JP2008131531A - リモートアクセス制御装置およびリモートアクセス制御プログラム - Google Patents

Abstract

【課題】自己のネットワークに属する端末から他のネットワークに属する端末の特定の論理アドレスに対応する物理アドレスの取得の要求があったとき、パケットの転送を抑制しつつこの要求を達成させるリモートアクセス制御装置およびリモートアクセス制御装置を得る。
【解決手段】仮想プライベートネットワーク装置３０１は、ＬＡＮ内端末３０４₁〜３０４_nと同一のＬＡＮ３０３に属しており、ＷＡＮ回線３０６を介してリモートクライアント３０７と接続される。仮想プライベートネットワーク装置３０１は、内部にリモートクライアント３０７等の端末の論理アドレスと物理アドレスの対を他のネットワークのパケットを受信した際に登録する。ＬＡＮ内端末３０４₁〜３０４_nが近隣探索要求パケットを送出しようとすると、仮想プライベートネットワーク装置３０１がこの登録内容を調べて代理で物理アドレスを返信したり、無効なパケットは廃棄処理を行う。
【選択図】図１

Description

本発明は、リモートアクセスクライアントにとって不要なマルチキャストやブロードキャストパケットの転送を抑制するためのリモートアクセス制御装置に関する。

リモートアクセスとは、遠隔地からリモートアクセスクライアント（以下、リモートクライアントという。）がインターネット等の通信網を利用して特定のＬＡＮ（Local Area Networ）端末に接続することをいう。これにより、ＬＡＮ上に存在する情報資源を活用することができる。

専用線を用いずにインターネットや公衆回線網といった通信網を利用してリモートアクセスを行うと、経済的な通信システムを構築することができる。しかしながら、この半面で、盗聴や改ざん等のセキュリティ上の問題が生じることになる。そこで、暗号化や認証、ヘッダ交換のような技術を用いることで、特定のユーザのみがこれらの通信網を使用してアクセスできるようにする仮想プライベートネットワーク（ＶＰＮ；Virtual Private Network）という仮想専用線を用いる技術が実現している。これにより、インターネットや公衆回線網を使っても、専用線を用いる場合と同様のセキュリティを保つことができる。

仮想プライベートネットワークを構築するために、特定のユーザしか認識できない仮想の通信路を設けて通信することをトンネリングと呼んでいる。トンネリングでは、通信の対象となるデータパケットをカプセル化することで、第三者がその内容を判別できないようにしている。

図７は、従来から存在するネットワークの一例についてその構成を簡単に示したものである。ＬＡＮケーブル１０１には、第１〜第ｎのＬＡＮ内端末１０２₁〜１０２_nの他に、仮想プライベートネットワークを実現するための仮想プライベートネットワーク装置１０３が接続されている。仮想プライベートネットワーク装置１０３は、ＷＡＮ（Wide Area Network）回線１０４と呼ばれる広域ネットワークを介してリモートクライアント１０５と接続されるようになっている。

図８は、図７に示したＬＡＮ内端末がＡＲＰ要求を行う場合のリモートクライアントとの処理手順を説明するためのものである。ＬＡＮ内端末１０２は、たとえば時刻ｔ₁に仮想プライベートネットワーク装置１０３に対して、ＡＲＰ（Address Resolution Protocol）要求パケットを送信する（ステップＳ２０１）。ここでＡＲＰ要求パケットとは、ＩＰｖ４において、ＩＰアドレスに対応する近隣ノードのＭＡＣアドレスを調べるためのアドレス解決のためのパケットをいう。仮想プライベートネットワーク装置１０３（ＶＰＮ）は、受信したＡＲＰ要求パケットをＶＰＮトンネルを経由して、ＩＰｖ４（Internet Protocol version 4）アドレスの該当するリモートクライアント１０５に送信する（ステップＳ２０２）。図ではリモートクライアント１０５が１つ示されているが、図７に示したＷＡＮ回線１０４に接続されたすべてのリモートクライアント１０５にＡＲＰ要求パケットが送信される。

リモートクライアント１０５は自己のＩＰｖ４アドレスを宛先とするＡＲＰ要求パケットを受信した場合、ＶＰＮトンネルを経由して仮想プライベートネットワーク装置１０３に自己のＭＡＣ（Media Access Control）アドレスを記したＡＲＰ応答パケットを返信する（ステップＳ２０３）。仮想プライベートネットワーク装置１０３は、リモートクライアント１０５から受信したＶＰＮパケットをＡＲＰ応答パケットにしてＬＡＮ内端末１０２に送信する（ステップＳ２０４）。このように、要求したＩＰｖ４がリモートクライアント１０５と一致した場合には、そのリモートクライアント１０５の物理アドレスとしてのＭＡＣアドレスをＬＡＮ内端末１０２が取得する。

これに対して、たとえば他の時刻ｔ₂にＬＡＮ内端末１０２がＡＲＰ要求パケットを送信し（ステップＳ２０５）、仮想プライベートネットワーク装置１０３がこれをリモートクライアント１０５側に送出したとする（ステップＳ２０６）。この場合に、図１に示すＷＡＮ回線１０４に接続されたすべてのリモートクライアント１０５の論理アドレスとしてのＩＰアドレスがＡＲＰ要求パケットで示されたＩＰアドレスと一致しなかった場合、これらのリモートクライアント１０５はこの要求に対して応答しない（無応答）。したがって、この場合には、仮想プライベートネットワーク装置１０３がＶＰＮトンネルを経由してリモートクライアント１０５に送出したＡＲＰ要求パケットは、応答がなかったという意味で無駄な処理となる。また、無駄なＡＲＰ要求パケットの転送は、リモートアクセス経路の帯域を実質的に狭めるという不都合を生じさせる。

そこで、ネットワーク内にアドレス解決装置を適宜の数だけ配置して、アドレス解決要求メッセージをこれに転送し、そこで処理するようにして、ネットワーク内の不必要なブロードキャストパケットを減らすことが第１の提案として提案されている（たとえば特許文献１参照）。この第１の提案では、アドレス解決装置内に各端末の論理アドレスと物理アドレスを対応付けたアドレス解決メモリ部が用意されており、アドレス解決要求メッセージが送られてくると、要求された端末の論理アドレスをキーとして物理アドレスを検索する。そして、該当する物理アドレスが存在する場合にはアドレス解決要求メッセージの送信元にこれを返答するようになっている。該当する物理アドレスがアドレス解決メモリ部に存在しなかった場合には、アドレス解決要求メッセージをそのまま通過させて次のアドレス解決装置に渡すことになる。

また、フレーム中継を行うスイッチングハブ内に代理ＡＲＰサーバを設けることが第２の提案として提案されている（たとえば特許文献２参照）。この第２の提案では、代理ＡＲＰサーバが、フレームの送信元ＭＡＣアドレスと送信元ネットワークアドレスとを学習して登録するようにしており、ネットワークアドレスに対応しているエントリが存在している場合には、ＡＲＰ応答フレームを組み立てて受信ポートから代理で応答するようにして、ＡＲＰフレームのブロードキャストをなくし、ブロードキャストのトラフィックを最小限に抑えるようにしている。
特開平０９−００８８１７号公報（第００３２段落〜第００３９段落、図５） 特開平０９−０６４９００号公報（第０００５段落、第０００８段落〜第００１３段落、図１）

このうち第１の提案では、アドレス解決メモリ部が限定された既存の端末についての論理アドレスと物理アドレスを対応付けた手段として用意されている。したがって、このアドレス解決メモリ部に存在しない端末あるいはアドレス解決メモリ部を作成した後にネットワークに加わった端末についてアドレス解決要求メッセージが出された場合には、これに対応することができない。

そこで、第２の提案では、スイッチングハブ内にＡＲＰサーバモジュールとインターフェースモジュールを配置している。スイッチングハブは受信したブロードキャストフレームがＡＲＰフレームであるかどうかをチェックする。ＡＲＰフレームではない場合には、このフレームをそのままインターフェースモジュールに渡して、全てのポートにブロードキャストするようになっている。

また、ＡＲＰフレームの場合、ＡＲＰサーバモジュールは、このフレームの送信元ＭＡＣアドレスと送信元ネットワークアドレスを学習して、そのＭＡＣアドレスに対応しているフィルタリングデータベースのエントリに追加するようにしている。このように、フィルタリングデータベースはＡＲＰフレームを対象としている。したがって、たとえば図７に示したようなＬＡＮに接続された仮想プライベートネットワーク装置１０３を考えてみると、このフィルタリングデータベースには第１〜第ｎのＬＡＮ内端末１０２₁〜１０２_nの論理アドレスであるＩＰアドレスと物理アドレスであるＭＡＣアドレスの対が登録されるだけとなる。

ところが、第１〜第ｎのＬＡＮ内端末１０２₁〜１０２_nは同一のＬＡＮに属しているので、このＬＡＮ内のＩＰアドレスとＭＡＣアドレスの関係をフィルタリングデータベースとして登録しても、外部のアドレス解決には役立たない。更に、これら第１および第２の提案では、ＡＲＰ要求に関する技術なので、ＩＰｖ６（Internet Protocol version 6）に関する外部のアドレス解決には役立たないという問題がある。

そこで本発明の目的は、自己のネットワークに属する端末から他のネットワークに属する端末の特定の論理アドレスに対応する物理アドレスの取得の要求があったとき、パケットの転送を抑制しつつこの要求を達成させることのできるリモートアクセス制御装置およびリモートアクセス制御装置を提供することにある。

請求項１記載の発明では、（イ）自己のネットワークに属する任意の端末から特定の論理アドレスを有する端末に対してその端末の物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信手段と、（ロ）前記した他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出手段と、（ハ）この論理アドレス・物理アドレス抽出手段で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録手段と、（ニ）物理アドレス返信要求受信手段が物理アドレス返信要求を受信したとき前記した特定の論理アドレスの端末のその論理アドレスが論理アドレス・物理アドレス登録手段に登録されているかどうかを判別する論理アドレス検索手段と、（ホ）この論理アドレス検索手段によって前記した特定の論理アドレスの端末のその論理アドレスが登録されていると判別されたとき、前記した任意の端末から受信した物理アドレス返信要求を前記した他のネットワークに送信することなく、前記した特定の論理アドレスの端末の代わりにその論理アドレスに対応する物理アドレスを前記した任意の端末に応答する代理応答手段とをリモートアクセス制御装置に具備させる。

すなわち本発明では、リモートアクセス制御装置が自己のネットワークに属する任意の端末から特定の論理アドレスを有する端末に対してその端末の物理アドレスの返信を要求する物理アドレス返信要求を受信して、論理アドレス・物理アドレス登録手段によって登録された一覧からその特定の論理アドレスを検索して一致するものがあった場合にはその論理アドレスに対応する物理アドレスを前記した任意の端末に代理で応答することにしている。ここで論理アドレス・物理アドレス登録手段によって登録された一覧は、論理アドレス・物理アドレス抽出手段が前記した他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出したものなので、前記した他のネットワークに関する情報が豊富であり、代理応答の実効性を高めることができ、無駄なパケットの送出を抑制することができる。

請求項２記載の発明では、（イ）自己のネットワークに属する任意の端末から特定の論理アドレスの端末に対してその物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信手段と、（ロ）前記した他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出手段と、（ハ）この論理アドレス・物理アドレス抽出手段で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録手段と、（ニ）物理アドレス返信要求受信手段が物理アドレス返信要求を受信したとき前記した特定の論理アドレスの端末のその論理アドレスが論理アドレス・物理アドレス登録手段に登録されているかどうかを判別する論理アドレス検索手段と、（ホ）この論理アドレス検索手段によって前記した特定の論理アドレスの端末のその論理アドレスが登録されていないと判別されたとき、前記した任意の端末から受信した物理アドレス返信要求を前記した他のネットワークに送信することなく破棄する物理アドレス返信要求破棄手段とをリモートアクセス制御装置に具備させる。

すなわち本発明では、リモートアクセス制御装置が自己のネットワークに属する任意の端末から特定の論理アドレスを有する端末に対してその端末の物理アドレスの返信を要求する物理アドレス返信要求を受信して、論理アドレス・物理アドレス登録手段によって登録された一覧からその特定の論理アドレスを検索して一致するものがなかった場合には、物理アドレス返信要求を前記した他のネットワークに送信することなく破棄することにしている。ここで論理アドレス・物理アドレス登録手段によって登録された一覧は、論理アドレス・物理アドレス抽出手段が前記した他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出したものなので、前記した他のネットワークに関する情報が豊富であり、無駄なパケットの送出を抑制することができる。

請求項３記載の発明では、（イ）自己のネットワークに属する任意の端末から特定の論理アドレスの端末に対してその物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信手段と、（ロ）前記した他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出手段と、（ハ）この論理アドレス・物理アドレス抽出手段で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録手段と、（ニ）物理アドレス返信要求受信手段が物理アドレス返信要求を受信したとき前記した特定の論理アドレスの端末のその論理アドレスが論理アドレス・物理アドレス登録手段に登録されているかどうかを判別する論理アドレス検索手段と、（ホ）この論理アドレス検索手段によって前記した特定の論理アドレスの端末のその論理アドレスが登録されていると判別されたとき、前記した任意の端末から受信した物理アドレス返信要求を前記した他のネットワークに送信することなく、前記した特定の論理アドレスの端末の代わりにその論理アドレスに対応する物理アドレスを前記した任意の端末に応答する代理応答手段と、（へ）論理アドレス検索手段によって前記した特定の論理アドレスの端末のその論理アドレスが登録されていないと判別されたとき、前記した任意の端末から受信した物理アドレス返信要求を前記した他のネットワークに送信することなく破棄する物理アドレス返信要求破棄手段とをリモートアクセス制御装置に具備させる。

すなわち本発明では、リモートアクセス制御装置が自己のネットワークに属する任意の端末から特定の論理アドレスを有する端末に対してその端末の物理アドレスの返信を要求する物理アドレス返信要求を受信して、論理アドレス・物理アドレス登録手段によって登録された一覧からその特定の論理アドレスを検索して一致するものがあった場合にはその論理アドレスに対応する物理アドレスを前記した任意の端末に代理で応答することにしている。また、論理アドレス・物理アドレス登録手段によって登録された一覧からその特定の論理アドレスを検索して一致するものがなかった場合には、物理アドレス返信要求を前記した他のネットワークに送信することなく破棄することにしている。ここで論理アドレス・物理アドレス登録手段によって登録された一覧は、論理アドレス・物理アドレス抽出手段が前記した他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出したものなので、前記した他のネットワークに関する情報が豊富であり、無駄なパケットの送出を抑制することができる。

請求項７記載の発明では、自己のネットワークと共に他のネットワークに接続したリモートアクセス制御装置のコンピュータが、リモートアクセス制御プログラムとして、（イ）自己のネットワークに属する任意の端末から特定の論理アドレスを有する端末に対してその端末の物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信処理と、（ロ）前記した他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出処理と、（ハ）この論理アドレス・物理アドレス抽出処理で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録処理と、（ニ）物理アドレス返信要求受信処理で物理アドレス返信要求を受信したとき前記した特定の論理アドレスの端末のその論理アドレスが論理アドレス・物理アドレス登録処理で登録されているかどうかを判別する論理アドレス検索処理と、（ホ）この論理アドレス検索処理によって前記した特定の論理アドレスの端末のその論理アドレスが登録されていると判別されたとき、前記した任意の端末から受信した物理アドレス返信要求を前記した他のネットワークに送信することなく、前記した特定の論理アドレスの端末の代わりにその論理アドレスに対応する物理アドレスを前記した任意の端末に応答する代理応答処理とを実行することを特徴としている。

すなわち本発明では、自己のネットワークと共に他のネットワークに接続したリモートアクセス制御装置のコンピュータが、請求項１記載の発明の各手段をリモートアクセス制御プログラムで実現している。

請求項８記載の発明では、自己のネットワークと共に他のネットワークに接続したリモートアクセス制御装置のコンピュータが、リモートアクセス制御プログラムとして、（イ）自己のネットワークに属する任意の端末から特定の論理アドレスの端末に対してその物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信処理と、（ロ）前記した他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出処理と、（ハ）この論理アドレス・物理アドレス抽出処理で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録処理と、（ニ）物理アドレス返信要求受信処理で物理アドレス返信要求を受信したとき前記した特定の論理アドレスの端末のその論理アドレスが論理アドレス・物理アドレス登録処理で登録されているかどうかを判別する論理アドレス検索処理と、（ホ）この論理アドレス検索処理によって前記した特定の論理アドレスの端末のその論理アドレスが登録されていないと判別されたとき、前記した任意の端末から受信した物理アドレス返信要求を前記した他のネットワークに送信することなく破棄する物理アドレス返信要求破棄処理とを実行することを特徴としている。

すなわち本発明では、自己のネットワークと共に他のネットワークに接続したリモートアクセス制御装置のコンピュータが、請求項２記載の発明の各手段をリモートアクセス制御プログラムで実現している。

請求項９記載の発明では、自己のネットワークと共に他のネットワークに接続したリモートアクセス制御装置のコンピュータが、リモートアクセス制御プログラムとして、（イ）自己のネットワークに属する任意の端末から特定の論理アドレスの端末に対してその物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信処理と、（ロ）前記した他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出処理と、（ハ）この論理アドレス・物理アドレス抽出手段で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録手段と、（ニ）物理アドレス返信要求受信処理で物理アドレス返信要求を受信したとき前記した特定の論理アドレスの端末のその論理アドレスが論理アドレス・物理アドレス登録手段に登録されているかどうかを判別する論理アドレス検索処理と、（ホ）この論理アドレス検索処理によって前記した特定の論理アドレスの端末のその論理アドレスが登録されていると判別されたとき、前記した任意の端末から受信した物理アドレス返信要求を前記した他のネットワークに送信することなく、前記した特定の論理アドレスの端末の代わりにその論理アドレスに対応する物理アドレスを前記した任意の端末に応答する代理応答処理と、（へ）論理アドレス検索処理によって前記した特定の論理アドレスの端末のその論理アドレスが登録されていないと判別されたとき、前記した任意の端末から受信した物理アドレス返信要求を前記した他のネットワークに送信することなく破棄する物理アドレス返信要求破棄処理とを実行することを特徴としている。

すなわち本発明では、自己のネットワークと共に他のネットワークに接続したリモートアクセス制御装置のコンピュータが、請求項３記載の発明の各手段をリモートアクセス制御プログラムで実現している。

以上説明したように本発明によれば、自己のネットワークと共に他のネットワークに接続したリモートアクセス制御装置が、自己のネットワーク内の端末が他のネットワークに対して行う物理アドレス取得のための要求に対して、前記した他のネットワークから送られてきたパケットを分析して得られた結果を用いて代理で応答したり、廃棄（無応答）を行うことにしたので、前記した他のネットワークに対するパケットの転送を軽減することができるだけでなく、応答あるいは対処に要する時間を短縮することができる。特に、リモートアクセス制御装置が仮想プライベートネットワーク装置の場合には、リモートアクセスを行うリモートクライアントは各ＶＰＮごとに１台であるので、帯域の狭い環境で不要なＡＲＰパケットあるいは近隣探索パケットの転送を抑制することができるという実用上で大きな効果がある。

以下実施例につき本発明を詳細に説明する。

図１は、本発明の一実施例におけるリモートアクセス制御装置としての仮想プライベートネットワーク装置を使用した通信システムの概要を表わしたものである。この通信システム３００で、仮想プライベートネットワーク装置３０１は、ＬＡＮケーブル３０２を介して同一のＬＡＮ３０３を構成する第１〜第ｎのＬＡＮ内端末３０４₁〜３０４_nと接続されている。また、仮想プライベートネットワーク装置３０１は、ＷＡＮ回線３０６を介してリモートクライアント３０７と接続されている。

このような通信システム３００で、たとえばＬＡＮ３０３に属する第１のＬＡＮ内端末３０４₁は、ＷＡＮ回線３０６を経由してリモートクライアント３０７にＬ２（Layer2）パケットを送信することができる。また、リモートクライアント３０７は、ＷＡＮ回線３０６を経由して仮想プライベートネットワーク装置３０１と接続し、第１〜第ｎのＬＡＮ内端末３０４₁〜３０４_nのいずれに対してもＬ２パケットを送信することができる。本実施例の通信システム３００は、リモートクライアント３０７へパケットの転送を行う場合に、仮想プライベートネットワーク装置３０１が不要なパケットの転送の抑制を行う仕組みを持っている。これについては、後に詳細を説明する。

図２は、本実施例の仮想プライベートネットワーク装置の構成を表わしたものである。仮想プライベートネットワーク装置３０１は、ＬＡＮケーブル３０２と接続されたＬＡＮ側Ｌ２受信部３１１と、ＬＡＮ側Ｌ２送信部３１２を備えている。ＬＡＮ側Ｌ２受信部３１１は、マルチキャストパケットの監視を行うマルチキャスト監視部３１３に接続されている。ＬＡＮ側Ｌ２受信部３１１は、図１に示したＬＡＮ３０３内のＬ２パケットを受信して、これをマルチキャスト監視部３１３に受け渡すようになっている。

マルチキャスト監視部３１３は、ＮＤ（Neighbor Discovery）要求検出処理部３１４およびＶＰＮトンネル処理部３１５と接続されている。マルチキャスト監視部３１３は、ＬＡＮ側Ｌ２受信部３１１の受信したＬ２パケットがマルチキャストパケットであるかを監視し、マルチキャストパケットである場合にはこれをＮＤ要求検出処理部３１４に渡すようになっている。また、受信したＬ２パケットがマルチキャストパケットでない場合、これをＶＰＮトンネル処理部３１５に渡すことになる。

ＮＤ要求検出処理部３１４は、マルチキャスト監視部３１３およびＶＰＮトンネル処理部３１５の他に、ＮＤ代理応答処理部３１６およびＩＰｖ６・ＭＡＣテーブル３１７と接続されている。ここでＮＤ要求検出処理部３１４は、受信したマルチキャストパケットが近隣探索要求パケットであるかどうかの判定を行う。ここで近隣探索要求パケットとは、ＩＰｖ６において、ＩＰアドレスに対応する近隣ノードのＭＡＣアドレスを調べるためのパケットをいう。ＩＰｖ６・ＭＡＣテーブル３１７は、ＩＰｖ６・ＭＡＣテーブル管理部３１８により登録されたＩＰｖ６アドレスとＭＡＣアドレスの対応表を格納している。このＩＰｖ６・ＭＡＣテーブル３１７は、ＮＤ要求検出処理部３１４における要求ＩＰｖ６アドレスの対応関係の参照に使用されることで、無駄な近隣探索パケットをＷＡＮ回線３０６側に送出させないようにしている。

ＮＤ要求検出処理部３１４は、マルチキャストパケットが近隣探索要求パケットであった場合に、ＩＰｖ６・ＭＡＣテーブル３１７を検索して、このテーブル内に一致するＩＰｖ６アドレスがあるかどうかを判別する。一致するＩＰｖ６アドレスがあった場合には、図１に示したリモートクライアント３０７に代わってＮＤ代理応答処理部３１６に近隣探索応答を行うように指示するようになっている。ＮＤ代理応答処理部３１６はＮＤ要求検出処理部３１４の他にＬＡＮ側Ｌ２送信部３１２に接続されている。ＮＤ代理応答処理部３１６は、ＮＤ要求検出処理部３１４からの近隣探索応答の指示に基づいてリモートクライアント３０７に代わって応答処理を行い、ＬＡＮ側Ｌ２送信部３１２から代理した近隣探索応答をＬＡＮケーブル３０２に送出する。

一方、ＮＤ要求検出処理部３１４はＩＰｖ６・ＭＡＣテーブル３１７を検索しても、一致するＩＰｖ６アドレスがなかった場合、無応答になるべき近隣探索要求パケットを受信したことになる。そこで、その近隣探索要求パケットを廃棄する。また、ＮＤ要求検出処理部３１４は、マルチキャストパケットが近隣探索要求パケットでなかった場合、処理の対象外なので、これをＶＰＮトンネル処理部３１５に渡すことになる。

ＶＰＮトンネル処理部３１５は、マルチキャスト監視部３１３およびＮＤ要求検出処理部３１４の他に、ＴＣＰプロトコルを送受信するＴＣＰ（Transmission Control Protocol）処理部３１９およびＩＰｖ６・ＭＡＣ抽出処理部３２１と接続されている。ＶＰＮトンネル処理部３１５は、ＬＡＮ側Ｌ２受信部３１１が受信してマルチキャスト監視部３１３がマルチキャストパケットでないと判別したＬ２パケットをＶＰＮパケットとしてカプセル化する。そして、ＴＣＰ処理部３１９から、このＴＣＰ処理部３１９に接続されてＩＰプロトコルを送受信するＩＰ処理３２２を経由して、ＷＡＮ側Ｌ２送受信部３２３にこのカプセル化したＶＰＮパケットを送出する。ＷＡＮ側Ｌ２送受信部３２３はこのＶＰＮパケットをＷＡＮ回線３０６に向けて送信することになる。

一方、ＷＡＮ側Ｌ２送受信部３２３がＷＡＮ回線３０６から受信したカプセル化されたＶＰＮパケットは、ＩＰ処理３２２およびＴＣＰ処理部３１９を経てＶＰＮトンネル処理部３１５に送られる。ＶＰＮトンネル処理部３１５は、送られてきたＶＰＮパケットのカプセル化解除を行う。そして、これにより得られたＬ２パケットをＩＰｖ６・ＭＡＣ抽出処理部３２１に渡すことになる。

ＩＰｖ６・ＭＡＣ抽出処理部３２１は、ＬＡＮ側Ｌ２送信部３１２およびＶＰＮトンネル処理部３１５の他に、ＩＰｖ６・ＭＡＣテーブル管理部３１８とも接続されている。ＩＰｖ６・ＭＡＣ抽出処理部３２１は、ＶＰＮトンネル処理部３１５から受信したＬ２パケットを解析して、始点ＩＰｖ６アドレスと始点ＭＡＣアドレスの組をＩＰｖ６・ＭＡＣテーブル管理部３１８に登録要求する（既登録の場合にはこの処理は不要）。そして、未登録の場合にその登録が行われた後、既登録の場合にはそのまま、このＬ２パケットをＬＡＮ側Ｌ２送信部３１２に送信する。ＬＡＮ側Ｌ２送信部３１２は、このＬ２パケットをＬＡＮケーブル３０２側に送出することになる。

図３は、図２に示した仮想プライベートネットワーク装置によるＩＰｖ６・ＭＡＣテーブルの登録処理の様子を示したものである。図２に示した仮想プライベートネットワーク装置３０１は、図１に示すように、ＬＡＮケーブル３０２を介して同一のＬＡＮ３０３を構成する第１〜第ｎのＬＡＮ内端末３０４₁〜３０４_nと接続されている。また、仮想プライベートネットワーク装置３０１内の図示しないＣＰＵは、同じく図示しない記憶媒体に格納された制御プログラムを実行することで、図示しない不揮発性メモリで構成されたＩＰｖ６・ＭＡＣテーブル３１７（図２）に対する登録処理を行うようになっている。図２と共に説明を行う。

前記したＣＰＵはＷＡＮ側Ｌ２送受信部３２３がＷＡＮ回線３０６からＶＰＮパケットを受信するのを待機している（ステップＳ４０１）。ＶＰＮパケットを受信すると（Ｙ）、ＷＡＮ側Ｌ２送受信部３２３はこのカプセル化されたＶＰＮパケットをＶＰＮトンネル処理部３１５に送って、ＶＰＮトンネルを解除させる（ステップＳ４０２）。ＩＰｖ６・ＭＡＣ抽出処理部３２１は、送られてきたＩＰｖ６パケットの解析を行う（ステップＳ４０３）。そして、解析したパケットの始点ＩＰｖ６アドレスと始点ＭＡＣアドレスの組がＩＰｖ６・ＭＡＣテーブル３１７に登録されているか否かを判別する（ステップＳ４０４）。

解析したパケットの始点ＩＰｖ６アドレスと始点ＭＡＣアドレスの組がＩＰｖ６・ＭＡＣテーブル３１７に登録されていない場合には（Ｎ）、ＩＰｖ６・ＭＡＣテーブル管理部３１８に登録要求を行って、始点ＩＰｖ６アドレスと始点ＭＡＣアドレスの組をＩＰｖ６・ＭＡＣテーブル３１７に登録させる（ステップＳ４０５）。この後、ＬＡＮ側Ｌ２送信部３１２によってＬ２パケットの送信処理が行われる（ステップＳ４０６）。

一方、ステップＳ４０４で、解析したパケットの始点ＩＰｖ６アドレスと始点ＭＡＣアドレスの組がＩＰｖ６・ＭＡＣテーブル３１７に登録されていると判別された場合には（Ｙ）、ＩＰｖ６・ＭＡＣテーブル３１７へこれを登録する必要がない。そこで、この場合にはステップＳ４０５の登録処理を行うことなく、そのＬ２パケットはＬＡＮ側Ｌ２送信部３１２に送られて、ＬＡＮケーブル３０２側に送出されることになる（ステップＳ４０６）。

一方、図４は、ＬＡＮ側から仮想プライベートネットワーク装置にＬ２パケットが受信された場合の処理の様子を表わしたものである。この処理も、仮想プライベートネットワーク装置３０１のＣＰＵが前記した制御プログラムを実行することによって実現する。図２と共に説明する。

仮想プライベートネットワーク装置３０１内のＬＡＮ側Ｌ２受信部３１１はＬ２パケットが受信されるのを待機している（ステップＳ４２１）。Ｌ２パケットが受信されたら（Ｙ）、マルチキャスト監視部３１３は、受信したＬ２パケットがマルチキャストパケットであるかを判別する（ステップＳ４２２）。この結果、マルチキャストパケットでない場合（Ｎ）、これは近隣探索要求パケットではない。そこで、マルチキャスト監視部３１３はこれをＶＰＮトンネル処理部３１５に渡してＶＰＮトンネル処理が行われる（ステップＳ４２３）。そして、ＶＰＮトンネル処理部３１５でＬ２パケットをＶＰＮパケットとしてカプセル化した後、ＴＣＰ処理部３１９とＩＰ処理部３２２を経由して、ＷＡＮ側Ｌ２送受信部３２３からＶＰＮパケットがＷＡＮ回線３０６に向けて送信される（ステップＳ４２４）。

一方、ステップＳ４２２でマルチキャストパケットであると判別された場合（Ｙ）、マルチキャスト監視部３１３はＬ２パケットをＮＤ要求検出処理部３１４に渡して近隣探索要求パケットであるかどうかの解析を行わせる（ステップＳ４２５）。この結果、近隣探索要求パケット（ＮＤ）でない場合（ステップＳ４２６：Ｎ）、そのマルチキャストパケットはＶＰＮトンネル処理部３１５に渡されてＶＰＮトンネル処理が行われることになる（ステップＳ４２３）。このマルチキャストパケットは、前記したようにＷＡＮ側Ｌ２送受信部３２３からＷＡＮ回線３０６に向けて送信される（ステップＳ４２４）。

ステップＳ４２６で近隣探索要求パケットであると判別された場合（Ｙ）、ＮＤ要求検出処理部３１４はそのＬ２パケットから要求しているＩＰｖ６アドレスを抽出する（ステップＳ４２７）。そして、この抽出したＩＰｖ６アドレスを基にしてＮＤ要求検出処理部３１４はＩＰｖ６・ＭＡＣテーブル３１７を検索し、一致するＩＰｖ６アドレスが存在するかどうかを判別する（ステップＳ４２８）。

ＩＰｖ６・ＭＡＣテーブル３１７に一致するＩＰｖ６アドレスが存在した場合（Ｙ）、ＮＤ要求検出処理部３１４は検索結果のＭＡＣアドレスと共にＬ２パケットをＮＤ代理応答処理部３１６に渡して近隣探索応答の代理送信のための処理を行わせる（ステップＳ４２９）。ＮＤ代理応答処理部３１６は、リモートクライアント３０７（図１）に代わって応答処理を行い、ＬＡＮ側Ｌ２送信部３１２から代理した近隣探索応答をＬＡＮケーブル３０２を使用して送信する（ステップＳ４３０）。

一方、ステップＳ４２８でＩＰｖ６・ＭＡＣテーブル３１７に対応するＩＰｖ６アドレスが存在しなかった場合（Ｎ）、ＬＡＮ側Ｌ２受信部３１１が無応答になるべき近隣探索要求パケットを受信したことになる。そこで、ＮＤ要求検出処理部３１４はその近隣探索要求パケットを廃棄することになる（ステップＳ４３１）。

図５は、ＩＰｖ６における本実施例の通信システムの処理手順を表わしたものである。任意のリモートクライアント３０７はＬＡＮ内端末３０４と通信を行うとき、これら任意のＩＰｖ６パケット３５１をＶＰＮトンネルで仮想プライベートネットワーク（ＶＰＮ）装置３０１まで通信している。仮想プライベートネットワーク装置３０１は、カプセル化を解除したＬ２パケット３５２をＬＡＮ内端末３０４に送信している。

そこで、仮想プライベートネットワーク装置３０１は、任意のリモートクライアント３０７からＩＰｖ６パケット３５１を受信するたびに図２に示したＩＰｖ６・ＭＡＣ抽出処理部３２１が始点ＩＰｖ６アドレスと始点ＭＡＣアドレスの組をＩＰｖ６・ＭＡＣテーブル管理部３１８に与えて、ＩＰｖ６・ＭＡＣテーブル３１７に登録させる。これにより、ＩＰｖ６・ＭＡＣテーブル３１７には近隣に存在するリモートクライアント３０７のＩＰｖ６アドレスとＭＡＣアドレスの対が登録されることになる。

したがって、たとえば時刻ｔ₁にＬＡＮ内端末３０４のいずれかが近隣探索要求３６１をマルチキャストで送出すると、仮想プライベートネットワーク装置３０１はこのＬ２パケットがＬＡＮ３０３（図１参照）から送り出される前の段階で送出先のネットワークに対応したＩＰｖ６・ＭＡＣテーブル３１７を調べることになる。この結果として、該当するＩＰｖ６がＩＰｖ６・ＭＡＣテーブル３１７に存在した場合には、図２に示すＮＤ代理応答処理部３１６がリモートクライアント３０７の代理応答処理３６２を行って、近隣探索応答３６３を、近隣探索要求３６１の要求先のＬＡＮ内端末３０４に送出する。この結果、無駄な近隣探索パケットがＶＰＮトンネルに送出されることが抑制される。

また、たとえば時刻ｔ₂にＬＡＮ内端末３０４のいずれかが近隣探索要求３６４をマルチキャストで送出したところ、その送出先のネットワークに該当するＩＰアドレスのリモートクライアント３０７が存在しなかったものとする。このような場合、仮想プライベートネットワーク装置３０１は、送出先のネットワークに対応したＩＰｖ６・ＭＡＣテーブル３１７に一致するＩＰアドレスが存在しないので、近隣探索要求３６４を送出先のネットワークに送出することなく、廃棄することができる。したがって、無駄な近隣探索パケットがＶＰＮトンネルに送出されることが、フィルタリング３６５によって、同様に抑制されることになる。

以上説明したように本実施例の通信システム３００（図１）によれば、リモートアクセスクライアント３０７にとって対象外の不要な近隣探索パケットの転送を抑制することになり、ＬＡＮ３０３内に比べて帯域の狭いリモートアクセス経路の有効活用を行うことができる。しかも、ＩＰｖ６・ＭＡＣテーブル３１７には自動的に登録するので、この登録処理のために特別にパケットをリモートアクセスクライアント３０７に送出することがなく、この意味でも不要な近隣探索パケットの転送を抑制する効果がある。

また、ＩＰｖ６アドレスとＭＡＣアドレスの関連性を仮想プライベートネットワーク装置３０１に登録して、一致するものがあれば、近隣探索要求に対しての代理応答を行うようにしているので、リモートクライアントの近隣探索要求パケットであっても転送抑制を行うことができる。

＜発明の変形例＞

図６は、本発明の変形例としてＩＰｖ４に対応した仮想プライベートネットワーク装置の構成を表わしたものである。図６で図２と同一部分には同一の符号を付しており、これらの説明を適宜省略する。また、図１に示した通信システム３００は、この変形例では通信システム３００Ａと置き換えるものとする。

この変形例の通信システム３００Ａで、仮想プライベートネットワーク装置３０１Ａは、ＬＡＮケーブル３０２と接続されたＬＡＮ側Ｌ２受信部３１１と、ＬＡＮ側Ｌ２送信部３１２を備えている。ＬＡＮ側Ｌ２受信部３１１は、ブロードキャストパケットの監視を行うブロードキャスト監視部３１３Ａに接続されている。ＬＡＮ側Ｌ２受信部３１１は、図１に示したＬＡＮ３０３内のＬ２パケットデータを受信して、これをブロードキャスト監視部３１３Ａに受け渡すようになっている。

ブロードキャスト監視部３１３Ａは、ＡＲＰ要求検出処理部３１４ＡおよびＶＰＮトンネル処理部３１５と接続されている。ブロードキャスト監視部３１３Ａは、ＬＡＮ側Ｌ２受信部３１１の受信したＬ２パケットがブロードキャストパケットであるかを監視し、ブロードキャストパケットである場合にはこれをＡＲＰ要求検出処理部３１４Ａに渡すようになっている。また、受信したＬ２パケットがブロードキャストパケットでない場合、これをＶＰＮトンネル処理部３１５に渡すことになる。

ＡＲＰ要求検出処理部３１４Ａは、ブロードキャスト監視部３１３ＡおよびＶＰＮトンネル処理部３１５の他に、ＡＲＰ代理応答処理部３１６ＡおよびＩＰｖ４・ＭＡＣテーブル３１７Ａと接続されている。ここでＡＲＰ要求検出処理部３１４Ａは、受信したブロードキャストパケットがＡＲＰ要求パケットであるかどうかの判定を行う。ＩＰｖ４・ＭＡＣテーブル３１７Ａは、ＩＰｖ４・ＭＡＣテーブル管理部３１８Ａにより登録されたＩＰｖ４アドレスとＭＡＣアドレスの対応表を格納している。このＩＰｖ４・ＭＡＣテーブル３１７Ａは、ＡＲＰ要求検出処理部３１４Ａにおける要求ＩＰｖ４アドレスの対応関係の参照に使用されることで、無駄なＡＲＰ要求パケットをＷＡＮ回線３０６側に送出させないようにしている。

ＡＲＰ要求検出処理部３１４Ａは、ブロードキャストパケットがＡＲＰ要求パケットであった場合に、ＩＰｖ４・ＭＡＣテーブル３１７Ａを検索して、このテーブル内に一致するＩＰｖ４アドレスがあるかどうかを判別する。一致するＩＰｖ４アドレスがあった場合には、図１に示したリモートクライアント３０７に代わってＡＲＰ代理応答処理部３１６ＡにＡＲＰ応答を行うように指示するようになっている。ＡＲＰ代理応答処理部３１６ＡはＡＲＰ要求検出処理部３１４Ａの他にＬＡＮ側Ｌ２送信部３１２に接続されている。ＡＲＰ代理応答処理部３１６Ａは、ＡＲＰ要求検出処理部３１４ＡからのＡＲＰ代理応答の指示に基づいてリモートクライアント３０７に代わって応答処理を行い、ＬＡＮ側Ｌ２送信部３１２から代理したＡＲＰ代理応答をＬＡＮケーブル３０２に送出する。

一方、ＡＲＰ要求検出処理部３１４ＡはＩＰｖ４・ＭＡＣテーブル３１７Ａを検索しても、一致するＩＰｖ４アドレスがなかった場合、無応答になるべきＡＲＰ要求パケットを受信したことになる。そこで、そのＡＲＰ要求パケットを廃棄する。また、ＡＲＰ要求検出処理部３１４Ａは、ブロードキャストパケットがＡＲＰ要求パケットでなかった場合、処理の対象外なので、これをＶＰＮトンネル処理部３１５に渡すことになる。

ＶＰＮトンネル処理部３１５は、ブロードキャスト監視部３１３ＡおよびＡＲＰ要求検出処理部３１４Ａの他に、ＴＣＰプロトコルを送受信するＴＣＰ処理部３１９およびＩＰｖ４・ＭＡＣ抽出処理部３２１Ａと接続されている。ＶＰＮトンネル処理部３１５は、ＬＡＮ側Ｌ２受信部３１１が受信してブロードキャスト監視部３１３Ａがブロードキャストパケットでないと判別したＬ２パケットをＶＰＮパケットとしてカプセル化する。そして、ＴＣＰ処理部３１９から、このＴＣＰ処理部３１９に接続されてＩＰプロトコルを送受信するＩＰ処理３２２を経由して、ＷＡＮ側Ｌ２送受信部３２３にこのカプセル化したＶＰＮパケットを送出する。ＷＡＮ側Ｌ２送受信部３２３はこのＶＰＮパケットをＷＡＮ回線３０６に向けて送信することになる。

一方、ＷＡＮ側Ｌ２送受信部３２３がＷＡＮ回線３０６から受信したカプセル化されたＶＰＮパケットは、ＩＰ処理３２２およびＴＣＰ処理部３１９を経てＶＰＮトンネル処理部３１５に送られる。ＶＰＮトンネル処理部３１５は、送られてきたＶＰＮパケットのカプセル化解除を行う。そして、これにより得られたＬ２パケットをＩＰｖ４・ＭＡＣ抽出処理部３２１Ａに渡すことになる。

ＩＰｖ４・ＭＡＣ抽出処理部３２１Ａは、ＬＡＮ側Ｌ２送信部３１２およびＶＰＮトンネル処理部３１５の他に、ＩＰｖ４・ＭＡＣテーブル管理部３１８Ａとも接続されている。ＩＰｖ４・ＭＡＣ抽出処理部３２１Ａは、ＶＰＮトンネル処理部３１５から受信したＬ２パケットを解析して、始点ＩＰｖ４アドレスと始点ＭＡＣアドレスの組をＩＰｖ４・ＭＡＣテーブル管理部３１８Ａに登録要求する（既登録の場合にはこの処理は不要）。そして、未登録の場合にその登録が行われた後、既登録の場合にはそのまま、このＬ２パケットをＬＡＮ側Ｌ２送信部３１２に送信する。ＬＡＮ側Ｌ２送信部３１２は、このＬ２パケットをＬＡＮケーブル３０２側に送出することになる。

このように変形例の通信システム３００Ａでは、ＩＰｖ４におけるブロードキャストパケットに関してＬ２パケットの転送抑制をしているので、このようなＬ２パケットがＶＰＮトンネルに送出されることを抑制して帯域の有効利用を図ることができる。

更に、実施例で説明したＩＰｖ６による近隣探索要求パケットと、変形例で説明したＩＰｖ４によるＡＲＰ要求パケットの双方に対応する通信システムを構成することも可能である。これにより、ＬＡＮからＬ２パケットがＶＰＮトンネルに送出されることを更に抑制して帯域の有効利用を一段と図ることができる。

なお、実施例ではＩＰｖ６・ＭＡＣテーブル３１７に対応するＩＰアドレスが存在しない場合にはその近隣探索要求パケットを廃棄したが、廃棄用ＩＰアドレス対応表を用意するようにしてもよい。この場合、近隣探索要求パケットを受信した仮想プライベートネットワーク装置３０１は、ＩＰｖ６・ＭＡＣテーブル３１７に対応しないＩＰアドレスがあった場合で廃棄用ＩＰアドレス対応表にそのＩＰアドレスが登録されていない場合には、これを廃棄用ＩＰアドレス対応表に登録して、その近隣探索要求パケットをＷＡＮ側Ｌ２送受信部３２３からＷＡＮ回線３０６に送出する。そして、近隣探索要求パケットに対応する近隣探索応答が返ってきた場合にはＩＰｖ６・ＭＡＣテーブル３１７にＩＰアドレスとＭＡＣアドレスの対を登録する。近隣探索要求パケットに対応する近隣探索応答が返ってこなかった場合には、廃棄用ＩＰアドレス対応表におけるそのＩＰアドレスは削除しない。

また、ＩＰｖ６・ＭＡＣテーブル３１７に近隣探索要求パケットに示されるＩＰアドレスが存在せず、かつＩＰアドレス廃棄用ＩＰアドレス対応表にこのＩＰアドレスが登録されている場合には、その近隣探索要求パケットを廃棄する。

これにより、ＩＰｖ６・ＭＡＣテーブル３１７に登録されていない新規のリモートアクセスクライアント３０７が登場した場合には、廃棄用ＩＰアドレス対応表が未登録なので、近隣探索要求パケットが仮想プライベートネットワーク装置３０１から送信されることになる。このような未登録のリモートアクセスクライアント３０７がネットワーク上に存在しない場合には、同一のＩＰアドレスに対する２度目以降の近隣探索要求パケットは廃棄用ＩＰアドレス対応表によって廃棄されるので、ＶＰＮトンネルに送出されるＬ２パケットの抑制が可能になる。

このような廃棄用ＩＰアドレス対応表は、ＡＲＰ要求パケットに対しても同様に適用可能であることは当然である。また、実施例あるいは変形例では仮想プライベートネットワーク装置３０１、３０１Ａがリモートアクセスクライアント３０７とＷＡＮ回線３０６を介して接続されたが、どのような通信手段を介して接続されてもよいことは当然である。

本発明の一実施例における仮想プライベートネットワーク装置を使用した通信システムの概要を表わしたシステム構成図である。 本実施例の仮想プライベートネットワーク装置の構成を表わしたブロック図である。 図２に示した仮想プライベートネットワーク装置によるＩＰｖ６・ＭＡＣテーブルの登録処理の様子を示した流れ図である。 本実施例でＬＡＮ側から仮想プライベートネットワーク装置に２Ｌパケットが受信された場合の処理の様子を表わした流れ図である。 ＩＰｖ６における本実施例の通信システムの処理手順を表わしたシーケンス説明図である。 本発明の変形例としてＩＰｖ４に対応した仮想プライベートネットワーク装置の構成を表わしたブロック図である。 従来から存在するネットワークの一例についてその構成を簡単に示したシステム構成図である。 図７に示したＬＡＮ内端末がＡＲＰ要求を行う場合のリモートクライアントとの処理手順を示した説明図である。

符号の説明

３００、３００Ａ 通信システム
３０１、３０１Ａ 仮想プライベートネットワーク装置（リモートアクセス制御装置）
３０３ ＬＡＮ
３０４ ＬＡＮ内端末
３０６ ＷＡＮ回線
３０７ リモートクライアント
３１１ ＬＡＮ側Ｌ２受信部
３１２ ＬＡＮ側Ｌ２送信部
３１３ マルチキャスト監視部
３１３Ａ ブロードキャスト監視部
３１４ ＮＤ要求検出処理部
３１４Ａ ＡＲＰ要求検出処理部
３１５ ＶＰＮトンネル処理部
３１６ ＮＤ代理応答処理部
３１６Ａ ＡＲＰ代理応答処理部
３１７ ＩＰｖ６・ＭＡＣテーブル
３１７Ａ ＩＰｖ４・ＭＡＣテーブル
３１８ ＩＰｖ６・ＭＡＣテーブル管理部
３１８Ａ ＩＰｖ４・ＭＡＣテーブル管理部
３２１ ＩＰｖ６・ＭＡＣ抽出処理部
３２１Ａ ＩＰｖ４・ＭＡＣ抽出処理部
３２３ ＷＡＮ側Ｌ２送受信部

Claims (9)

1. 自己のネットワークに属する任意の端末から特定の論理アドレスを有する端末に対してその端末の物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信手段と、
   前記他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出手段と、
   この論理アドレス・物理アドレス抽出手段で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録手段と、
   前記物理アドレス返信要求受信手段が前記物理アドレス返信要求を受信したとき前記特定の論理アドレスの端末のその論理アドレスが前記論理アドレス・物理アドレス登録手段に登録されているかどうかを判別する論理アドレス検索手段と、
   この論理アドレス検索手段によって前記特定の論理アドレスの端末のその論理アドレスが登録されていると判別されたとき、前記任意の端末から受信した前記物理アドレス返信要求を前記他のネットワークに送信することなく、前記特定の論理アドレスの端末の代わりにその論理アドレスに対応する物理アドレスを前記任意の端末に応答する代理応答手段
   とを具備することを特徴とするリモートアクセス制御装置。
2. 自己のネットワークに属する任意の端末から特定の論理アドレスの端末に対してその物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信手段と、
   前記他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出手段と、
   この論理アドレス・物理アドレス抽出手段で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録手段と、
   前記物理アドレス返信要求受信手段が前記物理アドレス返信要求を受信したとき前記特定の論理アドレスの端末のその論理アドレスが前記論理アドレス・物理アドレス登録手段に登録されているかどうかを判別する論理アドレス検索手段と、
   この論理アドレス検索手段によって前記特定の論理アドレスの端末のその論理アドレスが登録されていないと判別されたとき、前記任意の端末から受信した前記物理アドレス返信要求を前記他のネットワークに送信することなく破棄する物理アドレス返信要求破棄手段
   とを具備することを特徴とするリモートアクセス制御装置。
3. 自己のネットワークに属する任意の端末から特定の論理アドレスの端末に対してその物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信手段と、
   前記他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出手段と、
   この論理アドレス・物理アドレス抽出手段で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録手段と、
   前記物理アドレス返信要求受信手段が前記物理アドレス返信要求を受信したとき前記特定の論理アドレスの端末のその論理アドレスが前記論理アドレス・物理アドレス登録手段に登録されているかどうかを判別する論理アドレス検索手段と、
   この論理アドレス検索手段によって前記特定の論理アドレスの端末のその論理アドレスが登録されていると判別されたとき、前記任意の端末から受信した前記物理アドレス返信要求を前記他のネットワークに送信することなく、前記特定の論理アドレスの端末の代わりにその論理アドレスに対応する物理アドレスを前記任意の端末に応答する代理応答手段と、
   前記論理アドレス検索手段によって前記特定の論理アドレスの端末のその論理アドレスが登録されていないと判別されたとき、前記任意の端末から受信した前記物理アドレス返信要求を前記他のネットワークに送信することなく破棄する物理アドレス返信要求破棄手段
   とを具備することを特徴とするリモートアクセス制御装置。
4. 前記物理アドレス返信要求は、ＩＰｖ６において、論理アドレスに対応する物理アドレスを調べるための近隣探索要求パケットであることを特徴とする請求項１〜請求項３いずれかに記載のリモートアクセス制御装置。
5. 前記物理アドレス返信要求は、ＩＰｖ４において、論理アドレスに対応する物理アドレスを調べるためのＡＲＰ要求パケットであることを特徴とする請求項１〜請求項３いずれかに記載のリモートアクセス制御装置。
6. 前記物理アドレス返信要求破棄手段は、前記特定の論理アドレスの端末のその論理アドレスが前記論理アドレス・物理アドレス登録手段に登録されていないと最初に判別されたとき、前記物理アドレス返信要求を前記他のネットワークに送信することを許し、２度目以降の前記物理アドレス返信要求を破棄するものであることを特徴とする請求項２または請求項３記載のリモートアクセス制御装置。
7. 自己のネットワークと共に他のネットワークに接続したリモートアクセス制御装置のコンピュータが、
   前記自己のネットワークに属する任意の端末から特定の論理アドレスを有する端末に対してその端末の物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信処理と、
   前記他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出処理と、
   この論理アドレス・物理アドレス抽出処理で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録処理と、
   前記物理アドレス返信要求受信処理で前記物理アドレス返信要求を受信したとき前記特定の論理アドレスの端末のその論理アドレスが前記論理アドレス・物理アドレス登録処理で登録されているかどうかを判別する論理アドレス検索処理と、
   この論理アドレス検索処理によって前記特定の論理アドレスの端末のその論理アドレスが登録されていると判別されたとき、前記任意の端末から受信した前記物理アドレス返信要求を前記他のネットワークに送信することなく、前記特定の論理アドレスの端末の代わりにその論理アドレスに対応する物理アドレスを前記任意の端末に応答する代理応答処理
   とを実行することを特徴とするリモートアクセス制御プログラム。
8. 自己のネットワークと共に他のネットワークに接続したリモートアクセス制御装置のコンピュータが、
   前記自己のネットワークに属する任意の端末から特定の論理アドレスの端末に対してその物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信処理と、
   前記他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出処理と、
   この論理アドレス・物理アドレス抽出処理で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録処理と、
   前記物理アドレス返信要求受信処理で前記物理アドレス返信要求を受信したとき前記特定の論理アドレスの端末のその論理アドレスが前記論理アドレス・物理アドレス登録処理で登録されているかどうかを判別する論理アドレス検索処理と、
   この論理アドレス検索処理によって前記特定の論理アドレスの端末のその論理アドレスが登録されていないと判別されたとき、前記任意の端末から受信した前記物理アドレス返信要求を前記他のネットワークに送信することなく破棄する物理アドレス返信要求破棄処理
   とを実行することを特徴とするリモートアクセス制御プログラム。
9. 自己のネットワークと共に他のネットワークに接続したリモートアクセス制御装置のコンピュータが、
   前記自己のネットワークに属する任意の端末から特定の論理アドレスの端末に対してその物理アドレスの返信を要求する物理アドレス返信要求を他のネットワークに送信するために受信する物理アドレス返信要求受信処理と、
   前記他のネットワークから送られてきたパケットからその送信元の端末の論理アドレスと物理アドレスを抽出する論理アドレス・物理アドレス抽出処理と、
   この論理アドレス・物理アドレス抽出手段で抽出された論理アドレスと物理アドレスの対を一覧として登録する論理アドレス・物理アドレス登録手段と、
   前記物理アドレス返信要求受信処理で前記物理アドレス返信要求を受信したとき前記特定の論理アドレスの端末のその論理アドレスが前記論理アドレス・物理アドレス登録手段に登録されているかどうかを判別する論理アドレス検索処理と、
   この論理アドレス検索処理によって前記特定の論理アドレスの端末のその論理アドレスが登録されていると判別されたとき、前記任意の端末から受信した前記物理アドレス返信要求を前記他のネットワークに送信することなく、前記特定の論理アドレスの端末の代わりにその論理アドレスに対応する物理アドレスを前記任意の端末に応答する代理応答処理と、
   前記論理アドレス検索処理によって前記特定の論理アドレスの端末のその論理アドレスが登録されていないと判別されたとき、前記任意の端末から受信した前記物理アドレス返信要求を前記他のネットワークに送信することなく破棄する物理アドレス返信要求破棄処理
   とを実行することを特徴とするリモートアクセス制御プログラム。

Images