JP2010154097A - 通信制御装置、通信制御方法および通信制御プログラム - Google Patents

Abstract

【課題】パケットを高速に中継することを課題とする。
【解決手段】通信制御装置は、セッションが確立された通信機器（ＵＡ１）と通信機器（ＵＡ２）との間でやり取りされるパケットを送信先に中継するためのアドレス変換情報を示すＮＡＴテーブルを作成し、セッションが確立されたＵＡ１またはＵＡ２との間で交換されるＶＰＮを接続するための仮想通信路情報を受信した場合に、ＮＡＴテーブルに基づいて、受信した仮想通信路情報のアドレス情報を変換して、送信先に中継し、その後、ＶＰＮで接続されたＵＡ１またはＵＡ２から送信されたパケットを受信した場合に、ＮＡＴテーブルに基づいて、受信したパケットのアドレス情報を変換して、送信先に中継する。
【選択図】 図２

Description

この発明は、異なるネットワーク間を相互接続する第一の通信機器および第二の通信機器それぞれとセッションを確立する通信制御装置、通信制御方法および通信制御プログラムに関する。

従来より、ＩＰ（Internet Protocol）電話、テレビ会議、インスタントメッセンジャーなどリアルタイム性が要求される通信が普及するのに伴い、２つ以上のクライアント間でセッションを確立するためのセッション制御プロトコルであるＳＩＰ（Session Initiation Protocol）が利用されている。

また、ＩＰｓｅｃＶＰＮ（Security Architecture for Internet Protocol Virtual Private Network）を動的に設定するプロトコルとして、ＶＰＮ接続するのに必要な鍵情報などを交換することのできるＩＫＥｖ２（Internet Key Exchange version 2）が利用されている。

"Internet Key Exchange（ＩＫＥｖ２）Protocol、RFC4306"、［online］、［平成２０年９月５日検索］、インターネット＜http://www.ietf.org/rfc/rfc4306.txt＞

しかしながら、上記した従来の技術では、第三者による発呼（第三者呼制御）で二者間を中継するＶＰＮの設定を行うことができないという課題があった。具体的には、図１１に示すように、通信制御装置ＵＡ３が、通信機器ＵＡ１と通信機器ＵＡ２とを第三者呼制御によりＶＰＮ接続する例について説明する。

例えば、管理者端末がＵＡ３に対してＵＡ１とＵＡ２とをＶＰＮ接続する要求を出力すると（ステップＳ３０１）、これを受けたＵＡ３は、ＵＡ１とＩＫＥ通信を開始して鍵情報など交換し（ステップＳ３０２とステップＳ３０３）、ＵＡ１との間でＶＰＮコネクションを確立する（ステップＳ３０４）。同様に、ＵＡ３は、ＵＡ２とＩＫＥ通信を開始して鍵情報など交換し（ステップＳ３０５とステップＳ３０６）、ＵＡ２との間でＶＰＮコネクションを確立する（ステップＳ３０７）。

その結果、ＵＡ３は、ＵＡ１との間にＶＰＮ１を確立し、ＵＡ２との間にＶＰＮ２を確立することとなる（ステップＳ３０８とステップＳ３０９）。そして、ＵＡ１から送信されたデータは、ＵＡ３において復号化されてＵＡ２の暗号鍵で再暗号化した後に、ＵＡ２に転送されることとなる。

すなわち、ＵＡ３とＵＡ１、ＵＡ３とＵＡ２は、それぞれ別の暗号鍵を用いてＶＰＮ接続されているので、ＵＡ１からＵＡ２にデータを送信する場合に、ＵＡ１とＵＡ２との両方に接続されるＵＡ３において、ＵＡ１との間の暗号化を一度復号化した後、再度、ＵＡ２に適した暗号化を行った上で、データを送信する必要がある。したがって、上記した従来の技術では、第三者による発呼（第三者呼制御）で二者間を中継することができず、復号化および再暗号化処理を実施する必要がある。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、第三者による発呼で二者間を中継するＶＰＮの設定を行うことが可能である通信制御装置、通信制御方法および通信制御プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、本発明は、異なるネットワーク間を相互接続する第一の通信機器および第二の通信機器それぞれとセッションを確立する通信制御装置であって、前記セッションを確立する際にそれぞれの通信機器から得られたセッション情報に基づいて、前記セッションが確立された第一の通信機器と第二の通信機器との間でやり取りされるパケットを送信先に中継するためのアドレス変換情報を示すネットワークアドレス変換テーブルを作成するテーブル作成手段と、前記セッションが確立された第一の通信機器または第二の通信機器との間で交換される仮想通信路を接続するための仮想通信路情報を受信した場合に、前記テーブル作成手段で作成されるネットワークアドレス変換テーブルに基づいて、受信した仮想通信路情報のアドレス情報を変換して、送信先に中継する通信路情報中継手段と、前記中継手段により仮想通信路情報が中継されて、前記仮想通信路で接続された第一の通信機器または第二の通信機器から送信されたパケットを受信した場合に、前記テーブル作成手段で作成されたネットワークアドレス変換テーブルに基づいて、受信したパケットのアドレス情報を変換して、送信先に中継するパケット中継手段と、を備えたことを特徴とする。

本発明によれば、第三者による発呼で二者間を中継するＶＰＮの設定を行うことが可能である。また、本発明によれば、暗号化されたパケットを高速に中継することが可能である。

以下に添付図面を参照して、この発明に係る通信制御装置、通信制御方法および通信制御プログラムの実施例を詳細に説明する。なお、以下では、本実施例で用いる主要な用語、本実施例に係る通信制御装置の概要、通信制御装置の構成および処理の流れを順に説明し、最後に本実施例に対する種々の変形例を説明する。

［用語の説明］
以下の実施例で用いる「ＶＰＮ（Virtual Private Network）」（特許請求の範囲に記載の「仮想通信路」に対応する）とは、例えば、ＳＩＰ網に接続された２つのＬＡＮ同士を、あたかも専用回線によって接続するかのように接続することを目的として、当該ＳＩＰ網に生成された仮想的な通信路のことである。ＬＡＮに設置された「通信機器（特許請求の範囲に記載の「第一の通信機器」に対応する）」がＶＰＮを生成する機能を備え、２つのＬＡＮを接続する「ＶＰＮ」が生成される。

なお、「第一の通信機器」とは、アドレス変換やデータの載せ換えなどを行うことにより異なるネットワーク間を相互接続するゲートウェイ装置やＨＧＷ（ホームゲートウェイ）のことであり、インターネットとＬＡＮの間に配置され、ホームルータ、プロトコル変換、ファイアウォールなどの機能や放送受信機能などのセットトップボックスを備える。

また、「第一の通信機器」は、ＳＩＰによって確立されたセッションを用いて「ＶＰＮ」を生成する際、通信相手となる「第二の通信機器」のＩＰ（Internet Protocol）アドレスやポート番号を取得し、取得したこれらの情報を用いて通信相手となる「第二の通信機器」とネゴシエーションしなければならない。このため、「第一の通信機器」は、通信相手となる「第二の通信機器」から、ＳＤＰ（Session Description Protocol）と呼ばれる記述言語によってＩＰアドレスやポート番号が記述されたＳＩＰによる呼を受け付け、これらの情報を取得する。そして、「第一の通信機器」は、取得したこれらの情報を用いて、通信相手となる「第二の通信機器」との間でＩＫＥ（Internet Key Exchange）などによる相互認証を行い、相互認証で交換した暗号鍵を用いてデータを暗号化するなどすることで、通信相手となる「第二の通信機器」との間で、ＩＰＳｅｃ（Security Architecture for Internet Protocol）接続を確立する。こうして、２つの「通信機器」間に「ＶＰＮ」が生成されるのである。「ＶＰＮ」が生成されれば、２つの家庭ＬＡＮ同士で、ＶＰＮ越しにＩＰベースのアプリケーションを利用することができ、例えば、情報家電などを使ったコンテンツ共有などを実現することができる。

なお、ＩＫＥなどによる相互認証において、通信相手を認可するか否かの判断には、上記したように、ＩＰアドレスを用いることもできるが、網の構成によって認証強度が劣ってしまうおそれがある。そこで、ＩＰアドレスではなく、電話番号を用いることで、相互認証を行ってもよい。

なお、本実施例では、「通信機器」同士のセッションをＳＩＰによって確立した例について説明するが、ＳＩＰによる確立手法に限定されるものではなく、コネクション確立型のプロトコルであれば、どのようなプロトコルを用いてセッションを確立してもよい。また、上記したＬＡＮとは、家庭内ＬＡＮや企業内ＬＡＮなどのような閉域網であれば、どのようなＬＡＮであってもよい。

［通信制御装置の概要］
次に、図１を用いて、実施例１に係る通信制御装置の概要を説明する。図１は、実施例１に係る通信制御装置を含む通信システムの全体構成を示す図である。

図１に示すように、この通信システムは、ＳＩＰ網に接続される通信制御装置と、ＬＡＮ（Ａ）に接続される通信機器（ＵＡ１）と、ＬＡＮ（Ｂ）に接続される通信機器（ＵＡ２）とを有する。そして、通信制御装置には、ＩＰアドレス「ＩＰ３」が設定されており、通信機器（ＵＡ１）には、ＩＰアドレス「ＩＰ１」が設定されており、通信機器（ＵＡ２）には、ＩＰアドレス「ＩＰ２」が設定されている。

また、ＬＡＮ（Ａ）には、ＰＣや情報家電（例えば、ＷｅｂＴＶやハードディスクレコーダーなど）を示す「機器Ａ」が接続されており、ＬＡＮ（Ｂ）には、同様に、「機器Ｂ」が接続されている。なお、それぞれのＬＡＮ内における機器同士の相互接続は、ＩＰやＤＬＮＡ（Digital Living Network Alliance）、ＵＰｎＰ（Universal Plug and Play）などのプロトコルにより行われている。

このような状態において、実施例１に係る通信制御装置は、異なるネットワーク間を相互接続する通信機器（ＵＡ１）および通信機器（ＵＡ２）とのそれぞれとセッション確立して、通信機器（ＵＡ１）と通信機器（ＵＡ２）との間でやり取りされるパケットを中継することを概要とするものであり、特に、どのようなパケットであっても高速に中継することができる。

具体的には、通信制御装置は、ユーザなどによりＵＡ１とＵＡ２との接続が指示されると、ＵＡ１とＵＡ２とのそれぞれとＳＩＰの「ＩＮＶＩＴＥメッセージ」と「２００ ＯＫメッセージ」とをやり取りして、ＵＡ１およびＵＡ２のそれぞれとＳＩＰによるセッションを確立する（図１の（１）参照）。

そして、通信制御装置は、ＳＩＰによるセッションを確立する際にやり取りした「ＩＮＶＩＴＥメッセージ」および「２００ ＯＫメッセージ」のそれぞれに含まれるＳＤＰで記述されたセッション情報（アドレス情報）を取得して、ネットワークアドレス変換テーブル（ＮＡＴテーブル）を作成する（図１の（２）参照）。

具体的に例を挙げると、通信制御装置は、ＵＡ１とのやり取りにおいてＵＡ１のＩＰアドレス「ＩＰ１」を取得し、ＵＡ２とのやり取りにおいてＵＡ２のＩＰアドレス「ＩＰ２」を取得する。続いて、通信制御装置は、別々に接続した「ＵＡ１とのセッション」と「ＵＡ２とのセッション」とを一つのセッションとして、ＵＡ１から送信されたパケットをＵＡ２に中継し、ＵＡ２から送信されたパケットをＵＡ１に中継するために、『受信したパケットのアドレス情報を示す「ｉｎ」』と『送信先となるアドレス情報を示す「ｏｕｔ」』とを対応付けたＮＡＴテーブルを作成する。例えば、通信制御装置は、「ｉｎ、ｏｕｔ」として「（ｓｒｃ：ＩＰ１、ｄｓｔ：ＩＰ３）、（ｓｒｃ：ＩＰ３、ｄｓｔ：ＩＰ２）」や「（ｓｒｃ：ＩＰ２、ｄｓｔ：ＩＰ３）、（ｓｒｃ：ＩＰ３、ｄｓｔ：ＩＰ１）」などと記憶されるＮＡＴテーブルを作成する。

続いて、通信制御装置は、セッションが確立されたＵＡ１またはＵＡ２から、仮想通信路（ＶＰＮ）を接続するために仮想通信路情報（ＶＰＮ認証や鍵交換（ＩＫＥ）パケット）を受信した場合に、作成されたＮＡＴテーブルに基づいて、受信した情報を送信先に中継する（図１の（３）参照）。具体的に例を挙げると、通信制御装置は、ＩＫＥによる認証および鍵交換のパケットをＵＡ１から受信した場合には、作成したＮＡＴテーブルに従って、当該パケットをＵＡ２に転送し、同様のパケットをＵＡ２から受信した場合には、作成したＮＡＴテーブルに従って、当該パケットをＵＡ１に転送する。このようにして、ＶＰＮ認証および鍵交換が実施されることで、ＵＡ１とＵＡ２とがＶＰＮで接続される。

その後、通信制御装置は、ＶＰＮで接続された通信機器（ＵＡ1）または通信機器（ＵＡ２）から送信されたパケットを受信した場合に、作成されたＮＡＴテーブルに基づいて、受信したパケットのアドレス情報を変換して、送信先に中継する（図１の（４）参照）。具体的には、通信制御装置は、ＵＡ１からパケットを受信した場合に、当該パケットの送信元（ｓｒｃ）と送信先（ｄｓｔ）とをＮＡＴテーブルに基づいて変換して、ＵＡ２に転送する。同様に、ＵＡ２からパケットを受信した場合に、当該パケットの送信元（ｓｒｃ）と送信先（ｄｓｔ）とをＮＡＴテーブルに基づいて変換して、ＵＡ１に転送する。

このように、実施例１に係る通信制御装置は、別々に確立されたセッション間であっても、セッションを確立する際に取得したセッション情報から作成したＮＡＴテーブルに基づいて、セッション間に流れるパケットのアドレス情報を変換するだけで、あたかも一つのセッションのように、パケット転送（中継）を行うことができる結果、どのようなパケットであっても高速に中継することができる。

［通信制御装置の構成］
次に、図２を用いて、図１に示した通信制御装置の構成を説明する。図２は、実施例１に係る通信制御装置の構成を示すブロック図である。図２に示すように、この通信制御装置１０は、通信制御Ｉ／Ｆ部１１と、無線通信Ｉ／Ｆ部１２と、記憶部２０と、制御部３０とから構成される。

かかる通信制御Ｉ／Ｆ部１１は、ＳＩＰ網を介して他の装置との間でやり取りする各種情報に関する通信を制御する。具体的には、通信制御Ｉ／Ｆ部１１は、制御部３０の接続要求受信部３１と接続され、セッションを確立するためのＳＩＰメッセージや、ＶＰＮ認証、ＩＫＥネゴシエーションパケットなどのように通信機器（ＵＡ１）と通信機器（ＵＡ２）の間でやり取りされる各種パケットを受信したりする。

無線通信Ｉ／Ｆ部１２は、無線通信を用いて他の装置との間でやり取りする各種情報を制御する。具体的には、無線通信Ｉ／Ｆ部１２は、制御部３０の接続要求受信部３１と接続され、電子メール機能やメッセンジャー機能を有し、携帯電話などとの間でやり取りする各種情報を制御する。

記憶部２０は、制御部３０による各種処理に必要なデータおよびプログラム、ルーティング情報を格納するとともに、ＮＡＴテーブル２１を有する。

ＮＡＴテーブル２１は、セッションが確立されたＵＡ１とＵＡ２との間でやり取りされるパケットを送信先に中継するためのアドレス変換情報を記憶する。具体的には、ＮＡＴテーブル２１は、『受信したパケットのアドレス情報を示す「ｉｎ」』と『送信先となるアドレス情報を示す「ｏｕｔ」』とを対応付けたネットワークアドレス変換情報を記憶する。例えば、ＮＡＴテーブル２１は、図３に示すように、「ｉｎ、ｏｕｔ」として「（ｓｒｃ：ＩＰ１、ｄｓｔ：ＩＰ３）、（ｓｒｃ：ＩＰ３、ｄｓｔ：ＩＰ２）」や「（ｓｒｃ：ＩＰ２、ｄｓｔ：ＩＰ３）、（ｓｒｃ：ＩＰ３、ｄｓｔ：ＩＰ１）」などと記憶する。なお、図３は、ＮＡＴテーブルに記憶される情報の例を示す図である。

制御部３０は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、接続要求受信部３１と、セッション確立部３２と、テーブル作成部３３と、ＶＰＮ情報中継部３４と、パケット中継部３５とを有し、これらによって種々の処理を実行する。

接続要求受信部３１は、セッションを確立する装置が指定されたセッション確立要求を受信する。具体的には、接続要求受信部３１は、通信制御Ｉ／Ｆ部１１を介して、通信制御装置１０の管理者端末などから受け付けたセッション確立要求や、無線通信Ｉ／Ｆ部１２を介して、携帯電話の無線通信（例えば、電子メールなど）により受け付けたセッション確立要求を受け付けて、後述するセッション確立部３２にセッション確立指示および確立先装置情報を出力する。

ここで、受け付けられるセッション確立要求とは、セッションを確立する指示と確立先の装置を特定する情報であり、例えば、「装置名（ホスト名）、ＩＰアドレス」として「ＵＡ１、ＩＰ１」や「ＵＡ２、ＩＰ２」などの情報である。したがって、接続要求受信部３１は、セッション確立指示および確立先装置情報として、上記した「ＵＡ１、ＩＰ１」や「ＵＡ２、ＩＰ２」をセッション確立部３２に出力する。なお、ここでは、必ずしも「装置名（ホスト名）、ＩＰアドレス」である必要はなく、例えば、「装置名（ホスト名）、電話番号」などにように、装置を特定して通信できる情報であれば、どのような情報であってもよい。

セッション確立部３２は、接続要求受信部３１から受け付けた確立先装置情報に基づいて、セッションを確立する。具体的には、セッション確立部３２は、接続要求受信部３１から受け付けた確立先装置に対してＳＩＰの「ＩＮＶＩＴＥメッセージ」を送信して「２００ ＯＫメッセージ」を受信し、「ＡＣＫ」を応答することにより、ＳＩＰセッションを確立する。

例えば、セッション確立部３２は、確立先装置情報として「ＵＡ１、ＩＰ１」、「ＵＡ２、ＩＰ２」を受け付けた場合、ＩＰアドレス「ＩＰ１」に対して、自装置のＩＰアドレス「ＩＰ３」がＳＤＰで記述された情報を含む「ＩＮＶＩＴＥメッセージ」を送信する。そして、セッション確立部３２は、ＵＡ１のＩＰアドレス「ＩＰ１」がＳＤＰで記述された情報を含む「２００ ＯＫメッセージ」をＵＡ１から受信すると、ＵＡ１に対して「ＡＣＫ」を応答する。このようにすることで、セッション確立部３２は、接続要求受信部３１により受け付けられたセッション確立先である「ＵＡ１」との間をセッションで確立することができる。

そして、セッション確立部３２は、「ＵＡ２」に対しても同様に、ＩＰアドレス「ＩＰ２」に対して、自装置のＩＰアドレス「ＩＰ３」を含む「ＩＮＶＩＴＥメッセージ」を送信し、ＵＡ２のＩＰアドレス「ＩＰ２」を含む「２００ ＯＫメッセージ」をＵＡ２から受信して、ＵＡ２に対して「ＡＣＫ」を応答する。このようにすることで、セッション確立部３２は、「ＵＡ２」との間をセッションで確立することができる。

テーブル作成部３３は、セッションを確立する際にそれぞれの通信機器から得られたセッション情報に基づいて、ＮＡＴテーブル２１を作成する。具体的には、テーブル作成部３３は、セッション確立部３２により送受信された「ＩＮＶＩＴＥメッセージ」や「２００ ＯＫメッセージ」に含まれるＳＤＰで記述された「ＩＰアドレス」を取得し、取得した「ＩＰアドレス」を用いて、受信したパケットのアドレス情報を変換して、出力するためのＮＡＴテーブル２１（図３参照）を作成する。

例えば、テーブル作成部３３は、セッション確立部３２によりＵＡ１に送信された「ＩＮＶＩＴＥメッセージ」からＩＰアドレス「ＩＰ３」、ＵＡ１から受信した「２００ ＯＫメッセージ」からＩＰアドレス「ＩＰ１」を取得する。同様に、テーブル作成部３３は、セッション確立部３２によりＵＡ２に送信された「ＩＮＶＩＴＥメッセージ」からＩＰアドレス「ＩＰ３」、ＵＡ２から受信した「２００ ＯＫメッセージ」からＩＰアドレス「ＩＰ２」を取得する。

そして、テーブル作成部３３は、「ＩＰ１」のＵＡ１から「ＩＰ３」の通信制御装置１０に送信（ｉｎ）されたパケットを、「ＩＰ２」のＵＡ２に中継（ｏｕｔ）するためのＮＡＴテーブル２１（図３参照）を作成する。同様に、テーブル作成部３３は、「ＩＰ２」のＵＡ２から「ＩＰ３」の通信制御装置１０に送信されたパケットを、「ＩＰ１」のＵＡ１に中継するＮＡＴテーブル２１を作成する。

ＶＰＮ情報中継部３４は、セッションが確立された第一の通信機器または第二の通信機器から、ＶＰＮを接続するための情報を示す通信路情報を受信した場合に、テーブル作成部３３により作成されたＮＡＴテーブル２１に基づいて、受信した通信路情報を送信先に中継する。具体的には、ＶＰＮ情報中継部３４は、セッション確立部３２によりセッションが確立され、テーブル作成部３３によりＮＡＴテーブル２１が作成された通信機器（ＵＡ１）から通信機器（ＵＡ２）に対して送信されたＶＰＮ認証のパケットやＩＫＥネゴシエーションのパケットを受信し、受信したパケットのＩＰヘッダをＮＡＴテーブル２１に基づいて変換してＵＡ２に中継する。同様に、ＶＰＮ情報中継部３４は、通信機器（ＵＡ２）から通信機器（ＵＡ１）に対して送信されたＶＰＮ認証のパケットやＩＫＥネゴシエーションのパケットを受信し、受信したパケットのＩＰヘッダをＮＡＴテーブル２１に基づいて変換してＵＡ１に中継する。

このように、通信制御装置１０−ＵＡ１間、通信制御装置１０−ＵＡ２間などのように、別々に接続されたセッションであっても、通信制御装置１０が受信したパケットのＩＰヘッダを変換して中継することにより、ＵＡ１とＵＳ２との間で、ＶＰＮ認証およびＩＫＥネゴシエーションを実施することができる。その結果、通信制御装置１０−ＵＡ１間、通信制御装置１０−ＵＡ２間それぞれにおいて、ＶＰＮ接続を確立することができる。

パケット中継部３５は、ＶＰＮで接続された通信機器から送信されたパケットを受信した場合に、テーブル作成部３３により作成されたＮＡＴテーブル２１に基づいて、受信したパケットのアドレス情報を変換して、送信先に中継する。

例えば、ＵＡ１から送信されたパケットのＩＰヘッダは、送信元が「ＩＰ１」、送信先が「ＩＰ３」となっている。そのため、パケット中継部３５は、図３に示したＮＡＴテーブル２１に基づいて、ＵＡ１から受信したパケットにおけるＩＰヘッダの送信元を「ＩＰ１」から「ＩＰ３」、送信先を「ＩＰ３」から「ＩＰ２」にそれぞれ変換してＵＡ２に転送する。同様に、ＵＡ２から送信されたパケットでは、送信元が「ＩＰ２」、送信先が「ＩＰ３」となっている。そのため、パケット中継部３５は、図３に示したＮＡＴテーブル２１に基づいて、ＵＡ２から受信したパケットにおけるＩＰヘッダの送信元を「ＩＰ２」から「ＩＰ３」、送信先を「ＩＰ３」から「ＩＰ１」にそれぞれ変換してＵＡ１に転送する。

［通信制御装置による処理］
次に、図４を用いて、通信制御装置による処理を説明する。図４は、実施例１に係る通信制御装置における処理の流れを示すシーケンス図である。

図４に示すように、通信制御装置１０は、管理者などの端末からセッション接続先を示す接続要求（ＵＡ１、ＵＡ２）を受け付けると（ステップＳ１０１）、ＳＤＰで「ＩＰ３」が記述された「ＩＮＶＩＴＥ（ＳＤＰ ｃ＝ＩＰ３）メッセージ」をＵＡ１に送信して（ステップＳ１０２）、当該メッセージの応答として、ＳＤＰで「ＩＰ１」が記述された「２００ ＯＫ（ＳＤＰ ｃ＝ＩＰ１）メッセージ」をＵＡ１から受信する（ステップＳ１０３）。

なお、上記した「ＩＮＶＩＴＥ」や「２００ ＯＫ」に含まれる「ｃ＝」とは、使用するＩＰアドレスを示しており、例えば、ステップＳ１０２の「ＩＮＶＩＴＥ（ＳＤＰ ｃ＝ＩＰ３）メッセージ」では、ＩＰアドレス「ＩＰ３」を使用することが定義されている。

続いて、通信制御装置１０は、ＳＤＰで「ＩＰ３」が記述された「ＩＮＶＩＴＥ（ＳＤＰ ｃ＝ＩＰ３）メッセージ」をＵＡ２に送信して（ステップＳ１０４）、当該メッセージの応答として、ＳＤＰで「ＩＰ２」が記述された「２００ ＯＫ（ＳＤＰ ｃ＝ＩＰ２）メッセージ」をＵＡ２から受信する（ステップＳ１０５）。

このようにして、通信制御装置１０は、接続要求に示された「ＵＡ１」、「ＵＡ２」のそれぞれと「ＩＮＶＩＴＥメッセージ」および「２００ ＯＫメッセージ」をやり取りすると、それぞれに対して「ＡＣＫ」を送信する（ステップＳ１０６とステップＳ１０７）。その結果、通信制御装置１０とＵＡ１の間、通信制御装置１０とＵＡ２の間それぞれにセッションが確立される。

その後、通信制御装置１０は、ＵＡ１、ＵＡ２とのセッションを確立する際のＩＮＶＩＴＥメッセージ」および「２００ ＯＫメッセージ」に含まれている「ＳＤＰ、ｃ＝ＩＰアドレス」を取得して、取得した情報に基づいて、ＮＡＴテーブル２１を作成する（ステップＳ１０８）。

続いて、通信制御装置１０は、セッションが確立されたＵＡ１とＵＡ２との間において、ＶＰＮを接続するための情報を示すＶＰＮ認証や鍵交換（ＩＫＥ）パケットを受信した場合に、ステップＳ１０８で作成したＮＡＴテーブル２１に基づいて、受信したパケットのＩＰヘッダを書き換えて送信先に中継する（ステップＳ１０９）。

その結果、ＵＡ１およびＵＡ２は、通信制御装置１０との間にＶＰＮのコネクションを生成することにより、通信制御装置１０−ＵＡ１間、通信制御装置１０−ＵＡ２間それぞれにおいて、ＶＰＮ接続を確立することができる（ステップＳ１１０とステップＳ１１１）。

その後、通信制御装置１０は、ＶＰＮで接続されたＵＡ１またはＵＡ２から送信されたパケットを受信した場合に、ステップＳ１０８で作成したＮＡＴテーブル２１に基づいて、受信したパケットのアドレス情報を変換して、送信先に中継する（ステップＳ１１２）。このようにして、各ＬＡＮ内機器同士のＩＰによる通信が可能となる。

ここで、図５を用いて、ＶＰＮ接続後のパケットの様子を具体的に説明する。図５は、ＶＰＮ接続後のパケットにおけるＩＰヘッダの状態遷移を示す図である。

図５の（１）に示すように、ＩＰアドレス「ＩＰａ」であるＬＡＮ（Ａ）内の機器（Ａ）は、ＩＰアドレス「ＩＰｂ」であるＬＡＮ（Ｂ）内の機器（Ｂ）に対して、データにＩＰヘッダ「Ｆｒｏｍ＝ＩＰａ、ｔｏ＝ＩＰｂ」を付加したパケットを送信する。なお、ＩＰヘッダの「Ｆｒｏｍ」は、送信元のＩＰアドレスを示し、「ｔｏ」は、送信先（宛先）のＩＰアドレスを示す。

すると、ＬＡＮ（Ａ）と外部ネットワークとの境界に位置するＵＡ１は、図５の（２）に示すように、このパケットを受信し、受信したパケットをカプセリングしてＶＰＮパケットを生成するとともに、「Ｆｒｏｍ＝ＩＰ１、ｔｏ＝ＩＰ３」である新たなＩＰヘッダをＶＰＮパケットに付加して、通信制御装置１０に送信する。

続いて、通信制御装置１０は、受信したＶＰＮパケットに付加されている新たなＩＰヘッダ「Ｆｒｏｍ＝ＩＰ１、ｔｏ＝ＩＰ３」を、ＮＡＴテーブル２１に基づいて、「Ｆｒｏｍ＝ＩＰ３、ｔｏ＝ＩＰ２」に変換して、ＵＡ２に送信する。

そして、ＵＡ２では、図５の（４）に示すように、受信したパケット（ＶＰＮパケット＋ＩＰヘッダ）のカプセリングを解いて、データのあて先が「ＩＰｂ」であることを認識して、受信したデータをＬＡＮ（Ｂ）の機器（Ｂ）に出力する。そうすることにより、機器（Ｂ）は、図５の（５）に示すように、機器（Ａ）から送信されたデータを受信することとなる。

［実施例１による効果］
このように、実施例１によれば、セッションを確立する際にそれぞれの通信機器から得られたセッション情報に基づいて、セッションが確立されたＵＡ１とＵＡ２との間でやり取りされるパケットを送信先に中継するためのアドレス変換情報を示すＮＡＴテーブルを作成し、セッションが確立されたＵＡ１またはＵＡ２との間で交換されるＶＰＮを接続するための仮想通信路情報（ＶＰＮ認証、ＩＫＥ）を受信した場合に、ＮＡＴテーブルに基づいて、受信した仮想通信路情報のアドレス情報を変換して、送信先に中継し、仮想通信路情報が中継されて、ＶＰＮで接続されたＵＡ１またはＵＡ２から送信されたパケットを受信した場合に、ＮＡＴテーブルに基づいて、受信したパケットのアドレス情報を変換して、送信先に中継することができので、ＩＰｓｅｃのパケットをＯＳレベルで中継することができる。その結果、どのようなパケットであっても高速に中継することができる。

また、ＮＡＴ機能のみでパケット中継を行うことができる結果、ＶＰＮパケットの復号化や再暗号化などの行う必要が無く、処理負荷を軽減することができ、より高速にパケット中継を行うことができる。また、アプリケーションには、ＮＡＴを設定するだけでよく、パケットの復号化や再暗号化などの処理が不要であるため、通信制御装置としての実装が容易である。

さらに、セッションを確立する通信機器が予めわかっていない場合であっても、つまり、不特定な通信機器同士のセッションを確立する場合であっても、セッション確立段階でやり取りされるＳＩＰメッセージからセッション情報を取得して、ＮＡＴテーブルを作成することができる。

ところで、実施例１では、セッションを確立する際にそれぞれの通信機器から得られたセッション情報に基づいて、ＩＰアドレスを対応付けたＮＡＴテーブルを作成する例について説明したが、本発明はこれに限定されるものではなく、使用するポート番号さらに対応付けたＮＡＰＴ（Network Address Port Translation）テーブルを作成するようにしてもよい。

そこで、実施例２では、図６〜図８を用いて、セッションを確立する際にそれぞれの通信機器から得られたセッション情報に基づいて、ＩＰアドレスとポート番号とを対応付けたＮＡＰＴテーブルを作成する例について説明する。

図６は、実施例２に係る通信制御装置における処理の流れを示すシーケンス図である。図６に示すように、通信制御装置１０は、管理者などの端末からセッション接続先を示す接続要求（ＵＡ１、ＵＡ２）を受け付けると（ステップＳ２０１）、ＳＤＰでＩＰアドレスと使用ポート番号とが記述された「ＩＮＶＩＴＥ（ＳＤＰ ｃ＝ＩＰ３、ｍ＝ｐ３−１）メッセージ」をＵＡ１に送信する（ステップＳ２０２）。

続いて、通信制御装置１０は、送信した「ＩＮＶＩＴＥメッセージ」の応答として、ＳＤＰでＩＰアドレスと使用ポートが記述された「２００ ＯＫ（ＳＤＰ ｃ＝ＩＰ１、ｍ=ｐ１）メッセージ」をＵＡ１から受信する（ステップＳ２０３）。

ＵＡ２に対しても同様に、通信制御装置１０は、ＳＤＰでＩＰアドレスと使用ポート番号とが記述された「ＩＮＶＩＴＥ（ＳＤＰ ｃ＝ＩＰ３、ｍ＝ｐ３−２）メッセージ」をＵＡ２に送信し（ステップＳ２０４）、送信した「ＩＮＶＩＴＥメッセージ」の応答として、ＳＤＰでＩＰアドレスと使用ポートが記述された「２００ ＯＫ（ＳＤＰ ｃ＝ＩＰ２、ｍ＝ｐ２）メッセージ」をＵＡ２から受信する（ステップＳ２０５）。

このようにして、通信制御装置１０は、接続要求に示された「ＵＡ１」、「ＵＡ２」のそれぞれと「ＩＮＶＩＴＥメッセージ」および「２００ ＯＫメッセージ」をやり取りすると、それぞれに対して「ＡＣＫ」を送信する（ステップＳ２０６とステップＳ２０７）。その結果、通信制御装置１０とＵＡ１の間、通信制御装置１０とＵＳ２の間それぞれにセッションが確立される。

なお、上記した「ＩＮＶＩＴＥ」や「２００ ＯＫ」に含まれる「ｃ＝」とは、使用するＩＰアドレスを示しており、「ｍ＝」とは、使用するポート番号を示しており、ＵＡ１、ＵＡ２、通信制御装置１０は、空いているポートを自動的に選択して使用する。例えば、ステップＳ２０１における「ＩＮＶＩＴＥ（ＳＤＰ ｃ＝ＩＰ３、ｍ＝ｐ３−１）メッセージ」では、通信制御装置１０からＵＡ１への通信に「ＩＰアドレス＝ＩＰ３」、「ポート番号＝ｐ３−１」を使用することが定義されている。同様に、ステップＳ２０３における「２００ ＯＫ（ＳＤＰ ｃ＝ＩＰ１、ｍ＝ｐ１）メッセージ」では、ＵＡ１から通信制御装置１０への通信に「ＩＰアドレス＝ＩＰ１」、「ポート番号＝ｐ１」を使用することが定義されている。

図６に戻り、通信制御装置１０は、セッションを確立する際にそれぞれの通信機器から得られたセッション情報に基づいて、ＩＰアドレスとポート番号とを対応付けたＮＡＰＴテーブルを作成する（ステップＳ２０８）。

具体的には、通信制御装置１０は、ステップＳ２０２〜ステップＳ２０５でやり取りされた「ＩＮＶＩＴＥメッセージ」や「２００ ＯＫメッセージ」に含まれるＳＤＰで記述された「ＩＰアドレス」と「ポート番号」とを取得して、受信したパケットのアドレス情報を変換するための、『受信したパケットのアドレス情報を示す「ｉｎ」』と『送信先となるアドレス情報を示す「ｏｕｔ」』とを対応付けたＮＡＰＴテーブルを作成する。例えば、通信制御装置１０は、図７に示すように、「ｉｎ、ｏｕｔ」として「（ｓｒｃ：ＩＰ１ ｐｏｒｔ＝ｐ１、ｄｓｔ：ＩＰ３ ｐｏｒｔ＝ｐ３−１）、（ｓｒｃ：ＩＰ３ ｐｏｒｔ=ｐ３−２、ｄｓｔ：ＩＰ２ ｐｏｒｔ=ｐ２）」や「（ｓｒｃ：ＩＰ２ ｐｏｒｔ=ｐ２、ｄｓｔ：ＩＰ３ ｐｏｒｔ=ｐ３−２）、（ｓｒｃ：ＩＰ３ ｐｏｒｔ=ｐ３−１、ｄｓｔ：ＩＰ１ ｐｏｒｔ=ｐ１）」などと記憶する。なお、図７は、ＮＡＰＴテーブルに記憶される情報の例を示す図である。

続いて、通信制御装置１０は、セッションが確立されたＵＡ１とＵＡ２との間において、ＶＰＮを接続するための情報を示すＶＰＮ認証や鍵交換（ＩＫＥ）パケットを受信した場合に、ステップＳ１０８で作成したＮＡＰＴテーブルに基づいて、使用するポートを特定し、受信したパケットのＩＰヘッダを書き換えて送信先に中継する（ステップＳ２０９）。

その結果、ＵＡ１およびＵＡ２は、通信制御装置１０との間にＶＰＮのコネクションを生成し、さらに、ＶＰＮで使用するポートを設定することにより、通信制御装置１０−ＵＡ１、通信制御装置１０−ＵＡ２それぞれにおいて、ＶＰＮ接続を確立することができる（ステップＳ２１０とステップＳ２１１）。

その後、通信制御装置１０は、ＶＰＮで接続されたＵＡ１またはＵＡ２から送信されたパケットを受信した場合に、ステップＳ２０８で作成したＮＡＰＴテーブルに基づいて、受信したパケットのアドレス情報を変換して、特定されるポート番号を用いて送信先に中継する（ステップＳ２１２）。このようにして、各ＬＡＮ内機器同士のＩＰによる通信が可能となる。

ここで、図８を用いて、ＶＰＮ接続後のパケットの様子を具体的に説明する。図８は、実施例２におけるＶＰＮ接続後のパケットにおけるＩＰヘッダの状態遷移を示す図である。

図８の（１）に示すように、ＩＰアドレス「ＩＰａ」であるＬＡＮ（Ａ）内の機器（Ａ）は、ＩＰアドレス「ＩＰｂ」であるＬＡＮ（Ｂ）内の機器（Ｂ）に対して、データにＩＰヘッダ「Ｆｒｏｍ＝ＩＰａ、ｔｏ＝ＩＰｂ」を付加したパケットを送信する。なお、ＩＰヘッダの「Ｆｒｏｍ」は、送信元のＩＰアドレスを示し、「ｔｏ」は、送信先（宛先）のＩＰアドレスを示す。

すると、ＬＡＮ（Ａ）と外部ネットワークとの境界に位置するＵＡ１は、図８の（２）に示すように、このパケットを受信し、受信したパケットをカプセリングしてＶＰＮパケットを生成するとともに、使用するポート番号「Ｆｒｏｍ＝ｐ１、ｔｏ＝ｐ３−１」を指定するＵＤＰヘッダと、「Ｆｒｏｍ＝ＩＰ１、ｔｏ＝ＩＰ３」である新たなＩＰヘッダとをＶＰＮパケットに付加して、通信制御装置１０に送信する。なお、ＵＤＰヘッダの「Ｆｒｏｍ」は、送信元のポート番号を示し、「ｔｏ」は、送信先（宛先）のポート番号を示す。

続いて、通信制御装置１０は、図８の（３）に示すように、受信したＶＰＮパケットに付加されているＵＤＰヘッダ「Ｆｒｏｍ＝ｐ１、ｔｏ＝ｐ３−１」を、ＮＡＰＴテーブルに基づいて、「Ｆｒｏｍ＝ｐ３−２、ｔｏ＝ｐ１」に変換するとともに、受信したＶＰＮパケットに付加されている新たなＩＰヘッダ「Ｆｒｏｍ＝ＩＰ１、ｔｏ＝ＩＰ３」を、ＮＡＰＴテーブルに基づいて、「Ｆｒｏｍ＝ＩＰ３、ｔｏ＝ＩＰ２」に変換して、ＵＡ２に送信する。

そして、ＵＡ２では、図８の（４）に示すように、受信したパケット（ＶＰＮパケット＋ＩＰヘッダ）のカプセリングを解いて、データのあて先が「ＩＰｂ」であることを認識して、受信したデータをＬＡＮ（Ｂ）の機器（Ｂ）に出力する。そうすることにより、機器（Ｂ）は、図８の（５）に示すように、機器（Ａ）から送信されたデータを受信することとなる。

このように、実施例２によれば、セッションを確立する際にそれぞれの通信機器から得られたセッション情報およびポート番号に基づいて、ＮＡＰＴテーブルを作成し、仮想通信路情報を受信した場合に、ＮＡＰＴテーブルに基づいて、受信した仮想通信路情報のアドレス情報を変換して、特定されたポート番号を用いて送信先に中継し、ＶＰＮで接続されたＵＡ１またはＵＡ２から送信されたパケットを受信した場合に、ＮＡＰＴテーブルに基づいて、受信したパケットのアドレス情報を変換して、特定されたポート番号を用いて送信先に中継することができる。その結果、１台の通信機器が複数のポートを使用することができ、複数のセッションを同時に接続することができるので、１対多や多対多の接続が可能となる。

ところで、本願が開示する通信制御装置は、単なるゲートウェイ装置としてだけでなく、様々なサービス形態に適用することができる。そこで、実施例３では、実施例１や実施例２で説明した本願が開示する通信制御装置を適用したサービス例について説明する。

（ＳａａＳポータルシステム）
まず、図９を用いて、本願が開示する通信制御装置をＳａａＳ（Software as a Service）ポータルに適用した例について説明する。図９は、ＳａａＳポータルシステムに適用した例を示す図である。

図９に示すように、このＳａａＳポータルシステムは、ソフトウエアを利用する利用者端末と、ソフトウエアをインターネットを介して提供する複数のＳａａＳ事業者と、利用者端末とＳａａＳ事業者とを接続するＳａａＳポータルとがＳＩＰ網を介して相互に接続されている。なお、本願か開示する通信制御装置は、ＳａａＳポータルに適用されている。

このような構成において、利用者は、利用者端末を用いてＳａａＳポータルに接続し、所望のソフトウエアを検索する（図９の（１）参照）。その後、所望のソフトウエアが検索できた利用者は、ＳａａＳポータルに対して、所望のソフトウエアを提供するＳａａＳ事業者との接続要求を送信し、ＳａａＳポータルは、指定されたＳａａＳ事業者と利用者端末とに対して、ＳＩＰによる接続要求（セッション確立要求）を送信する（図９の（２）参照）。

そして、ＳａａＳポータルは、指定されたＳａａＳ事業者と利用者端末とのそれぞれとの間で、実施例１などで説明した「ＩＮＶＩＴＥ」や「２００ ＯＫ」などをやり取りして、利用者端末のＩＰアドレスとＳａａＳ事業者のＩＰアドレスとを取得し、ＮＡＴテーブル（またはＮＡＰＴテーブル）を作成する（図９の（３）参照）。もっとも、ＮＡＴテーブルではなく、実施例２と同様の手法を用いることにより、ＮＡＰＴテーブルを作成することもできる。

続いて、ＳａａＳポータルは、利用者端末またはＳａａＳ事業者主導で実施されるＶＰＮ認証やＩＫＥネゴシエーションに関するパケットを受信した場合に、作成したＮＡＴテーブルに基づいて、パケット中継を行うことにより、利用者端末とＳａａＳ事業者とがＳａａＳポータルを介したＶＰＮで接続される（図９の（４）参照）。

その後、ＳａａＳポータルは、利用者端末とＳａａＳ事業者とがＶＰＮを介してやり取りするパケットを受信し、ＮＡＴテーブルに基づいて、アドレス変換を行って宛先に送信する（図９の（５）参照）。このようにすることで、利用者は、セキュアな回線を使って、ソフトウエアをダウンロードしたり、ソフトウエア機能の提供をＳａａＳ事業者から受けたりすることができる。

（オンデマンドＶＰＮを利用したテレワークシステム）
次に、図１０を用いて、本願が開示する通信制御装置をテレワークシステムに適用した例について説明する。図１０は、テレワークシステムに適用した例を示す図である。

図１０に示すように、このテレワークシステムは、人材派遣会社に対して業務依頼を行って業務委託を行う業務依頼者と、人材派遣会社に登録して紹介に応じて業務を行う在宅ワーカと、業務依頼者からの業務委託を登録している在宅ワーカに紹介する人材派遣会社とを有して構成される。

このような構成において、業務依頼者は、人材派遣会社に対して業務依頼を行い（図１０の（１）参照）、人材派遣会社は、依頼された業務に適した在宅ワーカに対して依頼の通知を行う（図１０の（２）参照）。

その後、在宅ワーカが依頼した業務を受託した場合、人材派遣会社のサーバは、管理者の操作などにより、業務依頼者の端末と在宅ワーカとの端末とに対して、実施例１などで説明した「ＩＮＶＩＴＥ」や「２００ ＯＫ」などをやり取りして、セッションを確立するとともに、業務依頼者端末のＩＰアドレスと在宅ワーカ端末のＩＰアドレスとを取得し、ＮＡＴテーブル（またはＮＡＰＴテーブル）を作成する（図１０の（３）参照）。

続いて、人材派遣会社のサーバは、業務依頼者端末または在宅ワーカ端末主導で実施されるＶＰＮ認証やＩＫＥネゴシエーションに関するパケットを受信した場合に、作成したＮＡＴテーブルに基づいて、パケット中継を行うことにより、業務依頼者端末と在宅ワーカ端末とが人材派遣会社を介したＶＰＮで接続される（図１０の（４）参照）。

その後、人材派遣会社のサーバは、業務依頼者端末と在宅ワーカ端末とがＶＰＮを介してやり取りするパケットを受信し、ＮＡＴテーブルに基づいて、アドレス変換を行って宛先に送信することにより、在宅ワーカは、セキュアな回線を使って、業務依頼者へリモートアクセスすることができる（図１０の（５）参照）。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に示すように、（１）接続台数、（２）静的テーブル、（３）システム構成等、（４）プログラムにそれぞれ区分けして異なる実施例を説明する。

（１）接続台数
例えば、上記した実施例では、通信機器（ＵＡ１）と通信機器（ＵＡ２）とが１対１でＶＰＮ接続される例について説明したが、本発明はこれに限定されるものではなく、例えば、実施例２にように、ポート番号を使い分けることによって、１対多または多対多でＶＰＮ接続を行うことができる。

（２）静的テーブル
また、実施例１では、セッション確立時に取得したセッション情報から動的にＮＡＴテーブルを作成する例について説明したが、本発明はこれに限定されるものではなく、例えば、接続先の通信機器が予めわかっている場合には、通信機器のアドレス情報がわかるので、ＮＡＴテーブルを予め作成しておくこともできる。また、実施例２のＮＡＰＴテーブルについても、同様に、予め作成しておくこともできる。

（３）システム構成等
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理（例えば、ＩＫＥネゴシエーションなど）の全部または一部を手動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報（例えば、図３や図７など）については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合（例えば、ＶＰＮ情報中継部とパケット中継部とを統合するなど）して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（４）プログラム
なお、本実施例で説明した通信制御方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係る通信制御装置、通信制御方法および通信制御プログラムは、異なるネットワーク間を相互接続する第一の通信機器および第二の通信機器との間それぞれとセッションを確立することに有用であり、特に、パケットを高速に中継することに適する。

実施例１に係る通信制御装置を含む通信システムの全体構成を示す図である。 実施例１に係る通信制御装置の構成を示すブロック図である。 ＮＡＴテーブルに記憶される情報の例を示す図である。 実施例１に係る通信制御装置における処理の流れを示すシーケンス図である。 ＶＰＮ接続後のパケットにおけるＩＰヘッダの状態遷移を示す図である。 実施例２に係る通信制御装置における処理の流れを示すシーケンス図である。 ＮＡＰＴテーブルに記憶される情報の例を示す図である。 実施例２におけるＶＰＮ接続後のパケットにおけるＩＰヘッダの状態遷移を示す図である。 ＳａａＳポータルシステムに適用した例を示す図である。 テレワークシステムに適用した例を示す図である。 従来技術を説明するための図である。

符号の説明

１０ 通信制御装置
１１ 通信制御Ｉ／Ｆ部
１２ 無線通信Ｉ／Ｆ部
２０ 記憶部
２１ ＮＡＴテーブル
３０ 制御部
３１ 接続要求受信部
３２ セッション確立部
３３ テーブル作成部
３４ ＶＰＮ情報中継部
３５ パケット中継部

Claims (4)

1. 異なるネットワーク間を相互接続する第一の通信機器および第二の通信機器それぞれとセッションを確立する通信制御装置であって、
   前記セッションを確立する際にそれぞれの通信機器から得られたセッション情報に基づいて、前記セッションが確立された第一の通信機器と第二の通信機器との間でやり取りされるパケットを送信先に中継するためのアドレス変換情報を示すネットワークアドレス変換テーブルを作成するテーブル作成手段と、
   前記セッションが確立された第一の通信機器または第二の通信機器との間で交換される仮想通信路を接続するための仮想通信路情報を受信した場合に、前記テーブル作成手段で作成されるネットワークアドレス変換テーブルに基づいて、受信した仮想通信路情報のアドレス情報を変換して、送信先に中継する通信路情報中継手段と、
   前記中継手段により仮想通信路情報が中継されて、前記仮想通信路で接続された第一の通信機器または第二の通信機器から送信されたパケットを受信した場合に、前記テーブル作成手段で作成されたネットワークアドレス変換テーブルに基づいて、受信したパケットのアドレス情報を変換して、送信先に中継するパケット中継手段と、
   を備えたことを特徴とする通信制御装置。
2. 前記テーブル作成手段は、前記アドレス情報に対して、さらに、使用するポート番号を対応付けたネットワークアドレス変換テーブルを作成し、
   前記通信路情報中継手段は、前記仮想通信路情報を受信した場合に、前記テーブル作成手段に作成されたネットワークアドレス変換テーブルに基づいて、受信した仮想通信路情報のアドレス情報を変換して、特定されたポート番号を用いて送信先に中継し、
   前記パケット中継手段は、前記仮想通信路で接続された第一の通信機器または第二の通信機器から送信されたパケットを受信した場合に、前記テーブル作成手段に作成されたネットワークアドレス変換テーブルに基づいて、受信したパケットのアドレス情報を変換して、特定されたポート番号を用いて送信先に中継することを特徴とする請求項１に記載の通信制御装置。
3. 異なるネットワーク間を相互接続する第一の通信機器および第二の通信機器それぞれとセッションを確立する通信制御装置に適した通信制御方法であって、
   前記セッションを確立する際にそれぞれの通信機器から得られたセッション情報に基づいて、前記セッションが確立された第一の通信機器と第二の通信機器との間でやり取りされるパケットを送信先に中継するためのアドレス変換情報を示すネットワークアドレス変換テーブルを作成するテーブル作成工程と、
   前記セッションが確立された第一の通信機器または第二の通信機器との間で交換される仮想通信路を接続するための仮想通信路情報を受信した場合に、前記テーブル作成工程で作成されるネットワークアドレス変換テーブルに基づいて、受信した仮想通信路情報のアドレス情報を変換して、送信先に中継する通信路情報中継工程と、
   前記中継手段により仮想通信路情報が中継されて、前記仮想通信路で接続された第一の通信機器または第二の通信機器から送信されたパケットを受信した場合に、前記テーブル作成工程に作成されたネットワークアドレス変換テーブルに基づいて、受信したパケットのアドレス情報を変換して、送信先に中継するパケット中継工程と、
   を含んだことを特徴とする通信制御方法。
4. 異なるネットワーク間を相互接続する第一の通信機器および第二の通信機器それぞれとセッションを確立する通信制御装置としてコンピュータに実行させる通信制御プログラムであって、
   前記セッションを確立する際にそれぞれの通信機器から得られたセッション情報に基づいて、前記セッションが確立された第一の通信機器と第二の通信機器との間でやり取りされるパケットを送信先に中継するためのアドレス変換情報を示すネットワークアドレス変換テーブルを作成するテーブル作成手順と、
   前記セッションが確立された第一の通信機器または第二の通信機器との間で交換される仮想通信路を接続するための仮想通信路情報を受信した場合に、前記テーブル作成手順で作成されるネットワークアドレス変換テーブルに基づいて、受信した仮想通信路情報のアドレス情報を変換して、送信先に中継する通信路情報中継手順と、
   前記中継手段により仮想通信路情報が中継されて、前記仮想通信路で接続された第一の通信機器または第二の通信機器から送信されたパケットを受信した場合に、前記テーブル作成手順に作成されたネットワークアドレス変換テーブルに基づいて、受信したパケットのアドレス情報を変換して、送信先に中継するパケット中継手順と、
   をコンピュータに実行させることを特徴とする通信制御プログラム。

Images