JP5260487B2

JP5260487B2 - Address determination device, address determination method, and address determination program

Info

Publication number: JP5260487B2
Application number: JP2009297937A
Authority: JP
Inventors: 和宏岸; 高明小山; 秀一唐澤; 能直菊地; 相哲岩村
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2009-12-28
Filing date: 2009-12-28
Publication date: 2013-08-14
Anticipated expiration: 2029-12-28
Also published as: JP2011139298A

Abstract

<P>PROBLEM TO BE SOLVED: To appropriately solve duplication of an address. <P>SOLUTION: A first address determination part 11 determines a first address for identifying a terminal controlled by other base which becomes a communication partner in predetermined connection between bases in the bases so as to be unique among terminals which can be the communication partner in the bases in a time period utilizing the connection between bases. A second address determination part 12 determines a second address for identifying terminals controlled by the respective bases belonging to the connection between bases in a wide area network so as to be unique among the terminals which can be controlled as the connection between bases in the time period utilizing the connection between bases. An address setting part 13 sets conversion information for converting the first address and the second address to address converters so that the first address and the second address are mutually converted on the boundary of the respective address converters. <P>COPYRIGHT: (C)2011,JPO&INPIT

Description

本発明は、アドレス決定装置、アドレス決定方法、及びアドレス決定プログラムに関する。 The present invention relates to an address determination device, an address determination method, and an address determination program.

近年、複数の拠点間を拠点間接続することで協働空間を提供するサービスが登場した。特に、オンデマンド（on−demand）なサービス、すなわち、要求に応じて時限的に拠点間接続するサービスに対する要望が高い。ここで、「拠点」とは、ＶＰＮ（Virtual Private Network）や地理的条件などによって到達性を制限され孤立しているネットワークドメインのことである。また、「拠点間接続」とは、ある拠点の端末から送信されたパケットをある拠点の端末に対して転送するための情報を該拠点間の経路上に存在する各機器に設定することで、拠点間を通信可能に相互接続することである。また、「協働空間」とは、拠点間接続により生じたネットワークドメインのことであり、相互接続された範囲を新たな到達可能範囲とするネットワークドメインのことである。 In recent years, services have emerged that provide a collaborative space by connecting multiple locations. In particular, there is a high demand for an on-demand service, that is, a service for connecting between bases in a timely manner upon request. Here, the “base” is an isolated network domain whose reachability is limited by VPN (Virtual Private Network) or geographical conditions. In addition, “inter-base connection” means that information for transferring a packet transmitted from a terminal at a base to a terminal at a base is set in each device existing on the path between the bases. It is interconnecting the bases so that they can communicate with each other. The “collaborative space” is a network domain generated by inter-base connection, and is a network domain having the interconnected range as a new reachable range.

ところで、複数の拠点間を拠点間接続する場合には、アドレスの重複が生じないようにアドレスを割り当てなければならない。従来、複数の拠点間を静的に拠点間接続する場合には、例えば事前にアドレス設計を行うことで、アドレスの重複を解決していた。 By the way, when a plurality of bases are connected to each other, addresses must be assigned so that addresses do not overlap. Conventionally, when a plurality of bases are statically connected to each other, address duplication has been solved by designing addresses in advance, for example.

特開２００１−２６８１２５号公報JP 2001-268125 A

本田治他、「利用者の多重帰属を実現するＶＰＮのプロトタイプ実装」、信学技報ＩＮ２００４−１８１（２００５−０２）、Ｐ．４３−４８Osamu Honda et al., “Prototype Implementation of VPN Realizing Multiple User Assignments”, IEICE Technical Report IN 2004-181 (2005-02), P.A. 43-48 小山高明、唐澤秀一、岸和宏、水野伸太郎、岩村相哲、「ＶＰＮ間接続管理システムの提案」、信学技報ＩＮ２００９−４８（２００９−０９）、Ｐ．５３−５８Takaaki Koyama, Shuichi Karasawa, Kazuhiro Kishi, Shintaro Mizuno, Soetsu Iwamura, “Proposal of VPN Connection Management System”, IEICE Technical Report IN 2009-48 (2009-09), P.A. 53-58

しかしながら、オンデマンドに拠点間接続する場合には、事前にアドレス設計を行うことは難しく、従来技術では、アドレスの重複を適切に解決することが難しいという課題があった。特に、一つの拠点が重複する時間帯に複数の協働空間に多重帰属する場合などに顕著になる。 However, when connecting between bases on demand, it is difficult to design an address in advance, and the conventional technique has a problem that it is difficult to appropriately resolve address duplication. This is particularly noticeable when multiple locations belong to multiple collaborative spaces in the same time zone.

開示の技術は、上記に鑑みてなされたものであって、アドレスの重複を適切に解決することが可能なアドレス決定装置、アドレス決定方法、及びアドレス決定プログラムを提供することを目的とする。 The disclosed technology has been made in view of the above, and an object thereof is to provide an address determination device, an address determination method, and an address determination program capable of appropriately solving address duplication.

本願の開示するアドレス決定装置、アドレス決定方法、及びアドレス決定プログラムは、一つの態様において、広域ネットワークを介して複数の拠点間を拠点間接続するシステムに対して該拠点間接続に用いられるアドレスを決定するアドレス決定装置であって、所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するための第一アドレスを、該拠点間接続を利用する時間帯において該拠点内で通信相手となり得る端末の中で一意となるように決定する第一決定手段と、前記拠点間接続に属する各拠点配下の端末を前記広域ネットワーク内で識別するための第二アドレスを、該拠点間接続を利用する時間帯において該拠点間接続として制御され得る端末の中で一意となるように決定する第二決定手段と、前記第一決定手段によって決定された第一アドレスと前記第二決定手段によって決定された第二アドレスとが、前記広域ネットワークと前記拠点それぞれとに接続するアドレス変換装置それぞれを境界として相互に変換されるように、該第一アドレスと該第二アドレスとを変換する変換情報を該アドレス変換装置に設定する設定手段とを備える。 In one aspect, an address determination apparatus, an address determination method, and an address determination program disclosed in the present application provide an address used for inter-base connection to a system that connects a plurality of bases via a wide area network. An address determination device for determining a first address for identifying a terminal under another base which is a communication partner in a predetermined base-to-base connection within the base in the time zone using the base-to-base connection. A first determination means for determining the terminal to be unique among the terminals that can be a communication partner, and a second address for identifying a terminal under each base belonging to the connection between the bases in the wide area network, Second determination means for determining to be unique among terminals that can be controlled as the connection between bases in a time zone using inter-connection, and the first determination The first address determined by the stage and the second address determined by the second determination means are converted to each other with each of the address conversion devices connected to the wide area network and each of the bases as a boundary, And setting means for setting conversion information for converting the first address and the second address in the address conversion device.

本願の開示するアドレス決定装置、アドレス決定方法、及びアドレス決定プログラムの一つの態様によれば、アドレスの重複を適切に解決することが可能になるという効果を奏する。 According to one aspect of the address determination device, the address determination method, and the address determination program disclosed in the present application, there is an effect that it is possible to appropriately resolve address duplication.

図１は、実施例１のネットワーク構成を説明するための図である。FIG. 1 is a diagram for explaining a network configuration according to the first embodiment. 図２は、実施例１に係るアドレス決定装置１０の構成を示すブロック図である。FIG. 2 is a block diagram illustrating the configuration of the address determination device 10 according to the first embodiment. 図３は、実施例１に係るアドレス決定装置１０による処理手順を示すフローチャートである。FIG. 3 is a flowchart of a process procedure performed by the address determination apparatus 10 according to the first embodiment. 図４Ａは、ＶＰＮサービスに属する拠点を説明するための図である。FIG. 4A is a diagram for explaining the bases belonging to the VPN service. 図４Ｂは、ＶＰＮサービスに属する拠点を説明するための図である。FIG. 4B is a diagram for explaining the bases belonging to the VPN service. 図４Ｃは、ＶＰＮサービスに属する拠点を説明するための図である。FIG. 4C is a diagram for explaining the bases belonging to the VPN service. 図５は、実施例２のネットワーク構成を説明するための図である。FIG. 5 is a diagram for explaining a network configuration according to the second embodiment. 図６は、Ｓｉｎｇｌｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。FIG. 6 is a diagram for explaining an address determination method using Single-NAT. 図７は、Ｔｗｉｃｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。FIG. 7 is a diagram for explaining an address determination method using Twice-NAT. 図８は、実施例２におけるアドレス決定方式の処理手順を示すフローチャートである。FIG. 8 is a flowchart illustrating the processing procedure of the address determination method according to the second embodiment. 図９は、アドレス決定方式の具体例を説明するための図である。FIG. 9 is a diagram for explaining a specific example of the address determination method. 図１０は、アドレス決定方式の具体例を説明するための図である。FIG. 10 is a diagram for explaining a specific example of the address determination method. 図１１は、アドレス決定の考え方を説明するための図である。FIG. 11 is a diagram for explaining the concept of address determination. 図１２は、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明するための図である。FIG. 12 is a diagram for explaining an example of setting address translation information and routing information in the second embodiment. 図１３は、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明するための図である。FIG. 13 is a diagram for explaining an example of setting address translation information and routing information in the second embodiment. 図１４は、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明するための図である。FIG. 14 is a diagram for explaining an example of setting address translation information and routing information in the second embodiment. 図１５は、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明するための図である。FIG. 15 is a diagram for explaining an example of setting address translation information and routing information in the second embodiment. 図１６は、実施例２において各機器のインタフェースに割り当てられるアドレスを説明するための図である。FIG. 16 is a diagram for explaining addresses assigned to interfaces of devices in the second embodiment. 図１７は、実施例２に係るＶＰＮ間接続管理システム１００の構成を示すブロック図である。FIG. 17 is a block diagram illustrating the configuration of the inter-VPN connection management system 100 according to the second embodiment. 図１８は、ＶＰＮ接続情報記憶部１２１を説明するための図である。FIG. 18 is a diagram for explaining the VPN connection information storage unit 121. 図１９は、集合仮想ルータの設定パターンの一例を示す図である。FIG. 19 is a diagram illustrating an example of a setting pattern of the collective virtual router. 図２０は、ＶＰＮ終端装置の設定パターンの一例を示す図である。FIG. 20 is a diagram illustrating an example of a setting pattern of the VPN termination device. 図２１は、ＶＰＮ接続要求記憶部１２３を説明するための図である。FIG. 21 is a diagram for explaining the VPN connection request storage unit 123. 図２２は、アドレス変換情報記憶部１２４を説明するための図である。FIG. 22 is a diagram for explaining the address conversion information storage unit 124. 図２３は、ルーティング情報記憶部１２５を説明するための図である。FIG. 23 is a diagram for explaining the routing information storage unit 125. 図２４は、ルーティング情報記憶部１２５を説明するための図である。FIG. 24 is a diagram for explaining the routing information storage unit 125. 図２５は、アタッチメント記憶部１２６を説明するための図である。FIG. 25 is a diagram for explaining the attachment storage unit 126. 図２６は、集合仮想ルータの事前設定情報を説明するための図である。FIG. 26 is a diagram for explaining the pre-configuration information of the collective virtual router. 図２７は、ＶＰＮ終端装置の事前設定情報を説明するための図である。FIG. 27 is a diagram for explaining the pre-setting information of the VPN termination device. 図２８は、ＶＰＮ接続要求の入力画面の一例を説明するための図である。FIG. 28 is a diagram for explaining an example of a VPN connection request input screen. 図２９は、実施例２に係るＶＰＮ間接続管理システム１００による処理手順を示すフローチャートである。FIG. 29 is a flowchart of a process procedure performed by the inter-VPN connection management system 100 according to the second embodiment. 図３０は、アドレス決定処理を示すフローチャートである。FIG. 30 is a flowchart showing the address determination process. 図３１は、実施例３のネットワーク構成を説明するための図である。FIG. 31 is a diagram for explaining a network configuration according to the third embodiment. 図３２は、実施例３に係るアドレス決定装置２００の構成を示すブロック図である。FIG. 32 is a block diagram illustrating the configuration of the address determination device 200 according to the third embodiment.

以下に、本願の開示するアドレス決定装置、アドレス決定方法、及びアドレス決定プログラムの実施例を説明する。なお、以下の実施例により本発明が限定されるものではない。 Hereinafter, embodiments of the address determination device, the address determination method, and the address determination program disclosed in the present application will be described. In addition, this invention is not limited by the following examples.

実施例１に係るアドレス決定装置を説明する。図１は、実施例１のネットワーク構成を説明するための図である。図１に例示するように、実施例１に係るアドレス決定装置は、広域ネットワークを介して複数の拠点間を拠点間接続するＶＰＮ間接続システムに対して、拠点間接続に用いられるアドレスを決定する。ＶＰＮ間接続システムは、転送制御装置、アドレス変換装置、及びＶＰＮ終端装置を含む。 An address determination apparatus according to the first embodiment will be described. FIG. 1 is a diagram for explaining a network configuration according to the first embodiment. As illustrated in FIG. 1, the address determination apparatus according to the first embodiment determines an address used for inter-base connection for an inter-VPN connection system that connects a plurality of bases between bases via a wide area network. . The inter-VPN connection system includes a transfer control device, an address translation device, and a VPN termination device.

ここで、ＶＰＮ終端装置は、アクセスネットワークを介して拠点を収容するとともに、収容した拠点と広域ネットワークとの間でＶＰＮを終端する。また、アドレス変換装置は、ＶＰＮ終端装置から受信したパケットのアドレスを変換し、アドレス変換後のパケットを転送制御装置に送信する。また、アドレス変換装置は、転送制御装置から受信したパケットのアドレスを変換し、アドレス変換後のパケットをＶＰＮ終端装置に送信する。また、転送制御装置は、広域ネットワーク内のパケット転送を制御する。 Here, the VPN termination device accommodates the base via the access network and terminates the VPN between the accommodated base and the wide area network. The address translation device translates the address of the packet received from the VPN termination device and transmits the packet after the address translation to the transfer control device. The address translation device translates the address of the packet received from the transfer control device, and transmits the packet after the address translation to the VPN termination device. The transfer control device controls packet transfer within the wide area network.

図２は、実施例１に係るアドレス決定装置１０の構成を示すブロック図である。図２に例示するように、実施例１に係るアドレス決定装置１０は、第一アドレス決定部１１と、第二アドレス決定部１２と、アドレス設定部１３とを備える。なお、以下に説明するように、実施例１に係るアドレス決定装置１０は、所定の拠点間接続に属する各拠点配下の端末を相互接続するために、各拠点配下の端末のプライベートアドレスを入力とし、これらのプライベートアドレスに対応する変換のためのアドレス（以下、「第一アドレス」、「第二アドレス」）を決定するものである。 FIG. 2 is a block diagram illustrating the configuration of the address determination device 10 according to the first embodiment. As illustrated in FIG. 2, the address determination device 10 according to the first embodiment includes a first address determination unit 11, a second address determination unit 12, and an address setting unit 13. As will be described below, the address determination apparatus 10 according to the first embodiment uses the private addresses of the terminals under each base as inputs in order to interconnect the terminals under each base belonging to a predetermined inter-base connection. The addresses for conversion corresponding to these private addresses (hereinafter referred to as “first address”, “second address”) are determined.

第一アドレス決定部１１は、所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するための第一アドレスを、該拠点間接続を利用する時間帯と重複する時間帯に該拠点内で通信相手となり得る端末の中で一意となるように決定する。例えば、拠点間接続に属する拠点が２拠点であり、各拠点配下の端末がそれぞれ１端末ずつである場合、第一アドレス決定部１１は、拠点ごとに１端末分の第一アドレス、併せて２端末分の第一アドレスを決定する。また、例えば、ある拠点が、所定の拠点間接続を利用する時間帯と重複する時間帯に複数の拠点との間でそれぞれ他の拠点間接続を利用する場合には、これら複数の拠点全てにおいて他の拠点間接続に用いられる端末全てが、「重複する時間帯に該拠点内で通信相手となり得る端末」となる。なお、重複する時間帯とは、時間帯の一部が重複する場合と、時間帯が完全に一致する場合とを含む。 The first address determination unit 11 sets a first address for identifying a terminal under another site that is a communication partner in a predetermined connection between bases in a time zone overlapping with a time zone in which the connection between the bases is used. To be unique among the terminals that can be communication partners in the base. For example, when there are two bases belonging to the connection between bases and one terminal is subordinate to each base, the first address determination unit 11 sets the first address of one terminal for each base and 2 Determine the first address for the terminal. In addition, for example, when a certain base uses a connection between other bases with a plurality of bases in a time zone that overlaps with a time zone in which a predetermined connection between bases is used, All terminals used for connection between other bases are “terminals that can be communication partners in the bases in overlapping time zones”. In addition, the overlapping time zone includes a case where a part of the time zone overlaps and a case where the time zones completely match.

第二アドレス決定部１２は、拠点間接続に属する各拠点配下の端末を広域ネットワーク内で識別するための第二アドレスを、該拠点間接続を利用する時間帯と重複する時間帯に該拠点間接続として制御され得る端末の中で一意となるように決定する。例えば、拠点間接続に属する拠点が２拠点であり、各拠点配下の端末がそれぞれ１端末ずつである場合、第二アドレス決定部１２は、２端末分の第二アドレスを決定する。 The second address determination unit 12 sets a second address for identifying a terminal under each base belonging to the inter-base connection in the wide area network between the bases in a time zone overlapping with a time zone in which the inter-base connection is used. It is determined to be unique among terminals that can be controlled as a connection. For example, when there are two bases belonging to the connection between bases and one terminal is subordinate to each base, the second address determination unit 12 determines a second address for two terminals.

アドレス設定部１３は、第一アドレスと第二アドレスとがアドレス変換装置それぞれを境界として相互に変換されるように、第一アドレスと第二アドレスとを変換する変換情報をアドレス変換装置に設定する。ここで、アドレス変換装置は、宛先を示す第一アドレス及び送信元を示すプライベートアドレスを含むパケットを拠点から受信すると、該第一アドレスを、該第一アドレスが示す宛先に対応する第二アドレスに変換するとともに、該プライベートアドレスを、該プライベートアドレスが示す送信元に対応する第二アドレスに変換して広域ネットワークに転送する。また、アドレス変換装置は、宛先を示す第二アドレス及び送信元を示す第二アドレスを含むパケットを広域ネットワークから受信すると、該宛先を示す第二アドレスを、該第二アドレスが示す宛先に対応するプライベートアドレスに変換するとともに、該送信元を示す第二アドレスを、該第二アドレスが示す送信元に対応する第一アドレスに変換して拠点に転送する。このため、アドレス設定部１３は、例えば、ある拠点の端末についてプライベートアドレスと第二アドレスとの変換情報を設定し、また、この拠点の端末にとって通信相手となる端末について第一アドレスと第二アドレスとの変換情報を設定する。 The address setting unit 13 sets conversion information for converting the first address and the second address in the address conversion device so that the first address and the second address are converted from each other with the address conversion device as a boundary. . Here, when the address translation apparatus receives a packet including a first address indicating a destination and a private address indicating a transmission source from the base, the first address is changed to a second address corresponding to the destination indicated by the first address. At the same time, the private address is converted into a second address corresponding to the transmission source indicated by the private address and transferred to the wide area network. Further, when the address translation device receives a packet including the second address indicating the destination and the second address indicating the transmission source from the wide area network, the address translation device corresponds to the destination indicated by the second address. While converting to a private address, the 2nd address which shows this transmission source is converted into the 1st address corresponding to the transmission source which this 2nd address shows, and it transfers to a base. Therefore, for example, the address setting unit 13 sets conversion information between the private address and the second address for a terminal at a certain base, and the first address and the second address for a terminal that is a communication partner for the terminal at this base. Set conversion information.

図３は、実施例１に係るアドレス決定装置１０による処理手順を示すフローチャートである。なお、以下に説明するように、第一アドレス決定部１１は第一アドレスを決定し、第二アドレス決定部１２は第二アドレスを決定するが、それぞれの部によって決定される第一アドレス及び第二アドレスの数は、以下の通りである。 FIG. 3 is a flowchart of a process procedure performed by the address determination apparatus 10 according to the first embodiment. As will be described below, the first address determination unit 11 determines the first address, and the second address determination unit 12 determines the second address, but the first address and the first address determined by each unit are determined. The number of two addresses is as follows.

すなわち、通信相手となる他拠点配下の端末をある拠点内で識別するための第一アドレスは、この拠点から送信されるパケットの宛先アドレスとなるものであり、この拠点にとっての相手方となる拠点において拠点間接続に用いられる端末の数分、決定される。相手方となる拠点において拠点間接続に用いられる端末が、複数の端末である場合であって、端末毎のアドレス単位で決定する場合には、端末毎のアドレス単位で、端末の数分の第一アドレスが決定されることになる。一方、サブネット単位で決定する場合、例えば、アドレスのサブネットアドレス部が決定され、ホストアドレス部については元々のアドレスを流用するような場合にも、結果として、端末の数分の第一アドレスが決定されることになる。なお、ある拠点間接続に属する全ての拠点についてこのように第一アドレスを決定する。 In other words, the first address for identifying the terminal under the other base that is the communication partner within the base is the destination address of the packet transmitted from this base, and in the base that is the counterpart to this base The number of terminals used for inter-base connection is determined. If the terminal used for inter-base connection at the other party is a plurality of terminals and is determined by the address unit for each terminal, the first of the number of terminals by the address unit for each terminal The address will be determined. On the other hand, when determining by subnet unit, for example, when the subnet address part of the address is determined and the original address is diverted for the host address part, as a result, the first addresses corresponding to the number of terminals are determined. Will be. Note that the first address is determined in this way for all bases belonging to a connection between bases.

一方、ある拠点間接続に属する各拠点配下の端末を広域ネットワーク内で識別するための第二アドレスは、拠点間接続に属する各拠点から送信されたパケットの宛先アドレス及び送信元アドレスそれぞれを変換した後の宛先アドレス及び送信元アドレスとなるものであり、ある拠点間接続に用いられる端末全ての数分、決定される。 On the other hand, the second address for identifying the terminal under each base belonging to a connection between bases in the wide area network is converted into the destination address and the source address of the packet transmitted from each base belonging to the connection between bases. This is a later destination address and source address, and is determined by the number of all terminals used for connection between certain bases.

図３に例示するように、アドレス決定装置１０は、所定の拠点間接続において通信相手となる他拠点配下の端末を拠点内で識別するための第一アドレスを、該拠点間接続を利用する時間帯と重複する時間帯に該拠点内で通信相手となり得る端末の中で一意となるように決定する（ステップＳ１）。また、アドレス決定装置１０は、拠点間接続に属する各拠点配下の端末を広域ネットワーク内で識別するための第二アドレスを、該拠点間接続を利用する時間帯と重複する時間帯に該拠点間接続として制御され得る端末の中で一意となるように決定する（ステップＳ２）。 As illustrated in FIG. 3, the address determination device 10 uses the inter-base connection as a first address for identifying a terminal under another base that is a communication partner in a predetermined base-to-base connection. It is determined so as to be unique among terminals that can become communication partners in the base during the time zone overlapping with the zone (step S1). In addition, the address determination device 10 sets the second address for identifying the terminal under each base belonging to the connection between bases in the wide area network between the bases in a time zone overlapping with the time zone using the base connection. It determines so that it may become unique among the terminals which can be controlled as a connection (step S2).

そして、アドレス決定装置１０は、ステップＳ１において決定された第一アドレスと、ステップＳ２において決定された第二アドレスとを変換する変換情報をアドレス変換装置に設定する（ステップＳ３）。なお、本発明は、上記処理手順に限られるものではなく、例えば、ステップＳ１とステップＳ２とが逆順で処理される場合や、ステップＳ１とステップＳ２とが併行して処理される場合にも、同様に適用することができる。 Then, the address determination device 10 sets conversion information for converting the first address determined in step S1 and the second address determined in step S2 in the address conversion device (step S3). The present invention is not limited to the above processing procedure. For example, when step S1 and step S2 are processed in reverse order, or when step S1 and step S2 are performed in parallel, The same can be applied.

このように、実施例１によれば、通信相手となる他拠点配下の端末を拠点内で識別するためのアドレスと、拠点間接続に属する各拠点配下の端末を広域ネットワーク内で識別するためのアドレスとを、それぞれ独立に決定することができる。この結果、アドレスを決定するアルゴリズムは簡素化され、自動化されるので、事前にアドレス設計を行わずして、アドレスの重複を適切に解決することが可能になる。すなわち、オンデマンドに拠点間接続する場合にも、アドレスの重複を適切に解決することが可能になる。 As described above, according to the first embodiment, an address for identifying a terminal under another base serving as a communication partner within the base and a terminal under each base belonging to the connection between bases within the wide area network. The address can be determined independently. As a result, since the algorithm for determining the address is simplified and automated, address duplication can be appropriately solved without address design in advance. That is, it is possible to appropriately resolve address duplication even when connecting between bases on demand.

なお、図１においては、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のアドレス変換装置と、１台の筐体の転送制御装置とが設置される構成を例示したが、本発明はこれに限られるものではない。例えば、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のアドレス変換装置と、１台の筐体の転送制御装置との組合せがさらに複数設置される構成にも本発明を同様に適用することができる。また、例えば、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のアドレス変換装置と、複数台の筐体の転送制御装置とが組み合わせて設置される構成にも本発明を同様に適用することができる。 1 illustrates a configuration in which a plurality of VPN termination devices, multiple address conversion devices, and a single transfer control device are installed. The invention is not limited to this. For example, the present invention is similarly applied to a configuration in which a plurality of combinations of VPN termination devices of a plurality of housings, address conversion devices of a plurality of housings, and transfer control devices of one housing are further installed. Can be applied. Further, for example, the present invention is similarly applied to a configuration in which a plurality of housing VPN termination devices, a plurality of housing address conversion devices, and a plurality of housing transfer control devices are installed in combination. Can be applied.

また、例えば、ＶＰＮ終端装置が有する機能（拠点を収容するとともに、収容した拠点と広域ネットワークとの間でＶＰＮを終端する機能）と、アドレス変換装置が有する機能（アドレスを変換する機能）と、転送制御装置が有する機能（広域ネットワーク内のパケット転送を制御する機能）とが１台の筐体に収まった装置が設置される構成にも本発明を同様に適用することができる。 In addition, for example, a function (a function for accommodating a base and terminating a VPN between the accommodated base and a wide area network) and a function (a function for converting an address) included in the address conversion apparatus are included in the VPN termination apparatus. The present invention can be similarly applied to a configuration in which a device in which the functions of the transfer control device (the function of controlling packet transfer in the wide area network) are accommodated in one housing is installed.

また、図１においては、説明の便宜上、１台の筐体のＶＰＮ終端装置が１つの拠点を収容するが、本発明はこれに限られるものではなく、一般には、１台の筐体のＶＰＮ終端装置が複数の拠点を収容する。ここで、「拠点を収容する」とは、例えば、広域ネットワークに設置されるＶＰＮ終端装置とアクセス網に設置されるルータなどのネットワーク装置との間を物理的に接続し、また、アクセス網に設置されるルータなどのネットワーク装置と拠点に設置されるルータなどのネットワーク装置との間を物理的に接続することをいう。 In FIG. 1, for convenience of explanation, the VPN termination device of one housing accommodates one base, but the present invention is not limited to this, and generally the VPN of one housing is used. A termination device accommodates multiple sites. Here, “accommodates a base” means, for example, a physical connection between a VPN terminal installed in a wide area network and a network device such as a router installed in an access network, and also in the access network. A physical connection between a network device such as an installed router and a network device such as a router installed at a base.

ここで、「拠点」の態様について説明する。「拠点」は、いわゆるネットワークではなく一端末の場合もある。例えば、拠点に設置されるルータが、物理的なルータではなく端末内のソフトウェアで実現される場合などを含む。また、「拠点」は、電気通信事業者などによって提供されたＶＰＮサービスによって接続された複数のローカルエリアネットワーク群による社内網のようなものの場合もある。 Here, the aspect of “base” will be described. A “base” may be a terminal rather than a so-called network. For example, the case where the router installed in the base is realized by software in the terminal instead of a physical router is included. In addition, the “base” may be an in-house network of a plurality of local area networks connected by a VPN service provided by a telecommunications carrier or the like.

図４Ａ〜４Ｃは、ＶＰＮサービスに属する拠点を説明するための図である。なお、図４Ａ〜４Ｃにおいては、２種類の点線を用いて示す。一方は、通常の点線であり、他方は、破線（短い線と長い線との組合せ）である。破線は、同じＶＰＮサービスに属する複数の拠点であって、かつ、例えば同じ社内（例えばＣ社内）の拠点間でＶＰＮを形成していることを示す。一方、点線は、ＶＰＮ間を接続することを示す。例えば、異なるＶＰＮサービスに属する複数の拠点間を接続することや、同じＶＰＮサービスに属する複数の拠点間であっても、異なる会社のＶＰＮ間を接続することを示す。 4A to 4C are diagrams for explaining the bases belonging to the VPN service. In FIGS. 4A to 4C, two types of dotted lines are used. One is a normal dotted line, and the other is a broken line (a combination of a short line and a long line). The broken lines indicate that a plurality of bases belonging to the same VPN service and a VPN is formed between bases in the same company (for example, C company). On the other hand, the dotted line indicates that the VPNs are connected. For example, connection between a plurality of bases belonging to different VPN services, or connection between VPNs of different companies, even between a plurality of bases belonging to the same VPN service.

図４Ａに示すように、例えば、Ｃ社は、ＶＰＮサービス１に属する拠点群を有し、また、ＶＰＮサービス３に属する拠点を有する。ＶＰＮサービス１とＶＰＮサービス３とは異なるＶＰＮサービスであるので、それぞれのＶＰＮサービスにおいて事前のアドレス設計がなされる結果、例えば、ＶＰＮサービス１に属するＣ社拠点の端末と、ＶＰＮサービス３に属するＣ社拠点の端末とに、同じプライベートアドレスが付与されることもある。一方、Ｄ社は、ＶＰＮサービス２に属する拠点を有し、また、ＶＰＮサービス４に属する拠点を有する。ＶＰＮサービス２とＶＰＮサービス４とは異なるＶＰＮサービスであるので、それぞれのＶＰＮサービスにおいて事前のアドレス設計がなされる結果、例えば、ＶＰＮサービス２に属するＤ社拠点の端末と、ＶＰＮサービス４に属するＤ社拠点の端末とに、同じプライベートアドレスが付与されることもある。 As shown in FIG. 4A, for example, Company C has a base group belonging to the VPN service 1 and a base belonging to the VPN service 3. Since the VPN service 1 and the VPN service 3 are different VPN services, as a result of prior address design in each VPN service, for example, a terminal of a company C base belonging to the VPN service 1 and a C belonging to the VPN service 3 The same private address may be given to the terminal at the company base. On the other hand, Company D has a base belonging to the VPN service 2 and a base belonging to the VPN service 4. Since the VPN service 2 and the VPN service 4 are different VPN services, as a result of prior address design in each VPN service, for example, the terminal of the company D base belonging to the VPN service 2 and the D belonging to the VPN service 4 The same private address may be given to the terminal at the company base.

本発明に係るアドレス決定装置は、このような、異なるＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続について、拠点間接続に用いられるアドレスを決定することができる。すなわち、ＶＰＮサービス１に属するＣ社の拠点群と、ＶＰＮサービス２に属するＤ社の拠点と、ＶＰＮサービス３に属するＣ社の拠点と、ＶＰＮサービス４に属するＤ社の拠点との間の拠点間接続について、拠点間接続に用いられるアドレスを決定することができる。 The address determination device according to the present invention can determine an address used for inter-base connection for inter-base connection between the base group of the company C and the base group of the company D belonging to different VPN services. That is, a base between a group of companies belonging to the VPN service 1, a company D belonging to the VPN service 2, a company C belonging to the VPN service 3, and a company D belonging to the VPN service 4 For inter-connection, an address used for inter-base connection can be determined.

また、図４Ｂに示すように、例えば、Ｃ社は、ＶＰＮサービス３でグループ化された拠点群を有する。一方、Ｄ社は、ＶＰＮサービス４でグループ化された拠点群を有する。本発明に係るアドレス決定装置は、このような、異なるＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続についても、拠点間接続に用いられるアドレスを決定することができる。 As shown in FIG. 4B, for example, Company C has a group of bases grouped by the VPN service 3. On the other hand, Company D has a group of bases grouped by the VPN service 4. The address determination device according to the present invention can determine an address used for inter-base connection even for such inter-base connection between the base group of company C and the base group of company D belonging to different VPN services. .

また、図４Ｃに示すように、例えば、Ｃ社及びＤ社は、いずれも、ＶＰＮサービス２でグループ化された拠点群を有する。本発明に係るアドレス決定装置は、このような、同じＶＰＮサービスに属するＣ社の拠点群とＤ社の拠点群との拠点間接続、言い換えると、同じＶＰＮ終端装置に属する複数の拠点群間の拠点間接続についても、拠点間接続に用いられるアドレスを決定することができる。 As shown in FIG. 4C, for example, Company C and Company D both have base groups grouped by the VPN service 2. The address determination device according to the present invention is such an inter-base connection between the base group of the company C belonging to the same VPN service and the base group of the company D, in other words, between a plurality of base groups belonging to the same VPN termination device. With respect to inter-base connection, an address used for inter-base connection can be determined.

なお、図１においては、アドレス決定装置が広域ネットワークに設置される構成を例示したが、本発明はこれに限られるものではない。例えば、アドレス決定装置が、ＶＰＮ終端装置、アドレス変換装置、及び転送制御装置と監視用のネットワークで接続されている構成にも本発明を同様に適用することができる。 Although FIG. 1 illustrates the configuration in which the address determination device is installed in the wide area network, the present invention is not limited to this. For example, the present invention can be similarly applied to a configuration in which an address determination device is connected to a VPN termination device, an address translation device, and a transfer control device via a monitoring network.

また、図１においては、１台の筐体のアドレス決定装置が設置される構成を例示したが、本発明はこれに限られるものではない。例えば、複数台の筐体のアドレス決定装置が設置される構成や、例えば、記憶部などアドレス決定装置の一部が別の筐体で設置される構成などにも、本発明を同様に適用することができる。 Moreover, although FIG. 1 illustrates the configuration in which the address determination device for one housing is installed, the present invention is not limited to this. For example, the present invention is similarly applied to a configuration in which an address determination device for a plurality of housings is installed or a configuration in which a part of the address determination device such as a storage unit is installed in another housing. be able to.

［実施例２のネットワーク構成］
次に、実施例２においては、拠点が、ネットワークであり、かつ、電気通信事業者などによって提供されたＶＰＮサービスに属する拠点である場合を一例として説明する。すなわち、実施例２における拠点間接続は、ＶＰＮサービスに属する拠点間を接続する「ＶＰＮ間接続」である。図５は、実施例２のネットワーク構成を説明するための図である。図５に例示するように、実施例２に係るＶＰＮ間接続管理システムは、アドレス決定装置を備え、アドレス決定装置は、広域ネットワークを介して複数の拠点間をＶＰＮ間接続するＶＰＮ間接続システムに対して、ＶＰＮ間接続に用いられるアドレスを決定する。ＶＰＮ間接続システムは、集合仮想ルータ、ＮＡＴ（Network Address Translation）装置、及びＶＰＮ終端装置を含む。 [Network Configuration of Example 2]
Next, in the second embodiment, a case where the base is a network and belongs to a VPN service provided by a telecommunications carrier or the like will be described as an example. That is, the inter-base connection in the second embodiment is an “inter-VPN connection” that connects bases belonging to the VPN service. FIG. 5 is a diagram for explaining a network configuration according to the second embodiment. As illustrated in FIG. 5, the inter-VPN connection management system according to the second embodiment includes an address determination device, and the address determination device is an inter-VPN connection system that connects a plurality of bases between VPNs via a wide area network. On the other hand, an address used for connection between VPNs is determined. The inter-VPN connection system includes a collective virtual router, a NAT (Network Address Translation) device, and a VPN termination device.

ここで、ＶＰＮ終端装置は、アクセスネットワークを介して拠点を収容するとともに、収容した拠点と広域ネットワークとの間でＶＰＮを終端する。また、ＮＡＴ装置は、ＶＰＮ終端装置から受信したパケットのアドレスを変換し、アドレス変換後のパケットを集合仮想ルータに送信する。また、ＮＡＴ装置は、集合仮想ルータから受信したパケットのアドレスを変換し、アドレス変換後のパケットをＶＰＮ終端装置に送信する。また、集合仮想ルータは、広域ネットワーク内のパケット転送を制御する。 Here, the VPN termination device accommodates the base via the access network and terminates the VPN between the accommodated base and the wide area network. Further, the NAT device converts the address of the packet received from the VPN termination device, and transmits the packet after the address conversion to the collective virtual router. Further, the NAT device converts the address of the packet received from the collective virtual router, and transmits the packet after the address conversion to the VPN termination device. The collective virtual router controls packet transfer in the wide area network.

また、図５に例示するように、集合仮想ルータには、ＶＰＮ間接続のための仮想ルータが、ＶＰＮ間接続要求に応じて時限的に設定される。すなわち、仮想ルータとは、ＶＰＮ間接続ごと（協働空間ごと）に設定されるルーティング情報であり、時限的に設定されたルーティング情報に従ってルーティングすることで、協働空間を実現する。なお、実施例２においては、一つの拠点が同じ時間帯に複数の協働空間に多重帰属する構成も想定する。 Further, as illustrated in FIG. 5, a virtual router for connection between VPNs is set in the aggregate virtual router in a time-limited manner according to a connection request between VPNs. That is, the virtual router is routing information set for each connection between VPNs (for each collaborative space), and implements a collaborative space by routing according to the routing information set for a limited time. In the second embodiment, a configuration is also assumed in which one base is assigned to a plurality of cooperating spaces in the same time zone.

なお、図５においては、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のＮＡＴ装置と、１台の筐体の集合仮想ルータとが設置される構成を例示したが、本発明はこれに限られるものではない。例えば、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のＮＡＴ装置と、１台の筐体の集合仮想ルータとの組合せがさらに複数設置される構成にも本発明を同様に適用することができる。また、例えば、複数台の筐体のＶＰＮ終端装置と、複数台の筐体のＮＡＴ装置と、複数台の筐体の集合仮想ルータとが組み合わせて設置される構成にも本発明を同様に適用することができる。 5 illustrates a configuration in which a plurality of VPN termination devices, a plurality of NAT devices, and a collective virtual router in one housing are installed. Is not limited to this. For example, the present invention is similarly applied to a configuration in which a plurality of combinations of VPN termination devices of a plurality of cases, NAT devices of a plurality of cases, and a collective virtual router of one case are further installed. can do. In addition, for example, the present invention is similarly applied to a configuration in which a plurality of casing VPN termination devices, a plurality of casing NAT devices, and a collective virtual router of a plurality of casings are installed in combination. can do.

また、例えば、ＶＰＮ終端装置が有する機能（拠点を収容するとともに、収容した拠点と広域ネットワークとの間でＶＰＮを終端する機能）と、ＮＡＴ装置が有する機能（アドレスを変換する機能）と、集合仮想ルータが有する機能（広域ネットワーク内のパケット転送を制御する機能）とが１台の筐体に収まった装置が設置される構成にも本発明を同様に適用することができる。 Further, for example, a function (a function for accommodating a base and terminating a VPN between the accommodated base and a wide area network), a function (a function for converting an address), and a set of a NAT apparatus The present invention can be similarly applied to a configuration in which an apparatus in which the function of the virtual router (the function of controlling packet transfer in the wide area network) is accommodated in one housing is installed.

また、図５においては、説明の便宜上、１台の筐体のＶＰＮ終端装置が１つの拠点を収容するが、本発明はこれに限られるものではなく、一般には、１台の筐体のＶＰＮ終端装置が複数の拠点を収容する。ここで、「拠点を収容する」とは、例えば、広域ネットワークに設置されるＶＰＮ終端装置とアクセスネットワークに設置されるルータなどのネットワーク装置との間を物理的に接続し、また、アクセスネットワークに設置されるルータなどのネットワーク装置と拠点に設置されるルータなどのネットワーク装置との間を物理的に接続することをいう。なお、拠点は、いわゆるネットワークではなく一端末の場合もある。例えば、拠点に設置されるルータが、物理的なルータではなく端末内のソフトウェアで実現される場合などである。 Further, in FIG. 5, for convenience of explanation, the VPN termination device of one casing accommodates one base, but the present invention is not limited to this, and generally the VPN of one casing is used. A termination device accommodates multiple sites. Here, “accommodating a base” means, for example, a physical connection between a VPN termination device installed in a wide area network and a network device such as a router installed in an access network, and also in the access network. A physical connection between a network device such as an installed router and a network device such as a router installed at a base. Note that the base may be one terminal instead of a so-called network. For example, there is a case where a router installed at a base is realized by software in a terminal instead of a physical router.

また、図５においては、アドレス決定装置を含むＶＰＮ間接続管理システムが広域ネットワークに設置される構成を例示したが、本発明はこれに限られるものではない。例えば、ＶＰＮ間接続管理システムが、ＶＰＮ終端装置、ＮＡＴ装置、及び集合仮想ルータと監視用のネットワークで接続されている構成にも本発明を同様に適用することができる。 5 illustrates a configuration in which the inter-VPN connection management system including the address determination device is installed in the wide area network, but the present invention is not limited to this. For example, the present invention can be similarly applied to a configuration in which an inter-VPN connection management system is connected to a VPN termination device, a NAT device, and a collective virtual router through a monitoring network.

また、図５においては、１台の筐体のＶＰＮ間接続管理システムが設置される構成を例示したが、本発明はこれに限られるものではない。例えば、複数台の筐体のＶＰＮ間接続管理システムが設置される構成や、例えば、記憶部などＶＰＮ間接続管理システムの一部が別の筐体で設置される構成などにも、本発明を同様に適用することができる。 5 illustrates a configuration in which the inter-VPN connection management system of one housing is installed, but the present invention is not limited to this. For example, the present invention can be applied to a configuration in which an inter-VPN connection management system having a plurality of casings is installed, or a configuration in which a part of the inter-VPN connection management system such as a storage unit is installed in another casing. The same can be applied.

ここで、図５に例示するように、ＶＰＮ終端装置とＮＡＴ装置と集合仮想ルータとは物理的に接続され、また、ＯＳＩ（Open Systems Interconnection）のデータリンク層におけるインタフェースの設定は事前に行われている。また、実施例２においては、ＶＰＮ間接続のネットワーク構成として、スター型を想定する。 Here, as illustrated in FIG. 5, the VPN terminating device, the NAT device, and the collective virtual router are physically connected, and the interface setting in the data link layer of OSI (Open Systems Interconnection) is performed in advance. ing. In the second embodiment, a star configuration is assumed as a network configuration for connection between VPNs.

［実施例２におけるアドレス決定方式］
上述したように、実施例２に係るＶＰＮ間接続管理システムは、アドレス決定装置を備え、アドレス決定装置が、ＶＰＮ間接続に用いられるアドレスを決定する。この結果、実施例２によれば、アドレスの重複を適切に解決することが可能になる。そこで、まず、実施例２におけるアドレス決定方式を説明する。なお、実施例２においては、アドレス変換の技術として、ＩＥＴＦ（Internet Engineering Task Force）によって公開されたＲＦＣ（Request for Comments）２６６３の技術（以下「Ｔｗｉｃｅ−ＮＡＴ」）を用いる。以下では、比較の観点から、まず、ＲＦＣ１６３１の技術（以下「Ｓｉｎｇｌｅ−ＮＡＴ」）を説明し、続いて、Ｔｗｉｃｅ−ＮＡＴを説明する。 [Address Determination Method in Embodiment 2]
As described above, the inter-VPN connection management system according to the second embodiment includes the address determination device, and the address determination device determines an address used for the connection between VPNs. As a result, according to the second embodiment, it is possible to appropriately resolve address duplication. First, the address determination method in the second embodiment will be described. In the second embodiment, an RFC (Request for Comments) 2663 technique (hereinafter “Twice-NAT”) published by the Internet Engineering Task Force (IETF) is used as an address translation technique. In the following, from the viewpoint of comparison, first, the technology of RFC1631 (hereinafter, “Single-NAT”) will be described, and then, Twice-NAT will be described.

［Ｓｉｎｇｌｅ−ＮＡＴを用いたアドレス決定方式］
図６は、Ｓｉｎｇｌｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。図６を参照しながら、以下の説明で用いる変数を定義する。なお、以下では、ＶＰＮ間接続される拠点を「ＶＰＮ」という。「ＶＰＮ_i」は、ＶＰＮ名であり、ｉ＝１，２，３，・・・である。「ａ_i」は、ＶＰＮ_iの内部で利用するアドレス（以下「拠点内アドレス」）である。「ＶＲＦ_m」は、集合仮想ルータに設定された仮想ルータ名であり、ｍ＝１，２，３，・・・である。なお、ＶＲＦは、Virtual Routing and Forwardingの略である。また、（１−１）式は、ＶＰＮ_iからＶＲＦ_m向けのアドレス変換を表す作用素である。

[Address determination method using Single-NAT]
FIG. 6 is a diagram for explaining an address determination method using Single-NAT. The variables used in the following description are defined with reference to FIG. Hereinafter, a base connected between VPNs is referred to as “VPN”. “VPN _i ” is the VPN name, i = 1, 2, 3,. “A _i ” is an address used inside VPN _i (hereinafter “in-site address”). “VRF _m ” is a virtual router name set in the collective virtual router, and m = 1, 2, 3,. VRF is an abbreviation for Virtual Routing and Forwarding. Expression (1-1) is an operator representing address conversion from VPN _i to VRF _m .

すると、ＶＰＮ_iの拠点内アドレスａ_iは、ＶＲＦ_m向けにアドレス変換されると（１−２）式となる。一方、ＶＰＮ_jの拠点内アドレスａ_jは、ＶＲＦ_m向けにアドレス変換されると（１−３）式となる。すなわち、図６に例示するように、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（１−２）式であり、ＶＰＮ_jを識別するためのアドレスは（１−３）式である。また、ＶＰＮ_iにおいて、接続先であるＶＰＮ_jを識別するためのアドレスは（１―３）式である。一方、ＶＰＮ_jにおいて、接続先であるＶＰＮ_iを識別するためのアドレスは（１−２）式である。

Then, the base address a _i of VPN _i is converted to the equation (1-2) when the address is converted for VRF _m . On the other hand, the base address a _j of VPN _j is expressed by equation (1-3) when the address is translated for VRF _m . That is, as illustrated in FIG. 6, in VRF _m , an address for identifying VPN _i is an expression (1-2), and an address for identifying VPN _j is an expression (1-3). Further, in VPN _i , an address for identifying VPN _j as a connection destination is represented by equation (1-3). On the other hand, in VPN _j , an address for identifying VPN _i as a connection destination is represented by equation (1-2).

例えば、図６に示すＶＰＮ_iからＶＰＮ_jに向けてパケットが送信されると、パケットは、ＶＲＦ_mを経由し、ＶＰＮ_i→ＶＲＦ_m→ＶＰＮ_jのように送信される。ここで、アドレス変換にＳｉｎｇｌｅ−ＮＡＴを用いる場合、ＮＡＴ装置は、送信元のアドレスのみを変換して宛先のアドレスを変換しない、または、宛先のアドレスのみを変換して送信元のアドレスを変換しない。このため、｛送信元アドレス，宛先アドレス｝の組合せは、アドレス変換により、ＶＰＮ_i内、ＶＲＦ_m内、ＶＰＮ_j内の各領域において、（１−４）式となる。なお、ｉ≠ｊである。

For example, when the packet to the VPN _j from VPN _i shown in FIG. 6 is transmitted, packets, via the VRF _m, is transmitted as _{_{_{VPN i → VRF m → VPN j}}} . Here, when Single-NAT is used for address conversion, the NAT device converts only the source address and does not convert the destination address, or converts only the destination address and does not convert the source address. . For this reason, the combination of {source address, destination address} is expressed by equation (1-4) in each region in VPN _i , VRF _m , and VPN _j by address conversion. Note that i ≠ j.

さて、アドレスは、「（１）ＶＰＮ側からルーティングが可能であること」かつ「（２）ＶＲＦ側からルーティングが可能であること」の２つの条件を満たすように決定されなければならない。 The address must be determined so as to satisfy two conditions of “(1) routing is possible from the VPN side” and “(2) routing is possible from the VPN side”.

「（１）ＶＰＮ側からルーティングが可能であること」を検討すると、（１）の条件は、すなわち、「ＶＰＮ_iから同時にアクセスする可能性がある接続先に関するＶＲＦに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「通信相手となる他ＶＰＮ配下の端末をＶＰＮ内で識別するためのアドレスを、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ内で通信相手となり得る端末の中で一意となるように決定しなければならない」という条件となる。 Considering "(1) that routing is possible from the VPN side", the condition of (1) is that "the route to the VRF regarding the connection destination that may be accessed simultaneously from VPN _i is different". It becomes the condition. In other words, “a terminal that can be used as a communication partner in the VPN in a time zone that overlaps with a time zone in which the connection between VPNs is used for identifying a terminal under the other VPN as a communication partner in the VPN. It must be determined so as to be unique among the above.

上記変数を用いて表すと、（１−５）式となる。すなわち、例えば、ＶＰＮ_iから同時にアクセスする可能性がある接続先が、ＶＰＮ_j及びＶＰＮ_kであり、ＶＰＮ_jとはＶＲＦ_m経由で、また、ＶＰＮ_kとはＶＲＦn経由でＶＰＮ間接続するとする（ｍ≠ｎ）。すると、ＶＰＮ_iにおいて、接続先ＶＰＮ_jのアドレスは（１−６）式であり、接続先ＶＰＮ_kのアドレスは（１−７）式であるので、上記（１−５）式は、これらが一意となるように決定しなければならないことを表す。

When expressed using the above variables, equation (1-5) is obtained. That is, for example, the destination that may be accessed simultaneously by VPN _i is a VPN _j and VPN _k, via VRF _m and VPN _j, also the connection between the VPN via VRFn the VPN _k ( m ≠ n). Then, in VPN _i , since the address of the connection destination VPN _j is the expression (1-6) and the address of the connection destination VPN _k is the expression (1-7), the above expression (1-5) Indicates that it must be determined to be unique.

また、「（２）ＶＲＦ側からルーティングが可能であること」を検討すると、（２）の条件は、すなわち、「ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「ＶＰＮ間接続に属する各ＶＰＮ配下の端末を広域ネットワーク内で識別するためのアドレスを、該ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ間接続として制御され得る端末の中で一意となるように決定しなければならない」という条件となる。 Further, considering “(2) that routing is possible from the VPN side”, the condition of (2) is that “the route to the VPN that may simultaneously access VRF _m is different”. It becomes a condition. In other words, “the address for identifying the terminals under each VPN belonging to the connection between VPNs within the wide area network is controlled as the connection between VPNs in a time zone overlapping with the time zone in which the connection between VPNs is used. It must be determined to be unique among terminals that can be performed.

上記変数を用いて表すと、（１−８）式となる。すなわち、例えば、ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮが、ＶＰＮ_i及びＶＰＮ_jであるとする（ｉ≠ｊ）。すると、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（１−９）式であり、ＶＰＮ_jを識別するためのアドレスは（１−１０）式であるので、上記（１−８）式は、これらが一意となるように決定しなければならないことを表す。

When expressed using the above variables, equation (1-8) is obtained. That is, for example, it is assumed that VPNs that may simultaneously access VRF _m are VPN _i and VPN _j (i ≠ j). Then, in VRF _m , the address for identifying VPN _i is the expression (1-9), and the address for identifying VPN _j is the expression (1-10). Therefore, the above expression (1-8) Indicates that they must be determined to be unique.

ここで、注目すべきは、（１−５）式は、異なるＶＲＦ間で一意にアドレスを決定することを表しており、一方、（１−８）式は、各ＶＲＦ内にて一意にアドレスを決定することを表している点である。結局、（１−５）式かつ（１−８）式を満たすためには、「同時にアクセスする可能性がある全てのＶＲＦ間でアドレスの重複がないこと」を満たさなければならず、（１）の条件と（２）の条件とは独立の条件とはならない。 Here, it should be noted that the expression (1-5) uniquely determines an address between different VRFs, while the expression (1-8) uniquely addresses within each VRF. It is a point that represents the determination. Eventually, in order to satisfy the expressions (1-5) and (1-8), it is necessary to satisfy “there is no duplication of addresses among all VRFs that may be accessed simultaneously” (1 ) And (2) are not independent conditions.

例えば、ＶＰＮ₁が同時にアクセスする可能性があるＶＲＦ（群）と、ＶＰＮ₂が同時にアクセスする可能性があるＶＲＦ（群）とが一部でも重複した場合、ＶＰＮ₁とＶＰＮ₂とが同時にアクセスする可能性があるＶＲＦ（群）で、（１）の条件と（２）の条件とを完全に独立に考えることはできない。 For example, if the VRF (group) that VPN ₁ may access at the same time and the VRF (group) that VPN ₂ may access at the same time overlap, VPN ₁ and VPN ₂ will access simultaneously In the VRF (s) that may be, the conditions of (1) and (2) cannot be considered completely independent.

また、オンデマンドなＶＰＮ間接続サービスにおいて、ＶＲＦは、時限的に生成消滅を繰り返す。このため、例えば、同時にアクセスする可能性があるＶＲＦが複数存在する場合や、既にアドレスを割り当て済みのＶＲＦに対して時間的に遡って新たなＶＰＮを収容しなければならない場合などには、他のＶＲＦの生成消滅も含め時間軸上でアドレスを管理しなければならず、アドレスの管理が困難である。さらに、同時にアクセスする可能性があるＶＲＦの数が膨大になると、アドレスが枯渇し、アドレスの割り当てができなくなるおそれがある。 In addition, in the on-demand inter-VPN connection service, the VRF repeatedly generates and disappears in a timely manner. For this reason, for example, when there are a plurality of VRFs that may be accessed at the same time, or when a new VPN must be accommodated retroactively with respect to a VRF to which an address has already been assigned, etc. Addresses must be managed on the time axis, including the generation and disappearance of VRFs, making it difficult to manage addresses. Furthermore, if the number of VRFs that can be accessed at the same time becomes enormous, addresses may be depleted, and addresses may not be assigned.

［Ｔｗｉｃｅ−ＮＡＴを用いたアドレス決定方式］
続いて、実施例２において用いるＴｗｉｃｅ−ＮＡＴを説明する。図７は、Ｔｗｉｃｅ−ＮＡＴを用いたアドレス決定方式を説明するための図である。図７を参照しながら、以下の説明で用いる変数を定義する。「ＶＰＮ_i」は、ＶＰＮ名であり、ｉ＝１，２，３，・・・である。「ａ_i」は、ＶＰＮ_iの内部で利用する拠点内アドレスである。「ＶＲＦ_m」は、仮想ルータ名であり、ｍ＝１，２，３，・・・である。また、（２−１）式は、ＶＰＮ_iからＶＲＦ_m向けのアドレス変換を表す作用素である。また、（２−２）式は、ＶＲＦ_mからＶＰＮ_j向けのアドレス変換を表す作用素である。また、定義より、（２−３）式が成立し、したがって（２−４）式が成立する。

[Address determination method using Twice-NAT]
Next, Twice-NAT used in the second embodiment will be described. FIG. 7 is a diagram for explaining an address determination method using Twice-NAT. With reference to FIG. 7, variables used in the following description are defined. “VPN _i ” is the VPN name, i = 1, 2, 3,. “A _i ” is an in-base address used inside VPN _i . “VRF _m ” is a virtual router name, and m = 1, 2, 3,. Expression (2-1) is an operator representing address conversion from VPN _i to VRF _m . Expression (2-2) is an operator representing address conversion from VRF _m to VPN _j . Further, from the definition, equation (2-3) is established, and therefore equation (2-4) is established.

すると、ＶＰＮ_iの拠点内アドレスａ_iは、ＶＲＦ_m向けにアドレス変換されると（２−５）式となる。一方、ＶＰＮ_jの拠点内アドレスａ_jは、ＶＲＦ_m向けにアドレス変換されると（２−６）式となる。すなわち、図７に例示するように、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（２−５）式であり、ＶＰＮ_jを識別するためのアドレスは（２−６）式である。また、ＶＰＮ_iにおいて、接続先であるＶＰＮ_jを識別するためのアドレスは、（２−６）式にさらにＶＲＦ_mからＶＰＮ_i向けのアドレス変換が行われた（２−７）式となる。一方、ＶＰＮ_jにおいて、接続先であるＶＰＮ_iを識別するためのアドレスは、（２−５）式にさらにＶＲＦ_mからＶＰＮ_j向けのアドレス変換が行われた（２−８）式となる。

Then, the base address a _i of VPN _i is converted to the expression (2-5) when the address is converted for VRF _m . On the other hand, the site in the address a _j of VPN _j becomes When address translation for VRF _m and (2-6) below. That is, as illustrated in FIG. 7, in VRF _m , an address for identifying VPN _i is an expression (2-5), and an address for identifying VPN _j is an expression (2-6). Further, in VPN _i , an address for identifying VPN _j as a connection destination is represented by equation (2-7) obtained by further performing address conversion from VRF _m to VPN _{i in} equation (2-6). On the other hand, in VPN _j , an address for identifying VPN _i as a connection destination is represented by equation (2-8) obtained by further performing address conversion from VRF _m to VPN _{j in the} equation (2-5).

例えば、図７に示すＶＰＮ_iからＶＰＮ_jに向けてパケットが送信されると、パケットは、ＶＲＦ_mを経由し、ＶＰＮ_i→ＶＲＦ_m→ＶＰＮ_jのように送信される。ここで、アドレス変換にＴｗｉｃｅ−ＮＡＴを用いる場合、ＮＡＴ装置は、送信元のアドレス及び宛先のアドレスを変換する。このため、｛送信元アドレス，宛先アドレス｝の組合せは、アドレス変換により、ＶＰＮ_i内、ＶＲＦ_m内、ＶＰＮ_j内の各領域において、（２−９）式となる。なお、ｉ≠ｊである。

For example, when the packet to the VPN _j from VPN _i shown in FIG. 7 is transmitted, packets, via the VRF _m, is transmitted as _{_{_{VPN i → VRF m → VPN j}}} . Here, when using Twice-NAT for address conversion, the NAT device converts the source address and the destination address. For this reason, the combination of {source address, destination address} is expressed by equation (2-9) in each area in VPN _i , VRF _m , and VPN _j by address conversion. Note that i ≠ j.

さて、アドレスは、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、「（１´）ＶＰＮ側からルーティングが可能であること」かつ「（２´）ＶＲＦ側からルーティングが可能であること」の２つの条件を満たすように決定されなければならない。 As with the conditions when using Single-NAT, the addresses are two types: “(1 ′) routing is possible from the VPN side” and “(2 ′) routing is possible from the VRF side”. Must be determined to meet the conditions.

「（１´）ＶＰＮ側からルーティングが可能であること」を検討すると、（１´）の条件は、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、すなわち、「ＶＰＮ_iから同時にアクセスする可能性がある接続先に関するＶＲＦに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「通信相手となる他ＶＰＮ配下の端末をＶＰＮ内で識別するためのアドレスを、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ内で通信相手となり得る端末の中で一意となるように決定しなければならない」という条件となる。 Examining “(1 ′) that routing is possible from the VPN side”, the condition of (1 ′) is the same as the condition when using Single-NAT, that is, “the possibility of simultaneous access from VPN _i. The condition is that the route to the VRF for a certain connection destination is different. In other words, “a terminal that can be used as a communication partner in the VPN in a time zone that overlaps with a time zone in which the connection between VPNs is used for identifying a terminal under the other VPN as a communication partner in the VPN. It must be determined so as to be unique among the above.

上記変数を用いて表すと、（２−１０）式となる。すなわち、例えば、ＶＰＮ_iから同時にアクセスする可能性がある接続先が、ＶＰＮ_j及びＶＰＮ_kであり、ＶＰＮ_jとはＶＲＦ_m経由で、また、ＶＰＮ_kとはＶＲＦn経由でＶＰＮ間接続するとする（ｍ≠ｎ）。すると、ＶＰＮ_iにおいて、接続先ＶＰＮ_jを識別するためのアドレスは（２−１１）式であり、接続先ＶＰＮ_kを識別するためのアドレスは（２−１２）式であるので、上記（２−１０）式は、これらが一意となるように決定しなければならないことを表す。

When expressed using the above variables, equation (2-10) is obtained. That is, for example, the destination that may be accessed simultaneously by VPN _i is a VPN _j and VPN _k, via VRF _m and VPN _j, also the connection between the VPN via VRFn the VPN _k ( m ≠ n). Then, in VPN _i , the address for identifying the connection destination VPN _j is the equation (2-11), and the address for identifying the connection destination VPN _k is the equation (2-12). The expression −10) represents that these must be determined to be unique.

また、「（２´）ＶＲＦ側からルーティングが可能であること」を検討すると、（２´）の条件は、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、すなわち、「ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮに対するルートが異なっていること」という条件となる。これをさらに言い換えると、「ＶＰＮ間接続に属する各ＶＰＮ配下の端末を広域ネットワーク内で識別するためのアドレスを、該ＶＰＮ間接続を利用する時間帯と重複する時間帯に該ＶＰＮ間接続として制御され得る端末の中で一意となるように決定しなければならない」という条件となる。 Also, considering “(2 ′) that routing is possible from the VRF side”, the condition of (2 ′) is the same as the condition when using Single-NAT, that is, “VRF _m can be accessed simultaneously. It is a condition that the route to the VPN having a characteristic is different. In other words, “the address for identifying the terminals under each VPN belonging to the connection between VPNs within the wide area network is controlled as the connection between VPNs in a time zone overlapping with the time zone in which the connection between VPNs is used. It must be determined to be unique among terminals that can be performed.

上記変数を用いて表すと、Ｓｉnｇｌｅ−ＮＡＴを用いる場合の条件と同様、（２−１３）式となる。すなわち、例えば、ＶＲＦ_mに同時にアクセスする可能性があるＶＰＮが、ＶＰＮ_i及びＶＰＮ_jであるとする（ｉ≠ｊ）。すると、ＶＲＦ_mにおいて、ＶＰＮ_iを識別するためのアドレスは（２−１４）式であり、ＶＰＮ_jを識別するためのアドレスは（２−１５）式であるので、上記（２−１３）式は、これらが一意となるように決定しなければならないことを表す。

When expressed using the above variables, the expression (2-13) is obtained as in the case of using Single-NAT. That is, for example, it is assumed that VPNs that may simultaneously access VRF _m are VPN _i and VPN _j (i ≠ j). Then, in VRF _m , the address for identifying VPN _i is the expression (2-14) and the address for identifying VPN _j is the expression (2-15). Therefore, the above expression (2-13) Indicates that they must be determined to be unique.

ここで、注目すべきは、（２−１０）式は、各ＶＰＮ内にて一意にアドレスを決定することを表しており、（２−１３）式は、各ＶＲＦ内にて一意にアドレスを決定することを表しており、（２−１０）式の条件と（２−１３）式の条件とが独立の条件となっている点である。すなわち、アドレス変換にＴｗｉｃｅ−ＮＡＴを用いる場合、ＮＡＴ装置は、送信元のアドレス及び宛先のアドレスを変換するので、ＮＡＴ装置を境界として、拠点側のアドレス体系と、広域ネットワーク側のアドレス体系とを、独立させることができる。この結果、（１´）の条件と（２´）の条件とが独立の条件となる。したがって、例えば、拠点側のアドレス体系をＩＰ（Internet Protocol）ｖ４とし、広域ネットワーク側のアドレス体系をＩＰｖ６とすることも可能である。 Here, it should be noted that the expression (2-10) uniquely determines an address in each VPN, and the expression (2-13) uniquely specifies an address in each VRF. This represents that the condition of the expression (2-10) and the condition of the expression (2-13) are independent conditions. That is, when using Twice-NAT for address translation, the NAT device translates the source address and the destination address, so the NAT side is the boundary and the address system on the base side and the address system on the wide area network side are separated. Can be independent. As a result, the condition (1 ′) and the condition (2 ′) are independent conditions. Therefore, for example, the address system on the base side can be set to IP (Internet Protocol) v4, and the address system on the wide area network side can be set to IPv6.

このようなことから、例えば、ＶＰＮ₁が同時にアクセスする可能性があるＶＲＦ（群）と、ＶＰＮ₂が同時にアクセスする可能性があるＶＲＦ（群）とが一部でも重複した場合、ＶＰＮ₁とＶＰＮ₂とが同時にアクセスする可能性があるＶＲＦ（群）で、（１´）の条件と（２´）の条件とを完全に独立に考えることができる。また、あるひと組のＶＰＮが、異なるＶＲＦに同時にアクセスする（多重帰属する）場合、（１´）の条件から、一方のＶＰＮにおいて、接続対象である他ＶＰＮ配下の一つの端末に、経由するＶＲＦの違いによって、異なるアドレスが対応付けられることになる。 For this reason, for example, if the VRF (group) that VPN ₁ may access simultaneously and the VRF (group) that VPN ₂ may access simultaneously partially overlap, VPN ₁ and In the VRF (s) that VPN ₂ may access at the same time, the condition (1 ′) and the condition (2 ′) can be considered completely independently. In addition, when a set of VPNs simultaneously accesses different VRFs (multiple belongings), from one of the VPNs, one VPN is connected to one terminal under the other VPN that is the connection target. Different addresses are associated with each other depending on the difference in VRF.

また、オンデマンドなＶＰＮ間接続サービスにおいて、ＶＲＦは、時限的に生成消滅を繰り返すが、複数に同時にアクセスする可能性があるＶＲＦ間での整合性まで考慮する必要がないので、アドレス管理の困難さやアドレスの枯渇といったおそれも解消する。 In addition, in an on-demand inter-VPN connection service, VRFs are repeatedly generated and extinguished in a timely manner, but it is not necessary to consider consistency between VRFs that may access a plurality at the same time, making it difficult to manage addresses. It also eliminates the possibility of running out of addresses.

［アドレス決定方式のフローチャート］
次に、図８を用いて、上述したアドレス決定方式のフローチャートを説明する。図８は、実施例２におけるアドレス決定方式の処理手順を示すフローチャートである。なお、時刻ｔ１〜ｔ２の間に、ＶＲＦ_mにＶＰＮ_jを収容する例を用いて説明する。 [Flow chart of address determination method]
Next, a flowchart of the address determination method described above will be described with reference to FIG. FIG. 8 is a flowchart illustrating the processing procedure of the address determination method according to the second embodiment. Between the times t1 to t2, it will be described using an example for accommodating the VPN _j to VRF _m.

上述したように、（２´）の条件は、各ＶＲＦにて判断される条件である。このため、新規にＶＲＦを構築する場合には、必ずアドレスの払い出しが可能である。一方、既に構築されたＶＲＦに新たにＶＰＮを収容する場合には、空きのアドレスが存在する場合にのみアドレスの払い出しが可能である。このようなことから、図８に例示するように、アドレス決定装置は、まず、新規にＶＲＦを構築するか否かを判断する（ステップＳ１１）。 As described above, the condition (2 ′) is a condition determined by each VRF. For this reason, when a new VRF is constructed, it is always possible to pay out an address. On the other hand, when a VPN is newly accommodated in a VRF that has already been constructed, the address can be paid out only when there is an empty address. For this reason, as illustrated in FIG. 8, the address determination device first determines whether or not a new VRF is to be constructed (step S11).

新規にＶＲＦを構築する場合（ステップＳ１１肯定）、アドレス決定装置は、ＶＲＦ_mにて接続先ＶＰＮ_jを識別するアドレス（３−１）式を決定する（ステップＳ１２）。

When constructing a new VRF (Yes at Step S11), the address determination device determines an address (3-1) expression for identifying the connection destination VPN _j using VRF _m (Step S12).

続いて、アドレス決定装置は、時刻ｔ１〜ｔ２の間に、ＶＲＦ_mに収容された他のＶＰＮ_i（ｉ≠ｊ）内部で、（３−２）式を満たす（３−３）式が存在するかを判定する（ステップＳ１３）。

Subsequently, the address determination apparatus has an expression (3-3) that satisfies the expression (3-2) in another VPN _i (i ≠ j) accommodated in the VRF _m between the times t1 and t2. It is determined whether to do (step S13).

そして、存在すると判定した場合には（ステップＳ１３肯定）、払い出し可能であるので（ステップＳ１４）、アドレス決定装置は、（３−３）式を決定する（ステップＳ１５）。一方、存在しないと判定した場合には（ステップＳ１３否定）、払い出し不可であるので（ステップＳ１６）、アドレス決定装置は、エラー応答を行う（ステップＳ１７）。 If it is determined that it exists (Yes at Step S13), it can be paid out (Step S14), and therefore the address determination device determines Expression (3-3) (Step S15). On the other hand, when it is determined that it does not exist (No at Step S13), since the payout is impossible (Step S16), the address determination device makes an error response (Step S17).

一方、ステップＳ１１において、既に構築されたＶＲＦに新たにＶＰＮを収容する場合には（ステップＳ１１否定）、アドレス決定装置は、時刻ｔ１〜ｔ２の間に、ＶＲＦ_m内部で、（３−４）式を満たす（３−５）式が存在するかを判定する（ステップＳ１８）。

On the other hand, when a new VPN is accommodated in the already constructed VRF in step S11 (No in step S11), the address determination device performs (3-4) in the VRF _m between times t1 and t2. It is determined whether there is an expression (3-5) that satisfies the expression (step S18).

存在すると判定した場合には（ステップＳ１８肯定）、続いて、アドレス決定装置は、時刻ｔ１〜ｔ２の間に、ＶＲＦ_mに収容された他のＶＰＮ_i（ｉ≠ｊ）内部で、（３−６）式を満たす（３−７）式が存在するかを判定する（ステップＳ１９）。

If it is determined that it exists (Yes at Step S18), the address determination device then (3−3) inside another VPN _i (i ≠ j) accommodated in the VRF _m during the time t1 to t2. 6) It is determined whether there is an expression (3-7) that satisfies the expression (step S19).

そして、存在すると判定した場合には（ステップＳ１９肯定）、払い出し可能であるので（ステップＳ２０）、アドレス決定装置は、（３−８）式及び（３−９）式を決定する（ステップＳ２１）。一方、ステップＳ１８において存在しないと判定した場合（ステップＳ１８否定）、及び、ステップＳ１９において存在しないと判定した場合には（ステップＳ１９否定）、払い出し不可であるので（ステップＳ２２）、アドレス決定装置は、エラー応答を行う（ステップＳ２３）。

Then, if it is determined that it exists (Yes at Step S19), it can be paid out (Step S20), so the address determination device determines Expressions (3-8) and (3-9) (Step S21). . On the other hand, if it is determined in step S18 that it does not exist (No in step S18) and if it is determined in step S19 that it does not exist (No in step S19), the payout is impossible (step S22). Then, an error response is made (step S23).

このように、（１´）の条件と（２´）の条件とを、独立に、無関係に、逐次的に検討することができるので、アドレスを決定するアルゴリズムは簡素化される。 As described above, the condition (1 ′) and the condition (2 ′) can be examined independently, independently and independently, so that the algorithm for determining the address is simplified.

［アドレス決定方式の具体例］
次に、図９〜１１を用いて、アドレス決定方式の具体例を説明する。図９及び図１０は、アドレス決定方式の具体例を説明するための図であり、図１１は、アドレス決定の考え方を説明するための図である。まず、図９に例示するように、『Ａ社』は、『ＶＰＮ１』に属する拠点であり、既にＶＰＮ間接続サービスを利用している。また、『Ａ社』は、ＶＰＮ間接続サービスの契約時に、ＶＰＮ間接続管理システムに拠点内アドレスを登録済みである。ＶＰＮ間接続管理システムが、『Ａ社』が利用できるアドレスのうち、『Ａ社』内で利用していないアドレスをＶＰＮ間接続用に割り当てるためである。すなわち、拠点内アドレスとは、『Ａ社』にて用いられているプライベートアドレスであり、『Ａ社』にて既に用いられているか、あるいは将来用いられる可能性があるプライベートアドレスとして管理されているものである。拠点内アドレスは、各拠点において任意に用いられているプライベートアドレスであるので、拠点間で重複する可能性がある。 [Specific example of address determination method]
Next, a specific example of the address determination method will be described with reference to FIGS. 9 and 10 are diagrams for explaining a specific example of the address determination method, and FIG. 11 is a diagram for explaining the concept of address determination. First, as illustrated in FIG. 9, “Company A” is a base belonging to “VPN1”, and already uses the inter-VPN connection service. Further, “Company A” has already registered the in-base address in the inter-VPN connection management system when contracting for the inter-VPN connection service. This is because the inter-VPN connection management system allocates addresses that are not used in “Company A” among the addresses that can be used by “Company A” for connection between VPNs. That is, the in-site address is a private address used by “Company A” and is already used by “Company A” or managed as a private address that may be used in the future. Is. Since the in-site address is a private address arbitrarily used in each base, there is a possibility of overlapping between the bases.

また、『ＶＰＮ１』は、仮想ルータ『ＶＲＦ１』及び『ＶＲＦ２』に接続している。また、仮想ルータ『ＶＲＦ１』では、『ＶＰＮ１』以外に２本のＶＰＮが接続され、仮想ルータ『ＶＲＦ２』では、『ＶＰＮ１』以外に３本のＶＰＮが接続されている。 “VPN1” is connected to virtual routers “VRF1” and “VRF2”. In the virtual router “VRF1”, two VPNs are connected in addition to “VPN1”, and in the virtual router “VRF2”, three VPNs are connected in addition to “VPN1”.

『Ａ社』は、『ＶＰＮ１』経由で『ＶＲＦ１』及び『ＶＲＦ２』に接続している。このとき、『ＶＰＮ終端装置１』のルーティングテーブルには、『ＶＲＦ１』向けに２ルート、『ＶＲＦ２』向けに３ルートのルーティング情報が記載されている。また、それぞれ、『Ａ社』が社内で利用していないプライベートアドレスが利用されている。『Ａ社』で利用しているプライベートアドレスは事前に登録されているので、ＶＰＮ間接続管理システムは、この登録内容を用いて、利用していないプライベートアドレスを求めることができるのである。なお、『ＶＰＮ終端装置１』が各ＶＲＦへルーティングを行うためには、この５ルートは独立している必要がある。 “Company A” is connected to “VRF1” and “VRF2” via “VPN1”. At this time, the routing table of “VPN terminating device 1” describes the routing information of 2 routes for “VRF1” and 3 routes for “VRF2”. In addition, private addresses that “Company A” does not use in-house are used. Since the private address used by “Company A” is registered in advance, the inter-VPN connection management system can obtain an unused private address using this registered content. In order for the “VPN termination device 1” to perform routing to each VRF, these five routes need to be independent.

『Ａ社』が新たに仮想ルータを追加する（『ＶＲＦ３』）。『ＶＲＦ３』には、『ＶＰＮ１』以外に１本のＶＰＮが接続される。このため、『Ａ社』の『ＶＰＮ終端装置１』から『ＶＲＦ３』向けに１ルート追加される。追加される１ルートには、以下の条件を両方満たすアドレスを割り当てなければならない。 “Company A” adds a new virtual router (“VRF3”). In addition to “VPN1”, one VPN is connected to “VRF3”. Therefore, one route is added from “VPN terminating device 1” of “Company A” to “VRF3”. One route to be added must be assigned an address that satisfies both of the following conditions.

すなわち、（１）『Ａ社』内で利用していないプライベートアドレス、（２）ＶＲＦ向けルートとして利用していないプライベートアドレスの条件である。今回は、『ＶＲＦ１』向けの２ルートと『ＶＲＦ２』向けの３ルート以外が対象となる。ここで、図１０のａは、『Ａ社』が利用できるアドレス全体を示す。また、図１０のｂは、『Ａ社』内で利用しているプライベートアドレスを示し、ＶＰＮ間接続システムの利用とは関係なく『Ａ社』内で利用しているプライベートアドレスである。また、図１０のｃは、ＶＲＦ向けルートとして利用しているプライベートアドレスを示し、ＶＰＮ間接続システム用としてＶＰＮ間接続管理システムが『Ａ社』に既に払い出した（または予約した）プライベートアドレスである。上記２条件を満たすことができるアドレス（図１０のｄ（＝ａ−（ｂ＋ｃ））がなければ、新規にアドレスを割り当てることはできず、ＶＰＮ間接続管理システムは、払い出し不可のエラー応答を返すなどする。 That is, (1) a private address that is not used in “Company A”, and (2) a private address that is not used as a route for the VRF. This time, other than the two routes for “VRF1” and the three routes for “VRF2” are targeted. Here, a in FIG. 10 shows the entire address that can be used by “Company A”. Further, b in FIG. 10 shows a private address used in “Company A”, and is a private address used in “Company A” regardless of the use of the inter-VPN connection system. Further, c in FIG. 10 shows a private address used as a route for the VRF, which is a private address that has already been issued (or reserved) to the “Company A” by the VPN connection management system for the VPN connection system. . If there is no address that can satisfy the above two conditions (d (= a− (b + c) in FIG. 10), a new address cannot be assigned, and the inter-VPN connection management system returns an error response indicating that it cannot be issued. Etc.

なお、ＶＰＮ間接続管理システムは、アドレスを決定する際、ＶＰＮ間接続サービス利用のために未だ予約されていないアドレス、かつ利用中でないアドレスを探索して決定する。すなわち、アドレス空間は一次元量である。したがって、ＶＰＮ間接続管理システムは、図１１に例示するように、予約時間帯について、未だ予約されていないアドレスを探索し、探索したアドレスを、当該予約時間帯にＶＰＮ間接続サービスを利用するためのアドレスとして決定する。 The inter-VPN connection management system searches for and determines an address that has not yet been reserved for using the inter-VPN connection service and that is not in use. That is, the address space is a one-dimensional quantity. Accordingly, as illustrated in FIG. 11, the inter-VPN connection management system searches for an address that has not yet been reserved in the reservation time zone, and uses the searched address for the inter-VPN connection service in the reservation time zone. Determine as the address.

例えば、図１１を用いて説明すると、ＶＰＮ間接続サービスの予約を受け付けた時点において、あるＶＰＮにおいて、ｔ１〜ｔ１´の時間帯にサブネットマスク２４ビットのアドレス帯が一つ（１ルート分、接続先となる他ＶＰＮは１つ）予約されているとする。また、ｔ２〜ｔ２´の時間帯にサブネットマスク２４ビットのアドレス帯が二つ（２ルート分接続先となる他ＶＰＮは２つ）予約されているとする。また、ｔ３〜ｔ３´の時間帯にサブネットマスク２４ビットのアドレス帯が一つ（１ルート分、接続先となる他ＶＰＮは１つ）予約されているとする。なお、図１１においては、既に予約されたアドレス帯を実線で示す。 For example, referring to FIG. 11, when a reservation for an inter-VPN connection service is accepted, one VPN has a 24-bit address mask with a subnet mask of t1 to t1 ′ (one route is connected). It is assumed that one other VPN is reserved). Further, it is assumed that two 24-bit subnet mask address bands (two other VPNs as connection destinations for two routes) are reserved in the time period from t2 to t2 ′. Further, it is assumed that one subnet mask 24-bit address band (one route and one other VPN as a connection destination is reserved) is reserved in the time period from t3 to t3 ′. In FIG. 11, the already reserved address band is indicated by a solid line.

ここで、新たな予約のために、ｔ４〜ｔ４´の時間帯に、３ルート分のアドレス帯を払い出さなければならなくなったとする。すると、ＶＰＮ間接続管理システムは、図１１に示すように、ｔ４〜ｔ４´の時間帯について、未だ予約されていないサブネットマスク２４ビットのアドレス帯三つを、ｔ４〜ｔ４´の時間帯にＶＰＮ間接続サービスを利用するためのアドレスとして決定する。なお、図１１においては、新たな予約のためのアドレス帯を点線で示す。 Here, it is assumed that for the new reservation, it is necessary to pay out address bands for three routes in the time period from t4 to t4 ′. Then, as shown in FIG. 11, the inter-VPN connection management system uses three subnet mask 24-bit address bands that have not been reserved for the time period t4 to t4 ′ as the VPN in the time period t4 to t4 ′. It is determined as an address for using the inter-connection service. In FIG. 11, an address band for a new reservation is indicated by a dotted line.

なお、以下に説明するように、実施例２におけるＶＰＮ間接続管理システム１００は、プライベートアドレス全体を、ＶＰＮ間接続サービスに利用することができるアドレスとして管理している。そして、ＶＰＮ間接続管理システム１００は、既に予約されたアドレスを時間軸上で探索し、プライベートアドレス全体のうち、既に予約されたアドレスとして探索されたアドレス以外のアドレスであって、かつ、拠点内で用いられているプライベートアドレス、各機器のインタフェース用として割り当てられたアドレス以外のアドレスを、新たに払い出すアドレスとして決定する。 As described below, the inter-VPN connection management system 100 according to the second embodiment manages the entire private address as an address that can be used for the inter-VPN connection service. The inter-VPN connection management system 100 searches for an already reserved address on the time axis, and is an address other than the address searched as an already reserved address out of all private addresses, Addresses other than the private addresses used in the above and addresses assigned for the interface of each device are determined as new payout addresses.

例えば、ＶＰＮ間接続管理システム１００は、ＶＰＮ間接続を識別する情報と、ＶＰＮ間接続に属するＶＰＮを識別する情報と、既に予約されたアドレスとを対応付けて記憶部に記憶し、また、プライベートアドレス全体と、拠点内で用いられているプライベートアドレスと、各機器のインタフェース用として割り当てられたアドレスとを記憶部に記憶していてもよい。そして、ＶＰＮ間接続管理システム１００は、ＶＰＮ間接続を要求するＶＰＮ間接続要求を受け付けると、この記憶部を検索することで、新たに払い出すアドレスを決定する。また、このとき、ＶＰＮ間接続管理システム１００は、プライベートアドレス全体のうち、例えば、アドレスの昇順で空きのアドレスから決定する、あるいは、降順で空きのアドレスから決定する、あるいは、ランダムで決定することができる。また、サブネットマスク２４ビットに限られず、例えばサブネットマスク３２ビットのアドレスを払い出してもよい。すなわち、サブネットマスクに何ら制限はない。 For example, the inter-VPN connection management system 100 stores the information for identifying the inter-VPN connection, the information for identifying the VPN belonging to the inter-VPN connection, and the already reserved address in the storage unit, and stores them in the storage unit. The entire address, the private address used in the base, and the address assigned for the interface of each device may be stored in the storage unit. When the inter-VPN connection management system 100 receives an inter-VPN connection request for requesting an inter-VPN connection, the inter-VPN connection management system 100 searches this storage unit to determine a new payout address. Further, at this time, the inter-VPN connection management system 100 determines, from among the private addresses, for example, an empty address in ascending order of addresses, or an empty address in descending order, or randomly determined. Can do. Further, the address is not limited to the subnet mask of 24 bits, and for example, an address of the subnet mask of 32 bits may be issued. That is, there is no restriction on the subnet mask.

［実施例２におけるアドレス変換情報、ルーティング情報の設定例］
次に、図１２〜１５を用いて、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明する。図１２〜１５は、実施例２におけるアドレス変換情報、ルーティング情報の設定例を説明するための図である。なお、以下の説明は、ある端末からある端末宛に送出されたパケットがどの装置でどのようにアドレス変換されるかを検討することで、ＶＰＮ間接続管理システム１００が決定するアドレスについて、具体的な値を用いて説明するものである。したがって、以下の説明は、必ずしも処理の順番や設定の順番を示すものではない。 [Setting example of address translation information and routing information in the second embodiment]
Next, an example of setting address translation information and routing information in the second embodiment will be described with reference to FIGS. 12 to 15 are diagrams for explaining an example of setting address translation information and routing information in the second embodiment. Note that the following description is specific to the address determined by the inter-VPN connection management system 100 by examining which device and how the address of a packet sent from a certain terminal to a certain terminal is converted. This will be explained using various values. Therefore, the following description does not necessarily indicate the order of processing or the order of setting.

まず、図１２を用いて、想定するネットワーク構成を説明する。図１２に例示するように、拠点『Ａ社』の端末αと、拠点『Ｂ社』の端末βとをＶＰＮ間接続するサービスを提供することで、拠点『Ａ社』と『Ｂ社』との協働空間を提供する事例を想定する。図１２に例示するように、拠点『Ａ社』の接続先ＩＤは『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』であり、端末αの拠点内アドレスは、『１９２．１６８．１．１０／２４』である。また、拠点『Ｂ社』の接続先ＩＤは『ＵｓｅｒＢ−Ｏｆｆｉｃｅ』であり、端末βの拠点内アドレスは、『１９２．１６８．１．１０／２４』である。 First, an assumed network configuration will be described with reference to FIG. As illustrated in FIG. 12, by providing a service for connecting the terminal α of the base “Company A” and the terminal β of the base “B” with the VPN, the bases “Company A” and “Company B” A case where a collaborative space is provided is assumed. As illustrated in FIG. 12, the connection destination ID of the site “Company A” is “UserA-Office”, and the in-site address of the terminal α is “192.168.1.10/24”. Further, the connection destination ID of the site “Company B” is “UserB-Office”, and the in-site address of the terminal β is “192.168.1.10/24”.

ここで、拠点内アドレスは、各拠点において任意に用いられているプライベートアドレスであるので、拠点間で重複する可能性がある。例えば、図１２に例示するように、端末αの拠点内アドレス『１９２．１６８．１．１０／２４』と、端末βの拠点内アドレス『１９２．１６８．１．１０／２４』とは、サブネットが重複し、拠点内アドレスが重複している。以下に説明するように、ＶＰＮ間接続管理システムは、拠点においてはその拠点内アドレスがそのまま用いられるように、アドレスを決定し、払い出す。 Here, since the in-base address is a private address arbitrarily used in each base, there is a possibility that the base addresses overlap. For example, as illustrated in FIG. 12, the base address “192.168.1.10/24” of the terminal α and the base address “192.168.1.10/24” of the terminal β Are duplicated, and addresses within the site are duplicated. As will be described below, the inter-VPN connection management system determines and pays out an address so that the in-base address is used as it is at the base.

なお、図１２に例示するように、拠点『Ａ社』は、『ＶＰＮ終端装置１』に収容され、拠点『Ｂ社』は、『ＶＰＮ終端装置２』に収容される。また、図１２に例示するように、『ＶＰＮ終端装置１』及び『ＶＰＮ終端装置２』は、『集合仮想ルータ１』に収容される。また、図１２に例示するように、『ＶＰＮ終端装置１』と『集合仮想ルータ１』との間に設置されるＮＡＴ装置は『ＮＡＴ装置１』であり、『ＶＰＮ終端装置２』と『集合仮想ルータ１』との間に設置されるＮＡＴ装置は『ＮＡＴ装置２』である。また、図１３に例示するように、『集合仮想ルータ１』には、拠点『Ａ社』の端末αと、拠点『Ｂ社』の端末βとをＶＰＮ間接続するために、仮想ルータ（『ｖｒｆ１』）が構築される。 As illustrated in FIG. 12, the base “Company A” is accommodated in “VPN terminating device 1”, and the base “Company B” is accommodated in “VPN terminating device 2”. Further, as illustrated in FIG. 12, “VPN termination device 1” and “VPN termination device 2” are accommodated in “aggregate virtual router 1”. Further, as illustrated in FIG. 12, the NAT device installed between “VPN termination device 1” and “aggregation virtual router 1” is “NAT device 1”, and “VPN termination device 2” and “aggregation”. The NAT device installed between “virtual router 1” is “NAT device 2”. Further, as illustrated in FIG. 13, the “aggregate virtual router 1” includes a virtual router (““ Company A ”) and a terminal“ B ”at the base“ Company B ”in order to connect between the VPNs. vrf1)) is constructed.

ここで、ＮＡＴ装置においては、Ｔｗｉｃｅ−ＮＡＴによるアドレス変換が行われる。具体的には、ＮＡＴ装置は、送信元アドレス及び宛先アドレス両方の変換を行う。このため、拠点『Ａ社』、拠点『Ｂ社』、仮想ルータ（『ｖｒｆ１』）それぞれのアドレスは、他の領域には通知されず、各領域でのみ利用することとなり、各領域内で独自のアドレスを割り当てることができる。なお、ルーティング条件を満たすために、拠点内アドレス以外のアドレスを変換用アドレスとして利用する。また、アドレス変換は、アドレス単位の変換でもサブネット単位の変換でも可能であるが、以下では、アドレス単位の変換を想定して説明する。 Here, in the NAT device, address conversion by Twice-NAT is performed. Specifically, the NAT device converts both the source address and the destination address. For this reason, the addresses of the base “Company A”, the base “B company”, and the virtual router (“vrf1”) are not notified to other areas and are used only in each area, and are unique in each area. Addresses can be assigned. In order to satisfy the routing condition, an address other than the in-base address is used as a conversion address. The address conversion can be performed in units of addresses or in units of subnets. However, in the following, description will be made assuming address unit conversion.

なお、仮想ルータに設定されるアドレスは、拠点『Ａ社』や『Ｂ社』といったユーザの拠点や、他の仮想ルータに通知されないので、独自のアドレス体系を利用することができる。このため、ＩＰｖ６アドレスを利用してもよい。 Note that since the address set in the virtual router is not notified to the user base such as the base “Company A” or “Company B” or other virtual routers, a unique address system can be used. For this reason, an IPv6 address may be used.

実施例２に係るＶＰＮ間接続管理システム１００の処理概要を説明すると、ＶＰＮ間接続管理システム１００は、（１）拠点『Ａ社』の端末αと、拠点『Ｂ社』の端末βとをＶＰＮ間接続することを要求するＶＰＮ間接続要求を受け付け、（２）端末αと端末βとをＶＰＮ間接続するための仮想ルータを『集合仮想ルータ１』に構築し、（３）端末αと端末βとの間の通信において行われるアドレス変換のためのアドレス変換情報を生成し、（４）生成したアドレス変換情報に基づき、各機器（『集合仮想ルータ１』、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＮＡＴ装置１』、『ＮＡＴ装置２』）に設定するルーティング情報を生成し、（５）ＶＰＮ間接続サービスを開始する時刻までに各機器に対する設定（『集合仮想ルータ１』、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＮＡＴ装置１』、『ＮＡＴ装置２』に対するルーティング情報の設定、『ＮＡＴ装置１』、『ＮＡＴ装置２』に対するアドレス変換情報の設定）を実行し、（６）ＶＰＮ間接続サービスを終了する時刻になると各機器に対して行った設定を削除する、というものである。なお、必ずしも（１）〜（６）の処理全てが実行されなければならないものではなく、また、（１）〜（６）は、必ずしも処理の順番を規定するものでもない。 The processing outline of the inter-VPN connection management system 100 according to the second embodiment will be described. The inter-VPN connection management system 100 includes: (1) a terminal α at the base “Company A” and a terminal β at the base “Company B”. (2) A virtual router for connecting the terminal α and the terminal β between the VPNs is constructed in the “aggregate virtual router 1”, and (3) the terminal α and the terminal are connected to each other. Address conversion information for address conversion performed in communication with β is generated. (4) Based on the generated address conversion information, each device (“aggregate virtual router 1”, “VPN termination device 1”, “ Routing information to be set in the VPN termination device 2 ”,“ NAT device 1 ”,“ NAT device 2 ”), and (5) setting for each device by the time when the inter-VPN connection service is started (“ collective virtual router 1 ”). 』、 Routing information setting for VPN termination device 1 ”,“ VPN termination device 2 ”,“ NAT device 1 ”,“ NAT device 2 ”, and address conversion information setting for“ NAT device 1 ”and“ NAT device 2 ”) (6) When the time for ending the inter-VPN connection service is reached, the settings made for each device are deleted. Note that not all the processes (1) to (6) must be executed, and (1) to (6) do not necessarily define the order of the processes.

（３）のアドレス変換情報の生成についてさらに説明する。ＶＰＮ間接続管理システム１００（特にアドレス決定装置）は、通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス、及び、ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するためのアドレスを決定し、アドレス変換情報を生成する。 The generation of the address translation information (3) will be further described. The inter-VPN connection management system 100 (particularly, the address determination device) uses an address for identifying a terminal under another base serving as a communication partner at the base, and a terminal under each base belonging to the inter-VPN connection as a collective virtual router. Address for identification is determined, and address translation information is generated.

例えば、図１２において拠点『Ａ社』に着目した場合、「通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス」とは、端末βを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、端末βを識別するためのアドレス（以下「端末βの第一アドレス」）を決定する。 For example, when focusing on the site “Company A” in FIG. 12, “the address for identifying the terminal under the other site as the communication partner at the site” is an address for identifying the terminal β. Therefore, the inter-VPN connection management system 100 determines an address (hereinafter, “first address of the terminal β”) for identifying the terminal β.

また、例えば、図１２において拠点『Ｂ社』に着目した場合、「通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス」とは、端末αを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、端末αを識別するためのアドレス（以下「端末αの第一アドレス」）を決定する。 For example, when focusing on the base “Company B” in FIG. 12, “an address for identifying a terminal under another base serving as a communication partner at the base” is an address for identifying the terminal α. . Therefore, the inter-VPN connection management system 100 determines an address for identifying the terminal α (hereinafter, “first address of the terminal α”).

一方、「ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するアドレス」は、端末αを識別するためのアドレス及び端末βを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、端末αを識別するためのアドレス（以下「端末αの第二アドレス」）及び端末βを識別するためのアドレス（以下「端末βの第二アドレス」）を決定する。続いて、ＶＰＮ間接続管理システム１００は、アドレス変換情報を生成する。アドレス変換情報は、『ＮＡＴ装置１』に着目した場合、端末αの拠点内アドレスと端末αの第二アドレスとの間の変換、及び、端末βの第一アドレスと端末βの第二アドレスとの間の変換を規定する。また、『ＮＡＴ装置２』に着目した場合、端末βの拠点内アドレスと端末βの第二アドレスとの間の変換、及び、端末αの第一アドレスと端末αの第二アドレスとの間の変換を規定する。 On the other hand, “the address for identifying the terminal under each base belonging to the connection between VPNs by the collective virtual router” is an address for identifying the terminal α and an address for identifying the terminal β. Accordingly, the inter-VPN connection management system 100 has an address for identifying the terminal α (hereinafter “second address of the terminal α”) and an address for identifying the terminal β (hereinafter “second address of the terminal β”). decide. Subsequently, the inter-VPN connection management system 100 generates address translation information. When addressing the “NAT device 1”, the address conversion information includes conversion between the in-base address of the terminal α and the second address of the terminal α, and the first address of the terminal β and the second address of the terminal β. Specifies the conversion between. When attention is paid to “NAT device 2”, conversion between the in-base address of the terminal β and the second address of the terminal β, and between the first address of the terminal α and the second address of the terminal α Specify conversion.

このようなアドレス変換情報が生成され、生成されたアドレス変換情報が各ＮＡＴ装置に設定され、各ＮＡＴ装置が、設定されたアドレス変換情報に従ってアドレス変換を行い、各ＶＰＮ終端装置や仮想ルータが、設定されたルーティング情報に従ってパケットを転送することにより、端末αと端末βとの間の通信は実現する。以下、ＮＡＴ装置においてパケットのアドレス変換がどのように行われるかに着目しながら説明する。 Such address translation information is generated, the generated address translation information is set in each NAT device, each NAT device performs address translation according to the set address translation information, and each VPN termination device or virtual router Communication between the terminal α and the terminal β is realized by transferring the packet according to the set routing information. Hereinafter, description will be made while paying attention to how packet address translation is performed in the NAT device.

ＶＰＮ間接続管理システム１００は、図１３に例示するように、拠点『Ａ社』の端末αと、拠点『Ｂ社』の端末βとをＶＰＮ間接続するための仮想ルータ『ｖｒｆ１』を、集合仮想ルータ１に構築したと仮定する。 As illustrated in FIG. 13, the inter-VPN connection management system 100 collects a virtual router “vrf1” for connecting the terminal α of the base “company A” and the terminal β of the base “company B” between the VPNs. Assume that the virtual router 1 is constructed.

図１３を用いて、『端末α』から『端末β』への通信を例に検討する。『端末α』が送出したパケットは、『ＶＰＮ終端装置１』→『ＮＡＴ装置１』→『仮想ルータ（ｖｒｆ１）』→『ＮＡＴ装置２』→『ＶＰＮ終端装置２』→『端末β』のように転送され、『ＮＡＴ装置１』及び『ＮＡＴ装置２』それぞれにおいて、アドレス変換が行われる。このため、『端末β』からみえる『端末α』のアドレスは、アドレス変換を２回行った後のアドレスとなる。なお、『端末α』からみえる『端末β』のアドレスも同様に、アドレス変換を２回行った後のアドレスとなる。一方、仮想ルータ内では、『ＮＡＴ装置１』又は『ＮＡＴ装置２』のいずれかを通過したところであるので、アドレス変換を１回行ったアドレスとなる。 With reference to FIG. 13, the communication from “terminal α” to “terminal β” is considered as an example. The packet transmitted by “terminal α” is “VPN terminating device 1” → “NAT device 1” → “virtual router (vrf1)” → “NAT device 2” → “VPN terminating device 2” → “terminal β”. Address conversion is performed in each of “NAT device 1” and “NAT device 2”. For this reason, the address of “terminal α” seen from “terminal β” is the address after performing address conversion twice. Similarly, the address of “terminal β” seen from “terminal α” is also the address after performing address conversion twice. On the other hand, in the virtual router, since it has just passed either “NAT device 1” or “NAT device 2”, the address is converted once.

『ＮＡＴ装置１』までの通信について検討すると、『端末α』（１９２．１６８．１．１０／２４）は、『端末β』宛にパケットを送出する。ここで、『端末β』の第一アドレスには、『Ａ社』内で使用していないプライベートアドレスを割り当てる必要がある。『ＶＰＮ終端装置１』で、仮想ルータ『ｖｒｆ１』側にルーティングする必要があるからである。そこで、ここでは、『端末β』の第一アドレス（『端末α』からみえる『端末β』のアドレス）を『１７２．１６．２．１０／２４』とする。 Considering communication to “NAT device 1”, “terminal α” (192.168.1.10/24) transmits a packet to “terminal β”. Here, a private address that is not used in “Company A” needs to be assigned to the first address of “terminal β”. This is because “VPN termination device 1” needs to route to the virtual router “vrf1” side. Therefore, here, the first address of “terminal β” (the address of “terminal β” as seen from “terminal α”) is “172.16.2.10/24”.

『ＮＡＴ装置１』は、ユーザ『Ａ社』側のアドレスを仮想ルータ『ｖｒｆ１』側のアドレスに変換する。Ｔｗｉｃｅ−ＮＡＴを利用するので、仮想ルータ側のアドレスがそのままユーザ側に通知されることはない。仮想ルータ側のアドレスは、各仮想ルータ内でルーティングができる状態であればよい。なお、同一仮想ルータ内でアドレスを重複することはできない。そこで、ここでは、仮想ルータ『ｖｒｆ１』側のアドレスとして、『端末α』の第二アドレスを『１０．０．１．１０／２４』、『端末β』の第二アドレスを『１０．０．２．１０／２４』とする。すなわち、送信元である『端末α』の拠点内アドレス『１９２．１６８．１．１０／２４』は、『端末α』の第二アドレス『１０．０．１．１０／２４』に変換され、宛先である『端末β』の第一アドレス『１７２．１６．２．１０／２４』は、『端末β』の第二アドレス『１０．０．２．１０／２４』に変換される。 The “NAT device 1” converts the address on the user “Company A” side into the address on the virtual router “vrf1” side. Since Twice-NAT is used, the address on the virtual router side is not notified to the user side as it is. The address on the virtual router side only needs to be in a state where routing is possible in each virtual router. Note that addresses cannot be duplicated within the same virtual router. Therefore, here, as the address on the virtual router “vrf1” side, the second address of “terminal α” is “10.0.10 / 24”, and the second address of “terminal β” is “10.0. 2.10 / 24 ". That is, the in-base address “192.168.1.10/24” of “terminal α” as the transmission source is converted to the second address “10.0.10.10/24” of “terminal α”, The first address “172.16.2.10/24” of the destination “terminal β” is converted to the second address “10.2.10 / 24” of “terminal β”.

次に、仮想ルータ『ｖｒｆ１』側のアドレス（第二アドレス）に変換されたパケットは、仮想ルータ『ｖｒｆ１』内でルーティングされる。すると、『端末β』宛のパケットは、『ＮＡＴ装置２』に転送される。『ＮＡＴ装置２』に届いた『端末β』宛のパケットは、２回目のアドレス変換が行われる。すなわち、宛先である『端末β』の第二アドレス『１０．０．２．１０／２４』は、『端末β』の拠点内アドレス『１９２．１６８．１．１０／２４』に変換される。 Next, the packet converted to the address (second address) on the virtual router “vrf1” side is routed in the virtual router “vrf1”. Then, the packet addressed to “terminal β” is transferred to “NAT device 2”. The packet addressed to “terminal β” that has arrived at “NAT device 2” undergoes second address translation. That is, the second address “10.2.10 / 24” of the destination “terminal β” is converted into the base address “192.168.1.10/24” of “terminal β”.

一方、送信元のアドレス（『端末α』の第二アドレス）は、『端末β』からみた『端末α』のアドレス（拠点『Ｂ社』における『端末α』の第一アドレス）に変換される。この『端末α』の第一アドレスは、『Ａ社』内で『端末β』に割り当てたときと同様の考え方で決定される。例えば、『端末α』の第一アドレスを『１７２．１６．１．１０／２４』とする。すると、送信元である『端末α』の第二アドレス『１０．０．１．１０／２４』は、『端末α』の第一アドレス『１７２．１６．１．１０／２４』に変換され、このようなアドレス変換の結果、『端末α』が送出したパケットは、『端末β』に送信される。なお、『端末β』が、『１７２．１６．１．１０／２４』を宛先とするパケットを送出すると、パケットは、『端末α』に送信される。 On the other hand, the transmission source address (second address of “terminal α”) is converted to the address of “terminal α” as viewed from “terminal β” (first address of “terminal α” at the base “company B”). . The first address of this “terminal α” is determined based on the same concept as that assigned to “terminal β” in “Company A”. For example, the first address of “terminal α” is “172.16.1.10/24”. Then, the second address “10.0.10.10/24” of “terminal α” as the transmission source is converted to the first address “172.16.1.10/24” of “terminal α”, As a result of such address conversion, the packet transmitted by “terminal α” is transmitted to “terminal β”. When “terminal β” sends a packet addressed to “172.16.1.10/24”, the packet is transmitted to “terminal α”.

なお、ＶＰＮ間接続管理システムは、自己の配下に所属するＮＡＴ装置全てのアドレス変換テーブルを管理するが、個々のＮＡＴ装置には、該当するアドレス変換テーブルのみを送信する。また、ＶＰＮ間接続管理システムは、仮想ルータに対しても、必要な情報のみを提供する。すなわち、ＶＰＮ間接続管理システムは、集合仮想ルータに対しては、仮想ルータ『ｖｒｆ１』内で利用される端末のアドレスのみを送信する（例えば『端末α』＝１０．０．１．１０、『端末β』＝１０．０．２．１０という情報）。 The inter-VPN connection management system manages the address conversion tables of all NAT devices belonging to itself, but transmits only the corresponding address conversion table to each NAT device. The inter-VPN connection management system provides only necessary information to the virtual router. That is, the inter-VPN connection management system transmits only the address of the terminal used in the virtual router “vrf1” to the collective virtual router (for example, “terminal α” = 10.0.10.10, “ Information that terminal β ”= 10.0.2.10.

次に、図１４及び図１５を用いて、既存の仮想ルータにＶＰＮを追加収容する例を説明する。図１４に例示するように、仮想ルータ『ｖｒｆ１』に『Ｃ社』を追加するとする。なお、『Ｃ社』は、既に『ＶＰＮ３』を利用して『端末δ』（１９２．１６８．１．２０／２４）が仮想ルータ『ｖｒｆ２』と接続している。今回、仮想ルータ『ｖｒｆ１』に追加接続するのは『端末γ』（１９２．１６８．１．１０／２４）である。 Next, an example of additionally accommodating a VPN in an existing virtual router will be described with reference to FIGS. 14 and 15. Assume that “Company C” is added to the virtual router “vrf1” as illustrated in FIG. Note that “Company C” already has “terminal δ” (192.168.1.20/24) connected to the virtual router “vrf2” using “VPN3”. This time, “terminal γ” (192.168.1.10/24) is additionally connected to the virtual router “vrf1”.

同様に、実施例２に係るＶＰＮ間接続管理システム１００の処理概要を説明すると、ＶＰＮ間接続管理システム１００は、（１）拠点『Ｃ社』の端末γを、拠点『Ａ社』の端末αと拠点『Ｂ社』の端末βとのＶＰＮ間接続に追加することを要求するＶＰＮ間接続要求を受け付け、（２）端末αと端末γとの間の通信において行われるアドレス変換のためのアドレス変換情報、及び、端末βと端末γとの間の通信において行われるアドレス変換のためのアドレス変換情報を生成し、（３）生成したアドレス変換情報に基づき、各機器（『集合仮想ルータ１』、『ＶＰＮ終端装置３』、『ＮＡＴ装置３』）に設定するルーティング情報を生成し、（４）ＶＰＮ間接続サービスを開始する時刻までに各機器に対する設定（『集合仮想ルータ１』、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＶＰＮ終端装置３』、『ＮＡＴ装置１』、『ＮＡＴ装置２』、『ＮＡＴ装置３』に対するルーティング情報の設定、『ＮＡＴ装置１』、『ＮＡＴ装置２』、『ＮＡＴ装置３』に対するアドレス変換情報の設定）を実行し、（５）ＶＰＮ間接続サービスを終了する時刻になると各機器に対して行った設定を削除する、というものである。なお、必ずしも（１）〜（５）の処理全てが実行されなければならないものではなく、また、（１）〜（５）は、必ずしも処理の順番を規定するものでもない。 Similarly, the processing outline of the inter-VPN connection management system 100 according to the second embodiment will be described. The inter-VPN connection management system 100 includes: (1) the terminal “γ” of the site “Company C” and the terminal α of the site “Company A”. And an inter-VPN connection request requesting to be added to the inter-VPN connection with the terminal β of the site “Company B”, and (2) an address for address conversion performed in the communication between the terminal α and the terminal γ Generate translation information and address translation information for address translation performed in communication between the terminal β and the terminal γ. (3) Based on the generated address translation information, each device (“collective virtual router 1”) , “VPN termination device 3”, “NAT device 3”) are generated, and (4) the settings (“aggregate virtual router 1”, “VP” are set for each device by the time when the inter-VPN connection service starts. Routing information setting for "Termination device 1", "VPN termination device 2", "VPN termination device 3", "NAT device 1", "NAT device 2", "NAT device 3", "NAT device 1", "NAT Device 2 ”and“ NAT device 3 ”), and (5) the settings made for each device are deleted when it is time to terminate the inter-VPN connection service. Note that not all the processes (1) to (5) must be executed, and (1) to (5) do not necessarily define the order of the processes.

（２）のアドレス変換情報の生成についてさらに説明する。ＶＰＮ間接続管理システム１００（特にアドレス決定装置）は、通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス、及び、ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するアドレスを決定し、アドレス変換情報を生成する。 The generation of the address translation information (2) will be further described. The inter-VPN connection management system 100 (particularly, the address determination device) uses an address for identifying a terminal under another base serving as a communication partner at the base, and a terminal under each base belonging to the inter-VPN connection as a collective virtual router. The address to be identified is determined, and address conversion information is generated.

例えば、図１４において拠点『Ｃ社』に着目した場合、「通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス」とは、端末α及び端末βを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、端末αを識別するためのアドレス（「Ｃ社における端末αの第一アドレス」）及び端末βを識別するためのアドレス（以下「Ｃ社における端末βの第一アドレス」）を決定する。 For example, when focusing on the site “Company C” in FIG. 14, the “address for identifying the terminal under the other site as the communication partner at the site” is an address for identifying the terminal α and the terminal β. is there. Accordingly, the inter-VPN connection management system 100 has an address for identifying the terminal α (“first address of the terminal α at company C”) and an address for identifying the terminal β (hereinafter referred to as “the terminal β of the terminal β at company C”). One address ").

また、例えば、図１４において拠点『Ａ社』に着目した場合、「通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス」として新たに追加すべきアドレスは、端末γを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、拠点『Ａ社』にて端末γを識別するためのアドレス（「Ａ社における端末γの第一アドレス」）を決定する。 Further, for example, when focusing on the site “Company A” in FIG. 14, the address to be newly added as the “address for identifying the terminal under the other site as the communication partner” identifies the terminal γ. It is an address to do. Accordingly, the inter-VPN connection management system 100 determines an address (“first address of the terminal γ at Company A”) for identifying the terminal γ at the base “Company A”.

また、例えば、図１４において拠点『Ｂ社』に着目した場合、「通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス」として新たに追加すべきアドレスは、端末γを識別するためのアドレスである。したがって、ＶＰＮ間接続管理システム１００は、拠点『Ｂ社』にて端末γを識別するためのアドレス（「Ｂ社における端末γの第一アドレス」）を決定する。 Further, for example, when focusing on the base “Company B” in FIG. 14, the address to be newly added as the “address for identifying the terminal under the other base as the communication partner” identifies the terminal γ. It is an address to do. Therefore, the inter-VPN connection management system 100 determines an address (“first address of the terminal γ at company B”) for identifying the terminal γ at the base “company B”.

一方、「ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するアドレス」としては、端末γを識別するためのアドレス（端末γの第二アドレス）が新たに追加される。『端末γ』に関しては、まだ仮想ルータ『ｖｒｆ１』内で管理されていないため、新たにアドレスが割り当てられるのである。割り当てられるアドレスの条件としては、仮想ルータ『ｖｒｆ１』内で利用していないアドレスであればよい。拠点『Ｃ社』は、複数の仮想ルータと接続しているが、各仮想ルータ内のアドレスは、拠点や他の仮想ルータに通知されないので、同一仮想ルータ内で重複しなければ問題は発生しないからである。そこで、ここでは、『端末γ』の第二アドレスを『１０．０．３．１０／２４』とする。 On the other hand, an address for identifying the terminal γ (second address of the terminal γ) is newly added as “an address for identifying the terminal under each base belonging to the connection between VPNs by the collective virtual router”. Since “terminal γ” is not yet managed in the virtual router “vrf1”, an address is newly assigned. As an address condition to be allocated, any address that is not used in the virtual router “vrf1” may be used. The base “Company C” is connected to a plurality of virtual routers, but the address in each virtual router is not notified to the base and other virtual routers, so there is no problem unless they are duplicated in the same virtual router. Because. Therefore, here, the second address of “terminal γ” is assumed to be “10.3.10 / 24”.

続いて、ＶＰＮ間接続管理システム１００は、アドレス変換情報を生成する。アドレス変換情報は、『ＮＡＴ装置３』に着目した場合、端末γの拠点内アドレスと端末γの第二アドレスとの間の変換、Ｃ社内における端末αの第一アドレスと端末αの第二アドレスとの間の変換、及び、Ｃ社内における端末βの第一アドレスと端末βの第二アドレスとの間の変換を規定する。また、『ＮＡＴ装置１』に着目した場合、Ａ社内における端末γの第一アドレスと端末γの第二アドレスとの間の変換をさらに規定する。また、『ＮＡＴ装置２』に着目した場合、Ｂ社内における端末γの第一アドレスと端末γの第二アドレスとの間の変換をさらに規定する。 Subsequently, the inter-VPN connection management system 100 generates address translation information. When addressing the “NAT device 3”, the address conversion information is the conversion between the base address of the terminal γ and the second address of the terminal γ, the first address of the terminal α and the second address of the terminal α in C And the conversion between the first address of terminal β and the second address of terminal β in C. When attention is paid to “NAT device 1”, the conversion between the first address of terminal γ and the second address of terminal γ in company A is further defined. When attention is paid to “NAT device 2”, the conversion between the first address of terminal γ and the second address of terminal γ in company B is further defined.

このようなアドレス変換情報が生成され、生成されたアドレス変換情報が各ＮＡＴ装置に設定され、各ＮＡＴ装置が、設定されたアドレス変換情報に従ってアドレス変換を行い、各ＶＰＮ終端装置や仮想ルータが、設定されたルーティング情報に従ってパケットを転送することにより、端末αと端末γとの間の通信、端末βと端末γとの間の通信は実現する。以下、ＮＡＴ装置においてパケットのアドレス変換がどのように行われるかに着目しながら説明する。 Such address translation information is generated, the generated address translation information is set in each NAT device, each NAT device performs address translation according to the set address translation information, and each VPN termination device or virtual router By transferring the packet according to the set routing information, communication between the terminal α and the terminal γ and communication between the terminal β and the terminal γ are realized. Hereinafter, description will be made while paying attention to how packet address translation is performed in the NAT device.

図１５を用いて、『端末γ』から『端末α』への通信を例に検討する。『端末γ』が送出したパケットは、『ＶＰＮ終端装置３』→『ＮＡＴ装置３』→『仮想ルータ（ｖｒｆ１）』→『ＮＡＴ装置１』→『ＶＰＮ終端装置１』→『端末α』のように転送され、『ＮＡＴ装置３』及び『ＮＡＴ装置１』それぞれにおいて、アドレス変換が行われる。このため、『端末α』からみえる『端末γ』のアドレスは、アドレス変換を２回行った後のアドレスとなる。なお、『端末γ』からみえる『端末α』のアドレスも同様に、アドレス変換を２回行った後のアドレスとなる。一方、仮想ルータ内では、『ＮＡＴ装置３』又は『ＮＡＴ装置１』のいずれかを通過したところであるので、アドレス変換を１回行ったアドレスとなる。 Using FIG. 15, the communication from “terminal γ” to “terminal α” will be considered as an example. The packet transmitted by “terminal γ” is “VPN terminating device 3” → “NAT device 3” → “virtual router (vrf1)” → “NAT device 1” → “VPN terminating device 1” → “terminal α”. The address conversion is performed in each of “NAT device 3” and “NAT device 1”. For this reason, the address of “terminal γ” seen from “terminal α” is the address after performing address conversion twice. Note that the address of “terminal α” seen from “terminal γ” is also the address after performing address conversion twice. On the other hand, in the virtual router, since it has just passed either “NAT device 3” or “NAT device 1”, the address is converted once.

『ＮＡＴ装置３』までの通信について検討すると、『端末γ』（１９２．１６８．１．１０／２４）は、『端末α』宛にパケットを送出する。ここで、『端末α』の第一アドレスには、『Ｃ社』内で使用していないプライベートアドレスを割り当てる必要がある。『Ｃ社』内では、すでに『端末δ』が仮想ルータ『ｖｒｆ２』経由で『Ｄ社』と通信を行っており、『Ｄ社』との通信用に『Ｃ社』内で使用していないプライベートアドレスを使用している。このため、『端末α』用に割り当てる第一アドレスは、『Ｃ社』内で利用していないかつ『Ｄ社』との通信用に割り当てていないアドレスを選択する。『ＶＰＮ終端装置３』で、仮想ルータ『ｖｒｆ１』側にルーティングする必要があり、かつ、どの仮想ルータへルーティングするか区別するためである。そこで、ここでは、『端末α』の第一アドレス（『端末γ』からみえる『端末α』のアドレス）を『１７２．１６．１．１０／２４』とする（『Ｄ社』との通信に割り当てたアドレスは、『１７２．１６．４．１０／２４』とする）。 Considering communication to “NAT device 3”, “terminal γ” (192.168.1.10/24) sends a packet to “terminal α”. Here, it is necessary to assign a private address not used in “Company C” to the first address of “terminal α”. In “Company C”, “Terminal δ” is already communicating with “Company D” via the virtual router “vrf2”, and is not used in “Company C” for communication with “Company D”. You are using a private address. Therefore, as the first address assigned to “terminal α”, an address that is not used in “C company” and is not assigned for communication with “D company” is selected. This is because the “VPN termination device 3” needs to route to the virtual router “vrf1” side, and to distinguish which virtual router to route. Therefore, here, the first address of “terminal α” (the address of “terminal α” as seen from “terminal γ”) is “172.16.1.10/24” (for communication with “Company D”). The assigned address is “172.16.4.10/24”).

『ＮＡＴ装置３』は、ユーザ『Ｃ社』側のアドレスを仮想ルータ『ｖｒｆ１』側のアドレスに変換する。すなわち、送信元である『端末γ』の拠点内アドレス『１９２．１６８．１．１０／２４』は、『端末γ』の第二アドレス『１０．０．３．１０／２４』に変換され、宛先である『端末α』の第一アドレス『１７２．１６．１．１０／２４』は、『端末α』の第二アドレス『１０．０．１．１０／２４』に変換される。 The “NAT device 3” converts the address on the user “Company C” side into the address on the virtual router “vrf1” side. That is, the in-base address “192.168.1.10/24” of “terminal γ” as the transmission source is converted into the second address “10.3.10 / 24” of “terminal γ”, The first address “172.16.1.10/24” of the destination “terminal α” is converted to the second address “10.1.10.10/24” of “terminal α”.

次に、仮想ルータ『ｖｒｆ１』側のアドレス（第二アドレス）に変換されたパケットは、仮想ルータ『ｖｒｆ１』内でルーティングされる。すると、『端末α』宛のパケットは、『ＮＡＴ装置１』に転送される。『ＮＡＴ装置１』に届いた『端末α』宛のパケットは、２回目のアドレス変換が行われる。すなわち、宛先である『端末α』の第二アドレス『１０．０．１．１０／２４』は、『端末α』の拠点内アドレス『１９２．１６８．１．１０／２４』に変換される。 Next, the packet converted to the address (second address) on the virtual router “vrf1” side is routed in the virtual router “vrf1”. Then, the packet addressed to “terminal α” is transferred to “NAT device 1”. The packet addressed to “terminal α” that has arrived at “NAT device 1” undergoes second address translation. That is, the second address “10.1.10 / 24” of the destination “terminal α” is converted to the in-base address “192.168.1.10/24” of “terminal α”.

一方、送信元のアドレス（『端末γ』の第二アドレス）は、『端末α』からみた『端末γ』のアドレス（拠点『Ａ社』における『端末γ』の第一アドレス）に変換される。例えば、『端末γ』の第一アドレスを『１７２．１６．３．１０／２４』とする。すると、送信元である『端末γ』の第二アドレス『１０．０．３．１０／２４』は、『端末γ』の第一アドレス『１７２．１６．３．１０／２４』に変換され、このようなアドレス変換の結果、『端末γ』が送出したパケットは、『端末α』に送信される。なお、『端末α』が、『１７２．１６．３．１０／２４』を宛先とするパケットを送出すると、パケットは、『端末γ』に送信される。 On the other hand, the transmission source address (second address of “terminal γ”) is converted to the address of “terminal γ” as viewed from “terminal α” (the first address of “terminal γ” at the base “Company A”). . For example, the first address of “terminal γ” is “172.16.3.10/24”. Then, the second address “10.3.10 / 24” of “terminal γ” as the transmission source is converted to the first address “172.16.3.10/24” of “terminal γ”, As a result of such address conversion, the packet transmitted by “terminal γ” is transmitted to “terminal α”. When “terminal α” sends a packet addressed to “172.16.3.10/24”, the packet is transmitted to “terminal γ”.

［実施例２に係るＶＰＮ間接続管理システムの構成］
次に、実施例２に係るＶＰＮ間接続管理システム１００の構成を説明する。なお、実施例２に係るＶＰＮ間接続管理システム１００は、各機器のインタフェースに割り当てるためのアドレスを、ある一定量を見込んで予め確保しており、変換用アドレスの決定を行う際に、各機器のインタフェースに設定されるアドレスについても具体的に決定する。そこで、実施例２において、変換用のアドレスは、各機器のインタフェースに割り当てるためのアドレスとして予め確保されたアドレスとも重複しないように決定される。なお、本発明はこの手法に限られず、各機器のインタフェースに設定されるアドレスが予め確保されておらず、その都度動的に選択されて決定される場合には、ＶＰＮ間接続管理システム１００は、変換用アドレスの決定を行う際に、各機器のインタフェースに設定されるアドレスとして予約されたアドレス、あるいは、各機器のインタフェースに設定されているアドレス（利用中のアドレス）とも重複しないように決定すればよい。まず、図１６を用いて、実施例２において各機器のインタフェースに割り当てられるアドレスを説明する。図１６は、実施例２において各機器のインタフェースに割り当てられるアドレスを説明するための図である。 [Configuration of a VPN management system according to the second embodiment]
Next, the configuration of the inter-VPN connection management system 100 according to the second embodiment will be described. Note that the inter-VPN connection management system 100 according to the second embodiment reserves in advance a certain amount of addresses to be allocated to the interfaces of the respective devices, and each device is determined when the conversion address is determined. The address set for the interface is also specifically determined. Therefore, in the second embodiment, the conversion address is determined so as not to overlap with an address reserved in advance as an address to be assigned to the interface of each device. Note that the present invention is not limited to this method, and if the address set in the interface of each device is not reserved in advance and is dynamically selected and determined each time, the inter-VPN connection management system 100 When determining the conversion address, make sure that it does not overlap with the address reserved for the interface of each device, or the address set for each device interface (the address in use). do it. First, an address assigned to the interface of each device in the second embodiment will be described with reference to FIG. FIG. 16 is a diagram for explaining addresses assigned to interfaces of devices in the second embodiment.

まず、仮想ルータ『ｖｒｆ１』のインタフェースアドレスとしては、「１０．０．１０．９７」（『ＮＡＴ装置１』側）、及び、「１０．０．２０．９７」（『ＮＡＴ装置２』側）が用いられる。また、『ＮＡＴ装置１』のインタフェースアドレスとしては、「１０．０．１０．９８」（仮想ルータ『ｖｒｆ１』側）、及び、「１９２．１６８．３．２」（『ＶＰＮ終端装置１』側）が用いられる。また、『ＶＰＮ終端装置１』のインタフェースアドレスとしては、「１９２．１６８．３．１」（『ＮＡＴ装置１』側）、及び、「１９２．１６８．２．１」（『Ａ社』側）が用いられる。 First, as the interface address of the virtual router “vrf1”, “10.0.10.97” (“NAT device 1” side) and “10.0.20.97” (“NAT device 2” side) Is used. As the interface address of “NAT device 1”, “10.0.10.98” (virtual router “vrf1” side) and “192.168.3.2” (“VPN termination device 1” side) ) Is used. As the interface address of “VPN terminating device 1”, “192.168.3.1” (“NAT device 1” side) and “192.168.2.1” (“Company A” side) Is used.

一方、『ＮＡＴ装置２』のインタフェースアドレスとしては、「１０．０．２０．９８」（仮想ルータ『ｖｒｆ１』側）、及び、「１９２．１６８．３．２」（『ＶＰＮ終端装置２』側）が用いられる。また、『ＶＰＮ終端装置２』のインタフェースアドレスとしては、「１９２．１６８．３．１」（『ＮＡＴ装置１』側）、及び、「１９２．１６８．２．１」（『Ｂ社』側）が用いられる。 On the other hand, as the interface address of “NAT device 2”, “10.0.20.98” (virtual router “vrf1” side) and “192.168.3.2” (“VPN termination device 2” side) ) Is used. As the interface address of “VPN terminating device 2”, “192.168.3.1” (“NAT device 1” side) and “192.168.2.1” (“Company B” side) Is used.

続いて、図１７は、実施例２に係るＶＰＮ間接続管理システム１００の構成を示すブロック図である。図１７に例示するように、実施例２に係るＶＰＮ間接続管理システム１００は、通信部１１０と、入力部１１１と、出力部１１２と、入出力制御Ｉ／Ｆ部１１３と、記憶部１２０と、制御部１３０とを備える。なお、図５に例示したアドレス決定装置は、後述する変換用アドレス決定部１３３及びアドレス変換情報設定部１３４に対応する。 FIG. 17 is a block diagram illustrating the configuration of the inter-VPN connection management system 100 according to the second embodiment. As illustrated in FIG. 17, the inter-VPN connection management system 100 according to the second embodiment includes a communication unit 110, an input unit 111, an output unit 112, an input / output control I / F unit 113, and a storage unit 120. And a control unit 130. The address determination device illustrated in FIG. 5 corresponds to a conversion address determination unit 133 and an address conversion information setting unit 134 which will be described later.

通信部１１０は、例えばＩＰ通信用の一般的なインタフェースなどであり、アドレス変換情報やルーティング情報の設定対象となるＶＰＮ終端装置、ＮＡＴ装置及び集合仮想ルータとの間で通信を行う。なお、ＶＰＮ間接続管理システム１００は、通信部１１０を介して他の管理端末やユーザ用のＷｅｂサーバなどとの間で通信を行うこともでき、他の管理端末やユーザ用のＷｅｂサーバなどからＶＰＮ間接続要求を受信することもできる。 The communication unit 110 is, for example, a general interface for IP communication, and performs communication between a VPN termination device, a NAT device, and a collective virtual router that are targets for setting address translation information and routing information. Note that the inter-VPN connection management system 100 can also communicate with other management terminals, user Web servers, and the like via the communication unit 110, and from other management terminals, user Web servers, and the like. An inter-VPN connection request can also be received.

入力部１１１は、例えばキーボードやマウスなどであり、各種操作の入力などを受け付ける。実施例２において、入力部１１１は、例えば、ＶＰＮ間接続要求の入力をキーボードやマウスによって受け付ける。出力部１１２は、例えばディスプレイなどであり、各種操作のための情報などを出力する。実施例２において、出力部１１２は、例えば、ＶＰＮ間接続要求の入力画面を出力する。入出力制御Ｉ／Ｆ（Interface）部１１３は、入力部１１１と、出力部１１２と、記憶部１２０と、制御部１３０との間における入出力を制御する。なお、ＶＰＮ間接続管理システム１００は、必ずしも入力部１１１や出力部１１２を備える必要はなく、例えば、通信部１１０を介して他の管理端末やユーザ用のＷｅｂサーバと通信を行い、入出力に係る情報を送受信してもよい。 The input unit 111 is, for example, a keyboard or a mouse, and receives input of various operations. In the second embodiment, for example, the input unit 111 receives an input of a connection request between VPNs using a keyboard or a mouse. The output unit 112 is a display, for example, and outputs information for various operations. In the second embodiment, the output unit 112 outputs, for example, an input screen for an inter-VPN connection request. The input / output control I / F (Interface) unit 113 controls input / output among the input unit 111, the output unit 112, the storage unit 120, and the control unit 130. The inter-VPN connection management system 100 does not necessarily include the input unit 111 and the output unit 112. For example, the inter-VPN connection management system 100 communicates with other management terminals and user web servers via the communication unit 110 for input / output. Such information may be transmitted and received.

記憶部１２０は、例えばＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ（flash memory）などの半導体メモリ素子、ハードディスク、光ディスクなどであり、各種情報を記憶する。具体的には、記憶部１２０は、図１７に例示するように、ＶＰＮ間接続情報記憶部１２１と、設定パターン記憶部１２２と、ＶＰＮ間接続要求記憶部１２３と、アドレス変換情報記憶部１２４と、ルーティング情報記憶部１２５と、アタッチメント記憶部１２６と、装置情報記憶部１２７とを有する。 The storage unit 120 is, for example, a semiconductor memory device such as a random access memory (RAM), a read only memory (ROM), or a flash memory, a hard disk, an optical disk, and the like, and stores various types of information. Specifically, as illustrated in FIG. 17, the storage unit 120 includes an inter-VPN connection information storage unit 121, a setting pattern storage unit 122, an inter-VPN connection request storage unit 123, and an address conversion information storage unit 124. A routing information storage unit 125, an attachment storage unit 126, and a device information storage unit 127.

ＶＰＮ間接続情報記憶部１２１は、ＶＰＮ間接続情報を記憶する。ここで、ＶＰＮ間接続情報には、拠点を識別する情報や、拠点を収容するＶＰＮ終端装置、ＮＡＴ装置及び集合仮想ルータを識別する情報が含まれる。また、ＶＰＮ間接続情報には、アドレス変換情報やルーティング情報の作成に必要なその他の情報も含まれる。ＶＰＮ間接続情報記憶部１２１は、例えばＶＰＮ間接続管理システム１００の利用者に入力されることで、ＶＰＮ間接続情報を事前に記憶する。また、ＶＰＮ間接続情報記憶部１２１が記憶するＶＰＮ間接続情報は、後述する仮想ルータ構築部１３２、変換用アドレス決定部１３３、ルーティング情報生成部１３５による処理などに利用される。なお、ＶＰＮ間接続管理システム１００の「利用者」には、電気通信事業者などの運用者と、企業内の情報システム部などの管理者とが含まれる。すなわち、以下では、「運用者」は、ＶＰＮ間接続サービスの運用担当者を意味し、「管理者」は、例えば企業側で拠点の社内網を管理しているネットワーク管理者などを意味する用語として用いる。 The inter-VPN connection information storage unit 121 stores inter-VPN connection information. Here, the inter-VPN connection information includes information for identifying a base, and information for identifying a VPN terminating device, a NAT device, and a collective virtual router that accommodate the base. The VPN connection information also includes other information necessary for creating address translation information and routing information. The inter-VPN connection information storage unit 121 stores the inter-VPN connection information in advance, for example, by being input to the user of the inter-VPN connection management system 100. Further, the inter-VPN connection information stored in the inter-VPN connection information storage unit 121 is used for processing by the virtual router construction unit 132, the translation address determination unit 133, and the routing information generation unit 135, which will be described later. Note that the “users” of the inter-VPN connection management system 100 include operators such as telecommunications carriers and managers such as information system departments in the company. That is, in the following, “operator” means a person in charge of the operation of the inter-VPN connection service, and “manager” means a network administrator who manages the internal network of the base on the company side, for example. Used as

図１８は、ＶＰＮ間接続情報記憶部１２１を説明するための図である。図１８に例示するように、例えば、ＶＰＮ間接続情報記憶部１２１は、ＶＰＮ間接続情報として、集合仮想ルータの識別情報と、集合仮想ルータの設定パターンの識別情報とを対応付けて記憶する。例えば、集合仮想ルータの識別情報『集合仮想ルータ１』と、集合仮想ルータの設定パターンの識別情報『ＶＲ−Ｐ１』とを対応付けて記憶する。『集合仮想ルータ１』によって識別される集合仮想ルータの設定パターンは、『ＶＲ−Ｐ１』によって識別される設定パターンであることを示す。 FIG. 18 is a diagram for explaining the inter-VPN connection information storage unit 121. As illustrated in FIG. 18, for example, the inter-VPN connection information storage unit 121 stores the identification information of the aggregate virtual router and the identification information of the setting pattern of the aggregate virtual router in association with each other as the VPN connection information. For example, the collective virtual router identification information “collective virtual router 1” and the collective virtual router setting pattern identification information “VR-P1” are stored in association with each other. The setting pattern of the collective virtual router identified by “aggregate virtual router 1” indicates that the setting pattern is identified by “VR-P1”.

また、実施例２においては、ＶＰＮ終端装置と集合仮想ルータとは予め対応付けられ、ＶＰＮ終端装置が一意に特定されると、集合仮想ルータも一意に特定される関係にある。すなわち、実施例２においては、物理的に１台の集合仮想ルータと、この集合仮想ルータにおいて一つ又は複数の仮想ルータを設定されるＶＰＮ終端装置とは、予め特定される関係にある（なお、本発明はこれに限られるものではなく、例えば、あるＶＰＮ終端装置が、複数台の集合仮想ルータそれぞれにおいて仮想ルータを設定されることも可能である）。このようなことから、例えば、ＶＰＮ間接続情報記憶部１２１は、図１８に例示するように、集合仮想ルータの識別情報ごとに、拠点（又は拠点のユーザ）を識別する識別情報（接続先ＩＤ（IDentifier）及び端末名）と、拠点が用いるＶＰＮ種別と、拠点が収容されるＶＰＮ終端装置の識別情報と、ＶＰＮ終端装置の設定パターンの識別情報と、ＮＡＴ装置の識別情報と、拠点にて用いられている拠点内アドレスとの対応付けのリストを記憶する。 In the second embodiment, the VPN terminating device and the collective virtual router are associated in advance, and when the VPN terminating device is uniquely specified, the collective virtual router is also uniquely identified. That is, in the second embodiment, one aggregate virtual router physically and a VPN termination device in which one or a plurality of virtual routers are set in this aggregate virtual router have a relationship specified in advance (note that The present invention is not limited to this. For example, a certain VPN termination device can set a virtual router in each of a plurality of aggregate virtual routers). For this reason, for example, the inter-VPN connection information storage unit 121, as illustrated in FIG. 18, has identification information (connection destination ID) for identifying a base (or a user at the base) for each piece of identification information of the collective virtual router. (IDentifier) and terminal name), VPN type used by the site, identification information of the VPN termination device in which the site is accommodated, identification information of the setting pattern of the VPN termination device, identification information of the NAT device, and A list of associations with the base address used is stored.

『接続先ＩＤ』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム１００の運用者によって払い出され、ＶＰＮ間接続情報記憶部１２１に格納される。また、『端末名』は、例えばＶＰＮ間接続サービスの契約時などにユーザからヒアリングされ、ＶＰＮ間接続情報記憶部１２１に格納される。 The “connection destination ID” is paid out by the operator of the inter-VPN connection management system 100 when the inter-VPN connection service is contracted, for example, and stored in the inter-VPN connection information storage unit 121. Further, the “terminal name” is heard from the user, for example, at the time of contracting the inter-VPN connection service, and stored in the inter-VPN connection information storage unit 121.

『ＶＰＮ種別』は、例えばＶＰＮ間接続サービスの契約時などにユーザからヒアリングされ、ＶＰＮ間接続情報記憶部１２１に格納される。『ＶＰＮ終端装置』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム１００の運用者によって決定され、ＶＰＮ間接続情報記憶部１２１に格納される。また、『ＶＰＮ終端装置の設定パターン』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム１００の運用者によって決定され、ＶＰＮ間接続情報記憶部１２１に格納される。『ＮＡＴ装置』は、例えばＶＰＮ間接続サービスの契約時などにＶＰＮ間接続管理システム１００の運用者によって決定され、ＶＰＮ間接続情報記憶部１２１に格納される。『拠点内アドレス』は、例えばＶＰＮ間接続サービスの契約時などにユーザからヒアリングされ、ＶＰＮ間接続情報記憶部１２１に格納される。 The “VPN type” is heard from the user, for example, when contracting the connection service between VPNs and stored in the connection information storage unit 121 between VPNs. The “VPN termination device” is determined by the operator of the inter-VPN connection management system 100 at the time of contracting the inter-VPN connection service, for example, and stored in the inter-VPN connection information storage unit 121. The “VPN termination device setting pattern” is determined by the operator of the inter-VPN connection management system 100 at the time of contracting the inter-VPN connection service, for example, and stored in the inter-VPN connection information storage unit 121. The “NAT device” is determined by the operator of the inter-VPN connection management system 100 at the time of contracting the inter-VPN connection service, for example, and stored in the inter-VPN connection information storage unit 121. The “intra-base address” is interviewed by the user, for example, at the time of contracting the inter-VPN connection service, and stored in the inter-VPN connection information storage unit 121.

例えば、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』、ＶＰＮ種別『ＯｐｅｎＶＰＮ』、ＶＰＮ終端装置『ＶＰＮ終端装置１』、ＶＰＮ終端装置の設定パターン『ＶＰＮ−Ｐ１』、ＮＡＴ装置『ＮＡＴ装置１』、拠点内アドレス『１９２．１６８．１．１０／２４』の行について説明する。まず、『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点（ＶＰＮ間接続に用いられる端末の端末名は『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』）では、『ＯｐｅｎＶＰＮ』が用いられていることを示す。また、『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点は『ＶＰＮ終端装置１』に収容されること、また、ＶＰＮ終端装置の設定パターンには『ＶＰＮ−Ｐ１』が用いられることを示す。 For example, the connection destination ID “UserA-Office” and the terminal name “α1 @ vpn1. example. co. jp ”, VPN type“ OpenVPN ”, VPN termination device“ VPN termination device 1 ”, VPN termination device setting pattern“ VPN-P1 ”, NAT device“ NAT device 1 ”, in-site address“ 192.168.1.10 ” / 24 ”will be described. First, the base identified by “UserA-Office” (the terminal name of the terminal used for connection between VPNs is “α1@vpn1.example.co.jp”) indicates that “OpenVPN” is used. In addition, the base identified by “UserA-Office” is accommodated in “VPN terminating device 1”, and “VPN-P1” is used for the setting pattern of the VPN terminating device.

また、『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点は『ＮＡＴ装置１』に収容されること、また、『１９２．１６８．１．１０／２４』の拠点内アドレスが用いられていることを示す。なお、実施例２においては、各拠点において用いられている拠点内アドレス（プライベートアドレス）が相互に重複する状況を想定する。 Further, the base identified by “UserA-Office” is accommodated in “NAT device 1”, and the intra-base address “192.168.1.10/24” is used. In the second embodiment, it is assumed that the in-site addresses (private addresses) used in each base overlap each other.

図１７に戻り、設定パターン記憶部１２２は、ＶＰＮ終端装置、ＮＡＴ装置、及び転送制御装置の設定パターンを記憶する。具体的には、設定パターン記憶部１２２は、ＶＰＮ終端装置に設定すべき設定情報がＶＰＮ間接続の種別に応じて定型化されたＶＰＮ終端装置の設定パターンを記憶する。また、設定パターン記憶部１２２は、集合仮想ルータに設定すべき設定情報がＶＰＮ間接続の種別に応じて定型化された集合仮想ルータの設定パターンを記憶する。また、設定パターン記憶部１２２は、ＮＡＴ装置の設定パターンを記憶する。 Returning to FIG. 17, the setting pattern storage unit 122 stores setting patterns of the VPN termination device, the NAT device, and the transfer control device. Specifically, the setting pattern storage unit 122 stores the setting pattern of the VPN termination device in which the setting information to be set in the VPN termination device is standardized according to the type of connection between VPNs. The setting pattern storage unit 122 stores a setting pattern of the collective virtual router in which setting information to be set in the collective virtual router is standardized according to the type of connection between VPNs. In addition, the setting pattern storage unit 122 stores a setting pattern of the NAT device.

設定パターン記憶部１２２は、例えばＶＰＮ間接続管理システム１００の運用者に入力されることで、設定パターンを事前に記憶する。また、設定パターン記憶部１２２が記憶する設定パターンは、後述する変換用アドレス決定部１３３やルーティング情報生成部１３５による処理などに利用される。 The setting pattern storage unit 122 stores the setting pattern in advance, for example, by being input to the operator of the inter-VPN connection management system 100. The setting pattern stored in the setting pattern storage unit 122 is used for processing by the conversion address determination unit 133 and the routing information generation unit 135, which will be described later.

図１９は、集合仮想ルータの設定パターンの一例である。図１９に例示するように、例えば、設定パターン記憶部１２２は、集合仮想ルータの設定パターンとして、設定パターンの各項目を管理するための項番と、設定情報を設定内容に応じて区分けする区分と、設定内容と、設定情報の登録タイミングと、削除タイミングと、設定内容の仕様とを対応付けて記憶する。また、図１９に例示する設定パターンの内、項番１〜項番３が、設定情報の設定パターンであり、項番４が、オプション設定情報の設定パターンである。なお、実施例２においては、オプション要求に関する設定情報を一般的な設定情報と区別して用いる場合には、『オプション設定情報』と呼ぶ。また、図１９においては図示を省略するが、設定パターン記憶部１２２は、集合仮想ルータの設定パターンとして、所定のコマンド文をも記憶する。なお、設定パターンは、設定パターンの識別情報によって識別される。 FIG. 19 is an example of a setting pattern of the collective virtual router. As illustrated in FIG. 19, for example, the setting pattern storage unit 122 divides the item number for managing each item of the setting pattern as the setting pattern of the collective virtual router and the setting information according to the setting contents. The setting contents, the setting information registration timing, the deletion timing, and the setting contents specifications are stored in association with each other. Of the setting patterns illustrated in FIG. 19, item numbers 1 to 3 are setting information setting patterns, and item number 4 is an option setting information setting pattern. In the second embodiment, when setting information related to an option request is used separately from general setting information, it is referred to as “option setting information”. Although not shown in FIG. 19, the setting pattern storage unit 122 also stores a predetermined command sentence as the setting pattern of the collective virtual router. The setting pattern is identified by setting pattern identification information.

例えば、項番１の行を説明する。区分『仮想ルータ定義』の設定パターンは、ＶＰＮ間接続要求に基づいて仮想的に構築される伝送路（ＶＰＮ）においてパケット転送を制御する「仮想ルータ」を定義するための設定パターンである。設定内容『仮想ルータ名』は、設定される「仮想ルータ」の名称であり、『半角英数字』で設定すべきことが、仕様として規定されている。また、設定内容『仮想ルータＩＤ』は、設定される「仮想ルータ」のＩＤであり、『１６ビット数値』と『３２ビット数値』とを『：（コロン）』で接続した形式で設定すべきことが、仕様として規定されている。なお、仕様は、例えば、該当する機器の製造業者などによって規定され、機器の利用者に提供されるもので、上記は一例であり、これに限定されない。また、登録タイミング『サービス開始直前』は、項番１の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番１の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。 For example, the line of item number 1 will be described. The setting pattern of the category “virtual router definition” is a setting pattern for defining a “virtual router” that controls packet transfer in a transmission path (VPN) that is virtually constructed based on a connection request between VPNs. The setting content “virtual router name” is the name of the “virtual router” to be set, and it is specified as a specification that it should be set with “half-width alphanumeric characters”. The setting content “virtual router ID” is the ID of the “virtual router” to be set, and should be set in a format in which “16-bit numeric value” and “32-bit numeric value” are connected by “: (colon)”. Is specified as a specification. The specification is defined by, for example, the manufacturer of the corresponding device and is provided to the user of the device. The above is an example, and the present invention is not limited to this. The registration timing “immediately before starting the service” indicates that the information of item number 1 should be reflected in the VPN terminating device immediately before starting the service. Further, the deletion timing “immediately after the end of service” indicates that the information of item number 1 should be deleted from the VPN terminating device immediately after the service ends.

また、例えば、項番２の行を説明する。区分『Ｉ／Ｆ設定』の設定パターンは、「仮想ルータ」に設定されるインタフェースの設定パターンである。設定内容『ＩＰアドレス』は、インタフェースに設定するＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきことが、仕様として規定されている。また、設定内容『Ｉ／Ｆの指定』は、インタフェースの指定は『Ｉ／Ｆの種別数字／数字／数字』の形式で設定すべきことが、仕様として規定されている。また、設定内容『所属仮想ルータ』は、インタフェースを設定する仮想ルータ名を指定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番２の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番２の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。 For example, the line of item number 2 will be described. The setting pattern of the classification “I / F setting” is an interface setting pattern set in the “virtual router”. The setting content “IP address” is the IP address to be set for the interface. Number. Number. The specification stipulates that numbers should be set in a format in which numbers are separated by periods, such as “numbers”, and that numbers 0 to 255 should be set. In addition, the specification “I / F designation” specifies that the interface designation should be set in the format of “I / F type number / number / number”. In addition, it is specified as a specification that the setting content “belonging virtual router” should specify a virtual router name for setting an interface. The registration timing “immediately before starting the service” indicates that the information of item number 2 should be reflected in the VPN terminating device immediately before starting the service. The deletion timing “immediately after the end of service” indicates that the information of item number 2 should be deleted from the VPN terminating device immediately after the service ends.

また、例えば、項番３の行を説明する。区分『仮想ルータ単位のルーティング設定』の設定パターンは、「仮想ルータ」に設定されるルーティング情報の設定パターンである。設定内容『ルーティング設定』は、ルーティング情報を設定する仮想ルータ名を指定すべきこと、ルーティング情報のＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番３の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番３の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。 For example, the line of item number 3 will be described. The setting pattern of the classification “virtual router unit routing setting” is a setting pattern of routing information set in “virtual router”. The setting contents “routing setting” should specify the name of the virtual router that sets the routing information. The IP address of the routing information is “number. Number. Number. The specification stipulates that numbers should be set in a format in which numbers are separated by periods, such as “numbers”, and that numbers 0 to 255 should be set. The registration timing “immediately before starting the service” indicates that the information of item number 3 should be reflected in the VPN terminating device immediately before starting the service. The deletion timing “immediately after the end of service” indicates that the information of item number 3 should be deleted from the VPN terminating device immediately after the service ends.

また、例えば、項番４の行を説明する。区分『アクセス制御』の設定パターンは、「仮想ルータ」に設定されるアクセス制御の設定パターンである。設定内容『フィルタリング（ＡＣＬ（Access Control List）など）』は、ＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきこと、ポート番号は、数字で設定すべきこと、数字は『１〜６５５３５』の値を設定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番４の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番４の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。 For example, the line of item number 4 will be described. The setting pattern of the category “access control” is an access control setting pattern set in the “virtual router”. The setting contents “Filtering (ACL (Access Control List) etc.)”, the IP address is “Number. Number. Number. “Number” should be set in a format in which numbers are separated by periods, numbers should be set to a value of “0-255”, port numbers should be set by numbers, and numbers should be “1 to 65535” The specification stipulates that the value of " The registration timing “immediately before starting the service” indicates that the information of item number 4 should be reflected in the VPN terminating device immediately before starting the service. The deletion timing “immediately after the end of service” indicates that the information of item number 4 should be deleted from the VPN terminating device immediately after the service ends.

図２０は、ＶＰＮ終端装置の設定パターンの一例である。図２０に例示するように、例えば、設定パターン記憶部１２２は、ＶＰＮ終端装置の設定パターンとして、設定パターンの各項目を管理するための項番と、設定情報を区分けする区分と、設定内容と、設定情報の登録タイミングと、削除タイミングと、設定内容の仕様とを対応付けて記憶する。また、図２０に例示する設定パターンの内、項番１が、設定情報の設定パターンであり、項番２が、オプション設定情報の設定パターンである。また、図２０においては図示を省略するが、設定パターン記憶部１２２は、ＶＰＮ終端装置の設定パターンとして、所定のコマンド文をも記憶する。なお、設定パターンは、設定パターンの識別情報によって識別される。 FIG. 20 is an example of a setting pattern of the VPN termination device. As illustrated in FIG. 20, for example, the setting pattern storage unit 122 includes, as a setting pattern of the VPN termination device, an item number for managing each item of the setting pattern, a classification for classifying the setting information, and setting contents. The setting information registration timing, the deletion timing, and the setting content specification are stored in association with each other. Of the setting patterns illustrated in FIG. 20, item number 1 is a setting information setting pattern, and item number 2 is a setting pattern of option setting information. Although not shown in FIG. 20, the setting pattern storage unit 122 also stores a predetermined command sentence as the setting pattern of the VPN termination device. The setting pattern is identified by setting pattern identification information.

例えば、項番１の行を説明する。区分『ＶＰＮユーザ設定』の設定パターンは、ＶＰＮ間接続要求に基づいてＶＰＮ終端装置に収容する拠点のユーザに関する設定パターンである。設定内容『認証ＩＤ／パスワード』は、拠点のユーザに払い出される認証ＩＤ及びパスワードであり、認証ＩＤ及びパスワードは、『１２８文字以内』の『半角英数字』で設定すべきことが、仕様として規定されている。なお、『認証ＩＤ／パスワード』の替わりにその他の『認証情報』であってもよい。また、登録タイミング『サービス開始直前』は、項番１の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番１の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。 For example, the line of item number 1 will be described. The setting pattern of the classification “VPN user setting” is a setting pattern related to a user at a base accommodated in the VPN terminating device based on the connection request between VPNs. The setting content “Authentication ID / Password” is the authentication ID and password issued to the user at the site. The specification stipulates that the authentication ID and password should be set using “single-byte alphanumeric characters” of “128 characters or less”. Has been. Other “authentication information” may be used instead of “authentication ID / password”. The registration timing “immediately before starting the service” indicates that the information of item number 1 should be reflected in the VPN terminating device immediately before starting the service. Further, the deletion timing “immediately after the end of service” indicates that the information of item number 1 should be deleted from the VPN terminating device immediately after the service ends.

また、例えば、項番２の行を説明する。区分『アクセス制御』の設定パターンは、「ＶＰＮ終端装置」に設定されるアクセス制御の設定パターンである。設定内容『フィルタリング（ＡＣＬなど）』は、ＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきこと、ポート番号は、数字で設定すべきこと、数字は『１〜６５５３５』の値を設定すべきことが、仕様として規定されている。また、登録タイミング『サービス開始直前』は、項番２の情報は、サービス開始直前にＶＰＮ終端装置に反映されるべきことを示す。また、削除タイミング『サービス終了直後』は、項番２の情報は、サービス終了直後にＶＰＮ終端装置から削除されるべきことを示す。 For example, the line of item number 2 will be described. The setting pattern of the category “access control” is an access control setting pattern set in the “VPN termination device”. The setting content “Filtering (ACL, etc.)” indicates that the IP address is “Number. Number. Number. “Number” should be set in a format in which numbers are separated by periods, numbers should be set to a value of “0-255”, port numbers should be set by numbers, and numbers should be “1 to 65535” The specification stipulates that the value of " The registration timing “immediately before starting the service” indicates that the information of item number 2 should be reflected in the VPN terminating device immediately before starting the service. The deletion timing “immediately after the end of service” indicates that the information of item number 2 should be deleted from the VPN terminating device immediately after the service ends.

また、図示を省略したが、設定パターン記憶部１２２は、ＮＡＴ装置の設定パターンについても同様に記憶する。例えば、設定パターン記憶部１２２は、設定情報の登録タイミングと、削除タイミングと、設定内容の仕様とを対応付けて記憶する。例えば、ＩＰアドレスは『数字．数字．数字．数字』のように数字をピリオドで区切った形式で設定すべきこと、数字は『０〜２５５』の値を設定すべきことなどが、仕様として規定される。また、例えば、『サービス開始直前』にＮＡＴ装置に反映されるべきこと、『サービス終了直後』にＮＡＴ装置から削除されるべきことなどが、仕様として規定される。また、設定パターン記憶部１２２は、ＮＡＴ装置の設定パターンとして、所定のコマンド文をも記憶する。 Although not shown, the setting pattern storage unit 122 similarly stores the setting pattern of the NAT device. For example, the setting pattern storage unit 122 stores setting information registration timing, deletion timing, and setting content specifications in association with each other. For example, the IP address is “Number. Number. Number. The specification defines that numbers should be set in the form of numbers separated by periods, such as “numbers”, and that numbers should be set to values “0 to 255”. Further, for example, what is to be reflected in the NAT device “immediately before the start of service” and what is to be deleted from the NAT device “immediately after the end of service” is defined as the specification. The setting pattern storage unit 122 also stores a predetermined command sentence as the setting pattern of the NAT device.

なお、上記設定パターンはいずれも一例に過ぎず、ＶＰＮ間接続の種別などによって、設定内容、設定情報の登録タイミング、削除タイミング、設定内容の仕様などは異なってくると考えられる。すなわち、例えば、ＶＰＮ間接続の種別が『Ｌ３ＶＰＮ』であれば、ＶＰＮ間接続先とＶＰＮ間接続元とのＩＰアドレスの組や、ＩＰｓｅｃの動作設定情報（認証方式や暗号化アルゴリズム）、事前秘密共有鍵などの項目も、設定パターンに定型化され得る。また、例えば、ＶＰＮ間接続の種別が『Ｌ２ＶＰＮ』であれば、ＶＰＮ間接続先とＶＰＮ間接続元とのＬ２などのＩＤなどの項目も、設定パターンに定型化され得る。このように、設定パターンは、ＶＰＮ間接続の種別などに応じて適切に定型化される。 The above setting patterns are merely examples, and it is considered that the setting contents, the setting information registration timing, the deletion timing, the setting contents specifications, and the like differ depending on the type of connection between VPNs. That is, for example, if the type of connection between VPNs is “L3VPN”, a set of IP addresses of the connection destination between VPNs and the connection source between VPNs, IPsec operation setting information (authentication method and encryption algorithm), pre-secret Items such as shared keys can also be standardized into setting patterns. For example, if the type of connection between VPNs is “L2VPN”, items such as IDs such as L2 between the connection destination between VPNs and the connection source between VPNs may be standardized in the setting pattern. Thus, the setting pattern is appropriately standardized according to the type of connection between VPNs.

図１７に戻り、ＶＰＮ間接続要求記憶部１２３は、ＶＰＮ間接続要求情報を記憶する。ＶＰＮ間接続要求記憶部１２３は、後述するＶＰＮ間接続要求受付部１３１によって格納されることで、ＶＰＮ間接続要求情報を記憶する。また、ＶＰＮ間接続要求記憶部１２３が記憶するＶＰＮ間接続要求情報は、後述する仮想ルータ構築部１３２、変換用アドレス決定部１３３、ルーティング情報生成部１３５による処理などに利用される。 Returning to FIG. 17, the inter-VPN connection request storage unit 123 stores inter-VPN connection request information. The inter-VPN connection request storage unit 123 stores the inter-VPN connection request information by being stored by the inter-VPN connection request receiving unit 131 described later. The inter-VPN connection request information stored in the inter-VPN connection request storage unit 123 is used for processing by the virtual router construction unit 132, the translation address determination unit 133, and the routing information generation unit 135, which will be described later.

図２１は、ＶＰＮ間接続要求記憶部１２３を説明するための図である。図２１に例示するように、例えば、ＶＰＮ間接続要求記憶部１２３は、ＶＰＮ間接続要求情報として、ＶＰＮ間接続サービスを開始すべきサービス開始時刻と、ＶＰＮ間接続サービスを終了すべきサービス終了時刻と、ＶＰＮ間接続が設定される仮想ルータ名と、ＶＰＮ間接続に収容される拠点（又は拠点のユーザ）を識別する識別情報（端末名）とを対応付けて記憶する。 FIG. 21 is a diagram for explaining the inter-VPN connection request storage unit 123. As illustrated in FIG. 21, for example, the inter-VPN connection request storage unit 123 uses the service start time to start the inter-VPN connection service and the service end time to end the inter-VPN connection service as the inter-VPN connection request information. And the virtual router name in which the inter-VPN connection is set and the identification information (terminal name) identifying the base (or the user of the base) accommodated in the inter-VPN connection are stored in association with each other.

例えば、サービス開始時刻『ｔ１』と、サービス終了時刻『ｔ３』と、仮想ルータ名『ｖｒｆ１』と、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』及び『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』とを対応付けて記憶する。時刻『ｔ１』から『ｔ３』までの間、『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』と『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』とをＶＰＮ間接続するＶＰＮ間接続要求がなされ、当該ＶＰＮ間接続が設定される仮想ルータ名が『ｖｒｆ１』であることを示す。なお、説明の便宜上、サービス開始時刻やサービス終了時刻を『ｔ１』、『ｔ３』などと記載するが、例えば、『2009/8/21 13:00』といった具体的な年月日や時刻を示す。 For example, service start time “t1”, service end time “t3”, virtual router name “vrf1”, and terminal name “α1 @ vpn1. example. co. jp "and" β1 @ vpn2. example. co. jp ”in association with each other. From time “t1” to “t3”, “α1 @ vpn1. example. co. jp "and" β1 @ vpn2. example. co. jp ”is connected to the VPN, and the virtual router name to which the connection between the VPNs is set is“ vrf1 ”. For convenience of explanation, the service start time and service end time are described as “t1”, “t3”, etc., for example, “2009/8/21 13:00” indicates a specific date and time. .

図１７に戻り、アドレス変換情報記憶部１２４は、予約情報及びアドレス変換情報を記憶する。ここで、アドレス変換情報とは、後述する変換用アドレス決定部１３３によって決定されたユーザ側アドレスと仮想ルータ側アドレスとがＮＡＴ装置を境界として相互に変換されるように、ユーザ側アドレスと仮想ルータ側アドレスとを変換する変換情報である。なお、ユーザ側アドレスとは、拠点にて用いられている拠点内アドレス、及び、当該拠点にて通信相手となる他拠点配下の端末を識別するためのアドレスである。また、仮想ルータ側アドレスとは、広域ネットワークにてＶＰＮ間接続に属する各拠点配下の端末を識別するためのアドレスである。 Returning to FIG. 17, the address translation information storage unit 124 stores reservation information and address translation information. Here, the address translation information refers to the user side address and the virtual router so that the user side address and the virtual router side address determined by the translation address determination unit 133 (to be described later) are mutually converted with the NAT device as a boundary. This is conversion information for converting the side address. The user-side address is an in-base address used at a base and an address for identifying a terminal under another base that is a communication partner at the base. The virtual router side address is an address for identifying a terminal under each base belonging to the connection between VPNs in the wide area network.

アドレス変換情報記憶部１２４は、後述する変換用アドレス決定部１３３によって格納されることで、予約情報及びアドレス変換情報を記憶する。また、アドレス変換情報記憶部１２４が記憶する予約情報及びアドレス変換情報は、アドレス変換情報設定部１３４による処理などに利用される。 The address conversion information storage unit 124 stores reservation information and address conversion information by being stored by a conversion address determination unit 133 described later. The reservation information and address conversion information stored in the address conversion information storage unit 124 are used for processing by the address conversion information setting unit 134.

図２２は、アドレス変換情報記憶部１２４を説明するための図である。図２２に例示するように、例えば、アドレス変換情報記憶部１２４は、予約情報として、ＶＰＮ間接続サービスを開始すべきサービス開始時刻と、ＶＰＮ間接続サービスを終了すべきサービス終了時刻とを記憶する。また、アドレス変換情報記憶部１２４は、予約情報と対応付けて、アドレス変換情報を記憶する。例えば、アドレス変換情報記憶部１２４は、アドレス変換情報として、ＶＰＮ間接続を識別する仮想ルータ名と、ＮＡＴ装置に設定されるアドレス変換テーブルとを対応付けて記憶する。 FIG. 22 is a diagram for explaining the address conversion information storage unit 124. As illustrated in FIG. 22, for example, the address translation information storage unit 124 stores, as reservation information, a service start time at which an inter-VPN connection service should be started and a service end time at which an inter-VPN connection service should be ended. . The address translation information storage unit 124 stores address translation information in association with the reservation information. For example, the address translation information storage unit 124 stores, as address translation information, a virtual router name that identifies the connection between VPNs and an address translation table set in the NAT device in association with each other.

例えば、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』と対応付けて記憶されているアドレス変換情報は、仮想ルータ名『ｖｒｆ１』によって識別される仮想ルータに関するアドレス変換情報である。 For example, the address translation information stored in association with the service start time “t1” and the service end time “t3” is address translation information related to the virtual router identified by the virtual router name “vrf1”.

また、ＮＡＴ装置１においては、ユーザ側アドレス『１９２．１６８．１．１０』と仮想ルータ側アドレス『１０．０．１．１０』とを相互に変換すること、ユーザ側アドレス『１７２．１６．２．１０』と仮想ルータ側アドレス『１０．０．２．１０』とを相互に変換することを示す。ここで、ユーザ側アドレス『１９２．１６８．１．１０』は、拠点にて用いられている拠点内アドレスであり、ユーザ側アドレス『１７２．１６．２．１０』は、当該拠点にて通信相手となる他拠点配下の端末を識別するためのアドレスである。 In the NAT device 1, the user side address “192.168.1.10” and the virtual router side address “10.0.10.10” are mutually converted, and the user side address “172.16. 2.10 ”and the virtual router side address“ 10.2.10 ”are mutually converted. Here, the user-side address “192.168.1.10” is the intra-site address used at the site, and the user-side address “172.16.2.10” is the communication partner at the site. This is an address for identifying a terminal under another base.

また、ＮＡＴ装置２においては、ユーザ側アドレス『１７２．１６．１．１０』と仮想ルータ側アドレス『１０．０．１．１０』とを相互に変換すること、ユーザ側アドレス『１９２．１６８．１．１０』と仮想ルータ側アドレス『１０．０．２．１０』とを相互に変換することを示す。 Further, in the NAT device 2, the user side address “172.16.1.10” and the virtual router side address “10.0.10.10” are mutually converted, and the user side address “192.168 .. 1.10 ”and virtual router side address“ 10.2.10 ”are mutually converted.

なお、図２２においては、仮想ルータ名『ｖｒｆ１』によって識別される仮想ルータに関するアドレス変換情報のみを例示したが、アドレス変換情報記憶部１２４は、ＶＰＮ間接続管理システム１００によって構築された他の仮想ルータに関するアドレス変換情報も記憶している。 In FIG. 22, only the address translation information related to the virtual router identified by the virtual router name “vrf1” is illustrated. Address translation information about the router is also stored.

また、図２２においては図示を省略したが、アドレス変換情報記憶部１２４は、プライベートアドレス全体の値、及び、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスも記憶する。 Although not shown in FIG. 22, the address conversion information storage unit 124 also stores the value of the entire private address and an address reserved in advance as an address assigned to the interface of each device.

すなわち、後述するように、実施例２における変換用アドレス決定部１３３は、プライベートアドレス全体のうち、拠点内アドレス、既に予約されたアドレス、利用中のアドレス以外のアドレスを、新たに払い出すアドレスとして決定する。このため、アドレス変換情報記憶部１２４がプライベートアドレス全体の値を初期値として記憶しておくことで、変換用アドレス決定部１３３は、アドレス変換情報記憶部１２４を参照し、変換用のアドレスを決定することができる。 That is, as will be described later, the conversion address determination unit 133 according to the second embodiment uses a base address, an already reserved address, and an address other than the currently used address as a new payout address among all private addresses. decide. Therefore, the address conversion information storage unit 124 stores the value of the entire private address as an initial value, so that the conversion address determination unit 133 refers to the address conversion information storage unit 124 and determines the address for conversion. can do.

また、後述するように、実施例２におけるルーティング情報生成部１３５は、集合仮想ルータのインタフェースに設定するアドレス、ＶＰＮ終端装置のインタフェースに設定するアドレス、ＮＡＴ装置のインタフェースに設定するアドレスを割り当てるが、変換用アドレス決定部１３３は、各機器のインタフェースに割り当てられたこれらのアドレスとも重複しないように変換用のアドレスを決定しなければならない。このため、アドレス変換情報記憶部１２４が、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスを記憶しておくことで、変換用アドレス決定部１３３は、アドレス変換情報記憶部１２４を参照し、各機器のインタフェースに割り当てられた（あるいは割り当てられる）これらのアドレスと重複しないように、変換用のアドレスを決定することができる。 As will be described later, the routing information generation unit 135 in the second embodiment assigns an address to be set to the interface of the collective virtual router, an address to be set to the interface of the VPN terminating device, and an address to be set to the interface of the NAT device. The conversion address determination unit 133 must determine a conversion address so as not to overlap with these addresses assigned to the interface of each device. For this reason, the address conversion information storage unit 124 stores an address reserved in advance as an address assigned to the interface of each device, so that the conversion address determination unit 133 refers to the address conversion information storage unit 124. The address for conversion can be determined so as not to overlap with these addresses assigned (or assigned) to the interface of each device.

図１７に戻り、ルーティング情報記憶部１２５は、予約情報及びルーティング情報を記憶する。ルーティング情報記憶部１２５は、後述する仮想ルータ構築部１３２及びルーティング情報生成部１３５によって格納されることで、予約情報及びルーティング情報を記憶する。また、ルーティング情報記憶部１２５が記憶する予約情報及びルーティング情報は、ルーティング情報設定部１３６による処理などに利用される。 Returning to FIG. 17, the routing information storage unit 125 stores reservation information and routing information. The routing information storage unit 125 stores reservation information and routing information by being stored by a virtual router construction unit 132 and a routing information generation unit 135 described later. The reservation information and routing information stored in the routing information storage unit 125 are used for processing by the routing information setting unit 136.

図２３及び図２４は、ルーティング情報記憶部１２５を説明するための図である。図２３に例示するように、例えば、ルーティング情報記憶部１２５は、予約情報として、ＶＰＮ間接続サービスを開始すべきサービス開始時刻と、ＶＰＮ間接続サービスを終了すべきサービス終了時刻とを記憶する。また、ルーティング情報記憶部１２５は、予約情報と対応付けて、ルーティング情報を記憶する。例えば、ルーティング情報記憶部１２５は、集合仮想ルータに設定される設定情報（ルーティング情報を含む）を設定ファイルの形式で記憶し、ＶＰＮ終端装置に設定される設定情報を設定ファイルの形式で記憶し、ＮＡＴ装置に設定される設定情報を設定ファイルの形式で記憶する。 23 and 24 are diagrams for explaining the routing information storage unit 125. As illustrated in FIG. 23, for example, the routing information storage unit 125 stores, as reservation information, a service start time at which an inter-VPN connection service should be started and a service end time at which an inter-VPN connection service should be ended. Further, the routing information storage unit 125 stores the routing information in association with the reservation information. For example, the routing information storage unit 125 stores setting information (including routing information) set in the collective virtual router in the form of a setting file, and stores setting information set in the VPN termination device in the form of a setting file. , The setting information set in the NAT device is stored in the form of a setting file.

例えば、図２４の（Ａ）は、集合仮想ルータに設定される設定情報の一部を例示するものである。また、例えば、図２４の（Ｂ）は、ＶＰＮ終端装置に設定される設定情報の一部を例示するものである。例えば、図２４の（Ｃ）は、ＮＡＴ装置に設定される設定情報の一部を例示するものである。 For example, FIG. 24A illustrates a part of the setting information set in the collective virtual router. For example, FIG. 24B illustrates a part of the setting information set in the VPN termination device. For example, FIG. 24C illustrates a part of setting information set in the NAT device.

図１７に戻り、アタッチメント記憶部１２６は、集合仮想ルータごと、ＶＰＮ終端装置ごと、ＮＡＴ装置ごとに、アタッチメントを記憶する。ここで、アタッチメントとは、アドレス変換情報をＮＡＴ装置に反映するためのプログラム、ルーティング情報をＶＰＮ終端装置及び集合仮想ルータに対して反映するためのプログラム、及び、ＮＡＴ装置に対して反映されたアドレス変換情報を削除するためのプログラム、ＶＰＮ終端装置及び集合仮想ルータに対して反映されたルーティング情報を削除するためのプログラムである。 Returning to FIG. 17, the attachment storage unit 126 stores the attachment for each aggregate virtual router, each VPN termination device, and each NAT device. Here, the attachment is a program for reflecting address translation information to the NAT device, a program for reflecting routing information to the VPN terminal device and the collective virtual router, and an address reflected to the NAT device. A program for deleting conversion information, a program for deleting routing information reflected on a VPN terminating device and an aggregate virtual router.

また、アタッチメントには、ＶＰＮ間接続管理システム１００とＮＡＴ装置との間で用いられる通信プロトコル、ＶＰＮ間接続管理システム１００とＶＰＮ終端装置との間で用いられる通信プロトコルや、ＶＰＮ間接続管理システム１００と集合仮想ルータとの間で用いられる通信プロトコルが規定される。なお、一般に、当該通信プロトコルには、ＮＡＴ装置のベンダ、ＶＰＮ終端装置のベンダや集合仮想ルータのベンダによって規定される独自仕様の通信プロトコルが用いられる。アタッチメント記憶部１２６は、例えばＶＰＮ間接続管理システム１００の運用者に入力されることで、アタッチメントを事前に記憶する。また、アタッチメント記憶部１２６が記憶するアタッチメントは、後述するアドレス変換情報設定部１３４、ルーティング情報設定部１３６及び削除部１３７による処理に利用される。 The attachment includes a communication protocol used between the VPN connection management system 100 and the NAT device, a communication protocol used between the VPN connection management system 100 and the VPN termination device, and an VPN connection management system 100. And a communication protocol used between the collective virtual routers. In general, the communication protocol is a proprietary communication protocol defined by the vendor of the NAT device, the vendor of the VPN termination device, or the vendor of the collective virtual router. The attachment storage unit 126 stores the attachment in advance, for example, by being input to the operator of the inter-VPN connection management system 100. Further, the attachment stored in the attachment storage unit 126 is used for processing by an address conversion information setting unit 134, a routing information setting unit 136, and a deletion unit 137, which will be described later.

図２５は、アタッチメント記憶部１２６を説明するための図である。図２５に例示するように、例えば、アタッチメント記憶部１２６は、集合仮想ルータ、ＶＰＮ終端装置やＮＡＴ装置の装置識別情報とアタッチメントとを対応付けて記憶する。例えば、反映用のアタッチメントには、ＮＡＴ装置、ＶＰＮ終端装置や集合仮想ルータにログインするためのＩＤ／パスワードや、アドレス変換情報やルーティング情報を格納すべきパスを指定し、指定したパスにアドレス変換情報やルーティング情報を格納するためのコマンド、ＮＡＴ装置、ＶＰＮ終端装置や集合仮想ルータを再起動させるコマンドなどが記載される。なお、アドレス変換情報やルーティング情報の反映には、格納して再起動することで反映する場合と、格納によって反映する場合とがある。また、反映用のアタッチメントには、ＶＰＮ間接続管理システム１００とＮＡＴ装置との間で用いられる通信プロトコル、ＶＰＮ間接続管理システム１００とＶＰＮ終端装置との間で用いられる通信プロトコルや、ＶＰＮ設定システムと集合仮想ルータとの間で用いられる通信プロトコルが規定される。 FIG. 25 is a diagram for explaining the attachment storage unit 126. As illustrated in FIG. 25, for example, the attachment storage unit 126 stores device identification information and attachments of the collective virtual router, the VPN terminal device, or the NAT device in association with each other. For example, the reflection attachment specifies an ID / password for logging in to a NAT device, a VPN termination device, or an aggregate virtual router, a path for storing address conversion information and routing information, and converts the address to the specified path. A command for storing information and routing information, a command for restarting the NAT device, the VPN terminal device, and the collective virtual router are described. Note that address translation information and routing information may be reflected by storing and restarting, or reflected by storing. The reflection attachment includes a communication protocol used between the VPN connection management system 100 and the NAT device, a communication protocol used between the VPN connection management system 100 and the VPN termination device, and a VPN setting system. And a communication protocol used between the collective virtual routers.

また、例えば、削除用のアタッチメントには、ＮＡＴ装置、ＶＰＮ終端装置や集合仮想ルータにログインするためのＩＤ／パスワードや、アドレス変換情報やルーティング情報が格納されているパスからアドレス変換情報やルーティング情報を削除するためのコマンド、ＮＡＴ装置、ＶＰＮ終端装置や集合仮想ルータを再起動させるコマンドなどが記載される。また、削除用のアタッチメントには、ＶＰＮ間接続管理システム１００とＮＡＴ装置との間で用いられる通信プロトコル、ＶＰＮ間接続管理システム１００とＶＰＮ終端装置との間で用いられる通信プロトコルや、ＶＰＮ設定システムと集合仮想ルータとの間で用いられる通信プロトコルが規定される。 Further, for example, in the attachment for deletion, the address conversion information and the routing information from the path storing the ID / password, the address conversion information and the routing information for logging into the NAT device, the VPN terminal device and the collective virtual router And a command for deleting a NAT device, a VPN terminal device, and a collective virtual router are described. The attachment for deletion includes a communication protocol used between the VPN connection management system 100 and the NAT device, a communication protocol used between the VPN connection management system 100 and the VPN termination device, and a VPN setting system. And a communication protocol used between the collective virtual routers.

図１７に戻り、装置情報記憶部１２７は、ＶＰＮ終端装置に事前設定されたＶＰＮ終端装置の事前設定情報、及び、集合仮想ルータに事前設定された集合仮想ルータの事前設定情報を記憶する。装置情報記憶部１２７は、例えばＶＰＮ間接続管理システム１００の運用者に入力されることで、ＶＰＮ終端装置の事前設定情報及び集合仮想ルータの事前設定情報を事前に記憶する。また、装置情報記憶部１２７が記憶する事前設定情報は、後述するルーティング情報生成部１３５による処理などに利用される。 Returning to FIG. 17, the device information storage unit 127 stores the VPN terminal device preset information preset in the VPN terminal device and the aggregate virtual router preset information preset in the aggregate virtual router. The device information storage unit 127 stores, in advance, for example, the setting information of the VPN terminating device and the setting information of the collective virtual router in advance by being input to the operator of the inter-VPN connection management system 100. Further, the preset information stored in the device information storage unit 127 is used for processing by the routing information generation unit 135 described later.

図２６は、集合仮想ルータの事前設定情報を説明するための図である。図２６に例示するように、例えば、装置情報記憶部１２７は、集合仮想ルータの事前設定情報として、ホスト名（又はルータ名）及びパスワードを記憶する。「ホスト名」は、集合仮想ルータの名称であり、例えば『ｊｐｎ１００』といった名称である。「パスワード」は、集合仮想ルータにログインするためのパスワードであり、例えば『ｒｏｏｔｒｏｏｔ』といったパスワードである。 FIG. 26 is a diagram for explaining the pre-configuration information of the collective virtual router. As illustrated in FIG. 26, for example, the device information storage unit 127 stores a host name (or router name) and a password as pre-configuration information of the collective virtual router. “Host name” is the name of the collective virtual router, for example, “jpn100”. The “password” is a password for logging in to the collective virtual router, for example, a password such as “root”.

図２７は、ＶＰＮ終端装置の事前設定情報を説明するための図である。図２７に例示するように、例えば、装置情報記憶部１２７は、ＶＰＮ終端装置の事前設定情報として、ホスト名（又はルータ名）、パスワード、ＶＰＮ終端装置ＩＤ、ＶＰＮ種別、集合仮想ルータ向けＩＰアドレス、サーバモードを記憶する。また、図２７においては図示を省略するが、装置情報記憶部１２７は、事前設定情報として、例えば、サーバ側待ち受けＩＰアドレス、プロトコル、ポート番号なども記憶する。 FIG. 27 is a diagram for explaining the pre-setting information of the VPN termination device. As illustrated in FIG. 27, for example, the device information storage unit 127 includes a host name (or router name), a password, a VPN termination device ID, a VPN type, and an IP address for the collective virtual router as pre-configuration information of the VPN termination device. The server mode is stored. Although not shown in FIG. 27, the device information storage unit 127 also stores, for example, a server-side standby IP address, a protocol, a port number, and the like as the preset information.

「ホスト名」は、ＶＰＮ終端装置の名称であり、例えば『ｊｐｎ１』といった名称である。「パスワード」は、ＶＰＮ終端装置にログインするためのパスワードであり、例えば『ｒｏｏｔｒｏｏｔ』といったパスワードである。「ＶＰＮ終端装置ＩＤ」は、ＶＰＮ終端装置を識別するＩＤであり、例えば『ＶＰＮ終端装置１』といったＩＤである。「ＶＰＮ種別」は、ＶＰＮ種別であり、例えば『ＯｐｅｎＶＰＮ』といった種別である。 “Host name” is the name of the VPN termination device, for example, “jpn1”. The “password” is a password for logging in to the VPN terminal device, and is a password such as “root”, for example. The “VPN termination device ID” is an ID for identifying the VPN termination device, for example, “VPN termination device 1”. The “VPN type” is a VPN type, for example, “OpenVPN”.

「集合仮想ルータ向けＩＰアドレス」は、拠点から送出されたパケットを集合仮想ルータに向けて送出する際に転送すべきＩＰアドレスであり、集合仮想ルータに仮想ルータが構築され、集合仮想ルータのインタフェースにＩＰアドレスが割り当てられて初めて決定するものである。このため、図２７においては、未だ割り当てられていないという意味で空欄とする。サーバモードは、ＶＰＮ終端装置が選択したルーティング方式であり、例えばＯｐｅｎＶＰＮを用いる場合、ルーティング方式には『ｒｏｕｔｉｎｇ』と『ｂｒｉｄｇｅ』とがある。 The “IP address for the collective virtual router” is an IP address to be transferred when a packet sent from the base is sent to the collective virtual router. A virtual router is constructed in the collective virtual router, and the interface of the collective virtual router It is determined only after an IP address is assigned. For this reason, in FIG. 27, it is left blank in the sense that it has not been assigned yet. The server mode is a routing method selected by the VPN terminating device. For example, when OpenVPN is used, the routing method includes “routing” and “bridge”.

図１７に戻り、制御部１３０は、ＶＰＮ間接続管理システム１００において実行される各種処理を制御する。具体的には、図１７に例示するように、制御部１３０は、ＶＰＮ間接続要求受付部１３１と、仮想ルータ構築部１３２と、変換用アドレス決定部１３３と、アドレス変換情報設定部１３４と、ルーティング情報生成部１３５と、ルーティング情報設定部１３６と、削除部１３７とを有する。 Returning to FIG. 17, the control unit 130 controls various processes executed in the inter-VPN connection management system 100. Specifically, as illustrated in FIG. 17, the control unit 130 includes an inter-VPN connection request reception unit 131, a virtual router construction unit 132, a translation address determination unit 133, an address translation information setting unit 134, A routing information generation unit 135, a routing information setting unit 136, and a deletion unit 137 are included.

ＶＰＮ間接続要求受付部１３１は、ＶＰＮ間接続要求を受け付ける。具体的には、例えば、インターネットなどのネットワークにユーザ用のＷｅｂサーバが設置され、ＶＰＮ間接続要求受付部１３１は、ユーザ用の入力画面をＷｅｂサーバに配信する。ここで、ユーザ用の入力画面とは、ＶＰＮ間接続を行うＶＰＮの管理者から、そのＶＰＮ間接続要求を受け付けるために、ＶＰＮ間接続サービスを提供する電気通信事業者などが提供するものである。すると、例えば拠点それぞれの管理者が、当該Ｗｅｂサーバにアクセスし、ユーザ用の入力画面にＶＰＮ間接続要求を入力することで、ＶＰＮ間接続要求受付部１３１は、ＶＰＮ間接続要求の入力を受け付け、受け付けたＶＰＮ間接続要求をＶＰＮ間接続要求記憶部１２３に格納する。 The inter-VPN connection request accepting unit 131 accepts an inter-VPN connection request. Specifically, for example, a Web server for users is installed on a network such as the Internet, and the inter-VPN connection request receiving unit 131 distributes an input screen for users to the Web server. Here, the user input screen is provided by a telecommunications carrier or the like that provides an inter-VPN connection service in order to receive an inter-VPN connection request from a VPN administrator who performs an inter-VPN connection. . Then, for example, an administrator at each site accesses the Web server and inputs an inter-VPN connection request on the user input screen, so that the inter-VPN connection request accepting unit 131 accepts the input of the inter-VPN connection request. The received inter-VPN connection request is stored in the inter-VPN connection request storage unit 123.

図２８は、ＶＰＮ間接続要求の入力画面の一例を説明するための図である。例えば、ＶＰＮ間接続要求受付部１３１は、まず、図２８の（Ａ）に例示する入力画面を出力する。入力画面には、仮想ルータ名の入力を受け付ける枠、及び、パスワードの入力を受け付ける枠が設けられる。なお、仮想ルータ名及びパスワードは、例えば、同じ協働空間に属する予定の『Ａ社』と『Ｂ社』との間で、オフラインで決定されるなどする。こうして、例えば、図２８の（Ａ）に例示するように、『Ａ社』の管理者が仮想ルータ名『ｖｒｆ１』及びパスワードを入力すると、ＶＰＮ間接続要求受付部１３１は、仮想ルータ名として『ｖｒｆ１』を受け付け、続いて、『Ａ社』に関する情報を受け付ける。なお、実施例２においては、ＶＰＮ間接続要求として仮想ルータ名の入力を受け付ける例を説明するが、本発明はこれに限られるものではなく、例えば、ＶＰＮ間接続管理システム１００側で仮想ルータ名を自動的に割り当ててもよい。 FIG. 28 is a diagram for explaining an example of an input screen for an inter-VPN connection request. For example, the inter-VPN connection request accepting unit 131 first outputs an input screen illustrated in FIG. The input screen is provided with a frame for receiving an input of a virtual router name and a frame for receiving an input of a password. Note that the virtual router name and password are determined off-line between “Company A” and “Company B” scheduled to belong to the same collaborative space, for example. Thus, for example, as illustrated in FIG. 28A, when the administrator of “Company A” inputs the virtual router name “vrf1” and the password, the inter-VPN connection request accepting unit 131 sets the virtual router name as “virtual router name”. vrf1 ”is received, and then information regarding“ Company A ”is received. In the second embodiment, an example in which an input of a virtual router name is accepted as an inter-VPN connection request will be described. However, the present invention is not limited to this, for example, the virtual router name on the inter-VPN connection management system 100 side. May be automatically assigned.

また、図２８の（Ｂ）に例示するように、図２８の（Ａ）に例示する入力画面に続く次の入力画面には、接続先ＩＤ及び端末名の入力を受け付ける枠が設けられる。例えば、『Ａ社』の管理者が、接続先ＩＤとして『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』を入力し、端末名として『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を入力すると、ＶＰＮ間接続要求受付部１３１は、仮想ルータ名『ｖｒｆ１』によってＶＰＮ間接続される『Ａ社』側の端末として『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を受け付ける。なお、例えば『Ｍｏｒｅ』のボタンが管理者によって押下されると、ＶＰＮ間接続要求受付部１３１は、入力画面上に、端末名の入力を受け付ける枠をさらに設ける。 Further, as illustrated in FIG. 28B, a frame for receiving input of a connection destination ID and a terminal name is provided on the next input screen following the input screen illustrated in FIG. For example, an administrator of “Company A” inputs “UserA-Office” as a connection destination ID and “α1 @ vpn1. example. co. jp ”is input, the inter-VPN connection request accepting unit 131 sets“ α1 @ vpn1... example. co. jp ". For example, when the “More” button is pressed by the administrator, the inter-VPN connection request receiving unit 131 further provides a frame for receiving an input of the terminal name on the input screen.

また、入力画面には、予約時間の年月日及び時刻の入力を受け付ける枠が設けられる。例えば、図２８の（Ｂ）に例示するように、管理者が、予約時間『２００９．８．２１１３：００』〜『２００９．８．２１１５：００』を入力すると、ＶＰＮ間接続要求受付部１３１は、ＶＰＮ間接続サービス開始時刻として『２００９．８．２１１３：００』、ＶＰＮ間接続サービス終了時刻として『２００９．８．２１１５：００』を受け付ける。 In addition, the input screen is provided with a frame for receiving input of the date and time of the reservation time. For example, as illustrated in FIG. 28B, when the administrator inputs a reservation time “2009.8.21 13:00” to “2009.8.21 15:00”, an inter-VPN connection request is accepted. The unit 131 accepts “2009.8.21 13:00” as the inter-VPN connection service start time and “2009.8.21 15:00” as the inter-VPN connection service end time.

さて、図２８の（Ｂ）に例示する入力画面において、例えば『ＯＫ』ボタンが管理者によって押下されると、ＶＰＮ間接続要求受付部１３１は、ＶＰＮ間接続要求の受け付けを終了する。なお、この後、『Ｂ社』の管理者も同様に、仮想ルータ名『ｖｒｆ１』によってＶＰＮ間接続される端末として『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を入力する。 In the input screen illustrated in FIG. 28B, for example, when the “OK” button is pressed by the administrator, the inter-VPN connection request accepting unit 131 ends the acceptance of the inter-VPN connection request. After this, the administrator of “Company B” is similarly designated as “β1 @ vpn2 ..” as a terminal connected between VPNs by the virtual router name “vrf1”. example. co. jp ".

例えば、『Ｂ社』の管理者が、入力画面に仮想ルータ名『ｖｒｆ１』及びパスワードを入力すると、ＶＰＮ間接続要求受付部１３１は、仮想ルータ名として『ｖｒｆ１』を受け付ける。ここで、仮想ルータ名『ｖｒｆ１』によって識別されるＶＰＮ間接続については、既に『Ａ社』の管理者が予約時間の年月日及び時刻の入力を済ませているので、例えば、ＶＰＮ間接続要求受付部１３１は、図２８の（Ｂ）に例示する入力画面のうち、予約時間の年月日及び時刻が入力された状態の入力画面を出力してもよい。すると、例えば、『Ｂ社』の管理者が、接続先ＩＤとして『ＵｓｅｒＢ−Ｏｆｆｉｃｅ』を入力し、端末名として『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を入力すると、ＶＰＮ間接続要求受付部１３１は、仮想ルータ名『ｖｒｆ１』によってＶＰＮ間接続される『Ｂ社』側の端末として『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を受け付ける。こうして、『端末α』と『端末β』とを接続するためのＶＰＮ間接続要求として、仮想ルータ名『ｖｒｆ１』によって識別されるＶＰＮ間接続要求が受け付けられる。 For example, when the administrator of “Company B” inputs the virtual router name “vrf1” and the password on the input screen, the inter-VPN connection request accepting unit 131 accepts “vrf1” as the virtual router name. Here, for the connection between VPNs identified by the virtual router name “vrf1”, the administrator of “Company A” has already entered the date and time of the reservation time. The accepting unit 131 may output an input screen in a state in which the date and time of the reservation time are input among the input screens illustrated in FIG. Then, for example, an administrator of “Company B” inputs “UserB-Office” as a connection destination ID and “β1 @ vpn2. example. co. jp ”is entered, the inter-VPN connection request accepting unit 131 uses“ β1 @ vpn2. example. co. jp ". Thus, an inter-VPN connection request identified by the virtual router name “vrf1” is accepted as an inter-VPN connection request for connecting “terminal α” and “terminal β”.

なお、実施例２においては、ユーザ用の入力画面にＶＰＮ間接続要求を入力させる手法を説明したが、本発明はこれに限られるものではない。例えば、ＶＰＮ間接続サービスを提供する電気通信事業者などの運用者が、ＶＰＮ間接続管理システム１００の出力部１１２に出力された入力画面に直接ＶＰＮ間接続要求を入力する手法でもよい。 In the second embodiment, the method for inputting the inter-VPN connection request on the user input screen has been described. However, the present invention is not limited to this. For example, an operator such as a telecommunications carrier providing an inter-VPN connection service may directly input an inter-VPN connection request on the input screen output to the output unit 112 of the inter-VPN connection management system 100.

仮想ルータ構築部１３２は、ＶＰＮ間接続要求に基づき、集合仮想ルータに仮想ルータを構築する。具体的には、仮想ルータ構築部１３２は、ＶＰＮ間接続要求受付部１３１によって受け付けられたＶＰＮ間接続要求に基づき、集合仮想ルータに構築すべき仮想ルータ名を決定する。また、仮想ルータ構築部１３２は、集合仮想ルータに設定する設定情報のうち仮想ルータの構築情報を生成し、生成した仮想ルータの構築情報を予約情報とともにルーティング情報記憶部１２５に格納する。また、仮想ルータ構築部１３２は、変換用アドレス決定部１３３に、アドレス変換情報を生成すべき旨を通知する。 The virtual router construction unit 132 constructs a virtual router in the collective virtual router based on the inter-VPN connection request. Specifically, the virtual router construction unit 132 determines a virtual router name to be constructed in the collective virtual router based on the inter-VPN connection request accepted by the inter-VPN connection request acceptance unit 131. Further, the virtual router construction unit 132 generates virtual router construction information among the setting information set in the collective virtual router, and stores the generated virtual router construction information in the routing information storage unit 125 together with reservation information. Further, the virtual router construction unit 132 notifies the translation address determination unit 133 that address translation information should be generated.

例えば、仮想ルータ構築部１３２は、ＶＰＮ間接続要求記憶部１２３（図２１に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、仮想ルータを構築すべきタイミングであるか否かを判定する。例えば、仮想ルータ構築部１３２は、現在時刻とサービス開始時刻『ｔ１』とを比較して、仮想ルータを構築すべきタイミングであるか否かを判定する。 For example, the virtual router construction unit 132 periodically refers to the VPN connection request storage unit 123 (illustrated in FIG. 21), compares the current time with the service start time, and constructs a virtual router. It is determined whether or not. For example, the virtual router construction unit 132 compares the current time with the service start time “t1” to determine whether it is time to construct a virtual router.

次に、仮想ルータ構築部１３２は、仮想ルータを構築すべきタイミングであると判定すると、ＶＰＮ間接続要求記憶部１２３を参照し、サービス開始時刻に対応付けて記憶されている仮想ルータ名及び端末名を取得する。例えば、仮想ルータ構築部１３２は、サービス開始時刻『ｔ１』に対応付けて記憶されている仮想ルータ名『ｖｒｆ１』、並びに、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』及び『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を取得する。 Next, when the virtual router construction unit 132 determines that it is time to construct a virtual router, it refers to the inter-VPN connection request storage unit 123 and stores the virtual router name and terminal stored in association with the service start time. Get the name. For example, the virtual router construction unit 132 includes the virtual router name “vrf1” stored in association with the service start time “t1” and the terminal name “α1 @ vpn1. example. co. jp "and" β1 @ vpn2. example. co. jp ”.

そして、仮想ルータ構築部１３２は、取得した端末名を用いてＶＰＮ間接続情報記憶部１２１（図１８に例示）を参照し、端末名によって識別される拠点が収容される集合仮想ルータを特定し、設定パターンの識別情報を取得する。例えば、仮想ルータ構築部１３２は、集合仮想ルータ『集合仮想ルータ１』を特定し、設定パターンの識別情報『ＶＲ−Ｐ１』を取得する。 Then, the virtual router construction unit 132 refers to the inter-VPN connection information storage unit 121 (illustrated in FIG. 18) using the acquired terminal name, and identifies the collective virtual router that accommodates the base identified by the terminal name. The identification information of the setting pattern is acquired. For example, the virtual router construction unit 132 identifies the aggregate virtual router “aggregate virtual router 1” and acquires the setting pattern identification information “VR-P1”.

続いて、仮想ルータ構築部１３２は、取得した設定パターンの識別情報を用いて設定パターン記憶部１２２（図１９に例示）を参照し、区分『仮想ルータ定義』に対応付けて記憶されている仕様を取得する。ここで、図１９には例示しなかったが、設定パターン記憶部１２２は、設定パターンの一つとして、設定情報を集合仮想ルータに反映するための所定のコマンド文も集合仮想ルータごとに記憶する。このため、仮想ルータ構築部１３２は、該当する所定のコマンド文も取得する。 Subsequently, the virtual router construction unit 132 refers to the setting pattern storage unit 122 (illustrated in FIG. 19) using the acquired setting pattern identification information, and stores the specification stored in association with the category “virtual router definition”. To get. Here, although not illustrated in FIG. 19, the setting pattern storage unit 122 also stores, as one of the setting patterns, a predetermined command statement for reflecting the setting information in the collective virtual router for each collective virtual router. . For this reason, the virtual router construction unit 132 also acquires a corresponding predetermined command sentence.

そして、仮想ルータ構築部１３２は、ＶＰＮ間接続要求記憶部１２３（図２１に例示）を参照してサービス開始時刻及びサービス終了時刻を取得し、取得したサービス開始時刻及びサービス終了時刻をルーティング情報記憶部１２５（図２３に例示）に格納する。例えば、仮想ルータ構築部１３２は、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』をルーティング情報記憶部１２５に格納する。 Then, the virtual router construction unit 132 refers to the VPN connection request storage unit 123 (illustrated in FIG. 21), acquires the service start time and service end time, and stores the acquired service start time and service end time in the routing information. It stores in the part 125 (illustrated in FIG. 23). For example, the virtual router construction unit 132 stores the service start time “t1” and the service end time “t3” in the routing information storage unit 125.

次に、仮想ルータ構築部１３２は、取得した仕様やコマンド文を用いて仮想ルータの構築情報をファイルに記載し、サービス開始時刻及びサービス終了時刻に対応付けてルーティング情報記憶部１２５に格納する。例えば、仮想ルータ構築部１３２は、仮想ルータ名『ｖｒｆ１』を、取得した所定のコマンド文を用いて『ｉｐｖｒｆｖｒｆ１』と記載したファイルを作成する。また、仮想ルータ構築部１３２は、作成したファイルに、図１９に例示する仕様に従って決定した仮想ルータＩＤ『１００：１０』を、所定のコマンド文を用いて『ｒｄ１００：１０』と記載する。そして、仮想ルータ構築部１３２は、作成したファイルをサービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』に対応付けてルーティング情報記憶部１２５に格納する（図２４の（Ａ）を参照）。 Next, the virtual router construction unit 132 describes the construction information of the virtual router in a file using the acquired specifications and command statements, and stores the information in the routing information storage unit 125 in association with the service start time and service end time. For example, the virtual router construction unit 132 creates a file in which the virtual router name “vrf1” is described as “ip vrf vrf1” using the acquired predetermined command statement. Further, the virtual router construction unit 132 describes the virtual router ID “100: 10” determined according to the specification illustrated in FIG. 19 as “rd 100: 10” using a predetermined command sentence in the created file. Then, the virtual router construction unit 132 stores the created file in the routing information storage unit 125 in association with the service start time “t1” and the service end time “t3” (see FIG. 24A).

変換用アドレス決定部１３３は、ＶＰＮ間接続要求に基づき、ＶＰＮ間接続に用いられるアドレスを決定する。具体的には、変換用アドレス決定部１３３は、ＶＰＮ間接続要求受付部１３１によって受け付けられたＶＰＮ間接続要求に基づき、ＶＰＮ間接続に用いられるアドレスを決定し、アドレス変換情報を生成する。 The conversion address determination unit 133 determines an address used for the connection between VPNs based on the connection request between VPNs. Specifically, the conversion address determination unit 133 determines an address used for the connection between VPNs based on the connection request between VPNs received by the connection request reception unit 131 between VPNs, and generates address conversion information.

ここで、変換用アドレス決定部１３３は、通信相手となる他拠点配下の端末を拠点にて識別するためのアドレス（以下「第一アドレス」）を、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該当する拠点内で通信相手となり得る端末の中で一意となるように決定する。また、変換用アドレス決定部１３３は、ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するアドレス（以下「第二アドレス」）を、ＶＰＮ間接続を利用する時間帯と重複する時間帯に該当するＶＰＮ間接続として制御され得る端末の中で一意となるように決定する。また、変換用アドレス決定部１３３は、決定した二つのアドレスがＮＡＴ装置を境界として相互に変換されるようにアドレス変換情報を生成する。 Here, the conversion address determination unit 133 overlaps an address (hereinafter referred to as “first address”) for identifying a terminal under another base serving as a communication partner at the base with a time zone in which the inter-VPN connection is used. It is determined so as to be unique among terminals that can be communication partners within the base corresponding to the time zone. In addition, the conversion address determination unit 133 overlaps an address (hereinafter referred to as “second address”) for identifying a terminal under each base belonging to the inter-VPN connection by the collective virtual router with a time zone in which the inter-VPN connection is used. It is determined to be unique among terminals that can be controlled as connection between VPNs corresponding to the time zone. Also, the translation address determination unit 133 generates address translation information so that the determined two addresses are mutually translated with the NAT device as a boundary.

ここで、実施例２におけるＶＰＮ間接続管理システム１００は、プライベートアドレス全体を、ＶＰＮ間接続サービスに利用することができるアドレスとして管理するものとする。すなわち、ＶＰＮ間接続管理システム１００は、上述したように、アドレス変換情報記憶部１２４が、プライベートアドレス全体の値、及び、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスも記憶する。また、ＶＰＮ間接続管理システム１００は、利用者から事前に申請してもらうことなどにより、拠点ごとに、その拠点にて用いられているプライベートアドレス（ＶＰＮ間接続情報記憶部１２１の『拠点内アドレス』）を管理している。 Here, it is assumed that the inter-VPN connection management system 100 according to the second embodiment manages the entire private address as an address that can be used for the inter-VPN connection service. That is, in the inter-VPN connection management system 100, as described above, the address conversion information storage unit 124 also stores the value of the entire private address and the address reserved in advance as the address assigned to the interface of each device. Further, the inter-VPN connection management system 100 receives a private address used at each base (“intra-base address in the inter-VPN connection information storage unit 121) for each base by receiving an application from the user in advance. )).

このため、変換用アドレス決定部１３３は、アドレス変換情報記憶部１２４を参照し、既に予約されたアドレスを時間軸上で探索する。そして、変換用アドレス決定部１３３は、第一アドレスを決定する際には、プライベートアドレス全体のうち、拠点内アドレス、同じ時間帯に既に予約されたアドレスとして探索されたアドレス、及び各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレス以外のアドレスを、新たに払い出すアドレスとして決定すればよい。また、変換用アドレス決定部１３３は、第二アドレスを決定する際には、プライベートアドレス全体のうち、同じＶＰＮ間接続について既に予約されたアドレスとして探索されたアドレス、及び各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレス以外のアドレスを、新たに払い出すアドレスとして決定すればよい。 For this reason, the conversion address determination unit 133 refers to the address conversion information storage unit 124 and searches for an already reserved address on the time axis. Then, when determining the first address, the conversion address determination unit 133 determines, among the entire private addresses, the in-base address, the address that has already been searched for the reserved address in the same time zone, and the interface of each device What is necessary is just to determine an address other than the address reserved beforehand as an address allocated to, as a new payout address. In addition, when determining the second address, the conversion address determination unit 133 is assigned to the address searched as an already reserved address for the same connection between VPNs and the interface of each device when determining the second address. An address other than the previously reserved address may be determined as a new payout address.

なお、本発明はこの手法に限られるものではない。例えば、ＶＰＮ間接続管理システム１００が、利用者から事前に申請してもらうことなどにより、拠点ごとに、その拠点にて用いることができるプライベートアドレスを管理しているとする。この場合には、変換用アドレス決定部１３３は、既に予約されたアドレスを時間軸上で探索し、その拠点にて用いることができるプライベートアドレスとして管理しているプライベートアドレスのうち、拠点内アドレス及び既に予約されたアドレスとして探索されたアドレス以外のアドレスを、新たに払い出すアドレスとして決定すればよい。なお、この場合には、ＶＰＮ間接続管理システム１００は、拠点にて用いることができるプライベートアドレスの値を、拠点ごとに別途記憶する。例えば、ＶＰＮ間接続管理システム１００は、拠点にて用いることができるプライベートアドレスの値を、ＶＰＮ間接続情報記憶部１２１に記憶する。 The present invention is not limited to this method. For example, it is assumed that the inter-VPN connection management system 100 manages a private address that can be used at each base by receiving an application from a user in advance. In this case, the conversion address determination unit 133 searches for a reserved address on the time axis, and among the private addresses managed as private addresses that can be used at the base, An address other than the address searched as an already reserved address may be determined as a new payout address. In this case, the inter-VPN connection management system 100 separately stores a private address value that can be used at each site. For example, the inter-VPN connection management system 100 stores the value of the private address that can be used at the base in the inter-VPN connection information storage unit 121.

また、変換用アドレス決定部１３３は、生成したアドレス変換情報を予約情報とともにアドレス変換情報記憶部１２４に格納する。また、変換用アドレス決定部１３３は、ルーティング情報生成部１３５に、ルーティング情報を含む設定情報を生成すべき旨を通知する。 Also, the conversion address determination unit 133 stores the generated address conversion information in the address conversion information storage unit 124 together with the reservation information. Also, the conversion address determination unit 133 notifies the routing information generation unit 135 that setting information including routing information should be generated.

例えば、変換用アドレス決定部１３３は、仮想ルータ構築部１３２からアドレス変換情報を生成すべき旨の通知を受けると、アドレス変換情報記憶部１２４（図２２に例示）を参照し、通信相手となる他拠点配下の端末を拠点にて識別するための第一アドレスを決定する。 For example, when receiving the notification that the address translation information should be generated from the virtual router construction unit 132, the translation address determination unit 133 refers to the address translation information storage unit 124 (illustrated in FIG. 22) and becomes a communication partner. A first address for identifying a terminal under another base at the base is determined.

例えば、変換用アドレス決定部１３３は、ＶＰＮ接続要求として取得した端末名を用いてＶＰＮ間接続情報記憶部１２１（図１８に例示）を参照し、この端末が属する拠点の接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』を取得する。そして、変換用アドレス決定部１３３は、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』に属する端末名、並びに、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』を用いてアドレス変換情報記憶部１２４を検索し、重複する時間帯に、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』に関するアドレス変換情報が存在すれば、これを全て取得する。また、変換用アドレス決定部１３３は、プライベートアドレス全体の値、及び、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスも取得する。このとき、変換用アドレス決定部１３３は、全ての仮想ルータに対応付けて記憶されたアドレス変換情報を対象として検索する。 For example, the conversion address determination unit 133 refers to the inter-VPN connection information storage unit 121 (illustrated in FIG. 18) using the terminal name acquired as the VPN connection request, and connects the connection destination ID “UserA- Get Office. Then, the conversion address determination unit 133 searches the address conversion information storage unit 124 using the terminal name belonging to the connection destination ID “UserA-Office”, the service start time “t1”, and the service end time “t3”. If there is address conversion information related to the connection destination ID “UserA-Office” in the overlapping time zone, all of them are acquired. The conversion address determination unit 133 also acquires the value of the entire private address and an address reserved in advance as an address assigned to the interface of each device. At this time, the translation address determination unit 133 searches for address translation information stored in association with all virtual routers.

次に、変換用アドレス決定部１３３は、取得したアドレス変換情報を解析し、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点にて、通信相手となる他拠点配下の端末を識別するためのアドレスとして用いられているユーザ側アドレスを全て抽出する。そして、変換用アドレス決定部１３３は、抽出したユーザ側アドレスと重複しないように、また、拠点内アドレス（図１８を参照）と重複しないように、また、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスとも重複しないように、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』によって識別される拠点にて端末名『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を識別するための第一アドレスを決定する。例えば、変換用アドレス決定部１３３は、『１７２．１６．２．１０』を決定する。 Next, the conversion address determination unit 133 analyzes the acquired address conversion information and identifies a terminal under another base serving as a communication partner at the base identified by the connection destination ID “UserA-Office”. All user addresses used as addresses are extracted. Then, the conversion address determination unit 133 preliminarily stores the address assigned to the interface of each device so as not to overlap with the extracted user side address and so as not to overlap with the in-site address (see FIG. 18). The terminal name “β1 @ vpn2 ..” is determined at the base identified by the connection destination ID “UserA-Office” so as not to overlap with the reserved address. example. co. The first address for identifying “jp” is determined. For example, the conversion address determination unit 133 determines “172.16.2.10”.

続いて、変換用アドレス決定部１３３は、接続先ＩＤ『ＵｓｅｒＡ−Ｏｆｆｉｃｅ』及び端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』を用いてＶＰＮ間接続情報記憶部１２１（図１８に例示）を参照し、『ＮＡＴ装置１』及び拠点内アドレス『１９２．１６８．１．１０』を取得する。そして、変換用アドレス決定部１３３は、図２２の１行目に例示するように、『ＮＡＴ装置１』に対応付けて、『１９２．１６８．１．１０』と『１７２．１６．２．１０』とをユーザ側アドレスとして格納する。なお、変換用アドレス決定部１３３は、接続先ＩＤ『ＵｓｅｒＢ−Ｏｆｆｉｃｅ』についても同様に第一アドレスを決定し、図２２の１行目に例示するように、『ＮＡＴ装置２』に対応付けて、『１７２．１６．１．１０』と『１９２．１６８．１．１０』とをユーザ側アドレスとして格納する。 Subsequently, the conversion address determination unit 133 determines the connection destination ID “UserA-Office” and the terminal name “α1 @ vpn1. example. co. jp ”is used to refer to the inter-VPN connection information storage unit 121 (illustrated in FIG. 18), and“ NAT device 1 ”and the base address“ 192.168.1.10 ”are acquired. Then, as illustrated in the first line of FIG. 22, the conversion address determination unit 133 associates “NAT device 1” with “192.168.1.10” and “172.16.2.10”. As the user address. The conversion address determination unit 133 similarly determines the first address for the connection destination ID “UserB-Office”, and associates it with “NAT device 2” as illustrated in the first line of FIG. , “172.16.1.10” and “192.168.1.10” are stored as user side addresses.

また、例えば、変換用アドレス決定部１３３は、アドレス変換情報記憶部１２４（図２２に例示）を参照し、集合仮想ルータにてＶＰＮ間接続に属する各拠点配下の端末を識別するための第二アドレスを決定する。 In addition, for example, the translation address determination unit 133 refers to the address translation information storage unit 124 (illustrated in FIG. 22), and uses a collective virtual router to identify the terminals under each base belonging to the connection between VPNs. Determine the address.

例えば、変換用アドレス決定部１３３は、ＶＰＮ間接続を識別する仮想ルータ名『ｖｒｆ１』、並びに、サービス開始時刻『ｔ１』及びサービス終了時刻『ｔ３』を用いてアドレス変換情報記憶部１２４を検索し、重複する時間帯に、仮想ルータ名『ｖｒｆ１』に関するアドレス変換情報が存在すれば、これを全て取得する。すなわち、変換用アドレス決定部１３３は、仮想ルータ名『ｖｒｆ１』に対応付けて記憶されたアドレス変換情報を対象として検索する。 For example, the translation address determination unit 133 searches the address translation information storage unit 124 using the virtual router name “vrf1” for identifying the connection between VPNs, the service start time “t1”, and the service end time “t3”. If there is address conversion information related to the virtual router name “vrf1” in the overlapping time zone, all of them are acquired. That is, the translation address determination unit 133 searches for the address translation information stored in association with the virtual router name “vrf1”.

次に、変換用アドレス決定部１３３は、取得したアドレス変換情報を解析し、仮想ルータ名『ｖｒｆ１』に関するアドレス変換情報として用いられている仮想ルータ側アドレスを全て抽出する。そして、変換用アドレス決定部１３３は、抽出した仮想ルータ側アドレスと重複しないように、また、各機器のインタフェースに割り当てられるアドレスとして予め確保されたアドレスとも重複しないように、端末名『α１＠ｖｐｎ１．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』及び『β１＠ｖｐｎ２．ｅｘａｍｐｌｅ．ｃｏ．ｊｐ』によって識別される端末を集合仮想ルータにて識別するための第二アドレスを決定する。例えば、変換用アドレス決定部１３３は、『１０．０．１．１０』及び『１０．０．２．１０』を決定する。 Next, the translation address determination unit 133 analyzes the acquired address translation information, and extracts all the virtual router side addresses used as address translation information related to the virtual router name “vrf1”. Then, the conversion address determination unit 133 uses the terminal name “α1 @ vpn1” so that it does not overlap with the extracted virtual router side address and also does not overlap with an address reserved in advance as an address assigned to the interface of each device. . example. co. jp "and" β1 @ vpn2. example. co. The second address for identifying the terminal identified by “jp” in the collective virtual router is determined. For example, the conversion address determination unit 133 determines “10.1.10.” And “10.2.10”.

続いて、変換用アドレス決定部１３３は、図２２の１行目に例示するように、『ＮＡＴ装置１』及び『ＮＡＴ装置２』に対応付けて、『１０．０．１．１０』と『１０．０．２．１０』とを仮想ルータ側アドレスとして格納する。 Subsequently, as illustrated in the first line of FIG. 22, the conversion address determination unit 133 associates “10.0.10” and “NAT device 2” with “NAT device 1” and “NAT device 2”. 10.0.2.10 ”is stored as the virtual router side address.

そして、変換用アドレス決定部１３３は、決定した二つのアドレスがＮＡＴ装置を境界として相互に変換されるようにアドレス変換情報を生成する。例えば、変換用アドレス決定部１３３は、設定パターン記憶部１２２を参照し、アドレス変換情報の仕様、及び、アドレス変換情報をＮＡＴ装置に反映するための所定のコマンド文を取得する。そして、変換用アドレス決定部１３３は、取得した仕様及びコマンド文を用いて、図２２の１行目に例示するアドレス変換テーブルからアドレス変換情報を生成する。なお、実施例２においては、使用後アドレスは再度利用できるため、未使用扱いとする。 Then, the conversion address determination unit 133 generates address conversion information so that the determined two addresses are converted into each other with the NAT device as a boundary. For example, the conversion address determination unit 133 refers to the setting pattern storage unit 122 and acquires a specification of address conversion information and a predetermined command statement for reflecting the address conversion information on the NAT device. Then, the conversion address determination unit 133 generates address conversion information from the address conversion table illustrated in the first line of FIG. 22 using the acquired specification and command statement. In Example 2, since the post-use address can be used again, it is treated as unused.

アドレス変換情報設定部１３４は、アドレス変換情報をＮＡＴ装置に設定する。具体的には、アドレス変換情報設定部１３４は、変換用アドレス決定部１３３によって決定された第一アドレスと第二アドレスとが、ＮＡＴ装置を境界として相互に変換されるように、アドレス変換情報をＮＡＴ装置に設定する。 The address translation information setting unit 134 sets address translation information in the NAT device. Specifically, the address conversion information setting unit 134 converts the address conversion information so that the first address and the second address determined by the conversion address determination unit 133 are converted to each other with the NAT device as a boundary. Set to NAT device.

例えば、アドレス変換情報設定部１３４は、アドレス変換情報記憶部１２４（図２２に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、アドレス変換情報を設定すべきタイミングであるか否かを判定する。例えば、アドレス変換情報設定部１３４は、現在時刻とサービス開始時刻『ｔ１』とを比較して、アドレス変換情報を設定すべきタイミングであるか否かを判定する。 For example, the address translation information setting unit 134 periodically refers to the address translation information storage unit 124 (illustrated in FIG. 22), compares the current time with the service start time, and sets the address translation information at a timing. It is determined whether or not there is. For example, the address conversion information setting unit 134 compares the current time with the service start time “t1” and determines whether it is time to set the address conversion information.

次に、アドレス変換情報設定部１３４は、アドレス変換情報を設定すべきタイミングであると判定すると、アドレス変換情報記憶部１２４を参照し、サービス開始時刻に対応付けて記憶されているアドレス変換情報を取得する。例えば、アドレス変換情報設定部１３４は、『ＮＡＴ装置１』及び『ＮＡＴ装置２』に対応付けて記憶されているアドレス変換テーブルを取得する。 Next, when the address conversion information setting unit 134 determines that it is time to set the address conversion information, the address conversion information setting unit 134 refers to the address conversion information storage unit 124 and sets the address conversion information stored in association with the service start time. get. For example, the address conversion information setting unit 134 acquires an address conversion table stored in association with “NAT device 1” and “NAT device 2”.

そして、アドレス変換情報設定部１３４は、アタッチメント記憶部１２６（図２５に例示）を参照し、該当するアタッチメントを取得し、取得したアタッチメントを用いて、該当するＮＡＴ装置にアドレス変換情報を送信する。例えば、アドレス変換情報設定部１３４は、『ＮＡＴ装置１』及び『ＮＡＴ装置２』を用いてアタッチメント記憶部１２６を参照し、アタッチメント『ＮＡＴ１．ｅｘｅ』及び『ＮＡＴ２．ｅｘｅ』を取得する。続いて、アドレス変換情報設定部１３４は、取得したアタッチメント『ＮＡＴ１．ｅｘｅ』を用いて、アドレス変換情報記憶部１２４において『ＮＡＴ装置１』に対応付けて記憶されているアドレス変換情報を『ＮＡＴ装置１』に送信する。また、アドレス変換情報設定部１３４は、取得したアタッチメント『ＮＡＴ２．ｅｘｅ』を用いて、アドレス変換情報記憶部１２４において『ＮＡＴ装置２』に対応付けて記憶されているアドレス変換情報を『ＮＡＴ装置２』に送信する。 Then, the address conversion information setting unit 134 refers to the attachment storage unit 126 (illustrated in FIG. 25), acquires the corresponding attachment, and transmits the address conversion information to the corresponding NAT device using the acquired attachment. For example, the address conversion information setting unit 134 refers to the attachment storage unit 126 using “NAT device 1” and “NAT device 2” and attaches the attachment “NAT1. exe "and" NAT2. exe ”. Subsequently, the address conversion information setting unit 134 acquires the acquired attachment “NAT1. exe ”, the address translation information stored in association with“ NAT device 1 ”in the address translation information storage unit 124 is transmitted to“ NAT device 1 ”. The address conversion information setting unit 134 also acquires the acquired attachment “NAT2. exe ”, the address conversion information stored in association with“ NAT device 2 ”in the address conversion information storage unit 124 is transmitted to“ NAT device 2 ”.

なお、実施例２においては、アドレス変換情報設定部１３４は、ＶＰＮ間接続サービスを開始する時刻にアドレス変換情報の設定を開始するものとして説明するが、本発明はこれに限られるものではない。ＶＰＮ間接続サービスを開始する時刻として予約を受け付けた時刻には即時にＶＰＮ間接続が実現されるように、例えば、アドレス変換情報の設定に要する時間を予め予測し、『サービス開始時刻』から、予測した当該時間を差し引いた時刻を、アドレス変換情報の反映を開始する時刻としてもよい。例えば、変換用アドレス決定部１３３が、アドレス変換情報記憶部１２４に予約時間とアドレス変換情報とを格納する際に、アドレス変換情報の設定に要する時間を差し引いた時刻も併せて格納し、アドレス変換情報設定部１３４が、当該時刻であるか否かを判定してアドレス変換情報の設定を開始してもよい。 In the second embodiment, the address translation information setting unit 134 is described as starting the address translation information setting at the time of starting the inter-VPN connection service, but the present invention is not limited to this. For example, the time required to set the address translation information is predicted in advance so that the connection between the VPNs is immediately realized at the time when the reservation is accepted as the time for starting the connection service between VPNs. The time obtained by subtracting the predicted time may be used as the time for starting the reflection of the address translation information. For example, when the conversion address determination unit 133 stores the reservation time and the address conversion information in the address conversion information storage unit 124, the conversion address determination unit 133 also stores the time obtained by subtracting the time required to set the address conversion information, The information setting unit 134 may determine whether it is the time and start setting address conversion information.

ルーティング情報生成部１３５は、ＶＰＮ間接続要求及びアドレス変換情報に基づき、ルーティング情報を生成する。具体的には、ルーティング情報生成部１３５は、各機器（集合仮想ルータ、ＶＰＮ終端装置、ＮＡＴ装置）のインタフェースに設定するアドレスを、予め確保されたアドレスの中から割り当てる。また、ルーティング情報生成部１３５は、変換用アドレス決定部１３３によって決定されたアドレス変換情報に基づきルーティング情報を生成する。また、ルーティング情報生成部１３５は、生成したルーティング情報を予約情報とともにルーティング情報記憶部１２５に格納する。なお、実施例２においては、既に仮想ルータ構築部１３２が、仮想ルータの構築情報をファイルに記載してルーティング情報記憶部１２５に格納しているので、ルーティング情報生成部１３５は、このファイルに、ルーティング情報（ＶＰＮ終端装置（Next Hop）へのルーティング情報）などを追記することになる。また、ルーティング情報生成部１３５は、ＶＰＮ終端装置のファイルには、集合仮想ルータ（Next Hop）へのルーティング情報など、ＮＡＴ装置のファイルには、パケットの転送情報などを記載することになる。 The routing information generation unit 135 generates routing information based on the inter-VPN connection request and the address conversion information. Specifically, the routing information generation unit 135 assigns addresses to be set to the interfaces of the respective devices (the collective virtual router, the VPN termination device, and the NAT device) from among the reserved addresses. In addition, the routing information generation unit 135 generates routing information based on the address conversion information determined by the conversion address determination unit 133. Further, the routing information generation unit 135 stores the generated routing information in the routing information storage unit 125 together with the reservation information. In the second embodiment, since the virtual router construction unit 132 has already written the construction information of the virtual router in a file and stored in the routing information storage unit 125, the routing information generation unit 135 includes Routing information (routing information to the VPN terminating device (Next Hop)) is added. Further, the routing information generation unit 135 describes the routing information to the collective virtual router (Next Hop) in the file of the VPN terminating device and the packet transfer information in the file of the NAT device.

まず、集合仮想ルータの設定情報の生成について説明する。例えば、ルーティング情報生成部１３５は、変換用アドレス決定部１３３からルーティング情報を含む設定情報を生成すべき旨の通知を受けると、アドレス変換情報記憶部１２４（図２２に例示）を参照し、ＮＡＴ装置側Ｉ／Ｆに設定すべきアドレスを決定する。例えば、ルーティング情報生成部１３５は、ＮＡＴ装置１側のＩ／Ｆとして『１０．０．１０．９７』を決定し、ＮＡＴ装置２側のＩ／Ｆとして『１０．０．２０．９７』を決定する。 First, generation of the setting information of the collective virtual router will be described. For example, when receiving the notification that the setting information including the routing information should be generated from the translation address determination unit 133, the routing information generation unit 135 refers to the address translation information storage unit 124 (illustrated in FIG. 22), and performs NAT. The address to be set in the device side I / F is determined. For example, the routing information generation unit 135 determines “10.0.10.97” as the I / F on the NAT device 1 side, and “10.0.20.97” as the I / F on the NAT device 2 side. decide.

また、ルーティング情報生成部１３５は、設定パターン記憶部１２２（図１９に例示）を参照し、区分『Ｉ／Ｆの設定』及び『仮想ルータ単位のルーティング設定』に対応付けて記憶されている仕様を取得する。ここで、図１９には例示しなかったが、設定パターン記憶部１２２は、設定パターンの一つとして、設定情報を集合仮想ルータに反映するための所定のコマンド文も集合仮想ルータごとに記憶する。このため、ルーティング情報生成部１３５は、該当する所定のコマンド文も取得する。 In addition, the routing information generation unit 135 refers to the setting pattern storage unit 122 (illustrated in FIG. 19), and stores specifications associated with the categories “I / F setting” and “routing setting for each virtual router”. To get. Here, although not illustrated in FIG. 19, the setting pattern storage unit 122 also stores, as one of the setting patterns, a predetermined command statement for reflecting the setting information in the collective virtual router for each collective virtual router. . For this reason, the routing information generation unit 135 also acquires a corresponding predetermined command sentence.

そして、ルーティング情報生成部１３５は、『数字．数字．数字．数字』の仕様に従って「ＩＰアドレス」を決定する。また、例えば、ルーティング情報生成部１３５は、図１９に例示する設定パターンを参照し、『Ｉ／Ｆの種別数字／数字／数字』の仕様に従って「Ｉ／Ｆの指定」を決定する。 Then, the routing information generation unit 135 reads “Number. Number. Number. The “IP address” is determined in accordance with the “number” specification. Also, for example, the routing information generation unit 135 refers to the setting pattern illustrated in FIG. 19 and determines “I / F designation” according to the specification of “I / F type number / number / number”.

例えば、ルーティング情報生成部１３５は、ＮＡＴ装置１と接続するインタフェースに設定するＩＰアドレスとして『１０．０．１０．９７２５５．２５５．２５５．０』を決定し、Ｉ／Ｆの指定として『ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ１／０／０』を決定する。また、例えば、ルーティング情報生成部１３５は、ＮＡＴ装置２と接続するインタフェースに設定するＩＰアドレスとして『１０．０．２０．９７２５５．２５５．２５５．０』を決定し、Ｉ／Ｆの指定として『ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ２／０／０』を決定する。 For example, the routing information generation unit 135 determines “10.0.10.97 255.255.255.0” as the IP address to be set for the interface connected to the NAT device 1, and “GigbitEthernet1” as the I / F designation. / 0/0 "is determined. Further, for example, the routing information generation unit 135 determines “10.0.20.97 255.255.255.0” as the IP address to be set for the interface connected to the NAT device 2, and designates the I / F as the IP address. “Gigabit Ethernet 2/0/0” is determined.

次に、ルーティング情報生成部１３５は、アドレス変換情報記憶部１２４を参照し、ＮＡＴ装置に対応付けて記憶されている仮想ルータ側アドレスを取得する。例えば、ルーティング情報生成部１３５は、ＮＡＴ装置『ＮＡＴ装置１』と対応付けて記憶されている仮想ルータ側アドレス『１０．０．１．１０』及び『１０．０．２．１０』を取得する。 Next, the routing information generation unit 135 refers to the address translation information storage unit 124 and acquires the virtual router side address stored in association with the NAT device. For example, the routing information generation unit 135 acquires the virtual router side addresses “10.0.10” and “10.2.10” stored in association with the NAT device “NAT device 1”. .

そして、例えば、ルーティング情報生成部１３５は、図２４の（Ａ）に示すように、ＮＡＴ装置１と接続するインタフェースに設定するＩＰアドレスとして決定した『１０．０．１０．９７２５５．２５５．２５５．０』を、所定のコマンド文を用いて『ｉｐａｄｄｒｅｓｓ１０．０．１０．９７２５５．２５５．２５５．０』と記載する。また、例えば、ルーティング情報生成部１３５は、Ｉ／Ｆの指定として決定した『ＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ１／０／０』を、所定のコマンド文を用いて『ｉｎｔｅｒｆａｃｅＧｉｇａｂｉｔＥｔｈｅｒｎｅｔ１／０／０』と記載する。その他、ルーティング情報生成部１３５は、インタフェースを仮想ルータ『ｖｒｆ１』に所属させるコマンドとして、『ｉｐｖｒｆｆｏｒｗａｒｄｉｎｇｖｒｆ１』と記載する。なお、ルーティング情報生成部１３５は、ＮＡＴ装置２と接続するインタフェースについても同様に記載する。 Then, for example, as shown in FIG. 24A, the routing information generation unit 135 determines “10.0.10.97 255.255.255” determined as the IP address to be set to the interface connected to the NAT device 1. .0 ”is described as“ ip address 10.0.10.97 255.255.255.0 ”using a predetermined command sentence. Further, for example, the routing information generation unit 135 describes “GigabitEthernet1 / 0/0” determined as the I / F designation as “interface GigabitEthernet1 / 0/0” using a predetermined command sentence. In addition, the routing information generation unit 135 describes “ip vrf forwarding vrf1” as a command to make the interface belong to the virtual router “vrf1”. Note that the routing information generation unit 135 also describes the interface connected to the NAT device 2 in the same manner.

また、ルーティング情報生成部１３５は、いわゆるルーティング情報であるルーティング設定コマンドを記載する。ここで、ＮｅｘｔＨｏｐはＮＡＴ装置である。例えば、ルーティング情報生成部１３５は、仮想ルータ名『ｖｒｆ１』と、『１０．０.１．０２５５．２５５．２５５．０』と、ＩＰアドレス『１０．０．１０．９８』とを用いて、図１９に例示する仕様に従い所定のコマンド文を用いて『ｉｐｒｏｕｔｅｖｒｆｖｒｆ１１０．０.１．０２５５．２５５．２５５．０１０．０．１０．９８』と記載する。なお、ルーティング情報生成部１３５は、ＮＡＴ装置２と接続するインタフェースについても同様に記載する。 Further, the routing information generating unit 135 describes a routing setting command which is so-called routing information. Here, NextHop is a NAT device. For example, the routing information generation unit 135 uses the virtual router name “vrf1”, “10.0.1.0 255.255.255.0”, and the IP address “10.0.10.98”. , “Ip route vrf vrf 1 10.0.1.0 255.255.255.0 10.0.10.98” is described using a predetermined command sentence in accordance with the specification illustrated in FIG. Note that the routing information generation unit 135 also describes the interface connected to the NAT device 2 in the same manner.

次に、ＶＰＮ終端装置の設定情報の生成について説明する。ルーティング情報生成部１３５は、ＶＰＮ間接続要求受付部１３１によって受け付けられた接続先ＩＤを用いてＶＰＮ間接続情報記憶部１２１を参照し、接続先ＩＤそれぞれと対応付けて記憶されているＶＰＮ終端装置の設定パターンの識別情報を取得する。そして、ルーティング情報生成部１３５は、ＶＰＮ終端装置の設定パターンの識別情報それぞれを用いて設定パターン記憶部１２２を参照し、設定パターン記憶部１２２に記憶されたＶＰＮ終端装置の設定パターンの中から設定情報の生成に利用すべきＶＰＮ終端装置の設定パターンを選択する。そして、ルーティング情報生成部１３５は、選択した設定パターンを用いて設定情報を生成する。 Next, generation of setting information of the VPN termination device will be described. The routing information generation unit 135 refers to the inter-VPN connection information storage unit 121 using the connection destination ID received by the inter-VPN connection request reception unit 131, and stores the VPN termination device in association with each connection destination ID. The identification information of the setting pattern is acquired. Then, the routing information generation unit 135 refers to the setting pattern storage unit 122 using each of the identification information of the setting pattern of the VPN termination device, and sets the setting from the setting patterns of the VPN termination device stored in the setting pattern storage unit 122. A setting pattern of a VPN termination device to be used for generating information is selected. Then, the routing information generation unit 135 generates setting information using the selected setting pattern.

例えば、ルーティング情報生成部１３５は、ＶＰＮ終端装置のＩ／Ｆ（拠点側及び集合仮想ルータ側）に設定すべきアドレスを決定し、決定したアドレスを用いてルーティング情報を生成する。例えば、ルーティング情報生成部１３５は、図２４の（Ｂ）に示すように、『ＶＰＮ終端装置１』のルーティング情報を生成する。図２４（Ｂ）の最初の４行は、『ＶＰＮ終端装置１』のインタフェースにアドレスを設定するコマンドである。また、図２４（Ｂ）の５行目は、ＮｅｘｔＨｏｐを『ＮＡＴ装置１』とするためのルーティング設定コマンドである。 For example, the routing information generation unit 135 determines an address to be set in the I / F (base side and aggregate virtual router side) of the VPN termination device, and generates routing information using the determined address. For example, the routing information generation unit 135 generates the routing information of “VPN termination device 1” as shown in FIG. The first four lines in FIG. 24B are commands for setting an address in the interface of “VPN termination device 1”. The fifth line in FIG. 24B is a routing setting command for setting NextHop to “NAT device 1”.

次に、ＮＡＴ装置の設定情報の生成について説明する。なお、図１９及び図２０においては図示を省略したが、設定パターン記憶部１２２は、ＮＡＴ装置の設定パターンも記憶する。このため、例えば、ルーティング情報生成部１３５は、ＶＰＮ間接続要求受付部１３１によって受け付けられた接続先ＩＤを用いてＶＰＮ間接続情報記憶部１２１を参照し、接続先ＩＤそれぞれと対応付けて記憶されているＮＡＴ装置の識別情報を取得する。そして、ルーティング情報生成部１３５は、ＮＡＴ装置の設定パターンの識別情報それぞれを用いて設定パターン記憶部１２２を参照し、設定パターン記憶部１２２に記憶されたＮＡＴ装置の設定パターンの中から設定情報の生成に利用すべきＮＡＴ装置の設定パターンを選択する。そして、ルーティング情報生成部１３５は、選択した設定パターンを用いて設定情報を生成する。 Next, generation of setting information of the NAT device will be described. Although not shown in FIGS. 19 and 20, the setting pattern storage unit 122 also stores setting patterns of the NAT device. For this reason, for example, the routing information generation unit 135 refers to the inter-VPN connection information storage unit 121 using the connection destination ID received by the inter-VPN connection request reception unit 131 and stores it in association with each connection destination ID. The identification information of the NAT device is acquired. Then, the routing information generation unit 135 refers to the setting pattern storage unit 122 using each of the NAT device setting pattern identification information, and sets the setting information from the NAT device setting patterns stored in the setting pattern storage unit 122. A setting pattern of the NAT device to be used for generation is selected. Then, the routing information generation unit 135 generates setting information using the selected setting pattern.

例えば、ルーティング情報生成部１３５は、ＮＡＴ装置のＩ／Ｆ（拠点側及び集合仮想ルータ側）に設定すべきアドレスを決定し、決定したアドレスを用いてルーティング情報を生成する。例えば、ルーティング情報生成部１３５は、図２４の（Ｃ）に示すように、『ＮＡＴ装置１』のルーティング情報を生成する。図２４（Ｃ）の最初の４行は、『ＮＡＴ装置１』のインタフェースにアドレスを設定するコマンドである。また、図２４（Ｃ）の５行目は、『ＶＰＮ終端装置１』側へのルーティング設定コマンドであり、アドレス変換前のアドレスを設定する。図２４（Ｃ）の６行目は、仮想ルータ『ｖｒｆ１』側へのルーティング設定コマンドであり、アドレス変換後のアドレスを設定する。 For example, the routing information generation unit 135 determines an address to be set in the I / F (base side and aggregate virtual router side) of the NAT device, and generates routing information using the determined address. For example, the routing information generation unit 135 generates the routing information of “NAT device 1” as shown in FIG. The first four lines in FIG. 24C are commands for setting addresses in the interface of “NAT device 1”. The fifth line of FIG. 24C is a routing setting command to the “VPN terminating device 1” side, and sets an address before address conversion. The sixth line in FIG. 24C is a routing setting command to the virtual router “vrf1”, and sets an address after address conversion.

なお、上述したように、実施例２において、設定情報それぞれは、例えば、図２４に例示するように、設定ファイルの形式で、ルーティング情報記憶部１２５に記憶される。すなわち、ルーティング情報生成部１３５は、生成した設定情報それぞれを、設定ファイルの形式で、ルーティング情報記憶部１２５に格納する。もっとも、本発明はこれに限られるものではなく、生成した設定情報をデータベースに格納する手法でもよい。あるいは、生成した設定情報をファイル形式で記憶するとともにデータベースにも格納する手法でもよい。これらの手法によれば、設定情報は、検索や参照に適したデータベースに格納されるので、例えば、ルーティング情報生成部１３５は、設定情報を生成する際に、既に生成された設定情報を参照して重複を判定するが、その都度ファイルオープンの処理を実行する必要がなく、処理が効率的になる。 As described above, in the second embodiment, each piece of setting information is stored in the routing information storage unit 125 in the form of a setting file, for example, as illustrated in FIG. That is, the routing information generation unit 135 stores each of the generated setting information in the routing information storage unit 125 in the form of a setting file. However, the present invention is not limited to this, and a method of storing the generated setting information in a database may be used. Alternatively, the generated setting information may be stored in a file format and stored in a database. According to these methods, since the setting information is stored in a database suitable for search and reference, for example, the routing information generation unit 135 refers to the already generated setting information when generating the setting information. However, it is not necessary to execute the file open process each time, and the process becomes efficient.

ルーティング情報設定部１３６は、ルーティング情報をＮＡＴ装置、ＶＰＮ終端装置及び集合仮想ルータに設定する。例えば、ルーティング情報設定部１３６は、ルーティング情報記憶部１２５（図２３に例示）を定期的に参照し、現在時刻とサービス開始時刻とを比較して、設定情報を設定すべきタイミングであるか否かを判定する。例えば、ルーティング情報設定部１３６は、現在時刻とサービス開始時刻『ｔ１』とを比較して、設定情報を設定すべきタイミングであるか否かを判定する。 The routing information setting unit 136 sets the routing information in the NAT device, the VPN termination device, and the collective virtual router. For example, the routing information setting unit 136 periodically refers to the routing information storage unit 125 (illustrated in FIG. 23), compares the current time with the service start time, and determines whether the setting information should be set. Determine whether. For example, the routing information setting unit 136 compares the current time with the service start time “t1” and determines whether or not it is time to set the setting information.

次に、ルーティング情報設定部１３６は、設定情報を設定すべきタイミングであると判定すると、ルーティング情報記憶部１２５を参照し、サービス開始時刻に対応付けて記憶されている設定情報を取得する。例えば、ルーティング情報設定部１３６は、サービス開始時刻『ｔ１』に対応付けて記憶されている設定情報を取得する。 Next, when the routing information setting unit 136 determines that it is time to set the setting information, the routing information setting unit 136 refers to the routing information storage unit 125 and acquires the setting information stored in association with the service start time. For example, the routing information setting unit 136 acquires the setting information stored in association with the service start time “t1”.

そして、ルーティング情報設定部１３６は、アタッチメント記憶部１２６（図２５に例示）を参照し、該当するアタッチメントを取得し、取得したアタッチメントを用いて、該当する集合仮想ルータ、ＶＰＮ終端装置及びＮＡＴ装置に設定情報を送信する。例えば、ルーティング情報設定部１３６は、『集合仮想ルータ１』、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＮＡＴ装置１』、及び『ＮＡＴ装置２』を用いてアタッチメント記憶部１２６を参照し、アタッチメント『ＶＲ１．ｅｘｅ』、『ＶＰＮ１．ｅｘｅ』、『ＶＰＮ２．ｅｘｅ』、『ＮＡＴ１．ｅｘｅ』、及び『ＮＡＴ２．ｅｘｅ』を取得する。続いて、ルーティング情報設定部１３６は、取得したアタッチメント『ＶＲ１．ｅｘｅ』を用いて、設定情報を『集合仮想ルータ１』に送信する。同様に、ルーティング情報設定部１３６は、『ＶＰＮ終端装置１』、『ＶＰＮ終端装置２』、『ＮＡＴ装置１』及び『ＮＡＴ装置２』にも設定情報を送信する。 Then, the routing information setting unit 136 refers to the attachment storage unit 126 (illustrated in FIG. 25), acquires the corresponding attachment, and uses the acquired attachment to transfer the corresponding aggregate virtual router, VPN termination device, and NAT device. Send configuration information. For example, the routing information setting unit 136 uses the “aggregate virtual router 1”, “VPN termination device 1”, “VPN termination device 2”, “NAT device 1”, and “NAT device 2” to store the attachment storage unit 126. Refer to the attachment “VR1. exe "," VPN1. exe "," VPN2. exe "," NAT1. exe "and" NAT2. exe ”. Subsequently, the routing information setting unit 136 acquires the acquired attachment “VR1. exe ”is used to transmit the setting information to“ collective virtual router 1 ”. Similarly, the routing information setting unit 136 also transmits setting information to “VPN termination device 1”, “VPN termination device 2”, “NAT device 1”, and “NAT device 2”.

なお、アタッチメントには、例えば、ＶＰＮ間接続管理システム１００から各機器に対してｔｅｌｎｅｔやＳＳＨ（Secure SHell）などを用いて遠隔操作することにより、設定情報を設定する手法が含まれていてもよい。 The attachment may include, for example, a method of setting setting information by remotely operating each device from the inter-VPN connection management system 100 using telnet, SSH (Secure SHell), or the like. .

また、実施例２においては、ルーティング情報設定部１３６は、ＶＰＮ間接続サービスを開始する時刻に設定情報の設定を開始するものとして説明するが、本発明はこれに限られるものではない。ＶＰＮ間接続サービスを開始する時刻として予約を受け付けた時刻には即時にＶＰＮ間接続が実現されるように、例えば、設定情報の設定に要する時間を予め予測し、『サービス開始時刻』から、予測した当該時間を差し引いた時刻を、設定情報の設定を開始する時刻としてもよい。例えば、仮想ルータ構築部１３２が、ルーティング情報記憶部１２５に予約時間と設定情報とを格納する際に、設定情報の設定に要する時間を差し引いた時刻も併せて格納し、ルーティング情報設定部１３６が、当該時刻であるか否かを判定して設定情報の設定を開始してもよい。 In the second embodiment, the routing information setting unit 136 is described as starting the setting information setting at the time of starting the inter-VPN connection service, but the present invention is not limited to this. For example, the time required for setting the setting information is predicted in advance so that the connection between the VPNs is immediately realized at the time when the reservation is accepted as the time for starting the inter-VPN connection service. The time obtained by subtracting the time may be set as the time for starting the setting information setting. For example, when the virtual router construction unit 132 stores the reservation time and the setting information in the routing information storage unit 125, the virtual router construction unit 132 also stores the time obtained by subtracting the time required for setting the setting information, and the routing information setting unit 136 Then, it may be determined whether it is the time, and setting of setting information may be started.

削除部１３７は、ＶＰＮ終端装置、ＮＡＴ装置、及び集合仮想ルータに設定されたアドレス変換情報やルーティング情報を削除する。具体的には、削除部１３７は、タイマやポーリングなどによって定期的にアドレス変換情報記憶部１２４やルーティング情報記憶部１２５を参照し、ＶＰＮ間接続サービスを終了する時刻であるか否かを判定する。サービス終了時刻であると判定すると、アタッチメント記憶部１２６を参照し、該当するＶＰＮ終端装置や集合仮想ルータのアタッチメント（削除用）を取得する。そして、削除部１３７は、該当するアタッチメントを用いて、該当するＶＰＮ終端装置や集合仮想ルータから設定情報を削除する。なお、実施例２における削除部１３７は、アドレス変換情報記憶部１２４やルーティング情報記憶部１２５に記憶されている予約情報なども削除する。 The deletion unit 137 deletes address translation information and routing information set in the VPN termination device, the NAT device, and the aggregate virtual router. Specifically, the deletion unit 137 periodically refers to the address translation information storage unit 124 and the routing information storage unit 125 by a timer or polling, and determines whether it is time to end the inter-VPN connection service. . If it is determined that it is the service end time, the attachment storage unit 126 is referred to, and the attachment (for deletion) of the corresponding VPN termination device or aggregate virtual router is acquired. Then, the deletion unit 137 deletes the setting information from the corresponding VPN termination device or the collective virtual router using the corresponding attachment. Note that the deletion unit 137 according to the second embodiment also deletes the reservation information stored in the address conversion information storage unit 124 and the routing information storage unit 125.

［実施例２に係るＶＰＮ間接続管理システムによる処理手順］
次に、図２９及び図３０を用いて、実施例２に係るＶＰＮ間接続管理システム１００による処理手順を説明する。図２９は、実施例２に係るＶＰＮ間接続管理システム１００による処理手順を示すフローチャートであり、図３０は、アドレス決定処理を示すフローチャートである。 [Processing Procedure by VPN Connection Management System According to Second Embodiment]
Next, a processing procedure performed by the inter-VPN connection management system 100 according to the second embodiment will be described with reference to FIGS. 29 and 30. FIG. 29 is a flowchart illustrating a processing procedure performed by the inter-VPN connection management system 100 according to the second embodiment, and FIG. 30 is a flowchart illustrating an address determination process.

図２９に例示するように、実施例２に係るＶＰＮ間接続管理システム１００は、仮想ルータを構築すべきタイミングであると判定すると（ステップＳ１０１肯定）、仮想ルータを構築する（ステップＳ１０２）。具体的には、仮想ルータ構築部１３２が、仮想ルータを構築する。 As illustrated in FIG. 29, when the inter-VPN connection management system 100 according to the second embodiment determines that it is time to construct a virtual router (Yes in step S101), the virtual router is constructed (step S102). Specifically, the virtual router construction unit 132 constructs a virtual router.

次に、ＶＰＮ間接続管理システム１００は、変換用アドレスを決定する（ステップＳ１０３）。具体的には、変換用アドレス決定部１３３が、変換用アドレスを決定する。 Next, the inter-VPN connection management system 100 determines a conversion address (step S103). Specifically, the conversion address determination unit 133 determines the conversion address.

続いて、ＶＰＮ間接続管理システム１００は、ルーティング情報を生成する（ステップＳ１０４）。具体的には、ルーティング情報生成部１３５が、ルーティング情報を生成する。 Subsequently, the inter-VPN connection management system 100 generates routing information (step S104). Specifically, the routing information generation unit 135 generates routing information.

そして、ＶＰＮ間接続管理システム１００は、アドレス変換情報及びルーティング情報を設定する（ステップＳ１０５）。具体的には、アドレス変換情報設定部１３４が、該当するＮＡＴ装置にアドレス変換情報を設定し、ルーティング情報設定部１３６が、該当する集合仮想ルータ及びＶＰＮ終端装置にルーティング情報を設定する。 Then, the VPN connection management system 100 sets address translation information and routing information (step S105). Specifically, the address translation information setting unit 134 sets address translation information for the corresponding NAT device, and the routing information setting unit 136 sets routing information for the corresponding aggregate virtual router and VPN termination device.

なお、サービス開始時刻までに、アドレス変換情報及びルーティング情報の設定が終了してれば、いつ仮想ルータを構築し、いつアドレス変換情報を決定し、いつルーティング情報を生成し、いつアドレス変換情報やルーティング情報を設定するかは、任意である。例えば、サービス開始時刻よりもかなり早い段階で設定まで終了させておき、ファイアウォールの設定などによりＶＰＮ間接続の通信を行わせないようにしてもよい。この場合には、サービス開始時刻になると、ファイアウォールの設定が変更され、ＶＰＮ間接続が可能になる。 If address translation information and routing information settings are completed by the service start time, when a virtual router is constructed, when address translation information is determined, when routing information is generated, when address translation information and Whether to set the routing information is arbitrary. For example, the setting may be completed at a stage much earlier than the service start time, and communication between VPN connections may not be performed due to firewall settings or the like. In this case, when the service start time is reached, the firewall setting is changed, and connection between VPNs becomes possible.

次に、図２９におけるステップＳ１０３（アドレス決定処理）を説明する。なお、以下に説明するように、変換用アドレス決定部１３３が、第一アドレス及び第二アドレスを決定するが、第一アドレス及び第二アドレスの数は、以下の通りである。 Next, step S103 (address determination processing) in FIG. 29 will be described. As will be described below, the conversion address determination unit 133 determines the first address and the second address. The numbers of the first address and the second address are as follows.

すなわち、通信相手となる他拠点配下の端末をある拠点にて識別するための第一アドレスは、この拠点から送信されるパケットの宛先アドレスとなるものであり、この拠点にとっての相手方となる拠点においてＶＰＮ間接続に用いられる端末の数分、決定される。相手方となる拠点においてＶＰＮ間接続に用いられる端末が、複数の端末である場合であって、端末毎のアドレス単位で決定する場合には、端末毎のアドレス単位で、端末の数分の第一アドレスが決定されることになる。一方、サブネット単位で決定する場合、例えば、アドレスのサブネットアドレス部が決定され、ホストアドレス部については元々のアドレスを流用するような場合にも、結果として、端末の数分の第一アドレスが決定されることになる。 In other words, the first address for identifying the terminal under the other base that is the communication partner at the base is the destination address of the packet transmitted from this base, and at the base that is the counterpart to this base It is determined by the number of terminals used for connection between VPNs. In the case where the terminals used for the connection between VPNs at the partner site are a plurality of terminals and are determined by the address unit for each terminal, the first number corresponding to the number of terminals by the address unit for each terminal. The address will be determined. On the other hand, when determining by subnet unit, for example, when the subnet address part of the address is determined and the original address is diverted for the host address part, as a result, the first addresses corresponding to the number of terminals are determined. Will be.

一方、ＶＰＮ間接続に属する各拠点配下の端末を集合仮想ルータにて識別するための第二アドレスは、ＶＰＮ間接続に属する各拠点から送信されたパケットの宛先アドレス及び送信元アドレスそれぞれを変換した後の宛先アドレス及び送信元アドレスとなるものであり、あるＶＰＮ間接続に用いられる端末全ての数分、決定される。 On the other hand, the second address for identifying the terminals under each base belonging to the inter-VPN connection by the collective virtual router is obtained by converting the destination address and the source address of the packet transmitted from each base belonging to the inter-VPN connection. This is a later destination address and source address, and is determined by the number of all terminals used for a certain connection between VPNs.

図３０に例示するように、まず、変換用アドレス決定部１３３は、新規に仮想ルータを構築する場合であるか否かを判定する（ステップＳ１０３−１）。そして、新規に仮想ルータを構築する場合（ステップＳ１０３−１肯定）、変換用アドレス決定部１３３は、広域ネットワークにてＶＰＮ間接続に属する各拠点配下の端末を識別する第二アドレスを決定する（ステップＳ１０３−２）。 As illustrated in FIG. 30, first, the translation address determination unit 133 determines whether or not it is a case of newly constructing a virtual router (step S103-1). When a new virtual router is constructed (Yes at Step S103-1), the conversion address determination unit 133 determines a second address for identifying a terminal under each base belonging to the connection between VPNs in the wide area network ( Step S103-2).

続いて、変換用アドレス決定部１３３は、第一アドレスを払い出し可能であるか否かを判定し（ステップＳ１０３−３）、可能である場合には（ステップＳ１０３−３肯定）、第一アドレスを決定する（ステップＳ１０３−４）。そして、変換用アドレス決定部１３３は、アドレス変換情報を生成して（ステップＳ１０３−５）、処理を終了する。一方、可能でない場合には（ステップＳ１０３−３否定）、変換用アドレス決定部１３３は、エラー応答を行うなどして処理を終了する。 Subsequently, the conversion address determination unit 133 determines whether or not the first address can be paid out (step S103-3). If it is possible (Yes in step S103-3), the first address is determined. Determine (step S103-4). Then, the conversion address determination unit 133 generates address conversion information (step S103-5) and ends the process. On the other hand, if it is not possible (No at Step S103-3), the conversion address determination unit 133 terminates the process by performing an error response or the like.

一方、ステップＳ１０３−１において既に構築されたＶＲＦに新たにＶＰＮを収容する場合には（ステップＳ１０３−１否定）、変換用アドレス決定部１３３は、第二アドレスを払い出し可能であるか否かを判定し（ステップＳ１０３−６）、可能である場合には（ステップＳ１０３−６肯定）、続いて、第一アドレスを払い出し可能であるか否かを判定する（ステップＳ１０３−７）。 On the other hand, when a new VPN is accommodated in the VRF already constructed in step S103-1, (No in step S103-1), the conversion address determination unit 133 determines whether or not the second address can be issued. A determination is made (step S103-6), and if it is possible (Yes at step S103-6), then it is determined whether or not the first address can be paid out (step S103-7).

可能である場合には（ステップＳ１０３−７肯定）、変換用アドレス決定部１３３は、第一アドレス及び第二アドレスを決定し（ステップＳ１０３−８）、アドレス変換情報を生成して（ステップＳ１０３−５）、処理を終了する。 If it is possible (Yes at Step S103-7), the conversion address determination unit 133 determines the first address and the second address (Step S103-8), and generates address conversion information (Step S103-). 5) The process is terminated.

なお、ステップＳ１０３−６において可能でない場合や（ステップＳ１０３−６否定）、ステップＳ１０３−７において可能でない場合には（ステップＳ１０３−７否定）、変換用アドレス決定部１３３は、エラー応答を行うなどして処理を終了する。なお、第二アドレスは、同じ時間帯に同じ仮想ルータとして設定される接続先の中で一意となるように決定されればよいので、払い出しが可能でないという事態（ステップＳ１０３−６否定の事態）は、殆ど発生しない。もっとも、接続する端末の数が膨大な場合などには、第二アドレスの払い出しが不可能になる事態も考え得る。 If it is not possible in Step S103-6 (No in Step S103-6) or not possible in Step S103-7 (No in Step S103-7), the conversion address determination unit 133 performs an error response, etc. To finish the process. Since the second address only needs to be determined so as to be unique among the connection destinations set as the same virtual router in the same time zone, a situation in which payout is not possible (a situation in which step S103-6 is negative) Hardly occurs. Of course, when the number of connected terminals is enormous, it may be possible that the second address cannot be paid out.

［実施例２の効果］
上述してきたように、実施例２によれば、変換用アドレス決定部１３３が、所定のＶＰＮ間接続において通信相手となる他拠点配下の端末を拠点内で識別するための第一アドレスを、該ＶＰＮ間接続を利用する時間帯において該拠点内で通信相手となり得る端末の中で一意となるように決定する。また、変換用アドレス決定部１３３が、ＶＰＮ間接続に属する各拠点配下の端末を広域ネットワーク内で識別するための第二アドレスを、該ＶＰＮ間接続を利用する時間帯において該ＶＰＮ間接続として制御され得る端末の中で一意となるように決定する。また、アドレス変換情報設定部１３４が、第一アドレスと第二アドレスとがＮＡＴ装置それぞれを境界として相互に変換されるように、該第一アドレスと該第二アドレスとを変換するアドレス変換情報を該ＮＡＴ装置に設定する。 [Effect of Example 2]
As described above, according to the second embodiment, the conversion address determination unit 133 determines the first address for identifying the terminal under the other base that is the communication partner in the predetermined connection between VPNs in the base. It is determined to be unique among terminals that can be communication partners in the base in the time zone in which the connection between VPNs is used. In addition, the conversion address determination unit 133 controls the second address for identifying the terminals under each base belonging to the inter-VPN connection in the wide area network as the inter-VPN connection in the time zone in which the inter-VPN connection is used. To be unique among the possible terminals. In addition, the address conversion information setting unit 134 converts the first address and the second address into address conversion information for converting the first address and the second address so that the first address and the second address are converted to each other with the NAT device as a boundary. Set to the NAT device.

また、実施例２によれば、ＶＰＮ間接続情報記憶部１２１やアドレス変換情報記憶部１２４などが、ＶＰＮ間接続を識別する仮想ルータ名と、ＶＰＮ間接続を利用する時間帯を示す時間帯情報（サービス開始時刻、サービス終了時刻）と、ＶＰＮ間接続に属する拠点を識別する接続先ＩＤと、第一アドレス及び第二アドレスとを対応付けて記憶する。そして、変換用アドレス決定部１３３は、ＶＰＮ間接続要求を受け付けると、ＶＰＮ間接続要求にて指定された端末名を用いてＶＰＮ間接続情報記憶部１２１やアドレス変換情報記憶部１２４などを拠点ごとに検索し、少なくともＶＰＮ間接続要求にて指定された時間帯と重複する時間帯を示す時間帯情報に対応付けて記憶された第一アドレスと重複しないように第一アドレスを決定する。また、変換用アドレス決定部１３３は、ＶＰＮ間接続要求にて指定された仮想ルータ名を用いてＶＰＮ間接続情報記憶部１２１やアドレス変換情報記憶部１２４などを検索し、少なくともＶＰＮ間接続要求にて指定された時間帯と重複する時間帯を示す時間帯情報に対応付けて記憶された第二アドレスと重複しないように第二アドレスを決定する。 In addition, according to the second embodiment, the inter-VPN connection information storage unit 121, the address translation information storage unit 124, and the like have a virtual router name that identifies the inter-VPN connection and time zone information that indicates a time zone in which the inter-VPN connection is used. (Service start time, service end time), a connection destination ID for identifying a base belonging to the connection between VPNs, and the first address and the second address are stored in association with each other. Then, when receiving the inter-VPN connection request, the conversion address determining unit 133 uses the terminal name specified in the inter-VPN connection request to change the inter-VPN connection information storage unit 121, the address conversion information storage unit 124, etc. The first address is determined so as not to overlap with the first address stored in association with the time zone information indicating the time zone that overlaps at least the time zone specified in the inter-VPN connection request. The translation address determination unit 133 searches the inter-VPN connection information storage unit 121 and the address translation information storage unit 124 using the virtual router name specified in the inter-VPN connection request, and at least makes an inter-VPN connection request. The second address is determined so as not to overlap the second address stored in association with the time zone information indicating the time zone overlapping with the designated time zone.

このようなことから、実施例２によれば、各拠点にて通信相手となる他拠点配下の端末を識別するためのアドレスと、広域ネットワークにてＶＰＮ間接続に属する各拠点配下の端末を識別するためのアドレスとを、それぞれ独立に決定することができる。この結果、アドレスを決定するアルゴリズムは簡素化され、自動化されるので、事前にアドレス設計を行わずして、アドレスの重複を適切に解決することが可能になる。すなわち、オンデマンドにＶＰＮ間接続する場合にも、アドレスの重複を適切に解決することが可能になる。 For this reason, according to the second embodiment, an address for identifying a terminal under another base serving as a communication partner at each base and a terminal under each base belonging to the connection between VPNs in the wide area network are identified. The address to be used can be determined independently. As a result, since the algorithm for determining the address is simplified and automated, address duplication can be appropriately solved without address design in advance. In other words, even when connecting between VPNs on demand, it becomes possible to appropriately resolve address duplication.

その結果、従来ＳＥ（Systems Engineer）などが事前に設計を行う必要があったアドレス重複の解決を、人手を介さず、自動的かつ即時的に行うことが可能となり、オンデマンドでのＶＰＮ間接続を実現できる。 As a result, it is possible to automatically and immediately resolve address duplication that had to be designed in advance by SEs (Systems Engineers) in the past, and on-demand VPN connection Can be realized.

なお、上記においては、一つの拠点のある端末が、重複する時間帯に複数の協働空間に多重帰属する場合について、具体例を挙げて説明してこなかった。以下、具体例を挙げて説明する。実施例２に係るＶＰＮ間接続管理システム１００は、以下に説明するように、一つの拠点が複数の協働空間に多重帰属する場合にも、正しくアドレスを決定することが可能である。 In addition, in the above, the case where the terminal with one base is multiply belonging to a plurality of cooperating spaces in overlapping time zones has not been described with a specific example. Hereinafter, a specific example will be described. As will be described below, the inter-VPN connection management system 100 according to the second embodiment can correctly determine an address even when a single site belongs to a plurality of cooperating spaces.

例えば、集合仮想ルータに、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続と、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続とが構築されているとする。また、これらのＶＰＮ間接続は、重複する時間帯に構築されているものとする。 For example, it is assumed that an inter-VPN connection identified by the virtual router name “vrf1” and an inter-VPN connection identified by the virtual router name “vrf2” are established in the collective virtual router. Further, these VPN connections are established in overlapping time zones.

ここで、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続には、拠点Ａの端末α１、拠点Ｂの端末β１、及び拠点Ｃの端末γ１が属するとする。また、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続には、拠点Ａの端末α１、及び拠点Ｃの端末γ１が属するとする。すなわち、拠点Ａの端末α１は、重複する時間帯に、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続と、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続とに多重帰属する。また、拠点Ｃの端末γ１も、重複する時間帯に、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続と、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続とに多重帰属する。 Here, it is assumed that the terminal A1 at the base A, the terminal β1 at the base B, and the terminal γ1 at the base C belong to the connection between VPNs identified by the virtual router name “vrf1”. Further, it is assumed that the terminal α1 at the base A and the terminal γ1 at the base C belong to the connection between VPNs identified by the virtual router name “vrf2”. That is, the terminal α1 at the site A has multiple assignments in the overlapping time zone to the inter-VPN connection identified by the virtual router name “vrf1” and the inter-VPN connection identified by the virtual router name “vrf2”. In addition, the terminal γ1 at the site C also has multiple assignments to the inter-VPN connection identified by the virtual router name “vrf1” and the inter-VPN connection identified by the virtual router name “vrf2” in the overlapping time zone.

さて、ＶＰＮ間接続管理システム１００は、例えば、仮想ルータ名「ｖｒｆ１」によって識別されるＶＰＮ間接続については、拠点Ａついて、端末β１を識別するための第一アドレス「アドレスＢ１」と、端末γ１を識別するための第一アドレス「アドレスＣ１」とを払い出す。また、拠点Ｂについて、端末α１を識別するための第一アドレス「アドレスＡ１」と、端末γ１を識別するための第一アドレス「アドレスＣ２」とを払い出す。また、拠点Ｃについて、端末α１を識別するための第一アドレス「アドレスＡ２」と、端末β１を識別するための第一アドレス「アドレスＢ２」とを払い出す。 The inter-VPN connection management system 100, for example, for the inter-VPN connection identified by the virtual router name “vrf1”, for the base A, the first address “address B1” for identifying the terminal β1 and the terminal γ1 The first address “address C1” for identifying is issued. Further, for the base B, a first address “address A1” for identifying the terminal α1 and a first address “address C2” for identifying the terminal γ1 are paid out. Further, for the base C, a first address “address A2” for identifying the terminal α1 and a first address “address B2” for identifying the terminal β1 are paid out.

また、仮想ルータ名「ｖｒｆ２」によって識別されるＶＰＮ間接続については、拠点Ａついて、端末γ１を識別するための第一アドレス「アドレスＣ３」を払い出す。また、拠点Ｃについて、端末α１を識別するための第一アドレス「アドレスＡ３」を払い出す。 For the inter-VPN connection identified by the virtual router name “vrf2”, the first address “address C3” for identifying the terminal γ1 is issued for the base A. Further, for the base C, the first address “address A3” for identifying the terminal α1 is paid out.

このように、ＶＰＮ間接続管理システム１００は、ＶＰＮ間接続を利用する時間帯において、拠点内で通信相手となり得る端末の中で一意となるように第一アドレスを決定するが、このとき、「通信相手となり得る端末」がたとえ同一の端末であったとしても、ＶＰＮ間接続管理システム１００は、同一の端末であるか否かを意識することなく第一アドレスを決定する。結果として、ＶＰＮ間接続管理システム１００は、「通信相手となり得る端末」がたとえ同一の端末であったとしても、ＶＰＮ間接続ごとにも一意となるように第一アドレスを払い出すことになる。言い換えると、ＶＰＮ間接続管理システム１００は、一方の拠点において通信相手となる他ＶＰＮ配下の一つの端末に、経由するＶＰＮ間接続の違いによって、異なるアドレスを払い出す。このようなことから、実施例２によれば、一つの拠点が複数の協働空間に多重帰属する場合にも、正しくアドレスを決定することが可能である。 As described above, the inter-VPN connection management system 100 determines the first address so as to be unique among the terminals that can be communication partners in the base in the time zone in which the inter-VPN connection is used. Even if the “terminal that can be a communication partner” is the same terminal, the inter-VPN connection management system 100 determines the first address without being conscious of whether or not it is the same terminal. As a result, the inter-VPN connection management system 100 pays out the first address so as to be unique for each inter-VPN connection even if the “terminal that can be a communication partner” is the same terminal. In other words, the inter-VPN connection management system 100 pays out a different address to one terminal under another VPN serving as a communication partner at one base point depending on the difference in inter-VPN connection. For this reason, according to the second embodiment, it is possible to correctly determine an address even when a single base belongs to a plurality of cooperating spaces.

次に、図３１〜３２を用いて、実施例３に係るＶＰＮ間接続管理システム及びアドレス決定装置を説明する。図３１は、実施例３のネットワーク構成を説明するための図である。図３１に例示するように、実施例３においては、ＶＰＮ間接続管理システムとは別にアドレス決定装置が備えられ、アドレス決定装置によって決定されたアドレスは、ＶＰＮ間接続管理システムに通知され、利用される。なお、実施例３に係るアドレス決定装置は、必ずしもＶＰＮ間接続管理システムを前提とするものでもなく、アドレス決定装置によって決定されたアドレスは、他のシステムに利用されてもよい。 Next, an inter-VPN connection management system and an address determination device according to the third embodiment will be described with reference to FIGS. FIG. 31 is a diagram for explaining a network configuration according to the third embodiment. As illustrated in FIG. 31, in the third embodiment, an address determination device is provided separately from the inter-VPN connection management system, and the address determined by the address determination device is notified to the inter-VPN connection management system and used. The Note that the address determination device according to the third embodiment is not necessarily based on the inter-VPN connection management system, and the address determined by the address determination device may be used in another system.

図３２は、実施例３に係るアドレス決定装置２００の構成を示すブロック図である。図３２に例示するように、実施例３に係るアドレス決定装置２００は、通信部２１０と、入力部２１１と、出力部２１２と、入出力制御Ｉ／Ｆ部２１３と、記憶部２２０と、制御部２３０とを備える。 FIG. 32 is a block diagram illustrating the configuration of the address determination device 200 according to the third embodiment. As illustrated in FIG. 32, the address determination apparatus 200 according to the third embodiment includes a communication unit 210, an input unit 211, an output unit 212, an input / output control I / F unit 213, a storage unit 220, and a control. Unit 230.

また、記憶部２２０は、アドレス変換情報記憶部２２１と、アタッチメント記憶部２２２とを備える。アドレス変換情報記憶部２２１は、実施例２において説明したアドレス変換情報記憶部１２４に対応し、同様の機能を有する。また、アタッチメント記憶部２２２は、実施例２において説明したアタッチメント記憶部１２６に対応し、同様の機能を有する。 The storage unit 220 includes an address conversion information storage unit 221 and an attachment storage unit 222. The address translation information storage unit 221 corresponds to the address translation information storage unit 124 described in the second embodiment and has a similar function. Further, the attachment storage unit 222 corresponds to the attachment storage unit 126 described in the second embodiment and has the same function.

また、制御部２３０は、変換用アドレス決定部２３１と、アドレス変換情報設定部２３２とを備える。変換用アドレス決定部２３１は、実施例２において説明した変換用アドレス決定部１３３に対応し、同様の機能を有する。すなわち、変換用アドレス決定部２３１は、ＶＰＮ間接続管理システムから必要な情報の通知を受け、この情報に基づいてアドレスを決定し、アドレス変換情報を生成する。アドレス変換情報設定部２３２は、実施例２において説明したアドレス変換情報設定部１３４に対応し、同様の機能を有する。 The control unit 230 includes a conversion address determination unit 231 and an address conversion information setting unit 232. The conversion address determination unit 231 corresponds to the conversion address determination unit 133 described in the second embodiment and has a similar function. That is, the conversion address determination unit 231 receives notification of necessary information from the inter-VPN connection management system, determines an address based on this information, and generates address conversion information. The address translation information setting unit 232 corresponds to the address translation information setting unit 134 described in the second embodiment and has a similar function.

すなわち、実施例３に係るアドレス決定装置２００は、実施例２に係るＶＰＮ間接続管理システム１００に備えられていた一部の機能を、他の物理的な筐体に分離したものである。また、実施例３に係るアドレス決定装置２００は、必ずしも図３２に例示する各部を備えていなければならないものではなく、あるいは、他の部を備えていてもよい。例えば、アドレス決定装置２００は、変換用アドレス決定部２３１によるアドレス決定後、決定の結果をＶＰＮ間接続管理システムに通知するのであれば、必ずしもアドレス変換情報記憶部２２１やアタッチメント記憶部２２２、アドレス変換情報設定部２３２を備える必要はない。この場合には、ＶＰＮ間接続管理システム側で、アドレス決定装置２００から通知されたアドレス変換情報を記憶し、このアドレス変換情報に基づきＮＡＴ装置に対する設定を行えばよい。 That is, the address determination device 200 according to the third embodiment is obtained by separating a part of functions provided in the inter-VPN connection management system 100 according to the second embodiment into another physical casing. Further, the address determination device 200 according to the third embodiment does not necessarily have to include each unit illustrated in FIG. 32, or may include another unit. For example, if the address determination device 200 notifies the result of determination to the inter-VPN connection management system after the address determination by the conversion address determination unit 231, the address conversion information storage unit 221, the attachment storage unit 222, and the address conversion It is not necessary to provide the information setting unit 232. In this case, the address conversion information notified from the address determination device 200 may be stored on the inter-VPN connection management system side, and settings for the NAT device may be performed based on the address conversion information.

また、実施例３に係るアドレス決定装置２００は、実施例２においてＶＰＮ間接続管理システム１００が備えていたルーティング情報生成部１３５やルーティング情報設定部１３６を備えていないが、これらを備えていてもよい。この場合には、アドレス決定装置２００は、変換用アドレス決定部２３１によって決定されたアドレス変換情報を用いてルーティング情報を生成し、生成したルーティング情報を該当機器に設定することもできる。 The address determination device 200 according to the third embodiment does not include the routing information generation unit 135 and the routing information setting unit 136 that are included in the inter-VPN connection management system 100 according to the second embodiment. Good. In this case, the address determination device 200 can also generate routing information using the address conversion information determined by the conversion address determination unit 231 and set the generated routing information in the corresponding device.

さて、これまで本発明の実施例１〜３について説明したが、本発明は、上記実施例以外にも種々の異なる形態にて実施されてよいものである。 Although the first to third embodiments of the present invention have been described so far, the present invention may be implemented in various different forms other than the above-described embodiments.

［ネットワーク構成］
上記実施例では、スター型のネットワーク構成を想定したが、本発明はこれに限られるものではなく、フルメッシュ型のネットワーク構成の場合にも、同様に適用することができる。 [Network configuration]
In the above embodiment, a star type network configuration is assumed, but the present invention is not limited to this, and the present invention can be similarly applied to a full mesh type network configuration.

［その他］
また、上記実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。 [Others]
In addition, among the processes described in the above embodiment, all or a part of the processes described as being automatically performed can be manually performed, or the processes described as being performed manually can be performed. All or a part can be automatically performed by a known method. In addition, the processing procedures, specific names, and information including various data and parameters shown in the document and drawings can be arbitrarily changed unless otherwise specified.

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、転送制御装置の一例として、ＶＲＦ（VPN routing and forwarding table）を適用してもよく、これにより、１つの転送制御装置内で仮想的に複数の転送制御装置が稼動しているようにみなすことができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵ（Central Processing Unit）および該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。 Further, each component of each illustrated apparatus is functionally conceptual, and does not necessarily need to be physically configured as illustrated. In other words, the specific form of distribution / integration of each device is not limited to that shown in the figure, and all or a part thereof may be functionally or physically distributed or arbitrarily distributed in arbitrary units according to various loads or usage conditions. Can be integrated and configured. For example, a VRF (VPN routing and forwarding table) may be applied as an example of a transfer control device, and as a result, a plurality of transfer control devices are virtually operated in one transfer control device. be able to. Further, all or any part of each processing function performed in each device is realized by a CPU (Central Processing Unit) and a program analyzed and executed by the CPU, or hardware by wired logic Can be realized as

なお、上記実施例で説明したアドレス決定方法は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのＩＰネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、ＭＯ（Magneto-Optical disk）、ＤＶＤ（Digital Versatile Disk）などのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。 The address determination method described in the above embodiment can be realized by executing a program prepared in advance on a computer such as a personal computer or a workstation. This program can be distributed via an IP network such as the Internet. The program is recorded on a computer-readable recording medium such as a hard disk, a flexible disk (FD), a CD-ROM (Compact Disk Read Only Memory), an MO (Magneto-Optical disk), a DVD (Digital Versatile Disk). It can also be executed by being read from a recording medium by a computer.

１０アドレス決定装置
１１第一アドレス決定部
１２第二アドレス決定部
１３アドレス設定部 DESCRIPTION OF SYMBOLS 10 Address determination apparatus 11 1st address determination part 12 2nd address determination part 13 Address setting part

Claims

An address determination device for determining an address used for inter-base connection for a system that connects a plurality of bases via a wide area network,
A first address for identifying a terminal under another base that is a communication partner in a connection between predetermined bases in the base, among terminals that can be a communication partner in the base in a time zone in which the connection between bases is used A first determining means for determining to be unique;
A second address for identifying a terminal under each base belonging to the inter-base connection in the wide area network is set for each time base and for each inter-base connection in the wide area network in a time zone in which the inter-base connection is used. Second determining means for determining the uniqueness within the router to be
The first address determined by the first determining means and the second address determined by the second determining means are mutually converted with the address conversion devices connected to the wide area network and the respective bases as boundaries. An address determination device comprising: setting means for setting, in the address conversion device, conversion information for converting the first address and the second address.

The inter-base connection information for identifying the inter-base connection, the time zone information indicating the time zone in which the inter-base connection is used, the base information for identifying the base belonging to the inter-base connection, and determined by the first determining means Storage means for storing the first address and the second address determined by the second determination means in association with each other,
When the first determination unit receives a connection request for requesting connection between sites, the first determination unit searches the storage unit for each site using the site information specified in the connection request, and at least specified in the connection request. The first address is determined so as not to overlap with the first address stored in association with the time zone information indicating the time zone overlapping with the time zone,
The second determining means searches the storage means using the base-to-base connection information specified in the connection request, and at least time zone information indicating a time zone overlapping with the time zone specified in the connection request The address determination device according to claim 1, wherein the second address is determined so as not to overlap with the second address stored in association with each other.

When a packet including a first address indicating a destination and a private address indicating a transmission source is received from the base, the first address is converted into a second address corresponding to the destination indicated by the first address, and the private address is When the packet including the second address indicating the destination and the second address indicating the source is received from the wide area network, the packet is converted to the second address corresponding to the source indicated by the private address and transferred to the wide area network. Is converted to a private address corresponding to the destination indicated by the second address, and the second address indicating the source is converted to a first address corresponding to the source indicated by the second address Between multiple sites via a wide area network Against LAN-to-LAN systems continue, an address decision device for determining said first address and said second address,
The first address for identifying a terminal under another site that is a communication partner in a predetermined inter-site connection within the base is a terminal that can be a communication partner in the base in the time zone in which the inter-base connection is used. A first determining means for determining to be unique at
The second address for identifying a terminal under each base belonging to the inter-base connection in the wide area network is set for each time-limited and inter-base connection in the wide area network in a time zone in which the inter-base connection is used. A second determining means for determining to be unique within the set router ;
A setting unit configured to set, in the address conversion device, conversion information for converting the first address determined by the first determination unit and the second address determined by the second determination unit. Address determination device.

The inter-base connection information for identifying the inter-base connection, the time zone information indicating the time zone in which the inter-base connection is used, the base information for identifying the base belonging to the inter-base connection, and determined by the first determining means Storage means for storing the first address and the second address determined by the second determination means in association with each other,
When the first determination unit receives a connection request for requesting connection between sites, the first determination unit searches the storage unit for each site using the site information specified in the connection request, and at least specified in the connection request. The first address is determined so as not to overlap with the first address stored in association with the time zone information indicating the time zone overlapping with the time zone,
The second determining means searches the storage means using the base-to-base connection information specified in the connection request, and at least time zone information indicating a time zone overlapping with the time zone specified in the connection request The address determination device according to claim 3, wherein the second address is determined so as not to overlap with the second address stored in association with each other.

An address determination method for determining an address used for inter-base connection for a system that connects a plurality of bases via a wide area network,
Computer
A first address for identifying a terminal under another base that is a communication partner in a connection between predetermined bases in the base, among terminals that can be a communication partner in the base in a time zone in which the connection between bases is used A first determination step for determining the uniqueness;
A second address for identifying a terminal under each base belonging to the inter-base connection in the wide area network is set for each time base and for each inter-base connection in the wide area network in a time zone in which the inter-base connection is used. And a second determination step for determining the address so as to be unique within the router .

When the first determination step receives a connection request for requesting inter-base connection, inter-base connection information for identifying the inter-base connection, time zone information indicating a time zone in which the inter-base connection is used, and the inter-base connection A storage unit that stores the base information for identifying the base belonging to the connection, the first address determined in the first determination step, and the second address determined in the second determination step in association with each other, Search for each site using the site information specified in, and at least do not overlap with the first address stored in association with the time zone information indicating the time zone that overlaps the time zone specified in the connection request To determine the first address and
In the second determination step, the storage unit is searched using the inter-base connection information specified in the connection request, and at least time zone information indicating a time zone overlapping with the time zone specified in the connection request The address determination method according to claim 5, wherein the second address is determined so as not to overlap with the second address stored in association with each other.

When a packet including a first address indicating a destination and a private address indicating a transmission source is received from the base, the first address is converted into a second address corresponding to the destination indicated by the first address, and the private address is When the packet including the second address indicating the destination and the second address indicating the source is received from the wide area network, the packet is converted to the second address corresponding to the source indicated by the private address and transferred to the wide area network. Is converted to a private address corresponding to the destination indicated by the second address, and the second address indicating the source is converted to a first address corresponding to the source indicated by the second address Between multiple sites via a wide area network Against LAN-to-LAN systems continue, an address decision method for determining the said first address and said second address,
Computer
The first address for identifying a terminal under another site that is a communication partner in a predetermined inter-site connection within the base is a terminal that can be a communication partner in the base in the time zone in which the inter-base connection is used. A first determination step for determining the uniqueness in
The second address for identifying a terminal under each base belonging to the inter-base connection in the wide area network is set for each time-limited and inter-base connection in the wide area network in a time zone in which the inter-base connection is used. A second determination step of determining the address so as to be unique within the router to be set .

When the first determination step receives a connection request for requesting inter-base connection, inter-base connection information for identifying the inter-base connection, time zone information indicating a time zone in which the inter-base connection is used, and the inter-base connection A storage unit that stores the base information for identifying the base belonging to the connection, the first address determined in the first determination step, and the second address determined in the second determination step in association with each other, Search for each site using the site information specified in, and at least do not overlap with the first address stored in association with the time zone information indicating the time zone that overlaps the time zone specified in the connection request To determine the first address and
In the second determination step, the storage unit is searched using the inter-base connection information specified in the connection request, and at least time zone information indicating a time zone overlapping with the time zone specified in the connection request The address determination method according to claim 7, wherein the second address is determined so as not to overlap with the second address stored in association with each other.

An address determination program for causing a computer to function as the address determination device according to claim 1.