JP3965160B2

JP3965160B2 - 相異なる私設網に位置したネットワーク装置間の通信を支援するネットワーク接続装置

Info

Publication number: JP3965160B2
Application number: JP2004013699A
Authority: JP
Inventors: 俊亭金
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2003-01-21
Filing date: 2004-01-21
Publication date: 2007-08-29
Anticipated expiration: 2024-01-21
Also published as: EP1441483B1; US20040218611A1; US7366188B2; EP1441483A2; CN1525711A; JP2004229299A; CN1301611C; EP1441483A3

Description

本発明はネットワーク接続装置に係り、特に相異なる網に連結されたネットワーク装置間の通信を可能にするネットワーク接続装置に関する。

最近、通信技術の発達と共に超高速通信網が各家庭に幅広く普及されている。また、企業は宅内で家電機器を使ってインターネットに接続できるようインターネット冷蔵庫、デジタルＴＶ、セットトップボックスなどのようなネットワーク機能が追加された多様なデジタル情報家電器機を次々と発売している。このように宅内で使用される家電機器にネットワーク機能が追加され情報端末化に伴って新たなネットワーク形態であるホームネットワークが出現した。
ホームネットワークを構成する宅内の電気/電子製品は、有線又は無線を介してインターネットと連結されるため、ユーザは家庭及び遠隔地などで場所を問わず情報を送受信する一方、電気/電子製品をインターネットを介して制御できるようになった。
一方、電気/電子製品をインターネットと連結するため、宅内には新たなネットワーク装置と各装置に搭載されるプログラムが求められる。このような装置のうち、インターネットとホームネットワークを連結し、ネットワークパケットの流れを制御するネットワーク装置をホームゲートウェイ(Home Gateway)と称する。
現在、家庭では、ＡＤＳＬ、ケーブルモデムなどの初歩的なホームゲートウェイを使ってインターネットサービス提供者(Internet Service Provider: ＩＳＰ)から１つの公認ＩＰ(Internet Protocol)アドレスを割り当てられて、インターネットに接続できる。

しかし、前述したような従来のホームゲートウェイは、１つのホームネットワーク機器からインターネットへの単純な連結を提供するだけであり、多様なサービスを提供できない現状である。すなわち、宅内への複数のネットワーク機器の普及、ＳＯＨＯ、在宅勤務の活性化、家電機器の自動化、それから遠隔制御などの進行に伴って、ホームゲートウェイにさらに多様なサービスが求められている一方、既存のホームゲートウェイはそのようなユーザのニーズを満足できない実情である。

前述したようなユーザの要求に応ずるため、ホームネットワークには私設ＩＰアドレスを利用する方策が提案された。私設ＩＰアドレスを用いる方策では、ホームネットワークに存する複数のネットワーク機器が１つの公認ＩＰアドレスを共有してインターネットにアクセスできるよう、ネットワークアドレスポート変換(Network Address Port Translation: ＮＡＰＴ)技術がホームゲートウェイに適用される。また、インターネットに連結されている遠隔ユーザが私設網である網ネットワークにアクセスできるよう仮想私設網(Virtual Private Network: ＶＰＮ)技術がホームゲートウェイに適用される。

しかし、ホームゲートウェイが割り当てられる公認ＩＰアドレスは頻繁に変わるので、インターネットに連結されているユーザがホームネットワークに接続するためには、現在ホームゲートウェイに割り当てられている公認ＩＰアドレスを必ず分かっている必要がある。このように、ＩＳＰからホームゲートウェイに割り当てられた可変的な公認ＩＰアドレスを知っている、或いは、知ることができなければならないという問題を解決するため、ホームゲートウェイはＩＳＰから公認ＩＰアドレスを割り当てられた後、ホームゲートウェイのドメインネームと割り当てられた公認ＩＰアドレスをインターネットに位置した動的ＤＮＳサーバに登録する。

また、ホームゲートウェイは、ＩＳＰから１つの公認ＩＰアドレスを割り当てるられるが、ホームネットワーク環境下では複数の情報機器が宅内で使用されるため、１つの公認ＩＰアドレスだけではこれらを同時にインターネットに連結できない。従って、宅内には私設ＩＰアドレスが使用され、１つの公認ＩＰアドレスを用いてこれらをインターネットに連結させるＮＡＰＴ技術が使用される。

ＮＡＰＴは、家庭からインターネットに出ていくパケットがある場合、パケットの出発地私設ＩＰアドレスと出発前ポート番号とを、割り当てられた公認ＩＰアドレスと他のポート番号とに変換し、これをＮＡＰＴ変換表に記録する。これに対する応答パケットがインターネットからホームネットワークに転送される場合、ホームゲートウェイはＮＡＰＴ変換表を参照してパケットの目的地公認ＩＰアドレスと目的地ポート番号を私設ＩＰアドレスとポート番号に変換した後、最終目的地にルーティングする。インターネットからホームネットワークに転送されたパケットがＮＡＰＴ変換表に記録されていなければパケットは廃棄される。

ＮＡＰＴ技術を利用すればホームネットワークからインターネットへのアクセスは可能である。すなわち、私設網内に位置した複数のネットワーク機器が１つの公認ＩＰアドレスを共有してインターネットにアクセスすることが可能である。しかし、インターネットからホームネットワークへのアクセスは不可能である。これは、インターネットに連結されている外部ユーザが送るパケットが、ホームゲートウェイを通過して私設網内部に変換/ルーティングされるためには、ＮＡＰＴ変換表に私設ＩＰアドレス及びそのポート、ホームゲートウェイポート番号、公認ＩＰアドレス及びそのポート、ＩＰプロトコルなどの情報が記録されていなければならないが、この情報を予め知ることができないためである。

インターネットに連結されている外部ユーザが、私設網に存するネットワーク機器にアクセスできるようにするために、ホームゲートウェイに適用される技術がＶＰＮである。ＶＰＮは適用される環境とネットワーク階層によって色々あるが、ホームネットワーク環境下では一般にＰＰＴＰ、Ｌ２ＴＰなどのの２階層トンネリングプロトコルが多用される。ホームゲートウェイにはＶＰＮサーバが設置され、インターネットに連結されている遠隔ユーザは、ＶＰＮクライアントとして動作する。各ホームネットワークのホームゲートウェイは、それぞれのホームネットワークでＶＰＮサーバまたはＶＰＮクライアントとして動作することができる。まずＶＰＮクライアントは、インターネット上で、公認ＩＰアドレスを用いてＶＰＮサーバにトンネルの生成を要請する。トンネルが形成されれば、ＶＰＮサーバはＶＰＮクライアントを認証した後、ＶＰＮクライアントにホームネットワークの内部で使用できる私設ＩＰアドレスを割り当てる。ＶＰＮクライアントは割り当てられた私設ＩＰアドレスを用いて仮想のネットワークインタフェースを作り、これはホームネットワークに連結され、あたかも１つのネットワークのように動作する。ＶＰＮクライアントの公認ＩＰアドレスはＶＰＮサーバまでのトンネルを作るのに使用され、私設ＩＰアドレスはトンネルを介して連結されたホームネットワークで使用される。

以上のようにＮＡＰＴとＶＰＮ技術をホームゲートウェイに適用すれば、宅内複数のネットワーク機器を通してインターネットに連結でき、インターネットに位置した遠隔ユーザがホームネットワークに連結できるようになる。

しかし、前述したようにＮＡＰＴ及びＶＰＮなどの技術は、ホームネットワークとインターネットは互いに連結させているものの、任意のホームネットワークと他のホームネットワークとの連結を提供できない問題点があった。すなわち、ホームネットワークでは私設ＩＰアドレスが利用されることから、相異なる公認ＩＰアドレスを使用する複数のホームネットワークが同一の私設ＩＰアドレスを使用している可能性がある。そのため、ホームネットワークに連結されたいずれか１つのホストからデータを転送しようとする場合、自分の属するホームネットワークに存するホストと遠隔地のホームネットワークに属するホストのＩＰアドレスが同一であれば、データをどのホームネットワークに属するホストに転送するかを決定することができず、データ転送エラーが発生する。

本発明は前述した問題を解決するために案出されたもので、その目的は、相異なる私設網に連結されたネットワーク装置間の通信を可能にするネットワーク接続装置を提供するところにある。

前述した目的を達成するための本発明のネットワーク接続装置は、公衆網と連結される少くとも１つ以上の公衆網インタフェースと、私設網と連結される少くとも１つ以上の私設網インタフェースと、前記私設網に連結されたホストから前記公衆網に連結された他私設網に対するトンネル生成要請メッセージが受信されれば、前記他私設網のゲートウェイと通信してＶＰＮトンネルを形成させ、前記私設網及び前記他私設網のネットワークアドレスが同じか、いずれか１つの私設網にもう１つの私設網のネットワークアドレスが含まれれば、前記２つの私設網がＶＰＮトンネル内で相異なるネットワークアドレスを使用するよう新たなネットワークアドレステーブルを生成し、前記私設網に連結されたホストまたは前記他私設網から転送されたデータパケットについて前記新たなネットワークアドレステーブルに基づき目的地アドレスまたは出発地アドレスを変換させフォワーディングする制御部とを含む。

前記制御部は、前記私設網に連結されたホストでトンネル生成を要請できるようトンネル生成要請ページを提供するウェブサーバと、前記私設網に連結されたホストの前記他私設網に対するトンネル生成要請について前記公衆網に連結されたＤＮＳから前記他私設網ゲートウェイの公認ＩＰアドレスを得る私設網ＤＮＳ処理部と、前記公衆網インタフェースを通して伝達されたトンネル生成要請または前記私設網インタフェースを通して伝達されたトンネル生成要請に応じてサーバまたはクライアントで動作して要請対象私設網とトンネルが形成できるよう処理するＶＰＮ処理部と、前記私設網から前記公衆網に転送されるデータパケットまたは前記公衆網から前記私設網に転送されるデータパケットについてＮＡＰＴプロトコルを用いて私設ＩＰアドレスを公認ＩＰアドレスに変換したり公認ＩＰアドレスを私設ＩＰアドレスに変換させ、前記私設網と前記他私設網との間に前記ＶＰＮトンネルが形成された場合、ＮＡＴプロトコルを用いて前記ＶＰＮトンネル内でアドレス変換を行うＮＡＴ/ＮＡＰＴ処理部とを含む。ここで、前記ウェブサーバはミドルウェアサーバに代替可能である。

前記ＶＰＮ処理部は、前記私設網に連結された前記ホストから前記他私設網に対する前記トンネル生成要請が伝達された場合に、前記私設網のネットワークアドレスと、前記私設網のネットワークアドレスの代わりに前記ＶＰＮトンネルで使用される第２ネットワークアドレスとを含む前記トンネル生成要請メッセージを、前記他私設網のゲートウェイに転送する。そして、前記ＶＰＮ処理部は、前記トンネル生成要請に対して、前記他私設網のゲートウェイから、前記他私設網のネットワークアドレスと、前記第２ネットワークアドレスと、前記ＶＰＮトンネルで前記他私設網のネットワークアドレスの代わりに使用される第３ネットワークアドレスとを含む応答が受信された場合に、前記私設網のネットワークアドレスと、前記他私設網のネットワークアドレスと、前記第２ネットワークアドレスと、前記第３ネットワークアドレスとを含むＡＣＫ（確認応答）を、前記他私設網ゲートウェイに転送する。また、前記ＶＰＮ処理部は、前記他私設網に対するトンネル生成要請メッセージ発生から前記ＡＣＫを転送するまでの過程を通して、私設網間連結管理テーブルを生成する。前記私設網連結管理テーブルは、前記私設網のネットワークアドレスと、前記他私設網のネットワークアドレスと、前記第２ネットワークアドレスと、前記第３ネットワークアドレスとを含み、前記他私設網ゲートウェイのドメインネームと、前記他私設網ゲートウェイのＶＰＮ動作によるサーバ/クライアント状態表示項目とをさらに含む。

前記ＮＡＴ/ＮＡＰＴ処理部は、前述したように、前記ＶＰＮ処理部で前記私設網連結管理テーブルが生成された場合に、前記私設網に連結されたホストについてＮＡＴを設定する。

また、前記ＤＮＳ処理部は、前記他私設網の間にＶＰＮトンネルが形成された状態で、前記私設網に連結された第１ホストから前記他私設網に連結された第２ホストに対する通信要求が伝達された場合に、前記第２ホストの第３ネットワークアドレスを前記他私設網のゲートウェイに問い合わせする。そして、前記他私設網ゲートウェイから前記第２ホストの第３ネットワークアドレスに対する応答を受信した場合に、前記ＤＮＳ処理部は、前記第１ホストに前記第２ホストの第３ネットワークアドレスを転送する。

前記制御部は、前記第２ホストの第３ネットワークアドレスを目的地アドレスにするデータパケットが前記第１ホストから伝達された場合に、そのデータパケットを、前記ＶＰＮトンネルを介して前記他私設網ゲートウェイにフォワーディング（転送）する。

一方、前記ＶＰＮ処理部は、前記他私設網のネットワークアドレスと、前記ＶＰＮトンネルで前記他私設網のネットワークアドレスの代わりに使用される第２ネットワークアドレスとを含むトンネル要請メッセージが受信された場合に、私設網のネットワークアドレスと、前記第２ネットワークアドレスと、前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用される第３ネットワークアドレスとを含む応答メッセージを前記他私設網に転送する。また、前記ＶＰＮ処理部は、前記他私設網からトンネル生成要請メッセージを受信してから前記応答メッセージに対するＡＣＫを受信するまでの過程を通して、私設網間連結管理テーブルを生成する。この私設網連結管理テーブルは、前記私設網のネットワークアドレスと、前記他私設網のネットワークアドレスと、前記第２ネットワークアドレスと、前記第３ネットワークアドレスとを含み、前記他私設網ゲートウェイのドメインネームと、前記他私設網ゲートウェイのＶＰＮ動作によるサーバ/クライアント状態表示項目とをさらに含む。

前記ＮＡＴ/ＮＡＰＴ処理部は、前述したように、ＶＰＮ処理部で前記私設網連結管理テーブルが生成された場合に、この私設網連結管理テーブルを参照して前記私設網に連結されたホストに対するＮＡＴを設定する。

また、前記ＤＮＳ処理部は、前記他私設網から前記私設網に連結されたホストに対する問い合わせを受信した場合に、前記ＶＰＮトンネル内で使用される前記ホストのネットワークアドレスを応答として転送する。

前記制御部は、前記ホストの第３ネットワークアドレスを目的地アドレスとするデータパケットが前記他私設網から送信された場合に、前記ＮＡＴを参照して、受信したデータパケットを前記ホストに転送する。

一方、前記制御部は、前記私設網に連結されたホストでトンネル生成を要請できるようトンネル生成要請ページを提供するウェブサーバと、前記私設網に連結されたホストの前記他私設網に対するトンネル生成要請について前記公衆網に連結されたＤＮＳから前記他私設網ゲートウェイの公認ＩＰアドレスを獲得するＤＮＳ処理部と、前記公衆網インタフェースを通して伝達されたトンネル生成要請または前記私設網インタフェースを通して伝達されたトンネル生成要請によって要請対象私設網とトンネルを形成するために必要な変数を含むトンネル生成要請メッセージを送受信するＨＴＩＰ処理部と、前記公衆網インタフェースを通して伝達されたトンネル生成要請または前記ＨＴＩＰ処理部を通して伝達されたトンネル生成要請に応じてサーバまたはクライアントとして動作して要請対象私設網とトンネルが形成できるよう処理するＶＰＮ処理部と、前記私設網から前記公衆網に転送されるデータパケットまたは前記公衆網から前記私設網に転送されるデータパケットについてＮＡＰＴプロトコルを用いて私設ＩＰアドレスを公認ＩＰアドレスに変換したり公認ＩＰアドレスを私設ＩＰアドレスに変換させ、前記私設網と前記他私設網との間に形成された前記ＶＰＮトンネルについて必要な場合、ＮＡＴプロトコルを用いて前記ＶＰＮトンネルの両端でアドレス変換を行うＮＡＴ/ＮＡＰＴ処理部とを含む。ここで、前記ウェブサーバはミドルウェアサーバなどに代替可能である。

前記ＨＴＩＰ処理部は、前記私設網に連結された前記ホストから前記他私設網に対する前記トンネル生成要請が伝達された場合に、前記トンネルに使用されるＶＰＮプロトコルと、前記私設網のネットワークアドレスと、前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用される第２ネットワークアドレスとを含む前記トンネル生成要請メッセージを前記他私設網のゲートウェイに転送する。そして、前記ＨＴＩＰ処理部は、前記トンネル生成要請について、前記トンネルに使用されるＶＰＮプロトコルと、前記他私設網のネットワークアドレスと、前記ＶＰＮトンネルで前記他私設網のネットワークアドレスの代わりに使用される第３ネットワークアドレスと、前記私設網のアドレスと、前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用される第２ネットワークアドレスとを含む応答が、前記他私設網のゲートウェイから受信されれば、前記ＶＰＮプロトコルと、前記私設網のネットワークアドレスと、前記他私設網のネットワークアドレスと、前記第２ネットワークアドレスと、前記第３ネットワークアドレスとを含むＡＣＫを、前記他私設網ゲートウェイに転送する。そして、前記ＨＴＩＰ処理部は、前記ＡＣＫメッセージについて、前記トンネルに使用されるＶＰＮプロトコルと、前記他私設網のネットワークアドレスと、前記ＶＰＮトンネルで前記他私設網のネットワークアドレスの代わりに使用される第３ネットワークアドレスと、前記私設網のアドレスと、前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用される第２ネットワークアドレスとを含むＲＥＡＤＹメッセージを、前記他私設網のゲートウェイから受信すれば、前記ＶＰＮ処理部をＶＰＮクライアントとして設定し、前記ＨＴＩＰ処理部がＶＰＮクライアントを駆動するようにする。

また、前記ＨＴＩＰ処理部は、前記他私設網に対するトンネル生成要請メッセージの発生から前記ＲＥＡＤＹを受信するまでの過程を通して、私設網間連結管理テーブルを生成する。前記私設網連結管理テーブルは、前記私設網のネットワークアドレスと、前記トンネルのＶＰＮプロトコルと、前記トンネルのＩＤと、前記他私設網のネットワークアドレスと、前記第２ネットワークアドレスと、前記第３ネットワークアドレスとを含み、前記他私設網ゲートウェイのドメインネームと、前記他私設網ゲートウェイのＶＰＮ動作によるサーバ/クライアント状態表示項目とをさらに含む。

そして、前記私設網と前記他私設網との間にＶＰＮトンネルが形成され、ＶＰＮトンネルの両端でアドレス変換が必要な場合、前記ＨＴＩＰ処理部は、前記私設網連結管理テーブルを参照してＶＰＮトンネルの両端にアドレス変換を設定するようＮＡＴ/ＮＡＰＴ処理部を制御する。

また、前記ＤＮＳ処理部は、前記施設網と前記他私設網の間にＶＰＮトンネルが形成された状態で、前記私設網に連結された第１ホストから前記他私設網に連結された第２ホストに対する通信要求が伝達された場合に、前記第２ホストのドメインネームに対するＩＰアドレスを前記他私設網のゲートウェイに問い合わせする。そして、前記他私設網のゲートウェイは、前記ＶＰＮトンネルで使用される前記第２ホストのＩＰアドレスを応答として送り、前記ＤＮＳ処理部は、これを受信して前記第１ホストに転送する。

前記制御部は、前記第２ホストのＩＰアドレスを目的地アドレスとするデータパケットが前記第１ホストから伝達された場合に、前記ＶＰＮトンネルを介して前記他私設網ゲートウェイでルーティングし、ＶＰＮトンネルにアドレス変換が設定されている場合、データパケットの出発地アドレス変換を行う。

一方、前記ＨＴＩＰ処理部は、他私設網から、前記トンネルのＶＰＮプロトコルと、前記他私設網のネットワークアドレスと、前記ＶＰＮトンネルで前記他私設網のネットワークアドレスの代わりに使用される第２ネットワークアドレスとを含むトンネル要請メッセージが受信されれば、前記トンネルのＶＰＮプロトコルと、私設網のネットワークアドレスと、前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用される第３ネットワークアドレスと、前記他私設網のネットワークアドレスと、前記第２ネットワークアドレスとを含む応答メッセージを前記他私設網に転送する。

また、前記ＨＴＩＰ処理部は、前記他私設網からＡＣＫメッセージが到着すれば、前記ＶＰＮ処理部をＶＰＮサーバとして設定し、前記トンネルのＶＰＮプロトコルと、前記私設網のネットワークアドレスと、前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用される第３ネットワークアドレスと、前記他私設網のネットワークアドレスと、前記ＶＰＮトンネルで前記他私設網のネットワークアドレスの代わりに使用される第２ネットワークアドレスとを含むＲＥＡＤＹメッセージを前記他私設網のゲートウェイに転送する。

そして、前記ＨＴＩＰ処理部は、前記他私設網からトンネル生成要請メッセージを受信してから前記応答メッセージに対する前記ＲＥＡＤＹメッセージを送信するまでの過程を通して、私設網間連結管理テーブルを生成する。前記私設網連結管理テーブルは、前記トンネルのＶＰＮプロトコルと、前記トンネルのＩＤと、前記私設網のネットワークアドレスと、前記他私設網のネットワークアドレスと、前記第２ネットワークアドレスと、前記第３ネットワークアドレスとを含み、前記他私設網ゲートウェイのドメインネームと、前記他私設網ゲートウェイのＶＰＮ動作によるサーバ/クライアント状態表示項目とをさらに含む。

また、前記私設網と前記他私設網との間にＶＰＮトンネルが形成され、ＶＰＮトンネルの両端でアドレス変換が必要な場合、前記ＨＴＩＰ処理部は、前記私設網連結管理テーブルを参照してＶＰＮトンネルの両端にアドレス変換が設定されるように、ＮＡＴ/ＮＡＰＴ処理部を制御する。

そして、前記ＤＮＳ処理部は、前記私設網に連結されたホストに対する問い合わせが前記他私設網から受信されれば、前記ＶＰＮトンネル内で使用される前記ホストのネットワークアドレスを応答として転送する。

前記制御部は、前記ホストの第３ネットワークアドレスを目的地アドレスとするデータパケットが前記他私設網から伝達されれば、前記ＮＡＴ/ＮＡＰＴ処理部の変換表を参照してデータパケットの目的地アドレスを変換した後、前記ホストに受信されたデータパケットを転送する。

以上のような本発明のネットワーク接続装置は、私設網から公衆網(インターネット)へのネットワーキング及びインターネットから私設網へのネットワーキングが可能になるのみならず私設網から他私設網とのネットワーキングまでも可能なので、ユーザのネットワーキングの範囲をさらに拡張させうるようになる。

本発明にかかるネットワーク接続装置は、私設網と公衆網間、または、私設網と私設網間の連結が可能なのでユーザの利用網をさらに拡張することができ、宅内ユーザの便宜が図れ、最近新たに注目されているホームネットワークにおいて、他のホームネットワークユーザと、さらに多様にコミュニティを活性化できるのみならず、ホームネットワーク同士の間で装置または資料を共有するサービスが可能になるためホームネットワーク市場の活性化に寄与でき、また現在のＩＰv４環境下で公認ＩＰアドレスの不足現象を解消できて、全体ネットワークの性能をアップすることができる。

特に、本発明において提案する方法は、ＨＴＩＰ(Home-to-Home Tunneling Initiation)プロトコルと呼ばれるが、ＨＴＩＰプロトコルを使うと、私設網間のＶＰＮトンネルを生成するのに必要な情報を予め交換、交渉することが可能なので、私設網間のＶＰＮトンネル生成に必要な事前設定を最小化でき、ＨＴＩＰ処理部で交渉が完了された情報を用いてＶＰＮ処理部、ＮＡＴ/ＮＡＰＴ処理部を制御するため、ＰＰＴＰ、Ｌ２ＴＰなどの既存ＶＰＮプロトコルを修正せず使用することができる。また、ＨＴＩＰプロトコルを使用すれば既存のＶＰＮトンネル内で使用されるネットワークアドレスと新たに生成されるＶＰＮトンネルのネットワークアドレスが衝突しないよう予め交渉することが可能なので、２つ以上の複数私設網について交差的にＶＰＮトンネルを形成することが可能である。

以下、添付した図面に基づき、本発明を実施するための最良の形態について詳述する。

図１は本発明の一実施形態によるホームゲートウェイを含むネットワーク構成図である。ネットワークは、複数の私設網２００Ａ、２００Ｂとアクセス(Access)ネットワーク及びインターネット３００を含む。私設網２００Ａ、２００Ｂには、それぞれのネットワーク内部に私設網ホスト２１０Ａ、２１０Ｂ、２１０Ｃ、２１０Ｄが連結され、インターネット３００には、ＤＮＳサーバ３３０及び複数の公衆網ホスト３１０、３２０が連結されている。そして、各私設網２００とインターネット３００は、ＩＳＰ１５０及びホームゲートウェイ１００を含むアクセスネットワークを通して互いに連結されている。

私設網２００とインターネット３００とを連結するホームゲートウェイ１００は、ＩＳＰ１５０から公認ＩＰアドレスを割り当てられ、割り当てられたＩＰアドレスをインターネットに連結されたＤＮＳサーバ３３０に登録する。また、ホームゲートウェイ１００は、各私設網に位置したホスト２１０とインターネット３００に連結されたホスト３１０、３２０が相互通信できるようＮＡＰＴプロトコル及びＶＰＮを通してサービスする。また、ホームゲートウェイ１００は、各私設網２００内部に位置したホスト２１０Ａ/２１０Ｃと他の私設網に連結されたホスト２１０Ｂ/２１０Ｄとが、ＶＰＮ及び私設ＩＰアドレス割り当てを通して相互通信できるようサービスする。

すなわち、ホームゲートウェイＡ(１００Ａ)及びホームゲートウェイＢ(１００Ｂ)は、各私設網(例えば、２００Ａ)に位置したいずれか１つのホスト(例えば、ホストＡ)から他の私設網２００Ｂに位置したホスト(ホストＢ)への連結要請について、相手側ホームゲートウェイ１００Ｂとの通信を通してＶＰＮトンネルを生成し、各私設網２００Ａ/２００Ｂに連結されたホスト２１０に対してＶＰＮトンネルで使用される相異なる私設ＩＰアドレスを割り当てた後、トンネル両端でＮＡＴを通して私設網Ａ(２００Ａ)に連結されたホストＡ(２１０Ａ)またはホストＣ(２１０Ｃ)と、私設網Ｂ(２００Ｂ)に連結されたホストＢ(２１０Ｂ)またはホストＤ(２１０Ｄ)とが相互通信できるようサービスする。

図２は本発明の実施形態によるゲートウェイのブロック図である。ゲートウェイ１００は、公衆網インタフェース１１０、私設網インタフェース１２０、メモリ部１３０及び制御部１４０を含む。

ゲートウェイ１００には、前述したように、少なくとも２つ以上のネットワークインタフェースが備えられ、少なくとも１つは公衆網インタフェースであり、少なくとも１つは私設網インタフェースである。公衆網インタフェース１１０は、ＡＤＳＬ、ケーブルモデム、イーサネット(Ethernet)などによって物理的にインターネット３００に連結され、ＩＳＰ１５０から割り当てられた１つの公認ＩＰアドレスを有する。私設網インタフェース１２０は、イーサネット、無線ラン(Wireless LAN)、ホームＰＮＡなど有線又は無線で構成でき、制御部１４０は私設ＩＰアドレスを有する。私設網に使われるネットワークアドレスは、ＩＡＮＡ(Internet Assigned Numbers Authority)によって使用が許可されたアドレスのうち無作為で選択される。メモリ部１３０はシステム運営に関わるプログラム及び新たに生成及び更新されるデータが貯蔵される。

制御部１４０は、ＮＡＴ/ＮＡＰＴ処理部１４１、ＩＰ処理部１４２、私設網ＤＮＳ処理部１４３、私設網ＤＨＣＰ(Dynamic Host Configuration Protocol)処理部１４４、ルーティング部１４５、ＶＰＮ処理部１４６、ウェブ/ミドルウェアサーバ１４７、暗号化処理部１４８、それからユーザ認証処理部１４９を含む。

ＮＡＴ/ＮＡＰＴ処理部１４１は、私設網からインターネットに転送されるパケットまたはインターネットから私設網に転送されるパケットについて、私設ＩＰアドレスを公認ＩＰアドレスに変換したり公認ＩＰアドレスを私設ＩＰアドレスに変換する。また、ＮＡＴ/ＮＡＰＴ処理部１４１は、ＶＰＮトンネルを用いて私設網同士が連結された場合、ＮＡＴプロトコルを用いてＶＰＮトンネル内でアドレス変換を行う。ＮＡＴ/ＮＡＰＴ処理部１４１は、メモリ部１３０にＮＡＴ及びＮＡＰＴテーブルを生成し、持続的に更新する。

ＩＰ処理部１４２は、公衆網インタフェース１１０及び私設網インタフェース１２０から伝達されたパケットのＩＰデータグラム(datagram)に対する処理を行う。

ルーティング部１４５は、公衆網に連結された外部ホスト及び他私設網に連結されたホストとの最適経路を設定する。ルーティング部１４５は、メモリ部１３０にルーティングテーブルを生成し、持続的に更新する。

ＤＮＳ処理部１４３は、私設網内部のホストに対するドメインネーム及び私設ＩＰアドレスを管理する。また、ＤＮＳ処理部１４３は、私設網内部のホストから私設網外部のホストに対する問い合わせが発生すれば、インターネットに位置したＤＮＳサーバ３３０または他私設網の前段に位置したホームゲートウェイから返事を求めて応答する。ＤＮＳ処理部１４３は、私設網内部のホストと関連したＤＮＳテーブルを管理する。なお、説明の都合上、図面において、ＤＮＳ処理部１４３を、ＤＮＳサーバ１４３（１４３’）と表記する場合がある。

ＤＨＣＰ処理部１４４は、私設網内部のネットワーク装置がブートされる時、私設網内部のホストからの、使用できる私設ＩＰアドレス、ゲートウェイアドレス、ＤＮＳ処理部アドレスなどの要請について応答する。ＤＨＣＰ処理部１４４は、応答の一部によってホストのドメインネームを獲得し、獲得したドメインネームをＤＮＳ処理部１４６に伝達してＤＮＳテーブルが生成及び更新されうるようにする。

ウェブ(WEB)/ミドルウェア(Middleware)サーバ１４７は、私設網のユーザが他の私設網との間にトンネル生成を要請できる手段を提供する。ユーザは、ウェブブラウザまたはミドルウェアクライアントを用いてサービスを要請することができる。

ＶＰＮ処理部１４６は、インターネットに位置したホストについてＶＰＮサーバで動作し、他の私設網との連結が可能なようにＶＰＮサーバまたはＶＰＮクライアントで動作する。また、ＶＰＮ処理部１４６は、私設網内部に位置したホストからウェブ/ミドルウェアサーバ１４７を通して他の私設網との連結が要請されれば、他私設網と通信してＶＰＮトンネルを形成し、私設網のネットワークアドレスによってＶＰＮトンネル端にＮＡＴを設定する。他の私設網との連結に必要な情報は、私設網連結管理テーブルを生成して管理し、テーブルで生成されたデータは、メモリ部１３０に貯蔵される。私設網連結管理テーブルは、私設網のネットワークアドレス、他私設網のネットワークアドレス、ＶＰＮトンネル内で使用される自体私設網のネットワークアドレス、ＶＰＮトンネル内で使用される他私設網のネットワークアドレスを含み、相手側私設網ゲートウェイのドメインネーム、及び、相手側私設網ゲートウェイのＶＰＮ動作によるサーバ/クライアント状態表示項目をさらに含む場合もある。なお、説明の都合上、図面において、ＶＰＮ処理部１４６を、ＶＰＮクライアント１４６或いはＶＰＮサーバ１４６’と表記する場合がある。

暗号化処理部１４８は、私設網と公衆網との間または私設網と他私設網との間に伝達されるパケットについて暗号化を行う。

ユーザ認証処理部１４９は、公衆網から私設網にアクセスしたい外部ユーザ及び私設網でゲートウェイに対する設定変更などのためにアクセスするユーザについて認証手続を行なう。

以上のようなゲートウェイは、他私設網とＶＰＮトンネルを形成する際、次のような３種の場合によって対応する動作を行なう。各場合について図１を参照して説明する。

第１に、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)の拡張されたネットワークＩＤ(ネットワークＩＤとサブネットマスクの積)が相異なる場合(case１)である。例えば、私設網Ａ(２００Ａ)のネットワークＩＤが１０.０．０.０/２４、私設網Ｂ(２００Ｂ)のネットワークＩＤは１０.０.１.０/２４で設定された時(case１)、私設網Ａ(２００Ａ)の拡張されたネットワークＩＤは１０.０.０.ｘになり、私設網Ｂの拡張されたネットワークアドレスは１０.０.１.ｘ.になって相異なる。この場合、私設網Ａと私設網ＢはＶＰＮトンネルを形成するだけで相互通信が可能になる。

第２に、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)の拡張されたネットワークＩＤが互いに一致する場合(case２)である。例えば、私設網Ａと私設網ＢのネットワークＩＤが全て１０.０.０.０/２４で設定された時(case２)、私設網Ａ(２００Ａ)及び私設網Ｂ(２００Ｂ)の両方が拡張されたネットワークＩＤは１０．０．０．ｘになって互いに一致する。この場合、私設網Ａ(２００Ａ)に位置したホストＡ(２１０Ａ)が、私設網Ｂ(２００Ｂ)に位置したホストＢ(２１０Ｂ)にパケットを送ろうとする時、ホストＣ(２１０Ｃ)がホストＢ(１２０Ｂ)のようなＩＰアドレスを有したとすれば、ホームゲートウェイＡ(１００Ａ)は、ホストＡ(２１０Ａ)から転送されたパケットをホストＢ(２１０Ｂ)に転送すべきであるか、またはホストＣ(２１０Ｃ)に転送すべきなのかが分からなくて転送エラーを発生させ、２つの私設網間に通信がなされないようになる。従って、この場合は私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間に形成されたトンネルで使用されうる新たなＩＰアドレスを割り当てる。例えば、私設網Ａには１０.０.１.０/２４、私設網Ｂには１０.０.２.０/２４のネットワークアドレスを割り当てた後、ＶＰＮトンネルの両端でＮＡＴが行なわれるようにする。結果的に、私設網Ａ(２００Ａ)で私設網Ｂ(２００Ｂ)に位置したホスト(２１０Ｂ/２１０Ｄ)を眺めると、私設網Ｂ(２００Ｂ)に位置したホストは１０．０．２．ｘのネットワークアドレスを有することと認識され、私設網Ｂ(２００Ｂ)では私設網Ａ(２００Ａ)に位置したホスト(２１０Ａ/２１０Ｃ)について１０.０.２.ｙのネットワークアドレスを有することと認識するので、私設網Ａ(２００Ａ)のホスト(２１０Ａ/２１０Ｃ)と私設網Ｂ(２００Ｂ)のホスト(２１０Ｂ/２１０Ｄ)は相互通信が可能になる。

第３に、私設網ＡのネットワークＩＤが私設網ＢのネットワークＩＤに含まれる場合(case３)である。
例えば、私設網Ａ(２００Ａ)は１０.０.０.０/２４、私設網Ｂ(２００Ｂ)は１０.０.０.０/１６のように与えられた時(case３)、私設網Ａ(２００Ａ)の拡張されたネットワークＩＤは１０.０.０.ｘ、私設網Ｂ(２００Ｂ)の拡張されたネットワークＩＤは１０.０.ｘ.ｘであって相異なるが、１０.０.０.ｘは１０.０.ｘ.ｘの一部として含まれる。この場合も私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間にＶＰＮトンネルを作って、私設網Ａ(２００Ａ)には１０.０.１.０/２４、私設網Ｂ(２００Ｂ)には１０.１.０.０/１６のネットワークアドレスを割り当てた後トンネルの両端でＮＡＴを行なう。結局、私設網Ａ(２００Ａ)で私設網Ｂ(２００Ｂ)に位置したホストを眺めると１０.１.ｘ.ｙのアドレスを有することと見られ、私設網Ｂ(２００Ｂ)で私設網Ａ(２００Ａ)に位置したホストを眺めると１０.０.１.ｚのアドレスを有することと見られので、私設網Ａ(２００Ａ)のホストと私設網Ｂ(２００Ｂ)のホストは互いに通信できるようになる。

前述した３種の場合において私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)の拡張されたネットワークＩＤが相異なると、その間にＶＰＮトンネルを作るだけでも別の設定なしで互いに通信が行えるため、ホームゲートウェイの内部の私設網ネットワークアドレスはできるだけ相違に無作為で設定することが望ましいことが分かる。

以下、前述した３種の場合による２つの私設網間におけるＶＰＮトンネルの形成及びパケット伝達過程を説明する。

図３は拡張されたネットワークＩＤが相異なる２つの私設網のＶＰＮトンネル形成過程を説明する信号流れ図である。まず、ゲートウェイＡ(１００Ａ)のウェブサーバ１４７から提供されるトンネル形成要請ページを用いて、私設網Ａ(２００Ａ)のユーザが、ホストＡ(２１０Ａ)からウェブブラウザ２１２を通して、私設網Ｂ(２００Ｂ)とのトンネル生成を要請すれば、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間のトンネル生成要請を受けたゲートウェイＡ(１００Ａ)は、ＤＮＳ処理部１４３を通してインターネットに位置したＤＮＳサーバ３３０からゲートウェイＢ(１００Ｂ)の公認ＩＰアドレス(２１１.３２.１１９.１３６)を得る。次いでゲートウェイＡ(１００Ａ)はＶＰＮ処理部１４６でクライアントプログラムを駆動してゲートウェイＢ(１００Ｂ)のＶＰＮ処理部１４６'にトンネル生成を要請する。私設網間のトンネル生成要請メッセージには私設網Ａ(２００Ａ)のネットワークアドレス(１０．０．０．０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代りに使用されるネットワークアドレス(１０.０.０.０/２４、１０.０.１．０/２４、１０.０.２.０/２４、 …)が含まれる。この際、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)のネットワークアドレスが相異なると、ＶＰＮトンネル内でＮＡＴが要らないため、私設網Ａのアドレス(１０.０.０.０/２４)がそのまま選ばれ、私設網Ａと私設網Ｂの拡張されたネットワークアドレスが一致する場合は１０.０.１.０/２４、１０.０.２.０/２４、…のうち使用可能なものが選ばれる。

ゲートウェイＢ(１００Ｂ)は、ゲートウェイＡ(１００Ａ)から私設網間トンネル生成要請メッセージが転送されれば、ＶＰＮ処理部１４６で私設網間のトンネル生成応答メッセージをゲートウェイＡ(１００Ａ)に転送する。応答メッセージには、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０.０.１.０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代りに使用されるネットワークアドレス(１０.０．０．０/２４)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代りに使用されるネットワークアドレス(１０．０．１．０/２４、１０．０．２．０/２４、１０．０．３．０/２４、…)が含まれる。

応答メッセージを受信したゲートウェイＡ(１００Ａ)は、私設網間のトンネル生成ＡＣＫをゲートウェイＢ(１００Ｂ)に転送する。ＡＣＫは、私設網Ａ(２００Ａ)のネットワークアドレス(１０.０.０.０/２４)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０.０.１.０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０.０.０.０/２４)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０.０.１.０/２４)を含む。この際、私設網Ａ(２００Ａ)のアドレスとＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレスが一致すれば、ＶＰＮトンネル内でＮＡＴが起らないことを意味し、一致しなければＮＡＴが起ることを意味する。

ＡＣＫメッセージをやり取りした後、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)には、それぞれ私設網連結管理テーブル１３２、１３２'が生成される。私設網連結管理テーブル１３２は、相手側ゲートウェイのドメインネーム、相手側ゲートウェイがＶＰＮサーバであるかクライアントであるかを表示する項目、私設網Ａ(２００Ａ)のネットワークアドレス、私設網Ｂ(２００Ｂ)のネットワークアドレス、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレスなどが含まれる。

ゲートウェイＡ(１００Ａ)が生成するテーブルを説明すれば、ゲートウェイＢ(１００Ｂ)のドメインネーム(ゲートウェイＢ)、ゲートウェイＢはＶＰＮサーバであることを表示する項目(サーバ)、私設網Ａのネットワークアドレス(１０.０．０．０/２４)、私設網Ｂのネットワークアドレス(１０．０．１．０/２４)、ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用するネットワークアドレス(１０.０．０．０/２４)、ＶＰＮトンネル内で私設網Ｂのネットワークアドレスの代わりに使用するネットワークアドレス(１０.０.１.０/２４)などを含む（図３、符号１３２参照）。

以上のように２つの私設網間にＡＣＫ信号が交換されれば、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間にＶＰＮトンネルが形成され、トンネル内にＰＰＰ連結が生成される。その後、ホストＡ(２１０Ａ)からゲートウェイＡ(１００Ａ)のＶＰＮトンネル端に伝達されたパケットはＰＰＰ連結を通してゲートウェイＢ(１００Ｂ)のＶＰＮトンネル端に伝達される。

図４は、図３の過程によって私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間に形成されたトンネルを介したホストＡ(２１０Ａ)とホストＢ(２１０Ｂ)との間のパケット伝達過程を説明する信号流れ図である。まず、私設網Ａ(２００Ａ)のユーザが、ホストＢ(２１０Ａ)のドメインネームを分かっており、ホストＡ(２１０Ａ)に設けられた応用プログラムは、ホストＢ(２１０Ｂ)のドメインネームに対応するＩＰアドレスを分かるため、ゲートウェイＡ(１００Ａ)にＤＮＳ問い合わせを転送する。すると、ゲートウェイＡ(１００Ａ)のＤＮＳ処理部１４３は、先に私設網連結管理テーブル１３２を調べる。そして、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間にＶＰＮトンネルが設定されていると、ゲートウェイＢ(１００Ｂ)にホストＢ(２１０Ｂ)に対するＤＮＳ問い合わせを送る。

以上のように、ゲートウェイＡ(１００Ａ)からゲートウェイＢ(１００Ｂ)にＤＮＳ問い合わせが転送されれば、ゲートウェイＢ(１００Ｂ)のＤＮＳ処理部(１４３')は、ホストＢ(２１０Ｂ)のネットワークアドレスの代わりにＶＰＮトンネル内でホストＢ(２１０Ｂ)を表示するネットワークアドレス(１０.０.１.５)を内容として応答メッセージをゲートウェイＡ(１００Ａ)に転送する。

ゲートウェイＡ(１００Ａ)は、ゲートウェイＢ(１００Ｂ)のＤＮＳ処理部１４３'からホストＢ(２１０Ｂ)について応答された私設ＩＰアドレス(１０.０.１.５)を、ホストＡ(２１０Ａ)にフォワーディングする。

ホストＡ(２１０Ａ)は、ゲートウェイＡ(１００Ａ)からホストＢ(２１０Ｂ)の私設ＩＰアドレスが受信されれば、目的地アドレスには受信された私設ＩＰアドレス(１０.０.１.５)を、出発地アドレスにはホストＡ(２１０Ａ)の私設ＩＰアドレス(１０.０.０４)を記入してパケットをゲートウェイＡ(１００Ａ)に転送する。

ゲートウェイＡ(１００Ａ)は、ホストＡ(２１０Ａ)から前記パケットが受信されれば、ルーティングテーブル１４５とフォワーディング設定を参照して、ゲートウェイＡ(１００Ａ)のトンネル端に、受信したパケットを伝達する。ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間のＶＰＮトンネル内には、ＰＰＰ連結が設定されているため、ゲートウェイＡ(１００Ａ)のトンネル端に送られたパケットは、ゲートウェイＢ(１００Ｂ)のトンネル端に伝達される。

ゲートウェイＢ(１００Ｂ)は、ＶＰＮトンネルを通して前記パケットが伝達されると、ルーティングテーブル(１４５')とフォワーディング設定を参照して、ホストＢ(２１０Ｂ)に前記パケットをフォワーディングする。

ホストＢ(２１０Ｂ)は、前記パケットが受信されれば、出発地アドレスにホストＢ(２１０Ｂ)の私設ＩＰアドレス(１０.０.１.５)を、目的地アドレスにホストＡ(２１０Ａ)の私設ＩＰアドレス(１０.０.０４)を記入して応答を送る。

その後、ホストＡ(２１０Ａ)とホストＢ(２１０Ｂ)は、私設網Ａ(２００Ａ)及び私設網Ｂ(２００Ｂ)との間に形成されたトンネルを介して前記パケット伝達過程を繰り返す。

図５は拡張されたネットワークＩＤが互いに一致する２つの私設網のＶＰＮトンネル形成過程を説明する信号流れ図である。まず、私設網Ａ(２００Ａ)のユーザが、ホストＡ(２１０Ａ)でウェブブラウザ２１２を通してゲートウェイＡ(１００Ａ)のウェブサーバ１４７から提供されるトンネル形成要請ページを開き、私設網Ｂ(２００Ｂ)とのトンネル生成を要請する。私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間のトンネル生成要請を受けたゲートウェイＡ(１００Ａ)は、ＤＮＳ処理部１４３を通してインターネットに位置したＤＮＳサーバ３３０からゲートウェイＢ(１００Ｂ)の公認ＩＰアドレス(２１１.３２.１１９.１３６)を得る。次いで、ゲートウェイＢ(１００Ｂ)の公認ＩＰアドレスを得たゲートウェイＡ(１００Ａ)は、ＶＰＮ処理部１４６でクライアントプログラムを駆動してゲートウェイＢ(１００Ｂ)のＶＰＮ処理部１４６'に私設網間トンネル生成を要請する。私設網間のトンネル生成要請メッセージには、私設網Ａ(２００Ａ)のネットワークアドレス(１０。０.０.０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用されるネットワークアドレス(１０.０.０.０/２４、１０.０.１.０/２４、１０.０.２.０/２４、…)が含まれる。

ゲートウェイＢ(１００Ｂ)のＶＰＮ処理部１４６'は、ゲートウェイＡ(１００Ａ)からトンネル生成要請が受信されれば、私設網間のトンネル生成要請に対する応答メッセージをゲートウェイＡ(１００Ａ)に転送する。応答メッセージには、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０.０.０.０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用されるネットワークアドレス(１０.０.１.０/２４)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用されるネットワークアドレス(１０.０.２.０/２４、１０.０.３.０/２４、１０.０.４.０/２４、…)が含まれる。

ゲートウェイＡ(１００Ａ)は、ゲートウェイＢ(１００Ｂ)から応答メッセージを受信すると、私設網間のトンネル生成ＡＣＫをゲートウェイＢ(１００Ｂ)に送る。ＡＣＫは、私設網Ａ(２００Ａ)のネットワークアドレス(１０.０.０.０/２４)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０.０、０.０/２４)、ＶＰＮトンネル内で私設網Ａ(１００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０.０.１.０/２４)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０.０.２.０/２４)を含む。私設網Ａ(２００Ａ)のアドレスとＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレスが一致しないため、ゲートウェイＡ(１００Ａ)は、ＮＡＴプロトコルによってアドレス変換が使用されるべきであると認識する。

ＡＣＫメッセージをやり取りした後、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)にはそれぞれ私設網連結管理テーブル１３２、１３２'が生成される。私設網連結管理テーブル１３２は、相手側ゲートウェイ１００のドメインネーム、相手側ゲートウェイ１００がＶＰＮサーバであるかクライアントであるかを表示する項目、私設網Ａ(２００Ａ)のネットワークアドレス、私設網Ｂ(２００Ｂ)のネットワークアドレス、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレスなどを含む。

ゲートウェイＡ(１００Ａ)が生成するテーブルを説明すれば、ゲートウェイＢ(１００Ｂ)のドメインネーム(ゲートウェイＢ)、ゲートウェイＢはＶＰＮサーバであることを表示する項目(サーバ)、私設網Ａ(２００Ａ)のネットワークアドレス(１０.０.０.０/２４)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０.０.０.０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０．０．１．０/２４)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０.０.２.０/２４)などを含む。

前述したような過程を通して、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間には、ＶＰＮトンネルが形成され、トンネル内にＰＰＰ連結が生成される。その後、ゲートウェイＡ(１００Ａ)のＶＰＮトンネル端に伝達されたパケットは、ＰＰＰ連結を通してゲートウェイＢ(１００Ｂ)のＶＰＮトンネル端に伝達される。

ＶＰＮトンネルが生成され、ＰＰＰ連結が終わると、ゲートウェイＡ(１００Ａ)は、私設網連結管理テーブル１３２を参照してＶＰＮトンネルのゲートウェイＡ(１００Ａ)にＮＡＴを設定する。ＮＡＴが設定されると、パケットが私設網Ａ(２００Ａ)からゲートウェイＡ(１００Ａ)を通ってＶＰＮトンネルに送られるときに、出発地アドレス１０.０.０.ｘが１０.０.１.ｘに変換され、パケットがＶＰＮトンネルからゲートウェイＡ(１００Ａ)を通って私設網Ａに送られるときに、目的地アドレス１０.０.１.ｙが１０.０.０.ｙに変換される。また、ゲートウェイＢもＶＰＮトンネルのゲートウェイＢ側にＮＡＴを設定する。

図６は、図５の過程によって私設網Ａと私設網Ｂとの間に形成されたトンネルを介したホストＡ(２１０Ａ)とホストＢ(２１０Ｂ)との間のパケット伝達過程を説明する信号流れ図である。まず、私設網Ａ(２００Ａ)のユーザが、ホストＢ(２１０Ｂ)のドメインネームを分かっており、ホストＡ(２１０Ａ)に設けられた応用プログラム２１４がゲートウェイＡ(１００Ａ)にホストＢ(２１０Ｂ)に対するＤＮＳを問い合わせすれば、ゲートウェイＡ(１００Ａ)のＤＮＳ処理部１４３は、私設網連結管理テーブル１３２を調べる。そして、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)間にＶＰＮトンネルが設定されていると、トンネルを通過するパケットに対するＮＡＴが必要であると認識し、ホストＢ(２１０Ｂ)のＶＰＮトンネルで使用される私設ＩＰアドレスを知るために、ＤＮＳ問い合わせをゲートウェイＢに転送する。

ゲートウェイＢ(１００Ｂ)のＤＮＳ処理部１４３'はホストＢ(２１０Ｂ)に対する問い合わせが受信されれば、ホストＢ(２１０Ｂ)のＶＰＮトンネル内で使用されるＩＰアドレス(１０．０．２．５)をゲートウェイＡ(１００Ａ)に応答メッセージとして転送し、ゲートウェイＡ(１００Ａ)は、これをホストＡ(２１０Ａ)に再転送する。

その後、ホストＡ(２１０Ａ)は、ホストＢ(２１０Ｂ)にパケットを送るため、パケットをゲートウェイＡ((１００Ａ)に転送する。パケットの目的地アドレスには１０.０.２.５が記入され、出発地アドレスには１０.０.０.４が記入される。

ゲートウェイＡ(１００Ａ)は、ホストＡ(２１０Ａ)からホストＢ(２１０Ｂ)を目的地とするパケットが受信されれば、ルーティングテーブルとフォワーディング設定を参照してゲートウェイＡ(１００Ａ)のトンネル端にパケットを伝達する。すると、ゲートウェイＡ(１００Ａ)のＶＰＮトンネル端にはＮＡＴが設定されているので、出発地アドレス１０.０.０.４は１０.０.１.４に変換される。そしてゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)とのトンネルにはＰＰＰ連結が設定されているため、ＮＡＴを通して出発地アドレスが変換されたパケットは、ゲートウェイＢ(１００Ｂ)のトンネル端に転送される。

ゲートウェイＢ(１００Ｂ)は、前述したように、出発地アドレスがＮＡＴを通して変更され、ゲートウェイＢ(１００Ｂ)のトンネル端に伝達されたパケットについて、ゲートウェイＢ(１００Ｂ)のＶＰＮトンネル端に設定されたＮＡＴを通して、目的地アドレス１０.０.２.５を１０.０.０.５に変換する。このようにＮＡＴを通して目的地アドレスが変換されたパケットは、ルーティングテーブルとフォワーディング設定を参照してホストＢ(２１０Ｂ)に伝達される。

それからホストＢ(２１０Ｂ)はホストＡ(２１０Ａ)に応答を送り、前記パケット伝達過程の繰り返しによって通信がなされる。

図７は、私設網Ａの拡張されたネットワークＩＤが私設網Ｂの拡張されたネットワークＩＤに含まれる場合の２つの私設網間ＶＰＮトンネル形成過程を説明する信号流れ図である。まず、ゲートウェイＡ(１００Ａ)のウェブサーバ１４７から提供されるトンネル形成要請ページを、私設網Ａ(２００Ａ)のユーザが、ホストＡ(２１０Ａ)でウェブブラウザ２１２を通して呼び出した後、私設網Ｂ(２００Ｂ)についてトンネル生成を要請すれば、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間のトンネル生成要請を受けたゲートウェイＡ(１００Ａ)は、ＤＮＳ処理部１４３を通してインターネットに位置したＤＮＳサーバ３３０からゲートウェイＢ(１００Ｂ)の公認ＩＰアドレス(２１１.３２.１１９.１３６)を得る。次いで、ゲートウェイＢ(１００Ｂ)の公認ＩＰアドレスを得たゲートウェイＡ(１００Ａ)は、ＶＰＮ処理部１４６でクライアントプログラムを駆動してゲートウェイＢ(１００Ｂ)のＶＰＮ処理部に私設網間トンネル生成を要請する。私設網間のトンネル生成を要請するメッセージには、私設網Ａのネットワークアドレス(１０.０.０.０/２４)、ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用されるネットワークアドレス(１０.０.０.０/２４、１０.０.１.０/２４、１０.０.２.０/２４、…)が含まれる。

ゲートウェイＢ(１００Ｂ)は、ゲートウェイＡ(１００Ａ)からトンネル形成要請メッセージが受信されれば、ＶＰＮ処理部１４６'から私設網間のトンネル生成応答メッセージを送る。応答メッセージは、私設網Ｂのネットワークアドレス(１０.０.０.０/１６)、ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用されるネットワークアドレス(１０.０.１.０/２４)、ＶＰＮトンネル内で私設網Ｂのネットワークアドレスの代わりに使用されるネットワークアドレス(１０.１.０.０/１６、１０.２.０.０/１６、１０.３.０.０/１６、…)を含む。

ゲートウェイＡ(１００Ａ)は、ゲートウェイＢ(１００Ｂ)から応答メッセージが受信されれば、私設網間のトンネル生成ＡＣＫをゲートウェイＢ(１００Ｂ)に転送する。ＡＣＫは、私設網Ａのネットワークアドレス(１０.０.０.０/２４)、私設網Ｂのネットワークアドレス(１０.０.０.０/１６)、ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用するネットワークアドレス(１０.０.１.０/２４)、ＶＰＮトンネル内で私設網Ｂのネットワークアドレスの代わりに使用するネットワークアドレス(１０．１．０．０/２４)を含む。私設網ＡのアドレスとＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用するネットワークアドレスが一致しないため、ゲートウェイＡ(１００Ａ)は、ＮＡＴが使用されるべきであると認識する。

ＡＣＫメッセージをやり取りした後、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)には、私設網連結管理テーブル１３２、１３２'が生成される。ゲートウェイＡ(１００Ａ)が生成するテーブル１３２を説明すれば、ゲートウェイＢ(１００Ｂ)のドメインネーム、ゲートウェイＢ(１００Ｂ)はＶＰＮサーバであることを表示する項目、私設網Ａのネットワークアドレス(１０．.０．０．０/２４)、私設網Ｂのネットワークアドレス(１０.０.０.０/１６)、ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用するネットワークアドレス(１０．０．１．０/２４)、ＶＰＮトンネル内で私設網Ｂのネットワークアドレスの代わりに使用するネットワークアドレス(１０.１.０.０/１６)などを含む。

以上のような過程を通して、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間のＶＰＮトンネル内にＰＰＰ連結が生成される。その後、ゲートウェイＡ(１００Ａ)のＶＰＮトンネル端に伝達されたパケットはＰＰＰ連結を通してゲートウェイＢ(１００Ｂ)のＶＰＮトンネル端に伝達される。

次いで、ＶＰＮトンネルが生成されＰＰＰ連結が終ると、ゲートウェイＡ(１００Ａ)は、私設網連結管理テーブル１３２を参照してＶＰＮトンネルのゲートウェイＡ(１００Ａ)側にＮＡＴを設定する。ＮＡＴが設定されると、パケットが私設網ＡからゲートウェイＡ(１００Ａ)を通ってＶＰＮトンネルに送られるとにき、その出発地アドレス１０.０.０.ｘが１０.０.１.ｘに変換され、パケットがＶＰＮトンネルからゲートウェイＡ(１００Ａ)を通って私設網Ａに送られるときに、その目的地アドレス１０.０.１.ｙが１０.０.０.ｙに変換される。同様に、ゲートウェイＢ(１００Ｂ)もＶＰＮトンネルのゲートウェイＢ(１００Ｂ)側にＮＡＴを設定する。

前述したように、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間に形成されたＶＰＮトンネルの両端にＮＡＴが設定されれば、ホストＡ(２１０Ａ)とホストＢ(２１０Ｂ)は、その後、図６に示したデータパケット伝達過程を通して相互通信できるようになる。

以下、本発明の他の実施形態によるネットワーク接続装置について説明する。なお、先に説明した実施形態の要素と同一の要素については同一の符号を付し、重複する説明は省略する。

図８は本発明の他の実施形態によるゲートウェイのブロック図である。ゲートウェイ１００は、公衆網インタフェース１１０、私設網インタフェース１２０、メモリ部１３０及び制御部１４０を含む。

インタフェース１１０、私設網インタフェース１２０及びメモリ部１３０の動作と機能は前述した通りである。制御部１４０はＮＡＴ/ＮＡＰＴ処理部１４１、ＩＰ処理部１４２、ＤＮＳ処理部１４３、ＤＨＣＰ(Dynamic Host Configuration Protocol)処理部１４４、ルーティング部１４５、ＨＴＩＰ処理部１４６A、ＶＰＮ処理部１４６B、ウェブ/ミドルウェアサーバ１４７、暗号化処理部１４８、そしてユーザ認証処理部１４９を含む。

ＮＡＴ/ＮＡＰＴ処理部１４１、ＩＰ処理部１４２、ＤＮＳ処理部１４３、ＤＨＣＰ処理部１４４、ルーティング部１４５、ウェブ/ミドルウェアサーバ１４７、暗号化処理部１４８、そしてユーザ認証処理部１４９の動作と機能は前述した通りである。

一方、ＨＴＩＰ処理部１４６Ａは、相異なる私設網間にトンネルを生成するのに必要な変数を交渉した後、これを用いてＶＰＮ処理部１４６Ｂ及びＮＡＴ/ＮＡＰＴ処理部１４１を制御する。この場合に必要な変数としては、ＶＰＮトンネル形成時使用されるＶＰＮプロトコルの種類、自体私設網のネットワークアドレス、他私設網のネットワークアドレス、ＶＰＮトンネル内で使用される自体私設網のネットワークアドレス、ＶＰＮトンネル内で使用される他私設網のネットワークアドレスなどが挙げられる。

ＨＴＩＰ処理部１４６Ａは、私設網内部の私設ＩＰアドレスやＶＰＮプロトコルの種類を問わず、複数の私設網の間で私設網内の通信機器が互いに直接に通信できるようにする。一方、前記交渉を通して得た変数や生成された私設網間ＶＰＮトンネルの目録は、メモリ部１３０に貯蔵される。すなわち、他の私設網との連結に必要な情報は、私設網連結管理テーブルを生成して管理し、テーブルで生成されたデータはメモリ部１３０に貯蔵される。

すなわち、ＨＴＩＰ処理部(１４６Ａ)は、私設網内部に位置したホストからウェブ/ミドルウェアサーバ１４７を通して他の私設網との連結が要請されれば、他私設網と通信してＶＰＮトンネルを形成するための変数を交渉し、前記交渉によってＶＰＮトンネルを生成するようＶＰＮ処理部１４６Ｂを制御し、私設網のネットワークアドレスによってＶＰＮトンネル端にＮＡＴを設定するようＮＡＴ/ＮＡＰＴ処理部１４１を制御する。私設網連結管理テーブルは、使用されるＶＰＮプロトコル、私設網のネットワークアドレス、他私設網のネットワークアドレス、ＶＰＮトンネル内で使用される私設網のネットワークアドレス、ＶＰＮトンネル内で使用される他私設網のネットワークアドレスを含み、相手側私設網ゲートウェイのドメインネーム及び相手側私設網ゲートウェイのＶＰＮ動作によるサーバ/クライアント状態表示項目をさらに含むことができる。

ＶＰＮ処理部１４６Ｂは、インターネットに位置したホストについてＶＰＮサーバで動作し、他の私設網との連結が可能なようにＶＰＮサーバまたはＶＰＮクライアントとして動作する。また、ＨＴＩＰ処理部１４６Ａは、他私設網のゲートウェイに位置したＨＴＩＰ処理部１４６Ａ'と通信して交渉を完了した後、ＶＰＮ処理部１４６Ｂを制御して相異なる私設網間にＶＰＮトンネルが形成されるようにする。

前述したようなゲートウェイは、他私設網とＶＰＮトンネルを形成する際、次のような３つの場合によって対応する動作を行なう。前記３つの場合、すなわち第１に、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)の拡張されたネットワークＩＤ(ネットワークＩＤとサブネットマスクの積)が相異なる場合(case１)、第２に、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)の拡張されたネットワークＩＤが互いに一致する場合(case２)、及び第３に、私設網ＡのネットワークＩＤが私設網ＢのネットワークＩＤに含まれる場合(case３)について図９〜図１３（適宜図１〜図７参照）を参照して、前記３つ場合による２つの私設網間のＶＰＮトンネル形成及びパケット伝達過程を説明する。

図９は、拡張されたネットワークＩＤが相異なる２つの私設網のＶＰＮトンネル形成過程を説明する信号流れ図である。まず、ゲートウェイＡ(１００Ａ)のウェブサーバ１４７（図７参照）から提供されるトンネル形成要請ページを、私設網Ａ(２００Ａ)のユーザが、ホストＡ(２１０Ａ)でウェブブラウザ２１２を通して呼び出した後、私設網Ｂ(２００Ｂ)とのトンネル生成を要請すれば、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間のトンネル生成要請を受けたゲートウェイＡ(１００Ａ)は、ＤＮＳ処理部１４３を通してインターネットに位置したＤＮＳサーバ３３０からゲートウェイＢ(１００Ｂ)の公認ＩＰアドレス(２１１.３２.１１９.１３６)を得る。

次いで、ゲートウェイＡ(１００Ａ)は、ＨＴＩＰ処理部１４６ＡでＨＴＩＰＤプログラムを駆動して、ゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'にトンネル生成を要請する。私設網間のトンネル生成要請メッセージには、使用するＶＰＮプロトコル(例えば、Ｌ２ＴＰ)、私設網Ａ(２００Ａ)のネットワークアドレス(１０.０.０.０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代りに使用されるネットワークアドレス(１０.０.０.０/２４、１０.０.１.０/２４、１０.０.２.０/２４、…)が含まれる。この際、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)のネットワークアドレスが互いに異なるか、私設網Ｂ(２００Ｂ)と第３の私設網をＶＰＮトンネルに連結するのに私設網Ａ(２００Ａ)のネットワークアドレスが使用されていなければ、ＶＰＮトンネル内でＮＡＴが要らないため、私設網Ａのアドレス(１０．.０．０．０/２４)がそのまま選択され、私設網Ａと私設網Ｂの拡張されたネットワークアドレスが一致する場合は１０．０．１．０/２４、１０.０.２.０/２４、…のうち使用可能なものが選ばれる。

ゲートウェイＢ(１００Ｂ)は、ゲートウェイＡ(１００Ａ)から私設網間トンネル生成要請メッセージを受信すれば、ＨＴＩＰ処理部１４６Ａで私設網間のトンネル生成応答メッセージを生成し、ゲートウェイＡ(１００Ａ)に転送する。応答メッセージには、使用するＶＰＮプロトコル(例えば、Ｌ２ＴＰ)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０．０．１．０/２４)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代りに使用されるネットワークアドレス(１０.０.１.０/２４、１０.０.２.０/２４、１０.０.３.０/２４、…)、私設網Ａ(２００Ａ)のネットワークアドレス(１０．０．０．０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代り使用されるネットワークアドレス(１０.０.０.０/２４) などが含まれる。

応答メッセージを受信したゲートウェイＡ(１００Ａ)は、私設網間のトンネル生成ＡＣＫをゲートウェイＢ(１００Ｂ)に転送する。ＡＣＫは、私設網Ａ(２００Ａ)のネットワークアドレス(１０．０．０．０/２４)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０．０．１．０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０．０．０．０/２４)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０．０．１．０/２４)などを含む。この際、私設網Ａ(２００Ａ)のアドレスとＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレスが一致すれば、ＶＰＮトンネル内でＮＡＴが起らないことを意味し、一致しなければＮＡＴが起るを意味する。

ＡＣＫメッセージをやり取りした後、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)には、それぞれ、私設網連結管理テーブル１３２、１３２'が生成される。私設網連結管理テーブル１３２には、相手側ゲートウェイのドメインネーム、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網間トンネルＩＤ、相手側ゲートウェイがＶＰＮサーバであるかクライアントであるかを表示する項目、私設網Ａ(２００Ａ)のネットワークアドレス、私設網Ｂ(２００Ｂ)のネットワークアドレス、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレスなどが含まれる。

ゲートウェイＡ(１００Ａ)が生成するテーブルを説明すれば、ゲートウェイＢ(１００Ｂ)のドメインネーム(ゲートウェイＢ)、ゲートウェイＢはＶＰＮサーバであることを表示する項目(サーバ)、私設網Ａのネットワークアドレス(１０.０．０．０/２４)、私設網Ｂのネットワークアドレス(１０．０．１．０/２４)、ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用するネットワークアドレス(１０.０．０．０/２４)、ＶＰＮトンネル内で私設網Ｂのネットワークアドレスの代わりに使用するネットワークアドレス(１０．０．１．０/２４)などを含む。

ＡＣＫメッセージを受取った後、ゲートウェイＢ(１００Ｂ)は、使用するＶＰＮプロトコルによってＶＰＮトンネルを生成するようＶＰＮ処理部１４６Ｂ'をＶＰＮサーバに設定する。ＶＰＮ処理部１４６Ｂ'をＶＰＮサーバに設定して私設網間のトンネル生成のための用意が完了すれば、ゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'は、私設網間のトンネル生成用意が完了されたことを知らせるＲＥＡＤＹメッセージをゲートウェイＡ(１００Ａ)に転送する。ＲＥＡＤＹメッセージは、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網Ａ(２００Ａ)のネットワークアドレス(１０.０．０．０/２４)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０．０．１．０/２４)、ＶＰＮトンネル内で使用する私設網Ａ(２００Ａ)のネットワークアドレス(１０．０．０．０/２４)、ＶＰＮトンネル内で使用する私設網Ｂ(２００Ｂ)のネットワークアドレス(１０．０．１．０/２４)などを含む。

ＲＥＡＤＹメッセージを受取った後、ゲートウェイＡ(１００Ａ)は、使用するＶＰＮプロトコルに基いて、ＶＰＮ処理部１４６ＢをゲートウェイＢ(１００Ｂ)のＶＰＮクライアントとして設定する。ＨＴＩＰ処理部１４６ＡがＶＰＮクライアントを駆動すれば、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間にはＶＰＮ(Ｌ２ＴＰ)トンネルが生成される。

前述したように、２つの私設網間にＡＣＫ信号及びＲＥＡＤＹ信号が交換されれば、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間にＶＰＮトンネルが生成され、ホストＡ(２１０Ａ)からゲートウェイＡ(１００Ａ)のＶＰＮトンネル端に伝達されたパケットは、ゲートウェイＢ(１００Ｂ)のＶＰＮトンネル端に伝達される。

図１０は、図９の過程によって私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間に形成されたトンネルを介したホストＡ(２１０Ａ)とホストＢ(２１０Ｂ)との間のパケット伝達過程を説明する信号流れ図である。

まず、私設網Ａ(２００Ａ)のユーザは、ホストＢ(２１０Ａ)のドメインネームが分かっており、ホストＡ(２１０Ａ)に設けられた応用プログラムは、ホストＢ(２１０Ｂ)のドメインネームに対応するＩＰアドレスを知るために、ゲートウェイＡ(１００Ａ)にＤＮＳ問い合わせを転送する。すると、ゲートウェイＡ１００ＡのＤＮＳ処理部１４３は、まず私設網連結管理テーブル１３２を調べる。そして、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間にＶＰＮトンネルが設定されていると、ゲートウェイＢ(１００Ｂ)にホストＢ(２１０Ｂ)に対するＤＮＳ問い合わせを送る。

前述したように、ゲートウェイＡ(１００Ａ)からゲートウェイＢ(１００Ｂ)にＤＮＳ問い合わせが転送されれば、ゲートウェイＢ(１００Ｂ)のＤＮＳ処理部１４３'は私設網連結管理テーブル１３２'を参照して、ホストＢ(２１０Ｂ)のネットワークアドレスの代りにＶＰＮトンネル内でホストＢ(２１０Ｂ)を表示するネットワークアドレス(１０．０．１．５)を内容とした応答メッセージをゲートウェイＡ(１００Ａ)に転送する。ＤＮＳ問い合わせ及び応答過程は図面には省略する（図４、図６参照）。

ゲートウェイＡ(１００Ａ)は、ゲートウェイＢ(１００Ｂ)のＤＮＳ処理部１４３'からホストＢ(２１０Ｂ)について応答された私設ＩＰアドレス(１０．０．１．５)を、ホストＡ(２１０Ａ)にフォワーディングする。ホストＡ(２１０Ａ)は、ゲートウェイＡ(１００Ａ)からホストＢ(２１０Ｂ)の私設ＩＰアドレスが受信されれば、目的地アドレスには受信された私設ＩＰアドレス(１０．０．１．５)を、出発地アドレスにはホストＡ(２１０Ａ)の私設ＩＰアドレス(１０．０．０．４)を記入してパケットをゲートウェイＡ(１００Ａ)に転送する。ゲートウェイＡ(１００Ａ)は、ホストＡ(２１０Ａ)からパケットが受信されれば、受信したパケットを、ルーティングテーブル１４５とフォワーディング設定を参照して、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間に形成されたＶＰＮの端に伝達し、ゲートウェイＡ(１００Ａ)のトンネル端に送られたパケットは、ゲートウェイＢ(１００Ｂ)のトンネル端に伝達される。

ゲートウェイＢ(１００Ｂ)は、ＶＰＮトンネルを介してパケットが伝達されれば、ルーティングテーブル１４５'とフォワーディング設定を参照してホストＢ(２１０Ｂ)へパケットをフォワーディングする。

ホストＢ(２１０Ｂ)は、パケットが受信されれば、これを処理した後、出発地アドレスにホストＢ(２１０Ｂ)の私設ＩＰアドレス(１０．０．１．５)を、目的地アドレスにホストＡ(２１０Ａ)の私設ＩＰアドレス(１０．０．０．４)を記入して応答を送る。

その後、ホストＡ(２１０Ａ)とホストＢ(２１０Ｂ)は私設網Ａ(２００Ａ)及び私設網Ｂ(２００Ｂ)の間に形成されたトンネルを介して前記パケット伝達過程を繰り返す。

図１１は拡張されたネットワークＩＤが互いに一致する２つの私設網のＶＰＮトンネル形成過程を説明する信号流れ図である。まず、ゲートウェイＡ(１００Ａ)のウェブサーバ１４７から提供されるトンネル形成要請ページを私設網Ａ(２００Ａ)のユーザがホストＡ(２１０Ａ)でウェブブラウザ２１２を通して呼び出した後、私設網Ｂ(２００Ｂ)とのトンネル生成を要請すれば、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)とのトンネル生成要請を受けたゲートウェイＡ(１００Ａ)は、ＤＮＳ処理部１４３を通してインターネットに位置したＤＮＳサーバ３３０からゲートウェイＢ(１００Ｂ)の公認ＩＰアドレス(２１１．３２．１１９．１３６)を得る。ＤＮＳ問い合わせ及び応答過程は図面には省略する（図４、図６参照）。

次いで、ゲートウェイＢ(１００Ｂ)の公認ＩＰアドレスを得たゲートウェイＡ(１００Ａ)は、ＨＴＩＰ処理部(１４６Ａ)でＨＴＩＰプログラムを駆動してゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'に私設網間トンネル生成を要請する。私設網間のトンネル生成要請メッセージには、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網Ａ(２００Ａ)のネットワークアドレス(１０．０．０．０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代りに使用されるネットワークアドレス(１０.０．０．０/２４、１０．０．１．０/２４、１０．０．２．０/２４、…)が含まれる。

ゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'は、ゲートウェイＡ(１００Ａ)からトンネル生成要請が受信されれば、私設網間のトンネル生成要請に対する応答メッセージをゲートウェイＡ(１００Ａ)に転送する。応答メッセージには、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０.０．０．０/２４)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代りに使用されるネットワークアドレス(１０．０．２．０/２４、１０．０．３．０/２４、１０．０．４．０/２４、…)、私設網Ａ(２００Ａ)のネットワークアドレス(１０．０．０．０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代りに使用されるネットワークアドレス(１０．０．１．０/２４)などが含まれる。

ゲートウェイＡ(１００Ａ)は、ゲートウェイＢ(１００Ｂ)から応答メッセージを受信すれば、私設網間のトンネル生成ＡＣＫをゲートウェイＢ(１００Ｂ)に送る。ＡＣＫは、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網Ａ(２００Ａ)のネットワークアドレス(１０.０．０．０/２４)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０．０．０．０/２４)、ＶＰＮトンネル内で私設網Ａ(１００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０．０．１．０/２４)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０．０．２．０/２４)などを含む。私設網Ａ(２００Ａ)のアドレスとＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレスが一致しないため、ゲートウェイＡ(１００Ａ)はＶＰＮトンネルの両端でＮＡＴプロトコルによってアドレス変換が使用されるべきであると認識する。

ＡＣＫメッセージをやり取りした後、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)にはそれぞれ私設網連結管理テーブル１３２、１３２'が生成される。私設網連結管理テーブル１３２は、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網間トンネルＩＤ、相手側ゲートウェイ１００のドメインネーム、相手側ゲートウェイ１００がＶＰＮサーバであるかクライアントであるかを表示する項目、私設網Ａ(２００Ａ)のネットワークアドレス、私設網Ｂ(２００Ｂ)のネットワークアドレス、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレスなどを含む。

ゲートウェイＡ(１００Ａ)が生成するテーブルを説明すれば、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、ゲートウェイＢ(１００Ｂ)のドメインネーム(ゲートウェイＢ)、ゲートウェイＢはＶＰＮサーバであることを表示する項目(サーバ)、私設網Ａ(２００Ａ)のネットワークアドレス(１０.０.０.０/２４)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０．０.０.０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０.０.１.０/２４)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０．０.２.０/２４)などを含む。

ＡＣＫメッセージを受取った後、ゲートウェイＢ(１００Ｂ)は、使用するＶＰＮプロトコルに基いてＶＰＮトンネルを生成するようＶＰＮ処理部１４６Ｂ'をＶＰＮサーバに設定する。ＶＰＮ処理部１４６Ｂ'をＶＰＮサーバに設定して私設網間のトンネル生成のための用意が完了すれば、ゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'は、私設網間のトンネル生成の用意が完了したことを知らせるＲＥＡＤＹメッセージをゲートウェイＡ(１００Ａ)に転送する。ＲＥＡＤＹメッセージは、使用ＶＰＮプロトコル(Ｌ２ＴＰ)、私設網Ａ(２００Ａ)のネットワークアドレス(１０.０．０．０/２４)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０．０．０．０/２４)、ＶＰＮトンネル内で使用する私設網Ａ(２００Ａ)のネットワークアドレス(１０．０．１．０/２４)、ＶＰＮトンネル内で使用する私設網Ｂ(２００Ｂ)のネットワークアドレス(１０．０．２．０/２４)などを含む。

ＲＥＡＤＹメッセージを受取った後、ゲートウェイＡ(１００Ａ)は、使用するＶＰＮプロトコルによってＶＰＮ処理部１４６ＢをゲートウェイＢ(１００Ｂ)のＶＰＮクライアントで設定する。ＨＴＩＰ処理部(１４６Ａ')がＶＰＮクライアントを駆動すれば、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間にはＶＰＮ(Ｌ２ＴＰ)トンネルが生成される。

前述したような過程を通してゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間にはＶＰＮトンネルが形成され、ゲートウェイＡ(１００Ａ)のＶＰＮトンネル端に伝達されたパケットはゲートウェイＢ(１００Ｂ)のＶＰＮトンネル端に伝達される。

ＮＰＶトンネルの生成と連結が完了すれば、ゲートウェイＡ(１００Ａ)は、私設網連結管理テーブル１３２を参照してＶＰＮトンネルのゲートウェイＡ(１００Ａ)側にＮＡＴを設定する。ＮＡＴを設定すれば、パケットが私設網Ａ(２００Ａ)からゲートウェイＡ(１００Ａ)を通ってＶＰＮトンネルに送られる時、出発地アドレス１０．０．０．ｘは１０．０．１．ｘに変換され、パケットがＶＰＮトンネルからゲートウェイＡ(１００Ａ)を通って私設網Ａに送られる時目的地アドレス１０．０．１．ｙが１０．０．０．ｙに変換される。また、ゲートウェイＢもＶＰＮトンネルのゲートウェイＢ側にＮＡＴを設定する。

図１２は、図１１の過程によって私設網Ａと私設網Ｂとの間に形成されたトンネルを介したホストＡ(２１０Ａ)とホストＢ(２１０Ｂ)との間のパケット伝達過程を説明する信号流れ図である。まず、私設網Ａ(２００Ａ)のユーザは、ホストＢ(２１０Ｂ)のドメインネームが分かっており、ホストＡ(２１０Ａ)に設けられた応用プログラム２１４がゲートウェイＡ(１００Ａ)にホストＢ(２１０Ｂ)のドメインネームに対応するＩＰアドレスが分かるためＤＮＳ問い合わせを送ると、ゲートウェイＡ(１００Ａ)のＤＮＳ処理部１４３は私設網連結管理テーブル１３２を調べる。そして、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂ)との間にＶＰＮトンネルが設定されていると、トンネルを通過するパケットに対するＮＡＴが必要だと認識されているため、ホストＢ(２１０Ｂ)のＶＰＮトンネルで使用される私設ＩＰアドレスを知るために、ＤＮＳ問い合わせをゲートウェイＢに転送する。

ゲートウェイＢ(１００Ｂ)のＤＮＳ処理部１４３'は、ホストＢ(２１０Ｂ)に対する問い合わせが受信されれば、ホストＢ(２１０Ｂ)のＶＰＮトンネル内で使用されるＩＰアドレス(１０。０。２。５)を含む応答メッセージをゲートウェイＡ(１００Ａ)に転送し、ゲートウェイＡ(１００Ａ)は、これをホストＡ(２１０Ａ)に再転送する。ＤＮＳ問い合わせ及び応答過程は図面には省略する。その後、ホストＡ(２１０Ａ)は、ホストＢ(２１０Ｂ)にパケットを送るために、パケットをゲートウェイＡ((１００Ａ)に転送する。パケットの目的地アドレスには１０．０．２．５が記入され、出発地アドレスには１０．０．０．４が記入される。

ゲートウェイＡ(１００Ａ)は、ホストＡ(２１０Ａ)からホストＢ(２１０Ｂ)を目的地にするパケットが受信されれば、ルーティングテーブルとフォワーディング設定を参照してゲートウェイＡ(１００Ａ)のトンネル端にパケットを伝達する。すると、ゲートウェイＡ(１００Ａ)のＶＰＮトンネル端にはＮＡＴが設定されているため、出発地アドレス１０．０．０．４が１０．０．１．４に変換され、ＮＡＴを通して出発地アドレスが変換されたパケットはゲートウェイＢ(１００Ｂ)のトンネル端に転送される。

ゲートウェイＢ(１００Ｂ)は、前述したように、出発地アドレスがＮＡＴを通して変更されゲートウェイＢ(１００Ｂ)のトンネル端に伝達されたパケットについて、ゲートウェイＢ(１００Ｂ)のＶＰＮトンネル端に設定されたＮＡＴを通して、目的地アドレス１０．０．２．５を１０．０．０．５に変換させる。このように、ＮＡＴを通して目的地アドレスが変換されたパケットは、ルーティングテーブルとフォワーディング設定を参照してホストＢ(２１０Ｂ)に伝達される。

その後、ホストＢ(２１０Ｂ)はホストＡ(２１０Ａ)に応答を送り、前記パケット伝達過程の繰り返しによって通信がなされる。

図１３は、私設網Ａの拡張されたネットワークＩＤが私設網Ｂの拡張されたネットワークＩＤに含まれる場合の２つの私設網間ＶＰＮトンネル形成過程を説明する信号流れ図である。まず、ゲートウェイＡ(１００Ａ)のウェブサーバ１４７から提供されるトンネル形成要請ページを、私設網Ａ(２００Ａ)のユーザがホストＡ(２１０Ａ)でウェブブラウザ２１２を通して呼び出した後、私設網Ｂ(２００Ｂ)についてトンネル生成を要請すれば、私設網Ａ(２００Ａ)と私設網Ｂ(２００Ｂとの間のトンネル生成要請を受けたゲートウェイＡ(１００Ａ)は、ＤＮＳ処理部１４３を通してインターネットに位置したＤＮＳサーバ３３０からゲートウェイＢ(１００Ｂ)の公認ＩＰアドレス(２１１．３２．１１９．１３６)を得る。ＤＮＳ問い合わせ及び応答過程は図面には省略する。

次いで、ゲートウェイＢ(１００Ｂ)の公認ＩＰアドレスを得たゲートウェイＡ(１００Ａ)は、ＨＴＩＰ処理部１４６ＡでＨＴＩＰプログラムを駆動してゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'の私設網間トンネル生成を要請する。私設網間のトンネル生成を要請するメッセージには、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網Ａのネットワークアドレス(１０．０．０．０/２４)、ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用されるネットワークアドレス(１０.０．０．０/２４、１０．０．１．０/２４、１０．０．２．０/２４、…)が含まれる。

ゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'は、ゲートウェイＡ(１００Ａ)からのトンネル生成要請メッセージを受信した後これを分析する。ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用されるネットワークアドレス(１０.０．０．０/２４、１０．０．１．０/２４、…)が私設網Ｂのネットワークアドレスに含まれるため、ゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'は、ゲートウェイＡ(１００Ａ)にＮＡＫを送る。ＮＡＫには、ゲートウェイＡ(１００Ａ)からゲートウェイＢ(１００Ｂ)に送信されるトンネル生成要請メッセージのうちの再交渉が必要な部分(ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用されるネットワークアドレス)と、私設網Ｂのネットワークアドレス(１０．０．０．０/１６)とが含まれる。

ゲートウェイＢ(１００Ｂ)からのＮＡＫを受信したゲートウェイＡ(１００Ａ)のＨＴＩＰ処理部１４６Ａは、ＮＡＫの内容を分析した後、私設網間のトンネル生成要請を再び送る。私設網間のトンネル生成を再び要請するメッセージには、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網Ａのネットワークアドレス(１０.０．０．０/２４)、ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わり使用されるネットワークアドレス(１０．２．０．０/２４、１０．２．１．０/２４、…)が含まれる。

ゲートウェイＢ(１００Ｂ)のゲートウェイＡ(１００Ａ)からトンネル生成要請メッセージが受信されれば、ＨＴＩＰ処理部１４６Ａ'でこれを分析して、適切な場合私設網間のトンネル生成応答メッセージを送る。応答メッセージには、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０．０．０．０/１６)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用されるネットワークアドレス(１０．１．０．０/１６、１０．２．０．０/１６、…)、私設網Ａ(２００Ａ)のネットワークアドレス(１０.０．０．０/２４)、ＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用されるネットワークアドレス(１０．２．０．０/２４)などを含む。

ゲートウェイＡ１００Ａは、ゲートウェイＢ(１００Ｂ)から応答メッセージが受信されれば、ＨＴＩＰ処理部１４６Ａでこれを分析した後、適切であると判断されれば私設網間のトンネル生成ＡＣＫをゲートウェイＢ(１００Ｂ)に送る。ＡＣＫは使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網Ａ(２００Ａ)のネットワークアドレス(１０．０．０．０/２４)、ＶＰＮトンネル内で私設網Ａ(１００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０．２．０．０/２４)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０．０．０．０/１６)、ＶＰＮトンネル内で私設網Ｂ(２００Ｂ)のネットワークアドレスの代わりに使用するネットワークアドレス(１０．１．０．０/１６)などを含む。私設網Ａ(２００Ａ)のアドレスとＶＰＮトンネル内で私設網Ａ(２００Ａ)のネットワークアドレスの代わりに使用するネットワークアドレスが一致しないため、ゲートウェイＡ(１００Ａ)はＮＡＴが使用されるべきだと認識する。

ＡＣＫメッセージをやり取りしてから、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)には、私設網連結管理テーブル１３２、１３２'が生成される。ゲートウェイＡ(１００Ａ)が生成するテーブル１３２を説明すれば、使用するＶＰＮプロトコル(Ｌ２ＴＰ)、私設網間トンネルＩＤ、ゲートウェイＢ(１００Ｂ)のドメインネーム、ゲートウェイＢ(１００Ｂ)はＶＰＮサーバであることを表示する項目、私設網Ａのネットワークアドレス(１０．０.０.０/２４)、私設網Ｂのネットワークアドレス(１０．０．０．０/１６)、ＶＰＮトンネル内で私設網Ａのネットワークアドレスの代わりに使用するネットワークアドレス(１０.２.０.０/２４)、ＶＰＮトンネル内で私設網Ｂのネットワークアドレスの代わりに使用するネットワークアドレス(１０．１．０．０/１６)などを含む。

ＡＣＫメッセージを受け取った後、ゲートウェイＢ(１００Ｂ)は、使用するＶＰＮプロトコルによってＶＰＮトンネルを生成するようＶＰＮ処理部１４６Ｂ'をＶＰＮサーバで設定する。ゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'は、ＶＰＮ処理部１４６Ｂ'をＶＰＮサーバに設定して私設網間のトンネル生成のための用意が完了されれば、ゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'は私設網間のトンネル生成用意が完了されたことを知らせるＲＥＡＤＹメッセージをゲートウェイＡ(１００Ａ)に転送する。ＲＥＡＤＹメッセージは、使用ＶＰＮプロトコル(Ｌ２ＴＰ)、私設網Ａ(２００Ａ)のネットワークアドレス(１０．０．０.０/２４)、私設網Ｂ(２００Ｂ)のネットワークアドレス(１０.０.０.０/１６)、ＶＰＮトンネル内で使用する私設網Ａ２００Ａのネットワークアドレス(１０．２.０.０/２４)、ＶＰＮトンネル内で使用する私設網Ｂ２００Ｂのネットワークアドレス(１０.１.０.０/１６)を含む。

ＲＥＡＤＹメッセージを受け取ってから、ゲートウェイＡ(１００Ａ)のＨＴＩＰ処理部１４６Ａは、使用するＶＰＮプロトコルによってＶＰＮ処理部１４６ＢをゲートウェイＢ(１００Ｂ)のＶＰＮクライアントに設定する。ＨＴＩＰ処理部１４６ＡがＶＰＮクライアントを駆動すれば、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間にはＶＰＮ(Ｌ２ＴＰ)トンネルが生成される。

前述したような過程を通してゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間にはＶＰＮトンネル形成される。その後、ゲートウェイＡ(１００Ａ)のＶＰＮトンネル端に伝達されたパケットは、ゲートウェイＢ(１００Ｂ)のＶＰＮトンネル端に伝達される。次いで、ＶＰＮトンネルの生成と連結が終わると、ゲートウェイＡ(１００Ａ)のＨＴＩＰ処理部１４６Ａは、私設網連結管理テーブル１３２を参照してＶＰＮトンネルのゲートウェイＡ１００Ａ側にＮＡＴを設定する。ＮＡＴを設定すれば、パケットが私設網ＡからゲートウェイＡ(１００Ａ)を通ってＶＰＮトンネルに送られる時、出発地アドレス１０．０．０．ｘは１０．２．０．ｘに変換され、パケットがＶＰＮトンネルからゲートウェイＡ(１００Ａ)を通って私設網Ａに送られる時目的地アドレス１０．２．０．ｙが１０．０．０．ｙに変換される。同様に、ゲートウェイＢ(１００Ｂ)のＨＴＩＰ処理部１４６Ａ'もＶＰＮトンネルのゲートウェイＢ(１００Ｂ)側にＮＡＴを設定する。

以上のように、ゲートウェイＡ(１００Ａ)とゲートウェイＢ(１００Ｂ)との間に形成されたＶＰＮトンネルの両端にＮＡＴが設定されれば、ホストＡ(２１０Ａ)とホストＢ(２１０Ｂ)は、図１２に示したデータパケット伝達過程を通して相互通信できるようになる。

以上、本発明の望ましい実施形態について説明したが、本発明は前述した特定の実施形態に限らず、請求の範囲で請求する本発明の要旨を逸脱せず当該発明の属する技術分野において通常の知識を持つ者ならば誰でも多様な変形実施が可能であることは勿論、そのような変更は請求の範囲の記載の範囲内にある。

本発明に係るネットワーク接続装置は、私設網と公衆網または私設網と私設網との連結が可能なのでユーザの利用網をさらに拡張させうることから、宅内のホームネットワーク間の連結が可能なので、ホームネットワークで他のホームネットワークユーザとさらに多様にコミュニティを活性化するのに使用でき、現在のＩＰｖ４環境下における公認ＩＰアドレスの不足現象を解消でき、全体ネットワークの性能をアップさせるのに使用できる。

本発明に係るネットワーク接続装置を含むネットワーク構成図である。図１に示したネットワーク接続装置の一実施形態による概略的なブロック図である。拡張されたネットワークＩＤが相異なる２つの私設網のＶＰＮトンネル形成過程を説明する信号流れ図である。図３の過程によって私設網Ａと私設網Ｂとの間に形成されたトンネルを介したホストＡとホストＢのパケット伝達過程を説明する信号流れ図である。拡張されたネットワークＩＤが互いに一致する２つの私設網のＶＰＮトンネル形成過程を説明する信号流れ図である。図５の過程によって私設網Ａと私設網Ｂとの間に形成されたトンネルを介したホストＡとホストＢのパケット伝達過程を説明する信号流れ図である。私設網Ａの拡張されたネットワークＩＤが私設網Ｂの拡張されたネットワークＩＤに含まれる場合の２つの私設網間ＶＰＮトンネル形成過程を説明する信号流れ図である。図１に示したネットワーク接続装置の他の実施形態による概略的なブロック図である。拡張されたネットワークＩＤが相異なる２つの私設網のＶＰＮトンネル形成過程を説明する信号流れ図である。図９の過程によって私設網Ａと私設網Ｂとの間に形成されたトンネルを介したホストＡとホストＢのパケット伝達過程を説明する信号流れ図である。拡張されたネットワークＩＤが互いに一致する２つの私設網のＶＰＮトンネル形成過程を説明する信号流れ図である。図１１の過程によって私設網Ａと私設網Ｂとの間に形成されたトンネルを介したホストＡとホストＢのパケット伝達過程を説明する信号流れ図である。私設網Ａの拡張されたネットワークＩＤが私設網Ｂの拡張されたネットワークＩＤに含まれる場合の２つの私設網間ＶＰＮトンネル形成過程を説明する信号流れ図である。

符号の説明

１００ゲートウェイ
１１０公衆網インタフェース
１２０私設網インタフェース
１３０メモリ部
１３２、１３２' 私設網連結管理テーブル
１４０制御部
１４１ＮＡＴ/ＮＡＰＴ処理部
１４２ＩＰ処理部
１４３、１４３' 私設網ＤＮＳ処理部
１４４私設網ＤＨＣＰ処理部
１４５、１４５' ルーティング部
１４６、１４６' ＶＰＮ処理部
１４６Ａ、１４６Ａ' ＨＴＩＰ処理部
１４６Ｂ、１４６Ｂ' ＶＰＮ処理部
１４７ウェブサーバ/ミドルウェアサーバ
１４８暗号化処理部
１４９ユーザ認証処理部
１５０ＩＳＰ

Claims

公衆網と連結される少くとも１つの公衆網インタフェースと、
私設網と連結される少くとも１つの私設網インタフェースと、
前記私設網に連結されたホストから前記公衆網に連結された他私設網に対するトンネル生成要請メッセージが受信された場合に、前記他私設網のゲートウェイと通信してＶＰＮトンネルを形成させ、前記私設網及び前記他私設網のネットワークアドレスが同じか、いずれか１つの私設網にもう１つの私設網のネットワークアドレスが含まれる場合に、前記２つの私設網がＶＰＮトンネル内で相異なるネットワークアドレスを使用するよう新たなネットワークアドレステーブルを生成し、前記私設網に連結されたホストまたは前記他私設網から転送されたデータパケットについて前記新たなネットワークアドレステーブルに基づきアドレスを変換させフォワーディングする制御部とを含むネットワーク接続装置において、
前記制御部は、
前記私設網に連結されたホストでトンネル生成が要請できるようトンネル生成要請ページを提供するウェブサーバと、
前記私設網に連結されたホストの前記他私設網に対するトンネル生成要請について前記公衆網に連結されたＤＮＳ(Domain Name Server)から前記他私設網のゲートウェイの公認ＩＰ(Internet Protocol)アドレスを獲得する私設網ＤＮＳ処理部と、
前記公衆網インタフェースを通して伝達されたトンネル生成要請または前記私設網インタフェースを通して伝達されたトンネル生成要請によってサーバまたはクライアントで動作して要請対象私設網とトンネルが形成できるよう処理するＶＰＮ(Virtual Private Network)処理部と、
前記私設網から公衆網に転送されるデータパケットまたは前記公衆網から私設網に転送されるデータパケットについて、ＮＡＰＴ(Network Address Port Translation)プロトコルを用いて私設ＩＰアドレスを公認ＩＰアドレスに変換したり公認ＩＰアドレスを私設ＩＰアドレスに変換させ、前記私設網と前記他私設網との間に前記ＶＰＮトンネルが形成された場合、ＮＡＴ(Network Address Translation)プロトコルを用いて前記ＶＰＮトンネル内で私設ＩＰアドレスのアドレス変換を行なうＮＡＴ/ＮＡＰＴ処理部とを含み、
前記ＶＰＮ処理部は、前記私設網に連結された前記ホストから前記他私設網に対する前記トンネル生成要請が伝達されれば、前記トンネル生成要請メッセージを前記他私設網ゲートウェイに転送し、前記他私設網のゲートウェイから前記トンネル生成要請に対する応答が受信されれば、ＡＣＫ(acknowledge)を前記他私設網ゲートウェイに転送し、
前記他私設網に対するトンネル生成要請メッセージは、前記私設網のネットワークアドレス及び前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用されるべき第２ネットワークアドレスを含むことを特徴とするネットワーク接続装置。
公衆網と連結される少くとも１つの公衆網インタフェースと、
私設網と連結される少くとも１つの私設網インタフェースと、
前記私設網に連結されたホストから前記公衆網に連結された他私設網に対するトンネル生成要請メッセージが受信された場合に、前記他私設網のゲートウェイと通信してＶＰＮトンネルを形成させ、前記私設網及び前記他私設網のネットワークアドレスが同じか、いずれか１つの私設網にもう１つの私設網のネットワークアドレスが含まれる場合に、前記２つの私設網がＶＰＮトンネル内で相異なるネットワークアドレスを使用するよう新たなネットワークアドレステーブルを生成し、前記私設網に連結されたホストまたは前記他私設網から転送されたデータパケットについて前記新たなネットワークアドレステーブルに基づきアドレスを変換させフォワーディングする制御部とを含むネットワーク接続装置において、
前記制御部は、
前記私設網に連結されたホストでトンネル生成が要請できるようトンネル生成要請ページを提供するウェブサーバと、
前記私設網に連結されたホストの前記他私設網に対するトンネル生成要請について前記公衆網に連結されたＤＮＳ(Domain Name Server)から前記他私設網のゲートウェイの公認ＩＰ(Internet Protocol)アドレスを獲得する私設網ＤＮＳ処理部と、
前記公衆網インタフェースを通して伝達されたトンネル生成要請または前記私設網インタフェースを通して伝達されたトンネル生成要請によってサーバまたはクライアントで動作して要請対象私設網とトンネルが形成できるよう処理するＶＰＮ(Virtual Private Network)処理部と、
前記私設網から公衆網に転送されるデータパケットまたは前記公衆網から私設網に転送されるデータパケットについて、ＮＡＰＴ(Network Address Port Translation)プロトコルを用いて私設ＩＰアドレスを公認ＩＰアドレスに変換したり公認ＩＰアドレスを私設ＩＰアドレスに変換させ、前記私設網と前記他私設網との間に前記ＶＰＮトンネルが形成された場合、ＮＡＴ(Network Address Translation)プロトコルを用いて前記ＶＰＮトンネル内で私設ＩＰアドレスのアドレス変換を行なうＮＡＴ/ＮＡＰＴ処理部とを含み、
前記ＶＰＮ処理部は、前記私設網に連結された前記ホストから前記他私設網に対する前記トンネル生成要請が伝達されれば、前記トンネル生成要請メッセージを前記他私設網ゲートウェイに転送し、前記他私設網のゲートウェイから前記トンネル生成要請に対する応答が受信されれば、ＡＣＫ(acknowledge)を前記他私設網ゲートウェイに転送し、
前記ＶＰＮ処理部は、他私設網から前記他私設網のネットワークアドレス及び前記ＶＰＮトンネルで前記他私設網のネットワークアドレスの代わりに使用される第２ネットワークアドレスを含むトンネル要請メッセージが受信されれば、私設網のネットワークアドレス、前記第２ネットワークアドレス、及び前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用される第３ネットワークアドレスを含む応答メッセージを前記他私設網に転送することを特徴とするネットワーク接続装置。
前記ウェブサーバは、ミドルウェアサーバに代替可能なことを特徴とする請求項１もしくは２に記載のネットワーク接続装置。
公衆網と連結される少くとも１つの公衆網インタフェースと、
私設網と連結される少くとも１つの私設網インタフェースと、
前記私設網に連結されたホストから前記公衆網に連結された他私設網に対するトンネル生成要請メッセージが受信された場合に、前記他私設網のゲートウェイと通信してＶＰＮトンネルを形成させ、前記私設網及び前記他私設網のネットワークアドレスが同じか、いずれか１つの私設網にもう１つの私設網のネットワークアドレスが含まれる場合に、前記２つの私設網がＶＰＮトンネル内で相異なるネットワークアドレスを使用するよう新たなネットワークアドレステーブルを生成し、前記私設網に連結されたホストまたは前記他私設網から転送されたデータパケットについて前記新たなネットワークアドレステーブルに基づきアドレスを変換させフォワーディングする制御部とを含むネットワーク接続装置において、
前記制御部は、
前記私設網に連結されたホストでトンネル生成を要請できるようトンネル生成要請ページを提供するウェブサーバと、
前記私設網に連結されたホストの前記他私設網に対するトンネル生成要請について前記公衆網に連結されたＤＮＳから前記他私設網ゲートウェイの公認ＩＰアドレスを獲得する私設網ＤＮＳ処理部と、
前記公衆網インタフェースを通して伝達されたトンネル生成要請または前記私設網インタフェースを通して伝達されたトンネル生成要請によって要請対象私設網とトンネルを形成するために必要な変数を含むトンネル生成要請メッセージを送受信するＨＴＩＰ処理部と、
前記ＨＴＩＰ処理部の制御に応じてサーバまたはクライアントで動作して前記要請対象私設網と前記トンネルが形成できるよう処理するＶＰＮ処理部と、
前記私設網から公衆網へ転送されるデータパケットまたは前記公衆網から私設網へ転送されるデータパケットについてＮＡＰＴプロトコルを用いて私設ＩＰアドレスを公認ＩＰアドレスに変換したり公認ＩＰアドレスを私設ＩＰアドレスに変換させ、前記私設網と前記他私設網との間に前記ＶＰＮトンネルが形成されアドレス変換が必要な場合、ＮＡＴ(Network Address Translation)プロトコルを用いて前記ＶＰＮトンネル内で私設ＩＰアドレスのアドレス変換を行うＮＡＴ/ＮＡＰＴ処理部と、を含むことを特徴とするネットワーク接続装置。
前記ＨＴＩＰ処理部は、前記私設網に連結された前記ホストから前記他私設網に対する前記トンネル生成要請が伝達されれば、前記メッセージを前記他私設網ゲートウェイに転送し、前記他私設網のゲートウェイから前記トンネル生成要請に対する応答が受信されれば、ＡＣＫを前記他私設網ゲートウェイに転送することを特徴とする請求項４に記載のネットワーク接続装置。
前記他私設網に対するトンネル生成要請メッセージが含む変数は、前記トンネル生成時使用するＶＰＮプロトコル、前記私設網のネットワークアドレス及び前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用される第２ネットワークアドレスを含むことを特徴とする請求項５に記載のネットワーク接続装置。
前記ＨＴＩＰ処理部は、他私設網から前記トンネル生成時使用するＶＰＮプロトコル、前記他私設網のネットワークアドレス及び前記ＶＰＮトンネルで前記他私設網のネットワークアドレスの代わりに使用される第２ネットワークアドレスを含むトンネル要請メッセージが受信されれば、前記トンネル生成時に使用するＶＰＮプロトコル、私設網のネットワークアドレス、前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用される第３ネットワークアドレス、前記他私設網のネットワークアドレス、前記第２ネットワークアドレスを含む応答メッセージを前記他私設網に転送することを特徴とする請求項５に記載のネットワーク接続装置。
前記ＨＴＩＰ処理部は、他私設網から前記ＡＣＫが受信されれば、前記ＶＰＮ処理部をＶＰＮサーバで設定し、前記ＶＰＮ処理部の設定が完了されたことを知らせるＲＥＡＤＹメッセージを前記他私設網に転送することを特徴とする請求項５に記載のネットワーク接続装置。
前記ＨＴＩＰ処理部は、前記他私設網から前記ＲＥＡＤＹメッセージが受信されれば、前記ＶＰＮ処理部を前記他私設網のＶＰＮサーバに対するＶＰＮクライアントで設定し、前記ＶＰＮクライアントを駆動して前記私設網と前記他私設網との間にＶＰＮトンネルを生成することを特徴とする請求項８に記載のネットワーク接続装置。
前記ＨＴＩＰ処理部は、前記他私設網から受信した前記トンネル生成要請メッセージまたは前記応答メッセージを分析して前記メッセージに含まれた変数及び変数値が適切でない場合、これを知らせるＮＡＫメッセージを前記他私設網に転送することを特徴とする請求項５に記載のネットワーク接続装置。
前記ＨＴＩＰ処理部は、前記他私設網に転送した前記トンネル生成要請メッセージまたは前記応答メッセージについて前記ＮＡＫメッセージが受信すれば、前記メッセージに含まれた変数及び変数値を新たに設定し、前記他私設網に再転送することを特徴とする請求項１０に記載のネットワーク接続装置。
前記ＨＴＩＰ処理部は、前記トンネル生成時に使用するＶＰＮプロトコル、前記私設網のネットワークアドレス、前記ＶＰＮトンネルで前記私設網のネットワークアドレスの代わりに使用される第２ネットワークアドレス、前記他私設網のネットワークアドレス、前記ＶＰＮトンネルで前記他私設網のネットワークアドレスの代わりに使用される第３ネットワークアドレスを含む変数を予め交渉して、既存のＶＰＮトンネルで使用するネットワークアドレスと前記ＶＰＮトンネルで使用するネットワークアドレスが衝突しないようにし、２つ以上の複数の私設網と同時にＶＰＮトンネルを形成することを特徴とする請求項５に記載のネットワーク接続装置。
前記ウェブサーバは、ミドルウェアサーバに代替可能なことを特徴とする請求項４に記載のネットワーク接続装置。