JP3887325B2 - データ通信網システムおよびデータ通信網接続制御方法 - Google Patents
データ通信網システムおよびデータ通信網接続制御方法 Download PDFInfo
- Publication number
- JP3887325B2 JP3887325B2 JP2003030930A JP2003030930A JP3887325B2 JP 3887325 B2 JP3887325 B2 JP 3887325B2 JP 2003030930 A JP2003030930 A JP 2003030930A JP 2003030930 A JP2003030930 A JP 2003030930A JP 3887325 B2 JP3887325 B2 JP 3887325B2
- Authority
- JP
- Japan
- Prior art keywords
- communication network
- provider
- connection
- service processing
- user
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、データ通信サービスを提供するプロバイダ通信網およびユーザ通信網の間の接続を制御する技術に関し、複数のプロバイダ通信網と通信を行うユーザが、プロバイダごとに提供される適切な付加価値サービスを容易に利用し、プロバイダはユーザに提供するサービスを適切に管理するために適用されるべき技術であり、特に外部のネットワークと隔絶して構成される仮想閉域網（ＶＰＮ）サービスを提供するプロバイダ通信網において、複数プロバイダ通信網と通信するサービスを提供する技術として好適である。
【０００２】
【従来の技術】
従来、プロバイダ通信網が、ユーザ通信網と外部のプロバイダ通信網との間を仲介してユーザ通信網と外部のプロバイダ通信網との通信を提供する場合、外部のプロバイダ通信網と合意の上で、この外部のプロバイダ通信網との間に接続装置を設置することにより、ユーザ通信網と外部のプロバイダ通信網との間のデータ転送を実現していた。また、プロバイダ通信網は、外部のプロバイダ通信網とデータ転送経路情報を交換することにより、外部のプロバイダ通信網と接続される別のプロバイダ通信網とデータ転送を行っていた（例えば、非特許文献１参照）。
【０００３】
接続する複数のプロバイダ通信網がＶＰＮ（Virtual Private Network ）を提供する場合は、それぞれのプロバイダ通信網が合意の上で互いに接続し、それぞれのプロバイダ通信網のユーザが合意の上でＶＰＮ間を接続していた。また、ユーザ間の通信を制限する場合は、接続装置においてアドレス変換、パケットフィルタリングなどの処理を行っていた（例えば、特許文献１参照）。
【０００４】
また、ユーザ通信網がプロバイダ通信網に対する通信路を設定する際は、ユーザが接続認証情報等をプロバイダ通信網に送信した上で接続を行っており、ユーザが複数のプロバイダ通信網に接続する場合には、ユーザが各プロバイダ通信網ヘの接続をそれぞれ独立に行っていた（例えば、非特許文献２参照）。
【０００５】
ユーザが複数のＶＰＮの中から１つのＶＰＮを選択して接続する際には、ユーザ通信網の装置からプロバイダ通信網情報や認証情報等を送信し、サーバと認証を行い、ユーザ収容ノードとの間に通信路を設定してＶＰＮに接続し、ユーザ通信網の装置があらかじめ保持するパケット処理プログラムによってそれぞれのＶＰＮに独立に接続していた（例えば、特許文献２参照）。なお、出願人は、本明細書に記載した先行技術文献情報で特定される先行技術文献以外には、本発明に関連する先行技術文献を出願時までに発見するには至らなかった。
【０００６】
【特許文献１】
特開２００２−９４５０８号公報
【特許文献２】
特開２００１−２６８１２５号公報
【非特許文献１】
中川他，「次世代インターネットエクスチェンジ技術動向」，情報処理，社団法人情報処理学会発行学会，２００１年７月１５日，第４２巻，第７号，ｐ．７０２〜７０８
【非特許文献２】
「スケーラブルサポートフォアマルチホームドマルチプロバイダコネクティビティ（Scalable Support for Multi-homed Multi-provider Connectivity）」，リクエストフォアコメント（Request For Comment：RFC）２２６０，インターネットエンジニアリングタスクフォース（Internet Engineering Task Force:IETF），１９９８年
【０００７】
【発明が解決しようとする課題】
従来のデータ通信サービスでは、通信元ユーザ端末装置が単一のＶＰＮプロバイダ通信網に接続して通信先ユーザ端末装置と通信を行う場合、通信可能な通信先ユーザ端末装置が限られるという問題点があった。その理由は、通信元ユーザ端末装置が接続するＶＰＮプロバイダ通信網は、相互接続する他のＶＰＮプロバイダ通信網との通信のみを提供するため、当該ＶＰＮプロバイダ通信網に接続性をもたないユーザ端末装置とは通信できないためである。
【０００８】
また、従来のデータ通信サービスでは、プロバイダ通信網が相互接続する他のプロバイダ通信網と通信する場合、（Ａ）通信経路が冗長になる、（Ｂ）通信品質が劣化する、（Ｃ）サービスコストが増大するという問題点があった。その理由は、通信元ユーザ端末装置が接続するプロバイダ通信網、このプロバイダ通信網と他のプロバイダ通信網とを相互接続する接続装置、および通信先ユーザ端末装置が接続する他のプロバイダ通信網を経由して、通信元ユーザ端末装置と通信先ユーザ端末装置の通信が行われるためであり、接続装置に対してトラフィックが集中するからである。
【０００９】
他の理由として、インターネットなどの公衆網においては、通信元ユーザ端末装置が接続するプロバイダ通信網と通信先ユーザ端末装置が接続するプロバイダ通信網との間にさらに複数のプロバイダ通信網が介在する場合があり、通信経路が冗長となるからである。さらに別の理由として、ＶＰＮプロバイダ通信網が相互接続する他のＶＰＮプロバイダ通信網のユーザ端末装置と通信する場合、接続装置において全てのユーザ端末装置に対応した処理をあらかじめ設定するため、パケットフィルタリングテーブルやアドレス変換テーブルなどが必要以上に肥大化し、処理コストが増大し、通信品質の劣化またはサービスコストの増大を招くからである。
【００１０】
また、従来のデータ通信サービスでは、ユーザ端末装置が複数のプロバイダ通信網に接続し、通信先となるユーザ端末装置ごとに経由するプロバイダを選択する場合、ユーザの管理コストが増大するという問題点があった。その理由は、接続先のプロバイダをユーザが管理し、パケットのルーチング等を設定する必要があるからである。
【００１１】
また、従来のデータ通信サービスでは、ユーザ端末装置が複数のＶＰＮプロバイダ通信網と接続する場合、ユーザのセキュリティ管理コストが増大するという問題点があった。その理由は、ＶＰＮプロバイダ通信網は、ユーザが接続する他のプロバイダ通信網のＶＰＮを識別することができないため、ユーザに適切なセキュリティの制御設定の管理を提供することができず、ユーザがセキュリティ管理を行う必要があるからである。
【００１２】
また、従来のデータ通信サービスでは、ユーザ端末装置が接続先のプロバイダ通信網およびＶＰＮを申告して、プロバイダ通信網で接続を制御・管理する場合、ユーザの利便性が低下するとともに、プロバイダが信頼性のあるサービスとしてプロバイダ接続の制御を提供できないという問題があった。その理由は、ユーザが接続先のプロバイダ通信網およびＶＰＮを申告したとしても、申告する情報を誤った場合、外部のプロバイダ通信網との間で正当性を確認することができないからである。
【００１３】
本発明の目的は、以上の問題点を解決し、ユーザの複数プロバイダ通信網への接続を許容して接続性の向上と通信経路の短縮化、通信品質劣化の回避およびコストの低減を図れるように複数プロバイダ通信網との接続を制御するサービスを提供することにある。また、複数のプロバイダがそれぞれ提供するＶＰＮ−インターネット通信サービスなどの種々の付加価値サービスをユーザごとに安全に容易に提供することにある。
【００１４】
【課題を解決するための手段】
本発明は、ユーザ端末装置に対してサービスを提供するサービス処理装置を備えたユーザ通信網と、前記サービス処理装置を介して前記ユーザ端末装置と接続するユーザ収容ノード、および情報管理を行うプロバイダサーバを備えたプロバイダ通信網と、前記サービス処理装置と前記ユーザ収容ノードとを接続するアクセス網とを有するデータ通信網システムにおいて、前記サービス処理装置は、前記ユーザ通信網あるいは前記プロバイダ通信網から受信したパケットをルーチング情報に基づいて送信先の通信網に転送するパケット転送手段（図２の１１１）と、前記プロバイダ通信網のユーザ収容ノードとの間に通信路が設定されたとき、このプロバイダ通信網に設けられたプロバイダサーバとの間に論理コネクションを設定する第１の論理接続手段（図２の１１６６，１１７６）と、前記論理コネクションが設定されたプロバイダ通信網との接続を求めるユーザ要求を前記ユーザ通信網に収容されたユーザ端末装置から受信したとき、前記論理コネクションが設定された複数のプロバイダ通信網の各プロバイダサーバに、前記ユーザ要求で接続先として指定された他のプロバイダ通信網との外部接続要求を前記論理コネクションを介して送信する外部接続要求手段（図２の１１６７，１１７７）と、前記外部接続要求を受信したプロバイダサーバから送信される認証情報を前記他のプロバイダ通信網のプロバイダサーバに転送するサーバ転送手段（図２の１１５）と、前記プロバイダサーバによる制御に応じて、自装置を介した前記複数のプロバイダ通信網間あるいは自装置を介した前記ユーザ通信網と前記プロバイダ通信網間のデータ転送のための前記ルーチング情報を前記パケット転送手段に設定するプロバイダ通信網接続手段（図２の１１４）とを備え、前記プロバイダサーバは、前記サービス処理装置との間に前記論理コネクションを設定する第２の論理接続手段（図３、図４の６５２，７５２）と、前記外部接続要求に応じて前記他のプロバイダ通信網のプロバイダサーバとの間で前記サービス処理装置を介して認証情報を送受信する認証処理手段（図３、図４の６５４，７５４）と、前記複数のプロバイダ通信網間で認証が成立した後に、前記ルーチング情報の設定を遠隔制御するプロバイダ通信網接続制御手段（図３、図４の６５５，７５５）と、前記サービス処理装置を介して接続された前記他のプロバイダ通信網との接続情報を管理するプロバイダ通信網接続管理手段（図３、図４の６５７，７５７）とを備えるものである。
【００１５】
また、本発明は、ユーザ端末装置に対してサービスを提供するサービス処理装置を備えたユーザ通信網と、前記サービス処理装置を介して前記ユーザ端末装置と接続するユーザ収容ノードおよび情報管理を行うプロバイダサーバを備えたプロバイダ通信網と、前記サービス処理装置と前記ユーザ収容ノードとを接続するアクセス網とを有するデータ通信網システムにおいて、各ユーザ通信網の間あるいはユーザ通信網とプロバイダ通信網との間でデータを転送するデータ通信網接続制御方法において、前記ユーザ通信網のサービス処理装置と前記プロバイダ通信網のユーザ収容ノードとの間に通信路が設定されたとき、このプロバイダ通信網に設けられたプロバイダサーバと前記サービス処理装置との間に論理コネクションを設定する論理コネクション設定手順（図７のＳ１０９）と、前記ユーザ通信網のサービス処理装置において前記論理コネクションが設定されたプロバイダ通信網との接続を求めるユーザ要求をこのユーザ通信網に収容されたユーザ端末装置から受信したとき、前記論理コネクションが設定された複数のプロバイダ通信網の各プロバイダサーバに、前記ユーザ要求で接続先として指定された他のプロバイダ通信網との外部接続要求を前記サービス処理装置から前記論理コネクションを介して送信する外部接続要求手順（図７のＳ１１０，Ｓ１１２）と、前記外部接続要求に応じて前記複数のプロバイダ通信網の各プロバイダサーバ間で前記サービス処理装置を介して相互に認証を行う認証手順（図７のＳ１１１，図８のＳ１１３）と、前記認証の成立後に前記複数のプロバイダ通信網の各プロバイダサーバから前記論理コネクションを介して前記サービス処理装置のルーチング情報設定を制御する遠隔制御手順（図８のＳ１１４，Ｓ１１５）と、前記サービス処理装置を介して接続された前記複数のプロバイダ通信網の各プロバイダサーバにおいて前記複数のプロバイダ通信網に含まれる他のプロバイダ通信網との接続情報を管理するプロバイダ通信網接続管理手順とを実行し、前記ルーチング情報の設定により前記サービス処理装置を介した前記複数のプロバイダ通信網間あるいは前記サービス処理装置を介した前記ユーザ通信網と前記複数のプロバイダ通信網間のデータ転送を制御し、前記ユーザ通信網のプロバイダ通信網接続を制御するようにしたものである。
【００１６】
また、本発明のデータ通信網接続制御方法の１構成例において、前記外部接続要求手順は、前記他のプロバイダ通信網のユーザ収容ノード間に論理的に隔絶された複数の仮想閉域網が構築されている場合、前記ユーザ要求で接続先として指定された仮想閉域網を識別する仮想網識別子を用いて、この指定された仮想閉域網との外部接続を要求し、前記認証手順は、前記外部接続要求を受信したプロバイダサーバにおいて、この外部接続要求で接続先として指定された他のプロバイダ通信網を前記仮想網識別子に基づいて特定するようにしてもよい。
また、本発明のデータ通信網接続制御方法の１構成例は、前記論理コネクション設定手順を行う前に、前記ユーザ要求で接続先として指定されたプロバイダ通信網のプロバイダサーバにおいて、前記ユーザ要求を受信したサービス処理装置が予め規定された通信手順に従うか否かを判定する通信判定手順（図７のＳ１０７）を実行し、前記サービス処理装置が前記通信手順に従わないと判定された場合、前記論理コネクション設定手順を実行せずに、前記判定を行ったプロバイダサーバから同じプロバイダ通信網内のユーザ収容ノードに切断要求を送信して、このユーザ収容ノードと前記ユーザ要求を受信したサービス処理装置との間の通信路を切断させるようにしてもよい。
また、本発明のデータ通信網接続制御方法の１構成例は、前記サービス処理装置を介した他のプロバイダ通信網との外部接続の可否をサービス処理装置ごとに示すサービス処理装置情報を、前記複数のプロバイダ通信網の各プロバイダサーバで管理し、前記認証手順を行う前に、前記外部接続要求を受信したプロバイダサーバにおいて、前記外部接続要求を送信したサービス処理装置とこの外部接続要求で接続先として指定された他のプロバイダ通信網との外部接続が可能か否かを前記サービス処理装置情報に基づいて判定する接続可否判定手順を実行し、この接続可否判定手順で前記サービス処理装置と前記プロバイダ通信網との外部接続が可能と判定された場合のみ、前記認証手順および前記遠隔制御手順を行うようにしてもよい。
【００１７】
また、本発明のデータ通信網接続制御方法の１構成例は、前記論理コネクション設定手順を行う前に、前記ユーザ要求で接続先として指定されたプロバイダ通信網のユーザ収容ノードと前記ユーザ要求を受信したサービス処理装置との間で通信路設定用の接続認証情報を送受信する接続認証手順（図７のＳ１０３）と、前記接続先として指定されたプロバイダ通信網のユーザ収容ノードにおいて、前記ユーザ要求を受信したサービス処理装置が認証された場合のみ、このユーザ収容ノードと前記認証されたサービス処理装置との間のアクセス網に通信路を設定する通信路設定手順（図７のＳ１０４）と、前記接続認証を行ったユーザ収容ノードから同じプロバイダ通信網のプロバイダサーバに対して前記認証されたサービス処理装置の接続認証情報を通知する通知手順と、前記通知を受けたプロバイダサーバにおいて前記接続認証情報に基づき、前記ユーザ要求を発したユーザの情報と前記認証されたサービス処理装置の情報とを管理する管理手順（図７のＳ１０５）とを実行するようにしてもよい。
また、本発明のデータ通信網接続制御方法の１構成例は、前記サービス処理装置を介して前記ユーザ通信網と前記複数のプロバイダ通信網間で転送されるパケットに対して付加価値サービス処理を行うためのサービス処理プログラムを、前記複数のプロバイダ通信網の各プロバイダサーバから前記論理コネクションを介して前記サービス処理装置に設定するサービス処理プログラム設定手順（図８のＳ１１６〜Ｓ１１８）と、前記設定されたサービス処理プログラムに従って、各プロバイダ通信網ごとにあらかじめ規定された前記付加価値サービス処理を前記サービス処理装置で行うサービス処理手順（図８のＳ１１９）とを実行するようにしてもよい。
【００１８】
また、本発明のデータ通信網接続制御方法の１構成例において、前記サービス処理は、ルーチング処理、パケットフィルタリング処理、アドレス変換処理、暗号化通信処理または通信品質識別処理のうちの少なくとも１つである。
また、本発明のデータ通信網接続制御方法の１構成例において、前記サービス処理は、ポートスキャンパケットの検出処理、サービス妨害パケットの検出処理、ウィルスデータの検出処理またはＨＴＴＰにおける通信禁止ＵＲＬの検出処理のうちの少なくとも１つであり、検出された有害なパケットを廃棄するようにしたものである。
また、本発明のデータ通信網接続制御方法の１構成例において、前記サービス処理は、ウェブサーバ処理、メールサーバ処理、ＤＮＳサーバ処理またはＤＨＣＰサーバ処理のうちの少なくとも１つである。
【００１９】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して詳細に説明する。図１は、本発明の実施の形態となるデータ通信網の１構成例を示すブロック図である。ユーザ通信網１０，２０，３０，４０には、それぞれサービス処理装置１１，２１，３１，４１が設置されており、またそれぞれＩＰ通信を行うユーザ端末装置１２，２２，３２，４２が接続されている。サービス処理装置１１，２１，３１，４１は、それぞれユーザ端末装置１２，２２，３２，４２に対してサービスを提供する。
【００２０】
プロバイダ通信網６０には、サービス処理装置を介してユーザ端末装置と接続するユーザ収容ノード６１，６３と情報管理を行うプロバイダサーバ６５とが設置され、またプロバイダ通信網６０により仮想閉域網（ＶＰＮ）６６，６７が構築されている。プロバイダ通信網７０には、ユーザ収容ノード７１，７３とプロバイダサーバ７５とが設置されている。プロバイダ通信網８０には、ユーザ収容ノード８２，８４とプロバイダサーバ８５とが設置され、またプロバイダ通信網８０により仮想閉域網８６，８７が構築されている。
【００２１】
図２は、サービス処理装置１１の１構成例を示すブロック図である。通信手段１１０は、ユーザ通信網１０を介してユーザ端末装置１２と通信する通信インターフェイス機能を有する。通信手段１１６５，１１７５は、アクセス網５１を介してそれぞれユーザ収容ノード６１，７１と通信する通信インターフェイス機能を有する。
【００２２】
接続認証手段１１６４，１１７４は、それぞれ通信手段１１６５，１１７５を通じて通信路設定用の接続認証を行う機能を有する。論理接続手段１１６６，１１７６は、それぞれ通信手段１１６５，１１７５を通じて各プロバイダサーバ毎に論理コネクションを設定する機能を有する。
【００２３】
外部接続要求手段１１６７，１１７７は、それぞれ論理接続手段１１６６，１１７６が設定した論理コネクションを利用して、プロバイダサーバに対してサービス処理装置１１を介した他のプロバイダ通信網との外部接続を要求する機能を有する。プログラム制御手段１１６３，１１７３は、それぞれ論理接続手段１１６６，１１７６が設定した論理コネクションを利用して、後述するサービス処理プログラムに対するプロバイダからの遠隔制御を受け付ける機能を有する。
【００２４】
サービス処理手段１１６１，１１７１は、通信手段１１０を介してユーザ通信網１０とパケットを送受信し、それぞれ通信手段１１６５，１１７５を介してプロバイダ通信網とパケットを送受信し、後述するパケット転送手段１１１とパケットを送受信する機能を有する。また、サービス処理手段１１６１，１１７１は、それぞれプログラム制御手段１１６３，１１７３によって設定されるサービス処理プログラム１１６２，１１７２を記憶しており、このサービス処理プログラム１１６２，１１７２にしたがって送受信パケットに付加的なサービス処理を施す。
【００２５】
パケット転送手段１１１は、ルーチング情報１１２を記憶しており、このルーチング情報１１２を参照して受信パケットの送信先アドレスから転送方路を決定し、受信パケットを当該方路のサービス処理手段１１６１または１１７１に転送する機能を有する。プロバイダ通信網接続管理手段１１３は、ユーザ端末装置１２からの外部接続要求を受信して、接続認証手段１１６４または１１７４に接続認証処理を要求する機能と、外部接続要求手段１１６７または１１７７に外部接続を要求する機能と、プロバイダサーバからの遠隔制御を受けて、後述するプロバイダ通信網接続手段１１４に接続設定を要求する機能とを有する。
【００２６】
プロバイダ通信網接続手段１１４は、プロバイダ通信網接続管理手段１１３からの接続設定要求を受けて、パケット転送手段１１１に接続設定を行う機能を有する。サーバ転送手段１１５は、論理接続手段１１６６，１１７６を介してプロバイダサーバと送受信するプロバイダサーバ間のパケット（認証情報）を転送する機能を有する。なお、図２の例では、サービス処理装置１１の構成のみについて説明したが、サービス処理装置２１，３１，４１についても同様の構成となっている。
【００２７】
図３は、プロバイダサーバ６５の１構成例を示すブロック図である。ユーザ管理手段６５０は、ユーザ情報やユーザへのサービス提供状況を管理して、ユーザへの課金などに使用される情報をプロバイダサーバ６５の他の構成に提供する機能を有する。通信手段６５１は、プロバイダ通信網６０とパケットを送受信するインターフェース機能を有する。論理接続手段６５２は、あらかじめ規定された通信手順で、サービス処理装置の論理接続手段１１６６または１１７６と論理コネクションを設定する機能を有する。
【００２８】
遠隔制御手段６５３は、論理接続手段６５２が設定した論理コネクションを介してサービス処理装置を遠隔制御する機能を有する。認証処理手段６５４は、他のプロバイダ通信網に設置されたプロバイダサーバと認証を行う機能を有する。プロバイダ通信網接続制御手段６５５は、後述するプロバイダ通信網接続管理手段６５７のプロバイダ通信網接続情報に基づいて、後述するサービス処理装置管理手段６５６からサービス処理装置情報を取得し、サービス処理装置に対してプロバイダ通信網接続の遠隔制御を行う機能を有する。
【００２９】
サービス処理装置管理手段６５６は、サービス処理装置の情報を管理し、ユーザ管理手段６５０からユーザ情報を取得して、ユーザ端末装置と接続されるサービス処理装置を特定すると共に、ユーザに対するサービス提供の状況をユーザ管理手段６５０に通知する機能を有する。
【００３０】
プロバイダ通信網接続管理手段６５７は、全てのプロバイダ通信網６０，７０，８０の情報を管理しており、プロバイダ通信網を一意に識別する識別子からプロバイダ通信網を特定し、仮想閉域網については仮想閉域網を一意に識別する仮想網識別子と仮想網管理手段６５９で管理されている仮想閉域網の情報とにより仮想閉域網を特定し、またユーザ管理手段６５０からユーザごとのプロバイダ接続情報を取得して、プロバイダ通信網接続制御手段６５５の遠隔制御を要求する機能を有する。
【００３１】
接続制御手段６５８は、通信手段６５１を介してユーザ収容ノードから接続認証情報を取得し、プロバイダ通信網６０に接続されたサービス処理装置の情報をサービス処理装置管理手段６５６に通知するとともに、遠隔制御不可能なサービス処理装置をプロバイダ通信網６０から切断する要求をユーザ収容ノードに送信する機能を有する。仮想閉域網６５９は、全てのプロバイダ通信網６０，７０，８０で構築される仮想閉域網６６，６７，８６，８７の情報を管理する機能を有する。
【００３２】
プログラム管理手段６５１１は、プロバイダ通信網６０であらかじめ規定された付加価値サービス処理をサービス処理装置で実行させるためのサービス処理プログラムを管理する機能を有する。プログラム制御手段６５１０は、プログラム管理手段６５１１で管理されるサービス処理プログラムを設定先のサービス処理装置に送信して、このサービス処理装置をサービス処理プログラムに従って作動させる遠隔制御を行う機能を有する。
【００３３】
なお、プロバイダサーバ７５，８５についてもプロバイダサーバ６５と同様の構成となっており、図４にプロバイダサーバ７５の１構成例を示す。プロバイダサーバ７５は、ユーザ管理手段７５０、通信手段７５１、論理接続手段７５２、遠隔制御手段７５３、認証処理手段７５４、プロバイダ通信網接続制御手段７５５、サービス処理装置管理手段７５６、プロバイダ通信網接続管理手段７５７、接続制御手段７５８、仮想網管理手段７５９、プログラム制御手段７５１０およびプログラム管理手段７５１１を有している。
【００３４】
図５は、ユーザ収容ノード６１の１構成例を示すブロック図である。通信手段６１０は、プロバイダ通信網６０と通信するインターフェイス機能を有する。通信手段６１１，６１２は、アクセス網５１を介してそれぞれサービス処理装置１１，２１と通信するインターフェイス機能を有する。
【００３５】
接続認証手段６１３は、サービス処理装置１１，２１からの接続認証要求を受信して、ユーザの認証を実施し、通信手段６１１，６１２に対して通信路の設定または切断の制御を行うとともに、後述するユーザパケット転送手段６１６，６１７の転送設定を行う機能を有する。また、接続認証手段６１３は、後述する制御管理手段６１４に接続認証情報を送信し、制御管理手段６１４から通信路切断要求を取得する。
【００３６】
制御管理手段６１４は、接続認証手段６１３の接続認証情報をプロバイダサーバ６５に送信し、プロバイダサーバ６５から受信した通信路切断要求を接続認証手段６１３に送信するとともに、通信手段６１０，６１１，６１２の制御を行う機能を有する。
【００３７】
ユーザパケット転送手段６１６，６１７は、ユーザ通信網から通信手段６１１，６１２を介して受信したユーザパケットに対し、ユーザパケットの送信先アドレスを基に転送先ユーザ収容ノードのユーザパケット転送手段に対応する仮想網アドレスと仮想網番号とを記述したラベルを付与し、ラベルを付与したユーザパケット（仮想閉域網パケット）を仮想閉域網パケット転送手段６１５に送信する機能を有する。
【００３８】
また、ユーザパケット転送手段６１６，６１７は、通信手段６１０および仮想閉域網パケット転送手段６１５を介して受信した仮想閉域網パケットのラベルを除去して、このラベルを除去した後のユーザパケットの送信先アドレスに基づいて、ユーザパケットを通信手段６１１，６１２および通信路を介してユーザ通信網に転送する機能を有する。
【００３９】
仮想閉域網パケット転送手段６１５は、ユーザパケット転送手段６１６，６１７から受信した仮想閉域網パケットの仮想網アドレスに基づいて、この仮想閉域網パケットを通信手段６１０を介して仮想閉域網に転送し、通信手段６１０を介して仮想閉域網から受信した仮想閉域網パケットをユーザパケット転送手段６１６，６１７に転送する機能を有する。
【００４０】
以上の構成により、ユーザ収容ノード６１は、通信手段６１１，６１２が設定した通信路と仮想閉域網とを対応させ、この通信路が接続するサービス処理装置と仮想閉域網との間でパケットを転送することを可能にする。なお、図５の例では、ユーザ収容ノード６１の構成のみについて説明したが、ユーザ収容ノード６３，８２，８４についても同様の構成となっている。
【００４１】
図６は、ユーザ収容ノード７１の１構成例を示すブロック図である。ユーザ収容ノード７１は、通信手段６１０，６１１，６１２、接続認証手段６１３、制御管理手段６１４と同様の通信手段７１０，７１１，７１２、接続認証手段７１３、制御管理手段７１４を有するとともに、パケット転送手段７１５を有する。ユーザ収容ノード６１と異なるのは、パケット転送手段７１５が通信手段７１０，７１１，７１２から受信したユーザパケットの送信先アドレスに基づいて、このユーザパケットを転送する点である。図６の例では、ユーザ収容ノード７１の構成のみについて説明したが、ユーザ収容ノード７３についても同様の構成となっている。
【００４２】
アクセス網５１には、サービス処理装置１１とユーザ収容ノード６１との間に通信路５１６が設定され、サービス処理装置２１とユーザ収容ノード６１との間に通信路５２６が設定され、サービス処理装置２１とユーザ収容ノード７１との間に通信路５２７が設定され、アクセス網５２には、サービス処理装置２１とユーザ収容ノード８２との間に通信路５２８が設定されている。
【００４３】
また、アクセス網５３には、サービス処理装置３１とユーザ収容ノード６３との間に通信路５３６が設定され、サービス処理装置３１とユーザ収容ノード７３との間に通信路５３７が設定され、サービス処理装置４１とユーザ収容ノード７３との間に通信路５４７が設定され、アクセス網５４には、サービス処理装置４１とユーザ収容ノード８４との間に通信路５４８が設定されている。すなわち、サービス処理装置１１，２１，３１，４１の通信手段１１０とプロバイダサーバ６５，７５，８５の通信手段６５１，７５１（プロバイダサーバ８５の通信手段は不図示）との間に通信路が設定されている。
【００４４】
これらの通信路としては、例えば専用線、ＡＴＭ（Asynchronous Transfer Mode）のＶＣ（Virtual Channel ）、ＰＰＰｏＥ（Point to Point Protocol over Ethernet（登録商標） ）、８０２．１Ｑなどを用いることができる。ユーザ収容ノード６１においては、通信路５１６と仮想閉域網６６とが対応している。ここで、ユーザ端末装置１２，２２，３２，４２には、それぞれＩＰアドレスＰ−１，Ｐ−２，Ｐ−３，Ｇ−４が割り当てられているものとする。
【００４５】
以上のデータ通信網において、本実施の形態のデータ通信網接続制御方法を説明する。図７、図８は本実施の形態のデータ通信網の動作を示すフローチャートである。まず、サービス処理装置１１とプロバイダ通信網６０との間には、通信路５１６が既に設定され、サービス処理装置１１とプロバイダ通信網７０との間には通信路は設定されていない。プロバイダサーバ６５の論理接続手段６５２は、サービス処理装置管理子設６５６で管理されるサービス処理装置１１の情報に基づきサービス処理装置１１の論理接続手段１１６６との間で、通信手段６５１，プロバイダ通信網６０、ユーザ収容ノード６１および通信路５１６を介して論理コネクション９１６を設定する（図７ステップＳ１０１）。
【００４６】
この論理コネクション９１６の設定は、あらかじめ規定された通信手順に従って行われる。例えば、通信手順ＩＫＥ（Internet Key Exchange ）を用いて、論理コネクションのＩＰｓｅｃ（IPSecurity）を設定することができる。図９は論理コネクション９１６が設定されたネットワーク構成を示す図である。
【００４７】
次に、ユーザは、ユーザ端末装置１２からＨＴＴＰ（HyperText Transfer Protocol ）等を用いてサービス処理装置１１のプロバイダ通信網接続管理手段１１３に対しプロバイダ通信網７０との接続を要求する（ステップＳ１０２）。ユーザ端末装置１２からの接続要求を受信したプロバイダ通信網接続管理手段１１３は、サービス処理装置１１の接続認証手段１１７４にプロバイダ通信網７０との接続認証処理を要求する。
【００４８】
プロバイダ通信網接続管理手段１１３からの接続認証処理要求を受信した接続認証手段１１７４は、プロバイダ通信網７０のユーザ収容ノード７１とサービス処理装置１１との間に通信路が未設定のため、ユーザ収容ノード７１の接続認証手段７１３との間でサービス処理装置１１の通信手段１１７５およびユーザ収容ノード７１の通信手段７１１を介して認証情報を交換する（ステップＳ１０３）。
【００４９】
ユーザ収容ノード７１の接続認証手段７１３によってサービス処理装置１１が認証された場合、サービス処理装置１１の通信手段１１７５とユーザ収容ノード７１の通信手段７１１とは、双方の間に通信路５１７を設定する（ステップＳ１０４）。認証および通信路の設定の手順は、ＰＰＰ（Point to Point Protocol ）などの手順を用いることができる。図１０は通信路５１７が設定されたネットワーク構成を示す図である。
【００５０】
通信路５１７が設定された場合、ユーザ収容ノード７１の制御管理手段６１４は、プロバイダサーバ７５に対して、サービス処理装置１１の接続認証情報を通知する。プロバイダサーバ７５は、接続認証情報を接続制御手段７５８で受信した後、サービス処理装置１１の情報をサービス処理装置管理手段７５６で管理し、サービス処理装置１１を用いるユーザ端末装置１２のユーザ情報をユーザ管理手段７５０で管理する（ステップＳ１０５）。サービス処理装置情報とユーザ情報とは、受信した接続認証情報から得ることができる。
【００５１】
こうして、プロバイダサーバ７５は、プロバイダ通信網７０に対して動的に接続するユーザ通信網１０についても、その接続認証情報からユーザとサービス処理装置１１とを特定することが可能となり、ユーザごとにサービスを提供可能になる。
【００５２】
次に、プロバイダサーバ７５の論理接続手段７５２は、サービス処理装置管理手段７５６によって管理されるサービス処理装置１１の情報がステップＳ１０５で更新された後、このサービス処理装置１１の情報に基づきサービス処理装置１１の論理接続手段１１７６に、通信手段７５１、プロバイダ通信網７０、ユーザ収容ノード７１および通信路５１７を介して論理コネクション９１７の設定を要求する（ステップＳ１０６）。この論理コネクション９１７の設定は、あらかじめ規定された通信手順に従って行われる。
【００５３】
サービス処理装置１１の論理接続手段１１７６がこの通信手順に従わない場合（ステップＳ１０７においてＮＯ）、プロバイダサーバ７５の接続制御手段７５８は、ユーザ収容ノード７１の制御管理手段７１４に対してサービス処理装置１１の切断要求を送信する。ユーザ収容ノード７１の制御管理手段７１４は、この切断要求で指定されたサービス処理装置１１を収容する通信手段の情報を接続認証手段７１３から取得して、サービス処理装置１１を収容する通信手段が７１１であることを認識すると、この通信手段７１１の通信路５１７を切断する（ステップＳ１０８）。
【００５４】
こうして、プロバイダサーバ７５は、あらかじめ規定された通信手順にサービス処理装置１１が従わない場合、接続制御サービスを提供することができない、すなわち論理コネクションを設定することができないサービス処理装置１１をプロバイダ通信網７０から切断し、不正な接続を防止して、サービスの信頼性を確保することが可能となる。
【００５５】
一方、サービス処理装置１１の論理接続手段１１７６が通信手順に従う場合（ステップＳ１０７においてＹＥＳ）、プロバイダサーバ７５の論理接続手段７５２とサービス処理装置１１の論理接続手段１１７６との間に論理コネクション９１７が設定される（ステップＳ１０９）。図１１は、論理コネクション９１７を含め、全ての通信路に対して論理コネクション９１６，９１７，９２７，９２８，９３６，９３７，９４７，９４８が設定されたネットワーク構成を示す図である。
【００５６】
続いて、サービス処理装置１１の外部接続要求手段１１６７は、論理コネクション９１６を利用して、プロバイダサーバ６５においてあらかじめ規定されたＨＴＴＰなどの通信手順に従って、プロバイダサーバ６５に対しプロバイダ通信網７０との外部接続要求を送信する（ステップＳ１１０）。プロバイダ通信網７０を指定する識別子には、例えば、ＡＳ番号（ＩＥＴＦ ＲＦＣ１９３０）またはプロパイダのドメインネームなどを用いることができる。
【００５７】
プロバイダサーバ６５のプロバイダ通信網接続制御手段６５５は、サービス処理装置１１からの外部接続要求を受信すると、この外部接続要求に含まれる識別子をプロバイダ通信網接続管理手段６５７に渡す。プロバイダ通信網接続管理手段６５７は、この識別子によりプロバイダ通信網７０を特定する。
【００５８】
続いて、プロバイダサーバ６５のプロバイダ通信網接続制御手段６５５は、サービス処理装置管理手段６５６のサービス処理装置情報を参照して、外部接続要求を発したサービス処理装置１１が接続可能なプロバイダ通信網を調査する。プロバイダ通信網接続管理手段６５７によって特定されたプロバイダ通信網７０が、サービス処理装置１１が接続可能なプロバイダ通信網としてサービス処理装置管理手段６５６に登録されていれば、サービス処理装置１１は、プロバイダ通信網７０との接続が許可される。
【００５９】
サービス処理装置１１とプロバイダ通信網７０との接続が許可された場合、プロバイダサーバ６５のプロバイダ通信網接続管理手段６５７は、プロバイダ通信網７０のプロバイダサーバ７５の情報を参照する。このプロバイダサーバ７５の情報に基づいて、プロバイダサーバ６５の認証処理手段６５４は、認証要求とプロバイダサーバ６５の認証情報とを、プロバイダサーバ７５を送信先に指定してサービス処理装置１１に送出する。
【００６０】
サービス処理装置１１は、プロバイダサーバ６５からの認証要求と認証情報とを論理接続手段１１６６を介してサーバ転送手段１１５で受信した後、この認証要求と認証情報とを論理接続手段１１７６を介して送信先のプロバイダサーバ７５に転送する。論理接続手段７５２を介して認証要求と認証情報とを受信したプロバイダサーバ７５の認証処理手段７５４は、受信した認証情報に応じて返信すべきプロバイダサーバ７５の認証情報を、プロバイダサーバ６５を送信先に指定してサービス処理装置１１に送出する。
【００６１】
サービス処理装置１１は、プロバイダサーバ７５からの認証情報を論理接続手段１１７６を介してサーバ転送手段１１５で受信した後、この認証情報を論理接続手段１１６６を介して送信先のプロバイダサーバ６５に転送する。プロバイダサーバ６５の認証処理手段６５４は、論理接続手段６５２を介して認証情報を受信する。こうして、プロバイダサーバ６５とプロバイダサーバ７５との間で認証情報が送受信され、プロパイダサーバ７５の認証処理手段７５４がプロバイダサーバ６５を認証する（ステップＳ１１１）。この認証には、一般的な公開鍵暗号のデジタル認証を用いることができる。
【００６２】
次に、サービス処理装置１１の外部接続要求手段１１７７は、論理コネクション９１７を利用して、プロバイダサーバ７５に対しプロバイダ通信網６０の仮想閉域網６６との外部接続要求を送信する（ステップＳ１１２）。この接続要求には、仮想閉域網６６を一意に識別する仮想網識別子を用いる。仮想網識別子には、例えば仮想閉域網６６を利用するユーザによって予め登録されたドメインネームなどを用いることができる。
【００６３】
プロバイダサーバ７５のプロバイダ通信網接続制御手段７５５は、サービス処理装置１１からの外部接続要求を受信すると、この外部接続要求に含まれる仮想網識別子をプロバイダ通信網接続管理手段７５７に渡す。プロバイダ通信網接続管理手段７５７は、この仮想網識別子と仮想網管理手段７５９で管理されている仮想閉域網の情報とにより、仮想閉域網６６が構成されているプロパイダ網６０を特定する。
【００６４】
続いて、プロバイダサーバ７５のプロバイダ通信網接続制御手段７５５は、サービス処理装置管理手段７５６のサービス処理装置情報を参照して、外部接続要求を発したサービス処理装置１１が接続可能なプロバイダ通信網を調査する。プロバイダ通信網接続管理手段７５７によって特定されたプロバイダ通信網６０が、サービス処理装置１１が接続可能なプロバイダ通信網としてサービス処理装置管理手段７５６に登録されていれば、サービス処理装置１１は、プロバイダ通信網６０との接続が許可される。
【００６５】
サービス処理装置１１とプロバイダ通信網６０との接続が許可された場合、プロバイダサーバ７５のプロバイダ通信網接続管理手段７５７は、プロバイダ通信網６０のプロバイダサーバ６５の情報を参照する。このプロバイダサーバ６５の情報に基づいて、プロバイダサーバ７５の認証処理手段７５４は、認証要求とプロバイダサーバ７５の認証情報とを、プロバイダサーバ６５を送信先に指定してサービス処理装置１１に送出する。
【００６６】
サービス処理装置１１は、プロバイダサーバ７５からの認証要求と認証情報とを論理接続手段１１７６を介してサーバ転送手段１１５で受信した後、この認証要求と認証情報とを論理接続手段１１６６を介して送信先のプロバイダサーバ６５に転送する。論理接続手段６５２を介して認証要求と認証情報とを受信したプロバイダサーバ６５の認証処理手段６５４は、受信した認証情報に応じて返信すべきプロバイダサーバ６５の認証情報を、プロバイダサーバ７５を送信先に指定してサービス処理装置１１に送出する。
【００６７】
サービス処理装置１１は、プロバイダサーバ６５からの認証情報を論理接続手段１１６６を介してサーバ転送手段１１５で受信した後、この認証情報を論理接続手段１１７６を介して送信先のプロバイダサーバ７５に転送する。プロバイダサーバ７５の認証処理手段７５４は、論理接続手段７５２を介して認証情報を受信する。こうして、プロバイダサーバ７５とプロバイダサーバ６５との間で認証情報が送受信され、プロパイダサーバ６５の認証処理手段６５４がプロバイダサーバ７５を認証する（ステップＳ１１３）。
【００６８】
プロバイダサーバ６５とプロバイダサーバ７５との間において相互に認証が成立した後、プロバイダサーバ６５のプロバイダ通信網接続制御手段６５５は、サービス処理装置１１のプロバイダ通信網接続管理手段１１３に接続要求を送信し、同様にプロバイダサーバ７５のプロバイダ通信網接続制御手段７５５は、サービス処理装置１１のプロバイダ通信網接続管理手段１１３に接続要求を送信する（ステップＳ１１４）。
【００６９】
サービス処理装置１１のプロバイダ通信網接続管理手段１１３は、プロバイダサーバ６５，７５からの遠隔制御を受けて、プロバイダ通信網接続手段１１４に接続設定を要求する。プロバイダ通信網接続手段１１４は、プロバイダ通信網接続管理手段１１３からの接続設定要求を受けて、パケット転送手段１１１のルーチング情報１１２を設定する（ステップＳ１１５）。
【００７０】
こうして、プロバイダサーバ６５およびプロバイダサーバ７５から遠隔制御することにより、サービス処理手段１１６１とサービス処理手段１１７１とを接続するルーチング情報が設定され、プロバイダ通信網６０とプロバイダ通信網７０との接続およびユーザ通信網１０とプロバイダ通信網７０との接続が制御される。また、サービス処理装置１１は、プロバイダ通信網接続情報をプロバイダ通信網接続管理手段１１３で管理する。
【００７１】
以上の動作により、本実施の形態では、プロバイダサーバ６５およびプロバイダサーバ７５がサービス処理装置１１と接続するプロバイダ通信網７０および６０を特定し、ユーザ通信網１０とプロバイダ通信網６０およびプロバイダ通信網７０との接続関係を制御し、管理するサービスをユーザに提供することが可能となる。そのため、ユーザのプロバイダ接続管理コストを増大させることなく、ユーザと複数のプロバイダ通信網との接続性を提供し、かつ通信経路の短縮化を図ることが可能となる。
【００７２】
また、プロバイダ通信網間で認証が成立しない場合は、サービス処理装置におけるプロバイダ通信網接続の遠隔制御が行われないため、不正に接続しようとするプロバイダ通信網を排除することが可能となる。また、プロバイダ通信網が仮想閉域網を構成している場合においても、ユーザは接続先の仮想閉域網の識別子を指定して、この仮想閉域網との接続を要求すればよい。プロバイダサーバが、サービス処理装置ごとに接続先のプロバイダ通信網との接続の許可、拒絶を管理するため、プロバイダは、サービス処理装置が接続するユーザ通信網ごとにサービスの提供・管理が可能になる。
【００７３】
次に、サービス処理装置１１とプロバイダサーバ６５，７５との間に論理コネクション９１６，９１７が設定されている状態において、ユーザは、ユーザ端末装置１２からＨＴＴＰ等を用いてサービス処理装置１１のサービス処理管理手段１１６に、転送データに対する付加価値サービスを要求する（ステップＳ１１６）。
【００７４】
ユーザ端末装置１２からの要求を受信したサービス処理装置１１のサービス処理管理手段１１６は、プログラム制御手段１１６３，１１７３に付加価値サービスの設定を要求する。プログラム制御手段１１６３，１１７３は、それぞれ論理接続手段１１６６，１１７６（論理コネクション９１６，９１７）を介してプロバイダサーバ６５，７５に付加価値サービス設定要求を送信する（ステップＳ１１７）。それぞれの付加価値サービス設定要求の通信は、送信先のプロバイダサーバ６５，７５ごとにあらかじめ規定された手順を用いる。この手順としては、例えばＣＯＰＳ（Common Open Policy Service）を用いることができる。
【００７５】
プロバイダサーバ６５は、サービス処理装置１１からの付加価値サービス設定要求をプログラム制御手段６５１０で受信する。プログラム制御手段６５１０は、サービス処理装置管理手段６５６で管理されるサービス処理装置１１の情報を参照して、この情報を基にサービス処理装置１１の付加価値サービスに必要なサービス処理プログラム１１６２をプログラム管理手段６５１１から取得する。そして、プログラム制御手段６５１０は、取得したサービス処理プログラム１１６２とその設定とをサービス処理装置１１のプログラム制御手段１１６３に送信し、サービス処理手段１１６１をサービス処理プログラム１１６２に従って作動させる遠隔制御を行う（ステップＳ１１８）。
【００７６】
また、プロバイダサーバ６５は、サービス処理装置管理手段６５６のサービス処理装置情報を更新するとともに、サービスプログラム遠隔制御情報をユーザ管理手段６５０で管理する。サービス処理装置１１のプログラム制御手段１１６３は、受信したサービス処理プログラム１１６２をサービス処理手段１１６１に設定し、サービス処理手段１１６１は、設定されたサービス処理プログラム１１６２に従って転送データに対する付加価値サービスを提供する（ステップＳ１１９）。
【００７７】
同様に、サービス処理装置１１からの付加価値サービス設定要求を受信したプロバイダサーバ７５のプログラム制御手段７５１０は、サービス処理装置１１の付加価値サービスに必要なサービス処理プログラム１１７２をプログラム管理手段７５１１から取得し、このサービス処理プログラム１１７２をサービス処理装置１１に送信する（ステップＳ１１８）。サービス処理装置１１のプログラム制御手段１１７３は、受信したサービス処理プログラム１１７２をサービス処理手段１１７１に設定し、サービス処理手段１１７１は、サービス処理プログラム１１７２に従って転送データに対する付加価値サービスを提供する（ステップＳ１１９）。
【００７８】
以上の動作により、サービス処理装置１１と接続するプロバイダサーバ６５，７５からそれぞれ独立にサービス処理プログラムを設定し、ユーザに対する付加価値サービス提供情報を管理することが可能である。
ここで、サービス処理装置１１が提供する付加価値サービスとしては、例えば、ＶＰＮ−インターネット通信サービス、ファイアウォールサービス、ＩＰ通信サーバサービスがある。以下では、それぞれのサービスについて説明する。
【００７９】
ＶＰＮ−インターネット通信サービスとは、ルーチング処理、パケットフィルタリング処理、アドレス変換処理、暗号化通信処理および通信品質識別処理によって、仮想閉域網とインターネットとの間の通信を実現するサービスである。ユーザがＶＰＮ−インターネット通信サービスを要求した場合に、プロバイダサーバ６５からサービス処理装置１１のサービス処理手段１１６１に送信され、サービス処理プログラム１１６２として設定される遠隔制御情報の概要を図１２に示す。
【００８０】
図１２に示すルーチング処理１１６２１は、ＩＰパケットの送信先アドレスを参照して、ＩＰパケットを適切な方路に送信する処理を実現するプログラムであり、ルーチングテーブルはその方路を決定するためのルーチング情報が設定されたテーブルである。
【００８１】
フィルタリング処理１１６２２は、ＩＰパケットのヘッダおよびペイロードを参照して、ＩＰパケットを転送または廃棄する処理を実現するプログラムであり、フィルタリングテーブルはその動作を決定するフィルタリング情報が設定されたテーブルである。
【００８２】
アドレス変換処理１１６２３は、ＩＰパケットの送信先アドレス、送信元アドレスおよびペイロードに含まれる上位プロトコルのプロトコル番号の変換を行う処理を実現するプログラムであり、アドレス変換テーブルはその変換規則を記述したアドレス変換情報が設定されたテーブルである。
【００８３】
図１２のルーチング情報によれば、送信先ＩＰアドレスが「Ｐ−ｘ」（ｘは任意の値）のパケットは出力リンク「１１６５」、すなわち通信手段１１６５に出力され、送信先ＩＰアドレスが「Ｐ−１」のパケットは出力リンク「１１０」、すなわち通信手段１１０に出力される。一方、フィルタリング情報によれば、送信先ＩＰアドレスが「Ｐ−ｘ」、送信元ＩＰアドレスが「Ｐ−１」のパケット、および送信先ＩＰアドレスが「Ｐ−１」、送信元ＩＰアドレスが「Ｐ−ｘ」のパケットについては、プロトコル、送信先ポートおよび送信元ポートが「＊」（＊は任意の値）に設定されているので、プロトコル、送信先ポートおよび送信元ポートの如何に拘わらず全て転送が許可される。したがって、ユーザ通信網１０とプロバイダ通信網６０との間では、双方向に全てのパケットが転送される。
【００８４】
一方、送信先ＩＰアドレスが「Ｇ−ｘ」、送信元ＩＰアドレスが「Ｐ−ｘ」のパケットについては、フィルタリング情報で送信先ポートが「８０」に設定されているので、ユーザ通信網１０からプロバイダ通信網７０に対してＴＣＰプロトコルを用いた送信先ポート８０番のパケットのみが転送される。
【００８５】
また、送信先ＩＰアドレスが「Ｐ−ｘ」、送信元ＩＰアドレスが「Ｇ−ｘ」のパケットについては、フィルタリング情報で送信元ポートが「８０」に設定されているので、プロバイダ通信網７０からユーザ通信網１０に対してＴＣＰプロトコルを用いた送信元ポート８０番のパケットのみが転送される。そして、フィルタリング情報により「転送」が許可されているパケット以外は全て廃棄されるので、プロバイダ通信網６０とプロバイダ通信網７０との間では、双方向の全てのパケットが廃棄される。
【００８６】
その結果、ユーザ端末装置１２から送信先ＩＰアドレスを「Ｐ−３」として送信されたパケットは、ユーザ通信網１０、サービス処理装置１１、通信路５１６、ユーザ収容ノード６１、仮想閉域網６６、ユーザ収容ノード６３、通信路５３６、サービス処理装置３１およびユーザ通信網３０を経由してユーザ端末装置３２によって受信される。一方、ユーザ端末装置３２から送信先ＩＰアドレスを「Ｐ−１」として送信されたパケットは、その逆の経路をたどってユーザ端末装置１２によって受信される。
【００８７】
また、ユーザ端末装置１２から送信先ＩＰアドレスを「Ｇ−３」とし、ＴＣＰプロトコルを用いて送信先ポート８０番として送信されたパケットは、ユーザ通信網１０を経由しサービス処理装置１１のサービス処理手段１１６１で受信され、アドレス変換情報により送信元ＩＰアドレスが「Ｐ−１」から「Ｇ−５」に変換され、パケット転送手段１１１、パケット処理手段１１７１を経由して、通信経路５１７、ユーザ収容ノード７１、プロバイダ通信網７０、ユーザ収容ノード７３、通信路５４７およびサービス処理装置４１を経由してユーザ端末装置４２によって受信される。一方、ユーザ端末装置４２から送信先ＩＰアドレスを「Ｇ−５」とし、ＴＣＰプロトコルを用いて送信元ポート８０番として送信されたパケットは、逆の経路をたどってサービス処理手段１１６１で送信先ＩＰアドレスが「Ｐ−１」に変換され、ユーザ端末装置１２によって受信される。
【００８８】
しかし、ユーザ端末装置４２から送信先ＩＰアドレスを「Ｇ−５」とし、ＴＣＰプロトコルを用いて送信先ポート２１番として送信されたパケットは、ユーザ通信網１０を経由しサービス処理装置１１のサービス処理手段１１６１で受信されるが、フィルタリング情報で転送が許可されたパケットでないために廃棄される。
【００８９】
これらの動作により、ユーザ通信網１０を仮想閉域網６６の一部として接続し、ユーザ通信網１０に対して特定の通信のみプロバイダ通信網７０と通信を可能とするＶＰＮ−インターネット通信サービスを提供可能となる。
【００９０】
また、ファイアウォールサービスとは、ポートスキャンパケットの検出処理、サービス妨害パケットの検出処理、ウィルスデータの検出処理およびＨＴＴＰにおける通信禁止ＵＲＬ（Uniform Resource Locators ）の検出処理によって許可されたＩＰ通信に対し、さらに通信内容と通信状態の検出を行い、有害な通信を排除するサービスである。
【００９１】
ポートスキャンパケットの検出処理は、通信可能な状態のポートを探すために網羅的に各ポートに送信される不正なパケットであるポートスキャンパケットを、常にポートを監視することで検出する処理である。サービス妨害パケットの検出処理は、特定のポートに不正な大量のパケットを送信することにより通信機器や端末の処理負荷を増大させるサービス妨害パケットを、常にポートを監視することで検出する処理である。
【００９２】
ウィルスデータの検出処理は、転送する電子メールのパケットにウィルスデータが付加されていないかどうかを検出するために、電子メールのパケットかどうかを識別し、電子メールのパケットである場合は、当該電子メールを構成する全てのパケットの通信データを検査する処理である。
【００９３】
ＨＴＴＰにおける通信禁止ＵＲＬの検出処理は、ユーザによる有害なウェブサイトの閲覧を防止するために、転送するＨＴＴＰのＧＥＴ要求を検査するものであり、パケットがＨＴＴＰ通信のパケットかどうかを識別し、ＨＴＴＰパケットである場合は、ＨＴＴＰパケットから要求ＵＲＬを抽出して、この要求ＵＲＬが通信禁止ＵＲＬテーブルに登録された通信禁止ＵＲＬかどうかを検査する処理である。
【００９４】
また、ＩＰ通信サーバサービスは、プロバイダ通信網で用意されたＩＰ通信サーバで提供する、ウェブサーバ処理、メールサーバ処理、ＤＮＳ（Domain Name System）サーバ処理およびＤＨＣＰ（Dynamic Host Configuration Protocol ）サーバ処理の各処理を、このプロバイダ通信網に接続されるサービス処理装置で行うサービスである。
【００９５】
サービス処理装置１１がプロバイダ通信網６０，７０に接続された場合、ＩＰ通信サーバサービスをサービス処理装置１１で行うことで、ユーザ端末装置１２がプロバイダ通信網６０，７０においてそれぞれ用意された各種ＩＰ通信サーバと通信することなく、サービス処理装置１１とのみ通信するため、ユーザの利便性を向上させることが可能となる。
【００９６】
【発明の効果】
本発明によれば、データ通信網システムにおいて、論理コネクション設定手順、外部接続要求手順、認証手順、遠隔制御手順およびプロバイダ通信網接続管理手順を実行するようにしたことにより、相互接続していない複数のプロバイダ通信網が、相互に接続情報のみを管理し、ユーザが複数のプロバイダ通信網に接続した場合もユーザの接続するプロバイダ通信網を認証して特定し、プロバイダがサービスとして管理可能なデータ通信網構成となる。また、サービス処理装置を介してプロバイダサーバ間で認証を行い、プロバイダ間で信頼性を確保したプロバイダの特定を行うことが可能となり、プロバイダサーバが、ユーザの接続するプロバイダ通信網を管理した上で、サービス処理装置における複数プロバイダヘの接続制御を実施することが可能となる。その結果、本発明によれば、ユーザに対して、接続性の向上、通信経路の短縮化、通信品質の向上を提供できるようになる。その理由は、論理閉域網を構成するプロバイダ通信網、インターネット接続サービスプロバイダ通信網など、複数のプロバイダ通信網に設置された、それぞれのプロバイダサーバ間で、認証してプロバイダ通信網を特定し、ユーザ情報に応じてユーザ通信網に設置されたサービス処理装置に対して複数のプロバイダ通信網への接続の制御を行うことで、相互接続されていないプロバイダ通信網との通信を提供することができ、相互接続されているプロバイダ通信網の相互接続装置を経由することによる経路の冗長化とトラフィックの集中を回避できるからである。また、認証情報を用いた接続制御とプロバイダサーバの連携により、プロバイダ通信網へのオンデマンドな接続においても複数プロバイダ通信網への接続が制御できるからである。また、本発明によれば、ユーザ通信網の複数プロバイダ接続時の操作性、管理の容易性を向上させることができる。その理由は、ユーザがサービス処理装置に要求を行うだけで、サービス処理装置と複数のプロバイダサーバ間、および複数のプロバイダサーバ間において、プロバイダサーバごとに規定された論理コネクションを介して連携し、ユーザごとにプロバイダサーバでサービス制御を管理できるからである。
【００９７】
また、外部接続要求手順では、他のプロバイダ通信網のユーザ収容ノード間に論理的に隔絶された複数の仮想閉域網が構築されている場合、ユーザ要求で接続先として指定された仮想閉域網を識別する仮想網識別子を用いて、この指定された仮想閉域網との外部接続を要求し、認証手順では、外部接続要求を受信したプロバイダサーバにおいて、この外部接続要求で接続先として指定された他のプロバイダ通信網を仮想網識別子に基づいて特定するようにしたことにより、ＶＰＮを提供するプロバイダにおいて、ユーザは仮想網識別子だけを指定して接続することで、接続先のプロバイダは、自らがサービスを提供しない外部のＶＰＮを識別して接続制御を実施することが可能となる。
【００９８】
また、論理コネクション設定手順を行う前に、ユーザ要求で接続先として指定されたプロバイダ通信網のプロバイダサーバにおいて、ユーザ要求を受信したサービス処理装置が予め規定された通信手順に従うか否かを判定する通信判定手順を実行し、サービス処理装置が通信手順に従わないと判定された場合、論理コネクション設定手順を実行せずに、判定を行ったプロバイダサーバから同じプロバイダ通信網内のユーザ収容ノードに切断要求を送信して、このユーザ収容ノードとユーザ要求を受信したサービス処理装置との間の通信路を切断させるようにしたことにより、プロバイダサーバが遠隔制御・管理するための通信手順に従わず、サービスの制御・管理が不可能なサービス処理装置が存在した場合、ユーザ収容ノードが当該サービス処理装置との接続を切断し、サービスの提供を中止することが可能となる。その結果、本発明によれば、複数のプロバイダがそれぞれ提供するＶＰＮ−インターネット通信サービスなどの種々の付加価値サービスをユーザごとに安全に提供することができる。その理由は、プロバイダサーバは、ユーザ収容ノードの接続制御と連携し、サービス制御に対応していないサービス処理装置を排除し、全ユーザのサービス処理装置に対するサービス提供情報を管理しながら、ユーザ個別の各種付加価値サービスのためのサービス処理プログラムを遠隔制御できるからである。
【００９９】
また、サービス処理装置情報を複数のプロバイダ通信網の各プロバイダサーバで管理し、認証手順を行う前に、外部接続要求を受信したプロバイダサーバにおいて、外部接続要求を送信したサービス処理装置とこの外部接続要求で接続先として指定された他のプロバイダ通信網との外部接続が可能か否かをサービス処理装置情報に基づいて判定する接続可否判定手順を実行し、この接続可否判定手順でサービス処理装置とプロバイダ通信網との外部接続が可能と判定された場合のみ、認証手順および遠隔制御手順を行うようにしたことにより、サービス処理装置が接続するユーザ通信網ごとに他のプロバイダ通信網との外部接続の許可あるいは拒絶を制御・管理することが可能となる。
【０１００】
また、論理コネクション設定手順を行う前に、ユーザ要求で接続先として指定されたプロバイダ通信網のユーザ収容ノードとユーザ要求を受信したサービス処理装置との間で通信路設定用の接続認証情報を送受信する接続認証手順と、接続先として指定されたプロバイダ通信網のユーザ収容ノードにおいて、ユーザ要求を受信したサービス処理装置が認証された場合のみ、このユーザ収容ノードと認証されたサービス処理装置との間のアクセス網に通信路を設定する通信路設定手順と、接続認証を行ったユーザ収容ノードから同じプロバイダ通信網のプロバイダサーバに対して認証されたサービス処理装置の接続認証情報を通知する通知手順と、通知を受けたプロバイダサーバにおいて接続認証情報に基づき、ユーザ要求を発したユーザの情報と認証されたサービス処理装置の情報とを管理する管理手順とを実行するようにしたことにより、認証によるプロバイダ通信網接続を可能とし、認証時のユーザ情報をもとにユーザごとに接続制御・管理を実施可能となる。
【０１０１】
また、サービス処理装置を介してユーザ通信網と複数のプロバイダ通信網間で転送されるパケットに対して付加価値サービス処理を行うためのサービス処理プログラムを、複数のプロバイダ通信網の各プロバイダサーバから論理コネクションを介してサービス処理装置に設定するサービス処理プログラム設定手順と、設定されたサービス処理プログラムに従って、各プロバイダ通信網ごとにあらかじめ規定された付加価値サービス処理をサービス処理装置で行うサービス処理手順とを実行するようにしたことにより、ユーザに対して提供する付加価値サービスの処理をユーザ通信網のサービス処理装置で実施し、ユーザが接続する他のプロバイダ通信網を識別した上で、他のプロバイダ通信網との間の通信に対して付加価値サービスを提供することが可能となる。
【０１０２】
また、サービス処理を、ルーチング処理、パケットフィルタリング処理、アドレス変換処理、暗号化通信処理または通信品質識別処理のうちの少なくとも１つとすることにより、ＶＰＮプロバイダ通信網との接続において他のＶＰＮプロバイダ通信網のＶＰＮ間通信に対するＩＰパケットレベルの転送制御を行い、制限を設けてＶＰＮ間の通信を行うエクストラネットサービスのセキュリティ制御をプロバイダが管理しサービスとして提供することが可能となる。
【０１０３】
また、サービス処理を、ポートスキャンパケットの検出処理、サービス妨害パケットの検出処理、ウィルスデータの検出処理またはＨＴＴＰにおける通信禁止ＵＲＬの検出処理のうちの少なくとも１つとすることにより、不正なあるいは禁止された通信を防止することが可能となる。特に、ＶＰＮ間通信やインターネットとの通信などにおいて、このサービス処理は有効である。
【０１０４】
また、サービス処理を、ウェブサーバ処理、メールサーバ処理、ＤＮＳサーバ処理またはＤＨＣＰサーバ処理のうちの少なくとも１つとすることにより、ユーザ用の各種サーバ機能をユーザ通信網内のサービス処理装置に統一化することができる。
【図面の簡単な説明】
【図１】 本発明の実施の形態となるデータ通信網の１構成例を示すブロック図である。
【図２】 本発明の実施の形態におけるサービス処理装置の１構成例を示すブロック図である。
【図３】 本発明の実施の形態におけるプロバイダサーバの１構成例を示すブロック図である。
【図４】 本発明の実施の形態における他のプロバイダサーバの１構成例を示すブロック図である。
【図５】 本発明の実施の形態におけるユーザ収容ノードの１構成例を示すブロック図である。
【図６】 本発明の実施の形態における他のユーザ収容ノードの１構成例を示すブロック図である。
【図７】 本発明の実施の形態のデータ通信網の動作を示すフローチャートである。
【図８】 本発明の実施の形態のデータ通信網の動作を示すフローチャートである。
【図９】 本発明の実施の形態において論理コネクションが設定されたネットワーク構成を示す図である。
【図１０】 本発明の実施の形態において通信路が設定されたネットワーク構成を示す図である。
【図１１】 本発明の実施の形態において論理コネクションが設定されたネットワーク構成を示す図である。
【図１２】 本発明の実施の形態におけるサービス処理プログラムの概要を示す図である。
【符号の説明】
１０，２０，３０，４０…ユーザ通信網、１１，２１，３１，４１…サービス処理装置、１２，２２，３２，４２…ユーザ端末装置、５１，５２，５３，５４…アクセス網、６１，６３，７１，７３，８２，８４…ユーザ収容ノード、６０，７０，８０…プロバイダ通信網、６５，７５，８５…プロバイダサーバ、６６，６７，８６，８７…仮想閉域網、５１６，５１７，５２７，５２８，５３６，５３７，５４７，５４８…通信路，９１６，９１７，９２６，９２８，９３６，９３７，９４７，９４８…論理コネクション。
【発明の属する技術分野】
本発明は、データ通信サービスを提供するプロバイダ通信網およびユーザ通信網の間の接続を制御する技術に関し、複数のプロバイダ通信網と通信を行うユーザが、プロバイダごとに提供される適切な付加価値サービスを容易に利用し、プロバイダはユーザに提供するサービスを適切に管理するために適用されるべき技術であり、特に外部のネットワークと隔絶して構成される仮想閉域網（ＶＰＮ）サービスを提供するプロバイダ通信網において、複数プロバイダ通信網と通信するサービスを提供する技術として好適である。
【０００２】
【従来の技術】
従来、プロバイダ通信網が、ユーザ通信網と外部のプロバイダ通信網との間を仲介してユーザ通信網と外部のプロバイダ通信網との通信を提供する場合、外部のプロバイダ通信網と合意の上で、この外部のプロバイダ通信網との間に接続装置を設置することにより、ユーザ通信網と外部のプロバイダ通信網との間のデータ転送を実現していた。また、プロバイダ通信網は、外部のプロバイダ通信網とデータ転送経路情報を交換することにより、外部のプロバイダ通信網と接続される別のプロバイダ通信網とデータ転送を行っていた（例えば、非特許文献１参照）。
【０００３】
接続する複数のプロバイダ通信網がＶＰＮ（Virtual Private Network ）を提供する場合は、それぞれのプロバイダ通信網が合意の上で互いに接続し、それぞれのプロバイダ通信網のユーザが合意の上でＶＰＮ間を接続していた。また、ユーザ間の通信を制限する場合は、接続装置においてアドレス変換、パケットフィルタリングなどの処理を行っていた（例えば、特許文献１参照）。
【０００４】
また、ユーザ通信網がプロバイダ通信網に対する通信路を設定する際は、ユーザが接続認証情報等をプロバイダ通信網に送信した上で接続を行っており、ユーザが複数のプロバイダ通信網に接続する場合には、ユーザが各プロバイダ通信網ヘの接続をそれぞれ独立に行っていた（例えば、非特許文献２参照）。
【０００５】
ユーザが複数のＶＰＮの中から１つのＶＰＮを選択して接続する際には、ユーザ通信網の装置からプロバイダ通信網情報や認証情報等を送信し、サーバと認証を行い、ユーザ収容ノードとの間に通信路を設定してＶＰＮに接続し、ユーザ通信網の装置があらかじめ保持するパケット処理プログラムによってそれぞれのＶＰＮに独立に接続していた（例えば、特許文献２参照）。なお、出願人は、本明細書に記載した先行技術文献情報で特定される先行技術文献以外には、本発明に関連する先行技術文献を出願時までに発見するには至らなかった。
【０００６】
【特許文献１】
特開２００２−９４５０８号公報
【特許文献２】
特開２００１−２６８１２５号公報
【非特許文献１】
中川他，「次世代インターネットエクスチェンジ技術動向」，情報処理，社団法人情報処理学会発行学会，２００１年７月１５日，第４２巻，第７号，ｐ．７０２〜７０８
【非特許文献２】
「スケーラブルサポートフォアマルチホームドマルチプロバイダコネクティビティ（Scalable Support for Multi-homed Multi-provider Connectivity）」，リクエストフォアコメント（Request For Comment：RFC）２２６０，インターネットエンジニアリングタスクフォース（Internet Engineering Task Force:IETF），１９９８年
【０００７】
【発明が解決しようとする課題】
従来のデータ通信サービスでは、通信元ユーザ端末装置が単一のＶＰＮプロバイダ通信網に接続して通信先ユーザ端末装置と通信を行う場合、通信可能な通信先ユーザ端末装置が限られるという問題点があった。その理由は、通信元ユーザ端末装置が接続するＶＰＮプロバイダ通信網は、相互接続する他のＶＰＮプロバイダ通信網との通信のみを提供するため、当該ＶＰＮプロバイダ通信網に接続性をもたないユーザ端末装置とは通信できないためである。
【０００８】
また、従来のデータ通信サービスでは、プロバイダ通信網が相互接続する他のプロバイダ通信網と通信する場合、（Ａ）通信経路が冗長になる、（Ｂ）通信品質が劣化する、（Ｃ）サービスコストが増大するという問題点があった。その理由は、通信元ユーザ端末装置が接続するプロバイダ通信網、このプロバイダ通信網と他のプロバイダ通信網とを相互接続する接続装置、および通信先ユーザ端末装置が接続する他のプロバイダ通信網を経由して、通信元ユーザ端末装置と通信先ユーザ端末装置の通信が行われるためであり、接続装置に対してトラフィックが集中するからである。
【０００９】
他の理由として、インターネットなどの公衆網においては、通信元ユーザ端末装置が接続するプロバイダ通信網と通信先ユーザ端末装置が接続するプロバイダ通信網との間にさらに複数のプロバイダ通信網が介在する場合があり、通信経路が冗長となるからである。さらに別の理由として、ＶＰＮプロバイダ通信網が相互接続する他のＶＰＮプロバイダ通信網のユーザ端末装置と通信する場合、接続装置において全てのユーザ端末装置に対応した処理をあらかじめ設定するため、パケットフィルタリングテーブルやアドレス変換テーブルなどが必要以上に肥大化し、処理コストが増大し、通信品質の劣化またはサービスコストの増大を招くからである。
【００１０】
また、従来のデータ通信サービスでは、ユーザ端末装置が複数のプロバイダ通信網に接続し、通信先となるユーザ端末装置ごとに経由するプロバイダを選択する場合、ユーザの管理コストが増大するという問題点があった。その理由は、接続先のプロバイダをユーザが管理し、パケットのルーチング等を設定する必要があるからである。
【００１１】
また、従来のデータ通信サービスでは、ユーザ端末装置が複数のＶＰＮプロバイダ通信網と接続する場合、ユーザのセキュリティ管理コストが増大するという問題点があった。その理由は、ＶＰＮプロバイダ通信網は、ユーザが接続する他のプロバイダ通信網のＶＰＮを識別することができないため、ユーザに適切なセキュリティの制御設定の管理を提供することができず、ユーザがセキュリティ管理を行う必要があるからである。
【００１２】
また、従来のデータ通信サービスでは、ユーザ端末装置が接続先のプロバイダ通信網およびＶＰＮを申告して、プロバイダ通信網で接続を制御・管理する場合、ユーザの利便性が低下するとともに、プロバイダが信頼性のあるサービスとしてプロバイダ接続の制御を提供できないという問題があった。その理由は、ユーザが接続先のプロバイダ通信網およびＶＰＮを申告したとしても、申告する情報を誤った場合、外部のプロバイダ通信網との間で正当性を確認することができないからである。
【００１３】
本発明の目的は、以上の問題点を解決し、ユーザの複数プロバイダ通信網への接続を許容して接続性の向上と通信経路の短縮化、通信品質劣化の回避およびコストの低減を図れるように複数プロバイダ通信網との接続を制御するサービスを提供することにある。また、複数のプロバイダがそれぞれ提供するＶＰＮ−インターネット通信サービスなどの種々の付加価値サービスをユーザごとに安全に容易に提供することにある。
【００１４】
【課題を解決するための手段】
本発明は、ユーザ端末装置に対してサービスを提供するサービス処理装置を備えたユーザ通信網と、前記サービス処理装置を介して前記ユーザ端末装置と接続するユーザ収容ノード、および情報管理を行うプロバイダサーバを備えたプロバイダ通信網と、前記サービス処理装置と前記ユーザ収容ノードとを接続するアクセス網とを有するデータ通信網システムにおいて、前記サービス処理装置は、前記ユーザ通信網あるいは前記プロバイダ通信網から受信したパケットをルーチング情報に基づいて送信先の通信網に転送するパケット転送手段（図２の１１１）と、前記プロバイダ通信網のユーザ収容ノードとの間に通信路が設定されたとき、このプロバイダ通信網に設けられたプロバイダサーバとの間に論理コネクションを設定する第１の論理接続手段（図２の１１６６，１１７６）と、前記論理コネクションが設定されたプロバイダ通信網との接続を求めるユーザ要求を前記ユーザ通信網に収容されたユーザ端末装置から受信したとき、前記論理コネクションが設定された複数のプロバイダ通信網の各プロバイダサーバに、前記ユーザ要求で接続先として指定された他のプロバイダ通信網との外部接続要求を前記論理コネクションを介して送信する外部接続要求手段（図２の１１６７，１１７７）と、前記外部接続要求を受信したプロバイダサーバから送信される認証情報を前記他のプロバイダ通信網のプロバイダサーバに転送するサーバ転送手段（図２の１１５）と、前記プロバイダサーバによる制御に応じて、自装置を介した前記複数のプロバイダ通信網間あるいは自装置を介した前記ユーザ通信網と前記プロバイダ通信網間のデータ転送のための前記ルーチング情報を前記パケット転送手段に設定するプロバイダ通信網接続手段（図２の１１４）とを備え、前記プロバイダサーバは、前記サービス処理装置との間に前記論理コネクションを設定する第２の論理接続手段（図３、図４の６５２，７５２）と、前記外部接続要求に応じて前記他のプロバイダ通信網のプロバイダサーバとの間で前記サービス処理装置を介して認証情報を送受信する認証処理手段（図３、図４の６５４，７５４）と、前記複数のプロバイダ通信網間で認証が成立した後に、前記ルーチング情報の設定を遠隔制御するプロバイダ通信網接続制御手段（図３、図４の６５５，７５５）と、前記サービス処理装置を介して接続された前記他のプロバイダ通信網との接続情報を管理するプロバイダ通信網接続管理手段（図３、図４の６５７，７５７）とを備えるものである。
【００１５】
また、本発明は、ユーザ端末装置に対してサービスを提供するサービス処理装置を備えたユーザ通信網と、前記サービス処理装置を介して前記ユーザ端末装置と接続するユーザ収容ノードおよび情報管理を行うプロバイダサーバを備えたプロバイダ通信網と、前記サービス処理装置と前記ユーザ収容ノードとを接続するアクセス網とを有するデータ通信網システムにおいて、各ユーザ通信網の間あるいはユーザ通信網とプロバイダ通信網との間でデータを転送するデータ通信網接続制御方法において、前記ユーザ通信網のサービス処理装置と前記プロバイダ通信網のユーザ収容ノードとの間に通信路が設定されたとき、このプロバイダ通信網に設けられたプロバイダサーバと前記サービス処理装置との間に論理コネクションを設定する論理コネクション設定手順（図７のＳ１０９）と、前記ユーザ通信網のサービス処理装置において前記論理コネクションが設定されたプロバイダ通信網との接続を求めるユーザ要求をこのユーザ通信網に収容されたユーザ端末装置から受信したとき、前記論理コネクションが設定された複数のプロバイダ通信網の各プロバイダサーバに、前記ユーザ要求で接続先として指定された他のプロバイダ通信網との外部接続要求を前記サービス処理装置から前記論理コネクションを介して送信する外部接続要求手順（図７のＳ１１０，Ｓ１１２）と、前記外部接続要求に応じて前記複数のプロバイダ通信網の各プロバイダサーバ間で前記サービス処理装置を介して相互に認証を行う認証手順（図７のＳ１１１，図８のＳ１１３）と、前記認証の成立後に前記複数のプロバイダ通信網の各プロバイダサーバから前記論理コネクションを介して前記サービス処理装置のルーチング情報設定を制御する遠隔制御手順（図８のＳ１１４，Ｓ１１５）と、前記サービス処理装置を介して接続された前記複数のプロバイダ通信網の各プロバイダサーバにおいて前記複数のプロバイダ通信網に含まれる他のプロバイダ通信網との接続情報を管理するプロバイダ通信網接続管理手順とを実行し、前記ルーチング情報の設定により前記サービス処理装置を介した前記複数のプロバイダ通信網間あるいは前記サービス処理装置を介した前記ユーザ通信網と前記複数のプロバイダ通信網間のデータ転送を制御し、前記ユーザ通信網のプロバイダ通信網接続を制御するようにしたものである。
【００１６】
また、本発明のデータ通信網接続制御方法の１構成例において、前記外部接続要求手順は、前記他のプロバイダ通信網のユーザ収容ノード間に論理的に隔絶された複数の仮想閉域網が構築されている場合、前記ユーザ要求で接続先として指定された仮想閉域網を識別する仮想網識別子を用いて、この指定された仮想閉域網との外部接続を要求し、前記認証手順は、前記外部接続要求を受信したプロバイダサーバにおいて、この外部接続要求で接続先として指定された他のプロバイダ通信網を前記仮想網識別子に基づいて特定するようにしてもよい。
また、本発明のデータ通信網接続制御方法の１構成例は、前記論理コネクション設定手順を行う前に、前記ユーザ要求で接続先として指定されたプロバイダ通信網のプロバイダサーバにおいて、前記ユーザ要求を受信したサービス処理装置が予め規定された通信手順に従うか否かを判定する通信判定手順（図７のＳ１０７）を実行し、前記サービス処理装置が前記通信手順に従わないと判定された場合、前記論理コネクション設定手順を実行せずに、前記判定を行ったプロバイダサーバから同じプロバイダ通信網内のユーザ収容ノードに切断要求を送信して、このユーザ収容ノードと前記ユーザ要求を受信したサービス処理装置との間の通信路を切断させるようにしてもよい。
また、本発明のデータ通信網接続制御方法の１構成例は、前記サービス処理装置を介した他のプロバイダ通信網との外部接続の可否をサービス処理装置ごとに示すサービス処理装置情報を、前記複数のプロバイダ通信網の各プロバイダサーバで管理し、前記認証手順を行う前に、前記外部接続要求を受信したプロバイダサーバにおいて、前記外部接続要求を送信したサービス処理装置とこの外部接続要求で接続先として指定された他のプロバイダ通信網との外部接続が可能か否かを前記サービス処理装置情報に基づいて判定する接続可否判定手順を実行し、この接続可否判定手順で前記サービス処理装置と前記プロバイダ通信網との外部接続が可能と判定された場合のみ、前記認証手順および前記遠隔制御手順を行うようにしてもよい。
【００１７】
また、本発明のデータ通信網接続制御方法の１構成例は、前記論理コネクション設定手順を行う前に、前記ユーザ要求で接続先として指定されたプロバイダ通信網のユーザ収容ノードと前記ユーザ要求を受信したサービス処理装置との間で通信路設定用の接続認証情報を送受信する接続認証手順（図７のＳ１０３）と、前記接続先として指定されたプロバイダ通信網のユーザ収容ノードにおいて、前記ユーザ要求を受信したサービス処理装置が認証された場合のみ、このユーザ収容ノードと前記認証されたサービス処理装置との間のアクセス網に通信路を設定する通信路設定手順（図７のＳ１０４）と、前記接続認証を行ったユーザ収容ノードから同じプロバイダ通信網のプロバイダサーバに対して前記認証されたサービス処理装置の接続認証情報を通知する通知手順と、前記通知を受けたプロバイダサーバにおいて前記接続認証情報に基づき、前記ユーザ要求を発したユーザの情報と前記認証されたサービス処理装置の情報とを管理する管理手順（図７のＳ１０５）とを実行するようにしてもよい。
また、本発明のデータ通信網接続制御方法の１構成例は、前記サービス処理装置を介して前記ユーザ通信網と前記複数のプロバイダ通信網間で転送されるパケットに対して付加価値サービス処理を行うためのサービス処理プログラムを、前記複数のプロバイダ通信網の各プロバイダサーバから前記論理コネクションを介して前記サービス処理装置に設定するサービス処理プログラム設定手順（図８のＳ１１６〜Ｓ１１８）と、前記設定されたサービス処理プログラムに従って、各プロバイダ通信網ごとにあらかじめ規定された前記付加価値サービス処理を前記サービス処理装置で行うサービス処理手順（図８のＳ１１９）とを実行するようにしてもよい。
【００１８】
また、本発明のデータ通信網接続制御方法の１構成例において、前記サービス処理は、ルーチング処理、パケットフィルタリング処理、アドレス変換処理、暗号化通信処理または通信品質識別処理のうちの少なくとも１つである。
また、本発明のデータ通信網接続制御方法の１構成例において、前記サービス処理は、ポートスキャンパケットの検出処理、サービス妨害パケットの検出処理、ウィルスデータの検出処理またはＨＴＴＰにおける通信禁止ＵＲＬの検出処理のうちの少なくとも１つであり、検出された有害なパケットを廃棄するようにしたものである。
また、本発明のデータ通信網接続制御方法の１構成例において、前記サービス処理は、ウェブサーバ処理、メールサーバ処理、ＤＮＳサーバ処理またはＤＨＣＰサーバ処理のうちの少なくとも１つである。
【００１９】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して詳細に説明する。図１は、本発明の実施の形態となるデータ通信網の１構成例を示すブロック図である。ユーザ通信網１０，２０，３０，４０には、それぞれサービス処理装置１１，２１，３１，４１が設置されており、またそれぞれＩＰ通信を行うユーザ端末装置１２，２２，３２，４２が接続されている。サービス処理装置１１，２１，３１，４１は、それぞれユーザ端末装置１２，２２，３２，４２に対してサービスを提供する。
【００２０】
プロバイダ通信網６０には、サービス処理装置を介してユーザ端末装置と接続するユーザ収容ノード６１，６３と情報管理を行うプロバイダサーバ６５とが設置され、またプロバイダ通信網６０により仮想閉域網（ＶＰＮ）６６，６７が構築されている。プロバイダ通信網７０には、ユーザ収容ノード７１，７３とプロバイダサーバ７５とが設置されている。プロバイダ通信網８０には、ユーザ収容ノード８２，８４とプロバイダサーバ８５とが設置され、またプロバイダ通信網８０により仮想閉域網８６，８７が構築されている。
【００２１】
図２は、サービス処理装置１１の１構成例を示すブロック図である。通信手段１１０は、ユーザ通信網１０を介してユーザ端末装置１２と通信する通信インターフェイス機能を有する。通信手段１１６５，１１７５は、アクセス網５１を介してそれぞれユーザ収容ノード６１，７１と通信する通信インターフェイス機能を有する。
【００２２】
接続認証手段１１６４，１１７４は、それぞれ通信手段１１６５，１１７５を通じて通信路設定用の接続認証を行う機能を有する。論理接続手段１１６６，１１７６は、それぞれ通信手段１１６５，１１７５を通じて各プロバイダサーバ毎に論理コネクションを設定する機能を有する。
【００２３】
外部接続要求手段１１６７，１１７７は、それぞれ論理接続手段１１６６，１１７６が設定した論理コネクションを利用して、プロバイダサーバに対してサービス処理装置１１を介した他のプロバイダ通信網との外部接続を要求する機能を有する。プログラム制御手段１１６３，１１７３は、それぞれ論理接続手段１１６６，１１７６が設定した論理コネクションを利用して、後述するサービス処理プログラムに対するプロバイダからの遠隔制御を受け付ける機能を有する。
【００２４】
サービス処理手段１１６１，１１７１は、通信手段１１０を介してユーザ通信網１０とパケットを送受信し、それぞれ通信手段１１６５，１１７５を介してプロバイダ通信網とパケットを送受信し、後述するパケット転送手段１１１とパケットを送受信する機能を有する。また、サービス処理手段１１６１，１１７１は、それぞれプログラム制御手段１１６３，１１７３によって設定されるサービス処理プログラム１１６２，１１７２を記憶しており、このサービス処理プログラム１１６２，１１７２にしたがって送受信パケットに付加的なサービス処理を施す。
【００２５】
パケット転送手段１１１は、ルーチング情報１１２を記憶しており、このルーチング情報１１２を参照して受信パケットの送信先アドレスから転送方路を決定し、受信パケットを当該方路のサービス処理手段１１６１または１１７１に転送する機能を有する。プロバイダ通信網接続管理手段１１３は、ユーザ端末装置１２からの外部接続要求を受信して、接続認証手段１１６４または１１７４に接続認証処理を要求する機能と、外部接続要求手段１１６７または１１７７に外部接続を要求する機能と、プロバイダサーバからの遠隔制御を受けて、後述するプロバイダ通信網接続手段１１４に接続設定を要求する機能とを有する。
【００２６】
プロバイダ通信網接続手段１１４は、プロバイダ通信網接続管理手段１１３からの接続設定要求を受けて、パケット転送手段１１１に接続設定を行う機能を有する。サーバ転送手段１１５は、論理接続手段１１６６，１１７６を介してプロバイダサーバと送受信するプロバイダサーバ間のパケット（認証情報）を転送する機能を有する。なお、図２の例では、サービス処理装置１１の構成のみについて説明したが、サービス処理装置２１，３１，４１についても同様の構成となっている。
【００２７】
図３は、プロバイダサーバ６５の１構成例を示すブロック図である。ユーザ管理手段６５０は、ユーザ情報やユーザへのサービス提供状況を管理して、ユーザへの課金などに使用される情報をプロバイダサーバ６５の他の構成に提供する機能を有する。通信手段６５１は、プロバイダ通信網６０とパケットを送受信するインターフェース機能を有する。論理接続手段６５２は、あらかじめ規定された通信手順で、サービス処理装置の論理接続手段１１６６または１１７６と論理コネクションを設定する機能を有する。
【００２８】
遠隔制御手段６５３は、論理接続手段６５２が設定した論理コネクションを介してサービス処理装置を遠隔制御する機能を有する。認証処理手段６５４は、他のプロバイダ通信網に設置されたプロバイダサーバと認証を行う機能を有する。プロバイダ通信網接続制御手段６５５は、後述するプロバイダ通信網接続管理手段６５７のプロバイダ通信網接続情報に基づいて、後述するサービス処理装置管理手段６５６からサービス処理装置情報を取得し、サービス処理装置に対してプロバイダ通信網接続の遠隔制御を行う機能を有する。
【００２９】
サービス処理装置管理手段６５６は、サービス処理装置の情報を管理し、ユーザ管理手段６５０からユーザ情報を取得して、ユーザ端末装置と接続されるサービス処理装置を特定すると共に、ユーザに対するサービス提供の状況をユーザ管理手段６５０に通知する機能を有する。
【００３０】
プロバイダ通信網接続管理手段６５７は、全てのプロバイダ通信網６０，７０，８０の情報を管理しており、プロバイダ通信網を一意に識別する識別子からプロバイダ通信網を特定し、仮想閉域網については仮想閉域網を一意に識別する仮想網識別子と仮想網管理手段６５９で管理されている仮想閉域網の情報とにより仮想閉域網を特定し、またユーザ管理手段６５０からユーザごとのプロバイダ接続情報を取得して、プロバイダ通信網接続制御手段６５５の遠隔制御を要求する機能を有する。
【００３１】
接続制御手段６５８は、通信手段６５１を介してユーザ収容ノードから接続認証情報を取得し、プロバイダ通信網６０に接続されたサービス処理装置の情報をサービス処理装置管理手段６５６に通知するとともに、遠隔制御不可能なサービス処理装置をプロバイダ通信網６０から切断する要求をユーザ収容ノードに送信する機能を有する。仮想閉域網６５９は、全てのプロバイダ通信網６０，７０，８０で構築される仮想閉域網６６，６７，８６，８７の情報を管理する機能を有する。
【００３２】
プログラム管理手段６５１１は、プロバイダ通信網６０であらかじめ規定された付加価値サービス処理をサービス処理装置で実行させるためのサービス処理プログラムを管理する機能を有する。プログラム制御手段６５１０は、プログラム管理手段６５１１で管理されるサービス処理プログラムを設定先のサービス処理装置に送信して、このサービス処理装置をサービス処理プログラムに従って作動させる遠隔制御を行う機能を有する。
【００３３】
なお、プロバイダサーバ７５，８５についてもプロバイダサーバ６５と同様の構成となっており、図４にプロバイダサーバ７５の１構成例を示す。プロバイダサーバ７５は、ユーザ管理手段７５０、通信手段７５１、論理接続手段７５２、遠隔制御手段７５３、認証処理手段７５４、プロバイダ通信網接続制御手段７５５、サービス処理装置管理手段７５６、プロバイダ通信網接続管理手段７５７、接続制御手段７５８、仮想網管理手段７５９、プログラム制御手段７５１０およびプログラム管理手段７５１１を有している。
【００３４】
図５は、ユーザ収容ノード６１の１構成例を示すブロック図である。通信手段６１０は、プロバイダ通信網６０と通信するインターフェイス機能を有する。通信手段６１１，６１２は、アクセス網５１を介してそれぞれサービス処理装置１１，２１と通信するインターフェイス機能を有する。
【００３５】
接続認証手段６１３は、サービス処理装置１１，２１からの接続認証要求を受信して、ユーザの認証を実施し、通信手段６１１，６１２に対して通信路の設定または切断の制御を行うとともに、後述するユーザパケット転送手段６１６，６１７の転送設定を行う機能を有する。また、接続認証手段６１３は、後述する制御管理手段６１４に接続認証情報を送信し、制御管理手段６１４から通信路切断要求を取得する。
【００３６】
制御管理手段６１４は、接続認証手段６１３の接続認証情報をプロバイダサーバ６５に送信し、プロバイダサーバ６５から受信した通信路切断要求を接続認証手段６１３に送信するとともに、通信手段６１０，６１１，６１２の制御を行う機能を有する。
【００３７】
ユーザパケット転送手段６１６，６１７は、ユーザ通信網から通信手段６１１，６１２を介して受信したユーザパケットに対し、ユーザパケットの送信先アドレスを基に転送先ユーザ収容ノードのユーザパケット転送手段に対応する仮想網アドレスと仮想網番号とを記述したラベルを付与し、ラベルを付与したユーザパケット（仮想閉域網パケット）を仮想閉域網パケット転送手段６１５に送信する機能を有する。
【００３８】
また、ユーザパケット転送手段６１６，６１７は、通信手段６１０および仮想閉域網パケット転送手段６１５を介して受信した仮想閉域網パケットのラベルを除去して、このラベルを除去した後のユーザパケットの送信先アドレスに基づいて、ユーザパケットを通信手段６１１，６１２および通信路を介してユーザ通信網に転送する機能を有する。
【００３９】
仮想閉域網パケット転送手段６１５は、ユーザパケット転送手段６１６，６１７から受信した仮想閉域網パケットの仮想網アドレスに基づいて、この仮想閉域網パケットを通信手段６１０を介して仮想閉域網に転送し、通信手段６１０を介して仮想閉域網から受信した仮想閉域網パケットをユーザパケット転送手段６１６，６１７に転送する機能を有する。
【００４０】
以上の構成により、ユーザ収容ノード６１は、通信手段６１１，６１２が設定した通信路と仮想閉域網とを対応させ、この通信路が接続するサービス処理装置と仮想閉域網との間でパケットを転送することを可能にする。なお、図５の例では、ユーザ収容ノード６１の構成のみについて説明したが、ユーザ収容ノード６３，８２，８４についても同様の構成となっている。
【００４１】
図６は、ユーザ収容ノード７１の１構成例を示すブロック図である。ユーザ収容ノード７１は、通信手段６１０，６１１，６１２、接続認証手段６１３、制御管理手段６１４と同様の通信手段７１０，７１１，７１２、接続認証手段７１３、制御管理手段７１４を有するとともに、パケット転送手段７１５を有する。ユーザ収容ノード６１と異なるのは、パケット転送手段７１５が通信手段７１０，７１１，７１２から受信したユーザパケットの送信先アドレスに基づいて、このユーザパケットを転送する点である。図６の例では、ユーザ収容ノード７１の構成のみについて説明したが、ユーザ収容ノード７３についても同様の構成となっている。
【００４２】
アクセス網５１には、サービス処理装置１１とユーザ収容ノード６１との間に通信路５１６が設定され、サービス処理装置２１とユーザ収容ノード６１との間に通信路５２６が設定され、サービス処理装置２１とユーザ収容ノード７１との間に通信路５２７が設定され、アクセス網５２には、サービス処理装置２１とユーザ収容ノード８２との間に通信路５２８が設定されている。
【００４３】
また、アクセス網５３には、サービス処理装置３１とユーザ収容ノード６３との間に通信路５３６が設定され、サービス処理装置３１とユーザ収容ノード７３との間に通信路５３７が設定され、サービス処理装置４１とユーザ収容ノード７３との間に通信路５４７が設定され、アクセス網５４には、サービス処理装置４１とユーザ収容ノード８４との間に通信路５４８が設定されている。すなわち、サービス処理装置１１，２１，３１，４１の通信手段１１０とプロバイダサーバ６５，７５，８５の通信手段６５１，７５１（プロバイダサーバ８５の通信手段は不図示）との間に通信路が設定されている。
【００４４】
これらの通信路としては、例えば専用線、ＡＴＭ（Asynchronous Transfer Mode）のＶＣ（Virtual Channel ）、ＰＰＰｏＥ（Point to Point Protocol over Ethernet（登録商標） ）、８０２．１Ｑなどを用いることができる。ユーザ収容ノード６１においては、通信路５１６と仮想閉域網６６とが対応している。ここで、ユーザ端末装置１２，２２，３２，４２には、それぞれＩＰアドレスＰ−１，Ｐ−２，Ｐ−３，Ｇ−４が割り当てられているものとする。
【００４５】
以上のデータ通信網において、本実施の形態のデータ通信網接続制御方法を説明する。図７、図８は本実施の形態のデータ通信網の動作を示すフローチャートである。まず、サービス処理装置１１とプロバイダ通信網６０との間には、通信路５１６が既に設定され、サービス処理装置１１とプロバイダ通信網７０との間には通信路は設定されていない。プロバイダサーバ６５の論理接続手段６５２は、サービス処理装置管理子設６５６で管理されるサービス処理装置１１の情報に基づきサービス処理装置１１の論理接続手段１１６６との間で、通信手段６５１，プロバイダ通信網６０、ユーザ収容ノード６１および通信路５１６を介して論理コネクション９１６を設定する（図７ステップＳ１０１）。
【００４６】
この論理コネクション９１６の設定は、あらかじめ規定された通信手順に従って行われる。例えば、通信手順ＩＫＥ（Internet Key Exchange ）を用いて、論理コネクションのＩＰｓｅｃ（IPSecurity）を設定することができる。図９は論理コネクション９１６が設定されたネットワーク構成を示す図である。
【００４７】
次に、ユーザは、ユーザ端末装置１２からＨＴＴＰ（HyperText Transfer Protocol ）等を用いてサービス処理装置１１のプロバイダ通信網接続管理手段１１３に対しプロバイダ通信網７０との接続を要求する（ステップＳ１０２）。ユーザ端末装置１２からの接続要求を受信したプロバイダ通信網接続管理手段１１３は、サービス処理装置１１の接続認証手段１１７４にプロバイダ通信網７０との接続認証処理を要求する。
【００４８】
プロバイダ通信網接続管理手段１１３からの接続認証処理要求を受信した接続認証手段１１７４は、プロバイダ通信網７０のユーザ収容ノード７１とサービス処理装置１１との間に通信路が未設定のため、ユーザ収容ノード７１の接続認証手段７１３との間でサービス処理装置１１の通信手段１１７５およびユーザ収容ノード７１の通信手段７１１を介して認証情報を交換する（ステップＳ１０３）。
【００４９】
ユーザ収容ノード７１の接続認証手段７１３によってサービス処理装置１１が認証された場合、サービス処理装置１１の通信手段１１７５とユーザ収容ノード７１の通信手段７１１とは、双方の間に通信路５１７を設定する（ステップＳ１０４）。認証および通信路の設定の手順は、ＰＰＰ（Point to Point Protocol ）などの手順を用いることができる。図１０は通信路５１７が設定されたネットワーク構成を示す図である。
【００５０】
通信路５１７が設定された場合、ユーザ収容ノード７１の制御管理手段６１４は、プロバイダサーバ７５に対して、サービス処理装置１１の接続認証情報を通知する。プロバイダサーバ７５は、接続認証情報を接続制御手段７５８で受信した後、サービス処理装置１１の情報をサービス処理装置管理手段７５６で管理し、サービス処理装置１１を用いるユーザ端末装置１２のユーザ情報をユーザ管理手段７５０で管理する（ステップＳ１０５）。サービス処理装置情報とユーザ情報とは、受信した接続認証情報から得ることができる。
【００５１】
こうして、プロバイダサーバ７５は、プロバイダ通信網７０に対して動的に接続するユーザ通信網１０についても、その接続認証情報からユーザとサービス処理装置１１とを特定することが可能となり、ユーザごとにサービスを提供可能になる。
【００５２】
次に、プロバイダサーバ７５の論理接続手段７５２は、サービス処理装置管理手段７５６によって管理されるサービス処理装置１１の情報がステップＳ１０５で更新された後、このサービス処理装置１１の情報に基づきサービス処理装置１１の論理接続手段１１７６に、通信手段７５１、プロバイダ通信網７０、ユーザ収容ノード７１および通信路５１７を介して論理コネクション９１７の設定を要求する（ステップＳ１０６）。この論理コネクション９１７の設定は、あらかじめ規定された通信手順に従って行われる。
【００５３】
サービス処理装置１１の論理接続手段１１７６がこの通信手順に従わない場合（ステップＳ１０７においてＮＯ）、プロバイダサーバ７５の接続制御手段７５８は、ユーザ収容ノード７１の制御管理手段７１４に対してサービス処理装置１１の切断要求を送信する。ユーザ収容ノード７１の制御管理手段７１４は、この切断要求で指定されたサービス処理装置１１を収容する通信手段の情報を接続認証手段７１３から取得して、サービス処理装置１１を収容する通信手段が７１１であることを認識すると、この通信手段７１１の通信路５１７を切断する（ステップＳ１０８）。
【００５４】
こうして、プロバイダサーバ７５は、あらかじめ規定された通信手順にサービス処理装置１１が従わない場合、接続制御サービスを提供することができない、すなわち論理コネクションを設定することができないサービス処理装置１１をプロバイダ通信網７０から切断し、不正な接続を防止して、サービスの信頼性を確保することが可能となる。
【００５５】
一方、サービス処理装置１１の論理接続手段１１７６が通信手順に従う場合（ステップＳ１０７においてＹＥＳ）、プロバイダサーバ７５の論理接続手段７５２とサービス処理装置１１の論理接続手段１１７６との間に論理コネクション９１７が設定される（ステップＳ１０９）。図１１は、論理コネクション９１７を含め、全ての通信路に対して論理コネクション９１６，９１７，９２７，９２８，９３６，９３７，９４７，９４８が設定されたネットワーク構成を示す図である。
【００５６】
続いて、サービス処理装置１１の外部接続要求手段１１６７は、論理コネクション９１６を利用して、プロバイダサーバ６５においてあらかじめ規定されたＨＴＴＰなどの通信手順に従って、プロバイダサーバ６５に対しプロバイダ通信網７０との外部接続要求を送信する（ステップＳ１１０）。プロバイダ通信網７０を指定する識別子には、例えば、ＡＳ番号（ＩＥＴＦ ＲＦＣ１９３０）またはプロパイダのドメインネームなどを用いることができる。
【００５７】
プロバイダサーバ６５のプロバイダ通信網接続制御手段６５５は、サービス処理装置１１からの外部接続要求を受信すると、この外部接続要求に含まれる識別子をプロバイダ通信網接続管理手段６５７に渡す。プロバイダ通信網接続管理手段６５７は、この識別子によりプロバイダ通信網７０を特定する。
【００５８】
続いて、プロバイダサーバ６５のプロバイダ通信網接続制御手段６５５は、サービス処理装置管理手段６５６のサービス処理装置情報を参照して、外部接続要求を発したサービス処理装置１１が接続可能なプロバイダ通信網を調査する。プロバイダ通信網接続管理手段６５７によって特定されたプロバイダ通信網７０が、サービス処理装置１１が接続可能なプロバイダ通信網としてサービス処理装置管理手段６５６に登録されていれば、サービス処理装置１１は、プロバイダ通信網７０との接続が許可される。
【００５９】
サービス処理装置１１とプロバイダ通信網７０との接続が許可された場合、プロバイダサーバ６５のプロバイダ通信網接続管理手段６５７は、プロバイダ通信網７０のプロバイダサーバ７５の情報を参照する。このプロバイダサーバ７５の情報に基づいて、プロバイダサーバ６５の認証処理手段６５４は、認証要求とプロバイダサーバ６５の認証情報とを、プロバイダサーバ７５を送信先に指定してサービス処理装置１１に送出する。
【００６０】
サービス処理装置１１は、プロバイダサーバ６５からの認証要求と認証情報とを論理接続手段１１６６を介してサーバ転送手段１１５で受信した後、この認証要求と認証情報とを論理接続手段１１７６を介して送信先のプロバイダサーバ７５に転送する。論理接続手段７５２を介して認証要求と認証情報とを受信したプロバイダサーバ７５の認証処理手段７５４は、受信した認証情報に応じて返信すべきプロバイダサーバ７５の認証情報を、プロバイダサーバ６５を送信先に指定してサービス処理装置１１に送出する。
【００６１】
サービス処理装置１１は、プロバイダサーバ７５からの認証情報を論理接続手段１１７６を介してサーバ転送手段１１５で受信した後、この認証情報を論理接続手段１１６６を介して送信先のプロバイダサーバ６５に転送する。プロバイダサーバ６５の認証処理手段６５４は、論理接続手段６５２を介して認証情報を受信する。こうして、プロバイダサーバ６５とプロバイダサーバ７５との間で認証情報が送受信され、プロパイダサーバ７５の認証処理手段７５４がプロバイダサーバ６５を認証する（ステップＳ１１１）。この認証には、一般的な公開鍵暗号のデジタル認証を用いることができる。
【００６２】
次に、サービス処理装置１１の外部接続要求手段１１７７は、論理コネクション９１７を利用して、プロバイダサーバ７５に対しプロバイダ通信網６０の仮想閉域網６６との外部接続要求を送信する（ステップＳ１１２）。この接続要求には、仮想閉域網６６を一意に識別する仮想網識別子を用いる。仮想網識別子には、例えば仮想閉域網６６を利用するユーザによって予め登録されたドメインネームなどを用いることができる。
【００６３】
プロバイダサーバ７５のプロバイダ通信網接続制御手段７５５は、サービス処理装置１１からの外部接続要求を受信すると、この外部接続要求に含まれる仮想網識別子をプロバイダ通信網接続管理手段７５７に渡す。プロバイダ通信網接続管理手段７５７は、この仮想網識別子と仮想網管理手段７５９で管理されている仮想閉域網の情報とにより、仮想閉域網６６が構成されているプロパイダ網６０を特定する。
【００６４】
続いて、プロバイダサーバ７５のプロバイダ通信網接続制御手段７５５は、サービス処理装置管理手段７５６のサービス処理装置情報を参照して、外部接続要求を発したサービス処理装置１１が接続可能なプロバイダ通信網を調査する。プロバイダ通信網接続管理手段７５７によって特定されたプロバイダ通信網６０が、サービス処理装置１１が接続可能なプロバイダ通信網としてサービス処理装置管理手段７５６に登録されていれば、サービス処理装置１１は、プロバイダ通信網６０との接続が許可される。
【００６５】
サービス処理装置１１とプロバイダ通信網６０との接続が許可された場合、プロバイダサーバ７５のプロバイダ通信網接続管理手段７５７は、プロバイダ通信網６０のプロバイダサーバ６５の情報を参照する。このプロバイダサーバ６５の情報に基づいて、プロバイダサーバ７５の認証処理手段７５４は、認証要求とプロバイダサーバ７５の認証情報とを、プロバイダサーバ６５を送信先に指定してサービス処理装置１１に送出する。
【００６６】
サービス処理装置１１は、プロバイダサーバ７５からの認証要求と認証情報とを論理接続手段１１７６を介してサーバ転送手段１１５で受信した後、この認証要求と認証情報とを論理接続手段１１６６を介して送信先のプロバイダサーバ６５に転送する。論理接続手段６５２を介して認証要求と認証情報とを受信したプロバイダサーバ６５の認証処理手段６５４は、受信した認証情報に応じて返信すべきプロバイダサーバ６５の認証情報を、プロバイダサーバ７５を送信先に指定してサービス処理装置１１に送出する。
【００６７】
サービス処理装置１１は、プロバイダサーバ６５からの認証情報を論理接続手段１１６６を介してサーバ転送手段１１５で受信した後、この認証情報を論理接続手段１１７６を介して送信先のプロバイダサーバ７５に転送する。プロバイダサーバ７５の認証処理手段７５４は、論理接続手段７５２を介して認証情報を受信する。こうして、プロバイダサーバ７５とプロバイダサーバ６５との間で認証情報が送受信され、プロパイダサーバ６５の認証処理手段６５４がプロバイダサーバ７５を認証する（ステップＳ１１３）。
【００６８】
プロバイダサーバ６５とプロバイダサーバ７５との間において相互に認証が成立した後、プロバイダサーバ６５のプロバイダ通信網接続制御手段６５５は、サービス処理装置１１のプロバイダ通信網接続管理手段１１３に接続要求を送信し、同様にプロバイダサーバ７５のプロバイダ通信網接続制御手段７５５は、サービス処理装置１１のプロバイダ通信網接続管理手段１１３に接続要求を送信する（ステップＳ１１４）。
【００６９】
サービス処理装置１１のプロバイダ通信網接続管理手段１１３は、プロバイダサーバ６５，７５からの遠隔制御を受けて、プロバイダ通信網接続手段１１４に接続設定を要求する。プロバイダ通信網接続手段１１４は、プロバイダ通信網接続管理手段１１３からの接続設定要求を受けて、パケット転送手段１１１のルーチング情報１１２を設定する（ステップＳ１１５）。
【００７０】
こうして、プロバイダサーバ６５およびプロバイダサーバ７５から遠隔制御することにより、サービス処理手段１１６１とサービス処理手段１１７１とを接続するルーチング情報が設定され、プロバイダ通信網６０とプロバイダ通信網７０との接続およびユーザ通信網１０とプロバイダ通信網７０との接続が制御される。また、サービス処理装置１１は、プロバイダ通信網接続情報をプロバイダ通信網接続管理手段１１３で管理する。
【００７１】
以上の動作により、本実施の形態では、プロバイダサーバ６５およびプロバイダサーバ７５がサービス処理装置１１と接続するプロバイダ通信網７０および６０を特定し、ユーザ通信網１０とプロバイダ通信網６０およびプロバイダ通信網７０との接続関係を制御し、管理するサービスをユーザに提供することが可能となる。そのため、ユーザのプロバイダ接続管理コストを増大させることなく、ユーザと複数のプロバイダ通信網との接続性を提供し、かつ通信経路の短縮化を図ることが可能となる。
【００７２】
また、プロバイダ通信網間で認証が成立しない場合は、サービス処理装置におけるプロバイダ通信網接続の遠隔制御が行われないため、不正に接続しようとするプロバイダ通信網を排除することが可能となる。また、プロバイダ通信網が仮想閉域網を構成している場合においても、ユーザは接続先の仮想閉域網の識別子を指定して、この仮想閉域網との接続を要求すればよい。プロバイダサーバが、サービス処理装置ごとに接続先のプロバイダ通信網との接続の許可、拒絶を管理するため、プロバイダは、サービス処理装置が接続するユーザ通信網ごとにサービスの提供・管理が可能になる。
【００７３】
次に、サービス処理装置１１とプロバイダサーバ６５，７５との間に論理コネクション９１６，９１７が設定されている状態において、ユーザは、ユーザ端末装置１２からＨＴＴＰ等を用いてサービス処理装置１１のサービス処理管理手段１１６に、転送データに対する付加価値サービスを要求する（ステップＳ１１６）。
【００７４】
ユーザ端末装置１２からの要求を受信したサービス処理装置１１のサービス処理管理手段１１６は、プログラム制御手段１１６３，１１７３に付加価値サービスの設定を要求する。プログラム制御手段１１６３，１１７３は、それぞれ論理接続手段１１６６，１１７６（論理コネクション９１６，９１７）を介してプロバイダサーバ６５，７５に付加価値サービス設定要求を送信する（ステップＳ１１７）。それぞれの付加価値サービス設定要求の通信は、送信先のプロバイダサーバ６５，７５ごとにあらかじめ規定された手順を用いる。この手順としては、例えばＣＯＰＳ（Common Open Policy Service）を用いることができる。
【００７５】
プロバイダサーバ６５は、サービス処理装置１１からの付加価値サービス設定要求をプログラム制御手段６５１０で受信する。プログラム制御手段６５１０は、サービス処理装置管理手段６５６で管理されるサービス処理装置１１の情報を参照して、この情報を基にサービス処理装置１１の付加価値サービスに必要なサービス処理プログラム１１６２をプログラム管理手段６５１１から取得する。そして、プログラム制御手段６５１０は、取得したサービス処理プログラム１１６２とその設定とをサービス処理装置１１のプログラム制御手段１１６３に送信し、サービス処理手段１１６１をサービス処理プログラム１１６２に従って作動させる遠隔制御を行う（ステップＳ１１８）。
【００７６】
また、プロバイダサーバ６５は、サービス処理装置管理手段６５６のサービス処理装置情報を更新するとともに、サービスプログラム遠隔制御情報をユーザ管理手段６５０で管理する。サービス処理装置１１のプログラム制御手段１１６３は、受信したサービス処理プログラム１１６２をサービス処理手段１１６１に設定し、サービス処理手段１１６１は、設定されたサービス処理プログラム１１６２に従って転送データに対する付加価値サービスを提供する（ステップＳ１１９）。
【００７７】
同様に、サービス処理装置１１からの付加価値サービス設定要求を受信したプロバイダサーバ７５のプログラム制御手段７５１０は、サービス処理装置１１の付加価値サービスに必要なサービス処理プログラム１１７２をプログラム管理手段７５１１から取得し、このサービス処理プログラム１１７２をサービス処理装置１１に送信する（ステップＳ１１８）。サービス処理装置１１のプログラム制御手段１１７３は、受信したサービス処理プログラム１１７２をサービス処理手段１１７１に設定し、サービス処理手段１１７１は、サービス処理プログラム１１７２に従って転送データに対する付加価値サービスを提供する（ステップＳ１１９）。
【００７８】
以上の動作により、サービス処理装置１１と接続するプロバイダサーバ６５，７５からそれぞれ独立にサービス処理プログラムを設定し、ユーザに対する付加価値サービス提供情報を管理することが可能である。
ここで、サービス処理装置１１が提供する付加価値サービスとしては、例えば、ＶＰＮ−インターネット通信サービス、ファイアウォールサービス、ＩＰ通信サーバサービスがある。以下では、それぞれのサービスについて説明する。
【００７９】
ＶＰＮ−インターネット通信サービスとは、ルーチング処理、パケットフィルタリング処理、アドレス変換処理、暗号化通信処理および通信品質識別処理によって、仮想閉域網とインターネットとの間の通信を実現するサービスである。ユーザがＶＰＮ−インターネット通信サービスを要求した場合に、プロバイダサーバ６５からサービス処理装置１１のサービス処理手段１１６１に送信され、サービス処理プログラム１１６２として設定される遠隔制御情報の概要を図１２に示す。
【００８０】
図１２に示すルーチング処理１１６２１は、ＩＰパケットの送信先アドレスを参照して、ＩＰパケットを適切な方路に送信する処理を実現するプログラムであり、ルーチングテーブルはその方路を決定するためのルーチング情報が設定されたテーブルである。
【００８１】
フィルタリング処理１１６２２は、ＩＰパケットのヘッダおよびペイロードを参照して、ＩＰパケットを転送または廃棄する処理を実現するプログラムであり、フィルタリングテーブルはその動作を決定するフィルタリング情報が設定されたテーブルである。
【００８２】
アドレス変換処理１１６２３は、ＩＰパケットの送信先アドレス、送信元アドレスおよびペイロードに含まれる上位プロトコルのプロトコル番号の変換を行う処理を実現するプログラムであり、アドレス変換テーブルはその変換規則を記述したアドレス変換情報が設定されたテーブルである。
【００８３】
図１２のルーチング情報によれば、送信先ＩＰアドレスが「Ｐ−ｘ」（ｘは任意の値）のパケットは出力リンク「１１６５」、すなわち通信手段１１６５に出力され、送信先ＩＰアドレスが「Ｐ−１」のパケットは出力リンク「１１０」、すなわち通信手段１１０に出力される。一方、フィルタリング情報によれば、送信先ＩＰアドレスが「Ｐ−ｘ」、送信元ＩＰアドレスが「Ｐ−１」のパケット、および送信先ＩＰアドレスが「Ｐ−１」、送信元ＩＰアドレスが「Ｐ−ｘ」のパケットについては、プロトコル、送信先ポートおよび送信元ポートが「＊」（＊は任意の値）に設定されているので、プロトコル、送信先ポートおよび送信元ポートの如何に拘わらず全て転送が許可される。したがって、ユーザ通信網１０とプロバイダ通信網６０との間では、双方向に全てのパケットが転送される。
【００８４】
一方、送信先ＩＰアドレスが「Ｇ−ｘ」、送信元ＩＰアドレスが「Ｐ−ｘ」のパケットについては、フィルタリング情報で送信先ポートが「８０」に設定されているので、ユーザ通信網１０からプロバイダ通信網７０に対してＴＣＰプロトコルを用いた送信先ポート８０番のパケットのみが転送される。
【００８５】
また、送信先ＩＰアドレスが「Ｐ−ｘ」、送信元ＩＰアドレスが「Ｇ−ｘ」のパケットについては、フィルタリング情報で送信元ポートが「８０」に設定されているので、プロバイダ通信網７０からユーザ通信網１０に対してＴＣＰプロトコルを用いた送信元ポート８０番のパケットのみが転送される。そして、フィルタリング情報により「転送」が許可されているパケット以外は全て廃棄されるので、プロバイダ通信網６０とプロバイダ通信網７０との間では、双方向の全てのパケットが廃棄される。
【００８６】
その結果、ユーザ端末装置１２から送信先ＩＰアドレスを「Ｐ−３」として送信されたパケットは、ユーザ通信網１０、サービス処理装置１１、通信路５１６、ユーザ収容ノード６１、仮想閉域網６６、ユーザ収容ノード６３、通信路５３６、サービス処理装置３１およびユーザ通信網３０を経由してユーザ端末装置３２によって受信される。一方、ユーザ端末装置３２から送信先ＩＰアドレスを「Ｐ−１」として送信されたパケットは、その逆の経路をたどってユーザ端末装置１２によって受信される。
【００８７】
また、ユーザ端末装置１２から送信先ＩＰアドレスを「Ｇ−３」とし、ＴＣＰプロトコルを用いて送信先ポート８０番として送信されたパケットは、ユーザ通信網１０を経由しサービス処理装置１１のサービス処理手段１１６１で受信され、アドレス変換情報により送信元ＩＰアドレスが「Ｐ−１」から「Ｇ−５」に変換され、パケット転送手段１１１、パケット処理手段１１７１を経由して、通信経路５１７、ユーザ収容ノード７１、プロバイダ通信網７０、ユーザ収容ノード７３、通信路５４７およびサービス処理装置４１を経由してユーザ端末装置４２によって受信される。一方、ユーザ端末装置４２から送信先ＩＰアドレスを「Ｇ−５」とし、ＴＣＰプロトコルを用いて送信元ポート８０番として送信されたパケットは、逆の経路をたどってサービス処理手段１１６１で送信先ＩＰアドレスが「Ｐ−１」に変換され、ユーザ端末装置１２によって受信される。
【００８８】
しかし、ユーザ端末装置４２から送信先ＩＰアドレスを「Ｇ−５」とし、ＴＣＰプロトコルを用いて送信先ポート２１番として送信されたパケットは、ユーザ通信網１０を経由しサービス処理装置１１のサービス処理手段１１６１で受信されるが、フィルタリング情報で転送が許可されたパケットでないために廃棄される。
【００８９】
これらの動作により、ユーザ通信網１０を仮想閉域網６６の一部として接続し、ユーザ通信網１０に対して特定の通信のみプロバイダ通信網７０と通信を可能とするＶＰＮ−インターネット通信サービスを提供可能となる。
【００９０】
また、ファイアウォールサービスとは、ポートスキャンパケットの検出処理、サービス妨害パケットの検出処理、ウィルスデータの検出処理およびＨＴＴＰにおける通信禁止ＵＲＬ（Uniform Resource Locators ）の検出処理によって許可されたＩＰ通信に対し、さらに通信内容と通信状態の検出を行い、有害な通信を排除するサービスである。
【００９１】
ポートスキャンパケットの検出処理は、通信可能な状態のポートを探すために網羅的に各ポートに送信される不正なパケットであるポートスキャンパケットを、常にポートを監視することで検出する処理である。サービス妨害パケットの検出処理は、特定のポートに不正な大量のパケットを送信することにより通信機器や端末の処理負荷を増大させるサービス妨害パケットを、常にポートを監視することで検出する処理である。
【００９２】
ウィルスデータの検出処理は、転送する電子メールのパケットにウィルスデータが付加されていないかどうかを検出するために、電子メールのパケットかどうかを識別し、電子メールのパケットである場合は、当該電子メールを構成する全てのパケットの通信データを検査する処理である。
【００９３】
ＨＴＴＰにおける通信禁止ＵＲＬの検出処理は、ユーザによる有害なウェブサイトの閲覧を防止するために、転送するＨＴＴＰのＧＥＴ要求を検査するものであり、パケットがＨＴＴＰ通信のパケットかどうかを識別し、ＨＴＴＰパケットである場合は、ＨＴＴＰパケットから要求ＵＲＬを抽出して、この要求ＵＲＬが通信禁止ＵＲＬテーブルに登録された通信禁止ＵＲＬかどうかを検査する処理である。
【００９４】
また、ＩＰ通信サーバサービスは、プロバイダ通信網で用意されたＩＰ通信サーバで提供する、ウェブサーバ処理、メールサーバ処理、ＤＮＳ（Domain Name System）サーバ処理およびＤＨＣＰ（Dynamic Host Configuration Protocol ）サーバ処理の各処理を、このプロバイダ通信網に接続されるサービス処理装置で行うサービスである。
【００９５】
サービス処理装置１１がプロバイダ通信網６０，７０に接続された場合、ＩＰ通信サーバサービスをサービス処理装置１１で行うことで、ユーザ端末装置１２がプロバイダ通信網６０，７０においてそれぞれ用意された各種ＩＰ通信サーバと通信することなく、サービス処理装置１１とのみ通信するため、ユーザの利便性を向上させることが可能となる。
【００９６】
【発明の効果】
本発明によれば、データ通信網システムにおいて、論理コネクション設定手順、外部接続要求手順、認証手順、遠隔制御手順およびプロバイダ通信網接続管理手順を実行するようにしたことにより、相互接続していない複数のプロバイダ通信網が、相互に接続情報のみを管理し、ユーザが複数のプロバイダ通信網に接続した場合もユーザの接続するプロバイダ通信網を認証して特定し、プロバイダがサービスとして管理可能なデータ通信網構成となる。また、サービス処理装置を介してプロバイダサーバ間で認証を行い、プロバイダ間で信頼性を確保したプロバイダの特定を行うことが可能となり、プロバイダサーバが、ユーザの接続するプロバイダ通信網を管理した上で、サービス処理装置における複数プロバイダヘの接続制御を実施することが可能となる。その結果、本発明によれば、ユーザに対して、接続性の向上、通信経路の短縮化、通信品質の向上を提供できるようになる。その理由は、論理閉域網を構成するプロバイダ通信網、インターネット接続サービスプロバイダ通信網など、複数のプロバイダ通信網に設置された、それぞれのプロバイダサーバ間で、認証してプロバイダ通信網を特定し、ユーザ情報に応じてユーザ通信網に設置されたサービス処理装置に対して複数のプロバイダ通信網への接続の制御を行うことで、相互接続されていないプロバイダ通信網との通信を提供することができ、相互接続されているプロバイダ通信網の相互接続装置を経由することによる経路の冗長化とトラフィックの集中を回避できるからである。また、認証情報を用いた接続制御とプロバイダサーバの連携により、プロバイダ通信網へのオンデマンドな接続においても複数プロバイダ通信網への接続が制御できるからである。また、本発明によれば、ユーザ通信網の複数プロバイダ接続時の操作性、管理の容易性を向上させることができる。その理由は、ユーザがサービス処理装置に要求を行うだけで、サービス処理装置と複数のプロバイダサーバ間、および複数のプロバイダサーバ間において、プロバイダサーバごとに規定された論理コネクションを介して連携し、ユーザごとにプロバイダサーバでサービス制御を管理できるからである。
【００９７】
また、外部接続要求手順では、他のプロバイダ通信網のユーザ収容ノード間に論理的に隔絶された複数の仮想閉域網が構築されている場合、ユーザ要求で接続先として指定された仮想閉域網を識別する仮想網識別子を用いて、この指定された仮想閉域網との外部接続を要求し、認証手順では、外部接続要求を受信したプロバイダサーバにおいて、この外部接続要求で接続先として指定された他のプロバイダ通信網を仮想網識別子に基づいて特定するようにしたことにより、ＶＰＮを提供するプロバイダにおいて、ユーザは仮想網識別子だけを指定して接続することで、接続先のプロバイダは、自らがサービスを提供しない外部のＶＰＮを識別して接続制御を実施することが可能となる。
【００９８】
また、論理コネクション設定手順を行う前に、ユーザ要求で接続先として指定されたプロバイダ通信網のプロバイダサーバにおいて、ユーザ要求を受信したサービス処理装置が予め規定された通信手順に従うか否かを判定する通信判定手順を実行し、サービス処理装置が通信手順に従わないと判定された場合、論理コネクション設定手順を実行せずに、判定を行ったプロバイダサーバから同じプロバイダ通信網内のユーザ収容ノードに切断要求を送信して、このユーザ収容ノードとユーザ要求を受信したサービス処理装置との間の通信路を切断させるようにしたことにより、プロバイダサーバが遠隔制御・管理するための通信手順に従わず、サービスの制御・管理が不可能なサービス処理装置が存在した場合、ユーザ収容ノードが当該サービス処理装置との接続を切断し、サービスの提供を中止することが可能となる。その結果、本発明によれば、複数のプロバイダがそれぞれ提供するＶＰＮ−インターネット通信サービスなどの種々の付加価値サービスをユーザごとに安全に提供することができる。その理由は、プロバイダサーバは、ユーザ収容ノードの接続制御と連携し、サービス制御に対応していないサービス処理装置を排除し、全ユーザのサービス処理装置に対するサービス提供情報を管理しながら、ユーザ個別の各種付加価値サービスのためのサービス処理プログラムを遠隔制御できるからである。
【００９９】
また、サービス処理装置情報を複数のプロバイダ通信網の各プロバイダサーバで管理し、認証手順を行う前に、外部接続要求を受信したプロバイダサーバにおいて、外部接続要求を送信したサービス処理装置とこの外部接続要求で接続先として指定された他のプロバイダ通信網との外部接続が可能か否かをサービス処理装置情報に基づいて判定する接続可否判定手順を実行し、この接続可否判定手順でサービス処理装置とプロバイダ通信網との外部接続が可能と判定された場合のみ、認証手順および遠隔制御手順を行うようにしたことにより、サービス処理装置が接続するユーザ通信網ごとに他のプロバイダ通信網との外部接続の許可あるいは拒絶を制御・管理することが可能となる。
【０１００】
また、論理コネクション設定手順を行う前に、ユーザ要求で接続先として指定されたプロバイダ通信網のユーザ収容ノードとユーザ要求を受信したサービス処理装置との間で通信路設定用の接続認証情報を送受信する接続認証手順と、接続先として指定されたプロバイダ通信網のユーザ収容ノードにおいて、ユーザ要求を受信したサービス処理装置が認証された場合のみ、このユーザ収容ノードと認証されたサービス処理装置との間のアクセス網に通信路を設定する通信路設定手順と、接続認証を行ったユーザ収容ノードから同じプロバイダ通信網のプロバイダサーバに対して認証されたサービス処理装置の接続認証情報を通知する通知手順と、通知を受けたプロバイダサーバにおいて接続認証情報に基づき、ユーザ要求を発したユーザの情報と認証されたサービス処理装置の情報とを管理する管理手順とを実行するようにしたことにより、認証によるプロバイダ通信網接続を可能とし、認証時のユーザ情報をもとにユーザごとに接続制御・管理を実施可能となる。
【０１０１】
また、サービス処理装置を介してユーザ通信網と複数のプロバイダ通信網間で転送されるパケットに対して付加価値サービス処理を行うためのサービス処理プログラムを、複数のプロバイダ通信網の各プロバイダサーバから論理コネクションを介してサービス処理装置に設定するサービス処理プログラム設定手順と、設定されたサービス処理プログラムに従って、各プロバイダ通信網ごとにあらかじめ規定された付加価値サービス処理をサービス処理装置で行うサービス処理手順とを実行するようにしたことにより、ユーザに対して提供する付加価値サービスの処理をユーザ通信網のサービス処理装置で実施し、ユーザが接続する他のプロバイダ通信網を識別した上で、他のプロバイダ通信網との間の通信に対して付加価値サービスを提供することが可能となる。
【０１０２】
また、サービス処理を、ルーチング処理、パケットフィルタリング処理、アドレス変換処理、暗号化通信処理または通信品質識別処理のうちの少なくとも１つとすることにより、ＶＰＮプロバイダ通信網との接続において他のＶＰＮプロバイダ通信網のＶＰＮ間通信に対するＩＰパケットレベルの転送制御を行い、制限を設けてＶＰＮ間の通信を行うエクストラネットサービスのセキュリティ制御をプロバイダが管理しサービスとして提供することが可能となる。
【０１０３】
また、サービス処理を、ポートスキャンパケットの検出処理、サービス妨害パケットの検出処理、ウィルスデータの検出処理またはＨＴＴＰにおける通信禁止ＵＲＬの検出処理のうちの少なくとも１つとすることにより、不正なあるいは禁止された通信を防止することが可能となる。特に、ＶＰＮ間通信やインターネットとの通信などにおいて、このサービス処理は有効である。
【０１０４】
また、サービス処理を、ウェブサーバ処理、メールサーバ処理、ＤＮＳサーバ処理またはＤＨＣＰサーバ処理のうちの少なくとも１つとすることにより、ユーザ用の各種サーバ機能をユーザ通信網内のサービス処理装置に統一化することができる。
【図面の簡単な説明】
【図１】 本発明の実施の形態となるデータ通信網の１構成例を示すブロック図である。
【図２】 本発明の実施の形態におけるサービス処理装置の１構成例を示すブロック図である。
【図３】 本発明の実施の形態におけるプロバイダサーバの１構成例を示すブロック図である。
【図４】 本発明の実施の形態における他のプロバイダサーバの１構成例を示すブロック図である。
【図５】 本発明の実施の形態におけるユーザ収容ノードの１構成例を示すブロック図である。
【図６】 本発明の実施の形態における他のユーザ収容ノードの１構成例を示すブロック図である。
【図７】 本発明の実施の形態のデータ通信網の動作を示すフローチャートである。
【図８】 本発明の実施の形態のデータ通信網の動作を示すフローチャートである。
【図９】 本発明の実施の形態において論理コネクションが設定されたネットワーク構成を示す図である。
【図１０】 本発明の実施の形態において通信路が設定されたネットワーク構成を示す図である。
【図１１】 本発明の実施の形態において論理コネクションが設定されたネットワーク構成を示す図である。
【図１２】 本発明の実施の形態におけるサービス処理プログラムの概要を示す図である。
【符号の説明】
１０，２０，３０，４０…ユーザ通信網、１１，２１，３１，４１…サービス処理装置、１２，２２，３２，４２…ユーザ端末装置、５１，５２，５３，５４…アクセス網、６１，６３，７１，７３，８２，８４…ユーザ収容ノード、６０，７０，８０…プロバイダ通信網、６５，７５，８５…プロバイダサーバ、６６，６７，８６，８７…仮想閉域網、５１６，５１７，５２７，５２８，５３６，５３７，５４７，５４８…通信路，９１６，９１７，９２６，９２８，９３６，９３７，９４７，９４８…論理コネクション。
Claims (10)
- ユーザ端末装置に対してサービスを提供するサービス処理装置を備えたユーザ通信網と、前記サービス処理装置を介して前記ユーザ端末装置と接続するユーザ収容ノード、および情報管理を行うプロバイダサーバを備えたプロバイダ通信網と、前記サービス処理装置と前記ユーザ収容ノードとを接続するアクセス網とを有するデータ通信網システムにおいて、
前記サービス処理装置は、
前記ユーザ通信網あるいは前記プロバイダ通信網から受信したパケットをルーチング情報に基づいて送信先の通信網に転送するパケット転送手段と、
前記プロバイダ通信網のユーザ収容ノードとの間に通信路が設定されたとき、このプロバイダ通信網に設けられたプロバイダサーバとの間に論理コネクションを設定する第１の論理接続手段と、
前記論理コネクションが設定されたプロバイダ通信網との接続を求めるユーザ要求を前記ユーザ通信網に収容されたユーザ端末装置から受信したとき、前記論理コネクションが設定された複数のプロバイダ通信網の各プロバイダサーバに、前記ユーザ要求で接続先として指定された他のプロバイダ通信網との外部接続要求を前記論理コネクションを介して送信する外部接続要求手段と、
前記外部接続要求を受信したプロバイダサーバから送信される認証情報を前記他のプロバイダ通信網のプロバイダサーバに転送するサーバ転送手段と、
前記プロバイダサーバによる制御に応じて、自装置を介した前記複数のプロバイダ通信網間あるいは自装置を介した前記ユーザ通信網と前記プロバイダ通信網間のデータ転送のための前記ルーチング情報を前記パケット転送手段に設定するプロバイダ通信網接続手段とを備え、
前記プロバイダサーバは、
前記サービス処理装置との間に前記論理コネクションを設定する第２の論理接続手段と、
前記外部接続要求に応じて前記他のプロバイダ通信網のプロバイダサーバとの間で前記サービス処理装置を介して認証情報を送受信する認証処理手段と、
前記複数のプロバイダ通信網間で認証が成立した後に、前記ルーチング情報の設定を遠隔制御するプロバイダ通信網接続制御手段と、
前記サービス処理装置を介して接続された前記他のプロバイダ通信網との接続情報を管理するプロバイダ通信網接続管理手段とを備えることを特徴とするデータ通信網システム。 - ユーザ端末装置に対してサービスを提供するサービス処理装置を備えたユーザ通信網と、前記サービス処理装置を介して前記ユーザ端末装置と接続するユーザ収容ノードおよび情報管理を行うプロバイダサーバを備えたプロバイダ通信網と、前記サービス処理装置と前記ユーザ収容ノードとを接続するアクセス網とを有するデータ通信網システムにおいて、各ユーザ通信網の間あるいはユーザ通信網とプロバイダ通信網との間でデータを転送するデータ通信網接続制御方法において、
前記ユーザ通信網のサービス処理装置と前記プロバイダ通信網のユーザ収容ノードとの間に通信路が設定されたとき、このプロバイダ通信網に設けられたプロバイダサーバと前記サービス処理装置との間に論理コネクションを設定する論理コネクション設定手順と、
前記ユーザ通信網のサービス処理装置において前記論理コネクションが設定されたプロバイダ通信網との接続を求めるユーザ要求をこのユーザ通信網に収容されたユーザ端末装置から受信したとき、前記論理コネクションが設定された複数のプロバイダ通信網の各プロバイダサーバに、前記ユーザ要求で接続先として指定された他のプロバイダ通信網との外部接続要求を前記サービス処理装置から前記論理コネクションを介して送信する外部接続要求手順と、
前記外部接続要求に応じて前記複数のプロバイダ通信網の各プロバイダサーバ間で前記サービス処理装置を介して相互に認証を行う認証手順と、
前記認証の成立後に前記複数のプロバイダ通信網の各プロバイダサーバから前記論理コネクションを介して前記サービス処理装置のルーチング情報設定を制御する遠隔制御手順と、
前記サービス処理装置を介して接続された前記複数のプロバイダ通信網の各プロバイダサーバにおいて前記複数のプロバイダ通信網に含まれる他のプロバイダ通信網との接続情報を管理するプロバイダ通信網接続管理手順とを実行し、
前記ルーチング情報の設定により前記サービス処理装置を介した前記複数のプロバイダ通信網間あるいは前記サービス処理装置を介した前記ユーザ通信網と前記複数のプロバイダ通信網間のデータ転送を制御し、前記ユーザ通信網のプロバイダ通信網接続を制御することを特徴とするデータ通信網接続制御方法。 - 請求項２記載のデータ通信網接続制御方法において、
前記外部接続要求手順は、前記他のプロバイダ通信網のユーザ収容ノード間に論理的に隔絶された複数の仮想閉域網が構築されている場合、前記ユーザ要求で接続先として指定された仮想閉域網を識別する仮想網識別子を用いて、この指定された仮想閉域網との外部接続を要求し、
前記認証手順は、前記外部接続要求を受信したプロバイダサーバにおいて、この外部接続要求で接続先として指定された他のプロバイダ通信網を前記仮想網識別子に基づいて特定することを特徴とするデータ通信網接続制御方法。 - 請求項２または３に記載のデータ通信網接続制御方法において、
前記論理コネクション設定手順を行う前に、前記ユーザ要求で接続先として指定されたプロバイダ通信網のプロバイダサーバにおいて、前記ユーザ要求を受信したサービス処理装置が予め規定された通信手順に従うか否かを判定する通信判定手順を実行し、
前記サービス処理装置が前記通信手順に従わないと判定された場合、前記論理コネクション設定手順を実行せずに、前記判定を行ったプロバイダサーバから同じプロバイダ通信網内のユーザ収容ノードに切断要求を送信して、このユーザ収容ノードと前記ユーザ要求を受信したサービス処理装置との間の通信路を切断させることを特徴とするデータ通信網接続制御方法。 - 請求項２乃至４のいずれかに記載のデータ通信網接続制御方法において、
前記サービス処理装置を介した他のプロバイダ通信網との外部接続の可否をサービス処理装置ごとに示すサービス処理装置情報を、前記複数のプロバイダ通信網の各プロバイダサーバで管理し、
前記認証手順を行う前に、前記外部接続要求を受信したプロバイダサーバにおいて、前記外部接続要求を送信したサービス処理装置とこの外部接続要求で接続先として指定された他のプロバイダ通信網との外部接続が可能か否かを前記サービス処理装置情報に基づいて判定する接続可否判定手順を実行し、
この接続可否判定手順で前記サービス処理装置と前記プロバイダ通信網との外部接続が可能と判定された場合のみ、前記認証手順および前記遠隔制御手順を行うことを特徴とするデータ通信網接続制御方法。 - 請求項２乃至５のいずれかに記載のデータ通信網接続制御方法において、
前記論理コネクション設定手順を行う前に、前記ユーザ要求で接続先として指定されたプロバイダ通信網のユーザ収容ノードと前記ユーザ要求を受信したサービス処理装置との間で通信路設定用の接続認証情報を送受信する接続認証手順と、
前記接続先として指定されたプロバイダ通信網のユーザ収容ノードにおいて、前記ユーザ要求を受信したサービス処理装置が認証された場合のみ、このユーザ収容ノードと前記認証されたサービス処理装置との間のアクセス網に通信路を設定する通信路設定手順と、
前記接続認証を行ったユーザ収容ノードから同じプロバイダ通信網のプロバイダサーバに対して前記認証されたサービス処理装置の接続認証情報を通知する通知手順と、
前記通知を受けたプロバイダサーバにおいて前記接続認証情報に基づき、前記ユーザ要求を発したユーザの情報と前記認証されたサービス処理装置の情報とを管理する管理手順とを実行することを特徴とするデータ通信網接続制御方法。 - 請求項２乃至６のいずれかに記載のデータ通信網接続制御方法において、
前記サービス処理装置を介して前記ユーザ通信網と前記複数のプロバイダ通信網間で転送されるパケットに対して付加価値サービス処理を行うためのサービス処理プログラムを、前記複数のプロバイダ通信網の各プロバイダサーバから前記論理コネクションを介して前記サービス処理装置に設定するサービス処理プログラム設定手順と、
前記設定されたサービス処理プログラムに従って、各プロバイダ通信網ごとにあらかじめ規定された前記付加価値サービス処理を前記サービス処理装置で行うサービス処理手順とを実行することを特徴とするデータ通信網接続制御方法。 - 請求項７に記載のデータ通信網接続制御方法において、
前記サービス処理は、ルーチング処理、パケットフィルタリング処理、アドレス変換処理、暗号化通信処理または通信品質識別処理のうちの少なくとも１つであることを特徴とするデータ通信網接続制御方法。 - 請求項７乃至８のいずれかに記載のデータ通信網接続制御方法において、
前記サービス処理は、ポートスキャンパケットの検出処理、サービス妨害パケットの検出処理、ウィルスデータの検出処理またはＨＴＴＰにおける通信禁止ＵＲＬの検出処理のうちの少なくとも１つであり、検出された有害なパケットを廃棄することをことを特徴とするデータ通信網接続制御方法。 - 請求項７乃至９のいずれかに記載のデータ通信網接続制御方法において、
前記サービス処理は、ウェブサーバ処理、メールサーバ処理、ＤＮＳサーバ処理またはＤＨＣＰサーバ処理のうちの少なくとも１つであることを特徴とするデータ通信網接続制御方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003030930A JP3887325B2 (ja) | 2003-02-07 | 2003-02-07 | データ通信網システムおよびデータ通信網接続制御方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003030930A JP3887325B2 (ja) | 2003-02-07 | 2003-02-07 | データ通信網システムおよびデータ通信網接続制御方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004242161A JP2004242161A (ja) | 2004-08-26 |
| JP3887325B2 true JP3887325B2 (ja) | 2007-02-28 |
Family
ID=32957677
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003030930A Expired - Fee Related JP3887325B2 (ja) | 2003-02-07 | 2003-02-07 | データ通信網システムおよびデータ通信網接続制御方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3887325B2 (ja) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2005107186A1 (ja) * | 2004-04-30 | 2005-11-10 | Nec Corporation | 通信装置 |
| JP4648148B2 (ja) | 2005-09-30 | 2011-03-09 | 富士通株式会社 | 接続支援装置 |
| US8347378B2 (en) | 2006-12-12 | 2013-01-01 | International Business Machines Corporation | Authentication for computer system management |
| JP4946692B2 (ja) * | 2007-07-24 | 2012-06-06 | 日本電信電話株式会社 | Ｖｐｎユーザ管理方法、ｖｐｎサービスネットワークシステム、ｖｐｎ接続サーバ、ｖｐｎ転送装置およびプログラム |
| JP2014154966A (ja) * | 2013-02-06 | 2014-08-25 | Nippon Telegr & Teleph Corp <Ntt> | 通信サービス提供システム及びその方法 |
| JP6763605B2 (ja) * | 2016-10-28 | 2020-09-30 | 学校法人東京電機大学 | データ通信システム、キャッシュｄｎｓ装置及び通信攻撃防止方法 |
-
2003
- 2003-02-07 JP JP2003030930A patent/JP3887325B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004242161A (ja) | 2004-08-26 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP1313290B1 (en) | A personal firewall with location dependent functionality | |
| JP5062967B2 (ja) | ネットワークアクセス制御方法、およびシステム | |
| EP1379046B1 (en) | A personal firewall with location detection | |
| EP1624644B1 (en) | Privileged network routing | |
| JP4708376B2 (ja) | プライベートネットワークへのアクセスを安全にする方法およびシステム | |
| US8458786B1 (en) | Automated dynamic tunnel management | |
| US8484695B2 (en) | System and method for providing access control | |
| US6907470B2 (en) | Communication apparatus for routing or discarding a packet sent from a user terminal | |
| US7792990B2 (en) | Remote client remediation | |
| EP2731313B1 (en) | Distributed cluster processing system and message processing method thereof | |
| TWI395435B (zh) | 開放網路連接 | |
| US20140075505A1 (en) | System and method for routing selected network traffic to a remote network security device in a network environment | |
| JP2018514956A (ja) | データをルーティングするために証明書データを使用する装置と方法 | |
| JP5679343B2 (ja) | クラウドシステム、ゲートウェイ装置、通信制御方法、及び通信制御プログラム | |
| US20040030765A1 (en) | Local network natification | |
| JP3887325B2 (ja) | データ通信網システムおよびデータ通信網接続制御方法 | |
| JP2013134711A (ja) | 医療クラウドシステム | |
| JP5261432B2 (ja) | 通信システム、パケット転送方法、ネットワーク交換装置、アクセス制御装置、及びプログラム | |
| JP2012070225A (ja) | ネットワーク中継装置及び転送制御システム | |
| JP3935823B2 (ja) | Ｈｔｔｐセッション・トンネリング・システム、その方法、及びそのプログラム | |
| Cisco | Easy VPN Server | |
| Cisco | Web Cache Communication Protocol Version 2 | |
| JP3802464B2 (ja) | 通信ネットワークシステム、サービス処理制御方法、プロバイダサーバおよびサービス処理装置 | |
| JP6664232B2 (ja) | 無線ｌａｎアクセスシステム、ルータ装置およびアクセス制御方法 | |
| Huawei Technologies Co., Ltd. | WAN Fundamentals |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050119 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20061121 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20061124 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101201 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101201 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111201 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111201 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121201 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121201 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131201 Year of fee payment: 7 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| LAPS | Cancellation because of no payment of annual fees |