JP2008236275A - 通信システム、パケット転送処理装置及びそれらに用いる通信セッション制御方法 - Google Patents

Abstract

【課題】 通信トンネルを利用した通信において、ＩＰネットワークで提供されるネットワークサービスを利用可能とする通信システムを提供する。
【解決手段】 パケット転送処理装置（Ａ）１０１及びパケット転送処理装置（Ｂ）１０２は、ＳＩＰを利用して、セッション管理制御装置１０３に対して、自身がＩＰネットワーク２００に参加するために登録処理を行う。パケット転送処理装置（Ａ）１０１は、パケット転送処理装置（Ｂ）１０２に向けたＩＰパケットの転送が必要な場合、パケット転送処理装置（Ｂ）１０２と通信セッションの確立を開始する。パケット転送処理装置（Ａ）１０１は、パケット転送処理装置（Ｂ）１０２との間にＩＰｓｅｃのプロトコル処理を利用して、通信用トンネル１０６を確立する。
【選択図】 図３

Description

本発明は通信システム、パケット転送処理装置及びそれらに用いる通信セッション制御方法に関し、特に通信セッション制御機能対応のパケット転送処理装置に関する。

従来、通信セッションを制御する方法としては、図８に示すように、通信サービス事業者が、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）と呼ばれるセッション制御プロトコルを利用し、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワーク２００にＳＩＰサーバ２０４を配備し、主に電話サービスや映像配信サービス等の不特定多数ユーザに対してオンデマンド通信を提供している。

図８において、ＩＰ電話２０１は、ＳＩＰサーバ２０４との制御チャネルを介して、ＩＰ電話２０３との通信セッション２０５を確立する。音声データ２０６は、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）ヘッダ２０７が付加されたＩＰパケットで通信を行う。

通信セッションの識別は、ＩＰパケットのヘッダ情報に含まれる、宛先ＩＰアドレス、発信元ＩＰアドレス、及びＩＰパケットでカプセル化されたＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）、あるいはＵＤＰのデータグラムのヘッダに含まれる宛先ポート番号、発信元ポート番号を利用する。

また、近年では、通信サービス事業者が、ＳＩＰのやり取りで決定された通信セッション情報を利用して、ＩＰネットワークを構成するルータやＬ３（Ｌａｙｅｒ３）スイッチ、Ｌ２（Ｌａｙｅｒ２）スイッチの設定を変更し、優先転送制御や、帯域保証等のネットワークサービスを提供する基盤技術としてＳＩＰを利用する動きがある（例えば、特許文献１，２参照）。

一方、ＩＰネットワークを利用した仮想ネットワーク（ＶＰＮ：Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）の構築は、図９に示すように、ＶＰＮ対応のパケット転送処理装置（ＶＰＮルータ３０１，３０２）をＩＰネットワーク２００に接続し、ＶＰＮルータ３０１，３０２に接続されているユーザＩＰネットワーク３０３，３０４のサイト間を、ＶＰＮルータ３０１，３０２間に確立した通信用トンネル３０５で相互接続を行う。

一般的に、通信用トンネル３０５の確立には、ＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）と呼ばれるセキュリティ技術が利用されている。通信用トンネル３０５を利用した通信は、ＶＰＮルータ３０１において、元のＩＰパケット３０６をＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ ｓｅｃｕｒｉｔｙ ｐａｙｌｏａｄ）パケットでカプセル化したＩＰパケットが利用される。

このように、通信セッション制御が行われるＩＰネットワークでは、ＩＰヘッダとＵＤＰヘッダとを利用してＩＰパケットを識別するのに対して、通信トンネルを利用したＩＰパケット通信は、ＩＰヘッダとＥＳＰヘッダとを利用する必要があり、識別すべき情報が異なる。

特開２００７−０２０００１号公報 特開２００５−０５７４６２号公報

上記の通信セッション制御が行われるＩＰネットワークにおいては、通信トンネルを利用した仮想ネットワークの構築がパケット転送処理装置間でのみ行われ、ＩＰネットワークが通信トンネル確立の際、ＩＰパケットを中継するだけで、通信セッション制御とは動作上、関係しないため、パケット転送処理装置間で確立される通信トンネルを識別することができないという課題がある。

そのため、通信トンネルを利用した仮想ネットワークの構築においては、ＩＰパケットの優先転送制御や帯域保証といったネットワークサービスを利用することができないという課題がある。

従来のパケット転送処理装置は、ＩＰｓｅｃ処理のような通信トンネル処理機能と、ＳＩＰ−ＵＡ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ−Ｕｓｅｒ Ａｇｅｎｔ）処理のようなＩＰレイヤでの通信セッション確立処理機能の２つを有するものが存在するが、以下のような課題がある。

第１の課題は、ＩＰレイヤにおける通信トンネル確立処理と通信セッション確立処理とはそれぞれ独立して実行され、通信セッションの管理はＩＰネットワーク側で実行され、通信トンネルの管理はパケット転送処理装置間で行うので、その処理に関連させることはできないことである。そのため、第二の課題は、通信トンネルはＩＰネットワーク側で認識することができないので、ベストエフォートの通信しかできないということである。

そこで、本発明の目的は上記の問題点を解消し、通信トンネルを利用した通信において、ＩＰネットワークで提供されるネットワークサービスを利用することができる通信システム、パケット転送処理装置及びそれらに用いる通信セッション制御方法を提供することにある。

本発明による通信システムは、ＩＰパケットを利用した通信セッション制御機能を含むネットワークに接続される複数のパケット転送処理装置からなる通信システムであって、
前記複数のパケット転送処理装置は、通信セッション確立を行った際に登録したＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス及びポート番号を利用して対抗するパケット転送処理装置との間に通信用トンネルを確立する手段を備えている。

本発明によるパケット転送処理装置は、ＩＰパケットを利用した通信セッション制御機能を含むネットワークに接続されるパケット転送処理装置であって、
通信セッション確立を行った際に登録したＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス及びポート番号を利用して対抗するパケット転送処理装置との間に通信用トンネルを確立する手段を備えている。

本発明による通信セッション制御方法は、ＩＰパケットを利用した通信セッション制御機能を含むネットワークに接続される複数のパケット転送処理装置からなる通信システムに用いる通信セッション制御方法であって、
前記複数のパケット転送処理装置が、通信セッション確立を行った際に登録したＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス及びポート番号を利用して対抗するパケット転送処理装置との間に通信用トンネルを確立する処理を実行している。

すなわち、本発明の通信システムは、パケット転送処理装置において、通信セッション確立を行った際に登録したＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス及びポート番号を通信用ＩＰトンネルのデータ転送に利用している。

パケット転送処理装置は、ＩＰパケットを送信する時、新たにＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）ヘッダを挿入する処理を追加し、暗号化されたＩＰパケットを、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ ｓｅｃｕｒｉｔｙ ｐａｙｌｏａｄ）パケット、ＵＤＰパケット、ＩＰパケットの順にカプセル化して転送する。ＵＤＰヘッダのポート番号、ＩＰヘッダのＩＰアドレスには、通信セッションの確立で決定したＩＰアドレスとポート番号とを利用する。

また、パケット転送処理装置は、通信用トンネルを確立する際に、やり取りされるＩＰパケットに関しても、通信セッション確立で決定したポート番号を利用することで、通信用トンネルを確立するデータのやり取りに関しても、通信セッション制御対応のＩＰネットワークにおいて、識別可能なＩＰパケットとして扱われるようにする。

さらに、パケット転送処理装置は、通信用トンネル確立用及び通信用ＩＰトンネルを利用したデータ転送用の通信セッションを同一として、同じポート番号の利用も可能とする。

さらにまた、パケット転送処理装置は、通信用トンネル確立用と、通信用トンネルを利用したデータ転送用とに、通信セッションを別々に確立することで、別々のポート番号を入手して、それぞれ、別々の通信セッションとしても利用可能とする。

このように、本発明の通信システムでは、通信セッション確立機能とＩＰトンネル確立機能とを連携させることで、通信セッション制御が行われるＩＰネットワークにおいて、仮想ＩＰネットワークが構築可能となる。

つまり、本発明の通信システムでは、ＩＰパケットを利用した通信セッション制御機能を有したネットワークに接続された複数のパケット転送処理装置において、通信用トンネルを確立して仮想ネットワークを構築できるようにしたことを特徴としている。

より具体的に説明すると、本発明におけるパケット転送処理装置は、インタフェース処理部と、パケットバッファ部と、パケット転送制御部とから構成されている。特に、パケット転送制御部は、パケット転送処理装置が対向となるパケット転送処理装置との間に通信用トンネルを確立する前に、ネットワークサービス（転送遅延保証、帯域保証等）の利用許可を得るために通信セッションの確立処理を行うことを特徴としている。

本発明におけるパケット転送処理装置は、通信セッションの確立処理、通信用トンネルの確立処理が成功し、パケット転送処理装置間において通信を行う際、通信セッション確立の処理で決定したパケット識別可能な情報を利用したＩＰパケットを生成して通信を行う。つまり、パケット転送処理装置は、パケット転送処理装置間の通信に利用されるパケットにおいて、通信セッション確立処理と通信用トンネル確立処理との両方の処理において識別可能な情報が含まれるパケットを生成することを特徴としている。

このように、本発明におけるパケット転送処理装置は、通信セッション確立処理と通信トンネル確立処理とを連携させることで、通信セッション制御が行われるＩＰネットワークにおいて、仮想ＩＰネットワークを構築することが可能となり、通信トンネルを利用した通信において、ＩＰネットワークで提供されるネットワークサービスを利用することが可能となる。

本発明は、上記のような構成及び動作とすることで、通信トンネルを利用した通信において、ＩＰネットワークで提供されるネットワークサービスを利用することができるという効果が得られる。

次に、本発明の実施例について図面を参照して説明する。

図１は本発明の第１の実施例によるパケット転送処理装置の構成を示すブロック図であり、図２は本発明の第１の実施例によるプロトコル処理を示す図である。図１において、パケット転送処理装置１は、インタフェース処理部２と、パケットバッファ部３と、パケット転送制御部４とから構成されている。

インタフェース処理部２では、伝送信号復号処理２１と、伝送信号符号処理２２とが実行される。つまり、インタフェース処理部２は、パケット転送処理装置１の外部から受信した各種伝送路媒体に対応した電気信号、あるいは光信号に変換された受信フレームに対して復号処理を行い、ディジタル信号に変換し、ＩＥＥＥ８０２．３対応のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）フレームを取り出し、パケットバッファ部３に引き渡す機能（伝送信号復号処理２１）を有する。

また、インタフェース処理部２は、パケット転送制御部４から渡されたＭＡＣフレームを送信用のディジタル信号に変換し、伝送路媒体に対応した符号処理を施した後、電気信号、あるいは光信号に変換して送信する機能（伝送信号符号処理２２）を有する。

パケットバッファ部３は、インタフェース処理部２から渡されたＭＡＣフレームを一時的に格納し、パケット転送制御部４の要求に応じてそのＭＡＣフレームを引き渡す機能を有する。

パケット転送制御部４は、パケットバッファ部３から受信したＭＡＣフレームに対して以下のパケット処理を実行する。つまり、パケット転送制御部４では、受信Ｌ２（Ｌａｙｅｒ２）処理４１と、ＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）復号／認証処理４２と、受信パケットフィルタ処理４３と、受信ＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）識別処理４４と、プロトコル処理４５と、フォワーディング処理４６と、送信パケットフィルタ処理４７と、ＩＰｓｅｃ暗号／認証処理４８と、送信ＱｏＳ識別処理４９と、送信Ｌ２フィルタ処理５０と、ＱｏＳ制御処理５１とが実行される。

受信Ｌ２フィルタ処理４１では、パケットバッファ部３からＭＡＣフレームを受け取り、受信したＭＡＣフレームのＭＡＣアドレスやＭＡＣフレームのタイプフィールド、ＶＬＡＮ−ＩＤ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ−ＩＤｅｎｔｉｆｉｅｒ）等のレイヤ２（データリンク層）情報を識別し、そのＭＡＣフレームを受け入れるか否かの判定を行う。受信Ｌ２フィルタ処理４１では、許可したフレームからＩＰパケットを取り出し、これをＩＰｓｅｃ復号／認証処理４２に引き渡す。

ＩＰｓｅｃ復号／認証処理４２は、受信したＩＰパケットが、ＩＰｓｅｃ処理が必要なパケットか否かを判定する。ＩＰｓｅｃ処理が必要か否かの判定は、予め設定されたＩＰヘッダのＩＰアドレス、プロトコルフィールド値、上位プロトコルのヘッダフィールドの値に一致するか否かで判別する。

プロトコルフィールド値が、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ ｓｅｃｕｒｉｔｙ ｐａｙｌｏａｄ）（５０）、ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ）（５１）、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）（１７）の時には、それぞれのヘッダ情報が調べられる。また、ＥＳＰ（５０）、ＡＨ（５１）の場合には、ＳＰＩ（Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒｓ Ｉｎｄｅｘ）フィールドが判定に利用される。ＵＤＰ（１７）の場合には、ＵＤＰヘッダのポート番号と、ＵＤＰパケットでカプセル化されているＥＳＰパケットのヘッダに含まれるＳＰＩフィールドが判定に利用される。尚、ＳＰＩフィールドは、ＩＰｓｅｃ処理方法を決定するための識別情報である。

ＩＰｓｅｃ復号／認証処理４２は、ＩＰｓｅｃ処理が不要と判断された場合、受信したＩＰパケットをそのまま受信パケットフィルタ処理４３に送り、受信パケットフィルタ処理４３に処理を引き渡す。ＩＰｓｅｃ復号／認証処理４２は、ＩＰｓｅｃ処理が必要と判断された場合、受信したＩＰパケットに対して必要に応じてパケット認証（パケットが改ざんされていないか否かを検査）、復号処理を実施し、ＩＰパケットを取り出し、これを受信パケットフィルタ処理４３に送り、受信パケットフィルタ処理４３に処理を引き渡す。

受信パケットフィルタ処理４３は、ＩＰｓｅｃ復号／認証処理４２から渡されたＩＰパケットに対して、ＩＰアドレス、上位プロトコル番号、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）／ＵＤＰポート番号等を組合わせ、予め設定しておいたパケットフィルタ条件に該当するか否かを検査し、受信パケットの廃棄判定を実施する。受信パケットフィルタ処理４３は、パケット処理が許可されたパケットのみ、受信ＱｏＳ識別処理４４に処理を引き渡す。

受信ＱｏＳ識別処理４４は、予め設定しておいたＱｏＳ識別条件（ＩＰパケットのＩＰアドレスやポート番号等）に該当するパケットについて、受信レートをモニタリングして記録する。受信ＱｏＳ識別処理４４は、ＱｏＳ識別条件に対する受信トラヒック条件（最大許容帯域や最大バースト長等）に基づき、パケットの廃棄制御、及び転送処理の優先度を変更するために、ＩＰパケットのヘッダ情報に含まれるＴＯＳ（Ｔｙｐｅ Ｏｆ Ｓｅｒｖｉｃｅ）フィールドの書換え（マーキング）処理を設定条件に応じて実行する。

受信ＱｏＳ識別処理４４は、、パケット転送処理装置１宛のパケットならば、プロトコル処理４５へ、それ以外はフォワーディング処理５６に、それぞれパケット処理を引き渡す。

プロトコル処理４５は、受信ＱｏＳ識別処理４４から渡されたパケット転送処理装置１宛のパケットの内容に応じて、様々なパケット処理を行うための複数種類のパケット処理の集まりであり、ルーティング処理４５１、ＩＰｓｅｃ処理４５２、ＳＩＰ−ＵＡ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ−Ｕｓｅｒ Ａｇｅｎｔ）処理４５３、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）処理４５４、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）処理４５５、ＴＥＬＮＥＴ処理４５６等のような処理機能を有する。

ルーティング処理４５１は、ＲＩＰ（Ｒｏｕｔｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）、ＯＳＰＦ（Ｏｐｅｎ Ｓｈｏｒｔｅｓｔ Ｐａｔｈ Ｆｉｒｓｔ）、ＢＧＰ（Ｂｏｒｄｅｒ Ｇａｔｅｗａｙ Ｐｒｏｔｏｃｏｌ）、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）等を含む。

ＩＰＳｅｃ処理４５２は、ＩＰパケットの暗号化やＩＰトンネル処理を行うために、暗号化／復号化用の鍵と鍵交換用の通信セッション管理とを行う。ＳＩＰ−ＵＡ処理４５３は、ＩＰネットワーク内にあるＳＩＰサーバとのプロトコル連携及びＳＩＰサーバのクライアントに該当する他のＳＩＰ−ＵＡとのプロトコル連携によって、ＳＩＰセッションの管理を行う。ＳＮＭＰ処理４５４は、ネットワーク管理プロトコルであるＳＮＭＰのパケットを処理する。

プロトコル処理４５は、上記の処理やＦＴＰ処理４５５、及びＴＥＬＮＥＴ処理４５６等、パケット転送処理装置１を装置運用者が直接操作した結果、発生するパケット処理等、パケット転送処理装置１がパケット転送処理を行う上で必要とされる各種情報の収集やプロトコル処理を行う。

プロトコル処理４５は、プロトコル処理の結果、パケット転送処理装置１外にＩＰパケットを送信する必要がある場合、パケット処理をフォワーディング処理４６へ引き渡す。

本実施例では、図２に示すように、通常、通信用トンネルを確立する際、プロトコル処理４５に含まれているＩＰｓｅｃ処理４５２を動作させるのに対して、ＩＰｓｅｃ処理４５２を開始する前に、必要に応じてＳＩＰ−ＵＡ処理４５３を実行可能としている。ＳＩＰ−ＵＡ処理４５３は、ＳＩＰ−ＵＡ登録処理Ｓ１と通信セッション確立処理Ｓ２とから構成されている。

ＳＩＰ−ＵＡ登録処理Ｓ１では、パケット転送処理装置１がＩＰネットワークに接続された時、ＩＰネットワークに設置されているセッション管理制御装置にパケット転送処理装置１を一意に特定可能な識別情報［例えば、ＦＱＤＮ（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ）等］と、パケット転送処理装置１のインタフェースに割当てたＩＰアドレスをＳＩＰ−ＵＡクライアントとして登録する処理を行う。

ここで、セッション管理制御装置は、ＩＰアドレスに依存することなく、識別情報のみで、ＳＩＰーＵＡクライアントを管理することが可能である。

通信セッション確立処理Ｓ２では、セッション管理制御装置を介して、通信相手の識別情報を基に通信セッションを確立する処理を行う。通信セッションの確立に成功すると、実際の通信に利用するＩＰアドレス（宛先／発信元ＩＰアドレス）、ＵＤＰポート番号（宛先ポート番号、発信元ポート番号）、通信セッションの識別情報が決定され、この情報をＩＰｓｅｃ処理４５２に引き渡す。

ＳＩＰ−ＵＡ処理４５３から通知された通信用のＩＰアドレス及びＵＤＰポート番号は、対向のパケット転送処理装置１と通信するためのＩＰパケットに利用する。通信セッションの識別情報は、ＳＩＰ−ＵＡ処理４５３で確立した通信セッションと、ＩＰｓｅｃ処理４５２で確立した通信用トンネルとを対応付けるために利用する。

ＩＰｓｅｃ処理４５２で、ＩＫＥ ＳＡ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）確立処理Ｓ３（フェーズ１処理）と、ＩＰｓｅｃ ＳＡ確立処理Ｓ４（フェーズ２処理）との２つの処理を行う。

フェーズ１処理では、通信用トンネルを確立するための事前処理として、対向となるパケット転送処理装置１の相手認証と、安全に通信用トンネルを確立するためのデータのやり取りを暗号化する制御チャネルとを確立する。フェーズ２処理では、この制御用チャネルを利用して、通信用トンネルの暗号鍵を対向のパケット転送処理装置１と共有し、通信用トンネルを確立する。

ＩＰＳｅｃ処理４５２が完了すると、ＩＰパケットのアドレス情報、ＳＰＩ（Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒｓ Ｉｎｄｅｘ）、暗号鍵、認証鍵等のＩＰｓｅｃ処理用パラメータが生成され、これがＩＰｓｅｃ暗号／認証処理４８、ＩＰｓｅｃ復号／認証処理４２に、ＩＰＳｅｃ処理の動作条件として通知される。

尚、ＩＰｓｅｃ処理４５２における、通信用トンネルを確立する際の一連の詳細な動作については、一般的に利用されている方法のため、本実施例では、その詳細な説明を省略する。

フォワーディング処理４６は、ルーティング処理４５１の結果、作成されたルーティングテーブル４６１を基に、受信したパケットに対するパケット転送処理装置１の出力ポートの決定、ＩＰヘッダのＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）の減算等、ＩＰヘッダの再計算を実施し、出力インタフェースのＭＴＵ（Ｍａｘｉｍｕｍ Ｔｒａｎｓｍｉｔｉｏｎ Ｕｎｉｔ）サイズに応じて、必要ならＩＰパケットのフラグメント処理等を行い、送信パケットフィルタ処理４７にパケット処理を引渡す。

送信パケットフィルタ処理４７は、フォワーディング処理４６からパケット処理が引き渡されると、設定されている送信パケットのフィルタ識別条件に基づき、該当するパケットの廃棄判定を実施し、パケット処理が許可されたもののみ、ＩＰｓｅｃ暗号／認証処理４８に処理を引き渡す。

ＩＰｓｅｃ暗号／認証処理４８は、送信パケットフィルタ処理４７から処理が引き渡されると、ＩＰｓｅｃ処理のパケット識別条件に基づいて、ＩＰｓｅｃのパケット処理が必要か否かを判定する。もし、ＩＰｓｅｃのパケット処理が必要なければ、ＩＰｓｅｃ暗号／認証処理４８は、送信ＱｏＳ識別処理４９に処理を引き渡す。

ＩＰｓｅｃのパケット処理が必要と判断された場合、ＩＰｓｅｃ暗号／認証処理４８は、パケット識別条件に対応したＩＰｓｅｃのパケット処理を実施する。具体的には、ＩＰパケットの暗号化、認証データの生成、ＡＨ、ＥＳＰ等の暗号／認証ヘッダの生成を行い、ＩＰｓｅｃ処理されたＩＰパケットを生成する。もし、ＩＰトンネルモードの場合ならば、さらに、ＩＰｓｅｃ暗号／認証処理４８は、トンネル用のＩＰヘッダを生成し、元のＩＰパケットをカプセル化する。このようにして、ＩＰｓｅｃ暗号／認証処理４８は処理が完了すると、送信ＱｏＳ識別処理４９に処理を引き渡す。

送信ＱｏＳ識別処理４９は、ＩＰｓｅｃ暗号／認証処理４８から処理が引き渡されると、設定されているＱｏＳパケット識別条件に基づき、出力インタフェース毎に設けられたパケットの出力キュー（Ｑｕｅｕｅ）番号を決定する。また、ＱｏＳパケット識別条件に基づき、必要ならば、該当するパケットの転送処理の優先度を変更するために、送信ＱｏＳ識別処理４９は、ＩＰパケットのヘッダ情報に含まれるＴＯＳフィールドの書換え（マーキング）処理も設定条件に応じて実行する。このように、送信ＱｏＳ識別処理４９は、Ｑｏｓ識別処理が完了すると、送信Ｌ２フィルタ処理５０に処理を引き渡す。

送信Ｌ２フィルタ処理５０は、送信ＱｏＳ識別処理４９から処理が引き渡されると、ＩＰパケット情報から、ＭＡＣアドレス、プロトコルフィールド、ＶＬＡＮ−ＩＤ等のＬ２情報を付加し、ＭＡＣフレームを生成し、その生成したＭＡＣフレームを送信可能か否かを判定した後、未許可のフレームを廃棄し、許可されたフレームのみ、ＱｏＳ制御処理５１に処理を引き渡す。

ＱｏＳ制御処理５１は、送信Ｌ２フィルタ処理５０からのＭＡＣフレームを、送信ＱｏＳ識別処理４９で決定した出力キュー番号に基づき、出力キューに格納する。ＱｏＳ制御処理５１は、予め設定されている出力キューの処理方法に基づき、パケット転送の優先制御処理を施し、インタフェース処理部２にＭＡＣフレームを転送する。

尚、上記の出力キューの処理方法とは、一般的な技術として知られている、ＰＱ（Ｐｒｉｏｒｉｔｙ Ｑｕｅｕｉｎｇ）や、ＷＦＱ（Ｗｅｉｇｈｔｅｄ Ｆａｉｒｎｅｓｓ Ｑｕｅｕｉｎｇ）等の各種キューイング技術や、ポート単位やＶＬＡＮ単位、あるいは、ポートとＶＬＡＮとを組合わせた出力帯域を制限するＳｈａｐｉｎｇ等の帯域制御である。

図３は本発明の第１の実施例による通信システムの構成例を示すブロック図である。図３において、本発明の第１の実施例による通信システムでは、セッション管理制御装置１０３が接続されたＩＰネットワーク２００に、本発明のパケット転送処理装置１を適応した一例を示しており、ユーザＩＰネットワーク（サイトＡ）１０４とユーザＩＰネットワーク（サイトＢ）１０５とを通信用トンネル１０６で相互接続している。

図４は本発明の第１の実施例による通信システムの動作を示すシーケンスチャートである。これら図３及び図４を参照して本発明の第１の実施例による通信システムの動作について説明する。図３においては、上記のパケット転送処理装置１と、セッション管理制御装置１０３が接続されたＩＰネットワーク２００との位置関係を示している。

パケット転送処理装置（Ａ）１０１とパケット処理装置（Ｂ）１０２とは、セッション制御対応のＩＰネットワーク２００に接続され、最終的にパケット転送処理装置（Ａ）１０１及びパケット転送処理装置（Ｂ）１０２配下のユーザＩＰネットワーク（サイトＡ）１０４と（サイトＢ）１０５との間をＩＰＳｅｃのパケット処理の１つのモードであるトンネルモードを利用して仮想的な通信用トンネルを確立して接続している。

ユーザＩＰネットワーク（サイトＡ）１０４から（サイトＢ）１０５へのＩＰパケット１０７を、パケット転送処理装置（Ａ）１０１が、ＩＰネットワーク２００で識別可能なトンネル用のＩＰヘッダ１１３と、セッション管理制御装置１０３においてセッション管理されているポート番号を含んだＵＤＰヘッダ１１２と、パケット転送処理装置（Ａ）１０１とパケット転送処理装置（Ｂ）１０２との間の通信用トンネルの識別情報を含んだＥＳＰヘッダ１１１とを持つＩＰパケット１０８を生成してＩＰネットワーク２００に送信する。

ＩＰパケット１０８は、ＩＰネットワーク２００を経由して、パケット転送処理装置（Ａ）１０１に対向するパケット転送処理装置（Ｂ）１０２に届けられる。パケット転送処理装置（Ｂ）１０２は、受信したＩＰパケット１０８から、元のＩＰパケット１０７を取り出し、それをユーザＩＰネットワーク（サイトＢ）１０５に送信する。

次に、図４を参照して通信用トンネルが確立されるまでの一連の動作について説明する。通信用トンネルが確立されるまでの一連の動作は、「パケット処理装置の登録」、「通信セッション確立」、「制御用セッション確立」、「通信用トンネル確立」、「通信用トンネルを利用した通信」の５つの動作に大別することが可能である。

まず、パケット転送処理装置（Ａ）１０１及びパケット転送処理装置（Ｂ）１０２は、ＳＩＰを利用して、セッション管理制御装置１０３に対して、自身がＩＰネットワーク２００に参加するために登録処理を行う。パケット転送処理装置（Ａ）１０１は、「ＲＥＧＩＳＴＥＲ」メッセージをセッション管理制御装置１０３に送信し、「２００ ＯＫ」メッセージを受信することで、登録が成功したことを確認できる。

この動作は、一般的なＩＰ電話における電話登録と同様の処理である。登録する内容は、パケット転送処理装置を一意に識別できる情報［例えば、ＩＰアドレスやＦＱＤＮ（Ｆｕｌｌｙ−Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ）等］とＩＰネットワーク２００からパケット転送処理装置に与えられたＩＰアドレスである。

次に、パケット転送処理装置（Ａ）１０１は、パケット転送処理装置（Ｂ）１０２に向けたＩＰパケットの転送が必要な場合、パケット転送処理装置（Ｂ）１０２と通信セッションの確立を開始する。図４における一連のシーケンスは、ＳＩＰにおける正常な通信セッション確立のシーケンスを示している。

通信セッションの確立をするために、まず、パケット転送処理装置（Ａ）１０１は、セッション管理制御装置１０３に対して、パケット転送処理装置（Ｂ）１０２を一意に識別できる情報と、自身がパケットを送信する際に利用する発信元ＩＰアドレス情報「Ａ」及びＵＤＰヘッダのソースポート番号「ａ」を添えた「ＩＮＶＩＴＥ」メッセージを送信する。

セッション管理制御装置１０３は、「ＩＮＶＩＴＥ」メッセージを受信すると、パケット転送処理装置（Ｂ）１０２との通信セッション確立要求であることを認識し、受信した「ＩＮＶＩＴＥ」メッセージを、パケット転送処理装置（Ｂ）１０２に転送するとともに、現在、パケット転送処理装置（Ｂ）１０２に接続中であることを示す「１００ Ｔｒｙｉｎｇ」メッセージをパケット転送処理装置（Ａ）１０１に返す。

パケット転送処理装置（Ｂ）１０２は、「ＩＮＶＩＴＥ」メッセージを受信すると、接続要求に対する処理中であることを通知するために、セッション管理制御装置１０３に「１８０ Ｒｉｎｇｉｎｇ」メッセージを返送する。セッション管理制御装置１０３は、このメッセージをパケット転送処理装置（Ａ）１０１に転送する。

パケット転送処理装置（Ｂ）１０２は、受信した「ＩＮＶＩＴＥ」メッセージの受け入れを許可すると、自身がパケットを送信する際に利用する発信元ＩＰアドレス情報「Ｂ」及びＵＤＰヘッダのソースポート番号「ｂ」を添えた「２００ ＯＫ」メッセージをセッション管理制御装置１０３に送信する。セッション管理制御装置１０３は、このメッセージをパケット転送処理装置（Ａ）１０１に転送する。

パケット転送処理装置（Ａ）１０１は、「２００ ＯＫ」メッセージを受信すると、通信セッションが確立できたものとして、ＡＣＫメッセージをセッション管理制御装置１０３に返送する。この時点で、パケット転送処理装置（Ａ）１０１は、パケット転送処理装置（Ｂ）１０２との通信に利用するＩＰパケットの発信元ＩＰアドレス「Ａ」、宛先ＩＰアドレス「Ｂ」、及びＵＤＰヘッダの発信元ポート番号「ａ」、宛先ポート番号「ｂ」の組合わせが確定する。

セッション管理制御装置１０３は、「ＡＣＫ」メッセージを受信すると、このメッセージをパケット転送処理装置（Ｂ）１０２に転送する。パケット転送処理装置（Ｂ）１０２は、「ＡＣＫ」メッセージを受信すると、パケット転送処理装置（Ａ）１０１との通信セッションが確立できたものと認識し、この時点で、パケット転送処理装置（Ａ）１０１との通信に利用するＩＰパケットの発信元ＩＰアドレス「Ｂ」、宛先ＩＰアドレス「Ａ」、及びＵＤＰヘッダの発信元ポート番号「ｂ」、宛先ポート番号「ａ」の組合わせが確定する。

また、セッション管理制御装置１０３においても、一連のパケット転送を中継することで、通信セッションに利用するＩＰアドレス情報、ＵＤＰのポート番号を得ることができる。セッション管理制御装置１０３は、得られた情報を基に、ＩＰネットワーク２００を構成するルータ、Ｌ３スイッチ、Ｌ２スイッチに対して、ネットワークサービスを提供するための制御を行う。

例えば、ネットワークサービスの提供としては、確立された通信セッションに対する転送帯域の保証、パケットの転送優先制御、パケットの廃棄制御、パケットの利用量を測定して課金システムとの連携等が考えられる。これらのサービスはセッション制御対応ＩＰネットワークを提供する側で用意されるため、本発明では、その詳細な説明を省略する。

但し、各種ネットワークサービスを利用するためにパケット転送処理装置１は、「ＲＥＧＩＳＴＥＲ」メッセージや、「ＩＮＶＩＴＥ」メッセージのメッセージボディにおいて、サービスパラメータを追加することで対応する必要がある。例えば、帯域制御要求には、ＳＤＰ（Ｓｅｓｓｉｏｎ Ｄｅｓｃｒｉｐｔｉｏｎ Ｐｒｏｔｏｃｏｌ）メッセージにおいて、帯域要求のパラメータを設定するように規定されている。

このような一連の処理で、セッション管理制御装置１０３を介して、パケット転送処理装置（Ａ）１０１は、パケット転送処理装置（Ｂ）１０２との間に通信セッションを確立する。

次に、パケット転送処理装置（Ａ）１０１は、パケット転送処理装置（Ｂ）１０２との間にＩＰｓｅｃのプロトコル処理を利用して、通信用トンネル１０６を確立する。ＩＰｓｅｃのプロトコル処理は、一般的に利用されている手法のため、本発明では、その詳細な説明を省略する。

ＩＰｓｅｃのプロトコル処理は、そのプロトコルを利用する背景として、安全にパケットを転送することを目的としているため、通信用トンネルを確立する前の事前処理として、パケットの暗号／復号処理、パケット認証処理を行うために必要とされる制御用チャネルを確立する。

制御用チャネルの確立には、メインモードとアグレッシブモードとの２つのモードが存在するが、本実施例では、メインモードを利用している。本実施例では、パケット転送処理装置（Ａ）１０１とパケット転送処理装置（Ｂ）１０２との間で事前に処理モードの整合がされているならば、アグレッシブモードを利用しても構わない。

制御用チャネルの確立処理は、一般的なＩＰｓｅｃ処理で利用されるＩＫＥプロトコルが使用され、図４に示すように、「ＩＫＥ ＳＡの折衝（制御用チャネル確立のための各種パラメータの整合）」、「共通かぎの共有」、「相手認証」が行われ、最終的には、制御用チャネルを利用した通信の内容は、全て暗号化される。ＩＫＥプロトコルは、ＵＤＰの上位プロトコルとして位置づけられ、ＵＤＰのポート番号は、ＩＫＥ（５００）として予約された番号を利用する。

制御用チャネルが確立されると、パケット転送処理装置（Ａ）１０１は、パケット転送処理装置（Ｂ）１０２と、通信用トンネルを確立するフェーズに移行する。パケット転送処理装置（Ａ）１０１とパケット転送処理装置（Ｂ）１０２との間の通信内容は、全て暗号化された状態で、通信用トンネルに利用される各種パラメータの整合、暗号／復号用の共通かぎの共有を行う。このように、通信用トンネルが確立されると、実際に通信トンネルを利用したデータ転送の準備が完了したことになる。

パケット転送処理装置（Ａ）１０１は、ユーザＩＰネットワーク（サイトＢ）１０５宛のＩＰパケット１２１を受信すると、ＩＰパケット１２１に対して暗号化処理と、認証データ生成処理とを実施する。この後、パケット転送処理装置（Ａ）１０１は、宛先ＩＰアドレスが「Ｂ」、発信元ＩＰアドレスが「Ａ」のトンネル用のＩＰヘッダを持ち、宛先ポート番号が「ｂ」、発信元ポート番号が「ａ」のＵＤＰヘッダ、通信用トンネルの確立で決定したＳＰＩを含んだＥＳＰヘッダ（ＥＳＰ）、ＥＳＰトレイラ（ＥＳＰ−Ｔ）、認証データ（ＡＤ）が付加されたＩＰパケットを生成し、ＩＰネットワーク２００に転送する。

ＩＰネットワーク２００は、ＩＰパケットのヘッダ情報を見て、パケット転送処理装置（Ｂ）１０２に送り届ける。

パケット転送処理装置（Ｂ）１０２は、受信したＩＰパケットのＩＰヘッダ情報、ＵＤＰヘッダのポート番号、ＥＳＰヘッダのＳＰＩからＩＰｓｅｃ処理されるべきパケットと認識し、ユーザＩＰネットワーク（サイトＡ）１０４から送られたＩＰパケットを取り出し、ＩＰパケットの復号処理を行った後、ユーザＩＰネットワーク（サイトＢ）１０５に転送する。

また、ユーザＩＰネットワーク（サイトＢ）１０５からユーザＩＰネットワーク（サイトＡ）１０４に対する通信に関しても、上記と同様に、パケット転送処理装置（Ｂ）１０２が、ＩＰパケット１２２の暗号化処理が行った後、トンネル用のＩＰヘッダ等の情報を付加したＩＰパケットをパケット転送処理装置（Ａ）１０１に転送する。パケット転送処理装置（Ａ）１０１は、復号処理を実施し、ユーザＩＰネットワーク（サイトＡ）１０４にＩＰパケット１２２を転送する。

上記のように、本実施例では、上記の一連の処理を経て、ユーザＩＰネットワーク（サイトＡ）１０４とユーザＩＰネットワーク（サイトＢ）１０５との間の通信を可能とする仮想ネットワークがＩＰネットワーク２００において構築可能となる。

このように、本実施例では、セッション管理制御装置１０３でセッション管理しているＩＰパケットの情報をパケット転送処理装置（Ａ）１０１とパケット転送処理装置（Ｂ）１０２との間の転送パケットに反映しているので、そのパケットを中継するネットワークにおいて識別することができる。

また、本実施例では、セッション管理制御装置１０３でセッション管理しているＩＰパケットの情報をパケット転送処理装置（Ａ）１０１とパケット転送処理装置（Ｂ）１０２との間の転送パケットに反映しているので、セッション管理制御装置１０３で許可しているＩＰパケットしか通信できないＩＰネットワーク２００においても、通信トンネルを確立して仮想ＩＰネットワークを構築することができる。

さらに、本実施例では、通信セッションの確立と通信トンネルの確立とを連携させ、通信セッションの確立／解放と通信トンネルの確立／解放とを連動させているので、ＩＰネットワーク２００側で、ＩＰネットワーク２００の利用頻度を知ることができる。

さらにまた、本実施例では、パケット転送処理装置（Ａ）１０１とパケット転送処理装置（Ｂ）１０２との間の転送パケットにおいて、中継するネットワークが認識できる情報を反映しているので、仮想ＩＰネットワークにおいて、ネットワークが提供するネットワークサービスを利用することができる。

図５は本発明の第２の実施例による通信システムの動作を示すシーケンスチャートである。図５において、本発明の第２の実施例による通信システムは、その基本的構成が上述した本発明の第１の実施例による通信システムと同様である。

本発明の第２の実施例では、通信セッション確立で決定したＩＰアドレスとＵＤＰポート番号とを、通信用トンネルの確立に利用するＩＰパケットにおいても利用している。

このようにすることで、本実施例では、セッション管理制御装置１０３が許可した通信のみに限定されるＩＰネットワークにおいて、通信用トンネルを確立した仮想ＩＰネットワークを構築することができる。

図６及び図７は本発明の第３の実施例による通信システムの動作を示すシーケンスチャートである。図６及び図７において、本発明の第３の実施例による通信システムは、その基本的構成が上述した本発明の第１の実施例による通信システムと同様である。

本発明の第３の実施例では、通信用トンネル確立処理の通信と、通信用トンネルを利用したパケット通信、それぞれに対して通信セッションを確立し、それぞれの通信セッション確立処理で得られた、ＵＤＰポート番号において、「ａ１」と「ｂ１」とに関しては通信用トンネル確立用のＩＰパケットに利用し、「ａ２」と「ｂ２」とに関しては、通信用トンネルを利用したパケット通信に利用している。

このようにすることで、本実施例では、セッション管理制御装置１０３が許可した通信のみに限定されるＩＰネットワークにおいて、通信用トンネルを確立した仮想ＩＰネットワークを構築することが可能であるだけでなく、例えば、制御データはパケット転送保証をユーザデータより高くする等のＩＰネットワークでの処理方法を選択することができる。

本発明の第１の実施例によるパケット転送処理装置の構成を示すブロック図である。 本発明の第１の実施例によるプロトコル処理を示す図である。 本発明の第１の実施例による通信システムの構成例を示すブロック図である。 本発明の第１の実施例による通信システムの動作を示すシーケンスチャートである。 本発明の第２の実施例による通信システムの動作を示すシーケンスチャートである。 本発明の第３の実施例による通信システムの動作を示すシーケンスチャートである。 本発明の第３の実施例による通信システムの動作を示すシーケンスチャートである。 従来の通信セッションを制御する方法を示す図である。 従来のＩＰネットワークを利用した仮想ネットワークを構築する例を示す図である。

符号の説明

１ パケット転送処理装置
２ インタフェース処理部
３ パケットバッファ部
４ パケット転送制御部
２１ 伝送信号復号処理
２２ 伝送信号符号処理
４１ 受信Ｌ２処理
４２ ＩＰｓｅｃ復号／認証処理
４３ 受信パケットフィルタ処理
４４ 受信ＱｏＳ識別処理
４５ プロトコル処理
４６ フォワーディング処理
４７ 送信パケットフィルタ処理
４８ ＩＰｓｅｃ暗号／認証処理
４９ 送信ＱｏＳ識別処理
５０ 送信Ｌ２フィルタ処理
５１ ＱｏＳ制御処理
１０１ パケット転送処理装置（Ａ）
１０２ パケット転送処理装置（Ｂ）
１０３ セッション管理制御装置
１０４ ユーザＩＰネットワーク（サイトＡ）
１０５ ユーザＩＰネットワーク（サイトＢ）
１０６ 通信用トンネル
２００ ＩＰネットワーク
４５１ ルーティング処理
４５２ ＩＰｓｅｃ処理
４５３ ＳＩＰ−ＵＡ処理
４５４ ＳＮＭＰ処理
４５５ ＦＴＰ処理
４５６ ＴＥＬＮＥＴ処理
４６１ ルーティングテーブル

Claims (18)

1. ＩＰパケットを利用した通信セッション制御機能を含むネットワークに接続される複数のパケット転送処理装置からなる通信システムであって、
   前記複数のパケット転送処理装置は、通信セッション確立を行った際に登録したＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス及びポート番号を利用して対抗するパケット転送処理装置との間に通信用トンネルを確立する手段を有することを特徴とする通信システム。
2. 前記パケット転送処理装置は、ＩＰパケットを送信する時にＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）ヘッダを挿入する処理を実行し、暗号化されたＩＰパケットをＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ ｓｅｃｕｒｉｔｙ ｐａｙｌｏａｄ）パケット、ＵＤＰパケット、ＩＰパケットの順にカプセル化して転送するとともに、前記ＵＤＰヘッダのポート番号に前記通信セッションの確立で決定したポート番号を利用し、ＩＰヘッダのＩＰアドレスに前記通信セッションの確立で決定したＩＰアドレスを利用することを特徴とする請求項１記載の通信システム。
3. 前記パケット転送処理装置は、前記通信用トンネルの確立用及び前記通信用トンネルを利用したデータ転送用各々の通信セッションを同一とすることを特徴とする請求項１または請求項２記載の通信システム。
4. 前記パケット転送処理装置は、前記通信用トンネルの確立用と前記通信用トンネルを利用したデータ転送用とに別々の通信セッションを確立することを特徴とする請求項１または請求項２記載の通信システム。
5. 前記パケット転送処理装置は、前記対向するパケット転送処理装置との間に通信用トンネルを確立する前に、前記通信セッションの確立処理を行うことを特徴とする請求項１から請求項４のいずれか記載の通信システム。
6. 前記パケット転送処理装置は、前記対向するパケット転送処理装置との間の通信に利用されるパケットにおいて前記通信セッションの確立処理と前記通信用トンネルの確立処理との両方の処理において識別可能な情報が含まれるパケットを生成することを特徴とする請求項１から請求項５のいずれか記載の通信システム。
7. ＩＰパケットを利用した通信セッション制御機能を含むネットワークに接続されるパケット転送処理装置であって、
   通信セッション確立を行った際に登録したＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス及びポート番号を利用して対抗するパケット転送処理装置との間に通信用トンネルを確立する手段を有することを特徴とするパケット転送処理装置。
8. ＩＰパケットを送信する時にＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）ヘッダを挿入する処理を実行し、暗号化されたＩＰパケットをＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ ｓｅｃｕｒｉｔｙ ｐａｙｌｏａｄ）パケット、ＵＤＰパケット、ＩＰパケットの順にカプセル化して転送するとともに、前記ＵＤＰヘッダのポート番号に前記通信セッションの確立で決定したポート番号を利用し、ＩＰヘッダのＩＰアドレスに前記通信セッションの確立で決定したＩＰアドレスを利用することを特徴とする請求項７記載のパケット転送処理装置。
9. 前記通信用トンネルの確立用及び前記通信用トンネルを利用したデータ転送用各々の通信セッションを同一とすることを特徴とする請求項７または請求項８記載のパケット転送処理装置。
10. 前記通信用トンネルの確立用と前記通信用トンネルを利用したデータ転送用とに別々の通信セッションを確立することを特徴とする請求項７または請求項８記載のパケット転送処理装置。
11. 前記対向するパケット転送処理装置との間に通信用トンネルを確立する前に、前記通信セッションの確立処理を行うことを特徴とする請求項７から請求項１０のいずれか記載のパケット転送処理装置。
12. 前記対向するパケット転送処理装置との間の通信に利用されるパケットにおいて前記通信セッションの確立処理と前記通信用トンネルの確立処理との両方の処理において識別可能な情報が含まれるパケットを生成することを特徴とする請求項７から請求項１１のいずれか記載のパケット転送処理装置。
13. ＩＰパケットを利用した通信セッション制御機能を含むネットワークに接続される複数のパケット転送処理装置からなる通信システムに用いる通信セッション制御方法であって、
    前記複数のパケット転送処理装置が、通信セッション確立を行った際に登録したＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス及びポート番号を利用して対抗するパケット転送処理装置との間に通信用トンネルを確立する処理を実行することを特徴とする通信セッション制御方法。
14. 前記パケット転送処理装置が、ＩＰパケットを送信する時にＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）ヘッダを挿入する処理を実行し、暗号化されたＩＰパケットをＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ ｓｅｃｕｒｉｔｙ ｐａｙｌｏａｄ）パケット、ＵＤＰパケット、ＩＰパケットの順にカプセル化して転送するとともに、前記ＵＤＰヘッダのポート番号に前記通信セッションの確立で決定したポート番号を利用し、ＩＰヘッダのＩＰアドレスに前記通信セッションの確立で決定したＩＰアドレスを利用することを特徴とする請求項１３記載の通信セッション制御方法。
15. 前記パケット転送処理装置が、前記通信用トンネルの確立用及び前記通信用トンネルを利用したデータ転送用各々の通信セッションを同一とすることを特徴とする請求項１３または請求項１４記載の通信セッション制御方法。
16. 前記パケット転送処理装置が、前記通信用トンネルの確立用と前記通信用トンネルを利用したデータ転送用とに別々の通信セッションを確立することを特徴とする請求項１３または請求項１４記載の通信セッション制御方法。
17. 前記パケット転送処理装置が、前記対向するパケット転送処理装置との間に通信用トンネルを確立する前に、前記通信セッションの確立処理を行うことを特徴とする請求項１３から請求項１６のいずれか記載の通信セッション制御方法。
18. 前記パケット転送処理装置が、前記対向するパケット転送処理装置との間の通信に利用されるパケットにおいて前記通信セッションの確立処理と前記通信用トンネルの確立処理との両方の処理において識別可能な情報が含まれるパケットを生成することを特徴とする請求項１３から請求項１７のいずれか記載の通信セッション制御方法。

Images