CN102474459B - 中继装置 - Google Patents

Abstract

本发明提供了一种中继装置，其使用VPN来使得在与不同中继装置相连的通信终端之间的通信变得容易。所提供的中继装置对采用结构化重叠分布式管理的路径数据库进行参照，将与所连接的通信终端发送的数据包中的地址信息相应的另一个中继装置认定为传输路径，并且沿着该传输路径发送该数据包，从而使得该数据包能够被连接到目的地的中继装置的通信终端接收。由于路径数据库是分布式管理的，因此即使新的中继装置接入网络或者中继装置从网络中脱离，也不需要预先更改另一个中继装置的设置。此外，与所提供的中继装置连接的通信终端并不需要特殊软件来使用结构化重叠，而是仅仅通过连接到该中继装置就能够进行通信。

Description

中继装置

技术领域

本发明涉及使用VPN(虚拟专用网)将多个LAN(局域网)相互连接起来的技术。

背景技术

作为用于连接诸如LAN的网络的中继设备的VPN路由器遂穿并加密网络之间的通信以中继通信数据。IPsec(因特网协议安全体系结构)、PPTP(点对点隧道协议)和L2TP(第二层隧道协议)被广泛用作实施VPN的协议。

一般来说，由VPN路由器进行的VPN设置是很复杂的。因此，例如，为了简化设置操作，专利文献1和专利文献2公开了服务器以统一的方式生成设置详情并且通过网络将这些设置详情提供给各个路由器的技术。不过，在这种格局中，由于处理负荷都集中在服务器上，因此很难将这一技术应用在大规模网络上。此外，当服务器出了某些问题时，整个系统都会不工作。

例如，专利文献3公开了一种在终端之间的通信中使用诸如分布式散列表这样的结构化重叠的技术。按照这种技术，当装置加入或退出通信时，不必改变设置，也就不必提供以统一方式管理信息的服务器。

引文列表

专利文献

专利文献1：JP-A-2004-104542

专利文献2：JP-A-2006-54704

专利文献3：JP-A-2008-172706

发明内容

技术问题

正如在专利文献3中公开的那样，可以使用结构化重叠在点之间实现通信。在这种情况下，必须在参与通信的所有终端中安装用于构造结构化重叠的软件并且预先登记设置。此外，在按照现有技术使用例如IPsec的结构中，当增加或移除所有参与到VPN中的装置时，需要更改逻辑路径或路径的设置。此外，为了实现全网通信，需要依据接入网络的终端的数量，设置大量逻辑路径或路径的设置。

本发明是针对上述问题而做出的，并且本发明的目的是使用与不同中继装置连接的通信终端之间的VPN帮助实现通信。

问题的解决方案

为了解决上述问题，本发明提供一种中继装置，该中继装置使用VPN(虚拟专用网)与另一个中继装置连接并且对与该中继装置连接的通信终端和与另一个中继装置连接的通信终端之间的通信进行中继，该中继装置包括：重叠构造构件，用于通过与其它中继装置的连接来构造结构化重叠并且使用该结构化重叠来在构成该结构化重叠的中继装置之间对路径数据库进行分布式管理，在该路径数据库中，与通信终端的专用地址相关的信息与指出通信终端所连接的中继装置的全局地址的信息相关联；第一接收构件，用于接收通信数据，该通信数据从与该中继装置相连的通信终端发出、并且包括指出作为通信数据目的地的通信终端的专用地址的目的地信息；指定构件，用于通过参照分布式管理的路径数据库来指定与第一接收构件接收到的通信数据的目的地信息所指出的专用地址相对应的全局地址；第二发送构件，用于将第一接收构件接收到的通信数据发送到被设置了由指定构件指定的全局地址的另一个中继装置；第二接收构件，用于接收从该另一个中继装置发送来的通信数据；和第一发送构件，用于将由第二接收构件接收到的通信数据发送到与由通信数据的目的地信息指出的专用地址相对应的通信终端。

在另一个优选方面，第二发送构件在发送通信数据时用特定的加密密钥对通信数据进行加密，第一发送构件对由第二接收构件接收到的通信数据进行解密、并且将通信数据发送到与通信数据的目的地信息相关的通信终端，并且第二发送构件在将通信数据发送给构造结构化重叠的任何其它中继装置的时候用公用加密密钥对通信数据进行加密。

在另一个优选方案，中继装置此外还包括临时存储构件，用于将信息临时存储给定时段，在该信息中，指定构件所指定的另一个中继装置的全局地址与用于指定全局地址的通信终端的专用地址的相关信息相关联，并且第二发送构件参照临时存储构件中存储的信息，并且在所存储的信息包括与第一接收构件接收到的通信数据的目的地信息所指出的专用地址相关联的全局地址的时候，该第二发送构件将由第一接收构件接收到的通信数据发送到设置了该全局地址的另一个中继装置。

在另一个优选方面，与分布式管理的路径数据库中的通信终端的专用地址相关的信息指出包括专用地址的网络地址，中继装置此外还包括存储构件，用于存储前缀规则表格，该前缀规则表格指出通信终端的专用地址与网络地址之间的对应关系，并且指定构件通过参照存储构件中所存储的前缀规则表格和分布式管理的路径数据库来指定与第一接收构件接收到的通信数据的目的地信息中的专用地址相对应的全局地址。

在另一个优选方面，中继装置此外还包括：登记构件，用于当中继装置与另一个中继装置相连时，在路径数据库中登记与除了路径数据库中所包含的专用地址之外的专用地址有关的信息，以便参照分布式管理的路径数据库将该信息与中继装置的全局地址关联起来；和分配构件，用于将与登记构件所登记的信息相关的专用地址分配给与中继装置相连的通信终端。

发明的有益效果

按照本发明，可以使用与不同中继装置相连的通信终端之间的VPN帮助进行通信。

附图说明

图1是示出按照本发明实施方式的通信系统的结构的框图。

图2是示出按照本发明实施方式的中继装置的结构的框图。

图3是示出实现中继装置的通信处理功能的结构的示意图。

图4是示出PR表格的结构的示意图。

图5是示出路径数据库的结构的示意图。

图6是示出通信终端之间数据通信中通信处理的操作的示意图。

图7是示出按照变型例1的中继装置的网络地址登记处理的示意图。

具体实施方式

在下文中，将会介绍本发明的一种实施方式。

<实施方式>

图1是示出按照本发明实施方式的通信系统1的结构的框图。通信系统1包括分别在点A、B、C和D处提供的中继装置20A、20B、20C和20D(下文中，在不对这些中继装置加以区分的时候，称为中继装置20)，并且包括LAN30A、30B、30C和30D(下文中，在不对这些LAN进行区分时，称为LAN30)，这些LAN包括与中继装置20相连的通信终端(未示出)。各个中继装置20将各个LAN30连接到通信网络10上，通信网络10是公共网络，比如因特网，并且各个中继装置20将来自各个LAN30中的通信终端的通信中继到另一个LAN30中的通信终端。

中继装置20例如是VPN路由器并且按照具体的通信协议(例如，IP(因特网协议))接收数据包，这些数据包是从通信网络10发出的数据块。当所接收数据包的目的地是与中继装置20相连的LAN30中的通信终端时，中继装置20将该数据包发送到作为目的地的通信终端。中继装置20将从LAN30发送来的数据包发送到与作为数据包目的地的通信终端相连的中继装置20。此外，由VPN利用VPN处理单元213(见图3)(下面将会介绍)通过通信网络10将中继装置20与另一个中继装置20连接起来。中继装置20使用结构化重叠处理单元212(见图3)构成结构化重叠，比如分布式散列表，后面将对此加以介绍。将参照图2介绍中继装置20的结构。

图2是示出按照本发明实施方式的中继装置20的结构的框图。中继装置20包括控制单元21、UI(用户界面)单元22、第一通信IF(接口)单元23、第二通信IF单元24和存储单元25，这些单元通过总线26彼此连接。

控制单元21包括，例如，CPU(中央处理单元)、ROM(只读存储器)和RAM(随机存取存储器)。CPU读取ROM中存储的控制程序、将控制程序加载到RAM中并且运行该控制程序以通过总线26控制中继装置20的各个部件，从而实现通信处理功能，后面将对此加以介绍。RAM在CPU处理各个数据项的时候起到工作区的作用。

UI单元22包括操作单元和显示单元，操作单元比如是由管理员用来设置中继装置20的各种设置的键盘或操作按钮，显示单元比如是用于显示与控制单元21的控制相应的信息(比如设定屏幕)的液晶显示器。当对操作单元进行操作时，UI单元22向控制单元21输出表示操作内容的数据。可以不提供UI单元22。在这种情况下，管理员使用管理设备(未示出)通过诸如通信网络10或LAN30之类的网络进行远程操作，以设定各种设置。

第一通信IF单元23和第二通信IF单元24各自都是通信装置，比如NIC(网络接口卡)。第一通信IF单元23与LAN30相连接。具体地说，中继装置20A、20B、20C和20D的第一通信IF单元23分别与LAN30A、30B、30C和30D相连接。第二通信IF单元24与通信网络10相连接。

当第一通信IF单元23和第二通信IF单元24分别从与它们连接的网络接收到数据包时，它们将这些数据包输出到控制单元21并且将从控制单元21输出的数据包发送到与它们连接的网络(通信网络10或LAN30)。

存储单元25例如是硬盘或非易失性存储器并且由控制单元21将数据从存储单元25中读出或者写入到存储单元25中。存储单元25存储，例如，表明通过UI单元22或某些控制程序的操作对中继装置20设置的内容的设置信息。此外，存储单元25存储，例如，PR(前缀规则)表格251、路径表格252、路径记录253、路径缓存254和加密密钥255(见图3)，后面将对这些进行详细介绍。接下来，将介绍中继装置20的结构。

下面，将参照图3到图5介绍由控制单元21所运行的控制程序实现的通信处理功能。通信处理功能通过连接到通信网络10的各个中继装置20来构成结构化重叠，并且对与中继装置20连接的LAN30中的通信终端和与另一个中继装置20连接的LAN30中的通信终端之间的通信进行中继。下面的通信处理功能中的各个组成部分都可以用硬件实现。

图3是示出实现通信处理功能的结构的示意图。使用数据包处理单元211、结构化重叠处理单元212、VPN处理单元213、路径管理单元214以及存储单元25中存储的PR表格251、路径表格252、路径记录253、路径缓存254和加密密钥255来实现通信处理功能。首先，将会介绍存储单元25中存储的各个信息项。

图4是示出PR表格251的结构的示意图。PR表格251具有指示网络地址的信息，网络地址包括数据包的目的地信息中的专用地址。在PR表格251中，作为用于检索路径数据库(后面将对其加以介绍)的检索关键词的网络地址与网络地址的前缀长度(PL)相关联。

例如，在图4所示的PR表格251中，网络地址“192.168.100.0”的前缀长度为“26”，并且包括从“192.168.100.0”到“192.168.100.63”的范围之内的专用地址。因此，例如，当专用地址为“192.168.100.7”时，相应的网络地址是“192.168.100.0”。当与专用地址相应的网络地址没有被包含在PR表格251中时，就认为前缀长度是“24”，这是一个缺省值。

如此一来，PR表格251表明了网络地址与专用地址之间的对应关系。预定要与通信网络10连接的所有中继装置20的网络地址与前缀长度之间的关系都被预先登记在PR表格251中，从而将网络地址与前缀长度彼此关联起来。不过，当如路径数据库中那样(稍后将对此加以介绍)使用结构化重叠来进行分布式管理时，可以仅仅存储中继装置的网络地址与前缀长度之间的对应关系。

将存储了路径表格252的中继装置20的网络地址登记在路径表格252中。就是说，路径表格252是将与中继装置20相连的LAN30的网络地址与设置给中继装置20的全局地址关联起来的信息。可以将中继装置20的全局地址登记为主机路径。此外，可以登记与路径表格相对应的信息，比如现有技术中使用的路由表。

路径记录253存储路径数据库中采用结构化重叠来分布式管理的部分。路径数据库是通过整合与通信网络10相连的各个中继装置20中存储的路径表格252而获得的。因此，路径记录253具有与各个中继装置20中的路径表格252相应的内容，并且部分包括，例如，自身中继装置的路径表格252和其它中继装置20的路径表格252。当与通信网络10连接的其它中继装置20被改变或者其它中继装置20中的路径表格252被改变，造成路径数据库中发生改变时，结构化重叠处理单元212更新路径记录253的内容。

图5是示出的路径数据库的结构的示意图。如上所述，路径数据库是利用结构化重叠来以各个中继装置20的路径记录253的形式分布式管理的。整个数据库具有通过将各个中继装置20的所有路径表格252整合为与路径相关的数据而获得的内容。因此，在路径数据库中，网络地址与具有该网络地址的中继装置20的全局地址相关联。

例如，在图5中所示的路径数据库中，网络地址“192.168.100.0”对应于具有全局地址“2xx.100.200.1”的中继装置20。当结构化重叠处理单元212(后面将对其加以介绍)使用该网络地址作为检索关键词来查询路径数据库时，可以作为响应，从而获得相应中继装置20的全局地址。如此一来，当采用结构化重叠来对路径数据库进行分布式管理时，各个中继装置20的路径表格252可能不会与路径数据库相同。

可以将路径数据库构造成这样：与通信网络10连接的各个中继装置20的全局地址和与各个中继装置20连接的LAN30中的通信终端的专用地址之间的对应关系是已知的。因此，可以不用网络地址表示与全局地址相应的信息，而是可以使用与专用地址相关的任何信息。例如，与专用地址相关的信息可以是专用地址或该范围内指定的信息。当使用由网络地址和前缀长度表示的信息时，可以不提供PR表格251。

路径缓存254临时存储以这种方式获得的网络地址和全局地址之间的对应关系。对于同一个网络地址，可以通过参照路径缓存254，而不是查询路径数据库，来以较高速度获得对应关系。

VPN处理单元213(后面将对其加以介绍)使用加密密钥255来进行加密或解密。在这个例子中，使用公用密钥来对传送给各个中继装置20的数据进行加密。不过，也可以使用对应于各个中继装置20的密钥。上面已经介绍了存储单元25中存储的各个信息项。

接着，回到图3，将会介绍数据包处理单元211、结构化重叠处理单元212、VPN处理单元213和路径管理单元214。

当第一通信IF单元23接收到数据包(是从与中继装置20连接的LAN30中的通信终端发出的通信数据)时，数据包处理单元211获得所接收的数据包。该数据包包括指示出作为目的地的通信终端的专用地址的目的地信息。数据包处理单元211参照路径表格252，并且当该数据包的目的地的专用地址不是与中继装置20相连的LAN30中的通信终端时，数据包处理单元211将该数据包输出到VPN处理单元213。然后，数据包处理单元211作为对输出的响应来获得经过了VPN发送处理(后面将对此加以介绍)的数据包，并且通过通信网络10将该数据包从第二通信IF单元24发送到具有通过后面的方法确定的全局地址的另一个中继装置20。

当第二通信IF单元24从通信网络10接收到经过了VPN发送处理的数据包时，数据包处理单元211获得所接收的数据包。然后，数据包处理单元211将该数据包输出到VPN处理单元213。数据包处理单元211作为对输出的响应来获得经过了VPN接收处理(后面将对此加以介绍)的数据包，并且通过参照路径表格252将该数据包从第一通信IF单元23发送到具有由目的地信息指示的专用地址的通信终端。

结构化重叠处理单元212按照预定的结构化重叠协议通过数据包处理单元211和第二通信IF单元24控制与另一个中继装置20的通信，以在与通信网络10连接的中继装置20之间构造结构化重叠。于是，结构化重叠处理单元212使用结构化重叠以各个中继装置20的路径记录253的形式对路径数据库进行分布式管理。此外，当使用网络地址作为检索关键词来查询路径数据库时，结构化重叠处理单元212作为响应获得指示出另一个中继装置20的全局地址。这样，指定了将会发送数据包的中继装置20的全局地址。

结构化重叠处理单元212参照PR表格251来认定与从VPN处理单元213接收到的专用地址相应的网络地址，并且使用该网络地址作为用于查询分布式数据库(后面将对此加以介绍)的检索关键词。然后，结构化重叠处理单元212将所指定的全局地址通知给VPN处理单元213。

当从数据包处理单元211输入了由第一通信IF单元23接收到的数据包时，VPN处理单元213进行VPN发送处理。VPN发送处理是按照如下方式进行的。首先，VPN处理单元213获得输入数据包的目的地信息中的专用地址。然后，VPN处理单元213参照路径缓存254来确定是否有与该专用地址相对应的全局地址。当有与该专用地址相对应的全局地址时，VPN处理单元213获得该全局地址。另一方面，当没有与该专用地址相对应的全局地址时，VPN处理单元213将该专用地址通知给结构化重叠处理单元212并且获得作为来自路径数据库的响应的全局地址。在这种情况下，VPN处理单元213将专用地址与所获得的全局地址之间的对应关系临时存储在路径缓存254中。

然后，VPN处理单元213参照加密密钥255对数据包进行加密并且通过数据包处理单元211和第二通信IF单元24将加密后的数据包发送到与所获得的全局地址相对应的中继装置20。前面已经介绍了VPN发送处理。

当从数据包处理单元211输入了由第二通信IF单元24接收到的数据包(在另一个中继装置20中进行了VPN发送处理的数据包)时，VPN处理单元213进行VPN接收处理。VPN接收处理参照加密密钥255对已加密的数据包进行解密并且将解密后的数据包输出到数据包处理单元211。如上所述，当输出了解密后的数据包时，将其通过数据包处理单元211和第一通信IF单元23发送到具有数据包的目的地信息中的专用地址的通信终端。

路径管理单元214按照诸如OSPF(开放式最短路径优先)或RIP(路由信息协议)之类的路由协议，管理结构化重叠处理单元212的路径并且更新路径表格252。此外，路径管理单元214可以不使用路由协议而静态地设置路径。

一般来说，在很多情况下，当设置VPN的路径时，会定义与作为发送目的地的各个中继装置相对应的虚拟接口，并且描述以虚拟接口作为目的地的路径。不过，在这种方法中，必须要根据加入到网络中的中继装置的数量的增减来更改路径，这会导致管理负担的增加。与此相反，在本发明中，可以仅仅定义通过整合多个作为发送目的地的中继装置20获得的一个虚拟接口，并且可以描述以该接口为目的地的路径。这样，即使加入到网络中的中继装置20的数量增加或减少时，也不用改变路径的设置就可以操作系统。因此，可以减小管理负担。前面已经介绍了通信处理功能。

接下来，将介绍中继装置20的操作。首先，将会介绍中继装置被加入到网络中时该中继装置的操作，然后将会参照图6介绍在通信终端之间进行通信期间通信系统1的操作。

首先，中继装置20的管理员设置初始节点、预先共享的密钥和各个中继装置20的装置名。初始节点指的是首先访问网络以便加入网络的装置。初始节点不是诸如服务器之类的特定节点，但是设置了加入到网络中的任意节点(例如另一个中继装置20)的全局地址。预先共享的密钥不同于由VPN处理单元213使用的加密密钥255，结构化重叠处理单元212使用该预先共享的密钥来对诸如结构化重叠的消息之类的控制消息进行加密的。装置名用于标识网络上的中继装置20并且被用作结构化重叠上的节点的标识符。

各个中继装置20根据设置而加入网络，并且对采用结构化重叠分布式管理的路径数据库中所存储的路径记录253进行初始化。按照对路径数据库进行分布式管理的结构，当新的中继装置具有前面提到的设置时，即使新的中继装置20加入网络，也不需要改变网络上的中继装置20的设置。当被加入到网络中时，中继装置20可以将其路径表格252登记到采用结构化重叠来分布式管理的路径数据库中，以通知其它中继装置20该中继装置20的存在。

图6是示出通信终端之间数据通信中通信处理的操作的示意图。在下面的介绍中，假设通信数据包是从与中继装置20A连接的通信终端A-X发出，并且数据包的目的地信息指出与中继装置20B(全局地址“2xx.100.200.1”)连接的通信终端B-Y(专用地址“192.168.100.2”)。此外，假设PR表格251具有图4中所示的内容并且采用结构化重叠分布式管理的路径数据库具有图5所示的内容。

首先，通信终端A-X向通信终端B-Y发送数据(步骤S110)。当接收到所发送的数据包时，中继装置20A参照数据包的目的地信息认定出作为目的地的通信终端的专用地址(步骤S120)。当认定出专用地址“192.168.100.2”时，中继装置20A参照PR表格251提取出相应的网络地址作为检索关键词(步骤S130)。所提取的检索关键词具有网络地址“192.168.100.0”。

然后，中继装置20A确定在其路径缓存254中是否有与该检索关键词相应的地址(步骤S135)。当有与该检索关键词相应的地址时(步骤S135；是)，中继装置20A将具有该地址的中继装置20B认定为数据包传输路径(步骤S160)。另一方面，当没有与该检索关键词相应的地址时(步骤S135；否)，中继装置20A使用该检索关键词对采用结构化重叠分布式管理的路径数据库(路径DB)进行查询(步骤S140)。然后，中继装置20A参照路径数据库(步骤S150)并且被告知从参照结果中获得的与检索关键词相应的地址(全局地址″2xx.100.200.1″)。中继装置20A将具有该全局地址的中继装置20B认定为数据包传输路径(步骤S160)。中继装置20A将通过参照路径数据库认定出的路径登记在其路径缓存254中。

中继装置20A对从通信终端A-X接收到的数据包进行VPN发送处理(步骤S170)并且将加密数据包通过通信网络10从虚拟接口发送到作为目的地的中继装置20B。

中继装置20B使用虚拟接口从结构化重叠的网络中接收在中继装置20A中进行了VPN发送处理的数据包并且对该数据包进行VPN接收处理(步骤S180)以解密该数据包。然后，中继装置20B认定出具有由解密之后的数据包的目的地信息所指示的专用地址“192.168.100.2”的通信终端(通信终端B-Y)(步骤S190)并且将解密之后的数据包发送到通信终端B-Y。然后，通信终端B-Y接收从中继装置20B发来的数据包，从而接收从通信终端A-X发来的数据(步骤S200)。

如此，在本发明的实施方式中，中继装置20参照采用结构化重叠分布式管理的路径数据库，来将与所连接的通信终端发送来的数据包的目的地信息相对应的另一个中继装置20认定为传输路径，并且沿着该传输路径发送数据包，从而使得该数据包可以被连接到作为传输目的地的中继装置20的通信终端接收到。在这种情况下，由于路径数据库是被分布式管理的，因此即使有新的中继装置20接入网络或者有中继装置20从网络中脱离，也不需要预先改变另一个中继装置20的设置，从而可以减少要存储在各个中继装置20中的路径表格252的数据量。此外，与中继装置20连接的通信终端并不需要例如对结构化重叠进行使用的特殊软件，并且可以与中继装置20连接来进行通信。由于可以不提供管理整个系统的可能成为单一故障点的服务器，因此该系统是强健的。

前面已经介绍了本发明的实施方式，可以进行如下的本发明的各种不同变型。

<变型1>

在前面介绍的实施方式中，中继装置20对应的网络地址被预先登记在路径表格252中。不过，在增加了还未被登记的中继装置对应的网络地址的情况下，当有登记网络地址的指令并且中继装置20接入网络时，可以自动登记除了另一个中继装置20对应的网络地址之外的其它网络地址。将参照图7介绍登记处理的例子。

图7是示出按照变型1的中继装置20的网络地址登记处理的示意图。当有将网络地址登记到路径表格252中的指令时，中继装置20启动网络地址登记处理。首先，中继装置20确定暂定地址，该暂定地址是要被登记的网络地址的候选对象(步骤S310)。然后，中继装置20使用该暂定地址作为检索关键词来对采用结构化重叠分布式管理的路径数据库(DB)进行查询(步骤S320)。

当作为对查询的响应而被告知了相应的全局地址时(步骤S330：是)，由于被确定为暂定地址的网络地址是对应于具有该全局地址的中继装置20，因此改变该暂定地址(步骤S340)。中继装置再次查询路径数据库(步骤S320)。

另一方面，当作为对查询的响应而没有被告知相应的全局地址时(步骤S330：否)，被确定为暂定地址的网络地址不对应于任何中继装置20。因此，该网络地址被登记在路径表格252中作为对应于主机装置的网络地址，并且还被登记在路径数据库中(步骤S350)。按照这种结构，与各个中继装置20对应的网络地址并不与另一个中继装置20的网络地址重叠。此外，以这种方式登记的网络地址中包含的专用地址可以被自动地分配给与主机装置相连的通信终端。

在中继装置20接入网络并且与该中继装置20对应的网络地址被登记到路径数据库中的情况下，当已经登记了网络地址与全局地址之间的对应关系的时候，可以通报错误来提示管理员更改网络地址，或者可以初始化中继装置20的路径表格252并且可以启动网络地址登记处理。

此外，特定中继装置20对应的网络地址与该中继装置20的全局地址之间的对应关系可以被登记在路径数据库中，而不管该中继装置20是否接入网络，并且可以保留该网络地址，使得另一个中继装置20无法使用该网络地址。

<变型2>

按照上述实施方式的控制程序被存储在计算机可读记录介质中，比如磁记录介质(例如，磁带或磁盘)、光学记录介质(例如，光盘)、磁光记录介质或者半导体存储器，并且然后被提供。在这种情况下，可以在中继装置20中提供用于从记录介质中读取数据的接口。此外，控制程序可以通过网络下载。

附图标记表

1：通信系统

10：通信网络

20，20A，20B，20C，20D：中继装置

21：控制单元

22：UI单元

23：第一通信IF单元

24：第二通信IF单元

25：存储单元

26：总线

211：数据包处理单元

212：结构化重叠处理单元

213：VPN处理单元

214：路径管理单元

251：PR表格

252：路径表格

253：路径记录

254：路径缓存

255：加密密钥

30，30A，30B，30C，30D：LAN

Claims (4)

1.一种中继装置，该中继装置使用VPN(虚拟专用网)与另一个中继装置连接并且对与该中继装置连接的通信终端和与另一个中继装置连接的通信终端之间的通信进行中继，该中继装置包括：

重叠构造构件，用于通过与其它中继装置的连接来构造结构化重叠、并且使用该结构化重叠来在构成该结构化重叠的中继装置之间对路径数据库进行分布式管理，在该路径数据库中，指出各个中继装置的全局地址的信息与指出各个中继装置所连接的通信终端的专用地址的信息相关联；

第一接收构件，用于接收通信数据，该通信数据从与该中继装置相连的通信终端发送、并且包括指出作为通信数据目的地的通信终端的专用地址的目的地信息；

指定构件，用于通过参照分布式管理的路径数据库来指定与第一接收构件接收到的通信数据的目的地信息所表示的专用地址相对应的全局地址；

第二发送构件，用于将第一接收构件接收到的通信数据发送到被设置了由指定构件指定的全局地址的另一个中继装置；

第二接收构件，用于接收从该另一个中继装置发送来的通信数据；

第一发送构件，用于将由第二接收构件接收到的通信数据发送到与由通信数据的目的地信息指出的专用地址相对应的通信终端；

登记构件，用于当所述中继装置加入到与所述另一个中继装置相连的网络时，在路径数据库中登记与除了路径数据库中包含的网络地址之外的网络地址有关的信息，以便参照分布式管理的路径数据库将该信息与所述中继装置的全局地址关联起来，其中，所述登记构件确定作为要被登记的网络地址的候选对象的暂定地址，使用该暂定地址作为检索关键词来对采用结构化重叠分布式管理的路径数据库进行查询有关所述暂定地址相应的全局地址，并且当作为对查询的响应而被告知了相应的全局地址时，所述登记构件改变所述暂定地址，而当作为对查询的响应而没有被告知相应的全局地址时，所述登记构件将该网络地址登记在路径数据库中作为对应于所述中继装置的网络地址；和

分配构件，用于将与登记构件所登记的信息相关的网络地址中所包含的专用地址分配给与所述中继装置相连的通信终端。

2.按照权利要求1所述的中继装置，其中，

第二发送构件在发送通信数据的时候用特定的加密密钥对通信数据进行加密，

第一发送构件对由第二接收构件接收到的通信数据进行解密、并且将通信数据发送到与通信数据的目的地信息相关的通信终端，并且

第二发送构件在将通信数据发送给构造结构化重叠的任何其它中继装置的时候用公用加密密钥对通信数据进行加密。

3.按照权利要求1或2所述的中继装置，还包括：

临时存储构件，用于将信息临时存储给定时段，在该信息中，指定构件所指定的另一个中继装置的全局地址与用于指定全局地址的通信终端的专用地址的相关信息相关联，其中

第二发送构件参照临时存储构件中存储的信息，并且在所存储的信息包括与第一接收构件接收到的通信数据的目的地信息所指出的专用地址相关联的全局地址的时候，该第二发送构件将由第一接收构件接收到的通信数据发送到设置了该全局地址的另一个中继装置。

4.按照权利要求1或2所述的中继装置，其中

与分布式管理的路径数据库中的通信终端的专用地址相关的信息指出包括专用地址的网络地址，

中继装置还包括存储构件，用于存储前缀规则表格，该前缀规则表格指出通信终端的专用地址与网络地址之间的对应关系，并且

指定构件通过参照存储构件中所存储的前缀规则表格和分布式管理的路径数据库来指定与第一接收构件接收到的通信数据的目的地信息中的专用地址相对应的全局地址。