JP4572938B2 - アドレス変換方法 - Google Patents

Description

本発明は同一のプロトコルに従う網、あるいは、異なるプロトコルに従う網を相
互接続する方式に関する。

例えばプライベート網どうしをインターネットで接続し、ひとつのVPN(Virtual
Private Network)として見せる技術として、Twice NAT(Network Address TRansl
ation)技術を使う方法(http://www.ietf.org/rfc/rfc2663.txtのpp12-13参照)や
、トンネル技術を使う方法（http://www.ietf.org/rfc/rfc2663.txtのpp22参照
）が知られている。いずれも基本的にIPパケットのヘッダ情報をIPv4とIPv4とで
相互に変換する。
例えば基本的なNATは、プライベートIPv4アドレスとパブリックIPv4アドレスの
変換を行う。NATを２つ直列に接続した、いわゆるTwice NAT技術を実装したルー
タはTwice NATルータと呼ばれる。従来の基本NAT、双方向NATでは、送信元アド
レス、もしくは着信先アドレスのどちらか一方を書き換えていたが、Twice NAT
技術では、Twice NATルータで接続された二つの領域間をデータグラムが通過す
る時点で、送信元アドレスと着信先アドレスの両方を書き換える。
Twice NATは、プライベートネットワーク内のアドレス空間とパブリック空間の
アドレス空間が衝突している場合に使われることが多い。あるサイトのアドレス
付けを誤って他のサイトのパブリックアドレスをつけてしまった場合、あるプロ
バイダからアドレスをもらっていたが、他のプロバイダに乗り換えた後もしばら
くは、以前のプロバイダから割り当ててもらったアドレスを使い続け、そのプロ
バイダが別ユーザに対して同じアドレスを割り当ててしまった場合に、アドレス
衝突が発生する。アドレス衝突を解決するためには、Twice NATは以下のように
動作する。プライベート領域内のHost-Aがパブリック領域内のHost-Xと通信をは
じめる場合には、Host-A はHost-XのDNSアドレス問い合わせパケットを送信する
。DNS-ALG(Domain Name Service - Application Level Gateway)がこのパケット
を捕捉し、かつHost-Xに対するアドレスをプライベート領域内でルーティング可
能なアドレス（Host-XPRIME）に変換してHost-Aに返す。DNSアドレス解決が終了
したらHost-AはHost-XPRIMEとの間で通信を開始する。このパケットがTwice NAT
を通過する時点で、送信元アドレスがNATの持つアドレスに書き換えられ、着信
先アドレスはHost-Xに書き換わる。Host-Xからの返信パケットもこれと同様の変
換が行われる。上記DNS-ALGの動作詳細については、http://www.ietf.orf/rfc/r
fc2693.txtに詳細が記載されている。
Twice NATを使用する方法は、インターネットを介して多数のホストどうしで通
信する場合に、大容量の変換テーブルが必要になる。特定のIPアドレスを使うア
プリケーションが多い場合には、上記のようにDNSアドレス問い合わせをトリガ
にしたNATによるダイナミックなアドレス変換ができないという問題がある。
上記の問題点を解決するために、NAT技術ではなくトンネル技術を用いて二つの
領域を相互接続する方法がある。トンネル技術を用いる方法は、接続対象になっ
ている二つの網内の端末が同一のアドレスを持つ場合には、同一のアドレスを有
する端末間では通信ができない、異なる接続する二つの領域が同一のサブネット
を持たないといけないという制限がある。しかしながら、Twice NAT使用時のよ
うに大容量の変換テーブルを持つ必要はないので、インターネットを介して同一
のサブネット空間を共有するPrivate VLAN(Virtual LAN)どうしを相互接続する
技術としてはトンネル技術が使われることが多い。
以上の例は、ある端末が属する網と通信相手の端末が属する網の通信プロトコル
が同一の場合に使われる技術である。ある端末が属する網と通信相手の端末が属
する網の通信プロトコルが異なる場合には、例えばプロトコルとしてIPv4を用い
る網(以下IPv4網と呼ぶ)とInternet Protocol version 6を使用する網(以下IPv6
網と呼ぶ)を接続する変換方式としてNAT-PT(http://www.ietf.org/rfc/rfc2766.
txtのpp6-18、およびrfc2765.txtのpp9-22参照)、SOCKS64(http://search.ietf.
org/internet-drafts/draft-ietf-ngTRans-socks-gateway-05.txt参照)等が知ら
れている。
いずれも基本的にIPパケットのフォーマットをIPv4とIPv6とで相互に変換する。
例えば、IPv4アドレスとIPv6アドレスの変換を行う。この変換を行う装置を以下
トランスレータと呼ぶ。トランスレータでは変換のために、変換の前にIPv4アド
レスとIPv6アドレスの対応関係を作成し、保持しておく必要がある。この対応関
係を通信が発生するたびに動的に作成する場合に、そのきっかけとしてDNS(ドメ
インネームシステム)の名前解決が利用される(アスキー出版、インターネットRF
C事典、pp323-329を参照)。
DNSはウェブのURLのような人間にわかりやすい名前(文字列)を、IPアドレスに変
換するシステムである。以下名前をIPアドレスに変換する操作を名前解決と呼ぶ
。今日ではインターネット上のほぼすべてのアプリケーションがこのDNSを利用
して通信相手のIPアドレスを取得している。
NAT、及びトランスレータはこの事実を利用し、通信開始にあたってやり取りさ
れるDNSのメッセージを常に監視しており、名前解決の要求メッセージを変換情
報(IPアドレスの対応関係等)を作成するきっかけとする。具体的には、IPv6端末
がある名前について名前解決を行ったとき、その応答であるIPアドレスがIPv4だ
った場合、このIPv4アドレスをIPv6アドレスに書き換えてIPv6端末に送り返す。
そして、書き換える前のIPv4アドレスと書き換えたIPv6アドレスを対応付ける。
つまりDNS-ALGは名前解決の応答メッセージを横取りして書き換え、この書き換
える前と書き換えた情報をもとに変換情報を作成する。ここで動的に作成された
変換情報は一時的なものであるから、通信が終了すると廃棄される。DNS-ALGが
保持する、IPv4アドレスとIPv4アドレスの対応関係、若しくはIPv4アドレスとIP
v6アドレスの対応関係は通信終了とともに廃棄され、通信ごとに異なるものが使
用される。すなわち、名前解決の応答メッセージを書き換える内容が通信ごとに
異なる。したがって、名前解決を要求した端末から見ると、同じ名前に対して異
なるIPアドレスを取得することとなる。

このように、DNS-ALGとトランスレータの連携は、インターネット上のほぼす
べてのアプリケーションがこのDNSを利用して通信相手のIPアドレスを動的に取
得している状況において、IPv6ネットワークとIPv4ネットワークを接続するため
に必須の技術である。また、DNS-ALGとTwice NATの連携は、パブリックアドレス
の移行時に発生するIPv4プライベートアドレスの競合問題を解決する技術である
。
http://www.ietf.org/rfc/rfc2663.txtのpp12-13、pp22 http://www.ietf.orf/rfc/rfc2693.txt http://www.ietf.org/rfc/rfc2766.txtのpp6-18 http://www.ietf.org/rfc/ rfc2765.txtのpp9-22 http://search.ietf.org/internet-drafts/draft-ietf-ngTRans-socks-gateway-05.txt アスキー出版、インターネットRFC事典、pp323-329

上述した通り、トンネル方式によるVPNの相互接続は、IPアドレスの衝突に対
処できないという課題がある。また、DNS-ALGとTwice NATの連携は、パブリック
アドレスの移行時に発生するIPv4プライベートアドレスの競合問題を解決する技
術である。しかし、DNS-ALGとTwice NATの連携は、アドレス変換テーブルが大き
く、スケーラブルでないという課題がある。一般的に、VPN間の相互接続は、VPN
のエッジにDNS-ALGとTwice NATを設置し、実現することが多い。しかし、相互接
続するVPNの数が多い場合、アドレス変換テーブルが大きくなるため、サービス
の提供が困難であるという課題がある。
本発明の目的は、ある端末が属する網と通信相手の端末が属する網の通信プロト
コルが同一の場合に、両網のアドレス空間が衝突した場合にも、両方の端末どう
しの通信を可能にすることにある。本発明の他の目的は、ある端末が属する網と
通信相手の端末が属する網の通信プロトコルが異なる場合には、基本トランスレ
ーションによって、両方の端末どうしの通信を可能にする、スケーラブルで実用
的なアドレス変換装置を提供することにある。

本発明はIPv6ベースのDNS-ALGとTwice NAT-PTの連携によって、従来のTwice N
ATによるアドレス変換で必要な変換情報を動的に作成する場合に必要であった、
着側の端末に対する仮想アドレスを生成するDNS-ALGの処理負荷の軽減と大容量
変換テーブルの削減を可能にする。

本発明によるIPv6ベースのDNS-ALGとTwice NAT-PTをプロバイダが一括管理し
、トランスレータに複数のVPNを収容すれば、既存のVPNを置きかえることなく、
複数のVPN間での相互接続が可能になる。

従来の、NAT-PTに代表されるプロトコル変換方式に加え、少なくとも以下の２点
の手段を備える。すなわち、（１）複数のトランスレータがもつ、IPv4アドレスとIP
v6アドレスの対応関係に代表されるアドレス変換に必要な変換情報を管理するDN
S-ALG装置を備え、（２）各トランスレータは前記DNS-ALG装置と通信を行うためのプ
ロトコルを備える。

Twice NAT-PTによるアドレス変換で必要な変換情報を動的に作成するため、DN
S-ALG装置は、発側の端末からの送信される着側端末に対するDNS問い合わせを、
装置の内部では一度IPv6に変換する。DNS-ALG装置は、着側のIPv4 DNSサーバに
おける問い合わせで取得したIPv4の実アドレスに仮想IPv6プレフィックスを付加
したIPv6アドレスを着側の端末に対する仮想IPv6アドレスとして使用する。仮想
IPv6アドレスを仮想IPv4アドレスに変換し、発側端末に通知する。この方式をと
ることによって、従来のTwice NAT方式と比較すると、変換回数が一回少なくな
ると同時に変換テーブルのサイズを小さくすることができる。
さらに、（３）各トランスレータはL2情報を活用してプロトコル変換を行う手段を備
えてもよい。IPアドレス以外にもMACアドレスに代表されるL2情報を用いたプロ
トコル変換を行う手段を備えることによって、１つの物理回線上に複数のVPNを
多重することが可能になる。
このような発明を適用した情報網は、第１の網と、第１の網と通信可能な第２の
網と、第２の網と通信可能な第３の網と、第１の網と第２の網を接続する第１の
アドレス変換装置と、第２の網と第３の網を接続する第２のアドレス変換装置と
を有し、第１のアドレス変換装置は、第１の網で使われているアドレスに第１の
網を示すプレフィックスを付加した第１仮想アドレスを、第２の網を介して第２
のアドレス変換装置に送り、第２のアドレス変換装置は、第１仮想アドレスを第
３の網で使われていないアドレスである第２仮想アドレスに変換して第３の網に
送り、第１仮想アドレスと第２仮想アドレスとの対応情報を記憶する。また、第
３の網から送られてきた第２仮想アドレスを、対応情報に基づいて第１仮想アド
レスに変換し、第１仮想アドレスからプレフィックスを削除して、第１の網に送
る。この場合、第１の網は第１のプロトコルに従い、第２及び第３の網は第２の
プロトコルに従うこととしてもよい。また、変換されるアドレスは、送信元アド
レスまたは送信先アドレスとしてもよい。

このような網に用いられる通信装置としては、第１の網と第２の網の間に配置
され、第１の網と第２の網の間の通信を仲介する通信装置であって、第１の網か
ら送られてきた第１の網で使われている元アドレスを受信し、元アドレスにプレ
フィックスを付加した第１仮想アドレスを形成し、第１仮想アドレスを第２の網
に送出し、第２の網から送られてきた第１仮想アドレスを受信し、第１仮想アド
レスからプレフィックスを削除して元アドレスを形成し、元アドレスを第１の網
に送出する。

また、他の通信装置は、第２の網から送られてきた第１アドレスを、第１の網
で使われていない第２アドレスに変換し、第１の網に送出し、第１アドレスと第
２アドレスの関連を変換情報として保持し、第１の網から送られてきた第２アド
レスを、変換情報にもとづいて第１アドレスに変換し、第１アドレスを第２の網
に送出する。

以上の実施の形態から明らかなように、本発明はIPv6ベースのDNS-ALGとトラ
ンスレータの連携によって、従来のTwice NATによるアドレス変換で必要な変換
情報を動的に作成する場合に必要であった、着側の端末に対する仮想アドレスを
生成するDNS-ALGの処理負荷の軽減と大容量変換テーブルの削減を可能にする。

本発明によるトランスレータとDNS-ALGをプロバイダが一括管理し、トランス
レータに複数のVPNを収容すれば、既存のVPNを置きかえることなく、VPN間の相
互接続が可能になる。

本発明の第１の実施の形態を図面を用いて説明する。

図１は、本発明によるVPN間接続サービスを提供するネットワークの構成例を
示す。VPN間接続サービスを提供するネットワークは、VPN５とIP網６から構成さ
れる。VPN５は、DNSサーバ３を備える。VPN5aは、例えば企業の拠点（１００１
、１００２）を仮想的に相互に接続する。本実施例では、VPN５は、IPv4プライ
ベートアドレスを利用する。１つのVPN内においてはIPアドレスは重複しないが
、異なるVPNの間でIPアドレスは重複してもよい。IP網６はDNSサーバ８を備える
。本実施例では、IP網６はIPv6アドレスを利用する。

VPN５とIP網６は、トランスレータ１（TR）で接続する。トランスレータ１は
、IPv6アドレスとIPv4アドレスの変換機能と、DNS-ALG２と通信する手段を備え
る。DNS-ALG２は、複数のトランスレータがもつIPv4アドレスとIPv6アドレスの
対応関係に代表されるアドレス変換に必要な変換情報を管理し、DNSの問い合わ
せやその返信のパケットの中身を書き換える手段を備える。第１の実施の形態に
おいて、DNS-ALG２は、VPN５毎に存在する。

図２は、トランスレータ１の構成例を示す。トランスレータ１は、回線（17a
、17b、17c、17n）を収容するインタフェース部（IF）（16a、16b、16c、16n）
と、メモリ14と、CPU15とを、スイッチまたはバス18で接続する構成となってい
る。メモリ14は、アドレスの変換に必要な情報１１やデータパケットを変換する
ためのプログラム１３や、DNS-ALG２からの変換エントリ登録要求を処理するた
めのプログラム１２が格納されている。変換情報記憶部１１は、図９に示す仮想
プレフィックス管理テーブル３００と図１１に示す変換情報テーブル５００を備
える。

図９は、仮想プレフィックス管理テーブル３００のテーブル構成を示す。本テ
ーブルは、トランスレータ１の回線番号ごとに生成された複数のエントリ（３０
０−１〜３００−ｎ）からなる。各エントリは、回線番号３０１対応に、仮想プ
レフィックス３０２と、変換情報テーブル５００へのポインタ３０３を定義する
。

図１１は、変換情報テーブル５００のテーブル構成を示す。本テーブルには、
IPv4アドレス５０１とIPv6アドレス５０２の対応関係が格納される。本テーブル
は、VPN毎に生成され（５１０、５２０、５３０）、VPNを収容するトランスレー
タ１の変換情報記憶部１１に格納される。例えば、図１において、VPN#1変換情
報テーブル５１０はトランスレータ１ａに、VPN＃3変換情報テーブル５３０はト
ランスレータ１ｂに格納される。

図２へ戻りトランスレータ１の説明を続ける。変換エントリ登録処理１２は、
変換情報登録要求を処理し、IPアドレスの対応情報を変換情報記憶部１１の変換
情報テーブル５００に格納する。データパケット変換・処理部１３は、IPv4パケ
ットを受信すると変換情報記憶部１１を検索し、IPv6アドレスをIPv4アドレスに
書き換える。また、データパケット変換・処理部１３は、IPv6パケットを受信す
ると、変換情報記憶部１１を検索し、IPv4アドレスをIPv6アドレスに書き換える
。このとき、IPアドレスのほかにもさまざまな情報を書き換えることが可能であ
る。図４にIPv4パケットフォーマットを示す。図５にIPv6パケットのフォーマッ
トを示す。変換の際にはIPアドレスだけでなく、このフォーマットも変換する。

図３は、DNS-ALG２の構成例を示す。DNS-ALG２は、回線(24a、24b)を収容する
インタフェース部（IF）（23a、23b）と、メモリ22と、CPU21とを、バス25で接
続する構成となっている。

図１４と図１５に示すシーケンスに従って、図１におけるVPN５ａの端末４ａ
がVPN５ｃの端末４ｃと通信する場合について説明する。通信開始にあたり、端
末４ａは端末４ｃの名前(hostCとする)のアドレスを得るため、DNSサーバ３ａに
対してDNS問い合わせを行う（１０１）。DNS問い合わせのパケットフォーマット
を図６に示す。
図６に示すように、QNAME（４２１）に名前hostCが、QTYPE（４２２）に資源レ
コードのタイプ”A”が記載される。
図１４に戻り説明を続ける。DNSサーバ3ａはこの名前hostCに対応するIPアドレ
スを知らないため、次のDNSサーバ（DNS-ALG２ａ）に対してDNS問い合わせを行
う（１０２）。

DNS-ALG２ａは、名前hostCに対するIPアドレスを知らない場合、図１２、１３
に示す処理ルーチン６０を起動する。DNS問い合わせのQTYPEが“A”の場合、DNS
-ALG２ａはQTYPEを“AAAA”に変換する（６２、１０３）。DNS-ALG２ａは変換し
たDNS問い合わせを次のDNSサーバ８に送信し（６３、１０４）、DNS応答を待つ
（６４）。DNSサーバ８は、次のDNSサーバ（DNS-ALG２ｂ）にDNS問い合わせを送
信する（１０５）。DNS-ALG２ｂは、名前hostCに対するIPアドレスを知らない場
合、図１２、１３に示す処理ルーチン６０を起動する。DNS問い合わせのQTYPEが
“AAAA”の場合、QTYPEを“A”に変換する（８１、１０６）。DNS-ALG２ｂは変
換したDNS問い合わせを次のDNSサーバ３ｃに送信し（８２、１０７）、DNS応答
を待つ（８３）。DNSサーバ３ｃは、名前hostCに対するIPv4アドレス“ｃ”を応
答する（８４、１０８）。

図７にDNSサーバ３ｃからのDNS応答パケットのフォーマットを示す。図７の４
３、４４、４５の詳細フォーマットを図８に示す。NAME（５１）に名前hostC、R
DATA（５４）にIPアドレス“ｃ”が記載される。
図１４を参照すると、DNS-ALG２ｂは以後の変換のためにIPv4アドレス“ｃ”をI
Pv6アドレス“γ＋ｃ”に書き換える。このIPv6アドレスは、VPN5cに対して割り
当てられる仮想的なIPv6プレフィックス（γ）＋IPv4アドレス（ｃ）で構成され
る（１０９）。以降、このアドレスを「着信先仮想IPv6アドレス」と呼ぶ。DNS-
ALG２ｂは、DNS応答のTYPE（５２）を“A”から“AAAA”に変換し、RDATA（５４
）に“γ＋ｃ”を設定したDNS応答をDNSサーバ８に送信する（８５、１１０）。
DNSサーバ８は、DNS-ALG２ａに名前hostCに対する着信先仮想IPv6アドレス“γ
＋ｃ”を応答する（６５、１１１）。
DNS-ALG２ａは、以後の変換のために、このIPv6アドレス“γ＋ｃ”をIPv4アド
レスｃ'に変換する（１１２）。このIPv4アドレスは名前hostCに対する仮想的な
アドレスで、VPN５ａで使用されていないIPアドレスの集合から選ぶ。以降、こ
のアドレスを「着信先仮想IPv4アドレス」と呼ぶ。DNS-ALG２ａは、DNS応答のTY
PE（５２）を“AAAA”から“A”に変換し、RDATA（５４）に着信先仮想IPv4アド
レス”ｃ'”を設定したDNS応答をDNSサーバ３ａ経由で端末４ａに送信する（６
６、１１５、１１６）。このとき、γ＋ｃとｃ'の対応付け変換規則を作成し、
トランスレータ１ａに送信する（６７、１１３）。
トランスレータ１ａは、変換規則を変換情報記憶部１１内のVPN＃１変換情報テ
ーブル５１０に記憶し、DNS-ALG２ａに応答を送信する（１１４）。

DNS応答を受信した端末４ａは端末４ｃへ向けてIPパケットの送信を始める。
これらのパケットの着信先アドレスはc'、送信元アドレスは端末のIPv4アドレス
aである（１３１）。

トランスレータ１ａは、このパケットが到着するとデータパケット変換・処理
部１３に送る。ここでは、変換情報記憶部１１にデータを受信した回線の番号と
着信先アドレスc'で検索をかける。すると、ステップ１１３で準備したエントリ
が変換情報テーブル５１０に見つかるため、着信先アドレス“ｃ'”を“γ＋C”
に変換する。送信元アドレスは、データを受信した回線番号に対応する仮想的な
IPv6プレフィックスαを付加した「送信元仮想IPv6アドレス」“α＋ａ”に書き
換える（１３２）。トランスレータ１ａは着信先アドレスに“γ＋ｃ”、送信元
アドレスに“α＋ａ”をそれぞれ設定したパケットを送信する（１３３）。
トランスレータ１ｂはこのパケットをデータパケット変換・処理部１３に送る。
ここでは、着信先アドレスから仮想IPv6プレフィックスγを削除する。送信元ア
ドレス“α＋ａ”をVPN５ｃの内部で一意に識別するため、IPv4アドレス“ａ１'
”に変換する。このIPv4アドレスは、送信元アドレス“α＋ａ”に対する仮想的
なアドレスで、VPN５ｃの内部で使用されていないIPアドレスの集合から選ぶ。
以降、このアドレスを「送信元仮想IPv4アドレス」と呼ぶ。

トランスレータ１ｂは、“α＋ａ”と“ａ１'”の対応付け変換規則を作成し
、変換情報記憶部１１のVPN＃３変換情報テーブル５３０に記憶する（１３４）
。
端末４ｃが着信先アドレスに“ｃ”、送信元アドレスに“ａ１'”を設定したパ
ケットを受信する（１３５）。端末４ｃは、端末４ａへ向けて着信先アドレス“
ａ１'”、送信元アドレス“ｃ”を設定したIPパケットを送信する（１３６）。
トランスレータ１ｂではこのパケットが到着するとデータパケット変換・処理部
１３に送る。ここでは、変換情報記憶部１１にデータを受信した回線の番号と着
信先アドレス“ａ１'”で検索をかける。すると、ステップ１３４で準備したエ
ントリが変換情報テーブル５３０に見つかるため、着信先アドレスを“ａ１'”
を“α＋ａ”に変換する。送信元アドレスは、データを受信した回線番号に対応
する仮想的なIPv6プレフィックスγを付加した送信元仮想IPv6アドレス“γ＋ｃ
”に書き換える（１３７）。トランスレータ１ｂは着信先アドレスに“α＋ａ”
、送信元アドレスに“γ＋ｃ”を設定したパケットを送信する（１３８）。

トランスレータ１ａは、このパケットが到着するとデータパケット変換・処理
部１３に送る。ここで、着信先アドレスから仮想IPv6プレフィックスαを削除す
る。変換情報記憶部１１に着信先アドレスの仮想IPv6プレフィックス“α”と送
信元アドレス“γ＋c”で検索をかける。すると、さきに準備したエントリが変
換情報テーブル５１０に見つかるため、送信元アドレスを“γ＋ｃ”から“c'”
に変換する（１３９）。

端末４ａは着信先アドレスに“ａ”、送信元アドレスに“ｃ'”を設定したパ
ケットを受信する（１４０）。

本発明の実施の形態によれば、トランスレータ１とDNS-ALG２が連携し、IP網6
の仮想IPv6プレフィックスを活用することにより、プライベートIPv4アドレスを
有するVPN間で相互通信を行うことが可能になる。

本発明の第２の実施の形態を図面を用いて説明する。

図１６は、本発明の第2の実施例の網構成を示す。図１と比較すると、図１６
の網構成は「VPN５のDNSサーバ３とDNS-ALG２の通信がトランスレータ１を経由
する」こと、「VPNの相互通信において、DNS-ALG２が次に問い合わせるDNSサー
バに、上記DNS-ALG２内の別IPv6アドレスが設定されている」ことを特徴とする
。

本実施例において、DNS-ALG２は、トランスレータ１に接続されるVPN対応にIP
v6アドレスを有するマルチホームノードである。本実施例におけるDNS-ALG２ａ
は、次に問い合わせるDNSサーバがDNS問い合わせを送信したVPNに存在しない場
合は、次に問い合わせるDNSサーバのアドレス情報として、DNS-ALG２ａの他のIP
v6アドレスが記憶されている。次に問い合わせるDNSサーバがDNS問い合わせを送
信したVPN内に存在する場合は、次に問い合わせるDNSサーバのアドレス情報とし
て、そのVPN内に存在するDNSサーバの仮想IPv6アドレスが記憶されている。この
仮想IPv6アドレスは、“仮想プレフィックス＋各VPNにおいて、DNSサーバに割り
当てられたIPv4アドレス”で構成される。

本実施例におけるトランスレータ１は、VPN毎のDNS-ALGアドレス変換情報と、
DNSのメッセージを含むパケットを監視する機能と、DNSのメッセージを含むパケ
ットのアドレス変換機能をさらに備える。VPN毎のDNS-ALGアドレス変換情報は、
VPN対応にDNS-ALGのIPv6アドレスとVPNの内部でDNS-ALGを識別するためDNS-ALG
に割り当てられた仮想IPv4アドレスとの対応関係を管理する。

図１７と図１８に示すシーケンスに従って、図１６のVPN５ａに存在する端末
４ａがVPN５ｂに存在する端末４ｂと通信する場合について説明する。VPN５ａと
VPN５ｂは、トランスレータ１ａに接続される。VPN５ａとトランスレータ１ａの
間で送受信するパケットのアドレス変換と、VPN５ｂとトランスレータ１ａの間
で送受信するパケットのアドレス変換は、トランスレータ１ａで行われる。
図１７と図１８において、VPN５ａとトランスレータ１ａの間のアドレス変換機
能をTR-O、VPN５ｂとトランスレータ１ａの間のアドレス変換機能をTR-Tと記載
する。

図１４と図１７の主な差分は、「トランスレータ１ａがDNSのメッセージを含
むパケットのアドレスを変換する」ことと、「DNS-ALG２ａのIPv6アドレスがVPN
毎に異なる」ことである。

以下、図１７と図１８について、詳細に説明する。端末４ａは端末４ｂの名前
(hostＢとする)を解決するためにDNSサーバ３ａに対してDNS問い合わせを行う（
１５１）。DNSサーバ３ａ（IPv4アドレス“da4”）は、この名前hostＢに対応す
るIPアドレスを知らないため、次のDNSサーバ（DNS-ALG２ａ、仮想IPv4アドレス
“pa4”）に対してDNS問い合わせを行う（１５２）。

トランスレータ１ａのTR-Oは、DNSのメッセージを含むパケットを検出し、パ
ケットを変換する（１５３）。着信先アドレスは、トランスレータ１ａが備える
DNS-ALGアドレス変換情報を用いて、DNS-ALG２ａのVPN５a用のIPv6アドレス”α
６”に変換する。送信元アドレスは、仮想プレフィックス管理テーブル300を参
照し、VPN５ａ用の仮想IPv6プレフィックス“α”を付加する。トランスレータ
１ａのTR-Oは、アドレスを変換したDNS問い合わせパケットをDNS-ALG２ａに送信
する（１５４）。

DNS-ALG２ａは、名前hostＢに対するIPアドレスを知らない場合、前記処理ル
ーチン６０により、DNS問い合わせを変換し（１５５）、DNS問い合わせを転送す
る（１５６）。DNS問い合わせの転送先には、DNS-ALG２ａに付与された別のIPv
６アドレス（VPN５ｂ用のIPv6アドレス“β６”）が設定されている。

VPN５ｂ用のIPv6アドレス“β６”宛のDNS問い合わせを受信したDNS-ALG２ａ
は、名前hostＢに対するIPアドレスを知らない場合、前記処理ルーチン６０によ
り、変換したDNS問い合わせを次のDNSサーバ３ｂ（仮想IPv６アドレス“β＋db4
”）に送信する（１５７、１５８）。

トランスレータ１ａのTR-Tは、DNSのメッセージを含むパケットを検出し、パ
ケットを変換する（１５９）。着信先アドレスから、仮想プレフィックスβを削
除する。送信元アドレスは、トランスレータ１ａが備えるDNS-ALGアドレス変換
情報を用いて、VPN5b用のDNS-ALG2aのIPv6アドレス“β６”に対する仮想IPv4ア
ドレス“pb4”に変換する。トランスレータ１ａのTR-Tは、アドレスを変換した
パケットをDNSサーバ３ｂに送信する（１６０）。

DNSサーバ３ｂは、名前hostBに対するIPv4アドレス“ｂ”を応答する（１６１
）。トランスレータ１ａのTR-Tは、DNSのメッセージを含むパケットを検出し、
パケットを変換する（１６２）。送信元アドレスに、VPN５ｂに対応する仮想プ
レフィックスβを付加する。着信先アドレスは、トランスレータ１ａが備えるDN
S-ALGアドレス変換情報を用いて“pb4”から“β６”に変換する。トランスレー
タ１ａのTR-Tは、アドレスを変換したパケットをDNS-ALG２ａに送信する（１６
３）。

DNS-ALG２ａは、名前hostBに対するIPv4アドレス“ｂ”に仮想プレフィックス
βを付加し、“β＋ｂ”に書き換える（１６４）。

DNS-ALG２ａは、DNS-ALG２ａのVPN５ａ用のIPv6アドレス“α６”宛に、RDATA
に“β＋ｂ”を設定したDNS応答を送信する（１６５）。

DNS応答を受信したDNS-ALG２ａは、以後の変換のためにIPv6アドレス“β＋ｂ
”を着信先仮想IPv4アドレス“ｂ'”に変換する（１６６）。このIPv4アドレス
は名前hostＢに対する仮想的なアドレスで、VPN５ａで使用されていないIPアド
レスの集合から選ぶ。

DNS-ALG２ａは、DNSサーバ３ａ経由で端末４ａに名前hostBに対する着信先仮
想IPv4アドレス“ｂ'”を送信する（１６９、１７１、１７２）。トランスレー
タ１ａはDNS応答１６９を検出すると、パケットを変換する（１７０）。着信先
アドレスから、仮想プレフィックスαを削除する。送信元アドレスは、トランス
レータ１ａが備えるDNS-ALGアドレス変換情報を用いて“α６”から“pa4”から
に変換する。トランスレータ１ａのTR-Oは、アドレスを変換したパケットをDNS
３ａに送信する（１７１）。

DNS-ALG２ａは、“β＋ｂ”と“ｂ'”の対応付け変換規則を作成し、トランス
レータ１ａに送信する（１６７）。トランスレータ１ａは、変換規則を変換情報
記憶部１１のVPN＃１変換情報テーブル５１０に記憶し、DNS-ALG２ａに応答を送
信する（１６８）。

図１５と図１８の主な差分は、「トランスレータ１は、着信先アドレスと送信
元アドレスの変換を行い（１８２）、パケットをトランスレータ内でルーティン
グし（１８４）、再び着信先アドレスと送信元アドレスの変換を行う（１８５）
」ことである。

端末４ａは端末４ｂへ向けてIPパケットの送信を始める。これらのパケットの
着信先アドレスはｂ'、送信元アドレスは端末のIPv4アドレスａである（１８１
）。

トランスレータ１ａは、このパケットが到着するとデータパケット変換・処理
部１３に送る。ここでは、変換情報記憶部１１にデータを受信した回線の番号と
着信先アドレスb'で検索をかける。すると、ステップ１６７で準備したエントリ
が変換情報テーブル５１０に見つかるため、着信先アドレスを“ｂ'”を“β＋
ｂ”に変換する。送信元アドレスには、データを受信した回線番号に対応する仮
想的なIPv6プレフィックスαを付加する（１８２）。

トランスレータ１ａは着信先アドレスに“β＋ｂ”、送信元アドレスに“α＋
ａ”を設定したパケットを送信する（１８３）。このパケットは、トランスレー
タ１ａ内でルーティングされる（１８４）。

トランスレータ１ａは、このパケットをデータパケット変換・処理部１３に送
る。ここでは、着信先アドレスから仮想IPv6プレフィックスβを削除する。トラ
ンスレータ１ａは、送信元アドレス“α＋ａ”をIPv4アドレス“ａ'”に変換す
る。このIPv4アドレスは、IPv6アドレス“α＋ａ”に対する仮想的なアドレスで
、VPN５ｂで使用されていないIPアドレスの集合から選ぶ。

トランスレータ１ａは、“α＋ａ”と“ａ'”の対応付け変換規則を作成し、
変換情報記憶部１１のVPN＃２変換情報テーブル５２０に記憶する（１８５）。

端末４ｂは、着信先アドレスに“ｂ”、送信元アドレスに“ａ'”を設定した
パケットを受信する（１８６）。

端末４ｂは、端末４ａへ向けて着信先アドレス“ａ'”、送信元アドレス“ｂ
”を設定したパケットを送信する（１８７）。

トランスレータ１ａはこのパケットが到着するとデータパケット変換・処理部
１３に送る。ここで、変換情報記憶部１１にデータを受信した回線の番号と着信
先アドレス“ａ'”で検索をかける。すると、ステップ１８５で準備したエント
リが変換情報テーブル５２０に見つかるため、着信先アドレス “ａ'”を“α＋
ａ”に変換する。送信元アドレスには、データを受信した回線番号に対応する仮
想的なIPv6プレフィックス“β”を付加する（１８８）。

トランスレータ１ａは着信先アドレスに“α＋ａ”、送信元アドレスに“β＋
ｂ”を設定したパケットをトランスレータ１ａ内でルーティングする（１８９、
１９０）。

トランスレータ１ａは、このパケットをデータパケット変換・処理部１３に送
る。着信先アドレス“α＋ａ”から仮想IPv6プレフィックスαを削除する。ここ
で、変換情報記憶部１１に着信先の仮想IPv6プレフィックスαと送信元アドレス
“β＋ｂ”で検索をかけると、さきに準備したエントリが変換情報テーブル５１
０に見つかるため、送信元アドレスを“β＋ｂ”から“ｂ'”に変換する（１９
１）。

端末４ａは着信先アドレスに“ａ”、送信元アドレスに“ｂ'”を設定したパ
ケットを受信する（１９２）。

本発明の実施の形態によれば、トランスレータとDNS-ALGの連携と、仮想IPv6
プレフィックスの活用により、複数のVPNが接続されているトランスレータはア
ドレスが重複する場合であっても、プライベートIPv4アドレスを有する端末を一
意に識別できる。従って、プライベートIPv4アドレスを有するVPN間で相互通信
が可能になる。

また、VPN毎のDNS-ALGを１つの物理装置に縮退することにより、VPN間でDNS-A
LG装置を共有することが可能になる。

本発明の第３の実施の形態を図面を用いて説明する。

図１９は、本発明の第３の実施例の網構成を示す。図１６と比較すると、本実
施例は、「複数のVPNがDNS-ALGを共有する」ことと、「複数のトランスレータが
DNS-ALGを共有する」ことを特徴とする。本実施例におけるDNS-ALG２ａは、ドメ
イン毎に名前解決の転送先を別々に設定する機能を備える。具体的には、次に問
い合わせるDNSサーバのアドレス情報として、各VPNのドメイン名とそのVPNに存
在するDNSサーバの仮想IPv6アドレスの対応関係を管理する。この仮想IPv６アド
レスは、“仮想プレフィックス＋各VPNにおいて、DNSサーバに割り当てられたIP
v4アドレス”で構成する。

DNS-ALG２ａは、処理ルーチン６０のかわりに、名前hostBのQTYPEの値にかか
わらず、“A”及び”AAAA”で名前解決を行う機能を備える。本実施例における
トランスレータ１は、実施例１におけるトランスレータ１の機能に加え、DNS-AL
Gアドレス変換情報と、DNSのメッセージを含むパケットを監視する機能と、DNS
のメッセージを含むパケットのアドレス変換機能を備える。

DNS-ALGアドレス変換情報は、DNS-ALGのIPv6アドレスとVPNの内部でDNS-ALGを
識別するためDNS-ALGに割り当てられた仮想IPv4アドレスとの対応関係を管理す
る。

以下、VPN５ａに存在する端末４ａがVPN５ｂに存在する端末４ｂの名前を解決
する場合について説明する。

本実施例において、トランスレータ１ａはDNS-ALG2aのIPv6アドレス“alg6”
とVPN毎にVPNの内部でDNS-ALGを識別するためにDNS-ALG２ａに割り当てられた仮
想IPv6の対応関係を保持する。

端末４ａは端末４ｂの名前(hostＢとする)のアドレスを得るためにDNS問い合
わせを行う。DNSサーバ３ａは名前hostBを解決できないため、次のDNSサーバ（D
NS-ALG2a）にDNS問い合わせを送信する。このDNS問い合わせのパケットヘッダの
着信先アドレスにはDNS-ALG２ａに対してVPN５ａで割り当てられた仮想IPv4アド
レス“pａ4”が、送信元アドレスにはDNS３ａのIPv4アドレス”da4”が設定され
る。

トランスレータ１ａがこのDNS問い合わせを検出すると、DNS-ALGアドレス変換
情報を参照して着信先アドレスを“pa４”からDNS-ALG2aのIPv6アドレス“alg6
”に変換する。送信元アドレスには、VPN5a用のIPv6プレフィックスαを付加し
、“α＋da4”に書きかえる。

上記DNS問い合わせを受信したDNS-ALG２ａは、名前hostＢに対するIPアドレス
を知らない場合、次のDNSサーバに問い合わせる。ここで、名前hostBを解決する
ために、次に問い合わせるべきDNSサーバとして、仮想IPv6アドレス“β+db４”
が設定される。“β+db４”は、VPN５ｂのDNSサーバ３ｂの仮想IPv6アドレスで
ある。

DNS-ALG２ａは、DNS問い合わせをDNSサーバ３ｂに送信し、応答を待つ。このD
NS問い合わせの送信元アドレスにはDNS-ALG2aのIPv6アドレス“alg6”が、着信
先アドレスには“β+db４”が設定される。

トランスレータ１ａは、上記DNS問い合わせのパケットを検出し、VPN毎のDNS-
ALGアドレス変換情報を用いて送信元アドレスを、DNS-ALG2aのIPv6アドレス“al
g6”をVPN5b内でDNS-ALG2aを識別する仮想IPv4アドレス“pb4”に変換する。着
信先アドレスはプレフィックスβを削除し、“β+db４”から“db４”に書き換
える。

DNSサーバ３ｂは、DNS-ALG２ａに、名前hostBに対するIPv4アドレス“ｂ”を
応答する。

DNS-ALG２ａは、以後の変換のためにIPv4アドレス“ｂ”を着信先仮想IPv6ア
ドレス “β＋ｂ”に書き換えたのち、“β＋ｂ”を着信先仮想IPv4アドレス“
ｂ'”に変換する。上記IPv4アドレス“ｂ'”は名前hostＢに対する仮想的なアド
レスで、VPN５ａで使用されていないIPアドレスの集合から選ぶ。

DNS-ALG２ａは、DNSサーバ３ａ経由で端末４ａに名前hostBに対する着信先仮
想IPv4アドレス“ｂ'”を送信する。

以降の処理の流れは、第２の実施例と同じである。

本発明の実施の形態によれば、DNS-ALG がマルチホームノードでない場合であ
っても、VPN間でDNS-ALGを共用でき、さらにDNS-ALGにおける処理を軽減できる
。

本発明の第４の実施の形態を図面を用いて説明する。

図２０は、本発明の第４の実施例の網構成を示す。図１６と比較すると、図２
０の網構成は、「L2SW７がVPN5毎に存在するトランスレータの回線（17a、17b）
を多重する」ことを特徴とする。本実施例におけるL2SW７は、図２１に示すVPN
管理テーブル３２０を備える。

図２１は、VPN管理テーブル３２０のテーブル構成を示す。本テーブルは、MAC
アドレスやIEEE 802.1QのTAG IDに代表されるレイヤ２（L2）情報毎に生成され
た複数のエントリ（３２０−１〜３２０−ｎ）からなる。各エントリは、L2情報
３２１対応に、VPN識別子３２２と、対トランスレータの回線番号３２３を定義
する。

本実施例において、VPN５ａからパケットを受信したL2SW７は、VPN管理テーブ
ル３２０を受信パケットのL2情報（例えば、送信元MACアドレスや、IEEE 802.1Q
のTAG ID）で検索する。L2SW７は、VPN5aに対応する回線１７ａからトランスレ
ータ１ａにパケットを送信する。

本発明の実施の形態によれば、トランスレータが回線対応に収容するVPNをL2S
Wで多重することができる。

本発明の第５の実施の形態を図面を用いて説明する。

図２２は、本発明の第５の実施例の網構成を示す。図１６と比較すると、図２
２の網構成は、「トランスレータ１ａの回線17aに複数のVPN（5a、5b）が収容さ
れる」ことと、「トランスレータ１ａが図９に示す仮想プレフィックス管理テー
ブル３００のかわりに図１０に示す仮想プレフィックス管理テーブル３１０を備
え、L2情報からVPNを識別する」ことを特徴とする。

図１０は、仮想プレフィックス管理テーブル３１０のテーブル構成を示す。本
テーブルは、MACアドレスやIEEE 802.1QのTAG IDに代表されるレイヤ２（L2）情
報毎に生成された複数のエントリ（３１０−１〜３１０−ｎ）からなる。各エン
トリは、L2情報３１１対応に、VPN識別子３１２と、仮想プレフィックス３１３
を定義する。

本実施例において、VPN５ａからパケットを受信したトランスレータ１ａは、
仮想プレフィックス管理テーブル３１０を受信パケットのL2情報（例えば、送信
元MACアドレスやIEEE 802.1Q TAG ID）で検索する。すると、L2情報に対応する
仮想プレフィックスαが仮想プレフィックス管理テーブル３１０に見つかる。ト
ランスレータ１ａは、仮想プレフィックスによりVPNを識別する。

本発明の実施の形態によれば、トランスレータの１つの回線に複数のVPNを収
容できる。

本発明の第１の実施例であるIP網を介したVPNの相互接続構成を示すブロック図。 トランスレータ１の一例のブロック図。 DNS-ALG2の一例のブロック図。 IPv4パケットのフォーマット図。 IPv6パケットのフォーマット図。 DNS問い合わせのフォーマット図。 DNS応答のフォーマット図。 DNS応答の詳細フォーマット図。 トランスレータ１が備える仮想プレフィックス管理テーブルのテーブル図。 本発明の第５の実施例において、トランスレータ１が備える仮想プレフィックス管理テーブルのテーブル図。 トランスレータ１が備える変換情報テーブルのテーブル図。 DNS-ALG２が備えるDNSメッセージ変換処理ルーチンの流れ図。 DNS-ALG２が備えるDNSメッセージ変換処理ルーチンの流れ図。 本発明の第１の実施例における名前解決のシーケンス図。 本発明の第１の実施例におけるVPNが相互通信する場合のシーケンス図。 本発明の第２の実施例であるトランスレータに複数のVPNが接続される場合の網構成を示すブロック図。 本発明の第２の実施例における名前解決のシーケンス図。 本発明の第２の実施例におけるVPNが相互通信する場合のシーケンス図。 本発明の第３の実施例である複数のVPNが１つのDNS-ALG装置を利用する場合の網構成を示すブロック図。 本発明の第４の実施例であるL2SW７がVPNを多重する場合の網構成を示すブロック図。 本発明の第４の実施例において、L2SW７が備えるVPN管理テーブルのテーブル図。 本発明の第５の実施例であるトランスレータ１がL2情報を活用してVPNを識別する場合の網構成を示すブロック図。

符号の説明

1 トランスレータ、2 DNS-ALG、3 VPN5が備えるDNSサーバ、4 VPNの端末、5 VPN
、6 IP網、7 L2SW、8 IP網6が備えるDNSサーバ、31 送信元IPv4アドレス、32 着
信先IPv4アドレス、33 IPv4ペイロード、34 送信元IPv6アドレス、35 着信先IPv
6アドレス、36 IPv6ペイロード、41 DNSメッセージヘッダ部、42 DNS問い合わせ
部、43 DNS応答部、60 DNS変換処理ルーチン。

Claims (5)

1. 第１の網と、前記第１の網と通信可能な第２の網と、前記第２の網と通信可能な第３の網と、前記第１の網と前記第２の網とを接続する第１のアドレス変換装置と、前記第２の網と前記第３の網とを接続する第２のアドレス変換装置とを有し、
   前記第１のアドレス変換装置は、前記第１の網で使われているアドレスに前記第１の網を示すプレフィックスを付加した第１仮想アドレスを設定した通信パケットを、前記第２の網を介して前記第２のアドレス変換装置に送り、
   前記第２のアドレス変換装置は、前記第１仮想アドレスを設定した通信パケットを、前記第１仮想アドレスを前記第３の網で使われていないアドレスである第２仮想アドレスに変換して、前記第３の網に送り、
   前記第１仮想アドレスと前記第２仮想アドレスとの対応情報を記憶することを特徴とする情報網。
2. 前記第３の網から送られてきた上記第２仮想アドレスが設定された通信パケットを、上記対応情報に基づいて、前記第２のアドレス変換装置は、前記第１仮想アドレスに変換し、前記第１のアドレス変換装置は、前記第１仮想アドレスから前記プレフィックスを削除して、前記第１の網に送ることを特徴とする請求項１に記載の情報網。
3. 前記第１の網及び前記第３の網は第１プロトコルに従い、前記第２の網は第２プロトコルに従うことを特徴とする請求項１に記載の情報網。
4. 第１の網と第２の網との間に配置され、前記第１の網と前記第２の網の間の通信を仲介する通信装置であって、
   前記第１の網から送られる前記第１の網で使われる元アドレスが設定された通信パケットを受信し、前記元アドレスにプレフィックスを付加した第１仮想アドレスを生成し、前記第１仮想アドレスが設定された通信パケットを前記第２の網に送り、
   前記第２の網から送られる前記第１仮想アドレスが設定された通信パケットを受信し、前記第１仮想アドレスから前記プレフィックスを削除して前記元アドレスを生成し、前記元アドレスが設定された通信パケットを前記第１の網に送り、
   前記第２の網から送られる通信パケットの第１アドレスを、前記第１の網で使われていない第２アドレスに変換し、前記第２アドレスが設定された通信パケットを前記第１の網に送り、
   前記第１アドレスと前記第２アドレスとの関係を、DNS-ALGから供給される情報に基づいた変換情報として保持し、
   前記第１の網から送られる通信パケットの第２アドレスを、前記変換情報に基づいて前記第１アドレスに変換し、
   前記第１アドレスが設定された通信パケットを、前記第１アドレスを前記第２の網に送ることを特徴とする通信装置。
5. 前記第１の網は第１プロトコルに従い、前記第２の網は第２プロトコルに従い、
   前記DNS-ALGは、前記第１プロトコルと前記第２プロトコルとの変換に必要な情報を管理することを特徴とする請求項４に記載の通信装置。

Images