JP2011188448A - ゲートウェイ装置、通信方法および通信用プログラム - Google Patents

Abstract

【課題】拠点ネットワークを容易に仮想プライベートネットワークに参加させることを課題とする。
【解決手段】ゲートウェイ装置１ａに、ネットワーク間で重複しないように設定された代用アドレスと端末２ａ、２ｂとの対応関係を特定可能なアドレス変換情報を保持する保持部１１ａと、管理下の送信元端末２ａから送信されたパケットを受信する送受信部１２ａと、宛先アドレスが、ゲートウェイ装置１ｂの管理下のネットワークに属する端末２ｂの代用アドレスである場合に、アドレス変換情報を参照することで送信元端末２ａの代用アドレスを特定するアドレス特定部１３ａと、パケットの送信元アドレスを、送信元端末２ａの実アドレスから、特定された代用アドレスに変換するアドレス変換部１４ａと、アドレス変換されたパケットをカプセル化するＶＰＮ処理部１５ａと、カプセル化されたパケットを、ゲートウェイ装置１ｂに送信する送受信部１２ａと、を備えた。
【選択図】図３

Description

本発明は、ゲートウェイ装置、通信方法および通信用プログラムに関する。

従来、ＩＰＳｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）等のプロトコルを用いて実現されるＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）において、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）装置等によるアドレス変換を行う技術がある（特許文献１から３等を参照）。

また、第一の拠点から複数の第二の拠点に対してＶＰＮ接続を行う場合に、これら複数の第二の拠点における仮想インタフェイスに対して同一のアドレスを割り当てることで、グローバルアドレスの消費量を抑制する技術がある（特許文献４等を参照）。

特開２００９−２２５２５８号公報 特開２００９−３８５６６号公報 特開２００４−３２０４０４号公報 特開２０００−２２８６７４号公報

従来、複数の拠点間での通信において、ＩＰｓｅｃやＰＰＴＰ（Ｐｏｉｎｔ ｔｏ Ｐｏｉｎｔ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）およびＳＳＬ／ＴＬＳ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ ／ Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）といったプロトコルを用いてデータのカプセリングおよび通信のトンネリングを行うことで、仮想的な専用ネットワークを構築することが出来る、ＶＰＮ技術が用いられている。また、顧客に対してデータストレージやソフトウェア等のサービスを提供するために、ＮＡＰＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｐｏｒｔ Ｔｒａｎｓｌａｔｉｏｎ）およびＨＴＴＰＳを用いて顧客端末をネットワーク上に構築されたクラウドに接続させる技術が用いられている。

しかし、従来のＶＰＮ技術では、拠点ネットワーク間でネットワークアドレスや端末のアドレスが共通すること等の事情によって、ＶＰＮ内で異なる拠点に属する端末間の通信が上手くいかない等の問題が発生する。また、このような問題を解決するためには、拠点ネットワークを再設計、再構築する必要が生じるが、プライベートネットワークアドレスは、プライベートネットワーク用に推奨されているアドレス範囲の先頭領域から順に用いられることが多いことや、ネットワーク機器の工場出荷時等に予め設定されていることが多いことから、一般に重複する可能性が高い。このため、ＶＰＮの構築は、ネットワークの設計者や管理者に、拠点ネットワークの再設計や再構築等の多くの負担を強いるものであった。

本発明は、上記した問題に鑑み、拠点ネットワーク間でネットワークアドレスや端末のアドレスが共通すること等の事情がある場合にも、拠点ネットワークを容易に仮想プライベートネットワークに参加させることを課題とする。

本発明では、上記課題を解決するために、以下の手段を採用した。即ち、本発明は、管理下のネットワークと、他のゲートウェイ装置の管理下のネットワークとの間の通信を仲介するゲートウェイ装置であって、複数のゲートウェイ装置の管理下にある複数のネットワーク間で重複しないように設定された、端末の代用アドレスと該端末との対応関係を特定可能なアドレス変換情報を保持する保持手段と、前記管理下のネットワークに属する送信元端末から送信されたパケットを受信する受信手段と、前記パケットの宛先アドレスが、前記他のゲートウェイ装置の管理下のネットワークに属する端末の代用アドレスである場合に、パケットの送信元アドレスに基づいて前記アドレス変換情報を参照することで、前記送信元端末の代用アドレスを特定する代用アドレス特定手段と、前記パケットの送信元アドレスを、前記送信元端末の実アドレスから、前記代用アドレス特定手段によって特定された代用アドレスに変換する変換手段と、前記変換手段によってアドレス変換されたパケットに、前記他のゲートウェイ装置へパケットを転送するための情報を付加することでカプセル化するカプセル化手段と、前記カプセル化手段によってカプセル化されたパケットを、前記他のゲートウェイ装置に送信する送信手段と、を備えるゲートウェイ装置である。

ここで、管理下のネットワークとは、ゲートウェイ装置によって外部ネットワークとの通信が仲介される、拠点ネットワーク等のネットワークである。本発明に係るゲートウェイ装置は、インターネット等の外部ネットワークを介して他のゲートウェイ装置と通信可能となっており、管理下のネットワークからの通信を他のゲートウェイ装置へ転送等することで、複数のゲートウェイ装置の管理下にある複数の拠点ネットワーク間での通信を可能とする装置である。複数のゲートウェイ装置によって管理下ネットワーク間の通信が仲介されることで、仮想的なプライベートネットワークが構築される。

本発明に係る保持手段は、ゲートウェイ装置の管理下にあるネットワークに属する端末の代用アドレスと、この端末との対応関係を特定可能なアドレス変換情報を保持する。具体的には、端末の実アドレスと代用アドレスとを関連付けてテーブルに記録する方法や、端末の実ネットワークアドレスと代用ネットワークアドレスとを関連付けてテーブルに記録する方法等で、代用アドレスと端末との対応関係が保持される。なお、アドレス変換情報には、ゲートウェイ装置の管理下にあるサイト（ここでは、ゲートウェイ装置によって管理されるネットワークの集合を示す）を識別するための情報等、ゲートウェイ装置を介した通信やアドレス変換、名前解決のために必要なその他の情報が含まれてもよい。なお、代用アドレスおよび代用ネットワークアドレスは、仮想的なプライベートネットワークの内部において重複しないように、各端末または各ネットワークに割り当てられる。

本発明は、他のゲートウェイ装置の管理下のネットワーク宛に転送されるパケットの送信元アドレスを、ネットワーク内で重複しない代用アドレスを用いて変換することで、拠点ネットワーク間でネットワークアドレスや端末のアドレスが共通すること等の事情がある場合にも、拠点ネットワークを容易に仮想プライベートネットワークに参加させることを可能としている。なお、本発明において通信に用いられる通信方式やプロトコルは、各装置間で必要な情報を送受信可能なものであればよく、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）に限定されない。本発明は、同様の仕組みを用いて通信が行われる様々な通信方式やプロトコルが採用されたネットワークに適用することが可能である。

また、本発明において、前記保持手段は、実ネットワークアドレスと代用ネットワークアドレスとの対応関係が記録されたテーブルを含むアドレス変換情報を保持し、前記代用アドレス特定手段は、前記テーブルを参照することで、前記送信元端末の代用アドレスを特定してもよい。

また、本発明において、前記受信手段は、管理下のネットワークに属する端末から送信された、通信したい相手方端末のアドレスの問い合わせパケットを受信し、本発明に係るゲートウェイ装置は、前記問い合わせパケットに係るアドレス問い合わせの対象端末が、他のゲートウェイ装置の管理下のネットワークに属する端末である場合に、前記アドレス変換情報を参照することで、該対象端末の代用アドレスを特定する問い合わせアドレス特定手段と、前記問い合わせアドレス特定手段によって特定された代用アドレスを、アドレス問い合わせの結果として、前記アドレス問い合わせパケットの送信元の端末へ通知する通知手段と、を更に備えてもよい。

通常、通信を開始したい端末は、通信したい相手方端末のアドレスを把握していない場合、相手方端末の名称（ホスト名等）を指定してアドレスの問い合わせを行うことで、通信したい相手方端末のアドレスを取得する。本発明では、このようなアドレス問い合わせパケットを受信すると、通常の名前解決サーバに成り代わって相手方端末の代用アドレスを特定し、問い合わせの送信元端末へ通知する。問合せの送信元端末は、通常のアドレス問い合わせ処理を行うことで、システム構成を意識することなく、相手方端末の代用アドレス、即ち、相手方端末へパケットを送信するために設定すべき適切なアドレスを取得することが出来る。

また、本発明は、管理下のネットワークと、他のゲートウェイ装置の管理下のネットワークとの間の通信を仲介するゲートウェイ装置であって、複数のゲートウェイ装置の管理下にある複数のネットワーク間で重複しないように設定された、端末の代用アドレスと該端末との対応関係を特定可能なアドレス変換情報を保持する保持手段と、他のゲートウェイ装置から送信された、宛先アドレスが管理下のネットワークに属する端末の代用アドレスであり、転送のための情報が付加されたカプセル化パケットを受信する受信手段と、前記受信手段によって受信されたカプセル化パケットから、転送のための情報が付加される前のパケットを取り出すパケット取出手段と、前記パケット取出手段によって取り出されたパケットの宛先アドレスに設定されている宛先端末の代用アドレスに基づいて前記アドレス変換情報を参照することで、該宛先端末の実アドレスを特定する実アドレス特定手段と、前記取り出されたパケットの宛先アドレスを、前記宛先端末の代用アドレスから、前記実アドレス特定手段によって特定された実アドレスに変換する変換手段と、前記変換手段によってアドレス変換されたパケットを前記管理下のネットワークに送信する送信手段と、を備えるゲートウェイ装置である。

本発明は、他のゲートウェイ装置の管理下のネットワークから転送されてきたパケットの宛先に設定されている代用アドレスを、管理下のネットワーク内で扱うことが出来る実アドレスに変換する。本発明によれば、拠点ネットワーク間でネットワークアドレスや端末のアドレスが共通すること等の事情がある場合にも、拠点ネットワークを容易に仮想プライベートネットワークに参加させることが可能となる。

また、本発明において、前記保持手段は、実ネットワークアドレスと代用ネットワークアドレスとの対応関係が記録されたテーブルを含むアドレス変換情報を保持し、前記実アドレス特定手段は、前記テーブルを参照することで、前記宛先端末の実アドレスを特定してもよい。

また、本発明は、コンピュータによって実行される通信方法の発明、または通信用プログラムの発明として把握されてもよい。例えば、本発明は、管理下のネットワークと、他のゲートウェイ装置の管理下のネットワークとの間の通信を仲介するゲートウェイ装置としてのコンピュータを、複数のゲートウェイ装置の管理下にある複数のネットワーク間で重複しないように設定された、端末の代用アドレスと該端末との対応関係を特定可能なアドレス変換情報を保持する保持手段と、前記管理下のネットワークに属する送信元端末か
ら送信されたパケットを受信する受信手段と、前記パケットの宛先アドレスが、前記他のゲートウェイ装置の管理下のネットワークに属する端末の代用アドレスである場合に、パケットの送信元アドレスに基づいて前記アドレス変換情報を参照することで、前記送信元端末の代用アドレスを特定する代用アドレス特定手段と、前記パケットの送信元アドレスを、前記送信元端末の実アドレスから、前記代用アドレス特定手段によって特定された代用アドレスに変換する変換手段と、前記変換手段によってアドレス変換されたパケットに、前記他のゲートウェイ装置へパケットを転送するための情報を付加することでカプセル化するカプセル化手段と、前記カプセル化手段によってカプセル化されたパケットを、前記他のゲートウェイ装置に送信する送信手段と、として機能させるための通信用プログラムである。

本発明によれば、拠点ネットワーク間でネットワークアドレスや端末のアドレスが共通すること等の事情がある場合にも、拠点ネットワークを容易に仮想プライベートネットワークに参加させることが可能となる。

実施形態に係るＶＰＮシステムの構成の概略を示す図である。 実施形態に係るＶＰＮシステムのハードウェア構成の概略を示す図である。 実施形態に係るＶＰＮシステムの機能構成の概略を示す図である。 実施形態に係るサイトテーブルの構成を示す図である。 実施形態に係るホストテーブルの構成を示す図である。 実施形態に係る名前解決処理の概要を示す図である。 実施形態における名前解決処理の流れを示すフローチャートである。 実施形態に係るアドレス変換処理の概要を示す図である。 実施形態におけるアドレス変換処理の流れを示すフローチャートである。

＜システムの構成＞
以下、本発明に係るＶＰＮシステムの実施の形態について、図面に基づいて説明する。なお、以下に説明する実施の形態は、本発明を実施する一例を示すものであって、本発明を以下に説明する具体的構成に限定するものではない。本発明を実施するにあたっては、実施の形態に応じた具体的構成が適宜採用されることが好ましい。

図１は、本実施形態に係るＶＰＮシステムの構成の概略を示す図である。本実施形態に係るＶＰＮシステムは、複数のＶＰＮゲートウェイ１ａ、１ｂと、管理サーバ３と、がインターネットを介して通信可能に接続されたシステムである。また、ＶＰＮゲートウェイのＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）ポートには、１または複数のプライベートネットワーク（ＬＡＮ）が接続されている。これらのプライベートネットワークのデフォルトゲートウェイはＶＰＮゲートウェイ１ａまたは１ｂであり、プライベートネットワークに接続された端末２ａ、２ｂは、ＶＰＮゲートウェイ１ａまたは１ｂを介して、ＶＰＮゲートウェイ１ａまたは１ｂのＷＡＮ側ネットワークインターフェースに接続された外部ネットワークと通信可能となっている。なお、上記各装置間の接続形態は有線接続であるか無線接続であるかを問わない。また、本実施形態では、ＩＰネットワークが用いられるが、装置間の通信に用いられる通信方式やプロトコルは、各装置間で必要な情報を送受信可能なものであればよく、ＩＰに限定されない。ＶＰＮの方式に関しても、本発明は、ＩＰＳｅｃに限らず様々な方式のＶＰＮに採用することが可能である。

ＶＰＮゲートウェイ１ａ、１ｂは、自己のＬＡＮ側ネットワークインターフェースに接続されたプライベートネットワークから送信された、他のＶＰＮゲートウェイ１ａ、１ｂ
のＬＡＮ側ネットワークインターフェースに接続されたプライベートネットワーク宛のパケットを暗号化し、ヘッダや認証データ等を付す等してカプセリングすることで、複数のプライベートネットワーク間の通信を秘匿化し、仮想的なトンネルを構築する。このようにして複数のプライベートネットワーク間の通信がトンネリングされることで、ＶＰＮが構築される。

本実施形態では、ゲートウェイ１ａのＬＡＮ側にネットワークアドレス１９２．１６８．０．０／２４のプライベートネットワークが構築され、ＶＰＮゲートウェイ１ｂのＬＡＮ側にネットワークアドレス１９２．１６８．０．０／２４のプライベートネットワークおよびネットワークアドレス１９２．１６８．１．０／２４のプライベートネットワークが構築されている例を用いて、本発明に係るＶＰＮシステムを説明する。即ち、本実施形態では、ゲートウェイ１ａによって管理されるサイトＧ１と、ゲートウェイ１ｂによって管理されるサイトＧ２とにおいて、プライベートネットワークのネットワークアドレス１９２．１６８．０．０／２４が重複している。また、サイトＧ１のネットワークアドレス１９２．１６８．０．０／２４のプライベートネットワークに接続された、実ＩＰアドレス１９２．１６８．０．１０のユーザ端末２ａと、サイトＧ２のネットワークアドレス１９２．１６８．０．０／２４のプライベートネットワークに接続された、実ＩＰアドレス１９２．１６８．０．１０のサーバ端末２ｂとは、実ＩＰアドレスが重複している。このため、従来の技術を用いたＶＰＮでは、サイトＧ１のネットワークアドレス１９２．１６８．０．０／２４のプライベートネットワークに接続された端末と、サイトＧ２のネットワークアドレス１９２．１６８．０．０／２４のプライベートネットワークに接続された端末と、の間で通信を行うことは困難である。

図２は、本実施形態に係るＶＰＮシステムのハードウェア構成の概略を示す図である。本実施形態に係る管理サーバ３、ゲートウェイ１ａ、１ｂおよび端末２ａ、２ｂ等は、何れも、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＲＡＭ（Ｒａｎｃｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ネットワークインターフェースおよび記憶装置（ストレージ）を備える、情報処理装置（コンピュータ）である。ここで、ゲートウェイ１ａ、１ｂは、ネットワークインターフェースとして、プライベートネットワークが接続されるＬＡＮ側ネットワークインターフェース（ＬＡＮポート）と、インターネット側へ接続されるＷＡＮ側ネットワークインターフェース（ＷＡＮポート）と、を備える。なお、管理サーバ３、ゲートウェイ１ａ、１ｂおよび端末２ａ、２ｂ等が備える記憶装置としては、例えば、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）やＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等を用いることが出来る。

なお、ゲートウェイ１ａ、１ｂに設定されているデフォルトゲートウェイは、一般にはインターネットへの接続を提供するＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）のルータである。即ち、ゲートウェイ１ａ、１ｂは、ＬＡＮ側ネットワークインターフェースで受信したパケットのうち、ＶＰＮに送出されるパケット以外のパケットについては、原則としてＩＳＰのルータへ送信する。

図３は、本実施形態に係るＶＰＮシステムの機能構成の概略を示す図である。ゲートウェイ１ａ、１ｂは、ＣＰＵが、ＲＡＭまたはＲＯＭに展開されたプログラムを実行して、ＲＡＭ、ＲＯＭ、ネットワークインターフェースおよび記憶装置等の各構成を制御することで、保持部１１ａ、１１ｂ、送受信部１２ａ、１２ｂ、アドレス特定部１３ａ、１３ｂ、アドレス変換部１４ａ、１４ｂ、ＶＰＮ処理部１５ａ、１５ｂおよび通知部１６ａ、１６ｂを備えるゲートウェイ１ａ、１ｂとして機能する。また、管理サーバ３は、ＣＰＵが、ＲＡＭおよびＲＯＭに展開されたプログラムを実行して、ＲＡＭ、ＲＯＭ、ネットワー
クインターフェースおよび記憶装置等の各構成を制御することで、サイト情報受付部３１、代用アドレス割当部３２、アドレス変換情報管理部３３、およびアドレス変換情報配信部３４を備える管理サーバ３として機能する。

保持部１１ａ、１１ｂは、ゲートウェイ１ａ、１ｂの管理下にある複数のプライベートネットワーク間で重複しないように設定された、代用アドレスと端末（ホスト名または実アドレス）との対応関係を特定可能なアドレス変換情報を保持する。ここで、本実施形態では、保持部１１ａ、１１ｂによって保持されるアドレス変換情報として、ホストテーブルおよびサイトテーブルが用いられる。ホストテーブルおよびサイトテーブルの詳細については、後述する。

送受信部１２ａ、１２ｂは、ゲートウェイ１ａ、１ｂの管理下のプライベートネットワーク、換言すれば、ゲートウェイ１ａ、１ｂのＬＡＮ側ネットワークインターフェースに接続されたネットワークに属する端末２ａ、２ｂとの間でパケットを送受信し、また、インターネットを介して接続された他のゲートウェイ１ａ、１ｂとの間で、カプセル化処理されたＶＰＮパケットを送受信する。

アドレス特定部１３ａ、１３ｂは、保持部１１ａ、１１ｂによって保持されているアドレス変換情報を参照することで、送受信されるパケットの送信元または宛先に設定されている実アドレスまたは実ネットワークアドレスから、対応する代用アドレスまたは代用ネットワークアドレスを特定し、また、送受信されるパケットの送信元または宛先に設定されている代用アドレスまたは代用ネットワークアドレスから、対応する実アドレスまたは実ネットワークアドレスを特定する。更に、アドレス特定部１３ａ、１３ｂは、アドレス変換情報を参照することで、横取りしたＤＮＳクエリに設定されているアドレス問い合わせの対象端末の代用アドレスを特定する。

アドレス変換部１４ａ、１４ｂは、アドレス特定部１３ａ、１３ｂによる特定の結果に従って、カプセリングされる前のアウトバウンドパケットの送信元アドレスを、送信元端末の実アドレスから代用アドレスに変換し、ＶＰＮパケットからデカプセリングされたインバウンドパケットの宛先アドレスを、前記宛先端末の代用アドレスから実アドレスに変換する。

ＶＰＮ処理部１５ａ、１５ｂは、アドレス変換されたパケットに、他のゲートウェイ１ａ、１ｂへパケットを転送するための情報を付加することでカプセル化するカプセル化処理と、受信されたＶＰＮパケット（カプセル化パケット）から、転送のための情報が付加される前のパケットを取り出すパケット取出処理と、を実行する。

送受信部１２ａ、１２ｂによって送受信されるパケットには、プライベートネットワークに属する端末２ａ、２ｂから送信された、ＤＮＳクエリも含まれ、アドレス特定部１３ａ、１３ｂは、アドレス変換情報を参照することで、横取りしたＤＮＳクエリに設定されているアドレス問い合わせの対象端末の代用アドレスを特定する。通信部は、アドレス特定部１３ａ、１３ｂによって特定された代用アドレスを、ＤＮＳクエリに応じた名前解決の結果として、ＤＮＳクエリの送信元の端末２ａ、２ｂへ通知する。

＜アドレス変換情報＞
以下、本発明のアドレス変換情報に相当する情報として本実施形態において用いられる、ホストテーブルおよびサイトテーブルについて説明する。

図４は、本実施形態に係るサイトテーブルの構成を示す図である。サイトテーブルは、各ゲートウェイ１ａ、１ｂ配下のサイトに係る情報、具体的には、少なくともサイト名、
サイトに含まれるネットワークの実ネットワークアドレス、および代用ネットワークアドレスが記録されるテーブルである。サイトテーブルは、管理サーバ３のアドレス変換情報管理部３３によって管理され、アドレス変換情報配信部３４によって各ゲートウェイ１ａ、１ｂに配信される。

ＶＰＮシステムに属するゲートウェイ１ａ、１ｂは、自ゲートウェイの配下のネットワークの実ネットワークアドレスを、管理サーバ３にアップロードする。管理サーバ３のサイト情報受付部３１は、ゲートウェイ１ａ、１ｂによって送信された、ゲートウェイ配下のネットワークに接続されたネットワークの実ネットワークアドレスを受信し、アドレス変換情報管理部３３は、受信された情報をサイトテーブルに登録する。

また、この際、管理サーバ３の代用アドレス割当部３２は、アップロードされた実ネットワークアドレスに対して、本発明に係るアドレス変換において用いられる代用ネットワークアドレスを、各ネットワーク間で重複しないように割り当てる。代用ネットワークアドレスは、ＶＰＮ内において用いられるアドレスであるため、代用ネットワークアドレスには、プライベートアドレスが用いられる。なお、代用アドレス割当部３２は、予め定められた規則や予め定められたリストに従って代用ネットワークアドレスを割り当ててもよいし、ランダムに生成された他の代用ネットワークアドレスと重複しない代用ネットワークアドレスを割り当ててもよい。アドレス変換情報配信部３４は、各ゲートウェイ１ａ、１ｂに対して、割り当てられた代用アドレスを含むアドレス変換情報（サイトテーブルおよびホストテーブル）を配信する。

ここで、実ネットワークアドレスとは、アドレス変換される前の通常のネットワークアドレスであり、端末２ａ、２ｂ自身が自端末のネットワークアドレスとして認識するアドレスである。また、実アドレスとは、アドレス変換される前の通常のアドレスであり、端末２ａ、２ｂ自身が自端末のアドレスとして認識するアドレスである。ＶＰＮシステムにおける同一のサイトに属する端末同士であれば、実アドレスを用いて、アドレス変換を行わずに通信することが可能である。

代用アドレスとは、本発明に係るアドレス変換に用いられる、変換後のアドレスであり、ＶＰＮシステムにおける他のサイトに属する端末を通信対象とする場合に用いられるアドレスである。本実施形態では、アドレス変換の対象となる端末に代用アドレスを割り当てる際に、プライベートネットワーク毎に予め割り当てられた代用ネットワークアドレスと、アドレス変換の対象となる端末の実アドレスの下位ビット部分（例えば、ホスト部）とを組み合わせることで、アドレス変換に用いられる代用アドレスを作成することとしている。代用アドレスの作成に関する処理の詳細は後述する。

なお、本実施形態では、実ネットワークアドレスおよび対応する代用ネットワークアドレスを管理サーバ３に登録することで、アドレス変換における実アドレスと代用アドレスとの対応をとる方式を採用しているが、このような方式に代えて、端末２ａ、２ｂ毎の実アドレスおよびこれに対応する代用アドレスを管理サーバ３に登録する方式が採用されてもよい。この場合、管理サーバの代用アドレス割当部３２は、実ネットワークアドレスに対する代用ネットワークアドレスの割当に代えて、実アドレスに対して、各端末間で重複しないように代用アドレスを割り当てることとすることが出来る。

図５は、本実施形態に係るホストテーブルの構成を示す図である。ホストテーブルは、各ゲートウェイ１ａ、１ｂ配下のホストに係る情報、具体的には、少なくともホスト名、ホストの実アドレス、およびホストの代用アドレスが記録されるテーブルである。ホストテーブルは、管理サーバ３によって管理され、各ゲートウェイ１ａ、１ｂに配信される。ここで、ホストテーブルに記録される代用アドレスは、代用アドレス割当部３２によって
割り当てられた代用ネットワークアドレスを用いて特定された代用アドレス、または代用アドレス割当部３２によって直接割り当てられた代用アドレスである。

＜処理の流れ＞
図６は、本実施形態に係る名前解決処理の概要を示す図である。図６に示す例では、端末２ａが、端末２ｂの所属サイトのサイト名（識別子）および実アドレス、または端末２ｂのホスト名を把握しているが、端末２ｂの代用アドレスを把握していない時点で、端末２ａが端末２ｂに対する通信を開始しようとした場合の名前解決処理の流れを示している。なお、図６に示した例では、端末２ｂは、実アドレスが１９２．１６８．０．１０、ホスト名が「ｓｅｒｖｅｒ１」であり、サイト名「Ｇ２」のサイトに属している。

端末は、記憶装置等に保持するアドレスのリストにアドレスがない通信対象との間で通信を開始しようとする場合、通信対象を名前解決対象として、ＤＮＳサーバ宛にＤＮＳクエリを送信する。図６に示した名前解決処理の例では、端末２ａによってＤＮＳサーバ宛に端末２ｂの名前解決を求めるＤＮＳクエリが送信されると、ゲートウェイ１ａがＤＮＳクエリを横取り（フック）し、ＤＮＳサーバに成り代わって端末２ｂの代用アドレスを端末２ａへ通知する。端末２ａは、ゲートウェイ１ａから通知された代用アドレスを、名前解決の結果として受信し、以後、端末２ｂとの通信を行う際には、この名前解決の結果取得された代用アドレスを、端末２ｂのアドレスとして用いる。

本実施形態では、ＤＮＳクエリに含める名前解決対象の端末名称の記述方式として、名前解決対象の端末が属するサイト名および該端末の実ＩＰアドレスを記載する方式（以下、「サイト指定方式」と称する）と、名前解決対象の端末のホスト名を記載する方式（以下、「ホスト名指定方式」と称する）と、が採用されている。

サイト指定方式では、名前解決対象の端末が、「（サイト名）．（端末実ＩＰアドレス）」の形式でＤＮＳクエリに記述される。図６に示した例では、名前解決対象の端末２ｂはサイト名がＧ２のサイトに属しており、端末２ｂの実ＩＰアドレスは１９２．１６８．０．１０であるため、ＤＮＳクエリには、「Ｇ２．１９２．１６８．０．１０」と記述される。

これに対して、ホスト名指定方式では、名前解決対象の端末が、「（ホスト名）．（ＶＰＮシステム識別用サフィックス）」の形式でＤＮＳクエリに記述される。図６に示した例では、名前解決対象の端末２ｂはホスト名が「ｓｅｒｖｅｒ１」であり、ＶＰＮシステム識別用サフィックスが「ｅｖｒｉｋａ」であるため、ＤＮＳクエリには、「ｓｅｒｖｅｒ１．ｅｖｒｉｋａ」と記述される。ここで、ＶＰＮシステム識別用サフィックスとは、ホスト名指定方式が採用される場合にホスト名が示す端末をインターネット上の他の端末と区別するために、ＶＰＮシステムに設定された識別用サフィックスである。なお、本実施形態では、ＶＰＮシステム識別用サフィックスが用いられるが、ホスト名をインターネット上の重複する他のホスト名と区別するための方法としては、プレフィックス等その他の方法が採用されてもよい。

また、サイト指定方式を採用する場合にも、ＤＮＳクエリの端末名称にＶＰＮシステム識別用プレフィックス等を付して、名前解決対象の端末を「（ＶＰＮシステム識別用プレフィックス）．（サイト名）．（端末実ＩＰアドレス）」等の形式でＤＮＳクエリに記述することで、後述するステップＳ１０２のテーブル検索処理およびステップＳ１０３の判定処理等を省略し、対象となるＤＮＳクエリであるか否かを判断する時間を節約することとしてもよい。

図７は、本実施形態における名前解決処理の流れを示すフローチャートである。本フロ
ーチャートに示された処理は、端末２ａによってＤＮＳサーバ宛に送信されたＤＮＳクエリがゲートウェイ１ａによって受信されたことを契機として実行される。なお、本フローチャートに示された処理の具体的な内容および順序等は、本発明を実施する上での一例である。具体的な処理内容および順序等は、実施の形態に応じて適宜選択されることが好ましい。

ステップＳ１０１では、端末２ａによって送信された、外部ＤＮＳサーバ宛のＤＮＳクエリが横取り（フック）される。送受信部１２ａは、端末２ａによって送信されたＤＮＳクエリを受信すると、このＤＮＳクエリの宛先ＤＮＳサーバが自装置（ゲートウェイ）以外（例えば、外部のＤＮＳサーバ）である場合であっても、宛先ＤＮＳサーバへのＤＮＳクエリの転送を行わず、ＲＡＭまたは記憶装置に保持する。その後、処理はステップＳ１０２へ進む。

ステップＳ１０２およびＳ１０３では、ホストテーブルおよびサイトテーブルが参照され、横取りされたＤＮＳクエリが、本発明に係るアドレス変換の対象となる端末に関するものであるか否かが判定される。アドレス特定部１３ａは、ステップＳ１０１で横取りしたＤＮＳクエリに含まれる名前解決対象の文字列を解析し、この文字列が、ホストテーブルに登録されているホスト名およびＶＰＮシステム識別用サフィックスの組み合わせを含むか否かを判定する。また、アドレス特定部１３ａは、ステップＳ１０１で横取りしたＤＮＳクエリに含まれる名前解決対象の文字列を解析し、この文字列が、サイトテーブルに登録されているサイト名および実ネットワークアドレスの組み合わせを含むか否かを判定する。

具体的には、ＤＮＳクエリが本発明に係るアドレス変換の対象となる端末に関するものであるか否かは、ＤＮＳクエリに含まれる名前解決対象の文字列を分解することで作成された検索用文字列でテーブルを検索する方法や、テーブルに含まれるサイト名およびホスト名で名前解決対象の文字列を検索する方法等を用いて、判定することが出来る。ＤＮＳクエリに含まれる名前解決対象の文字列が、ホストテーブルに登録されているホスト名およびＶＰＮシステム識別用サフィックスの組み合わせを含む場合、または、サイトテーブルに登録されているサイト名および実ネットワークアドレスの組み合わせを含む場合、横取りされたＤＮＳクエリが、本発明に係るアドレス変換の対象となる端末に関するものであると判定することが出来る。ＤＮＳクエリが本発明に係るアドレス変換の対象となる端末に関するものであると判定された場合、処理はステップＳ１０６へ進む。ＤＮＳクエリが本発明に係るアドレス変換の対象となる端末に関するものではないと判定された場合、処理はステップＳ１０４へ進む。

ステップＳ１０４およびＳ１０５では、名前解決の問い合わせ代行、およびＤＮＳクエリの送信元に対する名前解決結果の送信が行われる。ゲートウェイ１ａは、宛先のＤＮＳサーバに対して、ステップＳ１０１で横取りしたＤＮＳクエリに基づく名前解決の問い合わせを代行する（ステップＳ１０４）。問い合わせの代行の結果、ＤＮＳサーバから名前解決対象のＩＰアドレスが取得されると、ゲートウェイ１ａは、名前解決の結果を、ＤＮＳクエリの送信元端末２ａに対して送信する（ステップＳ１０５）。即ち、ステップＳ１０４およびＳ１０５に示す処理では、ＶＰＮシステムの外部であるインターネット上のサーバ等を名前解決の対象とするＤＮＳクエリが処理され、ＤＮＳクエリの送信元端末２ａに名前解決の結果が送信される。

なお、本実施形態では、横取りしたＤＮＳクエリが本発明に係るアドレス変換の対象となる端末に関するものではない場合、ゲートウェイ１ａが名前解決の代行を行う方法が採用されているが、このような方法に代えて、横取りしたＤＮＳクエリが本発明に係るアドレス変換の対象となる端末に関するものではない場合、一旦横取りしたＤＮＳクエリをオ
リジナルの宛先にあるＤＮＳサーバへ転送する方法、換言すれば、ＤＮＳクエリの横取りをキャンセルする方法が採用されてもよい。その後、本フローチャートに示された処理は終了する。

ステップＳ１０６では、ＤＮＳクエリに含まれる名前解決対象の記述方式が判定される。上述の通り、本実施形態では、ＤＮＳクエリに含まれる名前解決対象の記述方式として、サイト指定方式またはホスト名指定方式が用いられる。アドレス特定部１３ａは、ステップＳ１０２およびＳ１０３における処理の結果を受けて、横取りしたＤＮＳクエリがサイト指定方式で記述されたものかホスト名指定方式で記述されたものかを判定する。横取りしたＤＮＳクエリがサイト指定方式で記述されたものである場合、処理はステップＳ１０７へ進む。ＤＮＳクエリがホスト名指定方式で記述されたものである場合、処理はステップＳ１１０へ進む。

ステップＳ１０７からＳ１０９では、サイト指定方式で指定された名前解決対象の代用アドレスが取得（特定）される。アドレス特定部１３ａは、ＤＮＳクエリから抽出されたサイト名および実ＩＰアドレスを用いてサイトテーブルを検索することで、名前解決対象の代用ネットワークアドレスを特定する（ステップＳ１０７）。ここで、実ＩＰアドレスに対応するレコードは、実ネットワークアドレスのネットワーク部と実ＩＰアドレスとを比較することで特定することが出来る。例えば、ＤＮＳクエリから抽出されたサイト名が「Ｇ２」であり、実ＩＰアドレスが「１９２．１６８．０．１０」である場合、図４に示したサイトテーブルから、サイト名「Ｇ２」および実ネットワークアドレス「１９２．１６８．０．０／２４」を含むレコードが特定され、代用ネットワークアドレス「１０．０．１．０／２４」が特定される。

代用ネットワークアドレスが特定されると、アドレス特定部１３ａは、名前解決対象の実ＩＰアドレスから、代用ＩＰアドレスで用いるためのホストアドレス（ホスト部）を特定する（ステップＳ１０８）。代用アドレスで用いられるホスト部は、名前解決対象の実ＩＰアドレスから、ステップＳ１０７で特定された代用ネットワークアドレスのネットワーク部に相当するビットを除くことで特定することが出来る。例えば、名前解決対象の実ＩＰアドレスが「１９２．１６８．０．１０」であり、代用ネットワークアドレスのネットワーク部が２４ビットである場合、代用アドレスで用いられるホスト部は、実ＩＰアドレスから上位２４ビットを除いた「１０」となる。

ステップＳ１０７およびＳ１０８に示した処理において、代用ＩＰアドレスの代用ネットワークアドレス（ステップＳ１０７を参照）および代用ＩＰアドレスのホスト部（ステップＳ１０８を参照）が取得される。これを受けて、アドレス特定部１３ａは、ステップＳ１０７で得られた代用ネットワークアドレスと、およびＳ１０８で得られたホスト部とを組み合わせることで、名前解決対象の代用アドレスを取得する（ステップＳ１０９）。例えば、代用ネットワークアドレスが「１０．０．１．０／２４」であり、ホスト部が「１０」である場合、代用ＩＰアドレス「１０．０．１．１０」が取得（特定）される。その後、処理はステップＳ１１１へ進む。

ステップＳ１１０では、ホスト名指定方式で指定された名前解決対象の代用アドレスが取得（特定）される。アドレス特定部１３ａは、ＤＮＳクエリから抽出されたホスト名を用いてホストテーブルを検索することで、名前解決対象の代用ネットワークアドレスを取得する（ステップＳ１１０）。例えば、ＤＮＳクエリから抽出されたホスト名が「ｓｅｒｖｅｒ１」である場合、図５に示したホストテーブルから、ホスト名「ｓｅｒｖｅｒ１」を含むレコードが特定され、代用ネットワークアドレス「１０．０．１．０／２４」が取得（特定）される。その後、処理はステップＳ１１１へ進む。

ステップＳ１１１では、代用アドレスが端末２ａへ送信される。通知部１６ａは、横取りしたＤＮＳクエリに応じた名前解決の結果として、ＤＮＳクエリの送信元である端末２ａに対して、代用ＩＰアドレスを送信する。その後、本フローチャートに示された処理は終了する。

上記説明した名前解決処理によって、通信を開始しようとする端末２ａは、通信したい相手方端末２ｂであって、他のサイトに属する相手方端末２ｂの代用アドレスを取得することが出来る。

なお、本実施形態では、端末が外部ＤＮＳサーバを直接利用するサイトにおいて本発明を採用する場合の処理の流れについて説明した。但し、ＤＮＳサーバとして内部ＤＮＳサーバを利用するネットワーク構成が採用されたサイトにおいても、上記説明した名前解決処理と概略同様の処理を適用することが出来る。具体的には、内部のＤＮＳサーバで名前解決が完了しなかった（レコードにヒットしなかった）場合に、ゲートウェイは、内部ＤＮＳサーバが外部ＤＮＳサーバへ行う代行問い合わせをフックし、代用アドレスを内部ＤＮＳサーバへ通知することで、通信を開始しようとする端末に、他のサイトに属する相手方端末の代用アドレスを取得させることが出来る。

通信を開始しようとする端末２ａは、相手方端末２ｂの代用アドレスを取得すると、実際の通信のためのパケットを、パケットの送信先に相手方端末２ｂの代用アドレスを設定して送信する。次に、端末２ａ、２ｂ間の実際の通信に際して実行される、本実施形態に係るアドレス変換処理を説明する。

図８は、本実施形態に係るアドレス変換処理の概要を示す図である。図８に示す例では、端末２ａが、図６および図７に示した名前解決処理等によって端末２ｂの代用アドレスを取得した後、端末２ｂに対する通信を開始した場合のアドレス変換処理の流れを示している。なお、図８に示した例では、端末２ａは、実アドレスが１９２．１６８．０．１０、代用ネットワークアドレスが１０．０．０．０／２４であり、サイト名Ｇ１のサイトに属している。また、端末２ｂは、実アドレスが端末２ａと重複する１９２．１６８．０．１０であり、代用ネットワークアドレスが１０．０．１．０／２４であり、サイト名Ｇ２のサイトに属している。

通信相手が送信元と同一のサイトに属する端末である場合や、インターネット上の端末である場合には、送信元ＩＰアドレスには送信元端末２ａの実ＩＰアドレスが設定され、宛先ＩＰアドレスには宛先端末の実ＩＰアドレスが設定される。また、通信相手がインターネット上の端末である場合には、ゲートウェイ１ａ、１ｂでは、従来と同様のＮＡＴ／ＮＡＰＴが実行される。これに対して、通信相手がＶＰＮシステム内の端末２ｂである場合、送信元ＩＰアドレスには送信元端末２ａの実ＩＰアドレスが設定され、宛先ＩＰアドレスには代用ＩＰアドレスが設定され、ゲートウェイ１ａ、１ｂでは、本発明に係るアドレス変換処理が実行される。

図９は、本実施形態におけるアドレス変換処理の流れを示すフローチャートである。本フローチャートに示された処理は、端末２ａからパケットが送信されたことを契機として実行される。なお、本フローチャートに示された処理の具体的な内容および順序等は、本発明を実施する上での一例である。具体的な処理内容および順序等は、実施の形態に応じて適宜選択されることが好ましい。

ステップＳ２０１およびＳ２０２では、送信元端末２ａと、この送信元端末２ａのデフォルトゲートウェイであるゲートウェイ１ａとの間でパケットが送受信される。送信元端末２ａは、送信元（即ち、自装置）のＩＰアドレスおよび宛先のＩＰアドレスを含むＩＰ
ヘッダを送信したいデータに付したパケットを送信する（ステップＳ２０１）。図９に示した例では、通信相手の端末２ｂはＶＰＮシステムにおける他のサイトＧ２に属する端末であるため、端末２ｂの代用アドレス「１０．０．１．１０」が、宛先ＩＰアドレスとして設定される。ここで設定される代用アドレスは、図６および図７に示した名前解決処理等によって取得されたか、予め保持していたものが用いられる。なお、送信元ＩＰアドレスには、端末２ａの実アドレス「１９２．１６８．０．１０」が設定される。この場合、宛先ＩＰアドレスは送信元端末２ａが属するサブネットの外部にある端末であるため、送信元端末２ａは、パケットをデフォルトゲートウェイであるゲートウェイ１ａへ送信する。

ゲートウェイ１ａの送受信部１２ａは、送信されたパケットを受信する（ステップＳ２０２）。その後、処理はステップＳ２０３へ進む。ステップＳ２０２からＳ２９に示す処理は、通信の送信元側ゲートウェイ（図面に示す例では、ゲートウェイ１ａ）によって実行される処理である。

ステップＳ２０３およびＳ２０４では、ルーティングテーブルが参照され、本発明に係るアドレス変換の要否が判定される。アドレス特定部１３ａは、ステップＳ２０２で受信されたパケットの宛先ＩＰアドレス等に基づいてルーティングテーブルを参照し（ステップＳ２０３）、ＶＰＮの対象であるか否か、即ち本発明に係るアドレス変換の対象となるパケットであるか否か、を判定する（ステップＳ２０４）。判定の結果、ＶＰＮの対象ではないと判定された場合、処理はステップＳ２０５へ進む。判定の結果、ＶＰＮの対象であると判定された場合、処理はステップＳ２０６へ進む。

ステップＳ２０５では、従前のパケット転送処理が行われる。ゲートウェイ１ａは、送信元ＩＰアドレスをグローバルＩＰアドレスへ変換し、送信元ポート番号を変換する従前のＮＡＴ／ＮＡＰＴを行い、ＩＳＰのルータ等へパケットを転送する。その後、本フローチャートに示された処理は終了する。

ステップＳ２０６およびＳ２０７では、送信元の代用ネットワークアドレスが特定され、本発明に係るアドレス変換が行われる。アドレス特定部１３ａは、受信パケットの送信元端末２ａが属するサイト（即ち、送信元側ゲートウェイ自身のサイト）のサイト名および送信元ネットワークアドレスを用いてサイトテーブルを検索することで、送信元端末２ａの代用ネットワークアドレスを特定する（ステップＳ２０６）。そして、アドレス特定部１３ａは、ネットワーク部にステップＳ２０６で特定された代用ネットワークアドレスを採用し、ホスト部に送信元端末２ａの実ＩＰアドレスを採用した代用アドレスを作成し、アドレス変換部１４ａは、作成された代用アドレスで受信パケットのＩＰヘッダの送信元アドレスを変換する（ステップＳ２０７）。

本実施形態に係る図面に示した例では、送信元端末が端末２ａである場合、端末２ａはサイト名Ｇ１のサイトに属し、送信元の代用ネットワークアドレスは１０．０．０．０／２４であり、送信元の実アドレスは１９２．１６８．０．１０である。このため、アドレス特定部１３ａは、ネットワーク部に代用ネットワークアドレス１０．０．０．０／２４を、ホスト部に送信元端末２ａの実ＩＰアドレス１９２．１６８．０．１０を採用した代用アドレス１０．０．０．１０を作成し、アドレス変換部１４ａは、ＩＰヘッダの送信元アドレスを変換する。その後、処理はステップＳ２０８へ進む。

ステップＳ２０８およびＳ２０９では、パケットにＶＰＮ処理が施され、ＶＰＮパケットが送信される。ＶＰＮ処理部１５ａは、アドレス変換されたパケットを暗号化し、ヘッダや認証データ等を付す等してカプセリングする（ステップＳ２０８）。但し、ＶＰＮ処理の具体的な内容は、採用されるＶＰＮの方式に応じて異なる。例えば、暗号化が行われ
ないＶＰＮや、認証データの付加が行われないＶＰＮが採用されてもよい。

採用されるＶＰＮが、パケットにＩＰヘッダを追加する方式のＶＰＮである場合、追加されるＩＰヘッダの送信元アドレスには送信元側のゲートウェイ１ａのグローバルＩＰアドレスが、宛先アドレスには宛先側のゲートウェイ１ｂのグローバルＩＰアドレスが、設定される。即ち、本実施形態に係る図面に示した例では、ＶＰＮ処理において追加されるＩＰヘッダの送信元アドレスにはゲートウェイ１ａのグローバルＩＰアドレスが、宛先アドレスにはゲートウェイ１ｂのグローバルＩＰアドレスが、設定される。

パケットにＶＰＮ処理が施されると、送受信部１２ａは、ＶＰＮパケットを相手側のゲートウェイ１ｂへ送信する（ステップＳ２０９）。その後、処理はステップＳ２１０へ進む。ステップＳ２１０からＳ２１４に示す処理は、通信の宛先側ゲートウェイ（図面に示す例では、ゲートウェイ１ｂ）によって実行される処理である。

ステップＳ２１０およびＳ２１１では、ＶＰＮパケットが受信され、パケットに施されたＶＰＮが解除される。ＶＰＮ処理部１５ｂは、受信されたＶＰＮパケットから、ステップＳ２０８において追加されたＩＰヘッダを削除し、必要であれば復号や認証等を行う等して、カプセリングを解除（デカプセリング）する（ステップＳ２１０）。その後、処理はステップＳ２１２へ進む。

ステップＳ２１２およびＳ２１３では、宛先の実ネットワークアドレスが特定され、本発明に係るアドレス変換が行われる。アドレス特定部１３ｂは、受信パケットの宛先端末２ｂが属するサイト（即ち、宛先側ゲートウェイ１ｂ自身のサイト）のサイト名および宛先ネットワークアドレスを用いてサイトテーブルを検索することで、宛先端末２ｂの実ネットワークアドレスを特定する（ステップＳ２１２）。なお、ここで宛先ネットワークアドレスは、ステップＳ２０１において設定された代用アドレスのネットワークアドレスである。そして、アドレス特定部１３ｂは、ネットワーク部にステップＳ２１２で特定された実ネットワークアドレスを採用し、ホスト部に宛先端末２ｂの実ＩＰアドレスを採用した実アドレスを作成し、アドレス変換部１４ｂは、作成された実アドレスでデカプセリングされた受信パケットのＩＰヘッダの宛先アドレスを変換する（ステップＳ２１３）。なお、ステップＳ２１３では、アドレス変換に伴って、ＩＰヘッダのチェックサム、および必要であればＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）やＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）等の上位プロトコルのチェックサムについても再計算され、変換される。ここで、上位プロトコルのチェックサム算出にあたって擬似ヘッダが用いられる場合には、送信元ＩＰアドレスに送信元端末２ａの代用ＩＰアドレスを、宛先ＩＰアドレスに宛先端末２ｂの実ＩＰアドレスを用いた擬似ヘッダが作成され、チェックサムが再計算される。

本実施形態に係る図面に示した例では、宛先端末が端末２ｂである場合、端末２ｂはサイト名Ｇ２のサイトに属し、宛先の実ネットワークアドレスは１９２．１６８．０．０／２４であり、宛先の代用アドレスは１０．０．１．１０である。このため、アドレス特定部１３ｂは、ネットワーク部に実ネットワークアドレス１９２．１６８．０．０／２４を、ホスト部に宛先端末２ｂの代用ＩＰアドレス１０．０．１．１０を採用した実アドレス１９２．１６８．０．１０を作成し、アドレス変換部１４ｂは、ＩＰヘッダの宛先アドレスを変換する。その後、処理はステップＳ２１４へ進む。

ステップＳ２１４およびＳ２１５では、ゲートウェイ１ｂと宛先端末２ｂとの間でパケットが送受信される。ゲートウェイ１ｂは、ステップＳ２１３におけるアドレス変換が施されたパケットを、宛先端末２ｂへ送信する（ステップＳ２１４）。ここで送信されるパケットは、ステップＳ２１３におけるアドレス変換の結果、宛先アドレスが宛先端末２ｂ
の実ＩＰアドレスとなっているため、送信されるパケットは、ゲートウェイ１ｂ配下のプライベートネットワークにおいて適切にアドレス解決され、転送される。宛先端末２ｂは、送信されたパケットを受信する（ステップＳ２１５）。その後、本フローチャートに示された処理は終了する。

宛先端末２ｂによって受信されたパケットの送信元アドレスは、ステップＳ２０７におけるアドレス変換の結果、送信元端末２ａの代用アドレスとなっている。このため、宛先端末２ｂは、送信元端末２ａに対して応答パケット等を送信する場合に、実アドレスと代用アドレスとの関係を特に意識することなく、送信元端末２ａの代用アドレスを宛先アドレスとしてパケットを送信することが出来る。宛先端末２ｂが新たな送信元端末２ｂとなって送信する応答パケット等の送信についても、宛先と送信元との立場が逆転するのみであり、図９を用いて説明した通りである。

また、本実施形態では、ＶＰＮ対象となるパケットにつき、本発明に係るアドレス変換を一律で行うこととして説明を行ったが、ＶＰＮ対象となるパケットであっても、異なるサイトに属する送信元と宛先との間で実ＩＰアドレスが重複しないと判断できる場合には、本発明に係るアドレス変換を行わずに、実ＩＰアドレスを用いて通信することとしてもよい。この場合、ゲートウェイ１ａ、１ｂは、本発明に係るアドレス変換を行わずに、ＶＰＮ処理のみ施して、サイト間でパケットを転送する。また、ゲートウェイ１ａ、１ｂにおける、実アドレスが重複しない場合のアドレス変換の要否（換言すれば、重複する実アドレスの存否）の自動判定の有効化／無効化は、設定により変更可能としてもよい。

なお、本実施形態では、ＩＰヘッダのみを本発明に係るアドレス変換の対象として説明したが、必要であれば、代用アドレスを用いた本発明に係るアドレス変換は、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）等の、パケットのペイロードに含まれる実アドレスの変換に用いられてもよい。

本実施形態に係るＶＰＮシステムによれば、拠点ネットワーク間でネットワークアドレスや端末２ａ、２ｂのアドレスが共通すること等の事情がある場合にも、拠点ネットワークを容易にＶＰＮに参加させることが可能となる。より具体的には、本実施形態に係るＶＰＮシステムによれば、従来ＮＡＴ／ＮＡＰＴを超えることが出来なかった通信であっても、ゲートウェイを超えることが可能となるため、異なるプライベートアドレス体系を採用した複数の拠点ネットワークを、単一のクラウドに参加させることが可能となる。このクラウドは、グローバルＩＰアドレスを用いて構成されているインターネットとは別のネットワーク空間をユーザに提供するものであり、従来のＮＡＰＴおよびＨＴＴＰＳを用いて顧客端末をネットワーク上に構築されたコンシューマクラウドとは異なる、企業向けに適したネットワークインフラをユーザに提供することが可能となる。また、本発明をＩＰネットワークに適用する場合には、ＩＰｖ４を用いて企業クラウドにＶＰＮを提供することが可能となるため、ＩＰｖ６に対応していない端末を含むネットワークであっても、容易にＶＰＮに参加させることが出来る。

１ａ、１ｂ ＶＰＮゲートウェイ
２ａ ユーザ端末
２ｂ サーバ端末
３ 管理サーバ
１１ａ、１１ｂ 保持部
１２ａ、１２ｂ 送受信部
１３ａ、１３ｂ アドレス特定部
１４ａ、１４ｂ アドレス変換部
１５ａ、１５ｂ ＶＰＮ処理部
１６ａ、１６ｂ 通知部
３１ サイト情報受付部
３２ 代用アドレス割当部
３３ アドレス変換情報管理部
３４ アドレス変換情報配信部

Claims (11)

1. 管理下のネットワークと、他のゲートウェイ装置の管理下のネットワークとの間の通信を仲介するゲートウェイ装置であって、
   複数のゲートウェイ装置の管理下にある複数のネットワーク間で重複しないように設定された、端末の代用アドレスと該端末との対応関係を特定可能なアドレス変換情報を保持する保持手段と、
   前記管理下のネットワークに属する送信元端末から送信されたパケットを受信する受信手段と、
   前記パケットの宛先アドレスが、前記他のゲートウェイ装置の管理下のネットワークに属する端末の代用アドレスである場合に、パケットの送信元アドレスに基づいて前記アドレス変換情報を参照することで、前記送信元端末の代用アドレスを特定する代用アドレス特定手段と、
   前記パケットの送信元アドレスを、前記送信元端末の実アドレスから、前記代用アドレス特定手段によって特定された代用アドレスに変換する変換手段と、
   前記変換手段によってアドレス変換されたパケットに、前記他のゲートウェイ装置へパケットを転送するための情報を付加することでカプセル化するカプセル化手段と、
   前記カプセル化手段によってカプセル化されたパケットを、前記他のゲートウェイ装置に送信する送信手段と、
   を備えるゲートウェイ装置。
2. 前記保持手段は、実ネットワークアドレスと代用ネットワークアドレスとの対応関係が記録されたテーブルを含むアドレス変換情報を保持し、
   前記代用アドレス特定手段は、前記テーブルを参照することで、前記送信元端末の代用アドレスを特定する、
   請求項１に記載のゲートウェイ装置。
3. 前記受信手段は、管理下のネットワークに属する端末から送信された、通信したい相手方端末のアドレスの問い合わせパケットを受信し、
   前記問い合わせパケットに係るアドレス問い合わせの対象端末が、他のゲートウェイ装置の管理下のネットワークに属する端末である場合に、前記アドレス変換情報を参照することで、該対象端末の代用アドレスを特定する問い合わせアドレス特定手段と、
   前記問い合わせアドレス特定手段によって特定された代用アドレスを、アドレス問い合わせの結果として、前記アドレス問い合わせパケットの送信元の端末へ通知する通知手段と、
   を更に備える、請求項１または２に記載のゲートウェイ装置。
4. 管理下のネットワークと、他のゲートウェイ装置の管理下のネットワークとの間の通信を仲介するゲートウェイ装置であって、
   複数のゲートウェイ装置の管理下にある複数のネットワーク間で重複しないように設定された、端末の代用アドレスと該端末との対応関係を特定可能なアドレス変換情報を保持する保持手段と、
   他のゲートウェイ装置から送信された、宛先アドレスが管理下のネットワークに属する端末の代用アドレスであり、転送のための情報が付加されたカプセル化パケットを受信する受信手段と、
   前記受信手段によって受信されたカプセル化パケットから、転送のための情報が付加される前のパケットを取り出すパケット取出手段と、
   前記パケット取出手段によって取り出されたパケットの宛先アドレスに設定されている宛先端末の代用アドレスに基づいて前記アドレス変換情報を参照することで、該宛先端末の実アドレスを特定する実アドレス特定手段と、
   前記取り出されたパケットの宛先アドレスを、前記宛先端末の代用アドレスから、前記実アドレス特定手段によって特定された実アドレスに変換する変換手段と、
   前記変換手段によってアドレス変換されたパケットを前記管理下のネットワークに送信する送信手段と、
   を備えるゲートウェイ装置。
5. 前記保持手段は、実ネットワークアドレスと代用ネットワークアドレスとの対応関係が記録されたテーブルを含むアドレス変換情報を保持し、
   前記実アドレス特定手段は、前記テーブルを参照することで、前記宛先端末の実アドレスを特定する、
   請求項４に記載のゲートウェイ装置。
6. 管理下のネットワークと、他のゲートウェイ装置の管理下のネットワークとの間の通信を仲介するゲートウェイ装置としてのコンピュータが、
   複数のゲートウェイ装置の管理下にある複数のネットワーク間で重複しないように設定された、端末の代用アドレスと該端末との対応関係を特定可能なアドレス変換情報を保持する保持ステップと、
   前記管理下のネットワークに属する送信元端末から送信されたパケットを受信する受信ステップと、
   前記パケットの宛先アドレスが、前記他のゲートウェイ装置の管理下のネットワークに属する端末の代用アドレスである場合に、パケットの送信元アドレスに基づいて前記アドレス変換情報を参照することで、前記送信元端末の代用アドレスを特定する代用アドレス特定ステップと、
   前記パケットの送信元アドレスを、前記送信元端末の実アドレスから、前記代用アドレス特定ステップにおいて特定された代用アドレスに変換する変換ステップと、
   前記変換ステップにおいてアドレス変換されたパケットに、前記他のゲートウェイ装置へパケットを転送するための情報を付加することでカプセル化するカプセル化ステップと、
   前記カプセル化ステップにおいてカプセル化されたパケットを、前記他のゲートウェイ装置に送信する送信ステップと、
   を実行する通信方法。
7. 前記受信ステップでは、管理下のネットワークに属する端末から送信された、通信したい相手方端末のアドレスの問い合わせパケットを受信し、
   前記コンピュータが、
   前記問い合わせパケットに係るアドレス問い合わせの対象端末が、他のゲートウェイ装置の管理下のネットワークに属する端末である場合に、前記アドレス変換情報を参照することで、該対象端末の代用アドレスを特定する問い合わせアドレス特定ステップと、
   前記問い合わせアドレス特定ステップにおいて特定された代用アドレスを、アドレス問い合わせの結果として、前記アドレス問い合わせパケットの送信元の端末へ通知する通知ステップと、
   を更に実行する、請求項６に記載の通信方法。
8. 管理下のネットワークと、他のゲートウェイ装置の管理下のネットワークとの間の通信を仲介するゲートウェイ装置としてのコンピュータが、
   複数のゲートウェイ装置の管理下にある複数のネットワーク間で重複しないように設定された、端末の代用アドレスと該端末との対応関係を特定可能なアドレス変換情報を保持する保持ステップと、
   他のゲートウェイ装置から送信された、宛先アドレスが管理下のネットワークに属する端末の代用アドレスであり、転送のための情報が付加されたカプセル化パケットを受信す
   る受信ステップと、
   前記受信ステップにおいて受信されたカプセル化パケットから、転送のための情報が付加される前のパケットを取り出すパケット取出ステップと、
   前記パケット取出ステップにおいて取り出されたパケットの宛先アドレスに設定されている宛先端末の代用アドレスに基づいて前記アドレス変換情報を参照することで、該宛先端末の実アドレスを特定する実アドレス特定ステップと、
   前記取り出されたパケットの宛先アドレスを、前記宛先端末の代用アドレスから、前記実アドレス特定ステップにおいて特定された実アドレスに変換する変換ステップと、
   前記変換ステップにおいてアドレス変換されたパケットを前記管理下のネットワークに送信する送信ステップと、
   を実行する通信方法。
9. 管理下のネットワークと、他のゲートウェイ装置の管理下のネットワークとの間の通信を仲介するゲートウェイ装置としてのコンピュータを、
   複数のゲートウェイ装置の管理下にある複数のネットワーク間で重複しないように設定された、端末の代用アドレスと該端末との対応関係を特定可能なアドレス変換情報を保持する保持手段と、
   前記管理下のネットワークに属する送信元端末から送信されたパケットを受信する受信手段と、
   前記パケットの宛先アドレスが、前記他のゲートウェイ装置の管理下のネットワークに属する端末の代用アドレスである場合に、パケットの送信元アドレスに基づいて前記アドレス変換情報を参照することで、前記送信元端末の代用アドレスを特定する代用アドレス特定手段と、
   前記パケットの送信元アドレスを、前記送信元端末の実アドレスから、前記代用アドレス特定手段によって特定された代用アドレスに変換する変換手段と、
   前記変換手段によってアドレス変換されたパケットに、前記他のゲートウェイ装置へパケットを転送するための情報を付加することでカプセル化するカプセル化手段と、
   前記カプセル化手段によってカプセル化されたパケットを、前記他のゲートウェイ装置に送信する送信手段と、
   として機能させるための通信用プログラム。
10. 前記受信手段は、管理下のネットワークに属する端末から送信された、通信したい相手方端末のアドレスの問い合わせパケットを受信し、
    前記コンピュータを、
    前記問い合わせパケットに係るアドレス問い合わせの対象端末が、他のゲートウェイ装置の管理下のネットワークに属する端末である場合に、前記アドレス変換情報を参照することで、該対象端末の代用アドレスを特定する問い合わせアドレス特定手段と、
    前記問い合わせアドレス特定手段によって特定された代用アドレスを、アドレス問い合わせの結果として、前記アドレス問い合わせパケットの送信元の端末へ通知する通知手段と、
    として更に機能させるための、請求項９に記載の通信用プログラム。
11. 管理下のネットワークと、他のゲートウェイ装置の管理下のネットワークとの間の通信を仲介するゲートウェイ装置としてのコンピュータを、
    複数のゲートウェイ装置の管理下にある複数のネットワーク間で重複しないように設定された、端末の代用アドレスと該端末との対応関係を特定可能なアドレス変換情報を保持する保持手段と、
    他のゲートウェイ装置から送信された、宛先アドレスが管理下のネットワークに属する端末の代用アドレスであり、転送のための情報が付加されたカプセル化パケットを受信する受信手段と、
    前記受信手段によって受信されたカプセル化パケットから、転送のための情報が付加される前のパケットを取り出すパケット取出手段と、
    前記パケット取出手段によって取り出されたパケットの宛先アドレスに設定されている宛先端末の代用アドレスに基づいて前記アドレス変換情報を参照することで、該宛先端末の実アドレスを特定する実アドレス特定手段と、
    前記取り出されたパケットの宛先アドレスを、前記宛先端末の代用アドレスから、前記実アドレス特定手段によって特定された実アドレスに変換する変換手段と、
    前記変換手段によってアドレス変換されたパケットを前記管理下のネットワークに送信する送信手段と、
    として機能させるための通信用プログラム。

Images