JP5362640B2 - アドレス登録装置、アドレス登録方法、アドレス登録プログラム、及びアドレス登録システム - Google Patents

Description

本発明は、アドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムに関する。

近年、複数の拠点間を拠点間接続することで協働空間を提供するサービスが登場した。特に、オンデマンド（on−demand）なサービス、すなわち、要求に応じて時限的に拠点間接続するサービスに対する要望が高い。ここで、「拠点」とは、ＶＰＮ（Virtual Private Network）や地理的条件などによって到達性を制限され孤立しているネットワークドメインのことである。また、「拠点間接続」とは、ある拠点の端末から送信されたパケットをある拠点の端末に対して転送するための情報を該拠点間の経路上に存在する各機器に設定することで、拠点間を通信可能に相互接続することである。また、「協働空間」とは、拠点間接続により生じたネットワークドメインのことであり、相互接続された範囲を新たな到達可能範囲とするネットワークドメインのことである。

ところで、複数の拠点間を拠点間接続する場合には、通信を行う端末同士でＩＰ（Internet Protocol）アドレス（以下、特記する場合を除き単に「アドレス」という）の重複（アドレスの競合とも称する）が生じないように、アドレスが付与されなければならない。なお、アドレスの競合に関する説明においては、説明の便宜上、サーバやネットワーク装置など、アドレスを付与され通信を行うデバイス全てを含め、端末という。この点、従来、複数の拠点間を静的に拠点間接続する場合には、例えば事前にアドレス設計を行い、各拠点内で使用するアドレスが競合しないように、アドレスの再割り当てを行っている。しかし、例えばオンデマンドで拠点間接続する場合、事前のアドレス設計やアドレスの再割り当てを行うことが難しい場合がある。このため、拠点間接続においては、アドレスの競合を回避するためのアドレスの変換（以下、アドレス変換）を行う手法が提案されている。

特開２００１−２６８１２５号公報

本田 治他、「利用者の多重帰属を実現するＶＰＮのプロトタイプ実装」、信学技報ＩＮ２００４−１８１（２００５−０２）、Ｐ．４３−４８ 小山 高明、唐澤 秀一、岸 和宏、水野 伸太郎、岩村 相哲、「ＶＰＮ間接続管理システムの提案」、信学技報ＩＮ２００９−４８（２００９−０９）、Ｐ．５３−５８

しかしながら、上記アドレス変換の手法においては、拠点間接続の際に通信を行う端末に付与されているＩＰアドレスに対し、ＩＰアドレスの競合を回避するためのアドレス変換情報をその都度生成し、生成したアドレス変換情報をアドレス変換装置に登録しなければならない。このため、アドレスの登録処理を適切に行うことが難しいという課題があった。

開示の技術は、上記に鑑みてなされたものであって、アドレスの登録処理を適切に行うことが可能なアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムを提供することを目的とする。

本願の開示するアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムは、一つの態様において、広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対して、該拠点間接続にて用いられるアドレス変換情報を登録するアドレス登録装置であって、所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するために該拠点間接続を利用する時間帯において該拠点内で通信相手となり得る端末の中で一意となるように決定された第一アドレスと、該拠点間接続に属する各拠点配下の端末を前記広域ネットワーク内で識別するために該拠点間接続を利用する時間帯において該拠点間接続として制御され得る端末の中で一意となるように決定された第二アドレスとを取得する取得手段と、前記拠点間接続に属する各拠点配下の端末を該拠点内で識別するために払い出された拠点内アドレスと前記取得手段によって取得された第二アドレスとを変換するアドレス変換情報、および、前記取得手段によって取得された第一アドレスと前記取得手段によって取得された第二アドレスとを変換するアドレス変換情報を生成する生成手段と、前記生成手段によって生成されたアドレス変換情報を、前記広域ネットワークと前記拠点それぞれとの間に設置されたアドレス変換装置に登録する登録手段とを備える。

本願の開示するアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムは、一つの態様において、広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対して、該拠点間接続にて用いられるアドレス変換情報を登録するアドレス登録方法であって、コンピュータが、所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するために該拠点間接続を利用する時間帯において該拠点内で通信相手となり得る端末の中で一意となるように決定された第一アドレスと、該拠点間接続に属する各拠点配下の端末を前記広域ネットワーク内で識別するために該拠点間接続を利用する時間帯において該拠点間接続として制御され得る端末の中で一意となるように決定された第二アドレスとを取得する取得工程と、前記拠点間接続に属する各拠点配下の端末を該拠点内で識別するために払い出された拠点内アドレスと前記取得工程によって取得された第二アドレスとを変換するアドレス変換情報、および、前記取得工程によって取得された第一アドレスと前記取得工程によって取得された第二アドレスとを変換するアドレス変換情報を生成する生成工程と、前記生成工程によって生成されたアドレス変換情報を、前記広域ネットワークと前記拠点それぞれとの間に設置されたアドレス変換装置に登録する登録工程とを含む。

本願の開示するアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムは、一つの態様において、コンピュータをアドレス登録装置として機能させる。

本願の開示するアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムは、一つの態様において、広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対してアドレス登録装置が該拠点間接続にて用いられるアドレス変換情報を登録する場合に、該端末を該拠点内で識別するために払い出された拠点内アドレスの問い合わせを該アドレス登録装置から受け付ける受付手段と、前記受付手段によって問い合わせが受け付けられると、前記拠点内アドレスを前記アドレス登録装置に対して応答する応答手段とを備える。

本願の開示するアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムは、一つの態様において、端末としてのコンピュータが、広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対してアドレス登録装置が該拠点間接続にて用いられるアドレス変換情報を登録する場合に、該端末を該拠点内で識別するために払い出された拠点内アドレスの問い合わせを該アドレス登録装置から受け付ける受付工程と、前記受付工程によって問い合わせが受け付けられると、前記拠点内アドレスを前記アドレス登録装置に対して応答する応答工程とを含む。

本願の開示するアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムは、一つの態様において、コンピュータを端末として機能させる。

本願の開示するアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムは、一つの態様において、広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対して、該拠点間接続にて用いられるアドレス変換情報を登録するアドレス登録システムであって、前記システムに対して前記アドレス変換情報を登録するアドレス登録装置は、所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するために該拠点間接続を利用する時間帯において該拠点内で通信相手となり得る端末の中で一意となるように決定された第一アドレスと、該拠点間接続に属する各拠点配下の端末を前記広域ネットワーク内で識別するために該拠点間接続を利用する時間帯において該拠点間接続として制御され得る端末の中で一意となるように決定された第二アドレスとを取得する取得手段と、端末の利用者を認証する利用者認証手段と、前記利用者認証手段による利用者認証の完了を契機として、前記拠点間接続に属する各拠点配下の端末を該拠点内で識別するために払い出された拠点内アドレスを該端末に対して問い合わせ、該問い合わせに対する該端末からの応答によって取得した該拠点内アドレスを用いて、該拠点内アドレスと前記取得手段によって取得された第二アドレスとを変換するアドレス変換情報を生成し、前記取得手段によって取得された第一アドレスと前記取得手段によって取得された第二アドレスとを変換するアドレス変換情報を生成する生成手段と、前記生成手段によって生成されたアドレス変換情報を、前記広域ネットワークと前記拠点それぞれとの間に設置されたアドレス変換装置に登録する登録手段とを備え、前記端末は、前記拠点内アドレスの問い合わせを前記アドレス登録装置から受け付ける受付手段と、前記受付手段によって問い合わせが受け付けられると、前記拠点内アドレスを前記アドレス登録装置に対して応答する応答手段とを備える。

本願の開示するアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムは、一つの態様において広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対して、該拠点間接続にて用いられるアドレス変換情報を登録するアドレス登録方法であって、前記システムに対して前記アドレス変換情報を登録するアドレス登録装置としてのコンピュータは、所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するために該拠点間接続を利用する時間帯において該拠点内で通信相手となり得る端末の中で一意となるように決定された第一アドレスと、該拠点間接続に属する各拠点配下の端末を前記広域ネットワーク内で識別するために該拠点間接続を利用する時間帯において該拠点間接続として制御され得る端末の中で一意となるように決定された第二アドレスとを取得する取得工程と、端末の利用者を認証する利用者認証工程と、前記利用者認証工程による利用者認証の完了を契機として、前記拠点間接続に属する各拠点配下の端末を該拠点内で識別するために払い出された拠点内アドレスを該端末に対して問い合わせ、該問い合わせに対する該端末からの応答によって取得した該拠点内アドレスを用いて、該拠点内アドレスと前記取得工程によって取得された第二アドレスとを変換するアドレス変換情報を生成し、前記取得工程によって取得された第一アドレスと前記取得工程によって取得された第二アドレスとを変換するアドレス変換情報を生成する生成工程と、前記生成工程によって生成されたアドレス変換情報を、前記広域ネットワークと前記拠点それぞれとの間に設置されたアドレス変換装置に登録する登録工程とを含み、前記端末としてのコンピュータは、前記拠点内アドレスの問い合わせを前記アドレス登録装置から受け付ける受付工程と、前記受付工程によって問い合わせが受け付けられると、前記拠点内アドレスを前記アドレス登録装置に対して応答する応答工程とを含む。

本願の開示するアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムの一つの態様によれば、アドレスの登録処理を適切に行うことが可能になるという効果を奏する。

図１は、実施例１に係るアドレス登録システムの概要を説明するための図である。 図２−１は、Ｓｉｎｇｌｅ−ＮＡＴ（Network Address Translation）を用いたアドレス決定方式を説明するための図である。 図２−２は、Ｔｗｉｃｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。 図３は、実施例１におけるアドレス決定方式の処理手順を示すフローチャートである。 図４−１は、拠点内アドレスの払い出しを説明するための図である。 図４−２は、拠点内アドレスの払い出しを説明するための図である。 図４−３は、拠点内アドレスの払い出しを説明するための図である。 図５は、実施例１に係るアドレス登録装置の構成を示すブロック図である。 図６は、実施例２に係るアドレス登録装置の構成を示すブロック図である。 図７−１は、第一アドレス及び第二アドレスの払い出しを説明するための図である。 図７−２は、第一アドレス及び第二アドレスの払い出しを説明するための図である。 図８は、実施例３に係るアドレス登録装置の構成を示すブロック図である。 図９は、端末名記憶部を説明するための図である。 図１０は、個人認証情報記憶部を説明するための図である。 図１１は、アタッチメント記憶部を説明するための図である。 図１２は、実施例３に係るアドレス登録処理の概要を説明するための図である。 図１３は、実施例３に係るアドレス登録処理を示すシーケンス図である。 図１４は、実施例３に係るアドレス登録処理を示すシーケンス図である。 図１５は、実施例４に係るアドレス登録装置の構成を示すブロック図である。 図１６は、端末認証情報記憶部を説明するための図である。 図１７は、実施例４に係るアドレス登録処理を示すシーケンス図である。 図１８は、実施例４に係るアドレス登録処理を示すシーケンス図である。 図１９は、実施例５に係るアドレス登録処理の概要を説明するための図である。 図２０は、実施例５に係るアドレス登録処理を示すシーケンス図である。 図２１は、実施例５に係るアドレス登録処理を示すシーケンス図である。 図２２は、ＶＰＮサービスに属する拠点を説明するための図である。 図２３は、ＶＰＮサービスに属する拠点を説明するための図である。 図２４は、ＶＰＮサービスに属する拠点を説明するための図である。 図２５は、ＶＰＮ間接続管理システムの構成を示すブロック図である。 図２６は、ＶＰＮ間接続情報記憶部を説明するための図である。 図２７は、集合仮想ルータの設定パターンの一例を示す図である。 図２８は、ＶＰＮ終端装置の設定パターンの一例を示す図である。 図２９は、ＶＰＮ間接続要求記憶部を説明するための図である。 図３０は、アドレス変換情報記憶部を説明するための図である。 図３１は、ルーティング情報記憶部を説明するための図である。 図３２は、ルーティング情報記憶部を説明するための図である。 図３３は、ＤＮＳ登録情報記憶部を説明するための図である。 図３４は、アタッチメント記憶部を説明するための図である。 図３５は、集合仮想ルータの事前設定情報を説明するための図である。 図３６は、ＶＰＮ終端装置の事前設定情報を説明するための図である。 図３７は、ＶＰＮ間接続要求の入力画面の一例を説明するための図である。 図３８は、ＶＰＮ間接続管理システムによる処理手順を示すフローチャートである。 図３９は、ＤＮＳ登録の処理手順を示すフローチャートである。

以下に、本願の開示するアドレス登録装置、アドレス登録方法、アドレス登録プログラム、端末、アドレス応答方法、アドレス応答プログラム、及びアドレス登録システムの実施例を説明する。なお、以下の実施例により開示の技術が限定されるものではない。

［実施例１に係るアドレス登録システムの概要］
図１を用いて、実施例１に係るアドレス登録システムの概要を説明する。図１は、実施例１に係るアドレス登録システムの概要を説明するための図である。なお、実施例１においては、拠点が、ネットワークであり、かつ、電気通信事業者などによって提供されたＶＰＮサービスに属する拠点である場合を一例として説明する。すなわち、実施例１における拠点間接続は、ＶＰＮサービスに属する拠点間を接続する「ＶＰＮ間接続」である。

図１に例示するように、ＶＰＮ間接続は、ＶＰＮ配下の端末から送信されたパケットを他方のＶＰＮ配下の端末に対して転送するための情報を、該ＶＰＮ間の経路上に存在するＶＰＮ終端装置や集合仮想ルータなどに設定することで、ＶＰＮ間を通信可能に相互接続するものである。ここで、集合仮想ルータは、広域ネットワーク内のパケット転送を制御する装置である。集合仮想ルータには、ＶＰＮ間接続のための仮想ルータが、ＶＰＮ間接続要求に応じて時限的に設定される。すなわち、仮想ルータは、物理的な筐体としての集合仮想ルータ内に、仮想化技術を用いて生成された、互いに独立な論理的なルータであり、時限的に設定されたルーティング情報に従ってＶＰＮ間をルーティングすることで、一時的な仮想協働空間を実現する。また、ＶＰＮ終端装置は、所定のＶＰＮ間接続に属する各ＶＰＮを収容するとともに、収容した各ＶＰＮを広域ネットワーク側で終端する。なお、ＶＰＮ終端装置は、ＶＰＮと広域ネットワークとの境界に設置されたルータなどである。

このように、各ＶＰＮ終端装置が終端するＶＰＮ間を集合仮想ルータを介して接続するシステムが、ＶＰＮ間接続システムである。かかるＶＰＮ間接続システムは、ＶＰＮ間接続管理システム（図１において図示を省略）によって構築され、ＶＰＮ間接続管理システムによってＶＰＮ間接続サービスとして提供される。

次に、ＶＰＮ間接続管理システムについて簡単に説明する。ＶＰＮ間接続管理システムは、ＶＰＮ間接続要求を受け付け、受け付けたＶＰＮ間接続要求に基づいてＶＰＮ間接続を構築する。具体的には、ＶＰＮ間接続管理システムは、ＶＰＮ間接続要求にて指定されたＶＰＮそれぞれを収容するＶＰＮ終端装置を特定し、かつ、集合仮想ルータを特定する。次に、ＶＰＮ間接続管理システムは、特定したＶＰＮ終端装置に設定すべき設定情報であってＶＰＮ間接続要求にて指定されたＶＰＮそれぞれに対応する設定情報それぞれを、特定したＶＰＮ終端装置に応じて生成する。また、ＶＰＮ間接続管理システムは、特定した集合仮想ルータに設定すべき設定情報を、特定した集合仮想ルータに応じて生成する。

なお、ＶＰＮ間接続管理システムは、設定情報の生成に、後述するアドレス登録装置によって取得されたアドレスが必要な場合には、取得されたアドレスをアドレス登録装置から適宜取得して設定情報を生成する。そして、ＶＰＮ間接続管理システムは、生成した設定情報を、特定したＶＰＮ終端装置及び集合仮想ルータに対して反映する。なお、設定情報の反映は、例えば、事前に予約設定されたサービス開始時刻などに併せて行われる。このように、ＶＰＮ間接続管理システムによって、ＶＰＮ間接続システムに、ＶＰＮ間接続要求に基づくＶＰＮ間接続が構築される。

ところで、複数のＶＰＮ間をオンデマンドにＶＰＮ間接続する場合には、事前にアドレス設計を行うことが難しいため、通常、ＶＰＮ間接続要求の都度、アドレスの払い出しが行われることになる。また、図１に例示するように、実施例１に係るＶＰＮ間接続システムにおいては、集合仮想ルータとＶＰＮ終端装置との間に、アドレス変換装置及びパケットフィルタリング装置が設置される。アドレス変換装置は、集合仮想ルータから受信したパケットのアドレスを変換し、アドレス変換後のパケットをＶＰＮ終端装置に送信するとともに、ＶＰＮ終端装置から受信したパケットのアドレスを変換し、アドレス変換後のパケットを集合仮想ルータに送信する装置である。一方、パケットフィルタリング装置は、パケットに含まれるアドレスに基づいてフィルタリング制御を行う装置である。

このため、実施例１においてＶＰＮ間接続を実現するには、ＶＰＮ間接続要求の都度、一連のアドレス登録処理が行われなければならない。アドレス登録処理には、まず、アドレスの払い出しがある。また、アドレス変換情報の登録もある。すなわち、アドレスの払い出しが行われ、その都度、アドレス変換情報が生成され、その都度、生成されたアドレス変換情報がアドレス変換装置に登録される。その他にも、例えば、ＤＮＳ（Domain Name Service）登録情報の登録もある。すなわち、アドレスの払い出しが行われ、その都度、ＤＮＳ登録情報が生成され、その都度、生成されたＤＮＳ登録情報がＤＮＳ装置に登録される。また、例えば、フィルタリング情報の登録もある。すなわち、アドレスの払い出しが行われ、その都度、フィルタリング情報が生成され、その都度、生成されたフィルタリング情報がパケットフィルタリング装置に登録される。

このようなことから、実施例１においては、図１に例示するように、アドレス登録装置が、一連のアドレス登録処理のうち、主に、アドレス変換情報の生成と、生成したアドレス変換情報の登録とを行う。具体的には、実施例１においては、例えばＶＰＮ間接続管理システムが、所定のＶＰＮ間接続において通信相手となる他ＶＰＮ配下の端末をＶＰＮ内で識別するための第一アドレス、及び、所定のＶＰＮ間接続に属する各ＶＰＮ配下の端末を広域ネットワーク内で識別するための第二アドレスの払い出しを行うものとする。そして、実施例１に係るアドレス登録装置は、これら第一アドレス及び第二アドレスを、ＶＰＮ間接続管理システムから取得する。また、アドレス登録装置は、ＶＰＮ間接続に属する各ＶＰＮ配下の端末を該ＶＰＮ内で識別するために払い出された拠点内アドレスと第二アドレスとを変換するアドレス変換情報、及び、第一アドレスと第二アドレスとを変換するアドレス変換情報を生成する。そして、アドレス登録装置は、生成したアドレス変換情報をアドレス変換装置に登録する。

なお、実施例１においては、アドレス登録装置が、ＶＰＮ間接続管理システムとは異なる装置として設置される例を説明するが、開示の技術はこれに限られるものではない。そもそも、アドレス登録装置は、ＶＰＮ間接続管理システムに対してアドレスの登録処理を行う装置であるから、ＶＰＮ間接続管理システムの一部として動作してもよい。

また、図１においては、１台の筐体のアドレス登録装置が設置される構成を例示したが、開示の技術はこれに限られるものではない。例えば、複数台の筐体のアドレス登録装置が設置される構成や、例えば、記憶部などアドレス登録装置の一部が別の筐体で設置される構成などにも、開示の技術を同様に適用することができる。また、図１においては、パケットフィルタリング装置が設置される例を説明するが、開示の技術はこれに限られるものではなく、パケットフィルタリング装置は必ずしも設置されなくてもよい。この場合には、フィルタリング情報の生成や登録も行わなくてよいことになる。

また、図１においては、複数台の筐体のＶＰＮ終端装置と１台の筐体の集合仮想ルータとが設置される構成を例示するが、開示の技術はこれに限られるものではない。例えば、複数台の筐体のＶＰＮ終端装置と１台の筐体の集合仮想ルータとの組合せがさらに複数設置される構成にも開示の技術を同様に適用することができる。また、例えば、複数台の筐体のＶＰＮ終端装置と複数台の筐体の集合仮想ルータとが組み合わせて設置される構成にも開示の技術を同様に適用することができる。また、例えば、ＶＰＮ終端装置が有する機能（ＶＰＮを収容するとともにＶＰＮを終端する機能）と、アドレス変換装置が有する機能（ネットワークアドレス変換（ＮＡＴ機能））と、集合仮想ルータが有する機能（広域ネットワーク内のパケット転送を制御する機能）とが１台の筐体に収まった装置が設置される構成にも開示の技術を同様に適用することができる。

［実施例１におけるアドレス決定方式］
上述したように、実施例１に係るアドレス登録システムは、アドレス登録装置を備える。また、アドレス登録装置は、第一アドレス及び第二アドレスをＶＰＮ間接続管理システムから取得し、取得した第一アドレス及び第二アドレス、さらに拠点内アドレスを用いてアドレス変換情報を生成し、生成したアドレス変換情報をアドレス変換装置に自動的に登録するものである。そこで、実施例１に係るアドレス登録システムについて説明する前に、まず、実施例１におけるアドレス決定方式を説明する。なお、実施例１においては、アドレス変換の技術として、ＩＥＴＦ（Internet Engineering Task Force）によって公開されたＲＦＣ（Request for Comments）２６６３の技術（以下「Ｔｗｉｃｅ−ＮＡＴ」）を用いる。以下では、比較の観点から、まず、ＲＦＣ１６３１の技術（以下「Ｓｉｎｇｌｅ−ＮＡＴ」）を説明し、続いて、Ｔｗｉｃｅ−ＮＡＴを説明する。なお、以下では、ＶＰＮ間接続される拠点を「ＶＰＮ」という。「ＶＰＮ_i」は、ＶＰＮ名である。また、集合仮想ルータに設定された仮想ルータを「ＶＲＦ」という。「ＶＲＦ_m」は、仮想ルータ名である。なお、ＶＲＦは、Virtual Routing and Forwardingの略である。また、「ＶＰＮ」や「ＶＲＦ」を区別するための添え字として『ｉ』、『ｊ』、『ｋ』、『ｌ』、『ｍ』、『ｎ』を用いるが、いずれも、１，２，３，・・・といった自然数である。

［Ｓｉｎｇｌｅ−ＮＡＴを用いたアドレス決定方式］
図２−１は、Ｓｉｎｇｌｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。図２−１を参照しながら、以下の説明で用いる変数を定義する。「ａ_i」は、ＶＰＮ_iの内部で利用するアドレス（以下「拠点内アドレス」）である。また、（１−１）式は、ＶＰＮ_iからＶＲＦ_m向けのアドレス変換を表す作用素である。

すると、ＶＰＮ_iの拠点内アドレスａ_iは、ＶＲＦ_m向けにアドレス変換されると（１−２）式となる。一方、ＶＰＮ_jの拠点内アドレスａ_jは、ＶＲＦ_m向けにアドレス変換されると（１−３）式となる。すなわち、図２−１に例示するように、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（１−２）式であり、ＶＰＮ_jを識別するためのアドレスは（１−３）式である。また、ＶＰＮ_iにおいて、接続先であるＶＰＮ_jを識別するためのアドレスは（１−３）式である。一方、ＶＰＮ_jにおいて、接続先であるＶＰＮ_iを識別するためのアドレスは（１−２）式である。

例えば、図２−１に示すＶＰＮ_iからＶＰＮ_jに向けてパケットが送信されると、パケットは、ＶＲＦ_mを経由し、ＶＰＮ_i→ＶＲＦ_m→ＶＰＮ_jのように送信される。ここで、アドレス変換にＳｉｎｇｌｅ−ＮＡＴを用いる場合、アドレス変換装置は、送信元のアドレスのみを変換して宛先のアドレスを変換しない、または、宛先のアドレスのみを変換して送信元のアドレスを変換しない。このため、｛送信元アドレス，宛先アドレス｝の組合せは、アドレス変換により、ＶＰＮ_i内、ＶＲＦ_m内、ＶＰＮ_j内の各領域において、それぞれ（１−４−１）、（１−４−２）、（１−４−３）式となる。なお、ｉ≠ｊである。

さて、アドレスは、「（１）ＶＰＮ側からルーティングが可能であること」かつ「（２）ＶＲＦ側からルーティングが可能であること」の２つの条件を満たすように決定されなければならない。

「（１）ＶＰＮ側からルーティングが可能であること」を検討すると、（１）の条件は、すなわち、「ＶＰＮ_iから同時にアクセスする可能性がある接続先に関するＶＲＦに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「通信相手となる他ＶＰＮ配下の端末をＶＰＮ内で識別するためのアドレスを、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ内で通信相手となり得る端末の中で一意となるように決定しなければならない」という条件となる。

上記変数を用いて表すと、（１−５）式となる。すなわち、例えば、ＶＰＮ_iから同時にアクセスする可能性がある接続先が、ＶＰＮ_j及びＶＰＮ_kであり、ＶＰＮ_jとはＶＲＦ_m経由で、また、ＶＰＮ_kとはＶＲＦ_n経由でＶＰＮ間接続するとする（ｍ≠ｎ）。すると、ＶＰＮ_iにおいて、接続先ＶＰＮ_jのアドレスは（１−６）式であり、接続先ＶＰＮ_kのアドレスは（１−７）式であるので、上記（１−５）式は、これらが一意となるように決定しなければならないことを表す。

また、「（２）ＶＲＦ側からルーティングが可能であること」を検討すると、（２）の条件は、すなわち、「ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「ＶＰＮ間接続に属する各ＶＰＮ配下の端末を広域ネットワーク内で識別するためのアドレスを、該ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ間接続として制御され得る端末の中で一意となるように決定しなければならない」という条件となる。

上記変数を用いて表すと、（１−８）式となる。すなわち、例えば、ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮが、ＶＰＮ_i及びＶＰＮ_jであるとする（ｉ≠ｊ）。すると、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（１−９）式であり、ＶＰＮ_jを識別するためのアドレスは（１−１０）式であるので、上記（１−８）式は、これらが一意となるように決定しなければならないことを表す。

ここで、注目すべきは、（１−５）式は、異なるＶＲＦ間で一意にアドレスを決定することを表しており、一方、（１−８）式は、各ＶＲＦ内にて一意にアドレスを決定することを表している点である。結局、（１−５）式かつ（１−８）式を満たすためには、「同時にアクセスする可能性がある全てのＶＲＦ間でアドレスの重複がないこと」を満たさなければならず、（１）の条件と（２）の条件とは独立の条件とはならない。

例えば、ＶＰＮ₁が同時にアクセスする可能性があるＶＲＦ（群）と、ＶＰＮ₂が同時にアクセスする可能性があるＶＲＦ（群）とが一部でも重複した場合、ＶＰＮ₁とＶＰＮ₂とが同時にアクセスする可能性があるＶＲＦ（群）で、（１）の条件と（２）の条件とを完全に独立に考えることはできない。

また、オンデマンドなＶＰＮ間接続サービスにおいて、ＶＲＦは、時限的に生成消滅を繰り返す。このため、例えば、同時にアクセスする可能性があるＶＲＦが複数存在する場合や、既にアドレスを割り当て済みのＶＲＦに対して時間的に遡って新たなＶＰＮを収容しなければならない場合などには、他のＶＲＦの生成消滅も含め時間軸上でアドレスを管理しなければならず、アドレスの管理が困難である。さらに、同時にアクセスする可能性があるＶＲＦの数が膨大になると、アドレスが枯渇し、アドレスの割り当てができなくなるおそれがある。

［Ｔｗｉｃｅ−ＮＡＴを用いたアドレス決定方式］
続いて、実施例１において用いるＴｗｉｃｅ−ＮＡＴを説明する。図２−２は、Ｔｗｉｃｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。図２−２を参照しながら、以下の説明で用いる変数を定義する。「ＶＰＮ_i」は、ＶＰＮ名である。「ａ_i」は、ＶＰＮ_iの内部で利用する拠点内アドレスである。「ＶＲＦ_m」は、仮想ルータ名である。また、（２−１）式は、ＶＰＮ_iからＶＲＦ_m向けのアドレス変換を表す作用素である。なお、Ｓｉｇｌｅ−ＮＡＴの場合のアドレス変換作用素と区別するため、Ｔｗｉｃｅ−ＮＡＴの場合のアドレス変換作用素はイタリック体で表現する。また、（２−２）式は、ＶＲＦ_mからＶＰＮ_j向けのアドレス変換を表す作用素である。また、定義より、（２−３）式が成立し、したがって（２−４）式が成立する。

すると、ＶＰＮ_iの拠点内アドレスａ_iは、ＶＲＦ_m向けにアドレス変換されると（２−５）式となる。一方、ＶＰＮ_jの拠点内アドレスａ_jは、ＶＲＦ_m向けにアドレス変換されると（２−６）式となる。すなわち、図２−２に例示するように、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレス（第二アドレス）は（２−５）式であり、ＶＰＮ_jを識別するためのアドレス（第二アドレス）は（２−６）式である。また、ＶＰＮ_iにおいて、接続先であるＶＰＮ_jを識別するためのアドレス（第一アドレス）は、（２−６）式にさらにＶＲＦ_mからＶＰＮ_i向けのアドレス変換が行われた（２−７）式となる。一方、ＶＰＮ_jにおいて、接続先であるＶＰＮ_iを識別するためのアドレス（第一アドレス）は、（２−５）式にさらにＶＲＦ_mからＶＰＮ_j向けのアドレス変換が行われた（２−８）式となる。

例えば、図２−２に示すＶＰＮ_iからＶＰＮ_jに向けてパケットが送信されると、パケットは、ＶＲＦ_mを経由し、ＶＰＮ_i→ＶＲＦ_m→ＶＰＮ_jのように送信される。ここで、アドレス変換にＴｗｉｃｅ−ＮＡＴを用いる場合、アドレス変換装置は、送信元のアドレス及び宛先のアドレスを変換する。このため、｛送信元アドレス，宛先アドレス｝の組合せは、アドレス変換により、ＶＰＮ_i内、ＶＲＦ_m内、ＶＰＮ_j内の各領域において、それぞれ（２−９−１）、（２−９−２）、（２−９−３）式となる。なお、ｉ≠ｊである。

さて、アドレスは、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、「（１´）ＶＰＮ側からルーティングが可能であること」かつ「（２´）ＶＲＦ側からルーティングが可能であること」の２つの条件を満たすように決定されなければならない。

「（１´）ＶＰＮ側からルーティングが可能であること」を検討すると、（１´）の条件は、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、すなわち、「ＶＰＮ_iから同時にアクセスする可能性がある接続先に関するＶＲＦに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「通信相手となる他ＶＰＮ配下の端末をＶＰＮ内で識別するためのアドレスを、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ内で通信相手となり得る端末の中で一意となるように決定しなければならない」という条件となる。

上記変数を用いて表すと、（２−１０）式となる。すなわち、例えば、ＶＰＮ_iから同時にアクセスする可能性がある接続先が、ＶＰＮ_j及びＶＰＮ_kであり、ＶＰＮ_jとはＶＲＦ_m経由で、また、ＶＰＮ_kとはＶＲＦ_n経由でＶＰＮ間接続するとする（ｍ≠ｎ）。すると、ＶＰＮ_iにおいて、接続先ＶＰＮ_jを識別するためのアドレスは（２−１１）式であり、接続先ＶＰＮ_kを識別するためのアドレスは（２−１２）式であるので、上記（２−１０）式は、これらが一意となるように決定しなければならないことを表す。

また、「（２´）ＶＲＦ側からルーティングが可能であること」を検討すると、（２´）の条件は、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、すなわち、「ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「ＶＰＮ間接続に属する各ＶＰＮ配下の端末を広域ネットワーク内で識別するためのアドレスを、該ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ間接続として制御され得る端末の中で一意となるように決定しなければならない」という条件となる。

上記変数を用いて表すと、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、（２−１３）式となる。すなわち、例えば、ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮが、ＶＰＮ_i及びＶＰＮ_jであるとする（ｉ≠ｊ）。すると、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（２−１４）式であり、ＶＰＮ_jを識別するためのアドレスは（２−１５）式であるので、上記（２−１３）式は、これらが一意となるように決定しなければならないことを表す。

ここで、注目すべきは、（２−１０）式は、各ＶＰＮ内にて一意にアドレスを決定することを表しており、（２−１３）式は、各ＶＲＦ内にて一意にアドレスを決定することを表しており、（２−１０）式の条件と（２−１３）式の条件とが独立の条件となっている点である。すなわち、アドレス変換にＴｗｉｃｅ−ＮＡＴを用いる場合、アドレス変換装置は、送信元のアドレス及び宛先のアドレスを変換するので、アドレス変換装置を境界として、ＶＰＮ側のアドレス体系と、広域ネットワーク側のアドレス体系とを、独立させることができる。この結果、（１´）の条件と（２´）の条件とが独立の条件となる。したがって、例えば、ＶＰＮ側のアドレス体系をＩＰ（Internet Protocol）ｖ４とし、広域ネットワーク側のアドレス体系をＩＰｖ６とすることも可能である。

このようなことから、例えば、ＶＰＮ₁が同時にアクセスする可能性があるＶＲＦ（群）と、ＶＰＮ₂が同時にアクセスする可能性があるＶＲＦ（群）とが一部でも重複した場合、ＶＰＮ₁とＶＰＮ₂とが同時にアクセスする可能性があるＶＲＦ（群）で、（１´）の条件と（２´）の条件とを完全に独立に考えることができる。また、あるひと組のＶＰＮが、異なるＶＲＦに同時にアクセスする（多重帰属する）場合、（１´）の条件から、一方のＶＰＮにおいて、接続対象である他ＶＰＮ配下の一つの端末に、経由するＶＲＦの違いによって、異なるアドレスが対応付けられることになる。

また、オンデマンドなＶＰＮ間接続サービスにおいて、ＶＲＦは、時限的に生成消滅を繰り返すが、複数に同時にアクセスする可能性があるＶＲＦ間での整合性まで考慮する必要がないので、アドレス管理の困難さやアドレスの枯渇といったおそれも解消する。

［アドレス決定方式のフローチャート］
次に、図３を用いて、上述したアドレス決定方式のフローチャートを説明する。図３は、実施例１におけるアドレス決定方式の処理手順を示すフローチャートである。なお、時刻ｔ１〜ｔ２の間に、ＶＲＦ_mにＶＰＮ_jを収容する例を用いて説明する。

上述したように、（２´）の条件は、各ＶＲＦにて判断される条件である。このため、新規にＶＲＦを構築する場合には、必ずアドレスの払い出しが可能である。一方、既に構築されたＶＲＦに新たにＶＰＮを収容する場合には、空きのアドレスが存在する場合にのみアドレスの払い出しが可能である。このようなことから、図３に例示するように、ＶＰＮ間接続管理システムは、まず、新規にＶＲＦを構築するか否かを判断する（ステップＳ１１）。

新規にＶＲＦを構築する場合（ステップＳ１１肯定）、ＶＰＮ間接続管理システムは、ＶＲＦ_mにて接続先ＶＰＮ_jを識別するアドレス（３−１）式を決定する（ステップＳ１２）。

続いて、ＶＰＮ間接続管理システムは、時刻ｔ１〜ｔ２の間に、ＶＲＦ_mに収容された他のＶＰＮ_i（ｉ≠ｊ）内部で、（３−２）式を満たす（３−３）式が存在するかを判定する（ステップＳ１３）。

そして、存在すると判定した場合には（ステップＳ１３肯定）、払い出し可能であるので（ステップＳ１４）、ＶＰＮ間接続管理システムは、（３−３）式を決定する（ステップＳ１５）。一方、存在しないと判定した場合には（ステップＳ１３否定）、払い出し不可であるので（ステップＳ１６）、ＶＰＮ間接続管理システムは、エラー応答を行う（ステップＳ１７）。

一方、ステップＳ１１において、既に構築されたＶＲＦに新たにＶＰＮを収容する場合には（ステップＳ１１否定）、ＶＰＮ間接続管理システムは、時刻ｔ１〜ｔ２の間に、ＶＲＦ_m内部で、（３−４）式を満たす（３−５）式が存在するかを判定する（ステップＳ１８）。

存在すると判定した場合には（ステップＳ１８肯定）、続いて、ＶＰＮ間接続管理システムは、時刻ｔ１〜ｔ２の間に、ＶＲＦ_mに収容された他のＶＰＮ_i（ｉ≠ｊ）内部で、（３−６）式を満たす（３−７）式が存在するかを判定する（ステップＳ１９）。

そして、存在すると判定した場合には（ステップＳ１９肯定）、払い出し可能であるので（ステップＳ２０）、ＶＰＮ間接続管理システムは、（３−８）式及び（３−９）式を決定する（ステップＳ２１）。一方、ステップＳ１８において存在しないと判定した場合（ステップＳ１８否定）、及び、ステップＳ１９において存在しないと判定した場合には（ステップＳ１９否定）、払い出し不可であるので（ステップＳ２２）、ＶＰＮ間接続管理システムは、エラー応答を行う（ステップＳ２３）。

このように、（１´）の条件と（２´）の条件とを、独立に、無関係に、逐次的に検討することができるので、アドレスを決定するアルゴリズムは簡素化される。

［拠点内アドレスの払い出し］
ところで、これまで、第一アドレス及び第二アドレスの決定方式について説明してきたが、次に、拠点内アドレスの払い出しについて説明する。上述したように、実施例１においてはＴｗｉｃｅ−ＮＡＴが用いられるので、アドレス変換装置は、送信元のアドレス及び宛先のアドレスの双方を変換する。例えば、端末αと端末βとが通信を行う場合、端末αを配下とするＶＰＮ側に設置されたアドレス変換装置は、（送信元アドレス、宛先アドレス）＝（端末αの拠点内アドレス、端末βの第一アドレス）を、（送信元アドレス、宛先アドレス）＝（端末αの第二アドレス、端末βの第二アドレス）に変換する。したがって、アドレス変換情報としては、端末αの拠点内アドレスと端末αの第二アドレスとを変換するアドレス変換情報、端末βの第一アドレスと端末βの第二アドレスとを変換するアドレス変換情報が、アドレス変換装置に登録されることになる。

このように、アドレス変換情報は、第一アドレス及び第二アドレスが決定されただけでは生成されず、拠点内アドレスが明らかになって初めて生成されるものであるといえる。そうであるとすると、拠点内アドレスがどのように端末に払い出され、払い出された拠点内アドレスをアドレス登録装置がどのように取得するかが問題となる。

図４−１〜４−３は、拠点内アドレスの払い出しを説明するための図である。なお、図４−１及び４−２において、アドレス変換装置及びパケットフィルタリング装置は、説明の便宜上一体化して表現し、「アドレス変換装置／パケットフィルタリング装置」とする。また、『ＶＰＮ₁』や『ＶＲＦ₂』も、説明の便宜上の一例に過ぎない。また、各装置が、広域ネットワーク設備であるのか、ＶＰＮ設備であるのか、ユーザ設備であるのかを示す境界線を、一例として示した。

まず、図４−１は、拠点内アドレスが固定的に払い出される場合を示す。拠点内アドレスが固定的に払い出される場合、拠点内アドレスと端末名との対応関係は固定される。例えば、図４−１に例示するように、アドレス『ａ₁（Ａ）』と端末名『userＡ』との対応関係が固定され、アドレス『ａ₁（Ｂ）』と端末名『userＢ』との対応関係が固定され、アドレス『ａ₁（Ｃ）』と端末名『userＣ』との対応関係が固定され、アドレス『ａ₁（Ｄ）』と端末名『userＤ』との対応関係が固定される。

ここで、実施例１においては、端末名は、例えばＶＰＮ間接続サービスの契約時などに、ＶＰＮ間接続管理システムに登録されるものとする（図４−３（Ａ）を参照）。また、実施例１においては、第一アドレス及び第二アドレスは、例えばＶＰＮ間接続要求がＶＰＮ間接続管理システムによって受け付けられ、ＶＰＮ間接続管理システムがＶＰＮ間接続を構築する際などに、ＶＰＮ間接続管理システムによって、拠点内アドレスとは独立に払い出される（図４−３（Ｂ）を参照）。すると、ＤＮＳ登録情報のＤＮＳ装置への登録は、端末名と第一アドレスとの対応関係が明らかとなっていればよいので、少なくとも第一アドレスが払い出された段階で行うことができる（図４−３（Ｂ）を参照）。

なお、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システムに登録された端末名が『userＡ@vpni.example.com』である一方で、ＤＮＳ登録情報として登録される端末名は『userＡ@vrfm.vpni.example.com』であり、ドメイン名に仮想ルータ名『vrfm』が含まれるか否かの違いがある。ＶＰＮ間接続管理システムに予め登録される段階においては、仮想協働空間の構築が開始されていないこともあり、端末名は、仮想ルータ名を含まない『userＡ@vpni.example.com』となるが、仮想協働空間内で用いられる端末名は、仮想ルータ名を含む『userＡ@vrfm.vpni.example.com』となり、仮想協働空間毎に独立に構成される名前空間において名前解決される。

また、アドレス変換情報のアドレス変換装置への登録も、拠点内アドレスと第二アドレスとの対応関係、第一アドレスと第二アドレスとの対応関係が明らかとなっていれば行うことができる。したがって、拠点内アドレスが固定的に払い出されている図４−１の場合、登録された端末名から拠点内アドレスを特定することができるので、第一アドレス及び第二アドレスが払い出された段階で、拠点内アドレスと第二アドレスとの対応関係、第一アドレスと第二アドレスとの対応関係が明らかとなり、アドレス変換情報のアドレス変換装置への登録を行うことができる。すなわち、図４−３（Ｃ）に例示するように、端末名『userＡ@vpni.example.com』と拠点内アドレス『ａ_i（Ａ）』との対応関係が固定的であれば、図４−３（Ｄ）に例示するように、拠点内アドレスと、第一アドレス及び第二アドレスとの対応関係も明らかとなり、アドレス変換情報を生成するための情報が、第一アドレス及び第二アドレスが払い出された段階で揃うことになる。

一方、図４−２は、拠点内アドレスが動的に払い出される場合を示す。拠点内アドレスが動的に払い出される場合、拠点内アドレスと端末名との対応関係は動的に変化し、確定しない。例えば、図４−２に例示するように、端末名『userＡ』、端末名『userＢ』、端末名『userＣ』、及び端末名『userＤ』と、アドレスとの対応関係は確定しない。

すると、ＤＮＳ登録情報のＤＮＳ装置への登録は、端末名と第一アドレスとの対応関係が明らかとなっていればよいので、少なくとも第一アドレスが払い出された段階で行うことができるが、アドレス変換情報のアドレス変換装置への登録は、拠点内アドレスと第二アドレスとの対応関係が明らかとなっていないので、拠点内アドレスが明らかとなっていない段階では、行うことができない。すなわち、図４−３（Ｃ）に例示するように、端末名『userＡ@vpni.example.com』と拠点内アドレス『ａ_i（Ａ）』との対応関係が明らかになるまでは、図４−３（Ｄ）に例示する対応関係が明らかとならず、アドレス変換情報を生成するための情報が揃わないことになる。

ここで、改めて、ＤＮＳ登録情報及びアドレス変換情報の登録について検討する。例えば端末αと端末βとが、あるＶＲＦ経由で通信を行う場合、上述したように、端末αの拠点内アドレスと端末αの第二アドレスとを変換するアドレス変換情報、端末αの第一アドレスと端末αの第二アドレスとを変換するアドレス変換情報、及び、端末βの拠点内アドレスと端末βの第二アドレスとを変換するアドレス変換情報、端末βの第一アドレスと端末βの第二アドレスとを変換するアドレス変換情報を生成しなければならない。また、仮想協働空間内で通信相手の端末を指定する方法としては、ＦＱＤＮ（Fully Qualified Domain Name）を用い、通信を行う度にＤＮＳにより名前解決を行うことを想定するので、端末αの端末名と端末αの第一アドレスとの対応関係を示すＤＮＳ登録情報、端末βの端末名と端末βの第一アドレスとの対応関係を示すＤＮＳ登録情報も生成しなければならない。

第一アドレス及び第二アドレスは、例えばＶＰＮ間接続毎に払い出されるものであるので、動的なものである。一方、拠点内アドレスは、固定的に払い出される場合と、動的に払い出される場合とがある。拠点内アドレスが固定的に払い出される場合は、第一アドレス及び第二アドレスさえ払い出されれば、ＤＮＳ登録情報及びアドレス変換情報の双方を生成することができる。一方、拠点内アドレスが動的に払い出される場合は、拠点内アドレスが払い出されるまでは、第一アドレス及び第二アドレスをそれ以前に払い出しておくことはできるため、ＤＮＳ登録情報を生成することはできても、アドレス変換情報を生成することはできない。

このように、ＤＮＳ登録情報のＤＮＳ装置への登録という観点においては、拠点内アドレスが固定的に払い出されていようと動的に払い出されていようと違いはないが、アドレス変換情報のアドレス変換装置への登録という観点においては、両者は相違する。すなわち、少なくとも拠点内アドレスが動的に払い出されている場合には、アドレス登録装置は、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバやＰＰＰｏＥ（Point to Point Protocol over Ethernet（登録商標））サーバなどによって拠点内アドレスが払い出された時よりも後のタイミングで拠点内アドレスを取得しなければならない。これは、少なくともユーザが協働空間のサービスを利用しようとしたときには、拠点内アドレスを取得しなければならないことを意味する。このような意味で、アドレス登録装置が、動的に払い出された拠点内アドレスをいかにして取得するかが重要であり、このため、実施例１においては、主に拠点内アドレスがＤＨＣＰサーバなどによって動的に払い出された場合を想定して説明するが、開示の技術はこれに限られるものではなく、拠点内アドレスが固定的に払い出された場合にも、同様に適用することができる。

［実施例１に係るアドレス登録装置の構成］
次に、図５を用いて、実施例１に係るアドレス登録装置１０の構成を説明する。図５は、実施例１に係るアドレス登録装置１０の構成を示すブロック図である。

図５に例示するように、アドレス登録装置１０は、入力部１１と、出力部１２と、入出力制御Ｉ／Ｆ（Interface）部１３と、通信部１４と、制御部３０とを備える。

入力部１１は、例えばキーボードやマウスなどであり、各種操作の入力などを受け付ける。出力部１２は、例えばディスプレイなどであり、各種操作のための情報などを出力する。入出力制御Ｉ／Ｆ部１３は、入力部１１と、出力部１２と、制御部３０との間における入出力を制御する。通信部１４は、例えばＩＰ通信用の一般的なインタフェースなどであり、アドレス変換情報の設定対象となるアドレス変換装置などとの間で通信を行う。なお、アドレス登録装置１０は、必ずしも入力部１１や出力部１２を備える必要はなく、例えば、通信部１４を介して他の管理端末やユーザ用のＷｅｂサーバと通信を行い、入出力に係る情報を送受信してもよい。

アドレス取得部３１は、第一アドレス及び第二アドレスを、第一アドレス及び第二アドレスを決定するＶＰＮ間接続管理システムから取得する。ここで、第一アドレスとは、所定のＶＰＮ間接続において通信相手となる他ＶＰＮ配下の端末を自ＶＰＮ内で識別するために、このＶＰＮ間接続を利用する時間帯において自ＶＰＮ内で通信相手となり得る端末の中で一意となるように決定されたアドレスである。また、第二アドレスとは、ＶＰＮ間接続に属する各ＶＰＮ配下の端末を広域ネットワーク内で識別するために、このＶＰＮ間接続を利用する時間帯においてこのＶＰＮ間接続として制御され得る端末の中で一意となるように決定されたアドレスである。

アドレス変換情報生成部３２は、拠点内アドレスと、アドレス取得部３１によって取得された第二アドレスとを変換するアドレス変換情報を生成する。また、アドレス変換情報生成部３２は、アドレス取得部３１によって取得された第一アドレスとアドレス取得部３１によって取得された第二アドレスとを変換するアドレス変換情報を生成する。ここで、拠点内アドレスとは、ＶＰＮ間接続に属する各ＶＰＮ配下の端末をそのＶＰＮ内で識別するために払い出されたアドレスである。

アドレス変換情報登録部３３は、アドレス変換情報生成部３２によって生成されたアドレス変換情報を、広域ネットワークとＶＰＮそれぞれとの間に設置されたアドレス変換装置に登録する。

このようなことから、実施例１によれば、ＶＰＮ間接続管理システムから取得した第一アドレス及び第二アドレスと、拠点内アドレスとを用いてアドレス変換情報を自動的に生成し、自動的にアドレス変換装置に登録するので、アドレスの登録処理を適切に行うことが可能になる。

続いて、実施例２に係るアドレス登録装置１０を説明する。実施例２に係るアドレス登録装置１０は、第一アドレス及び第二アドレスの決定を自装置にて実行する点で、実施例１に係るアドレス登録装置１０と異なる。

図６は、実施例２に係るアドレス登録装置１０の構成を示すブロック図である。図６に例示するように、実施例２に係るアドレス登録装置１０は、記憶部２０にアドレス決定情報記憶部２１を備え、制御部３０にアドレス決定部３４を備える点で、実施例１に係るアドレス登録装置１０と異なる。アドレス決定情報記憶部２１は、アドレス決定部３４による処理に必要な情報を記憶する。また、アドレス決定部３４は、アドレス決定情報記憶部２１に記憶された情報を用いて第一アドレス及び第二アドレスを決定し、決定した第一アドレス及び第二アドレスを、アドレス取得部３１に通知する。

図７−１及び図７−２は、第一アドレス及び第二アドレスの払い出しを説明するための図である。特に図７−１は、第一アドレスの払い出しを説明するための図であり、図７−２は、第二アドレスの払い出しを説明するための図である。

まず、図７−１を用いて、第一アドレスの払い出しを説明する。図７−１に例示するアドレス空間ａは、プライベートアドレス全体のアドレス空間を示す。ある拠点（例えば、拠点Ａとする）は、このアドレス空間ａを利用することができる。また、アドレス空間ｂは、拠点Ａ内で利用されているプライベートアドレスのアドレス空間を示し、特に、アドレス空間ｂ１は、拠点Ａ内で拠点Ａ内の端末を識別するために払い出される静的な拠点内アドレスのアドレス空間を示し、アドレス空間ｂ２は、拠点Ａ内で拠点Ａ内の端末を識別するために払い出される動的な拠点内アドレスのアドレス空間を示す。このアドレス空間ｂは、例えばＶＰＮ間接続サービスの契約時などに、拠点の管理者などによって予め割り当て済みのアドレス空間で、第一アドレスに使用できないアドレス空間として申告され、システムに登録されることが一般的であり、この場合、拠点は、このアドレス空間ｂの中から拠点内アドレスを払い出すことになる。また、アドレス空間ｃは、あるＶＰＮ間接続において、ＶＰＮ終端装置、ＮＡＴ装置、集合仮想ルータ等のネットワーク装置のＩ／Ｆ等に利用するために既に割り当てられた（あるいは予約された）プライベートアドレスのアドレス空間である。アドレス空間ｄ１は、拠点ＡによってＶＰＮ間接続に用いられる第一アドレスとして既に払い出された（あるいは予約された）プライベートアドレスのアドレス空間を示す。したがって、第一アドレスとして払い出し可能なアドレスは、アドレス空間ｄ２から割り当てられることになる。なお、アドレス空間ｂに属するアドレスは、予めシステムに登録されるものであり、固定的（契約時等にユーザから申告され、第一アドレス、第二アドレスの払い出し時点以前に決まっている）であるが、アドレス空間ｃ及びアドレス空間ｄから払い出されるアドレスは、オンデマンドに構築されるＶＰＮ間接続に応じて決定されるものであるので、一時的に用いられるアドレスである。

ここで、第一アドレスは、あるＶＰＮ間接続を利用する時間帯において、自ＶＰＮ内で通信相手となり得る端末の中で一意となるように決定されるものである。また、拠点内アドレスとの重複を避けなければならない一方で、第二アドレスとは独立に決定されるものであるので第二アドレスと重複してもよい。ある拠点Ａにおいて、第一アドレスは、アドレス空間ａのうち、少なくともアドレス空間ｂを除くアドレス空間（アドレス空間ｃ及びアドレス空間ｄ）から決定されることになる。また、アドレス空間ｃ及びアドレス空間ｄから払い出されるアドレスは、上述したように一時的に利用されるものである。したがって、第一アドレスは、アドレス空間ｃ及びアドレス空間ｄのうち、あるＶＰＮ間接続で使用するために既に払い出された（あるいは予約された）ネットワーク装置のＩ／Ｆ等のアドレス以外であって、かつ、拠点ＡがそのＶＰＮ間接続を利用する時間帯において既に第一アドレスとして払い出されている（あるいは予約された）アドレス以外から決定されることになる。

次に、図７−２を用いて、第二アドレスの払い出しを説明する。図７−２に例示するアドレス空間ａは、図７−１と同様、プライベートアドレス全体のアドレス空間を示す。また、アドレス空間ｂは、図７−１と同様、拠点Ａ内で利用されているプライベートアドレスのアドレス空間を示す。また、アドレス空間ｃは、図７−１と同様、あるＶＰＮ間接続で使用するために、ネットワーク装置のＩ／Ｆ等に利用するために既に割り当てられた（あるいは予約された）プライベートアドレスのアドレス空間である。アドレス空間ｄ１´は、あるＶＰＮ間接続に用いられる第二アドレスとして既に払い出された（あるいは予約された）プライベートアドレスのアドレス空間を示す。したがって、第二アドレスとして払い出し可能なアドレスは、アドレス空間ｄ２´から割り当てられることになる。なお、アドレス空間ｂは、予めシステムに登録されるものであり、固定的（契約時等にユーザから申告され、第一アドレス、第二アドレスの払い出し時点以前に決まっている）であるが、アドレス空間ｃ及びアドレス空間ｄから払い出されるアドレスは、オンデマンドに構築されるＶＰＮ間接続に応じて決定されるものであるので、一時的に用いられるアドレスである。

ここで、第二アドレスは、あるＶＰＮ間接続を利用する時間帯において、このＶＰＮ間接続として制御され得る全ての拠点（ＶＰＮ）の各端末の中で一意となるように決定されるものである。すなわち、各拠点の拠点内アドレス、及び、第一アドレスとは独立に決定されるものであるので、各拠点の拠点内アドレス、及び第一アドレスと重複してもよい。このため、第二アドレスは、アドレス空間ｃ及びアドレス空間ｄのみならず、アドレス空間ｂを含むアドレス空間から決定されることになる。ここで、アドレス空間ｃ及びアドレス空間ｄは、上述したように一時的に決定されるものである。したがって、第二アドレスは、アドレス空間ｂ、アドレス空間ｃ及びアドレス空間ｄのうち、あるＶＰＮ間接続で使用するために既に払い出された（あるいは予約された）ネットワーク装置のＩ／Ｆ等のアドレス以外であって、かつ、あるＶＰＮ間接続について既に払い出された（あるいは予約された）第二アドレス以外のアドレス空間から決定されることになる。

このようなことから、アドレス決定情報記憶部２１は、少なくとも、アドレス空間ａを記憶し、また、拠点毎のアドレス空間ｂを記憶する。そして、アドレス決定部３４は、第一アドレスを決定する際には、まず、アドレス空間ａから、その拠点のアドレス空間ｂを除くアドレス空間を求め、次に、アドレス空間ｄに優先して決定されたアドレス空間ｃを除くアドレス空間を求め、このアドレス空間が、すなわちアドレス空間ｄであるので、このアドレス空間ｄのうち、あるＶＰＮ間接続を利用する時間帯について既に払い出された（あるいは予約された）第一アドレス（すなわちアドレス空間ｄ１）以外のアドレス空間（すなわちアドレス空間ｄ２）から、第一アドレスを決定する。また、アドレス決定部３４は、第二アドレスを決定する際には、まず、アドレス空間ａから、アドレス空間ｄに優先して決定されたアドレス空間ｃを除くアドレス空間を求め、このアドレス空間が、すなわちアドレス空間ｂ及びアドレス空間ｄであるので、このアドレス空間ｂ及びアドレス空間ｄのうち、あるＶＰＮ間接続について既に払い出された（あるいは予約された）第二アドレス（すなわちアドレス空間ｄ１´）以外のアドレス空間（すなわちアドレス空間ｂ及びアドレス空間ｄ２´）から、第二アドレスを決定する。

［実施例３に係るアドレス登録装置の構成］
次に、図８を用いて、実施例３に係るアドレス登録装置１００の構成を説明する。図８は、実施例３に係るアドレス登録装置１００の構成を示すブロック図である。

図８に例示するように、アドレス登録装置１００は、通信部１１０と、入力部１１１と、出力部１１２と、入出力制御Ｉ／Ｆ部１１３と、記憶部１２０と、制御部１３０とを備える。

通信部１１０は、例えばＩＰ通信用の一般的なインタフェースなどであり、ＤＮＳ登録情報やアドレス変換情報、フィルタリング情報などの設定対象となるＤＮＳ装置、アドレス変換装置、パケットフィルタリング装置などとの間で通信を行う。

入力部１１１は、例えばキーボードやマウスなどであり、各種操作の入力などを受け付ける。実施例３において、例えば、入力部１１１は、端末名の入力をキーボードやマウスによって受け付ける。出力部１１２は、例えばディスプレイなどであり、各種操作のための情報などを出力する。実施例３において、出力部１１２は、例えば、端末名を入力するための入力画面を出力する。入出力制御Ｉ／Ｆ部１１３は、入力部１１１と、出力部１１２と、記憶部１２０と、制御部１３０との間における入出力を制御する。なお、アドレス登録装置１００は、必ずしも入力部１１１や出力部１１２を備える必要はなく、例えば、通信部１１０を介して他の管理端末やユーザ用のＷｅｂサーバと通信を行い、入出力に係る情報を送受信してもよい。

記憶部１２０は、例えばＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ（flash memory）などの半導体メモリ素子、ハードディスク、光ディスクなどであり、各種情報を記憶する。具体的には、記憶部１２０は、図８に例示するように、端末名記憶部１２１と、個人認証情報記憶部１２２と、アタッチメント記憶部１２３とを有する。

端末名記憶部１２１は、ＶＰＮ間接続サービスに用いられる端末の端末名を記憶する。具体的には、端末名記憶部１２１は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続サービスの運用者によって予め登録されることで端末名を記憶し、端末名記憶部１２１が記憶する端末名は、後述するＤＮＳ管理部１３２や、アドレス変換情報生成部１３３ｃによる処理に利用される。図９は、端末名記憶部１２１を説明するための図である。例えば、端末名記憶部１２１は、図９に例示するように、『接続先ＩＤ（ユーザ名）』と『端末名』とを対応付けて記憶する。なお、上述したように、例えばＶＰＮ間接続サービスの契約時などに予め登録される端末名は、ドメイン名に仮想ルータ名を含まない端末名（例えば『userＡ@vpn1.example.com』）である。

個人認証情報記憶部１２２は、ＶＰＮ間接続サービスの提供を受けるユーザを認証するための個人認証情報を記憶する。具体的には、個人認証情報記憶部１２２は、例えばＶＰＮ間接続サービスの契約時などに、ＶＰＮ間接続サービスの運用者によって予め登録されることで個人認証情報を記憶し、個人認証情報記憶部１２２が記憶する個人認証情報は、後述する個人認証部１３３ａによる処理に利用される。図１０は、個人認証情報記憶部１２２を説明するための図である。例えば、個人認証情報記憶部１２２は、図１０に例示するように、『接続先ＩＤ（ユーザ名）』と『パスワード』とを対応付けて記憶する。

アタッチメント記憶部１２３は、ＤＮＳ装置毎、アドレス変換装置毎、パケットフィルタリング装置毎に、アタッチメントを記憶する。ここで、アタッチメントとは、ＤＮＳ登録情報をＤＮＳ装置に登録するためのプログラム、アドレス変換情報をアドレス変換装置に登録するためのプログラム、フィルタリング情報をパケットフィルタリング装置に登録するためのプログラム、及び、ＤＮＳ装置に登録されたＤＮＳ登録情報を削除するためのプログラム、アドレス変換装置に登録されたアドレス変換情報を削除するためのプログラム、パケットフィルタリング装置に登録されたパケットフィルタリング情報を削除するためのプログラムである。図１１は、アタッチメント記憶部１２３を説明するための図である。例えば、アタッチメント記憶部１２３は、図１１に例示するように、『装置識別情報』と『アタッチメント』とを対応付けて記憶する。

また、アタッチメントには、アドレス登録装置１００とＤＮＳ装置との間で用いられる通信プロトコル、アドレス登録装置１００とアドレス変換装置との間で用いられる通信プロトコルや、アドレス登録装置１００とパケットフィルタリング装置との間で用いられる通信プロトコルが規定される。なお、一般に、当該通信プロトコルには、ＤＮＳ装置のベンダ、アドレス変換装置のベンダやパケットフィルタリング装置のベンダによって規定される独自仕様の通信プロトコルが用いられる。アタッチメント記憶部１２３は、例えばＶＰＮ間接続サービスの運用者によって予め登録されることで、アタッチメントを事前に記憶する。また、アタッチメント記憶部１２３が記憶するアタッチメントは、後述するアドレス変換情報登録部１３３ｄによる処理に利用される。

制御部１３０は、アドレス登録装置１００において実行される各種処理を制御する。具体的には、図８に例示するように、制御部１３０は、アドレス取得部１３１と、ＤＮＳ管理部１３２と、アドレス変換管理部１３３とを有する。

アドレス取得部１３１は、ＶＰＮ間接続に用いられる第一アドレス及び第二アドレスを取得する。具体的には、アドレス取得部１３１は、ＶＰＮ間接続管理システムとの間で通信を行い、ＶＰＮ間接続管理システムから第一アドレス及び第二アドレスを取得する。また、アドレス取得部１３１は、取得した第一アドレス及び第二アドレスを、ＤＮＳ管理部１３２（少なくとも第一アドレス）及びアドレス変換管理部１３３に通知する。

ここで、アドレス取得部１３１は、通信相手となる他ＶＰＮ配下の端末をＶＰＮ内で識別するための第一アドレスを取得する。第一アドレスは、ＶＰＮ間接続管理システムにおいて、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該当するＶＰＮ内で通信相手となり得る端末の中で一意となるように決定されたものである。また、アドレス取得部１３１は、ＶＰＮ間接続に属する各ＶＰＮ配下の端末を集合仮想ルータにて識別する第二アドレスを取得する。第二アドレスは、ＶＰＮ間接続管理システムにおいて、ＶＰＮ間接続を利用する時間帯と重複する時間帯に、該当するＶＰＮ間接続として制御され得る端末の中で一意となるように決定されたものである。

ＤＮＳ管理部１３２は、ＤＮＳ登録情報を生成し、生成したＤＮＳ登録情報をＤＮＳ装置に登録する。具体的には、ＤＮＳ管理部１３２は、アドレス取得部１３１から第一アドレス及び第二アドレスを受け付けると、端末名記憶部１２１を参照し、端末名と第一アドレスとの対応関係を特定してＤＮＳ登録情報（Ａレコードなど）を生成する。このとき、ＤＮＳ管理部１３２は、端末名記憶部１２１に記憶された端末名をそのまま用いてＤＮＳ登録情報を生成するのではなく、ドメイン名に仮想ルータ名を含ませた端末名を新たに生成し、新たに生成した端末名を用いてＤＮＳ登録情報を生成する。例えば、ＤＮＳ管理部１３２は、ＶＰＮ間接続管理システムとの間で通信を行い、ＶＰＮ間接続管理システムから仮想ルータ名を取得し、取得した仮想ルータ名をドメイン名に含ませた新たな端末名を生成し、新たに生成した端末名と第一アドレスとの対応関係を示すＤＮＳ登録情報を生成する。また、ＤＮＳ管理部１３２は、アタッチメント記憶部１２３を参照して該当するＤＮＳ装置にＤＮＳ登録情報を登録するためのプログラムを取得し、生成したＤＮＳ登録情報を、該当するＤＮＳ装置に対して送信する。

なお、例えば、ＶＰＮにおいてＶＰＮ間接続を管理する管理者が、ユーザ用のＷｅｂサーバなどを用いて、アドレス登録装置１００に対して、外部からのアクセスを許容する端末を事前に登録した場合には、アドレス登録装置１００は、この登録に従って、ＤＮＳ登録情報を登録するか否かを判定してもよい。すなわち、アドレス登録装置１００は、外部からのアクセスを許容しない端末については、ＤＮＳ登録情報をＤＮＳ装置に対して送信しない、といった制御を行ってもよい。

アドレス変換管理部１３３は、個人認証部１３３ａと、アドレス取得部１３３ｂと、アドレス変換情報生成部１３３ｃと、アドレス変換情報登録部１３３ｄとを有する。

個人認証部１３３ａは、端末のユーザを認証する。具体的には、個人認証部１３３ａは、端末から送信された接続要求を受け付け、端末経由で送信された個人認証情報及び個人認証情報記憶部１２２に記憶された個人認証情報を用いて認証処理を行い、認証結果をアドレス取得部１３３ｂに通知する。なお、端末経由で送信された個人認証情報とは、端末のユーザが、自らが保持する（あるいは記憶する）個人認証情報を端末から入力することで送信された個人認証情報であって、ユーザ個人を特定する情報である。なお、以下では、端末のユーザ個人を認証することを「ユーザ認証」といい、端末を認証することを「端末認証」という。

ここで、ＶＰＮ間接続サービスを利用する端末の中には、ＶＰＮ間接続サービスのためのユーザ認証とは別に、自端末が所属するＶＰＮサービスに接続する際にもユーザ認証が必要となる端末がある。この点、個人認証部１３３ａは、ＶＰＮサービスに接続するためのユーザ認証の認証結果を取得することで、ＶＰＮ間接続サービスのためのユーザ認証に替えることも可能である。すなわち、個人認証部１３３ａは、ＶＰＮサービスに接続する際にもユーザ認証が必要となる端末については、端末と認証サーバとの間の個人認証情報などの送受信を中継することで認証結果を取得し、ＶＰＮサービスに接続するためのユーザ認証の認証結果をもって、ＶＰＮ間接続サービスのためのユーザ認証の認証結果とする。

アドレス取得部１３３ｂは、拠点内アドレスを端末から取得する。具体的には、アドレス取得部１３３ｂは、個人認証部１３３ａからユーザ認証の認証結果（成功）の通知を受け付けると、端末に対して拠点内アドレスを問い合わせ、問い合わせに対する端末からの応答によって拠点内アドレスを取得する。また、アドレス取得部１３３ｂは、取得した拠点内アドレスを、アドレス変換情報生成部１３３ｃに通知する。

アドレス変換情報生成部１３３ｃは、アドレス変換情報を生成する。具体的には、アドレス変換情報生成部１３３ｃは、アドレス取得部１３１から受け付けた第一アドレス及び第二アドレスと、アドレス取得部１３３ｂから受け付けた拠点内アドレスとを用いて、アドレス変換情報を生成する。そして、アドレス変換情報生成部１３３ｃは、生成したアドレス変換情報を、アドレス変換情報登録部１３３ｄに通知する。

例えば、端末αと端末βとが通信を行う場合、端末αを配下とするＶＰＮ側に設置されたアドレス変換装置は、（送信元アドレス、宛先アドレス）＝（端末αの拠点内アドレス、端末βの第一アドレス）を、（送信元アドレス、宛先アドレス）＝（端末αの第二アドレス、端末βの第二アドレス）に変換する。したがって、アドレス変換情報生成部１３３ｃは、アドレス変換情報として、端末αの拠点内アドレスと端末αの第二アドレスとを変換するアドレス変換情報、端末βの第一アドレスと端末βの第二アドレスとを変換するアドレス変換情報を生成する。

同様に、端末βを配下とするＶＰＮ側に設置されたアドレス変換装置は、（送信元アドレス、宛先アドレス）＝（端末βの拠点内アドレス、端末αの第一アドレス）を、（送信元アドレス、宛先アドレス）＝（端末βの第二アドレス、端末αの第二アドレス）に変換する。したがって、アドレス変換情報生成部１３３ｃは、アドレス変換情報として、端末βの拠点内アドレスと端末βの第二アドレスとを変換するアドレス変換情報、端末αの第一アドレスと端末αの第二アドレスとを変換するアドレス変換情報を生成する。

なお、アドレス変換情報生成部１３３ｃは、アドレス変換情報を生成するための対応付けを、例えば端末名に基づいて行う。すなわち、例えば、アドレス取得部１３１が、ＶＰＮ間接続管理システムから第一アドレス及び第二アドレスを取得する際に、端末名と対応付けてこれら第一アドレス及び第二アドレスを取得する。また、アドレス取得部１３３ｂも、端末名と対応付けて拠点内アドレスを取得する。すると、アドレス変換情報生成部１３３ｃは、端末名によって、第一アドレス及び第二アドレスと、拠点内アドレスとを対応付けることができる。

アドレス変換情報登録部１３３ｄは、アドレス変換情報をアドレス変換装置に登録する。具体的には、アドレス変換情報登録部１３３ｄは、アドレス変換情報をアドレス変換情報生成部１３３ｃから受け付けると、アタッチメント記憶部１２３を参照して、該当するアドレス変換装置にアドレス変換情報を登録するためのプログラムを取得し、アドレス変換情報を、該当するアドレス変換装置に対して送信する。

［実施例３に係るアドレス登録処理］
続いて、図１２〜１４を用いて、実施例３に係るアドレス登録処理を説明する。図１２〜１４においては、説明の便宜上、「アドレス変換装置」と「パケットフィルタリング装置」とをまとめて「ＮＡＴ装置／ＰＦ（Packet Filtering）装置」と表記するが、図１などを用いて説明した「アドレス変換装置」及び「パケットフィルタリング装置」と異なるものではない。「アドレス変換装置」が「ＮＡＴ装置」に対応し、「パケットフィルタリング装置」が「ＰＦ装置」に対応する。なお、上述したように、実施例３に係るアドレス登録装置１００は、アドレス変換情報の登録処理のみならず、第一アドレス及び第二アドレスの取得や、ＤＮＳ登録情報の生成、生成したＤＮＳ登録情報のＤＮＳ装置への登録なども行う。もっとも、アドレス登録装置１００は、拠点内アドレスの払い出しとは独立に、これらの処理を行うことができる。

例えば、アドレス登録装置１００は、第一アドレス及び第二アドレスの取得を、拠点内アドレスの払い出し前に行ってもよいし、払い出し後に行ってもよい。また、例えば、アドレス登録装置１００は、ＤＮＳ登録情報の生成を、アドレス変換情報の生成と並行して行ってもよいし、前後に行ってもよい。また、例えば、アドレス登録装置１００は、生成したＤＮＳ登録情報のＤＮＳ装置への登録を、アドレス変換情報の登録と並行して行ってもよいし、前後に行ってもよい。

実施例３に係るアドレス登録装置１００にとって重要となるのは、拠点内アドレスをどのように端末から取得するか、という点である。特に、拠点内アドレスがＤＨＣＰサーバなどから動的に払い出される場合には、そのタイミングや手法が重要となる。そこで、以下では、この点に着目して説明する。

まず、図１２は、実施例３に係るアドレス登録処理の概要を説明するための図である。図１２に例示するように、実施例３においては、ＤＨＣＰサーバなどが、端末に対して動的に拠点内アドレスを払い出す（Ｓ１）。拠点内アドレスの払い出しを受けた端末は、接続要求を行う（Ｓ２）。なお、ユーザ認証には、上述したように２種類の方法がある。

一方、アドレス登録装置１００は、ユーザ認証の完了を契機として、端末に対して拠点内アドレスを問い合わせる（Ｓ３）。すると、端末は、拠点内アドレスの問い合わせをアドレス登録装置１００から受け付け、拠点内アドレスをアドレス登録装置１００に対して応答する（Ｓ４）。このように、実施例３においては、ユーザ認証の完了を契機として、言い換えると、ユーザがＶＰＮ間接続を行おうとしたことを契機として、アドレス登録装置１００が誘起信号を送信する機能を有し、端末がこれに反応して拠点内アドレスをアドレス登録装置１００に送信する機能を有するからこそ、アドレス登録装置１００は、払い出された拠点内アドレスを適切なタイミングで取得することができる。こうして、アドレス登録装置１００は、アドレス変換情報等を生成することができるので、生成したアドレス変換情報等を、アドレス変換装置やパケットフィルタリング装置に登録する（Ｓ５）。

次に、図１３及び１４は、実施例３に係るアドレス登録処理を示すシーケンス図である。図１３に例示するように、例えば、ユーザが端末を起動したタイミングなどに（ステップＳ１０１）、ＤＨＣＰサーバなどが、端末に対して拠点内アドレスを動的に払い出す（ステップＳ１０２）。なお、このとき、ＤＨＣＰサーバなどが、端末が正当な端末であるか否かの認証（以下、払い出しのための認証という意味で「払出認証」という）を行い、払出認証の認証結果が成功の場合にのみ拠点内アドレスを払い出してもよい。この場合には、ＤＨＣＰサーバなどには、払出認証に必要な情報（例えば、ＭＡＣ（Media Access Control）アドレスで払出認証を行うのであればＭＡＣアドレス情報）が事前に（例えば、ＶＰＮ間接続サービス契約時などに）登録されなければならない。

図１３では、ＶＰＮ間接続サービスの提供を受けるユーザの端末は、自端末が属する広域ネットワーク認証ゲートウェイ装置（広域ネットワーク認証ＧＷ）に対して、ＶＰＮ間接続サービスを利用するための接続要求を送信する（ステップＳ１０３）。なお、一般的に、ユーザは、例えばメールや郵便などで予め通知された、アドレス登録装置１００のＩＰアドレス（端末のＩＰアドレスの通知先、すなわち後述する『Dynamic Update メッセージ』の送信先）及び広域ネットワーク認証ゲートウェイ装置のＵＲＬ（Uniform Resource Locator）などを端末のソフトウェアに設定し、ＶＰＮ間接続サービス利用時には、このソフトウェアを起動する。すると、端末は、設定されたＵＲＬにアクセスを試み接続要求を送信するが、この接続要求は、広域ネットワーク認証ゲートウェイ装置において受け付けられる。

一方、広域ネットワーク認証ゲートウェイ装置は、接続要求を端末から受け付けると、受け付けた接続要求を、アドレス登録装置１００に転送する（ステップＳ１０４）。例えば、広域ネットワーク認証ゲートウェイ装置は、ＶＰＮ間接続システムのユーザ名『userＡ』からの接続要求を、アドレス登録装置１００に転送する。

すると、アドレス登録装置１００は、ユーザ認証を行う（ステップＳ１０５）。例えば、アドレス登録装置１００は、端末のユーザに対して端末経由で個人認証情報を送信するように要求する。例えば、アドレス登録装置１００は、端末に対して、例えばＩＤ及びパスワードの入力画面を送信する。端末のユーザは、端末経由で個人認証情報を送信するようにアドレス登録装置１００から要求されると、個人認証情報を端末に入力することで、アドレス登録装置１００に対して個人認証情報を送信する。例えば、端末のユーザは、アドレス登録装置１００から送信された入力画面に対して、ＩＤ『userＡ』及びパスワード『＊＊＊＊＊・・・』を入力し、入力された個人認証情報を端末経由でアドレス登録装置１００に対して送信する。

すると、アドレス登録装置１００は、ユーザ認証処理を行う。例えば、アドレス登録装置１００は、端末経由で送信されたＩＤ『userＡ』を用いて個人認証情報記憶部１２２を参照し、ＶＰＮ間接続システムのユーザ名『userＡ』に対応付けて記憶されているパスワード『＊＊＊＊＊・・・』を取得する。そして、アドレス登録装置１００は、個人認証情報記憶部１２２から取得したパスワード『＊＊＊＊＊・・・』と、端末経由で送信されたパスワード『＊＊＊＊＊・・・』とが一致するか否かを照合することで、ユーザ認証処理を行う。

そして、アドレス登録装置１００は、ユーザ認証の認証結果の完了通知を、広域ネットワーク認証ゲートウェイ装置及び端末に対して送信する（ステップＳ１０６及びＳ１０７）。なお、図１３において、点線の枠で囲んだシーケンスは、ユーザ認証のシーケンスを示す。

さて、アドレス登録装置１００は、ユーザ認証の完了を契機として、端末に対して拠点内アドレスを問い合わせる（ステップＳ１０８）。例えば、アドレス登録装置１００は、ＤＤＮＳ（Dynamic DNS）の機能を備え、端末に対して、『Dynamic Update メッセージ』を誘起する誘起信号を送信する。

すると、端末は、アドレス登録装置１００からの問い合わせを受け付け、拠点内アドレスを応答する（ステップＳ１０９）。例えば、端末は、アドレス登録装置１００に備えられたＤＤＮＳの機能に向けて、『Dynamic Update メッセージ』を送信する。この『Dynamic Update メッセージ』には、端末名と、ステップＳ１０２においてＤＨＣＰサーバなどから動的に払い出された拠点内アドレスとが含まれる。なお、端末には、予め、『Dynamic Update メッセージ』の送信先として、アドレス登録装置１００のアドレスが設定されている。

そして、アドレス登録装置１００は、端末からの応答によって取得した拠点内アドレスと、別途払い出していた第二アドレスとを用いてアドレス変換情報を生成する（ステップＳ１１０）。なお、アドレス登録装置１００は、その他のアドレス変換情報も生成する。

続いて、アドレス登録装置１００は、端末に対して応答（ＡＣＫなど）するとともに（ステップＳ１１１）、アドレス変換装置（ＮＡＴ装置）に対して、ステップＳ１１０において生成したアドレス変換情報を登録する（ステップＳ１１２）。なお、パケットフィルタリング装置（ＰＦ装置）に対しても、所定の拠点内アドレスについてフィルタリング（例えば開通など）を設定するようにフィルタリング情報を登録してもよい。

次に、図１４を説明する。図１４に例示するように、例えば、ユーザが端末を起動したタイミングなどに（ステップＳ２０１）、ＤＨＣＰサーバなどが、端末に対して拠点内アドレスを動的に払い出す（ステップＳ２０２）。

図１４では、ＶＰＮ間接続サービスの提供を受けるユーザの端末は、自端末が属するＶＰＮ認証ゲートウェイ装置（ＶＰＮ認証ＧＷ）に対して、ＶＰＮサービスを利用するための接続要求を送信する（ステップＳ２０３）。なお、一般的に、ユーザは、例えばメールや郵便などで予め通知された、アドレス登録装置１００のＩＰアドレス（端末のＩＰアドレスの通知先、すなわち後述する『Dynamic Update メッセージ』の送信先）及びＶＰＮ認証ゲートウェイ装置のＵＲＬなどを端末のソフトウェアに設定し、ＶＰＮ間接続サービス利用時には、このソフトウェアを起動する。すると、端末は、設定されたＵＲＬにアクセスを試み接続要求を送信するが、この接続要求は、ＶＰＮ認証ゲートウェイ装置において受け付けられる。

一方、ＶＰＮ認証ゲートウェイ装置は、接続要求を端末から受け付けると、受け付けた接続要求を、アドレス登録装置１００に転送する（ステップＳ２０４）。例えば、ＶＰＮ認証ゲートウェイ装置は、ＶＰＮサービスのユーザ名『userＢ』からの接続要求を、アドレス登録装置１００に転送する。

すると、アドレス登録装置１００は、端末のユーザから端末経由で送信された個人認証情報を、認証サーバ（ＶＰＮ ＲＡＤＩＵＳ（Remote Authentication Dial In User Service））に対して中継する（ステップＳ２０５）。例えば、アドレス登録装置１００は、端末に対して、例えばＩＤ及びパスワードの入力画面を送信する。端末のユーザは、端末経由で個人認証情報を送信するようにアドレス登録装置１００から要求されると、個人認証情報を端末に入力することで、アドレス登録装置１００に対して個人認証情報を送信する。例えば、端末のユーザは、アドレス登録装置１００から送信された入力画面に対して、ＩＤ『userＢ』及びパスワード『＊＊＊＊＊・・・』を入力し、入力された個人認証情報を端末経由でアドレス登録装置１００に対して送信する。すると、アドレス登録装置１００は、端末から送信された個人認証情報を、認証サーバに対して中継する。

一方、認証サーバは、ユーザ認証処理を行い、ユーザ認証の認証結果をアドレス登録装置１００に対して送信する（ステップＳ２０６）。例えば、認証サーバは、アドレス登録装置１００から送信されたＩＤ『userＢ』を用いて記憶部（図示を省略）を参照し、ＶＰＮサービスのユーザ名『userＢ』に対応付けて記憶されているパスワード『＊＊＊＊＊・・・』を取得する。そして、認証サーバは、記憶部から取得したパスワード『＊＊＊＊＊・・・』と、アドレス登録装置１００から送信されたパスワード『＊＊＊＊＊・・・』とが一致するか否かを照合することで、ユーザ認証処理を行う。

そして、アドレス登録装置１００は、ユーザ認証の認証結果の完了通知を、ＶＰＮ認証ゲートウェイ装置及び端末に対して送信する（ステップＳ２０７及びＳ２０８）。なお、図１４において、点線の枠で囲んだシーケンスは、ユーザ認証のシーケンスを示す。

さて、その後のシーケンスのステップＳ２０９〜Ｓ２１３は、図１３を用いて説明したステップＳ１０８〜Ｓ１１２と同様である。すなわち、アドレス登録装置１００は、ユーザ認証の完了を契機として、端末に対して拠点内アドレスを問い合わせる（ステップＳ２０９）。すると、端末は、アドレス登録装置１００からの問い合わせを受け付け、拠点内アドレスを応答する（ステップＳ２１０）。そして、アドレス登録装置１００は、端末からの応答によって取得した拠点内アドレスと、別途払い出していた第二アドレスとを用いてアドレス変換情報を生成する（ステップＳ２１１）。続いて、アドレス登録装置１００は、端末に対して応答するとともに（ステップＳ２１２）、アドレス変換装置（ＮＡＴ装置）に対して、ステップＳ２１１において生成したアドレス変換情報を登録する（ステップＳ２１３）。

［実施例３の効果］
上述したように、実施例３において、アドレス登録装置１００は、広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対して、該拠点間接続にて用いられるアドレス変換情報を登録するアドレス登録装置である。また、アドレス取得部１３１が、所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するための第一アドレス、及び、該拠点間接続に属する各拠点配下の端末を前記広域ネットワーク内で識別するための第二アドレスを取得する。また、アドレス取得部１３３ｂ及びアドレス変換情報生成部１３３ｃが、拠点間接続に属する各拠点配下の端末を該拠点内で識別するために払い出された拠点内アドレスと第二アドレスとを変換するアドレス変換情報、および、第一アドレスと第二アドレスとを変換するアドレス変換情報を生成する。そして、アドレス変換情報登録部１３３ｄが、生成されたアドレス変換情報を、広域ネットワークと拠点それぞれとの間に設置されたアドレス変換装置に登録する。

このようなことから、実施例３によれば、拠点内アドレスが動的に払い出される場合あるいは静的に払い出される場合のいずれの場合においても、アドレスを決定するアルゴリズムを同じ方式で実現することができるようになり、また、取得したアドレスと拠点内アドレスとを用いてアドレス変換情報を自動的に生成し、自動的にアドレス変換装置に登録するので、アドレスの登録処理を適切に行うことが可能になる。

また、実施例３において、拠点内アドレスは、各拠点配下の端末に動的に払い出されるものであって、アドレス登録装置１００は、ユーザ認証の完了を契機として端末に対して拠点内アドレスを問い合わせ、問い合わせに対する端末からの応答によって拠点内アドレスを取得し、取得した拠点内アドレスと第二アドレスとを用いてアドレス変換情報を生成する。このようなことから、実施例３によれば、アドレスが動的に払い出される場合にも、拠点内アドレスを端末から適切に取得し、アドレスの登録処理を適切に行うことが可能になる。

次に、実施例４に係るアドレス登録システムを説明する。実施例４に係るアドレス登録システムにおいては、アドレス登録装置１００が、ユーザ認証の他に端末認証も行い、端末認証の認証結果に基づいて、アドレス変換情報の登録等を行う。また、この端末認証は、繰り返される。さらに、実施例４に係るアドレス登録システムにおいては、アドレス登録装置１００が、ユーザのログアウトを検知すると、アドレス変換情報をアドレス変換装置から削除する機能も有する。

図１５は、実施例４に係るアドレス登録装置１００の構成を示すブロック図である。図１５に例示するように、記憶部１２０に、端末認証情報記憶部１２４を有し、制御部１３０のアドレス変換管理部１３３に、ログアウト検知部１３３ｅと、アドレス変換情報削除部１３３ｆとを有する。

端末認証情報記憶部１２４は、端末認証のための端末認証情報を記憶する。具体的には、端末認証情報記憶部１２４は、例えばＶＰＮ間接続サービスの契約時などに、ＶＰＮ間接続サービスの運用者によって予め登録されることで端末認証情報を記憶し、端末認証情報記憶部１２４が記憶する端末認証情報は、後述するアドレス取得部１３３ｂによる処理に利用される。

図１６は、端末認証情報記憶部１２４を説明するための図である。例えば、端末認証情報記憶部１２４は、図１６に例示するように、『端末名』と『端末認証情報』とを対応付けて記憶する。例えば、実施例４に係るアドレス登録装置１００は、端末認証に、例えばＴＳＩＧ（Transaction Signature）／ＳＩＧ（０）を用いるので、端末認証情報記憶部１２４は、端末名と対応付けて、ＴＳＩＧに用いられる共有秘密鍵（PresharedKeyなど）や、ＳＩＧ（０）に用いられる公開鍵を、端末認証情報として記憶する。なお、ＴＳＩＧは、認証方式がＭＡＣ（Message Authentication Code）であり、ＳＩＧ（０）は、ディジタル署名であるという違いがある。

実施例４に係るアドレス取得部１３３ｂは、拠点内アドレスを端末から取得した際に、該端末の端末認証を行い、端末認証の認証結果が成功である場合に、取得した拠点内アドレスをアドレス変換情報生成部１３３ｃに通知する。このような制御により、端末認証が成功した場合にのみ、アドレス変換情報がアドレス変換装置に登録され、フィルタリング情報がパケットフィルタリング装置に登録されることになり、セキュリティを向上することになる。

ログアウト検知部１３３ｅは、端末のユーザが所定のＶＰＮ間接続の利用を終了したこと（ログアウトしたこと）を検知する。具体的には、ログアウト検知部１３３ｅは、ユーザのログアウトを検知すると、その旨をアドレス変換情報削除部１３３ｆに通知する。

アドレス変換情報削除部１３３ｆは、アドレス変換装置に登録されたアドレス変換情報を削除する。具体的には、アドレス変換情報削除部１３３ｆは、ログアウトを検知した旨の通知をログアウト検知部１３３ｅから受け付けると、アタッチメント記憶部１２３を参照して、該当するアドレス変換装置からアドレス変換情報を削除するためのプログラムを取得し、該当するアドレス変換装置に対して送信する。

［実施例４に係るアドレス登録処理］
続いて、図１７及び１８を用いて、実施例４に係るアドレス登録処理を説明する。図１７及び１８は、実施例４に係るアドレス登録処理を示すシーケンス図である。まず、図１７を説明する。なお、図１７に例示するステップＳ３０１〜Ｓ３０７は、図１３に例示したステップＳ１０１〜Ｓ１０７に対応するので、説明を割愛する。また、実施例４に係る端末は、ＴＳＩＧに用いられる共有秘密鍵や、ＳＩＧ（０）に用いられる公開鍵を、端末認証情報として記憶する。これらの端末認証情報は、例えばメールなどによって配布される。一度配布されれば、例えばＴＳＩＧでは、ＴＫＥＹという鍵の更新方式が定義されている。

実施例４においては、アドレス登録装置１００が、ユーザ認証の完了を契機として端末に対して拠点内アドレスを問い合わせる際に、ＴＳＩＧ／ＳＩＧ（０）を誘起する誘起信号を送信する（ステップＳ３０８）。この誘起信号は、応答を受け付けるか、リトライ回数の上限値に達するまで再送信される。

すると、端末は、アドレス登録装置１００からの問い合わせを受け付け、端末名及び拠点内アドレスを応答するが、この時、端末名及び拠点内アドレスのみならず、ＴＳＩＧ／ＳＩＧ（０）の端末認証情報も送信する（ステップＳ３０９）。

一方、アドレス登録装置１００は、端末からの応答によって取得した端末認証情報を用いて端末認証を行う（ステップＳ３１０）。そして、端末認証の認証結果が成功であれば、アドレス登録装置１００は、端末からの応答によって取得した拠点内アドレスと、別途払い出していた第二アドレスとを用いてアドレス変換情報を生成する（ステップＳ３１１）。なお、アドレス登録装置１００は、その他のアドレス変換情報も生成する。

続いて、アドレス登録装置１００は、端末に対して応答（ＡＣＫなど）するとともに（ステップＳ３１２）、アドレス変換装置に対して、ステップＳ３１１において生成したアドレス変換情報を登録する（ステップＳ３１３）。

ここで、実施例４に係るアドレス登録装置１００は、ＴＳＩＧ／ＳＩＧ（０）を誘起する誘起信号を端末に対して一定の時間間隔をおいて繰り返し送信する（ステップＳ３１４）。また、端末も、アドレス登録装置１００から送信された誘起信号を受け付け、ＴＳＩＧ／ＳＩＧ（０）の端末認証情報を繰り返し送信する（ステップＳ３１５）。このため、アドレス登録装置１００は、その都度、端末認証を行う（ステップＳ３１６）。

また、実施例４に係るアドレス登録装置１００は、端末のユーザが所定のＶＰＮ間接続の利用を終了したこと（ログアウトしたこと）を検知するか、予め予約したＶＰＮ間接続の終了時刻になると（ステップＳ３１７）、アドレス変換情報をアドレス変換装置から削除する（ステップＳ３１８）。なお、パケットフィルタリング装置に対してフィルタリング情報を登録していた場合には、このフィルタリング情報も削除する。すなわち、アドレス登録装置１００は、ログイン中は通過させていたパケット（該端末に払い出されていた拠点内アドレスを送信元とするパケットなど）が通過できないように、パケットフィルタリングの設定を変更する。

なお、ステップＳ３１４〜Ｓ３１６の処理（再認証）や、ステップＳ３１７及びＳ３１８の処理（ログアウト検知）は、必ずしも必須となる処理ではない。例えば、必ずしも再認証の処理を行う必要はなく、また、ログアウト検知の処理を行う必要もない。アドレス登録装置１００は、拠点内アドレスを取得するための処理及び端末認証の処理に加えてこれらの処理を実行するか否かを、適宜選択すればよい。

次に、図１８を説明するが、図１８に例示するステップＳ４０１〜Ｓ４０８は、図１４に例示したステップＳ２０１〜Ｓ２０８に対応する。また、図１８に例示するステップＳ４０９〜Ｓ４１９は、図１７に例示したステップＳ３０８〜Ｓ３１８に対応する。このように、ユーザ認証がＶＰＮサービスに接続する際のユーザ認証である場合にも、同様に、ユーザ認証の他に端末認証を行い、ユーザのログアウトを検知すると、アドレス変換情報をアドレス変換装置から削除することもできる。

［実施例４の効果］
上述したように、実施例４において、アドレス登録装置１００は、さらに端末を認証し、端末認証の結果に基づいて、アドレス変換情報をアドレス変換装置に登録するか否かを決定する。このようなことから、実施例４によれば、アドレスの登録処理においてセキュリティを向上することが可能になる。

また、実施例４において、アドレス登録装置１００は、端末のユーザが所定の拠点間接続の利用を終了したことを検知すると、このユーザに関してアドレス変換装置に登録されたアドレス変換情報を該アドレス変換装置から削除する。このようなことから、実施例４によれば、ユーザのログアウトに応じて不必要な情報を削除することができ、リソースの観点やセキュリティの観点などから有効である。

なお、端末認証と、ログアウト検知に基づくアドレス変換情報の削除とは、必ずしも両方が実現されていなければならないものではなく、アドレス登録装置１００は、いずれか一方のみを実現してもよい。

次に、実施例５に係るアドレス登録システムを説明する。実施例３や４に係るアドレス登録システムにおいては、端末が、アドレス登録装置１００から送信された誘起信号に応じて拠点内アドレスや端末認証情報を送信する機能を備えていた。そこで、実施例５に係るアドレス登録システムにおいては、端末がこのような機能を備えていない場合を想定する。

図１９は、実施例５に係るアドレス登録処理の概要を説明するための図である。図１９に例示するように、実施例５において、実施例３と同様、ＤＨＣＰサーバなどが、端末に対して動的に拠点内アドレスを払い出すと（Ｓ１）、拠点内アドレスの払い出しを受けた端末は、接続要求を行う（Ｓ２）。

一方、実施例５に係るアドレス登録装置１００は、ユーザ認証の完了を契機として、ＤＨＣＰサーバなどに対して拠点内アドレスを問い合わせる（Ｓ３）。すると、ＤＨＣＰサーバなどは、拠点内アドレスの問い合わせをアドレス登録装置１００から受け付け、拠点内アドレスをアドレス登録装置１００に対して応答する（Ｓ４）。このように、実施例５においては、ユーザ認証の完了を契機として、言い換えると、ユーザがＶＰＮ間接続を行おうとしたことを契機として、アドレス登録装置１００が誘起信号を送信する機能を有し、ＤＨＣＰサーバなどのアドレス払出装置がこれに反応して拠点内アドレスをアドレス登録装置１００に送信する機能を有するからこそ、アドレス登録装置１００は、払い出された拠点内アドレスを適切なタイミングで取得することができる。こうして、アドレス登録装置１００は、アドレス変換情報等を生成することができるので、生成したアドレス変換情報等を、アドレス変換装置やパケットフィルタリング装置に登録する（Ｓ５）。

次に、図２０及び２１は、実施例５に係るアドレス登録処理を示すシーケンス図である。図２０に例示するステップＳ５０１〜５０７は、図１３に例示したステップＳ１０１〜Ｓ１０７に対応する。実施例５に係るアドレス登録処理は、ステップＳ５０８、Ｓ５０９、及びＳ５１１の処理が、端末とアドレス登録装置１００との間ではなく、ＤＨＣＰサーバなどとアドレス登録装置１００との間で行われる点が、実施例１に係るアドレス登録処理と異なる。

すなわち、アドレス登録装置１００は、ユーザ認証の完了を契機として、端末ではなくＤＨＣＰサーバなどに対して拠点内アドレスを問い合わせる（ステップＳ５０８）。例えば、アドレス登録装置１００は、ＤＤＮＳの機能を備え、ＤＨＣＰサーバなどに対して、『Dynamic Update メッセージ』を誘起する誘起信号を送信する。

すると、ＤＨＣＰサーバなどは、アドレス登録装置１００からの問い合わせを受け付け、拠点内アドレスを応答する（ステップＳ５０９）。例えば、ＤＨＣＰサーバなどは、アドレス登録装置１００に備えられたＤＤＮＳの機能に向けて、『Dynamic Update メッセージ』を送信する。この『Dynamic Update メッセージ』には、端末名と、ステップＳ５０２においてＤＨＣＰサーバなどから動的に払い出された拠点内アドレスとが含まれる。なお、ＤＨＣＰサーバなどには、予め、『Dynamic Update メッセージ』の送信先として、アドレス登録装置１００のアドレスが設定されている。

そして、アドレス登録装置１００は、ＤＨＣＰサーバなどからの応答によって取得した拠点内アドレスと、別途払い出していた第二アドレスとを用いてアドレス変換情報を生成する（ステップＳ５１０）。なお、アドレス登録装置１００は、その他のアドレス変換情報も生成する。

続いて、アドレス登録装置１００は、ＤＨＣＰサーバなどに対して応答（ＡＣＫなど）するとともに（ステップＳ５１１）、アドレス変換装置（ＮＡＴ装置）に対して、ステップＳ５１０において生成したアドレス変換情報を登録する（ステップＳ５１２）。なお、パケットフィルタリング装置（ＰＦ装置）に対しても、所定のアドレスについてフィルタリング（例えば開通など）を設定するようにフィルタリング情報を登録してもよい。

なお、図２０においては、ユーザ認証が、図１３に例示したシーケンスによって行われる例を説明したが、開示の技術はこれに限られるものではなく、例えば、図１４に例示したシーケンスによってユーザ認証が行われる場合にも、同様に適用することができる。

次に、図２１を説明する。図２１に例示するステップＳ６０１〜６０７は、図１７に例示したステップＳ３０１〜３０７に対応する。実施例５に係るアドレス登録処理は、ステップＳ６０８、Ｓ６０９、Ｓ６１２、Ｓ６１４、及びＳ６１５の処理が、端末とアドレス登録装置１００との間ではなく、ＤＨＣＰサーバなどとアドレス登録装置１００との間で行われる点が、実施例４に係るアドレス登録処理と異なる。

すなわち、実施例５に係るアドレス登録装置１００は、ユーザ認証の完了を契機としてＤＨＣＰサーバなどに対して拠点内アドレスを問い合わせる際に、ＴＳＩＧ／ＳＩＧ（０）を誘起する誘起信号を送信する（ステップＳ６０８）。この誘起信号は、応答を受け付けるか、リトライ回数の上限値に達するまで再送信される。

すると、ＤＨＣＰサーバなどは、アドレス登録装置１００からの問い合わせを受け付け、端末名及び拠点内アドレスを応答するが、この時、端末名及び拠点内アドレスのみならず、ＴＳＩＧ／ＳＩＧ（０）の認証情報も送信する（ステップＳ６０９）。

一方、アドレス登録装置１００は、ＤＨＣＰサーバなどからの応答によって取得した認証情報（ＤＨＣＰサーバなどを特定する認証情報）を用いてＤＨＣＰサーバなどの認証を行う（ステップＳ６１０）。そして、ＤＨＣＰサーバなどの認証結果が成功であれば、アドレス登録装置１００は、ＤＨＣＰサーバなどからの応答によって取得した拠点内アドレスと、別途払い出していた第二アドレスとを用いてアドレス変換情報を生成する（ステップＳ６１１）。なお、アドレス登録装置１００は、その他のアドレス変換情報も生成する。

続いて、アドレス登録装置１００は、ＤＨＣＰサーバなどに対して応答（ＡＣＫなど）するとともに（ステップＳ６１２）、アドレス変換装置に対して、ステップＳ６１１において生成したアドレス変換情報を登録する（ステップＳ６１３）。

また、実施例５に係るアドレス登録装置１００は、端末のユーザが所定のＶＰＮ間接続の利用を終了したこと（ログアウトしたこと）を検知すると（ステップＳ６１４）、アドレス変換情報をアドレス変換装置から削除する（ステップＳ６１５）。なお、パケットフィルタリング装置に対してフィルタリング情報を登録していた場合には、このフィルタリング情報も削除してもよい。

なお、図２１においては、ユーザ認証が、図１３に例示したシーケンスによって行われる例を説明したが、開示の技術はこれに限られるものではなく、例えば、図１４に例示したシーケンスによってユーザ認証が行われる場合にも、同様に適用することができる。

［実施例５の効果］
上述したように、実施例５において、拠点内アドレスは、ＤＨＣＰサーバなどによって各拠点配下の端末に払い出されるものであり、アドレス登録装置１００は、ユーザ認証の完了を契機としてＤＨＣＰサーバなどに対して拠点内アドレスを問い合わせ、問い合わせに対するＤＨＣＰサーバなどからの応答によって拠点内アドレスを取得し、取得した拠点内アドレスと第二アドレスとを用いてアドレス変換情報を生成する。このようなことから、実施例５によれば、端末が特別な機能を備えていない場合であっても、拠点内アドレスをＤＨＣＰサーバなどから適切に取得し、アドレスの登録処理を適切に行うことが可能になる。

さて、これまで実施例１〜５について説明したが、開示の技術は、上記した実施例以外にも種々の異なる形態にて実施されてよいものである。

［ユーザ認証］
上記実施例３〜５においては、アドレス登録装置１００がユーザ認証を行い、ユーザ認証の完了を契機として端末の拠点内アドレスを問い合わせる手法を説明してきたが、開示の技術はこれに限られるものではない。アドレス登録装置１００がユーザ認証を行わない場合、例えば、アドレス登録装置１００は、広域ネットワーク認証ゲートウェイ装置から転送されることで端末からの接続要求を受信したり、ＶＰＮ認証ゲートウェイ装置から転送されることで端末からの接続要求を受信するので、この接続要求の受信を検知したことを契機として、端末の拠点内アドレスを問い合わせてもよい。

［拠点の態様］
また、上記実施例では、拠点が、電気通信事業者などによって提供されたＶＰＮサービスに接続するローカルエリアネットワークである場合を想定したが、開示の技術はこれに限られるものではない。拠点は、いわゆるネットワークではなく一端末であってもよい。例えば、拠点に設置されるルータが、物理的なルータではなく端末内のソフトウェアで実現される場合などである。また、拠点は、電気通信事業者などによって提供されたＶＰＮサービスによって接続された複数のローカルエリアネットワーク群による社内網のようなものであってもよい。

図２２〜２４は、ＶＰＮサービスによって接続された複数のローカルエリアネットワーク群としての拠点を説明するための図である。なお、図２２〜２４においては、２種類の点線を用いて示す。一方は、通常の点線であり、他方は、破線（短い線と長い線との組合せ）である。破線は、同じＶＰＮサービスに属する複数の拠点であって、かつ、例えば同じ社内（例えばＣ社内）の拠点間でＶＰＮを形成していることを示す。一方、点線は、ＶＰＮ間を接続することを示す。例えば、異なるＶＰＮサービスに属する複数の拠点間を接続することや、同じＶＰＮサービスに属する複数の拠点間であっても、異なる会社のＶＰＮ間を接続することを示す。

図２２に例示するように、例えば、Ｃ社は、ＶＰＮサービス１に属する拠点群を有し、また、ＶＰＮサービス３に属する拠点を有する。一方、Ｄ社は、ＶＰＮサービス２に属する拠点を有し、また、ＶＰＮサービス４に属する拠点を有する。アドレス登録装置は、このような、異なるＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続について、アドレス登録処理を適切に行うことができる。

また、図２３に例示するように、例えば、Ｃ社は、ＶＰＮサービス３でグループ化された拠点群を有する。一方、Ｄ社は、ＶＰＮサービス４でグループ化された拠点群を有する。アドレス登録装置は、このような、異なるＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続についても、アドレス登録処理を適切に行うことができる。

また、図２４に例示するように、例えば、Ｃ社及びＤ社は、いずれも、ＶＰＮサービス２でグループ化された拠点群を有する。アドレス登録装置は、このような、同じＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続、言い換えると、同じＶＰＮ終端装置に属する複数の拠点群間の拠点間接続についても、アドレス登録処理を適切に行うことができる。

［ＶＰＮ間接続管理システムの構成］
以下、上記各実施例にてＶＰＮ間接続を管理するＶＰＮ間接続管理システムを説明する。もっとも、以下に説明するＶＰＮ間接続管理システムは一例にすぎず、上記各実施例において構築されたＶＰＮ間接続は、他のシステムによって構築されたものであってもよい。また、以下では、上述したアドレス登録装置がＶＰＮ間接続管理システムの一部として動作する手法を説明するが、開示の技術はこれに限られるものではなく、ＶＰＮ間接続管理システムは、アドレス登録装置との間で通信を行い、必要な情報を互いに送受信してもよい。

図２５は、ＶＰＮ間接続管理システム２００の構成を示すブロック図である。図２５に例示するように、ＶＰＮ間接続管理システム２００は、通信部２１０と、入力部２１１と、出力部２１２と、入出力制御Ｉ／Ｆ部２１３と、記憶部２２０と、制御部２３０とを備える。なお、上記実施例３〜５に例示したアドレス登録装置１００との対応関係を説明すると、アドレス取得部１３１及びアドレス変換管理部１３３として説明した機能が、主に変換用アドレス決定部２３３及びアドレス変換情報設定部２３４によって実現され、ＤＮＳ管理部１３２として説明した機能が、主にＤＮＳ登録情報生成部２３７及びＤＮＳ登録部２３８によって実現される。

通信部２１０は、例えばＩＰ通信用の一般的なインタフェースなどであり、アドレス変換情報やルーティング情報の設定対象となるＶＰＮ終端装置、ＮＡＴ装置（アドレス変換装置）及び集合仮想ルータとの間で通信を行う。なお、ＶＰＮ間接続管理システム２００は、通信部２１０を介して他の管理端末やユーザ用のＷｅｂサーバなどとの間で通信を行うこともでき、他の管理端末やユーザ用のＷｅｂサーバなどからＶＰＮ間接続要求を受信することもできる。

入力部２１１は、例えばキーボードやマウスなどであり、各種操作の入力などを受け付ける。入力部２１１は、例えば、ＶＰＮ間接続要求の入力をキーボードやマウスによって受け付ける。出力部２１２は、例えばディスプレイなどであり、各種操作のための情報などを出力する。出力部２１２は、例えば、ＶＰＮ間接続要求の入力画面を出力する。入出力制御Ｉ／Ｆ（Interface）部２１３は、入力部２１１と、出力部２１２と、記憶部２２０と、制御部２３０との間における入出力を制御する。なお、ＶＰＮ間接続管理システム２００は、必ずしも入力部２１１や出力部２１２を備える必要はなく、例えば、通信部２１０を介して他の管理端末やユーザ用のＷｅｂサーバと通信を行い、入出力に係る情報を送受信してもよい。

記憶部２２０は、例えばＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ（flash memory）などの半導体メモリ素子、ハードディスク、光ディスクなどであり、各種情報を記憶する。具体的には、記憶部２２０は、図２５に例示するように、ＶＰＮ間接続情報記憶部２２１と、設定パターン記憶部２２２と、ＶＰＮ間接続要求記憶部２２３と、アドレス変換情報記憶部２２４と、ルーティング情報記憶部２２５と、ＤＮＳ登録情報記憶部２２６と、アタッチメント記憶部２２７と、装置情報記憶部２２８とを有する。

ＶＰＮ間接続情報記憶部２２１は、ＶＰＮ間接続情報を記憶する。ここで、ＶＰＮ間接続情報には、拠点を識別する情報や、拠点を収容するＶＰＮ終端装置、ＮＡＴ装置及び集合仮想ルータを識別する情報が含まれる。また、ＶＰＮ間接続情報には、アドレス変換情報やルーティング情報の作成に必要なその他の情報も含まれる。ＶＰＮ間接続情報記憶部２２１は、例えばＶＰＮ間接続管理システム２００の利用者に入力されることで、ＶＰＮ間接続情報を事前に記憶する。また、ＶＰＮ間接続情報記憶部２２１が記憶するＶＰＮ間接続情報は、後述する仮想ルータ構築部２３２、変換用アドレス決定部２３３、ルーティング情報生成部２３５による処理などに利用される。なお、ＶＰＮ間接続管理システム２００の「利用者」には、電気通信事業者などの運用者と、企業内の情報システム部などの管理者とが含まれる。すなわち、以下では、「運用者」は、ＶＰＮ間接続サービスの運用担当者を意味し、「管理者」は、例えば企業側で拠点の社内網を管理しているネットワーク管理者などを意味する用語として用いる。

図２６は、ＶＰＮ間接続情報記憶部２２１を説明するための図である。図２６に例示するように、例えば、ＶＰＮ間接続情報記憶部２２１は、ＶＰＮ間接続情報として、集合仮想ルータの識別情報と、集合仮想ルータの設定パターンの識別情報とを対応付けて記憶する。例えば、集合仮想ルータの識別情報『集合仮想ルータ１』と、集合仮想ルータの設定パターンの識別情報『ＶＲ−Ｐ１』とを対応付けて記憶する。『集合仮想ルータ１』によって識別される集合仮想ルータの設定パターンは、『ＶＲ−Ｐ１』によって識別される設定パターンであることを示す。

また、ＶＰＮ終端装置と集合仮想ルータとは予め対応付けられ、ＶＰＮ終端装置が一意に特定されると、集合仮想ルータも一意に特定される関係にある。すなわち、物理的に１台の集合仮想ルータと、この集合仮想ルータにおいて一つ又は複数の仮想ルータを設定されるＶＰＮ終端装置とは、予め特定される関係にある（なお、本発明はこれに限られるものではなく、例えば、あるＶＰＮ終端装置が、複数台の集合仮想ルータそれぞれにおいて仮想ルータを設定されることも可能である）。このようなことから、例えば、ＶＰＮ間接続情報記憶部２２１は、図２６に例示するように、集合仮想ルータの識別情報ごとに、拠点（又は拠点のユーザ）を識別する識別情報（接続先ＩＤ（IDentifier）及び端末名）と、拠点が用いるＶＰＮ種別と、拠点が収容されるＶＰＮ終端装置の識別情報と、ＶＰＮ終端装置の設定パターンの識別情報と、ＮＡＴ装置の識別情報とを記憶する。

『接続先ＩＤ』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム２００の運用者によって払い出され、ＶＰＮ間接続情報記憶部２２１に格納される。また、『端末名』は、例えばＶＰＮ間接続サービスの契約時などにユーザからヒアリングされ、ＶＰＮ間接続情報記憶部２２１に格納される。なお、図２６に例示するように、ＶＰＮ間接続情報記憶部２２１に格納される端末名は、『userＡ@vpn1.example.com』など、ドメイン名に仮想ルータ名を含まないものである。

『ＶＰＮ種別』は、例えばＶＰＮ間接続サービスの契約時などにユーザからヒアリングされ、ＶＰＮ間接続情報記憶部２２１に格納される。『ＶＰＮ終端装置』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム２００の運用者によって決定され、ＶＰＮ間接続情報記憶部２２１に格納される。また、『ＶＰＮ終端装置の設定パターン』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム２００の運用者によって決定され、ＶＰＮ間接続情報記憶部２２１に格納される。『ＮＡＴ装置』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム２００の運用者によって決定され、ＶＰＮ間接続情報記憶部２２１に格納される。

例えば、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』、ＶＰＮ種別『ＯｐｅｎＶＰＮ』、ＶＰＮ終端装置『ＶＰＮ終端装置１』、ＶＰＮ終端装置の設定パターン『ＶＰＮ−Ｐ１』、ＮＡＴ装置『ＮＡＴ装置１』の行について説明する。まず、『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点（ＶＰＮ間接続に用いられる端末の端末名は『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』）では、『ＯｐｅｎＶＰＮ』が用いられていることを示す。また、『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点は『ＶＰＮ終端装置１』に収容されること、また、ＶＰＮ終端装置の設定パターンには『ＶＰＮ−Ｐ１』が用いられることを示す。

また、『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点は『ＮＡＴ装置１』に収容されることを示す。

図２５に戻り、設定パターン記憶部２２２は、ＶＰＮ終端装置、ＮＡＴ装置、及び転送制御装置の設定パターンを記憶する。具体的には、設定パターン記憶部２２２は、ＶＰＮ終端装置に設定すべき設定情報がＶＰＮ間接続の種別に応じて定型化されたＶＰＮ終端装置の設定パターンを記憶する。また、設定パターン記憶部２２２は、集合仮想ルータに設定すべき設定情報がＶＰＮ間接続の種別に応じて定型化された集合仮想ルータの設定パターンを記憶する。また、設定パターン記憶部２２２は、ＮＡＴ装置の設定パターンを記憶する。

設定パターン記憶部２２２は、例えばＶＰＮ間接続管理システム２００の運用者に入力されることで、設定パターンを事前に記憶する。また、設定パターン記憶部２２２が記憶する設定パターンは、後述する変換用アドレス決定部２３３やルーティング情報生成部２３５による処理などに利用される。

図２７は、集合仮想ルータの設定パターンの一例である。図２７に例示するように、例えば、設定パターン記憶部２２２は、集合仮想ルータの設定パターンとして、設定パターンの各項目を管理するための項番と、設定情報を設定内容に応じて区分けする区分と、設定内容と、設定情報の登録タイミングと、削除タイミングと、設定内容の仕様とを対応付けて記憶する。また、図２７に例示する設定パターンの内、項番１〜項番３が、設定情報の設定パターンであり、項番４が、オプション設定情報の設定パターンである。なお、オプション要求に関する設定情報を一般的な設定情報と区別して用いる場合には、『オプション設定情報』と呼ぶ。また、図２７においては図示を省略するが、設定パターン記憶部２２２は、集合仮想ルータの設定パターンとして、所定のコマンド文をも記憶する。なお、設定パターンは、設定パターンの識別情報によって識別される。

例えば、項番１の行を説明する。区分『仮想ルータ定義』の設定パターンは、ＶＰＮ間接続要求に基づいて仮想的に構築される伝送路（ＶＰＮ）においてパケット転送を制御する「仮想ルータ」を定義するための設定パターンである。設定内容『仮想ルータ名』は、設定される「仮想ルータ」の名称であり、『半角英数字』で設定すべきことが、仕様として規定されている。また、設定内容『仮想ルータＩＤ』は、設定される「仮想ルータ」のＩＤであり、『１６ビット数値』と『３２ビット数値』とを『：（コロン）』で接続した形式で設定すべきことが、仕様として規定されている。なお、仕様は、例えば、該当する機器の製造業者などによって規定され、機器の利用者に提供されるもので、上記は一例であり、これに限定されない。また、登録タイミング『サービス開始直前』は、項番１の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番１の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

また、例えば、項番２の行を説明する。区分『Ｉ／Ｆ設定』の設定パターンは、「仮想ルータ」に設定されるインタフェースの設定パターンである。設定内容『ＩＰアドレス』は、インタフェースに設定するＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきことが、仕様として規定されている。また、設定内容『Ｉ／Ｆの指定』は、インタフェースの指定は『Ｉ／Ｆの種別 数字／数字／数字』の形式で設定すべきことが、仕様として規定されている。また、設定内容『所属仮想ルータ』は、インタフェースを設定する仮想ルータ名を指定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番２の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番２の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

また、例えば、項番３の行を説明する。区分『仮想ルータ単位のルーティング設定』の設定パターンは、「仮想ルータ」に設定されるルーティング情報の設定パターンである。設定内容『ルーティング設定』は、ルーティング情報を設定する仮想ルータ名を指定すべきこと、ルーティング情報のＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番３の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番３の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

また、例えば、項番４の行を説明する。区分『アクセス制御』の設定パターンは、「仮想ルータ」に設定されるアクセス制御の設定パターンである。設定内容『フィルタリング（ＡＣＬ（Access Control List）など）』は、ＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきこと、ポート番号は、数字で設定すべきこと、数字は『１〜６５５３５』の値を設定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番４の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番４の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

図２８は、ＶＰＮ終端装置の設定パターンの一例である。図２８に例示するように、例えば、設定パターン記憶部２２２は、ＶＰＮ終端装置の設定パターンとして、設定パターンの各項目を管理するための項番と、設定情報を区分けする区分と、設定内容と、設定情報の登録タイミングと、削除タイミングと、設定内容の仕様とを対応付けて記憶する。また、図２８に例示する設定パターンの内、項番１が、設定情報の設定パターンであり、項番２が、オプション設定情報の設定パターンである。また、図２８においては図示を省略するが、設定パターン記憶部２２２は、ＶＰＮ終端装置の設定パターンとして、所定のコマンド文をも記憶する。なお、設定パターンは、設定パターンの識別情報によって識別される。

例えば、項番１の行を説明する。区分『ＶＰＮユーザ設定』の設定パターンは、ＶＰＮ間接続要求に基づいてＶＰＮ終端装置に収容する拠点のユーザに関する設定パターンである。設定内容『認証ＩＤ／パスワード』は、拠点のユーザに払い出される認証ＩＤ及びパスワードであり、認証ＩＤ及びパスワードは、『１２８文字以内』の『半角英数字』で設定すべきことが、仕様として規定されている。なお、『認証ＩＤ／パスワード』の替わりにその他の『認証情報』であってもよい。また、登録タイミング『サービス開始直前』は、項番１の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番１の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

また、例えば、項番２の行を説明する。区分『アクセス制御』の設定パターンは、「ＶＰＮ終端装置」に設定されるアクセス制御の設定パターンである。設定内容『フィルタリング（ＡＣＬなど）』は、ＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきこと、ポート番号は、数字で設定すべきこと、数字は『１〜６５５３５』の値を設定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番２の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番２の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。

また、図示を省略したが、設定パターン記憶部２２２は、ＮＡＴ装置の設定パターンについても同様に記憶する。例えば、設定パターン記憶部２２２は、設定情報の登録タイミングと、削除タイミングと、設定内容の仕様とを対応付けて記憶する。例えば、ＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきことなどが、仕様として規定される。また、例えば、『サービス開始直前』にＮＡＴ装置に反映されるべきこと、『サービス終了直後』にＮＡＴ装置から削除されるべきことなどが、仕様として規定される。また、設定パターン記憶部２２２は、ＮＡＴ装置の設定パターンとして、所定のコマンド文をも記憶する。

なお、上記設定パターンはいずれも一例に過ぎず、ＶＰＮ間接続の種別などによって、設定内容、設定情報の登録タイミング、削除タイミング、設定内容の仕様などは異なってくると考えられる。すなわち、例えば、ＶＰＮ間接続の種別が『Ｌ３ＶＰＮ』であれば、ＶＰＮ間接続先とＶＰＮ間接続元とのＩＰアドレスの組や、ＩＰｓｅｃの動作設定情報（認証方式や暗号化アルゴリズム）、事前秘密共有鍵などの項目も、設定パターンに定型化され得る。また、例えば、ＶＰＮ間接続の種別が『Ｌ２ＶＰＮ』であれば、ＶＰＮ間接続先とＶＰＮ間接続元とのＬ２などのＩＤなどの項目も、設定パターンに定型化され得る。このように、設定パターンは、ＶＰＮ間接続の種別などに応じて適切に定型化される。

図２５に戻り、ＶＰＮ間接続要求記憶部２２３は、ＶＰＮ間接続要求情報を記憶する。ＶＰＮ間接続要求記憶部２２３は、後述するＶＰＮ間接続要求受付部２３１によって格納されることで、ＶＰＮ間接続要求情報を記憶する。また、ＶＰＮ間接続要求記憶部２２３が記憶するＶＰＮ間接続要求情報は、後述する仮想ルータ構築部２３２、ルーティング情報生成部２３５による処理などに利用される。

図２９は、ＶＰＮ間接続要求記憶部２２３を説明するための図である。図２９に例示するように、例えば、ＶＰＮ間接続要求記憶部２２３は、ＶＰＮ間接続要求情報として、ＶＰＮ間接続サービスを開始すべきサービス開始時刻と、ＶＰＮ間接続サービスを終了すべきサービス終了時刻と、ＶＰＮ間接続が設定される仮想ルータ名と、ＶＰＮ間接続に収容される拠点（又は拠点のユーザ）を識別する識別情報（端末名）とを対応付けて記憶する。なお、ＶＰＮ間接続要求記憶部２２３が記憶する端末名は、仮想ルータ名で識別される仮想協働空間内で用いられる端末名として生成されたものであるので、図２９に例示するように、ドメイン名に仮想ルータ名を含む。

例えば、サービス開始時刻『ｔ１』と、サービス終了時刻『ｔ３』と、仮想ルータ名『ｖｒｆ１』と、端末名『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』及び『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』とを対応付けて記憶する。時刻『ｔ１』から『ｔ３』までの間、『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』と『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』とをＶＰＮ間接続するＶＰＮ間接続要求がなされ、当該ＶＰＮ間接続が設定される仮想ルータ名が『ｖｒｆ１』であることを示す。なお、説明の便宜上、サービス開始時刻やサービス終了時刻を『ｔ１』、『ｔ３』などと記載するが、例えば、『2009/8/21 13:00』といった具体的な年月日や時刻を示す。

図２５に戻り、アドレス変換情報記憶部２２４は、予約情報及びアドレス変換情報を記憶する。ここで、アドレス変換情報とは、後述する変換用アドレス決定部２３３によって決定されたユーザ側アドレスと仮想ルータ側アドレスとがＮＡＴ装置を境界として相互に変換されるように、ユーザ側アドレスと仮想ルータ側アドレスとを変換する変換情報である。なお、ユーザ側アドレスとは、拠点にて用いられている拠点内アドレス、及び、当該拠点にて通信相手となる他拠点配下の端末を識別するための第一アドレスである。また、仮想ルータ側アドレスとは、広域ネットワークにてＶＰＮ間接続に属する各拠点配下の端末を識別するための第二アドレスである。

アドレス変換情報記憶部２２４は、後述する変換用アドレス決定部２３３によって格納されることで、予約情報及びアドレス変換情報を記憶する。また、アドレス変換情報記憶部２２４が記憶する予約情報及びアドレス変換情報は、アドレス変換情報設定部２３４による処理などに利用される。

図３０は、アドレス変換情報記憶部２２４を説明するための図である。図３０に例示するように、例えば、アドレス変換情報記憶部２２４は、予約情報として、ＶＰＮ間接続サービスを開始すべきサービス開始時刻と、ＶＰＮ間接続サービスを終了すべきサービス終了時刻とを記憶する。また、アドレス変換情報記憶部２２４は、予約情報と対応付けて、アドレス変換情報を記憶する。例えば、アドレス変換情報記憶部２２４は、アドレス変換情報として、ＶＰＮ間接続を識別する仮想ルータ名と、ＮＡＴ装置に設定されるアドレス変換テーブルとを対応付けて記憶する。

例えば、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』と対応付けて記憶されているアドレス変換情報は、仮想ルータ名『ｖｒｆ１』によって識別される仮想ルータに関するアドレス変換情報である。

また、ＮＡＴ装置１においては、ユーザ側アドレス『１９２．１６８．１．１０』と仮想ルータ側アドレス『１０．０．１．１０』とを相互に変換すること、ユーザ側アドレス『１７２．１６．２．１０』と仮想ルータ側アドレス『１０．０．２．１０』とを相互に変換することを示す。ここで、ユーザ側アドレス『１９２．１６８．１．１０』は、拠点にて用いられている拠点内アドレスであり、ユーザ側アドレス『１７２．１６．２．１０』は、当該拠点にて通信相手となる他拠点配下の端末を識別するためのアドレスである。

また、ＮＡＴ装置２においては、ユーザ側アドレス『１７２．１６．１．１０』と仮想ルータ側アドレス『１０．０．１．１０』とを相互に変換すること、ユーザ側アドレス『１９２．１６８．１．１０』と仮想ルータ側アドレス『１０．０．２．１０』とを相互に変換することを示す。

なお、図３０においては、仮想ルータ名『ｖｒｆ１』によって識別される仮想ルータに関するアドレス変換情報のみを例示したが、アドレス変換情報記憶部２２４は、ＶＰＮ間接続管理システム２００によって構築された他の仮想ルータに関するアドレス変換情報も記憶している。

また、図３０においては図示を省略したが、アドレス変換情報記憶部２２４は、実施例２において図７−１及び図７−２を用いて説明したように、拠点毎に、少なくともアドレス空間ａ（プライベートアドレス全体のアドレス空間）及びアドレス空間ｂ（拠点Ａ内で利用されているプライベートアドレスのアドレス空間）を記憶する。

なお、ルーティング情報生成部２３５は、オンデマンドに構築されるＶＰＮ間接続に応じて、集合仮想ルータのインタフェースに設定するアドレス、ＶＰＮ終端装置のインタフェースに設定するアドレス、ＮＡＴ装置のインタフェースに設定するアドレスを割り当てるが、変換用アドレス決定部２３３は、各機器のインタフェースに割り当てられたこれらのアドレスとも重複しないように変換用のアドレスを決定しなければならない。このため、アドレス変換情報記憶部２２４が、各機器のインタフェースにアドレスが割り当てられた段階でこれらのアドレスを記憶しておくことで、変換用アドレス決定部２３３は、アドレス変換情報記憶部２２４を参照し、各機器のインタフェースに割り当てられた（あるいは割り当てられる）これらのアドレスと重複しないように、変換用のアドレスを決定することができる。

図２５に戻り、ルーティング情報記憶部２２５は、予約情報及びルーティング情報を記憶する。ルーティング情報記憶部２２５は、後述する仮想ルータ構築部２３２及びルーティング情報生成部２３５によって格納されることで、予約情報及びルーティング情報を記憶する。また、ルーティング情報記憶部２２５が記憶する予約情報及びルーティング情報は、ルーティング情報設定部２３６による処理などに利用される。

図３１及び図３２は、ルーティング情報記憶部２２５を説明するための図である。図３１に例示するように、例えば、ルーティング情報記憶部２２５は、予約情報として、ＶＰＮ間接続サービスを開始すべきサービス開始時刻と、ＶＰＮ間接続サービスを終了すべきサービス終了時刻とを記憶する。また、ルーティング情報記憶部２２５は、予約情報と対応付けて、ルーティング情報を記憶する。例えば、ルーティング情報記憶部２２５は、集合仮想ルータに設定される設定情報（ルーティング情報を含む）を設定ファイルの形式で記憶し、ＶＰＮ終端装置に設定される設定情報を設定ファイルの形式で記憶し、ＮＡＴ装置に設定される設定情報を設定ファイルの形式で記憶する。

例えば、図３２の（Ａ）は、集合仮想ルータに設定される設定情報の一部を例示するものである。また、例えば、図３２の（Ｂ）は、ＶＰＮ終端装置に設定される設定情報の一部を例示するものである。例えば、図３２の（Ｃ）は、ＮＡＴ装置に設定される設定情報の一部を例示するものである。

図２５に戻り、ＤＮＳ登録情報記憶部２２６は、ＤＮＳ登録情報を記憶する。ＤＮＳ登録情報記憶部２２６は、後述するＤＮＳ登録情報生成部２３７によって格納されることで、ＤＮＳ登録情報を記憶する。また、ＤＮＳ登録情報記憶部２２６が記憶するＤＮＳ登録情報は、後述するＤＮＳ登録部２３８による処理などに利用される。

図３３は、ＤＮＳ登録情報記憶部２２６を説明するための図である。図３３に例示するように、例えば、ＤＮＳ登録情報記憶部２２６は、通信相手となる他拠点配下の端末を識別するための第一アドレスと、端末名との組を示すＤＮＳ登録情報として、Ａレコード「β１ ＩＮ Ａ １７２．１６．２．１０」や「α１ ＩＮ Ａ １７２．１６．１．１０」を記憶する。ここで、「β１」や「α１」が端末名であり、「１７２．１６．２．１０」や「１７２．１６．１．１０」が第一アドレスである。なお、Ａレコードの記載としてドメイン名を省略することができるので、単に「β１」や「α１」と記載されているが、ＤＮＳ登録情報に用いられる端末名は、仮想ルータ名で識別される仮想協働空間内で用いられる端末名として生成されたものであるので、ドメイン名に仮想ルータ名を含むものである。

図２５に戻り、アタッチメント記憶部２２７は、集合仮想ルータごと、ＶＰＮ終端装置ごと、ＮＡＴ装置ごとに、アタッチメントを記憶する。また、アタッチメント記憶部２２７は、ＤＮＳ装置についてもアタッチメントを記憶する。ここで、アタッチメントとは、アドレス変換情報をＮＡＴ装置に反映するためのプログラム、ルーティング情報をＶＰＮ終端装置及び集合仮想ルータに対して反映するためのプログラム、ＤＮＳ登録情報をＤＮＳ装置に対して反映するためのプログラム、及び、ＮＡＴ装置に対して反映されたアドレス変換情報を削除するためのプログラム、ＶＰＮ終端装置及び集合仮想ルータに対して反映されたルーティング情報を削除するためのプログラム、ＤＮＳ装置に対して反映されたＤＮＳ登録情報を削除するためのプログラムである。

また、アタッチメントには、ＶＰＮ間接続管理システム２００とＮＡＴ装置との間で用いられる通信プロトコル、ＶＰＮ間接続管理システム２００とＶＰＮ終端装置との間で用いられる通信プロトコルや、ＶＰＮ間接続管理システム２００と集合仮想ルータとの間で用いられる通信プロトコル、あるいは、ＶＰＮ間接続管理システム２００とＤＮＳ装置との間で用いられる通信プロトコルが規定される。なお、一般に、当該通信プロトコルには、ＮＡＴ装置のベンダ、ＶＰＮ終端装置のベンダや集合仮想ルータのベンダ、あるいはＤＮＳ装置によって規定される独自仕様の通信プロトコルが用いられる。アタッチメント記憶部２２７は、例えばＶＰＮ間接続管理システム２００の運用者に入力されることで、アタッチメントを事前に記憶する。また、アタッチメント記憶部２２７が記憶するアタッチメントは、後述するアドレス変換情報設定部２３４、ルーティング情報設定部２３６、ＤＮＳ登録部２３８及び削除部２３９による処理に利用される。

図３４は、アタッチメント記憶部２２７を説明するための図である。図３４に例示するように、例えば、アタッチメント記憶部２２７は、集合仮想ルータ、ＶＰＮ終端装置やＮＡＴ装置、あるいはＤＮＳ装置（図示を省略）の装置識別情報とアタッチメントとを対応付けて記憶する。例えば、反映用のアタッチメントには、ＮＡＴ装置、ＶＰＮ終端装置、集合仮想ルータやＤＮＳ装置にログインするためのＩＤ／パスワードや、アドレス変換情報やルーティング情報、ＤＮＳ登録情報を格納すべきパスを指定し、指定したパスにアドレス変換情報やルーティング情報、ＤＮＳ登録情報を格納するためのコマンド、ＮＡＴ装置、ＶＰＮ終端装置や集合仮想ルータ、ＤＮＳ装置を再起動させるコマンドなどが記載される。なお、アドレス変換情報やルーティング情報、ＤＮＳ登録情報の反映には、格納して再起動することで反映する場合と、格納によって反映する場合とがある。また、反映用のアタッチメントには、ＶＰＮ間接続管理システム２００とＮＡＴ装置との間で用いられる通信プロトコル、ＶＰＮ間接続管理システム２００とＶＰＮ終端装置との間で用いられる通信プロトコルや、ＶＰＮ間接続管理システム２００と集合仮想ルータとの間で用いられる通信プロトコル、ＶＰＮ間接続管理システム２００とＤＮＳ装置との間で用いられる通信プロトコルが規定される。

また、例えば、削除用のアタッチメントには、ＮＡＴ装置、ＶＰＮ終端装置や集合仮想ルータ、ＤＮＳ装置にログインするためのＩＤ／パスワードや、アドレス変換情報やルーティング情報、ＤＮＳ登録情報が格納されているパスからアドレス変換情報やルーティング情報、ＤＮＳ登録情報を削除するためのコマンド、ＮＡＴ装置、ＶＰＮ終端装置や集合仮想ルータ、ＤＮＳ装置を再起動させるコマンドなどが記載される。また、削除用のアタッチメントには、ＶＰＮ間接続管理システム２００とＮＡＴ装置との間で用いられる通信プロトコル、ＶＰＮ間接続管理システム２００とＶＰＮ終端装置との間で用いられる通信プロトコルや、ＶＰＮ間接続管理システム２００と集合仮想ルータとの間で用いられる通信プロトコル、ＶＰＮ間接続管理システム２００とＤＮＳ装置との間で用いられる通信プロトコルが規定される。

図２５に戻り、装置情報記憶部２２８は、ＶＰＮ終端装置に事前設定されたＶＰＮ終端装置の事前設定情報、及び、集合仮想ルータに事前設定された集合仮想ルータの事前設定情報を記憶する。装置情報記憶部２２８は、例えばＶＰＮ間接続管理システム２００の運用者に入力されることで、ＶＰＮ終端装置の事前設定情報及び集合仮想ルータの事前設定情報を事前に記憶する。また、装置情報記憶部２２８が記憶する事前設定情報は、後述するルーティング情報生成部２３５による処理などに利用される。

図３５は、集合仮想ルータの事前設定情報を説明するための図である。図３５に例示するように、例えば、装置情報記憶部２２８は、集合仮想ルータの事前設定情報として、ホスト名（又はルータ名）及びパスワードを記憶する。「ホスト名」は、集合仮想ルータの名称であり、例えば『ｊｐｎ１００』といった名称である。「パスワード」は、集合仮想ルータにログインするためのパスワードであり、例えば『ｒｏｏｔｒｏｏｔ』といったパスワードである。

図３６は、ＶＰＮ終端装置の事前設定情報を説明するための図である。図３６に例示するように、例えば、装置情報記憶部２２８は、ＶＰＮ終端装置の事前設定情報として、ホスト名（又はルータ名）、パスワード、ＶＰＮ終端装置ＩＤ、ＶＰＮ種別、集合仮想ルータ向けＩＰアドレス、サーバモードを記憶する。また、図３６においては図示を省略するが、装置情報記憶部２２８は、事前設定情報として、例えば、サーバ側待ち受けＩＰアドレス、プロトコル、ポート番号なども記憶する。

「ホスト名」は、ＶＰＮ終端装置の名称であり、例えば『ｊｐｎ１』といった名称である。「パスワード」は、ＶＰＮ終端装置にログインするためのパスワードであり、例えば『ｒｏｏｔｒｏｏｔ』といったパスワードである。「ＶＰＮ終端装置ＩＤ」は、ＶＰＮ終端装置を識別するＩＤであり、例えば『ＶＰＮ終端装置１』といったＩＤである。「ＶＰＮ種別」は、ＶＰＮ種別であり、例えば『ＯｐｅｎＶＰＮ』といった種別である。

「集合仮想ルータ向けＩＰアドレス」は、拠点から送出されたパケットを集合仮想ルータに向けて送出する際に転送すべきＩＰアドレスであり、集合仮想ルータに仮想ルータが構築され、集合仮想ルータのインタフェースにＩＰアドレスが割り当てられて初めて決定するものである。このため、図３６においては、未だ割り当てられていないという意味で空欄とする。サーバモードは、ＶＰＮ終端装置が選択したルーティング方式であり、例えばＯｐｅｎＶＰＮを用いる場合、ルーティング方式には『ｒｏｕｔｉｎｇ』と『ｂｒｉｄｇｅ』とがある。

図２５に戻り、制御部２３０は、ＶＰＮ間接続管理システム２００において実行される各種処理を制御する。具体的には、図２５に例示するように、制御部２３０は、ＶＰＮ間接続要求受付部２３１と、仮想ルータ構築部２３２と、変換用アドレス決定部２３３と、アドレス変換情報設定部２３４と、ルーティング情報生成部２３５と、ルーティング情報設定部２３６と、ＤＮＳ登録情報生成部２３７と、ＤＮＳ登録部２３８と、削除部２３９とを有する。

ＶＰＮ間接続要求受付部２３１は、ＶＰＮ間接続要求を受け付ける。具体的には、例えば、インターネットなどのネットワークにユーザ用のＷｅｂサーバが設置され、ＶＰＮ間接続要求受付部２３１は、ユーザ用の入力画面をＷｅｂサーバに配信する。ここで、ユーザ用の入力画面とは、ＶＰＮ間接続を行うＶＰＮの管理者から、そのＶＰＮ間接続要求を受け付けるために、ＶＰＮ間接続サービスを提供する電気通信事業者などが提供するものである。すると、例えば拠点それぞれの管理者が、当該Ｗｅｂサーバにアクセスし、ユーザ用の入力画面にＶＰＮ間接続要求を入力することで、ＶＰＮ間接続要求受付部２３１は、ＶＰＮ間接続要求の入力を受け付け、受け付けたＶＰＮ間接続要求をＶＰＮ間接続要求記憶部２２３に格納する。

図３７は、ＶＰＮ間接続要求の入力画面の一例を説明するための図である。例えば、ＶＰＮ間接続要求受付部２３１は、まず、図３７の（Ａ）に例示する入力画面を出力する。入力画面には、仮想ルータ名の入力を受け付ける枠、及び、パスワードの入力を受け付ける枠が設けられる。なお、仮想ルータ名及びパスワードは、例えば、同じ協働空間に属する予定の『Ａ社』と『Ｂ社』との間で、オフラインで決定されるなどする。こうして、例えば、図３７の（Ａ）に例示するように、『Ａ社』の管理者が仮想ルータ名『ｖｒｆ１』及びパスワードを入力すると、ＶＰＮ間接続要求受付部２３１は、仮想ルータ名として『ｖｒｆ１』を受け付け、続いて、『Ａ社』に関する情報を受け付ける。なお、ＶＰＮ間接続要求として仮想ルータ名の入力を受け付ける例を説明するが、これに限られるものではなく、例えば、ＶＰＮ間接続管理システム２００側で仮想ルータ名を自動的に割り当ててもよい。

また、図３７の（Ｂ）に例示するように、図３７の（Ａ）に例示する入力画面に続く次の入力画面には、接続先ＩＤ及び端末名の入力を受け付ける枠が設けられる。例えば、『Ａ社』の管理者が、接続先ＩＤとして『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』を入力し、端末名として『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』を入力すると、ＶＰＮ間接続要求受付部２３１は、仮想ルータ名『ｖｒｆ１』によってＶＰＮ間接続される『Ａ社』側の端末として『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』を受け付ける。なお、例えば『Ｍｏｒｅ』のボタンが管理者によって押下されると、ＶＰＮ間接続要求受付部２３１は、入力画面上に、端末名の入力を受け付ける枠をさらに設ける。

また、入力画面には、予約時間の年月日及び時刻の入力を受け付ける枠が設けられる。例えば、図３７の（Ｂ）に例示するように、管理者が、予約時間『２００９．８．２１ １３：００』〜『２００９．８．２１ １５：００』を入力すると、ＶＰＮ間接続要求受付部２３１は、ＶＰＮ間接続サービス開始時刻として『２００９．８．２１ １３：００』、ＶＰＮ間接続サービス終了時刻として『２００９．８．２１ １５：００』を受け付ける。

さて、図３７の（Ｂ）に例示する入力画面において、例えば『ＯＫ』ボタンが管理者によって押下されると、ＶＰＮ間接続要求受付部２３１は、ＶＰＮ間接続要求の受け付けを終了する。なお、この後、『Ｂ社』の管理者も同様に、仮想ルータ名『ｖｒｆ１』によってＶＰＮ間接続される端末として『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』を入力する。

例えば、『Ｂ社』の管理者が、入力画面に仮想ルータ名『ｖｒｆ１』及びパスワードを入力すると、ＶＰＮ間接続要求受付部２３１は、仮想ルータ名として『ｖｒｆ１』を受け付ける。ここで、仮想ルータ名『ｖｒｆ１』によって識別されるＶＰＮ間接続については、既に『Ａ社』の管理者が予約時間の年月日及び時刻の入力を済ませているので、例えば、ＶＰＮ間接続要求受付部２３１は、図３７の（Ｂ）に例示する入力画面のうち、予約時間の年月日及び時刻が入力された状態の入力画面を出力してもよい。すると、例えば、『Ｂ社』の管理者が、接続先ＩＤとして『ＵｓｅｒＢ−Ｏｆｆｉｃｅ』を入力し、端末名として『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』を入力すると、ＶＰＮ間接続要求受付部２３１は、仮想ルータ名『ｖｒｆ１』によってＶＰＮ間接続される『Ｂ社』側の端末として『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』を受け付ける。こうして、『端末α』と『端末β』とを接続するためのＶＰＮ間接続要求として、仮想ルータ名『ｖｒｆ１』によって識別されるＶＰＮ間接続要求が受け付けられる。

なお、ＶＰＮ間接続要求受付部２３１は、受け付けたＶＰＮ間接続要求をＶＰＮ間接続要求記憶部２２３に格納するが、このとき、仮想ルータ名『ｖｒｆ１』が判明している場合には、ＶＰＮ間接続要求受付部２３１は、入力された端末名をそのままをＶＰＮ間接続要求記憶部２２３に格納するのではなく、仮想協働空間内で用いられる端末名として、ドメイン名に仮想ルータ名を含ませた端末名を新たに生成し、新たに生成した端末名をＶＰＮ間接続要求記憶部２２３に格納する。

なお、ユーザ用の入力画面にＶＰＮ間接続要求を入力させる手法を説明したが、本発明はこれに限られるものではない。例えば、ＶＰＮ間接続サービスを提供する電気通信事業者などの運用者が、ＶＰＮ間接続管理システム２００の出力部２１２に出力された入力画面に直接ＶＰＮ間接続要求を入力する手法でもよい。

仮想ルータ構築部２３２は、ＶＰＮ間接続要求に基づき、集合仮想ルータに仮想ルータを構築する。具体的には、仮想ルータ構築部２３２は、ＶＰＮ間接続要求受付部２３１によって受け付けられたＶＰＮ間接続要求に基づき、集合仮想ルータに構築すべき仮想ルータ名を決定する。また、仮想ルータ構築部２３２は、集合仮想ルータに設定する設定情報のうち仮想ルータの構築情報を生成し、生成した仮想ルータの構築情報を予約情報とともにルーティング情報記憶部２２５に格納する。また、仮想ルータ構築部２３２は、変換用アドレス決定部２３３に、アドレス変換情報を生成すべき旨を通知する。

例えば、仮想ルータ構築部２３２は、ＶＰＮ間接続要求記憶部２２３（図２９に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、仮想ルータを構築すべきタイミングであるか否かを判定する。例えば、仮想ルータ構築部２３２は、現在時刻とサービス開始時刻『ｔ１』とを比較して、仮想ルータを構築すべきタイミングであるか否かを判定する。

次に、仮想ルータ構築部２３２は、仮想ルータを構築すべきタイミングであると判定すると、ＶＰＮ間接続要求記憶部２２３を参照し、サービス開始時刻に対応付けて記憶されている仮想ルータ名及び端末名を取得する。例えば、仮想ルータ構築部２３２は、サービス開始時刻『ｔ１』に対応付けて記憶されている仮想ルータ名『ｖｒｆ１』、並びに、端末名『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』及び『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』を取得する。

そして、仮想ルータ構築部２３２は、取得した端末名（ただし、ドメイン名に仮想ルータ名を含まない端末名）を用いてＶＰＮ間接続情報記憶部２２１（図２６に例示）を参照し、端末名によって識別される拠点が収容される集合仮想ルータを特定し、設定パターンの識別情報を取得する。例えば、仮想ルータ構築部２３２は、集合仮想ルータ『集合仮想ルータ１』を特定し、設定パターンの識別情報『ＶＲ−Ｐ１』を取得する。

続いて、仮想ルータ構築部２３２は、取得した設定パターンの識別情報を用いて設定パターン記憶部２２２（図２７に例示）を参照し、区分『仮想ルータ定義』に対応付けて記憶されている仕様を取得する。ここで、図２７には例示しなかったが、設定パターン記憶部２２２は、設定パターンの一つとして、設定情報を集合仮想ルータに反映するための所定のコマンド文も集合仮想ルータごとに記憶する。このため、仮想ルータ構築部２３２は、該当する所定のコマンド文も取得する。

そして、仮想ルータ構築部２３２は、ＶＰＮ間接続要求記憶部２２３（図２９に例示）を参照してサービス開始時刻及びサービス終了時刻を取得し、取得したサービス開始時刻及びサービス終了時刻をルーティング情報記憶部２２５（図３１に例示）に格納する。例えば、仮想ルータ構築部２３２は、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』をルーティング情報記憶部２２５に格納する。

次に、仮想ルータ構築部２３２は、取得した仕様やコマンド文を用いて仮想ルータの構築情報をファイルに記載し、サービス開始時刻及びサービス終了時刻に対応付けてルーティング情報記憶部２２５に格納する。例えば、仮想ルータ構築部２３２は、仮想ルータ名『ｖｒｆ１』を、取得した所定のコマンド文を用いて『ｉｐ ｖｒｆ ｖｒｆ１』と記載したファイルを作成する。また、仮想ルータ構築部２３２は、作成したファイルに、図２７に例示する仕様に従って決定した仮想ルータＩＤ『１００：１０』を、所定のコマンド文を用いて『ｒｄ １００：１０』と記載する。そして、仮想ルータ構築部２３２は、作成したファイルをサービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』に対応付けてルーティング情報記憶部２２５に格納する（図３２の（Ａ）を参照）。

変換用アドレス決定部２３３は、ＶＰＮ間接続要求に基づき、ＶＰＮ間接続に用いられるアドレスを決定する。具体的には、変換用アドレス決定部２３３は、ＶＰＮ間接続要求受付部２３１によって受け付けられたＶＰＮ間接続要求に基づき、ＶＰＮ間接続に用いられるアドレスを決定し、アドレス変換情報を生成する。

ここで、変換用アドレス決定部２３３は、通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス（以下「第一アドレス」）を、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該当する拠点内で通信相手となり得る端末の中で一意となるように決定する。また、変換用アドレス決定部２３３は、ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するアドレス（以下「第二アドレス」）を、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該当するＶＰＮ間接続として制御され得る端末の中で一意となるように決定する。また、変換用アドレス決定部２３３は、決定した二つのアドレスがＮＡＴ装置を境界として相互に変換されるようにアドレス変換情報を生成する。

ここで、ＶＰＮ間接続管理システム２００は、上述したように、拠点毎に、少なくともアドレス空間ａ及びアドレス空間ｂを記憶する。また、アドレス変換情報記憶部２２４は、各機器のインタフェースにアドレスが割り当てられた段階で、これらのアドレスも記憶する。

このため、変換用アドレス決定部２３３は、アドレス変換情報記憶部２２４を参照し、既に予約されたアドレスを時間軸上で探索する。以下、実施例２において図７−１及び図７−２に例示したアドレス空間を用いて説明すると、変換用アドレス決定部２３３は、第一アドレスを決定する際には、まず、アドレス空間ａから、アドレス空間ｂを除くアドレス空間を求め、次に、アドレス空間ｄに優先して決定されたアドレス空間ｃを除くアドレス空間を求め、このアドレス空間が、すなわちアドレス空間ｄであるので、このアドレス空間ｄのうち、あるＶＰＮ間接続を利用する時間帯について既に払い出された（あるいは予約された）第一アドレス（すなわちアドレス空間ｄ１）以外のアドレス空間（すなわちアドレス空間ｄ２）から、第一アドレスを決定する。また、変換用アドレス決定部２３３は、第二アドレスを決定する際には、まず、アドレス空間ａから、アドレス空間ｄに優先して決定されたアドレス空間ｃを除くアドレス空間を求め、このアドレス空間が、すなわちアドレス空間ｂ及びアドレス空間ｄであるので、このアドレス空間ｂ及びアドレス空間ｄのうち、あるＶＰＮ間接続について既に払い出された（あるいは予約された）第二アドレス（すなわちアドレス空間ｄ１´）以外のアドレス空間（すなわちアドレス空間ｂ及びアドレス空間ｄ２´）から、第二アドレスを決定する。

また、変換用アドレス決定部２３３は、上記実施例１〜３で説明したアドレス変換管理部１３３と同様の機能も有する。すなわち、変換用アドレス決定部２３３は、端末のユーザを認証し、拠点内アドレスを端末から取得し、決定した第一アドレス及び第二アドレスと、端末から取得した拠点内アドレスとを用いてアドレス変換情報を生成する。

また、変換用アドレス決定部２３３は、生成したアドレス変換情報を予約情報とともにアドレス変換情報記憶部２２４に格納する。また、変換用アドレス決定部２３３は、ルーティング情報生成部２３５に、ルーティング情報を含む設定情報を生成すべき旨を通知する。また、変換用アドレス決定部２３３は、ＤＮＳ登録情報生成部２３７に、ＤＮＳ登録情報を生成すべき旨を通知する。

例えば、変換用アドレス決定部２３３は、仮想ルータ構築部２３２からアドレス変換情報を生成すべき旨の通知を受けると、アドレス変換情報記憶部２２４（図３０に例示）を参照し、通信相手となる他拠点配下の端末を拠点にて識別するための第一アドレスを決定する。

例えば、変換用アドレス決定部２３３は、ＶＰＮ接続要求として取得した端末名を用いてＶＰＮ間接続情報記憶部２２１（図２６に例示）を参照し、この端末が属する拠点の接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』を取得する。そして、変換用アドレス決定部２３３は、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』に属する端末名（ただし、仮想協働空間内で用いられる端末名であってドメイン名に仮想ルータ名を含むもの）、並びに、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』を用いてアドレス変換情報記憶部２２４を検索し、重複する時間帯に、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』に関するアドレス変換情報が存在すれば、これを全て取得する。また、変換用アドレス決定部２３３は、プライベートアドレス全体の値、及び、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスも取得する。このとき、変換用アドレス決定部２３３は、全ての仮想ルータに対応付けて記憶されたアドレス変換情報を対象として検索する。

次に、変換用アドレス決定部２３３は、取得したアドレス変換情報を解析し、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点にて、通信相手となる他拠点配下の端末を識別するためのアドレスとして用いられているユーザ側アドレスを全て抽出する。そして、変換用アドレス決定部２３３は、抽出したユーザ側アドレスと重複しないように、また、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスとも重複しないように、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点にて端末名『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』を識別するための第一アドレスを決定する。例えば、変換用アドレス決定部２３３は、『１７２．１６．２．１０』を決定する。

続いて、変換用アドレス決定部２３３は、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』及び端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』を用いてＶＰＮ間接続情報記憶部２２１（図２６に例示）を参照し、『ＮＡＴ装置１』を取得する。そして、変換用アドレス決定部２３３は、端末のユーザを認証し、拠点内アドレス『１９２．１６８．１．１０』を端末から取得すると、図３０の１行目に例示するように、『ＮＡＴ装置１』に対応付けて、『１９２．１６８．１．１０』と『１７２．１６．２．１０』とをユーザ側アドレスとして格納する。なお、変換用アドレス決定部２３３は、接続先ＩＤ『ＵｓｅｒＢ−Ｏｆｆｉｃｅ』についても同様に第一アドレスを決定し、図３０の１行目に例示するように、『ＮＡＴ装置２』に対応付けて、『１７２．１６．１．１０』と『１９２．１６８．１．１０』とをユーザ側アドレスとして格納する。

また、例えば、変換用アドレス決定部２３３は、アドレス変換情報記憶部２２４（図３０に例示）を参照し、集合仮想ルータにてＶＰＮ間接続に属する各拠点配下の端末を識別するための第二アドレスを決定する。

例えば、変換用アドレス決定部２３３は、ＶＰＮ間接続を識別する仮想ルータ名『ｖｒｆ１』、並びに、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』を用いてアドレス変換情報記憶部２２４を検索し、重複する時間帯に、仮想ルータ名『ｖｒｆ１』に関するアドレス変換情報が存在すれば、これを全て取得する。すなわち、変換用アドレス決定部２３３は、仮想ルータ名『ｖｒｆ１』に対応付けて記憶されたアドレス変換情報を対象として検索する。

次に、変換用アドレス決定部２３３は、取得したアドレス変換情報を解析し、仮想ルータ名『ｖｒｆ１』に関するアドレス変換情報として用いられている仮想ルータ側アドレスを全て抽出する。そして、変換用アドレス決定部２３３は、抽出した仮想ルータ側アドレスと重複しないように、また、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスとも重複しないように、端末名『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』及び『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』によって識別される端末を集合仮想ルータにて識別するための第二アドレスを決定する。例えば、変換用アドレス決定部２３３は、『１０．０．１．１０』及び『１０．０．２．１０』を決定する。

続いて、変換用アドレス決定部２３３は、図３０の１行目に例示するように、『ＮＡＴ装置１』及び『ＮＡＴ装置２』に対応付けて、『１０．０．１．１０』と『１０．０．２．１０』とを仮想ルータ側アドレスとして格納する。

そして、変換用アドレス決定部２３３は、決定した二つのアドレスがＮＡＴ装置を境界として相互に変換されるようにアドレス変換情報を生成する。例えば、変換用アドレス決定部２３３は、設定パターン記憶部２２２を参照し、アドレス変換情報の仕様、及び、アドレス変換情報をＮＡＴ装置に反映するための所定のコマンド文を取得する。そして、変換用アドレス決定部２３３は、取得した仕様及びコマンド文を用いて、図３０の１行目に例示するアドレス変換テーブルからアドレス変換情報を生成する。なお、使用後アドレスは再度利用できるため、未使用扱いとする。

アドレス変換情報設定部２３４は、アドレス変換情報をＮＡＴ装置に設定する。具体的には、アドレス変換情報設定部２３４は、変換用アドレス決定部２３３によって決定された第一アドレスと第二アドレスとが、また、拠点内アドレスと第二アドレスとが、ＮＡＴ装置を境界として相互に変換されるように、アドレス変換情報をＮＡＴ装置に設定する。

例えば、アドレス変換情報設定部２３４は、アドレス変換情報記憶部２２４（図３０に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、アドレス変換情報を設定すべきタイミングであるか否かを判定する。例えば、アドレス変換情報設定部２３４は、現在時刻とサービス開始時刻『ｔ１』とを比較して、アドレス変換情報を設定すべきタイミングであるか否かを判定する。

次に、アドレス変換情報設定部２３４は、アドレス変換情報を設定すべきタイミングであると判定すると、アドレス変換情報記憶部２２４を参照し、サービス開始時刻に対応付けて記憶されているアドレス変換情報を取得する。例えば、アドレス変換情報設定部２３４は、『ＮＡＴ装置１』及び『ＮＡＴ装置２』に対応付けて記憶されているアドレス変換テーブルを取得する。

そして、アドレス変換情報設定部２３４は、アタッチメント記憶部２２７（図３４に例示）を参照し、該当するアタッチメントを取得し、取得したアタッチメントを用いて、該当するＮＡＴ装置にアドレス変換情報を送信する。例えば、アドレス変換情報設定部２３４は、『ＮＡＴ装置１』及び『ＮＡＴ装置２』を用いてアタッチメント記憶部２２７を参照し、アタッチメント『ＮＡＴ１．ｅｘｅ』及び『ＮＡＴ２．ｅｘｅ』を取得する。続いて、アドレス変換情報設定部２３４は、取得したアタッチメント『ＮＡＴ１．ｅｘｅ』を用いて、アドレス変換情報記憶部２２４において『ＮＡＴ装置１』に対応付けて記憶されているアドレス変換情報を『ＮＡＴ装置１』に送信する。また、アドレス変換情報設定部２３４は、取得したアタッチメント『ＮＡＴ２．ｅｘｅ』を用いて、アドレス変換情報記憶部２２４において『ＮＡＴ装置２』に対応付けて記憶されているアドレス変換情報を『ＮＡＴ装置２』に送信する。

なお、アドレス変換情報設定部２３４は、ＶＰＮ間接続サービスを開始する時刻にアドレス変換情報の設定を開始するものとして説明するが、これに限られるものではない。ＶＰＮ間接続サービスを開始する時刻として予約を受け付けた時刻には即時にＶＰＮ間接続が実現されるように、例えば、アドレス変換情報の設定に要する時間を予め予測し、『サービス開始時刻』から、予測した当該時間を差し引いた時刻を、アドレス変換情報の反映を開始する時刻としてもよい。例えば、変換用アドレス決定部２３３が、アドレス変換情報記憶部２２４に予約時間とアドレス変換情報とを格納する際に、アドレス変換情報の設定に要する時間を差し引いた時刻も併せて格納し、アドレス変換情報設定部２３４が、当該時刻であるか否かを判定してアドレス変換情報の設定を開始してもよい。

ルーティング情報生成部２３５は、ＶＰＮ間接続要求及びアドレス変換情報に基づき、ルーティング情報を生成する。具体的には、ルーティング情報生成部２３５は、各機器（集合仮想ルータ、ＶＰＮ終端装置、ＮＡＴ装置）のインタフェースに設定するアドレスを、予め確保されたアドレスの中から割り当てる。また、ルーティング情報生成部２３５は、変換用アドレス決定部２３３によって決定されたアドレス変換情報に基づきルーティング情報を生成する。また、ルーティング情報生成部２３５は、生成したルーティング情報を予約情報とともにルーティング情報記憶部２２５に格納する。なお、既に仮想ルータ構築部２３２が、仮想ルータの構築情報をファイルに記載してルーティング情報記憶部２２５に格納しているので、ルーティング情報生成部２３５は、このファイルに、ルーティング情報（ＶＰＮ終端装置（Next Hop）へのルーティング情報）などを追記することになる。また、ルーティング情報生成部２３５は、ＶＰＮ終端装置のファイルには、集合仮想ルータ（Next Hop）へのルーティング情報など、ＮＡＴ装置のファイルには、パケットの転送情報などを記載することになる。

まず、集合仮想ルータの設定情報の生成について説明する。例えば、ルーティング情報生成部２３５は、変換用アドレス決定部２３３からルーティング情報を含む設定情報を生成すべき旨の通知を受けると、アドレス変換情報記憶部２２４（図３０に例示）を参照し、ＮＡＴ装置側Ｉ／Ｆに設定すべきアドレスを決定する。例えば、ルーティング情報生成部２３５は、ＮＡＴ装置１側のＩ／Ｆとして『１０．０．１０．９７』を決定し、ＮＡＴ装置２側のＩ／Ｆとして『１０．０．２０．９７』を決定する。

また、ルーティング情報生成部２３５は、設定パターン記憶部２２２（図２７に例示）を参照し、区分『Ｉ／Ｆの設定』及び『仮想ルータ単位のルーティング設定』に対応付けて記憶されている仕様を取得する。ここで、図２７には例示しなかったが、設定パターン記憶部２２２は、設定パターンの一つとして、設定情報を集合仮想ルータに反映するための所定のコマンド文も集合仮想ルータごとに記憶する。このため、ルーティング情報生成部２３５は、該当する所定のコマンド文も取得する。

そして、ルーティング情報生成部２３５は、『数字．数字．数字．数字』の仕様に従って「ＩＰアドレス」を決定する。また、例えば、ルーティング情報生成部２３５は、図２７に例示する設定パターンを参照し、『Ｉ／Ｆの種別 数字／数字／数字』の仕様に従って「Ｉ／Ｆの指定」を決定する。

例えば、ルーティング情報生成部２３５は、ＮＡＴ装置１と接続するインタフェースに設定するＩＰアドレスとして『１０．０．１０．９７ ２５５．２５５．２５５．０』を決定し、Ｉ／Ｆの指定として『ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ（登録商標）１／０／０』を決定する。また、例えば、ルーティング情報生成部２３５は、ＮＡＴ装置２と接続するインタフェースに設定するＩＰアドレスとして『１０．０．２０．９７ ２５５．２５５．２５５．０』を決定し、Ｉ／Ｆの指定として『ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ（登録商標）２／０／０』を決定する。

次に、ルーティング情報生成部２３５は、アドレス変換情報記憶部２２４を参照し、ＮＡＴ装置に対応付けて記憶されている仮想ルータ側アドレスを取得する。例えば、ルーティング情報生成部２３５は、ＮＡＴ装置『ＮＡＴ装置１』と対応付けて記憶されている仮想ルータ側アドレス『１０．０．１．１０』及び『１０．０．２．１０』を取得する。

そして、例えば、ルーティング情報生成部２３５は、図３２の（Ａ）に示すように、ＮＡＴ装置１と接続するインタフェースに設定するＩＰアドレスとして決定した『１０．０．１０．９７ ２５５．２５５．２５５．０』を、所定のコマンド文を用いて『ｉｐ ａｄｄｒｅｓｓ １０．０．１０．９７ ２５５．２５５．２５５．０』と記載する。また、例えば、ルーティング情報生成部２３５は、Ｉ／Ｆの指定として決定した『ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ（登録商標）１／０／０』を、所定のコマンド文を用いて『ｉｎｔｅｒｆａｃｅ ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ（登録商標）１／０／０』と記載する。その他、ルーティング情報生成部２３５は、インタフェースを仮想ルータ『ｖｒｆ１』に所属させるコマンドとして、『ｉｐ ｖｒｆ ｆｏｒｗａｒｄｉｎｇ ｖｒｆ１』と記載する。なお、ルーティング情報生成部２３５は、ＮＡＴ装置２と接続するインタフェースについても同様に記載する。

また、ルーティング情報生成部２３５は、いわゆるルーティング情報であるルーティング設定コマンドを記載する。ここで、ＮｅｘｔＨｏｐはＮＡＴ装置である。例えば、ルーティング情報生成部２３５は、仮想ルータ名『ｖｒｆ１』と、『１０．０.１．０ ２５５．２５５．２５５．０』と、ＩＰアドレス『１０．０．１０．９８』とを用いて、図２７に例示する仕様に従い所定のコマンド文を用いて『ｉｐ ｒｏｕｔｅ ｖｒｆ ｖｒｆ１ １０．０.１．０ ２５５．２５５．２５５．０ １０．０．１０．９８』と記載する。なお、ルーティング情報生成部２３５は、ＮＡＴ装置２と接続するインタフェースについても同様に記載する。

次に、ＶＰＮ終端装置の設定情報の生成について説明する。ルーティング情報生成部２３５は、ＶＰＮ間接続要求受付部２３１によって受け付けられた接続先ＩＤを用いてＶＰＮ間接続情報記憶部２２１を参照し、接続先ＩＤそれぞれと対応付けて記憶されているＶＰＮ終端装置の設定パターンの識別情報を取得する。そして、ルーティング情報生成部２３５は、ＶＰＮ終端装置の設定パターンの識別情報それぞれを用いて設定パターン記憶部２２２を参照し、設定パターン記憶部２２２に記憶されたＶＰＮ終端装置の設定パターンの中から設定情報の生成に利用すべきＶＰＮ終端装置の設定パターンを選択する。そして、ルーティング情報生成部２３５は、選択した設定パターンを用いて設定情報を生成する。

例えば、ルーティング情報生成部２３５は、ＶＰＮ終端装置のＩ／Ｆ（拠点側及び集合仮想ルータ側）に設定すべきアドレスを決定し、決定したアドレスを用いてルーティング情報を生成する。例えば、ルーティング情報生成部２３５は、図３２の（Ｂ）に示すように、『ＶＰＮ終端装置１』のルーティング情報を生成する。図３２（Ｂ）の最初の４行は、『ＶＰＮ終端装置１』のインタフェースにアドレスを設定するコマンドである。また、図３２（Ｂ）の５行目は、ＮｅｘｔＨｏｐを『ＮＡＴ装置１』とするためのルーティング設定コマンドである。

次に、ＮＡＴ装置の設定情報の生成について説明する。なお、図２７及び図２８においては図示を省略したが、設定パターン記憶部２２２は、ＮＡＴ装置の設定パターンも記憶する。このため、例えば、ルーティング情報生成部２３５は、ＶＰＮ間接続要求受付部２３１によって受け付けられた接続先ＩＤを用いてＶＰＮ間接続情報記憶部２２１を参照し、接続先ＩＤそれぞれと対応付けて記憶されているＮＡＴ装置の識別情報を取得する。そして、ルーティング情報生成部２３５は、ＮＡＴ装置の設定パターンの識別情報それぞれを用いて設定パターン記憶部２２２を参照し、設定パターン記憶部２２２に記憶されたＮＡＴ装置の設定パターンの中から設定情報の生成に利用すべきＮＡＴ装置の設定パターンを選択する。そして、ルーティング情報生成部２３５は、選択した設定パターンを用いて設定情報を生成する。

例えば、ルーティング情報生成部２３５は、ＮＡＴ装置のＩ／Ｆ（拠点側及び集合仮想ルータ側）に設定すべきアドレスを決定し、決定したアドレスを用いてルーティング情報を生成する。例えば、ルーティング情報生成部２３５は、図３２の（Ｃ）に示すように、『ＮＡＴ装置１』のルーティング情報を生成する。図３２（Ｃ）の最初の４行は、『ＮＡＴ装置１』のインタフェースにアドレスを設定するコマンドである。また、図３２（Ｃ）の５行目は、『ＶＰＮ終端装置１』側へのルーティング設定コマンドであり、アドレス変換前のアドレスを設定する。図３２（Ｃ）の６行目は、仮想ルータ『ｖｒｆ１』側へのルーティング設定コマンドであり、アドレス変換後のアドレスを設定する。

なお、上述したように、設定情報それぞれは、例えば、図３２に例示するように、設定ファイルの形式で、ルーティング情報記憶部２２５に記憶される。すなわち、ルーティング情報生成部２３５は、生成した設定情報それぞれを、設定ファイルの形式で、ルーティング情報記憶部２２５に格納する。もっとも、これに限られるものではなく、生成した設定情報をデータベースに格納する手法でもよい。あるいは、生成した設定情報をファイル形式で記憶するとともにデータベースにも格納する手法でもよい。これらの手法によれば、設定情報は、検索や参照に適したデータベースに格納されるので、例えば、ルーティング情報生成部２３５は、設定情報を生成する際に、既に生成された設定情報を参照して重複を判定するが、その都度ファイルオープンの処理を実行する必要がなく、処理が効率的になる。

ルーティング情報設定部２３６は、ルーティング情報をＮＡＴ装置、ＶＰＮ終端装置及び集合仮想ルータに設定する。例えば、ルーティング情報設定部２３６は、ルーティング情報記憶部２２５（図３１に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、設定情報を設定すべきタイミングであるか否かを判定する。例えば、ルーティング情報設定部２３６は、現在時刻とサービス開始時刻『ｔ１』とを比較して、設定情報を設定すべきタイミングであるか否かを判定する。

次に、ルーティング情報設定部２３６は、設定情報を設定すべきタイミングであると判定すると、ルーティング情報記憶部２２５を参照し、サービス開始時刻に対応付けて記憶されている設定情報を取得する。例えば、ルーティング情報設定部２３６は、サービス開始時刻『ｔ１』に対応付けて記憶されている設定情報を取得する。

そして、ルーティング情報設定部２３６は、アタッチメント記憶部２２７（図３４に例示）を参照し、該当するアタッチメントを取得し、取得したアタッチメントを用いて、該当する集合仮想ルータ、ＶＰＮ終端装置及びＮＡＴ装置に設定情報を送信する。例えば、ルーティング情報設定部２３６は、『集合仮想ルータ１』、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＮＡＴ装置１』、及び『ＮＡＴ装置２』を用いてアタッチメント記憶部２２７を参照し、アタッチメント『ＶＲ１．ｅｘｅ』、『ＶＰＮ１．ｅｘｅ』、『ＶＰＮ２．ｅｘｅ』、『ＮＡＴ１．ｅｘｅ』、及び『ＮＡＴ２．ｅｘｅ』を取得する。続いて、ルーティング情報設定部２３６は、取得したアタッチメント『ＶＲ１．ｅｘｅ』を用いて、設定情報を『集合仮想ルータ１』に送信する。同様に、ルーティング情報設定部２３６は、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＮＡＴ装置１』及び『ＮＡＴ装置２』にも設定情報を送信する。

なお、アタッチメントには、例えば、ＶＰＮ間接続管理システム２００から各機器に対してｔｅｌｎｅｔやＳＳＨ（Secure SHell）などを用いて遠隔操作することにより、設定情報を設定する手法が含まれていてもよい。

また、ルーティング情報設定部２３６は、ＶＰＮ間接続サービスを開始する時刻に設定情報の設定を開始するものとして説明するが、これに限られるものではない。ＶＰＮ間接続サービスを開始する時刻として予約を受け付けた時刻には即時にＶＰＮ間接続が実現されるように、例えば、設定情報の設定に要する時間を予め予測し、『サービス開始時刻』から、予測した当該時間を差し引いた時刻を、設定情報の設定を開始する時刻としてもよい。例えば、仮想ルータ構築部２３２が、ルーティング情報記憶部２２５に予約時間と設定情報とを格納する際に、設定情報の設定に要する時間を差し引いた時刻も併せて格納し、ルーティング情報設定部２３６が、当該時刻であるか否かを判定して設定情報の設定を開始してもよい。

ＤＮＳ登録情報生成部２３７は、端末名と第一アドレスとの組を、ＤＮＳ登録情報としてＶＰＮ間接続に属する拠点ごとに生成する。具体的には、ＤＮＳ登録情報生成部２３７は、変換用アドレス決定部２３３から、登録情報を生成すべき旨の通知を受けると、アドレス変換情報記憶部２２４（図３０に例示）を参照し、変換用アドレス決定部２３３によって新たに決定されたアドレス変換情報を取得する。

例えば、図３０に例示するように、『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』の端末を通信相手とする他の拠点内で『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』の端末を識別するために払い出された第一アドレスは、『ＮＡＴ装置２』について端末名『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』に対応付けて記憶されているユーザ側アドレス『１７２．１６．１．１０』である。

同様に、『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』の端末を通信相手とする他の拠点内で『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』の端末を識別するために払い出された第一アドレスは、『ＮＡＴ装置１』について端末名『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』に対応付けて記憶されているユーザ側アドレス『１７２．１６．２．１０』である。

ここで、仮想ルータ名「ｖｒｆ１」で識別されるＶＰＮ間接続に属する拠点は、端末名『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』が属する拠点、及び、端末名『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』が属する拠点である。これらの拠点は、それぞれ、接続先ＩＤ「ＵｓｅｒＡ−Ｏｆｆｉｃｅ」で識別される拠点、及び、接続先ＩＤ「ＵｓｅｒＢ−Ｏｆｆｉｃｅ」で識別される拠点であることは、ＶＰＮ間接続情報記憶部２２１（図２６に例示）を参照することなどによって判明する。

すると、例えば、ＤＮＳ登録情報生成部２３７は、まず、ＶＰＮ間接続に属する拠点のひとつとして、接続先ＩＤ「ＵｓｅｒＡ−Ｏｆｆｉｃｅ」で識別される拠点用のＤＮＳ登録情報を生成する。接続先ＩＤ「ＵｓｅｒＡ−Ｏｆｆｉｃｅ」で識別される拠点に属する端末名『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』の端末にとって通信相手となる他拠点配下の端末は、端末名『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』である。そこで、ＤＮＳ登録情報生成部２３７は、端末名『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』と第一アドレス『１７２．１６．２．１０』との組から、ＤＮＳ登録情報であるＡレコード「β１ ＩＮ Ａ １７２．１６．２．１０」を生成する。

また、例えば、ＤＮＳ登録情報生成部２３７は、ＶＰＮ間接続に属する拠点のひとつとして、接続先ＩＤ「ＵｓｅｒＢ−Ｏｆｆｉｃｅ」で識別される拠点用のＤＮＳ登録情報を生成する。接続先ＩＤ「ＵｓｅｒＢ−Ｏｆｆｉｃｅ」で識別される拠点に属する端末名『β１＠ｖｒｆ１．ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏｍ』の端末にとって通信相手となる他拠点配下の端末は、端末名『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏｍ』である。そこで、ＤＮＳ登録情報生成部２３７は、端末名『α１＠ｖｒｆ１．ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』と第一アドレス『１７２．１６．１．１０』との組からＤＮＳ登録情報であるＡレコード「α１ ＩＮ Ａ １７２．１６．１．１０」を生成する。

そして、ＤＮＳ登録情報生成部２３７は、拠点ごとに生成したＤＮＳ登録情報を拠点ごとにＤＮＳ登録情報記憶部２２６に格納する。例えば、図３３に例示するように、ＤＮＳ登録情報記憶部２２６は、接続先ＩＤごとにＡレコードを記憶する。

ＤＮＳ登録部２３８は、第一アドレスと端末名との対応関係を示すＤＮＳ登録情報を、ＶＰＮ間接続に属する拠点ごとにＤＮＳに登録する。具体的には、ＤＮＳ登録部２３８は、ＤＮＳ登録情報生成部２３７によって生成されたＤＮＳ登録情報をＤＮＳ装置に登録する。

例えば、ＤＮＳ登録部２３８は、アドレス変換情報記憶部２２４（図３０に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、ＤＮＳ登録情報を設定すべきタイミングであるか否かを判定する。少なくともアドレス変換情報を設定すべきタイミングであれば、ＤＮＳ登録情報を設定すべきタイミングであるからである。例えば、ＤＮＳ登録部２３８は、現在時刻とサービス開始時刻『ｔ１』とを比較して、ＤＮＳ登録情報を設定すべきタイミングであるか否かを判定する。

次に、ＤＮＳ登録部２３８は、ＤＮＳ登録情報を設定すべきタイミングであると判定すると、ＤＮＳ登録情報記憶部２２６を参照し、ＤＮＳ登録情報を取得する。例えば、ＤＮＳ登録部２３８は、図３３に例示するＤＮＳ登録情報（Ａレコード）を取得する。

そして、ＤＮＳ登録部２３８は、例えば、ＤＤＮＳなどのプロトコルを利用して、ＤＮＳ装置に記憶されているゾーンファイルにＤＮＳ登録情報を登録する。なお、ＤＤＮＳなどのプロトコルに限られず、ＤＮＳソフトウェアのデータベースのつくりによって、例えば、ｓｑｌコマンド、Ｔｅｌｎｅｔログインなどを利用してもよい。もっとも、この場合には、ＤＮＳ装置において、ファイルの再読み込みや、ＤＮＳプロセスの再起動などが必要になる。そこで、再読み込みを指示するコマンドや、再起動を指示するコマンドを含むプログラムをアタッチメント記憶部２２７に予め格納しておき、ＤＮＳ登録部２３８は、アタッチメント記憶部２２７に格納されたアタッチメントを用いてＤＮＳ装置に登録情報を登録してもよい。なお、運用者などが直接ログインしファイルを書き換える等の方法により登録することは当然可能である。

削除部２３９は、ＶＰＮ終端装置、ＮＡＴ装置、集合仮想ルータ、及びＤＮＳ装置に設定されたアドレス変換情報やルーティング情報、あるいはＤＮＳ登録情報を削除する。具体的には、削除部２３９は、タイマやポーリングなどによって定期的にアドレス変換情報記憶部２２４やルーティング情報記憶部２２５を参照し、ＶＰＮ間接続サービスを終了する時刻であるか否かを判定する。サービス終了時刻であると判定すると、アタッチメント記憶部２２７を参照し、該当するＶＰＮ終端装置や集合仮想ルータ、あるいはＤＮＳ装置のアタッチメント（削除用）を取得する。そして、削除部２３９は、該当するアタッチメントを用いて、該当するＶＰＮ終端装置や集合仮想ルータ、あるいはＤＮＳ装置から設定情報やＤＮＳ登録情報を削除する。なお、削除部２３９は、アドレス変換情報記憶部２２４やルーティング情報記憶部２２５に記憶されている予約情報などを削除してもよい。

次に、図３８及び図３９を用いて、ＶＰＮ間接続管理システム２００による処理手順を説明する。図３８は、ＶＰＮ間接続管理システム２００による処理手順を示すフローチャートであり、図３９は、ＤＮＳ登録の処理手順を示すフローチャートである。

図３８に例示するように、ＶＰＮ間接続管理システム２００は、仮想ルータを構築すべきタイミングであると判定すると（ステップＳ７０１肯定）、仮想ルータを構築する（ステップＳ７０２）。具体的には、仮想ルータ構築部２３２が、仮想ルータを構築する。

次に、ＶＰＮ間接続管理システム２００は、変換用アドレスを決定する（ステップＳ７０３）。具体的には、変換用アドレス決定部２３３が、変換用アドレスを決定する。

続いて、ＶＰＮ間接続管理システム２００は、ルーティング情報を生成する（ステップＳ７０４）。具体的には、ルーティング情報生成部２３５が、ルーティング情報を生成する。

そして、ＶＰＮ間接続管理システム２００は、アドレス変換情報及びルーティング情報を設定する（ステップＳ７０５）。具体的には、アドレス変換情報設定部２３４が、該当するＮＡＴ装置にアドレス変換情報を設定し、ルーティング情報設定部２３６が、該当する集合仮想ルータ及びＶＰＮ終端装置にルーティング情報を設定する。

なお、サービス開始時刻までに、アドレス変換情報及びルーティング情報の設定が終了してれば、いつ仮想ルータを構築し、いつアドレス変換情報を決定し、いつルーティング情報を生成し、いつアドレス変換情報やルーティング情報を設定するかは、任意である。例えば、サービス開始時刻よりもかなり早い段階で設定まで終了させておき、ファイアウォールの設定などによりＶＰＮ間接続の通信を行わせないようにしてもよい。この場合には、サービス開始時刻になると、ファイアウォールの設定が変更され、ＶＰＮ間接続が可能になる。

ところで、図３９に例示するように、ＶＰＮ間接続管理システム２００は、変換用アドレス（第一アドレス及び第二アドレス）が決定されたか否かを判定している（ステップＳ８０１）。具体的には、ＤＮＳ登録情報生成部２３７が、変換用アドレスが決定されたか否か（変換用アドレス決定部２３３から通知を受けたか否か）を判定している。

そして、ＤＮＳ登録情報生成部２３７は、変換用アドレスが決定されたと判定すると（ステップＳ８０１肯定）、アドレス変換情報記憶部２２４を参照し（ステップＳ８０２）、該当するアドレス変換情報を取得する（ステップＳ８０３）。

続いて、ＤＮＳ登録情報生成部２３７は、端末名と第一アドレスとの組を、ＤＮＳ登録情報としてＶＰＮ間接続に属する拠点ごとに生成する（ステップＳ８０４）。次に、ＶＰＮ間接続管理システム２００は、拠点ごとに生成されたＤＮＳ登録情報をＤＮＳ装置に設定する（ステップＳ８０５）。

なお、ＶＰＮ間接続管理システムの構成は、上記例に限られるものではない。上述したように、ＶＰＮ間接続管理システムは、ＶＰＮ間接続要求を受け付ける機能（例えば、ＶＰＮ間接続要求受付部２３１）、ＶＰＮ間接続に関する各種情報を管理する機能（例えば、記憶部２２１）、アドレス変換情報やルーティング情報、ＤＮＳ登録情報などを生成する機能（例えば、仮想ルータ構築部２３２、変換用アドレス決定部２３３、ルーティング情報生成部２３５、ＤＮＳ登録情報生成部２３７）、生成した各種情報を各装置に設定する機能（例えば、アドレス変換情報設定部２３４、ルーティング情報設定部２３６、ＤＮＳ登録部２３８）などを有する。また、ＶＰＮ間接続に関する認証を行う機能や、ＶＰＮ間接続が構築された後にＶＰＮ間接続のトラヒックなどを制御する機能などを有することもある。これらの機能は、必ずしも物理的な１つの筐体としてのＶＰＮ間接続管理システムに備えられていなければならないものではなく、例えば、ＶＰＮ間接続要求を受け付ける機能を切り出して他の筐体に備えたり、ＶＰＮ間接続に関する各種情報を管理する機能を切り出して他の筐体に備えたり、ＶＰＮ間接続に関する認証を行う機能や、ＶＰＮ間接続が構築された後にＶＰＮ間接続のトラヒックなどを制御する機能などを他の筐体に備えるなど、その物理的な構成は任意である。

［その他］
また、上記実施例において説明した各処理のうち、自動的に行われるとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、集合仮想ルータの一例として、ＶＲＦ（VPN routing and forwarding table）を適用してもよく、これにより、１つの集合仮想ルータ内で仮想的に複数の集合仮想ルータが稼動しているようにみなすことができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵ（Central Processing Unit）および当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、上記の実施例で説明したアドレス登録方法は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのＩＰネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ（Floppy（登録商標） Disk））、ＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、ＭＯ（Magneto-Optical disk）、ＤＶＤ（Digital Versatile Disk）などのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

１００ アドレス登録装置
１１０ 通信部
１１１ 入力部
１１２ 出力部
１１３ 入出力制御Ｉ／Ｆ部
１２０ 記憶部
１２１ 端末名記憶部
１２２ 個人認証情報記憶部
１２３ アタッチメント記憶部
１３０ 制御部
１３１ アドレス決定部
１３２ ＤＮＳ管理部
１３３ アドレス変換管理部
１３３ａ 個人認証部
１３３ｂ アドレス取得部
１３３ｃ アドレス変換情報生成部
１３３ｄ アドレス変換情報登録部

Claims (9)

1. 広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対して、該拠点間接続にて用いられるアドレス変換情報を登録するアドレス登録装置であって、
   前記広域ネットワークにおいて拠点間接続ごとに構築されるひとつ以上の仮想ルータを用いて接続される所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するために該拠点間接続を利用する時間帯において該拠点内で通信相手となり得る端末の中で一意となるように決定された第一アドレスであって、前記拠点ごとに独立した第一アドレスと、該拠点間接続に属する各拠点配下の端末を前記広域ネットワーク内で識別するために該拠点間接続を利用する時間帯において該拠点間接続として制御され得る端末の中で一意となるように決定された第二アドレスであって、前記仮想ルータごとに独立した第二アドレスとを取得する取得手段と、
   前記拠点間接続に属する各拠点配下の端末を該拠点内で識別するために払い出された拠点内アドレスと前記取得手段によって取得された第二アドレスとを変換するアドレス変換情報、および、前記取得手段によって取得された第一アドレスと前記取得手段によって取得された第二アドレスとを変換するアドレス変換情報を生成する生成手段と、
   前記生成手段によって生成されたアドレス変換情報を、前記広域ネットワークと前記拠点それぞれとの間に設置されたアドレス変換装置に登録する登録手段と
   を備えたことを特徴とするアドレス登録装置。
2. 端末を認証する端末認証手段をさらに備え、
   前記登録手段は、前記端末認証手段による端末認証の結果が成功であることを条件として、アドレス変換情報を前記アドレス変換装置に登録することを特徴とする請求項１に記載のアドレス登録装置。
3. 前記拠点内アドレスは、各拠点配下の端末に動的に払い出されるものであって、
   前記生成手段は、予め設定された所定の契機で前記端末に対して拠点内アドレスを問い合わせ、該問い合わせに対する該端末からの応答によって該拠点内アドレスを取得し、取得した該拠点内アドレスと前記第二アドレスとを用いて前記アドレス変換情報を生成することを特徴とする請求項１または２に記載のアドレス登録装置。
4. 前記拠点内アドレスは、該拠点内アドレスを動的に払い出すアドレス払出装置によって各拠点配下の端末に払い出されるものであって、
   前記生成手段は、予め設定された所定の契機で前記アドレス払出装置に対して拠点内アドレスを問い合わせ、該問い合わせに対する該アドレス払出装置からの応答によって該拠点内アドレスを取得し、取得した該拠点内アドレスと前記第二アドレスとを用いて前記アドレス変換情報を生成することを特徴とする請求項１に記載のアドレス登録装置。
5. 端末の利用者が所定の拠点間接続の利用を終了したことを検知する検知手段と、
   前記検知手段によって利用を終了したことが検知されると、前記利用者に関して前記アドレス変換装置に登録されたアドレス変換情報を該アドレス変換装置から削除する削除手段と
   をさらに備えたことを特徴とする請求項１〜４のいずれか一つに記載のアドレス登録装置。
6. 広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対して、該拠点間接続にて用いられるアドレス変換情報を登録するアドレス登録方法であって、
   コンピュータが、
   前記広域ネットワークにおいて拠点間接続ごとに構築されるひとつ以上の仮想ルータを用いて接続される所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するために該拠点間接続を利用する時間帯において該拠点内で通信相手となり得る端末の中で一意となるように決定された第一アドレスであって、前記拠点ごとに独立した第一アドレスと、該拠点間接続に属する各拠点配下の端末を前記広域ネットワーク内で識別するために該拠点間接続を利用する時間帯において該拠点間接続として制御され得る端末の中で一意となるように決定された第二アドレスであって、前記仮想ルータごとに独立した第二アドレスとを取得する取得工程と、
   前記拠点間接続に属する各拠点配下の端末を該拠点内で識別するために払い出された拠点内アドレスと前記取得工程によって取得された第二アドレスとを変換するアドレス変換情報、および、前記取得工程によって取得された第一アドレスと前記取得工程によって取得された第二アドレスとを変換するアドレス変換情報を生成する生成工程と、
   前記生成工程によって生成されたアドレス変換情報を、前記広域ネットワークと前記拠点それぞれとの間に設置されたアドレス変換装置に登録する登録工程と
   を含むことを特徴とするアドレス登録方法。
7. コンピュータを請求項１〜５のいずれか一つに記載のアドレス登録装置として機能させることを特徴とするアドレス登録プログラム。
8. 広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対して、該拠点間接続にて用いられるアドレス変換情報を登録するアドレス登録システムであって、
   前記システムに対して前記アドレス変換情報を登録するアドレス登録装置は、
   前記広域ネットワークにおいて拠点間接続ごとに構築されるひとつ以上の仮想ルータを用いて接続される所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するために該拠点間接続を利用する時間帯において該拠点内で通信相手となり得る端末の中で一意となるように決定された第一アドレスであって、前記拠点ごとに独立した第一アドレスと、該拠点間接続に属する各拠点配下の端末を前記広域ネットワーク内で識別するために該拠点間接続を利用する時間帯において該拠点間接続として制御され得る端末の中で一意となるように決定された第二アドレスであって、前記仮想ルータごとに独立した第二アドレスとを取得する取得手段と、
   端末の利用者を認証する利用者認証手段と、
   前記利用者認証手段による利用者認証の完了を契機として、前記拠点間接続に属する各拠点配下の端末を該拠点内で識別するために払い出された拠点内アドレスを該端末に対して問い合わせ、該問い合わせに対する該端末からの応答によって取得した該拠点内アドレスを用いて、該拠点内アドレスと前記取得手段によって取得された第二アドレスとを変換するアドレス変換情報を生成し、前記取得手段によって取得された第一アドレスと前記取得手段によって取得された第二アドレスとを変換するアドレス変換情報を生成する生成手段と、
   前記生成手段によって生成されたアドレス変換情報を、前記広域ネットワークと前記拠点それぞれとの間に設置されたアドレス変換装置に登録する登録手段とを備え、
   前記端末は、
   前記拠点内アドレスの問い合わせを前記アドレス登録装置から受け付ける受付手段と、
   前記受付手段によって問い合わせが受け付けられると、前記拠点内アドレスを前記アドレス登録装置に対して応答する応答手段と
   を備えたことを特徴とするアドレス登録システム。
9. 広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対して、該拠点間接続にて用いられるアドレス変換情報を登録するアドレス登録方法であって、
   前記システムに対して前記アドレス変換情報を登録するアドレス登録装置としてのコンピュータは、
   前記広域ネットワークにおいて拠点間接続ごとに構築されるひとつ以上の仮想ルータを用いて接続される所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するために該拠点間接続を利用する時間帯において該拠点内で通信相手となり得る端末の中で一意となるように決定された第一アドレスであって、前記拠点ごとに独立した第一アドレスと、該拠点間接続に属する各拠点配下の端末を前記広域ネットワーク内で識別するために該拠点間接続を利用する時間帯において該拠点間接続として制御され得る端末の中で一意となるように決定された第二アドレスであって、前記仮想ルータごとに独立した第二アドレスとを取得する取得工程と、
   端末の利用者を認証する利用者認証工程と、
   前記利用者認証工程による利用者認証の完了を契機として、前記拠点間接続に属する各拠点配下の端末を該拠点内で識別するために払い出された拠点内アドレスを該端末に対して問い合わせ、該問い合わせに対する該端末からの応答によって取得した該拠点内アドレスを用いて、該拠点内アドレスと前記取得工程によって取得された第二アドレスとを変換するアドレス変換情報を生成し、前記取得工程によって取得された第一アドレスと前記取得工程によって取得された第二アドレスとを変換するアドレス変換情報を生成する生成工程と、
   前記生成工程によって生成されたアドレス変換情報を、前記広域ネットワークと前記拠点それぞれとの間に設置されたアドレス変換装置に登録する登録工程とを含み、
   前記端末としてのコンピュータは、
   前記拠点内アドレスの問い合わせを前記アドレス登録装置から受け付ける受付工程と、
   前記受付工程によって問い合わせが受け付けられると、前記拠点内アドレスを前記アドレス登録装置に対して応答する応答工程と
   を含むことを特徴とするアドレス登録方法。

Images