JP5323674B2 - ＤＮＳ（ＤｏｍａｉｎＮａｍｅＳｙｓｔｅｍ）登録装置、ＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）間接続管理システム、広域ＤＮＳ装置、ＤＮＳ登録プログラム、広域ＤＮＳプログラム、ＤＮＳ登録方法、及びＶＰＮ間接続管理方法 - Google Patents

Description

本発明は、ＤＮＳ登録装置、ＶＰＮ間接続管理システム、広域ＤＮＳ装置、ＤＮＳ登録プログラム、広域ＤＮＳプログラム、ＤＮＳ登録方法、及びＶＰＮ間接続管理方法に関する。

近年、複数の拠点間を拠点間接続することで協働空間を提供するサービスが登場した。特に、オンデマンド（on−demand）なサービス、すなわち、要求に応じて時限的に拠点間接続するサービスに対する要望が高い。ここで、「拠点」とは、ＶＰＮ（Virtual Private Network）や地理的条件などによって到達性を制限され孤立しているネットワークドメインのことである。また、「拠点間接続」とは、ある拠点の端末から送信されたパケットをある拠点の端末に対して転送するための情報を該拠点間の経路上に存在する各機器に設定することで、拠点間を通信可能に相互接続することである。また、「協働空間」とは、拠点間接続により生じたネットワークドメインのことであり、相互接続された範囲を新たな到達可能範囲とするネットワークドメインのことである。

ところで、複数の拠点間を拠点間接続する場合、各拠点内で用いられているアドレスをそのまま拠点間接続に用いると、アドレスの重複を生ずるおそれがある。このため、上記サービスにおいては、通信相手となる他拠点配下の端末を拠点内で識別するためのアドレス（以下「通信相手識別アドレス」）が別途払い出され、ＮＡＴ（Network Address Translation）によるアドレス変換が行われる。また、通信相手識別アドレスと端末の名称との対応関係を示すＤＮＳ登録情報が、ＤＮＳに登録される。

ここで、上記サービスがオンデマンドに提供されると、通信相手識別アドレスはその都度払い出され、通信相手識別アドレスと端末の名称との組合せも、その都度変更される。このため、拠点間接続サービスを管理する利用者などが、その都度、通信相手識別アドレスと端末の名称との組合せを登録情報として生成し、生成した登録情報をＤＮＳに登録することになる。

石川雄一、藤田範人、「レイヤ２認証におけるサイト多重帰属方式」、信学技報ＮＳ２００４−１２（２００４−４）、Ｐ．１３−１６ 小山 高明、唐澤 秀一、岸 和宏、水野 伸太郎、岩村 相哲、「ＶＰＮ間接続管理システムの提案」、信学技報ＩＮ２００９−４８（２００９−０９）、Ｐ．５３−５８

しかしながら、上記従来技術においては、登録情報を頻繁にＤＮＳに登録しなければならず、利用者の負荷が高いという課題があった。

開示の技術は、上記に鑑みてなされたものであって、利用者の負荷を軽減することが可能なＤＮＳ登録装置、ＶＰＮ間接続管理システム、広域ＤＮＳ装置、ＤＮＳ登録プログラム、広域ＤＮＳプログラム、ＤＮＳ登録方法、及びＶＰＮ間接続管理方法を提供することを目的とする。

本願の開示するＤＮＳ登録装置、ＶＰＮ間接続管理システム、広域ＤＮＳ装置、ＤＮＳ登録プログラム、広域ＤＮＳプログラム、ＤＮＳ登録方法、及びＶＰＮ間接続管理方法は、一つの態様において、複数の拠点間を拠点間接続する拠点間接続要求に応じて、通信相手となる他拠点配下の端末を拠点内で識別するための通信相手識別アドレスが該拠点間接続に属する拠点ごとに払い出されると、該拠点内で一意となるように該端末の名称を決定し、決定した該端末の名称と該通信相手識別アドレスとの組を、ＤＮＳに登録する登録情報として該拠点間接続に属する拠点ごとに生成する生成手段と、前記生成手段によって生成された登録情報を、前記拠点間接続に属する拠点ごとにＤＮＳに登録する登録手段とを備える。

本願の開示するＤＮＳ登録装置、ＶＰＮ間接続管理システム、広域ＤＮＳ装置、ＤＮＳ登録プログラム、広域ＤＮＳプログラム、ＤＮＳ登録方法、及びＶＰＮ間接続管理方法の一つの態様によれば、利用者の負荷を軽減することが可能になるという効果を奏する。

図１は、実施例１のネットワーク構成を説明するための図である。 図２は、実施例１に係るＤＮＳ登録装置１０の構成を示すブロック図である。 図３は、実施例１に係るＤＮＳ登録装置１０による処理手順を示すフローチャートである。 図４Ａは、ＶＰＮサービスに属する拠点を説明するための図である。 図４Ｂは、ＶＰＮサービスに属する拠点を説明するための図である。 図４Ｃは、ＶＰＮサービスに属する拠点を説明するための図である。 図５は、実施例２のネットワーク構成を説明するための図である。 図６は、Ｓｉｎｇｌｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。 図７は、Ｔｗｉｃｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。 図８は、実施例２におけるアドレス決定方式の処理手順を示すフローチャートである。 図９は、アドレス決定方式の具体例を説明するための図である。 図１０は、アドレス決定方式の具体例を説明するための図である。 図１１は、アドレス決定の考え方を説明するための図である。 図１２は、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明するための図である。 図１３は、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明するための図である。 図１４は、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明するための図である。 図１５は、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明するための図である。 図１６は、実施例２において各機器のインタフェースに割り当てられるアドレスを説明するための図である。 図１７は、実施例２に係るＶＰＮ間接続管理システム１００の構成を示すブロック図である。 図１８は、ＶＰＮ間接続情報記憶部１２１を説明するための図である。 図１９は、集合仮想ルータの設定パターンの一例を示す図である。 図２０は、ＶＰＮ終端装置の設定パターンの一例を示す図である。 図２１は、ＶＰＮ間接続要求記憶部１２３を説明するための図である。 図２２は、アドレス変換情報記憶部１２４を説明するための図である。 図２３は、ルーティング情報記憶部１２５を説明するための図である。 図２４は、ルーティング情報記憶部１２５を説明するための図である。 図２５は、ＤＮＳ登録情報記憶部１２６を説明するための図である。 図２６は、アタッチメント記憶部１２７を説明するための図である。 図２７は、集合仮想ルータの事前設定情報を説明するための図である。 図２８は、ＶＰＮ終端装置の事前設定情報を説明するための図である。 図２９は、ＶＰＮ間接続要求の入力画面の一例を説明するための図である。 図３０は、実施例２に係るＶＰＮ間接続管理システム１００による処理手順を示すフローチャートである。 図３１は、ＤＮＳ登録の処理手順を示すフローチャートである。 図３２は、実施例２におけるＤＮＳの配置を説明するための図である。 図３３は、ユーザレベルの制御を説明するための図である。 図３４は、ユーザレベルの制御を説明するための図である。 図３５は、実施例３におけるＤＮＳの配置を説明するための図である。 図３６は、多重帰属における端末名の決定を説明するための図である。 図３７は、実施例５に係るアドレス決定装置２００の構成を示すブロック図である。

以下に、本願の開示するＤＮＳ登録装置、ＶＰＮ間接続管理システム、広域ＤＮＳ装置、ＤＮＳ登録プログラム、広域ＤＮＳプログラム、ＤＮＳ登録方法、及びＶＰＮ間接続管理方法の実施例を説明する。なお、以下の実施例により本発明が限定されるものではない。

実施例１に係るＤＮＳ登録装置を説明する。図１は、実施例１のネットワーク構成を説明するための図である。図１に例示するように、実施例１に係るＤＮＳ登録装置は、広域ネットワークを介して複数の拠点間を拠点間接続するＶＰＮ間接続システムにおいて、通信相手識別アドレスが拠点ごとに払い出されると、端末の名称と通信相手識別アドレスとの組を、ＤＮＳに登録する登録情報として拠点間接続に属する拠点ごとに生成し、生成した登録情報を拠点ごとにＤＮＳに登録する。なお、通信相手識別アドレスとは、通信相手となる他拠点配下の端末を該拠点内で識別するためのアドレスである。ＶＰＮ間接続システムは、転送制御装置、アドレス変換装置、及びＶＰＮ終端装置を含む。

ここで、ＶＰＮ終端装置は、アクセスネットワークを介して拠点を収容するとともに、収容した拠点と広域ネットワークとの間でＶＰＮを終端する。また、アドレス変換装置は、ＶＰＮ終端装置から受信したパケットのアドレスを変換し、アドレス変換後のパケットを転送制御装置に送信する。また、アドレス変換装置は、転送制御装置から受信したパケットのアドレスを変換し、アドレス変換後のパケットをＶＰＮ終端装置に送信する。また、転送制御装置は、広域ネットワーク内のパケット転送を制御する。

実施例１に係るＤＮＳ登録装置１０を説明する。図２は、実施例１に係るＤＮＳ登録装置１０の構成を示すブロック図である。図２に例示するように、実施例１に係るＤＮＳ登録装置１０は、登録情報生成部１１と、ＤＮＳ登録部１２とを備える。

例えばＶＰＮ間接続システムにおいては、複数の拠点間を拠点間接続する拠点間接続要求をオンデマンドに受け付け、通信相手識別アドレスを拠点ごとにオンデマンドに払い出す。ここで、通信相手識別アドレスは、通信相手となる他拠点配下の端末を「ある拠点」内で識別するためのアドレスであるので、同じ端末を識別するためのアドレスであっても拠点ごとに異なったアドレスとなり得る。

例えば、拠点Ａの端末α、拠点Ｂの端末β、及び拠点Ｃの端末γが拠点間接続する場合、拠点Ａ内で端末βを識別するための通信相手識別アドレスと、拠点Ｃ内で端末βを識別するための通信相手識別アドレスとは、異なったアドレスとなり得る。例えば、拠点Ａについて、端末βを識別するための通信相手識別アドレス「アドレスＢ１」と、端末γを識別するための通信相手識別アドレス「アドレスＣ１」とが払い出されたとする。また、拠点Ｂについて、端末αを識別するための通信相手識別アドレス「アドレスＡ１」と、端末γを識別するための通信相手識別アドレス「アドレスＣ２」とが払い出されたとする。また、拠点Ｃについて、端末αを識別するための通信相手識別アドレス「アドレスＡ２」と、端末βを識別するための通信相手識別アドレス「アドレスＢ２」とが払い出されたとする。

すると、ＤＮＳ登録装置１０の登録情報生成部１１は、拠点内で一意となるように端末の名称を決定し、決定した端末の名称と通信相手識別アドレスとの組を、ＤＮＳに登録する登録情報として拠点間接続に属する拠点ごとに生成する。例えば、登録情報生成部１１は、拠点Ａについて、拠点Ａ内で一意となるように「端末βの名称」を決定し、決定した「端末βの名称」と「アドレスＢ１」との組を登録情報として生成する。また、登録情報生成部１１は、拠点Ａについて、拠点Ａ内で一意となるように「端末γの名称」を決定し、決定した「端末γの名称」と「アドレスＣ１」との組を登録情報として生成する。

また、登録情報生成部１１は、拠点Ｂについて、拠点Ｂ内で一意となるように「端末αの名称」を決定し、決定した「端末αの名称」と「アドレスＡ１」との組を登録情報として生成する。登録情報生成部１１は、拠点Ｂについて、拠点Ｂ内で一意となるように「端末γの名称」を決定し、決定した「端末γの名称」と「アドレスＣ２」との組を登録情報として生成する。

また、登録情報生成部１１は、拠点Ｃについて、拠点Ｃ内で一意となるように「端末αの名称」を決定し、決定した「端末αの名称」と「アドレスＡ２」との組を登録情報として生成する。登録情報生成部１１は、拠点Ｃについて、拠点Ｃ内で一意となるように「端末βの名称」を決定し、決定した「端末βの名称」と「アドレスＢ２」との組を登録情報として生成する。

そして、ＤＮＳ登録装置１０のＤＮＳ登録部１２は、登録情報生成部１１によって生成された登録情報を、拠点間接続に属する拠点ごとにＤＮＳ１に登録する。例えば、ＤＮＳ登録部１２は、拠点ＡのＤＮＳ登録情報として、「アドレスＢ１」と「端末βの名称」との組、及び、「アドレスＣ１」と「端末γの名称」との組を登録する。また、ＤＮＳ登録部１２は、拠点ＢのＤＮＳ登録情報として、「アドレスＡ１」と「端末αの名称」との組、及び、「アドレスＣ２」と「端末γの名称」との組を登録する。また、ＤＮＳ登録部１２は、拠点ＣのＤＮＳ登録情報として、「アドレスＡ２」と「端末αの名称」との組、及び、「アドレスＢ２」と「端末βの名称」との組を登録する。

このように、例えば「端末βの名称」には、「アドレスＢ１」及び「アドレスＢ２」それぞれが対応付けられているが、拠点Ａでは、「端末βの名称」のアドレスは「アドレスＢ１」で一意であり、拠点Ｃでは、「端末βの名称」のアドレスは「アドレスＢ２」で一意である。このため、ＤＮＳ登録装置１０は、拠点ＡのＤＮＳ登録情報と拠点ＣのＤＮＳ登録情報とを区別してＤＮＳ１に登録する。一方、ＤＮＳ１側では、ＤＮＳ登録情報を拠点ごとに管理する必要がある。

図３は、実施例１に係るＤＮＳ登録装置１０による処理手順を示すフローチャートである。図３に例示するように、実施例１に係るＤＮＳ登録装置１０は、通信相手識別アドレスが拠点間接続に属する拠点ごとに払い出されると（ステップＳ１肯定）、拠点内で一意となるように端末の名称を決定する（ステップＳ２）。

次に、ＤＮＳ登録装置１０は、ステップＳ２において決定した端末の名称と、通信相手識別アドレスとの組を、ＤＮＳに登録する登録情報として拠点間接続に属する拠点ごとに生成する（ステップＳ３）。そして、ＤＮＳ登録装置１０は、ステップＳ３において生成された登録情報を、拠点間接続に属する拠点ごとにＤＮＳに登録する（ステップＳ４）。

このように、実施例１に係るＤＮＳ登録装置１０は、拠点間接続要求に応じて通信相手識別アドレスがオンデマンドに払い出されると、通信相手識別アドレスと端末の名称との対応関係を示す登録情報を自動的にＤＮＳ１に登録する。このようなことから、利用者の負荷を軽減することが可能になる。また、実施例１に係るＤＮＳ登録装置１０は、ＤＮＳ１に登録すべき登録情報を拠点ごとに決定し、拠点ごとにＤＮＳ１に登録するので、ＤＮＳ１側では、登録情報を拠点ごとに管理することになる。すると、たとえ、ある端末を識別するためにＶＰＮ間接続システムによって払い出された通信相手識別アドレスが拠点によって異なる場合であっても、ＤＮＳ１は、どの拠点からの問い合わせであるか否かを判別することで、問い合わせ元の拠点に応じた正しい名前解決を行うことが可能になる。

なお、図１においては、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のアドレス変換装置と、１台の筐体の転送制御装置とが設置される構成を例示したが、本発明はこれに限られるものではない。例えば、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のアドレス変換装置と、１台の筐体の転送制御装置との組合せがさらに複数設置される構成にも本発明を同様に適用することができる。また、例えば、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のアドレス変換装置と、複数台の筐体の転送制御装置とが組み合わせて設置される構成にも本発明を同様に適用することができる。

また、例えば、ＶＰＮ終端装置が有する機能（拠点を収容するとともに、収容した拠点と広域ネットワークとの間でＶＰＮを終端する機能）と、アドレス変換装置が有する機能（アドレスを変換する機能）と、転送制御装置が有する機能（広域ネットワーク内のパケット転送を制御する機能）とが１台の筐体に収まった装置が設置される構成にも本発明を同様に適用することができる。

また、図１においては、説明の便宜上、１台の筐体のＶＰＮ終端装置が１つの拠点を収容するが、本発明はこれに限られるものではなく、一般には、１台の筐体のＶＰＮ終端装置が複数の拠点を収容する。ここで、「拠点を収容する」とは、例えば、広域ネットワークに設置されるＶＰＮ終端装置とアクセス網に設置されるルータなどのネットワーク装置との間を物理的に接続し、また、アクセス網に設置されるルータなどのネットワーク装置と拠点に設置されるルータなどのネットワーク装置との間を物理的に接続することをいう。

ここで、「拠点」の態様について説明する。「拠点」は、いわゆるネットワークではなく一端末の場合もある。例えば、拠点に設置されるルータが、物理的なルータではなく端末内のソフトウェアで実現される場合などを含む。また、「拠点」は、電気通信事業者などによって提供されたＶＰＮサービスによって接続された複数のローカルエリアネットワーク群による社内網のようなものの場合もある。

図４Ａ〜４Ｃは、ＶＰＮサービスに属する拠点を説明するための図である。なお、図４Ａ〜４Ｃにおいては、２種類の点線を用いて示す。一方は、通常の点線であり、他方は、破線（短い線と長い線との組合せ）である。破線は、同じＶＰＮサービスに属する複数の拠点であって、かつ、例えば同じ社内（例えばＣ社内）の拠点間でＶＰＮを形成していることを示す。一方、点線は、ＶＰＮ間を接続することを示す。例えば、異なるＶＰＮサービスに属する複数の拠点間を接続することや、同じＶＰＮサービスに属する複数の拠点間であっても、異なる会社のＶＰＮ間を接続することを示す。

図４Ａに示すように、例えば、Ｃ社は、ＶＰＮサービス１に属する拠点群を有し、また、ＶＰＮサービス３に属する拠点を有する。ＶＰＮサービス１とＶＰＮサービス３とは異なるＶＰＮサービスであるので、それぞれのＶＰＮサービスにおいて事前のアドレス設計がなされる結果、例えば、ＶＰＮサービス１に属するＣ社拠点の端末と、ＶＰＮサービス３に属するＣ社拠点の端末とに、同じプライベートアドレスが付与されることもある。一方、Ｄ社は、ＶＰＮサービス２に属する拠点を有し、また、ＶＰＮサービス４に属する拠点を有する。ＶＰＮサービス２とＶＰＮサービス４とは異なるＶＰＮサービスであるので、それぞれのＶＰＮサービスにおいて事前のアドレス設計がなされる結果、例えば、ＶＰＮサービス２に属するＤ社拠点の端末と、ＶＰＮサービス４に属するＤ社拠点の端末とに、同じプライベートアドレスが付与されることもある。

本発明に係るＤＮＳ登録装置は、このような、異なるＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続について、通信相手となる他拠点配下の端末を該拠点内で識別するための通信相手識別アドレスが、Ｃ社拠点それぞれ、Ｄ社拠点それぞれごとに払い出されると、払い出された通信相手識別アドレスと端末の名称との組からＤＮＳ登録情報を生成し、Ｃ社拠点それぞれのＤＮＳ登録情報、及び、Ｄ社拠点それぞれのＤＮＳ登録情報を自動的に登録することができる。すなわち、ＶＰＮサービス１に属するＣ社の拠点群と、ＶＰＮサービス２に属するＤ社の拠点と、ＶＰＮサービス３に属するＣ社の拠点と、ＶＰＮサービス４に属するＤ社の拠点との間の拠点間接続について、拠点間接続に用いられるＤＮＳ登録情報を自動的に登録することができる。

また、図４Ｂに示すように、例えば、Ｃ社は、ＶＰＮサービス３でグループ化された拠点群を有する。一方、Ｄ社は、ＶＰＮサービス４でグループ化された拠点群を有する。本発明に係るＤＮＳ登録装置は、このような、異なるＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続についても、拠点間接続に用いられるＤＮＳ登録情報を自動的に登録することができる。

また、図４Ｃに示すように、例えば、Ｃ社及びＤ社は、いずれも、ＶＰＮサービス２でグループ化された拠点群を有する。本発明に係るＤＮＳ登録装置は、このような、同じＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続、言い換えると、同じＶＰＮ終端装置に属する複数の拠点群間の拠点間接続についても、拠点間接続に用いられるＤＮＳ登録情報を自動的に登録することができる。

なお、図１においては、ＤＮＳ登録装置が広域ネットワークに設置される構成を例示したが、本発明はこれに限られるものではない。例えば、ＤＮＳ登録装置が、ＶＰＮ終端装置、アドレス変換装置、及び転送制御装置と監視用のネットワークで接続されている構成にも本発明を同様に適用することができる。

また、図１においては、１台の筐体のＤＮＳ登録装置が設置される構成を例示したが、本発明はこれに限られるものではない。例えば、複数台の筐体のＤＮＳ登録装置が設置される構成や、例えば、記憶部などＤＮＳ登録装置の一部が別の筐体で設置される構成などにも、本発明を同様に適用することができる。

［実施例２のネットワーク構成］
次に、実施例２においては、拠点が、ネットワークであり、かつ、電気通信事業者などによって提供されたＶＰＮサービスに属する拠点である場合を一例として説明する。すなわち、実施例２における拠点間接続は、ＶＰＮサービスに属する拠点間を接続する「ＶＰＮ間接続」である。図５は、実施例２のネットワーク構成を説明するための図である。図５に例示するように、実施例２に係るＶＰＮ間接続管理システムは、ＤＮＳ登録装置を備え、ＤＮＳ登録装置は、広域ネットワークを介して複数の拠点間をＶＰＮ間接続するＶＰＮ間接続システムに対して、ＶＰＮ間接続に用いられるＤＮＳ登録情報を自動的に登録する。

ここで、ＶＰＮ終端装置は、アクセスネットワークを介して拠点を収容するとともに、収容した拠点と広域ネットワークとの間でＶＰＮを終端する。また、ＮＡＴ装置（図５において図示を省略）は、ＶＰＮ終端装置から受信したパケットのアドレスを変換し、アドレス変換後のパケットを集合仮想ルータに送信する。また、ＮＡＴ装置は、集合仮想ルータから受信したパケットのアドレスを変換し、アドレス変換後のパケットをＶＰＮ終端装置に送信する。また、集合仮想ルータは、広域ネットワーク内のパケット転送を制御する。

また、図５に例示するように、集合仮想ルータには、ＶＰＮ間接続のための仮想ルータが、ＶＰＮ間接続要求に応じて時限的に設定される。すなわち、仮想ルータとは、ＶＰＮ間接続ごと（協働空間ごと）に設定されるルーティング情報であり、時限的に設定されたルーティング情報に従ってルーティングすることで、協働空間を実現する。なお、実施例２においては、一つの拠点が同じ時間帯に複数の協働空間に多重帰属する構成も想定する。

なお、図５においては、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のＮＡＴ装置と、１台の筐体の集合仮想ルータとが設置される構成を例示したが、本発明はこれに限られるものではない。例えば、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のＮＡＴ装置と、１台の筐体の集合仮想ルータとの組合せがさらに複数設置される構成にも本発明を同様に適用することができる。また、例えば、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のＮＡＴ装置と、複数台の筐体の集合仮想ルータとが組み合わせて設置される構成にも本発明を同様に適用することができる。

また、例えば、ＶＰＮ終端装置が有する機能（拠点を収容するとともに、収容した拠点と広域ネットワークとの間でＶＰＮを終端する機能）と、ＮＡＴ装置が有する機能（アドレスを変換する機能）と、集合仮想ルータが有する機能（広域ネットワーク内のパケット転送を制御する機能）とが１台の筐体に収まった装置が設置される構成にも本発明を同様に適用することができる。

また、図５においては、説明の便宜上、１台の筐体のＶＰＮ終端装置が１つの拠点を収容するが、本発明はこれに限られるものではなく、一般には、１台の筐体のＶＰＮ終端装置が複数の拠点を収容する。ここで、「拠点を収容する」とは、例えば、広域ネットワークに設置されるＶＰＮ終端装置とアクセスネットワークに設置されるルータなどのネットワーク装置との間を物理的に接続し、また、アクセスネットワークに設置されるルータなどのネットワーク装置と拠点に設置されるルータなどのネットワーク装置との間を物理的に接続することをいう。なお、拠点は、いわゆるネットワークではなく一端末の場合もある。例えば、拠点に設置されるルータが、物理的なルータではなく端末内のソフトウェアで実現される場合などである。

また、図５においては、ＤＮＳ登録装置を含むＶＰＮ間接続管理システムが広域ネットワークに設置される構成を例示したが、本発明はこれに限られるものではない。例えば、ＶＰＮ間接続管理システムが、ＶＰＮ終端装置、ＮＡＴ装置、及び集合仮想ルータと監視用のネットワークで接続されている構成にも本発明を同様に適用することができる。

また、図５においては、１台の筐体のＶＰＮ間接続管理システムが設置される構成を例示したが、本発明はこれに限られるものではない。例えば、複数台の筐体のＶＰＮ間接続管理システムが設置される構成や、例えば、記憶部などＶＰＮ間接続管理システムの一部が別の筐体で設置される構成などにも、本発明を同様に適用することができる。

ここで、図５に例示するように、ＶＰＮ終端装置とＮＡＴ装置と集合仮想ルータとは物理的に接続され、また、ＯＳＩ（Open Systems Interconnection）のデータリンク層におけるインタフェースの設定は事前に行われている。また、実施例２においては、ＶＰＮ間接続のネットワーク構成として、スター型を想定する。

［実施例２におけるアドレス決定方式］
上述したように、実施例２に係るＶＰＮ間接続管理システムは、ＤＮＳ登録装置を備え、ＤＮＳ登録装置は、ＶＰＮ間接続管理システムにおいて決定されたアドレスを用いて、ＤＮＳ登録情報を自動的に登録するものである。そこで、ＤＮＳ登録装置について説明する前に、まず、実施例２におけるアドレス決定方式を説明する。なお、実施例２においては、アドレス変換の技術として、ＩＥＴＦ（Internet Engineering Task Force）によって公開されたＲＦＣ（Request for Comments）２６６３の技術（以下「Ｔｗｉｃｅ−ＮＡＴ」）を用いる。以下では、比較の観点から、まず、ＲＦＣ１６３１の技術（以下「Ｓｉｎｇｌｅ−ＮＡＴ」）を説明し、続いて、Ｔｗｉｃｅ−ＮＡＴを説明する。

［Ｓｉｎｇｌｅ−ＮＡＴを用いたアドレス決定方式］
図６は、Ｓｉｎｇｌｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。図６を参照しながら、以下の説明で用いる変数を定義する。なお、以下では、ＶＰＮ間接続される拠点を「ＶＰＮ」という。「ＶＰＮ_i」は、ＶＰＮ名であり、ｉ＝１，２，３，・・・である。「ａ_i」は、ＶＰＮ_iの内部で利用するアドレス（以下「拠点内アドレス」）である。「ＶＲＦ_m」は、集合仮想ルータに設定された仮想ルータ名であり、ｍ＝１，２，３，・・・である。なお、ＶＲＦは、Virtual Routing and Forwardingの略である。また、（１−１）式は、ＶＰＮ_iからＶＲＦ_m向けのアドレス変換を表す作用素である。

すると、ＶＰＮ_iの拠点内アドレスａ_iは、ＶＲＦ_m向けにアドレス変換されると（１−２）式となる。一方、ＶＰＮ_jの拠点内アドレスａ_jは、ＶＲＦ_m向けにアドレス変換されると（１−３）式となる。すなわち、図６に例示するように、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（１−２）式であり、ＶＰＮ_jを識別するためのアドレスは（１−３）式である。また、ＶＰＮ_iにおいて、接続先であるＶＰＮ_jを識別するためのアドレスは（１―３）式である。一方、ＶＰＮ_jにおいて、接続先であるＶＰＮ_iを識別するためのアドレスは（１−２）式である。

例えば、図６に示すＶＰＮ_iからＶＰＮ_jに向けてパケットが送信されると、パケットは、ＶＲＦ_mを経由し、ＶＰＮ_i→ＶＲＦ_m→ＶＰＮ_jのように送信される。ここで、アドレス変換にＳｉｎｇｌｅ−ＮＡＴを用いる場合、ＮＡＴ装置は、送信元のアドレスのみを変換して宛先のアドレスを変換しない、または、宛先のアドレスのみを変換して送信元のアドレスを変換しない。このため、｛送信元アドレス，宛先アドレス｝の組合せは、アドレス変換により、ＶＰＮ_i内、ＶＲＦ_m内、ＶＰＮ_j内の各領域において、（１−４）式となる。なお、ｉ≠ｊである。

さて、アドレスは、「（１）ＶＰＮ側からルーティングが可能であること」かつ「（２）ＶＲＦ側からルーティングが可能であること」の２つの条件を満たすように決定されなければならない。

「（１）ＶＰＮ側からルーティングが可能であること」を検討すると、（１）の条件は、すなわち、「ＶＰＮ_iから同時にアクセスする可能性がある接続先に関するＶＲＦに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「通信相手となる他ＶＰＮ配下の端末をＶＰＮ内で識別するためのアドレスを、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ内で通信相手となり得る端末の中で一意となるように決定しなければならない」という条件となる。

上記変数を用いて表すと、（１−５）式となる。すなわち、例えば、ＶＰＮ_iから同時にアクセスする可能性がある接続先が、ＶＰＮ_j及びＶＰＮ_kであり、ＶＰＮ_jとはＶＲＦ_m経由で、また、ＶＰＮ_kとはＶＲＦn経由でＶＰＮ間接続するとする（ｍ≠ｎ）。すると、ＶＰＮ_iにおいて、接続先ＶＰＮ_jのアドレスは（１−６）式であり、接続先ＶＰＮ_kのアドレスは（１−７）式であるので、上記（１−５）式は、これらが一意となるように決定しなければならないことを表す。

また、「（２）ＶＲＦ側からルーティングが可能であること」を検討すると、（２）の条件は、すなわち、「ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「ＶＰＮ間接続に属する各ＶＰＮ配下の端末を広域ネットワーク内で識別するためのアドレスを、該ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ間接続として制御され得る端末の中で一意となるように決定しなければならない」という条件となる。

上記変数を用いて表すと、（１−８）式となる。すなわち、例えば、ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮが、ＶＰＮ_i及びＶＰＮ_jであるとする（ｉ≠ｊ）。すると、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（１−９）式であり、ＶＰＮ_jを識別するためのアドレスは（１−１０）式であるので、上記（１−８）式は、これらが一意となるように決定しなければならないことを表す。

ここで、注目すべきは、（１−５）式は、異なるＶＲＦ間で一意にアドレスを決定することを表しており、一方、（１−８）式は、各ＶＲＦ内にて一意にアドレスを決定することを表している点である。結局、（１−５）式かつ（１−８）式を満たすためには、「同時にアクセスする可能性がある全てのＶＲＦ間でアドレスの重複がないこと」を満たさなければならず、（１）の条件と（２）の条件とは独立の条件とはならない。

例えば、ＶＰＮ₁が同時にアクセスする可能性があるＶＲＦ（群）と、ＶＰＮ₂が同時にアクセスする可能性があるＶＲＦ（群）とが一部でも重複した場合、ＶＰＮ₁とＶＰＮ₂とが同時にアクセスする可能性があるＶＲＦ（群）で、（１）の条件と（２）の条件とを完全に独立に考えることはできない。

また、オンデマンドなＶＰＮ間接続サービスにおいて、ＶＲＦは、時限的に生成消滅を繰り返す。このため、例えば、同時にアクセスする可能性があるＶＲＦが複数存在する場合や、既にアドレスを割り当て済みのＶＲＦに対して時間的に遡って新たなＶＰＮを収容しなければならない場合などには、他のＶＲＦの生成消滅も含め時間軸上でアドレスを管理しなければならず、アドレスの管理が困難である。さらに、同時にアクセスする可能性があるＶＲＦの数が膨大になると、アドレスが枯渇し、アドレスの割り当てができなくなるおそれがある。

［Ｔｗｉｃｅ−ＮＡＴを用いたアドレス決定方式］
続いて、実施例２において用いるＴｗｉｃｅ−ＮＡＴを説明する。図７は、Ｔｗｉｃｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。図７を参照しながら、以下の説明で用いる変数を定義する。「ＶＰＮ_i」は、ＶＰＮ名であり、ｉ＝１，２，３，・・・である。「ａ_i」は、ＶＰＮ_iの内部で利用する拠点内アドレスである。「ＶＲＦ_m」は、仮想ルータ名であり、ｍ＝１，２，３，・・・である。また、（２−１）式は、ＶＰＮ_iからＶＲＦ_m向けのアドレス変換を表す作用素である。また、（２−２）式は、ＶＲＦ_mからＶＰＮ_j向けのアドレス変換を表す作用素である。また、定義より、（２−３）式が成立し、したがって（２−４）式が成立する。

すると、ＶＰＮ_iの拠点内アドレスａ_iは、ＶＲＦ_m向けにアドレス変換されると（２−５）式となる。一方、ＶＰＮ_jの拠点内アドレスａ_jは、ＶＲＦ_m向けにアドレス変換されると（２−６）式となる。すなわち、図７に例示するように、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（２−５）式であり、ＶＰＮ_jを識別するためのアドレスは（２−６）式である。また、ＶＰＮ_iにおいて、接続先であるＶＰＮ_jを識別するためのアドレスは、（２−６）式にさらにＶＲＦ_mからＶＰＮ_i向けのアドレス変換が行われた（２−７）式となる。一方、ＶＰＮ_jにおいて、接続先であるＶＰＮ_iを識別するためのアドレスは、（２−５）式にさらにＶＲＦ_mからＶＰＮ_j向けのアドレス変換が行われた（２−８）式となる。

例えば、図７に示すＶＰＮ_iからＶＰＮ_jに向けてパケットが送信されると、パケットは、ＶＲＦ_mを経由し、ＶＰＮ_i→ＶＲＦ_m→ＶＰＮ_jのように送信される。ここで、アドレス変換にＴｗｉｃｅ−ＮＡＴを用いる場合、ＮＡＴ装置は、送信元のアドレス及び宛先のアドレスを変換する。このため、｛送信元アドレス，宛先アドレス｝の組合せは、アドレス変換により、ＶＰＮ_i内、ＶＲＦ_m内、ＶＰＮ_j内の各領域において、（２−９）式となる。なお、ｉ≠ｊである。

さて、アドレスは、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、「（１´）ＶＰＮ側からルーティングが可能であること」かつ「（２´）ＶＲＦ側からルーティングが可能であること」の２つの条件を満たすように決定されなければならない。

「（１´）ＶＰＮ側からルーティングが可能であること」を検討すると、（１´）の条件は、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、すなわち、「ＶＰＮ_iから同時にアクセスする可能性がある接続先に関するＶＲＦに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「通信相手となる他ＶＰＮ配下の端末をＶＰＮ内で識別するためのアドレスを、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ内で通信相手となり得る端末の中で一意となるように決定しなければならない」という条件となる。

上記変数を用いて表すと、（２−１０）式となる。すなわち、例えば、ＶＰＮ_iから同時にアクセスする可能性がある接続先が、ＶＰＮ_j及びＶＰＮ_kであり、ＶＰＮ_jとはＶＲＦ_m経由で、また、ＶＰＮ_kとはＶＲＦn経由でＶＰＮ間接続するとする（ｍ≠ｎ）。すると、ＶＰＮ_iにおいて、接続先ＶＰＮ_jを識別するためのアドレスは（２−１１）式であり、接続先ＶＰＮ_kを識別するためのアドレスは（２−１２）式であるので、上記（２−１０）式は、これらが一意となるように決定しなければならないことを表す。

また、「（２´）ＶＲＦ側からルーティングが可能であること」を検討すると、（２´）の条件は、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、すなわち、「ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「ＶＰＮ間接続に属する各ＶＰＮ配下の端末を広域ネットワーク内で識別するためのアドレスを、該ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ間接続として制御され得る端末の中で一意となるように決定しなければならない」という条件となる。

上記変数を用いて表すと、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、（２−１３）式となる。すなわち、例えば、ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮが、ＶＰＮ_i及びＶＰＮ_jであるとする（ｉ≠ｊ）。すると、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（２−１４）式であり、ＶＰＮ_jを識別するためのアドレスは（２−１５）式であるので、上記（２−１３）式は、これらが一意となるように決定しなければならないことを表す。

ここで、注目すべきは、（２−１０）式は、各ＶＰＮ内にて一意にアドレスを決定することを表しており、（２−１３）式は、各ＶＲＦ内にて一意にアドレスを決定することを表しており、（２−１０）式の条件と（２−１３）式の条件とが独立の条件となっている点である。すなわち、アドレス変換にＴｗｉｃｅ−ＮＡＴを用いる場合、ＮＡＴ装置は、送信元のアドレス及び宛先のアドレスを変換するので、ＮＡＴ装置を境界として、拠点側のアドレス体系と、広域ネットワーク側のアドレス体系とを、独立させることができる。この結果、（１´）の条件と（２´）の条件とが独立の条件となる。したがって、例えば、拠点側のアドレス体系をＩＰ（Internet Protocol）ｖ４とし、広域ネットワーク側のアドレス体系をＩＰｖ６とすることも可能である。

このようなことから、例えば、ＶＰＮ₁が同時にアクセスする可能性があるＶＲＦ（群）と、ＶＰＮ₂が同時にアクセスする可能性があるＶＲＦ（群）とが一部でも重複した場合、ＶＰＮ₁とＶＰＮ₂とが同時にアクセスする可能性があるＶＲＦ（群）で、（１´）の条件と（２´）の条件とを完全に独立に考えることができる。また、あるひと組のＶＰＮが、異なるＶＲＦに同時にアクセスする（多重帰属する）場合、（１´）の条件から、一方のＶＰＮにおいて、接続対象である他ＶＰＮ配下の一つの端末に、経由するＶＲＦの違いによって、異なるアドレスが対応付けられることになる。

また、オンデマンドなＶＰＮ間接続サービスにおいて、ＶＲＦは、時限的に生成消滅を繰り返すが、複数に同時にアクセスする可能性があるＶＲＦ間での整合性まで考慮する必要がないので、アドレス管理の困難さやアドレスの枯渇といったおそれも解消する。

［アドレス決定方式のフローチャート］
次に、図８を用いて、上述したアドレス決定方式のフローチャートを説明する。図８は、実施例２におけるアドレス決定方式の処理手順を示すフローチャートである。なお、時刻ｔ１〜ｔ２の間に、ＶＲＦ_mにＶＰＮ_jを収容する例を用いて説明する。

上述したように、（２´）の条件は、各ＶＲＦにて判断される条件である。このため、新規にＶＲＦを構築する場合には、必ずアドレスの払い出しが可能である。一方、既に構築されたＶＲＦに新たにＶＰＮを収容する場合には、空きのアドレスが存在する場合にのみアドレスの払い出しが可能である。このようなことから、図８に例示するように、アドレス決定装置は、まず、新規にＶＲＦを構築するか否かを判断する（ステップＳ１１）。

新規にＶＲＦを構築する場合（ステップＳ１１肯定）、アドレス決定装置は、ＶＲＦ_mにて接続先ＶＰＮ_jを識別するアドレス（３−１）式を決定する（ステップＳ１２）。

続いて、アドレス決定装置は、時刻ｔ１〜ｔ２の間に、ＶＲＦ_mに収容された他のＶＰＮ_i（ｉ≠ｊ）内部で、（３−２）式を満たす（３−３）式が存在するかを判定する（ステップＳ１３）。

そして、存在すると判定した場合には（ステップＳ１３肯定）、払い出し可能であるので（ステップＳ１４）、アドレス決定装置は、（３−３）式を決定する（ステップＳ１５）。一方、存在しないと判定した場合には（ステップＳ１３否定）、払い出し不可であるので（ステップＳ１６）、アドレス決定装置は、エラー応答を行う（ステップＳ１７）。

一方、ステップＳ１１において、既に構築されたＶＲＦに新たにＶＰＮを収容する場合には（ステップＳ１１否定）、アドレス決定装置は、時刻ｔ１〜ｔ２の間に、ＶＲＦ_m内部で、（３−４）式を満たす（３−５）式が存在するかを判定する（ステップＳ１８）。

存在すると判定した場合には（ステップＳ１８肯定）、続いて、アドレス決定装置は、時刻ｔ１〜ｔ２の間に、ＶＲＦ_mに収容された他のＶＰＮ_i（ｉ≠ｊ）内部で、（３−６）式を満たす（３−７）式が存在するかを判定する（ステップＳ１９）。

そして、存在すると判定した場合には（ステップＳ１９肯定）、払い出し可能であるので（ステップＳ２０）、アドレス決定装置は、（３−８）式及び（３−９）式を決定する（ステップＳ２１）。一方、ステップＳ１８において存在しないと判定した場合（ステップＳ１８否定）、及び、ステップＳ１９において存在しないと判定した場合には（ステップＳ１９否定）、払い出し不可であるので（ステップＳ２２）、アドレス決定装置は、エラー応答を行う（ステップＳ２３）。

このように、（１´）の条件と（２´）の条件とを、独立に、無関係に、逐次的に検討することができるので、アドレスを決定するアルゴリズムは簡素化される。

［アドレス決定方式の具体例］
次に、図９〜１１を用いて、アドレス決定方式の具体例を説明する。図９及び図１０は、アドレス決定方式の具体例を説明するための図であり、図１１は、アドレス決定の考え方を説明するための図である。まず、図９に例示するように、『Ａ社』は、『ＶＰＮ１』に属する拠点であり、既にＶＰＮ間接続サービスを利用している。また、『Ａ社』は、ＶＰＮ間接続サービスの契約時に、ＶＰＮ間接続管理システムに拠点内アドレスを登録済みである。ＶＰＮ間接続管理システムが、『Ａ社』が利用できるアドレスのうち、『Ａ社』内で利用していないアドレスをＶＰＮ間接続用に割り当てるためである。すなわち、拠点内アドレスとは、『Ａ社』にて用いられているプライベートアドレスであり、『Ａ社』にて既に用いられているか、あるいは将来用いられる可能性があるプライベートアドレスとして管理されているものである。拠点内アドレスは、各拠点において任意に用いられているプライベートアドレスであるので、拠点間で重複する可能性がある。

また、『ＶＰＮ１』は、仮想ルータ『ＶＲＦ１』及び『ＶＲＦ２』に接続している。また、仮想ルータ『ＶＲＦ１』では、『ＶＰＮ１』以外に２本のＶＰＮが接続され、仮想ルータ『ＶＲＦ２』では、『ＶＰＮ１』以外に３本のＶＰＮが接続されている。

『Ａ社』は、『ＶＰＮ１』経由で『ＶＲＦ１』及び『ＶＲＦ２』に接続している。このとき、『ＶＰＮ終端装置１』のルーティングテーブルには、『ＶＲＦ１』向けに２ルート、『ＶＲＦ２』向けに３ルートのルーティング情報が記載されている。また、それぞれ、『Ａ社』が社内で利用していないプライベートアドレスが利用されている。『Ａ社』で利用しているプライベートアドレスは事前に登録されているので、ＶＰＮ間接続管理システムは、この登録内容を用いて、利用していないプライベートアドレスを求めることができるのである。なお、『ＶＰＮ終端装置１』が各ＶＲＦへルーティングを行うためには、この５ルートは独立している必要がある。

『Ａ社』が新たに仮想ルータを追加する（『ＶＲＦ３』）。『ＶＲＦ３』には、『ＶＰＮ１』以外に１本のＶＰＮが接続される。このため、『Ａ社』の『ＶＰＮ終端装置１』から『ＶＲＦ３』向けに１ルート追加される。追加される１ルートには、以下の条件を両方満たすアドレスを割り当てなければならない。

すなわち、（１）『Ａ社』内で利用していないプライベートアドレス、（２）ＶＲＦ向けルートとして利用していないプライベートアドレスの条件である。今回は、『ＶＲＦ１』向けの２ルートと『ＶＲＦ２』向けの３ルート以外が対象となる。ここで、図１０のａは、『Ａ社』が利用できるアドレス全体を示す。また、図１０のｂは、『Ａ社』内で利用しているプライベートアドレスを示し、ＶＰＮ間接続システムの利用とは関係なく『Ａ社』内で利用しているプライベートアドレスである。また、図１０のｃは、ＶＲＦ向けルートとして利用しているプライベートアドレスを示し、ＶＰＮ間接続システム用としてＶＰＮ間接続管理システムが『Ａ社』に既に払い出した（または予約した）プライベートアドレスである。上記２条件を満たすことができるアドレス（図１０のｄ（＝ａ−（ｂ＋ｃ））がなければ、新規にアドレスを割り当てることはできず、ＶＰＮ間接続管理システムは、払い出し不可のエラー応答を返すなどする。

なお、ＶＰＮ間接続管理システムは、アドレスを決定する際、ＶＰＮ間接続サービス利用のために未だ予約されていないアドレス、かつ利用中でないアドレスを探索して決定する。すなわち、アドレス空間は一次元量である。したがって、ＶＰＮ間接続管理システムは、図１１に例示するように、予約時間帯について、未だ予約されていないアドレスを探索し、探索したアドレスを、当該予約時間帯にＶＰＮ間接続サービスを利用するためのアドレスとして決定する。

例えば、図１１を用いて説明すると、ＶＰＮ間接続サービスの予約を受け付けた時点において、あるＶＰＮにおいて、ｔ１〜ｔ１´の時間帯にサブネットマスク２４ビットのアドレス帯が一つ（１ルート分、接続先となる他ＶＰＮは１つ）予約されているとする。また、ｔ２〜ｔ２´の時間帯にサブネットマスク２４ビットのアドレス帯が二つ（２ルート分接続先となる他ＶＰＮは２つ）予約されているとする。また、ｔ３〜ｔ３´の時間帯にサブネットマスク２４ビットのアドレス帯が一つ（１ルート分、接続先となる他ＶＰＮは１つ）予約されているとする。なお、図１１においては、既に予約されたアドレス帯を実線で示す。

ここで、新たな予約のために、ｔ４〜ｔ４´の時間帯に、３ルート分のアドレス帯を払い出さなければならなくなったとする。すると、ＶＰＮ間接続管理システムは、図１１に示すように、ｔ４〜ｔ４´の時間帯について、未だ予約されていないサブネットマスク２４ビットのアドレス帯三つを、ｔ４〜ｔ４´の時間帯にＶＰＮ間接続サービスを利用するためのアドレスとして決定する。なお、図１１においては、新たな予約のためのアドレス帯を点線で示す。

なお、以下に説明するように、実施例２におけるＶＰＮ間接続管理システム１００は、プライベートアドレス全体を、ＶＰＮ間接続サービスに利用することができるアドレスとして管理している。そして、ＶＰＮ間接続管理システム１００は、既に予約されたアドレスを時間軸上で探索し、プライベートアドレス全体のうち、既に予約されたアドレスとして探索されたアドレス以外のアドレスであって、かつ、拠点内で用いられているプライベートアドレス、各機器のインタフェース用として割り当てられたアドレス以外のアドレスを、新たに払い出すアドレスとして決定する。

例えば、ＶＰＮ間接続管理システム１００は、ＶＰＮ間接続を識別する情報と、ＶＰＮ間接続に属するＶＰＮを識別する情報と、既に予約されたアドレスとを対応付けて記憶部に記憶し、また、プライベートアドレス全体と、拠点内で用いられているプライベートアドレスと、各機器のインタフェース用として割り当てられたアドレスとを記憶部に記憶していてもよい。そして、ＶＰＮ間接続管理システム１００は、ＶＰＮ間接続を要求するＶＰＮ間接続要求を受け付けると、この記憶部を検索することで、新たに払い出すアドレスを決定する。また、このとき、ＶＰＮ間接続管理システム１００は、プライベートアドレス全体のうち、例えば、アドレスの昇順で空きのアドレスから決定する、あるいは、降順で空きのアドレスから決定する、あるいは、ランダムで決定することができる。また、サブネットマスク２４ビットに限られず、例えばサブネットマスク３２ビットのアドレスを払い出してもよい。すなわち、サブネットマスクに何ら制限はない。

［実施例２におけるアドレス変換情報、ルーティング情報の設定例］
次に、図１２〜１５を用いて、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明する。図１２〜１５は、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明するための図である。なお、以下の説明は、ある端末からある端末宛に送出されたパケットがどの装置でどのようにアドレス変換されるかを検討することで、ＶＰＮ間接続管理システム１００が決定するアドレスについて、具体的な値を用いて説明するものである。したがって、以下の説明は、必ずしも処理の順番や設定の順番を示すものではない。

まず、図１２を用いて、想定するネットワーク構成を説明する。図１２に例示するように、拠点『Ａ社』の端末αと、拠点『Ｂ社』の端末βとをＶＰＮ間接続するサービスを提供することで、拠点『Ａ社』と『Ｂ社』との協働空間を提供する事例を想定する。図１２に例示するように、拠点『Ａ社』の接続先ＩＤは『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』であり、端末αの拠点内アドレスは、『１９２．１６８．１．１０／２４』である。また、拠点『Ｂ社』の接続先ＩＤは『ＵｓｅｒＢ−Ｏｆｆｉｃｅ』であり、端末βの拠点内アドレスは、『１９２．１６８．１．１０／２４』である。

ここで、拠点内アドレスは、各拠点において任意に用いられているプライベートアドレスであるので、拠点間で重複する可能性がある。例えば、図１２に例示するように、端末αの拠点内アドレス『１９２．１６８．１．１０／２４』と、端末βの拠点内アドレス『１９２．１６８．１．１０／２４』とは、サブネットが重複し、拠点内アドレスが重複している。以下に説明するように、ＶＰＮ間接続管理システムは、拠点においてはその拠点内アドレスがそのまま用いられるように、アドレスを決定し、払い出す。

なお、図１２に例示するように、拠点『Ａ社』は、『ＶＰＮ終端装置１』に収容され、拠点『Ｂ社』は、『ＶＰＮ終端装置２』に収容される。また、図１２に例示するように、『ＶＰＮ終端装置１』及び『ＶＰＮ終端装置２』は、『集合仮想ルータ１』に収容される。また、図１２に例示するように、『ＶＰＮ終端装置１』と『集合仮想ルータ１』との間に設置されるＮＡＴ装置は『ＮＡＴ装置１』であり、『ＶＰＮ終端装置２』と『集合仮想ルータ１』との間に設置されるＮＡＴ装置は『ＮＡＴ装置２』である。また、図１３に例示するように、『集合仮想ルータ１』には、拠点『Ａ社』の端末αと、拠点『Ｂ社』の端末βとをＶＰＮ間接続するために、仮想ルータ（『ｖｒｆ１』）が構築される。

ここで、ＮＡＴ装置においては、Ｔｗｉｃｅ−ＮＡＴによるアドレス変換が行われる。具体的には、ＮＡＴ装置は、送信元アドレス及び宛先アドレス両方の変換を行う。このため、拠点『Ａ社』、拠点『Ｂ社』、仮想ルータ（『ｖｒｆ１』）それぞれのアドレスは、他の領域には通知されず、各領域でのみ利用することとなり、各領域内で独自のアドレスを割り当てることができる。なお、ルーティング条件を満たすために、拠点内アドレス以外のアドレスを変換用アドレスとして利用する。また、アドレス変換は、アドレス単位の変換でもサブネット単位の変換でも可能であるが、以下では、アドレス単位の変換を想定して説明する。

なお、仮想ルータに設定されるアドレスは、拠点『Ａ社』や『Ｂ社』といったユーザの拠点や、他の仮想ルータに通知されないので、独自のアドレス体系を利用することができる。このため、ＩＰｖ６アドレスを利用してもよい。

実施例２に係るＶＰＮ間接続管理システム１００の処理概要を説明すると、ＶＰＮ間接続管理システム１００は、（１）拠点『Ａ社』の端末αと、拠点『Ｂ社』の端末βとをＶＰＮ間接続することを要求するＶＰＮ間接続要求を受け付け、（２）端末αと端末βとをＶＰＮ間接続するための仮想ルータを『集合仮想ルータ１』に構築し、（３）端末αと端末βとの間の通信において行われるアドレス変換のためのアドレス変換情報を生成し、（４）生成したアドレス変換情報に基づき、各機器（『集合仮想ルータ１』、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＮＡＴ装置１』、『ＮＡＴ装置２』）に設定するルーティング情報を生成し、（５）ＶＰＮ間接続サービスを開始する時刻までに各機器に対する設定（『集合仮想ルータ１』、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＮＡＴ装置１』、『ＮＡＴ装置２』に対するルーティング情報の設定、『ＮＡＴ装置１』、『ＮＡＴ装置２』に対するアドレス変換情報の設定）を実行し、（６）ＶＰＮ間接続サービスを終了する時刻になると各機器に対して行った設定を削除する、というものである。なお、必ずしも（１）〜（６）の処理全てが実行されなければならないものではなく、また、（１）〜（６）は、必ずしも処理の順番を規定するものでもない。

（３）のアドレス変換情報の生成についてさらに説明する。ＶＰＮ間接続管理システム１００（特にアドレス決定装置）は、通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス、及び、ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するためのアドレスを決定し、アドレス変換情報を生成する。

例えば、図１２において拠点『Ａ社』に着目した場合、「通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス」とは、端末βを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、端末βを識別するためのアドレス（以下「端末βの第一アドレス」）を決定する。

また、例えば、図１２において拠点『Ｂ社』に着目した場合、「通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス」とは、端末αを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、端末αを識別するためのアドレス（以下「端末αの第一アドレス」）を決定する。

一方、「ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するアドレス」は、端末αを識別するためのアドレス及び端末βを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、端末αを識別するためのアドレス（以下「端末αの第二アドレス」）及び端末βを識別するためのアドレス（以下「端末βの第二アドレス」）を決定する。続いて、ＶＰＮ間接続管理システム１００は、アドレス変換情報を生成する。アドレス変換情報は、『ＮＡＴ装置１』に着目した場合、端末αの拠点内アドレスと端末αの第二アドレスとの間の変換、及び、端末βの第一アドレスと端末βの第二アドレスとの間の変換を規定する。また、『ＮＡＴ装置２』に着目した場合、端末βの拠点内アドレスと端末βの第二アドレスとの間の変換、及び、端末αの第一アドレスと端末αの第二アドレスとの間の変換を規定する。

このようなアドレス変換情報が生成され、生成されたアドレス変換情報が各ＮＡＴ装置に設定され、各ＮＡＴ装置が、設定されたアドレス変換情報に従ってアドレス変換を行い、各ＶＰＮ終端装置や仮想ルータが、設定されたルーティング情報に従ってパケットを転送することにより、端末αと端末βとの間の通信は実現する。以下、ＮＡＴ装置においてパケットのアドレス変換がどのように行われるかに着目しながら説明する。

ＶＰＮ間接続管理システム１００は、図１３に例示するように、拠点『Ａ社』の端末αと、拠点『Ｂ社』の端末βとをＶＰＮ間接続するための仮想ルータ『ｖｒｆ１』を、集合仮想ルータ１に構築したと仮定する。

図１３を用いて、『端末α』から『端末β』への通信を例に検討する。『端末α』が送出したパケットは、『ＶＰＮ終端装置１』→『ＮＡＴ装置１』→『仮想ルータ（ｖｒｆ１）』→『ＮＡＴ装置２』→『ＶＰＮ終端装置２』→『端末β』のように転送され、『ＮＡＴ装置１』及び『ＮＡＴ装置２』それぞれにおいて、アドレス変換が行われる。このため、『端末β』からみえる『端末α』のアドレスは、アドレス変換を２回行った後のアドレスとなる。なお、『端末α』からみえる『端末β』のアドレスも同様に、アドレス変換を２回行った後のアドレスとなる。一方、仮想ルータ内では、『ＮＡＴ装置１』又は『ＮＡＴ装置２』のいずれかを通過したところであるので、アドレス変換を１回行ったアドレスとなる。

『ＮＡＴ装置１』までの通信について検討すると、『端末α』（１９２．１６８．１．１０／２４）は、『端末β』宛にパケットを送出する。ここで、『端末β』の第一アドレスには、『Ａ社』内で使用していないプライベートアドレスを割り当てる必要がある。『ＶＰＮ終端装置１』で、仮想ルータ『ｖｒｆ１』側にルーティングする必要があるからである。そこで、ここでは、『端末β』の第一アドレス（『端末α』からみえる『端末β』のアドレス）を『１７２．１６．２．１０／２４』とする。

『ＮＡＴ装置１』は、ユーザ『Ａ社』側のアドレスを仮想ルータ『ｖｒｆ１』側のアドレスに変換する。Ｔｗｉｃｅ−ＮＡＴを利用するので、仮想ルータ側のアドレスがそのままユーザ側に通知されることはない。仮想ルータ側のアドレスは、各仮想ルータ内でルーティングができる状態であればよい。なお、同一仮想ルータ内でアドレスを重複することはできない。そこで、ここでは、仮想ルータ『ｖｒｆ１』側のアドレスとして、『端末α』の第二アドレスを『１０．０．１．１０／２４』、『端末β』の第二アドレスを『１０．０．２．１０／２４』とする。すなわち、送信元である『端末α』の拠点内アドレス『１９２．１６８．１．１０／２４』は、『端末α』の第二アドレス『１０．０．１．１０／２４』に変換され、宛先である『端末β』の第一アドレス『１７２．１６．２．１０／２４』は、『端末β』の第二アドレス『１０．０．２．１０／２４』に変換される。

次に、仮想ルータ『ｖｒｆ１』側のアドレス（第二アドレス）に変換されたパケットは、仮想ルータ『ｖｒｆ１』内でルーティングされる。すると、『端末β』宛のパケットは、『ＮＡＴ装置２』に転送される。『ＮＡＴ装置２』に届いた『端末β』宛のパケットは、２回目のアドレス変換が行われる。すなわち、宛先である『端末β』の第二アドレス『１０．０．２．１０／２４』は、『端末β』の拠点内アドレス『１９２．１６８．１．１０／２４』に変換される。

一方、送信元のアドレス（『端末α』の第二アドレス）は、『端末β』からみた『端末α』のアドレス（拠点『Ｂ社』における『端末α』の第一アドレス）に変換される。この『端末α』の第一アドレスは、『Ａ社』内で『端末β』に割り当てたときと同様の考え方で決定される。例えば、『端末α』の第一アドレスを『１７２．１６．１．１０／２４』とする。すると、送信元である『端末α』の第二アドレス『１０．０．１．１０／２４』は、『端末α』の第一アドレス『１７２．１６．１．１０／２４』に変換され、このようなアドレス変換の結果、『端末α』が送出したパケットは、『端末β』に送信される。なお、『端末β』が、『１７２．１６．１．１０／２４』を宛先とするパケットを送出すると、パケットは、『端末α』に送信される。

なお、ＶＰＮ間接続管理システムは、自己の配下に所属するＮＡＴ装置全てのアドレス変換テーブルを管理するが、個々のＮＡＴ装置には、該当するアドレス変換テーブルのみを送信する。また、ＶＰＮ間接続管理システムは、仮想ルータに対しても、必要な情報のみを提供する。すなわち、ＶＰＮ間接続管理システムは、集合仮想ルータに対しては、仮想ルータ『ｖｒｆ１』内で利用される端末のアドレスのみを送信する（例えば『端末α』＝１０．０．１．１０、『端末β』＝１０．０．２．１０という情報）。

次に、図１４及び図１５を用いて、既存の仮想ルータにＶＰＮを追加収容する例を説明する。図１４に例示するように、仮想ルータ『ｖｒｆ１』に『Ｃ社』を追加するとする。なお、『Ｃ社』は、既に『ＶＰＮ３』を利用して『端末δ』（１９２．１６８．１．２０／２４）が仮想ルータ『ｖｒｆ２』と接続している。今回、仮想ルータ『ｖｒｆ１』に追加接続するのは『端末γ』（１９２．１６８．１．１０／２４）である。

同様に、実施例２に係るＶＰＮ間接続管理システム１００の処理概要を説明すると、ＶＰＮ間接続管理システム１００は、（１）拠点『Ｃ社』の端末γを、拠点『Ａ社』の端末αと拠点『Ｂ社』の端末βとのＶＰＮ間接続に追加することを要求するＶＰＮ間接続要求を受け付け、（２）端末αと端末γとの間の通信において行われるアドレス変換のためのアドレス変換情報、及び、端末βと端末γとの間の通信において行われるアドレス変換のためのアドレス変換情報を生成し、（３）生成したアドレス変換情報に基づき、各機器（『集合仮想ルータ１』、『ＶＰＮ終端装置３』、『ＮＡＴ装置３』）に設定するルーティング情報を生成し、（４）ＶＰＮ間接続サービスを開始する時刻までに各機器に対する設定（『集合仮想ルータ１』、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＶＰＮ終端装置３』、『ＮＡＴ装置１』、『ＮＡＴ装置２』、『ＮＡＴ装置３』に対するルーティング情報の設定、『ＮＡＴ装置１』、『ＮＡＴ装置２』、『ＮＡＴ装置３』に対するアドレス変換情報の設定）を実行し、（５）ＶＰＮ間接続サービスを終了する時刻になると各機器に対して行った設定を削除する、というものである。なお、必ずしも（１）〜（５）の処理全てが実行されなければならないものではなく、また、（１）〜（５）は、必ずしも処理の順番を規定するものでもない。

（２）のアドレス変換情報の生成についてさらに説明する。ＶＰＮ間接続管理システム１００（特にアドレス決定装置）は、通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス、及び、ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するアドレスを決定し、アドレス変換情報を生成する。

例えば、図１４において拠点『Ｃ社』に着目した場合、「通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス」とは、端末α及び端末βを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、端末αを識別するためのアドレス（「Ｃ社における端末αの第一アドレス」）及び端末βを識別するためのアドレス（以下「Ｃ社における端末βの第一アドレス」）を決定する。

また、例えば、図１４において拠点『Ａ社』に着目した場合、「通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス」として新たに追加すべきアドレスは、端末γを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、拠点『Ａ社』にて端末γを識別するためのアドレス（「Ａ社における端末γの第一アドレス」）を決定する。

また、例えば、図１４において拠点『Ｂ社』に着目した場合、「通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス」として新たに追加すべきアドレスは、端末γを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、拠点『Ｂ社』にて端末γを識別するためのアドレス（「Ｂ社における端末γの第一アドレス」）を決定する。

一方、「ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するアドレス」としては、端末γを識別するためのアドレス（端末γの第二アドレス）が新たに追加される。『端末γ』に関しては、まだ仮想ルータ『ｖｒｆ１』内で管理されていないため、新たにアドレスが割り当てられるのである。割り当てられるアドレスの条件としては、仮想ルータ『ｖｒｆ１』内で利用していないアドレスであればよい。拠点『Ｃ社』は、複数の仮想ルータと接続しているが、各仮想ルータ内のアドレスは、拠点や他の仮想ルータに通知されないので、同一仮想ルータ内で重複しなければ問題は発生しないからである。そこで、ここでは、『端末γ』の第二アドレスを『１０．０．３．１０／２４』とする。

続いて、ＶＰＮ間接続管理システム１００は、アドレス変換情報を生成する。アドレス変換情報は、『ＮＡＴ装置３』に着目した場合、端末γの拠点内アドレスと端末γの第二アドレスとの間の変換、Ｃ社内における端末αの第一アドレスと端末αの第二アドレスとの間の変換、及び、Ｃ社内における端末βの第一アドレスと端末βの第二アドレスとの間の変換を規定する。また、『ＮＡＴ装置１』に着目した場合、Ａ社内における端末γの第一アドレスと端末γの第二アドレスとの間の変換をさらに規定する。また、『ＮＡＴ装置２』に着目した場合、Ｂ社内における端末γの第一アドレスと端末γの第二アドレスとの間の変換をさらに規定する。

このようなアドレス変換情報が生成され、生成されたアドレス変換情報が各ＮＡＴ装置に設定され、各ＮＡＴ装置が、設定されたアドレス変換情報に従ってアドレス変換を行い、各ＶＰＮ終端装置や仮想ルータが、設定されたルーティング情報に従ってパケットを転送することにより、端末αと端末γとの間の通信、端末βと端末γとの間の通信は実現する。以下、ＮＡＴ装置においてパケットのアドレス変換がどのように行われるかに着目しながら説明する。

図１５を用いて、『端末γ』から『端末α』への通信を例に検討する。『端末γ』が送出したパケットは、『ＶＰＮ終端装置３』→『ＮＡＴ装置３』→『仮想ルータ（ｖｒｆ１）』→『ＮＡＴ装置１』→『ＶＰＮ終端装置１』→『端末α』のように転送され、『ＮＡＴ装置３』及び『ＮＡＴ装置１』それぞれにおいて、アドレス変換が行われる。このため、『端末α』からみえる『端末γ』のアドレスは、アドレス変換を２回行った後のアドレスとなる。なお、『端末γ』からみえる『端末α』のアドレスも同様に、アドレス変換を２回行った後のアドレスとなる。一方、仮想ルータ内では、『ＮＡＴ装置３』又は『ＮＡＴ装置１』のいずれかを通過したところであるので、アドレス変換を１回行ったアドレスとなる。

『ＮＡＴ装置３』までの通信について検討すると、『端末γ』（１９２．１６８．１．１０／２４）は、『端末α』宛にパケットを送出する。ここで、『端末α』の第一アドレスには、『Ｃ社』内で使用していないプライベートアドレスを割り当てる必要がある。『Ｃ社』内では、すでに『端末δ』が仮想ルータ『ｖｒｆ２』経由で『Ｄ社』と通信を行っており、『Ｄ社』との通信用に『Ｃ社』内で使用していないプライベートアドレスを使用している。このため、『端末α』用に割り当てる第一アドレスは、『Ｃ社』内で利用していないかつ『Ｄ社』との通信用に割り当てていないアドレスを選択する。『ＶＰＮ終端装置３』で、仮想ルータ『ｖｒｆ１』側にルーティングする必要があり、かつ、どの仮想ルータへルーティングするか区別するためである。そこで、ここでは、『端末α』の第一アドレス（『端末γ』からみえる『端末α』のアドレス）を『１７２．１６．１．１０／２４』とする（『Ｄ社』との通信に割り当てたアドレスは、『１７２．１６．４．１０／２４』とする）。

『ＮＡＴ装置３』は、ユーザ『Ｃ社』側のアドレスを仮想ルータ『ｖｒｆ１』側のアドレスに変換する。すなわち、送信元である『端末γ』の拠点内アドレス『１９２．１６８．１．１０／２４』は、『端末γ』の第二アドレス『１０．０．３．１０／２４』に変換され、宛先である『端末α』の第一アドレス『１７２．１６．１．１０／２４』は、『端末α』の第二アドレス『１０．０．１．１０／２４』に変換される。

次に、仮想ルータ『ｖｒｆ１』側のアドレス（第二アドレス）に変換されたパケットは、仮想ルータ『ｖｒｆ１』内でルーティングされる。すると、『端末α』宛のパケットは、『ＮＡＴ装置１』に転送される。『ＮＡＴ装置１』に届いた『端末α』宛のパケットは、２回目のアドレス変換が行われる。すなわち、宛先である『端末α』の第二アドレス『１０．０．１．１０／２４』は、『端末α』の拠点内アドレス『１９２．１６８．１．１０／２４』に変換される。

一方、送信元のアドレス（『端末γ』の第二アドレス）は、『端末α』からみた『端末γ』のアドレス（拠点『Ａ社』における『端末γ』の第一アドレス）に変換される。例えば、『端末γ』の第一アドレスを『１７２．１６．３．１０／２４』とする。すると、送信元である『端末γ』の第二アドレス『１０．０．３．１０／２４』は、『端末γ』の第一アドレス『１７２．１６．３．１０／２４』に変換され、このようなアドレス変換の結果、『端末γ』が送出したパケットは、『端末α』に送信される。なお、『端末α』が、『１７２．１６．３．１０／２４』を宛先とするパケットを送出すると、パケットは、『端末γ』に送信される。

［実施例２に係るＶＰＮ間接続管理システムの構成］
次に、実施例２に係るＶＰＮ間接続管理システム１００の構成を説明する。なお、実施例２に係るＶＰＮ間接続管理システム１００は、各機器のインタフェースに割り当てるためのアドレスを、ある一定量を見込んで予め確保しており、変換用アドレスの決定を行う際に、各機器のインタフェースに設定されるアドレスについても具体的に決定する。そこで、実施例２において、変換用のアドレスは、各機器のインタフェースに割り当てるためのアドレスとして予め確保されたアドレスとも重複しないように決定される。なお、本発明はこの手法に限られず、各機器のインタフェースに設定されるアドレスが予め確保されておらず、その都度動的に選択されて決定される場合には、ＶＰＮ間接続管理システム１００は、変換用アドレスの決定を行う際に、各機器のインタフェースに設定されるアドレスとして予約されたアドレス、あるいは、各機器のインタフェースに設定されているアドレス（利用中のアドレス）とも重複しないように決定すればよい。まず、図１６を用いて、実施例２において各機器のインタフェースに割り当てられるアドレスを説明する。図１６は、実施例２において各機器のインタフェースに割り当てられるアドレスを説明するための図である。

まず、仮想ルータ『ｖｒｆ１』のインタフェースアドレスとしては、「１０．０．１０．９７」（『ＮＡＴ装置１』側）、及び、「１０．０．２０．９７」（『ＮＡＴ装置２』側）が用いられる。また、『ＮＡＴ装置１』のインタフェースアドレスとしては、「１０．０．１０．９８」（仮想ルータ『ｖｒｆ１』側）、及び、「１９２．１６８．３．２」（『ＶＰＮ終端装置１』側）が用いられる。また、『ＶＰＮ終端装置１』のインタフェースアドレスとしては、「１９２．１６８．３．１」（『ＮＡＴ装置１』側）、及び、「１９２．１６８．２．１」（『Ａ社』側）が用いられる。

一方、『ＮＡＴ装置２』のインタフェースアドレスとしては、「１０．０．２０．９８」（仮想ルータ『ｖｒｆ１』側）、及び、「１９２．１６８．３．２」（『ＶＰＮ終端装置２』側）が用いられる。また、『ＶＰＮ終端装置２』のインタフェースアドレスとしては、「１９２．１６８．３．１」（『ＮＡＴ装置１』側）、及び、「１９２．１６８．２．１」（『Ｂ社』側）が用いられる。

次に、実施例２に係るＶＰＮ間接続管理システム１００の構成を説明する。図１７は、実施例２に係るＶＰＮ間接続管理システム１００の構成を示すブロック図である。図１７に例示するように、実施例２に係るＶＰＮ間接続管理システム１００は、通信部１１０と、入力部１１１と、出力部１１２と、入出力制御Ｉ／Ｆ部１１３と、記憶部１２０と、制御部１３０とを備える。なお、図５に例示したＤＮＳ登録装置は、後述するＶＰＮ間接続情報記憶部１２１、ＤＮＳ登録情報記憶部１２６、ＤＮＳ登録情報生成部１３７及びＤＮＳ登録部１３８に対応する。

通信部１１０は、例えばＩＰ通信用の一般的なインタフェースなどであり、アドレス変換情報やルーティング情報の設定対象となるＶＰＮ終端装置、ＮＡＴ装置及び集合仮想ルータとの間で通信を行う。また、通信部１１０は、ＤＮＳ登録情報の設定対象となる広域ネットワークＤＮＳ装置との間で通信を行う。なお、ＶＰＮ間接続管理システム１００は、通信部１１０を介して他の管理端末やユーザ用のＷｅｂサーバなどとの間で通信を行うこともでき、他の管理端末やユーザ用のＷｅｂサーバなどからＶＰＮ間接続要求を受信することもできる。

入力部１１１は、例えばキーボードやマウスなどであり、各種操作の入力などを受け付ける。実施例２において、入力部１１１は、例えば、ＶＰＮ間接続要求の入力をキーボードやマウスによって受け付ける。出力部１１２は、例えばディスプレイなどであり、各種操作のための情報などを出力する。実施例２において、出力部１１２は、例えば、ＶＰＮ間接続要求の入力画面を出力する。入出力制御Ｉ／Ｆ（Interface）部１１３は、入力部１１１と、出力部１１２と、記憶部１２０と、制御部１３０との間における入出力を制御する。なお、ＶＰＮ間接続管理システム１００は、必ずしも入力部１１１や出力部１１２を備える必要はなく、例えば、通信部１１０を介して他の管理端末やユーザ用のＷｅｂサーバと通信を行い、入出力に係る情報を送受信してもよい。

記憶部１２０は、例えばＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ（flash memory）などの半導体メモリ素子、ハードディスク、光ディスクなどであり、各種情報を記憶する。具体的には、記憶部１２０は、図１７に例示するように、ＶＰＮ間接続情報記憶部１２１と、設定パターン記憶部１２２と、ＶＰＮ間接続要求記憶部１２３と、アドレス変換情報記憶部１２４と、ルーティング情報記憶部１２５と、ＤＮＳ登録情報記憶部１２６と、アタッチメント記憶部１２７と、装置情報記憶部１２８とを有する。

ＶＰＮ間接続情報記憶部１２１は、ＶＰＮ間接続情報を記憶する。ここで、ＶＰＮ間接続情報には、拠点を識別する情報や、拠点を収容するＶＰＮ終端装置、ＮＡＴ装置及び集合仮想ルータを識別する情報が含まれる。また、ＶＰＮ間接続情報には、アドレス変換情報やルーティング情報、あるいはＤＮＳ登録情報の作成に用いるその他の情報も含まれる。ＶＰＮ間接続情報記憶部１２１は、例えばＶＰＮ間接続管理システム１００の利用者に入力されることで、ＶＰＮ間接続情報を事前に記憶する。また、ＶＰＮ間接続情報記憶部１２１が記憶するＶＰＮ間接続情報は、後述する仮想ルータ構築部１３２、変換用アドレス決定部１３３、ルーティング情報生成部１３５、ＤＮＳ登録情報生成部１３７による処理などに利用される。なお、ＶＰＮ間接続管理システム１００の「利用者」には、電気通信事業者などの運用者と、企業内の情報システム部などの管理者とが含まれる。すなわち、以下では、「運用者」は、ＶＰＮ間接続サービスの運用担当者を意味し、「管理者」は、例えば企業側で拠点の社内網を管理しているネットワーク管理者などを意味する用語として用いる。

図１８は、ＶＰＮ間接続情報記憶部１２１を説明するための図である。図１８に例示するように、例えば、ＶＰＮ間接続情報記憶部１２１は、ＶＰＮ間接続情報として、集合仮想ルータの識別情報と、集合仮想ルータの設定パターンの識別情報とを対応付けて記憶する。例えば、集合仮想ルータの識別情報『集合仮想ルータ１』と、集合仮想ルータの設定パターンの識別情報『ＶＲ−Ｐ１』とを対応付けて記憶する。『集合仮想ルータ１』によって識別される集合仮想ルータの設定パターンは、『ＶＲ−Ｐ１』によって識別される設定パターンであることを示す。

また、実施例２においては、ＶＰＮ終端装置と集合仮想ルータとは予め対応付けられ、ＶＰＮ終端装置が一意に決定されると、集合仮想ルータも一意に決定される関係にある。すなわち、実施例２においては、物理的に１台の集合仮想ルータと、この集合仮想ルータにおいて一つ又は複数の仮想ルータを設定されるＶＰＮ終端装置とは、予め決定される関係にある（なお、本発明はこれに限られるものではなく、例えば、あるＶＰＮ終端装置が、複数台の集合仮想ルータそれぞれにおいて仮想ルータを設定されることも可能である）。このようなことから、例えば、ＶＰＮ間接続情報記憶部１２１は、図１８に例示するように、集合仮想ルータの識別情報ごとに、拠点を識別する識別情報（接続先ＩＤ（IDentifier））、端末の名称（端末名））と、拠点が用いるＶＰＮ種別と、拠点が収容されるＶＰＮ終端装置の識別情報と、ＶＰＮ終端装置の設定パターンの識別情報と、ＮＡＴ装置の識別情報と、拠点内で用いられるアドレスとして端末に付与された拠点内アドレスとの対応付けのリストを記憶する。

『接続先ＩＤ』は、拠点を識別する識別情報であり、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム１００の運用者によって払い出され、ＶＰＮ間接続情報記憶部１２１に格納される。また、『端末名』は、ＶＰＮ間接続管理システム１００において各拠点配下の端末を識別するための識別情報であるとともに、実施例２においては、この『端末名』をそのままＤＮＳに登録するＤＮＳ登録情報に用いる。『端末名』は、例えばＶＰＮ間接続サービスの契約時などにユーザからヒアリングされ、ＶＰＮ間接続情報記憶部１２１に格納される。

『ＶＰＮ種別』は、例えばＶＰＮ間接続サービスの契約時などにユーザからヒアリングされ、ＶＰＮ間接続情報記憶部１２１に格納される。『ＶＰＮ終端装置』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム１００の運用者によって決定され、ＶＰＮ間接続情報記憶部１２１に格納される。また、『ＶＰＮ終端装置の設定パターン』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム１００の運用者によって決定され、ＶＰＮ間接続情報記憶部１２１に格納される。『ＮＡＴ装置』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム１００の運用者によって決定され、ＶＰＮ間接続情報記憶部１２１に格納される。『拠点内アドレス』は、拠点内で用いられるアドレスとして端末に付与されたアドレスであり、例えばＶＰＮ間接続サービスの契約時などにユーザからヒアリングされ、ＶＰＮ間接続情報記憶部１２１に格納される。

例えば、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』、ＶＰＮ種別『ＯｐｅｎＶＰＮ』、ＶＰＮ終端装置『ＶＰＮ終端装置１』、ＶＰＮ終端装置の設定パターン『ＶＰＮ−Ｐ１』、ＮＡＴ装置『ＮＡＴ装置１』、拠点内アドレス『１９２．１６８．１．１０／２４』の行について説明する。まず、『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点（ＶＰＮ間接続に用いられる端末の端末名は『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』）では、『ＯｐｅｎＶＰＮ』が用いられていることを示す。また、『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点は『ＶＰＮ終端装置１』に収容されること、また、ＶＰＮ終端装置の設定パターンには『ＶＰＮ−Ｐ１』が用いられることを示す。

また、『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点は『ＮＡＴ装置１』に収容されること、また、『１９２．１６８．１．１０／２４』の拠点内アドレスが用いられていることを示す。なお、実施例２においては、各拠点において用いられている拠点内アドレス（プライベートアドレス）が相互に重複する状況を想定する。

図１７に戻り、設定パターン記憶部１２２は、ＶＰＮ終端装置、ＮＡＴ装置、転送制御装置、及び広域ネットワークＤＮＳ装置の設定パターンを記憶する。具体的には、設定パターン記憶部１２２は、ＶＰＮ終端装置に設定すべき設定情報がＶＰＮ間接続の種別に応じて定型化されたＶＰＮ終端装置の設定パターンを記憶する。また、設定パターン記憶部１２２は、集合仮想ルータに設定すべき設定情報がＶＰＮ間接続の種別に応じて定型化された集合仮想ルータの設定パターンを記憶する。また、設定パターン記憶部１２２は、ＮＡＴ装置の設定パターンを記憶する。また、設定パターン記憶部１２２は、広域ネットワークＤＮＳ装置の設定パターンを記憶する。

設定パターン記憶部１２２は、例えばＶＰＮ間接続管理システム１００の運用者に入力されることで、設定パターンを事前に記憶する。また、設定パターン記憶部１２２が記憶する設定パターンは、後述する変換用アドレス決定部１３３やルーティング情報生成部１３５、ＤＮＳ登録情報生成部１３７による処理などに利用される。

図１９は、集合仮想ルータの設定パターンの一例である。図１９に例示するように、例えば、設定パターン記憶部１２２は、集合仮想ルータの設定パターンとして、設定パターンの各項目を管理するための項番と、設定情報を設定内容に応じて区分けする区分と、設定内容と、設定情報の登録タイミングと、削除タイミングと、設定内容の仕様とを対応付けて記憶する。また、図１９に例示する設定パターンの内、項番１〜項番３が、設定情報の設定パターンであり、項番４が、オプション設定情報の設定パターンである。なお、実施例２においては、オプション要求に関する設定情報を一般的な設定情報と区別して用いる場合には、『オプション設定情報』と呼ぶ。また、図１９においては図示を省略するが、設定パターン記憶部１２２は、集合仮想ルータの設定パターンとして、所定のコマンド文をも記憶する。なお、設定パターンは、設定パターンの識別情報によって識別される。

例えば、項番１の行を説明する。区分『仮想ルータ定義』の設定パターンは、ＶＰＮ間接続要求に基づいて仮想的に構築される伝送路（ＶＰＮ）においてパケット転送を制御する「仮想ルータ」を定義するための設定パターンである。設定内容『仮想ルータ名』は、設定される「仮想ルータ」の名称であり、『半角英数字』で設定すべきことが、仕様として規定されている。また、設定内容『仮想ルータＩＤ』は、設定される「仮想ルータ」のＩＤであり、『１６ビット数値』と『３２ビット数値』とを『：（コロン）』で接続した形式で設定すべきことが、仕様として規定されている。なお、仕様は、例えば、該当する機器の製造業者などによって規定され、機器の利用者に提供されるもので、上記は一例であり、これに限定されない。また、登録タイミング『サービス開始直前』は、項番１の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番１の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

また、例えば、項番２の行を説明する。区分『Ｉ／Ｆ設定』の設定パターンは、「仮想ルータ」に設定されるインタフェースの設定パターンである。設定内容『ＩＰアドレス』は、インタフェースに設定するＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきことが、仕様として規定されている。また、設定内容『Ｉ／Ｆの指定』は、インタフェースの指定は『Ｉ／Ｆの種別 数字／数字／数字』の形式で設定すべきことが、仕様として規定されている。また、設定内容『所属仮想ルータ』は、インタフェースを設定する仮想ルータ名を指定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番２の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番２の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

また、例えば、項番３の行を説明する。区分『仮想ルータ単位のルーティング設定』の設定パターンは、「仮想ルータ」に設定されるルーティング情報の設定パターンである。設定内容『ルーティング設定』は、ルーティング情報を設定する仮想ルータ名を指定すべきこと、ルーティング情報のＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番３の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番３の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

また、例えば、項番４の行を説明する。区分『アクセス制御』の設定パターンは、「仮想ルータ」に設定されるアクセス制御の設定パターンである。設定内容『フィルタリング（ＡＣＬ（Access Control List）など）』は、ＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきこと、ポート番号は、数字で設定すべきこと、数字は『１〜６５５３５』の値を設定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番４の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番４の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

図２０は、ＶＰＮ終端装置の設定パターンの一例である。図２０に例示するように、例えば、設定パターン記憶部１２２は、ＶＰＮ終端装置の設定パターンとして、設定パターンの各項目を管理するための項番と、設定情報を区分けする区分と、設定内容と、設定情報の登録タイミングと、削除タイミングと、設定内容の仕様とを対応付けて記憶する。また、図２０に例示する設定パターンの内、項番１が、設定情報の設定パターンであり、項番２が、オプション設定情報の設定パターンである。また、図２０においては図示を省略するが、設定パターン記憶部１２２は、ＶＰＮ終端装置の設定パターンとして、所定のコマンド文をも記憶する。なお、設定パターンは、設定パターンの識別情報によって識別される。

例えば、項番１の行を説明する。区分『ＶＰＮユーザ設定』の設定パターンは、ＶＰＮ間接続要求に基づいてＶＰＮ終端装置に収容する拠点のユーザに関する設定パターンである。設定内容『認証ＩＤ／パスワード』は、拠点のユーザに払い出される認証ＩＤ及びパスワードであり、認証ＩＤ及びパスワードは、『１２８文字以内』の『半角英数字』で設定すべきことが、仕様として規定されている。なお、『認証ＩＤ／パスワード』の替わりにその他の『認証情報』であってもよい。また、登録タイミング『サービス開始直前』は、項番１の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番１の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

また、例えば、項番２の行を説明する。区分『アクセス制御』の設定パターンは、「ＶＰＮ終端装置」に設定されるアクセス制御の設定パターンである。設定内容『フィルタリング（ＡＣＬなど）』は、ＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきこと、ポート番号は、数字で設定すべきこと、数字は『１〜６５５３５』の値を設定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番２の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番２の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

また、図示を省略したが、設定パターン記憶部１２２は、ＮＡＴ装置や広域ネットワークＤＮＳ装置の設定パターンについても同様に記憶する。例えば、設定パターン記憶部１２２は、設定情報の登録タイミングと、削除タイミングと、設定内容の仕様とを対応付けて記憶する。例えば、ＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきことなどが、仕様として規定される。また、例えば、『サービス開始直前』にＮＡＴ装置や広域ネットワークＤＮＳ装置に反映されるべきこと、『サービス終了直後』にＮＡＴ装置や広域ネットワークＤＮＳ装置から削除されるべきことなどが、仕様として規定される。また、設定パターン記憶部１２２は、ＮＡＴ装置や広域ネットワークＤＮＳ装置の設定パターンとして、所定のコマンド文をも記憶する。

なお、上記設定パターンはいずれも一例に過ぎず、ＶＰＮ間接続の種別などによって、設定内容、設定情報の登録タイミング、削除タイミング、設定内容の仕様などは異なってくると考えられる。すなわち、例えば、ＶＰＮ間接続の種別が『Ｌ３ＶＰＮ』であれば、ＶＰＮ間接続先とＶＰＮ間接続元とのＩＰアドレスの組や、ＩＰｓｅｃの動作設定情報（認証方式や暗号化アルゴリズム）、事前秘密共有鍵などの項目も、設定パターンに定型化され得る。また、例えば、ＶＰＮ間接続の種別が『Ｌ２ＶＰＮ』であれば、ＶＰＮ間接続先とＶＰＮ間接続元とのＬ２などのＩＤなどの項目も、設定パターンに定型化され得る。このように、設定パターンは、ＶＰＮ間接続の種別などに応じて適切に定型化される。

図１７に戻り、ＶＰＮ間接続要求記憶部１２３は、ＶＰＮ間接続要求情報を記憶する。ＶＰＮ間接続要求記憶部１２３は、後述するＶＰＮ間接続要求受付部１３１によって格納されることで、ＶＰＮ間接続要求情報を記憶する。また、ＶＰＮ間接続要求記憶部１２３が記憶するＶＰＮ間接続要求情報は、後述する仮想ルータ構築部１３２、変換用アドレス決定部１３３、ルーティング情報生成部１３５による処理などに利用される。

図２１は、ＶＰＮ間接続要求記憶部１２３を説明するための図である。図２１に例示するように、例えば、ＶＰＮ間接続要求記憶部１２３は、ＶＰＮ間接続要求情報として、ＶＰＮ間接続サービスを開始すべきサービス開始時刻と、ＶＰＮ間接続サービスを終了すべきサービス終了時刻と、ＶＰＮ間接続が設定される仮想ルータ名と、ＶＰＮ間接続に収容される拠点（又は拠点のユーザ）を識別する識別情報（端末名）とを対応付けて記憶する。

例えば、サービス開始時刻『ｔ１』と、サービス終了時刻『ｔ３』と、仮想ルータ名『ｖｒｆ１』と、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』及び『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』とを対応付けて記憶する。時刻『ｔ１』から『ｔ３』までの間、『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』と『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』とをＶＰＮ間接続するＶＰＮ間接続要求がなされ、当該ＶＰＮ間接続が設定される仮想ルータ名が『ｖｒｆ１』であることを示す。なお、説明の便宜上、サービス開始時刻やサービス終了時刻を『ｔ１』、『ｔ３』などと記載するが、例えば、『2009/8/21 13:00』といった具体的な年月日や時刻を示す。

図１７に戻り、アドレス変換情報記憶部１２４は、予約情報及びアドレス変換情報を記憶する。ここで、アドレス変換情報とは、後述する変換用アドレス決定部１３３によって決定されたユーザ側アドレスと仮想ルータ側アドレスとがＮＡＴ装置を境界として相互に変換されるように、ユーザ側アドレスと仮想ルータ側アドレスとを変換する変換情報である。なお、ユーザ側アドレスとは、拠点にて用いられている「拠点内アドレス」、及び、当該拠点にて通信相手となる他拠点配下の端末を識別するための「通信相手識別アドレス」である。また、仮想ルータ側アドレスとは、広域ネットワークにてＶＰＮ間接続に属する各拠点配下の端末を識別するためのアドレスである。

アドレス変換情報記憶部１２４は、後述する変換用アドレス決定部１３３によって格納されることで、予約情報及びアドレス変換情報を記憶する。また、アドレス変換情報記憶部１２４が記憶する予約情報及びアドレス変換情報は、アドレス変換情報設定部１３４による処理などに利用される。

図２２は、アドレス変換情報記憶部１２４を説明するための図である。図２２に例示するように、例えば、アドレス変換情報記憶部１２４は、予約情報として、ＶＰＮ間接続サービスを開始すべきサービス開始時刻と、ＶＰＮ間接続サービスを終了すべきサービス終了時刻とを記憶する。また、アドレス変換情報記憶部１２４は、予約情報と対応付けて、アドレス変換情報を記憶する。例えば、アドレス変換情報記憶部１２４は、アドレス変換情報として、ＶＰＮ間接続を識別する仮想ルータ名と、ＮＡＴ装置に設定されるアドレス変換テーブルとを対応付けて記憶する。

例えば、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』と対応付けて記憶されているアドレス変換情報は、仮想ルータ名『ｖｒｆ１』によって識別される仮想ルータに関するアドレス変換情報である。

また、ＮＡＴ装置１においては、ユーザ側アドレス『１９２．１６８．１．１０』と仮想ルータ側アドレス『１０．０．１．１０』とを相互に変換すること、ユーザ側アドレス『１７２．１６．２．１０』と仮想ルータ側アドレス『１０．０．２．１０』とを相互に変換することを示す。ここで、ユーザ側アドレス『１９２．１６８．１．１０』は、拠点にて用いられている拠点内アドレスであり、ユーザ側アドレス『１７２．１６．２．１０』は、当該拠点にて通信相手となる他拠点配下の端末を識別するための通信相手識別アドレスである。

また、ＮＡＴ装置２においては、ユーザ側アドレス（通信相手識別アドレス）『１７２．１６．１．１０』と仮想ルータ側アドレス『１０．０．１．１０』とを相互に変換すること、ユーザ側アドレス（拠点内アドレス）『１９２．１６８．１．１０』と仮想ルータ側アドレス『１０．０．２．１０』とを相互に変換することを示す。

なお、図２２においては、仮想ルータ名『ｖｒｆ１』によって識別される仮想ルータに関するアドレス変換情報のみを例示したが、アドレス変換情報記憶部１２４は、ＶＰＮ間接続管理システム１００によって構築された他の仮想ルータに関するアドレス変換情報も記憶している。

また、図２２においては図示を省略したが、アドレス変換情報記憶部１２４は、プライベートアドレス全体の値、及び、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスも記憶する。

すなわち、後述するように、実施例２における変換用アドレス決定部１３３は、プライベートアドレス全体のうち、拠点内アドレス、既に予約されたアドレス、利用中のアドレス以外のアドレスを、新たに払い出すアドレスとして決定する。このため、アドレス変換情報記憶部１２４がプライベートアドレス全体の値を初期値として記憶しておくことで、変換用アドレス決定部１３３は、アドレス変換情報記憶部１２４を参照し、変換用のアドレスを決定することができる。

また、後述するように、実施例２におけるルーティング情報生成部１３５は、集合仮想ルータのインタフェースに設定するアドレス、ＶＰＮ終端装置のインタフェースに設定するアドレス、ＮＡＴ装置のインタフェースに設定するアドレスを割り当てるが、変換用アドレス決定部１３３は、各機器のインタフェースに割り当てられたこれらのアドレスとも重複しないように変換用のアドレスを決定しなければならない。このため、アドレス変換情報記憶部１２４が、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスを記憶しておくことで、変換用アドレス決定部１３３は、アドレス変換情報記憶部１２４を参照し、各機器のインタフェースに割り当てられた（あるいは割り当てられる）これらのアドレスと重複しないように、変換用のアドレスを決定することができる。

図１７に戻り、ルーティング情報記憶部１２５は、予約情報及びルーティング情報を記憶する。ルーティング情報記憶部１２５は、後述する仮想ルータ構築部１３２及びルーティング情報生成部１３５によって格納されることで、予約情報及びルーティング情報を記憶する。また、ルーティング情報記憶部１２５が記憶する予約情報及びルーティング情報は、ルーティング情報設定部１３６による処理などに利用される。

図２３及び図２４は、ルーティング情報記憶部１２５を説明するための図である。図２３に例示するように、例えば、ルーティング情報記憶部１２５は、予約情報として、ＶＰＮ間接続サービスを開始すべきサービス開始時刻と、ＶＰＮ間接続サービスを終了すべきサービス終了時刻とを記憶する。また、ルーティング情報記憶部１２５は、予約情報と対応付けて、ルーティング情報を記憶する。例えば、ルーティング情報記憶部１２５は、集合仮想ルータに設定される設定情報（ルーティング情報を含む）を設定ファイルの形式で記憶し、ＶＰＮ終端装置に設定される設定情報を設定ファイルの形式で記憶し、ＮＡＴ装置に設定される設定情報を設定ファイルの形式で記憶する。

例えば、図２４の（Ａ）は、集合仮想ルータに設定される設定情報の一部を例示するものである。また、例えば、図２４の（Ｂ）は、ＶＰＮ終端装置に設定される設定情報の一部を例示するものである。例えば、図２４の（Ｃ）は、ＮＡＴ装置に設定される設定情報の一部を例示するものである。

図１７に戻り、ＤＮＳ登録情報記憶部１２６は、ＤＮＳ登録情報を記憶する。ＤＮＳ登録情報記憶部１２６は、後述するＤＮＳ登録情報生成部１３７によって格納されることで、ＤＮＳ登録情報を記憶する。また、ＤＮＳ登録情報記憶部１２６が記憶するＤＮＳ登録情報は、後述するＤＮＳ登録部１３８による処理などに利用される。

図２５は、ＤＮＳ登録情報記憶部１２６を説明するための図である。図２５に例示するように、例えば、ＤＮＳ登録情報記憶部１２６は、通信相手となる他拠点配下の端末を識別するための通信相手識別アドレスと、該端末の名称との組を示すＤＮＳ登録情報として、Ａレコード「β１ ＩＮ Ａ １７２．１６．２．１０」や「α１ ＩＮ Ａ １７２．１６．１．１０」を記憶する。ここで、「β１」や「α１」が端末の名称であり、「１７２．１６．２．１０」や「１７２．１６．１．１０」が通信相手識別アドレスである。

ここで、通信相手識別アドレスは、通信相手となる他拠点配下の端末を「ある拠点」内で識別するためのアドレスであるので、同じ端末を識別するためのアドレスであっても拠点ごとに異なったアドレスとなり得るものである。このため、ＤＮＳ登録情報記憶部１２６は、ＶＰＮ間接続に属する拠点ごとに、ＤＮＳ登録情報を記憶する。

例えば、図２５に例示するように、ＤＮＳ登録情報記憶部１２６は、ＶＰＮ間接続を識別する仮想ルータ名に対応付けて、拠点を識別する接続先ＩＤごとに、ＤＮＳ登録情報を記憶する。図２５に例示するＤＮＳ登録情報の場合、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続に、接続先ＩＤ「ＵｓｅｒＡ−Ｏｆｆｉｃｅ」によって識別される拠点と、接続先ＩＤ「ＵｓｅｒＢ−Ｏｆｆｉｃｅ」によって識別される拠点とが属することを示す。また、接続先ＩＤ「ＵｓｅｒＡ−Ｏｆｆｉｃｅ」によって識別される拠点においては、通信相手となる「ＵｓｅｒＢ−Ｏｆｆｉｃｅ」配下の端末を識別するために、「１７２．１６．２．１０」という通信相手識別アドレスを用いる。また、この端末の端末名は「β１」である。したがって、接続先ＩＤ「ＵｓｅｒＡ−Ｏｆｆｉｃｅ」によって識別される拠点用のＤＮＳ登録情報は、「β１」と「１７２．１６．２．１０」との対応関係を示すもの、すなわち、Ａレコード「β１ ＩＮ Ａ １７２．１６．２．１０」となる。

図１７に戻り、アタッチメント記憶部１２６は、集合仮想ルータごと、ＶＰＮ終端装置ごと、ＮＡＴ装置ごとに、アタッチメントを記憶する。また、アタッチメント記憶部１２６は、広域ネットワークＤＮＳ装置についてもアタッチメントを記憶する。ここで、アタッチメントとは、アドレス変換情報をＮＡＴ装置に反映するためのプログラム、ルーティング情報をＶＰＮ終端装置及び集合仮想ルータに対して反映するためのプログラム、ＤＮＳ登録情報を広域ネットワークＤＮＳ装置に対して反映するためのプログラム、及び、ＮＡＴ装置に対して反映されたアドレス変換情報を削除するためのプログラム、ＶＰＮ終端装置及び集合仮想ルータに対して反映されたルーティング情報を削除するためのプログラム、広域ネットワークＤＮＳ装置に対して反映されたＤＮＳ登録情報を削除するためのプログラムである。

また、アタッチメントには、ＶＰＮ間接続管理システム１００とＮＡＴ装置との間で用いられる通信プロトコル、ＶＰＮ間接続管理システム１００とＶＰＮ終端装置との間で用いられる通信プロトコルや、ＶＰＮ間接続管理システム１００と集合仮想ルータとの間で用いられる通信プロトコル、あるいは、ＶＰＮ間接続管理システム１００と広域ネットワークＤＮＳ装置との間で用いられる通信プロトコルが規定される。なお、一般に、当該通信プロトコルには、ＮＡＴ装置のベンダ、ＶＰＮ終端装置のベンダや集合仮想ルータのベンダ、あるいは広域ネットワークＤＮＳ装置によって規定される独自仕様の通信プロトコルが用いられる。アタッチメント記憶部１２６は、例えばＶＰＮ間接続管理システム１００の運用者に入力されることで、アタッチメントを事前に記憶する。また、アタッチメント記憶部１２６が記憶するアタッチメントは、後述するアドレス変換情報設定部１３４、ルーティング情報設定部１３６、ＤＮＳ登録部１３８及び削除部１３９による処理に利用される。

図２６は、アタッチメント記憶部１２６を説明するための図である。図２６に例示するように、例えば、アタッチメント記憶部１２６は、集合仮想ルータ、ＶＰＮ終端装置やＮＡＴ装置、あるいは広域ネットワークＤＮＳ装置の装置識別情報とアタッチメントとを対応付けて記憶する。例えば、反映用のアタッチメントには、ＮＡＴ装置、ＶＰＮ終端装置、集合仮想ルータや広域ネットワークＤＮＳ装置にログインするためのＩＤ／パスワードや、アドレス変換情報やルーティング情報、ＤＮＳ登録情報を格納すべきパスを指定し、指定したパスにアドレス変換情報やルーティング情報、ＤＮＳ登録情報を格納するためのコマンド、ＮＡＴ装置、ＶＰＮ終端装置や集合仮想ルータ、広域ネットワークＤＮＳ装置を再起動させるコマンドなどが記載される。なお、アドレス変換情報やルーティング情報、ＤＮＳ登録情報の反映には、格納して再起動することで反映する場合と、格納によって反映する場合とがある。また、反映用のアタッチメントには、ＶＰＮ間接続管理システム１００とＮＡＴ装置との間で用いられる通信プロトコル、ＶＰＮ間接続管理システム１００とＶＰＮ終端装置との間で用いられる通信プロトコルや、ＶＰＮ間接続管理システム１００と集合仮想ルータとの間で用いられる通信プロトコル、ＶＰＮ間接続管理システム１００と広域ネットワークＤＮＳ装置との間で用いられる通信プロトコルが規定される。

また、例えば、削除用のアタッチメントには、ＮＡＴ装置、ＶＰＮ終端装置や集合仮想ルータ、広域ネットワークＤＮＳ装置にログインするためのＩＤ／パスワードや、アドレス変換情報やルーティング情報、ＤＮＳ登録情報が格納されているパスからアドレス変換情報やルーティング情報、ＤＮＳ登録情報を削除するためのコマンド、ＮＡＴ装置、ＶＰＮ終端装置や集合仮想ルータ、広域ネットワークＤＮＳ装置を再起動させるコマンドなどが記載される。また、削除用のアタッチメントには、ＶＰＮ間接続管理システム１００とＮＡＴ装置との間で用いられる通信プロトコル、ＶＰＮ間接続管理システム１００とＶＰＮ終端装置との間で用いられる通信プロトコルや、ＶＰＮ間接続管理システム１００と集合仮想ルータとの間で用いられる通信プロトコル、ＶＰＮ間接続管理システム１００と広域ネットワークＤＮＳ装置との間で用いられる通信プロトコルが規定される。

図１７に戻り、装置情報記憶部１２７は、ＶＰＮ終端装置に事前設定されたＶＰＮ終端装置の事前設定情報、及び、集合仮想ルータに事前設定された集合仮想ルータの事前設定情報を記憶する。装置情報記憶部１２７は、例えばＶＰＮ間接続管理システム１００の運用者に入力されることで、ＶＰＮ終端装置の事前設定情報及び集合仮想ルータの事前設定情報を事前に記憶する。また、装置情報記憶部１２７が記憶する事前設定情報は、後述するルーティング情報生成部１３５による処理などに利用される。

図２７は、集合仮想ルータの事前設定情報を説明するための図である。図２７に例示するように、例えば、装置情報記憶部１２７は、集合仮想ルータの事前設定情報として、ホスト名（又はルータ名）及びパスワードを記憶する。「ホスト名」は、集合仮想ルータの名称であり、例えば『ｊｐｎ１００』といった名称である。「パスワード」は、集合仮想ルータにログインするためのパスワードであり、例えば『ｒｏｏｔｒｏｏｔ』といったパスワードである。

図２８は、ＶＰＮ終端装置の事前設定情報を説明するための図である。図２８に例示するように、例えば、装置情報記憶部１２７は、ＶＰＮ終端装置の事前設定情報として、ホスト名（又はルータ名）、パスワード、ＶＰＮ終端装置ＩＤ、ＶＰＮ種別、集合仮想ルータ向けＩＰアドレス、サーバモードを記憶する。また、図２８においては図示を省略するが、装置情報記憶部１２７は、事前設定情報として、例えば、サーバ側待ち受けＩＰアドレス、プロトコル、ポート番号なども記憶する。

「ホスト名」は、ＶＰＮ終端装置の名称であり、例えば『ｊｐｎ１』といった名称である。「パスワード」は、ＶＰＮ終端装置にログインするためのパスワードであり、例えば『ｒｏｏｔｒｏｏｔ』といったパスワードである。「ＶＰＮ終端装置ＩＤ」は、ＶＰＮ終端装置を識別するＩＤであり、例えば『ＶＰＮ終端装置１』といったＩＤである。「ＶＰＮ種別」は、ＶＰＮ種別であり、例えば『ＯｐｅｎＶＰＮ』といった種別である。

「集合仮想ルータ向けＩＰアドレス」は、拠点から送出されたパケットを集合仮想ルータに向けて送出する際に転送すべきＩＰアドレスであり、集合仮想ルータに仮想ルータが構築され、集合仮想ルータのインタフェースにＩＰアドレスが割り当てられて初めて決定するものである。このため、図２８においては、未だ割り当てられていないという意味で空欄とする。サーバモードは、ＶＰＮ終端装置が選択したルーティング方式であり、例えばＯｐｅｎＶＰＮを用いる場合、ルーティング方式には『ｒｏｕｔｉｎｇ』と『ｂｒｉｄｇｅ』とがある。

図１７に戻り、制御部１３０は、ＶＰＮ間接続管理システム１００において実行される各種処理を制御する。具体的には、図１７に例示するように、制御部１３０は、ＶＰＮ間接続要求受付部１３１と、仮想ルータ構築部１３２と、変換用アドレス決定部１３３と、アドレス変換情報設定部１３４と、ルーティング情報生成部１３５と、ルーティング情報設定部１３６と、ＤＮＳ登録情報生成部１３７と、ＤＮＳ登録部１３８と、削除部１３９とを有する。

ＶＰＮ間接続要求受付部１３１は、ＶＰＮ間接続要求を受け付ける。具体的には、例えば、インターネットなどのネットワークにユーザ用のＷｅｂサーバが設置され、ＶＰＮ間接続要求受付部１３１は、ユーザ用の入力画面をＷｅｂサーバに配信する。ここで、ユーザ用の入力画面とは、ＶＰＮ間接続を行うＶＰＮの管理者から、そのＶＰＮ間接続要求を受け付けるために、ＶＰＮ間接続サービスを提供する電気通信事業者などが提供するものである。すると、例えば拠点それぞれの管理者が、当該Ｗｅｂサーバにアクセスし、ユーザ用の入力画面にＶＰＮ間接続要求を入力することで、ＶＰＮ間接続要求受付部１３１は、ＶＰＮ間接続要求の入力を受け付け、受け付けたＶＰＮ間接続要求をＶＰＮ間接続要求記憶部１２３に格納する。

図２９は、ＶＰＮ間接続要求の入力画面の一例を説明するための図である。例えば、ＶＰＮ間接続要求受付部１３１は、まず、図２９の（Ａ）に例示する入力画面を出力する。入力画面には、仮想ルータ名の入力を受け付ける枠、及び、パスワードの入力を受け付ける枠が設けられる。なお、仮想ルータ名及びパスワードは、例えば、同じ協働空間に属する予定の『Ａ社』と『Ｂ社』との間で、オフラインで決定されるなどする。こうして、例えば、図２９の（Ａ）に例示するように、『Ａ社』の管理者が仮想ルータ名『ｖｒｆ１』及びパスワードを入力すると、ＶＰＮ間接続要求受付部１３１は、仮想ルータ名として『ｖｒｆ１』を受け付け、続いて、『Ａ社』に関する情報を受け付ける。なお、実施例２においては、ＶＰＮ間接続要求として仮想ルータ名の入力を受け付ける例を説明するが、本発明はこれに限られるものではなく、例えば、ＶＰＮ間接続管理システム１００側で仮想ルータ名を自動的に割り当ててもよい。

また、図２９の（Ｂ）に例示するように、図２９の（Ａ）に例示する入力画面に続く次の入力画面には、接続先ＩＤ及び端末名の入力を受け付ける枠が設けられる。例えば、『Ａ社』の管理者が、接続先ＩＤとして『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』を入力し、端末名として『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を入力すると、ＶＰＮ間接続要求受付部１３１は、仮想ルータ名『ｖｒｆ１』によってＶＰＮ間接続される『Ａ社』側の端末として『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を受け付ける。なお、例えば『Ｍｏｒｅ』のボタンが管理者によって押下されると、ＶＰＮ間接続要求受付部１３１は、入力画面上に、端末名の入力を受け付ける枠をさらに設ける。

また、入力画面には、予約時間の年月日及び時刻の入力を受け付ける枠が設けられる。例えば、図２９の（Ｂ）に例示するように、管理者が、予約時間『２００９．８．２１ １３：００』〜『２００９．８．２１ １５：００』を入力すると、ＶＰＮ間接続要求受付部１３１は、ＶＰＮ間接続サービス開始時刻として『２００９．８．２１ １３：００』、ＶＰＮ間接続サービス終了時刻として『２００９．８．２１ １５：００』を受け付ける。

さて、図２９の（Ｂ）に例示する入力画面において、例えば『ＯＫ』ボタンが管理者によって押下されると、ＶＰＮ間接続要求受付部１３１は、ＶＰＮ間接続要求の受け付けを終了する。なお、この後、『Ｂ社』の管理者も同様に、仮想ルータ名『ｖｒｆ１』によってＶＰＮ間接続される端末として『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を入力する。

例えば、『Ｂ社』の管理者が、入力画面に仮想ルータ名『ｖｒｆ１』及びパスワードを入力すると、ＶＰＮ間接続要求受付部１３１は、仮想ルータ名として『ｖｒｆ１』を受け付ける。ここで、仮想ルータ名『ｖｒｆ１』によって識別されるＶＰＮ間接続については、既に『Ａ社』の管理者が予約時間の年月日及び時刻の入力を済ませているので、例えば、ＶＰＮ間接続要求受付部１３１は、図２９の（Ｂ）に例示する入力画面のうち、予約時間の年月日及び時刻が入力された状態の入力画面を出力してもよい。すると、例えば、『Ｂ社』の管理者が、接続先ＩＤとして『ＵｓｅｒＢ−Ｏｆｆｉｃｅ』を入力し、端末名として『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を入力すると、ＶＰＮ間接続要求受付部１３１は、仮想ルータ名『ｖｒｆ１』によってＶＰＮ間接続される『Ｂ社』側の端末として『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を受け付ける。こうして、『端末α』と『端末β』とを接続するためのＶＰＮ間接続要求として、仮想ルータ名『ｖｒｆ１』によって識別されるＶＰＮ間接続要求が受け付けられる。

なお、実施例２においては、ユーザ用の入力画面にＶＰＮ間接続要求を入力させる手法を説明したが、本発明はこれに限られるものではない。例えば、ＶＰＮ間接続サービスを提供する電気通信事業者などの運用者が、ＶＰＮ間接続管理システム１００の出力部１１２に出力された入力画面に直接ＶＰＮ間接続要求を入力する手法でもよい。

仮想ルータ構築部１３２は、ＶＰＮ間接続要求に基づき、集合仮想ルータに仮想ルータを構築する。具体的には、仮想ルータ構築部１３２は、ＶＰＮ間接続要求受付部１３１によって受け付けられたＶＰＮ間接続要求に基づき、集合仮想ルータに構築すべき仮想ルータ名を決定する。また、仮想ルータ構築部１３２は、集合仮想ルータに設定する設定情報のうち仮想ルータの構築情報を生成し、生成した仮想ルータの構築情報を予約情報とともにルーティング情報記憶部１２５に格納する。また、仮想ルータ構築部１３２は、変換用アドレス決定部１３３に、アドレス変換情報を生成すべき旨を通知する。

例えば、仮想ルータ構築部１３２は、ＶＰＮ間接続要求記憶部１２３（図２１に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、仮想ルータを構築すべきタイミングであるか否かを判定する。例えば、仮想ルータ構築部１３２は、現在時刻とサービス開始時刻『ｔ１』とを比較して、仮想ルータを構築すべきタイミングであるか否かを判定する。

次に、仮想ルータ構築部１３２は、仮想ルータを構築すべきタイミングであると判定すると、ＶＰＮ間接続要求記憶部１２３を参照し、サービス開始時刻に対応付けて記憶されている仮想ルータ名及び端末名を取得する。例えば、仮想ルータ構築部１３２は、サービス開始時刻『ｔ１』に対応付けて記憶されている仮想ルータ名『ｖｒｆ１』、並びに、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』及び『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を取得する。

そして、仮想ルータ構築部１３２は、取得した端末名を用いてＶＰＮ間接続情報記憶部１２１（図１８に例示）を参照し、端末名によって識別される拠点が収容される集合仮想ルータを決定し、設定パターンの識別情報を取得する。例えば、仮想ルータ構築部１３２は、集合仮想ルータ『集合仮想ルータ１』を決定し、設定パターンの識別情報『ＶＲ−Ｐ１』を取得する。

続いて、仮想ルータ構築部１３２は、取得した設定パターンの識別情報を用いて設定パターン記憶部１２２（図１９に例示）を参照し、区分『仮想ルータ定義』に対応付けて記憶されている仕様を取得する。ここで、図１９には例示しなかったが、設定パターン記憶部１２２は、設定パターンの一つとして、設定情報を集合仮想ルータに反映するための所定のコマンド文も集合仮想ルータごとに記憶する。このため、仮想ルータ構築部１３２は、該当する所定のコマンド文も取得する。

そして、仮想ルータ構築部１３２は、ＶＰＮ間接続要求記憶部１２３（図２１に例示）を参照してサービス開始時刻及びサービス終了時刻を取得し、取得したサービス開始時刻及びサービス終了時刻をルーティング情報記憶部１２５（図２３に例示）に格納する。例えば、仮想ルータ構築部１３２は、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』をルーティング情報記憶部１２５に格納する。

次に、仮想ルータ構築部１３２は、取得した仕様やコマンド文を用いて仮想ルータの構築情報をファイルに記載し、サービス開始時刻及びサービス終了時刻に対応付けてルーティング情報記憶部１２５に格納する。例えば、仮想ルータ構築部１３２は、仮想ルータ名『ｖｒｆ１』を、取得した所定のコマンド文を用いて『ｉｐ ｖｒｆ ｖｒｆ１』と記載したファイルを作成する。また、仮想ルータ構築部１３２は、作成したファイルに、図１９に例示する仕様に従って決定した仮想ルータＩＤ『１００：１０』を、所定のコマンド文を用いて『ｒｄ １００：１０』と記載する。そして、仮想ルータ構築部１３２は、作成したファイルをサービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』に対応付けてルーティング情報記憶部１２５に格納する（図２４の（Ａ）を参照）。

変換用アドレス決定部１３３は、ＶＰＮ間接続要求に基づき、ＶＰＮ間接続に用いられるアドレスを決定する。具体的には、変換用アドレス決定部１３３は、ＶＰＮ間接続要求受付部１３１によって受け付けられたＶＰＮ間接続要求に基づき、ＶＰＮ間接続に用いられるアドレスを決定し、アドレス変換情報を生成する。

ここで、変換用アドレス決定部１３３は、通信相手となる他拠点配下の端末を拠点にて識別するための通信相手識別アドレス（以下、適宜「第一アドレス」）を、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該当する拠点内で通信相手となり得る端末の中で一意となるように決定する。また、変換用アドレス決定部１３３は、ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するアドレス（以下「第二アドレス」）を、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該当するＶＰＮ間接続として制御され得る端末の中で一意となるように決定する。また、変換用アドレス決定部１３３は、決定した二つのアドレスがＮＡＴ装置を境界として相互に変換されるようにアドレス変換情報を生成する。

ここで、実施例２におけるＶＰＮ間接続管理システム１００は、プライベートアドレス全体を、ＶＰＮ間接続サービスに利用することができるアドレスとして管理するものとする。すなわち、ＶＰＮ間接続管理システム１００は、上述したように、アドレス変換情報記憶部１２４が、プライベートアドレス全体の値、及び、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスも記憶する。また、ＶＰＮ間接続管理システム１００は、利用者から事前に申請してもらうことなどにより、拠点ごとに、その拠点にて用いられているプライベートアドレス（ＶＰＮ間接続情報記憶部１２１の『拠点内アドレス』）を管理している。

このため、変換用アドレス決定部１３３は、アドレス変換情報記憶部１２４を参照し、既に予約されたアドレスを時間軸上で探索する。そして、変換用アドレス決定部１３３は、第一アドレス（通信相手識別アドレス）を決定する際には、プライベートアドレス全体のうち、拠点内アドレス、同じ時間帯に既に予約されたアドレスとして探索されたアドレス、及び各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレス以外のアドレスを、新たに払い出すアドレスとして決定すればよい。また、変換用アドレス決定部１３３は、第二アドレスを決定する際には、プライベートアドレス全体のうち、同じＶＰＮ間接続について既に予約されたアドレスとして探索されたアドレス、及び各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレス以外のアドレスを、新たに払い出すアドレスとして決定すればよい。

なお、本発明はこの手法に限られるものではない。例えば、ＶＰＮ間接続管理システム１００が、利用者から事前に申請してもらうことなどにより、拠点ごとに、その拠点にて用いることができるプライベートアドレスを管理しているとする。この場合には、変換用アドレス決定部１３３は、既に予約されたアドレスを時間軸上で探索し、その拠点にて用いることができるプライベートアドレスとして管理しているプライベートアドレスのうち、拠点内アドレス及び既に予約されたアドレスとして探索されたアドレス以外のアドレスを、新たに払い出すアドレスとして決定すればよい。なお、この場合には、ＶＰＮ間接続管理システム１００は、拠点にて用いることができるプライベートアドレスの値を、拠点ごとに別途記憶する。例えば、ＶＰＮ間接続管理システム１００は、拠点にて用いることができるプライベートアドレスの値を、ＶＰＮ間接続情報記憶部１２１に記憶する。

また、変換用アドレス決定部１３３は、生成したアドレス変換情報を予約情報とともにアドレス変換情報記憶部１２４に格納する。また、変換用アドレス決定部１３３は、ルーティング情報生成部１３５に、ルーティング情報を含む設定情報を生成すべき旨を通知する。また、変換用アドレス決定部１３３は、ＤＮＳ登録情報生成部１３７に、ＤＮＳ登録情報を生成すべき旨を通知する。

例えば、変換用アドレス決定部１３３は、仮想ルータ構築部１３２からアドレス変換情報を生成すべき旨の通知を受けると、アドレス変換情報記憶部１２４（図２２に例示）を参照し、通信相手となる他拠点配下の端末を拠点にて識別するための第一アドレス（通信相手識別アドレス）を決定する。

例えば、変換用アドレス決定部１３３は、ＶＰＮ接続要求として取得した端末名を用いてＶＰＮ間接続情報記憶部１２１（図１８に例示）を参照し、この端末が属する拠点の接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』を取得する。そして、変換用アドレス決定部１３３は、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』に属する端末名、並びに、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』を用いてアドレス変換情報記憶部１２４を検索し、重複する時間帯に、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』に関するアドレス変換情報が存在すれば、これを全て取得する。また、変換用アドレス決定部１３３は、プライベートアドレス全体の値、及び、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスも取得する。このとき、変換用アドレス決定部１３３は、全ての仮想ルータに対応付けて記憶されたアドレス変換情報を対象として検索する。

次に、変換用アドレス決定部１３３は、取得したアドレス変換情報を解析し、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点にて、通信相手となる他拠点配下の端末を識別するためのアドレスとして用いられているユーザ側アドレス（通信相手識別アドレス）を全て抽出する。そして、変換用アドレス決定部１３３は、抽出したユーザ側アドレス（通信相手識別アドレス）と重複しないように、また、拠点内アドレス（図１８を参照）と重複しないように、また、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスとも重複しないように、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点にて端末名『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を識別するための第一アドレスを決定する。例えば、変換用アドレス決定部１３３は、『１７２．１６．２．１０』を決定する。

続いて、変換用アドレス決定部１３３は、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』及び端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を用いてＶＰＮ間接続情報記憶部１２１（図１８に例示）を参照し、『ＮＡＴ装置１』及び拠点内アドレス『１９２．１６８．１．１０』を取得する。そして、変換用アドレス決定部１３３は、図２２の１行目に例示するように、『ＮＡＴ装置１』に対応付けて、『１９２．１６８．１．１０』と『１７２．１６．２．１０』とをユーザ側アドレスとして格納する。なお、変換用アドレス決定部１３３は、接続先ＩＤ『ＵｓｅｒＢ−Ｏｆｆｉｃｅ』についても同様に第一アドレス（通信相手識別アドレス）を決定し、図２２の１行目に例示するように、『ＮＡＴ装置２』に対応付けて、『１７２．１６．１．１０』と『１９２．１６８．１．１０』とをユーザ側アドレスとして格納する。

また、例えば、変換用アドレス決定部１３３は、アドレス変換情報記憶部１２４（図２２に例示）を参照し、集合仮想ルータにてＶＰＮ間接続に属する各拠点配下の端末を識別するための第二アドレスを決定する。

例えば、変換用アドレス決定部１３３は、ＶＰＮ間接続を識別する仮想ルータ名『ｖｒｆ１』、並びに、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』を用いてアドレス変換情報記憶部１２４を検索し、重複する時間帯に、仮想ルータ名『ｖｒｆ１』に関するアドレス変換情報が存在すれば、これを全て取得する。すなわち、変換用アドレス決定部１３３は、仮想ルータ名『ｖｒｆ１』に対応付けて記憶されたアドレス変換情報を対象として検索する。

次に、変換用アドレス決定部１３３は、取得したアドレス変換情報を解析し、仮想ルータ名『ｖｒｆ１』に関するアドレス変換情報として用いられている仮想ルータ側アドレスを全て抽出する。そして、変換用アドレス決定部１３３は、抽出した仮想ルータ側アドレスと重複しないように、また、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスとも重複しないように、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』及び『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』によって識別される端末を集合仮想ルータにて識別するための第二アドレスを決定する。例えば、変換用アドレス決定部１３３は、『１０．０．１．１０』及び『１０．０．２．１０』を決定する。

続いて、変換用アドレス決定部１３３は、図２２の１行目に例示するように、『ＮＡＴ装置１』及び『ＮＡＴ装置２』に対応付けて、『１０．０．１．１０』と『１０．０．２．１０』とを仮想ルータ側アドレスとして格納する。

そして、変換用アドレス決定部１３３は、決定した二つのアドレスがＮＡＴ装置を境界として相互に変換されるようにアドレス変換情報を生成する。例えば、変換用アドレス決定部１３３は、設定パターン記憶部１２２を参照し、アドレス変換情報の仕様、及び、アドレス変換情報をＮＡＴ装置に反映するための所定のコマンド文を取得する。そして、変換用アドレス決定部１３３は、取得した仕様及びコマンド文を用いて、図２２の１行目に例示するアドレス変換テーブルからアドレス変換情報を生成する。なお、実施例２においては、使用後アドレスは再度利用できるため、未使用扱いとする。

アドレス変換情報設定部１３４は、アドレス変換情報をＮＡＴ装置に設定する。具体的には、アドレス変換情報設定部１３４は、変換用アドレス決定部１３３によって決定された第一アドレスと第二アドレスとが、ＮＡＴ装置を境界として相互に変換されるように、アドレス変換情報をＮＡＴ装置に設定する。

例えば、アドレス変換情報設定部１３４は、アドレス変換情報記憶部１２４（図２２に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、アドレス変換情報を設定すべきタイミングであるか否かを判定する。例えば、アドレス変換情報設定部１３４は、現在時刻とサービス開始時刻『ｔ１』とを比較して、アドレス変換情報を設定すべきタイミングであるか否かを判定する。

次に、アドレス変換情報設定部１３４は、アドレス変換情報を設定すべきタイミングであると判定すると、アドレス変換情報記憶部１２４を参照し、サービス開始時刻に対応付けて記憶されているアドレス変換情報を取得する。例えば、アドレス変換情報設定部１３４は、『ＮＡＴ装置１』及び『ＮＡＴ装置２』に対応付けて記憶されているアドレス変換テーブルを取得する。

そして、アドレス変換情報設定部１３４は、アタッチメント記憶部１２７（図２６に例示）を参照し、該当するアタッチメントを取得し、取得したアタッチメントを用いて、該当するＮＡＴ装置にアドレス変換情報を送信する。例えば、アドレス変換情報設定部１３４は、『ＮＡＴ装置１』及び『ＮＡＴ装置２』を用いてアタッチメント記憶部１２７を参照し、アタッチメント『ＮＡＴ１．ｅｘｅ』及び『ＮＡＴ２．ｅｘｅ』を取得する。続いて、アドレス変換情報設定部１３４は、取得したアタッチメント『ＮＡＴ１．ｅｘｅ』を用いて、アドレス変換情報記憶部１２４において『ＮＡＴ装置１』に対応付けて記憶されているアドレス変換情報を『ＮＡＴ装置１』に送信する。また、アドレス変換情報設定部１３４は、取得したアタッチメント『ＮＡＴ２．ｅｘｅ』を用いて、アドレス変換情報記憶部１２４において『ＮＡＴ装置２』に対応付けて記憶されているアドレス変換情報を『ＮＡＴ装置２』に送信する。

なお、実施例２においては、アドレス変換情報設定部１３４は、ＶＰＮ間接続サービスを開始する時刻にアドレス変換情報の設定を開始するものとして説明するが、本発明はこれに限られるものではない。ＶＰＮ間接続サービスを開始する時刻として予約を受け付けた時刻には即時にＶＰＮ間接続が実現されるように、例えば、アドレス変換情報の設定に要する時間を予め予測し、『サービス開始時刻』から、予測した当該時間を差し引いた時刻を、アドレス変換情報の反映を開始する時刻としてもよい。例えば、変換用アドレス決定部１３３が、アドレス変換情報記憶部１２４に予約時間とアドレス変換情報とを格納する際に、アドレス変換情報の設定に要する時間を差し引いた時刻も併せて格納し、アドレス変換情報設定部１３４が、当該時刻であるか否かを判定してアドレス変換情報の設定を開始してもよい。

ルーティング情報生成部１３５は、ＶＰＮ間接続要求及びアドレス変換情報に基づき、ルーティング情報を生成する。具体的には、ルーティング情報生成部１３５は、各機器（集合仮想ルータ、ＶＰＮ終端装置、ＮＡＴ装置）のインタフェースに設定するアドレスを、予め確保されたアドレスの中から割り当てる。また、ルーティング情報生成部１３５は、変換用アドレス決定部１３３によって決定されたアドレス変換情報に基づきルーティング情報を生成する。また、ルーティング情報生成部１３５は、生成したルーティング情報を予約情報とともにルーティング情報記憶部１２５に格納する。なお、実施例２においては、既に仮想ルータ構築部１３２が、仮想ルータの構築情報をファイルに記載してルーティング情報記憶部１２５に格納しているので、ルーティング情報生成部１３５は、このファイルに、ルーティング情報（ＶＰＮ終端装置（Next Hop）へのルーティング情報）などを追記することになる。また、ルーティング情報生成部１３５は、ＶＰＮ終端装置のファイルには、集合仮想ルータ（Next Hop）へのルーティング情報など、ＮＡＴ装置のファイルには、パケットの転送情報などを記載することになる。

まず、集合仮想ルータの設定情報の生成について説明する。例えば、ルーティング情報生成部１３５は、変換用アドレス決定部１３３からルーティング情報を含む設定情報を生成すべき旨の通知を受けると、アドレス変換情報記憶部１２４（図２２に例示）を参照し、ＮＡＴ装置側Ｉ／Ｆに設定すべきアドレスを決定する。例えば、ルーティング情報生成部１３５は、ＮＡＴ装置１側のＩ／Ｆとして『１０．０．１０．９７』を決定し、ＮＡＴ装置２側のＩ／Ｆとして『１０．０．２０．９７』を決定する。

また、ルーティング情報生成部１３５は、設定パターン記憶部１２２（図１９に例示）を参照し、区分『Ｉ／Ｆの設定』及び『仮想ルータ単位のルーティング設定』に対応付けて記憶されている仕様を取得する。ここで、図１９には例示しなかったが、設定パターン記憶部１２２は、設定パターンの一つとして、設定情報を集合仮想ルータに反映するための所定のコマンド文も集合仮想ルータごとに記憶する。このため、ルーティング情報生成部１３５は、該当する所定のコマンド文も取得する。

そして、ルーティング情報生成部１３５は、『数字．数字．数字．数字』の仕様に従って「ＩＰアドレス」を決定する。また、例えば、ルーティング情報生成部１３５は、図１９に例示する設定パターンを参照し、『Ｉ／Ｆの種別 数字／数字／数字』の仕様に従って「Ｉ／Ｆの指定」を決定する。

例えば、ルーティング情報生成部１３５は、ＮＡＴ装置１と接続するインタフェースに設定するＩＰアドレスとして『１０．０．１０．９７ ２５５．２５５．２５５．０』を決定し、Ｉ／Ｆの指定として『ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ１／０／０』を決定する。また、例えば、ルーティング情報生成部１３５は、ＮＡＴ装置２と接続するインタフェースに設定するＩＰアドレスとして『１０．０．２０．９７ ２５５．２５５．２５５．０』を決定し、Ｉ／Ｆの指定として『ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ２／０／０』を決定する。

次に、ルーティング情報生成部１３５は、アドレス変換情報記憶部１２４を参照し、ＮＡＴ装置に対応付けて記憶されている仮想ルータ側アドレスを取得する。例えば、ルーティング情報生成部１３５は、ＮＡＴ装置『ＮＡＴ装置１』と対応付けて記憶されている仮想ルータ側アドレス『１０．０．１．１０』及び『１０．０．２．１０』を取得する。

そして、例えば、ルーティング情報生成部１３５は、図２４の（Ａ）に示すように、ＮＡＴ装置１と接続するインタフェースに設定するＩＰアドレスとして決定した『１０．０．１０．９７ ２５５．２５５．２５５．０』を、所定のコマンド文を用いて『ｉｐ ａｄｄｒｅｓｓ １０．０．１０．９７ ２５５．２５５．２５５．０』と記載する。また、例えば、ルーティング情報生成部１３５は、Ｉ／Ｆの指定として決定した『ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ１／０／０』を、所定のコマンド文を用いて『ｉｎｔｅｒｆａｃｅ ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ１／０／０』と記載する。その他、ルーティング情報生成部１３５は、インタフェースを仮想ルータ『ｖｒｆ１』に所属させるコマンドとして、『ｉｐ ｖｒｆ ｆｏｒｗａｒｄｉｎｇ ｖｒｆ１』と記載する。なお、ルーティング情報生成部１３５は、ＮＡＴ装置２と接続するインタフェースについても同様に記載する。

また、ルーティング情報生成部１３５は、いわゆるルーティング情報であるルーティング設定コマンドを記載する。ここで、ＮｅｘｔＨｏｐはＮＡＴ装置である。例えば、ルーティング情報生成部１３５は、仮想ルータ名『ｖｒｆ１』と、『１０．０.１．０ ２５５．２５５．２５５．０』と、ＩＰアドレス『１０．０．１０．９８』とを用いて、図１９に例示する仕様に従い所定のコマンド文を用いて『ｉｐ ｒｏｕｔｅ ｖｒｆ ｖｒｆ１ １０．０.１．０ ２５５．２５５．２５５．０ １０．０．１０．９８』と記載する。なお、ルーティング情報生成部１３５は、ＮＡＴ装置２と接続するインタフェースについても同様に記載する。

次に、ＶＰＮ終端装置の設定情報の生成について説明する。ルーティング情報生成部１３５は、ＶＰＮ間接続要求受付部１３１によって受け付けられた接続先ＩＤを用いてＶＰＮ間接続情報記憶部１２１を参照し、接続先ＩＤそれぞれと対応付けて記憶されているＶＰＮ終端装置の設定パターンの識別情報を取得する。そして、ルーティング情報生成部１３５は、ＶＰＮ終端装置の設定パターンの識別情報それぞれを用いて設定パターン記憶部１２２を参照し、設定パターン記憶部１２２に記憶されたＶＰＮ終端装置の設定パターンの中から設定情報の生成に利用すべきＶＰＮ終端装置の設定パターンを選択する。そして、ルーティング情報生成部１３５は、選択した設定パターンを用いて設定情報を生成する。

例えば、ルーティング情報生成部１３５は、ＶＰＮ終端装置のＩ／Ｆ（拠点側及び集合仮想ルータ側）に設定すべきアドレスを決定し、決定したアドレスを用いてルーティング情報を生成する。例えば、ルーティング情報生成部１３５は、図２４の（Ｂ）に示すように、『ＶＰＮ終端装置１』のルーティング情報を生成する。図２４（Ｂ）の最初の４行は、『ＶＰＮ終端装置１』のインタフェースにアドレスを設定するコマンドである。また、図２４（Ｂ）の５行目は、ＮｅｘｔＨｏｐを『ＮＡＴ装置１』とするためのルーティング設定コマンドである。

次に、ＮＡＴ装置の設定情報の生成について説明する。なお、図１９及び図２０においては図示を省略したが、設定パターン記憶部１２２は、ＮＡＴ装置の設定パターンも記憶する。このため、例えば、ルーティング情報生成部１３５は、ＶＰＮ間接続要求受付部１３１によって受け付けられた接続先ＩＤを用いてＶＰＮ間接続情報記憶部１２１を参照し、接続先ＩＤそれぞれと対応付けて記憶されているＮＡＴ装置の識別情報を取得する。そして、ルーティング情報生成部１３５は、ＮＡＴ装置の設定パターンの識別情報それぞれを用いて設定パターン記憶部１２２を参照し、設定パターン記憶部１２２に記憶されたＮＡＴ装置の設定パターンの中から設定情報の生成に利用すべきＮＡＴ装置の設定パターンを選択する。そして、ルーティング情報生成部１３５は、選択した設定パターンを用いて設定情報を生成する。

例えば、ルーティング情報生成部１３５は、ＮＡＴ装置のＩ／Ｆ（拠点側及び集合仮想ルータ側）に設定すべきアドレスを決定し、決定したアドレスを用いてルーティング情報を生成する。例えば、ルーティング情報生成部１３５は、図２４の（Ｃ）に示すように、『ＮＡＴ装置１』のルーティング情報を生成する。図２４（Ｃ）の最初の４行は、『ＮＡＴ装置１』のインタフェースにアドレスを設定するコマンドである。また、図２４（Ｃ）の５行目は、『ＶＰＮ終端装置１』側へのルーティング設定コマンドであり、アドレス変換前のアドレスを設定する。図２４（Ｃ）の６行目は、仮想ルータ『ｖｒｆ１』側へのルーティング設定コマンドであり、アドレス変換後のアドレスを設定する。

なお、上述したように、実施例２において、設定情報それぞれは、例えば、図２４に例示するように、設定ファイルの形式で、ルーティング情報記憶部１２５に記憶される。すなわち、ルーティング情報生成部１３５は、生成した設定情報それぞれを、設定ファイルの形式で、ルーティング情報記憶部１２５に格納する。もっとも、本発明はこれに限られるものではなく、生成した設定情報をデータベースに格納する手法でもよい。あるいは、生成した設定情報をファイル形式で記憶するとともにデータベースにも格納する手法でもよい。これらの手法によれば、設定情報は、検索や参照に適したデータベースに格納されるので、例えば、ルーティング情報生成部１３５は、設定情報を生成する際に、既に生成された設定情報を参照して重複を判定するが、その都度ファイルオープンの処理を実行する必要がなく、処理が効率的になる。

ルーティング情報設定部１３６は、ルーティング情報をＮＡＴ装置、ＶＰＮ終端装置及び集合仮想ルータに設定する。例えば、ルーティング情報設定部１３６は、ルーティング情報記憶部１２５（図２３に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、設定情報を設定すべきタイミングであるか否かを判定する。例えば、ルーティング情報設定部１３６は、現在時刻とサービス開始時刻『ｔ１』とを比較して、設定情報を設定すべきタイミングであるか否かを判定する。

次に、ルーティング情報設定部１３６は、設定情報を設定すべきタイミングであると判定すると、ルーティング情報記憶部１２５を参照し、サービス開始時刻に対応付けて記憶されている設定情報を取得する。例えば、ルーティング情報設定部１３６は、サービス開始時刻『ｔ１』に対応付けて記憶されている設定情報を取得する。

そして、ルーティング情報設定部１３６は、アタッチメント記憶部１２７（図２６に例示）を参照し、該当するアタッチメントを取得し、取得したアタッチメントを用いて、該当する集合仮想ルータ、ＶＰＮ終端装置及びＮＡＴ装置に設定情報を送信する。例えば、ルーティング情報設定部１３６は、『集合仮想ルータ１』、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＮＡＴ装置１』、及び『ＮＡＴ装置２』を用いてアタッチメント記憶部１２６を参照し、アタッチメント『ＶＲ１．ｅｘｅ』、『ＶＰＮ１．ｅｘｅ』、『ＶＰＮ２．ｅｘｅ』、『ＮＡＴ１．ｅｘｅ』、及び『ＮＡＴ２．ｅｘｅ』を取得する。続いて、ルーティング情報設定部１３６は、取得したアタッチメント『ＶＲ１．ｅｘｅ』を用いて、設定情報を『集合仮想ルータ１』に送信する。同様に、ルーティング情報設定部１３６は、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＮＡＴ装置１』及び『ＮＡＴ装置２』にも設定情報を送信する。

なお、アタッチメントには、例えば、ＶＰＮ間接続管理システム１００から各機器に対してｔｅｌｎｅｔやＳＳＨ（Secure SHell）などを用いて遠隔操作することにより、設定情報を設定する手法が含まれていてもよい。

また、実施例２においては、ルーティング情報設定部１３６は、ＶＰＮ間接続サービスを開始する時刻に設定情報の設定を開始するものとして説明するが、本発明はこれに限られるものではない。ＶＰＮ間接続サービスを開始する時刻として予約を受け付けた時刻には即時にＶＰＮ間接続が実現されるように、例えば、設定情報の設定に要する時間を予め予測し、『サービス開始時刻』から、予測した当該時間を差し引いた時刻を、設定情報の設定を開始する時刻としてもよい。例えば、仮想ルータ構築部１３２が、ルーティング情報記憶部１２５に予約時間と設定情報とを格納する際に、設定情報の設定に要する時間を差し引いた時刻も併せて格納し、ルーティング情報設定部１３６が、当該時刻であるか否かを判定して設定情報の設定を開始してもよい。

ＤＮＳ登録情報生成部１３７は、拠点内で一意となるように端末の名称を決定し、決定した端末の名称と通信相手識別アドレスとの組を、ＤＮＳ登録情報としてＶＰＮ間接続に属する拠点ごとに生成する。具体的には、ＤＮＳ登録情報生成部１３７は、変換用アドレス決定部１３３から、登録情報を生成すべき旨の通知を受けると、アドレス変換情報記憶部１２４（図２２に例示）を参照し、変換用アドレス決定部１３３によって新たに決定されたアドレス変換情報を取得する。

例えば、図２２に例示するように、『ＮＡＴ装置１』について端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』に対応付けて記憶されているユーザ側アドレス『１９２．１６８．１．１０』は、『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を端末名とする端末の拠点内アドレスである。また、『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』の端末を通信相手とする他の拠点内で『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』の端末を識別するために払い出された通信相手識別アドレスは、『ＮＡＴ装置２』について端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』に対応付けて記憶されているユーザ側アドレス『１７２．１６．１．１０』である。

同様に、『ＮＡＴ装置２』について端末名『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』に対応付けて記憶されているユーザ側アドレス『１９２．１６８．１．１０』は、『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を端末名とする端末の拠点内アドレスである。また、『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』の端末を通信相手とする他の拠点内で『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』の端末を識別するために払い出された通信相手識別アドレスは、『ＮＡＴ装置１』について端末名『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』に対応付けて記憶されているユーザ側アドレス『１７２．１６．２．１０』である。

ここで、仮想ルータ名「ｖｒｆ１」で識別されるＶＰＮ間接続に属する拠点は、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』が属する拠点、及び、端末名『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』が属する拠点である。これらの拠点は、それぞれ、接続先ＩＤ「ＵｓｅｒＡ−Ｏｆｆｉｃｅ」で識別される拠点、及び、接続先ＩＤ「ＵｓｅｒＢ−Ｏｆｆｉｃｅ」で識別される拠点であることは、ＶＰＮ間接続情報記憶部１２１（図８に例示）を参照することなどによって判明する。

すると、例えば、ＤＮＳ登録情報生成部１３７は、まず、ＶＰＮ間接続に属する拠点のひとつとして、接続先ＩＤ「ＵｓｅｒＡ−Ｏｆｆｉｃｅ」で識別される拠点用のＤＮＳ登録情報を生成する。接続先ＩＤ「ＵｓｅｒＡ−Ｏｆｆｉｃｅ」で識別される拠点に属する端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』の端末にとって通信相手となる他拠点配下の端末は、端末名『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』である。そこで、ＤＮＳ登録情報生成部１３７は、拠点内で一意となる端末の名称として端末名『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を決定し、端末名『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』と通信相手識別アドレス『１７２．１６．２．１０』との組から、ＤＮＳ登録情報であるＡレコード「β１ ＩＮ Ａ １７２．１６．２．１０」を生成する。

また、例えば、ＤＮＳ登録情報生成部１３７は、ＶＰＮ間接続に属する拠点のひとつとして、接続先ＩＤ「ＵｓｅｒＢ−Ｏｆｆｉｃｅ」で識別される拠点用のＤＮＳ登録情報を生成する。接続先ＩＤ「ＵｓｅｒＢ−Ｏｆｆｉｃｅ」で識別される拠点に属する端末名『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』の端末にとって通信相手となる他拠点配下の端末は、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』である。そこで、ＤＮＳ登録情報生成部１３７は、拠点内で一意となる端末の名称として端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を決定し、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』と通信相手識別アドレス『１７２．１６．１．１０』との組からＤＮＳ登録情報であるＡレコード「α１ ＩＮ Ａ １７２．１６．１．１０」を生成する。

そして、ＤＮＳ登録情報生成部１３７は、拠点ごとに生成したＤＮＳ登録情報を拠点ごとにＤＮＳ登録情報記憶部１２６に格納する。例えば、図２５に例示するように、ＤＮＳ登録情報記憶部１２６は、接続先ＩＤごとにＡレコードを記憶する。

ＤＮＳ登録部１３８は、通信相手識別アドレスと端末名との対応関係を示すＤＮＳ登録情報を、ＶＰＮ間接続に属する拠点ごとにＤＮＳに登録する。具体的には、ＤＮＳ登録部１３８は、ＤＮＳ登録情報生成部１３７によって生成されたＤＮＳ登録情報を広域ネットワークＤＮＳ装置に登録する。

例えば、ＤＮＳ登録部１３８は、アドレス変換情報記憶部１２４（図２２に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、ＤＮＳ登録情報を設定すべきタイミングであるか否かを判定する。アドレス変換情報を設定すべきタイミングであれば、ＤＮＳ登録情報を設定すべきタイミングであるからである。例えば、ＤＮＳ登録部１３８は、現在時刻とサービス開始時刻『ｔ１』とを比較して、ＤＮＳ登録情報を設定すべきタイミングであるか否かを判定する。

次に、ＤＮＳ登録部１３８は、ＤＮＳ登録情報を設定すべきタイミングであると判定すると、ＤＮＳ登録情報記憶部１２６を参照し、ＤＮＳ登録情報を取得する。例えば、ＤＮＳ登録部１３８は、図２５に例示するＤＮＳ登録情報（Ａレコード）を取得する。

そして、ＤＮＳ登録部１３８は、例えば、ＤＤＮＳ（Dynamic ＤＮＳ）などのプロトコルを利用して、広域ネットワークＤＮＳ装置に記憶されているゾーンファイルにＤＮＳ登録情報を登録する。なお、ＤＤＮＳ（Dynamic ＤＮＳ）などのプロトコルに限られず、ＤＮＳソフトウェアのデータベースのつくりによって、例えば、ｓｑｌコマンド、Ｔｅｌｎｅｔログインなどを利用してもよい。もっとも、この場合には、広域ネットワークＤＮＳ装置において、ファイルの再読み込みや、ＤＮＳプロセスの再起動などが必要になる。そこで、再読み込みを指示するコマンドや、再起動を指示するコマンドを含むプログラムをアタッチメント記憶部１２７に予め格納しておき、ＤＮＳ登録部１３８は、アタッチメント記憶部１２７に格納されたアタッチメントを用いて広域ネットワークＤＮＳ装置に登録情報を登録してもよい。なお、運用者などが直接ログインしファイルを書き換える等の方法により登録することは当然可能である。

削除部１３９は、ＶＰＮ終端装置、ＮＡＴ装置、集合仮想ルータ、及び広域ネットワークＤＮＳ装置に設定されたアドレス変換情報やルーティング情報、あるいはＤＮＳ登録情報を削除する。具体的には、削除部１３９は、タイマやポーリングなどによって定期的にアドレス変換情報記憶部１２４やルーティング情報記憶部１２５を参照し、ＶＰＮ間接続サービスを終了する時刻であるか否かを判定する。サービス終了時刻であると判定すると、アタッチメント記憶部１２７を参照し、該当するＶＰＮ終端装置や集合仮想ルータ、あるいは広域ネットワークＤＮＳ装置のアタッチメント（削除用）を取得する。そして、削除部１３９は、該当するアタッチメントを用いて、該当するＶＰＮ終端装置や集合仮想ルータ、あるいは広域ネットワークＤＮＳ装置から設定情報やＤＮＳ登録情報を削除する。なお、実施例２における削除部１３９は、アドレス変換情報記憶部１２４やルーティング情報記憶部１２５に記憶されている予約情報なども削除する。

［実施例２に係るＶＰＮ間接続管理システムによる処理手順］
続いて、実施例２に係るＶＰＮ間接続管理システム１００による処理手順を説明する。図３０は、実施例２に係るＶＰＮ間接続管理システム１００による処理手順を示すフローチャートであり、図３１は、ＤＮＳ登録の処理手順を示すフローチャートである。

図３０に例示するように、実施例２に係るＶＰＮ間接続管理システム１００は、仮想ルータを構築すべきタイミングであると判定すると（ステップＳ１０１肯定）、仮想ルータを構築する（ステップＳ１０２）。具体的には、仮想ルータ構築部１３２が、仮想ルータを構築する。

続いて、ＶＰＮ間接続管理システム１００は、変換用アドレスを決定し（ステップＳ１０３）、ルーティング情報を生成する（ステップＳ１０４）。具体的には、変換用アドレス決定部１３３が、変換用アドレスを決定し、ルーティング情報生成部１３５が、ルーティング情報を生成する。

そして、ＶＰＮ間接続管理システム１００は、アドレス変換情報及びルーティング情報を設定する（ステップＳ１０５）。具体的には、アドレス変換情報設定部１３４が、該当するＮＡＴ装置にアドレス変換情報を設定し、ルーティング情報設定部１３６が、該当する集合仮想ルータ及びＶＰＮ終端装置にルーティング情報を設定する。

ところで、図３１に例示するように、ＶＰＮ間接続管理システム１００は、変換用アドレス（通信相手識別アドレス（第一アドレス）、及び第二アドレス）が決定されたか否かを判定している（ステップＳ２０１）。具体的には、ＤＮＳ登録情報生成部１３７が、変換用アドレスが決定されたか否か（変換用アドレス決定部１３３から通知を受けたか否か）を判定している。

そして、ＤＮＳ登録情報生成部１３７は、変換用アドレスが決定されたと判定すると（ステップＳ２０１肯定）、アドレス変換情報記憶部１２４を参照し（ステップＳ２０２）、該当するアドレス変換情報を取得する（ステップＳ２０３）。

続いて、ＤＮＳ登録情報生成部１３７は、拠点内で一意となるように端末の名称を決定し、決定した端末の名称と通信相手識別アドレスとの組を、ＤＮＳ登録情報としてＶＰＮ間接続に属する拠点ごとに生成する（ステップＳ２０４）。

次に、ＶＰＮ間接続管理システム１００は、拠点ごとに生成されたＤＮＳ登録情報を広域ネットワークＤＮＳ装置に設定する（ステップＳ２０５）。

このように、実施例２によれば、ＶＰＮ間接続要求に応じて通信相手識別アドレスがオンデマンドに払い出されると、通信相手識別アドレスと端末の名称との対応関係を示すＤＮＳ登録情報を自動的にＤＮＳ１に登録する。このようなことから、利用者の負荷を軽減することが可能になる。また、実施例２によれば、広域ネットワークＤＮＳ装置に登録すべきＤＮＳ登録情報を拠点ごとに決定し、拠点ごとに広域ネットワークＤＮＳ装置に登録するので、広域ネットワークＤＮＳ装置側では、ＤＮＳ登録情報を拠点ごとに管理することになる。すると、たとえ、ある端末を識別するためにＶＰＮ間接続システム１００によって払い出された通信相手識別アドレスが拠点によって異なる場合であっても、広域ネットワークＤＮＳ装置は、どの拠点からの問い合わせであるか否かを判別することで、問い合わせ元の拠点に応じた正しい名前解決を行うことが可能になる。

［ＤＮＳの配置］
ところで、ＶＰＮ間接続システムにおいては、ＤＮＳをどのように配置し、ＤＮＳの問い合わせ（Query）をどのように処理するかという点についても、課題となる。実施例２におけるＶＰＮ間接続システムにおいては、図５に例示したように、各拠点にＤＮＳ装置が設置され、広域ネットワークに広域ネットワークＤＮＳ装置が設置される。図３２を用いて、実施例２におけるＤＮＳの配置をより詳しく説明する。図３２は、実施例２におけるＤＮＳの配置を説明するための図である。

図３２に例示するように、実施例２において、各拠点には、それぞれ、ＤＮＳ装置が設置される。例えば、拠点１に設置されたＤＮＳ装置１は、拠点１内あるいはインターネット（図示を省略）上の名前解決を行う。また、広域ネットワークには、広域ネットワークＤＮＳ装置が設置される。そして、集合仮想ルータに『共用リソース用仮想ルータ』を設定し、全ての拠点と広域ネットワークＤＮＳ装置との間をＶＰＮ間接続する。なお、図３２に例示するように、各拠点と広域ネットワークＤＮＳ装置との間にファイアウォールを設置し、ファイアウォールに、ＤＮＳの問い合わせ以外を通さない設定をする。

拠点１内の端末は、ＶＰＮ間接続以外の名前解決についてはＤＮＳ装置１に問い合わせ、ＶＰＮ間接続に関する名前解決については、広域ネットワークＤＮＳ装置に問い合わせる。具体的には、拠点１内の端末には、広域ネットワークドメインの名前解決については広域ネットワークＤＮＳ装置に問い合わせるように、検索条件が設定される。また、それ以外の名前解決については既存の検索条件を維持し、既存の検索順序で回送または再帰問い合わせを行うように、検索条件が設定される。なお、端末に対する設定は、拠点１に所属するユーザなどが実施する。

一方、拠点１に設置されたＤＮＳ装置１に対しても設定を行う。例えば、ＤＮＳ装置１の「ｎａｍｅｄ．ｃｏｎｆ」ファイルのｏｐｔｉｏｎｓステートメントに、以下に示す追記（３行目）を行う。なお、以下において、ｉは、ｉ＝１、２、・・・、ｎである。また、ＤＮＳ装置１に対する設定は、拠点１に所属するユーザなどが実施する。

ｚｏｎｅ“ｖｐｎ＿ｉ．ｖｐｎ．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ”｛
ｔｙｐｅ ｓｔｕｂ；
ｍａｓｔｅｒｓ｛ｄｎｓ＠ｖｐｎ．ｅｘａｍｐｌｅ．ｃｏ．ｊｐのＩＰアドレス；｝；
ｆｉｌｅ“ｖｐｎ＿ｉ．ｖｐｎ．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ．ｚｏｎｅ”；
ｆｏｒｗａｒｄｅｒｓ｛ ｝；

さて、上述したＤＮＳの配置では、自拠点が所属しない協働空間（他のＶＰＮ間接続）についても名前解決できてしまうという課題がある。また、上述したＤＮＳの配置では、自拠点に設置されたＤＮＳ装置に名前解決の結果がキャッシュされてしまうという課題がある。実施例２においては、これらの課題についても解消する。

まず、他のＶＰＮ間接続についても名前解決できてしまう課題を解消する手法について説明する。実施例２における広域ネットワークＤＮＳ装置は、上述したように、ＺｏｎｅファイルをＶＰＮ間接続ごとに管理する。また、実施例２における広域ネットワークＤＮＳ装置は、ＺｏｎｅファイルへのアクセスをＡＣＬ（Access Control List）により制御する。共用リソース用仮想ルータに設定された各拠点配下の端末を識別するアドレスは、共用リソース用仮想ルータに設定されたアドレスの中で一意であるので、ＡＣＬによる制御が可能である。

例えば、所定のＶＰＮ間接続に関するＺｏｎｅファイルについて、ＡＣＬに、当該Ｚｏｎｅファイルに記載されたＤＮＳ登録情報を公開することが許容された拠点に属する端末の通信相手識別アドレスを登録する。

例えば、ＡＣＬに、「access-list １０１ permit ip 名前解決を許容する端末のアドレス ｘ．ｘ．ｘ．ｘ 広域ネットワークＤＮＳ装置のアドレス ｙ．ｙ．ｙ．ｙ」及び「access-list １０１ deny ip any any」を登録する。前者は、名前解決を許容する端末から広域ネットワークＤＮＳ装置へのアクセスを許容することを記述している。このような記述を、アクセスを許容する端末の数分、記述する。ここで、「名前解決を許容する端末のアドレス」とは、ＮＡＴ装置によってアドレス変換された後のアドレス（第二アドレス）である。また、後者は、広域ネットワークＤＮＳ装置へのアクセスを許容する端末のアドレス以外からの全てのアクセスを拒否（deny）することを記述している。なお、ＡＣＬの記述手法は上記に限られるものではなく、ＡＣＬを設定する機器に応じて任意に変更できる。

そして、広域ネットワークＤＮＳ装置は、ＤＮＳ問い合わせの送信元アドレスを抽出し、抽出した送信元アドレスが、問い合わせ先のＺｏｎｅファイルに記載されたＤＮＳ登録情報を公開することが許容された拠点に属する端末として登録されたアドレスであるか否かを判定すればよい。

もっとも、例えば、ＶＰＮ間接続に所属するユーザに応じてアクセスが許容されるサーバが異なるなど、解決することが許容される名前、解決することが許容されない名前がユーザごとに規定される場合もある。言い換えると、ユーザレベルの制御が求められる場合である。なお、名前解決できてしまったとしても、ファイアウォールでアクセスできないようにフィルタリングされているなどすれば、セキュリティ上の問題は生じないと考えられる。

このような場合には、ＤＮＳプロキシ（Proxy）やＤＰＩ（Deep Packet Inspection）などの技術を用いる。図３３及び図３４は、ユーザレベルの制御を説明するための図である。

例えば、図３３に例示する手法は、拠点に設置されたＤＮＳ装置と、広域ネットワークＤＮＳ装置との間に、ＤＮＳプロキシを設置する手法であり、フィルタリング機能の一種である。例えば、ＶＰＮをユーザ側で終端するＨＧＷ（Home GateWay）や、ＶＰＮを広域ネットワーク側で終端するＶＰＮ終端装置に、ＤＮＳプロキシの機能を実装すればよい。

ＤＮＳプロキシは、拠点の端末から送信された問い合わせ（Query）を解析し、問い合わせの送信元及び問い合わせの対象名を用いて、アクセスが許容されているか否かを判定し、許容されていない場合には、エラー応答を行う。

すなわち、図３３に例示するように、端末が、名前解決の問い合わせを送信すると、端末によって送信された問い合わせは、ＤＮＳプロキシによって受信される（図３３の（１）を参照）。ＤＮＳプロキシは、広域ネットワークドメイン以外の名前を問い合わせるものである場合には、拠点に設置されたＤＮＳ装置に問い合わせを転送する（図３３の（２）を参照）。

一方、ＤＮＳプロキシは、広域ネットワークドメインの名前を問い合わせるものである場合には、広域ネットワークＤＮＳ装置に問い合わせを転送する（図３３の（３）を参照）。もっとも、ＤＮＳプロキシは、問い合わせの送信元及び問い合わせの対象名を用いて、アクセスが許容されているか否かを判定し、許容されていない場合には、エラー応答を行うことも可能である。なお、ＤＮＳプロキシに、ユーザレベルのアクセス許容情報が予め登録されている必要がある。この登録は、例えば上記ＡＣＬと同様の記述が、例えばＶＰＮ間接続サービスの契約時などに行われればよい。

一方、例えば、図３４に例示する手法は、広域ネットワークＤＮＳ装置自体に、上記ＤＮＳプロキシと同様の判定を行わせる手法である。広域ネットワークＤＮＳ装置が、拠点の端末から送信された問い合わせ（Query）を解析し、問い合わせの送信元及び問い合わせの対象名を用いて、アクセスが許容されているか否かを判定し、許容されていない場合には、エラー応答を行う。

すなわち、図３４に例示するように、端末が、名前解決の問い合わせを送信すると（図３４の（１）を参照）、端末によって送信された問い合わせは、まず、拠点に設置されたＤＮＳ装置によって受信される（図３４の（２）を参照）。

ＤＮＳ装置は、広域ネットワークドメインの名前を問い合わせるものである場合には、広域ネットワークＤＮＳ装置に問い合わせを転送する（図３４の（３）を参照）。すると、広域ネットワークＤＮＳ装置は、問い合わせの送信元及び問い合わせの対象名を用いて、アクセスが許容されているか否かを判定し、許容されていない場合には、エラー応答を行う。

なお、広域ネットワークＤＮＳ装置に、ユーザレベルのアクセス許容情報が予め登録されている必要がある。この登録は、例えば上記ＡＣＬと同様の記述が、例えばＶＰＮ間接続サービスの契約時などに行われればよい。あるいは、企業のＶＰＮ間接続の管理者などが、ユーザ用のＷｅｂサーバから、どのユーザがどの仮想ルータにアクセスしてよいか、どのユーザが他のＶＰＮからのアクセスを許容してよいかを登録してもよい。ＶＰＮ間接続管理システム１００は、情報が登録されたタイミングやその他任意のタイミングで、広域ネットワークＤＮＳ装置に登録すればよい。

次に、ＤＮＳ装置に名前解決の結果がキャッシュされてしまう課題を解消する手法について説明する。実施例２におけるＤＮＳ装置は、ＴＴＬ（Time To Live）を短く設定するか、毎回、広域ネットワークドメインの登録情報をキャッシュからクリアする機能を実装するか、いずれかの手法を実装すればよい。なお、決定のドメインの登録情報をキャッシュからクリアする機能は、公知技術を用いればよい。

なお、実施例２においては、広域ネットワークＤＮＳ装置に相当するＤＮＳの機能や、ＤＮＳとの間のＩ／Ｆ数などを、拠点や仮想ルータごとに分割するのではなく共用化することで節約し、コスト削減も実現する。また、時間的に生成消滅する（動的な）仮想ルータごとではなく、静的に存在している拠点ごとにゾーンファイルを割り当てることで、静的にＤＮＳを実現できているといえる。

また、サーバ仮想化技術を用いることにより、一つのハードウェアを仮想的に複数に見せることができるので、この仮想化技術を利用して、広域ネットワークＤＮＳ装置を仮想的に拠点の数と同じ数に見せ、それぞれの仮想化されたＤＮＳ装置を、拠点ごとに用意した仮想ルータに収容する構成としてもよい。すなわち、例えば実施例２では、全拠点一つの共有リソース用仮想ルータ−一台の広域ネットワークＤＮＳ装置という対応関係であったが、仮想化することにより、一つの拠点−一つの仮想ルータ−一つの仮想ＤＮＳ装置という対応関係を、拠点の数だけ構成してもよい。

また、実施例２においては、上述したように、ＤＮＳの配置に伴い、ファイアウォールの設定やＡＣＬの登録など各種設定を行ったが、これらの情報の登録や削除は、例えば、広域ネットワークＤＮＳ装置に登録情報を登録するタイミング、削除するタイミングで行ってもよい。すなわち、実施例２においては、ＤＮＳ登録部１３８が、登録情報を設定すべきタイミングであると判定すると、広域ネットワークＤＮＳ装置に登録情報を登録し、削除部１３９が、ＶＰＮ間接続サービスを終了する時刻であると判定すると、広域ネットワークＤＮＳ装置から登録情報を削除するなどした。そこで、同様に、例えばＤＮＳ登録部１３８や削除部１３９が、ファイアウォールの設定やＡＣＬなどの登録や削除も、広域ネットワークＤＮＳ装置に登録情報を設定すべきタイミングや、広域ネットワークＤＮＳ装置から登録情報を削除するタイミングで、該当する機器に対して行ってもよい。

［実施例２の効果］
上述したように、実施例２によれば、ＤＮＳ登録情報生成部１３７が、ＶＰＮ間接続要求に応じて、通信相手となる他拠点配下の端末を拠点内で識別するための通信相手識別アドレスがＶＰＮ間接続に属する拠点ごとに払い出されると、拠点内で一意となるように端末の名称を決定し、決定した端末の名称と通信相手識別アドレスとの組を、ＤＮＳ登録情報としてＶＰＮ間接続に属する拠点ごとに生成する。また、ＤＮＳ登録部１３８が、ＤＮＳ登録情報生成部１３７によって生成されたＤＮＳ登録情報を、ＶＰＮ間接続に属する拠点ごとに広域ネットワークＤＮＳ装置に登録する。

アドレス変換情報は、ＶＰＮ間接続ごとに変化し、仮に同じＶＰＮ間接続でも、一度終了した後、再度行う場合には、変化してしまう可能性がある。このため、名前解決におけるアドレス−端末名の対応関係も変化する。したがって、上記変化を吸収するように、ＤＮＳ登録もアドレス変換に応じて変える方法が必要である。

この点、実施例２によれば、ＶＰＮ間接続要求に応じて通信相手識別アドレスが払い出されると、ＶＰＮ間接続管理システム１００が、端末の名称と通信相手識別アドレスとの組を自動的に広域ネットワークＤＮＳ装置に登録するので、管理者の負荷を軽減することが可能になる。すなわち、決定されたアドレス変換情報を用いて、その都度、ＤＮＳへのエントリの登録、削除を自動的に行うことにより、ＤＮＳの名前解決が、人手を介さずに自動的に可能となる。

また、実施例２によれば、広域ネットワークＤＮＳ装置は、通信相手識別アドレスと端末の名称との対応関係を示すＤＮＳ登録情報を拠点ごとに管理し、対応関係を名前解決するための問い合わせを各拠点から受け付ける。そして、広域ネットワークＤＮＳ装置は、問い合わせ元の拠点を識別し、該拠点による問い合わせが許容されているか否かに応じて名前解決を行う。

また、実施例２によれば、広域ネットワークＤＮＳ装置は、問い合わせ元の拠点を識別するとともに問い合わせ元の端末を識別し、該拠点の該端末による問い合わせが許容されているか否かに応じて名前解決を行う。

このようなことから、実施例２によれば、ＤＮＳ応答において、拠点レベル、ユーザレベルによる制御が可能になる。

すなわち、上述したＶＰＮ間接続システムにおいては、他拠点に所属する端末の名称をＤＮＳで解決して当該端末のアドレスを取得し、接続することになる。ここで、ＤＮＳのＺｏｎｅファイルは、基本的には拠点毎に構成されるが、その結果、一つの拠点内の全端末からアドレス問い合わせが可能になる。一方、管理者には、セキュリティ上の要請から、他の拠点へアクセスできるユーザ（端末）（および、他の拠点からのアクセスを許容するユーザ（端末））を制限したいという要望がある。ファイアウォールで許容されているユーザ以外はアクセスを制限する方法や、許容されているユーザ向けのルーティング以外は設定しないという手法で、この制限を実現することが可能である。しかしながら、他の拠点へのアクセスを許容されていないユーザに対しては、接続相手の端末の名称が分かっていても、そのアドレスを教えないということが、セキュリティ上より入念な方法といえる。そこで、ＤＮＳへの名前解決要求に対し回答する又は回答しないといった制限を、上記アクセスを許容するユーザ以外には行うという手法を、ＤＮＳへの登録とセットで実行することが合理的である。

実施例２に係るＶＰＮ間接続システムは、広域ネットワークＤＮＳ装置と各拠点とをＶＰＮ間接続することにより広域ネットワークＤＮＳ装置を設置するものであったが、本発明におけるＤＮＳの配置は、これに限られるものではない。以下、図３５を用いて、実施例３におけるＤＮＳの配置をより詳しく説明する。図３５は、実施例３におけるＤＮＳの配置を説明するための図である。

図３５に例示するように、実施例３において、各拠点には、それぞれ、ＤＮＳ装置が設置される。例えば、拠点１に設置されたＤＮＳ装置１は、拠点１内あるいはインターネット（図示を省略）上の名前解決を行う。

また、実施例３においては、実施例２と異なり、各拠点を収容するＶＰＮ終端装置に広域ネットワークＤＮＳ装置用のＩ／Ｆを作成し、ＮＡＰＴ（Network Address Port Translation）経由で広域ネットワークＤＮＳ装置に接続する。また、図３５においては図示を省略しているが、例えば、広域ネットワークＤＮＳ装置用のＩ／Ｆと広域ネットワークＤＮＳ装置との間にファイアウォールを設置し、ファイアウォールに、ＤＮＳの問い合わせ以外を通さない設定をする。

また、他のＶＰＮ間接続についても名前解決できてしまう課題を解消する手法については、実施例２と同様、実施例３における広域ネットワークＤＮＳ装置も、ＺｏｎｅファイルをＶＰＮ間接続ごとに作成し、ＺｏｎｅファイルへのアクセスをＡＣＬにより制御すればよい。なお、各拠点はポート番号により識別されるので、ＡＣＬによる制御はポート番号を用いた制御となる。

さて、これまで、例えば、実施例２に係るＶＰＮ間接続管理システム１００や実施例３に係るＶＰＮ間接続管理システム１００を説明してきたが、これらのＶＰＮ間接続管理システム１００は、一つの拠点のある端末が、重複する時間帯に複数の協働空間に多重帰属する場合について、特に考慮するものではなかった。この点、以下に説明する実施例４に係るＶＰＮ間接続管理システム１００においては、一つの拠点が複数の協働空間に多重帰属する場合にも、正しく名前解決をすることが可能である。

図３６は、多重帰属における端末名の決定を説明するための図である。まず、図３６を用いて多重帰属の具体例を説明する。図３６に例示するように、集合仮想ルータには、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続と、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続とが構築されている。これらのＶＰＮ間接続は、重複する時間帯に構築されているものとする。

ここで、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続には、図３６に例示するように、拠点Ａの端末α１、拠点Ｂの端末β１、及び拠点Ｃの端末γ１が属する。また、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続には、図３６に例示するように、拠点Ａの端末α１、及び拠点Ｃの端末γ１が属する。すなわち、拠点Ａの端末α１は、重複する時間帯に、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続と、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続とに多重帰属する。また、拠点Ｃの端末γ１も、重複する時間帯に、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続と、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続とに多重帰属する。

また、図３６においては図示を省略しているが、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続については、拠点Ａついて、端末β１を識別するための通信相手識別アドレス「アドレスＢ１」と、端末γ１を識別するための通信相手識別アドレス「アドレスＣ１」とが払い出されたとする。また、拠点Ｂについて、端末α１を識別するための通信相手識別アドレス「アドレスＡ１」と、端末γ１を識別するための通信相手識別アドレス「アドレスＣ２」とが払い出されたとする。また、拠点Ｃについて、端末α１を識別するための通信相手識別アドレス「アドレスＡ２」と、端末β１を識別するための通信相手識別アドレス「アドレスＢ２」とが払い出されたとする。

また、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続については、拠点Ａついて、端末γ１を識別するための通信相手識別アドレス「アドレスＣ３」が払い出されたとする。また、拠点Ｃについて、端末α１を識別するための通信相手識別アドレス「アドレスＡ３」が払い出されたとする。

一方、広域ネットワークＤＮＳ装置は、拠点ごとにＤＮＳ登録情報を管理する。例えば、広域ネットワーク装置は、拠点Ａについては、
「アドレスＢ１」と「端末β１」との対応関係を示すＤＮＳ登録情報
「アドレスＣ１」と「端末γ１」との対応関係を示すＤＮＳ登録情報
「アドレスＣ３」と「端末γ１」との対応関係を示すＤＮＳ登録情報
を記憶することになる。

このような状況下、端末α１が端末γ１に向けて通信を行う場合、端末α１は、端末γ１の名称を用いて広域ネットワークＤＮＳ装置に対する問い合わせを行うことにより、端末γ１のアドレスを取得する必要がある。ところが、端末α１は、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続をする場合にも、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続をする場合にも、同じ「端末γ１の名称」で名前解決をしようとする。このため、広域ネットワークＤＮＳ装置は、名前解決に対する応答として、「アドレスＣ１」を応答すべきであるのか、「アドレスＣ３」を応答すべきであるのか、判断がつかない。

そこで、実施例４に係るＶＰＮ間接続管理システム１００は、端末の名称がＶＰＮ間接続ごとに一意となるように端末の名称を決定し、決定した端末の名称と通信相手識別アドレスとの組を、ＤＮＳ登録情報として決定する。

一例を説明する。例えば実施例２においては、ＤＮＳ登録情報生成部１３７は、ＶＰＮ間接続情報記憶部１２１において管理している「端末名」をそのままＤＮＳ登録情報の「端末の名称」とした（なお、実施例２においては、ＶＰＮ間接続要求として入力された「端末名」とも一致する）。この場合の「端末名」は、ＶＰＮ間接続管理システム１００において各拠点配下の端末を識別するための識別情報であり、基本的に、一つの端末に対して一つであった。

そこで、実施例４において、ＤＮＳ登録情報生成部１３７は、例えば、この「端末名」に「仮想ルータ名」を追記することで、端末の名称がＶＰＮ間接続ごとに一意となるように端末の名称を決定する。例えば、図３６に例示するように、拠点Ａにおいては、仮想ルータ名「ｖｒｆ１」下の端末γ１と、仮想ルータ名「ｖｒｆ２」下の端末γ１とを区別する必要がある。そこで、ＤＮＳ登録情報生成部１３７は、ＶＰＮ間接続情報記憶部１２１において管理している端末γ１の端末名「γ１＠ｖｐｎ３．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ」に仮想ルータ名を追記し、「γ１＠ｖｒｆ１．ｖｐｎ３．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ」や「γ１＠ｖｒｆ２．ｖｐｎ３．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ」と決定する。

そして、ＤＮＳ登録情報生成部１３７は、ＤＮＳ登録情報であるＡレコードを生成する。例えば、仮想ルータ名「ｖｒｆ１」下の端末γ１を識別するための通信相手識別アドレスが『１７２．１６．３．１０』であり、仮想ルータ名「ｖｒｆ１」下の端末γ１を識別するための通信相手識別アドレスが『１７２．１６．３０．１０』であったとする。すると、ＤＮＳ登録情報生成部１３７は、ＤＮＳ登録情報であるＡレコード「γ１．ｖｒｆ１ ＩＮ Ａ １７２．１６．３．１０」と、Ａレコード「γ１．ｖｒｆ２ ＩＮ Ａ １７２．１６．３０．１０」とを生成する。このＡレコードの記述は、「ｖｐｎ３．ｅｘｍａｐｌｅ．ｃｏ．ｊｐ」というドメインのレベルでＤＮＳがあり、そのＤＮＳがサブドメイン（ｖｒｆ１、ｖｒｆ２）の名前も含めて名前の解決をすることを意味する。

なお、端末の名称がＶＰＮ間接続ごとに一意となるように端末の名称を決定する手法は、上記手法に限られるものではない。通信相手となる他拠点配下の端末をある拠点内で識別するための端末の名称は、ＶＰＮ間接続ごとに一意に決定されるものであれば、その決定手法はどのような手法であってもよい。

次に、図３７を用いて、実施例５に係るＤＮＳ登録装置を説明する。実施例５においては、ＶＰＮ間接続管理システムとは別にＤＮＳ登録装置が備えられ、ＶＰＮ間接続管理システムによって決定されたアドレスが、ＤＮＳ登録装置に通知される。

図３７は、実施例５に係るＤＮＳ登録装置２００の構成を示すブロック図である。図３７に例示するように、実施例５に係るＤＮＳ登録装置２００は、通信部２１０と、入力部２１１と、出力部２１２と、入出力制御Ｉ／Ｆ部２１３と、記憶部２２０と、制御部２３０とを備える。

また、記憶部２２０は、ＤＮＳ登録情報記憶部２２１と、アタッチメント記憶部２２２とを備える。ＤＮＳ登録情報記憶部２２１は、実施例２において説明したＤＮＳ登録情報記憶部１２６に対応し、同様の機能を有する。また、アタッチメント記憶部２２２は、実施例２において説明したアタッチメント記憶部１２７に対応し、同様の機能を有する。

また、制御部２３０は、ＤＮＳ登録情報生成部２３１と、ＤＮＳ登録部２３２とを備える。ＤＮＳ登録情報生成部２３１は、実施例２において説明したＤＮＳ登録情報生成部１３７に対応し、同様の機能を有する。すなわち、ＤＮＳ登録情報生成部２３１は、ＶＰＮ間接続管理システムから必要な情報の通知を受け、この情報に基づいて組を決定し、ＤＮＳ登録情報を生成する。ＤＮＳ登録部２３２は、実施例２において説明したＤＮＳ登録部１３８に対応し、同様の機能を有する。

すなわち、実施例５に係るＤＮＳ登録装置２００は、実施例２に係るＶＰＮ間接続管理システム１００に備えられていた一部の機能を、他の物理的な筐体に分離したものである。また、実施例５に係るＤＮＳ登録装置２００は、必ずしも図３７に例示する各部を備えていなければならないものではなく、あるいは、他の部を備えていてもよい。例えば、ＤＮＳ登録装置２００は、ＤＮＳ登録情報生成部２３１によるＤＮＳ登録情報生成後、ＤＮＳ登録情報をＶＰＮ間接続管理システムに通知するのであれば、必ずしもＤＮＳ登録情報記憶部２２１やアタッチメント記憶部２２２を備える必要はない。この場合には、ＶＰＮ間接続管理システム側で、ＤＮＳ登録装置２００から通知されたＤＮＳ登録情報を記憶し、このＤＮＳ登録情報に基づき広域ネットワークＤＮＳ装置に対する設定を行えばよい。

さて、これまで本発明の実施例１〜５について説明したが、本発明は、上記した実施例以外にも種々の異なる形態にて実施されてよいものである。

例えば、上記実施例では、ＤＮＳに登録すべき端末名であるか否かを区別せずに、全てＤＮＳに登録することを想定したが、本発明はこれに限られるものではない。例えば、拠点においてＶＰＮ間接続を管理する管理者が、ユーザ用のＷｅｂサーバなどを用いて、ＶＰＮ間接続管理システム１００に対して、外部からのアクセスを許容する端末を事前に登録する。ＶＰＮ間接続管理システム１００は、この登録に従うようにファイアウォールの設定を行い、外部からのアクセスを制御する。

また、管理者により登録された端末については、他の拠点からのアクセスを許容するため、それら外部の端末利用者に対し端末名を公開してもよい。このため、ＶＰＮ間接続管理システム１００は、端末名とアドレスとの組をＡレコードとして広域ネットワークＤＮＳ装置に登録する。一方、外部からのアクセスを許容しない端末名については、公開する必要がなく、仮に広域ネットワークＤＮＳ装置にその端末名を問い合わせても、アドレスを返答しないように制御したい。そこで、ＶＰＮ間接続管理システム１００は、広域ネットワークＤＮＳ装置に登録しない。

［ネットワーク構成］
また、上記実施例では、スター型のネットワーク構成を想定したが、本発明はこれに限られるものではなく、フルメッシュ型のネットワーク構成の場合にも、同様に適用することができる。

［その他］
また、上記実施例において説明した各処理のうち、自動的に行われるとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、転送制御装置の一例として、ＶＲＦ（VPN routing and forwarding table）を適用してもよく、これにより、１つの転送制御装置内で仮想的に複数の転送制御装置が稼動しているようにみなすことができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵ（Central Processing Unit）および当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、上記の実施例で説明したＤＮＳ登録方法は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのＩＰネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、ＭＯ（Magneto-Optical disk）、ＤＶＤ（Digital Versatile Disk）などのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

１ ＤＮＳ
１０ ＤＮＳ登録装置
１１ 登録情報生成部
１２ ＤＮＳ登録部

Claims (12)

1. 複数の拠点間を拠点間接続する拠点間接続要求に応じて、通信相手となる他拠点配下の端末を拠点内で識別するための通信相手識別アドレスが該拠点間接続に属する拠点であって名前解決をするための問い合わせ元となり得る拠点ごとに払い出されると、該拠点内で一意となるように該端末の名称を決定し、決定した該端末の名称と該通信相手識別アドレスとの組を、ＤＮＳに登録する登録情報として該拠点間接続に属する拠点ごとに生成する生成手段と、
   前記生成手段によって生成された登録情報を、名前解決をするための問い合わせ元となり得る拠点ごとに区別して、ＤＮＳに登録する登録手段と
   を備えたことを特徴とするＤＮＳ登録装置。
2. 前記生成手段は、拠点間接続ごとに一意となるように前記端末の名称を決定し、決定した端末の名称と前記通信相手識別アドレスとの組を拠点ごとに生成することを特徴とする請求項１に記載のＤＮＳ登録装置。
3. 広域ネットワークを介して複数の拠点であるＶＰＮ間をＶＰＮ間接続するシステムを管理するＶＰＮ間接続管理システムであって、
   ＤＮＳ登録装置は、
   複数のＶＰＮ間をＶＰＮ間接続するＶＰＮ間接続要求に応じて、通信相手となる他拠点配下の端末を拠点内で識別するための通信相手識別アドレスが該ＶＰＮ間接続に属する拠点であって名前解決をするための問い合わせ元となり得る拠点ごとに払い出されると、該拠点内で一意となるように該端末の名称を決定し、決定した該端末の名称と該通信相手識別アドレスとの組を、ＤＮＳに登録する登録情報として該ＶＰＮ間接続に属する拠点ごとに生成する生成手段と、
   前記生成手段によって生成された登録情報を、名前解決をするための問い合わせ元となり得る拠点ごとに区別して、広域ＤＮＳ装置に登録する登録手段とを備え、
   前記広域ＤＮＳ装置は、
   登録情報を名前解決をするための問い合わせ元となり得る拠点ごとに記憶する登録情報記憶手段と、
   名前解決するための問い合わせを各拠点から受け付ける受付手段と、
   前記受付手段によって問い合わせが受け付けられると、問い合わせ元の拠点を識別し、識別した拠点に応じて前記登録情報記憶手段を検索し、名前解決を行う名前解決手段と
   を備えたことを特徴とするＶＰＮ間接続管理システム。
4. 前記生成手段は、ＶＰＮ間接続ごとに一意となるように前記端末の名称を決定し、決定した端末の名称と前記通信相手識別アドレスとの組を拠点ごとに決定することを特徴とする請求項３に記載のＶＰＮ間接続管理システム。
5. 前記名前解決手段は、前記受付手段によって問い合わせが受け付けられると、問い合わせ元の拠点を識別するとともに問い合わせ元の端末を識別し、該拠点の該端末による問い合わせが許容されているか否かに応じて名前解決を行うことを特徴とする請求項３または４に記載のＶＰＮ間接続管理システム。
6. 前記ＶＰＮ間接続管理システムは、前記システムにおいて前記広域ＤＮＳ装置と各拠点とをＶＰＮ間接続することにより、前記広域ＤＮＳ装置を設置するものであって、
   前記広域ＤＮＳ装置の名前解決手段は、前記受付手段によって問い合わせが受け付けられると、該問い合わせに含まれる送信元のアドレスにより拠点を識別し、名前解決を行うことを特徴とする請求項３〜５のいずれか一つに記載のＶＰＮ間接続管理システム。
7. 前記ＶＰＮ間接続管理システムは、前記広域ＤＮＳ装置と各拠点とをＮＡＰＴ装置を介して接続することにより、前記広域ＤＮＳ装置を設置するものであって、
   前記広域ＤＮＳ装置の名前解決手段は、前記受付手段によって問い合わせが受け付けられると、該問い合わせに含まれる送信元のポート番号により拠点を識別し、名前解決を行うことを特徴とする請求項３〜６のいずれか一つに記載のＶＰＮ間接続管理システム。
8. 請求項３〜７のいずれか一つに記載のＶＰＮ間接続管理システムが備える広域ＤＮＳ装置。
9. コンピュータを、請求項１または２に記載のＤＮＳ登録装置、または請求項３〜７のいずれか一つに記載のＶＰＮ間接続管理システムが備えるＤＮＳ登録装置として機能させることを特徴とするＤＮＳ登録プログラム。
10. コンピュータを請求項３〜７のいずれか一つに記載のＶＰＮ間接続管理システムが備える広域ＤＮＳ装置として機能させることを特徴とする広域ＤＮＳプログラム。
11. コンピュータが、
    複数の拠点間を拠点間接続する拠点間接続要求に応じて、通信相手となる他拠点配下の端末を拠点内で識別するための通信相手識別アドレスが該拠点間接続に属する拠点であって名前解決をするための問い合わせ元となり得る拠点ごとに払い出されると、該拠点内で一意となるように該端末の名称を決定し、決定した該端末の名称と該通信相手識別アドレスとの組を、ＤＮＳに登録する登録情報として該拠点間接続に属する拠点ごとに生成する生成工程と、
    前記生成工程によって生成された登録情報を、名前解決をするための問い合わせ元となり得る拠点ごとに区別して、ＤＮＳに登録する登録工程と
    を含むことを特徴とするＤＮＳ登録方法。
12. 広域ネットワークを介して複数の拠点であるＶＰＮ間をＶＰＮ間接続するシステムを管理するＶＰＮ間接続管理方法であって、
    ＤＮＳ登録装置としてのコンピュータが、
    複数のＶＰＮ間をＶＰＮ間接続するＶＰＮ間接続要求に応じて、通信相手となる他拠点配下の端末を拠点内で識別するための通信相手識別アドレスが該ＶＰＮ間接続に属する拠点であって名前解決をするための問い合わせ元となり得る拠点ごとに払い出されると、該拠点内で一意となるように該端末の名称を決定し、決定した該端末の名称と該通信相手識別アドレスとの組を、ＤＮＳに登録する登録情報として該ＶＰＮ間接続に属する拠点ごとに生成する生成工程と、
    前記生成工程によって生成された登録情報を、名前解決をするための問い合わせ元となり得る拠点ごとに区別して、広域ＤＮＳ装置に登録する登録工程とを含み、
    前記広域ＤＮＳ装置としてのコンピュータが、
    名前解決するための問い合わせを各拠点から受け付ける受付工程と、
    前記受付工程によって問い合わせが受け付けられると、問い合わせ元の拠点を識別し、識別した拠点に応じて、登録情報を名前解決をするための問い合わせ元となり得る拠点ごとに記憶する登録情報記憶部を検索し、名前解決を行う名前解決工程と
    を含むことを特徴とするＶＰＮ間接続管理方法。

Images