JP2002319938A - パケット通信ネットワークシステムとセキュリティ制御方法およびルーティング装置ならびにプログラムと記録媒体 - Google Patents
パケット通信ネットワークシステムとセキュリティ制御方法およびルーティング装置ならびにプログラムと記録媒体Info
- Publication number
- JP2002319938A JP2002319938A JP2001121508A JP2001121508A JP2002319938A JP 2002319938 A JP2002319938 A JP 2002319938A JP 2001121508 A JP2001121508 A JP 2001121508A JP 2001121508 A JP2001121508 A JP 2001121508A JP 2002319938 A JP2002319938 A JP 2002319938A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- identification information
- communication network
- relay
- network system
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
(57)【要約】 （修正有）
【課題】 パケット通信ネットワークのセキュリティを
強固にするためのフィルタリング処理の負荷を軽減させ
る。 【解決手段】 パケットヘッダにセキュリティクラスを
特定する識別情報を付与し、この識別情報に基づき当該
パケットに対するセキュリティ制御を行うものであり、
複数のユーザネットワーク間を接続する中継専用ネット
ワーク１Ａで、発側のエッジノード１Ｆにおいて、信頼
性の高いユーザネットワーク１Ｂ，１Ｃとのアクセスリ
ンク１Ｌ，１Ｎからのパケットに対しては高いセキュリ
ティクラスの識別情報を付与し、信頼性の低いインター
ネット１Ｄとのアクセスリンク１Ｐからのパケットに対
しては低いセキュリティクラスの識別情報を付与し、そ
して、着側のエッジノード１Ｇにおいては、高いセキュ
リティクラスの識別情報が付与されたパケットに関して
は、インターネット１Ｄ等の信頼性の低いユーザネット
ワークへの送出を行わないよう制御する。
強固にするためのフィルタリング処理の負荷を軽減させ
る。 【解決手段】 パケットヘッダにセキュリティクラスを
特定する識別情報を付与し、この識別情報に基づき当該
パケットに対するセキュリティ制御を行うものであり、
複数のユーザネットワーク間を接続する中継専用ネット
ワーク１Ａで、発側のエッジノード１Ｆにおいて、信頼
性の高いユーザネットワーク１Ｂ，１Ｃとのアクセスリ
ンク１Ｌ，１Ｎからのパケットに対しては高いセキュリ
ティクラスの識別情報を付与し、信頼性の低いインター
ネット１Ｄとのアクセスリンク１Ｐからのパケットに対
しては低いセキュリティクラスの識別情報を付与し、そ
して、着側のエッジノード１Ｇにおいては、高いセキュ
リティクラスの識別情報が付与されたパケットに関して
は、インターネット１Ｄ等の信頼性の低いユーザネット
ワークへの送出を行わないよう制御する。
Description
【０００１】
【発明の属する技術分野】本発明は、ギガビットイーサ
ネット（登録商標）を含むＬＡＮ（Local Area Networ
k）やＡＴＭ（Asynchronous Transfer Mode）網などに
おけるパケット通信技術に係わり、特に、セキュリティ
の強固な通信サービスを提供するのに好適なパケット通
信ネットワークシステムとセキュリティ制御方法および
ルーティング装置ならびにプログラムと記録媒体に関す
るものである。
ネット（登録商標）を含むＬＡＮ（Local Area Networ
k）やＡＴＭ（Asynchronous Transfer Mode）網などに
おけるパケット通信技術に係わり、特に、セキュリティ
の強固な通信サービスを提供するのに好適なパケット通
信ネットワークシステムとセキュリティ制御方法および
ルーティング装置ならびにプログラムと記録媒体に関す
るものである。
【０００２】
【従来の技術】従来のパケット通信を行うネットワーク
では、セキュリティを強固にすることを目的として、着
側のエッジノードにおいて、ユーザパケットの宛先アド
レスや送信元アドレス、および、上位アプリケーション
の情報等を検索キーとしてフィルタリング処理を行って
いた。
では、セキュリティを強固にすることを目的として、着
側のエッジノードにおいて、ユーザパケットの宛先アド
レスや送信元アドレス、および、上位アプリケーション
の情報等を検索キーとしてフィルタリング処理を行って
いた。
【０００３】このため、エッジノードが保有すべき転送
テーブルには、宛先アドレスだけでなく送信元アドレス
や上位アプリケーションの情報も検索キーとして記述す
る必要があった。このような技術はファイアウォールと
して知られている。
テーブルには、宛先アドレスだけでなく送信元アドレス
や上位アプリケーションの情報も検索キーとして記述す
る必要があった。このような技術はファイアウォールと
して知られている。
【０００４】しかし、このようなファイアウォール技術
を用いたパケット通信ネットワークでは、フィルタリン
グ処理に用いる転送テーブルが保有すべきテーブルエン
トリ数が、単なるパケット転送に用いる転送テーブルに
比べて、著しく増加する。そのために、フィルタリング
処理負荷が転送処理負荷に比べて重くなり、エッジノー
ドが本来の転送性能を発揮できなくなるという問題があ
った。
を用いたパケット通信ネットワークでは、フィルタリン
グ処理に用いる転送テーブルが保有すべきテーブルエン
トリ数が、単なるパケット転送に用いる転送テーブルに
比べて、著しく増加する。そのために、フィルタリング
処理負荷が転送処理負荷に比べて重くなり、エッジノー
ドが本来の転送性能を発揮できなくなるという問題があ
った。
【０００５】また、中継専用ネットワークでパケットが
どのようにフィルタリング処理されたかをユーザがリア
ルタイムに知ることも困難であるという問題があった。
どのようにフィルタリング処理されたかをユーザがリア
ルタイムに知ることも困難であるという問題があった。
【０００６】
【発明が解決しようとする課題】解決しようとする問題
点は、従来の技術では、パケット通信ネットワークのセ
キュリティを強固にするためのフィルタリング処理の負
荷が重く、エッジノードでの転送性能が低下してしまう
点である。
点は、従来の技術では、パケット通信ネットワークのセ
キュリティを強固にするためのフィルタリング処理の負
荷が重く、エッジノードでの転送性能が低下してしまう
点である。
【０００７】本発明の目的は、これら従来技術の課題を
解決しパケット通信ネットワークの信頼性および性能を
向上させることが可能なパケット通信ネットワークシス
テムとセキュリティ制御方法およびルーティング装置な
らびにプログラムと記録媒体を提供することである。
解決しパケット通信ネットワークの信頼性および性能を
向上させることが可能なパケット通信ネットワークシス
テムとセキュリティ制御方法およびルーティング装置な
らびにプログラムと記録媒体を提供することである。
【０００８】
【課題を解決するための手段】上記目的を達成するた
め、本発明のパケット通信ネットワークシステムとセキ
ュリティ制御方法およびルーティング装置は、パケット
通信を行うネットワークにおいて、パケットヘッダに当
該パケットのセキュリティクラスを特定する識別情報を
付与し、この識別情報に基づき当該パケットに対するセ
キュリティ制御を行うことを特徴とする。例えば、複数
のネットワーク（ユーザネットワーク）間を接続してパ
ケットの中継処理を行う中継専用ネットワークにおい
て、ＬＡＮ（Local Area Network）等の信頼性の高いユ
ーザネットワークとのアクセスリンクからのパケットに
対しては高いセキュリティクラスの識別情報を付与し、
インターネット等の信頼性の低いユーザネットワークと
のアクセスリンクからのパケットに対しては低いセキュ
リティクラスの識別情報を付与し、そして、このように
低いセキュリティクラスの識別情報が付与されたパケッ
トに関しては、高いセキュリティクラスのユーザネット
ワークへ送出されないように制御することを特徴とす
る。
め、本発明のパケット通信ネットワークシステムとセキ
ュリティ制御方法およびルーティング装置は、パケット
通信を行うネットワークにおいて、パケットヘッダに当
該パケットのセキュリティクラスを特定する識別情報を
付与し、この識別情報に基づき当該パケットに対するセ
キュリティ制御を行うことを特徴とする。例えば、複数
のネットワーク（ユーザネットワーク）間を接続してパ
ケットの中継処理を行う中継専用ネットワークにおい
て、ＬＡＮ（Local Area Network）等の信頼性の高いユ
ーザネットワークとのアクセスリンクからのパケットに
対しては高いセキュリティクラスの識別情報を付与し、
インターネット等の信頼性の低いユーザネットワークと
のアクセスリンクからのパケットに対しては低いセキュ
リティクラスの識別情報を付与し、そして、このように
低いセキュリティクラスの識別情報が付与されたパケッ
トに関しては、高いセキュリティクラスのユーザネット
ワークへ送出されないように制御することを特徴とす
る。
【０００９】
【発明の実施の形態】以下、本発明の実施の形態を、図
面により詳細に説明する。図１は、本発明に係るパケッ
ト通信ネットワークシステムを設けたパケット通信ネッ
トワークの構成例を示すブロック図であり、図２は、図
１のパケット通信ネットワークシステムにおけるパケッ
トの構成例を示す説明図、図３は、図１のパケット通信
ネットワークシステムにおけるエッジノードの発側機能
の構成例を示すブロック図、図４は、図１のパケット通
信ネットワークシステムにおけるエッジノードの着側機
能の構成例を示すブロック図、そして、図５は、図１の
パケット通信ネットワークシステムにおけるエッジノー
ドのハードウェア構成例を示すブロック図である。
面により詳細に説明する。図１は、本発明に係るパケッ
ト通信ネットワークシステムを設けたパケット通信ネッ
トワークの構成例を示すブロック図であり、図２は、図
１のパケット通信ネットワークシステムにおけるパケッ
トの構成例を示す説明図、図３は、図１のパケット通信
ネットワークシステムにおけるエッジノードの発側機能
の構成例を示すブロック図、図４は、図１のパケット通
信ネットワークシステムにおけるエッジノードの着側機
能の構成例を示すブロック図、そして、図５は、図１の
パケット通信ネットワークシステムにおけるエッジノー
ドのハードウェア構成例を示すブロック図である。
【００１０】図５において、５１はＣＲＴ（Cathode Ra
y Tube）やＬＣＤ(Liquid CrystalDisplay)等からなる
表示装置、５２はキーボードやマウス等からなる入力装
置、５３はＨＤＤ（Hard Disk Drive）等からなる外部
記憶装置、５４はＣＰＵ（Central Processing Unit）
５４ａや主メモリ５４ｂおよび入出力インタフェース５
４ｃ等を具備してコンピュータ処理を行なう情報処理装
置、５５は本発明に係わるプログラムやデータを記録し
たＣＤ−ＲＯＭ（Compact Disc-Read Only Memory）も
しくはＤＶＤ（Digital Video Disc/Digital Versatile
Disc）等からなる光ディスク、５６は光ディスク５５
に記録されたプログラムおよびデータを読み出すための
駆動装置、５７はＬＡＮ（Local Area Network）カード
やモデム等からなる通信装置である。
y Tube）やＬＣＤ(Liquid CrystalDisplay)等からなる
表示装置、５２はキーボードやマウス等からなる入力装
置、５３はＨＤＤ（Hard Disk Drive）等からなる外部
記憶装置、５４はＣＰＵ（Central Processing Unit）
５４ａや主メモリ５４ｂおよび入出力インタフェース５
４ｃ等を具備してコンピュータ処理を行なう情報処理装
置、５５は本発明に係わるプログラムやデータを記録し
たＣＤ−ＲＯＭ（Compact Disc-Read Only Memory）も
しくはＤＶＤ（Digital Video Disc/Digital Versatile
Disc）等からなる光ディスク、５６は光ディスク５５
に記録されたプログラムおよびデータを読み出すための
駆動装置、５７はＬＡＮ（Local Area Network）カード
やモデム等からなる通信装置である。
【００１１】光ディスク５５に格納されたプログラムお
よびデータを情報処理装置５４により駆動装置５６を介
して外部記憶装置５３内にインストールした後、外部記
憶装置５３から主メモリ５４ｂに読み込みＣＰＵ５４ａ
で処理することにより、情報処理装置５４内に、図３お
よび図４に示す、本発明のルーティング装置としてのエ
ッジノードの各機能が構成される。
よびデータを情報処理装置５４により駆動装置５６を介
して外部記憶装置５３内にインストールした後、外部記
憶装置５３から主メモリ５４ｂに読み込みＣＰＵ５４ａ
で処理することにより、情報処理装置５４内に、図３お
よび図４に示す、本発明のルーティング装置としてのエ
ッジノードの各機能が構成される。
【００１２】図１におけるパケット通信ネットワークシ
ステムは、３つのユーザパケット転送ネットワーク１
Ｂ，１Ｃ，１Ｅと１つのインターネット１Ｄを中継専用
パケット転送ネットワーク１Ａで接続した構成となって
いる。
ステムは、３つのユーザパケット転送ネットワーク１
Ｂ，１Ｃ，１Ｅと１つのインターネット１Ｄを中継専用
パケット転送ネットワーク１Ａで接続した構成となって
いる。
【００１３】ここで、ユーザパケット転送ネットワーク
１Ｅにはサーバ１Ｑが接続され、また、ユーザパケット
転送ネットワーク１Ｂにはクライアント１Ｋが接続さ
れ、ユーザパケット転送ネットワーク１Ｃにはクライア
ント１Ｍが接続され、そして、インターネット１Ｄには
クライアント１Ｏが接続されている。
１Ｅにはサーバ１Ｑが接続され、また、ユーザパケット
転送ネットワーク１Ｂにはクライアント１Ｋが接続さ
れ、ユーザパケット転送ネットワーク１Ｃにはクライア
ント１Ｍが接続され、そして、インターネット１Ｄには
クライアント１Ｏが接続されている。
【００１４】また、中継専用パケット転送ネットワーク
１Ａは、２つのエッジノード１Ｆ，１Ｇおよび１つのコ
アノード１Ｈで構成されており、コアノード１Ｈとエッ
ジノード１Ｆはコアリンク１Ｉで接続されており、コア
ノード１Ｈとエッジノード１Ｇはコアリンク１Ｊで接続
されている。
１Ａは、２つのエッジノード１Ｆ，１Ｇおよび１つのコ
アノード１Ｈで構成されており、コアノード１Ｈとエッ
ジノード１Ｆはコアリンク１Ｉで接続されており、コア
ノード１Ｈとエッジノード１Ｇはコアリンク１Ｊで接続
されている。
【００１５】さらに、ユーザパケット転送ネットワーク
１Ｂ内のクライアント１Ｋは、中継専用パケット転送ネ
ットワーク１Ａのエッジノード１Ｆとアクセスリンク１
Ｌで接続されており、ユーザパケット転送ネットワーク
１Ｃ内のクライアント１Ｍは、中継専用パケット転送ネ
ットワーク１Ａのエッジノード１Ｆとアクセスリンク１
Ｎで接続されており、インターネット１Ｄ内のクライア
ント１Ｏは、中継専用パケット転送ネットワーク１Ａの
エッジノード１Ｆとアクセスリンク１Ｐで接続されてお
り、ユーザパケット転送ネットワーク１Ｅ内のサーバ１
Ｑは、中継専用パケット転送ネットワーク１Ａのエッジ
ノード１Ｇと２本のアクセスリンク１Ｒ，１Ｓで接続さ
れている。
１Ｂ内のクライアント１Ｋは、中継専用パケット転送ネ
ットワーク１Ａのエッジノード１Ｆとアクセスリンク１
Ｌで接続されており、ユーザパケット転送ネットワーク
１Ｃ内のクライアント１Ｍは、中継専用パケット転送ネ
ットワーク１Ａのエッジノード１Ｆとアクセスリンク１
Ｎで接続されており、インターネット１Ｄ内のクライア
ント１Ｏは、中継専用パケット転送ネットワーク１Ａの
エッジノード１Ｆとアクセスリンク１Ｐで接続されてお
り、ユーザパケット転送ネットワーク１Ｅ内のサーバ１
Ｑは、中継専用パケット転送ネットワーク１Ａのエッジ
ノード１Ｇと２本のアクセスリンク１Ｒ，１Ｓで接続さ
れている。
【００１６】各リンクの識別子として、コアリンク１Ｉ
にはＬｉｎｋ＃Ａが割り当てられ、同様に、コアリンク
１ＪにはＬｉｎｋ＃Ｂが、アクセスリンク１ＬにはＬｉ
ｎｋ＃１が、アクセスリンク１ＮにはＬｉｎｋ＃２が、
アクセスリンク１ＰにはＬｉｎｋ＃３が、アクセスリン
ク１ＲにはＬｉｎｋ＃４−１が、そして、アクセスリン
ク１ＳにはＬｉｎｋ＃４−２が割り当てられている。
にはＬｉｎｋ＃Ａが割り当てられ、同様に、コアリンク
１ＪにはＬｉｎｋ＃Ｂが、アクセスリンク１ＬにはＬｉ
ｎｋ＃１が、アクセスリンク１ＮにはＬｉｎｋ＃２が、
アクセスリンク１ＰにはＬｉｎｋ＃３が、アクセスリン
ク１ＲにはＬｉｎｋ＃４−１が、そして、アクセスリン
ク１ＳにはＬｉｎｋ＃４−２が割り当てられている。
【００１７】また、中継専用パケット転送ネットワーク
１Ａのノード識別子（アドレス）として、エッジノード
１ＦにはＣｏｒｅ＃Ａが、エッジノード１ＧにはＣｏｒ
ｅ＃Ｂがそれぞれ割り当てられている。
１Ａのノード識別子（アドレス）として、エッジノード
１ＦにはＣｏｒｅ＃Ａが、エッジノード１ＧにはＣｏｒ
ｅ＃Ｂがそれぞれ割り当てられている。
【００１８】さらに、ユーザパケット転送ネットワーク
１Ｂ，１Ｃ，１Ｅおよびインターネット１Ｄのノード識
別子（アドレス）として、クライアント１ＫにはＩＰ＃
１が、クライアント１ＭにはＩＰ＃２が、クライアント
１ＯにはＩＰ＃３が、サーバ１ＱにはＩＰ＃４がそれぞ
れ割り当てられている。
１Ｂ，１Ｃ，１Ｅおよびインターネット１Ｄのノード識
別子（アドレス）として、クライアント１ＫにはＩＰ＃
１が、クライアント１ＭにはＩＰ＃２が、クライアント
１ＯにはＩＰ＃３が、サーバ１ＱにはＩＰ＃４がそれぞ
れ割り当てられている。
【００１９】以上の各ネットワークのリンクの設定や識
別子の割り当てなどは、後の図２の説明において述べる
「セキュリティクラス」と共に、各ユーザ（ユーザパケ
ット転送ネットワーク１Ｂ，・・・）側との、中継専用
パケット転送ネットワーク１Ａによる中継転送サービス
の利用契約時等に決定される。
別子の割り当てなどは、後の図２の説明において述べる
「セキュリティクラス」と共に、各ユーザ（ユーザパケ
ット転送ネットワーク１Ｂ，・・・）側との、中継専用
パケット転送ネットワーク１Ａによる中継転送サービス
の利用契約時等に決定される。
【００２０】以下、このような構成のネットワークにお
いて、各クライアント１Ｋ〜１Ｏがサーバ１Ｑ宛にユー
ザパケットを送信する場合についてのセキュリティ処理
について検討する。
いて、各クライアント１Ｋ〜１Ｏがサーバ１Ｑ宛にユー
ザパケットを送信する場合についてのセキュリティ処理
について検討する。
【００２１】この際、ユーザパケット転送ネットワーク
１Ｂ，１Ｃおよびインターネット１Ｄから送信されるユ
ーザパケットは、パケットフォーマット１Ｔに従った構
成になっている。このユーザパケットは、発側エッジノ
ード１Ｆにおいて内部ＩＰヘッダが付加されてフォーマ
ット変換され、中継専用パケット転送ネットワーク１Ａ
内においては、内部ＩＰパケットが、パケットフォーマ
ット１Ｕに従った構成になっている。
１Ｂ，１Ｃおよびインターネット１Ｄから送信されるユ
ーザパケットは、パケットフォーマット１Ｔに従った構
成になっている。このユーザパケットは、発側エッジノ
ード１Ｆにおいて内部ＩＰヘッダが付加されてフォーマ
ット変換され、中継専用パケット転送ネットワーク１Ａ
内においては、内部ＩＰパケットが、パケットフォーマ
ット１Ｕに従った構成になっている。
【００２２】そして、この内部ＩＰパケットは、着側エ
ッジノード１Ｇにおいて、内部ＩＰヘッダが除去されて
フォーマット変換され、ユーザパケット転送ネットワー
ク１Ｅ内においては、ユーザパケットは、パケットフォ
ーマット１Ｖに従った構成になっている。
ッジノード１Ｇにおいて、内部ＩＰヘッダが除去されて
フォーマット変換され、ユーザパケット転送ネットワー
ク１Ｅ内においては、ユーザパケットは、パケットフォ
ーマット１Ｖに従った構成になっている。
【００２３】中継専用パケット転送ネットワーク１Ａ内
においては、内部パケットは、パケットフォーマット１
Ｕに従った構成になっているが、内部ＩＰヘッダの部分
は、具体的には図２に示すヘッダフォーマットのような
構成である。
においては、内部パケットは、パケットフォーマット１
Ｕに従った構成になっているが、内部ＩＰヘッダの部分
は、具体的には図２に示すヘッダフォーマットのような
構成である。
【００２４】この図２に示すヘッダフォーマットは、Ｉ
ＥＴＦ（Internet Engineering Task Force）で規定さ
れるＲＦＣ２４６０（Request For Comment２４６０）
を修正した形になっており、ヘッダフォーマットのバー
ジョンを示すＶｅｒｓｉｏｎフィールド２Ａ、内部ＩＰ
パケットの品質クラスを示すＴｒａｆｆｉｃ Ｃｌａｓ
ｓフィールド２Ｂ、内部ＩＰパケットのセキュリティク
ラスを示すＳｅｃｕｒｉｔｙ Ｃｌａｓｓフィールド２
Ｃ、内部ＩＰパケットのペイロードの長さを示すＰａｙ
ｌｏａｄ Ｌｅｎｇｈｔフィールド２Ｄ、内部ＩＰパケ
ットのペイロード種別あるいはヘッダの拡張機能の種別
を示すＮｅｘｔ Ｈｅａｄｅｒフィールド２Ｅ、内部Ｉ
Ｐパケットが許容する転送ホップ数を示すＨｏｐ Ｌｉ
ｍｉｔフィールド２Ｆ、内部ＩＰパケットの発側エッジ
ノードを示すＳｏｕｒｃｅ Ａｄｄｒｅｓｓフィールド
２Ｇ、内部ＩＰパケットの着側エッジノードを示すＤｅ
ｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓフィールド２Ｈで
構成される。
ＥＴＦ（Internet Engineering Task Force）で規定さ
れるＲＦＣ２４６０（Request For Comment２４６０）
を修正した形になっており、ヘッダフォーマットのバー
ジョンを示すＶｅｒｓｉｏｎフィールド２Ａ、内部ＩＰ
パケットの品質クラスを示すＴｒａｆｆｉｃ Ｃｌａｓ
ｓフィールド２Ｂ、内部ＩＰパケットのセキュリティク
ラスを示すＳｅｃｕｒｉｔｙ Ｃｌａｓｓフィールド２
Ｃ、内部ＩＰパケットのペイロードの長さを示すＰａｙ
ｌｏａｄ Ｌｅｎｇｈｔフィールド２Ｄ、内部ＩＰパケ
ットのペイロード種別あるいはヘッダの拡張機能の種別
を示すＮｅｘｔ Ｈｅａｄｅｒフィールド２Ｅ、内部Ｉ
Ｐパケットが許容する転送ホップ数を示すＨｏｐ Ｌｉ
ｍｉｔフィールド２Ｆ、内部ＩＰパケットの発側エッジ
ノードを示すＳｏｕｒｃｅ Ａｄｄｒｅｓｓフィールド
２Ｇ、内部ＩＰパケットの着側エッジノードを示すＤｅ
ｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓフィールド２Ｈで
構成される。
【００２５】ここで、ＲＦＣ２４６０と異なる点は、内
部ＩＰパケットのセキュリティクラスを示すＳｅｃｕｒ
ｉｔｙ Ｃｌａｓｓフィールド２Ｃの部分であり、これ
が本実施例における重要なポイントとなっている。
部ＩＰパケットのセキュリティクラスを示すＳｅｃｕｒ
ｉｔｙ Ｃｌａｓｓフィールド２Ｃの部分であり、これ
が本実施例における重要なポイントとなっている。
【００２６】なお、本例では，内部ＩＰパケットのヘッ
ダ内にセキュリティクラスの識別情報を示すことがポイ
ントであるため、必ずしも、図２に示すフォーマット例
に限定してＳｅｃｕｒｉｔｙ Ｃｌａｓｓフィールド２
Ｃを定義しなければならないわけではない。
ダ内にセキュリティクラスの識別情報を示すことがポイ
ントであるため、必ずしも、図２に示すフォーマット例
に限定してＳｅｃｕｒｉｔｙ Ｃｌａｓｓフィールド２
Ｃを定義しなければならないわけではない。
【００２７】例えば、Ｓｅｃｕｒｉｔｙ Ｃｌａｓｓフ
ィールド２Ｃに割り当てている一部のフィールドのみ
を、セキュリティクラスを示すためのフィールドと定義
しても良い。また、他のフィールドの一部、例えば、発
側エッジノードを示すＳｏｕｒｃｅ Ａｄｄｒｅｓｓフ
ィールド２Ｇや着側エッジノードを示すＤｅｓｔｉｎａ
ｔｉｏｎ Ａｄｄｒｅｓｓフィールド２Ｈの一部をセキ
ュリティクラスを示すためのフィールドと定義しても良
い。
ィールド２Ｃに割り当てている一部のフィールドのみ
を、セキュリティクラスを示すためのフィールドと定義
しても良い。また、他のフィールドの一部、例えば、発
側エッジノードを示すＳｏｕｒｃｅ Ａｄｄｒｅｓｓフ
ィールド２Ｇや着側エッジノードを示すＤｅｓｔｉｎａ
ｔｉｏｎ Ａｄｄｒｅｓｓフィールド２Ｈの一部をセキ
ュリティクラスを示すためのフィールドと定義しても良
い。
【００２８】このような構成において、ユーザパケット
転送ネットワーク１Ｂ，１Ｃおよびインターネット１Ｄ
から中継専用パケット転送ネットワーク１Ａへ転送され
てくるユーザＩＰパケットを、発側エッジノード１Ｆに
おいて内部ＩＰヘッダを付加してフォーマット変換する
ために、発側エッジノード１Ｆは、図３に示すような機
能を装備する。
転送ネットワーク１Ｂ，１Ｃおよびインターネット１Ｄ
から中継専用パケット転送ネットワーク１Ａへ転送され
てくるユーザＩＰパケットを、発側エッジノード１Ｆに
おいて内部ＩＰヘッダを付加してフォーマット変換する
ために、発側エッジノード１Ｆは、図３に示すような機
能を装備する。
【００２９】図３で示される発側エッジノード１Ｆは、
セキュリティクラス識別部３Ａ、および、転送部３Ｂで
構成され、また、装置外のノードと、アクセスリンク１
Ｌ，１Ｎ，１Ｐおよびコアリンク１Ｉで接続されてい
る。
セキュリティクラス識別部３Ａ、および、転送部３Ｂで
構成され、また、装置外のノードと、アクセスリンク１
Ｌ，１Ｎ，１Ｐおよびコアリンク１Ｉで接続されてい
る。
【００３０】アクセスリンク１Ｌ，１Ｎ，１Ｐから入力
されたユーザＩＰパケットは、セキュリティクラス識別
部３Ａに送られ、セキュリティクラス識別部３Ａは、セ
キュリティクラス識別テーブル３Ｃを保有しており、こ
れを用いて、入力アクセスリンクからセキュリティクラ
スを特定する。すなわち、セキュリティクラス識別部３
Ａは、送信元（本例ではアクセスリンク）を判別し、対
応するセキュリティクラスを、セキュリティクラス識別
テーブル３Ｃを参照して特定する。そして、セキュリテ
ィクラス識別部３Ａにおいて、セキュリティクラスが特
定されたユーザＩＰパケットは、セキュリティクラス属
性が付加され、転送部３Ｂへ送られる。
されたユーザＩＰパケットは、セキュリティクラス識別
部３Ａに送られ、セキュリティクラス識別部３Ａは、セ
キュリティクラス識別テーブル３Ｃを保有しており、こ
れを用いて、入力アクセスリンクからセキュリティクラ
スを特定する。すなわち、セキュリティクラス識別部３
Ａは、送信元（本例ではアクセスリンク）を判別し、対
応するセキュリティクラスを、セキュリティクラス識別
テーブル３Ｃを参照して特定する。そして、セキュリテ
ィクラス識別部３Ａにおいて、セキュリティクラスが特
定されたユーザＩＰパケットは、セキュリティクラス属
性が付加され、転送部３Ｂへ送られる。
【００３１】転送部３Ｂは、転送テーブル３Ｄを保有し
ており、これを用いて、ユーザパケットの宛先ユーザＩ
Ｐアドレスから宛先内部ＩＰアドレスおよび出力コアリ
ンクを特定する。また、この情報を基に、内部ＩＰヘッ
ダを生成し、これに先に特定したセキュリティクラス属
性等も記述した後、ユーザＩＰパケットに付加して内部
パケットを生成する。そして、このように、生成した内
部パケットを、特定された出力コアリンクから出力す
る。
ており、これを用いて、ユーザパケットの宛先ユーザＩ
Ｐアドレスから宛先内部ＩＰアドレスおよび出力コアリ
ンクを特定する。また、この情報を基に、内部ＩＰヘッ
ダを生成し、これに先に特定したセキュリティクラス属
性等も記述した後、ユーザＩＰパケットに付加して内部
パケットを生成する。そして、このように、生成した内
部パケットを、特定された出力コアリンクから出力す
る。
【００３２】一方、中継専用パケット転送ネットワーク
１Ａから、ユーザパケット転送ネットワーク１Ｅへ転送
されてくる内部ＩＰパケットに対して、着側エッジノー
ド１Ｇにおいて、内部ＩＰヘッダを除去してフォーマッ
ト変換するために、着側エッジノード１Ｇは、図４に示
すような機能を有する。
１Ａから、ユーザパケット転送ネットワーク１Ｅへ転送
されてくる内部ＩＰパケットに対して、着側エッジノー
ド１Ｇにおいて、内部ＩＰヘッダを除去してフォーマッ
ト変換するために、着側エッジノード１Ｇは、図４に示
すような機能を有する。
【００３３】図４に示すように、着側エッジノード１Ｇ
は、転送部４Ｂ、および、セキュリティクラス識別部４
Ａで構成され、また、着側エッジノード１Ｇは、装置外
のノードと、コアリンク１Ｊおよびアクセスリンク１
Ｒ，１Ｓで接続されている。
は、転送部４Ｂ、および、セキュリティクラス識別部４
Ａで構成され、また、着側エッジノード１Ｇは、装置外
のノードと、コアリンク１Ｊおよびアクセスリンク１
Ｒ，１Ｓで接続されている。
【００３４】コアリンク１Ｊから入力されたユーザＩＰ
パケットは転送部４Ｂに送られる。転送部４Ｂは、転送
テーブル４Ｄを保有しており、これを用いて、ユーザＩ
Ｐパケットの宛先ユーザＩＰアドレスから出力アクセス
リンクのグループを特定する。そして、出力アクセスリ
ンクのグループを識別したユーザＩＰパケットを、セキ
ュリティクラス属性とともに、セキュリティクラス識別
部４Ａへ送出する。
パケットは転送部４Ｂに送られる。転送部４Ｂは、転送
テーブル４Ｄを保有しており、これを用いて、ユーザＩ
Ｐパケットの宛先ユーザＩＰアドレスから出力アクセス
リンクのグループを特定する。そして、出力アクセスリ
ンクのグループを識別したユーザＩＰパケットを、セキ
ュリティクラス属性とともに、セキュリティクラス識別
部４Ａへ送出する。
【００３５】転送部４ＢからのユーザＩＰパケットを受
信したセキュリティクラス識別部４Ａは、セキュリティ
クラス識別テーブル４Ｃを保有しており、これを用い
て、セキュリティクラスから出力アクセスリンクを特定
する。この場合、テーブルエントリの内容によっては、
出力アクセスリンクを特定するのではなく、パケット廃
棄を指示する場合もある。
信したセキュリティクラス識別部４Ａは、セキュリティ
クラス識別テーブル４Ｃを保有しており、これを用い
て、セキュリティクラスから出力アクセスリンクを特定
する。この場合、テーブルエントリの内容によっては、
出力アクセスリンクを特定するのではなく、パケット廃
棄を指示する場合もある。
【００３６】以上のようにして、本例のパケット通信ネ
ットワークシステムでは、発側エッジノード１Ｆにおい
て、セキュリティ識別テーブル３Ｃにより、各ユーザパ
ケット転送ネットワークおよびインターネットのセキュ
リティクラスを決定する。本例では、ユーザパケット転
送ネットワーク１ＢがセキュリティクラスＳＣ＃１に、
ユーザパケット転送ネットワーク１Ｃがセキュリティク
ラスＳＣ＃２に、そして、インターネット１Ｄがセキュ
リティクラスＳＣ＃３に、それぞれ割り当てられてい
る。
ットワークシステムでは、発側エッジノード１Ｆにおい
て、セキュリティ識別テーブル３Ｃにより、各ユーザパ
ケット転送ネットワークおよびインターネットのセキュ
リティクラスを決定する。本例では、ユーザパケット転
送ネットワーク１ＢがセキュリティクラスＳＣ＃１に、
ユーザパケット転送ネットワーク１Ｃがセキュリティク
ラスＳＣ＃２に、そして、インターネット１Ｄがセキュ
リティクラスＳＣ＃３に、それぞれ割り当てられてい
る。
【００３７】また、着側エッジノード１Ｇにおいて、セ
キュリティクラス識別部４Ａにより、セキュリティ識別
テーブル４Ｃに基づき、実行すべきセキュリティ処理を
セキュリティクラス毎に決定する。本例では、セキュリ
ティクラスＳＣ＃１のユーザパケットをアクセスリンク
Ｌｉｎｋ＃４−１へ、また、セキュリティクラスＳＣ＃
２のユーザパケットをアクセスリンクＬｉｎｋ＃４−２
へそれぞれ出力するように規定されており、そして、セ
キュリティクラスＳＣ＃３のユーザパケットは廃棄する
ように規定されている。
キュリティクラス識別部４Ａにより、セキュリティ識別
テーブル４Ｃに基づき、実行すべきセキュリティ処理を
セキュリティクラス毎に決定する。本例では、セキュリ
ティクラスＳＣ＃１のユーザパケットをアクセスリンク
Ｌｉｎｋ＃４−１へ、また、セキュリティクラスＳＣ＃
２のユーザパケットをアクセスリンクＬｉｎｋ＃４−２
へそれぞれ出力するように規定されており、そして、セ
キュリティクラスＳＣ＃３のユーザパケットは廃棄する
ように規定されている。
【００３８】これにより、サーバ１Ｑへの、不特定のユ
ーザを収容するインターネットからのアクセスを遮断す
るといったことが可能となる。
ーザを収容するインターネットからのアクセスを遮断す
るといったことが可能となる。
【００３９】また、特定のユーザパケット転送ネットワ
ークについても、ネットワーク毎にセキュリティがクラ
ス分けされているために、信頼性の高いセキュリティク
ラスＳＣ＃１のユーザＩＰパケットについては、サーバ
１Ｑにおいて認証処理を行うことなくサービスを提供
し、また、信頼性が中程度のセキュリティクラスＳＣ＃
２のユーザＩＰパケットについては、サーバ１Ｑにおい
て認証処理を行った結果でサービス提供の有無を判断す
るといったことが可能となる。
ークについても、ネットワーク毎にセキュリティがクラ
ス分けされているために、信頼性の高いセキュリティク
ラスＳＣ＃１のユーザＩＰパケットについては、サーバ
１Ｑにおいて認証処理を行うことなくサービスを提供
し、また、信頼性が中程度のセキュリティクラスＳＣ＃
２のユーザＩＰパケットについては、サーバ１Ｑにおい
て認証処理を行った結果でサービス提供の有無を判断す
るといったことが可能となる。
【００４０】この結果、セキュリティ処理を高速に行う
だけでなく、ユーザ毎に、異なるセキュリティサービス
を提供するといったことが可能となり、本例によれば、
エンドユーザ間での転送性能を劣化させることなく、強
固なセキュリティ処理を施すことが可能となる。
だけでなく、ユーザ毎に、異なるセキュリティサービス
を提供するといったことが可能となり、本例によれば、
エンドユーザ間での転送性能を劣化させることなく、強
固なセキュリティ処理を施すことが可能となる。
【００４１】また、エンドユーザ自身が、受信アクセス
リンクを使い分けて、各受信パケット毎に適切なセキュ
リティ処理を施すことで、ユーザ毎に、異なるセキュリ
ティサービスを提供するといったことが可能となる。
リンクを使い分けて、各受信パケット毎に適切なセキュ
リティ処理を施すことで、ユーザ毎に、異なるセキュリ
ティサービスを提供するといったことが可能となる。
【００４２】図６は、図１におけるパケット通信ネット
ワークシステムの本発明に係わる処理動作例を示すフロ
ーチャートである。
ワークシステムの本発明に係わる処理動作例を示すフロ
ーチャートである。
【００４３】図１における中継専用パケット転送ネット
ワーク１Ａでは、発側のエッジノード１Ｆにおいて、中
継元のネットワーク（１Ｂ，１Ｃ，１Ｄ）のアクセスリ
ンク（１Ｌ，１Ｎ，１Ｐ）から入力されたパケット（１
Ｔ）に中継用パケットヘッダ（内部ＩＰヘッダ）を付与
してカプセル化する（ステップ６０１）と共に、この中
継用パケットヘッダに、予め当該アクセスリンク（１
Ｌ，１Ｎ，１Ｐ）に対してテーブル（図３におけるセキ
ュリティクラス識別テーブル３Ｃ）に設定されたセキュ
リティクラスの識別情報（ＳＣ＃１，ＳＣ＃２，ＳＣ＃
３，・・・）を読み出して付与する（ステップ６０
２）。
ワーク１Ａでは、発側のエッジノード１Ｆにおいて、中
継元のネットワーク（１Ｂ，１Ｃ，１Ｄ）のアクセスリ
ンク（１Ｌ，１Ｎ，１Ｐ）から入力されたパケット（１
Ｔ）に中継用パケットヘッダ（内部ＩＰヘッダ）を付与
してカプセル化する（ステップ６０１）と共に、この中
継用パケットヘッダに、予め当該アクセスリンク（１
Ｌ，１Ｎ，１Ｐ）に対してテーブル（図３におけるセキ
ュリティクラス識別テーブル３Ｃ）に設定されたセキュ
リティクラスの識別情報（ＳＣ＃１，ＳＣ＃２，ＳＣ＃
３，・・・）を読み出して付与する（ステップ６０
２）。
【００４４】そして、中継用パケットヘッダに識別情報
を付与した中継用パケットを、コアリンク１Ｉ、コアノ
ード１Ｈ、コアリンク１Ｊを介して、着側のエッジノー
ド１Ｇまでルーティング処理する（ステップ６０３）。
を付与した中継用パケットを、コアリンク１Ｉ、コアノ
ード１Ｈ、コアリンク１Ｊを介して、着側のエッジノー
ド１Ｇまでルーティング処理する（ステップ６０３）。
【００４５】着側のエッジノード１Ｇでは、ルーティン
グされてきた中継用パケットヘッダ（内部ＩＰヘッダ）
に付与された識別情報（ＳＣ＃１，ＳＣ＃２，ＳＣ＃
３，・・・）を判別し（ステップ６０４）、判別した識
別情報に対応して予めテーブル（図４におけるセキュリ
ティクラス識別テーブル４Ｃ）に設定された中継先のネ
ットワークのアクセスリンク情報（Ｌｉｎｋ＃４−１，
Ｌｉｎｋ＃４−２，・・・）を読み出し（ステップ６０
５）、当該アクセスリンクを特定できれば（ステップ６
０６）、特定したアクセスリンクに当該パケットを送出
する（ステップ６０７）。
グされてきた中継用パケットヘッダ（内部ＩＰヘッダ）
に付与された識別情報（ＳＣ＃１，ＳＣ＃２，ＳＣ＃
３，・・・）を判別し（ステップ６０４）、判別した識
別情報に対応して予めテーブル（図４におけるセキュリ
ティクラス識別テーブル４Ｃ）に設定された中継先のネ
ットワークのアクセスリンク情報（Ｌｉｎｋ＃４−１，
Ｌｉｎｋ＃４−２，・・・）を読み出し（ステップ６０
５）、当該アクセスリンクを特定できれば（ステップ６
０６）、特定したアクセスリンクに当該パケットを送出
する（ステップ６０７）。
【００４６】また、図４におけるセキュリティクラス識
別テーブル４Ｃにおいて、セキュリティクラスＳＣ＃３
に対して「廃棄」として対応付けられているように、ス
テップ６０６において、判別した識別情報に対応する中
継先のネットワークのアクセスリンク情報がテーブル設
定されていなければ、当該パケットを廃棄する（ステッ
プ６０８）。
別テーブル４Ｃにおいて、セキュリティクラスＳＣ＃３
に対して「廃棄」として対応付けられているように、ス
テップ６０６において、判別した識別情報に対応する中
継先のネットワークのアクセスリンク情報がテーブル設
定されていなければ、当該パケットを廃棄する（ステッ
プ６０８）。
【００４７】以上、図１〜図６を用いて説明したよう
に、本例のパケット通信ネットワークシステムとセキュ
リティ制御方法では、ユーザデータをカプセル化するた
めに使用されるパケットヘッダにセキュリティクラスの
識別情報を記述し、さらに、複数のユーザネットワーク
間を中継する専用のパケット転送ネットワークとして構
成し、各ユーザネットワーク間において、ユーザパケッ
トを中継専用パケットにカプセル化して転送する。
に、本例のパケット通信ネットワークシステムとセキュ
リティ制御方法では、ユーザデータをカプセル化するた
めに使用されるパケットヘッダにセキュリティクラスの
識別情報を記述し、さらに、複数のユーザネットワーク
間を中継する専用のパケット転送ネットワークとして構
成し、各ユーザネットワーク間において、ユーザパケッ
トを中継専用パケットにカプセル化して転送する。
【００４８】そして、この中継転送する際、ユーザネッ
トワークと中継専用パケット転送ネットワークを接続す
るエッジノード（ルーティング装置）において、ユーザ
ネットワークから中継専用パケット転送ネットワークへ
のユーザパケットの入力時には、ユーザネットワークを
収容するアクセスリンクに応じて、中継専用パケットの
セキュリティクラスを決定し、中継専用パケットのヘッ
ダに付与して中継専用パケット転送ネットワーク内で転
送すると共に、中継専用パケット転送ネットワークから
ユーザネットワークへの出力時には、中継専用パケット
のセキュリティクラスに応じて、ユーザネットワークを
収容するアクセスリンクを決定して出力、あるいは該当
する中継専用パケットを廃棄する。
トワークと中継専用パケット転送ネットワークを接続す
るエッジノード（ルーティング装置）において、ユーザ
ネットワークから中継専用パケット転送ネットワークへ
のユーザパケットの入力時には、ユーザネットワークを
収容するアクセスリンクに応じて、中継専用パケットの
セキュリティクラスを決定し、中継専用パケットのヘッ
ダに付与して中継専用パケット転送ネットワーク内で転
送すると共に、中継専用パケット転送ネットワークから
ユーザネットワークへの出力時には、中継専用パケット
のセキュリティクラスに応じて、ユーザネットワークを
収容するアクセスリンクを決定して出力、あるいは該当
する中継専用パケットを廃棄する。
【００４９】このように、本例では、パケット通信ネッ
トワークにおいて、ユーザデータをカプセル化するため
に使用するパケットヘッダにセキュリティクラスの識別
情報を記述することで、宛先アドレス、送信元アドレ
ス、上位アプリケーションの情報等の多数の情報をセキ
ュリティクラスに集約させることが可能となり、フィル
タリング処理を、このセキュリティクラスを基に行うこ
とで、転送性能の劣化を最小限に抑制することが可能と
なる。
トワークにおいて、ユーザデータをカプセル化するため
に使用するパケットヘッダにセキュリティクラスの識別
情報を記述することで、宛先アドレス、送信元アドレ
ス、上位アプリケーションの情報等の多数の情報をセキ
ュリティクラスに集約させることが可能となり、フィル
タリング処理を、このセキュリティクラスを基に行うこ
とで、転送性能の劣化を最小限に抑制することが可能と
なる。
【００５０】さらに、パケット通信ネットワークを、ユ
ーザネットワーク間の中継専用パケット転送ネットワー
クとし、ユーザネットワーク間においては、ユーザパケ
ットを中継専用パケットにカプセル化して転送するの
で、セキュリティクラスをユーザが勝手に記述すること
を不可能とさせ、セキュリティを強固なものにすること
が可能となる。
ーザネットワーク間の中継専用パケット転送ネットワー
クとし、ユーザネットワーク間においては、ユーザパケ
ットを中継専用パケットにカプセル化して転送するの
で、セキュリティクラスをユーザが勝手に記述すること
を不可能とさせ、セキュリティを強固なものにすること
が可能となる。
【００５１】また、各ユーザネットワーク側との間で、
中継転送サービスの契約時等において、各ユーザネット
ワークに割り当てるアクセスリンク毎にセキュリティク
ラスを決定してテーブル設定しておき、このテーブル内
容に基づき、発側のエッジノードにおいて、ユーザネッ
トワークを収容するアクセスリンクに応じて、中継専用
パケットのセキュリティクラスを決定することで、ユー
ザパケットの宛先アドレス、送信元アドレス、上位アプ
リケーションの情報等を検索キーとして参照することな
く、セキュリティクラスを決定することができる。ここ
で、アクセスリンク数は、宛先アドレス、送信元アドレ
ス、上位アプリケーションの情報等の組み合わせ数より
も少ないために、発側エッジノードにおける転送処理を
ほとんど劣化させないで済む。
中継転送サービスの契約時等において、各ユーザネット
ワークに割り当てるアクセスリンク毎にセキュリティク
ラスを決定してテーブル設定しておき、このテーブル内
容に基づき、発側のエッジノードにおいて、ユーザネッ
トワークを収容するアクセスリンクに応じて、中継専用
パケットのセキュリティクラスを決定することで、ユー
ザパケットの宛先アドレス、送信元アドレス、上位アプ
リケーションの情報等を検索キーとして参照することな
く、セキュリティクラスを決定することができる。ここ
で、アクセスリンク数は、宛先アドレス、送信元アドレ
ス、上位アプリケーションの情報等の組み合わせ数より
も少ないために、発側エッジノードにおける転送処理を
ほとんど劣化させないで済む。
【００５２】さらに、着側のエッジノードにおいて、中
継専用パケットのセキュリティクラスに応じて、ユーザ
ネットワークを収容するアクセスリンクを決定する、あ
るいは該当する中継専用パケットを廃棄することで、セ
キュリティクラスを検索キーとして参照するだけで、フ
ィルタリング処理を行うことができる。このセキュリテ
ィクラスは、通常は数クラスしか設けないために、転送
処理をほとんど劣化させないで済む。
継専用パケットのセキュリティクラスに応じて、ユーザ
ネットワークを収容するアクセスリンクを決定する、あ
るいは該当する中継専用パケットを廃棄することで、セ
キュリティクラスを検索キーとして参照するだけで、フ
ィルタリング処理を行うことができる。このセキュリテ
ィクラスは、通常は数クラスしか設けないために、転送
処理をほとんど劣化させないで済む。
【００５３】この結果、エンドユーザ間での転送性能を
劣化させることなく、強固なセキュリティ処理を施すこ
とが可能となる。また、エンドユーザは、受信するアク
セスリンク毎に、受信パケットのセキュリティクラスを
認識することが可能となり、それぞれのアクセスリンク
毎に、適切なセキュリティ処理をユーザ自身が施すこと
が可能となる。
劣化させることなく、強固なセキュリティ処理を施すこ
とが可能となる。また、エンドユーザは、受信するアク
セスリンク毎に、受信パケットのセキュリティクラスを
認識することが可能となり、それぞれのアクセスリンク
毎に、適切なセキュリティ処理をユーザ自身が施すこと
が可能となる。
【００５４】尚、本発明は、図１〜図６を用いて説明し
た例に限定されるものではなく、その要旨を逸脱しない
範囲において種々変更可能である。例えば、本例では、
複数のユーザネットワーク間を接続してユーザパケット
を中継転送する専用のパケット通信ネットワーク（中継
専用パケット転送ネットワーク１Ａ）に、本発明に係わ
るセキュリティ制御を行うルーティング装置（エッジノ
ード１Ｆ，１Ｇ）を設け、中継専用パケットにカプセル
化する際に、セキュリティクラスのヘッダ付与を行う構
成としているが、各ユーザネットワーク内に設けられた
それぞれのルータにおいて同様のセキュリティ制御を行
う等することにより、他のネットワーク構成においても
本発明を適用することができる。この場合、セキュリテ
ィクラスは、図１に示すパケットフォーマット１Ｔ，１
ＶにおけるユーザＩＰヘッダに記述される。
た例に限定されるものではなく、その要旨を逸脱しない
範囲において種々変更可能である。例えば、本例では、
複数のユーザネットワーク間を接続してユーザパケット
を中継転送する専用のパケット通信ネットワーク（中継
専用パケット転送ネットワーク１Ａ）に、本発明に係わ
るセキュリティ制御を行うルーティング装置（エッジノ
ード１Ｆ，１Ｇ）を設け、中継専用パケットにカプセル
化する際に、セキュリティクラスのヘッダ付与を行う構
成としているが、各ユーザネットワーク内に設けられた
それぞれのルータにおいて同様のセキュリティ制御を行
う等することにより、他のネットワーク構成においても
本発明を適用することができる。この場合、セキュリテ
ィクラスは、図１に示すパケットフォーマット１Ｔ，１
ＶにおけるユーザＩＰヘッダに記述される。
【００５５】また、本例では、インターネット１Ｄを有
するネットワーク、すなわち、ＩＰパケットを例として
いるが、同じくＩＰパケットを用いるイントラネット
（この場合、セキュリティクラスは高く設定される）を
接続することもでき、また、セルを用いるＡＴＭ（Asyn
chronous Transfer Mode）ネットワークなどにも、セル
ヘッダにセキュリティクラスを付与する等して適用する
ことが可能である。尚、本例におけるパケットの送信元
のネットワークの識別に用いるアクセスリンクは、ＡＴ
ＭにおけるＶＰ／ＶＣであり、また、ギガビットイーサ
ネット（ＩＥＥＥ８０２．１Ｑ）における仮想ＬＡＮ
（ＶＬＡＮ−ＩＤ）である。
するネットワーク、すなわち、ＩＰパケットを例として
いるが、同じくＩＰパケットを用いるイントラネット
（この場合、セキュリティクラスは高く設定される）を
接続することもでき、また、セルを用いるＡＴＭ（Asyn
chronous Transfer Mode）ネットワークなどにも、セル
ヘッダにセキュリティクラスを付与する等して適用する
ことが可能である。尚、本例におけるパケットの送信元
のネットワークの識別に用いるアクセスリンクは、ＡＴ
ＭにおけるＶＰ／ＶＣであり、また、ギガビットイーサ
ネット（ＩＥＥＥ８０２．１Ｑ）における仮想ＬＡＮ
（ＶＬＡＮ−ＩＤ）である。
【００５６】また、本例では、ルーティング機能を有す
るエッジノードの構成として図５のコンピュータ構成例
を示したが、キーボードや光ディスクの駆動装置の無い
コンピュータ構成としても良い。また、本例では、光デ
ィスクを記録媒体として用いているが、ＦＤ（Flexible
Disk）等を記録媒体として用いることでも良い。ま
た、プログラムのインストールに関しても、通信装置を
介してネットワーク経由でプログラムをダウンロードし
てインストールすることでも良い。
るエッジノードの構成として図５のコンピュータ構成例
を示したが、キーボードや光ディスクの駆動装置の無い
コンピュータ構成としても良い。また、本例では、光デ
ィスクを記録媒体として用いているが、ＦＤ（Flexible
Disk）等を記録媒体として用いることでも良い。ま
た、プログラムのインストールに関しても、通信装置を
介してネットワーク経由でプログラムをダウンロードし
てインストールすることでも良い。
【００５７】
【発明の効果】本発明によれば、パケット通信ネットワ
ークのセキュリティを強固にするためのフィルタリング
処理の負荷を軽減でき、エッジノードでの転送性能の低
下を回避でき、パケット通信ネットワークの信頼性およ
び性能を向上させることが可能である。
ークのセキュリティを強固にするためのフィルタリング
処理の負荷を軽減でき、エッジノードでの転送性能の低
下を回避でき、パケット通信ネットワークの信頼性およ
び性能を向上させることが可能である。
【図１】本発明に係るパケット通信ネットワークシステ
ムを設けたパケット通信ネットワークの構成例を示すブ
ロック図である。
ムを設けたパケット通信ネットワークの構成例を示すブ
ロック図である。
【図２】図１のパケット通信ネットワークシステムにお
けるパケットの構成例を示す説明図である。
けるパケットの構成例を示す説明図である。
【図３】図１のパケット通信ネットワークシステムにお
けるエッジノードの発側機能の構成例を示すブロック図
である。
けるエッジノードの発側機能の構成例を示すブロック図
である。
【図４】図１のパケット通信ネットワークシステムにお
けるエッジノードの着側機能の構成例を示すブロック図
である。
けるエッジノードの着側機能の構成例を示すブロック図
である。
【図５】図１のパケット通信ネットワークシステムにお
けるエッジノードのハードウェア構成例を示すブロック
図である。
けるエッジノードのハードウェア構成例を示すブロック
図である。
【図６】図１におけるパケット通信ネットワークシステ
ムの本発明に係わる処理動作例を示すフローチャートで
ある。
ムの本発明に係わる処理動作例を示すフローチャートで
ある。
１Ａ：中継専用パケット転送ネットワーク、１Ｂ，１
Ｃ，１Ｅ：ユーザパケット転送ネットワーク、１Ｄ：イ
ンターネット、１Ｆ：エッジノード（発側）、１Ｇ：エ
ッジノード（着側）、１Ｈ：コアノード、１Ｉ，１Ｊ：
コアリンク、ｉＫ，１Ｍ，１Ｏ：クライアント、１Ｌ，
１Ｎ，１Ｐ，１Ｒ，１Ｓ：アクセスリンク、１Ｑ：サ−
バ、１Ｔ，１Ｕ，１Ｖ：パケットフオーマット、２Ａ：
Ｖｅｒｓｉｏｎフィールド、２Ｂ：Ｔｒａｆｆｉｃ Ｃ
ｌａｓｓフィールド、２Ｃ：Ｓｅｃｕｒｉｔｙ Ｃｌａ
ｓｓフィールド、２Ｄ：Ｐａｙ１ｏａｄ Ｌｅｎｇｈｔ
フィールド、２Ｅ：Ｎｅｘｔ Ｈｅａｄｅｒフィール
ド、２Ｆ：Ｈｏｐ Ｌｉｍｉｔフィールド、２Ｇ：Ｓｏ
ｕｒｃｅ Ａｄｄｒｅｓｓフィールド、２Ｈ：Ｄｅｓｔ
ｉｎａｔｉｏｎ Ａｄｄｒｅｓｓフィールド、３Ａ：セ
キュリティクラス識別部、３Ｂ：転送部、セキュリティ
クラス識別テーブル、３Ｄ：転送テーブル、４Ａ：セキ
ュリティクラス識別部、４Ｂ：転送部、４Ｃ：セキュリ
ティクラス識別テーブル、４Ｄ：転送テーブル、５１：
表示装置、５２：入力装置、５３：外部記憶装置、５
４：情報処理装置、５４ａ：ＣＰＵ、５４ｂ：主メモ
リ、５４ｃ：入出力インタフェース、５５：光ディス
ク、５６：駆動装置、５７：通信装置。
Ｃ，１Ｅ：ユーザパケット転送ネットワーク、１Ｄ：イ
ンターネット、１Ｆ：エッジノード（発側）、１Ｇ：エ
ッジノード（着側）、１Ｈ：コアノード、１Ｉ，１Ｊ：
コアリンク、ｉＫ，１Ｍ，１Ｏ：クライアント、１Ｌ，
１Ｎ，１Ｐ，１Ｒ，１Ｓ：アクセスリンク、１Ｑ：サ−
バ、１Ｔ，１Ｕ，１Ｖ：パケットフオーマット、２Ａ：
Ｖｅｒｓｉｏｎフィールド、２Ｂ：Ｔｒａｆｆｉｃ Ｃ
ｌａｓｓフィールド、２Ｃ：Ｓｅｃｕｒｉｔｙ Ｃｌａ
ｓｓフィールド、２Ｄ：Ｐａｙ１ｏａｄ Ｌｅｎｇｈｔ
フィールド、２Ｅ：Ｎｅｘｔ Ｈｅａｄｅｒフィール
ド、２Ｆ：Ｈｏｐ Ｌｉｍｉｔフィールド、２Ｇ：Ｓｏ
ｕｒｃｅ Ａｄｄｒｅｓｓフィールド、２Ｈ：Ｄｅｓｔ
ｉｎａｔｉｏｎ Ａｄｄｒｅｓｓフィールド、３Ａ：セ
キュリティクラス識別部、３Ｂ：転送部、セキュリティ
クラス識別テーブル、３Ｄ：転送テーブル、４Ａ：セキ
ュリティクラス識別部、４Ｂ：転送部、４Ｃ：セキュリ
ティクラス識別テーブル、４Ｄ：転送テーブル、５１：
表示装置、５２：入力装置、５３：外部記憶装置、５
４：情報処理装置、５４ａ：ＣＰＵ、５４ｂ：主メモ
リ、５４ｃ：入出力インタフェース、５５：光ディス
ク、５６：駆動装置、５７：通信装置。
フロントページの続き Ｆターム(参考） 5K030 GA15 HA08 HB16 HD05 HD06 KA05 LB05 LC15 LC18 5K033 AA08 CB06 DA05 DB12 DB16 DB19
Claims (16)
- 【請求項１】 パケット通信を行うネットワークシステ
ムであって、パケットヘッダに当該パケットのセキュリ
ティクラスを特定するクラス識別情報を付与する付与手
段と、上記クラス識別情報に対応して当該パケットに対
するセキュリティ制御を行う制御手段とを有することを
特徴とするパケット通信ネットワークシステム。 - 【請求項２】 請求項１に記載のパケット通信ネットワ
ークシステムであって、上記付与手段は、パケットの送
信元を判別する手段と、予め上記パケットの送信元別に
上記クラス識別情報を対応付けた登録情報を記憶装置に
記録する手段とを有し、上記パケットヘッダに付与する
クラス識別情報を、当該パケットの送信元の判別結果に
基づき上記登録情報を参照して特定することを特徴とす
るパケット通信ネットワークシステム。 - 【請求項３】 請求項１に記載のパケット通信ネットワ
ークシステムであって、上記付与手段は、パケットの送
信元のネットワークを判別する手段と、予め上記アクセ
スリンク毎に上記クラス識別情報を対応付けた登録情報
を記憶装置に記録する手段とを有し、上記パケットヘッ
ダに付与するクラス識別情報を、当該パケットの送信元
のアクセスリンクの判別結果に基づき上記登録情報を参
照して特定することを特徴とするパケット通信ネットワ
ークシステム。 - 【請求項４】 請求項１から請求項３のいずれかに記載
のパケット通信ネットワークシステムであって、上記制
御手段は、予め上記クラス識別情報別に上記パケットの
送信先を対応付けた登録情報を記憶装置に記録する手段
を有し、上記パケットヘッダに付与された上記クラス識
別情報を判別し、判別したクラス識別情報に対応するパ
ケットの送信先を上記登録情報を参照して特定し、特定
した送信先に当該パケットを送出することを特徴とする
パケット通信ネットワークシステム。 - 【請求項５】 請求項１から請求項３のいずれかに記載
のパケット通信ネットワークシステムであって、上記制
御手段は、予め上記クラス識別情報別に上記パケットの
送出先ネットワークを対応付けた登録情報を記憶装置に
記録する手段を有し、上記パケットヘッダに付与された
上記クラス識別情報を判別し、判別したクラス識別情報
に対応するパケットの送出先ネットワークを上記登録情
報を参照して特定し、特定した送出先ネットワークに当
該パケットを送出することを特徴とするパケット通信ネ
ットワークシステム。 - 【請求項６】 複数のパケット通信ネットワーク間を接
続してパケットの中継通信を行うネットワークシステム
であって、中継元のネットワークから入力されたパケッ
トに中継用パケットヘッダを付与してカプセル化すると
共に、該中継用パケットヘッダに当該中継パケットのセ
キュリティクラスを特定するクラス識別情報を付与する
付与手段と、上記クラス識別情報に基づき当該中継パケ
ットに対するセキュリティ制御を行う制御手段とを有す
ることを特徴とするパケット通信ネットワークシステ
ム。 - 【請求項７】 請求項６に記載のパケット通信ネットワ
ークシステムであって、上記付与手段は、パケットの入
力元のアクセスリンクあるいは仮想ＬＡＮを判別する手
段と、予め上記アクセスリンクあるいは仮想ＬＡＮ毎に
上記クラス識別情報を対応付けた登録情報を記憶装置に
記録する手段とを有し、上記中継用パケットヘッダに付
与するクラス識別情報を、当該パケットの入力元のアク
セスリンクあるいは仮想ＬＡＮの判別結果に基づき上記
登録情報を参照して特定することを特徴とするパケット
通信ネットワークシステム。 - 【請求項８】 請求項６、もしくは、請求項７のいずれ
かに記載のパケット通信ネットワークシステムであっ
て、上記制御手段は、予め上記クラス識別情報別に上記
中継パケットの送出先ネットワークのアクセスリンクあ
るいは仮想ＬＡＮを対応付けた登録情報を記憶装置に記
録する手段を有し、上記中継用パケットヘッダに付与さ
れた上記クラス識別情報を判別し、判別したクラス識別
情報に対応する送出先ネットワークのアクセスリンクあ
るいは仮想ＬＡＮを上記登録情報を参照して特定し、特
定したアクセスリンクあるいは仮想ＬＡＮに当該中継パ
ケットを送出することを特徴とするパケット通信ネット
ワークシステム。 - 【請求項９】 請求項８に記載のパケット通信ネットワ
ークシステムであって、上記制御手段は、上記判別した
クラス識別情報に対応する送出先ネットワークのアクセ
スリンクあるいは仮想ＬＡＮが上記登録情報に無けれ
ば、当該中継パケットを廃棄することを特徴とするパケ
ット通信ネットワークシステム。 - 【請求項１０】 外部のパケット通信ネットワークに接
続される複数のエッジノードと各エッジノード間を接続
する中継ノードからなり、複数の外部パケット通信ネッ
トワーク間をエッジノードを介して接続し、各々の外部
パケット通信ネットワークに対応して予め設定されたア
クセスリンクあるいは仮想ＬＡＮ情報に基づき、各外部
パケット通信ネットワーク間でのパケットの中継転送を
行うネットワークシステムであって、発側のエッジノー
ドの機能として、中継元の外部パケット通信ネットワー
クのアクセスリンクあるいは仮想ＬＡＮから入力された
パケットに中継用パケットヘッダを付与してカプセル化
する機能と、該中継用パケットヘッダに、予め当該アク
セスリンクあるいは仮想ＬＡＮに対してテーブル設定さ
れたセキュリティクラスの識別情報を読み出して付与す
る機能とを設け、着側のエッジノードの機能として、中
継用パケットヘッダに付与された上記識別情報を判別す
る機能と、判別した識別情報に対応して予めテーブル設
定された中継先の外部パケット通信ネットワークのアク
セスリンクあるいは仮想ＬＡＮ情報を読み出して当該ア
クセスリンクあるいは仮想ＬＡＮを特定する機能と、特
定したアクセスリンクあるいは仮想ＬＡＮに当該パケッ
トを送出する機能とを設けることを特徴とするパケット
通信ネットワークシステム。 - 【請求項１１】 請求項１０に記載のパケット通信ネッ
トワークシステムであって、上記着側のエッジノードの
機能として、上記判別した識別情報に対応する上記中継
先のネットワークのアクセスリンク情報がテーブル設定
されていなければ、当該パケットを廃棄する機能を有す
ることを特徴とするパケット通信ネットワークシステ
ム。 - 【請求項１２】 請求項１から請求項９のいずれかに記
載のパケット通信ネットワークシステムに設けられ、予
め登録された転送テーブルに基づきパケットのルーティ
ング処理を行う機能と、請求項１から請求項９のいずれ
かに記載の各機能とを有することを特徴とするルーティ
ング装置。 - 【請求項１３】 コンピュータに請求項１２に記載のル
ーティング装置が有する各機能を実現させるためのプロ
グラム。 - 【請求項１４】 コンピュータに請求項１２に記載のル
ーティング装置が有する各機能を実現させるためのプロ
グラムを記録したコンピュータ読み取り可能な記録媒
体。 - 【請求項１５】 パケット通信を行うネットワークにお
けるパケットに対するセキュリティ制御方法であって、
パケットヘッダに当該パケットのセキュリティクラスを
特定する識別情報を付与し、該クラス識別情報に基づき
当該パケットに対するセキュリティ制御を行うことを特
徴とするセキュリティ制御方法。 - 【請求項１６】 外部のパケット通信ネットワークに接
続される複数のエッジノードと各エッジノード間を接続
する中継ノードからなり、複数の外部パケット通信ネッ
トワーク間をエッジノードを介して接続し、各々の外部
パケット通信ネットワークに対応して予め設定されたア
クセスリンクあるいは仮想ＬＡＮ情報に基づき、各外部
パケット通信ネットワーク間でのパケットの中継転送を
行うネットワークにおけるパケットに対するセキュリテ
ィ制御方法であって、中継元の外部パケット通信ネット
ワークのアクセスリンクあるいは仮想ＬＡＮから入力さ
れたパケットに中継用パケットヘッダを付与してカプセ
ル化するステップと、該中継用パケットヘッダに、予め
当該アクセスリンクあるいは仮想ＬＡＮに対してテーブ
ル設定されたセキュリティクラスの識別情報を読み出し
て付与するステップと、中継用パケットヘッダに上記識
別情報を付与した中継用パケットをルーティング処理す
るステップと、ルーティングした中継用パケットヘッダ
に付与された上記識別情報を判別するステップと、判別
した識別情報に対応して予めテーブル設定された中継先
の外部パケット通信ネットワークのアクセスリンクある
いは仮想ＬＡＮ情報を読み出して当該アクセスリンクあ
るいは仮想ＬＡＮを特定するステップと、特定したアク
セスリンクあるいは仮想ＬＡＮに当該パケットを送出す
るステップと、上記判別した識別情報に対応する上記中
継先のネットワークのアクセスリンクあるいは仮想ＬＡ
Ｎ情報がテーブル設定されていなければ、当該パケット
を廃棄するステップとを有することを特徴とするセキュ
リティ制御方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001121508A JP3723896B2 (ja) | 2001-04-19 | 2001-04-19 | パケット通信ネットワークシステムとセキュリティ制御方法およびルーティング装置ならびにプログラムと記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001121508A JP3723896B2 (ja) | 2001-04-19 | 2001-04-19 | パケット通信ネットワークシステムとセキュリティ制御方法およびルーティング装置ならびにプログラムと記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2002319938A true JP2002319938A (ja) | 2002-10-31 |
| JP3723896B2 JP3723896B2 (ja) | 2005-12-07 |
Family
ID=18971366
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001121508A Expired - Fee Related JP3723896B2 (ja) | 2001-04-19 | 2001-04-19 | パケット通信ネットワークシステムとセキュリティ制御方法およびルーティング装置ならびにプログラムと記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3723896B2 (ja) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007159013A (ja) * | 2005-12-08 | 2007-06-21 | Fujitsu Ltd | ファイアウォール装置 |
| JP2008536453A (ja) * | 2005-04-13 | 2008-09-04 | ザ・ボーイング・カンパニー | 安全なネットワークプロセッサ |
| US7733844B2 (en) | 2004-05-26 | 2010-06-08 | Kabushiki Kaisha Toshiba | Packet filtering apparatus, packet filtering method, and computer program product |
-
2001
- 2001-04-19 JP JP2001121508A patent/JP3723896B2/ja not_active Expired - Fee Related
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7733844B2 (en) | 2004-05-26 | 2010-06-08 | Kabushiki Kaisha Toshiba | Packet filtering apparatus, packet filtering method, and computer program product |
| JP2008536453A (ja) * | 2005-04-13 | 2008-09-04 | ザ・ボーイング・カンパニー | 安全なネットワークプロセッサ |
| JP4749465B2 (ja) * | 2005-04-13 | 2011-08-17 | ザ・ボーイング・カンパニー | 安全なネットワークプロセッサ |
| JP2007159013A (ja) * | 2005-12-08 | 2007-06-21 | Fujitsu Ltd | ファイアウォール装置 |
| JP4545085B2 (ja) * | 2005-12-08 | 2010-09-15 | 富士通株式会社 | ファイアウォール装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3723896B2 (ja) | 2005-12-07 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4057615B2 (ja) | ユーザｍａｃフレーム転送方法、エッジ転送装置、およびプログラム | |
| US7373429B2 (en) | Integrated IP network | |
| JP2520563B2 (ja) | パケット交換網 | |
| US6101552A (en) | Virtual internet protocol gate and the network constructed with the same | |
| US20030016679A1 (en) | Method and apparatus to perform network routing | |
| JPH1141272A (ja) | Ｌａｎインターネット接続 | |
| JPH0281539A (ja) | デジタル通信回路網およびその操作方法並びにデジタル通信回路網に用いるルータ | |
| US6615358B1 (en) | Firewall for processing connection-oriented and connectionless datagrams over a connection-oriented network | |
| JP2006295938A (ja) | ネットワーク型ルーティング機構 | |
| US7096281B2 (en) | Efficient connectivity between multiple topology subnets via common connection network | |
| JP2000106572A (ja) | アドレス変換方法及び装置 | |
| US6922786B1 (en) | Real-time media communications over firewalls using a control protocol | |
| JP2001168915A (ja) | Ｉｐパケット転送装置 | |
| JPH10303965A (ja) | ルータ装置に於けるルーティング方式 | |
| JP2002319938A (ja) | パケット通信ネットワークシステムとセキュリティ制御方法およびルーティング装置ならびにプログラムと記録媒体 | |
| JP2000261478A (ja) | ゲートウェイ装置、送信方法、受信方法および情報記録媒体 | |
| JP2002314569A (ja) | 転送装置および転送制御方法 | |
| JP2000232484A (ja) | ノード装置、端末装置およびこれらの装置を実現するプログラムが格納された記憶媒体 | |
| JP2006050433A (ja) | トラヒック監視装置、通信ネットワークトラヒック監視システム、および監視方法 | |
| JP3069842B2 (ja) | フレームの高速転送方式 | |
| JPH11225154A (ja) | 集線／変換装置のルーティング方式 | |
| JP2001320426A (ja) | ネットワーク間中継システム | |
| KR100550013B1 (ko) | 라우터와 가상근거리통신망간의 패킷 통신 방법 | |
| JP2008228069A (ja) | 中継補助装置 | |
| JPH11191790A (ja) | 通信データ処理方法及びそのネットワーク間接続装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050620 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050624 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050803 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050823 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050905 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080930 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090930 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090930 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100930 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100930 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110930 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120930 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130930 Year of fee payment: 8 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| LAPS | Cancellation because of no payment of annual fees |