JP2002271417A - トンネリング装置 - Google Patents

Abstract

(57)【要約】 【課題】 ＩＰ網を介したＬＡＮ同士を共通のＶＰＮと
して運用可能とするトンネリング装置を提供する。 【解決手段】 ＬＡＮ側ポートでは、ネットワークを流
れるデータリンク層のフレーム１２１全てを受信し、そ
の受信したフレームをデータとするＩＰパケット１２５
を作成（カプセル化）し、そのパケットをＩＰ網側ポー
トからトンネリングの終端局宛てに送信する機能を備
え、ＩＰ網側ポートでは、自局宛てに送られてきたＩＰ
パケット１２５を受信し、そのＩＰパケット１２５がデ
ータリンク層のフレームをカプセル化したものである場
合には、そのＩＰパケット１２５からデータリンク層の
フレーム１２１を取り出し、そのフレーム１２１をＬＡ
Ｎ側ポートから送信する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、広域の各地に点在
する事業所や大学等のローカルエリアネットワークを専
用線に比べて低コストなＩＰ網を使って接続し、仮想的
なプライベートネットワークを構成するＶＰＮ技術に係
り、特に、企業や大学、ＩＳＰ等に設置して使用するＶ
ＰＮ装置のためのトンネリング装置に関するものであ
る。

【０００２】

【従来の技術】端末が互いに遠隔地に存在するネットワ
ークを安全に接続するためのＶＰＮ方式としてＲＦＣ２
４０１等で規定されるＩＰｓｅｃを使用したもの、ＲＦ
Ｃ２６６１で規定されるＬ２ＴＰを使用したもの、ＲＦ
Ｃ２５４７で規定されるＭＰＬＳを使用したものの３つ
の方式が一般的に知られている。

【０００３】まず、図４を用いてＩＰｓｅｃを使用した
方式について述べる。ＬＡＮ４２１，４２２をＩＰ網４
３１を介して仮想的なプライベートネットワークとして
安全に接続するため、ＩＰｓｅｃ機能を搭載したルータ
４４１，４４２を使って接続する。端末４１１〜４１２
と端末４１３〜４１４との間で送受信されるパケット
は、ルータ４４１，４４２によってＩＰｓｅｃの暗号化
及び認証が行われ、インターネット上では図１４のＡＨ
ヘッダが付加された状態、または図１５のＥＳＰペイロ
ードフォーマットによりカプセル化された状態、または
その両方の状態でパケットが転送される。これにより、
ＬＡＮ４２１，４２２間の通信内容がネットワーク上の
第三者による盗聴やパケットの改竄から保護され、各端
末が安全に通信を行うことができる。

【０００４】次に、図５を用いてＬ２ＴＰを使用した方
式について述べる。この方式では、ＶＰＮ接続を行う端
末は、まず電話回線５２３を使用してＬＡＣ５７１にＰ
ＰＰで接続する。ＬＡＣ５７１は、このＰＰＰフレーム
に図１６に示すＬ２ＴＰヘッダを付加してＬ２ＴＰフレ
ームとした後、このＬ２ＴＰフレームをＩＰ網５３１を
経由してルータ５４２へパケットとして転送する。ルー
タ５４２はＬＮＳと呼ばれ、このＬ２ＴＰフレームをＬ
ＡＮ５２２のフレームフォーマットに変換し、ＬＡＮ５
２２上の端末に転送する。また、電話回線５２３を使用
しない場合、上記ＬＡＣ機能を備えた専用ソフトを搭載
した端末５１２（ＬＡＣクライアント）は、上記ＬＡＣ
５７１と同様にＰＰＰフレームにＬ２ＴＰヘッダを付加
し、そのＬ２ＴＰフレームをＬＡＮ５２２に転送し、Ｌ
ＡＮ５２２上の端末と通信を行う。これにより、ＩＰ網
上でＬＡＣまたはＬＡＣクライアントからＬＮＳまでに
仮想的なポイントトゥポイントコネクションが張られ、
ＩＰ網を介して端末５１１，５１２をプライベートネッ
トワークであるＬＡＮ５２２に安全に接続することがで
きる。

【０００５】次に、図６を用いてＭＰＬＳを使用した方
式について述べる。ＬＡＮとＩＰ網とを接続するルータ
６４１，６４２はＬＥ(Label edge)ルータと呼ばれ、図
１７に示すシムヘッダを付けてフレームを転送する機能
を持つ。また、ＩＰ網内はシムヘッダ内のラベルに従っ
てパケットを交換する機能を持つＬＳＲ(Label Switch
router) ６４３〜６４５で接続する。端末６１１から端
末６１３に送信されたフレームは、ＬＥルータ６４１に
よってシムヘッダが付加され、パケットとしてＩＰ網に
送信された後、シムヘッダ内のラベルに従ってＬＳＲ６
４３〜６４５によって転送される。そのパケットがＬＥ
ルータ６４２まで到達すると、ＬＥルータ６４２はこの
シムヘッダを取り外し、フレームを端末６１３に転送す
る。ＬＳＲ間で行われるパケット転送は、ネットワーク
アドレスではなくＬＥ６４１で付けられたラベルのみを
参照して行われるため、他のネットワークから送信され
たパケットが転送されることがなく、ＬＡＮ６２１とＬ
ＡＮ６２２との間の通信が保護される。

【０００６】ここで、本明細書に使用される略語の日本
語表記又は簡単な説明を列記しておく。

【０００７】ＯＳＩ(Open Systems Interconnection)参
照モデル：国際標準化機構が定める開放型システム間相
互接続参照モデル。２層はデータリンク層、３層はネッ
トワーク層、４層はトランスポート層と呼ばれる。

【０００８】ＩＰ(Internet Protocol) ：インターネッ
トプロトコル（ネットワーク層） ＴＣＰ／ＩＰ(Transport Control Protocol/Internet P
rotocol)：インターネットの標準プロトコル群 ＵＤＰ(User Datagram Protocol)：コネクションレス型
のトランスポート層プロトコル ＴＣＰ(Transmission Control Protocol) ：コネクショ
ン型のトランスポート層プロトコル ＶＰＮ(Virtual Private Network) ：仮想私設網 ＩＳＰ(Internet Service Provider) ：インターネット
サービスプロバイダ ＲＦＣ(Request for Comments)：インターネットアーキ
テクチャ委員会による標準勧告文書、２４０１、２６６
１、２５４７などはその文書の番号 ＩＰｓｅｃ(IP security) ：インターネットプロトコル
セキュリティ ＥＳＰ：ＩＰｓｅｃにより作成した暗号化データ、ヘッ
ダを示す名称 Ｌ２ＴＰ(Layer Two Tunneling Protocol)：レイヤ２ト
ンネリングプロトコルＭＰＬＳ(Multi Protocol Label
Switching)：マルチプロトコルラベルスイッチング ＬＡＣ(L2TP Access Concentrator)：Ｌ２ＴＰアクセス
コントローラ ＰＰＰ(Point to Point Protocol) ：公衆回線でＩＰ接
続するためのプロトコル ＬＮＳ(LT2P Network Server) ：Ｌ２ＴＰネットワーク
サーバ ＩＥＥＥ(Institute of Electrical and Electronics E
ngineers) ：アメリカ電気・電子技術者協会 ＩＰｖ６(IP version 6)：アドレス長を長くしたＩＰ ＮｅｔＢＩＯＳ(Network Basic Input/Output System)
：ネットワーク基本入力システム ＩＰＸ(Internetwork Packet Exchange)：ノベル社のネ
ットワーク層プロトコル ＡｐｐｌｅＴａｌｋ：アップル社のネットワークＯＳ 以上に列記しないものも含め本明細書に使用される略
語、用語は、いずれも公知の文献に記載されているもの
であり、本明細書では詳細な説明は省略する。

【０００９】

【発明が解決しようとする課題】従来技術において、Ｉ
Ｐｓｅｃを使用した方式では、ネットワーク層において
ＩＰパケットの暗号化とカプセル化とを行うため、通信
可能なプロトコルがＩＰに限定されてしまう。

【００１０】また、Ｌ２ＴＰを使用した方式では、クラ
イアントがＰＰＰ接続しているか、または専用ソフトを
使用しなければならず、特定のクライアントしかＶＰＮ
を利用することができない。

【００１１】また、ＭＰＬＳを使用した方式では、ＭＰ
ＬＳに対応したルータで構成されたネットワーク内でし
か通信できないという問題がある。

【００１２】そこで、本発明の目的は、上記課題を解決
し、ＩＰ網を介したＬＡＮ同士を共通のＶＰＮとして運
用可能とするトンネリング装置を提供することにある。

【００１３】

【課題を解決するための手段】上記目的を達成するため
に本発明は、ＯＳＩ参照モデルのデータリンク層のフレ
ームを送受信することができるＬＡＮ側ポートとＯＳＩ
参照モデルのネットワーク層のフレーム（パケット）を
送受信することができるＩＰ網側ポートとを備え、自局
をトンネリングの始点としたときのトンネリングの終点
となる終端局のＩＰアドレスを登録するバッファ部を備
え、前記ＬＡＮ側ポートでは、ネットワークを流れるデ
ータリンク層のフレーム全てを受信し、その受信したフ
レームをデータとするＩＰパケットを作成（カプセル
化）し、そのパケットをＩＰ網側ポートからトンネリン
グの終端局宛てに送信する機能を備え、前記ＩＰ網側ポ
ートでは、自局宛てに送られてきたＩＰパケットを受信
し、そのＩＰパケットがデータリンク層のフレームをカ
プセル化したものである場合には、そのＩＰパケットか
らデータリンク層のフレームを取り出し、そのフレーム
をＬＡＮ側ポートから送信する機能を備えたものであ
る。

【００１４】前記ＬＡＮ側ポートにおいて受信したデー
タリンク層フレームをカプセル化する際に、データの内
容を暗号化し、その暗号化したデータに暗号化方式など
を設定した暗号化ヘッダを付加し、さらに送信者の正当
性を証明する認証ヘッダを付加する機能を備え、前記Ｉ
Ｐ網側ポートにおいて受信したＩＰパケットからデータ
リンク層のフレームを取り出す際に、そのＩＰパケット
に認証ヘッダが含まれている場合にはその認証ヘッダに
よりＩＰパケット送信者の正当性やデータ改竄の有無を
検証し、さらに前記ＩＰパケットに暗号化ヘッダが含ま
れている場合には暗号化されているデータを復号化する
機能を備えてもよい。

【００１５】

【発明の実施の形態】以下、本発明の一実施形態を添付
図面に基づいて詳述する。

【００１６】図１に示されるように、本発明に係るトン
ネリング装置１０１は、ＬＡＮ側の伝送路に接続される
ＬＡＮ側ポートとＩＰ網１３１側の伝送路に接続される
ＩＰ網側ポートとを備え、自局をトンネリングの始点と
したときのトンネリングの終点となる終端局のＩＰアド
レスを登録するバッファ部を内部に備えている。

【００１７】このトンネリング装置１０１は、ＬＡＮか
ら受信したデータリンク層のフレーム（ここではイーサ
ネット（登録商標）フレーム；イーサフレームともい
う）１２１をＵＤＰデータとし、このＵＤＰデータにＵ
ＤＰヘッダを付加してフレーム１２２を作成するＵＤＰ
フレーム作成手段と、このＵＤＰヘッダを含むフレーム
１２２全体を所定の暗号化方式（ここではＩＰｓｅｃに
基づく暗号化方式）で暗号化し、この暗号化データにＥ
ＳＰヘッダ及びトレーラを付加してフレーム（ＥＳＰデ
ータ）１２３を作成する暗号化手段と、このフレーム１
２３にこのフレーム１２３を認証データとする認証ヘッ
ダ（ここではＡＨヘッダ）を付加してフレーム１２４を
作成する認証情報付加手段と、このフレーム１２４をＩ
Ｐデータとし、このＩＰデータにバッファ部に登録され
ているＩＰアドレスを用いたＩＰヘッダを付加してネッ
トワーク層のフレーム（ＩＰパケット）１２５を作成
（カプセル化）するカプセル化手段とを備える。

【００１８】また、このトンネリング装置１０１は、Ｉ
Ｐ網１３１から受信したネットワーク層のフレーム（Ｉ
Ｐパケット）が上記カプセル化によるＩＰパケット１２
５であることを認識するカプセル化認識手段と、そのＩ
Ｐデータであるフレーム１２４に含まれている認証ヘッ
ダを認識して認証データの認証を行う認証手段と、その
認証データ（フレーム１２３）に含まれている暗号化ヘ
ッダを認識して暗号化データを復号化してＵＤＰフレー
ム１２２を復元する復号化手段と、そのＵＤＰフレーム
１２２からデータリンク層のフレーム１２１を取り出す
フレーム取出手段とを備える。

【００１９】１１１はＬＡＮに接続された端末、１４１
はＩＰ網１３１との中継を行うルータである。図１に
は、トンネリング装置１０１が１つしか示されていない
が、ＩＰ網１３１に複数のトンネリング装置１０１が繋
がることにより、トンネリング装置相互間の送受信が実
現できる。その例を図２により説明する。

【００２０】図２において、ＬＡＮ２２１は事業所Ａの
イーサネット、ＬＡＮ２２２は事業所Ｂのイーサネッ
ト、ＩＰ網２３１はインターネット、２０１、２０２
は、本発明に係るトンネリング装置、２４１、２４２は
ルータである。トンネリング装置２０１、２０２のＩＰ
網側ポート２５１、２５４はルータ２４１、２４２にそ
れぞれ接続され、ＩＰ網側ポート２５１、２５４のデー
タリンク層の通信媒体はイーサネットである。ＬＡＮ側
ポート２５２、２５３は、ＬＡＮ２２１、２２２にそれ
ぞれ接続されている。ＬＡＮ２２１、２２２の端末２１
１〜２１４にはＴＣＰ／ＩＰプロトコルが実装されてい
る。

【００２１】各端末２１１〜２１４、各トンネリング装
置２０１、２０２及び各ルータ２４１、２４２のインタ
フェースのＩＰアドレス及びＭＡＣアドレスは図７のよ
うになっているものとする。ただし、図７において、
「インタフェース」と書かれている欄は、図２における
各部材の符号を示している。従って、例えば、端末２１
１のＭＡＣアドレスは、“００：００：００：００：０
０：０１”、ＩＰアドレスは、“１９２．０．０．１／
２４”である。

【００２２】トンネリング装置２０１、２０２のＵＤＰ
ポート番号は、“１７０１”に設定されているものとす
る。

【００２３】トンネリング装置２０１、２０２のソフト
ウェア構成は、図８のようになっているものとする。即
ち、トンネリング装置２０１、２０２は、ソフトウェア
として少なくとも、ＬＡＮ側ポート及びＩＰ網側ポート
におけるイーサネットに係る処理を行うイーサネットド
ライバと、ＴＣＰ／ＩＰ及びＩＰｓｅｃソフトウェア
と、本発明に係るトンネリングソフトウェアとを備え
る。図１で説明した各手段は、これらのソフトウェアで
実現されている。

【００２４】トンネリング装置２０１、２０２のハード
ウェア構成は、図１８のようになっているものとする。
即ち、トンネリング装置２０１、２０２は、ＯＳＩ参照
モデルのデータリンク層のフレームを送受信することが
できるＬＡＮ側ポート１８０１と、ＯＳＩ参照モデルの
ネットワーク層のフレームを送受信することができるＩ
Ｐ網側ポート１８０２と、自局をトンネリングの始点と
したときのトンネリングの終点となる終端局のＩＰアド
レスを登録するバッファ部を含む主記憶装置１８０３
と、図８のソフトウェアを実行するＣＰＵ１８０４と、
補助記憶装置１８０５とを有する。

【００２５】図２のように場所などが異なる２つのＬＡ
Ｎ２２１、２２２をＶＰＮ接続し、端末２１１と端末２
１３との間で安全に通信する本発明の手順を以下に述べ
る。なお、本実施形態では、ＶＰＮのセキュリティ機能
を提供する手段として、通信路上のデータの暗号化及び
認証を行うＩＰｓｅｃを利用した。

【００２６】まず、端末２１１から端末２１３へ宛てて
ＬＡＮ２２１へフレームが送信されたものとする。

【００２７】トンネリング装置２０１は、ＬＡＮ２２１
を流れるフレームを宛先に関わらず全てプロミスキャス
（無差別）に受信し、受信したフレーム（図１のフレー
ム１２１）に宛先ポート番号を“１７０１”に設定した
ＵＤＰヘッダを付加する（フレーム１２２）。ＵＤＰヘ
ッダは、図１２に示すフォーマットで作成される。図１
２において、１２０１が宛先ポート番号“１７０１”を
格納するフィールドである。

【００２８】次に、トンネリング装置２０１は、ＵＤＰ
フレーム１２２全体を暗号化し、ＥＳＰヘッダ及びトレ
ーラを付加してＥＳＰデータ（フレーム１２３）を作成
する。ＥＳＰペイロードは、図１５に示すフォーマット
で作成される。

【００２９】次に、トンネリング装置２０１は、パケッ
トの正当性を証明するＡＨヘッダを付加する（フレーム
１２４）。ＡＨヘッダは、図１４に示すフォーマットで
作成される。

【００３０】次に、トンネリング装置２０１は、自局
（トンネリング装置２０１）をトンネリングの始点とし
たときのトンネリングの終点となる終端局（ここではト
ンネリング装置２０２）のＩＰアドレスをバッファ部の
内容（図７）から判定し、ＩＰ網側ポート２５４のＩＰ
アドレス“２０．０．０．２／２４”を用いてトンネリ
ング装置２０２を宛先とするＩＰヘッダを作成し、この
ＩＰヘッダをフレーム１２４に付加することにより、Ｉ
Ｐパケット（フレーム１２５）を作成する。ＩＰヘッダ
は、図１１に示すフォーマットで作成される。図１１に
おいて１１０１が宛先ＩＰアドレスを格納するフィール
ドである。トンネリング装置２０１は、このフレーム１
２５をＩＰ網側ポート２５１からルータ２４１のポート
２６１へ送信する。

【００３１】なお、ＩＰ網側ポート２５１に接続するデ
ータリンク層の通信方式（通信媒体）はイーサネットで
あるため、ＩＰ網側ポート２５１から実際に送信される
フレームの形式は、作成されたＩＰパケット（フレーム
１２５）をデータとして、図９のＩＥＥＥ８０２．２／
８０２．３カプセル化又は図１０のイーサネットカプセ
ル化が行われた形式となる。図９、１０において、９０
１、１００１がＩＰパケットをデータとして格納するフ
ィールドである。

【００３２】ルータ２４１のポート２６２よりＩＰ網２
３１に送信されたＩＰパケットは、．ルータ２４２のポ
ート２６３へ到着し、ポート２６４よりトンネリング装
置２０２のＩＰ網側ポート２５４に送信される。

【００３３】トンネリング装置２０２は、ＩＰ網から自
局のＵＤＰポート“１７０１”宛てのＩＰパケット（フ
レーム１２５）（ＩＰヘッダに格納されている宛先ＩＰ
アドレスが“２０．０．０．２／２４”）を受信した場
合、フレーム１２４のＡＨヘッダによりパケットの正当
性を確認し、フレーム１２３のＥＳＰデータの復号化を
行い、フレーム１２２のＵＤＰヘッダを取り除いて元の
イーサネットフレーム（フレーム１２１）を取り出し、
そのフレームをＬＡＮ側ポート２５３からＬＡＮ２２２
に送信する。

【００３４】このフレームは、端末２１３に到着する。
このようにして、端末２１１から送信されたフレームが
端末２１３に受信される。

【００３５】端末２１３から端末２１１へ宛ててＬＡＮ
２２２へフレームが送信された場合についても、トンネ
リング装置２０２がトンネリング装置２０１と同様に、
ＬＡＮ側ポート２５３で受信したフレームを前述と同様
の処理（ＩＰｓｅｃ処理、ヘッダ付加処理）によりカプ
セル化した後、トンネリング装置２０１のＵＤＰポート
（番号１７０１）に宛ててＩＰ網側へ送信する。トンネ
リング装置２０１は、ＩＰ網側から自局のＵＤＰポート
（番号１７０１）で受信したＩＰパケットから前述と同
様の処理（ＩＰｓｅｃ処理、ヘッダ除去処理）によりイ
ーサネットフレームを取り出した後、そのフレームをＬ
ＡＮ側ポート２５２からＬＡＮ２２１に送信する。こう
して、端末２１３から送信されたフレームが端末２１１
に受信される。

【００３６】なお、本実施形態では、ＵＤＰポート番号
として１７０１番を使用しているが、他の番号でも構わ
ない。

【００３７】また、本実施形態では、データリンク層の
フレームにＵＤＰヘッダとＩＰヘッダとを付加したが、
ＴＣＰヘッダとＩＰヘッダとを付加してもよく、或いは
独自のトランスポート層ヘッダとＩＰヘッダとを付加し
てもよく、或いはＩＰヘッダのみをを付加してもよい。
ＴＣＰヘッダのフォーマットは、図１３に示すとおりで
ある。

【００３８】ここで、端末２１１が端末２１３宛てのイ
ーサネットフレームを送信した場合の具体的な例とし
て、端末２１１が端末２１３のＭＡＣアドレスを解決す
るためにＡＲＰ要求フレームをＬＡＮ２２１内の全端末
にブロードキャスト送信した場合について説明する。端
末２１１が送信したＡＲＰ要求フレームは、トンネリン
グ装置２０１によってカプセル化されトンネリング装置
２０２へ転送される。トンネリング装置２０２は、取り
出したＡＲＰ要求フレームをＬＡＮ２２２内の全端末に
ブロードキャスト送信する。端末２１３は、このＡＲＰ
要求フレームを受信すると、ＡＲＰ応答フレームを端末
２１１宛てにユニキャスト送信する。このＡＲＰ応答フ
レームは、トンネリング装置２０２によってカプセル化
されトンネリング装置２０１へ転送される。トンネリン
グ装置２０１は、取り出したＡＲＰ応答フレームをＬＡ
Ｎ２２１にユニキャスト送信する。端末２１１は、この
ＡＲＰ応答フレームを受信することになる。

【００３９】本発明によれば、ＩＰｓｅｃの暗号化によ
りインタフェース上のデータは保護され、認証によりＬ
ＡＮ２２１、２２２以外のネットワークからの接続を拒
否できるので、ＬＡＮ２２１とＬＡＮ２２２との間でＶ
ＰＮを構築することが可能となる。また、このときＬＡ
Ｎ２２１、２２２は、ハブやスイッチで接続されている
同じＬＡＮセグメントと等価である。

【００４０】本実施形態では、場所などが異なる２つの
イーサネットを同じＩＰサブネットとしてＶＰＮを構築
したが、イーサネットではない他のデータリンク層の通
信方式であっても、また、ＩＰ以外のネットワーク層プ
ロトコルを使用した場合であっても、本発明によりＶＰ
Ｎを構築することができる。

【００４１】また、図３に示すように、端末３１１〜３
１２のデフォルトゲートウェイをルータ３４１に設定
し、ハブやスイッチを使用してトンネリング装置３０１
を介さずにイーサネットフレームを直接ルータ３４１に
送信することにより、ＬＡＮ３２１上の端末３１１〜３
１２がトンネリング装置を介していないインターネット
上の端末（例えば、３１３〜３１４）と通信を行うこと
が可能である。このように、本発明のトンネリング装置
を用いたネットワークは、相手側のネットワークに本発
明のトンネリング装置が存在しない場合でも、相手側の
ネットワークとの通信が可能である。

【００４２】

【発明の効果】本発明は次の如き優れた効果を発揮す
る。

【００４３】（１）請求項１の発明により、トンネリン
グ装置で接続される２つのＬＡＮは、間にＩＰ網を介し
ているにも関わらず、ハブやスイッチで接続されたのと
同様に、同一のネットワークとして振る舞うことができ
る。

【００４４】（２）請求項１の発明は、ＩＰｓｅｃを使
用した方式とは異なり、２つのＬＡＮをネットワーク層
ではなくデータリンク層で接続するため、２つのＬＡＮ
間に使用するネットワーク層のプロトコルは、ＩＰプロ
トコルに限定されず、ＩＰｖ６やＮｅｔＢＩＯＳ、ＩＰ
Ｘ、ＡｐｐｌｅＴａｌｋ等のあらゆるプロトコルの通信
が可能となる。

【００４５】（３）請求項２の発明のように、ＩＰｓｅ
ｃ等のセキュリティ機能を組み込むことによって２つの
ＬＡＮ間の通信内容をネットワーク上の第三者による盗
聴やパケットの改竄から防ぎ、パブリックなＩＰ網を介
していながら安全に接続することが可能である。

【００４６】（４）請求項２の発明は、Ｌ２ＴＰを使用
した方式とは異なり、ＰＰＰ接続や専用ソフトも必要な
い。また、ＭＰＬＳを使用した方式のようにＩＰ網上の
ルータをＭＰＬＳ専用のルータに置き換えたり設定変更
する必要もない。なお、セキュリティの強度に関しては
ＩＰｓｅｃを使用した方式と同等になる。

【図面の簡単な説明】

【図１】本発明の一実施形態を示すトンネリング装置の
構成図である。

【図２】本発明のトンネリング装置を用いたネットワー
クの構成図である。

【図３】本発明のトンネリング装置を用いたネットワー
クの構成図である。

【図４】ＩＰｓｅｃ方式によるＶＰＮの構成図である。

【図５】Ｌ２ＴＰ方式によるＶＰＮの構成図である。

【図６】ＭＰＬＳ方式によるＶＰＮの構成図である。

【図７】図２のネットワークにおける各機器のアドレス
割り当て図である。

【図８】図１のトンネリング装置のソフトウェア構成図
である。

【図９】本発明によるＩＰパケットをＩＥＥＥ８０２．
２／８０２．３カプセル化したフレームの構成図であ
る。

【図１０】本発明によるＩＰパケットをイーサネットカ
プセル化したフレームの構成図である。

【図１１】ＩＰヘッダの構成図である。

【図１２】ＵＤＰヘッダの構成図である。

【図１３】ＴＣＰヘッダの構成図である。

【図１４】ＩＰｓｅｃで用いるＡＨヘッダの構成図であ
る。

【図１５】ＩＰｓｅｃで用いるＥＳＰペイロードの構成
図である。

【図１６】Ｌ２ＴＰヘッダの構成図である。

【図１７】ＭＰＬＳで用いるシムヘッダの構成図であ
る。

【図１８】図１のトンネリング装置のハードウェア構成
図である。

【符号の説明】

１０１、２１０、２０２、３０１ トンネリング装置 １３１、２３１、３３１ ＩＰ網 ２２１、２２２、３２１、３２２ ＬＡＮ ２５１、２５４、３５１、１８０２ ＩＰ網側ポート ２５２、２５３、３５２、１８０１ ＬＡＮ側ポート １８０３ バッファ部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 梶原 将文 大阪府大阪市北区中之島６丁目２番40号 大阪メディアポート株式会社内 Ｆターム(参考） 5B085 AE00 AE29 BA07 BG07 5B089 GA04 GA31 HA06 HA10 HB19 JB24 KA04 KA09 KB04 KB06 KC28 KC47 KD01 KE02 KE03 KF05 KH04 KH30 5K030 GA15 HA08 HB18 HC01 HD03 HD06 HD09 JA05 KA13 LA07 LD19 LE11 5K033 AA09 BA02 CA08 CB08 CB11 CC01 CC04 DA06 DB10 DB19

Claims (2)

【特許請求の範囲】
1. 【請求項１】 ＯＳＩ参照モデルのデータリンク層のフ
   レームを送受信することができるＬＡＮ側ポートとＯＳ
   Ｉ参照モデルのネットワーク層のフレーム（パケット）
   を送受信することができるＩＰ網側ポートとを備え、自
   局をトンネリングの始点としたときのトンネリングの終
   点となる終端局のＩＰアドレスを登録するバッファ部を
   備え、前記ＬＡＮ側ポートでは、ネットワークを流れる
   データリンク層のフレーム全てを受信し、その受信した
   フレームをデータとするＩＰパケットを作成（カプセル
   化）し、そのパケットをＩＰ網側ポートからトンネリン
   グの終端局宛てに送信する機能を備え、前記ＩＰ網側ポ
   ートでは、自局宛てに送られてきたＩＰパケットを受信
   し、そのＩＰパケットがデータリンク層のフレームをカ
   プセル化したものである場合には、そのＩＰパケットか
   らデータリンク層のフレームを取り出し、そのフレーム
   をＬＡＮ側ポートから送信する機能を備えたことを特徴
   とするトンネリング装置。
2. 【請求項２】 前記ＬＡＮ側ポートにおいて受信したデ
   ータリンク層フレームをカプセル化する際に、データの
   内容を暗号化し、その暗号化したデータに暗号化方式な
   どを設定した暗号化ヘッダを付加し、さらに送信者の正
   当性を証明する認証ヘッダを付加する機能を備え、前記
   ＩＰ網側ポートにおいて受信したＩＰパケットからデー
   タリンク層のフレームを取り出す際に、そのＩＰパケッ
   トに認証ヘッダが含まれている場合にはその認証ヘッダ
   によりＩＰパケット送信者の正当性やデータ改竄の有無
   を検証し、さらに前記ＩＰパケットに暗号化ヘッダが含
   まれている場合には暗号化されているデータを復号化す
   る機能を備えたことを特徴とする請求項１記載のトンネ
   リング装置。