JP2002208946A - 経路情報通知方法、ｖｐｎサービス及びエッジルータ装置 - Google Patents

Abstract

(57)【要約】 【課題】 通信事業者網のエッジルータ間で、ＶＰＮユ
ーザの通信を論理的または物理的に多重化し、ＶＰＮサ
ービスを提供する方法であるＩＰ−ＶＰＮサービスを既
存技術を流用して安価に提供する。 【解決手段】 通信事業者網に配置されるエッジルータ
１５０−Ａ、１５０−Ｂが、受信した経路情報を、対応
するＶＰＮの経路テーブルに格納し、ＶＰＮ毎に独立し
た経路情報通知手段によって他のエッジルータに上記経
路情報を通知し、受信した他のエッジルータ装置は、対
応するＶＰＮを選択し、選択されたＶＰＮの経路テーブ
ルに上記経路情報を格納する。 【効果】 ＢＧＰプロトコルの拡張が必要無いため、通
信事業者が既存ルータを活用でき、ＶＰＮサービスを容
易に構築することが可能となる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、仮想的なプライベ
ートネットワークのサービスを行っているネットワーク
システムにおいて、エッジルータ間で、ユーザ網の経路
を交換するための技術に関する。

【０００２】

【従来の技術】ネットワーク技術の急速な進歩により、
企業などで自社建物内の計算機を接続し、ＷＷＷ（Worl
d Wide Web）やメールなどのアプリケーションを建物内
で接続して使用したいという需要が増加している。建物
内の計算機を相互に接続するＬＡＮ(Local Area Networ
k)の普及により、それは広く実現された。次に、ユーザ
の需要は地域的に分散されて、ＬＡＮ整備されている各
支店を接続することへと変化した。それを実現する技術
として、網プロバイダが異なる位置の企業ユーザを接続
するネットワークを提供する事によりユーザ側にて仮想
的にプライベートな状態でそのネットワークを利用でき
る仮想プライベートネットワーク（ＶＰＮ）が注目され
ている。互いに遠隔地にあるユーザホスト間でＶＰＮを
構築する方法として、通信事業者網のエッジ部分、すな
わち顧客網との接点である周辺部分に置かれているエッ
ジルータ間で、ＶＰＮ顧客の通信を論理的または物理的
に多重化する方法が考えられる。これによりＶＰＮ顧客
からはあたかも専用線でつながっているように見える。
本方式では、インターネットプロトコルアドレスを顧客
網も通信事業者網も使用できるので、本方式のＶＰＮを
以下ＩＰ−ＶＰＮサービスと表記する。

【０００３】ＩＰ-ＶＰＮを実現する技術は、インター
ネット技術の標準化団体ＩＥＴＦ(Internet Engineerin
g Task Force)が規定する標準文書であるＲＦＣ２５４
７に開示されている。ＲＦＣ２５４７ではＩＰ−ＶＰＮ
サービスを構築するために、通信事業者のエッジルータ
に以下の処理をすることが述べられている。まずエッジ
ルータはＶＰＮサイト毎に分離した経路テーブルを保
持、管理する。そしてエッジルータ間で経路テーブルの
経路をルーティングプロトコルであるＢＧＰを用いて交
換する。エッジルータから他のエッジルータに経路を通
知する際、通知先のエッジルータ内のどの経路テーブル
に、通知する経路を書きこむかを特定するために、以下
の拡張実装をエッジルータに施している。あるグループ
に属するＩＰアドレスの集合であり、 ＩＰアドレスと
サブネットマスク（ ＩＰアドレスの始点から終点まで
の長さ）の組に相当する経路のプレフィックスに加え
て、その経路をどの経路テーブルに書きこむかを特定す
る識別子をＢＧＰで通知する経路メッセージに付加し、
経路受け取り先のエッジルータはその識別子を見て、自
分で管理しているＶＰＮサイト毎の経路テーブルに書き
こむ。言い換えれば、図１８にて具体的に示す様にＢＧ
Ｐピア（すなわち、ＢＧＰプロトコルを実装された２台
のルータ間の経路交換通知手段）１９０−Ａをエッジル
ータ１５０間に１つ張り、複数のＶＰＮユーザ網１００
−Ａ、１００−Ｂ、１１０−Ａ、１１０−Ｂで共用する
為、経路通知メッセージにデータ通信路で用いるＶＰＮ
識別子を付加する必要が生じる。図１８では、さらにエ
ッジルータ１５０間にデータパケット送信用としてトン
ネル（データ通信路）１９５が１つ設けられている。こ
れらＢＧＰピアとトンネルは相互に独立して機能する。

【０００４】

【発明が解決しようとする課題】ＩＰ−ＶＰＮサービス
を行う際の従来技術には、以下の２つの問題がある。

【０００５】第一の問題は、ＢＧＰの経路通知メッセー
ジに経路テーブルの識別子を付加するため、ＢＧＰプロ
トコルを拡張する必要がある、ということである。この
ため、既存のＢＧＰプロトコルに基づいて設計されたル
ータとの相互接続が不可能となる。第二の問題は、エッ
ジルータが受信した経路情報各々に対して、取込み先指
定(反映する経路テーブルの選択)などの経路フィルタ機
能を実現する場合、既存のフィルタ機能を流用できない
ことである。ＶＰＮという概念をもたない既存のＢＧＰ
プロトコルでは、経路フィルタ機能には以下の３つが存
在していた。１つめは、経路送受信に使用されたＢＧＰ
ピア単位で、そのピア（通信路）を経由した経路を格納
または廃棄するかを選択できるフィルタである。２つめ
は、 ＩＰアドレスとサブネットマスクの組であるプレ
フィックス単位で、経路を格納または廃棄するかを選択
できるフィルタである。３つめは、上記２つのフィルタ
を合わせた形で、経路送信用ＢＧＰピアとＩＰアドレス
の組で、経路を格納または廃棄するかを選択できるフィ
ルタである。

【０００６】しかし、これらの機能では、経路通知メッ
セージに付加されたＶＰＮ識別子を用いたフィルタリン
グが行えない為、既存のフィルタを用いてＶＰＮサイト
毎に経路テーブルを分離することが出来ない。

【０００７】これらの問題は、ＶＰＮサービスを提供し
ようとする場合、仮想プライベート網内の全エッジルー
タのソフトウェア更新あるいは装置交換が必要となるこ
とを意味し、導入コストが著しく上昇することにつなが
る。

【０００８】

【課題を解決するための手段】本発明では、通信事業者
の網内にエッジルータを設置し、それをＶＰＮ顧客網の
ルータと回線でつなげる。通信事業者のエッジルータ
は、ＶＰＮ顧客網のルータより、それが設置されている
ＶＰＮサイトの経路を受け取る。

【０００９】通信事業者のエッジルータは、ルーティン
グプロトコルを用いて、受け取った経路を通信事業者の
他のエッジルータに通知する。経路を受け取った他のエ
ッジルータは、以下に示す方法でその経路に対応するＶ
ＰＮを認識し、認識したＶＰＮに対応する経路テーブル
に経路を書きこむと共に、接続しているユーザ網のルー
タにその経路を通知する。

【００１０】以上により、ユーザ網の経路が交換され
る。

【００１１】通信事業者のエッジルータがＶＰＮ顧客の
経路を受け取ったとき、そのＶＰＮを識別する方法を示
す。本発明では、経路情報のパケットであるＵＰＤＡＴ
Ｅメッセージ（経路削除/追加及びＩＰアドレスに対す
るパス属性から成る）とも呼ばれる経路通知メッセージ
にＶＰＮ識別子を含めず、経路通知メッセージを送受信
する為のＢＧＰのピアをエッジルータ間に張るよう要求
する接続要求メッセージを用いてＶＰＮを識別する。

【００１２】接続要求メッセージによってＶＰＮを識別
する方法は例えば以下の２つがある。

【００１３】第一の方法は、エッジルータが接続要求メ
ッセージを受信する時に、接続要求メッセージに含まれ
る接続相手のＩＰアドレスによってＶＰＮを識別する。
あらかじめエッジルータの管理者によって登録していた
接続相手のＩＰアドレスとＶＰＮ識別子の対応表を参照
することで、接続要求メッセージとＶＰＮ識別子との対
応付けが可能となる。第二の方法は、エッジルータが接
続要求メッセージを送信する時に、接続要求のメッセー
ジにＶＰＮ識別子を付加することで、接続要求を受ける
側のエッジルータは接続要求メッセージからＶＰＮを識
別するものである。接続要求メッセージは、ＯＰＥＮメ
ッセージとも呼ばれＢＧＰヘッダ（送り手アドレスであ
るＢＧＰ−ＩＤから成る）とＩＰヘッダ（送信元/送信
先を示すＩＰアドレス）から構成される。この方法で
は、接続要求を受け取った側のエッジルータでは要求メ
ッセージ中のＶＰＮ識別子を即座に自分の構成定義にあ
るＶＰＮ識別子と比較することができる。

【００１４】エッジルータは接続要求メッセージからＶ
ＰＮを識別したら、そのＶＰＮに関する経路通知メッセ
ージを送受信する為のＢＧＰピアを張る。

【００１５】従って、エッジルータはＢＧＰピア毎にそ
のＢＧＰピアを経由して送受信される経路通知メッセー
ジがどのＶＰＮに対応するものかを識別することができ
る。

【００１６】これにより経路通知メッセージを拡張する
ことなくＶＰＮ顧客の経路をエッジルータ間で交換する
ことが出来る。又、経路フィルタについても、本方式で
はＢＧＰピアがＶＰＮユーザ単位に用意されるので、既
存のＢＧＰピア単位のフィルタをそのままＶＰＮユーザ
単位のフィルタとして流用することができる。さらに本
発明は、１つの物理ネットワークに接続される特定のユ
ーザに対して、仮想的な専用通信路をユーザ毎に提供す
る複数のＶＰＮユーザに対するＶＰＮサービスであっ
て、物理ネットワーク網に存在し、ユーザ網との接点部
分に配置される複数個エッジルータ装置を有し、各エッ
ジルータ装置はＶＰＮユーザに関連した経路テーブルを
有し、複数個エッジルータ装置間には少なくとも複数の
ＶＰＮユーザに対して独立した経路情報通知手段が設け
られていることを特徴とするＶＰＮサービスを提供する
事である。さらに本発明は、１つの物理ネットワークに
接続される特定のユーザに対して、仮想的な専用通信路
をユーザ毎に提供するＶＰＮサービスに用いられるエッ
ジルータ装置であって、そのエッジルータ装置は物理ネ
ットワーク網に存在し、ユーザ網との接点部分に複数個
配置され、各々のエッジルータ装置はＶＰＮユーザに関
連した経路テーブルを有し、複数個のエッジルータ装置
間にはＶＰＮユーザ毎に独立した経路情報通知手段が設
けられ得ることを特徴とするエッジルータ装置を提供す
る事である。

【００１７】さらに本発明は、複数のユーザ網と、該複
数のユーザ網を相互に接続するネットワークとを有する
ネットワークシステムにおいて、上記複数のユーザ網間
で情報の送受信を行うための仮想的な専用通信路を上記
ネットワークに設定して、該複数のユーザ網を含むＶＰ
Ｎを構築するための経路情報を、該複数のユーザ網の各
々を該ネットワークに接続する複数のルータ装置間で通
知するための方法であって、上記複数のルータ装置間
に、上記経路情報を通知するための、上記構築されるＶ
ＰＮに対応した通信路を設定するステップと、上記通信
路を介して該通信路に対応するＶＰＮに含まれるユーザ
網の経路情報を通知するステップとを有することを特徴
とする経路情報通知方法を提供する事である。

【００１８】上記経路情報通知方法において、前記通信
路を設定するステップは、前記構築されるＶＰＮの識別
情報を用いて前記通信路の設定を要求するステップを有
することを特徴とする。

【００１９】上記経路情報通知方法において、前記識別
情報は、前記構築されるＶＰＮに対応したＩＰアドレス
であることを特徴とする。

【００２０】さらに本発明は、複数のユーザ網を相互に
接続し、該複数のユーザ網間での情報の送受信のための
仮想的な専用通信路を設定して、該複数のユーザ網を含
むＶＰＮを構築するネットワークに、ユーザ網を接続す
るためのルータ装置であって、ユーザ網と通信するため
の第一の通信手段と、上記ネットワークに接続している
他のルータ装置と通信するための第二の通信手段と、上
記第一の通信手段を介して通信するユーザ網を含むＶＰ
Ｎを構築するために、該ＶＰＮに含まれるユーザ網の経
路情報を上記第二の通信手段を介して通信する他のルー
タ装置との間で送受信するための通信路を管理する通信
路管理手段を有し、上記通信路管理手段は、構築される
ＶＰＮと対応付けて、上記通信路を管理し、上記第二の
通信手段は、ＶＰＮを構築するための経路情報を送信又
は受信する場合に、上記通信路管理手段が該構築される
ＶＰＮと対応付けて管理している通信路を用いることを
特徴とするルータ装置を提供する事である。

【００２１】

【発明の実施の形態】以下，図面を用いて本発明につい
て説明する。

【００２２】図１はＶＰＮのシステム構成を示してい
る。本システムは、通信事業者網１２０とユーザ網１０
０−Ａ、１００−Ｂ、１１０−Ａ、１１０−Ｂで構成さ
れる。１００−Ａと１１０−Ａはあるユーザ網、１００
−Ｂ、１１０−Ｂは別のユーザ網とする。１００−Ａか
らは１１０−Ａへは通信事業者網上で正常に通信を行う
ことが出来る。１００−Ａから１００−Ｂや１１０−Ｂ
への通信はユーザが異なるため、通信を遮蔽する。ユー
ザ網が異なるとアドレス空間も異なる。例えばあるユー
ザ網で使用しているＩＰアドレスは、他のユーザ網で使
用することも可能である。

【００２３】エッジルータ１５０内の経路テーブル１６
０または１７０はＶＰＮ毎に管理される。エッジルータ
１５０−Ａ内の経路テーブル１６０−Ａは、経路テーブ
ルに対応するユーザ網１００−Ａ内の経路をユーザ網の
ルータ１３０−Ａから受け取り、書き込む。そして同じ
ＶＰＮに所属する別のエッジルータ１５０−Ｂ内の経路
テーブル１７０−Ａから通知された経路も書き込む。エ
ッジルータ１５０間のＶＰＮ経路の交換の前準備とし
て、ＶＰＮ毎に独立した経路交換通知手段を用意する必
要がある。経路交換通知手段の例としてＢＧＰプロトコ
ルのピアがある。実際はＩＰネットワーク上で通信を保
証されたＴＣＰ（Transfer Control Protocol）接続の
ことで、そのＴＣＰ接続を用いて経路が交換される。以
降の説明では、経路交換通知手段をＢＧＰピアという用
語を用いて説明する。

【００２４】ＶＰＮ毎にＢＧＰピア１９０−Ａ、１９０
−Ｂを用意する。ＢＧＰピア上を流れる経路通知パケッ
トにはＶＰＮを識別する情報は含めない。経路情報を受
信したエッジルータは、ＢＧＰピアとＶＰＮ識別子の対
応表であるＢＧＰピア管理テーブル３４６（図５にて詳
述する）を参照して、通知された経路のＶＰＮを特定す
る。

【００２５】ＶＰＮサイト間の通信はエッジルータ１５
０間で通信路を設定し、その通信路にＶＰＮのデータパ
ケットを流すことで行われる。コアルータ１８０はＶＰ
Ｎの経路テーブルを保持せず、設定された通信路を用い
てＶＰＮのデータパケットを中継する。

【００２６】図２はエッジルータ１５０のハードウェア
構成を示している。

【００２７】ＣＰＵ（Central Processing Unit）２０
０はメモリ２１０に格納されているプログラムを実行す
るためのプロセッサである。メモリ２１０の中には装置
全体を制御するためのオペレーティングシステム２１
３，およびルータ装置としての動作を行うための制御プ
ログラム２１５が格納されている。

【００２８】ユーザ網側ネットワークコントローラ２２
０はエッジルータ１５０がユーザ網のルータとの間で行
う送受信を制御する。通信事業者網側ネットワークコン
トローラ２２５は、エッジルータ１５０が相手のエッジ
ルータ１５０との間で行う送受信を制御する。キーボー
ドコントローラ２３０はキーボード２３５からのキー入
力を制御する。シリアルコントローラ２４０はシリアル
ポートに接続されたマウス２４５などの入出力機器を制
御する。ディスプレイコントローラ２５０はディスプレ
イモニタ２５５への画面表示を制御する。ディスクコン
トローラ２６０はディスク装置２６５への入出力を制御
する。

【００２９】なお，本実施例においては，ネットワーク
管理者によるエッジルータ１５０の操作は装置に直接接
続されたキーボード２３５，マウス２４５，ディスプレ
イモニタ２５５から行うことを前提としているが，エッ
ジルータ１５０とネットワークを介してつながった遠隔
地にある入出力装置を用いて操作を行うことももちろん
可能である。

【００３０】図３はエッジルータ１５０のソフトウェア
構成を示している。

【００３１】入出力制御部３１０はキーボードからの入
力やディスプレイへの出力を制御する。

【００３２】ユーザ網側ネットワークインタフェース部
３８０は、ユーザ網側のルータから受信したパケットを
ユーザ網側通信部３６０に渡したり、ユーザ網側通信部
３６０の要求により、パケットをネットワークに送信す
るなど、ユーザ網側のルータとの間の送受信に関する処
理を行う。

【００３３】通信事業者網側ネットワークインタフェー
ス部３９０は、他の通信事業者網側のエッジルータ１５
０から受信したパケットを通信事業者網側通信部３７０
に渡したり、通信事業者網側通信部３７０の要求によ
り、パケットをネットワークに送信するなど、通信事業
者網側のエッジルータ１５０との間の送受信に関する処
理を行う。

【００３４】ユーザ網側通信部３６０は、ユーザ網側ネ
ットワークインタフェース部３８０から受信したパケッ
トを、その結果に応じてルーティングプロトコルパケッ
ト解析部３４０、データ中継部３５０の内の適切な処理
モジュールの方へ渡したり、これらの処理モジュールか
ら渡されたパケットに適切なヘッダを付加してユーザ網
側ネットワークインタフェース部３８０に渡すなど、内
部プロトコルに応じたパケットヘッダの解釈と各モジュ
ールへのパケット振分処理を行う。ここで該ユーザ網側
通信部３６０は、ユーザ網と通信するための第一の通信
手段とする。

【００３５】通信事業者網側通信部３７０は、通信事業
者網側ネットワークインタフェース部３９０から受信し
たパケットを、その結果に応じてルーティングプロトコ
ルパケット解析部３４０、データ中継部３５０の内の適
切な処理モジュールの方へ渡したり、これらの処理モジ
ュールから渡されたパケットに適切なヘッダを付加して
通信事業者網側ネットワークインタフェース部３９０に
渡すなど、内部プロトコルに応じたパケットヘッダの解
釈と各モジュールへのパケット振分処理を行う。ここで
該通信事業者網側通信部３７０は、ネットワークに接続
している他のエッジルータ装置と通信するための第二の
通信手段とする。

【００３６】データ中継部３５０は、ユーザ網側通信部
３６０と通信事業者網側通信部３７０、ルーティングプ
ロトコルパケット解析部３４０のデータを中継し、パケ
ットのヘッダを参照し、どの機能ブロックへ転送するか
を決定する。さらにデータ転送の場合は経路テーブル１
６０又は１７０を参照し、送出するインターフェースを
決定する。

【００３７】ルーティングプロトコルパケット解析部３
４０は、ルーティングプロトコルのパケットを解析後、
経路を追加または削除するために、経路情報を経路フィ
ルタ管理部３３０に渡す。またＢＧＰの接続要求パケッ
トが正常なら、それを登録するためＢＧＰピア管理部３
４４に接続を依頼する。

【００３８】ＢＧＰピア管理部３４４は、ＢＧＰの接続
が成功した場合にその接続を保持する。ここで該ＢＧＰ
ピア管理部３４４は、上記第一の通信手段を介して通信
するユーザ網を含むＶＰＮを構築するために、該ＶＰＮ
に含まれるユーザ網の経路情報を上記第二の通信手段を
介して通信する他のエッジルータ装置との間で送受信す
るための通信路を管理する通信路管理手段とする。接続
情報はＢＧＰピア管理テーブル３４６へ書き込まれる。

【００３９】経路フィルタ管理部３３０は、ルーティン
グプロトコルパケット解析部３４０により経路の追加ま
たは削除の要求があったとき、経路の追加を制限する経
路フィルタ表３３５を参照して、それを許可するかどう
かを決める。

【００４０】経路テーブル管理部３２０は、経路フィル
タで許可された経路を、ＶＰＮ毎に管理された経路テー
ブル１６０または１７０に書き込み、それぞれの経路テ
ーブルはＶＰＮに対応しているので、どのＶＰＮに経路
を書き込むかをＢＧＰピア管理テーブル３４６を参照し
て特定する。また経路テーブル管理部３２０は、データ
パケット転送のために経路テーブル１６０または１７０
の検索を行う。

【００４１】図４はエッジルータ１５０が使用する経路
テーブル１６０または１７０の形式を示している。本経
路テーブルはＶＰＮ毎に分離して、ルータ内で保持され
る。

【００４２】経路テーブル１６０または１７０には，各
ＶＰＮの経路情報がテーブル形式で格納されている。各
経路情報には経路のＩＰアドレス４１０、ネットワーク
ＩＤとホストＩＤから構成されるＩＰアドレスの内、ネ
ットワークＩＤの長さを特定するために用いられるサブ
ネットマスク４２０，ＮｅｘｔＨｏｐ４３０、インター
フェース識別子４４０、経路送信元ルータのＩＰアドレ
ス４５０、経路の属性４６０が含まれる。

【００４３】経路のＩＰアドレス４１０、サブネットマ
スク４２０及びＮｅｘｔＨｏｐ４３０は、他ルータより
通知される。ＮｅｘｔＨｏｐ４３０は経路を通知した送
信元ルータに到達するために、エッジルータ１５０がデ
ータパケットを転送する次のルータのアドレスを示して
いる。インターフェース識別子４４０は、ＮｅｘｔＨｏ
ｐ４３０に繋がっているエッジルータ１５０側のインタ
ーフェースを特定するための識別子である。

【００４４】経路送信元ルータのＩＰアドレス４５０
は、経路送信元のＢＧＰピアを識別する。経路送信元ル
ータのＩＰアドレスは、経路フィルタに用いられる。例
えばあるＢＧＰピアから来た経路を全て経路テーブル１
６０または１７０に書き込まないという管理者の設定に
対応する際、経路がどのＢＧＰピアから通知されたかと
いう経路送信元ルータのＩＰアドレス４５０が参照され
る。

【００４５】経路の属性４６０は、ＢＧＰプロトコルで
規定されている。例えば同一経路が複数のＢＧＰピアか
ら通知された場合、どの経路を採用するかという経路の
コストを規定する。

【００４６】図５はエッジルータが使用するＢＧＰピア
管理テーブル３４６の形式を示している。

【００４７】図５のＢＧＰピア管理テーブル３４６には
ＢＧＰピア識別子５１０、接続相手のＩＰアドレス５２
０、ＶＰＮ−ＩＤ５３０が含まれる。ＢＧＰピア識別子
５１０は、この装置内で保持するＢＧＰピアを識別する
番号である。接続相手のＩＰアドレス５２０とＶＰＮ−
ＩＤ５３０は、ＢＧＰの接続要求を受けたとき、その接
続のＶＰＮを特定するため使用される。

【００４８】接続要求とは、エッジルータが他のエッジ
ルータとの間で経路交換を行うためにＢＧＰピアを張る
よう該他のエッジルータに要求する処理であり、エッジ
ルータは経路交換の許可をとるために該他のエッジルー
タに対して、自エッジルータの情報を通知する。接続要
求受信側ルータは、送信側に対して接続を認める、また
は認めないのどちらかを選択し、その返事を接続要求側
ルータに返す。接続要求を認められたルータは、ＢＧＰ
ピアを張り、ＢＧＰプロトコルにしたがってＢＧＰピア
を用いて経路を通知することができる。ＢＧＰピアが張
られた２台のＢＧＰルータ間では、経路情報が自動的に
交換される。

【００４９】図６はエッジルータ１５０のＶＰＮ経路登
録及び登録後のエッジルータ１５０間でのＶＰＮ経路の
交換を示すシーケンスである。エッジルータＡの管理者
はまずユーザ網のルータと経路交換用のＢＧＰピアを接
続する設定を行う（シーケンス６１０−Ａ）。その設定
はエッジルータＢの場合も同様で（シーケンス６１０−
Ｂ）、エッジルータＡとエッジルータＢの設定順序は問
わない。

【００５０】管理者からＢＧＰピアの設定を受けたエッ
ジルータＡは、ユーザ網のルータＡに対して経路交換用
のピアの接続要求を出す（シーケンス６２０−Ａ）。接
続要求を受けたユーザ網のルータＡは接続要求を受け入
れる場合はＡＣＫを返し、拒否する場合にはエラー通知
であるＮＯＴＩＦＹを返す（シーケンス６３０−Ａ）。
エッジルータＡは、通信事業者網の他のエッジルータで
あるＢに対して経路交換用のＢＧＰピアを接続するため
に接続要求メッセージを送信する（シーケンス６４
０）。接続要求メッセージを受けたエッジルータＢは要
求を受け入れる場合はＡＣＫを返し、そうでない場合は
ＮＯＴＩＦＹを返す（シーケンス６５０）。以上により
ユーザ網側と通信事業者網側両方にＢＧＰピアを接続し
た後、経路がユーザ網のルータＡよりエッジルータＡに
通知される。通知を受けたエッジルータＡは、その経路
をルータ内に保持するＶＰＮユーザ毎の経路テーブルに
書き込み、その経路を通信事業者網に存在する他エッジ
ルータであるＢに通知する（シーケンス６６０−Ａ）。
エッジルータＢも同様にしてＶＰＮ経路をエッジルータ
Ａに通知する（シーケンス６６０−Ｂ）。

【００５１】図７はエッジルータＡのＶＰＮ削除を示す
シーケンスである。エッジルータＡのみで、あるユーザ
網が削除された場合を示す。

【００５２】エッジルータＡの管理者は、エッジルータ
Ａに対してユーザ網Ａにあらかじめ貼ってあるＢＧＰピ
アの削除を設定する（シーケンス７１０）。ＢＧＰピア
削除の命令を受けたエッジルータＡは、ユーザ網のルー
タＡに対してＢＧＰピアの削除要求を出す（シーケンス
７２０）。削除要求を受けたユーザ網のルータＡはその
削除要求が正常に動作できるかを確認した後、削除を許
容するかエラーを返す（シーケンス７３０）。ユーザ網
のルータＡ、エッジルータＡともにエッジルータＢから
通知された経路をＢＧＰピア毎に保持しているので、エ
ッジルータＡとの間に貼ってあるＢＧＰピアの削除に伴
い、そのＢＧＰピアから通知された全経路をユーザ網の
ルータＡ内の経路テーブルから削除する。

【００５３】ユーザ網のルータＡからの削除応答を受け
たエッジルータＡは、エッジルータＢに対してＢＧＰピ
アの削除要求を出す（シーケンス７４０）。ピアの削除
要求を受けたエッジルータＢはルータ内のＢＧＰピア管
理テーブルから削除要求のあったピアを削除し、ＡＣＫ
を返す（シーケンス７５０）。ＢＧＰピアの削除前にエ
ッジルータＡからエッジルータＢに通知された経路は、
ピアの削除時にＶＰＮ毎の経路テーブルから削除され
る。

【００５４】図８はエッジルータＡ及びエッジルータＢ
でのＶＰＮ削除を示すシーケンスである。

【００５５】エッジルータＡの管理者は、エッジルータ
Ａに対してユーザ網Ａにあらかじめ貼ってあるＢＧＰピ
アの削除を設定する（シーケンス８１０−Ａ）。エッジ
ルータＢの管理者も同様にエッジルータＢに対してユー
ザ網Ｂにあらかじめ貼ってあるＢＧＰピアの削除を設定
する（シーケンス８１０−Ｂ）。

【００５６】ＢＧＰピア削除の命令を受けたエッジルー
タＡは、ユーザ網のルータＡに対してＢＧＰピアの削除
要求を出す（シーケンス８２０−Ａ）。通信事業者網ル
ータ装置Ｂも同様にＢＧＰピア削除の命令を受けたエッ
ジルータＢは、ユーザ網のルータＢに対してＢＧＰピア
の削除要求を出す（シーケンス８２０−Ｂ）。削除要求
を受けたユーザ網のルータＡはその削除要求が正常に動
作できるかを確認した後、削除を許容するかエラーを返
す（シーケンス８３０−Ａ）。ユーザ網ルータＢ側でも
同様に削除要求を受けたユーザ網のルータＢはその削除
要求が正常に動作できるかを確認した後、削除を許容す
るかエラーを返す（シーケンス８３０−Ｂ）。

【００５７】ユーザ網ルータＡ及びＢ側のＢＧＰピア削
除が完了した後、エッジルータＡ及びＢは、エッジルー
タ間のＢＧＰピア削除を行う（シーケンス８４０、８５
０）。

【００５８】図９はユーザ網間のデータ通信のシーケン
スである。データ通信の前準備としてエッジルータＡ，
Ｂはユーザ網の経路を交換し終えたものとする。ユーザ
網のルータＡからユーザ網のルータＢにデータパケット
を通信するシーケンスを示す。

【００５９】ユーザ網のルータＡは、エッジルータＡに
データパケットを送信する（シーケンス９１０）。デー
タパケットを受信したエッジルータＡは、データパケッ
トのＶＰＮに対応する経路テーブルを参照し、エッジル
ータＢにデータパケットを転送する（シーケンス９２
０）。エッジルータＢはデータパケットを受け取り、デ
ータパケットのＶＰＮに対応する経路テーブルを参照し
て、データパケットをユーザ網のルータＢに転送する
（シーケンス９３０）。

【００６０】図１０はエッジルータ１５０の、ユーザ網
のルータとのＢＧＰピア接続要求フローである。ネット
ワーク管理者から接続要求を入力（ステップ１００５）
されたエッジルータ１５０はＢＧＰプロトコルの接続要
求メッセージを、指定されたＩＰアドレスをもつユーザ
網のルータに送信する（ステップ１０１０）。その後エ
ッジルータ１５０はユーザ網のルータから接続のＡＣＫ
を待つ。もしユーザ網のルータがエッジルータ１５０の
接続要求をエラーなどの理由で拒否するときは、ユーザ
網のルータはエッジルータ１５０にエラーメッセージで
あるＮＯＴＩＦＹを返す（ステップ１０２０）。もしＡ
ＣＫではなくＮＯＴＩＦＹを受け取ったら、ディスプレ
イモニタへエラーを出力する（ステップ１０２５）。も
し接続相手から正常にＢＧＰピアを接続したことを示す
ＡＣＫを受信したら（ステップ１０３０）、接続に成功
したＢＧＰピア情報をＢＧＰピア管理テーブル３４６に
追加する（ステップ１０４０） 図１１はエッジルータ１５０の、ユーザ網のルータから
のＢＧＰピア接続要求の受信フローである。

【００６１】接続要求メッセージを受信する前に、エッ
ジルータ１５０は接続を許容する相手ルータのＩＰアド
レスを入力する（ステップ１１０５）。ＩＰアドレスを
１つずつ羅列する設定や接続要求側の全てのＩＰアドレ
スを許容する設定を行う。その後接続相手ルータより接
続要求メッセージを受信する（ステップ１１１０）。接
続要求メッセージを受けた受信側エッジルータ１５０
は、接続要求メッセージをチェックする。もし接続要求
メッセージパケットに異常を発見したり（ステップ１１
２０）、上記の接続を許容する相手のＩＰアドレスに設
定していない接続相手からの要求メッセージが到着した
場合（ステップ１１３０）、接続を確立せず、接続要求
元ルータにエラーメッセージであるＮＯＴＩＦＹを送信
し（ステップ１１２５）、ディスプレイモニタへエラー
を出力する（ステップ１１３５）。

【００６２】接続を許容する場合、接続相手にＡＣＫを
返信し（ステップ１１４０）、接続要求受信側エッジル
ータ１５０は、ルータ内のＢＧＰピア管理テーブル３４
６に新たなＢＧＰピアを登録する。図１２はエッジルー
タ１５０間でＢＧＰピア接続をする際の、エッジルータ
１５０の接続要求処理のフローを示す。

【００６３】ＢＧＰピアのＶＰＮを識別する方法として
接続要求メッセージに明示的にＶＰＮ−ＩＤを付加する
方式を前提として示す。ネットワーク管理者はＢＧＰピ
ア接続先のＩＰアドレスとＶＰＮ−ＩＤを組でエッジル
ータ１５０に設定する（ステップ１２０５）。管理者か
らの設定を受けたエッジルータ１５０はＶＰＮ−ＩＤ付
きの接続要求メッセージを接続相手のエッジルータ１５
０に送信する（ステップ１２１０）。その後接続ＡＣＫ
を待つ。もし接続相手のエッジルータ１５０が接続を拒
否した場合、エラーとその原因を示すＮＯＴＩＦＹが接
続要求側のエッジルータ１５０に返送される（ステップ
１２２０）。ＮＯＴＩＦＹを受信したエッジルータ１５
０はそれを管理者に通知するため、ディスプレイモニタ
へエラーを出力する（ステップ１２２５）。正常にＢＧ
Ｐピアの接続が接続相手のエッジルータ１５０から許可
された場合、接続要求を送信したエッジルータはＡＣＫ
を受信する（ステップ１２３０）。ＡＣＫを受信したエ
ッジルータ１５０は新たに接続するＢＧＰピアを管理テ
ーブル３４６に追加する（ステップ１２４０）。

【００６４】図１３はエッジルータ１５０間でＢＧＰピ
ア接続をする際の、エッジルータ１５０の接続受信側処
理のフローを示す。ＢＧＰピアのＶＰＮを識別する方法
として接続要求メッセージに明示的にＶＰＮ−ＩＤを付
加する方式を前提として示す。ネットワーク管理者は他
エッジルータ１５０から接続要求メッセージを受信する
前に、接続を許容する相手のＩＰアドレスを登録する
（ステップ１３０５）。その後接続要求メッセージを受
信し（ステップ１３１０）、受信した接続要求メッセー
ジをチェックする。もし接続要求メッセージパケットに
異常が発見されたり（ステップ１３２０）、接続を許容
する相手のＩＰアドレスに一致しない（ステップ１３３
０）、接続要求メッセージに含まれるＶＰＮ−ＩＤの値
が異常である（ステップ１３４０）、等の場合は接続を
拒否する。エラーを接続要求元のエッジルータ１５０に
通知するため、ＮＯＴＩＦＹを送信し（ステップ１３２
５）、ルータ管理者に通知するため、ディスプレイモニ
タへエラーを出力する（ステップ１３３５）。接続要求
を受け入れる場合、接続要求側にＡＣＫを返信する（ス
テップ１３５０）。新たな接続を登録するため、ＢＧＰ
ピア管理テーブル３４６に追加する（ステップ１３６
０）。

【００６５】図１４はエッジルータ１５０間でＢＧＰピ
ア接続をする際の、エッジルータ１５０の接続要求処理
のフローを示す。ＢＧＰピアのＶＰＮを識別する方法と
して接続要求を受信したエッジルータ１５０が接続相手
のＩＰアドレスとＶＰＮ−ＩＤを対応させる方式を前提
として示す。

【００６６】ネットワーク管理者はＢＧＰピア接続先の
ＩＰアドレスとＶＰＮ−ＩＤを組でエッジルータ１５０
に設定する（ステップ１４０５）。管理者からの設定を
受けたエッジルータ１５０は接続要求メッセージを接続
相手のエッジルータ１５０に送信する（ステップ１４１
０）。その後接続ＡＣＫを待つ。もし接続相手のエッジ
ルータ１５０が接続を拒否した場合、エラーとその原因
を示すＮＯＴＩＦＹが接続要求側のエッジルータ１５０
に返送される（ステップ１４２０）。ＮＯＴＩＦＹを受
信したエッジルータ１５０はそれを管理者に通知するた
め、ディスプレイモニタへエラーを出力する（ステップ
１４２５）。正常にＢＧＰピアの接続が接続相手のエッ
ジルータ１５０から許可された場合、接続要求を送信し
たエッジルータ１５０はＡＣＫを受信する（ステップ１
４３０）。ＡＣＫを受信したエッジルータ１５０は新た
に接続するＢＧＰピアを管理テーブル３４６に追加する
（ステップ１４４０）。

【００６７】図１５はエッジルータ１５０間でＢＧＰピ
ア接続をする際の、エッジルータ１５０の接続受信側処
理のフローを示す。ＢＧＰピアのＶＰＮを識別する方法
として接続要求を受信したエッジルータ１５０が接続相
手のＩＰアドレスとＶＰＮ−ＩＤを対応させる方式を前
提として示す。ネットワーク管理者は他エッジルータ１
５０から接続要求メッセージを受信する前に、接続を許
容する相手のＩＰアドレスと対応するＶＰＮ−ＩＤを登
録する（ステップ１５０５）。その後接続要求メッセー
ジを受信し（ステップ１５１０）、受信した接続要求メ
ッセージをチェックする。もし接続要求メッセージパケ
ットに異常が発見されたり（ステップ１５２０）、接続
を許容する相手のＩＰアドレスに一致しない（ステップ
１５３０）場合は接続を拒否する。エラーを接続要求元
のエッジルータに通知するため、ＮＯＴＩＦＹを送信し
（ステップ１５２５）、ネットワーク管理者に通知する
ため、ディスプレイモニタへエラーを出力する（ステッ
プ１５３５）。接続要求を受け入れる場合、接続相手の
ＩＰアドレスよりＶＰＮ−ＩＤを特定する（ステップ１
５４０）。そして接続要求側にＡＣＫを返信する（ステ
ップ１５５０）。新たな接続を登録するため、ＢＧＰピ
ア管理テーブル３４６に追加する（ステップ１５６
０）。

【００６８】図１６はエッジルータ１５０におけるＢＧ
Ｐピアの削除処理において、削除要求側のフローを示
す。まずネットワーク管理者は、削除するＢＧＰピアの
ＩＰアドレスを入力する（ステップ１６０５）。次に削
除要求メッセージをＢＧＰピア相手のエッジルータ１５
０に送信する（ステップ１６１０）。その後接続削除相
手のエッジルータ１５０からのＡＣＫを待つ。

【００６９】もし相手のエッジルータで削除が失敗した
ら、エラー通知であるＮＯＴＩＦＹメッセージが返信さ
れる（ステップ１６２０）。その場合、ネットワーク管
理者にエラーを通知するため、ディスプレイモニタへエ
ラーを出力する（ステップ１６２５）。もし相手のエッ
ジルータ１５０が正常にＢＧＰピアを削除できたら、そ
れを通知するＡＣＫが返信される（ステップ１６３
０）。ＡＣＫを受信後、エッジルータ１５０はＢＧＰピ
ア管理テーブル３４６から削除したピアのエントリを削
除する（ステップ１６４０）。

【００７０】図１７はエッジルータ１５０におけるＢＧ
Ｐピアの削除処理において、削除要求受信側のフローを
示す。エッジルータ１５０は、削除要求メッセージを受
信する（ステップ１７１０）。もし接続要求メッセージ
に異常が存在したり（ステップ１７２０）、ＢＧＰピア
管理テーブル３４６に削除メッセージで指定されたＢＧ
Ｐピアが存在しない場合、エラーメッセージであるＮＯ
ＴＩＦＹを送信し、ディスプレイにエラー出力する。正
常に削除が行われた場合、削除要求を送信した相手側エ
ッジルータにＡＣＫを返信し（ステップ１７４０）、Ｂ
ＧＰピア管理テーブル３４６から該当するＢＧＰピアを
削除する（ステップ１７５０）。以上でＶＰＮサービス
を提供する物理網の管理者を通信事業者として例を挙げ
たが、企業ネットワークにも流用できることは明白であ
る。

【００７１】

【発明の効果】以上で述べてきた方法を用いることによ
り、通信事業者が既存ルータを用いて、ＶＰＮサービス
を容易に構築することが可能となる。

【００７２】従って、通信事業者がＶＰＮサービスを提
供しようとする場合の導入コストが安価になるととも
に、既存の設定知識が流用できるので、運用管理コスト
も安価になり、ユーザに安価なＶＰＮサービスを提供で
きる。

【図面の簡単な説明】

【図１】本発明のＶＰＮサービスにおけるネットワーク
システムの構成図である。

【図２】本発明のエッジルータのハードウェア構成図で
ある。

【図３】本発明のエッジルータのソフトウェア構成図で
ある。

【図４】エッジルータが使用する経路テーブルを示す図
である。

【図５】エッジルータが使用するＢＧＰピア管理テーブ
ルを示す図である。

【図６】エッジルータ間のＶＰＮ登録の際のシーケンス
図を示す図である。

【図７】片方のエッジルータでのＶＰＮ削除の際のシー
ケンス図である。

【図８】両方のエッジルータでのＶＰＮ削除の際のシー
ケンス図である。

【図９】ユーザ網のルータ間でのＶＰＮ通信のシーケン
ス図である。

【図１０】ユーザ網側へのＢＧＰピア接続要求のフロー
を示す図である。

【図１１】ユーザ網側へのＢＧＰピア接続受信のフロー
を示す図である。

【図１２】ＶＰＮ識別子を要求メッセージに含ませる方
式の通信事業者側へのＢＧＰピア接続要求のフローを示
す図である。

【図１３】ＶＰＮ識別子を要求メッセージに含ませる方
式の通信事業者側へのＢＧＰピア接続受信のフローを示
す図である。

【図１４】ＶＰＮの識別を、接続相手のアドレスで行う
方式の通信事業者側へのＢＧＰピア接続要求のフローを
示す図である。

【図１５】ＶＰＮの識別を、接続相手のアドレスで行う
方式の通信事業者側へのＢＧＰピア接続受信のフローを
示す図である。

【図１６】通信事業者側へのＢＧＰピア削除要求のフロ
ーを示す図である。

【図１７】通信事業者側へのＢＧＰピア削除受信のフロ
ーを示す図である。

【図１８】従来のＶＰＮサービスにおけるネットワーク
システムの構成図である。

【符号の説明】

１００−Ａ、１００−Ｂ、１１０−Ａ、１１０−Ｂ…ユ
ーザ網のネットワーク、１２０…通信事業者網のネット
ワーク、１３０−Ａ、１３０−Ｂ、１４０−Ａ、１４０
−Ｂ…ユーザ網のルータ、１５０−Ａ、１５０−Ｂ…エ
ッジルータ、１６０−Ａ、１６０−Ｂ、１７０−Ａ、１
７０−Ｂ…経路テーブル、１８０…コアルータ、１９０
−Ａ、１９０−Ｂ…ＢＧＰピア、１９５…トンネル、２
００…ＣＰＵ、２１０…メモリ、２１３…オペレーティ
ングシステム、２１５…制御ソフト、２２０…ユーザ網
側ネットワークコントローラ、２２５…通信事業者網側
ネットワークコントローラ、２３０…キーボードコント
ローラ、２３５…キーボード、２４０…シリアルコント
ローラ、２４５…マウス、２５０…ディスプレイコント
ローラ、２５５…ディスプレイ、２６０…ディスクコン
トローラ、２６５…ディスク装置、３１０…入出力制御
部、３２０…経路テーブル管理部、３３０…経路フィル
タ管理部、３３５…経路フィルタ表、３４０…ルーティ
ングプロトコルパケット解析部、３４４…ＢＧＰピア管
理部、３４６…ＢＧＰピア管理テーブル、３５０…デー
タ中継部、３６０…ユーザ網側通信部、３７０…通信事
業者網側通信部、３８０…ユーザ網側ネットワークイン
ターフェース部、３９０…通信事業者網ネットワークイ
ンターフェース部、４１０…経路のＩＰアドレス、４２
０…経路のサブネットマスク、４３０…経路のＮｅｘｔ
Ｈｏｐ、４４０…Ｉ／Ｆ識別子、４５０…経路送信元ル
ータのＩＰアドレス、４６０…経路の属性、５１０…Ｂ
ＧＰピア識別子、５２０…接続相手のＩＰアドレス、５
３０…ＶＰＮ−ＩＤ。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 木本 淳志 神奈川県秦野市堀山下１番地 株式会社日 立製作所エンタープライズサーバ事業部内 Ｆターム(参考） 5K030 HD03 KA05 LB02 LB05 LB19

Claims (10)

【特許請求の範囲】
1. 【請求項１】少なくとも１つの物理ネットワークに接続
   される複数のＶＰＮユーザ網に対して、仮想的な専用通
   信路をユーザ毎に提供するＶＰＮ(Virtual Private Net
   work)サービスの経路情報通知方法であって、物理ネッ
   トワーク網に存在し、上記複数のＶＰＮユーザ網との接
   点部分に配置されるエッジルータ装置が、上記複数のＶ
   ＰＮユーザ網から受信した経路情報をＶＰＮ毎に独立し
   て設けられた経路情報通知手段によって他のエッジルー
   タ装置に通知することを特徴とする経路情報通知方法。
2. 【請求項２】請求項１において、上記他のエッジルータ
   装置が、受信した経路情報に対応するＶＰＮユーザを選
   択可能とするために、送信元エッジルータ装置のＩＰア
   ドレスとＶＰＮユーザの識別子との対応表を保持し、異
   なるＶＰＮの経路情報を通知する際には異なる送信元ア
   ドレスを用いることにより、上記他のエッジルータ装置
   が、上記対応表を用いて、受信した経路情報に対応する
   ＶＰＮを選択することを特徴とする経路情報通知方法。
3. 【請求項３】請求項１において、上記他のエッジルータ
   装置が、受信した経路情報に対応するＶＰＮを選択可能
   とするために、上記エッジルータ装置が、経路情報通知
   に先立って行われる経路通知用コネクションの設定動作
   において、コネクション設定要求メッセージの中にＶＰ
   Ｎの識別子を含ませることにより、上記他のエッジルー
   タ装置が、以降受信する経路情報に対応するＶＰＮを認
   識可能となることを特徴とする経路情報通知方法。
4. 【請求項４】少なくとも１つの物理ネットワークに接続
   される複数のＶＰＮユーザ網に対して、仮想的な専用通
   信路をユーザ毎に提供するＶＰＮサービスであって、物
   理ネットワーク網に存在し、上記複数のＶＰＮユーザ網
   との接点部分に配置される複数個エッジルータ装置を有
   し、上記複数個エッジルータ装置間には上記複数のＶＰ
   Ｎユーザ網に対して独立した経路情報通知手段が設けら
   れていることを特徴とするＶＰＮサービス。
5. 【請求項５】少なくとも１つの物理ネットワークに接続
   される複数のＶＰＮユーザ網に対して、仮想的な専用通
   信路をユーザ毎に提供するＶＰＮ(Virtual Private Net
   work)サービスに用いられるエッジルータ装置であっ
   て、そのエッジルータ装置は物理ネットワーク網に存在
   し、上記複数のＶＰＮユーザ網との接点部分に配置さ
   れ、前記そのエッジルータ装置は上記複数のＶＰＮユー
   ザ網から受信した経路情報をＶＰＮユーザ毎に独立して
   設けられた経路情報通知手段を介して他のエッジルータ
   装置に通知出来ることを特徴とするエッジルータ装置。
6. 【請求項６】少なくとも１つの物理ネットワークに接続
   される複数のＶＰＮユーザ網に対して、仮想的な専用通
   信路をユーザ毎に提供するＶＰＮ(Virtual Private Net
   work)サービスの経路情報通知方法であって、物理ネッ
   トワーク網に存在し、上記複数のＶＰＮユーザ網との接
   点部分に配置されるエッジルータ装置が、各ＶＰＮ毎に
   独立した経路テーブルを有し、上記エッジルータ装置は
   上記複数のＶＰＮユーザ網から受信した経路情報を、対
   応するＶＰＮの経路テーブルに格納すると共に、ＶＰＮ
   毎に独立して設けられた経路情報通知手段によって他の
   エッジルータ装置に上記経路情報を通知することを特徴
   とする経路情報通知方法。
7. 【請求項７】複数のユーザ網と、該複数のユーザ網を相
   互に接続するネットワークとを有するネットワークシス
   テムにおいて、上記複数のユーザ網間で情報の送受信を
   行うための仮想的な専用通信路を上記ネットワークに設
   定して、該複数のユーザ網を含むＶＰＮを構築するため
   の経路情報を、該複数のユーザ網の各々を該ネットワー
   クに接続する複数のルータ装置間で通知するための方法
   であって、 上記複数のルータ装置間に、上記経路情報を通知するた
   めの、上記構築されるＶＰＮに対応した通信路を設定す
   るステップと、 上記通信路を介して該通信路に対応するＶＰＮに含まれ
   るユーザ網の経路情報を通知するステップとを有するこ
   とを特徴とする経路情報通知方法。
8. 【請求項８】請求項７記載の経路情報通知方法であっ
   て、 前記通信路を設定するステップは、前記構築されるＶＰ
   Ｎの識別情報を用いて前記通信路の設定を要求するステ
   ップを有することを特徴とする経路情報通知方法。
9. 【請求項９】請求項８記載の経路情報通知方法であっ
   て、 前記識別情報は、前記構築されるＶＰＮに対応したＩＰ
   アドレスであることを特徴とする経路情報通知方法。
10. 【請求項１０】複数のユーザ網を相互に接続し、該複数
    のユーザ網間での情報の送受信のための仮想的な専用通
    信路を設定して、該複数のユーザ網を含むＶＰＮを構築
    するネットワークに、ユーザ網を接続するためのルータ
    装置であって、 ユーザ網と通信するための第一の通信手段と、 上記ネットワークに接続している他のルータ装置と通信
    するための第二の通信手段と、 上記第一の通信手段を介して通信するユーザ網を含むＶ
    ＰＮを構築するために、該ＶＰＮに含まれるユーザ網の
    経路情報を上記第二の通信手段を介して通信する他のル
    ータ装置との間で送受信するための通信路を管理する通
    信路管理手段を有し、 上記通信路管理手段は、構築されるＶＰＮと対応付け
    て、上記通信路を管理し、 上記第二の通信手段は、ＶＰＮを構築するための経路情
    報を送信又は受信する場合に、上記通信路管理手段が該
    構築されるＶＰＮと対応付けて管理している通信路を用
    いることを特徴とするルータ装置。