びた円筒は、多かれ少なかれ、第２のネットワークドメイン１２０内のＶＰＮクライアント１２２および第１のネットワークドメイン１００内のノード１０２の内部で終端するものとして示されているが、ＩＰトンネルの「エンドポイント」は、それぞれノード１０２およびＶＰＮクライアント１２２の適度に外側に存在し、たとえば、ノード１０２およびＶＰＮクライアント１２２にそれぞれ接続された、それぞれのルータ（など）の内部に（またはルータに）存在しうる。第１のネットワーク１００内のノード１０２と第２のネットワークドメイン１２０内のノード１２１との間により短く水平に伸びた円筒に関しても、同様の見解がいえる。
【００２５】
第２のネットワークドメイン１２０内のノード１２１が第３のＩＰヘッダに含まれる宛先アドレスであったため、第２のネットワークドメイン１２０内のノード１２１では、第３のＩＰヘッダが除去される。次いで、第２のＩＰヘッダならびに暗号化された第１のＩＰヘッダおよびペイロードを含む残りのパケットが、ＶＰＮクライアント１２２に向けて伝送または転送される。これは、第２のＩＰヘッダに含まれる宛先アドレスが、ＶＰＮクライアント１２２のアドレスであるためである。第２のネットワークドメインは、図１ａに示されていない他のノードおよび／またはエンティティを含んでもよい。例は、図１ｄに関して以下で説明する。
【００２６】
第１のネットワークドメイン１００内のノード１０２と第２のネットワークドメイン１２０内のノード１２１との間のＩＰトンネルは、Ｇｅｎｅｒｉｃ  Ｒｏｕｔｉｎｇ  Ｅｎｃａｐｓｕｌａｔｉｎｇ（ＧＲＥ）、ＩＰ−ｉｎ−ＩＰ、またはＭｕｌｔｉ  Ｐｒｏｔｏｃｏｌ  Ｌａｂｅｌ  Ｓｗｉｔｃｈ（ＭＰＬＳ）を用いて、確立または作成することができる。しかしながら、ＩＰトンネルを作成するための他の手段が存在し得、ＧＲＥ、ＩＰ−ｉｎ−ＩＰ、およびＭＰＬＳは好適なプロトコルの単なる例である。
【００２７】
例では、第１のネットワークドメイン１００内のノード１０２は、ＶＰＮゲートウェイ（ＶＰＮ−ＧＷ）またはＶＰＮサーバである。
【００２８】
図１ｂは、一例に係る、第３のネットワークドメインにまたがって、第２のネットワークドメイン内のノードと通信する第１のネットワークドメイン１００内のノード１０２の概略図である。
【００２９】
図１ｂは、ＶＰＮ−ＧＷ  １０２−１およびルータ１０２−２を含む、第１のネットワークドメイン１００内のノード１０２を示す。これは、第２のネットワークドメイン１２０内のＶＰＮクライアント１２２を宛先とする受信したＩＰパケットに様々なヘッダを追加するプロセスを示す、単なる一例であることを指摘する。第１のネットワークドメイン１００内のノード１０２は、同じ動作を実行することが可能な、他のエンティティ、より多くのエンティティ、少ないエンティティを含んでもよい。さらに図１ｂでは、ＩＰトンネル、すなわち、図１ａにおける第１のネットワーク１００内のノード１０２と第２のネットワークドメイン１２０内のノード１２１との間の短い方の水平に伸びた円筒は、図１ｂにおいて、第１のネットワークドメイン１００内のノード１０２の外に「エンドポイント」を有するように示されている。ＩＰトンネルのこのエンドポイントは、第１のネットワークドメイン１００内のノード１０２で、あるいは第１のネットワークドメイン１００内のノード１０２に接続されたルータ／ＧＷ（図示せず）で、終端してもよい。
【００３０】
図１ｂは、第１のネットワークドメイン１００内のノード１０２にパケットを送信または伝送する、第１のネットワークドメイン１００内のアプリケーションサーバ１０１を示す。パケットは、第２のネットワークドメイン１２０内のアプリケーションクライアント１２２を宛先としている。
【００３１】
パケットはペイロードおよび第１のＩＰヘッダすなわち内部ＩＰヘッダを有する。図１ｂ内のパケットがＤＳＣＰを含まないものとして示されていても、第１のＩＰヘッダはオプションとしてＤＳＣＰを含んでもよい。第１の／内部ＩＰヘッダは、宛先アドレス、すなわちアプリケーションクライアント１２２のアドレスを含む。パケットは、第１のネットワークドメイン内のノード１０２によって受信される。第１のネットワークドメイン内のノード１０２はＤＳＣＰを決定し、これを、受信したパケットに追加される第２のＩＰヘッダ内に挿入することができる。第２のネットワークドメイン１２０のＶＰＮクライアント１２２のＩＰアドレスも、第２のＩＰヘッダ内に挿入される。ペイロードおよび第１のＩＰヘッダを含むオリジナルパケットは、追加された第２のＩＰヘッダと共に、第２のパケットを構成するものと言えよう。図１ｂでは、これはＶＰＮ−ＧＷ  １０２−１によって実行されるものと示されている。
【００３２】
次いで、第１のネットワークドメイン内のノード１０２は、第１のパケットのペイロードおよび第１のＩＰヘッダを暗号化することができるが、第２のＩＰヘッダは暗号化されないままである。図１ｂでは、これはＶＰＮ−ＧＷ  １０２−１によって実行されるものと示されている。
【００３３】
次いで、第１のネットワークドメイン内のノード１０２は、第３のＩＰヘッダを暗号化された第２のパケットに追加して第３のパケットを生じさせることができる。図１ｂでは、これはルータ１０２−２によって実行されるものと示されている。さらに図１ｂでは、この第３のパケットは、ペイロード、ＤＳＣＰを含む第１のＩＰヘッダ、ＤＳＣＰを含む第２のＩＰヘッダ、およびＤＳＣＰを含まない第３のＩＰヘッダを伴って示されている。第１のネットワークドメイン１００内のノード１０２によって受信されるときに、第１のＩＰヘッダがＤＳＣＰを含まないケースでは、第１のネットワークドメイン１００内のノード１０２は、決定されたＤＳＣＰを第１のＩＰヘッダにも挿入してもよい。図１ｂは、暗号化されている第１のＩＰヘッダおよびペイロードも示しているが、第２および第３のＩＰヘッダは暗号化されていない。第３のＩＰヘッダは第２のネットワークドメイン１２０内のノード１２１の宛先アドレスを含む。図１ｂにおいて、第３のＩＰヘッダは、この特定の例ではＤＳＣＰを含まないように示されていても、ＤＳＣＰを含むことが可能であることを指摘する。
【００３４】
次いで、第１のネットワークドメイン１００内のノード１０２は、第２のネットワークドメイン１２０内のノード１２１で終端しているＩＰトンネル内で第３のパケットを伝送することができる。
【００３５】
図１ｃは、さらに一例に係る、第３のネットワークドメインにまたがって、第２のネットワークドメイン内のノードと通信する第１のネットワークドメイン内のノードの概略図である。
【００３６】
図１ｃは、アプリケーションサーバ１０１でなく第２のサーバ１０３からパケットを受信する、第１のネットワークドメイン１００内のノード１０２を示す。これは、点線によって示されている。アプリケーションサーバ１０１も、図１ａおよび１ｂと関連して前述したようにトラフィック／パケットが取り扱われる、第１のネットワークドメイン１００内のノード１０２に、データパケットの形でトラフィックを送信するように示されている。
【００３７】
しかしながら、第１のネットワークドメイン１００内のノード１０２が第２のサーバ１０３からパケットを受信すると、第１のネットワークドメイン１００内のノード１０２は、所定の基準に基づき、パケットが、第３のヘッダが追加されることなく、第２のネットワークドメイン１２０内のノードで終端するＩＰトンネルの外の第２のネットワークドメインに向かって伝送されるべきであると決定する。第１のネットワークドメイン１００内のノード１０２は、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外でパケットを伝送する。しかしながら、ここでも、パケットは暗号化可能であり、第２のヘッダは追加可能であるが、第３のＩＰヘッダは追加されない。言い換えれば、より細長く伸びたトンネルは、図１ａに示されたケースとは違って、より短く太く伸びたトンネルによって取り囲まれないことになる。
【００３８】
言い換えれば、第１のネットワークドメイン１００内のノード１０２は、異なるアプリケーションサーバおよび／または異なるタイプのパケットについて、異なる規則、またはルーティング規則を含むことができる。
【００３９】
一例では、所定の基準は、第１のＩＰヘッダ内にＤＳＣＰがないことであり、第１のヘッダ内にＤＳＣＰがないことによって、パケットは、いずれのアプリケーションサーバがパケットを伝送したかにかかわらず、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外で伝送されることになる。
【００４０】
所定の基準の別の例は、ＤＳＣＰのある所定の値によって、パケットが第２のネットワークドメイン１２０内のノード１２１で終端するＩＰトンネルの外で伝送され、ＤＳＣＰの他の所定の値によって、パケットが第２のネットワークドメイン１２０内のノード１２１で終端するＩＰトンネル内で伝送される、というものである。
【００４１】
別の例では、基準は、いずれのアプリケーションサーバが受信されたデータパケットの送信機（またはソース）であるかに基づいている。
【００４２】
他の例では、第１のネットワークドメイン１００内のノード１０２が、パケットは、第２のネットワークドメイン１２０内のノードで終端するＩＰトンネルの外で第２のネットワークドメインに向けて伝送されるべきであることを決定するケースでは、第１のネットワークドメイン１００内のノード１０２はいずれのＤＳＣＰ値も決定しないものと決定し、第１のネットワークドメイン１００内のノード１０２は、パケットの第２のＩＰヘッダ内にＤＳＣＰ値を挿入しない。
【００４３】
図１ｄは、一例に係る、第３のネットワークドメインにまたがって、第１のネットワークドメイン内のノードと通信する第２のネットワークドメイン１２０内のノードの概略図である。
【００４４】
図１ｄは、第２のネットワークドメイン１２０内のノード１２１が、第３のＩＰヘッダ、第２および第１のＩＰヘッダ、ならびにペイロードを含むパケットを受信しており、第１のＩＰヘッダおよびペイロードが暗号化されていることを示している。第２のネットワークドメイン１２０内のノード１２１が第３のＩＰヘッダに含まれる宛先アドレスであるため、第２のネットワークドメイン１２０内のノード１２１は第３のＩＰヘッダを除去する。次いで、暗号化されていない第２のＩＰヘッダ（ＶＰＮクライアント１２２のアドレスおよびＤＳＣＰを含む）、暗号化された第１のＩＰヘッダ、および暗号化されたペイロードを含む残りの暗号化されたパケットは、ＶＰＮクライアント１２２または他のノードに伝送または転送される。ＶＰＮクライアント１２２または他のノードは、受信したパケットを復号し、いかにしてＱｏＳに関してパケットを取り扱うかに関する情報を取得するためにＤＳＣＰを検査する。たとえば、ＶＰＮクライアント１２２は、パケットをその宛先アドレス、すなわちアプリケーションクライアント１２３に向けて転送することなどのパケットの他の処理をどの程度優先させるかの情報を取得することができる。比較的高負荷の状況において、ＶＰＮクライアント１２２は、ＤＳＣＰに従って異なるパケットを転送／処理する時点に、異なる優先順位付けを必要とし得るか、または適用しなければならない。さらに、任意の中間ノード、たとえばアクセスネットワークおよび／またはパケットデータネットワークゲートウェイは、ＱｏＳに関していかにしてパケットを取り扱うか、たとえばパケットにいかにして優先順位付けするかについての情報を、取得することができる。
【００４５】
ＶＰＮクライアントは、アドレスが第１のＩＰヘッダに含まれる宛先アドレスであるアプリケーションクライアント１２３に対してパケットを転送または伝送する前に、第２のＩＰヘッダを除去する。
【００４６】
第１のネットワークドメイン１００内のアプリケーションサーバ１０１と第２のネットワークドメイン１２０内のアプリケーションクライアント１２３とを相互接続するＶＰＮの基礎であるＩＰトンネルは、図１ａでは実際に第２のネットワークドメイン１２０のＶＰＮクライアント１２２内で「終わる」ように示されている。そのＩＰトンネルは、第２のネットワーク１２０内のＶＰＮクライアント１２２と第１のネットワーク１００内のノード１０２との間の前記の長い方の水平に伸びた円筒である。第２のネットワーク１２０内のＶＰＮクライアント１２２と第１のネットワーク１００内のノード１０２との間の長い方の水平に伸びた円筒は、概略的にこれらのノード内またはこれらのノードで終わるように示されているが、アプリケーションサーバおよびアプリケーションクライアントもＶＰＮの一部であると言えよう。なぜなら、アプリケーションサーバおよびアプリケーションクライアントは、それぞれ、第１のネットワーク１００内のノード１０２およびＶＰＮクライアント１２２に接続されているからである。ＶＰＮによって、アプリケーションサーバおよびアプリケーションクライアントは、セキュアに通信すること、および同じ通信ネットワークに属するように見えることが可能である。そのＩＰトンネル、すなわち、図１ａの第２のネットワーク１２０内のＶＰＮクライアント１２２と第１のネットワーク１００内のノード１０２との間の長い方の水平に伸びた円筒は、ＶＰＮクライアント１２２内に１つのエンドポイントを有し、これは、第１のネットワークドメイン１００内のノード１０２によってパケットに追加される第２のＩＰヘッダが、ＶＰＮクライアント１２２のアドレスである宛先アドレスを有することを意味する。
【００４７】
図２ａは、例示の実施形態に係る、ＶＰＮを介して第２のネットワークドメイン内のアプリケーションクライアントにデータパケットを伝送するために、第１のネットワークドメイン内の第１のノードによって実行される方法のフローチャートである。
【００４８】
図２ａは、第１のネットワークドメイン１００内のノード１０２によって実行される方法が、第１のＩＰヘッダおよびペイロードを含む第１のパケットをアプリケーションサーバ１０１から受信すること２１０、ならびにＤＳＣＰを決定すること２２０を含むことを示す。この方法は、決定されたＤＳＣＰおよびＶＰＮクライアント１２２のＩＰアドレスを含む第２のヘッダを追加して第２のパケットを生じさせること２３０、ならびに第２のパケットを暗号化すること２４０をさらに含む。この方法は、暗号化された第２のパケットに、第２のネットワークドメイン１２０内のノード１２１の宛先アドレスを含む第３のヘッダを追加して第３のパケットを生じさせること２５０、および、第２のネットワークドメイン１２０内のノード１２１で終端するＩＰトンネル内で第３のパケットを伝送すること２５５をさらに含む。
【００４９】
ＤＳＣＰは様々な方法で決定することができる。一例では、第１のＩＰヘッダはＤＳＣＰを含んでよく、第１のネットワークドメイン１００内のノード１０２は、受信したパケットの第１のＩＰヘッダ内にＤＳＣＰが存在するかどうかを単にチェックしてよく、次いで第１のネットワークドメイン１００内のノード１０２はＤＳＣＰをコピーし、これを第２のヘッダに挿入してよい。別の例では、第１のＩＰヘッダはＤＳＣＰを含まない。そこで第１のネットワークドメイン１００内のノード１０２はパケットを検査し、ＱｏＳを決定した後、決定したＱｏＳを対応するＤＳＣＰにマッピング（変換）してよい。第１のＩＰヘッダがＤＳＣＰを含んでいない他の例では、第１のネットワークドメイン１００内のノード１０２は、いずれのアプリケーションサーバがパケットを送信したかを判断し、いずれのアプリケーションサーバがパケットを送信したかに応じて対応するＤＳＣＰを決定してよい。すなわち、ＤＳＣＰはアプリケーションサーバと相関する。ＤＳＣＰ値をいかにして決定するかのさらに別の例は、第１のネットワークドメイン１００内のノード１０２が受信したパケットの第１のＩＰヘッダ内のＤＳＣＰをチェックし、このＤＳＣＰ値を所定の規則に従って別のＤＳＣＰ値にマッピング（変換）することである。所定の規則は、第１のネットワークドメイン１００内のノード１０２内のメモリに事前に記憶されているか、または、より高位のノードから第１のネットワークドメイン１００内のノード１０２によって受信されるかの、いずれかが可能である。
【００５０】
ＤＳＣＰ値が決定されると、第１のネットワークドメイン１００内のノード１０２は、決定されたＤＳＣＰおよびＶＰＮクライアント１２２のＩＰアドレスを含む第２のヘッダを追加して第２のパケットを生じさせる。次いで、第１のネットワークドメイン１００内のノード１０２は第２のパケットを暗号化する。第２のパケットの暗号化は、第２のパケットのペイロードの暗号化を含む。第２のパケットのペイロードは、第１の／内部ＩＰヘッダおよび第１のパケットのペイロードを含む。したがって、第２のＩＰヘッダは暗号化されない。
【００５１】
その後、第１のネットワークドメイン１００内のノード１０２は、暗号化された第２のパケットに第３のヘッダを追加して第３のパケットを生じさせる。第３のヘッダは第２のネットワークドメイン１２０内のノード１２１の宛先アドレスを含む。このように、パケット、すなわち第３のパケットは、第２のネットワークドメイン１２０内のノード１２１にパケットを伝送することによって受信機（アプリケーションクライアント）に向けて送信される準備済になる。
【００５２】
第１のネットワークドメイン内のノードによって実行されるこの方法は、いくつかの潜在的利点を有することができる。この方法はＶＰＮクライアントに影響を与えないため、ＶＰＮクライアントの更新または修正は不要である。この方法は、ＶＰＮゲートウェイにほとんどまたはまったく影響を与えない。
【００５３】
ＩＰトンネルは、ＧＲＥ、ＩＰ−ｉｎ−ＩＰ、およびＭＰＬＳトンネルのうちの１つであってよい。
【００５４】
ＩＰトンネルを確立するために使用可能な異なるプロトコルおよび／または技法が存在する。いくつかの例は、前述のようなＧＲＥ、ＩＰ−ｉｎ−ＩＰ、およびＭＰＬＳである。ＧＲＥは、インターネットプロトコルのインターネットワークを介して仮想２地点間リンク内部に多種多様なネットワーク層プロトコルをカプセル化することが可能なトンネリングプロトコルである。ＩＰ−ｉｎ−ＩＰは、１つのＩＰパケットを別のＩＰパケット内にカプセル化するＩＰトンネリングプロトコルである。ＩＰパケットを別のＩＰパケット内にカプセル化するために、ソースＩＰアドレス（すなわちトンネルの入口ポイント）および宛先ＩＰアドレス（すなわちトンネルの出口ポイント）を有する外部ヘッダが追加される。これを実行する一方で、内部パケットは変更されない。ＭＰＬＳはスケーラブルなプロトコルに依存しない移送である。ＭＰＬＳネットワークにおいて、データパケットにはラベルが割り当てられる。パケット転送の決定は、パケット自体を調べる必要なしに、単にこのラベルの内容に関してのみ行われる。これによって、任意のプロトコルを使用して、任意のタイプの移送媒体にまたがるエンドツーエンド回路を作成することができる。
【００５５】
第１のネットワークドメイン１００内のノード１０２は、ＶＰＮ−ＧＷの例である。
【００５６】
図１ｂを参照しながら前述したように、第１のネットワークドメイン１００内のノード１０２はＶＰＮ−ＧＷであってもよいしＶＰＮ−ＧＷを含んでもよい。
【００５７】
この方法は、図２ｂに示されるように、アプリケーションサーバではない第２のサーバからパケットを受信すること２６０、所定の基準に基づき、パケットが、第３のヘッダを追加しないで、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外で第２のネットワークドメインに向けて伝送されるべきであることを決定すること２７０、および、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外でパケットを伝送すること２８０を、さらに含んでよい。
【００５８】
図１ｃを参照しながら説明したように、第１のネットワークドメイン１００内のノード１０２は、アプリケーションサーバ以外の他のサーバに接続されていてもよいし、他のサーバと通信可能であってもよい。図１ｃでは、第１のネットワークドメイン１００内のノード１０２が、第１のアプリケーションサーバ１０１および第２のアプリケーションサーバ１０３に接続されていることが示されている。第１のアプリケーションサーバ１０１からある受信機を宛先とするパケットが到達すると、それらのパケットは、前述の方法に従って送信することができる。しかしながら、第２のアプリケーションサーバ１０３からある受信機（第１のアプリケーションサーバ１０１の場合と同じかまたは別の受信機）を宛先とするパケットが到達すると、それらのパケットは、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外で伝送することができる。図１ｃは、所定の基準がいずれのアプリケーションサーバからパケットが受信されるかに関している単なる一例を示す。第３のヘッダを追加しないで、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外で第２のネットワークドメインに向けてパケットが伝送されるべきであることを決定できる（いずれの図にも示されていない）複数の他の基準が存在し得る。たとえばパケットが特定のサービスに関する特定情報を含む特定タイプであって、こうしたパケットが第３のヘッダを追加しないで、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外で第２のネットワークドメインに向けて伝送されるべきであってよい。
【００５９】
一例では、所定の基準は第１のＩＰヘッダ内にＤＳＣＰがないことであり、第１のヘッダ内にＤＳＣＰがないことによって、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外パケットが伝送されることになる。
【００６０】
これは、第１のネットワークドメイン１００内のノード１０２に、パケットが、第３のヘッダを追加しないで、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外で第２のネットワークドメインに向けて伝送されるべきであると決定させることができる、基準の他の例である。
【００６１】
ＤＳＣＰを決定することは、第１のＩＰヘッダからＤＳＣＰをコピーすることを含むことができる。
【００６２】
また、図１ａ〜１ｄを参照しながら前述したように、アプリケーションサーバ１０１から第１のネットワークドメイン１００内のノード１０２によって受信される第１のパケットは、ＤＳＣＰを含む場合または含まない場合がある。ＤＳＣＰが第１のパケットのヘッダに含まれるケースでは、第１のネットワークドメイン１００内のノード１０２は、第１のＩＰヘッダからＤＳＣＰをコピーすることによって、第２のＩＰヘッダに挿入されることになるＤＳＣＰを決定することができる。
【００６３】
ＤＳＣＰを決定することは、ノードが第１のパケットを受信した送信元であるアプリケーションサーバに基づくことができる。
【００６４】
第１のパケットの第１のＩＰヘッダがＤＳＣＰを含まないケースでは、第１のネットワークドメイン１００内のノード１０２は、第１のネットワークドメイン１００内のノード１０２が第１のパケットを受信した送信元であるアプリケーションゲートウェイに基づいて、ＤＳＣＰを決定することができる。たとえば、１つまたは複数のアプリケーションサーバが第１のアプリケーションゲートウェイによって第１のネットワークドメイン１００内のノード１０２に接続可能であり、さらに別の１つまたは複数のアプリケーションサーバが第２のアプリケーションゲートウェイによって第１のネットワークドメイン１００内のノード１０２に接続可能である。したがって、アプリケーションゲートウェイに応じて、ひいては間接的にはノードが第１のパケットを受信した送信元であるアプリケーションサーバに応じて、ＤＳＣＰを異なる値に決定することができる。
【００６５】
別の例では、ＤＳＣＰを決定することは、パケットまたはＶＰＮサーバに関連付けられたＱｏＳを決定すること、および決定されたＱｏＳをＤＳＣＰにマッピング（変換）することを含む。
【００６６】
ＤＳＣＰは、パケットをいかに取り扱うかを、パケットを受信するあらゆるルータに通知することができる。単なる例として、ある種のＤＳＣＰ値は、そのパケットを他のパケットより優先させるべきであることを示すことができる。このようにＤＳＣＰはＱｏＳとの類似点を有するので、高いＱｏＳを有するパケットが、そのパケットを受信するあらゆるルータにそのパケットを優先させるＤＳＣＰ値を受けるべきである。したがって、好適なＤＳＣＰを決定するために、まずＱｏＳが決定された後、好適なＤＳＣＰにマッピング（変換）される。
【００６７】
本明細書に記載される実施形態は、第２のネットワークドメイン内のＶＰＮクライアントにデータパケットを伝送するように適合された第１のネットワークドメイン内のノードにも関し、ノードおよびＶＰＮクライアントはＶＰＮの一部であり、第１のネットワークドメインおよび第２のネットワークドメインは第３のネットワークドメインによって接続される。ノードは、ノードによって実行される方法と同じ技術的特徴、目的、および潜在的利点を有する。したがって、ノードについては、不必要な繰り返しを避けるために、図３を参照しながらごく簡単に説明する。
【００６８】
図３は、第１のＩＰヘッダおよびペイロードを含む第１のパケットをアプリケーションサーバ３２０から受信するように適合された受信ユニット３０２と、ＤＳＣＰを決定するように適合された決定ユニット３０３とを含む、ノード３００を示す。ノード３００は、決定されたＤＳＣＰを含む第２のヘッダを追加して第２のパケットを生じさせるように適合された追加ユニット３０４と、パケットを暗号化するように適合された暗号化ユニット３０５とをさらに含み、追加ユニット３０４は、暗号化された第２のパケットに第３のヘッダを追加して第３のパケットを生じさせるようにさらに適合される。ノード３００は、第２のネットワークドメイン１２０内のノード３３０で終端するＩＰトンネル内で第３のパケットを伝送するように適合された送信ユニット３０６を、さらに含む。
【００６９】
方法を実行するノードは、ノードによって実行される方法と同じ潜在的利点を有する。１つの潜在的利点は、方法がＶＰＮクライアントに影響を与えないため、ＶＰＮクライアントの更新または修正が不要なことである。方法は、ＶＰＮゲートウェイにほとんどまたはまったく影響を与えない。
【００７０】
実施形態によれば、ＩＰトンネルはＧＲＥ、ＩＰ−ｉｎ−ＩＰ、およびＭＰＬＳトンネルのうちの１つである。
【００７１】
他の実施形態によれば、第１のネットワークドメイン内のノード３００はＶＰＮゲートウェイ（ＶＰＮ−ＧＷ）である。
【００７２】
他の実施形態によれば、受信ユニット３０２はさらに、アプリケーションサーバではない第２のサーバからパケットを受信し、決定ユニット３０３は、所定の基準に基づき、パケットが、第３のヘッダを追加しないで、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外で第２のネットワークドメインに向けて伝送されるべきであることを決定し、送信ユニット３０６は、第２のネットワークドメイン内のノード３３０で終端するＩＰトンネルの外でパケットを伝送する。
【００７３】
他の実施形態によれば、所定の基準は第１のＩＰヘッダ内にＤＳＣＰがないことであり、第１のヘッダ内にＤＳＣＰがないことによって、送信ユニット３０６は、第２のネットワークドメイン内のノードで終端するＩＰトンネルの外でパケットを伝送することになる。
【００７４】
別の実施形態によれば、決定ユニット３０３は、第１のＩＰヘッダからＤＳＣＰをコピーすることによってＤＳＣＰを決定する。
【００７５】
他の実施形態によれば、決定ユニット３０３は、ノード３００が第１のパケットを受信した送信元であるアプリケーションサーバに基づいて、ＤＳＣＰを決定する。
【００７６】
他の実施形態によれば、決定ユニット３０３は、パケットまたはＶＰＮサーバに関連付けられたＱｏＳを決定すること、および決定されたＱｏＳをＤＳＣＰにマッピング（変換）することによって、ＤＳＣＰを決定する。
【００７７】
図３では、第１のネットワークドメイン内のノード３００は、受信手段３１１および送信手段３１２も含むように示されている。これらを介して、第１のネットワークドメイン内のノード３００は、第１のネットワークドメイン内の他のノードおよび／もしくはエンティティ、ならびに／または任意の他のネットワークドメイン内の他のノードおよび／もしくはエンティティと通信するように適合される。受信手段３１１は、複数の受信配置構成を含んでよい。たとえば、受信手段はワイヤおよびアンテナの両方に接続してよく、これによって、第１のネットワークドメイン内のノード３００は、第１のネットワークドメイン内または任意の他のネットワークドメイン内の他のノードおよび／またはエンティティと通信してよい。同様に、送信手段３１２は複数の送信配置構成を含んでよく、これらもワイヤおよびアンテナの両方に接続されて、第１のネットワークドメイン内のノード３００が、第１のネットワークドメイン内または任意の他のネットワークドメイン内の他のノードおよび／またはエンティティと通信してよい。第１のネットワークドメイン内のノード３００は、データを記憶するためのメモリ３５０をさらに含む。さらに第１のネットワークドメイン内のノード３００は、異なるユニット３０２〜３０６およびメモリ３０１に接続された、制御または処理ユニット３０７を含むように示されている。これは単なる例示であり、第１のネットワークドメイン内のノード３００は、図３に示されたユニットと同様に第１のネットワークドメイン内のノード３００の機能を実行する、より多くの、より少ない、または他のユニットまたはモジュールを含んでもよいことを指摘する。
【００７８】
図３は、第１のネットワークドメイン内のノード３００内の様々な機能ユニットを論理的な意味で単に例示していることに留意されたい。実際には、これらの機能は、任意の好適なソフトウェアおよびハードウェア手段／回路などを使用して実施可能である。したがって、実施形態は、上位概念的には、第１のネットワークドメイン内のノード３００および機能ユニットの図示された構造に限定されない。したがって、前述の例示の実施形態は、多くの様式で実現可能である。たとえば一実施形態は、第１のネットワークドメイン内のノード３００内で方法ステップを実行するために、制御または処理ユニット３０７によって実行可能な命令を記憶したコンピュータ可読媒体を含む。コンピューティングシステムによって実行可能であり、コンピュータ可読媒体上に記憶された命令は、前述のように第１のネットワークドメイン内のノード３００の方法ステップを実行する。
【００７９】
図４は、第１のネットワークドメイン内のノードにおける配置構成４００の実施形態を概略的に示す。ここで第１のネットワークドメイン内のノードにおける配置構成４００には、たとえばＤＳＰ（デジタル信号プロセッサ）を備える処理ユニット４０６が含まれる。処理ユニット４０６は、単一のユニットでもよいし、本明細書で説明する手順の異なる動作を実行する複数のユニットでもよい。第１のネットワークドメイン内のノードにおける配置構成４００は、他のエンティティからの信号を受信するための入力ユニット４０２、および他のエンティティに信号を提供するための出力ユニット４０４も含むことができる。入力ユニットおよび出力ユニットは、統合エンティティとして、または図３の例に示されたように１つまたは複数のインターフェース３１１／３１２として、配置構成可能である。
【００８０】
さらに、第１のネットワークドメイン内のノードにおける配置構成４００は、たとえばＥＥＰＲＯＭ（電気的消去可能プログラマブル読み取り専用メモリ）、フラッシュメモリ、およびハードドライブなどの、不揮発性メモリの形の、少なくとも１つのコンピュータプログラム製品４０８を含む。コンピュータプログラム製品４０８は、第１のネットワークドメイン内のノードにおける配置構成４００内の処理ユニット４０６で実行された場合、第１のネットワークドメイン内のノードにおける配置構成４００に、たとえば図１ａ〜ｄおよび図２ａ〜ｂに関して先に説明した手順の動作を行わせるコード手段を含むコンピュータプログラム４１０を含む。
【００８１】
コンピュータプログラム４１０は、コンピュータプログラムモジュール４１０ａ〜４１０ｅ内に構築されたコンピュータプログラムコードとして設定することができる。したがって、例示の実施形態では、第１のネットワークドメイン内のノードにおける配置構成４００のコンピュータプログラム内のコード手段は、第１のインターネットプロトコル（ＩＰ）ヘッダおよびペイロードを含む第１のパケットを、アプリケーションサーバから受信するための受信ユニットまたはモジュールを含むことができる。コンピュータプログラムは、ＤＳＣＰを決定するための決定ユニットまたはモジュールをさらに含むことができる。コンピュータプログラムは、決定されたＤＳＣＰを含む第２のヘッダを追加して第２のパケットを生じさせるための追加ユニットまたはモジュールをさらに含むことができる。コンピュータプログラムは、第２のパケットを暗号化するための暗号化ユニットをさらに含むことができる。追加ユニットまたはモジュールは、暗号化された第２のパケットに、第２のネットワークドメイン内のノードの宛先アドレスを含む第３のヘッダをさらに追加して第３のパケットを生じさせることが可能である。コンピュータプログラムは、第２のネットワークドメイン内のノードで終端するＩＰトンネル内で第３のパケットを伝送するための送信ユニットまたはモジュールをさらに含むことができる。
【００８２】
コンピュータプログラムモジュールは、本質的に、図２ａおよび２ｂに示されたフローの動作を実行して、図３の第１のネットワークドメイン内のノード３００をエミュレートすることができる。言い換えれば、異なるコンピュータプログラムモジュールが処理ユニット４０６内で実行される場合、それらは図３のユニット３０２〜３０６に対応することが可能である。
【００８３】
図３および４に関連して上記で開示された例におけるコード手段は、処理ユニット内で実行された場合、上述の図面に関連して前述した動作を第１のネットワークドメイン内のノードに行わせる、コンピュータプログラムモジュールとして実装可能であるが、代替実施形態では、コード手段のうちの少なくとも１つが少なくとも部分的にハードウェア回路として実装可能である。
【００８４】
プロセッサは、単一のＣＰＵ（中央処理ユニット）とすることができるが、２つまたはそれ以上の処理ユニットも含むことができる。たとえばプロセッサは、汎用マイクロプロセッサ、命令がセットされたプロセッサおよび／または関係するチップセットおよび／またはＡＳＩＣ（特定用途向け集積回路）などの特定用途向けマイクロプロセッサを含むことができる。プロセッサは、キャッシングのためのボードメモリを含むこともできる。コンピュータプログラムは、プロセッサに接続されたコンピュータプログラム製品によって実施可能である。コンピュータプログラム製品は、コンピュータプログラムが記憶されるコンピュータ可読媒体を含むことができる。たとえばコンピュータプログラム製品は、フラッシュメモリ、ＲＡＭ（ランダムアクセスメモリ）、ＲＯＭ（読み取り専用メモリ）、またはＥＥＰＲＯＭとすることが可能であり、前述のコンピュータプログラムモジュールは、代替実施形態では、第１のネットワークドメイン内のノード内のメモリの形で、異なるコンピュータプログラム製品として配布することができる。
【００８５】
本明細書における実施形態は、第２のネットワークドメイン内のＶＰＮクライアントにデータパケットを伝送するように適合された、第１のネットワークドメイン内のノードにも関し、ノードおよびＶＰＮクライアントはＶＰＮの一部であり、第１のネットワークドメインおよび第２のネットワークドメインは第３のネットワークドメインによって接続される。ノードは、ノードによって実行される方法と同じ技術的特徴、目的、および潜在的利点を有する。したがってノードについては、不必要な繰り返しを避けるために、図５を参照しながらごく簡単に説明する。
【００８６】
図５は、プロセッサ５２１およびメモリ５２２を含むノード５００を示す。メモリは、プロセッサ５２１によって実行された場合、第１のＩＰヘッダおよびペイロードを含む第１のパケットをアプリケーションサーバから受信すること、ＤＳＣＰを決定すること、および決定されたＤＳＣＰを含む第２のヘッダを追加して第２のパケットを生じさせることを、ノード５００に行わせる命令を含む。さらにメモリ内の命令は、プロセッサ５２１によって実行された場合、第２のパケットを暗号化すること、暗号化された第２のパケットに、第２のネットワークドメイン内のノードの宛先アドレスを含む第３のヘッダを追加して第３のパケットを生じさせること、および、第２のネットワークドメイン内のノードで終端するＩＰトンネル内で第３のパケットを伝送することを、ノード５００に行わせる。
【００８７】
図５は、ノード５００が別のメモリ５１０を含むことも示している。これは必須ではなくオプションである。ノード５００は異なる目的のために異なるメモリを含むことができる。たとえば、１つのメモリ５２２はコンピュータプログラムを含むことができ、別のメモリ、たとえば５１０は、ノードが使用されるシステムに関するシステム情報などの他の情報を含むことができる。さらに図５は、ノード５００が他の機能５４０を含むことも示している。この他の機能は、たとえばスケジューリング手段および／またはノードを動作させるために必要な他の機能であってよいが、本明細書で説明するエンティティおよび機能によって影響されてはならない。
【００８８】
方法を実行するノードは、ノードによって実行される方法と同じ潜在的利点を有する。１つの潜在的利点は、方法がＶＰＮクライアントに影響を与えないため、ＶＰＮクライアントの更新または修正が不要なことである。方法は、ＶＰＮサーバまたはＶＰＮゲートウェイにほとんどまたはまったく影響を与えない。
【００８９】
本開示において、相互に作用するユニットの選択ならびにユニットの命名は単に例示のためであり、前述の方法のうちのいずれかを実行するのに好適なノードは、提案された手順動作を実行できるようにするために、複数の代替方法で構成可能であることが理解されよう。
【００９０】
本開示で説明されるユニットは論理エンティティとみなされるべきであり、別々の物理エンティティである必要性がないことにも留意されたい。
【００９１】
実施形態をいくつかの実施形態の観点から説明してきたが、本明細書を読み図面を検討することで、それらの代替、修正、置換、および等価物が明らかとなることが企図されている。したがって、以下の添付の特許請求の範囲は、実施形態の範囲内にありクレームによって定義される、かかる代替、修正、置換、および等価物を含むことが意図されている。
【図１ａ】
2016508682.tif 000003
【図１ｂ】
2016508682.tif 000004
【図１ｃ】
2016508682.tif 000005
【図１ｄ】
2016508682.tif 000006
【図２ａ】
2016508682.tif 000007
【図２ｂ】
2016508682.tif 000008
【図３】
2016508682.tif 000009
【図４】
2016508682.tif 000010
【図５】
2016508682.tif 000011
【国際調査報告】
2016508682.tif 000012
2016508682.tif 000013
2016508682.tif 000014