JP2001352337A - 通信データ中継装置、及び方法 - Google Patents

Abstract

(57)【要約】 （修正有） 【課題】セキュリティや保守の独立性を確保した上で、
ドメイン間を制限的に接続をすることを技術的課題とす
る。 【解決手段】中継装置であって、システムとしてのドメ
インを定義するドメイン定義部２と、２以上のドメイン
間における接続の可否を定義するドメイン間接続定義部
４と、通信データの中継先を決定する経路処理部と、異
なるドメイン間で通信データを中継するときに、その通
信データに保持された送信側ドメインにおける送信元ア
ドレスを中継先ドメインにおけるプロキシホストアドレ
スに変換するアドレス変換部７ａと、宛先アドレスフィ
ールドに前記プロキシホストアドレスを有する通信デー
タを受信したときに、通信データに保持される送信元ド
メインにおける宛先アドレスを中継先ドメインにおける
アドレスに変換するアドレス逆変換部７ｂと、ドメイン
間接続定義部４の定義に従い、中継の可否を制御する制
御部とを備えたものである。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はパケットの中継装置
に関わり、特に、異なるパケットルーティング規則を持
つため、直接パケットが到達できない通信ネットワーク
同士の接続機能、アドレス変換機能に関する。

【０００２】

【従来の技術】（ドメインの概念）従来、ネットワーク
層において、ドメインは以下のように定義されている。
［ドメイン］ドメインとは、ネットワーク層において共
通の経路制御ルールに従いパケットを送信可能な範囲で
ある。なお、異なる経路制御ルールを用いたエリア同士
間では、ドメイン間の中継機能を持つ中継装置を介さな
ければパケットは到達できない。

【０００３】以下はそれぞれ異なるドメインの例であ
る。

【０００４】企業内網とインターネット：企業内網では
Interior Gateway Protocol(IGP)を用いた独自の経路制
御が行われ、インターネットではExterior Gateway Pro
tocol(EGP)を用いた経路制御が行われる。一般的には企
業内網の経路情報はインターネットに配布されない。

【０００５】IPv4ネットワークとIPv6ネットワーク：こ
れらは共通の通信メディアにおいて共存あるいは、隣接
可能である。しかし、IPv4ネットワークとIPv6ネットワ
ークとは、異なるネットワーク層アドレス体系を持つた
め、経路情報に互換性がない。このため、IPv4ネットワ
ークとIPv6ネットワークとは、異なる経路制御プロトコ
ルにより管理される。

【０００６】IPネットワークとアップルトークネットワ
ーク：これらはネットワーク層プロトコルとして、各々
IP、アップルトーク（米国アップル・コンピュータ社の
プロトコル）を用いたネットワークである。これらのア
ドレス体系、経路情報に互換性は無い。このため、IPネ
ットワークとアップルトークネットワークとは、異なる
経路制御ルールにより管理される。 （同一ネットワーク層プロトコルにおけるドメイン）異
なるネットワーク層プロトコルで運用される各ネットワ
ークは、上記の例で示したように、経路情報に互換性が
ないために、異なるドメインに分割される。

【０００７】一方、同一ネットワーク層プロトコルで運
用される複数のネットワークは、経路情報に互換性があ
るため、これらのネットワークを一つのドメインにまと
めることは原理的には可能である。しかし、実際には、
このようなネットワークが、意図的に複数のドメインに
分割されることがある。このように同一ネットワーク層
プロトコルで運用される複数のネットワークを複数のド
メインに分割する理由を以下に例示する。 （例１）独立に運用していた複数のネットワークを接続
すると、各ネットワーク内では一意であるように割り振
ったネットワーク層アドレスが一意性を失い、経路情報
が破綻する場合がある。このような事態を避けるため、
各ネットワークが別々のドメインとして定義され、定義
されたドメイン同士が接続される。このようにして、各
ドメイン内でネットワーク層アドレスを独立に割り振る
ことが可能になる。 （例２）あるネットワーク1について、外部ネットワー
クからの侵入に対するセキュリティを強化したい場合、
ネットワーク1と外部ネットワークとが、別々のドメイ
ンとして分割される。これにより、経路情報などのネッ
トワーク1内の情報を外部ネットワークから隠蔽できる
ので、外部ネットワークからのネットワーク1への接続
が遮断される。 （ネットワークの分割管理に対する要求）上記のような
理由により、組織内と組織外とは異なるドメインとして
分割されることが多い。一方、同一組織内では通信の到
達性が優先される。そのため、その組織内で共通の経路
制御ルールに従いネットワークが運用される場合が多
い。

【０００８】しかし、同一組織内でも、異なる経路制御
ルールを用いる範囲を定義することで通信の到達性を制
限し、セキュリティや管理上の利便性を優先する場合が
ある。それは、例えば、同一企業グループ内における企
業間ネットワークを構築する場合、同一企業内の特にセ
キュリティを必要とする部門と他の部門とを接続する場
合、同一企業内の関連子会社間を接続する等の場合であ
る。 （従来の技術）上述のように、従来、ネットワークが同
一のネットワーク層プロトコルで運用される場合でも、
組織内ネットワークと組織外ネットワークとは異なるド
メインとして分割され、同一組織内は、通信の到達性を
優先して共通のドメインとされることが多い。従って、
同一ネットワーク層プロトコルが用いられているネット
ワーク上に必要なドメインは、組織内と組織外の高々二
つであった。

【０００９】以下で、組織内のネットワークと組織外ネ
ットワークとを別のドメインとして管理する場合の、組
織内と組織外の間に位置する中継装置（以下中継装置１
と記す）におけるパケットの中継手順を記す。

【００１０】まず、中継の前提条件を示す。 ［条件１］組織内網の各ノード（通信装置）は、組織外
ノードの名前からそのノードのネットワーク層アドレス
を獲得する手段などにより、接続を希望する組織外ノー
ドのネットワーク層アドレスを獲得可能である。 ［条件２］組織内網の各ノードは、組織内で交換する経
路情報に、組織内に割り振られたネットワーク層アドレ
ス以外を宛先とするパケットの経路中に中継装置１を含
める。すなわち、組織内網の各ノードは、組織外のノー
ドへの経路には中継装置１が含まれることを予め知って
いる。 ［条件３］組織外網の各ノードは、組織内ノードの代理
ホストとなる中継装置１への経路情報を予め知ってい
る。この経路情報は、中継装置１の組織外網上のネット
ワーク層アドレスを宛先とする。

【００１１】このような場合、中継装置１は、以下のよ
うに動作していた。 ［動作１］第１は、中継装置１が、組織内から組織外の
ネットワーク層アドレスを宛先とするパケットを受信し
た場合である。この場合、まず、中継装置１は、このパ
ケットの送信元アドレスを組織内ノードの代理ホストと
して振舞うために中継装置１に用意したネットワーク層
アドレスに変換する。

【００１２】ここでパケットのアドレスＡをアドレスＢ
に変換するとは、パケットが保持すするアドレスＡをア
ドレスＢに書き換えることをいう（以下同様である）。

【００１３】次に、中継装置１は、このパケットを組織
外に送信する。これにより、このパケットは、上記代理
ホストを送信元として送出される。 ［動作２］第２は、中継装置１が組織外から組織内ノー
ドの代理ホスト用アドレスを宛先とするパケットを受信
した場合である。この場合、まず、中継装置１は、該パ
ケットに付与された宛先アドレスを代理ホスト用のネッ
トワーク層アドレスから組織内ノードのネットワーク層
アドレスに変換する。次に、中継装置１は、組織内にパ
ケットを中継する。これにより、このパケットは、組織
内ノードを宛先として組織内に中継される。

【００１４】以上で組織内外の二つのドメインを分割す
る中継装置１の動作を述べた。

【００１５】しかし、組織内外の定義以外に、組織内に
も複数のドメインを定義したい場合がある。このような
場合、従来の中継装置は、組織内と組織外という区分以
外のドメインを認識できなかった。そのため、多数のド
メイン（またはネットワーク）が、上記［条件１］から
［条件３］における組織としての条件を満たす場合で
も、中継装置は、これらのドメイン対ごとに接続ルール
を決定し、その接続ルールに従いドメイン間のパケット
の中継を行うような動作はできなかった。

【００１６】

【発明が解決しようとする課題】本発明はこのような従
来の技術の問題点に鑑みてなされたものであり、多数の
ドメイン（またはネットワーク）が、上記［条件１］か
ら［条件３］における組織としての条件を満たす場合、
これらのドメインを定義・管理し、セキュリティや保守
の独立性を確保した上で、ドメイン間の制限的な接続機
能を提供することを技術的課題とする。

【００１７】

【課題を解決するための手段】本発明は前記課題を解決
するために、以下の手段を採用した。

【００１８】本発明は、各々１以上の通信装置を接続し
た、そのような２以上のネットワークを中継する通信デ
ータ中継装置であって、ネットワークにアクセスするた
めの２以上のインターフェース部と、１以上のネットワ
ークを接続したシステムとしてのドメインを定義するド
メイン定義部と、２以上のドメイン間における接続の可
否を定義するドメイン間接続定義部と、通信データの中
継先を決定する経路処理部と、異なるドメイン間で通信
データを中継するときに、その通信データに保持された
送信側ドメインにおける送信元アドレスを中継先ドメイ
ンにおけるプロキシホストアドレスに変換するアドレス
変換部と、宛先アドレスフィールドに前記プロキシホス
トアドレスを有する通信データを受信したときに、通信
データに保持される送信元ドメインにおける宛先アドレ
スを中継先ドメインにおけるアドレスに変換するアドレ
ス逆変換部と、ドメイン間接続定義部の定義に従い、２
以上のドメイン間における中継の可否を制御する制御部
とを備えたものである。

【００１９】ここで、ドメインとは、１以上のネットワ
ークを接続したシステムであって、本通信データ中継措
置が中継する対象をいう。中継の可否を制御するとは、
例えば、ドメイン間接続定義部の定義に従って、ドメイ
ン間の接続が許可されている場合には中継し、ドメイン
間の接続が許可されていない場合には中継しないことを
いう。

【００２０】送信側ドメインとは、中継装置によって中
継される２つのドメインのうち、送信側に位置するドメ
インをいう。また、中継先ドメインとは、中継装置によ
って中継される２つのドメインのうち、宛先側に位置す
るドメインをいう。

【００２１】また、ドメイン定義部は、ドメインを、そ
のドメインに接続されるインターフェース部を識別する
情報によって定義してもよい。

【００２２】また、ドメイン定義部を、各ドメインごと
に、そのドメインに含まれるネットワークを識別するア
ドレス（またはそのドメインに含まれるネットワークに
接続される通信装置を識別するアドレス）によって定義
してもよい。

【００２３】また、制御部は、通信データを受信したイ
ンターフェース部に対応付けられるドメインと、その通
信データの送信元アドレスへの経路に接続されるインタ
ーフェースユニットに対応付けられるドメインとが、異
なる場合に、その通信データを廃棄してもよい。

【００２４】

【発明の実施の形態】以下、本発明の好適な実施の形態
を図面を参照して説明する。 （第１実施形態）本発明の第１実施形態を図１から図８
の図面に基づいて説明する。

【００２５】図１は、本実施形態に係るネットワークの
構成図であり、図２は、複数のネットワークを接続する
中継装置１のハードウェア構成図であり、図３は、この
中継装置１の機能構成図であり、図４は、図２に示した
中継装置１のＣＰＵ１４で実行される制御プログラムの
フローチャートであり、図５から図８は、この制御プロ
グラムを実行する際にＣＰＵ１４が使用するテーブルの
データ構造を示す図である。 ＜ネットワーク構成＞図１に、第１実施形態に係るネッ
トワークの構成図を示す。このネットワークは、サービ
スプロバイダの提供する企業外ネットワークＩＳＰ−１
（以下ＩＳＰ−１と略す、ＩＳＰ−２も同様）と、中継
装置１に中継される企業内ネットワークＬＡＮ−１（以
下ＬＡＮ−１と略す、ＬＡＮ−２も同様）及びＬＡＮ−
２と、インターネットとを含んでいる。 ［ＩＳＰ−１］ＩＳＰ−１は、サービスプロバイダが提
供する企業外ネットワークである。ＩＳＰ−１のネット
ワークを識別するネットワークアドレスは、140.2.100.
0/24である。ＩＳＰ−１には、ルータＡを介してインタ
ーネットが接続されている。このルータＡは、ＩＳＰ−
１において、アドレス140.2.100.180によって識別され
る。 ［ＩＳＰ−２］ＩＳＰ−２は、サービスプロバイダが提
供する企業外ネットワークである。ＩＳＰ−２のネット
ワークを識別するネットワークアドレスは、200.2.100.
0/24である。ＩＳＰ−２も、ルータＣ２を介してインタ
ーネットに接続されている。 ［ＬＡＮ−１］ＬＡＮ−１は、関連会社１の企業内ネッ
トワークである。ＬＡＮ−１のネットワークを識別する
ネットワークアドレスは、133.160.5.0/24である。ＬＡ
Ｎ−１は、ＩＳＰ−１経由でインターネットに接続され
ている。 ［ＬＡＮ−２］ＬＡＮ−２は、関連会社２の企業内ネッ
トワークである。ＬＡＮ−２のネットワークを識別する
ネットワークアドレスは、10.25.60.0/24である。ＬＡ
Ｎ−２は、ルータＣ１を介してＩＳＰ−２に接続されて
いる。このＩＳＰ−２は、関連会社２が独自に契約した
サービスプロバイダが提供するネットワークである。

【００２６】また、ルータＣ１は、ＬＡＮ−２におい
て、アドレス10.25.60.180によって識別される。さら
に、ＬＡＮ−２は、ＩＳＰ−２を経由してインターネッ
トに接続されている。

【００２７】中継装置１は、ドメイン間を接続するため
の論理インターフェース（インターフェース部に相当）
として、ＩＦ−０、ＩＦ−１、及びＩＦ−２を備えてい
る。上記ネットワークに対して、中継装置１では、以下
のようなドメインが定義されている。 ［ドメインＡ］ドメインＡは、ＩＳＰ−１及びインター
ネットからなる。また、ドメインＡは、論理インターフ
ェースＩＦ−０を介して中継される。ＩＦ−０のネット
ワークＩＳＰ−１におけるアドレスは、140.2.100.1で
ある。 ［ドメインＢ］ドメインＢは、ＬＡＮ−１からなる。ま
た、ドメインＢは、論理インターフェースＩＦ−１を介
して中継される。ＩＦ−１のネットワークＬＡＮ−１に
おけるアドレスは、133.160.5.1である。 ［ドメインＣ］ドメインＣは、ＬＡＮ−２からなる。た
だし、上述のようにＬＡＮ−２はインターネットに接続
されている。また、ドメインＣは、論理インターフェー
スＩＦ−２を介して中継される。ＩＦ−２のネットワー
クＬＡＮ−２におけるアドレスは、10.25.60.1である。

【００２８】本第１実施形態では、中継装置１経由の通
信の接続ポリシを以下のように想定する。 （１）関連会社１（ＬＡＮ−１）からＩＳＰ−１への接
続、及びＩＳＰ−１経由でのインターネットへの接続は
許可される。 （２）関連会社１（ＬＡＮ−１）から関連会社２（ＬＡ
Ｎ−２）への接続は許可される。 （３）他のドメイン間接続は全て非許可とする。以下、
このような接続を実現する中継装置１の構成と、その処
理とについて説明する。 ＜中継装置１のハードウェア構成＞図２に本実施形態に
係る中継装置１のハードウェア構成図を示す。

【００２９】この中継装置１は、制御プログラムやデー
タを記憶するメモリ１３と、メモリ１３に記憶された制
御プログラムを実行するＣＰＵ１４（制御部に相当）
と、ＣＰＵ１４から制御されて他の通信装置と通信する
複数の物理インターフェース１５ａ、１５ｂ、１５ｃ等
とを備えている。

【００３０】メモリ１３は、ＣＰＵ１４が実行する制御
プログラムやＣＰＵ１４が処理するデータを記憶する。

【００３１】ＣＰＵ１４は、メモリ１３に記憶された制
御プログラムを実行し、中継装置１としての機能を提供
する。

【００３２】物理インターフェース１５ａ、１５ｂ、１
５ｃは、ＣＰＵ１４からの指令により通信データをネッ
トワーク１０に送出し、またはネットワークから通信デ
ータを受信する。 ＜機能構成＞図３に中継装置１の機能構成を示す。中継
装置１の機能は、メモリ１３に記憶されるドメイン定義
テーブル２（ドメイン定義部に相当）、ドメイン間接続
定義テーブル４（ドメイン間接続定義部に相当）、アド
レス変換テーブル７、及び経路情報テーブル１０（経路
情報記憶部に相当）と、ＣＰＵ１４の制御プログラムと
して実行されるドメイン定義手段２ａ、ドメイン間接続
判定手段４ａ、アドレス変換手段７ａ及びアドレス逆変
換手段７ｂによって提供される。 ［ドメイン定義テーブル２]ドメイン定義テーブル２
は、ドメインと１以上の論理インタフェースＩＦ−０等
とを対応付けるテーブルである。論理インターフェース
とは、中継装置１の制御プログラムが各ドメインと通信
する際のインターフェースの識別情報である。本第１実
施形態では、論理インターフェースは、図２に示した物
理インターフェース１５ａ、１５ｂまたは１５ｃのいず
れかを通じてドメインに接続される論理的な端子を示し
ている。

【００３３】図５に図１のネットワーク構成に対するド
メイン定義テーブル２の設定内容を示す。図５のよう
に、ドメインＡ、Ｂ及びＣは、各々通信の論理インター
フェース番号ＩＦ−０、ＩＦ−１及びＩＦ−２によって
定義される。すなわち、中継装置１は、論理インターフ
ェースＩＦ−０、ＩＦ−１及びＩＦ−２を介する通信デ
ータを、各々ドメインＡ、Ｂ及びＣに含まれるノードと
の通信データとして中継する。 ［ドメイン間接続定義テーブル４]ドメイン間接続定義
テーブル４には、複数のドメインのうち、任意の一組の
ドメイン毎の通信可否、及び通信が許可されているドメ
イン間の接続時に用いられるアドレス変換手法が定義さ
れる。ドメイン間接続定義テーブル４は、ドメイン定義
手段２ａを用いて設定される。

【００３４】図６に、図１のネットワークにおけるドメ
イン間接続定義テーブル４の定義を示す。

【００３５】図６で、「Ｎ］はNAT（IP Network Addres
s Translator）を施して接続を許可することを示す。NA
Tとはアドレス変換機能の一種である。

【００３６】中継装置１が、例えば、一つのドメインＡ
から他のドメインＢへのパケット（これをパケット１と
する）を中継するときに、中継装置１は、ＮＡＴによ
り、送信元のＩＰアドレス（これをＡ１とする）をドメ
インＢに属する中継装置１上のＩＰアドレス（これをＢ
１とする）に置き換えて、パケット１を中継する。

【００３７】また、中継装置１が、上記パケット１への
応答である、ドメインＢから上記ＩＰアドレスＢ１へ宛
てたパケット２を受信したときに、中継装置１は、ＮＡ
Ｔにより、宛先のＩＰアドレスＢ１をドメインＡに属す
るアドレスＡ１（パケット１の送信元）に置き換えて、
パケット２を中継する。

【００３８】このようにして、ドメインＢにおいて、中
継装置１は、ドメインＢに属するＩＰアドレスを有する
ホストに対してプロキシとして振舞う。

【００３９】図６で、「×」は接続非許可を示す。ま
た、「−」はパケットのフォワード処理による通常の接
続（同一ドメイン内接続）を示す。 ［アドレス変換テーブル７］アドレス変換テーブル７
は、送信元ドメインにおけるアドレス変換前の送信元の
ＩＰアドレスと、宛先ドメインにおけるアドレス変換後
のＩＰアドレスとを対応付けるテーブルである。図７
に、本実施形態におけるアドレス変換テーブル７の登録
内容の例を示す。 ［経路情報テーブル１０］経路情報テーブル１０には、
宛先ＩＰアドレスから、そのＩＰアドレス宛てパケット
が次にフォワードされるべきアドレス（次ホップアドレ
スという）とそのパケットが送出されるべき論理インタ
ーフェースとの対への対応付けが定義される。この経路
情報テーブル１０を参照して、中継先を決定するＣＰＵ
１４の機能が経路処理部に相当する。

【００４０】図８に、本実施形態における経路情報テー
ブル１０の構成を示す。図８のように、この経路情報テ
ーブル１０は、宛先ＩＰアドレス、ネットマスク、次ホ
ップノードのＩＰアドレス（中継先に相当）、及び送信
論理インターフェースが含まれている。

【００４１】図８において、「次ホップノードのIPアド
レス」における「−」は、宛先ネットワークが物理イン
タフェース１５ａ等から直接到達可能であることを示
す。

【００４２】また、図８において、「宛先IPアドレス」
を「0.0.0.0」とするエントリは、デフォルトルートを
示している。このデフォルトルートとは、経路情報テー
ブル１０を検索した結果、宛先ＩＰアドレスが他のいず
れのエントリにも合致しないパケットに対する中継先を
示す。

【００４３】なお、ISP-1に接続されたインターネット
とISP-2に接続されたインターネットの両方を中継装置
１が意識すると経路情報が混乱する。そこで、中継装置
１はドメインＣの経路情報として、LAN-2の経路情報の
みを認識するように設定される。

【００４４】また、中継装置１は、中継装置１に接続さ
れた全ドメイン（ドメインＡ，Ｂ，Ｃ）の情報を、経路
情報テーブル１０のように予め知っているものとする。
また、ドメイン間接続定義テーブル４では、ドメインＢ
からドメインＡへの通信及びドメインＢからドメインＣ
への通信を許可している。この場合、ドメインＢは、中
継装置１から経路情報テーブル１０を経路情報として得
ることにより、予めドメインＡ、Ｃの経路情報を知って
いるものとする。 ［ドメイン定義手段２ａ]ドメイン定義手段２ａは、論
理インタフェースＩＦ−０、ＩＦ−１、ＩＦ−２等とド
メインとを対応付けるドメイン定義テーブル２、及びド
メイン間の接続を定義するドメイン間接続定義テーブル
４を定義する際に使用される。このドメイン定義手段２
ａは、制御プログラムの一機能であり、ユーザがネット
ワークを介して中継装置１のＣＰＵ１４にログインする
と実行される。ドメイン定義手段２ａは、起動される
と、ネットワークを介してユーザの端末画面に不図示の
ドメイン定義テーブル設定画面及び不図示のドメイン間
接続定義テーブル設定画面を表示し、ユーザに設定を促
す。 ［ドメイン間接続判定手段４ａ]ドメイン間接続判定手
段４ａは、複数のドメインのうち、任意の一組のドメイ
ン毎の通信可否を判定し、接続時に用いるアドレス変換
手法を決定する。ドメイン間接続判定手段４ａは、ＣＰ
Ｕ１４で実行される制御プログラムの機能として実現さ
れる。 ［アドレス変換手段７ａ]アドレス変換手段７ａは、ア
ドレス変換テーブル７に基づいて、パケットを中継する
ときに、パケットヘッダ内の送信元アドレスを変換す
る。

【００４５】変換前の送信元アドレスがアドレス変換テ
ーブル７に定義されていない場合には、アドレス変換手
段７ａは、その送信元アドレスに対する定義をアドレス
変換テーブル７に追加する。

【００４６】すなわち、アドレス変換手段７ａは、送信
元ドメインから到着したパケットの送信元アドレスに対
し、宛先側ドメインで使用可能な、本装置でプールして
ある宛先ドメイン内のアドレスを対応付ける。

【００４７】さらに、アドレス変換手段７ａは、送信元
ホストから宛先ホストへ中継するための変換規則とし
て、このアドレスの対応付けをアドレス変換テーブル７
に書き込む。

【００４８】ここで、送信元ホストとは、中継されるパ
ケットの送信元アドレスを有するホストである。また、
宛先ホストとは、中継されるパケットの宛先アドレスを
有するホストである。 ［アドレス逆変換手段７ｂ］アドレス逆変換手段７ｂ
は、パケットをアドレス変換テーブル７に記述された方
向と逆方向にパケットを送信するときに、パケットヘッ
ダに保持される宛先アドレスを送信元ドメインにおける
プロキシホストのアドレスから宛先ドメインにおいて使
用可能なアドレスに変換する。

【００４９】すなわち、アドレス逆変換手段７ｂは、変
換後ＩＰアドレスのフィールドの値がそのパケットに保
持された宛先アドレスフィールドの値と同一のエントリ
をアドレス変換テーブル７において検索する。そして、
アドレス逆変換手段７ｂは、パケットの宛先フィールド
をそのエントリに含まれる変換前ＩＰアドレスと置き換
える。

【００５０】アドレス変換手段７ａは、ＣＰＵ１４で実
行される制御プログラムの機能として実現される。 ［パケット受信手段８］パケット受信手段８は、論理イ
ンターフェースＩＦ−０、ＩＦ−１、ＩＦ−２等を監視
し、パケットを受信する。パケット受信手段８は、ＣＰ
Ｕ１４で実行される制御プログラムの機能として実現さ
れる。 ［パケット送信手段９］パケット送信手段９は、経路情
報テーブル１０を参照し、論理インターフェースＩＦ−
０、ＩＦ−１、またはＩＦ−２を通じてパケットの送信
を指令する。パケット送信手段９は、ＣＰＵ１４で実行
される制御プログラムの機能として実現される。

【００５１】以上の手段を用いた動作について、以下に
示す。

【００５２】中継装置１がネットワーク層パケットを受
信すると、中継装置１は、アドレス変換手段７ａによっ
て、アドレス変換テーブル７を検索する。アドレス変換
テーブル７に、その送信元アドレスが存在した場合は、
中継装置１は、アドレス変換テーブル７に登録された変
換前アドレス／変換後アドレスに従い、送信元アドレス
を変換する。

【００５３】アドレス変換テーブル７に、その送信元ア
ドレスが存在しない場合には、中継装置１は、逆アドレ
ス変換手段７ｂを使用する。すなわち、中継装置１は、
アドレス変換テーブル７において、変換後ＩＰアドレス
のフィールドの値がパケットに保持された宛先アドレス
フィールドの値と同一のエントリを検索する。

【００５４】そのようなエントリが存在した場合には、
中継装置１は、このパケットを応答パケットであると判
断する。そして、中継装置１は、アドレス逆変換を行
う。すなわち、パケットの宛先アドレスフィールドの値
を、上記エントリに保持された変換前ＩＰアドレスで置
き換える。

【００５５】変換前情報と、変換後情報を置き替えて検
索しても、アドレスがアドレス変換テーブル７で検出で
きない場合には、中継装置１は、このパケットの送信元
から受信先へのドメインをまたがる通信はまだ行われた
ことが無いと判断する。そこで、中継装置１は、本パケ
ットがドメインをまたがる通信かどうかを調べる。先
ず、中継装置１は、フレームに付帯する情報（送信元ア
ドレス／宛先アドレスや受信論理インタフェース、送信
論理インタフェース等）に基づき送信元ドメインと宛先
ドメインとを決定する。

【００５６】送信元ドメインと宛先ドメインが異なる場
合は、中継装置１は、ドメイン間接続判定手段４ａによ
り、ドメイン間接続定義テーブル４を参照し、宛先ドメ
インへ中継するかどうか、及びどのアドレス変換手法を
用いるかを決定する。この結果に基づき、中継装置１
は、変換前の送信元アドレス、変換後の送信元アドレス
の対応関係をアドレス変換テーブル７へ登録する。

【００５７】以上の動作により、中継装置１に接続され
た異なる様々なドメイン間の中継が可能となる。 ＜作用・効果＞図４のフローチャートに、この中継装置
１の動作を示す。中継装置１のＣＰＵ１４は、メモリ１
３に記憶した制御プログラムを実行し、中継装置１の機
能を提供する。

【００５８】まず、ドメインＢ上のホストｂ（IPアドレ
ス133.160.5.2）から、ドメインＣ上にあるホストｃ（I
Pアドレス10.25.60.99）にパケットを中継する際の処理
について説明する。ドメインＢからドメインＣへの接続
については、ドメイン間接続定義テーブル４によりNAT
処理を施して接続することが許可されているため（図
６）、本パケットの処理は以下のようになる。

【００５９】1.｛送信元IPアドレス、宛先IPアドレス｝
の対を｛133.160.5.2、10.25.60.99｝とするパケットに
ついて、中継装置１は、パケットの宛先IPアドレスが中
継装置１の論理インタフェースと対応する場合、本パケ
ットが中継装置１宛であると判断し、該論理インタフェ
ースでパケットを受信する。しかし、本動作例ではパケ
ットの宛先IPアドレスが中継装置１の論理インタフェー
スと対応しない。そのため、中継装置１は、フレームを
受信した物理インタフェース上の、フォワード可能な論
理インタフェースＩＦ−１からパケットを受信する（ス
テップＳ１、以下Ｓ１と略す）。

【００６０】2.次に中継装置１は、 アドレス変換テー
ブル７中で、パケットの送信元IPアドレス「133.160.5.
2」が変換前IPアドレスと一致するエントリを検索す
る。この検索がヒットした場合（Ｓ２の判定でヒットの
場合）、中継装置１はパケットの送信元IPアドレスをア
ドレス変換テーブル７中の変換後IPアドレス「10.25.6
0.2」で置換する（Ｓ３）。

【００６１】3. 中継装置１は、経路情報テーブル１０
から宛先IPアドレス「10.25.60.99」をキーとして検索
する（経路選択処理）。その結果、中継装置１は、送信
論理インタフェースとしてＩＦ−２を獲得するととも
に、本パケットを次に送る宛先ノードはＩＦ−２から直
接到達可能であることを知る（Ｓ４）。以上の結果、中
継装置１は、このＩＦ−２を介して、宛先ノードに対し
パケットを送信する（Ｓ５）。

【００６２】4. アドレス変換テーブル７の検索がヒッ
トしなかった場合（Ｓ２の判定でミスヒットの場合）、
中継装置１は、アドレス変換テーブル７において、変換
後ＩＰアドレスのフィールドの値がパケットに保持され
た宛先アドレスフィールドの値と同一のエントリを検索
する（Ｓ６）。

【００６３】5. このパケットは返信パケットではない
ので、アドレス変換テーブル７の変換後ＩＰアドレスの
フィールドの値がパケットに保持された宛先アドレスフ
ィールドの値と同一であるようなエントリの検索はヒッ
トしない（Ｓ６の判定でミスヒットの場合）。

【００６４】そこで、このパケットに指定のドメインを
またがる通信はまだ行われていないことが分かる。その
場合、中継装置１は、このパケットにドメインをまたが
る宛先が指定されているか否かを以下のように調べる。

【００６５】まず、中継装置１は、装置内の経路情報テ
ーブル１０を宛先IPアドレス「10.25.60.99」をキーと
して検索する（経路選択処理）。その結果、中継装置１
は、送信論理インタフェースとしてＩＦ−２を獲得する
とともに、本パケットを次に送る宛先ノードはＩＦ−２
から直接到達可能であることを知る（Ｓ７）。

【００６６】6. 次に、中継装置１は、ドメイン定義テ
ーブル２を参照することにより、受信論理インタフェー
スＩＦ−１と送信論理インタフェースＩＦ−２に対応す
るドメインとして、送信ドメインＢと受信ドメインＣを
獲得する（Ｓ８）。

【００６７】7.次に中継装置１は、受信ドメインと送信
ドメインとが同一か否かを判定する（Ｓ９）。受信ドメ
インと送信ドメインとが異なる場合には（Ｓ９の判定で
NOの場合）、中継装置１は、このパケットがドメインを
またがるものであると判断する。

【００６８】そこで、中継装置１は、ドメイン間接続定
義テーブル４を参照して（Ｓ１０）、ドメインＢからド
メインＣへの接続の可否を判定する（Ｓ１１）。本実施
例では、ドメインＢからドメインＣへの接続ポリシはNA
Tによる接続であるため（Ｓ１１）、中継装置１は、本
パケットに対してNAT処理を施す（Ｓ１２）。次に、中
継装置１は、アドレス変換テーブル７に変換前アドレス
と変換後アドレスの対応を登録し（Ｓ１３）、その後、
本論理インタフェースＩＦ−２から送信する（Ｓ５）。

【００６９】以上の手順により、中継装置１はドメイン
ＢからドメインＣへのパケットの中継を行う。なお、Ｓ
９の判定で、受信ドメインと送信ドメインとが一致する
場合には（Ｓ９の判定でYESの場合）、中継装置１は、
送信論理インターフェースからそのままパケットを送出
する（Ｓ５）。

【００７０】次に、このパケットに対する応答パケット
がホストｃから帰ってきたときの動作を示す。

【００７１】8. ｛送信元IPアドレス、宛先IPアドレ
ス｝の対を｛10.25.60.99、10.25.60.2｝とするパケッ
トについて、パケットの宛先IPアドレスが中継装置１の
論理インタフェースと対応する場合には、中継装置１
は、本パケットが中継装置１宛であると判断し、該論理
インタフェースでパケットを受信する。しかし、受信し
たパケットの宛先IPアドレスが中継装置１の論理インタ
フェースと対応しないため、中継装置１は、フレームを
受信した物理インタフェース上の、フォワード可能な論
理インタフェースＩＦ−２からパケットを受信する（Ｓ
１）。

【００７２】9. 次に中継装置１は、アドレス変換手段
７ａにより、アドレス変換テーブル７中で、パケットの
送信元IPアドレス「10.25.60.99」が変換前IPアドレス
と一致するエントリを検索する（Ｓ２）。

【００７３】この場合、検索はヒットしないため、中継
装置１は、アドレス変換テーブル７において、変換後Ｉ
Ｐアドレスのフィールドの値がパケットに保持された宛
先アドレスフィールドの値と同一のエントリを検索する
（Ｓ６）。この2回目の検索はヒットするので、中継装
置１は、検索結果に従い、パケットの宛先IPアドレスフ
ィールド（値は「10.25.60.2」）をアドレス変換テーブ
ル７中の変換前IPアドレスのフィールド（値は「133.16
0.5.2」）で置換する（Ｓ１５）。

【００７４】10. 次に中継装置１は、装置内の経路情報
テーブル１０から宛先IPアドレス「133.160.5.2」をキ
ーとして検索する（経路選択処理）。その結果送信先の
論理インタフェースとしてＩＦ−１を獲得するととも
に、本パケットを次に送る宛先ノードはＩＦ−１から直
接到達可能であることを知る（Ｓ４）。さらに、中継装
置１は、このＩＦ−１を介して、パケットの送信処理を
行う（Ｓ５）。

【００７５】以上の処理により、ドメインＣからドメイ
ンＢへのパケットの中継を行う。

【００７６】以上の（1）〜（10）の動作をすることに
より、中継装置１は、ドメインＢからドメインＣへの通
信を可能とする。

【００７７】なお、ドメインＢがドメインＡ、Ｃの経路
情報を知っているものとすることは先に述べたが、これ
は以下のａ）またはｂ）のいずれかにより実現される。 ａ）中継装置１が、以下の11.(A)〜(C)の基準に基づ
き、経路情報を各ドメインと交換している。 ｂ）各ドメイン内で、経路情報を以下の11.(A)〜(C)の
基準に基づき設定している。 11. ドメイン間の接続定義がドメイン間接続定義テーブ
ル４のような設定の場合、ドメイン定義テーブル２にて
定義されている各ドメインＡ、Ｂ、Ｃに必要な経路情報
の決定基準を以下に示す。

【００７８】Ａ）ドメインＡの経路情報の決定基準：ド
メインＡからの接続を許可するドメインは、ドメインＡ
のみであるため、経路情報テーブル１０に登録された経
路情報のうちでドメインＡに通知される経路情報は、送
信論理インタフェースがＩＦ−０である経路情報のみで
ある。なお、中継装置１はドメインＡとは経路情報の交
換が可能である。

【００７９】Ｂ）ドメインＢの経路情報の決定基準：ド
メインＢからの接続を許可するドメインは、ドメイン
Ａ，Ｃ、及びドメインＢ自身であるため、経路情報テー
ブル１０に登録された経路情報のうちでドメインＢに通
知される経路情報は、基本的に経路情報テーブル１０の
すべてである。但し、インターネット上の全経路情報を
企業内ネットワーク内に流すと、情報量が多くなって、
経路情報テーブル１０が破綻する。そこで、企業内ネッ
トワークには企業外の情報としては、デフォルトルート
（宛先IPアドレス＝0.0.0.0のエントリ）の情報のみが
通常流される。なお、中継装置１はドメインＢとは経路
情報の交換が可能である。

【００８０】Ｃ）ドメインＣの経路情報の決定基準：ド
メインＣは独自にインターネットと接続しており、ドメ
インＡ上のインターネットとドメインＣに接続されたイ
ンターネットの両方を中継装置１が意識すると経路情報
が混乱する。そのため、中継装置１はドメインＣとは経
路情報を交換せずに、ドメインＣへの経路情報を静的に
設定する。

【００８１】以上により、ドメイン間接続定義テーブル
４で設定したようなドメイン間の接続が可能となる。 ＜論理インターフェースの変形＞上記第１実施形態で
は、中継装置１は、論理インターフェースＩＦ−０、Ｉ
Ｆ−１、またはＩＦ−２を介して各ドメインと対応付け
られた。しかし、本発明の実施は、このような構成に
は、限定されない。例えば、論理インターフェースＩＦ
−０等を介さず、直接物理インターフェース１５ａ、１
５ｂ、または１５ｃを各ドメインに対応付けてもよい。
この場合は、物理インターフェースがインターフェース
部に相当する。

【００８２】このように、物理インターフェース１５
ａ、１５ｂ、または１５ｃを各ドメインに対応付けた場
合、フレームを受信した物理インタフェースでパケット
を受信し、送信元のドメインを決定する。 ＜アドレス変換の変形＞上記第１実施形態では図７のよ
うに、アドレス変換テーブル７に変換前ＩＰアドレスと
変換後ＩＰアドレスとを登録した。しかし、本発明の実
施は、アドレス変換テーブル７の構成には限定されな
い。例えば、アドレス変換テーブル７の構成として、パ
ケットヘッダの情報、送受信論理インターフェースに係
る情報、送受信物理インターフェースに係る情報、ある
いは、送受信ドメインに係る情報等を含めてもよい。

【００８３】また、上記実施形態では、アドレス変換手
段７ａは、送信元ドメインから到着したパケットの送信
元アドレスに対し、宛先側ドメインで使用可能な、本装
置でプールしてある宛先ドメイン内のアドレスを対応付
ける。これに代えて、アドレス変換手段７ａが、送信元
ドメインから到着したパケットのヘッダ情報に対し、宛
先側ドメインで使用可能な、本装置でプールしてあるネ
ットワーク層／トランスポート層のヘッダ情報を対応付
けるようにしてもよい。例えば、以下のようなアドレス
変換手段NAPTなどを用いてもよい。 Ａ）アドレス変換時には、パケットの「送信元IPアドレ
ス、送信元ポート番号、宛先IPアドレス、宛先ポート番
号、ＩＰヘッダ中の上位プロトコル番号、変換後送信元
IPアドレス、変換後送信元ポート番号」の組をアドレス
変換テーブル７に記憶し、「送信元IPアドレス、送信元
ポート番号、宛先IPアドレス、宛先ポート番号、ＩＰヘ
ッダ中の上位プロトコル番号」の組がパケットのそれと
一致するエントリを検索して、パケットの「送信元IPア
ドレス、送信元ポート番号」をアドレス変換テーブル７
中の「変換後送信元IPアドレス、変換後送信元ポート番
号」で置換して論理インタフェースからパケットを送信
する。 Ｂ）アドレス逆変換時には、パケットの「宛先IPアドレ
ス、宛先ポート番号、送信元IPアドレス、送信元ポート
番号、ＩＰヘッダ中の上位プロトコル番号」がアドレス
変換テーブル７中の「変換後送信元IPアドレス、変換後
送信元ポート番号、宛先IPアドレス、宛先ポート番号、
ＩＰヘッダ中の上位プロトコル番号」の組と一致するエ
ントリを探して、ヒットした場合にパケットの「宛先IP
アドレス、宛先ポート番号」をアドレス変換テーブル７
中の「送信元IPアドレス、送信元ポート番号」で置換し
て論理インタフェースからパケットを送信する。 ＜その他の変形例＞上記第１実施形態では、ネットワー
ク層のアドレスとして、ＩＰアドレスを用いるネットワ
ークにおいて本発明を実施する例を説明した。しかし、
本発明の実施は、ＩＰによるネットワークに限定される
ものではない。例えば、ＩＰＸを用いたネットワークの
中継においても本発明を実施をできる。

【００８４】上記第１実施形態では、ドメインと各論理
インターフェースＩＦ−０等を対応付けるドメイン定義
テーブル２を使用した。しかし、本発明の実施は、ドメ
インを定義する情報の構造には限定されない。例えば、
テーブルではなく、論理インタフェースごとにドメイン
を識別する情報を１以上列記する構造体に、ドメインを
定義する情報を保持してもよい。

【００８５】上記第１実施形態では、ドメイン間接続判
定手段４ａ、アドレス変換手段７ａ及びアドレス逆変換
手段７ｂをＣＰＵ１４の制御プログラムとして構成し
た。しかし、本発明の実施は、このような構成には限定
されない。例えば、これらの処理を実行する専用ＬＳＩ
を用いてもよい。

【００８６】上記実施形態では、ドメイン定義テーブル
２及びドメイン間接続定義テーブル４の内容を定義する
ため、ドメイン定義手段２ａを用いた。しかし、本発明
の実施において、ドメイン定義手段２ａは必須の構成要
素ではない。例えば、中継装置１が、特定のノード（サ
ーバ）のハードディスク上からドメイン定義テーブル２
及びドメイン間接続定義テーブル４の内容を読み取るよ
うにすれば、ドメイン定義手段２ａは使用しなくてもよ
い。 （第２実施形態）上記第１実施形態では、ドメイン定義
テーブル２を各ドメインと、そのドメインに接続される
論理インターフェースＩＦ−０等とによって定義した。
本第２実施形態では、ドメイン定義テーブル２を各ドメ
インと、そのドメインに含まれるネットワークのアドレ
スとによって定義する例を示す。

【００８７】図９は、この場合のドメイン定義テーブル
２の定義例である。これら以外の構成については、第２
実施形態は、第１実施形態と同様である。そのため、他
の構成については、図１から図４あるいは図６から図８
の図面を参照して説明する。 ＜構成＞図９にドメイン定義テーブル２の定義例を示
す。図９のように本第２実施形態では、ドメイン定義テ
ーブル２は、ＩＰアドレス、ネットマスク、及びドメイ
ンを識別する情報を有している。例えば、ドメインＡ
は、ＩＰアドレスが140.2.100.0でネットマスクが255.2
55.255.0であるネットワークを有している。ドメインが
複数のネットワークを含む場合には、この関係（そのネ
ットワークのＩＰアドレス、ネットマスク、及びドメイ
ンＡを識別する情報）がドメイン定義テーブル２に列記
される。

【００８８】また、図９の最下段において、ＩＰアドレ
スが0.0.0.0であるエントリが定義されている。これ
は、この定義部分より上段のエントリで定義されたＩＰ
アドレスのいずれにも該当しないパケットのアドレス
は、すべてドメインＡに属することを意味する。 ＜作用・効果＞上記のように本第２実施形態は、ドメイ
ン定義テーブル２の構成以外は、第１実施形態と同様で
あるので、中継装置１の処理は、図４によって示され
る。以下、中継装置１の処理を説明する。

【００８９】1. 第２実施形態においても、中継装置１
は、第１実施形態の1.から5.までと同様の処理を実行す
る。

【００９０】2. ただし、第２実施形態では、第１実施
形態の6.のように論理インタフェースによりドメインを
認識する代わりに、中継装置１は、パケットの送信元IP
アドレスと宛先IPアドレスとから、送信元ドメインＢと
宛先ドメインＣを得る(Ｓ８)。

【００９１】3. さらに、中継装置１は、第１実施形態
の7.から10.までと同様の処理を実行する。

【００９２】なお、第１実施形態と同様、ドメインＢは
ドメインＡ、Ｃの経路情報を知っているものとする。こ
れは以下のｃ）またはｄ）のいずれかにより実現され
る。 ｃ）中継装置１が、以下の12.(A)〜(C)の基準に基づ
き、経路情報を各ドメインと交換している。 ｄ）各ドメイン内で、経路情報を以下の12.(A)〜(C)の
基準に基づき設定している。

【００９３】12. ドメイン間の接続定義がドメイン間接
続定義テーブル４のような設定の場合、ドメイン定義テ
ーブル２にて定義されている各ドメインＡ、Ｂ、Ｃに必
要な経路情報の決定基準は以下の通りである。

【００９４】Ａ）ドメインＡの経路情報の決定基準：ド
メインＡからの接続を許可するドメインは、ドメインＡ
のみであるため、経路情報テーブル１０に登録された経
路情報のうちでドメインＡに通知される経路情報は、宛
先IPアドレスがドメインＡに含まれる経路情報のみであ
る。なお、中継装置１はドメインＡとは経路情報の交換
が可能である。

【００９５】Ｂ）ドメインＢの経路情報の決定基準：ド
メインＢからの接続を許可するドメインは、ドメイン
Ａ、Ｃ、及びドメインＢ自身であるため、経路情報テー
ブル１０に登録された経路情報のうちでドメインＢに通
知される経路情報は、基本的には経路情報テーブル１０
の全てである。但し、インターネット上の全経路情報を
企業内ネットワーク内に流すと、情報量が多くなり、経
路情報テーブル１０が破綻する。そこで、企業内ネット
ワークには企業外の情報としては、デフォルトルート
（宛先IPアドレス＝0.0.0.0のエントリ）の情報のみが
通常流される。なお、中継装置１はドメインＢとは経路
情報の交換が可能である。

【００９６】Ｃ）ドメインＣの経路情報：ドメインＣは
独自にインターネットと接続しており、ドメインＡ上の
インターネットとドメインＣに接続されたインターネッ
トの両方を中継装置１が意識すると経路情報が混乱す
る。そこで、中継装置１はドメインＣとは経路情報を交
換せずにドメインＣへの経路情報を静的に設定する。

【００９７】以上により、第１実施形態と同様に、制限
的なドメイン間の接続が可能となる。 ＜認証サーバとドメイン接続機能の組み合わせ＞上記で
説明した制限的にドメイン間を接続する中継装置１を認
証サーバと組み合わせて使用することにより、さらにセ
キュリティを確保したドメイン間の制限的な接続が可能
になる。

【００９８】図１０に、このようなネットワークの構成
図を示す。

【００９９】ドメインを異にする関連会社1のネットワ
ーク３１と関連会社２のネットワーク３２とは、上記第
２実施形態（または上記第１実施形態）に示した中継装
置１によって接続されている。ただし、ネットワーク３
１とネットワーク３２とは、異なるドメインに分割さ
れ、通常、各関連会社１、２は、互いに他の関連会社へ
の経路情報を持たない。

【０１００】ここで、関連会社1から関連会社2に出向中
のユーザ３０ｂが、セキュリティを確保した上で、関連
会社１のネットワーク３１内のノードにアクセスするた
めのネットワークの接続方法を説明する。

【０１０１】本来、このユーザはネットワーク３１上の
ユーザ３０ａとしてネットワーク３１内のノード３３に
経路３５によりアクセスしていた。しかし、現在は、こ
のユーザは関連会社２のネットワーク３２上のユーザ３
０ｂとして接続されている。

【０１０２】この場合、ユーザ３０ｂは、関連会社２上
の認証サーバ３４に認証３６を依頼する。ユーザ３０ｂ
が認証３６に成功した場合、サーバ３４は、中継装置１
がネットワーク３１上のノード３３の代理として振る舞
うネットワーク層アドレスＡを動的に作成するように中
継装置１に依頼する。サーバ３４は、その作成されたネ
ットワーク層アドレスＡをユーザ３０ｂに通知する。こ
のネットワーク層アドレスＡは、中継装置１によってネ
ットワーク３１上のノード３３のアドレスに変換され
る。

【０１０３】従って、ユーザ３０ｂは、この中継装置１
上に動的に作成されたネットワーク層アドレスＡに接続
することにより、経路３７により関連会社1上のネット
ワーク３１との通信可能となる。

【０１０４】一方、上記認証が成功しない場合には、中
継装置１上のアドレスが通知されないので、ネットワー
ク３１のセキュリティが確保される。

【０１０５】このように、本第２実施形態の中継装置１
と認証サーバ３４とを組み合わせることにより、多数の
ネットワーク間で、セキュリティを確保した接続が実現
される。なお、この認証サーバ３４と第１実施形態の中
継装置１とを組み合わせても、作用及び効果は本第２実
施形態の場合と同様である。 ＜その他の変形例＞上記第２実施形態では、ＩＰアドレ
スとネットマスクとによって、ドメインに含まれるネッ
トワークを指定することで、ドメイン定義テーブル２を
定義した。しかし、本発明の実施は、このようなドメイ
ン定義テーブル２のネットワークの指定の仕方には限定
されない。例えば、ＩＰアドレスの上限値と下限値によ
り各ドメインに含まれるネットワークを指定してもよ
い。各ドメインに含まれるすべてのノードのＩＰアドレ
スを列記することでドメインを定義してもよい。

【０１０６】上記第２実施形態では、ネットワーク層プ
ロトコルとして、ＩＰを使用するネットワークに本発明
を適用する例を示した。しかし、本発明の実施は、中継
装置においてアドレス変換が可能なネットワーク層であ
ればネットワーク層プロトコルの種類には限定されな
い。

【０１０７】上記第２実施形態では、ドメイン間接続判
定手段４ａ、アドレス変換手段７ａ及びアドレス逆変換
手段７ｂをＣＰＵ１４の制御プログラムとして構成し
た。しかし、本発明の実施は、このような構成には限定
されない。例えば、これらの処理を実行する専用ＬＳＩ
を用いてもよい。 （第３実施形態）上記第１実施形態においては、ドメイ
ン定義テーブル２を各ドメインと、そのドメインに接続
される論理インターフェースＩＦ−０、ＩＦ−１、ＩＦ
−２等とによって定義することで、ドメイン間の制限的
な接続を可能にする例を示した。本第３実施形態におい
ては、このようなドメイン定義テーブル２を用いたドメ
イン間のパケットの中継において、不正なパケットを検
出し、これを廃棄する処理の例を示す。

【０１０８】図１１は、本第３実施形態に係るネットワ
ーク構成図であり、図１２は、第３実施形態におけるド
メイン間接続定義テーブル４の設定例であり、図１３
は、この場合の中継装置１の機能構成図であり、図１４
は、第３実施形態における中継装置１の処理を示すフロ
ーチャートである。第３実施形態の他の構成は、第１実
施形態と同様であるので、同一の構成については同一の
符号を付して、その説明を省略する。 ＜構成＞図１１に示すように、第１実施形態の場合と異
なり、ドメインＣは独自にインターネットへの接続経路
を持たず、ドメインＢと同様にＩＳＰ−１経由でインタ
ーネット接続されている。

【０１０９】図１２に、この接続ポリシに対するドメイ
ン間接続定義テーブル４の設定を示す。図１２のよう
に、ドメインＡは、ドメインＡ自身に対してのみ送信可
能であり、ドメインＢは、ドメインＢ自身の他、ドメイ
ンＡ及びＣに対して送信可能であり、ドメインＣは、ド
メインＣ自身の他、ドメインＡに対して送信可能であ
る。

【０１１０】ここで、仮にドメインＢからドメインＡに
対し、送信元をドメインＣとするパケットが流れた場
合、このパケットは不正パケットであるにも関わらず、
誤ってアドレス変換されてドメインＡに送信されてしま
う恐れがある。これを防ぐために、第１実施形態で説明
した処理に加えて、中継装置１が、パケットを受信した
論理インタフェースに対応付けられるドメインと、経路
情報テーブル１０によってパケットの送信元アドレスへ
の経路に接続されるインターフェースユニットに対応付
けられるドメインが異なるかどうかを判別する処理を実
行する。そして、この２つのドメインが異なる場合に
は、中継装置１が、そのパケットを廃棄するパケットフ
ィルタ手段１２を制御プログラムに備えている。

【０１１１】経路情報テーブル１０は、従来、パケット
の宛先アドレスをそのエントリ中のネットマスクにより
マスクした値と、そのエントリ中の宛先ＩＰアドレスと
が一致するエントリを求め、そのエントリから次ホップ
ノードのアドレスや送信インターフェースを得る場合に
使用される。

【０１１２】一方、本実施形態の中継装置１では、上記
のような使用方法に加え、経路情報テーブル１０の中か
ら、パケットの送信元アドレスをエントリ中のネットマ
スクによりマスクした値と、そのエントリ中の宛先ＩＰ
アドレスとが一致するエントリを求め、そのエントリか
ら送信エントリを得る場合に経路情報テーブル１０を使
用する。

【０１１３】図１３に、本第３実施形態における機能構
成図を示す。図１３の構成は、パケットフィルタ手段１
２が追加されている点を除いて、第１実施形態の機能構
成（図３）と同様である。すなわち、本実施形態では、
パケット受信手段８が受信したパケットを中継する前
に、パケットフィルタ手段１２が、不正パケットを廃棄
する。 ＜作用・効果＞図１４に、中継装置１のパケットフィル
タ手段１２の処理を示す。ここでは、上述のようにドメ
インＢに属するノードからドメインＡに属するノードに
宛てたパケットが不正であった場合を想定する。このパ
ケットには、ドメインＣに属するノードのアドレスが送
信元アドレスとして誤って設定されており、ドメインＢ
から論理インターフェースＩＦ−１を介して中継装置１
に転送されたものと仮定する。

【０１１４】1. 中継装置１は、受信パケットの送信元I
Pアドレスを経路情報テーブル１０から検索して、そのI
Pアドレスに対応する論理インタフェースＩＦ−０等を
獲得する（Ｓ２０）。

【０１１５】この場合、送信元ノードは、ドメインＣに
属するので、中継装置１は、経路情報テーブル１０から
論理インタフェースＩＦ−２を獲得する。

【０１１６】2.一方、中継装置１は、第１実施形態で示
したドメイン定義テーブル２（図５）を参照して、上記
論理インタフェースＩＦ−２に対応するドメインＣを獲
得する（Ｓ２１）。

【０１１７】3. 次に、中継装置１は、このパケットを
実際に受信した論理インタフェースＩＦ−１が属するド
メインＢをドメイン定義テーブル２から求める（Ｓ２
２）。

【０１１８】4.次に、中継装置１は、Ｓ２１で求めた結
果とＳ２２で求めた結果とが一致するか否かを判定する
（Ｓ２３）。この結果が一致する場合には、このパケッ
トは、アドレス変換手段へ渡される。

【０１１９】一方、この結果が一致しない場合には、本
パケットはパケットの送信元ドメインが、送信元である
べきドメインとは異なるドメインから送信された不正な
パケットであるので、中継装置１は、これを廃棄する
（Ｓ２５）。

【０１２０】以上により、送信元IPアドレスとして不正
な値を持つパケットを、誤って中継することを回避する
ことができる。 ＜変形例＞上記第３実施形態では、ドメイン間接続判定
手段４ａ、アドレス変換手段７ａ、アドレス逆変換手段
７ｂ、及びパケットフィルタ手段１２をＣＰＵ１４の制
御プログラムとして構成した。しかし、本発明の実施
は、このような構成には限定されない。例えば、これら
の処理を実行する専用ＬＳＩを用いてもよい。

【０１２１】

【発明の効果】以上説明したように、本発明によれば、
ネットワーク間を中継する通信データ中継装置におい
て、１以上のネットワークを接続したシステムとしての
ドメインを定義するドメイン定義部と、複数のドメイン
間における接続の可否を定義するドメイン間接続定義部
とを備え、ドメイン間接続定義部の定義に従い複数のド
メイン間における中継の可否を制御するので、セキュリ
ティや保守の独立性を確保した上でドメイン間を接続す
ることができる。

【図面の簡単な説明】

【図１】本発明の第１実施形態におけるネットワーク構
成図。

【図２】中継装置１のハードウェア構成図。

【図３】中継装置１の機能構成図。

【図４】中継装置１の処理を示すフローチャート。

【図５】ドメイン定義テーブル２の構造を例示する図。

【図６】ドメイン間接続定義テーブル４の構造を例示す
る図。

【図７】アドレス変換テーブルの構造７を例示する図。

【図８】経路情報テーブル１０の構造を例示する図。

【図９】ドメイン定義テーブル２の構造を例示する図。

【図１０】認証サーバと中継装置１との組み合わせによ
るネットワークの構成図。

【図１１】第３実施形態のネットワーク構成図。

【図１２】ドメイン間接続定義テーブル４の構造を例示
する図。

【図１３】第３実施形態の中継装置１の機能構成図。

【図１４】パケットフィルタ手段１２の処理を示すフロ
ーチャート。

【符号の説明】

２ ドメイン定義テーブル ４ ドメイン間接続定義テーブル ７ アドレス変換テーブル １０ 経路制御テーブル １３ メモリ １４ ＣＰＵ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 鶴岡 哲明 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 Ｆターム(参考） 5K030 HC14 HD03 HD07 HD09 5K033 CB09 DB19 EC04

Claims (5)

【特許請求の範囲】
1. 【請求項１】１以上の通信装置を接続した、そのような
   ２以上のネットワーク間を中継する通信データ中継装置
   であって、 前記ネットワークにアクセスするための２以上のインタ
   ーフェース部と、 １以上のネットワークを接続したシステムとしてのドメ
   インを定義するドメイン定義部と、 ２以上のドメイン間における接続の可否を定義するドメ
   イン間接続定義部と、 通信データの中継先を決定する経路処理部と、第１のド
   メインから第２のドメインへ通信データを中継するとき
   に、前記通信データの送信元アドレスとして保持された
   第１のドメインに属する第１のアドレスを前記第２のド
   メインにおける当該中継装置に係る第２のアドレスに変
   換するアドレス変換部と、 宛先アドレスとして前記第２のドメインに属する第２の
   アドレスを有する通信データを受信したときに、その宛
   先アドレスを前記第２のアドレスから前記第１のアドレ
   スに変換するアドレス逆変換部と、 前記ドメイン間接続定義部の定義に従い２以上のドメイ
   ン間における中継の可否を制御する制御部とを備えた通
   信データ中継装置。
2. 【請求項２】前記ドメイン定義部は、ドメインを、その
   ドメインに接続されるインターフェース部を識別する情
   報によって定義する請求項１記載の通信データ中継装
   置。
3. 【請求項３】前記制御部は、通信データを受信したイン
   ターフェース部に対応付けられるドメイン（または通信
   データを受信したインターフェース部）と、その通信デ
   ータの送信元アドレスが属するドメイン（またはその通
   信データの送信元アドレスが属するドメインに対応付け
   られるインターフェース部）とが、異なる通信データを
   廃棄する請求項１記載の通信データ中継装置。
4. 【請求項４】前記ドメイン定義部は、各ドメインごと
   に、そのドメインに含まれるネットワークを識別するア
   ドレス（またはそのドメインに含まれるネットワークに
   接続される通信装置を識別するアドレス）によって定義
   される請求項１記載の通信データ中継装置。
5. 【請求項５】各々１以上の通信装置に接続された、その
   ような２以上のネットワークを中継する通信データ中継
   方法であって、 １以上のネットワークを接続したシステムとしてのドメ
   インを定義するドメイン定義部を検索する手順と、 ２以上のドメイン間の接続の可否を定義するドメイン間
   接続定義部を検索する手順と、 通信データの中継先を決定する手順と、 第１のドメインから第２のドメインへ通信データを中継
   するときに、前記通信データの送信元アドレスとして保
   持された第１のドメインに属する第１のアドレスを前記
   第２のドメインにおける当該中継装置に係る第２のアド
   レスに変換する手順と、 宛先アドレスとして前記第２のドメインに属する第２の
   アドレスを有する通信データを受信したときに、その宛
   先アドレスを前記第２のアドレスから前記第１のアドレ
   スに変換する手順とを備え、 前記ドメイン間接続定義部の検索結果に従い２以上のド
   メイン間における中継の可否を制御する通信データ中継
   方法。