JP3714549B2 - ゲートウェイ装置及びそれによる通信方法 - Google Patents
ゲートウェイ装置及びそれによる通信方法 Download PDFInfo
- Publication number
- JP3714549B2 JP3714549B2 JP2002038328A JP2002038328A JP3714549B2 JP 3714549 B2 JP3714549 B2 JP 3714549B2 JP 2002038328 A JP2002038328 A JP 2002038328A JP 2002038328 A JP2002038328 A JP 2002038328A JP 3714549 B2 JP3714549 B2 JP 3714549B2
- Authority
- JP
- Japan
- Prior art keywords
- virtual routing
- network
- routing means
- communication
- packet
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ＡＤＳＬ等の常時接続型データ通信アクセス回線に接続する複数のユーザ端末装置が企業用ＶＰＮ、ＶＬＡＮ又はインターネット等の複数のネットワークに接続する場合において、接続先ネットワーク毎に定められたセキュリティを自動的に確保することを可能にする、ファイアウォール機能を有したゲートウェイ装置及びそれによる通信方法に関するものである。
【０００２】
【従来の技術】
従来より、常時接続型データ通信アクセス回線としてＡＤＳＬ（Asymmetric Digital Subscriber Line ）が知られている。また、企業のイントラネットのセキュリティを確保しつつ広域のネットワークを安価に構築するサービスとして、ＶＰＮ（Virtual Private Network ）やＶＬＡＮ（Virtual Local Area Network）等を網の機能として提供するサービスが知られている。
【０００３】
従来のＡＤＳＬの常時接続データ通信アクセスのシステム構成では、端末装置がゲートウェイルータ、ＡＤＳＬモデム（ＡＴＵ−Ｒ）を介してアクセス回線に接続され、アクセス回線はＤＳＬＡＭ（Digital Subscriber Line Access Multiplexer）によって多重化されてＢＡＳ（Broadband Access Server ）に接続され、アクセス網によって網終端装置（Network Termination Equipment）に接続される。網終端装置は、ＶＰＮサービス網、ＩＳＰ（Internet Service Provider ）網、企業の独自網など接続先ネットワーク毎に設置され、それぞれのネットワークと接続される。
【０００４】
ゲートウェイルータからＢＡＳに対して、ＰＰＰｏＥ（Point to Point Protocol over Ethernet（登録商標） ）等の論理コネクションを設定し、ＰＰＰ認証のユーザ名の一部として示されるレルム情報をもとに、ＢＡＳで接続先網終端装置を判定し、ＢＡＳから網終端装置に対して設定するＬ２ＴＰ（Layer2 Tunneling Protocol ）の論理コネクション上に、前記ＰＰＰｏＥの論理コネクションごとにＰＰＰの論理コネクションを設定する。前記ＰＰＰの論理コネクションの設定の認証は網終端装置を介して接続する接続先ネットワーク内のＲＡＤＩＵＳ（Remote Access Dial-In User Server ）に基づいてＢＡＳで行われる。以上のゲートウェイルータと網終端装置との間の論理コネクション上でＩＰ通信が行われる。
【０００５】
一方、ＶＰＮ，ＶＬＡＮサービス網は、単一の物理的な網において論理的に独立な網を設定して論理網間のセキュリティを確保しつつ、網内では複数の論理網のトラフィックを多重してコストを削減することを特徴とする通信サービス網である。ＭＰＬＳ（Multi-Protocol Label Switching）網では、パケットの送信元ユーザが接続する網終端装置でユーザが所属するＶＰＮを識別して、ＶＰＮ毎の転送テーブルを用いてＶＰＮ毎に異なるＶＰＮラベルをパケットに付加して、網内の転送を行い、パケットの送信先のユーザが接続する網終端装置でＶＰＮラベルをもとにＶＰＮ毎の転送テーブルを用いて論理的に独立な転送を行う。また、ＶＬＡＮ網ではＶＰＮラベルの代わりにＶＬＡＮタグを用いる。
【０００６】
企業の社内ＬＡＮなど拠点ごとに構成された複数の自営網を上記ＶＰＮ，ＶＬＡＮサービス網に接続することによって、セキュリティの確保された広域の社内網を安価に構築することができる。自営網とＶＰＮ，ＶＬＡＮサービス網とを接続する回線として、ＡＴＭ（Asynchronous Transfer Mode）を用いた専用線などを利用する。このような構成では広域社内網は他の網と論理的に独立である。インターネットなどの他の網と接続する場合、自営網にＮＡＰＴ変換、パケットフィルタリングなどの機能を有するファイアウォールを設置し、広域社内網と他の網との通信のパケットの転送、廃棄を制御する。
【０００７】
小規模拠点および家庭内の網とＶＰＮ，ＶＬＡＮサービス網との接続においては、上記ＡＤＳＬなどのアクセス回線を用いて接続することで安価に広域社内網を構築することができる。一つのアクセス回線を用いて、ＶＰＮあるいはインターネットなどの複数の網との接続を行う場合、論理的に独立した複数の仮想ルーティング機能を有するゲートウェイルータを使用し、ゲートウェイルータとそれぞれの接続先網終端装置との間でＰＰＰコネクションを設定する。
【０００８】
【発明が解決しようとする課題】
第１の問題点は、ＡＤＳＬなどのアクセス回線を用いてユーザ端末装置とＶＰＮとを接続する場合、論理的に独立した複数の仮想ルーティング機能を有するゲートウェイルータを使用した場合においても、一つのアクセス回線を用いて一つのＶＰＮに接続したユーザ端末装置は、同一のアクセス回線を用いてインターネットまたはＶＰＮなどの他の網と通信できないことである。その理由は、複数の仮想ルーティング機能の間のルーティングができず、また仮想ルーティング機能間のルーティングをする場合に必要となる、仮想ルーティング機能間のファイアウォール機能がないためである。
【０００９】
第２の問題点は、ＡＤＳＬなどのアクセス回線を用いてユーザ端末装置とＶＰＮとを接続する場合において、一つのアクセス回線を用いて一つのＶＰＮに接続したユーザ端末装置が、同一のアクセス回線を用いてインターネットまたはＶＰＮなどの他の網と通信を行う場合、インターネットまたはＶＰＮサービス網と自営網との接続回線の帯域を消費して、ユーザ端末装置の通信速度の低下または企業の接続回線のコスト増大を招くことである。その理由は、一つのＶＰＮに接続したユーザ端末装置はインターネットまたは他のＶＰＮとの通信を行うためには、企業の自営網内に設置されたファイアウォールを経由する必要があるため、ユーザ端末装置とインターネットまたはＶＰＮなどの他の網との通信によるトラフィックが企業の自営網を通過するからである。
【００１０】
第３の問題点は、選択的に複数の網と接続を行うＡＤＳＬなどのアクセス回線を用いて接続する場合、ルーティング機能の設定およびファイアウォール機能の設定を企業が社内網内で定める統一的なポリシによって設定できないことと、適切な仮想ルーティング機能およびファイアウォール機能を具備していないゲートウェイルータからの接続を排除できないことである。その理由は、各ユーザが接続の際に手動で設定を行った場合、仮想ルーティング機能およびファイアウォール機能の設定が企業の定める統一的なポリシに従って設定されるという保証ができず、また適切な仮想ルーティング機能およびファイアウォール機能を具備するゲートウェイルータのみを接続する機構がないためである。
【００１１】
本発明の目的は、ユーザ端末装置がＡＤＳＬなどのアクセス回線を用いてＶＰＮ，インターネットなどのネットワークに接続するコンピュータ通信システムにおいて、１つのアクセス回線を用いて第１のネットワークと接続したユーザ端末装置が、同一のアクセス回線を用いて他の第２のネットワークと同時に接続することを可能とするゲートウェイ装置及びそれによる通信方法を提供することである。
また、本発明の目的は、適切な仮想ルーティング機能およびファイアウォール機能を具備しないゲートウェイ装置からの接続を拒絶することを可能とするゲートウェイ装置及びそれによる通信方法を提供することである。
さらに、本発明の目的は、ユーザ端末装置と第２のネットワークとが、第１のネットワークで定められた統一的なセキュリティポリシに従ったファイアウォールを介して通信することを可能とし、またそのファイアウォール設定を自動化することを可能とするゲートウェイ装置及びそれによる通信方法を提供することである。
【００１２】
【課題を解決するための手段】
本発明は、論理的に独立した複数のルータとして動作する複数の仮想ルーティング手段を備え、ユーザ端末装置と接続先ネットワークとを接続するゲートウェイ装置において、第１のネットワークを接続先とする第１の仮想ルーティング手段と第２のネットワークを接続先とする第２の仮想ルーティング手段との間の通信において、パケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つを変換するＮＡＰＴ変換手段と、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信において、パケットの転送又は廃棄を行うパケットフィルタリング手段とを有するものである。
また、本発明のゲートウェイ装置の１構成例は、前記第１の仮想ルーティング手段に接続されたユーザ端末装置と前記第１のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第１のネットワークとの接続を前記第１のネットワークのポリシサーバに対して要求する要求手段と、前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段及び前記パケットフィルタリング手段を設定する設定手段とを有するものである。
また、本発明のゲートウェイ装置の１構成例において、前記設定手段は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段から削除し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のパケットを全て廃棄するよう前記パケットフィルタリング手段を設定するものである。
また、本発明のゲートウェイ装置の１構成例は、ユーザ端末装置と前記第１のネットワークとが前記第１の仮想ルーティング手段を介して接続され、かつ前記ユーザ端末装置と前記第２のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第２のネットワークとを前記第２の仮想ルーティング手段を介して接続するよう前記ポリシサーバに対して要求する要求手段と、前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段、前記第２の仮想ルーティング手段、前記ＮＡＰＴ変換手段及び前記パケットフィルタリング手段を設定する設定手段とを有するものである。
また、本発明のゲートウェイ装置の１構成例において、前記設定手段は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段に設定し、前記第１の仮想ルーティング手段又は前記第２の仮想ルーティング手段から受信したパケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つに対して、前記ユーザ端末装置と前記第２のネットワークとの通信を可能にする変換を行うよう前記ＮＡＰＴ変換手段を設定し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間のパケット転送を許可するよう前記パケットフィルタリング手段を設定するものである。
【００１３】
また、本発明のゲートウェイ装置による通信方法は、第１のネットワークを接続先とする第１の仮想ルーティング手段と第２のネットワークを接続先とする第２の仮想ルーティング手段との間の通信において、パケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つを変換するＮＡＰＴ変換手順と、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信において、パケットの転送又は廃棄を行うパケットフィルタリング手順とを実行するようにしたものである。
また、本発明のゲートウェイ装置による通信方法の１構成例は、前記第１の仮想ルーティング手段に接続されたユーザ端末装置と前記第１のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第１のネットワークとの接続を前記第１のネットワークのポリシサーバに対して要求する要求手順と、前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段及び前記パケットフィルタリング手段を設定する設定手順とを実行するようにしたものである。
また、本発明のゲートウェイ装置による通信方法の１構成例は、前記第１の仮想ルーティング手段と前記第１のネットワークとの間に設けられたフィルタリング装置に対して、前記第１の仮想ルーティング手段と前記第１のネットワークとの間のパケット転送を許可するよう前記ポリシサーバから設定を行う手順を実行し、前記設定手順は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段から削除し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のパケットを全て廃棄するよう前記パケットフィルタリング手段を設定するようにしたものである。
また、本発明のゲートウェイ装置による通信方法の１構成例は、ユーザ端末装置と前記第１のネットワークとが前記第１の仮想ルーティング手段を介して接続され、かつ前記ユーザ端末装置と前記第２のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第２のネットワークとを前記第２の仮想ルーティング手段を介して接続するよう前記ポリシサーバに対して要求する要求手順と、前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段、前記第２の仮想ルーティング手段、前記ＮＡＰＴ変換手段及び前記パケットフィルタリング手段を設定する設定手順とを実行するようにしたものである。
また、本発明のゲートウェイ装置による通信方法の１構成例において、前記設定手順は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段に設定し、前記第１の仮想ルーティング手段又は前記第２の仮想ルーティング手段から受信したパケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つに対して、前記ユーザ端末装置と前記第２のネットワークとの通信を可能にする変換を行うよう前記ＮＡＰＴ変換手段を設定し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間のパケット転送を許可するよう前記パケットフィルタリング手段を設定するようにしたものである。
【００１４】
【発明の実施の形態】
［第１の実施の形態］
以下、本発明の実施の形態について図面を参照して詳細に説明する。図１は本発明の第１の実施の形態となる通信ネットワークシステムの構成を示すブロック図である。ユーザ端末装置１−１，１−２は、ゲートウェイ装置（GW）２−１を介してアクセス網３のＢＡＳ（Broadband Access Server ）３１と接続され、同様にユーザ端末装置１−３，１−４は、ゲートウェイ装置２−２を介してＢＡＳ３１と接続される。
【００１５】
ＢＡＳ３１は、アクセス網３の網終端装置（NTE ）３２−１，３２−２，３２−３と接続され、また接続先ネットワーク選択用のＲＡＤＩＵＳ（Remote Access Dial-In User Server ）３３と接続される。アクセス網３は、ＶＰＮ（Virtual Private Network ）サービス網４およびインターネット５と接続される。ＮＴＥ３２−１は、ＶＰＮサービス網４のフィルタリング装置（Ｆｉｌｔｅｒ）４１−１と接続され、ＮＴＥ３２−２は、ＶＰＮサービス網４のフィルタリング装置４１−２と接続される。
【００１６】
フィルタリング装置４１−１，４１−２は、ＲＡＤＩＵＳ４２およびポリシサーバ（PS）４３と接続される。また、フィルタリング装置４１−１は、仮想ルータ（VR）４４−１を介してＶＰＮ４５−１と接続され、フィルタリング装置４１−２は、ＶＲ４４−２を介してＶＰＮ４５−２と接続される。ＶＰＮ４５−１，４５−２は、論理的に独立な網である。
【００１７】
ＶＰＮ４５−１は、企業の自営網であるＶＰＮサイト（Site）６−１と接続され、ＶＰＮ４５−２は、ＶＰＮサイト６−２と接続される。ＶＰＮサイト６−１は、ファイアウォール装置（FW）６１−１を介してインターネット接続網（ISP ）５と接続され、ＶＰＮサイト６−２は、ファイアウォール装置６１−２を介してＩＳＰ５と接続される。さらに、アクセス網３は、ＮＴＥ３２−３を介してＩＳＰ５と接続される。
【００１８】
図２は図１におけるゲートウェイ装置２−１の構成を示すブロック図である。ゲートウェイ装置２−１は、仮想ルーティング手段（VR）２１−１１，２１−１２と、ファイアウォール手段（FW）２２−１と、ＶＰＮエージェント（Agent）２３と、ＰＰＰ終端手段２４−１とから構成される。ファイアウォール手段２２−１は、パケットフィルタリング手段（Ｆｉｌｔｅｒ）２２−１１，２２−１２と、ＮＡＰＴ（Network Address Port Translation）変換手段２２−１３とから構成される。
【００１９】
第１の仮想ルーティング手段２１−１１は、リンクＬＬ１によりユーザ端末装置１−１と接続され、第２の仮想ルーティング手段２１−１２は、リンクＬＬ２によりユーザ端末装置１−２と接続される。また、第１の仮想ルーティング手段２１−１１は、ゲートウェイ装置２−１の内部リンクＩＬ１により第１のパケットフィルタリング手段２２−１１と接続され、第２の仮想ルーティング手段２１−１２は、ゲートウェイ装置２−１の内部リンクＩＬ２により第２のパケットフィルタリング手段２２−１２と接続される。ＮＡＰＴ変換手段２２−１３は、第１のパケットフィルタリング手段２２−１１，２２−１２と接続される。
【００２０】
ＶＰＮエージェント２３は、第１の仮想ルーティング手段２１−１１，２１−１２及びファイアウォール手段２２−１と接続される。第１の仮想ルーティング手段２１−１１は、ゲートウェイ装置２−１の内部リンクＷＬ１によりＰＰＰ終端手段２４−１と接続され、第２の仮想ルーティング手段２１−１２は、ゲートウェイ装置２−１の内部リンクＷＬ２によりＰＰＰ終端手段２４−１と接続される。
【００２１】
ＰＰＰ終端手段２４−１は、内部リンクＷＬ１と外部のＰＰＰコネクションＰＰＰ１とを接続し、内部リンクＷＬ２と外部のＰＰＰコネクションＰＰＰ２とを接続する。ＰＰＰコネクションＰＰＰ１は、ＶＰＮ４５−１と接続され、ＰＰＰコネクションＰＰＰ２は、ＩＳＰ５と接続される。ゲートウェイ装置２−２の構成もゲートウェイ装置２−１と同様である。
【００２２】
次に、本実施の形態の動作について説明する。ゲートウェイ装置２−１，２−２は、ＢＡＳ３１上においてＲＡＤＩＵＳ３３の情報を基に、接続先ネットワークを選択してＮＴＥ３２−１〜３２−３に対してＰＰＰコネクションを設定する。ＰＰＰコネクションの認証は、接続先ネットワークがＶＰＮサービス網４である場合はＲＡＤＩＵＳ４２の情報に基づいて行われ、接続先ネットワークがＩＳＰ５である場合はＲＡＤＩＵＳ５２の情報に基づいて行われる。
【００２３】
ＲＡＤＩＵＳ４２，５２は、ゲートウェイ装置２−１，２−２から送信されるユーザ名とパスワードにより認証を行い、認証結果をゲートウェイ装置２−１，２−２に返信する。ＲＡＤＩＵＳ４２，５２で認証された場合のみＰＰＰコネクションが設定される。
【００２４】
フィルタリング装置４１−１，４１−２は、ゲートウェイ装置２−１，２−２からのパケットの送信元アドレスを基に当該パケットをＶＲ４４−１，４４−２へ転送するか、または廃棄する。ただし、フィルタリング装置４１−１，４１−２は、ゲートウェイ装置２−１，２−２からＲＡＤＩＵＳ４２及びポリシサーバ４３へのパケットについては常に転送し、またゲートウェイ装置２−１，２−２からＶＲ４４−１，４４−２へのパケットについては特に設定しない限り廃棄する。
【００２５】
以上の動作により、ゲートウェイ装置２−１とＮＴＥ３２−１間、およびゲートウェイ装置２−１とＮＴＥ３２−３間にそれぞれＰＰＰコネクションが設定された場合のゲートウェイ装置２−１の動作を以下で説明する。ゲートウェイ装置２−１とＶＰＮ４５−１との接続においては、フィルタリング装置４１−１においてパケットが廃棄されるため通信することはできない。
【００２６】
また、ゲートウェイ装置２−１とＩＳＰ５との通信においては、ゲートウェイ装置２−１のファイアウォール手段２２−１を利用しないため、ゲートウェイ装置２−１の第２の仮想ルーティング手段２１−１２は、ＩＳＰ５と通信することができる。この第２の仮想ルーティング手段２１−１２のルーティングテーブルは、図３のルーティングテーブル７１のとおり設定されている。図３において、Ｄｓｔ．ＩＰは送信先ＩＰアドレス、Ｍａｓｋはサブネット・マスク、Ｏｕｔ Ｌｉｎｋは出力先リンクを示している。
【００２７】
図３のようなルーティングテーブル７１の設定により、第２の仮想ルーティング手段２１−１２は、通常は受信したパケットをリンクＷＬ２に送出する。ただし、送信先ＩＰアドレスが「ＩＰ＃２３０」のパケットについてはリンクＬＬ２に送出する。
【００２８】
また、第２のパケットフィルタリング手段２２−１２の機能は利用しないため、第２のパケットフィルタリング手段２２−１２のフィルタリングテーブルは図４のフィルタリングテーブル７２のとおり設定されている。図４において、Ａｃｔｉｏｎは第２のパケットフィルタリング手段２２−１２によるパケットの処理（転送又は廃棄）、Ｐｒｏｔｏは通信プロトコル、Ｄｓｔ．ＩＰは送信先ＩＰアドレス、Ｍａｓｋは送信先ＩＰアドレスのサブネット・マスク、Ｄｓｔ．ＰｏｒｔはＴＣＰヘッダに設定された送信先ポート番号、Ｓｒｃ．ＩＰは送信元ＩＰアドレス、Ｍａｓｋは送信元ＩＰアドレスのサブネット・マスク、Ｓｒｃ．ＰｏｒｔはＴＣＰヘッダに設定された送信元ポート番号を示している。
【００２９】
また、「ａｌｌｏｗ」は転送の許可を意味し、「ａｎｙ」は任意の値を意味する。図４のようなフィルタリングテーブル７２の設定により、第２のパケットフィルタリング手段２２−１２は、全てのパケットを転送することになる。
【００３０】
ゲートウェイ装置２−１のＶＰＮエージェント２３は、予め定められた自動設定あるいはユーザ端末装置１−１からの要求に従って、ユーザ端末装置１−１とＶＰＮサイト６−１との通信を開始させるため、ポリシサーバ４３に対し、ゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１とＶＰＮ４５−１とを接続するよう要求する。
【００３１】
セキュリティポリシを管理するポリシサーバ４３は、ＶＰＮエージェント２３からの要求に対する回答として、第１の仮想ルーティング手段２１−１１とファイアウォール手段２２−１における第１のパケットフィルタリング手段２２−１１の初期化をＶＰＮエージェント２３に要求する。
【００３２】
ポリシサーバ４３の要求に応じて、ゲートウェイ装置２−１のＶＰＮエージェント２３は、ゲートウェイ装置２−１の第１のパケットフィルタリング手段２２−１１のフィルタリングテーブルを図５のフィルタリングテーブル７３のとおりに設定して初期化する。
【００３３】
図５において、「ｄｅｎｙ」はパケットの廃棄を意味する。図５のようなフィルタリングテーブル７３の設定により、第１のパケットフィルタリング手段２２−１１は、全てのパケットを廃棄するので、ゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１と第２の仮想ルーティング手段２１−１２との間の通信は遮断される。
【００３４】
また、ゲートウェイ装置２−１のＶＰＮエージェント２３は、ポリシサーバ４３の要求に応じて、ゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１のルーティングテーブルを図６のルーティングテーブル７４のとおり設定して初期化する。
【００３５】
図６のようなルーティングテーブル７４の設定により、第１の仮想ルーティング手段２１−１１は、通常は受信したパケットをリンクＷＬ１に送出する。ただし、送信先ＩＰアドレスが「ＩＰ＃１１０」のパケットについてはリンクＬＬ１に送出する。
【００３６】
さらに、ポリシサーバ４３は、フィルタリング装置４１−１に対して、ゲートウェイ装置２−１からのパケットを転送するように設定する。以上の動作により、ユーザ端末装置１−１とＶＰＮサイト６−１とが、ゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１とアクセス網３とＶＰＮサービス網４のフィルタリング装置４１−１と仮想ルータ４４−１とＶＰＮ４５−１とを介して接続され、かつＶＰＮ４５−１とＩＳＰ５との論理的な独立性が確保される。
【００３７】
以上のように、ポリシサーバ４３は、ゲートウェイ装置２−１のＶＰＮエージェント２３からの要求に基づき、ゲートウェイ装置２−１とＶＰＮ４５−１との間のパケット転送を許可するようフィルタリング装置４１−１を設定するので、ＶＰＮエージェント２３を具備しないゲートウェイ装置では、フィルタリング装置４１−１によるファイアウォール機能を設定することができず、ＶＰＮ４５−１と接続することができない。ＶＰＮエージェント２３を具備しないゲートウェイ装置とＶＰＮ４５−１との接続を排除することができる。
【００３８】
次に、ゲートウェイ装置２−１のＶＰＮエージェント２３は、予め定められた自動設定あるいはユーザ端末装置１−１からの要求に従って、ユーザ端末装置１−１とＩＳＰ５との通信を開始させるため、第１の仮想ルーティング手段２１−１１から第２の仮想ルーティング手段２１−１２を経由したＩＳＰ５との通信の許可をポリシサーバ４３に要求する。
【００３９】
ポリシサーバ４３には、企業の自営網であるＶＰＮサイト６−１で定められたセキュリティポリシ、すなわちＶＰＮサイト６−１との接続のための設定情報が事前に蓄積・管理されている。この設定情報はファイアウォール装置６１−１に設定されている情報と同一である。同様に、ポリシサーバ４３には、ＶＰＮサイト６−２で定められたセキュリティポリシが事前に蓄積・管理されており、その設定情報はファイアウォール装置６１−２に設定されている情報と同一である。
【００４０】
ポリシサーバ４３は、ＶＰＮエージェント２３からの要求に対する回答として、ＶＰＮサイト６−１のセキュリティポリシに従ってゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１とＩＳＰ５とが第２の仮想ルーティング手段２１−１２を介して接続されるように、第１の仮想ルーティング手段２１−１１のルーティング設定情報、第１のパケットフィルタリング手段２２−１１のパケットフィルタリング設定情報およびＮＡＰＴ変換手段２２−１３のＮＡＰＴ設定情報をＶＰＮエージェント２３に送信する。
【００４１】
ＶＰＮエージェント２３は、取得したパケットフィルタリング設定情報を基に第１のパケットフィルタリング手段２２−１１のフィルタリングテーブルを図７のフィルタリングテーブル７５のとおり設定し、取得したルーティング設定情報を基に第１の仮想ルーティング手段２１−１１のルーティングテーブルを図８のルーティングテーブル７６のとおり設定し、第２の仮想ルーティング手段２１−１２のルーティングテーブルを図９のルーティングテーブル７７のとおり設定する。
【００４２】
図７のようなフィルタリングテーブル７５の設定により、第１のパケットフィルタリング手段２２−１１は、通常は全てのパケットを廃棄する。ただし、送信元ポート番号が「Ｐｏｒｔ＃１」で、送信先ＩＰアドレスが「ＩＰ＃１１０」のＴＣＰプロトコルのパケット、及び送信元ＩＰアドレスが「ＩＰ＃１１０」、送信元ポート番号が「Ｐｏｒｔ＃２」で、送信先ポート番号が「Ｐｏｒｔ＃１」のパケットについては転送を許可する。これにより、ユーザ端末装置１−１を送信先とするパケット、あるいはユーザ端末装置１−１を送信元とするパケットは第１のパケットフィルタリング手段２２−１１を通過できる。
【００４３】
また、図８のようなルーティングテーブル７６の設定により、第１の仮想ルーティング手段２１−１１は、通常は受信したパケットをリンクＩＬ１に送出する。ただし、送信先ＩＰアドレスが「ＩＰ＃１１０」のパケットについてはリンクＬＬ１に送出し、送信先ＩＰアドレスが「ＩＰ＃１６０」のパケットについてはリンクＷＬ１に送出する。
【００４４】
これにより、第１の仮想ルーティング手段２１−１１は、ユーザ端末装置１−１を送信先とするパケットをユーザ端末装置１−１に向けて送出し、ＶＰＮサイト６−１を送信先とするパケットをＶＰＮ４５−１に向けて送出し、その他のパケットをファイアウォール手段２２−１の第１のパケットフィルタリング手段２２−１１に向けて送出する。
【００４５】
また、図９のようなルーティングテーブル７７の設定により、第２の仮想ルーティング手段２１−１２は、通常は受信したパケットをリンクＩＬ２に送出する。ただし、送信先ＩＰアドレスが「ＩＰ＃２３」のパケットについてはリンクＬＬ２に送出し、送信先ＩＰアドレスが「ＩＰ＃２１０」のパケットについてはリンクＷＬ２に送出する。
【００４６】
これにより、第２の仮想ルーティング手段２１−１２は、ユーザ端末装置１−２を送信先とするパケットをユーザ端末装置１−２に向けて送出し、ＩＳＰ５を送信先とするパケットをＩＳＰ５に向けて送出し、その他のパケットをファイアウォール手段２２−１の第２のパケットフィルタリング手段２２−１２に向けて送出する。
【００４７】
さらに、ＶＰＮエージェント２３は、取得したＮＡＰＴ設定情報を基にＮＡＰＴ変換手段２２−１３のＮＡＰＴ変換テーブルを図１０のＮＡＰＴ変換テーブル７８のとおり設定する。図１０において、「変換前」の行はＮＡＰＴ変換手段２２−１３による変換を受ける前のパケットの情報、「変換後」の行は変換後のパケットの情報を示している。
【００４８】
ＮＡＰＴ変換手段２２−１３は、受信したパケットの送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス及び送信先ポート番号のうち少なくとも１つをＮＡＰＴ変換テーブル７８に従って変換する。図１０の例では、第１の仮想ルーティング手段２１−１１から第２の仮想ルーティング手段２１−１２へ転送される、送信元ＩＰアドレスが「ＩＰ＃１１」、送信元ポート番号が「Ｐｏｒｔ＃２」のパケットについて、プライベートアドレス「ＩＰ＃１１」がグローバルアドレス「ＩＰ＃２３」に変換され、送信元ポート番号「Ｐｏｒｔ＃２」が「Ｐｏｒｔ＃３」に変換される。
【００４９】
このとき、送信元ポート番号については、同一ＩＰアドレスの送信元について送信元ポート番号が重複しないようにＮＡＰＴ変換テーブル７８に設定される。以上のようなＮＡＰＴ変換の目的は、第１のネットワークであるＶＰＮ４５−１で利用するアドレスが付与された複数のユーザ端末装置１が送受信するパケットについて、接続先の第２のネットワークであるＩＳＰ５の１つの固定アドレスを用いて、パケットのアドレスまたはポート番号を変換することにより、第１のネットワークの複数のユーザ端末装置１と第２のネットワークとの通信を可能にすることにある。
【００５０】
このため、ＮＡＰＴ変換テーブル７８は、以下のような変換規則に基づいて設定される。
（Ａ）接続先の第２のネットワークへのパケットについて、送信元アドレス（第１のネットワークのユーザ端末装置のアドレス）を接続先の第２のネットワークで利用可能な固定アドレスに変換する。
（Ｂ）変換後の送信元ポート番号が逆変換可能となるよう、すなわち送信元アドレスと送信元ポート番号と送信先アドレスと送信先ポート番号とからなる１組の情報が変換の前後で一意に対応するよう変換する。
【００５１】
このような変換規則に基づいて設定されたＮＡＰＴ変換テーブル７８に従って、ＮＡＰＴ変換手段２２−１３は、ユーザ端末装置から第２のネットワークへのパケットについて、送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つを変換する。なお、第２のネットワークから転送されて到着する、送信先アドレスが前記固定アドレスのパケットについては、ＮＡＰＴ変換手段２２−１３は、ＮＡＰＴ変換テーブル７８の変換規則に基づいて逆変換する（固定アドレスをユーザ端末装置のアドレスに変換し、ポート番号を元のポート番号に変換する）。
【００５２】
以上の動作により、ユーザ端末装置１−１とＩＳＰ５とが、ＶＰＮサイト６−１のセキュリティポリシに従って、ゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１とファイアウォール手段２２−１と第２の仮想ルーティング手段２１−１２とアクセス網３とを介して接続され、ＶＰＮサイト６−１のセキュリティポリシに従って通信することが可能となる。
【００５３】
【発明の効果】
本発明によれば、ゲートウェイ装置にＮＡＰＴ変換手段とパケットフィルタリング手段とを設けることにより、１つのアクセス回線を用いて第１のネットワークと接続したユーザ端末装置が、同一のアクセス回線を用いて他の第２のネットワークと同時に接続することが可能となる。その理由は、第１の仮想ルーティング手段と第２の仮想ルーティング手段とＮＡＰＴ変換手段とパケットフィルタリング手段とを用いて、ユーザ端末装置と２つのネットワークとの間で送受信されるパケットを転送するからである。また、１つのアクセス回線を用いて第１のネットワークと接続したユーザ端末装置が、同一のアクセス回線を用いて第２のネットワークと同時に接続することにより、ユーザ端末装置と第２のネットワークとの通信によるトラフィックが第１のネットワークを通過することがなくなるので、ユーザ端末装置の通信速度の低下や第１のネットワークの接続回線のコスト増大といった問題がなくなる。
【００５４】
また、第１の仮想ルーティング手段に接続されたユーザ端末装置と第１のネットワークとの通信を行うとき、第１の仮想ルーティング手段と第１のネットワークとの接続を第１のネットワークのポリシサーバに対して要求する要求手段と、ポリシサーバからの回答に基づいて第１の仮想ルーティング手段及びパケットフィルタリング手段を設定する設定手段とをゲートウェイ装置に設けることにより、ゲートウェイ装置が接続する初期状態において、第１のネットワークと第２のネットワークの論理的独立性を確保することが可能になる。その理由は、ポリシサーバの回答に基づき、第１の仮想ルーティング手段と第２の仮想ルーティング手段との間の通信用のルーティング設定情報を第１の仮想ルーティング手段から削除し、第１の仮想ルーティング手段と第２の仮想ルーティング手段との間の通信用のパケットを全て廃棄するようパケットフィルタリング手段を設定するからである。
【００５５】
また、ユーザ端末装置と第１のネットワークとが第１の仮想ルーティング手段を介して接続され、かつユーザ端末装置と第２のネットワークとの通信を行うとき、第１の仮想ルーティング手段と第２のネットワークとを第２の仮想ルーティング手段を介して接続するようポリシサーバに対して要求する要求手段と、ポリシサーバからの回答に基づいて第１の仮想ルーティング手段、第２の仮想ルーティング手段、ＮＡＰＴ変換手段及びパケットフィルタリング手段を設定する設定手段とをゲートウェイ装置に設けることにより、ユーザ端末装置と第２のネットワークとが、第１のネットワークで定められた統一的なセキュリティポリシに従ったファイアウォールを介して通信することを可能とし、またそのファイアウォール設定を自動化することができる。その理由は、第１の仮想ルーティング手段と第２のネットワークとを第２の仮想ルーティング手段を介して接続するようポリシサーバに対して要求し、ポリシサーバの回答から第１の仮想ルーティング手段及び第２の仮想ルーティング手段のルーティング設定情報とＮＡＰＴ変換手段のＮＡＰＴ設定情報とパケットフィルタリング手段の実行規則とを取得して、ルーティング設定情報を第１の仮想ルーティング手段と第２の仮想ルーティング手段に設定し、第１の仮想ルーティング手段又は第２の仮想ルーティング手段から受信したパケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つを変換するようＮＡＰＴ変換手段を設定し、第１の仮想ルーティング手段と第２の仮想ルーティング手段との間のパケット転送を許可するようパケットフィルタリング手段を設定するからである。その結果、企業は、自営網を通過するトラフィックを抑制しつつファイアウォールの統一的な設定によりセキュリティを確保した広域社内網を構築することができる。
【００５６】
また、第１の仮想ルーティング手段と第１のネットワークとの間に設けられたフィルタリング装置に対して、第１の仮想ルーティング手段と第１のネットワークとの間のパケット転送を許可するようポリシサーバから設定を行う手順を実行することにより、要求手段及び設定手段を具備しないゲートウェイ装置とネットワークとの接続を排除することができる。その理由は、ポリシサーバはゲートウェイ装置の要求手段からの要求に基づき第１の仮想ルーティング手段と第１のネットワークとの間のパケット転送を許可するようフィルタリング装置を設定するので、要求手段及び設定手段を具備しないゲートウェイ装置ではフィルタリング装置によるファイアウォール機能を設定することができないからである。
【図面の簡単な説明】
【図１】 本発明の第１の実施の形態となる通信ネットワークシステムの構成を示すブロック図である。
【図２】 本発明の第１の実施の形態におけるゲートウェイ装置の構成を示すブロック図である。
【図３】 本発明の第１の実施の形態におけるゲートウェイ装置の第２の仮想ルーティング手段のルーティングテーブルの１例を示す図である。
【図４】 本発明の第１の実施の形態におけるゲートウェイ装置の第２のパケットフィルタリング手段のフィルタリングテーブルの１例を示す図である。
【図５】 本発明の第１の実施の形態におけるゲートウェイ装置の第１のパケットフィルタリング手段のフィルタリングテーブルの１例を示す図である。
【図６】 本発明の第１の実施の形態におけるゲートウェイ装置の第１の仮想ルーティング手段のルーティングテーブルの１例を示す図である。
【図７】 本発明の第１の実施の形態におけるゲートウェイ装置の第１のパケットフィルタリング手段のフィルタリングテーブルの１例を示す図である。
【図８】 本発明の第１の実施の形態におけるゲートウェイ装置の第１の仮想ルーティング手段のルーティングテーブルの１例を示す図である。
【図９】 本発明の第１の実施の形態におけるゲートウェイ装置の第２の仮想ルーティング手段のルーティングテーブルの１例を示す図である。
【図１０】 本発明の第１の実施の形態におけるゲートウェイ装置のＮＡＰＴ変換手段のＮＡＰＴ変換テーブルの１例を示す図である。
【符号の説明】
１−１〜１−４…ユーザ端末装置、２−１、２−２…ゲートウェイ装置、３…アクセス網、４…ＶＰＮサービス網、５…ＩＳＰ、６−１、６−２…ＶＰＮサイト、２１−１１、２１−１２…仮想ルーティング手段、２２−１…ファイアウォール手段、２２−１１、２２−１２…パケットフィルタリング手段、２２−１３…ＮＡＰＴ変換手段、２３…ＶＰＮエージェント、２４−１…ＰＰＰ終端手段、３１…ＢＡＳ、３２−１〜３２−３…網終端装置、４１−１、４１−２…フィルタリング装置、４３…ポリシサーバ、４４−１、４４−２…仮想ルータ、４５−１、４５−２…ＶＰＮ、６１−１、６１−２…ファイアウォール装置。
【発明の属する技術分野】
本発明は、ＡＤＳＬ等の常時接続型データ通信アクセス回線に接続する複数のユーザ端末装置が企業用ＶＰＮ、ＶＬＡＮ又はインターネット等の複数のネットワークに接続する場合において、接続先ネットワーク毎に定められたセキュリティを自動的に確保することを可能にする、ファイアウォール機能を有したゲートウェイ装置及びそれによる通信方法に関するものである。
【０００２】
【従来の技術】
従来より、常時接続型データ通信アクセス回線としてＡＤＳＬ（Asymmetric Digital Subscriber Line ）が知られている。また、企業のイントラネットのセキュリティを確保しつつ広域のネットワークを安価に構築するサービスとして、ＶＰＮ（Virtual Private Network ）やＶＬＡＮ（Virtual Local Area Network）等を網の機能として提供するサービスが知られている。
【０００３】
従来のＡＤＳＬの常時接続データ通信アクセスのシステム構成では、端末装置がゲートウェイルータ、ＡＤＳＬモデム（ＡＴＵ−Ｒ）を介してアクセス回線に接続され、アクセス回線はＤＳＬＡＭ（Digital Subscriber Line Access Multiplexer）によって多重化されてＢＡＳ（Broadband Access Server ）に接続され、アクセス網によって網終端装置（Network Termination Equipment）に接続される。網終端装置は、ＶＰＮサービス網、ＩＳＰ（Internet Service Provider ）網、企業の独自網など接続先ネットワーク毎に設置され、それぞれのネットワークと接続される。
【０００４】
ゲートウェイルータからＢＡＳに対して、ＰＰＰｏＥ（Point to Point Protocol over Ethernet（登録商標） ）等の論理コネクションを設定し、ＰＰＰ認証のユーザ名の一部として示されるレルム情報をもとに、ＢＡＳで接続先網終端装置を判定し、ＢＡＳから網終端装置に対して設定するＬ２ＴＰ（Layer2 Tunneling Protocol ）の論理コネクション上に、前記ＰＰＰｏＥの論理コネクションごとにＰＰＰの論理コネクションを設定する。前記ＰＰＰの論理コネクションの設定の認証は網終端装置を介して接続する接続先ネットワーク内のＲＡＤＩＵＳ（Remote Access Dial-In User Server ）に基づいてＢＡＳで行われる。以上のゲートウェイルータと網終端装置との間の論理コネクション上でＩＰ通信が行われる。
【０００５】
一方、ＶＰＮ，ＶＬＡＮサービス網は、単一の物理的な網において論理的に独立な網を設定して論理網間のセキュリティを確保しつつ、網内では複数の論理網のトラフィックを多重してコストを削減することを特徴とする通信サービス網である。ＭＰＬＳ（Multi-Protocol Label Switching）網では、パケットの送信元ユーザが接続する網終端装置でユーザが所属するＶＰＮを識別して、ＶＰＮ毎の転送テーブルを用いてＶＰＮ毎に異なるＶＰＮラベルをパケットに付加して、網内の転送を行い、パケットの送信先のユーザが接続する網終端装置でＶＰＮラベルをもとにＶＰＮ毎の転送テーブルを用いて論理的に独立な転送を行う。また、ＶＬＡＮ網ではＶＰＮラベルの代わりにＶＬＡＮタグを用いる。
【０００６】
企業の社内ＬＡＮなど拠点ごとに構成された複数の自営網を上記ＶＰＮ，ＶＬＡＮサービス網に接続することによって、セキュリティの確保された広域の社内網を安価に構築することができる。自営網とＶＰＮ，ＶＬＡＮサービス網とを接続する回線として、ＡＴＭ（Asynchronous Transfer Mode）を用いた専用線などを利用する。このような構成では広域社内網は他の網と論理的に独立である。インターネットなどの他の網と接続する場合、自営網にＮＡＰＴ変換、パケットフィルタリングなどの機能を有するファイアウォールを設置し、広域社内網と他の網との通信のパケットの転送、廃棄を制御する。
【０００７】
小規模拠点および家庭内の網とＶＰＮ，ＶＬＡＮサービス網との接続においては、上記ＡＤＳＬなどのアクセス回線を用いて接続することで安価に広域社内網を構築することができる。一つのアクセス回線を用いて、ＶＰＮあるいはインターネットなどの複数の網との接続を行う場合、論理的に独立した複数の仮想ルーティング機能を有するゲートウェイルータを使用し、ゲートウェイルータとそれぞれの接続先網終端装置との間でＰＰＰコネクションを設定する。
【０００８】
【発明が解決しようとする課題】
第１の問題点は、ＡＤＳＬなどのアクセス回線を用いてユーザ端末装置とＶＰＮとを接続する場合、論理的に独立した複数の仮想ルーティング機能を有するゲートウェイルータを使用した場合においても、一つのアクセス回線を用いて一つのＶＰＮに接続したユーザ端末装置は、同一のアクセス回線を用いてインターネットまたはＶＰＮなどの他の網と通信できないことである。その理由は、複数の仮想ルーティング機能の間のルーティングができず、また仮想ルーティング機能間のルーティングをする場合に必要となる、仮想ルーティング機能間のファイアウォール機能がないためである。
【０００９】
第２の問題点は、ＡＤＳＬなどのアクセス回線を用いてユーザ端末装置とＶＰＮとを接続する場合において、一つのアクセス回線を用いて一つのＶＰＮに接続したユーザ端末装置が、同一のアクセス回線を用いてインターネットまたはＶＰＮなどの他の網と通信を行う場合、インターネットまたはＶＰＮサービス網と自営網との接続回線の帯域を消費して、ユーザ端末装置の通信速度の低下または企業の接続回線のコスト増大を招くことである。その理由は、一つのＶＰＮに接続したユーザ端末装置はインターネットまたは他のＶＰＮとの通信を行うためには、企業の自営網内に設置されたファイアウォールを経由する必要があるため、ユーザ端末装置とインターネットまたはＶＰＮなどの他の網との通信によるトラフィックが企業の自営網を通過するからである。
【００１０】
第３の問題点は、選択的に複数の網と接続を行うＡＤＳＬなどのアクセス回線を用いて接続する場合、ルーティング機能の設定およびファイアウォール機能の設定を企業が社内網内で定める統一的なポリシによって設定できないことと、適切な仮想ルーティング機能およびファイアウォール機能を具備していないゲートウェイルータからの接続を排除できないことである。その理由は、各ユーザが接続の際に手動で設定を行った場合、仮想ルーティング機能およびファイアウォール機能の設定が企業の定める統一的なポリシに従って設定されるという保証ができず、また適切な仮想ルーティング機能およびファイアウォール機能を具備するゲートウェイルータのみを接続する機構がないためである。
【００１１】
本発明の目的は、ユーザ端末装置がＡＤＳＬなどのアクセス回線を用いてＶＰＮ，インターネットなどのネットワークに接続するコンピュータ通信システムにおいて、１つのアクセス回線を用いて第１のネットワークと接続したユーザ端末装置が、同一のアクセス回線を用いて他の第２のネットワークと同時に接続することを可能とするゲートウェイ装置及びそれによる通信方法を提供することである。
また、本発明の目的は、適切な仮想ルーティング機能およびファイアウォール機能を具備しないゲートウェイ装置からの接続を拒絶することを可能とするゲートウェイ装置及びそれによる通信方法を提供することである。
さらに、本発明の目的は、ユーザ端末装置と第２のネットワークとが、第１のネットワークで定められた統一的なセキュリティポリシに従ったファイアウォールを介して通信することを可能とし、またそのファイアウォール設定を自動化することを可能とするゲートウェイ装置及びそれによる通信方法を提供することである。
【００１２】
【課題を解決するための手段】
本発明は、論理的に独立した複数のルータとして動作する複数の仮想ルーティング手段を備え、ユーザ端末装置と接続先ネットワークとを接続するゲートウェイ装置において、第１のネットワークを接続先とする第１の仮想ルーティング手段と第２のネットワークを接続先とする第２の仮想ルーティング手段との間の通信において、パケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つを変換するＮＡＰＴ変換手段と、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信において、パケットの転送又は廃棄を行うパケットフィルタリング手段とを有するものである。
また、本発明のゲートウェイ装置の１構成例は、前記第１の仮想ルーティング手段に接続されたユーザ端末装置と前記第１のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第１のネットワークとの接続を前記第１のネットワークのポリシサーバに対して要求する要求手段と、前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段及び前記パケットフィルタリング手段を設定する設定手段とを有するものである。
また、本発明のゲートウェイ装置の１構成例において、前記設定手段は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段から削除し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のパケットを全て廃棄するよう前記パケットフィルタリング手段を設定するものである。
また、本発明のゲートウェイ装置の１構成例は、ユーザ端末装置と前記第１のネットワークとが前記第１の仮想ルーティング手段を介して接続され、かつ前記ユーザ端末装置と前記第２のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第２のネットワークとを前記第２の仮想ルーティング手段を介して接続するよう前記ポリシサーバに対して要求する要求手段と、前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段、前記第２の仮想ルーティング手段、前記ＮＡＰＴ変換手段及び前記パケットフィルタリング手段を設定する設定手段とを有するものである。
また、本発明のゲートウェイ装置の１構成例において、前記設定手段は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段に設定し、前記第１の仮想ルーティング手段又は前記第２の仮想ルーティング手段から受信したパケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つに対して、前記ユーザ端末装置と前記第２のネットワークとの通信を可能にする変換を行うよう前記ＮＡＰＴ変換手段を設定し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間のパケット転送を許可するよう前記パケットフィルタリング手段を設定するものである。
【００１３】
また、本発明のゲートウェイ装置による通信方法は、第１のネットワークを接続先とする第１の仮想ルーティング手段と第２のネットワークを接続先とする第２の仮想ルーティング手段との間の通信において、パケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つを変換するＮＡＰＴ変換手順と、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信において、パケットの転送又は廃棄を行うパケットフィルタリング手順とを実行するようにしたものである。
また、本発明のゲートウェイ装置による通信方法の１構成例は、前記第１の仮想ルーティング手段に接続されたユーザ端末装置と前記第１のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第１のネットワークとの接続を前記第１のネットワークのポリシサーバに対して要求する要求手順と、前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段及び前記パケットフィルタリング手段を設定する設定手順とを実行するようにしたものである。
また、本発明のゲートウェイ装置による通信方法の１構成例は、前記第１の仮想ルーティング手段と前記第１のネットワークとの間に設けられたフィルタリング装置に対して、前記第１の仮想ルーティング手段と前記第１のネットワークとの間のパケット転送を許可するよう前記ポリシサーバから設定を行う手順を実行し、前記設定手順は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段から削除し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のパケットを全て廃棄するよう前記パケットフィルタリング手段を設定するようにしたものである。
また、本発明のゲートウェイ装置による通信方法の１構成例は、ユーザ端末装置と前記第１のネットワークとが前記第１の仮想ルーティング手段を介して接続され、かつ前記ユーザ端末装置と前記第２のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第２のネットワークとを前記第２の仮想ルーティング手段を介して接続するよう前記ポリシサーバに対して要求する要求手順と、前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段、前記第２の仮想ルーティング手段、前記ＮＡＰＴ変換手段及び前記パケットフィルタリング手段を設定する設定手順とを実行するようにしたものである。
また、本発明のゲートウェイ装置による通信方法の１構成例において、前記設定手順は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段に設定し、前記第１の仮想ルーティング手段又は前記第２の仮想ルーティング手段から受信したパケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つに対して、前記ユーザ端末装置と前記第２のネットワークとの通信を可能にする変換を行うよう前記ＮＡＰＴ変換手段を設定し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間のパケット転送を許可するよう前記パケットフィルタリング手段を設定するようにしたものである。
【００１４】
【発明の実施の形態】
［第１の実施の形態］
以下、本発明の実施の形態について図面を参照して詳細に説明する。図１は本発明の第１の実施の形態となる通信ネットワークシステムの構成を示すブロック図である。ユーザ端末装置１−１，１−２は、ゲートウェイ装置（GW）２−１を介してアクセス網３のＢＡＳ（Broadband Access Server ）３１と接続され、同様にユーザ端末装置１−３，１−４は、ゲートウェイ装置２−２を介してＢＡＳ３１と接続される。
【００１５】
ＢＡＳ３１は、アクセス網３の網終端装置（NTE ）３２−１，３２−２，３２−３と接続され、また接続先ネットワーク選択用のＲＡＤＩＵＳ（Remote Access Dial-In User Server ）３３と接続される。アクセス網３は、ＶＰＮ（Virtual Private Network ）サービス網４およびインターネット５と接続される。ＮＴＥ３２−１は、ＶＰＮサービス網４のフィルタリング装置（Ｆｉｌｔｅｒ）４１−１と接続され、ＮＴＥ３２−２は、ＶＰＮサービス網４のフィルタリング装置４１−２と接続される。
【００１６】
フィルタリング装置４１−１，４１−２は、ＲＡＤＩＵＳ４２およびポリシサーバ（PS）４３と接続される。また、フィルタリング装置４１−１は、仮想ルータ（VR）４４−１を介してＶＰＮ４５−１と接続され、フィルタリング装置４１−２は、ＶＲ４４−２を介してＶＰＮ４５−２と接続される。ＶＰＮ４５−１，４５−２は、論理的に独立な網である。
【００１７】
ＶＰＮ４５−１は、企業の自営網であるＶＰＮサイト（Site）６−１と接続され、ＶＰＮ４５−２は、ＶＰＮサイト６−２と接続される。ＶＰＮサイト６−１は、ファイアウォール装置（FW）６１−１を介してインターネット接続網（ISP ）５と接続され、ＶＰＮサイト６−２は、ファイアウォール装置６１−２を介してＩＳＰ５と接続される。さらに、アクセス網３は、ＮＴＥ３２−３を介してＩＳＰ５と接続される。
【００１８】
図２は図１におけるゲートウェイ装置２−１の構成を示すブロック図である。ゲートウェイ装置２−１は、仮想ルーティング手段（VR）２１−１１，２１−１２と、ファイアウォール手段（FW）２２−１と、ＶＰＮエージェント（Agent）２３と、ＰＰＰ終端手段２４−１とから構成される。ファイアウォール手段２２−１は、パケットフィルタリング手段（Ｆｉｌｔｅｒ）２２−１１，２２−１２と、ＮＡＰＴ（Network Address Port Translation）変換手段２２−１３とから構成される。
【００１９】
第１の仮想ルーティング手段２１−１１は、リンクＬＬ１によりユーザ端末装置１−１と接続され、第２の仮想ルーティング手段２１−１２は、リンクＬＬ２によりユーザ端末装置１−２と接続される。また、第１の仮想ルーティング手段２１−１１は、ゲートウェイ装置２−１の内部リンクＩＬ１により第１のパケットフィルタリング手段２２−１１と接続され、第２の仮想ルーティング手段２１−１２は、ゲートウェイ装置２−１の内部リンクＩＬ２により第２のパケットフィルタリング手段２２−１２と接続される。ＮＡＰＴ変換手段２２−１３は、第１のパケットフィルタリング手段２２−１１，２２−１２と接続される。
【００２０】
ＶＰＮエージェント２３は、第１の仮想ルーティング手段２１−１１，２１−１２及びファイアウォール手段２２−１と接続される。第１の仮想ルーティング手段２１−１１は、ゲートウェイ装置２−１の内部リンクＷＬ１によりＰＰＰ終端手段２４−１と接続され、第２の仮想ルーティング手段２１−１２は、ゲートウェイ装置２−１の内部リンクＷＬ２によりＰＰＰ終端手段２４−１と接続される。
【００２１】
ＰＰＰ終端手段２４−１は、内部リンクＷＬ１と外部のＰＰＰコネクションＰＰＰ１とを接続し、内部リンクＷＬ２と外部のＰＰＰコネクションＰＰＰ２とを接続する。ＰＰＰコネクションＰＰＰ１は、ＶＰＮ４５−１と接続され、ＰＰＰコネクションＰＰＰ２は、ＩＳＰ５と接続される。ゲートウェイ装置２−２の構成もゲートウェイ装置２−１と同様である。
【００２２】
次に、本実施の形態の動作について説明する。ゲートウェイ装置２−１，２−２は、ＢＡＳ３１上においてＲＡＤＩＵＳ３３の情報を基に、接続先ネットワークを選択してＮＴＥ３２−１〜３２−３に対してＰＰＰコネクションを設定する。ＰＰＰコネクションの認証は、接続先ネットワークがＶＰＮサービス網４である場合はＲＡＤＩＵＳ４２の情報に基づいて行われ、接続先ネットワークがＩＳＰ５である場合はＲＡＤＩＵＳ５２の情報に基づいて行われる。
【００２３】
ＲＡＤＩＵＳ４２，５２は、ゲートウェイ装置２−１，２−２から送信されるユーザ名とパスワードにより認証を行い、認証結果をゲートウェイ装置２−１，２−２に返信する。ＲＡＤＩＵＳ４２，５２で認証された場合のみＰＰＰコネクションが設定される。
【００２４】
フィルタリング装置４１−１，４１−２は、ゲートウェイ装置２−１，２−２からのパケットの送信元アドレスを基に当該パケットをＶＲ４４−１，４４−２へ転送するか、または廃棄する。ただし、フィルタリング装置４１−１，４１−２は、ゲートウェイ装置２−１，２−２からＲＡＤＩＵＳ４２及びポリシサーバ４３へのパケットについては常に転送し、またゲートウェイ装置２−１，２−２からＶＲ４４−１，４４−２へのパケットについては特に設定しない限り廃棄する。
【００２５】
以上の動作により、ゲートウェイ装置２−１とＮＴＥ３２−１間、およびゲートウェイ装置２−１とＮＴＥ３２−３間にそれぞれＰＰＰコネクションが設定された場合のゲートウェイ装置２−１の動作を以下で説明する。ゲートウェイ装置２−１とＶＰＮ４５−１との接続においては、フィルタリング装置４１−１においてパケットが廃棄されるため通信することはできない。
【００２６】
また、ゲートウェイ装置２−１とＩＳＰ５との通信においては、ゲートウェイ装置２−１のファイアウォール手段２２−１を利用しないため、ゲートウェイ装置２−１の第２の仮想ルーティング手段２１−１２は、ＩＳＰ５と通信することができる。この第２の仮想ルーティング手段２１−１２のルーティングテーブルは、図３のルーティングテーブル７１のとおり設定されている。図３において、Ｄｓｔ．ＩＰは送信先ＩＰアドレス、Ｍａｓｋはサブネット・マスク、Ｏｕｔ Ｌｉｎｋは出力先リンクを示している。
【００２７】
図３のようなルーティングテーブル７１の設定により、第２の仮想ルーティング手段２１−１２は、通常は受信したパケットをリンクＷＬ２に送出する。ただし、送信先ＩＰアドレスが「ＩＰ＃２３０」のパケットについてはリンクＬＬ２に送出する。
【００２８】
また、第２のパケットフィルタリング手段２２−１２の機能は利用しないため、第２のパケットフィルタリング手段２２−１２のフィルタリングテーブルは図４のフィルタリングテーブル７２のとおり設定されている。図４において、Ａｃｔｉｏｎは第２のパケットフィルタリング手段２２−１２によるパケットの処理（転送又は廃棄）、Ｐｒｏｔｏは通信プロトコル、Ｄｓｔ．ＩＰは送信先ＩＰアドレス、Ｍａｓｋは送信先ＩＰアドレスのサブネット・マスク、Ｄｓｔ．ＰｏｒｔはＴＣＰヘッダに設定された送信先ポート番号、Ｓｒｃ．ＩＰは送信元ＩＰアドレス、Ｍａｓｋは送信元ＩＰアドレスのサブネット・マスク、Ｓｒｃ．ＰｏｒｔはＴＣＰヘッダに設定された送信元ポート番号を示している。
【００２９】
また、「ａｌｌｏｗ」は転送の許可を意味し、「ａｎｙ」は任意の値を意味する。図４のようなフィルタリングテーブル７２の設定により、第２のパケットフィルタリング手段２２−１２は、全てのパケットを転送することになる。
【００３０】
ゲートウェイ装置２−１のＶＰＮエージェント２３は、予め定められた自動設定あるいはユーザ端末装置１−１からの要求に従って、ユーザ端末装置１−１とＶＰＮサイト６−１との通信を開始させるため、ポリシサーバ４３に対し、ゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１とＶＰＮ４５−１とを接続するよう要求する。
【００３１】
セキュリティポリシを管理するポリシサーバ４３は、ＶＰＮエージェント２３からの要求に対する回答として、第１の仮想ルーティング手段２１−１１とファイアウォール手段２２−１における第１のパケットフィルタリング手段２２−１１の初期化をＶＰＮエージェント２３に要求する。
【００３２】
ポリシサーバ４３の要求に応じて、ゲートウェイ装置２−１のＶＰＮエージェント２３は、ゲートウェイ装置２−１の第１のパケットフィルタリング手段２２−１１のフィルタリングテーブルを図５のフィルタリングテーブル７３のとおりに設定して初期化する。
【００３３】
図５において、「ｄｅｎｙ」はパケットの廃棄を意味する。図５のようなフィルタリングテーブル７３の設定により、第１のパケットフィルタリング手段２２−１１は、全てのパケットを廃棄するので、ゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１と第２の仮想ルーティング手段２１−１２との間の通信は遮断される。
【００３４】
また、ゲートウェイ装置２−１のＶＰＮエージェント２３は、ポリシサーバ４３の要求に応じて、ゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１のルーティングテーブルを図６のルーティングテーブル７４のとおり設定して初期化する。
【００３５】
図６のようなルーティングテーブル７４の設定により、第１の仮想ルーティング手段２１−１１は、通常は受信したパケットをリンクＷＬ１に送出する。ただし、送信先ＩＰアドレスが「ＩＰ＃１１０」のパケットについてはリンクＬＬ１に送出する。
【００３６】
さらに、ポリシサーバ４３は、フィルタリング装置４１−１に対して、ゲートウェイ装置２−１からのパケットを転送するように設定する。以上の動作により、ユーザ端末装置１−１とＶＰＮサイト６−１とが、ゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１とアクセス網３とＶＰＮサービス網４のフィルタリング装置４１−１と仮想ルータ４４−１とＶＰＮ４５−１とを介して接続され、かつＶＰＮ４５−１とＩＳＰ５との論理的な独立性が確保される。
【００３７】
以上のように、ポリシサーバ４３は、ゲートウェイ装置２−１のＶＰＮエージェント２３からの要求に基づき、ゲートウェイ装置２−１とＶＰＮ４５−１との間のパケット転送を許可するようフィルタリング装置４１−１を設定するので、ＶＰＮエージェント２３を具備しないゲートウェイ装置では、フィルタリング装置４１−１によるファイアウォール機能を設定することができず、ＶＰＮ４５−１と接続することができない。ＶＰＮエージェント２３を具備しないゲートウェイ装置とＶＰＮ４５−１との接続を排除することができる。
【００３８】
次に、ゲートウェイ装置２−１のＶＰＮエージェント２３は、予め定められた自動設定あるいはユーザ端末装置１−１からの要求に従って、ユーザ端末装置１−１とＩＳＰ５との通信を開始させるため、第１の仮想ルーティング手段２１−１１から第２の仮想ルーティング手段２１−１２を経由したＩＳＰ５との通信の許可をポリシサーバ４３に要求する。
【００３９】
ポリシサーバ４３には、企業の自営網であるＶＰＮサイト６−１で定められたセキュリティポリシ、すなわちＶＰＮサイト６−１との接続のための設定情報が事前に蓄積・管理されている。この設定情報はファイアウォール装置６１−１に設定されている情報と同一である。同様に、ポリシサーバ４３には、ＶＰＮサイト６−２で定められたセキュリティポリシが事前に蓄積・管理されており、その設定情報はファイアウォール装置６１−２に設定されている情報と同一である。
【００４０】
ポリシサーバ４３は、ＶＰＮエージェント２３からの要求に対する回答として、ＶＰＮサイト６−１のセキュリティポリシに従ってゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１とＩＳＰ５とが第２の仮想ルーティング手段２１−１２を介して接続されるように、第１の仮想ルーティング手段２１−１１のルーティング設定情報、第１のパケットフィルタリング手段２２−１１のパケットフィルタリング設定情報およびＮＡＰＴ変換手段２２−１３のＮＡＰＴ設定情報をＶＰＮエージェント２３に送信する。
【００４１】
ＶＰＮエージェント２３は、取得したパケットフィルタリング設定情報を基に第１のパケットフィルタリング手段２２−１１のフィルタリングテーブルを図７のフィルタリングテーブル７５のとおり設定し、取得したルーティング設定情報を基に第１の仮想ルーティング手段２１−１１のルーティングテーブルを図８のルーティングテーブル７６のとおり設定し、第２の仮想ルーティング手段２１−１２のルーティングテーブルを図９のルーティングテーブル７７のとおり設定する。
【００４２】
図７のようなフィルタリングテーブル７５の設定により、第１のパケットフィルタリング手段２２−１１は、通常は全てのパケットを廃棄する。ただし、送信元ポート番号が「Ｐｏｒｔ＃１」で、送信先ＩＰアドレスが「ＩＰ＃１１０」のＴＣＰプロトコルのパケット、及び送信元ＩＰアドレスが「ＩＰ＃１１０」、送信元ポート番号が「Ｐｏｒｔ＃２」で、送信先ポート番号が「Ｐｏｒｔ＃１」のパケットについては転送を許可する。これにより、ユーザ端末装置１−１を送信先とするパケット、あるいはユーザ端末装置１−１を送信元とするパケットは第１のパケットフィルタリング手段２２−１１を通過できる。
【００４３】
また、図８のようなルーティングテーブル７６の設定により、第１の仮想ルーティング手段２１−１１は、通常は受信したパケットをリンクＩＬ１に送出する。ただし、送信先ＩＰアドレスが「ＩＰ＃１１０」のパケットについてはリンクＬＬ１に送出し、送信先ＩＰアドレスが「ＩＰ＃１６０」のパケットについてはリンクＷＬ１に送出する。
【００４４】
これにより、第１の仮想ルーティング手段２１−１１は、ユーザ端末装置１−１を送信先とするパケットをユーザ端末装置１−１に向けて送出し、ＶＰＮサイト６−１を送信先とするパケットをＶＰＮ４５−１に向けて送出し、その他のパケットをファイアウォール手段２２−１の第１のパケットフィルタリング手段２２−１１に向けて送出する。
【００４５】
また、図９のようなルーティングテーブル７７の設定により、第２の仮想ルーティング手段２１−１２は、通常は受信したパケットをリンクＩＬ２に送出する。ただし、送信先ＩＰアドレスが「ＩＰ＃２３」のパケットについてはリンクＬＬ２に送出し、送信先ＩＰアドレスが「ＩＰ＃２１０」のパケットについてはリンクＷＬ２に送出する。
【００４６】
これにより、第２の仮想ルーティング手段２１−１２は、ユーザ端末装置１−２を送信先とするパケットをユーザ端末装置１−２に向けて送出し、ＩＳＰ５を送信先とするパケットをＩＳＰ５に向けて送出し、その他のパケットをファイアウォール手段２２−１の第２のパケットフィルタリング手段２２−１２に向けて送出する。
【００４７】
さらに、ＶＰＮエージェント２３は、取得したＮＡＰＴ設定情報を基にＮＡＰＴ変換手段２２−１３のＮＡＰＴ変換テーブルを図１０のＮＡＰＴ変換テーブル７８のとおり設定する。図１０において、「変換前」の行はＮＡＰＴ変換手段２２−１３による変換を受ける前のパケットの情報、「変換後」の行は変換後のパケットの情報を示している。
【００４８】
ＮＡＰＴ変換手段２２−１３は、受信したパケットの送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス及び送信先ポート番号のうち少なくとも１つをＮＡＰＴ変換テーブル７８に従って変換する。図１０の例では、第１の仮想ルーティング手段２１−１１から第２の仮想ルーティング手段２１−１２へ転送される、送信元ＩＰアドレスが「ＩＰ＃１１」、送信元ポート番号が「Ｐｏｒｔ＃２」のパケットについて、プライベートアドレス「ＩＰ＃１１」がグローバルアドレス「ＩＰ＃２３」に変換され、送信元ポート番号「Ｐｏｒｔ＃２」が「Ｐｏｒｔ＃３」に変換される。
【００４９】
このとき、送信元ポート番号については、同一ＩＰアドレスの送信元について送信元ポート番号が重複しないようにＮＡＰＴ変換テーブル７８に設定される。以上のようなＮＡＰＴ変換の目的は、第１のネットワークであるＶＰＮ４５−１で利用するアドレスが付与された複数のユーザ端末装置１が送受信するパケットについて、接続先の第２のネットワークであるＩＳＰ５の１つの固定アドレスを用いて、パケットのアドレスまたはポート番号を変換することにより、第１のネットワークの複数のユーザ端末装置１と第２のネットワークとの通信を可能にすることにある。
【００５０】
このため、ＮＡＰＴ変換テーブル７８は、以下のような変換規則に基づいて設定される。
（Ａ）接続先の第２のネットワークへのパケットについて、送信元アドレス（第１のネットワークのユーザ端末装置のアドレス）を接続先の第２のネットワークで利用可能な固定アドレスに変換する。
（Ｂ）変換後の送信元ポート番号が逆変換可能となるよう、すなわち送信元アドレスと送信元ポート番号と送信先アドレスと送信先ポート番号とからなる１組の情報が変換の前後で一意に対応するよう変換する。
【００５１】
このような変換規則に基づいて設定されたＮＡＰＴ変換テーブル７８に従って、ＮＡＰＴ変換手段２２−１３は、ユーザ端末装置から第２のネットワークへのパケットについて、送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つを変換する。なお、第２のネットワークから転送されて到着する、送信先アドレスが前記固定アドレスのパケットについては、ＮＡＰＴ変換手段２２−１３は、ＮＡＰＴ変換テーブル７８の変換規則に基づいて逆変換する（固定アドレスをユーザ端末装置のアドレスに変換し、ポート番号を元のポート番号に変換する）。
【００５２】
以上の動作により、ユーザ端末装置１−１とＩＳＰ５とが、ＶＰＮサイト６−１のセキュリティポリシに従って、ゲートウェイ装置２−１の第１の仮想ルーティング手段２１−１１とファイアウォール手段２２−１と第２の仮想ルーティング手段２１−１２とアクセス網３とを介して接続され、ＶＰＮサイト６−１のセキュリティポリシに従って通信することが可能となる。
【００５３】
【発明の効果】
本発明によれば、ゲートウェイ装置にＮＡＰＴ変換手段とパケットフィルタリング手段とを設けることにより、１つのアクセス回線を用いて第１のネットワークと接続したユーザ端末装置が、同一のアクセス回線を用いて他の第２のネットワークと同時に接続することが可能となる。その理由は、第１の仮想ルーティング手段と第２の仮想ルーティング手段とＮＡＰＴ変換手段とパケットフィルタリング手段とを用いて、ユーザ端末装置と２つのネットワークとの間で送受信されるパケットを転送するからである。また、１つのアクセス回線を用いて第１のネットワークと接続したユーザ端末装置が、同一のアクセス回線を用いて第２のネットワークと同時に接続することにより、ユーザ端末装置と第２のネットワークとの通信によるトラフィックが第１のネットワークを通過することがなくなるので、ユーザ端末装置の通信速度の低下や第１のネットワークの接続回線のコスト増大といった問題がなくなる。
【００５４】
また、第１の仮想ルーティング手段に接続されたユーザ端末装置と第１のネットワークとの通信を行うとき、第１の仮想ルーティング手段と第１のネットワークとの接続を第１のネットワークのポリシサーバに対して要求する要求手段と、ポリシサーバからの回答に基づいて第１の仮想ルーティング手段及びパケットフィルタリング手段を設定する設定手段とをゲートウェイ装置に設けることにより、ゲートウェイ装置が接続する初期状態において、第１のネットワークと第２のネットワークの論理的独立性を確保することが可能になる。その理由は、ポリシサーバの回答に基づき、第１の仮想ルーティング手段と第２の仮想ルーティング手段との間の通信用のルーティング設定情報を第１の仮想ルーティング手段から削除し、第１の仮想ルーティング手段と第２の仮想ルーティング手段との間の通信用のパケットを全て廃棄するようパケットフィルタリング手段を設定するからである。
【００５５】
また、ユーザ端末装置と第１のネットワークとが第１の仮想ルーティング手段を介して接続され、かつユーザ端末装置と第２のネットワークとの通信を行うとき、第１の仮想ルーティング手段と第２のネットワークとを第２の仮想ルーティング手段を介して接続するようポリシサーバに対して要求する要求手段と、ポリシサーバからの回答に基づいて第１の仮想ルーティング手段、第２の仮想ルーティング手段、ＮＡＰＴ変換手段及びパケットフィルタリング手段を設定する設定手段とをゲートウェイ装置に設けることにより、ユーザ端末装置と第２のネットワークとが、第１のネットワークで定められた統一的なセキュリティポリシに従ったファイアウォールを介して通信することを可能とし、またそのファイアウォール設定を自動化することができる。その理由は、第１の仮想ルーティング手段と第２のネットワークとを第２の仮想ルーティング手段を介して接続するようポリシサーバに対して要求し、ポリシサーバの回答から第１の仮想ルーティング手段及び第２の仮想ルーティング手段のルーティング設定情報とＮＡＰＴ変換手段のＮＡＰＴ設定情報とパケットフィルタリング手段の実行規則とを取得して、ルーティング設定情報を第１の仮想ルーティング手段と第２の仮想ルーティング手段に設定し、第１の仮想ルーティング手段又は第２の仮想ルーティング手段から受信したパケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つを変換するようＮＡＰＴ変換手段を設定し、第１の仮想ルーティング手段と第２の仮想ルーティング手段との間のパケット転送を許可するようパケットフィルタリング手段を設定するからである。その結果、企業は、自営網を通過するトラフィックを抑制しつつファイアウォールの統一的な設定によりセキュリティを確保した広域社内網を構築することができる。
【００５６】
また、第１の仮想ルーティング手段と第１のネットワークとの間に設けられたフィルタリング装置に対して、第１の仮想ルーティング手段と第１のネットワークとの間のパケット転送を許可するようポリシサーバから設定を行う手順を実行することにより、要求手段及び設定手段を具備しないゲートウェイ装置とネットワークとの接続を排除することができる。その理由は、ポリシサーバはゲートウェイ装置の要求手段からの要求に基づき第１の仮想ルーティング手段と第１のネットワークとの間のパケット転送を許可するようフィルタリング装置を設定するので、要求手段及び設定手段を具備しないゲートウェイ装置ではフィルタリング装置によるファイアウォール機能を設定することができないからである。
【図面の簡単な説明】
【図１】 本発明の第１の実施の形態となる通信ネットワークシステムの構成を示すブロック図である。
【図２】 本発明の第１の実施の形態におけるゲートウェイ装置の構成を示すブロック図である。
【図３】 本発明の第１の実施の形態におけるゲートウェイ装置の第２の仮想ルーティング手段のルーティングテーブルの１例を示す図である。
【図４】 本発明の第１の実施の形態におけるゲートウェイ装置の第２のパケットフィルタリング手段のフィルタリングテーブルの１例を示す図である。
【図５】 本発明の第１の実施の形態におけるゲートウェイ装置の第１のパケットフィルタリング手段のフィルタリングテーブルの１例を示す図である。
【図６】 本発明の第１の実施の形態におけるゲートウェイ装置の第１の仮想ルーティング手段のルーティングテーブルの１例を示す図である。
【図７】 本発明の第１の実施の形態におけるゲートウェイ装置の第１のパケットフィルタリング手段のフィルタリングテーブルの１例を示す図である。
【図８】 本発明の第１の実施の形態におけるゲートウェイ装置の第１の仮想ルーティング手段のルーティングテーブルの１例を示す図である。
【図９】 本発明の第１の実施の形態におけるゲートウェイ装置の第２の仮想ルーティング手段のルーティングテーブルの１例を示す図である。
【図１０】 本発明の第１の実施の形態におけるゲートウェイ装置のＮＡＰＴ変換手段のＮＡＰＴ変換テーブルの１例を示す図である。
【符号の説明】
１−１〜１−４…ユーザ端末装置、２−１、２−２…ゲートウェイ装置、３…アクセス網、４…ＶＰＮサービス網、５…ＩＳＰ、６−１、６−２…ＶＰＮサイト、２１−１１、２１−１２…仮想ルーティング手段、２２−１…ファイアウォール手段、２２−１１、２２−１２…パケットフィルタリング手段、２２−１３…ＮＡＰＴ変換手段、２３…ＶＰＮエージェント、２４−１…ＰＰＰ終端手段、３１…ＢＡＳ、３２−１〜３２−３…網終端装置、４１−１、４１−２…フィルタリング装置、４３…ポリシサーバ、４４−１、４４−２…仮想ルータ、４５−１、４５−２…ＶＰＮ、６１−１、６１−２…ファイアウォール装置。
Claims (10)
- 論理的に独立した複数のルータとして動作する複数の仮想ルーティング手段を備え、ユーザ端末装置と接続先ネットワークとを接続するゲートウェイ装置において、
第１のネットワークを接続先とする第１の仮想ルーティング手段と第２のネットワークを接続先とする第２の仮想ルーティング手段との間の通信において、パケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つを変換するＮＡＰＴ変換手段と、
前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信において、パケットの転送又は廃棄を行うパケットフィルタリング手段とを有することを特徴とするゲートウェイ装置。 - 請求項１に記載のゲートウェイ装置において、
前記第１の仮想ルーティング手段に接続されたユーザ端末装置と前記第１のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第１のネットワークとの接続を前記第１のネットワークのポリシサーバに対して要求する要求手段と、
前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段及び前記パケットフィルタリング手段を設定する設定手段とを有することを特徴とするゲートウェイ装置。 - 請求項２に記載のゲートウェイ装置において、
前記設定手段は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段から削除し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のパケットを全て廃棄するよう前記パケットフィルタリング手段を設定することを特徴とするゲートウェイ装置。 - 請求項１に記載のゲートウェイ装置において、
ユーザ端末装置と前記第１のネットワークとが前記第１の仮想ルーティング手段を介して接続され、かつ前記ユーザ端末装置と前記第２のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第２のネットワークとを前記第２の仮想ルーティング手段を介して接続するよう前記ポリシサーバに対して要求する要求手段と、
前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段、前記第２の仮想ルーティング手段、前記ＮＡＰＴ変換手段及び前記パケットフィルタリング手段を設定する設定手段とを有することを特徴とするゲートウェイ装置。 - 請求項４に記載のゲートウェイ装置において、
前記設定手段は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段に設定し、前記第１の仮想ルーティング手段又は前記第２の仮想ルーティング手段から受信したパケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つに対して、前記ユーザ端末装置と前記第２のネットワークとの通信を可能にする変換を行うよう前記ＮＡＰＴ変換手段を設定し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間のパケット転送を許可するよう前記パケットフィルタリング手段を設定することを特徴とするゲートウェイ装置。 - 論理的に独立した複数のルータとして動作する複数の仮想ルーティング手段を備えたゲートウェイ装置による通信方法において、
第１のネットワークを接続先とする第１の仮想ルーティング手段と第２のネットワークを接続先とする第２の仮想ルーティング手段との間の通信において、パケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つを変換するＮＡＰＴ変換手順と、
前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信において、パケットの転送又は廃棄を行うパケットフィルタリング手順とを実行することを特徴とするゲートウェイ装置による通信方法。 - 請求項６に記載のゲートウェイ装置による通信方法において、
前記第１の仮想ルーティング手段に接続されたユーザ端末装置と前記第１のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第１のネットワークとの接続を前記第１のネットワークのポリシサーバに対して要求する要求手順と、
前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段及び前記パケットフィルタリング手段を設定する設定手順とを実行することを特徴とするゲートウェイ装置による通信方法。 - 請求項７に記載のゲートウェイ装置による通信方法において、
前記第１の仮想ルーティング手段と前記第１のネットワークとの間に設けられたフィルタリング装置に対して、前記第１の仮想ルーティング手段と前記第１のネットワークとの間のパケット転送を許可するよう前記ポリシサーバから設定を行う手順を実行し、
前記設定手順は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段から削除し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のパケットを全て廃棄するよう前記パケットフィルタリング手段を設定することを特徴とするゲートウェイ装置による通信方法。 - 請求項６に記載のゲートウェイ装置による通信方法において、
ユーザ端末装置と前記第１のネットワークとが前記第１の仮想ルーティング手段を介して接続され、かつ前記ユーザ端末装置と前記第２のネットワークとの通信を行うとき、前記第１の仮想ルーティング手段と前記第２のネットワークとを前記第２の仮想ルーティング手段を介して接続するよう前記ポリシサーバに対して要求する要求手順と、
前記ポリシサーバからの回答に基づいて前記第１の仮想ルーティング手段、前記第２の仮想ルーティング手段、前記ＮＡＰＴ変換手段及び前記パケットフィルタリング手段を設定する設定手順とを実行することを特徴とするゲートウェイ装置による通信方法。 - 請求項９に記載のゲートウェイ装置による通信方法において、
前記設定手順は、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間の通信用のルーティング設定情報を前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段に設定し、前記第１の仮想ルーティング手段又は前記第２の仮想ルーティング手段から受信したパケットの送信元アドレス、送信元ポート番号、送信先アドレス及び送信先ポート番号のうち少なくとも１つに対して、前記ユーザ端末装置と前記第２のネットワークとの通信を可能にする変換を行うよう前記ＮＡＰＴ変換手段を設定し、前記第１の仮想ルーティング手段と前記第２の仮想ルーティング手段との間のパケット転送を許可するよう前記パケットフィルタリング手段を設定することを特徴とするゲートウェイ装置による通信方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002038328A JP3714549B2 (ja) | 2002-02-15 | 2002-02-15 | ゲートウェイ装置及びそれによる通信方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002038328A JP3714549B2 (ja) | 2002-02-15 | 2002-02-15 | ゲートウェイ装置及びそれによる通信方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003244245A JP2003244245A (ja) | 2003-08-29 |
| JP3714549B2 true JP3714549B2 (ja) | 2005-11-09 |
Family
ID=27779671
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002038328A Expired - Fee Related JP3714549B2 (ja) | 2002-02-15 | 2002-02-15 | ゲートウェイ装置及びそれによる通信方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3714549B2 (ja) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP5824911B2 (ja) | 2011-06-29 | 2015-12-02 | 富士通株式会社 | 情報処理装置、情報処理プログラムおよび管理方法 |
| JP5673398B2 (ja) * | 2011-07-05 | 2015-02-18 | 富士通株式会社 | 情報処理装置、情報処理プログラムおよび管理方法 |
| JP6191259B2 (ja) * | 2013-06-11 | 2017-09-06 | 富士通株式会社 | ネットワーク分離方法及びネットワーク分離装置 |
-
2002
- 2002-02-15 JP JP2002038328A patent/JP3714549B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003244245A (ja) | 2003-08-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6381646B2 (en) | Multiple network connections from a single PPP link with partial network address translation | |
| JP4738901B2 (ja) | Ｖｌａｎｉｄ動的割当方法及びパケット転送装置 | |
| US9419815B2 (en) | Domain-less service selection | |
| US8578441B2 (en) | Enforcing network security policies with packet labels | |
| EP1062784B1 (en) | Providing secure access to network services | |
| US7325058B1 (en) | Method and system for controlling subscriber access in a network capable of establishing connections with a plurality of domain sites | |
| US20040223499A1 (en) | Communications networks with converged services | |
| US20030174714A1 (en) | Zero-installation PPP-Bridge setup for lan-to-wan connectivity | |
| US20080151906A1 (en) | System and Method for Transparent Virtual Routing | |
| JP2007536851A (ja) | セッションベースのパケット交換装置 | |
| GB2418110A (en) | Controlling traffic passed between logical zones in a network representing a layered tunnel model | |
| EP1695508A1 (en) | Ethernet dsl access multiplexer and method providing dynamic service selection and end-user configuration | |
| JP3813908B2 (ja) | プライベート網間接続方法およびゲートウェイ制御装置 | |
| JP3714549B2 (ja) | ゲートウェイ装置及びそれによる通信方法 | |
| Cisco | Network Scenarios | |
| Cisco | Miscellaneous Features | |
| Cisco | Using the Command Line Interface | |
| Cisco | Feature-By-Feature Configuration | |
| Cisco | Miscellaneous Features | |
| Cisco | Glossary | |
| Cisco | Release Notes for Cisco 7000 Family for Cisco IOS Release 12.2 B | |
| Cisco | Feature-By-Feature Router Configurations | |
| Cisco | Glossary | |
| Cisco | Glossary | |
| Cisco | Glossary |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050520 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050817 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050818 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080902 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090902 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090902 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100902 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100902 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110902 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120902 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130902 Year of fee payment: 8 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| LAPS | Cancellation because of no payment of annual fees |