ネットワークシステム、複数の独立したネットワークを運用する方法、通信装置およびその制御方法と制御プログラム
【課題】既存のネットワークの独立性を維持しながら新規のネットワークサービスの参入を容易にすること。
【解決手段】
ワイドエリアネットワークを経由して所定エリアにサービスを提供する第１ネットワークと、所定エリアにあって、無線アクセスポイントにより生成された無線ネットワークスポット内の通信端末に、ワイドエリアネットワークを経由してサービスを提供する第２ネットワークと、第１ネットワークおよび前記第２ネットワークの少なくともいずれか一方に対してトンネリング処理を施すことにより、第１ネットワークおよび第２ネットワークが使用する通信回線を論理的に分離する分離制御部と、を備えることを特徴とする。
【解決手段】
ワイドエリアネットワークを経由して所定エリアにサービスを提供する第１ネットワークと、所定エリアにあって、無線アクセスポイントにより生成された無線ネットワークスポット内の通信端末に、ワイドエリアネットワークを経由してサービスを提供する第２ネットワークと、第１ネットワークおよび前記第２ネットワークの少なくともいずれか一方に対してトンネリング処理を施すことにより、第１ネットワークおよび第２ネットワークが使用する通信回線を論理的に分離する分離制御部と、を備えることを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ワイドエリアネットワークにより接続されたネットワークシステムにおいて、複数の独立したネットワークを運用する技術に関する。
【背景技術】
【０００２】
上記技術分野において、特許文献１には、利用者宅の宅内アクセスポイントをモバイルユーザが使用可能として、モバイルサービス提供事業者からのサービスの提供を受けるネットワークシステムが記載されている。また、特許文献２には、レイヤー３ネットワークであるワイドエリアネットワークを横切って、企業レイヤー２ネットワークを生成する通信技術が記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特願２００４−３１２０８８号公報
【特許文献２】特表２００７−５３２０４３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記文献に記載の技術では、ワイドエリアネットワークの中に複数の独立したネットワークを構成して、既存のネットワークの独立性を維持しながら新規のネットワークサービスを参入させることはできなかった。
【０００５】
本発明の目的は、上述の課題を解決する技術を提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、本発明に係るシステムは、
ワイドエリアネットワークを経由して所定エリアに第１サービスを提供する第１ネットワークと、
前記所定エリアにあって、無線アクセスポイントにより生成された無線ネットワークスポット内の通信端末に、前記ワイドエリアネットワークを経由して第２サービスを提供する第２ネットワークと、
前記第１ネットワークおよび前記第２ネットワークの少なくともいずれか一方に対してトンネリング処理を施すことにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離する分離制御手段と、
を備えることを特徴とする。
【０００７】
上記目的を達成するため、本発明に係る方法は、
ワイドエリアネットワークにより接続されたネットワークシステムにおいて、複数の独立したネットワークを運用する方法であって、
ワイドエリアネットワークを経由して所定エリアにサービスを提供する第１ネットワークを構成する第１構成ステップと、
前記所定エリアにあって、無線アクセスポイントにより生成された無線ネットワークスポット内の通信端末に、前記ワイドエリアネットワークを経由してサービスを提供する第２ネットワークを構成する第２構成ステップと、
前記第１ネットワークおよび前記第２ネットワークの少なくともいずれか一方に対してトンネリング処理を施すことにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離する分離制御ステップと、
を含むことを特徴とする。
【０００８】
上記目的を達成するため、本発明に係る装置は、
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置であって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定手段と、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定手段と、
を有することを特徴とする。
【０００９】
上記目的を達成するため、本発明に係る方法は、
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置での制御方法あって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定ステップと、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定ステップと、
を含むことを特徴とする。
【００１０】
上記目的を達成するため、本発明に係るプログラムは、
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置での制御プログラムあって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定ステップと、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定ステップと、
をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１１】
本発明によれば、既存のネットワークの独立性を維持しながら新規のネットワークサービスを容易に導入することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の第１実施形態に係るネットワークシステムの構成を示すブロック図である。
【図２】本発明の第２実施形態に係るネットワークシステムの構成を示すブロック図である。
【図３Ａ】本発明の第２実施形態に係る動作時のネットワークシステムの状態を示すブロック図である。
【図３Ｂ】本発明の第２実施形態に係るＩＰｓｅｃ方式の暗号通信におけるネゴシエーション手順を示すシーケンス図である。
【図４】本発明の第２実施形態に係る第１のネットワークにおけるスタックの構成を示す図である。
【図５】本発明の第２実施形態に係る第２のネットワークにおけるスタックの構成を示す図である。
【図６】本発明の第２実施形態に係る店舗ルータの機能構成を示すブロック図である。
【図７】本発明の第２実施形態に係る店舗ルータのハードウェア構成を示すブロック図である。
【図８】本発明の第２実施形態に係るフォーマット変換テーブルの構成を示す図である。
【図９】本発明の第２実施形態に係る店舗ルータの処理手順を示すフローチャートである。
【図１０】本発明の第３実施形態に係る動作時のネットワークシステムの状態を示すブロック図である。
【図１１】本発明の第３実施形態に係る第１のネットワークにおけるスタックの構成を示す図である。
【図１２】本発明の第３実施形態に係るフォーマット変換テーブルの構成を示す図である。
【図１３】本発明の第３実施形態に係る店舗ルータの処理手順を示すフローチャートである。
【図１４】本発明の第４実施形態に係る第１のネットワークにおけるスタックの構成を示す図である。
【図１５】本発明の第５実施形態に係る第１のネットワークにおけるスタックの構成を示す図である。
【図１６】本発明の第６実施形態に係るフォーマット変換テーブルの構成を示す図である。
【図１７】本発明の第７実施形態に係る動作時のネットワークシステムの状態を示すブロック図である。
【図１８】本発明の第７実施形態に係る第２のネットワークにおけるスタックの構成を示す図である。
【図１９】本発明の第７実施形態に係るフォーマット変換テーブルの構成を示す図である。
【発明を実施するための形態】
【００１３】
以下に、図面を参照して、本発明の実施の形態について例示的に詳しく説明する。ただし、以下の実施の形態に記載されている構成要素は単なる例示であり、本発明の技術範囲をそれらのみに限定する趣旨のものではない。
【００１４】
［第１実施形態］
本発明の第１実施形態としてのネットワークシステム１００について、図１を用いて説明する。ネットワークシステム１００は、ワイドエリアネットワークにより接続されたネットワークシステムである。
【００１５】
図１に示すように、ネットワークシステム１００は、第１ネットワーク１１０と、第２ネットワーク１２０と、分離制御部１３０と、を含む。第１ネットワーク１１０は、ワイドエリアネットワーク１０１を経由して所定エリア１０２に第１サービスを提供する。第２ネットワーク１２０は、所定エリア１０２にあって、無線アクセスポイント１０３により生成された無線ネットワークスポット１０４内の通信端末１０５に、ワイドエリアネットワーク１０１を経由して第２サービスを提供する。分離制御部１３０は、第１ネットワーク１１０および第２ネットワーク１２０の少なくともいずれか一方に対してトンネリング処理（１０１ａまたは１０１ｂ）を施す。これにより、第１ネットワーク１１０および第２ネットワーク１２０が使用する通信回線を論理的に分離する。
【００１６】
本実施形態によれば、ワイドエリアネットワークの中に複数の独立したネットワークを構成して、既存のネットワークの機密性を維持しながら新規のネットワークサービスの参入を容易にすることできる。
【００１７】
［第２実施形態］
次に、本発明の第２実施形態に係るネットワークシステムについて説明する。本実施形態においては、元々有線通信回線を持っている店舗などに、新たに無線ＬＡＮスポット（いわゆるホットスポット（登録商標））を導入した場合の構成を示している。なお、本実施形態の有線通信回線において、いずれの通信回線を無線通信回線に代替することによっても同等の効果が達成され、これらの構成も本実施形態の構成に含まれる。
【００１８】
（関連技術）
現在、スマートフォン等のスマートデバイスが爆発的な勢いで普及しており、携帯用ネットワークにおける通信負荷の大きさ、およびそれを要因とする通信速度の低下が問題となっている。この問題を解決するため、スマートデバイスが携帯用ネットワークを用いずにインターネット通信を行なうことのできる無線ＬＡＮスポットの導入が進んでいる。例えば、携帯キャリアが顧客満足度を向上させるため、無線ＬＡＮスポットを流通業の店舗（コンビニエンスストアなど）に導入しようとしている。流通業側も、集客効果を期待して、そのような無線ＬＡＮスポットを導入することに積極的な動きを見せている。しかし、無線ＬＡＮスポットを導入しようとして、光ファイバーなどの通信回線を新たに敷設すると、コスト負担、管理負担が大きくなる。
【００１９】
一方、コンビニエンスストアなどの店舗には、企業ネットワークを構築するために光ファイバーなどの有線通信回線がすでに導入されており、しかもその通信トラフィックには余裕が十分ある。そこで、ここではその光ファイバーなどの有線通信回線を、無線ＬＡＮスポット用にシェアすることを提案する。元々のネットワーク管理者が、無線ＬＡＮスポットと店舗との間の関係を取り持ち、無線ＬＡＮスポット関係のネットワークの管理や無線ＬＡＮスポット導入費用の回収などを一元管理すれば、店舗にとって非常に無線ＬＡＮスポットを導入しやすくなる。また、店舗が元々支払っていた通信回線維持費用の一部を無線ＬＡＮスポット事業者（携帯キャリアなど）が負担すれば、店舗側にとっても費用面でのメリットが大きく、店舗側が無線ＬＡＮを利用できるというメリットもある。無線ＬＡＮスポット事業者にとっても、無線ＬＡＮスポットの導入負担（導入費用、手間など）を小さくすることができるため、メリットがある。ただし、元々導入されていた企業ネットワーク用の通信回線に対して、無線ＬＡＮスポット用の通信回線が影響を及ぼしたり、情報漏洩の原因となったりすることは回避しなければならない。本実施形態では、以下のように、無線ＬＡＮスポット事業者と、店舗側の無線ＬＡＮスポット用アクセスポイントとの間を繋ぐネットワークをＩＰｓｅｃ(Security Architecture for IP)方式によりトンネルリングし、既存の企業ネットワークへの影響を回避している。
【００２０】
《ネットワークシステムの構成》
図２は、本実施形態に係るネットワークシステム２００の構成を示すブロック図である。ネットワークシステム２００は、企業用ＷＡＮ（Wide Area Network）２６０を中心とするシステムである。企業用ＷＡＮ２６０は、専用回線あるいは擬似的な専用回線により構成されている。ネットワークシステム２００内には、複数（図２の例では２つ）の独立したネットワークが仮想的に構築されている。
【００２１】
１つは、店舗２１０内の店舗ＬＡＮ(Local Area Network)２１２と企業データセンタ（以下、企業ＤＣと称す）２２０，２３０とを結ぶ第１のネットワークである。店舗２１０には、企業用ＷＡＮ２６０に対し、店舗ルータ２１１を介して店舗ＬＡＮ２１２が接続される。そして、店舗ＬＡＮ２１２には各種通信端末２１４が接続される。一方、企業ＤＣ２２０，２３０にはそれぞれ、企業用ＷＡＮ２６０に対し、センタルータ２２１，２３１を介してセンタＬＡＮ２２２，２３２が接続される。なお、店舗ＬＡＮ２１２には、無線アクセスポイント（図中、無線ＡＰと称す）が接続されてもよい。例えば、店舗であれば、店員のハンディターミナルの無線通信に使用される。
【００２２】
もう１つは、店舗２１０内において、無線アクセスポイント２１３と無線ＬＡＮスポット提供者データセンタ（以下、無線ＬＡＮスポット提供者ＤＣと称す）２４０とを結ぶ第２のネットワークである。無線アクセスポイント２１３は、企業用ＷＡＮ２６０に対し、店舗ルータ２１１を介して接続される。これにより無線アクセスポイント２１３は、店舗内に無線ＬＡＮスポットを形成する。そして、無線アクセスポイント２１３には各種通信端末２１５が無線接続される。一方、無線ＬＡＮスポット提供者ＤＣ２４０は、企業用ＷＡＮ２６０に対し提供者ルータ２４１を介して接続される。無線ＬＡＮスポット提供者ＤＣ２４０は、さらにインターネット２７０を介して外部に接続されている。
【００２３】
なお、図２には１つの店舗２１０しか図示されていないが、実際には企業用ＷＡＮ２６０に対して複数の店舗が接続される。そして、企業用ＷＡＮ２６０が複数の店舗間の通信を実現する。また、図２では店舗単位で店舗ＬＡＮと無線ＬＡＮスポットが形成される場合について示したが、支社・支店・営業所など、ビルの１フロアや部屋、交通機関の駅などに企業ＬＡＮと無線ＬＡＮスポットとを形成してもよい。
【００２４】
さらに、上記第１、第２ネットワークに加えて、ネットワークあるいはネットワーク機器の保守点検を行なうための監視センタ２５０を設けて、独立した監視ネットワークを設けることも可能である。
【００２５】
（動作時のネットワークシステム）
図３Ａは、本実施形態に係る動作時のネットワークシステム２００の状態を示すブロック図である。また、図３Ａにおいては、企業ＤＣ、無線ＬＡＮスポット提供者ＤＣ、および店舗はいずれも１つずつ存在するものとして説明するが、その数に制限はない。
【００２６】
第１のネットワークは、図２でも示したように、店舗２１０の店舗ＬＡＮ２１２と企業ＤＣ２２０，２３０とを企業用ＷＡＮ２６０で接続するネットワークである。店舗ＬＡＮ２１２には無線アクセスポイントやＰＯＳが接続されており、それぞれ店舗内全エリアを企業イントラネット用の無線エリア３１２としてタブレットＰＣやハンディターミナルの通信端末と通信する。通信端末からの通信データはそのまま、あるいはＰＯＳなどで処理されて、店舗ルータ２１１に送られる。店舗ルータ２１１は、本実施形態のＩＰｓｅｃ方式による暗号化処理やカプセリング処理を行なわず、通信データを企業用ＷＡＮ２６０に送出する。企業用ＷＡＮ２６０内では、ＩＰヘッダの宛先に従い各スイッチ２６１を経由して、企業ＤＣ２２０，２３０のセンタルータ２２１，２３１に送信される。センタルータ２２１，２３１を介して通信データが、企業ＤＣ２２０，２３０のＬＡＮに送信される。なお、店舗ＬＡＮ２１２間の通信データ送信、および、企業ＤＣ２２０，２３０から店舗ＬＡＮ２１２への通信データ送信も同様に行なわれる。
【００２７】
無線ＬＡＮスポット提供者が提供する第２のネットワークは、図２でも示したように、店舗２１０の無線アクセスポイント２１３と無線ＬＡＮスポット提供者ＤＣ２４０とを企業用ＷＡＮ２６０で接続するネットワークである。
【００２８】
図３Ａの店舗ルータ２１１に接続された無線アクセスポイント２１３は、店舗内の全エリアあるいは一部エリアに無線ＬＡＮスポット２１６を構築する。これにより、無線ＬＡＮスポット２１６内に存在するスマートフォンや携帯電話などの移動端末はインターネットにアクセスできる。
【００２９】
本実施形態では、店舗ルータ２１１は、無線ＬＡＮスポット２１６内に存在する移動端末から出力された通信データに対しては、ＩＰｓｅｃ方式により暗号化処理およびトンネリングのためのカップリング処理を行なって、企業用ＷＡＮ２６０に送出する。企業用ＷＡＮ２６０内では、新ＩＰヘッダの宛先に従い各スイッチ２６１を経由して、無線ＬＡＮスポット提供者ＤＣ２４０の提供者ルータ２４１に送信される。提供者ルータ２４１において、ＩＰｓｅｃ方式によりトンネリングのためのアンカップリング処理および復号処理を行なって、通信データが無線ＬＡＮスポット提供者ＤＣ２４０のＬＡＮに送信される。なお、無線ＬＡＮスポット提供者ＤＣ２４０から無線アクセスポイント２１３への通信データ送信も同様に行なわれる。無線ＬＡＮスポット提供者ＤＣ２４０からは、さらに外部に対してインターネット２７０を介してデータ通信が行なわれる。
【００３０】
図３Ａにおいて、店舗ルータ２１１と提供者ルータ２４１との間は、トンネル３０１によって他の回線から隔離された擬似専用線として機能する。この擬似専用線は、第２のネットワークのすべての回線接続時に確立される。
【００３１】
このように、他のローカルエリアネットワークを宛先とし少なくともトンネリングプロトコルに従うフォーマット変換を行なう店舗ルータ２１１を配置することによって、少ない設備投資で複数の独立したネットワークを運用することが可能になる。ここで、店舗２１０において、店舗ＬＡＮ２１２の無線アクセスポイントやＰＯＳによる無線エリア３１２と、無線ＬＡＮスポット提供者ＤＣ２４０に接続する無線アクセスポイント２１３の無線ＬＡＮスポット２１６とは、重なる場合が多い。この場合に各通信端末がいずれの無線アクセスポイントと接続するかは、既知のサービスセット識別子（ＳＳＩＤ：Service Set Identifier／ＥＳＳＩＤ：Extended Service Set Identifier／ＢＳＳＩＤ：Basic Service Set Identifier）により選択および識別が可能となる。
【００３２】
《ＩＰｓｅｃの暗号通信におけるネゴシエーション》
図３Ｂは、本実施形態に係るＩＰｓｅｃ方式の暗号通信におけるネゴシエーション手順３００を示すシーケンス図である。かかるネゴシエーション手順３００の詳細については、インターネット通信規格のＲＦＣ（Request for Comments）に規定されているので、詳細な説明は省略する。
【００３３】
まず、ステップＳ３２１において、フェーズ１の処理として、店舗ルータ２１１とセンタルータ２２１，２３１との間で、フェーズ２で使用する暗号方式の決定と暗号鍵の生成を行なう。次に、ステップＳ３２３において、フェーズ２の処理として、ＩＰｓｅｃで使用する暗号方式と暗号鍵などの合意（ＳＡ：Security Association）を決定する。
【００３４】
これらフェーズ１とフェーズ２とのネゴシエーションが終了した後に、ステップＳ３２５において、ＩＰｓｅｃ方式による暗号通信（本実施形態においては、トンネリングも共に）が行なわれることになる。
【００３５】
《第１のネットワークにおけるスタック》
図４は、本実施形態に係る第１のネットワークにおけるスタック４００の構成を示す図である。なお、図４のスタック４００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。
【００３６】
通信端末２１４から店舗ルータ２１１までの店舗ＬＡＮ２１２のスタック４１０においては、送信データ(Data)４１３に、送信元および宛先を含むＩＰヘッダ４１２と、ＬＡＮ上でのイーサネット（登録商標）番号(eth)４１１とが付加されている。以下、イーサネット（登録商標）番号は、“ＬＡＮ番号”と言い替える。
【００３７】
店舗ルータ２１１から企業用ＷＡＮ２６０に送出するスタック４２０においては、ＩＰｓｅｃ方式に従う暗号化もトンネリング処理用のカプセリングも行なわない。図４においては、既存の第１のネットワークで実施していた処理はそのまま維持されるので、Ａｎｙ４２１として示している。ＩＰｓｅｃ方式に従う処理を受けなかったデータは、企業用ＷＡＮ２６０上を他の店舗ルータ２１１やセンタルータ２２１，２３１に送られる。
【００３８】
受信側の店舗ルータ２１１やセンタルータ２２１，２３１においては、企業用ＷＡＮ２６０中を転送されて来たスタック４２０からＡｎｙ４２１を取り除き、ＬＡＮ番号(eth)４３１が付加されてスタック４３０となり、ＬＡＮ上に送出される。
【００３９】
《第２のネットワークにおけるスタック》
図５は、本実施形態に係る第２のネットワークにおけるスタック５００の構成を示す図である。なお、図５のスタック５００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。また、図５では、無線アクセスポイント２１３と店舗ルータ２１１との間をＬＡＮ接続としたが、これに限定されず他の接続であればその方式に従うスタックが生成される。
【００４０】
通信端末２１５から無線アクセスポイント２１３への無線ＬＡＮにおけるスタック５１０は、送信データ(Data)５１６にIEEE(Institute of Electrical and Electronic Engineers)802.11ヘッダ５１２と、ＰＬＣＰ(Physical Layer Convergence Protocol)ヘッダおよびＰＬＣＰプレアンブル５１１が付加されている。IEEE802.11ヘッダ５１２内では、Addr.1（５１３）にＳＳＩＤが記憶され、Addr.2（５１４）に送信元ＭＡＣ(Media Access Control)アドレスが記憶され、Addr.3（５１５）に宛先ＭＡＣアドレスが記憶される。
【００４１】
無線アクセスポイント２１３から店舗ルータ２１１までのＬＡＮのスタック５２０においては、ＰＬＣＰヘッダおよびＰＬＣＰプレアンブル５１１に代わり、ＧＲＥ(Generic Routing Encapsulation)ヘッダ５２２とＩＰヘッダ５２１と、ＬＡＮ番号(eth)とが付加される。
【００４２】
店舗ルータ２１１から企業用ＷＡＮ２６０を介して提供者ルータ２４１に送出する、あるいは提供者ルータ２４１から企業用ＷＡＮ２６０を介して店舗ルータ２１１に受信するスタック５３０において、本実施形態においてはＩＰｓｅｃ方式に従う暗号化およびトンネリングを行なう。すなわち、スタック５３０においては、データ(Data)、IEEE802.11ヘッダ、ＧＲＥヘッダ、ＩＰヘッダ、のすべてが暗号化されて暗号データ部分５３３となり、暗号化情報を含むＥＳＰヘッダ（Encapsulating Security Payload Header）５３２と新ＩＰヘッダ５３１がカプセリング処理のために追加される。図５では、斜線を施した部分がＩＰｓｅｃ方式による暗号データ部分５３３である。
【００４３】
一方、受信側の店舗ルータ２１１においては、企業用ＷＡＮ２６０中を転送されて来たスタック５３０をＥＳＰヘッダ５３２に従って暗号データ部分５３３を復号して、ＥＳＰヘッダ５３２と新ＩＰヘッダ５３１を取って、ＬＡＮ番号(eth)が付加されてスタック５４０となる。そして、ＬＡＮ上に無線アクセスポイント２１３に向け送出される。無線アクセスポイント２１３においては、ＬＡＮ番号(eth)およびＩＰヘッダ、ＧＲＥヘッダを取って、ＰＬＣＰヘッダおよびＰＬＣＰプレアンブル５１１が付加されて通信端末２１５に無線通信される。なお、下りのIEEE802.11ヘッダ５５２においては、Addr.1（５５３）に宛先ＭＡＣアドレスが記憶され、Addr.2（５５４）にＳＳＩＤが記憶され、Addr.3（５５５）に送信元ＭＡＣアドレスが記憶される。そして、通信端末２１５において、受信データ(Data)５５６が受信される。
【００４４】
《店舗ルータの構成》
次に、本実施形態において、ＩＣｓｅｃ方式による暗号化およびトンネリングを行なう店舗ルータ２１１の構成を説明する。
【００４５】
（機能構成）
図６は、本実施形態に係る店舗ルータ２１１の機能構成を示すブロック図である。なお、図６の機能構成要素は、本実施形態の実施に重要な構成要素を示し、他の店舗ルータ２１１の動作に必要な構成要素は省略している。
【００４６】
図６のように、店舗ルータ２１１は、店舗ルータ２１１の全体を制御する制御部６０１を有する。制御部６０１には、各ポートへの接続に対応付けて、暗号化やトンネリングなどの処理方式を設定するフォーマット変換テーブル６０１ａを有する（図８参照）。また、店舗ＬＡＮ２１２と接続する内部ポート６０２−１と無線アクセスポイント２１３と接続する内部ポート６０２−２とを有する。また、企業用ＷＡＮ２６０と接続する外部ポート６０３を有する。なお、内部ポートも外部ポートも数に制限はない。
【００４７】
また、店舗ルータ２１１は、内部ポート６０２−１から外部ポート６０３へのデータを暗号化およびカプセリングする送信用フォーマット変換部６０４と、外部ポート６０３から内部ポート６０２−１へのデータをアンカプセリングおよび復号する受信用フォーマット変換部６０５と、を有する。なお、本実施形態においては、送信用フォーマット変換部６０４と受信用フォーマット変換部６０５とは、ＩＰｓｅｃ方式による処理はしない。また、店舗ルータ２１１は、内部ポート６０２−２から外部ポート６０３へのデータを暗号化およびカプセリングする送信用フォーマット変換部６０６と、外部ポート６０３から内部ポート６０２−１へのデータをアンカプセリングおよび復号する受信用フォーマット変換部６０７と、を有する。上記いずれのフォーマット変換部も制御部６０１のフォーマット変換テーブル６０１ａに従いその処理を決定する。
【００４８】
また、パケット詰込部６０８とパケット分離部６０９とを有する。パケット詰込部６０８は、送信用フォーマット変換部６０４の出力パケットと、送信用フォーマット変換部６０６の出力パケットとを、１ラインの回線のタイムスロットに詰め込んで外部ポート６０３に出力する。一方、パケット分離部６０９は、外部ポート６０３に入力された企業用ＷＡＮ２６０から受信したパケットを、その宛先に従い受信用フォーマット変換部６０５と受信用フォーマット変換部６０７とに振り分ける。
【００４９】
このような構成により、無線アクセスポイント２１３と企業用ＷＡＮとを経由する通信には、送信用フォーマット変換部６０６が暗号化およびカプセリングを施し、受信用フォーマット変換部６０７がアンカプセリングおよび復号を施す。これにより、１専用線／１専用回線中に擬似専用回線が構築される。したがって、無線アクセスポイント２１３と企業用ＷＡＮ２６０を経由する無線ＬＡＮスポット提供者による無線ＬＡＮスポット２１６へのサービスは、店舗ＬＡＮ２１２と企業用ＷＡＮとを経由する第１のネットワークへの影響なしに実現できる。なお、本実施形態においては、店舗ＬＡＮ２１２と企業ＤＣ２２０，２３０との通信は、無線アクセスポイント２１３の設置の影響なしに実施可能である。
【００５０】
（ハードウェア構成）
図７は、本実施形態に係る店舗ルータ２１１のハードウェア構成を示すブロック図である。
【００５１】
図７で、ＣＰＵ７１０は演算制御用のプロセッサであり、プログラムを実行することで図６の店舗ルータ２１１の各機能構成部を実現する。ＲＯＭ７２０は、初期データおよびプログラムなどの固定データおよびプログラムを記憶する。
【００５２】
ＲＡＭ７４０は、ＣＰＵ７１０が一時記憶のワークエリアとして使用するランダムアクセスメモリである。ＲＡＭ７４０には、本実施形態の実現に必要なデータを記憶する領域が確保されている。７４１は、図６の内部ポート６０２−１、内部ポート６０２−２、外部ポート６０３などがデータ受信を検出したイベントを記憶する領域である。７４２は、図６の各フォーマット変換部が行なう変換や現在のステータスを記憶する領域である。７４３〜７４６は、現在処理中のパケットを記憶する領域である。７４３は店舗ＬＡＮから企業用ＷＡＮへのパケット、７４４は企業用ＷＡＮから店舗ＬＡＮへのパケット、７４５は無線アクセスポイントから企業用ＷＡＮへのパケット、７４６は企業用ＷＡＮから無線アクセスポイントへのパケットをそれぞれ記憶する。
【００５３】
ストレージ７５０は、データベースや各種のパラメータ、あるいは本実施形態の実現に必要な以下のデータまたはプログラムが記憶されている。６０１ａは、図６にも示した、フォーマット変換テーブルである（図８参照）。７５１は、本店舗ルータ２１１が有するフォーマット変換機能のアルゴリズムである。
【００５４】
ストレージ７５０には、以下のプログラムが格納される。７５２には、店舗ルータ２１１の全体を制御するルータ制御プログラムが格納される。７５３には、ルータ制御プログラム７５２において、フォーマット変換を制御するフォーマット変換モジュールが格納される。７５４には、ルータ制御プログラム７５２において、入出力するパケットのルーティングを制御するパケットルーティング制御モジュールが格納される。
【００５５】
入出力インタフェース７６０は、ＣＰＵ７１０がハードウェア構成からなる各構成要素の監視および制御をするためのインタフェースを行なう。本実施形態においては、入出力インタフェース７６０には、ＣＰＵ７１０により監視および制御される内部ポート６０２−１および６０２−２、外部ポート６０３、複数のフォーマット変換部６０４〜６０７、パケット詰込部６０８、パケット分離部６０９が接続される。
【００５６】
なお、図７には、本実施形態に必須なデータやプログラムのみが示されており、本実施形態に関連しないデータやプログラムは図示されていない。
【００５７】
（フォーマット変換テーブル）
図８は、本実施形態に係るフォーマット変換テーブル６０１ａの構成６０１ａ−１を示す図である。なお、図８のフォーマット変換テーブル６０１ａの構成６０１ａ−１は一例に過ぎず、同じ機能を果たすのであればフォーマットに制限はない。
【００５８】
図８の構成６０１ａ−１においては、入力ポートＩＤ８０１と出力ポートＩＤ８０２とに対応して、その通信方式や処理方式が設定されている。ここで、入力ポートＩＤ８０１と出力ポートＩＤ８０２との組み合わせは、図７の７４３〜７４６に相当する。
【００５９】
本実施形態においては、各組み合わせに対して、帯域８０３、速度８０４、変換方式としてＩＰｓｅｃ８０５が設定されている。さらに、ＩＰｓｅｃ８０５のトンネリング８０６と暗号化／復号８０７を実行するか否かが設定されている。本実施形態においては、図８のように、無線アクセスポイント２１３が接続する内部ポート６０２−２と、企業用ＷＡＮ２６０が接続する外部ポート６０３とを繋ぐパスにおいて、ＩＰｓｅｃ方式による暗号化とトンネリングとが設定されている。
【００６０】
《店舗ルータの処理手順》
図９は、本実施形態に係る店舗ルータ２１１の処理手順を示すフローチャートである。このフローチャートは、図７のＣＰＵ７１０によりＲＡＭ７４０を用いながら実行されて、図６の構成における本実施形態の処理を実現する。
【００６１】
まず、ステップＳ９１１とＳ９２１とＳ９３１において、それぞれ、内部ポート６０２−１におけるデータ受信か、内部ポート６０２−２におけるデータ受信か、外部ポート６０３におけるデータ受信か、のイベントを判定する。
【００６２】
内部ポート６０２−１におけるデータ受信の場合はステップＳ９１３に進んで、パケットを外部ポート６０３から企業用ＷＡＮ２６０に送出し、宛先のルータにトンネリング無しの転送を行なう。
【００６３】
内部ポート６０２−２におけるデータ受信の場合はステップＳ９２３に進んで、ＩＰｓｅｃ方式による暗号化処理を行なう。さらに、ステップＳ９２５において、トンネリングのためのＩＰｓｅｃ方式によるカプセリング処理を行なう。なお、ステップＳ９２３とＳ９２５とは同時に行なわれてよい。そして、ステップＳ９１３において、ＩＰｓｅｃ方式による暗号化処理とカプセリング処理とを行なったパケットを外部ポート６０３から企業用ＷＡＮ２６０に送出し、宛先のルータにトンネリング有りの転送を行なう。
【００６４】
外部ポート６０３におけるデータ受信の場合はステップＳ９３３に進んで、宛先から内部ポート６０２−１からの送信であるか否かを判定する。内部ポート６０２−１からの送信であればステップＳ９３５に進んで、パケットを内部ポート６０２−１から店舗ＬＡＮ２１２に送出し、宛先の通信端末へのデータ転送を行なう。一方、内部ポート６０２−２からの送信であればステップＳ９４１に進んで、トンネリングのためのＩＰｓｅｃ方式によるアンカプセリング処理を行なう。さらに、ステップＳ９４３において、ＩＰｓｅｃ方式による復号処理を行なう。なお、ステップＳ９４１とＳ９４３とは同時に行なわれてよい。そして、ステップＳ９４５において、ＩＰｓｅｃ方式によるアンカプセリング処理と復号処理とを行なったパケットを内部ポート６０２−２から無線アクセスポイント２１３に送出し、宛先の通信端末へのデータ転送を行なう。
【００６５】
本実施形態により、企業ネットワークの店舗（支店）ＬＡＮ間やデータセンタとの間を繋ぐネットワークに変更を加えることなく、かつ、機密性を維持して、企業ネットワークを使用して各店舗にホットスポット（登録商標）を展開することにより、少ない設備投資でサービスを提供可能となる。
【００６６】
［第３実施形態］
次に、本発明の第３実施形態に係るネットワークシステムについて説明する。本実施形態に係るネットワークシステムは、上記第２実施形態と比べると、店舗ＬＡＮ２１２と企業ＤＣ２２０，２３０との接続についても、ＩＰｓｅｃ方式によるトンネリングを行なう点で異なる。その他の構成および動作は、第２実施形態と同様であるため、その詳しい説明を省略する。
【００６７】
本実施形態によれば、企業ネットワークとＡＰネットワークとを完全に切り離すことが可能となり、互いの機密性をより強化することができる。
【００６８】
（動作時のネットワークシステム）
図１０は、本実施形態に係る動作時のネットワークシステム１０００の状態を示すブロック図である。なお、図１０において、第２のネットワークにおけるトンネリング処理は第２実施形態の図３と同様であるので、同じ参照番号を付して説明は省略する。
【００６９】
図１０において、店舗１０１０の店舗ルータ１０１１により、店舗ＬＡＮ２１２からの送信データは、ＩＰｓｅｃ方式により暗号化およびカプセリング処理される。企業用ＷＡＮ２６０内では、店舗ルータ１０１１のカプセリング処理で付された新ＩＰヘッダの宛先に従って各スイッチ２６１を経由して、企業ＤＣ１０２０，１０３０のセンタルータ１０２１，１０３１に送信される。センタルータ１０２１，１０３１は、ＩＰｓｅｃ方式によるトンネリングのためのアンカプセリング処理と、復号処理とを行ない、センタＬＡＮに通信データを送信する。なお、企業ＤＣ１０２０，１０３０から店舗ＬＡＮ２１２への通信データ送信も同様に暗号化とトンネリングとが行なわれる。
【００７０】
図１０において、店舗ルータ１０１１とセンタルータ１０２１，１０３１との間は、トンネル１００２によって他の回線から隔離された擬似専用線として機能する。この擬似専用線は、第１のネットワークのすべての回線接続時に確立される。そのため、同じ企業用ＷＡＮ２６０を使用した無線ＬＡＮスポット提供者が参入して無線ＬＡＮスポット２１６を追加的に構築しても、第１のネットワークの機密性はより強固に維持される。さらに、盗聴があったとしても暗号化により秘匿性は確保される。なお、図１０には、無線アクセスポイントとＰＯＳとを図示したが、店舗１０１０が支店などに置き換えられた場合は、支店ＬＡＮにパーソナルコンピュータ（以下ＰＣ）やサーバが接続されることになる。
【００７１】
《第１のネットワークにおけるスタック》
図１１は、本実施形態に係る第１のネットワークにおけるスタック１１００の構成を示す図である。なお、図１１のスタック１１００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。図１１では、斜線を施した部分が暗号データ部分１１２３である。なお、図４と共通の部分については、同じ参照番号を付して説明を省略する。
【００７２】
店舗ルータ１０１１から企業用ＷＡＮ２６０に送出するスタック１１２０においては、ＩＰｓｅｃ方式に従い、この送信データ４１３とＩＰヘッダ４１２とを暗号化して暗号データ部分１１２３を生成する。そして、暗号化情報を含むＥＳＰヘッダ１１２２と新ＩＰヘッダ１１２１とを付加することによりカプセリングする。そして、企業用ＷＡＮ２６０中を新ＩＰヘッダ１１２１の宛先に転送することにより、トンネリングを実現する。このカプセリングされた暗号データは、企業用ＷＡＮ２６０上を他の店舗ルータ１０１１やセンタルータ１０２１，１０３１に送られる。
【００７３】
受信側の店舗ルータ１０１１やセンタルータ１０２１，１０３１においては、企業用ＷＡＮ２６０中を転送されて来たスタック１１２０からＥＳＰヘッダ１１２２に基づきＩＰヘッダ４３２と受信データ４３３とが復号される。そして、ＥＳＰヘッダ１１２２と新ＩＰヘッダ１１２１とを取り除き、ＬＡＮ番号(eth)４３１が付加されてスタック４３０となり、ＬＡＮ上に送出される。
【００７４】
（フォーマット変換テーブル）
図１２は、本実施形態に係るフォーマット変換テーブル６０１ａの構成６０１ａ−２を示す図である。なお、図１２のフォーマット変換テーブル６０１ａの構成６０１ａ−２は一例に過ぎず、同じ機能を果たすのであればフォーマットに制限はない。
【００７５】
図１２の構成６０１ａ−２においては、入力ポートＩＤ８０１と出力ポートＩＤ８０２とに対応して、その通信方式や処理方式が設定されている。ここで、入力ポートＩＤ８０１と出力ポートＩＤ８０２との組み合わせは、図７の７４３〜７４６に相当する。
【００７６】
本実施形態においては、各組み合わせに対して、帯域８０３、速度８０４、変換方式としてＩＰｓｅｃ１２０５が設定されている。さらに、第２実施形態の図８とは異なる、ＩＰｓｅｃ１２０５のトンネリング１２０６と暗号化／復号１２０７を実行するか否かが設定されている。本実施形態においては、図１２のように、無線アクセスポイント２１３が接続する内部ポート６０２−２と、企業用ＷＡＮ２６０が接続する外部ポート６０３とを繋ぐパスにおいても、店舗ＬＡＮ２１２が接続する内部ポート６０２−１と、企業用ＷＡＮ２６０が接続する外部ポート６０３とを繋ぐパスにおいても、ＩＰｓｅｃ方式による暗号化とトンネリングとが設定されている。
【００７７】
《店舗ルータの処理手順》
図１３は、本実施形態に係る店舗ルータ１０１１の処理手順を示すフローチャートである。このフローチャートは、図７のＣＰＵ７１０によりＲＡＭ７４０を用いながら実行されて、図６における本実施形態の処理を実現する。なお、図１３のステップにおいて、図９と同様の処理には同じステップ番号を付して説明は省略する。
【００７８】
内部ポート６０２−１におけるデータ受信の場合は、ステップＳ９１１からＳ１３１５に進んで、ＩＰｓｅｃ方式による暗号化処理を行なう。さらに、ステップＳ１３１７において、トンネリングのためのＩＰｓｅｃ方式によるカプセリング処理を行なう。なお、ステップＳ１３１５とＳ１３１７とは同時に行なわれてよい。そして、ステップＳ９１３において、ＩＰｓｅｃ方式による暗号化処理とカプセリング処理とを行なったパケットを外部ポート６０３から企業用ＷＡＮ２６０に送出し、宛先のルータにトンネリング有りの転送を行なう。
【００７９】
外部ポート６０３におけるデータ受信の場合はステップＳ９３３に進んで、宛先から内部ポート６０２−１からの送信であるか否かを判定する。内部ポート６０２−１からの送信であればステップＳ１３３７に進んで、トンネリングのためのＩＰｓｅｃ方式によるアンカプセリング処理を行なう。さらに、ステップＳ１３３９において、ＩＰｓｅｃ方式による暗復号処理を行なう。なお、ステップＳ１３３７とＳ１３３９とは同時に行なわれてよい。そして、ステップＳ９３５において、ＩＰｓｅｃ方式によるアンカプセリング処理と復号処理とを行なったパケットを内部ポート６０２−１から店舗ＬＡＮ２１２に送出し、宛先の通信端末へのデータ転送を行なう。
【００８０】
［第４実施形態］
次に、本発明の第４実施形態に係るネットワークシステムについて説明する。本実施形態に係るネットワークシステムは、上記第２実施形態と比べると、トンネリングをＩＰｓｅｃ方式ではなくＧＲＥ方式で行なう点で異なる。なお、本実施形態では暗号化にＩＰｓｅｃを使用する。その他の構成および動作は、第２実施形態と同様であるため、その詳しい説明を省略する。
【００８１】
《第１のネットワークにおけるスタック》
図１４は、本実施形態に係る第１のネットワークにおけるスタック１４００の構成を示す図である。なお、図１４のスタック１４００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。図１４のスタック１４００と図５のスタック５００との相違点は、特に、店舗ルータ２１１から企業用ＷＡＮ２６０を経由する通信経路におけるスタック１４３０である。他のスタック１４２０や１４４０も図５と類似なので、同じ参照番号を付して説明は省略する。本実施形態では、ＩＰｓｅｃ方式でなくＧＲＥとＩＰｓｅｃとを組み合わせたＧＥＲ／ＩＰｓｅｃ方式を使用する。図１４では、斜線を施した部分が暗号データ部分１４３２である。
【００８２】
店舗ルータ２１１から企業用ＷＡＮ２６０に送出するスタック１４３０においては、ＧＲＥ／ＩＰｓｅｃ方式に従い、ＬＡＮ番号(eth)を除いたスタック１４２０と、さらにＧＲＥヘッダとを暗号化した暗号データ部分１４３２に、暗号化情報を含むＥＳＰヘッダと新ＩＰヘッダとを付加することによりカプセリングする。すなわち、暗号化されたＧＲＥヘッダと、ＥＳＰヘッダおよび新ＩＰヘッダとが、ＧＲＥ／ＩＰｓｅｃ方式によりカプセリング／暗号化されたスタック１４３０の特徴部分１４３１となる。そして、企業用ＷＡＮ２６０中を新ＩＰヘッダの宛先に転送することにより、トンネリングを実現する。このカプセリングされた暗号データが、企業用ＷＡＮ２６０上を無線ＬＡＮスポット提供者ＤＣ２４０の提供者ルータ２４１に向けて送られる。
【００８３】
受信側の店舗ルータ２１１においては、企業用ＷＡＮ２６０中を転送されて来たスタック１４３０からＥＳＰヘッダに基づき、ＧＲＥヘッダとＩＰヘッダと無線ＬＡＮ用の受信データとが復号される。そして、ＧＲＥヘッダとＥＳＰヘッダと新ＩＰヘッダとを取り除き、ＬＡＮ番号(eth)が付加されてスタック１４４０となり、ＬＡＮ上に送出される。
【００８４】
本実施形態によれば、ＧＲＥ方式を併用することによって、ＩＰｓｅｃ方式と同様の結果を得ることが可能である。
【００８５】
［第５実施形態］
次に、本発明の第５実施形態に係るネットワークシステムについて説明する。本実施形態に係るネットワークシステムは、上記第２実施形態と比べると、トンネリングをＩＰｓｅｃ方式ではなくＬ２ＴＰ（Layer 2 Tunneling Protocol）方式で行なう点で異なる。なお、本実施形態では暗号化にＩＰｓｅｃを使用する。その他の構成および動作は、第２実施形態と同様であるため、その詳しい説明を省略する。
【００８６】
《第１のネットワークにおけるスタック》
図１５は、本実施形態に係る第２のネットワークにおけるスタック１５００の構成を示す図である。なお、図１５のスタック１５００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。図１５のスタック１５００と図５のスタック５００との相違点は、店舗ルータ２１１から企業用ＷＡＮ２６０を経由する通信経路におけるスタック１５３０である。他は図５および図１４と類似なので、同じ参照番号を付して説明は省略する。本実施形態では、ＩＰｓｅｃ方式でなくＬ２ＴＰとＩＰｓｅｃとを組み合わせたＬ２ＴＰ／ＩＰｓｅｃ方式を使用する。図１５では、斜線を施した部分が暗号データ部分１５３２である。
【００８７】
店舗ルータ２１１から企業用ＷＡＮ２６０に送出するスタック１５３０においては、Ｌ２ＴＰ／ＩＰｓｅｃ方式に従い、ＬＡＮ番号(eth)を除いたスタック１４２０と、さらにＬ２ＴＰヘッダおよびＵＤＰヘッダとを暗号化した暗号データ部分１５３２を生成する。そして、暗号化情報を含むＥＳＰヘッダと新ＩＰヘッダとを付加することによりカプセリングする。すなわち、暗号化されたＬ２ＴＰヘッダおよびＵＤＰヘッダと、ＥＳＰヘッダおよび新ＩＰヘッダとが、Ｌ２ＴＰ／ＩＰｓｅｃ方式によりカプセリング／暗号化されたスタック１５２０の特徴部分１５３１となる。そして、企業用ＷＡＮ２６０中を新ＩＰヘッダの宛先に転送することにより、トンネリングを実現する。このカプセリングされた暗号データが、企業用ＷＡＮ２６０上を無線ＬＡＮスポット提供者ＤＣ２４０の提供者ルータ２４１に向けて送られる。
【００８８】
受信側の店舗ルータ２１１においては、企業用ＷＡＮ２６０中を転送されて来たスタック１５３０からＥＳＰヘッダに基づき、Ｌ２ＴＰヘッダおよびＵＤＰヘッダとＩＰヘッダと無線ＬＡＮ用の受信データとが復号される。そして、Ｌ２ＴＰヘッダとＵＤＰヘッダとＥＳＰヘッダと新ＩＰヘッダとを取り除き、ＬＡＮ番号(eth)４３１が付加されてスタック１４４０となり、ＬＡＮ上に送出される。
【００８９】
本実施形態によれば、Ｌ２ＴＰ方式を併用することによって、ＩＰｓｅｃ方式と同様の結果が得られる。
【００９０】
［第６実施形態］
次に、本発明の第６実施形態に係るネットワークシステムについて説明する。本実施形態に係るネットワークシステムは、上記第２実施形態と比べると、暗号化を行なわずトンネリングのみを行なう点で異なる。なお、本実施形態ではトンネリングにＧＲＥ方式やＬ２ＴＰ方式を使用する。なお、これらに限定されず、トンネリングの他の方式も使用できる。その他の構成および動作は、第２実施形態と同様であるため、その詳しい説明を省略する。
【００９１】
（フォーマット変換テーブル）
図１６は、本実施形態に係るフォーマット変換テーブル６０１ａの構成６０１ａ−３を示す図である。なお、図１６のフォーマット変換テーブル６０１ａの構成６０１ａ−３は一例に過ぎず、同じ機能を果たすのであればフォーマットに制限はない。
【００９２】
図１６の構成６０１ａ−３においては、入力ポートＩＤ８０１と出力ポートＩＤ８０２とに対応して、その通信方式や処理方式が設定されている。ここで、入力ポートＩＤ８０１と出力ポートＩＤ８０２との組み合わせは、図７の７４３〜７４６に相当する。
【００９３】
本実施形態においては、各組み合わせに対して、帯域８０３、速度８０４、変換方式としてトンネリングを行なうＧＥＲまたはＬ２ＴＰ１６０５の設定と、暗号化／復号１６０６を実行しないことが設定されている。本実施形態においては、図１６のように、無線アクセスポイント２１３が接続する内部ポート６０２−２と、企業用ＷＡＮ２６０が接続する外部ポート６０３とを繋ぐパスにおいて、トンネリングが設定されている。
【００９４】
本実施形態によれば、機密性を確保しつつ、通信速度を上げることができる。
【００９５】
［第７実施形態］
次に、本発明の第７実施形態に係るネットワークシステムについて説明する。本実施形態に係るネットワークシステムは、上記第２乃至第６実施形態と比べると、企業ネットワークにおいてルータ間のみでなく各機器やＡＰ間でトンネリングを行なう点で異なる。本実施形態のトンネリングは、ＩＰｓｅｃ方式のトンネリングモードやトランスポートモードを使用したり、ＧＲＥ方式やＬ２ＴＰ方式を使用したりすることで実現できる。その他の構成および動作は、第２乃至第６実施形態と同様であるため、その詳しい説明を省略する。
【００９６】
（動作時のネットワークシステム）
図１７は、本実施形態に係る動作時のネットワークシステム１７００の状態を示すブロック図である。なお、図１７において、第１のネットワークにおけるトンネリング処理は第２実施形態の図３Ａと同様であるので、同じ参照番号を付して説明は省略する。
【００９７】
本実施形態の第２のネットワークは、店舗１７１０の無線アクセスポイント１７１３と無線ＬＡＮスポット提供者ＤＣ１７４０とを企業用ＷＡＮ２６０で接続するネットワークである。無線アクセスポイント１７１３は、無線ＬＡＮスポット２１６内に存在するスマートフォンや携帯電話などの移動端末と通信する。通信端末からの通信データは、無線アクセスポイント１７１３において、少なくとも新ＩＰヘッダによるカプセリング処理および／または暗号化を行ない、処理後の通信データが店舗ルータ１７１１に送られる。店舗ルータ１７１１は、店舗ＬＡＮ１７１２からの送信データをそのまま企業用ＷＡＮ２６０に送出する。
【００９８】
企業用ＷＡＮ２６０内では、店舗ルータ１７１１のカプセリング処理で付された新ＩＰヘッダの宛先に従って各スイッチ２６１を経由し、さらに、提供者ルータ１７４１を経由して、無線ＬＡＮスポット提供者ＤＣ１７４０に送信される。無線ＬＡＮスポット提供者ＤＣ１７４０のＬＡＮに接続する装置において、ＩＰｓｅｃ方式によるトンネリングのためのアンカプセリング処理および／または復号を行ない、通信データを復元する。なお、無線ＬＡＮスポット提供者ＤＣ１７４０から無線アクセスポイント１７１３を経由する通信データ送信にも同様にトンネリング処理が行なわれる。
【００９９】
図１７において、無線アクセスポイント１７１３と無線ＬＡＮスポット提供者ＤＣ１７４０のＬＡＮに接続する装置との間は、トンネル１７０１によって他の回線から隔離された擬似専用線として機能する。この擬似専用線は、第２のネットワークのすべての回線接続時に確立される。そのため、同じ企業用ＷＡＮ２６０を使用した無線ＬＡＮスポット提供者が参入して無線ＬＡＮスポット２１６を追加的に構築しても、第１のネットワークの機密性は維持される。同時に、ネットワーク間の通信回線の機密性がさらに向上する。さらに、盗聴があったとしても暗号化により秘匿性は確保される。
【０１００】
《第２のネットワークにおけるスタック》
図１８は、本実施形態に係る第２のネットワークにおけるスタック１８００の構成を示す図である。なお、図１８のスタック１８００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。図１８では、斜線を施した部分が暗号データ部分１８２３である。なお、図５と同様スタックには同じ参照番号を付して説明を省略する。
【０１０１】
無線アクセスポイント１７１３から店舗ルータ１７１１までのＬＡＮのスタック１８２０においては、ＰＬＣＰヘッダおよびＰＬＣＰプレアンブル５１１に代わり、ＧＲＥヘッダとＩＰヘッダとが付加される。同時に、ＩＰｓｅｃ方式に従う暗号化およびトンネリングを行なう。すなわち、スタック１８２０においては、データ(Data)、IEEE802.11ヘッダ、ＧＲＥヘッダ、ＩＰヘッダ、のすべてが暗号化されて暗号データ部分１８２３となり、暗号化情報を含むＥＳＰヘッダ１８２２と新ＩＰヘッダ１８２１がカプセリング処理のために追加される。さらに、ＬＡＮ番号(eth)が付加される。図１８では、斜線を施した部分がＩＰｓｅｃ方式による暗号データ部分１８２３である。店舗ルータ１７１１は、ＬＡＮ番号(eth)を除くだけのスタック５３０の状態で、そのまま企業用ＷＡＮ２６０に送出する。
【０１０２】
一方、受信側の店舗ルータ１７１１においては、企業用ＷＡＮ２６０中を転送されて来たスタック５３０にＬＡＮ番号(eth)が付加されてスタック１８４０として無線アクセスポイント１７１３に送信する。無線アクセスポイント１７１３において、ＬＡＮ番号(eth)を除き、ＥＳＰヘッダ１８２２に従って暗号データ部スタック５５０を無線ＬＡＮに接続する通信端末に送信する。
【０１０３】
（フォーマット変換テーブル）
図１９は、本実施形態に係るフォーマット変換テーブル６０１ａの構成６０１ａ−４を示す図である。なお、図１９のフォーマット変換テーブル６０１ａの構成６０１ａ−４は一例に過ぎず、同じ機能を果たすのであればフォーマットに制限はない。
【０１０４】
図１９の構成６０１ａ−４においては、入力ポートＩＤ８０１と出力ポートＩＤ８０２とに対応して、その通信方式や処理方式が設定されている。ここで、入力ポートＩＤ８０１と出力ポートＩＤ８０２との組み合わせは、図７の７４３〜７４６に相当する。
【０１０５】
本実施形態においては、各組み合わせに対して、帯域８０３、速度８０４、変換方式としてトンネリング１９０５を行なうか否かの設定と、暗号化／復号１６０６を行なうか否かの設定とがされている。本実施形態において、暗号化／復号もトンネリングのためのカプセリング／アンカプセリングも無線アクセスポイント１７１３で行なわれるので、店舗ルータ１７１１は単に企業用ＷＡＮ２６０へのルーティングのみを行なえばよい。
【０１０６】
本実施形態によれば、装置から装置までの全区間で他のネットワークと隔離でき、機密性をより高めることが可能である。なお、異なるプロトコルの通信区間の数を削減することで、暗号化などの秘匿処理を省くことも可能である。したがって、通信速度も速くなり通信容量も増すことも可能である。
【０１０７】
［他の実施形態］
本実施形態においては、暗号化やトンネリングにおいて使用する方式として、ＩＰｓｅｃ、ＧＲＥ、Ｌ２ＴＰ、あるいはその組み合わせなどを説明した。しかしながら、同じ企業用ＷＡＮを他のサービスネットワーク（第２のネットワーク）が共用しても、企業内ネットワーク（第１のネットワーク）の機密性や秘匿性が保証される方式であれば、あらゆる方式が適用できる。
【０１０８】
また、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。また、それぞれの実施形態に含まれる別々の特徴を如何様に組み合わせたシステムまたは装置も、本発明の範疇に含まれる。
【０１０９】
また、本発明は、複数の機器から構成されるシステムに適用されてもよいし、単体の装置に適用されてもよい。さらに、本発明は、実施形態の機能を実現する情報処理プログラムが、システムあるいは装置に直接あるいは遠隔から供給される場合にも適用可能である。したがって、本発明の機能をコンピュータで実現するために、コンピュータにインストールされる制御プログラム、あるいはその制御プログラムを格納した媒体、その制御プログラムをダウンロードさせるＷＷＷ(World Wide Web)サーバも、本発明の範疇に含まれる。
【技術分野】
【０００１】
本発明は、ワイドエリアネットワークにより接続されたネットワークシステムにおいて、複数の独立したネットワークを運用する技術に関する。
【背景技術】
【０００２】
上記技術分野において、特許文献１には、利用者宅の宅内アクセスポイントをモバイルユーザが使用可能として、モバイルサービス提供事業者からのサービスの提供を受けるネットワークシステムが記載されている。また、特許文献２には、レイヤー３ネットワークであるワイドエリアネットワークを横切って、企業レイヤー２ネットワークを生成する通信技術が記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特願２００４−３１２０８８号公報
【特許文献２】特表２００７−５３２０４３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記文献に記載の技術では、ワイドエリアネットワークの中に複数の独立したネットワークを構成して、既存のネットワークの独立性を維持しながら新規のネットワークサービスを参入させることはできなかった。
【０００５】
本発明の目的は、上述の課題を解決する技術を提供することにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、本発明に係るシステムは、
ワイドエリアネットワークを経由して所定エリアに第１サービスを提供する第１ネットワークと、
前記所定エリアにあって、無線アクセスポイントにより生成された無線ネットワークスポット内の通信端末に、前記ワイドエリアネットワークを経由して第２サービスを提供する第２ネットワークと、
前記第１ネットワークおよび前記第２ネットワークの少なくともいずれか一方に対してトンネリング処理を施すことにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離する分離制御手段と、
を備えることを特徴とする。
【０００７】
上記目的を達成するため、本発明に係る方法は、
ワイドエリアネットワークにより接続されたネットワークシステムにおいて、複数の独立したネットワークを運用する方法であって、
ワイドエリアネットワークを経由して所定エリアにサービスを提供する第１ネットワークを構成する第１構成ステップと、
前記所定エリアにあって、無線アクセスポイントにより生成された無線ネットワークスポット内の通信端末に、前記ワイドエリアネットワークを経由してサービスを提供する第２ネットワークを構成する第２構成ステップと、
前記第１ネットワークおよび前記第２ネットワークの少なくともいずれか一方に対してトンネリング処理を施すことにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離する分離制御ステップと、
を含むことを特徴とする。
【０００８】
上記目的を達成するため、本発明に係る装置は、
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置であって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定手段と、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定手段と、
を有することを特徴とする。
【０００９】
上記目的を達成するため、本発明に係る方法は、
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置での制御方法あって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定ステップと、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定ステップと、
を含むことを特徴とする。
【００１０】
上記目的を達成するため、本発明に係るプログラムは、
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置での制御プログラムあって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定ステップと、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定ステップと、
をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１１】
本発明によれば、既存のネットワークの独立性を維持しながら新規のネットワークサービスを容易に導入することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明の第１実施形態に係るネットワークシステムの構成を示すブロック図である。
【図２】本発明の第２実施形態に係るネットワークシステムの構成を示すブロック図である。
【図３Ａ】本発明の第２実施形態に係る動作時のネットワークシステムの状態を示すブロック図である。
【図３Ｂ】本発明の第２実施形態に係るＩＰｓｅｃ方式の暗号通信におけるネゴシエーション手順を示すシーケンス図である。
【図４】本発明の第２実施形態に係る第１のネットワークにおけるスタックの構成を示す図である。
【図５】本発明の第２実施形態に係る第２のネットワークにおけるスタックの構成を示す図である。
【図６】本発明の第２実施形態に係る店舗ルータの機能構成を示すブロック図である。
【図７】本発明の第２実施形態に係る店舗ルータのハードウェア構成を示すブロック図である。
【図８】本発明の第２実施形態に係るフォーマット変換テーブルの構成を示す図である。
【図９】本発明の第２実施形態に係る店舗ルータの処理手順を示すフローチャートである。
【図１０】本発明の第３実施形態に係る動作時のネットワークシステムの状態を示すブロック図である。
【図１１】本発明の第３実施形態に係る第１のネットワークにおけるスタックの構成を示す図である。
【図１２】本発明の第３実施形態に係るフォーマット変換テーブルの構成を示す図である。
【図１３】本発明の第３実施形態に係る店舗ルータの処理手順を示すフローチャートである。
【図１４】本発明の第４実施形態に係る第１のネットワークにおけるスタックの構成を示す図である。
【図１５】本発明の第５実施形態に係る第１のネットワークにおけるスタックの構成を示す図である。
【図１６】本発明の第６実施形態に係るフォーマット変換テーブルの構成を示す図である。
【図１７】本発明の第７実施形態に係る動作時のネットワークシステムの状態を示すブロック図である。
【図１８】本発明の第７実施形態に係る第２のネットワークにおけるスタックの構成を示す図である。
【図１９】本発明の第７実施形態に係るフォーマット変換テーブルの構成を示す図である。
【発明を実施するための形態】
【００１３】
以下に、図面を参照して、本発明の実施の形態について例示的に詳しく説明する。ただし、以下の実施の形態に記載されている構成要素は単なる例示であり、本発明の技術範囲をそれらのみに限定する趣旨のものではない。
【００１４】
［第１実施形態］
本発明の第１実施形態としてのネットワークシステム１００について、図１を用いて説明する。ネットワークシステム１００は、ワイドエリアネットワークにより接続されたネットワークシステムである。
【００１５】
図１に示すように、ネットワークシステム１００は、第１ネットワーク１１０と、第２ネットワーク１２０と、分離制御部１３０と、を含む。第１ネットワーク１１０は、ワイドエリアネットワーク１０１を経由して所定エリア１０２に第１サービスを提供する。第２ネットワーク１２０は、所定エリア１０２にあって、無線アクセスポイント１０３により生成された無線ネットワークスポット１０４内の通信端末１０５に、ワイドエリアネットワーク１０１を経由して第２サービスを提供する。分離制御部１３０は、第１ネットワーク１１０および第２ネットワーク１２０の少なくともいずれか一方に対してトンネリング処理（１０１ａまたは１０１ｂ）を施す。これにより、第１ネットワーク１１０および第２ネットワーク１２０が使用する通信回線を論理的に分離する。
【００１６】
本実施形態によれば、ワイドエリアネットワークの中に複数の独立したネットワークを構成して、既存のネットワークの機密性を維持しながら新規のネットワークサービスの参入を容易にすることできる。
【００１７】
［第２実施形態］
次に、本発明の第２実施形態に係るネットワークシステムについて説明する。本実施形態においては、元々有線通信回線を持っている店舗などに、新たに無線ＬＡＮスポット（いわゆるホットスポット（登録商標））を導入した場合の構成を示している。なお、本実施形態の有線通信回線において、いずれの通信回線を無線通信回線に代替することによっても同等の効果が達成され、これらの構成も本実施形態の構成に含まれる。
【００１８】
（関連技術）
現在、スマートフォン等のスマートデバイスが爆発的な勢いで普及しており、携帯用ネットワークにおける通信負荷の大きさ、およびそれを要因とする通信速度の低下が問題となっている。この問題を解決するため、スマートデバイスが携帯用ネットワークを用いずにインターネット通信を行なうことのできる無線ＬＡＮスポットの導入が進んでいる。例えば、携帯キャリアが顧客満足度を向上させるため、無線ＬＡＮスポットを流通業の店舗（コンビニエンスストアなど）に導入しようとしている。流通業側も、集客効果を期待して、そのような無線ＬＡＮスポットを導入することに積極的な動きを見せている。しかし、無線ＬＡＮスポットを導入しようとして、光ファイバーなどの通信回線を新たに敷設すると、コスト負担、管理負担が大きくなる。
【００１９】
一方、コンビニエンスストアなどの店舗には、企業ネットワークを構築するために光ファイバーなどの有線通信回線がすでに導入されており、しかもその通信トラフィックには余裕が十分ある。そこで、ここではその光ファイバーなどの有線通信回線を、無線ＬＡＮスポット用にシェアすることを提案する。元々のネットワーク管理者が、無線ＬＡＮスポットと店舗との間の関係を取り持ち、無線ＬＡＮスポット関係のネットワークの管理や無線ＬＡＮスポット導入費用の回収などを一元管理すれば、店舗にとって非常に無線ＬＡＮスポットを導入しやすくなる。また、店舗が元々支払っていた通信回線維持費用の一部を無線ＬＡＮスポット事業者（携帯キャリアなど）が負担すれば、店舗側にとっても費用面でのメリットが大きく、店舗側が無線ＬＡＮを利用できるというメリットもある。無線ＬＡＮスポット事業者にとっても、無線ＬＡＮスポットの導入負担（導入費用、手間など）を小さくすることができるため、メリットがある。ただし、元々導入されていた企業ネットワーク用の通信回線に対して、無線ＬＡＮスポット用の通信回線が影響を及ぼしたり、情報漏洩の原因となったりすることは回避しなければならない。本実施形態では、以下のように、無線ＬＡＮスポット事業者と、店舗側の無線ＬＡＮスポット用アクセスポイントとの間を繋ぐネットワークをＩＰｓｅｃ(Security Architecture for IP)方式によりトンネルリングし、既存の企業ネットワークへの影響を回避している。
【００２０】
《ネットワークシステムの構成》
図２は、本実施形態に係るネットワークシステム２００の構成を示すブロック図である。ネットワークシステム２００は、企業用ＷＡＮ（Wide Area Network）２６０を中心とするシステムである。企業用ＷＡＮ２６０は、専用回線あるいは擬似的な専用回線により構成されている。ネットワークシステム２００内には、複数（図２の例では２つ）の独立したネットワークが仮想的に構築されている。
【００２１】
１つは、店舗２１０内の店舗ＬＡＮ(Local Area Network)２１２と企業データセンタ（以下、企業ＤＣと称す）２２０，２３０とを結ぶ第１のネットワークである。店舗２１０には、企業用ＷＡＮ２６０に対し、店舗ルータ２１１を介して店舗ＬＡＮ２１２が接続される。そして、店舗ＬＡＮ２１２には各種通信端末２１４が接続される。一方、企業ＤＣ２２０，２３０にはそれぞれ、企業用ＷＡＮ２６０に対し、センタルータ２２１，２３１を介してセンタＬＡＮ２２２，２３２が接続される。なお、店舗ＬＡＮ２１２には、無線アクセスポイント（図中、無線ＡＰと称す）が接続されてもよい。例えば、店舗であれば、店員のハンディターミナルの無線通信に使用される。
【００２２】
もう１つは、店舗２１０内において、無線アクセスポイント２１３と無線ＬＡＮスポット提供者データセンタ（以下、無線ＬＡＮスポット提供者ＤＣと称す）２４０とを結ぶ第２のネットワークである。無線アクセスポイント２１３は、企業用ＷＡＮ２６０に対し、店舗ルータ２１１を介して接続される。これにより無線アクセスポイント２１３は、店舗内に無線ＬＡＮスポットを形成する。そして、無線アクセスポイント２１３には各種通信端末２１５が無線接続される。一方、無線ＬＡＮスポット提供者ＤＣ２４０は、企業用ＷＡＮ２６０に対し提供者ルータ２４１を介して接続される。無線ＬＡＮスポット提供者ＤＣ２４０は、さらにインターネット２７０を介して外部に接続されている。
【００２３】
なお、図２には１つの店舗２１０しか図示されていないが、実際には企業用ＷＡＮ２６０に対して複数の店舗が接続される。そして、企業用ＷＡＮ２６０が複数の店舗間の通信を実現する。また、図２では店舗単位で店舗ＬＡＮと無線ＬＡＮスポットが形成される場合について示したが、支社・支店・営業所など、ビルの１フロアや部屋、交通機関の駅などに企業ＬＡＮと無線ＬＡＮスポットとを形成してもよい。
【００２４】
さらに、上記第１、第２ネットワークに加えて、ネットワークあるいはネットワーク機器の保守点検を行なうための監視センタ２５０を設けて、独立した監視ネットワークを設けることも可能である。
【００２５】
（動作時のネットワークシステム）
図３Ａは、本実施形態に係る動作時のネットワークシステム２００の状態を示すブロック図である。また、図３Ａにおいては、企業ＤＣ、無線ＬＡＮスポット提供者ＤＣ、および店舗はいずれも１つずつ存在するものとして説明するが、その数に制限はない。
【００２６】
第１のネットワークは、図２でも示したように、店舗２１０の店舗ＬＡＮ２１２と企業ＤＣ２２０，２３０とを企業用ＷＡＮ２６０で接続するネットワークである。店舗ＬＡＮ２１２には無線アクセスポイントやＰＯＳが接続されており、それぞれ店舗内全エリアを企業イントラネット用の無線エリア３１２としてタブレットＰＣやハンディターミナルの通信端末と通信する。通信端末からの通信データはそのまま、あるいはＰＯＳなどで処理されて、店舗ルータ２１１に送られる。店舗ルータ２１１は、本実施形態のＩＰｓｅｃ方式による暗号化処理やカプセリング処理を行なわず、通信データを企業用ＷＡＮ２６０に送出する。企業用ＷＡＮ２６０内では、ＩＰヘッダの宛先に従い各スイッチ２６１を経由して、企業ＤＣ２２０，２３０のセンタルータ２２１，２３１に送信される。センタルータ２２１，２３１を介して通信データが、企業ＤＣ２２０，２３０のＬＡＮに送信される。なお、店舗ＬＡＮ２１２間の通信データ送信、および、企業ＤＣ２２０，２３０から店舗ＬＡＮ２１２への通信データ送信も同様に行なわれる。
【００２７】
無線ＬＡＮスポット提供者が提供する第２のネットワークは、図２でも示したように、店舗２１０の無線アクセスポイント２１３と無線ＬＡＮスポット提供者ＤＣ２４０とを企業用ＷＡＮ２６０で接続するネットワークである。
【００２８】
図３Ａの店舗ルータ２１１に接続された無線アクセスポイント２１３は、店舗内の全エリアあるいは一部エリアに無線ＬＡＮスポット２１６を構築する。これにより、無線ＬＡＮスポット２１６内に存在するスマートフォンや携帯電話などの移動端末はインターネットにアクセスできる。
【００２９】
本実施形態では、店舗ルータ２１１は、無線ＬＡＮスポット２１６内に存在する移動端末から出力された通信データに対しては、ＩＰｓｅｃ方式により暗号化処理およびトンネリングのためのカップリング処理を行なって、企業用ＷＡＮ２６０に送出する。企業用ＷＡＮ２６０内では、新ＩＰヘッダの宛先に従い各スイッチ２６１を経由して、無線ＬＡＮスポット提供者ＤＣ２４０の提供者ルータ２４１に送信される。提供者ルータ２４１において、ＩＰｓｅｃ方式によりトンネリングのためのアンカップリング処理および復号処理を行なって、通信データが無線ＬＡＮスポット提供者ＤＣ２４０のＬＡＮに送信される。なお、無線ＬＡＮスポット提供者ＤＣ２４０から無線アクセスポイント２１３への通信データ送信も同様に行なわれる。無線ＬＡＮスポット提供者ＤＣ２４０からは、さらに外部に対してインターネット２７０を介してデータ通信が行なわれる。
【００３０】
図３Ａにおいて、店舗ルータ２１１と提供者ルータ２４１との間は、トンネル３０１によって他の回線から隔離された擬似専用線として機能する。この擬似専用線は、第２のネットワークのすべての回線接続時に確立される。
【００３１】
このように、他のローカルエリアネットワークを宛先とし少なくともトンネリングプロトコルに従うフォーマット変換を行なう店舗ルータ２１１を配置することによって、少ない設備投資で複数の独立したネットワークを運用することが可能になる。ここで、店舗２１０において、店舗ＬＡＮ２１２の無線アクセスポイントやＰＯＳによる無線エリア３１２と、無線ＬＡＮスポット提供者ＤＣ２４０に接続する無線アクセスポイント２１３の無線ＬＡＮスポット２１６とは、重なる場合が多い。この場合に各通信端末がいずれの無線アクセスポイントと接続するかは、既知のサービスセット識別子（ＳＳＩＤ：Service Set Identifier／ＥＳＳＩＤ：Extended Service Set Identifier／ＢＳＳＩＤ：Basic Service Set Identifier）により選択および識別が可能となる。
【００３２】
《ＩＰｓｅｃの暗号通信におけるネゴシエーション》
図３Ｂは、本実施形態に係るＩＰｓｅｃ方式の暗号通信におけるネゴシエーション手順３００を示すシーケンス図である。かかるネゴシエーション手順３００の詳細については、インターネット通信規格のＲＦＣ（Request for Comments）に規定されているので、詳細な説明は省略する。
【００３３】
まず、ステップＳ３２１において、フェーズ１の処理として、店舗ルータ２１１とセンタルータ２２１，２３１との間で、フェーズ２で使用する暗号方式の決定と暗号鍵の生成を行なう。次に、ステップＳ３２３において、フェーズ２の処理として、ＩＰｓｅｃで使用する暗号方式と暗号鍵などの合意（ＳＡ：Security Association）を決定する。
【００３４】
これらフェーズ１とフェーズ２とのネゴシエーションが終了した後に、ステップＳ３２５において、ＩＰｓｅｃ方式による暗号通信（本実施形態においては、トンネリングも共に）が行なわれることになる。
【００３５】
《第１のネットワークにおけるスタック》
図４は、本実施形態に係る第１のネットワークにおけるスタック４００の構成を示す図である。なお、図４のスタック４００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。
【００３６】
通信端末２１４から店舗ルータ２１１までの店舗ＬＡＮ２１２のスタック４１０においては、送信データ(Data)４１３に、送信元および宛先を含むＩＰヘッダ４１２と、ＬＡＮ上でのイーサネット（登録商標）番号(eth)４１１とが付加されている。以下、イーサネット（登録商標）番号は、“ＬＡＮ番号”と言い替える。
【００３７】
店舗ルータ２１１から企業用ＷＡＮ２６０に送出するスタック４２０においては、ＩＰｓｅｃ方式に従う暗号化もトンネリング処理用のカプセリングも行なわない。図４においては、既存の第１のネットワークで実施していた処理はそのまま維持されるので、Ａｎｙ４２１として示している。ＩＰｓｅｃ方式に従う処理を受けなかったデータは、企業用ＷＡＮ２６０上を他の店舗ルータ２１１やセンタルータ２２１，２３１に送られる。
【００３８】
受信側の店舗ルータ２１１やセンタルータ２２１，２３１においては、企業用ＷＡＮ２６０中を転送されて来たスタック４２０からＡｎｙ４２１を取り除き、ＬＡＮ番号(eth)４３１が付加されてスタック４３０となり、ＬＡＮ上に送出される。
【００３９】
《第２のネットワークにおけるスタック》
図５は、本実施形態に係る第２のネットワークにおけるスタック５００の構成を示す図である。なお、図５のスタック５００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。また、図５では、無線アクセスポイント２１３と店舗ルータ２１１との間をＬＡＮ接続としたが、これに限定されず他の接続であればその方式に従うスタックが生成される。
【００４０】
通信端末２１５から無線アクセスポイント２１３への無線ＬＡＮにおけるスタック５１０は、送信データ(Data)５１６にIEEE(Institute of Electrical and Electronic Engineers)802.11ヘッダ５１２と、ＰＬＣＰ(Physical Layer Convergence Protocol)ヘッダおよびＰＬＣＰプレアンブル５１１が付加されている。IEEE802.11ヘッダ５１２内では、Addr.1（５１３）にＳＳＩＤが記憶され、Addr.2（５１４）に送信元ＭＡＣ(Media Access Control)アドレスが記憶され、Addr.3（５１５）に宛先ＭＡＣアドレスが記憶される。
【００４１】
無線アクセスポイント２１３から店舗ルータ２１１までのＬＡＮのスタック５２０においては、ＰＬＣＰヘッダおよびＰＬＣＰプレアンブル５１１に代わり、ＧＲＥ(Generic Routing Encapsulation)ヘッダ５２２とＩＰヘッダ５２１と、ＬＡＮ番号(eth)とが付加される。
【００４２】
店舗ルータ２１１から企業用ＷＡＮ２６０を介して提供者ルータ２４１に送出する、あるいは提供者ルータ２４１から企業用ＷＡＮ２６０を介して店舗ルータ２１１に受信するスタック５３０において、本実施形態においてはＩＰｓｅｃ方式に従う暗号化およびトンネリングを行なう。すなわち、スタック５３０においては、データ(Data)、IEEE802.11ヘッダ、ＧＲＥヘッダ、ＩＰヘッダ、のすべてが暗号化されて暗号データ部分５３３となり、暗号化情報を含むＥＳＰヘッダ（Encapsulating Security Payload Header）５３２と新ＩＰヘッダ５３１がカプセリング処理のために追加される。図５では、斜線を施した部分がＩＰｓｅｃ方式による暗号データ部分５３３である。
【００４３】
一方、受信側の店舗ルータ２１１においては、企業用ＷＡＮ２６０中を転送されて来たスタック５３０をＥＳＰヘッダ５３２に従って暗号データ部分５３３を復号して、ＥＳＰヘッダ５３２と新ＩＰヘッダ５３１を取って、ＬＡＮ番号(eth)が付加されてスタック５４０となる。そして、ＬＡＮ上に無線アクセスポイント２１３に向け送出される。無線アクセスポイント２１３においては、ＬＡＮ番号(eth)およびＩＰヘッダ、ＧＲＥヘッダを取って、ＰＬＣＰヘッダおよびＰＬＣＰプレアンブル５１１が付加されて通信端末２１５に無線通信される。なお、下りのIEEE802.11ヘッダ５５２においては、Addr.1（５５３）に宛先ＭＡＣアドレスが記憶され、Addr.2（５５４）にＳＳＩＤが記憶され、Addr.3（５５５）に送信元ＭＡＣアドレスが記憶される。そして、通信端末２１５において、受信データ(Data)５５６が受信される。
【００４４】
《店舗ルータの構成》
次に、本実施形態において、ＩＣｓｅｃ方式による暗号化およびトンネリングを行なう店舗ルータ２１１の構成を説明する。
【００４５】
（機能構成）
図６は、本実施形態に係る店舗ルータ２１１の機能構成を示すブロック図である。なお、図６の機能構成要素は、本実施形態の実施に重要な構成要素を示し、他の店舗ルータ２１１の動作に必要な構成要素は省略している。
【００４６】
図６のように、店舗ルータ２１１は、店舗ルータ２１１の全体を制御する制御部６０１を有する。制御部６０１には、各ポートへの接続に対応付けて、暗号化やトンネリングなどの処理方式を設定するフォーマット変換テーブル６０１ａを有する（図８参照）。また、店舗ＬＡＮ２１２と接続する内部ポート６０２−１と無線アクセスポイント２１３と接続する内部ポート６０２−２とを有する。また、企業用ＷＡＮ２６０と接続する外部ポート６０３を有する。なお、内部ポートも外部ポートも数に制限はない。
【００４７】
また、店舗ルータ２１１は、内部ポート６０２−１から外部ポート６０３へのデータを暗号化およびカプセリングする送信用フォーマット変換部６０４と、外部ポート６０３から内部ポート６０２−１へのデータをアンカプセリングおよび復号する受信用フォーマット変換部６０５と、を有する。なお、本実施形態においては、送信用フォーマット変換部６０４と受信用フォーマット変換部６０５とは、ＩＰｓｅｃ方式による処理はしない。また、店舗ルータ２１１は、内部ポート６０２−２から外部ポート６０３へのデータを暗号化およびカプセリングする送信用フォーマット変換部６０６と、外部ポート６０３から内部ポート６０２−１へのデータをアンカプセリングおよび復号する受信用フォーマット変換部６０７と、を有する。上記いずれのフォーマット変換部も制御部６０１のフォーマット変換テーブル６０１ａに従いその処理を決定する。
【００４８】
また、パケット詰込部６０８とパケット分離部６０９とを有する。パケット詰込部６０８は、送信用フォーマット変換部６０４の出力パケットと、送信用フォーマット変換部６０６の出力パケットとを、１ラインの回線のタイムスロットに詰め込んで外部ポート６０３に出力する。一方、パケット分離部６０９は、外部ポート６０３に入力された企業用ＷＡＮ２６０から受信したパケットを、その宛先に従い受信用フォーマット変換部６０５と受信用フォーマット変換部６０７とに振り分ける。
【００４９】
このような構成により、無線アクセスポイント２１３と企業用ＷＡＮとを経由する通信には、送信用フォーマット変換部６０６が暗号化およびカプセリングを施し、受信用フォーマット変換部６０７がアンカプセリングおよび復号を施す。これにより、１専用線／１専用回線中に擬似専用回線が構築される。したがって、無線アクセスポイント２１３と企業用ＷＡＮ２６０を経由する無線ＬＡＮスポット提供者による無線ＬＡＮスポット２１６へのサービスは、店舗ＬＡＮ２１２と企業用ＷＡＮとを経由する第１のネットワークへの影響なしに実現できる。なお、本実施形態においては、店舗ＬＡＮ２１２と企業ＤＣ２２０，２３０との通信は、無線アクセスポイント２１３の設置の影響なしに実施可能である。
【００５０】
（ハードウェア構成）
図７は、本実施形態に係る店舗ルータ２１１のハードウェア構成を示すブロック図である。
【００５１】
図７で、ＣＰＵ７１０は演算制御用のプロセッサであり、プログラムを実行することで図６の店舗ルータ２１１の各機能構成部を実現する。ＲＯＭ７２０は、初期データおよびプログラムなどの固定データおよびプログラムを記憶する。
【００５２】
ＲＡＭ７４０は、ＣＰＵ７１０が一時記憶のワークエリアとして使用するランダムアクセスメモリである。ＲＡＭ７４０には、本実施形態の実現に必要なデータを記憶する領域が確保されている。７４１は、図６の内部ポート６０２−１、内部ポート６０２−２、外部ポート６０３などがデータ受信を検出したイベントを記憶する領域である。７４２は、図６の各フォーマット変換部が行なう変換や現在のステータスを記憶する領域である。７４３〜７４６は、現在処理中のパケットを記憶する領域である。７４３は店舗ＬＡＮから企業用ＷＡＮへのパケット、７４４は企業用ＷＡＮから店舗ＬＡＮへのパケット、７４５は無線アクセスポイントから企業用ＷＡＮへのパケット、７４６は企業用ＷＡＮから無線アクセスポイントへのパケットをそれぞれ記憶する。
【００５３】
ストレージ７５０は、データベースや各種のパラメータ、あるいは本実施形態の実現に必要な以下のデータまたはプログラムが記憶されている。６０１ａは、図６にも示した、フォーマット変換テーブルである（図８参照）。７５１は、本店舗ルータ２１１が有するフォーマット変換機能のアルゴリズムである。
【００５４】
ストレージ７５０には、以下のプログラムが格納される。７５２には、店舗ルータ２１１の全体を制御するルータ制御プログラムが格納される。７５３には、ルータ制御プログラム７５２において、フォーマット変換を制御するフォーマット変換モジュールが格納される。７５４には、ルータ制御プログラム７５２において、入出力するパケットのルーティングを制御するパケットルーティング制御モジュールが格納される。
【００５５】
入出力インタフェース７６０は、ＣＰＵ７１０がハードウェア構成からなる各構成要素の監視および制御をするためのインタフェースを行なう。本実施形態においては、入出力インタフェース７６０には、ＣＰＵ７１０により監視および制御される内部ポート６０２−１および６０２−２、外部ポート６０３、複数のフォーマット変換部６０４〜６０７、パケット詰込部６０８、パケット分離部６０９が接続される。
【００５６】
なお、図７には、本実施形態に必須なデータやプログラムのみが示されており、本実施形態に関連しないデータやプログラムは図示されていない。
【００５７】
（フォーマット変換テーブル）
図８は、本実施形態に係るフォーマット変換テーブル６０１ａの構成６０１ａ−１を示す図である。なお、図８のフォーマット変換テーブル６０１ａの構成６０１ａ−１は一例に過ぎず、同じ機能を果たすのであればフォーマットに制限はない。
【００５８】
図８の構成６０１ａ−１においては、入力ポートＩＤ８０１と出力ポートＩＤ８０２とに対応して、その通信方式や処理方式が設定されている。ここで、入力ポートＩＤ８０１と出力ポートＩＤ８０２との組み合わせは、図７の７４３〜７４６に相当する。
【００５９】
本実施形態においては、各組み合わせに対して、帯域８０３、速度８０４、変換方式としてＩＰｓｅｃ８０５が設定されている。さらに、ＩＰｓｅｃ８０５のトンネリング８０６と暗号化／復号８０７を実行するか否かが設定されている。本実施形態においては、図８のように、無線アクセスポイント２１３が接続する内部ポート６０２−２と、企業用ＷＡＮ２６０が接続する外部ポート６０３とを繋ぐパスにおいて、ＩＰｓｅｃ方式による暗号化とトンネリングとが設定されている。
【００６０】
《店舗ルータの処理手順》
図９は、本実施形態に係る店舗ルータ２１１の処理手順を示すフローチャートである。このフローチャートは、図７のＣＰＵ７１０によりＲＡＭ７４０を用いながら実行されて、図６の構成における本実施形態の処理を実現する。
【００６１】
まず、ステップＳ９１１とＳ９２１とＳ９３１において、それぞれ、内部ポート６０２−１におけるデータ受信か、内部ポート６０２−２におけるデータ受信か、外部ポート６０３におけるデータ受信か、のイベントを判定する。
【００６２】
内部ポート６０２−１におけるデータ受信の場合はステップＳ９１３に進んで、パケットを外部ポート６０３から企業用ＷＡＮ２６０に送出し、宛先のルータにトンネリング無しの転送を行なう。
【００６３】
内部ポート６０２−２におけるデータ受信の場合はステップＳ９２３に進んで、ＩＰｓｅｃ方式による暗号化処理を行なう。さらに、ステップＳ９２５において、トンネリングのためのＩＰｓｅｃ方式によるカプセリング処理を行なう。なお、ステップＳ９２３とＳ９２５とは同時に行なわれてよい。そして、ステップＳ９１３において、ＩＰｓｅｃ方式による暗号化処理とカプセリング処理とを行なったパケットを外部ポート６０３から企業用ＷＡＮ２６０に送出し、宛先のルータにトンネリング有りの転送を行なう。
【００６４】
外部ポート６０３におけるデータ受信の場合はステップＳ９３３に進んで、宛先から内部ポート６０２−１からの送信であるか否かを判定する。内部ポート６０２−１からの送信であればステップＳ９３５に進んで、パケットを内部ポート６０２−１から店舗ＬＡＮ２１２に送出し、宛先の通信端末へのデータ転送を行なう。一方、内部ポート６０２−２からの送信であればステップＳ９４１に進んで、トンネリングのためのＩＰｓｅｃ方式によるアンカプセリング処理を行なう。さらに、ステップＳ９４３において、ＩＰｓｅｃ方式による復号処理を行なう。なお、ステップＳ９４１とＳ９４３とは同時に行なわれてよい。そして、ステップＳ９４５において、ＩＰｓｅｃ方式によるアンカプセリング処理と復号処理とを行なったパケットを内部ポート６０２−２から無線アクセスポイント２１３に送出し、宛先の通信端末へのデータ転送を行なう。
【００６５】
本実施形態により、企業ネットワークの店舗（支店）ＬＡＮ間やデータセンタとの間を繋ぐネットワークに変更を加えることなく、かつ、機密性を維持して、企業ネットワークを使用して各店舗にホットスポット（登録商標）を展開することにより、少ない設備投資でサービスを提供可能となる。
【００６６】
［第３実施形態］
次に、本発明の第３実施形態に係るネットワークシステムについて説明する。本実施形態に係るネットワークシステムは、上記第２実施形態と比べると、店舗ＬＡＮ２１２と企業ＤＣ２２０，２３０との接続についても、ＩＰｓｅｃ方式によるトンネリングを行なう点で異なる。その他の構成および動作は、第２実施形態と同様であるため、その詳しい説明を省略する。
【００６７】
本実施形態によれば、企業ネットワークとＡＰネットワークとを完全に切り離すことが可能となり、互いの機密性をより強化することができる。
【００６８】
（動作時のネットワークシステム）
図１０は、本実施形態に係る動作時のネットワークシステム１０００の状態を示すブロック図である。なお、図１０において、第２のネットワークにおけるトンネリング処理は第２実施形態の図３と同様であるので、同じ参照番号を付して説明は省略する。
【００６９】
図１０において、店舗１０１０の店舗ルータ１０１１により、店舗ＬＡＮ２１２からの送信データは、ＩＰｓｅｃ方式により暗号化およびカプセリング処理される。企業用ＷＡＮ２６０内では、店舗ルータ１０１１のカプセリング処理で付された新ＩＰヘッダの宛先に従って各スイッチ２６１を経由して、企業ＤＣ１０２０，１０３０のセンタルータ１０２１，１０３１に送信される。センタルータ１０２１，１０３１は、ＩＰｓｅｃ方式によるトンネリングのためのアンカプセリング処理と、復号処理とを行ない、センタＬＡＮに通信データを送信する。なお、企業ＤＣ１０２０，１０３０から店舗ＬＡＮ２１２への通信データ送信も同様に暗号化とトンネリングとが行なわれる。
【００７０】
図１０において、店舗ルータ１０１１とセンタルータ１０２１，１０３１との間は、トンネル１００２によって他の回線から隔離された擬似専用線として機能する。この擬似専用線は、第１のネットワークのすべての回線接続時に確立される。そのため、同じ企業用ＷＡＮ２６０を使用した無線ＬＡＮスポット提供者が参入して無線ＬＡＮスポット２１６を追加的に構築しても、第１のネットワークの機密性はより強固に維持される。さらに、盗聴があったとしても暗号化により秘匿性は確保される。なお、図１０には、無線アクセスポイントとＰＯＳとを図示したが、店舗１０１０が支店などに置き換えられた場合は、支店ＬＡＮにパーソナルコンピュータ（以下ＰＣ）やサーバが接続されることになる。
【００７１】
《第１のネットワークにおけるスタック》
図１１は、本実施形態に係る第１のネットワークにおけるスタック１１００の構成を示す図である。なお、図１１のスタック１１００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。図１１では、斜線を施した部分が暗号データ部分１１２３である。なお、図４と共通の部分については、同じ参照番号を付して説明を省略する。
【００７２】
店舗ルータ１０１１から企業用ＷＡＮ２６０に送出するスタック１１２０においては、ＩＰｓｅｃ方式に従い、この送信データ４１３とＩＰヘッダ４１２とを暗号化して暗号データ部分１１２３を生成する。そして、暗号化情報を含むＥＳＰヘッダ１１２２と新ＩＰヘッダ１１２１とを付加することによりカプセリングする。そして、企業用ＷＡＮ２６０中を新ＩＰヘッダ１１２１の宛先に転送することにより、トンネリングを実現する。このカプセリングされた暗号データは、企業用ＷＡＮ２６０上を他の店舗ルータ１０１１やセンタルータ１０２１，１０３１に送られる。
【００７３】
受信側の店舗ルータ１０１１やセンタルータ１０２１，１０３１においては、企業用ＷＡＮ２６０中を転送されて来たスタック１１２０からＥＳＰヘッダ１１２２に基づきＩＰヘッダ４３２と受信データ４３３とが復号される。そして、ＥＳＰヘッダ１１２２と新ＩＰヘッダ１１２１とを取り除き、ＬＡＮ番号(eth)４３１が付加されてスタック４３０となり、ＬＡＮ上に送出される。
【００７４】
（フォーマット変換テーブル）
図１２は、本実施形態に係るフォーマット変換テーブル６０１ａの構成６０１ａ−２を示す図である。なお、図１２のフォーマット変換テーブル６０１ａの構成６０１ａ−２は一例に過ぎず、同じ機能を果たすのであればフォーマットに制限はない。
【００７５】
図１２の構成６０１ａ−２においては、入力ポートＩＤ８０１と出力ポートＩＤ８０２とに対応して、その通信方式や処理方式が設定されている。ここで、入力ポートＩＤ８０１と出力ポートＩＤ８０２との組み合わせは、図７の７４３〜７４６に相当する。
【００７６】
本実施形態においては、各組み合わせに対して、帯域８０３、速度８０４、変換方式としてＩＰｓｅｃ１２０５が設定されている。さらに、第２実施形態の図８とは異なる、ＩＰｓｅｃ１２０５のトンネリング１２０６と暗号化／復号１２０７を実行するか否かが設定されている。本実施形態においては、図１２のように、無線アクセスポイント２１３が接続する内部ポート６０２−２と、企業用ＷＡＮ２６０が接続する外部ポート６０３とを繋ぐパスにおいても、店舗ＬＡＮ２１２が接続する内部ポート６０２−１と、企業用ＷＡＮ２６０が接続する外部ポート６０３とを繋ぐパスにおいても、ＩＰｓｅｃ方式による暗号化とトンネリングとが設定されている。
【００７７】
《店舗ルータの処理手順》
図１３は、本実施形態に係る店舗ルータ１０１１の処理手順を示すフローチャートである。このフローチャートは、図７のＣＰＵ７１０によりＲＡＭ７４０を用いながら実行されて、図６における本実施形態の処理を実現する。なお、図１３のステップにおいて、図９と同様の処理には同じステップ番号を付して説明は省略する。
【００７８】
内部ポート６０２−１におけるデータ受信の場合は、ステップＳ９１１からＳ１３１５に進んで、ＩＰｓｅｃ方式による暗号化処理を行なう。さらに、ステップＳ１３１７において、トンネリングのためのＩＰｓｅｃ方式によるカプセリング処理を行なう。なお、ステップＳ１３１５とＳ１３１７とは同時に行なわれてよい。そして、ステップＳ９１３において、ＩＰｓｅｃ方式による暗号化処理とカプセリング処理とを行なったパケットを外部ポート６０３から企業用ＷＡＮ２６０に送出し、宛先のルータにトンネリング有りの転送を行なう。
【００７９】
外部ポート６０３におけるデータ受信の場合はステップＳ９３３に進んで、宛先から内部ポート６０２−１からの送信であるか否かを判定する。内部ポート６０２−１からの送信であればステップＳ１３３７に進んで、トンネリングのためのＩＰｓｅｃ方式によるアンカプセリング処理を行なう。さらに、ステップＳ１３３９において、ＩＰｓｅｃ方式による暗復号処理を行なう。なお、ステップＳ１３３７とＳ１３３９とは同時に行なわれてよい。そして、ステップＳ９３５において、ＩＰｓｅｃ方式によるアンカプセリング処理と復号処理とを行なったパケットを内部ポート６０２−１から店舗ＬＡＮ２１２に送出し、宛先の通信端末へのデータ転送を行なう。
【００８０】
［第４実施形態］
次に、本発明の第４実施形態に係るネットワークシステムについて説明する。本実施形態に係るネットワークシステムは、上記第２実施形態と比べると、トンネリングをＩＰｓｅｃ方式ではなくＧＲＥ方式で行なう点で異なる。なお、本実施形態では暗号化にＩＰｓｅｃを使用する。その他の構成および動作は、第２実施形態と同様であるため、その詳しい説明を省略する。
【００８１】
《第１のネットワークにおけるスタック》
図１４は、本実施形態に係る第１のネットワークにおけるスタック１４００の構成を示す図である。なお、図１４のスタック１４００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。図１４のスタック１４００と図５のスタック５００との相違点は、特に、店舗ルータ２１１から企業用ＷＡＮ２６０を経由する通信経路におけるスタック１４３０である。他のスタック１４２０や１４４０も図５と類似なので、同じ参照番号を付して説明は省略する。本実施形態では、ＩＰｓｅｃ方式でなくＧＲＥとＩＰｓｅｃとを組み合わせたＧＥＲ／ＩＰｓｅｃ方式を使用する。図１４では、斜線を施した部分が暗号データ部分１４３２である。
【００８２】
店舗ルータ２１１から企業用ＷＡＮ２６０に送出するスタック１４３０においては、ＧＲＥ／ＩＰｓｅｃ方式に従い、ＬＡＮ番号(eth)を除いたスタック１４２０と、さらにＧＲＥヘッダとを暗号化した暗号データ部分１４３２に、暗号化情報を含むＥＳＰヘッダと新ＩＰヘッダとを付加することによりカプセリングする。すなわち、暗号化されたＧＲＥヘッダと、ＥＳＰヘッダおよび新ＩＰヘッダとが、ＧＲＥ／ＩＰｓｅｃ方式によりカプセリング／暗号化されたスタック１４３０の特徴部分１４３１となる。そして、企業用ＷＡＮ２６０中を新ＩＰヘッダの宛先に転送することにより、トンネリングを実現する。このカプセリングされた暗号データが、企業用ＷＡＮ２６０上を無線ＬＡＮスポット提供者ＤＣ２４０の提供者ルータ２４１に向けて送られる。
【００８３】
受信側の店舗ルータ２１１においては、企業用ＷＡＮ２６０中を転送されて来たスタック１４３０からＥＳＰヘッダに基づき、ＧＲＥヘッダとＩＰヘッダと無線ＬＡＮ用の受信データとが復号される。そして、ＧＲＥヘッダとＥＳＰヘッダと新ＩＰヘッダとを取り除き、ＬＡＮ番号(eth)が付加されてスタック１４４０となり、ＬＡＮ上に送出される。
【００８４】
本実施形態によれば、ＧＲＥ方式を併用することによって、ＩＰｓｅｃ方式と同様の結果を得ることが可能である。
【００８５】
［第５実施形態］
次に、本発明の第５実施形態に係るネットワークシステムについて説明する。本実施形態に係るネットワークシステムは、上記第２実施形態と比べると、トンネリングをＩＰｓｅｃ方式ではなくＬ２ＴＰ（Layer 2 Tunneling Protocol）方式で行なう点で異なる。なお、本実施形態では暗号化にＩＰｓｅｃを使用する。その他の構成および動作は、第２実施形態と同様であるため、その詳しい説明を省略する。
【００８６】
《第１のネットワークにおけるスタック》
図１５は、本実施形態に係る第２のネットワークにおけるスタック１５００の構成を示す図である。なお、図１５のスタック１５００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。図１５のスタック１５００と図５のスタック５００との相違点は、店舗ルータ２１１から企業用ＷＡＮ２６０を経由する通信経路におけるスタック１５３０である。他は図５および図１４と類似なので、同じ参照番号を付して説明は省略する。本実施形態では、ＩＰｓｅｃ方式でなくＬ２ＴＰとＩＰｓｅｃとを組み合わせたＬ２ＴＰ／ＩＰｓｅｃ方式を使用する。図１５では、斜線を施した部分が暗号データ部分１５３２である。
【００８７】
店舗ルータ２１１から企業用ＷＡＮ２６０に送出するスタック１５３０においては、Ｌ２ＴＰ／ＩＰｓｅｃ方式に従い、ＬＡＮ番号(eth)を除いたスタック１４２０と、さらにＬ２ＴＰヘッダおよびＵＤＰヘッダとを暗号化した暗号データ部分１５３２を生成する。そして、暗号化情報を含むＥＳＰヘッダと新ＩＰヘッダとを付加することによりカプセリングする。すなわち、暗号化されたＬ２ＴＰヘッダおよびＵＤＰヘッダと、ＥＳＰヘッダおよび新ＩＰヘッダとが、Ｌ２ＴＰ／ＩＰｓｅｃ方式によりカプセリング／暗号化されたスタック１５２０の特徴部分１５３１となる。そして、企業用ＷＡＮ２６０中を新ＩＰヘッダの宛先に転送することにより、トンネリングを実現する。このカプセリングされた暗号データが、企業用ＷＡＮ２６０上を無線ＬＡＮスポット提供者ＤＣ２４０の提供者ルータ２４１に向けて送られる。
【００８８】
受信側の店舗ルータ２１１においては、企業用ＷＡＮ２６０中を転送されて来たスタック１５３０からＥＳＰヘッダに基づき、Ｌ２ＴＰヘッダおよびＵＤＰヘッダとＩＰヘッダと無線ＬＡＮ用の受信データとが復号される。そして、Ｌ２ＴＰヘッダとＵＤＰヘッダとＥＳＰヘッダと新ＩＰヘッダとを取り除き、ＬＡＮ番号(eth)４３１が付加されてスタック１４４０となり、ＬＡＮ上に送出される。
【００８９】
本実施形態によれば、Ｌ２ＴＰ方式を併用することによって、ＩＰｓｅｃ方式と同様の結果が得られる。
【００９０】
［第６実施形態］
次に、本発明の第６実施形態に係るネットワークシステムについて説明する。本実施形態に係るネットワークシステムは、上記第２実施形態と比べると、暗号化を行なわずトンネリングのみを行なう点で異なる。なお、本実施形態ではトンネリングにＧＲＥ方式やＬ２ＴＰ方式を使用する。なお、これらに限定されず、トンネリングの他の方式も使用できる。その他の構成および動作は、第２実施形態と同様であるため、その詳しい説明を省略する。
【００９１】
（フォーマット変換テーブル）
図１６は、本実施形態に係るフォーマット変換テーブル６０１ａの構成６０１ａ−３を示す図である。なお、図１６のフォーマット変換テーブル６０１ａの構成６０１ａ−３は一例に過ぎず、同じ機能を果たすのであればフォーマットに制限はない。
【００９２】
図１６の構成６０１ａ−３においては、入力ポートＩＤ８０１と出力ポートＩＤ８０２とに対応して、その通信方式や処理方式が設定されている。ここで、入力ポートＩＤ８０１と出力ポートＩＤ８０２との組み合わせは、図７の７４３〜７４６に相当する。
【００９３】
本実施形態においては、各組み合わせに対して、帯域８０３、速度８０４、変換方式としてトンネリングを行なうＧＥＲまたはＬ２ＴＰ１６０５の設定と、暗号化／復号１６０６を実行しないことが設定されている。本実施形態においては、図１６のように、無線アクセスポイント２１３が接続する内部ポート６０２−２と、企業用ＷＡＮ２６０が接続する外部ポート６０３とを繋ぐパスにおいて、トンネリングが設定されている。
【００９４】
本実施形態によれば、機密性を確保しつつ、通信速度を上げることができる。
【００９５】
［第７実施形態］
次に、本発明の第７実施形態に係るネットワークシステムについて説明する。本実施形態に係るネットワークシステムは、上記第２乃至第６実施形態と比べると、企業ネットワークにおいてルータ間のみでなく各機器やＡＰ間でトンネリングを行なう点で異なる。本実施形態のトンネリングは、ＩＰｓｅｃ方式のトンネリングモードやトランスポートモードを使用したり、ＧＲＥ方式やＬ２ＴＰ方式を使用したりすることで実現できる。その他の構成および動作は、第２乃至第６実施形態と同様であるため、その詳しい説明を省略する。
【００９６】
（動作時のネットワークシステム）
図１７は、本実施形態に係る動作時のネットワークシステム１７００の状態を示すブロック図である。なお、図１７において、第１のネットワークにおけるトンネリング処理は第２実施形態の図３Ａと同様であるので、同じ参照番号を付して説明は省略する。
【００９７】
本実施形態の第２のネットワークは、店舗１７１０の無線アクセスポイント１７１３と無線ＬＡＮスポット提供者ＤＣ１７４０とを企業用ＷＡＮ２６０で接続するネットワークである。無線アクセスポイント１７１３は、無線ＬＡＮスポット２１６内に存在するスマートフォンや携帯電話などの移動端末と通信する。通信端末からの通信データは、無線アクセスポイント１７１３において、少なくとも新ＩＰヘッダによるカプセリング処理および／または暗号化を行ない、処理後の通信データが店舗ルータ１７１１に送られる。店舗ルータ１７１１は、店舗ＬＡＮ１７１２からの送信データをそのまま企業用ＷＡＮ２６０に送出する。
【００９８】
企業用ＷＡＮ２６０内では、店舗ルータ１７１１のカプセリング処理で付された新ＩＰヘッダの宛先に従って各スイッチ２６１を経由し、さらに、提供者ルータ１７４１を経由して、無線ＬＡＮスポット提供者ＤＣ１７４０に送信される。無線ＬＡＮスポット提供者ＤＣ１７４０のＬＡＮに接続する装置において、ＩＰｓｅｃ方式によるトンネリングのためのアンカプセリング処理および／または復号を行ない、通信データを復元する。なお、無線ＬＡＮスポット提供者ＤＣ１７４０から無線アクセスポイント１７１３を経由する通信データ送信にも同様にトンネリング処理が行なわれる。
【００９９】
図１７において、無線アクセスポイント１７１３と無線ＬＡＮスポット提供者ＤＣ１７４０のＬＡＮに接続する装置との間は、トンネル１７０１によって他の回線から隔離された擬似専用線として機能する。この擬似専用線は、第２のネットワークのすべての回線接続時に確立される。そのため、同じ企業用ＷＡＮ２６０を使用した無線ＬＡＮスポット提供者が参入して無線ＬＡＮスポット２１６を追加的に構築しても、第１のネットワークの機密性は維持される。同時に、ネットワーク間の通信回線の機密性がさらに向上する。さらに、盗聴があったとしても暗号化により秘匿性は確保される。
【０１００】
《第２のネットワークにおけるスタック》
図１８は、本実施形態に係る第２のネットワークにおけるスタック１８００の構成を示す図である。なお、図１８のスタック１８００は、本実施形態の説明に必要な部分のみを概略的に示した一例であり、これに限定されない。図１８では、斜線を施した部分が暗号データ部分１８２３である。なお、図５と同様スタックには同じ参照番号を付して説明を省略する。
【０１０１】
無線アクセスポイント１７１３から店舗ルータ１７１１までのＬＡＮのスタック１８２０においては、ＰＬＣＰヘッダおよびＰＬＣＰプレアンブル５１１に代わり、ＧＲＥヘッダとＩＰヘッダとが付加される。同時に、ＩＰｓｅｃ方式に従う暗号化およびトンネリングを行なう。すなわち、スタック１８２０においては、データ(Data)、IEEE802.11ヘッダ、ＧＲＥヘッダ、ＩＰヘッダ、のすべてが暗号化されて暗号データ部分１８２３となり、暗号化情報を含むＥＳＰヘッダ１８２２と新ＩＰヘッダ１８２１がカプセリング処理のために追加される。さらに、ＬＡＮ番号(eth)が付加される。図１８では、斜線を施した部分がＩＰｓｅｃ方式による暗号データ部分１８２３である。店舗ルータ１７１１は、ＬＡＮ番号(eth)を除くだけのスタック５３０の状態で、そのまま企業用ＷＡＮ２６０に送出する。
【０１０２】
一方、受信側の店舗ルータ１７１１においては、企業用ＷＡＮ２６０中を転送されて来たスタック５３０にＬＡＮ番号(eth)が付加されてスタック１８４０として無線アクセスポイント１７１３に送信する。無線アクセスポイント１７１３において、ＬＡＮ番号(eth)を除き、ＥＳＰヘッダ１８２２に従って暗号データ部スタック５５０を無線ＬＡＮに接続する通信端末に送信する。
【０１０３】
（フォーマット変換テーブル）
図１９は、本実施形態に係るフォーマット変換テーブル６０１ａの構成６０１ａ−４を示す図である。なお、図１９のフォーマット変換テーブル６０１ａの構成６０１ａ−４は一例に過ぎず、同じ機能を果たすのであればフォーマットに制限はない。
【０１０４】
図１９の構成６０１ａ−４においては、入力ポートＩＤ８０１と出力ポートＩＤ８０２とに対応して、その通信方式や処理方式が設定されている。ここで、入力ポートＩＤ８０１と出力ポートＩＤ８０２との組み合わせは、図７の７４３〜７４６に相当する。
【０１０５】
本実施形態においては、各組み合わせに対して、帯域８０３、速度８０４、変換方式としてトンネリング１９０５を行なうか否かの設定と、暗号化／復号１６０６を行なうか否かの設定とがされている。本実施形態において、暗号化／復号もトンネリングのためのカプセリング／アンカプセリングも無線アクセスポイント１７１３で行なわれるので、店舗ルータ１７１１は単に企業用ＷＡＮ２６０へのルーティングのみを行なえばよい。
【０１０６】
本実施形態によれば、装置から装置までの全区間で他のネットワークと隔離でき、機密性をより高めることが可能である。なお、異なるプロトコルの通信区間の数を削減することで、暗号化などの秘匿処理を省くことも可能である。したがって、通信速度も速くなり通信容量も増すことも可能である。
【０１０７】
［他の実施形態］
本実施形態においては、暗号化やトンネリングにおいて使用する方式として、ＩＰｓｅｃ、ＧＲＥ、Ｌ２ＴＰ、あるいはその組み合わせなどを説明した。しかしながら、同じ企業用ＷＡＮを他のサービスネットワーク（第２のネットワーク）が共用しても、企業内ネットワーク（第１のネットワーク）の機密性や秘匿性が保証される方式であれば、あらゆる方式が適用できる。
【０１０８】
また、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。また、それぞれの実施形態に含まれる別々の特徴を如何様に組み合わせたシステムまたは装置も、本発明の範疇に含まれる。
【０１０９】
また、本発明は、複数の機器から構成されるシステムに適用されてもよいし、単体の装置に適用されてもよい。さらに、本発明は、実施形態の機能を実現する情報処理プログラムが、システムあるいは装置に直接あるいは遠隔から供給される場合にも適用可能である。したがって、本発明の機能をコンピュータで実現するために、コンピュータにインストールされる制御プログラム、あるいはその制御プログラムを格納した媒体、その制御プログラムをダウンロードさせるＷＷＷ(World Wide Web)サーバも、本発明の範疇に含まれる。
【特許請求の範囲】
【請求項１】
ワイドエリアネットワークを経由して所定エリアに第１サービスを提供する第１ネットワークと、
前記所定エリアにあって、無線アクセスポイントにより生成された無線ネットワークスポット内の通信端末に、前記ワイドエリアネットワークを経由して第２サービスを提供する第２ネットワークと、
前記第１ネットワークおよび前記第２ネットワークの少なくともいずれか一方に対してトンネリング処理を施すことにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離する分離制御手段と、
を備えることを特徴とするネットワークシステム。
【請求項２】
前記分離制御手段は、前記ワイドエリアネットワークに接続して少なくともトンネリング処理を行なうルータ手段を含み、
前記ルータ手段は、
前記ルータ手段から前記ワイドエリアネットワークに送信される送信データの送信元に対応して、前記トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定手段と、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定手段と、
を有することを特徴とする請求項１に記載のネットワークシステム。
【請求項３】
前記分離制御手段は、前記無線ネットワークスポットを生成する前記無線アクセスポイントを含み、
前記無線アクセスポイントは、
前記無線ネットワークスポット内の通信端末から受信した前記ワイドエリアネットワークへの送信データに対して、少なくとも前記トンネリング処理のためのカプセリング処理を行なうカプセリング処理手段と、
前記ワイドエリアネットワークから受信した前記無線ネットワークスポット内の通信端末への送信データに対して、少なくとも前記トンネリング処理のためのアンカプセリング処理を行なうアンカプセリング処理手段と、
を有することを特徴とする請求項１または２に記載のネットワークシステム。
【請求項４】
前記分離制御手段は、前記第２ネットワークに対して前記トンネリング処理を施すことを特徴とする請求項１乃至３のいずれか１項に記載のネットワークシステム。
【請求項５】
前記分離制御手段は、さらに暗号化処理を行なうことを特徴とする請求項１乃至４のいずれか１項に記載のネットワークシステム。
【請求項６】
前記分離制御手段は、ＩＰｓｅｃ(Security Architecture for IP)に従うトンネリング処理または暗号化処理により、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離することを特徴とする請求項１乃至５のいずれか１項に記載のネットワークシステム。
【請求項７】
前記分離制御手段は、ＧＲＥ（Generic Routing Encapsulation）に従うトンネリング処理と、ＩＰｓｅｃに従う暗号化処理とにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離することを特徴とする請求項１乃至５のいずれか１項に記載のネットワークシステム。
【請求項８】
前記分離制御手段は、Ｌ２ＴＰ（Layer 2 Tunneling Protocol）に従うトンネリング処理と、ＩＰｓｅｃに従う暗号化処理とにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離することを特徴とする請求項１乃至５のいずれか１項に記載のネットワークシステム。
【請求項９】
ワイドエリアネットワークにより接続されたネットワークシステムにおいて、複数の独立したネットワークを運用する方法であって、
ワイドエリアネットワークを経由して所定エリアにサービスを提供する第１ネットワークを構成する第１構成ステップと、
前記所定エリアにあって、無線アクセスポイントにより生成された無線ネットワークスポット内の通信端末に、前記ワイドエリアネットワークを経由してサービスを提供する第２ネットワークを構成する第２構成ステップと、
前記第１ネットワークおよび前記第２ネットワークの少なくともいずれか一方に対してトンネリング処理を施すことにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離する分離制御ステップと、
を含むことを特徴とする複数の独立したネットワークを運用する方法。
【請求項１０】
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置であって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定手段と、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定手段と、
を有することを特徴とする通信装置。
【請求項１１】
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置での制御方法あって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定ステップと、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定ステップと、
を含むことを特徴とする通信装置の制御方法。
【請求項１２】
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置での制御プログラムあって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定ステップと、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定ステップと、
をコンピュータに実行させることを特徴とする制御プログラム。
【請求項１】
ワイドエリアネットワークを経由して所定エリアに第１サービスを提供する第１ネットワークと、
前記所定エリアにあって、無線アクセスポイントにより生成された無線ネットワークスポット内の通信端末に、前記ワイドエリアネットワークを経由して第２サービスを提供する第２ネットワークと、
前記第１ネットワークおよび前記第２ネットワークの少なくともいずれか一方に対してトンネリング処理を施すことにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離する分離制御手段と、
を備えることを特徴とするネットワークシステム。
【請求項２】
前記分離制御手段は、前記ワイドエリアネットワークに接続して少なくともトンネリング処理を行なうルータ手段を含み、
前記ルータ手段は、
前記ルータ手段から前記ワイドエリアネットワークに送信される送信データの送信元に対応して、前記トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定手段と、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定手段と、
を有することを特徴とする請求項１に記載のネットワークシステム。
【請求項３】
前記分離制御手段は、前記無線ネットワークスポットを生成する前記無線アクセスポイントを含み、
前記無線アクセスポイントは、
前記無線ネットワークスポット内の通信端末から受信した前記ワイドエリアネットワークへの送信データに対して、少なくとも前記トンネリング処理のためのカプセリング処理を行なうカプセリング処理手段と、
前記ワイドエリアネットワークから受信した前記無線ネットワークスポット内の通信端末への送信データに対して、少なくとも前記トンネリング処理のためのアンカプセリング処理を行なうアンカプセリング処理手段と、
を有することを特徴とする請求項１または２に記載のネットワークシステム。
【請求項４】
前記分離制御手段は、前記第２ネットワークに対して前記トンネリング処理を施すことを特徴とする請求項１乃至３のいずれか１項に記載のネットワークシステム。
【請求項５】
前記分離制御手段は、さらに暗号化処理を行なうことを特徴とする請求項１乃至４のいずれか１項に記載のネットワークシステム。
【請求項６】
前記分離制御手段は、ＩＰｓｅｃ(Security Architecture for IP)に従うトンネリング処理または暗号化処理により、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離することを特徴とする請求項１乃至５のいずれか１項に記載のネットワークシステム。
【請求項７】
前記分離制御手段は、ＧＲＥ（Generic Routing Encapsulation）に従うトンネリング処理と、ＩＰｓｅｃに従う暗号化処理とにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離することを特徴とする請求項１乃至５のいずれか１項に記載のネットワークシステム。
【請求項８】
前記分離制御手段は、Ｌ２ＴＰ（Layer 2 Tunneling Protocol）に従うトンネリング処理と、ＩＰｓｅｃに従う暗号化処理とにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離することを特徴とする請求項１乃至５のいずれか１項に記載のネットワークシステム。
【請求項９】
ワイドエリアネットワークにより接続されたネットワークシステムにおいて、複数の独立したネットワークを運用する方法であって、
ワイドエリアネットワークを経由して所定エリアにサービスを提供する第１ネットワークを構成する第１構成ステップと、
前記所定エリアにあって、無線アクセスポイントにより生成された無線ネットワークスポット内の通信端末に、前記ワイドエリアネットワークを経由してサービスを提供する第２ネットワークを構成する第２構成ステップと、
前記第１ネットワークおよび前記第２ネットワークの少なくともいずれか一方に対してトンネリング処理を施すことにより、前記第１ネットワークおよび前記第２ネットワークが使用する通信回線を論理的に分離する分離制御ステップと、
を含むことを特徴とする複数の独立したネットワークを運用する方法。
【請求項１０】
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置であって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定手段と、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定手段と、
を有することを特徴とする通信装置。
【請求項１１】
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置での制御方法あって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定ステップと、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定ステップと、
を含むことを特徴とする通信装置の制御方法。
【請求項１２】
ワイドエリアネットワークとローカルエリアネットワークとを接続する通信装置での制御プログラムあって、
前記ワイドエリアネットワークに送信される送信データの送信元に対応して、トンネリング処理のためのカプセリング処理を行なうか否か、およびいずれの方式で前記カプセリング処理を行なうかを判定する第１判定ステップと、
前記ワイドエリアネットワークから受信された受信データの宛先に対応して、前記トンネリング処理のためのアンカプセリング処理を行なうか否か、およびいずれの方式で前記アンカプセリング処理を行なうかを判定する第２判定ステップと、
をコンピュータに実行させることを特徴とする制御プログラム。
【図１】
【図２】
【図３Ａ】
【図３Ｂ】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２】
【図３Ａ】
【図３Ｂ】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【公開番号】特開２０１３−１０２３５２（Ｐ２０１３−１０２３５２Ａ）
【公開日】平成２５年５月２３日（２０１３．５．２３）
【国際特許分類】
【出願番号】特願２０１１−２４４７５７（Ｐ２０１１−２４４７５７）
【出願日】平成２３年１１月８日（２０１１．１１．８）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２５年５月２３日（２０１３．５．２３）
【国際特許分類】
【出願日】平成２３年１１月８日（２０１１．１１．８）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]