JP4957818B2 - データ転送装置 - Google Patents

Description

本発明はインターネットにおける仮想専用網（ＶＰＮ：Virtual Private Netw ork）構築方法及びインターネットサービスプロバイダ間を接続するインターワ ークルータに関する。

インターネット・プロトコル（Internet protocol: IP）ネットワーク上では、電子メール、ＷＷＷ（World Wide Web）などのアプリケーションを使用することができる。また、IPネットワークは、従来の電話ベースの交換網と比較して構築コストが安い。そのためインターネットは近年爆発的に普及している。このような状況の下、ＩＰで構築した企業内網（イントラネット）は、企業活動にも欠かすことの出来ないものとなってきている。

企業は複数の地域に偏在している場合が多い。この場合、各地域の企業網を相互接続し、一つの企業網を構築する必要が生じる。企業網を複数地域にわたって構築する場合、次の２つの方法が考えられる。

第１は、各地域の企業内網を専用線で相互接続することである。このように構築することにより、企業網を外部のネットワークから隔絶、セキュリティを確保を確保することができる。

第２に、ＩＰｓｅｃ（IP security protocol）技術により、自網のネットワークのパケットを識別する機能を端末に設け、インターネット内ではグローバルアドレスに基づくＩＰパケットとして転送を行うことである。悪意のユーザからの攻撃にはこの識別機能と、暗号化により対抗することでＶＰＮを実現することができる。

しかし、専用線を使用するとネットワークコストが上昇してしまうこと、さらにＩＰｓｅｃ方式によるＶＰＮでは、アタック及び暗号解読により悪意のユーザの侵入を許したり、暗号化処理が高速ネットワークの速度のボトルネックになったり、端末コストが上昇するという問題があった。

このため、インターネットが普及し、インターネットが廉価で使用できるにようになるに従い、網が提供するＩＰの下位レイヤの機能を用い、インターネット上に仮想的に専用網を構築し、コストを押さえ、かつ外部のネットワークから隔絶した安全な、かつ何らかの品質保証行い要求が高まってきた。

この要求を満たすネットワークとして次のようなＶＰＮが考えられている。Ｖ ＰＮを提供するインターネット・サービス・プロバイダ（Internet Service Pro vider：ISP）のネットワークの入り口でカプセル化を行う。ISPのネットワーク上では、このカプセル化したヘッダに基づき転送を行い、ネットワークの出口でカプセルヘッダを外す。このＶＰＮ構成方式では、ＶＰＮ固有のカプセル化ヘッダを用いることにより外部のネットワークから隔絶し、セキュリティを確保している。また、このカプセル化の具体的なプロトコルとしては、ＩＰカプセル化、ＭＰＯＡ（Multi Protocol over ATM）、ＭＰＬＳ（Multi Protocol Layer Swit ching）等の方式があり、１９９９年２月現在、ITU-T SG13やIETFなどの標準化団体で検討が行われている。また、ITU-T SG13では、網の内部をE.164アドレスによりカプセル化して転送する、Core Protocol(別称GMN-CL)についての検討も行われている。

NTT R&D vol.47 No.4 1998（平成10年4月10日発行）は、GMN-CLにおけるユーザ網とコア網のインターワークを行うアクセス系・エッジノードの構成法を提案している。

NTT R&D vol.47 No.4 1998（平成10年4月10日発行）

近年の企業活動は広範囲に渡っている。このため、例えば、日、米、欧に拠点を持ち、それぞれの拠点でイントラネットを構築した上で、ＶＰＮにより、それらを相互接続したいというニーズが生じてくるものと考えられる。

他方、ISPはある特定の地域でサービスを提供しているのが一般的なため、前記したような各拠点のネットワークをＶＰＮにより接続するためには、複数のISPをまたがった形でＶＰＮを構築する必要がある。

なお、複数のISPを相互に接続する場合、インターワークのためのゲートウェーを設け、相互接続を行う。このインターワークルータでは、双方のネットワークから到来した相手網行きのパケットをＩＰヘッダに従って相手網に転送することで、インターワークを実現する。また、日経コミュニケーション1997年12月15日号146頁に記されているように、複数ネットワークの相互インターワークのために、IX（Internet Exchange）と呼ばれる装置を用いて互いのネットワークを接続し、このIXにより、互いの網間で転送されるパケットの転送を行っても良い。このようなIXには、IPパケットを識別して転送を行う「レイヤ３フォワーディング」や、ATM通信装置などで、下位レイヤのヘッダを識別して転送を行う「レイヤ２フォワーディング」を用いる方式がある。

本願発明者等は、複数のISPのネットワークをまたがる形でＶＰＮを構成しようとした場合の問題点を検討した。まず、各インターネットサービスプロバイダのネットワークでＶＰＮを構築するために、各ネットワーク内でそれぞれカプセ ル化を行う。各ネットワークのカプセル化プロトコルは、一般に異なるものとなると考えられる。この場合、インターワークルータでは、双方のネットワークの共通のプロトコルであるＩＰパケットのＩＰヘッダ情報を検索して宛先方路を決定し、他網行きのパケットであるか否かを検索する必要がある。

しかし、インターワークルータは、ＩＰレイヤより下位レイヤのプロトコルはインターフェースで終端してしまうため、前段の網でＶＰＮを構成するためにつけられているカプセル化ヘッダをはずしてＩＰアドレスを検索する事により次のホップ情報を決定し、また後段の網でのＶＰＮを構成するためのカプセルヘッダを生成してパケットに付与することになる。したがって、インターワーク装置内部では、ＶＰＮ内のパケットとＶＰＮ以外の網のパケットとが混在してしまう。そのため、悪意のユーザによる不正ヘッダの付与により、インターワークルータを基点としてＶＰＮへの侵入が可能になるという問題がある。

また、企業によってはグローバルアドレスを使用せずにインターナルアドレスを用いてＶＰＮを構成することがある。この場合、インターワークルータでカプセル化ヘッダを一旦はずしてしまうと、受信側のＩＳＰ側では、インターナルアドレスが複数のＶＰＮでそれぞれ独自に使用されているので、同一のアドレスを持つパケットを区別することが出来ない。このため、パケットの転送先が決定できない。複数のＩＳＰにまたがって、インターネット上にＶＰＮ構成する場合、上述のような問題点がある（第１の課題）。

更にそれぞれのＩＳＰにおけるサービスは均一でない。例えば通信品質を例に説明すると、あるＩＳＰではＡＴＭのＶＣを用いてパスを張ることにより各ＶＰＮの品質の保証しており、別のＩＳＰではDiffserv(Differenciated Services)により品質の保証を行っている場合、双方で構成するＶＰＮを相互に接続する場合、エンド・トゥー・エンドで通信品質を規定することは困難である。（第２の課題）。

上述のように、実用レベルで、複数のＩＳＰにまたがってインターネット上にＶＰＮを構築することは困難である。

そこで、本発明は複数のＩＳＰにまたがってＶＰＮ構築する方法及び、複数のＩＳＰにまたがってＶＰＮ構築する場合において、それらのＩＳＰ間を接続するインターワークルータを提供することにある。

第１の課題を解決するため、VPN識別番号であるカプセル化ヘッダとIPヘッダ双方の情報を用いて、出力方路の決定及び出力側ＩＳＰ網内でのカプセル化ヘッダの生成を行う機能をインターワークルータ装置に設ける。下位レイヤにＡＴＭを用いるＭＰＬＳ網を運用するＩＳＰ同士を接続する場合を例により具体的に説明すると、ＶＰＮ識別に使用するカプセル化ヘッダであるＡＴＭのＶＰＩ、ＶＣＩ等のヘッダ情報と、ＩＰアドレスをキーに検索を行い、次の方路及び次のネットワーク内部でのＶＰＮ識別に使用するＡＴＭのＶＰＩ，ＶＣＩ等のヘッダ情報を生成し、後段の網に送り出す際に生成したヘッダ情報を付与して送出する。これによりＶＰＮのインターワークが実現でき、複数のＩＳＰにまたがる地域に対する、インターネット上でのＶＰＮ構成を構成することが出来る。

第二の課題を解決するするために、入力側のカプセル化ヘッダ領域のＱｏＳをあらわすフィールドの値を、出力側のカプセル化ヘッダ領域のＱｏＳをあらわすフィールドの値にマッピングを行う。これにより、双方の網の品質情報を透過的に転送することができる。

本発明により複数ＩＳＰ間にまたがるＶＰＮ網を構築することができる。また複数のＶＰＮネットワーク間でＱｏＳ情報をインターワークすることができる。

本発明によるインターワークルータ動作の概念図である。 従来のルータを用いた場合における複数のＩＳＰ間のインターワーク方式を説明した図である。 本発明によるインターワークルータの動作をプロトコルスタックを用いて説明した図である。 従来のルータによるＩＳＰインターワーク処理方式を説明するフローチャートである。 本発明によるインターワークルータの動作を説明するフローチャートである。 本発明によるインターワークルータの動作を説明するフローチャートである。 本発明によるＭＰＬＳ網とＩＰカプセル化網の接続形態をプロトコルスタックを用いて説明した図である。 ＲＦＣ１４８３によるＩＰパケットのＡＴＭセル化を説明する図である。 ＲＦＣ７９１によるＩＰパケットフォーマットを説明する図である。 ＲＦＣ１８５３によるＩＰトンネルパケットの構成を説明する図である。 本発明によるインターワークルータの１構成例を説明する図である。 本発明によるインターワークルータの下位レイヤ処理部の１構成例を説明する図である。 本発明による下位レイヤ処理部における受信側ＶＰＮ番号テーブルの構成例を説明する図である。 本発明によるインターワークルータの下位レイヤ処理部の１構成例を説明する図である。 本発明による下位レイヤ処理部における受信側ＶＰＮ番号テーブルの構成例を説明する図である。 本発明によるインターワークルータのパケットレイヤ処理部の１構成例を説明する図である。 本発明によるパケットレイヤ処理部におけるルート検索ＶＰＮテーブルの構成例を説明する図である。 本発明による下位レイヤ処理部におけるヘッダ生成テーブルの構成例を説明する図である。 本発明による下位レイヤ処理部におけるヘッダ生成テーブルの構成例を説明する図である。 本発明によるインターワークルータの網内での１適用例を説明する図である。 本発明によるインターワークルータの網内での１適用例を説明する図である。 本発明によるインターワークルータの網内での１適用例を説明する図である。 本実施例のテーブルの設定のための、ＮＭＳから装置に指示を出すインターフェースである。

以下、図を用いて本発明の実施例について説明する。

図１、図２を用いて本発明による複数ＩＳＰにまたがる下位レイヤにより分離されたＶＰＮの構成法およびそのインターワークルータの役割について説明する。ここで下位レイヤとは、ＩＰパケットをカプセル化するプロトコルを指し、ＩＰパケットをＩＰヘッダでカプセル化する場合にも、このカプセルヘッダを下位レイヤのヘッダとして表記することとする。

まず、図２により、従来のルータを用いて複数のＩＳＰにまたがるＶＰＮを構成した場合の問題点について説明する。図２では、下位レイヤでカプセル化することによりＶＰＮを実現するＩＳＰ１（２−１）とＩＳＰ２（２−２）が既存ルータ（９）によりインターワークしている。ＩＳＰ１はＡ地区でサービスを展開しており、ＬＡＮ１（１−１）、ＬＡＮ２（１−２）、ＬＡＮａ（１−ａ）を収容している。ＩＳＰ２はＢ地区でサービスを展開しており、ＬＡＮ３（１−３）、ＬＡＮ４（１−４）、ＬＡＮｂ（１−ｂ）を収容している。また、ＬＡＮ１、ＬＡＮ２、ＬＡＮ３、ＬＡＮ４は同一会社のＬＡＮであり、ＶＰＮを構成したいと考えている。またＬＡＮａ、ＬＡＮｂも同一会社のＬＡＮであり、ＶＰＮを構成したいと考えている。このような場合、同一ＩＳＰ内においては、網の入り口と網の入り口にカプセルチャネルを張ることにより、他のユーザのパケットと分離することができるため、セキュリティの高いネットワークを構築できる。しかし、ＩＳＰ１とＩＳＰ２にわたってＶＰＮを設定しようとする場合、既存ルータでは入力側のインターフェース部で下位レイヤを終端し、IPレベルでマージしてからパケットフォワーでリング処理を行うため、ＩＰレベルで複数のユーザのパケットが混じってしまう問題がある。すなわち、ＶＰＮ内のパケットとそれ以外のパケットが混じってしまう。従って、悪意のユーザがＩＰアドレスを偽って網に侵入することも可能となる。さらに二つの会社がプライベートアドレスを用いて社内ＬＡＮを構築しようとした場合には、それぞれの会社では独立にアドレスをアサインするため、同一のＩＰアドレスをアサインすることがある。この場合
、既存ルータではアドレスのバッティングのため、正しくパケットを転送することができない。

次に図１を用いて、本発明による前記問題の解決法について説明する。例えば会社ＡのＬＡＮ１から会社ＡのＬＡＮ３に通信する場合を説明する。本実施例ではＩＳＰ１はＩＰカプセル化によりＶＰＮを実現しており、ＩＳＰ２はＭＰＬＳ（ＡＴＭによる）によりカプセル化を行いＶＰＮを実現している。ＬＡＮ１から到来したパケットはＩＳＰ１（２−１）に入るとＩＳＰ１はＩＰカプセル化を行い、パケットはＩＰカプセル化論理チャネル（５−１）通じてインターワークルータに到着する。インターワークルータ（９）ではパケットが搭載されてきたＩＰカプセル化論理チャネルを示すＩＰカプセル化ヘッダと、元々のパケットヘッダの双方から出力方路を検索すると共に、ＩＳＰ２内でのカプセル化ヘッダを作成する。本実施例ではＩＳＰ２はＭＰＬＳでサービスを行っているので、ＡＴＭのヘッダを作成する。ＡＴＭによりカプセル化されたパケットは、ＡＴＭ論理チャネル（５−３）を通り、ＬＡＮ３に送られる。インターワークルータでは、カプセルヘッダ及びＩＰヘッダで検索を行っているので、会社Ａと会社Ｂがそれぞれプライベートアドレスを用いて、ＩＰアドレスがバッティングする場合にもそれぞれ正しいあて先に転送することが可能となる。

本実施例ではカプセル化プロトコルとして、ＩＰレイヤのカプセル化方式であるＩＰカプセル化と、ＡＴＭを用いてカプセル化を行う方式説明した。もちろんフレームリレーやＨＤＬＣ系のプロトコルを用いてカプセル化を行ってもよい。

図３では本発明による、複数ＩＳＰにまたがるＶＰＮ構成法の１実施例について、網構成とプロトコルスタックを用いて説明する。ここではカプセル化プロトコルは限定していない。ＩＳＰ１（２−１）はエッジノード（３−１，３−２）を介してそれぞれＬＡＮ１（１−１）、ＬＡＮ２（１−２）を収容している。同様にＩＳＰ２（２−２）はエッジノード（３−３，３−４）を介してそれぞれＬＡＮ３（１−３）、ＬＡＮ４（１−４）をはじめとする複数の網を収容している。またそれぞれのＩＳＰは自網の入り口から出口にかけて、ＩＰパケットを網内で使用するヘッダでカプセル化して転送を行っている。そしてカプセルヘッダをＶＰＮに固有に割り当てることにより、ＶＰＮトラフィックを網内の別のトラフィックから識別してＶＰＮに関する閉域網を構成している。ＩＳＰ１（２−１）とＩＳＰ２（２−２）はインターワークルータ（１０）により互いにインターワークしており、相手網行きのトラフィックはインターワークルータを介して相手網に転送される。

例えばＬＡＮ１とＬＡＮ３を結ぶＶＰＮ（ＶＰＮ１と呼ぶ事とする）を構成する場合について説明すると、ＬＡＮ１から送出されたＬＡＮ３宛のＩＰパケットはエッジノード（３−１）においてＩＰアドレスにより検索され、まずＶＰＮ１に属すインターワークルータ宛のパケットと認識され、ＶＰＮ１のインターワークルータ（１０）行きのカプセルヘッダ（レイヤ図中１０３ａ）が付与され、インターワークルータ（１０）に到達する。インターワークルータ（１０）はカプセルヘッダ（レイヤ図中１０３ａ）とＩＰアドレスにより検索され、ＶＰＮ１に属すエッジノード（３−３）宛のパケットであることを検索し、ＩＳＰ２内でＶＰＮ１でエッジノード（３−３）宛のカプセルヘッダ（レイヤ図中１０３ｂ）を付与し、ＩＳＰ２内をカプセルヘッダに従いエッジノード（３−３）に転送される。エッジノード（３−３）ではカプセルヘッダを外し、ＬＡＮ３にＩＰパケットを転送する。これにより、両網内にまたがるＶＰＮのＩＰパケットを他トラフィックと混合されることなくを転送することが出来る。

なお、グローバルアドレスを用いたＩＰパケットについては、下位レイヤ情報に依存させず、ひとまとめにして転送先および（カプセルヘッダを使用する場合には）カプセルヘッダを決定することにより、従来の網内と同様に転送を行うことが出きる。

インターワークルータ（１０）の動作を図４、図５、図６を用いて説明する。図４は従来のルータ装置の処理フローであり、図５、図６は本発明によるインターワークルータ（１０）の処理フローである。従来のルータでは、パケットが到着すると、ＩＳＰ１（２−１）での転送に用いられる物理レイヤを終端（２０１）し、ＩＳＰ１内の転送に使用したカプセルヘッダを除去（２０２）してから、ＩＰヘッダの値により方路検索を行い（２０３）、スイッチを介して所望方路に転送する（２０４）。その後、ＩＳＰ２での転送に用いられるカプセルヘッダを付与（２０５）し、その後物理レイヤの処理を行って（２０６）伝送路から送出する。このフローでは、ＩＳＰ１のカプセルヘッダを除去して、ＩＰヘッダのみで方路を決定するため、複数ＶＰＮのトラフィックが一旦マージされてしまう。本発明のインターワークルータによれば、そのような問題を回避できる。

図３は、本発明のインターワークルータ（１０）が実行するアルゴリズムであるパケットが到着すると、ＩＳＰ１（２−１）での転送に用いられる物理レイヤを終端（２１１）し、ＩＳＰ１内の転送に使用したカプセルヘッダとＩＰヘッダの値により方路検索およびＩＳＰ２内のカプセル化ヘッダの生成を行う（２１２）。その後ＩＳＰ１カプセルヘッダを除去（２１３）し、ＩＳＰ２での転送に用いられるカプセルヘッダを付与（２１４）し、スイッチに送信する。そして、スイッチにより、所望の方路に転送（２１５）される。その後物理レイヤの処理を行って（２１６）伝送路から送出する。これにより、別の網のトラフィックと分離することができる。また、スイッチに、カプセルヘッダが除去された裸のＩＰパケットが流れることがないので、この部分から他人がＶＰＮに挿入することは出来ない。すなわち、ＩＳＰ２内で使用される内部ヘッダが付加されていないＩＰパケットが紛れ込み、そのパケットがＩＳＰ２内のＶＰＮに流れ込むということはない。従って、安全性も高くなる。

また別の実施例として図６を説明する。本実施例のインターワークルータは、ＩＳＰ１内の転送に使用したカプセルヘッダとＩＰヘッダの値の組と、カプセルヘッダインデックスとの対応テーブルと、カプセルヘッダインデックスとＩＳＰ２内の転送に使用したカプセルヘッダとの対応テーブルを有している。パケットが到着すると、ＩＳＰ１（２−１）での転送に用いられる物理レイヤを終端（２２１）し、ＩＳＰ１内の転送に使用したカプセルヘッダとＩＰヘッダの値により方路検索とカプセルヘッダインデックスの生成を行う（２２２）。その後、上記ＩＰパケットＩＳＰ１カプセルヘッダを除去（２２３）し、その除去されたＩＰパケットに、生成したカプセルヘッダインデックスを付与してスイッチに送信し、スイッチにより所望の方路に転送される（２２４）。そして、カプセルヘッダIndexからＩＳＰ２での転送に用いられるカプセルヘッダを生成、付与（２２５）する。その後物理レイヤの処理を行って（２２６）伝送路から送出する。この構成によっても、図５の場合と同様に、安全性の高い閉域網を構成することが出来る。すなわち、カプセルヘッダIndexが付与されていないＩＰパケットが紛れ込むことはない。

次に図７〜図１０を用いて、ＭＰＬＳによりＶＰＮをサポートするＩＳＰ１とＩＰカプセルを用いてＶＰＮをサポートするＩＳＰ２にまたがるＶＰＮの実現方式とパケット構成例を説明する。

図７は網構成とプロトコルスタックを示している。図３ではカプセル化方式を特定せずに説明したが、図７は、ＩＳＰ１はＭＰＬＳ、ＩＳＰ２はＩＰカプセル化を採用した場合の例を示している。インターワークルータ（１０）では、図３と同様にカプセル化ヘッダに相当するＡＴＭレイヤ（１０４ａ）及びＩＰレイヤ（１０１）、ＩＰカプセルレイヤ（１０４ｂ）及びＩＰレイヤ（１０１）の組み合わせによりフォワーディングを行う。これにより、ＶＰＮがそれぞれプライベートアドレスを用いるためアドレスが重複する場合であっても、正しくフォワーディングすることが可能となる。

図８により、ＩＰパケットをＡＴＭでカプセル化する方式を説明する。本カプセル化はＩＥＴＦのＲＦＣ１４８３で標準化されている方式である。ＩＰヘッダ（２５０）及びＩＰペイロード（２５１）からなるＩＰパケットにＬＬＣ／ＳＮＡＰ（２５３）を付与し、ＡＡＬ５ヘッダ（２５２）及びＡＡＬ５トレイラ（２５５）を付与してＡＡＬ５フレームを構成する。ＰＡＤ（２５４）はＡＡＬ５フレームをＡＴＭセルのペイロード（２５７）長である４８オクテットの定数倍にするために挿入する。そしてこのＡＡＬ５トレイラを４８オクテット毎に分割し、ＡＴＭヘッダ（２５６）を付与し、１乃至複数のＡＴＭセルとして転送を行う。

図９はＲＦＣ７９１で示されるＩＰｖ４パケットフォーマットを示している。ＩＰカプセル化を行う際、カプセル化を行うプロトコルはＩＰｖ４ヘッダをそのまま使用し、網内のルータは既存のＩＰｖ４ルータを使用することができる。

図１０はＩＰトンネルによるカプセル化方式を示している。ユーザの送信したＩＰヘッダ（２６０）及びＩＰペイロード（２６１）から構成されるＩＰパケットをカプセル化ヘッダ（２６４）でカプセル化しており、このカプセル化ヘッダはＩＰヘッダ（２６２）とトンネルヘッダ（２６３）から構成される。このカプセル化ヘッダはＩＳＰ２内で用いられるもので、網内で一意に識別が可能である。したがって、ユーザがプライベートアドレスを用いた場合でも、網内ではカプセルヘッダによりルーティングを行い、パケットを所望のエッジまで運ぶことができる。本例ではＲＦＣ１５８３によるトンネルヘッダの例を示したが、他にＩＰカプセル化にはＧＲＥカプセル化（ＲＦＣ１７９２）やＩＰモバイルなどがある。

インターワークルータ（１０）では、図８や図１０で示したカプセルヘッダとユーザのＩＰアドレスを組み合わせてフォワーディング処理を行うことにより、安全なＶＰＮをＩＳＰにまたがり構成することができ、さらにユーザはプライベートアドレスを用いてＶＰＮを構築することができる。

図１１乃至図１９を用いて、インターワークルータ（１０）の一実施例について説明する。

図１１はインターワークルータ（１０）の１構成例である。制御部（５０）は装置全体の制御及び他ノードとのルーティング処理などを行っている。コアスイッチ（５１）は各パケットレイヤ処理部（５２）間のパケットの転送を行うスイッチである。下位レイヤ処理部（ＡＴＭ）（５３）はＩＳＰ１のＭＰＬＳ網を収容するインターフェースであり、下位レイヤ処理部（ＩＰカプセル）（５４）はＩＳＰ２のＩＰカプセル網を収容するインターフェースである。パケットレイヤ処理部（５２）は下位レイヤ処理部（５３，５４）から下位レイヤの情報及びＩＰパケットを受け取り、下位レイヤの情報とＩＰパケットのヘッダ情報の組み合わせによりパケットの転送先を決定する。

まず受信方向の処理の流れから説明する。図１２に下位レイヤ処理部（ＡＴＭ）（５３）のブロック構成を示す。ＩＳＰ１の網から到来した信号はまず物理レイヤ処理部（１５０）にて物理レイヤを終端し、ＡＴＭレイヤ処理部（１５１）にてＡＴＭレイヤを終端する。この際、再構成されたＩＰパケットとともに、受信側のＶＰＮ識別機能を果たしているＡＴＭヘッダも同時にＶＰＮ番号付与部（１５２）に送付する。ＶＰＮ番号付与部（１５２）では装置内でＶＰＮの識別に利用するＶＰＮ番号をＡＴＭヘッダより生成する。この際受信側ＶＰＮ番号テーブル（１５３）が用いられる。そしてこのＶＰＮ番号とＩＰパケットはパケット処理部ＩＦ（１５４）を介してパケットレイヤ処理部に転送される。

図１３には受信側ＶＰＮ番号テーブル（１５３）の構成例を示している。このテーブルでは入力側ＡＴＭヘッダ（３００）と入力側ＶＰＮ番号（３０３）のペアから構成されており、入力側ＡＴＭヘッダが入力キーとなって入力側ＶＰＮ番号（３０３）を出力する。入力キーとなる入力側ＡＴＭヘッダとしては、ＶＰＩ／ＶＣＩ（３０１）の他、パケットの転送優先度を示すＣＬＰ（Cell of Priority）ビット（３０２）をキーとしてもよい。そして装置内で汎用的に使用される入力側ＶＰＮ番号は装置内ＶＰＮ番号（３０４）の他にＱｏＳ（Quality of Service）を示すフィールド（３０５）を設けてもよい。またＣＬＰとＱｏＳのマッピングを行うテーブルをＶＰＮ識別のための本テーブルと独立に設けてもよい。

図１４に下位レイヤ処理部（ＩＰカプセル）（５４）の実施例を示す。ＩＳＰ２から到来した信号は物理レイヤ処理部（１７０）にて物理レイヤを終端し、次にカプセルレイヤ受信処理部（１７１）にてカプセルヘッダの終端を行う。この際終端したカプセルヘッダをＩＰバケットと共にＶＰＮ番号付与部（１７２）へ送付する。ＶＰＮ番号付与部（１７２）では装置内でＶＰＮの識別に利用するＶＰＮ番号をＡＴＭヘッダより生成する。この際受信側ＶＰＮ番号テーブル（１７３）が用いられる。そしてこのＶＰＮ番号とＩＰパケットはパケット処理部ＩＦ（１５４）を介してパケットレイヤ処理部に転送される。

図１５には受信側ＶＰＮ番号テーブル（１７３）の構成例を示している。このテーブルは、入力側カプセルヘッダ（３１０）と入力側ＶＰＮ番号（３０３）のペアから構成されており、入力側ＡＴＭヘッダが入力キーとなって入力側ＶＰＮ番号（３０３）を出力する。入力キーとなる入力側ＩＰカプセルヘッダとしては、カプセルヘッダのソースアドレス（３１１）の他、パケットの転送優先度を示すＴＯＳ（Type of Service）フィールド（３０２）をキーとしてもよい。そして装置内で汎用的に使用される入力側ＶＰＮ番号は装置内ＶＰＮ番号（３０４）の他にＱｏＳを示すフィールド（３０５）を設けてもよい。

またＴｏＳとＱｏＳのマッピングを行うテーブルをＶＰＮ識別のための本テーブルと独立に設けてもよい。

図１２から図１５を用いて説明した方式により、入力側ＶＰＮ番号（３０３）とＩＰパケットがパケットレイヤ処理部（５２）に到達した際の処理を図１６を用いて説明する。下位レイヤ処理部（１８０）を介して入力側ＶＰＮ番号（３０４）とＩＰパケットをルート検索・ＶＰＮ処理部（１８１）が受け取ると、ここではルート検索・ＶＰＮテーブル（１８２）を用いてＩＰヘッダ及び入力側ＶＰＮ番号の双方をキーにしてルート検索及び出力側ＶＰＮ番号を決定する。これにより出力方路及び出力側ＶＰＮ番号とＩＰパケットは、コアスイッチＩＦを介してコアスイッチに送付され、所望のパケットレイヤ処理部に到達することとなる。

図１７にルート検索・ＶＰＮテーブルの構成例を示す。入力キーとして入力側ＶＰＮ番号（３２０）及びＩＰヘッダ（３２３）を用いて検索を行い、出力方路番号（３２５）及び出力側カプセル番号（３２６）を出力させる。出力方路番号（３２６）はコアスイッチ及びその他でパケットを所望のインターフェースに転送するための装置内識別子であり、出力側カプセル番号（３２６）は出力側の下位レイヤ処理部にてカプセルヘッダを付与するためのカプセルヘッダへの装置内識別子である。出力側カプセル番号（３２６）にはカプセル番号（３２７）の他にＱｏＳ（３２８）を設け、優先制御を行ってもよい。

次に送信方向の処理について説明する。図１６を用いてパケットレイヤ処理部（５２）の処理例を示す。コアスイッチＩＦ（１８４）を介して出力側カプセル番号（３２６）及びＩＰパケットを受け取ると、これらの情報を下位レイヤ処理部ＩＦを介して下位レイヤ処理部（５３、５４）に転送する。

図１２を用いて、下位レイヤ処理部（ＡＴＭ）（５３）の動作を説明する。下位レイヤ処理部（ＡＴＭ）（５３）ではパケットレイヤ処理部（５２）からパケットレイヤ処理部ＩＦ（１５９）を介して出力側カプセル番号（３２６）及びＩＰパケットを受信する。次にＡＴＭヘッダ決定部（１５７）はヘッダ生成テーブル（１５８）を用いてカプセルヘッダに対応するＡＴＭヘッダを出力側カプセル番号（３２６）から生成する。こうして生成されたＡＴＭヘッダとＩＰパケットはＡＴＭレイヤ送信処理部（１５６）でＡＴＭセルに変形され、物理レイヤ送信処理部（１５５）を介してＩＳＰ１のネットワークへと送信される。

図１８にヘッダ生成テーブルの構成を示す。出力側カプセル番号をキーとして出力側ＡＴＭヘッダを出力する構成となっている。これにより出力側カプセル番号より出力側ＡＴＭヘッダを得ることができる。

同様に図１４を用いて下位レイヤ処理部（ＩＰカプセル）（５４）の動作を説明する。下位レイヤ処理部（ＩＰカプセル）（５４）ではパケットレイヤ処理部（５２）からパケットレイヤ処理部ＩＦ（１５９）を介して出力側カプセル番号（３２６）及びＩＰパケットを受信する。次にカプセルヘッダ決定部（１７７）はヘッダ生成テーブル（１７８）を用いてカプセルヘッダに対応するＩＰカプセルヘッダ及び出力側ＭＡＣアドレスを出力側カプセル番号（３２６）から生成する。こうして生成されたＩＰカプセルヘッダ、出力側ＭＡＣアドレスとＩＰパケットはカプセルレイヤ送信処理部（１７６）でカプセル化処理され、物理レイヤ送信処理部（１７５）を介してＩＳＰ１のネットワークへと送信される。

図１９にヘッダ生成テーブルの構成を示す。出力側カプセル番号をキーとして出力側ＩＰカプセルヘッダ及び出力側ＭＡＣアドレスを出力する構成となっている。

以上インターワークルータ装置の一構成例を示した。本実施例では、入力側、出力側それぞれの処理に内部で統一された入力側ＶＰＮ番号（３２０）及び出力側カプセル番号（３２６）を用いた例を示した。但し、ルート検索・ＶＰＮテーブルの入力キーを入力側カプセルヘッダにしてもよいし、出力として直接出力側カプセルヘッダを生成してもよい。

また、本実施例で示したテーブルは論理的なテーブルであり、テーブル検索方法として、ツリー構造に代表される検索アルゴリズムを用いてアドレスを出し、所望の出力を得る方式を採用してもよいし、ＣＡＭを使った構成や、テーブルを逐次検索していく方式を採用してもよい。

図２３に本実施例のテーブルの設定のための、ＮＭＳから装置に指示を出すインターフェースであり、エージェントが制御部５０に搭載される、ＭＩＢ（Mana gement Information Base）構成の一実施例を示す。入力カプセルヘッダEntry（５００）は図１３に示した受信側VPNテーブルを設定するためのＭＩＢである。同様にＶＰＮクロスコネクトEntry（５０１）は図１７に示したルート検索・ＶＰＮテーブル（１８２）を設定するためのＭＩＢである。同様に出力側カプセルヘッダEntry（５０２）はヘッダ生成テーブルの１構成例である。これらのＭＩＢに設定された情報は、ＮＭＳから制御部（５０）に対して設定され、制御部（５０）がインターワークルータ内各部にテーブル設定する。

ここまでにＶＰＮのインターワークについて装置構成を中心に説明してきた。図２０から図２２を用いて、インターワークルータのネットワーク内での適用例を説明する。

図２０は２つのＩＳＰがそれぞれの所有する２つのインターワークルータを介して接続される例を示す。２つのインターワークルータの間はカプセル化（１０３ｂ）によりそれぞれのＶＰＮを識別する構成になっている。そしてそれぞれのインターワークルータ（１０ａ、１０ｂ）では、図１９までに説明したとおり、カプセルヘッダ（１０３ａ、１０３ｂ、１０３ｃ）とＩＰアドレスの組によりルーティング処理を行う。

図２１は２つのＩＳＰがそれぞれの所有するインターワークルータを持ち、レイヤ３処理を行うＩＸを介して接続される例である。それぞれのインターワークルータとＩＸの間はカプセル化（１０３ｂ）によりそれぞれのＶＰＮを識別する構成になっている。インターワークルータ（１０ａ）、ＩＸ（１０ｃ）及びインターワークルータ（１０ｂ）では、図１９までに説明したとおり、カプセルヘッダ（１０３ａ、１０３ｂ、１０３ｃ）とＩＰアドレスの組によりフォワーディング処理を行う。

図２２は２つのＩＳＰはそれぞれのインターワークルータを持ち、２つのＩＳＰが、ＩＸを介して接続される例を示す。ここで、ＩＸはレイヤ３処理を行わないレイヤ２装置で構成されている。この場合もそれぞれのインターワークルータとＩＸの間はカプセル化（１０３ｂ）によりそれぞれのＶＰＮを識別する構成になっている。インターワークルータ（１０ａ）とインターワークルータ（１０ｂ）では、図１９までに説明したとおり、カプセルヘッダ（１０３ａ、１０３ｂ、１０３ｃ）とＩＰアドレスの組によりフォワーディング処理を行う。ＩＸはレイヤ２フォワーディングにより転送を行う。

なお、本発明では複数ＩＳＰ間のＶＰＮの接続方式について説明したが、同一ＩＳＰ内に複数のカプセル化エリアが存在する場合にも、同一のノード構成でＶＰＮを接続することが必要である。その場合でも、本発明で説明した方式により、ＶＰＮを接続することができる。

２…ＩＳＰ網、３…エッジノード、１０…インターワークルータ装置、５０… 制御部、５１…コアスイッチ、５２…パケットレイヤ処理部、５３…下位レイヤ処理部（ＡＴＭ）、５４…下位レイヤ処理部（ＩＰカプセル）、１５２…ＶＰＮ番号付与部、１５３…受信側ＶＰＮ番号テーブル、１５７…ＡＴＭヘッダ決定部、１５８…ヘッダ生成テーブル、１７２…ＶＰＮ番号付与部、１７３…受信側ＶＰＮ番号テーブル、１７７…カプセルヘッダ決定部、１７８…ヘッダ生成テーブル。

Claims (14)

1. 第一のカプセル化ヘッダを用いて構成される第一の仮想閉域網から第二のカプセル化ヘッダを用いて構成される第二の仮想閉域網にデータを転送するデータ転送装置であって、
   上記第一のカプセル化ヘッダと上記データ内のヘッダの情報とからとインデックスを生成するインデックス生成部と、
   上記インデックスから前記第二のカプセル化ヘッダを生成するデータ処理部と、
   上記データに前記第二のカプセル化ヘッダを付加して送信する送信部を備えたデータ転送装置。
2. 請求項１記載のデータ転送装置であって、
   上記第一のカプセル化ヘッダを上記第二のカプセル化ヘッダで置き換える処理部をさらに備えたデータ転送装置。
3. 請求項１記載のデータ転送装置であって、
   上記第一のカプセル化ヘッダと上記データ内のヘッダの情報とから上記データの送出経路を決定する経路決定部をさらに備えたデータ転送装置。
4. 請求項１記載のデータ転送装置であって、
   上記データはＩＰパケットであることを特徴とするデータ転送装置。
5. 請求項１記載のデータ転送装置であって、
   上記第一及び第二のカプセル化ヘッダは、ＡＴＭ通信方式に準拠したヘッダであることを特徴とするデータ転送装置。
6. 請求項１記載のデータ転送装置であって、
   上記第一及び第二のカプセル化ヘッダは、ＨＤＬＣ通信方式に準拠したヘッダであることを特徴とするデータ転送装置。
7. 請求項１記載のデータ転送装置であって、
   上記第一及び第二のカプセル化ヘッダは、ＭＰＬＳ通信方式に準拠したヘッダであることを特徴とするデータ転送装置。
8. 第１のカプセル化ヘッダを用いて構成される第一の仮想閉域網から第二のカプセル化ヘッダを用いて構成される第二の仮想閉域網に第１のデータ転送装置及び第２のデータ転送装置を介してデータを転送するデータ転送方法であって、
   上記第一のデータ転送装置において上記第一の仮想閉域網から上記データを受信するステップと、
   上記第一のデータ転送装置において上記カプセル化ヘッダと上記データ内のヘッダ情報とからインデックスをするステップと、
   上記第一のデータ転送装置において、該インデックスを上記データに付加して上記第二のデータ転送装置に送信するステップと、
   上記第二のデータ転送装置において上記インデックスを付加されたデータを上記第一のデータ転送装置から受信するステップと、
   上記第二のデータ転送装置において、該インデックスから上記第二のカプセル化ヘッダを生成するステップと、
   上記第二のデータ転送装置において、上記データに上記第二のカプセル化ヘッダを付加して上記第二の仮想閉域網に送信するステップを有するデータ転送方法。
9. 請求項８記載のデータ転送方法であって、
   上記第一のデータ転送装置において上記第一のカプセル化ヘッダを上記インデックスで置き換えるステップと、
   上記第二のデータ転送装置において上記インデックスを上記第二のカプセル化ヘッダで置き換えるステップをさらに有するデータ転送方法。
10. 請求項８記載のデータ転送方法であって、
    上記第二のデータ転送装置において上記データ内のヘッダ情報と上記インデックスとから上記データの送出経路を決定するステップをさらに有するデータ転送方法。
11. 請求項８記載のデータ転送方法であって、
    上記データはＩＰパケットであることを特徴とするデータ転送方法。
12. データ転送システムであって、
    第一のカプセル化ヘッダを用いて構成される第一の仮想閉域網と、
    第二のカプセル化ヘッダを用いて構成される第二の仮想閉域網と、
    上記第一の仮想閉域網からデータを受信する第一のデータ転送装置と、
    上記データを上記第二の仮想閉域網に転送する第二のデータ転送装置と、を備え、
    上記第一のデータ転送装置は、上記データ内のヘッダ情報と上記第一のカプセル化ヘッダ情報とからインデックスを生成し、上記データに上記インデックスを付加して上記第二のデータ転送装置に送信し、
    上記第二のデータ転送装置は、上記データ内のヘッダ情報と上記インデックスとから上記第二のカプセル化ヘッダを生成し、上記データに上記第二のカプセル化ヘッダを付加して送信することを特徴とするデータ転送システム。
13. 請求項１２記載のデータ転送システムであって、
    上記第一のデータ転送装置は、上記第一のカプセル化ヘッダを上記インデックスで置き換え、
    上記第二のデータ転送装置は、上記インデックスを上記第二のカプセル化ヘッダ情報で置き換えることを特徴とするデータ転送システム。
14. 請求項１２記載のデータ転送システムであって、
    上記第二のデータ転送装置は、上記データ内のヘッダ情報と上記インデックスとから上記データの送出経路を決定することを特徴とするデータ転送システム。

Images