通信方法および通信システム
【課題】トンネル通信での不正アクセスの防止とシステム管理を簡便に行う。
【解決手段】サーバは、第１のルータ装置を終点とするトンネル通信が許可された許可端末を識別する許可端末識別子と、許可端末の通信で用いられるトンネルの終点アドレスを対応付けて格納する。トンネル通信を要求する要求端末から受信したパケットをカプセル化する第２のルータ装置は、要求端末の識別子に対応する終点アドレスを、サーバに問い合わせる。サーバは、要求端末の識別子に対応する終点アドレスである対象アドレスを検出すると、対象アドレスを第２のルータ装置に通知する。第２のルータ装置は、対象アドレスにカプセル化したパケットを送信する。対象アドレスが割り当てられた第１のルータ装置は、対象アドレス宛ての受信パケットを許可端末のトンネル通信で用いられるパケットとみなし、デカプセル化してから転送する。
【解決手段】サーバは、第１のルータ装置を終点とするトンネル通信が許可された許可端末を識別する許可端末識別子と、許可端末の通信で用いられるトンネルの終点アドレスを対応付けて格納する。トンネル通信を要求する要求端末から受信したパケットをカプセル化する第２のルータ装置は、要求端末の識別子に対応する終点アドレスを、サーバに問い合わせる。サーバは、要求端末の識別子に対応する終点アドレスである対象アドレスを検出すると、対象アドレスを第２のルータ装置に通知する。第２のルータ装置は、対象アドレスにカプセル化したパケットを送信する。対象アドレスが割り当てられた第１のルータ装置は、対象アドレス宛ての受信パケットを許可端末のトンネル通信で用いられるパケットとみなし、デカプセル化してから転送する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを介した通信の方法と、その方法が用いられるシステムに関する。
【背景技術】
【０００２】
近年、Internet Protocol Version 6（ＩＰｖ６）を用いたネットワークの導入が行われてきているが、Internet Protocol Version 4（ＩＰｖ４）アドレスを用いているユーザは多い。そこで、ＩＰｖ６に対応した通信ネットワークを介して、ＩＰｖ４を用いた通信を行うための技術がInternet Engineering Task Force（ＩＥＴＦ）で提案されている。さらに、ＩＰｖ４アドレスが枯渇する恐れがあることから、１つのＩＰｖ４グローバルアドレスを複数のユーザ間で共有するための技術も開発されてきている。
【０００３】
例えば、Stateless Address Mapping（ＳＡＭ）を用いるシステムでは、１つのＩＰｖ４グローバルアドレスを複数のユーザで使用して、ＩＰｖ６トンネリングによるＩＰｖ４通信を行うことができる。ＳＡＭを用いたシステムでは、トンネルの終点となる装置は、個々のユーザについてのＩＰｖ６アドレスとＩＰｖ４アドレスのマッピング、通信を許可する条件などの通信情報を記録したテーブル等を備えていない。アドレスのマッピングや通信を許可する条件などの情報はユーザ数に伴って増加するので、ユーザ数が増加すると、テーブルに記憶される情報量が膨大になる。また、ユーザの増加や使用されるアドレスの変更などにより情報が変更された場合は、マッピングを記録したテーブルも変更されることになる。従って、ＳＡＭを用いたシステムは、個々のトンネルルータがユーザの通信に関する情報を記録したテーブルを備えるシステムに比べて、管理が容易である。
【０００４】
一方、個々のユーザについて通信の可否を判断するために用いられる情報を通信情報に含めることにより、トンネルルータ等がユーザの接続を許可するかを判断するシステムも知られている。例えば、記憶しているポリシー情報に基づいてＩＰｖ６パケットの通過の可否を判断することができるパケット中継装置が知られている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−３５２７１０号公報
【非特許文献】
【０００６】
【非特許文献１】Stateless Address Mapping (SAM) - a Simplified Mesh-Software Model draft-despres-softwire-sam-01
【非特許文献２】IPv4 Residual Deployment across IPv6-Service networks (4rd) A NAT-less solution draft-despres-softwire-4rd-00
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ＳＡＭを用いたシステムでは、個々のユーザに適用されるポリシー情報やアドレスマッピングなどの情報は、トンネルルータに格納されていない。このため、ＳＡＭを用いるシステムに含まれるトンネルルータは、トンネルの終点となったときに、デカプセル化するパケットの送信元がトンネリングを用いた通信サービスの正規ユーザであるか等の判断をすることができない。このため、ＳＡＭを用いたシステムでは、トンネリングによる通信サービスを提供する事業者がアクセスを拒否したいユーザに対しても、通信サービスが提供されてしまうことがある。
【０００８】
一方、個々のユーザに対する情報をトンネルルータに記憶させると、ユーザ情報が変更された場合やトンネルルータを増設する場合に、システムの管理が煩雑になってしまうという問題がある。
【０００９】
本発明では、トンネリングを用いた通信サービスでの不正なアクセスの防止と、システムの管理の両方を簡便に行うための方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
実施形態に係る通信方法では、サーバは、第１のルータ装置を終点とするトンネル通信が許可された許可端末を識別する許可端末識別子と、前記許可端末の通信で用いられるトンネルの終点アドレスを対応付けて格納する。前記トンネル通信を要求する要求端末から受信したパケットをカプセル化する第２のルータ装置は、前記要求端末を識別する識別子に対応付けられた終点アドレスを、前記サーバに問い合わせる。前記サーバは、前記要求端末を識別する識別子に対応付けられた終点アドレスである対象アドレスを検出した場合、前記対象アドレスを前記第２のルータ装置に通知する。前記第２のルータ装置は、前記対象アドレスに、カプセル化したパケットを送信する。前記対象アドレスが割り当てられた第１のルータ装置は、前記対象アドレス宛てに受信した受信パケットを前記許可端末のトンネル通信で用いられるパケットであるとみなし、前記受信パケットをデカプセル化してから前記要求端末の通信先に送信する。
【発明の効果】
【００１１】
トンネリングを用いた通信サービスでの不正なアクセスの防止と、システムの管理の両方を簡便に行うことができる。
【図面の簡単な説明】
【００１２】
【図１】実施形態に係る通信方法が用いられるネットワークの例を示す図である。
【図２】カスタマーエッジルータの構成の例を示す図である。
【図３】カスタマーエッジルータのハードウェア構成の例を表す。
【図４】ボーダールータの構成の例を示す図である。
【図５】ボーダールータのハードウェア構成の例を示す図である。
【図６】認証サーバの構成の例を示す図である。
【図７】ユーザ情報テーブルの例を示す図である。
【図８】認証サーバのハードウェア構成の例を示す図である。
【図９】端末の通信に際して行われるパケットの送受信の例を説明するシーケンス図である。
【図１０】制御メッセージの例を示す図である。
【図１１】ＳＡＭによる通信が行われる際に用いられるアドレスの例を説明する図である。
【図１２】ポート番号の計算方法の例を説明する図である。
【図１３】対向装置から端末への通信が行われる際に用いられるアドレスの例を説明する図である。
【図１４】カスタマーエッジルータの動作の例を説明するフローチャートである。
【図１５】認証サーバの動作の例を説明するフローチャートである。
【図１６】端末からパケットを受信したときのカスタマーエッジルータの動作の例を説明するフローチャートである。
【図１７】対向装置からパケットを受信したときのボーダールータの動作の例を説明するフローチャートである。
【図１８】ボーダールータからパケットを受信したときのカスタマーエッジルータの動作の例を説明するフローチャートである。
【図１９】ボーダールータの構成の例を示す図である。
【図２０】転送設定テーブルの例を示す図である。
【図２１】第２の実施形態が用いられるネットワークの例を示す図である。
【図２２】ボーダールータの動作の例を説明するフローチャートである。
【図２３】第３の実施形態が用いられるネットワークの例を示す図である。
【図２４】ユーザ情報テーブルと転送設定テーブルの例を示す図である。
【図２５】第４の実施形態が用いられるネットワークの例を示す図である。
【図２６】ユーザ情報テーブルと転送設定テーブルの例を示す図である。
【図２７】ネットワークの例を示す図である。
【発明を実施するための形態】
【００１３】
図１は、実施形態に係る通信方法が用いられるネットワークの例を示す。図１の例では、プライベートネットワーク１、回線事業者のネットワーク４、Internet Services Provider（ＩＳＰ）事業者ネットワーク６、ＩＰｖ４インターネット１１、および、ＩＰｖ６インターネット１２が含まれる。ここで、プライベートネットワーク１はＩＰｖ４とＩＰｖ６の両方に対応しているものとする。ユーザは、端末２で用いられるアプリケーション、通信先などにより、ＩＰｖ４とＩＰｖ６のいずれかのプロトコルを用いた通信を行うことができる。ＩＰｖ４インターネット１１では、ＩＰｖ４が用いられ、回線事業者のネットワーク４、ＩＳＰ事業者ネットワーク６、ＩＰｖ６インターネット１２ではＩＰｖ６が用いられているものとする。回線事業者のネットワーク４はＩＰｖ６ルータ５を備え、ＩＳＰ事業者ネットワーク６もＩＰｖ６ルータ７を備えているものとする。なお、図１などの図では、図を見やすくするためにＩＰｖ６ルータ５、７を１つずつ示しているが、ＩＰｖ６ルータ５、７の数は任意である。さらに、ＩＰｖ４インターネット１１も任意の数のＩＰｖ４ルータを備え、ＩＰｖ６インターネット１２も任意の数のＩＰｖ６ルータを備えているものとする。さらに、図１等に示すいずれのネットワークもルータ以外の通信装置を含むことができる。また、プライベートネットワーク１に含まれている端末２の数も任意である。
【００１４】
カスタマーエッジルータ（IPv4 ResidualDeployment customer edge、４ｒｄ ＣＥ）３は、プライベートネットワーク１と回線事業者のネットワーク４に接続されている。なお、カスタマーエッジルータ３は、customer SAM（Ｃ−ＳＡＭ）と称される場合もあるが、以下の説明では、「カスタマーエッジルータ」とする。また、IPv4 over IPv6トンネリング通信に使用されるトンネルルータであって、ＩＰｖ４インターネット１１に接続しているルータを、ボーダールータ（IPv4 ResidualDeployment Border Router、４ｒｄ ＢＲ）８と記載する。なお、ボーダールータ８は、provider SAM（Ｐ−ＳＡＭ）と称される場合もあるが、以下の説明では、「ボーダールータ」とする。
【００１５】
カスタマーエッジルータ３は、端末２から受信したパケットがＩＰｖ４パケットであって、さらに、プライベートネットワーク１に含まれていない通信装置を宛先としている場合、受信したパケットはカプセル化の対象であると判断する。そこで、カスタマーエッジルータ３は、認証サーバ１３に、端末２から受信したＩＰｖ４パケットのトンネル通信を行う際に使用するトンネルの終点アドレス（トンネルエンドポイントアドレス）を問い合わせる。このとき、カスタマーエッジルータ３は、認証サーバ１３に、端末２を識別する識別子を通知する。
【００１６】
認証サーバ１３は、予め、ボーダールータ８を介してＩＰｖ４インターネット１１にアクセスすることを許可されているユーザの端末２の識別子を記憶している。また、認証サーバ１３は、端末２の識別子に対応付けて、その端末２に対して使用が許可されているトンネルの終点アドレスも記憶しているものとする。認証サーバ１３は、カスタマーエッジルータ３から通知された識別子に対応付けて記憶されている終点アドレスを検出できた場合、検出した終点アドレスをカスタマーエッジルータ３に通知する。すなわち、端末２がトンネル通信に対して権限のあるユーザ（正規ユーザ）の端末であると確認されたときに、認証サーバ１３は、終点アドレスをカスタマーエッジルータ３に通知する。なお、正規ユーザの通信に用いられる端末を「許可端末」と記載することがある。
【００１７】
カスタマーエッジルータ３は、認証サーバ１３から終点アドレスを通知された場合、端末２から受信したＩＰｖ４パケットをＩＰｖ６ヘッダでカプセル化すると共に、通知された終点アドレスに向けてカプセル化後のパケットを送信する。一方、認証サーバ１３から終点アドレスが通知されなかった場合、カスタマーエッジルータ３は、端末２がＩＰｖ４インターネット１１にアクセスする権限を持たないと判断する。そこで、カスタマーエッジルータ３は、端末２から受信したＩＰｖ４パケットを転送しない。
【００１８】
ボーダールータ８は、カスタマーエッジルータ３から送信されたパケットを受信すると、デカプセル化してＩＰｖ４インターネット１１に転送する。このとき、ボーダールータ８は、ボーダールータ８に割り当てられた終点アドレスに宛てられているパケットを、転送先のネットワークの正規ユーザからのパケットであるとみなす。つまり、ボーダールータ８は、終点アドレスに到達したパケットを正規ユーザからのパケットであると判断して、認証を行わずにデカプセル化と転送を行う。
【００１９】
以上の通信方法では、ボーダールータ８が受信した個々のパケットについてＩＰｖ４インターネット１１にアクセスする権限を有するユーザからのパケットであるかを確認しなくても、ＩＰｖ４インターネット１１への不正アクセスを防ぐことができる。従って、ボーダールータ８やカスタマーエッジルータ３などのトンネルルータは、ユーザに対する通信の許可状況を管理しなくても良い。
【００２０】
＜装置構成＞
以下、図面を参照しながら、図１に含まれている装置の構成の例を説明する。なお、以下の説明では、カプセル化により付加されたＩＰｖ６ヘッダを「アウターヘッダ」と記載することがある。また、カプセル化されたパケットの中のＩＰｖ４ヘッダは、「インナーヘッダ」と記載されることがある。以下の例では、トンネル通信は、ＳＡＭを用いたIPv6 over IPv4トンネリングであるものとする。なお、ＳＡＭは、４ｒｄ（IPv4 ResidualDeployment）と記載されることがある。
【００２１】
図２は、カスタマーエッジルータ３の構成の例を示す。カスタマーエッジルータ３は、転送制御部１１０、経路制御部１２０、ＳＡＭ制御部１３０、記憶部１４０を備える。転送制御部１１０は、回線インタフェース１１１（１１１ａ、１１１ｂ）とパケット転送処理部１１３を備える。ＳＡＭ制御部１３０は、ＴＥＰＡ（tunnel endpoint address、終点アドレス）処理部１３１、カプセリング処理部１３２、ユーザ情報処理部１３３、アドレス情報処理部１３４を備える。記憶部１４０は、ＩＰｖ６ルーティングテーブル１４１、ＩＰｖ４ルーティングテーブル１４２、Network Address Port Translation（ＮＡＰＴ）テーブル１４３を備える。
【００２２】
回線インタフェース１１１ａはカスタマーエッジルータ３をプライベートネットワーク１と接続する。回線インタフェース１１１ｂは、カスタマーエッジルータ３と回線事業者のネットワーク４を接続する。なお、回線インタフェース１１１の数は実装に応じて任意に変更される場合がある。
【００２３】
パケット転送処理部１１３は、回線インタフェース１１１ａ、１１１ｂから受信したパケットを経路制御部１２０に出力して、転送先を問い合わせる。経路制御部１２０から転送先が通知されると、パケット転送処理部１１３は、通知された転送先に応じて、回線インタフェース１１１ａ、１１１ｂのいずれかにパケットを出力する。例えば、プライベートネットワーク１に含まれている端末２Ａから回線インタフェース１１１ａを介して受信したパケットが、プライベートネットワーク１に含まれている端末２Ｂに転送されるとする。この場合、パケット転送処理部１１３は、経路制御部１２０から受信したパケットをプライベートネットワーク１中の端末２Ｂに向けて送信することを指示される。すると、パケット転送処理部１１３は、受信したパケットを回線インタフェース１１１ａから端末２Ｂに送信する。一方、後述するように、カプセル化後のパケットを回線事業者のネットワーク４に向けて送信するように指示されると、パケット転送処理部１１３は、そのパケットを回線インタフェース１１１ｂに出力する。
【００２４】
経路制御部１２０は、パケット転送処理部１１３やＳＡＭ制御部１３０から入力されたパケットの転送先をＩＰｖ６ルーティングテーブル１４１、もしくは、ＩＰｖ４ルーティングテーブル１４２を参照して決定する。経路制御部１２０は、転送先をパケット転送処理部１１３に通知する。また、経路制御部１２０は、トンネル通信に用いられるパケットをカプセリング処理部１３２に出力する。例えば、経路制御部１２０は、プライベートネットワーク１から受信したＩＰｖ４パケットで回線事業者のネットワーク４に転送されるパケットを、カプセリング処理部１３２に出力する。また、経路制御部１２０は、回線事業者のネットワーク４から受信したパケットであって、アウターヘッダの宛先アドレスがＳＡＭ用ＩＰｖ６プレフィックスを含むパケットも、カプセリング処理部１３２に出力する。ＳＡＭ用ＩＰｖ６プレフィックスは予め設定されており、経路制御部１２０やアドレス情報処理部１３４に記憶されているものとする。
【００２５】
ＴＥＰＡ処理部１３１は、終点アドレスを問い合わせるための制御メッセージを生成する。以下、終点アドレスを問い合わせるための制御メッセージのことを、「問合せメッセージ」と記載することがある。認証サーバ１３から終点アドレスを通知する制御メッセージがカスタマーエッジルータ３で受信されると、ＴＥＰＡ処理部１３１は、受信された制御メッセージを処理して終点アドレスを取得する。以下の記載では、認証サーバ１３が終点アドレスを通知するためにカスタマーエッジルータ３に送信する制御メッセージのことを「アドレス通知メッセージ」もしくは「ＴＥＰＡ通知メッセージ」と記載することがある。ＴＥＰＡ処理部１３１は、アドレス通知メッセージから取得した終点アドレスを、アドレス情報処理部１３４に記憶させることができる。
【００２６】
カプセリング処理部１３２は、回線事業者のネットワーク４に転送されるパケットにアウターヘッダを付加することによりカプセル化する。一方、プライベートネットワーク１に転送されるパケットについて、カプセリング処理部１３２は、適宜、アウターヘッダを除去することにより、デカプセル化する。
【００２７】
ユーザ情報処理部１３３は、ユーザ情報を記憶しており、ＴＥＰＡ処理部１３１などからの要求に応じてユーザ情報を通知する。以下の説明では、ユーザ情報は、端末２を使用するユーザのユーザＩＤ（identification）とパスワードの組合せである。なお、ユーザ情報は、トンネル通信を要求している端末２もしくは端末２を使用するユーザを一意に特定することができる任意の情報とすることができる。さらに、ユーザ情報処理部１３３は、ユーザＩＤ、パスワードなどの認証に用いられる文字列を、端末２を識別する識別子に対応付けて記憶することもできる。
【００２８】
アドレス情報処理部１３４は、ＳＡＭによる通信を行うために予め設定されているプレフィックスの情報を格納する。すなわち、アドレス情報処理部１３４は、ＳＡＭによる通信で用いられるＩＰｖ４プレフィックスとＩＰｖ６プレフィックスを記憶する。また、アドレス情報処理部１３４は、これらのプレフィックスを用いて、カスタマーエッジルータ３に割り当てられるＩＰｖ６アドレス、ＩＰｖ４グローバルアドレス、ポート番号などを求める。さらに、アドレス情報処理部１３４は、ボーダールータ８に備えられたアドレス情報処理部２３２（図４）と共通のアドレス決定ルールを記憶しており、アドレスを計算する際に使用する。アドレス情報処理部１３４がアドレスやポート番号を求める方法については、後で詳しく説明する。アドレス情報処理部１３４は、ＴＥＰＡ処理部１３１から通知された終点アドレスも格納する。
【００２９】
ＮＡＰＴテーブル１４３は、アドレス情報処理部１３４で計算されたＩＰｖ４グローバルアドレスを、端末２が用いているＩＰｖ４プライベートアドレスと対応付けて記憶する。カプセリング処理部１３２は、パケットをカプセル化する際やデカプセル化する際にＮＡＰＴテーブル１４３を参照する。
【００３０】
図３は、カスタマーエッジルータ３のハードウェア構成の例を表す。カスタマーエッジルータ３は、Central Processing Unit（ＣＰＵ）４０１、メモリ４０２、バス４１０（４１０ａ、４１０ｂ）、パケット転送エンジン４１１、および、回線インタフェース１１１を備える。ＣＰＵ４０１は、経路制御部１２０およびＳＡＭ制御部１３０として動作する。メモリ４０２は記憶部１４０として動作し、さらに、アドレス情報処理部１３４やユーザ情報処理部１３３で用いられるアドレス情報などを格納することができる。また、オプションとして、カスタマーエッジルータ３は、アドレス情報管理メモリ４１２、ユーザ情報管理メモリ４１３の少なくとも１つを備えることもできる。この場合、アドレス情報管理メモリ４１２はアドレス情報処理部１３４が計算したアドレスやポートの情報を格納し、ユーザ情報管理メモリ４１３は、ユーザ情報処理部１３３で処理される識別子やパスワードなどを記憶する。パケット転送エンジン４１１はパケット転送処理部１１３として動作する。バス４１０ａ、４１０ｂは、ＣＰＵ４０１、メモリ４０２、パケット転送エンジン４１１、回線インタフェース１１１、アドレス情報管理メモリ４１２、ユーザ情報管理メモリ４１３を、データの入出力が可能となるように接続する。
【００３１】
図４は、ボーダールータ８の構成の例を示す図である。ボーダールータ８は、転送制御部２１０、経路制御部２２０、ＳＡＭ制御部２３０、記憶部２４０を備える。ＳＡＭ制御部２３０は、カプセリング処理部２３１とアドレス情報処理部２３２を備える。記憶部２４０は、ＩＰｖ６ルーティングテーブル２４１とＩＰｖ４ルーティングテーブル２４２を備える。
【００３２】
回線インタフェース２１１ａは、ボーダールータ８をＩＳＰ事業者ネットワーク６に含まれるＩＰｖ６ルータ７などの装置と接続している。また、回線インタフェース２１１ｂは、ＩＰｖ４インターネット１１とボーダールータ８を接続している。なお、回線インタフェース２１１の数は実装に応じて任意に変更される場合がある。パケット転送処理部２１３は、回線インタフェース２１１から受信したパケットを経路制御部２２０に出力し、転送先を問い合わせる。また、経路制御部２２０から転送先が通知されると、パケット転送処理部２１３は、通知された転送先に応じて回線インタフェース２１１ａもしくは２１１ｂにパケットを出力する。
【００３３】
経路制御部２２０は、パケット転送処理部２１３やカプセリング処理部２３１から入力されたパケットの転送先を、ＩＰｖ６ルーティングテーブル２４１やＩＰｖ４ルーティングテーブル２４２を参照して決定する。経路制御部２２０は転送先をパケット転送処理部２１３に通知する。また、経路制御部２２０は、ボーダールータ８に割り当てられた終点アドレスを宛先としたＩＰｖ６パケットを、カプセリング処理部２３１に出力する。さらに、経路制御部２２０は、ＩＰｖ４インターネット１１からボーダールータ８が受信したパケットのうちでＩＳＰ事業者ネットワーク６に転送されるパケットも、カプセリング処理部２３１に出力する。
【００３４】
カプセリング処理部２３１は、経路制御部２２０から入力されたパケットの種類を確認することにより、そのパケットにカプセル化とデカプセル化のどちらの処理を行うかを判定する。カプセリング処理部２３１は、ＩＰｖ６パケットはデカプセル化の対象であると判定し、ＩＰｖ４パケットはカプセル化の対象であると判定する。従って、例えば、カプセリング処理部２３１は、ＩＰｖ６ルータ７から転送制御部２１０等を介して受信したＩＰｖ６パケットのアウターヘッダを除去して、ＩＰｖ４パケットに変換する。一方、ＩＰｖ４インターネット１１から受信したＩＰｖ４パケットには、カプセリング処理部２３１は、アウターヘッダを付加してＩＰｖ６パケットに変換する。このとき、カプセリング処理部２３１は、カプセル化に用いるＩＰｖ６アドレスをアドレス情報処理部２３２に要求する。
【００３５】
アドレス情報処理部２３２は、カプセリング処理部２３１の要求に応じてＩＰｖ４アドレスからＩＰｖ６アドレスへのマッピングを行い、得られたＩＰｖ６アドレスをカプセリング処理部２３１に出力する。マッピングの際に、アドレス情報処理部２３２は、アドレス情報処理部１３４（図２）が用いるアドレス決定ルールと同じルールを用いる。アドレスのマッピングについては後述する。カプセリング処理部２３１は、アドレス情報処理部２３２から取得したアドレスを用いてパケットをカプセル化する。さらに、カプセリング処理部２３１は、カプセル化もしくはデカプセル化したパケットを経路制御部２２０に出力する。
【００３６】
図５は、ボーダールータ８のハードウェア構成の例を示す。ボーダールータ８は、ＣＰＵ５０１、メモリ５０２、バス５１０（５１０ａ、５１０ｂ）、パケット転送エンジン５１１、回線インタフェース２１１を備える。ＣＰＵ５０１は、経路制御部２２０およびＳＡＭ制御部２３０として動作する。メモリ５０２は、ＩＰｖ６ルーティングテーブル２４１、ＩＰｖ４ルーティングテーブル２４２を格納し、さらに、適宜、経路制御部２２０やＳＡＭ制御部２３０の処理によって得られたデータを格納する。パケット転送エンジン５１１は、パケット転送処理部２１３として動作する。バス５１０ａとバス５１０ｂは、ＣＰＵ５０１、メモリ５０２、パケット転送エンジン５１１、回線インタフェース２１１を、データの入出力が可能となるように接続する。
【００３７】
図６は、認証サーバ１３の構成の例を示す図である。認証サーバ１３は、転送制御部３１０と認証制御部３２０を備える。転送制御部３１０は回線インタフェース３１１とパケット転送処理部３１２を備える。また、認証制御部３２０は、認証処理部３２１とユーザ情報テーブル３２２を備える。
【００３８】
回線インタフェース３１１は、認証サーバ１３をＩＰｖ６ルータ７と接続する。パケット転送処理部３１２は、回線インタフェース３１１を介してＩＰｖ６ルータ７から問合せメッセージを受信する。さらに、パケット転送処理部３１２は、アドレス通知メッセージを、回線インタフェース３１１を介して、カスタマーエッジルータ３に向けて送信する。認証処理部３２１は、問合せメッセージを受信するとユーザ情報テーブル３２２に記憶されている情報を参照して、問合せメッセージに含まれているユーザ情報に対応付けられた終点アドレスを検索する。図７は、ユーザ情報テーブル３２２の例を示す図である。図７の例では、ユーザを識別するために用いられるユーザ情報と終点アドレス（ＴＥＰＡ）が対応付けて格納されている。
【００３９】
図８は、認証サーバのハードウェア構成の例を示す。認証サーバ１３は、ＣＰＵ６０１、メモリ６０２、バス６１０（６１０ａ、６１０ｂ）、パケット転送エンジン６１１、回線インタフェース３１１を備える。ＣＰＵ６０１は、認証処理部３２１として動作する。メモリ６０２は、ユーザ情報テーブル３２２を格納する。パケット転送エンジン６１１は、パケット転送処理部３１２として動作する。バス６１０ａとバス６１０ｂは、ＣＰＵ６０１、メモリ６０２、パケット転送エンジン６１１、回線インタフェース３１１を、データの入出力が可能となるように接続する。
【００４０】
＜第１の実施形態＞
図９は、端末２の通信に際して行われるパケットの送受信の例を説明するシーケンス図である。以下の説明では、カスタマーエッジルータ３のアドレス情報処理部１３４と、ボーダールータ８のアドレス情報処理部２３２が記憶している共通のアドレス生成ルールおよびプレフィックスは、以下のとおりであるものとする。
（ａ）ＳＡＭ用ＩＰｖ６プレフィックス ： ２００１：ｄｂ８：：／３２
（ｂ）ＳＡＭ用ＩＰｖ４プレフィックス ： １９２．０．２．０／２４
（ｃ）カスタマーエッジルータ３に配布されるプレフィックスの長さ：４８ビット
（ｄ）カスタマーエッジルータ３が用いるＩＰｖ６アドレスのネットワーク部は、初めの４８ビットを配布されたプレフィックスとし、次の１６ビットの値を０ｘ０１とする。
（ｅ）カスタマーエッジルータ３が用いるＩＰｖ６アドレスのインタフェース部の値は「：：１」とする。
【００４１】
なお、図９はシーケンスの一例であり、例えば、手順（４）と手順（８）を省略した上で、手順（５）〜（７）を手順（９）の後にするなどの変更が行われる場合がある。さらに、図９は、プライベートネットワーク１でＩＰｖ４とＩＰｖ６の両方が用いられるデュアルスタックネットワークである場合の例を示しているが、プライベートネットワーク１がＩＰｖ６に対応していない場合は、手順（３）は行われない。
【００４２】
（１）端末２は、カスタマーエッジルータ３にユーザ情報を含む制御パケットを送信する。ここでは、ユーザ情報は、ユーザＩＤ「ｕｓｅｒ１」とパスワード「ｐａｓｓｗｏｒｄ１１」であるものとする。カスタマーエッジルータ３は、回線インタフェース１１１ａを介して制御パケットを受信すると、端末２から通知されたユーザＩＤとパスワードをユーザ情報処理部１３３に格納する。
【００４３】
（２）ＩＰｖ６ルータ５は、カスタマーエッジルータ３がＩＰｖ６通信する際に用いるＩＰｖ６プレフィックスを通知する。ここでは、「２００１：ｄｂ８：ａｂｃｄ：：／４８」が、カスタマーエッジルータ３に通知されたとする。すると、アドレス情報処理部１３４は、通知されたプレフィックスに基づいて、カスタマーエッジルータ３がパケットを回線事業者のネットワーク４に送信する際に用いるＩＰｖ６アドレスを生成する。アドレス情報処理部１３４は、前述のアドレス生成ルールの（ｄ）と（ｅ）に基づいて、カスタマーエッジルータ３が用いるＩＰｖ６アドレスを「２００１：ｄｂ８：ａｂｃｄ：１：：１」に決定する。アドレス情報処理部１３４は、生成したＩＰｖ６アドレスを記憶する。
【００４４】
（３）アドレス情報処理部１３４は、生成したＩＰｖ６アドレスとＩＰｖ６デフォルトルータを端末２に通知する。この処理により、端末２は、カスタマーエッジルータ３を介して、ＩＳＰ事業者ネットワーク６やＩＰｖ６インターネット１２に含まれる装置と通信することができるようになる。
【００４５】
（４）端末２は、ＩＰｖ４パケットをＩＰｖ４インターネット１１に送信するための設定をカスタマーエッジルータ３に要求する。
【００４６】
（５）カスタマーエッジルータ３は、ユーザ情報がユーザ情報処理部１３３に記憶されているかを確認する。ユーザ情報がユーザ情報処理部１３３に記憶されていない場合、カスタマーエッジルータ３は処理を中止する。一方、ユーザ情報がユーザ情報処理部１３３に記憶されている場合、ユーザ情報処理部１３３は、ＴＥＰＡ処理部１３１に終点アドレスを要求する。ＴＥＰＡ処理部１３１は、端末２に対して使用が許可された終点アドレスがアドレス情報処理部１３４に格納されているかを確認する。終点アドレスが格納されていない場合、ＴＥＰＡ処理部１３１は、問合せメッセージを生成する。カスタマーエッジルータ３は、認証サーバ１３に問合せメッセージを送信して、終点アドレスを問い合わせる。
【００４７】
図１０（ａ）に問合せメッセージの例を示す。問合せメッセージは、ＩＰヘッダ、User Datagram Protocol（ＵＤＰ）ヘッダの他に、４ｒｄによる通信であることを示す識別子（４ｒｄ識別子）と任意の数のattribute-value（ＡＶ）ペアを含む。例えば、図１０（ａ）の例では、ＡＶ１〜ＡＶ３の３つのＡＶペアを含んである。それぞれのＡＶペアは、データの属性、データ長、データの値の３つの情報を含む。ＡＶ１は、属性がメッセージタイプで、メッセージタイプを表す値の長さが１ビットであることと、メッセージタイプの値が０であることを示す。ここで、メッセージタイプ＝０は、問合せメッセージであることを示すものとする。同様に、ＡＶ２は、ユーザＩＤが「ｕｓｅｒ１」の５文字であることを示し、ＡＶ３は、パスワードが「ｐａｓｓｗｏｒｄ１１」の１０文字であることを示す。
【００４８】
（６）認証サーバ１３は、カスタマーエッジルータ３から問合せメッセージを受信する。認証処理部３２１は、問合せメッセージに含まれているユーザ情報を抽出して、抽出した情報がユーザ情報テーブル３２２に含まれているかを確認する。問合せメッセージから抽出されたユーザＩＤとパスワードの組み合わせがユーザ情報テーブル３２２に含まれている場合、認証サーバ１３は、ＩＰｖ４インターネット１１にアクセスする権限を有するユーザから認証の要求を受けたと判断する。そこで、ユーザ情報に対応付けて記憶されている終点アドレスを含むアドレス通知メッセージを生成してカスタマーエッジルータ３に返信する。例えば、認証サーバ１３が図７に示すユーザ情報テーブル３２２を備えている場合、認証サーバ１３は、「ＴＥＰＡ−Ａ」を通知するアドレス通知メッセージを端末２に送信する。図１０（ｂ）に認証サーバ１３からカスタマーエッジルータ３に送信されるアドレス通知メッセージの例を示す。なお、アドレス通知メッセージを示すメッセージタイプは「１」であるものとする。
【００４９】
一方、問合せメッセージから抽出されたユーザＩＤとパスワードの組み合わせがユーザ情報テーブル３２２に含まれていない場合、認証サーバ１３は、ＩＰｖ４インターネット１１にアクセスする権限を持たないユーザから認証の要求を受けたと判断する。すると、認証処理部３２１は、認証に失敗した旨を通知するエラーメッセージを、カスタマーエッジルータ３に向けて送信する。例えば、エラーメッセージは、メッセージタイプの値が「３」であり、図１０に示す制御メッセージと同様の構成とすることができる。
【００５０】
（７）カスタマーエッジルータ３は、認証サーバ１３から制御メッセージを受信する。ここでは、カスタマーエッジルータ３がアドレス通知メッセージを受信したものとする。ＴＥＰＡ処理部１３１は、アドレス通知メッセージに含まれている情報を確認する。ＴＥＰＡ処理部１３１はアドレス通知メッセージから終点アドレスを取得すると、終点アドレスをアドレス情報処理部１３４に記憶させる。
【００５１】
（８）カスタマーエッジルータ３は、端末２にＩＰｖ４インターネット１１へのアクセスが許可されたことを端末２に通知する。なお、手順（８）は、手順（４）の要求に対する応答メッセージである。
【００５２】
図１１は、ＳＡＭによる通信が行われる際に用いられるアドレスの例を説明する図である。以下、適宜、図１１を参照しながら、図９の手順（９）〜（１１）で行われる動作について説明する。図１１の例では、ＴＥＰＡ−Ａは「２００１：ｄｂ８：０：１：：１」であるものとする。さらに、カスタマーエッジルータ３のプライベートネットワーク１側のポートのアドレスは「１９２．１６８．０．１／２４」であるものとする。さらに、端末２がＩＰｖ４パケットを用いた通信を行う対向装置１４のアドレスは、「２０３．０．１１３．２５４」である。さらに、ボーダールータ８のＩＰｖ４インターネット１１側のポートに割り当てられたアドレスは「２０３．０．１１３．１」であるものとする。
【００５３】
（９）端末２がＩＰｖ４インターネット１１に向けたＩＰｖ４パケットを生成して、カスタマーエッジルータ３に送信したとする。以下の説明では、端末２は、プライベートネットワーク１ではプライベートアドレス「１９２．１６８．０．３０」を用いているとする。すると、端末２は、対向装置１４を宛先アドレスとして図１１（ａ）に示すアドレスとポートを指定したＩＰｖ４パケットをカスタマーエッジルータ３に送信する。
【００５４】
カスタマーエッジルータ３の経路制御部１２０は、ＩＰｖ４パケットを受信すると、ＩＰｖ４ルーティングテーブル１４２を参照して、パケットの転送先を取得する。転送先がプライベートネットワーク１ではない場合、経路制御部１２０は、受信したパケットをカプセリング処理部１３２に出力する。
【００５５】
カプセリング処理部１３２は、パケットをカプセル化する前に、ＩＰｖ４プライベートアドレスをＩＰｖ４グローバルアドレスに変換する。カプセリング処理部１３２は、端末２が使用しているＩＰｖ４プライベートアドレスとポート番号の組み合わせに対応するＩＰｖ４グローバルアドレスとポート番号が、ＮＡＰＴテーブル１４３に格納されているかを確認する。図９の例では、手順（９）より前に端末２はＩＰｖ４インターネット１１に含まれる装置と通信していないので、ＮＡＰＴテーブル１４３にＩＰｖ４グローバルアドレスとポート番号が記録されていない。そこで、カプセリング処理部１３２は、アドレス情報処理部１３４にＩＰｖ４グローバルアドレスの計算を要求する。
【００５６】
アドレス情報処理部１３４は、ＩＰｖ６ルータ５から配布されたＩＰｖ６プレフィックスがＳＡＭ用ＩＰｖ６プレフィックスに該当することを確認する。配布されたプレフィックスがＳＡＭ用ＩＰｖ６プレフィックスである場合、アドレス情報処理部１３４は、配布されたプレフィックスのうちでＳＡＭ用プレフィックスに含まれていないビット数の値を求める。ここでは
配布されたプレフィックス : ２００１：ｄｂ８：ａｂｃｄ：：／４８
ＳＡＭ用ＩＰｖ６プレフィックス： ２００１：ｄｂ８：：／３２
であるので、配布されたプレフィックスのうちの下位の１６ビット「ａｂｃｄ」により個々のカスタマーエッジルータ３を識別することができる。以下、配布されたプレフィックスのうちでカスタマーエッジルータ３の識別に用いることができるビット列を「ユーザ識別ビット列」と記載することある。アドレス情報処理部１３４は、ＳＡＭ用ＩＰｖ４プレフィックスとユーザ識別ビット列から、ＩＰｖ４グローバルアドレスとポート番号を計算する。
【００５７】
アドレス情報処理部１３４は、ＳＡＭ用ＩＰｖ４プレフィックスの長さとＩＰｖ４グローバルアドレスの長さの差分を求め、差分と同じビット数をユーザ識別ビット列の上位から取得する。アドレス情報処理部１３４は、取得したビット列をＳＡＭ用ＩＰｖ４プレフィックスの後に続けて得られたアドレスをＩＰｖ４グローバルアドレスとする。ここでは、ＳＡＭ用ＩＰｖ４プレフィックスは２４ビットでＩＰｖ４グローバルアドレスは３２ビットであるので、差分は８ビットである。そこで、ユーザ識別ビット列の最初の８ビットの「ａｂ」をＳＡＭ用ＩＰｖ４プレフィックスに続けるとＩＰｖ４グローバルアドレスとなる。「ａｂ」を１０進数で表すと、「１７１」である。従って、ＩＰｖ４グローバルアドレスは「１９２．０．２．１７１／２４」となる。
【００５８】
アドレス情報処理部１３４は、次に、ポート番号を求める。アドレス情報処理部１３４は、ユーザ識別ビット列のうちでＩＰｖ４グローバルアドレスの計算に用いていないビットを２進数で表した値の前に、ポートレンジインデックスを付加して得られた文字列を１０進数に変換した値をポート番号とする。ここで、ポートレンジインデックスは、ＳＡＭによる通信でユーザデータの送受信に使用されないポート番号を端末２に割り当てないために使用される。ポートレンジインデックスは「１」、「０１」、「００１」、「０００１」のいずれかである。ここでは、図１２（ａ）に示すように、ユーザ識別ビット列が「ａｂｃｄ」であり、「ａｂ」がＩＰｖ４グローバルアドレスの生成に使用されているので、ポート番号の計算には、「ｃｄ」にあたるビット列が使用される。１６進数の「ｃｄ」を２進数に変換すると、「１１００１１０１」となる。そこで、図１２（ｂ）に示すように、「１１００１１０１」の前にポートレンジインデックスのうちのいずれかを付加して得られたビット列に、任意のビット列を追加することにより１６ビットのビット列が得られる。アドレス情報処理部１３４は、得られたビット列で示される値をポート番号とする。図１２（ｂ）の右端に、得られるポート番号の範囲を１６進数と１０進数で表す。以下の説明では、０ｘ１ＣＤ０がポート番号として得られた場合を例として説明する。
【００５９】
アドレス情報処理部１３４は、計算したＩＰｖ４グローバルアドレスとポート番号をカプセリング処理部１３２に通知する。カプセリング処理部１３２は、端末２から送信されたパケットの送信元アドレスと送信元ポートを、アドレス情報処理部１３４から通知されたＩＰｖ４グローバルアドレスとポート番号に置き換える。さらに、カプセリング処理部１３２は、アドレス等を置き換える前にパケットに設定されていたＩＰｖ４プライベートアドレスと送信元ポート番号の組み合わせを、置き換え後のＩＰｖ４グローバルアドレス等と対応付けてＮＡＰＴテーブル１４３に格納する。図１１（ｂ）に、ＮＡＰＴテーブル１４３の例を示す。
【００６０】
（１０）次に、カプセリング処理部１３２は、パケットをカプセル化する。カプセリング処理部１３２は、アドレス情報処理部１３４に格納されている終点アドレスを取得し、アウターヘッダの宛先ＩＰｖ６アドレスに設定する。ここでは、手順（７）で述べたとおり、ＴＥＰＡ−Ａ（２００１：ｄｂ８：０：１：：１）がアドレス情報処理部１３４に記憶されているものとする。また、カプセリング処理部１３２は、アドレス情報処理部１３４に対して、カスタマーエッジルータ３のＩＰｖ６アドレスを要求する。カスタマーエッジルータ３のＩＰｖ６アドレスは、手順（２）で説明したように、「２００１：ｄｂ８：ａｂｃｄ：１：：１」である。カプセリング処理部１３２は、カスタマーエッジルータ３のＩＰｖ６アドレスをアウターヘッダの送信元ＩＰアドレスに設定する。従って、カプセル化後のパケットに設定されている送信元アドレス、宛先アドレス、および、ポート番号は、図１１（ｃ）に示すようになる。カプセリング処理部１３２は、カプセル化後のパケットを経路制御部１２０に出力する。経路制御部１２０は、ＩＰｖ６ルーティングテーブル１４１を参照して転送先を決定し、パケット転送処理部１１３に出力する。パケット転送処理部１１３は、ボーダールータ８に向けてカプセル化後のパケットを送信する。図９の（１０）では、カプセル化後のパケットを「ＩＰｖ４ ｏｖｅｒ ＩＰｂ６パケット」と記載している。カスタマーエッジルータ３からボーダールータ８に送信されたパケットは、ＩＰｖ６ルータ５を介してボーダールータ８に送信される。
【００６１】
（１１）ボーダールータ８は、ＴＥＰＡ−Ａに宛てたパケットを受信する。ここで、ＴＥＰＡ−Ａを宛先として指定できる端末２は、認証サーバ１３での認証に成功した結果として認証サーバ１３から終点アドレスを通知されているといえる。従って、ボーダールータ８は、ボーダールータ８に割り当てられているアドレスをアウターヘッダの宛先アドレスとしているパケットは、認証サーバ１３での認証に成功したユーザからのパケットであるとみなす。このため、ボーダールータ８は、ＴＥＰＡ−Ａ宛てのパケットについては正規ユーザからのパケットであるかを判定しない。そこで、パケット転送処理部２１３をからＴＥＰＡ−Ａ宛てのパケットが入力されると、経路制御部２２０は、そのパケットをカプセリング処理部２３１に出力する。カプセリング処理部２３１は、ＴＥＰＡ−Ａ宛てのパケットをデカプセル化する。デカプセル化された後のパケットのＩＰヘッダに含まれているアドレスとポート番号は、図１１（ｄ）に示すとおりである。
【００６２】
カプセリング処理部２３１は、デカプセル化後のパケットを経路制御部２２０に出力する。経路制御部２２０は、ＩＰｖ４ルーティングテーブル２４２を参照して、パケットをＩＰｖ４インターネット１１に転送する。パケットはＩＰｖ４インターネット１１中でルーティングされて対向装置１４に到達する。
【００６３】
図１３は、対向装置１４から端末２への通信が行われる際に用いられるアドレスの例を説明する図である。以下、適宜、図１３を参照しながら、図９の手順（１２）〜（１４）で行われる動作について説明する。
【００６４】
（１２）対向装置１４は、手順（１１）で受信した端末２からのパケットに応答するパケット（応答パケット）を生成したとする。生成されたパケットは、対向装置１４からボーダールータ８に送信される。また、対向装置１４から送信される応答パケットのＩＰｖ４ヘッダに含まれるアドレスとポート番号は、図１３（ａ）に示すとおりである。
【００６５】
（１３）ボーダールータ８の経路制御部２２０は、ＩＰｖ４パケットを受信すると、ＩＰｖ４ルーティングテーブル２４２を参照して、パケットの転送先を取得する。転送先がＩＰｖ４インターネット１１ではない場合、経路制御部２２０は、アドレス情報処理部２３２からＳＡＭ用ＩＰｖ４プレフィックスを取得し、宛先アドレスのプレフィックスと一致するかを確認する。経路制御部２２０は、宛先ＩＰｖ４アドレスのプレフィックスがＳＡＭ用ＩＰｖ４プレフィックスと一致したパケットをカプセリング処理部２３１に出力する。
【００６６】
カプセリング処理部２３１は、アドレス情報処理部２３２にカプセル化に用いるためのＩＰｖ６アドレスの算出を要求する。アドレス情報処理部２３２は、宛先ＩＰｖ４アドレスについて、ＳＡＭ用ＩＰｖ４プレフィックス以外のビット列と、宛先ポート番号を取得する。すなわち、図１３（ａ）の丸で囲んだ情報に基づいてカプセル化に用いる宛先ＩＰｖ６アドレスを算出する。ここでは、宛先ＩＰｖ４アドレスが「１９２．０．２．１７１」であり、ＳＡＭ用ＩＰｖ４プレフィックスは「１９２．０．２．０／２４」である。そこで、アドレス情報処理部２３２は、宛先ＩＰｖ４アドレスの下位８ビットにあたる「１７１」を４ビットずつで区切った１６進数に変換する。すると、「１７１」は「ａｂ」に変換される。
【００６７】
次に、アドレス情報処理部２３２は、宛先ポート番号を２進数で表記したときに「１」の値が設定されている最上位のビットの位置を確認する。「０ｘ１ＣＤ０」の場合、２進数に変換すると「０００１ １１００ １１０１ ００００」となる。従って、「１」の値が設定されている最上位のビットは４ビット目であるので、「０００１」がポート番号の算出のために付加されたポートレンジインデックスである。
【００６８】
ここで、アドレス情報処理部２３２は、ポート番号を表すビット列からアドレスの算出に用いるビット数を計算する。ユーザ配布ＩＰｖ６プレフィックス長さは４８ビットである。ＳＡＭ用ＩＰｖ６プレフィックスの長さが３２ビットであるため、ユーザ識別ビット列は１６ビットである。宛先ＩＰｖ４アドレスの長さからＳＡＭ用ＩＰｖ４プレフィックスの長さを差し引いた８ビット分の情報は、既に宛先ＩＰｖ４アドレスから取得されている。従って、宛先ポート番号からは、１６−８＝８ビットの情報を取得すればよい。そこで、アドレス情報処理部２３２は、宛先ポート番号を表すビット列から、ポートレンジインデックスに続く８ビット（１１００１１０１）を取得し、１６進数（ｃｄ）に変換する。得られた値「ｃｄ」を宛先ＩＰｖ４アドレスから計算した値の後につなげることにより、ユーザ識別ビット列の値を１６進数で示した「ａｂｃｄ」が得られる。
【００６９】
アドレス情報処理部２３２は、ＳＡＭ用ＩＰｖ６プレフィックスの後にユーザ識別ビット列をつなげることにより、カスタマーエッジルータ３に配布されたプレフィックスは「２００１：ｄｂ８：ａｂｃｄ：／４８」であると計算する。アドレス情報処理部２３２は、アドレス生成ルール（ｄ）と（ｅ）に従って、カスタマーエッジルータ３のＩＰｖ６アドレスは「２００１：ｄｂ８：ａｂｃｄ：１：：１」であることを求める。アドレス情報処理部２３２は、カスタマーエッジルータ３のＩＰｖ６アドレスをカプセリング処理部２３１に通知する。さらに、アドレス情報処理部２３２は、ボーダールータ８がカスタマーエッジルータ３にパケットを送信する際に用いるＩＰｖ６アドレスも通知する。ここでは、カスタマーエッジルータ３へのパケットの送信にＴＥＰＡ−Ａが用いられるものとする。
【００７０】
カプセリング処理部２３１は、アドレス情報処理部２３２から通知されたアドレスを用いてパケットをカプセリングする。カプセル化されたパケットのアウターヘッダとインナーヘッダに含まれているアドレスとポート番号は、図１３（ｂ）に示すとおりである。カプセル化されたパケットは、ボーダールータ８からＩＰｖ６ルータ５を介してカスタマーエッジルータ３に送信される。
【００７１】
（１４）カスタマーエッジルータ３は、ボーダールータ８からパケットを受信する。カスタマーエッジルータ３の経路制御部１２０は、パケット転送処理部１１３から入力されたパケットをカプセリング処理部１３２に出力する。カプセリング処理部１３２は、パケットをデカプセル化する。さらに、カプセリング処理部１３２は、ＩＰｖ４グローバルアドレスをキーとしてＮＡＰＴテーブル１４３を検索し、ＩＰｖ４プライベートアドレスとポート番号を取得する。カプセリング処理部１３２は、ＩＰｖ４ヘッダの宛先アドレスと宛先ポート番号をＮＡＰＴテーブル１４３から得られた値に書き換える。書き換え後のＩＰｖ４ヘッダは図１３（ｃ）に示すとおりである。カプセリング処理部１３２は、ＩＰｖ４ヘッダを変換したパケットを経路制御部１２０に出力する。経路制御部１２０は、ＩＰｖ４ルーティングテーブル１４２を参照して、端末２にパケットを送信する。
【００７２】
図１４は、カスタマーエッジルータ３の動作の例を説明するフローチャートである。図１４では、図９を参照しながら説明した手順（２）〜（７）で行われる動作を表している。カスタマーエッジルータ３は、回線事業者のネットワーク４に含まれているＩＰｖ６ルータ５からＩＰｖ６プレフィックスを取得する（ステップＳ１）。アドレス情報処理部１３４は、取得されたＩＰｖ６プレフィックスを用いてＩＰｖ４グローバルアドレスと、カスタマーエッジルータ３が使用することができるポート番号の範囲を算出する（ステップＳ２）。ユーザ情報処理部１３３は、ユーザ情報が格納されているかを確認する（ステップＳ３）。ユーザ情報処理部１３３にユーザ情報が格納されていない場合、ユーザ情報処理部１３３は処理を終了する（ステップＳ３でＮｏ）。一方、ユーザ情報がすでにユーザ情報処理部１３３に格納されている場合、ＴＥＰＡ処理部１３１は、認証サーバ１３に終点アドレス（ＴＥＰＡ）を問い合わせる（ステップＳ３でＹｅｓ、ステップＳ４）。認証サーバ１３からアドレス通知メッセージを受信すると、ＴＥＰＡ処理部１３１は、アドレス通知メッセージからＴＥＰＡを抽出してアドレス情報処理部１３４に出力する（ステップＳ５）。アドレス情報処理部１３４は、ＴＥＰＡを記憶する（ステップＳ６）。一方、認証サーバ１３からカスタマーエッジルータ３に送信された制御メッセージがエラーメッセージである場合、ＴＥＰＡが通知されていないので、ＴＥＰＡ処理部１３１は処理を中止する（ステップＳ５でＮｏ）。
【００７３】
図１５は、認証サーバ１３の動作の例を説明するフローチャートである。図１５では、図９を参照しながら説明した手順（５）〜（７）で行われる動作を表している。認証処理部３２１は、認証サーバ１３が受信したパケットからユーザ情報を取得できるかを確認する（ステップＳ１１）。受信パケットからユーザ情報が取得できない場合、認証処理部３２１は、処理を中止する（ステップＳ１１でＮｏ）。受信パケットからユーザ情報を取得できた場合、認証処理部３２１は、取得したユーザ情報をキーとしてユーザ情報テーブル３２２を検索する（ステップＳ１２、Ｓ１３）。ユーザ情報がユーザ情報テーブル３２２に登録されていない場合、認証処理部３２１は、カスタマーエッジルータ３にエラーメッセージを送信して処理を中止する（ステップＳ１４でＮｏ）。一方、ユーザ情報がユーザ情報テーブル３２２に登録されている場合、認証処理部３２１は、ユーザ情報に対応付けて記録されているＴＥＰＡを取得する（ステップＳ１４でＹｅｓ、ステップＳ１５）。さらに、認証処理部３２１は、問合せメッセージを送信してきたカスタマーエッジルータ３に対して、ＴＥＰＡを含むアドレス通知メッセージを送信して、ＴＥＰＡを通知する（ステップＳ１６）。なお、図１５は動作の例であり、例えば、ステップＳ１４でＮｏと判定された場合、認証処理部３２１は、エラーメッセージの送信を行わないように変形することもできる。
【００７４】
図１６は、端末２からパケットを受信したときのカスタマーエッジルータ３の動作の例を説明するフローチャートである。図１６では、図９を参照しながら説明した手順（１０）で行われる動作を表している。カプセリング処理部１３２は、端末２から受信したパケットはインターネット側に転送されるパケットであるかを確認する（ステップＳ２１）。インターネット側に転送されるパケットではない場合、カプセリング処理部１３２は処理を終了する（ステップＳ２１でＮｏ）。インターネット側に転送されるパケットを端末２から受信している場合、カプセリング処理部１３２は、アドレス情報処理部１３４にカプセリングに用いるアドレス情報を要求する。アドレス情報処理部１３４は、ＴＥＰＡが登録されているかを確認する（ステップＳ２２）。ＴＥＰＡが登録されていない場合、アドレス情報処理部１３４はＴＥＰＡが登録されていないことをカプセリング処理部１３２に通知し、処理を終了する（ステップＳ２２でＮｏ）。一方、ＴＥＰＡが登録されている場合、アドレス情報処理部１３４は、カプセリング処理部１３２にＩＰｖ６アドレス、ＩＰｖ４グローバルアドレス、使用可能なポート範囲、ＴＥＰＡを通知する。カプセリング処理部１３２は、ＩＰｖ４グローバルアドレスと、使用可能なポートの範囲から選択したポート番号を用いて、アドレスを変換する（ステップＳ２２でＹｅｓ、ステップＳ２３）。カプセリング処理部１３２は、アドレス変換で用いたマッピングの情報をＮＡＰＴテーブル１４３に記録する（ステップＳ２４）。さらに、カプセリング処理部１３２は、端末２から受信したパケットを、送信元アドレスがＩＰｖ６アドレスで宛先アドレスがＴＥＰＡとなるアウターヘッダを用いてカプセリングする（ステップＳ２５）。経路制御部１２０は、カプセリング処理部１３２から入力されたカプセル化後のパケットを、ＩＰｖ６ルーティングテーブル１４１に従ってルーティングする（ステップＳ２６）。
【００７５】
図１７は、対向装置１４からパケットを受信したときのボーダールータ８の動作の例を説明するフローチャートである。図１７では、図９を参照しながら説明した手順（１３）で行われる動作の変形例を表している。すなわち、図１７では、ステップＳ３４で述べるように、ボーダールータ８は、予め、ローカル側送信用アドレスを記憶している。ローカル側送信用アドレスは、プライベートネットワーク１で用いられるデータを含むパケットがボーダールータ８からカスタマーエッジルータ３に向けて送信される場合に用いられる。なお、図９を参照しながら説明したように、ローカル側送信用アドレスをカスタマーエッジルータ３に通知されたＴＥＰＡと同じアドレスとすることもできる。
【００７６】
ボーダールータ８がＩＰｖ４インターネット１１に含まれている対向装置１４からパケットを受信すると、アドレス情報処理部２３２は、受信パケットの宛先ＩＰｖ４アドレスはＳＡＭ用ＩＰｖ４プレフィックスを含んでいるかを確認する（ステップＳ３１）。宛先ＩＰｖ４アドレスのプレフィックスがＳＡＭ用ＩＰｖ４プレフィックスと一致する場合、アドレス情報処理部２３２は、カスタマーエッジルータ３が取得しているＩＰｖ６プレフィックスを算出する。このとき、宛先ＩＰｖ４アドレス、宛先ポート番号、ＳＡＭ用ＩＰｖ６プレフィックスが用いられる（ステップＳ３２）。さらに、アドレス情報処理部２３２は、カスタマーエッジルータ３が取得しているＩＰｖ６プレフィックスとアドレス決定ルールを用いて、カスタマーエッジルータ３が使用しているＩＰｖ６アドレスを算出する（ステップＳ３３）。カプセリング処理部２３１は、受信パケットをカプセリングする。このとき、アウターヘッダの送信元アドレスは、ローカル側送信用アドレスであり、宛先アドレスは、アドレス情報処理部２３２で計算されたＩＰｖ６アドレスである（ステップＳ３４）。経路制御部２２０は、カプセリング処理部２３１でカプセル化されたパケットを、ＩＰｖ６ルーティングテーブル２４１に従って、ＩＰｖ６ルータ７に転送する（ステップＳ３５）。一方、ステップＳ３１において、ＩＰｖ４アドレスのプレフィックスがＳＡＭ用ＩＰｖ４プレフィックスと一致しない場合、経路制御部２２０は、ＩＰｖ４ルーティングテーブル２４２に従ってパケットを転送する（ステップＳ３６）。
【００７７】
図１８は、ボーダールータ８からパケットを受信したときのカスタマーエッジルータ３の動作の例を説明するフローチャートである。図１８では、図９を参照しながら説明した手順（１４）で行われる動作の変形例を表している。経路制御部１２０は、受信したパケットをカプセリング処理部１３２に出力する。カプセリング処理部１３２は、パケットの送信元ＩＰｖ６アドレスをアドレス情報処理部１３４に出力し、ＩＰｖ６アドレスがＳＡＭ用ＩＰｖ６プレフィックスを含んでいるかを問い合わせる（ステップＳ４１）。ＩＰｖ６アドレスがＳＡＭ用ＩＰｖ６プレフィックスを含んでいる場合、カプセリング処理部１３２は、受信したパケットをデカプセリングしてＩＰｖ４パケットを取り出す（ステップＳ４２）。カプセリング処理部１３２は、得られたＩＰｖ４パケットの宛先ＩＰｖ４アドレスと宛先ポート番号がＮＡＰＴテーブル１４３に登録されているかを確認する（ステップＳ４３）。宛先ＩＰｖ４アドレスと宛先ポート番号がＮＡＰＴテーブル１４３に登録されている場合、カプセリング処理部１３２は、ＮＡＰＴテーブル１４３に従って宛先アドレスとポート番号を変換する（ステップＳ４３でＹｅｓ、ステップＳ４４）。経路制御部１２０は、カプセリング処理部１３２から入力されたパケットを、ＩＰｖ４ルーティングテーブル１４２を参照して転送する（ステップＳ４５）。一方、ステップＳ４３で、宛先ＩＰｖ４アドレスと宛先ポート番号がＮＡＰＴテーブル１４３に登録されていない場合、カプセリング処理部１３２は処理を終了する。また、ステップＳ４１において、送信元ＩＰｖ６アドレスのプレフィックスがＳＡＭ用ＩＰｖ６プレフィックスとは異なる場合、経路制御部１２０は、受信パケットを、ＩＰｖ６ルーティングテーブル１４１を用いて転送する（ステップＳ４６）。
【００７８】
図９〜図１８を用いて説明したように、本実施形態に係る方法を用いると、認証サーバ１３は、ＩＰｖ４インターネット１１にアクセスする権限を有するユーザに対して、ボーダールータ８に割り当てられているトンネルの終点アドレスを通知する。つまり、ＩＰｖ４インターネット１１にアクセスする権限を有さないユーザ（不正ユーザ）には、ボーダールータ８に到達するトンネルの終点アドレスが通知されない。このため、不正ユーザは、ボーダールータ８を介してＩＰｖ４インターネット１１にアクセスすることができない。このため、ボーダールータ８がユーザの認証を行わなくても、不正ユーザによるアクセスを防ぐことができる。従って、本実施形態によると、ボーダールータ８は認証に用いるためのデータを保持しなくても良いため、ボーダールータ８の管理や増設などが容易である。従って、本実施形態に係る方法を用いると、トンネリングを用いた通信サービスでの不正なアクセスの防止と、システムの管理の両方が簡便に実現される。
【００７９】
＜第２の実施形態＞
第２の実施形態では、ボーダールータ２０に複数の終点アドレスが割り当てられており、ボーダールータ２０は、受信パケットの宛先に指定されているアドレスに基づいて、そのパケットの転送先を決定することができる。
【００８０】
図１９は、ボーダールータ２０の構成の例を示す図である。ボーダールータ２０は、転送制御部２１０、経路制御部２２０、ＳＡＭ制御部２３０、および、記憶部２５０を備える。記憶部２５０は、転送設定テーブル２５１を備え、さらに、ＩＰｖ６ルーティングテーブル２４１とＩＰｖ４ルーティングテーブル２４２も備える。転送制御部２１０、経路制御部２２０、ＳＡＭ制御部２３０、ＩＰｖ６ルーティングテーブル２４１、ＩＰｖ４ルーティングテーブル２４２は、第１の実施形態と同様である。
【００８１】
転送設定テーブル２５１は、ボーダールータ２０に割り当てられている終点アドレス（ＴＥＰＡ）の各々に対応付けて、パケットの転送先を指定する情報を格納する。図２０は、転送設定テーブル２５１の例を示す。経路制御部２２０は、転送設定テーブル２５１とＩＰｖ４ルーティングテーブル２４２の両方に転送先が記録されている場合、転送設定テーブル２５１に格納されている転送先を優先する。
【００８２】
図２１は、第２の実施形態が用いられるネットワークの例を示す図である。図２１に示すネットワークでは、ＩＳＰ事業者ネットワーク６にボーダールータ２０が含まれる。ボーダールータ２０は、ＩＳＰ事業者ネットワーク６、ＩＳＰ事業者ネットワーク９、および、ＩＰｖ４インターネット１１に接続されている。ＩＳＰ事業者ネットワーク９ではＩＰｖ４が使用されており、ＩＳＰ事業者ネットワーク９は任意の数のＩＰｖ４ルータ１０を含むものとする。なお、プライベートネットワーク１、回線事業者のネットワーク４、ＩＰｖ６インターネット１２、ＩＰｖ４インターネット１１、カスタマーエッジルータ３、ＩＰｖ６ルータ５、ＩＰｖ６ルータ７の動作は、第１の実施形態と同様である。
【００８３】
オペレータは、予め、ユーザごとにＩＰｖ４インターネット１１に接続を許可するときに、ボーダールータ２０からＩＰｖ４インターネット１１までの間にＩＳＰ事業者ネットワーク９などのネットワークを通過させるかを決定する。例えば、オペレータは、ユーザＡから送信されたパケットは、ＩＰｖ４インターネット１１に接続する前にＩＳＰ事業者ネットワーク９で処理したいと考えたとする。さらに、ユーザＢについては、パケットを、ＩＳＰ事業者ネットワーク９を介さずに、ＩＰｖ４インターネット１１に送信することをオペレータが決定したとする。すると、オペレータは、各ユーザのユーザ情報に対応付けて、そのユーザの転送先に合わせた終点アドレスを認証サーバ１３のユーザ情報テーブル３２２に予め登録しておく。
【００８４】
例えば、図２０に示すように、ＴＥＰＡ−Ａのアドレスに到達したパケットは、ＩＳＰ事業者ネットワーク９に転送されるように設定され、ＴＥＰＡ−Ｂのアドレスに到達したパケットはＩＰｖ４インターネット１１に転送されるとする。この場合、オペレータは、認証サーバ１３のユーザ情報テーブル３２２には、ユーザＡを識別するユーザ情報に対応付けてＴＥＰＡ−Ａを記録し、ユーザＢを識別するユーザ情報に対応付けてＴＥＰＡ−Ｂを記録する。さらに、オペレータは、ＴＥＰＡごとに転送先を転送設定テーブル２５１に設定しておく。
【００８５】
以上の登録が行われた後、プライベートネットワーク１に属する端末２からＩＰｖ４インターネット１１に含まれる対向装置１４への通信が行われる。手順（１）〜（５）の動作は、図９を参照しながら説明したとおりである。手順（６）は、本実施形態では、ユーザごとに通知されるＴＥＰＡが異なる場合がある。例えば、前述の設定が行われている場合、認証処理部３２１は、カスタマーエッジルータ３から通知されたユーザ情報がユーザＡを識別する情報である場合、ＴＥＰＡ−Ａを含むアドレス通知メッセージを生成し、カスタマーエッジルータ３に送信する。一方、問合せメッセージで通知されたユーザ情報がユーザＢを識別する情報である場合、認証処理部３２１は、ＴＥＰＡ−Ｂを含むアドレス通知メッセージを生成し、カスタマーエッジルータ３に送信する。
【００８６】
手順（７）〜（１０）の処理は、第１の実施形態と同様である。手順（１１）において、本実施形態では、カプセリング処理部２３１は、デカプセル化後のパケットを経路制御部２２０に出力するときに、アウターヘッダに含まれていた宛先アドレスを経路制御部２２０に通知する。経路制御部２２０は、デカプセル化されたパケットを転送する際に、通知された宛先アドレスをキーとして転送設定テーブル２５１を検索する。経路制御部２２０は、転送設定テーブル２５１に設定されている宛先に向けて、デカプセル化後のパケットを転送する。例えば、図２０に示す転送設定テーブル２５１が用いられる場合、ＴＥＰＡ−Ａで受信されたパケットをデカプセル化して得られたパケットは、ＩＳＰ事業者ネットワーク９に転送される。一方、ＴＥＰＡ−Ｂで受信されたパケットをデカプセル化して得られたパケットは、ＩＰｖ４インターネット１１に転送される。
【００８７】
図２２は、ボーダールータ２０の動作の例を説明するフローチャートである。経路制御部２２０は、ボーダールータ２０で受信されたパケットの宛先ＩＰｖ６アドレスはボーダールータ２０に割り当てられているアドレスであるかを確認する（ステップＳ５１）。宛先ＩＰｖ６アドレスがボーダールータ２０に割り当てられているアドレスである場合、カプセリング処理部２３１は、受信パケットをデカプセリングしてＩＰｖ４パケットを取り出す（ステップＳ５２）。次に、経路制御部２２０は、転送設定テーブル２５１を確認し、宛先ＩＰｖ６アドレスに設定されていたＴＥＰＡに対応付けて、転送先が記録されているかを確認する（ステップＳ５３）。ＴＥＰＡに対応する転送先が記録されていない場合、経路制御部２２０は、ＩＰｖ４ルーティングテーブル２４２に従って、デカプセル化後のパケットを転送する（ステップＳ５４）。ＴＥＰＡに対応する転送先が記録されている場合、経路制御部２２０は、転送設定テーブル２５１に設定された転送先に、デカプセル化後のパケットを転送する（ステップＳ５５）。また、ステップＳ５１において、宛先ＩＰｖ６アドレスはボーダールータ２０に割り当てられているアドレスではないと判定されると、経路制御部２２０は、受信パケットをＩＰｖ６ルーティングテーブル２４１に従って、転送する。なお、この場合は、デカプセル化は行われない（ステップＳ５６）。
【００８８】
本実施形態によると、ユーザからのパケットを、個々のユーザに対して決定されているサービスポリシーに応じて振り分けることができる。従って、例えば、ＩＳＰ事業者がアクセスを監視したいと考えているユーザからのパケットをＩＳＰ事業者ネットワーク９に転送することができる。一方、また、監視対象とならないユーザからのアクセスはＩＳＰ事業者ネットワーク９を介さずにＩＰｖ４インターネット１１に転送される。
【００８９】
また、ＴＥＰＡに対応付けて転送先が決定されるため、デカプセル化された後のパケットの転送先の変更は、ＴＥＰＡの変更により簡便に行われる。すなわち、パケットの通過する経路の変更が行われる場合には、経路の変更が行われるユーザに対応付けられたＴＥＰＡを、デカプセル化されたパケットの転送先に合わせて、認証サーバ１３のユーザ情報テーブル３２２において変更すればよいことになる。
【００９０】
＜第３の実施形態＞
第３の実施形態では、ユーザが複数の事業者と契約しており、ＩＳＰ事業者ネットワーク６に複数のＩＳＰ事業者のＩＳＰ事業者ネットワーク９が接続されている場合に、ユーザが使用するサービスに応じてパケットの振り分けを行う方法を説明する。図２３は、第３の実施形態が用いられるネットワークの例を示す。第３の実施形態では、事業者Ａと事業者Ｂの２つのＩＳＰ事業者がＩＳＰ事業者ネットワーク９をＩＳＰ事業者ネットワーク６およびＩＰｖ４インターネット１１に接続しているものとする。以下、事業者ＡはＩＳＰ事業者ネットワーク９ａを管理し、事業者ＢはＩＳＰ事業者ネットワーク９ｂを管理しているものとする。また、ＩＳＰ事業者ネットワーク９ａに含まれているルータはＩＰｖ４ルータ１０ａ、ＩＳＰ事業者ネットワーク９ｂに含まれるルータはＩＰｖ４ルータ１０ｂと表記するものとする。
【００９１】
プライベートネットワーク１、回線事業者のネットワーク４、ＩＳＰ事業者ネットワーク６、ＩＰｖ４インターネット１１、ＩＰｖ６インターネット１２については、第１および第２の実施形態と同様である。また、カスタマーエッジルータ３、認証サーバ１３、ＩＰｖ６ルータ５、７の動作も第１および第２の実施形態と同様であり、ボーダールータ２０の動作は第２の実施形態と同様である。
【００９２】
端末２のユーザが、事業者Ａとの契約で得たユーザ情報は、ユーザＩＤ「ｕｓｅｒ１」とパスワード「ｐａｓｓｗｏｒｄ９ａ」の組み合わせであるとする。一方、事業者Ｂとユーザの契約で得られたユーザ情報は、ユーザＩＤ「ｕｓｅｒＡ」とパスワード「ｐａｓｓｗｏｒｄ９ｂ」の組み合わせであるとする。端末２は、事業者Ａ、事業者Ｂの両方から得られたユーザＩＤとパスワードをカスタマーエッジルータ３のユーザ情報処理部１３３に記憶させる。また、端末２も事業者Ａのユーザ情報と、事業者Ｂのユーザ情報の両方を記憶しているが、通信を行う際に、いずれの事業者のサービスを受けるかを選択し、選択した事業者の設定を有効にしてから通信を行うものとする。端末２は、通信を開始する際に有効になっているユーザ情報を、カスタマーエッジルータ３に通知する。
【００９３】
カスタマーエッジルータ３は、端末２から通知されたユーザ情報に対応付けられたＴＥＰＡを認証サーバ１３に問い合わせる。問い合わせに用いられる問合せメッセージは、第１の実施形態と同様である。認証サーバ１３は、ユーザ情報テーブル３２２に記録されている情報に基づいてＴＥＰＡをカスタマーエッジルータ３に通知する。例えば、ユーザ情報テーブル３２２が図２４（ａ）に示すとおりであるとする。すると事業者Ａのサービスを用いた通信が行われる場合、ＴＥＰＡ−Ａがカスタマーエッジルータ３に通知される。一方、事業者Ｂのサービスを用いた通信が行われる場合、ＴＥＰＡ−Ｂがカスタマーエッジルータ３に通知される。
【００９４】
カスタマーエッジルータ３でのカプセリングは、認証サーバ１３から通知されたＴＥＰＡを用いて行われる。ボーダールータ２０は、受信したパケットに含まれているＴＥＰＡに従って、転送先を決定する。例えば、転送設定テーブル２５１は図２４（ｂ）に示すとおりであるとする。すると、端末２が事業者Ａのサービスを用いて通信すると、ボーダールータ２０は、デカプセル化後のパケットをＩＳＰ事業者ネットワーク９ａに転送する。また、端末２が事業者Ｂのサービスを用いて通信すると、ボーダールータ２０は、デカプセル化後のパケットをＩＳＰ事業者ネットワーク９ｂに転送する。
【００９５】
このように、サービスを提供する事業者に応じて転送先を変更することができるため、図２３に示すように複数の事業者がＩＳＰ事業者ネットワーク９を提供しているネットワークでは、本実施形態にかかる方法が有用である。
【００９６】
＜第４の実施形態＞
第４の実施形態は、複数のプライベートネットワーク１（１ａ、１ｂ）が回線事業者のネットワーク４に接続された場合について説明する。図２５は、第４の実施形態にかかるネットワークの例を示す。カスタマーエッジルータ３ａ、３ｂの動作は、第１〜第３の実施形態のカスタマーエッジルータ３と同様である。プライベートネットワーク１ａ、１ｂは、第１〜第３の実施形態のプライベートネットワーク１と同様である。また、端末２ａ、端末２ｂの動作も第１〜第３の実施形態の端末２と同様である。さらに、回線事業者のネットワーク４、ＩＳＰ事業者ネットワーク６、ＩＳＰ事業者ネットワーク９、ＩＰｖ４インターネット１１、ボーダールータ２０、ＩＰｖ６ルータ５、７、ＩＰｖ４ルータ１０なども、第２および第３の実施形態と同様である。
【００９７】
図２６は、ユーザ情報テーブルと転送設定テーブルの例を示す。第４の実施形態では、認証サーバ１３のユーザ情報テーブル３２２は図２６（ａ）のとおりであるものとする。また、ボーダールータ２０の転送設定テーブル２５１は、図２６（ｂ）であるとする。
【００９８】
端末２ａのユーザのユーザ情報は、ユーザＩＤ「ｕｓｅｒ１」とパスワード「ｐａｓｓｗｏｒｄ１１」の組み合わせであるとする。一方、端末２ｂのユーザのユーザ情報は、ユーザＩＤ「ｕｓｅｒ２」とパスワード「ｐａｓｓｗｏｒｄ１２」の組み合わせであるとする。さらに、カスタマーエッジルータ３ａは端末２ａのユーザ情報を記憶しており、カスタマーエッジルータ３ｂは端末２ｂのユーザ情報を記憶しているものとする。
【００９９】
カスタマーエッジルータ３ａから送信された問合せメッセージには、端末２ａのユーザ情報が含まれているので、認証サーバ１３は、ユーザ情報テーブル３２２を参照して、ＴＥＰＡ−Ａをカスタマーエッジルータ３ａに通知する。同様に、カスタマーエッジルータ３ｂからの問合せメッセージには端末２ｂのユーザ情報が含まれているので、カスタマーエッジルータ３ｂにはＴＥＰＡ−Ｃが通知される。従って、カスタマーエッジルータ３ａでカプセリングされたパケットはＴＥＰＡ−Ａ宛て、カスタマーエッジルータ３ｂでカプセリングされたパケットはＴＥＰＡ−Ｂ宛てとなる。
【０１００】
ボーダールータ２０は、転送設定テーブル２５１を参照して、カスタマーエッジルータ３ａから受信したパケットをＩＳＰ事業者ネットワーク９に転送する。一方、ボーダールータ２０は、カスタマーエッジルータ３ｂから受信したパケットを、直接、ＩＰｖ４インターネット１１に転送する。従って、端末２ａと端末２ｂが通信を行う際には、端末２ａからのパケットはＩＳＰ事業者ネットワーク９を経由し、端末２ｂからのパケットはＩＳＰ事業者ネットワーク９を経由しないでＩＰｖ４インターネット１１に転送される。
【０１０１】
＜その他＞
なお、実施形態は上記に限られるものではなく、様々に変形可能である。以下にその例をいくつか述べる。
【０１０２】
図２７にネットワークの例を示す。図２７に示すように、認証サーバ１３をＩＳＰ事業者ネットワーク９におくこともできる。この場合、ＩＳＰ事業者ネットワーク９は、ＩＰｖ４とＩＰｖ６のデュアルスタックとなる。また、ＩＳＰ事業者ネットワーク９に含まれるルータ１０も、デュアルスタックルータである。端末２、カスタマーエッジルータ３、認証サーバ１３、ボーダールータ２０の動作は、第２〜第４の実施形態と同様である。
【０１０３】
問合せメッセージやアドレス通知メッセージなどの制御メッセージの構成は実装に応じて変更することができる。例えば、制御メッセージはＵＤＰヘッダの代わりにTransmission Control Protocol（ＴＣＰ）ヘッダを含むこともできる。また、カスタマーエッジルータ３と認証サーバ１３の間で行われる認証は、問合せメッセージやアドレス通知メッセージを用いる代わりに、Remote Authentication Dial In User Service（ＲＡＤＩＵＳ）プロトコルなどを用いて行われる場合がある。
【０１０４】
さらに、オペレータは、一定時間ごとにＴＥＰＡの値が変更されるように変形して、偶然ＴＥＰＡを知った不正ユーザからのアクセスを防ぐことができる。ＴＥＰＡが変更されるたびに、ユーザ情報テーブル３２２と転送設定テーブル２５１が変更される。ＴＥＰＡが変更されるとカスタマーエッジルータ３に記憶されているＴＥＰＡは使用できなくなるので、カスタマーエッジルータ３は、図９を参照しながら説明した手順（５）以降の処理を行うことにより、変更後のＴＥＰＡを取得する。正規ユーザの場合、ＴＥＰＡが変更されても変更後のＴＥＰＡが取得されれば、通信が可能になる。
【符号の説明】
【０１０５】
１ プライベートネットワーク
２ 端末
３ カスタマーエッジルータ
４ 回線事業者のネットワーク
５、７ ＩＰｖ６ルータ
６、９ ＩＳＰ事業者ネットワーク
８、２０ ボーダールータ
１０ ＩＰｖ４ルータ
１１ ＩＰｖ４インターネット
１２ ＩＰｖ６インターネット
１３ 認証サーバ
１４ 対向装置
１１０、２１０、３１０ 転送制御部
１１１、２１１、３１１ 回線インタフェース
１１３、２１３、３１２ パケット転送処理部
１２０、２２０ 経路制御部
１３０、２３０ ＳＡＭ制御部
１３１ ＴＥＰＡ処理部
１３２、２３１ カプセリング処理部
１３３ ユーザ情報処理部
１３４、２３２ アドレス情報処理部
１４０、２４０ 記憶部
１４１、２４１ ＩＰｖ６ルーティングテーブル
１４２、２４２ ＩＰｖ４ルーティングテーブル
１４３ ＮＡＰＴテーブル
２５０ 記憶部
２５１ 転送設定テーブル
３２０ 認証制御部
３２１ 認証処理部
３２２ ユーザ情報テーブル
４０１、５０１、６０１ ＣＰＵ
４０２、５０２、６０２ メモリ
４１０、５１０、６１０ バス
４１１、５１１、６１１ パケット転送エンジン
４１２、５１２ アドレス情報管理メモリ
４１３ ユーザ情報管理メモリ
【技術分野】
【０００１】
本発明は、ネットワークを介した通信の方法と、その方法が用いられるシステムに関する。
【背景技術】
【０００２】
近年、Internet Protocol Version 6（ＩＰｖ６）を用いたネットワークの導入が行われてきているが、Internet Protocol Version 4（ＩＰｖ４）アドレスを用いているユーザは多い。そこで、ＩＰｖ６に対応した通信ネットワークを介して、ＩＰｖ４を用いた通信を行うための技術がInternet Engineering Task Force（ＩＥＴＦ）で提案されている。さらに、ＩＰｖ４アドレスが枯渇する恐れがあることから、１つのＩＰｖ４グローバルアドレスを複数のユーザ間で共有するための技術も開発されてきている。
【０００３】
例えば、Stateless Address Mapping（ＳＡＭ）を用いるシステムでは、１つのＩＰｖ４グローバルアドレスを複数のユーザで使用して、ＩＰｖ６トンネリングによるＩＰｖ４通信を行うことができる。ＳＡＭを用いたシステムでは、トンネルの終点となる装置は、個々のユーザについてのＩＰｖ６アドレスとＩＰｖ４アドレスのマッピング、通信を許可する条件などの通信情報を記録したテーブル等を備えていない。アドレスのマッピングや通信を許可する条件などの情報はユーザ数に伴って増加するので、ユーザ数が増加すると、テーブルに記憶される情報量が膨大になる。また、ユーザの増加や使用されるアドレスの変更などにより情報が変更された場合は、マッピングを記録したテーブルも変更されることになる。従って、ＳＡＭを用いたシステムは、個々のトンネルルータがユーザの通信に関する情報を記録したテーブルを備えるシステムに比べて、管理が容易である。
【０００４】
一方、個々のユーザについて通信の可否を判断するために用いられる情報を通信情報に含めることにより、トンネルルータ等がユーザの接続を許可するかを判断するシステムも知られている。例えば、記憶しているポリシー情報に基づいてＩＰｖ６パケットの通過の可否を判断することができるパケット中継装置が知られている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−３５２７１０号公報
【非特許文献】
【０００６】
【非特許文献１】Stateless Address Mapping (SAM) - a Simplified Mesh-Software Model draft-despres-softwire-sam-01
【非特許文献２】IPv4 Residual Deployment across IPv6-Service networks (4rd) A NAT-less solution draft-despres-softwire-4rd-00
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ＳＡＭを用いたシステムでは、個々のユーザに適用されるポリシー情報やアドレスマッピングなどの情報は、トンネルルータに格納されていない。このため、ＳＡＭを用いるシステムに含まれるトンネルルータは、トンネルの終点となったときに、デカプセル化するパケットの送信元がトンネリングを用いた通信サービスの正規ユーザであるか等の判断をすることができない。このため、ＳＡＭを用いたシステムでは、トンネリングによる通信サービスを提供する事業者がアクセスを拒否したいユーザに対しても、通信サービスが提供されてしまうことがある。
【０００８】
一方、個々のユーザに対する情報をトンネルルータに記憶させると、ユーザ情報が変更された場合やトンネルルータを増設する場合に、システムの管理が煩雑になってしまうという問題がある。
【０００９】
本発明では、トンネリングを用いた通信サービスでの不正なアクセスの防止と、システムの管理の両方を簡便に行うための方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
実施形態に係る通信方法では、サーバは、第１のルータ装置を終点とするトンネル通信が許可された許可端末を識別する許可端末識別子と、前記許可端末の通信で用いられるトンネルの終点アドレスを対応付けて格納する。前記トンネル通信を要求する要求端末から受信したパケットをカプセル化する第２のルータ装置は、前記要求端末を識別する識別子に対応付けられた終点アドレスを、前記サーバに問い合わせる。前記サーバは、前記要求端末を識別する識別子に対応付けられた終点アドレスである対象アドレスを検出した場合、前記対象アドレスを前記第２のルータ装置に通知する。前記第２のルータ装置は、前記対象アドレスに、カプセル化したパケットを送信する。前記対象アドレスが割り当てられた第１のルータ装置は、前記対象アドレス宛てに受信した受信パケットを前記許可端末のトンネル通信で用いられるパケットであるとみなし、前記受信パケットをデカプセル化してから前記要求端末の通信先に送信する。
【発明の効果】
【００１１】
トンネリングを用いた通信サービスでの不正なアクセスの防止と、システムの管理の両方を簡便に行うことができる。
【図面の簡単な説明】
【００１２】
【図１】実施形態に係る通信方法が用いられるネットワークの例を示す図である。
【図２】カスタマーエッジルータの構成の例を示す図である。
【図３】カスタマーエッジルータのハードウェア構成の例を表す。
【図４】ボーダールータの構成の例を示す図である。
【図５】ボーダールータのハードウェア構成の例を示す図である。
【図６】認証サーバの構成の例を示す図である。
【図７】ユーザ情報テーブルの例を示す図である。
【図８】認証サーバのハードウェア構成の例を示す図である。
【図９】端末の通信に際して行われるパケットの送受信の例を説明するシーケンス図である。
【図１０】制御メッセージの例を示す図である。
【図１１】ＳＡＭによる通信が行われる際に用いられるアドレスの例を説明する図である。
【図１２】ポート番号の計算方法の例を説明する図である。
【図１３】対向装置から端末への通信が行われる際に用いられるアドレスの例を説明する図である。
【図１４】カスタマーエッジルータの動作の例を説明するフローチャートである。
【図１５】認証サーバの動作の例を説明するフローチャートである。
【図１６】端末からパケットを受信したときのカスタマーエッジルータの動作の例を説明するフローチャートである。
【図１７】対向装置からパケットを受信したときのボーダールータの動作の例を説明するフローチャートである。
【図１８】ボーダールータからパケットを受信したときのカスタマーエッジルータの動作の例を説明するフローチャートである。
【図１９】ボーダールータの構成の例を示す図である。
【図２０】転送設定テーブルの例を示す図である。
【図２１】第２の実施形態が用いられるネットワークの例を示す図である。
【図２２】ボーダールータの動作の例を説明するフローチャートである。
【図２３】第３の実施形態が用いられるネットワークの例を示す図である。
【図２４】ユーザ情報テーブルと転送設定テーブルの例を示す図である。
【図２５】第４の実施形態が用いられるネットワークの例を示す図である。
【図２６】ユーザ情報テーブルと転送設定テーブルの例を示す図である。
【図２７】ネットワークの例を示す図である。
【発明を実施するための形態】
【００１３】
図１は、実施形態に係る通信方法が用いられるネットワークの例を示す。図１の例では、プライベートネットワーク１、回線事業者のネットワーク４、Internet Services Provider（ＩＳＰ）事業者ネットワーク６、ＩＰｖ４インターネット１１、および、ＩＰｖ６インターネット１２が含まれる。ここで、プライベートネットワーク１はＩＰｖ４とＩＰｖ６の両方に対応しているものとする。ユーザは、端末２で用いられるアプリケーション、通信先などにより、ＩＰｖ４とＩＰｖ６のいずれかのプロトコルを用いた通信を行うことができる。ＩＰｖ４インターネット１１では、ＩＰｖ４が用いられ、回線事業者のネットワーク４、ＩＳＰ事業者ネットワーク６、ＩＰｖ６インターネット１２ではＩＰｖ６が用いられているものとする。回線事業者のネットワーク４はＩＰｖ６ルータ５を備え、ＩＳＰ事業者ネットワーク６もＩＰｖ６ルータ７を備えているものとする。なお、図１などの図では、図を見やすくするためにＩＰｖ６ルータ５、７を１つずつ示しているが、ＩＰｖ６ルータ５、７の数は任意である。さらに、ＩＰｖ４インターネット１１も任意の数のＩＰｖ４ルータを備え、ＩＰｖ６インターネット１２も任意の数のＩＰｖ６ルータを備えているものとする。さらに、図１等に示すいずれのネットワークもルータ以外の通信装置を含むことができる。また、プライベートネットワーク１に含まれている端末２の数も任意である。
【００１４】
カスタマーエッジルータ（IPv4 ResidualDeployment customer edge、４ｒｄ ＣＥ）３は、プライベートネットワーク１と回線事業者のネットワーク４に接続されている。なお、カスタマーエッジルータ３は、customer SAM（Ｃ−ＳＡＭ）と称される場合もあるが、以下の説明では、「カスタマーエッジルータ」とする。また、IPv4 over IPv6トンネリング通信に使用されるトンネルルータであって、ＩＰｖ４インターネット１１に接続しているルータを、ボーダールータ（IPv4 ResidualDeployment Border Router、４ｒｄ ＢＲ）８と記載する。なお、ボーダールータ８は、provider SAM（Ｐ−ＳＡＭ）と称される場合もあるが、以下の説明では、「ボーダールータ」とする。
【００１５】
カスタマーエッジルータ３は、端末２から受信したパケットがＩＰｖ４パケットであって、さらに、プライベートネットワーク１に含まれていない通信装置を宛先としている場合、受信したパケットはカプセル化の対象であると判断する。そこで、カスタマーエッジルータ３は、認証サーバ１３に、端末２から受信したＩＰｖ４パケットのトンネル通信を行う際に使用するトンネルの終点アドレス（トンネルエンドポイントアドレス）を問い合わせる。このとき、カスタマーエッジルータ３は、認証サーバ１３に、端末２を識別する識別子を通知する。
【００１６】
認証サーバ１３は、予め、ボーダールータ８を介してＩＰｖ４インターネット１１にアクセスすることを許可されているユーザの端末２の識別子を記憶している。また、認証サーバ１３は、端末２の識別子に対応付けて、その端末２に対して使用が許可されているトンネルの終点アドレスも記憶しているものとする。認証サーバ１３は、カスタマーエッジルータ３から通知された識別子に対応付けて記憶されている終点アドレスを検出できた場合、検出した終点アドレスをカスタマーエッジルータ３に通知する。すなわち、端末２がトンネル通信に対して権限のあるユーザ（正規ユーザ）の端末であると確認されたときに、認証サーバ１３は、終点アドレスをカスタマーエッジルータ３に通知する。なお、正規ユーザの通信に用いられる端末を「許可端末」と記載することがある。
【００１７】
カスタマーエッジルータ３は、認証サーバ１３から終点アドレスを通知された場合、端末２から受信したＩＰｖ４パケットをＩＰｖ６ヘッダでカプセル化すると共に、通知された終点アドレスに向けてカプセル化後のパケットを送信する。一方、認証サーバ１３から終点アドレスが通知されなかった場合、カスタマーエッジルータ３は、端末２がＩＰｖ４インターネット１１にアクセスする権限を持たないと判断する。そこで、カスタマーエッジルータ３は、端末２から受信したＩＰｖ４パケットを転送しない。
【００１８】
ボーダールータ８は、カスタマーエッジルータ３から送信されたパケットを受信すると、デカプセル化してＩＰｖ４インターネット１１に転送する。このとき、ボーダールータ８は、ボーダールータ８に割り当てられた終点アドレスに宛てられているパケットを、転送先のネットワークの正規ユーザからのパケットであるとみなす。つまり、ボーダールータ８は、終点アドレスに到達したパケットを正規ユーザからのパケットであると判断して、認証を行わずにデカプセル化と転送を行う。
【００１９】
以上の通信方法では、ボーダールータ８が受信した個々のパケットについてＩＰｖ４インターネット１１にアクセスする権限を有するユーザからのパケットであるかを確認しなくても、ＩＰｖ４インターネット１１への不正アクセスを防ぐことができる。従って、ボーダールータ８やカスタマーエッジルータ３などのトンネルルータは、ユーザに対する通信の許可状況を管理しなくても良い。
【００２０】
＜装置構成＞
以下、図面を参照しながら、図１に含まれている装置の構成の例を説明する。なお、以下の説明では、カプセル化により付加されたＩＰｖ６ヘッダを「アウターヘッダ」と記載することがある。また、カプセル化されたパケットの中のＩＰｖ４ヘッダは、「インナーヘッダ」と記載されることがある。以下の例では、トンネル通信は、ＳＡＭを用いたIPv6 over IPv4トンネリングであるものとする。なお、ＳＡＭは、４ｒｄ（IPv4 ResidualDeployment）と記載されることがある。
【００２１】
図２は、カスタマーエッジルータ３の構成の例を示す。カスタマーエッジルータ３は、転送制御部１１０、経路制御部１２０、ＳＡＭ制御部１３０、記憶部１４０を備える。転送制御部１１０は、回線インタフェース１１１（１１１ａ、１１１ｂ）とパケット転送処理部１１３を備える。ＳＡＭ制御部１３０は、ＴＥＰＡ（tunnel endpoint address、終点アドレス）処理部１３１、カプセリング処理部１３２、ユーザ情報処理部１３３、アドレス情報処理部１３４を備える。記憶部１４０は、ＩＰｖ６ルーティングテーブル１４１、ＩＰｖ４ルーティングテーブル１４２、Network Address Port Translation（ＮＡＰＴ）テーブル１４３を備える。
【００２２】
回線インタフェース１１１ａはカスタマーエッジルータ３をプライベートネットワーク１と接続する。回線インタフェース１１１ｂは、カスタマーエッジルータ３と回線事業者のネットワーク４を接続する。なお、回線インタフェース１１１の数は実装に応じて任意に変更される場合がある。
【００２３】
パケット転送処理部１１３は、回線インタフェース１１１ａ、１１１ｂから受信したパケットを経路制御部１２０に出力して、転送先を問い合わせる。経路制御部１２０から転送先が通知されると、パケット転送処理部１１３は、通知された転送先に応じて、回線インタフェース１１１ａ、１１１ｂのいずれかにパケットを出力する。例えば、プライベートネットワーク１に含まれている端末２Ａから回線インタフェース１１１ａを介して受信したパケットが、プライベートネットワーク１に含まれている端末２Ｂに転送されるとする。この場合、パケット転送処理部１１３は、経路制御部１２０から受信したパケットをプライベートネットワーク１中の端末２Ｂに向けて送信することを指示される。すると、パケット転送処理部１１３は、受信したパケットを回線インタフェース１１１ａから端末２Ｂに送信する。一方、後述するように、カプセル化後のパケットを回線事業者のネットワーク４に向けて送信するように指示されると、パケット転送処理部１１３は、そのパケットを回線インタフェース１１１ｂに出力する。
【００２４】
経路制御部１２０は、パケット転送処理部１１３やＳＡＭ制御部１３０から入力されたパケットの転送先をＩＰｖ６ルーティングテーブル１４１、もしくは、ＩＰｖ４ルーティングテーブル１４２を参照して決定する。経路制御部１２０は、転送先をパケット転送処理部１１３に通知する。また、経路制御部１２０は、トンネル通信に用いられるパケットをカプセリング処理部１３２に出力する。例えば、経路制御部１２０は、プライベートネットワーク１から受信したＩＰｖ４パケットで回線事業者のネットワーク４に転送されるパケットを、カプセリング処理部１３２に出力する。また、経路制御部１２０は、回線事業者のネットワーク４から受信したパケットであって、アウターヘッダの宛先アドレスがＳＡＭ用ＩＰｖ６プレフィックスを含むパケットも、カプセリング処理部１３２に出力する。ＳＡＭ用ＩＰｖ６プレフィックスは予め設定されており、経路制御部１２０やアドレス情報処理部１３４に記憶されているものとする。
【００２５】
ＴＥＰＡ処理部１３１は、終点アドレスを問い合わせるための制御メッセージを生成する。以下、終点アドレスを問い合わせるための制御メッセージのことを、「問合せメッセージ」と記載することがある。認証サーバ１３から終点アドレスを通知する制御メッセージがカスタマーエッジルータ３で受信されると、ＴＥＰＡ処理部１３１は、受信された制御メッセージを処理して終点アドレスを取得する。以下の記載では、認証サーバ１３が終点アドレスを通知するためにカスタマーエッジルータ３に送信する制御メッセージのことを「アドレス通知メッセージ」もしくは「ＴＥＰＡ通知メッセージ」と記載することがある。ＴＥＰＡ処理部１３１は、アドレス通知メッセージから取得した終点アドレスを、アドレス情報処理部１３４に記憶させることができる。
【００２６】
カプセリング処理部１３２は、回線事業者のネットワーク４に転送されるパケットにアウターヘッダを付加することによりカプセル化する。一方、プライベートネットワーク１に転送されるパケットについて、カプセリング処理部１３２は、適宜、アウターヘッダを除去することにより、デカプセル化する。
【００２７】
ユーザ情報処理部１３３は、ユーザ情報を記憶しており、ＴＥＰＡ処理部１３１などからの要求に応じてユーザ情報を通知する。以下の説明では、ユーザ情報は、端末２を使用するユーザのユーザＩＤ（identification）とパスワードの組合せである。なお、ユーザ情報は、トンネル通信を要求している端末２もしくは端末２を使用するユーザを一意に特定することができる任意の情報とすることができる。さらに、ユーザ情報処理部１３３は、ユーザＩＤ、パスワードなどの認証に用いられる文字列を、端末２を識別する識別子に対応付けて記憶することもできる。
【００２８】
アドレス情報処理部１３４は、ＳＡＭによる通信を行うために予め設定されているプレフィックスの情報を格納する。すなわち、アドレス情報処理部１３４は、ＳＡＭによる通信で用いられるＩＰｖ４プレフィックスとＩＰｖ６プレフィックスを記憶する。また、アドレス情報処理部１３４は、これらのプレフィックスを用いて、カスタマーエッジルータ３に割り当てられるＩＰｖ６アドレス、ＩＰｖ４グローバルアドレス、ポート番号などを求める。さらに、アドレス情報処理部１３４は、ボーダールータ８に備えられたアドレス情報処理部２３２（図４）と共通のアドレス決定ルールを記憶しており、アドレスを計算する際に使用する。アドレス情報処理部１３４がアドレスやポート番号を求める方法については、後で詳しく説明する。アドレス情報処理部１３４は、ＴＥＰＡ処理部１３１から通知された終点アドレスも格納する。
【００２９】
ＮＡＰＴテーブル１４３は、アドレス情報処理部１３４で計算されたＩＰｖ４グローバルアドレスを、端末２が用いているＩＰｖ４プライベートアドレスと対応付けて記憶する。カプセリング処理部１３２は、パケットをカプセル化する際やデカプセル化する際にＮＡＰＴテーブル１４３を参照する。
【００３０】
図３は、カスタマーエッジルータ３のハードウェア構成の例を表す。カスタマーエッジルータ３は、Central Processing Unit（ＣＰＵ）４０１、メモリ４０２、バス４１０（４１０ａ、４１０ｂ）、パケット転送エンジン４１１、および、回線インタフェース１１１を備える。ＣＰＵ４０１は、経路制御部１２０およびＳＡＭ制御部１３０として動作する。メモリ４０２は記憶部１４０として動作し、さらに、アドレス情報処理部１３４やユーザ情報処理部１３３で用いられるアドレス情報などを格納することができる。また、オプションとして、カスタマーエッジルータ３は、アドレス情報管理メモリ４１２、ユーザ情報管理メモリ４１３の少なくとも１つを備えることもできる。この場合、アドレス情報管理メモリ４１２はアドレス情報処理部１３４が計算したアドレスやポートの情報を格納し、ユーザ情報管理メモリ４１３は、ユーザ情報処理部１３３で処理される識別子やパスワードなどを記憶する。パケット転送エンジン４１１はパケット転送処理部１１３として動作する。バス４１０ａ、４１０ｂは、ＣＰＵ４０１、メモリ４０２、パケット転送エンジン４１１、回線インタフェース１１１、アドレス情報管理メモリ４１２、ユーザ情報管理メモリ４１３を、データの入出力が可能となるように接続する。
【００３１】
図４は、ボーダールータ８の構成の例を示す図である。ボーダールータ８は、転送制御部２１０、経路制御部２２０、ＳＡＭ制御部２３０、記憶部２４０を備える。ＳＡＭ制御部２３０は、カプセリング処理部２３１とアドレス情報処理部２３２を備える。記憶部２４０は、ＩＰｖ６ルーティングテーブル２４１とＩＰｖ４ルーティングテーブル２４２を備える。
【００３２】
回線インタフェース２１１ａは、ボーダールータ８をＩＳＰ事業者ネットワーク６に含まれるＩＰｖ６ルータ７などの装置と接続している。また、回線インタフェース２１１ｂは、ＩＰｖ４インターネット１１とボーダールータ８を接続している。なお、回線インタフェース２１１の数は実装に応じて任意に変更される場合がある。パケット転送処理部２１３は、回線インタフェース２１１から受信したパケットを経路制御部２２０に出力し、転送先を問い合わせる。また、経路制御部２２０から転送先が通知されると、パケット転送処理部２１３は、通知された転送先に応じて回線インタフェース２１１ａもしくは２１１ｂにパケットを出力する。
【００３３】
経路制御部２２０は、パケット転送処理部２１３やカプセリング処理部２３１から入力されたパケットの転送先を、ＩＰｖ６ルーティングテーブル２４１やＩＰｖ４ルーティングテーブル２４２を参照して決定する。経路制御部２２０は転送先をパケット転送処理部２１３に通知する。また、経路制御部２２０は、ボーダールータ８に割り当てられた終点アドレスを宛先としたＩＰｖ６パケットを、カプセリング処理部２３１に出力する。さらに、経路制御部２２０は、ＩＰｖ４インターネット１１からボーダールータ８が受信したパケットのうちでＩＳＰ事業者ネットワーク６に転送されるパケットも、カプセリング処理部２３１に出力する。
【００３４】
カプセリング処理部２３１は、経路制御部２２０から入力されたパケットの種類を確認することにより、そのパケットにカプセル化とデカプセル化のどちらの処理を行うかを判定する。カプセリング処理部２３１は、ＩＰｖ６パケットはデカプセル化の対象であると判定し、ＩＰｖ４パケットはカプセル化の対象であると判定する。従って、例えば、カプセリング処理部２３１は、ＩＰｖ６ルータ７から転送制御部２１０等を介して受信したＩＰｖ６パケットのアウターヘッダを除去して、ＩＰｖ４パケットに変換する。一方、ＩＰｖ４インターネット１１から受信したＩＰｖ４パケットには、カプセリング処理部２３１は、アウターヘッダを付加してＩＰｖ６パケットに変換する。このとき、カプセリング処理部２３１は、カプセル化に用いるＩＰｖ６アドレスをアドレス情報処理部２３２に要求する。
【００３５】
アドレス情報処理部２３２は、カプセリング処理部２３１の要求に応じてＩＰｖ４アドレスからＩＰｖ６アドレスへのマッピングを行い、得られたＩＰｖ６アドレスをカプセリング処理部２３１に出力する。マッピングの際に、アドレス情報処理部２３２は、アドレス情報処理部１３４（図２）が用いるアドレス決定ルールと同じルールを用いる。アドレスのマッピングについては後述する。カプセリング処理部２３１は、アドレス情報処理部２３２から取得したアドレスを用いてパケットをカプセル化する。さらに、カプセリング処理部２３１は、カプセル化もしくはデカプセル化したパケットを経路制御部２２０に出力する。
【００３６】
図５は、ボーダールータ８のハードウェア構成の例を示す。ボーダールータ８は、ＣＰＵ５０１、メモリ５０２、バス５１０（５１０ａ、５１０ｂ）、パケット転送エンジン５１１、回線インタフェース２１１を備える。ＣＰＵ５０１は、経路制御部２２０およびＳＡＭ制御部２３０として動作する。メモリ５０２は、ＩＰｖ６ルーティングテーブル２４１、ＩＰｖ４ルーティングテーブル２４２を格納し、さらに、適宜、経路制御部２２０やＳＡＭ制御部２３０の処理によって得られたデータを格納する。パケット転送エンジン５１１は、パケット転送処理部２１３として動作する。バス５１０ａとバス５１０ｂは、ＣＰＵ５０１、メモリ５０２、パケット転送エンジン５１１、回線インタフェース２１１を、データの入出力が可能となるように接続する。
【００３７】
図６は、認証サーバ１３の構成の例を示す図である。認証サーバ１３は、転送制御部３１０と認証制御部３２０を備える。転送制御部３１０は回線インタフェース３１１とパケット転送処理部３１２を備える。また、認証制御部３２０は、認証処理部３２１とユーザ情報テーブル３２２を備える。
【００３８】
回線インタフェース３１１は、認証サーバ１３をＩＰｖ６ルータ７と接続する。パケット転送処理部３１２は、回線インタフェース３１１を介してＩＰｖ６ルータ７から問合せメッセージを受信する。さらに、パケット転送処理部３１２は、アドレス通知メッセージを、回線インタフェース３１１を介して、カスタマーエッジルータ３に向けて送信する。認証処理部３２１は、問合せメッセージを受信するとユーザ情報テーブル３２２に記憶されている情報を参照して、問合せメッセージに含まれているユーザ情報に対応付けられた終点アドレスを検索する。図７は、ユーザ情報テーブル３２２の例を示す図である。図７の例では、ユーザを識別するために用いられるユーザ情報と終点アドレス（ＴＥＰＡ）が対応付けて格納されている。
【００３９】
図８は、認証サーバのハードウェア構成の例を示す。認証サーバ１３は、ＣＰＵ６０１、メモリ６０２、バス６１０（６１０ａ、６１０ｂ）、パケット転送エンジン６１１、回線インタフェース３１１を備える。ＣＰＵ６０１は、認証処理部３２１として動作する。メモリ６０２は、ユーザ情報テーブル３２２を格納する。パケット転送エンジン６１１は、パケット転送処理部３１２として動作する。バス６１０ａとバス６１０ｂは、ＣＰＵ６０１、メモリ６０２、パケット転送エンジン６１１、回線インタフェース３１１を、データの入出力が可能となるように接続する。
【００４０】
＜第１の実施形態＞
図９は、端末２の通信に際して行われるパケットの送受信の例を説明するシーケンス図である。以下の説明では、カスタマーエッジルータ３のアドレス情報処理部１３４と、ボーダールータ８のアドレス情報処理部２３２が記憶している共通のアドレス生成ルールおよびプレフィックスは、以下のとおりであるものとする。
（ａ）ＳＡＭ用ＩＰｖ６プレフィックス ： ２００１：ｄｂ８：：／３２
（ｂ）ＳＡＭ用ＩＰｖ４プレフィックス ： １９２．０．２．０／２４
（ｃ）カスタマーエッジルータ３に配布されるプレフィックスの長さ：４８ビット
（ｄ）カスタマーエッジルータ３が用いるＩＰｖ６アドレスのネットワーク部は、初めの４８ビットを配布されたプレフィックスとし、次の１６ビットの値を０ｘ０１とする。
（ｅ）カスタマーエッジルータ３が用いるＩＰｖ６アドレスのインタフェース部の値は「：：１」とする。
【００４１】
なお、図９はシーケンスの一例であり、例えば、手順（４）と手順（８）を省略した上で、手順（５）〜（７）を手順（９）の後にするなどの変更が行われる場合がある。さらに、図９は、プライベートネットワーク１でＩＰｖ４とＩＰｖ６の両方が用いられるデュアルスタックネットワークである場合の例を示しているが、プライベートネットワーク１がＩＰｖ６に対応していない場合は、手順（３）は行われない。
【００４２】
（１）端末２は、カスタマーエッジルータ３にユーザ情報を含む制御パケットを送信する。ここでは、ユーザ情報は、ユーザＩＤ「ｕｓｅｒ１」とパスワード「ｐａｓｓｗｏｒｄ１１」であるものとする。カスタマーエッジルータ３は、回線インタフェース１１１ａを介して制御パケットを受信すると、端末２から通知されたユーザＩＤとパスワードをユーザ情報処理部１３３に格納する。
【００４３】
（２）ＩＰｖ６ルータ５は、カスタマーエッジルータ３がＩＰｖ６通信する際に用いるＩＰｖ６プレフィックスを通知する。ここでは、「２００１：ｄｂ８：ａｂｃｄ：：／４８」が、カスタマーエッジルータ３に通知されたとする。すると、アドレス情報処理部１３４は、通知されたプレフィックスに基づいて、カスタマーエッジルータ３がパケットを回線事業者のネットワーク４に送信する際に用いるＩＰｖ６アドレスを生成する。アドレス情報処理部１３４は、前述のアドレス生成ルールの（ｄ）と（ｅ）に基づいて、カスタマーエッジルータ３が用いるＩＰｖ６アドレスを「２００１：ｄｂ８：ａｂｃｄ：１：：１」に決定する。アドレス情報処理部１３４は、生成したＩＰｖ６アドレスを記憶する。
【００４４】
（３）アドレス情報処理部１３４は、生成したＩＰｖ６アドレスとＩＰｖ６デフォルトルータを端末２に通知する。この処理により、端末２は、カスタマーエッジルータ３を介して、ＩＳＰ事業者ネットワーク６やＩＰｖ６インターネット１２に含まれる装置と通信することができるようになる。
【００４５】
（４）端末２は、ＩＰｖ４パケットをＩＰｖ４インターネット１１に送信するための設定をカスタマーエッジルータ３に要求する。
【００４６】
（５）カスタマーエッジルータ３は、ユーザ情報がユーザ情報処理部１３３に記憶されているかを確認する。ユーザ情報がユーザ情報処理部１３３に記憶されていない場合、カスタマーエッジルータ３は処理を中止する。一方、ユーザ情報がユーザ情報処理部１３３に記憶されている場合、ユーザ情報処理部１３３は、ＴＥＰＡ処理部１３１に終点アドレスを要求する。ＴＥＰＡ処理部１３１は、端末２に対して使用が許可された終点アドレスがアドレス情報処理部１３４に格納されているかを確認する。終点アドレスが格納されていない場合、ＴＥＰＡ処理部１３１は、問合せメッセージを生成する。カスタマーエッジルータ３は、認証サーバ１３に問合せメッセージを送信して、終点アドレスを問い合わせる。
【００４７】
図１０（ａ）に問合せメッセージの例を示す。問合せメッセージは、ＩＰヘッダ、User Datagram Protocol（ＵＤＰ）ヘッダの他に、４ｒｄによる通信であることを示す識別子（４ｒｄ識別子）と任意の数のattribute-value（ＡＶ）ペアを含む。例えば、図１０（ａ）の例では、ＡＶ１〜ＡＶ３の３つのＡＶペアを含んである。それぞれのＡＶペアは、データの属性、データ長、データの値の３つの情報を含む。ＡＶ１は、属性がメッセージタイプで、メッセージタイプを表す値の長さが１ビットであることと、メッセージタイプの値が０であることを示す。ここで、メッセージタイプ＝０は、問合せメッセージであることを示すものとする。同様に、ＡＶ２は、ユーザＩＤが「ｕｓｅｒ１」の５文字であることを示し、ＡＶ３は、パスワードが「ｐａｓｓｗｏｒｄ１１」の１０文字であることを示す。
【００４８】
（６）認証サーバ１３は、カスタマーエッジルータ３から問合せメッセージを受信する。認証処理部３２１は、問合せメッセージに含まれているユーザ情報を抽出して、抽出した情報がユーザ情報テーブル３２２に含まれているかを確認する。問合せメッセージから抽出されたユーザＩＤとパスワードの組み合わせがユーザ情報テーブル３２２に含まれている場合、認証サーバ１３は、ＩＰｖ４インターネット１１にアクセスする権限を有するユーザから認証の要求を受けたと判断する。そこで、ユーザ情報に対応付けて記憶されている終点アドレスを含むアドレス通知メッセージを生成してカスタマーエッジルータ３に返信する。例えば、認証サーバ１３が図７に示すユーザ情報テーブル３２２を備えている場合、認証サーバ１３は、「ＴＥＰＡ−Ａ」を通知するアドレス通知メッセージを端末２に送信する。図１０（ｂ）に認証サーバ１３からカスタマーエッジルータ３に送信されるアドレス通知メッセージの例を示す。なお、アドレス通知メッセージを示すメッセージタイプは「１」であるものとする。
【００４９】
一方、問合せメッセージから抽出されたユーザＩＤとパスワードの組み合わせがユーザ情報テーブル３２２に含まれていない場合、認証サーバ１３は、ＩＰｖ４インターネット１１にアクセスする権限を持たないユーザから認証の要求を受けたと判断する。すると、認証処理部３２１は、認証に失敗した旨を通知するエラーメッセージを、カスタマーエッジルータ３に向けて送信する。例えば、エラーメッセージは、メッセージタイプの値が「３」であり、図１０に示す制御メッセージと同様の構成とすることができる。
【００５０】
（７）カスタマーエッジルータ３は、認証サーバ１３から制御メッセージを受信する。ここでは、カスタマーエッジルータ３がアドレス通知メッセージを受信したものとする。ＴＥＰＡ処理部１３１は、アドレス通知メッセージに含まれている情報を確認する。ＴＥＰＡ処理部１３１はアドレス通知メッセージから終点アドレスを取得すると、終点アドレスをアドレス情報処理部１３４に記憶させる。
【００５１】
（８）カスタマーエッジルータ３は、端末２にＩＰｖ４インターネット１１へのアクセスが許可されたことを端末２に通知する。なお、手順（８）は、手順（４）の要求に対する応答メッセージである。
【００５２】
図１１は、ＳＡＭによる通信が行われる際に用いられるアドレスの例を説明する図である。以下、適宜、図１１を参照しながら、図９の手順（９）〜（１１）で行われる動作について説明する。図１１の例では、ＴＥＰＡ−Ａは「２００１：ｄｂ８：０：１：：１」であるものとする。さらに、カスタマーエッジルータ３のプライベートネットワーク１側のポートのアドレスは「１９２．１６８．０．１／２４」であるものとする。さらに、端末２がＩＰｖ４パケットを用いた通信を行う対向装置１４のアドレスは、「２０３．０．１１３．２５４」である。さらに、ボーダールータ８のＩＰｖ４インターネット１１側のポートに割り当てられたアドレスは「２０３．０．１１３．１」であるものとする。
【００５３】
（９）端末２がＩＰｖ４インターネット１１に向けたＩＰｖ４パケットを生成して、カスタマーエッジルータ３に送信したとする。以下の説明では、端末２は、プライベートネットワーク１ではプライベートアドレス「１９２．１６８．０．３０」を用いているとする。すると、端末２は、対向装置１４を宛先アドレスとして図１１（ａ）に示すアドレスとポートを指定したＩＰｖ４パケットをカスタマーエッジルータ３に送信する。
【００５４】
カスタマーエッジルータ３の経路制御部１２０は、ＩＰｖ４パケットを受信すると、ＩＰｖ４ルーティングテーブル１４２を参照して、パケットの転送先を取得する。転送先がプライベートネットワーク１ではない場合、経路制御部１２０は、受信したパケットをカプセリング処理部１３２に出力する。
【００５５】
カプセリング処理部１３２は、パケットをカプセル化する前に、ＩＰｖ４プライベートアドレスをＩＰｖ４グローバルアドレスに変換する。カプセリング処理部１３２は、端末２が使用しているＩＰｖ４プライベートアドレスとポート番号の組み合わせに対応するＩＰｖ４グローバルアドレスとポート番号が、ＮＡＰＴテーブル１４３に格納されているかを確認する。図９の例では、手順（９）より前に端末２はＩＰｖ４インターネット１１に含まれる装置と通信していないので、ＮＡＰＴテーブル１４３にＩＰｖ４グローバルアドレスとポート番号が記録されていない。そこで、カプセリング処理部１３２は、アドレス情報処理部１３４にＩＰｖ４グローバルアドレスの計算を要求する。
【００５６】
アドレス情報処理部１３４は、ＩＰｖ６ルータ５から配布されたＩＰｖ６プレフィックスがＳＡＭ用ＩＰｖ６プレフィックスに該当することを確認する。配布されたプレフィックスがＳＡＭ用ＩＰｖ６プレフィックスである場合、アドレス情報処理部１３４は、配布されたプレフィックスのうちでＳＡＭ用プレフィックスに含まれていないビット数の値を求める。ここでは
配布されたプレフィックス : ２００１：ｄｂ８：ａｂｃｄ：：／４８
ＳＡＭ用ＩＰｖ６プレフィックス： ２００１：ｄｂ８：：／３２
であるので、配布されたプレフィックスのうちの下位の１６ビット「ａｂｃｄ」により個々のカスタマーエッジルータ３を識別することができる。以下、配布されたプレフィックスのうちでカスタマーエッジルータ３の識別に用いることができるビット列を「ユーザ識別ビット列」と記載することある。アドレス情報処理部１３４は、ＳＡＭ用ＩＰｖ４プレフィックスとユーザ識別ビット列から、ＩＰｖ４グローバルアドレスとポート番号を計算する。
【００５７】
アドレス情報処理部１３４は、ＳＡＭ用ＩＰｖ４プレフィックスの長さとＩＰｖ４グローバルアドレスの長さの差分を求め、差分と同じビット数をユーザ識別ビット列の上位から取得する。アドレス情報処理部１３４は、取得したビット列をＳＡＭ用ＩＰｖ４プレフィックスの後に続けて得られたアドレスをＩＰｖ４グローバルアドレスとする。ここでは、ＳＡＭ用ＩＰｖ４プレフィックスは２４ビットでＩＰｖ４グローバルアドレスは３２ビットであるので、差分は８ビットである。そこで、ユーザ識別ビット列の最初の８ビットの「ａｂ」をＳＡＭ用ＩＰｖ４プレフィックスに続けるとＩＰｖ４グローバルアドレスとなる。「ａｂ」を１０進数で表すと、「１７１」である。従って、ＩＰｖ４グローバルアドレスは「１９２．０．２．１７１／２４」となる。
【００５８】
アドレス情報処理部１３４は、次に、ポート番号を求める。アドレス情報処理部１３４は、ユーザ識別ビット列のうちでＩＰｖ４グローバルアドレスの計算に用いていないビットを２進数で表した値の前に、ポートレンジインデックスを付加して得られた文字列を１０進数に変換した値をポート番号とする。ここで、ポートレンジインデックスは、ＳＡＭによる通信でユーザデータの送受信に使用されないポート番号を端末２に割り当てないために使用される。ポートレンジインデックスは「１」、「０１」、「００１」、「０００１」のいずれかである。ここでは、図１２（ａ）に示すように、ユーザ識別ビット列が「ａｂｃｄ」であり、「ａｂ」がＩＰｖ４グローバルアドレスの生成に使用されているので、ポート番号の計算には、「ｃｄ」にあたるビット列が使用される。１６進数の「ｃｄ」を２進数に変換すると、「１１００１１０１」となる。そこで、図１２（ｂ）に示すように、「１１００１１０１」の前にポートレンジインデックスのうちのいずれかを付加して得られたビット列に、任意のビット列を追加することにより１６ビットのビット列が得られる。アドレス情報処理部１３４は、得られたビット列で示される値をポート番号とする。図１２（ｂ）の右端に、得られるポート番号の範囲を１６進数と１０進数で表す。以下の説明では、０ｘ１ＣＤ０がポート番号として得られた場合を例として説明する。
【００５９】
アドレス情報処理部１３４は、計算したＩＰｖ４グローバルアドレスとポート番号をカプセリング処理部１３２に通知する。カプセリング処理部１３２は、端末２から送信されたパケットの送信元アドレスと送信元ポートを、アドレス情報処理部１３４から通知されたＩＰｖ４グローバルアドレスとポート番号に置き換える。さらに、カプセリング処理部１３２は、アドレス等を置き換える前にパケットに設定されていたＩＰｖ４プライベートアドレスと送信元ポート番号の組み合わせを、置き換え後のＩＰｖ４グローバルアドレス等と対応付けてＮＡＰＴテーブル１４３に格納する。図１１（ｂ）に、ＮＡＰＴテーブル１４３の例を示す。
【００６０】
（１０）次に、カプセリング処理部１３２は、パケットをカプセル化する。カプセリング処理部１３２は、アドレス情報処理部１３４に格納されている終点アドレスを取得し、アウターヘッダの宛先ＩＰｖ６アドレスに設定する。ここでは、手順（７）で述べたとおり、ＴＥＰＡ−Ａ（２００１：ｄｂ８：０：１：：１）がアドレス情報処理部１３４に記憶されているものとする。また、カプセリング処理部１３２は、アドレス情報処理部１３４に対して、カスタマーエッジルータ３のＩＰｖ６アドレスを要求する。カスタマーエッジルータ３のＩＰｖ６アドレスは、手順（２）で説明したように、「２００１：ｄｂ８：ａｂｃｄ：１：：１」である。カプセリング処理部１３２は、カスタマーエッジルータ３のＩＰｖ６アドレスをアウターヘッダの送信元ＩＰアドレスに設定する。従って、カプセル化後のパケットに設定されている送信元アドレス、宛先アドレス、および、ポート番号は、図１１（ｃ）に示すようになる。カプセリング処理部１３２は、カプセル化後のパケットを経路制御部１２０に出力する。経路制御部１２０は、ＩＰｖ６ルーティングテーブル１４１を参照して転送先を決定し、パケット転送処理部１１３に出力する。パケット転送処理部１１３は、ボーダールータ８に向けてカプセル化後のパケットを送信する。図９の（１０）では、カプセル化後のパケットを「ＩＰｖ４ ｏｖｅｒ ＩＰｂ６パケット」と記載している。カスタマーエッジルータ３からボーダールータ８に送信されたパケットは、ＩＰｖ６ルータ５を介してボーダールータ８に送信される。
【００６１】
（１１）ボーダールータ８は、ＴＥＰＡ−Ａに宛てたパケットを受信する。ここで、ＴＥＰＡ−Ａを宛先として指定できる端末２は、認証サーバ１３での認証に成功した結果として認証サーバ１３から終点アドレスを通知されているといえる。従って、ボーダールータ８は、ボーダールータ８に割り当てられているアドレスをアウターヘッダの宛先アドレスとしているパケットは、認証サーバ１３での認証に成功したユーザからのパケットであるとみなす。このため、ボーダールータ８は、ＴＥＰＡ−Ａ宛てのパケットについては正規ユーザからのパケットであるかを判定しない。そこで、パケット転送処理部２１３をからＴＥＰＡ−Ａ宛てのパケットが入力されると、経路制御部２２０は、そのパケットをカプセリング処理部２３１に出力する。カプセリング処理部２３１は、ＴＥＰＡ−Ａ宛てのパケットをデカプセル化する。デカプセル化された後のパケットのＩＰヘッダに含まれているアドレスとポート番号は、図１１（ｄ）に示すとおりである。
【００６２】
カプセリング処理部２３１は、デカプセル化後のパケットを経路制御部２２０に出力する。経路制御部２２０は、ＩＰｖ４ルーティングテーブル２４２を参照して、パケットをＩＰｖ４インターネット１１に転送する。パケットはＩＰｖ４インターネット１１中でルーティングされて対向装置１４に到達する。
【００６３】
図１３は、対向装置１４から端末２への通信が行われる際に用いられるアドレスの例を説明する図である。以下、適宜、図１３を参照しながら、図９の手順（１２）〜（１４）で行われる動作について説明する。
【００６４】
（１２）対向装置１４は、手順（１１）で受信した端末２からのパケットに応答するパケット（応答パケット）を生成したとする。生成されたパケットは、対向装置１４からボーダールータ８に送信される。また、対向装置１４から送信される応答パケットのＩＰｖ４ヘッダに含まれるアドレスとポート番号は、図１３（ａ）に示すとおりである。
【００６５】
（１３）ボーダールータ８の経路制御部２２０は、ＩＰｖ４パケットを受信すると、ＩＰｖ４ルーティングテーブル２４２を参照して、パケットの転送先を取得する。転送先がＩＰｖ４インターネット１１ではない場合、経路制御部２２０は、アドレス情報処理部２３２からＳＡＭ用ＩＰｖ４プレフィックスを取得し、宛先アドレスのプレフィックスと一致するかを確認する。経路制御部２２０は、宛先ＩＰｖ４アドレスのプレフィックスがＳＡＭ用ＩＰｖ４プレフィックスと一致したパケットをカプセリング処理部２３１に出力する。
【００６６】
カプセリング処理部２３１は、アドレス情報処理部２３２にカプセル化に用いるためのＩＰｖ６アドレスの算出を要求する。アドレス情報処理部２３２は、宛先ＩＰｖ４アドレスについて、ＳＡＭ用ＩＰｖ４プレフィックス以外のビット列と、宛先ポート番号を取得する。すなわち、図１３（ａ）の丸で囲んだ情報に基づいてカプセル化に用いる宛先ＩＰｖ６アドレスを算出する。ここでは、宛先ＩＰｖ４アドレスが「１９２．０．２．１７１」であり、ＳＡＭ用ＩＰｖ４プレフィックスは「１９２．０．２．０／２４」である。そこで、アドレス情報処理部２３２は、宛先ＩＰｖ４アドレスの下位８ビットにあたる「１７１」を４ビットずつで区切った１６進数に変換する。すると、「１７１」は「ａｂ」に変換される。
【００６７】
次に、アドレス情報処理部２３２は、宛先ポート番号を２進数で表記したときに「１」の値が設定されている最上位のビットの位置を確認する。「０ｘ１ＣＤ０」の場合、２進数に変換すると「０００１ １１００ １１０１ ００００」となる。従って、「１」の値が設定されている最上位のビットは４ビット目であるので、「０００１」がポート番号の算出のために付加されたポートレンジインデックスである。
【００６８】
ここで、アドレス情報処理部２３２は、ポート番号を表すビット列からアドレスの算出に用いるビット数を計算する。ユーザ配布ＩＰｖ６プレフィックス長さは４８ビットである。ＳＡＭ用ＩＰｖ６プレフィックスの長さが３２ビットであるため、ユーザ識別ビット列は１６ビットである。宛先ＩＰｖ４アドレスの長さからＳＡＭ用ＩＰｖ４プレフィックスの長さを差し引いた８ビット分の情報は、既に宛先ＩＰｖ４アドレスから取得されている。従って、宛先ポート番号からは、１６−８＝８ビットの情報を取得すればよい。そこで、アドレス情報処理部２３２は、宛先ポート番号を表すビット列から、ポートレンジインデックスに続く８ビット（１１００１１０１）を取得し、１６進数（ｃｄ）に変換する。得られた値「ｃｄ」を宛先ＩＰｖ４アドレスから計算した値の後につなげることにより、ユーザ識別ビット列の値を１６進数で示した「ａｂｃｄ」が得られる。
【００６９】
アドレス情報処理部２３２は、ＳＡＭ用ＩＰｖ６プレフィックスの後にユーザ識別ビット列をつなげることにより、カスタマーエッジルータ３に配布されたプレフィックスは「２００１：ｄｂ８：ａｂｃｄ：／４８」であると計算する。アドレス情報処理部２３２は、アドレス生成ルール（ｄ）と（ｅ）に従って、カスタマーエッジルータ３のＩＰｖ６アドレスは「２００１：ｄｂ８：ａｂｃｄ：１：：１」であることを求める。アドレス情報処理部２３２は、カスタマーエッジルータ３のＩＰｖ６アドレスをカプセリング処理部２３１に通知する。さらに、アドレス情報処理部２３２は、ボーダールータ８がカスタマーエッジルータ３にパケットを送信する際に用いるＩＰｖ６アドレスも通知する。ここでは、カスタマーエッジルータ３へのパケットの送信にＴＥＰＡ−Ａが用いられるものとする。
【００７０】
カプセリング処理部２３１は、アドレス情報処理部２３２から通知されたアドレスを用いてパケットをカプセリングする。カプセル化されたパケットのアウターヘッダとインナーヘッダに含まれているアドレスとポート番号は、図１３（ｂ）に示すとおりである。カプセル化されたパケットは、ボーダールータ８からＩＰｖ６ルータ５を介してカスタマーエッジルータ３に送信される。
【００７１】
（１４）カスタマーエッジルータ３は、ボーダールータ８からパケットを受信する。カスタマーエッジルータ３の経路制御部１２０は、パケット転送処理部１１３から入力されたパケットをカプセリング処理部１３２に出力する。カプセリング処理部１３２は、パケットをデカプセル化する。さらに、カプセリング処理部１３２は、ＩＰｖ４グローバルアドレスをキーとしてＮＡＰＴテーブル１４３を検索し、ＩＰｖ４プライベートアドレスとポート番号を取得する。カプセリング処理部１３２は、ＩＰｖ４ヘッダの宛先アドレスと宛先ポート番号をＮＡＰＴテーブル１４３から得られた値に書き換える。書き換え後のＩＰｖ４ヘッダは図１３（ｃ）に示すとおりである。カプセリング処理部１３２は、ＩＰｖ４ヘッダを変換したパケットを経路制御部１２０に出力する。経路制御部１２０は、ＩＰｖ４ルーティングテーブル１４２を参照して、端末２にパケットを送信する。
【００７２】
図１４は、カスタマーエッジルータ３の動作の例を説明するフローチャートである。図１４では、図９を参照しながら説明した手順（２）〜（７）で行われる動作を表している。カスタマーエッジルータ３は、回線事業者のネットワーク４に含まれているＩＰｖ６ルータ５からＩＰｖ６プレフィックスを取得する（ステップＳ１）。アドレス情報処理部１３４は、取得されたＩＰｖ６プレフィックスを用いてＩＰｖ４グローバルアドレスと、カスタマーエッジルータ３が使用することができるポート番号の範囲を算出する（ステップＳ２）。ユーザ情報処理部１３３は、ユーザ情報が格納されているかを確認する（ステップＳ３）。ユーザ情報処理部１３３にユーザ情報が格納されていない場合、ユーザ情報処理部１３３は処理を終了する（ステップＳ３でＮｏ）。一方、ユーザ情報がすでにユーザ情報処理部１３３に格納されている場合、ＴＥＰＡ処理部１３１は、認証サーバ１３に終点アドレス（ＴＥＰＡ）を問い合わせる（ステップＳ３でＹｅｓ、ステップＳ４）。認証サーバ１３からアドレス通知メッセージを受信すると、ＴＥＰＡ処理部１３１は、アドレス通知メッセージからＴＥＰＡを抽出してアドレス情報処理部１３４に出力する（ステップＳ５）。アドレス情報処理部１３４は、ＴＥＰＡを記憶する（ステップＳ６）。一方、認証サーバ１３からカスタマーエッジルータ３に送信された制御メッセージがエラーメッセージである場合、ＴＥＰＡが通知されていないので、ＴＥＰＡ処理部１３１は処理を中止する（ステップＳ５でＮｏ）。
【００７３】
図１５は、認証サーバ１３の動作の例を説明するフローチャートである。図１５では、図９を参照しながら説明した手順（５）〜（７）で行われる動作を表している。認証処理部３２１は、認証サーバ１３が受信したパケットからユーザ情報を取得できるかを確認する（ステップＳ１１）。受信パケットからユーザ情報が取得できない場合、認証処理部３２１は、処理を中止する（ステップＳ１１でＮｏ）。受信パケットからユーザ情報を取得できた場合、認証処理部３２１は、取得したユーザ情報をキーとしてユーザ情報テーブル３２２を検索する（ステップＳ１２、Ｓ１３）。ユーザ情報がユーザ情報テーブル３２２に登録されていない場合、認証処理部３２１は、カスタマーエッジルータ３にエラーメッセージを送信して処理を中止する（ステップＳ１４でＮｏ）。一方、ユーザ情報がユーザ情報テーブル３２２に登録されている場合、認証処理部３２１は、ユーザ情報に対応付けて記録されているＴＥＰＡを取得する（ステップＳ１４でＹｅｓ、ステップＳ１５）。さらに、認証処理部３２１は、問合せメッセージを送信してきたカスタマーエッジルータ３に対して、ＴＥＰＡを含むアドレス通知メッセージを送信して、ＴＥＰＡを通知する（ステップＳ１６）。なお、図１５は動作の例であり、例えば、ステップＳ１４でＮｏと判定された場合、認証処理部３２１は、エラーメッセージの送信を行わないように変形することもできる。
【００７４】
図１６は、端末２からパケットを受信したときのカスタマーエッジルータ３の動作の例を説明するフローチャートである。図１６では、図９を参照しながら説明した手順（１０）で行われる動作を表している。カプセリング処理部１３２は、端末２から受信したパケットはインターネット側に転送されるパケットであるかを確認する（ステップＳ２１）。インターネット側に転送されるパケットではない場合、カプセリング処理部１３２は処理を終了する（ステップＳ２１でＮｏ）。インターネット側に転送されるパケットを端末２から受信している場合、カプセリング処理部１３２は、アドレス情報処理部１３４にカプセリングに用いるアドレス情報を要求する。アドレス情報処理部１３４は、ＴＥＰＡが登録されているかを確認する（ステップＳ２２）。ＴＥＰＡが登録されていない場合、アドレス情報処理部１３４はＴＥＰＡが登録されていないことをカプセリング処理部１３２に通知し、処理を終了する（ステップＳ２２でＮｏ）。一方、ＴＥＰＡが登録されている場合、アドレス情報処理部１３４は、カプセリング処理部１３２にＩＰｖ６アドレス、ＩＰｖ４グローバルアドレス、使用可能なポート範囲、ＴＥＰＡを通知する。カプセリング処理部１３２は、ＩＰｖ４グローバルアドレスと、使用可能なポートの範囲から選択したポート番号を用いて、アドレスを変換する（ステップＳ２２でＹｅｓ、ステップＳ２３）。カプセリング処理部１３２は、アドレス変換で用いたマッピングの情報をＮＡＰＴテーブル１４３に記録する（ステップＳ２４）。さらに、カプセリング処理部１３２は、端末２から受信したパケットを、送信元アドレスがＩＰｖ６アドレスで宛先アドレスがＴＥＰＡとなるアウターヘッダを用いてカプセリングする（ステップＳ２５）。経路制御部１２０は、カプセリング処理部１３２から入力されたカプセル化後のパケットを、ＩＰｖ６ルーティングテーブル１４１に従ってルーティングする（ステップＳ２６）。
【００７５】
図１７は、対向装置１４からパケットを受信したときのボーダールータ８の動作の例を説明するフローチャートである。図１７では、図９を参照しながら説明した手順（１３）で行われる動作の変形例を表している。すなわち、図１７では、ステップＳ３４で述べるように、ボーダールータ８は、予め、ローカル側送信用アドレスを記憶している。ローカル側送信用アドレスは、プライベートネットワーク１で用いられるデータを含むパケットがボーダールータ８からカスタマーエッジルータ３に向けて送信される場合に用いられる。なお、図９を参照しながら説明したように、ローカル側送信用アドレスをカスタマーエッジルータ３に通知されたＴＥＰＡと同じアドレスとすることもできる。
【００７６】
ボーダールータ８がＩＰｖ４インターネット１１に含まれている対向装置１４からパケットを受信すると、アドレス情報処理部２３２は、受信パケットの宛先ＩＰｖ４アドレスはＳＡＭ用ＩＰｖ４プレフィックスを含んでいるかを確認する（ステップＳ３１）。宛先ＩＰｖ４アドレスのプレフィックスがＳＡＭ用ＩＰｖ４プレフィックスと一致する場合、アドレス情報処理部２３２は、カスタマーエッジルータ３が取得しているＩＰｖ６プレフィックスを算出する。このとき、宛先ＩＰｖ４アドレス、宛先ポート番号、ＳＡＭ用ＩＰｖ６プレフィックスが用いられる（ステップＳ３２）。さらに、アドレス情報処理部２３２は、カスタマーエッジルータ３が取得しているＩＰｖ６プレフィックスとアドレス決定ルールを用いて、カスタマーエッジルータ３が使用しているＩＰｖ６アドレスを算出する（ステップＳ３３）。カプセリング処理部２３１は、受信パケットをカプセリングする。このとき、アウターヘッダの送信元アドレスは、ローカル側送信用アドレスであり、宛先アドレスは、アドレス情報処理部２３２で計算されたＩＰｖ６アドレスである（ステップＳ３４）。経路制御部２２０は、カプセリング処理部２３１でカプセル化されたパケットを、ＩＰｖ６ルーティングテーブル２４１に従って、ＩＰｖ６ルータ７に転送する（ステップＳ３５）。一方、ステップＳ３１において、ＩＰｖ４アドレスのプレフィックスがＳＡＭ用ＩＰｖ４プレフィックスと一致しない場合、経路制御部２２０は、ＩＰｖ４ルーティングテーブル２４２に従ってパケットを転送する（ステップＳ３６）。
【００７７】
図１８は、ボーダールータ８からパケットを受信したときのカスタマーエッジルータ３の動作の例を説明するフローチャートである。図１８では、図９を参照しながら説明した手順（１４）で行われる動作の変形例を表している。経路制御部１２０は、受信したパケットをカプセリング処理部１３２に出力する。カプセリング処理部１３２は、パケットの送信元ＩＰｖ６アドレスをアドレス情報処理部１３４に出力し、ＩＰｖ６アドレスがＳＡＭ用ＩＰｖ６プレフィックスを含んでいるかを問い合わせる（ステップＳ４１）。ＩＰｖ６アドレスがＳＡＭ用ＩＰｖ６プレフィックスを含んでいる場合、カプセリング処理部１３２は、受信したパケットをデカプセリングしてＩＰｖ４パケットを取り出す（ステップＳ４２）。カプセリング処理部１３２は、得られたＩＰｖ４パケットの宛先ＩＰｖ４アドレスと宛先ポート番号がＮＡＰＴテーブル１４３に登録されているかを確認する（ステップＳ４３）。宛先ＩＰｖ４アドレスと宛先ポート番号がＮＡＰＴテーブル１４３に登録されている場合、カプセリング処理部１３２は、ＮＡＰＴテーブル１４３に従って宛先アドレスとポート番号を変換する（ステップＳ４３でＹｅｓ、ステップＳ４４）。経路制御部１２０は、カプセリング処理部１３２から入力されたパケットを、ＩＰｖ４ルーティングテーブル１４２を参照して転送する（ステップＳ４５）。一方、ステップＳ４３で、宛先ＩＰｖ４アドレスと宛先ポート番号がＮＡＰＴテーブル１４３に登録されていない場合、カプセリング処理部１３２は処理を終了する。また、ステップＳ４１において、送信元ＩＰｖ６アドレスのプレフィックスがＳＡＭ用ＩＰｖ６プレフィックスとは異なる場合、経路制御部１２０は、受信パケットを、ＩＰｖ６ルーティングテーブル１４１を用いて転送する（ステップＳ４６）。
【００７８】
図９〜図１８を用いて説明したように、本実施形態に係る方法を用いると、認証サーバ１３は、ＩＰｖ４インターネット１１にアクセスする権限を有するユーザに対して、ボーダールータ８に割り当てられているトンネルの終点アドレスを通知する。つまり、ＩＰｖ４インターネット１１にアクセスする権限を有さないユーザ（不正ユーザ）には、ボーダールータ８に到達するトンネルの終点アドレスが通知されない。このため、不正ユーザは、ボーダールータ８を介してＩＰｖ４インターネット１１にアクセスすることができない。このため、ボーダールータ８がユーザの認証を行わなくても、不正ユーザによるアクセスを防ぐことができる。従って、本実施形態によると、ボーダールータ８は認証に用いるためのデータを保持しなくても良いため、ボーダールータ８の管理や増設などが容易である。従って、本実施形態に係る方法を用いると、トンネリングを用いた通信サービスでの不正なアクセスの防止と、システムの管理の両方が簡便に実現される。
【００７９】
＜第２の実施形態＞
第２の実施形態では、ボーダールータ２０に複数の終点アドレスが割り当てられており、ボーダールータ２０は、受信パケットの宛先に指定されているアドレスに基づいて、そのパケットの転送先を決定することができる。
【００８０】
図１９は、ボーダールータ２０の構成の例を示す図である。ボーダールータ２０は、転送制御部２１０、経路制御部２２０、ＳＡＭ制御部２３０、および、記憶部２５０を備える。記憶部２５０は、転送設定テーブル２５１を備え、さらに、ＩＰｖ６ルーティングテーブル２４１とＩＰｖ４ルーティングテーブル２４２も備える。転送制御部２１０、経路制御部２２０、ＳＡＭ制御部２３０、ＩＰｖ６ルーティングテーブル２４１、ＩＰｖ４ルーティングテーブル２４２は、第１の実施形態と同様である。
【００８１】
転送設定テーブル２５１は、ボーダールータ２０に割り当てられている終点アドレス（ＴＥＰＡ）の各々に対応付けて、パケットの転送先を指定する情報を格納する。図２０は、転送設定テーブル２５１の例を示す。経路制御部２２０は、転送設定テーブル２５１とＩＰｖ４ルーティングテーブル２４２の両方に転送先が記録されている場合、転送設定テーブル２５１に格納されている転送先を優先する。
【００８２】
図２１は、第２の実施形態が用いられるネットワークの例を示す図である。図２１に示すネットワークでは、ＩＳＰ事業者ネットワーク６にボーダールータ２０が含まれる。ボーダールータ２０は、ＩＳＰ事業者ネットワーク６、ＩＳＰ事業者ネットワーク９、および、ＩＰｖ４インターネット１１に接続されている。ＩＳＰ事業者ネットワーク９ではＩＰｖ４が使用されており、ＩＳＰ事業者ネットワーク９は任意の数のＩＰｖ４ルータ１０を含むものとする。なお、プライベートネットワーク１、回線事業者のネットワーク４、ＩＰｖ６インターネット１２、ＩＰｖ４インターネット１１、カスタマーエッジルータ３、ＩＰｖ６ルータ５、ＩＰｖ６ルータ７の動作は、第１の実施形態と同様である。
【００８３】
オペレータは、予め、ユーザごとにＩＰｖ４インターネット１１に接続を許可するときに、ボーダールータ２０からＩＰｖ４インターネット１１までの間にＩＳＰ事業者ネットワーク９などのネットワークを通過させるかを決定する。例えば、オペレータは、ユーザＡから送信されたパケットは、ＩＰｖ４インターネット１１に接続する前にＩＳＰ事業者ネットワーク９で処理したいと考えたとする。さらに、ユーザＢについては、パケットを、ＩＳＰ事業者ネットワーク９を介さずに、ＩＰｖ４インターネット１１に送信することをオペレータが決定したとする。すると、オペレータは、各ユーザのユーザ情報に対応付けて、そのユーザの転送先に合わせた終点アドレスを認証サーバ１３のユーザ情報テーブル３２２に予め登録しておく。
【００８４】
例えば、図２０に示すように、ＴＥＰＡ−Ａのアドレスに到達したパケットは、ＩＳＰ事業者ネットワーク９に転送されるように設定され、ＴＥＰＡ−Ｂのアドレスに到達したパケットはＩＰｖ４インターネット１１に転送されるとする。この場合、オペレータは、認証サーバ１３のユーザ情報テーブル３２２には、ユーザＡを識別するユーザ情報に対応付けてＴＥＰＡ−Ａを記録し、ユーザＢを識別するユーザ情報に対応付けてＴＥＰＡ−Ｂを記録する。さらに、オペレータは、ＴＥＰＡごとに転送先を転送設定テーブル２５１に設定しておく。
【００８５】
以上の登録が行われた後、プライベートネットワーク１に属する端末２からＩＰｖ４インターネット１１に含まれる対向装置１４への通信が行われる。手順（１）〜（５）の動作は、図９を参照しながら説明したとおりである。手順（６）は、本実施形態では、ユーザごとに通知されるＴＥＰＡが異なる場合がある。例えば、前述の設定が行われている場合、認証処理部３２１は、カスタマーエッジルータ３から通知されたユーザ情報がユーザＡを識別する情報である場合、ＴＥＰＡ−Ａを含むアドレス通知メッセージを生成し、カスタマーエッジルータ３に送信する。一方、問合せメッセージで通知されたユーザ情報がユーザＢを識別する情報である場合、認証処理部３２１は、ＴＥＰＡ−Ｂを含むアドレス通知メッセージを生成し、カスタマーエッジルータ３に送信する。
【００８６】
手順（７）〜（１０）の処理は、第１の実施形態と同様である。手順（１１）において、本実施形態では、カプセリング処理部２３１は、デカプセル化後のパケットを経路制御部２２０に出力するときに、アウターヘッダに含まれていた宛先アドレスを経路制御部２２０に通知する。経路制御部２２０は、デカプセル化されたパケットを転送する際に、通知された宛先アドレスをキーとして転送設定テーブル２５１を検索する。経路制御部２２０は、転送設定テーブル２５１に設定されている宛先に向けて、デカプセル化後のパケットを転送する。例えば、図２０に示す転送設定テーブル２５１が用いられる場合、ＴＥＰＡ−Ａで受信されたパケットをデカプセル化して得られたパケットは、ＩＳＰ事業者ネットワーク９に転送される。一方、ＴＥＰＡ−Ｂで受信されたパケットをデカプセル化して得られたパケットは、ＩＰｖ４インターネット１１に転送される。
【００８７】
図２２は、ボーダールータ２０の動作の例を説明するフローチャートである。経路制御部２２０は、ボーダールータ２０で受信されたパケットの宛先ＩＰｖ６アドレスはボーダールータ２０に割り当てられているアドレスであるかを確認する（ステップＳ５１）。宛先ＩＰｖ６アドレスがボーダールータ２０に割り当てられているアドレスである場合、カプセリング処理部２３１は、受信パケットをデカプセリングしてＩＰｖ４パケットを取り出す（ステップＳ５２）。次に、経路制御部２２０は、転送設定テーブル２５１を確認し、宛先ＩＰｖ６アドレスに設定されていたＴＥＰＡに対応付けて、転送先が記録されているかを確認する（ステップＳ５３）。ＴＥＰＡに対応する転送先が記録されていない場合、経路制御部２２０は、ＩＰｖ４ルーティングテーブル２４２に従って、デカプセル化後のパケットを転送する（ステップＳ５４）。ＴＥＰＡに対応する転送先が記録されている場合、経路制御部２２０は、転送設定テーブル２５１に設定された転送先に、デカプセル化後のパケットを転送する（ステップＳ５５）。また、ステップＳ５１において、宛先ＩＰｖ６アドレスはボーダールータ２０に割り当てられているアドレスではないと判定されると、経路制御部２２０は、受信パケットをＩＰｖ６ルーティングテーブル２４１に従って、転送する。なお、この場合は、デカプセル化は行われない（ステップＳ５６）。
【００８８】
本実施形態によると、ユーザからのパケットを、個々のユーザに対して決定されているサービスポリシーに応じて振り分けることができる。従って、例えば、ＩＳＰ事業者がアクセスを監視したいと考えているユーザからのパケットをＩＳＰ事業者ネットワーク９に転送することができる。一方、また、監視対象とならないユーザからのアクセスはＩＳＰ事業者ネットワーク９を介さずにＩＰｖ４インターネット１１に転送される。
【００８９】
また、ＴＥＰＡに対応付けて転送先が決定されるため、デカプセル化された後のパケットの転送先の変更は、ＴＥＰＡの変更により簡便に行われる。すなわち、パケットの通過する経路の変更が行われる場合には、経路の変更が行われるユーザに対応付けられたＴＥＰＡを、デカプセル化されたパケットの転送先に合わせて、認証サーバ１３のユーザ情報テーブル３２２において変更すればよいことになる。
【００９０】
＜第３の実施形態＞
第３の実施形態では、ユーザが複数の事業者と契約しており、ＩＳＰ事業者ネットワーク６に複数のＩＳＰ事業者のＩＳＰ事業者ネットワーク９が接続されている場合に、ユーザが使用するサービスに応じてパケットの振り分けを行う方法を説明する。図２３は、第３の実施形態が用いられるネットワークの例を示す。第３の実施形態では、事業者Ａと事業者Ｂの２つのＩＳＰ事業者がＩＳＰ事業者ネットワーク９をＩＳＰ事業者ネットワーク６およびＩＰｖ４インターネット１１に接続しているものとする。以下、事業者ＡはＩＳＰ事業者ネットワーク９ａを管理し、事業者ＢはＩＳＰ事業者ネットワーク９ｂを管理しているものとする。また、ＩＳＰ事業者ネットワーク９ａに含まれているルータはＩＰｖ４ルータ１０ａ、ＩＳＰ事業者ネットワーク９ｂに含まれるルータはＩＰｖ４ルータ１０ｂと表記するものとする。
【００９１】
プライベートネットワーク１、回線事業者のネットワーク４、ＩＳＰ事業者ネットワーク６、ＩＰｖ４インターネット１１、ＩＰｖ６インターネット１２については、第１および第２の実施形態と同様である。また、カスタマーエッジルータ３、認証サーバ１３、ＩＰｖ６ルータ５、７の動作も第１および第２の実施形態と同様であり、ボーダールータ２０の動作は第２の実施形態と同様である。
【００９２】
端末２のユーザが、事業者Ａとの契約で得たユーザ情報は、ユーザＩＤ「ｕｓｅｒ１」とパスワード「ｐａｓｓｗｏｒｄ９ａ」の組み合わせであるとする。一方、事業者Ｂとユーザの契約で得られたユーザ情報は、ユーザＩＤ「ｕｓｅｒＡ」とパスワード「ｐａｓｓｗｏｒｄ９ｂ」の組み合わせであるとする。端末２は、事業者Ａ、事業者Ｂの両方から得られたユーザＩＤとパスワードをカスタマーエッジルータ３のユーザ情報処理部１３３に記憶させる。また、端末２も事業者Ａのユーザ情報と、事業者Ｂのユーザ情報の両方を記憶しているが、通信を行う際に、いずれの事業者のサービスを受けるかを選択し、選択した事業者の設定を有効にしてから通信を行うものとする。端末２は、通信を開始する際に有効になっているユーザ情報を、カスタマーエッジルータ３に通知する。
【００９３】
カスタマーエッジルータ３は、端末２から通知されたユーザ情報に対応付けられたＴＥＰＡを認証サーバ１３に問い合わせる。問い合わせに用いられる問合せメッセージは、第１の実施形態と同様である。認証サーバ１３は、ユーザ情報テーブル３２２に記録されている情報に基づいてＴＥＰＡをカスタマーエッジルータ３に通知する。例えば、ユーザ情報テーブル３２２が図２４（ａ）に示すとおりであるとする。すると事業者Ａのサービスを用いた通信が行われる場合、ＴＥＰＡ−Ａがカスタマーエッジルータ３に通知される。一方、事業者Ｂのサービスを用いた通信が行われる場合、ＴＥＰＡ−Ｂがカスタマーエッジルータ３に通知される。
【００９４】
カスタマーエッジルータ３でのカプセリングは、認証サーバ１３から通知されたＴＥＰＡを用いて行われる。ボーダールータ２０は、受信したパケットに含まれているＴＥＰＡに従って、転送先を決定する。例えば、転送設定テーブル２５１は図２４（ｂ）に示すとおりであるとする。すると、端末２が事業者Ａのサービスを用いて通信すると、ボーダールータ２０は、デカプセル化後のパケットをＩＳＰ事業者ネットワーク９ａに転送する。また、端末２が事業者Ｂのサービスを用いて通信すると、ボーダールータ２０は、デカプセル化後のパケットをＩＳＰ事業者ネットワーク９ｂに転送する。
【００９５】
このように、サービスを提供する事業者に応じて転送先を変更することができるため、図２３に示すように複数の事業者がＩＳＰ事業者ネットワーク９を提供しているネットワークでは、本実施形態にかかる方法が有用である。
【００９６】
＜第４の実施形態＞
第４の実施形態は、複数のプライベートネットワーク１（１ａ、１ｂ）が回線事業者のネットワーク４に接続された場合について説明する。図２５は、第４の実施形態にかかるネットワークの例を示す。カスタマーエッジルータ３ａ、３ｂの動作は、第１〜第３の実施形態のカスタマーエッジルータ３と同様である。プライベートネットワーク１ａ、１ｂは、第１〜第３の実施形態のプライベートネットワーク１と同様である。また、端末２ａ、端末２ｂの動作も第１〜第３の実施形態の端末２と同様である。さらに、回線事業者のネットワーク４、ＩＳＰ事業者ネットワーク６、ＩＳＰ事業者ネットワーク９、ＩＰｖ４インターネット１１、ボーダールータ２０、ＩＰｖ６ルータ５、７、ＩＰｖ４ルータ１０なども、第２および第３の実施形態と同様である。
【００９７】
図２６は、ユーザ情報テーブルと転送設定テーブルの例を示す。第４の実施形態では、認証サーバ１３のユーザ情報テーブル３２２は図２６（ａ）のとおりであるものとする。また、ボーダールータ２０の転送設定テーブル２５１は、図２６（ｂ）であるとする。
【００９８】
端末２ａのユーザのユーザ情報は、ユーザＩＤ「ｕｓｅｒ１」とパスワード「ｐａｓｓｗｏｒｄ１１」の組み合わせであるとする。一方、端末２ｂのユーザのユーザ情報は、ユーザＩＤ「ｕｓｅｒ２」とパスワード「ｐａｓｓｗｏｒｄ１２」の組み合わせであるとする。さらに、カスタマーエッジルータ３ａは端末２ａのユーザ情報を記憶しており、カスタマーエッジルータ３ｂは端末２ｂのユーザ情報を記憶しているものとする。
【００９９】
カスタマーエッジルータ３ａから送信された問合せメッセージには、端末２ａのユーザ情報が含まれているので、認証サーバ１３は、ユーザ情報テーブル３２２を参照して、ＴＥＰＡ−Ａをカスタマーエッジルータ３ａに通知する。同様に、カスタマーエッジルータ３ｂからの問合せメッセージには端末２ｂのユーザ情報が含まれているので、カスタマーエッジルータ３ｂにはＴＥＰＡ−Ｃが通知される。従って、カスタマーエッジルータ３ａでカプセリングされたパケットはＴＥＰＡ−Ａ宛て、カスタマーエッジルータ３ｂでカプセリングされたパケットはＴＥＰＡ−Ｂ宛てとなる。
【０１００】
ボーダールータ２０は、転送設定テーブル２５１を参照して、カスタマーエッジルータ３ａから受信したパケットをＩＳＰ事業者ネットワーク９に転送する。一方、ボーダールータ２０は、カスタマーエッジルータ３ｂから受信したパケットを、直接、ＩＰｖ４インターネット１１に転送する。従って、端末２ａと端末２ｂが通信を行う際には、端末２ａからのパケットはＩＳＰ事業者ネットワーク９を経由し、端末２ｂからのパケットはＩＳＰ事業者ネットワーク９を経由しないでＩＰｖ４インターネット１１に転送される。
【０１０１】
＜その他＞
なお、実施形態は上記に限られるものではなく、様々に変形可能である。以下にその例をいくつか述べる。
【０１０２】
図２７にネットワークの例を示す。図２７に示すように、認証サーバ１３をＩＳＰ事業者ネットワーク９におくこともできる。この場合、ＩＳＰ事業者ネットワーク９は、ＩＰｖ４とＩＰｖ６のデュアルスタックとなる。また、ＩＳＰ事業者ネットワーク９に含まれるルータ１０も、デュアルスタックルータである。端末２、カスタマーエッジルータ３、認証サーバ１３、ボーダールータ２０の動作は、第２〜第４の実施形態と同様である。
【０１０３】
問合せメッセージやアドレス通知メッセージなどの制御メッセージの構成は実装に応じて変更することができる。例えば、制御メッセージはＵＤＰヘッダの代わりにTransmission Control Protocol（ＴＣＰ）ヘッダを含むこともできる。また、カスタマーエッジルータ３と認証サーバ１３の間で行われる認証は、問合せメッセージやアドレス通知メッセージを用いる代わりに、Remote Authentication Dial In User Service（ＲＡＤＩＵＳ）プロトコルなどを用いて行われる場合がある。
【０１０４】
さらに、オペレータは、一定時間ごとにＴＥＰＡの値が変更されるように変形して、偶然ＴＥＰＡを知った不正ユーザからのアクセスを防ぐことができる。ＴＥＰＡが変更されるたびに、ユーザ情報テーブル３２２と転送設定テーブル２５１が変更される。ＴＥＰＡが変更されるとカスタマーエッジルータ３に記憶されているＴＥＰＡは使用できなくなるので、カスタマーエッジルータ３は、図９を参照しながら説明した手順（５）以降の処理を行うことにより、変更後のＴＥＰＡを取得する。正規ユーザの場合、ＴＥＰＡが変更されても変更後のＴＥＰＡが取得されれば、通信が可能になる。
【符号の説明】
【０１０５】
１ プライベートネットワーク
２ 端末
３ カスタマーエッジルータ
４ 回線事業者のネットワーク
５、７ ＩＰｖ６ルータ
６、９ ＩＳＰ事業者ネットワーク
８、２０ ボーダールータ
１０ ＩＰｖ４ルータ
１１ ＩＰｖ４インターネット
１２ ＩＰｖ６インターネット
１３ 認証サーバ
１４ 対向装置
１１０、２１０、３１０ 転送制御部
１１１、２１１、３１１ 回線インタフェース
１１３、２１３、３１２ パケット転送処理部
１２０、２２０ 経路制御部
１３０、２３０ ＳＡＭ制御部
１３１ ＴＥＰＡ処理部
１３２、２３１ カプセリング処理部
１３３ ユーザ情報処理部
１３４、２３２ アドレス情報処理部
１４０、２４０ 記憶部
１４１、２４１ ＩＰｖ６ルーティングテーブル
１４２、２４２ ＩＰｖ４ルーティングテーブル
１４３ ＮＡＰＴテーブル
２５０ 記憶部
２５１ 転送設定テーブル
３２０ 認証制御部
３２１ 認証処理部
３２２ ユーザ情報テーブル
４０１、５０１、６０１ ＣＰＵ
４０２、５０２、６０２ メモリ
４１０、５１０、６１０ バス
４１１、５１１、６１１ パケット転送エンジン
４１２、５１２ アドレス情報管理メモリ
４１３ ユーザ情報管理メモリ
【特許請求の範囲】
【請求項１】
サーバは、第１のルータ装置を終点とするトンネル通信が許可された許可端末を識別する許可端末識別子と、前記許可端末の通信で用いられるトンネルの終点アドレスを対応付けて格納し、
前記トンネル通信を要求する要求端末から受信したパケットをカプセル化する第２のルータ装置は、前記要求端末を識別する識別子に対応付けられた終点アドレスを、前記サーバに問い合わせ、
前記サーバは、前記要求端末を識別する識別子に対応付けられた終点アドレスである対象アドレスを検出した場合、前記対象アドレスを前記第２のルータ装置に通知し、
前記第２のルータ装置は、前記対象アドレスに、カプセル化したパケットを送信し、
前記対象アドレスが割り当てられた第１のルータ装置は、前記対象アドレス宛てに受信した受信パケットを前記許可端末のトンネル通信で用いられるパケットであるとみなし、前記受信パケットをデカプセル化してから前記要求端末の通信先に送信する
ことを特徴とする通信方法。
【請求項２】
前記サーバは、前記要求端末を識別する識別子に対応付けられた終点アドレスを格納していない場合、前記要求端末は前記許可端末ではないと判定し、
前記サーバは、判定結果を前記第２のルータ装置に通知し、
前記第２のルータ装置は、前記要求端末から受信したパケットの転送を中止する
ことを特徴とする請求項１に記載の通信方法。
【請求項３】
前記第１のルータ装置を終点とするトンネル通信の終点である第１の終点アドレスと第２の終点アドレスが、前記第１のルータ装置に割り当てられ、
前記サーバは、第１の転送先を経由した通信を許可する第１の許可端末が前記通信先との通信を要求した場合、前記第２のルータ装置に前記第１の終点アドレスを通知し、第２の転送先を経由した通信を許可する第２の許可端末が前記通信先との通信を要求した場合、前記第２のルータ装置に前記第２の終点アドレスを通知し、
前記第１のルータ装置は、前記第１の終点アドレス宛てのパケットをデカプセル化した第１のパケットを前記第１の転送先に送信し、前記第２の終点アドレス宛てのパケットをデカプセル化した第２のパケットを前記第２の転送先に送信する
ことを特徴とする請求項１もしくは２に記載の通信方法。
【請求項４】
前記第２のルータ装置は、第１のプロトコルが用いられるネットワークに接続され、
前記要求端末が前記第１のプロトコルとは異なる第２のプロトコルを使用して生成したパケットを前記ネットワークに転送するとき、前記第２のルータ装置は、前記ネットワークに属する第３のルータ装置から、前記トンネル通信に用いるプレフィックスを取得し、
前記第２のルータ装置は、前記プレフィックスを用いて生成した生成アドレスを用いて前記第１のルータ装置にカプセル化したパケットを送信し、
前記第１のルータ装置は、前記生成アドレスと前記要求端末を識別する識別子を対応付けたテーブルを備えない
ことを特徴とする請求項１〜３のいずれか１項に記載の通信方法。
【請求項５】
第１のルータ装置を終点とするトンネル通信が許可された許可端末を識別する許可端末識別子と、前記許可端末の通信で用いられるトンネルの終点アドレスを対応付けて格納するサーバと、
前記トンネル通信を要求する要求端末を識別する識別子に対応付けられた終点アドレスを、前記サーバに問い合わせて、前記サーバから前記終点アドレスが通知されると、要求端末から受信したパケットをカプセル化するとともに前記終点アドレスに送信する第２のルータ装置と、
前記終点アドレス宛てに受信した受信パケットを前記許可端末のトンネル通信で用いられるパケットであるとみなし、前記受信パケットをデカプセル化してから前記要求端末の通信先に送信する第１のルータ装置、
を備え、
前記サーバは、前記第２のルータ装置からの問い合わせメッセージに含まれている識別子に対応付けられた終点アドレスを検出した場合、前記終点アドレスを前記第２のルータ装置に通知する
ことを特徴とする通信システム。
【請求項１】
サーバは、第１のルータ装置を終点とするトンネル通信が許可された許可端末を識別する許可端末識別子と、前記許可端末の通信で用いられるトンネルの終点アドレスを対応付けて格納し、
前記トンネル通信を要求する要求端末から受信したパケットをカプセル化する第２のルータ装置は、前記要求端末を識別する識別子に対応付けられた終点アドレスを、前記サーバに問い合わせ、
前記サーバは、前記要求端末を識別する識別子に対応付けられた終点アドレスである対象アドレスを検出した場合、前記対象アドレスを前記第２のルータ装置に通知し、
前記第２のルータ装置は、前記対象アドレスに、カプセル化したパケットを送信し、
前記対象アドレスが割り当てられた第１のルータ装置は、前記対象アドレス宛てに受信した受信パケットを前記許可端末のトンネル通信で用いられるパケットであるとみなし、前記受信パケットをデカプセル化してから前記要求端末の通信先に送信する
ことを特徴とする通信方法。
【請求項２】
前記サーバは、前記要求端末を識別する識別子に対応付けられた終点アドレスを格納していない場合、前記要求端末は前記許可端末ではないと判定し、
前記サーバは、判定結果を前記第２のルータ装置に通知し、
前記第２のルータ装置は、前記要求端末から受信したパケットの転送を中止する
ことを特徴とする請求項１に記載の通信方法。
【請求項３】
前記第１のルータ装置を終点とするトンネル通信の終点である第１の終点アドレスと第２の終点アドレスが、前記第１のルータ装置に割り当てられ、
前記サーバは、第１の転送先を経由した通信を許可する第１の許可端末が前記通信先との通信を要求した場合、前記第２のルータ装置に前記第１の終点アドレスを通知し、第２の転送先を経由した通信を許可する第２の許可端末が前記通信先との通信を要求した場合、前記第２のルータ装置に前記第２の終点アドレスを通知し、
前記第１のルータ装置は、前記第１の終点アドレス宛てのパケットをデカプセル化した第１のパケットを前記第１の転送先に送信し、前記第２の終点アドレス宛てのパケットをデカプセル化した第２のパケットを前記第２の転送先に送信する
ことを特徴とする請求項１もしくは２に記載の通信方法。
【請求項４】
前記第２のルータ装置は、第１のプロトコルが用いられるネットワークに接続され、
前記要求端末が前記第１のプロトコルとは異なる第２のプロトコルを使用して生成したパケットを前記ネットワークに転送するとき、前記第２のルータ装置は、前記ネットワークに属する第３のルータ装置から、前記トンネル通信に用いるプレフィックスを取得し、
前記第２のルータ装置は、前記プレフィックスを用いて生成した生成アドレスを用いて前記第１のルータ装置にカプセル化したパケットを送信し、
前記第１のルータ装置は、前記生成アドレスと前記要求端末を識別する識別子を対応付けたテーブルを備えない
ことを特徴とする請求項１〜３のいずれか１項に記載の通信方法。
【請求項５】
第１のルータ装置を終点とするトンネル通信が許可された許可端末を識別する許可端末識別子と、前記許可端末の通信で用いられるトンネルの終点アドレスを対応付けて格納するサーバと、
前記トンネル通信を要求する要求端末を識別する識別子に対応付けられた終点アドレスを、前記サーバに問い合わせて、前記サーバから前記終点アドレスが通知されると、要求端末から受信したパケットをカプセル化するとともに前記終点アドレスに送信する第２のルータ装置と、
前記終点アドレス宛てに受信した受信パケットを前記許可端末のトンネル通信で用いられるパケットであるとみなし、前記受信パケットをデカプセル化してから前記要求端末の通信先に送信する第１のルータ装置、
を備え、
前記サーバは、前記第２のルータ装置からの問い合わせメッセージに含まれている識別子に対応付けられた終点アドレスを検出した場合、前記終点アドレスを前記第２のルータ装置に通知する
ことを特徴とする通信システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１２】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図１１】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１２】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図１１】
【図１３】
【公開番号】特開２０１２−１９１４５３（Ｐ２０１２−１９１４５３Ａ）
【公開日】平成２４年１０月４日（２０１２．１０．４）
【国際特許分類】
【出願番号】特願２０１１−５３５７０（Ｐ２０１１−５３５７０）
【出願日】平成２３年３月１０日（２０１１．３．１０）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２４年１０月４日（２０１２．１０．４）
【国際特許分類】
【出願日】平成２３年３月１０日（２０１１．３．１０）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]