JP2001057572A - アクセスルーティング方法及びアクセス提供システム - Google Patents

Abstract

(57)【要約】 【課題】 ゲストがゲストステーションを外部ネットワ
ークに簡単につないで即時にＩＰ接続ができるように、
ゲストステーションをホストする際の問題点を解決す
る。 【解決手段】 ゲストステーションから、元のソースＩ
Ｐアドレス及びデスティネーションＩＰアドレスを有す
る元の出力ＩＰパケットをインターセプトし、そのゲス
トのＩＰアドレスをホスト側組織に属するｃ／ｏ（care
-of）アドレスで置換する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はインテリジェントル
ータに係り、特に、ローカルネットワーク上の外部すな
わちゲストステーションにインターネットアクセスを提
供するのに用いられるルータに関する。本発明は、特
に、ルーティング装置として作用するコンピュータシス
テム、ルーティングの方法、未知のＩＰコンフィグレー
ションを有するコンピュータからのＩＰパケットをイン
ターセプト（横取り）する方法、インターセプトされた
ＩＰトラフィックをローカルネットワークコンフィグレ
ーションに適応させる方法、悪意のあるゲストコンピュ
ータからローカルネットワークを保護する方法、ネット
ワークインタフェース、及び、ゲストステーションにＩ
Ｐネットワークアクセスを提供するのに適したコンピュ
ータプログラム製品に関する。

【０００２】

【従来の技術】説明を明確にするため、ここで、いくつ
かの背景情報を提供する。まず、デジタルコンピュータ
について説明した後、コンピュータシステム及びコンピ
ュータプログラム製品について説明し、さらにその後、
コンピュータ通信及びネットワークについて説明する。

【０００３】これら基礎情報を提供した後で、ネットワ
ーキング及びポータブルデバイスに関する課題について
説明する。関連技術の説明を終わると、この課題に対す
る従来の解決法について説明する。

【０００４】［デジタルコンピュータ］デジタルコンピ
ュータは、科学、工業、及び商業の分野における多くの
変化を可能にしている。今日では、多くのビジネスは、
実際に使える情報システムの助けなしには機能し得な
い。多くの専用（特殊目的）及び汎用のコンピュータが
知られている。

【０００５】単純な汎用デジタルコンピュータのブロッ
ク図を図１に示すが、この図は、提供される機能に応じ
て、専用デジタルコンピュータにも等しく関係する。参
照符号１０は、汎用デジタルコンピュータを示す。この
ようなコンピュータは、中央処理装置（ＣＰＵ）１００
を有する。メインメモリ１１０はＲＡＭであるとしてよ
い。この単純化された図におけるコンピュータは、ただ
１つのＩ／Ｏプロセッサ１２０を有する。Ｉ／Ｏプロセ
ッサ１２０は、Ｉ／Ｏデバイス１３０を制御する。Ｉ／
Ｏデバイス１３０には、ディスプレイ、キーボード、プ
リンタ、ディスクドライブ、マウス、及び、イーサネッ
ト（登録商標）カードなどのようなネットワークアダプ
タ１４０がある。なお、この図は単なる説明のためだけ
のものであり、本発明を限定することは全く意図してい
ないことは理解されるであろう。

【０００６】ＣＰＵ１００は、制御ユニット、ＡＬＵ、
及びレジスタを有する。制御ユニットは、メインメモリ
１１０から命令をフェッチし、そのタイプを判定する。
ＡＬＵは、その命令を実行するのに必要な加算や論理Ａ
ＮＤのような演算を実行する。ＣＰＵ１００のレジスタ
は、一時的な結果及びいくつかの制御情報を格納するた
めに使用される小さい高速のメモリである。レジスタに
はそれぞれ、ある特定の機能が指定されることも可能で
あり、あるいは、汎用レジスタであることも可能であ
る。レジスタの１つにプログラムカウンタＰＣがある。
プログラムカウンタＰＣは、実行される次の命令を指
す。また、命令レジスタＩＲがあり、これは現在実行さ
れている命令を保持する。

【０００７】ＣＰＵ１００、メインメモリ１１０、及び
Ｉ／Ｏプロセッサ１２０がバスによって相互接続されて
いることは理解されるであろう。これらの相異なるユニ
ット間の通信はバスを通じて行われる。もちろん、ネッ
トワークアダプタ１４０やその他の任意のＩ／Ｏデバイ
ス１３０は、Ｉ／Ｏプロセッサなしで機能するように設
計され、代わりに、その他のメインモジュールによって
同じバスに接続されるように設計されてもよい。さら
に、複数のディスプレイ、複数のネットワークアダプタ
１４０などを有することも可能である。

【０００８】このように、デジタルコンピュータは、デ
ジタルモジュールを相互接続したものと見ることができ
る。ＣＰＵ１００内にいくつかのモジュールがあり、ま
た、ＣＰＵ、メインメモリ１１０、及びＩ／Ｏプロセッ
サ１２０自体もモジュールと見なすことができる。さら
に大きいスケールでは、これらのコンポーネントがすべ
ての同じコンテナに含まれるとき、このコンテナを１つ
のモジュールと考えることが可能であり、さまざまなＩ
／Ｏデバイス（ディスプレイやキーボードなど）自体は
モジュールであると見ることができる。

【０００９】［コンピュータシステム及びコンピュータ
プログラム製品］本明細書では、「コンピュータシステ
ム」という用語は、少なくともメモリ及びプロセッサを
含むものと考える。一般に、メモリは、いろいろなとき
に、実行可能プログラムコードの少なくとも一部を格納
し、プロセッサは、その実行可能プログラムコードに含
まれる１つまたは複数の命令を実行する。理解されるだ
ろうが、「実行可能プログラムコード」という用語及び
「ソフトウェア」という用語は、この説明の目的ではほ
ぼ同じものを意味する。この説明では、メモリとプロセ
ッサは必ずしも物理的に同じ場所に位置する必要はな
い。すなわち、プロセッサとメモリは、異なる物理的装
置にあることが可能であり、地理的に異なる場所にある
ことさえ可能である。

【００１０】次に、「コンピュータプログラム製品」と
いう用語について説明する。実際的なレベルでは、コン
ピュータシステムが所望のオペレーションを実行するこ
とを可能にするソフトウェアは、さまざまな媒体（メデ
ィア）で供給可能である。さらに、コンピュータオペレ
ーションの現実の実装は実際にはプログラミング言語で
書かれた文（ステートメント）であることも可能であ
る。このようなプログラミング言語ステートメントは、
コンピュータによって実行されると、コンピュータを、
そのステートメントの個々の内容に従って作用させる。
さらに、コンピュータシステムが所定の方式で作用する
ことを可能にするソフトウェアは、オリジナルソースコ
ード、アセンブリコード、オブジェクトコード、機械
語、これらのものを圧縮または暗号化したバージョン、
及び以上のものの均等物を含むさまざまな形式で提供可
能であり、また、これらには限定されない。

【００１１】当業者には認識されるだろうが、本明細書
で用いられる「媒体」、あるいは「コンピュータ読取り
可能媒体」には、ディスケット、テープ、コンパクトデ
ィスク、集積回路、ＲＯＭ、ＣＤ、カートリッジ、通信
回線を通じてのリモート伝送、あるいは、コンピュータ
によって使用可能なその他の同様の媒体が含まれる。例
えば、コンピュータシステムが所定の方式で動作するこ
とを可能にするソフトウェアを供給するために、供給者
は、ディスケットを提供することも可能であり、あるい
は、衛星伝送を通じて、直接の電話リンクを通じて、ま
たはインターネットを通じて、何らかの形式でそのソフ
トウェアを送信することも可能である。このように、
「コンピュータ読取り可能媒体」という用語は、上記の
ものすべて、及び、ソフトウェアがコンピュータに提供
されることが可能なその他の任意の媒体を含むことを意
図している。

【００１２】コンピュータシステムが所定の方式で動作
することを可能にするソフトウェアは、ディスケットに
「書き込まれ」、集積回路に「格納され」、あるいは通
信回線を「伝送され」ることが可能であるが、認識され
るように、本発明の目的には、コンピュータが使用可能
な媒体は、ソフトウェアを「有する」ということにす
る。このように、「有する」という用語は、ソフトウェ
アがコンピュータ使用可能媒体と関連づけられる上記及
びすべての均等な方法を含むことを意図している。従っ
て、簡単のため、「プログラム製品」という用語は、コ
ンピュータシステムが所定の方式で動作することを可能
にするソフトウェアを任意の形式で有する、上記で定義
したようなコンピュータ使用可能媒体を指すために使用
される。

【００１３】［ユーザインタフェース］ユーザインタフ
ェースは、実行中のプログラムによって呼び出し可能で
ある。ユーザインタフェースは、ユーザがコンピュータ
システムと相互作用することを可能にする任意のハード
ウェア、ソフトウェア、またはハードウェアとソフトウ
ェアの組合せを意味するものとする。ほとんどのプログ
ラムは、例えば、ユーザに対するグラフィカルインタフ
ェース、コマンドラインインタフェース、制御インタフ
ェース（ＣＯＲＢＡ、ＪＡＶＡ−ＲＭＩ、ＤＣＥあるい
はその他のプロトコルに基づく）などの、さまざまなタ
イプの多くのインタフェースを有する。ここで、認識さ
れるように、「ユーザインタフェース」という用語は、
これらをすべてまとめたものを意味する。

【００１４】この説明の目的では、ユーザインタフェー
スは、１個以上のユーザインタフェースオブジェクトを
含むものと考える。ユーザインタフェースオブジェクト
には、表示領域、ユーザ活性化可能領域などがある。

【００１５】よく知られているように、表示領域は、ユ
ーザに対して情報を表示するユーザインタフェースの領
域である。ユーザ活性化可能領域は、ボタンやメニュー
のように、ユーザがユーザインタフェースに関して何ら
かのアクションを起こすことを可能にするユーザインタ
フェースの領域である。

【００１６】ユーザインタフェースは、アプリケーショ
ンプログラムによって呼び出されることが可能である。
アプリケーションプログラムがユーザインタフェースを
呼び出すときは、一般に、ユーザと相互作用するためで
ある。しかし、本発明の目的では、必ずしも現実のユー
ザが常にユーザインタフェースと相互作用する必要はな
い。また、本発明の目的では、ユーザインタフェースと
の相互作用は、必ずしも現実のユーザによって実行され
る必要はない。すなわち、予想されるように、ユーザイ
ンタフェースは、ユーザインタフェースに関するユーザ
のアクションをシミュレートするマクロプログラミング
言語ステートメントを用いて作成されたプログラムのよ
うな別のプログラムとの相互作用を有することも可能で
ある。

【００１７】［コンピュータネットワーキング］図２
に、図１に示すタイプのいくつかのコンピュータがネッ
トワークで互いに接続されたものを示す。具体的には、
コンピュータ２１０、２２０、２３０、及び２４０が第
１のネットワーク２００に参加している（第２のネット
ワークについては後述する）。図２に示す構成におい
て、第１のネットワーク２００に接続されたコンピュー
タ２１０〜２４０はすべて互いに通信することができ
る。コンピュータ２１０〜２４０は、ネットワーク２０
０に参加するステーションともいう。さらに、コンピュ
ータ２１０〜２４０は通常、第１のネットワーク２００
に参加しており、ネットワーク２００の「レギュラース
テーション」あるいは「レギュラーマシン」ということ
もある。

【００１８】図３に、第１のネットワーク２００及び第
２のネットワーク３００を示す。第２のネットワーク３
００は、いくつかのレギュラーステーション３１０、３
２０、３３０、及び３４０を有する。図３に示すステー
ション３１０〜３４０はそれぞれ、図１に示したような
デジタルコンピュータ１０とすることが可能である。ス
テーション３１０〜３４０はすべて、第２のネットワー
ク３００により互いに通信することができるが、図３に
示す構成では、第１のネットワーク２００のステーショ
ン２１０〜２４０のいずれとも通信することはできな
い。この理由は、ネットワーク２００とネットワーク３
００の間に相互接続がないためである。

【００１９】ステーション２１０〜２４０及び３１０〜
３４０のすべてを単一の大きいネットワーク上に置くこ
とも可能ではあるが、これが常に好ましいとも可能であ
るとも限らない。ネットワーク間の通信を行う一般的な
解決法は、それらのネットワークを別々に保ちながら、
互いに通信が可能であるような何らかの接続をそれらの
ネットワークの間に設けることである。

【００２０】図４に、第１のネットワーク２００及び第
２のネットワーク３００を、より概念的に示す。具体的
には、特定のトポロジー（図２及び図３に示すような）
ではなくインターネットワーキングの概念に注目するの
を助けるように、ネットワーク２００及び３００は、図
４では破線のかたまりで表されている。第３のネットワ
ーク４００及びそのレギュラーステーション４１０、４
２０、４３０、及び４４０も示されている。

【００２１】図５は、図４と似ているが、３個のネット
ワーク２００、３００、４００はネットワーク５００に
接続され、ネットワーク５００は、ネットワーク２００
〜４００を相互接続するネットワークと見なすことがで
きる。特に、ネットワーク５００は、インターネットワ
ークと呼ぶことができる。第１のネットワーク２００
は、アクセスステーション５０２を通じてインターネッ
トワーク５００に接続される。第２のネットワーク３０
０は、アクセスステーション５０３を通じてインターネ
ットワーク５００に接続される。第３のネットワーク４
００は、アクセスステーション５０４を通じてインター
ネットワーク５００に接続される。インターネットワー
ク５００は、任意のサイズのネットワークとすることが
可能であり、スイッチングノードを含むことも可能であ
る。実際、インターネットワーク５００は、インターネ
ットの場合のように、多くの中間ネットワークを含むこ
とも可能である。

【００２２】次に、ネットワーク２００〜４００とイン
ターネットワーク５００がどのように動作するかについ
ての簡単な説明をする。

【００２３】［コンピュータ通信］最も単純な形式で
は、コンピュータの間の通信は、何らかの形式のポイン
トツーポイント伝送媒体によって直接に接続された２つ
のデバイス間で行うことが可能である。しかし、多くの
場合、２つのデバイスが直接にポイントツーポイント接
続されることは実際的でない。デバイスどうしが遠く離
れていて２つのデバイス間に専用リンクを設定すること
が高価すぎる場合、あるいは、デバイスのセットがあ
り、各デバイスがさまざまなときに他の多くへのリンク
を必要とする場合、コンピュータネットワーキングが解
決法となる。

【００２４】個々のステーション２１０〜２４０、３１
０〜３４０、及び４１０〜４４０は、ユーザ、あるいは
マシンともいう（他の用語も同様に使用可能である）。
ステーションは、通信する任意のタイプのデジタルコン
ピュータであり、すべて、アクセスノードと通信する。

【００２５】通信ネットワークでは、データは、ソース
からデスティネーションへ、一連の中間ノードを通って
転送される。これらのノードは、データの内容には関知
しないが、データがデスティネーションに到達するまで
ノードからノードへデータを移動させる転送ファシリテ
ィを提供するために存在する。ネットワークの１つの種
類に、回線交換ネットワークがある。回線交換ネットワ
ークでは、ネットワークのノードを通じて２つのステー
ション間に専用の通信路が確立される。中間ノードの間
の各リンク上で、論理チャネルがそのコネクションに占
有される。

【００２６】もう１つの種類のネットワークは、蓄積交
換ネットワークである。これは、本明細書では、パケッ
トネットワークともいう。パケットネットワークでは、
ネットワークを通るパスに沿った伝送容量を占有する必
要はない。その代わりに、データは、パケットという小
断片の列として送出される。各パケットは、ネットワー
クを通ってノードからノードへ渡される。関与するノー
ドは、まず、パケットを受け取り、それをメモリに格納
し、出力ネットワークインタフェースを決定するために
自己のフォワーディングテーブルを参照し、そのインタ
フェースを通じて次のホップへパケットを送る。フォワ
ーディングテーブルは、ＲＩＰやＯＳＰＦのようなルー
ティングプロトコルによって定期的に計算される。パケ
ットネットワークは一般にコンピュータ間通信に使用さ
れる。

【００２７】ソースコンピュータ（ソース（送信元）ス
テーション）からネットワークを通りデスティネーショ
ンコンピュータ（デスティネーション（宛先）ステーシ
ョン）までの通信を行うためには、コンピュータシステ
ム間の非常に高度な協力が要求される。このような協力
動作のためのコンピュータ間の情報交換も、コンピュー
タ通信と考えられる。同様に、複数のコンピュータが通
信ネットワークを通じて相互接続されているとき、コン
ピュータステーションのセットは一般にコンピュータネ
ットワークと呼ぶことができる。

【００２８】プロトコルは、コンピュータ間でのデータ
の交換を支配する規則のセットを指すと見なすことがで
きる。２つのコンピュータが互いに通信しているときに
は、同時に多くの異なるプロトコルが動作していること
もある。実際、コンピュータ間のさまざまな通信をすべ
て実現する構造化されたプロトコルのセットは、コンピ
ュータ通信アーキテクチャと呼ばれる。周知のコンピュ
ータ通信アーキテクチャの一例は、開放型システム間相
互接続（ＯＳＩ）モデルである。もう１つの例はＳＮＡ
（Systems Network Architecture）である。さらにもう
１つの例はＴＣＰ／ＩＰであり、インターネットに関係
する。

【００２９】パケット（すなわち蓄積交換）ネットワー
クでは、アドレシング及びルーティングが重要な問題で
ある。パケットネットワークの主要な機能は、その最低
レベルでは、ソースステーションからパケットを受け取
り、そのパケットをデスティネーションステーションへ
配送することであると考えられる。ソースからデスティ
ネーションまでの複数の経路が一般に可能であるため、
ルーティング機能が実行されなければならない。ある特
定のノードにおいてパケットの経路を選択することがル
ーティングの機能であると考えられる。ルーティングソ
フトウェアと、そのルーティングソフトウェアによって
計算された経路に従ってネットワーク間でパケットを転
送するハードウェアとを備えた装置をルータという。注
意すべき点であるが、小規模のルータの場合、経路を手
動で設定して、ルーティングソフトウェアが無効化され
ることもある。

【００３０】図６に、第１のネットワーク２００と第２
のネットワーク３００の間に接続されたルータ６００を
示す。ルータは以下のように動作する。ステーション２
１０が、ステーション３１０を宛先とするパケットを送
信すると仮定する。ソースステーション２１０は、例え
ば図１に示すようなデジタルコンピュータ１０であり、
ネットワークアダプタ１４０を通じてネットワーク２０
０へパケットを送信する。ルータ６００には、２個のネ
ットワークアダプタ１４０が設定される。第１のネット
ワークアダプタは第１のネットワーク２００に参加し、
第２のネットワークアダプタは第２のネットワーク３０
０に参加する。ルータ６００は、ステーション２１０が
送信したパケットを受信する。ルータは、そのデスティ
ネーションのアドレスがステーション３１０であること
を認識する。ルータ６００はメモリ内にいくつかのテー
ブルを保持しており、これらのテーブルは、デスティネ
ーションステーション３１０が第１ネットワーク２００
に参加しているレギュラーステーションではないことを
示す情報を含む（これらのテーブルは、フォワーディン
グテーブル、あるいは、ルーティングテーブルと呼ばれ
るが、手動で設定されるか、または、ＲＩＰやＯＳＰＦ
のようなルーティングプロトコルによりルーティングソ
フトウェアによって自動的に計算される）。受信したパ
ケットが、第１のネットワーク２００に参加していない
ステーション宛のものであると判定すると、ルータ６０
０は、その第２のネットワークアダプタ１４０を通じて
第２のネットワーク３００へパケットを送信する。パケ
ットは、デスティネーションステーション３１０によっ
て、そのネットワークアダプタ１４０を通じて受信され
る。

【００３１】同じパケットがソースステーション２１０
によって送信されたがステーション２２０がデスティネ
ーションステーションとして指定された場合、ルータ
は、そのフォワーディングテーブルから、ステーション
２２０は第１のネットワーク２００のレギュラーステー
ションであると判定し、そのパケットのコピーを第２の
ネットワーク３００には送信しない。

【００３２】理解されるだろうが、パケットネットワー
クの一例は、（一般のネットワークのネットワークとし
ての）インターネット(an internet)である。このイン
ターネット(internet)の特別の例が（世界規模のネット
ワークとしての）インターネット(the Internet)であ
る。本明細書では一般に、これらの２つは交換可能であ
り、区別なしに「インターネット」という。以下の説明
は、（世界規模のネットワークとしての）インターネッ
ト(the Internet)に限定することを意図していないが、
（世界規模のネットワークとしての）インターネット(t
he Internet)がほとんどの例で用いられる。また、「デ
ータパケット」あるいは「データのパケット」という用
語は、「データグラム」と入れ替えて使用可能である。

【００３３】図５に戻って、認識されるように、アクセ
スノード５０２、５０３、及び５０４は、ルータ６００
として動作するように装備されたデジタルコンピュータ
１０とすることが可能である。また、ルータは、複数の
ネットワークに所定の方式で参加することが可能なデジ
タルコンピュータ１０であることは理解されるであろ
う。ルータ６００は、そのコンピュータ命令に従って所
定のルーティング動作を実行するように設定されたコン
ピュータシステムである。

【００３４】インターネットパケットは、デスティネー
ションのロケーションに配送されるために、デスティネ
ーションアドレスを有していなければならない。これに
関して、名前とアドレスを区別しなければならない。名
前は、アドレスが関係するエンティティを示す。すなわ
ち、アドレスは、名前を有することが可能なエンティテ
ィのロケーションを示す。ＩＰ(Internet protocol)
は、主にアドレスを扱うプロトコルである。

【００３５】上記のＯＳＩモデルには、７つの層（レイ
ヤ）、すなわち、物理層、データリンク層、ネットワー
ク層、トランスポート層、セッション層、プレゼンテー
ション層、及びアプリケーション層がある。トランスポ
ート層は、エンドポイント間での信頼性の高い透過的
（トランスペアレント）なデータの転送を提供する。ま
た、エンドツーエンドで誤り回復及びフロー制御も提供
する。インターネットに一般に関連する２つの異なるト
ランスポートレベルのプロトコルがある。これらの２つ
のプロトコルは、コネクション型のトランスミッション
コントロールプロトコルＴＣＰ(transmission control
protocol)と、コネクションレス型のユーザデータグラ
ムプロトコルＵＤＰ(user datagram protocol)である。
ＴＣＰは、インターネットの主要なトランスポートプロ
トコルである。

【００３６】インターネットワーク５００（以下、イン
ターネット（the Internet）のみに限定されないという
理解のもとに、これをインターネットという）は、ネッ
トワーク層でＩＰを使用し、その上に、ＴＣＰ、ＵＤＰ
及びＩＣＭＰのような他の上位層プロトコルを実装す
る。ＩＰを使用するネットワークをＩＰネットワークと
いう。従って、インターネット５００はＩＰネットワー
クである。また、ネットワーク２００、３００、及び４
００もＩＰを使用すると仮定する。

【００３７】ＴＣＰは、ＯＳＩモデルのトランスポート
層にほぼ対応し、ＩＰはネットワーク層にほぼ対応する
と考えられる。ＩＰは、ソースからデスティネーション
へパケットをルーティングすることに関与し、コネクシ
ョンレス型であるが、ＴＣＰはコネクション型である。

【００３８】理解すべきもう１つのプロトコルはＩＣＭ
Ｐ(Internet control message protocol)である。ＩＣ
ＭＰは、ＩＰとともに動作し、同じくネットワーク層に
関連する。ＩＰはコネクションレス型であるため、発信
側にメッセージやエラーを中継する方法がない。ＩＣＭ
Ｐは、ＩＰのためにこのような機能を実行する。ＩＣＭ
Ｐは、ステータスメッセージ及びエラーメッセージを送
信側ステーションに送る。ＩＣＭＰメッセージはＩＰを
用いて運ばれる。ＩＰネットワークにおいて重要なさら
にもう１つのプロトコルはアドレス解決プロトコルＡＲ
Ｐ(address resolution protocol)である。ＩＰ及びＩ
ＣＭＰとは異なり、ＡＲＰはリンク層にある。ＡＲＰ
は、ＩＰアドレスを、ネットワークインタフェースのハ
ードウェアアドレスにマッピングする。具体的には、Ａ
ＲＰは、ローカルリンク上でＩＰ／ハードウェアアドレ
スの対応に関して動的に通知及び問合せを行うために使
用される。ＴＣＰ／ＩＰはレイヤ３以上で動作するた
め、それより低いレベルのエンティティであるボードと
インタフェースする機構を必要とする。ネットワークイ
ンタフェースの一意的なレイヤ３アドレス（すなわちＩ
Ｐアドレス）は、それ自体では、物理的なネットワーク
インタフェースカードを識別しない。ＩＰアドレスとデ
ータリンク（すなわちハードウェア）アドレスを関連づ
ける機構が要求される。ＡＲＰはこれを行う。ＡＲＰに
ついては後でさらに詳細に説明する。

【００３９】ＴＣＰ及びＵＤＰについては既に言及し
た。ＴＣＰ及びＵＤＰのアドレス可能なエンドポイント
をポートという。ＴＣＰ及びＵＤＰは、ウェルノウン
（周知の）ポートに割り当てられたアプリケーション
と、動的に割り当てられるポートを使用するアプリケー
ションを有する。これらのポートはエンドポイントであ
り、論理コネクションを作成するためにアドレス可能な
エンティティである。これらをサービス契約ポートとい
う。これらは、特定のサービスのリクエスタ（要求者）
にサービスを提供することが可能であるからである。ポ
ート番号は一般に変化しない。通信エンドポイントアド
レスは、ＩＰアドレスと、ＩＰアドレスの終わりに付加
されたポート番号との組合せである。

【００４０】ＩＰネットワークに参加する各ステーショ
ンは、３２ビットのＩＰアドレスで識別される。ＩＰア
ドレスは、３２ビットの固定長である。１つのアドレス
は、ネットワーク番号で始まり、その後にローカルホス
トアドレスが続く。インターネットアドレスのいくつか
のクラスが定義されている。ＩＰネットワークの可能な
異なるサイズを考慮するために、ＩＰアドレスのいくつ
かのクラスが提供されている。インターネット（すなわ
ち全世界ネットワーク）は、アドレシングに関して、内
部インターネット（例えば企業内ネットワーク）とは異
なる考慮点を有する。

【００４１】図７に、ＩＰパケットヘッダを示す。ＩＰ
パケットは周知であるが、以下、いくつかのフィールド
について簡単に説明する。送信元アドレスフィールド
は、パケットの発信者を示し、長さは３２ビットであ
る。あて先アドレスは、パケットのターゲットである。
送信元アドレスと同様に、その長さは３２ビットであ
る。「ｔｔｌ」で示されるフィールドは、time-to-live
（生存時間）フィールドである。このフィールドは、パ
ケットがインターネットシステムにとどまることが許さ
れる最大時間を示す。この値が０に等しくなると、パケ
ットは破壊または廃棄される。時間は秒単位で測定さ
れ、また、パケットを処理する各エンティティは、たと
えその処理時間が１秒未満であっても、その値を１だけ
減らさなければならない。プロトコルフィールドは、受
信機側でＩＰパケットのワークロードに含まれるデータ
を処理すべき上位レベルプロトコルエンティティを決定
する。このような上位レベルプロトコルの例は、ＴＣＰ
及びＵＤＰである。チェックサムフィールドは、ヘッダ
のみのチェックサムを提供するように計算されるフィー
ルドである。

【００４２】次に、ドメインネームサービス（ＤＮＳ）
について説明する。ＤＮＳの目的は、人間が読取り可能
なコンピュータ名（例えば、castor.nec.com）を、ＩＰ
プロトコルによって使用されることが可能な対応するＩ
Ｐアドレス（例えば、１４０．２０．２０．４）に変換
することである。

【００４３】ＤＮＳは、木の形の階層構造である。木の
頂点にはルートサーバがあり、これは、自分及びその直
下のトップレベルドメインに関する情報を含む。一般的
なトップレベルドメインには、.gov、.edu、.com、及
び.orgがある。

【００４４】ＤＮＳのもとでは、ドメイン名は、最後に
トップレベルドメインを有する名前の列である。ドメイ
ン名の各部分をラベルという。例えば、dept.company.c
omは、dept、company、及びcomという３つのラベルを有
する。ネームサーバは、ホスト、ステーションあるいは
ノード上で動作する、名前をＩＰアドレスに変換するプ
ログラムである。ネームサーバは、ドメイン名をＩＰア
ドレスにマッピングすることによってこれを行う。ネー
ムサーバは、ネームサーバソフトウェアを実行する専用
プロセッサであることも、そうでないことも可能であ
る。ネームリゾルバは、ネームサーバとの相互作用に関
してはクライアントとして機能するソフトウェアであ
る。ネームキャッシュは、頻繁に使用される名前情報を
格納するためにネームリゾルバによって使用される記憶
領域である。

【００４５】ドメインシステムは、すべてのデータが、
そのドメインシステムを使用するホストを通じて散布さ
れるマスタファイルを起源とすると仮定する。これらの
マスタファイルは、ローカルシステム管理者によって更
新される。マスタファイルは、ローカルネームサーバに
よって読み取られるテキストファイルであり、従って、
ネームサーバを通じてＤＮＳのユーザに利用可能とな
る。ユーザプログラムは、リゾルバを通じてネームサー
バにアクセスする。一般に、ユーザプログラムは、ロー
カルリゾルバを通じてＤＮＳにアクセスする。リゾルバ
の視点から見ると、ＤＮＳは未知の個数のネームサーバ
を含む。各ネームサーバは、全体のドメインツリーの一
部である。リゾルバは、これらのＤＮＳサーバのそれぞ
れと、ほぼ静的な対応するデータベースとを見る。ネー
ムサーバの視点から見ると、ＤＮＳは、ゾーンと呼ばれ
るローカル情報のいくつかのセットからなる。ネームサ
ーバは、いくつかのゾーンのローカルコピーと、他のＤ
ＮＳサーバ（他のゾーンを受け持つ）への参照とを有す
る。ＤＮＳサーバは、与えられた名前をローカルに保持
するデータベースから解決することができない場合、そ
の名前が属するゾーンを受け持つＤＮＳサーバに問合せ
を転送する。

【００４６】［レギュラーステーション、レギュラーネ
ットワーク］次に、ステーション２１０のようなレギュ
ラーステーションが自己のレギュラーネットワーク（す
なわち、第１のネットワーク２００）に接続されるとき
に起こることについて考える。まず、ステーション２１
０は、次ホップのルータまたはゲートウェイと、ホーム
ネットワークセグメントに属する他のマシンのハードウ
ェアアドレスを見つけなければならない。これを行うた
め、ステーション２１０は、ＡＲＰ要求を送出する。

【００４７】このレギュラー（通常）構成のもとでの動
作の例について、図１７を参照して説明する。簡単のた
め、ソースステーション（送信側ステーション）は、図
５に示すようにネットワーク２００に接続されたステー
ション２１０であり、ステーション２１０は、図１に示
すようにただ１つのネットワークアダプタ１４０（例え
ば、１個のイーサネットカード）を有すると仮定する。

【００４８】ステーション２１０は、手動で、自己のＩ
Ｐアドレス（例えば、１３８．１５．１０３．２１）、
ネットマスク（例えば、２５５．２５５．２５５．
０）、及び、ルータ５０２に関連するゲートウェイＩＰ
アドレス（例えば、１３８．１５．１０３．５２）が設
定されている。これらの設定は、マシンが使用されるネ
ットワーキング環境に特有である。これらのアドレス
は、ローカルシステム管理者によって割り当てられ、ス
テーション２１０〜２４０に入力される。これらは通
常、ステーションがレギュラーネットワークに接続され
ている間は変更されない。

【００４９】ステーション２１０は、ステーション２２
０（そのアドレスは１３８．１５．１０３．２２）にパ
ケットを送信しなければならないと仮定する。

【００５０】まず、ステーション２１０は、デスティネ
ーションステーションと同じセグメントに直接に接続さ
れているかどうかを判定する。ステーション２１０は、
ネットマスクを考慮に入れて、自己のＩＰアドレスを受
信側のＩＰアドレスと比較する（ステップ１７１０）。

【００５１】送信側ステーション２１０は、ＩＰアドレ
ス及びネットマスクを３２ビット値として解釈し、２つ
のＩＰアドレスのうち、ネットマスクの対応するビット
が１であるビットのみを比較する（この例では、これ
は、ＩＰアドレスの最初の２４ビットを比較し、最後の
８ビットは無視することを意味する）。いずれの場合で
も、最初の２４ビットは１３８．１５．１０３である。

【００５２】ステップ１７２０で、マスクされたアドレ
スが等しいか等しくないかを判断する。等しい場合、処
理はステップ１７２５に進む。等しくない場合、処理は
ステップ１７３０に進む。この比較結果では、マスクさ
れたアドレスは等しいと判断されるため、処理はこの例
ではステップ１７２５に進む。

【００５３】ステップ１７２０での判断により、ソース
ステーション２１０とデスティネーションステーション
２２０は同じセグメントに接続されていると推論され
る。従って、このパケットの次ホップは、デスティネー
ションステーション２２０のＩＰアドレスを有するステ
ーションとなる。

【００５４】ＩＰパケットを次ホップ（これはこの例で
はデスティネーションステーション２２０である）に配
送するために、ＩＰホストは、次ホップのハードウェア
アドレス（ＨＷアドレス）を判定しなければならない。
これは、物理伝送媒体に対してパケットをどこへ配送す
べきかについて正しく指示するために、行わなければな
らないことである。ＩＰホストは、次ホップのＩＰアド
レス（すなわち、ステーション２２０のＩＰアドレス）
を知っているが、次ホップのＨＷアドレスはまだ知らな
い。このために、ＩＰホストは、ネットワーク２００上
のあらゆるステーションにブロードキャスト形式で、次
ホップのマシンのＨＷアドレスを問い合わせるＡＲＰメ
ッセージを送出する（ステップ１７２０）。このＡＲＰ
メッセージは、デスティネーションステーション２２０
を宛先の受信機として識別する。

【００５５】次ホップは、ローカルネットワーク２００
に参加しているステーションであるため、このＡＲＰ要
求を受信した後、自己のＨＷアドレスを応答することに
より、次ホップステーションのＨＷアドレスが送信側ス
テーション２１０に提供される。ステップ１７４０で、
ステーション２１０は、ＡＲＰ応答が受信されたかどう
かをチェックする。受信されていない場合、ウェイト期
間に入る（ステップ１７５０）。ウェイトの後、ステッ
プ１７６０で、タイムアウト期間が経過したかどうかを
判定する。タイムアウトが経過していない場合、処理
は、ステップ１７４０に進み、ＡＲＰ応答をもう一度チ
ェックする。タイムアウトが経過した場合、エラーが発
生したと判定する。

【００５６】ＡＲＰ応答が検出されると仮定すると、処
理はステップ１７７０に進む。ＡＲＰ応答が検査され、
次ホップステーションのＨＷアドレスが判定される。

【００５７】ステップ１７８０で、パケットは次ホップ
に送られる（この例ではステーション２２０）。このパ
ケットのデスティネーションＩＰアドレスは１３８．１
５．１０３．２２である。ステーション２２０は、パケ
ットの送り先のＨＷアドレスと一致するＨＷアドレスを
有するため、このパケットを受信する。ステーション２
２０は、このパケットが、デスティネーションアドレス
として、ステーション２２０のＩＰアドレスを有するこ
とを確認する。これにより、ステーション２２０はその
パケットを受け入れる。

【００５８】次に、ステーション２１０がＩＰパケット
を、別のネットワーク上のステーションであるステーシ
ョン３１０に送る場合の例について説明する。ステーシ
ョン３１０のＩＰアドレスは、例として、１４１．２
０．２０．３１である。

【００５９】まず、ステーション２１０は、デスティネ
ーションステーション３１０と同じセグメントに直接に
接続されているかどうかを判定する。ステーション２１
０は、ネットマスクを考慮に入れて、自己のＩＰアドレ
スを受信側のＩＰアドレスと比較する（ステップ１７１
０）。

【００６０】２つのアドレスは、マスクすると、ステー
ション２１０は１３８．１５．１０３であり、ステーシ
ョン３１０は１４１．２０．２０である。ステップ１７
２０で、マスクされたアドレスが等しくないと判断され
るため、処理はステップ１７３０に進む。

【００６１】ステップ１７２０での判断により、ソース
ステーション２１０とデスティネーションステーション
３１０は同じセグメントに接続されていないと推論され
る。従って、このパケットの次ホップは、ルータ（ゲー
トウェイ）５０２である。ルータ５０２のＩＰアドレス
は、既に述べたように、１３８．１５．１０３．５２で
ある。パケットのデスティネーションはステーション３
１０であるが、パケットの次ホップはルータ５０２でな
ければならない。

【００６２】ＩＰパケットを次ホップに配送するため
に、ＩＰホストは、次ホップのＨＷアドレスを判定しな
ければならない。ＩＰホストは、次ホップのＩＰアドレ
ス（すなわち、ルータ５０２のＩＰアドレス）を知って
いるが、次ホップのＨＷアドレスはまだ知らない。この
ために、ＩＰホストは、ネットワーク２００上のあらゆ
るステーションにブロードキャスト形式で、次ホップの
マシンのＨＷアドレスを問い合わせるＡＲＰメッセージ
を送出する（ステップ１７３０）。このＡＲＰメッセー
ジは、ルータ５０２を宛先の受信機として識別する。

【００６３】次ホップは、ローカルネットワーク２００
に参加しているルータであるため、このＡＲＰ要求を受
信した後、自己のＨＷアドレスを応答することにより、
次ホップステーションのＨＷアドレスが送信側ステーシ
ョン２１０に提供される。既に説明したように、ウエイ
トと及びタイムアウトの処理が、ステップ１７４０、１
７５０、及び１７６０で行われる。

【００６４】ＡＲＰ応答が検出されると仮定すると、処
理はステップ１７７０に進む。ＡＲＰ応答が検査され、
次ホップステーションのＨＷアドレス（この例では、ル
ータ５０２のアドレス）が判定される。

【００６５】ステップ１７８０で、パケットは次ホップ
に送られる（この例ではルータ５０２）。このパケット
のデスティネーションＩＰアドレスは１４１．２０．２
０．３１である。ルータ５０２は、パケットの送り先の
ＨＷアドレスと一致するＨＷアドレスを有するため、こ
のパケットを受信する。

【００６６】ルータは、自己のＩＰアドレスがパケット
のデスティネーションＩＰアドレスと一致しないことを
認める。従って、ルータ５０２は、図１７に示す手続き
を実行して、最終受信者へのパスにより次ホップへパケ
ットを転送する。

【００６７】すなわち、ステーション２１０がパケット
をステーション３１０に送ると、パケットはルータ５０
２によって受け取られ、インターネット５００を通じて
送られ、ルータ５０３によって受け取られ、ステーショ
ン３１０に送信される。パケットは、ソースＩＰアドレ
スを、２１０のアドレスであるとして示す。返信時に、
ステーション３１０は、ソースであるとして示されたＩ
ＰアドレスをデスティネーションとするＩＰパケットを
送出する。返信パケットは、ルータ５０３によって受け
取られ、インターネット５００を通じて送られ、ルータ
５０２によって受け取られる。ルータ５０２は、ステー
ション２１０に対応するＩＰアドレスが自己のネットワ
ークに参加しているレギュラーステーションのものであ
るであることを知っている。ルータ５０２は、ネットワ
ーク２００上にパケットを送信し、このパケットはステ
ーション２１０によって受信される。

【００６８】［ゲストステーション、外部ネットワー
ク］ハードウェアに関して、「ゲストマシン」あるいは
「ゲストステーション」という用語は、周知のＩＰ(int
ernet protocol)を用いて通信可能なさまざまなコンピ
ューティング装置あるいはコンピュータのうちの任意の
ものを意味する。ゲストマシンとしては、デスクトップ
コンピュータ、移動可能（ポータブル）コンピュータ、
ラップトップあるいはノートブックコンピュータ、パー
ムトップあるいはハンドヘルドコンピュータ、パーソナ
ルデジタルアシスタントなどが可能である。ゲストマシ
ンとなる可能性のある装置は、単に、ＩＰを用いて通信
可能であればよい。

【００６９】また、「ゲストステーション」は、レギュ
ラーネットワークに接続されていないステーションを意
味する。この状況は、以下で説明するように、さまざま
な理由で生じることがある。

【００７０】しばしば、移動するビジネス旅行者や、ワ
ークショップや会議の出席者は、他のサイトを訪れると
きに、さまざまなポータブルなＩＰ通信可能装置（少な
くともラップトップ）を持ち運ぶ。オンライン株取引、
電子メール及びその他のインターネットサービスが日常
的になっているために、彼らは通常、ホスト側組織から
インターネットにアクセスすることを要求する。そのよ
うな場合、しばしば、ホスト側組織のアナログ電話線の
うちの１つを、ゲストが提供する２８．８Ｋビット／秒
モデムとともに使用して、ゲストのホームネットワーク
に、または公衆のＩＳＰに直接にダイヤルする。この解
決法は、高価で（長距離電話料金）遅い（２８．８Ｋビ
ット／秒）のみならず、しばしば実際的でない（アナロ
グ電話線にアクセスできない場合や、その使用許可がな
い場合）。

【００７１】従って、ホスト側組織がゲストに対して、
ポータブルデバイスをインターネットに接続するため
の、より経済的で容易に使用可能な機構を提供すること
が好ましい。

【００７２】図８に、ゲストステーションが外部ネット
ワークと関与する状況を示す。図８で、ステーション２
１０は、第３のネットワーク４００上のゲストステーシ
ョンである。ステーション２１０は、第１のネットワー
ク２００のレギュラーステーションである。今は、ステ
ーション２１０はネットワーク４００に接続されてい
る。第３のネットワーク４００は、ステーション２１０
のレギュラーネットワークではないため、第３のネット
ワーク４００は、ステーション２１０にとって外部ネッ
トワーク(foreign network)である。従って、ステーシ
ョン２１０の視点から見ると、接続は外部ネットワーク
に対してなされている。第３のネットワーク４００の視
点から見ると、ゲストステーションが接続されている。
実際には、第３のネットワーク４００は、ゲストにＩＰ
接続を提供するホテルや会議センタと見なすことができ
る。このサービスは、ゲストステーションをホストする
サービスと呼ばれ、ネットワーク４００を、ホスティン
グネットワーク（ホストネットワーク）という。

【００７３】

【発明が解決しようとする課題】［ゲストステーション
をホストする際の問題点］ゲストステーションをホスト
する際の一般的な問題点について、図８及び図１７を参
照して、例を挙げて説明する。

【００７４】簡単のため、ソースステーション（送信側
ステーション）は、図８に示すように、レギュラーネッ
トワーク２００ではなく第３のネットワーク４００に接
続されたステーション２１０であり、ステーション２１
０は、図１に示すように、ただ１つのネットワークアダ
プタ１４０（例えば、１個のイーサネットカード）を有
すると仮定する。

【００７５】ステーション２１０は、手動で、自己のＩ
Ｐアドレス（例えば、１３８．１５．１０３．２１）、
ネットマスク（例えば、２５５．２５５．２５５．
０）、及び、ルータ５０２に関連するゲートウェイＩＰ
アドレス（例えば、１３８．１５．１０３．５２）が設
定されている。

【００７６】ステーション２１０は、ステーション２２
０（そのアドレスは１３８．１５．１０３．２２）にパ
ケットを送信しなければならないと仮定する。

【００７７】まず、ステーション２１０は、デスティネ
ーションステーションと同じセグメントに直接に接続さ
れているかどうかを判定する。ステーション２１０は、
ネットマスクを考慮に入れて、自己のＩＰアドレスを受
信側のＩＰアドレスと比較する（ステップ１７１０）。
いずれのマスクされたアドレスも、最初の２４ビットは
１３８．１５．１０３となる。

【００７８】この比較結果では、マスクされたアドレス
は等しいと判断されるため、処理はこの例ではステップ
１７２５に進む。

【００７９】ステップ１７２０での判断により、ソース
ステーション２１０とデスティネーションステーション
２２０は同じセグメントに接続されていると誤って推論
される。従って、このパケットの次ホップは、デスティ
ネーションステーション２２０のＩＰアドレスを有する
ステーションとなる。

【００８０】ＩＰパケットを次ホップ（これはこの例で
はデスティネーションステーション２２０である）に配
送するために、ゲストステーション２１０は、次ホップ
のハードウェアアドレス（ＨＷアドレス）を判定しよう
とする。ステーション２１０は、ネットワーク４００上
のあらゆるステーションにブロードキャスト形式で、次
ホップのマシンのＨＷアドレスを問い合わせるＡＲＰメ
ッセージを送出する（ステップ１７２０）。このＡＲＰ
メッセージは、デスティネーションステーション２２０
を宛先の受信機として識別する。

【００８１】次ホップは、ローカルネットワーク２００
に参加しているステーションではなく、ネットワーク４
００に参加しているいずれのステーションのＩＰアドレ
スも一致しないため、ＡＲＰ要求はネットワーク４００
上のあらゆるステーションによって無視され、いずれの
ステーションもＡＲＰ応答を送信しない。

【００８２】ステップ１７４０で、ステーション２１０
は、ＡＲＰ応答が受信されたかどうかをチェックする。
応答が受信されていないため、結局、エラー状況が存在
すると判定される。ステーション２２０へのパケットは
送信することができない。

【００８３】次に、第３のネットワーク４００に接続さ
れたゲストステーション２１０がＩＰパケットを、別の
ネットワーク上のステーションであるステーション３１
０へ送信しようとする場合の例について説明する。今度
も、ステーション３１０のＩＰアドレスは、例として、
１４１．２０．２０．３１である。

【００８４】まず、ステーション２１０は、デスティネ
ーションステーション３１０と同じセグメントに直接に
接続されているかどうかを判定する。ステーション２１
０は、ネットマスクを考慮に入れて、自己のＩＰアドレ
スを受信側のＩＰアドレスと比較する（ステップ１７１
０）。

【００８５】２つのアドレスは、マスクすると、ステー
ション２１０は１３８．１５．１０３であり、ステーシ
ョン３１０は１４１．２０．２０である。ステップ１７
２０で、マスクされたアドレスが等しくないと判断され
るため、処理はステップ１７３０に進む。

【００８６】ステップ１７２０での判断により、ゲスト
ステーション２１０とデスティネーションステーション
３１０は同じセグメントに接続されていないとゲストス
テーション２１０によって推論される。従って、少なく
ともステーション２１０にプログラムされている内部Ｉ
Ｐ設定によれば、このパケットの次ホップは、ルータ
（ゲートウェイ）５０２である。ルータ５０２のＩＰア
ドレスは、既に述べたように、１３８．１５．１０３．
５２である。パケットのデスティネーションはステーシ
ョン３１０であるが、パケットの次ホップはルータ５０
２であると設定される。

【００８７】ＩＰパケットを次ホップ（これはこの例で
はルータ５０２である）に配送するために、ゲストステ
ーション２１０は、次ホップのハードウェアアドレスを
判定しなければならない。ゲストステーション２１０
は、次ホップのＩＰアドレス（すなわち、ルータ５０２
のＩＰアドレス）を知っているが、次ホップのＨＷアド
レスはまだ知らない。このために、ゲストステーション
２１０は、第３のネットワーク４００上のあらゆるステ
ーションにブロードキャスト形式で、次ホップのマシン
のＨＷアドレスを問い合わせるＡＲＰメッセージを送出
する（ステップ１７３０）。このＡＲＰメッセージは、
ルータ５０２を宛先の受信機として識別する。

【００８８】しかし、このルータは、ネットワーク４０
０に参加していないため、ＡＲＰ応答はステーション２
１０には返ってこない。直前の例の場合と同様に、エラ
ー状況が存在すると判定され、ゲストステーション２１
０からデスティネーションステーション３１０へパケッ
トを送信することができない。

【００８９】ゲストステーション２１０のパケットを送
出するようにルータ５０４をプログラムしておくことが
できるとしても、以下で説明するように、依然として問
題点は残る。

【００９０】ステーション２１０が第３のネットワーク
４００上のゲストであり、ルータ５０４を通じてパケッ
トをステーション３１０へ送信すると仮定する。このパ
ケットは、ネットワーク４００上のルータ５０４によっ
て受信される。ルータ５０４は、図６に示すルータ６０
０のような構成を有することが可能である。ルータ５０
４は、そのネットワークアダプタ１４０の一方を通じて
パケットを受信する。ルータ５０４は、そのルーティン
グテーブルでデスティネーションアドレスをチェック
し、このパケットが、自己のネットワーク４００内のい
ずれのＩＰアドレスにも関係しないデスティネーション
アドレスを有することを認める。ルータ５０４は、他方
のネットワークインタフェース１０４にパケットを送信
する。この時点で、パケットは、ステーション２１０を
ソースＩＰアドレスとし、ステーション３１０をデステ
ィネーションＩＰアドレスとする。

【００９１】パケットは、インターネット５００を通じ
て運ばれ、ルータ５０３に送られる。ルータ５０３は、
ネットワーク３００内にあると予想されるステーション
に対するすべてのパケットを受信するルータであるから
である。ルータ５０３は、このパケットを受信し、自己
のルーティングテーブルから、ステーション３１０のＩ
Ｐアドレスがネットワーク３００上のＩＰアドレスであ
ると判断する。ルータ５０３は、このパケットをネット
ワーク３００上に送信し、ステーション３１０はこれを
受信する。

【００９２】ステーション３１０が返信パケットを送信
するときに、問題の中心が明確になる。ステーション３
１０によって受信されるパケットは、ステーション２１
０をソースＩＰアドレスとする。従って、ステーション
３１０は、返信パケットのデスティネーションとして、
その同じＩＰアドレスを有する返信パケットを送信す
る。ステーション２１０のアドレスをデスティネーショ
ンＩＰアドレスとする返信パケットは、ルータ５０３に
よって受け取られ、インターネット５００上に送られ
る。

【００９３】パケットは、インターネット５００を通じ
て運ばれ、ルータ５０２に送られる。ルータ５０２は、
ネットワーク２００内にあると予想されるステーション
に対するすべてのパケットを受信するルータであるから
である。ルータ５０２は、このパケットを受信し、自己
のルーティングテーブルから、ステーション２１０のＩ
Ｐアドレスがネットワーク２００上のＩＰアドレスであ
ると判断する。ルータ５０２は、このパケットをネット
ワーク３００上に送信するが、ステーション２１０はこ
のネットワークに接続されていない。従って、ステーシ
ョン３１０からステーション２１０への返信パケットは
決してステーション２１０に到達することはない。ステ
ーション２１０は外部ネットワーク４００上のゲストと
して接続されているからである。

【００９４】［ゲストステーションをホストする際の問
題点に対する可能な解決法の説明］ゲストステーション
をホストする際の問題点に対する解決法は、ゲストのデ
バイスに変更を要求するものであるべきではない。これ
には４つの理由がある。第１に、そのような変更をする
ことは、ローカルネットワークポリシー及びＩＰアドレ
スに関する知識を必要とする。第２に、ゲストステーシ
ョンのデバイスを変更することは面倒であり、エラーの
生じやすい作業である。第３に、訪問が終了した後、変
更を元に戻さなければならない。第４に、このような変
更がゲストの装置に及ぼす影響については全く明らかで
あるとはいえない。このような設定変更の後にゲストの
システムのコンポーネントの調子が悪くなると、たとえ
それが全く無関係な理由によるものだとしても、可能性
のある原因や責任について議論が起こり得る。

【００９５】さらに、ゲストステーションをホストする
際の問題点に対する解決法は、ゲストからの悪意のある
攻撃を避けるために、外部ネットワーク（また、自己の
視点から見れば、ホスティングネットワーク）に対する
セキュリティを可能にすべきである。

【００９６】・ＤＨＣＰ ダイナミックホストコンフィグレーションプロトコルＤ
ＨＣＰ(Dynamic HostConfiguration Protocol)の使用
は、外部ネットワーク上でのゲストステーションのサポ
ートのために考慮され得る１つの機構である。しかし、
ＤＨＣＰは、ホストネットワークに対しても、ゲストス
テーションに対しても、セキュリティの点を考慮してい
ないという点で不利である。

【００９７】もう１つの克服しがたいＤＨＣＰの欠点
は、ゲストステーションにおけるサポートを必要とする
ことである。すべてのゲストステーションがＤＨＣＰを
サポートしているわけではなく、特に、最小のＩＰスタ
ックしか有しない古いシステムや単純なデバイスではそ
うである。

【００９８】さらにもう１つのＤＨＣＰの欠点は、各ゲ
ストステーションごとに別々のＩＰアドレスを必要とす
ることである。適当な容量を提供するためには、ホスト
や会議施設は大きいＩＰ番号のプールを取得することが
必要になるが、そのほとんどは一般には未使用のままと
なる。

【００９９】・モバイルＩＰ モバイルＩＰは、ゲストステーションをホストする際の
問題点に対する解決法として考慮され得るもう１つの機
構である。しかし、モバイルＩＰは、各ゲストに対する
ホームエージェントの存在に依存する。このようなホー
ムエージェントは通常、ほとんどのゲストにとって利用
可能でない。

【０１００】予想される単純なＩＰデバイスのほとんど
（例えば、ＩＰペン、ポータブルプリンタ）は、ホスト
側組織の環境だけで働く。ホームエージェントによるモ
バイルＩＰアプローチの場合のように、それらを論理的
にホーム環境に入れることは非効率的である。ゲストユ
ーザにとっては、ゲストステーションのレギュラーネッ
トワークを通って迂回することなく、インターネットサ
ービスのほとんど（すなわち、ＷＷＷの閲覧、電子メー
ルの送信、ｆｔｐ、電子メールを読むためのｔｅｌｎｅ
ｔなど）にアクセスすることができたほうがよい。

【０１０１】・ネットワークアドレス変換 ネットワークアドレス変換ＮＡＴ(network address tra
nslation)はＲＦＣ１６３１に記載されている。ＮＡＴ
の１つのバージョンは、CISCO Systemsの市販製品で利
用可能である。

【０１０２】最も単純な設定では、ネットワークアドレ
ストランスレータ（ＮＡＴ：Network Address Translat
or）は、２つのネットワークどうしを接続するルータ上
で動作する。これらのネットワークの一方（内部として
指定される）は、プライベートアドレスまたは旧式(obs
olete)アドレスでアドレス指定される。これらのアドレ
スは、パケットが他のネットワーク（外部として指定さ
れる）上に転送される前に、正式なアドレスに変換され
る必要がある。変換は、ルーティングとともに動作する
ため、ＮＡＴは、変換が必要なときに、利用者側のイン
ターネットアクセスルータ上で簡単に実行することがで
きる。

【０１０３】ＮＡＴデバイスの使用は、ルータプラット
フォーム上でＲＦＣ１６３１スタイルのネットワークア
ドレス変換を提供する（ＵＲＬ http://info.internet.
isi.edu:80/in-notes/rfc/files/rfc1631.txtを参
照）。ＮＡＴの目標は、プライベートネットワークがあ
たかもグローバルに一意的なアドレスを有しておりＮＡ
Ｔデバイスが存在していないかのような機能を提供する
ことである。市販品では、ＮＡＴは、パケット内のソー
スＩＰアドレス及びデスティネーションＩＰアドレスの
両方の変換を実行することができる。この変換は、ＮＡ
Ｔ機能のあるルータで管理されるアドレス変換テーブル
を用いることによって実行される。

【０１０４】しかし、ＮＡＴは、ゲストステーションを
扱わない。ＮＡＴによる変換は、アドレス変換テーブル
にアドレスが入力されることを必要とする。パケットが
このようなルータによって受信される場合、ソースアド
レスはアドレス変換テーブルに存在せず、変換を行うこ
とができない。従って、ＮＡＴの使用は、ゲストステー
ションのをアドレス変換テーブルに追加するというホス
ト側組織のサポートを要求する。

【０１０５】

【課題を解決するための手段】従って、本発明の目的
は、ゲストがゲストステーションを外部ネットワークに
簡単につないで即時にＩＰ接続ができるように、ゲスト
ステーションをホストする際の問題点を解決することで
ある。もう１つの目的は、外部ネットワークがイーサネ
ットのようなブロードキャストＬＡＮを使用していると
きでもこれを実現することである。本発明のさらにもう
１つの目的は、以前に設定されたポータブルデバイスの
ネットワーク設定（ＩＰアドレス、ネットマスク、次ホ
ップルータ（ゲートウェイ）や、ＤＮＳ(Domain Name S
ervice)の設定など）への変更なしに、上記のことを実
現することである。本発明のもう１つの目的は、ゲスト
ステーションによるホスティングネットワークへの悪意
のある攻撃を防ぐような方法で、即時のＩＰ接続を実現
することである。本発明のもう１つの目的は、ゲストス
テーションに対して、必要であれば、外部ネットワーク
からの悪意のある侵入や攻撃に対するセキュリティを提
供することを可能にするような方法で、上記の接続を実
現することである。さらに、本発明の目的は、大きいＩ
Ｐアドレスのプールを必要とせずに、ゲストステーショ
ンのＩＰアクセスを提供することである。最後に、本発
明の重要な目的は、ゲストステーションからのサポート
なしに、また、ゲストのレギュラーネットワークからの
サポートを期待することなく、ゲストステーションのＩ
Ｐアクセスを提供することである。

【０１０６】本発明による、アクセスルータがＩＰサー
ビスをゲストステーションに提供するアクセスルーティ
ング方法は、前記ゲストステーションから、元のソース
ＩＰアドレス及びデスティネーションＩＰアドレスを有
する元の出力ＩＰパケットをインターセプトするインタ
ーセプトステップと、前記元のソースＩＰアドレスをｃ
／ｏ（care-of）アドレスに関連づける関連づけステッ
プと、前記元の出力ＩＰパケットに基づいて変更された
出力ＩＰパケットに、前記元のソースＩＰアドレスの代
わりに前記ｃ／ｏアドレスを提供するステップと、から
なることを特徴とする。本発明は、一実施形態におい
て、ゲストから送信されるすべてのパケットをインター
セプトして、そのゲストのＩＰアドレスを、ホスト側組
織に属するcare-of（気付）ＩＰアドレスで置換するイ
ンテリジェントルータ（本明細書では、アクセスルータ
ともいう）として実現される。

【０１０７】

【発明の実施の形態】以下の論文は、ここで説明する主
題に関する背景情報を理解するのに有用である。 （１）ISO, "Open Systems Interconnection (OSI) Ref
erence Model", Standard IS7498 （２）R. Droms, "Dynamic Host Configuration Protoc
ol", RFC 2131, IETF,1997 （３）D. Plummer, "An Ethernet Address Resolution
Protocol -or- Converting Network Addresses to 48-b
it Ethernet Address for Transmission on Ethernet H
ardware", RFC826, IETF, Nov 1982 （４）"Linux IP Masquerade mini HOWTO", http://ww
w.dlomas.com/masquera.html, Mar 1999 （５）Object Management Group (OMG), "The Common O
bject Request BrokerArchitecture (CORBA)", Version
3.0, www.omg.org, April 1999 （６）W. Simpson, "The Point-to-Point Protocol (PP
P)", RFC 1661, IETF,Jul 1994 （７）K. Hamzeh and others, "Point-to-Point Tunnel
ing Protocol", Internet Draft, IETF, Jul 1997 （８）G. S. Pall and G. Zorn, "Microsoft Point-to-
Point Encryption (MPPE) Protocol", Internet Draft,
IETF, Mar 1998 （９）"Internet Demon inetd - internet super-serve
r", Linux User Manual, Section 8, 1997 （１０）B. Schneier and Mudge, "Cryptanalysis of M
icrosoft's Point-to-Point Tunneling Protocol (PPT
P)", Proceedings of the 5th ACM Conferenceon Commu
nications and Computer Security, ACM Press, Novemb
er 1998 （１１）C. Perkins, "IP mobility support", RFC 200
2, IETF, Oct 1996 （１２）Sun Microsystems, JINI white papers, http:
//www.sun.com/jini/whitepapers, 1999

【０１０８】第１実施形態 本発明は、一実施形態では、ゲストから送信されるすべ
てのパケットをインターセプトして、そのゲストのＩＰ
アドレスを、ホスト側組織に属する care-of（気付）Ｉ
Ｐアドレスで置換するインテリジェントルータ（本明細
書では、アクセスルータともいう）として実現される。

【０１０９】ここで、ターゲットマシンとは、ゲストス
テーションがパケットを送信しようとしているステーシ
ョンであることは理解されるであろう。外部ネットワー
ク（ゲストステーションから見て）は、ホストネットワ
ークと言い換えることも可能である。care-ofアドレス
は、ｃ／ｏアドレスともいう。ゲストステーションのホ
ームネットワークは、ゲストステーションのレギュラー
ネットワークとも言い換えられる。ゲストステーション
は単にゲストともいう。また、ホスト側組織は、ゲスト
ステーションにホスティングのサービスを提供する組織
または個人であることが可能であり、あるいは、このよ
うなサービスを提供するように契約した第三者であるこ
とも可能である。

【０１１０】上記のように、アクセスルータは、ゲスト
から送信されるすべてのパケットをインターセプトし
て、そのゲストのＩＰアドレスを、ホスト側組織に属す
るcare-of ＩＰアドレスで置換する。ターゲットマシン
は、このようなパケットを受信した場合、応答をそのｃ
／ｏアドレスに（すなわち、アクセスルータに）送るこ
とになる。アクセスルータは、パケットを受信すると、
そのｃ／ｏアドレスをゲストのＩＰアドレスで置換し
て、リンク層アドレスを用いてそのパケットを直接にゲ
ストに配送する。ゲストの視点から見ると、（インテリ
ジェント）アクセスルータは、彼のホームネットワーク
上のマシン（特に、その次ホップルータ（ゲートウェ
イ））をエミュレートしている。ホスト側組織の視点か
ら見ると、ゲストは、内部ネットワーク上の（専用のｃ
／ｏアドレスを有する）新しいマシンになっている。

【０１１１】図９に示すように、ＩＰアドレスａ．ｂ．
ｃ．ｄを有するゲストステーションがＩＰアドレスｗ．
ｘ．ｙ．ｚを有するターゲットステーションをデスティ
ネーションアドレスとするパケットを送信すると、アク
セスルータは、ソースＩＰアドレスａ．ｂ．ｃ．ｄをロ
ーカルｃ／ｏアドレスで置換する。従って、ターゲット
ステーションの返信はアクセスルータへルーティングさ
れ、そこで、アドレス変換が元に戻される。

【０１１２】図７を参照すると、理解されるように、ア
クセスルータは、ソースＩＰアドレスをｃ／ｏアドレス
で置換し、パケットの生存時間（ｔｔｌ）値をデクリメ
ントして、ＩＰチェックサムを再計算する。

【０１１３】アクセスルータにより、ゲストステーショ
ンは、ＩＰトラフィックを開始することができる。すな
わち、ゲストステーションは、ターゲットステーション
へＩＰパケットを送信し、その返信を現在のロケーショ
ンで受信することができる。ゲストのＩＰアドレスをｃ
／ｏアドレスで置換しないと、すべての返信はゲストの
ホームネットワークへルーティングされ、一般にそこで
廃棄されることになる。

【０１１４】部外者はゲストとの通信を開始することが
できない。部外者は、ゲストからパケットを受信するま
で、ｃ／ｏアドレスを知らないからである。しかし、本
発明のこの実施例によるアクセスルータは、ＷＷＷドキ
ュメント検索、電子メール送信、ｔｅｌｎｅｔ（例え
ば、家で電子メールを読むため）及びｆｔｐを含むほと
んどのインターネットサービスにアクセスするには十分
である。

【０１１５】アクセスルータのソフトウェアをインスト
ールするのは簡単かつ容易である。ＤＨＣＰ（２）やモ
バイルＩＰ（１１）とは異なり、ゲストのマシンやゲス
トステーションのレギュラーネットワークには、セット
アップシグナリングやあらかじめインストールされたソ
フトウェアは不要である。必要なことは、ゲストが、あ
らかじめインストールされているＩＰ設定を有すること
だけである。従って、任意の既存のＩＰデバイス、オペ
レーティングシステム及び設定を、変更なしでサポート
することができる。シグナリングや初期セットアップが
ないため、ここで提案する技術は高速で非常にスケーラ
ブルである。

【０１１６】・詳細な実装−第１実施例 以下で、本発明の第１実施例を実装することに関する詳
細について説明する。

【０１１７】アクセスルータを用いてゲストステーショ
ンにＩＰアクセスを提供する際の第１ステップは、ゲス
トのポータブルデバイスがＩＰパケットを任意のリモー
トデスティネーションへ送信することを可能にするこ
と、及び、そこからの返信がポータブルデバイスの現在
のロケーションに戻ってくることを保証することであ
る。これは２ステップで実現される。第１ステップで
は、アクセスルータは、ゲストから送信されるすべての
ＩＰパケットを、指定された次ホップのＩＰアドレスが
何であっても、インターセプトする。第２に、インター
セプトしたパケットをさらに転送する前に、その同じア
クセスルータは、ゲストのＩＰアドレスをローカルｃ／
ｏ ＩＰアドレスで置換する。同様に、帰路（リター
ン）トラフィックでは、このｃ／ｏアドレスは、パケッ
トが最終的に物理リンクを通じてゲストに直接に配送さ
れる前に、ゲストの真の（ホーム）ＩＰアドレスに逆変
換される。

【０１１８】・プロキシＡＲＰを用いたＩＰパケットイ
ンターセプション ゲストステーションとアクセスルータが物理ポイントツ
ーポイント媒体を通じて接続されているとき、ＩＰパケ
ットのインターセプション（横取り）は容易である。ゲ
ストステーションとルータが共有媒体を通じて接続され
ているとき、いくつかの考慮すべき点がある。このよう
な共有媒体の例には、有線あるいは無線のイーサネット
がある。

【０１１９】インターネットのトポロジー、すなわち、
その接続グラフは、ＩＰアドレスにより規定される。Ｉ
Ｐパケットを転送するとき、ネットワークノードは、そ
のパケットについてルーティングテーブル参照を行うこ
とにより、そのパケットが次に送られなければならない
ノードのＩＰアドレスを得る。このノードを次ホップと
いう。パケットは最終的にこれらの２つのノード間の物
理媒体により伝送されるため、送信側は、次ホップのＩ
Ｐアドレスを媒体依存のハードウェアアドレスに変換し
なければならない。共有媒体では、このＩＰ−ハードウ
ェアアドレス変換はアドレス解決プロトコルＡＲＰ
（３）によって行われる。

【０１２０】ネットワークノードは、ＩＰアドレスをハ
ードウェアアドレスに変換しなければならないとき、直
接に接続されているすべてのマシンへＡＲＰメッセージ
をブロードキャストする。次ホップ（ルータまたは最終
受信者）が、これらのマシンのうちの１つとなる。次ホ
ップは、自己のＩＰアドレスに対するＡＲＰメッセージ
を受信すると、自己のハードウェアアドレスを応答す
る。このハードウェアアドレスを用いて、ＡＲＰ要求を
発信したホストは、今度は物理層により次ホップへデー
タパケットを送信することができる。

【０１２１】ＡＲＰ要求で指定されるＩＰアドレスを有
するステーションの代わりに、別のマシンがそのＡＲＰ
要求に応答することが可能である。この機構をプロキシ
（代理）ＡＲＰといい、ターゲットマシンがＡＲＰをサ
ポートしていない場合に使用することができる。

【０１２２】ＡＲＰメッセージの交換は物理層で行われ
る。従って、各媒体ごとに、すべての可能なＡＲＰメッ
セージと、その媒体のメッセージフォーマットとの間の
マッピングを定義しておく必要がある。

【０１２３】本発明の第１実施例の好ましい実装によれ
ば、プロキシＡＲＰを用いて、ゲストの出力ＩＰトラフ
ィックをインターセプトする。ゲストステーションは、
最初にホスティングネットワークに接続されるとき、そ
のネットワークのハードウェアアドレスを知らない。従
って、依然としてホームネットワークに接続されている
と仮定して、ゲストステーションは、次ホップルータ
（ゲートウェイ）と、ホームネットワークセグメントに
属する他のマシンのハードウェアアドレスについて知る
ためにＡＲＰ要求を送出する。これらはホスティングネ
ットワークに存在しないため、ＡＲＰ要求は未応答のま
まとなる。これらの「欠けている」マシンをエミュレー
トするため、アクセスルータは自己のハードウェアアド
レスにより（代理として）ＡＲＰ要求に応答する。これ
により、ゲストステーションは、そのアクセスルータが
もともと通信したい次ホップマシンであると考えて、ア
クセスルータへすべてのトラフィックを送信することに
なる。

【０１２４】しかし、重要な点であるが、このアクセス
ルータは、ローカルネットワークセグメントに実際に存
在するマシン（特に、他のゲスト）のＡＲＰ要求には応
答しない。もしもアクセスルータが他のゲストに代理と
して応答すれば、ゲストステーションから他のゲストス
テーション宛のすべてのＩＰトラフィックは物理的にア
クセスルータへ送信されることになり、他のゲストステ
ーションは実質的に到達不可能となる。

【０１２５】本発明のこの実施例で対処しなければなら
ないもう１つの考慮すべき点は、多くのマシンが起動時
に自己のＩＰアドレスのＡＲＰ要求を送出することであ
る。これは、新たに起動されるマシンが、自己のＩＰア
ドレスが既に他のマシンによって使用されているかどう
かを判定するために行われる。もしもアクセスルータが
このようなＡＲＰ要求に自己のハードウェアアドレスで
応答すると、起動されたマシンは、アクセスルータが自
分と同じＩＰアドレスを使用していると考え、ネットワ
ークインタフェースをシャットダウンしてしまうことに
なる。この問題に対処する１つの方法について以下で説
明する。

【０１２６】例えばＬｉｎｕｘなどのＵｎｉｘ（登録商
標）システムのようなBerkeley Socket Programming In
terface（ソケット）をサポートするオペレーティング
システムでは、接続されている各ネットワーク上にブロ
ードキャストされたすべてのＡＲＰ要求をユーザレベル
プロセスが受信することが可能である（実装のヒント：
ETH#P#ARPとして指定されたプロトコルのパケットソケ
ットを用いる）。すべてのＡＲＰメッセージをリスン(l
isten)することにより、このプログラムは、ローカルネ
ットワークに接続されているすべてのマシン（ゲストを
含む）のＩＰアドレスと、対応するＨＷアドレスとにつ
いて知ることができる。このプログラム（インテリジェ
ントルータ内で実行される）が、まだＩＰ／ＨＷアドレ
スマッピングを有しないＩＰアドレスに対するＡＲＰ要
求を受信した場合、このＡＲＰ要求は、新しいゲストか
ら来ていると結論する。ただし、このプログラムはま
ず、ある期間（現在の実装では２０ミリ秒間）待機す
る。この時間後、ＡＲＰ要求型のマシンによって送信さ
れていない場合、このプログラムは、実際に新しいゲス
トを検出したと結論し、最初のＡＲＰ要求に対して、自
己のＨＷアドレスにより応答する。このアルゴリズム
は、（１）新しいゲストのＡＲＰ要求が応答されるこ
と、及び（２）実際に存在するマシンの代理としてＡＲ
Ｐ応答が生成されることはないこと、を保証する。

【０１２７】本発明のこの第１実施例のルータによるパ
ケットのインターセプションについて、以下、図１７、
図１８、図１９、及び図２０を参照して説明する。

【０１２８】図１９に、本発明のこの実施例によるルー
タを示す。参照符号９００は、アクセスルータを示す。
アクセスルータは、ＣＰＵ９１０、メモリ９２０、なら
びにネットワークアダプタ９４１及び９４２を有する。
このルータは、以下で説明するステップに従って動作さ
せるソフトウェアを備えた汎用デジタルコンピュータと
することが可能である。

【０１２９】図１８に、前のいくつかのセクションで説
明し図８に示したのと同様のネットワークを示す。しか
し、図１８では、ルータ５０４は、アクセスルータ９０
０で置き換えられている。図１９に示すように、アクセ
スルータ９００の第１のネットワークアダプタ９４１
は、ローカルネットワーク４００に接続されている。同
様に、アクセスルータ９００の第２のネットワークアダ
プタ９４２は、参照符号５００で示される外部ネットワ
ーク、あるいはインターネットに接続されている。アク
セスルータ９００のメモリ９２０は、ＡＲＰあて先テー
ブル９２１及びゲストサービステーブル９２２を有す
る。

【０１３０】ステーション２１０は、ネットワーク４０
０に対してはゲストステーションである。ステーション
２１０のレギュラーネットワークは第１のネットワーク
２００であるからである。この例ではステーション２１
０は、第２のネットワーク３００内の通常の一にあるス
テーション３１０へＩＰパケットを送信しようとしてい
る。ステーション３１０は、このＩＰパケットのデステ
ィネーションステーションである。この例では、ステー
ション２１０の、レギュラーネットワークにおけるＩＰ
アドレスは１３８．１５．１０３．２１である。ステー
ション３１０のアドレスは１４１．２０．２０．３１で
ある。ルータ９００のアドレスは、２１６．５２．９
２．５４である。ステーション２１０は、自己のルータ
がルータ５０２であり、そのＩＰアドレスは１３８．１
５．１０３．５２であることを認識して、レギュラーネ
ットワーク内で動作するようにあらかじめ設定されてい
る。

【０１３１】ゲストステーション２１０の動作を図１７
に示す。これは、ゲストステーションの視点から見て、
ゲストステーション２１０があたかも自己のホームアド
レスにあるのと全く同じである。

【０１３２】まず、ステップ１７１０で、ゲストステー
ション２１０は、自己の所定のネットマスクを用いて、
自己のＩＰアドレスを、出力ＩＰパケットのデスティネ
ーションアドレスと比較する。ステップ１７２０の比較
は、マスクされたアドレスが等しくないことを示すた
め、処理はステップ１７３０に進む。ゲストステーショ
ン２１０は、所定のルータＩＰアドレス１３８．１５．
１０３．５２へＡＲＰ要求を送出する。

【０１３３】通常の状況では、ネットワーク４００上に
はＩＰアドレス１３８．１５．１０３．５２を有するス
テーションはないため、ゲストステーション２１０は通
常は応答を受信しない。しかし、アクセスルータ９００
がネットワーク４００上で動作しており、プロキシＡＲ
Ｐプログラムにより、図２０に示すようにＡＲＰ要求に
応答する。

【０１３４】ステップ２０１０で、アクセスルータ９０
０は、ゲストステーション２１０によって送信されたＡ
ＲＰ要求を検出する。ステップ２０２０で、アクセスル
ータのプロキシＡＲＰプログラムは、自己のＡＲＰテー
ブル９２１をチェックして、ＡＲＰ宛先がアクセスルー
タに既に知られているかどうかを判定する。ＡＲＰ要求
の宛先のＩＰアドレスが既にＡＲＰ宛先テーブル９２１
に記録されている場合、処理はステップ２１１０に進
む。ＡＲＰ要求の宛先のＩＰアドレスがＡＲＰ宛先テー
ブル９２１にまだ記録されていない場合、処理はステッ
プ２０４０に進む。この例では、ゲストステーション２
１０はネットワーク４００に接続されたばかりであるた
め、ＡＲＰ宛先テーブルは、ゲストステーション２１０
からのＡＲＰ要求の宛先となるステーションのエントリ
を有している可能性は少ない（すなわち、ルータ５０２
のエントリはない）。

【０１３５】従って、処理はステップ２０４０に進む。
ステップ２０４０で、アクセスルータは、ネットワーク
４００上の他のステーションからゲストステーション２
１０へ送られるＡＲＰ応答をリスンする。アクセスルー
タが、ネットワーク４００上の他のステーションからの
ＡＲＰ応答を検出した場合、処理はステップ２０６０に
進む。そうでない場合、処理はステップ２０７０に進
む。

【０１３６】ネットワーク４００上の別のステーション
がゲストステーション２１０からのＡＲＰ要求に応答し
た場合、これは、ＡＲＰ宛先がローカルネットワーク４
００に参加していることを意味する。この状況は、ゲス
トステーション２１０とそのＡＲＰ宛先との間で通信が
行われるためにこれ以上アクセスルータ９００による介
入が不要であることを意味する。しかし、この例では、
目的のＡＲＰ宛先（ルータ５０２）はネットワーク４０
０に参加していないため、処理はステップ２０７０に進
む。

【０１３７】ステップ２０７０で、アクセスルータ９０
０はウェイト状態に入る。ウェイト状態が満了した後、
処理はステップ２０８０に進む。ステップ２０８０で、
あらかじめ定義されたルータＡＲＰウェイトしきい値が
満了したかどうかが判定される。この好ましい実施例で
は、ルータＡＲＰウェイトしきい値は３０ミリ秒であ
る。しかし、ＡＲＰプロトコルの要求−応答期間の最大
遅延の少なくとも２倍の時間しきい値を使用すれば十分
である。

【０１３８】ステップ２０８０で、ルータＡＲＰウェイ
トしきい値がまだ過ぎていない場合、処理はステップ２
０５０に進み、ＡＲＰ応答が受信されたかどうかを調べ
る。この例では、ネットワーク４００上の他のステーシ
ョンはゲストステーション２１０からのＡＲＰ要求メッ
セージに対するＡＲＰ応答を送信しない。従って、ルー
タＡＲＰウェイトしきい値は満たされ（経過し）、処理
はステップ２０９０に進む。

【０１３９】ステップ２０９０で、アクセスルータ９０
０は、ステーション２１０へプロキシＡＲＰ応答を返送
する。このプロキシＡＲＰ応答は、アクセスルータ９０
０のＨＷアドレスを示す。ステップ２１００、アクセス
ルータは、ＩＰアドレス１３８．１５．１０３．５２
（すなわち、ルータ５０２のＩＰアドレス）を、非ロー
カルステーションとして、ＡＲＰ宛先テーブル９２１に
追加する。ステップ２１１０の処理については後述す
る。

【０１４０】図１７に戻って、ゲストステーション２１
０は前に、ＡＲＰ要求を、ルータ５０２のあらかじめ定
義されたＩＰアドレス（すなわち、ＩＰアドレス１３
８．１５．１０３．５２）に送出していた。ステップ１
７４０で、ゲストステーション２１０はＡＲＰ応答を検
出するため、処理はステップ１７７０に進む。しかし、
このＡＲＰ応答は、実際にはアクセスルータ９００から
送信されたプロキシＡＲＰ応答である。このプロキシＡ
ＲＰ応答により、ゲストステーション２１０は、ルータ
９００のＨＷアドレスが、自己のホームネットワークの
次ホップマシン（この例ではルータ５０２）のＨＷアド
レスであると考える。ステップ１７７０で、ゲストステ
ーション２１０によって受信された応答を解析し、次ホ
ップＨＷアドレスを取得する。この次ホップＨＷアドレ
スは、アクセスルータ９００のＨＷアドレスである。ス
テップ１７８０で、ゲストステーション２１０は、出力
ＩＰパケットアドレス１４１．２０．２０．３１（すな
わち、デスティネーションステーション３１０のＩＰア
ドレス）を有する出力ＩＰパケットを次ホップへ送信す
る。ゲストステーション２１０が、この次ホップＨＷア
ドレスはルータ５０２のＨＷアドレスであると考えてい
ることは問題ではない。重要な効果は、ホスティングネ
ットワーク４００にとって外来者であるゲストステーシ
ョンからパケットが送信されていても、パケットが次ホ
ップへ送信されることである。

【０１４１】図２０に戻って、次に、ステップ２１１０
での動作について説明する。特に、ゲストステーション
２１０が、ＡＲＰ宛先をステーション５０２とするもう
１つのＡＲＰ要求を送出することが起こり得る。このよ
うな場合、アクセスルータ９００は、ステップ２０１０
でそのＡＲＰ要求を検出する。アクセスルータは、ステ
ップ２０２０でＡＲＰ宛先テーブル９２１をチェックす
る。ステップ２０３０で、そのアドレスが既に既知であ
りテーブルにあるかどうかを判定する。ステップ２１１
０で、ＡＲＰ宛先がネットワーク４００にとってローカ
ルである場合、アクセスルータ９００は何のアクション
もとらない。アクセスルータ９００は、ローカルステー
ションがＡＲＰ要求に応答すると期待するからである。
他方、ＡＲＰ宛先がＡＲＰ宛先テーブル９２１で非ロー
カルステーションであると示されている場合、アクセス
ルータ９００は、自分がプロキシＡＲＰ応答を送信する
ことによってＡＲＰ要求メッセージに応答しなければな
らないことを知る。この応答は、処理がステップ２０９
０に進むと送信される。

【０１４２】上記の例では、ゲストステーション２１０
は、通常は自己のレギュラーネットワーク２００に属し
ていなかったデスティネーション３１０へパケットを送
信しようとしていた。次に、ゲストステーション２１０
が、通常はステーション２１０と同じレギュラーネット
ワークにあるステーション２２０へＩＰパケットを送信
しようとする場合の簡単な例について説明する。

【０１４３】簡単にいえば、ステップ１７２０における
比較の結果、ゲストステーション２１０とデスティネー
ションステーション２２０のマスクされたアドレスは等
しいと判定される。従って、ステップ１７２５で、ゲス
トステーション２１０は、ステーション２２０のＩＰア
ドレス（今の例では１３８．１５．１０３．２２）へＡ
ＲＰ要求を送出することになる。

【０１４４】ステップ２０１０で、アクセスルータは、
ＡＲＰ要求メッセージを検出する。ステップ２０２０に
おけるＡＲＰ宛先テーブルのチェックにより、ステップ
２０３０で、ＡＲＰ宛先（すなわちステーション２２
０）はアクセスルータ９００にとって未知であることが
わかる。ステップ２０４０で、アクセスルータは、ネッ
トワーク４００上のステーションがＡＲＰ応答を送信す
るのをリスンする。

【０１４５】ステーション２２０の所有者も、ステーシ
ョン２１０の所有者と同じホテルあるいは会議に出席し
ているという場合がある。この場合、ステーション２２
０は、ステーション２１０へ直ちにＡＲＰ応答を返送
し、アクセスルータ９００は、ＡＲＰ宛先テーブル９２
１にローカルステーションとしてステーション２２０の
ＩＰアドレスを追加する。こうして、ステーション２１
０と２２０は、アクセスルータ９００の介在なしに直接
に通信することができる。しかし、ステーション２２０
がそのレギュラーネットワーク２００に接続されている
と仮定すると、ゲストステーション２１０にＡＲＰ応答
は戻ってこない。

【０１４６】ステップ２０８０で、ルータＡＲＰウェイ
トしきい値が経過すると、アクセスルータ９００は、自
己のＨＷアドレスを与えるプロキシＡＲＰ応答をステー
ション２１０へ送信する。さらに、ＡＲＰ要求宛先のＩ
Ｐアドレスが、非ローカルステーションとして、ＡＲＰ
宛先テーブル９２１に追加される。

【０１４７】ステップ１７４０で、ゲストステーション
２１０はＡＲＰ応答を受信し、アクセスルータ９００の
ＨＷアドレスを用いて、出力ＩＰパケットを次ホップへ
送信する。こうして、出力ＩＰパケットのデスティネー
ションステーションが、ゲストステーションのレギュラ
ーネットワークに通常は接続されているステーションで
あるか、それとも、ゲストステーションのレギュラーネ
ットワークに通常は接続されていないデスティネーショ
ンステーションであるかにかかわらず、アクセスルータ
９００は、ゲストステーション２１０に、出力ＩＰパケ
ットをアクセスルータ９００へ送信させる。ただし、本
発明のこの実施例は、通常は同じレギュラーネットワー
クを共有する２つのゲストステーションが存在するとい
う状況を考慮に入れている。

【０１４８】アクセスルータ９００がそのＨＷアドレス
をゲストステーションに提供し、それによりゲストステ
ーションが出力ＩＰパケットをアクセスルータに送信す
るとき、これを、アクセスルータが出力ＩＰパケットを
インターセプトするという。

【０１４９】・ｃ／ｏアドレス割当て アクセスルータは、出力ＩＰパケットをインターセプト
すると、ＩＰヘッダ（図７）のソースＩＰアドレスフィ
ールドから、ゲストステーションのＩＰアドレス、すな
わち、ゲストがそのホームネットワークで使用するＩＰ
アドレスを知ることができる。このホームアドレスはグ
ローバルに一意的であるため、これは、ゲストステーシ
ョンを識別するためにアクセスルータ内でさらに用いら
れる。ゲストが、グローバルに一意的である必要のない
ローカル／プライベートＩＰアドレス（すなわち、１９
２．１６８．ｘ．ｘの形のＩＰアドレス）を有するとい
う特殊な場合には、ゲストのＩＰアドレスを、ゲストの
グローバルに一意的なＨＷアドレスとともに用いてゲス
トを識別する。

【０１５０】さらに、登録されるゲストごとに、アクセ
スルータは、ゲストサービステーブル９２２内に、統計
及びその他のゲストごとのデータを有するゲストサービ
スレコードを管理する。ゲストサービスレコードは、例
えば、ゲストがいくつかの連続するｐｉｎｇ要求に応答
しないときに削除される。このようなｐｉｎｇ要求は、
所定時間だけイナクティブになっている各ゲストステー
ションに対してアクセスルータが定期的に発行する。

【０１５１】既に説明したように、アクセスルータが通
常のゲートウェイルータのようにふるまい、インターセ
プトしたパケットを単に転送する場合、受信機はゲスト
のＩＰアドレスに応答し、すべてのこのような応答パケ
ットは失われてしまう。これらのパケットは、ホスティ
ングネットワークではなくゲストのホームネットワーク
へルーティングされることになるからである。これを避
けるため、アクセスルータは、ゲストのホームアドレス
にローカルｃ／ｏアドレスを関連づけ、これをＩＰヘッ
ダのソースアドレスフィールドに書き込む。これらのパ
ケットに対する応答はアクセルルータに戻り、そこで、
ゲストへの最終的な配送を行うことができる。ゲストス
テーションと、それに割り当てられたｃ／ｏアドレスと
の間の関連づけは、ゲストサービスレコードに保持され
る。アクセスルータは、ゲストサービスレコードの存在
しないＩＰパケットを受信した場合、自動的に新しいゲ
ストを認識し、新しいゲストサービスレコードを（新し
く関連づけられたｃ／ｏアドレスとともに）作成する。

【０１５２】入力（帰路）トラフィックでは、アクセス
ルータは、デスティネーションアドレス（これは、前に
割り当てたｃ／ｏアドレスのうちの１つであるはずであ
る）を用いて、対応するゲストサービスレコードを見つ
ける。そして、ゲストのホームＩＰアドレスをＩＰヘッ
ダのデスティネーションアドレスフィールドに入れて、
パケットを物理層によりゲストへ配送する。

【０１５３】・ＩＣＭＰエコー応答メッセージ ＩＣＭＰエコー応答メッセージは、以前に発行されたＩ
ＣＭＰエコー要求に対する応答である。ＩＥＴＦ標準で
規定されているように、この応答メッセージは、もとの
エコー要求をワークロード内に「ピギーバック」して運
ぶ。特殊な扱いがなければ、アクセスルータは、もとの
メッセージ（これは、ＩＰヘッダに、ゲストのホームア
ドレスではなくｃ／ｏアドレスを含む）をカプセル化
し、これは、アクセスルータに変更なしに渡される。一
部のシステム、具体的には、Microsoft Windowsシステ
ムは、カプセル化されたもとのエコー要求メッセージ内
に誤ったＩＰソースアドレスのあるＩＣＭＰエコー要求
を受信すると混乱する。ｔｒａｃｅｒｔ（ＵＮＩＸのｔ
ｒａｃｅｒｏｕｔｅのWindowsバージョン）のようなプ
ログラムはうまく動作しない。この特定の場合には、本
発明の第１実施例によるアクセスルータは、カプセル化
されたパケットのＩＰヘッダにおいて、ｃ／ｏアドレス
をゲストのホームアドレスで置換することによって、Ｉ
Ｐパケットのワークロードを変更する。

【０１５４】・チェックサムの計算 ＩＰパケットのソースアドレスまたはデスティネーショ
ンアドレスが変更された場合には、ＩＰヘッダチェック
サムを再計算する必要がある。アクセスルータは各パケ
ットのソースＩＰアドレスを変更するため、ヘッダチェ
ックサムのこの再計算も同時に実行しなければならな
い。さらに、ＴＣＰ、ＵＤＰ、及びＩＣＭＰのプロトコ
ルでは、ＴＣＰ／ＵＤＰ／ＩＣＭＰのヘッダチェックサ
ムも再計算しなければならない。ＩＰヘッダのソースア
ドレス及びデスティネーションアドレスがこれらのチェ
ックサムの計算には含まれるからである。

【０１５５】・ゲスト間通信 本発明のこの好ましい実施例は、既に説明したように、
あるゲストが別のゲストと通信したいときに、これらの
ゲストが通常は同じレギュラーネットワーク上にある場
合でも、通信を提供する。この特殊な場合は実際には、
最初に思われるほどまれではない。訪問者がいくつかの
ＩＰ機能付きデバイス（例えば、ラップトップ、ポータ
ブルプリンタ、及びその他の有用な装置）をホスト側組
織の環境に持ち込むと、それぞれがゲストステーション
となる。これらのゲストステーションはおそらく相互作
用する必要がある。この状況は、SUN MICROSYSTEMSのＪ
ＩＮＩ技術（１２）と類似している。ＪＩＮＩでは、ポ
ータブルデバイスはプラグアンドプレイにより即時にコ
ミュニティを形成し、事前の計画や人間のインストール
なしに、ユーザに高レベルのサービスを提供する。

【０１５６】上記の状況では、２つのゲストはアクセス
ルータの関与なしに相互作用した。これらの異なるゲス
トステーションあるいはデバイスがネットワーク４００
に接続するタイミングに依存して、ゲストのうちの１つ
のレコードに、別のゲストの代わりにアクセスルータの
ハードウェアアドレスが記録され、アクセスルータはそ
の別のゲストの代理（プロキシ）として作用しており、
アクセスルータはそのパケットをインターセプトするこ
とになるという可能性がある。その後、通常は最初のゲ
ストと同じレギュラーネットワークを共有する別のゲス
トがネットワーク４００に接続する。本発明の実施例に
よるアクセスルータは、ＡＲＰ宛先テーブル９２１で非
ローカルであるとして示されるＡＲＰ宛先が、ゲストサ
ービステーブル９２２においてゲストであるとして示さ
れるのを認識するようにプログラムされる。このような
場合、アクセスルータ９００は、ＡＲＰ宛先テーブル内
のステータスをローカルに変更することにより、そのゲ
ストが、ルータの介在なしに通信することを可能にす
る。これを実現するのに、出力パケットを、受信したの
と同じネットワークアダプタ（すなわち、図１９におけ
るアダプタ９４１）を通じて変更なしに転送するなど
の、他の方法も可能である。いずれの場合でも、ゲスト
どうしは、ホームＩＰアドレスを用いて相互に通信する
ことができる。

【０１５７】第２実施形態 本発明の第２実施形態は、ホスティングネットワークに
対して追加のセキュリティ保護を提供する。

【０１５８】想起されるように、アクセスルータは、ゲ
ストから送信される各パケットを受け取り、そのソース
ＩＰアドレス（すなわち、ゲストのアドレス）をｃ／ｏ
アドレスで置換する。このｃ／ｏアドレスにより、パケ
ットは、あたかもホストネットワークに関連するＩＰア
ドレスから発信されたかのように見える。しかし、この
ように見えることは、ホストネットワークの観点からは
好ましくないことがある。特に、ホストネットワークの
レギュラーステーションが、通常はホスティングネット
ワークのレギュラーメンバに予約されている特権を有す
ることがある。さらに、ホスト側組織は、通常は部外者
に対してファイアウォールにより保護されているホスト
ネットワーク内でゲストがＩＰパケットを放出する場合
に、セキュリティハザードと見なす可能性がある。

【０１５９】また、悪意のあるゲストは、ホスティング
ネットワークのメンバであるふりをして、ホスティング
ネットワークに（アクセスルータを通じて）パケットを
送信することができる可能性がある。このようなパケッ
ト内のソースＩＰアドレスは、ｃ／ｏアドレスで置換さ
れた後は、ホスティングネットワークのレギュラーステ
ーションによって送信されたパケットと区別がつかな
い。

【０１６０】本発明のこの第２実施形態によれば、アク
セスルータと（公衆インターネット内のルータのよう
な）外部ステーションとの間のＩＰトンネルを用いて、
ホスティングネットワーク及びその環境を悪意のあるゲ
ストからのＩＰパケットに対して保護する。パケットが
ゲストからホスト側組織内のマシンへ送信されると、ま
ず、ＩＰトンネルを通じてホスト側組織のネットワーク
を抜けた後、企業のファイアウォールを通じて再び入ら
なければならない。ここで、「外部ステーション」と
は、ホスト側組織のファイアウォールの外側のステーシ
ョンである。これにより、ゲストからのＩＰパケット
は、企業ファイアウォールによって認可されなければ
（すなわち、通らなければ）、ホスティングネットワー
ク内のステーションに決して到達することができない。

【０１６１】この追加保護は、アクセスルータの出力ネ
ットワークインタフェースを、企業ファイアウォールの
外側の次ホップルータに物理的に（例えば、長いケーブ
ル(long cable)で）接続することによって実現すること
ができる。その場合でも、アクセスルータは依然として
物理的にはホスト側組織の構内に位置する。ネットワー
クの観点から見ると、アクセスルータは企業ネットワー
クの外側にあり、公衆インターネットドメイン内にあ
る。ゲストが、ホスト側組織の内部マシンのうちの１つ
へＩＰパケットを送信すると、このパケットは、公衆イ
ンターネットから来たのと全く同様に、ファイアウォー
ルを通らなければならない。

【０１６２】アクセスルータを外部次ホップルータに接
続するために物理配線を使用する代わりに、ＩＰトンネ
ルの形式の「仮想配線」を用いて、ずっと経済的かつフ
レキシブルな方法で、同じ機能と同程度の保護を提供す
ることが可能である。

【０１６３】ＩＰトンネルは、ＩＰアドレスによって識
別される２つのトンネルエンドポイントにより規定され
る。トンネルの目的は、物理的なポイントツーポイント
配線をエミュレートすることである。これは、これらの
２点間でＩＰパケットを伝送する物理媒体の代わりに使
用することができる。システムエンジニアの観点から見
ると、ＩＰトンネルエンドポイントは、「論理的な」ネ
ットワークインタフェース及びそれに等価のもの（例え
ば、イーサネットネットワークカードのインタフェー
ス）として表されることが多い。ＩＰトンネルを通じて
ＩＰパケットを送信するためには、別のＩＰパケット内
にカプセル化し、ホップバイホップで相手側のトンネル
エンドポイントへルーティングする。そのエンドポイン
トに到達すると、カプセル化されたパケットが取り出さ
れる。

【０１６４】もとのパケットは、カプセル化する側のパ
ケットのワークロードに閉じ込められるため、そのＩＰ
ヘッダは、カプセル化する側のパケットのルーティング
に影響を及ぼすことはない。すなわち、カプセル化され
たパケットがトンネルを離れることは不可能である。

【０１６５】物理配線が通常有する十分なレベルのプラ
イバシをエミュレートするには、ＩＰトンネルの両方の
トンネルエンドポイントは一般に、相互に認証し、カプ
セル化されたパケットを暗号化する必要がある。しか
し、本発明のこの実施例では、ＩＰトンネルは、ゲスト
のトラフィックをホスト側のネットワーク内で放出する
ことができないことを保証するためにのみ使用されるた
め、認証／暗号化は、ホスト側環境にとっての関心事で
はなく、省略可能である。

【０１６６】図１０に、アクセスルータと公衆ネットワ
ーク内の次ホップルータの間のＩＰトンネルを示す。ゲ
ストステーションが送信し、アクセスルータが変更する
パケットはすべてこのＩＰトンネルを通って送られる。

【０１６７】ＩＰトンネルを作成するためにいくつかの
技術が利用可能である。すべて、明示的なトンネルセッ
トアップを必要とする。異なるのはカプセル化の方式で
ある。非常にオーバーヘッドの少ない（増えるデータは
２０バイトで、パケットごとのデータ処理はない）１つ
のＩＰトンネリング技術はＩＰ−ｏｖｅｒ−ＩＰであ
る。ＬＩＮＵＸシステム上では、ｉｆｃｏｎｆｉｇコマ
ンドを用いてこのようなトンネルをセットアップするこ
とができる。

【０１６８】オプションとして、ｃ／ｏアドレスのうち
の１つを宛先とするトラフィックがトンネルを通じてル
ーティングされることを保証するように、外部ルータの
ルーティングテーブルを調整することも可能である。

【０１６９】第３実施形態 本発明の第３の実施形態は、ゲストステーションに対し
て追加のセキュリティを提供する。

【０１７０】ゲストは、ホスト側の環境を信頼しない可
能性があり、また、公衆インターネットからの攻撃を心
配する可能性もある。ゲストと特定のｃ／ｏアドレスと
の関連づけは一時的でしかないため、インターネットか
らの攻撃はむしろ困難である。攻撃者には、いつどこ
で、彼の攻撃対象にどのｃ／ｏアドレスが割り当てられ
るかはわからないからである。アクセルルータを通じて
送信されるパケットはゲストステーションのＩＰアドレ
スを含まず、ｃ／ｏ ＩＰアドレスのみを含む。従っ
て、ゲストステーションのＩＰアドレスは、アクセスル
ータにしかわからない。これに対して、ホスト側環境
は、ゲストのＩＰアドレスと、それに割り当てられたｃ
／ｏ ＩＰアドレスとともに知っている。従って、パス
ワードやその他の秘密情報を含むゲストのＩＰパケット
を容易にモニタし、その内容を変更することさえ可能な
場合がある。

【０１７１】ゲストのセキュリティを改善するために、
ゲストは、ゲストステーションと、ゲストステーション
のホームネットワークのような信頼される環境に存在す
るルータとの間にセキュアＩＰトンネルを作成すること
が可能である。このようなルータをトンネルサーバとし
て図１１に示す。ゲストステーションと、信頼された環
境内のトンネルサーバとの間のセキュアＩＰトンネルの
作成は、ゲストがあたかも実際にホームにいるかのよう
にゲストをそのホームネットワークに接続する「ロング
ワイヤ」をエミュレートするという追加の利点を有す
る。ゲストステーションからのすべてのトラフィック
は、ホームネットワークセグメントで放出される。ゲス
ト宛のホームネットワークセグメントからのすべてのト
ラフィックはゲストによって受信されることが可能であ
る。

【０１７２】本発明のこの実施形態は、ゲストのホーム
ネットワークからのサポートを必要とする。具体的に
は、ホームネットワークは、相互エンドポイント認証及
びデータ暗号化を有するＩＰトンネルをサポートしなけ
ればならない。この方式の欠点の１つは、Windows ９
５、９８、及びＮＴは、ゲストステーションにおけるル
ーティングをサポートしていないことである。ゲストか
らのすべてのトラフィックは同じトンネルを通じてルー
ティングされ、これは、近くのデスティネーションへの
トラフィックに対して不要な迂回を生じる。ＬＩＮＵＸ
システムでは、例えば、ゲストはインターネット内の他
の信頼されるルータへの追加のセキュアトンネルを作成
することも可能である。このような追加のトンネルを、
出力トラフィックの代替経路として使用することができ
る。

【０１７３】図１１に示すように、ゲストは、上記の第
２実施形態によるアクセスルータによって提供されるＩ
Ｐ接続を使用して、ゲストステーションと、そのホーム
ネットワーク内のＶＰＮサーバ（すなわちトンネルサー
バ）のような信頼されるエンティティとの間にセキュア
ＩＰトンネルを作成する。

【０１７４】MicrosoftのWindowsオペレーティングシス
テムのうちの１つを使用するゲストステーションに対応
するために、本発明のこの第３実施形態の実際の実装
は、トンネルエンドポイント認証にMicrosoft Challeng
e Handshakeプロトコル（MS-Chap）を使用し、トラフィ
ック暗号化にMicrosoft Point-to-Point Encryption
（ＭＰＰＥ）（８）を用いる、ＰＰＰ（６）ベースのト
ンネリング技術を使用することが好ましい。さらに、ト
ンネルの開始及び制御を行い、２つのトンネルエンドポ
イント間でＰＰＰパケットを交換するために、Microsof
t Point-to-Point Transport Protocol（ＰＰＴＰ）を
使用するのが好ましい。このアプローチの主要な利点
は、すべてのコンポーネントが上記のMicrosoftのシス
テムで利用可能であることである。さらに、これらのプ
ロトコルはＩＥＴＦによって標準化されているため、提
案した解決法は他のオペレーティングシステムとも互換
性がある。

【０１７５】従って、ゲストがMicrosoftのシステムを
使用する場合、ゲストステーションがトンネルクライア
ントの役割を果たすには新たなソフトウェアは不要であ
る。トンネルサーバ側では、市販のMicrosoft ＮＴ Ｖ
ＰＮサーバが使用可能である。本発明のもう１つの実施
例として、同等の機能を有するサーバを、ＬＩＮＵＸオ
ペレーティングシステムで実装することも好ましい。

【０１７６】ゲストステーションがホスト側組織からＩ
Ｐアクセスを取得した後、ゲストステーションのユーザ
は、簡単な方法で、ホームネットワークへのセキュアＩ
Ｐトンネルの作成を開始することが可能である。例え
ば、セキュアＩＰトンネルの作成は、MS Windowsのデス
クトップ上のNetwork-Dial-Inアイコンをクリックする
ことによって開始される。このダイヤルイン手続きは、
電話番号の代わりにＩＰアドレスがリモートピアとして
指定されることを除いては、アナログ電話線を通じての
ダイヤルインと非常に似ている。ゲストがダイヤルイン
ＧＵＩの"Connect"（接続）ボタンを押した後、クライ
アントシステムは、指定されたトンネルサーバへのＰＰ
ＴＰコネクションを作成する。このＰＰＴＰコネクショ
ンは、実際にはサーバポート１７２３へのＴＣＰコネク
ションであり、まずＩＰサポートを提供するアクセスル
ータのアクティビティにより可能となる。ＰＰＴＰパケ
ットは、トンネルサーバに到達すると、ホスト側組織の
ｃ／ｏアドレスを運ぶ。しかし、カプセル化されたＩＰ
パケットは、ゲスト自身のＩＰアドレスを運ぶが、アク
セスルータからは見えない。アクセスルータの視点から
見ると、ゲストは単にＰＰＴＰコネクションを有する。
上記のトンネルは実際は２つのトランスポートコネクシ
ョンを有する。一方は、トンネル制御のためのＴＣＰコ
ネクションであり、他方は、カプセル化されたパケット
の交換のためのコネクションである。ただし、ゲスト
は、このトンネル内に任意の数のコネクションを維持す
ることが可能である。

【０１７７】本発明のこの実施例の好ましい実装では、
トンネルサーバはＬＩＮＵＸオペレーティングシステム
上で動作する。インターネットデーモンｉｎｅｔｄは、
ＰＰＴＰコネクション要求が到着すると、自動的にｐｐ
ｔｐサーバの新しいインスタンスを起動する（ｉｎｅｔ
ｄに関する詳細は（９）を参照）。この新しいｐｐｔｐ
サーバインスタンスは、入ってくるＴＣＰコネクション
を受け入れ、クライアントともに、それをＰＰＴＰ制御
コネクションとして使用する。さらに、トンネルサーバ
は、自分と発信側ゲストとの間にワークロードコネクシ
ョンを作成する。このコネクションは、リモートゲスト
によってではなくＰＰＴＰサーバによって開始されるた
め、ゲストのホームネットワークのファイアウォールが
それをブロックすることはない。このワークロードコネ
クションは、ＰＰＰパケットを含むＭＰＰＥ ＰＤＵを
運ぶために使用される。最初のＰＰＰメッセージは実際
には、２つのトンネルエンドポイントの相互認証と、ト
ンネルの動作モードのネゴシエーション（暗号化方法及
び初期キーのネゴシエーションを含む）のための制御メ
ッセージである。

【０１７８】注意すべき点であるが、トンネルは必ずし
も対称である必要はない。それぞれの方向で異なる動作
モードをネゴシエートすることが可能である。この実施
例の好ましい実装では、トンネルサーバはＭＰＰＥ暗号
化を必要とするが、４０ビットと１２８ビットの間の選
択はゲストに委ねられる。知られているように（１０を
参照）、Microsoft ＭＰＰＥで実装されるような４０ビ
ット暗号化は解読可能であるが、これには非常な労力を
必要とする。

【０１７９】初期ネゴシエーションが完了した後、ワー
クロードコネクションを使用して、トンネルサーバとリ
モートクライアントの間で暗号化されたＩＰパケットを
交換する。トンネルサーバのＰＰＰ部分は、ＬＩＮＵＸ
システム上では別個のプロセス（ＰＰＰデーモンｐｐｐ
ｄ）であり、通常は、リモートトンネルエンドポイント
のＩＰアドレスに対するプロキシＡＲＰとなる。従っ
て、これは、ゲスト宛にホームネットワークセグメント
に到着するすべてのＩＰパケットをインターセプトし、
セキュアトンネルを通じてそれを転送する。逆方向で
は、ゲストからセキュアトンネルを通じてホームネット
ワークに到着するパケットはホームネットワーク内で放
出される。

【０１８０】このように、暗号化と組み合わせて、ゲス
ト自身が、エンドツーエンドＩＰトンネルを使用して、
ホスト側環境と公衆インターネットに対して自分のトラ
フィックを保護することが可能である。さらに、このよ
うなＩＰトンネルはゲストをホームネットワークのＶＰ
Ｎサーバと接続することが可能である。この場合、ゲス
トは、ホスト側組織のネットワーク及び公衆インターネ
ットをＩＰトンネルのための実装基盤としてのみ使用し
て（これは、ゲストデバイスとホームネットワークセグ
メントの間の仮想的なケーブルとして作用する）、ホー
ムネットワークと（論理的に）接続されることになる。

【０１８１】次に、ｐｐｔｐサーバと、トンネルセット
アップのいくつかの実際的な事項について簡単に説明す
る。

【０１８２】［ＬＩＮＵＸ上におけるＰＰＴＰサーバの
インストール］本発明の実際の実装では、Microsoft Po
int-to-Point Encryption（ＭＰＰＥ）をサポートする
ＰＰＴＰサーバの、完全にＬＩＮＵＸベースの実装が作
成される。このサーバは、ＰＰＰデーモン、ＰＰＴＰサ
ーバプログラム及びＭＰＰＥＬＩＮＵＸカーネルモジュ
ールという３つの部分を有する。以下、これらの３つの
部分のそれぞれについて説明する。

【０１８３】・ＰＰＰのインストール ＬＩＮＵＸシステムは通常、既にＰＰＰデーモン（ｐｐ
ｐｄ）がインストールされている可能性がある。しか
し、現在のバージョンは、Microsoft Point-to-Point E
ncryptionプロトコル（ＭＰＰＥ）のパラメータのネゴ
シエーションをサポートしていない可能性がある。従っ
て、新しいｐｐｐｄのバージョンをＰＰＴＰサーバに含
めることが必要になる場合がある。これを実行するに
は、以下のことが必要である。

【０１８４】ＰＰＰデーモン実行可能ファイルを/usr/s
bin/pppdにコピーする。

【０１８５】/usr/sbin/pppdの所有者（オーナ）をルー
トに設定し、このファイルのset-uidビットをセットす
る（新しいトンネルを確立するとき、ｐｐｐｄは、プロ
グラムｒｏｕｔｅ及びａｒｐを呼び出して、システムの
ルーティングテーブル及びＡＲＰテーブルを変更する必
要があり、これはスーパーユーザ特権を必要とする）。

【０１８６】ｃｏｎｆｉｇファイルにより、１行に１つ
のオプションずつ、ｐｐｐｄを構成する。重要なオプシ
ョンを図１２に示す。

【０１８７】MS-CHAP認証プロセス中にｐｐｐｄ自身を
呼出し側（リモートクライアント）に対して認証し、呼
出し側の識別を確認するために使用する、図１３に示す
ような秘密情報をｐｐｐｄに与える。

【０１８８】・ＰＰＴＰデーモンのインストール ＰＰＴＰデーモンは、ＴＣＰポート１７２３で、呼出し
の到着を待機する。ダイヤルイン要求（すなわち、新し
いトンネルを確立する要求）が受信されると、ＰＰＴＰ
デーモンは、呼出し側とのＴＣＰ制御コネクションと、
追加のワークロードコネクションを確立する。これらの
ステップが正しく完了した場合、ＰＰＴＰデーモンはＰ
ＰＰデーモンを起動し、エンドレスループで、トンネル
を通じて受信するすべてのデータをＰＰＰデーモン入力
にコピーする。逆に、ＰＰＴＰデーモンは、ＰＰＰデー
モンの出力をインターセプトして、トンネルを通じてそ
れをリモートクライアントへ送る。

【０１８９】ＰＰＰデーモンは、ファイル/etc/ppp/opt
ionsを読み出して自分を構成し、リモート側の相手との
ネゴシエーションを開始する。後で暗号化がネゴシエー
トされる場合でも、このネゴシエーションプロセス中に
交換されるメッセージは暗号化されない。ネゴシエーシ
ョンの完了後、ＰＰＰデーモンはローカルネットワーク
インタフェースを作成し（例えばＬＩＮＵＸ上ではppp
0）、すべての出力ＩＰパケットをＰＰＰパケット内に
カプセル化する。ＰＰＴＰサーバは、これらのパケット
を、ＰＰＰデーモンの出力からインターセプトして、Ｇ
ＲＥ(General Routing Encapsulation)パケット内にカ
プセル化した後にトンネルを通じて送信する。同様に、
逆方向では、ＰＰＴＰデーモンはリモートクライアント
からＧＲＥパケットを受信し、ＰＰＰパケットを取り出
し、それをＰＰＰデーモンの入力に転送し、そこで、カ
プセル化されたＩＰパケットが取り出される。

【０１９０】ＰＰＴＰサーバ(pptp-server)は単一のプ
ログラムである。これは、例えば、/usr/sbin/pptp#ser
verのようにインストールされなければならない。特別
な特権は不要である。

【０１９１】ＰＰＴＰサーバを実行するために現在のと
ころ好ましい方法は、ＴＣＰポート１７２３をモニタし
てこのポートに対するコネクション要求が到着したとき
に自動的にＰＰＴＰデーモンを起動するように、インタ
ーネットデーモンｉｎｅｔｄを構成することである。Ｐ
ＰＴＰサーバの位置が上記の通りであると仮定すると、
ｉｎｅｔｄ構成（コンフィグレーション）ファイル内の
対応する行は図１４に示すようにすることが可能であ
る。

【０１９２】ただし、これは、ＰＰＴＰサービスの名前
ｐｐｔｐが、図１５に示すように/etc/servicesファイ
ル内の行によってシステムに導入されていることを仮定
している。

【０１９３】・ＭＰＰＥ暗号化モジュールのインストー
ル ＭＰＰＥは、暗号化／復号を、圧縮／伸長の特殊な形式
と見なす。圧縮／伸長アルゴリズムが、圧縮モジュール
を通じてＬＩＮＵＸに利用可能になっていなければなら
ない。このようなモジュールは、静的にカーネル内にコ
ンパイルすることも可能であり（その場合にはこのよう
なモジュールは常に利用可能となる）、あるいは、コマ
ンドinsmod mppe#compで動的にロードされることも可能
である。

【０１９４】・トンネルのセットアップ ＩＰトンネルは、アクセスルータと、ホスティングネッ
トワークの企業ファイアウォールの外部のマシンとの間
に、ゲストからのすべてのトラフィックが公衆インター
ネットまでの途中で保護されることを保証するように作
成される。ここで、「保護」とは、ファイアウォールを
通って戻ることなしに、ゲストステーションから来るパ
ケットがその出力パスを離れることや、ホスト側組織の
ネットワーク内のステーションに到達することができな
いことを保証することを意味する。

【０１９５】ＩＰ−ｏｖｅｒ−ＩＰトンネルは、このよ
うな保護機構を確立するための多くの可能な技術のうち
の１つに過ぎない。このようなトンネルを使用すること
は、最も少ないオーバーヘッドしか要求しないために、
好ましい。次に、このようなトンネルを確立する実際の
例について説明する。

【０１９６】２つのマシン１２８．１．１．１と１２
８．２．２．２の間にＩＰ−ｏｖｅｒ−ＩＰトンネルを
確立するために、擬似ネットワークインタフェースtun1
0を作成し構成しなければならない（これらのＩＰアド
レスは、これらのトンネルエンドポイントのイーサネッ
トインタフェースに属するものである）。

【０１９７】図１６に示すコマンドは、ＩＰアドレス１
２８．１．１．１のマシン（アクセスルータ）からＩＰ
アドレス１２８．２．２．２のマシン（外部ルータ）へ
の一方向トンネルを作成する。

【０１９８】外部ルータ（外部ポストということもあ
る）が入力トラフィックに対するルータとして作用しな
い場合、プロキシＡＲＰを用いて、外部ルータがｃ／ｏ
アドレスに対する入力トラフィックを受信することを保
証しなければならない。以下のコマンドはこれを実行す
るが、認識されるように、外部ルータがイーサネットイ
ンタフェースeth0を通じて、入力トラフィックを運ぶネ
ットワークセグメントに接続されていると仮定してい
る。arp -s <c/o address> <eth0-hardware-addr> -i e
th0 pub

【０１９９】第４実施形態 本発明の第４実施形態は、ＩＰアドレスの大きいプール
の必要性を回避する方法を提供する。

【０２００】多数のゲストをサポートすることができる
ためには、ホスト側組織は十分多くのｃ／ｏアドレス
（ゲストごとに１つのアドレス）を確保しなければなら
ない。ゲストの数とポータブルデバイスの数は増大する
であろう。インターネットのルーティング構造のもとで
は、与えられたアクセスルータに新しいｃ／ｏアドレス
を割り当てることが困難である。これらの２つのファク
タが組み合わさることにより、ホスト側組織に重大な問
題を生じる可能性がある。

【０２０１】本発明のこの第４実施形態によれば、２つ
の機能がｃ／ｏアドレスによって実行される。第１に、
ｃ／ｏアドレスは、応答（返信）トラフィックがゲスト
のホームネットワークの代わりにアクセスルータへルー
ティングされることを保証する。第２に、一意的なｃ／
ｏアドレスにより、アクセスルータは、それぞれの返信
パケットが属するゲストを識別する。

【０２０２】第１の目的を実現するためには、すべての
ゲストに対する単一のｃ／ｏアドレスで十分である。第
２の目的のためには、ＩＰマスカレード（４）と呼ばれ
る技術を適用することにより、ＴＣＰあるいはＵＤＰの
ポート番号を用いて、入力ＩＰパケットに対応するゲス
トを識別する。

【０２０３】ホーム−ｃ／ｏ ＩＰアドレス変換と同様
に、アクセスルータは、ゲストのソースポート番号を、
ルータ内で一意的なｃ／ｏソースポート番号に変換す
る。ｃ／ｏ ＩＰアドレスはすべてのゲストに対して同
一となる。一意的なソースポート番号（返信トラフィッ
クにおいてデスティネーションポート番号として現れ
る）を用いて、ゲストサービスレコード（これは、ｃ／
ｏアドレスをゲストの真の（ホーム）ＩＰアドレスで置
換するために必要となる）を検索し、ｃ／ｏポート番号
をもとのソースポート番号で置換することが可能であ
る。こうして、ゲストごとに平均で１０個以下の同時コ
ネクションがある場合に、ｃ／ｏアドレスあたり６，５
００までのゲストをサポートすることが可能である。

【０２０４】ただし、ＩＰマスカレードは、ＵＤＰやＴ
ＣＰのように、ポート番号で上位レベルプロトコルを運
ぶＩＰトラフィックに対してのみうまく動作する。しか
し、これらのプロトコルは、まさにゲストが最も関心の
あるプロトコルであり、上記のＰＰＴＰ ＩＰトンネル
を作成するのに必要なプロトコルである。ゲストは、Ｉ
Ｐトンネルを確立した後、再び、他のすべてのゲストと
は独立に、２１６個のすべてのポート番号を使用するこ
とが可能である。

【０２０５】第５実施形態 本発明の第５実施形態は、効率的なＤＮＳ問合せ（クエ
リ）の取扱いを実現する。

【０２０６】ＤＮＳは、既に述べたように、www.nec.co
mのような人間が読取り可能なホスト名を１４３．１０
１．２５０．２０のようなＩＰアドレスへと解決するネ
ットワークサービスである。ゲストステーションのＩＰ
設定には、ゲストのホームネットワークにおけるいくつ
かのＤＮＳサーバ（これらにすべてのＤＮＳと居合わせ
葉送られる）が指定されているはずである。ＤＮＳ問合
せを含むＩＰパケットは、ＩＰヘッダのプロトコルフィ
ールドにおける値１７（これはＵＤＰを示す）と、ＵＤ
Ｐヘッダにおけるデスティネーションポート番号５３
（これはＤＮＳを示す）によって認識することができ
る。

【０２０７】この実施形態によるアクセスルータは、Ｄ
ＮＳ問合せであるＩＰパケットを認識すると、そのＤＮ
Ｓとい合わせのデスティネーションＩＰアドレスを、ロ
ーカルＤＮＳサーバのＩＰアドレスで置換する。ＤＮＳ
はグローバルなネットワークサービスであるため、問合
せが、ゲストステーションのホームネットワークのＤＮ
Ｓエージェントの代わりに実際にはホスト側組織のＤＮ
Ｓエージェントによって応答されることは、ホスティン
グネットワークのローカルなＤＮＳエージェントを使用
するほうが高速で効率的に動作することを除いては、実
際上何の問題もない。

【０２０８】このことは、ＤＮＳ問合せが公衆インター
ネット上で見えるホストに対して行われる限りにおいて
正しい。しかし、ゲストのホームネットワークのＤＮＳ
サーバが、外部には見えないマシンに関するエントリを
維持している可能性がある。そのようなホストに関する
問合せは、ホスト側組織のローカルＤＮＳサーバによっ
ては明らかに応答され得ない。さらに、ホスト側組織
は、ローカルＤＮＳサーバへのアクセス権を任意のゲス
トに与えることに関して予約を有する可能性がある。ゲ
ストは、ホスト側組織のネットワークの外部から見える
ことを想定していないホスティングネットワークに関す
る情報を受けとる可能性があるからである。従って、こ
の第５実施例の変形によれば、ＤＮＳ問合せをローカル
ＤＮＳサーバへリダイレクトする機能は、ホスト側組織
によってオフにすることが可能なオプションである。す
なわち、ＤＮＳリダイレクト機能は、現在の好ましい実
施例では選択可能な機能である。

【０２０９】このような選択可能性を実現するために、
アクセスルータは制御インタフェースを有することが可
能である。この実施例の実際の実装では、この制御イン
タフェースは、ＣＯＲＢＡ（５）に基づくオープンな実
装とすることが可能である。このようなインタフェース
により、リモートクライアントは、現在登録されている
ゲストのリストを取得することが可能となる。さらに、
これは、ＤＮＳサーバを特定のゲストに割り当てる方法
や、ＤＮＳ問合せリダイレクト機能をオフにするための
方法を提供する。

【０２１０】ＣＯＲＢＡは本来的にリモートアクセスを
サポートするため、ホスト側組織のネットワーク管理者
は、アクセスルータをリモート制御することができる。
相互ピア認証やデータ暗号化のようなＣＯＲＢＡの組込
みセキュリティ機能は、このインタフェースの無権限の
使用に対する保護を行う。

【０２１１】第６実施形態 ＤＮＳ問合せリダイレクトが提供される第５実施形態と
同様に、この実施形態は、ローカルプリンタあるいはプ
リントサーバへのプリントジョブのリダイレクトを提供
する。アクセスルータは、プリントサービス要求が認識
されると、ゲストステーションからのパケット内のＩＰ
デスティネーションアドレスをローカルプリンタあるい
はプリントサーバのＩＰアドレスで置換することにより
これをサポートすることができる。プリントサービスに
関連するトラフィックは、デスティネーションポート番
号によって認識される。本発明のこの実施形態によれ
ば、アクセスルータは、オープンなＣＯＲＢＡベースの
インタフェースを提供する。これによれば、特定のロー
カルプリンタを各ゲストに割り当てること、あるいは、
プリントリダイレクトを選択的にオフにすること（この
場合、プリントサービス要求によってゲストのホームに
あるプリンタが起動される）が可能となる。

【０２１２】第７実施形態 本発明の第７実施形態は、ゲストサービスレコードの制
御のためのＧＵＩを提供する。このＧＵＩは、ホスティ
ングネットワークのシステム管理者のためのコンポーネ
ントと、ゲストステーションを使用するゲストのための
コンポーネントを含む。

【０２１３】［ホスト側組織のシステム管理者のための
コンポーネント］ホスト側組織のシステム管理者は、Ｃ
ＯＲＢＡ機能付きＪａｖａアプレットを提供するウェブ
サイトをアクセスルータ（access-router）からダウン
ロードすることができる（ＵＲＬ http://<access-rout
er>/GuestIPcontrol.html）。このアプレットは、現在
登録されているゲスト、そのゲストのホームＩＰアドレ
ス、及び、そのゲストに割り当てられているｃ／ｏアド
レスのリストを示すＧＵＩを備える。このリストから項
目を選択することによって、システム管理者は、特定の
ゲストについての詳細、例えば、そのゲストが登録され
た時刻や、そのゲストが選択することが可能なローカル
ＤＮＳサーバ及びローカルプリンタのリスト、を問い合
わせることができる。そして、システム管理者は、この
リストをゲストごとに編集して、特定のゲストにさらに
選択肢を与えたり、選択肢を減らしたりすることができ
る。さらに、システム管理者は、選択されたゲストの代
わりに、利用可能な選択肢のうちの１つを選択する特権
を有する。

【０２１４】［ゲストのためのコンポーネント］ホスト
側組織のシステム管理者によって設定される制限内で、
ゲストは、ウェブページhttp://<access-router>/Guest
IP.htmlを開くことが可能である。このウェブページ
は、ローカルサーバへのＤＮＳ問合せのリダイレクト
や、ローカルプリンタへのプリンタ要求のリダイレクト
の現在の設定を示すＣＯＲＢＡ機能付きＪａｖａアプレ
ットを提供する。

【０２１５】次に、パフォーマンスについていくつかの
考察を行う。

【０２１６】パフォーマンス アクセスルータにおいてｃ／ｏアドレス変換を実行する
ための主なコストは、ゲストのサービスレコードのルッ
クアップと、ＩＰ／ＵＤＰ／ＴＣＰ／ＩＣＭＰヘッダの
チェックサムの再計算である。ゲストのサービスレコー
ドは、ゲストとの間のＩＰパケットごとに検索する必要
がある。ルックアップは、トラフィックの方向に依存し
て、ゲストのホームアドレスまたはｃ／ｏアドレスに基
づく。このオペレーションのコストはＯ（ｌｏｇ
（ｎ））である。ただし、ｎは登録されているゲストの
数である。ｎは通常小さい（２０より小さい）ため、こ
のオペレーションによって受ける転送遅延は無視し得
る。

【０２１７】ヘッダチェックサムの再計算（チェックサ
ムフィールド自体を除くＩＰパケット全体の１６ビット
の１の補数の１の補数和）のコストは、ＩＰパケットサ
イズに線形に比例する。しかし、ソースＩＰアドレスフ
ィールドのみが変更されるため、このコストは、ゲスト
によって前に計算されたＩＰチェックサムを再使用する
際には一定となる。

【０２１８】認識されるように、本発明の上記の実施例
によるアクセスルータを用いたＩＰゲストサポートはネ
ットワークエッジで提供される。ここでは、要求される
スループットは、コアネットワークほど厳しくはない。

【０２１９】

【発明の効果】結論 インターネットは、現在の支配的なネットワークであ
る。ユーザ数と高度なサービスの数の急速な増大によ
り、インターネットに接続されることは日々ますます重
要になっている。同時に、コンピュータのようなネット
ワークのエンドサービスの物理的サイズは急速に減少し
ており、（潜在的に）ポータブルになっている。これに
は、ラップトップのみならず、小型のプリンタ、入力／
スキャンデバイス、カメラ、及びその他の、近い将来の
多くの有用な装置が含まれる。これらのポータブルデバ
イスが固有の一意的ＩＰアドレスを有するようになり、
これがグローバルに一意的な識別を提供する。本発明に
よれば、これらのデバイスは、一時的なロケーションに
おいても、ＩＰサービスを容易かつ簡単に受けられ、ゲ
ストステーションをホストする際の問題点が解決され
る。

【０２２０】本発明によるＩＰアクセスによれば、ホス
ト側組織は、ローカルなｃ／ｏアドレスをポータブルデ
バイスに関連づける。ポータブルデバイス（すなわち、
ゲストステーション）でのサポートや変更を必要とせず
に、インテリジェントアクセスルータは透過的にポータ
ブルデバイスのＩＰアドレス（ホームアドレス）を、そ
のデバイスの現在のロケーションを指定する関連づけら
れたｃ／ｏアドレスで置換する。これにより、帰路トラ
フィックがポータブルデバイスの現在のロケーションに
到達することが可能となる。このアドレス変換は入力ト
ラフィックに対しては元に戻されるため、全体のプロセ
スはポータブルデバイスにとっては透過的なままであ
る。

【０２２１】ホスト側組織は、ＩＰトンネルを用いて、
悪意のあるゲストに対して自分を効果的に保護すること
ができる。さらに、ゲスト（すなわち、ポータブルデバ
イス）は、セキュアＩＰトンネルを用いて、自分をホス
ト側組織及び公衆インターネットに対して保護すること
ができる。最後に、ＩＰマスカレードにより、アクセス
ポイントにおいて多数のポータブルデバイスをサポート
するのに必要なｃ／ｏアドレスの数を大幅に少なくする
ことができる。

【０２２２】さらに、ゲストを、ローカルネットワーク
の設定（ＤＮＳサーバやプリンタのアドレスなど）に適
合させるためのフレキシブルな機構により、ローカルネ
ットワーク管理者の作業が軽減される。新たな、あるい
は一時的に異なるネットワーク設定についての情報をあ
らゆるユーザのローカルシステムに入れる必要がないた
めである。

【図面の簡単な説明】

【図１】コンピュータ及びそのいくつかのモジュールの
例を示す図である。

【図２】ネットワーク上のステーションを示す図であ
る。

【図３】互いに通信していない２つのネットワークの図
である。

【図４】より概念的に、互いに通信していない３つのネ
ットワークを示す図である。

【図５】ネットワークによって相互接続された図４の３
つのネットワークの図である。

【図６】ルータがどのようにして２つのネットワークを
接続するかを示す図である。

【図７】ＩＰパケットのヘッダの図である。

【図８】１つのステーションが外部ネットワークのゲス
トステーションであるような、図５のネットワークの図
である。

【図９】本発明の実施例によるルータを通じてゲストが
ターゲットマシンと通信することを示す図である。

【図１０】公衆インターネットにおける、アクセスルー
タと次ホップルータの間のＩＰトンネルを示す図であ
る。

【図１１】ＩＰ接続を用いて、ゲストステーションがど
のようにして、自分と、信頼されたエンティティ（例え
ば、ゲストステーションのレギュラーネットワーク内の
ＶＰＮサーバ）との間にセキュアＩＰトンネルを作成す
るかを示す図である。

【図１２】本発明の一実施例の具体的実装に関連するい
くつかの具体的なコマンド及びエントリを示す図であ
る。

【図１３】本発明の一実施例の具体的実装に関連するい
くつかの具体的なコマンド及びエントリを示す図であ
る。

【図１４】本発明の一実施例の具体的実装に関連するい
くつかの具体的なコマンド及びエントリを示す図であ
る。

【図１５】本発明の一実施例の具体的実装に関連するい
くつかの具体的なコマンド及びエントリを示す図であ
る。

【図１６】本発明の一実施例の具体的実装に関連するい
くつかの具体的なコマンド及びエントリを示す図であ
る。

【図１７】ＩＰパケットを送信するステーションに関連
する流れ図である。

【図１８】本発明の実施例によるアクセスルータがホス
ティングネットワーク上に設けられた、図８のネットワ
ークの図である。

【図１９】本発明の実施例によるアクセスルータの概略
図である。

【図２０】本発明の実施例によるアクセスルータの動作
に関する流れ図である。

【符号の説明】

１０ 汎用デジタルコンピュータ １００ 中央処理装置（ＣＰＵ） １１０ メインメモリ １２０ Ｉ／Ｏプロセッサ １３０ Ｉ／Ｏデバイス １４０ ネットワークアダプタ ２００ 第１のネットワーク ２１０ コンピュータ ２２０ コンピュータ ２３０ コンピュータ ２４０ コンピュータ ３００ 第２のネットワーク ３１０ コンピュータ ３２０ コンピュータ ３３０ コンピュータ ３４０ コンピュータ ４００ 第２のネットワーク ４１０ レギュラーステーション ４２０ レギュラーステーション ４３０ レギュラーステーション ４４０ レギュラーステーション ５００ インターネットワーク ５０２ アクセスステーション ５０３ アクセスステーション ５０４ アクセスステーション ６００ ルータ ９００ アクセスルータ ９１０ ＣＰＵ ９２０ メモリ ９２１ ＡＲＰあて先テーブル ９２２ ゲストサービステーブル ９４１ ネットワークアダプタ ９４２ ネットワークアダプタ

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5K030 HB19 HC01 HC14 HD03 HD06 HD09 KA02 LB05 5K033 BA04 CB08 DA05 DB12 EC03 9A001 BB04 CC06 CC07 EE02 JJ25 KK56

Claims (26)

【特許請求の範囲】
1. 【請求項１】 アクセスルータがＩＰサービスをゲスト
   ステーションに提供するアクセスルーティング方法にお
   いて、 前記ゲストステーションから、元のソースＩＰアドレス
   及びデスティネーションＩＰアドレスを有する元の出力
   ＩＰパケットをインターセプトするインターセプトステ
   ップと、 前記元のソースＩＰアドレスをｃ／ｏ（care-of）アド
   レスに関連づける関連づけステップと、 前記元の出力ＩＰパケットに基づいて変更された出力Ｉ
   Ｐパケットに、前記元のソースＩＰアドレスの代わりに
   前記ｃ／ｏアドレスを提供するステップと、 からなることを特徴とするアクセスルーティング方法。
2. 【請求項２】 前記インターセプトステップは、 前記ゲストステーションから送信される、前記アクセス
   ルータ以外のステーション宛のＡＲＰ要求を検出するス
   テップと、 前記ＡＲＰ要求に対して、前記アクセスルータのハード
   ウェアアドレスを含むプロキシＡＲＰ応答を、前記ゲス
   トステーションへ送るプロキシＡＲＰ応答送信ステップ
   と、 からなることを特徴とする請求項１記載の方法。
3. 【請求項３】 前記プロキシＡＲＰ応答送信ステップ
   は、前記ＡＲＰ要求に対するＡＲＰ応答が所定のルータ
   ＡＲＰウェイト期間内に検出されないときに実行される
   ことを特徴とする請求項２記載の方法。
4. 【請求項４】 前記関連づけステップは、 前記ゲストステーションのソースポート番号を前記ゲス
   トステーションに一意的なｃ／ｏポート番号に関連づけ
   るステップを含むことを特徴とする請求項１記載の方
   法。
5. 【請求項５】 外部ステーションへのＩＰトンネルを通
   じて前記変更された出力ＩＰパケットを送信するステッ
   プをさらに有することを特徴とする請求項１記載の方
   法。
6. 【請求項６】 ＤＮＳリダイレクトステップをさらに有
   し、 該ＤＮＳリダイレクトステップは、 ＤＮＳ問合せパケットをインターセプトするステップ
   と、 インターセプトされたＤＮＳ問合せパケットのデスティ
   ネーションＩＰアドレスを、ローカルＤＮＳサーバのＩ
   Ｐアドレスで置換して、変更されたＤＮＳ問合せパケッ
   トを提供するステップと、 前記変更されたＤＮＳ問合せパケットを前記ローカルＤ
   ＮＳサーバへ送るステップと、 からなることを特徴とする請求項１記載の方法。
7. 【請求項７】 前記ＤＮＳリダイレクトステップは選択
   可能であることを特徴とする請求項６記載の方法。
8. 【請求項８】 プリントジョブリダイレクトステップを
   さらに有し、 該プリントジョブリダイレクトステップは、 プリントジョブパケットをインターセプトするステップ
   と、 インターセプトされたプリントジョブパケットのデステ
   ィネーションＩＰアドレスを、ローカルプリンタのＩＰ
   アドレスで置換して、変更されたプリントジョブパケッ
   トを提供するステップと、 前記変更されたプリントジョブパケットを前記ローカル
   プリンタへ送るステップと、 からなることを特徴とする請求項１記載の方法。
9. 【請求項９】 前記プリントジョブリダイレクトステッ
   プは選択可能であることを特徴とする請求項８記載の方
   法。
10. 【請求項１０】 ゲストステーションにＩＰ層アクセス
    を提供するシステムにおいて、 ゲストステーションＩＰアドレスを有するゲストステー
    ションと、 前記ゲストステーションと通信するホスティングネット
    ワークと、 前記ゲストステーションによって放出されるＩＰパケッ
    トと、 前記ホスティングネットワークに参加するアクセスルー
    タとを有し、 前記アクセスルータは、前記ゲストステーションによっ
    て放出されたＩＰパケットをインターセプトして、前記
    ゲストステーションにＩＰアクセスを提供することを特
    徴とするゲストステーションにＩＰ層アクセスを提供す
    るシステム。
11. 【請求項１１】 前記アクセスルータは前記放出された
    ＩＰパケットをインターセプトすることを特徴とする請
    求項１０記載のシステム。
12. 【請求項１２】 前記アクセスルータは、プロキシＡＲ
    Ｐを用いて前記放出されたＩＰパケットをインターセプ
    トすることを特徴とする請求項１１記載のシステム。
13. 【請求項１３】 前記アクセスルータは、前記ゲストス
    テーションＩＰアドレスをｃ／ｏ ＩＰアドレスで置換
    することによって前記放出されたＩＰパケットを変更す
    ることを特徴とする請求項１０記載のシステム。
14. 【請求項１４】 前記アクセスルータは、ＩＰマスカレ
    ードを用いて、前記ゲストステーションＩＰアドレスを
    ｃ／ｏ ＩＰアドレスで置換することを特徴とする請求
    項１３記載のシステム。
15. 【請求項１５】 前記アクセスルータは、前記ゲストス
    テーションＩＰアドレスとｃ／ｏ ＩＰアドレスの間の
    関連づけをゲストサービスレコードに記録することを特
    徴とする請求項１０記載のシステム。
16. 【請求項１６】 ゲストステーションがホスティングネ
    ットワークに接続される際に該ゲストステーションにＩ
    Ｐアクセスを提供するためのコンピュータシステムにお
    いて、 プロセッサとソフトウェア命令を含むメモリとを有し、 前記ソフトウェア命令は、前記コンピュータシステム
    が、 前記ゲストステーションから、元のソースＩＰアドレス
    及びデスティネーションＩＰアドレスを有する元の出力
    ＩＰパケットをインターセプトするインターセプトステ
    ップと、 前記元のソースＩＰアドレスをｃ／ｏアドレスに関連づ
    ける関連づけステップと、 前記元の出力ＩＰパケットに基づいて変更された出力Ｉ
    Ｐパケットに、前記元のソースＩＰアドレスの代わりに
    前記ｃ／ｏアドレスを提供するステップと、 を実行することを可能にすることを特徴とするコンピュ
    ータシステム。
17. 【請求項１７】 前記インターセプトステップは、 前記ゲストステーションから送信される、前記アクセス
    ルータ以外のステーション宛のＡＲＰ要求を検出するス
    テップと、 前記ＡＲＰ要求に対して、前記アクセスルータのハード
    ウェアアドレスを含むプロキシＡＲＰ応答を、前記ゲス
    トステーションへ送るプロキシＡＲＰ応答送信ステップ
    と、 からなることを特徴とする請求項１６記載のコンピュー
    タシステム。
18. 【請求項１８】 前記プロキシＡＲＰ応答送信ステップ
    は、前記ＡＲＰ要求に対するＡＲＰ応答が所定のルータ
    ＡＲＰウェイト期間内に検出されないときに実行される
    ことを特徴とする請求項１７記載のコンピュータシステ
    ム。
19. 【請求項１９】 前記関連づけステップは、 前記ゲストステーションのソースポート番号を前記ゲス
    トステーションに一意的なｃ／ｏポート番号に関連づけ
    るステップを含むことを特徴とする請求項１６記載のコ
    ンピュータシステム。
20. 【請求項２０】 前記ソフトウェア命令は、前記コンピ
    ュータシステムが、外部ステーションへのＩＰトンネル
    を通じて前記変更された出力ＩＰパケットを送信するス
    テップをを実行することを可能にするソフトウェア命令
    を含むことを特徴とする請求項１６記載のコンピュータ
    システム。
21. 【請求項２１】 ゲストステーションがホスティングネ
    ットワークに接続される際に、コンピュータが該ゲスト
    ステーションにＩＰアクセスを提供することを可能にす
    るコンピュータプログラム製品において、 前記コンピュータが所定のオペレーションを実行するこ
    とを可能にするソフトウェア命令と前記ソフトウェア命
    令を有するコンピュータ読取り可能媒体とを有し、 前記所定のオペレーションは、 前記ゲストステーションから、元のソースＩＰアドレス
    及びデスティネーションＩＰアドレスを有する元の出力
    ＩＰパケットをインターセプトするインターセプトステ
    ップと、 前記元のソースＩＰアドレスをｃ／ｏアドレスに関連づ
    ける関連づけステップと、 前記元の出力ＩＰパケットに基づいて変更された出力Ｉ
    Ｐパケットに、前記元のソースＩＰアドレスの代わりに
    前記ｃ／ｏアドレスを提供するステップと、を含むこと
    を特徴とするコンピュータプログラム製品。
22. 【請求項２２】 前記インターセプトステップは、 前記ゲストステーションから送信される、前記アクセス
    ルータ以外のステーション宛のＡＲＰ要求を検出するス
    テップと、 前記ＡＲＰ要求に対して、前記アクセスルータのハード
    ウェアアドレスを含むプロキシＡＲＰ応答を、前記ゲス
    トステーションへ送るプロキシＡＲＰ応答送信ステップ
    と、 からなることを特徴とする請求項２１記載のコンピュー
    タプログラム製品。
23. 【請求項２３】 前記プロキシＡＲＰ応答送信ステップ
    は、前記ＡＲＰ要求に対するＡＲＰ応答が所定のルータ
    ＡＲＰウェイト期間内に検出されないときに実行される
    ことを特徴とする請求項２２記載のコンピュータプログ
    ラム製品。
24. 【請求項２４】 前記関連づけステップは、 前記ゲストステーションのソースポート番号を前記ゲス
    トステーションに一意的なｃ／ｏポート番号に関連づけ
    るステップを含むことを特徴とする請求項２１記載のコ
    ンピュータプログラム製品。
25. 【請求項２５】 前記所定のオペレーションは、外部ス
    テーションへのＩＰトンネルを通じて前記変更された出
    力ＩＰパケットを送信するステップをさらに含むことを
    特徴とする請求項２１記載のコンピュータプログラム製
    品。
26. 【請求項２６】 ホスティングネットワークに接続され
    たゲストステーションのＩＰアクセスを制御するため
    に、アプリケーションから呼出し可能なユーザインタフ
    ェースにおいて、 前記ホスティングネットワークに接続された、現在登録
    されているゲストステーションのリストを表示する第１
    表示領域と、 ゲストステーションごとに、該ゲストステーションの対
    応するホームＩＰアドレス及びｃ／ｏアドレスを表示す
    るアドレス表示領域と、 選択されると、選択されたゲストステーションが登録さ
    れた時刻を示す第１ユーザ選択可能コントロールと、 ゲストステーションに関して選択可能なローカルＤＮＳ
    サーバ及びローカルプリンタのリストを表示する第２表
    示領域と、 ゲストステーションのプリントジョブパケットのプリン
    トジョブリダイレクトのためのローカルプリンタを選択
    するための第２ユーザ選択可能コントロールと、 ゲストステーションのＤＮＳ問合せパケットのＤＮＳ問
    合せリダイレクトのためのローカルＤＮＳサーバを選択
    するための第３ユーザ選択可能コントロールと、 から
    なることを特徴とする、ホスティングネットワークに接
    続されたゲストステーションのＩＰアクセスを制御する
    ためのユーザインタフェース。