WO2003098880A1 - Dispositif de retransmission de reseau, procede de retransmission de reseau et programme de retransmission de reseau - Google Patents

Dispositif de retransmission de reseau, procede de retransmission de reseau et programme de retransmission de reseau Download PDF

Info

Publication number
WO2003098880A1
WO2003098880A1 PCT/JP2002/004843 JP0204843W WO03098880A1 WO 2003098880 A1 WO2003098880 A1 WO 2003098880A1 JP 0204843 W JP0204843 W JP 0204843W WO 03098880 A1 WO03098880 A1 WO 03098880A1
Authority
WO
WIPO (PCT)
Prior art keywords
network
vlan tag
address
communication
bucket
Prior art date
Application number
PCT/JP2002/004843
Other languages
English (en)
French (fr)
Inventor
Tetsuya Okano
Akira Takeyama
Toshihiko Naritomi
Original Assignee
Fujitsu Limited
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Limited filed Critical Fujitsu Limited
Priority to JP2004506249A priority Critical patent/JP3917622B2/ja
Priority to PCT/JP2002/004843 priority patent/WO2003098880A1/ja
Publication of WO2003098880A1 publication Critical patent/WO2003098880A1/ja
Priority to US10/957,593 priority patent/US7450584B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H04L12/4645—Details on frame tagging
    • H04L12/4666—Operational details on the addition or the stripping of a tag in a frame, e.g. at a provider edge node
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2514—Translation of Internet protocol [IP] addresses between local and global IP addresses

Definitions

  • the present invention relates to a relay technology and a security technology for a communication network, and a technology for constructing a service providing environment.
  • the present invention relates to a network relay device, a network relay method, and a network relay program that are excellent in application to an apparatus and an authentication apparatus that performs user authentication. Background art
  • VLAN Virtual Local Area Network
  • L2TP Layer 2 Tunneling Protocol
  • Fig. 12 shows an example in which security is ensured by using a VLAN.
  • network 1a and network 1b are different networks, a communication bucket from user terminal 12a is output from network 1a, and a communication packet from user terminal 12b is output from network 1b. Is done.
  • the illustrated relay device 19 relays communication from the connected networks 1a and 1b.
  • the relay device 19 is generally a switching hub or the like compatible with a VLAN, and has a function of accommodating a bucket input from a specific port in the set VLAN.
  • the bucket input from network 1a is contained in virtual network 5a.
  • the bucket input from network 1b is accommodated in virtual network 5b. With such a technology, mutual access between the network 1a and the network 1b is not performed, and a communication bucket can be transmitted to the external network 10 via the external connection network 18a or 18b. .
  • FIG. 13 is an example in which security is ensured using L2TP.
  • the relay device 20 is generally a server or a switch compatible with L2TP, and encapsulates a bucket input according to preset conditions to form a predetermined external connection network (1).
  • packets input from network 1a are transferred to external connection network 18a using layer 2 tunneling 2 1a
  • packets input from network 1b are transferred to layer 2 Forwarding to external connection network 18b using tunneling 21b.
  • mutual access between the network 1a and the network 1b is not performed, and it becomes possible to transmit a communication bucket to the external network 10 via the external connection networks 18a and 18b.
  • BAS Broadband Access Server
  • PPPoE PPP over Ethernet
  • MAC address Media Access Control address
  • ISPs and the like VLANs and tunneling protocols.
  • FIG. 14 is a diagram showing a method for temporarily returning to a state in which security is not ensured.
  • the router 22 routes from the VLAN to the network 23 in order to access the device 6 which is the common access destination from the VLAN. In this state, the security of the virtual networks 5a and 5b cannot be maintained.
  • FIG. 15 is a diagram showing a method of preparing a plurality of security-compatible interfaces corresponding to addresses of respective networks on a common device.
  • the device 6 is equipped with an interface 24a for the virtual network 5a and an interface 24b for the virtual network 5b so that the device 6 which is the common access destination can be accessed from the VLAN.
  • the configuration is as follows. In this case, the interfaces 24a and 24b need to be assigned addresses belonging to the virtual networks 5a and 5b.
  • a DNS (Domain Name System) server (not shown) that returns a different address for each input network is required.
  • a method of deploying a DNS server for each ISP is also conceivable, but is not practical.
  • FIG. 16 is a diagram showing a method of accessing via an external network.
  • the address of the device 6 which is a common access destination is different from the case of FIG. 15 and is independent of the input network and becomes one.
  • the communication packet flows on a useless route. In other words, unnecessary traffic is generated and the throughput is reduced. If this method is applied to a wholesale business, the quality of service cannot be maintained because it is through a low-quality external network unlike a network within a wholesale business that is composed of high-speed lines.
  • the present invention has been made to solve such a problem, and a network relay device, a network relay method, and a network that enable access to a common device while maintaining network security.
  • Provide a relay program The porpose is to do. Disclosure of the invention
  • the VLAN tag processing means is constituted by a VLAN tag adding unit or a VLAN tag rewriting unit of the relay device
  • the first address conversion means is constituted by an address conversion unit
  • the first output means includes an input / output unit.
  • the predetermined information is stored in the storage unit of the relay device.
  • the VLAN tag processing means may include a VLAN tag for adding a predetermined VLAN tag to the input communication packet. It has tag adding means.
  • the V LAN tag adding unit corresponds to a V LAN tag adding unit.
  • the VLAN tag processing means when a source network of the input communication packet is a virtual network using a VLAN tag, There is provided first VLAN tag rewriting means for rewriting a VLAN tag which is already attached to a predetermined VLAN tag.
  • the VLAN tag to be added to the communication bucket can be made appropriate, thereby ensuring security. Is assured.
  • the first VLAN tag rewriting means corresponds to a VLAN tag rewriting unit or a first VLAN tag rewriting unit.
  • the predetermined information is at least one of information on a source network or a destination of the communication bucket.
  • the VLAN tag adding means transmits the VLAN tag corresponding to the device to the communication device. Append to packet.
  • the first address translation means is provided in a predetermined external device, and further receives the communication packet output by the first output means. And rewriting a VLAN tag already attached to the input communication bucket to a predetermined VLAN tag based on the predetermined information of the communication bucket input by the input means. Second VLAN tag rewriting means, and second output means for outputting, to the predetermined virtual network, a communication bucket subjected to at least one of processing by the VLAN tag processing means or address conversion by the first address conversion means. And the first address conversion means performs a source address conversion on the communication packet input by the input means.
  • the address conversion processing that places a load on the system can be provided externally, and a decrease in the passing performance can be prevented.
  • the input means and the second output means correspond to an input / output unit
  • the second VLAN tag rewriting means corresponds to a VLAN tag rewriting unit or a second VLAN tag rewriting unit.
  • the second address translation means The stage converts a destination of a reply packet to the communication packet into an address before conversion stored in the storage unit.
  • the transmission source address (destination address) is returned to the address before the conversion to return to the original address. Since the packet can be output to the network, the communication packet can be reliably delivered to the source user terminal.
  • the storage means is constituted by a storage unit
  • the second address conversion means is constituted by an address conversion unit.
  • the storage means and the second address conversion means are provided in a predetermined external device.
  • the VLAN tag added in the VLAN tag adding step or the VLAN tag rewriting is rewritten.
  • the VLAN tag converted by the step becomes a VLAN tag corresponding to the device.
  • the first address conversion step when the destination of the communication packet is a device commonly accessed by the plurality of networks, the first address conversion step includes a network corresponding to the device.
  • the source address of the communication bucket is converted to an address that is a source network.
  • the network relay program according to the present invention further comprises: a storage step of storing the address after conversion in the first address conversion step and the address before conversion in a predetermined storage area in association with each other;
  • the computer is caused to execute a second address conversion step of converting the destination of the reply bucket for the communication bucket based on the data stored in the storage area.
  • the medium readable by the computer is a CD-ROM.
  • Portable storage media such as ROMs, flexible disks, DVD disks, magneto-optical disks, IC cards, etc., databases holding computer programs, or other computers and their databases, as well as transmission media over lines It is included.
  • FIG. 1 is a diagram showing an outline of a network relay method according to the first embodiment.
  • FIG. 8 is a diagram schematically showing an outline of the third embodiment.
  • FIG. 9 shows an example of setting information relating to V lan tags and addresses according to the third embodiment.
  • FIG. 12 shows an example of a conventional method in which security is ensured by using a VLAN.
  • Fig. 13 shows an example of a conventional method that uses L2TP to ensure security.
  • FIG. 14 is a diagram showing a method for temporarily returning to a state in which security is not secured in order to enable access to a common device.
  • the VLAN tag adding unit 15 uses the virtual network based on the setting information stored in the storage unit 13. The VLAN tag is determined, and the VLAN tag is added to the communication packet.
  • FIG. 2 is an example of the setting information.
  • the VLAN tag adding unit 15 refers to the record of the input network 1a from FIG. 2 and stores the data stored in the item of "VLAN tag for output network”. (5 a) is obtained. This 5a is added to the communication bucket as a V LAN tag.
  • the VLAN tag conversion unit 17 confirms the destination address of the communication packet, and rewrites the added VLAN tag based on the setting information stored in the storage unit 13.
  • FIG. 3 is an example of the setting information. For example, if the input network of the communication packet is la and the destination address is the address of the device 6 (“6” in FIG. 3), the corresponding record (item 1 in FIG. 3) is read. Refer to and obtain the data (5c) stored in the output network VLAN tag item. The VLAN tag rewriting unit 17 rewrites the VLAN tag to 5c.
  • the destination address 0 shown in the items 2 and 4 in FIG. 3 means any terminal address other than the device 6. When the destination address is 0, the rewriting process is not performed because the VLAN tag attached by the VLAN tag attaching unit 15 can be used as it is.
  • the setting information is not limited to the form shown in FIG.
  • the address conversion unit 16 converts the address before and after the conversion into a different address
  • the correspondence table must be stored internally. When data is no longer needed, such as when all communications are completed or there is an error, the corresponding item in the correspondence table may be deleted.
  • ISP-B is connected to the Internet (external network 10).
  • the wholesale operator has a line connection between the user and ISP-A, ISP-B Is provided.
  • the user terminal 12a of ISP-A and the user terminal 12b of ISP-B have different contracted ISPs, they are in networks with different address systems. Also, due to security issues, it is not possible to have the users of ISP-A and the users of ISP-B on the same network and perform mutual access on the network within the wholesale operator. Therefore, here, the users are accommodated in the virtual networks 5a and 5b for each ISP, and the security of the users is secured.
  • Each of the virtual networks 5a and 513 has a gateway for 13 to 8 and ISP-B, respectively, and is connected to each ISP.
  • FIG. 5 is a diagram schematically showing the present embodiment.
  • the VLAN tag-attached unit 15 of the relay device 7 checks whether or not a VLAN tag has already been added to the input communication packet.
  • Network 2a and 2b in the figure If is a temporary network to which a VLAN tag has already been added, it is assumed that the VLAN tag has been added, and no addition processing is performed.
  • the VLAN tag rewriting unit 17 is used. Rewrite the tag. The rewriting process is rewritten using, for example, the table of FIG. 6 stored in the storage unit 13.
  • VLAN tag is added using the setting information in FIG. 6 stored in the storage unit 13.
  • the VLAN tag rewriting unit 17 checks the already added VLAN tag and rewrites the VLAN tag as appropriate, but it does not send to the common device. If there is no communication packet, it may be output to the same virtual network as the input network (that is, the tag rewriting process is not performed). In this case, FIG. 6 is unnecessary. Of course, it is also possible to convert to a new virtual network. In this case, the VLAN tag rewrites the VLAN tag using FIG. 6 or FIG.
  • the VLAN tag adding unit 15 may arbitrarily determine such a destination virtual network. That is, the communication packet is distributed to the VLAN for each network (communication from the network 2a is distributed to the virtual network 5a, and communication from the network 2b is distributed to the virtual network 5b), and the original virtual network ( 2 a, 2 b) to decide whether to keep them. Furthermore, even if both a real network and a virtual network exist in a network connected to the relay device 7, an appropriate network relay can be performed by using the above-described method.
  • Embodiment 3 In the present embodiment, of the functions of the above-described relay device, the portion having the function of the VLAN tag adding portion and the portion having the functions of the address conversion portion and the VLAN tag rewriting portion are provided as separate devices. The case of network relay will be described as an example.
  • FIG. 8 is a diagram schematically showing the present embodiment.
  • the relay device 7 in FIG. 1 corresponds to the relay device 7a and the address translation device 7b in FIG.
  • the relay device 7a includes an input / output unit 11a, a storage unit 13a, and a VLAN tag adding unit 15.
  • the address conversion device 7b includes an input / output unit 11b, a storage unit 13b, an address conversion unit 16, and a V LAN tag rewriting unit 17.
  • the processing up to the input of the communication bucket from the network 1a or 1b to the relay device 7 is the same as that of the first embodiment, and thus the description is omitted.
  • the V lan tag adding unit 15 adds a V lan tag to the input communication bucket based on the setting information stored in the storage unit 13a.
  • the setting information is the same as in FIG.
  • a communication bucket is output from the input / output unit 11a.
  • the communication bucket output from the relay device 7a is output on the virtual network, and is input to the address translation device 7a at this time. All communication buckets output from the relay device 7a are processed by the address conversion device 7b.
  • the VLAN tag rewriting unit 17 of the address conversion device 7b uses the VLAN tag rewriting unit if the destination of the communication packet is the device 6 that accesses in common. Is rewritten to the virtual network 5c, and the address conversion unit 16 changes the source address to the address of the virtual network 5c.
  • An example of the setting information is shown in FIG. If the destination is not the common device 6, no processing is performed in the address translation device 7b.
  • the communication bucket to the device 6 is separated from other networks as the virtual network 5c, and the device 6 can be accessed from the network 1a or the network 1b. Since the communication bucket from the device 6 to the transmission source returns to the address conversion device 7b, the address conversion unit 16 rewrites the destination to the original transmission source address with reference to the data in FIG. Output to networks 5a and 5b. At this point, the VLA N tag is not deleted.
  • the VLAN tag adding unit 15 deletes the VLAN tag, and communicates from the input / output unit 11a to the original network 1a or 1b. A bucket is output. In this way, by separating the function of the address translator, the passing performance is improved.
  • the present embodiment has substantially the same configuration as that of the third embodiment, but shows a case where the connected network is a virtual network. That is, since the connected network is already a virtual network, communication packets not addressed to a common device can be output to the same virtual network as the input network. Of course, it is possible to convert to a new virtual network.
  • FIG. 10 is a diagram schematically showing the present embodiment.
  • the relay device 7c includes a VLAN tag adding unit 15 and a first VLAN tag rewriting unit 17a.
  • the address translator 7d includes an address translator 16 and a second V LAN tag rewriter 17b. Note that the first VLAN tag rewriting unit 17a and the second VLAN tag rewriting unit 17b perform the same processing as the VLAN tag rewriting unit 17 of the above embodiment.
  • the VLAN tag adding unit 15 of the relay device 7c checks whether or not the input communication bucket has already been added with the VLAN tag. If the networks 2a and 2b in the figure are virtual networks to which a VLAN tag has already been added, it is assumed that a VLAN tag has been added, and no addition processing is performed. Here, when outputting to the same virtual network as the input network, rewriting of the VLAN tag is not performed. However, when outputting to another virtual network, the tag is rewritten by the first VLAN tag rewriting unit 17a. This rewriting process is rewritten using, for example, the table of FIG. 6 stored in the storage unit 13a.
  • V RAN tag is similarly added using the setting information in FIG. 6 stored in the storage unit 13a.
  • the communication bucket is output to the virtual network. Subsequently, the communication packet is input to the address translator 7d, but the subsequent processing is the same as in the third embodiment, and a description thereof will be omitted.
  • the relay device of the above-described embodiment has a user authentication function. That is, the user authentication function is integrated into the relay device, separated and accommodated in the virtual network of the device commonly accessed by the ISP and the organization, and the device can be accessed.
  • FIG. 11 is a diagram schematically showing the present embodiment.
  • the relay device 7e shown in this figure has a configuration in which the authentication unit 14 is added to the relay device 7 shown in the first embodiment.
  • the authentication unit 14 upon receiving connection requests from the connected user terminals 12a and 12b, the authentication unit 14 checks whether connection is possible and handles only communication buckets from terminals that have been authenticated. . Since a communication bucket from a terminal that has been authenticated is accommodated in V lan for each ISP network, V lan tag addition processing and address conversion processing are performed as in the above-described embodiment. Subsequent processing is the same as in the above-described embodiment, and a description thereof will be omitted.
  • the relay device shown in Fig. 11 When applied specifically to wholesale operators, for example, taking the wholesale operator network 30 shown in Fig. 4 as an example, the relay device shown in Fig. 11 is If the relay device 7e is applied, the relay device can directly receive the connection request from the user terminal and perform the authentication operation, so that the communication packet can be immediately accommodated in the virtual network from the user terminal, The load on the input network side is reduced.
  • the authentication unit is incorporated in the relay device.
  • the authentication unit may be provided as an external device and cooperated with the external device.
  • various embodiments of the present invention have been described.
  • the present invention is not limited to the above-described embodiments, and it is needless to say that the present invention can be applied without departing from the gist of the present invention. .
  • the relay device of the present invention has no fixed idea about a network interface or a form, and has a computer having one or a plurality of ports from a form such as a switching hub having one or a plurality of network interfaces. And its software.
  • a program for executing the functions described in detail on a computer is installed in, for example, a storage unit of the relay device, or a process such as downloading from a connected network is performed and executed. You may.
  • a storage medium such as a hard disk provided in the relay device (corresponding to the storage unit in the above-described embodiment) and other computer-readable media such as a CD-ROM and a flexible disk
  • Programs can be downloaded from portable storage media such as DVD discs, magneto-optical discs, IC cards, etc., databases holding computer programs, or databases from other computers and transmission media on the line (all not shown). Acquire and execute it to perform network relay.
  • the relationship between the input / output network and the relay device in the present invention is based on a relationship between a mere hub switch and a bridge, a relationship between a network and a router, and no routing is performed. There is no problem with the relationship. Therefore, the relay function can be implemented in the router.
  • the network interface does not need to pair input and output, and multiple input / output networks are formed on one interface by a virtual network. Is possible.
  • the input network can be not only one or more networks, but also one or more virtual networks, or a mixture of real and virtual networks. If the network can be identified by the identifier, interface, etc., there is no problem even if the address of each input network is duplicated.
  • the output side network can be not only one or more networks, but also one or more virtual networks, or a mixture of real and virtual networks. If the network can be identified by the identifier, interface, etc., there is no problem even if the address of each output network is duplicated. It should be noted that the V RAN distribution can be performed not only for the tag V lan but also for the port V lan. It is also possible to distribute the output to one or more networks without distributing it to V LAN.
  • the present invention it is possible to separately accommodate communication buckets from different networks in an output network that ensures security. Furthermore, in this state, access from each input network to a common device becomes possible, so that multiple networks, such as companies, schools, wholesalers, and ISPs, for which inter-network access is prohibited and security must be ensured In an environment where there is, services can be provided from a common device. In addition, since a common device can be accessed if one address is given, there is an advantage that there is no need to perform complicated settings for one or more DNS servers. Furthermore, since access to the common device is performed directly without passing through an external network, security can be ensured, and a decrease in access quality due to passing through a low-quality external network can be prevented.

Description

明 細 書 ネットワーク中継装置、 ネットワーク中継方法、 ネットワーク中継用プログラム 技術分野
本発明は、 通信ネットワークの中継技術及びセキュリティ技術、 サービス提供 環境構築技術に関し、 特にハブ、 スィッチ、 ブリッジ、 ルータなどのネットヮー ク中継装置、 サービスを提供するサーバ装置、 サービスへのアクセスを振り分け る振り分け装置、 ユーザ認証を行う認証装置への適用に優れたネットワーク中継 装置、 ネットワーク中継方法、 ネットワーク中継用プログラムに関する。 背景技術
企業や学校など組織等の単位毎に複数のネットワークが存在する環境や、 I S P (Internet Services Provider) やホールセール事業者 （自らは I S P事業は 行わないが、 ユーザと I S Pを結ぶ回線を提供する事業者） など、 ユーザや回線 提供先毎に複数のネットワークが存在する環境など、 セキュリティ面などの理由 から異なるネットワーク間で相互にアクセスすることが望ましくない複数のネッ トワークが存在する環境では、 ネットワーク間のセキュリティを確保する為、 V L AN (Virtual Local Area Network, 仮想ネットワーク）の利用や、 L 2 T P ( Layer2 Tunneling Protocol)などに代表されるトンネリングプロトコルの技術が 広く用いられている。
第 1 2図は、 V L ANを用いてセキュリティを確保した例である。 図中のネッ トワーク 1 a及びネットワーク 1 bは異なるネットワークであり、 ユーザ端末 1 2 aからの通信バケツトはネットワーク 1 aから出力され、 ユーザ端末 1 2 bか らの通信パケットはネットワーク 1 bから出力される。 図示される中継装置 1 9 は、 接続されているネットワーク 1 a、 1 bからの通信を中継する。 中継装置 1 9は一般に、 V L ANに対応したスイッチングハブ等であり、 特定ポートから入 力されたバケツトを設定した V L ANに収容する機能を有する。 図に示された例 では、 ネットワーク 1 aから入力されたバケツトを仮想ネットワーク 5 aに収容 し、 ネットワーク 1 bから入力されたバケツトを仮想ネットワーク 5 bに収容し ている。 このような技術によりネットワーク 1 aとネットワーク 1 b間の相互ァ クセスはなされず、 外部接続ネットワーク 1 8 a或いは 1 8 bを介して外部ネッ トワーク 1 0へ通信バケツトを送信することが可能となる。
第 1 3図は、 L 2 T Pを用いてセキュリティを確保した例である。 図中の中,継 装置 2 0は一般に、 L 2 T Pに対応したサーバやスィッチなどであり、 予め設定 された条件により入力されたバケツトをカプセル化して、 予め定められた外部接 続ネットワーク （1 8 a、 1 8 b ) に存在するゲートウェイやサーバ .スィッチ に向けて転送する。 図に示された例では、 ネットワーク 1 aから入力されたパケ ットをレイヤー 2トンネリング 2 1 aを使用して外部接続ネットワーク 1 8 aへ 転送し、 ネットワーク 1 bから入力されたバケツトをレイヤー 2 トンネリング 2 1 bを使用して外部接続ネットワーク 1 8 bへ転送している。 このような技術に よりネットワーク 1 aとネットワーク 1 b間の相互アクセスはなされず、 外部接 続ネットワーク 1 8 a及び 1 8 bを介して外部ネットワーク 1 0へ通信バケツト を送信することが可能となる。
実際、 ホールセール事業者は、 B A S (Broadband Access Server)などを用い 、 P P P o E (PPP over Ethernet)プロトコルなどによる認証や MA Cアドレス (Media Access Control address) による認証、 接続単位に対する I Pァドレス の払い出しなどによって、 ユーザ認証、 ネットワーク接続を行った後、 I S Pな どへ V L A Nやトンネリングプロトコルを使用して接続を行っている。
このように異なるネットワークが存在する環境においては、 上述した技術を用 いてセキュリティが確保されているが、 更に、 ネットワーク間のセキュリティを 保ちつつ、 外部ネットワーク経由など無駄なトラフィックを発生させることなく 、 またアクセス先装置に複数の個別ァドレスを設定するなど複雑な設定を行うこ となく、 共通の装置へのアクセスを可能とする装置や手法が求められている。 ネットワーク間でセキュリティが確保された状態から共通の装置ヘアクセスす る場合、 従来の方法には、 一旦セキュリティが確保されていない状態に戻すか、 共通の装置に各ネットワークのァドレスに対応したセキュリティ対応のインタフ エースを複数用意する方法、 外部ネッ トワークを経由する方法、 各ネットワーク にゲートウェイを設置しァドレス変換を行い共通の装置へアクセスする方法があ る。
第 1 4図は、 一時的にセキュリティが確保されていない状態に戻す場合の手法 を示した図である。 本図では、 共通のアクセス先である装置 6へ V L ANからァ クセスさせるために、 V L ANからネットワーク 2 3へルータ 2 2によってルー ティングを行う場合を示している。 この状態では、 仮想ネットワーク 5 aと仮想 ネットワーク 5 bのセキュリティは保たれないこととなる。
第 1 5図は、 共通の装置に各ネットワークのァドレスに対応したセキュリティ 対応のインタフェースを複数用意する手法を示した図である。 本図では、 共通の アクセス先である装置 6へ V L ANからアクセスさせるために、 装置 6に仮想ネ ットワーク 5 a用のインタフェース 2 4 aと仮想、ネットワーク 5 b用のインタフ エース 2 4 bを装備した構成となっている。 この場合、 インタフェース 2 4 a、 2 4 bには、 仮想ネットワーク 5 a、 5 bに所属するァドレスが割り当てられて いる必要がある。 この構成では、 入力ネットワーク毎に異なるアドレスを返す D N S (Domain Name System)サーバ （図示せず） が必要となる。 しかしながら、 一 般的な D N Sサーバでは問い合わせ元によつて回答するァドレスを変更するのは 困難である。 また、 D N Sサーバを I S P毎に配備する手法も考えられるが現実 的ではない。
第 1 6図は、 外部ネットワークを介してアクセスする手法を示した図である。 この構成では、 共通のアクセス先である装置 6のアドレスは第 1 5図の場合と異 なり、 入力ネットワークとは無関係になり 1つとなる。 しかしながらこの場合、 通信パケットは無駄な経路を流れることとなる。 すなわち、 無駄なトラフィック の発生や、 スループットの低下を発生させることとなる。 本手法をホールセール 事業者に適用する場合、 高速回線で構成されているホールセール事業者内のネッ トワークと異なり、 品質の低い外部ネットワークを介するので、 サービスの品質 が保てなくなる。
本発明は、 そのような問題を解決するためになされたものであって、 ネットヮ ークのセキュリティを保ちつつ、 共通の装置へのアクセスを可能にするネットヮ 一ク中継装置、 ネットワーク中継方法、 ネットワーク中継用プログラムを提供す ることを目的とする。 発明の開示
本発明は、 複数のネットワークと接続されたネットワーク中継装置であって、 前記複数のネットワークのうち、 いずれかのネットワークから通信バケツトが入 力された場合、 該通信パケットの所定の情報に基づいて、 該通信パケットに対し て所定の V L A Nタグに関する処理を行う V L A Nタグ処理手段と、 前記所定の 情報に基づいて、 前記通信バケツトの送信元のァドレスを変換する第 1ァドレス 変換手段と、 少なくとも前記 V L ANタグ処理手段による処理、 或いは前記第 1 ァドレス変換手段によるァドレス変換のいずれかがなされた通信バケツトを所定 の仮想ネットワークに出力する第 1出力手段とを備えてなるネットワーク中継装 置を提供する。
このような構成によれば、 V L ANを使用してネットワーク間のセキュリティ を確保した場合であっても、 通信バケツトに対し V L ANタグについて共通の装 置に対応した処理を行い、 且つ送信元アドレスに対しても適切な処理を実行する ことにより各ネットワークから共通の装置へのアクセスが可能になる。 また、 従 来の方法では、 共通の装置に対してアクセスさせる場合、 共通の装置に複数のィ ンタフエースや複数のネットワークァドレス、 名前解決を行う為に複数の設定を D N Sサーバに行うといった複雑な設定が必要となる力、 外部ネットワークを経 由してのアクセスとなるが、 本発明によれば、 複雑な設定は不要であり、 更に外 部ネットワークを経由することもないため、 無駄なトラフィックの発生や、 スル ープットの低下を防止することが可能となる。
なお、 本発明の実施の形態において、 V L A Nタグ処理手段は、 中継装置の V L A Nタグ付加部或レ、は V L A Nタグ書換部により構成され、 第 1アドレス変換 手段は、 ア ドレス変換部により構成され、 第 1出力手段は、 入出力部により構成 される。 また、 実施の形態において、 所定の情報は、 中継装置の記憶部内に格納 される。
更に、 本発明に係るネットワーク中継装置において、 前記 V L ANタグ処理手 段は、 前記入力された通信パケットに、 所定の V L ANタグを付加する V L AN タグ付加手段を備えてなる。
このような構成によれば、 仮想ネットワークに対応していないネットワークか らの通信パケットであっても、 VLANタグを付加することにより、 仮想ネット ワークに出力することができるため、 セキュリティを確保しつつ、 共通の装置へ のアクセスが可能となる。 本発明の実施の形態において、 V LANタグ付加手段 は、 V LANタグ付加部に相当する。
また、 本発明に係るネットワーク中継装置において、 前記 VLANタグ処理手 段は、 前記入力された通信パケットの送信元ネットワークが、 VLANタグを用 いた仮想ネットワークである場合に、 前記入力された通信パケットに既に付カロさ れている VLANタグを所定の VLANタグに書き換える第 1 VLANタグ書換 手段を備えてなる。
このような構成によれば、 入力ネットワークが通常のネットワークである力仮 想ネットワークであるかに関わらず、 通信バケツ卜に付加すべき VLANタグを 適切なものとすることができるため、 セキュリティの確保が確実になる。 なお、 本発明の実施の形態において、 第 1 VLANタグ書換手段は、 VLANタグ書換 部或いは第 1 VLANタグ書換部に相当する。
更に、 本発明に係るネットワーク中継装置において、 前記所定の情報は、 少な くとも前記通信バケツトの送信元ネットワーク或いは宛先に関する情報のいずれ かである。
このような構成によれば、 通信バケツ卜の宛先が共通にアクセスする装置であ るか否かに応じて、 VLANタグを付加或いは書き換えることができるため、 確 実に共通の装置にアクセスすることが可能となる。
また、 本発明に係るネットワーク中継装置において、 前記 VLANタグ付加手 段は、 前記通信バケツトの宛先が前記複数のネットワークにより共通にアクセス される装置である場合、 該装置に対応する VLANタグを前記通信パケットに付 加する。
このような構成によれば、 共通の装置を収容する仮想ネットワークのタグを、 通信バケツ卜に付加することができるため、 セキュリティを確保しつつ確実に通 信バケツトを共通の装置へ送信することが可能となる。 更に、 本発明に係るネットワーク中継装置において、 前記第 1アドレス変換手 段は、 前記通信バケツトの宛先が前記複数のネットワークにより共通にアクセス される装置である場合は、 該装置に対応するネットワークを送信元ネットワーク としたァドレスに前記通信バケツ卜の送信元のァドレスを変換する。
このような構成によれば、 通信パケットの送信元のアドレスを、 共通の装置を 収容する仮想ネットワークのァドレスとすることができるため、 セキュリティを 確保しつつ確実に共通の装置ヘアクセスすることが可能となる。
また、 本発明に係るネットワーク中継装置において、 前記第 1アドレス変換手 段は、 所定の外部装置内に設けられ、 該外部装置には更に、 前記第 1出力手段に より出力された通信パケットを入力する入力手段と、 前記入力手段により入力さ れた通信バケツトの前記所定の情報に基づいて、 前記入力された通信バケツ卜に 既に付カ卩されている V L ANタグを所定の V L ANタグに書き換える第 2 V L A Nタグ書換手段と、 少なくとも前記 V L A Nタグ処理手段による処理、 或いは前 記第 1ァドレス変換手段によるァドレス変換のいずれかがなされた通信バケツト を前記所定の仮想ネットワークに出力する第 2出力手段とを備え、 前記第 1アド レス変換手段は、 前記入力手段により入力された通信パケットに対して、 送信元 ァドレス変換を行う。
このような構成によれば、 システムに負荷のかかるァドレス変換処理を外付け にすることができ、 通過性能低下を防止することができる。 特に大規模ネットヮ ークの接続点においては、 髙通過性能が要望されるため、 その点で本構成は非常 に有効である。 また、 ネットワークの高速化にも十分対応できる。 なお、 本発明 の実施の形態において、 入力手段及び第 2出力手段は入出力部に相当し、 第 2 V L A Nタグ書換手段は V L A Nタグ書換部或レ、は第 2 V L A Nタグ書換部に相当 する。
更に、 本発明に係るネットワーク中継装置において、 前記第 1アドレス変換手 段による変換後のァ ドレス及び変換前のァドレスを対応付けて記憶する記憶手段 と、 前記記憶手段に記憶されたデータに基づいて、 前記通信パケットに対する返 信バケツトの宛先を変換する第 2アドレス変換手段を備えてなる。
また、 本発明に係るネットワーク中継装置において、 前記第 2アドレス変換手 段は、 前記通信パケットに対する返信パケッ トの宛先を、 前記記憶手段に記憶さ れた変換前のァドレスに変換する。
このような構成によれば、 通信バケツ卜の送信元のユーザ端末に対して共通の 装置から通信パケットを送信する場合に、 送信元アドレス （宛先アドレス） を変 換前のアドレスに戻して元のネットワークに出力することができるため、 確実に 送信元のユーザ端末に通信パケットを届けることができる。 なお、 本発明の実施 の形態において、 記憶手段は記憶部により構成され、 第 2アドレス変換手段は、 ァドレス変換部により構成される。
更に、 本発明に係るネットワーク中継装置において、 前記記憶手段と前記第 2 ァドレス変換手段は所定の外部装置内に設けられている。
このような構成によれば、 システムに負荷の係るァドレス変換処理を外付けに することができ、 通過性能低下を防止することができる。 特に大規模ネットヮー クの接続点においては、 高通過性能が要望されるため、 その点で本構成は非常に 有効である。 また、 ネットワークの高速化にも十分対応できる。
また、 本発明に係るネットワーク中継装置において、 前記複数のネットワーク は、 仮想ネットワークを含む。
このような構成によれば、 実ネッ トワーク及び仮想ネットワークを問わず、 様々なネットワークに柔軟に対応してセキュリティ確保の処理及び共通装置への アクセスのためのタグ処理或いはァドレス変換処理を円滑に行うことができ、 汎 用性が高い。
また、 本発明に係るネットワーク中継装置において、 更に、 前記複数のネット ワークのうち、 いずれかのネットワークから通信パケットが入力された場合、 該 通信バケツトの送信元のユーザを送信元ネットワーク毎に認証する認証手段を備 え、 前記第 1出力手段は、 前記認証手段により認証された場合にのみ、 前記通信 パケットを出力する。
このような構成によれば、 ネットワーク中継装置がユーザ端末から直接接続要 請を受信して認証作業を行うことができるため、 通信バケツトをユーザ端末から 即座に仮想ネットワークに収容させることができ、 入力ネットワーク側の負荷が 軽くなる。 例えば、 ホ一ルセール事業者などでは、 従来よりユーザ認証機能を統 合することにより認証時から一貫してセキュリティを確保しているが、 共通の装 置へアクセスする場合、 従来はネットワーク毎に共通の装置にインタフェースを 確保するなどの手法を取るか、 確保したセキュリティをー且解除する必要があつ た。 本構成をとることにより、 そうした問題は解決され、 セキュリティ確保及び 共通の装置へのアクセスをより容易に実現することができる。 なお、 本発明の実 施の形態において、 認証手段は認証部に相当する。
また、 本発明は、 複数のネットワークのうち、 いずれかのネットワークから通 信パケットが入力された場合、 該通信パケットの所定の情報に基づいて、 該通信 前記通信パケットに既に V L ANタグが付加されている場合に、 前記所定の情報 に基づレ、て該 V L A Nタグを書き換える V L A Nタグ書換ステツプと、 前記所定 の情報に基づいて、 前記通信バケツトの送信元のァドレスを変換する第 1ァドレ ス変換ステップと、 少なくとも前記 V L A Nタグ付加ステップ、 前記 V L ANタ グ書換ステップ、 或いは前記ァドレス変換ステップのいずれかのステップにおけ る処理がなされた通信バケツトを所定の仮想ネットワークに出力する出カステツ プとを備えてなるネットワーク中継方法を提供する。
更に、 本発明に係るネットワーク中継方法において、 前記通信パケットの宛先 が前記複数のネットワークにより共通にアクセスされる装置である場合、 前記 V L A Nタグ付加ステップにより付加された V L A Nタグ、 或いは前記 V L A Nタ グ書換ステップにより変換された V L ANタグは、 該装置に対応する V L ANタ グとなる。
更に、 本発明に係るネットワーク中継方法において、 前記第 1アドレス変換ス テツプは、 前記通信バケツトの宛先が前記複数のネットワークにより共通にァク セスされる装置である場合は、 該装置に対応するネットワークを送信元ネットヮ —クとしたァドレスに前記通信バケツ卜の送信元のァドレスを変換する。
また、 本発明に係るネットワーク中継方法は、 更に、 前記第 1アドレス変換ス テツプによる変換後のァドレス及び変換前のァドレスを対応付けて所定の記憶領 域に記憶する記憶ステップと、 前記通信バケツトに対する返信バケツトを入力し た場合、 前記記憶領域に記憶されたデータに基づいて、 前記通信パケットに対す る返信バケツトの宛先を変換する第 2アドレス変換ステップを備えてなる。
また、 本発明は、 コンピュータにより読取り可能な媒体に記憶され、 ネットヮ ーク中継処理をコンピュータに実行させるネットワーク中継用プログラムであつ て、 複数のネットワークのうち、 いずれかのネットワークから通信パケットが入 力された場合、 該通信パケットの所定の情報に基づいて、 該通信パケットに対し トに既に V L A Nタグが付加されている場合に、 前記所定の情報に基づいて該 V L ANタグを書き換える V L A Nタグ書換ステツプと、 前記所定の情報に基づレヽ て、 前記通信バケツトの送信元のァドレスを変換する第 1アドレス変換ステップ と、 少なくとも前記 V L A Nタグ付加ステップ、 前記 V L A Nタグ書換ステップ、 或いは前記ァドレス変換ステツプのレ、ずれかのステツプにおける処理がなされた 通信バケツトを所定の仮想ネットワークに出力する出力ステップとをコンビユー タに実行させるネットワーク中継用プログラムを提供する。
更に、 本発明に係るネットワーク中継用プログラムにおいて、 前記通信バケツ トの宛先が前記複数のネットワークにより共通にアクセスされる装置である場合、 前記 V L A Nタグ付加ステップにより付加された V L A Nタグ、 或いは前記 V L A Nタグ書換ステツプにより変換された V L A Nタグは、 該装置に対応する V L A Nタグとなる。
更に、 本発明に係るネットワーク中継用プログラムにおいて、 前記第 1ァドレ ス変換ステップは、 前記通信パケットの宛先が前記複数のネットワークにより共 通にアクセスされる装置である場合は、 該装置に対応するネットワークを送信元 ネットワークとしたァドレスに前記通信バケツトの送信元のァドレスを変換する。 また、 本発明に係るネットワーク中継用プログラムは、 更に、 前記第 1ァドレ ス変換ステップによる変換後のァドレス及び変換前のァドレスを対応付けて所定 の記憶領域に記憶する記憶ステップと、 前記通信パケットに対する返信パケット を入力した場合、 前記記憶領域に記憶されたデータに基づいて、 前記通信バケツ トに対する返信バケツトの宛先を変換する第 2アドレス変換ステップとをコンビ ユータに実行させる。
なお、 本発明において、 上記コンピュータにより読取り可能な媒体は、 C D— R OMやフレキシブルディスク、 D V Dディスク、 光磁気ディスク、 I Cカード 等の可搬型記憶媒体や、 コンピュータプログラムを保持するデータベース、 或い は、 他のコンピュータ並びにそのデータベースや、 更に回線上の伝送媒体をも含 むものである。 図面の簡単な説明
第 1図は、 実施の形態 1におけるネットワーク中継手法の概要を示した図であ る。
第 2図は、 実施の形態 1の V L ANタグに関する設定情報の一例である。 第 3図は、 実施の形態 1の V L ANタグ及びアドレスに関する設定情報の一例 である。
第 4図は、 第 1図のネットワーク中継手法を、 ホールセール事業者に適用した 場合の図である。
第 5図は、 実施の形態 2の概要を簡略的に示した図である。
第 6図は、 実施の形態 2の V L ANタグに関する設定情報の一例である。 第 7図は、 実施の形態 2の V L ANタグ及びァドレスに関する設定情報の一例 である。
第 8図は、 実施の形態 3の概要を簡略的に示した図である。
第 9図は、 実施の形態 3の V L ANタグ及びァドレスに関する設定情報の一例 である。
第 1 0図は、 実施の形態 4の概要を簡略的に示した図である。
第 1 1図は、 実施の形態 5の概要を簡略的に示した図である。
第 1 2図は、 V L ANを用いてセキュリティを確保した従来の手法の一例であ る。
第 1 3図は、 L 2 T Pを用いてセキュリティを確保した従来の手法の一例であ る。
第 1 4図は、 共通の装置へのアクセスを可能にするために、 一時的にセキユリ ティが確保されていない状態に戻す場合の手法を示した図である。
第 1 5図は、 共通の装置に各ネットワークのァドレスに対応したセキュリティ 対応のインタフェースを複数用意する手法を示した図である。
第 1 6図は、 外部ネットワークを介して共通の装置へアクセスする手法を示し た図である。 発明を実施するための最良の形態
以下、 本発明の実施の形態を図を用いて詳細に説明する。
実施の形態 1 .
第 1図は、 本実施の形態におけるネットワーク中継手法の概要を示した図であ る。 本図は、 中継装置を除いて、 従来の技術を示した上述の第 1 2図と同様の構 成を有するものとする。 図に示されるように、 中継装置 7は、 各種ネットワーク との間の入出力インタフェースである入出力部 1 1と、 各種データを記憶する記 憶部 1 3と、 入力された通信パケットに V L A Nタグを付加する V L A Nタグ付 加部 1 5と、 入力された通信バケツトの送信元ァドレスを変換するァドレス変換 部 1 6と、 V L ANタグ付加部 1 5により付加された V L A Nタグを書き換える V L ANタグ書換部 1 7とから構成されている。
本実施の形態の処理の概要を説明すると、 第 1図にあるように中継装置 7に接 続されているネットワーク 1 a、 1 bからの通信バケツトを仮想ネットワーク 5 a、 5 bに振り分ける。 この振り分け時に通信パケットの宛先が共通にアクセス する装置 6の場合、 仮想ネットワーク 5 cに振り分け、 送信元ァドレスも仮想ネ ットワーク 5 cのアドレスに変更する。 これにより、 装置 6への通信パケットは 仮想ネットワーク 5 cとして他のネットワークから分離され、 ユーザ端末 1 2 a や 1 2 bは装置 6へのアクセスが可能となる。 また、 装置 6から送信元への通信 バケツトは中継装置 7に戻ってくるため、 中継装置 7では変更されたァドレスを 元の送信元ァドレスにして宛先を書き換え、 元のネットワーク 1 aまたは 1 へ 通信パケットを出力する。
以下、 具体的な手法を示す。 ユーザ端末 1 2 aまたは 1 2 bから共通の装置 6 へアクセスする場合、 まず、 ユーザ端末側から名前解決の問い合わせを D N Sサ ーバ 9に対して行う。 外部ネットワーク 1 0に存在する D N Sサーバ 9は装置 6 のアドレスを問い合わせのあったユーザ端末に回答する。 ユーザ端末 1 2 aまた は 12 bは、 DNSサーバ 9から取得したアドレスへアクセスを開始する。 なお 、 ここではアドレスを、 「所属するネットワーク一端末番号」 （第 1図では 「5 c— 6」 ） と表現する。
中継装置 7では、 入出力部 1 1を介して、 ネットワーク 1 a或いは l bから通 信パケットを取得すると、 V L A Nタグ付加部 15は記憶部 13に格納された設 定情報に基づいて、 仮想ネッ トワークの VLANタグを決定し、 通信パケットに 対して該 V LANタグを付加する。 第 2図は、 該設定情報の一例である。 例えば 、 ネットワーク 1 aからの通信バケツトであれば、 VLANタグ付加部 15は、 第 2図から入力ネットワークが 1 aのレコードを参照して、 「出力ネットワーク 用 VLANタグ」 の項目に格納されたデータ （5 a) を取得する。 この 5 aを V LANタグとして通信バケツトに付加する。
続いて、 VLANタグ変換部 1 7が、 通信パケットの宛先アドレスを確認し、 記憶部 13に格納された設定情報に基づいて付加された V L A Nタグを書き換え る。 第 3図は、 該設定情報の一例である。 例えば、 通信パケットの入力ネットヮ ークが l aであり、 宛先アドレスが装置 6のアドレス （第 3図においては 「6」 ) であった場合には、 該当のレコード （第 3図では 1項） を参照して、 出力ネッ トワーク用 VLANタグの項目に格納されたデータ （5 c) を取得する。 VLA Nタグ書換部 17は、 VLANタグを 5 cに書き換える。 なお、 第 3図の 2項、 4項に示される宛先ァドレス 0は、 装置 6以外の任意の端末ァドレスを意味する 。 宛先アドレスが 0の場合には、 VLANタグ付カ卩部 15により付カ卩された VL A Nタグをそのまま用いればよいため、 書換処理は行われなレ、。
また、 ァドレス変換部 16は、 第 3図に基づいて通信バケツ卜の送信元ァドレ スを書き換える。 例えば、 通信パケッ トの宛先アドレスを確認し、 宛先アドレス が装置 6のアドレス （第 1図においては 「6」 ） であった場合には、 送信元アド レスを装置 6が属する仮想ネッ トワークのアドレスに書き換える。 すなわち、 第 3図において、 宛先ァドレスが 6であり、 入力ネットワークが 1 aの通信バケツ トに対しては、 「5 a_2 a」 となっていた送信元アドレスを 「 5 c— 12 a」 に書き換え （変換す） る。
この VLANタグと変換されたァドレスにより、 中継装置 7から出力された装 置 6行きの通信パケットは、 仮想ネットワーク 5 cを通り、 装置 6へと届く。 また、 装置 6から、 ユーザ端末 12 a或いは 12 bへの通信バケツトは、 仮想 ネットワーク 5 cを通り中継装置 7に入力される。 中継装置 7のァドレス変換部 16では第 3図の設定情報から、 入力された通信バケツトについて、 本来のユー ザ端末のアドレス （図では送信元ネットワークアドレス） を検索し、 宛先アドレ スを書き換える。 また、 V LANタグ付加部 1 5は通信パケットに付加されてい る VLANタグを削除する。 ここで、 入出力部 1 1から通信パケットが元のネッ トワークへ出力される。 上述した例で言えば、 アドレス変換部 16は、 宛先アド レスを、 変換後の送信元ネットワークアドレス （5 c— 12 a) から、 元の送信 元ネットワークアドレス （l a— 12 a) に書き換える。 更に、 V LANタグ付 加部 15は V LANタグ 5 cを消去し、 入出力部 1 1がネットワーク 1 aにパケ ットを出力する。
以上の処理により、 ネットワーク 1 aと 1 bのセキュリティが保持され、 且つ 共通の装置へのアクセスが可能となる。
なお、 本実施の形態では、 第 2図及び第 3図の双方を用いることにより処理を 行ったが、 第 3図のみを用いて直接 V LANタグを決定してもよい。 この場合は 第 2図は不要となる。
また、 設定情報は第 3図のような形態に限定されない。 し力 しながら、 ァドレ ス変換部 16による変換処理により変換前と変換後のアドレスが異なることとな つた場合、 その対応表は必ず内部で保持する必要がある。 なお、 全ての通信が終 わるか、 エラーがあった場合など、 データが必要ではなくなつた場合には、 対応 表の該当項目を消去するようにしてもよい。
第 4図は、 第 1図のネットワーク中継手法を、 ホールセール事業者に適用した 場合の図である。 図中の点線で囲まれた部分がホールセール事業者のネットヮー ク 30である。 ここで、 ユーザ端末 12 aを持つユーザは、 I S P— A (外部接 続ネットワーク 18 a ) と契約しており、 ユーザ端末 12 bを持つュ一ザは、 I
S P-B (外部接続ネットワーク 18 b) と契約しているとする。 I SP—A、
I SP— Bは、 インターネット （外部ネットワーク 10) におのおの接続してい る。 ホールセール事業者は、 ユーザと I SP— A、 I SP— Bとの間の回線接続 を提供している。
I S P— Aのユーザ端末である 1 2 aと I S P— Bのユーザ端末である 1 2 b は、 契約している I S Pが異なるので、 異なるアドレス体系のネッ トワークに存 在していることとなる。 また、 セキュリティの問題から I S P— Aのユーザと I S P— Bのユーザを同じネットワークに存在させ、 相互アクセスをホールセール 事業者内のネットワークで行うことはできない。 従って、 ここでは、 I S P別の 仮想ネットワーク 5 a、 5 bにユーザを収容して、 ユーザのセキュリティを確保 している。 そして仮想ネットワーク 5 a、 5 13は、 各々 1 3 ?—八、 I S P— B 向けにゲートウェイを有しており、 それぞれの I S Pに接続されている。
ホールセール事業者が、 自社と契約しているユーザ向けに、 共通の装置 6から のサービスを提供する場合、 I S P別に異なる仮想ネットワークにユーザを収容 するため、 ネットワークセキュリティを保ったまま装置 6にアクセスさせるには 、 従来の手法では、 各々の仮想ネットワークに装置 6が個別のァドレスで接続す るか、 一旦外部ネットワーク （インターネット） を介してアクセスさせるしか方 法がない。 しかしながら、 本発明によれば、 中継装置に入力された通信パケット に適宜 V L ANタグを付加し、 送信元アドレスを変換することによって、 ネット ワーク間のセキュリティを保ちつつ、 外部ネットワーク経由による無駄なトラフ ィックを発生させることなく、 アクセス先装置に複数の個別ァドレスを設定する など複雑な設定を行うことなく、 共通の装置へのァクセスを可能にする。 実施の形態 2 .
本実施の形態は、 実施の形態 1とほぼ同様の構成であるが、 接続されているネ ットワークが仮想ネットワークである場合を示している。 すなわち、 接続されて いるネットワークが既に仮想ネットワークなので、 共通の装置宛ではない通信パ ケットは、 入力ネットワークと同じ仮想ネットワークに出力することも可能であ る。 もちろん、 新しい仮想ネットワークに変換することも可能である。
第 5図は、 本実施の形態を簡略的に示した図である。
中継装置 7の V L ANタグ付カ卩部 1 5は、 入力された通信パケットに既に V L A Nタグが付加されているか否かを確認する。 図中のネットワーク 2 a及び 2 b が既に V L A Nタグが付加された仮 ネットワークであれば、 V L A Nタグが付 加されているものとされ、 付加処理は行われない。 ここで、 入力ネットワークと 同じ仮想ネットワークに出力する場合には、 V LANタグの書換は行うことはな いが、 別の仮想ネットワークに出力する場合には、 V LANタグ書換部 1 7によ りタグの書換を行う。 本書換処理は、 例えば、 記憶部 13に記憶された第 6図の テーブルを用いて書き換えられる。
V LANタグを用いない仮想ネットワークである場合には、 記憶部 13に記憶 された第 6図の設定情報を用いて、 V LANタグを付加する。
続いて、 VLANタグ書換部 1 7による VL ANタグ書換処理及びアドレス変 換部 16によるアドレス変換処理が第 7図の設定情報を用いて行われるが、 本処 理は、 上述した実施の形態 1と同様であるため、 説明を省略する。
なお、 入力ネットワークが既に VLANタグが付加されているネットワークで ある場合、 VLANタグ書換部 1 7では、 既に付加されている VLANタグを確 認し、 適宜 VLANタグを書き換えるが、 共通の装置宛ではない通信パケットに ついては、 入力ネットワークと同じ仮想ネットワークに出力するようにしてもよ い （すなわち、 タグ書換処理を行わない） 。 この場合には、 第 6図は不要である 。 もちろん、 新しい仮想ネットワークに変換することも可能であり、 この場合に は、 VLANタグが第 6図或いは第 7図を用いて VLANタグを書き換えること となる。
なお、 そうした送出先仮想ネットワークの決定を、 V L ANタグ付加部 15が 、 任意に行うようにしてもよい。 すなわち、 通信パケットをネットワーク毎に V LANに振り分けるカゝ （ネットワーク 2 aからの通信は仮想ネットワーク 5 aへ 、 ネットワーク 2 bからの通信は仮想ネットワーク 5 bへ振り分ける。 ） 、 もと の仮想ネットワーク （2 a, 2 b) のままにするかを決定するようにする。 更に、 中継装置 7に接続されるネットワークに、 実ネットワークと仮想ネット ワークの双方が存在していても、 上述した手法を用いることによって、 適切なネ ットワーク中継を行うことができる。 実施の形態 3. 本実施の形態では、 上述した中継装置の機能のうち、 V L ANタグ付加部の機 能を有する部分と、 ァドレス変換部と V L A Nタグ書換部の機能を有する部分と をそれぞれ別な装置として設備し、 ネットワーク中継を行う場合を例にとり説明 する。
第 8図は、 本実施の形態を簡略的に示した図である。
中継装置以外は、 第 1図と同様である。 第 1図での中継装置 7は、 第 8図の中 継装置 7 aと、 アドレス変換装置 7 bとに相当する。 図示されるように、 中継装 置 7 aは、 入出力部 1 1 aと、 記憶部 1 3 aと、 V L ANタグ付加部 1 5とから 構成されている。 了ドレス変換装置 7 bは、 入出力部 1 1 bと、 記憶部 1 3 bと 、 アドレス変換部 1 6と、 V L A Nタグ書換部 1 7とから構成されている。 以上の構成を用いて、 本実施の形態の手法を詳細に説明する。
中継装置 7にネットワーク 1 a或いは 1 bから通信バケツトが入力されるまで の処理は、 実施の形態 1と同様であるため説明を省略する。 中継装置 7 aに通信 バケツトが入力されると、 該入力された通信バケツトに V L ANタグ付加部 1 5 が記憶部 1 3 aに記憶された設定情報に基づいて V L ANタグを付加する。 該設 定情報は、 第 2図と同様である。 V L ANタグが付加された時点で、 入出力部 1 1 aから通信バケツトが出力される。
中継装置 7 aから出力された通信バケツトは、 仮想ネットワーク上に出力され 、 この時にアドレス変換装置 7 aに入力される。 なお中継装置 7 aから出力され た通信バケツトは全て、 ー且ァドレス変換装置 7 bで処理される。 ァドレス変換 装置 7 bの V L ANタグ書換部 1 7は、 記憶部 1 3 bに記憶された設定情報に基 づき、 通信パケットの宛先が共通にアクセスする装置 6の場合には、 V L ANタ グを仮想ネットワーク 5 cに書き換え、 ァドレス変換部 1 6は、 送信元ァドレス を仮想ネットワーク 5 cのァドレスに変更する。 該設定情報の一例を第 9図に示 す。 なお、 宛先が共通の装置 6でない場合には、 アドレス変換装置 7 bでは何の 処理もなされない。
これにより、 装置 6への通信バケツトは、 仮想ネットワーク 5 cとして他のネ ットワークから分離され、 ネットワーク 1 a或いはネットワーク 1 bから装置 6 へアクセスすることができる。 装置 6から送信元への通信バケツトは、 ァドレス変換装置 7 bに戻ってくるた め、 アドレス変換部 16は第 9図のデータを参照して、 元の送信元アドレスに宛 先を書き換え、 仮想ネットワーク 5 a， 5 bに出力される。 この時点では VLA Nタグは消去されない。 通信パケットが仮想ネットワークを介して中継装置 7 a に入力された時点で、 V LANタグ付加部 15が V LANタグを消去し、 入出力 部 1 1 aから元のネットワーク 1 aまたは 1 bへ通信バケツ卜が出力される。 このように、 アドレス変換部の機能を分離することにより、 通過性能が向上す る。 特に大規模ネッ トワークの接続点では、 高通過性能が求められるが、 ァドレ ス変換など中継装置に負荷のかかる処理が通過性能低下の原因となることがある ため、 そうした処理を外付けに設備することにより、 通過性を高く維持すること が可能となる。 実施の形態 4.
本実施の形態は、 実施の形態 3とほぼ同様の構成であるが、 接続されているネ ットワークが仮想ネットワークである場合を示している。 すなわち、 接続されて いるネットワークが既に仮想ネットワークなので、 共通の装置宛ではない通信パ ケットは、 入力ネットワークと同じ仮想ネットワークに出力することも可能であ る。 もちろん、 新しい仮想ネットワークに変換することも可能である。
第 10図は、 本実施の形態を簡略的に示した図である。
中継装置 7 cは、 VLANタグ付加部 1 5と第 1 VLANタグ書換部 1 7 aと 力 構成される。 また、 アドレス変換装置 7 dはアドレス変換装置 16と第 2 V LANタグ書換部 17 bとから構成される。 なお、 第 1 VLANタグ書換部 17 a及び第 2 VLANタグ書換部 17 bは、 上述の実施の形態の V LANタグ書換 部 17と同様の処理を行うこととする。
中継装置 7 cの VLANタグ付加部 15は、 入力された通信バケツ卜に既に V LANタグが付加されている力否かを確認する。 図中のネットワーク 2 a及び 2 bが既に VLANタグが付加された仮想ネットワークであれば、 VLANタグが 付カ卩されているものとされ、 付加処理は行われない。 ここで、 入力ネットワーク と同じ仮想ネットワークに出力する場合には、 VLANタグの書換は行うことは ないが、 別の仮想ネットワークに出力する場合には、 第 1 V L A Nタグ書換部 1 7 aによりタグの書換を行う。 本書換処理は、 例えば、 記憶部 1 3 aに記憶され た第 6図のテーブルを用いて書き換えられる。
また、 入力ネットワークが V L ANタグを用いない仮想ネットワークである場 合には、 同様に、 記憶部 1 3 aに記憶された第 6図の設定情報を用いて、 V L A Nタグを付加する。
V L ANタグ付加及び書換処理が行われると、 通信バケツトは仮想ネットヮー クに出力される。 続いて、 通信パケットはアドレス変換装置 7 dに入力されるが 、 以降の処理は、 実施の形態 3と同様であるため、 説明を省略する。
なお、 中継装置 7に接続されるネットワークに、 実ネットワークと仮 ¾|ネット ワークの双方が存在していても、 上述した手法を用いることによって、 適切なネ ットワーク中継を行うことができる。 実施の形態 5 .
本実施の形態では、 上述した実施の形態の中継装置にユーザ認証の機能を持た せた場合を例にとり詳細に説明する。 すなわち、 ユーザ認証機能を中継装置に統 合し、 I S Pや組織と共通にアクセスする装置の仮想ネットワークに分離収容し て、 該装置へのアクセスを可能にする。
第 1 1図は、 本実施の形態を簡略的に示した図である。 本図に示された中継装 置 7 eは、 実施の形態 1に示された中継装置 7に認証部 1 4が付加された構成と なっている。
中継装置 7 eでは、 接続されているユーザ端末 1 2 a， 1 2 bからの接続要請 を受信すると、 認証部 1 4で接続の可否を確認し、 認証が取れた端末からの通信 バケツトのみ取り扱う。 認証が取れた端末からの通信バケツトは、 I S Pゃネッ トワーク単位で V L ANに収容するため、 上述の実施の形態と同様に、 V L AN タグ付加処理及びアドレス変換処理を行う。 これ以降の処理は、 上述の実施の形 態と同様であるため、 説明を省略する。
具体的にホールセール事業者に適用した場合、 例えば、 第 4図に示されたホー ルセール事業者のネットワーク 3 0を例にとると、 中継装置に第 1 1図の中継装 置 7 eを適用すれば、 中継装置がユーザ端末から直接接続要請を受信して認証作 業を行うことができるため、 通信パケットをユーザ端末から即座に仮想ネットヮ ークに収容させることができ、 入力ネットワーク側の負荷が軽くなる。
なお、 上記認証部は、 本実施の形態では中継装置の内部に組み込まれるように したが、 別装置として外部に設備し連携するようにしてもよいのは言うまでもな レ、。 以上、 本発明の様々な実施の形態を説明したが、 本発明は上述した実施の形態 に限定されることはなく、 本発明の要旨を逸脱しない範囲において応用可能であ ることはもちろんである。
例えば、 本発明の中継装置は、 ネットワークインタフェースや形態に固定観念 はなく、 1つまたは、 複数のネットワークインタフェースを持つスイッチングハ ブゃノヽブのような形態から、 1つまたは複数のポートを持つコンピュータとその ソフトウェアといった形態でも構成可能である。 すなわち、 詳述した機能をコン ピュータ上で実行するためのプログラムを、 例えば中継装置の記憶部等にインス トールしておき、 或いは接続されたネットワークからダウンロードする等の処理 を行い、 実行するようにしてもよい。 具体的には、 中継装置に備えられたハード ディスク等の記憶媒体 （上述した実施の形態では記憶部に相当する） や、 その他 のコンピュータにより読取り可能な媒体、 例えば C D— R O Mやフレキシブルデ イスク、 D V Dディスク、 光磁気ディスク、 I Cカード等の可搬型記憶媒体や、 コンピュータプログラムを保持するデータベース、 或いは、 他のコンピュータ並 びにそのデータベースや、 更に回線上の伝送媒体 （全て図示せず） からプロダラ ムを取得し、 実行することでネットワーク中継を行うようにする。
また、 入出力ネットワークと本発明における中継装置との関係は、 単なるハブ ゃスィツチ、 ブリッジ的な関係から、 ネットワーク間のルータとなる関係、 ルー ティングは行わなレ、が特定ァプリケーシヨンのゲートウェイとなる関係でも問題 はない。 よってルータに本中継機能を実装することも可能である。
更に、 ネットワークインタフェースは、 入力と出力が対になる必要はなく、 仮 想ネットワークによって 1つのインタフェースに複数の入出力ネットワークを構 成することが可能である。
更に、 入力側ネットワークは、 1つまたは複数のネットワークだけでなく、 1 つまたは複数の仮想ネットワーク、 または実ネットワークと仮想ネットワークの 混在も可能である。 そして識別子やインタフェースなどによってネットワークが 識別可能であれば、 各入力ネットワークのァドレスが重複していても問題はない
。 また複数の入力ネットワークを 1つのネットワークとして极うことも可能であ る。
一方、 出力側ネットワークも、 1つまたは複数のネットワークだけでなく、 1 つまたは複数の仮想ネットワーク、 または実ネットワークと仮想ネットワークの 混在も可能である。 また、 識別子やインタフェース等によってネットワークが識 別可能であれば、 各出力ネットワークのァドレスが重複していても問題はない。 なお、 V L AN振り分けは、 タグ V L ANだけでなく、 ポート V L ANとする ことも可能である。 また V L ANに振り分けず 1つまたは複数のネットワークに 振り分けて出力することも可能である。
更に、 ルーティング機能を動作させない場合であれば、 入力ネットワーク間の アクセスを禁止することが可能である。 産業上の利用の可能性
以上説明したように、 本発明によれば、 異なるネットワークからの通信バケツ トを、 セキュリティを確保した出力ネットワークに分離して収容することが可能 となる。 更に、 この状態において、 各入力ネットワークから共通の装置にァクセ スが可能となるので、 企業や学校、 ホールセール事業者や I S Pなど、 ネットヮ ーク間アクセスを禁止しセキュリティを確保すべき複数のネットワークが存在す る環境において、 共通の装置からサービスを提供することができる。 また、 共通 の装置は、 一つのアドレスが与えられればアクセスが可能となるので、 1つまた は複数の D N Sサーバ等に対し複雑な設定をする必要がなくなるというメリット がある。 更に、 共通装置へのアクセスは、 外部ネットワークを経由することなく 直接行われるので、 セキュリティが確保されるほか、 品質の低い外部ネットヮー クを経由することによるァクセス品質の低下を防ぐことができる。

Claims

1. 複数のネットワークと接続されたネットワーク中継装置であって、 前記複数のネットワークのうち、 いずれかのネットワークから通信パケットが 入力された場合、 該通信パケットの所定の情報に基づいて、 該通信パケットに対 請
して所定の V L A Nタグに関する処理を行う V L A Nタグ処理手段と、
前記所定の情報に基づいて、 前記通信バケツトの送信元のアドレスを変換する の
第 1アドレス変換手段と、
少なくとも前記 VLANタグ処理手段による処理、 或いは前記第 1アドレス変 換手段によるァドレス変換のいずれかがなされた囲通信バケツトを所定の仮想ネッ トワークに出力する第 1出力手段とを備えてなるネットワーク中継装置。
2. 請求の範囲第 1項に記載のネットワーク中継装置において、
前記 VLANタグ処理手段は、 前記入力された通信パケットに、 所定の VLA Nタグを付加する V L A Nタグ付加手段を備えてなるネットワーク中継装置。
3. 請求の範囲第 1項に記載のネットワーク中継装置において、
前記 VLANタグ処理手段は、 前記入力された通信バケツトの送信元ネットヮ —クが、 VLANタグを用いた仮想ネットワークである場合に、 前記入力された 通信パケットに既に付加されている V L A Nタグを所定の VLANタグに書き換 える第 1VLANタグ書換手段を備えてなるネットワーク中,継装置。
4. 請求の範囲第 1項に記載のネットワーク中継装置において、
前記所定の情報は、 少なくとも前記通信パケットの送信元ネットワーク或いは 宛先に関する情報のいずれかであるネットワーク中継装置。
5. 請求の範囲第 3項に記載のネットワーク中継装置において、
前記 V L ANタグ付加手段は、 前記通信パケットの宛先が前記複数のネットヮ ークにより共通にアクセスされる装置である場合、 該装置に対応する V L ANタ グを前記通信パケットに付加するネットワーク中継装置。
6 . 請求の範囲第 3項に記載のネットワーク中継装置において、
前記第 1ァドレス変換手段は、 前記通信パケットの宛先が前記複数のネットヮ ークにより共通にアクセスされる装置である場合は、 該装置に对応するネットヮ ークを送信元ネットワークとしたァドレスに前記通信バケツトの送信元のァドレ スを変換するネットワーク中継装置。
7 . 請求の範囲第 1項に記載のネットワーク中継装置において、
前記第 1アドレス変換手段は、 所定の外部装置内に設けられ、
該外部装置には更に、
前記第 1出力手段により出力された通信パケットを入力する入力手段と、 前記入力手段により入力された通信バケツトの前記所定の情報に基づいて、 前 記入力された通信バケツトに既に付加されている V L A Nタグを所定の V L AN タグに書き換える第 2 V L ANタグ書換手段と、
少なくとも前記 V L A Nタグ処理手段による処理、 或いは前記第 1アドレス変 換手段によるァドレス変換のいずれかがなされた通信バケツトを前記所定の仮想 ネットワークに出力する第 2出力手段とを備え、
前記第 1ァドレス変換手段は、 前記入力手段により入力された通信バケツトに 対して、 送信元ァドレス変換を行うネットワーク中継装置。
8 . 請求の範囲第 1項に記載のネットワーク中継装置において、
前記第 1ァドレス変換手段による変換後のァドレス及び変換前のァドレスを対 応付けて記憶する記憶手段と、
前記記憶手段に記憶されたデータに基づいて、 前記通信バケツ卜に対する返信 バケツトの宛先を変換する第 2アドレス変換手段を備えてなるネットワーク中継
9. 請求の範囲第 7項に記載のネットワーク中継装置において、 前記第 2アドレス変換手段は、 前記通信バケツトに対する返信バケツトの宛先 を、 前記記憶手段に記憶された変換前のァドレスに変換するネットワーク中継装
10. 請求の範囲第 7項に記載のネットワーク中継装置において、
前記記憶手段と前記第 2アドレス変換手段は所定の外部装置内に設けられてい るネットワーク中継装置。
1 1. 請求の範囲第 1項に記載のネットワーク中継装置において、
前記複数のネットワークは、 仮想ネットワークを含むネットワーク中継装置。
12. 請求の範囲第 1項に記載のネットワーク中継装置において、 更に、 前記複数のネットワークのうち、 いずれかのネットワークから通信バケツトが 入力された場合、 該通信パケットの送信元のユーザを送信元ネットワーク毎に認 証する認証手段を備え、
前記第 1出力手段は、 前記認証手段により認証された場合にのみ、 前記通信パ ケットを出力するネットワーク中継装置。
13. 複数のネットワークのうち、 いずれかのネットワークから通信パケットが 入力された場合、 該通信パケットの所定の情報に基づいて、 該通信パケットに対 して所定の V L A Nタグを付加する V L A Nタグ付加ステップと、
前記通信バケツトに既に VLANタグが付加されている場合に、 前記所定の情 報に基づいて該 V LANタグを書き換える VLANタグ書換ステツプと、 前記所定の情報に基づいて、 前記通信パケットの送信元のアドレスを変換する 第 1ァドレス変換ステップと、
少なくとも前記 VLANタグ付加ステップ、 前記 VLANタグ書換ステップ、 或レ、は前記ァドレス変換ステップのいずれかのステップにおける処理がなされた 通信バケツトを所定の仮想ネットワークに出力する出力ステップとを備えてなる ネットワーク中継方法。
14. 請求の範囲第 13項に記載のネットワーク中継方法において、
前記通信バケツトの宛先が前記複数のネットワークにより共通にアクセスされ る装置である場合、 前記 VLANタグ付加ステップにより付加された VLANタ グ、 或いは前記 VLANタグ書換ステップにより変換された VLANタグは、 該 装置に対応する VLANタグとなるネットワーク中継方法。
15. 請求の範囲第 13項に記載のネットワーク中継方法において、
前記第 1ァドレス変換ステツプは、 前記通信パケットの宛先が前記複数のネッ トワークにより共通にアクセスされる装置である場合は、 該装置に対応するネッ トワークを送信元ネットワークとしたァドレスに前記通信バケツ卜の送信元のァ ドレスを変換するネットワーク中継方法。
16. 請求の範囲第 13項に記載のネットワーク中継方法において、 更に、 前記第 1ァドレス変換ステップによる変換後のァドレス及び変換前のァドレス を対応付けて所定の記憶領域に記憶する記憶ステツプと、
前記通信バケツ卜に対する返信バケツトを入力した場合、 前記記憶領域に記憶 されたデータに基づいて、 前記通信バケツトに対する返信バケツトの宛先を変換 する第 2アドレス変換ステップを備えてなるネットワーク中継方法。
17. コンピュータにより読取り可能な媒体に記憶され、 ネットワーク中継処理 をコンピュータに実行させるネットワーク中継用プログラムであって、
複数のネットワークのうち、 いずれかのネットワークから通信バケツ卜が入力 された場合、 該通信パケットの所定の情報に基づいて、 該通信パケットに対して 所定の V L A Nタグを付加する V L A Nタグ付加ステップと、
前記通信バケツトに既に VLANタグが付加されている場合に、 前記所定の情 報に基づいて該 VLANタグを書き換える VLANタグ書換ステップと、 前記所定の情報に基づいて、 前記通信バケツトの送信元のアドレスを変換する 第 1ア ドレス変換ステップと、
少なくとも前記 V L ANタグ付カ卩ステップ、 前記 V L ANタグ書換ステップ、 或レ、は前記ァドレス変換ステップのレ、ずれかのステップにおける処理がなされた 通信バケツトを所定の仮想ネットワークに出力する出力ステップとをコンビユー タに実行させるネットワーク中継用プログラム。
1 8 . 請求の範囲第 1 7項に記載のネットワーク中継用プログラムにおいて、 前記通信バケツトの宛先が前記複数のネットワークにより共通にアクセスされ る装置である場合、 前記 V L ANタグ付加ステップにより付加された V L ANタ グ、 或いは前記 V L ANタグ書換ステップにより変換された V L A Nタグは、 該 装置に対応する V L A Nタグとなるネットワーク中継プログラム。
1 9 . 請求の範囲第 1 7項に記載のネットワーク中継用プログラムにおいて、 前記第 1ァドレス変換ステップは、 前記通信パケットの宛先が前記複数のネッ トワークにより共通にアクセスされる装置である場合は、 該装置に対応するネッ トワークを送信元ネットワークとしたァドレスに前記通信バケツ卜の送信元のァ ドレスを変換するネットワーク中継用プログラム。
2 0 . 請求の範囲第 1 7項に記載のネットワーク中継用プログラムにおいて、 更 に、
前記第 1ァドレス変換ステップによる変換後のァドレス及び変換前のァドレス を対応付けて所定の記憶領域に記憶する記憶ステップと、
前記通信バケツトに対する返信バケツトを入力した場合、 前記記憶領域に記憶 されたデータに基づいて、 前記通信バケツトに対する返信バケツトの宛先を変換 する第 2アドレス変換ステップとをコンピュータに実行させるネットワーク中継 用プログラム。
PCT/JP2002/004843 2002-05-20 2002-05-20 Dispositif de retransmission de reseau, procede de retransmission de reseau et programme de retransmission de reseau WO2003098880A1 (fr)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2004506249A JP3917622B2 (ja) 2002-05-20 2002-05-20 ネットワーク中継装置、ネットワーク中継方法、ネットワーク中継用プログラム
PCT/JP2002/004843 WO2003098880A1 (fr) 2002-05-20 2002-05-20 Dispositif de retransmission de reseau, procede de retransmission de reseau et programme de retransmission de reseau
US10/957,593 US7450584B2 (en) 2002-05-20 2004-10-05 Network repeater apparatus, network repeater method and network repeater program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2002/004843 WO2003098880A1 (fr) 2002-05-20 2002-05-20 Dispositif de retransmission de reseau, procede de retransmission de reseau et programme de retransmission de reseau

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US10/957,593 Continuation US7450584B2 (en) 2002-05-20 2004-10-05 Network repeater apparatus, network repeater method and network repeater program

Publications (1)

Publication Number Publication Date
WO2003098880A1 true WO2003098880A1 (fr) 2003-11-27

Family

ID=29434523

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2002/004843 WO2003098880A1 (fr) 2002-05-20 2002-05-20 Dispositif de retransmission de reseau, procede de retransmission de reseau et programme de retransmission de reseau

Country Status (3)

Country Link
US (1) US7450584B2 (ja)
JP (1) JP3917622B2 (ja)
WO (1) WO2003098880A1 (ja)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006128803A (ja) * 2004-10-26 2006-05-18 Japan Telecom Co Ltd ネットワーク中継装置及びネットワークシステム
JP2008504777A (ja) * 2004-06-30 2008-02-14 ノキア インコーポレイテッド ドメイン間通信のためのバーチャルブロードキャストネットワーク
JP2011217174A (ja) * 2010-03-31 2011-10-27 Ntt Communications Kk 通信システム、パケット転送方法、ネットワーク交換装置、及びプログラム
JP2012531814A (ja) * 2009-06-23 2012-12-10 ノーテル・ネットワークス・リミテッド Ｉｐマルチネッティングをシミュレーションする方法と装置
JP2013219536A (ja) * 2012-04-09 2013-10-24 Nippon Telegr & Teleph Corp <Ntt> 転送装置、仮想ネットワークシステム、転送装置における転送方法及び転送装置プログラム
US10999365B2 (en) 2016-10-07 2021-05-04 Ricoh Company, Ltd. Network communication system, communication control apparatus, and recording medium

Families Citing this family (54)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE60108404T2 (de) * 2001-12-10 2005-12-22 Alcatel Vorrichtung und Verfahren zum Ausrichten des Mehrfachdatenverkehrs in einem Ethernet-MAN
JP4120356B2 (ja) * 2002-11-05 2008-07-16 日本電気株式会社 拡張ｖｌａｎタグｓｗａｐ方式
US8146148B2 (en) * 2003-11-19 2012-03-27 Cisco Technology, Inc. Tunneled security groups
US7221927B2 (en) * 2004-02-13 2007-05-22 Trapeze Networks, Inc. Station mobility between access points
US7562389B1 (en) 2004-07-30 2009-07-14 Cisco Technology, Inc. Method and system for network security
US7555774B2 (en) * 2004-08-02 2009-06-30 Cisco Technology, Inc. Inline intrusion detection using a single physical port
US7483996B2 (en) * 2004-11-29 2009-01-27 Cisco Technology, Inc. Techniques for migrating a point to point protocol to a protocol for an access network
US7725938B2 (en) * 2005-01-20 2010-05-25 Cisco Technology, Inc. Inline intrusion detection
US8059527B2 (en) * 2005-02-19 2011-11-15 Cisco Technology, Inc. Techniques for oversubscribing edge nodes for virtual private networks
WO2006099540A2 (en) 2005-03-15 2006-09-21 Trapeze Networks, Inc. System and method for distributing keys in a wireless network
US7551574B1 (en) * 2005-03-31 2009-06-23 Trapeze Networks, Inc. Method and apparatus for controlling wireless network access privileges based on wireless client location
US7515549B2 (en) * 2005-06-07 2009-04-07 Cisco Technology, Inc. Managing devices across NAT boundaries
US7706371B1 (en) * 2005-07-07 2010-04-27 Cisco Technology, Inc. Domain based routing for managing devices operating behind a network address translator
US7551619B2 (en) * 2005-10-13 2009-06-23 Trapeze Networks, Inc. Identity-based networking
US8638762B2 (en) 2005-10-13 2014-01-28 Trapeze Networks, Inc. System and method for network integrity
WO2007044986A2 (en) 2005-10-13 2007-04-19 Trapeze Networks, Inc. System and method for remote monitoring in a wireless network
US7724703B2 (en) * 2005-10-13 2010-05-25 Belden, Inc. System and method for wireless network monitoring
US7573859B2 (en) * 2005-10-13 2009-08-11 Trapeze Networks, Inc. System and method for remote monitoring in a wireless network
US8250587B2 (en) * 2005-10-27 2012-08-21 Trapeze Networks, Inc. Non-persistent and persistent information setting method and system for inter-process communication
US20070106778A1 (en) * 2005-10-27 2007-05-10 Zeldin Paul E Information and status and statistics messaging method and system for inter-process communication
US20070106998A1 (en) * 2005-10-27 2007-05-10 Zeldin Paul E Mobility system and method for messaging and inter-process communication
CN101326771B (zh) * 2005-12-13 2010-09-15 国际商业机器公司 操作虚拟网络的方法和设备以及数据网络系统
US7558266B2 (en) * 2006-05-03 2009-07-07 Trapeze Networks, Inc. System and method for restricting network access using forwarding databases
US20070260720A1 (en) * 2006-05-03 2007-11-08 Morain Gary E Mobility domain
US8966018B2 (en) 2006-05-19 2015-02-24 Trapeze Networks, Inc. Automated network device configuration and network deployment
US20070268514A1 (en) * 2006-05-19 2007-11-22 Paul Zeldin Method and business model for automated configuration and deployment of a wireless network in a facility without network administrator intervention
US20070268516A1 (en) * 2006-05-19 2007-11-22 Jamsheed Bugwadia Automated policy-based network device configuration and network deployment
US20070268515A1 (en) * 2006-05-19 2007-11-22 Yun Freund System and method for automatic configuration of remote network switch and connected access point devices
US20070268506A1 (en) * 2006-05-19 2007-11-22 Paul Zeldin Autonomous auto-configuring wireless network device
US7577453B2 (en) * 2006-06-01 2009-08-18 Trapeze Networks, Inc. Wireless load balancing across bands
US8818322B2 (en) 2006-06-09 2014-08-26 Trapeze Networks, Inc. Untethered access point mesh system and method
US9258702B2 (en) 2006-06-09 2016-02-09 Trapeze Networks, Inc. AP-local dynamic switching
US9191799B2 (en) 2006-06-09 2015-11-17 Juniper Networks, Inc. Sharing data between wireless switches system and method
US7912982B2 (en) * 2006-06-09 2011-03-22 Trapeze Networks, Inc. Wireless routing selection system and method
US7844298B2 (en) * 2006-06-12 2010-11-30 Belden Inc. Tuned directional antennas
US7724704B2 (en) * 2006-07-17 2010-05-25 Beiden Inc. Wireless VLAN system and method
US8340110B2 (en) 2006-09-15 2012-12-25 Trapeze Networks, Inc. Quality of service provisioning for wireless networks
US8072952B2 (en) * 2006-10-16 2011-12-06 Juniper Networks, Inc. Load balancing
US20080107077A1 (en) * 2006-11-03 2008-05-08 James Murphy Subnet mobility supporting wireless handoff
US20080151844A1 (en) * 2006-12-20 2008-06-26 Manish Tiwari Wireless access point authentication system and method
JP4216876B2 (ja) * 2006-12-21 2009-01-28 株式会社東芝 通信端末を認証する装置、方法およびプログラム
US7873061B2 (en) * 2006-12-28 2011-01-18 Trapeze Networks, Inc. System and method for aggregation and queuing in a wireless network
US7865713B2 (en) * 2006-12-28 2011-01-04 Trapeze Networks, Inc. Application-aware wireless network system and method
US8902904B2 (en) 2007-09-07 2014-12-02 Trapeze Networks, Inc. Network assignment based on priority
US8509128B2 (en) * 2007-09-18 2013-08-13 Trapeze Networks, Inc. High level instruction convergence function
US8238942B2 (en) 2007-11-21 2012-08-07 Trapeze Networks, Inc. Wireless station location detection
US8150357B2 (en) 2008-03-28 2012-04-03 Trapeze Networks, Inc. Smoothing filter for irregular update intervals
US8700891B2 (en) * 2008-05-09 2014-04-15 Broadcom Corporation Preserving security association in MACsec protected network through VLAN mapping
US8474023B2 (en) 2008-05-30 2013-06-25 Juniper Networks, Inc. Proactive credential caching
US8978105B2 (en) * 2008-07-25 2015-03-10 Trapeze Networks, Inc. Affirming network relationships and resource access via related networks
US8238298B2 (en) 2008-08-29 2012-08-07 Trapeze Networks, Inc. Picking an optimal channel for an access point in a wireless network
US8640221B2 (en) * 2009-12-11 2014-01-28 Juniper Networks, Inc. Media access control address translation in virtualized environments
US9300570B2 (en) * 2012-05-22 2016-03-29 Harris Corporation Multi-tunnel virtual private network
JP2015095698A (ja) * 2013-11-11 2015-05-18 セイコーエプソン株式会社 通信制御サーバーおよびサービス提供システム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001016255A (ja) * 1999-06-29 2001-01-19 Nippon Telegr & Teleph Corp <Ntt> ネットワーク間通信方法及びその装置
JP2001313663A (ja) * 2000-05-01 2001-11-09 Nippon Telegr & Teleph Corp <Ntt> 排他的論理ネットワークアクセス制御方法及び装置
JP2002073475A (ja) * 2000-08-24 2002-03-12 Sanyo Electric Co Ltd アドレス変換方法とアドレス変換装置、およびそれらを利用可能なメールサーバとメールクライアント
JP2002077275A (ja) * 2000-09-04 2002-03-15 Nippon Telegr & Teleph Corp <Ntt> 閉域網間接続システムと閉域網間接続方法およびその処理プログラムを記録した記録媒体ならびにホスティングサービスシステム

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6252888B1 (en) * 1998-04-14 2001-06-26 Nortel Networks Corporation Method and apparatus providing network communications between devices using frames with multiple formats
US6181699B1 (en) * 1998-07-01 2001-01-30 National Semiconductor Corporation Apparatus and method of assigning VLAN tags
JP3457259B2 (ja) 2000-05-30 2003-10-14 日本電信電話株式会社 プロバイダ切換可能通信方法及びその装置
EP1162797B1 (en) * 2000-06-09 2010-12-08 Broadcom Corporation Flexible header protocol for network switch
US7272137B2 (en) * 2001-05-14 2007-09-18 Nortel Networks Limited Data stream filtering apparatus and method

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001016255A (ja) * 1999-06-29 2001-01-19 Nippon Telegr & Teleph Corp <Ntt> ネットワーク間通信方法及びその装置
JP2001313663A (ja) * 2000-05-01 2001-11-09 Nippon Telegr & Teleph Corp <Ntt> 排他的論理ネットワークアクセス制御方法及び装置
JP2002073475A (ja) * 2000-08-24 2002-03-12 Sanyo Electric Co Ltd アドレス変換方法とアドレス変換装置、およびそれらを利用可能なメールサーバとメールクライアント
JP2002077275A (ja) * 2000-09-04 2002-03-15 Nippon Telegr & Teleph Corp <Ntt> 閉域網間接続システムと閉域網間接続方法およびその処理プログラムを記録した記録媒体ならびにホスティングサービスシステム

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008504777A (ja) * 2004-06-30 2008-02-14 ノキア インコーポレイテッド ドメイン間通信のためのバーチャルブロードキャストネットワーク
JP2006128803A (ja) * 2004-10-26 2006-05-18 Japan Telecom Co Ltd ネットワーク中継装置及びネットワークシステム
JP2012531814A (ja) * 2009-06-23 2012-12-10 ノーテル・ネットワークス・リミテッド Ｉｐマルチネッティングをシミュレーションする方法と装置
JP2011217174A (ja) * 2010-03-31 2011-10-27 Ntt Communications Kk 通信システム、パケット転送方法、ネットワーク交換装置、及びプログラム
JP2013219536A (ja) * 2012-04-09 2013-10-24 Nippon Telegr & Teleph Corp <Ntt> 転送装置、仮想ネットワークシステム、転送装置における転送方法及び転送装置プログラム
US10999365B2 (en) 2016-10-07 2021-05-04 Ricoh Company, Ltd. Network communication system, communication control apparatus, and recording medium

Also Published As

Publication number Publication date
JPWO2003098880A1 (ja) 2005-09-22
US20050058132A1 (en) 2005-03-17
US7450584B2 (en) 2008-11-11
JP3917622B2 (ja) 2007-05-23

Similar Documents

Publication Publication Date Title
WO2003098880A1 (fr) Dispositif de retransmission de reseau, procede de retransmission de reseau et programme de retransmission de reseau
JP5859519B2 (ja) データパケットの配信管理方法
EP1634428B1 (en) Apparatus and methods for handling shared services through virtual route forwarding (vrf) -aware-nat
US7574522B2 (en) Communication data relay system
US7792972B2 (en) Packet forwarding control method and packet forwarding apparatus
US6742036B1 (en) Method for supporting mobility on the internet
KR101399002B1 (ko) 가상 사설 네트워크의 실현 방법 및 시스템
JP4598859B2 (ja) 中継ネットワークシステム及び端末アダプタ装置
US8805977B2 (en) Method and system for address conflict resolution
JP3688149B2 (ja) パケット中継装置及びパケット中継方法
CN102792651B (zh) 在mac层应用服务路径路由选择的装置
JP4600394B2 (ja) ネットワークアクセスルータ、ネットワークアクセス方法、プログラム、及び記録媒体
Rodriguez-Natal et al. Programmable overlays via openoverlayrouter
JP3858884B2 (ja) ネットワークアクセスゲートウェイ及びネットワークアクセスゲートウェイの制御方法並びにプログラム
JP4925130B2 (ja) 通信制御方法およびシステム
JP3491828B2 (ja) 閉域網間接続システムと閉域網間接続方法およびその処理プログラムを記録した記録媒体ならびにホスティングサービスシステム
JP2002354006A (ja) 重複アドレスのネットワークシステム
CN100539551C (zh) 静态网络地址转换-协议转换的实现方法及网关设备
JP2002204252A (ja) 重複プライベートアドレス変換システム
WO2006098043A1 (ja) ネットワークシステム及びネットワーク接続機器
JP2003167805A (ja) 複数ユーザ側閉域網とサーバ側閉域網間のネットワーク通信方法およびサーバ装置
JP2005217757A (ja) ファイアウオール管理システム、ファイアウオール管理方法、およびファイアウオール管理プログラム
JP5261432B2 (ja) 通信システム、パケット転送方法、ネットワーク交換装置、アクセス制御装置、及びプログラム
JP7052580B2 (ja) ネットワーク制御装置、ユーザ端末、通信システム、ネットワーク制御方法およびネットワーク制御プログラム
JP4100145B2 (ja) サーバ装置、ｉｐパケット通信方法

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): JP US

WWE Wipo information: entry into national phase

Ref document number: 2004506249

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 10957593

Country of ref document: US