JPH10224409A - 通信システム - Google Patents

Abstract

(57)【要約】 【課題】 内部ネットワークに位置する端末を外部ネッ
トワークへ移動させると、端末のアドレスに変化が生じ
るため、移動前の利用権限ではサービスを受け得ない。 【解決手段】 外部ネットワークの端末に、移動前に又
は予め内部ネットワークにおいて割り当てられていた端
末アドレスを記憶するアドレス記憶手段を備えるように
する。これにより、外部ネットワークに位置する端末で
あっても内部ネットワークで割り当てられた端末アドレ
スを記憶する端末については、内部ホスト側において、
当該端末に提供し得るサービスの利用権限を判別するこ
とが可能とできる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、通信システムに関
し、特に、ファイアウォールを介して内外のネットワー
ク間で通信を行うシステムに好適なものである。

【０００２】

【従来の技術】

文献名：R.Atkinson,"Security Architecture for the
Internet Protocol ",RFC1825,August 1995 従来、この種の通信システムで用いられる通信方式とし
て、上記文献に開示されている通信方式がある。この通
信方式は、外部ネットワークのホスト（外部ホスト）が
ファイアウォールを介して内部ネットワークのホスト
（内部ホスト）と通信する場合に、ファイアウォールが
外部ホストを認証して鍵交換した後、当該ファイアウォ
ールと外部ホストの間でパケットの暗号処理を行ってト
ンネリングすることで、外部ネットワークでの盗聴、改
竄、なりすましを防止するものである。

【０００３】ここで、トンネリングとは、ＷＩＤＥプロ
ジェクト“１９９４年度ＷｌＤＥプロジェクト研究報告
書”p137 にも示されているように、ネットワーク層の
プロトコル（例えばＩＰ：Internet Protocol）を伝達
するために、同じネットワーク層のプロトコル（例えば
ＩＰ）をデータリンク層のプロトコルとみなして利用す
る技術をいう。また、トンネルとは、通信路のうちトン
ネリングを適用する部分をいう。

【０００４】図２に、トンネル内を伝送されるパケット
の構造例を示す。図２の場合、「パケットＢ」２０２
が、「パケットＡ」２０１のペイロード２０４に格納さ
れているが、これは、「パケットＡ」２０１が、「パケ
ットＢ」２０２をカプセル化（encapsulation ）してい
る状態を表している。なお、あるパケットのペイロード
からカプセル化されているパケットを抽出する処理を、
以下、脱カプセル化（decapsulation ）という。

【０００５】ところで、上記文献の通信方式では、次に
示す(a) 〜(c) の手段が必要になる。(a) の手段は、フ
ァイアウォールが外部ホストを認証し鍵の交換を行うた
めの手段（以下、セッション管理部という。）である。
この手段は、ファイアウォールと外部ホストのそれぞれ
に必要とされる。(b) の手段は、ファイアウォールと外
部ホストとの間でパケットを暗号処理しトンネリングす
るための手段（以下、トンネリング処理部という。）で
ある。この手段も、ファイアウォールと外部ホストのそ
れぞれに必要とされる。(c) の手段は、アクセスを許可
したパケットのみを中継しその他のパケットは遮断する
ことにより、外部ネットワークから内部ネットワークへ
の不正なアクセスを防止するための手段（以下、アクセ
ス制御部と呼ぶ。）である。この手段は、内部ネットワ
ークと外部ネットワークの境界に設けられているファイ
アウォールに必要とされる。

【０００６】従って、上記文献の通信方式を用いる通信
システムは、図３に示す構成となる。なお、上記文献に
は係る構成は示されていないので、図３は、必要とされ
る手段を基に作成したものである。

【０００７】このシステムは、内部ホスト３０１、「通
信路Ａ」３０２、ファイアウォール３０３、「通信路
Ｂ」３０４、外部ホスト３０５からなる。このうち、
「通信路Ａ」３０２は、内部ホスト３０１とファイアウ
ォール３０３間の通信路である。「通信路Ａ」３０２
は、内部ネットワークの通信路に当たる。一方、「通信
路Ｂ」３０４は、ファイアウォール３０３と外部ホスト
３０５間の通信路である。「通信路Ｂ」３０４は、外部
ネットワークの通信路に当たる。ファイアウォール３０
３は、前述したように(a) 〜(c) の３つの手段、セッシ
ョン管理部３０６、トンネリング処理部３０７、アクセ
ス制御部３０８からなる。また、外部ホスト３０５は、
前述した(a) 及び(b) の２つの手段、セッション管理部
３０９、トンネリング処理部３１０からなる。ところ
で、ファイアウォール３０３と外部ホスト３０５の間に
はトンネル３１１がある。

【０００８】次に、かかる構成のシステムにおいて実行
される通信動作を説明する。まず、内部ホスト３０１か
ら外部ホスト３０５に対してパケットを送信する場合、
ファイアウォール３０３が、パケット３１２を暗号処理
し、さらに、図２のようにカプセル化する。カプセル化
されたパケット３１２はパケット３１３として、トンネ
ル３１１を伝送され外部ホスト３０５に達する。外部ホ
スト３０５は、これを脱カプセル化し、パケット３１４
を得る。

【０００９】この反対に、外部ホスト３０５から内部ホ
スト３０１にパケットを送信する場合、外部ホスト３０
５が、パケット３１５を暗号処理しパケット３１６のよ
うにカプセル化する。このパケット３１６は、トンネル
３１１を介してファイアウォール３０３に達し、ここで
脱パケット化されて内部ホスト３０１にパケット３１７
として与えられる。

【００１０】以上のようにして、双方向の通信がなされ
る。

【００１１】

【発明が解決しようとする課題】しかしながら、上記文
献の通信方式の場合、内部ネットワーク上に位置する端
末を、何らかの事情で外部ネットワーク上へ移動させた
場合、以下に示す問題が生じてしまう。

【００１２】一般に、サービスを提供するアプリケーシ
ョンは、サービスを要求しているホストのアドレスに基
づいて、サービスの利用権限を求める。従って、内部ネ
ットワーク上に位置する端末を、外部ネットワーク上へ
移動すると、端末のアドレスが変化するので、端末は内
部ホストが提供するサービスを移動前のサービス利用権
限では利用できなくなってしまう。ここで、サービス利
用権限には、例えば、サービスの利用を許可すること、
又は、サービスの利用を禁止すること、サービスをある
品質で許可することなどがある。

【００１３】本発明は以上の課題を考慮してなされたも
ので、内部ネットワーク上に位置していた端末を外部ネ
ットワーク上へ移動しても、移動前に提供を受けること
ができたサービス利用権限の範囲内で引き続きサービス
を享受できるようにするリモートアクセス通信システム
を提供しようとするものである。

【００１４】

【課題を解決するための手段】

(A) かかる課題を解決するため第１の発明においては、
外部ネットワークに位置する端末が、ファイアウォール
を介して内部ネットワークの内部ホストと通信する形態
の通信システムにおいて、以下の手段を備えたことを特
徴とする。

【００１５】すなわち、端末は、移動前に又は予め内部
ネットワークにおいて割り当てられた端末アドレスを記
憶するアドレス記憶手段を備えたことを特徴とする。

【００１６】このように、第１の発明における通信シス
テムによれば、外部ネットワークに位置する端末であっ
ても内部ネットワークで割り当てられた端末アドレスを
記憶する端末については、内部ホスト側において、当該
端末に提供し得るサービスの利用権限を判別することが
可能となる。これにより、特定の端末については、外部
ネットワークに位置する場合にも、内部ネットワークに
位置する場合と同じ利用権限でのサービスを受けること
ができる。

【００１７】(B) また、第２の発明においては、内部ネ
ットワーク内のあるサブネットに位置する端末が、当該
ネットワーク内で内部ホストと通信する形態の通信シス
テムにおいて、以下の手段を備えることを特徴とする。

【００１８】すなわち、端末は、同じネットワーク内の
あるサブネットから他のサブネットへ移動した後も、移
動前に割り当てられた端末アドレスを記憶し続けるアド
レス記憶手段を備え、かつ、端末及び内部ホストは、当
該移動があった場合に、アドレス記憶手段が記憶してい
る移動前の端末アドレスと同一のアドレスを有するパケ
ットを、カプセル化後、端末及び内部ホストの間に形成
したトンネルを介して入出力するトンネリング処理手段
を備えることを特徴とする。

【００１９】このように、第２の発明における通信シス
テムによれば、内部ネットワーク内であるサブネットか
ら他のサブネットに端末が移動した場合にも、移動前に
おける端末アドレスを端末が記憶しているので、内部ホ
スト側において、当該端末に提供し得るサービスの利用
権限を判別することが可能となる。これにより、特定の
端末については、他のサブネットに移動した場合にも、
移動前のサブネットで許容されていたのと同じ利用権限
でサービスを受けることができる。

【００２０】(C) さらに、第３の発明においては、内部
ネットワーク内のあるサブネットに位置する端末が、当
該ネットワーク内の内部ホストと通信する形態の通信シ
ステムにおいて、以下の手段を備えることを特徴とす
る。

【００２１】すなわち、端末は、同一ネットワーク内の
あるサブネットから他のサブネットへ移動した後も、移
動前に割り当てられた端末アドレスを記憶し続けるアド
レス記憶手段を備え、かつ、端末及び当該端末が移動前
に位置したサブネットのサブネット管理サーバは、当該
移動があった場合に、アドレス記憶手段が記憶している
移動前の端末アドレスと同一のアドレスを有するパケッ
トを、カプセル化後、端末及びサブネット管理サーバ間
に形成したトンネルを介して入出力するトンネリング処
理手段を備えることを特徴とする。

【００２２】このように、第３の発明における通信シス
テムによれば、端末とサブネット管理サーバとの間にト
ンネルを設けているので、内部ホストごとに各端末まで
のトンネルを設けなくて良くなる。

【００２３】(D) さらに、第４の発明においては、内部
ネットワーク内のあるサブネットに位置する端末が、当
該ネットワーク内の内部ホストと通信する形態の通信シ
ステムにおいて、以下の手段を備えることを特徴とす
る。

【００２４】すなわち、端末は、同一ネットワーク内の
あるサブネットから他のサブネットへ移動した後も、移
動前に割り当てられた端末アドレスを記憶し続けるアド
レス記憶手段を備え、かつ、端末の移動の前後に係る各
サブネットのサブネット管理サーバは、当該移動があっ
た場合に、アドレス記憶手段が記憶している移動前の端
末アドレスと同一のアドレスを有するパケットを、カプ
セル化後、当該サブネット管理サーバ間に形成したトン
ネルを介して入出力するトンネリング処理手段を備える
ことを特徴とする。

【００２５】このように、第４の発明における通信シス
テムによれば、サブネット管理サーバ間にトンネルを設
けるので、端末がトンネリング処理をせずに済み、その
分、端末の負荷を軽減できるという効果が得られる。

【００２６】

【発明の実施の形態】

（Ａ）各実施形態で用いるパケットの構造 まず、後述する各実施形態において使用されるパケット
の基本構造を説明する。図４は、トンネルを介して送受
されるパケットの構造を表した図である。この図４は、
「パケットＢ」４０２が、「パケットＡ」４０１のペイ
ロードに格納され、カプセル化（encapsulation ）され
ている状態を表している。ここで、「パケットＡ」の受
信先アドレス４０３と「パケットＡ」の送信元アドレス
４０４が「パケットＡ」のヘッダを表し、「パケット
Ｂ」の受信先アドレス４０５と「パケットＢ」の送信元
アドレス４０６が「パケットＢ」のヘッダを表してい
る。

【００２７】ここで、「パケットＢ」を端末へ入力する
場合は、「パケットＢ」の受信先アドレス４０５に書き
込まれているアドレスが、外部ネットワーク上でのアド
レスではなく、予め内部ネットワークで各端末に割り当
てられた内部ネットワーク上でのアドレス（内部ネット
ワークから外部ネットワークへ移動する場合における移
動前のアドレスを含む）が書き込まれている。各実施形
態では、このアドレスを用いた通信システムについて説
明する。

【００２８】また、一部実施形態（第５の実施形態及び
第１０の実施形態）においては、図５に示す構造のパケ
ットを使用する。この図５の場合も、トンネルを介して
送受されるパケットの構造を表した図であり、「パケッ
トＢ」５０２が、「パケットＡ」５０１のペイロードに
格納され、カプセル化（encapsulation ）されている状
態を表している。図５のパケットが図４のパケットと異
なる点は、「パケットＡ」のヘッダが、「パケットＡ」
の受信先アドレス５０３と「パケットＡ」の送信元アド
レス５０４に加えて、「パケットＡ」のＳＰＩ（Securi
ty ParametersIndex）を有する点である。ここで、ＳＰ
Ｉは、使用する暗号アルゴリズムや鍵等のセキュリティ
に関するパラメータを表すものである。なお、「パケッ
トＢ」のヘッダの構造は同じであり、「パケットＢ」を
端末へ入力する場合は、「パケットＢ」の受信先アドレ
ス５０５には、予め内部ネットワークで各端末に割り当
てられた内部ネットワーク上でのアドレス（内部ネット
ワークから外部ネットワークへ移動する場合における移
動前のアドレスを含む）が書き込まれている。

【００２９】（Ｂ）第１の実施形態 以下、第１の実施形態に係る通信システムを、図面を参
照しながら説明する。

【００３０】（Ｂ−１）第１の実施形態の構成 図１は、第１の実施形態の構成図である。この通信シス
テムは、内部ホスト１０１、「通信路Ａ」１０２、ファ
イアウォール１０３、「通信路Ｂ」１０４、端末１０５
からなる。因みに、従来技術で説明した図３の場合に
は、外部ネットワーク側の受信先が外部ホスト３０５と
なっていたが、この実施形態の場合には端末１０５が接
続されている。

【００３１】ここで、「通信路Ａ」１０２は、内部ホス
ト１０１とファイアウォール１０３の間の通信路であ
る。「通信路Ａ」１０２は、内部ネットワークの通信路
である。「通信路Ｂ」１０４は、ファイアウォール１０
３と端末１０５の間の通信路である。「通信路Ｂ」１０
４は、外部ネットワークの通信路である。

【００３２】本実施形態に係るファイアウォール１０３
は、セッション管理部１０６、トンネリング処理部１０
７、アクセス制御部１０８の各構成要素を有してなる。

【００３３】本実施形態に係る端末１０５は、セッショ
ン管理部１０９、移動前情報記憶部１１０、トンネリン
グ処理部１１１の各構成要素を有してなる。このうち、
移動前情報記憶部１１０は、後述する移動前アドレスＩ
２の記憶に用いられる。

【００３４】なお、ファイアウォール１０３と端末１０
５の間にトンネル１１２を設けることにする。

【００３５】内部ホスト１０１は、端末１０５のアドレ
スとして移動前アドレスＩ２を使用して、パケットを
「通信路Ａ」１０２と送受信する。端末１０５は、端末
１０５のアドレスとして移動前アドレスＩ２を使用し
て、パケットをトンネリング処理部１１１と入出力す
る。

【００３６】セッション管理部１０６とセッション管理
部１０９は、互いに通信し、端末１０５の認証と鍵交換
をする。セッション管理部１０９は、セッション管理部
１０６へ、端末１０５が外部ネットワークへ移動したこ
と、移動後のアドレスがＥであること、移動前アドレス
がＩ２であることを通知する。

【００３７】トンネリング処理部１０７は、セッション
管理部１０６が交換した鍵を使用して、端末１０５宛て
のパケットを暗号処理してカプセル化する。また、トン
ネリング処理部１０７は、内部ホスト１０１宛てのパケ
ットを脱カプセル化し復号処理する。

【００３８】トンネリング処理部１１１は、セッション
管理部１０９が交換した鍵を使用して、内部ホスト１０
１宛てのパケットを暗号処理しカプセル化する。また、
トンネリング処理部１１１は端末１０５宛てのパケット
を脱カプセル化し復号処理する。

【００３９】アクセス制御部１０８は、受信するパケッ
トが、内部ホスト１０１と端末１０５の間の通信のパケ
ットであるかを判定する。アクセス制御部１０８は、内
部ホスト１０１と端末１０５の間の通信のパケットを、
トンネリング処理部１０７へ入力してパケットを加工
し、中継する。アクセス制御部１０８は、内部ホスト１
０１と端末１０５の間の通信ではないパケットを、中継
しない。

【００４０】内部ホスト１０１のアドレスは、Ｉ１であ
る。内部ネットワークに接続しているファイアウォール
１０３のネットワーク・インターフェースのアドレスは
Ｆｉである。外部ネットワークに接続しているファイア
ウォール１０３のネットワーク・インターフェースのア
ドレスはＦｅである。端末１０５のアドレスは、Ｅであ
る。外部ネットワークへの移動前の端末１０５の内部ネ
ットワークでのアドレス（移動前アドレス）はＩ２であ
る。

【００４１】（Ｂ−２）第１の実施形態の通信動作 続いて、図１に示す通信システムによって実現される通
信動作を説明する。

【００４２】（Ｂ−２−１）通信開始前の動作 まず、内部ホスト１０１と端末１０５が通信を開始する
までの動作を説明する。これには、セッション管理部１
０６とセッション管理部１０９とが通信し、端末１０５
の認証と鍵交換を行う。セッション管理部１０９は、セ
ッション管理部１０６へ、端末１０５が外部ネットワー
クへ移動したこと、移動後のアドレスがＥであること、
移動前アドレスがＩ２であることを通知する。これによ
り、アクセス制御部１０８は、内部ホスト１０１と端末
１０５の間のパケットを中継するようになる。

【００４３】（Ｂ−２−２）通信開始後の動作 次に、内部ホスト１０１と端末１０５が通信をする時の
動作を説明する。

【００４４】なお、内部ホスト１０１から端末１０５へ
伝送されるパケット１１３の受信先アドレスはＩ２、送
信元アドレスはＩ１となる。また、このパケット１１３
をカプセル化したパケット１１４の受信先アドレスは
Ｅ、送信元アドレスはＦｅとなる。これを脱パケット化
した後のパケット１１５は、パケット１１３と同一とな
る。

【００４５】一方、端末１０５から内部ホスト１０１へ
伝送されるパケット１１６の受信先アドレスはＩ１、送
信元アドレスはＩ２となる。また、このパケット１１６
をカプセル化したパケット１１７の受信先アドレスはＦ
ｅ、送信元アドレスはＥとなる。これを脱パケット化し
た後のパケット１１８は、パケット１１６と同一とな
る。

【００４６】（Ｂ−２−２−１）内部ホストから端末へ
の送信 まず、内部ホスト１０１から端末１０５にパケットを送
信する場合の動作を説明する。

【００４７】内部ホスト１０１は、「通信路Ａ」１０２
に対してパケット１１３を送信する。

【００４８】ファイアウォール１０３のアクセス制御部
１０８は、「通信路Ａ」１０２からパケット１１３を受
信する。アクセス制御部１０８は、そのヘッダから、パ
ケット１１３は内部ホスト１０１と端末１０５間のパケ
ットであると判定する。アクセス制御部１０８は、パケ
ット１１３をトンネリング処理部１０７へ与える。トン
ネリング処理部１０７は、セッション管理部１０６が交
換した鍵を使用して、パケット１１３を暗号処理してカ
プセル化し、パケット１１４を得る。この時、パケット
１１３の受信先アドレスがＩ２であるので、パケット１
１４の受信先アドレスをＥとする。かかる後、トンネリ
ング処理部１０７は、パケット１１４をアクセス制御部
１０８に与える。アクセス制御部１０８は、このパケッ
ト１１４を「通信路Ｂ」１０４へ送信する。

【００４９】端末１０５のトンネリング処理部１１１
は、「通信路Ｂ」１０４からパケット１１４を受信す
る。トンネリング処理部１１１は、セッション管理部１
０９が交換した鍵を使用して、パケット１１４を脱カプ
セル化し復号処理し、パケット１１５を得る。端末１０
５は、トンネリング処理部１１１からパケット１１５を
得る。

【００５０】（Ｂ−２−２−２）端末から内部ホストへ
の送信 逆に、端末１０５から内部ホスト１０１にパケットを送
信する場合の動作を説明する。

【００５１】端末１０５は、パケット１１６をトンネリ
ング処理部１１１へ入力する。トンネリング処理部１１
１は、セッション管理部１０９が交換した鍵を使用し
て、パケット１１６を暗号処理してカプセル化し、パケ
ット１１７を得る。トンネリング処理部１１１は、「通
信路Ｂ」１０４へパケット１１７を送信する。

【００５２】ファイアウォール１０３のアクセス制御部
１０８は、「通信路Ｂ」１０４からパケット１１７を受
信する。アクセス制御部１０８は、パケット１１７は内
部ホスト１０１と端末１０５の間のパケットであると判
定する。アクセス制御部１０８は、パケット１１７をト
ンネリング処理部１０７へ入力する。トンネリング処理
部１０７は、セッション管理部１０６が交換した鍵を使
用して、パケット１１７を脱カプセル化し復号処理し、
パケット１１８を得る。トンネリング処理部１０７は、
パケット１１８をアクセス制御部１０８へ出力する。ア
クセス制御部１０８は、「通信路Ａ」１０２へパケット
１１８を送信する。

【００５３】内部ホスト１０１は、パケット１１８を受
信する。

【００５４】（Ｂ−２−３）通信終了動作 内部ホスト１０１と端末１０５が通信を終了する場合の
動作を説明する。

【００５５】ファイアウォール１０３が通信の終了を要
求する場合には、セッション管理部１０６がセッション
管理部１０９に通信の終了を要求する。これに対して、
端末１０５が通信の終了を要求する場合には、セッショ
ン管理部１０９がセッション管理部１０６に通信の終了
を要求する。

【００５６】ファイアウォール１０３が「通信路Ｂ」１
０４から受信するパケットには、アクセス制御部１０６
が受信するパケットとセッション管理部１０６が受信す
るパケットがある。ファイアウォール１０３は、パケッ
トのヘッダのうちアドレス以外の値により、どちらのパ
ケットであるかを判定する。端末１０５が「通信路Ｂ」
１０４から受信するパケットについても同様である。

【００５７】（Ｂ−２−４）内部ネットワークに対する
サービスの提供 ファイアウォール１０３が内部ネットワーク向けにサー
ビスを提供している場合について説明する。

【００５８】この場合は、アクセス制御部１０８は、
「通信路Ａ」１０２と送受信するパケット（パケット１
１３とパケット１１８）を、ファイアウォール１０３と
入出力する。

【００５９】（Ｂ−３）第１の実施形態の効果 以上のように、第１の実施形態によれば、ファイアウォ
ールと外部の端末との間にトンネルを設け、そのトンネ
ルにおいて、端末アドレスに移動前アドレスを使用する
パケットをカプセル化するようにしたので、内部ネット
ワークに位置する端末を外部ネットワークへ移動して
も、内部ホストに対しては、端末のアドレスが外部ネッ
トワークへの移動前後で変化していないようにみなせる
ので、端末は内部ホストが提供するサービスを移動前の
サービス利用権限で利用できるという効果が得られる。

【００６０】また、これらサービスは、パケット伝送に
より実現されるので、複数の内部ホスト１０１と複数の
端末１０５間において同時通信を実現できる。

【００６１】（Ｃ）第２の実施形態 続いて、第２の実施形態を説明する。ところで、前述の
第１の実施形態が有効に機能するには、内部ネットワー
クにおいて、受信先アドレスが端末の移動前アドレスＩ
２であるパケットがファイアウォールに届かなければな
らず、届かない場合には外部ネットワークに移動した端
末との間で通信できない。例えば、内部ホストと移動前
の端末との間の経路にファイアウォールが位置しない場
合には、ルータの経路制御テーブルを変更しないと、受
信先アドレスが端末の移動前アドレスＩ２であるパケッ
トをファイアウォールに届けることができない。そこ
で、次の実施形態を考える。

【００６２】（Ｃ−１）第２の実施形態の構成 図６は、第２の実施形態の構成図である。この通信シス
テムは、内部ホスト６０１、「通信路Ａ」６０２、ファ
イアウォール６０３、「通信路Ｂ」６０４、端末６０５
からなる。ここで、「通信路Ａ」６０２は、内部ホスト
６０１とファイアウォール６０３の間の通信路であり、
内部ネットワークの通信路である。「通信路Ｂ」６０４
は、ファイアウォール６０３と端末６０５の間の通信路
である。「通信路Ｂ」６０４は、外部ネットワークの通
信路である。

【００６３】この実施形態では、第１の実施形態におい
てはファイアウォールに設けられていた３つの構成要素
のうち２つの構成要素が内部ホスト６０１側に設けるよ
うにしている。すなわち、本実施形態に係る内部ホスト
６０１は、セッション管理部６０６、トンネリング処理
部６０７を構成要素にもつ。

【００６４】一方、本実施形態に係るファイアウォール
６０３の構成要素は、セッション管理部６０８、アクセ
ス制御部６０９の２つである。

【００６５】本実施形態に係る端末６０５の構成要素
は、第１の実施形態の場合と同じ、すなわち、セッショ
ン管理部６１０、移動前情報記憶部６１１、トンネリン
グ処理部６１２の３つである。ここで、移動前情報記憶
部６１１は、端末６０５の移動前アドレスＩ２、内部ホ
スト６０１のアドレスＩ１を記憶している。

【００６６】なお、本実施形態の場合には、２つのトン
ネルを用意する。１つは、内部ホスト６０１とファイア
ウォール６０３の間のトンネル６１３であり、１つは、
ファイアウォール６０３と端末６０５の間のトンネル６
１４である。

【００６７】内部ホスト６０１は、端末６０５のアドレ
スとして移動前アドレスＩ２を使用して、パケットをト
ンネリング処理部６０７と入出力する。

【００６８】端末６０５は、端末６０５のアドレスとし
て移動前アドレスＩ２を使用して、パケットをトンネリ
ング処理部６１２と入出力する。

【００６９】セッション管理部６０８とセッション管理
部６１０は、互いに通信し、端末６０５の認証と鍵交換
をする。ここで、セッション管理部６１０は、セッショ
ン管理部６０８へ、端末６０５が外部ネットワークへ移
動したこと、移動後のアドレスがＥであること、移動前
アドレスがＩ２であること、内部ホスト６０１のアドレ
スがＩ１であることを通知する。一方、セッション管理
部６０８は、セッション管理部６０６へ、端末６０５が
外部ネットワークへ移動したこと、移動後のアドレスが
Ｅであること、移動前アドレスがＩ２であること、及び
鍵を通知する。

【００７０】トンネリング処理部６０７は、セッション
管理部６０８が交換した鍵を使用して、端末６０５宛て
のパケットを暗号処理しカプセル化する。また、トンネ
リング処理部６０７は、内部ホスト６０１宛てのパケッ
トを脱カプセル化し復号処理する。

【００７１】トンネリング処理部６１２は、セッション
管理部６１０が交換した鍵を使用して、内部ホスト６０
１宛てのパケットを暗号処理しカプセル化する。また、
トンネリング処理部６１２は、端末６０５宛てのパケッ
トを脱カプセル化し復号処理する。

【００７２】アクセス制御部６０９は、受信するパケッ
トが、内部ホスト６０１と端末６０５の間の通信のパケ
ットであるかを判定する。アクセス制御部６０９は、内
部ホスト６０１と端末６０５の間の通信のパケットを中
継する。アクセス制御部６０９は、内部ホスト６０１と
端末６０５の間の通信ではないパケットを中継しない。

【００７３】（Ｃ−２）第２の実施形態の動作 続いて、図６に示す通信システムによって実現される通
信動作を説明する。

【００７４】（Ｃ−２−１）通信開始前の動作 まず、内部ホスト６０１と端末６０５が通信を開始する
までの動作を説明する。

【００７５】セッション管理部６０８とセッション管理
部６１０が通信し、端末６０５の認証と鍵交換をする。
セッション管理部６１０は、セッション管理部６０８
ヘ、端末６０５が外部ネットワークへ移動したこと、移
動後のアドレスがＥであること、移動前アドレスがＩ２
であること、内部ホスト６０１のアドレスがＩ１である
ことを通知する。セッション管理部６０８は、セッショ
ン管理部６０６へ、端末６０５が外部ネットワークへ移
動したこと、移動後のアドレスがＥであること、移動前
アドレスがＩ２であること、及び鍵を通知する。これに
より、アクセス制御部６０９は、内部ホスト６０１と端
末６０５の間のパケットを中継するようになる。

【００７６】（Ｃ−２−２）通信開始後の動作 次に、内部ホスト６０１と端末６０５が通信する時の動
作を説明する。

【００７７】なお、内部ホスト６０１から端末６０５へ
伝送されるパケット６１５の受信先アドレスはＩ２、送
信元アドレスはＩ１となる。また、このパケット６１５
をカプセル化したパケット６１６の受信先アドレスは
Ｅ、送信元アドレスはＩ１となる。なお、パケット６１
７は、パケット６１６と同一である。パケット６１８
は、パケット６１５と同一である。

【００７８】一方、端末６０５から内部ホスト６０１へ
伝送されるパケット６１９の受信先アドレスはＩ１、送
信元アドレスはＩ２となる。また、このパケット６１９
をカプセル化したパケット６２０の受信先アドレスはＩ
１、送信元アドレスはＥとなる。なお、パケット６２１
は、パケット６２０と同一である。パケット６２２は、
パケット６１９と同一である。

【００７９】（Ｃ−２−２−１）内部ホストから端末へ
の送信 まず、内部ホスト６０１から端末６０５にパケットを送
信する場合の動作を説明する。

【００８０】内部ホスト６０１は、パケット６１５をト
ンネリング処理部６０７へ入力する。トンネリング処理
部６０７は、セッション管理部６０８が交換した鍵を使
用して、パケット６１５を暗号処理しカプセル化しパケ
ット６１６を得る。この時、パケット６１５の受信先ア
ドレスがＩ２であるので、パケット６１６の受信先アド
レスをＥにする。トンネリング処理部６０７は、「通信
路Ａ」６０２へパケット６１６を送信する。

【００８１】ファイアウォール６０３のアクセス制御部
６０９は、「通信路Ａ」６０２からパケット６１６を受
信する。アクセス制御部６０９は、パケット６１６が内
部ホスト６０１と端末６０５の間のパケットであると判
定する。アクセス制御部６０９は、「通信路Ｂ」６０４
へパケット６１７を送信する。トンネリング処理部６１
２は、「通信路Ｂ」６０４からパケット６１７を受信す
る。トンネリング処理部６１２は、セッション管理部６
１０が交換した鍵を使用して、パケット６１７を脱カプ
セル化し復号処理し、パケット６１８を得る。

【００８２】端末６０５は、トンネリング処理部６１２
からパケット６１８を得る。

【００８３】（Ｃ−２−２−２）端末から内部ホストへ
の送信 逆に、端末６０５から内部ホスト６０１にパケットを送
信する場合の動作を説明する。

【００８４】端末６０５は、パケット６１９をトンネリ
ング処理部６１２に入力する。トンネリング処理部６１
２は、セッション管理部６１０が交換した鍵を使用し
て、パケット６１９を暗号処理しカプセル化しパケット
６２０を得る。この時、パケット６１９の受信先アドレ
スがＩ１であるので、パケット６２０の受信先アドレス
をＩ１にする。

【００８５】ファイアウォール６０３のアクセス制御部
６０９は、パケット６２０が内部ホスト６０１と端末６
０５の間のパケットであると判定し、パケット６２０を
中継する。

【００８６】内部ホスト６０１のトンネリング処理部６
０７は、セッション管理部６０８が交換した鍵を使用し
て、パケット６２１を脱カプセル化し復号処理しパケッ
ト６２２を得る。

【００８７】（Ｃ−３）第２の実施形態の効果 以上のように、第２の実施形態によれば、内部ホストと
端末との間にトンネルを設けるので、内部ネットワーク
において、受信先アドレスが端末の移動前アドレスＩ２
であるパケットがファイアウォールに届かない場合であ
っても、ルーティングテープルを変更することなく経路
制御をすることができる。これにより、外部ネットワー
クに移動した端末は任意の内部ホストにアクセスできる
ようになる。

【００８８】また、第２の実施形態によれば、複数の内
部ホスト６０１と複数の端末６０５が同時に通信可能で
ある。

【００８９】（Ｄ）第３の実施形態 続いて、第３の実施形態を説明する。ところで、第２の
実施形態では、外部ネットワークにおいて、ヘッダに内
部ホストのアドレスを含むパケットを伝送する形態とな
るため、外部ネットワークにおいて内部ホストのアドレ
スを隠蔽できない。そこで、次の実施形態を考える。

【００９０】（Ｄ−１）第３の実施形態の構成 図７は、第３の実施形態の構成図である。この通信シス
テムの場合も基本構成は、内部ホスト７０１、「通信路
Ａ」７０２、ファイアウォール７０３、「通信路Ｂ」７
０４、端末７０５である。なお、図７は、図６との対応
部分に対応符号を付して示すもので、セッション管理部
７０６〜トンネリング処理部７１２は、それぞれ、図６
のセッション管理部６０６〜トンネリング処理部６１２
に対応している。これらの構成は、第２の実施形態の場
合と同様である。また、トンネル内のパケットを除く各
パケット７１５、７１８、７１９、７２２も、第２の実
施形態の場合と同様である。

【００９１】従って、本実施形態と第２の実施形態との
違いは、本実施形態に係るファイアウォール７０３がア
ドレス変換部７２３を構成要素として有している点にあ
る。このアドレス変換部７２３は、ファイアウォール７
０３のアクセス制御部７０９が中継するパケットのヘッ
ダアドレスを書き換える役割をもつものである。

【００９２】（Ｄ−２）第３の実施形態の動作 続いて、図７に示す通信システムによって実現される通
信動作を説明する。なお、以下の説明では、第３の実施
形態の動作のうち、第２の実施形態の動作と異なる動作
を重点的に説明することにする。

【００９３】（Ｄ−２−１）通信開始前の動作 まず、内部ホスト７０１と端末７０５が通信を開始する
までの動作であるが、これは、第２の実施形態の場合と
同様である。すなわち、セッション管理部７０６と７０
８及びセッション管理部７０８と７１０の間で通信がな
され、端末７０５の移動が通知される。

【００９４】（Ｄ−２−２）通信開始後の動作 次に、内部ホスト７０１と端末７０５が通信する時の動
作を説明する。

【００９５】ただし、この実施形態の場合には、内部ホ
スト７０１から端末７０５へ伝送されるパケット７１５
をカプセル化したパケット７１６の受信先アドレスがＦ
ｉ、送信元アドレスがＩ１となる。しかも、このパケッ
ト７１６のアドレスは書き換えの対象となるので、パケ
ット７１７の受信先アドレスはＥ、送信元アドレスはＦ
ｅとなる。その反対に、端末７０５から内部ホスト７０
１へ伝送されるパケット７１９をカプセル化したパケッ
ト７２０の受信先アドレスはＦｅ、送信元アドレスはＥ
となる。また同様に、パケット７２１の受信先アドレス
はＩ１、送信元アドレスはＦｉとなる。

【００９６】（Ｄ−２−２−１）内部ホストから端末へ
の送信 まず、内部ホスト７０１から端末７０５にパケットを送
信する場合の動作を説明する。

【００９７】アクセス制御部７０９がパケット７１６は
内部ホスト７０１と端末７０５の間の通信のパケットで
あると判定するまでの動作は、第２の実施形態の場合と
同様である。

【００９８】アクセス制御部７０９は、パケット７１６
をアドレス変換部７２３に入力する。アドレス変換部７
２３は、パケット７１６のへッダのアドレスを書き換
え、パケット７１７を得る。この時、パケット７１６の
送信元アドレスがＩ１であるので、パケット７１７の受
信先アドレスをＥにする。アドレス変換部７２３は、ア
クセス制御部７０９へパケット７１７を出力する。

【００９９】端末７０５がパケット７１８を得るまでの
動作は、第２の実施形態と同様である。

【０１００】（Ｄ−２−２−２）端末から内部ホストへ
の送信 逆に、端末７０５から内部ホスト７０１にパケットを送
信する場合の動作を説明する。

【０１０１】アクセス制御部７０９がパケット７２０が
内部ホスト７０１と端末７０５の間の通信のパケットで
あると判定するまでの動作は、第２の実施形態と同様で
ある。

【０１０２】アクセス制御部７０９は、パケット７２０
をアドレス変換部７２３に入力する。アドレス変換部７
２３は、パケット７２０のへッダのアドレスを書き換
え、パケット７２１を得る。この時、パケット７２０の
送信元アドレスがＥであるので、パケット７２１の受信
先アドレスをＩ１にする。

【０１０３】アドレス変換部７２３は、アクセス制御部
７０９にパケット７２１を出力する。内部ホスト７０１
がパケット７２２を得るまでの動作は、第２の実施形態
と同様である。

【０１０４】（Ｄ−３）第３の実施形態の効果 以上のように、第３の実施形態によれば、ファイアウォ
ールにアドレスを変換する機能を備えたので、外部ネッ
トワークに、内部ホストのアドレスを隠蔽できるという
効果が得られる。

【０１０５】（Ｅ）第４の実施形態 続いて、第４の実施形態を説明する。ところで、第３の
実施形態では、内部ホスト７０１から端末７０５へパケ
ットを送信する場合に、パケット７１６の送信元アドレ
ス１１により、パケット７１７の受信先アドレスＥを決
定する。また、端末７０５から内部ホスト７０１へパケ
ットを送信する場合に、パケット７２０の送信元アドレ
スＥにより、パケット７２１の受信先アドレスＩ１を決
定する。従って、外部ネットワークに移動した端末７０
５が、ある内部ホスト７０１と通信中の場合には、外部
ネットワークに移動した他の端末７０５は、同じ内部ホ
スト７０１と同時に通信を行うことができない。そこ
で、次の構成を考える。

【０１０６】（Ｅ−１）第４の実施形態の構成 図８は、第４の実施形態の構成図である。この通信シス
テムの場合も基本構成は、内部ホスト８０１、「通信路
Ａ」８０２、ファイアウォール８０３、「通信路Ｂ」８
０４、端末８０５である。また、図７との対応部分に対
応符号を付して示した図８から分かるように、これらを
構成する各構成要素も基本的には、第３の実施形態と同
じである。

【０１０７】本実施形態が第３の実施形態と異なってい
るのは、ファイアウォール８０３が、外部ネットワーク
に接続しているネットワーク・インターフェースのアド
レスと内部ネットワークに接続しているネットワーク・
インターフェースのアドレスをそれぞれ複数有する点で
ある。すなわち、ファイアウォール８０３は、外部ネッ
トワークに接続しているネットワーク・インターフェー
スのアドレスとしてＦｅ１〜Ｆｅｎ（ｎ＞１）を有し、
内部ネットワークに接続しているネットワーク・インタ
ーフェースのアドレスとしてＦｉ１〜Ｆｉｍ（ｍ＞１）
を有する点である。

【０１０８】この点について生じる違いを説明する。セ
ッション管理部８０８とセッション管理部８１０は、互
いに通信し、端末８０５の認証と鍵交換をする。ここ
で、セッション管理部８１０は、セッション管理部８０
８ヘ、端末８０５が外部ネットワークへ移動したこと、
移動後のアドレスがＥであること、移動前アドレスがＩ
２であること、内部ホスト８０１のアドレスがＩ１であ
ることを通知する。

【０１０９】セッション管理部８０８は、複数のアドレ
スＦｅ１〜Ｆｅｎのうち、その時点で使用していないア
ドレスＦｅｉを求める。セッション管理部８０８は、Ｆ
ｉ１〜Ｆｉｍのうち、その時点で使用していないアドレ
スＦｉｊを求める。セッション管理部８０８は、セッシ
ョン管理部８１０に、内部ホスト８０１と端末８０５の
通信で使用するファイアウォール８０３の外部アドレス
がＦｅｉであることを通知する。

【０１１０】セッション管理部８０８は、セッション管
理部８０６へ、端末８０５が外部ネットワークへ移動し
たこと、移動前アドレスがＩ２であること、内部ホスト
８０１と端末８０５の通信で使用するファイアウォール
８０３の内部アドレスがＦｉｊであること、鍵を通知す
る。

【０１１１】（Ｅ−２）第４の実施形態の動作 続いて、図８に示す通信システムによって実現される通
信動作を説明する。なお、以下の説明では、第４の実施
形態の動作のうち、第３の実施形態の動作と異なる動作
を重点的に説明することにする。

【０１１２】（Ｅ−２−１）通信開始前の動作 まず、内部ホスト８０１と端末８０５が通信を開始する
までの動作を説明する。

【０１１３】セッション管理部８０８とセッション管理
部８１０は、互いに通信し、端末８０５の認証と鍵交換
をする。セッション管理部８１０は、セッション管理部
８０８へ、端末８０５が外部ネットワークへ移動したこ
と、移動後のアドレスがＥであること、移動前アドレス
がＩ２であること、内部ホスト８０１のアドレスがＩ１
であることを通知する。

【０１１４】セッション管理部８０８は、複数有するＦ
ｅ１〜Ｆｅｎのうち、その時点で使用していないアドレ
スＦｅｉを求める。セッション管理部８０８は、Ｆｉ１
〜Ｆｉｍのうち、その時点で使用していないアドレスＦ
ｉｊ求める。

【０１１５】セッション管理部８０８は、セッション管
理部８１０へ、内部ホスト８０１と端末８０５の通信で
使用するファイアウォール８０３の外部アドレスがＦｅ
ｉであることを通知する。また、セッション管理部８０
８は、セッション管理部８０６ヘ、端末８０５が外部ネ
ットワークへ移動したこと、移動前アドレスがＩ２であ
ること、内部ホスト８０１と端末８０５の通信で使用す
るファイアウォール８０３の内部アドレスがＦｉｊであ
ること、鍵を通知する。

【０１１６】（Ｅ−２−２）通信開始後の動作 次に、内部ホスト８０１と端末８０５が通信する場合の
動作を説明する。なおここでは、第４の実施形態の動作
のうち、第２の実施形態の動作とは異なる動作を説明す
る。

【０１１７】なお、内部ホスト８０１から端末８０５へ
伝送されるパケット８１５の受信先アドレスはＩ２、送
信元アドレスはＩ１となる。また、このパケット８１５
をカプセル化したパケット８１６の受信先アドレスはＦ
ｉｊ、送信元アドレスはＩ１となる。なお、パケット８
１７は、パケット８１６のヘッダのアドレスを書き換え
たパケットであり、その受信先アドレスはＥ、送信元ア
ドレスはＦｅｉである。パケット８１８は、パケット８
１５と同一である。

【０１１８】一方、端末８０５から内部ホスト８０１へ
伝送されるパケット８１９の受信先アドレスはＩ１、送
信元アドレスはＩ２となる。また、このパケット８１９
をカプセル化したパケット８２０の受信先アドレスはＦ
ｅｉ、送信元アドレスはＥとなる。パケット８２１は、
パケット８２０のヘッダのアドレスを書き換えたパケッ
トであり、その受信先アドレスはＩ１、送信元アドレス
はＦｉｊとなる。パケット８２２は、パケット８１９と
同一である。

【０１１９】（Ｅ−２−２−１）内部ホストから端末へ
の送信 まず、内部ホスト８０１から端末８０５にパケットを送
信する場合の動作を説明する。

【０１２０】トンネリング処理部８０７は、パケット８
１５の受信先アドレスがＩ２であるので、パケット８１
６の受信先アドレスをＦｉｊにする。

【０１２１】ファイアウォール８０３のアドレス変換部
８２３は、パケット８１６の受信先アドレスがＦｉｊで
あるので、パケット８１７の受信先アドレスをＥにす
る。

【０１２２】（Ｅ−２−２−２）端末から内部ホストへ
の送信 逆に、端末８０５から内部ホスト８０１にパケットを送
信する場合の動作を説明する。

【０１２３】トンネリング処理部８１２は、パケット８
１９の受信先アドレスがＩ１であるので、パケット８２
０の受信先アドレスをＦｅｉにする。

【０１２４】ファイアウォール８０３のアドレス変換部
８２３は、パケット８２０の受信先アドレスがＦｅｉで
あるので、パケット８２１の受信先アドレスをＩ１にす
る。

【０１２５】（Ｅ−３）第４の実施形態の効果 以上のように、第４の実施形態によれば、ファイアウォ
ールの外部アドレスと内部アドレスを複数にしたので、
複数の内部ホストと複数の端末が同時に通信可能となる
効果が得られる。

【０１２６】（Ｆ）第５の実施形態 続いて、第５の実施形態を説明する。ところで、第４の
実施形態では、ファイアウォールに複数の外部アドレス
と複数の内部アドレスを割り当てる必要がある。そこ
で、次の構成を考える。

【０１２７】（Ｆ−１）第５の実施形態の構成 従来技術に示した文献においては、カプセル化した後の
パケットのヘッダには、受信先アドレスと送信元アドレ
ス以外に、ＳＰＩ（Security Parameters Index）を含
む。ＳＰＩにより、使用する暗号アルゴリズムや鍵など
のセキュリティに関係するパラメータを表している。パ
ケットを受信するコンピュータは、ＳＰＩを決めて、パ
ケットを送信するコンピュータに、ＳＰＩを通知する。

【０１２８】そこで、第５の実施形態においては、パケ
ットがどの内部ホストとどの端末の間の通信のパケット
であるかを、ＳＰＩにより表すことにする。

【０１２９】図９は、第５の実施形態の構成図である。
図９は、第３の実施形態の説明に用いた図７との対応部
分に対応符号を付したものである。従って、ここでは、
本実施形態の構成のうち、第３の実施形態の構成と異な
る部分を説明する。

【０１３０】セッション管理部９０８とセッション管理
部９１０は、互いに通信し、端末９０５の認証と鍵交換
をする。

【０１３１】セッション管理部９１０は、内部ホスト９
０１が端末９０５へ送信するパケットのＳＰＩ（ここで
はＢとする。）を求める。セッション管理部９１０は、
セッション管理部９０８へ、端末９０５が外部ネットワ
ークへ移動したこと、移動後のアドレスがＥであるこ
と、移動前アドレスがＩ２であること、内部ホスト９０
１のアドレスがＩ１であること、内部ホスト９０１が端
末９０５へ送信するパケットのＳＰＩがＢであることを
通知する。

【０１３２】セッション管理部９０８は、セッション管
理部９０６ヘ、端末９０５が外部ネットワークヘ移動し
たこと、移動後のアドレスがＥであること、移動前アド
レスがＩ２であること、内部ホスト９０１が端末９０５
へ送信するパケットのＳＰＩがＢであること、鍵を通知
する。

【０１３３】セッション管理部９０６は、端末９０５が
内部ホスト９０１へ送信するパケットのＳＰＩ（ここで
は、Ａとする。）を求める。セッション管理部９０６
は、セッション管理部９０８へ、端末９０５が内部ホス
ト９０１へ送信するパケットのＳＰＩがＡであることを
通知する。セッション管理部９０８は、セッション管理
部９１０へ、端末９０５が内部ホスト９０１へ送信する
パケットのＳＰＩがＡであることを通知する。

【０１３４】トンネリング処理部９０７は、パケット９
１５をカプセル化する時に、ＳＰＩをＢにする。トンネ
リング処理部９１２は、パケット９１９をカプセル化す
る時に、ＳＰＩをＡにする。

【０１３５】アドレス変換部９２３は、ＳＰＩにより、
パケットのヘッダのアドレスを書き換える。

【０１３６】（Ｆ−２）第５の実施形態の動作 続いて、図９に示す通信システムによって実現される通
信動作を説明する。

【０１３７】（Ｆ−２−１）通信開始前の動作 まず、内部ホスト９０１と端末９０５が通信を開始する
までの動作を説明する。

【０１３８】セッション管理部９０８とセッション管理
部９１０は、互いに通信し、端末９０５の認証と鍵交換
をする。

【０１３９】セッション管理部９１０は、内部ホスト９
０１が端末９０５へ送信するパケットのＳＰＩ（ここで
はＢとする。）を求める。セッション管理部９１０は、
セッション管理部９０８へ、端末９０５が外部ネットワ
ークへ移動したこと、移動後のアドレスがＥであるこ
と、移動前アドレスがＩ２であること、内部ホスト９０
１のアドレスがＩ１であること、内部ホスト９０１が端
末９０５へ送信するパケットのＳＰＩがＢであることを
通知する。

【０１４０】セッション管理部９０８は、セッション管
理部９０６ヘ、端末９０５が外部ネットワークへ移動し
たこと、移動前アドレスがＩ２であること、内部ホスト
９０１が端末９０５へ送信するパケットのＳＰＩがＢで
あること、鍵を通知する。

【０１４１】セッション管理部９０６は、端末９０５が
内部ホスト９０１へ送信するパケットのＳＰＩ（ここで
は、Ａとする。）を求める。セッション管理部９０６
は、セッション管理部９０８へ、端末９０５が内部ホス
ト９０１へ送信するパケットのＳＰＩがＡであることを
通知する。

【０１４２】セッション管理部９０８は、セッション管
理部９１０ヘ、端末９０５が内部ホスト９０１へ送信す
るパケットのＳＰＩがＡであることを通知する。

【０１４３】（Ｆ−２−２）通信開始後の動作 次に、内部ホスト９０１と端末９０５が送信する場合の
動作を説明する。なおここでは、第５の実施形態の動作
のうち、第３の実施形態の動作とは異なる動作を説明す
る。

【０１４４】なお、内部ホスト９０１から端末９０５へ
伝送されるパケット９１５の受信先アドレスはＩ２、送
信元アドレスはＩ１となる。また、このパケット９１５
をカプセル化したパケット９１６の受信先アドレスはＦ
ｉ、送信元アドレスはＩ１、ＳＰＩはＢである。パケッ
ト９１７は、パケット９１６のヘッダのアドレスを書き
換えたパケットであり、受信先アドレスはＥ、送信元ア
ドレスはＦｅ、ＳＰＩはＢである。パケット９１８は、
パケット９１５と同一である。

【０１４５】一方、端末９０５から内部ホスト９０１へ
伝送されるパケット９１９の受信先アドレスはＩ１、送
信元アドレスはＩ２となる。パケット９２０は、このパ
ケット９１９をカプセル化したパケットであり、その受
信先アドレスはＦｅ、送信元アドレスはＥ、ＳＰＩはＡ
となる。パケット９２１は、パケット９２０のヘッダの
アドレスを書き換えたパケットであり、受信先アドレス
はＩ１、送信元アドレスはＦｉ、ＳＰＩはＡである。パ
ケット９２２は、パケット９１９と同一である。

【０１４６】（Ｆ−２−２−１）内部ホストから端末へ
の送信 内部ホスト９０１から端末９０５にパケットを送信する
場合の動作を説明する。

【０１４７】内部ホスト９０１は、パケット９１５をト
ンネリング処理部９０７に入力する。トンネリング処理
部９０７は、パケット９１５を暗号処理しカプセル化し
パケット９１６を得る。この時、パケット９１５の受信
先アドレスがＩ２であるので、パケット９１６のＳＰＩ
をＢとする。トンネリング処理部９０７はパケット９１
６を「通信路Ａ」９０２に送信する。

【０１４８】ファイアウォール９０３のアクセス制御部
９０９は、「通信路Ａ」９０２からパケット９１６を受
信する。アクセス制御部９０９は、パケット９１６をア
ドレス変換部９２３に入力する。アドレス変換部９２３
は、パケット９１６のヘッダのアドレスを書き換え、パ
ケット９１７を得る。この時、パケット９１６のＳＰＩ
がＢであることから、パケット９１７の受信先アドレス
をＥとする。

【０１４９】端末９０５がパケット９１８を得るまでの
動作は、第３の実施形態と同様である。

【０１５０】（Ｆ−２−２−２）端末から内部ホストへ
の送信 逆に、端末９０５から内部ホスト９０１にパケットを送
信する場合の動作を説明する。

【０１５１】端末９０５は、パケット９１９をトンネリ
ング処理部９１２へ入力する。トンネリング処理部９１
２は、パケット９１９を暗号処理しカプセル化しパケッ
ト９２０を得る。この時、パケット９１９の受信先アド
レスがＩ１であるので、パケット９２０のＳＰＩをＡと
する。トンネリング処理部９１２は、「通信路Ｂ」９０
４にパケット９２０を送信する。

【０１５２】ファイアウォール９０３のアクセス制御部
９０９は、「通信路Ｂ」９０４からパケット９２０を受
信する。アクセス制御部９０９は、パケット９２０をア
ドレス変換部９２３に入力する。アドレス変換部９２３
は、パケット９２０のヘッダのアドレスを書き換えパケ
ット９２１を得る。この時、パケット９２０のＳＰＩが
Ａであることから、パケット９２１の受信先アドレスを
Ｉ１とする。

【０１５３】内部ホスト９０１がパケット９２２を得る
までの動作は、実施形態３の動作と同様である。

【０１５４】（Ｆ−３）第５の実施形態の効果 以上のように、第５の実施形態によれば、パケットヘッ
ダに書き込まれているＳＰＩにより、パケットがどの内
部ホストとどの端末の間の通信のパケットであるかを表
すようにしたので、ファイアウォールに複数の外部アド
レスと複数の内部アドレスを割り当てなくても、複数の
内部ホストと複数の端末が同時に通信可能となる効果が
得られる。

【０１５５】（Ｇ）第６の実施形態 続いて、第６の実施形態を説明する。ところで、第２、
第３、第４、第５の実施形態では、内部ネットワークの
あるサブネットに位置する端末を、内部ネットワークの
他のサブネットへ移動すると、端末のアドレスが変化す
るので、端末は移動前のサービス利用権限で内部ホスト
が提供するサービスを利用できなくなることがある。そ
こで、次の構成を考える。

【０１５６】なお、第６の実施形態では、端末が外部ネ
ットワークに移動する場合に係る構成と動作は、第２の
実施形態と同様である。以下では、第６の実施形態の構
成と動作のうち、第２の実施形態の構成と動作とは異な
る構成と動作を説明する。

【０１５７】（Ｇ−１）第６の実施形態の構成 図１０は、第６の実施形態の構成図である。図１０に
は、内部ネットワークのあるサブネットに位置する端末
を、内部ネットワークの他のサブネット（サブネット
Ａ）ヘ移動する場合に係る構成要素のみを示してある。
また、図１０は、端末を外部ネットワークへ移動する場
合に係る構成要素の一部を示したものである。従って、
図１０では、内部ホスト１００１、「通信路Ｃ」１００
２、端末１００３の３つのみを示している。

【０１５８】本実施形態に係る内部ホスト１００１は、
外部セッション管理部１００４、内部セッション管理部
１００５、トンネリング処理部１００６を構成要素とし
てもつ。

【０１５９】本実施形態に係る端末１００３は、内部セ
ッション管理部１００７、外部セッション管理部１００
８、移動前情報記憶部１００９、トンネリング処理部１
０１０を構成要素としてもつ。

【０１６０】また、内部ホスト１００１と端末１００３
の間にトンネル１０１１を設ける。

【０１６１】ここで、「通信路Ｃ」１００２は、内部ホ
スト１００１と端末１００３の間の通信路である。すな
わち、「通信路Ｃ」１００２は、内部ネットワークの通
信路である。

【０１６２】また、第２の実施形態と同様、ファイアウ
ォールの構成要素は、セッション管理部とアクセス制御
部である。内部ホスト１００１とファイアウォールとの
間には、「通信路Ａ」とトンネルがある。ファイアウォ
ールと外部ネットワークに移動した端末との間には、
「通信路Ｂ」とトンネルがある。

【０１６３】外部セッション管理部１００８とファイア
ウォールのセッション管理部は、互いに通信し、外部ネ
ットワークに移動した端末の認証と鍵交換をする。外部
セッション管理部１００８は、ファイアウォールのセッ
ション管理部へ、端末が外部ネットワークへ移動したこ
と、移動後のアドレスがＥであること、移動前アドレス
がＩ２であること、内部ホスト１００１のアドレスがＩ
１であることを、通知する。

【０１６４】ファイアウォールのセッション管理部は、
外部セッション管理部１００４へ、端末が外部ネットワ
ークへ移動したこと、移動後のアドレスがＥであるこ
と、移動前アドレスがＩ２であること、鍵を通知する。

【０１６５】内部セッション管理部１００５と内部セッ
ション管理部１００７は、互いに通信し、端末１００３
の認証と鍵交換をする。内部セッション管理部１００７
は、内部セッション管理部１００５ヘ、端末１００３が
内部ネットワークの他のサブネットに移動したこと、移
動後のアドレスがＩ２’であること、移動前アドレスが
Ｉ２であることを通知する。

【０１６６】トンネリング処理部１００６は、内部セッ
ション管理部１００５が交換した鍵を使用して、端末１
００３宛てのパケットを暗号処理してカプセル化する。

【０１６７】また、トンネリング処理部１００６は、外
部セッション管理部１００４が交換した鍵を使用して、
外部ネットワークへ移動した端末宛てのパケットを暗号
処理してカプセル化する。トンネリング処理部１００６
は、内部ホスト１００１宛てのパケットを脱カプセル化
し復号処理する。

【０１６８】トンネリング処理部１０１０は、内部セッ
ション管理部１００７が交換した鍵を使用して、内部ホ
スト１００１宛てのパケットを暗号処理しカプセル化す
る。また、トンネリング処理部１０１０は、外部セッシ
ョン管理部１００８が交換した鍵を使用して、内部ホス
ト１００１宛てのパケットを暗号処理しカプセル化す
る。トンネリング処理部１０１０は、端末１００３宛て
のパケットを脱カプセル化し復号処理する。

【０１６９】（Ｇ−２）第６の実施形態の動作 続いて、図１０に示す通信システムによって実現される
通信動作を説明する。

【０１７０】（Ｇ−２−１）通信開始前の動作 まず、内部ホスト１００１と端末１００３の通信の開始
における動作を説明する。

【０１７１】内部セッション管理部１００５と内部セッ
ション管理部１００７は、互いに通信し、端末１００３
の認証と鍵交換をする。

【０１７２】内部セッション管理部１００７は、内部セ
ッション管理部１００５に、端末１００３が内部ネット
ワークの他のサブネットに移動したこと、移動後のアド
レスがＩ２’であること、移動前アドレスがＩ２である
ことを通知する。

【０１７３】（Ｇ−２−２）通信開始後の動作 次に、内部ホスト１００１と端末１００３が通信をする
時の動作を説明する。

【０１７４】なお、内部ホスト１００１から端末１００
３へ伝送されるパケット１０１２の受信先アドレスはＩ
２、送信元アドレスはＩ１となる。また、このパケット
１００１２をカプセル化したパケット１０１３の受信先
アドレスはＩ２’、送信元アドレスはＩ１である。パケ
ット１０１４は、パケット１０１２と同一である。

【０１７５】一方、端末１００３から内部ホスト１００
１へ伝送されるパケット１０１５の受信先アドレスはＩ
１、送信元アドレスはＩ２となる。パケット１０１６
は、このパケット１０１５をカプセル化したパケットで
あり、その受信先アドレスはＩ１、送信元アドレスはＩ
２’となる。パケット１０１７は、パケット１０１５と
同一である。

【０１７６】（Ｇ−２−２−１）内部ホストから端末へ
の送信 まず、内部ホスト１００１から端末１００３へパケット
を送信する場合の動作を説明する。

【０１７７】内部ホスト１００１は、トンネリング処理
部１００６にパケット１０１２を入力する。トンネリン
グ処理部１００６は、パケット１０１２を暗号処理しカ
プセル化しパケット１０１３を得る。この時、パケット
１０１２の受信先アドレスがＩ２であるので、パケット
１０１３の受信先アドレスを１２’にする。トンネリン
グ処理部１００６は、「通信路Ｃ」１００２にパケット
１０１３を送信する。トンネリング処理部１０１０は、
「通信路Ｃ」１００２からパケット１０１３を受信す
る。

【０１７８】トンネリング処理部１０１０は、パケット
１０１３を脱カプセル化し復号処理しパケット１０１４
を得る。

【０１７９】（Ｇ−２−２−２）端末から内部ホストへ
の送信 逆に、端末１００３から内部ホスト１００１へパケット
を送信する場合の動作を説明する。

【０１８０】端末１００３は、トンネリング処理部１０
１０にパケット１０１５を入力する。トンネリング処理
部１０１０は、パケット１０１５を暗号処理しカプセル
化しパケット１０１６を得る。この時、パケット１０１
５の受信先アドレスがＩ１であるので、パケット１０１
６の受信先アドレスをＩ１とする。トンネリング処理部
１０１０は、「通信路Ｃ」１００２にパケット１０１６
を送信する。トンネリング処理部１００６は、「通信路
Ｃ」１００２からパケット１０１６を受信する。トンネ
リング処理部１００６は、パケット１０１６を脱カプセ
ル化し復号処理しパケット１０１７を得る。

【０１８１】内部ホスト１００１は、パケット１０１７
を得る。

【０１８２】（Ｇ−３）第６の実施形態の効果 以上のように、第６の実施形態によれば、内部ネットワ
ークの他のサブネットへ移動した端末と内部ホストの間
にトンネルを設けるので、端末を内部ネットワークの他
のサブネットへ移動しても、端末は移動前のサービス利
用権限で内部ホストが提供するサービスを利用できると
いう効果が得られる。

【０１８３】勿論、第６の実施形態では、複数の内部ホ
ストと複数の端末が同時に通信可能である。

【０１８４】（Ｈ）第７の実施形態 続いて、第７の実施形態を説明する。ところで、第２、
第３、第４、第５、第６の実施形態では、内部ホストご
とに、端末までトンネルを設ける機能を備える必要があ
る。そこで、次の構成を考える。

【０１８５】（Ｈ−１）第７の実施形態の構成 図１１は、第７の実施形態の構成図である。本実施形態
に係る通信システムは、内部ホスト１１０１、「通信路
Ａ」１１０２、サブネット管理サーバ１１０３、「通信
路Ｂ」１１０４、ファイアウォール１１０５、「通信路
Ｃ」１１０６、端末１１０７からなる。

【０１８６】本実施形態に係るサブネット管理サーバ１
１０３は、セッション管理部１１０８、トンネリング処
理部１１０９を構成要素とする。

【０１８７】本実施形態に係るファイアウォール１１０
５は、セッション管理部１１１０、アクセス制御部１１
１１を構成要素とする。

【０１８８】本実施形態に係る端末１１０７は、セッシ
ョン管理部１１１２、移動前情報記憶部１１１３、トン
ネリング処理部１１１４を構成要素とする。

【０１８９】「通信路Ａ」１１０２は、内部ホスト１１
０１とサブネット管理サーバ１１０３の間の通信路であ
る。すなわち、「通信路Ａ」１１０２は、内部ネットワ
ークの通信路である。「通信路Ｂ」１１０４は、サブネ
ット管理サーバ１１０３とファイアウォール１１０５の
間の通信路である。すなわち、「通信路Ｂ」１１０４
は、内部ネットワークの通信路である。「通信路Ｃ」１
１０６は、ファイアウォール１１０５と端末１１０７の
間の通信路である。すなわち、「通信路Ｃ」１１０６
は、外部ネットワークの通信路である。

【０１９０】サブネット管理サーバ１１０３とファイア
ウォール１１０５の間にはトンネル１１１５を設ける。
ファイアウォール１１０５と端末１１０７の間にはトン
ネル１１１６を設ける。

【０１９１】サブネット管理サーバ１１０３は、サブネ
ットごとに設ける。サブネット管理サーバ１１０３が位
置するサブネットは、サブネットＡである。なお、端末
１１０７は、外部ネットワークへ移動する前にはサブネ
ットＡに位置していたものとする。

【０１９２】端末１１０７が外部ネットワークへ移動し
た後で内部ホスト１１０１と通信する場合に、サブネッ
ト管理サーバ１１０３と端末１１０７の間のトンネルを
抜ける。

【０１９３】サブネット管理サーバ１１０３は、内部ホ
スト１１０１から端末１１０７宛てのパケットを受信
し、そのパケットを暗号処理しカプセル化して、トンネ
ルを通して端末１１０７へ送信する。また、サブネット
管理サーバ１１０３は、トンネルを通して端末１１０７
から内部ホスト１１０１宛てのパケットを受信し、その
パケットを脱カプセル化し復号処理して、内部ホスト１
１０１へ送信する。サブネット管理サーバ１１０３のア
ドレスは、Ｓである。

【０１９４】内部ホスト１１０１は、端末１１０７のア
ドレスとして移動前アドレスＩ２を使用して、パケット
を「通信路Ａ」１１０２と送受信する。端末１１０７
は、端末１１０７のアドレスとして移動前アドレスＩ２
を使用して、パケットをトンネリング処理部１１１４と
入出力する。

【０１９５】セッション管理部１１１０とセッション管
理部１１１２は、互いに通信し、端末１１０７の認証と
鍵交換をする。セッション管理部１１１２は、セッショ
ン管理部１１１０へ、端末１１０７が外部ネットワーク
へ移動したこと、移動後のアドレスがＥであること、移
動前アドレスがＩ２であること、サブネット管理サーバ
１１０３のアドレスがＳであることを通知する。セッシ
ョン管理部１１１０は、セッション管理部１１０８へ、
端末１１０７が外部ネットワークへ移動したこと、移動
後のアドレスがＥであること、移動前アドレスがＩ２で
あること、鍵を通知する。

【０１９６】トンネリング処理部１１０９は、セッショ
ン管理部１１１０が交換した鍵を使用して、端末１１０
７宛てのパケットを暗号処理してカプセル化する。ま
た、トンネリング処理部１１０９は、内部ホスト１１０
１宛てのパケットを脱カプセル化し復号処理する。

【０１９７】トンネリング処理部１１１４は、セッショ
ン管理部１１１２が交換した鍵を使用して、内部ホスト
１１０１宛てのパケットを暗号処理してカプセル化す
る。

【０１９８】また、トンネリング処理部１１１４は、端
末１１０７宛てのパケットを脱カプセル化し復号処理す
る。

【０１９９】移動前情報記憶部１１１３は、端末１１０
７の移動前アドレスＩ２と、サブネット管理サーバ１１
０３のアドレスＳを、記憶する。

【０２００】アクセス制御部１１１１は、受信するパケ
ットが、サブネット管理サーバ１１０３と端末１１０７
の間の通信のパケットであるかを判定する。アクセス制
御部１１１１は、サブネット管理サーバ１１０３と端末
１１０７の間の通信のパケットを、中継する。アクセス
制御部１１１１は、サブネット管理サーバ１１０３と端
末１１０７の間の通信ではないパケットを、中継しな
い。

【０２０１】（Ｈ−２）第７の実施形態の動作 続いて、図１１に示す通信システムによって実現される
通信動作を説明する。

【０２０２】（Ｈ−２−１）通信開始前の動作 まず、内部ホスト１１０１と端末１１０７が通信を開始
するまでの動作を説明する。

【０２０３】セッション管理部１１１０とセッション管
理部１１１２が通信し、端末１１０７の認証と鍵交換を
する。セッション管理部１１１２は、セッション管理部
１１１０へ、端末１１０７が外部ネットワークへ移動し
たこと、移動後のアドレスがＥであること、移動前アド
レスがＩ２であること、サブネット管理サーバ１１０３
のアドレスがＳであることを通知する。セッション管理
部１１１０は、セッション管理部１１０８へ、端末１１
０７が外部ネットワークへ移動したこと、移動後のアド
レスがＥであること、移動前アドレスがＩ２であるこ
と、鍵を通知する。

【０２０４】（Ｈ−２−２）通信開始後の動作 次に、内部ホスト１１０１と端末１１０７が、通信をす
る時の動作を説明する。なお、内部ホスト１１０１から
端末１１０７へ伝送されるパケット１１１７の受信先ア
ドレスはＩ２、送信元アドレスはＩ１となる。また、パ
ケット１１１８は、このパケット１１１７をカプセル化
したパケットであり、その受信先アドレスはＥ、送信元
アドレスはＳとなる。パケット１１１９は、パケット１
１１８と同一である。パケット１１２０は、パケット１
１１７と同一である。

【０２０５】一方、端末１１０７から内部ホスト１１０
１へ伝送されるパケット１１２１の受信先アドレスはＩ
１、送信元アドレスはＩ２となる。パケット１１２２
は、このパケット１１２１をカプセル化したパケットで
あり、その受信先アドレスはＳ、送信元アドレスはＥと
なる。パケット１１２３は、パケット１１２２と同一で
ある。パケット１１２４は、パケット１１２１と同一で
ある。

【０２０６】（Ｈ−２−２−１）内部ホストから端末へ
の送信 まず、内部ホスト１１０１から端末１１０７にパケット
を送信する場合の動作を説明する。

【０２０７】内部ホスト１１０１は、「通信路Ａ」１１
０２にパケット１１１７を送信する。

【０２０８】サブネット管理サーバ１１０３のトンネリ
ング処理部１１０９は、「通信路Ａ」１１０２からパケ
ット１１１７を受信する。トンネリング処理部１１０９
は、パケット１１１７を暗号処理しカプセル化しパケッ
ト１１１８を得る。この時、パケット１１１７の受信先
アドレスがＩ２であるので、パケット１１１８の受信先
アドレスをＥにする。トンネリング処理部１１０９は、
パケット１１１８を「通信路Ｂ」１１０４に送信する。
アクセス制御部１１１１は、「通信路Ｂ」１１０４から
パケット１１１８を受信する。

【０２０９】ファイアウォール１１０５のアクセス制御
部１１１１は、パケット１１１８がサブネット管理サー
バ１１０３と端末１１０７の間の通信のパケットである
と判定する。アクセス制御部１１１１は、パケット１１
１８を「通信路Ｃ」１１０６へ送信する。

【０２１０】端末１１０７がパケット１１２０を得るま
での動作は、実施形態２の動作と同様である。

【０２１１】（Ｈ−２−２−２）端末から内部ホストへ
の送信 逆に、端末１１０７から内部ホスト１１０１にパケット
を送信する場合の動作を説明する。

【０２１２】端末１１０７は、パケット１１２１をトン
ネリング処理部１１１４へ入力する。トンネリング処理
部１１１４は、パケット１１２１を暗号処理しカプセル
化しパケット１１２２を得る。この時、サブネット管理
サーバ１１０３のアドレスがＳであるので、パケット１
１２２の受信先アドレスをＳにする。トンネリング処理
部１１１４は、パケット１１２２を「通信路Ｃ」１１０
６へ送信する。アクセス制御部１１１１は、「通信路
Ｃ」１１０６からパケット１１２２を受信する。ファイ
アウォール１１０５のアクセス制御部１１１１は、パケ
ット１１２２がサブネット管理サーバ１１０３と端末１
１０７の間の通信のパケットであると判定する。アクセ
ス制御部１１１１は、パケット１１２２を「通信路Ｂ」
１１０４へ送信する。

【０２１３】サブネット管理サーバ１１０３のトンネリ
ング処理部１１０９は、「通信路Ｂ」１１０４からパケ
ット１１２３を受信する。トンネリング処理部１１０９
は、パケット１１２３を脱カプセル化し復号処理し、パ
ケット１１２４を得る。トンネリング処理部１１０９
は、「通信路Ａ」１１０２へパケット１１２４を送信す
る。

【０２１４】内部ホスト１１０１は、パケット１１２４
を受信する。

【０２１５】（Ｈ−３）第７の実施形態の効果 以上のように、第７の実施形態によれば、端末との間に
トンネルを設けるコンピュータ（サブネット管理サー
バ）をサブネットごとに設けるので、内部ホストごと
に、端末までトンネルを設ける機能を備える必要がなく
なるという効果が得られる。

【０２１６】また、第７の実施形態では、あるサブネッ
ト管理サーバ１１０３と複数の端末１１０７が同時に通
信可能である。また、複数の内部ホスト１１０１と複数
の端末１１０７が同時に通信可能である。

【０２１７】さらに、移動前情報記憶部１１１３がサブ
ネット管理サーバ１１０３のアドレスＳを記憶すること
と、セッション管理部１１１２がセッション管理部１１
１０にサブネット管理サーバ１１０３のアドレスがＳで
あることを通知することの代わりに、セッション管理部
１１１０が、端末１１０７の移動前アドレスからサブネ
ット管理サーバ１１０３のアドレスを求める方式も実施
可能である。

【０２１８】（Ｉ）第８の実施形態 続いて、第８の実施形態を説明する。ところで、第７の
実施形態では、外部ネットワークで、ヘッダにサブネッ
ト管理サーバのアドレスを含むパケットを伝送している
ため、外部ネットワークに、サブネット管理サーバのア
ドレスを隠蔽できない。そこで、次の構成を考える。

【０２１９】（Ｉ−１）第８の実施形態の構成 図１２は、第８の実施形態の構成図である。図１２は、
図１１との対応部分に対応符号を付して示したものであ
る。従って、内部ホスト１２０１〜トンネル１２１６ま
での構成は、図１１の内部ホスト１１０１〜トンネル１
１１６までと同様である。また、パケットのうち、１２
１７、１２２０、１２２１、１２２４は、それぞれ、図
１１のパケット、１１１７、１１２０、１１２１、１１
２４と同様である。

【０２２０】相違点は、ファイアウォール１２０５にア
ドレス変換部１２２５が設けられている点である。この
アドレス変換部１２２５は、ファイアウォール１２０５
のアクセス制御部１２１１が中継するパケットのヘッダ
のアドレスを書き換える。

【０２２１】（Ｉ−２）第８の実施形態の動作 ここでは、第８の実施形態の動作のうち、第７の実施形
態の動作とは異なる動作を説明する。

【０２２２】（Ｉ−２−１）通信開始前の動作 まず、内部ホスト１２０１と端末１２０７が通信を開始
するまでの動作を説明する。

【０２２３】この場合も、各セッション管理部１２０
８、１２１０、１２１２が通信し、認証と鍵交換、ま
た、移動情報やアドレスを確認し合う。

【０２２４】パケット１２１８は、内部ホスト１２０１
から端末１２０７へ送信されるパケット１２１７をカプ
セル化したパケットであり、その受信先アドレスはＦ
ｉ、送信元アドレスはＳとなる。パケット１２１９は、
このパケット１２１８のヘッダのアドレスを書き換えた
パケットであり、その受信先アドレスはＥ、送信元アド
レスはＦｅとなる。

【０２２５】一方、パケット１２２２は、端末１２０７
から内部ホスト１２０１へ送信されるパケット１２２１
をカプセル化したパケットであり、その受信先アドレス
はＦｅ、送信元アドレスはＥとなる。パケット１２２３
は、このパケット１２２２のヘッダアドレスを書き換え
たパケットであり、その受信先アドレスはＳ、送信元ア
ドレスはＦｉとなる。

【０２２６】（Ｉ−２−２）通信開始後の動作 （Ｉ−２−２−１）内部ホストから端末への送信 まず、内部ホスト１２０１から端末１２０７にパケット
を送信する場合の動作を説明する。

【０２２７】アクセス制御部１２１１は、パケット１２
１８をアドレス変換部１２２５に入力する。アドレス変
換部１２２５は、パケット１２１８のヘッダのアドレス
を書き換えパケット１２１９を得る。この時、パケット
１２１８の送信元アドレスがＳであるので、パケット１
２１９の受信先アドレスをＥにする。

【０２２８】アドレス変換部１２２５は、パケット１２
１９をアクセス制御部１２１１へ出カする。

【０２２９】（Ｉ−２−２−２）端末から内部ホストへ
の送信 逆に、端末１２０７から内部ホスト１２０１にパケット
を送信する場合の動作を説明する。

【０２３０】アクセス制御部１２１１は、パケット１２
２２をアドレス変換部１２２５に入力する。アドレス変
換部１２２５は、パケット１２２２のヘッダのアドレス
を書き換え、パケット１２２３を得る。この時、パケッ
ト１２２２の送信元アドレスがＥであるので、パケット
１２２３の受信先アドレスをＳにする。

【０２３１】アドレス変換部１２２５は、パケット１２
２３をアクセス制御部１２１１に出カする。

【０２３２】（Ｉ−３）第８の実施形態の効果 以上のように、第８の実施形態によれば、ファイアウォ
ールにアドレスを変換する機能を備えたので、外部ネッ
トワークに、サブネット管理サーバのアドレスを隠蔽で
きるという効果が得られる。

【０２３３】（Ｊ）第９の実施形態 続いて、第９の実施形態を説明する。ところで、第８の
実施形態では、あるサブネット管理サーバ１２０３とは
同時に一つの端末しか通信できない。そこで、次の構成
を考える。

【０２３４】（Ｊ−１）第９の実施形態の構成 図１３は、第９の実施形態の構成図である。図１３は、
図１２との対応部分に対応符号を付したものであり、基
本構成は同様である。異なるのは、ファイアウォール１
３０５の有するアドレスである。

【０２３５】本実施形態におけるファイアウォール１３
０５が、外部ネットワークに接続しているネットワーク
・インターフェースのアドレスは一つ、すなわち、アド
レスＦｅである。一方、ファイアウォール１３０５が、
内部ネットワークに接続しているネットワーク・インタ
ーフェースのアドレスは、複数のアドレスＦｉ１〜Ｆｉ
ｍ（ｍ＞１）である。

【０２３６】セッション管理部１３１０とセッション管
理部１３１２は、互いに通信し、端末１３０７の認証と
鍵交換をする。

【０２３７】セッション管理部１３１２は、セッション
管理部１３１０へ、端末１３０７が外部ネットワークへ
移動したこと、移動後のアドレスがＥであること、移動
前アドレスがＩ２であること、サブネット管理サーバ１
３０３のアドレスがＳであることを通知する。

【０２３８】セッション管理部１３１０は、Ｆｉ１〜Ｆ
ｉｍのうち、その時点で使用していないアドレスＦｉｊ
を求める。セッション管理部１３１０は、セッション管
理部１３０８へ、端末１３０７が外部ネットワークへ移
動したこと、移動前アドレスがＩ２であること、内部ホ
スト１３０１と端末１３０７の通信で使用するファイア
ウォール１３０５の内部アドレスがＦｉｊであること、
鍵を通知する。

【０２３９】（Ｊ−２）第９の実施形態の動作 次に、第９の実施形態の動作を説明する。

【０２４０】（Ｊ−２−１）通信開始前の動作 まず、内部ホスト１３０１と端末１３０７が通信を開始
するまでの動作を説明する。

【０２４１】セッション管理部１３１０とセッション管
理部１３１２は、互いに通信し、端末１３０７の認証と
鍵交換をする。

【０２４２】端末１３０７のセッション管理部１３１２
は、セッション管理部１３１０へ、端末１３０７が外部
ネットワークへ移動したこと、移動後のアドレスがＥで
あること、移動前アドレスがＩ２であること、サブネッ
ト管理サーバ１３０３のアドレスがＳであることを通知
する。

【０２４３】ファイアウォール１３０５のセッション管
理部１３１０は、Ｆｉ１〜Ｆｉｍのうち、その時点で使
用していないアドレスＦｉｊを求める。セッション管理
部１３１０は、セッション管理部１３０８へ、端末１３
０７が外部ネットワークへ移動したこと、移動前アドレ
スがＩ２であること、内部ホスト１３０１と端末１３０
７の通信で使用するファイアウォール１３０５の内部ア
ドレスがＦｉｊであること、鍵を通知する。

【０２４４】（Ｊ−２−２）通信開始後の動作 内部ホスト１３０１と端末１３０７が通信する場合の動
作を説明する。第９の実施形態の動作のうち、第８の実
施形態の動作とは異なる動作を説明する。

【０２４５】パケット１３１８は、内部ホスト１３０１
から端末１３０７へ伝送されるパケット１３１７をカプ
セル化したパケットであり、その受信先アドレスはＦｉ
ｊ、送信元アドレスはＳとなる。パケット１３１９は、
このパケット１３１８のヘッダアドレスを書き換えたパ
ケットであり、その受信先アドレスはＥ、送信元アドレ
スはＦｅとなる。

【０２４６】パケット１３２２は、端末１３０７から内
部ホスト１３０１へ伝送されるパケット１３２１をカプ
セル化したパケットであり、その受信先アドレスはＦ
ｅ、送信元アドレスはＥとなる。パケット１３２３は、
このパケット１３２２のへッダアドレスを書き換えたパ
ケットであり、その受信先アドレスはＳ、送信元アドレ
スはＦｉｊとなる。

【０２４７】（Ｊ−２−２−１）内部ホストから端末へ
の送信 まず、内部ホスト１３０１から端末１３０７にパケット
を送信する場合の動作を説明する。

【０２４８】トンネリング処理部１３０９は、パケット
１３１７を暗号処理しカプセル化しパケット１３１８を
得る。この時、パケット１３１７の受信先アドレスがＩ
２であるので、パケット１３１８の受信先アドレスをＦ
ｉｊにする。

【０２４９】アドレス変換部１３２５は、パケット１３
１８のヘッダのアドレスを書き換えパケット１３１９を
得る。この時、パケット１３１８の受信先アドレスがＦ
ｉｊであるので、パケット１３１９の受信先アドレスを
Ｅにする。

【０２５０】（Ｊ−２−２−２）端末から内部ホストへ
の送信 逆に、端末１３０７から内部ホスト１３０１にパケット
を送信する場合の動作を説明する。

【０２５１】アドレス変換部１３２５は、パケット１３
２２のヘッダのアドレスを書き換え、パケット１３２３
を得る。この時、パケット１３２２の送信元アドレスが
Ｅであるので、パケット１３２３の受信先アドレスをＳ
にする。

【０２５２】（Ｊ−３）第９の実施形態の効果 以上のように、第９の実施形態によれば、ファイアウォ
ール１３０５に、複数の内部アドレスを割り当てるよう
にしたので、あるサブネット管理サーバ１３０３と同時
に複数の端末１３０７が通信できるという効果が得られ
る。

【０２５３】（Ｋ）第１０の実施形態 続いて、第１０の実施形態を説明する。ところで、第９
の実施形態では、ファイアウォールに、複数の内部アド
レスを割り当てる必要がある。そこで、第１０の実施形
態においては、パケットがサブネット管理サーバとどの
端末の間の通信のパケットであるかをＳＰＩにより表す
ことにする。

【０２５４】（Ｋ−１）第１０の実施形態の構成 図１４は、第１０の実施形態の構成図である。図１４
は、第８の実施形態の説明に用いた図１２との対応部分
に対応符号を付して示したものであり、基本的な構成は
同じである。

【０２５５】セッション管理部１４１０とセッション管
理部１４１２は、互いに通信し、端末１４０７の認証と
鍵交換をする。

【０２５６】端末１４０７のセッション管理部１４１２
は、サブネット管理サーバ１４０３が端末１４０７へ送
信するパケットのＳＰＩ（ここではＢとする。）を求め
る。セッション管理部１４１２は、セッション管理部１
４１０へ、端末１４０７が外部ネットワークへ移動した
こと、移動後のアドレスがＥであること、移動前アドレ
スがＩ２であること、サブネット管理サーバ１４０３の
アドレスがＳであること、サブネット管理サーバ１４０
３が端末１４０７へ送信するパケットのＳＰＩがＢであ
ることを、通知する。

【０２５７】ファイアウォール１４０５のセッション管
理部１４１０は、セッション管理部１４０８ヘ、端末１
４０７が外部ネットワークへ移動したこと、移動前アド
レスがＩ２であること、サブネット管理サーバ１４０３
が端末１４０７へ送信するパケットのＳＰＩがＢである
こと、鍵を通知する。

【０２５８】セッション管理部１４０８は、端末１４０
７が内部ホスト１４０１へ送信するパケットＳＰＩ（こ
こでは、Ａとする。）を求める。セッション管理部１４
０８は、セッション管理部１４１０へ、端末１４０７が
内部ホスト１４０１へ送信するパケットのＳＰＩがＡで
あることを通知する。セッション管理部１４１０はセッ
ション管理部１４１２へ、端末１４０７が内部ホスト１
４０１へ送信するパケットのＳＰＩがＡであることを通
知する。

【０２５９】サブネット管理サーバ１４０３のトンネリ
ング処理部１４０９は、パケット１４１７をカプセル化
する時に、ＳＰＩをＢにする。

【０２６０】端末１４０７のトンネリング処理部１４１
４は、パケット１４２１をカプセル化するときに、ＳＰ
ＩをＡにする。

【０２６１】ファイアウォール１４０５のアドレス変換
部１４２５は、ＳＰＩにより、パケットのヘッダのアド
レスを書き換える。

【０２６２】（Ｋ−２）第１０の実施形態の動作 次に、第１０の実施形態の動作を説明する。なお、第１
０の実施形態の動作のうち、第８の実施形態の動作とは
異なる動作のみを説明する。

【０２６３】（Ｋ−２−１）通信開始後の動作 内部ホスト１４０１と端末１４０７が通信する場合の動
作を説明する。

【０２６４】パケット１４１８は、内部ホスト１４０１
から端末１４０７へ伝送されるパケット１４１７をカプ
セル化したパケットであり、その受信先アドレスはＦ
ｉ、送信元アドレスはＳ、ＳＰＩはＢとなる。パケット
１４１９は、このパケット１４１８のヘッダアドレスを
書き換えたパケットであり、その受信先アドレスはＥ、
送信元アドレスはＦｅ、ＳＰＩはＢとなる。

【０２６５】パケット１４２２は、端末１４０７から内
部ホスト１４０１へ伝送されるパケット１４２１をカプ
セル化したパケットであり、その受信先アドレスはＦ
ｅ、送信元アドレスはＥ、ＳＰＩはＡとなる。パケット
１４２３は、パケット１４２２のヘッダのアドレスを書
き換えたパケットであり、受信先アドレスはＳ、送信元
アドレスはＦｉ、ＳＰＩはＡとなる。

【０２６６】（Ｋ−２−１−１）内部ホストから端末へ
の送信 まず、内部ホスト１４０１から端末１４０７にパケット
を送信する場合の動作を説明する。

【０２６７】トンネリング処理部１４０９は、パケット
１４１７を暗号処理しカプセル化しパケット１４１８を
得る。この時、パケット１４１７の受信先アドレスがＩ
２であるので、ＳＰＩをＢにする。アドレス変換部１４
２５は、パケット１４１８のヘッダのアドレスを書き換
え、パケット１４１９を得る。この時、パケット１４１
８のＳＰＩがＢであるので、パケット１４１９の受信先
アドレスをＥとする。

【０２６８】（Ｋ−２−１−２）端末から内部ホストへ
の送信 逆に、端末１４０７から内部ホスト１４０１にパケット
を送信する場合の動作を説明する。

【０２６９】アドレス変換部１４２５は、パケット１４
２２のヘッダのアドレスを書き換え、パケット１４２３
を得る。この時、パケット１４２２の送信元アドレスが
Ｅであるので、パケット１４２３の受信先アドレスをＳ
とする。

【０２７０】（Ｋ−３）第１０の実施形態の効果 以上のように、第１０の実施形態によれば、パケットの
ヘッダに書き込まれているＳＰＩにより、パケットがど
のサブネット管理サーバとどの端末の間の通信のパケッ
トであるかを表すようにしたので、ファイアウォールに
複数の内部アドレスを割り当てなくても、あるサブネッ
ト管理サーバと複数の端末が同時に通信できるようにな
るという効果が得られる。

【０２７１】（Ｌ）第１１の実施形態 続いて、第１１の実施形態を説明する。ところで、第
７、第８、第９、第１０の実施形態では、内部ネットワ
ークのあるサブネットに位置する端末を、内部ネットワ
ークの他のサブネットへ移動すると、端末のアドレスが
変化するので、端末は移動前のサービス利用権限で内部
ホストが提供するサービスを利用できなくなる。そこ
で、次の構成を考える。なお、第１１の実施形態では、
端末が外部ネットワークに移動する場合に係る構成及び
動作は、第７の実施形態の場合と同様である。

【０２７２】（Ｌ−１）第１１の実施形態の構成 図１５は、第１１の実施形態の構成図である。図１５に
は、内部ネットワークのあるサブネットに位置する端末
を、内部ネットワークの他のサブネットへ移動する場合
に係る構成要素を示している。また、図１５には、端末
を外部ネットワークへ移動する場合に係る構成要素の一
部を示す。従って、図１５に示されている、内部ホスト
１５０１、「通信路Ａ」１５０２、サブネット管理サー
バ１５０３、「通信路Ｄ」１５０４、端末１５０５の他
に、不図示のファイアウォールがある。

【０２７３】本実施形態に係るサブネット管理サーバ１
５０３は、外部セッション管理部１５０６、内部セッシ
ョン管理部１５０７、トンネリング処理部１５０８を構
成要素としてもつ。

【０２７４】本実施形態に係る端末１５０５は、内部セ
ッション管理部１５０９、外部セッション管理部１５１
０、移動前情報記憶部１５１１、トンネリング処理部１
５１２を構成要素としてもつ。

【０２７５】サブネット管理サーバ１５０３は、サブネ
ットＡに位置する。

【０２７６】端末１５０５は、内部ネットワークでの移
動前にサブネットＡに位置し、内部ネットワークでの移
動後にサブネットＢに位置する。

【０２７７】「通信路Ａ」１５０２は、内部ホスト１５
０１とサブネット管理サーバ１５０３の間の通信路であ
る。すなわち、「通信路Ａ」１５０２は、内部ネットワ
ークの通信路である。「通信路Ｄ」１５０４は、サブネ
ット管理サーバ１５０３と端末１５０５の間の通信路で
ある。すなわち、「通信路Ｄ」１５０４は、内部ネット
ワークの通信路である。

【０２７８】サブネット管理サーバ１５０３と端末１５
０５の間にはトンネル１５１３を設ける。

【０２７９】内部セッション管理部１５０７と内部セッ
ション管理部１５０９は、互いに通信し、端末１５０５
の認証と鍵交換をする。

【０２８０】内部セッション管理部１５０９は、内部セ
ッション管理部１５０７へ、端末１５０５が内部ネット
ワークの他のサブネットに移動したこと、移動後のアド
レスがＩ２’であること、移動前アドレスがＩ２である
ことを通知する。

【０２８１】トンネリング処理部１５０８は、内部セッ
ション管理部１５０７が交換した鍵を使用して、端末１
５０５宛てのパケットを暗号処理してカプセル化する。

【０２８２】また、トンネリング処理部１５０８は、外
部セッション管理部１５０６が交換した鍵を使用して、
外部ネットワークに移動した端末宛てのパケットを暗号
処理してカプセル化する。トンネリング処理部１５０８
は、内部ホスト１５０１宛てのパケットを脱カプセル化
し復号処理する。

【０２８３】トンネリング処理部１５１２は、内部セッ
ション管理部１５０９が交換した鍵を使用して、内部ホ
スト１５０１宛てのパケットを暗号処理しカプセル化す
る。また、トンネリング処理部１５１２は、外部セッシ
ョン管理部１５１０が交換した鍵を使用して、内部ホス
ト１５０１宛てのパケットを暗号処理しカプセル化す
る。トンネリング処理部１５１２は、端末１５０５宛て
のパケットを脱カプセル化し復号処理する。

【０２８４】移動前情報記憶部１５１１は、端末１５０
５の移動前アドレスＩ２とサブネット管理サーバ１５０
３のアドレスＳを記憶する。

【０２８５】第７の実施形態と同様に、ファイアウォー
ルの構成要素は、セッション管理部とアクセス制御部で
ある。サブネット管理サーバ１５０３とファイアウォー
ルの間には、「通信路Ｂ」とトンネルがある。ファイア
ウォールと外部ネットワークに移動した端末の間には、
「通信路Ｃ」とトンネルがある。

【０２８６】外部セッション管理部１５１０とファイア
ウォールのセッション管理部は、互いに通信し、外部ネ
ットワークに移動した端末の認証と鍵交換をする。外部
セッション管理部１５１０は、ファイアウォールのセッ
ション管理部へ、端末が外部ネットワークへ移動したこ
と、移動後のアドレスがＥであること、移動前アドレス
がＩ２であることを、サブネット管理サーバ１５０３の
アドレスがＳであることを通知する。

【０２８７】ファイアウォールのセッション管理部は、
外部セッション管理部１５０６へ、端末が外部ネットワ
ークへ移動したこと、移動後のアドレスがＥであるこ
と、移動前アドレスがＩ２であること、鍵を通知する。

【０２８８】（Ｌ−２）第１１の実施形態の動作 次に、第１１の実施形態の動作を説明する。なお、第１
１の実施形態の動作のうち、第７の実施形態の動作とは
異なる動作のみを説明する。

【０２８９】（Ｌ−２−１）通信開始前の動作 内部ホスト１５０１と端末１５０５の通信の開始におけ
る動作を説明する。

【０２９０】内部セッション管理部１５０７と内部セッ
ション管理部１５０９は、互いに通信し、端末１５０５
の認証と鍵交換をする。

【０２９１】端末１５０５の内部セッション管理部１５
０９は、セッション管理部１５０７へ、端末１５０５が
内部ネットワークの他のサブネットに移動したこと、移
動後のアドレスがＩ２’であること、移動前アドレスが
Ｉ２であることを通知する。

【０２９２】（Ｌ−２−２）通信開始後の動作 次に、内部ホスト１５０１と端末１５０５が通信をする
時の動作を説明する。

【０２９３】内部ホスト１５０１から端末１５０５へ伝
送されるパケット１５１４の受信先アドレスはＩ２、送
信元アドレスはＩ１となる。このパケット１５１４をカ
プセル化したパケット１５１５の受信先アドレスはＩ
２’、送信元アドレスはＳとなる。パケット１５１６
は、パケット１５１４と同一である。

【０２９４】端末１５０５から内部ホスト１５０１へ伝
送されるパケット１５１７の受信先アドレスはＩ１、送
信元アドレスはＩ２となる。このパケット１５１７をカ
プセル化したパケット１５１８の受信先アドレスはＳ、
送信元アドレスはＩ２’となる。パケット１５１９は、
パケット１５１７と同一である。

【０２９５】（Ｌ−２−２−１）内部ホストから端末へ
の送信 まず、内部ホスト１５０１から端末１５０５へパケット
を送信する場合の動作を説明する。

【０２９６】サブネット管理サーバ１５０３のトンネリ
ング処理部１５０８は、パケット１５１４を暗号処理し
カプセル化しパケット１５１５を得る。この時、パケッ
ト１５１４の受信先アドレスがＩ２であるので、パケッ
ト１５１５の受信先アドレスをＩ２’にする。

【０２９７】（Ｌ−２−２−２）端末から内部ホストへ
の送信 逆に、端末１５０５から内部ホスト１５０１へパケット
を送信する場合の動作を説明する。

【０２９８】端末１５０５のトンネリング処理部１５１
２は、パケット１５１７を暗号処理しカプセル化しパケ
ット１５１８を得る。この時、サブネット管理サーバ１
５０３のアドレスがＳであるので、パケット１５１８の
受信先アドレスをＳにする。

【０２９９】外部ネットワークに移動した端末と内部ホ
ストの通信に関しては、第７の実施形態の動作と同様で
ある。

【０３００】（Ｌ−３）第１１の実施形態の効果 以上のように、第１１の実施形態によれば、サブネット
管理サーバと、内部ネットワークの他のサブネットへ移
動した端末の間にトンネルを設けるので、端末が内部ネ
ットワークの他のサブネットに移動しても、内部ホスト
が提供するサービスを移動前のサービス利用権限で利用
できるという効果が得られる。

【０３０１】また、第１１の実施形態では、あるサブネ
ット管理サーバ１５０３と複数の端末１５０５が同時に
通信可能である。

【０３０２】（Ｍ）第１２の実施形態 続いて、第１２の実施形態を説明する。ところで、第１
１の実施形態では、端末１５０５がトンネリングの処理
をする必要がある。そこで、次の構成を考える。なお、
第１２の実施形態では、端末が外部ネットワークに移動
する場合に係る構成、動作は、第７の実施形態と同じで
ある。

【０３０３】（Ｍ−１）第１２の実施形態の構成 図１６は、第１２の実施形態の構成図である。図１６に
は、内部ネットワークのあるサブネットに位置する端末
を、内部ネットワークの他のサブネットへ移動する場合
に係る構成要素を示す。また、図１６には、端末を外部
ネットワークへ移動する場合に係る構成要素の一部を示
す。従って、図１６に示されている、内部ホスト１６０
１、「通信路Ａ」１６０２、「サブネット管理サーバ
Ａ」１６０３、「通信路Ｅ」１６０４、「サブネット管
理サーバＢ」１６０５、「通信路Ｆ」１６０６、端末１
６０７、他に、不図示のファイアウォールがある。

【０３０４】ここで、「サブネット管理サーバＡ」１６
０３は、サブネットＡに位置する。「サブネット管理サ
ーバＢ」１６０５は、サブネットＢに位置する。端末１
６０７が移動前に位置するサブネットは、サブネットＡ
である。端末１６０７が移動後に位置するサブネット
は、サブネットＢである。

【０３０５】「サブネット管理サーバＡ」１６０３は、
外部セッション管理部１６０８、内部セッション管理部
１６０９、トンネリング処理部１６１０を構成要素とす
る。一方、「サブネット管理サーバＢ」１６０５は、内
部セッション管理部１６１１、外部セッション管理部１
６１２、トンネリング処理部１６１３を構成要素とす
る。

【０３０６】端末１６０７は、内部セッション管理部１
６１４、外部セッション管理部１６１５、移動前情報記
憶部１６１６、トンネリング処理部１６１７を構成要素
とする。

【０３０７】内部ホスト１６０１と「サブネット管理サ
ーバＡ」１６０３の間には「通信路Ａ」１６０２を設け
る。この「通信路Ａ」１６０２は、内部ネットワークの
通信路である。「サブネット管理サーバＡ」１６０３と
「サブネット管理サーバＢ」１６０５の間には「通信路
Ｅ」１６０４を設ける。この「通信路Ｅ」１６０４は、
内部ネットワークの通信路である。「サブネット管理サ
ーバＢ」１６０５と端末１６０７の間には「通信路Ｆ」
１６０６を設ける。この「通信路Ｆ」１６０６は、内部
ネットワークの通信路である。

【０３０８】「サブネット管理サーバＡ」１６０３と
「サブネット管理サーバＢ」１６０５の間にはトンネル
１６１８を設ける。

【０３０９】内部セッション管理部１６０９と内部セッ
ション管理部１６１４は、互いに通信し、端末１６０７
の認証と鍵交換をする。

【０３１０】内部セッション管理部１６１４は、内部セ
ッション管理部１６０９へ、端末１６０７が内部ネット
ワークの他のサブネットに移動したこと、移動後のアド
レスがＩ２’であること、移動前アドレスがＩ２である
ことを通知する。

【０３１１】内部セッション管理部１６０９は、端末１
６０７の移動後のアドレスＩ２’から、「サブネット管
理サーバＢ」のアドレスＳ２を求める。内部セッション
管理部１６０９は、内部セッション管理部１６１１へ、
端末１６０７がサブネットＢへ移動したこと、端末１６
０７の移動前アドレスがＩ２であること、「サブネット
管理サーバＡ」のアドレスがＳ１であること、鍵を通知
する。

【０３１２】トンネリング処理部１６１０は、内部セッ
ション管理部１６０９が交換した鍵を使用して、端末１
６０７宛てのパケットを暗号処理してカプセル化する。

【０３１３】また、トンネリング処理部１６１０は、フ
ァイアウォールのセッション管理部が外部セッション管
理部１６０８に通知した鍵を使用して、外部ネットワー
クへ移動した端末宛てのパケットを暗号処理してカプセ
ル化する。トンネリング処理部１６１０は、内部ホスト
１６０１宛てのパケットを脱カプセル化し復号処理す
る。

【０３１４】トンネリング処理部１６１３は、内部セッ
ション管理部１６０９が内部セッション管理部１６１１
に通知した鍵を使用して、内部ホスト１６０１宛てのパ
ケットを暗号処理しカプセル化する。また、トンネリン
グ処理部１６１３は、ファイアウォールのセッション管
理部が外部セッション管理部１６１２に通知した鍵を使
用して、外部ネットワークへ移動した端末宛てのパケッ
トを暗号処理しカプセル化する。トンネリング処理部１
６１３は、端末１６０７宛てのパケットを脱カプセル化
し復号処理する。

【０３１５】トンネリング処理部１６１７は、外部セッ
ション管理部１６１５が交換した鍵を使用して、内部ホ
スト１６０１宛てのパケットを暗号処理しカプセル化す
る。また、トンネリング処理部１６１７は、外部ネット
ワークに移動した端末宛てのパケットを脱カプセル化し
復号処理する。

【０３１６】移動前情報記憶部１６１６は、端末１６０
７の移動前アドレスＩ２と「サブネット管理サーバＡ」
１６０３のアドレスＳ１を記憶する。

【０３１７】第７の実施形態と同様に、ファイアウォー
ルの構成要素は、セッション管理部とアクセス制御部で
ある。「サブネット管理サーバＡ」１６０３とファイア
ウォールの間には、「通信路Ｂ」とトンネルがある。
「サブネット管理サーバＢ」１６０５とファイアウォー
ルの間には別の通信路と別のトンネルがある。ファイア
ウォールと外部ネットワークに移動した端末の間には、
「通信路Ｃ」とトンネルがある。

【０３１８】（Ｍ−２）第１２の実施形態の動作 次に、第１２の実施形態の動作を説明する。なお、第１
２の実施形態の動作のうち、第７の実施形態の動作とは
異なる動作のみを説明する。

【０３１９】（Ｍ−２−１）通信開始前の動作 まず、内部ホスト１６０１と端末１６０７の通信の開始
における動作を説明する。

【０３２０】「サブネット管理サーバＡ」１６０３の内
部セッション管理部１６０９と端末１６０７の内部セッ
ション管理部１６１４は、互いに通信し、端末１６０７
の認証と鍵交換をする。

【０３２１】端末１６０７の内部セッション管理部１６
１４は、内部セッション管理部１６０９へ、端末１６０
７が内部ネットワークの他のサブネットに移動したこ
と、移動後のアドレスがＩ２’であること、移動前アド
レスがＩ２であることを通知する。

【０３２２】「サブネット管理サーバＡ」１６０３の内
部セッション管理部１６０９は、端末１６０７の移動後
のアドレスＩ２’から、「サブネット管理サーバＢ」の
アドレスＳ２を求める。内部セッション管理部１６０９
は、内部セッション管理部１６１１へ、端末１６０７が
サブネットＢへ移動したこと、端末１６０７の移動前ア
ドレスがＩ２であること、サブネット管理サーバＡ１６
０３のアドレスがＳ１であること、鍵を通知する。ここ
で、内部セッション管理部１６０９と内部セッション管
理部１６１４が通信する時に使用する通信路は、「通信
路Ｅ」１６０４と「通信路Ｆ」１６０６であっても、図
１６に示さない別の通信路であってもよい。

【０３２３】（Ｍ−２−２）通信開始後の動作 次に、内部ホスト１６０１と端末１６０７が通信をする
時の動作を説明する。

【０３２４】内部ホスト１６０１から端末１６０７へ伝
送されるパケット１６１９の受信先アドレスはＩ２、送
信元アドレスはＩ１となる。このパケット１６１９をカ
プセル化したパケット１６２０の受信先アドレスはＳ
２、送信元アドレスはＳ１となる。パケット１６２１
は、パケット１６１９と同一である。

【０３２５】端末１６０７から内部ホスト１６０１へ伝
送されるパケット１６２２の受信先アドレスはＩ１、送
信元アドレスはＩ２となる。このパケット１６２２をカ
プセル化したパケット１６２３の受信先アドレスはＳ
１、送信元アドレスはＳ２となる。パケット１６２４
は、パケット１６２２と同一である。

【０３２６】（Ｍ−２−２−１）内部ホストから端末へ
の送信 まず、内部ホスト１６０１から端末１６０７へパケット
を送信する場合の動作を説明する。トンネリング処理部
１６１０は、パケット１６１９を暗号処理しカプセル化
し、パケット１６２０を得る。この時、パケット１６１
９の受信先アドレスがＩ２であるので、パケット１６２
０の受信先アドレスをＳ２にする。

【０３２７】（Ｍ−２−２−２）端末から内部ホストへ
の送信 逆に、端末１６０７から内部ホスト１６０１ヘパケット
を送信する場合の動作を説明する。

【０３２８】トンネリング処理部１６１３は、パケット
１６２２を暗号処理しカプセル化しパケット１６２３を
得る。この時、トンネリング処理部１６１３は、パケッ
ト１６２２の送信元アドレスがＩ２であるので、パケッ
ト１６２３の受信先アドレスをＳ１にする。

【０３２９】（Ｍ−３）第１２の実施形態の効果 以上のように、第１２の実施形態によれば、サブネット
管理サーバの間にトンネルを設けるので、端末がトンネ
リングの処理をしないので、端末の負荷を軽減できると
いう効果が得られる。

【０３３０】また、第１２の実施形態では、複数のサブ
ネット管理サーバどうしが同時に通信可能であり、ま
た、複数の内部ホスト１６０１と複数の端末１６０７と
も同時に通信可能である。

【０３３１】（Ｎ）他の実施形態 (N-1) なお、上述の各実施形態においては、内部ネット
ワークに位置する端末を外部ネットワークに移動した場
合におけるサービスの利用権限について説明したが、内
部ネットワークに一度も位置しないが、内部ネットワー
ク上のアドレスが割り当てられており、かつ、そのアド
レスを記憶している端末についても本システムを適用す
ることができる。すなわち、かかる端末についても、内
部ホストのサービスを内部ネットワークでのアドレスに
基づくサービス利用権限で利用することができる。

【０３３２】(N-2) また、上述の各実施形態において
は、端末が内部ホストのサービスを利用することを前提
として説明したが、内部ネットワークのいずれかのコン
ピュータが、端末の外部ネットワークでのアドレスを記
憶するならば、内部ホストが端末のサービスを利用する
こともできる。

【０３３３】(N-3) また、上述の各実施形態において
は、パケットを暗号処理する場合についてのみ述べた
が、パケットの暗号処理とパケットの認証処理をするこ
ともできる。また、パケットを暗号処理せず、パケット
の認証処理だけをすることもできる。パケットを認証す
る方式には、従来技術の上記文献に示されるＡＨ（Auth
entication Header）がある。

【０３３４】(N-4) また、上述の各実施形態において
は、パケットを暗号処理する場合について述べたが、ト
ンネリング処理部で複数の暗号処理のアルゴリズムを使
えるようにすると、パケットのヘッダのアドレスによ
り、暗号処理のアルゴリズムを変える通信方式、パケッ
トのヘッダのＳＰＩにより、暗号処理のアルゴリズムを
変える通信方式も実施可能である。ここで、暗号処理の
アルゴリズムには、恒等写像を含むものとする。通信路
がセキュリティの面で安全であるとみなせる場合には、
暗号処理のアルゴリズムは恒等写像でよい。また、通信
する情報が既に暗号化されている場合も、暗号処理のア
ルゴリズムは恒等写像でよい。

【０３３５】(N-5) また、第５、第１０の実施形態にお
いては、パケットのヘッダのＳＰＩ（使用する暗号アル
ゴリズムや鍵などのセキュリティに関係するバラメータ
を表す）を利用して、パケットのヘッダのアドレスを書
き換える場合について述べたが、パケットのへッダに、
パケットが通過するトンネルの両端のアドレスを表すフ
ィールドを設け、そのフィールドの値を利用するように
しても、パケットのヘッダのアドレスを書き換えること
ができる。

【０３３６】(N-6) また、第２〜第１２の実施形態にお
いては、トンネルの端に位置する内部ホスト又はサブネ
ット管理サーバで暗号処理と復号処理とを行っている
が、暗号処理と復号処理を、トンネル内部の端以外の位
置のコンピュータで行うこともできる。暗号処理と復号
処理を、トンネル内部の端以外の位置のコンピュータで
行うと、内部ホスト、サブネット管理サーバの負荷を下
げることができる。なお、第２〜第１２の実施形態にお
いては、トンネル内部の端以外の位置のコンピュータ
は、ファイアウォールである。

【０３３７】(N-7) また、第２〜第１２の実施形態にお
いては、外部ネットワークに移動した端末の認証と鍵交
換を、ファイアウォールのセッション管理部が行ってい
るが、外部ネットワークに移動した端末の認証と鍵交換
を、内部ホスト又はサブネット管理サーバのセッション
管理部が行うこともできる。外部ネットワークに移動し
た端末の認証と鍵交換を、内部ホスト又はサブネット管
理サーバのセッション管理部が行うと、ファイアウォー
ルの負荷を下げることができる。

【０３３８】(N-8) また、上述の各実施形態において
は、ファイアウォール、内部ホスト、サブネット管理サ
ーバのいずれかと端末が鍵交換をする場合を例に説明し
たが、鍵交換をする代わりに、固定の鍵を使用すること
もできる。

【０３３９】

【発明の効果】以上のように、第１の発明によれば、外
部ネットワークに位置する端末が、ファイアウォールを
介して内部ネットワークの内部ホストと通信する形態の
通信システムにおいて、端末に、移動前に又は予め内部
ネットワークにおいて割り当てられた端末アドレスを記
憶するアドレス記憶手段を備えるようにする。これによ
り、外部ネットワークに位置する端末であっても内部ネ
ットワークで割り当てられた端末アドレスを記憶する端
末については、内部ホスト側において、当該端末に提供
し得るサービスの利用権限を判別することが可能とな
る。その結果、特定の端末については、外部ネットワー
クに位置する場合にも、内部ネットワークに位置する場
合と同じ利用権限でのサービスを受けることができる通
信システムを実現できる。

【０３４０】また、第２の発明によれば、内部ネットワ
ーク内のあるサブネットに位置する端末が、当該ネット
ワーク内で内部ホストと通信する形態の通信システムに
おいて、(1) 端末に、同じネットワーク内のあるサブネ
ットから他のサブネットへ移動した後も、移動前に割り
当てられた端末アドレスを記憶し続けるアドレス記憶手
段を備えると共に、(2) 端末及び内部ホストに、当該移
動があった場合に、アドレス記憶手段が記憶している移
動前の端末アドレスと同一のアドレスを有するパケット
を、カプセル化後、端末及び内部ホストの間に形成した
トンネルを介して入出力するトンネリング処理手段を備
えるようにする。これにより、端末が、内部ネットワー
ク内のあるサブネットから他のサブネットに端末が移動
した場合にも、移動前のサブネットで許容されていたの
と同じ利用権限でサービスを受けることができるように
なる。

【０３４１】さらに、第３の発明によれば、内部ネット
ワーク内のあるサブネットに位置する端末が、当該ネッ
トワーク内の内部ホストと通信する形態の通信システム
において、(1) 端末に、同一ネットワーク内のあるサブ
ネットから他のサブネットへ移動した後も、移動前に割
り当てられた端末アドレスを記憶し続けるアドレス記憶
手段を備えると共に、(2) 端末及び当該端末が移動前に
位置したサブネットのサブネット管理サーバは、当該移
動があった場合に、アドレス記憶手段が記憶している移
動前の端末アドレスと同一のアドレスを有するパケット
を、カプセル化後、端末及びサブネット管理サーバ間に
形成したトンネルを介して入出力するトンネリング処理
手段を備えるようにする。これにより、端末が、内部ホ
ストごとに各端末までのトンネルを設けなくて良くな
る。

【０３４２】さらに、第４の発明によれば、内部ネット
ワーク内のあるサブネットに位置する端末が、当該ネッ
トワーク内の内部ホストと通信する形態の通信システム
において、(1) 端末に、同一ネットワーク内のあるサブ
ネットから他のサブネットへ移動した後も、移動前に割
り当てられた端末アドレスを記憶し続けるアドレス記憶
手段を備えると共に、(2) 端末の移動の前後に係る各サ
ブネットのサブネット管理サーバは、当該移動があった
場合に、アドレス記憶手段が記憶している移動前の端末
アドレスと同一のアドレスを有するパケットを、カプセ
ル化後、当該サブネット管理サーバ間に形成したトンネ
ルを介して入出力するトンネリング処理手段を備えるよ
うにする。これにより、端末がトンネリング処理をせず
に済み、その分、端末の負荷を軽減することができる。

【図面の簡単な説明】

【図１】第１の実施形態に係る通信システムの構成例を
示すブロック図である。

【図２】従来のパケット構成を示す説明図である。

【図３】従来の通信システムの構成を示すブロック図で
ある。

【図４】各実施形態で使用するパケット構成を示す説明
図である。

【図５】一部の実施形態で使用するパケット構成を示す
説明図である。

【図６】第２の実施形態に係る通信システムの構成例を
示すブロック図である。

【図７】第３の実施形態に係る通信システムの構成例を
示すブロック図である。

【図８】第４の実施形態に係る通信システムの構成例を
示すブロック図である。

【図９】第５の実施形態に係る通信システムの構成例を
示すブロック図である。

【図１０】第６の実施形態に係る通信システムの構成例
を示すブロック図である。

【図１１】第７の実施形態に係る通信システムの構成例
を示すブロック図である。

【図１２】第８の実施形態に係る通信システムの構成例
を示すブロック図である。

【図１３】第９の実施形態に係る通信システムの構成例
を示すブロック図である。

【図１４】第１０の実施形態に係る通信システムの構成
例を示すブロック図である。

【図１５】第１１の実施形態に係る通信システムの構成
例を示すブロック図である。

【図１６】第１２の実施形態に係る通信システムの構成
例を示すブロック図である。

【符号の説明】

５０１、６０１…内部ホスト、５０３、６０３〜９０
３、１１０５、１２０５１３０５、１４０５…ファイア
ウォール、５０５、６０５〜９０５、１００３、１１０
７、１２０７〜１４０７、１５０５、１６０７…端末、
１１０３、１２０３〜１６０３、１６０５…サブネット
管理サーバ、５１０、６１１、７１１、８１１、９１
１、１００９、１１１３、１２１３、１３１３、１４１
３、１５１１、１６１６…移動前情報記憶部、１００
５、１００７、１５０７、１５０９、１６０９、１６１
１、１６１４…内部セッション管理部、１００４、１０
０８、１５０６、１５１０、１６０８、１６１２、１６
１５…外部セッション管理部。

Claims (22)

【特許請求の範囲】
1. 【請求項１】 外部ネットワークに位置する端末が、フ
   ァイアウォールを介して内部ネットワークの内部ホスト
   と通信する形態の通信システムにおいて、 上記端末は、移動前に又は予め内部ネットワークにおい
   て割り当てられた端末アドレスを記憶するアドレス記憶
   手段を備えることを特徴とする通信システム。
2. 【請求項２】 上記端末及び上記ファイアウォールは、
   当該端末が内部ネットワークから外部ネットワークへ移
   動した場合に、上記アドレス記憶手段が記憶している端
   末アドレスと同一のアドレスを有するパケットを、カプ
   セル化後、上記端末及びファイアウォールの間に形成し
   たトンネルを介して入出力するトンネリング処理手段を
   備えることを特徴とする請求項１に記載の通信システ
   ム。
3. 【請求項３】 上記端末及び上記内部ホストは、当該端
   末が内部ネットワークから外部ネットワークへ移動した
   場合に、上記アドレス記憶手段が記憶している端末アド
   レスと同一のアドレスを有するパケットを、カプセル化
   後、上記端末及び内部ホスト間に形成したトンネルを介
   して入出力するトンネリング処理手段を備えることを特
   徴とする請求項１に記載の通信システム。
4. 【請求項４】 上記内部ネットワークにおける各サブネ
   ットのサブネット管理サーバは、上記端末が内部ネット
   ワークから外部ネットワークへ移動した場合に、上記ア
   ドレス記憶手段が記憶している端末アドレスと同一のア
   ドレスを有するパケットを、カプセル化後、当該サブネ
   ット管理サーバと上記端末との間に形成したトンネルを
   介して入出力するトンネリング処理手段を備えることを
   特徴とする請求項１に記載の通信システム。
5. 【請求項５】 上記ファイアウォールはトンネルの内部
   に位置し、当該ファイアウォールは、上記パケットのヘ
   ッダのアドレスを書き換えるヘッダアドレス書換手段を
   備えることを特徴とする請求項３又は４に記載の通信シ
   ステム。
6. 【請求項６】 上記ファイアウォールは、内部ネットワ
   ークに接続しているネットワーク・インターフェースの
   アドレスを複数有することを特徴とする請求項５に記載
   の通信システム。
7. 【請求項７】 上記ファイアウォールは、内部ネットワ
   ークに接続しているネットワーク・インターフェースの
   アドレスを複数有し、かつ、外部ネットワークに接続し
   ているネットワーク・インターフェースのアドレスを複
   数有することを特徴とする請求項５に記載の通信システ
   ム。
8. 【請求項８】 上記ファイアウォールは、パケットのへ
   ッダに記録されているセキュリティ関連情報に基づい
   て、上記パケットのヘッダのアドレスを書き換えること
   を特徴とする請求項５に記載の通信システム。
9. 【請求項９】 上記ファイアウォールは、パケットのへ
   ッダに記録されている、パケットが通過するトンネルの
   両端アドレスを表すフィールドの値に基づいて、上記パ
   ケットのへッダのアドレスを書き換えることを特徴とす
   る請求項５に記載の通信システム。
10. 【請求項１０】 内部ネットワーク内のあるサブネット
    に位置する端末が、当該ネットワーク内で内部ホストと
    通信する形態の通信システムにおいて、 上記端末は、同じネットワーク内のあるサブネットから
    他のサブネットへ移動した後も、移動前に割り当てられ
    た端末アドレスを記憶し続けるアドレス記憶手段を備
    え、かつ、上記端末及び上記内部ホストは、当該移動が
    あった場合に、上記アドレス記憶手段が記憶している移
    動前の端末アドレスと同一のアドレスを有するパケット
    を、カプセル化後、上記端末及び内部ホストの間に形成
    したトンネルを介して入出力するトンネリング処理手段
    を備えることを特徴とする通信システム。
11. 【請求項１１】 内部ネットワーク内のあるサブネット
    に位置する端末が、当該ネットワーク内の内部ホストと
    通信する形態の通信システムにおいて、 上記端末は、同一ネットワーク内のあるサブネットから
    他のサブネットへ移動した後も、移動前に割り当てられ
    た端末アドレスを記憶し続けるアドレス記憶手段を備
    え、かつ、上記端末及び当該端末が移動前に位置したサ
    ブネットのサブネット管理サーバは、当該移動があった
    場合に、上記アドレス記憶手段が記憶している移動前の
    端末アドレスと同一のアドレスを有するパケットを、カ
    プセル化後、上記端末及びサブネット管理サーバ間に形
    成したトンネルを介して入出力するトンネリング処理手
    段を備えることを特徴とする通信システム。
12. 【請求項１２】 内部ネットワーク内のあるサブネット
    に位置する端末が、当該ネットワーク内の内部ホストと
    通信する形態の通信システムにおいて、 上記端末は、同一ネットワーク内のあるサブネットから
    他のサブネットへ移動した後も、移動前に割り当てられ
    た端末アドレスを記憶し続けるアドレス記憶手段を備
    え、かつ、上記端末の移動の前後に係る各サブネットの
    サブネット管理サーバは、当該移動があった場合に、上
    記アドレス記憶手段が記憶している移動前の端末アドレ
    スと同一のアドレスを有するパケットを、カプセル化
    後、当該サブネット管理サーバ間に形成したトンネルを
    介して入出力するトンネリング処理手段を備えることを
    特徴とする通信システム。
13. 【請求項１３】 上記ファイアウォールは、内部ネット
    ワークから外部ネットワークへ移動した端末に対して外
    部ネットワークが割り当てた端末アドレスを記憶するア
    ドレス記憶手段を備えることを特徴とする請求項１〜９
    のいずれかに記載の通信システム。
14. 【請求項１４】 上記内部ネットワーク内のサブネット
    管理サーバは、内部ネットワークから外部ネットワーク
    へ移動した端末に対して外部ネットワークが割り当てた
    端末アドレスを記憶するアドレス記憶手段を備えること
    を特徴とする請求項１〜９のいずれかに記載の通信シス
    テム。
15. 【請求項１５】 上記トンネルの両端位置に、上記パケ
    ットを暗号処理する暗号処理手段を備えることを特徴と
    する請求項１〜１４のいずれかに記載の通信システム。
16. 【請求項１６】 上記トンネルの両端位置を除く内部位
    置に、上記パケットを暗号処理する暗号処理手段を備え
    ることを特徴とする請求項１〜１４のいずれかに記載の
    通信システム。
17. 【請求項１７】 上記暗号処理手段は、上記パケットの
    ヘッダのアドレスに応じて、暗号処理のアルゴリズム
    を、１つ以上の暗号処理のアルゴリズムと恒等写像のう
    ちのいずれかに切り替えることを特徴とする請求項１５
    又は１６に記載の通信システム。
18. 【請求項１８】 上記暗号処理手段は、上記パケットの
    ヘッダに記憶されているセキュリティ関連情報に応じ
    て、暗号処理のアルゴリズムを、１つ以上の暗号処理の
    アルゴリズムと恒等写像のうちのどれかに切り替えるこ
    とを特徴とする請求項１５又は１６に記載の通信システ
    ム。
19. 【請求項１９】 上記トンネルの両端位置に、パケット
    を認証処理する認証処理手段を備えることを特徴とする
    請求項１〜１４のいずれかに記載の通信システム。
20. 【請求項２０】 上記トンネルの両端位置を除く内部位
    置に、パケットを認証処理する認証処理手段を備えるこ
    とを特徴とする請求項１〜１４のいずれかに記載の通信
    システム。
21. 【請求項２１】 上記認証処理手段は、上記パケットの
    ヘッダのアドレスに応じて、パケットの認証処理のアル
    ゴリズムを変更することを特徴とする請求項１９又は２
    ０に記載の通信システム。
22. 【請求項２２】 上記認証処理手段は、上記パケットの
    ヘッダに記憶されているセキュリティ関連情報に応じ
    て、パケットの認証処理のアルゴリズムを変更すること
    を特徴とする請求項１９又は２０に記載の通信システ
    ム。