JP5881064B2 - 通信装置、通信システム、通信方法、及び、プログラム - Google Patents

Description

本発明は、通信装置に関し、通信サービスを提供する通信装置に関する。

クラウドコンピューティング（以下、クラウドと省略）では、拠点からデータセンタのサーバを用いるため、必然的に拠点とデータセンタとの間のネットワークを利用する。コンシューマが利用するクラウドにおいて、用いられるネットワークはインターネットである場合が多い。一方で、企業が利用するクラウドにおいて用いられるネットワークは、セキュリティの観点及びネットワーク性能の観点から、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）などの仮想ネットワークであることが多い。

複数の仮想ネットワークが物理的な一つのネットワークに共存するため、各仮想ネットワークには独立性を確保される仕組みが必要である。

通信事業者は、仮想ネットワークの独立性を実現するため、ＩＥＥＥ８０２.１ａｄによって標準化された拡張タグＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）（例えば、非特許文献１参照）、又は、プロバイダブリッジ（８０２.１Ｑ−ＩＮ−８０２.１Ｑ、Ｑ−ｉｎ―Ｑ、二重タグ）と呼ばれる技術を用いた広域イーサネット（登録商標、以下同じ）を利用する。

拡張タグＶＬＡＮは、ＶＬＡＮタグ付きのイーサフレームに更にＶＬＡＮタグを付加して通信する技術である。

イーサフレームのうち、外部に付加されたＶＬＡＮタグは、ＳＴＡＧ(Ｓｅｒｖｉｃｅ ＴＡＧ)と呼ばれる。拡張タグＶＬＡＮにおけるネットワーク装置は、ＳＴＡＧによって識別されるＳ−ＶＬＡＮによって、企業間（テナント間）の仮想ネットワークを識別し、イーサフレームを各仮想ネットワークに振り分ける。

また、イーサフレームのうち、ＳＴＡＧより内部（イーサフレームにおけるペイロード側）に付加されたＶＬＡＮタグは、ＣＴＡＧ（Ｃｕｓｔｏｍｅｒ ＴＡＧ）と呼ばれる。拡張タグＶＬＡＮにおけるネットワーク装置は、ＣＴＡＧによって識別されるＣ−ＶＬＡＮによって、企業内（テナント内）の複数のネットワークを識別し、イーサフレームを企業内の各ネットワークに振り分ける。

前述のように、ＳＴＡＧ及びＣＴＡＧを用いることによって、拡張タグＶＬＡＮは、テナント間、及び、テナント内のネットワークの独立性を確保することができる。

さらに、通信事業者は、特定の機能に特化した"アプライアンス（ネットワークアプライアンス）"と呼ばれるシステムを利用して、クラウド向け通信サービスを各テナントに提供する。アプライアンスの例としては、データセンタ間又は拠点間の通信を高速化するＷＡＮ最適化装置（ＷＯＣ：Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ Ｏｐｔｉｍｉｚａｔｉｏｎ Ｃｏｎｔｒｏｌｌｅｒ、ＷＡＮ高速化装置）、異常通信を検出したりブロックしたりする侵入検知／侵入防御システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ／Ｉｎｔｒｕｓｉｏｎ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ、ＦＷ：Ｆｉｒｅ Ｗａｌｌ）、及び、セッション負荷分散装置などを用いたシステムが挙げられる。これらのシステムの機能は、クラウドの通信機能及び通信性能を向上させることができる。このため、以下において、便宜上これらの機能を持つクラウド向け通信サービスを総称して通信サービスと呼ぶ。

通信サービスを提供するためのアプライアンスには、ネットワークの仮想化に対応していないアプライアンスも少なくない。このため、こうしたアプライアンスは、一般的に、各企業の拠点、又は、各企業において論理的にプライベートにされたデータセンタ内に配置されることが多い。

しかし、通信事業者が、通信サービスをクラウドの機能のひとつとして複数の企業（テナント）に提供する場合、アプライアンスは、通信事業者が有する通信局舎内、又は、通信事業者が有するデータセンタにおいてゲートウェイの機能を有する共有装置等に配置されることが想定される。そして、通信事業者は、アプライアンスを、企業（テナント）に対応する仮想ネットワーク毎に設定する必要がある。

その際、一般にアプライアンスは高価であるため、通信事業者が仮想ネットワークと同数のアプライアンスを設置した場合、設備コスト及び運用コストが過剰に増大する。このため、仮想ネットワークと同数のアプライアンスを設置する方法は、非現実的な方法である。

そこで、従来から、課題として"複数の仮想ネットワークが収容されるネットワークシステムにおいて、それら複数の仮想ネットワーク間でアプライアンスを共有すること。"が提案されてきた（例えば、特許文献１参照）。

特許文献１には、その解決手段として、"ネットワークシステムは、アプライアンス、スイッチ、及び管理計算機を備える。管理計算機は変換ポリシーテーブルを備え、各変換エントリは、変換前パケット識別情報と変換後パケット識別情報との対応関係を示す。変換前パケット識別情報は、パケットが属する仮想ネットワークの識別子を含む。変換後パケット識別情報は、異なる仮想ネットワーク間で重複しないように設定される。アプライアンスは処理ルールテーブルを備える。スイッチは、転送テーブルを備える。管理計算機は、変換前パケット識別情報にマッチする受信パケットのパケット識別情報が変換後パケット識別情報に書き換わるように、スイッチの転送テーブルを設定する。また、管理計算機は、アプライアンスの処理ルールテーブルのマッチ条件を、変換後パケット識別情報に設定する。"が記載されている。

一方で、サーバ仮想化技術をネットワークへも適用する方法、すなわち、仮想化ソフト上で仮想マシンのひとつとして通信サービスを提供する方法が提案されている（例えば、特許文献２参照）。

特許文献２には、通信サービスのひとつであるＷＡＮ最適化サービスを、仮想化ソフトを利用して実施する手段として、"In one example embodiment, an apparatus may include a first virtual machine provided on a first local device of a plurality of local devices, wherein a portion of resources of the first local device are allocated to the first virtual machine. A virtualization software switch may be provided on the first local device, configured to forward or redirect at least some traffic from the first local device to a WAN (Wide Area Network) optimization virtual appliance, the WAN optimization virtual appliance including at least the first virtual machine, a second virtual machine on a second local device of the plurality of local devices, and a distributed WAN optimization application running at least on the first and second virtual machines."が記載されている。

特開２０１１−２１１５０２号公報 米国特許出願公開第２０１０／０１４６０７４号明細書

"The Evolution of Carrier Ethernet Services-Requirements and Deployment Case Studies",IEEE Communications Magazine, March 2008号,PP69-76

特許文献１に記載された技術を用い、複数の仮想ネットワークにおいてアプライアンスを共有した場合、アプライアンスを利用する一つの企業（テナント）の通信が原因のアプライアンスにおける障害が、同じアプライアンスを利用する他の企業の通信にも悪影響を与える可能性がある。そのため、アプライアンスにおいて処理される通信サービスも、仮想ネットワークのように企業毎に独立性が確保される必要がある。

一方で、特許文献２に記載された技術を用い、通信事業者が複数の利用企業（マルチテナント）に対し、クラウドサービスのひとつとしてＷＡＮ最適化などの通信サービスを提供する場合、通信事業者は、広域イーサネットなどの仮想ネットワークの通信と、通信サービスとの、双方に関してテナント間の独立性を保証しつつ、共有のアプライアンスによって各通信サービスを提供することが望ましい。すなわち、通信事業者が、拡張タグＶＬＡＮ通信と仮想マシン上で実行する通信サービスとを連携して利用できるようにすることが望ましい。

しかしながら、従来技術による仮想マシンによって通信サービスを動作させようとしても、アプライアンスに備わるネットワーク装置は、従来技術の拡張タグＶＬＡＮ通信のＳＴＡＧだけでは、テナントしか識別できず、通信サービスの種類、通信の方向（該当する通信サービスに対してどの論理ポートからパケットを受信するか又は送信するかなど）を識別できない。そこで、これらの技術を適切に融合、及び連携させる技術が必要となる。

本発明は、複数の仮想ネットワークを収容するネットワークにおいて、仮想ネットワーク毎にＷＡＮ最適化、及び、ファイアウォールなど、少なくとも一つの通信サービスを、共有の装置における仮想マシンを利用して提供する手段を実現することを目的とする。

本発明の解決手段は、複数の仮想ネットワーク共有の装置が、イーサフレームに含まれる各仮想ネットワークを識別する識別子を、通信サービスを提供する仮想マシンを示す識別子に変換することである。

本発明の代表的な一例を示せば以下の通りである。すなわち、物理ネットワークを介してイーサフレームを互いに送受信するサーバとクライアントとの通信経路上に設置される通信装置であって、前記サーバとクライアントとには、少なくとも一つの仮想ネットワークが割り当てられ、前記イーサフレームは、前記各仮想ネットワークを識別するための第１の識別子を含み、前記通信装置は、前記イーサフレームに対して、少なくとも一つの通信サービスを実行する情報処理部と、前記サーバ及びクライアント間で送受信される前記イーサフレームを取込み、前記取込まれたイーサフレームの宛先である前記サーバ又は前記クライアントに向けて前記取込まれたイーサフレームを送信する転送部と、前記イーサフレームを変換するタグ変換部と、を有し、前記情報処理部は、前記イーサフレームが送受信される前記仮想ネットワーク毎に、前記イーサフレームに対して各々の前記通信サービスを実行する仮想マシンを少なくとも一つ、有し、各々の前記仮想マシンは、第１の入出力ポートと第２の入出力ポートとを有し、前記タグ変換部は、前記第１の識別子が示す仮想ネットワークにおいて送受信される前記イーサフレームに対して、いずれかの前記通信サービスを実行するいずれかの前記仮想マシンの前記第１の入出力ポートを示す第２の識別子を含む変換情報を保持し、前記転送部によって取込まれた第１のイーサフレームが入力された場合、前記第１のイーサフレームの第１の識別子と前記変換情報とに基づいて、前記第２の識別子を含む第２のイーサフレームに、前記第１のイーサフレームを変換し、前記第２の識別子が示す前記第１の入出力ポートに向けて、前記第２のイーサフレームを出力し、前記情報処理部は、いずれかの前記仮想マシンがいずれかの前記通信サービスが実行されたイーサフレームを出力する場合、前記通信サービスを実行した前記仮想マシンの前記第２の入出力ポートを示す第３の識別子を含む第３のイーサフレームに、前記通信サービスが実行されたイーサフレームを変換し、前記タグ変換部は、前記第３のイーサフレームが入力され、かつ、前記変換情報が、前記第１の識別子が示す仮想ネットワークにおいて送受信される前記イーサフレームに対して、前記通信サービスを実行する仮想マシンの前記第２の入出力ポートを示す第３の識別子を含む場合、前記第３の識別子と前記変換情報とに基づいて、前記第１の識別子を含む第１のイーサフレームに、前記第３のイーサフレームを変換し、前記転送部は、前記第１のイーサフレームの宛先である前記サーバ又は前記クライアントに向けて、前記第１のイーサフレームを送信する。

本発明の代表的な一形態によると、コストを低減しつつ、仮想ネットワーク毎に通信サービスを提供できる。

本実施例１の通信サービスを提供するためのシステム構成を示すブロック図である。 本実施例１の通信ノード装置の物理的な構成と、物理的な構成によって実装される論理的な構成とを示す説明図である。 本実施例１の広域イーサネットのイーサフレームの変化の流れを示す説明図である。 本実施例１のイーサフレームのフォーマットを示す説明図である。 本実施例１のイーサフレームの例を示す説明図である。 本実施例１のサービステーブルを示す説明図である。 本実施例１の資源管理テーブルを示す説明図である。 本実施例１の変換テーブルを示す説明図である。 本実施例１の通信サービスを追加又は削除する処理を示すフローチャートである。 本実施例１の通信ノード装置におけるタグ変換処理を示すフローチャートである。 本実施例１のタグ変換処理の具体例を示す説明図である。 本実施例１のタグ変換されるイーサフレームの具体例を示す説明図である。 本実施例１のイーサフレームの複製を伴うタグ変換処理の具体例を示す説明図である。 本実施例１のタグ変換処理時に複製されるイーサフレームの具体例を示す説明図である。 本実施例１の通信サービスを連続して実行する場合のタグ変換処理を示す説明図である。 本実施例１の通信サービスを提供するためのシステム構成との比較例を示すブロック図である。 本実施例２のタグ変換処理を実行するシステムを示すブロック図である。 本実施例２のタグ変換装置の物理的な構成と、物理的な構成によって実装される論理的な構成とを示すブロック図である。 本実施例２のサービス提供装置の物理的な構成と、物理的な構成によって実装される論理的な構成とを示すブロック図である。 本実施例２の変換テーブルの例を示す説明図である。 本実施例２のタグ変換処理の具体例を示す説明図である。 本実施例２のＭＡＣｉｎＭＡＣのイーサフレームを示す説明図である。 本実施例２のＶＸＬＡＮのイーサフレームを示す説明図である。

以下、本発明の実施形態の例を添付図面に基づき説明する。各図における同一符号は同一の構成又は相当する構成を示す。説明の都合上、符号に添え字を追加して識別することがある。

実施例１では、顧客（例えば、企業。以下、テナントと記載）毎にＷＡＮ最適化、及び、ファイアウォールなどの複数の通信サービス（クラウド向け通信サービス）を、仮想ネットワークにおいて組合せて提供するための通信ノード装置に関して説明する。

仮想ネットワークを利用した通信サービスの一例として、広域イーサネットがある。広域イーサネットは、テナントのイーサネットフレーム（以下、イーサフレーム）を通信事業者のネットワーク上で透過的に転送して遠隔地の拠点を接続するサービスである。広域イーサネットは、ＶＬＡＮ技術を使ってレイヤ２によってＶＰＮを提供する。

広域イーサネットは、例えば、国内外各地に事業所を持つ複数の企業（テナントに相当）が物理的に同じネットワークを共有している状態において、各企業における事業所が、他の企業の事業所と通信することなく、自企業における一つの論理的なＬＡＮ内で通信するように、自企業の他の事業所と通信できるサービスである。

広域イーサネットの実現形態には、ＩＥＥＥ８０２．１ａｄによって標準化された拡張タグＶＬＡＮと、ＩＥＥＥ８０２．１ａｈによって標準化されたＥｔｈｅｒ ｏｖｅｒ Ｅｔｈｅｒがある。前者の拡張タグＶＬＡＮは、テナントに含まれる複数のネットワークを識別するためのＶＬＡＮタグの、イーサフレームの先頭方向の隣に、通信事業者がテナントを識別するためのＶＬＡＮタグを付加する方法である。拡張タグＶＬＡＮは、ＱｉｎＱ、又は、プロバイダブリッジとも呼ばれる。

後者のＥｔｈｅｒ ｏｖｅｒ Ｅｔｈｅｒは、テナント（顧客）のイーサフレームを通信事業者のイーサフレームによってカプセル化する方法である。Ｅｔｈｅｒ ｏｖｅｒ Ｅｔｈｅｒは、ＭＡＣｉｎＭＡＣ、又は、プロバイダバックボーンブリッジとも呼ばれる。

図１は、本実施例１の通信サービスを提供するためのシステム構成を示すブロック図である。

図１に示すシステム構成は、通信サービスを提供するネットワークシステムの構成を示す。実施例１のネットワークシステムは、Ａ社拠点２−１、Ｂ社拠点２−２、通信局舎３、通信事業者網（ＷＡＮ）４、及び、データセンタ１を有する。

図１におけるシステム構成におけるテナントは、Ａ社、及びＢ社に対応する二つのテナントである。各テナントには、各仮想ネットワークによって相互に通信する複数のサーバ１３及びクライアント２０が含まれる。本実施例においてテナントとは、少なくとも一つのクライアント及び少なくとも一つのサーバを含むグループであり、かつ、仮想ネットワークを割り当てられたグループを示す。

Ａ社は、Ａ社拠点２−１を有し、Ｂ社は、Ｂ社拠点２−２を有する。Ａ社拠点２−１は、Ａ社のＬＡＮスイッチ２１−１及び複数のクライアント２０（２０−１〜２０−３）を有し、Ｂ社拠点２−２は、Ｂ社のＬＡＮスイッチ２１−２及び複数のクライアント２０（２０−４、２０−５）を有する。

データセンタ１は、通信ノード装置１０−１、エッジスイッチ１１−１、複数のＬＡＮスイッチ２１（２１−１、２１−２）、及び、複数のサーバ１３（１３−１〜１３−５）を有する。Ａ社は、ＬＡＮスイッチ１２−１及びサーバ１３−１〜３を有し、Ｂ社は、ＬＡＮスイッチ１２−２及びサーバ１３−４、５を有する。

Ａ社及びＢ社の各テナントには、異なる仮想ネットワークが割り当てられる。Ａ社は、自らに設定された仮想ネットワークによって、Ａ社間の通信を実現する。また、一つのテナント内においても、ＶＬＡＮ等の仮想ネットワークが割り当てられる。

通信局舎３は、通信ノード装置１０−２、及び、エッジスイッチ１１−２を有する。通信局舎３、ＷＡＮ４、データセンタ１が有する通信ノード装置１０−１、及び、データセンタ１が有するエッジスイッチ１１−１は、通信事業者によって提供されるシステムである。

通信ノード装置１０は、本実施例１の通信サービスを、各テナントに提供するための装置である。通信ノード装置１０（１０−１、１０−２）は、受信するイーサフレームに従って、テナントごと（すなわち、仮想ネットワークごと）に通信サービスを提供する。

なお、通信ノード装置１０は、エッジスイッチ１１の機能を有してもよい。この場合、図１に示すエッジスイッチ１１は設置される必要がない。また、図１に示すデータセンタ１は、通信ノード装置１０−１を１台のみしか持たないが、データセンタ１は、複数の通信ノード装置１０を有してもよい。データセンタ１が複数の通信ノード装置１０を有する場合、図１に示す通信ノード装置１０−１を中心に複数の通信ノード装置１０がスター型に接続されてもよいし、図１に示す通信ノード装置１０−１と複数の通信ノード装置１０とが数珠つなぎに接続されてもよい。

さらに、データセンタ１における通信ノード装置１０−１と同じく、通信局舎３も、複数の通信ノード装置１０を有してもよい。

図２は、本実施例１の通信ノード装置１０の物理的な構成と、物理的な構成によって実装される論理的な構成とを示す説明図である。

通信ノード装置１０は、少なくとも一つの転送カード４００、少なくとも一つの情報処理カード１００、制御カード２００、及び、内部スイッチ３００を備える。ただし、図２の例では、転送カード４００は２枚としている。なお、図２に示すＬＡＮ５は、ＷＡＮ４を介さずに、エッジスイッチ１１に直接接続するためのネットワークを示す。

転送カード４００は、イーサフレームを転送するための処理部である。尚、本実施例ではＶＬＡＮを利用するレイヤ２に関する説明を主としているため、イーサフレームという用語を用いて説明を進めるが、パケットという用語に読み替えても良い。

情報処理カード１００は、ＷＡＮ最適化などの通信サービスを行う処理部である。制御カード２００は、通信ノード装置１０の各種設定及び各種制御を行う処理部である。内部スイッチ３００は、通信ノード装置１０に備わるカードを接続するための処理部である。

なお、図２に示す情報処理カード１００、転送カード４００、及び制御カード２００は、通信ノード装置１０の構成要素であるが、これらの構成要素の一部、又は、全てが一体となった装置を構成することも可能である。その場合、以降の説明において、制御カード２００は制御部、情報処理カード１００は情報処理部、転送カード４００は転送部を意味する。

転送カード４００は、バックプレーンインタフェース４１６、ＮＰ・チップセット４１０、揮発性メモリ４１２、及び、不揮発性メモリ４１３を備える。また、図２に示す転送カード４００−１は、ネットワークインタフェース４１５によって、ＷＡＮ４と通信するための処理部であり、転送カード４００−２は、ネットワークインタフェース４１１によって、ＬＡＮスイッチ１２又はＬＡＮスイッチ２１と通信するための処理部である。

バックプレーンインタフェース４１６は、内部スイッチ３００と接続するためのインタフェースである。

ＮＰ・チップセット４１０は、イーサフレーム処理を行うための演算装置である。ＮＰ・チップセット４１０は、ＮＰ（Ｎｅｔｗｏｒｋ Ｐｒｏｃｅｓｓｏｒ）及びチップセットを備える。ＮＰ・チップセット４１０は、タグ変換部４１７を有する。

ＮＰ・チップセット４１０は、ＷＡＮ４又はＬＡＮ５から受信したイーサフレームの宛先を抽出したのち、抽出された宛先に従って、イーサフレームをＬＡＮ５又はＷＡＮ４へ送信する。本実施例のＮＰ・チップセット４１０は、イーサフレームをＬＡＮ５又はＷＡＮ４に送信する前に、イーサフレームを横取り（インタセプト）し、横取りされたイーサフレームをタグ変換部４１７に処理させる。

タグ変換部４１７は、変換テーブル７０３に従って、拡張タグＶＬＡＮにおけるイーサフレームのタグを変換し、タグを変換されたイーサフレームを情報処理カード１００へ転送する。

揮発性メモリ４１２は、イーサフレームを一時的に保持したり、後述する変換テーブル、及び、フォワーディングテーブル等の各種のテーブル情報を保持したりする記憶装置である。ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）やＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等が揮発性メモリ４１２の例として挙げられるが、多くの場合は大容量性を重視してＤＲＡＭが利用される。揮発性メモリ４１２には、不揮発性メモリ４１３から変換テーブル７０３が読み出される。

不揮発性メモリ４１３は、プログラム、データ、及び、設定情報等を保持する記憶装置である。ＨＤＤ（Ｈａｒｄ Ｄｉｓｃ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、フラッシュメモリ等が不揮発性メモリ４１３の例として挙げられるが、多くの場合は安価で故障しにくく発熱量が少ないフラッシュメモリが利用される。不揮発性メモリ４１３に格納されるプログラム及びデータ等は、必要に応じて、ＮＰ・チップセット４１０によって、揮発性メモリ４１２に読み出される。

情報処理カード１００は、バックプレーンインタフェース１１６、プロセッサ１１０、チップセット１１１、揮発性メモリ１１２、及び、不揮発性メモリ１１３を備える。バックプレーンインタフェース１１６は、チップセット１１１が内部スイッチ３００と接続するためのインタフェースである。

プロセッサ１１０は、例えば、ＣＰＵ等であり、通信サービスのプログラムを実行する演算装置である。チップセット１１１は、演算装置を備え、タグ変換部１１７を有する。タグ変換部１１７は、タグ変換部４１７と同じ機能を有し、イーサフレームのタグ変換処理を行う。

揮発性メモリ１１２は、イーサフレームを一時的に保持したり、変換テーブル７０３等の各種のテーブル情報を保持したり、プロセッサ１１０又はチップセット１１１によってプログラムを展開されたりする記憶領域である。プロセッサ１１０は、揮発性メモリ１１２において、複数の仮想マシン、及び、仮想スイッチ１９０を実行する。

不揮発性メモリ１１３は、プログラム、データ、及び、設定情報等を保持する記憶領域である。不揮発性メモリ１１３に格納されたデータ等を揮発性メモリ１１２に読み出すことによって、プロセッサ１１０及びチップセット１１１は、プログラムを実行する。不揮発性メモリ１１３は、仮想環境を実現するためのプログラムである仮想化ソフトを保持する。

情報処理カード１００のプロセッサ１１０は、マルチテナント対応の通信サービスを提供するため、不揮発性メモリ１１３が保持する仮想化ソフトを実行する。そして、その結果、プロセッサ１１０は、複数の仮想マシンとそれらを接続する仮想スイッチ１９０を含む仮想環境を実行することができる。

図２に示す仮想環境は、４つの仮想マシン（仮想マシン１２０、仮想マシン１３０、仮想マシン１４０、仮想マシン１５０）と、一つの仮想スイッチ１９０を含む。仮想マシンは、物理的な計算機と同様に処理を実行する。プロセッサ１１０は、通信サービス毎の仮想マシンを、仮想ネットワーク毎に実行する。

仮想マシン１２０は、ゲストＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）１２２を有し、ゲストＯＳ１２２の上で、Ａ社用の通信サービスであるＡ社ファイアウォールサービスプログラム１２１を実行する。また、仮想マシン１２０は、仮想ＮＩＣ（ＶＮＩＣ）１２３及びＶＮＩＣ１２４を有する。ＶＮＩＣ１２３は、ＷＡＮ４側の通信ポートを有するインタフェースである、ＶＮＩＣ１２４は、ＬＡＮ５側の通信ポートを有するインタフェースである。

仮想マシン１３０は、ゲストＯＳ１３２を有し、ゲストＯＳ１３２の上で、Ａ社用の通信サービスであるＡ社ＷＡＮ最適化サービスプログラム１３１を実行する。また、仮想マシン１３０は、ＶＮＩＣ１３３及びＶＮＩＣ１３４を有する。ＶＮＩＣ１３３は、ＷＡＮ４側の通信ポートを有するインタフェースである、ＶＮＩＣ１３４は、ＬＡＮ５側の通信ポートを有するインタフェースである。

仮想マシン１４０は、ゲストＯＳ１４２を有し、ゲストＯＳ１４２の上で、Ｂ社用の通信サービスであるＢ社ＷＡＮ最適化サービスプログラム１４１を実行する。また、仮想マシン１４０は、ＶＮＩＣ１４３及びＶＮＩＣ１４４を有する。ＶＮＩＣ１４３は、ＷＡＮ４側の通信ポートを有するインタフェースである、ＶＮＩＣ１４４は、ＬＡＮ５側の通信ポートを有するインタフェースである。

仮想マシン１５０は、ゲストＯＳ１５２を有し、ゲストＯＳ１５２の上で、Ｂ社用の通信サービスであるＢ社侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）サービスプログラム１５１を実行する。図２に示すＢ社ＩＤＳサービスプログラム１５１は、ＷＡＮ４側の通信のみの侵入検知を行う。このため、仮想マシン１５０は、ＷＡＮ４側の通信ポートであるＶＮＩＣ１５３のみを有する。

本実施例において、仮想マシンが、データを転送する通信サービスを提供する仮想マシンである場合、ＷＡＮ４側及びＬＡＮ５側に相当する二つの通信ポートが実装される。このため、このような仮想マシンには、一つの仮想マシンに二つのＶＮＩＣが割り当てられる。

データを転送する通信サービスには、例えば、ＷＡＮ最適化、ファイアウォール、ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）、及び、セッション負荷分散などの通信サービス（クラウド向け通信サービス）が含まれる。

また、仮想マシンが、データ受信のみを行い、かつ、データを転送しない通信サービスを提供する仮想マシンである場合、仮想マシンには、一つのＶＮＩＣをデータ転送用に割り当てられる。データを転送しない通信サービスには、例えば、ＷＡＮ４側からＬＡＮ５側へ送信されるイーサフレームだけを処理するＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｓｉｏｎ Ｓｙｓｔｅｍ）サービスがある。

なお、図示はしないが、通信事業者の管理者等は、データ転送とは別に仮想マシンと制御系の通信を行うために専用のＶＮＩＣを、各仮想マシンに割り当てても良い。

仮想スイッチ１９０は、ＶＮＩＣ（１２３、１２４、１３３、１３４、１４３、１４４、１５３）、又は、転送カード４００のＮＰ・チップセット４１０に備わる物理ＮＩＣなどのインタフェースからイーサフレームを受信した場合、揮発性メモリ１１２に格納されるフォワーディングテーブルを参照する。そして、仮想スイッチ１９０は、フォワーディングテーブルに従って、イーサフレームを転送したり、ＶＬＡＮタグの付加又は削除をしたりする。

制御カード２００は、バックプレーンインタフェース２１６、プロセッサ２１０、チップセット２１１、揮発性メモリ２１２、及び、不揮発性メモリ２１３を有する。バックプレーンインタフェース２１６は、内部スイッチ３００と接続するためのインタフェースである。

チップセット２１１は、演算装置を含み、イーサフレームへの転送処理等を行う。プロセッサ２１０は、例えば、ＣＰＵ等の演算装置であり、制御プログラム７０２を実行する。

揮発性メモリ２１２は、プログラム、データ及びテーブル等を保持するための記憶領域である。また、揮発性メモリ２１２は、プロセッサ２１０又はチップセット２１１によって、不揮発性メモリ２１３から読み出されたプログラム及びデータ等を展開される記憶領域である。揮発性メモリ２１２は、制御プログラム７０２、サービステーブル７００、及び、資源管理テーブル７０１を保持する。

不揮発性メモリ２１３は、データ、テーブル、プログラム、及び、設定情報等を保持する記憶領域である。

なお、前述の通信ノード装置１０が有する各テーブル（サービステーブル７００、資源管理テーブル７０１、変換テーブル７０３）は、テーブルのフォーマットによって情報を保持する。しかし、本実施例における通信ノード装置１０は、各テーブルの情報を保持できれば、いかなる方法を用いてもよく、例えば、ＣＳＶ形式等の方法によって情報を保持してもよい。

また、タグ変換部１１７及びタグ変換部４１７は、各チップセットに含まれる処理部として実装されてもよいし、プログラムによって実装されてもよい。

図１に示すネットワークシステムにおける仮想ネットワーク、すなわち、拡張タグＶＬＡＮによる広域イーサネットにおける、イーサフレームの流れについて図３を用いて示す。

図３は、本実施例１の広域イーサネットのイーサフレームの変化の流れを示す説明図である。

図３は、本実施例１の広域イーサネットによってイーサフレームに付加されるＶＬＡＮタグの変化を模式的に示した図である。通信事業者区間７は、通信局舎３、ＷＡＮ４、及び、データセンタ１が有するエッジスイッチ１１−１間のネットワークを示す。ユーザ区間６−１は、クライアント２０及びエッジスイッチ１１−２間のネットワークを示し、ユーザ区間６−２は、サーバ１３及びエッジスイッチ１１−１間のネットワークを示す。

図４は、本実施例１のイーサフレームのフォーマットを示す説明図である。

本実施例１のネットワークシステムにおいて送受信されるイーサフレームは、図４に示すイーサフレーム８０、イーサフレーム８１、及び、イーサフレーム８２である。

イーサフレーム８０は、ＭＡＣ ＤＡ（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）９０、ＭＡＣ ＳＡ（Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）９１、タイプ９２、Ｌａｙｅｒ２ペイロード（Ｌ２ペイロード）９３、及び、ＦＣＳ（Ｆｒａｍｅ Ｃｈｅｃｋ Ｓｅｑｕｅｎｃｅ）９４を含む。

ＭＡＣ ＤＡ９０は、イーサフレームの宛先を示すＭＡＣアドレスを含む。ＭＡＣ ＳＡ９１は、イーサフレームの送信元を示すＭＡＣアドレスを含む。タイプ９２は、Ｌ２ペイロードの種類、又は、Ｌ２ペイロードの長さを示す。

Ｌ２ペイロード９３は、イーサフレームのデータ部である。ＦＣＳ９４には、フレームのエラーを検出するため値が格納される。拡張タグＶＬＡＮによる広域イーサネットの場合、ＭＡＣ ＳＡ９１とタイプ９２の間にＳＴＡＧ９６とＣＴＡＧ９５とが挿入される。

図１において、Ａ社拠点２−１が有する各クライアント２０は、データセンタ１のＡ社の各サーバ１３（サーバ１３−１〜３）とそれぞれ異なる仮想ネットワークを利用して通信する。具体例として、図１において、クライアント２０−１とサーバ１３−１とは、Ａ社内における同一のＶＬＡＮに所属する。クライアント２０−１とサーバ１３−１とが通信する例を以下に説明する。

まず、クライアント２０−１は、サーバ１３−１に向けてイーサフレーム８０を送信する。Ａ社のＬＡＮスイッチ２１−１は、クライアント２０−１及びサーバ１３−１間のＶＬＡＮを一意に示す識別子を含むＶＬＡＮタグをイーサフレーム８０に挿入することによって、図４に示すイーサフレーム８１を生成する。このＶＬＡＮタグはＣＴＡＧと呼ばれる。

ここで、イーサフレーム８１のＶＬＡＮタグは、図３に示すイーサフレーム８１である。そして、Ａ社のＬＡＮスイッチ２１−１は、生成されたイーサフレーム８１を通信局舎３へ送信する。

広域イーサネットにおいて、拠点側のスイッチ（前述においてＡ社のＬＡＮスイッチ２１−１）において挿入されたＶＬＡＮタグは、ＣＴＡＧと呼ばれる。Ａ社のＬＡＮスイッチ２１−１は、図４に示すように、イーサフレーム８０のＭＡＣ ＳＡ９１とタイプ９２との間にＣＴＡＧ９５を挿入する。

ＶＬＡＮタグ（ＣＴＡＧ）は、図４に示すように、１６ビットのＴＰＩＤ（Ｔａｇ Ｐｒｏｔｏｃｏｌ ＩＤｅｎｔｉｆｉｅｒ）３０と１６ビットのＴＣＩ（Ｔａｇ Ｃｏｎｔｒｏｌ Ｉｄｅｎｔｉｆｉｅｒ）３１とを含む。ＴＣＩ３１は、３ビットの優先度３２、１ビットのＣＦＩ３３、及び、１２ビットのＶＩＤ（ＶＬＡＮ ＩＤｅｎｔｉｆｉｅｒ）３４を含む。

ＴＰＩＤ３０には、自らが含まれるタグがＶＬＡＮタグであることを示す識別子（例えば、０ｘ８１００）が含まれる。すなわち、ＣＴＡＧ９５に含まれるＴＰＩＤ３０は、ＣＴＡＧであることを示す。

ＶＩＤ３４は、自らが含まれるイーサフレーム８１が送受信されるＶＬＡＮのＶＬＡＮ（仮想ネットワーク）番号を示す。一般的に、ＶＩＤ＝０とＶＩＤ＝４０９５とは予約されているため、ＶＩＤ３４は、４０９４個のＶＬＡＮを示す識別子が含まれる。図３に示す例ではＣＴＡＧ９５のＶＩＤ３４を"Ｚ"としている。

通信局舎３がＡ社拠点２−１からイーサフレーム８１を受信した場合、エッジスイッチ１１−２は、テナントであるＡ社とＢ社とを識別するＶＬＡＮタグ（ＳＴＡＧ９６）を、イーサフレーム８１に挿入する。これによって、図４に示すイーサフレーム８２が生成される。図３に示すイーサフレーム８２は、イーサフレーム８２のＶＬＡＮタグである。エッジスイッチ１１−２は、生成されたイーサフレーム８２を、通信ノード装置１０−２を介してＷＡＮ４へ送信する。

広域イーサネットにおいて、通信局舎３において挿入されたＶＬＡＮタグはＳＴＡＧと呼ばれる。エッジスイッチ１１−２は、図４に示すように、イーサフレーム８１のＭＡＣ ＳＡ９１とＣＴＡＧ９５との間にＳＴＡＧ９６を挿入する。

ＳＴＡＧ９６は、前述のＣＴＡＧ９５と同様に、１６ビットのＴＰＩＤ３０と１６ビットのＴＣＩ３１とを含む。ＳＴＡＧ９６のＴＰＩＤ３０は、ＳＴＡＧを示す値であり、ＩＥＥＥ８０２．１ａｄの規定では、０ｘ８８ａ８である。ＳＴＡＧ９６のＴＰＩＤ３０は、ベンダによって、０ｘ９１００、０ｘ９２００、又は、０ｘ９３００を含んでもよい。図３に示すＳＴＡＧ９６の例では、ＶＩＤ３４を"Ａ"としている。

なお、以下に記載される"ＳＴＡＧの値"は、ＳＴＡＧ９６のＶＩＤ３４の値を示す。

データセンタ１がＷＡＮ４を介してイーサフレーム８２を受信し、通信事業者がイーサフレーム８２の宛先のテナントに通信サービスを提供しない場合、通信ノード装置１０−１は、受信したイーサフレーム８２をエッジスイッチ１１−１に転送する。

なお、データセンタ１がＷＡＮ４を介してイーサフレーム８２を受信し、通信事業者がイーサフレーム８２の宛先のテナントにクラウド通信サービスを提供する場合の通信ノード装置１０の処理については後述する。

エッジスイッチ１１−１は、イーサフレーム８２を受信した場合、テナント（顧客）であるＡ社とＢ社とを識別するため、ＳＴＡＧ９６によってイーサフレーム８２を送信するべきテナントを識別する。そして、エッジスイッチ１１−１は、イーサフレーム８２からＳＴＡＧ９６を削除することによって、図４に示すイーサフレーム８１を生成する。そして、ＳＴＡＧ９６によって識別されたテナント（顧客）のＬＡＮスイッチ１２に、生成されたイーサフレーム８１を送信する。

ＬＡＮスイッチ１２−１は、エッジスイッチ１１−１からイーサフレーム８１を受信した場合、ＣＴＡＧ９５によって仮想ネットワークを識別する。そして、ＬＡＮスイッチ１２−１は、ＣＴＡＧ９５を削除することによって、図４に示すイーサフレーム８０を生成する。そして、ＬＡＮスイッチ１２−１は、ＣＴＡＧ９５によって識別された仮想ネットワークに対応するＡ社のサーバ１３−１へ、生成されたイーサフレーム８０を送信する。

このように、テナント（顧客）間又はテナント内の仮想ネットワークを識別する必要がある装置（ＬＡＮスイッチ２１、ＬＡＮスイッチ１２、及び、エッジスイッチ１１−１、１１−２）は、ＣＴＡＧ９５及びＳＴＡＧ９６の付加及び削除を行うことによって各テナント間、又は、テナント内の仮想ネットワークを識別し、広域イーサネットの通信を実現することができる。

次に、データセンタ１がＷＡＮ４を介してイーサフレーム８２を受信し、通信事業者がイーサフレーム８２の宛先のテナントにクラウド通信サービスを提供する場合の通信ノード装置１０−１の処理について記載する。

通信ノード装置１０−１は、受信したイーサフレームに対して通信サービスを各テナントに提供する場合、イーサフレーム８２にタグ変換処理を実行し、タグ変換されたイーサフレームに対して通信サービスを各テナントに提供する。

通信ノード装置１０−１は、仮想マシンが有する通信ポート（ＶＮＩＣ１２３、ＶＮＩＣ１３３）にイーサフレームを適切に送信するため、各仮想マシンが実行する通信サービスと、仮想マシンの各通信ポートとの組合せを一意に示す識別子を、イーサフレームに付加する。

具体的には、図２及び図３に示す通信ノード装置１０−１は、Ａ社ファイアウォールサービスプログラム１２１とＶＮＩＣ１２３との組合せに一つの識別子、Ａ社ファイアウォールサービスプログラム１２１とＶＮＩＣ１２４との組合せに一つの識別子、Ａ社ＷＡＮ最適化サービスプログラム１３１とＶＮＩＣ１３３との組合せに一つの識別子、及び、Ａ社ＷＡＮ最適化サービスプログラム１３１とＶＮＩＣ１３４との組合せに一つの識別子の、合計四つの識別子を有する。

本実施例において、通信ノード装置１０におけるこれらの識別子を含むタグを、ＬＴＡＧ（Ｌｏｃａｌ ＴＡＧ：図３に示すＬＴＡＧ９７）と呼ぶ。ＬＴＡＧ９７は、異なる通信サービス、及び、異なる通信ポートとの間で重複しない識別子を含む。また、仮想ネットワーク毎に、イーサフレームに対して一連の通信サービスを提供するため、通信ノード装置１０は、ＳＴＡＧ９６を、ＬＴＡＧ９７に変換するための変換テーブル７０３を有する。

ＬＴＡＧ９７を含むイーサフレームの形式を図４のイーサフレーム８３として示す。イーサフレーム８３は、イーサフレーム８２のＳＴＡＧ９６をＬＴＡＧ９７へ変換（置換）した形式である。ＬＴＡＧ９７は、通常のＶＬＡＮタグと同じフォーマットを有し、ＴＰＩＤ３０とＴＣＩ３１とのフィールドを含む。ＬＴＡＧ９７がＶＬＡＮタグと同じフォーマットであることによって、本実施例１のネットワークシステムは、通信ノード装置１０、並びに、通信ノード装置１０に備わる内部スイッチ３００及び仮想スイッチ１９０に、特殊な技術を導入されることなく、通信ノード装置１０、内部スイッチ３００及び仮想スイッチ１９０によって、ＬＴＡＧ９７を含むイーサフレームを転送できる。

なお、以下において記載される"ＬＴＡＧの値"は、ＬＴＡＧ９７のＶＩＤ３４の値を示す。

ＬＴＡＧ９７のＴＰＩＤ３０の値は、各システムによってあらかじめ定められる。ＬＴＡＧ９７のＴＰＩＤ３０の値は、ＬＴＡＧ９７とＳＴＡＧ９６とを識別するため、ＳＴＡＧ９６のＴＰＩＤ３０の値とは異なる値が少なくとも定められる。

また、ＬＴＡＧ９７のＴＰＩＤ３０の値は、ＩＰｖ４（ＴＰＩＤ＝０ｘ０８００）、ＩＰｖ６（ＴＰＩＤ＝０ｘ８６ＤＤ）、又は、ＡＲＰ（ＴＰＩＤ＝０ｘ０８０６）などの標準的なプロトコルによって利用されるＴＰＩＤとも異なる値が定められる。このため、従来規定されるＴＰＩＤ以外の値であれば、ＬＴＡＧ９７のＴＰＩＤ３０の値にはいかなる値が定められてもよい。例えば、ＬＴＡＧ９７のＴＰＩＤ３０の値は、ＴＰＩＤ＝０ｘ８１００でもよいし、ＳＴＡＧ９６として利用されていなければ０ｘ９１００又は０ｘ９２００などでもよいし、システムによって定められた特別な値でもよい。

本実施例における通信ノード装置１０は、各仮想ネットワークにおいてイーサフレームが送受信される際、拡張タグＶＬＡＮ通信のイーサフレーム８２を横取りする。そして、通信ノード装置１０は、横取りしたイーサフレーム８２に、タグ変換処理を行い、タグ変換処理されたイーサフレームに対して、仮想マシンによって通信サービスを実行することによって、通信サービスを各テナントに提供する。

通信ノード装置１０は、タグ変換処理において、前述の変換テーブル７０３を参照し、インタセプトされたイーサフレーム８２のＳＴＡＧ９６をＬＴＡＧ９７に変換（又は、置換）した後、仮想スイッチ１９０へイーサフレームを送信する。

通信ノード装置１０の仮想スイッチ１９０がイーサフレームを受信した場合、イーサフレームを受信した仮想スイッチ１９０は、イーサフレームのＬＴＡＧ９７に対応する仮想マシンの通信ポート（ＶＮＩＣ）へ、イーサフレームを送る。通信ポートへイーサフレームを送る際、仮想スイッチ１９０は、イーサフレームのＬＴＡＧ９７を削除する。

また、仮想マシン１２０がイーサフレームに対して通信サービスを実行した後、仮想マシン１２０の通信ポート（ＶＮＩＣ）は、イーサフレームを出力する。仮想スイッチ１９０は、仮想マシンから出力されたイーサフレームに、実行された通信サービスとその通信サービスが出力された通信ポートに対応するＬＴＡＧ９７を付加する。

転送カード４００は、各仮想マシンによって通信サービスを実行されたイーサフレームを受信した場合、イーサフレームに付加されたＬＴＡＧ９７と、変換テーブルとに基づいて、イーサフレームのＬＴＡＧ９７をＳＴＡＧ９６に変換する。これによって、通信ノード装置１０は、仮想マシン１２０によって処理されたイーサフレームをイーサフレーム８２に変換し、イーサフレーム８２の宛先へ送信する。

前述の流れによって、通信ノード装置１０は、イーサフレームが処理されるべき通信サービスを実行する仮想マシンの通信ポートに、インタセプトされたイーサフレームを転送できる。そして、通信ノード装置１０は、仮想ネットワークと通信サービスとを連携させることができる。

具体的なタグの変換処理の例を、図３を用いて説明する。例における変換テーブル７０３は、以下の通りである。

図３における変換テーブル７０３は、ＶＮＩＣ１２３に、ＶＩＤ３４を"Ｓ"としたＬＴＡＧ９７が割り当てられ、ＶＮＩＣ１２４に、ＶＩＤ３４を"Ｔ"としたＬＴＡＧ９７が割り当てられることを示す。また、変換テーブル７０３は、ＶＮＩＣ１３３に、ＶＩＤ３４を"Ｕ"としたＬＴＡＧ９７が割り当てられ、ＶＮＩＣ１３４に、ＶＩＤ３４を"Ｖ"としたＬＴＡＧ９７が割り当てられることを示す。また、変換テーブル７０３は、ＷＡＮ側から入力されたイーサフレーム８２が、ＶＩＤ３４が"Ａ"であるＳＴＡＧ９６を含む場合、ＳＴＡＧ９６をＶＩＤ３４が"Ｓ"であるＬＴＡＧ９７に変換することを示す。

このような変換テーブル７０３は、前述のような値を含むことによって、ＷＡＮ側からＬＡＮ側へ送信されるイーサフレーム８２がインタセプトされ、かつ、イーサフレーム８２のＳＴＡＧ９６が"Ａ"を示す場合、インタセプトされたイーサフレーム８２に対して、Ａ社ファイアウォールサービスプログラム１２１、及び、Ａ社ＷＡＮ最適化サービスプログラム１３１の順番に、通信サービスが実行されることを示す。

また、前述のような変換テーブル７０３である場合、図３に示す通信ノード装置１０−１において、イーサフレーム８２のＳＴＡＧ９６が、ＶＩＤ３４が"Ｓ"であるＬＴＡＧ９７に変換された結果であるイーサフレーム８３が生成される。イーサフレーム８３は、ＬＴＡＧ９７の値に従って仮想マシン１２０に送信され、仮想マシン１２０は、イーサフレーム８３に対して、Ａ社ファイアウォールサービスプログラム１２１を実行する。

その後、仮想スイッチ１９０は、イーサフレーム８３に対してＶＩＤ３４が"Ｔ"であるＬＴＡＧを付加したイーサフレーム８４を出力する。出力されたイーサフレーム８４は、変換テーブル７０３に基づいて、ＬＴＡＧ９７のＶＩＤ３４が"Ｔ"から"Ｕ"に変換される。これによってイーサフレーム８５が生成される。

そして、イーサフレーム８５は、ＶＩＤ３４として"Ｕ"が割り当てられたＶＮＩＣ１３３に送信される。イーサフレーム８５が仮想マシン１３０のＶＮＩＣ１３３に入力され、仮想マシン１３０がイーサフレーム８５の内容にＡ社ＷＡＮ最適化サービスプログラム１３１を実行した後、仮想マシン１２０−２は、イーサフレーム８５に対してＶＩＤ３４が"Ｖ"であるＬＴＡＧを付加したイーサフレーム８６を出力する。そして、イーサフレーム８６は、ＬＴＡＧ９７をＳＴＡＧ９６に変換されることによって、インタセプトされる前の拡張タグＶＬＡＮのイーサフレーム８２に変換される。

その後、通信ノード装置１０−１は、イーサフレーム８２を、本来の宛先であるエッジスイッチ１１（ユーザ区間６−２）へ向けて送信する。前述の処理によって、通信ノード装置１０−１は、イーサフレーム８２の宛先であるテナントに通信サービスを提供する。

ユーザ区間６−２から通信事業者区間７へイーサフレーム８２が送信される場合、通信ノード装置１０−１において、前述の変換処理の例と逆方向の処理が行われる。また、通信事業者区間７からユーザ区間６−１へイーサフレーム８２が送信される場合、通信ノード装置１０−２において、前述の変換処理と同じ方向の処理が行われる。

また、ユーザ区間６−１から通信事業者区間７へイーサフレーム８２が送信される場合、通信ノード装置１０−２において、前述の変換処理と逆方向の処理が行われる。すなわち、通信ノード装置１０−１と通信ノード装置１０−２とは同じ機能を有する。

また、Ａ社内の他のＶＬＡＮ（仮想ネットワーク）における通信、及び、Ｂ社内のＶＬＡＮ（仮想ネットワーク）における通信においても、前述の変換処理と同じ処理が行われる。

なお、前述の変換処理において、ＳＴＡＧ９６をＬＴＡＧ９７に変換（又は、置換）する例を説明したが、図５に示すように、ＳＴＡＧ９６の外側にＬＴＡＧ９７を付加してもよい。

図５は、本実施例１のイーサフレーム８７の例を示す説明図である。

通信ノード装置１０は、タグ変換処理において、イーサフレーム８２にＬＴＡＧ９７を挿入することによって、イーサフレーム８７を生成してもよい。この場合、変換テーブル７０３は、拡張ＶＬＡＮタグの先頭がＳＴＡＧ９６である場合、ＳＴＡＧ９６の隣にＬＴＡＧ９７を付加することを示す情報、又は、拡張ＶＬＡＮタグの先頭がＬＴＡＧ９７である場合、ＬＴＡＧ９７を別のＬＴＡＧ９７に置換するか又は削除することを示す情報を含む。

図６は、本実施例１のサービステーブル７００を示す説明図である。

制御カード２００内のサービステーブル７００は、仮想ネットワーク毎に適用する通信サービス、及び、通信サービスに利用する通信ノード装置１０内の資源（例えば、仮想マシン等）を管理するためのテーブルである。サービステーブル７００は、テナントとの契約に従い通信事業者の管理者によって値が設定されるフィールドと、制御プログラム７０２によって値が設定されるフィールドとを含む。

サービステーブル７００は、管理者によって値が設定されるフィールドに、例えば、テナント７１０、帯域７１１、サービス７１２、サービス品質（遅延度）７１３、割当コア７１４、及び、割当メモリ７１５を含む。

テナント７１０には、各テナントを一意に識別する識別子が含まれる。テナント７１０には、各テナントの名称が含まれてもよい。帯域７１１は、各テナントが契約する通信帯域を示す。

サービス７１２は、各テナントが利用する通信サービスを示す。サービス品質７１３は、各テナントが要求するサービス品質を示す。図６に示すサービス品質７１３は、遅延度がどの程度許容されるか否かを示す値を含む。

割当コア７１４は、通信サービスを実行するためにプロセッサコア又はスレッドを割り当てる方法、及び、割り当てられるプロセッサコア又はスレッドの数を示す。割当メモリ７１５は、各テナントに割り当てられるメモリのサイズを示す。

さらに、サービステーブル７００は、制御プログラム７０２によって値が設定されるフィールドに、例えば、ＳＴＡＧ７１６、ＬＴＡＧ７１７、ポート７１８、装置番号７１９、情報処理カード番号７２０、仮想マシン番号７２１、及び、ＶＮＩＣ情報７２２を含む。

ＳＴＡＧ７１６は、各テナントに割り当てられたＳＴＡＧの識別子（ＳＴＡＧ９６のＶＩＤ３４の値に相当）を含む。ＳＴＡＧ７１６の値には、例えば、図１に示すエッジスイッチ１１においてテナントを識別するために用いられるＳＴＡＧ９６の値が含まれる。

ＬＴＡＧ７１７は、通信サービス毎、かつ、通信ポート（ＶＮＩＣ）毎に割り当てられた識別子（ＬＴＡＧ９７のＶＩＤ３４の値に相当）を含む。

ポート７１８は、ＬＴＡＧ７１７が示す値に割り当てられたＶＮＩＣの通信ポートを示す。図６に示すポート７１８は、ＶＮＩＣがＷＡＮ４に接続されるか、又は、ＬＡＮ５に接続されるかを示す値を含む。

装置番号７１９は、通信ノード装置１０の識別子を含む。図６の例では、通信ノード装置１０を１台だけとしているため、装置番号７１９の識別子は１しか記載していないが、Ｎ台の通信ノード装置１０を利用する場合には、１〜Ｎの識別子が利用される。

情報処理カード番号７２０は、各テナントに通信サービスを提供する仮想マシンを有する情報処理カード１００の識別子を含む。図６の例では、情報処理カード１００を１枚だけとしているため、情報処理カード番号７２０の識別子は１しか記載していないが、Ｎ枚の情報処理カード１００を利用する場合には、１〜Ｎの識別子が利用される。ＶＭ番号７２１は、各テナントに通信サービスを提供する仮想マシンの識別子を含む。

ＶＮＩＣ情報７２２は、ＶＮＩＣの識別番号、仮想ＭＡＣアドレス、ＶＬＡＮモード、ＶＩＤ（ＶＬＡＮ番号）、及び、ゲストＯＳ用の仮想ＩＰアドレスなどを示す情報を含む。

ＶＮＩＣ情報７２２におけるＶＬＡＮモードは、ＶＬＡＮタグを利用するか否かを示す値である。ＶＮＩＣ情報７２２におけるＶＬＡＮ番号は、ＶＬＡＮタグ用ポートとしてＶＮＩＣを利用する場合のＶＩＤを示す。

本実施例の情報処理カード１００は、ＶＮＩＣをＶＬＡＮモードによって用いる。これによって、ＶＮＩＣとＶＬＡＮタグの識別子とが一意に対応付けられるため、本実施例の制御プログラム７０２は、ＶＮＩＣのＶＬＡＮ番号を、ＬＴＡＧのＶＩＤ３４と一致させることによって、サービステーブル７００のＬＴＡＧフィールド７１７のＶＩＤ３４の値とＶＮＩＣを示す識別子とを一意に対応付けることができる。

また、これによって、内部スイッチ３００及び仮想スイッチ１９０は、ＶＬＡＮ番号によってイーサフレームを識別し、また、イーサフレームの送信先を特定する処理部は、イーサフレームのＬＴＡＧ９７を参照することによって、ＬＴＡＧ９７のＶＩＤ３４に対応するＶＮＩＣに、イーサフレームを送信できる。同様に、内部スイッチ３００及び仮想スイッチ１９０は、イーサフレームのＬＴＡＧ９７を参照することによって、ＶＮＩＣ情報７２２が示すＶＮＩＣを経由して仮想マシンにイーサフレームを送信することができ、ゲストＯＳ上で動く通信サービスで該当イーサフレームに対する処理を実行することができる。

なお、サービステーブル７００は、各テナント内で同じ通信サービスを適用することを示す値を必ずしも保持する必要はない。例えば、サービステーブル７００は、利用部署毎に、又は、利用者毎に、異なる数又は異なる種類の通信サービスを保持してもよい。この場合、サービステーブル７００は、図６に示すＳＴＡＧ７１６の他に、ＣＴＡＧ、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート、宛先ポート、及び、プロトコルなどをテナント内の通信の識別子の一部として保持してもよい。ＣＴＡＧとは、ＣＴＡＧ９５のＶＩＤ３４の値であり、テナント内で利用するＣ−ＶＬＡＮを特定する識別子である。

情報処理カード１００のプロセッサ１１０は、一般的な方法として、通信サービスのプログラムによって、受信したイーサフレームがいずれのテナントのいずれの利用者によって送信されたイーサフレームかを判定し、判定の結果に従って、いずれの通信サービスをイーサフレームに適用するか否かを判定してもよい。このような方法を用いた場合、転送カード４００は、イーサフレームを送信する必要がない通信サービスのプログラムに向けてイーサフレームを送信する可能性があり、通信サービスのプログラムにおける負荷も高くなっていた。

しかし、本実施例の転送カード４００におけるタグ変換部４１７は、サービステーブル７００に基づいて生成された変換テーブル７０３を用い、いずれの通信サービスをイーサフレームに適用するかを示す情報をイーサフレームに付加する。このため、転送カード４００は、通信サービスを実行するプロセッサ１１０上の仮想マシンに対して必要最小限のイーサフレームだけを転送すればよい。そして、これによって、仮想マシンの負荷が低減される。

図７は、本実施例１の資源管理テーブル７０１を示す説明図である。

制御カード２００内の資源管理テーブル７０１は、通信ノード装置１０において利用される各種の資源の搭載量、及び、割り当てられていない資源量（割当残量）を管理するためのフィールドと、各ＶＮＩＣに割当て済みのＬＴＡＧ９７のＶＩＤ３４を管理するためのフィールドとを含むテーブルである。

資源管理テーブル７０１は、資源を管理するためのフィールドに、情報処理カード番号７４０、搭載コア数（搭載スレッド数）７４１、搭載メモリ量７４２、割当済み専有コア数７４３、割当済み共有コア数７４４、及び、割当済みメモリ量７４５を含む。

情報処理カード番号７４０は、情報処理カード１００の識別子を含む。搭載コア数７４１は、各情報処理カード１００のプロセッサ１１０が、仮想マシンに割り当てるために有するプロセッサコアの数又はスレッドの数を示す。

搭載メモリ量７４２は、各情報処理カード１００の揮発性メモリ１１２が、仮想マシンに割り当てるために有する記憶領域のサイズを示す。

割当済み専有コア数７４３は、仮想マシンに専有状態で既に割り当てられたプロセッサコアの数又はスレッドの数を示す。割当済み共有コア数７４４は、複数の仮想マシンによって共有して使用される状態（共有状態）で既に割り当てられたプロセッサコアの数又はスレッドの数を示す。割当済みメモリ量７４５は、仮想マシンに割当て済みの記憶領域のサイズを示す。

このため、割当済み専有コア数７４３の値と割当済み共有コア数７４４の値との和を、搭載コア数７４１から減算した値が、プロセッサコア（又はスレッド）の残量である。また、割当済みメモリ量７４５の値を、搭載メモリ量７４２から減算した値が、メモリの残量である。

また、資源管理テーブル７０１は、ＶＮＩＣに割当て済みのＬＴＡＧ９７のＶＩＤ３４を管理するためのフィールドとして、通信ノード装置番号７５０、未使用ＬＴＡＧ７５１、及び、未使用ＬＴＡＧ数７５２を含む。通信ノード装置番号７５０は、通信ノード装置１０を一意に示す識別子である。

未使用ＬＴＡＧ７５１は、通信ノード装置番号７５０が保持するＬＴＡＧ９７のＶＩＤ３４の候補のうち未割当てのＶＩＤ３４の値を保持する。未使用ＬＴＡＧ数７５２は、未割当てのＬＴＡＧ９７のＶＩＤ３４の候補の数（すなわち、ＬＴＡＧの残り数）を示す。

図３に示すタグ変換処理を行う場合、制御プログラム７０２は、１個のＳＴＡＧに対して、２個以上のＬＴＡＧを割り当てることが必要である。このため、ＬＴＡＧの総数をＳＴＡＧの総数と同じ数（例えば、約４０００）にした場合、全てのＳＴＡＧのパターンに割り当てるべきＬＴＡＧの数は不足する。

一方で、１台の通信ノード装置１０が有する物理的な資源量を考慮した場合、ＳＴＡＧの総数と同じ数（例えば、約４０００）のＬＴＡＧを１台の通信ノード装置１０が収容できれば十分な場合が多い。また、例えば、資源管理テーブル７０１がＳＴＡＧの総数の４倍などのＬＴＡＧを保持した場合、無駄なＬＴＡＧ９７のＶＩＤ３４の候補を保持することになる場合が多い。

そこで、資源管理テーブル７０１が通信ノード装置１０毎に、ＳＴＡＧ９６の数と同じ数、例えば約４０００の、ＬＴＡＧ９７のＶＩＤ３４の候補を保持することによって、本実施例の制御プログラム７０２は、ＳＴＡＧ全てにＬＴＡＧを割り当てることが可能である。

なお、一つの通信ノード装置１０が有する複数の情報処理カード１００を少なくとも一つのブロックに分割し、資源管理テーブル７０１がブロック毎にＳＴＡＧ９６の数と同じ数、例えば約４０００の、ＬＴＡＧ９７のＶＩＤ３４の候補を保持してもよい。

図８は、本実施例１の変換テーブル７０３を示す説明図である。

変換テーブル７０３は、サービステーブル７００の内容に基づいて生成され、通信サービスの適用順番、相互に変換されるＬＴＡＧ及びＳＴＡＧの値、イーサフレームを転送すべきＶＮＩＣを示す値（すなわち、ＬＴＡＧの値）、及び、通信サービスの種類を示すテーブルである。変換テーブル７０３は、制御プログラム７０２によって、揮発性メモリ４１２、及び、揮発性メモリ１１２に格納される。これによって、転送カード４００上のタグ変換部４１７、及び、情報処理カード１００上のタグ変換部１１７は、イーサフレームにタグ変換処理等を実行できる。

変換テーブル７０３は、入力されたイーサフレームを検索するためのフィールドとして、ＩＮ ＴＡＧ４０、及び、ＩＮ ＰＯＲＴ４１を含む。また、変換テーブル７０３は、ＯＵＴ ＴＡＧ５０、ＯＵＴ ＰＯＲＴ５１、及び、ＳＥＲＶＩＣＥ５２を含む。

ＩＮ ＴＡＧ４０は、拡張タグＶＬＡＮのイーサフレームに付加されたタグのうち最も先頭方向に付加されたタグを示す値（ＴＰＩＤ３０及びＶＩＤ３４の値）を含む。

ＩＮ ＰＯＲＴ４１は、イーサフレームの入力元を示す。図８に示す変換テーブル７０３において、"ＷＡＮ"はＷＡＮ４を示し、"ＬＡＮ"はＬＡＮ５を示し、"ＣＡＲＤ"は情報処理カード１００を示す。

ＩＮ ＴＡＧ４０が示すイーサフレームがＩＮ ＰＯＲＴ４１が示す入力元から入力された場合、タグ変換部４１７及びタグ変換部１１７は、ＯＵＴ ＴＡＧ５０に示すタグにイーサフレームのタグを変換し、ＯＵＴ ＰＯＲＴ５１が示す出力先にイーサフレームを出力する。これによって、タグ変換部４１７及びタグ変換部１１７は、イーサフレームに、ＳＥＲＶＩＣＥ５２が示す通信サービスを実行させる。

なお、ＳＥＲＶＩＣＥ５２が"ＮＯＮＥ"を示す変換テーブル７０３のエントリは、通信サービスを適用せずにタグ変換部４１７が通信ノード装置１０からイーサフレームを出力することを示す。

図８に示す変換テーブル７０３は、Ａ社（テナントＡ）用のタグ変換ルール６０、Ｂ社（テナントＢ）用のタグ変換ルール６１を含む。また、エントリ７６２〜７６６を含む。

例えば、ＳＴＡＧ９６のＶＩＤ３４が"０ｘ０００Ａ"であるイーサフレームがＷＡＮ４に接続された通信ポートから入力された場合、タグ変換部４１７は、変換テーブル７０３のエントリ７６２に従って、イーサフレームのＳＴＡＧ９６をＶＩＤ３４が"０ｘ００１Ａ"であるＬＴＡＧ９７に変換する。

そして、タグ変換部４１７は、タグを変換されたイーサフレームを、本来の拡張タグＶＬＡＮ通信の出力先ではなく、ＣＡＲＤ＃１が示す出力先に向けて転送する。ここで、イーサフレームを転送される情報処理カード１００は、通信サービスとしてファイアウォール（ＦＷ）を提供する。

なお、変形例として、変換テーブル７０３は、テナント毎に通信サービスの値を保持しなくてもよく、利用部署毎、又は、利用者毎に、異なる数又は異なる種類の通信サービスの値を保持してもよい。その場合、変換テーブル７０３は、ＩＮ ＴＡＧ４０のフィールドに、ＳＴＡＧ及びＬＴＡＧの他に、ＣＴＡＧ、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート、宛先ポート、又は、プロトコルなどを示す値を含んでもよい。そして、変換テーブル７０３は、ＩＮ ＴＡＧ４０がＣＴＡＧ等であるエントリのＯＵＴ ＴＡＧ５０にＬＴＡＧを示す値を保持してもよい。

このような変換テーブル７０３の変形例を用いることによって、通信事業者は、例えば、Ａ社（テナントＡ）における特定のＶＬＡＮ内の通信のみにファイアウォールのサービスとＷＡＮ最適化サービスとを提供し、Ａ社における残りのＶＬＡＮにおける通信にはファイアウォールの通信サービスのみを提供することができる。

図９は、本実施例１の通信サービスを追加又は削除する処理を示すフローチャートである。

制御プログラム７０２は、通信事業者の管理者等から通信サービスの追加要求及び削除要求を入力された場合、サービステーブル７００及び変換テーブル７０３を更新する。図９は、通信ノード装置１０が起動してから、通信ノード装置１０に通信サービスが追加され、さらに、通信ノード装置１０から通信サービスが削除される処理を示す。

通信事業者の管理者等によって、通信ノード装置１０が起動されると（Ｓ５０１）、制御カード２００の制御プログラム７０２は、サービス追加要求が入力されたか否かを判定する（Ｓ５０２）。サービス追加要求が入力されていないと判定された場合、制御プログラム７０２は、Ｓ５０８を実行する。

なお、管理者からのサービス追加要求には、追加する通信サービスを利用するテナントの識別子（テナント７１０の値）と、追加する通信サービスの識別子（サービス７１２の値）とが含まれる。さらに、サービス追加要求には、追加する通信サービスに対応する、帯域７１１、サービス品質７１３、割当コア７１４、及び、割当メモリ７１５の値が含まれる。

管理者からサービス追加要求が入力されたと判定された場合、制御プログラム７０２は、制御カード２００の資源管理テーブル７０１を参照し、追加要求がされた通信サービスを実行する仮想マシンに割り当てる資源（帯域、コア数、メモリ量、及び、ＬＴＡＧ７１７の値）を確保できるか否か判定する（Ｓ５０３）。

Ｓ５０３において、制御プログラム７０２は、追加要求された通信サービスの数に従って、ＬＴＡＧ用の値を資源管理テーブル７０１から取得できた場合、ＬＴＡＧ用の値を確保できたと判定する。なお、制御プログラム７０２は、追加要求された通信サービスを実行するために、取得できたＬＴＡＧ用の値を仮想マシンへ割り当てるＶＮＩＣのＶＬＡＮ番号とする。

資源が確保できないとＳ５０３において判定された場合、制御プログラム７０２は、通信サービスを実行する仮想マシンを設定できないため、Ｓ５０８を実行する。なお、資源が確保できない場合、制御プログラム７０２は、管理者に通信サービスを追加できない旨を通知する。

資源が確保できるとＳ５０３において判定された場合、制御プログラム７０２は、サービス追加要求に基づいて、追加要求された通信サービスに確保した資源を用いて、通信サービスを実行するための環境を情報処理カード１００に設定する（Ｓ５０４）。資源の設定とは、例えば、帯域の設定（サービステーブル７００の帯域７１１に基づく）、仮想マシンの起動、及び、仮想マシンへの追加要求された通信サービスの設定等である。

Ｓ５０４の後、制御プログラム７０２は、通信サービスを実行する仮想マシンに割り当てられた資源（コア数、及び、メモリ量）の分を、仮想マシンが起動された情報処理カード１００を示す資源管理テーブル７０１のエントリの、割当済み専有コア数７４３、割当済み共有コア数７４４、及び、割当済みメモリ量７４５に加算する。

そして、制御プログラム７０２は、Ｓ５０３において資源管理テーブル７０１から取得されたＬＴＡＧの値を、資源管理テーブル７０１の未使用ＬＴＡＧ７５１（Ｓ５０１において起動された通信ノード装置１０を示すエントリの未使用ＬＴＡＧ７５１）から削除する。

さらに、制御プログラム７０２は、サービス追加要求に含まれる値を、サービステーブル７００の新たなエントリに格納する。

また、制御プログラム７０２は、サービス追加要求に含まれるテナント７１０の値に基づいて、ＳＴＡＧの値を取得する。なお、制御プログラム７０２は、テナント７１０の値に基づいて、エッジスイッチ１１からＳＴＡＧの値を取得してもよい。

そして、制御プログラム７０２は、取得されたＳＴＡＧの値、取得されたＬＴＡＧの値、及び、Ｓ５０４において起動された仮想マシンに関する値を、サービステーブル７００の新たなエントリのＳＴＡＧ７１６、ＬＴＡＧ７１７、ポート７１８、装置番号７１９、情報処理カード番号７２０、仮想マシン番号７２１、及び、ＶＮＩＣ情報７２２に格納する（Ｓ５０５）。これによって、サービス追加要求によって追加された通信サービスに関するエントリが、サービステーブル７００に追加される。

Ｓ５０５の後、制御プログラム７０２は、通信サービスを実行する所定の順番（ＦＷの次はＷＯＣを実行など）と、サービステーブル７００が示す各テナントに提供される通信サービスと、不揮発性メモリ２１３に保持されていた変換テーブル７０３とを参照し、追加要求された通信サービスを示すエントリを挿入するように、変換テーブル７０３を更新する。

そして、更新された変換テーブル７０３を、転送カード４００の揮発性メモリ４１２と、情報処理カード１００の揮発性メモリ１１２とへ格納する（Ｓ５０６）。なお、Ｓ５０６において、制御プログラム７０２は、制御カード２００の揮発性メモリ２１２又は不揮発性メモリ２１３に、更新された変換テーブル７０３を格納する。

Ｓ５０６の後、制御プログラム７０２は、追加要求された通信サービスを実行する仮想マシンにおいて通信サービスの処理を開始させる（Ｓ５０７）。

Ｓ５０２、Ｓ５０３、又は、Ｓ５０７の後、制御プログラム７０２は、通信ノード装置１０の管理者から通信サービスのサービス削除要求を入力されたか否かを判定する（Ｓ５０８）。サービス削除要求を入力されていないと判定された場合、制御プログラム７０２は、Ｓ５０２に戻る。

サービス削除要求は、通信サービスを削除するテナントを示す識別子（テナント７１０の値）と、削除する通信サービスを示す識別子（サービス７１２の値）とを少なくとも含む。

サービス削除要求を入力されたと判定された場合、制御プログラム７０２は、削除要求された通信サービスを情報処理カード１００において実行するための、情報処理カード１００におけるサービスプログラム（仮想マシンにおけるサービスプログラム）を停止する（Ｓ５０９）。

Ｓ５０９の後、制御プログラム７０２は、サービス削除要求が示すテナントにおいて送受信されるイーサフレームに、サービス削除要求が示す通信サービスを実行しないように、転送カード４００、情報処理カード１００、及び、制御カード２００が有する変換テーブル７０３を更新する（Ｓ５１０）。例えば、制御プログラム７０２は、サービス削除要求が示すテナントに対応するエントリのうち、削除すべき通信サービスを示す値をＳＥＲＶＩＣＥ５２に含むエントリを削除する。

Ｓ５１０の後、制御プログラム７０２は、削除すべき通信サービスに割り当てられていた資源（帯域、コア、メモリ、及びＬＴＡＧ等）を、削除すべき通信サービスを実行していた仮想マシンから開放させる（Ｓ５１１）。

そして、制御プログラム７０２は、サービスプログラムが停止された情報処理カード１００を示す資源管理テーブル７０１のエントリの、割当済み専有コア数７４３、割当済み共有コア数７４４、及び、割当済みメモリ量７４５から、開放された資源量を示す値を減算する。また、制御プログラム７０２は、サービス削除要求に従って、サービステーブル７００からエントリを削除する（Ｓ５１２）。

図９に示す処理によって、通信ノード装置１０に通信サービスが追加又は削除された場合、通信ノード装置１０において、転送カード４００のタグ変換部４１７及び情報処理カード１００のタグ変換部１１７は、新たな変換テーブル７０３に従ったタグ変換処理を開始する。

図１０は、本実施例１の通信ノード装置１０におけるタグ変換処理を示すフローチャートである。

以下に、タグ変換部４１７におけるタグ変換処理を、図１０を用いて説明する。なお、タグ変換部１１７におけるタグ変換処理とタグ変換部４１７におけるタグ変換処理とは、図１０に示す同じフローによって説明される。

通信ノード装置１０の転送カード４００がイーサフレームを受信した場合、ＮＰ・チップセット４１０は、イーサフレームをタグ変換部４１７に入力する（Ｓ５５０）。Ｓ５５０の後、タグ変換部４１７は、揮発性メモリ４１２に保持された変換テーブル７０３を参照する（Ｓ５５１）。

Ｓ５５０及びＳ５５１の処理は、通信ノード装置１０外のＷＡＮ４又はＬＡＮ５からイーサフレーム８２を受信した場合、通信ノード装置１０内の他の転送カード４００からイーサフレーム８２を受信した場合、又は、通信ノード装置１０内の情報処理カード１００からイーサフレーム８６を入力された場合等に行われる処理である。

タグ変換部４１７は、入力されたイーサフレームのＶＬＡＮタグのうち先頭に付加されたタグと、イーサフレームの入力元とを示す値とが、変換テーブル７０３のＩＮ ＴＡＧ４０及びＩＮ ＰＯＲＴ４１に含むエントリと、それぞれ一致するか否かを判定する（Ｓ５５２）。

変換テーブル７０３からエントリに一致するとＳ５５２において判定された場合、タグ変換部４１７は、一致したエントリに複製の指示を示す情報が含まれるか否かを判定する。以下に示す実施例において、タグ変換部４１７は、Ｓ５５２において一致したエントリのＯＵＴ ＴＡＧ５０に二つ以上の値が含まれる場合、複製の指示を示す情報が含まれると判定する。しかし、タグ変換部４１７は、複製の指示を示す情報が含まれるか否かを判定できれば、いかなる方法によって判定してもよい。

一致したエントリに複製の指示を示す情報が含まれない場合、タグ変換部４１７は、Ｓ５５４を実行する。一致したエントリに複製の指示を示す情報が含まれる場合、タグ変換部４１７は、入力されたイーサフレームを複製の指示に従って複製する（Ｓ５５３）。

Ｓ５５３の後、タグ変換部４１７は、拡張タグＶＬＡＮ通信におけるイーサフレームの一番外側のタグを、一致したエントリのＯＵＴ ＴＡＧ４２の値に従って変換する（Ｓ５５４）。そして、一致したエントリのＯＵＴ ＰＯＲＴ４３の値に従って、タグを変換されたイーサフレームを出力する（Ｓ５５５）。

変換テーブル７０３に一致するエントリが無いとＳ５５２において判定された場合、タグ変換部４１７は、ＮＰ・チップセット４１０があらかじめ保持する通常のフォワーディングテーブル（ＭＡＣアドレステーブル又は転送データベース（ＦＤＢ：Ｆｏｒｗａｒｄｉｎｇ Ｄａｔａ Ｂａｓｅ）等と呼ばれる）を参照し、入力されたイーサフレームに対応する宛先へ送信する（Ｓ５５６）。

次に、タグ変換部１１７におけるタグ変換処理を、図１０を用いて説明する。ただし、タグ変換部１１７は、仮想スイッチ１９０から送信されたイーサフレームにタグ変換処理を実行する。

情報処理カード１００が内部スイッチ３００側からイーサフレームを受信した場合、プロセッサ１１０は、受信したイーサフレームを仮想スイッチ１９０に処理させる。仮想スイッチ１９０は、イーサフレームを受信した場合、イーサフレームの一番外側のＶＬＡＮタグを削除する。そして、仮想スイッチ１９０は、揮発性メモリ１１２にあらかじめ保持されたフォワーディングテーブルに従って、一番外側のＶＬＡＮタグが削除されたイーサフレームを、仮想マシンへ転送する。

また、仮想スイッチ１９０が、仮想マシンからイーサフレームを受信した場合、仮想スイッチ１９０は、イーサフレームにＶＬＡＮタグ（本例ではＬＴＡＧに相当する）を付加する。そして、ＶＬＡＮタグを付加されたイーサフレームを、揮発性メモリ１１２にあらかじめ保持されたフォワーディングテーブルに従って、チップセット１１１に転送する。

チップセット１１１のタグ変換部１１７は、仮想スイッチ１９０からイーサフレームを入力された場合（Ｓ５５０）、揮発性メモリ１１２に保持された変換テーブル７０３を参照する（Ｓ５５１）。そして、タグ変換部１１７は、タグ変換部４１７によるＳ５５２〜Ｓ５５５の処理と同じ処理を実行する。

なお、タグ変換部１１７によるＳ５５２において、エントリが一致しない場合とは、変換テーブル７０３の生成が失敗であった等の場合のみである。正常に変換テーブル７０３が生成されている場合、タグ変換部１１７は、Ｓ５５２において一致するエントリをみつけることができる。

タグ変換部１１７は、Ｓ５５５において、当該タグ変換部１１７を有する情報処理カード１００（すなわち、タグ変換処理中の情報処理カード１００上の仮想スイッチ１９０）、または、当該タグ変換部１１７を有する情報処理カード１００とは別の情報処理カード１００（すなわち、タグ変換処理中の情報処理カード１００とは別の情報処理カード１００上の仮想スイッチ１９０）、または、転送カード４００に、イーサフレームを出力する。

図１０に示すフローチャートの具体例を以下に示す。

図１１は、本実施例１のタグ変換処理の具体例を示す説明図である。

図１１に示す処理は、Ａ社の仮想ネットワーク通信（拡張タグＶＬＡＮ通信を用いた広域イーサネット）に通信サービスとしてファイアウォール（ＦＷ）とＷＡＮ最適化（ＷＯＣ）とを適用する場合の、通信ノード装置１０における処理である。

図１１に示す通信ノード装置１０は、ＷＡＮ４からイーサフレーム８２−１を入力され、ＬＡＮ５へイーサフレーム８２−２を出力する。

図１２は、本実施例１のタグ変換されるイーサフレームの具体例を示す説明図である。

図１１に示すイーサフレーム８２−１は、図４に示すイーサフレーム８２と同じく、ＭＡＣ ＤＡ９０、ＭＡＣ ＳＡ９１、ＳＴＡＧ９６、ＣＴＡＧ９５、タイプ９２、Ｌ２ペイロード９３、及び、ＦＣＳ９４を含む。図１１に示すＳＴＡＧ９６のＶＩＤ３４は"０ｘ０００Ａ"であり、"０ｘ０００Ａ"はＡ社を示すＶＩＤ３４の識別子である。

転送カード４００−１のＮＰ・チップセット４１０が図１２に示す拡張タグＶＬＡＮのイーサフレーム８２−１をＷＡＮ４から入力された場合（Ｓ５５０）、タグ変換部４１７−１は、揮発性メモリ４１２に保持される図８に示す変換テーブル７０３を参照する（Ｓ５５１）。

Ｓ５５１の後、タグ変換部４１７−１は、イーサフレーム８２−１が変換テーブル７０３のエントリ７６２（ＩＮ ＴＡＧ４０がＶＩＤ＝"０ｘ０００Ａ"のＳＴＡＧ９６、かつ、ＩＮ ＰＯＲＴ４１がＷＡＮ４）に一致すると判定する（Ｓ５５２）。エントリ７６２のＯＵＴ ＴＡＧ５０の値は一つであるため（Ｓ５５３）、タグ変換部４１７−１は、イーサフレーム８２−１のＳＴＡＧ９６を、ＶＩＤ３４が"０ｘ００１Ａ"であるＬＴＡＧ９７に、エントリ７６２に従って変換する。この変換によって、図１２に示すイーサフレーム８３が生成される（Ｓ５５４）。

Ｓ５５４の後、タグ変換部４１７−１は、エントリ７６２のＯＵＴ ＰＯＲＴ５１に従って、イーサフレーム８３を内部スイッチ３００に出力する（Ｓ５５５）。内部スイッチ３００は、イーサフレーム８３を入力された場合、イーサフレーム８３のＬＴＡＧ９７のＶＩＤ３４が"０ｘ００１Ａ"に相当する仮想マシンのＶＮＩＣ（すなわち、ＶＮＩＣ１２３）が割り当てられた情報処理カード１００を特定し、特定された情報処理カード１００に向けて、イーサフレーム８３を転送する。

情報処理カード１００は、イーサフレーム８３を入力された場合、仮想スイッチ１９０によって一番外側のＶＬＡＮタグ（図１１におけるＬＴＡＧ９７）を削除してイーサフレーム８１−１とし、削除したＶＬＡＮタグ（この場合はＬＴＡＧ９７）のＶＩＤ３４の値である"０ｘ００１Ａ"に相当するＶＮＩＣ１２３へイーサフレーム８１−１を入力する。このときイーサフレーム８１−１は、ＣＴＡＧ９５のみが付与された形式となっている。

こうして、仮想マシン１２０のゲストＯＳ１２２上のＡ社ファイアウォールサービスプログラム１２１は、ＶＮＩＣ１２３から入力されたイーサフレーム８１−１に対してファイアウォールサービスを実行することができる。ここまでの操作によって、Ａ社ファイアウォールサービスプログラム１２１に入力されるイーサフレームは、Ａ社内で用いられるＣＴＡＧ９５のみが付与された形式となっている。このため、Ａ社のイーサフレーム、かつ、該当サービス（この場合はファイアウォールサービス）を適用すべきイーサフレームのみとなっていることが保証されており、他社のイーサフレームが混ざったり、該当サービスを適用すべきでないイーサフレームが混ざったりする心配はない。他の仮想マシンも、この点において仮想マシン１２０と同じであり、ＣＴＡＧ９５のみを付加されたイーサフレーム８１に対して通信サービスを実行する。

イーサフレーム８１−１がＡ社ファイアウォールサービスプログラム１２１を通過できるイーサフレームであった場合（すなわち、ファイアウォールによってブロックされなかった場合）、仮想マシン１２０は、ＶＮＩＣ１２４から仮想スイッチ１９０にイーサフレーム８１−１を出力する。

仮想スイッチ１９０は、ＶＮＩＣ１２４からイーサフレーム８１−１を受信した場合、ＶＮＩＣ１２４に対応するＬＴＡＧ９７（ＶＩＤ３４が"０ｘ００２Ａ"）を、イーサフレーム８１−１に付加する。これによって、図１２に示すイーサフレーム８４が生成される。そして、仮想マシン１２０は、イーサフレーム８４をチップセット１１１に送信する。チップセット１１１は、イーサフレーム８４をタグ変換部１１７に入力する。

タグ変換部１１７がイーサフレーム８４を入力された場合（Ｓ５５０）、タグ変換部１１７は、図１０のＳ５５１〜Ｓ５５５の処理を実行する。タグ変換部１１７は、Ｓ５５２において、イーサフレーム８４が変換テーブル７０３のエントリ７６３（ＩＮ ＴＡＧ４０がＶＩＤ＝"０ｘ００２Ａ"のＬＴＡＧ９７、かつ、ＩＮ ＰＯＲＴ４１がＣＡＲＤ＃１（同じ情報処理カード１００））に一致すると判定する。

そして、エントリ７６３のＯＵＴ ＴＡＧ５０の値は一つであるため（Ｓ５５３）、タグ変換部１１７は、エントリ７６３のＯＵＴ ＴＡＧ５０に従ってＬＴＡＧ９７をＶＩＤ３４が"０ｘ００３Ａ"であるＬＴＡＧ９７に変換する。この変換によって、図１２に示すイーサフレーム８５が生成される（Ｓ５５４）。

タグ変換部１１７は、エントリ７６３のＯＵＴ ＰＯＲＴ５１に従って、イーサフレーム８５を内部スイッチ３００へ送信する。

内部スイッチ３００は、イーサフレーム８５を受信した場合、イーサフレーム８５の入力元（情報処理カード１００）とＬＴＡＧ９７のＶＩＤ３４が"０ｘ００３Ａ"に該当する仮想マシンのＶＮＩＣ（すなわち、ＶＮＩＣ１３３）が割り当てられた宛先を情報処理カード１００であると特定し、特定された情報処理カード１００へ向けてイーサフレーム８５を転送する。

情報処理カード１００は、イーサフレーム８５を受信すると、仮想スイッチ１９０によって一番外側のＶＬＡＮタグを削除してイーサフレーム８１−２とし、削除したＶＬＡＮタグのＶＩＤ３４の値である"０ｘ００３Ａ"に相当するＶＮＩＣ１３３へイーサフレームを入力する。このときイーサフレーム８１−２は、ＣＴＡＧ９５のみが付与された形式となっている。

こうして、仮想マシン１３０のゲストＯＳ１３２上のＡ社ＷＡＮ最適化サービスプログラム１３１は、ＶＮＩＣ１３３から入力されたイーサフレーム８１−２に対してＷＡＮ最適化サービスを実行することができる。

Ａ社ＷＡＮ最適化サービスプログラム１３１において、イーサフレーム８１−２がＬＡＮ方向に通過するイーサフレームとして処理された場合、イーサフレーム８１−２は、ＶＮＩＣ１３４から仮想スイッチ１９０に出力される。そして、仮想スイッチ１９０は、入力元であるＶＮＩＣ１３４に対応するＬＴＡＧ９７（ＶＩＤ３４が"０ｘ００４Ａ"）を、イーサフレーム８１−２に付加する。これによって、図１２に示すイーサフレーム８６が生成される。そして、仮想スイッチ１９０は、イーサフレーム８６をチップセット１１１に入力する。

チップセット１１１のタグ変換部１１７は、イーサフレーム８６が入力された場合（Ｓ５５０）、図１０に示す処理を実行する。しかし、Ｓ５５２において、タグ変換部１１７は、変換テーブル７０３に一致するエントリが存在しないと判定する。このため、タグ変換部１１７は、あらかじめ保持されたフォワーディングテーブルに従い、内部スイッチ３００にイーサフレーム８６を出力する（Ｓ５５６）。

内部スイッチ３００は、イーサフレーム８６の入力元（情報処理カード１００）とＬＴＡＧのＶＩＤ３４が"０ｘ００４Ａ"とに対応する出力先を転送カード４００−２である特定し、特定された出力先にイーサフレーム８６を出力する。

転送カード４００−２のＮＰ・チップセット４１０がイーサフレーム８６を入力された場合（Ｓ５５０）、タグ変換部４１７−２は、図１０に示す処理を開始する。タグ変換部４１７−２は、イーサフレーム８６が変換テーブル７０３のエントリ７６４（ＩＮ ＴＡＧ４０がＶＩＤ３４＝"０ｘ００４Ａ"のＬＴＡＧ９７、かつ、ＩＮ ＰＯＲＴ４１がＣＡＲＤ＃１（情報処理カード１００））に一致すると判定する（Ｓ５５２）。

エントリ７６４のＯＵＴ ＴＡＧ５０の値は一つであるため（Ｓ５５３）、タグ変換部４１７−２は、イーサフレーム８６のＬＴＡＧ９７を、ＶＩＤ３４が"０ｘ０００Ａ"であるＳＴＡＧ９６に、エントリ７６４に従って変換する。この変換によって、イーサフレーム８２−２が生成される（Ｓ５５４）。

タグ変換部４１７−２は、エントリ７６４のＯＵＴ ＰＯＲＴ５１に従って、イーサフレーム８２−２を、転送カード４００−２からＬＡＮ５へ出力する（Ｓ５５５）。

以上の処理により、Ａ社の仮想ネットワークサービス（拡張タグＶＬＡＮを利用した広域イーサネット）に、通信サービスを適用することが可能である。

図１０に示す処理の別の具体例を以下に示す。

図１３は、本実施例１のイーサフレームの複製を伴うタグ変換処理の具体例を示す説明図である。

図１３に示す処理は、Ｂ社の仮想ネットワーク通信（拡張タグＶＬＡＮ通信を用いた広域イーサネット）に通信サービスとして侵入検知（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）とＷＡＮ最適化とを適用する場合の、通信ノード装置１０における処理である。

図１３に示す通信ノード装置１０は、ＷＡＮ４からイーサフレーム７２を入力され、ＬＡＮ５へイーサフレーム７２を出力する。

図１４は、本実施例１のタグ変換処理時に複製されるイーサフレームの具体例を示す説明図である。

図１４に示すイーサフレーム７２−１は、図４に示すイーサフレーム８２と同じく、ＭＡＣ ＤＡ９０、ＭＡＣ ＳＡ９１、ＳＴＡＧ９６、ＣＴＡＧ９５、タイプ９２、Ｌ２ペイロード９３、及び、ＦＣＳ９４を含む。図１４に示すＳＴＡＧ９６のＶＩＤ３４は、"０ｘ０００Ｂ"であり、"０ｘ０００Ｂ"はＢ社を示すＶＩＤ３４の識別子である。

転送カード４００−１のＮＰ・チップセット４１０が図１３に示す拡張タグＶＬＡＮのイーサフレーム７２をＷＡＮ４から入力された場合、タグ変換部４１７−１は、揮発性メモリ４１２に保持される図８に示す変換テーブル７０３を参照する（Ｓ５５１）。

Ｓ５５１の後、タグ変換部４１７−１は、イーサフレーム７２が変換テーブル７０３のエントリ７６５（ＩＮ ＴＡＧ４０がＶＩＤ＝"０ｘ０００Ｂ"のＳＴＡＧ９６、かつ、ＩＮ ＰＯＲＴ４１がＷＡＮ４）に一致すると判定する（Ｓ５５２）。Ｓ５５２の後、タグ変換部４１７−１は、エントリ７６５のＯＵＴ ＴＡＧ５０に二つの値が格納されているため、エントリ７６５に従って、イーサフレーム７２を二つに複製する（Ｓ５５３）。

Ｓ５５３の後、タグ変換部４１７−１は、複製されたうちの一つのイーサフレーム７２のＳＴＡＧ９６を、ＶＩＤ３４が"０ｘ００５Ｂ"であるＬＴＡＧ９７に変換する。この変換によって、図１４に示すイーサフレーム７３が生成される。

また、タグ変換部４１７−１は、複製されたうちの別のイーサフレーム７２のＳＴＡＧ９６を、ＶＩＤ３４が"０ｘ００７Ｂ"であるＬＴＡＧ９７に変換する。この変換によって、図１４に示すイーサフレーム７５が生成される（Ｓ５５４）。

Ｓ５５４の後、タグ変換部４１７−１は、エントリ７６５のＯＵＴ ＰＯＲＴ５１に従って、イーサフレーム７３及びイーサフレーム７５を内部スイッチ３００に出力する（Ｓ５５５）。

内部スイッチ３００は、イーサフレーム７５を受信した場合、イーサフレーム７５の入力元とＬＴＡＧ９７のＶＩＤ３４の値である"０ｘ００７Ｂ"に該当する仮想マシンのＶＮＩＣ１５３が割り当てられた宛先を情報処理カード１００であると特定し、特定された情報処理カード１００に向けてイーサフレーム７５を転送する。

情報処理カード１００は、イーサフレーム７５を受信すると、仮想スイッチ１９０によって一番外側のＶＬＡＮタグを削除してイーサフレーム７１とし、削除したＶＬＡＮタグのＶＩＤ３４の値である"０ｘ００７Ｂ"に相当するＶＮＩＣ１５３へイーサフレーム７１を転送する。このときイーサフレーム７１は、ＣＴＡＧ９５のみが付与された形式となっている。

こうして、仮想マシン１５０のゲストＯＳ１５２上のＢ社ＩＤＳサービスプログラム１５１は、ＶＮＩＣ１５３から入力されたイーサフレーム７１に対してＩＤＳサービスを実行することができる。

なお、Ｂ社ＩＤＳサービスプログラム１５１による処理の結果は、イーサフレームとしてＬＡＮ５に送信されず、仮想マシン１５０（実際には情報処理カード１００）に蓄積される。このため、管理者等は、Ｂ社ＩＤＳサービスプログラム１５１による処理の結果を、ＶＮＩＣ１５３経由で収集してもよく、また、別のＶＮＩＣポートを設定することによって収集してもよい。

また、内部スイッチ３００は、イーサフレーム７３を入力された場合、イーサフレーム７３の入力元とＬＴＡＧ９７のＶＩＤ３４の値である"０ｘ００５Ｂ"に該当する仮想マシンのＶＮＩＣが割り当てられた宛先を情報処理カード１００であると特定し、特定された情報処理カード１００へイーサフレーム７３を転送する。

情報処理カード１００は、イーサフレーム７３を受信すると、仮想スイッチ１９０によって一番外側のＶＬＡＮタグを削除してイーサフレーム７１とし、削除したＶＬＡＮタグのＶＩＤ３４の値である"０ｘ００５Ｂ"に相当するＶＮＩＣ１５３へイーサフレーム７１を転送する。このときイーサフレーム７１は、ＣＴＡＧ９５のみが付与された形式となっている。

こうして、仮想マシン１４０のゲストＯＳ１４２上のＢ社ＷＡＮ最適化サービスプログラム１４１は、ＶＮＩＣ１５３から入力されたイーサフレーム７１に対してＷＡＮ最適化サービスを実行することができる。

Ｂ社ＷＡＮ最適化サービスプログラム１４１において、イーサフレーム７１がＬＡＮ方向に通過するイーサフレームとして処理された場合、イーサフレーム７１は、ＶＮＩＣ１４４から仮想スイッチ１９０に出力される。そして、仮想スイッチ１９０は、入力元であるＶＮＩＣ１４４に対応するＬＴＡＧ９７（ＶＩＤ３４が"０ｘ００６Ｂ"）を、イーサフレーム７１に付加する。これによって、図１４に示すイーサフレーム７４が生成される。そして、仮想スイッチ１９０は、イーサフレーム７４をチップセット１１１に入力する。

チップセット１１１のタグ変換部１１７は、イーサフレーム７４が入力された場合（Ｓ５５０）、図１０に示す処理を実行する。しかし、Ｓ５５２において、タグ変換部１１７は、変換テーブル７０３に一致するエントリが存在しないと判定する。このため、タグ変換部１１７は、あらかじめ保持されたフォワーディングテーブルに従い、内部スイッチ３００にイーサフレーム７４を出力する（Ｓ５５６）。

内部スイッチ３００は、イーサフレーム７４が入力された場合、入力元の情報とＬＴＡＧ９７のＶＩＤ３４"０ｘ００６Ｂ"とに相当する出力先を転送カード４００−２であると特定し、特定された出力先にイーサフレーム７４を出力する。

転送カード４００−２のＮＰ・チップセット４１０がイーサフレーム７４を受信した場合（Ｓ５５０）、タグ変換部４１７−２は、図１０に示す処理を開始する。タグ変換部４１７−２は、イーサフレーム７４が変換テーブル７０３のエントリ７６６（ＩＮ ＴＡＧ４０がＶＩＤ３４＝"０ｘ００６Ｂ"のＬＴＡＧ９７、かつ、ＩＮ ＰＯＲＴ４１がＣＡＲＤ＃１（情報処理カード１００））に一致すると判定する（Ｓ５５２）。

エントリ７６６のＯＵＴ ＴＡＧ５０の値は一つであるため（Ｓ５５３）、タグ変換部４１７−２は、イーサフレーム７４のＬＴＡＧ９７を、ＶＩＤ３４が"０ｘ０００Ｂ"であるＳＴＡＧ９６に、エントリ７６６に従って変換する。この変換によって、イーサフレーム７２が生成される。

タグ変換部４１７−２は、エントリ７６６のＯＵＴ ＰＯＲＴ５１に従って、イーサフレーム７２を、転送カード４００−２からＬＡＮ５へ出力する（Ｓ５５５）。

以上の処理により、Ｂ社の仮想ネットワークサービス（拡張タグＶＬＡＮを利用した広域イーサネット）に、通信サービスを適用することが可能である。

図１１に示す処理の変形例を以下に記載する。

図１５は、本実施例１の通信サービスを連続して実行する場合のタグ変換処理を示す説明図である。

図１１に示すＡ社向けの通信サービス（仮想マシン１２０におけるＦＷ及び仮想マシン１３０におけるＷＯＣ）のように、同一の情報処理カード１００の同一のプロセッサ１１０が複数の通信サービスを連続的に実行する場合、管理者は、二つの通信サービス間（すなわち、二つの仮想マシン間）で、仮想スイッチ１９０がＬＴＡＧ９７を付加する処理を削除してもよい。

そして、管理者は、二つの通信サービスの出力のＶＮＩＣと入力のＶＮＩＣとを共通の仮想スイッチによって接続するように設定し、一つの通信サービスによる処理が終了したイーサフレーム（ＣＴＡＧ９５のみが付加されたイーサフレーム）を、別の通信サービスによる処理を実行する仮想マシンに直接送信するようにしてもよい。これによって、タグ変換部１１７によるタグ変換処理が削減され、迅速な処理が可能となる。

例えば、図１５に示すように、管理者が、Ａ社ファイアウォールサービスプログラム１２１のＶＮＩＣ１２４とＡ社ＷＡＮ最適化サービスプログラム１３１のＶＮＩＣ１３３との間においてのみイーサフレームが通信されるように、仮想スイッチ１９０を設定する。これによって、タグ変換部１１７においてＬＴＡＧ４７は付加されないため、二つの仮想マシンはＣＴＡＧ９５のみが付加されたイーサフレーム８１を利用することができる。

図１５に示す処理は、例えば、管理者が、仮想スイッチ１９０に、ＶＮＩＣ１２４の出力がＶＮＩＣ１３３の入力となるように、ＶＮＩＣ１３３の出力がＶＮＩＣ１２４の入力となるように設定することによって実装可能である。ここで実装される仮想スイッチ１９０は、ＶＮＩＣ１２４又は物理ＮＩＣなどのインタフェースからイーサフレームを受信した場合、揮発性メモリ１１２に格納されるフォワーディングテーブルを参照しイーサフレームを転送したり、ＶＬＡＮタグの付加及び削除をしたりする。それ以外の処理は、図１１に示す処理と同じである。

前述の本実施例のシステムと比較するためのシステム構成を、図１６に示す。

図１６は、本実施例１の通信サービスを提供するためのシステム構成との比較例を示すブロック図である。

図１６が示すシステム構成は、通信事業者が広域イーサネット上でＷＡＮ最適化及びファイアウォールなどの通信サービスを提供する形態を示す。

図１に示すシステム構成と図１６に示すシステム構成との相違点を以下に示す。相違点の一つ目は、図１６に示す通信局舎３が通信ノード装置１０−２を有さず、データセンタ１が通信ノード装置１０−１を有さない点である。また、相違点の二つ目は、エッジスイッチ１１−２と各社のＬＡＮスイッチ２１との間にテナント（顧客）毎に独立したアプライアンス９５０（９５０−３、９５０−４）が接続される点である。また、相違点の三つ目は、エッジスイッチ１１−１と各社のＬＡＮスイッチ１２との間にテナント（顧客）毎に独立したアプライアンス９５０（９５０−１、９５０−２）が接続される点である。

図１６に示すアプライアンス９５０を通信事業者が提供した場合、各アプライアンス９５０はテナント間で独立しているため、Ａ社もＢ社も、自社向けの通信サービスを通信事業者から提供される広域イーサネットにおいて利用することができる。

通信サービスを提供されるテナント（顧客）が少数である場合、通信事業者は、図１６に示すシステム構成を用いることによって、各テナント独自の通信サービスを提供することができる。しかし、テナントが多数である場合、図１６に示すシステムでは、必要とするアプライアンス９５０の数が多数となり、設備コスト及び運用コストの増大を招くことになる。

一方、本実施例１の図１に示すシステム構成は、通信サービスを提供するための仮想マシンが通信ノード装置１０（１０−１、１０−２）に備わるため、必要な通信ノード装置１０（アプライアンスに相当）の数を低減できる。このため、本実施例１によれば、通信事業者は、通信サービスを提供するための設備を構築するためのコストを低減できる。

前述のとおり、本実施例１によれば、通信ノード装置１０において、テナント、及びＶＬＡＮ等の複数の仮想ネットワークを識別するＳＴＡＧを、通信ノード装置１０における処理のためのＬＴＡＧに変換することによって、複数の仮想ネットワークを収容するネットワークにおいて、通信サービスを仮想ネットワーク毎に提供することができる。

また、通信サービスを実行する装置を、各テナント間で共有の通信ノード装置１０の仮想マシンによって実行することによって、通信事業者の設備コスト及び運用コストを低減することができる。

実施例２におけるネットワークシステムは、実施例１に示す通信ノード装置１０を、タグ変換装置とスイッチとサーバとを備えるシステムに置き換えたシステムである。

図１７は、本実施例２のタグ変換処理を実行するシステムを示すブロック図である。

図１７に示す通信事業者網（ＷＡＮ）４及びデータセンタ１は、図１に示すＷＡＮ４及びデータセンタ１に相当する。図１７に示すデータセンタ１は、図１に示す通信ノード装置１０に相当する通信ノードシステム１０００を有する。

通信ノードシステム１０００は、タグ変換装置１４、複数のスイッチ１５（１５−１〜１５−Ｍ、Ｍは任意の正数）、及び、複数のサービス提供装置１６（１６−１〜１６−Ｎ、Ｎは任意の正数）を有する。

タグ変換装置１４は、ＷＡＮ４とエッジスイッチ１１との間に設置され、タグ変換装置１４を通過する拡張タグＶＬＡＮ通信のイーサフレームを横取りする。そして、タグ変換装置１４は、インタセプトされたイーサフレームが通信サービスを適用するイーサフレームである場合、イーサフレームの最外部のＶＬＡＮタグをＳＴＡＧ９６からＬＴＡＧ９７に変換する。そして、タグ変換装置１４は、スイッチ１５経由で適用される通信サービスが稼働するサービス提供装置１６へイーサフレームを転送する。

また、サービス提供装置１６から送信された通信サービス実行済みのイーサフレームを検査し、イーサフレームに更なる通信サービスを実行する必要がある場合、タグ変換装置１４は、再度、適用される通信サービスのポートに対応するＬＴＡＧにイーサフレームのＬＴＡＧ９７を変換する。そして、タグ変換装置１４は、スイッチ１５経由で適用される通信サービスが稼働するサービス提供装置１６へイーサフレームを転送する。

また、サービス提供装置１６から送信されたクラウド向けサービス実行済みのイーサフレームを検査し、イーサフレームに更なる通信サービスを実行する必要がない場合、タグ変換装置１４は、イーサフレームのＬＴＡＧ９７を元のＳＴＡＧ９６に変換する。そして、タグ変換装置１４は、ＷＡＮ４又はエッジスイッチ１１へイーサフレームを転送する。

図１８は、本実施例２のタグ変換装置１４の物理的な構成と、物理的な構成によって実装される論理的な構成とを示すブロック図である。

タグ変換装置１４は、図２に示す通信ノード装置１０の制御カード２００と転送カード４００との機能を持つ。具体的には、タグ変換装置１４は、プロセッサ２１０、ＮＰ・チップセット４１０、揮発性メモリ２１２、揮発性メモリ４１２、及び、不揮発性メモリ４１３を有する。

プロセッサ２１０は、例えば、ＣＰＵ等であり、揮発性メモリ２１２に展開されたプログラム等を実行するための演算装置である。揮発性メモリ２１２は、制御プログラム７０２、サービステーブル７００、及び、資源管理テーブル７０１を保持する。

ＮＰ・チップセット４１０は、イーサフレームに関する処理を行う。ＮＰ・チップセット４１０はタグ変換部４１７を有する。タグ変換部４１７は、実施例１の図１０に示す処理と同じ処理を実行する。

揮発性メモリ４１２は、イーサフレームを一時的に保持したり、変換テーブル７０３、及び、フォワーディングテーブル等の各種のテーブル情報を保持したりする記憶領域である。不揮発性メモリ４１３は、タグ変換装置１４の設定情報を保持する記憶領域である。

実施例２のサービステーブル７００、資源管理テーブル７０１、及び、変換テーブル７０３は、実施例１のサービステーブル７００、資源管理テーブル７０１、及び、変換テーブル７０３と同じである。また、実施例２の制御プログラム７０２も、実施例１の制御プログラム７０２と同じである。

図１９は、本実施例２のサービス提供装置１６の物理的な構成と、物理的な構成によって実装される論理的な構成とを示すブロック図である。

サービス提供装置１６は、図２に示す通信ノード装置１０の情報処理カード１００に相当し、汎用的なＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）サーバによって実装されてもよい。サービス提供装置１６は、プロセッサ１１０、揮発性メモリ１１２、物理ＮＩＣ１１４、及び、不揮発性メモリ１１３を有する。

プロセッサ１１０は、例えば、ＣＰＵ等の演算装置であり、通信サービスのプログラムを実行する演算装置である。物理ＮＩＣ（ネットワークインタフェース）１１４は、イーサフレームの送受信を行う。揮発性メモリ１１２は、イーサフレームを一時的に保持したり、各種のテーブル情報を保持したり、プログラムを展開されたりする。不揮発性メモリ１１３は、設定情報、プログラム、及び、ＯＳ等を保持する記憶領域である。

サービス提供装置１６は、サービス提供装置１６が有する物理的な構成を接続するための内部バス１１５を有する。

サービス提供装置１６のプロセッサ１１０と揮発性メモリ１１２とは、マルチテナントに通信サービスを提供するため、仮想化ソフトによって、複数の仮想マシンとそれらを接続する仮想スイッチ１９０とを実装する。図１９に示すサービス提供装置１６は、実施例１の情報処理カード１００と同じく仮想マシン１２０、１３０、１４０、及び、１５０を有する。

図２０は、本実施例２の変換テーブル７０３の例を示す説明図である。

図２０の変換テーブル７０３は、実施例１の変換テーブル７０３と同じく、図９に示す処理によってサービステーブル７００に基づいて生成されたテーブルである。図２０に示す変換テーブル７０３は、エントリ７０３１〜エントリ７０３３を含む。

実施例２の変換テーブル７０３と、実施例１の変換テーブル７０３との相違点は以下である。相違点は、実施例２の変換テーブル７０３のＩＮ ＰＯＲＴ４１及びＯＵＴ ＰＯＲＴ５１が、スイッチ１５を示す値を含む点である。

図２１は、本実施例２のタグ変換処理の具体例を示す説明図である。

図２１に示す処理は、Ａ社の仮想ネットワーク通信（拡張タグＶＬＡＮ通信を用いた広域イーサネット）に通信サービスとしてファイアウォール（ＦＷ）とＷＡＮ最適化（ＷＯＣ）とを適用する場合の、実施例２のデータセンタ１における処理である。

図２１に示すタグ変換装置１４は、ＷＡＮ４からイーサフレーム８２−１を入力され、エッジスイッチ１１へイーサフレーム８２−２を出力する。また、図２１に示す通信ノードシステム１０００において、サービス提供装置１６−１が仮想マシン１２０を有し、サービス提供装置１６−２が仮想マシン１３０を有する。

図２１に示す処理において変換されるイーサフレームは、図１２に示すイーサフレームと同じである。

ＳＴＡＧ９６のＶＩＤ３４が"０ｘ０００Ａ"であるイーサフレーム８２−１がＷＡＮ４のポートから入力された場合（Ｓ５５０）、タグ変換装置１４のタグ変換部４１７は、図１０に示すＳ５５１〜Ｓ５５５を実行する。

具体的には、タグ変換部４１７は、Ｓ５５１〜Ｓ５５４において、図２０に示す変換テーブル７０３のエントリ７０３１に従って、ＶＩＤ３４に"０ｘ００１Ａ"を含むＬＴＡＧ９７にイーサフレーム８２−１のＳＴＡＧ９６を変換し、これによってイ−サフレーム８３を生成する。また、タグ変換部４１７は、Ｓ５５５において、エントリ７０３１のＯＵＴ ＰＯＲＴ５１が示す値（スイッチ１５−１）に従って、イーサフレーム８３をスイッチ１５−１に出力する。

スイッチ１５−１は、イーサフレーム８３のＬＴＡＧ９７のＶＩＤ３４"０ｘ００１Ａ"に該当するＶＮＩＣを有するサービス提供装置１６−１を特定する。そして、スイッチ１５−１は、特定されたサービス提供装置１６−１へ、イーサフレーム８３を転送する。

さらに、サービス提供装置１６−１上の仮想スイッチ１９０−１は、イーサフレーム８３を入力された場合、イーサフレーム８３の一番外側のＶＬＡＮタグ（この例ではＬＴＡＧ９７）を削除し、これによって、図１２に示すイーサフレーム８１−１を生成する。そして、仮想スイッチ１９０−１は、削除したＬＴＡＧ９７のＶＩＤ３４"０ｘ００１Ａ"に基づいて、Ａ社ファイアウォールサービスプログラム１２１を実行する仮想マシン１２０のＶＮＩＣ１２３へ、イーサフレーム８１−１を送信する。

イーサフレーム８１−１がＡ社ファイアウォールサービスプログラム１２１を通過できるイーサフレームであった場合、ＶＮＩＣ１２４からイーサフレーム８１−１が仮想スイッチ１９０−１に出力される。そして、仮想スイッチ１９０−１は、ＶＮＩＣ１２４に対応するＶＩＤ３４が"０ｘ００２Ａ"であるＬＴＡＧ９７をイーサフレーム８１−１に付加し、これによって、図１２に示すイーサフレーム８４を生成する。

仮想スイッチ１９０−１は、イーサフレーム８４をスイッチ１５−１に送信する。スイッチ１５−１は、イーサフレーム８４をタグ変換装置１４に転送する。タグ変換装置１４がスイッチ１５−１からイーサフレーム８４を入力された場合（Ｓ５５０）、タグ変換部４１７は、図１０に示すＳ５５１〜Ｓ５５５を実行する。

具体的には、タグ変換部４１７は、Ｓ５５１〜Ｓ５５４において、図２０に示す変換テーブル７０３のエントリ７０３２に従って、ＶＩＤ３４が"０ｘ００３Ａ"であるＬＴＡＧ９７にイーサフレーム８４のＬＴＡＧ９７を変換し、これによって、イーサフレーム８５を生成する。また、タグ変換部４１７は、Ｓ５５５において、エントリ７０３２のＯＵＴ ＰＯＲＴ５１が示す値（スイッチ１５−１）に従って、イーサフレーム８５をスイッチ１５−１に出力する。

スイッチ１５−１は、入力元（タグ変換装置１４）とＬＴＡＧ９７のＶＩＤ３４が"０ｘ００３Ａ"に該当する通信サービスが適用されるサービス提供装置１６−２を特定し、特定されたサービス提供装置１６−２へイーサフレーム８５を転送する。

さらに、サービス提供装置１６−２上の仮想スイッチ１９０−２は、イーサフレーム８５を入力された場合、イーサフレーム８５の一番外側のＶＬＡＮタグ（この例ではＬＴＡＧ９７）を削除し、これによって、図１２に示すイーサフレーム８１−２を生成する。そして、仮想スイッチ１９０−２は、削除したＬＴＡＧ９７のＶＩＤ３４"０ｘ００３Ａ"に基づいて、Ａ社ＷＡＮ最適化サービスプログラム１３１を実行する仮想マシン１３０のＶＮＩＣ１３３へ、イーサフレーム８１−２を送信する。

Ａ社ＷＡＮ最適化サービスプログラム１３１において、イーサフレーム８１−２がＬＡＮ方向に通過するイーサフレームとして処理された場合、イーサフレーム８１−２は、ＶＮＩＣ１３４から仮想スイッチ１９０−２に出力される。そして、ＶＮＩＣ１３４に対応するＶＩＤ３４が"０ｘ００４Ａ"であるＬＴＡＧ９７をイーサフレーム８１−２に付加し、これによって、図１２に示すイーサフレーム８６を生成する。

仮想スイッチ１９０−２は、イーサフレーム８６をスイッチ１５−１に送信する。スイッチ１５−１は、イーサフレーム８６をタグ変換装置１４に転送する。タグ変換装置１４がスイッチ１５−１からイーサフレーム８６を入力された場合（Ｓ５５０）、タグ変換部４１７は、図１０に示すＳ５５１〜Ｓ５５５を実行する。

具体的には、タグ変換部４１７は、Ｓ５５１〜Ｓ５５４において、図２０に示す変換テーブル７０３のエントリ７０３３に従って、ＶＩＤ３４が"０ｘ０００Ａ"であるＳＴＡＧ９６にイーサフレーム８６のＬＴＡＧ９７を変換し、これによって、イーサフレーム８２−２を生成する。また、タグ変換部４１７は、エントリ７０３３のＯＵＴ ＰＯＲＴ５１が示す値（ＬＡＮ）に従って、タグ変換装置１４からＬＡＮ５（エッジスイッチ１１）へイーサフレーム８２−２を出力する。

以上の操作により、Ａ社の仮想ネットワークサービス（拡張タグＶＬＡＮを利用した広域イーサネット）に、通信サービスを適用することが可能である。また、ＬＴＡＧは通常のＶＬＡＮタグと同じフォーマットであるため、標準的なスイッチ及びＰＣサーバを利用して実施例２のシステムを構成することが可能である。

また、実施例２において、タグ変換処理はタグ変換装置１４においてのみ行われる。また、変換テーブル７０３も、タグ変換装置１４のみが保持する。これによって、実施例２によれば、サービス提供装置１６が遠隔に配置される場合においても、通信事業者はタグ変換装置１４のみを管理することによって、仮想ネットワークサービスに通信サービスを提供できる。

なお、実施例１に示す通信ノード装置１０、及び、実施例２で示す通信ノードシステム１０００において、仮想ネットワークの識別子として、拡張タグＶＬＡＮ以外を利用してもよい。以下に、拡張タグＶＬＡＮ以外のイーサフレームを用いる例を記載する。

本実施例において説明された広域イーサネットを実現する技術には、拡張タグＶＬＡＮ以外に、ＩＥＥＥ８０２．１ａｈにおいて定義されるＭＡＣｉｎＭＡＣを利用する方法がある。ＭＡＣｉｎＭＡＣは、イーサフレーム（ＭＡＣフレーム）をイーサフレーム（ＭＡＣフレーム）によってカプセル化して通信する技術である。

ＭＡＣｉｎＭＡＣには、二つの方法がある。一つ目の方法は、イーサフレームをイーサフレーム（ＭＡＣフレーム）によってカプセル化する際に、ＳＴＡＧ及びＣＴＡＧ付きの拡張タグＶＬＡＮ通信用のイーサフレームを、ＭＡＣフレームによってカプセル化する方法である。二つ目の方法は、ＣＴＡＧ付きのイーサフレームを、ＭＡＣフレームによってカプセル化する方法である。

一つ目の方法によるＭＡＣｉｎＭＡＣのイーサフレームは、本実施例１の通信ノード装置１０及び本実施例２の通信ノードシステム１０００によって、拡張タグＶＬＡＮ通信用のイーサフレーム８２として受信される。このため、本実施例１の通信ノード装置１０及び本実施例２の通信ノードシステム１０００は、受信するイーサフレームをＭＡＣｉｎＭＡＣによるイーサフレームとして特別に処理する必要はない。

二つ目の方法によるＭＡＣｉｎＭＡＣのイーサフレームを、図２２に示す。

図２２は、本実施例２のＭＡＣｉｎＭＡＣのイーサフレームを示す説明図である。

二つ目の方法によるＭＡＣｉｎＭＡＣのイーサフレーム８２０は、イーサフレーム８２と、イーサフレーム８２の外側に付加されたヘッダとを含む。イーサフレーム８２の外側に付加されたヘッダには、ＭＡＣ ＤＡ６９、ＭＡＣ ＳＡ６８、ＢＴＡＧ６７、及び、ＩＴＡＧ６６が含まれる。

ＩＴＡＧ６６は、テナントを識別する６バイトの値を含む。イーサフレーム８２のＭＡＣ ＤＡ９０、及び、ＭＡＣ ＳＡ９１と、ＩＴＡＧ６６とを含めた１８バイト部分をＩＴＡＧとして規定されてもよい。ＩＴＡＧ６６はＩＳＩＤ（Ｓｅｒｖｉｃｅ Ｉｎｓｔａｎｃｅ ＩＤ）と呼ぶ２４ビットの識別子（ＩＳＩＤ６３）を備えているため、ＩＴＡＧ６６は、１２ビットのＶＩＤを備えるＳＴＡＧよりも多数のテナントを識別できる。

本発明に二つ目の方法によるＭＡＣｉｎＭＡＣを利用する場合、タグ変換部４１７は、イーサフレーム８２のＳＴＡＧ９６の代わりに、ＩＴＡＧ６６をＬＴＡＧ９７に変換する。また、制御プログラム７０２は、サービステーブル７００及び変換テーブル７０３に、ＳＴＡＧ９６を示す値の代わりに、ＩＴＡＧ６６を示す値を格納する。

ＩＴＡＧ６６を変換することによって生成されるＬＴＡＧ９７は、ＩＴＡＧ６６と同じフォーマットでもよいし、ＭＡＣｉｎＭＡＣがオプションで含むＢＴＡＧ６７のＶＬＡＮタグと同じフォーマットでもよい。

さらに、本実施例の変形例としてＶＬＡＮを利用した拡張タグＶＬＡＮ以外に、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）において審議されているＶＸＬＡＮを利用する方法がある。

図２３は、本実施例２のＶＸＬＡＮのイーサフレーム９１０を示す説明図である。

ＶＸＬＡＮは、ＵＤＰ／ＩＰのイーサフレームによって、イーサフレーム８２をカプセル化し、カプセル化されたイーサフレームによって通信する技術である。ＶＸＬＡＮにおけるＵＤＰ／ＩＰのイーサフレームは、図２３に示すように、２４ビットの識別子を含む８バイトのＶＸＬＡＮヘッダ９０６をペイロードの先頭に持つ。

ＶＸＬＡＮは、大規模マルチテナントにおけるクラウド構築、及び、複数拠点間の透過的なディザスタリカバリなどを実現する狙いで、審議される技術である。

本実施例にＶＸＬＡＮを適用する場合、タグ変換部４１７は、イーサフレーム８２のＳＴＡＧ９６の代わりに、ＶＸＬＡＮヘッダ９０６をＬＴＡＧ９７に変換する。また、制御プログラム７０２は、サービステーブル７００及び変換テーブル７０３に、ＳＴＡＧ９６を示す値の代わりに、ＶＸＬＡＮヘッダ９０６を示す値を格納する。

ＶＸＬＡＮヘッダ９０６を変換することによって生成されるＬＴＡＧ９７は、ＶＸＬＡＮヘッダ９０６と同じフォーマットでもよいし、ＶＸＬＡＮにオプションで規定されるＣＴＡＧ９０２（ＶＬＡＮタグと同じ）と同じフォーマットでもよい。

前述の通り、ＭＡＣｉｎＭＡＣ、及び、ＶＸＬＡＮのいずれを用いた場合も、イーサフレームに含まれる識別子をＬＴＡＧに変換する方法、及び、ＷＡＮ最適化などの通信サービスを実行するための仮想マシンとの組合せ方法は、実施例１に示す通信ノード装置１０、及び、実施例２に示す通信ノードシステム１０００と同じ方法によって実装できる。

このため、本実施例は、イーサフレームのフォーマットを規定する多様な方法に適用することが可能であり、多くのネットワークシステムにおいて柔軟に適用可能な通信方法を提供する。

なお、前述の実施例において、一つの情報処理カード１００又は一つの通信ノードシステム１０００における複数の仮想マシンが、連続して通信サービスを実行する方法、及び、並行して通信サービスを実行する方法が記載された。前述に記載されたこれらの方法は、最も単純な例であり、例えば、タグ変換部４１７がイーサフレームを複数に複製し、その後複製された各イーサフレームに、連続して通信サービスが実行されてもよい。

本実施例によれば、イーサフレームに含まれる仮想ネットワークを識別するタグ（ＳＴＡＧ、ＣＴＡＧ、又は、ＩＴＡＧ等に相当）を、通信サービスを提供する仮想マシンの通信ポートを識別するタグ（ＬＴＡＧに相当）に変換し、仮想ネットワーク毎に通信サービスを適用する。その後、通信サービス及び通信ポートを識別する識別子を、再び元の仮想ネットワークを識別する識別子に変換し、イーサフレームを送信するため、広域イーサネットサービス上で、仮想マシンを利用して通信サービスを連携提供することが可能になる。

また、通信サービスの総数より少数の通信ノード装置１０又は通信ノードシステム１０００しか必要としないため、通信事業者がクラウドサービスを提供する際の設備コスト、及び、運用コストを低減することが可能になる。

１ データセンタ
２ 拠点
３ 通信局舎
４ 通信事業者網（ＷＡＮ：広域網）
５ ＬＡＮ
１０ 通信ノード装置
１１ エッジスイッチ
１２、２１ ＬＡＮスイッチ
１３ サーバ
１４ タグ変換装置
１５ スイッチ
１６ サービス提供装置
２０ クライアント
１００ 情報処理カード
２００ 制御カード
３００ 内部スイッチ
４００ 転送カード
４１０ ＮＰ・チップセット
７００ サービステーブル
７０１ 資源管理テーブル
７０２ 制御プログラム
７０３ 変換テーブル

Claims (19)

1. 物理ネットワークを介してイーサフレームを互いに送受信するサーバとクライアントとの通信経路上に設置される通信装置であって、
   前記サーバとクライアントとには、少なくとも一つの仮想ネットワークが割り当てられ、
   前記イーサフレームは、前記各仮想ネットワークを識別するための第１の識別子を含み、
   前記通信装置は、
   前記イーサフレームに対して、少なくとも一つの通信サービスを実行する情報処理部と、
   前記サーバ及びクライアント間で送受信される前記イーサフレームを取込み、前記取込まれたイーサフレームの宛先である前記サーバ又は前記クライアントに向けて前記取込まれたイーサフレームを送信する転送部と、
   前記イーサフレームを変換するタグ変換部と、を有し、
   前記情報処理部は、
   前記イーサフレームが送受信される前記仮想ネットワーク毎に、前記イーサフレームに対して各々の前記通信サービスを実行する仮想マシンを少なくとも一つ有し、
   各々の前記仮想マシンは、第１の入出力ポートと第２の入出力ポートとを有し、
   前記タグ変換部は、
   前記第１の識別子が示す仮想ネットワークにおいて送受信される前記イーサフレームに対して、いずれかの前記通信サービスを実行するいずれかの前記仮想マシンの前記第１の入出力ポートを示す第２の識別子を含む変換情報を保持し、
   前記転送部によって取込まれた第１のイーサフレームが入力された場合、前記第１のイーサフレームの第１の識別子と前記変換情報とに基づいて、前記第２の識別子を含む第２のイーサフレームに、前記第１のイーサフレームを変換し、
   前記第２の識別子が示す前記第１の入出力ポートに向けて、前記第２のイーサフレームを出力し、
   前記情報処理部は、いずれかの前記仮想マシンがいずれかの前記通信サービスが実行されたイーサフレームを出力する場合、前記通信サービスを実行した前記仮想マシンの前記第２の入出力ポートを示す第３の識別子を含む第３のイーサフレームに、前記通信サービスが実行されたイーサフレームを変換し、
   前記タグ変換部は、前記第３のイーサフレームが入力され、かつ、前記変換情報が、前記第１の識別子が示す仮想ネットワークにおいて送受信される前記イーサフレームに対して、前記通信サービスを実行する仮想マシンの前記第２の入出力ポートを示す第３の識別子を含む場合、前記第３の識別子と前記変換情報とに基づいて、前記第１の識別子を含む第１のイーサフレームに、前記第３のイーサフレームを変換し、
   前記転送部は、前記第１のイーサフレームの宛先である前記サーバ又は前記クライアントに向けて、前記第１のイーサフレームを送信することを特徴とする通信装置。
2. 請求項１に記載の通信装置であって、
   前記変換情報は、第４の識別子が示す第１の前記仮想マシンの前記第２の入出力ポートの次に、前記第３の識別子により前記第２の入出力ポートを示し前記イーサフレームに対して通信サービスを実行する第２の前記仮想マシンの前記第１の入出力ポートを示す第５の識別子を含み、
   前記情報処理部は、前記第１の仮想マシンから前記通信サービスが実行されたイーサフレームを出力する場合、前記通信サービスを実行した前記第１の仮想マシンの前記第２の入出力ポートを示す前記第４の識別子を含む第４のイーサフレームに、前記通信サービスが実行されたイーサフレームを変換し、
   前記タグ変換部は、
   前記第４の識別子を含む前記第４のイーサフレームを入力された場合、前記第４の識別子と前記変換情報とに基づいて、前記第５の識別子を含む第５のイーサフレームに、前記第４のイーサフレームを変換し、
   前記第５の識別子が示す前記第２の仮想マシンの前記第１の入出力ポートに向けて、前記第５のイーサフレームを出力し、
   前記情報処理部は、前記第２の仮想マシンから前記通信サービスが実行されたイーサフレームを出力する場合、前記通信サービスを実行した前記第２の仮想マシンの前記第２の入出力ポートを示す前記第３の識別子を含む前記第３のイーサフレームに、前記通信サービスが実行されたイーサフレームを変換することを特徴とする通信装置。
3. 請求項１に記載の通信装置であって、
   前記情報処理部は、前記第３の識別子が示す第１の仮想マシンの前記第２の入出力ポートと、前記第１の仮想マシンの次に前記イーサフレームに対して前記通信サービスを実行する第２の仮想マシンの前記第１の入出力ポートと、を接続する仮想スイッチを有し、
   前記仮想スイッチは、前記第１の仮想マシンの前記第２の入出力ポートから出力されるイーサフレームを、前記第２の仮想マシンの前記第１の入出力ポートに入力することを特徴とする通信装置。
4. 請求項１に記載の通信装置であって、
   前記タグ変換部は、
   前記第１のイーサフレームが入力され、かつ、前記変換情報が、複数の前記第２の識別子を含む場合、前記第１のイーサフレームを複数の前記第１のイーサフレームに複製し、
   前記複製された各第１のイーサフレームを、前記各第２の識別子を含む複数の第２のイーサフレームに変換し、
   前記各第２の識別子が示す第１の入出力ポートに向けて、前記各第２のイーサフレームを出力することを特徴とする通信装置。
5. 請求項１に記載の通信装置であって、
   前記情報処理部は、前記通信サービスを実行後、前記イーサフレームを出力する必要がある第１の仮想マシンと、前記通信サービスを実行後、前記イーサフレームを転送する必要がない第２の仮想マシンと、を有し、
   前記第１の仮想マシンは、前記第１の入出力ポートと前記第２の入出力ポートとを有し、
   前記第２の仮想マシンは、前記第１の入出力ポートを有するが、前記第２の入出力ポートを有しないことを特徴とする通信装置。
6. 請求項１に記載の通信装置であって、
   複数の前記サーバと複数の前記クライアントとを含むグループに、少なくとも一つの第１の仮想ネットワークが割り当てられ、
   前記グループに含まれる前記サーバ及び前記クライアントのうち、少なくとも一つの前記サーバと少なくとも一つの前記クライアントに、少なくとも一つの第２の仮想ネットワークが割り当てられ、
   前記第１の識別子は、前記各第１の仮想ネットワークを識別するための識別子と前記各第２の仮想ネットワークを識別するための識別子とを含み、
   前記タグ変換部は、前記イーサフレームに含まれる前記第１の仮想ネットワークを識別するための識別子と前記第２の仮想ネットワークを識別するための識別子とを取得することによって、前記イーサフレームから前記第１の識別子を取得することを特徴とする通信装置。
7. 請求項１に記載の通信装置であって、
   前記第１の識別子は、前記イーサフレームの少なくとも一つの所定のヘッダ領域に含まれる値であり、
   前記タグ変換部は、前記イーサフレームの前記各所定の領域を参照することによって、前記第１の識別子を取得することを特徴とする通信装置。
8. 請求項１に記載の通信装置であって、
   前記通信装置は、前記変換情報を生成するための制御部を、さらに有し、
   前記制御部は、
   前記変換情報に保持される識別子の候補を、前記第１の識別子の数と同数含む資源管理情報を保持し、
   前記資源管理情報に基づいて、前記第１の識別子に前記第２の識別子を割り当て、
   前記割り当てられた第２の識別子を含む前記変換情報を生成することを特徴とする通信装置。
9. 請求項８に記載の通信装置であって、
   前記資源管理情報は、前記情報処理部が有するプロセッサの数、及び、前記情報処理部が有するメモリの容量を含み、
   前記制御部は、
   前記イーサフレームに実行される前記各通信サービスを示す情報を、前記仮想ネットワーク毎に含むサービス情報を保持し、
   前記通信サービスの追加要求を入力された場合、
   前記資源管理情報と前記追加要求とに基づいて、前記追加要求された通信サービスを実行するための前記仮想マシンに、前記プロセッサ及び前記メモリを確保できるか否かを判定し、
   前記判定の結果、前記プロセッサ及びメモリを確保できる場合、前記確保された前記プロセッサ及び前記メモリに基づいて、前記情報処理部に前記追加要求された通信サービスを実行するための仮想マシンを設定し、
   前記追加要求に従って、前記サービス情報及び前記資源管理情報を更新し、
   前記通信サービスの削除要求を入力された場合、
   前記削除要求に従って、前記サービス情報及び前記資源管理情報を更新し、
   前記削除要求された通信サービスを実行する前記仮想マシンから、前記プロセッサ及びメモリを開放することを特徴とする通信装置。
10. 請求項１に記載の通信装置であって、
    前記タグ変換部は、
    前記第１のイーサフレームに含まれる前記第１の識別子の、前記第１のイーサフレームの先頭方向に隣接して前記第２の識別子を挿入することによって、前記第１のイーサフレームを、前記第２のイーサフレームに変換し、
    前記第３のイーサフレームに含まれる前記第３の識別子を削除することによって、前記第３のイーサフレームを前記第１のイーサフレームに変換することを特徴とする通信装置。
11. 請求項１に記載の通信装置であって、
    前記第１の識別子は、前記イーサフレームに含まれる二重ＶＬＡＮタグのうち、前記イーサフレームの先頭方向に付加されたＶＬＡＮタグに含まれる識別子であることを特徴とする通信装置。
12. 請求項１に記載の通信装置であって、
    前記第１の識別子は、前記イーサフレームに含まれるＭＡＣｉｎＭＡＣのヘッダのうち、前記イーサフレームの先頭方向に付加されたタグに含まれる識別子であることを特徴とする通信装置。
13. 請求項１に記載の通信装置であって、
    前記第１の識別子は、前記イーサフレームに含まれるＶＸＬＡＮに含まれる識別子であることを特徴とする通信装置。
14. 物理ネットワークを介してイーサフレームを互いに送受信するサーバ及びクライアントと、サーバ及びクライアントの通信経路上に設置される通信装置と、を備える通信システムであって、
    前記サーバとクライアントとには、少なくとも一つの仮想ネットワークが割り当てられ、
    前記イーサフレームは、前記各仮想ネットワークを識別するための第１の識別子を含み、
    前記通信システムは、
    前記イーサフレームに対して、少なくとも一つの通信サービスを実行する情報処理部と、
    前記サーバ及びクライアント間で送受信される前記イーサフレームを取込み、前記取込まれたイーサフレームの宛先である前記サーバ又は前記クライアントに向けて前記取込まれたイーサフレームを送信する転送部と、
    前記イーサフレームを変換するタグ変換部と、を有し、
    前記情報処理部は、
    前記イーサフレームが送受信される前記仮想ネットワーク毎に、前記イーサフレームに対して各々の前記通信サービスを実行する仮想マシンを少なくとも一つ、メモリに有し、
    各々の前記仮想マシンは、第１の入出力ポートと第２の入出力ポートとを有し、
    前記タグ変換部は、
    前記第１の識別子が示す仮想ネットワークにおいて送受信される前記イーサフレームに、いずれかの前記通信サービスを実行するいずれかの前記仮想マシンの前記第１の入出力ポートを示す第２の識別子を含む変換情報を保持し、
    前記転送部によって取込まれた第１のイーサフレームが入力された場合、前記第１のイーサフレームの第１の識別子と前記変換情報とに基づいて、前記第２の識別子を含む第２のイーサフレームに、前記第１のイーサフレームを変換し、
    前記第２の識別子が示す前記第１の入出力ポートに向けて、前記第２のイーサフレームを出力し、
    前記情報処理部は、いずれかの前記仮想マシンがいずれかの前記通信サービスが実行されたイーサフレームを出力する場合、前記通信サービスを実行した前記仮想マシンの前記第２の入出力ポートを示す第３の識別子を含む第３のイーサフレームに、前記通信サービスが実行されたイーサフレームを変換し、
    前記タグ変換部は、前記第３のイーサフレームが入力され、かつ、前記変換情報が、前記第１の識別子が示す仮想ネットワークにおいて送受信される前記イーサフレームに対して、前記通信サービスを実行する仮想マシンの前記第２の入出力ポートを示す第３の識別子を含む場合、前記第３の識別子と前記変換情報とに基づいて、前記第１の識別子を含む第１のイーサフレームに、前記第３のイーサフレームを変換し、
    前記転送部は、前記第１のイーサフレームの宛先である前記サーバ又は前記クライアントに向けて、前記第１のイーサフレームを送信することを特徴とする通信システム。
15. 物理ネットワークを介してイーサフレームを互いに送受信するサーバとクライアントとの通信経路上に設置される通信装置による通信方法であって、
    前記サーバとクライアントとには、少なくとも一つの仮想ネットワークが割り当てられ、
    前記イーサフレームは、前記各仮想ネットワークを識別するための第１の識別子を含み、
    前記通信装置は、プロセッサ及びメモリを備え、
    前記方法は、
    前記プロセッサが、前記イーサフレームに対して、少なくとも一つの通信サービスを実行する情報処理手順と、
    前記プロセッサが、前記サーバ及びクライアント間で送受信される前記イーサフレームを取込み、前記取込まれたイーサフレームの宛先である前記サーバ又は前記クライアントに向けて前記取込まれたイーサフレームを送信する転送手順と、
    前記プロセッサが、前記イーサフレームを変換するタグ変換手順と、を含み、
    前記情報処理手順は、前記プロセッサが、前記イーサフレームが送受信される前記仮想ネットワーク毎に、前記メモリに保持される仮想マシンによって、前記イーサフレームに対して各々の前記通信サービスを実行する手順を含み、
    前記仮想マシンは、第１の入出力ポートと第２の入出力ポートとを有し、
    前記タグ変換手順は、
    前記プロセッサが、前記メモリに保持される変換情報に基づいて、前記第１の識別子が示す仮想ネットワークにおいて送受信される前記イーサフレームに対して、いずれかの前記通信サービスを実行するいずれかの前記仮想マシンの前記第１の入出力ポートを示す第２の識別子を取得する手順と、
    前記プロセッサが、前記転送手順によって取込まれた第１のイーサフレームが入力された場合、前記第１のイーサフレームの第１の識別子と前記変換情報とに基づいて、前記第２の識別子を含む第２のイーサフレームに、前記第１のイーサフレームを変換する手順と、
    前記プロセッサが、前記第２の識別子が示す前記第１の入出力ポートに向けて、前記第２のイーサフレームを出力する手順と、を含み、
    前記情報処理手順は、前記プロセッサが、いずれかの前記仮想マシンがいずれかの前記通信サービスが実行されたイーサフレームを出力する場合、前記通信サービスを実行した前記仮想マシンの前記第２の入出力ポートを示す第３の識別子を含む第３のイーサフレームに、前記通信サービスが実行されたイーサフレームを変換する手順を含み、
    前記タグ変換手順は、前記第３のイーサフレームが入力され、かつ、前記変換情報が、前記第１の識別子が示す仮想ネットワークにおいて送受信される前記イーサフレームに対して、前記通信サービスを実行する仮想マシンの前記第２の入出力ポートを示す第３の識別子を含む場合、前記プロセッサが、前記第３の識別子と前記変換情報とに基づいて、前記第１の識別子を含む第１のイーサフレームに、前記第３のイーサフレームを変換する手順を含み、
    前記転送手順は、前記第１のイーサフレームの宛先である前記サーバ又は前記クライアントに向けて、前記第１のイーサフレームを送信する手順を含むことを特徴とする通信方法。
16. 物理ネットワークを介してイーサフレームを互いに送受信するサーバとクライアントとの通信経路上に設置される通信装置であって、
    前記サーバとクライアントとには、少なくとも一つの仮想ネットワークが割り当てられ、
    前記イーサフレームは、前記各仮想ネットワークを識別するための第１の識別子を含み、
    前記通信装置は、
    前記イーサフレームが送受信される前記仮想ネットワーク毎に、前記イーサフレームに対して通信サービスを実行する仮想マシンを有する情報処理部と、
    前記サーバ及びクライアントに対して前記イーサフレームを送受信する転送部と、
    前記イーサフレームを変換するタグ変換部と、を有し、
    前記仮想マシンは、第１の入出力ポートと第２の入出力ポートとを有し、
    前記タグ変換部は、
    前記第１の識別子を含み前記サーバ又は前記クライアントを宛先とする第１のイーサフレームが入力された場合、前記第１のイーサフレームを、前記第１のイーサフレームに対して通信サービスを実行する前記仮想マシンの前記第１の入出力ポートを示す第２の識別子を含む第２のイーサフレームに変換し、
    前記第２の識別子が示す前記第１の入出力ポートに向けて、前記第２のイーサフレームを出力し、
    前記情報処理部は、前記仮想マシンによって前記通信サービスが実行されたイーサフレームを、前記通信サービスを実行した前記仮想マシンの第２の入出力ポートを示す第３の識別子を含む第３のイーサフレームに変換し、
    前記タグ変換部は、前記第３の識別子を含む前記第３のイーサフレームを前記第１の識別子を含む第１のイーサフレームに変換し、
    前記転送部は、前記第１のイーサフレームの宛先である前記サーバ又は前記クライアントに向けて、前記通信サービスが実行された前記第１のイーサフレームを送信することを特徴とする通信装置。
17. 物理ネットワークを介してイーサフレームを互いに送受信するサーバ及びクライアントと、サーバ及びクライアントの通信経路上に設置される通信装置と、を備える通信システムであって、
    前記サーバとクライアントとには、少なくとも一つの仮想ネットワークが割り当てられ、
    前記イーサフレームは、前記各仮想ネットワークを識別するための第１の識別子を含み、
    前記通信システムは、
    前記イーサフレームが送受信される前記仮想ネットワーク毎に、前記イーサフレームに対して通信サービスを実行する仮想マシンを有する情報処理部と、
    前記サーバ及びクライアントに対して前記イーサフレームを送受信する転送部と、
    前記イーサフレームを変換するタグ変換部と、を有し、
    前記仮想マシンは、第１の入出力ポートと第２の入出力ポートとを有し、
    前記タグ変換部は、
    前記第１の識別子を含み前記サーバ又は前記クライアントを宛先とする第１のイーサフレームが入力された場合、前記第１のイーサフレームを、前記第１のイーサフレームに対して通信サービスを実行する前記仮想マシンの前記第１の入出力ポートを示す第２の識別子を含む第２のイーサフレームに変換し、
    前記第２の識別子が示す前記第１の入出力ポートに向けて、前記第２のイーサフレームを出力し、
    前記情報処理部は、前記仮想マシンによって前記通信サービスが実行されたイーサフレームを、前記通信サービスを実行した前記仮想マシンの第２の入出力ポートを示す第３の識別子を含む第３のイーサフレームに変換し、
    前記タグ変換部は、前記第３の識別子を含む前記第３のイーサフレームを前記第１の識別子を含む第１のイーサフレームに変換し、
    前記転送部は、前記第１のイーサフレームの宛先である前記サーバ又は前記クライアントに向けて、前記通信サービスが実行された前記第１のイーサフレームを送信することを特徴とする通信システム。
18. 物理ネットワークを介してイーサフレームを互いに送受信するサーバとクライアントとの通信経路上に設置される通信装置による通信方法であって、
    前記サーバとクライアントとには、少なくとも一つの仮想ネットワークが割り当てられ、
    前記イーサフレームは、前記各仮想ネットワークを識別するための第１の識別子を含み、
    前記通信装置は、プロセッサ及びメモリを備え、
    前記方法は、
    前記プロセッサが、前記イーサフレームが送受信される前記仮想ネットワーク毎に、前記メモリに保持される仮想マシンによって、前記イーサフレームに対して通信サービスを実行する情報処理手順と、
    前記プロセッサが、前記サーバ及びクライアントに対して前記イーサフレームを送受信する転送手順と、
    前記プロセッサが、前記イーサフレームを変換するタグ変換手順と、を含み、
    前記仮想マシンは、第１の入出力ポートと第２の入出力ポートとを有し、
    前記タグ変換手順は、
    前記プロセッサが、前記第１の識別子を含み前記サーバ又は前記クライアントを宛先とする第１のイーサフレームが入力された場合、前記第１のイーサフレームを、前記第１のイーサフレームに対して通信サービスを実行する前記仮想マシンの前記第１の入出力ポートを示す第２の識別子を含む第２のイーサフレームに変換する手順と、
    前記プロセッサが、前記第２の識別子が示す前記第１の入出力ポートに向けて、前記第２のイーサフレームを出力する手順と、を含み、
    前記情報処理手順は、前記プロセッサが、前記仮想マシンによって前記通信サービスが実行されたイーサフレームを、前記通信サービスを実行した前記仮想マシンの第２の入出力ポートを示す第３の識別子を含む第３のイーサフレームに変換する手順を含み、
    前記タグ変換手順は、前記プロセッサが、前記第３の識別子を含む前記第３のイーサフレームを前記第１の識別子を含む第１のイーサフレームに変換する手順を含み、
    前記転送手順は、前記第１のイーサフレームの宛先である前記サーバ又は前記クライアントに向けて、前記通信サービスが実行された前記第１のイーサフレームを送信する手順を含むことを特徴とする通信方法。
19. 物理ネットワークを介してイーサフレームを互いに送受信するサーバとクライアントとの通信経路上に設置される通信装置において実行されるプログラムであって、
    前記サーバとクライアントとには、少なくとも一つの仮想ネットワークが割り当てられ、
    前記イーサフレームは、前記各仮想ネットワークを識別するための第１の識別子を含み、
    前記プログラムは、前記通信装置に、
    前記イーサフレームが送受信される前記仮想ネットワーク毎に、メモリに保持される仮想マシンによって、前記イーサフレームに対して通信サービスを実行する情報処理手順と、
    前記サーバ及びクライアントに対して前記イーサフレームを送受信する転送手順と、
    前記イーサフレームを変換するタグ変換手順と、を実行させ、
    前記仮想マシンは、第１の入出力ポートと第２の入出力ポートとを有し、
    前記タグ変換手順は、
    前記第１の識別子を含み前記サーバ又は前記クライアントを宛先とする第１のイーサフレームが入力された場合、前記第１のイーサフレームを、前記第１のイーサフレームに対して通信サービスを実行する前記仮想マシンの前記第１の入出力ポートを示す第２の識別子を含む第２のイーサフレームに変換する手順と、
    前記第２の識別子が示す前記第１の入出力ポートに向けて、前記第２のイーサフレームを出力する手順と、を含み、
    前記情報処理手順は、前記仮想マシンによって前記通信サービスが実行されたイーサフレームを、前記通信サービスを実行した前記仮想マシンの第２の入出力ポートを示す第３の識別子を含む第３のイーサフレームに変換する手順を含み、
    前記タグ変換手順は、前記第３の識別子を含む前記第３のイーサフレームを前記第１の識別子を含む第１のイーサフレームに変換する手順を含み、
    前記転送手順は、前記第１のイーサフレームの宛先である前記サーバ又は前記クライアントに向けて、前記通信サービスが実行された前記第１のイーサフレームを送信する手順を含むことを特徴とするプログラム。