JP4996514B2 - ネットワークシステム及び電文の転送方法 - Google Patents

Description

本発明は、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を実現するためのネットワーク技術に関し、特に簡易な構成でＶＰＮを実現する技術に関する。

外出先や自宅のユーザ端末装置から、企業内のネットワークにアクセスするためにＶＰＮが利用されている。企業内のネットワークが複数の拠点に分散しているような場合、図５に示すように、拠点ごとにＶＰＮコンセントレータを備え、ユーザ端末装置が接続先の拠点を選択してＶＰＮ接続するやり方と、図６に示すように、ＶＰＮコンセントレータを統合するやり方がある。

図５の構成では、拠点ごとにＶＰＮコンセントレータが設置されているので、ユーザが拠点ごとに接続先を変える必要があった。そのため、拠点数が増えるにつれて、導入時のコストが増大するとともに、維持・管理などの運用の負担も大きい。

また、図６の構成では、ＶＰＮで接続したユーザ端末装置に、いずれかの拠点のアドレス体系に従うネットワークアドレスを割り当てて、拠点内の端末と同等に動作させようとすると、拠点間ネットワークにおいてアドレス重複が生じてしまう。このアドレス重複を回避するために、いずれの拠点のアドレス体系とも異なるネットワークアドレスを割り当てると、このユーザ端末装置はどの拠点にも所属しない端末となり、既存のセキュリティポリシーを適用することができない。

そこで、本発明の目的は、簡易な構成でＶＰＮを実現し、ＶＰＮで接続したユーザ端末装置をいずれかの拠点内ネットワークに所属する端末装置として動作させることである。

本発明の一つの実施態様に従うネットワークシステムは、複数の拠点内ネットワークと、前記複数の拠点内ネットワーク間を接続する拠点間ネットワークと、第１の拠点内ネットワーク内の第１の情報処理装置と、前記第１の拠点内ネットワーク内の第１のネットワーク装置と、前記第１の拠点内ネットワーク内のアドレスが割り当てられているユーザ端末装置に外部ネットワークを介して接続されるとともに、前記第１のネットワーク装置と前記拠点間ネットワークを介して接続される第２のネットワーク装置と、を備える。前記第１のネットワーク装置は、前記第２のネットワーク装置とトンネリング通信を行うための第１のトンネリング通信手段と、第１のアドレス変換テーブルを有し、前記第１のアドレス変換テーブルに従って、前記第１のトンネリング通信手段が送受信する電文の送信元アドレスまたは送信先アドレスのアドレス変換を行う第１のアドレス変換手段と、を有する。前記第２のネットワーク装置は、前記第１のネットワーク装置とトンネリング通信を行うための第２のトンネリング通信手段と、第２のアドレス変換テーブルを有し、前記第２のアドレス変換テーブルに従って、前記第２のトンネリング通信手段が送受信する電文の送信元アドレスまたは送信先アドレスのアドレス変換を行う第２のアドレス変換手段と、を有する。そして、前記第２のネットワーク装置は、前記第２のアドレス変換手段が前記ユーザ端末装置から受信した前記第１の情報処理装置宛の第１の電文の送信元アドレスを仮想アドレスへ変換し、前記第２のトンネリング通信手段がトンネリング通信によって、前記アドレス変換された第１の電文を前記第１のネットワーク装置へ送信し、前記第１のネットワーク装置は、前記第１のトンネリング通信手段が、トンネリング通信によって前記第２のトンネリング通信手段から送信された前記アドレス変換された第１の電文を受信し、前記第１のアドレス変換手段が前記第１の電文の送信元アドレスを、前記仮想アドレスから前記ユーザ端末装置のアドレスへ戻し、前記第１の情報処理装置が、前記第１の拠点内ネットワークを介して前記第１の電文を取得する。

好適な実施形態では、前記第１のネットワーク装置は、前記第１のアドレス変換手段が受信した前記第１の情報処理装置から前記ユーザ端末装置へ宛てた第２の電文の送信先アドレスを仮想アドレスへ変換し、前記第１のトンネリング通信手段がトンネリング通信によって、前記アドレス変換された第２の電文を前記第２のネットワーク装置へ送信し、前記第２のネットワーク装置は、前記第２のトンネリング通信手段が、トンネリング通信によって前記第１のトンネリング通信手段から送信された前記アドレス変換された第２の電文を受信し、前記第２のアドレス変換手段が前記第２の電文の送信先アドレスを、前記仮想アドレスから前記ユーザ端末装置のアドレスへ戻し、前記ユーザ端末装置に前記外部ネットワークを介して前記第２の電文を取得させるようにしてもよい。

好適な実施形態では、第２の拠点内ネットワーク内の第２の情報処理装置をさらに備え、前記第２のネットワーク装置は、前記第２のアドレス変換手段が前記ユーザ端末装置から受信した前記第２の情報処理装置宛の第３の電文の送信元アドレスを仮想アドレスへ変換し、前記第２のトンネリング通信手段がトンネリング通信によって、前記アドレス変換された第３の電文を前記第１のネットワーク装置へ送信し、前記第１のネットワーク装置は、前記第１のトンネリング通信手段が、トンネリング通信によって前記第２のトンネリング通信手段から送信された前記アドレス変換された第３の電文を受信し、前記第１のアドレス変化手段が前記第３の電文の送信元アドレスを、前記仮想アドレスから前記ユーザ端末装置のアドレスへ戻すと、前記第２の情報処理装置が、前記拠点間ネットワーク及び前記第２の拠点内ネットワークを介して前記第３の電文を取得するようにしてもよい。

好適な実施形態では、前記第１及び第２のアドレス変換手段は、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）装置であってもよい。

好適な実施形態では、前記第１及び第２のトンネリング通信手段は、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）によってトンネリング通信を行ってもよい。

本発明の一つの実施態様に従うネットワークシステムは、第１の情報処理装置と第１のネットワーク装置とが第１のネットワークを介して接続される。そして、前記第１のネットワーク装置は、前記第１のネットワーク装置と第２のネットワークを介して接続された第２のネットワーク装置とトンネリング通信を行うためのトンネリング通信手段と、アドレス変換テーブルを有し、前記アドレス変換テーブルに従って、前記トンネリング通信手段が送受信する電文の送信元アドレスまたは送信先アドレスのアドレス変換を行うアドレス変換手段と、を有し、前記トンネリング通信手段が、前記第１のネットワーク内のアドレスが割り当てられているユーザ端末装置が送信した電文であって、前記第２のネットワーク装置において送信元アドレスが変換された電文を、トンネリング通信によって前記第２のネットワーク装置から受信し、前記アドレス変換手段が、前記トンネリング通信手段が受信した電文の送信元アドレスを前記ユーザ端末装置のアドレスへ戻し、前記第１の情報処理装置が、前記第１のネットワークを介して前記電文を取得する。

本発明の一つの実施態様に従うネットワーク装置は、拠点内ネットワーク内の拠点内ネットワーク装置と拠点間ネットワークを介して接続され、前記拠点内ネットワーク装置とトンネリング通信を行うためのトンネリング通信手段と、アドレス変換テーブルを有し、前記アドレス変換テーブルに従って、前記トンネリング通信手段が送受信する電文の送信元アドレスまたは送信先アドレスのアドレス変換を行うアドレス変換手段と、を有する。前記アドレス変換手段がユーザ端末装置から受信した前記拠点内ネットワーク内の情報処理装置宛の電文の送信元アドレスを仮想アドレスへ変換し、前記トンネリング通信手段がトンネリング通信によって、前記アドレス変換された電文を前記拠点内ネットワーク装置へ送信する。

以下、本発明の一実施形態に係るネットワークシステムについて、図面を参照して説明する。本実施形態に係るネットワークシステムは、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）を実現して、外部ネットワークを経由して所望のプライベートネットワークへアクセスするためのネットワークシステムである。

図１は、本実施形態にかかるネットワークシステム１の構成図である。同図に示す本システム１は、複数の拠点内ネットワーク１０，１０、・・・と、複数の拠点内ネットワーク１０（１０ａ，１０ｂ，１０ｃ）を結ぶ拠点間ネットワーク（拠点間ＷＡＮ）２０とを有する企業内ネットワークを有する。拠点間ネットワーク２０にはネットワーク装置２１が接続されていて、ネットワーク装置２１にはさらにＶＰＮコンセントレータ３３が接続されている。ＶＰＮコンセントレータ３３は、インターネットなどの外部ネットワーク３０を介してユーザ端末装置３１に接続可能である。ＶＰＮコンセントレータ３３には、認証サーバ３５が接続されている。

各拠点内ネットワーク１０においては、ネットワーク装置１１（１１ａ，１１ｂ，１１ｃ）とサーバなどの複数の情報処理装置１９（１９ａ，１９ｂ，１９ｃ）がＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）１７（１７ａ，１７ｂ，１７ｃ）を介して接続されている。

各拠点内ネットワーク１０に接続された各機器１１，１９には、それぞれのアドレス体系に従うネットワークアドレスが割り当てられている。

各拠点内ネットワーク１０のネットワーク装置１１は、拠点間ネットワーク２０に接続されている。

各ネットワーク装置１１は、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）装置１３（１３ａ，１３ｂ，１３ｃ）と、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）装置１５（１５ａ，１５ｂ，１５ｃ）とを有する。ネットワーク装置２１も同様に、ＮＡＴ装置２３と、ＩＰｓｅｃ装置２５とを有する。また、ネットワーク装置１１，２１は、ネットワーク上の電文を中継するルータ機能を有する。

各ＮＡＴ装置１３、２３は、ネットワーク１０，２０，３０でやりとりされる電文に含まれる送信元またはあて先のネットワークアドレスを変換する。

各ＩＰｓｅｃ装置１５は、ＩＰｓｅｃ装置２５とトンネリング通信を行う。

ＶＰＮコンセントレータ３３は、ＶＰＮを終端する装置である。

ユーザ端末装置３１は、ＶＰＮコンセントレータ３３に対してＶＰＮ接続をする。このとき、ユーザ端末装置３１が認証サーバ３５によって認証されると、ユーザ端末装置３１が接続を希望する拠点内ネットワーク１０のアドレス体系に従うネットワークアドレスが割り当てられる。このとき、ユーザ端末装置３１がネットワーク装置２１を介して拠点間ネットワーク２０にアクセスするとアドレス重複がおきるので、それを回避するためにＮＡＴ装置２３において、アドレス変換が行われる。このアドレス変換の詳細について、次に説明する。

図２は、本システムにおいてユーザ端末装置３１、ネットワーク装置１１及びネットワーク装置２１との間でやり取りされる電文のアドレス変換の様子を示す図である。同図では、ユーザ端末装置３１に、拠点内ネットワーク１０ａのアドレス体系に従うネットワークアドレス「ａ．ａ．ａ．ｘ」が割り当てられている。

各ＮＡＴ装置１３、２３は、何れも共通のＮＡＴテーブル１３０を有している。各ＮＡＴ装置１３、２３は、ＮＡＴテーブル１３０を参照して電文に含まれている送信元または送信先のアドレスを変換する。

ＩＰｓｅｃ装置２５は、各ＩＰｓｅｃ装置１５ａ〜ｃの間に、トンネリング通信のためのトンネルＡ，Ｂ，Ｃが形成されている。

図３は、ＮＡＴテーブル１３０の例を示す。ＮＡＴテーブル１３０は、ユーザ端末アドレス１３１と、仮想アドレス１３２と、トンネルＩＤ１３３とをデータ項目として有する。ユーザ端末アドレス１３１は、ユーザ端末装置３１に割り当てられている実アドレスである。仮想アドレス１３２は、拠点間ネットワーク２０におけるアドレス重複を回避するために、電文に割り当てる仮想的なネットワークアドレスである。トンネルＩＤ１３３は、ＩＰｓｅｃ装置１５，２５間に形成されたトンネルの識別情報である。

図２に戻ると、まず、ユーザ端末装置３１が拠点内ネットワーク１０ａ内の情報処理装置１９ａ宛の上り電文５１を送信する。ここで、上り電文５１では、送信元アドレス５１１にユーザ端末装置３１のネットワークアドレス「ａ．ａ．ａ．ｘ」がセットされ、送信先アドレス５１３に情報処理装置１９ａのネットワークアドレス「ａ．ａ．ａ．ｙ」がセットされている。

ＮＡＴ装置２３は、ＮＡＴテーブル１３０を参照して、電文５１に含まれる送信元アドレス５１１のアドレス変換をする。すなわち、ＮＡＴ装置２３は、電文５１の送信元アドレス５１１を、ＮＡＴテーブル１３０において対応付けられている仮想アドレスに変換する。つまり、ここでは送信元アドレス「ａ．ａ．ａ．ｘ」を、仮想アドレス「ｋ．ｋ．ｋ．ｘ」に変換する。そして、ＩＰｓｅｃ装置２５が、ＮＡＴテーブル１３０において「ａ．ａ．ａ．ｘ」と対応付けられているトンネルＩＤ１３３のトンネルＡを使って、アドレス変換後の電文５１ｂを送信する。

トンネルＡは、ＩＰｓｅｃ装置２５とＩＰｓｅｃ装置１５ａとを結ぶトンネルである。従って、ＩＰｓｅｃ装置１５ａが、トンネルＡで送られてきた電文５１ｂを受信する。ＮＡＴ装置１３ａは、ＩＰｓｅｃ装置１５ａが受信した電文５１ｂの送信元アドレス５１１をＮＡＴテーブル１３０を参照して変換する。つまり、ＮＡＴ装置１３ａは、送信元アドレス５１１を、ユーザ端末装置３１の実際のアドレス「ａ．ａ．ａ．ｘ」へ戻す。そして、送信先アドレス５１３にセットされている「ａ．ａ．ａ．ｙ」が割り当てられている情報処理装置１９ａが、ＬＡＮ１７ａを介して電文５１ａを取得する。

次に、情報処理装置１９ａからユーザ端末装置３１に対して送られる下り電文５３について説明する。

情報処理装置１９ａが、ユーザ端末装置３１宛の下り電文５３を送信する。ここで、下り電文５３では、送信元アドレス５３１に情報処理装置１９ａのネットワークアドレス「ａ．ａ．ａ．ｙ」がセットされ、送信先アドレス５３３にユーザ端末装置３１のネットワークアドレス「ａ．ａ．ａ．ｘ」がセットされている。

ＮＡＴ装置１３ａは、ＮＡＴテーブル１３０を参照して、送信先アドレス５３３を仮想アドレスへ変換する。つまり、ここでは送信先アドレス「ａ．ａ．ａ．ｘ」を、仮想アドレス「ｋ．ｋ．ｋ．ｘ」に変換する。そして、ＩＰｓｅｃ装置１５ａが、ＮＡＴテーブル１３０において「ａ．ａ．ａ．ｘ」と対応付けられているトンネルＩＤ１３３のトンネルＡを使って、アドレス変換後の電文５１ｂを送信する。

ＩＰｓｅｃ装置２５は、トンネルＡで送られてきた電文５３ｂを受信する。ＮＡＴ装置２３は、ＩＰｓｅｃ装置２５が受信した電文５３ｂの送信先アドレス５３３をＮＡＴテーブル１３０を参照して変換する。つまり、ＮＡＴ装置２３は、送信先アドレス５３３を、ユーザ端末装置３１の実際のアドレス「ａ．ａ．ａ．ｘ」へ戻す。そして、ユーザ端末装置３１が、外部ネットワーク３０を介して下り電文５３ａを取得する。

これにより、拠点内ネットアーク１０ａのアドレス体系に従うアドレスが割り当てられたユーザ端末装置３１が、ＶＰＮによって拠点内ネットアーク１０ａにアクセスするときであっても、アドレス重複を回避することができる。

次に、図４は、本システムにおいて、外部ネットワーク３０に接続されているユーザ端末装置３１が、ＶＰＮによって拠点内ネットワーク１０ａに接続し、拠点Ａ内に存在する端末装置と同じように他の拠点にアクセスする様子を示す。

まず、ユーザ端末装置３１が拠点内ネットワーク１０ｂ内の情報処理装置１９ｂ宛の上り電文５５ａを送信する。ここで、上り電文５５では、送信元アドレス５５１にユーザ端末装置３１のネットワークアドレス「ａ．ａ．ａ．ｘ」がセットされ、送信先アドレス５５３に情報処理装置１９ｂのネットワークアドレス「ｂ．ｂ．ｂ．ｚ」がセットされている。

ＮＡＴ装置２３は、ＮＡＴテーブル１３０を参照して、電文５５ａに含まれる送信元アドレス５５１のアドレス変換をする。すなわち、ＮＡＴ装置２３は、電文５５の送信元アドレス５５１を、ＮＡＴテーブル１３０において「ａ．ａ．ａ．ｘ」と対応付けられている仮想アドレスに変換する。つまり、ここでは送信元アドレス「ａ．ａ．ａ．ｘ」を、仮想アドレス「ｋ．ｋ．ｋ．ｘ」に変換する。そして、ＩＰｓｅｃ装置２５が、ＮＡＴテーブル１３０において「ａ．ａ．ａ．ｘ」と対応付けられているトンネルＩＤ１３３のトンネルＡを使って、アドレス変換後の電文５５ｂを送信する。

ＩＰｓｅｃ装置１５ａが、トンネルＡで送られてきた電文５５ｂを受信する。ＮＡＴ装置１３ａは、ＩＰｓｅｃ装置１５ａが受信した電文５５ｂの送信元アドレス５５１をＮＡＴテーブル１３０を参照して変換する。つまり、ＮＡＴ装置１３ａは、送信元アドレス５５１を、ユーザ端末装置３１の実際のアドレス「ａ．ａ．ａ．ｘ」へ戻す。

ここで、送信先アドレス５５３にセットされている「ｂ．ｂ．ｂ．ｚ」は、拠点内ネットワーク１０ｂ内の情報処理装置１９ｂである。そこで、電文５５ａは、ネットワーク装置１１ａが有するルータ機能によって、拠点間ネットワーク２０を介してネットワーク装置１１ｂへ転送される。このとき、電文５５ａの送信元アドレス５５１は「ａ．ａ．ａ．ｘ」であるが、拠点内ネットワーク１０ａから拠点間ネットワーク２０に対して送信されているので、アドレス重複の問題は起きない。

そして、ネットワークアドレス「ｂ．ｂ．ｂ．ｚ」が割り当てられている情報処理装置１９ｂは、ＬＡＮ１７ｂを介して電文５５ａを取得する。

上述のように、外部ネットワーク３０に接続されているユーザ端末装置３１は、あたかも拠点Ａ内において拠点内ネットワーク１０ａに接続している端末と同様に振舞うことができる。これにより、ユーザ端末装置３１は、拠点Ａのセキュリティポリシーなど、すべての制約に従うことになる。この結果、同様に管理すればよく、ＶＰＮ経由の端末に対する特別管理が不要である。

上述した本発明の実施形態は、本発明の説明のための例示であり、本発明の範囲をそれらの実施形態にのみ限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。

例えば、トンネリング通信を行うためにＩＰｓｅｃ以外の技術を用いてもよいし、アドレス変換を行うためにＮＡＴ以外の技術を用いてもよい。

また、図２の例では、ユーザ端末装置３１に、拠点内ネットワーク１０ａのアドレス体系に従うネットワークアドレス「ａ．ａ．ａ．ｘ」が割り当てられていて、ユーザ端末装置３１が拠点内ネットワーク１０ａに対してＶＰＮを構成する場合を例に示している。本実施形態では、さらに、ユーザ端末装置３１に、拠点内ネットワーク１０ｂのアドレス体系に従うネットワークアドレス「ｂ．ｂ．ｂ．ｘ」または拠点内ネットワーク１０ｃのアドレス体系に従うネットワークアドレス「ｃ．ｃ．ｃ．ｘ」が割り当てられている場合には、上述した手順と同様の手順によって、ユーザ端末装置３１が拠点内ネットワーク１０ｂまたは拠点内ネットワーク１０ｃに対してＶＰＮを構成することができる。

さらに、図４の例では、拠点内ネットワーク１０ａに対してＶＰＮ接続したユーザ端末装置３１が拠点内ネットワーク１０ｂ内の情報処理装置へ上り電文を送信する場合を例に示したが、下り電文も同様に送受信可能である。また、上述した手順と同様の手順によって、一つの任意の拠点内ネットワーク１０にＶＰＮ接続したユーザ端末が、他の任意の拠点内ネットワーク１０へアクセス可能である。

本発明の一実施形態に係るネットワークシステム１の構成図である。 ユーザ端末装置３１、ネットワーク装置１１及びネットワーク装置２１との間でやり取りされる電文のアドレス変換の様子を示す図である。 ＮＡＴテーブル１３０の一例を示す図である。 ユーザ端末装置３１が、ＶＰＮによって拠点内ネットワーク１０ａに接続し、拠点Ａ内に存在する端末装置と同じように他の拠点にアクセスする様子を示す図である。 従来のＶＰＮ接続の一例を示す構成図である 従来のＶＰＮ接続の一例を示す構成図である。

符号の説明

１０ 拠点内ネットワーク
１１，２１ ネットワーク装置
１３，２３ ＮＡＴ装置
１５，２５ ＩＰｓｅｃ装置
２０ 拠点間ネットワーク
３０ テーブル
３１ ユーザ端末装置
３３ ＶＰＮコンセントレータ
３５ 認証サーバ
５１ 電文
１３０ ＮＡＴテーブル

Claims (8)

1. 複数の拠点内ネットワークと、
   前記複数の拠点内ネットワーク間を接続する拠点間ネットワークと、
   第１の拠点内ネットワーク内の第１の情報処理装置と、
   前記第１の拠点内ネットワーク内の第１のネットワーク装置と、
   前記第１の拠点内ネットワーク内のアドレスが割り当てられているユーザ端末装置に外部ネットワークを介して接続されるとともに、前記第１のネットワーク装置と前記拠点間ネットワークを介して接続される第２のネットワーク装置と、を備えたネットワークシステムであって、
   前記第１のネットワーク装置は、
   前記第２のネットワーク装置とトンネリング通信を行うための第１のトンネリング通信手段と、
   第１のアドレス変換テーブルを有し、前記第１のアドレス変換テーブルに従って、前記第１のトンネリング通信手段が送受信する電文の送信元アドレスまたは送信先アドレスのアドレス変換を行う第１のアドレス変換手段と、を有し、
   前記第２のネットワーク装置は、
   前記第１のネットワーク装置とトンネリング通信を行うための第２のトンネリング通信手段と、
   第２のアドレス変換テーブルを有し、前記第２のアドレス変換テーブルに従って、前記第２のトンネリング通信手段が送受信する電文の送信元アドレスまたは送信先アドレスのアドレス変換を行う第２のアドレス変換手段と、を有し、
   前記第２のネットワーク装置は、
   前記第２のアドレス変換手段が前記ユーザ端末装置から受信した前記第１の情報処理装置宛の第１の電文の送信元アドレスを仮想アドレスへ変換し、
   前記第２のトンネリング通信手段がトンネリング通信によって、前記アドレス変換された第１の電文を前記第１のネットワーク装置へ送信し、
   前記第１のネットワーク装置は、
   前記第１のトンネリング通信手段が、トンネリング通信によって前記第２のトンネリング通信手段から送信された前記アドレス変換された第１の電文を受信し、
   前記第１のアドレス変換手段が前記第１の電文の送信元アドレスを、前記仮想アドレスから前記ユーザ端末装置のアドレスへ戻し、
   前記第１の情報処理装置が、前記第１の拠点内ネットワークを介して前記第１の電文を取得することを特徴とするネットワークシステム。
2. 前記第１のネットワーク装置は、
   前記第１のアドレス変換手段が受信した前記第１の情報処理装置から前記ユーザ端末装置へ宛てた第２の電文の送信先アドレスを仮想アドレスへ変換し、
   前記第１のトンネリング通信手段がトンネリング通信によって、前記アドレス変換された第２の電文を前記第２のネットワーク装置へ送信し、
   前記第２のネットワーク装置は、
   前記第２のトンネリング通信手段が、トンネリング通信によって前記第１のトンネリング通信手段から送信された前記アドレス変換された第２の電文を受信し、
   前記第２のアドレス変換手段が前記第２の電文の送信先アドレスを、前記仮想アドレスから前記ユーザ端末装置のアドレスへ戻し、
   前記ユーザ端末装置に前記外部ネットワークを介して前記第２の電文を取得させることを特徴とする請求項１記載のネットワークシステム。
3. 第２の拠点内ネットワーク内の第２の情報処理装置をさらに備え、
   前記第２のネットワーク装置は、
   前記第２のアドレス変換手段が前記ユーザ端末装置から受信した前記第２の情報処理装置宛の第３の電文の送信元アドレスを仮想アドレスへ変換し、
   前記第２のトンネリング通信手段がトンネリング通信によって、前記アドレス変換された第３の電文を前記第１のネットワーク装置へ送信し、
   前記第１のネットワーク装置は、
   前記第１のトンネリング通信手段が、トンネリング通信によって前記第２のトンネリング通信手段から送信された前記アドレス変換された第３の電文を受信し、
   前記第１のアドレス変化手段が前記第３の電文の送信元アドレスを、前記仮想アドレスから前記ユーザ端末装置のアドレスへ戻すと、
   前記第２の情報処理装置が、前記拠点間ネットワーク及び前記第２の拠点内ネットワークを介して前記第３の電文を取得することを特徴とする請求項１記載のネットワークシステム。
4. 前記第１及び第２のアドレス変換手段は、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）装置であることを特徴とする請求項１または２に記載のネットワークシステム。
5. 前記第１及び第２のトンネリング通信手段は、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）によってトンネリング通信を行うことを特徴とする請求項１または２に記載のネットワークシステム。
6. 第１の情報処理装置と第１のネットワーク装置とが第１のネットワークを介して接続されたネットワークシステムであって、
   前記第１のネットワーク装置は、
   前記第１のネットワーク装置と第２のネットワークを介して接続された第２のネットワーク装置とトンネリング通信を行うためのトンネリング通信手段と、
   アドレス変換テーブルを有し、前記アドレス変換テーブルに従って、前記トンネリング通信手段が送受信する電文の送信元アドレスまたは送信先アドレスのアドレス変換を行うアドレス変換手段と、を有し、
   前記トンネリング通信手段が、前記第１のネットワーク内のアドレスが割り当てられているユーザ端末装置が送信した電文であって、前記第２のネットワーク装置において送信元アドレスが変換された電文を、トンネリング通信によって前記第２のネットワーク装置から受信し、
   前記アドレス変換手段が、前記トンネリング通信手段が受信した電文の送信元アドレスを前記ユーザ端末装置のアドレスへ戻し、
   前記第１の情報処理装置が、前記第１のネットワークを介して前記電文を取得することを特徴とするネットワークシステム。
7. 複数の拠点内ネットワークが拠点間ネットワークに接続されたネットワークシステムにおける、前記複数の拠点内ネットワークのいずれか一つのネットワーク内のネットワーク装置であって、
   前記拠点間ネットワーク内のネットワーク装置である拠点間ネットワーク装置とトンネリング通信を行うためのトンネリング通信手段と、
   アドレス変換テーブルを有し、前記アドレス変換テーブルに従って、前記トンネリング通信手段が受信する電文の送信元アドレスのアドレス変換を行うアドレス変換手段と、を有し、
   前記トンネリング通信手段が、トンネリング通信によって、前記拠点内ネットワーク内のアドレスが割り当てられているユーザ端末装置が送信した電文であって、前記拠点間ネットワーク装置において送信元アドレスが変換された電文を受信し、
   前記アドレス変換手段が、前記受信した電文の送信元アドレスを前記ユーザ端末装置のアドレスへ戻すことを特徴とするネットワーク装置。
8. 第１の情報処理装置と第１のネットワーク装置とが第１のネットワークを介して接続されたネットワークシステムにおいて、
   前記第１のネットワーク装置は、
   第２のネットワークを介して接続される第２のネットワーク装置から、トンネリング通信によって、前記第１のネットワーク内のアドレスが割り当てられているユーザ端末装置が送信した電文であって、前記第２のネットワーク装置において送信元アドレスが変換された電文を受信し、
   アドレス変換テーブルに従って、前記受信した電文の送信元アドレスを前記ユーザ端末装置のアドレスへ戻し、
   前記第１の情報処理装置は、前記第１のネットワークを介して前記電文を取得することを特徴とする電文の転送方法。

Images