(57)【特許請求の範囲】
【請求項１】
自身が保持するテーブルのエントリ情報に基づきパケットフィルタリングを行うゲートウェイを介して、複数の仮想専用網と仮想共有網とを接続し、且つ、各仮想専用網間接続のポリシー情報に基づいて各ゲートウェイが保有すべきテーブルのエントリ情報を生成・管理する手段ならびに該エントリ情報をゲートウェイに設定する手段とを有するエクストラネット制御サーバを仮想共有網内に設けることにより、仮想専用網間を相互接続するエクストラネットにおいて、ゲートウェイで保有するテーブルエントリを制御する方法であって、
仮想共有網内に名前解決サーバを設け、該名前解決サーバは、仮想専用網から名前解決要求を受信すると、エクストラネット通信要求の宛先アドレス情報として名前解決したアドレス情報を設定するとともに、エクストラネット通信要求の送信元アドレス情報として名前解決要求の送信元アドレス情報を設定し、このエクストラネット通信要求をエクストラネット制御サーバに送信し、
エクストラネット制御サーバは、前記名前解決サーバから送信元アドレス情報及び宛先アドレス情報を含むエクストラネット通信要求を受けると、これらのアドレス情報から発側ゲートウェイ及び着側ゲートウェイを特定するとともに、これらのゲートウェイがエクストラネット通信要求を満たすために必要なエントリ情報を自身が管理するテーブルから抽出し、このエントリ情報を特定したゲートウェイに設定する
ことを特徴とするゲートウェイのエントリ制御方法。
【請求項２】
自身が保持するテーブルのエントリ情報に基づきパケットフィルタリングを行うゲートウェイを介して、複数の仮想専用網と仮想共有網とを接続し、且つ、各仮想専用網間接続のポリシー情報に基づいて各ゲートウェイが保有すべきテーブルのエントリ情報を生成・管理する手段ならびに該エントリ情報をゲートウェイに設定する手段とを有するエクストラネット制御サーバを仮想共有網内に設けることにより、仮想専用網間を相互接続するエクストラネットにおいて、ゲートウェイで保有するテーブルエントリを制御する方法であって、
ゲートウェイは、仮想専用網側からテーブルのエントリ情報にないエクストラネット通信に係るパケットを受信すると、エクストラネット通信要求の宛先アドレス情報として該パケットの宛先アドレス情報を設定するとともに、エクストラネット通信要求の送信元アドレス情報として該パケットの送信元アドレス情報を設定し、このエクストラネット通信要求をエクストラネット制御サーバに送信し、
エクストラネット制御サーバは、前記ゲートウェイから送信元アドレス情報及び宛先アドレス情報を含むエクストラネット通信要求を受けると、これらのアドレス情報から発側ゲートウェイ及び着側ゲートウェイを特定するとともに、これらのゲートウェイがエクストラネット通信要求を満たすために必要なエントリ情報を自身が管理するテーブルから抽出し、このエントリ情報を特定したゲートウェイに設定する
ことを特徴とするゲートウェイのエントリ制御方法。
【請求項３】
自身が保持するテーブルのエントリ情報に基づきパケットフィルタリングを行うゲートウェイを介して、複数の仮想専用網と仮想共有網とを接続し、且つ、各仮想専用網間接続のポリシー情報に基づいて各ゲートウェイが保有すべきテーブルのエントリ情報を生成・管理する手段ならびに該エントリ情報をゲートウェイに設定する手段とを有するエクストラネット制御サーバを仮想共有網内に設けることにより、仮想専用網間を相互接続するエクストラネットにおいて、ゲートウェイで保有するテーブルエントリを制御する方法であって、
仮想共有網内にウェブサーバを設置し、該ウェブサーバによりエクストラネット通信要求の宛先アドレス情報を受け付け、エクストラネット通信要求の宛先アドレス情報として該受付に係る宛先アドレス情報を設定するとともに、エクストラネット通信要求の送信元アドレス情報としてウェブサーバへのアクセス元アドレス情報を設定し、このエクストラネット通信要求をエクストラネット制御サーバに送信し、
エクストラネット制御サーバは、前記ウェブサーバから送信元アドレス情報及び宛先アドレス情報を含むエクストラネット通信要求を受けると、これらのアドレス情報から発側ゲートウェイ及び着側ゲートウェイを特定するとともに、これらのゲートウェイがエクストラネット通信要求を満たすために必要なエントリ情報を自身が管理するテーブルから抽出し、このエントリ情報を特定したゲートウェイに設定する
ことを特徴とするゲートウェイのエントリ制御方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、複数の仮想専用網を仮想共用網を介して相互接続するエクストラネット通信に関し、特にゲートウェイのテーブルエントリ制御に関する。
【０００２】
【従来の技術】
従来のこの種のエクストラネット通信では、仮想専用網と仮想共用網間にパケットフィルタリング機能を有するゲートウェイ装置を設置するとともに、仮想共有網内にエクストラネット制御サーバを設置している。エクストラネット制御サーバは、各仮想専用網間接続のポリシー情報に基づいてこれらのゲートウェイが保有すべきテーブルのエントリ情報を生成・管理する機能、及び、このエントリ情報をゲートウェイに設定する機能を有している。このような構成では、通常、実際のゲートウェイで保有するテーブルのエントリ情報とエクストラネット制御サーバで保有するゲートウェイのエントリ情報は一致し、エントリ情報の一貫性を保っている。また、このエントリ情報は、エクストラネットを構成する仮想専用網に変更があった場合のみゲートウェイのテーブル単位に変更が行われる。
【０００３】
【発明が解決しようとする課題】
しかし、従来方法では、エクストラネットが大規模化した場合、ゲートウェイの負荷が過大になるという問題があった。すなわち、エクストラネットが大規模化するとゲートウェイで保有するエントリ情報が多くなるが、全てのエントリ情報をゲートウェイで保有すると、テーブル容量が大きくなる。しかし、テーブル容量が増加すると、検索負荷が過大となりスループットの低下を招くという問題がある。したがって、スループットの観点からは各ゲートウェイで保有できるテーブル容量には限界ある。そこで、テーブル単位でエントリを書き換える方法も考えられるが、この方法ではエントリ情報の書き換えが頻繁に発生するため、ゲートウェイのＣＰＵリソースが書き換え処理に取られ、スループットが低下するという問題があった。
【０００４】
本発明は、上記事情に鑑みてなされたものであり、その目的とするところは、スループットの低下を招くことなく大規模エクストラネットの実現を可能としたゲートウェイのテーブルエントリ制御方法を提供することにある。
【０００５】
【課題を解決するための手段】
上記目的を達成するために、本発明では、エクストラネット制御サーバがエクストラネット通信要求を満たすために必要なエントリ情報を自身が管理するテーブルから抽出し、このエントリ情報のみをゲートウェイへ設定することを最も主な特徴とする。本発明によれば、従来方法で問題となる、大規模エクストラネットにおけるエントリ情報の書き換えにより発生するスループットの低下を防止することができる。
【０００６】
具体的には、本発明では、自身が保持するテーブルのエントリ情報に基づきパケットフィルタリングを行うゲートウェイを介して、複数の仮想専用網と仮想共有網とを接続し、且つ、各仮想専用網間接続のポリシー情報に基づいて各ゲートウェイが保有すべきテーブルのエントリ情報を生成・管理する手段ならびに該エントリ情報をゲートウェイに設定する手段とを有するエクストラネット制御サーバを仮想共有網内に設けることにより、仮想専用網間を相互接続するエクストラネットにおいて、ゲートウェイで保有するテーブルエントリを制御する方法であって、エクストラネット制御サーバは、送信元アドレス情報及び宛先アドレス情報を含むエクストラネット通信要求を受けると、これらのアドレス情報から発側ゲートウェイ及び着側ゲートウェイを特定するとともに、これらのゲートウェイがエクストラネット通信要求を満たすために必要なエントリ情報を自身が管理するテーブルから抽出し、このエントリ情報を特定したゲートウェイに設定する  ことを特徴とする。
【０００７】
エクストラネット通信要求におけるアドレス情報取得の方法としては、仮想共有網内に名前解決サーバを設け、該名前解決サーバが、仮想専用網から名前解決要求を受信すると、エクストラネット通信要求の宛先アドレス情報として名前解決したアドレス情報を設定するとともに、エクストラネット通信要求の送信元アドレス情報として名前解決要求の送信元アドレス情報を設定する方法が挙げられる。
【０００８】
また、他のエクストラネット通信要求におけるアドレス情報取得の方法としては、ゲートウェイが、仮想専用網側からテーブルのエントリ情報にないエクストラネット通信に係るパケットを受信すると、エクストラネット通信要求の宛先アドレス情報として該パケットの宛先アドレス情報を設定するとともに、エクストラネット通信要求の送信元アドレス情報として該パケットの送信元アドレス情報を設定する方法が挙げられる。
【０００９】
さらに、他のエクストラネット通信要求におけるアドレス情報取得の方法としては、仮想共有網内にウェブサーバを設置し、該ウェブサーバによりエクストラネット通信要求の宛先アドレス情報を受け付け、エクストラネット通信要求の宛先アドレス情報として該受付に係る宛先アドレス情報を設定するとともに、エクストラネット通信要求の送信元アドレス情報としてウェブサーバへのアクセス元アドレス情報を設定する方法が挙げられる。
【００１０】
なお、これらのアドレス情報取得方法は適宜組み合わせても良い。
【００１１】
このように本発明では、エクストラネット通信要求から着側・発側ゲートウェイを特定し、エクストラネット制御サーバが受け付けたエクストラネット通信要求にのみ関係するエントリ情報をゲートウェイのテーブルに設定するので、ゲートウェイがテーブルを書き換えるためのＣＰＵリソースの負荷は従来方式の全テーブルを書き換える場合と比べて抑えることができ、目的であるゲートウェイで保有するテーブル容量を少量に保ちつつ、頻繁に発生するエントリ情報の書き換えにゲートウェイのＣＰＵリソースを取られることを抑えたゲートウェイのテーブルエントリ制御が可能となる。
【００１２】
【発明の実施の形態】
本発明の実施の形態について図面を参照して詳細に説明する。図１はエクストラネット通信の構成を説明するブロック図、図２は物理網と仮想網の対応関係を説明する図である。
【００１３】
図１に示すように、本実施の形態では、３つの仮想専用網１，２，３を仮想共有網４を介して相互接続することによりエクストラネットを構築している。仮想共有網４は、仮想専用網のパケットが共有して転送される網で、該仮想共有網４に仮想専用網１，２，３が接続される。仮想共有網４と各仮想専用網１，２，３の間にはゲートウェイ１０，２０，３０が設置される。
【００１４】
各仮想専用網１，２，３には端末１００，２００，３００が設置される。本実施の形態では、仮想専用網１に属する端末１００のアドレスをアドレスＡ、仮想専用網２に属する端末２００のアドレスをアドレスＢ・ドメインをドメインβ、仮想専用網３に属する端末３００のアドレスをアドレスＣとする。
【００１５】
仮想共有網４には、エクストラネット制御サーバ４０、エクストラネット通信要求を受け付けるためのＷｅｂサーバ５０、名前解決を行うとともにエクストラネット通信要求を受け付けるためのＤＮＳサーバ６０が設置される。各サーバの機能については後述する。
【００１６】
ここで、本実施の形態にかかるエクストラネットについて物理網と仮想網との対応関係について図２を参照して説明する。なお、図中、仮想的装置類については点線で表し、物理的装置類については実線で表した。
【００１７】
図２に示すように、物理ＩＰパケット転送網５００にはエッジノード５０１，５０２，５０３が接続している。エッジノード５０１には、端末１００ａ，２００ａ，３００ａが収容される。同様に、エッジノード５０２には、端末１００ｂ，２００ｂ，３００ｂが収容される。本実施の形態では、端末１００ａと端末１００ｂが仮想専用網１に属することになる。同様に、端末２００ａと端末２００ｂが仮想専用網２に属し、端末３００ａと端末３００ｂが仮想専用網３に属することになる。エッジノード５０３には、エクストラネット制御サーバ４０，Ｗｅｂサーバ５０，ＤＮＳサーバ６０が収容される。また、エッジノード５０３には、ゲートウェイ１０，２０，３０がそれぞれ収容される。このエクストラネット制御サーバ４０，Ｗｅｂサーバ５０，ＤＮＳサーバ６０が仮想共有網４に属することになる。そして、仮想専用網１，２，３と仮想共有網４はゲートウェイ１０，２０，３０により相互接続される。
【００１８】
このように、本実施の形態では、端末１００ａと端末１００ｂとの接続は物理的には物理ＩＰパケット転送網５００を介しているが、仮想的には仮想専用網１内に設置されている端末１００として扱われる。仮想専用網２及び３についても同様である。そして、本願では、このような複数の仮想専用網間を所定の接続ポリシーに基づき仮想専用網を介して相互接続するものである。以下、各装置について詳述する。
【００１９】
エクストラネット制御サーバ４０は、各仮想専用網間接続のポリシー情報に基づいて各ゲートウェイ１０，２０，３０が保有すべきテーブルエントリ情報を生成・管理する機能と、エクストラネット通信要求を基に該エクストラネット通信のためのゲートウェイ１０，２０，３０のテーブルエントリ設定に必要なエントリ情報のみを各ゲートウェイ１０，２０，３０のテーブルに設定する機能を保有する。エクストラネット制御サーバ４０の保有する各ゲートウェイ毎のテーブルの一例を図３に示す。図３に示すように、本実施の形態では、各ゲートウェイごとにエントリ数は２である。
【００２０】
ＤＮＳサーバ６０は、図４で示すように、ドメイン名とそれに対応するアドレスからなるエントリで構成されるドメイン解決テーブルを保持する。該ＤＮＳサーバ６０は、各仮想専用網の端末からエクストラネット通信要求としてドメイン解決要求を受け付ける。そして、該ドメイン解決要求に含まれるドメイン名をキーにドメイン解決テーブルを検索し、対応するアドレスを抽出する。該ＤＮＳサーバ６０は、抽出したアドレスを宛先アドレスとするとともに、ドメイン解決要求パケットの送信元アドレスを送信元アドレスとするアドレス情報を作成する。その後、ＤＮＳサーバ６０は、該アドレス情報をエクストラネット制御サーバ４０に送信して、エクストラネット制御サーバ４０からの応答を待つ。エクストラネット制御サーバ４０からの応答がドメイン解決許可応答の場合は端末に宛先端末のアドレスを含むドメイン解決応答を送信する。エクストラネット制御サーバ４０からの応答がドメイン解決拒否応答ならば、端末にエラー応答を通知する。ＤＮＳサーバ６０はこのような動作をして端末からのエクストラネット通信要求をエクストラネット制御サーバ４０に通知し、結果をドメイン解決応答又はエラー応答として端末に応答する。
【００２１】
Ｗｅｂサーバ５０は、各仮想専用網の端末からエクストラネット通信要求としてウェブアクセスを受け付け、端末にＧＵＩ（Ｇｒａｐｈｉｃａｌ  Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）でエクストラネット通信する接続先端末のアドレスを入力するインタフェイスを提供する。該Ｗｅｂサーバ５０は、該アドレス入力を契機に、Ｗｅｂアクセスしてきた端末のアドレスを送信元アドレスとするとともに、入力されたアドレスを宛先アドレスとするアドレス情報を作成する。その後、該Ｗｅｂサーバ５０は該アドレス情報をエクストラネット制御サーバ４０に送信して、エクストラネット制御サーバ４０からの応答を待つ。エクストラネット制御サーバ４０からの応答が接続許可の場合は端末にＷｅｂサーバ５０のＧＵＩを用いて、エクストラネット通信可能を通知し、エクストラネット制御サーバ４０からの応答が接続拒否ならば、エクストラネット通信不可能を端末に通知する。該Ｗｅｂサーバ５０はこのような動作をしてから端末からのエクストラネット通信要求をエクストラネット制御サーバ４０に通知し、結果を端末に応答する。
【００２２】
各ゲートウェイ１０，２０，３０は各仮想専用網１，２，３からのパケットを仮想共有網４へ転送可能かフィルタリングし転送するためのフィルタリングテーブルを保有する。このフィルタリングテーブルのエントリ情報は、エクストラネット制御サーバ４０からのテーブル設定に基づいて書き換える。また、ゲートウェイ１０，２０，３０は各仮想専用網１，２，３の端末からパケットを受信し、フィルタリング後、自身のフィルタリングテーブルにエントリがない場合は該パケットをファーストパケットとみなし、該パケットをエクストラネット通信要求として、該ファーストパケットの送信元アドレスと宛先アドレスをアドレス情報としてエクストラネット制御サーバ４０へ転送する。その後エクストラネット制御サーバ４０からエントリ設定要求により該パケットがエクストラネット通信できるためのエントリを自身のフィルタリングテーブルに設定する。このような動作により以後、ファーストパケットと同一宛先・送信元のパケットはエクストラネット転送を可能にする。なお、どの端末間においてもエクストラネット通信が実施されていない場合、各ゲートウェイで保有するフィルタリングテーブルは空である。
【００２３】
次に、本システムにおいてエクストラネット通信を行う場合の動作について説明する。ここでは、端末１００が端末２００とのエクストラネット通信要求としてＤＮＳサーバ６０を利用する場合について説明する。次に、端末２００が端末３００とのエクストラネット通信の要求としてゲートウェイ２０へファーストパケットを送信する方法を利用する場合について説明する。最後に、端末３００が端末１００とのエクストラネット通信の要求としてＷｅｂサーバを利用する場合について説明する。
【００２４】
まず、端末１００が端末２００とのエクストラネット通信要求としてＤＮＳサーバ６０を利用する場合について図５を参照して説明する。図５はＤＮＳサーバを用いたエクストラネット通信方法を示すシーケンス図である。
【００２５】
図５に示すように、端末１００は、端末２００とエクストラネット通信を行うため、端末２００のドメイン名であるドメインβを含むドメイン解決要求を仮想共有網４内のＤＮＳサーバ６０へ送信する（ステップＳ１）。該ドメイン解決要求を受信したＤＮＳサーバ６０は該ドメイン解決要求の送信元アドレス、アドレスＡと、図４のドメイン解決テーブルを検索し、ドメインβのアドレスをアドレスＢと解決する（ステップＳ２）。そして、ＤＮＳサーバ６０は、このアドレスＡとアドレスＢをアドレス情報としてエクストラネット制御サーバ４０へ送信する（ステップＳ３）。
【００２６】
エクストラネット制御サーバ４０は、該アドレス情報を基に端末１００，２００の仮想専用網が接続する各ゲートウェイ１０とゲートウェイ２０を特定し、自身で管理する図３で示す各ゲートウェイのテーブルエントリから該エクストラネット通信に必要なエントリ情報を抽出する。具体的には、ゲートウェイ１０用テーブルからは送信元アドレスＡ、宛先アドレスＢとして抽出し、ゲートウェイ２０用テーブルからは送信元アドレスＡ、宛先アドレスＢとして抽出する（ステップＳ４）。そして、エクストラネット制御サーバ４０は、各ゲートウェイ１０，２０に対して各エントリ情報をテーブルに設定する要求を送信する（ステップＳ５）。ゲートウェイ１０，２０は該設定要求を基に自身のテーブルエントリに１エントリ設定し（ステップＳ６）、設置完了通知をエクストラネット制御サーバ４０へ送信する（ステップＳ７）。
【００２７】
エクストラネット制御サーバ４０は、ゲートウェイ１０，２０から設定完了通知を受信すると、ＤＮＳサーバ６０へドメイン解決応答許可を通知する（ステップＳ８）。ＤＮＳサーバ６０は、該ドメイン解決応答許可を受信すると、端末１００に端末２００のアドレスＢを含むドメイン解決応答を送信する（ステップＳ９）。
【００２８】
以上でゲートウェイ１０，２０のテーブル設定が完了するので、ドメイン解決応答に含まれる端末２００のアドレスＢを宛先アドレスとして端末１００から端末２００へ送出されたパケットは、仮想専用網１を転送され（ステップＳ１０）、ゲートウェイ１０へ到達し、上記で設定されたテーブルエントリを基にフィルタリングされる（ステップＳ１１）。次いで、該パケットは、仮想共有網４へ送信され（ステップＳ１２）、仮想共有網４を転送された該パケットはゲートウェイ２０へ到達し、ここでも上記で設定されたテーブルエントリを基にフィルタリングされる（ステップＳ１３）。そして、該パケットは、仮想専用網２へ転送され（ステップＳ１４）、端末２００へ到達する。
【００２９】
この動作の結果、ゲートウェイ１０、ゲートウェイ２０で保有するテーブルエントリ数は、図６に示すように、それぞれ各１エントリとなる。一方、図３で示すように、本来各ゲートウェイが保持するテーブルエントリ数はそれぞれ２エントリである。つまり、この方法によりゲートウェイで保有するエントリ数を削減できたことがわかる。
【００３０】
次に、端末２００から端末３００へのゲートウェイ２０を用いたエクストラネット通信方法について図７を参照して説明する。
【００３１】
まず、端末２００は、端末３００とエクストラネット通信を行うため、端末３００のアドレスＣを宛先とし、送信元を自身のアドレスＢとしたパケットをゲートウェイ２０へ送信する（ステップＳ２１）。該パケットを受信したゲートウェイ２０は自身のフィルタリングテーブル（この時点では空）を調べ、エントリがヒットしないため、該パケットをファーストパケットとみなし送信元アドレスＢと宛先アドレスＢをアドレス情報として、エクストラネット制御サーバ４０へ送信する（ステップＳ２２）。エクストラネット制御サーバ４０は、該アドレス情報を基に端末２００，３００の仮想専用網が接続する各ゲートウェイ２０とゲートウェイ３０を特定し、自身で管理する図３で示す各ゲートウェイのテーブルエントリから該エクストラネット通信に必要なエントリ情報を抽出する（ステップＳ２３）。具体的には、ゲートウェイ２０用テーブルからは送信元アドレスＢ、宛先アドレスＣとして抽出し、ゲートウェイ３０用テーブルからは送信元アドレスＢ、宛先アドレスＣとして抽出する。そして、エクストラネット制御サーバ４０は、各ゲートウェイ２０，３０に対して各エントリ情報を設定する要求を送信する（ステップＳ２４）。ゲートウェイ２０，３０は該設定要求を基に自身のテーブルエントリに１エントリ設定し（ステップＳ２５）、設置完了通知をエクストラネット制御サーバ４０へ送信する（ステップＳ２６）。
【００３２】
以上でゲートウェイ２０，３０のテーブル設定が完了するので、該設定が完了した後、端末２００から送信された送信元アドレスＢ、宛先アドレスＣの端末３００宛のパケットは、仮想専用網２を転送され（ステップＳ２７）、ゲートウェイ２０へ到達し、上記で設定されたテーブルエントリを基にフィルタリングされる（ステップＳ２８）。次いで、該パケットは、仮想共有網４へ送信され（ステップＳ２９）、仮想共有網４を転送された該パケットはゲートウェイ３０へ到達し、ここでも上記で設定されたテーブルエントリを基にフィルタリングされる（ステップＳ３０）。そして、該パケットは、仮想専用網３へ転送され（ステップＳ３１）、端末３００へ到達する。
【００３３】
この動作の結果、ゲートウェイ２０、ゲートウェイ３０で保有するテーブルエントリ数は、図８に示すように、それぞれ各１エントリとなる。一方、図３で示すように、本来各ゲートウェイが保持するテーブルエントリ数はそれぞれ２エントリである。つまり、この方法によりゲートウェイで保有するエントリ数を削減できたことがわかる。
【００３４】
次に、端末３００から端末１００へのＷｅｂサーバ５０を用いたエクストラネット通信方法について図９を参照して説明する。
【００３５】
まず、端末３００は、端末１００とエクストラネット通信を行うため、仮想共有網４内のＷｅｂサーバ５０へアクセスし、Ｗｅｂサーバ５０により端末１００とのエクストラネット通信要求としてＷｅｂサーバのＧＵＩを利用して端末１００のアドレスＡを入力する（ステップＳ４１）。Ｗｅｂサーバ５０は、該入力を受けると入力されたアドレスＡを宛先アドレス、Ｗｅｂサーバ５０へアクセスした端末３００のアドレスＣを送信元アドレスとしたアドレス情報を作成し、エクストラネット制御サーバ４０へ送信する（ステップＳ４２）。
【００３６】
エクストラネット制御サーバ４０は、該アドレス情報を基に端末３００、１００の仮想専用網が接続する各ゲートウェイ３０とゲートウェイ１０を特定し、自身で管理する図５で示す各ゲートウェイのテーブルエントリから該エクストラネット通信に必要なエントリ情報を抽出する（ステップＳ４３）。具体的には、ゲートウェイ３０用テーブルからは送信元アドレスＣ、宛先アドレスＡとして抽出し、ゲートウェイ１０用テーブルからは送信元アドレスＣ、宛先アドレスＡとして抽出する。そして、エクストラネット制御サーバ４０は、各ゲートウェイ３０，１０に対して各エントリ情報を設定する要求を送信する（ステップＳ４４）。ゲートウェイ３０、１０は該設定要求を基に自身のテーブルエントリに１エントリ設定し（ステップＳ４５）、設置完了通知をエクストラネット制御サーバ４０へ送信する（ステップＳ４６）。
【００３７】
エクストラネット制御サーバ４０は、各ゲートウェイ３０，１０から設定完了通知を受信すると、Ｗｅｂサーバ５０へ応答許可を通知する（ステップＳ４７）。Ｗｅｂサーバ５０は該応答許可を受信すると、ＧＵＩを利用して、端末３００へ端末１００とのエクストラネット通信許可を通知する（ステップＳ４８）。
【００３８】
以上でゲートウェイ１０，３０のテーブル設定が完了するので、該エクストラネット通信許可を受けた端末３００から送出された送信元アドレスＣ・宛先アドレスＡとする端末１００宛てパケットは、仮想専用網３を転送され（ステップＳ４９）、ゲートウェイ３０へ到達する。そして、該パケットは、上記で設定されたテーブルエントリを基にフィルタリングされ（ステップＳ５０）、仮想共有網４へ送信され（ステップＳ５１）、仮想共有網を転送された該パケットはゲートウェイ１０へ到達する。そして、該パケットは、ここでも上記で設定されたテーブルエントリを基にフィルタリングされ（ステップＳ５２）、仮想専用網１へ転送され（ステップＳ５３）、端末１００へ到達する。
【００３９】
この動作の結果、ゲートウェイ１０、ゲートウェイ３０で保有するテーブルエントリ数は、図１０に示すように、それぞれ各１エントリとなる。一方、図３で示すように、本来各ゲートウェイが保持するテーブルエントリ数はそれぞれ２エントリである。つまり、この方法によりゲートウェイで保有するエントリ数を削減できたことがわかる。
【００４０】
このように、本実施の形態によれば、各ゲートウェイで保有するエントリ数をエクストラネット通信に必要なエントリのみに留めることができ、各ゲートウェイで保有するエントリ数を削減できる。また、エクストラネット通信要求に関係するエントリのみを設定するため、ゲートウェイのテーブル設定のためのＣＰＵリソース負荷を抑えることができる。これにより、エクストラネットが大規模化しても、スループットの低下を招くことなく円滑なエクストラネット通信を実現する。
【００４１】
【発明の効果】
以上詳述したように、本発明によれば、エクストラネット通信を実現する場合、エクストラネット通信要求のあった通信に必要なエントリ情報のみエクストラネット制御サーバからゲートウェイに設定することで、ゲートウェイのテーブル必要なゲートウェイのＣＰＵリソースを、エントリ全体を設定する場合と比較して、大量に消費することがない。したがって、エクストラネットが大規模化し、エントリ数がゲートウェイのテーブルエントリ容量を超えた場合においても、スループットの低下を伴うことなくエクストラネット通信を実現できる。
【図面の簡単な説明】
【図１】エクストラネット通信の構成を説明するブロック図
【図２】物理網と仮想網の対応関係を説明する図
【図３】エクストラネット制御サーバにおけるテーブルの一例を説明する図
【図４】ＤＮＳサーバにおけるドメイン解決テーブルの一例を説明する図
【図５】ＤＮＳ要求を契機としたエクストラネット通信のシーケンス図
【図６】図５の通信後の各ゲートウェイにおけるテーブルのエントリ情報を説明する図
【図７】ファーストパケットを契機としたエクストラネット通信のシーケンス図
【図８】図７の通信後の各ゲートウェイにおけるテーブルのエントリ情報を説明する図
【図９】ウェブアクセスを契機としたエクストラネット通信のシーケンス図
【図１０】図９の通信後の各ゲートウェイにおけるテーブルのエントリ情報を説明する図
【符号の説明】
１，２，３…仮想専用網、４…仮想共有網、１０，２０，３０…ゲートウェイ、４０…エクストラネット制御サーバ、５０…Ｗｅｂサーバ、６０…ＤＮＳサーバ、１００，２００，３００…端末
【図１】
0003740070.tif 000002
【図２】
0003740070.tif 000003
【図３】
0003740070.tif 000004
【図４】
0003740070.tif 000005
【図５】
0003740070.tif 000006
【図６】
0003740070.tif 000007
【図７】
0003740070.tif 000008
【図８】
0003740070.tif 000009
【図９】
0003740070.tif 000010
【図１０】
0003740070.tif 000011