ネットワーク制御方法およびネットワークシステム

【課題】ＶＰＮにおける端末が自身のＩＰネットワークから離脱した場合でも、確立済みのＩＰｓｅｃトンネルの再設定等を行わずにＶＰＮによる通信環境を維持することを課題とする。
【解決手段】本発明は、第１のＩＰネットワークにおける第１のトンネル終端装置と、第２のＩＰネットワークにおける第２のトンネル終端装置との間に、ＩＰプレフィクスに基づくダイナミックルーティングを行うＩＰｓｅｃトンネルを確立することでＶＰＮを構成するネットワークシステムに関する。第２のＩＰネットワーク内の端末が第２のＩＰネットワークから離脱した場合、第１のトンネル終端装置のＩＰｓｅｃトンネル方路決定用情報に、その離脱に関する情報を追加する。また、第２のトンネル終端装置、あるいは、その配下のルータに、その離脱に関する情報を追加する。それらの装置で最長一致検索によりパケットを転送することで当該離脱に対応できる。

【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰ（Internet Protocol）ネットワークにおいてＩＰｓｅｃ（security architecture for IP）トンネリングにより構成するＶＰＮ（Virtual Private Network）におけるアドレス割り当て、通信制御、経路制御等の技術に関する。
【背景技術】
【０００２】
近年、情報通信の分野において、以下のような技術が用いられている。
【０００３】
（１）ＩＰｓｅｃＥＳＰ（Encapsulating Security Payload）トンネルモード技術
ＩＰネットワーク間をＩＰトンネリング技術で接続する代表的な技術として、ＩＥＴＦ（Internet Engineering Task Force）ＲＦＣ（Request for Comments）４３０１に規定されるＩＰｓｅｃＥＳＰトンネルモード（以下、「ＩＰｓｅｃトンネル」という。）技術がある（非特許文献１参照）。本技術を用いることにより、パケット（ＩＰパケット。以下同様）を更にパケットでカプセル化（暗号化）して転送することが可能となる。
【０００４】
（２）ＩＫＥｖ２(Internet Key Exchange version 2)技術
前記（１）に示したＩＰｓｅｃトンネルを自動で確立するための技術として、ＩＥＴＦＲＦＣ４３０６に規定されるＩＫＥｖ２の技術がある（非特許文献２参照）。本技術を用いることにより、接続しようとするトンネル終端装置間で、認証（相手装置が正規の装置であるか否かの認証。以下同様）を行うための情報の交換、ＩＰｓｅｃトンネル内のＩＰ通信を行うために利用するＩＰアドレス（またはＩＰプレフィクス）の割り当て、暗号化鍵の生成等を動的に行ったうえで、セキュアなＩＰｓｅｃトンネルを確立することができる。なお、認証は、認証サーバ等との連携による実現も可能である。
【０００５】
（３）ダイナミックルーティング技術
ルータ等がパケットを転送するにあたり、パケットの宛先に応じた転送先情報を学習するための技術として、ダイナミックルーティング技術がある。ダイナミックルーティング技術については、例えば、ＩＥＴＦＲＦＣ２５４５（非特許文献３参照）やＩＥＴＦＲＦＣ２８５８（非特許文献４参照）に規定されるＢＧＰ（Border Gateway Protocol）４＋などがある。本技術を用いることにより、あらかじめ指定したＩＰ機器間で、お互いが学習した経路情報を交換し、広域なＩＰネットワークを構成することが可能となる。
【０００６】
これらの技術により、例えば、図１４に示すような、仮想的なプライベートネットワーク（以下、「ＶＰＮ」という。）が構築される。図１４に示す例では、ＩＰネットワークＡとＩＰネットワークＢを、それらの間に存在するＩＰネットワーク上に設けられるＩＰｓｅｃトンネルで接続することにより、ＶＰＮが実現される。
【０００７】
図１４に示す例では、ＩＰネットワークＡ側からＩＰネットワークＢ側へ、ＩＰネットワークＢ内で利用するＩＰプレフィクスがＩＫＥｖ２により割り当てられている前提で説明する。なお、ＩＰアドレスは、ＩＰプレフィクスとホストアドレスからなる。また、図１４に示す例において、ＩＰプレフィクスは、ＩＰネットワークＡとＩＰネットワークＢに対して、それぞれ１つずつ与えられるものとする。
【０００８】
ＩＰネットワークＢ側では、ＩＰネットワークＢ内の各端末が、ＩＰネットワークＢに割り当てられたＩＰプレフィクスと所定のホストアドレスを組み合わせることで自身が用いるＩＰアドレスを決定して通信が可能となる。
【０００９】
ＩＰネットワークＡ側では、トンネル終端装置が、ＩＰネットワークＢに割り当てたＩＰプレフィクスをＩＰネットワークＡ内の各端末等に経路広告することで、ＩＰネットワークＡ内の端末から、ＩＰネットワークＢ内の端末へのパケットを、ＩＰネットワークＡ内のトンネル終端装置に経由してＩＰネットワークＢ側に送信することが可能となる。
【００１０】
なお、ＩＰネットワークＡ内、ＩＰネットワークＢ内それぞれに閉じた通信を端末間が行う場合には、ＩＰｓｅｃトンネルを経由する必要をなくすため、それぞれのＩＰネットワークに配備されたルータ等により各ＩＰネットワーク内で通信が行われるようパケットが転送される。
【先行技術文献】
【非特許文献】
【００１１】
【非特許文献１】S. Kent, K. Seo, “Security Architecture for the Internet Protocol”, Request for Comments: 4301, Internet Engineering Task Force, December 2005
【非特許文献２】C. Kaufman, Ed., “Internet Key Exchange (IKEv2) Protocol”, Request for Comments: 4306, Internet Engineering Task Force, December 2005
【非特許文献３】P. Marques, F. Dupont, “Use of BGP-4 Multiprotocol Extensions for IPv6 Inter-Domain Routing”, Request for Comments: 2545, Internet Engineering Task Force, March 1999
【非特許文献４】T. Bates et al., “Multiprotocol Extensions for BGP-4”, Request for Comments: 2858, Internet Engineering Task Force, June 2000
【発明の概要】
【発明が解決しようとする課題】
【００１２】
従来技術により構成されるＶＰＮでは、ＩＰネットワークＢ内の端末（以下、「外出端末」という。）が外出（ＩＰネットワークＢの外部に出ることをいう。以下同様）した場合、外出端末自らがトンネル終端装置となり、ＩＰネットワークＢの外部から、トンネル終端装置３Ａとの間でＩＫＥｖ２を用いることにより、ＩＰｓｅｃトンネルを確立する。
【００１３】
ここで、外出端末がＩＰネットワークＢ内で利用していたＩＰアドレスを継続利用して当該ＶＰＮに接続して通信しようとする場合に、外出端末が用いるＩＰアドレスは、前記のようにＩＰネットワークＡから割り当てられていることを前提とする。しかし、それでも、外出端末が外出したことに伴い、ＩＰネットワークＡ〜外出端末間の通信、ＩＰネットワークＢ〜外出端末間の通信、および、ＩＰネットワークＡ〜ＩＰネットワークＢ間の通信を、同時に可能とするためには、ＩＰネットワークＡ〜ＩＰネットワークＢ間のＩＰｓｅｃトンネルの再設定や、ＩＰネットワークＡ内のトンネル終端装置におけるＩＰネットワークＡ内での経路再広告を行う必要があり、処理が煩雑であった。
【００１４】
本発明は、前記した問題を解決するためになされたものであり、ＶＰＮにおける端末が自身のＩＰネットワークから離脱した場合でも、確立済みのＩＰｓｅｃトンネルの再設定等を行わずにＶＰＮによる通信環境を維持することを課題とする。
【課題を解決するための手段】
【００１５】
前記した課題を解決するために、本発明は、第１のＩＰネットワークにおける第１のトンネル終端装置と、第２のＩＰネットワークにおける第２のトンネル終端装置との間に、ＩＰプレフィクスに基づくダイナミックルーティングを行うＩＰｓｅｃトンネルを確立することでＶＰＮを構成するネットワークシステムに関する。第２のＩＰネットワーク内の端末が第２のＩＰネットワークから離脱した場合、第１のトンネル終端装置のＩＰｓｅｃトンネル方路決定用情報に、その離脱に関する情報を追加する。また、第２のトンネル終端装置、あるいは、その配下のルータに、その離脱に関する情報を追加する。それらの装置で最長一致検索によりパケットを転送することで当該離脱に対応できる。
【発明の効果】
【００１６】
本発明によれば、ＶＰＮにおける端末が自身のＩＰネットワークから離脱した場合でも、確立済みのＩＰｓｅｃトンネルの再設定等を行わずにＶＰＮによる通信環境を維持することができる。
【図面の簡単な説明】
【００１７】
【図１】本実施形態のモード１における初期接続時について、（ａ）はネットワークシステムの構成図であり、（ｂ）は各装置の処理の流れを示すフローチャートである。
【図２】本実施形態のトンネル終端装置の構成図で、（ａ）は通常のＩＰパケット転送時の処理の説明図であり、（ｂ）はＩＰｓｅｃトンネルへの送り込み時の処理の説明図である。
【図３】本実施形態のモード１における外出端末の外出時について、（ａ）はネットワークシステムの構成図であり、（ｂ）は各装置の処理の流れを示すフローチャートである。
【図４】本実施形態のモード１における初期接続時の各装置の各テーブルの構成図である。
【図５】本実施形態のモード１における外出端末の外出時の各装置の各テーブルの構成図である。
【図６】本実施形態のモード２における初期接続時について、（ａ）はネットワークシステムの構成図であり、（ｂ）は各装置の処理の流れを示すフローチャートである。
【図７】本実施形態のモード２における外出端末の外出時について、各装置の処理の流れを示すフローチャートである。
【図８】本実施形態のモード２における初期接続時の各装置の各テーブルの構成図である。
【図９】本実施形態のモード２における外出端末の外出時の各装置の各テーブルの構成図である。
【図１０】本実施形態のモード３における初期接続時について、（ａ）はネットワークシステムの構成図であり、（ｂ）は各装置の処理の流れを示すフローチャートである。
【図１１】本実施形態のモード３における外出端末の外出時について、各装置の処理の流れを示すフローチャートである。
【図１２】本実施形態のモード３における初期接続時の各装置の各テーブルの構成図である。
【図１３】本実施形態のモード３における外出端末の外出時の各装置の各テーブルの構成図である。
【図１４】従来技術におけるＶＰＮの説明図である。
【発明を実施するための形態】
【００１８】
以下、図面を参照して、本発明を実施するための形態（以下、「実施形態」という。）について説明する。なお、本実施形態では、ＩＰネットワークＡ側からＩＰネットワークＢ側へ、ＩＰネットワークＢ内で利用するＩＰプレフィックスがＩＫＥｖ２により割り当てられていることを前提とする。また、ＩＰネットワークＢ側のトンネル終端装置の動作別に、３つのモード（モード１，２，３）に分けて説明する。また、モード１について説明した後、モード２，３の説明において、モード１の場合と重複する説明は適宜省略する。
【００１９】
（モード１）
モード１では、ＩＰネットワークＢ内のトンネル終端装置（３Ｂ）が、パススルーモードで動作し、ピアアドレスを配下ルータ（同じＩＰネットワーク内のルータ。以下同様）に通知する。そして、その配下ルータが、ＩＰネットワークＡ内のトンネル終端装置（Ａ）との経路交換（経路情報の交換。以下同様）を実施し、自身の経路テーブルを更新することで、外出端末の外出に対応する。
【００２０】
図１（ａ）に示すように、本実施形態のモード１のネットワークシステムＳ（以下、ＶＰＮとして機能するときは「ＶＰＮ」ともいう。）は、ＩＰネットワークＡ（第１のＩＰネットワーク）、ＩＰネットワークＢ（第２のＩＰネットワーク）およびＩＰネットワーク１００から構成される。
【００２１】
ＩＰネットワークＡには、端末１Ａ、ルータ２Ａ、トンネル終端装置３Ａ（第１のトンネル終端装置）、認証サーバ４Ａが存在する。ＩＰネットワークＢには、端末１Ｂ、ルータ２Ｂ、トンネル終端装置３Ｂ（第２のトンネル終端装置）、外出端末５（端末１Ｂと同様の装置。）が存在する。また、ＩＰネットワーク１００には、トンネル終端装置３Ａが接続するアクセスルータ（ＡＲ）６Ａと、トンネル終端装置３Ｂが接続するアクセスルータ（ＡＲ）６２Ｂと、外出端末５が外出先（ＩＰネットワークＢの外部）で接続するアクセスルータ（ＡＲ）６Ｃが存在する。
【００２２】
なお、図１（ａ）は模式図であるので、例えば、端末１Ａ、ルータ２Ａ、端末１Ｂ、ルータ２Ｂは、実際は１つではなく複数存在するのが通常である。その他、各装置の数や接続状況は、この例に限定されない。また、外出端末５は、例えば、ノートパソコンや携帯電話などの容易に持ち運びができるものである。
【００２３】
ネットワークシステムＳにおけるすべての装置は、通信機能を有し、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、通信インタフェース、通信ポート、入出力インタフェース、ＬＳＩ（Large Scale Integration）等を適宜備える。
【００２４】
具体的には、図２（ａ）、（ｂ）に示すように、トンネル終端装置３（トンネル終端装置３Ａ，３Ｂに対応）は、通信ＩＰインタフェースやＩＰｓｅｃインタフェースからなる通信部３１、マウス、キーボード、入出力インタフェース、ＬＣＤ（Liquid Crystal Display）等からなるＩ／Ｏ部３２、ＲＡＭ、ＲＯＭ、ＨＤＤなどからなる記憶部３３（第１の記憶部）、ＣＰＵからなる処理部３４（第１の処理部、第２の処理部）を備えて構成される。
【００２５】
記憶部３３には、ＩＰｓｅｃトンネル方路決定用テーブル３３１および経路テーブル３３２が格納される。処理部３４は、処理部（他）３４１、ＩＰｓｅｃ処理部３４２およびＩＰ処理部３４３を備える。
【００２６】
図２（ａ）を参照して、通常のＩＰパケット転送時の処理（図２（ｂ）の場合の処理以外の処理）について説明する。トンネル終端装置３がパケットを受信した場合（ステップ（１））、ＩＰ処理部３４３が経路テーブル３３２で宛先方路を検索する（ステップ（２））。検索した結果、宛先方路が通信ＩＰインタフェースであった場合（ステップ（３））、ＩＰ処理部３４３は通信部３１におけるその通信ＩＰインタフェースにパケットを出力する（ステップ（４））。
【００２７】
次に、図２（ｂ）を参照して、ＩＰｓｅｃトンネルへのパケットの送り込みについて説明する。トンネル終端装置３がパケットを受信した場合（ステップ（１））、ＩＰ処理部３４３が経路テーブル３３２で宛先方路を検索する（ステップ（２））。検索した結果、宛先方路がＩＰｓｅｃインタフェースであった場合（ステップ（３））、ＩＰ処理部３４３はＩＰｓｅｃ処理部３４２に処理を引き継ぐ（ステップ（４））。ＩＰｓｅｃ処理部３４２は、ＩＰｓｅｃトンネル方路決定用テーブル３３１で送り込み先ＩＰｓｅｃトンネル方路を検索する（ステップ（５））。送り込み先ＩＰｓｅｃトンネル方路が決定すると（ステップ（６））、ＩＰｓｅｃ処理部３４２はＩＰｓｅｃトンネル化処理（暗号化、カプセル化）を実施する（ステップ（７））。その後、処理を引き継いだＩＰ処理部３４３は、通信部３１におけるそのＩＰｓｅｃトンネルにパケットを出力する（ステップ（８））。なお、ステップ（７）の後、ＩＰ処理部３４３によって再度、経路テーブル３３２を検索する場合もあるが、その説明については省略する。
【００２８】
＜初期接続＞
次に、初期接続（ＩＰネットワークＡ、Ｂ間のＩＰｓｅｃトンネル確立）時における各装置の処理等について説明する。そのために、まず、図４を参照して、各装置が有するテーブルについて説明する。なお、図４において、「網Ａ」はＩＰネットワークＡを意味し、「網Ｂ」はＩＰネットワークＢを意味する。
【００２９】
図４に示すように、トンネル終端装置３Ａは、経路テーブル３３２ＡとＩＰｓｅｃトンネル方路決定用テーブル３３１Ａとを有する。各テーブルにおいて、ＩＰネットワークＡ→ＩＰネットワークＢ方向用、および、ＩＰネットワークＢ→ＩＰネットワークＡ方向用に、受信したパケットを処理するための情報として、送信元アドレス、宛先アドレス、および、動作（処理するべき主体やパケットの送り先などに関する情報）が関連付けられている。なお、図４において、[ｂｂｂ]はＩＰネットワークＢに割り当てられたＩＰプレフィクスを示す。また、「ＡＮＹ」は任意であることを示す。
【００３０】
また、トンネル終端装置３Ｂは、ＩＰｓｅｃトンネル方路決定用テーブル３３１Ｂと経路テーブル３３２Ｂとを有する。さらに、ルータ２Ｂは経路テーブルを有する。それらのテーブルについても、同様に、受信したパケットを処理するための情報として、送信元アドレス、宛先アドレス、および、動作（処理するべき主体やパケットの送り先などに関する情報）が関連付けられている。
【００３１】
次に、図１（ｂ）を参照して、初期接続時における各装置の処理について説明する（適宜他図参照）。なお、以下において、各装置の処理の動作主体は処理部（ＣＰＵなど）であるが、その旨の記載は省略する。また、情報通信の途中に経由する装置については図示の通りとし、その説明は適宜省略する（図３では、さらに「転送」の場合も説明を適宜省略する）。
【００３２】
まず、トンネル終端装置３Ｂは、トンネル終端装置３Ａに対してＩＫＥｖ２を起動する（ステップＳ２１）。
【００３３】
そのＩＫＥｖ２のシーケンス中、トンネル終端装置３Ａは、認証サーバ４Ａと連携して、トンネル終端装置３Ｂについての認証を終えてから、ＩＰネットワークＢへ割り当てるＩＰプレフィクス（[ｂｂｂ]）を決定し、また、当該ＩＰプレフィクスと所定のホストアドレスを組み合わせることで経路交換を行うためのピアアドレスを決定し、それら（ＩＰプレフィクスとピアアドレス）をトンネル終端装置３Ｂに通知する（ステップＳ２２）。また、ステップＳ２２が完了した時点で、各テーブル（図４において「エントリ生成タイミング：Ｓ２２」と記載されたテーブル）に、図示のようなエントリが設定される。
【００３４】
その後、トンネル終端装置３Ａとトンネル終端装置３Ｂは、ＩＫＥｖ２のシーケンスを継続し、ＩＰｓｅｃトンネル１０（第１のＩＰｓｅｃトンネル）（図３（ａ）参照）を確立する（ステップＳ２３）。
【００３５】
続いて、トンネル終端装置３Ｂは、ＩＰネットワークＢ内のルータ２Ｂに対して、例えばＤＨＣＰ（Dynamic Host Configuration Protocol）、ＲＡ（Router Advertisement）等を用いてＩＰプレフィクスを通知するとともに、通知されたピアアドレスを設定する（ステップＳ２４）。この時点で、ルータ２Ｂの経路テーブルに、図４に示すようなエントリが設定される。
【００３６】
次に、トンネル終端装置３Ｂは、ＩＰネットワークＢ内の端末１Ｂ、外出端末５に対して、例えばＤＨＣＰ、ＲＡ等を用いてＩＰプレフィクスを通知する（ステップＳ２５）。
【００３７】
続いて、トンネル終端装置３Ａは、ＩＰネットワークＢに対して割り当てたＩＰプレフィクスを経路情報としてＩＰネットワークＡ内のルータ２Ａ、端末１Ａ、認証サーバ４Ａに広告する（ステップＳ２６）。
【００３８】
以上の処理により、端末１Ａと端末１Ｂ、および、端末１Ａと外出端末５との間での通信が、ＩＰｓｅｃトンネル１０（図３（ａ）参照）を経由して可能となる。なお、端末１Ｂと外出端末５との間の通信は、ルータ２Ｂを中継して行われ、トンネル終端装置３ＢやＩＰｓｅｃトンネル１０を経由することはない。ＩＰネットワークＡ内の通信についても同様である。
【００３９】
＜外出端末５の外出＞
次に、図３（ｂ）を参照して、外出端末が外出（ＩＰネットワークＢから離脱）するときの各装置の処理について説明する（適宜他図参照）。なお、図３（ａ）はステップＳ６０５の後の状態を示すものであり、図３（ｂ）の処理が開始する時点では、外出端末５はＩＰネットワークＢ内に存在し、また、ＩＰｓｅｃトンネル１１（第２のＩＰｓｅｃトンネル）は未確立である。
【００４０】
まず、外出端末５は外出する（ＩＰネットワークＢの外部に出る）（ステップＳ６０１）。外出した外出端末５は、その後、ＩＰネットワーク上のアクセスルータ６Ｃに接続する（図３（ｂ）では不図示）。
【００４１】
次に、外出端末５は、トンネル終端装置３Ａに対してＩＫＥｖ２を起動する（アクセスルータ６Ｃとアクセスルータ６Ａを経由してＩＰｓｅｃトンネルの確立要求をする）（ステップＳ６０２）。
【００４２】
ＩＫＥｖ２のシーケンス中、トンネル終端装置３Ａは、認証サーバ４Ａと連携して、外出端末５の認証を終えた後、外出端末５へ割り当てるＩＰアドレスとして、ＩＰネットワークＢのＩＰプレフィクスと所定のホストアドレスとの組み合わせからなるＩＰアドレスを決定し、そのＩＰアドレスを、アクセスルータ６Ａとアクセスルータ６Ｃを経由して外出端末５へ通知する（ステップＳ６０３）。なお、ＩＰプレフィクスを割り当てるか、ＩＰアドレスを割り当てるかは、認証に用いるユーザＩＤ（IDentification）等に基づいて識別可能としておくことを前提とし、ＩＰプレフィクスを割り当てる場合のみピアアドレスを通知し、ＩＰアドレスを割り当てる場合にはピアアドレスは通知しない。ここでは、外出端末５にＩＰアドレスを割り当てるため、ピアアドレスは通知しない。
【００４３】
次に、トンネル終端装置３Ａは、外出端末５宛のパケットをＩＰｓｅｃトンネル１１（後記）へ送り込むよう、自身のＩＰｓｅｃトンネル方路決定用テーブル３３１Ａを更新する（ステップＳ６０４）。なお、ＩＰｓｅｃトンネル方路決定用テーブル３３１Ａは、図５に示すように更新される。ここで、[ｚｚ]は外出端末５のホストアドレスである。つまり、外出端末５のＩＰアドレスについて、ＩＰプレフィクスは[ｂｂｂ]であり、ホストアドレスは[ｚｚ]である。
【００４４】
その後、外出端末５とトンネル終端装置３Ａは、ＩＫＥｖ２のシーケンスを継続し、ＩＰｓｅｃトンネル１１を確立する（ステップＳ６０５）。なお、トンネル終端装置３Ａは、外出端末５に対して割り当てたＩＰアドレスがＩＰネットワークＢに割り当てたＩＰプレフィクスを含むため（[ｂｂｂ]が共通）、ＩＰネットワークＡへの経路広告を行わない（行う必要がない）。
【００４５】
次に、トンネル終端装置３Ａは、ＩＰｓｅｃトンネル方路決定用テーブル３３１Ａ（図５参照）を参照して、ＩＰｓｅｃトンネル１０方路とＩＰｓｅｃトンネル１１方路が包含関係にある（ＩＰプレフィクスが共通である）ことを認識し、既にＩＰネットワークＢに通知済みのピアアドレス（ルータ２Ｂ）に対してピア確立を行ったうえで、ＩＰｓｅｃトンネル１０を介して、外出端末５へ割り当てたＩＰアドレスを経路情報として当該ピア（ルータ２Ｂ）へ広告する（ステップＳ６０６）。
【００４６】
その後、ＩＰｓｅｃトンネル１０経由でトンネル終端装置３Ａからの広告を受けたルータ２Ｂは、外出端末５へ割り当てたＩＰアドレス宛のパケットを受信した場合にトンネル終端装置３Ｂ側へ転送するよう、自身の経路テーブルを更新する（図５参照）（ステップＳ６０７）。
【００４７】
次に、端末１Ｂが、外出端末５宛のパケット（宛先ＩＰアドレスがＩＰプレフィクス[ｂｂｂ]とホストアドレス[ｚｚ]の組み合わせのパケット）をルータ２Ｂに送信すると、そのパケットは、各装置のテーブルのエントリに基づき（図５参照）、外出端末５へ到着する（ステップＳ６０８）。なお、この場合の経路検索には、最長一致検索（ロンゲストマッチ）のアルゴリズムを使用する。最長一致検索のアルゴリズムでは、宛先ＩＰアドレスの候補が複数ある場合に、受信したパケットの宛先ＩＰアドレスと一致する部分が一番多いもの（最長のもの）を選択する。つまり、この場合、宛先ＩＰアドレスの候補が「ｂｂｂ」と「ｂｂｂ＋ｚｚ」のとき、「ｂｂｂ＋ｚｚ」を選択する。
【００４８】
同様に、端末１Ａから外出端末５へのパケットは、トンネル終端装置３ＡのＩＰｓｅｃトンネル方路決定用テーブル３３１Ａを用いて最長一致検索で経路決定することにより、ＩＰｓｅｃトンネル１１経由で外出端末５へ到着する（ステップＳ６０９）。
【００４９】
このようにして、外出した外出端末５がＶＰＮへ接続した際に、確立済みのＩＰｓｅｃトンネル１０の再設定や、ＩＰネットワークＡ内での再経路広告、ＩＰネットワークＢ内でのＩＰアドレス再設定等を行わなくても、端末１Ａおよび端末１Ｂから外出端末５へのパケットは、外出端末５へ到達することができる。
【００５０】
＜外出端末５の帰還＞
外出端末５が外出している状態（図３（ａ）参照）から、外出端末５がＩＰネットワークＢに戻る場合、外出端末５は、ＩＫＥｖ２を用いてトンネル終端装置３Ａに対してＩＰｓｅｃトンネル１１の削除依頼を行う。
【００５１】
ＩＰｓｅｃトンネル１１の削除依頼を受信したトンネル終端装置３Ａは、ルータ２Ｂに対して経路削除広告を行った後、ＩＰｓｅｃトンネル１１を削除する。これにより各装置のテーブルは、図４の状態へ更新される（戻される）。
【００５２】
これらの処理により、ネットワークシステムＳにおける通信環境は外出端末５が外出する前の状態に戻り、端末１Ａ、１Ｂ等から送信された外出端末５宛のパケットは、外出端末５に正常に到達することができる。
【００５３】
（モード２）
モード２では、ＩＰネットワークＢ内のトンネル終端装置３Ｂが、プロキシモードで動作する。つまり、トンネル終端装置３Ｂは、トンネル終端装置Ａとの経路交換を実施し、当該経路情報に関して、配下ルータ（ルータ２Ｂ）に対してプロキシＡＲＰ（Address Resolution Protocol）／ＮＤＰ（Neighbor Discovery Protocol）応答を実施する。そして、配下ルータ（ルータ２Ｂ）上の経路テーブルが更新される。
【００５４】
図６（ａ）に示すように、ネットワークシステムＳの構成は、モード１の場合（図１（ａ）参照）と同様である。
【００５５】
＜初期接続＞
次に、初期接続（ＩＰネットワークＡ、Ｂ間のＩＰｓｅｃトンネル確立）時における各装置の処理等について説明する。各装置が有するテーブルについては、図８に示す通りである。
【００５６】
次に、図６（ｂ）を参照して、初期接続時における各装置の処理について説明する（適宜図７等参照）。
【００５７】
まず、トンネル終端装置３Ｂは、トンネル終端装置３Ａに対してＩＫＥｖ２を起動する（ステップＳ３１）。
【００５８】
そのＩＫＥｖ２のシーケンス中、トンネル終端装置３Ａは、認証サーバ４Ａと連携して、トンネル終端装置３Ｂについての認証を終えてから、ＩＰネットワークＢへ割り当てるＩＰプレフィクスを決定し、また、当該ＩＰプレフィクスと所定のホストアドレスを組み合わせることで経路交換を行うためのピアアドレスを決定し、それら（ＩＰプレフィクスとピアアドレス）をトンネル終端装置３Ｂに通知する（ステップＳ３２）。また、ステップＳ３２が完了した時点で、各テーブル（図８において「エントリ生成タイミング：Ｓ３２」と記載されたテーブル）に、図示のようなエントリが設定される。
【００５９】
その後、トンネル終端装置３Ａとトンネル終端装置３Ｂは、ＩＫＥｖ２のシーケンスを継続し、ＩＰｓｅｃトンネル１０（図３（ａ）のＩＰｓｅｃトンネル１０と同様）を確立する（ステップＳ３３）。
【００６０】
続いて、トンネル終端装置３Ｂは、ＩＰネットワークＢ内のルータ２Ｂ、端末１Ｂ、外出端末５に対して、例えばＤＨＣＰ、ＲＡ等を用いてＩＰプレフィクスを通知する（ステップＳ３４）。この時点で、ルータ２Ｂの経路テーブルに、図８に示すようなエントリが設定される。
【００６１】
また、トンネル終端装置３Ｂは、トンネル終端装置３Ａから通知されたピアアドレスを自身に設定する（ステップＳ３５）。
【００６２】
その後、トンネル終端装置３Ａは、ＩＰネットワークＢに対して割り当てたＩＰプレフィクスを経路情報としてＩＰネットワークＡ内のルータ２Ａ、端末１Ａ、認証サーバ４Ａに広告する（ステップＳ３６）。
【００６３】
以上の処理により、端末１Ａと端末１Ｂ、および、端末１Ａと外出端末５との間での通信が、ＩＰｓｅｃトンネル１０を経由して可能となる。なお、端末１Ｂと外出端末５との間の通信は、ルータ２Ｂを中継して行われ、トンネル終端装置３ＢやＩＰｓｅｃトンネル１０を経由することはない。ＩＰネットワークＡ内の通信についても同様である。
【００６４】
＜外出端末５の外出＞
次に、図７を参照して、外出端末が外出（ＩＰネットワークＢから離脱）するときの各装置の処理について説明する（適宜他図参照）。
【００６５】
まず、外出端末５は外出する（ＩＰネットワークＢの外部に出る）（ステップＳ７０１）。外出した外出端末５は、その後、ＩＰネットワーク上のアクセスルータ６Ｃに接続する（図７では不図示）。
【００６６】
次に、外出端末５は、トンネル終端装置３Ａに対してＩＫＥｖ２を起動する（アクセスルータ６Ｃとアクセスルータ６Ａを経由してＩＰｓｅｃトンネルの確立要求をする）（ステップＳ７０２）。
【００６７】
ＩＫＥｖ２のシーケンス中、トンネル終端装置３Ａは、認証サーバ４Ａと連携して、外出端末５の認証を終えた後、外出端末５へ割り当てるＩＰアドレスとして、ＩＰネットワークＢのＩＰプレフィクスと所定のホストアドレスとの組み合わせからなるＩＰアドレスを決定し、そのＩＰアドレスを、アクセスルータ６Ａとアクセスルータ６Ｃを経由して外出端末５へ通知する（ステップＳ７０３）。ここで、外出端末５には、ＩＰネットワークＢに割り当てられているＩＰプレフィクスに属するＩＰアドレスが割り当てられるものとする。
【００６８】
トンネル終端装置３Ａは、外出端末５宛のパケットをＩＰｓｅｃトンネル１１へ送り込むよう、自身のＩＰｓｅｃトンネル方路決定用テーブル３３１Ａを更新する（ステップＳ７０４）。なお、この時点で、ＩＰｓｅｃトンネル方路決定用テーブル３３１Ａは、図９に示すように更新される。
【００６９】
その後、外出端末５とトンネル終端装置３Ａは、ＩＫＥｖ２のシーケンスを継続し、ＩＰｓｅｃトンネル１１（図３（ａ）のＩＰｓｅｃトンネル１１と同様）を確立する（ステップＳ７０５）。なお、トンネル終端装置３Ａは、外出端末５に対して割り当てたＩＰアドレスがＩＰネットワークＢに割り当てたＩＰプレフィクスを含むため、ＩＰネットワークＡへの経路広告を行わない（行う必要がない）。
【００７０】
ステップＳ７０５の後、トンネル終端装置３Ａは、ＩＰｓｅｃトンネル方路決定用テーブル３３１Ａ（図９参照）を参照して、ＩＰｓｅｃトンネル１０方路とＩＰｓｅｃトンネル１１方路が包含関係にある（ＩＰプレフィクスが共通である）ことを認識し、既にＩＰネットワークＢに通知済みのピアアドレス（トンネル終端装置３Ｂ）に対してピア確立を行ったうえで、ＩＰｓｅｃトンネル１０を介して、外出端末５へ割り当てたＩＰアドレスを経路情報として当該ピア（トンネル終端装置３Ｂ）へ広告する（ステップＳ７０６）。
【００７１】
次に、ＩＰｓｅｃトンネル１０経由でトンネル終端装置３Ａからの経路広告を受けたトンネル終端装置３Ｂは、外出端末５へ割り当てたＩＰアドレス宛のＩＰパケットに関するＡＲＰまたはＮＤＰ要求に対して、代理応答するよう動作を開始する（ステップＳ７０７）。
【００７２】
その後、ルータ２Ｂは、ＡＲＰ又はＮＤＰ要求に対する代理応答を受信し、外出端末５宛のパケットはトンネル終端装置３Ｂへ転送するよう、自身の経路テーブルを更新する（図９参照）（ステップＳ７０８）。
【００７３】
次似、端末１Ｂが、外出端末５宛のパケット（宛先ＩＰアドレスがＩＰプレフィクス[ｂｂｂ]とホストアドレス[ｚｚ]の組み合わせのパケット）をルータ２Ｂに送信すると、そのパケットは、各装置の各テーブルのエントリに基づき（図９参照）、外出端末５へ到着する（ステップＳ７０９）。なお、経路検索には、最長一致検索（ロンゲストマッチ）のアルゴリズムを使用する。
【００７４】
同様に、端末１Ａから外出端末５へのパケットは、トンネル終端装置３ＡのＩＰｓｅｃトンネル方路決定用テーブル３３１Ａを用いて最長一致検索で経路決定することにより、ＩＰｓｅｃトンネル１１経由で外出端末５へ転送される（ステップＳ７１０）。
【００７５】
このようにして、外出した外出端末５がＶＰＮへ接続した際に、確立済みのＩＰｓｅｃトンネル１０の再設定や、ＩＰネットワークＡ内での再経路広告、ＩＰネットワークＢ内でのＩＰアドレス再設定等を行わなくても、端末１Ａおよび端末１Ｂから外出端末５へのパケットは、外出端末５へ到達することができる。
【００７６】
＜外出端末５の帰還＞
外出端末５が外出している状態（図７のステップＳ７０８の直後の状態）から、外出端末５がＩＰネットワークＢに戻る場合、外出端末５は、ＩＫＥｖ２を用いてトンネル終端装置３Ａに対してＩＰｓｅｃトンネル１１の削除依頼を行う。
【００７７】
ＩＰｓｅｃトンネル１１の削除依頼を受信したトンネル終端装置３Ａは、ルータ２Ｂに対して経路削除広告を行った後、ＩＰｓｅｃトンネル１１を削除する。経路削除広告を受けたトンネル終端装置３Ｂは、外出端末５に関するＡＲＰ、ＮＤＰ要求に対する代理応答を停止する。これにより各装置の各テーブルは、図８の状態へ更新される（戻される）。
【００７８】
これらの処理により、ネットワークシステムＳにおける通信環境は外出端末５が外出する前の状態に戻り、端末１Ａ、１Ｂ等から送信された外出端末５宛のパケットは、外出端末５に正常に到達することができる。
【００７９】
（モード３）
モード３では、ＩＰネットワークＢ内のトンネル終端装置３Ｂが、経路交換モードモードで動作する。つまり、トンネル終端装置３Ｂは、トンネル終端装置Ａとの経路交換を実施し、自身の経路テーブルを更新する。
【００８０】
図１０（ａ）に示すように、ネットワークシステムＳの構成は、モード１の場合（図１（ａ）参照）と比較して、ルータ２Ｂが存在しない点で異なっている。なお、これは、ＩＰネットワークＢにルータが存在しないという意味ではなく、モード３の説明にルータ２Ｂの存在が不要であるという意味である。
【００８１】
＜初期接続＞
次に、初期接続（ＩＰネットワークＡ、Ｂ間のＩＰｓｅｃトンネル確立）時における各装置の処理等について説明する。各装置が有するテーブルについては、図１２に示す通りである。
【００８２】
次に、図１０（ｂ）を参照して、初期接続時における各装置の処理について説明する（適宜図１２等参照）。
【００８３】
まず、トンネル終端装置３Ｂは、トンネル終端装置３Ａに対してＩＫＥｖ２を起動する（ステップＳ４１）。
【００８４】
そのＩＫＥｖ２のシーケンス中、トンネル終端装置３Ａは、認証サーバ４Ａと連携して、トンネル終端装置３Ｂについての認証を終えてから、ＩＰネットワークＢへ割り当てるＩＰプレフィクスを決定し、また、当該ＩＰプレフィクスと所定のホストアドレスを組み合わせることで経路交換を行うためのピアアドレスを決定し、それら（ＩＰプレフィクスとピアアドレス）をトンネル終端装置３Ｂに通知する（ステップＳ４２）。また、この時点で、各装置の各テーブルに、図１２に示すようなエントリが設定される。
【００８５】
その後、トンネル終端装置３Ａとトンネル終端装置３Ｂは、ＩＫＥｖ２のシーケンスを継続し、ＩＰｓｅｃトンネル１０（図３（ａ）のＩＰｓｅｃトンネル１０と同様）を確立する（ステップＳ４３）。
【００８６】
続いて、トンネル終端装置３Ｂは、ＩＰネットワークＢ内の端末１Ｂ、外出端末５に対して、例えばＤＨＣＰ、ＲＡ等を用いてＩＰプレフィクスを通知する（ステップＳ４４）。
【００８７】
また、トンネル終端装置３Ｂは、トンネル終端装置３Ａから通知されたピアアドレスを自身に設定する（ステップＳ４５）。
【００８８】
その後、トンネル終端装置３Ａは、ＩＰネットワークＢに対して割り当てたＩＰプレフィクスを経路情報としてＩＰネットワークＡ内のルータ２Ａ、端末１Ａ、認証サーバ４Ａに広告する（ステップＳ４６）。
【００８９】
以上の処理により、端末１Ａと端末１Ｂ、および、端末１Ａと外出端末５との間での通信が、ＩＰｓｅｃトンネル１０を経由して可能となる。なお、端末１Ｂと外出端末５との間の通信は、トンネル終端装置３Ｂを中継して行われる。
【００９０】
＜外出端末５の外出＞
次に、図１１を参照して、外出端末が外出（ＩＰネットワークＢから離脱）するときの各装置の処理について説明する（適宜他図参照）。
【００９１】
まず、外出端末５は外出する（ＩＰネットワークＢの外部に出る）（ステップＳ８０１）。外出した外出端末５は、その後、ＩＰネットワーク上のアクセスルータ６Ｃに接続する（図１１では不図示）。
【００９２】
次に、外出端末５は、トンネル終端装置３Ａに対してＩＫＥｖ２を起動する（アクセスルータ６Ｃとアクセスルータ６Ａを経由してＩＰｓｅｃトンネルの確立要求をする）（ステップＳ８０２）。
【００９３】
ＩＫＥｖ２のシーケンス中、トンネル終端装置３Ａは、認証サーバ４Ａと連携して、外出端末５の認証を終えた後、外出端末５へ割り当てるＩＰアドレスとして、ＩＰネットワークＢのＩＰプレフィクスと所定のホストアドレスとの組み合わせからなるＩＰアドレスを決定し、そのＩＰアドレスを、アクセスルータ６Ａとアクセスルータ６Ｃを経由して外出端末５へ通知する（ステップＳ８０３）。ここで、外出端末５には、ＩＰネットワークＢに割り当てられているＩＰプレフィクスに属するＩＰアドレスが割り当てられるものとする。
【００９４】
次に、トンネル終端装置３Ａは、外出端末５宛のパケットをＩＰｓｅｃトンネル１１へ送り込むよう、自身のＩＰｓｅｃトンネル方路決定用テーブル３３１Ａを更新する（ステップＳ８０４）。なお、ＩＰｓｅｃトンネル方路決定用テーブル３３１Ａは、図１３に示すように更新される。
【００９５】
その後、外出端末５とトンネル終端装置３Ａは、ＩＫＥｖ２のシーケンスを継続し、ＩＰｓｅｃトンネル１１（図３（ａ）のＩＰｓｅｃトンネル１１と同様）を確立する（ステップＳ８０５）。なお、トンネル終端装置３Ａは、外出端末５に対して割り当てたＩＰアドレスがＩＰネットワークＢに割り当てたＩＰプレフィクスを含むため、ＩＰネットワークＡへの経路広告を行わない（行う必要がない）。
【００９６】
次に、トンネル終端装置３Ａは、ＩＰｓｅｃトンネル方路決定用テーブル３３１Ａ（図１３参照）を参照して、ＩＰｓｅｃトンネル１０方路とＩＰｓｅｃトンネル１１方路が包含関係にある（ＩＰプレフィクスが共通である）ことを認識し、既にＩＰネットワークＢに通知済みのピアアドレス（トンネル終端装置３Ｂ）に対してピア確立を行ったうえで、ＩＰｓｅｃトンネル１０を介して、外出端末５へ割り当てたＩＰアドレスを経路情報として当該ピア（トンネル終端装置３Ｂ）へ広告する（ステップＳ８０６）。
【００９７】
次に、ＩＰｓｅｃトンネル１０経由でトンネル終端装置３Ａからの経路広告を受けたトンネル終端装置３Ｂは、外出端末５宛のパケットを、ＩＰｓｅｃトンネル方路決定用テーブルを用いて処理するよう、自身の経路テーブル３３２Ｂを更新する（図１３参照）（ステップＳ８０７）。
【００９８】
その後、端末１Ｂが、外出端末５宛のパケット（宛先ＩＰアドレスがＩＰプレフィクス[ｂｂｂ]とホストアドレス[ｚｚ]の組み合わせのパケット）を送信すると、そのパケットは、各装置の各テーブルのエントリに基づき（図１３参照）、外出端末５へ到着する（ステップＳ８０８）。なお、経路検索には、最長一致検索（ロンゲストマッチ）のアルゴリズムを使用する。
【００９９】
同様に、端末１Ａから外出端末５へのパケットは、トンネル終端装置３ＡのＩＰｓｅｃトンネル方路決定用テーブル３３１Ａを用いて最長一致検索で経路決定することにより、ＩＰｓｅｃトンネル１１経由で外出端末５へ転送される（ステップＳ８０９）。
【０１００】
このようにして、外出した外出端末５がＶＰＮへ接続した際に、確立済みのＩＰｓｅｃトンネル１０の再設定や、ＩＰネットワークＡ内での再経路広告、ＩＰネットワークＢ内でのＩＰアドレス再設定等を行わなくても、端末１Ａおよび端末１Ｂから外出端末５へのパケットは、外出端末５へ到達することができる。
【０１０１】
＜外出端末５の帰還＞
外出端末５が外出している状態（図１１のステップＳ８０７の直後の状態）から、外出端末５がＩＰネットワークＢに戻る場合、外出端末５は、ＩＫＥｖ２を用いてトンネル終端装置３Ａに対してＩＰｓｅｃトンネル１１の削除依頼を行う。
【０１０２】
ＩＰｓｅｃトンネル１１の削除依頼を受信したトンネル終端装置３Ａは、トンネル終端装置３Ｂに対して経路削除広告を行った後、ＩＰｓｅｃトンネル１１を削除する。これにより、各装置のテーブルは、図１２の状態へ更新される（戻される）。
【０１０３】
これらの処理により、ネットワークシステムＳにおける通信環境は外出端末５が外出する前の状態に戻り、端末１Ａ、１Ｂ等から送信された外出端末５宛のパケットは、外出端末５に正常に到達することができる。
【０１０４】
以上で本実施形態の説明を終えるが、本発明の態様はこれらに限定されるものではない。
例えば、認証サーバ４Ａの機能をトンネル終端装置３Ａが具備してもよい。
【０１０５】
また、ＩＰプレフィクスは、ＩＰネットワークＡとＩＰネットワークＢに対して、それぞれ複数与えられてもよく、その場合でも、本発明を同様に適用することができる。
その他、具体的な構成や処理について、本発明の主旨を逸脱しない範囲で適宜変更が可能である。
【符号の説明】
【０１０６】
１Ａ、１Ｂ端末
２Ａ、２Ｂルータ
３、３Ａ、３Ｂトンネル終端装置
４Ａ認証サーバ
５外出端末
６Ａ、６Ｂ、６Ｃアクセスルータ
３１通信部
３２Ｉ／Ｏ部
３３記憶部
３４処理部
１００、Ａ、ＢＩＰネットワーク
３３１、３３１Ａ、３３１ＢＩＰｓｅｃトンネル方路決定用テーブル
３３２、３３２Ａ、３３２Ｂ経路テーブル

【特許請求の範囲】
【請求項１】
第１のＩＰ（Internet Protocol）ネットワークにおける第１のトンネル終端装置と、第２のＩＰネットワークにおける第２のトンネル終端装置との間に、ＩＰプレフィクスに基づくダイナミックルーティングを行う第１のＩＰｓｅｃ（security architecture for IP）トンネルを確立することでＶＰＮ（Virtual Private Network）を構成するネットワークシステムにおけるネットワーク制御方法であって、
前記第１のトンネル終端装置は、
受信したパケットを送り込むＩＰｓｅｃトンネルを決定するために、受信したパケットの宛先ＩＰアドレスのうちのＩＰプレフィクスごとに、受信したパケットを送り込むＩＰｓｅｃトンネルを示す情報を格納したＩＰｓｅｃトンネル方路決定用情報を記憶する第１の記憶部と、第１の処理部と、を備えており、
前記第１のトンネル終端装置の第１の処理部は、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合に、
前記離脱した端末からのＩＰｓｅｃトンネルの確立要求を受けて、前記離脱した端末に対して前記第２のＩＰネットワークのＩＰプレフィクスと所定のホストアドレスからなるＩＰアドレスを決定して通知するとともに、前記離脱した端末との間に第２のＩＰｓｅｃトンネルを確立し、
前記第１の記憶部に記憶されたＩＰｓｅｃトンネル方路決定用情報に対して、前記前記離脱した端末のＩＰアドレス宛のパケットを、前記第２のＩＰｓｅｃトンネルに送り込む旨の情報を追加し、
その後、前記離脱した端末宛のパケットを受信したとき、前記情報を追加したＩＰｓｅｃトンネル方路決定用情報を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第２のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定し、
前記第２のＩＰネットワークにおけるルータは、
前記第１のＩＰｓｅｃトンネルの確立時に前記第１のトンネル終端装置から前記第２のトンネル終端装置を経由して、前記第２のＩＰネットワークのＩＰプレフィクスと、ピアアドレスと、を受信し、前記ピアアドレスを自身に設定し、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合、
前記第１のトンネル終端装置から前記第２のトンネル終端装置を経由して前記離脱した端末のＩＰアドレスを受信し、自身の記憶部に、当該ＩＰアドレス宛のパケットを前記第１のＩＰｓｅｃトンネルに送り込む旨の情報を記憶し、
その後、前記離脱した端末宛のパケットを受信したとき、前記自身の記憶部を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第１のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定する
ことを特徴とするネットワーク制御方法。
【請求項２】
前記離脱した端末が前記第２のＩＰネットワークに帰還した場合、
前記第１のトンネル終端装置の第１の処理部は、前記ＩＰｓｅｃトンネル方路決定用情報から、前記追加した情報を削除し、
前記第２のＩＰネットワークにおけるルータは、前記自身の記憶部から、前記記憶した情報を削除する
ことを特徴とする請求項１に記載のネットワーク制御方法。
【請求項３】
第１のＩＰ（Internet Protocol）ネットワークにおける第１のトンネル終端装置と、第２のＩＰネットワークにおける第２のトンネル終端装置との間に、ＩＰプレフィクスに基づくダイナミックルーティングを行う第１のＩＰｓｅｃ（security architecture for IP）トンネルを確立することでＶＰＮ（Virtual Private Network）を構成するネットワークシステムにおけるネットワーク制御方法であって、
前記第１のトンネル終端装置は、
受信したパケットを送り込むＩＰｓｅｃトンネルを決定するために、受信したパケットの宛先ＩＰアドレスのうちのＩＰプレフィクスごとに、受信したパケットを送り込むＩＰｓｅｃトンネルを示す情報を格納したＩＰｓｅｃトンネル方路決定用情報を記憶する第１の記憶部と、第１の処理部と、を備えており、
前記第１のトンネル終端装置の第１の処理部は、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合に、
前記離脱した端末からのＩＰｓｅｃトンネルの確立要求を受けて、前記離脱した端末に対して前記第２のＩＰネットワークのＩＰプレフィクスと所定のホストアドレスからなるＩＰアドレスを決定して通知するとともに、前記離脱した端末との間に第２のＩＰｓｅｃトンネルを確立し、
前記第１の記憶部に記憶されたＩＰｓｅｃトンネル方路決定用情報に対して、前記前記離脱した端末のＩＰアドレス宛のパケットを、前記第２のＩＰｓｅｃトンネルに送り込む旨の情報を追加し、
その後、前記離脱した端末宛のパケットを受信したとき、前記情報を追加したＩＰｓｅｃトンネル方路決定用情報を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第２のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定し、
前記第２のトンネル終端装置は、
前記第１のＩＰｓｅｃトンネルの確立時に前記第１のトンネル終端装置から、前記第２のＩＰネットワークのＩＰプレフィクスと、ピアアドレスと、を受信し、前記ピアアドレスを自身に設定し、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合、
前記第１のトンネル終端装置から前記離脱した端末のＩＰアドレスを受信し、前記第２のＩＰネットワークにおけるルータに対して、その記憶部に、当該ＩＰアドレス宛のパケットを前記第１のＩＰｓｅｃトンネルに送り込む旨の情報を記憶させ、
前記第２のＩＰネットワークにおけるルータは、
その後、前記第２のトンネル終端装置による代理応答を介して、前記離脱した端末宛のパケットを受信したとき、前記記憶部を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第１のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定する
ことを特徴とするネットワーク制御方法。
【請求項４】
前記離脱した端末が前記第２のＩＰネットワークに帰還した場合、
前記第１のトンネル終端装置の第１の処理部は、前記ＩＰｓｅｃトンネル方路決定用情報から、前記追加した情報を削除し、
前記第２のＩＰネットワークにおけるルータは、前記第２のトンネル終端装置による代理応答を介して、前記記憶部から、前記記憶した情報を削除する
ことを特徴とする請求項３に記載のネットワーク制御方法。
【請求項５】
第１のＩＰ（Internet Protocol）ネットワークにおける第１のトンネル終端装置と、第２のＩＰネットワークにおける第２のトンネル終端装置との間に、ＩＰプレフィクスに基づくダイナミックルーティングを行う第１のＩＰｓｅｃ（security architecture for IP）トンネルを確立することでＶＰＮ（Virtual Private Network）を構成するネットワークシステムにおけるネットワーク制御方法であって、
前記第１のトンネル終端装置は、
受信したパケットを送り込むＩＰｓｅｃトンネルを決定するために、受信したパケットの宛先ＩＰアドレスのうちのＩＰプレフィクスごとに、受信したパケットを送り込むＩＰｓｅｃトンネルを示す情報を格納したＩＰｓｅｃトンネル方路決定用情報を記憶する第１の記憶部と、第１の処理部と、を備えており、
前記第１のトンネル終端装置の第１の処理部は、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合に、
前記離脱した端末からのＩＰｓｅｃトンネルの確立要求を受けて、前記離脱した端末に対して前記第２のＩＰネットワークのＩＰプレフィクスと所定のホストアドレスからなるＩＰアドレスを決定して通知するとともに、前記離脱した端末との間に第２のＩＰｓｅｃトンネルを確立し、
前記第１の記憶部に記憶されたＩＰｓｅｃトンネル方路決定用情報に対して、前記前記離脱した端末のＩＰアドレス宛のパケットを、前記第２のＩＰｓｅｃトンネルに送り込む旨の情報を追加し、
その後、前記離脱した端末宛のパケットを受信したとき、前記情報を追加したＩＰｓｅｃトンネル方路決定用情報を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第２のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定し、
前記第２のトンネル終端装置は、
前記第１のＩＰｓｅｃトンネルの確立時に前記第１のトンネル終端装置から、前記第２のＩＰネットワークのＩＰプレフィクスと、ピアアドレスと、を受信し、前記ピアアドレスを自身に設定し、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合、
前記第１のトンネル終端装置から前記離脱した端末のＩＰアドレスを受信し、自身の記憶部に、当該ＩＰアドレス宛のパケットを前記第１のＩＰｓｅｃトンネルに送り込む旨の情報を記憶し、
その後、前記離脱した端末宛のパケットを受信したとき、前記自身の記憶部を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第１のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定する
ことを特徴とするネットワーク制御方法。
【請求項６】
前記離脱した端末が前記第２のＩＰネットワークに帰還した場合、
前記第１のトンネル終端装置の第１の処理部は、前記ＩＰｓｅｃトンネル方路決定用情報から、前記追加した情報を削除し、
前記第２のトンネル終端装置は、前記自身の記憶部から、前記記憶した情報を削除する
ことを特徴とする請求項５に記載のネットワーク制御方法。
【請求項７】
第１のＩＰ（Internet Protocol）ネットワークにおける第１のトンネル終端装置と、第２のＩＰネットワークにおける第２のトンネル終端装置との間に、ＩＰプレフィクスに基づくダイナミックルーティングを行う第１のＩＰｓｅｃ（security architecture for IP）トンネルを確立することでＶＰＮ（Virtual Private Network）を構成するネットワークシステムであって、
前記第１のトンネル終端装置は、
受信したパケットを送り込むＩＰｓｅｃトンネルを決定するために、受信したパケットの宛先ＩＰアドレスのうちのＩＰプレフィクスごとに、受信したパケットを送り込むＩＰｓｅｃトンネルを示す情報を格納したＩＰｓｅｃトンネル方路決定用情報を記憶する第１の記憶部と、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合に、
前記離脱した端末からのＩＰｓｅｃトンネルの確立要求を受けて、前記離脱した端末に対して前記第２のＩＰネットワークのＩＰプレフィクスと所定のホストアドレスからなるＩＰアドレスを決定して通知するとともに、前記離脱した端末との間に第２のＩＰｓｅｃトンネルを確立し、
前記第１の記憶部に記憶されたＩＰｓｅｃトンネル方路決定用情報に対して、前記前記離脱した端末のＩＰアドレス宛のパケットを、前記第２のＩＰｓｅｃトンネルに送り込む旨の情報を追加し、
その後、前記離脱した端末宛のパケットを受信したとき、前記情報を追加したＩＰｓｅｃトンネル方路決定用情報を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第２のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定する第１の処理部と、を備え、
前記ネットワークシステムは、
前記第１のＩＰｓｅｃトンネルの確立時に前記第１のトンネル終端装置から前記第２のトンネル終端装置を経由して、前記第２のＩＰネットワークのＩＰプレフィクスと、ピアアドレスと、を受信し、前記ピアアドレスを自身に設定し、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合、
前記第１のトンネル終端装置から前記第２のトンネル終端装置を経由して前記離脱した端末のＩＰアドレスを受信し、自身の記憶部に、当該ＩＰアドレス宛のパケットを前記第１のＩＰｓｅｃトンネルに送り込む旨の情報を記憶し、
その後、前記離脱した端末宛のパケットを受信したとき、前記自身の記憶部を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第１のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定する第２のＩＰネットワークにおけるルータを、備える
ことを特徴とするネットワークシステム。
【請求項８】
前記離脱した端末が前記第２のＩＰネットワークに帰還した場合、
前記第１のトンネル終端装置の第１の処理部は、前記ＩＰｓｅｃトンネル方路決定用情報から、前記追加した情報を削除し、
前記第２のＩＰネットワークにおけるルータは、前記自身の記憶部から、前記記憶した情報を削除する
ことを特徴とする請求項７に記載のネットワークシステム。
【請求項９】
第１のＩＰ（Internet Protocol）ネットワークにおける第１のトンネル終端装置と、第２のＩＰネットワークにおける第２のトンネル終端装置との間に、ＩＰプレフィクスに基づくダイナミックルーティングを行う第１のＩＰｓｅｃ（security architecture for IP）トンネルを確立することでＶＰＮ（Virtual Private Network）を構成するネットワークシステムであって、
前記第１のトンネル終端装置は、
受信したパケットを送り込むＩＰｓｅｃトンネルを決定するために、受信したパケットの宛先ＩＰアドレスのうちのＩＰプレフィクスごとに、受信したパケットを送り込むＩＰｓｅｃトンネルを示す情報を格納したＩＰｓｅｃトンネル方路決定用情報を記憶する第１の記憶部と、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合に、
前記離脱した端末からのＩＰｓｅｃトンネルの確立要求を受けて、前記離脱した端末に対して前記第２のＩＰネットワークのＩＰプレフィクスと所定のホストアドレスからなるＩＰアドレスを決定して通知するとともに、前記離脱した端末との間に第２のＩＰｓｅｃトンネルを確立し、
前記第１の記憶部に記憶されたＩＰｓｅｃトンネル方路決定用情報に対して、前記前記離脱した端末のＩＰアドレス宛のパケットを、前記第２のＩＰｓｅｃトンネルに送り込む旨の情報を追加し、
その後、前記離脱した端末宛のパケットを受信したとき、前記情報を追加したＩＰｓｅｃトンネル方路決定用情報を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第２のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定する第１の処理部と、を備え、
前記第２のトンネル終端装置は、
前記第１のＩＰｓｅｃトンネルの確立時に前記第１のトンネル終端装置から、前記第２のＩＰネットワークのＩＰプレフィクスと、ピアアドレスと、を受信し、前記ピアアドレスを自身に設定し、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合、
前記第１のトンネル終端装置から前記離脱した端末のＩＰアドレスを受信し、前記第２のＩＰネットワークにおけるルータに対して、その記憶部に、当該ＩＰアドレス宛のパケットを前記第１のＩＰｓｅｃトンネルに送り込む旨の情報を記憶させる第２の処理部を、備え、
前記ネットワークシステムは、
前記第２のトンネル終端装置による代理応答を介して、前記離脱した端末宛のパケットを受信したとき、前記記憶部を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第１のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定する第２のＩＰネットワークにおけるルータを、備える
ことを特徴とするネットワークシステム。
【請求項１０】
前記離脱した端末が前記第２のＩＰネットワークに帰還した場合、
前記第１のトンネル終端装置の第１の処理部は、前記ＩＰｓｅｃトンネル方路決定用情報から、前記追加した情報を削除し、
前記第２のＩＰネットワークにおけるルータは、前記第２のトンネル終端装置による代理応答を介して、前記記憶部から、前記記憶した情報を削除する
ことを特徴とする請求項９に記載のネットワークシステム。
【請求項１１】
第１のＩＰ（Internet Protocol）ネットワークにおける第１のトンネル終端装置と、第２のＩＰネットワークにおける第２のトンネル終端装置との間に、ＩＰプレフィクスに基づくダイナミックルーティングを行う第１のＩＰｓｅｃ（security architecture for IP）トンネルを確立することでＶＰＮ（Virtual Private Network）を構成するネットワークシステムであって、
前記第１のトンネル終端装置は、
受信したパケットを送り込むＩＰｓｅｃトンネルを決定するために、受信したパケットの宛先ＩＰアドレスのうちのＩＰプレフィクスごとに、受信したパケットを送り込むＩＰｓｅｃトンネルを示す情報を格納したＩＰｓｅｃトンネル方路決定用情報を記憶する第１の記憶部と、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合に、
前記離脱した端末からのＩＰｓｅｃトンネルの確立要求を受けて、前記離脱した端末に対して前記第２のＩＰネットワークのＩＰプレフィクスと所定のホストアドレスからなるＩＰアドレスを決定して通知するとともに、前記離脱した端末との間に第２のＩＰｓｅｃトンネルを確立し、
前記第１の記憶部に記憶されたＩＰｓｅｃトンネル方路決定用情報に対して、前記前記離脱した端末のＩＰアドレス宛のパケットを、前記第２のＩＰｓｅｃトンネルに送り込む旨の情報を追加し、
その後、前記離脱した端末宛のパケットを受信したとき、前記情報を追加したＩＰｓｅｃトンネル方路決定用情報を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第２のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定する第１の処理部と、を備え、
前記第２のトンネル終端装置は、
前記第１のＩＰｓｅｃトンネルの確立時に前記第１のトンネル終端装置から、前記第２のＩＰネットワークのＩＰプレフィクスと、ピアアドレスと、を受信し、前記ピアアドレスを自身に設定し、
前記第２のＩＰネットワーク内の端末が前記第２のＩＰネットワークから離脱した場合、
前記第１のトンネル終端装置から前記離脱した端末のＩＰアドレスを受信し、自身の記憶部に、当該ＩＰアドレス宛のパケットを前記第１のＩＰｓｅｃトンネルに送り込む旨の情報を記憶し、
その後、前記離脱した端末宛のパケットを受信したとき、前記自身の記憶部を参照し、宛先ＩＰアドレスに関する最長一致検索により、前記第１のＩＰｓｅｃトンネルに当該パケットを送り込むことを決定する第２の処理部を、備える
ことを特徴とするネットワークシステム。
【請求項１２】
前記離脱した端末が前記第２のＩＰネットワークに帰還した場合、
前記第１のトンネル終端装置の第１の処理部は、前記ＩＰｓｅｃトンネル方路決定用情報から、前記追加した情報を削除し、
前記第２のトンネル終端装置の第２の処理部は、前記自身の記憶部から、前記記憶した情報を削除する
ことを特徴とする請求項１１に記載のネットワークシステム。

【図１】