JP2002084302A

JP2002084302A - ネットワークによる通信方法及び装置

Info

Publication number: JP2002084302A
Application number: JP2000270778A
Authority: JP
Inventors: Toshio Hirotsu; 登志夫廣津; Kensuke Fukuda; 健介福田; Osamu Akashi; 修明石; Koji Sato; 孝治佐藤; Kenichi Yamazaki; 憲一山崎; Toshiharu Sugawara; 俊治菅原
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2000-09-06
Filing date: 2000-09-06
Publication date: 2002-03-22

Abstract

(57)【要約】【課題】ＲＳ毎の独立したプロトコル処理を実現し、
独立した複数の仮想ネットワークを実現することが可能
な仮想ネットワークによる通信方法及び装置を提供す
る。【解決手段】本発明は、ＯＳやサービスレイヤが物理
データリンク上に構成される複数の仮想データリンクを
個別に認識し、仮想データリンク間を独立に中継する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークによ
る通信方法及び装置に係り、特に、単独の計算機、ある
いは、ネットワークで接続された複数台からなる計算
機、あるいは、インターネットに接続された計算機で構
成されたシステムにおけるネットワークによる通信方法
及び装置に関する。

【０００２】

【従来の技術】データリンク層においては、Ｅｔｈｅｒ
ｎｅｔ（登録商標）（イーサネット（登録商標））やＡ
ＴＭなどのように、一つの物理媒体の上に仮想的なデー
タリンクを複数構成する技術が実現されている。

【０００３】Ethernetでは、IEEE802.1Q規格により、伝
送するEthernetのフレームに仮想データリンク（仮想Ｌ
ＡＮ：ＶＬＡＮ）の識別子となるタグという数字を保持
させ、一つの物理媒体上に仮想的に複数のEthernetのネ
ットワークを構成できる。Ehternetフレームを中継する
Ethernetスイッチでは、スイッチの各ポートに割り当て
られているＶＬＡＮｉｄ（ＶＬＡＮ識別子）に応じて、
送られてきたEthernetフレームを転送するかどうかを決
定する。これにより、スイッチに接続された機器は所属
するＶＬＡＮ以外のフレームを受信することはない。

【０００４】ＡＴＭでは、「Virtual Path(VP)」や「Vi
rtual Connection(VC)」という概念で、機器の対の通信
接続を、一つの物理媒体上に複数実現することができ
る。ネットワーク層やトランスポート層では、ＩＰ(Int
ernet Protocol) のＩＰアドレスや、ＴＣＰ(Transport
Control Protocol)や、ＵＤＰ(User Datagram Protoco
l)のポート番号をチェックして、ネットワークの一部分
に帰着する通信の中継を制限したり、ネットワークの一
部分に帰着する通信以外すべての中継を制限したり、ま
た、一部の通信の帯域を制御して、通信品質を変更する
ことができる。これは、ルータのソフトウェアや、ホス
トＯＳ上の「ipfirewall」、「dummynet」のようなシス
テムで実現されている。アプリケーション層でも、ＩＰ
のＩＰアドレスやＴＣＰやＵＤＰのポート番号によっ
て、ネットワークの一部分に帰着する通信を制限したり
することができる。これは、「ＴＣＰwrapper 」のよう
なソフトウェアで実現されている。x-kernel(N.C Hutch
inscm and L.L Peterson."The x-kernel: An Architec
ture for Implementing Network Protocols", IEEE Tra
nsaction on Software Engineering, 17(1): 64-76, 1
991)や、Scout(D Mosberger and L.L. Peterson. "Maki
ng Paths Explicit in the Scout Operating System",
In proceeding of OSDI '96, 1996)といったＯＳでは、
ＯＳ内の処理のモジュール化は行われている。また、Ec
lipse (J.bruno, E. Gabber, B. Ozden, and A. Silber
schatz, "TheEclipse Operating System: Providing Qu
ality of Serice via Reservation Domains", In Proce
edings of the USENIX 1998 Annual Technical Confere
nce,New Orleans, Louisiana, June 1998)においては、
“Reservation Space ”（ＲＳ）という概念で、ＯＳ内
部の計算資源の実時間性の確保が実現されている。

【０００５】

【発明が解決しようとする課題】しかしながら、仮想デ
ータリンクは、ルータやホストのプロトコル処理ソフト
ウェアでは、通常の物理データリンクと同様に扱われる
ので、従来のプロトコル処理ソフトウェアでは、ネット
ワーク層の処理ソフトウェアから、区別無く全ての仮想
データリンク及び物理データリンクにアクセスすること
ができる。従って、仮想データリンク毎に異なる特性
（通信品質やセキュリティレベル）を用意して、上位層
のプロトコルやアプリケーションからそれらのデータリ
ンクを区別して利用することはできない。

【０００６】また、上位層での通信制限は、ＩＰアドレ
スやポート番号により、仮想的にネットワークを構成し
ていると考えることができ、仮想ネットワークに帰着す
る通信を区別して使用する。しかし、これらの技術で
は、通信の起点・終点の情報に応じて通信の制限をする
だけで、それらに対してルータやホスト上の計算資源が
独立して割り付けられているわけではない。

【０００７】「x-kernel」、「Scout 」、「Eclipse 」
といったＯＳが実現しているのは、ＯＳの処理のモジュ
ール化やそのグループ化であるが、これらは仮想ネット
ワークと連携しておらず、ネットワークは共有してい
る。また、処理モジュールが概念的に仮想ネットワーク
毎に分離しているわけではない。

【０００８】本発明は、上記の点に鑑みなされたもの
で、ホスト、ルータやスイッチなどのネットワーク機器
において、複数の仮想データリンクや物理データリンク
を関連付けてグループ化し、そのグループ内の仮想デー
タリンク及び物理データリンクに使用する「処理プロト
コル」、「計算資源」、「アプリケーション」を割り付
けてグループ化する。この「データリンク」と「処理プ
ロトコル」、「計算資源」、「アプリケーション」のグ
ループを“Resource Space”（リソーススペース：Ｒ
Ｓ）と呼ぶ。このＲＳ毎の独立したプロトコル処理を実
現し、独立した複数の仮想ネットワークを実現すること
が可能なネットワークによる通信方法及び装置を提供す
ることを目的とする。

【０００９】また、本発明の目的は、通信の発信元や送
信先のＩＰアドレスやポート番号といった上位層の情報
に応じて通信をＲＳに割り付けることにより、上位層の
情報に応じて通信を適当な仮想ネットワークに割り付け
ることが可能なネットワークによる通信方法及び装置を
提供することである。

【００１０】

【課題を解決するための手段】図１は、本発明の原理を
説明するための図である。

【００１１】本発明（請求項１）は、インターネットや
プライベートネットワークを介して接続されたネットワ
ークによる通信方法において、ＯＳやサービスレイヤで
実現する物理データリンク上に構成される複数の仮想デ
ータリンクを個別に認識し（ステップ１）、仮想データ
リンク間を独立に中継する（ステップ２）。

【００１２】本発明（請求項２）は、仮想データリンク
間を独立に中継する際に、ネットワーク層やトランスポ
ート層の上位層の情報により通信を区別し、定められた
仮想データリンクに中継する。

【００１３】本発明（請求項３）は、仮想ネットワーク
と、装置内部の資源とをグループ化して、該装置内の資
源を仮想ネットワークに独立に割り付ける。

【００１４】本発明（請求項４）は、インターネットや
プライベートネットワークを介して接続されたネットワ
ークによる通信方法において、複数の仮想データリンク
や物理データリンを関連付けてグループ化したＯＳ内の
処理モジュールをＲＳとし、ＲＳ毎に独立したプロトコ
ル処理を行う。

【００１５】本発明（請求項５）は、通信の発信元や送
信元のＩＰアドレスやポート番号を含む上位層の情報に
応じて、通信をＲＳに割り付けることにより、該上位層
の情報に応じて通信を適当な仮想ネットワークに割り付
ける。

【００１６】本発明（請求項６）は、インターネットや
プライベートネットワークを介して接続されたネットワ
ークによる通信装置であって、ＯＳやサービスレイヤで
実現する物理データリンク上に構成される複数の仮想デ
ータリンクを個別に認識する認識手段４００と、仮想デ
ータリンク間を独立に中継する中継手段３００とを有す
る。

【００１７】本発明（請求項７）は、中継手段３００に
おいて、ネットワーク層やトランスポート層の上位層の
情報により通信を区別し、定められた仮想データリンク
に中継する手段を含む。

【００１８】本発明（請求項８）は、仮想ネットワーク
と、装置内部の資源とをグループ化して、該装置内の資
源を仮想ネットワークに独立に割り付ける手段を有す
る。

【００１９】本発明（請求項９）は、インターネットや
プライベートネットワークを介して接続されたネットワ
ークによる通信装置であって、複数の仮想データリンク
や物理データリンクを関連付けてグループ化したＯＳ内
の処理モジュールであるＲＳを有し、ＲＳ毎に独立した
プロトコル処理を行う。

【００２０】本発明（請求項１０）は、通信の発信元や
送信元のＩＰアドレスやポート番号を含む上位層の情報
に応じて、通信をＲＳに割り付けることにより、該上位
層の情報に応じて通信を適当な仮想ネットワークに割り
付ける手段を有する。

【００２１】本発明（請求項１１）は、ＲＳにおいて、
ＲＳ毎のポインタの集合であるポインタ表と、アプリケ
ーションのプロセスに付与されているＲＳ毎に一意に付
与されるＲＳ識別子（ＲＳＩＤ）に基づいて、ポインタ
表を検索して呼び出されるシステムコール処理ルーチン
と、システムコール処理ルーチンの属するＲＳに基づい
て特定され、該ＲＳから特定される仮想インタフェース
を介してパケットを処理し、処理したパケットをネット
ワークに出力するプロトコル処理ルーチンとを有する。

【００２２】上記のように、本発明は、一つの物理ネッ
トワーク上に仮想的に複数のネットワークを構成し、各
々の仮想ネットワークにそれぞれ異なるセキュリティレ
ベルや通信品質を割り当てることにより、ホストやルー
タ、スイッチ等で複数のセキュリティレベルや通信品質
を利用することが可能となる。

【００２３】また、スイッチ等の機器で接続された機器
に対する仮想ネットワークの割当を制限することによ
り、ホストやネットワークに対して特定のセキュリティ
レベルや通信品質の利用を制限することが可能である。

【００２４】また、本発明により、“Ethernet VLAN ”
や“ATM VC”のような仮想データリンクを利用していな
いネットワークを流れる通信を上記で実現した様々なセ
キュリティレベルや通信品質の仮想ネットワークに振り
分けることが可能となる。さらに、本発明では、上記で
実現したセキュリティレベルや通信品質の仮想ネットワ
ークに応じて、独立したプロトコル処理やアプリケーシ
ョンの実行が可能になる。これにより、例えば、特定の
通信品質の仮想ネットワークのみで稼働するアプリケー
ションを実現したり、特定のセキュリティレベルではＩ
Ｐレベルで中継し、他のセキュリティレベルでは、アプ
リケーション層で中継したりといった細かい制御を実現
したりすることが可能になる。

【００２５】

【発明の実施の形態】まず、以下の説明で用いる、仮想
データリンク、仮想ネットワーク、仮想インタフェース
の用語を定義する。

【００２６】仮想データリンク（Virtual Datalink: VD
L)は、単一の物理ネットワークセグメント内での一つの
通信クラスであり、１つのＶＤＬは、それを識別する何
らかの識別子が必要になる。識別子の候補としては、次
のようなものが考えられる。

【００２７】・８０２．１ＱＶＬＡＮ tag：この場
合、一つのＶＬＡＮｉｄを割り当てられた一セグメント
が一つのＶＤＬとなる。

【００２８】・ＩＰのネットワークアドレスとネットマ
スクの組：この場合、物理インタフェースには複数のＩ
Ｐアドレスが付与され、一つのアドレスが一つのＶＤＬ
を表す。

【００２９】・source port （ソースポート）番号：こ
の場合、source port 番号の特定の範囲が一つのＶＤＬ
を表す。ＴＣＰのセッションを開く時に、ＶＤＬに応じ
て適当なsource port を付けたり、ＵＤＰのパケット送
出の際に適当なsource port を付ける。仮想ネットワー
ク(Virtual Network: ＶＮＥＴ) は、複数のＶＤＬを接
続して構築される仮想的なネットワークであり、接続す
る２つのＶＤＬで、その識別子が同じである必要はな
い。仮想ネットワークは、ルータやゲートウェイを越え
て複数のデータリンクに跨がるネットワークの概念であ
る。単一の物理ネットワーク上には複数の仮想ネットワ
ークが存在し得る。

【００３０】仮想インタフェース(Virtual Datalink In
terface:ＶＤＩ) は、一つの仮想ネットワーク（ＶＮＥ
Ｔ）へのＯＳ内部でのインタフェースである。

【００３１】次に、仮想ネットワークを図面を用いて説
明する。

【００３２】図３は、本発明の仮想ネットワークを説明
するための図である。

【００３３】同図では、組織内ネットワーク上におい
て、３つの仮想ネットワーク（vnet0,vent1,vnet2)が重
なっている。各物理データリンク上では、仮想ネットワ
ーク（ＶＥＴ）が仮想データリンク（ＶＤＬ）として区
別されており、区別されたままルータなどで中継される
ことで複数の物理データリンクにわたる仮想ネットワー
ク（ＶＮＥＴ）を構成している。

【００３４】このように一つの物理的なネットワークの
上に、複数の仮想ネットワークが重なって存在するよう
に見え、多重化された仮想ネットワークの空間を構成す
る。仮想データリンクとして８０２．１ＱＶＬＡＮを
使う場合を考えると、仮想ネットワーク（ＶＮＥＴ）中
全域で、ＶＬＡＮtag ｉｄ（ＶＬＡＮタグ識別子）が一
意である必要はない。中継するルータの両側で異なるta
g ｉｄを用いていても構わない。ここで必要なのは、同
一仮想ネットワーク（ＶＮＥＴ）を構成する別物理デー
タリンクの仮想データリンク（ＶＤＬ）間で、tag ｉｄ
の対応付けが正しく行われることである。つまり、例え
ば、vnet0 を構成するvdl00 とvdl10について、vdll00
のtag ｉｄが１０で、vdl10 のtag ｉｄが２５であっも
構わないということである。

【００３５】同図の仮想ネットワークでは、インターネ
ットへ接続しているルータＧは、vnet0 にしかアクセス
できない。ルータＢは、通常のファイアウォールを構成
するフィルタリングルータで、インターネットから内部
への直接のアクセスを排除するために、vnet0 の外部か
ら通信を遮断している。このファイアウォールセグメン
ト上に外部からのアクセスのために用意されたゲートウ
ェイＡでは、アプリケーションゲートウェイがvent0 か
らvnet2 への中継を行っている。これにより、以後内部
ネットワークにアクセスする際には、vnet2 を通ってア
クセスすることになり、例え、遠隔ログインを繰り返し
ても、内部ネットワークではその通信の起点が外部にあ
るものと判断できる。

【００３６】次に、ホストやルータ内部でのＯＳ（Oper
ating System) の処理について説明する。

【００３７】図４は、本発明のＯＳ内部の処理を説明す
るための図である。

【００３８】各仮想ネットワーク（ＶＮＥＴ）に応じて
ホストやルータ内部での処理を変更するために、ホスト
やルータ内部のＯＳにおいて、独立な処理モジュールの
グループと、それらの複数モジュールグループ間の切替
機構が必要になる。ＯＳ内の処理モジュールのグループ
をResource Space（ＲＳ）と呼ぶ。ＲＳの実体は、処理
モジュール中の関数及び、処理モジュール毎のローカル
な状態を保持するデータを集めたもので、各々のＲＳ
は、識別子（ＲＳＩＤ）を持つ。この処理モジュールと
は、ＩＰやＴＣＰのプロトコル処理プログラムや、exec
()、open()といったシステムコールを受けてＯＳ内部で
実際の処理をするシステムコール関数の処理プログラム
である。

【００３９】各仮想インタフェース（ＶＤＩ）は、同図
中、パケット分別器（packet classifier ）で分別され
ることにより具現化される（同図中、vent0 やvnet1 の
楕円）。ＩＰアドレスやポート番号といった上位層の情
報に応じた仮想ネットワークへの振り分けは、分別の対
象として上位層の情報を使うことにより、このパケット
分別器の分別により実現される。

【００４０】各仮想インタフェース（ＶＤＩ）には、対
応するＲＳＩＤが決まっており、受け取ったパケットに
対してＲＳＩＤを付属情報として張り付けてＯＳ内部で
の処理を進める。

【００４１】アプリケーション（同図中一番上の楕円）
側から見ると、各プロセスにＲＳＩＤが付いており、シ
ステムコールを発呼してＯＳ内部に処理が移った段階
で、ＲＳＩＤに応じた処理プログラムが呼び出される。

【００４２】これにより、例えば、“exec()”に対し
て、“setuid”できない“exec処理ルーチン”を用意し
ておいて、通信クラスに応じて“setuid”を禁止するこ
となどが可能になる。

【００４３】次に、ＯＳ内部の詳細な構造について説明
する。

【００４４】図５は、本発明の多重通信クラス実装時の
ＯＳ内部の構成を示す図である。同図において、右半分
の木構造は、プロトコル処理階層及びシステムコールの
概念的な構造を表している。同図中左半分の斜字体の各
モジュールは、プロトコル処理モジュール（ｐＩＰ0 ，
ｐＴＣＰ0 ）やプロコトル依存データ（ｄＩＰ0 ，ｄＴ
ＣＰ0 ）、システムコール処理ルーチン（open0 ，exec
0 など）といった処理実体の構造を表している。

【００４５】各ＲＳは、これらのモジュールの集合とし
て実現されるので、ＲＳの実体は、プロトコル処理モジ
ュール／データ、システムコール処理ルーチンへのポイ
ンタの集合（同図中、ＲＳn のポインタ表）となる。

【００４６】プロトコル処理モジュールについては、プ
ロトコル依存のデータ（例えば、ＩＰモジュールでは、
ＩＰ forwarding するかどうかの変数など) を必要に応
じてＲＳ毎に独立にすることにより、同一のプロトコル
処理モジュールを使いながら、ＲＳにより処理を変える
ことも可能である。例えば、同一のＩＰ処理モジュール
ｐＩＰ0 を用いて、あるＶＮＥＴではＩＰ forwarding
を許すが、他のＶＮＥＴでは許さないといったことの実
現が可能である。

【００４７】ネットワークから入ってきたパケットは、
パケット分別器で分別され、仮想インタフェース（ＶＤ
Ｉ：vnet0 等）に渡される。ＶＤＩは、ＲＳに対応付け
られているので、ここでＲＳのポインタ表へのポインタ
がパケットの管理情報として付加されて、以後の処理に
渡される。ＲＳが決まれば、処理モジュールの表（ＲＳ
のポインタ表）が確定するので、以後の処理は、ＲＳの
関数とデータを使って進められる。一方、ネットワーク
にパケットを送出する場合には、プロセスに付加されて
いるＲＳＩＤを使って進められる。一方、ネットワーク
にパケットを送出する場合には、プロセスに付加されて
いるＲＳＩＤをもとにＲＳのポインタ表を見つけて、Ｒ
Ｓ毎に処理の切替を実現する。

【００４８】

【実施例】以下、図面と共に本発明の実施例を説明す
る。

【００４９】ＯＳ内部の処理について説明する。

【００５０】図６は、本発明の一実施例の通信装置の構
成を示す。

【００５１】同図に示す装置は、アプリケーション１０
０、システムコール２００、ＯＳ３００、及びパケット
分別器４００から構成される。

【００５２】アプリケーション１００は、プロセス１０
１、１０２、１０３、１０４を有する。

【００５３】ＯＳ３００は、ＲＳ３１０，３２０を有
し、それぞれのＲＳ３１０，３２０は、プロトコル・処
理ルーチン３１１、３２１とシステムコール・処理ルー
チン３１２、３２２を有する。なお、同図では、説明の
簡単化のため、ＲＳ３１０，３２０の２つのＲＳのみ示
してあるが、ｎ個のＲＳが存在する。

【００５４】パケット分別器(packet classifier) ４０
０は、ネットワークからのパケットの入力を受け、各プ
ロトコル階層のヘッダ情報などを用いて、適切な仮想イ
ンタフェース（同図中、vnet0 、vnet1 ）に分別する。
分別のための規則は、ルール表４１０の形で当該パケッ
ト分別器４００が保持している。このルール表４１０
は、ＯＳの構成時に決定され、システムコール２００を
通じてアプリケーション１００からの制御で変更が可能
である。特定のＲＳ３１０，３２０中のシステムコール
処理ルーチン３１２、３２２を、このルール表４１０が
変更できないものにしておくことで（同図中のＲＳ３２
０のpktctl' ルーチン）、ルール表４１０の制御が不可
能なＲＳを作ることが可能であり、このＲＳ３２０上で
稼働するアプリケーション１００（プロセス）について
ルール表４１０の変更を禁止することができる。

【００５５】パケット分別器４００で仮想インタフェー
スに分別されたパケット（vnet0,vent1)は、その仮想イ
ンタフェースに対応するＲＳ３１０，３２０のプロトコ
ル処理ルーチン（ＴＣＰ，ＵＤＥＰ，ＩＰ，ｒｔ等）３
１１、３２１に渡される。プロトコル処理ルーチン３１
１、３２１は、ＩＰ，ＴＣＰ，ＵＤＰ等のプロトコルの
実際の処理をするルーチンである。このプロトコル処理
ルーチン３１１、３２１は、ＲＳ３１０、３２０毎に保
持するポインタ表３１３、３２３で管理されており、プ
ロトコル処理ルーチン間の関係もこの表で決定する。

【００５６】アプリケーション１００からの処理要求
は、システムコール２００を介して処理される。システ
ムコール２００の引数として、ＲＳＩＤが渡される場合
は、システムコール処理ルーチン（ｏｐｅｎ，ｅｘｅｃ
等）３１２、３２２が呼び出される前に、そのプロセス
が指定されたＲＳの処理を使ってよいかどうかの許可表
３３０を検索し、権限を調べる。ＲＳＩＤが渡されない
場合は、プロセスに付与されているＲＳＩＤを用いる。
システムコール処理ルーチン３１２、３２２は、ＲＳＩ
ＤをもってＲＳ対応表３４０検索し、該当するＲＳのポ
インタ表３１３、３２３を獲得することで、当該ポイン
タ表３１３、３２３に指し示されているシステムコール
処理ルーチン（ｏｐｅｎ，ｅｘｅｃ等）３１２、３２２
を呼び出す。

【００５７】以下に、上記の構成における処理を説明す
る。

【００５８】アプリケーション１００からネットワーク
やディスク等の周辺機器に対する読み書きの処理は、シ
ステムコール２００を通じて行われる。システムコール
は、アプリケーションとＯＳ内部の処理の切り替えを行
うインタフェースである。

【００５９】図７は、本発明の一実施例のシステムコー
ルの処理を示すフローチャートである。同図に示す処理
は、ソケットやファイルのオープン、読出し要求、書込
み要求など全てのシステムコールの処理に共通する。

【００６０】まず、アプリケーション１００がシステム
コール２００を呼び出す（ステップ１０１）。次に、Ｒ
ＳＩＤが引数に指定されているかを確認し（ステップ１
０２）、指定されていない場合には、アプリケーション
１００のプロセスに付与されているＲＳＩＤを調べ（ス
テップ１０３）、ＲＳＩＤから該当のＲＳのポインタ表
（３１３、３２３）を特定し、システムコール処理ルー
チン（３１２、３２２）を呼び出す（ステップ１０
５）。指定されている場合には、許可表３３０でそのプ
ロセスに許可されているＲＳかを判定し（ステップ１０
４）、ＲＳＩＤから該当のＲＳのポインタ表（３１３、
３２３）を特定し、システムコール処理ルーチン（３１
２、３２２）を呼び出す（ステップ１０５）。

【００６１】次に、ネットワークから入力されたパケッ
トの処理について説明する。

【００６２】図８は、本発明の一実施例のネットワーク
からの入力処理のフローチャートである。

【００６３】ネットワークからパケット分別器４００に
パケットが到着すると（ステップ２０１）、データリン
ク層、ネットワーク層、トランスポート層などのヘッダ
を見て、ルール表４１０を検索する（ステップ２０
２）。検索した結果該当するものがあれば（ステップ２
０３，Ｙｅｓ））、該当したルールに対する仮想インタ
フェースを用い（ステップ２０４）、該当するものがな
ければ（ステップ２０３、Ｎｏ）、デフォルトの仮想イ
ンタフェースを用いる（ステップ２０５）。次に、仮想
インターフェースを通じてＲＳのポインタ表（３１３、
３２３）を設定し、プロトコル処理ルーチン（３１１、
３２１）にパケットデータを渡す（ステップ２０６）。
プロトコル処理ルーチン（３１１、３２１）は、ＲＳの
プロトコルスタックに応じてパケットを処理し（ステッ
プ２０７）、アプリケーション１００の読出し（システ
ムコール）を待つ（ステップ２０８）。

【００６４】上記の流れで処理されたデータは、読出し
のシステムコール２００を通じてアプリケーション１０
０に渡される。

【００６５】次に、アプリケーション１００からネット
ワークに書き出されたデータの処理について説明する。

【００６６】図９は、本発明の一実施例のネットワーク
への出力処理のフローチャートである。

【００６７】システムコール２００などを通じてデータ
が書き込まれ（ステップ３０１）、システムコール処理
ルーチン（３１２、３２２）の属するＲＳ３１０、３２
０から、プロトコル処理ルーチン（３１１、３２１）が
特定されると（ステップ３０２）、プロトコル処理ルー
チン（３１１、３２１）でデータを処理し（ステップ３
０３）、ＲＳ３１０、３２０から特定される仮想インタ
フェースを通じてデータ（パケット）をネットワークに
送出する（ステップ３０４）。

【００６８】上記の処理において、データはシステムコ
ール２００を通じてＯＳ３００内の処理ルーチンに渡さ
れ、プロトコル処理を通ってネットワークに送出され
る。

【００６９】上述のように、本発明では、ＯＳやサービ
スレイヤで、通信トポロジを管理すると共に、仮想デー
タリンクを個別認識し、独立に中継することにより、通
信の起点に応じてアクセス制御を行うことができ、ネッ
トワークのセキュリティを容易に高めることが可能とな
る。

【００７０】なお、本発明は、上記の実施例に限定され
ることなく、特許請求の範囲内において種々変更・応用
が可能である。

【００７１】

【発明の効果】上述のように、本発明によれば、一つの
物理ネットワーク上にセキュリティレベルや通信品質の
異なる複数の仮想的なネットワークを構成し、それらの
仮想ネットワーク毎に適切なプロトコル処理やアプリケ
ーション実行が可能になる。これにより、例えば、イン
ターネットに晒された比較的危険なネットワークや、社
内の多数のユーザがアクセスするネットワーク、部署内
のユーザだけがアクセスするネットワーク、一人のユー
ザだけがアクセスするネットワークといった複数のセキ
ュリティレベルに応じた仮想ネットワークを用意し、そ
れぞれに稼働させるアプリケーションを制限したり、通
信の中継方法をＩＰ層の中継やアプリケーション層の中
継など多様に使い分けることにより、ネットワークに対
するセキュリティをきめ細かに制御することが可能にな
る。

【００７２】また、これらの仮想ネットワークの提供を
スイッチ等のネットワーク機器側から制御することも可
能となる。これにより、初心者から上級者に至るまでの
様々な技術のユーザに応じた、適切なインターネットア
クセス及びイントラネットアクセスを提供することがで
きる。

【図面の簡単な説明】

【図１】本発明の原理を説明するための図である。

【図２】本発明の原理構成図である。

【図３】本発明の仮想ネットワークを説明するための図
である。

【図４】本発明のＯＳ内部の処理を説明するための図で
ある。

【図５】本発明の多重通信実装時のＯＳ内部の構成図で
ある。

【図６】本発明の一実施例の通信装置の構成図である。

【図７】本発明の一実施例のシステムコールの処理を示
すフローチャートである。

【図８】本発明の一実施例のネットワークからの入力処
理のフローチャートである。

【図９】本発明の一実施例のネットワークへの出力処理
のフローチャートである。

【符号の説明】

１００アプリケーション１０１、１０２、１０３、１０４プロセス２００システムコール３００ＯＳ，中継手段３１０，３２０ＲＳ（Resource Space) ３１１，３２１プロトコル処理ルーチン３１２，３２２システムコール処理ルーチン３３０許可表３４０ＲＳ対応表４００認識手段、パケット分別器４１０ルール表

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号ＦＩテーマコート゛(参考）Ｈ０４Ｌ 29/04 (72)発明者明石修東京都千代田区大手町二丁目３番１号日本電信電話株式会社内 (72)発明者佐藤孝治東京都千代田区大手町二丁目３番１号日本電信電話株式会社内 (72)発明者山崎憲一東京都千代田区大手町二丁目３番１号日本電信電話株式会社内 (72)発明者菅原俊治東京都千代田区大手町二丁目３番１号日本電信電話株式会社内Ｆターム(参考） 5B089 GA04 GB01 HB19 KA04 KB03 KB06 KF06 KG05 KG08 5B098 GA02 GA04 GC01 5K030 HC01 HC13 HD03 LB05 5K033 BA04 CB08 CC01 DA05 DB18 5K034 JJ24 KK21 KK27 KK28

Claims

【特許請求の範囲】

【請求項１】インターネットやプライベートネットワ
ークを介して接続されたネットワークによる通信方法に
おいて、ＯＳ（オペレーティングシステム）やサービスレイヤが
物理データリンク上に構成される複数の仮想データリン
クを個別に認識し、前記仮想データリンク間を独立に中継することを特徴と
するネットワークによる通信方法。
【請求項２】前記仮想データリンク間を独立に中継す
る際に、ネットワーク層やトランスポート層の上位層の情報によ
り通信を区別し、定められた仮想データリンクに中継す
る請求項１記載のネットワークによる通信方法。
【請求項３】前記仮想ネットワークと、装置内部の資
源とをグループ化して、該装置内の資源を仮想ネットワ
ークに独立に割り付ける請求項１記載のネットワークに
よる通信方法。
【請求項４】インターネットやプライベートネットワ
ークを介して接続されたネットワークによる通信方法に
おいて、複数の仮想データリンクや物理データリンを関連付けて
グループ化したＯＳ内の処理モジュールをリソーススペ
ース（以下、ＲＳ）とし、前記ＲＳ毎に独立したプロトコル処理を行うことを特徴
とするネットワークによる通信方法。
【請求項５】通信の発信元や送信元のＩＰアドレスや
ポート番号を含む上位層の情報に応じて、通信を前記Ｒ
Ｓに割り付けることにより、該上位層の情報に応じて通
信を適当な仮想ネットワークに割り付ける請求項４記載
のネットワークによる通信方法。
【請求項６】インターネットやプライベートネットワ
ークを介して接続されたネットワークによる通信装置で
あって、ＯＳ（オペレーティングシステム）やサービスレイヤで
実現する物理データリンク上に構成される複数の仮想デ
ータリンクを個別に認識する認識手段と、前記仮想デー
タリンク間を独立に中継する中継手段とを有することを
特徴とするネットワークによる通信装置。
【請求項７】前記中継手段は、ネットワーク層やトランスポート層の上位層の情報によ
り通信を区別し、定められた仮想データリンクに中継す
る手段を含む請求項６記載のネットワークによる通信装
置。
【請求項８】前記仮想ネットワークと、装置内部の資
源とをグループ化して、該装置内の資源を仮想ネットワ
ークに独立に割り付ける手段を有する請求項６記載のネ
ットワークによる通信装置。
【請求項９】インターネットやプライベートネットワ
ークを介して接続されたネットワークによる通信装置で
あって、複数の仮想データリンクや物理データリンを関連付けて
グループ化したＯＳ内の処理モジュールであるリソース
スペース（以下、ＲＳ）を有し、前記ＲＳ毎に独立したプロトコル処理を行うことを特徴
とするネットワークによる通信装置。
【請求項１０】通信の発信元や送信元のＩＰアドレス
やポート番号を含む上位層の情報に応じて、通信を前記
ＲＳに割り付けることにより、該上位層の情報に応じて
通信を適当な仮想ネットワークに割り付ける手段を有す
る請求項９記載のネットワークによる通信装置。
【請求項１１】前記ＲＳは、前記ＲＳ毎のポインタの集合であるポインタ表と、アプリケーションのプロセスに付与されている前記ＲＳ
毎に一意に付与されるＲＳ識別子（ＲＳＩＤ）に基づい
て、前記ポインタ表を検索して呼び出されるシステムコ
ール処理ルーチンと、前記システムコール処理ルーチンの属するＲＳに基づい
て特定され、該ＲＳから特定される仮想インタフェース
を介してパケットを処理し、処理したパケットをネット
ワークに出力するプロトコル処理ルーチンとを有する請
求項９記載のネットワークによる通信装置。