WO2005027438A1

WO2005027438A1 - パケット中継装置

Info

Publication number: WO2005027438A1
Application number: PCT/JP2003/011623
Authority: WO
Inventors: Yuji Nomura; Shinji Yamane; Kazumasa Ushiki; Yoshitoshi Kurose; Mitsunori Fukazawa
Original assignee: Fujitsu Limited
Priority date: 2003-09-11
Filing date: 2003-09-11
Publication date: 2005-03-24
Also published as: JPWO2005027438A1; EP1667382A4; US20070081530A1; CN1839592A; EP1667382A1

Abstract

ネットワーク間に設けられ、特定のグループに属するホストに関するＩＰパケットを通過させるＩＰパケット中継装置であって、ホストが持つＩＰアドレスとそのホストが属するグループを識別するためのグループ識別子とを対応付けたリストと、一方のネットワークから到着した他方のネットワークに接続されたホスト宛のＩＰパケットが同一のグループに関するＩＰパケットか否かを、前記リストを参照することにより判定する判定手段と、同一のグループに関するＩＰパケットであると判定されたＩＰパケットを、前記他方のネットワークに中継するフォワード手段と、を備える。

Description

明細書

バケツト中継装置技術分野

本出願は、通信ネットワークで接続された任意のホストを仮想的にグループ化し、閉域網を提供する技術に関する。背景技術 '

I P (Internet Protocol)ネットワークが急速に一般化してきている。これに伴い、 I Pネットワークには、パーソナルコンピュータ（PC) 以外のホスト（例えば I P通信が可能な家電製品等の機器）も接続されるようになつてきている。これまでの高機能なパーソナルコンピュータ (PC)が主役の I Pネットワークから、家電製品を制御したり、 I P対応の家電製品間でコンテンツを送受信するなどの利用が始まり、 I P通信が可能な機器（以下、ホスト）の数と種類が増え、特に今まで接続されなかった PCよりも低機能のホストも接続されるようになってきた。

ホスト数が増えることによりホストをグループ化して多数のホストを簡単に管理する必要が生じ、また低機能のホストが増えることでよりホストに負担が少ない単純な方法でグループ間の通信を実現する必要が生じる。グループ化する意味は例えば、あるホストを探す場合に探索範囲を絞る効果があり検索に必要な処理量や時間を短縮し、また別の面ではグループに属するホストとそうでない普通のホストを識別することであり、例えばホストにおける外部からのアクセスをメンバだけに制限することでセキュリティを確保する意味がある。

従来技術では、任意の数の I Pホストによってある 1グループを構成する場合、グループに属するホストが互いにグループメンバとして情報を登録し、互いに通信するのが一般的である。この場合、グループに属する全てのホストには以下の手段が必要であった。

1. 同じグループに所属するメンバのリスト、 2. 上記メンバリストにホストを登録、削除する機能、およぴメンパ間で共有 · 同期する機能、

3. メンバリストに基づきユーザ認証をする認証手段、

4. メンバリストに含まれるホストからの通信とメンバ以外のホストを識別する手段。

なお、ァドレス変換に関する資料としては例えば非特許文献 1および 2がある。また、 VPN に関する資料としては例えば非特許文献 3および 4がある。

非特許文献 1

RFC1631

非特許文献 2

RFC2391

非特許文献 3

NS2001- 263 (情報システム研究会 NS) 2002. 3、複数ネットワーク接続に適した分散型 VPNのデザィン、田島佳武（NTT)

非特許文献 4

NS2001_262 (情報システム研究会 NS) 2002. 3、仮想ネットヮーキングサービスプラットフオーム (VNSP)におけるマルチ VP サービスサービス提供方式、岡大祐（NTT)、他

特許文献 5

特開 2 0 0 1— 2 6 8 1 2 5号公報

従来技術は、ホストにおける実装コストが高く、ホスト数に対してスケーラビリティが無いという問題点がある。第一に上記 1〜4までの機能はグループに参加する全てのホストが実装しなければならず、特に、ュ一ザの認証や通信を制限する機能はファイアウォールゃゲートウエイなど専用機で実現されている機能であり、実装コストが極めて高い。このような機能を通信 ·計算資源に乏しい、携帯電話、 PDA (Personal Di gital Ass i stance)などの携帯端末、クーラ、洗濯機、ビデオなどのネットヮーク家電通信で実装するのは困難である。例えば、受信した I Pバケツト毎に認証済みのホストカゝどうかをチェックする処理は、受信するバケツト数およびメンバ数に比例して増大するため、ホストでの処理負荷は大きくなり、スケールしなくなるという問題がある。

第二に、この方法では各ホスト間の通信がフルメッシュで発生するため、ホスト数が増加するとそれに比例してホストにおける処理メッセージ数が増加する。例えば、グループに参加するメンバが増減するたぴに、各ホストではメンバリストを更新する必要があるが、このメンバ変更のメッセージは全てのホス卜に対して送信されるため、送信ホスト、受信ホストともに処理負荷が大きくなり、スケールしなくなるという問題がめる。

以上のように、ホストには負担をできるだけかけずに、スケールするグループ化の技術が必要となる。具体的な要求条件は以下の 3つである。

1. ホストにおける T C P / I Pプロトコルスタック、およぴ既存ァプリケーションは一切変更しないこと。

2. ホストにおけるグループ化の機能を利用するァプリケーシヨンは既存の T C P / I P機能だけを利用すること。

3. 認証されたホストのみグループメンパにアクセスできる、つまりホストからは認証済みのホストからしか通信が発生していないように見えると。

また、付加機能として以下の要件を満たすことが望ましい。

1. グループ構成ゃメンパ登録は自動的に実行されること。

2. ァドレス空間に制約が無く、グローバルとプライべ一トアドレスの両方が使える

3. I Pアドレスとホストの対応は DHCPなどを使うと一意でないため、 I P了ドレス以外の個体認証機能を持つこと。

4. ホストにおけるアプリケーションにおいてグループの判別が容易であること。発明の開示

本発明の課題は、グループメンバ数等が増えてもホストの処理負荷を増大させることなく、グループ内に閉じた通信を実現することにある。本発明は、上記課題を解決するためになされたものであり、グ.ローバルァドレスまたはプライべ一トァドレスを持つ I Pホストで構成された I Pネットワークにおいて、任意のホストを選択してグループ化し、グループ内に閉じた通信を実現するために、ローカルネットワークとグロ一バルネットワークの境界に位置するバケツト中継装置であって、ダループに属するホストを管理するために、 I Pアドレスとグループを管理するためのホスト名から構成されるリストと、このリストを元にグループメンバであるホストとグループ外のホストを識別しグループ外のホストからの通信を遮断する手段と、を備える構成とした。

本発明によれば、各ホスト自身がメンバリスト等を備える必要がなレ、。このため、グループメンバ数等が増えてもホストの処理負荷を増大させることなく、グループ内に閉じた通信を実現することが可能となる。上記パケット中継装置においては、例えば、グローバルアドレスとプライべートァドレスを相互に変換する変換装置をさらに備える。

このようにすれば、プライベート網とグローバル網、およびプライべ一ト網同士の通信が可能となる。

上記パケット中継装置においては、例えば、任意のホストには仮想的な I Pサブネットに対する仮想的なプライべ一トアドレス（仮想 I Pァドレスともいう）が割り付けられる。

このようにすれば、仮想的にホストグループを I Pサブネットでダループ化することが可能となる。

上記パケット中継装置においては、例えば、他のパケット中継装置との間の通信を暗号化する手段をさらに備える。

このようにすれば、中継経路上で情報が漏洩することを防止することが可能となる。

上記バケツト中継装置においては、例えば、所定のトンネルプロトコルにより、他のバケツト中継装置との間のトンネル設定を自動化する手段をさらに備える。

このようにすれば、トンネル設定の自動化が可能となる。

上記パケット中継装置においては、例えば、仮想グループ設定プロトコルにより、他のバケツト中継装置との間におけるグループ設定を自動化する手段をさらに備える。

このようにすれば、グループ設定の自動化が可能となる。

上記バケツト中継装置においては、例えば、仮想グループ設定プロトコルにより、他のパケット中継装置との間におけるグループに属するメンバ設定を自動化する手段をさらに備える。

このようにすれば、メンバ設定の自動化が可能となる。

上記パケット中継装置においては、例えば、他のパケット中継装置との間で認証することにより、互いが信頼できるものであるか無いかを確認する手段をさらに備える。

このようにすれば、信頼できる相手とのみ通信することが可能となる。上記パケット中継装置においては、例えば、パケット中継装置とホストは、他のホストと接続されずに、直接接続される。

このようにすれば、バケツト中継装置とホスト間の中継経路上で情報が漏洩することを防止可能となる。

上記パケット中.継装置においては、例えば、非 I P端末を仮想的に I

Pホストとしてグループに存在するように他のホストから見せかける仮想 I Pホストを構築する。

このようにすれば、非 I P端末との間でも通信することが可能となる。上記パケット中継装置においては、例えば、ホストのレイヤ 2ァドレス (L2アドレス）をホスト固有の識別子（ I D ) としてマシンと一対一に対応させる。

このようにすれば、ホストが移動したり、一時停止して DHCPで I Pァドレスが変わってもグループメンバからは同じように見せることが可能となる。上記パケット中継装置においては、例えば、グループに属するホストの代理で仮想、のレイヤ 2ァドレスを用いて ARP (Address Resolution Protocol) に応答し、グループ内の通信をローカルサブネットレベルで実現する。上記パケット中継装置においては、例えば、ゲートウェイで名前解決を行わず、 D N Sサーバで一元的に名前を解決し、かつ実アドレスと仮想的なプライべ一トァドレスの変換をパターンで記述する。

このようにすれば、ァドレス変換にかかるリソースと処理時間を削減することが可能となる。

本発明は次のように特定することもできる。

ネットワーク間に設けられ、特定のグループに属するホストに関する I Pバケツトを通過させる I Pバケツト中継装置であって、ホストが持つ I Pアドレスとそのホストが属するグループを識別するためのグループ識別子とを対応付けたリストと、一方のネットワークから到着した他方のネットワークに接続されたホスト宛の I Pパケットが同一のグループに関する I Pバケツトか否かを、前記リストを参照することにより判定する判定手段と、同一のグループに関する I Pパケットであると判定された I Pパケットを、前記他方のネットワークに中継するフォワード手段と、を備える I Pパケット中継装置。

このようによれば、各ホスト自身がメンバリスト等を備える必要がない。このため、グループメンバ数等が増えてもホストの処理負荷を増大させることなく、グループ内に閉じた通信を実現することが可能となる。また、上記 I Pパケット中継装置においては、例えば、前記判定手段は、前記リストを参照することにより、前記一方のネットワークから到着した I Pバケツトの送信元ァドレスおよび宛先ァドレスに対応するグループが同一である場合に、該 I Pパケットが同一のグループに関する I Pパケットであると判定する。これは、判定手段による判定基準の一例を示したものである。

本発明は、通信ホストに変更を加えず、同じ目的を持つ任意のホスト ^セキュアかつスケーラブルにグループ化するために、ゲートウエイ装置がグループを管理し、さらに実 I Pアドレスと仮想 I Pアドレスを変換することで仮想的に I Pサブネットワークを構築し、 I Pアドレスでグループを識別できることを特徴とする。

本発明の基本的なアイデアはグループ化に必要な機能をゲートウェイ装置に持たせることである。つまり、上記の要求条件を満たすためにグループに属するホスト同士を接続するゲートウェイ（=ルータ）装置を新たに設置する。このゲートゥヱイ装置は既存のルータ、スィッチ装置などと同様に物理的に分けられたネットワーク間を接続する機能を持ち. これらの装置に対してグループ化に必要な機能を新たに追加したものである。これにより従来技術でホストに必要であった全ての機能がゲートウェイに実装され、ホストは低機能で単純な T C P / I Pプロトコルスタックのみでグループ化通信が実現される。

通常はホストの機能を低減するため、各ホストそれぞれに対して異なるゲートウェイ装置、つまり 2台以上のゲートウェイ装置を介してグループ化通信が実現される（図 1参照）。

課題を解決する手段をまとめると次の 3つの手段を新しくゲートゥェィに備えることが本発明の基本的なアイデアである。

1. アクセス制限機能：ゲートウェイ装置はグループメンバ外からのグループメンバであるホストへのアクセスを遮断するために、グループメンバのアドレスをリストとして持ち、このリストによりグループメンバを識別し、メンバ以外からの通信を遮断もしくは制限する。

2. メンバ識別をホストで可能にする機能：また、このゲートウエイ装置は各グループメンバが標準.の T C P / I Pプロトコルを用いてグループを参照できるように DNS を利用して通信相手先のグループ名を含む文字列を応答する機能を持つ。

3. グループメンパ管理機能：また、このグートウェイ装置は新しくグループに参加するホストを認証し、グループメンパリストに登録する手段、あるホストがグループメンバから離脱するときにホストを削除する機能を備える。また、管理を簡単にするために、ゲートウェイ間でグループとそのメンバ情報を同期させる手段を備えることもオプションとしてありうる。図面の簡単な説明

図 1は、第一の実施形態のネットワークシステムの概略構成を説明するための図である。

図 2は、第一の実施形態のネットワークシステムの概略構成を説明するための図である。

図 3は、第一の実施形態のゲートウェイの機能プロック図である。図 4は、ゲートウエイの動作について説明するためのフローチヤ一トである。

図 5は、ゲートウエイの動作について説明するためのフローチヤ一トである。

図 6は、ゲートウエイの動作について説明するためのシーケンス図である。

図 7は、主として、第二の実施形態のネットワークシステムの概略構成を説明するための図である。

図 8は、第二の実施形態のグートウェイの機能プロック図である。図 9は、ゲートウェイの動作について説明するためのフローチヤ一トである。

図 1 0は、ゲートウェイの動作について説明するためのフローチヤートである。

図 1 1は、ゲートウェイ間設定プロトコルのシーケンス図である。図 1 2は、ゲートウエイ G W— Bが保持するローカルリスト例である。

図 1 3は、ゲートウエイ G W— Bが保持するグローバルリスト例である。

図 1 4は、個体識別子を含むローカルリスト例である。

図 1 5は、ゲートウエイ B W— Bが保持するグローバルリスト例である。

図 1 6は、グローバルリスト例である。

図 1 7は、第七の実施形態のゲートウヱイの動作について説明するためのシーケンス図である。発明を実施するための最良の形態

以下、本発明の第一の実施形態であるゲートウェイ（G Wまたはゲートウェイ装置ともレ、う）を包含するネットワークシステムについて図面を参照しながら説明する。

(第一の実施形態）

(ネットワークシステムの概要）

図 1およぴ図 2は、本実施形態のネットヮーグシステムの概略構成を説明するための図である。

図 2 に示すように、本実施形態のネットワークシステムは、ローカルネットワーク A (以下ローカルネット Aという）、ロー力/レネットワーク B (以下ローカルネット Bとレヽう）、およびィンターネットからなる。口一カルネット Aおよびローカルネット Bには、グループ化の対象とされるホスト（ここではホスト 1 1〜1 4およびホスト 2 1〜 2 5 ) が接続されている。なお、グループ化の対象とされるホストの数は適宜の数とすることができる。

各ホストは、 I Pバケツトによる通信を行う機能を有する家電製品等の端末である。この I Pバケツトによる通信のために、各ホストはグロ一バル I Pアドレスを持つ。ここでは、 I P v 4による I Pアドレスとする。ローカルネット Aとィンターネットとはゲートウエイ A 1 を介して接続されている。また、ローカルネット B とインターネットとはゲートウヱイ B 1 を介して接続されている。

ローカノレネット Bからインターネットを経由してローカルネット Aへ向かう I Pパケット（すなわち、送信元 I Pァドレスおよび宛先 I Pァドレスがそれぞれ、ローカルネット Bに接続されたホストの I Pァドレスおよびローカルネット Aに接続されたホストの I P了ドレスである I Pパケット）は、ゲートウェイ A 1に到着するようになっている。逆に、ローカノレネット Aからインターネットを経由してローカノレネット Bへ向かう I Pバケツト（すなわち、送信元 I Pァドレスおよび宛先 I Pアドレスがそれぞれ、ローカルネット Aに接続されたホストが持つ I Pアドレスおょぴロー力ルネット Bに接続されたホストが持つ I Pァドレスである I Pバケツト）は、ゲートウエイ B 1に到着するようになつている。本実施形態では、ゲートウェイ A 1および B 1は、その到着した I P パケットに対して後述のフィルタリング処理等を実行する。これにより、グループ内に閉じた通信を実現することが可能となる。以下に、その詳細について説明する。

(ゲートウエイの概略構成）

次に、ゲートウェイの概略構成について図面を参照しながら説明する。図 3は、ゲートウェイの機能ブロック図である。

ゲートウェイ A 1 (ゲートウェイ B 1も同様) は、グローバルァドレスを持つ I Pホストで構成された I Pネットワークにおいて、任意のホストを選択してグループ化し、グループ内に閉じた通信を実現するために、ロー力ノレネットワーク（例えばローカルネット A又は B ) とグロ一バルネットワーク（例えばインターネット）との間に設けられるバケツト中継装置である。

具体的には、ゲートウェイ A 1は、図 3に示すように、パケットフィルタリング部 1 0 0、グループメンバーリスト管理部 1 1 0、 D N S処理部 1 2 0、およぴパケット送受信部 1 3 0を備えている。

ノケットフィルタリング部 1 0 0は、ローカルネット Bからインターネットを経由してローカルネット Aへ向かう I Pバケツト（すなわち、送信元 I Pァドレスおょぴ宛先 I Pァドレスがそれぞれ、ローカルネット Bに接続されたホストの I Pァドレスおょぴローカルネット Aに接続されたホストの I Pァドレスである I Pバケツト）を受信する。バケツトフィルタリング部 1 0 0は、その受信した I Pバケツトが同一グループに関するものか否か（ここでは、その受信した I Pパケットの送信元 I Pアドレス（S A ) および宛先 I Pアドレス（D A ) に対応するダループが同一か否か）を、グループメンバーリスト管理部 1 1 0に問い合わせる。

パケットフィルタリング部 1 0 0からの問い合わせを受けると、ダループメンバーリスト管理部 1 1 0は、自己が管理するグループメンバーリストを参照して、送信元 I Pァドレスおよび宛先 I Pァドレスに対応するグループが同一か否かを判定する。グループメンパーリストには、各ホスト（ホスト 1 1〜 1 4およびホスト 2 1〜 2 5 ) とそのホストの I Pアドレスとそのホストのドメイン名との対応関係が記述されている _c なお、説明の都合上、図 3に示すグループメンバーリストには、図 2に示すホスト数よりも少ない数の対応関係を記述している。

ドメイン名は、そのホスト名（m y p cや t v等）とそのホストが属するグループを識別するたのグループ識別情報（ g r 1や g r 2等）とを"ノ，で連結して構成したものである。従って、グループメンバーリスト管理部 1 1 0は、グループメンバーリストを参照することにより、送信元 I Pァドレスおよぴ宛先 I Pアドレスに対応するグループ（ダル一プ識別情報）を知ることができる。そして、その判明したグループ（グループ識別情報）を比較することにより、両者が同一か否かを判定できる。この判定結果はバケツトフィルタリング部 1 0 0に返される。

送信元 I Pァドレスおよび宛先 I P了ドレスに対応するグループが同一であるとの判定結果を受けると、バケツトフィルタリング部 1 0 0は、その受信した I Pバケツトをローカルネット A (宛先）にフォヮ一ドする。一方、送信元 I Pァドレスおよび宛先 I Pァドレスに対応するダループが同一でないとの判定結果を受けると、パケットフィルタリング部 1 0 0は、その受信した I Pバケツトをローカルネット Aにフォワードすることなく、例えば、廃棄する。

(グループメンバーリスト）

グループメンバーリストは各種の方法で作成することが可能である。例えば、仮想的なグループ g r 1， g r 2をネットワーク上に新規に作成し、次にこれに属するホストの I Pァドレスおよび名前（ここではドメイン名（D N S名））を登録し、最終的にグループとそのメンバが記憶されたアドレスリストを得ることが考えられる。図 3はこのようにして得たグループメンバーリストを示している。

これらの一連の作業はネットワークの管理者が管理端末をシリアルで接続し、コマンド · ライン · インタフェースを利用して手動でゲートゥヱイ A 1に設定する。または、管理設定用の遠隔設定プロトコル（Telnet や HTTP等）を使って設定してもよい。例えば、 H T T Pを利用する場合、ゲートウエイ A 1においてグループを作成するための W e bインタフエースを持つグループ、およびそのメンバの登録 ' 管理機能が存在し、あるホストはゲートウエイの登録画面において、 I Dとパスヮードを入力して認証することにより登録用の W e bページに進むことができるなどの、アクセス制限があってもよい。登録用のページではグループ名を入力するとグループを登録でき、また、既存のグループ名に対してホスト I Pァドレスを登録するとグループに属するメンバであるホストを定義できる。これらの登録ステッフ。はユーザィンタフェースの設計に依存し、これらは一例であって、グループとそのメンバホストが登録する機能を有すれば他の登録方法でもよい。

以上の結果、ホストの I Pアドレスと D N S名、およびホストが属するグループ名が記慷されるグループメンバリストを作成することができる。

(ドメイン名登録）

次にゲートウヱイによる D N Sとしての動作について図面を参照しながら説明する。図 4は、ゲートウェイの動作について説明するためのフローチャー卜でめる。

上記と同様に、 I Pアドレス毎に固有の名前を定義し、先ほどのダループ名とあわせて適当なドメイン名を定義することができる。例えば、ホスト 1 2力 S 「m y p c」という名前であることを登録し、これが属するグループ名力 S 「 g l」であるとすると、ゲートウェイではホスト 1 2 の I Pアドレス「133.100.51.3 J に対して「m y p c . g 1」とレヽぅ D N S名を割り当てる。

ゲートウェイ A 1は、例えば、グループ内に既に登録済みのホストから「my p c . g l」という D N S名に対する I Pアドレスの解決要求を含む I Pバケツトを受信すると（ S 1 0 0 )、その受信した I Pパケットの送信元 I Pアドレス ( S A) がグループメンバーリストに存在するか否かを、グループメンバーリスト管理部 1 1 0に問い合わせる（S 1 0 1 )。その結果、その送信元 I Pアドレス（ S A) がグループメンバーリストに存在しない場合には（ S 1 0 1 ： N o )、ゲートウエイ A 1は、通常の D N S要求として応答を返す（ S 1 0 2 )。一方、その送信元 I P アドレス（S A) がグループメンバーリストに存在する場合には（S 1 0 1 ： Y e s )、ゲートウエイ A 1は、その送信元 I Pアドレス（ S A) に対応する（属する）グループを" A" として記憶する（ S 1 0 3 )。そして、ゲートウェイ A 1は、解決しようとしているホストが先ほど記憶したグループ" A"に存在するか否かを判定する（S 1 0 4)。その結果、そのホストがグループ" A" に存在しない場合には（S 1 0 4 ： N o )、ゲートウェイ A 1は、通常の D N S要求として応答を返す（S 1 0 2)。一方、そのホストがグループ" A" に存在する場合には（S 1 0 4 ： Y e s )、ゲートウエイ A 1は、グループメンバリストを参照して、「m y p c . g l」という D N S名に対応する I Pアドレス「133.100.51.3」を得る。ゲートウエイ A lは、この解決した I Pアドレス「 133.100.51.3 J を" I P"、 DN S名「m y p c . g 1 J を" N a m e " として記憶する ( S 1 0 5 )。

次に、ゲートウェイ A 1は、ホストからの要求が D N S名の解決要求か否かを判定する（ S 1 0 6 )。その結果、ホストからの要求が DN S名の解決要求である場合には（S 1 0 6 : Y e s；)、 DN S名を、要求元のホストに応答する（S 1 0 7)。一方、ホストからの要求が DN S名の解決要求でない場合には（S 1 0 6 : N o )、 I Pアドレスを、要求元のホストに応答する（ S 1 0 8 )。ここでは、ホストからの要求が I Pァドレスの解決要求であるため（S 1 0 0、 S 1 0 6 : N o )、ゲートウエイ A 1は、 DN S名「m y p c . g l」に対応する I Pァドレス「133.100.51.3」を、ァドレス解決要求元のホストに応答することになる（ S 1 0 8 )。なお、 S 1 0 0においてホストから I Pアドレス「133.100.51.3」に対する D N S名の解決要求を含む I Pバケツトを受信した場合には、ゲートウェイ A 1は、その I Pアドレスに対応する P N S名「m y p c . g l」を、 D N S名の解決要求元のホストに応答することになる（S 1 0 7)。なお、グループメンバリストに基づく D N S応答はローカルネットヮーク側でのみ有効であるように制限するのが一般的である。例えば、 D N S要求の送信元 I P了ドレスが先に作成したメンバリストに存在し、かつ、同一のグループに属するホストに対する要求のみを受け付けるように制限することが考えられる。

以上の結果、 I P了ドレス毎の D N S名を記憶したグループメンバリストを定義し、これに対する要求に対して応答することが可能となる。

(アクセス制限）

次に上記構成のゲートウエイによる、グループ内に閉じた通信を実現するための動作について図 5を参照しながら説明する。図 5は、ゲートウェイの動作について説明するためのフローチャートである。

まず、同一のグループ g r 1に属するホスト 1 1 とホスト 2 2 との間の通信を例に説明する。なお、ゲートウェイ A 1 (ゲートウェイ B l 同様）のグループメンパーリストには、ホスト 1 1およびホスト 2 2等が持つ I Pァドレスとこれらのホストのドメイン名（ホスト名とグループ識別子とから構成される）との対応関係が記述されている。

まず、ホスト 2 2がホスト 1 1に対して I Pパケット（すなわち、送信元 I Pアドレスおょぴ宛先 I Pァドレスがそれぞれ、ホスト 2 2の I Pアドレスおよびホスト 1 1の I Pアドレスである I Pパケット）を送信したとする。その I Pパケットは、インターネットを経由してゲートウェイ A 1に到着する。ゲートウェイ A 1は、そのパケットフィルタリング部 1 0 0により、その到着したバケツトを受信する（ S 2 0 0 )。ノ、 ° ケットフィルタリング部 1 0 0は、その受信した I Pパケットが同一グループに関するものか否か（ここでは、その受信した I Pパケットの送信元 I Pアドレス（S A) および宛先 I Pアドレス（DA) に対応するグループが同一か否か）を、グループメンバーリスト管理部 1 1 0に問い合わせる（ S 2 0 1 )。

バケツトフィルタリング部 1 0 0からの問い合わせを受けると、ダループメンバーリスト管理部 1 1 0は、自己が管理するグループメンバーリストを参照して、送信元 I Pァドレスおょぴ宛先 I Pァドレスに対応するグループが同一か否かを判定する（S 2 0 2および S 2 0 3 )。グループメンバーリストには、各ホスト（ホスト 1 1〜 1 4およびホスト 2 1〜 2 5 ) とそのホストが持つ I Pァドレスとそのホストのドメイン名との対応関係が記述されている（図 3参照）。なお、説明の都合上、図 3 に示すグループメンバーリストには、図 2に示すホスト数より少ない数の対応関係を記述している。ドメイン名は、そのホスト名（m y p cや t V等）とそのホストが属するグループを識別するためのグループ識別情報（ g r 1や g r 2等）とを"ノ，で連結して構成したものである。

従って、グループメンバーリスト管理部 1 1 0は、グループメンバーリストを参照することにより、送信元 I P了ドレスおよび宛先 I Pアドレスに対応するグループ（ここではいずれも g r l ) を知ることができる（S 2 0 2 ： Y e s )。そして、その判明したグループ（ここではいずれも g r 1 ) を比較することにより、両者が同一か否かを判定できる（ S 2 0 3 ： Y e s )。この判定結果はバケツトフィルタリング部 1 0 0に返される。なお、 S 2 0 2または S 2 0 3での判断が N oであれば、該当パケットは廃棄される（S 2 0 5 )。

ここでは、バケツトフィルタリング部 1 0 0は、送信元 I Pアドレスおよび宛先 I Pァドレスに対応するグループが同一であるとの判定結果を受けることになる。その判定結果を受けると、パケットフィルタリング部 1 0 0は、その受信した I Pパケットをロー力ルネット A (宛先）にフォワードする（ S 2 04 )。これは、一般的にフィルタリングと呼ばれる処理と同様の処理である。

次に、異なるグループに属するホスト 1 1 ( g r lに属する）とホスト 2 1 (g r 2に属する）との間の通信を例に説明する。

まず、ホスト 2 1がホスト 1 1に対して I Pパケット（すなわち、送信元 I Pァドレスおよび宛先 I P了ドレスがそれぞれ、ホスト 2 1の I Pアドレスおよびホスト 1 1の I Pアドレスである I Pパケット）を送信したとする。その I Pパケットは、ィンターネットを経由してゲートウェイ A 1に到着する。ゲートウェイ A 1は、そのパケットフィルタリング部 1 0 0により、その到着したバケツトを受信する（S 2 ◦ 0 )。パケットフィルタリング部 1 0 0は、その受信した I Pバケツトが同一グループに関するものか否か（ここでは、その受信した I Pパケットの送信元 I Pアドレス（S A) および宛先 I Pアドレス（DA) に対応するグループが同一か否か）を、グループメンバーリスト管理部 1 1 0に問い合わせる（ S 2 0 1 )。

バケツトフィルタリング部 1 0 0からの問い合わせを受けると、ダループメンバーリスト管理部 1 1 0は、自己が管理するグループメンバーリストを参照して、送信元 I P了ドレスおよび宛先 I P了ドレスに対応するグループが同一か否かを判定する（S 2 0 2および S 2 0 3 )。ダループメンバーリストには、各ホスト（ホスト 1 1〜 1 4およびホスト 2 1〜 2 5) ごとに、そのホストが持つ I Pアドレスとそのホストのドメイン名との対応関係が記述されている（図 3参照）。なお、説明の都合上、図 3に示すグループメンバーリストには、図 2に示すホスト数より少ない数の対応関係を記述している。ドメイン名は、そのホスト名（my p cや t v等）とそのホストが属するグループを識別するためのグループ識別情報（g r 1や g r 2) とを"ノ' で連結して構成したものである。従って、グループメンバーリスト管理部 1 1 0は、グループメンバーリストを参照することにより、送信元 I Pァドレスおょぴ宛先 I Pアドレスに対応するグループ（ここでは g r l、 g r 2 ) を知ることができる（ S 2 0 2 : Y e s )。そして、その判明したグループ（ここでは g r 1、 g r 2 ) を比較することにより、両者が同一か否かを判定できる（ s 2 0 3 ： Y e s )。この判定結果はバケツトフィルタリング部 1 0 0に返される。

ここでは、バケツトフィルタリング部 1 0 0は、送信元 I Pアドレスおよび宛先 I Pァドレスに対応するグループが同一でないとの判定結果を受けることになる。その判定結果を受けると、パケットフィルタリング部 1 0 0は、その受信した I Pバケツトをローカルネット Aにフォヮードすることなく、例えば、廃棄する（ S 2 0 5 )。

以上説明したように、本実施形態のゲートウェイ装置によれば、ダループメンバー外からのアクセスを制限する機能を提供する。即ち、本実施形態のゲートウェイ装置は、グループメンバーリストを参照することにより、送信元ホストから到着した I Pパケットが、同一グループに関する I Pパケットであるか否かを判定し、同一グループに関する I Pパケットであると判定された I Pバケツトを宛先へフォヮ一ドする。一方、同一グループに関する I pバケツトであると判定されなかった I pパケットについてはフォワードされることなく廃棄される。これにより、本実施形態のグートウェイ装置は、グループ内に閉じた通信を実現することが可能となっている。

なお、グループメンパーリストに記憶されている送信元以外からパケットが到着した場合に関する動作はネットワーク管理者のポリシ次第である。例えば、そのようなパケットについては、廃棄することも可能である。または、そのようなパケットであったとしても、宛先アドレスが特定の I Pアドレスのバケツトについては、廃棄することなくそのままホストへ転送することも可能である。これらの動作に関しては別にダループメンバリストに記載しておいても良い。

上記実施形態においては、ゲートウェイ装置 A 1は、外部ネットヮークからローカノレネットワーク Aへ向かう I Pバケツトに対して、フィノレタリング処理を行うように説明したが、本発明はこれに限定されない。例えば、ゲートウェイ装置 A 1は、ローカルネットワーク Aから外部ネットワークへ向かう I Pバケツトに対しても、フィルタリング処理を行うようにしてもよい。このようにすれば、ゲートウェイ装置 A 1におけるフィルタリング処理等の負荷が増大するものの、ゲートウェイ装置 B 1を導入することなく、ゲートウェイ装置 A 1のみで、上記グループ内に閉じた通信を実現することが可能となる。

(グループ間通信の具体例）

図 4および図 5に示したグループ間通信を実現するための一連の処理についてシーケンス図を用いて説明する。図 6は、ゲートウェイの動作ついて説明するためのシーケンス図である。

まず、 my p cが v i d e o と通信したい場合、ゲートウエイ GW— Aに対して D N S解決要求を送信して V i d e o の I Pアドレス 82.5.218.4を得たとする。次に、この I Pアドレスを利用して m y p c から v i d e oに I Pバケツトを送信して通信が始まる。これに対する応答バケツトが v i d e oから m y p cに対して送信された場合、グートウエイ G W— Aはこのバケツトを受信すると、 m y p cにフォワードする前に、グループメンバリストをチェックして my p c と V i d e o が同一のグループにあることを確認するとバケツトを m y p cにフォヮードする。

ここで例えば P C 2というグループメンバリストに登録されていないホストから my p cに対する通信バケツトが送信され、ゲートウヱイ G W—Aに到着すると、ゲートウェイ GW— Aはこのバケツトの送信元ァドレス（S A) をチェックして P C 2がリストに存在しないことからこのパケットを廃棄する。これにより、グループ外のホストとの通信を遮断してセキュリティを向上させることが可能となる。

(グループに属する全てのホストを応答する具体例）

(グループメンバの I Pァドレス一覧）

ゲートウェイは登録されたホスト名とその I Pァドレスの対応を応答するだけではなく、グループ名とそのメンバ全てを応答することが出来る。これは、例えば g 1 というグループ名に対するァドレス解決要求を受けた場合は、ゲートウェイは g 1 というグループ名を持つホストアドレスの全てを D N S応答メッセージの中に入れて応答することで実現できる。このような応答メッセージは既存の D N Sの仕様で認められているものなので、特に D N Sの機能を拡張しなくても 1つの名前に対して複数の I Pァドレス応答を受信することが可能である。

この機能を応用することで例えばホストは自分の属する g 1 というグループに属する全てのメンバの一覧を入手することが可能なため、例えば、既存のメーリングリストの機能と同等の機能として、すべてのメンバにメッセージやファイルを送信するなどの機能が実現できることになる。

(第二の実施形態）

次に、本発明の第二の実施形態であるゲートウェイ（G Wまたはグートウェイ装置ともいう）を包含するネットワークシステムについて図面を参照しながら説明する。

上記第一の実施形態では、各ホストの I Pァドレスはグローバルァドレスである必要があることから、現実にはプライベート I Pァドレスが多用されている環境では利用できない。加えて、あるホストがグループメンバであるか否かは D N Sを利用してグループ名を確認する以外に手段がない。

例えば、あるホストがファイルの読み取り権限を与えるグループと読み書き全制御を許すグループの 2つのグループに属するとき、未知のホストからアクセスがあった場合、 DNS を利用してグループを認識しなければ未知のホストがどの権限を持つのか分からない。このような問題を解決するために、ゲートウェイ装置において、新たに以下の機能を追加する。

1.グループ毎に異なる任意の仮想プライべ一トネットワークァドレスを割り当て、 2. 各グループメンバには割り当てたネットワークァドレスに属する仮想 I Pァドレスを割り当て、上記の仮想 I Pアドレスと実 I Pァドレスを通信時に相互変換する NAT (Network Address Translation) 機能。

(ネットワークシステムの概要）

図 7は、本実施形態のネットワークシステムの概略構成を説明するための図である。

図 7に示すように、本実施形態のネットワークシステムは、自宅に敷設されたローカルネットワーク（以下自宅ネットという）、実家に敷設されたローカルネットワーク（以下実家ネットという）、およぴィンターネットからなる。自宅ネットおよび実家ネットには、グループ化の対象とされるホストが接続されている。例えば、自宅ネットには m y p c等が、実家ネットには V i d e o等が接続されている。本実施形態では、自宅ネットに接続されているホストと実家ネットに接続されているホストの中から 4つのホスト（m y p c、 v i d e o等）を取り出して、これらを一つのグループとして考える。なお、グループ化の対象とされるホストの数は適宜の数とすることができる。

各ホストは、 I Pパケットによる通信を行う機能を有する。この I P パケットによる通信のために、各ホストはローカル I Pァドレスを持つ。ここでは、 I P v 4による I Pアドレスとする。自宅ネットとインターネットとはゲートウェイ G W _ Aを介して接続されている。また、実家ネットとィンターネットとはゲートウエイ G W— Bを介して接続されている。

しかしながら、本実施形態では、第一の実施形態とは異なり、各ホストはローカル I Pァドレスを持つことから、自宅ネットと実家ネットのアドレス空間は重なっている（図 7参照）。例えば、自宅ネットに接続された m y p c というホストと、実家ネットに接続された V i d e o とレヽうホストとは、同一のローカル I Pァドレス 192. 168. 0. 5 を持つことから、アドレス空間は重なっている。このような環境では、自宅ネットと実家ネットとの間で通信することはできない。加えて、あるホストがグループメンバであるか否かは D N Sを利用してグループ名を確認する以外に手段がない。例えば、あるホストがファイルの読み取り権限を与えるグループと読み書き全制御を許すグループの 2つのグループに属するとき、未知のホストからアクセスがあった場合、 DN Sを利用してグループを認識しなければ未知のホストがどの権限を持つのか分からない。本実施形態では、ゲートゥヱイ GW— Aおよび GW— Bは NAT変換機能を持つ。これにより、ローカル以外のネットワークに存在するホストを異なる別のァドレスを持つホストとしてローカルホストに見せかけることが可能となる。

例えば、図 7に示すように、自宅にある m y p c とレヽぅホストが

192.168.0.5 という実アドレスを持ち、同じく実家にある v i d e o というホストが 192, 168.0· 5 という実アドレスを持ち、 m y p c と V i d e o とがゲートウヱイ GW— Aおよび GW— Bを介して通信する場合を考える。

自宅の m y ρ c 力らは v i d e o とレヽぅホストは仮想、的に 10.10.10.102 とレ、う仮想 I Pアドレスを持つホストとしてゲートゥェィ GW— Aに、同様に実家の V i d e o力、らは my p c とレヽぅホストは仮想的に 10.20.20.10 という仮想 I Pアドレスを持つホストとしてゲートウエイ GW— Bに、それぞれ登録しておく。

最初に、 my p c力 S _v i d e o という DN S名を持つホストの I Pァドレスをゲートウエイ GW— Aに問い合わせると、ゲートウエイ GW— Aは仮想 I Pアドレスである 10.10.10.102(=V-VCR)というァドレスで応答する。 m y p cはその仮想 I Pアドレス V- VCR宛に I Pバケツトを送信する。ここで、このパケットは必ずゲートウェイ GW— Aを通過する。このため、ゲートウェイ GW— Aにおいて、この宛先アドレス V- VCR は仮想 I Pァドレスであること、実際にはグートウエイ GW— B配下のホスト i d e o宛であること、および my p cはゲートウェイ GW— B配下のホストでは 10.20.20.10(=V-PC)とレヽぅァドレスを持つこと、力 S わ力る。

そこで、ゲートウェイ G W — A では、送信元アドレス R- PC (192. 168. 0. 5)をゲートウェイ G W— Bにおける仮想 I Pアドレスである V - PC ( 10. 20. 20. 10)に変換し、このパケットをゲートウェイ G W — B宛に、 I P トンネルを利用して送信する。

ゲートウェイ G W— Bでは、このパケットを受信すると、ゲートゥェィ G W _ Aから受け取ったパケットには仮想 I Pァドレスが使われていることが分かる。このため、ゲートウェイ G W— Bは、宛先ァドレス V-VCR を実ァドレスである 192. 168. 0. 5 に変換し、このバケツトを v i d e oに対して送信する。

以上のステップと逆の変換を v i d e oから m y p cに対しても行うことにより、仮想 I Pァドレスを用いて任意のホスト間で通信することが可能になる。

なお、これらに必要なァドレス変換機能は基本的には既存の NAPTの機能を利用することが可能である。また、ゲートウェイ間の I P トンネル通信も既存の PPPoverSSHや I P Secなどの様々な手法を利用することが可能である。 I P トンネル通信として SHや I P Secを利用すれようにすれば、仮想サブネットに関してゲートウエイ G W— Aと G W— Bとの間の通信が暗号化されることから、通信内容がグローバル I Pコアネット区間で盗聴されることを防止できる。

また、ホストとゲートウェイとの間の接続に関しも、イーサネットにおけるブロードキャストドメインを構成せず、 Point- to- Pointで接続する L2ネットワークを利用することから、グループメンバ以外からの接続を遮断することが可能になる。

(動作要件）

以上の動作を実現するための要件は以下の通りである。

1.パケット送信時、ゲートウェイ G W—Aまたは G W— Bで、トンネル（対向 G W ) を選択するルーティングを行う。ルーティングは宛先仮想 I Pァドレスを用いて、対向 G W (トンネル）を決定する。

2. ローカルホストは所属するグループ毎、加えて、対向 G W毎にも異なる仮想 I Pァドレスを持つ。この仮想 I Pアドレスはこれを利用する対向 GWと共有される。

3. ローカルホストの持つ仮想 I Pアドレスと実 I Pァドレスの変換はローカルゲートウェイ GWで管理する。宛先網におけるゲートウェイ GWでは、送信元ホストの仮想 I Pさえ知っていれば良く、実 I Pアドレスは知る必要がないためである。

4. よって、ローカルゲートウェイ GWでは、ローカルホストにおける仮想 I Pアドレスと実アドレスの変換をする。この要件から、グローバルリストと呼ぶグループメンバ全ての仮想 I Pァドレスとその DN S名を管理するリスト、およびローカルリストと呼ぶローカルに接続されている各ホストに関してグループを構成する対向 GWにおける仮想 I P了ドレスと対応 GW番号を含んだリストの 2つのリストを GWでは管理 . 維持する必要がある。

例えば、図 8では、ゲートウェイ G W— Bにおけるグローバルリストは、 v i d e o とレ、うローカルホスト（アドレス 192.168.0.5) が属する 2つのグノレープ g 1、 g 2における、メンバホスト m y p c、 c a m、 v i d e o、 n o t eに対する仮想 I Pァドレスを示している。

このグローバ/レリストは v i d e o以外のゲートウエイ GW— Bに接続されているホストに関しても同じリストを利用してもよい。この場合、エントリはどのローカルホストと同じグループメンバかを判定する手段が必要になる。例えば、ローカルリストに所属グループ（所属 G という列）に関する識別子を記憶させておけば、グローバルリストには D N S 名にホストが属するグループが記述されているので、グループ関係を認識することが可能である。結果としてグローバルリストに記憶されているホストについて、どのローカルホストと同じグループかを判別することができる。

なお、これ以外にもグローバルリストをローカルホスト毎に用意するなどの手段でも同じことができる。同様に、ローカルリストには V i d e oに関する仮想 I Pアドレスを記憶しており、この場合は、対向 GW毎に異なる I Pアドレスを仮想 I Pアドレスとして利用されている。このローカノレリストは、 V i d e o以外のホストの仮想 I Pァドレスを管理してもよく、単にリストにホストに関するエントリを追加するだけでよレ、。

(ゲートウエイの概略構成）

次に、グートウェイの概略構成について図面を参照しながら説明する。図 8は、ゲートウェイの機能ブロック図である。

図 8に示すように、ゲートウェイ G W— B (ゲートウェイ G W— Aも同様）は、パケット送受信部 2 0 0、グループメンバーリスト管理部 2 1 0、 D N S処理部 2 2 0、トンネル処理部 2 3 0、トンネル設定管理部 2 4 0、および N A T処理部 2 5 0を備えている。

グ口一バル I Pネットワークとプライベート（ロー力ノレ）ネットヮークがこのゲートウェイ装置 G W— Bで分離されている。グループ間で通信されるバケツトは任意の I Pアドレスを含むことから、このままでは、 I Pバケツトをグローバル I Pネットワークに.送信することができないでここでは、 I Pパケットは、ゲートウェイ G W— Aと G W— Bとの間に設定された I P トンネル（これは一例であり、何らかのトンネルであればよい）経由で送受信される。この場合、 I P トンネルを構成する I P パケットの送信元 ·宛先ァドレスともに、必ずゲートウエイ G Wのァドレスとなる。

そこで、グートウヱイ G W— Bは、 I Pバケツトを受信すると自己宛以外のバケツトを、そのパケット送受信部 2 0 0により廃棄する。次に、ゲートウェイ G Wは、その受信したパケットが、自己宛の I P トンネルバケツトかそれとも自己宛の制御パケットかを、宛先ポート番号から判断する。その結果、そのポート番号が I P トンネル用の I Pポート番号 (もしくはプロトコル番号）と判断された場合には、この受信した I P バケツトをトンネル処理部 2 3 0により処理する。

トンネル処理部 2 3 0は、この受信した I Pバケツト群により構成されるトンネルを終端する。そして、トンネル処理部 2 3 0は、その I P バケツト群が暗号化されている場合には、その暗号化を解除し、その後、トンネルによって運ばれている内側の I Pバケツトを抽出する。この処理は一例である。概念は I P- I P トンネルなどと呼ばれ広く知られている手法である。従って、上記 I P トンネルに代えて、 PPP、 I PSecなど様々なトンネル処理技術を利用することが可能である。

この後、 I P トンネルより抽出された I Pパケットは NAT処理部 2 5 0によりパケットの送信先が書き換えられる。これは、上記の要件で述べたように、宛先ァドレスと仮想 I Pァドレスの対応は宛先ホストを収容しているローカルゲートウェイ GWで処理するのが基本であることそれゆえローカルゲートウェイ GWにおける NAT処理部 2 5 0がこの処理を担当できる唯一の機能であるからである。

NAT処理部 2 5 0は、受信した I Pパケットの対向 G W (= トンネル）およぴ受信パケットの宛先ァドレスから、仮想 I Pァドレスを取得する。 NAT処理部 2 5 0は、この 2つの値をキーにグループメンバリスト管理部 2 1 0に記憶されている「ローカルリスト」を参照して、宛先実 I Pアドレスを求める。そして、 N A T処理部 2 5 0は、仮想 I P アドレスを実アドレスに書き換えた I Pパケットを最終的にローカルネットワーク側に送信する。

この例では、上記の要件を元に、 NAT処理部 2 5 0が受信した I P バケツトは、宛先 I Pァドレスを実ァドレスに変換するように説明したが、この手段以外の手段も考えられる。ゲートウェイは通信系路上に送信側と受信側の 2対存在するため、仮想 I Pァドレスを持つバケツトの宛先 ·送信元ァドレスを実ァドレスに変換する処理はそのどちらかのゲ一トウエイの NAT処理部 2 5 0で実現できればょレ、。従って、例えば、送信側のゲートウェイで宛先アドレスに関して NAT処理により実 I P 了ドレスに変換するようにすれば、受信側のゲートウエイでは NAT処理は不要になる。ただし、この場合、送信側のゲートウェイにおいて宛先ホストの実 I pアドレスを知る必要があることから、処理負荷が高くなる。なお、パケット送信時における、アドレス変換に関する処理もほぼ同様の機能プロックを利用する。なお、パケット送受信部 20 0および DN S処理部 2 2 0は、第一実施形態で説明したパケット送受信部 1 3 0および DN S処理部 1 2 0 と同様に機能する。

(バケツト受信時の具体的な動作）

ゲートウェイ GW— Aに属する 10.20.20.10 という仮想 I Pアドレスを持つ m y p c 力 S、 V i d e o 、すなわち仮想 I P アドレス 10.20.10.102宛にパケットを送信し、これをゲートウェイ GW— Bで受信したとする。

ゲートウヱイ GW— Bは、受信バケツトの送信元ァドレスをキーにグローバルリストを検索する（もしくはバケツトの受信インタフェースを認識する）ことにより、トンネル 1、すなわち対向 GW番号 1で受信したことをを知る。加えて、宛先ァドレスは 10.20.10.102であることが分かる。ゲートウェイ GW—Bは、この 2つをキーに「ローカルリスト」を検索することにより、宛先の実 I Pアドレスが I⁹².168.0.5であることを知る。これを元に、宛先アドレスを NAT変換部により変換して、最終的に受信バケツトをローカルネットワークに送信することで、ゲートウエイ GW— Bの処理が完了する。

(バケツト送信時の具体的な動作）

このゲートウェイ GW— Bを利用して、「 g l」グループに属する V i d e o とレヽぅホストが、対向する異なるゲートウェイ GW— A配下のホスト「m y p c」に対して仮想 I Pネットワークにより通信する場合を考える。

はじめに、通常の I P通信と同様、 DN Sを利用して DN S名から I Pアドレスを求める。ここでは、ローカルホストはゲートウェイ GW— Bを D N Sサーバとして登録しており、かつ、ゲートウェイ GW— Bがアドレス解決手段（DNSサーバ）を実装しているものとする。

ゲートウェイ GW—Bは、ゲートウェイ宛の DN S要求を自己宛のパケットとしてバケツト送受信部により受信する。バケツト送受信部は、この受信パケットを、 DN S処理部に転送する。 DN S処理部は、ダループメンバリストのうちグローバルリストを参照して、例えば、「 g 1」グループの「my p c」とレ、うホストと通信したいとすると、 I Pアドレスとして 10.20.20.1を得る。ホスト「 v i d e o」は、 DN Sの応答としてこのアドレスを得る。そして、実際のデータ通信が V i d e o と m y p c との間で始まる。具体的には、 v i d e oが通信パケットを m y p c宛に送信する。

ゲートウェイ GW— Bはローカル側からこの I Pパケットを受信すると、グループメンバリスト管理部 2 1 0に記憶されている「グローバルリスト」を参照して、宛先の仮想 I Pァドレスをキーにそのバケツトを送信するときに利用するトンネル番号を取得する。ここでは、 192.168.0.5 とレ、う I Pアドレスを持つ送信元ホスト v i d e oが宛先 I Pアドレス 10.20.20.10 のホスト m y p cに対してパケットを送信したので、宛先 I Pアドレス（=仮想 I Pアドレス）からトンネル番号は 1であることが分かる。このトンネル番号はローカルネットワークのあるホストが仮想ネットヮ一ク毎に異なる仮想 I Pアドレスを割り当てられている場合に、どの仮想 I Pァドレスが使われるかを決定するために利用する。ここではトンネル番号を用いたが、本質的には仮想 I Pアドレスに相当する宛先ホストが属するゲートウェイ GWを見つけることができ、かつゲートウェイ GWがパケットを受信したときに、送信元の仮想 I Pアドレスと実 I Pァドレスの対応が認識できるのであれば、どのような番号を用いてもよい。例えば、ゲートウェイ GWのグローバルァドレスやローカルで管理する任意の I Dでもよレ、。

ここで求めた「トンネル番号」および送信元の「実 I Pアドレス」をキーにローカルリストを参照し、「仮想 I Pァドレス」を取得し、バケツトの送信元ァドレスをこの仮想 I Pァドレスに変換して、この変換後のパケットをトンネル番号と一致するトンネルで送信するようにトンネル処理部 2 3 0に通知する。

この例では、トンネル処理部 2 3 0ではトンネル番号に基づき、予め設定してある I P- I P トンネルを利用する。なお、本手法ではゲートゥエイ GW間のトンネル手段は任意の既存技術を利用可能であり、 I P- I P トンネル以外にも MPLSや Etherフレームを利用した L2 レベルでのトンネル手段を利用してもよい。この場合もトンネルの識別子としてトンネル番号を利用できる。

以上の手段により、 V i d e oから m y p cに対して仮想 I Pァドレスを利用した I P通信が可能になり、この手段により仮想 I Pアドレスを用いたグループ化が実現される。

(グートウェイにおける各種情報の登録機能）

ゲートウェイ GW— Bにおいては、グローバルリスト、ローカルリストを作成する必要がある。これは、例えばコマンドラインインタフエ一スと telnet、もしくは Webインタフェースと HTTPなどを使って、遠隔ホストからグループメンバリスト管理部 2 1 0に対して設定、作成することが可能である。

I P- I P トンネル、または同様の機能を提供する L2 レベルのトンネルもトンネル設定管理部に対して、同じく telnetや HTTPを利用して遠隔から設定することが可能である。

次に、ゲートウエイ GW— Aとゲートウエイ Bとの間の通信について、図面を参照しながら、より詳細に説明する。

以下、図 7に示すように、自宅ネットに接続されたホスト m y p c (実 I P アドレス 192.168.0.5 (=R- PC) おょぴ仮想 I P アドレス 10.20.20.10) と実家ネットに接続されたホスト v i d e o (実 I Pアドレス 192.168.0.5 (=R- VCR)および仮想 I Pアドレス 10.10.10.102) がゲ一トウヱイ GW— Aおよび GW— Bを介して通信する場合を例に説明する。

なお、ゲートウェイ GW— Bが保持するグロ一パルリストには、 m y p c ( ドメイン名： m y p c . g 1 ) とその仮想 I P アドレス 10.20.20.10 (=V-PC)との対応関係が記述されている（図 8参照）。同様に、ゲートウヱイ GW— Aが保持するグローバルリストには、 V i d e o (ドメイン名：省略）とその仮想 I Pアドレス 10.10.10.102 (V - VCR)との対応関係が記述されている。各ゲートウェイがこのようなグローバルリストを保持している結果、例えば、自宅ネットに接続されているホスト m y p c力らは、実家ネットに接続されているホスト V i d e oは仮想的に V - VCR というアドレスを持つホストとして見える。同様に、実家ネットに接続されているホスト V i d e oからは、自宅ネットに接続されているホスト my p cは仮想的に V - PC というァドレスを持つホストとして見える。 ·

(ゲートウエイ GW— Aによるァドレス解決）

図 7に示すように、ホスト my p cは、 DN S名「v i d e o」を持つホストの I Pァドレスをゲートウェイ GW— Aに問い合わせる（S 3 0.0 )。ゲートウェイ GW— Aは、その要求を DN S処理部 2 2 0により受信する。 D N S処理部 2 2 0は、ドメイン名「v i d e o」に対応する I Pアドレスを、グループメンバーリスト管理部 2 1 0に問い合わせる。

グループメンバリスト管理部 2 1 0が管理するグローバルリストには- 各ホストのドメイン名と仮想 I Pアドレスと対向 GW (トンネル番号）との対応関係が記述されている。ドメイン名は、ホスト名（my p cや v i d e o等）とそのホストが属するグループを識別するためのグループ識別情報（_§ 1ゃ_§ 2) とを' 'ノ' で連結して構成したものである。

従って、グループメンバーリスト管理部 2 1 0は、グループメンバーリストを参照することにより、 DN S処理部 2 2 0から問い合わせのあつたドメイン名 V i d e o J に対応する仮想 I Pアドレス V- VCRを知ることができる。この判明した仮想 I Pアドレス V - VCRは解決要求元のホスト my p cに返される（S 3 0 l )。ホスト my p cは、ゲートゥェィ GW— Aからの仮想 I Pアドレス V - VCRを受信する。

(ホスト my p cによる送信処理）

ホスト my p cは、ホスト v i d e o向けの I Pノケットとして、送信元 I Pァドレスおよび宛先 I Pァドレスがそれぞれ、ホスト m y p c の実 I Pァドレス 192.168.0.5 (=R- PC)およぴ先ほど解決した仮想 I P ァドレス V-VCRである I Pバケツトを作成して送信する (S 3 0 2 )。 (ゲートウェイ GW— Aによるァドレス変換処理おょぴ転送処理） ' ホスト MY P Cからの I Pパケットは必ずゲートウエイ GW— Aを通過する。ゲートウェイ GW— Aは、この I Pパケットをその N AT処理部により受信する。 NAT処理部は、その受信した I Pパケットの宛先 I Pアドレス（先ほど解決したホスト v i d e oの仮想 I Pアドレス V-VCR) に対応するトンネル番号を、グループメンバリスト管理部 2 1 0 に問い合わせる。グループメンバリスト管理部 2 1 0が管理しているグローバルリストには、各ホストのドメイン名と仮想 I Pァドレスと対向 GW ( トンネル番号）との対応関係が記述されている。

従って、グループメンバーリスト管理部 2 1 0は、グローバルリストを参照することにより、宛先 I Pアドレス（先ほど解決したホスト V i d e oの仮想 I Pアドレス V- VCR) に対応する対向 GW ( トンネル番号）を知ることができる。

また、グループメンバリスト管理部 2 1 0が管理しているローカルリストには、ホスト v i d e oの実 I Pアドレス R- VCR と対向 G Wと仮想 I Pアドレス V-VCRとの対応関係が記述されている。

従って、グループメンバリスト管理部 2 1 0は、ローカルリストを参照することにより、先ほど判明した対向 GW ( トンネル番号）とその受信した I Pバケツトの送信元 I Pアドレス（m y p cの実 I Pアドレス R-PC) に対応する仮想 I Pアドレス V- PCを知ることができる。この判明した仮想 I Pアドレス V- PCは N A T処理部 2 5 0に返される。

この仮想 I Pアドレス V- PCを受けると、 NAT処理部 2 5 0は、その受信した I Pパケットの送信元 I Pアドレス（My P cの実 I Pァドレス R- PC) を、その判明した仮想 I Pアドレス V- PC に変換する（S 3 0 3)。

そして、 NAT処理部 2 5 0は、その変換後の I Pパケットを、先ほど判明した対向 GW ( トンネル番号）と一致するトンネルで送信するように、トンネル処理部 2 3 0に通知する。トンネル処理部 2 3 0は、 N AT処理部 2 5 0からの通知を受けると、そのトンネルを介してその変換後の I Pパケットを送信する（S 3 04)。

以上のようにして、ホスト my p cはホスト V i d e o向けの I Pノケットを送信し、ゲートウェイ GW— Aは、そのホスト v i d e o向けの I Pバケツトについてァドレス変換し、その変換後の I Pバケツトを中継する。

(ゲートウェイ GW— Bによるァドレス変換処理おょぴ転送処理）次に、ゲートウェイ GW—Bによるァドレス変換処理について図面を参照しながら詳細に説明する。図 9は、ゲートウェイ GW— Bによるァドレス変換処理および転送処理について説明するためのフローチヤ一トである。

ゲートウエイ GW— Bは、 S 3 0 4でゲートウエイ GW—Aから中継されたホスト V i d e o向けの I Pバケツトをバケツト送受信部 2 0 0 により受信する（S 3 0 5 0)。このとき、そのパケットを受信したトンネル番号が" B" として記憶される（S S 3 0 5 1 )。パケット送受信部は、その受信した I Pバケツトの宛先ァドレス V - VCRに対応する対向 G Wを、グループメンバーリスト管理部 2 1 0に問い合わせる。グローバルリストには、仮想 I Pアドレスと対向 GWとの対応関係が記述されている。従って、グループメンバーリスト管理部 2 1 0は、グローバルリストを参照することにより、その受信した I Pパケットの宛先アドレス V-VCRに対応する対向 GWを知ることができる。

また、ローカルリストには、ホストの実 I Pァドレスと対向 GWと仮想 I Pアドレスとの対応関係が記述されている。

従って、グループメンバーリスト管理部 2 1 0は、ローカルリストを参照することにより、先ほど判明した対向 GW (トンネル番号" B") とその受信した I Pバケツトの宛先 I Pァドレス（仮想 I Pァドレス V-VCR) に対応する実 I Pアドレス R- VCRを知ることができる。これは該当するエントリがローカルリストに存在したことを意味する（S 3 0 5 3 ： Y e s )。この判明した実 I Pアドレス R- VCRは N A T処理部に送られる。なお、該当するエントリがローカルリストに存在しない場合には (S 3 0 5 3 : N o )、その I Pバケツトは廃棄される（S 3 0 5 6 )。 NAT処理部 2 5 0は、その受信した I Pパケットの宛先 I Pァドレス（仮想 I Pアドレス V- VCR) を、その判明した実 I Pアドレス R- VCR に変換（置換）する（ S 3 0 5 4)。そして、 NAT処理部は、その変換後の I Pバケツトを実家ネットに送信する（S 3 0 5 5 )。

以上のようにして、ゲートウェイ GW— Bは、ホスト v i d e o向けの I Pバケツトを中継する。

(ホスト V i d e oによる送信処理）

図 7に示すように、ホスト v i d e oは、ホスト m y p c向けの I P パケット（応答パケット）として、送信元 I Pアドレスおよび宛先 I P ァドレスがそれぞれ、ホスト V i d e oの実 I Pアドレス R-VCRおよぴ仮想 I Pアドレス V- PC (受信 I Pバケツトの送信元 I Pアドレス）である I Pパケットを作成して送信する（S 3 0 6 )。

(ゲートウエイ GW— Bによるァドレス変換処理おょぴ転送処理）次に、ゲートウェイ GW— Bによるアドレス変換処理（S 3 0 7 ) について図 7を参照しながら詳細に説明する。

ホスト V i d e o力らの I Pパケットは必ずゲートウェイ GW— Bを通過する。ゲートウェイ GW—Bは、この I Pパケットを受信する（S 3 0 7 0)。ゲートウェイ GW— Bは、その受信した I Pバケツトの宛先 I Pアドレス（D A) がグローバルリストに存在するか否かを判定する ( S 3 0 7 1 )₀ その宛先 I Pアドレス (D A) がグローバルリストに存在しなければ（S 3 0 7 1 ： N o ), その I Pバケツトは廃棄される（S 3 0 7 2 )。

一方、その宛先 I Pアドレス（DA) がグローバルリストに存在するのであれば（S 3 0 7 1 : Y e s )、その受信した I Pパケットの宛先 I Pアドレス（ホスト m y p cの仮想 I Pアドレス V- PC) に対応する対向 GW (トンネル番号）がグロ一パルリストから読み出されて、これが" A" として記憶される（S 3 0 7 2)。次に、ローカルリストから、先ほど記憶された" A " と S 1 0 8 0で受信した I Pパケットの送信元 I Pアドレス（ V i d e oの実 I Pアドレス R-VCR)に対応するェントリが検索される（S 3 0 7 3 )。その結果、該当するエントリがローカルリストに存在しなければ（ S 3 0 7 4 ： N 。）、その I Pパケットは廃棄される（ S 3 0 7 2 )。

一方、該当するエントリがローカルリストに存在するのであれば（S 3 0 7 4 : Y e s )、 S 3 0 7 0で受信した I Pパケットの送信元 I P了ドレス（v i d e oの実 I Pアドレス R-VCR) を、そのエントリ中の仮想 I Pァドレス（すなわち、先ほど記憶された" A" と S 3 0 7 0で受信した I Pパケットの送信元 I Pアドレス（ V i d e oの実 I Pァドレス R- VCR) に対応する仮想 I Pアドレス V- VCR) に変換（置換）する（S 3 0 7 5 )。この変換後の I Pバケツトはトンネル" A" を介して送信される（S 3 0 7 6 )。

以上のようにして、ホスト V i d e oはホスト m y p c向けの I Pノケットを送信し、ゲートウェイ GW— Bは、そのホスト m y p c向けの I Pバケツトについてァドレス変換し、その変換後の I Pバケツトを中継する。

(ゲートウヱイ GW— Aによるァドレス変換処理おょぴ転送処理）次に、ゲートウエイ GW— Aの受信処理について説明する。

ゲートウェイ GW— Aは、 S 3 0 7 6でゲートウェイ GW— Bから中継されたホスト m y p c向けの I Pバケツトをバケツト送受信部 2 0 0 により受信する。パケット送受信部 2 0 0は、その受信した I Pバケツトの送信元ァドレス V- VCRに対応する対向 GWを、グループメンバーリスト管理部 2 1 0に問い合わせる。グローバルリストには、仮想 I Pァドレスと対向 GWとの対応関係が記述されている。従って、グループメンバーリスト管理部 2 1 0は、グローバルリストを参照することにより、その受信した I Pパケットの送信元ァドレス V- VCRに対応する対向 GW を知ることができる。

次に、グループメンバーリスト管理部 2 1 0は、ローカルリストを参照する。ローカルリストには、ホストの実 I Pアドレスと対向 G Wと仮想 I Pアドレスとの対応関係が記述されている。従って、グループメンバーリスト管理部 2 1 0は、ローカルリストを参照することにより、先ほど判明した対向 G W (トンネル番号）とその受信した I Pパケットの宛先 I Pアドレス（仮想 I Pアドレス V- PC) に対応する実 I Pアドレス R-PC を知ることができる。この判明した実 I Pアドレス R-PC は N A T 処理部 2 5 0に送られる。

N A T処理部 2 5 0は、その受信した I Pバケツトの宛先 I Pァドレス（仮想 I Pアドレス V- PC) を、その判明した実 I Pアドレス R- PC に変換する（ S 3 0 8 )。そして、 N A T処理部 2 5 0は、その変換後の I Pパケットを自宅ネットに送信する（S 3 0 9 )。

以上のようにして、ゲートウェイ G W— Aは、ホスト P C向けの I P バケツトを中継する。

(第三の実施形態）

次に、本発明の第三の実施形態であるゲートウェイ（G Wまたはゲートウェイ装置ともいう）を包含するネットワークシステムについて図面を参照しながら説明する。

上記第二の実施形態ではグートウエイ間でトンネル接続ゃグローバル . ローカルリストを作成するのはネットワーク管理者が手動で設定する必要があった。本実施形態では、これを自動化するための手段について図面を参照しながら説明する。ここでは、そのような手段として、ゲ一トウェイ間でこれらの設定情報を送受信するプロトコルを用いる例について説明する。図 1 1は、このプロトコルによる処理のシーケンス図である。

以下、ゲートウェイ G W— Bが主導で、ゲートウェイ G W— Bに属するホスト V i d e oとゲートウェイ G W— Cに属する PDA という名前のホストとを含むグループ g3を作成するためのプロトコルを考える。

1. (ゲートウェイ間の認証）

既存の認証方法（例えば I Dとパスヮードなどを利用する認証方法）を利用して、ゲートウェイ間でお互いが信頼できる GWかどうかを最初に認証する（ S 4 0 0 )。ゲートウェイ間で認証することは一般には望ましい処理であるが、必要が無い場合には、このステップを省略することも可能である（ォプション）。

2. 次に、ゲートウェイ GW— Bは、ゲートウェイ GW— Cに属するホストを知らないとすると、これを知るために、ゲートウェイ GW— に対してホストの一覧を要求する（もしくは何らかのキーワードでこれを検索する）（S 4 0 1 )。このステップも、仮にゲートウヱイ GW— Bがそのホストの名前を知っている場合には、省略可能である（ォプション）。ゲートウェイ GW— Bからの一覧要求を受けると、ゲートウェイ GW— Cは、自己の配下にあるホストの一覧（PDAというホスト名を含む）を、要求元のゲートウェイ GW— Bに応答する（S 4 0 3 )。

3. ゲートウェイ GW— Bは、ゲートウェイ GW— Cからのホスト一覧により、ゲートウエイ GW— C配下には PDA というホスト名を持つホストがあることを知る。このホスト P DA.と自己の配下にある V i d e o とを含む新しいグループ g3の作成は、ゲートウエイ GW— Bで新しく V i d e o という名前のホストに対して、新しくグループ g3のためのェントリを作成することで実現される。同時にゲートウェイ GW— Bは、自己にとってグループ g3 に割り当てるのに都合の良い仮想ネットワークアドレスを自身で作成する。ここでは、 10.22.0.0/24というネットヮークを新規に作成する。

次に、この新しく作ったグループ g 3をゲートウェイ G W _ Cでも作成させるために、グループ登録要求をゲートウエイ GW— Cに送信する ( S 4 0 4)。この要求を受け取ったゲートウェイ GW— Cは、 AC Kをゲートウェイ GW— Bに返す（S 4 0 5 ) とともに、ローカルで都合の良いグループ名を選択し作成する。ここでは gll というグループ名を割り当て、 10.50.0, 0/2 とレヽぅネットワークァドレスも同時に割り当てる _c なお、ここでは、ゲートウェイ GW— Bと GW— Cとは異なるグループ名を選択したが、両ゲートウェイ間で同じ名前を選択して作成してもよい。その場合、プロトコルは要求 ·応答を繰り返して互いで一意のグループ名を選択したり、互いが送信するメッセージの中に都合の良い名前の一覧を入れて、そこから選択することで実現することが考えられる。

4. ゲートウェイ GW— Bはグループ g3に属するホストとして名前 V i d e oを持つホストに対する仮想 I Pァドレスを割り当てるように、ゲートウエイ GW— Cに対して要求する（S 4 0 6 )。ゲートウエイ GW 一 Cは、グループ gll 用に作成したアドレス空間 10.50.0.0 上に、 10.50.0.10 とレヽぅァドレスを PDA. gll用に割り当て、これをゲートウェィ GW— Bに応答する（S 4 0 7 )。この応答を受け取ったゲートウエイ GW— Bは、ローカルリストエントリに新しく V i d e o . g3 という名前の 10.50, 0.10という仮想 I Pァドレスを作成する（図 1 2参照）。

5. 最後に、ゲートウェイ GW— Bは PDA. g3に対して、 10.22.0.0/24 のアドレス空間から 10.22, 0.3 というアドレスを新たに割り当て、グローバルリストエントリに新しく追加し（図 1 3参照）、これをゲートウヱィ GW— Cに仮想 I Pアドレスとして通知する（S 4 0 8)。これを受信したゲートウエイ GW— Cは、既存のローカルリストに対して新しくこのエントリを追加する。ゲートウェイ GW— Cはこれを作成すると、 Ack メッセージをゲートウェイ GW— Bに応答する（ S 4 0 9 )。

なお、 S 4 0 0から S 4 0 9までの手順は、一例である。例えば、手順 4. と 5. とは順序が入れ替わってもよい。また、上記の手順をひとつのメッセージで複数送信してもよい。また、トランスポート層としては既存のあらゆるプロトコルを流用することが可能である。 HTTPや S I Pを利用してもよい。また、メッセージフォーマットは XMLを利用して SOAP で力プセル化してこれらのトランスポートプロトコルで運ぶことが可能である。

また、トンネル接続に関してもこのプロトコルに含めることができ、ゲートウェイ間で認証が成立した後であれば、通信が始まる前の任意の時刻にトンネルを作成することができる。また、すでに実在するグループに対して、新たにホストをグループメンバとして追加する場合には、手順 3 . を省略する。また、この実現例では 2対のゲートウェイ間での設定を示したが、特に 2対に限ったわけではなく、任意のゲートウェイ間でこのプロトコルを動作させることにより、任意の数のゲートウエイ間でグループおよびそのメンバの設定を自動化させることが可能となる, (第四の実施形態）

次に、本発明の第四の実施形態であるゲートウェイ（G Wまたはゲートウェイ装置ともいう）を包含するネットワークシステムについて図面を参照しながら説明する。

本実施形態では、ゲートウェイ G Wに、 I Pによる通信機能が使えないデバイス（非 I P端末）が接続されている。この非 I P端末は、ゲートウヱイ G Wからの何らかのテキスト形式またはバイナリ形式のコマンドの送受信で制御される機能を有する。

このような場合、仮想 I Pアドレスを割り当てるのと同様に、仮想的にゲートウエイ G Wにおいて仮想 I Pホストを作成し、これに仮想 I P アドレスを割り当てるとともに、これが外部からの T C P / I P通信を終端することで、コマンドの送受信を T C P / I Pネットワークを利用して実現可能となる。

例えば、 telnet や HTTP などの既存のプロトコルを利用して、遠隔のホストがコマンドを運ぴ、ゲートウエイ G Wにおいて te lnet, HTTPを終端し、コマンド部分を抽出して、あらためて非 I Pホストに送信することで、遠隔のホストからはあたかも I Pホストと通信しているような制御 · 通信が可能となる。

このような非 I P端末の数だけ、グートウエイ G Wが仮想 I Pァドレスを割り当てればプライべ一ト I Pアドレスの数だけ非 I P端末を収容でき、かつグループ化も全く同様に実現することが可能となる。

(第五の実施形態）

次に、本発明の第五の実施形態であるゲートウェイ（G Wまたはグートウェイ装置ともいう）を包含するネットワークシステムについて図面を参照しながら説明する。通常、ロー力ノレネットワークでは DHCP (Dynamic Host Configuration Protocol)などの I Pアドレス自動割当プロトコルが動作していることから、ホストに割り当てられる I Pアドレスは同一とは限らない。このような環境においては、 I Pアドレスは I Pホストの個体を識別する I D としては不適当である。

本発明では通信先の I Pァドレスは仮想的なァドレスであり実 I Pァドレスが隠蔽されている。これは、ローカルリストにおいて実アドレスと仮想 I Pァドレスがマッピングされていることにより実現されている ₍ このことから、たとえ実アドレスが変化しても個体と仮想 I Pアドレスとのマッピングさえ維持できるのであれば、このような DHCPなどによる実 I Pァドレス変化の影響を受けることがなくなる。

例えば、ゲートウエイ GWにおいて MACァドレスによる個体識別を利用すると、個体と仮想 I Pアドレスとのマッビングを実 I Pアドレスに関わらず維持することができる。これは、ゲートウェイ GWにおけるローカノレリストのェントリに MACァドレスのフィールドを追カロすることで実現できる（図 1 4参照）。このようにすれば、実ァドレスが変化しても、ローカルリストでは常に MACァドレスを見て個体を識別するようにすれば、上記の効果が得られる。

例えば、 V i d e o という名前の個体は M A C ァドレス aa:bb:cc:dd:ee:ff によって一意に識別することが可能である。これはゲートウエイ GWと V i d e o との通信時に Ether を使っていれば ARP 応答などでこの値を取得して、ローカルリストに入力すれば実現できる。例え、 DHCPを利用していたり、 I Pァドレス割り当てが変化して実ァドレスが変化しても、 MACアドレスは不変であるため、この値を元にこのテーブルの値を管理維持すればよい。

(第六の実施形態）

次に、本発明の第六の実施形態であるゲートウェイ（GWまたはゲートウヱイ装置ともいう）を包含するネットワークシステムについて図面を参照しながら説明する。全く異なるネットワークに属するホストから仮想グループが構成されるときは、名前と仮想 I Pアドレス、および仮想 I Pアドレスと実アドレスの対応にパターンはない。しかしながら、例えばサブネットに属するホスト全てを仮想グループとして構成する場合には、変換にはルールがあることから、大幅にェントリ数を削減することが可能である。

ここでは、 D N S名の管理をゲートウェイでは行わず、 D N S リレーなどの既存手法を利用して、一元的に管理するシステムに問い合わせる。ゲートウエイ G Wには問い合わせる D N Sサーバのァドレスを予め与えておく。次に、グローバル ] ストにはドメイン名から実アドレスの変換パターン、およぴ実アドレスから仮想 I Ρァドレスへの変換パターンが記載されている（図 1 5参照）。

この表中の" *" は任意の値を意味し、それにマッチするデータをそのまま利用することを意味する。例えば、 V i d e o . dl の I Ρアドレスを D N Sサーバに問い合わせたとして、その応答が 192. 168. 0. 17であつたとすると、グローバルリストの 1番目にヒットし、そのときの仮想 I Pアドレスは 10. 20. 20. 17に変換されることを意味している。

このようなリストを持つことにより、連続したァドレス空間をリストに登録する場合には、リストを検索するための処理時間 · およぴリストを構成するためのリソースを大幅に削減することが可能になる。

(第七の実施形態）

次に、本発明の第七の実施形態であるグートウェイ（G Wまたはゲートウェイ装置ともいう）を包含するネットワークシステムについて図面を参照しながら説明する。

ゲートウェイは仮想的にあるグループが仮想的に同じサブネットに存在するようにホストに教えることが可能である。これまでの例ではダループにアクセスするときは必ずゲートウェイを通過するようにホストからは見えた。本実施形態によれば、 Ether の L2 レベルで同じサブネットに属するように見せかけることができる。

今、 g l というグループのホストが 2つ存在し、それぞれ実際には異なる遠隔のゲートウエイに属しているとして、ゲートウエイ GW— Bにおいて、同じローカルサブネットである 192.168.0.0/24とレ、ぅネットヮークに存在する V i d e o といホストに対して、同じサブネットに属するように通信させる場合を考える。

これまでの実施形態で利用したグローバルリストに対して、新たに仮想レイヤ 2アドレスのフィールドを追加し、他のホストと同一にならなレヽようにレイヤ 2アドレスを m y p c， c a mに対してそれぞれ al:bl:cl:dl:el:fl、 a2： b2： c2： d2： e2： f 2を割り当てたとする（図 1 6参照）。また、これまでと同様に仮想 I Pァドレスを割り当てるが、ここではホスト V i d e o と同じサブネットアドレスを割り当てる。

図 1 7に示すように、 c a m力、ら m y p cに対して I Pバケツトの送信を始める前に、 ARP のリクエストが送信される（S 5 0 0)'が、これに対してゲートウエイ GW— Bが m y p cに代わって仮想的に m y p c であるかのように、 ARPリクエストに対してァドレス al:bl:cl:dl:el:fl で応答する（S 5 0 1 )。このとき、図 1 6に示すグローバルリストが参照される。これによつて、 c a mは m y p cのレイヤ 2アドレスを ί巴握したため、実際にはゲートウェイ GW— Βに対して I Ρパケットを L2 レイヤで送信を開始する（S 5 0 2 )。

ゲートウヱイ 0 ¥— 3は L2 バケツトを受信するとグローバルリストを参照し、宛先 al:bl:cl:dl:el:n宛の L2バケツトは仮想的にゲートゥエイ GW— Aにおいて my p c として存在することが認識されるためこれを終端できる。以降はこれまでと同様の処理で、ゲートウェイ GW— A宛に I Pパケットを転送する（S 5 0 3 )。ゲートウェイ GW— Aは、上記実施形態と同用意、その I Pパケットを受信してァドレス変換を行い、この変換後の I Pパケットを自己の配下の my p cに対して転送する（ S 5 04 )。

また、ゲートウェイ GW— Bから c a m宛に my p cからのバケツトを送信時するときは、これまでの実施形態と同様にァドレス変換を終え、最終的にローカルネットワークに送信するときに、送信元レイヤ 2アドレスとして al:bl:cl:dl:el:flを付けて、 L2ネットワーク上の m y p c に対して L2バケツトを送信する。

以上の結果、任意のホストを仮想的に同一のサブネットに属するホストとして通信させる機能をゲートウェイが提供することが可能になる。 (変形例）

上記実施形態においては、 I Pアドレスは I P V 4によるアドレスであると説明したが、本発明はこれに限定されない。例えば、 I P V 6によるアドレスを用いることも可能である。この場合は、 I P v 4のプラィペートアドレスの代わりに、 I P v 6のサイトローカノレアドレスを利用することで実現可能であある。例えば、上記実施形態の「プライべ一ト（アドレス）」を「サイトローカル（アドレス）」と読みかえれば、処理手順や処理方法は全く同一であり、本発明の実施に当たり I P V 4 と

I P V 6の違いを考慮する必要はない。なお、グローバルアドレスは I P v 4と I P v 6 とも同じ意味を持つ。

本発明は、その精神または主要な特徴から逸脱することなく、他の様々な形で実施することができる。このため、上記の実施形態は、あらゆる点で単なる例示にすぎず、限定的に解釈されるものではない。産業上の利用可能性

本発明によれば、通信 ·計算資源に乏しいホスト（例えば、携帯電話、 PDA (Personal Digital Assistance)などの携帯端末、クーラ、洗濯機、ビデオなどのネットワーク家電）の処理負荷を増大させることなく、グループ内に閉じた通信を実現することが可能となる。

Claims

請求の範囲

1 . グローバルァドレスを持つ I Pホストで構成された I Pネットヮークにおいて、任意のホストを選択してグループ化し、グループ内に閉じた通信を実現するために、ローカルネットワークとグロ一バルネットワークの境界に位置するパケット中継装置であって、

グループに属するホストを管理するために、 I Pアドレスとグループを管理するためのホスト名から構成されるリストと、

このリストを元にグノレープメンバであるホストとグノレープ外のホストを識別しグループ外のホストからの通信を遮断する手段と、

を備えるバケツト中継装置。

2 . グローバルアドレスとプライベートァドレスを相互に変換する変換装置をさらに備える請求項 1に記載のバケツト中継装置。

3 . 任意のホストには仮想的な I Pサブネットに対する仮想的なブラィベートァドレスが割り付けられる請求項 2に記載のバケツト中継装置 ₍

4 . 他のバケツト中継装置との間の通信を暗号化する手段をさらに備える請求項 2または 3に記載のパケット中継装置。

5 . 所定のトンネルプロトコルにより、他のパケット中継装置との間のトンネル設定を自動化する手段をさらに備える請求項 2から 4のいずれかに記載のバケツト中継装置。

6 . 仮想グループ設定プロトコルにより、他のパケット中継装置との間におけるグループ設定を自動化する手段をさらに備える請求項 2から 5のいずれかに記載のバケツト中継装置。

7 . 仮想グループ設定プロトコルにより、他のパケット中継装置との間におけるグループに属するメンバ設定を自動化する手段をさらに備える請求項 2カゝら 6のいずれかに記載のパケット中継装置。

8 . 他のパケット中継装置との間で認証することにより、互いが信頼できるものであるか無いかを確認する手段をさらに備える請求項 5から 7のいずれかに記載のバケツト中継装置。

9 . パケット中継装置とホストは、他のホストと接続されずに、直接接続される請求項 2または 3に記載のバケツト中継装置。

1 0 . 非 I P端末を仮想的に I Pホストとしてグループに存在するように他のホストから見せかける仮想 I Pホストを構築する請求項 3に記載のバケツト中継装置。

1 1 . ホストのレイヤ 2アドレスをホスト固有の識別子としてマシンと一対一に対応させる請求項 3に記載のバケツト中継装置。

1 2 . グループに属するホストの代理で仮想のレイヤ 2アドレスを用いて ARPに応答し、グループ内の通信をローカルサブネットレベルで実現する請求項 3に記載のパケット中継装置。

1 3 . ゲートウェイで名前解決を行わず、 D N Sサーバで一元的に名前を解決し、かつ実アドレスと仮想的なプライべ一トァドレスの変換をパターンで記述する請求項 1から 3のいずれかに記載のバケツト中継装

1 4 . ネットワーク間に設けられ、特定のグループに属するホストに関する I Pパケットを通過させる I Pパケット中継装置であって、ホストが持つ I Pアドレスとそのホストが属するグループを識別するためのグループ識別子とを対応付けたリストと、

一方のネットワークから到着した他方のネットワークに接続されたホスト宛の I Pパケットが同一のグループに関する I Pバケツトか否かを, 前記リストを参照することにより判定する判定手段と、

同一のグループに関する I Pバケツトであると判定された I Pバケツトを、前記他方のネットワークに中継するフオフ一ド手段と、

を備える I Pバケツト中継装置。

1 5 . 前記判定手段は、前記リストを参照することにより、前記一方のネットワークから到着した I Pバケツトの送信元ァドレスおょぴ宛先ァドレスに対応するグループが同一である場合に、該 I Pバケツトが同一のグループに関する I Pパケットであると判定する請求項 1 4に記載の I Pバケツト中継装置。