JP2003244245A - ゲートウェイ装置及びそれによる通信方法 - Google Patents
ゲートウェイ装置及びそれによる通信方法Info
- Publication number
- JP2003244245A JP2003244245A JP2002038328A JP2002038328A JP2003244245A JP 2003244245 A JP2003244245 A JP 2003244245A JP 2002038328 A JP2002038328 A JP 2002038328A JP 2002038328 A JP2002038328 A JP 2002038328A JP 2003244245 A JP2003244245 A JP 2003244245A
- Authority
- JP
- Japan
- Prior art keywords
- virtual routing
- network
- routing means
- gateway device
- packet
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
(57)【要約】
【課題】 アクセス回線を用いて第１のネットワークと
接続したユーザ端末装置が同一のアクセス回線を用いて
第２のネットワークと同時に接続することを可能とす
る。 【解決手段】 ゲートウェイ装置２−１，２−２に、第
１の仮想ルーティング手段と第２の仮想ルーティング手
段とＮＡＰＴ変換手段とパケットフィルタリング手段と
を設ける。第１の仮想ルーティング手段と第２の仮想ル
ーティング手段とＮＡＰＴ変換手段とパケットフィルタ
リング手段とを用いて、ユーザ端末装置１−１と２つの
ネットワーク５，４５−１との間で送受信されるパケッ
トを転送する。
接続したユーザ端末装置が同一のアクセス回線を用いて
第２のネットワークと同時に接続することを可能とす
る。 【解決手段】 ゲートウェイ装置２−１，２−２に、第
１の仮想ルーティング手段と第２の仮想ルーティング手
段とＮＡＰＴ変換手段とパケットフィルタリング手段と
を設ける。第１の仮想ルーティング手段と第２の仮想ル
ーティング手段とＮＡＰＴ変換手段とパケットフィルタ
リング手段とを用いて、ユーザ端末装置１−１と２つの
ネットワーク５，４５−１との間で送受信されるパケッ
トを転送する。
Description
【０００１】
【発明の属する技術分野】本発明は、ＡＤＳＬ等の常時
接続型データ通信アクセス回線に接続する複数のユーザ
端末装置が企業用ＶＰＮ、ＶＬＡＮ又はインターネット
等の複数のネットワークに接続する場合において、接続
先ネットワーク毎に定められたセキュリティを自動的に
確保することを可能にする、ファイアウォール機能を有
したゲートウェイ装置及びそれによる通信方法に関する
ものである。
接続型データ通信アクセス回線に接続する複数のユーザ
端末装置が企業用ＶＰＮ、ＶＬＡＮ又はインターネット
等の複数のネットワークに接続する場合において、接続
先ネットワーク毎に定められたセキュリティを自動的に
確保することを可能にする、ファイアウォール機能を有
したゲートウェイ装置及びそれによる通信方法に関する
ものである。
【０００２】
【従来の技術】従来より、常時接続型データ通信アクセ
ス回線としてＡＤＳＬ（Asymmetric Digital Subscribe
r Line ）が知られている。また、企業のイントラネッ
トのセキュリティを確保しつつ広域のネットワークを安
価に構築するサービスとして、ＶＰＮ（Virtual Privat
e Network ）やＶＬＡＮ（Virtual Local Area Networ
k）等を網の機能として提供するサービスが知られてい
る。
ス回線としてＡＤＳＬ（Asymmetric Digital Subscribe
r Line ）が知られている。また、企業のイントラネッ
トのセキュリティを確保しつつ広域のネットワークを安
価に構築するサービスとして、ＶＰＮ（Virtual Privat
e Network ）やＶＬＡＮ（Virtual Local Area Networ
k）等を網の機能として提供するサービスが知られてい
る。
【０００３】従来のＡＤＳＬの常時接続データ通信アク
セスのシステム構成では、端末装置がゲートウェイルー
タ、ＡＤＳＬモデム（ＡＴＵ−Ｒ）を介してアクセス回
線に接続され、アクセス回線はＤＳＬＡＭ（Digital Su
bscriber Line Access Multiplexer）によって多重化さ
れてＢＡＳ（Broadband Access Server ）に接続され、
アクセス網によって網終端装置（Network Termination
Equipment）に接続される。網終端装置は、ＶＰＮサー
ビス網、ＩＳＰ（Internet Service Provider）網、企
業の独自網など接続先ネットワーク毎に設置され、それ
ぞれのネットワークと接続される。
セスのシステム構成では、端末装置がゲートウェイルー
タ、ＡＤＳＬモデム（ＡＴＵ−Ｒ）を介してアクセス回
線に接続され、アクセス回線はＤＳＬＡＭ（Digital Su
bscriber Line Access Multiplexer）によって多重化さ
れてＢＡＳ（Broadband Access Server ）に接続され、
アクセス網によって網終端装置（Network Termination
Equipment）に接続される。網終端装置は、ＶＰＮサー
ビス網、ＩＳＰ（Internet Service Provider）網、企
業の独自網など接続先ネットワーク毎に設置され、それ
ぞれのネットワークと接続される。
【０００４】ゲートウェイルータからＢＡＳに対して、
ＰＰＰｏＥ（Point to Point Protocol over Ethernet
（登録商標） ）等の論理コネクションを設定し、ＰＰ
Ｐ認証のユーザ名の一部として示されるレルム情報をも
とに、ＢＡＳで接続先網終端装置を判定し、ＢＡＳから
網終端装置に対して設定するＬ２ＴＰ（Layer2 Tunneli
ng Protocol ）の論理コネクション上に、前記ＰＰＰｏ
Ｅの論理コネクションごとにＰＰＰの論理コネクション
を設定する。前記ＰＰＰの論理コネクションの設定の認
証は網終端装置を介して接続する接続先ネットワーク内
のＲＡＤＩＵＳ（Remote Access Dial-In User Server
）に基づいてＢＡＳで行われる。以上のゲートウェイ
ルータと網終端装置との間の論理コネクション上でＩＰ
通信が行われる。
ＰＰＰｏＥ（Point to Point Protocol over Ethernet
（登録商標） ）等の論理コネクションを設定し、ＰＰ
Ｐ認証のユーザ名の一部として示されるレルム情報をも
とに、ＢＡＳで接続先網終端装置を判定し、ＢＡＳから
網終端装置に対して設定するＬ２ＴＰ（Layer2 Tunneli
ng Protocol ）の論理コネクション上に、前記ＰＰＰｏ
Ｅの論理コネクションごとにＰＰＰの論理コネクション
を設定する。前記ＰＰＰの論理コネクションの設定の認
証は網終端装置を介して接続する接続先ネットワーク内
のＲＡＤＩＵＳ（Remote Access Dial-In User Server
）に基づいてＢＡＳで行われる。以上のゲートウェイ
ルータと網終端装置との間の論理コネクション上でＩＰ
通信が行われる。
【０００５】一方、ＶＰＮ，ＶＬＡＮサービス網は、単
一の物理的な網において論理的に独立な網を設定して論
理網間のセキュリティを確保しつつ、網内では複数の論
理網のトラフィックを多重してコストを削減することを
特徴とする通信サービス網である。ＭＰＬＳ（Multi-Pr
otocol Label Switching）網では、パケットの送信元ユ
ーザが接続する網終端装置でユーザが所属するＶＰＮを
識別して、ＶＰＮ毎の転送テーブルを用いてＶＰＮ毎に
異なるＶＰＮラベルをパケットに付加して、網内の転送
を行い、パケットの送信先のユーザが接続する網終端装
置でＶＰＮラベルをもとにＶＰＮ毎の転送テーブルを用
いて論理的に独立な転送を行う。また、ＶＬＡＮ網では
ＶＰＮラベルの代わりにＶＬＡＮタグを用いる。
一の物理的な網において論理的に独立な網を設定して論
理網間のセキュリティを確保しつつ、網内では複数の論
理網のトラフィックを多重してコストを削減することを
特徴とする通信サービス網である。ＭＰＬＳ（Multi-Pr
otocol Label Switching）網では、パケットの送信元ユ
ーザが接続する網終端装置でユーザが所属するＶＰＮを
識別して、ＶＰＮ毎の転送テーブルを用いてＶＰＮ毎に
異なるＶＰＮラベルをパケットに付加して、網内の転送
を行い、パケットの送信先のユーザが接続する網終端装
置でＶＰＮラベルをもとにＶＰＮ毎の転送テーブルを用
いて論理的に独立な転送を行う。また、ＶＬＡＮ網では
ＶＰＮラベルの代わりにＶＬＡＮタグを用いる。
【０００６】企業の社内ＬＡＮなど拠点ごとに構成され
た複数の自営網を上記ＶＰＮ，ＶＬＡＮサービス網に接
続することによって、セキュリティの確保された広域の
社内網を安価に構築することができる。自営網とＶＰ
Ｎ，ＶＬＡＮサービス網とを接続する回線として、ＡＴ
Ｍ（Asynchronous Transfer Mode）を用いた専用線など
を利用する。このような構成では広域社内網は他の網と
論理的に独立である。インターネットなどの他の網と接
続する場合、自営網にＮＡＰＴ変換、パケットフィルタ
リングなどの機能を有するファイアウォールを設置し、
広域社内網と他の網との通信のパケットの転送、廃棄を
制御する。
た複数の自営網を上記ＶＰＮ，ＶＬＡＮサービス網に接
続することによって、セキュリティの確保された広域の
社内網を安価に構築することができる。自営網とＶＰ
Ｎ，ＶＬＡＮサービス網とを接続する回線として、ＡＴ
Ｍ（Asynchronous Transfer Mode）を用いた専用線など
を利用する。このような構成では広域社内網は他の網と
論理的に独立である。インターネットなどの他の網と接
続する場合、自営網にＮＡＰＴ変換、パケットフィルタ
リングなどの機能を有するファイアウォールを設置し、
広域社内網と他の網との通信のパケットの転送、廃棄を
制御する。
【０００７】小規模拠点および家庭内の網とＶＰＮ，Ｖ
ＬＡＮサービス網との接続においては、上記ＡＤＳＬな
どのアクセス回線を用いて接続することで安価に広域社
内網を構築することができる。一つのアクセス回線を用
いて、ＶＰＮあるいはインターネットなどの複数の網と
の接続を行う場合、論理的に独立した複数の仮想ルーテ
ィング機能を有するゲートウェイルータを使用し、ゲー
トウェイルータとそれぞれの接続先網終端装置との間で
ＰＰＰコネクションを設定する。
ＬＡＮサービス網との接続においては、上記ＡＤＳＬな
どのアクセス回線を用いて接続することで安価に広域社
内網を構築することができる。一つのアクセス回線を用
いて、ＶＰＮあるいはインターネットなどの複数の網と
の接続を行う場合、論理的に独立した複数の仮想ルーテ
ィング機能を有するゲートウェイルータを使用し、ゲー
トウェイルータとそれぞれの接続先網終端装置との間で
ＰＰＰコネクションを設定する。
【０００８】
【発明が解決しようとする課題】第１の問題点は、ＡＤ
ＳＬなどのアクセス回線を用いてユーザ端末装置とＶＰ
Ｎとを接続する場合、論理的に独立した複数の仮想ルー
ティング機能を有するゲートウェイルータを使用した場
合においても、一つのアクセス回線を用いて一つのＶＰ
Ｎに接続したユーザ端末装置は、同一のアクセス回線を
用いてインターネットまたはＶＰＮなどの他の網と通信
できないことである。その理由は、複数の仮想ルーティ
ング機能の間のルーティングができず、また仮想ルーテ
ィング機能間のルーティングをする場合に必要となる、
仮想ルーティング機能間のファイアウォール機能がない
ためである。
ＳＬなどのアクセス回線を用いてユーザ端末装置とＶＰ
Ｎとを接続する場合、論理的に独立した複数の仮想ルー
ティング機能を有するゲートウェイルータを使用した場
合においても、一つのアクセス回線を用いて一つのＶＰ
Ｎに接続したユーザ端末装置は、同一のアクセス回線を
用いてインターネットまたはＶＰＮなどの他の網と通信
できないことである。その理由は、複数の仮想ルーティ
ング機能の間のルーティングができず、また仮想ルーテ
ィング機能間のルーティングをする場合に必要となる、
仮想ルーティング機能間のファイアウォール機能がない
ためである。
【０００９】第２の問題点は、ＡＤＳＬなどのアクセス
回線を用いてユーザ端末装置とＶＰＮとを接続する場合
において、一つのアクセス回線を用いて一つのＶＰＮに
接続したユーザ端末装置が、同一のアクセス回線を用い
てインターネットまたはＶＰＮなどの他の網と通信を行
う場合、インターネットまたはＶＰＮサービス網と自営
網との接続回線の帯域を消費して、ユーザ端末装置の通
信速度の低下または企業の接続回線のコスト増大を招く
ことである。その理由は、一つのＶＰＮに接続したユー
ザ端末装置はインターネットまたは他のＶＰＮとの通信
を行うためには、企業の自営網内に設置されたファイア
ウォールを経由する必要があるため、ユーザ端末装置と
インターネットまたはＶＰＮなどの他の網との通信によ
るトラフィックが企業の自営網を通過するからである。
回線を用いてユーザ端末装置とＶＰＮとを接続する場合
において、一つのアクセス回線を用いて一つのＶＰＮに
接続したユーザ端末装置が、同一のアクセス回線を用い
てインターネットまたはＶＰＮなどの他の網と通信を行
う場合、インターネットまたはＶＰＮサービス網と自営
網との接続回線の帯域を消費して、ユーザ端末装置の通
信速度の低下または企業の接続回線のコスト増大を招く
ことである。その理由は、一つのＶＰＮに接続したユー
ザ端末装置はインターネットまたは他のＶＰＮとの通信
を行うためには、企業の自営網内に設置されたファイア
ウォールを経由する必要があるため、ユーザ端末装置と
インターネットまたはＶＰＮなどの他の網との通信によ
るトラフィックが企業の自営網を通過するからである。
【００１０】第３の問題点は、選択的に複数の網と接続
を行うＡＤＳＬなどのアクセス回線を用いて接続する場
合、ルーティング機能の設定およびファイアウォール機
能の設定を企業が社内網内で定める統一的なポリシによ
って設定できないことと、適切な仮想ルーティング機能
およびファイアウォール機能を具備していないゲートウ
ェイルータからの接続を排除できないことである。その
理由は、各ユーザが接続の際に手動で設定を行った場
合、仮想ルーティング機能およびファイアウォール機能
の設定が企業の定める統一的なポリシに従って設定され
るという保証ができず、また適切な仮想ルーティング機
能およびファイアウォール機能を具備するゲートウェイ
ルータのみを接続する機構がないためである。
を行うＡＤＳＬなどのアクセス回線を用いて接続する場
合、ルーティング機能の設定およびファイアウォール機
能の設定を企業が社内網内で定める統一的なポリシによ
って設定できないことと、適切な仮想ルーティング機能
およびファイアウォール機能を具備していないゲートウ
ェイルータからの接続を排除できないことである。その
理由は、各ユーザが接続の際に手動で設定を行った場
合、仮想ルーティング機能およびファイアウォール機能
の設定が企業の定める統一的なポリシに従って設定され
るという保証ができず、また適切な仮想ルーティング機
能およびファイアウォール機能を具備するゲートウェイ
ルータのみを接続する機構がないためである。
【００１１】本発明の目的は、ユーザ端末装置がＡＤＳ
Ｌなどのアクセス回線を用いてＶＰＮ，インターネット
などのネットワークに接続するコンピュータ通信システ
ムにおいて、１つのアクセス回線を用いて第１のネット
ワークと接続したユーザ端末装置が、同一のアクセス回
線を用いて他の第２のネットワークと同時に接続するこ
とを可能とするゲートウェイ装置及びそれによる通信方
法を提供することである。また、本発明の目的は、適切
な仮想ルーティング機能およびファイアウォール機能を
具備しないゲートウェイ装置からの接続を拒絶すること
を可能とするゲートウェイ装置及びそれによる通信方法
を提供することである。さらに、本発明の目的は、ユー
ザ端末装置と第２のネットワークとが、第１のネットワ
ークで定められた統一的なセキュリティポリシに従った
ファイアウォールを介して通信することを可能とし、ま
たそのファイアウォール設定を自動化することを可能と
するゲートウェイ装置及びそれによる通信方法を提供す
ることである。
Ｌなどのアクセス回線を用いてＶＰＮ，インターネット
などのネットワークに接続するコンピュータ通信システ
ムにおいて、１つのアクセス回線を用いて第１のネット
ワークと接続したユーザ端末装置が、同一のアクセス回
線を用いて他の第２のネットワークと同時に接続するこ
とを可能とするゲートウェイ装置及びそれによる通信方
法を提供することである。また、本発明の目的は、適切
な仮想ルーティング機能およびファイアウォール機能を
具備しないゲートウェイ装置からの接続を拒絶すること
を可能とするゲートウェイ装置及びそれによる通信方法
を提供することである。さらに、本発明の目的は、ユー
ザ端末装置と第２のネットワークとが、第１のネットワ
ークで定められた統一的なセキュリティポリシに従った
ファイアウォールを介して通信することを可能とし、ま
たそのファイアウォール設定を自動化することを可能と
するゲートウェイ装置及びそれによる通信方法を提供す
ることである。
【００１２】
【課題を解決するための手段】本発明は、論理的に独立
した複数のルータとして動作する複数の仮想ルーティン
グ手段を備え、ユーザ端末装置と接続先ネットワークと
を接続するゲートウェイ装置において、第１のネットワ
ークを接続先とする第１の仮想ルーティング手段と第２
のネットワークを接続先とする第２の仮想ルーティング
手段との間の通信において、パケットの送信元アドレ
ス、送信元ポート番号、送信先アドレス及び送信先ポー
ト番号のうち少なくとも１つを変換するＮＡＰＴ変換手
段と、前記第１の仮想ルーティング手段と前記第２の仮
想ルーティング手段との間の通信において、パケットの
転送又は廃棄を行うパケットフィルタリング手段とを有
するものである。また、本発明のゲートウェイ装置の１
構成例は、前記第１の仮想ルーティング手段に接続され
たユーザ端末装置と前記第１のネットワークとの通信を
行うとき、前記第１の仮想ルーティング手段と前記第１
のネットワークとの接続を前記第１のネットワークのポ
リシサーバに対して要求する要求手段と、前記ポリシサ
ーバからの回答に基づいて前記第１の仮想ルーティング
手段及び前記パケットフィルタリング手段を設定する設
定手段とを有するものである。また、本発明のゲートウ
ェイ装置の１構成例において、前記設定手段は、前記第
１の仮想ルーティング手段と前記第２の仮想ルーティン
グ手段との間の通信用のルーティング設定情報を前記第
１の仮想ルーティング手段から削除し、前記第１の仮想
ルーティング手段と前記第２の仮想ルーティング手段と
の間の通信用のパケットを全て廃棄するよう前記パケッ
トフィルタリング手段を設定するものである。また、本
発明のゲートウェイ装置の１構成例は、ユーザ端末装置
と前記第１のネットワークとが前記第１の仮想ルーティ
ング手段を介して接続され、かつ前記ユーザ端末装置と
前記第２のネットワークとの通信を行うとき、前記第１
の仮想ルーティング手段と前記第２のネットワークとを
前記第２の仮想ルーティング手段を介して接続するよう
前記ポリシサーバに対して要求する要求手段と、前記ポ
リシサーバからの回答に基づいて前記第１の仮想ルーテ
ィング手段、前記第２の仮想ルーティング手段、前記Ｎ
ＡＰＴ変換手段及び前記パケットフィルタリング手段を
設定する設定手段とを有するものである。また、本発明
のゲートウェイ装置の１構成例において、前記設定手段
は、前記第１の仮想ルーティング手段と前記第２の仮想
ルーティング手段との間の通信用のルーティング設定情
報を前記第１の仮想ルーティング手段と前記第２の仮想
ルーティング手段に設定し、前記第１の仮想ルーティン
グ手段又は前記第２の仮想ルーティング手段から受信し
たパケットの送信元アドレス、送信元ポート番号、送信
先アドレス及び送信先ポート番号のうち少なくとも１つ
に対して、前記ユーザ端末装置と前記第２のネットワー
クとの通信を可能にする変換を行うよう前記ＮＡＰＴ変
換手段を設定し、前記第１の仮想ルーティング手段と前
記第２の仮想ルーティング手段との間のパケット転送を
許可するよう前記パケットフィルタリング手段を設定す
るものである。
した複数のルータとして動作する複数の仮想ルーティン
グ手段を備え、ユーザ端末装置と接続先ネットワークと
を接続するゲートウェイ装置において、第１のネットワ
ークを接続先とする第１の仮想ルーティング手段と第２
のネットワークを接続先とする第２の仮想ルーティング
手段との間の通信において、パケットの送信元アドレ
ス、送信元ポート番号、送信先アドレス及び送信先ポー
ト番号のうち少なくとも１つを変換するＮＡＰＴ変換手
段と、前記第１の仮想ルーティング手段と前記第２の仮
想ルーティング手段との間の通信において、パケットの
転送又は廃棄を行うパケットフィルタリング手段とを有
するものである。また、本発明のゲートウェイ装置の１
構成例は、前記第１の仮想ルーティング手段に接続され
たユーザ端末装置と前記第１のネットワークとの通信を
行うとき、前記第１の仮想ルーティング手段と前記第１
のネットワークとの接続を前記第１のネットワークのポ
リシサーバに対して要求する要求手段と、前記ポリシサ
ーバからの回答に基づいて前記第１の仮想ルーティング
手段及び前記パケットフィルタリング手段を設定する設
定手段とを有するものである。また、本発明のゲートウ
ェイ装置の１構成例において、前記設定手段は、前記第
１の仮想ルーティング手段と前記第２の仮想ルーティン
グ手段との間の通信用のルーティング設定情報を前記第
１の仮想ルーティング手段から削除し、前記第１の仮想
ルーティング手段と前記第２の仮想ルーティング手段と
の間の通信用のパケットを全て廃棄するよう前記パケッ
トフィルタリング手段を設定するものである。また、本
発明のゲートウェイ装置の１構成例は、ユーザ端末装置
と前記第１のネットワークとが前記第１の仮想ルーティ
ング手段を介して接続され、かつ前記ユーザ端末装置と
前記第２のネットワークとの通信を行うとき、前記第１
の仮想ルーティング手段と前記第２のネットワークとを
前記第２の仮想ルーティング手段を介して接続するよう
前記ポリシサーバに対して要求する要求手段と、前記ポ
リシサーバからの回答に基づいて前記第１の仮想ルーテ
ィング手段、前記第２の仮想ルーティング手段、前記Ｎ
ＡＰＴ変換手段及び前記パケットフィルタリング手段を
設定する設定手段とを有するものである。また、本発明
のゲートウェイ装置の１構成例において、前記設定手段
は、前記第１の仮想ルーティング手段と前記第２の仮想
ルーティング手段との間の通信用のルーティング設定情
報を前記第１の仮想ルーティング手段と前記第２の仮想
ルーティング手段に設定し、前記第１の仮想ルーティン
グ手段又は前記第２の仮想ルーティング手段から受信し
たパケットの送信元アドレス、送信元ポート番号、送信
先アドレス及び送信先ポート番号のうち少なくとも１つ
に対して、前記ユーザ端末装置と前記第２のネットワー
クとの通信を可能にする変換を行うよう前記ＮＡＰＴ変
換手段を設定し、前記第１の仮想ルーティング手段と前
記第２の仮想ルーティング手段との間のパケット転送を
許可するよう前記パケットフィルタリング手段を設定す
るものである。
【００１３】また、本発明のゲートウェイ装置による通
信方法は、第１のネットワークを接続先とする第１の仮
想ルーティング手段と第２のネットワークを接続先とす
る第２の仮想ルーティング手段との間の通信において、
パケットの送信元アドレス、送信元ポート番号、送信先
アドレス及び送信先ポート番号のうち少なくとも１つを
変換するＮＡＰＴ変換手順と、前記第１の仮想ルーティ
ング手段と前記第２の仮想ルーティング手段との間の通
信において、パケットの転送又は廃棄を行うパケットフ
ィルタリング手順とを実行するようにしたものである。
また、本発明のゲートウェイ装置による通信方法の１構
成例は、前記第１の仮想ルーティング手段に接続された
ユーザ端末装置と前記第１のネットワークとの通信を行
うとき、前記第１の仮想ルーティング手段と前記第１の
ネットワークとの接続を前記第１のネットワークのポリ
シサーバに対して要求する要求手順と、前記ポリシサー
バからの回答に基づいて前記第１の仮想ルーティング手
段及び前記パケットフィルタリング手段を設定する設定
手順とを実行するようにしたものである。また、本発明
のゲートウェイ装置による通信方法の１構成例は、前記
第１の仮想ルーティング手段と前記第１のネットワーク
との間に設けられたフィルタリング装置に対して、前記
第１の仮想ルーティング手段と前記第１のネットワーク
との間のパケット転送を許可するよう前記ポリシサーバ
から設定を行う手順を実行し、前記設定手順は、前記第
１の仮想ルーティング手段と前記第２の仮想ルーティン
グ手段との間の通信用のルーティング設定情報を前記第
１の仮想ルーティング手段から削除し、前記第１の仮想
ルーティング手段と前記第２の仮想ルーティング手段と
の間の通信用のパケットを全て廃棄するよう前記パケッ
トフィルタリング手段を設定するようにしたものであ
る。また、本発明のゲートウェイ装置による通信方法の
１構成例は、ユーザ端末装置と前記第１のネットワーク
とが前記第１の仮想ルーティング手段を介して接続さ
れ、かつ前記ユーザ端末装置と前記第２のネットワーク
との通信を行うとき、前記第１の仮想ルーティング手段
と前記第２のネットワークとを前記第２の仮想ルーティ
ング手段を介して接続するよう前記ポリシサーバに対し
て要求する要求手順と、前記ポリシサーバからの回答に
基づいて前記第１の仮想ルーティング手段、前記第２の
仮想ルーティング手段、前記ＮＡＰＴ変換手段及び前記
パケットフィルタリング手段を設定する設定手順とを実
行するようにしたものである。また、本発明のゲートウ
ェイ装置による通信方法の１構成例において、前記設定
手順は、前記第１の仮想ルーティング手段と前記第２の
仮想ルーティング手段との間の通信用のルーティング設
定情報を前記第１の仮想ルーティング手段と前記第２の
仮想ルーティング手段に設定し、前記第１の仮想ルーテ
ィング手段又は前記第２の仮想ルーティング手段から受
信したパケットの送信元アドレス、送信元ポート番号、
送信先アドレス及び送信先ポート番号のうち少なくとも
１つに対して、前記ユーザ端末装置と前記第２のネット
ワークとの通信を可能にする変換を行うよう前記ＮＡＰ
Ｔ変換手段を設定し、前記第１の仮想ルーティング手段
と前記第２の仮想ルーティング手段との間のパケット転
送を許可するよう前記パケットフィルタリング手段を設
定するようにしたものである。
信方法は、第１のネットワークを接続先とする第１の仮
想ルーティング手段と第２のネットワークを接続先とす
る第２の仮想ルーティング手段との間の通信において、
パケットの送信元アドレス、送信元ポート番号、送信先
アドレス及び送信先ポート番号のうち少なくとも１つを
変換するＮＡＰＴ変換手順と、前記第１の仮想ルーティ
ング手段と前記第２の仮想ルーティング手段との間の通
信において、パケットの転送又は廃棄を行うパケットフ
ィルタリング手順とを実行するようにしたものである。
また、本発明のゲートウェイ装置による通信方法の１構
成例は、前記第１の仮想ルーティング手段に接続された
ユーザ端末装置と前記第１のネットワークとの通信を行
うとき、前記第１の仮想ルーティング手段と前記第１の
ネットワークとの接続を前記第１のネットワークのポリ
シサーバに対して要求する要求手順と、前記ポリシサー
バからの回答に基づいて前記第１の仮想ルーティング手
段及び前記パケットフィルタリング手段を設定する設定
手順とを実行するようにしたものである。また、本発明
のゲートウェイ装置による通信方法の１構成例は、前記
第１の仮想ルーティング手段と前記第１のネットワーク
との間に設けられたフィルタリング装置に対して、前記
第１の仮想ルーティング手段と前記第１のネットワーク
との間のパケット転送を許可するよう前記ポリシサーバ
から設定を行う手順を実行し、前記設定手順は、前記第
１の仮想ルーティング手段と前記第２の仮想ルーティン
グ手段との間の通信用のルーティング設定情報を前記第
１の仮想ルーティング手段から削除し、前記第１の仮想
ルーティング手段と前記第２の仮想ルーティング手段と
の間の通信用のパケットを全て廃棄するよう前記パケッ
トフィルタリング手段を設定するようにしたものであ
る。また、本発明のゲートウェイ装置による通信方法の
１構成例は、ユーザ端末装置と前記第１のネットワーク
とが前記第１の仮想ルーティング手段を介して接続さ
れ、かつ前記ユーザ端末装置と前記第２のネットワーク
との通信を行うとき、前記第１の仮想ルーティング手段
と前記第２のネットワークとを前記第２の仮想ルーティ
ング手段を介して接続するよう前記ポリシサーバに対し
て要求する要求手順と、前記ポリシサーバからの回答に
基づいて前記第１の仮想ルーティング手段、前記第２の
仮想ルーティング手段、前記ＮＡＰＴ変換手段及び前記
パケットフィルタリング手段を設定する設定手順とを実
行するようにしたものである。また、本発明のゲートウ
ェイ装置による通信方法の１構成例において、前記設定
手順は、前記第１の仮想ルーティング手段と前記第２の
仮想ルーティング手段との間の通信用のルーティング設
定情報を前記第１の仮想ルーティング手段と前記第２の
仮想ルーティング手段に設定し、前記第１の仮想ルーテ
ィング手段又は前記第２の仮想ルーティング手段から受
信したパケットの送信元アドレス、送信元ポート番号、
送信先アドレス及び送信先ポート番号のうち少なくとも
１つに対して、前記ユーザ端末装置と前記第２のネット
ワークとの通信を可能にする変換を行うよう前記ＮＡＰ
Ｔ変換手段を設定し、前記第１の仮想ルーティング手段
と前記第２の仮想ルーティング手段との間のパケット転
送を許可するよう前記パケットフィルタリング手段を設
定するようにしたものである。
【００１４】
【発明の実施の形態】［第１の実施の形態］以下、本発
明の実施の形態について図面を参照して詳細に説明す
る。図１は本発明の第１の実施の形態となる通信ネット
ワークシステムの構成を示すブロック図である。ユーザ
端末装置１−１，１−２は、ゲートウェイ装置（GW）２
−１を介してアクセス網３のＢＡＳ（Broadband Access
Server ）３１と接続され、同様にユーザ端末装置１−
３，１−４は、ゲートウェイ装置２−２を介してＢＡＳ
３１と接続される。
明の実施の形態について図面を参照して詳細に説明す
る。図１は本発明の第１の実施の形態となる通信ネット
ワークシステムの構成を示すブロック図である。ユーザ
端末装置１−１，１−２は、ゲートウェイ装置（GW）２
−１を介してアクセス網３のＢＡＳ（Broadband Access
Server ）３１と接続され、同様にユーザ端末装置１−
３，１−４は、ゲートウェイ装置２−２を介してＢＡＳ
３１と接続される。
【００１５】ＢＡＳ３１は、アクセス網３の網終端装置
（NTE ）３２−１，３２−２，３２−３と接続され、ま
た接続先ネットワーク選択用のＲＡＤＩＵＳ（Remote A
ccess Dial-In User Server ）３３と接続される。アク
セス網３は、ＶＰＮ（Virtual Private Network ）サー
ビス網４およびインターネット５と接続される。ＮＴＥ
３２−１は、ＶＰＮサービス網４のフィルタリング装置
（Ｆｉｌｔｅｒ）４１−１と接続され、ＮＴＥ３２−２
は、ＶＰＮサービス網４のフィルタリング装置４１−２
と接続される。
（NTE ）３２−１，３２−２，３２−３と接続され、ま
た接続先ネットワーク選択用のＲＡＤＩＵＳ（Remote A
ccess Dial-In User Server ）３３と接続される。アク
セス網３は、ＶＰＮ（Virtual Private Network ）サー
ビス網４およびインターネット５と接続される。ＮＴＥ
３２−１は、ＶＰＮサービス網４のフィルタリング装置
（Ｆｉｌｔｅｒ）４１−１と接続され、ＮＴＥ３２−２
は、ＶＰＮサービス網４のフィルタリング装置４１−２
と接続される。
【００１６】フィルタリング装置４１−１，４１−２
は、ＲＡＤＩＵＳ４２およびポリシサーバ（PS）４３と
接続される。また、フィルタリング装置４１−１は、仮
想ルータ（VR）４４−１を介してＶＰＮ４５−１と接続
され、フィルタリング装置４１−２は、ＶＲ４４−２を
介してＶＰＮ４５−２と接続される。ＶＰＮ４５−１，
４５−２は、論理的に独立な網である。
は、ＲＡＤＩＵＳ４２およびポリシサーバ（PS）４３と
接続される。また、フィルタリング装置４１−１は、仮
想ルータ（VR）４４−１を介してＶＰＮ４５−１と接続
され、フィルタリング装置４１−２は、ＶＲ４４−２を
介してＶＰＮ４５−２と接続される。ＶＰＮ４５−１，
４５−２は、論理的に独立な網である。
【００１７】ＶＰＮ４５−１は、企業の自営網であるＶ
ＰＮサイト（Site）６−１と接続され、ＶＰＮ４５−２
は、ＶＰＮサイト６−２と接続される。ＶＰＮサイト６
−１は、ファイアウォール装置（FW）６１−１を介して
インターネット接続網（ISP）５と接続され、ＶＰＮサ
イト６−２は、ファイアウォール装置６１−２を介して
ＩＳＰ５と接続される。さらに、アクセス網３は、ＮＴ
Ｅ３２−３を介してＩＳＰ５と接続される。
ＰＮサイト（Site）６−１と接続され、ＶＰＮ４５−２
は、ＶＰＮサイト６−２と接続される。ＶＰＮサイト６
−１は、ファイアウォール装置（FW）６１−１を介して
インターネット接続網（ISP）５と接続され、ＶＰＮサ
イト６−２は、ファイアウォール装置６１−２を介して
ＩＳＰ５と接続される。さらに、アクセス網３は、ＮＴ
Ｅ３２−３を介してＩＳＰ５と接続される。
【００１８】図２は図１におけるゲートウェイ装置２−
１の構成を示すブロック図である。ゲートウェイ装置２
−１は、仮想ルーティング手段（VR）２１−１１，２１
−１２と、ファイアウォール手段（FW）２２−１と、Ｖ
ＰＮエージェント（Agent）２３と、ＰＰＰ終端手段２
４−１とから構成される。ファイアウォール手段２２−
１は、パケットフィルタリング手段（Ｆｉｌｔｅｒ）２
２−１１，２２−１２と、ＮＡＰＴ（Network Address
Port Translation）変換手段２２−１３とから構成され
る。
１の構成を示すブロック図である。ゲートウェイ装置２
−１は、仮想ルーティング手段（VR）２１−１１，２１
−１２と、ファイアウォール手段（FW）２２−１と、Ｖ
ＰＮエージェント（Agent）２３と、ＰＰＰ終端手段２
４−１とから構成される。ファイアウォール手段２２−
１は、パケットフィルタリング手段（Ｆｉｌｔｅｒ）２
２−１１，２２−１２と、ＮＡＰＴ（Network Address
Port Translation）変換手段２２−１３とから構成され
る。
【００１９】第１の仮想ルーティング手段２１−１１
は、リンクＬＬ１によりユーザ端末装置１−１と接続さ
れ、第２の仮想ルーティング手段２１−１２は、リンク
ＬＬ２によりユーザ端末装置１−２と接続される。ま
た、第１の仮想ルーティング手段２１−１１は、ゲート
ウェイ装置２−１の内部リンクＩＬ１により第１のパケ
ットフィルタリング手段２２−１１と接続され、第２の
仮想ルーティング手段２１−１２は、ゲートウェイ装置
２−１の内部リンクＩＬ２により第２のパケットフィル
タリング手段２２−１２と接続される。ＮＡＰＴ変換手
段２２−１３は、第１のパケットフィルタリング手段２
２−１１，２２−１２と接続される。
は、リンクＬＬ１によりユーザ端末装置１−１と接続さ
れ、第２の仮想ルーティング手段２１−１２は、リンク
ＬＬ２によりユーザ端末装置１−２と接続される。ま
た、第１の仮想ルーティング手段２１−１１は、ゲート
ウェイ装置２−１の内部リンクＩＬ１により第１のパケ
ットフィルタリング手段２２−１１と接続され、第２の
仮想ルーティング手段２１−１２は、ゲートウェイ装置
２−１の内部リンクＩＬ２により第２のパケットフィル
タリング手段２２−１２と接続される。ＮＡＰＴ変換手
段２２−１３は、第１のパケットフィルタリング手段２
２−１１，２２−１２と接続される。
【００２０】ＶＰＮエージェント２３は、第１の仮想ル
ーティング手段２１−１１，２１−１２及びファイアウ
ォール手段２２−１と接続される。第１の仮想ルーティ
ング手段２１−１１は、ゲートウェイ装置２−１の内部
リンクＷＬ１によりＰＰＰ終端手段２４−１と接続さ
れ、第２の仮想ルーティング手段２１−１２は、ゲート
ウェイ装置２−１の内部リンクＷＬ２によりＰＰＰ終端
手段２４−１と接続される。
ーティング手段２１−１１，２１−１２及びファイアウ
ォール手段２２−１と接続される。第１の仮想ルーティ
ング手段２１−１１は、ゲートウェイ装置２−１の内部
リンクＷＬ１によりＰＰＰ終端手段２４−１と接続さ
れ、第２の仮想ルーティング手段２１−１２は、ゲート
ウェイ装置２−１の内部リンクＷＬ２によりＰＰＰ終端
手段２４−１と接続される。
【００２１】ＰＰＰ終端手段２４−１は、内部リンクＷ
Ｌ１と外部のＰＰＰコネクションＰＰＰ１とを接続し、
内部リンクＷＬ２と外部のＰＰＰコネクションＰＰＰ２
とを接続する。ＰＰＰコネクションＰＰＰ１は、ＶＰＮ
４５−１と接続され、ＰＰＰコネクションＰＰＰ２は、
ＩＳＰ５と接続される。ゲートウェイ装置２−２の構成
もゲートウェイ装置２−１と同様である。
Ｌ１と外部のＰＰＰコネクションＰＰＰ１とを接続し、
内部リンクＷＬ２と外部のＰＰＰコネクションＰＰＰ２
とを接続する。ＰＰＰコネクションＰＰＰ１は、ＶＰＮ
４５−１と接続され、ＰＰＰコネクションＰＰＰ２は、
ＩＳＰ５と接続される。ゲートウェイ装置２−２の構成
もゲートウェイ装置２−１と同様である。
【００２２】次に、本実施の形態の動作について説明す
る。ゲートウェイ装置２−１，２−２は、ＢＡＳ３１上
においてＲＡＤＩＵＳ３３の情報を基に、接続先ネット
ワークを選択してＮＴＥ３２−１〜３２−３に対してＰ
ＰＰコネクションを設定する。ＰＰＰコネクションの認
証は、接続先ネットワークがＶＰＮサービス網４である
場合はＲＡＤＩＵＳ４２の情報に基づいて行われ、接続
先ネットワークがＩＳＰ５である場合はＲＡＤＩＵＳ５
２の情報に基づいて行われる。
る。ゲートウェイ装置２−１，２−２は、ＢＡＳ３１上
においてＲＡＤＩＵＳ３３の情報を基に、接続先ネット
ワークを選択してＮＴＥ３２−１〜３２−３に対してＰ
ＰＰコネクションを設定する。ＰＰＰコネクションの認
証は、接続先ネットワークがＶＰＮサービス網４である
場合はＲＡＤＩＵＳ４２の情報に基づいて行われ、接続
先ネットワークがＩＳＰ５である場合はＲＡＤＩＵＳ５
２の情報に基づいて行われる。
【００２３】ＲＡＤＩＵＳ４２，５２は、ゲートウェイ
装置２−１，２−２から送信されるユーザ名とパスワー
ドにより認証を行い、認証結果をゲートウェイ装置２−
１，２−２に返信する。ＲＡＤＩＵＳ４２，５２で認証
された場合のみＰＰＰコネクションが設定される。
装置２−１，２−２から送信されるユーザ名とパスワー
ドにより認証を行い、認証結果をゲートウェイ装置２−
１，２−２に返信する。ＲＡＤＩＵＳ４２，５２で認証
された場合のみＰＰＰコネクションが設定される。
【００２４】フィルタリング装置４１−１，４１−２
は、ゲートウェイ装置２−１，２−２からのパケットの
送信元アドレスを基に当該パケットをＶＲ４４−１，４
４−２へ転送するか、または廃棄する。ただし、フィル
タリング装置４１−１，４１−２は、ゲートウェイ装置
２−１，２−２からＲＡＤＩＵＳ４２及びポリシサーバ
４３へのパケットについては常に転送し、またゲートウ
ェイ装置２−１，２−２からＶＲ４４−１，４４−２へ
のパケットについては特に設定しない限り廃棄する。
は、ゲートウェイ装置２−１，２−２からのパケットの
送信元アドレスを基に当該パケットをＶＲ４４−１，４
４−２へ転送するか、または廃棄する。ただし、フィル
タリング装置４１−１，４１−２は、ゲートウェイ装置
２−１，２−２からＲＡＤＩＵＳ４２及びポリシサーバ
４３へのパケットについては常に転送し、またゲートウ
ェイ装置２−１，２−２からＶＲ４４−１，４４−２へ
のパケットについては特に設定しない限り廃棄する。
【００２５】以上の動作により、ゲートウェイ装置２−
１とＮＴＥ３２−１間、およびゲートウェイ装置２−１
とＮＴＥ３２−３間にそれぞれＰＰＰコネクションが設
定された場合のゲートウェイ装置２−１の動作を以下で
説明する。ゲートウェイ装置２−１とＶＰＮ４５−１と
の接続においては、フィルタリング装置４１−１におい
てパケットが廃棄されるため通信することはできない。
１とＮＴＥ３２−１間、およびゲートウェイ装置２−１
とＮＴＥ３２−３間にそれぞれＰＰＰコネクションが設
定された場合のゲートウェイ装置２−１の動作を以下で
説明する。ゲートウェイ装置２−１とＶＰＮ４５−１と
の接続においては、フィルタリング装置４１−１におい
てパケットが廃棄されるため通信することはできない。
【００２６】また、ゲートウェイ装置２−１とＩＳＰ５
との通信においては、ゲートウェイ装置２−１のファイ
アウォール手段２２−１を利用しないため、ゲートウェ
イ装置２−１の第２の仮想ルーティング手段２１−１２
は、ＩＳＰ５と通信することができる。この第２の仮想
ルーティング手段２１−１２のルーティングテーブル
は、図３のルーティングテーブル７１のとおり設定され
ている。図３において、Ｄｓｔ．ＩＰは送信先ＩＰアド
レス、Ｍａｓｋはサブネット・マスク、ＯｕｔＬｉｎｋ
は出力先リンクを示している。
との通信においては、ゲートウェイ装置２−１のファイ
アウォール手段２２−１を利用しないため、ゲートウェ
イ装置２−１の第２の仮想ルーティング手段２１−１２
は、ＩＳＰ５と通信することができる。この第２の仮想
ルーティング手段２１−１２のルーティングテーブル
は、図３のルーティングテーブル７１のとおり設定され
ている。図３において、Ｄｓｔ．ＩＰは送信先ＩＰアド
レス、Ｍａｓｋはサブネット・マスク、ＯｕｔＬｉｎｋ
は出力先リンクを示している。
【００２７】図３のようなルーティングテーブル７１の
設定により、第２の仮想ルーティング手段２１−１２
は、通常は受信したパケットをリンクＷＬ２に送出す
る。ただし、送信先ＩＰアドレスが「ＩＰ＃２３０」の
パケットについてはリンクＬＬ２に送出する。
設定により、第２の仮想ルーティング手段２１−１２
は、通常は受信したパケットをリンクＷＬ２に送出す
る。ただし、送信先ＩＰアドレスが「ＩＰ＃２３０」の
パケットについてはリンクＬＬ２に送出する。
【００２８】また、第２のパケットフィルタリング手段
２２−１２の機能は利用しないため、第２のパケットフ
ィルタリング手段２２−１２のフィルタリングテーブル
は図４のフィルタリングテーブル７２のとおり設定され
ている。図４において、Ａｃｔｉｏｎは第２のパケット
フィルタリング手段２２−１２によるパケットの処理
（転送又は廃棄）、Ｐｒｏｔｏは通信プロトコル、Ｄｓ
ｔ．ＩＰは送信先ＩＰアドレス、Ｍａｓｋは送信先ＩＰ
アドレスのサブネット・マスク、Ｄｓｔ．ＰｏｒｔはＴ
ＣＰヘッダに設定された送信先ポート番号、Ｓｒｃ．Ｉ
Ｐは送信元ＩＰアドレス、Ｍａｓｋは送信元ＩＰアドレ
スのサブネット・マスク、Ｓｒｃ．ＰｏｒｔはＴＣＰヘ
ッダに設定された送信元ポート番号を示している。
２２−１２の機能は利用しないため、第２のパケットフ
ィルタリング手段２２−１２のフィルタリングテーブル
は図４のフィルタリングテーブル７２のとおり設定され
ている。図４において、Ａｃｔｉｏｎは第２のパケット
フィルタリング手段２２−１２によるパケットの処理
（転送又は廃棄）、Ｐｒｏｔｏは通信プロトコル、Ｄｓ
ｔ．ＩＰは送信先ＩＰアドレス、Ｍａｓｋは送信先ＩＰ
アドレスのサブネット・マスク、Ｄｓｔ．ＰｏｒｔはＴ
ＣＰヘッダに設定された送信先ポート番号、Ｓｒｃ．Ｉ
Ｐは送信元ＩＰアドレス、Ｍａｓｋは送信元ＩＰアドレ
スのサブネット・マスク、Ｓｒｃ．ＰｏｒｔはＴＣＰヘ
ッダに設定された送信元ポート番号を示している。
【００２９】また、「ａｌｌｏｗ」は転送の許可を意味
し、「ａｎｙ」は任意の値を意味する。図４のようなフ
ィルタリングテーブル７２の設定により、第２のパケッ
トフィルタリング手段２２−１２は、全てのパケットを
転送することになる。
し、「ａｎｙ」は任意の値を意味する。図４のようなフ
ィルタリングテーブル７２の設定により、第２のパケッ
トフィルタリング手段２２−１２は、全てのパケットを
転送することになる。
【００３０】ゲートウェイ装置２−１のＶＰＮエージェ
ント２３は、予め定められた自動設定あるいはユーザ端
末装置１−１からの要求に従って、ユーザ端末装置１−
１とＶＰＮサイト６−１との通信を開始させるため、ポ
リシサーバ４３に対し、ゲートウェイ装置２−１の第１
の仮想ルーティング手段２１−１１とＶＰＮ４５−１と
を接続するよう要求する。
ント２３は、予め定められた自動設定あるいはユーザ端
末装置１−１からの要求に従って、ユーザ端末装置１−
１とＶＰＮサイト６−１との通信を開始させるため、ポ
リシサーバ４３に対し、ゲートウェイ装置２−１の第１
の仮想ルーティング手段２１−１１とＶＰＮ４５−１と
を接続するよう要求する。
【００３１】セキュリティポリシを管理するポリシサー
バ４３は、ＶＰＮエージェント２３からの要求に対する
回答として、第１の仮想ルーティング手段２１−１１と
ファイアウォール手段２２−１における第１のパケット
フィルタリング手段２２−１１の初期化をＶＰＮエージ
ェント２３に要求する。
バ４３は、ＶＰＮエージェント２３からの要求に対する
回答として、第１の仮想ルーティング手段２１−１１と
ファイアウォール手段２２−１における第１のパケット
フィルタリング手段２２−１１の初期化をＶＰＮエージ
ェント２３に要求する。
【００３２】ポリシサーバ４３の要求に応じて、ゲート
ウェイ装置２−１のＶＰＮエージェント２３は、ゲート
ウェイ装置２−１の第１のパケットフィルタリング手段
２２−１１のフィルタリングテーブルを図５のフィルタ
リングテーブル７３のとおりに設定して初期化する。
ウェイ装置２−１のＶＰＮエージェント２３は、ゲート
ウェイ装置２−１の第１のパケットフィルタリング手段
２２−１１のフィルタリングテーブルを図５のフィルタ
リングテーブル７３のとおりに設定して初期化する。
【００３３】図５において、「ｄｅｎｙ」はパケットの
廃棄を意味する。図５のようなフィルタリングテーブル
７３の設定により、第１のパケットフィルタリング手段
２２−１１は、全てのパケットを廃棄するので、ゲート
ウェイ装置２−１の第１の仮想ルーティング手段２１−
１１と第２の仮想ルーティング手段２１−１２との間の
通信は遮断される。
廃棄を意味する。図５のようなフィルタリングテーブル
７３の設定により、第１のパケットフィルタリング手段
２２−１１は、全てのパケットを廃棄するので、ゲート
ウェイ装置２−１の第１の仮想ルーティング手段２１−
１１と第２の仮想ルーティング手段２１−１２との間の
通信は遮断される。
【００３４】また、ゲートウェイ装置２−１のＶＰＮエ
ージェント２３は、ポリシサーバ４３の要求に応じて、
ゲートウェイ装置２−１の第１の仮想ルーティング手段
２１−１１のルーティングテーブルを図６のルーティン
グテーブル７４のとおり設定して初期化する。
ージェント２３は、ポリシサーバ４３の要求に応じて、
ゲートウェイ装置２−１の第１の仮想ルーティング手段
２１−１１のルーティングテーブルを図６のルーティン
グテーブル７４のとおり設定して初期化する。
【００３５】図６のようなルーティングテーブル７４の
設定により、第１の仮想ルーティング手段２１−１１
は、通常は受信したパケットをリンクＷＬ１に送出す
る。ただし、送信先ＩＰアドレスが「ＩＰ＃１１０」の
パケットについてはリンクＬＬ１に送出する。
設定により、第１の仮想ルーティング手段２１−１１
は、通常は受信したパケットをリンクＷＬ１に送出す
る。ただし、送信先ＩＰアドレスが「ＩＰ＃１１０」の
パケットについてはリンクＬＬ１に送出する。
【００３６】さらに、ポリシサーバ４３は、フィルタリ
ング装置４１−１に対して、ゲートウェイ装置２−１か
らのパケットを転送するように設定する。以上の動作に
より、ユーザ端末装置１−１とＶＰＮサイト６−１と
が、ゲートウェイ装置２−１の第１の仮想ルーティング
手段２１−１１とアクセス網３とＶＰＮサービス網４の
フィルタリング装置４１−１と仮想ルータ４４−１とＶ
ＰＮ４５−１とを介して接続され、かつＶＰＮ４５−１
とＩＳＰ５との論理的な独立性が確保される。
ング装置４１−１に対して、ゲートウェイ装置２−１か
らのパケットを転送するように設定する。以上の動作に
より、ユーザ端末装置１−１とＶＰＮサイト６−１と
が、ゲートウェイ装置２−１の第１の仮想ルーティング
手段２１−１１とアクセス網３とＶＰＮサービス網４の
フィルタリング装置４１−１と仮想ルータ４４−１とＶ
ＰＮ４５−１とを介して接続され、かつＶＰＮ４５−１
とＩＳＰ５との論理的な独立性が確保される。
【００３７】以上のように、ポリシサーバ４３は、ゲー
トウェイ装置２−１のＶＰＮエージェント２３からの要
求に基づき、ゲートウェイ装置２−１とＶＰＮ４５−１
との間のパケット転送を許可するようフィルタリング装
置４１−１を設定するので、ＶＰＮエージェント２３を
具備しないゲートウェイ装置では、フィルタリング装置
４１−１によるファイアウォール機能を設定することが
できず、ＶＰＮ４５−１と接続することができない。Ｖ
ＰＮエージェント２３を具備しないゲートウェイ装置と
ＶＰＮ４５−１との接続を排除することができる。
トウェイ装置２−１のＶＰＮエージェント２３からの要
求に基づき、ゲートウェイ装置２−１とＶＰＮ４５−１
との間のパケット転送を許可するようフィルタリング装
置４１−１を設定するので、ＶＰＮエージェント２３を
具備しないゲートウェイ装置では、フィルタリング装置
４１−１によるファイアウォール機能を設定することが
できず、ＶＰＮ４５−１と接続することができない。Ｖ
ＰＮエージェント２３を具備しないゲートウェイ装置と
ＶＰＮ４５−１との接続を排除することができる。
【００３８】次に、ゲートウェイ装置２−１のＶＰＮエ
ージェント２３は、予め定められた自動設定あるいはユ
ーザ端末装置１−１からの要求に従って、ユーザ端末装
置１−１とＩＳＰ５との通信を開始させるため、第１の
仮想ルーティング手段２１−１１から第２の仮想ルーテ
ィング手段２１−１２を経由したＩＳＰ５との通信の許
可をポリシサーバ４３に要求する。
ージェント２３は、予め定められた自動設定あるいはユ
ーザ端末装置１−１からの要求に従って、ユーザ端末装
置１−１とＩＳＰ５との通信を開始させるため、第１の
仮想ルーティング手段２１−１１から第２の仮想ルーテ
ィング手段２１−１２を経由したＩＳＰ５との通信の許
可をポリシサーバ４３に要求する。
【００３９】ポリシサーバ４３には、企業の自営網であ
るＶＰＮサイト６−１で定められたセキュリティポリ
シ、すなわちＶＰＮサイト６−１との接続のための設定
情報が事前に蓄積・管理されている。この設定情報はフ
ァイアウォール装置６１−１に設定されている情報と同
一である。同様に、ポリシサーバ４３には、ＶＰＮサイ
ト６−２で定められたセキュリティポリシが事前に蓄積
・管理されており、その設定情報はファイアウォール装
置６１−２に設定されている情報と同一である。
るＶＰＮサイト６−１で定められたセキュリティポリ
シ、すなわちＶＰＮサイト６−１との接続のための設定
情報が事前に蓄積・管理されている。この設定情報はフ
ァイアウォール装置６１−１に設定されている情報と同
一である。同様に、ポリシサーバ４３には、ＶＰＮサイ
ト６−２で定められたセキュリティポリシが事前に蓄積
・管理されており、その設定情報はファイアウォール装
置６１−２に設定されている情報と同一である。
【００４０】ポリシサーバ４３は、ＶＰＮエージェント
２３からの要求に対する回答として、ＶＰＮサイト６−
１のセキュリティポリシに従ってゲートウェイ装置２−
１の第１の仮想ルーティング手段２１−１１とＩＳＰ５
とが第２の仮想ルーティング手段２１−１２を介して接
続されるように、第１の仮想ルーティング手段２１−１
１のルーティング設定情報、第１のパケットフィルタリ
ング手段２２−１１のパケットフィルタリング設定情報
およびＮＡＰＴ変換手段２２−１３のＮＡＰＴ設定情報
をＶＰＮエージェント２３に送信する。
２３からの要求に対する回答として、ＶＰＮサイト６−
１のセキュリティポリシに従ってゲートウェイ装置２−
１の第１の仮想ルーティング手段２１−１１とＩＳＰ５
とが第２の仮想ルーティング手段２１−１２を介して接
続されるように、第１の仮想ルーティング手段２１−１
１のルーティング設定情報、第１のパケットフィルタリ
ング手段２２−１１のパケットフィルタリング設定情報
およびＮＡＰＴ変換手段２２−１３のＮＡＰＴ設定情報
をＶＰＮエージェント２３に送信する。
【００４１】ＶＰＮエージェント２３は、取得したパケ
ットフィルタリング設定情報を基に第１のパケットフィ
ルタリング手段２２−１１のフィルタリングテーブルを
図７のフィルタリングテーブル７５のとおり設定し、取
得したルーティング設定情報を基に第１の仮想ルーティ
ング手段２１−１１のルーティングテーブルを図８のル
ーティングテーブル７６のとおり設定し、第２の仮想ル
ーティング手段２１−１２のルーティングテーブルを図
９のルーティングテーブル７７のとおり設定する。
ットフィルタリング設定情報を基に第１のパケットフィ
ルタリング手段２２−１１のフィルタリングテーブルを
図７のフィルタリングテーブル７５のとおり設定し、取
得したルーティング設定情報を基に第１の仮想ルーティ
ング手段２１−１１のルーティングテーブルを図８のル
ーティングテーブル７６のとおり設定し、第２の仮想ル
ーティング手段２１−１２のルーティングテーブルを図
９のルーティングテーブル７７のとおり設定する。
【００４２】図７のようなフィルタリングテーブル７５
の設定により、第１のパケットフィルタリング手段２２
−１１は、通常は全てのパケットを廃棄する。ただし、
送信元ポート番号が「Ｐｏｒｔ＃１」で、送信先ＩＰア
ドレスが「ＩＰ＃１１０」のＴＣＰプロトコルのパケッ
ト、及び送信元ＩＰアドレスが「ＩＰ＃１１０」、送信
元ポート番号が「Ｐｏｒｔ＃２」で、送信先ポート番号
が「Ｐｏｒｔ＃１」のパケットについては転送を許可す
る。これにより、ユーザ端末装置１−１を送信先とする
パケット、あるいはユーザ端末装置１−１を送信元とす
るパケットは第１のパケットフィルタリング手段２２−
１１を通過できる。
の設定により、第１のパケットフィルタリング手段２２
−１１は、通常は全てのパケットを廃棄する。ただし、
送信元ポート番号が「Ｐｏｒｔ＃１」で、送信先ＩＰア
ドレスが「ＩＰ＃１１０」のＴＣＰプロトコルのパケッ
ト、及び送信元ＩＰアドレスが「ＩＰ＃１１０」、送信
元ポート番号が「Ｐｏｒｔ＃２」で、送信先ポート番号
が「Ｐｏｒｔ＃１」のパケットについては転送を許可す
る。これにより、ユーザ端末装置１−１を送信先とする
パケット、あるいはユーザ端末装置１−１を送信元とす
るパケットは第１のパケットフィルタリング手段２２−
１１を通過できる。
【００４３】また、図８のようなルーティングテーブル
７６の設定により、第１の仮想ルーティング手段２１−
１１は、通常は受信したパケットをリンクＩＬ１に送出
する。ただし、送信先ＩＰアドレスが「ＩＰ＃１１０」
のパケットについてはリンクＬＬ１に送出し、送信先Ｉ
Ｐアドレスが「ＩＰ＃１６０」のパケットについてはリ
ンクＷＬ１に送出する。
７６の設定により、第１の仮想ルーティング手段２１−
１１は、通常は受信したパケットをリンクＩＬ１に送出
する。ただし、送信先ＩＰアドレスが「ＩＰ＃１１０」
のパケットについてはリンクＬＬ１に送出し、送信先Ｉ
Ｐアドレスが「ＩＰ＃１６０」のパケットについてはリ
ンクＷＬ１に送出する。
【００４４】これにより、第１の仮想ルーティング手段
２１−１１は、ユーザ端末装置１−１を送信先とするパ
ケットをユーザ端末装置１−１に向けて送出し、ＶＰＮ
サイト６−１を送信先とするパケットをＶＰＮ４５−１
に向けて送出し、その他のパケットをファイアウォール
手段２２−１の第１のパケットフィルタリング手段２２
−１１に向けて送出する。
２１−１１は、ユーザ端末装置１−１を送信先とするパ
ケットをユーザ端末装置１−１に向けて送出し、ＶＰＮ
サイト６−１を送信先とするパケットをＶＰＮ４５−１
に向けて送出し、その他のパケットをファイアウォール
手段２２−１の第１のパケットフィルタリング手段２２
−１１に向けて送出する。
【００４５】また、図９のようなルーティングテーブル
７７の設定により、第２の仮想ルーティング手段２１−
１２は、通常は受信したパケットをリンクＩＬ２に送出
する。ただし、送信先ＩＰアドレスが「ＩＰ＃２３」の
パケットについてはリンクＬＬ２に送出し、送信先ＩＰ
アドレスが「ＩＰ＃２１０」のパケットについてはリン
クＷＬ２に送出する。
７７の設定により、第２の仮想ルーティング手段２１−
１２は、通常は受信したパケットをリンクＩＬ２に送出
する。ただし、送信先ＩＰアドレスが「ＩＰ＃２３」の
パケットについてはリンクＬＬ２に送出し、送信先ＩＰ
アドレスが「ＩＰ＃２１０」のパケットについてはリン
クＷＬ２に送出する。
【００４６】これにより、第２の仮想ルーティング手段
２１−１２は、ユーザ端末装置１−２を送信先とするパ
ケットをユーザ端末装置１−２に向けて送出し、ＩＳＰ
５を送信先とするパケットをＩＳＰ５に向けて送出し、
その他のパケットをファイアウォール手段２２−１の第
２のパケットフィルタリング手段２２−１２に向けて送
出する。
２１−１２は、ユーザ端末装置１−２を送信先とするパ
ケットをユーザ端末装置１−２に向けて送出し、ＩＳＰ
５を送信先とするパケットをＩＳＰ５に向けて送出し、
その他のパケットをファイアウォール手段２２−１の第
２のパケットフィルタリング手段２２−１２に向けて送
出する。
【００４７】さらに、ＶＰＮエージェント２３は、取得
したＮＡＰＴ設定情報を基にＮＡＰＴ変換手段２２−１
３のＮＡＰＴ変換テーブルを図１０のＮＡＰＴ変換テー
ブル７８のとおり設定する。図１０において、「変換
前」の行はＮＡＰＴ変換手段２２−１３による変換を受
ける前のパケットの情報、「変換後」の行は変換後のパ
ケットの情報を示している。
したＮＡＰＴ設定情報を基にＮＡＰＴ変換手段２２−１
３のＮＡＰＴ変換テーブルを図１０のＮＡＰＴ変換テー
ブル７８のとおり設定する。図１０において、「変換
前」の行はＮＡＰＴ変換手段２２−１３による変換を受
ける前のパケットの情報、「変換後」の行は変換後のパ
ケットの情報を示している。
【００４８】ＮＡＰＴ変換手段２２−１３は、受信した
パケットの送信元ＩＰアドレス、送信元ポート番号、送
信先ＩＰアドレス及び送信先ポート番号のうち少なくと
も１つをＮＡＰＴ変換テーブル７８に従って変換する。
図１０の例では、第１の仮想ルーティング手段２１−１
１から第２の仮想ルーティング手段２１−１２へ転送さ
れる、送信元ＩＰアドレスが「ＩＰ＃１１」、送信元ポ
ート番号が「Ｐｏｒｔ＃２」のパケットについて、プラ
イベートアドレス「ＩＰ＃１１」がグローバルアドレス
「ＩＰ＃２３」に変換され、送信元ポート番号「Ｐｏｒ
ｔ＃２」が「Ｐｏｒｔ＃３」に変換される。
パケットの送信元ＩＰアドレス、送信元ポート番号、送
信先ＩＰアドレス及び送信先ポート番号のうち少なくと
も１つをＮＡＰＴ変換テーブル７８に従って変換する。
図１０の例では、第１の仮想ルーティング手段２１−１
１から第２の仮想ルーティング手段２１−１２へ転送さ
れる、送信元ＩＰアドレスが「ＩＰ＃１１」、送信元ポ
ート番号が「Ｐｏｒｔ＃２」のパケットについて、プラ
イベートアドレス「ＩＰ＃１１」がグローバルアドレス
「ＩＰ＃２３」に変換され、送信元ポート番号「Ｐｏｒ
ｔ＃２」が「Ｐｏｒｔ＃３」に変換される。
【００４９】このとき、送信元ポート番号については、
同一ＩＰアドレスの送信元について送信元ポート番号が
重複しないようにＮＡＰＴ変換テーブル７８に設定され
る。以上のようなＮＡＰＴ変換の目的は、第１のネット
ワークであるＶＰＮ４５−１で利用するアドレスが付与
された複数のユーザ端末装置１が送受信するパケットに
ついて、接続先の第２のネットワークであるＩＳＰ５の
１つの固定アドレスを用いて、パケットのアドレスまた
はポート番号を変換することにより、第１のネットワー
クの複数のユーザ端末装置１と第２のネットワークとの
通信を可能にすることにある。
同一ＩＰアドレスの送信元について送信元ポート番号が
重複しないようにＮＡＰＴ変換テーブル７８に設定され
る。以上のようなＮＡＰＴ変換の目的は、第１のネット
ワークであるＶＰＮ４５−１で利用するアドレスが付与
された複数のユーザ端末装置１が送受信するパケットに
ついて、接続先の第２のネットワークであるＩＳＰ５の
１つの固定アドレスを用いて、パケットのアドレスまた
はポート番号を変換することにより、第１のネットワー
クの複数のユーザ端末装置１と第２のネットワークとの
通信を可能にすることにある。
【００５０】このため、ＮＡＰＴ変換テーブル７８は、
以下のような変換規則に基づいて設定される。 （Ａ）接続先の第２のネットワークへのパケットについ
て、送信元アドレス（第１のネットワークのユーザ端末
装置のアドレス）を接続先の第２のネットワークで利用
可能な固定アドレスに変換する。 （Ｂ）変換後の送信元ポート番号が逆変換可能となるよ
う、すなわち送信元アドレスと送信元ポート番号と送信
先アドレスと送信先ポート番号とからなる１組の情報が
変換の前後で一意に対応するよう変換する。
以下のような変換規則に基づいて設定される。 （Ａ）接続先の第２のネットワークへのパケットについ
て、送信元アドレス（第１のネットワークのユーザ端末
装置のアドレス）を接続先の第２のネットワークで利用
可能な固定アドレスに変換する。 （Ｂ）変換後の送信元ポート番号が逆変換可能となるよ
う、すなわち送信元アドレスと送信元ポート番号と送信
先アドレスと送信先ポート番号とからなる１組の情報が
変換の前後で一意に対応するよう変換する。
【００５１】このような変換規則に基づいて設定された
ＮＡＰＴ変換テーブル７８に従って、ＮＡＰＴ変換手段
２２−１３は、ユーザ端末装置から第２のネットワーク
へのパケットについて、送信元アドレス、送信元ポート
番号、送信先アドレス及び送信先ポート番号のうち少な
くとも１つを変換する。なお、第２のネットワークから
転送されて到着する、送信先アドレスが前記固定アドレ
スのパケットについては、ＮＡＰＴ変換手段２２−１３
は、ＮＡＰＴ変換テーブル７８の変換規則に基づいて逆
変換する（固定アドレスをユーザ端末装置のアドレスに
変換し、ポート番号を元のポート番号に変換する）。
ＮＡＰＴ変換テーブル７８に従って、ＮＡＰＴ変換手段
２２−１３は、ユーザ端末装置から第２のネットワーク
へのパケットについて、送信元アドレス、送信元ポート
番号、送信先アドレス及び送信先ポート番号のうち少な
くとも１つを変換する。なお、第２のネットワークから
転送されて到着する、送信先アドレスが前記固定アドレ
スのパケットについては、ＮＡＰＴ変換手段２２−１３
は、ＮＡＰＴ変換テーブル７８の変換規則に基づいて逆
変換する（固定アドレスをユーザ端末装置のアドレスに
変換し、ポート番号を元のポート番号に変換する）。
【００５２】以上の動作により、ユーザ端末装置１−１
とＩＳＰ５とが、ＶＰＮサイト６−１のセキュリティポ
リシに従って、ゲートウェイ装置２−１の第１の仮想ル
ーティング手段２１−１１とファイアウォール手段２２
−１と第２の仮想ルーティング手段２１−１２とアクセ
ス網３とを介して接続され、ＶＰＮサイト６−１のセキ
ュリティポリシに従って通信することが可能となる。
とＩＳＰ５とが、ＶＰＮサイト６−１のセキュリティポ
リシに従って、ゲートウェイ装置２−１の第１の仮想ル
ーティング手段２１−１１とファイアウォール手段２２
−１と第２の仮想ルーティング手段２１−１２とアクセ
ス網３とを介して接続され、ＶＰＮサイト６−１のセキ
ュリティポリシに従って通信することが可能となる。
【００５３】
【発明の効果】本発明によれば、ゲートウェイ装置にＮ
ＡＰＴ変換手段とパケットフィルタリング手段とを設け
ることにより、１つのアクセス回線を用いて第１のネッ
トワークと接続したユーザ端末装置が、同一のアクセス
回線を用いて他の第２のネットワークと同時に接続する
ことが可能となる。その理由は、第１の仮想ルーティン
グ手段と第２の仮想ルーティング手段とＮＡＰＴ変換手
段とパケットフィルタリング手段とを用いて、ユーザ端
末装置と２つのネットワークとの間で送受信されるパケ
ットを転送するからである。また、１つのアクセス回線
を用いて第１のネットワークと接続したユーザ端末装置
が、同一のアクセス回線を用いて第２のネットワークと
同時に接続することにより、ユーザ端末装置と第２のネ
ットワークとの通信によるトラフィックが第１のネット
ワークを通過することがなくなるので、ユーザ端末装置
の通信速度の低下や第１のネットワークの接続回線のコ
スト増大といった問題がなくなる。
ＡＰＴ変換手段とパケットフィルタリング手段とを設け
ることにより、１つのアクセス回線を用いて第１のネッ
トワークと接続したユーザ端末装置が、同一のアクセス
回線を用いて他の第２のネットワークと同時に接続する
ことが可能となる。その理由は、第１の仮想ルーティン
グ手段と第２の仮想ルーティング手段とＮＡＰＴ変換手
段とパケットフィルタリング手段とを用いて、ユーザ端
末装置と２つのネットワークとの間で送受信されるパケ
ットを転送するからである。また、１つのアクセス回線
を用いて第１のネットワークと接続したユーザ端末装置
が、同一のアクセス回線を用いて第２のネットワークと
同時に接続することにより、ユーザ端末装置と第２のネ
ットワークとの通信によるトラフィックが第１のネット
ワークを通過することがなくなるので、ユーザ端末装置
の通信速度の低下や第１のネットワークの接続回線のコ
スト増大といった問題がなくなる。
【００５４】また、第１の仮想ルーティング手段に接続
されたユーザ端末装置と第１のネットワークとの通信を
行うとき、第１の仮想ルーティング手段と第１のネット
ワークとの接続を第１のネットワークのポリシサーバに
対して要求する要求手段と、ポリシサーバからの回答に
基づいて第１の仮想ルーティング手段及びパケットフィ
ルタリング手段を設定する設定手段とをゲートウェイ装
置に設けることにより、ゲートウェイ装置が接続する初
期状態において、第１のネットワークと第２のネットワ
ークの論理的独立性を確保することが可能になる。その
理由は、ポリシサーバの回答に基づき、第１の仮想ルー
ティング手段と第２の仮想ルーティング手段との間の通
信用のルーティング設定情報を第１の仮想ルーティング
手段から削除し、第１の仮想ルーティング手段と第２の
仮想ルーティング手段との間の通信用のパケットを全て
廃棄するようパケットフィルタリング手段を設定するか
らである。
されたユーザ端末装置と第１のネットワークとの通信を
行うとき、第１の仮想ルーティング手段と第１のネット
ワークとの接続を第１のネットワークのポリシサーバに
対して要求する要求手段と、ポリシサーバからの回答に
基づいて第１の仮想ルーティング手段及びパケットフィ
ルタリング手段を設定する設定手段とをゲートウェイ装
置に設けることにより、ゲートウェイ装置が接続する初
期状態において、第１のネットワークと第２のネットワ
ークの論理的独立性を確保することが可能になる。その
理由は、ポリシサーバの回答に基づき、第１の仮想ルー
ティング手段と第２の仮想ルーティング手段との間の通
信用のルーティング設定情報を第１の仮想ルーティング
手段から削除し、第１の仮想ルーティング手段と第２の
仮想ルーティング手段との間の通信用のパケットを全て
廃棄するようパケットフィルタリング手段を設定するか
らである。
【００５５】また、ユーザ端末装置と第１のネットワー
クとが第１の仮想ルーティング手段を介して接続され、
かつユーザ端末装置と第２のネットワークとの通信を行
うとき、第１の仮想ルーティング手段と第２のネットワ
ークとを第２の仮想ルーティング手段を介して接続する
ようポリシサーバに対して要求する要求手段と、ポリシ
サーバからの回答に基づいて第１の仮想ルーティング手
段、第２の仮想ルーティング手段、ＮＡＰＴ変換手段及
びパケットフィルタリング手段を設定する設定手段とを
ゲートウェイ装置に設けることにより、ユーザ端末装置
と第２のネットワークとが、第１のネットワークで定め
られた統一的なセキュリティポリシに従ったファイアウ
ォールを介して通信することを可能とし、またそのファ
イアウォール設定を自動化することができる。その理由
は、第１の仮想ルーティング手段と第２のネットワーク
とを第２の仮想ルーティング手段を介して接続するよう
ポリシサーバに対して要求し、ポリシサーバの回答から
第１の仮想ルーティング手段及び第２の仮想ルーティン
グ手段のルーティング設定情報とＮＡＰＴ変換手段のＮ
ＡＰＴ設定情報とパケットフィルタリング手段の実行規
則とを取得して、ルーティング設定情報を第１の仮想ル
ーティング手段と第２の仮想ルーティング手段に設定
し、第１の仮想ルーティング手段又は第２の仮想ルーテ
ィング手段から受信したパケットの送信元アドレス、送
信元ポート番号、送信先アドレス及び送信先ポート番号
のうち少なくとも１つを変換するようＮＡＰＴ変換手段
を設定し、第１の仮想ルーティング手段と第２の仮想ル
ーティング手段との間のパケット転送を許可するようパ
ケットフィルタリング手段を設定するからである。その
結果、企業は、自営網を通過するトラフィックを抑制し
つつファイアウォールの統一的な設定によりセキュリテ
ィを確保した広域社内網を構築することができる。
クとが第１の仮想ルーティング手段を介して接続され、
かつユーザ端末装置と第２のネットワークとの通信を行
うとき、第１の仮想ルーティング手段と第２のネットワ
ークとを第２の仮想ルーティング手段を介して接続する
ようポリシサーバに対して要求する要求手段と、ポリシ
サーバからの回答に基づいて第１の仮想ルーティング手
段、第２の仮想ルーティング手段、ＮＡＰＴ変換手段及
びパケットフィルタリング手段を設定する設定手段とを
ゲートウェイ装置に設けることにより、ユーザ端末装置
と第２のネットワークとが、第１のネットワークで定め
られた統一的なセキュリティポリシに従ったファイアウ
ォールを介して通信することを可能とし、またそのファ
イアウォール設定を自動化することができる。その理由
は、第１の仮想ルーティング手段と第２のネットワーク
とを第２の仮想ルーティング手段を介して接続するよう
ポリシサーバに対して要求し、ポリシサーバの回答から
第１の仮想ルーティング手段及び第２の仮想ルーティン
グ手段のルーティング設定情報とＮＡＰＴ変換手段のＮ
ＡＰＴ設定情報とパケットフィルタリング手段の実行規
則とを取得して、ルーティング設定情報を第１の仮想ル
ーティング手段と第２の仮想ルーティング手段に設定
し、第１の仮想ルーティング手段又は第２の仮想ルーテ
ィング手段から受信したパケットの送信元アドレス、送
信元ポート番号、送信先アドレス及び送信先ポート番号
のうち少なくとも１つを変換するようＮＡＰＴ変換手段
を設定し、第１の仮想ルーティング手段と第２の仮想ル
ーティング手段との間のパケット転送を許可するようパ
ケットフィルタリング手段を設定するからである。その
結果、企業は、自営網を通過するトラフィックを抑制し
つつファイアウォールの統一的な設定によりセキュリテ
ィを確保した広域社内網を構築することができる。
【００５６】また、第１の仮想ルーティング手段と第１
のネットワークとの間に設けられたフィルタリング装置
に対して、第１の仮想ルーティング手段と第１のネット
ワークとの間のパケット転送を許可するようポリシサー
バから設定を行う手順を実行することにより、要求手段
及び設定手段を具備しないゲートウェイ装置とネットワ
ークとの接続を排除することができる。その理由は、ポ
リシサーバはゲートウェイ装置の要求手段からの要求に
基づき第１の仮想ルーティング手段と第１のネットワー
クとの間のパケット転送を許可するようフィルタリング
装置を設定するので、要求手段及び設定手段を具備しな
いゲートウェイ装置ではフィルタリング装置によるファ
イアウォール機能を設定することができないからであ
る。
のネットワークとの間に設けられたフィルタリング装置
に対して、第１の仮想ルーティング手段と第１のネット
ワークとの間のパケット転送を許可するようポリシサー
バから設定を行う手順を実行することにより、要求手段
及び設定手段を具備しないゲートウェイ装置とネットワ
ークとの接続を排除することができる。その理由は、ポ
リシサーバはゲートウェイ装置の要求手段からの要求に
基づき第１の仮想ルーティング手段と第１のネットワー
クとの間のパケット転送を許可するようフィルタリング
装置を設定するので、要求手段及び設定手段を具備しな
いゲートウェイ装置ではフィルタリング装置によるファ
イアウォール機能を設定することができないからであ
る。
【図１】 本発明の第１の実施の形態となる通信ネット
ワークシステムの構成を示すブロック図である。
ワークシステムの構成を示すブロック図である。
【図２】 本発明の第１の実施の形態におけるゲートウ
ェイ装置の構成を示すブロック図である。
ェイ装置の構成を示すブロック図である。
【図３】 本発明の第１の実施の形態におけるゲートウ
ェイ装置の第２の仮想ルーティング手段のルーティング
テーブルの１例を示す図である。
ェイ装置の第２の仮想ルーティング手段のルーティング
テーブルの１例を示す図である。
【図４】 本発明の第１の実施の形態におけるゲートウ
ェイ装置の第２のパケットフィルタリング手段のフィル
タリングテーブルの１例を示す図である。
ェイ装置の第２のパケットフィルタリング手段のフィル
タリングテーブルの１例を示す図である。
【図５】 本発明の第１の実施の形態におけるゲートウ
ェイ装置の第１のパケットフィルタリング手段のフィル
タリングテーブルの１例を示す図である。
ェイ装置の第１のパケットフィルタリング手段のフィル
タリングテーブルの１例を示す図である。
【図６】 本発明の第１の実施の形態におけるゲートウ
ェイ装置の第１の仮想ルーティング手段のルーティング
テーブルの１例を示す図である。
ェイ装置の第１の仮想ルーティング手段のルーティング
テーブルの１例を示す図である。
【図７】 本発明の第１の実施の形態におけるゲートウ
ェイ装置の第１のパケットフィルタリング手段のフィル
タリングテーブルの１例を示す図である。
ェイ装置の第１のパケットフィルタリング手段のフィル
タリングテーブルの１例を示す図である。
【図８】 本発明の第１の実施の形態におけるゲートウ
ェイ装置の第１の仮想ルーティング手段のルーティング
テーブルの１例を示す図である。
ェイ装置の第１の仮想ルーティング手段のルーティング
テーブルの１例を示す図である。
【図９】 本発明の第１の実施の形態におけるゲートウ
ェイ装置の第２の仮想ルーティング手段のルーティング
テーブルの１例を示す図である。
ェイ装置の第２の仮想ルーティング手段のルーティング
テーブルの１例を示す図である。
【図１０】 本発明の第１の実施の形態におけるゲート
ウェイ装置のＮＡＰＴ変換手段のＮＡＰＴ変換テーブル
の１例を示す図である。
ウェイ装置のＮＡＰＴ変換手段のＮＡＰＴ変換テーブル
の１例を示す図である。
１−１〜１−４…ユーザ端末装置、２−１、２−２…ゲ
ートウェイ装置、３…アクセス網、４…ＶＰＮサービス
網、５…ＩＳＰ、６−１、６−２…ＶＰＮサイト、２１
−１１、２１−１２…仮想ルーティング手段、２２−１
…ファイアウォール手段、２２−１１、２２−１２…パ
ケットフィルタリング手段、２２−１３…ＮＡＰＴ変換
手段、２３…ＶＰＮエージェント、２４−１…ＰＰＰ終
端手段、３１…ＢＡＳ、３２−１〜３２−３…網終端装
置、４１−１、４１−２…フィルタリング装置、４３…
ポリシサーバ、４４−１、４４−２…仮想ルータ、４５
−１、４５−２…ＶＰＮ、６１−１、６１−２…ファイ
アウォール装置。
ートウェイ装置、３…アクセス網、４…ＶＰＮサービス
網、５…ＩＳＰ、６−１、６−２…ＶＰＮサイト、２１
−１１、２１−１２…仮想ルーティング手段、２２−１
…ファイアウォール手段、２２−１１、２２−１２…パ
ケットフィルタリング手段、２２−１３…ＮＡＰＴ変換
手段、２３…ＶＰＮエージェント、２４−１…ＰＰＰ終
端手段、３１…ＢＡＳ、３２−１〜３２−３…網終端装
置、４１−１、４１−２…フィルタリング装置、４３…
ポリシサーバ、４４−１、４４−２…仮想ルータ、４５
−１、４５−２…ＶＰＮ、６１−１、６１−２…ファイ
アウォール装置。
─────────────────────────────────────────────────────
フロントページの続き
(51)Int.Cl.7 識別記号 ＦＩ テーマコート゛(参考）
Ｈ０４Ｌ 12/56 １００ Ｈ０４Ｌ 12/56 １００Ｚ
Claims (10)
- 【請求項１】 論理的に独立した複数のルータとして動
作する複数の仮想ルーティング手段を備え、ユーザ端末
装置と接続先ネットワークとを接続するゲートウェイ装
置において、 第１のネットワークを接続先とする第１の仮想ルーティ
ング手段と第２のネットワークを接続先とする第２の仮
想ルーティング手段との間の通信において、パケットの
送信元アドレス、送信元ポート番号、送信先アドレス及
び送信先ポート番号のうち少なくとも１つを変換するＮ
ＡＰＴ変換手段と、 前記第１の仮想ルーティング手段と前記第２の仮想ルー
ティング手段との間の通信において、パケットの転送又
は廃棄を行うパケットフィルタリング手段とを有するこ
とを特徴とするゲートウェイ装置。 - 【請求項２】 請求項１に記載のゲートウェイ装置にお
いて、 前記第１の仮想ルーティング手段に接続されたユーザ端
末装置と前記第１のネットワークとの通信を行うとき、
前記第１の仮想ルーティング手段と前記第１のネットワ
ークとの接続を前記第１のネットワークのポリシサーバ
に対して要求する要求手段と、 前記ポリシサーバからの回答に基づいて前記第１の仮想
ルーティング手段及び前記パケットフィルタリング手段
を設定する設定手段とを有することを特徴とするゲート
ウェイ装置。 - 【請求項３】 請求項２に記載のゲートウェイ装置にお
いて、 前記設定手段は、前記第１の仮想ルーティング手段と前
記第２の仮想ルーティング手段との間の通信用のルーテ
ィング設定情報を前記第１の仮想ルーティング手段から
削除し、前記第１の仮想ルーティング手段と前記第２の
仮想ルーティング手段との間の通信用のパケットを全て
廃棄するよう前記パケットフィルタリング手段を設定す
ることを特徴とするゲートウェイ装置。 - 【請求項４】 請求項１に記載のゲートウェイ装置にお
いて、 ユーザ端末装置と前記第１のネットワークとが前記第１
の仮想ルーティング手段を介して接続され、かつ前記ユ
ーザ端末装置と前記第２のネットワークとの通信を行う
とき、前記第１の仮想ルーティング手段と前記第２のネ
ットワークとを前記第２の仮想ルーティング手段を介し
て接続するよう前記ポリシサーバに対して要求する要求
手段と、 前記ポリシサーバからの回答に基づいて前記第１の仮想
ルーティング手段、前記第２の仮想ルーティング手段、
前記ＮＡＰＴ変換手段及び前記パケットフィルタリング
手段を設定する設定手段とを有することを特徴とするゲ
ートウェイ装置。 - 【請求項５】 請求項４に記載のゲートウェイ装置にお
いて、 前記設定手段は、前記第１の仮想ルーティング手段と前
記第２の仮想ルーティング手段との間の通信用のルーテ
ィング設定情報を前記第１の仮想ルーティング手段と前
記第２の仮想ルーティング手段に設定し、前記第１の仮
想ルーティング手段又は前記第２の仮想ルーティング手
段から受信したパケットの送信元アドレス、送信元ポー
ト番号、送信先アドレス及び送信先ポート番号のうち少
なくとも１つに対して、前記ユーザ端末装置と前記第２
のネットワークとの通信を可能にする変換を行うよう前
記ＮＡＰＴ変換手段を設定し、前記第１の仮想ルーティ
ング手段と前記第２の仮想ルーティング手段との間のパ
ケット転送を許可するよう前記パケットフィルタリング
手段を設定することを特徴とするゲートウェイ装置。 - 【請求項６】 論理的に独立した複数のルータとして動
作する複数の仮想ルーティング手段を備えたゲートウェ
イ装置による通信方法において、 第１のネットワークを接続先とする第１の仮想ルーティ
ング手段と第２のネットワークを接続先とする第２の仮
想ルーティング手段との間の通信において、パケットの
送信元アドレス、送信元ポート番号、送信先アドレス及
び送信先ポート番号のうち少なくとも１つを変換するＮ
ＡＰＴ変換手順と、 前記第１の仮想ルーティング手段と前記第２の仮想ルー
ティング手段との間の通信において、パケットの転送又
は廃棄を行うパケットフィルタリング手順とを実行する
ことを特徴とするゲートウェイ装置による通信方法。 - 【請求項７】 請求項６に記載のゲートウェイ装置によ
る通信方法において、 前記第１の仮想ルーティング手段に接続されたユーザ端
末装置と前記第１のネットワークとの通信を行うとき、
前記第１の仮想ルーティング手段と前記第１のネットワ
ークとの接続を前記第１のネットワークのポリシサーバ
に対して要求する要求手順と、 前記ポリシサーバからの回答に基づいて前記第１の仮想
ルーティング手段及び前記パケットフィルタリング手段
を設定する設定手順とを実行することを特徴とするゲー
トウェイ装置による通信方法。 - 【請求項８】 請求項７に記載のゲートウェイ装置によ
る通信方法において、 前記第１の仮想ルーティング手段と前記第１のネットワ
ークとの間に設けられたフィルタリング装置に対して、
前記第１の仮想ルーティング手段と前記第１のネットワ
ークとの間のパケット転送を許可するよう前記ポリシサ
ーバから設定を行う手順を実行し、 前記設定手順は、前記第１の仮想ルーティング手段と前
記第２の仮想ルーティング手段との間の通信用のルーテ
ィング設定情報を前記第１の仮想ルーティング手段から
削除し、前記第１の仮想ルーティング手段と前記第２の
仮想ルーティング手段との間の通信用のパケットを全て
廃棄するよう前記パケットフィルタリング手段を設定す
ることを特徴とするゲートウェイ装置による通信方法。 - 【請求項９】 請求項６に記載のゲートウェイ装置によ
る通信方法において、 ユーザ端末装置と前記第１のネットワークとが前記第１
の仮想ルーティング手段を介して接続され、かつ前記ユ
ーザ端末装置と前記第２のネットワークとの通信を行う
とき、前記第１の仮想ルーティング手段と前記第２のネ
ットワークとを前記第２の仮想ルーティング手段を介し
て接続するよう前記ポリシサーバに対して要求する要求
手順と、 前記ポリシサーバからの回答に基づいて前記第１の仮想
ルーティング手段、前記第２の仮想ルーティング手段、
前記ＮＡＰＴ変換手段及び前記パケットフィルタリング
手段を設定する設定手順とを実行することを特徴とする
ゲートウェイ装置による通信方法。 - 【請求項１０】 請求項９に記載のゲートウェイ装置に
よる通信方法において、 前記設定手順は、前記第１の仮想ルーティング手段と前
記第２の仮想ルーティング手段との間の通信用のルーテ
ィング設定情報を前記第１の仮想ルーティング手段と前
記第２の仮想ルーティング手段に設定し、前記第１の仮
想ルーティング手段又は前記第２の仮想ルーティング手
段から受信したパケットの送信元アドレス、送信元ポー
ト番号、送信先アドレス及び送信先ポート番号のうち少
なくとも１つに対して、前記ユーザ端末装置と前記第２
のネットワークとの通信を可能にする変換を行うよう前
記ＮＡＰＴ変換手段を設定し、前記第１の仮想ルーティ
ング手段と前記第２の仮想ルーティング手段との間のパ
ケット転送を許可するよう前記パケットフィルタリング
手段を設定することを特徴とするゲートウェイ装置によ
る通信方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002038328A JP3714549B2 (ja) | 2002-02-15 | 2002-02-15 | ゲートウェイ装置及びそれによる通信方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002038328A JP3714549B2 (ja) | 2002-02-15 | 2002-02-15 | ゲートウェイ装置及びそれによる通信方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003244245A true JP2003244245A (ja) | 2003-08-29 |
| JP3714549B2 JP3714549B2 (ja) | 2005-11-09 |
Family
ID=27779671
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002038328A Expired - Fee Related JP3714549B2 (ja) | 2002-02-15 | 2002-02-15 | ゲートウェイ装置及びそれによる通信方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3714549B2 (ja) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2013017077A (ja) * | 2011-07-05 | 2013-01-24 | Fujitsu Ltd | 情報処理装置、情報処理プログラムおよび管理方法 |
| US8856786B2 (en) | 2011-06-29 | 2014-10-07 | Fujitsu Limited | Apparatus and method for monitoring communication performed by a virtual machine |
| JP2014241511A (ja) * | 2013-06-11 | 2014-12-25 | 富士通株式会社 | ネットワーク分離方法及びネットワーク分離装置 |
-
2002
- 2002-02-15 JP JP2002038328A patent/JP3714549B2/ja not_active Expired - Fee Related
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8856786B2 (en) | 2011-06-29 | 2014-10-07 | Fujitsu Limited | Apparatus and method for monitoring communication performed by a virtual machine |
| JP2013017077A (ja) * | 2011-07-05 | 2013-01-24 | Fujitsu Ltd | 情報処理装置、情報処理プログラムおよび管理方法 |
| JP2014241511A (ja) * | 2013-06-11 | 2014-12-25 | 富士通株式会社 | ネットワーク分離方法及びネットワーク分離装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3714549B2 (ja) | 2005-11-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4738901B2 (ja) | Ｖｌａｎｉｄ動的割当方法及びパケット転送装置 | |
| US7489700B2 (en) | Virtual access router | |
| US7835370B2 (en) | System and method for DSL subscriber identification over ethernet network | |
| US8036237B2 (en) | System and method for transparent virtual routing | |
| US6381646B2 (en) | Multiple network connections from a single PPP link with partial network address translation | |
| US8165156B1 (en) | Ethernet DSL access multiplexer and method providing dynamic service selection and end-user configuration | |
| JP4394590B2 (ja) | パケット中継装置および通信帯域制御方法 | |
| US6490289B1 (en) | Multiple network connections from a single PPP link with network address translation | |
| JP4236398B2 (ja) | 通信方法、通信システム及び通信接続プログラム | |
| US9088619B2 (en) | Quality of service based on logical port identifier for broadband aggregation networks | |
| US8451833B2 (en) | System and method for transparent virtual routing | |
| EP1589705B1 (en) | Method and system configured for facilitating residential broadband service | |
| US20030174714A1 (en) | Zero-installation PPP-Bridge setup for lan-to-wan connectivity | |
| US20040105444A1 (en) | Auto-configuration of broadband service for one of a plurality of network communication protocols | |
| JP2007536851A (ja) | セッションベースのパケット交換装置 | |
| JP4241329B2 (ja) | 仮想アクセスルータ | |
| JP4166609B2 (ja) | 通信装置 | |
| JP3714549B2 (ja) | ゲートウェイ装置及びそれによる通信方法 | |
| Cisco | Configuring NI-2 IP Services | |
| Cisco | Miscellaneous Features | |
| Cisco | Configuring Broadband Access: PPP and Routed Bridge Encapsulation | |
| Cisco | Miscellaneous Features | |
| Cisco | Index | |
| Cisco | Overview | |
| Cisco | Configuring Protocol Translation and Virtual Asynchronous Devices |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050520 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050817 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050818 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080902 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090902 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090902 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100902 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100902 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110902 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120902 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130902 Year of fee payment: 8 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| LAPS | Cancellation because of no payment of annual fees |