JP2005277498A - 通信システム - Google Patents

Abstract

【課題】 高品質なルーティング処理を行い運用性の向上を図る。
【解決手段】 ＩＰｓｅｃトンネル制御部１１は、自装置１０とリモートルータＲ１との間で、ＩＳＡＫＭＰデフォルトルートにより、インターネット４上にＩＰｓｅｃトンネルを確立する。ルーティング登録処理部１２は、ルーティングテーブルＴ１に対して、宛先アドレスであるローカルＩＰアドレスが静的に登録され、登録したローカルＩＰアドレス以外のアドレスに対するＩＰデフォルトルートとして第２のルータが静的に登録され、ＩＰｓｅｃトンネルの確立時には、リモートルータＲ１のグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録する。パケット転送部１３は、ルーティングテーブルＴ１にもとづき、パケット転送を行う。
【選択図】 図１

Description

本発明は通信システムに関し、特にルーティング処理をしてパケットの通信を行う通信システムに関する。

情報通信ネットワークは、多種多様な形態が構築されており、伝送容量の増大に伴い、通信品質及びサービス性のさらなる向上が期待されている。このような状況の中で、ネットワーク通信は盗聴や改ざんなど、様々な脅威にさらされており、セキュリティ機能の重要性はますます高まってきている。

各種のセキュリティ機能は、例えば、メール通信の保護にはＰＧＰ（Pretty Good Privacy）、ＷＷＷ通信の保護にはＳＳＬ（Secure Sockets Layer）というように、アプリケーション毎に個別にセキュリティ用のプロトコルが用意されて保護されていた。

これに対して、近年、ＩＰｓｅｃ（IP Security Architecture）と呼ばれるセキュリティ技術が注目されている。ＩＰｓｅｃは、ＩＰパケット自体に秘匿性を持たせ、パケット情報を保証しアクセス制御を行うことで、特定のアプリケーションではなく、ＩＰパケット単位でセキュリティを実現するものである。これにより、アプリケーション毎にセキュリティ機能を用意する必要がなく、多様なアプリケーションを保護できるという特徴を持っている。

また、ＩＰｓｅｃは、ＶＰＮ（Virtual Private Network）を実現するための方法としても利用されている。ＶＰＮは、拠点間を結んで構築した仮想的なプライベート通信網のことであり、ＶＰＮにより、社内で構築したネットワークを使って、公衆回線をあたかも専用線のように利用することができる。

ＶＰＮは一般にＩＰ−ＶＰＮとインターネットＶＰＮがある。通信事業者が独自に構築した閉域ＩＰ網をバックボーンにして構築されたものがＩＰ−ＶＰＮであり、インターネット上で実現されるＶＰＮをインターネットＶＰＮと呼んでいる。

インターネットＶＰＮでは、バックボーンにインターネットを使っているので、回線を維持するための費用がＩＰ−ＶＰＮと比べて非常に安く、低コストで運用できるという利点を持っている。ただし、インターネットを流れるデータはそのままでは盗聴・改ざん等の恐れがあるため、インターネットＶＰＮでは、安全でないインターネット上で安全な通信を行うために、ＩＰｓｅｃを使用して通信内容を暗号化し、機密性の高いデータを通信できるようにしている。

一方、従来の技術としては、ＬＡＮとインターネットとの間に位置するゲートウェイが、ＩＰｓｅｃプロトコルのポートを予約した場合には通常のネットワーク変換を停止して、ＩＰｓｅｃプロトコルを使用して、ＬＡＮとインターネットとの通信を暗号化する技術が提案されている（例えば、特許文献１）。
特開２００１−３１３６７９号公報（第７頁−第８頁，第１図）

上記で説明したようなインターネットＶＰＮは、低コストでセキュリティを確保して運用できる通信形態として、主に企業ユーザを対象に今後広く実用化されるものと予想される。

一方、インターネットＶＰＮのネットワーク環境上で、さらにイントラネット（ローカルネットワーク）からインターネットへＷｅｂアクセスしようとする場合には、インターネットと接続するための専用のゲートウェイサーバ（ファイアウォール機構を有する）を設けて、このゲートウェイサーバを介してインターネットと通信を行うことになる。

したがって、全体のネットワークとしては、離れた箇所のイントラネット間を安価なインターネット接続サービスを利用して、その間をＩＰｓｅｃで暗号化して接続し、さらにイントラネットからインターネットへは、ゲートウェイサーバ経由のみ許可するといった、インターネット接続環境が２ルート存在するネットワークを構築することになる。

インターネット接続サービスとして、固定ＩＰアドレスではなく、接続するたびに変わる不定ＩＰアドレスを使用すると、インターネット経路とイントラネット経路の境界に位置するセンタルータは、一般にデフォルトルート制御を行ってルーティングを行うことになる。しかし、上記のように構築されたネットワーク環境においては、正常なルーティングが可能なデフォルトルートを設定することができないため、送信先ＩＰアドレスが設定できず、ルーティング処理させることができないといった問題があった。

また、この問題を解決するために従来では、ポリシールーティング（ユーザやプロバイダのサービス提供方針をベースにしてルーティングの動作を決定付けて操作するルーティング方法）を用いてルーティング処理を行っていたが、ポリシールーティングを実行するには複雑な設定が必要となるため、ネットワーク管理者にとって負担が大きく、効率も悪いため、利便性及び運用性の高いものとはいえなかった。

また、従来技術（特開２００１−３１３６７９号公報）においても、上述のようなネットワーク構成については考慮されておらず、問題点に対応することはできない。
本発明はこのような点に鑑みてなされたものであり、インターネット上にＩＰｓｅｃトンネルを確立してイントラネット同士を接続してインターネットとの通信はゲートウェイサーバ経由のみ許可されるネットワーク環境上で、高品質なルーティング処理を実現した通信システムを提供することを目的とする。

本発明では上記課題を解決するために、図１に示すような、パケットの通信を行う通信システム１において、インターネット４と接続する第１のルータＡと、イントラネット３に接続する第２のルータＢと、インターネット４とローカルネットワークの境界に位置し、インターネット４と接続して通信する際には不定ＩＰアドレスが配布されるリモートルータＲ１と、自装置１０とリモートルータＲ１との間で、第１のルータＡへの送信先を示すＩＳＡＫＭＰデフォルトルートを用いて、インターネット４上にＩＰｓｅｃトンネルを確立するＩＰｓｅｃトンネル制御部１１と、ルーティングテーブルＴ１に対して、宛先アドレスであるローカルＩＰアドレスが静的に登録され、登録したローカルＩＰアドレス以外のアドレスに対するＩＰデフォルトルートとして第２のルータＢが静的に登録され、ＩＰｓｅｃトンネルの確立時には、リモートルータＲ１のグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録するルーティング登録処理部１２と、ルーティングテーブルにもとづきパケット転送を行うパケット転送部１３と、から構成され、第１のルータＡと第２のルータＢとに接続して、インターネット４とイントラネット３の境界に位置するセンタルータ１０と、を有することを特徴とする通信システム１が提供される。

ここで、ＩＰｓｅｃトンネル制御部１１は、自装置１０とリモートルータＲ１との間で、第１のルータＡへの送信先を示すＩＳＡＫＭＰデフォルトルートを用いて、インターネット４上にＩＰｓｅｃトンネルを確立する。ルーティング登録処理部１２は、ルーティングテーブルＴ１に対して、宛先アドレスであるローカルＩＰアドレスが静的に登録され、登録したローカルＩＰアドレス以外のアドレスに対するＩＰデフォルトルートとして第２のルータＢが静的に登録され、ＩＰｓｅｃトンネルの確立時には、リモートルータＲ１のグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録する。パケット転送部１３は、ルーティングテーブルＴ１にもとづきパケット転送を行う。

本発明の通信システムでは、ＩＰｓｅｃトンネル制御部は、インターネット上にＩＰｓｅｃトンネルを確立する。ルーティング登録処理部は、宛先アドレスであるローカルＩＰアドレスが静的に登録され、登録したローカルＩＰアドレス以外のアドレスに対するデフォルトルートとして、イントラネットに接続する第２のルータが静的に登録される。また、ＩＰｓｅｃトンネルの確立時には、リモートルータのグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録する。そして、パケット転送部は、ルーティングテーブルにもとづきパケット転送を行う構成とした。これにより、インターネット上にＩＰｓｅｃを利用してイントラネット及びローカルネットワークを接続してインターネットとの通信はゲートウェイサーバ経由のみ許可されるネットワーク環境上においても、ポリシールーティングのような複雑な設定を必要とせずに、高品質なルーティング処理を実現することができるので、ネットワーク管理の利便性及び運用性の向上を図ることが可能になる。

以下、本発明の実施の形態を図面を参照して説明する。図１は本発明の通信システムの原理図である。本発明の通信システム１は、第１のルータ（以下、ルータＡ）、第２のルータ（以下、ルータＢ）、リモートルータＲ１、センタルータ１０を有する。

本発明のシステムが適用されるネットワーク１００の環境は、センタルータ１０は、インターネット４とイントラネット３の境界に位置してルータＡ、Ｂと接続し、ルータＡはインターネット４と接続し、ルータＢはイントラネット３に接続する。

また、ゲートウェイＧＷは、イントラネット３とインターネット４に接続する。ゲートウェイＧＷは、ファイアウォール機構を有し、ネットワーク変換（グローバルＩＰアドレスとローカルＩＰアドレスとのアドレス変換）を行う機器である。リモートルータＲ１は、ローカルネットワーク５と接続して、インターネット４とローカルネットワーク５の境界に位置する（イントラネット３とローカルネットワーク５は、名称は変えているが、どちらも同じ閉域ネットワークであるので、ローカルネットワークをイントラネットとして見てもよい）。リモートルータＲ１の配下には端末５１が設けられている。

このような環境において、センタルータ１０とリモートルータＲ１（なお、リモートルータＲ１はインターネット４と接続して通信する際には不定ＩＰアドレスが配布される）とは、ＩＳＡＫＭＰ（Internet Security Association and Key Management Protocol）による通信制御を行ってＩＰｓｅｃトンネルを確立する。

そして、本発明においては、ローカルネットワーク５内の端末５１は、ＩＰｓｅｃトンネルを通じて構築されたインターネットＶＰＮを利用してイントラネット３と通信することができ、さらにゲートウェイＧＷを介してインターネット４との通信を行うことができる（ＩＳＡＫＭＰ、ＩＰｓｅｃトンネルの概要は後述）。

センタルータ（本発明のルータ装置）１０は、ＩＰｓｅｃトンネル制御部１１、ルーティング登録処理部１２、パケット転送部１３から構成される。ＩＰｓｅｃトンネル制御部１１は、自装置１０とリモートルータＲ１との間で、ルータＡへの送信先を示すＩＳＡＫＭＰデフォルトルートを用いて、インターネット４上にＩＰｓｅｃトンネルを確立する。

ルーティング登録処理部１２は、経路情報の登録がなされるルーティングテーブルＴ１を有している。ルーティングテーブルＴ１には、宛先アドレスであるローカルＩＰアドレスが静的に登録される。また、登録したローカルＩＰアドレス以外のアドレスに対するＩＰデフォルトルートとしてルータＢが静的に登録される。さらに、ＩＰｓｅｃトンネルの確立時には、リモートルータＲ１のグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレス及び送信先ルートとしてルータＡを動的に登録する。

なお、静的（スタティック：static）に登録するとは、経路情報（宛先アドレス）をネットワーク管理者が事前にテーブルに設定するということで、このように登録された経路情報にもとづくルーティングをスタティック・ルーティングと呼ぶ。また、動的（ダイナミック：dynamic）に登録するとは、経路情報を機器が自動的にテーブルに設定するということで、このように登録された経路情報にもとづくルーティングをダイナミック・ルーティングと呼ぶ。

パケット転送部１３は、ルーティングテーブルＴ１に登録されている内容にもとづき、パケット転送を行う。このとき、ＩＰｓｅｃトンネルの確立前に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致する場合は、そのパケットは送信先未定のためパケットを廃棄する。

また、ＩＰｓｅｃトンネルの確立前に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致しない場合は、ＩＰデフォルトルートであるルータＢへパケットを転送する。

さらに、ＩＰｓｅｃトンネルの確立後に、カプセリングを外した後の送信パケットの宛先アドレスが、登録されているアドレスと一致しない場合は、デフォルトルートであるルータＢへパケットを転送する。

また、ＩＰｓｅｃトンネルの確立後に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致する場合は、ローカルＩＰアドレスに対応するグローバルＩＰアドレス（ルーティング登録処理部１２で動的に登録されたもの）でパケットをカプセル化してルータＡへ転送する。なお、本発明の通信動作の詳細については図７以降で後述する。

次にＩＰｓｅｃ通信の概要も含めて本発明が解決すべき問題点について図２〜図６を用いて詳しく説明する。図２はインターネットＶＰＮの構成を示す図である。ネットワーク１１０に対し、センタルータ２０は、インターネット４と接続するルータＡと接続し、イントラネット３と接続するルータＢと接続している。リモートルータＲ１の配下に端末５１が接続している。また、リモートルータＲ１とセンタルータ２０は、ＩＰｓｅｃ通信機能をサポートしているものとする。

ここで、センタルータ２０は、ルーティング処理を行うために、宛先アドレスとネクストホップとの対応関係を示すルーティングテーブルを有しており、イントラネット３内のローカルＩＰアドレス及びリモートルータＲ１が接続するローカルネットワーク５のローカルＩＰアドレスは、管理者により事前にこのルーティングテーブルに登録されている。

リモートルータＲ１とイントラネット３とでＶＰＮの通信を行う場合には、まず、リモートルータＲ１は不定ＩＰアドレスの取得後に、インターネット４に属するルータｒ１を介して、インターネット４に接続して、ＩＰｓｅｃの暗号化通信を確立し、インターネットＶＰＮを構築することになる。

このとき、リモートルータＲ１とセンタルータ２０間では、ＳＡ（Security Association）というセキュアなトンネル（ＩＰｓｅｃトンネル）が生成される。ＳＡはトラフィック毎に構築され（ＳＡは片方向の通信について独立して設定されるので、双方向通信を行うには２つのＳＡが必要になる）、また定期的に更新される（再認証による身元の確認と暗号鍵の更新による安全性向上のため）。

このＳＡを自動的に生成・管理（鍵管理も含めて）するプロトコルは、ＩＫＥ（Internet Key Exchange）が標準に決まっており、ＩＫＥで使用するパケットフォーマットは、ＩＳＡＫＭＰと呼ばれるプロトコルで設定される。

一般にＩＰｓｅｃにおける通信では、リモートアクセスのクライアントからインターネットへ接続をする場合は、ＩＰパケットのヘッダとペイロード全体を暗号化（カプセル化）して、これをペイロードとして蓄積するトンネルモードが使用される。このように、インターネット上で、暗号化されたＩＰパケットが送受信される安全な通信経路であるＩＰｓｅｃトンネルが確立することで、インターネットを経由しても安全に通信することが可能になる。

ここで、図２におけるネットワーク１１０上でＩＰｓｅｃトンネル通信が可能になるまでの概略の過程について説明する。まず、センタルータ２０は、インターネット４上のグローバルＩＰアドレスを固定で持っており（あらかじめ設定されている）、リモートルータＲ１は、センタルータ２０に接続する際にその都度与えられるグローバルＩＰアドレス（不定ＩＰアドレス）を持つ（すなわち、リモートルータＲ１は、センタルータ２０に接続しようとする度に、ＩＳＰ（インターネットサービスプロバイダ）からグローバルＩＰアドレスが割り当てられるということ）。例えば、図中のＧｓは、センタルータ２０の固定的なグローバルＩＰアドレスであり、ＧａはリモートルータＲ１の不定ＩＰアドレスである。

なお、アドレスについて定義すると、グローバルＩＰアドレスとは、ＩＳＰから割り振られたインターネット上に１つしか存在しないＩＰアドレスであり、ローカルＩＰアドレスとは、プライベートネットワーク内で割り振られて、インターネットの接続には使用できないＩＰアドレスのことである（要するにインターネット上で使用するアドレスはグローバルＩＰアドレスであり、イントラネットやローカルネットワーク上で使用するアドレスはローカルＩＰアドレスである）。また、不定ＩＰアドレスとは、ＩＳＰから割り振られて、インターネットに接続する度に変化するグローバルＩＰアドレスのことである。

センタルータ２０は、リモートルータＲ１の配下のローカルＩＰアドレス（Ｌ１とする）については事前に登録されているが、センタルータ２０は、インターネット４上のルーティング情報を持っていない（すなわち、ここではリモートルータＲ１に割り振られたグローバルＩＰアドレスが何番かを知らない）。

なお、通常のルータ間では、ルータ間プロトコルにより、自分の配下の装置接続状態を教え合う機能を持っているのだが、ルータＡ、Ｂやセンタルータ２０にはこのような機能は持たせないようにする。なぜなら、このような機能を持つと他のネットワークが見えてしまい、セキュリティ上問題が生じるおそれがあるからである（特にルータＡとセンタルータ２０間では、互いにやりとりをして情報交換等をさせないようにする）。

したがって、インターネットとイントラネットの境界付近に位置するルータに対しては、基本的には、すべてのルーティングの宛先は何番かという情報を事前に登録しておくことになる（ただし、ＩＰｓｅｃトンネルが確立すれば、センタルータ２０はリモートルータＲ１のグローバルＩＰアドレスＧａを認識できる）。

このため、ＩＰｓｅｃトンネルの確立前に、センタルータ２０が、ＩＰｓｅｃトンネルを生成するためのグローバルＩＰアドレス宛（インターネット宛）のパケットを受信しても（以下、ＩＰｓｅｃトンネルを生成するためのパケットをパケットＰｔとする）、投げるべきグローバルＩＰアドレスの宛先を知らないのだが、このような、ルーティングテーブル上に存在しないアドレスを持ったパケットに対しては、デフォルトルートに流すようにする。

ここでは、リモートルータＲ１とＩＰｓｅｃトンネルの確立制御を行う段階なので、センタルータ２０→ルータＡをデフォルトルート（ＩＳＡＫＭＰデフォルトルート）として、グローバルＩＰアドレス宛のパケットＰｔはすべてＩＳＡＫＭＰデフォルトルータであるルータＡに送信することにする。

ルータＡでは、リモートルータＲ１に割り振られたグローバルＩＰアドレスは認識しているので、パケットＰｔを受信すると、ルータｒ１を介してリモートルータＲ１へパケットＰｔを送信する。このようにして、リモートルータＲ１とセンタルータ２０とで相互に通信をすることができ、センタルータ２０とリモートルータＲ１間のＩＰｓｅｃトンネルが確立し、インターネット４上でＩＰｓｅｃの暗号化通信が可能となる。

なお、ＩＫＥの鍵交換プロトコルの動作モードにはMainモードとAggressiveモードとがあり、上記で説明したＩＰｓｅｃトンネル確立制御には、リモートルータのＩＰアドレスが固定、不定いずれでも使用できるAggressiveモードが適用される（Mainモードは、ＩＰアドレスが固定ＩＰアドレスの場合だけに使用できるモードである）。

図３はＩＰｓｅｃトンネルを利用しての通信例を示す図である。なお、イントラネット３のローカルＩＰアドレスをＬ５とする。リモートルータＲ１が、ＩＰｓｅｃトンネルを使用して（インターネットＶＰＮを使用して）、イントラネット３と通信する場合には、カプセル化したパケットＰ１ｃをセンタルータ２０へ送信する。

パケットＰ１ｃの概略フォーマットは、ヘッダに宛先アドレスＬ５と送信元アドレスＬ１とを含み、ペイロードにＩＰｓｅｃトンネルを張るための情報を含むＩＰパケットＰ１に、宛先アドレスＧｓ及び送信元アドレスＧａを付加してカプセル化したものである。

センタルータ２０は、パケットＰ１ｃを受信し、これを展開（デカプセル化）して宛先がＬ５と知ると、イントラネット３内のローカルＩＰアドレスの情報はすでに知っているので、展開後のパケットＰ１をイントラネット３へ向けて送信する。

次に図２で示したネットワーク１１０の環境において、リモートルータＲ１からインターネット４へＷｅｂアクセスを行う場合について考える。リモートルータＲ１からインターネット４へＷｅｂアクセスを行う場合、リモートルータＲ１がすでにグローバルＩＰアドレスを持っているからといって直接、インターネット４へアクセスするわけにはいかない。なぜなら、このような接続は、セキュリティが何ら確保されていないからである。

したがって、リモートルータＲ１から（リモートルータＲ１配下の端末５１から）インターネット４へのＷｅｂアクセスを行う場合には、組織内部のローカルなイントラネットと、その外部に広がるインターネットとの間に、インターネットからイントラネットへの不正アクセスなどを防ぐ防御壁となるファイアウォールを設けて、このファイアウォールを介してインターネットと接続するようなネットワーク構成にしなければならない。

図４はゲートウェイが設置されたＩＰｓｅｃトンネル確立前のネットワーク環境を示す図である。ネットワーク１１１は、ＩＰｓｅｃトンネルがまだ確立していないときの図２のネットワーク１１０に対してゲートウェイＧＷを設けた際のネットワーク構成を示している。

図に示すように、インターネットアクセスを可能にするためには、ファイアウォール機構を有するゲートウェイＧＷを、イントラネット３とインターネット４との間に設置することになる（図中、インターネット４は２つのnetwork cloudで記されているが同一のものである）。なお、図中の点線より上はグローバルＩＰアドレス（インターネット環境）、点線より下はローカルＩＰアドレス（イントラネット環境）になる。

このようなネットワーク１１１においてインターネットアクセスの通信を行うには、やはりＩＰｓｅｃトンネルを確立してからになるが、図２で上述したＩＰｓｅｃトンネルの確立制御では、ネットワーク１１１に対してＩＰｓｅｃトンネルを張ることができないおそれがある。

その理由について説明する。センタルータ２０は、上述したように、インターネット４上のルーティング情報は持っていないため、グローバルＩＰアドレス宛（インターネット４宛）のパケットは、センタルータ２０にとっては、テーブル上に存在しないアドレスを持ったパケットであるので、これらはすべてデフォルトルートへ流すことになるが、ここではインターネットアクセス通信を行うことにしているので、センタルータ２０はデフォルトルータをルータＢに設定している。

すると、リモートルータＲ１からＩＰｓｅｃトンネル確立のためのパケットＰｔをセンタルータ２０へ送信しても、センタルータ２０はそのパケットＰｔをルータＡでなく、すべてルータＢへ送信してしまう。

すなわち、ＩＰｓｅｃトンネル確立のためのパケットであろうと、インターネットアクセスのためのパケットであろうと、それらのパケットの宛先はインターネット４へ向けたグローバルＩＰアドレス宛であるので、センタルータ２０はそれらのパケットを受け取ると、現在設定されているデフォルトルータＢへすべて送信してしまう。このため、ＩＰｓｅｃトンネルを確立できないといった問題が生じる（従来では、ルータは二重化という意味ではデフォルトルートを２つ持つことはあるが、ルーティングテーブルに宛先アドレスが記載されていない送信先ルートを示すという本来の意味のデフォルトルートは１つしか持たない）。

一方、ネットワーク１１１の環境であっても、仮にAggressiveモードによるＩＰｓｅｃトンネルを確立することができたとする。しかし、この場合も正常なインターネットアクセス通信ができないことになる。以下、その理由について説明する。

図５はゲートウェイが設置されＩＰｓｅｃトンネルも確立しているネットワーク環境を示す図である。ネットワーク１１１ａのような環境では、リモートルータＲ１配下の端末５１からセンタルータ２０までは、ＩＰｓｅｃトンネルを通過する通信なのでセキュリティは保たれる（ＩＰｓｅｃトンネルの通信では、トンネル外部のインターネット４から侵入されることもなければ、トンネル内部からパケットがインターネット４へ出ていってしまうこともない）。

また、センタルータ２０からイントラネット３までは、閉域ネットワーク内の通信であるので外部からの侵入はない。そして、イントラネット３からインターネット４へは、ゲートウェイＧＷを介しての通信となるので、セキュリティは保護されることになる。

ここで、インターネットアクセス時、リモートルータＲ１からインターネット４へパケットを送信する場合を考える。リモートルータＲ１は、ＩＰｓｅｃトンネルを通じてカプセル化したパケットＰ２ｃをセンタルータ２０へ送信する。センタルータ２０は、パケットＰ２ｃを展開して、宛先がＷｅｂアドレスと知ると、ルータＢ側のデフォルトルートへパケットＰ２を送信する。ルータＢはパケットＰ２をゲートウェイＧＷへ送信し、パケットＰ２はゲートウェイＧＷを介してインターネット４へ出力される。

次にインターネット４からリモートルータＲ１へ、返信パケットが送られる場合を考える。図６は返信パケットが送信されたときの様子を示す図である。インターネット４から返信されたパケットがゲートウェイＧＷに到着すると、ゲートウェイＧＷはアドレス変換を行って返信パケットＰ３を生成する。返信パケットＰ３は、ルータＢを介してセンタルータ２０まで到着できるとする。

センタルータ２０はパケットＰ３を受信してルーティング処理を行うが、このパケットＰ３はローカルＩＰアドレスＬ１宛、すなわちインターネット４へ向けてのグローバルＩＰアドレス宛のパケットであるから、センタルータ２０は、このパケットを、ルータＡではなく、現在のデフォルトルートであるルータＢへ向けて送信してしまう。

センタルータ２０は、リモートルータＲ１とＩＰｓｅｃトンネルを確立しているので、リモートルータＲ１のグローバルＩＰアドレスＧａは認識しているのだが、ルーティングテーブル上にはこのグローバルＩＰアドレスが登録されておらず、最初に静的登録されたテーブルにもとづき、ルーティング処理を行っているので、ローカルＩＰアドレスＬ１宛のパケットＰ３を受信しても、ルータＡに送信することはできず、デフォルトルータＢへ送信してしまうのである。

このように、リモートルータＲ１からインターネット４へパケットを送信できても、返信パケットがリモートルータＲ１まで届かないといった問題が生じることになる。
このように、図４で示したネットワーク１１１のような環境において、インターネットアクセス通信をしようとしてＩＰｓｅｃトンネルを確立しようとしても、ＩＰｓｅｃトンネルを確立できないおそれがあり、仮にトンネルを張れたとしても返信パケットが送信元に届かないといった問題があった。

このため、従来のルーティング処理では、ルーティングテーブルで登録された経路情報にしたがわないで、ユーザが設定したポリシーをベースにして特定のインタフェースにパケットを転送するポリシールーティングと呼ばれる技術を用いてルーティング処理を実行させていた。

しかし、ポリシールーティングは、ルーティング対象範囲をより細かく指定するスタティックルーティング処理であるため、非常に複雑な設定が必要である。このため、ネットワーク管理者にとって負担が大きく、効率も悪いため、利便性及び運用性の高いものとはいえなかった。

本発明では、インターネット上にＩＰｓｅｃを利用してイントラネット同士（イントラネット及びローカルネットワーク）を接続し、インターネットとの通信はゲートウェイサーバ経由のみ許可されるネットワーク環境上において、従来の複雑なポリシールーティングを行わずに、高品質なルーティング処理を実現した通信システム、ルータ装置及びルーティング方法を提供するものである。

次に本発明の動作について詳しく説明する。図７はルーティングテーブルを示す図である。ルーティング登録処理部１２で管理されるルーティングテーブルＴ１は、宛先ＩＰアドレス、宛先グローバルＩＰアドレス、送信先ルートの３つの項目から構成される。図では静的登録された後のルーティングテーブルＴ１ａの状態を示している。

宛先アドレスであるローカルＩＰアドレスを事前に登録しておく。また、登録したローカルＩＰアドレス以外のアドレス（図では“その他”となっている）はデフォルトルートとしてルータＢを事前に登録する。そして、ＩＰｓｅｃトンネルの確立後、パケット転送部１３では、ルーティングテーブルに登録されている内容にもとづきパケットを転送する。ここで、送信パケットの宛先アドレスがテーブルに記載されているローカルＩＰアドレスＬ１〜Ｌ４以外のアドレス（ローカルＩＰアドレス、グローバルＩＰアドレスいずれでも）の場合には、すなわち送信パケットの宛先アドレスがテーブルに記載されていない場合には、“その他”の欄に該当し、ＩＰデフォルトルートとしてルータＢへそのパケットを送信することになる。

次に図１で示したネットワーク１００の環境において、ＩＰｓｅｃトンネルの確立からルーティングテーブルＴ１の動的登録までの動作について説明する。図８はＩＰｓｅｃトンネルの確立を説明するための図である。なお、ルーティングテーブルには図７で示した経路情報が登録されているものとする。

〔Ｓ１〕リモートルータＲ１は、インターネット４と接続する際に、ＩＳＰからグローバルＩＰアドレスＧａが配布される。
〔Ｓ２〕リモートルータＲ１は、ＩＰｓｅｃトンネルを確立するためのパケットを生成し、センタルータ１０へ向けて送信する。

〔Ｓ３〕センタルータ１０は、送信されたパケットを受信する。そして、ＩＰｓｅｃトンネル制御部１１は、ＩＰｓｅｃトンネルを確立するためのパケットを生成し、ＩＳＡＫＭＰデフォルトルートを用いてルータＡへ送信する（ＩＰｓｅｃトンネル制御部１１は、ＩＰｓｅｃトンネルを確立するときには、ルータＡがデフォルトルート（ＩＳＡＫＭＰデフォルトルート）と認識しており、ルーティングテーブルの検索処理などは行わずに、ＩＳＡＫＭＰデフォルトルータＡへトンネル生成に必要な情報を含むパケットを送信する）。

〔Ｓ４〕ルータＡはリモートルータＲ１のグローバルＩＰアドレスＧａを知っているので、受信したパケットをリモートルータＲ１へ送信する。ステップＳ１〜Ｓ４の処理によりＩＰｓｅｃトンネルが確立する（なお、ＩＰｓｅｃトンネルのプロトコルに沿った細かな確立手順については、本発明の対象範囲ではないので詳細な説明は省略する。詳細についてはＩＰｓｅｃ、ＩＫＥの標準化が記された、IETF1825、1826、1827、1829やRFC2409等を参照）。

〔Ｓ５〕ＩＰｓｅｃトンネルの確立時、ルーティング登録処理部１２は、リモートルータＲ１のグローバルＩＰアドレス及び送信先ルートのルータＡを認識して、ルーティングテーブルＴ１ａに対して、ローカルＩＰアドレスに対応するグローバルＩＰアドレス及びルータＡを動的に登録し、ルーティングテーブルＴ１ｂを生成する。

図９はルーティングテーブルを示す図である。ルーティングテーブルＴ１ｂは、図７で示したテーブル状態からグローバルＩＰアドレス及びルータＡが動的に登録された状態を示している。ルーティング登録処理部１２は、ＩＰｓｅｃトンネルの確立時、リモートルータＲ１のグローバルＩＰアドレスＧａを認識する。すると、ルーティングテーブルＴ１のローカルＩＰアドレスＬ１に対応する宛先グローバルＩＰアドレスの欄にＧａ（AAA.AAA.AAA.1とする）と、送信先ルートであるルータＡを登録する。

なお、図ではローカルＩＰアドレスＬ２に対するＩＰｓｅｃトンネルも確立しているとして、ローカルＩＰアドレスＬ２に対応するグローバルＩＰアドレスBBB.BBB.BBB.1まで登録されている様子を示している。また、ＩＰｓｅｃトンネルの消滅時には、ローカルＩＰアドレスに対応して登録したグローバルＩＰアドレスの登録削除が行われる。

従来では、センタルータ２０のようなインターネット４とイントラネット３の境界に位置するルータ機器に対しては、セキュリティ確保のため、ルーティングテーブルはすべて静的登録していたが、本発明ではＩＰｓｅｃトンネルが確立したときには、認識しているグローバルＩＰアドレスをルーティング登録処理部１２が自動的に登録（動的登録）するようにする（ＩＰｓｅｃトンネルが確立している状態なので、このような動的登録を行ってもセキュリティ上問題ないのである）。

次に本発明にもとづくインターネットＶＰＮ通信の動作について説明する。図１０はインターネットＶＰＮ通信の動作を説明するための図である。
〔Ｓ１１〕リモートルータＲ１配下の端末５１がイントラネット３内の端末とインターネットＶＰＮ通信を行うものとする（リモートルータＲ１とイントラネット３間の通信について示す）。リモートルータＲ１は、宛先アドレスＬ５のパケットＰ３（ヘッダには宛先アドレスのみ示す）をカプセル化してパケットＰ３ｃを生成し、ＩＰｓｅｃトンネルを介して、センタルータ１０へ向けて送信する。

〔Ｓ１２〕センタルータ１０は、パケットＰ３ｃを受信してデカプセル化する。パケットＰ３は宛先アドレスがローカルＩＰアドレスＬ５である。Ｌ５はルーティングテーブルＴ１ｂには記載されていないので、ＩＰデフォルトルートとしてルータＢへ送信する。パケットＰ３はイントラネット３へ送信され、その後に該当端末で受信される。

〔Ｓ１３〕イントラネット３から返信パケットＰ４がセンタルータ１０へ送信され、センタルータ１０はパケットＰ４を受信する。
〔Ｓ１４〕センタルータ１０は、返信パケットＰ４の宛先アドレスは、ローカルＩＰアドレスＬ１であるので、ルーティングテーブルＴ１ｂにより対応するグローバルＩＰアドレスがAAA.AAA.AAA.1であり、送信先ルートがルータＡと知る。したがって、パケットＰ４に対して、グローバルＩＰアドレスAAA.AAA.AAA.1を付したカプセル化処理を行ってパケットＰ４ｃを生成し、ルータＡへ向けて送信するルーティング処理を実行する。

〔Ｓ１５〕ルータＡはパケットＰ４ｃをリモートルータＲ１へ送信し、リモートルータＲ１はパケットＰ４ｃをデカプセル化する。
次に本発明にもとづくインターネットアクセス通信の動作について説明する。図１１はインターネットアクセス通信の動作を説明するための図である。

〔Ｓ２１〕リモートルータＲ１配下の端末５１がゲートウェイＧＷを介してインターネット４と通信を行うものとする（リモートルータＲ１とインターネット４間の通信について示す）。リモートルータＲ１は、宛先アドレスとしてＷｅｂのアドレス（Ｗ１とする）のパケットＰ５（ヘッダには宛先アドレスのみ示す）をカプセル化してパケットＰ５ｃを生成し、ＩＰｓｅｃトンネルを介して、センタルータ１０へ向けて送信する。

〔Ｓ２２〕センタルータ１０は、パケットＰ５ｃを受信してデカプセル化する。パケットＰ５は宛先アドレスがグローバルＩＰアドレスのＷ１である。Ｗ１はルーティングテーブルＴ１ｂには記載されていないので、ＩＰデフォルトルートとしてルータＢへ送信する。

〔Ｓ２３〕パケットＰ５は、ルータＢ→イントラネット３→ゲートウェイＧＷ→インターネット４の流れでインターネット４へ送信される。
〔Ｓ２４〕インターネット４から返信パケットＰ６がセンタルータ１０へ向けて送信され、ゲートウェイＧＷ→イントラネット３→ルータＢ→センタルータ１０の流れでセンタルータ１０はパケットＰ６を受信する。

〔Ｓ２５〕センタルータ１０は、返信パケットＰ６の宛先アドレスは、ローカルＩＰアドレスＬ１であるので、ルーティングテーブルＴ１ｂにより対応するグローバルＩＰアドレスがAAA.AAA.AAA.1であり、送信先ルートがルータＡと知る。したがって、パケットＰ６に対して、グローバルＩＰアドレスAAA.AAA.AAA.1を付したカプセル化処理を行ってパケットＰ６ｃを生成し、ルータＡへ向けて送信するルーティング処理を実行する。

〔Ｓ２６〕ルータＡはパケットＰ６ｃをリモートルータＲ１へ送信し、リモートルータＲ１はパケットＰ６ｃをデカプセル化し、端末５１へ送信する。
以上説明したように、本発明によれば、センタルータと不定ＩＰアドレスが配布されるリモートルータ間でＩＰｓｅｃトンネルを確立したとき、通常のＩＰデフォルトルート以外に動的にＩＳＡＫＭＰデフォルトルートを登録することで、リモートルータ配下のローカルネットワーク−インターネット−イントラネット−ゲートウェイ経由−インターネット接続が可能となり、複雑なシステムを構築することができ、このようなネットワーク上で高品質なルーティング処理を行うことが可能になる。

（付記１） パケットの通信を行う通信システムにおいて、
インターネットと接続する第１のルータと、
イントラネットに接続する第２のルータと、
インターネットとローカルネットワークの境界に位置し、インターネットと接続して通信する際には不定ＩＰアドレスが配布されるリモートルータと、
自装置とリモートルータとの間で、第１のルータへの送信先を示すＩＳＡＫＭＰデフォルトルートを用いて、インターネット上にＩＰｓｅｃトンネルを確立するＩＰｓｅｃトンネル制御部と、ルーティングテーブルに対して、宛先アドレスであるローカルＩＰアドレスが静的に登録され、登録したローカルＩＰアドレス以外のアドレスに対するＩＰデフォルトルートとして第２のルータが静的に登録され、ＩＰｓｅｃトンネルの確立時には、リモートルータのグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録するルーティング登録処理部と、ルーティングテーブルにもとづきパケット転送を行うパケット転送部と、から構成され、第１のルータと第２のルータとに接続して、インターネットとイントラネットの境界に位置するセンタルータと、
を有することを特徴とする通信システム。

（付記２） イントラネットとインターネットの境界にファイアウォール機構を有するゲートウェイが配置して、インターネット上にＩＰｓｅｃトンネルを確立してイントラネット及びローカルネットワークを接続し、インターネットとの通信はゲートウェイサーバ経由のみ許可されるネットワーク環境上に構築されてパケット通信を実行することを特徴とする付記１記載の通信システム。

（付記３） 前記パケット転送部は、ＩＰｓｅｃトンネルの確立前に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致する場合は、パケットを廃棄し、ＩＰｓｅｃトンネルの確立前に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致しない場合は、ＩＰデフォルトルートである第２のルータへパケットを転送し、ＩＰｓｅｃトンネルの確立後に、送信パケットの宛先アドレスが、登録されているアドレスと一致しない場合は、ＩＰデフォルトルートである第２のルータへパケットを転送し、ＩＰｓｅｃトンネルの確立後に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致する場合は、ローカルＩＰアドレスに対応するグローバルＩＰアドレスでパケットをカプセル化して第１のルータへ転送することを特徴とする付記２記載の通信システム。

（付記４） インターネットＶＰＮの通信環境で、リモートルータ配下の端末からインターネットと通信する場合、前記パケット転送部は、端末からインターネットへ向けて送信すべきパケットを受信した際は、ルーティングテーブルにもとづき、ＩＰデフォルトルートである第２のルータへパケットを転送し、インターネットから端末へ向けて返信されたパケットを受信した際は、ルーティングテーブルにもとづき、返信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致するか否かを判断し、一致した場合には、ローカルＩＰアドレスに対応するグローバルＩＰアドレスでパケットをカプセル化して第１のルータへ転送することを特徴とする付記３記載の通信システム。

（付記５） 前記ルーティング登録処理部は、ＩＰｓｅｃトンネルの消滅時には、ローカルＩＰアドレスに対応して登録したグローバルＩＰアドレスの登録削除を行うことを特徴とする付記１記載の通信システム。

（付記６） インターネットとイントラネットの境界に位置して、インターネットと接続する第１のルータ及びイントラネットに接続する第２のルータに接続して、パケットのルーティングを行うルータ装置において、
自装置と、インターネットとローカルネットワークの境界に位置してインターネットと接続して通信する際には不定ＩＰアドレスが配布されるリモートルータとの間で、第１のルータへの送信先を示すＩＳＡＫＭＰデフォルトルートを用いて、インターネット上にＩＰｓｅｃトンネルを確立するＩＰｓｅｃトンネル制御部と、
ルーティングテーブルに対して、宛先アドレスであるローカルＩＰアドレスが静的に登録され、登録したローカルＩＰアドレス以外のアドレスに対するＩＰデフォルトルートとして第２のルータが静的に登録され、ＩＰｓｅｃトンネルの確立時には、リモートルータのグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録するルーティング登録処理部と、
ルーティングテーブルにもとづきパケット転送を行うパケット転送部と、
を有することを特徴とするルータ装置。

（付記７） イントラネットとインターネットの境界にファイアウォール機構を有するゲートウェイが配置して、インターネット上にＩＰｓｅｃトンネルを確立してイントラネット及びローカルネットワークを接続し、インターネットとの通信はゲートウェイサーバ経由のみ許可されるネットワーク環境上に設けられてパケットルーティングを実行することを特徴とする付記６記載のルータ装置。

（付記８） 前記パケット転送部は、ＩＰｓｅｃトンネルの確立前に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致する場合は、パケットを廃棄し、ＩＰｓｅｃトンネルの確立前に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致しない場合は、ＩＰデフォルトルートである第２のルータへパケットを転送し、ＩＰｓｅｃトンネルの確立後に、送信パケットの宛先アドレスが、登録されているアドレスと一致しない場合は、ＩＰデフォルトルートである第２のルータへパケットを転送し、ＩＰｓｅｃトンネルの確立後に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致する場合は、ローカルＩＰアドレスに対応するグローバルＩＰアドレスでパケットをカプセル化して第１のルータへ転送することを特徴とする付記７記載のルータ装置。

（付記９） インターネットＶＰＮの通信環境で、リモートルータ配下の端末からインターネットと通信する場合、前記パケット転送部は、端末からインターネットへ向けて送信すべきパケットを受信した際は、ルーティングテーブルにもとづき、ＩＰデフォルトルートである第２のルータへパケットを転送し、インターネットから端末へ向けて返信されたパケットを受信した際は、ルーティングテーブルにもとづき、返信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致するか否かを判断し、一致した場合には、ローカルＩＰアドレスに対応するグローバルＩＰアドレスでパケットをカプセル化して第１のルータへ転送することを特徴とする付記８記載のルータ装置。

（付記１０） 前記ルーティング登録処理部は、ＩＰｓｅｃトンネルの消滅時には、ローカルＩＰアドレスに対応して登録したグローバルＩＰアドレスの登録削除を行うことを特徴とする付記６記載のルータ装置。

（付記１１） パケットルーティングを行うルータ装置において、
自装置と、インターネットと接続して通信する際には不定ＩＰアドレスが配布されるリモートルータとの間で、インターネット上にＩＰｓｅｃトンネルを確立するＩＰｓｅｃトンネル制御部と、
ルーティングテーブルに対して、静的登録と動的登録の２つの機能を有し、ＩＰｓｅｃトンネルの確立時には、リモートルータのグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録し、ＩＰｓｅｃトンネルの消滅時には、ローカルＩＰアドレスに対応して登録したグローバルＩＰアドレスの登録削除を行うルーティング登録処理部と、
ルーティングテーブルにもとづきパケット転送を行うパケット転送部と、
を有することを特徴とするルータ装置。

（付記１２） インターネットとイントラネットの境界に位置して、インターネットと接続する第１のルータ及びイントラネットに接続する第２のルータに接続してパケットのルーティングを行うルータ装置におけるルーティング方法において、
イントラネットとインターネットの境界にファイアウォール機構を有するゲートウェイが配置して、インターネット上にＩＰｓｅｃトンネルを確立してイントラネット及びローカルネットワークを接続し、インターネットとの通信はゲートウェイサーバ経由のみ許可されるネットワーク環境上に前記ルータ装置を設け、
前記ルータ装置と、インターネットとローカルネットワークの境界に位置してインターネットと接続して通信する際には不定ＩＰアドレスが配布されるリモートルータとの間で、第１のルータへの送信先を示すＩＳＡＫＭＰデフォルトルートを用いて、インターネット上にＩＰｓｅｃトンネルを確立し、
宛先アドレスであるローカルＩＰアドレスが静的に登録され、登録したローカルＩＰアドレス以外のアドレスに対するＩＰデフォルトルートとして第２のルータが静的に登録され、ＩＰｓｅｃトンネルの確立時には、リモートルータのグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録し、
ＩＰｓｅｃトンネルの確立前に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致する場合は、パケットを廃棄し、
ＩＰｓｅｃトンネルの確立前に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致しない場合は、ＩＰデフォルトルートである第２のルータへパケットを転送し、
ＩＰｓｅｃトンネルの確立後に、送信パケットの宛先アドレスが、登録されているアドレスと一致しない場合は、ＩＰデフォルトルートである第２のルータへパケットを転送し、
ＩＰｓｅｃトンネルの確立後に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致する場合は、ローカルＩＰアドレスに対応するグローバルＩＰアドレスでパケットをカプセル化して第１のルータへ転送することを特徴とするルーティング方法。

（付記１３） インターネットＶＰＮの通信環境で、リモートルータ配下の端末からインターネットと通信する場合、端末からインターネットへ向けて送信すべきパケットを受信した際は、ルーティングテーブルにもとづき、ＩＰデフォルトルートである第２のルータへパケットを転送し、インターネットから端末へ向けて返信されたパケットを受信した際は、ルーティングテーブルにもとづき、返信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致するか否かを判断し、一致した場合には、ローカルＩＰアドレスに対応するグローバルＩＰアドレスでパケットをカプセル化して第１のルータへ転送することを特徴とする付記１２記載のルーティング方法。

本発明の通信システムの原理図である。 インターネットＶＰＮの構成を示す図である。 ＩＰｓｅｃトンネルを利用しての通信例を示す図である。 ゲートウェイが設置されたＩＰｓｅｃトンネル確立前のネットワーク環境を示す図である。 ゲートウェイが設置されＩＰｓｅｃトンネルも確立しているネットワーク環境を示す図である。 返信パケットが送信されたときの様子を示す図である。 ルーティングテーブルを示す図である。 ＩＰｓｅｃトンネルの確立を説明するための図である。 ルーティングテーブルを示す図である。 インターネットＶＰＮ通信の動作を説明するための図である。 インターネットアクセス通信の動作を説明するための図である。

符号の説明

１ 通信システム
１０ センタルータ
１１ ＩＰｓｅｃトンネル制御部
１２ ルーティング登録処理部
１３ パケット転送部
３ イントラネット
４ インターネット
５ ローカルネットワーク
５１ 端末
Ａ、Ｂ ルータ
ＧＷ ゲートウェイ
Ｒ１ リモートルータ
Ｔ１ ルーティングテーブル

Claims (5)

1. パケットの通信を行う通信システムにおいて、
   インターネットと接続する第１のルータと、
   イントラネットに接続する第２のルータと、
   インターネットとローカルネットワークの境界に位置し、インターネットと接続して通信する際には不定ＩＰアドレスが配布されるリモートルータと、
   自装置とリモートルータとの間で、第１のルータへの送信先を示すＩＳＡＫＭＰデフォルトルートを用いて、インターネット上にＩＰｓｅｃトンネルを確立するＩＰｓｅｃトンネル制御部と、ルーティングテーブルに対して、宛先アドレスであるローカルＩＰアドレスが静的に登録され、登録したローカルＩＰアドレス以外のアドレスに対するＩＰデフォルトルートとして第２のルータが静的に登録され、ＩＰｓｅｃトンネルの確立時には、リモートルータのグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録するルーティング登録処理部と、ルーティングテーブルにもとづきパケット転送を行うパケット転送部と、から構成され、第１のルータと第２のルータとに接続して、インターネットとイントラネットの境界に位置するセンタルータと、
   を有することを特徴とする通信システム。
2. イントラネットとインターネットの境界にファイアウォール機構を有するゲートウェイが配置して、インターネット上にＩＰｓｅｃトンネルを確立してイントラネット及びローカルネットワークを接続し、インターネットとの通信はゲートウェイサーバ経由のみ許可されるネットワーク環境上に構築されてパケット通信を実行することを特徴とする請求項１記載の通信システム。
3. インターネットとイントラネットの境界に位置して、インターネットと接続する第１のルータ及びイントラネットに接続する第２のルータに接続して、パケットのルーティングを行うルータ装置において、
   自装置と、インターネットとローカルネットワークの境界に位置してインターネットと接続して通信する際には不定ＩＰアドレスが配布されるリモートルータとの間で、第１のルータへの送信先を示すＩＳＡＫＭＰデフォルトルートを用いて、インターネット上にＩＰｓｅｃトンネルを確立するＩＰｓｅｃトンネル制御部と、
   ルーティングテーブルに対して、宛先アドレスであるローカルＩＰアドレスが静的に登録され、登録したローカルＩＰアドレス以外のアドレスに対するＩＰデフォルトルートとして第２のルータが静的に登録され、ＩＰｓｅｃトンネルの確立時には、リモートルータのグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録するルーティング登録処理部と、
   ルーティングテーブルにもとづきパケット転送を行うパケット転送部と、
   を有することを特徴とするルータ装置。
4. パケットルーティングを行うルータ装置において、
   自装置と、インターネットと接続して通信する際には不定ＩＰアドレスが配布されるリモートルータとの間で、インターネット上にＩＰｓｅｃトンネルを確立するＩＰｓｅｃトンネル制御部と、
   ルーティングテーブルに対して、静的登録と動的登録の２つの機能を有し、ＩＰｓｅｃトンネルの確立時には、リモートルータのグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録し、ＩＰｓｅｃトンネルの消滅時には、ローカルＩＰアドレスに対応して登録したグローバルＩＰアドレスの登録削除を行うルーティング登録処理部と、
   ルーティングテーブルにもとづきパケット転送を行うパケット転送部と、
   を有することを特徴とするルータ装置。
5. インターネットとイントラネットの境界に位置して、インターネットと接続する第１のルータ及びイントラネットに接続する第２のルータに接続してパケットのルーティングを行うルータ装置におけるルーティング方法において、
   イントラネットとインターネットの境界にファイアウォール機構を有するゲートウェイが配置して、インターネット上にＩＰｓｅｃトンネルを確立してイントラネット及びローカルネットワークを接続し、インターネットとの通信はゲートウェイサーバ経由のみ許可されるネットワーク環境上に前記ルータ装置を設け、
   前記ルータ装置と、インターネットとローカルネットワークの境界に位置してインターネットと接続して通信する際には不定ＩＰアドレスが配布されるリモートルータとの間で、第１のルータへの送信先を示すＩＳＡＫＭＰデフォルトルートを用いて、インターネット上にＩＰｓｅｃトンネルを確立し、
   宛先アドレスであるローカルＩＰアドレスが静的に登録され、登録したローカルＩＰアドレス以外のアドレスに対するＩＰデフォルトルートとして第２のルータが静的に登録され、ＩＰｓｅｃトンネルの確立時には、リモートルータのグローバルＩＰアドレスを認識して、ローカルＩＰアドレスに対応するグローバルＩＰアドレスを動的に登録し、
   ＩＰｓｅｃトンネルの確立前に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致する場合は、パケットを廃棄し、
   ＩＰｓｅｃトンネルの確立前に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致しない場合は、ＩＰデフォルトルートである第２のルータへパケットを転送し、
   ＩＰｓｅｃトンネルの確立後に、送信パケットの宛先アドレスが、登録されているアドレスと一致しない場合は、ＩＰデフォルトルートである第２のルータへパケットを転送し、
   ＩＰｓｅｃトンネルの確立後に、送信パケットの宛先アドレスが、登録されているローカルＩＰアドレスと一致する場合は、ローカルＩＰアドレスに対応するグローバルＩＰアドレスでパケットをカプセル化して第１のルータへ転送することを特徴とするルーティング方法。
   

Images