JP2015012594A - ネットワークシステム、通信制御方法、通信制御装置、およびプログラム - Google Patents

Abstract

【課題】ユーザがＨＮＷを十分に利用することを可能にする。
【解決手段】ネットワークシステム１は、通信制御装置２００と通信制御装置３００とを備え、通信制御装置２００は、ＲＨＮＷ２内の機器２１がＩＰｖ６インターネットを介して通信可能な機器との間で送受信する通信データを中継し、ＲＨＮＷ２内の機器２１がＶＨＮＷ３内の機器３１またはＩＰｖ４インターネットを介して通信可能な機器との間で送受信する通信データを、ＶＨＮＷ３との間に設定した仮想的な通信路１１を介して中継し、通信制御装置３００は、ＶＨＮＷ３内の機器３１がＩＰｖ４インターネットを介して通信可能な機器との間で送受信する通信データを中継し、ＶＨＮＷ３内の機器３１がＲＨＮＷ２内の機器２１またはＩＰｖ６インターネットを介して通信可能な機器との間で送受信する通信データを、通信制御装置２００との間に設定した通信路１１を介して中継する。
【選択図】図１

Description

本発明は、ネットワークシステム、通信制御方法、通信制御装置、およびプログラムに関する。

従来、ユーザ宅において、ＰＣ（Personal Computer）等のＩＰ（Internet Protocol）装置や、家電製品やセンサ装置などの非ＩＰ装置が接続されたホームネットワーク（ＨＮＷ：Home NetWork）の構築が普及している。このようなＨＮＷは、一般的に同一セグメントのＬＡＮ（Local Area Network）で構築され、ＩＰブロードキャストやＩＰマルチキャストによって接続機器を発見するＵＰｎＰ（Universal Plug and Play）や、ＤＬＮＡ（Digital Living Network Alliance）などを容易に適用させることができる。

さらに、近年、ＨＮＷにおける新たなサービスを実現するためにＨＧＷ（Home Gateway）が利用されている。例えば、ＨＧＷは、ＯＳＧｉ（Open Services Gateway initiative）等を利用した制御プログラムが組み込まれ、ＨＮＷ上の家電製品やセンサ装置を制御するサービスを実現する。これにより、ユーザ又はサービス提供者は、遠隔からＨＮＷ上の装置を制御することができるようになる。

しかしながら、ＨＮＷによって提供されるサービスは、年々、高性能化、多機能化されており、提供されるサービスの数も増加している。そのため、ＨＧＷに求められるハード・ソフトの性能や機能の要求条件が年々高まっている。ＨＧＷは、１つの装置として構成され、ユーザ宅に設置される場合が多い。そのため、設置されているＨＧＷが高い要求条件に対応できなければ、ユーザは、要求条件を満たすスペックを備えたＨＧＷに交換する必要があり、ユーザにとって大きな負担となってしまう。

そのような問題を解決するための技術として、例えば下記非特許文献１には、ＨＮＷ内の非ＩＰ装置（例えば、家電装置やセンサ装置など）の処理及び制御をユーザ宅内のＨＧＷに実行させず、インターネットを介して接続されたクラウド側でプロトコル変換などを実行させる技術が開示されている。かかる技術は、上述した構成により、ＨＮＷに提供されるＨＧＷの機能や性能に関するリソースを容易に拡充することができ、ＨＮＷに対して種々のサービスを提供することができる。

高橋英一郎、松倉隆一、角田潤「クラウド指向ホームＩＣＴサービスを実現するスマートセンシングプラットフォーム」、信学技報 IEICE Technical Report ICM２０１１−１０（２０１１−０７）

しかしながら、上述した従来技術では、ユーザがＨＮＷを十分に利用できない場合があった。

そこで、本願に係る技術は、上述した従来技術の問題に鑑みてなされたものであって、ユーザがＨＮＷを十分に利用することを可能にすることを目的とする。

上述した課題を解決し、目的を達成するため、本願に係るネットワークシステムは、例えば、第１の外部ネットワークと通信可能な、第１のネットワーク内の第１の通信制御装置と、少なくとも第２の外部ネットワークと通信可能な、第２のネットワーク内の第２の通信制御装置とを備えるネットワークシステムであって、前記第１の通信制御装置は、前記第１のネットワーク内の機器が前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、前記第１のネットワーク内の機器が前記第２のネットワーク内の機器または前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第２の通信制御装置との間に設定した仮想的な通信路を介して中継し、前記第２の通信制御装置は、前記第２のネットワーク内の機器が前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、前記第２のネットワーク内の機器が前記第１のネットワーク内の機器または前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第１の通信制御装置との間に設定した前記通信路を介して中継することを特徴とする。

本発明によれば、ユーザがＨＮＷを十分に活用することができる。

図１は、第１の実施形態におけるネットワークシステムの構成の一例を示すシステム構成図である。 図２は、第１の実施形態における通信制御装置の機能構成の一例を示すブロック図である。 図３は、第１の実施形態における通信制御装置のハードウェア構成の一例を概念的に示す図である。 図４は、第１の実施形態において通信制御装置によって転送される通信データの経路の一例をまとめた表である。 図５は、第１の実施形態における通信制御装置の機能構成の一例を示すブロック図である。 図６は、第１の実施形態における通信制御装置のハードウェア構成の一例を概念的に示す図である。 図７は、第１の実施形態において通信制御装置によって転送される通信データの経路の一例をまとめた表である。 図８は、第１の実施形態において、ＲＨＮＷ内の機器およびＶＨＮＷ内の機器が通信を行う場合の通信データの流れを説明するための概念図である。 図９は、第１の実施形態において、ＲＨＮＷ内の機器がＩＰｖ４インターネットを介して通信を行う場合の通信データの流れを説明するための概念図である。 図１０は、第１の実施形態において、ＶＨＮＷ内の機器がＩＰｖ６インターネットを介して通信を行う場合の通信データの流れを説明するための概念図である。 図１１は、複数のＲＨＮＷをｉＤＣに設けられたＮＡＰＴで集約する構成の一例を説明するための概念図である。 図１２は、第２の実施形態における通信制御装置のハードウェア構成の一例を概念的に示す図である。 図１３は、第２の実施形態において、ＲＨＮＷ内の機器がＩＰｖ４およびＩＰｖ６インターネットを介して通信を行う場合の通信データの流れを説明するための概念図である。 図１４は、第３の実施形態における通信制御装置のハードウェア構成の一例を概念的に示す図である。 図１５は、第３の実施形態において通信制御装置によって転送される通信データの経路の一例をまとめた表である。 図１６は、第３の実施形態における通信制御装置のハードウェア構成の一例を概念的に示す図である。 図１７は、第３の実施形態において通信制御装置によって転送される通信データの経路の一例をまとめた表である。 図１８は、第４の実施形態における通信制御装置のハードウェア構成の一例を概念的に示す図である。 図１９は、第４の実施形態においてＳＤＮ−ＳＷに設定されるフローテーブルの一例を示す図である。 図２０は、第４の実施形態において通信制御装置によって転送される通信データの経路の一例をまとめた表である。 図２１は、第４の実施形態における通信制御装置のハードウェア構成の一例を概念的に示す図である。 図２２は、第４の実施形態においてＳＤＮ−ＳＷに設定されるフローテーブルの一例を示す図である。 図２３は、第４の実施形態において通信制御装置によって転送される通信データの経路の一例をまとめた表である。 図２４は、第５の実施形態における通信制御装置の機能構成の一例を示すブロック図である。 図２５は、第５の実施形態において通信制御装置によって転送される通信データの経路の一例をまとめた表である。 図２６は、第５の実施形態における通信制御装置の機能構成の一例を示すブロック図である。 図２７は、第５の実施形態において通信制御装置によって転送される通信データの経路の一例をまとめた表である。 図２８は、第５の実施形態において、ＲＨＮＷ内の機器からＩＰｖ６インターネットへ送信される通信データの流れを説明するための概念図である。 図２９は、第５の実施形態において、ＩＰｖ６インターネットからＲＨＮＷ内の機器へ送信される通信データの流れを説明するための概念図である。 図３０は、第６の実施形態における通信制御装置のハードウェア構成の一例を概念的に示す図である。 図３１は、第６の実施形態においてＳＤＮ−ＳＷに設定されるフローテーブルの一例を示す図である。 図３２は、第６の実施形態において通信制御装置によって転送される通信データの経路の一例をまとめた表である。 図３３は、第６の実施形態における通信制御装置のハードウェア構成の一例を概念的に示す図である。 図３４は、第６の実施形態においてＳＤＮ−ＳＷに設定されるフローテーブルの一例を示す図である。 図３５は、第６の実施形態において通信制御装置によって転送される通信データの経路の一例をまとめた表である。

（第１の実施形態）
まず、本発明の第１の実施形態について、図面を参照しながら説明する。

図１は、第１の実施形態におけるネットワークシステム１の構成の一例を示すシステム構成図である。ネットワークシステム１は、例えば図１に示すように、ユーザ宅内に構築されたホームネットワーク（ＲＨＮＷ：Real Home Network）２と、データセンタ（ＤＣ：Data Center）１３内に設けられた複数のＶＨＮＷ（Virtual Home Network）３−１，２，３・・・とを有する。

ＤＣ１３内に設けられたそれぞれのＶＨＮＷ３は、それぞれのユーザ宅毎に構築される。ユーザ宅のＲＨＮＷ２に設けられたＨＧＷ２２は、ＩＰｖ６インターネットＧＷの機能を有し、ＩＰｖ６のアクセス網１０を介して、当該ユーザ宅に割り当てられたＶＨＮＷ３内のＶＨＧＷ（Virtual Home Gateway）３２と接続される。それぞれのＶＨＮＷ３内のＶＨＧＷ３２は、ＩＰｖ４インターネットＧＷの機能を有する。また、それぞれのＶＨＮＷ３内のＶＨＧＷ３２は、ＩＰｖ６インターネットＧＷの機能、または、ＩＰｖ６アクセス網との間で通信を行う機能のうち、少なくともいずれかの機能を有する。

ＲＨＮＷ２には、ＨＧＷ２２の他、通信制御装置２００および１つ以上の機器２１（機器２１−１，２）が接続される。それぞれの機器２１−１や２は、例えばエアコンや、テレビ、ＰＣ等の情報家電機器である。また、それぞれのＶＨＮＷ３には、ＶＨＧＷ３２の他、通信制御装置３００および１つ以上の機器３１が接続される。機器３１は、例えば、仮想ストレージサーバや、ＲＨＮＷ２内のそれぞれの機器２１の動作を管理する仮想アプリケーションサーバ等である。

ＤＣ１３内に設けられている機器３１は、仮想化技術を用いて、物理的な計算機リソースが各ユーザに割り当てられることにより実現される。そのため、ユーザの要求があった場合、計算機リソースの増減や機能の追加等は、ＤＣ１３内に設けられた豊富な物理リソースを用いて容易に行うことができる。

また、ＲＨＮＷ２内の通信制御装置２００と、対応するＶＨＮＷ３内の通信制御装置３００とは、対向する終端装置として仮想的な通信路１１を設定する。当該仮想的な通信路１１は、例えばＬ２−ＶＰＮ（Layer 2 − Virtual Private Network）の技術を用いて設定される。ＲＨＮＷ２とＶＨＮＷ３とが、通信制御装置２００および通信制御装置３００を介して、レイヤ２でトンネル接続されることにより、ＲＨＮＷ２とＶＨＮＷ３とが同一セグメントに属することになる。これにより、ユーザ宅内のＲＨＮＷ２と、遠隔拠点にあるＤＣ１３内のＶＨＮＷ３とは、同一セグメントのＨＮＷ１００として利用することができる。

また、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１とが通信する場合、その通信データはアクセス網１０やインターネット網を通過することになる。アクセス網１０やインターネット網は、オープンネットワークである場合があるため、通信データがアクセス網１０やインターネット網を通過する場合、漏えいや改ざん等のセキュリティ上の脅威にさらされる。そこで、本実施形態におけるネットワークシステム１では、ＲＨＮＷ２とＶＨＮＷ３の間に、通信制御装置２００および通信制御装置３００を終端とするＶＰＮを設定し、ＶＰＮを介して通信データを送受信する。これにより、アクセス網１０やインターネット網を介して構築されたＨＮＷ１００内の通信のセキュリティを高めることができる。

なお、通信制御装置２００は、例えばレイヤ２トンネルを終端するために１つのＩＰｖ６アドレスを持つ以外は、レイヤ２スイッチおよびパケットフィルタとして動作する。また、通信制御装置２００はＩＰｖ６を用いてレイヤ２トンネル通信を行うと同時に、ＲＨＮＷ２およびＤＣ１３内のＶＨＮＷ３のＭＡＣ（Media Access Control layer）層ブロードキャストドメイン内にある機器とＩＰｖ６インターネット間の通信をレイヤ２スイッチとして通過させる。これにより、ＭＡＣ層ブロードキャストドメイン内にある機器等が、ＲＨＮＷ２内のＨＧＷ２２経由でＩＰｖ６インターネットと通信することが可能となる。

また、通信制御装置２００は、ＨＧＷ２２とＭＡＣ層ブロードキャストドメイン内にある機器等との間のＩＰｖ４による通信を遮断し、ＩＰｖ４インターネットの通信がＲＨＮＷ２内のＨＧＷ２２経由で行われることを防ぐ。これにより、ＩＰｖ４インターネットとの通信は、ＤＣ１３内のＶＨＮＷ３に設けられたＶＨＧＷ３２経由で行われる。

次に、ＲＨＮＷ２内に設けられた通信制御装置２００の詳細について説明する。図２は、第１の実施形態における通信制御装置２００の機能構成の一例を示すブロック図である。本実施形態における通信制御装置２００は、例えば図２に示すように、ＬＡＮ通信部２０１、トンネリング処理部２０２、判別部２０３、転送処理部２０４、およびＷＡＮ通信部２０５を有する。

ＬＡＮ通信部２０１は、ＲＨＮＷ２内の機器２１から通信データを受信した場合に、受信した通信データを転送処理部２０４へ送る。また、ＬＡＮ通信部２０１は、転送処理部２０４から通信データを受け取った場合に、受け取った通信データをＲＨＮＷ２内の機器２１へ送信する。

ＷＡＮ通信部２０５は、トンネリング処理部２０２または転送処理部２０４から通信データを受け取った場合に、受け取った通信データをＨＧＷ２２へ送信する。また、ＷＡＮ通信部２０５は、ＨＧＷ２２から通信データを受信した場合に、受信した通信データがカプセル化されていれば、当該通信データをトンネリング処理部２０２へ送る。一方、受信した通信データがカプセル化されていなければ、ＷＡＮ通信部２０５は、受信した通信データを転送処理部２０４へ送る。

判別部２０３は、転送処理部２０４が通信データを受け取った場合に、当該通信データのヘッダに含まれている情報を判別し、当該通信データのカプセル化またはデカプセル化の必要性の有無および出力先を判断する。

トンネリング処理部２０２は、ＷＡＮ通信部２０５からカプセル化された通信データを受け取った場合に、当該通信データについてデカプセル化し、デカプセル化した通信データを転送処理部２０４へ送る。また、転送処理部２０４からカプセル化されていない通信データを受け取った場合、トンネリング処理部２０２は、当該通信データについてカプセル化の処理を施し、処理後の通信データをＷＡＮ通信部２０５へ送る。

なお、本実施形態において、トンネリング処理部２０２は、カプセル化の処理に加えて暗号化の処理を行い、デカプセル化の処理に加えて復号化の処理も行う。これにより、本実施形態のトンネリング処理部２０２は、対向する通信制御装置３００との間でＬ２−ＶＰＮの通信路１１を設定する。

転送処理部２０４は、ＬＡＮ通信部２０１またはＷＡＮ通信部２０５から通信データを受け取った場合に、判別部２０３によってカプセル化が必要と判断されていれば、当該通信データをトンネリング処理部２０２へ送る。一方、ＬＡＮ通信部２０１またはＷＡＮ通信部２０５から受け取った通信データについて、判別部２０３によってカプセル化が不要と判断されていれば、転送処理部２０４は、当該通信データをＬＡＮ通信部２０１またはＷＡＮ通信部２０５のうち、判別部２０３が判断した出力先へ送る。転送処理部２０４は、トンネリング処理部２０２から通信データを受け取った場合に、受け取った通信データを、ＬＡＮ通信部２０１またはＷＡＮ通信部２０５のうち、判別部２０３が決定した出力先へ送る。

図３は、第１の実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置２００は、Ｌ２−ＶＰＮ処理部２１０、Ｂｒｉｄｇｅ２１１、Ｅｔｈ０、Ｅｔｈ１、およびＥｔｈ２を有する。Ｂｒｉｄｇｅ２１１はソフトウェアスイッチ、Ｅｔｈ０〜２は物理ネットワークインターフェイスであり、Ｔａｐ０は、Ｂｒｉｄｇｅ２１１に設けられる仮想的なインターフェイスである。

なお、ＬＡＮ通信部２０１の機能は、例えばＥｔｈ２により実現され、トンネリング処理部２０２の機能は、例えばＬ２−ＶＰＮ処理部２１０により実現され、判別部２０３および転送処理部２０４の機能は、例えばＢｒｉｄｇｅ２１１により実現され、ＷＡＮ通信部２０５の機能は、例えばＥｔｈ０およびＥｔｈ１により実現される。

Ｅｔｈ２は、ＲＨＮＷ２内のＬＡＮにケーブル等を介して接続される物理インターフェイスである。Ｅｔｈ０およびＥｔｈ１は、ケーブル等を介してＨＧＷ２２に接続される物理インターフェイスである。また、Ｅｔｈ０には、アクセス網１０やインターネット網で用いられるＩＰｖ６グローバルアドレスが割り当てられ、アクセス網１０やインターネット網を介して受信する通信データの中で、当該アドレス宛て以外の通信データを遮断するＩＰフィルタリングの機能が設けられる。また、Ｅｔｈ１には、ＩＰｖ４の通信データを全て遮断するＩＰフィルタリングの機能が設けられる。

なお、本実施形態において、通信制御装置２００は、ＨＧＷ２２に接続されるＷＡＮ側のインターフェイスとして２つの物理的なインターフェイス（Ｅｔｈ０およびＥｔｈ１）を有するが、本発明はこれに限られず、Ｅｔｈ０およびＥｔｈ１の機能を１つの仮想スイッチで構成して、１つの物理インターフェイスでＨＧＷ２２に接続されてもよい。

Ｌ２−ＶＰＮ処理部２１０は、対向する通信制御装置３００内のＬ２−ＶＰＮ装置との間でＬ２−ＶＰＮの通信路１１を設定する。なお、Ｅｔｈ０には、ＨＧＷ２２のＲＡ（Router Advertisement）等から取得したＩＰｖ６グローバルアドレスが割り当てられ、Ｌ２−ＶＰＮ処理部２１０は、このアドレスを用いて、対向する通信制御装置３００内のＬ２−ＶＰＮ装置との間で設定されたＬ２−ＶＰＮの通信路１１を終端する。

Ｌ２−ＶＰＮ処理部２１０の具体的な処理としては、例えば、Ｔａｐ０を介して通信データを受け付けた場合に、Ｌ２−ＶＰＮ処理部２１０は、受け付けた通信データについてカプセル化および暗号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部２１０は、カプセル化および暗号化の処理を行った通信データを、Ｅｔｈ０を介してＨＧＷ２２へ送信する。また、Ｌ２−ＶＰＮ処理部２１０は、Ｅｔｈ０を介して通信データを受け付けた場合に、受け付けた通信データについてデカプセル化および復号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部２１０は、デカプセル化および復号化の処理を行った通信データを、Ｔａｐ０を介してＢｒｉｄｇｅ２１１へ送る。

なお、本実施形態において、Ｌ２−ＶＰＮ処理部２１０はブリッジモードで動作し、ＩＰルーティングは行わない。また、Ｌ２−ＶＰＮ処理部２１０は、Ｌ２−ＶＰＮの手順に従ってレイヤ２トンネルを設定した後、Ｔａｐ０に到着したイーサネット（登録商標）フレームを全てカプセル化してＤＣ１３側の対向Ｌ２−ＶＰＮ装置へ転送する。また、Ｌ２−ＶＰＮ処理部２１０は、ＤＣ１３側の対向Ｌ２−ＶＰＮ装置から届いたパケットからイーサネットフレームを取り出し、Ｔａｐ０へ転送する。また、Ｂｒｉｄｇｅ２１１は、レイヤ２スイッチとして機能し、ＭＡＣアドレスを学習してイーサネットフレームの転送を行う。

図４は、第１の実施形態において通信制御装置２００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置２００が有するＢｒｉｄｇｅ２１１のＭＡＣアドレス学習機能、および、Ｅｔｈ１のＩＰフィルタリング機能により、通信データは、例えば図４に示すような経路で転送される。なお、図４において、入力ポートにある「Ｔａｐ＊（Ｅｔｈ＊）」の記載は、Ｅｔｈ＊を介して受信した通信データが、Ｔａｐ＊から入力されることを示しており、出力ポートにある「Ｔａｐ＊（Ｅｔｈ＊）」の記載は、Ｔａｐ＊から出力した通信データが、Ｅｔｈ＊を介して送信されることを示している。

例えば、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＥｔｈ２から出力する。図４の１行目には、このときの転送経路が示されている。図４の１行目は、例えばＲＨＮＷ２内の機器２１同士の通信における通信データの転送経路を示している。

また、宛先ＭＡＣアドレスが「ＨＧＷ２２」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＥｔｈ１から出力する。図４の２行目には、このときの転送経路が示されている。図４の２行目は、例えばＲＨＮＷ２内の機器２１とＨＧＷ２２との通信、または、ＲＨＮＷ２内の機器２１によるＨＧＷ２２を介したＩＰｖ６インターネット通信における通信データの転送経路を示している。

また、宛先ＭＡＣアドレスが「機器３１」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ０から出力する。図４の４行目には、このときの転送経路が示されている。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化が施され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。図４の４行目は、例えばＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との同一セグメント内通信における通信データの転送経路を示している。

また、宛先ＭＡＣアドレスが「ＶＨＧＷ３２」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ０から出力する。図４の６行目には、このときの転送経路が示されている。図４の６行目は、例えばＲＨＮＷ２内の機器２１とＶＨＮＷ３内のＶＨＧＷ３２との通信、または、ＲＨＮＷ２内の機器２１による、ＶＨＮＷ３内のＶＨＧＷ３２を介したＩＰｖ４インターネット通信における通信データの転送経路を示している。なお、本実施形態では、ＲＨＮＷ２内の機器２１によるＩＰｖ４インターネット通信は、ＲＨＮＷ２内のＨＧＷ２２ではなく、ＶＨＮＷ３内のＶＨＧＷ３２を経由して行われる。

また、宛先ＭＡＣアドレスが「機器３１」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ０から出力する。図４の８行目には、このときの転送経路が示されている。図４の８行目は、例えばＶＨＮＷ３内の機器３１とＲＨＮＷ２内のＨＧＷ２２との通信、または、ＶＨＮＷ３内の機器３１による、ＲＨＮＷ２内のＨＧＷ２２を介したＩＰｖ６インターネット通信における通信データの転送経路を示している。なお、本実施形態では、ＶＨＮＷ３内の機器３１によるＩＰｖ６インターネット通信は、ＶＨＮＷ３内のＶＨＧＷ３２ではなく、ＲＨＮＷ２内のＨＧＷ２２を経由して行われる。

なお、Ｂｒｉｄｇｅ２１１は、宛先ＭＡＣアドレスがＭＡＣアドレステーブルにない通信データに対しては、ＭＡＣアドレス学習をして適切なインターフェイスから出力する。その他の通信経路を制御するため、例えば、Ｂｒｉｄｇｅ２１１は、ＩＰｖ６アドレスを持たないＷＡＮ側のインターフェイス（Ｅｔｈ１）において、インバウンド／アウトバウンド双方向のＩＰｖ４トラフィックやアウトバンドからのＡＲＰを全てドロップする。また、Ｂｒｉｄｇｅ２１１は、ＩＰｖ６フィルタ機能を用いて、Ｅｔｈ０をＭＡＣアドレスのソースとするイーサフレーム全てをＥｔｈ１でドロップする。これにより、通信データは図４に記載のような経路をとるよう制御されることとなる。

なお、通信制御装置２００は、トンネル終端アドレスをＨＧＷ２２からのＲＡによるＩＰｖ６ステートレスアドレス自動設定または静的設定によって取得する。トンネル終端アドレスはＲＨＮＷ２内の他のＩＰｖ６機器が取得するＩＰｖ６アドレスの同じプレフィクスを持つ（すなわち同じサブネットに属する）。

また、トンネル終端アドレスからのパケットがＨＧＷ２２のＬＡＮ側のレイヤ２スイッチを経由して通信制御装置２００のＩＰｖ６アドレスを持たないＷＡＮ側のインターフェース（Ｅｔｈ１）に入るとループが発生するため、当該インタフェース（Ｅｔｈ１）において送信元のＭＡＣアドレスがＥｔｈ０であるトラフィック全てをフィルタリングしてループを防止する。

また、本実施形態のネットワークシステム１では、ＩＰｖ４およびＩＰｖ６アドレスを用いて通信を行う機器２１はＲＨＮＷ２内においては全て通信制御装置２００のＬＡＮ側インタフェース（Ｅｔｈ２）に接続されなければならない。もしＨＧＷ２２のＬＡＮ側インターフェイスと通信制御装置２００のＥｔｈ１との間に機器２１が接続された場合には、その機器２１は、ＤＨＣＰでＩＰｖ４アドレスが払出されないため、ＩＰｖ４通信を行うことができなくなる。また、ＲＨＮＷ２内の機器２１は、ＶＨＮＷ３内にあるＶＨＧＷ３２からのレイヤ２トンネルを経由するＤＨＣＰアドレス自動設定または静的設定によって、ＩＰｖ４アドレスを取得する。以上の通り説明した、各インターフェイスでのフィルタリングは、Ｂｒｉｄｇｅ２１１ではなく直接各インターフェイスに設定されるものであってもよい。

次に、ＶＨＮＷ３内に設けられた通信制御装置３００の詳細について説明する。図５は、第１の実施形態における通信制御装置３００の機能構成の一例を示すブロック図である。本実施形態における通信制御装置３００は、例えば図５に示すように、ＬＡＮ通信部３０１、トンネリング処理部３０２、判別部３０３、転送処理部３０４、およびＷＡＮ通信部３０５を有する。

ＬＡＮ通信部３０１は、ＶＨＮＷ３内の機器３１から通信データを受信した場合に、受信した通信データを転送処理部３０４へ送る。また、ＬＡＮ通信部３０１は、転送処理部３０４から通信データを受け取った場合に、受け取った通信データをＶＨＮＷ３内の機器３１へ送信する。

ＷＡＮ通信部３０５は、トンネリング処理部３０２または転送処理部３０４から通信データを受け取った場合に、受け取った通信データをＶＨＧＷ３２へ送信する。また、ＷＡＮ通信部３０５は、ＶＨＧＷ３２から通信データを受信した場合に、受信した通信データがカプセル化されていれば、当該通信データをトンネリング処理部３０２へ送る。一方、受信した通信データがカプセル化されていなければ、ＷＡＮ通信部３０５は、受信した通信データを転送処理部３０４へ送る。

判別部３０３は、転送処理部３０４が通信データを受け取った場合に、当該通信データのヘッダに含まれている情報を判別し、当該通信データのカプセル化またはデカプセル化の必要性の有無および出力先を判断する。

トンネリング処理部３０２は、ＷＡＮ通信部３０５からカプセル化された通信データを受け取った場合に、当該通信データについてデカプセル化し、デカプセル化した通信データを転送処理部３０４へ送る。また、転送処理部３０４からカプセル化されていない通信データを受け取った場合、トンネリング処理部３０２は、当該通信データについてカプセル化の処理を施し、処理後の通信データをＷＡＮ通信部３０５へ送る。

なお、本実施形態において、トンネリング処理部３０２は、カプセル化の処理に加えて暗号化の処理を行い、デカプセル化の処理に加えて復号化の処理も行う。これにより、本実施形態のトンネリング処理部３０２は、対向する通信制御装置２００内のトンネリング処理部２０２との間でＬ２−ＶＰＮの通信路１１を設定する。

転送処理部３０４は、ＬＡＮ通信部３０１またはＷＡＮ通信部３０５から通信データを受け取った場合に、判別部３０３によってカプセル化が必要と判断されていれば、当該通信データをトンネリング処理部３０２へ送る。一方、ＬＡＮ通信部３０１またはＷＡＮ通信部３０５から受け取った通信データについて、判別部３０３によってカプセル化が不要と判断されていれば、転送処理部３０４は、当該通信データをＬＡＮ通信部３０１またはＷＡＮ通信部３０５のうち、判別部３０３が判断した出力先へ送る。転送処理部３０４は、トンネリング処理部３０２から通信データを受け取った場合に、受け取った通信データを、ＬＡＮ通信部３０１またはＷＡＮ通信部３０５のうち、判別部３０３が決定した出力先へ送る。

図６は、第１の実施形態における通信制御装置３００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置３００は、Ｌ２−ＶＰＮ処理部３１０、Ｂｒｉｄｇｅ３１１、Ｅｔｈ００、Ｅｔｈ０１、およびＥｔｈ０２を有する。Ｔａｐ００は、Ｂｒｉｄｇｅ３１１に設けられた仮想的なインターフェイスである。また、Ｅｔｈ００には、アクセス網１０やインターネット網で用いられるＩＰｖ６グローバルアドレスが割り当てられ、アクセス網１０やインターネット網を介して受信する通信データの中で、当該アドレス宛て以外の通信データを遮断するＩＰフィルタリングの機能が設けられる。また、Ｅｔｈ０１には、ＩＰｖ６の通信データを全て遮断するＩＰフィルタリングの機能が設けられる。

なお、ＬＡＮ通信部３０１の機能は、例えばＥｔｈ０２により実現され、トンネリング処理部３０２の機能は、例えばＬ２−ＶＰＮ処理部３１０により実現され、判別部３０３および転送処理部３０４の機能は、例えばＢｒｉｄｇｅ３１１により実現され、ＷＡＮ通信部３０５の機能は、例えばＥｔｈ００およびＥｔｈ０１により実現される。

Ｅｔｈ０２は、ＶＨＮＷ３内のＬＡＮにケーブル等を介して接続される物理インターフェイスである。Ｅｔｈ００およびＥｔｈ０１は、ケーブル等を介してＶＨＧＷ３２に接続される物理インターフェイスである。

Ｌ２−ＶＰＮ処理部３１０は、対向する通信制御装置２００内のＬ２−ＶＰＮ処理部２１０との間でＬ２−ＶＰＮの通信路１１を設定する。なお、Ｅｔｈ００には、ＶＨＧＷ３２のＲＡ等から取得したＩＰｖ６グローバルアドレスが割り当てられ、Ｌ２−ＶＰＮ処理部３１０は、このアドレスを用いて、対向するＬ２−ＶＰＮ処理部２１０との間で設定したＬ２−ＶＰＮの通信路１１を終端する。

Ｌ２−ＶＰＮ処理部３１０の具体的な処理としては、例えば、Ｔａｐ００を介して通信データを受け付けた場合に、受け付けた通信データについてカプセル化および暗号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部３１０は、カプセル化および暗号化の処理を行った通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送信する。また、Ｌ２−ＶＰＮ処理部３１０は、Ｅｔｈ００を介して通信データを受け付けた場合に、受け付けた通信データについてデカプセル化および復号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部３１０は、デカプセル化および復号化の処理を行った通信データを、Ｔａｐ００を介してＢｒｉｄｇｅ３１１へ送る。

なお、本実施形態において、Ｌ２−ＶＰＮ処理部３１０はブリッジモードで動作し、ＩＰルーティングは行わない。また、Ｌ２−ＶＰＮ処理部３１０は、トンネル終端アドレスへのパケットのみをリスンし、Ｌ２−ＶＰＮの手順に従ってレイヤ２トンネルを設定した後、Ｔａｐ００に到着したイーサネットフレームを全てカプセル化してＲＨＮＷ２側のＬ２−ＶＰＮ処理部２１０へ転送する。また、Ｌ２−ＶＰＮ処理部３１０は、ＲＨＮＷ２側のＬ２−ＶＰＮ処理部２１０から届いたパケットからイーサネットフレームを取り出し、Ｔａｐ００へ転送する。

図７は、第１の実施形態において通信制御装置３００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置３００が有するＢｒｉｄｇｅ３１１のＭＡＣアドレス学習機能、および、Ｅｔｈ０１のＩＰフィルタリング機能により、通信データは、例えば図７に示すような経路で転送される。なお、図７において、入力ポートにある「Ｔａｐ＊＊（Ｅｔｈ＊＊）」の記載は、Ｅｔｈ＊＊を介して受信した通信データが、Ｔａｐ＊＊から入力されることを示しており、出力ポートにある「Ｔａｐ＊＊（Ｅｔｈ＊＊）」の記載は、Ｔａｐ＊＊から出力した通信データが、Ｅｔｈ＊＊を介して送信されることを示している。

例えば、宛先ＭＡＣアドレスが「機器３１」であれば、Ｂｒｉｄｇｅ３１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＥｔｈ０２から出力する。図７の１行目には、このときの転送経路が示されている。図７の１行目は、例えばＶＨＮＷ３内の機器３１同士の通信における通信データの転送経路を示している。

また、宛先ＭＡＣアドレスが「ＶＨＧＷ３２」であれば、Ｂｒｉｄｇｅ３１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＥｔｈ０１から出力する。図７の２行目には、このときの転送経路が示されている。図７の２行目は、例えばＶＨＮＷ３内の機器３１とＶＨＧＷ３２との通信、または、ＶＨＮＷ３内の機器３１によるＶＨＧＷ３２を介したＩＰｖ４インターネット通信における通信データの転送経路を示している。

また、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ３１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ００へ出力する。図７の４行目には、このときの転送経路が示されている。Ｔａｐ００へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化が施され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。図７の４行目は、例えばＶＨＮＷ３内の機器３１とＲＨＮＷ２内の機器２１との同一セグメント内通信における通信データの転送経路を示している。

また、宛先ＭＡＣアドレスが「ＨＧＷ２２」であれば、Ｂｒｉｄｇｅ３１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ００へ出力する。図７の６行目には、このときの転送経路が示されている。図７の６行目は、例えばＶＨＮＷ３内の機器３１とＲＨＮＷ２内のＨＧＷ２２との通信、または、ＶＨＮＷ３内の機器３１による、ＲＨＮＷ２内のＨＧＷ２２を介したＩＰｖ６インターネット通信における通信データの転送経路を示している。

また、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ３１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ００へ出力する。図７の８行目には、このときの転送経路が示されている。図７の８行目は、例えばＲＨＮＷ２内の機器２１とＶＨＮＷ３内のＶＨＧＷ３２との通信、または、ＲＨＮＷ２内の機器２１による、ＶＨＮＷ３内のＶＨＧＷ３２を介したＩＰｖ４インターネット通信における通信データの転送経路を示している。

なお、Ｂｒｉｄｇｅ３１１は、宛先ＭＡＣアドレスがＭＡＣアドレステーブルにない通信データに対しては、ＭＡＣアドレス学習をして適切なインターフェイスから出力する。その他の通信経路を制御するため、Ｂｒｉｄｇｅ３１１は、例えば、ＩＰｖ６アドレスを持たないＷＡＮ側のインターフェイス（Ｅｔｈ０１）において、インバウンド／アウトバウンド双方向のＩＰｖ６トラフィックやアウトバンドからのＡＲＰを全てドロップする。また、Ｂｒｉｄｇｅ３１１は、フィルタ機能を用いて、Ｅｔｈ００をＭＡＣアドレスのソースとするイーサフレーム全てをＥｔｈ０１でドロップする。これにより、通信データは図７に記載のような経路をとるよう制御されることとなる。

上記説明から明らかなように、Ｂｒｉｄｇｅ３１１は、レイヤ２スイッチとして機能し、ＬＡＮ側インターフェイス（Ｅｔｈ０２）に接続した機器３１からのＲＨＮＷ２やＩＰｖ６インターネットとの間の通信データを、レイヤ２トンネル経由で、対向するＲＨＮＷ２内のＬ２−ＶＰＮ処理部２１０へ転送する。

図８は、第１の実施形態において、ＲＨＮＷ２内の機器２１およびＶＨＮＷ３内の機器３１が通信を行う場合の通信データの流れを説明するための概念図である。図８では、特に、ＲＨＮＷ２内の機器２１がＩＰｖ６インターネットを介して通信を行う場合と、ＶＨＮＷ３内の機器３１がＩＰｖ４インターネットを介して通信を行う場合と、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１とが通信路１１を介して通信を行う場合とがそれぞれ示されている。

なお、図８には４種類のＩＰアドレスを区別するために別々の記号が図示されている。ただし、同一の記号が付された機器のアドレスについては、プレフィックスは同じであるが、アドレス自体は異なっている。

ＲＨＮＷ２内の機器２１がＩＰｖ６インターネットを介して通信を行う場合は、例えば図８に示すように、通信制御装置２００は、機器２１から送信された通信データを、ＨＧＷ２２およびアクセス網１０を介してＩＰｖ６インターネットへ送信する。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の２行目に示されている。

また、ＨＧＷ２２およびアクセス網１０を介してＩＰｖ６インターネットから通信データを受信した場合、通信制御装置２００は、受信した通信データを機器２１へ送信する。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の３行目に示されている。

また、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１とが通信路１１を介して通信を行う場合、通信制御装置２００は、機器２１から送信された通信データを、通信制御装置３００との間でアクセス網１０上に設定しているＬ２−ＶＰＮの通信路１１を介して通信制御装置３００へ送信する。通信制御装置３００は、通信路１１を介して受信した通信データを機器３１へ送る。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の４行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の５行目に示されている。

また、通信制御装置３００は、機器３１から送信された通信データを、通信路１１を介して通信制御装置２００へ送信する。通信制御装置２００は、通信路１１を介して受信した通信データを機器２１へ送る。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の５行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の４行目に示されている。

また、ＶＨＮＷ３内の機器３１がＩＰｖ４インターネットを介して通信を行う場合、通信制御装置３００は、機器３１から送信された通信データを、ＶＨＧＷ３２およびアクセス網１０を介してＩＰｖ４インターネットへ送信する。この場合のＢｒｉｄｇｅ３１１の制御は、図７に示した表の２行目に示されている。

また、ＶＨＧＷ３２およびアクセス網１０を介してＩＰｖ４インターネットから通信データを受信した場合、通信制御装置３００は、受信した通信データを機器３１へ送信する。この場合のＢｒｉｄｇｅ３１１の制御は、図７に示した表の３行目に示されている。

図９は、第１の実施形態において、ＲＨＮＷ２内の機器２１がＩＰｖ４インターネットを介して通信を行う場合の通信データの流れを説明するための概念図である。

通信制御装置２００は、機器２１から送信された通信データを、通信制御装置３００との間でアクセス網１０上に設定している通信路１１を介して通信制御装置３００へ送信する。通信制御装置３００は、通信路１１を介して受信した通信データを、ＶＨＧＷ３２およびアクセス網１０を介してＩＰｖ４インターネットへ送信する。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の６行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の９行目に示されている。

また、ＶＨＧＷ３２およびアクセス網１０を介してＩＰｖ４インターネットから通信データを受信した場合、通信制御装置３００は、受信した通信データを、通信路１１を介して通信制御装置２００へ送信する。通信制御装置２００は、通信路１１を介して受信した通信データを機器２１へ送る。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の７行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の８行目に示されている。

図１０は、第１の実施形態において、ＶＨＮＷ３内の機器３１がＩＰｖ６インターネットを介して通信を行う場合の通信データの流れを説明するための概念図である。

通信制御装置３００は、機器３１から送信された通信データを、通信制御装置２００との間でアクセス網１０上に設定しているＬ２−ＶＰＮの通信路１１を介して通信制御装置２００へ送信する。通信制御装置２００は、通信路１１を介して受信した通信データを、ＨＧＷ２２およびアクセス網１０を介してＩＰｖ６インターネットへ送信する。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の９行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の６行目に示されている。

また、ＨＧＷ２２およびアクセス網１０を介してＩＰｖ６インターネットから通信データを受信した場合、通信制御装置２００は、受信した通信データを、通信路１１を介して通信制御装置３００へ送信する。通信制御装置３００は、通信路１１を介して受信した通信データを機器３１へ送る。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の８行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の７行目に示されている。なお、通信路１１はインターネット網を介して構築されるものであってもよい。

また、第１の実施形態におけるネットワークシステム１の他の例として、ネットワークシステム１は、例えば図１１のように構成されてもよい。図１１は、複数のＲＨＮＷ２をｉＤＣ（インターネットデータセンタ）に設けられたＮＡＰＴで集約する構成の一例を説明するための概念図である。ネットワークシステム１は、例えば図１１に示すように、ＤＣ１３側のＶＨＮＷ３をユーザ毎に作成し、ＩＰｖ４ＮＡＰＴの機能（大規模ＮＡＴの機能）をユーザ間で共用するようにしてもよい。また、この場合、ＮＡＴ装置とＶＰＮ装置とは別個に構成されることになる。なお、図１１中のｖＳｗｉｔｃｈは例えば仮想スイッチのことである。

以上、本発明の第１の実施形態について説明した。

上記説明から明らかなように、本実施形態のネットワークシステム１によれば、ユーザがＨＮＷ１００を十分に活用することができる。

（第２の実施形態）
次に、本発明の第２の実施形態について、図面を参照しながら説明する。第１の実施形態におけるネットワークシステム１では、ＲＨＮＷ２内の機器２１およびＶＨＮＷ３内の機器３１と、ＩＰｖ６インターネットとの通信は、ＲＨＮＷ２内のＨＧＷ２２を経由し、ＩＰｖ４インターネットとの通信は、ＶＨＮＷ３内のＶＨＧＷ３２を経由して行われるが、本実施形態におけるネットワークシステム１では、ＩＰｖ６インターネットとの通信、および、ＩＰｖ４インターネットとの通信のいずれも、ＶＨＮＷ３内のＶＨＧＷ３２を経由して行われる点が異なる。つまり、ＲＨＮＷ２およびＶＨＮＷ３は、ＶＨＧＷ３２からＩＰｖ４アドレスおよびＩＰｖ６プレフィックスを受けることとなる。

図１２は、第２の実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置２００は、Ｌ２−ＶＰＮ処理部２１０、Ｂｒｉｄｇｅ２１１、Ｅｔｈ０、およびＥｔｈ２を有する。なお、本実施形態における通信制御装置３００については、以下に説明する点を除き、図６に示した第１の実施形態における通信制御装置３００と同様の構成であるため、説明を省略する。

図１３は、第２の実施形態において、ＲＨＮＷ２内の機器２１がＩＰｖ４およびＩＰｖ６インターネットを介して通信を行う場合の通信データの流れを説明するための概念図である。

本実施形態のネットワークシステム１では、まず、機器２１が、ＩＰｖ６インターネットへの通信データ（例えば、送信元ＭＡＣアドレスが「機器２１」であり、かつ、宛先ＭＡＣアドレスが「ＶＨＧＷ３２」である通信データ）を通信制御装置２００へ送る。通信制御装置２００のＢｒｉｄｇｅ２１１は、Ｅｔｈ２を介してＩＰｖ６インターネットへの通信データを機器２１から受け取り、受け取った通信データをＴａｐ０からＬ２−ＶＰＮ処理部２１０へ送る。

Ｌ２−ＶＰＮ処理部２１０は、Ｔａｐ０を介して受け取った通信データを、カプセル化および暗号化してＥｔｈ０を介してＨＧＷ２２へ送る。ＨＧＷ２２は、通信制御装置２００から受け取った通信データを、アクセス網１０やインターネット網上にＬ２−ＶＰＮ処理部２１０とＬ２−ＶＰＮ処理部３１０との間に設定された通信路１１を介してＶＨＧＷ３２へ送信する。

ＶＨＧＷ３２は、通信路１１を介してＨＧＷ２２から通信データを受信し、受信した通信データを通信制御装置３００へ送る。通信制御装置３００のＬ２−ＶＰＮ処理部３１０は、Ｅｔｈ００を介してＶＨＧＷ３２から受け取った通信データについてデカプセル化および復号化の処理を施して、Ｔａｐ００からＢｒｉｄｇｅ３１１へ送る。Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介して受け取った通信データを、Ｅｔｈ０１を介してＶＨＧＷ３２へ送る。ＶＨＧＷ３２は、通信制御装置３００から受け取った通信データをＩＰｖ６インターネットへ送信する。

また、ＶＨＧＷ３２は、ＩＰｖ６インターネットを介して機器２１宛の通信データを受信した場合に、受信した通信データの送信元ＭＡＣアドレスを「ＶＨＧＷ３２」とし、宛先ＭＡＣアドレスを「機器２１」として通信制御装置３００へ送る。通信制御装置３００のＢｒｉｄｇｅ３１１は、Ｅｔｈ０１を介してＶＨＧＷ３２から受け取った通信データを、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０へ送る。

Ｌ２−ＶＰＮ処理部３１０は、Ｔａｐ００を介して受け取った通信データに、カプセル化および暗号化の処理を施して、Ｅｔｈ００を介してＶＨＧＷ３２へ送る。ＶＨＧＷ３２は、通信制御装置３００から受け取った通信データを、通信路１１を介してＨＧＷ２２へ送信する。

ＨＧＷ２２は、通信路１１を介してＶＨＧＷ３２から通信データを受信し、受信した通信データを通信制御装置２００へ送る。通信制御装置２００のＬ２−ＶＰＮ処理部２１０は、Ｅｔｈ０を介してＨＧＷ２２から受け取った通信データについてデカプセル化および復号化の処理を施して、Ｔａｐ０からＢｒｉｄｇｅ２１１へ送る。Ｂｒｉｄｇｅ２１１は、Ｔａｐ０を介して受け取った通信データを、Ｅｔｈ２を介して機器２１へ送る。

以上、本発明の第２の実施形態について説明した。

（第３の実施形態）
次に、本発明の第３の実施形態について、図面を参照しながら説明する。第１の実施形態におけるネットワークシステム１では、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との間で送受信される通信データ、ＲＨＮＷ２内の機器２１とＩＰｖ４インターネットとの間で送受信される通信データ、および、ＶＨＮＷ３内の機器３１とＩＰｖ６インターネットとの間で送受信される通信データのいずれもが、Ｌ２−ＶＰＮ処理部２１０およびＬ２−ＶＰＮ処理部３１０の間に設定されたＬ２−ＶＰＮの通信路１１を介してやり取りされる。

それに対し、本実施形態のネットワークシステム１では、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との間で送受信される通信データについては、Ｌ２−ＶＰＮ処理部２１０およびＬ２−ＶＰＮ処理部３１０の間に設定されたＬ２−ＶＰＮの通信路１１を介してやり取りされるが、ＲＨＮＷ２内の機器２１とＩＰｖ４インターネットとの間で送受信される通信データ、および、ＶＨＮＷ３内の機器３１とＩＰｖ６インターネットとの間で送受信される通信データについては、暗号化を行わないもう１つの通信路１２を介してやり取りされる点が第１の実施形態とは異なる。

図１４は、第３の実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置２００は、Ｌ２−ＶＰＮ処理部２１０、Ｂｒｉｄｇｅ２１１、カプセリング処理部２１２、Ｅｔｈ０、Ｅｔｈ１、およびＥｔｈ２を有する。Ｔａｐ０およびＴａｐ１は、Ｂｒｉｄｇｅ２１１に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図１４において、図３と同じ符号を付した構成は、図３における構成と同一または同様の機能を有するため説明を省略する。

カプセリング処理部２１２は、Ｔａｐ１を介してＢｒｉｄｇｅ２１１から受け取った通信データをカプセル化し、カプセル化した通信データを、Ｅｔｈ０を介してＨＧＷ２２へ送る。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。また、カプセリング処理部２１２は、Ｅｔｈ０を介してＨＧＷ２２から受け取った通信データをデカプセル化し、デカプセル化した通信データを、Ｔａｐ１を介してＢｒｉｄｇｅ２１１へ送る。カプセリング処理部２１２は、通信データの暗号化の処理は行わない。

本実施形態におけるＢｒｉｄｇｅ２１１は、通信データの宛先ＭＡＣアドレスがＶＨＮＷ３内の「機器３１」または「ＶＨＧＷ３２」である場合に、ＭＡＣアドレス学習機能やＩＰフィルタにより、Ｅｔｈ０を介して通信データをＶＨＮＷ３へ送信するが、その際、送信元または宛先のＩＰアドレスに基づいて、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０にカプセル化および暗号化させるか、Ｔａｐ１を介してカプセリング処理部２１２にカプセル化させるかを判別する。

例えば、Ｅｔｈ２側からの通信データであって（このような通信データの送信元ＩＰアドレスはＨＮＷ１００の内部のアドレスである）、通信データの宛先ＭＡＣアドレスがＶＨＮＷ３内の「機器３１」である場合、Ｂｒｉｄｇｅ２１１は、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０に通信データをカプセル化および暗号化させる。一方、通信データの送信元ＩＰアドレスがＨＮＷ１００の外部のアドレスである場合、Ｂｒｉｄｇｅ２１１は、Ｔａｐ１を介してカプセリング処理部２１２に通信データをカプセル化させる。

また、例えば、通信データの宛先ＭＡＣアドレスがＶＨＮＷ３内の「ＶＨＧＷ３２」あり、かつ、通信データの宛先ＩＰアドレスがＨＮＷ１００の内部のアドレス、つまりＶＨＧＷ３２のＩＰアドレスである場合、Ｂｒｉｄｇｅ２１１は、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０に通信データをカプセル化および暗号化させる。一方、通信データの宛先ＩＰアドレスがＨＮＷ１００の外部のアドレスである場合、Ｂｒｉｄｇｅ２１１は、Ｔａｐ１を介してカプセリング処理部２１２に通信データをカプセル化させる。

図１５は、第３の実施形態において通信制御装置２００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置２００が有するＢｒｉｄｇｅ２１１のＭＡＣアドレス学習機能、並びに、Ｔａｐ０、Ｔａｐ１、およびＥｔｈ１のＩＰフィルタリング機能により、通信データは、例えば図１５に示すような経路で転送される。

例えば、Ｅｔｈ２側からの通信データであって（このような通信データの送信元ＩＰアドレスは内部アドレスである）、宛先ＭＡＣアドレスが「機器３１」であれば、Ｂｒｉｄｇｅ２１１は、Ｔａｐ０へ通信データを出力する。図１５の４行目には、このときの転送経路が示されている。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。図１５の４行目は、例えばＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との同一セグメント内通信における通信データの転送経路を示している。

また、宛先ＭＡＣアドレスが「ＶＨＧＷ３２」であり、かつ、通信データの宛先ＩＰアドレスが内部アドレス、つまりＶＨＧＷ３２のＩＰアドレスである場合、Ｂｒｉｄｇｅ２１１は、Ｔａｐ０へ通信データを出力する。図１５の６行目には、このときの転送経路が示されている。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。図１５の６行目は、例えばＲＨＮＷ２内の機器２１とＶＨＧＷ３２との通信における通信データの転送経路を示している。

また、通信データの宛先ＩＰアドレスが外部アドレスであれば、Ｂｒｉｄｇｅ２１１は、Ｔａｐ１へ通信データを出力する。図１５の７行目には、このときの転送経路が示されている。Ｔａｐ１へ出力された通信データは、カプセリング処理部２１２によりカプセル化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。図１５の７行目は、例えばＲＨＮＷ２内の機器２１がＩＰｖ４インターネット通信における通信データの転送経路を示している。

また、Ｅｔｈ１側からの通信データであって（このような通信データの送信元ＭＡＣアドレスはＨＧＷ２２のＭＡＣアドレスである）、宛先ＭＡＣアドレスが「機器３１」であり、かつ、通信データの送信元ＩＰアドレスが内部アドレス、つまりＨＧＷ２２のＩＰアドレスであれば、Ｂｒｉｄｇｅ２１１は、Ｔａｐ０へ通信データを出力する。図１５の１０行目には、このときの転送経路が示されている。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。図１５の１０行目は、例えばＨＧＷ２２とＶＨＮＷ３内の機器３１との通信における通信データの転送経路を示している。

また、通信データの送信元ＩＰアドレスが外部アドレスであれば、Ｂｒｉｄｇｅ２１１は、Ｔａｐ１へ通信データを出力する。図１５の１０行目には、このときの転送経路が示されている。Ｔａｐ１へ出力された通信データは、カプセリング処理部２１２によりカプセル化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。図１５の１１行目は、例えばＶＨＮＷ３内の機器３１がＩＰｖ６インターネット通信における通信データの転送経路を示している。

Ｂｒｉｄｇｅ２１１は、図１５に示したように通信データの経路を制御する結果、Ｔａｐ０において、同一セグメントのＨＮＷ１００内の通信を通過させ、外部ＮＷとの通信（ＲＨＮＷ２とＩＰｖ４インターネットとの通信やＶＨＮＷ３とＩＰｖ６インターネットとの通信）を遮断する。また、Ｂｒｉｄｇｅ２１１は、Ｔａｐ１において、同一セグメントのＨＮＷ１００内の通信を遮断し、外部ＮＷとの通信を通過させる。

なお、同一セグメントのＨＮＷ１００内の通信とは、例えば、ＭＡＣアドレス学習済みの宛先ＭＡＣアドレス宛ての通信、宛先ＩＰアドレスがプライベートＩＰアドレスの通信、宛先ＩＰアドレスがリンクローカルアドレスの通信、宛先ＩＰアドレスが同一セグメントＮＷ内のプレフィックスである通信が考えられる。また、その他の通信としては、例えば、マルチキャストアドレス、ブロードキャストアドレス、Windows（登録商標）が搭載するAutoIP機能で割当てられたアドレス「169.254.0.0〜169.254.255.255」が宛先となる通信、SSDP等のように、宛先ＩＰアドレスが「239.255.255.255」であり、宛先ポート番号が1900番のマルチキャスト通信等が考えられる。

図１６は、第３の実施形態における通信制御装置３００のハードウェア構成の一例を概念的に示す。ＶＨＮＷ３は、Ｌ２−ＶＰＮ処理部３１０、Ｂｒｉｄｇｅ３１１、カプセリング処理部３１２、Ｅｔｈ００、Ｅｔｈ０１、およびＥｔｈ０２を有する。Ｔａｐ００およびＴａｐ０１は、Ｂｒｉｄｇｅ３１１に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図１６において、図６と同じ符号を付した構成は、図６における構成と同一または同様の機能を有するため説明を省略する。

カプセリング処理部３１２は、Ｔａｐ０１を介してＢｒｉｄｇｅ３１１から受け取った通信データをカプセル化し、カプセル化した通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送る。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。また、カプセリング処理部３１２は、Ｅｔｈ００を介してＶＨＧＷ３２から受け取った通信データをデカプセル化し、デカプセル化した通信データを、Ｔａｐ０１を介してＢｒｉｄｇｅ３１１へ送る。カプセリング処理部３１２は、通信データの暗号化の処理は行わない。

本実施形態におけるＢｒｉｄｇｅ３１１は、通信データの宛先ＭＡＣアドレスがＲＨＮＷ２内の「機器２１」または「ＨＧＷ２２」である場合に、ＭＡＣアドレス学習機能やＩＰフィルタにより、Ｅｔｈ００を介して通信データをＲＨＮＷ２へ送信するが、その際、送信元または宛先のＩＰアドレスに基づいて、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０にカプセル化および暗号化させるか、Ｔａｐ０１を介してカプセリング処理部３１２にカプセル化させるかを判別する。

例えば、Ｅｔｈ０２側からの通信データであって（このような通信データの送信元ＩＰアドレスはＨＮＷ１００の内部のアドレスである）、通信データの宛先ＭＡＣアドレスがＲＨＮＷ２内の「機器２１」ある場合、Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０に通信データをカプセル化および暗号化させる。一方、通信データの送信元ＩＰアドレスがＨＮＷ１００の外部のアドレスである場合、Ｂｒｉｄｇｅ３１１は、Ｔａｐ０１を介してカプセリング処理部３１２に通信データをカプセル化させる。

また、例えば、通信データの宛先ＭＡＣアドレスがＲＨＮＷ２内の「ＨＧＷ２２」あり、かつ、通信データの宛先ＩＰアドレスがＨＮＷ１００の内部のアドレス、つまりＨＧＷ２２のＩＰアドレスである場合、Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０に通信データをカプセル化および暗号化させる。一方、通信データの宛先ＩＰアドレスがＨＮＷ１００の外部のアドレスである場合、Ｂｒｉｄｇｅ３１１は、Ｔａｐ０１を介してカプセリング処理部３１２に通信データをカプセル化させる。

図１７は、第３の実施形態において通信制御装置３００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置３００が有するＢｒｉｄｇｅ３１１は、のＭＡＣアドレス学習機能、並びに、Ｔａｐ００、Ｔａｐ０１、およびＥｔｈ０１のＩＰフィルタリング機能により、通信データは、例えば図１７に示すような経路で転送される。

例えば、Ｅｔｈ０２側からの通信データであって（このような通信データの送信元ＩＰアドレスは内部アドレスである）、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ３１１は、当該通信データをＴａｐ００へ出力する。図１７の４行目には、このときの転送経路が示されている。Ｔａｐ００へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。図１７の４行目は、例えばＶＨＮＷ３内の機器３１とＲＨＮＷ２内の機器２１との同一セグメント内通信における通信データの転送経路を示している。

また、宛先ＭＡＣアドレスが「ＨＧＷ２２」であり、かつ、通信データの宛先ＩＰアドレスが内部アドレス、つまりＨＧＷ２２のＩＰアドレスである場合、Ｂｒｉｄｇｅ３１１は、当該通信データをＴａｐ００へ出力する。図１７の６行目には、このときの転送経路が示されている。Ｔａｐ００へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。図１７の６行目は、例えばＶＨＮＷ３内の機器３１とＨＧＷ２２との通信における通信データの転送経路を示している。

また、通信データの宛先ＩＰアドレスが外部アドレスであれば、Ｂｒｉｄｇｅ３１１は、当該通信データをＴａｐ０１へ出力する。図１７の７行目には、このときの転送経路が示されている。Ｔａｐ０１へ出力された通信データは、カプセリング処理部３１２によりカプセル化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。図１７の７行目は、例えばＶＨＮＷ３内の機器３１がＩＰｖ６インターネット通信における通信データの転送経路を示している。

また、Ｅｔｈ０２側からの通信データであって（このような通信データの送信元ＩＰアドレスは内部アドレスである）、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ３１１は、当該通信データをＴａｐ００へ出力する。図１７の１０行目には、このときの転送経路が示されている。Ｔａｐ００へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。図１７の１０行目は、例えばＶＨＧＷ３２とＲＨＮＷ２内の機器２１との通信における通信データの転送経路を示している。

また、通信データの送信元ＩＰアドレスが外部アドレスであれば、Ｂｒｉｄｇｅ３１１は、当該通信データをＴａｐ０１へ出力する。図１７の１１行目には、このときの転送経路が示されている。Ｔａｐ０１へ出力された通信データは、カプセリング処理部３１２によりカプセル化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。図１７の１１行目は、例えばＲＨＮＷ２内の機器２１がＩＰｖ４インターネット通信における通信データの転送経路を示している。

ここで、ＩＰｖ４またはＩＰｖ６インターネットとの通信データについては、もともとオープンネットワークを介してやり取りされる通信データであるため、ＨＮＷ１００内を通過するときだけ秘匿化する必要はない。そのため、本実施形態における通信制御装置２００および通信制御装置３００は、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との間の通信については、Ｌ２−ＶＰＮの通信路１１を介して通信データを送受信することでセキュリティを保つ一方、ＩＰｖ４またはＩＰｖ６インターネットとの通信データについては、暗号化を行わずにカプセル化された通信データを通信路１２を介して送受信する。

これにより、本実施形態のネットワークシステム１は、通信データの過度な秘匿化を防止することで、通信制御装置２００や通信制御装置３００の処理負荷を軽減することができると共に、通信帯域の低下を抑えることができる。

以上、本発明の第３の実施形態について説明した。

（第４の実施形態）
次に、本発明の第４の実施形態について、図面を参照しながら説明する。本実施形態では、第３の実施形態における通信制御装置２００および通信制御装置３００の一部の機能を、OpenFlow（参考：http://www.openflow.org/）等のＳＤＮ（Software-Defined Network）を用いて実現している点が異なる。

図１８は、第４の実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置２００は、Ｌ２−ＶＰＮ処理部２１０、カプセリング処理部２１２、ＳＤＮ−ＳＷ２１３、Ｅｔｈ０、Ｅｔｈ１、およびＥｔｈ２を有する。ｐｏｒｔ１〜４は、ＳＤＮ−ＳＷ２１３に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図１８において、図１４と同じ符号を付した構成は、図１４における構成と同一または同様の機能を有するため説明を省略する。また、例えば、直接接続されているＥｔｈ１とＰｏｒｔ１や、Ｅｔｈ２とＰｏｒｔ２は、それぞれ１つのインターフェイスとして扱ってもよい。なお、ＳＤＮ−ＳＷとは、ＳＤＮに対応したスイッチのことであり、例えば、ＯｐｅｎＦｌｏｗを適用する場合は、ＯｐｅｎＦｌｏｗに対応したスイッチが用いられる。

Ｌ２−ＶＰＮ処理部２１０は、ｐｏｒｔ３を介して通信データを受け付けた場合に、受け付けた通信データについてカプセル化および暗号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部２１０は、カプセル化および暗号化の処理を行った通信データを、Ｅｔｈ０を介してＨＧＷ２２へ送信する。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。また、Ｌ２−ＶＰＮ処理部２１０は、Ｅｔｈ０を介して通信データを受け付けた場合に、受け付けた通信データについてデカプセル化および復号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部２１０は、デカプセル化および復号化の処理を行った通信データを、ｐｏｒｔ３を介してＳＤＮ−ＳＷ２１３へ送る。

カプセリング処理部２１２は、ｐｏｒｔ４を介してＳＤＮ−ＳＷ２１３から受け取った通信データをカプセル化し、カプセル化した通信データを、Ｅｔｈ０を介してＨＧＷ２２へ送る。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。また、カプセリング処理部２１２は、Ｅｔｈ０を介してＨＧＷ２２から受け取った通信データをデカプセル化し、デカプセル化した通信データを、ｐｏｒｔ４を介してＳＤＮ−ＳＷ２１３へ送る。

図１９は、第４の実施形態においてＳＤＮ−ＳＷ２１３に設定されるフローテーブルの一例を示す。本実施形態において、図１９に例示したフローテーブルは、例えばＤＣ１３内に設けられたＳＤＮコントローラから配布される。ＳＤＮ−ＳＷ２１３は、ＳＤＮコントローラから配布されたフローテーブルに従って通信データを制御する。また、このフローテーブルによる制御の他にＭＡＣアドレス学習に相当するフローテーブルをＳＤＮコントローラに適宜問合せて配布されることを前提とする。

例えば、図１９に示したフローテーブルの４行目には、ｐｏｒｔ２を介してＥｔｈ２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「機器３１」または宛先ＩＰアドレスが同一セグメント内のアドレスであれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ３へ出力する制御が示されている。Ｐｏｒｔ３へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。これは、例えばＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との同一セグメント内通信の制御を示している。

また、フローテーブルの６行目には、ｐｏｒｔ２を介してＥｔｈ２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「ＶＨＧＷ３２」であり、かつ、宛先ＩＰアドレスがＨＮＷ１００の内部のアドレス（すなわちＶＨＧＷ３２のアドレス）であれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ３へ出力する制御が示されている。ｐｏｒｔ３へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。これは、例えばＲＨＮＷ２内の機器２１とＶＨＧＷ３２との通信の制御を示している。

また、フローテーブルの７行目には、ｐｏｒｔ２を介してＥｔｈ２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「ＶＨＧＷ３２」であり、かつ、宛先ＩＰアドレスがＨＮＷ１００の外部のアドレスであれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ４へ出力する制御が示されている。ｐｏｒｔ４へ出力された通信データは、カプセリング処理部２１２によりカプセル化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。これは、例えばＲＨＮＷ２内の機器２１がＩＰｖ４インターネット通信を行う場合の制御を示している。

また、フローテーブルの９行目には、ｐｏｒｔ１を介してＥｔｈ１から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「機器３１」であり、かつ、送信元ＩＰアドレスがＨＮＷ１００の内部のアドレス（すなわちＨＧＷ２２のアドレス）であれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ３へ出力する制御が示されている。ｐｏｒｔ３へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。これは、例えばＨＧＷ２２とＶＨＮＷ３内の機器３１との通信の制御を示している。

また、フローテーブルの１０行目には、ｐｏｒｔ１を介してＥｔｈ１から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「機器３１」であり、かつ、送信元ＩＰアドレスがＨＮＷ１００の外部のアドレスであれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ４へ出力する制御が示されている。ｐｏｒｔ４へ出力された通信データは、カプセリング処理部２１２によりカプセル化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。これは、例えばＶＨＮＷ３内の機器３１がＩＰｖ６インターネット通信を行う場合の制御を示している。

なお、ＳＤＮ−ＳＷ２１３は、フローテーブルに記載されている情報に該当しない通信データについては、対処方法を、例えばＲＨＮＷ２やＶＨＮＷ３内に設けられたＳＤＮコントローラに問い合わせ、必要に応じてフローテーブルを取得するようにしてもよい。または、そのような通信データについては、ドロップするよう明示的に制御するフローテーブルを、初期段階で、または必要に応じて、設定してもよい。

図２０は、第４の実施形態において通信制御装置２００によって転送される通信データの経路の一例をまとめた表である。ＳＤＮ−ＳＷ２１３が、図１９に示したフローテーブルに従って通信データの経路を制御することにより、通信データは例えば図２０に示すような経路で転送されることになる。

図２１は、第４の実施形態における通信制御装置３００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置３００は、Ｌ２−ＶＰＮ処理部３１０、カプセリング処理部３１２、ＳＤＮ−ＳＷ３１３、Ｅｔｈ００、Ｅｔｈ０１、およびＥｔｈ０２を有する。ｐｏｒｔ０１〜０４は、ＳＤＮ−ＳＷ３１３に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図２１において、図１６と同じ符号を付した構成は、図１６における構成と同一または同様の機能を有するため説明を省略する。

Ｌ２−ＶＰＮ処理部３１０は、ｐｏｒｔ０３を介して通信データを受け付けた場合に、受け付けた通信データについてカプセル化および暗号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部３１０は、カプセル化および暗号化の処理を行った通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送信する。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。また、Ｌ２−ＶＰＮ処理部３１０は、Ｅｔｈ００を介して通信データを受け付けた場合に、受け付けた通信データについてデカプセル化および復号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部３１０は、デカプセル化および復号化の処理を行った通信データを、ｐｏｒｔ０３を介してＳＤＮ−ＳＷ３１３へ送る。

カプセリング処理部３１２は、ｐｏｒｔ０４を介してＳＤＮ−ＳＷ３１３から受け取った通信データをカプセル化し、カプセル化した通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送る。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。また、カプセリング処理部３１２は、Ｅｔｈ００を介してＶＨＧＷ３２から受け取った通信データをデカプセル化し、デカプセル化した通信データを、ｐｏｒｔ０４を介してＳＤＮ−ＳＷ３１３へ送る。

図２２は、第４の実施形態においてＳＤＮ−ＳＷ３１３に設定されるフローテーブルの一例を示す。本実施形態において、図２２に例示したフローテーブルは、例えばＤＣ１３内に設けられたＳＤＮコントローラから配布される。ＳＤＮ−ＳＷ３１３は、ＳＤＮコントローラから配布されたフローテーブルに従って通信データを制御する。

例えば、図２２に示したフローテーブルの４行目には、ｐｏｒｔ０２を介してＥｔｈ０２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「機器２１」または宛先ＩＰアドレスが同一セグメント内のアドレスであれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０３へ出力する制御が示されている。ｐｏｒｔ０３へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。これは、例えばＶＨＮＷ３内の機器３１とＲＨＮＷ２内の機器２１との同一セグメント内通信の制御を示している。

また、フローテーブルの６行目には、ｐｏｒｔ０２を介してＥｔｈ０２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「ＨＧＷ２２」であり、かつ、宛先ＩＰアドレスがＨＮＷ１００の内部のアドレス（すなわちＨＧＷ２２のアドレス）であれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０３へ出力する制御が示されている。ｐｏｒｔ０３へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。これは、例えばＶＨＮＷ３内の機器３１とＨＧＷ２２との通信の制御を示している。

また、フローテーブルの７行目には、ｐｏｒｔ０２を介してＥｔｈ０２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「ＨＧＷ２２」であり、かつ、宛先ＩＰアドレスがＨＮＷ１００の外部のアドレスであれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０４へ出力する制御が示されている。ｐｏｒｔ０４へ出力された通信データは、カプセリング処理部３１２によりカプセル化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。これは、例えばＶＨＮＷ３内の機器３１がＩＰｖ６インターネット通信を行う場合の制御を示している。

また、フローテーブルの９行目には、ｐｏｒｔ０１を介してＥｔｈ０１から受け取った通信データの宛先ＭＡＣアドレスが「機器２１」であり、かつ、送信元ＩＰアドレスがＨＮＷ１００の内部のアドレス（すなわちＶＨＧＷ３２のアドレス）であれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０３へ出力する制御が示されている。ｐｏｒｔ０３へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。これは、例えばＶＨＧＷ３２とＲＨＮＷ２内の機器２１との通信の制御を示している。

また、フローテーブルの１０行目には、ｐｏｒｔ０１を介してＥｔｈ０１から受け取った通信データの送信元ＭＡＣアドレスが「ＶＨＧＷ３２」であり、かつ、宛先ＭＡＣアドレスが「機器２１」であり、かつ、送信元ＩＰアドレスがＨＮＷ１００の外部のアドレスであれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０４へ出力する制御が示されている。ｐｏｒｔ０４へ出力された通信データは、カプセリング処理部３１２によりカプセル化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。これは、例えばＲＨＮＷ２内の機器２１がＩＰｖ４インターネット通信を行う場合の制御を示している。

なお、ＳＤＮ−ＳＷ３１３は、フローテーブルに記載されている情報に該当しない通信データについては、対処方法を、例えばＲＨＮＷ２やＶＨＮＷ３内に設けられたＳＤＮコントローラに問い合わせ、必要に応じてフローテーブルを取得するようにしてもよい。または、そのような通信データについては、ドロップするよう明示的に制御するフローテーブルを、初期段階で、または必要に応じて、設定してもよい。

図２３は、第４の実施形態において通信制御装置３００によって転送される通信データの経路の一例をまとめた表である。ＳＤＮ−ＳＷ３１３が、図２２に示したフローテーブルに従って通信データの経路を制御することにより、通信データは例えば図２３に示すような経路で転送されることになる。

上記した第４の実施形態では、通信路１１および通信路１２のいずれかを介して、ＲＨＮＷ２内の通信機器とＶＨＮＷ３内の通信機器との間の通信データが転送されるが、本発明はこれに限られず、１つの通信路を介してＲＨＮＷ２内の通信機器とＶＨＮＷ３内の通信機器との間の通信データが転送されるようにしてもよい。例えば、通信路をＬ２−ＶＰＮの通信路１１のみとする場合、通信制御装置２００では入力ポートおよび出力ポートに設定されているｐｏｒｔ４をｐｏｒｔ３に置き換えればよく、通信制御装置３００では入力ポートおよび出力ポートに設定されているｐｏｒｔ０４をｐｏｒｔ０３に置き換えればよい。これにより、第１の実施形態に示した構成をＳＤＮにより実現することができる。

以上、本発明の第４の実施形態について説明した。

（第５の実施形態）
次に、本発明の第５の実施形態について、図面を参照しながら説明する。本実施形態におけるネットワークシステム１と、第１の実施形態におけるネットワークシステム１とは、主に以下の点が異なる。すなわち、本実施形態における通信制御装置３００には、ＶＨＮＷ３内を流れる通信データについて、セキュリティ上の脅威があるか否かを判定するセキュリティチェック、またはさらにセキュリティ上の脅威があると判定した場合に脅威の駆除を行う機能が設けられる。また、本実施形態の通信制御装置２００には、ＶＨＮＷ３を介さずにＲＨＮＷ２内でやり取りされる通信データについて、セキュリティチェックが必要か否かを判定する機能が設けられる。そして、通信制御装置２００によってセキュリティチェックが必要と判定された通信データについては、一旦ＶＨＮＷ３内で通信制御装置３００によってセキュリティチェックが行われる。

図２４は、第５の実施形態における通信制御装置２００の機能構成の一例を示すブロック図である。本実施形態における通信制御装置２００は、例えば図２４に示すように、ＬＡＮ通信部２０１、トンネリング処理部２０２、判別部２０３、転送処理部２０４、ＷＡＮ通信部２０５、および判定部２０６を有する。なお、以下に説明する点を除き、図２４において、図２と同じ符号を付した構成は、図２における構成と同一または同様の機能を有するため説明を省略する。

判定部２０６は、転送処理部２０４から受け取った通信データに含まれている情報に基づいてセキュリティチェックを行う必要のある通信データか否かを判定する。判定部２０６は、例えば、レイヤ１〜４程度の情報に基づいてセキュリティチェックを行う必要がある通信データか否かを判定する。ここでは、少なくとも通常はＶＨＮＷ３を経由しないＲＨＮＷ２内の通信データまたはＲＨＮＷ２とＩＰｖ６インターネットの間の通信データを特定して、判定部２０５に判定させる。その他の通信データについては、判定部２０５の判定を省略してもよい。

具体的には、通信制御装置２００内のメモリに予め保存されている、ＩＰアドレスやポート番号等のホワイト・ブラック・グレーリスト等の情報と、通信データのヘッダ内の情報とを突き合わせることにより、判定部２０６は、セキュリティチェックの要否を判定する。例えば、判定部２０６は、通信データの送信元や送信先などの情報が、メモリに保存されているホワイトリストに該当する場合には、セキュリティチェックが不要と判定する。また、判定部２０６は、通信データの送信元や送信先などの情報が、メモリに保存されているメモリに保存されているホワイトリストに該当しない場合や、メモリに保存されているグレーリストに該当する場合には、セキュリティチェックが必要と判定する。なお、通信データの送信元や送信先などの情報が、メモリに保存されているブラックリストに該当する場合には、判定部２０６は、その時点で通信データを破棄してもよい。

セキュリティ上の脅威があるか否かを判定するセキュリティチェックでは、ペイロードの中身を解析する必要がある場合があり、高い処理能力が必要となる。そのため、通信制御装置２００では、セキュリティチェックが必要か否かを判定する簡易な処理にとどめ、処理負荷の軽減を図っている。

判定部２０６は、セキュリティチェックが不要と判定した通信データについては、転送処理部２０４へ返す。また、セキュリティチェックが必要と判定した通信データについては、通信データのヘッダ等にフラグを埋め込み、トンネリング処理部２０２へ渡す。つまり、このフラグは通常の転送処理による出力先への転送とは異なる出力先へ転送する通信データであることを示すものでもある。

本実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す図は、例えば図３と同様である。判定部２０６の機能は、例えばＢｒｉｄｇｅ２１１に組み込まれている、または接続されている図示しないアプリケーションにより実現されるが以下ではこのアプリケーションをＢｒｉｄｇｅ２１１と表記して説明する。

本実施形態におけるＢｒｉｄｇｅ２１１は、ＶＨＮＷ３を通過しない通信データについて、セキュリティチェックを行う必要があるか否かを判定する。そして、セキュリティチェックを行う必要があると判定した場合、Ｂｒｉｄｇｅ２１１は、通信データに所定のフラグを埋め込む。そして、Ｂｒｉｄｇｅ２１１は、フラグを埋め込んだ通信データを、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０へ送る。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮの通信路１１を介して通信データをＶＨＮＷ３内の通信制御装置３００へ送信する。

そして、ＶＨＮＷ３内の通信制御装置３００によってセキュリティ上の脅威があるか否かが判定され、セキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データは、再び通信路１１を介してＥｔｈ０からＬ２−ＶＰＮ処理部２１０へ戻される。Ｌ２−ＶＰＮ処理部２１０は、戻ってきた通信データをデカプセル化および復号化してＴａｐ０を介してＢｒｉｄｇｅ２１１へ送る。Ｂｒｉｄｇｅ２１１は、セキュリティ上の脅威がないと判定された、あるいは、セキュリティ上の脅威が取り除かれた通信データを、本来の送信先へ転送する。

図２５は、第５の実施形態において通信制御装置２００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置２００が有するＢｒｉｄｇｅ２１１のＭＡＣアドレス学習機能、および、Ｅｔｈ１のＩＰフィルタリング機能により、通信データは、例えば図２５に示すような経路で転送される。なお、セキュリティチェックの要否判断に基づく制御は、図２５の１〜９行目の制御である。１０〜１６行目までの制御は、図４に示した制御と同様であるため、その説明は省略する。

例えば、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データの出力ポートをＥｔｈ２と判別する。そして、Ｂｒｉｄｇｅ２１１は、通信データのセキュリティチェックが不要と判定すれば、通信データをＥｔｈ２から出力する。図２５の１行目には、この場合の転送経路が示されている。図２５の１行目は、例えばＲＨＮＷ２内の機器２１同士で送受信される通信データについて、セキュリティチェックが不要と判定された場合の通信データの転送経路を示している。

一方、通信データのセキュリティチェックが必要と判定すれば、Ｂｒｉｄｇｅ２１１は、通信データをＴａｐ０へ出力する。図２５の２行目には、この場合の転送経路が示されている。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化が施され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。図２５の２行目は、例えばＲＨＮＷ２内の機器２１同士で送受信される通信データについて、セキュリティチェックが必要と判定された場合の通信データの転送経路を示している。

また、図２５の３行目には、ＶＨＮＷ３内の通信制御装置３００によってセキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データの転送経路が示されている。

また、図２５の４〜６行目には、ＲＨＮＷ２内の機器２１からＨＧＷ２２へ送信される通信データにおいて、セキュリティチェックが不要と判断された通信データ、セキュリティチェックが必要と判定された通信データ、通信制御装置３００によってセキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データの転送経路がそれぞれ示されている。

また、図２５の７〜９行目には、ＨＧＷ２２からＲＨＮＷ２内の機器２１へ送信される通信データにおいて、セキュリティチェックが不要と判断された通信データ、セキュリティチェックが必要と判定された通信データ、通信制御装置３００によってセキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データの転送経路がそれぞれ示されている。

図２６は、第５の実施形態における通信制御装置３００の機能構成の一例を示すブロック図である。本実施形態における通信制御装置３００は、例えば図２６に示すように、ＬＡＮ通信部３０１、トンネリング処理部３０２、判別部３０３、転送処理部３０４、ＷＡＮ通信部３０５、およびセキュリティチェック部３０６を有する。なお、以下に説明する点を除き、図２６において、図５と同じ符号を付した構成は、図５における構成と同一または同様の機能を有するため説明を省略する。

セキュリティチェック部３０６は、転送処理部３０４から受け取った通信データに含まれている情報に基づいてセキュリティ上の脅威があるか否かを判定するセキュリティチェックを行う。セキュリティチェック部３０６は、例えば、レイヤ１〜７までの全てのレイヤを対象としてチェックする。上位レイヤの解析には、例えばＩＰＳ（Intrusion Prevention System）、ＳＰＩ（Stateful Packet Inspection）やＷＡＦ（Web Application Firewall）、ＤＰＩ（Deep Packet Inspection）などの技術を適用することができる。この場合、通信制御装置３００に割り当てられた記憶領域には、ＳＰＩ、ＷＡＦ、ＤＰＩ等に必要なパターン情報やウィルス・マルウェア定義パターンなどを記憶しておく。

セキュリティチェック部３０６は、セキュリティチェックの結果、異常なしと判定した場合、通信データに含まれているフラグを削除してＲＨＮＷ２に返す。一方、セキュリティチェックの結果、異常ありと判定した場合、セキュリティチェック部３０６は、セキュリティ処理を施してセキュリティ上の脅威を取り除き、異常なしと判定される通信データにして通信を継続するか、あるいは、その時点で通信データを破棄したり、その通信データの送信元からの受信を拒否するように設定する命令を所定のＦＷ（FireWall）、例えばＲＨＧＷ２２やＶＨＧＷ３２内のＦＷに通知する等の処理を行う。

本実施形態における通信制御装置３００のハードウェア構成の一例を概念的に示す図は、例えば図６と同様である。セキュリティチェック部３０６の機能は、例えばＢｒｉｄｇｅ３１１に組み込まれている、または接続されている図示しないアプリケーションにより実現される。もしくは、通信制御装置３００の外部の図示しない装置上で動作するものであってもよい。

図２７は、第５の実施形態において通信制御装置３００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置２００が有するＢｒｉｄｇｅ３１１のＭＡＣアドレス学習機能、および、Ｅｔｈ０１のＩＰフィルタリング機能により、通信データは、例えば図２７に示すような経路で転送される。

例えば、宛先ＭＡＣアドレスが「機器３１」であり、かつ、セキュリティチェックの結果「異常なし」と判定された通信データ（セキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データ）であれば、Ｂｒｉｄｇｅ３１１は、当該通信データをＥｔｈ０２へ出力する。図２７の１行目には、このときの転送経路が示されている。図２７の１行目は、例えば、ＶＨＮＷ３内の機器３１同士で送受信される通信データにおいて、セキュリティチェックの結果が「異常なし」となった場合の通信データの転送経路を示している。

また、図２７の２〜３行目には、ＶＨＮＷ３内の機器３１がＶＨＧＷ３２との間で送受信する通信データにおいて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。また、図２７の４〜５行目には、ＶＨＮＷ３内の機器３１とＲＨＮＷ２内の機器２１との間で送受信される通信データにおいて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。

また、図２７の６〜７行目には、ＶＨＮＷ３内の機器３１がＲＨＮＷ２内のＨＧＷ２２との間で送受信する通信データにおいて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。また、図２７の８〜９行目には、ＲＨＮＷ２内の機器２１がＶＨＧＷ３２との間で送受信される通信データにおいて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。

また、図２７の１０行目には、ＲＨＮＷ２内の機器２１同士で送受信される通信データであって、セキュリティチェックが必要と判定された通信データについて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。また、図２７の１１〜１２行目には、ＲＨＮＷ２内の機器２１がＩＰｖ６インターネットを介して送受信する通信データであって、セキュリティチェックが必要と判定された通信データについて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。

なお、セキュリティチェックの結果が「異常あり」となった通信データについては、Ｂｒｉｄｇｅ３１１は、セキュリティ処理を施してセキュリティ上の脅威を取り除き、異常なしと判定される通信データにして通信を継続するか、あるいは、その時点で通信データを破棄したり、その通信データの送信元からの受信を拒否するように設定する命令を所定のＦＷに通知する等の処理を行う。

ここで、ＲＨＮＷ２内の機器２１がＩＰｖ６インターネットを介して送受信する通信データであって、セキュリティチェックが必要と判定された通信データの流れについて、図２８および図２９を用いて説明する。図２８は、第５の実施形態において、ＲＨＮＷ２内の機器２１からＩＰｖ６インターネットへ送信される通信データの流れを説明するための概念図である。

まず、ＲＨＮＷ２内の機器２１は、宛先ＭＡＣアドレスが「ＨＧＷ２２」であり、かつ、宛先ＩＰアドレスが外部のＮＷである通信データを通信制御装置２００へ送る（Ｓ１０）。通信制御装置２００のＢｒｉｄｇｅ２１１は、機器２１から送られた通信データを、Ｅｔｈ２を介して受け取る。そして、Ｂｒｉｄｇｅ２１１は、当該通信データについてセキュリティチェックを行う必要があると判定した場合、当該通信データのヘッダ等にフラグを付けて、当該通信データを、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０へ送る（図２５に示した表の５行目参照）。

Ｌ２−ＶＰＮ処理部２１０は、Ｔａｐ０を介して受け取った通信データにカプセル化および暗号化の処理を施し、処理後の通信データを、Ｅｔｈ０を介してＨＧＷ２２へ出力する（Ｓ１１）。ＨＧＷ２２は、通信制御装置２００から受け取った通信データを、通信路１１を介してＶＨＧＷ３２へ送信する（Ｓ１２）。

次に、ＶＨＧＷ３２は、通信路１１を介して受け取った通信データを通信制御装置３００へ送る（Ｓ１３）。通信制御装置３００のＬ２−ＶＰＮ処理部３１０は、Ｅｔｈ００を介して受け取った通信データについて、デカプセル化および復号化の処理を施し、処理後の通信データを、Ｔａｐ００を介してＢｒｉｄｇｅ３１１へ送る。

Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介して受け取った通信データについてセキュリティチェックを行う。セキュリティチェックの結果が「異常なし」である場合、Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介して受け取った通信データからフラグを除去し、フラグを除去した通信データを、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０へ返す（図２７に示した表の１１行目参照）。

Ｌ２−ＶＰＮ処理部３１０は、Ｔａｐ００を介して戻された通信データについてカプセル化および暗号化の処理を施し、処理後の通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送る（Ｓ１４）。ＶＨＧＷ３２は、通信制御装置３００から受け取った通信データを、通信路１１を介してＨＧＷ２２へ送る（Ｓ１５）。ＨＧＷ２２は、受け取った通信データを通信制御装置２００へ送る（Ｓ１６）。

通信制御装置２００内のＬ２−ＶＰＮ処理部２１０は、Ｅｔｈ０を介して受け取った通信データについて、デカプセル化および復号化の処理を施し、処理後の通信データを、Ｔａｐ０を介してＢｒｉｄｇｅ２１１へ送る。Ｂｒｉｄｇｅ２１１は、Ｔａｐ０を介して受け取った通信データを、Ｅｔｈ１を介してＨＧＷ２２へ送る（図２５に示した表の６行目参照）（Ｓ１７）。ＨＧＷ２２は、通信制御装置２００から受け取った通信データをＩＰｖ６インターネットへ送信する（Ｓ１８）。

図２９は、第５の実施形態において、ＩＰｖ６インターネットからＲＨＮＷ２内の機器２１へ送信される通信データの流れを説明するための概念図である。

まず、ＨＧＷ２２は、ＩＰｖ６インターネットから機器２１宛の通信データを受け取った場合に（Ｓ２０）、送信元ＭＡＣアドレスを「ＨＧＷ２２」、送信元ＩＰアドレスを外部のＮＷとし、かつ、宛先ＭＡＣアドレスを「機器２１」とする通信データを通信制御装置２００へ送る（Ｓ２１）。通信制御装置２００内のＢｒｉｄｇｅ２１１は、Ｅｔｈ１を介して受け取った通信データについてセキュリティチェックを行う必要があると判定した場合、当該通信データのヘッダ等にフラグを付けて、当該通信データを、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０へ送る（図２５に示した表の８行目参照）。

Ｌ２−ＶＰＮ処理部２１０は、Ｔａｐ０を介して受け取った通信データにカプセル化および暗号化の処理を施し、処理後の通信データを、Ｅｔｈ０を介してＨＧＷ２２へ出力する（Ｓ２２）。ＨＧＷ２２は、通信制御装置２００から受け取った通信データを通信路１１を介してＶＨＧＷ３２へ送信する（Ｓ２３）。

次に、ＶＨＧＷ３２は、通信路１１を介して受け取った通信データを通信制御装置３００へ送る（Ｓ２４）。通信制御装置３００のＬ２−ＶＰＮ処理部３１０は、Ｅｔｈ００を介して受け取った通信データについて、デカプセル化および復号化の処理を施し、処理後の通信データを、Ｔａｐ００を介してＢｒｉｄｇｅ３１１へ送る。

Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介して受け取った通信データについてセキュリティチェックを行う。セキュリティチェックの結果「異常なし」と判定された場合（セキュリティ上の脅威がないと判定された場合、あるいは、セキュリティ上の脅威が取り除かれた場合）、Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介して受け取った通信データからフラグを除去し、フラグを除去した通信データを、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０へ返す（図２７に示した表の１２行目参照）。

Ｌ２−ＶＰＮ処理部３１０は、Ｔａｐ００を介して戻された通信データについてカプセル化および暗号化の処理を施し、処理後の通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送る（Ｓ２５）。ＶＨＧＷ３２は、通信制御装置３００から受け取った通信データを、通信路１１を介してＨＧＷ２２へ送る（Ｓ２６）。ＨＧＷ２２は、受け取った通信データを通信制御装置２００へ送る（Ｓ２７）。

通信制御装置２００内のＬ２−ＶＰＮ処理部２１０は、Ｅｔｈ０を介して受け取った通信データについて、デカプセル化および復号化の処理を施し、処理後の通信データを、Ｔａｐ０を介してＢｒｉｄｇｅ２１１へ送る。Ｂｒｉｄｇｅ２１１は、Ｔａｐ０を介して受け取った通信データを、Ｅｔｈ２を介して機器２１へ送る（図２５に示した表の９行目参照）（Ｓ２８）。

ここで、Ｂｒｉｄｇｅ２１１側では、内部セグメントＮＷ内の通信データ、例えばＲＨＮＷ２内の通信データはセキュアであるとみなして、ＲＨＮＷ２と外部のＮＷとの通信データのみをセキュリティチェックの対象としてもよい。また、ＲＨＮＷ２とＶＨＮＷ３の間はＬ２−ＶＰＮのみを構築していたが、カプセリングのみのトンネルである通信路１２を併用してもよい。この場合、ＲＨＮＷ２内の通信データをセキュリティチェックにかける場合はＬ２−ＶＰＮである通信路１１を経由させ、外部のＮＷとの通信をセキュリティチェックにかける場合はカプセリングによるトンネルである通信路１２を経由させることとなる。また、ＶＨＮＷ３側では、例えば機器３１と外部のＮＷとの通信データのみをセキュリティチェックにかける場合、通信データの宛先ＩＰアドレスや送信元ＩＰアドレスに基づいて、セキュリティチェックにかける通信データであるか否かを確認すればよい。

以上、本発明の第５の実施形態について説明した。

（第６の実施形態）
次に、本発明の第６の実施形態について、図面を参照しながら説明する。本実施形態は、第４の実施形態と第５の実施形態とを組み合わせたものである。

図３０は、第６の実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置２００は、Ｌ２−ＶＰＮ処理部２１０、カプセリング処理部２１２、ＳＤＮ−ＳＷ２１３、判定処理部２１４、Ｅｔｈ０、Ｅｔｈ１、およびＥｔｈ２を有する。ｐｏｒｔ１〜７は、ＳＤＮ−ＳＷ２１３に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図３０において、図１８と同じ符号を付した構成は、図１８における構成と同一または同様の機能を有するため説明を省略する。

判定処理部２１４は、ｐｏｒｔ５を介して通信データを受け取った場合に、当該通信データに含まれている情報に基づいてセキュリティチェックを行う必要のある通信データか否かを判定する。判定処理部２１４は、例えば、レイヤ１〜４程度の情報に基づいてセキュリティチェックを行う必要がある通信データか否かを判定する。

判定処理部２１４は、セキュリティチェックが不要と判定した通信データについては、ｐｏｒｔ６を介してＳＤＮ−ＳＷ２１３へ送る。また、セキュリティチェックが必要と判定した通信データについては、判定処理部２１４は、ｐｏｒｔ７へ送る。

図３１は、第６の実施形態においてＳＤＮ−ＳＷ２１３に設定されるフローテーブルの一例を示す。なお、図３１には、ＲＨＮＷ２内の機器２１同士の通信や機器２１によるＩＰｖ６インターネット通信のように、ＶＨＮＷ３を経由しない通信データについてのフローテーブルが示されている。これ以外の通信（ＶＨＮＷ３を経由する通信）についてのフローテーブルは、図１９に示した表と同様であるため図示および説明を省略する。

例えば、図３１に示したフローテーブルの１〜４行目には、ＲＨＮＷ２内の機器２１同士で送受信される通信データ（すなわち、Ｅｔｈ２から入力され、宛先ＭＡＣアドレスが「機器２１」である通信データ）の制御について示されている。１行目には、ｐｏｒｔ２を介してＥｔｈ２から通信データを受け取った場合に、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ５へ出力する制御が示されている。ｐｏｒｔ５へ出力された通信データは、判定処理部２１４によってセキュリティチェックの要否が判定される。

また、フローテーブルの２行目には、ｐｏｒｔ６を介して通信データを受信した場合、ＳＤＮ−ＳＷ２１３は、受信した通信データを、ｐｏｒｔ２を介してＥｔｈ２へ送る制御が示されている。また、フローテーブルの３行目には、ｐｏｒｔ７を介して通信データを受信した場合、ＳＤＮ−ＳＷ２１３は、受信した通信データを、ｐｏｒｔ３を介してＬ２−ＶＰＮ処理部２１０へ送る制御が示されている。

また、フローテーブルの３行目には、ｐｏｒｔ３を介してＬ２−ＶＰＮ処理部２１０から受け取った通信データの宛先ＭＡＣアドレスが「機器２１」であれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ２へ出力する制御が示されている。これは、例えばＲＨＮＷ２内の機器２１同士で送受信される通信データが、通信制御装置３００によるセキュリティチェックの結果、「異常なし」と判定されてＲＨＮＷ２へ戻された場合の制御を示している。

また、フローテーブルの４〜９行目には、ＲＨＮＷ２内の機器２１とＨＧＷ２２との間で送受信される通信データ（すなわち、Ｅｔｈ２から入力され、宛先ＭＡＣアドレスが「ＨＧＷ２２」である通信データ）の制御について示されている。

また、フローテーブルの１０〜１３行目には、ＲＨＮＷ２内のＨＧＷ２２と機器２１との間で送受信される通信データ（すなわち、Ｅｔｈ１から入力され、宛先ＭＡＣアドレスが「機器２１」である通信データ）の制御について示されている。

ＳＤＮ−ＳＷ２１３が、図３１に示したように通信データの転送を行うことにより、通信データは、例えば図３２に示すように転送される。図３２は、第６の実施形態において通信制御装置２００によって転送される通信データの経路の一例をまとめた表である。

図３３は、第６の実施形態における通信制御装置３００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置３００は、Ｌ２−ＶＰＮ処理部３１０、カプセリング処理部３１２、ＳＤＮ−ＳＷ３１３、セキュリティチェック処理部３１４、Ｅｔｈ００、Ｅｔｈ０１、およびＥｔｈ０２を有する。ｐｏｒｔ０１〜０６は、ＳＤＮ−ＳＷ３１３に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図３３において、図２１と同じ符号を付した構成は、図２１における構成と同一または同様の機能を有するため説明を省略する。

セキュリティチェック処理部３１４は、ｐｏｒｔ０５を介して通信データを受け取った場合に、当該通信データに含まれている情報に基づいてセキュリティチェックを行う。セキュリティチェック処理部３１４は、例えば、レイヤ１〜７までの全てのレイヤを対象としてセキュリティチェックを行う。セキュリティチェック処理部３１４は、セキュリティチェックの結果「異常なし」と判定した通信データ（セキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データは）については、ｐｏｒｔ０６を介してＳＤＮ−ＳＷ３１３へ返す。また、セキュリティチェックの結果「異常あり」と判定した通信データ（セキュリティ上の脅威を取り除くことができた通信データを除く）については、その通信データを破棄する。

図３４は、第６の実施形態においてＳＤＮ−ＳＷ３１３に設定されるフローテーブルの一例を示す。なお、図３４には、ＲＨＮＷ２内の機器２１同士の通信や機器２１によるＩＰｖ６インターネット通信のように、ＶＨＮＷ３を経由しない通信データについてのフローテーブルが示されている。これ以外の通信（ＶＨＮＷ３を経由する通信）についてのフローテーブルは、図１９に示した表と同様であるため説明を省略する。

例えば、図３４に示したフローテーブルの１行目には、ｐｏｒｔ０１〜０４から入力された通信データについては、ＳＤＮ−ＳＷ３１３は、全てｐｏｒｔ０５へ出力する制御が示されている。これは、ｐｏｒｔ０１〜０４から入力された通信データについては、全てセキュリティチェック処理部３１４にセキュリティチェックさせることを示している。

また、フローテーブルの２〜７行目には、ｐｏｒｔ０６から入力される通信データの制御について示されている。ｐｏｒｔ０６から入力される通信データは、セキュリティチェック処理部３１４によるセキュリティチェックの結果「異常なし」と判定されたものである。

例えば、フローテーブルの３行目には、ｐｏｒｔ０６から入力される通信データの宛先ＭＡＣアドレスが「ＨＧＷ２２」であり、かつ、宛先ＩＰアドレスが「外部」であれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０４へ出力する制御が示されている。これは、例えばＲＨＮＷ２内の機器２１からＩＰｖ６インターネットへ送信される通信データが、通信制御装置３００によるセキュリティチェックの結果「異常なし」と判定された後に、通信路１２を介してＲＨＮＷ２へ戻される場合の制御を示している。

また、フローテーブルの４行目には、ｐｏｒｔ０６から入力される通信データの宛先ＭＡＣアドレスが「機器２１」であり、かつ、送信元ＩＰアドレスが「内部」であれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０３へ出力する制御が示されている。これは、例えばＨＮＷ１００内の機器２１や機器３１等が機器２１との間で送受信する通信データについて、通信制御装置３００によるセキュリティチェックの結果「異常なし」と判定されて通信路１１を介してＲＨＮＷ２へ戻される場合の制御を示している。

また、フローテーブルの６行目には、ｐｏｒｔ０６から入力される通信データの宛先ＭＡＣアドレスが「機器３１」であれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０２へ出力する制御が示されている。これは、例えば機器３１宛の通信データが、通信制御装置３００によるセキュリティチェックの結果「異常なし」と判定されて宛先の機器３１へ転送される場合の制御を示している。

また、フローテーブルの最下行には、フローテーブルに記述されている通信データ以外の通信データについては、ＳＤＮ−ＳＷ３１３は、通信データを破棄することにより通信を遮断する制御が示されている。なお、ＳＤＮ−ＳＷ３１３は、フローテーブルに記載されている情報に該当しない通信データについては、対処方法を、例えばＶＨＮＷ３内に設けられたＳＤＮコントローラに問い合わせるようにしてもよい。

ＳＤＮ−ＳＷ３１３が、図３４に示したように通信データの転送を行うことにより、通信データは、例えば図３５に示すように転送される。図３５は、第６の実施形態において通信制御装置３００によって転送される通信データの経路の一例をまとめた表である。

ここで、ＳＤＮ−ＳＷ２１３側では、内部セグメントＮＷ内の通信データ、例えばＲＨＮＷ２内の通信データはセキュアであるとみなして、ＲＨＮＷ２と外部のＮＷとの通信データのみをセキュリティチェックの対象としてもよい。また、ＲＨＮＷ２とＶＨＮＷ３の間はＬ２−ＶＰＮのみを構築していたが、カプセリングのみのトンネルである通信路１２を併用してもよい。この場合、ＲＨＮＷ２内の通信データをセキュリティチェックにかける場合はＬ２−ＶＰＮである通信路１１を経由させ、外部のＮＷとの通信をセキュリティチェックにかける場合はカプセリングによるトンネルである通信路１２を経由させることとなる。また、ＳＤＮ−ＳＷ３１３を通る任意の通信データのうち、選択的に通信データをセキュリティチェックする場合は、ｐｏｒｔ０５に出力させる通信データの条件をフローテーブルに登録することになる。また、ＶＨＮＷ３側では、例えば機器３１と外部のＮＷとの通信データのみをセキュリティチェックにかける場合、通信データの宛先ＩＰアドレスや送信元ＩＰアドレスに基づいて、ｐｏｒｔ０５に出力させる通信データの条件をフローテーブルに登録することになる。また、ＳＤＮ−ＳＷ２１３側でセキュリティチェックの要否判定することなく、ＲＨＮＷ２内の通信データ、ＲＨＮＷ２と外部のＮＷとの通信データ、またはこの両方をセキュリティチェックにかけることとしてもよい。

以上、本発明の第６の実施形態について説明した。

以上、本発明をいくつかの実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に多様な変更または改良を加えることが可能であることが当業者には明らかである。また、そのような変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

例えば、上記した第５または第６の実施形態について、例えば、同一セッションの通信データについては、通信開始から所定数または所定期間内の通信データについて、セキュリティチェックの結果「異常なし」と判定された場合には、それ以降の通信データについては、セキュリティチェックを省略するようにしてもよい。この場合、通信制御装置２００または通信制御装置３００がセッション開始から通信データ数や経過時間を計測して、上限に到達しない間の通信データに対してセキュリティチェックを行わないようにする。また、信頼できる通信先との間で送受信される通信データについては、セキュリティチェックを省略するようにしてもよい。また、同一セグメント内の通信については、安全であるとみなしてセキュリティチェックを省略するようにしてもよい。この場合、通信制御装置２００または通信制御装置３００がこの信頼できる通信先情報や同一セグメントＮＷ内の通信データであること識別できるアドレス等の情報を記憶しておき、宛先や送信元が記憶している情報に該当する場合は、その通信データに対してセキュリティチェックを行わないようにする。

また、上記した第６の実施形態では、ＲＨＮＷ２とＶＨＮＷ３の間に通信路１１と通信路１２の２つの通信路を設定するが、本発明はこれに限られず、ＲＨＮＷ２とＶＨＮＷ３の間の通信は、全て暗号化された通信路１１を介して行われてもよい。

また、上記した第３、第４、または第６の実施形態において、カプセリング処理部２１２およびカプセリング処理部３１２は、通信データのカプセリングを行い、通信データの暗号化は行わないが、本発明はこれに限られない。例えば、カプセリング処理部２１２およびカプセリング処理部３１２は、カプセル化の対象となる通信データ内の一部の情報を秘匿化してカプセル化してもよい。通信データ内の一部の情報とは、例えば、送信元ＭＡＣアドレスや宛先ＭＡＣアドレス、送信元ＩＰアドレス、送信元ポート番号等である。また、秘匿化の対象は、送信元ＭＡＣアドレスや宛先ＭＡＣアドレス等の情報の一部（上位／下位数ビットなど）であってもよい。秘匿化とは、例えば、転置式暗号や換字式暗号などのように処理負荷が低い処理により実現するのが望ましい。また、上記した実施形態において、ＩＰｖ６とＩＰｖ４の扱いを対称にしてもよい。例えば、ＩＰｖ４インターネットＧＷをＲＨＮＷ２側に、ＩＰｖ６インターネットＧＷをＶＨＮＷ３側に配置することとしてもよく、カプセリングやＬ２−ＶＰＮはＩＰｖ４通信によって実現してもよい。また、用途によっては、Ｌ２−ＶＰＮに限らずＬ３以上のＶＰＮによって実現してもよく、カプセリング処理は、Ｌ２やＬ３レベルでのカプセリングを行うこととしてもよい。

１ ネットワークシステム
１００ ＨＮＷ
１０ アクセス網
１１ 通信路
１３ ＤＣ
２ ＲＨＮＷ
２００ 通信制御装置
３ ＶＨＮＷ
３００ 通信制御装置

Claims (8)

1. 第１の外部ネットワークと通信可能な、第１のネットワーク内の第１の通信制御装置と、少なくとも第２の外部ネットワークと通信可能な第２のネットワーク内の第２の通信制御装置とを備えるネットワークシステムであって、
   前記第１の通信制御装置は、
   前記第１のネットワーク内の機器が前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、
   前記第１のネットワーク内の機器が前記第２のネットワーク内の機器または前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第２の通信制御装置との間に設定した仮想的な通信路を介して中継し、
   前記第２の通信制御装置は、
   前記第２のネットワーク内の機器が前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、
   前記第２のネットワーク内の機器が前記第１のネットワーク内の機器または前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第１の通信制御装置との間に設定した前記通信路を介して中継することを特徴とするネットワークシステム。
2. 前記第１の通信制御装置は、
   前記第１のネットワーク内を流れる通信データが所定条件に該当するか否かを判定する判定部と、
   前記判定部によって、前記第１のネットワーク内を流れる通信データが前記所定条件に該当すると判定された場合に、当該通信データを前記通信路を介して前記第２のネットワークへ送信する経路切替部と
   を有し、
   前記第２の通信制御装置は、
   前記第２のネットワーク内を流れる通信データに基づいてセキュリティ上の脅威の有無を判定するセキュリティ判定部と、
   前記経路切替部によって前記第２のネットワークへ送信された通信データについて、前記セキュリティ判定部が、セキュリティ上の脅威が無いと判定した場合に、当該通信データを前記通信路を介して前記第１のネットワークへ戻す経路切戻部と
   を有することを特徴とする請求項１に記載のネットワークシステム。
3. 前記判定部は、
   前記第１のネットワーク内を流れる通信データに含まれている少なくとも一部の情報について、セキュリティ上の脅威の有無を判定すべき通信データに該当する値のリストを予め有しており、
   前記リストに含まれている情報を含む、あるいは、前記リストに含まれている情報に類似する情報を含む通信データを、前記所定条件に該当する通信データと判定することを特徴とする請求項２に記載のネットワークシステム。
4. 前記第１の通信制御装置は、
   前記第２の通信制御装置との間に、前記通信路を設定する第１のトンネリング処理部と、
   前記第１のネットワーク内を流れる通信データの宛先が、少なくとも前記第１の外部ネットワークを介して通信可能な機器、前記第２のネットワーク内の機器、または前記第２の外部ネットワークを介して通信可能な機器のいずれであるかを判別する第１の判別部と、
   前記第１の判別部によって、前記第１のネットワーク内を流れる通信データの宛先が、前記第１の外部ネットワークを介して通信可能な機器であると判別された場合に、当該宛先に従って当該通信データを前記第１の外部ネットワークへ送信し、
   前記第１の判別部によって、前記第１のネットワーク内を流れる通信データの宛先が、前記第２のネットワーク内の機器、または、前記第２の外部ネットワークを介して通信可能な機器であると判別された場合に、当該通信データを前記第１のトンネリング処理部が設定した前記通信路を介して前記第２のネットワークへ送信する第１の転送処理部と
   を有し、
   前記第２の通信制御装置は、
   前記第１の通信制御装置との間に、前記通信路を設定する第２のトンネリング処理部と、
   前記第２のネットワーク内を流れる通信データの宛先が、少なくとも前記第２の外部ネットワークを介して通信可能な機器、前記第２の外部ネットワークを介して通信可能な機器、前記第１のネットワーク内の機器、または前記第１の外部ネットワークを介して通信可能な機器のいずれであるかを判別する第２の判別部と、
   前記第２の判別部によって、前記第２のネットワーク内を流れる通信データの宛先が、前記第２の外部ネットワークを介して通信可能な機器であると判別された場合に、当該宛先に従って当該通信データを前記第２の外部ネットワークへ送信し、
   前記第２の判別部によって、前記第２のネットワーク内を流れる通信データの宛先が、前記第１のネットワーク内の機器、または、前記第１の外部ネットワークを介して通信可能な機器であると判別された場合に、当該通信データを前記第２のトンネリング処理部が設定した前記通信路を介して前記第１のネットワークへ送信する第２の転送処理部と
   を有することを特徴とする請求項１に記載のネットワークシステム。
5. 第１の外部ネットワークに接続されている第１のネットワーク内の第１の通信制御装置と、前記第１の外部ネットワークおよび第２の外部ネットワークに接続されている第２のネットワーク内の第２の通信制御装置とを備えるネットワークシステムにおける通信制御方法であって、
   前記第１の通信制御装置が、
   前記第１のネットワーク内の機器が前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継する工程と、
   前記第１のネットワーク内の機器が前記第２のネットワーク内の機器または前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第２の通信制御装置との間に設定した仮想的な通信路を介して中継する工程と
   を実行し、
   前記第２の通信制御装置が、
   前記第２のネットワーク内の機器が前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継する工程と、
   前記第２のネットワーク内の機器が前記第１のネットワーク内の機器または前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第１の通信制御装置との間に設定した前記通信路を介して中継する工程と
   を実行することを特徴とする通信制御方法。
6. 第１の外部ネットワークと通信可能であり、第１のネットワーク内に設けられ、少なくとも第２の外部ネットワークと通信可能な、第２の外部ネットワーク内の中継装置と通信する通信制御装置であって、
   前記第１のネットワーク内の機器が前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、
   前記第１のネットワーク内の機器が前記第２のネットワーク内の機器または前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第２のネットワーク内の中継装置との間に設定した仮想的な通信路を介して中継することを特徴とする通信制御装置。
7. 少なくとも第２の外部ネットワークと通信可能な、第２のネットワーク内に設けられ、第１の外部ネットワークと通信可能な、第１のネットワーク内の中継御装置と通信する通信制御装置であって、
   前記第２のネットワーク内の機器が前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、
   前記第２のネットワーク内の機器が前記第１のネットワーク内の機器または前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第１のネットワーク内の中継装置との間に設定した仮想的な通信路を介して中継することを特徴とする通信制御装置。
8. 請求項６または７に記載の通信制御装置をコンピュータに実現させることを特徴とするプログラム。

Images