JP2001352344A - ネットワークアドレス変換方法およびその装置並びにｖｐｎクライアント多重化システム - Google Patents

Abstract

(57)【要約】 【課題】 １つのプライベートネットワーク上にある複
数のＶＰＮクライアントから１つのアドレス変換装置経
由でインターネットに接続し、同時に１つまたは複数の
ＶＰＮゲートウェイとの間でＶＰＮセッションを構築可
能とする。 【解決手段】 パケットをプライベートネットワークと
グローバルネットワークとの間で送受信する際にネット
ワークアドレスを変換する方法において、受信したパケ
ットがＥＳＰ（Encapsulating Security Payload）か否
かを判断するステップと、ＥＳＰと判断された場合にセ
キュリテイーパラメータインデックスと前記プライベー
トネットワーク上の端末のＩＰアドレスとを対応付けた
内部テーブルを参照することにより、ＥＳＰのパケット
にアドレス変換を施すステップとを有する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークアド
レス変換方法およびその装置並びにＶＰＮクライアント
多重化システムに関し、特にＥＳＰパケットを用いたＶ
ＰＮにおけるネットワークアドレス変換方法およびその
装置並びにＶＰＮクライアント多重化システムに関する
ものである。

【０００２】

【従来の技術】ＶＰＮ（Virtual Private Network ）
は、アクセスサーバやＷＡＮルータあるいはＶＰＮ専用
装置などを利用して実現されるＷＡＮ（Wide Area Netw
ork ）の技術であり、その定義は「共有ネットワークを
プライベートネットワークとし、ユーザが共有ネットワ
ークを利用していることを意識することなく利用するこ
と」であり、またそのための基盤テクノロジーを指す。
ここでいう「共有ネットワーク」とは、インターネット
や公衆通信網の電話網やフレーム・リレー網のことを指
している。インターネットやフレーム・リレー上に、プ
ライベートネットワークを構築し、利用者がそのことを
意識しないで使える環境がＶＰＮであるということがで
きる。

【０００３】ＶＰＮ機能としては、データリンク層では
ＰＰＴＰ、Ｌ２ＴＰ等、ネットワーク層ではＩＰｓｅ
ｃ、セッション層ではＳＯＣＫＳｖ５やＳＳＬ３．０
（SecureSocket Layer）といったいくつかの種類があ
る。ここでＩＰｓｅｃは、ＴＣＰ／ＩＰ上で暗号化通信
を行うための標準であり、ＲＦＣ２４０１〜２４１２
（RFC:Request For Comments）等で規定されている。こ
れはＩＰレベルでの認証・暗号化によってＶＰＮを提供
し、ＰＧＰやＳＳＨと違ってＩＰレベルにセキュリティ
機能を施すことにより、エンドユーザは使用するホスト
やアプリケーションを意識することなく、安全な通信を
確保することができ、柔軟な運用が可能になる。しか
し、ＶＰＮから出てしまった情報はもはや保護されない
ので、例えばメールの内容を保護したい場合にはＰＧＰ
等が必要になる。

【０００４】〔ＥＳＰの概要〕ＩＰｓｅｃでは、セキュ
リティプロトコルとして以下の２つが定義され、その実
装が必須になっている。 ・ＥＳＰ（Encapsulating Security Payload） ・ＡＨ（IP Authentication Header）

【０００５】このうち、ＥＳＰとは、パケットの暗号化
と認証機能を実現するプロトコルの一種であり、詳細は
ＲＦＣ２４０６に記載されている。各プロトコルは、セ
キュリティプロトコルで処理されるデータの範囲を示す
トランスポートモードとトンネルモードの２つのモード
が用意されている。トランスポートモードはＩＰのデー
タ部分を対象とし、トンネルボードはＩＰパケット全体
を対象としている。したがって、トンネルモードはＩＰ
パケット全体を暗号化し、それを新しいＩＰパケットに
カプセル化（包み込む）することにより、データだけで
なくＩＰヘッダも暗号化されるため、送信元アドレスや
宛先アドレス、使用しているプロトコル（アプリケーシ
ョン）等の情報の隠蔽が可能である。プライベートネッ
トワークを利用している場合でも、ＶＰＮゲートウェイ
にグローバルアドレスが付与されていれば、そのグロー
バルアドレスを含むＩＰヘッダが付加されるので、イン
ターネットを経由してプライベートアドレス同士の端末
間で通信をすることが可能である。一方、トランスポー
トモードは、ＩＰヘッダを暗号化せずにＩＰパケットの
ユーザデータ（トランスポート層以上の部分）のみを暗
号化するモードであり、主に端末間でのピア・ツー・ピ
ア（Peer to Peer）の通信におけるセキュリティを提供
するために利用される。

【０００６】このようなＶＰＮにおいては、インターネ
ット接続装置（例えばルータ等）に付与されているグロ
ーバルＩＰアドレスを、配下のプライベートＩＰアドレ
スが付与された端末（以下、プライベートホストとい
う）とで共有することにより、プライベートホストとイ
ンターネット上のグローバルＩＰアドレスが付与された
ホスト（以下、グローバルホストという）とのエンドエ
ンドのＩＰ通信を実現する。

【０００７】アドレスを共有するためには、プライベー
トホストが送出したグローバルホスト向けのパケットの
ソースアドレス、すなわちプライベートホストに付与さ
れたプライベートＩＰアドレスをインターネット接続装
置に付与されたグローバルＩＰアドレスに変換するアド
レス変換方法がある。また、アドレス変換方法として
は、従来よりＮＡＴとＩＰマスカレードが存在する。Ｎ
ＡＴは複数のプライベートホストが順次にグローバルＩ
Ｐアドレスを共有することを可能とするものであり、Ｉ
Ｐマスカレードは複数のプライベートホストが同時にグ
ローバルＩＰアドレスを共有することを可能とするもの
である。

【０００８】図１７は、プライベートネットワークから
のインターネット接続を説明するためのネットワーク構
成図である。同図に示すように、プライベートネットワ
ークＰＮを構成する複数のプライベートホストＰＨ１，
…がアドレス変換装置Ｒを介して、インターネットＩＮ
ＥＴおよびグローバルホストＧＨ１’、ＧＨ２’に接続
されている場合を例にしてＮＡＴ（Network Address Tr
anslation ）およびＩＰマスカレードについて具体的に
説明する。どちらの方法においても共有されるのはプラ
イベートネットワークＰＮに付与されているグローバル
ＩＰアドレスＧＲ（アドレス変換装置Ｒのインターネッ
ト側のＩＰアドレス）であり、この共有を実施するのが
アドレス変換装置Ｒである。グローバルホストＧＨ
１’，ＧＨ２’にはそれぞれグローバルＩＰアドレスＧ
１’，Ｇ２’が付与され、プライベートホストＰＨ１，
ＰＨ２，ＰＨ３にはそれぞれプライベートＩＰアドレス
Ｐ１，Ｐ２，Ｐ３が付与されている。

【０００９】〔１．ＮＡＴ〕アドレス変換装置Ｒがプラ
イベートネットワークＰＮから受信したパケットを図１
８に示すフローチャートに従って処理するとともに、イ
ンターネットから受信したパケットを図１９に示すフロ
ーチャートに従って処理する。図１８に示すようにアド
レス変換装置Ｒは任意のプライベートホストＰＨ１から
受信したパケットのソースアドレス（プライベートホス
トＰＨ１，…に付与されているプライベートＩＰアドレ
ス、以下ＰＡという）を読み出し（ステップｓ１０
１）、アドレス変換装置ＲのグローバルＩＰアドレス
（以下、ＧＲという）に対応しているプライベートＩＰ
アドレスと一致するか否かを判断し（ステップｓ１０
２）、一致しない場合にはそのパケットを破棄し（ステ
ップｓ１０５）、一致する場合にはパケット内のＰＡを
格納する各フィールドにアドレス変換装置ＲのＧＲを書
き込むことによる（ステップｓ１０３）、グローバルＩ
Ｐアドレスが付与されていないプライベートホストＰＨ
１，…からのパケットのソースアドレスをＧＲに変換す
る。そして、アドレス変換されたパケットをインターネ
ットＩＮＥＴに転送する（ステップｓ１０４）。

【００１０】一方、アドレス変換装置Ｒがインターネッ
ト上の任意のグローバルホストＧＨ１’，…からのパケ
ットを受信すると、図１９に示すようにパケット内のＧ
Ｒを格納する各フィールドにＧＲに対応しているＰＡを
書き込むことにより（ステップｓ２０１）、送信先のア
ドレスをアドレス変換装置ＲのＧＲから、何れかのプラ
イベートホストＰＨ１，…のプライベートＩＰアドレス
に変換するアドレス変換を行い、アドレス変換されたパ
ケットをプライベートネットワークＰＮに送る（ステッ
プｓ２０２）。このように、ＮＡＴではアドレス変換装
置Ｒが自己のＧＲを何れか１台のプライベートホストＰ
Ｈ１，…のＰＡに１対１に対応させてアドレス変換を行
っており、同時にインターネットと接続可能なプライベ
ートホストＰＨ１，…の台数が一台に限定されることに
なる。

【００１１】〔２．ＩＰマスカレード〕次にＩＰマスカ
レードにおいて説明を行う。プライベートホストＰＨ
１，…での一連のトランザクション処理に付与されるポ
ート番号（以下、ＰＰという）アドレス変換装置Ｒが各
プライベートホストＰＨ１，…のＰＡとプライベートホ
ストＰＨ１，…でのトランザクション処理に付与された
ポート番号の対（ＰＡ，ＰＰ）をアドレス変換装置Ｒか
らインターネット側に送受信されるパケットのユニーク
なポート番号（以下、ＧＰという）ＧＰに１対１に対応
させ、その対応関係を内部テーブルに記憶しており、こ
れによって各プライベートホストＰＨ１，…のＰＡをア
ドレス変換装置ＲのＧＲの多対一にマップすることを可
能としている。

【００１２】図２０は、ＩＰマスカレードにおけるアド
レス変換装置ＲがプライベートネットワークＰＮから受
信したパケットの処理を示すフローチャートである。図
２１は、ＩＰマスカレードにおけるアドレス変換装置Ｒ
がインターネットＩＮＥＴから受信したパケットの処理
を示すフローチャートである。図２０に示すようにアド
レス変換装置Ｒは、任意のプライベートホストＰＨ１，
…から受信したパケットから送信元のＩＰアドレスとポ
ート番号ＰＰを読み出す（ステップｓ３０１）。そし
て、読み出したＰＡとＰＰの対（ＰＡ，ＰＰ）に対応す
るＧＰが内部テーブルに記憶されているか否か判断し
（ステップｓ３０２）、記憶されている場合にはパケッ
ト内のＰＡを格納するフィールドにＧＲを書き込む（ス
テップｓ３０３）とともにパケット内のＰＰを格納する
各フィールドにＧＰを書き込むことにより（ステップｓ
３０４）、グローバルＩＰアドレスが付与されていない
プライベートホストＰＨ１，…からのパケットの送信元
アドレスをＧＲに変換するとともに送信元のポート番号
ＰＰをユニークなポート番号ＧＰに変換する。そして、
アドレス変換されたパケットをインターネットに転送す
る（ステップｓ３０５）。

【００１３】また、（ＰＡ，ＰＰ）に対応するＧＰが内
部テーブルに記憶されていない場合には、その（ＰＡ，
ＰＰ）に対して、ユニークなＧＰが生成できるか否かを
判断し（ステップｓ３０６）、生成できなければパケッ
トを破棄し（ステップｓ３１１）、生成できる場合には
（ＰＡ，ＰＰ）に対応したユニークなＧＰを作成して
（ステップｓ３０７）、内部テーブルに（ＰＡ，ＰＰ）
と生成したＧＰを格納するエントリを付け加える（ステ
ップｓ３０８）。そして、パケット内のＰＡを格納する
各フィールドにＧＲを書き込む（ステップｓ３０９）と
ともにパケット内のＰＰを格納する各フィールドにＧＰ
を書き込むことにより（ステップｓ３１０）、グローバ
ルＩＰアドレスが付与されていないプライベートホスト
ＰＨ１，…からのパケットの送信元アドレスをＧＲに変
換するとともに送信元のポート番号ＰＰをユニークなポ
ート番号ＧＰに変換する。そして、アドレス変換された
パケットをインターネットに転送する（ステップｓ３１
１）。

【００１４】一方、アドレス変換装置Ｒがインターネッ
トＩＮＥＴ上の任意のグローバルホストＧＨ１’，…か
らのパケットを受信すると、図２１に示すようにパケッ
トからＧＰを読み出し（ステップｓ４０１）、内部テー
ブルにそのＧＰに対応する（ＰＡ，ＰＰ）の対があるか
否かを判断する（ステップｓ４０２）。そして、対応す
る（ＰＡ，ＰＰ）の対が内部テーブルにある場合には、
パケット内のＧＲを格納する各フィールドＰＰを書き込
むことにより（ステップｓ４０４）、送信先のアドレス
をアドレス変換装置ＲのＧＲから何れかのプライベート
ホストＰＨ１，…のプライベートＩＰアドレスＰＡに変
換するアドレス変換を行う。そして、アドレス変換され
たパケットをプライベートネットワークＰＮに送る（ス
テップｓ４０５）。なお、内部テーブルに受信パケット
のＧＰと対応する（ＰＡ，ＰＰ）がない場合には、その
パケットは破棄される（ステップｓ４０６）。

【００１５】

【発明が解決しようとする課題】ここでプライベートネ
ットワーク上に位置するＶＰＮクライアントから、ＥＳ
Ｐパケットを送出し、任意のインターネット上のＶＰＮ
ゲートウェイとＶＰＮセッションを確立する場合におい
て、上記のＮＡＴとＩＰマスカレードを適用する場合に
ついて説明する。ＶＰＮクライアントとは、プライベー
トネットワーク上に位置し、ＩＰパケットに対してＥＳ
Ｐの処理を施し、ＥＳＰパケットを送出する機能を備え
た機器である。ＶＰＮセッションは必ずＶＰＮクライア
ントから開始される（ＶＰＮのイニシエータ）。また、
ＶＰＮゲートウェイとは、インターネット上に位置し、
ＩＰパケットに対してＥＳＰの処理を施し、ＥＳＰパケ
ットを送出する機能を備えた機器である。ＶＰＮの設定
はセッション待ち受けの設定とする（ＶＰＮのレスポン
ダ）。

【００１６】図２２は、ＥＳＰパケットフォーマットを
示す模式図である。ＥＳＰでパケットの認証および暗号
化を行う場合、同図に示すとおり、ＩＰヘッダは認証対
象外であるので、アドレス変換を行うことは可能であ
る。その場合においては、１対１のアドレス変換である
ＮＡＴのみが可能であり、１つのグローバルＩＰアドレ
スを複数のセッションで共有するＮ対１のアドレス変換
であるＩＰマスカレードを行うことはできない。これ
は、ＥＳＰのパケットはＴＣＰでもＵＤＰでもないた
め、ポート番号による多重化ができないためである（Ｅ
ＳＰヘッダにはポート番号という概念がない）。

【００１７】図２３は、ＶＰＮにＮＡＴを適用した場合
を説明するためのネットワーク構成図である。同図に示
すように、ＮＡＴを適用した場合、プライベートネット
ワークに仕置するＶＰＮクライアントにおいて、インタ
ーネット上のＶＰＮゲートウェイとＶＰＮセッションを
可能としているが、１対１のＮＡＴによってアドレス変
換をしなければいけないため、そのプライベートネット
ワーク上でＶＰＮセッションを確立可能な端末は一台に
限定される。そのため、図２４に示すようにプライベー
ト空間内の複数のＶＰＮクライアントから、ＶＰＮセッ
ションを複数確立するためには、そのＶＰＮセッション
の数だけ、ＮＡＴ機能を有する機器（例えばルータ等）
を用意しなければならない。そのため機器コスト、また
その機器の管理コスト等が増大するという問題があっ
た。

【００１８】本発明は、このような課題を解決するため
のものであり、１つのプライベートネットワーク上にあ
る複数のＶＰＮクライアントから１つのアドレス変換装
置経由でインターネットに接続し、同時に１つまたは複
数のＶＰＮゲートウェイとの間でＶＰＮセッション（使
用プロトコルはＥＳＰ）を構築可能とするネットワーク
アドレス変換方法およびその装置を提供することを目的
とする。また、このようなネットワークアドレス変換装
置を用いることにより、ＶＰＮクライアントの多重化を
実現可能とするＶＰＮクライアント多重化システムを提
供することをその他の目的とする。

【００１９】

【課題を解決するための手段】このような目的を達成す
るために、本発明に係るネットワークアドレス変換方法
は、パケットをプライベートネットワークとグローバル
ネットワークとの間で送受信する際にネットワークアド
レスを変換する方法において、受信したパケットがＥＳ
Ｐ（Encapsulating Security Payload）か否かを判断す
るステップと、ＥＳＰと判断された場合にセキュリテイ
ーパラメータインデックスと前記プライベートネットワ
ーク上の端末のＩＰアドレスとを対応付けた内部テーブ
ルを参照することにより、ＥＳＰのパケットにアドレス
変換を施すステップとを有する。

【００２０】また、本発明に係るネットワークアドレス
変換装置は、パケットをプライベートネットワークとの
間で送受信するＬＡＮインターフェース手段と、前記送
受信されたパケットを中継するＩＰルーティング手段
と、受信されたパケットがＥＳＰ（Encapsulating Secu
rity Payload）か否かを判断するＥＳＰ監視手段と、前
記受信されたパケットにアドレス変換を施すＮＡＴ処理
手段と、ＥＳＰのパケットにアドレス変換を施すＥＳＰ
ＮＡＴ処理手段と、パケットをグローバルネットワーク
との間で送受信するＷＡＮインターフェースとを備え、
前記ＥＳＰＮＡＴ処理手段は、セキュリテイーパラメー
タインデックスと前記プライベートネットワーク上の端
末のＩＰアドレスとを対応付けた内部テーブルを有し、
この内部テーブルを参照することにより前記ＥＳＰのパ
ケットのアドレス変換を実施する。

【００２１】また、本発明に係るＶＰＮクライアント多
重化システムは、第１のプライベートネットワークを介
して複数のＶＰＮクライアントを収容したアドレス変換
装置と、第２のプライベートネットワークを介して複数
の内線端末を収容したＶＰＮゲートウェイトと、前記ア
ドレス変換装置および前記ＶＰＮゲートウェイの接続さ
れたグローバルネットワークとで構成されたＶＰＮクラ
イアント多重化システムにおいて、前記アドレス変換装
置は、パケットを前記第１のプライベートネットワーク
との間で送受信するＬＡＮインターフェース手段と、前
記送受信されたパケットを中継するＩＰルーティング手
段と、受信されたパケットがＥＳＰ（Encapsulating Se
curity Payload）か否かを判断するＥＳＰ監視手段と、
前記受信されたパケットにアドレス変換を施すＮＡＴ処
理手段と、ＥＳＰのパケットにアドレス変換を施すＥＳ
ＰＮＡＴ処理手段と、パケットをグローバルネットワー
クとの間で送受信するＷＡＮインターフェースとを備
え、前記ＥＳＰＮＡＴ処理手段は、セキュリテイーパラ
メータインデックスと前記第１のプライベートネットワ
ーク上の端末のＩＰアドレスとを対応付けた内部テーブ
ルを有し、この内部テーブルを参照することにより前記
ＥＳＰのパケットのアドレス変換を実施する。

【００２２】このように構成することにより本発明は、
ＥＳＰパケット中のＳＰＩを利用することにより、ＶＰ
Ｎ内のプライベートアドレスとインターネット上のグロ
ーバルアドレスとのアドレス変換を実現し、ＶＰＮ内の
複数の端末とインターネット上のＶＰＮゲートウェイと
を接続することができる。したがって、１つのプライベ
ートネットワーク上にある複数のＶＰＮクライアントか
ら１つのアドレス変換装置経由でインターネットに接続
し、同時に１つまたは複数のＶＰＮゲートウェイとの間
でＶＰＮセッション（使用プロトコルはＥＳＰ）を構築
可能となる。

【００２３】

【発明の実施の形態】次に、本発明の一つの実施の形態
について図を用いて説明する。図１は、本発明の一つの
実施の形態を示すブロック図である。同図に示すよう
に、本実施の形態に係るシステムは、ＶＰＮクライアン
トＬＨ１＿１、ＬＨ１＿２およびＬＨ２と、プライベー
トネットワークＬと、アドレス変換装置Ｒと、グローバ
ルネットワークであるインターネットＩＮＥＴと、ＶＰ
ＮゲートウェイＧＨ１およびＧＨ２と、プライベートネ
ットワークＸおよびＹと、内線端末ＸＨ１、ＸＨ２、Ｙ
Ｈ１およびＹＨ２とで構成されている。また、ＶＰＮク
ライアントＬＨ１＿１は、パケット処理部ＬＨ１＿１ａ
とＶＰＮ処理部ＬＨ１＿１ｂとＬＡＮインターフェース
ＬＨ１＿１ｃとで構成されている。

【００２４】また、アドレス変換装置Ｒは、パケットを
ＬＡＮとの間で送受信するＬＡＮインターフェースＲａ
と、パケットをルーティングするＩＰルーティングＲｂ
と、受信したパケットがＥＳＰかどうか判断するＥＳＰ
監視部Ｒｄと、パケットにアドレス変換を施すＮＡＴ処
理部Ｒｃと、ＥＳＰのパケットにアドレス変換を施すＥ
ＳＰＮＡＴ処理部Ｒｅと、パケットをＷＡＮとの間で送
受信するＷＡＮインターフェースＲｆとで構成されてい
る。また、ＶＰＮゲートウェイＧＨ１は、ＷＡＮインタ
ーフェースＧＨ１ａとＶＰＮ処理部ＧＨ１ｂとＬＡＮイ
ンターフェースＧＨ１ｃとで構成されている。また、内
線端末ＸＨ１は、ＬＡＮインターフェースＸＨ１ａとパ
ケット処理部ＸＨ１ｂとで構成されている。

【００２５】ここで、アドレス変換装置Ｒの構成要素に
ついて詳細に説明する。ＬＡＮインターフェースＲａ
は、イーサネット（登録商標）処理といったＯＳＩ参照
モデルの物理層およびデータリンク層に関する処理、ま
たはフィルタリング等のＯＳＩ参照モデルのネットワー
ク層の処理を行う。ＩＰルーティングＲｂは、ルーティ
ングテーブルに基づいて、パケットのルーティングを行
う。ただし、ディステイネーションアドレスが自分自身
であった場合、トランスポートレイヤ以上の処理に委
ね、パケットを内部に取り込む。ＥＳＰ監視部Ｒｄの内
部には、ＬＡＮ側から受信したパケットとＷＡＮ側から
受信したパケットに対して施す処理が異なることによ
り、ＬＡＮ側、ＷＡＮ側という２つ処理部を持つ。ＬＡ
Ｎ側から来たパケットは、そのパケットのＩＰの上位プ
ロトコルがＥＳＰかどうか判断する。ＥＳＰであった
ら、ＥＳＰＮＡＴ処理部ＲｅのＬＡＮ側に処理を渡し、
ＥＳＰでなければＮＡＴ処理部ＲｃのＬＡＮ側に処理を
渡す。ＷＡＮ側から来たパケットの場合、そのパケット
のＩＰの上位プロトコルがＥＳＰかどうか判断し、ＥＳ
Ｐであったら、ＥＳＰＮＡＴ処理部ＲｅのＷＡＮ側に処
理を渡し、ＥＳＰでなければＮＡＴ処理部ＲｃのＷＡＮ
側に処理を渡す。

【００２６】図２は、ＥＳＰ監視部のＬＡＮ側の処理フ
ローチャートを示す。 〔ステップｓ５０１（ＥＳＰ判断）〕ＬＡＮインターフ
ェースＲａから受信したＩＰパケットのＩＰヘッダのプ
ロトコルフィールドを読み取り、ＥＳＰかどうか、すな
わち５０番かどうか判断する（ＩＡＮＡによってプロト
コル番号５０は、ＥＳＰのため予約されている）。ＥＳ
Ｐであるならばステップｓ５０２へ、ＥＳＰ以外のプロ
トコルであった場合ステップｓ５０３へ処理を移行す
る。 〔ステップｓ５０２（ＥＳＰＮＡＴ処理へ移行）〕ＥＳ
ＰＮＡＴ処理部ＲｅのＬＡＮ側処理部Ｒｅ１に処理を渡
す。 〔ステップｓ５０３（ＮＡＴ処理へ移行）ＮＡＴ処理部
ＲｃのＬＡＮ側処理部Ｒｃ１に処理を渡す。

【００２７】図３は、ＥＳＰ監視部のＷＡＮ側の処理フ
ローチャートを示す。 〔ステップｓ６０１（ＥＳＰ判断）〕ＩＰルーティング
から受信したＩＰパケットのＩＰヘッダのプロトコルフ
ィールドを読み取り、ＥＳＰかどうか、すなわち５０番
かどうか判断する（ＩＡＮＡによってプロトコル番号５
０は、ＥＳＰのため予約されている）判断する。ＥＳＰ
であるならばステップｓ６０２へ、ＥＳＰ以外のプロト
コルであった場合ステップｓ６０３へ処理を移行する。 〔ステップｓ６０２（ＥＳＰＮＡＴ処理へ移行）〕ＥＳ
ＰＮＡＴ処理部ＲｅのＷＡＮ側処理部Ｒｅ３に処理を渡
す。 〔ステップｓ６０３（ＮＡＴ処理へ移行）〕ＮＡＴ処理
部ＲｃのＷＡＮ側処理部Ｒｃ２に処理を渡す。

【００２８】ＮＡＴ処理部Ｒｃは、ＥＳＰ監視部Ｒｄか
らパケットを受け取り、自らが持つ変換テーブルに従っ
て、そのパケットのアドレスを変換する。ＬＡＮ側から
受信したパケットとＷＡＮ側から受信したパケットに対
して施す処理が異なるのでＬＡＮ側処理部Ｒｄ１、ＷＡ
Ｎ側処理部Ｒｄ２という２つ処理部を持つこととする。
詳細にいうと、ＥＳＰ監視部ＲｄのＬＡＮ側処理部Ｒｄ
１から、ＮＡＴ処理部ＲｃのＬＡＮ側処理部Ｒｃ１がパ
ケットを受信するとき、そのパケットはソースアドレス
としてプライベートアドレスを持つが、ＮＡＴ処理部Ｒ
ｃは自らが持つ変換テーブルに従ってそのパケットのソ
ースアドレスをグローバルアドレスに変換して、インタ
ーネットＩＮＥＴヘ中継する。反対に、ＥＳＰ監視部Ｒ
ｄのＷＡＮ側から、ＮＡＴ処理部ＲｃのＷＡＮ側処理部
Ｒｃ２がパケットを受信するとき、そのパケットのディ
スティネーションアドレスに対してＮＡＴ処理部Ｒｃが
変換を施す。ＮＡＴ処理部Ｒｃでは、ＮＡＴ（Network
Address Translation ）とそれに改良を加えたＩＰマス
カレードというアドレス変換方法を行うことが可能であ
る。

【００２９】ＥＳＰＮＡＴ処理部Ｒｅは、ＥＳＰ監視部
Ｒｄからパケットを受け取り、自らが持つ内部テーブル
に従って、パケットのアドレスを変換し、パケットをＩ
ＰルーティングＲｂまたはＷＡＮインターフェースＲｆ
に送出する。ＥＳＰＮＡＴ処理部Ｒｅは、本発明の特徴
とする構成であり、その構成要素は（１）内部テーブル
Ｒｅ２、（２）ＬＡＮ側処理部Ｒｅ１、（３）ＷＡＮ側
処理部Ｒｅ３である。

【００３０】（１）内部テーブルＲｅ２ 図４は、内部テーブルを示す模式図である。内部テーブ
ルＲｅ２は、ＥＳＰＮＡＴ処理部ＲｅのＬＡＮ側処理部
Ｒｅ１が受信したパケットのソースアドレスを格納する
ＶＰＮクライアントフィールドと送信先のインターネッ
ト上に存在するＶＰＮゲートウェイのグローバルアドレ
スを格納するＶＰＮゲートウェイフィールド、そのパケ
ットのレスポンスパケットのＳＰＩの値を格納するＳＰ
Ｉフィールドを持つ。これらのＶＰＮゲートウェイフィ
ールド、ＶＰＮクライアントフィールド、ＳＰＩフィー
ルドに格納される１組のデータの組をレコードと呼ぶ。

【００３１】ここで、ＳＰＩの概要について説明する。
ＳＰＩとは、受信者がセキュリティプロトコル毎にセキ
ュリティパラメータであるセキュリティアソシエーショ
ン（以下、ＳＡという）を識別するために使うもので、
ＥＳＰヘッダ（図２２参照）に含まれている。ＩＰｓｅ
ｃでは、暗号化や認証に使用するアルゴリズムを規定し
ていない。このため、様々な種類のアルゴリズムの中か
ら利用したいものを選択することが可能となる。しか
し、当然、相手側がどのアルゴリズムを使用して暗号化
したのか、どのアルゴリズムを利用して認証しているの
かということが分からなければパケットを受け取ること
ができない。このような情報を保持するために、ＩＰｓ
ｅｃではＳＡを利用する。ＶＰＮクライアントとＶＰＮ
ゲートウェイが保持するＳＡには、使用する暗号化アル
ゴリズムの種類、暗号化アルゴリズムのモード、暗号化
アルゴリズムで使用する初期ベクトル（ＩＶ）の長さ、
認証アルゴリズムの種類、認証アルゴリズムのモード、
暗号化鍵、認証鍵などの情報がされている。

【００３２】このＳＡはそれぞれの機器で保持され、Ｉ
Ｐｓｅｃパケットを送り出す場合には、相手側の保持す
るＳＡの中から利用できるものを送信側が選択し、その
ＳＡに付けられているＳＰＩの値をそのパケットのＥＳ
Ｐヘッダのフィールドに含めて送信する。受信側は、Ｅ
ＳＰヘッダ中のＳＰＩ値によってどのＳＡが使用されて
いるのかを識別する。ＳＰＩ値は鍵交換のフェーズで決
定される３２ビットの擬似乱数値である。またＳＡは単
方向である。つまり、端末Ａと端末Ｂが通信する場合、
端末Ａから端末Ｂへのパケットと、端末Ｂから端末Ａへ
のパケットには異なるＳＡが使用される。よって、行き
のパケットはＤＥＳで暗号化し、帰りのパケットはトリ
プルＤＥＳで暗号化するといったような、その方向によ
って使用するアルゴリズムを変えることも可能である。
ＳＡが単方向ということは、すなわち、鍵交換を行った
ＶＰＮクライアント、ＶＰＮゲートウェイは、互いに受
信したＩＰｓｅｃパケットに対して適切なＳＡを識別す
るためのＳＰＩ値、ＩＰｓｅｃパケットを送信する際に
適切なＳＡを選択するためのＳＰＩ値という２つのＳＰ
Ｉ値を持つことになる。

【００３３】図５は、ＳＰＩとＳＡの使用例を示す説明
図である。 ＩＰｓｅｃパケットの送出側はＩＰｓｅｃ処理が必
要なパケットがきたら、適切なＳＡを選択し、どのよう
なセキュリティパラメータに従ってパケットに処理を施
すか決定する。受信したパケットに対して、ＩＰｓｅｃ
処理が必要か否かおよび適切なＳＡを選択する方法は、
そのパケットのＩＰアドレス、トランスポート層プロト
コルなどによって決定される。 によって決定したＳＡに従い、パケットにＩＰｓ
ｅｃ処理（パケットの暗号化等）を施し、パケットを送
出する。 ＩＰｓｅｃパケットの受信側はＩＰｓｅｃのパケッ
トを受信したら、そのパケットのＳＰＩ値を読み出し
て、そのＳＰＩ値を元にセキュリティパラメータ表を検
索し、そのＩＰｓｅｃパケットを復号化するのに適切な
ＳＡを選択する。 で検索したＳＡを用いて、ＩＰｓｅｃ処理（パケ
ットの復号化等）を行う。ここで説明したＳＰＩをイン
デックスとして適切なＳＡを選択したり、受信パケット
の宛先アドレス等からＶＰＮ処理するか否かといった機
能はＶＰＮクライアント、ＶＰＮゲートウェイの構成要
素ＶＰＮ処理部が行う。

【００３４】（２）ＬＡＮ側処理部Ｒｅ１ ＬＡＮ側処理部Ｒｅ１は、ＥＳＰ監視部ＲｄのＬＡＮ側
処理部Ｒｄ１から受信したＥＳＰパケットに対して、図
６に示すようなフローチャートに従い、パケットを処理
する。

【００３５】図６は、ＥＳＰ処理部における処理フロー
チャートを示す。 〔ステップｓ７０１〕ＥＳＰＮＡＴ処理部ＲｅのＬＡＮ
側処理部Ｒｅ１は、受信したパケットのソースアドレ
ス、ディスティネーションアドレス、ＳＰＩ値と内部テ
ーブルを参照し、受信パケットを「新規」、「登録不
可」、「登録完了」の３つの状態の何れかに判別する。
受信パケットを「新規」と判別した場合にはステップｓ
７０２へ、「登録不可」と判別した場合にはステップｓ
７０５へ、登録完了と判別した場合はステップｓ７０６
へと処理を移行する。

【００３６】次に、受信パケットの状態を判別方法を説
明する。図７は、図６のステップｓ７０１の詳細フロー
チャートを示す。まず、受信したパケットのディスティ
ネーションアドレスを読み出し、内部テーブルのＶＰＮ
ゲートウェイフィールドを参照して、読み出したディス
ティネーションアドレスと同一のアドレスがあるかどう
か判断する（ステップｓ９０１）。ディスティネーショ
ンアドレスと同一のアドレスが存在する場合には、ステ
ップｓ９０２へ移行する。ディスティネーションアドレ
スと同一のアドレスが存在しない場合には、受信パケッ
トの状態を「新規」に決定する（ステップｓ９０６）。
ステップｓ９０２では、内部テーブルを参照し、受信パ
ケットのディスティネーションアドレスと同一のアドレ
スを持つＶＰＮゲートウェイフィールドのレコードを抽
出する。ステップｓ９０３では、ステップｓ９０２で抽
出された全てのレコードにおいて、ＳＰＩフィールドに
値が格納されているかどうか判断する。全てのレコード
において、ＳＰＩフィールドに値が格納されていた場
合、受信パケットの状態、を「登録完了」とする（ステ
ップｓ９０４）。少なくとも１つのレコードのＳＰＩフ
ィールドにおいて、値が格納されていない場合、受信パ
ケットの状態を「登録不可」とする（ステップｓ９０
５）。

【００３７】〔ステップｓ７０２〕 ・受信したパケットのソースアドレスを内部テーブルの
ＶＰＮクライアントフィールドに、ディステイネーショ
ンアドレスを内部テーブルのＶＰＮゲートウェイフィー
ルドに格納する。 〔ステップｓ７０３〕 ・受信したパケットのソースアドレスをルータが持つグ
ローバルアドレスに変換する。 〔ステップｓ７０４〕 ・パケットをＷＡＮインターフェースに転送する。 〔ステップｓ７０５〕 ・パケットを破棄する。 〔ステップｓ７０６〕 ・受信したパケットのソースアドレスをルータが持つグ
ローバルアドレスに変換する。 〔ステップｓ７０７〕 ・パケットをＷＡＮインターフェースに転送する。

【００３８】（３）ＷＡＮ側処理部Ｒｅ３ 次にＷＡＮ側処理部Ｒｅ３は、ＥＳＰ監視部ＲｄのＷＡ
Ｎ側処理部Ｒｄ２から受信したＥＳＰパケットに対し、
図８に示すようなフローチャートに従ってパケットを処
理する。

【００３９】図８は、ＥＳＰＮＡＴ処理部のＷＡＮ側処
理部における処理フローチャートを示す。 〔ステップｓ８０１〕 ・ＥＳＰＮＡＴ処理部ＲｅのＷＡＮ側処理部Ｒｅ３は、
受信したパケットのソースアドレス、ディスティネーシ
ョンアドレス、ＳＰＩ値と内部テーブルを参照し、受信
パケットを「未登録」、「登録途中」、「登録完了」の
３つの状態の何れかに判別する。受信パケットを「未登
録」と判別した場合にはステップｓ８０２へ、「レスポ
ンス」と判別した場合にはステップｓ８０５へ、「登録
済み」と判別した場合はステップｓ８０３へと処理を移
行する。

【００４０】次に、受信パケットの状態を判別する方法
を説明する。図９は、受信パケットが「未登録」、「レ
スポンス」、「登録完了」の何れの状態か判断するため
のフローチャートを示す。まず、受信したパケットのソ
ースアドレスを読み出し、内部テーブルのＶＰＮゲート
ウェイフィールドを参照して、読み出したソースアドレ
スと同一のアドレスがあるかどうか判断する（ステップ
ｓ１００１）。ソースアドレスと同一のアドレスが存在
する場合には、ステップｓ１００２へ移行する。ＶＰＮ
ゲートウェイフィールドに受信パケットのソースアドレ
スと同一のアドレスが存在しない場合には、受信パケッ
トの状態を「未登録」に決定する（ステップｓ１００
７）。ステップｓ１００２では、内部テーブルを参照
し、受信パケットのソースアドレスと同一のアドレスを
持つＶＰＮゲートウェイフィールドのレコードを抽出す
る。

【００４１】ステップｓ１００３では、ステップｓ１０
０２で抽出された全てのレコードにおいて、ＳＰＩフィ
ールドに値が格納されているかどうか判断する。全ての
レコードにおいて、ＳＰＩフィールドに値が格納されて
いた場合、ステップｓ１００５に移行する。少なくとも
１つのレコードのＳＰＩフィールドにおいて、値が格納
されていない場合、受信パケットの状態を「レスポン
ス」とする（ｓ１００４）。ステップｓ１００５では、
受信パケットのＳＰＩ値を読み込み、ステップｓ１００
２で抽出されたレコードにおけるＳＰＩフィールドにお
いて、同一の値が格納されているかどうか判断する。同
一の値が格納されていた場合、受信パケットの状態を
「登録完了」とする（ステップｓ１００６）。同一の値
が格納されていない場合は、受信パケットの状態を「未
登録」とする（ステップｓ１００７）。

【００４２】〔図８のステップｓ８０２〕 ・パケットを破棄する。 〔ステップｓ８０３〕 ・受信したパケットのＥＳＰヘッダのＳＰＩ値を読み出
して、内部テーブルを参照し、読み出したＳＰＩ値と同
一のＳＰＩフィールドを含むレコードを抽出する。抽出
したレコードのＶＰＮクライアントフィールドに格納さ
れているアドレスをパケットのディスティネーションア
ドレスに変換する。 〔ステップｓ８０４〕 ・パケットをＩＰルーティングＲｂに転送する。 〔ステップｓ８０５〕図９のステップｓ１００２により
抽出されたレコードにおいて、ＳＰＩフィールドに値が
格納されていないレコードを抽出し、そのレコードのＳ
ＰＩフィールドに受信したパケットのＥＳＰヘッダのＳ
ＰＩフィールドに格納されているＳＰＩ値を格納する。

【００４３】ＷＡＮインターフェースＲｆは、ＰＰＰや
ＩＳＤＮ回線処理といったＯＳＩ参照モデルの物理層お
よびデータリンク層に関する処理、またはフィルタリン
グ等のＯＳＩ参照モデルのネットワーク層の処理を行
う。これらの処理は本発明の主旨ではないため、ここで
は言及しない。また、接続回線は、ＩＳＤＮや専用線、
イーサーネットといった種類は問わない。

【００４４】本実施の形態は上記構成要素により、ＥＳ
Ｐパケットを送出するプライベートネットワーク上の複
数のＶＰＮクライアント間でグローバルなＩＰアドレス
を同時に共用することが可能なアドレス変換方法を実現
する。従来のアドレス変換装置には、ＥＳＰ監視部とＥ
ＳＰＮＡＴ処理部がなかったので、ＥＳＰパケットを送
出するプライベートネットワーク上の複数のＶＰＮクラ
イアント間でグローバルなＩＰアドレスを同時に共用す
ることができなかったのに対し、ＥＳＰ監視部とＥＳＰ
ＮＡＴ処理部を新規に追加したことにより、グローバル
なＩＰアドレスを同時に共用することができるようにな
った。

【００４５】なお、本発明において、グローバルなＩＰ
アドレスを同時に共用することができることに関して、
ＶＰＮゲートウェイが送信したＥＳＰパケットに含まれ
るＳＰＩ値がＶＰＮクライアント固有であることを前提
としているが、ＳＰＩ値は、鍵交換時に決定される３２
ビットの擬似乱数値であるため、約４３億分の１で異な
るＶＰＮクライアントが同一のＳＰＩ値を保持すること
がある。この場合は、ＶＰＮゲートウェイからのＥＳＰ
パケットのディスティネーションアドレスを適切なＶＰ
Ｎクライアントのアドレスに変換することができないた
め、正しく通信を行うことができない。この問題は、再
度鍵交換を行うといった運用で回避することとする。

【００４６】〔ＶＰＮクライアント多重化システム〕図
１に示すＶＰＮ多重化システムは、１つのプライベート
ネットワーク上にある複数のＶＰＮクライアントから１
つのアドレス変換装置を経由してインターネットに接続
し、同時に１つまたは複数のＶＰＮゲートウェイとの間
でＶＰＮセッションを構築する。ＶＰＮセッションの多
重化を行う際のシステムは、アドレス変換装置配下のプ
ライベートネットワーク上に位置する複数のＶＰＮクラ
イアント、アドレス変換装置、インターネット上に位置
する複数のＶＰＮゲートウェイ、内線端末の４つのノー
ドから構成される。

【００４７】次に、４つのノードの構成要素を各々説明
する。ＶＰＮクライアントＬＨ１＿１は、パケットの処
理およびルーティングを実施するパケット処理部ＬＨ１
＿１ａと、パケットにＶＰＮの処理を施すＶＰＮ処理部
ＬＨ１＿１ｂと、パケットをイーサーネットとの間で送
受信するＬＡＮインターフェースＬＨ１＿１ｃとで構成
されている。アドレス変換装置Ｒは、パケットをＬＡＮ
との間で送受信するＬＡＮインターフェースＲａと、パ
ケットをルーティングするＩＰルーティングＲｂと、受
信したパケットがＥＳＰかどうか判断するＥＳＰ監視部
Ｒｄと、パケットにアドレス変換を施すＮＡＴ処理部Ｒ
ｃと、ＥＳＰのパケットにアドレス変換を施すＥＳＰＮ
ＡＴ処理部Ｒｅと、パケットをＷＡＮとの間で送受信す
るＷＡＮインターフェースＲｆとで構成されている。Ｖ
ＰＮゲートウェイＧＨ１は、パケットをＷＡＮとの間で
送受信するＷＡＮインターフェースＧＨ１ａと、パケッ
トにＶＰＮの処理を施すＶＰＮ処理部ＧＨ１ｂと、パケ
ットをＬＡＮとの間で送受信するＬＡＮインターフェー
スＧＨ１ｃとで構成されている。内線端末ＸＨ１は、パ
ケットをＬＡＮとの間で送受信するＬＡＮインターフェ
ースＸＨ１ａと、パケットの処理およびルーティングす
るパケット処理部ＸＨ１ｂとで構成されている。

【００４８】これらのシステム構成要素において、アド
レス変換装置Ｒの各構成要素は、前記アドレス変換装置
の構成要素の説明と同一である。また、それ以外の構成
要素については、特に従来のＴＣＰ／ＩＰ通信およびＴ
ＣＰ／ＩＰ通信ノード上のＶＰＮ処理部については、従
来の処理とは特に変わらず、新規な部分は存在しないの
で、説明を省略する。

【００４９】以下、システムの構成を説明する。複数の
ＶＰＮクライアントＬＨ１＿１，…がアドレス変換装置
Ｒにバス接続されてプライベートネットワークＬを構成
している。ＬＨ１＿１，…に付記した添え字は、「対向
ＶＰＮゲートウェイの添え字」アンダーバー「ＶＰＮク
ライアントの添え字」（例：対向ＶＰＮゲートウェイが
Ｇ１で、その対向ＶＰＮゲートウェイに接続するＶＰＮ
クライアントが２台あるとき、ＬＨ１＿１、ＬＨ１＿２
となる）。添え字については、以下、同様の記述規則と
する。プライベートネットワークＬはアドレス変換装置
Ｒを介してインターネットＩＮＥＴに接続しており、イ
ンターネットＩＮＥＴ上には複数のＶＰＮゲートウェイ
ＧＨ１，…が存在し、各々のＶＰＮゲートウェイＧＨ
１，…の配下には複数の内線端末ＸＨ１，ＸＨ２，…が
バス接続されてプライベートネットワークＸ，…を構築
している。プライベートネットワーク上の各ＶＰＮクラ
イアントＬＨ１＿１，ＬＨ１＿２，ＬＨ２，…には、各
々プライベートＩＰアドレスＬ１＿１，Ｌ１＿２，Ｌ
２，…が付与されている。

【００５０】また、アドレス変換装置Ｒのインターネッ
トＩＮＥＴ側には、グローバルＩＰアドレスＧＲが付与
されている。インターネットＩＮＥＴ上のＶＰＮゲート
ウェイＧＨ１，…のインターネットＩＮＥＴ側には、各
々グローバルＩＰアドレスＧ１，…が付与されている。
ＶＰＮゲートウェイ配下の内線端末ＸＨ１，…には各々
プライベートＩＰアドレスＸ１，…が付与されている。
図１中に示す太破線の矢印は、ＶＰＮクライアントから
内線端末へのパケットの流れを示している。太線の矢印
は、内線端末からＶＰＮクライアントヘのパケットの流
れである。細線の矢印は、ＶＰＮクライアントからのパ
ケットが内線端末へと到達する際の各構成要素における
処理の流れを示している。細線の矢印は、内線端末から
のパケットがＶＰＮクライアントヘと到達する際の各構
成要素における処理の流れを示している。

【００５１】

【実施例】次に、本発明の実施例について説明する。図
１０は、本発明の実施例を示すネットワーク構成図であ
る。同図に示すようなアドレス変換装置Ｒを介してＶＰ
ＮゲートウェイＬＨ１＿１，ＬＨ１＿２，ＬＨ２とＶＰ
ＮゲートウェイＧＨ１，ＧＨ２との間で３とおりのＶＰ
Ｎセッションを確立する場合を例にして、アドレス変換
装置でのアドレス変換手順を説明する。

【００５２】まず、本発明を実施するための前提条件
は、ＶＰＮクライアントがセキュアな通信を行う対向の
ＶＰＮゲートウェイと鍵交換のフェーズを完了している
ことである。既にこの時点で各々の２点間の鍵交換のフ
ェーズは完了し、各ＶＰＮクライアントおよびＶＰＮゲ
ートウェイはともにセキュアな通信に必要なパラメータ
の集合であるＳＡを保持しているものとする。鍵交換に
関しては、トランスポート層プロトコルＵＤＰ、ポート
番号５００番が使用される。よってＮＡＴ処理部におい
ては、トランスポート層プロトコルＵＤＰ、ポート番号
５００番のパケットに対して、ポート番号を５００番に
保持したまま、アドレスのみを変換する方法によって対
処する。このとき、アドレス、プロトコル、ポート番号
の組を変換テーブルに保持するわけだが、その保持期間
は鍵交換が完了した後、可能な限り短時間で終了するこ
とが望ましい。鍵交換を行ったＶＰＮクライアントおよ
びＶＰＮゲートウェイは、互いに受信したＥＳＰパケッ
ト用のＳＡを識別するためのＳＰＩ値（以下、受信ＳＰ
Ｉ値という）、ＥＳＰパケットを送信する際に適切なＳ
Ａを選択するためのＳＰＩ値（以下、送信ＳＰＩ値とい
う）という２つのＳＰＩ値を持っていることになる。

【００５３】本実施例ではＶＰＮクライアントＬＨ１＿
１はＶＰＮゲートウェイＧＨ１と、ＶＰＮクライアント
ＬＨ１＿２はＶＰＮゲートウェイＧＨ１と、ＶＰＮクラ
イアントＬＨ２はＶＰＮゲートウェイＧＨ２と鍵交換を
完了しているとする。図１０に示すようにＶＰＮクライ
アントＬＨ１＿１は、ＶＰＮゲートウェイ配下のネット
ワークＸ向けのパケットに対して、ＥＳＰ処理を施すわ
けだが、適切なＳＡを選択する際の送信ＳＰＩ値がＡＡ
Ａであり、またＶＰＮゲートウェイＧＨ１から受信した
ＥＳＰパケットに対しては、適切なＳＡを選択するため
に受信ＳＰＩ値ＢＢＢが使用される。同様にＶＰＮクラ
イアントＬＨ１＿２の送信ＳＰＩ値はＣＣＣ、受信ＳＰ
Ｉ値はＤＤＤ，ＶＰＮクライアントＬＨ２の送信ＳＰＩ
値はＥＥＥ、受信ＳＰＩ値はＦＦＦである。ＶＰＮゲー
トウェイＧＨ１の送信ＳＰＩ値は、パケットの宛先がＬ
１＿１であった場合ＢＢＢ，Ｌ１＿２であった場合ＤＤ
Ｄであり、受信ＳＰＩ値は、ＡＡＡ、ＣＣＣの２つを保
持している。同様にＶＰＮゲートウェイＧＨ２の送信Ｓ
ＰＩ値は、パケットの宛先がＬ２であった場合、ＦＦＦ
であり、受信ＳＰＩ値はＥＥＥを保持している。

【００５４】ここで、３つのＶＰＮセッションの確立の
例を述べて、本実施例を説明する。アドレス変換装置Ｒ
を介して、ＶＰＮクライアントＬＨ１＿１とＶＰＮゲー
トウェイＧＨ１、ＶＰＮクライアントＬＨ１＿２とＶＰ
ＮゲートウェイＧＨ１、ＶＰＮクライアントＬＨ２とＶ
ＰＮゲートウェイＧＨ２との間で３とおりのＶＰＮセッ
ションを確立する場合を例にして、アドレス変換手順を
説明する。なお、以下の例ではＥＳＰ・トンネルモード
について説明するが、ＥＳＰ・トランスポートモードに
ついても同様の手順で行われる。

【００５５】図１０におけるＶＰＮクライアントＬＨ１
＿１は、ＶＰＮゲートウェイＧＨ１と鍵交換を完了して
いる。また、ＶＰＮクライアントＬＨ１＿２はＶＰＮゲ
ートウェイＧＨ１と鍵交換を完了し、ＶＰＮクライアン
トＬＨ２はＶＰＮゲートウェイＧＨ２と鍵交換を完了し
ており、各々ＳＰＩ値を保持している。同図において、
破線矢印はＶＰＮセッションを示しており、矢印の起点
がＶＰＮセッション確立要求するホストであり、矢印の
先がＶＰＮセッション確立要求相手のホストである。

【００５６】ＶＰＮセッションは、ＶＰＮクライアン
トＬＨ１＿１がＶＰＮゲートウェイＧＨ１との間にＶＰ
Ｎセッションを確立し、プライベートネットワークＸ上
の端末ＸＨ１と通信を行うことを意味している。また、
ＶＰＮセッションは、ＶＰＮクライアントＬＨ１＿２
がＶＰＮゲートウェイＧＨ１との間にＶＰＮセッション
を確立し、プライベートネットワークＸ上の端末ＸＨ２
と通信を行うことを意味している。さらに、ＶＰＮセッ
ションは、ＶＰＮクライアントＬＨ２がＶＰＮゲート
ウェイＧＨ２との間にＶＰＮセッションを確立し、プラ
イベートネットワークＹ上の端末ＹＨ１と通信を行うこ
とを意味している。このようなＶＰＮセッション、
、を順に確立していくものとする。

【００５７】図１１、図１２、図１３、図１４、図１
５、図１６は、図１０に示すＶＰＮセッションを確立す
るにあたってのＥＳＰＮＡＴ処理部における内部テーブ
ルの変化、パケットのアドレス変換等の変化を時系列的
に示したシーケンス図である。ここでパケットの形態を
分かりやすく表示するため、ソースアドレス（以下、Ｓ
Ａという）、ディスティネーションアドレス（以下、Ｄ
Ａという）、セキュリティパラメータインデックスの値
（以下、ＳＰＩという）、データ（以下、ＤＡＴＡとい
う）のみを示すことにより、パケットの構成を簡易に表
記する。

【００５８】まず、プライベートネットワークＬ上のＶ
ＰＮゲートウェイＬＨ１＿１がインターネットＩＮＥＴ
上のＶＰＮゲートウェイＧＨ１配下のプライベートネッ
トワークＸ上の端末ＸＨ１に対して通信を行うものとす
る。

【００５９】〔１〕ＶＰＮクライアントＬＨ１＿１ １−１ ＶＰＮクライアントＬＨ１＿１のパケット送出
部ＬＨ１＿１ａ（図１）が送信先のＩＰアドレスＸ１の
パケットＰ１を作成し、ＶＰＮ処理部ＬＨ１＿１ｂへ渡
す。 １−２ パケットＰ１のディスティネーションアドレス
はＸ１であり、プライベートネットワークＸ向けのパケ
ットのため、パケットＰ１にＥＳＰ処理を施し、ＥＳＰ
パケットＥＰ１を生成する。そして、ＬＡＮインターフ
ェースＬＨ１＿１ｃヘ処理を渡す。 １−３ ＶＰＮクライアントＬＨ１＿１のＬＡＮインタ
ーフェースＬＨ１＿１ｃは、ＥＳＰパケットＥＰ１をプ
ライベートネットワークＬへ送出する。

【００６０】〔２〕アドレス変換装置Ｒ ２−１ ＥＳＰパケットＥＰ１をアドレス変換装置Ｒの
ＬＡＮインターフェースＲａが受信し、ＩＰルーティン
グＲｂヘ処理を渡す。 ２−２ ＩＰルーティングＲｂはＥＳＰパケットＥＰ１
のディステイネーションアドレスＧ１を読み出し、ＥＳ
Ｐ監視部ＲｄのＬＡＮ側処理部Ｒｄ１へ処理を渡す。 ２−３ ＥＳＰ監視部ＲｄのＬＡＮ側処理部Ｒｄ１は、
ＥＳＰパケットＥＰ１のＩＰヘッダのプロトコルフィー
ルドを参照し、パケットのＩＰの上位プロトコルがＥＳ
Ｐかどうかを判断する（図２のステップｓ５０１）。 ２−４ ＥＳＰパケットＥＰ１はＥＳＰであるため、Ｅ
ＳＰＮＡＴ処理部ＲｅのＬＡＮ側処理部Ｒｅ１へ処理を
渡す（図２のステップｓ５０２）。

【００６１】２−５ ＥＳＰＮＡＴ処理部ＲｅのＬＡＮ
側処理部Ｒｅ１は、内部テーブルＲｅ２のＶＰＮゲート
ウェイフィールドを参照し、パケットのディステイネー
ションアドレスＧ１と同一のアドレスが格納されている
かどうかを検索する（図７のステップｓ９０１）。 ２−６ その結果、同一のアドレスが格納されていない
ので、ＥＳＰパケットＥＰ１の状態を「新規」と判断す
る（図７のステップｓ９０６）。 ２−７ 内部テーブルＲｅ２のＶＰＮゲートウェイフィ
ールドにＧ１を格納し、ＶＰＮクライアントフィールド
にＬ１＿１を格納する（図６のステップｓ７０２）。 ２−８ ＥＳＰパケットＥＰ１のソースアドレスをＧＲ
に変換し（変換後のＥＳＰパケットをＥＰ１’とす
る）、ＷＡＮインターフェースＲｆヘ処理を渡す。 ２−９ ＷＡＮインターフェースＲｆは、ＥＳＰパケッ
トＥＰ１’をインターネットＩＮＥＴへ送出する。

【００６２】〔３〕ＶＰＮゲートウェイＧＨ１ ３−１ ＥＳＰパケットＥＰ１’をＶＰＮゲートウェイ
ＧＨ１のＷＡＮインターフェースＧＨ１ａが受信し、Ｖ
ＰＮ処理部ＧＨ１ｂへ処理を渡す。 ３−２ ＶＰＮ処理部ＧＨ１ｂは、ＥＳＰパケットＥＰ
１’のＳＰＩ値ＡＡＡを読み出し、適切なＳＡを選択し
てＥＳＰパケットＥＰ１’を復号化してパケットＰ１を
取り出し、ＬＡＮインターフェースＧＨ１ｃヘ処理を渡
す。 ３−３ ＬＡＮインターフェースＧＨ１ｃは、パケット
Ｐ１をプライベートネットワークＸへ送出する。

【００６３】〔４〕内線端末ＸＨ１ ４−１ パケットＰ１を内線端末ＸＨ１のＬＡＮインタ
ーフェースＸＨ１ａが受信し、パケット処理部ＸＨ１ｂ
へ処理を渡す。 ４−２ パケット処理部ＸＨ１ｂは、パケットＰ１の内
容を読み取り、適切な処理を実行する。

【００６４】次に、この時点でプライベートネットワー
クＬ上のＶＰＮクライアントＬＨ１＿２がインターネッ
トＩＮＥＴ上のＶＰＮゲートウェイＧＨ１配下のプライ
ベートネットワークＸ上の端末ＸＨ２に対して通信を行
うものとする。

【００６５】〔５〕ＶＰＮクライアントＬＨ１＿２ ５−１ ＶＰＮクライアントＬＨ１＿２のパケット処理
部が送信先Ｘ２のパケットＰ２を作成し、ＶＰＮ処理部
へ渡す。 ５−２ パケットＰ２のディスティネーションアドレス
はＸ２であるとともに、プライベートネットワークＸ向
けのパケットのため、パケットＰ２にＥＳＰ処理を施
し、ＥＳＰパケットＥＰ２を生成する。そして、ＬＡＮ
インターフェースヘと処理を渡す。 ５−３ ＶＰＮクライアントＬＨ１＿２のＬＡＮインタ
ーフェースは、ＥＳＰパケットＥＰ２をプライベートネ
ットワークＬへ送出する。

【００６６】〔６〕アドレス変換装置Ｒ ６−１ ＥＳＰパケットＥＰ２をアドレス変換装置Ｒの
ＬＡＮインターフェースＲａが受信し、ＩＰルーティン
グＲｂヘ処理を渡す。 ６−２ ＩＰルーティングＲｂはＥＳＰパケットＥＰ２
のディステイネーションアドレスＧ１を読み出し、ＥＳ
Ｐ監視部ＲｄのＬＡＮ側処理部Ｒｄ１へ処理を渡す。 ６−３ ＥＳＰ監視部ＲｄのＬＡＮ側処理部Ｒｄ１は、
ＥＳＰパケットＥＰ２のＩＰヘッダのプロトコルフィー
ルドを参照し、ＥＳＰパケットＥＰ２のＩＰの上位プロ
トコルがＥＳＰかどうか判断する（図２のステップｓ５
０１）。 ６−４ ＥＳＰパケットＥＰ２はＥＳＰであるため、Ｅ
ＳＰＮＡＴ処理部ＲｅのＬＡＮ側処理部Ｒｅ１へ処理を
渡す（図２のステップｓ５０２）。

【００６７】６−５ ＥＳＰＮＡＴ処理部ＲｅのＬＡＮ
側処理部Ｒｅ１は、内部テーブルＲｅ２のＶＰＮゲート
ウェイフィールドを参照し、ＥＳＰパケットＥＰ２のデ
ィステイネーションアドレスＧ１と同一のアドレスが格
納されているかどうかを検索する（図７のステップｓ９
０１）。 ６−６ ６−５結果、同一のアドレスが格納されている
ので、受信パケットＥＰ２のディスティネーションアド
レスＧ１と同一のアドレスを持つＶＰＮゲートウェイフ
ィールドのレコードを抽出する（図７のステップｓ９０
２）。 ６−７ ６−６で抽出したレコードにおいて、そのＳＰ
Ｉフィールドに値が格納されていないかどうかを判別す
る（図７のステップｓ９０３）。 ６−８ ６−７の結果、そのＳＰＩフィールドに値が格
納されてないので、パケットの状態を「登録不可」と判
断する（図７のステップｓ９０５）。 ６−９ ＥＳＰパケットＥＰ２を廃棄する（図６のステ
ップｓ７０５）。このとき、パケットＰ２はトランスポ
ート層のプロトコルがＴＣＰであった場合、タイムアウ
トまで再送される。

【００６８】次に、この時点でプライベートネットワー
クＬ上のＶＰＮゲートウェイＬＨ２がインターネットＩ
ＮＥＴ上のＶＰＮゲートウェイＧＨ２配下のプライベー
トネットワークＹ上の端末Ｙ１に対して通信を行うもの
とする。

【００６９】〔７〕ＶＰＮクライアントＬＨ２ ７−１ ＶＰＮクライアントＬＨ２のパケット処理部が
送信先Ｙ１のパケットＰ３を作成し、ＶＰＮ処理部へ渡
す。 ７−２ パケットＰ３のディスティネーションアドレス
はＹ１であり、ネットワークＹ向けのパケットのため、
パケットＰ３にＥＳＰ処理を施し、ＥＳＰパケットＥＰ
３を生成する。そして、ＬＡＮインターフェースヘと処
理を渡す。 ７−３ ＶＰＮクライアントＬＨ２のＬＡＮインターフ
ェースは、ＥＳＰパケットＥＰ３をプライベートネット
ワークＬへ送出する。

【００７０】〔８〕アドレス変換装置Ｒ ８−１ ＥＳＰパケットＥＰ３をアドレス変換装置Ｒの
ＬＡＮインターフェースＲａが受信し、ＩＰルーティン
グＲｂヘ処理を渡す。 ８−２ ＩＰルーティングＲｂはＥＳＰパケットＥＰ３
のディスティネーションアドレスＧ２を読み出し、ＥＳ
Ｐ監視部ＲｄのＬＡＮ側処理部Ｒｄ１へ処理を渡す。 ８−３ ＥＳＰ監視部ＲｄのＬＡＮ側処理部Ｒｄ１は、
ＥＳＰパケットＥＰ３のＩＰヘッダのプロトコルフィー
ルドを参照し、ＥＳＰパケットＥＰ３のＩＰの上位プロ
トコルがＥＳＰかどうか判断する（図２のステップｓ５
０１）。 ８−４ ＥＳＰパケットＥＰ３はＥＳＰであるため、Ｅ
ＳＰＮＡＴ処理部ＲｅのＬＡＮ側処理部Ｒｅ１へ処理を
渡す（図２のステップｓ５０２）。

【００７１】８−５ ＥＳＰＮＡＴ処理部ＲｅのＬＡＮ
側処理部Ｒｅ１は、内部テーブルＲｅ２のＶＰＮゲート
ウェイフィールドを参照し、ＥＳＰパケットＥＰ３のデ
ィステイネーションアドレスＧ２と同一のアドレスが格
納されているかどうかを検索する（図７のステップｓ９
０１）。 ８−６ ８−５の結果、同一のアドレスが格納されてい
ないので、ＥＳＰパケットＥＰ３の状態を「新規」と判
断する（図７のｓ９０６）。 ８−７ 内部テーブルＲｅ２のＶＰＮゲートウェイフィ
ールドにＧ２、ＶＰＮクライアントフィールドにＬ２を
格納する（図６のステップｓ７０２）。 ８−８ ＥＳＰパケットＥＰ３のソースアドレスをＧＲ
に変換し（変換後のパケットをＥＰ３’とする）、ＷＡ
ＮインターフェースＲｆヘ処理を渡す。 ８−９ ＷＡＮインターフェースＲｆは、ＥＳＰパケッ
トＥＰ３’をインターネットＩＮＥＴへ送出する。

【００７２】

〔９〕ＶＰＮゲートウェイＧＨ２ ９−１ ＥＳＰパケットＥＰ３’をＶＰＮゲートウェイ
ＧＨ２のＷＡＮインターフェースが受信し、ＶＰＮ処理
部へ処理を渡す。 ９−２ ＶＰＮ処理部は、ＥＳＰパケットＥＰ３’のＳ
ＰＩ値ＥＥＥを読み出し、適切なＳＡを選択してＥＳＰ
パケットＥＰ３’を復号化してパケットＰ３を取り出
し、ＬＡＮインターフェースヘ処理を渡す。 ９−３ ＬＡＮインターフェースは、パケットＰ３をプ
ライベートネットワークＹへ送出する。

【００７３】〔１０〕内線端末ＹＨ１ １０−１ パケットＰ３を内線端末ＹＨ１のＬＡＮイン
ターフェースが受信し、パケット処理部へ処理を渡す。 １０−２ パケット処理部は、パケットＰ３の内容を読
み取り、適切な処理を実行する。

【００７４】次に、プライベートネットワークＸ上の内
線端末ＸＨ１が４−２で示したパケットＰ１に対するレ
スポンスパケットを送信するものとする。

【００７５】〔１１〕内線端末ＸＨ１ １１−１ 内線端末ＸＨ１のパケット処理部ＸＨ１ｂが
送信先Ｌ１＿１のパケットＰ４を作成し、ＬＡＮインタ
ーフェースＸＨ１ａヘ処理を渡す。 １１−２ 内線端末ＸＨ１のＬＡＮインターフェースＸ
Ｈ１ａは、パケットＰ４をプライベートネットワークＸ
へ送出する。

【００７６】〔１２〕ＶＰＮゲートウェイＧＨ１ １２−１ パケットＰ４をＶＰＮゲートウェイＧＨ１の
ＬＡＮインターフェースＧＨ１ｃが受信し、ＶＰＮ処理
部ＧＨ１ｂへ処理を渡す。 １２−２ パケットＰ４のディスティネーションアドレ
スはＬＨ１１であり、宛先アドレスＬＨ１１向けのパケ
ットのため、パケットＰ４にＥＳＰ処理を施し、ＥＳＰ
パケットＥＰ４を生成する。そしてＷＡＮインターフェ
ースＧＨ１ａヘ処理を渡す。 １２−３ ＶＰＮゲートウェイＧＨ１のＷＡＮインター
フェースＧＨ１ａは、ＥＳＰパケットＥＰ４をインター
ネットＩＮＥＴへ送出する。

【００７７】〔１３〕アドレス変換装置Ｒ １３−１ ＥＳＰパケットＥＰ４をアドレス変換装置Ｒ
のＷＡＮインターフェースＲｆが受信し、ＥＳＰ監視部
ＲｄのＷＡＮ側処理部Ｒｄ２へ処理を渡す。 １３−２ ＥＳＰ監視部ＲｄのＷＡＮ側処理部Ｒｄ２
は、ＥＳＰパケットＥＰ４のＩＰヘッダのプロトコルフ
ィールドを参照し、ＥＳＰパケットＥＰ４のＩＰの上位
プロトコルがＥＳＰかどうか判断する（図３のステップ
ｓ６０１）。 １３−３ ＥＳＰパケットＥＰ４はＥＳＰであるため、
ＥＳＰＮＡＴ処理部ＲｅのＷＡＮ側処理部Ｒｅ３へ処理
を渡す（図３のステップｓ６０２）。 １３−４ ＥＳＰＮＡＴ処理部ＲｅのＷＡＮ側処理部Ｒ
ｅ３は、内部テーブルＲｅ２のＶＰＮゲートウェイフィ
ールドを参照し、ＥＳＰパケットＥＰ４のディステイネ
ーションアドレスＧ１と同一のアドレスが少なくとも１
つ格納されているかどうかを検索する（図９のステップ
ｓ１００１）。 １３−５ １３−４の結果、同一のアドレスが格納され
ているので、ＶＰＮゲートウェイフィールドがＧ１のレ
コードを抽出する（図９のステップｓ１００２）。

【００７８】１３−６ １３−５で抽出したレコードに
おいて、ＳＰＩフィールドに値が格納されてないものが
１つあるかどうか検索する（図９のステップｓ１００
３） １３−７ １３−６の結果、１３−５で抽出したレコー
ドにおいて、そのＳＰＩフィールドに値が格納されてい
ないものがあったので、ＥＳＰパケットＥＰ４のパケッ
トの状態を「レスポンス」と決定する（図９のステップ
ｓ１００４）。 １３−８ １３−７の結果、ＥＳＰパケットＥＰ４の状
態はレスポンスであったので、ＥＳＰパケットＥＰ４の
ＥＳＰヘッダに含まれるＳＰＩ値ＢＢＢを内部テーブル
Ｒｅ２のＳＰＩフィールドに格納する（図８のステップ
ｓ８０５）。 １３−９ ＥＳＰパケットＥＰ４のＳＰＩ値はＢＢＢで
あるので、ＥＳＰパケットＥＰ４のディスティネーショ
ンアドレスをＬＨ１１に変換し（アドレス変換されたパ
ケットＥＰ４をＥＰ４’とする）、ＩＰルーティングＲ
ｂヘ処理を渡す。 １３−１０ ＩＰルーティングＲｂは、ＥＳＰパケット
ＥＰ４’のディスティネーションアドレスを読み出し、
ＬＡＮインターフェースＲａへ処理を渡す。 １３−１１ ＬＡＮインターフェースＲａはＥＳＰパケ
ットＥＰ４’をプライベートネットワークＬへ送出す
る。

【００７９】〔１４〕ＶＰＮクライアントＬＨ１＿１ １４−１ ＶＰＮクライアントＬＨ１＿１のＬＡＮイン
ターフェースＬＨ１＿１ｃは、ＥＳＰパケットＥＰ４’
を受信し、ＶＰＮ処理部ＬＨ１＿１ｂへ処理を渡す。 １４−２ ＶＰＮ処理部ＬＨ１＿１ｂは、ＥＳＰパケッ
トＥＰ４’のＳＰＩ値ＢＢＢを読み出し、適切なＳＡを
選択してＥＳＰパケットＥＰ４’を復号化してパケット
Ｐ４を取り出し、パケット処理部ＬＨ１＿１ａへ処理を
渡す。 １４−３ パケット処理部ＬＨ１＿１ａは、パケットＰ
４の内容を読み取り、適切な処理を実行する。

【００８０】次に、プライベートネットワークＹ上の内
線端末ＹＨ１が１０−２で示した受信パケットＰ３に対
するレスポンスパケットＰ５を送信するものとする。

【００８１】〔１５〕内線端末ＹＨ１ １５−１ 内線端末ＹＨ１のパケット処理部が送信先Ｌ
Ｈ２のパケットＰ５を作成し、ＬＡＮインターフェース
ヘ処理を渡す。 １５−２ 内線端末ＹＨ１のＬＡＮインターフェース
は、パケットＰ５をプライベートネットワークＹへ送出
する。

【００８２】〔１６〕ＶＰＮゲートウェイＧＨ２ １６−１ パケットＰ５をＶＰＮゲートウェイＧＨ２の
ＬＡＮインターフェースが受信し、ＶＰＮ処理部へ処理
を渡す。 １６−２ パケットＰ５のディスティネーションアドレ
スはＬ２であり、宛先アドレスＬ２向けのパケットのた
め、パケットＰ５にＥＳＰ処理を施し、ＥＳＰパケット
ＥＰ５を生成する。そしてＷＡＮインターフェースヘと
処理を渡す。 １６−３ ＶＰＮクライアントＧＨ２のＷＡＮインター
フェースは、ＥＳＰパケットＥＰ５をインターネットＩ
ＮＥＴへ送出する。

【００８３】〔１７〕アドレス変換装置Ｒ １７−１ ＥＳＰパケットＥＰ５をアドレス変換装置Ｒ
のＷＡＮインターフェースＲｆが受信し、ＥＳＰ監視部
ＲｄのＷＡＮ側処理部Ｒｄ２へ処理を渡す。 １７−２ ＥＳＰ監視部ＲｄのＷＡＮ側処理部Ｒｄ２
は、ＥＳＰパケットＥＰ５のＩＰヘッダのプロトコルフ
ィールドを参照し、ＥＳＰパケットＥＰ５のＩＰの上位
プロトコルがＥＳＰかどうか判断する（図３のステップ
ｓ６０１）。 １７−３ ＥＳＰパケットＥＰ５はＥＳＰであるため、
ＥＳＰＮＡＴ処理部ＲｅのＷＡＮ側処理部Ｒｅ３へ処理
を渡す（図３のステップｓ６０２）。 １７−４ ＥＳＰＮＡＴ処理部ＲｅのＷＡＮ側処理部Ｒ
ｅ３は、内部テーブルＲｅ２のＶＰＮゲートウェイフィ
ールドを参照し、ＥＳＰパケットＥＰ５のディステイネ
ーションアドレスＧ２と同一のアドレスが少なくとも１
つ格納されているかどうかを検索する（図９のステップ
ｓ１００１）。 １７−５ １７−４の結果、同一のアドレスが格納され
ているので、ＶＰＮゲートウェイフィールドがＧ２のレ
コードを抽出する（図９のステップｓ１００２）。

【００８４】１７−６ １７−５で抽出したレコードに
おいて、そのＳＰＩフィールドに値が格納されてないも
のが１つあるかどうか検索する（図９のステップｓ１０
０３） １７−７ １７−６の結果、１７−５で抽出したレコー
ドにおいて、そのＳＰＩフィールドに値が格納されてい
ないものがあったので、ＥＳＰパケットＥＰ５のパケッ
トの状態を「レスポンス」と決定する（図９のステップ
ｓ１００４）。 １７−８ １７−７の結果、ＥＳＰパケットＥＰ５の状
態はレスポンスであったので、ＥＳＰパケットＥＰ５の
ＥＳＰへッダに含まれるＳＰＩ値ＤＤＤを内部テーブル
Ｒｅ２のＳＰＩフィールドへ格納する（図８のステップ
ｓ８０５） １７−９ ＥＳＰパケットＥＰ５のＳＰＩ値はＤＤＤで
あるので、ＥＳＰパケットＥＰ５のディスティネーショ
ンアドレスをＬ２に変換し（アドレス変換されたパケッ
トＥＰ５をＥＰ５’とする）、ＩＰルーティングＲｂヘ
処理を渡す。 １７−１０ パケットＥＰ５’のディステイネーション
アドレスを読み出し、ＬＡＮインターフェースＲａへ処
理を渡す。 １７−１１ ＬＡＮインターフェースＲａはＥＳＰパケ
ットＥＰ５’をプライベートネットワークＬへ送出す
る。

【００８５】〔１８〕ＶＰＮクライアントＬＨ２ １８−１ ＶＰＮクライアントＬＨ２のＬＡＮインター
フェースは、ＥＳＰパケットＥＰ５’を受信し、ＶＰＮ
処理部へと処理を渡す。 １８−２ ＶＰＮ処理部は、ＥＳＰパケットＥＰ５’の
ＳＰＩ値ＤＤＤを読み出し、適切なＳＡを選択してＥＳ
ＰパケットＥＰ５’を復号化してパケットＰ５を取り出
し、パケット処理部へ処理を渡す。 １８−３ パケット処理部は、パケットＰ５の内容を読
み取り、適切な処理を実行する。

【００８６】次に先ほど、アドレス変換装置Ｒによっ
て、パケットが破棄されたプライベートネットワークＬ
上のＶＰＮゲートウェイＬＨ１＿２からインターネット
ＩＮＥＴ上のＶＰＮゲートウェイＧＨ１配下のプライベ
ートネットワークＸ上の端末ＸＨ２へのパケットがＴＣ
Ｐにより再送される、もしくは手動で再送を行ったもの
とする。

【００８７】〔１９〕ＶＰＮクライアントＬＨ１＿２ １９−１ ＶＰＮクライアントＬＨ１＿２のパケット処
理部が送信先Ｘ２のパケットＰ６を作成し、ＶＰＮ処理
部へ渡す。 １９−２ パケットＰ６のディスティネーションアドレ
スはＸ２であり、プライベートネットワークＸ向けのパ
ケットのため、パケットＰ６にＥＳＰ処理を施し、ＥＳ
ＰパケットＥＰ６を生成する。そしてＬＡＮインターフ
ェースヘと処理を渡す。 １９−３ ＶＰＮクライアントＬＨ１＿２のＬＡＮイン
ターフェースは、ＥＳＰパケットＥＰ６をプライベート
ネットワークＬへ送出する。

【００８８】〔２０〕アドレス変換装置Ｒ ２０−１ ＥＳＰパケットＥＰ６をアドレス変換装置Ｒ
のＬＡＮインターフェースＲａが受信し、ＩＰルーティ
ングＲｂヘ処理を渡す。 ２０−２ ＩＰルーティングＲｂはパケットのディステ
イネーションアドレスＧ１を読み出し、ＥＳＰ監視部Ｒ
ｄのＬＡＮ側処理部Ｒｄ１へ処理を渡す。 ２０−３ ＥＳＰ監視部ＲｄのＬＡＮ側処理部Ｒｄ１
は、ＥＳＰパケットＥＰ６のＩＰヘッダのプロトコルフ
ィールドを参照し、ＥＳＰパケットＥＰ６のＩＰの上位
プロトコルがＥＳＰかどうか判断する（図２のステップ
ｓ５０１）。 ２０−４ ＥＳＰパケットＥＰ６はＥＳＰであるため、
ＥＳＰＮＡＴ処理部ＲｅのＬＡＮ側処理部Ｒｅ１へ処理
を渡す（図２のステップｓ５０２）。

【００８９】２０−５ ＥＳＰＮＡＴ処理部ＲｅのＬＡ
Ｎ側処理部Ｒｅ１は、内部テーブルＲｅ２のＶＰＮゲー
トウェイフィールドを参照し、ＥＳＰパケットＥＰ６の
ディステイネーションアドレスＧ１と同一のアドレスが
格納されているか検索する（図７のステップｓ９０
１）。 ２０−６ ２０−５の結果、同一のアドレスが格納され
ていないので、ＥＳＰパケットＥＰ６の状態を「新規」
と判断する（図７のステップｓ９０６）。 ２０−７ 内部テーブルＲｅ２のＶＰＮゲートウェイフ
ィールドにＧ１、ＶＰＮクライアントフィールドにＬ１
＿２を格納する（図６のステップｓ７０２）。 ２０−８ ＥＳＰパケットＥＰ６のソースアドレスをＧ
Ｒに変換し（変換後のパケットをＥＰ６’とする）、Ｗ
ＡＮインターフェースＲｆヘ処理を渡す。 ２０−９ ＷＡＮインターフェースＲｆは、ＥＳＰパケ
ットＥＰ６’をインターネットＩＮＥＴへ送出する。

【００９０】〔２１〕ＶＰＮゲートウェイＧＨ１ ２１−１ ＥＳＰパケットＥＰ６’をＶＰＮゲートウェ
イＧＨ１のＷＡＮインターフェースＧＨ１ａが受信し、
ＶＰＮ処理部ＧＨ１ｂへ処理を渡す。 ２１−２ ＶＰＮ処理部ＧＨ１ｂは、ＥＳＰパケットＥ
Ｐ６’のＳＰＩ値ＣＣＣを読み出し、適切なＳＡを選択
してＥＳＰパケットＥＰ６’を復号化してパケットＰ６
を取り出し、ＬＡＮインターフェースＧＨ１ｃヘ処理を
渡す。 ２１−３ ＬＡＮインターフェースＧＨ１ｃは、パケッ
トＰ６をプライベートネットワークＸに送出する。

【００９１】〔２２〕内線端末ＸＨ２ ２２−１ パケットＰ６を内線端末ＸＨ２のＬＡＮイン
ターフェースが受信し、パケット処理部へ処理を渡す。 ２２−２ パケット処理部は、パケットＰ６の内容を読
み取り、適切な処理を実行する。

【００９２】次に、プライベートネットワークＸ上の内
線端末ＸＨ２が先ほど受信したパケットＰ６に対するレ
スポンスパケットＰ７を送信するものとする。

【００９３】〔２３〕内線端末ＸＨ２ ２３−１ 内線端末ＸＨ２パケット処理部が送信先Ｌ１
＿２向けのパケットＰ７を作成し、ＶＰＮ処理部へ渡
す。 ２３−２ 内線端末ＸＨ２のＬＡＮインターフェース
は、パケットＰ７をプライベートネットワークＸへ送出
する。

【００９４】〔２４〕ＶＰＮゲートウェイＧＨ１ ２４−１ パケットＰ７をＶＰＮゲートウェイＧＨ１の
ＬＡＮインターフェースＧＨ１ｃが受信し、ＶＰＮ処理
部ＧＨ１ｂへ処理を渡す。 ２４−２ パケットＰ７のディステイネーションアドレ
スはＬ１＿２であるとともに、宛先アドレスＬ１＿２向
けのパケットのため、パケットＰ７にＥＳＰ処理を施
し、ＥＳＰパケットＥＰ７を生成する。そしてＷＡＮイ
ンターフェースＧＨ１ａヘ処理を渡す。 ２４−３ ＶＰＮゲートウェイＧＨ１のＷＡＮインター
フェースＧＨ１ａは、ＥＳＰパケットＥＰ７をインター
ネットＩＮＥＴへ送出する。

【００９５】〔２５〕アドレス変換装置Ｒ ２５−１ ＥＳＰパケットＥＰ７をアドレス変換装置Ｒ
のＷＡＮインターフェースＲｆが受信し、ＥＳＰ監視部
ＲｄのＷＡＮ側処理部Ｒｄ２へ処理を渡す。 ２５−２ ＥＳＰ監視部ＲｄのＷＡＮ側処理部Ｒｄ２
は、ＥＳＰパケットＥＰ７のＩＰヘッダのプロトコルフ
ィールドを参照し、ＥＳＰパケットＥＰ７のＩＰの上位
プロトコルがＥＳＰかどうか判断する（図３のステップ
ｓ６０１）。 ２５−３ ＥＳＰパケットＥＰ７はＥＳＰであるため、
ＥＳＰＮＡＴ処理部ＲｅのＷＡＮ側処理部Ｒｅ３へ処理
を渡す（図３のステップｓ６０２）。 ２５−４ ＥＳＰＮＡＴ処理部ＲｅのＷＡＮ側処理部Ｒ
ｅ３は、内部テーブルＲｅ２のＶＰＮゲートウェイフィ
ールドを参照し、ＥＳＰパケットＥＰ７のディステイネ
ーションアドレスＧ１と同一のアドレスが少なくとも１
つ格納されているか検索する（図９のステップｓ１００
１）。 ２５−５ ２５−４の結果、同一のアドレスが格納され
ているので、ＶＰＮゲートウェイフィールドがＧ１のレ
コードを抽出する（図９のステップｓ１００２）。 ２５−６ ２５−５で抽出したレコードにおいて、その
ＳＰＩフィールドに値が格納されてないものが１つある
かどうか検索する（図９のステップｓ１００３）

【００９６】２５−７ ２５−６の結果、２５−５で抽
出したレコードにおいて、そのＳＰＩフィールドに値が
格納されていないものがあったので、ＥＳＰパケットＥ
Ｐ７のパケットの状態を「レスポンス」と決定する（図
９のステップｓ１００４）。 ２５−８ ２５−７の結果、ＥＳＰパケットＥＰ７の状
態はレスポンスであったので、ＥＳＰパケットＥＰ７の
ＥＳＰヘッダに含まれるＳＰＩ値ＤＤＤを内部テーブル
Ｒｅ２のＳＰＩフィールドに格納する（図８のステップ
ｓ８０５） ２５−９ ＥＳＰパケットＥＰ７のＳＰＩ値はＤＤＤで
あるので、ＥＳＰパケットＥＰ７のディスティネーショ
ンアドレスをＬ１＿２に変換し（アドレス変換されたパ
ケットＥＰ７をＥＰ７’とする）、ＩＰルーティングＲ
ｂヘ処理を渡す。 ２５−１０ ＥＳＰパケットＥＰ７’のディスティネー
ションアドレスを読み出し、ＬＡＮインターフェースＲ
ａへ処理を渡す。 ２５−１１ ＬＡＮインターフェースＲａはＥＳＰパケ
ットＥＰ７’をプライベートネットワークＬへ送出す
る。

【００９７】〔２６〕ＶＰＮクライアントＬＨ１＿２ ２６−１ ＶＰＮクライアントＬＨ１＿２のＬＡＮイン
ターフェースは、ＥＳＰパケットＥＰ７’を受信し、Ｖ
ＰＮ処理部へ処理を渡す。 ２６−２ ＶＰＮ処理部は、ＥＳＰパケットＥＰ７’の
ＳＰＩ値ＤＤＤを読み出し、適切なＳＡを選択してＥＳ
ＰパケットＥＰ７’を復号化してパケットＰ７を取り出
し、パケット処理部へ処理を渡す。 ２６−３ パケット処理部は、パケットＰ７の内容を読
み取り、適切な処理を実行する。

【００９８】次に、プライベートネットワークＬ上のＶ
ＰＮゲートウェイＬＨ１＿１がインターネットＩＮＥＴ
上のＶＰＮゲートウェイＧＨ１配下のプライベートネッ
トワークＸ上の端末ＸＨ１に対して通信を行うものとす
る。

【００９９】〔２７〕ＶＰＮクライアントＬＨ１＿１ ２７−１ ＶＰＮクライアントＬＨ１＿１のパケット処
理部ＬＨ１＿１ａが送信先Ｘ１のパケットＰ８を作成
し、ＶＰＮ処理部ＬＨ１＿１ｂへ渡す。 ２７−２ パケットＰ８のディスティネーションアドレ
スはＸ１であり、ネットワークＸ向けのパケットのた
め、パケットＰ８にＥＳＰ処理を施し、ＥＳＰパケット
ＥＰ８を生成する。そしてＬＡＮインターフェースＬＨ
１＿１ｃヘと処理を渡す。 ２７−３ ＶＰＮクライアントＬＨ１＿１のＬＡＮイン
ターフェースＬＨ１＿１ｃは、ＥＳＰパケットＥＰ８を
プライベートネットワークＬへ送出する。

【０１００】〔２８〕アドレス変換装置Ｒ ２８−１ ＥＳＰパケットＥＰ８をアドレス変換装置Ｒ
のＬＡＮインターフェースＲａが受信し、ＩＰルーティ
ングＲｂヘ処理を渡す。 ２８−２ ＩＰルーティングＲｂはＥＳＰパケットＥＰ
８のディステイネーションアドレスＧ１を読み出し、Ｅ
ＳＰ監視部ＲｄのＬＡＮ側処理部Ｒｄ１へ処理を渡す。 ２８−３ ＥＳＰ監視部ＲｄのＬＡＮ側処理部Ｒｄ１
は、ＥＳＰパケットＥＰ８のＩＰヘッダのプロトコルフ
ィールドを参照し、ＥＳＰパケットＥＰ８のＩＰの上位
プロトコルがＥＳＰかどうか判断する（図２のステップ
ｓ５０１）。 ２８−４ ＥＳＰパケットＥＰ８はＥＳＰであるため、
ＥＳＰＮＡＴ処理部ＲｅのＬＡＮ側処理部Ｒｅ１へ処理
を渡す（図２のステップｓ５０２）。 ２８−５ ＥＳＰＮＡＴ処理部ＲｅのＬＡＮ側処理部Ｒ
ｅ１は、内部テーブルＲｅ２のＶＰＮゲートウェイフィ
ールドを参照し、ＥＳＰパケットＥＰ８のディスティネ
ーションアドレスＧ１と同一のアドレスが格納されてい
るか検索する（図７のｓ９０１）。

【０１０１】２８−６ ２８−５の結果、同一のアドレ
スが格納されているので、ＶＰＮゲートウェイフィール
ドがＧ１のレコードを抽出する（図７のｓ９０２）。 ２８−７ ２８−６で抽出したレコードにおいて、その
ＳＰＩフィールドに値が格納されていないかどうかを検
索する（図７のステップｓ９０３） ２８−８ ２８−７の結果、２８−６で抽出したレコー
ドにおいて、そのＳＰＩフィールドに値ＢＢＢが格納さ
れていたので、ＥＳＰパケットＥＰ８のパケットの状態
を「登録完了」と決定する（図７のステップｓ９０４） ２８−９ ＥＳＰパケットＥＰ８のソースアドレスをＧ
Ｒに変換する（変換後のパケットをＥＰ８’とする）
（図６のステップｓ７０６）。 ２８−１０ ＷＡＮインターフェースＲｆヘ処理を渡す
（図６のステップｓ７０７）。 ２８−１１ ＷＡＮインターフェースＲｆは、ＥＳＰパ
ケットＥＰ８’をインターネットＩＮＥＴに送出する。

【０１０２】〔２９〕ＶＰＮゲートウェイＧＨ１ ２９−１ ＥＳＰパケットＥＰ８’をＶＰＮゲートウェ
イＧＨ１のＷＡＮインターフェースＧＨ１ａが受信し、
ＶＰＮ処理部ＧＨ１ｂへ処理を渡す。 ２９−２ ＶＰＮ処理部ＧＨ１ｂは、ＥＳＰパケットＥ
Ｐ８’のＳＰＩ値ＡＡＡを読み出し、適切なＳＡを選択
してＥＳＰパケットＥＰ８を復号化してパケットＰ８を
取り出し、ＬＡＮインターフェースＧＨ１ｃヘ処理を渡
す。 ２９−３ ＬＡＮインターフェースＧＨ１ｃは、パケッ
トＰ８をプライベートネットワークＸへ送出する。

【０１０３】〔３０〕内線端末ＸＨ１ ３０−１ パケットＰ８を内線端末ＸＨ１のＬＡＮイン
ターフェースＸＨ１ａが受信し、パケット処理部ＸＨ１
ｂへ処理を渡す。 ３０−２ パケット処理部ＸＨ１ｂは、パケットＰ８の
内容を読み取り、適切な処理を実行する。

【０１０４】次に、プライベートネットワークＸ上の内
線端末ＸＨ１が先ほど受信したパケットＰ８に対するレ
スポンスパケットＰ９を送信するものとする。

【０１０５】〔３１〕内線端末ＸＨ１ ３１−１ 内線端末ＸＨ１のパケット処理部ＸＨ１ｂが
送信先Ｌ１＿１のパケットＰ９を作成し、ＬＡＮインタ
ーフェースＸＨ１ａヘ渡す ３１−２ 内線端末ＸＨ１のＬＡＮインターフェースＸ
Ｈ１ａは、パケットＰ９をプライベートネットワークＸ
へ送出する。

【０１０６】〔３２〕ＶＰＮゲートウェイＧＨ１ ３２−１ パケットＰ９をＶＰＮゲートウェイＧＨ１の
ＬＡＮインターフェースＧＨ１ｃが受信し、ＶＰＮ処理
部ＧＨ１ｂへ処理を渡す。 ３２−２ パケットＰ９のディスティネーションアドレ
スはＬ１＿２であり、宛先アドレスＬ１＿２のパケット
のため、パケットＰ９にＥＳＰ処理を施し、ＥＳＰパケ
ットＥＰ９を生成する。そしてＷＡＮインターフェース
ＧＨ１ａヘ処理を渡す。 ３２−３ ＶＰＮゲートウェイＧＨ１のＷＡＮインター
フェースＧＨ１ａは、ＥＳＰパケットＥＰ９をインター
ネットＩＮＥＴへ送出する。

【０１０７】〔３３〕アドレス変換装置Ｒ ３３−１ ＥＳＰパケットＥＰ９をアドレス変換装置Ｒ
のＷＡＮインターフェースＲｆが受信し、ＥＳＰ監視部
ＲｄのＷＡＮ側処理部Ｒｄ２へ処理を渡す。 ３３−２ ＥＳＰ監視部ＲｄのＷＡＮ側処理部Ｒｄ２
は、ＥＳＰパケットＥＰ９のＩＰヘッダのプロトコルフ
ィールドを参照し、ＥＳＰパケットＥＰ９のＩＰの上位
プロトコルがＥＳＰかどうかを判断する（図３のステッ
プｓ６０１）。 ３３−３ ＥＳＰパケットＥＰ９はＥＳＰであるため、
ＥＳＰＮＡＴ処理部ＲｅのＷＡＮ側処理部Ｒｅ３へ処理
を渡す（図３のステップｓ６０２）。 ３３−４ ＥＳＰＮＡＴ処理部ＲｅのＷＡＮ側処理部Ｒ
ｅ３は、内部テーブルＲｅ２のＶＰＮゲートウェイフィ
ールドを参照し、ＥＳＰパケットＥＰ９のディスティネ
ーションアドレスＧ１と同一のアドレスが少なくとも１
つ格納されているか検索する（図９のステップｓ１００
１）。 ３３−５ ３３−４の結果、同一のアドレスが格納され
ているので、ＶＰＮゲートウェイフィールドがＧ１のレ
コードを抽出する（図９のステップｓ１００２）。 ３３−６ ３３−５で抽出したレコードにおいて、その
ＳＰＩフィールドに値が格納されてないものがあるかど
うか検索する（図９のステップｓ１００３）。

【０１０８】３３−７ ３３−６の結果、ＳＰＩフィー
ルドに値が格納されていないものがないので、３３−５
で抽出したレコードにおけるＳＰＩフィールドにおい
て、ＥＳＰパケットＥＰ９のＳＰＩ値ＢＢＢと同一のも
のが格納されているか検索する（図９のステップｓ１０
０５） ３３−８ ３３−７の結果、同一のＳＰＩ値が格納され
ていたので、ＥＳＰパケットＥＰ９の状態を「登録完
了」と決定する（図９のステップｓ１００６）。 ３３−９ ＥＳＰパケットＥＰ９のＳＰＩ値はＢＢＢで
あるので、ＥＳＰパケットＥＰ９のディスティネーショ
ンアドレスをＬ１１に変換し（アドレス変換されたパケ
ットＥＰ９をＥＰ９’とする）、ＩＰルーティングＲｂ
ヘ処理を渡す。 ３３−１０ ＥＳＰパケットＥＰ９’のディスティネー
ションアドレスを読み出し、ＬＡＮインターフェースＲ
ａへ処理を渡す。 ３３−１１ ＬＡＮインターフェースＲａはＥＳＰパケ
ットＥＰ９’をプライベートネットワークＬへ送出す
る。

【０１０９】〔３４〕ＶＰＮクライアントＬＨ１＿１ ３４−１ ＶＰＮクライアントＬＨ１＿１のＬＡＮイン
ターフェースＬＨ１＿１ｃは、ＥＳＰパケットＥＰ９’
を受信し、ＶＰＮ処理部ＬＨ１＿１ｂへと処理を渡す。 ３４−２ ＶＰＮ処理部ＬＨ１＿１ｂは、ＥＳＰパケッ
トＥＰ９’のＳＰＩ値ＢＢＢを読み出し、適切なＳＡを
選択してＥＳＰパケットＥＰ９’を復号化してパケット
Ｐ９を取り出し、パケット処理部ＬＨ１＿１ａへ処理を
渡す。 ３４−３ パケット処理部ＬＨ１＿１ａは、パケットＰ
９の内容を読み取り、適切な処理を実行する。以上のと
おり図１１〜図１６に基づくアドレス変換手順により、
ＶＰＮクライアント多重化システムを実現することがで
きる。

【０１１０】

【発明の効果】以上説明したように、本発明はＥＳＰパ
ケット中のＳＰＩを利用することにより、ＶＰＮ内のプ
ライベートアドレスとインターネット上のグローバルア
ドレスとのアドレス変換を実現し、ＶＰＮ内の複数の端
末とインターネット上のＶＰＮゲートウェイとを接続す
ることができる。したがって、１つのプライベートネッ
トワーク上にある複数のＶＰＮクライアントから１つの
アドレス変換装置経由でインターネットに接続し、同時
に１つまたは複数のＶＰＮゲートウェイとの間でＶＰＮ
セッション（使用プロトコルはＥＳＰ）を構築可能とな
るため、本発明により次のような効果が得られる。 （１）複数の人がＰＣを利用するスペース（レンタルオ
フィス等）に設置してあるＰＣ、もしくは、持ち込んだ
ＰＣから、それぞれの人が同時に会社等へのＶＰＮアク
セスが可能になる。 （２）複数の人がＰＣを利用するスペースの管理コスト
が減る。 （３）本発明の機能を有する機器１台で複数のＶＰＮセ
ッションを可能とするため、機器コストが減る。 （４）複数のＰＣから同時にＶＰＮセッションが可能な
ため、ＶＰＮでアクセスするユーザの利便性が向上す
る。

【図面の簡単な説明】

【図１】 本実施の形態に係るシステムを示すネットワ
ーク構成図である。

【図２】 プロトコル監視部のＬＡＮ側処理部における
処理を示すフローチャートである。

【図３】 プロトコル監視部のＷＡＮ側処理部における
処理を示すフローチャートである。

【図４】 ＥＳＰＮＡＴ処理部の内部テーブルを示す模
式図である。

【図５】 ＳＡおよびＳＰＩを説明するための模式図で
ある。

【図６】 ＥＳＰＮＡＴ処理部のＬＡＮ側処理部におけ
る処理を示すフローチャートである。

【図７】 図６のステップｓ７０１の詳細を示すフロー
チャートである。

【図８】 ＥＳＰＮＡＴ処理部のＷＡＮ側処理部におけ
る処理を示すフローチャートである。

【図９】 図８のステップｓ８０１の詳細を示すフロー
チャートである。

【図１０】 実施例を示すネットワーク構成図である。

【図１１】 パケットおよび内部テーブルの変化状態を
示すシーケンス図である。

【図１２】 パケットおよび内部テーブルの変化状態を
示すシーケンス図である。

【図１３】 パケットおよび内部テーブルの変化状態を
示すシーケンス図である。

【図１４】 パケットおよび内部テーブルの変化状態を
示すシーケンス図である。

【図１５】 パケットおよび内部テーブルの変化状態を
示すシーケンス図である。

【図１６】 パケットおよび内部テーブルの変化状態を
示すシーケンス図である。

【図１７】 プライベートネットワークからのインター
ネット接続を説明するためのネットワーク構成図であ
る。

【図１８】 ＮＡＴの処理（ＬＡＮ側）を示すフローチ
ャートである。

【図１９】 ＮＡＴの処理（ＷＡＮ側）を示すフローチ
ャートである。

【図２０】 ＩＰマスカレードの処理（ＬＡＮ側）を示
すフローチャートである。

【図２１】 ＩＰマスカレードの処理（ＷＡＮ側）を示
すフローチャートである。

【図２２】 ＥＳＰパケットのフォーマットを示す模式
図である。

【図２３】 ＶＰＮにＮＡＴを適用した場合を説明する
ためのネットワーク構成図である。

【図２４】 複数のＮＡＴ機器を使用した状態を説明す
るためのネットワーク構成図である。

【符号の説明】

ＬＨ１＿１…ＶＰＮクライアント、ＬＨ１＿１ａ…パケ
ット処理部、ＬＨ１＿１ｂ…ＶＰＮ処理部、ＬＨ１＿１
ｃ…ＬＡＮインターフェース、ＬＨ１＿２，ＬＨ２…Ｖ
ＰＮクライアント、Ｌ…プライベートネットワーク、Ｒ
…アドレス変換装置、Ｒａ…ＬＡＮインターフェース、
Ｒｂ…ＩＰルーティング、Ｒｃ…ＮＡＴ処理部、Ｒｃ１
…ＬＡＮ側処理部、Ｒｃ２…ＷＡＮ側処理部、Ｒｄ…Ｅ
ＳＰ監視部、Ｒｄ１…ＬＡＮ側処理部、Ｒｄ２…ＷＡＮ
側処理部、Ｒｅ…ＥＳＰＮＡＴ処理部、Ｒｅ１…ＬＡＮ
側処理部、Ｒｅ２…内部テーブル、Ｒｅ３…ＷＡＮ側処
理部、Ｒｆ…ＷＡＮインターフェース、ＩＮＥＴ…イン
ターネット、ＧＨ１…ＶＰＮゲートウェイ、ＧＨ１ａ…
ＷＡＮインターフェース、ＧＨ１ｂ…ＶＰＮ処理部、Ｇ
Ｈ１ｃ…ＬＡＮインターフェース、Ｘ…プライベートネ
ットワーク、ＸＨ１…内線端末、ＸＨ１ａ…ＬＡＮイン
ターフェース、ＸＨ１ｂ…パケット処理部、ＸＨ２…内
線端末、ＧＨ２…ＶＰＮゲートウェイ、Ｙ…プライベー
トネットワーク、ＹＨ１，ＹＨ２…内線端末、Ｌ１＿
１，Ｌ１＿２，Ｌ２，ＧＡ，Ｇ１，Ｇ２，Ｘ１，Ｘ２，
Ｙ１，Ｙ２…ＩＰアドレス。

Claims (3)

【特許請求の範囲】
1. 【請求項１】 パケットをプライベートネットワークと
   グローバルネットワークとの間で送受信する際にネット
   ワークアドレスを変換する方法において、 受信したパケットがＥＳＰ（Encapsulating Security P
   ayload）か否かを判断するステップと、 ＥＳＰと判断された場合にセキュリテイーパラメータイ
   ンデックスと前記プライベートネットワーク上の端末の
   ＩＰアドレスとを対応付けた内部テーブルを参照するこ
   とにより、ＥＳＰのパケットにアドレス変換を施すステ
   ップとを有することを特徴とするネットワークアドレス
   変換方法。
2. 【請求項２】 パケットをプライベートネットワークと
   の間で送受信するＬＡＮインターフェース手段と、 前記送受信されたパケットを中継するＩＰルーティング
   手段と、 受信されたパケットがＥＳＰ（Encapsulating Security
   Payload）か否かを判断するＥＳＰ監視手段と、 前記受信されたパケットにアドレス変換を施すＮＡＴ処
   理手段と、 ＥＳＰのパケットにアドレス変換を施すＥＳＰＮＡＴ処
   理手段と、 パケットをグローバルネットワークとの間で送受信する
   ＷＡＮインターフェースとを備え、 前記ＥＳＰＮＡＴ処理手段は、セキュリテイーパラメー
   タインデックスと前記プライベートネットワーク上の端
   末のＩＰアドレスとを対応付けた内部テーブルを有し、
   この内部テーブルを参照することにより前記ＥＳＰのパ
   ケットのアドレス変換を実施することを特徴とするネッ
   トワークアドレス変換装置。
3. 【請求項３】 第１のプライベートネットワークを介し
   て複数のＶＰＮクライアントを収容したアドレス変換装
   置と、第２のプライベートネットワークを介して複数の
   内線端末を収容したＶＰＮゲートウェイトと、前記アド
   レス変換装置および前記ＶＰＮゲートウェイの接続され
   たグローバルネットワークとで構成されたＶＰＮクライ
   アント多重化システムにおいて、 前記アドレス変換装置は、 パケットを前記第１のプライベートネットワークとの間
   で送受信するＬＡＮインターフェース手段と、 前記送受信されたパケットを中継するＩＰルーティング
   手段と、 受信されたパケットがＥＳＰ（Encapsulating Security
   Payload）か否かを判断するＥＳＰ監視手段と、 前記受信されたパケットにアドレス変換を施すＮＡＴ処
   理手段と、 ＥＳＰのパケットにアドレス変換を施すＥＳＰＮＡＴ処
   理手段と、 パケットをグローバルネットワークとの間で送受信する
   ＷＡＮインターフェースとを備え、 前記ＥＳＰＮＡＴ処理手段は、セキュリテイーパラメー
   タインデックスと前記第１のプライベートネットワーク
   上の端末のＩＰアドレスとを対応付けた内部テーブルを
   有し、この内部テーブルを参照することにより前記ＥＳ
   Ｐのパケットのアドレス変換を実施することを特徴とす
   るＶＰＮクライアント多重化システム。