JP2008118702A - データ転送装置、方法及びシステム - Google Patents

Abstract

【課題】 複数インターネットサービスプロバイダ(ISP)にまたがる仮想専用網(
VPN：Virtual Private Network)を提供することである。
【解決手段】 両インターネットサービスプロバイダのネットワーク接続部分の
インターワークゲートウェーにおいて、各パケットの方路を決定する際に、VPN
を構成するために導入されるカプセル化ヘッダの領域とIPヘッダ両方の領域の情
報を用いて方路を決定し、更に出力側網におけるカプセル化ヘッダも前記情報か
ら構成する。
【効果】 仮想専用線の相互接続が可能となり、複数インターネットサービスプ
ロバイダにまたがるVPNを構成できる。また第一の網と第二の網のＱｏＳ情報を
インターワークすることができる。
【選択図】 図１

Description

本発明はインターネットにおける仮想専用網（ＶＰＮ：Virtual Private Netw
ork）構築方法及びインターネットサービスプロバイダ間を接続するインターワ
ークルータに関する。

インターネット・プロトコル（Internet protocol: IP）ネットワーク上では
、電子メール、ＷＷＷ（World Wide Web）などのアプリケーションを使用するこ
とができる。また、IPネットワークは、従来の電話ベースの交換網と比較して構
築コストが安い。そのためインターネットは近年爆発的に普及している。このよ
うな状況の下、ＩＰで構築した企業内網（イントラネット）は、企業活動にも欠
かすことの出来ないものとなってきている。

企業は複数の地域に偏在している場合が多い。この場合、各地域の企業網を相
互接続し、一つの企業網を構築する必要が生じる。企業網を複数地域にわたって
構築する場合、次の２つの方法が考えられる。

第１は、各地域の企業内網を専用線で相互接続することである。このように構
築することにより、企業網を外部のネットワークから隔絶、セキュリティを確保
を確保することができる。

第２に、ＩＰｓｅｃ（IP security protocol）技術により、自網のネットワー
クのパケットを識別する機能を端末に設け、インターネット内ではグローバルア
ドレスに基づくＩＰパケットとして転送を行うことである。悪意のユーザからの
攻撃にはこの識別機能と、暗号化により対抗することでＶＰＮを実現することが
できる。

しかし、専用線を使用するとネットワークコストが上昇してしまうこと、さら
にＩＰｓｅｃ方式によるＶＰＮでは、アタック及び暗号解読により悪意のユーザ
の侵入を許したり、暗号化処理が高速ネットワークの速度のボトルネックになっ
たり、端末コストが上昇するという問題があった。

このため、インターネットが普及し、インターネットが廉価で使用できるによ
うになるに従い、網が提供するＩＰの下位レイヤの機能を用い、インターネット
上に仮想的に専用網を構築し、コストを押さえ、かつ外部のネットワークから隔
絶した安全な、かつ何らかの品質保証行い要求が高まってきた。

この要求を満たすネットワークとして次のようなＶＰＮが考えられている。Ｖ
ＰＮを提供するインターネット・サービス・プロバイダ（Internet Service Pro
vider：ISP）のネットワークの入り口でカプセル化を行う。ISPのネットワーク
上では、このカプセル化したヘッダに基づき転送を行い、ネットワークの出口で
カプセルヘッダを外す。このＶＰＮ構成方式では、ＶＰＮ固有のカプセル化ヘッ
ダを用いることにより外部のネットワークから隔絶し、セキュリティを確保して
いる。また、このカプセル化の具体的なプロトコルとしては、ＩＰカプセル化、
ＭＰＯＡ（Multi Protocol over ATM）、ＭＰＬＳ（Multi Protocol Layer Swit
ching）等の方式があり、１９９９年２月現在、ITU-T SG13やIETFなどの標準化
団体で検討が行われている。また、ITU-T SG13では、網の内部をE.164アドレス
によりカプセル化して転送する、Core Protocol(別称GMN-CL)についての検討も
行われている。

NTT R&D vol.47 No.4 1998（平成10年4月10日発行）は、GMN-CLにおけるユー
ザ網とコア網のインターワークを行うアクセス系・エッジノードの構成法を提案
している。
NTT R&D vol.47 No.4 1998（平成10年4月10日発行）

近年の企業活動は広範囲に渡っている。このため、例えば、日、米、欧に拠点
を持ち、それぞれの拠点でイントラネットを構築した上で、ＶＰＮにより、それ
らを相互接続したいというニーズが生じてくるものと考えられる。

他方、ISPはある特定の地域でサービスを提供しているのが一般的なため、前
記したような各拠点のネットワークをＶＰＮにより接続するためには、複数のIS
Pをまたがった形でＶＰＮを構築する必要がある。

なお、複数のISPを相互に接続する場合、インターワークのためのゲートウェ
ーを設け、相互接続を行う。このインターワークルータでは、双方のネットワー
クから到来した相手網行きのパケットをＩＰヘッダに従って相手網に転送するこ
とで、インターワークを実現する。また、日経コミュニケーション1997年12月15
日号146頁に記されているように、複数ネットワークの相互インターワークのた
めに、IX（Internet Exchange）と呼ばれる装置を用いて互いのネットワークを
接続し、このIXにより、互いの網間で転送されるパケットの転送を行っても良い
。このようなIXには、IPパケットを識別して転送を行う「レイヤ３フォワーディ
ング」や、ATM通信装置などで、下位レイヤのヘッダを識別して転送を行う「レ
イヤ２フォワーディング」を用いる方式がある。

本願発明者等は、複数のISPのネットワークをまたがる形でＶＰＮを構成しよ
うとした場合の問題点を検討した。まず、各インターネットサービスプロバイダ
のネットワークでＶＰＮを構築するために、各ネットワーク内でそれぞれカプセ
ル化を行う。各ネットワークのカプセル化プロトコルは、一般に異なるものとな
ると考えられる。この場合、インターワークルータでは、双方のネットワークの
共通のプロトコルであるＩＰパケットのＩＰヘッダ情報を検索して宛先方路を決
定し、他網行きのパケットであるか否かを検索する必要がある。

しかし、インターワークルータは、ＩＰレイヤより下位レイヤのプロトコルは
インターフェースで終端してしまうため、前段の網でＶＰＮを構成するためにつ
けられているカプセル化ヘッダをはずしてＩＰアドレスを検索する事により次の
ホップ情報を決定し、また後段の網でのＶＰＮを構成するためのカプセルヘッダ
を生成してパケットに付与することになる。したがって、インターワーク装置内
部では、ＶＰＮ内のパケットとＶＰＮ以外の網のパケットとが混在してしまう。
そのため、悪意のユーザによる不正ヘッダの付与により、インターワークルータ
を基点としてＶＰＮへの侵入が可能になるという問題がある。

また、企業によってはグローバルアドレスを使用せずにインターナルアドレス
を用いてＶＰＮを構成することがある。この場合、インターワークルータでカプ
セル化ヘッダを一旦はずしてしまうと、受信側のＩＳＰ側では、インターナルア
ドレスが複数のＶＰＮでそれぞれ独自に使用されているので、同一のアドレスを
持つパケットを区別することが出来ない。このため、パケットの転送先が決定で
きない。複数のＩＳＰにまたがって、インターネット上にＶＰＮ構成する場合、
上述のような問題点がある（第１の課題）。

更にそれぞれのＩＳＰにおけるサービスは均一でない。例えば通信品質を例に
説明すると、あるＩＳＰではＡＴＭのＶＣを用いてパスを張ることにより各ＶＰ
Ｎの品質の保証しており、別のＩＳＰではDiffserv(Differenciated Services)
により品質の保証を行っている場合、双方で構成するＶＰＮを相互に接続する場
合、エンド・トゥー・エンドで通信品質を規定することは困難である。（第２の
課題）。

上述のように、実用レベルで、複数のＩＳＰにまたがってインターネット上に
ＶＰＮを構築することは困難である。

そこで、本発明は複数のＩＳＰにまたがってＶＰＮ構築する方法及び、複数の
ＩＳＰにまたがってＶＰＮ構築する場合において、それらのＩＳＰ間を接続する
インターワークルータを提供することにある。

第１の課題を解決するため、VPN識別番号であるカプセル化ヘッダとIPヘッダ
双方の情報を用いて、出力方路の決定及び出力側ＩＳＰ網内でのカプセル化ヘッ
ダの生成を行う機能をインターワークルータ装置に設ける。下位レイヤにＡＴＭ
を用いるＭＰＬＳ網を運用するＩＳＰ同士を接続する場合を例により具体的に説
明すると、ＶＰＮ識別に使用するカプセル化ヘッダであるＡＴＭのＶＰＩ、ＶＣ
Ｉ等のヘッダ情報と、ＩＰアドレスをキーに検索を行い、次の方路及び次のネッ
トワーク内部でのＶＰＮ識別に使用するＡＴＭのＶＰＩ，ＶＣＩ等のヘッダ情報
を生成し、後段の網に送り出す際に生成したヘッダ情報を付与して送出する。

これによりＶＰＮのインターワークが実現でき、複数のＩＳＰにまたがる地域に
対する、インターネット上でのＶＰＮ構成を構成することが出来る。

第二の課題を解決するするために、入力側のカプセル化ヘッダ領域のＱｏＳを
あらわすフィールドの値を、出力側のカプセル化ヘッダ領域のＱｏＳをあらわす
フィールドの値にマッピングを行う。これにより、双方の網の品質情報を透過的
に転送することができる。

本発明により複数ＩＳＰ間にまたがるＶＰＮ網を構築することができる。また
複数のＶＰＮネットワーク間でＱｏＳ情報をインターワークすることができる。

以下、図を用いて本発明の実施例について説明する。

図１、図２を用いて本発明による複数ＩＳＰにまたがる下位レイヤにより分離
されたＶＰＮの構成法およびそのインターワークルータの役割について説明する
。ここで下位レイヤとは、ＩＰパケットをカプセル化するプロトコルを指し、Ｉ
ＰパケットをＩＰヘッダでカプセル化する場合にも、このカプセルヘッダを下位
レイヤのヘッダとして表記することとする。

まず、図２により、従来のルータを用いて複数のＩＳＰにまたがるＶＰＮを構
成した場合の問題点について説明する。図２では、下位レイヤでカプセル化する
ことによりＶＰＮを実現するＩＳＰ１（２−１）とＩＳＰ２（２−２）が既存ル
ータ（９）によりインターワークしている。ＩＳＰ１はＡ地区でサービスを展開
しており、ＬＡＮ１（１−１）、ＬＡＮ２（１−２）、ＬＡＮａ（１−ａ）を収
容している。ＩＳＰ２はＢ地区でサービスを展開しており、ＬＡＮ３（１−３）
、ＬＡＮ４（１−４）、ＬＡＮｂ（１−ｂ）を収容している。また、ＬＡＮ１、
ＬＡＮ２、ＬＡＮ３、ＬＡＮ４は同一会社のＬＡＮであり、ＶＰＮを構成したい
と考えている。またＬＡＮａ、ＬＡＮｂも同一会社のＬＡＮであり、ＶＰＮを構
成したいと考えている。このような場合、同一ＩＳＰ内においては、網の入り口
と網の入り口にカプセルチャネルを張ることにより、他のユーザのパケットと分
離することができるため、セキュリティの高いネットワークを構築できる。しか
し、ＩＳＰ１とＩＳＰ２にわたってＶＰＮを設定しようとする場合、既存ルータ
では入力側のインターフェース部で下位レイヤを終端し、IPレベルでマージして
からパケットフォワーでリング処理を行うため、ＩＰレベルで複数のユーザのパ
ケットが混じってしまう問題がある。すなわち、ＶＰＮ内のパケットとそれ以外
のパケットが混じってしまう。従って、悪意のユーザがＩＰアドレスを偽って網
に侵入することも可能となる。さらに二つの会社がプライベートアドレスを用い
て社内ＬＡＮを構築しようとした場合には、それぞれの会社では独立にアドレス
をアサインするため、同一のＩＰアドレスをアサインすることがある。この場合
、既存ルータではアドレスのバッティングのため、正しくパケットを転送するこ
とができない。

次に図１を用いて、本発明による前記問題の解決法について説明する。例えば
会社ＡのＬＡＮ１から会社ＡのＬＡＮ３に通信する場合を説明する。本実施例で
はＩＳＰ１はＩＰカプセル化によりＶＰＮを実現しており、ＩＳＰ２はＭＰＬＳ
（ＡＴＭによる）によりカプセル化を行いＶＰＮを実現している。ＬＡＮ１から
到来したパケットはＩＳＰ１（２−１）に入るとＩＳＰ１はＩＰカプセル化を行
い、パケットはＩＰカプセル化論理チャネル（５−１）通じてインターワークル
ータに到着する。インターワークルータ（９）ではパケットが搭載されてきたＩ
Ｐカプセル化論理チャネルを示すＩＰカプセル化ヘッダと、元々のパケットヘッ
ダの双方から出力方路を検索すると共に、ＩＳＰ２内でのカプセル化ヘッダを作
成する。本実施例ではＩＳＰ２はＭＰＬＳでサービスを行っているので、ＡＴＭ
のヘッダを作成する。ＡＴＭによりカプセル化されたパケットは、ＡＴＭ論理チ
ャネル（５−３）を通り、ＬＡＮ３に送られる。インターワークルータでは、カ
プセルヘッダ及びＩＰヘッダで検索を行っているので、会社Ａと会社Ｂがそれぞ
れプライベートアドレスを用いて、ＩＰアドレスがバッティングする場合にもそ
れぞれ正しいあて先に転送することが可能となる。

本実施例ではカプセル化プロトコルとして、ＩＰレイヤのカプセル化方式であ
るＩＰカプセル化と、ＡＴＭを用いてカプセル化を行う方式説明した。もちろん
フレームリレーやＨＤＬＣ系のプロトコルを用いてカプセル化を行ってもよい。

図３では本発明による、複数ＩＳＰにまたがるＶＰＮ構成法の１実施例につい
て、網構成とプロトコルスタックを用いて説明する。ここではカプセル化プロト
コルは限定していない。ＩＳＰ１（２−１）はエッジノード（３−１，３−２）
を介してそれぞれＬＡＮ１（１−１）、ＬＡＮ２（１−２）を収容している。同
様にＩＳＰ２（２−２）はエッジノード（３−３，３−４）を介してそれぞれＬ
ＡＮ３（１−３）、ＬＡＮ４（１−４）をはじめとする複数の網を収容している
。またそれぞれのＩＳＰは自網の入り口から出口にかけて、ＩＰパケットを網内
で使用するヘッダでカプセル化して転送を行っている。そしてカプセルヘッダを
ＶＰＮに固有に割り当てることにより、ＶＰＮトラフィックを網内の別のトラフ
ィックから識別してＶＰＮに関する閉域網を構成している。ＩＳＰ１（２−１）
とＩＳＰ２（２−２）はインターワークルータ（１０）により互いにインターワ
ークしており、相手網行きのトラフィックはインターワークルータを介して相手
網に転送される。

例えばＬＡＮ１とＬＡＮ３を結ぶＶＰＮ（ＶＰＮ１と呼ぶ事とする）を構成す
る場合について説明すると、ＬＡＮ１から送出されたＬＡＮ３宛のＩＰパケット
はエッジノード（３−１）においてＩＰアドレスにより検索され、まずＶＰＮ１
に属すインターワークルータ宛のパケットと認識され、ＶＰＮ１のインターワー
クルータ（１０）行きのカプセルヘッダ（レイヤ図中１０３ａ）が付与され、イ
ンターワークルータ（１０）に到達する。インターワークルータ（１０）はカプ
セルヘッダ（レイヤ図中１０３ａ）とＩＰアドレスにより検索され、ＶＰＮ１に
属すエッジノード（３−３）宛のパケットであることを検索し、ＩＳＰ２内でＶ
ＰＮ１でエッジノード（３−３）宛のカプセルヘッダ（レイヤ図中１０３ｂ）を
付与し、ＩＳＰ２内をカプセルヘッダに従いエッジノード（３−３）に転送され
る。エッジノード（３−３）ではカプセルヘッダを外し、ＬＡＮ３にＩＰパケッ
トを転送する。これにより、両網内にまたがるＶＰＮのＩＰパケットを他トラフ
ィックと混合されることなくを転送することが出来る。

なお、グローバルアドレスを用いたＩＰパケットについては、下位レイヤ情報
に依存させず、ひとまとめにして転送先および（カプセルヘッダを使用する場合
には）カプセルヘッダを決定することにより、従来の網内と同様に転送を行うこ
とが出きる。

インターワークルータ（１０）の動作を図４、図５、図６を用いて説明する。
図４は従来のルータ装置の処理フローであり、図５、図６は本発明によるインタ
ーワークルータ（１０）の処理フローである。従来のルータでは、パケットが到
着すると、ＩＳＰ１（２−１）での転送に用いられる物理レイヤを終端（２０１
）し、ＩＳＰ１内の転送に使用したカプセルヘッダを除去（２０２）してから、
ＩＰヘッダの値により方路検索を行い（２０３）、スイッチを介して所望方路に
転送する（２０４）。その後、ＩＳＰ２での転送に用いられるカプセルヘッダを
付与（２０５）し、その後物理レイヤの処理を行って（２０６）伝送路から送出
する。このフローでは、ＩＳＰ１のカプセルヘッダを除去して、ＩＰヘッダのみ
で方路を決定するため、複数ＶＰＮのトラフィックが一旦マージされてしまう。
本発明のインターワークルータによれば、そのような問題を回避できる。

図３は、本発明のインターワークルータ（１０）が実行するアルゴリズムであ
るパケットが到着すると、ＩＳＰ１（２−１）での転送に用いられる物理レイヤ
を終端（２１１）し、ＩＳＰ１内の転送に使用したカプセルヘッダとＩＰヘッダ
の値により方路検索およびＩＳＰ２内のカプセル化ヘッダの生成を行う（２１２
）。その後ＩＳＰ１カプセルヘッダを除去（２１３）し、ＩＳＰ２での転送に用
いられるカプセルヘッダを付与（２１４）し、スイッチに送信する。そして、ス
イッチにより、所望の方路に転送（２１５）される。その後物理レイヤの処理を
行って（２１６）伝送路から送出する。これにより、別の網のトラフィックと分
離することができる。また、スイッチに、カプセルヘッダが除去された裸のＩＰ
パケットが流れることがないので、この部分から他人がＶＰＮに挿入することは
出来ない。すなわち、ＩＳＰ２内で使用される内部ヘッダが付加されていないＩ
Ｐパケットが紛れ込み、そのパケットがＩＳＰ２内のＶＰＮに流れ込むというこ
とはない。従って、安全性も高くなる。

また別の実施例として図６を説明する。本実施例のインターワークルータは、
ＩＳＰ１内の転送に使用したカプセルヘッダとＩＰヘッダの値の組と、カプセル
ヘッダインデックスとの対応テーブルと、カプセルヘッダインデックスとＩＳＰ
２内の転送に使用したカプセルヘッダとの対応テーブルを有している。パケット
が到着すると、ＩＳＰ１（２−１）での転送に用いられる物理レイヤを終端（２
２１）し、ＩＳＰ１内の転送に使用したカプセルヘッダとＩＰヘッダの値により
方路検索とカプセルヘッダインデックスの生成を行う（２２２）。その後、上記
ＩＰパケットＩＳＰ１カプセルヘッダを除去（２２３）し、その除去されたＩＰ
パケットに、生成したカプセルヘッダインデックスを付与してスイッチに送信し
、スイッチにより所望の方路に転送される（２２４）。そして、カプセルヘッダ
IndexからＩＳＰ２での転送に用いられるカプセルヘッダを生成、付与（２２５
）する。その後物理レイヤの処理を行って（２２６）伝送路から送出する。この
構成によっても、図５の場合と同様に、安全性の高い閉域網を構成することが出
来る。すなわち、カプセルヘッダIndexが付与されていないＩＰパケットが紛れ
込むことはない。

次に図７〜図１０を用いて、ＭＰＬＳによりＶＰＮをサポートするＩＳＰ１と
ＩＰカプセルを用いてＶＰＮをサポートするＩＳＰ２にまたがるＶＰＮの実現方
式とパケット構成例を説明する。

図７は網構成とプロトコルスタックを示している。図３ではカプセル化方式を
特定せずに説明したが、図７は、ＩＳＰ１はＭＰＬＳ、ＩＳＰ２はＩＰカプセル
化を採用した場合の例を示している。インターワークルータ（１０）では、図３
と同様にカプセル化ヘッダに相当するＡＴＭレイヤ（１０４ａ）及びＩＰレイヤ
（１０１）、ＩＰカプセルレイヤ（１０４ｂ）及びＩＰレイヤ（１０１）の組み
合わせによりフォワーディングを行う。これにより、ＶＰＮがそれぞれプライベ
ートアドレスを用いるためアドレスが重複する場合であっても、正しくフォワー
ディングすることが可能となる。

図８により、ＩＰパケットをＡＴＭでカプセル化する方式を説明する。本カプ
セル化はＩＥＴＦのＲＦＣ１４８３で標準化されている方式である。ＩＰヘッダ
（２５０）及びＩＰペイロード（２５１）からなるＩＰパケットにＬＬＣ／ＳＮ
ＡＰ（２５３）を付与し、ＡＡＬ５ヘッダ（２５２）及びＡＡＬ５トレイラ（２
５５）を付与してＡＡＬ５フレームを構成する。ＰＡＤ（２５４）はＡＡＬ５フ
レームをＡＴＭセルのペイロード（２５７）長である４８オクテットの定数倍に
するために挿入する。そしてこのＡＡＬ５トレイラを４８オクテット毎に分割し
、ＡＴＭヘッダ（２５６）を付与し、１乃至複数のＡＴＭセルとして転送を行う
。

図９はＲＦＣ７９１で示されるＩＰｖ４パケットフォーマットを示している。
ＩＰカプセル化を行う際、カプセル化を行うプロトコルはＩＰｖ４ヘッダをその
まま使用し、網内のルータは既存のＩＰｖ４ルータを使用することができる。

図１０はＩＰトンネルによるカプセル化方式を示している。ユーザの送信した
ＩＰヘッダ（２６０）及びＩＰペイロード（２６１）から構成されるＩＰパケッ
トをカプセル化ヘッダ（２６４）でカプセル化しており、このカプセル化ヘッダ
はＩＰヘッダ（２６２）とトンネルヘッダ（２６３）から構成される。このカプ
セル化ヘッダはＩＳＰ２内で用いられるもので、網内で一意に識別が可能である
。したがって、ユーザがプライベートアドレスを用いた場合でも、網内ではカプ
セルヘッダによりルーティングを行い、パケットを所望のエッジまで運ぶことが
できる。本例ではＲＦＣ１５８３によるトンネルヘッダの例を示したが、他にＩ
Ｐカプセル化にはＧＲＥカプセル化（ＲＦＣ１７９２）やＩＰモバイルなどがあ
る。

インターワークルータ（１０）では、図８や図１０で示したカプセルヘッダと
ユーザのＩＰアドレスを組み合わせてフォワーディング処理を行うことにより、
安全なＶＰＮをＩＳＰにまたがり構成することができ、さらにユーザはプライベ
ートアドレスを用いてＶＰＮを構築することができる。

図１１乃至図１９を用いて、インターワークルータ（１０）の一実施例につい
て説明する。

図１１はインターワークルータ（１０）の１構成例である。制御部（５０）は
装置全体の制御及び他ノードとのルーティング処理などを行っている。コアスイ
ッチ（５１）は各パケットレイヤ処理部（５２）間のパケットの転送を行うスイ
ッチである。下位レイヤ処理部（ＡＴＭ）（５３）はＩＳＰ１のＭＰＬＳ網を収
容するインターフェースであり、下位レイヤ処理部（ＩＰカプセル）（５４）は
ＩＳＰ２のＩＰカプセル網を収容するインターフェースである。パケットレイヤ
処理部（５２）は下位レイヤ処理部（５３，５４）から下位レイヤの情報及びＩ
Ｐパケットを受け取り、下位レイヤの情報とＩＰパケットのヘッダ情報の組み合
わせによりパケットの転送先を決定する。

まず受信方向の処理の流れから説明する。図１２に下位レイヤ処理部（ＡＴＭ
）（５３）のブロック構成を示す。ＩＳＰ１の網から到来した信号はまず物理レ
イヤ処理部（１５０）にて物理レイヤを終端し、ＡＴＭレイヤ処理部（１５１）
にてＡＴＭレイヤを終端する。この際、再構成されたＩＰパケットとともに、受
信側のＶＰＮ識別機能を果たしているＡＴＭヘッダも同時にＶＰＮ番号付与部（
１５２）に送付する。ＶＰＮ番号付与部（１５２）では装置内でＶＰＮの識別に
利用するＶＰＮ番号をＡＴＭヘッダより生成する。この際受信側ＶＰＮ番号テー
ブル（１５３）が用いられる。そしてこのＶＰＮ番号とＩＰパケットはパケット
処理部ＩＦ（１５４）を介してパケットレイヤ処理部に転送される。

図１３には受信側ＶＰＮ番号テーブル（１５３）の構成例を示している。この
テーブルでは入力側ＡＴＭヘッダ（３００）と入力側ＶＰＮ番号（３０３）のペ
アから構成されており、入力側ＡＴＭヘッダが入力キーとなって入力側ＶＰＮ番
号（３０３）を出力する。入力キーとなる入力側ＡＴＭヘッダとしては、ＶＰＩ
／ＶＣＩ（３０１）の他、パケットの転送優先度を示すＣＬＰ（Cell of Priori
ty）ビット（３０２）をキーとしてもよい。そして装置内で汎用的に使用される
入力側ＶＰＮ番号は装置内ＶＰＮ番号（３０４）の他にＱｏＳ（Quality of Ser
vice）を示すフィールド（３０５）を設けてもよい。またＣＬＰとＱｏＳのマッ
ピングを行うテーブルをＶＰＮ識別のための本テーブルと独立に設けてもよい。

図１４に下位レイヤ処理部（ＩＰカプセル）（５４）の実施例を示す。ＩＳＰ
２から到来した信号は物理レイヤ処理部（１７０）にて物理レイヤを終端し、次
にカプセルレイヤ受信処理部（１７１）にてカプセルヘッダの終端を行う。この
際終端したカプセルヘッダをＩＰバケットと共にＶＰＮ番号付与部（１７２）へ
送付する。ＶＰＮ番号付与部（１７２）では装置内でＶＰＮの識別に利用するＶ
ＰＮ番号をＡＴＭヘッダより生成する。この際受信側ＶＰＮ番号テーブル（１７
３）が用いられる。そしてこのＶＰＮ番号とＩＰパケットはパケット処理部ＩＦ
（１５４）を介してパケットレイヤ処理部に転送される。

図１５には受信側ＶＰＮ番号テーブル（１７３）の構成例を示している。この
テーブルは、入力側カプセルヘッダ（３１０）と入力側ＶＰＮ番号（３０３）の
ペアから構成されており、入力側ＡＴＭヘッダが入力キーとなって入力側ＶＰＮ
番号（３０３）を出力する。入力キーとなる入力側ＩＰカプセルヘッダとしては
、カプセルヘッダのソースアドレス（３１１）の他、パケットの転送優先度を示
すＴＯＳ（Type of Service）フィールド（３０２）をキーとしてもよい。そし
て装置内で汎用的に使用される入力側ＶＰＮ番号は装置内ＶＰＮ番号（３０４）
の他にＱｏＳを示すフィールド（３０５）を設けてもよい。

またＴｏＳとＱｏＳのマッピングを行うテーブルをＶＰＮ識別のための本テー
ブルと独立に設けてもよい。

図１２から図１５を用いて説明した方式により、入力側ＶＰＮ番号（３０３）
とＩＰパケットがパケットレイヤ処理部（５２）に到達した際の処理を図１６を
用いて説明する。下位レイヤ処理部（１８０）を介して入力側ＶＰＮ番号（３０
４）とＩＰパケットをルート検索・ＶＰＮ処理部（１８１）が受け取ると、ここ
ではルート検索・ＶＰＮテーブル（１８２）を用いてＩＰヘッダ及び入力側ＶＰ
Ｎ番号の双方をキーにしてルート検索及び出力側ＶＰＮ番号を決定する。これに
より出力方路及び出力側ＶＰＮ番号とＩＰパケットは、コアスイッチＩＦを介し
てコアスイッチに送付され、所望のパケットレイヤ処理部に到達することとなる
。

図１７にルート検索・ＶＰＮテーブルの構成例を示す。入力キーとして入力側
ＶＰＮ番号（３２０）及びＩＰヘッダ（３２３）を用いて検索を行い、出力方路
番号（３２５）及び出力側カプセル番号（３２６）を出力させる。出力方路番号
（３２６）はコアスイッチ及びその他でパケットを所望のインターフェースに転
送するための装置内識別子であり、出力側カプセル番号（３２６）は出力側の下
位レイヤ処理部にてカプセルヘッダを付与するためのカプセルヘッダへの装置内
識別子である。出力側カプセル番号（３２６）にはカプセル番号（３２７）の他
にＱｏＳ（３２８）を設け、優先制御を行ってもよい。

次に送信方向の処理について説明する。図１６を用いてパケットレイヤ処理部
（５２）の処理例を示す。コアスイッチＩＦ（１８４）を介して出力側カプセル
番号（３２６）及びＩＰパケットを受け取ると、これらの情報を下位レイヤ処理
部ＩＦを介して下位レイヤ処理部（５３、５４）に転送する。

図１２を用いて、下位レイヤ処理部（ＡＴＭ）（５３）の動作を説明する。下
位レイヤ処理部（ＡＴＭ）（５３）ではパケットレイヤ処理部（５２）からパケ
ットレイヤ処理部ＩＦ（１５９）を介して出力側カプセル番号（３２６）及びＩ
Ｐパケットを受信する。次にＡＴＭヘッダ決定部（１５７）はヘッダ生成テーブ
ル（１５８）を用いてカプセルヘッダに対応するＡＴＭヘッダを出力側カプセル
番号（３２６）から生成する。こうして生成されたＡＴＭヘッダとＩＰパケット
はＡＴＭレイヤ送信処理部（１５６）でＡＴＭセルに変形され、物理レイヤ送信
処理部（１５５）を介してＩＳＰ１のネットワークへと送信される。

図１８にヘッダ生成テーブルの構成を示す。出力側カプセル番号をキーとして
出力側ＡＴＭヘッダを出力する構成となっている。これにより出力側カプセル番
号より出力側ＡＴＭヘッダを得ることができる。

同様に図１４を用いて下位レイヤ処理部（ＩＰカプセル）（５４）の動作を説
明する。下位レイヤ処理部（ＩＰカプセル）（５４）ではパケットレイヤ処理部
（５２）からパケットレイヤ処理部ＩＦ（１５９）を介して出力側カプセル番号
（３２６）及びＩＰパケットを受信する。次にカプセルヘッダ決定部（１７７）
はヘッダ生成テーブル（１７８）を用いてカプセルヘッダに対応するＩＰカプセ
ルヘッダ及び出力側ＭＡＣアドレスを出力側カプセル番号（３２６）から生成す
る。こうして生成されたＩＰカプセルヘッダ、出力側ＭＡＣアドレスとＩＰパケ
ットはカプセルレイヤ送信処理部（１７６）でカプセル化処理され、物理レイヤ
送信処理部（１７５）を介してＩＳＰ１のネットワークへと送信される。

図１９にヘッダ生成テーブルの構成を示す。出力側カプセル番号をキーとして
出力側ＩＰカプセルヘッダ及び出力側ＭＡＣアドレスを出力する構成となってい
る。

以上インターワークルータ装置の一構成例を示した。本実施例では、入力側、
出力側それぞれの処理に内部で統一された入力側ＶＰＮ番号（３２０）及び出力
側カプセル番号（３２６）を用いた例を示した。但し、ルート検索・ＶＰＮテー
ブルの入力キーを入力側カプセルヘッダにしてもよいし、出力として直接出力側
カプセルヘッダを生成してもよい。

また、本実施例で示したテーブルは論理的なテーブルであり、テーブル検索方
法として、ツリー構造に代表される検索アルゴリズムを用いてアドレスを出し、
所望の出力を得る方式を採用してもよいし、ＣＡＭを使った構成や、テーブルを
逐次検索していく方式を採用してもよい。

図２３に本実施例のテーブルの設定のための、ＮＭＳから装置に指示を出すイ
ンターフェースであり、エージェントが制御部５０に搭載される、ＭＩＢ（Mana
gement Information Base）構成の一実施例を示す。入力カプセルヘッダEntry（
５００）は図１３に示した受信側VPNテーブルを設定するためのＭＩＢである。
同様にＶＰＮクロスコネクトEntry（５０１）は図１７に示したルート検索・Ｖ
ＰＮテーブル（１８２）を設定するためのＭＩＢである。同様に出力側カプセル
ヘッダEntry（５０２）はヘッダ生成テーブルの１構成例である。これらのＭＩ
Ｂに設定された情報は、ＮＭＳから制御部（５０）に対して設定され、制御部（
５０）がインターワークルータ内各部にテーブル設定する。

ここまでにＶＰＮのインターワークについて装置構成を中心に説明してきた。
図２０から図２２を用いて、インターワークルータのネットワーク内での適用例
を説明する。

図２０は２つのＩＳＰがそれぞれの所有する２つのインターワークルータを介
して接続される例を示す。２つのインターワークルータの間はカプセル化（１０
３ｂ）によりそれぞれのＶＰＮを識別する構成になっている。そしてそれぞれの
インターワークルータ（１０ａ、１０ｂ）では、図１９までに説明したとおり、
カプセルヘッダ（１０３ａ、１０３ｂ、１０３ｃ）とＩＰアドレスの組によりル
ーティング処理を行う。

図２１は２つのＩＳＰがそれぞれの所有するインターワークルータを持ち、レ
イヤ３処理を行うＩＸを介して接続される例である。それぞれのインターワーク
ルータとＩＸの間はカプセル化（１０３ｂ）によりそれぞれのＶＰＮを識別する
構成になっている。インターワークルータ（１０ａ）、ＩＸ（１０ｃ）及びイン
ターワークルータ（１０ｂ）では、図１９までに説明したとおり、カプセルヘッ
ダ（１０３ａ、１０３ｂ、１０３ｃ）とＩＰアドレスの組によりフォワーディン
グ処理を行う。

図２２は２つのＩＳＰはそれぞれのインターワークルータを持ち、２つのＩＳ
Ｐが、ＩＸを介して接続される例を示す。ここで、ＩＸはレイヤ３処理を行わな
いレイヤ２装置で構成されている。この場合もそれぞれのインターワークルータ
とＩＸの間はカプセル化（１０３ｂ）によりそれぞれのＶＰＮを識別する構成に
なっている。インターワークルータ（１０ａ）とインターワークルータ（１０ｂ
）では、図１９までに説明したとおり、カプセルヘッダ（１０３ａ、１０３ｂ、
１０３ｃ）とＩＰアドレスの組によりフォワーディング処理を行う。ＩＸはレイ
ヤ２フォワーディングにより転送を行う。

なお、本発明では複数ＩＳＰ間のＶＰＮの接続方式について説明したが、同一
ＩＳＰ内に複数のカプセル化エリアが存在する場合にも、同一のノード構成でＶ
ＰＮを接続することが必要である。その場合でも、本発明で説明した方式により
、ＶＰＮを接続することができる。

本発明によるインターワークルータ動作の概念図である。 従来のルータを用いた場合における複数のＩＳＰ間のインターワーク方式を説明した図である。 本発明によるインターワークルータの動作をプロトコルスタックを用いて説明した図である。 従来のルータによるＩＳＰインターワーク処理方式を説明するフローチャートである。 本発明によるインターワークルータの動作を説明するフローチャートである。 本発明によるインターワークルータの動作を説明するフローチャートである。 本発明によるＭＰＬＳ網とＩＰカプセル化網の接続形態をプロトコルスタックを用いて説明した図である。 ＲＦＣ１４８３によるＩＰパケットのＡＴＭセル化を説明する図である。 ＲＦＣ７９１によるＩＰパケットフォーマットを説明する図である。 ＲＦＣ１８５３によるＩＰトンネルパケットの構成を説明する図である。 本発明によるインターワークルータの１構成例を説明する図である。 本発明によるインターワークルータの下位レイヤ処理部の１構成例を説明する図である。 本発明による下位レイヤ処理部における受信側ＶＰＮ番号テーブルの構成例を説明する図である。 本発明によるインターワークルータの下位レイヤ処理部の１構成例を説明する図である。 本発明による下位レイヤ処理部における受信側ＶＰＮ番号テーブルの構成例を説明する図である。 本発明によるインターワークルータのパケットレイヤ処理部の１構成例を説明する図である。 本発明によるパケットレイヤ処理部におけるルート検索ＶＰＮテーブルの構成例を説明する図である。 本発明による下位レイヤ処理部におけるヘッダ生成テーブルの構成例を説明する図である。 本発明による下位レイヤ処理部におけるヘッダ生成テーブルの構成例を説明する図である。 本発明によるインターワークルータの網内での１適用例を説明する図である。 本発明によるインターワークルータの網内での１適用例を説明する図である。 本発明によるインターワークルータの網内での１適用例を説明する図である。 本実施例のテーブルの設定のための、ＮＭＳから装置に指示を出すインターフェースである。

符号の説明

２…ＩＳＰ網、３…エッジノード、１０…インターワークルータ装置、５０…
制御部、５１…コアスイッチ、５２…パケットレイヤ処理部、５３…下位レイヤ
処理部（ＡＴＭ）、５４…下位レイヤ処理部（ＩＰカプセル）、１５２…ＶＰＮ
番号付与部、１５３…受信側ＶＰＮ番号テーブル、１５７…ＡＴＭヘッダ決定部
、１５８…ヘッダ生成テーブル、１７２…ＶＰＮ番号付与部、１７３…受信側Ｖ
ＰＮ番号テーブル、１７７…カプセルヘッダ決定部、１７８…ヘッダ生成テーブ
ル。

Claims (22)

1. 第一の仮想閉域網を含む第一のネットワークから複数の第二の仮想閉域網を含む第二のネットワークに、宛先ＩＰアドレスと上記第一の仮想閉域網で用いられる第一のＶＰＮ識別子が付加されたデータを転送するデータ転送装置であって、
   上記宛先ＩＰアドレスと上記第一のＶＰＮ識別子とから上記複数の第二の仮想閉域網のうちの一つで用いられる第二のＶＰＮ識別子を生成するデータ処理部と、
   上記データに上記第二のＶＰＮ識別子を付加して送信する送信部を備えたデータ転送装置。
2. 請求項１記載のデータ転送装置であって、
   上記第一のＶＰＮ識別子を上記第二のＶＰＮ識別子で置き換える処理部をさらに備えたデータ転送装置。
3. 請求項１記載のデータ転送装置であって、
   上記宛先ＩＰアドレスと上記第一のＶＰＮ識別子とから上記データの上記第二のネットワークへの送出経路を決定する経路決定部をさらに備えたデータ転送装置。
4. 請求項１記載のデータ転送装置であって、
   上記データはＩＰパケットであることを特徴とするデータ転送装置。
5. 第一の仮想閉域網を含む第一のネットワークから複数の第二の仮想閉域網を含む第二のネットワークに、宛先ＩＰアドレスと上記第一の仮想閉域網で用いられる第一のＶＰＮ識別子が付加されたデータを転送するデータ転送方法であって、
   上記データを受信するステップと、
   上記宛先ＩＰアドレスと上記第一のＶＰＮ識別子とから上記複数の第二の仮想閉域網のうちの一つで用いられる第二のＶＰＮ識別子を生成するステップと、
   上記データに上記第二のＶＰＮ識別子を付加して送信するステップを有するデータ転送方法。
6. 請求項５記載のデータ転送方法であって、
   上記第一のＶＰＮ識別子を上記第二のＶＰＮ識別子で置き換えるステップをさらに有するデータ転送方法。
7. 請求項５記載のデータ転送方法であって、
   上記宛先ＩＰアドレスと上記第一のＶＰＮ識別子とから上記データの上記第二のネットワークへの送出経路を決定するステップをさらに有するデータ転送方法。
8. 請求項５記載のデータ転送方法であって、
   上記データはＩＰパケットであることを特徴とするデータ転送方法。
9. データ転送システムであって、
   第一の仮想閉域網を含む第一のネットワークと、
   複数の第二の仮想閉域網を含む第二のネットワークと、
   上記第一のネットワークから上記第二のネットワークにデータを転送するデータ転送装置とを備え、
   上記データには、宛先ＩＰアドレスと上記第一の仮想閉域網で用いられる第一のＶＰＮ識別子が付加されており、
   上記データ転送装置は、上記宛先ＩＰアドレスと上記第一のＶＰＮ識別子とから上記複数の第二の仮想閉域網のうちの一つで用いられる第二のＶＰＮ識別子を生成し、上記データに上記第二のＶＰＮ識別子を付加して送信することを特徴とするデータ転送システム。
10. 請求項９記載のデータ転送システムであって、
    上記データ転送装置は、上記第一のＶＰＮ識別子を上記第二のＶＰＮ識別子で置き換えることを特徴とするデータ転送システム。
11. 請求項９記載のデータ転送システムであって、
    上記データ転送装置は、上記宛先ＩＰアドレスと上記第一のＶＰＮ識別子とから上記データの上記第二のネットワークへの送出経路を決定することを特徴とするデータ転送システム。
12. 第一の仮想閉域網を含む第一のネットワークから複数の第二の仮想閉域網を含む第二のネットワークに、宛先ＩＰアドレスと上記第一の仮想閉域網で用いられる第一のＶＰＮ識別子が付加されたデータを転送するデータ転送装置であって、
    上記宛先ＩＰアドレスと上記第一のＶＰＮ識別子とからインデックスを生成するインデックス生成部と、
    上記インデックスから上記複数の第二の仮想閉域網のうちの一つで用いられる第二のＶＰＮ識別子を生成するデータ処理部と、
    上記データに上記第二のＶＰＮ識別子を付加して送信する送信部を備えたデータ転送装置。
13. 請求項１２記載のデータ転送装置であって、
    上記第一のＶＰＮ識別子を上記第二のＶＰＮ識別子で置き換える処理部をさらに備えたデータ転送装置。
14. 請求項１２記載のデータ転送装置であって、
    上記宛先ＩＰアドレスと上記第一のＶＰＮ識別子とから上記データの上記第二のネットワークへの送出経路を決定する経路決定部をさらに備えたデータ転送装置。
15. 請求項１２記載のデータ転送装置であって、
    上記データはＩＰパケットであることを特徴とするデータ転送装置。
16. 第一の仮想閉域網を含む第一のネットワークから複数の第二の仮想閉域網を含む第二のネットワークに、宛先ＩＰアドレスと上記第一の仮想閉域網で用いられる第一のＶＰＮ識別子が付加されたデータを第一及び第二のデータ転送装置を介して転送するデータ転送方法であって、
    上記第一のデータ転送装置において上記第一のネットワークから上記データを受信するステップと、
    上記第一のデータ転送装置において上記宛先ＩＰアドレスと上記第一のＶＰＮ識別子とからインデックスを生成するステップと、
    上記第一のデータ転送装置において、該インデックスを上記データに付加して上記第二のデータ転送装置に送信するステップと、
    上記第二のデータ転送装置において上記インデックスを付加されたデータを上記第一のデータ転送装置から受信するステップと、
    上記第二のデータ転送装置において、該インデックスから上記複数の第二の仮想閉域網のうちの一つで用いられる第二のＶＰＮ識別子を生成するステップと、
    上記第二のデータ転送装置において、上記データに上記第二のＶＰＮ識別子を付加して上記第二のネットワークに送信するステップを有するデータ転送方法。
17. 請求項１６記載のデータ転送方法であって、
    上記第一のデータ転送装置において上記第一のＶＰＮ識別子を上記インデックスで置き換えるステップと、
    上記第二のデータ転送装置において上記インデックスを上記第二のＶＰＮ識別子で置き換えるステップをさらに有するデータ転送方法。
18. 請求項１６記載のデータ転送方法であって、
    上記第二のデータ転送装置において上記宛先ＩＰアドレスと上記インデックスとから上記データの上記第二のネットワークへの送出経路を決定するステップをさらに有するデータ転送方法。
19. 請求項１６記載のデータ転送方法であって、
    上記データはＩＰパケットであることを特徴とするデータ転送方法。
20. データ転送システムであって、
    第一の仮想閉域網を含む第一のネットワークと、
    複数の第二の仮想閉域網を含む第二のネットワークと、
    上記第一のネットワークからデータを受信する第一のデータ転送装置と、
    上記データを上記第二のネットワークに転送する第二のデータ転送装置とを備え、
    上記データには、宛先ＩＰアドレスと上記第一の仮想閉域網で用いられる第一のＶＰＮ識別子が付加されており、
    上記第一のデータ転送装置は、上記宛先ＩＰアドレスと上記第一のＶＰＮ識別子とからインデックスを生成し、上記データに上記インデックスを付加して上記第二のデータ転送装置に送信し、
    上記第二のデータ転送装置は、上記宛先ＩＰアドレスと上記インデックスとから上記複数の第二の仮想閉域網のうちの一つで用いられる第二のＶＰＮ識別子を生成し、上記データに上記第二のＶＰＮ識別子を付加して送信することを特徴とするデータ転送システム。
21. 請求項２０記載のデータ転送システムであって、
    上記第一のデータ転送装置は、上記第一のＶＰＮ識別子を上記インデックスで置き換え、
    上記第二のデータ転送装置は、上記インデックスを上記第二のＶＰＮ識別子で置き換えることを特徴とするデータ転送システム。
22. 請求項２１記載のデータ転送システムであって、
    上記第二のデータ転送装置は、上記宛先ＩＰアドレスと上記インデックスとから上記データの上記第二のネットワークへの送出経路を決定することを特徴とするデータ転送システム。

Images