JP4816572B2

JP4816572B2 - 仮想ネットワーク接続システム及び装置

Info

Publication number: JP4816572B2
Application number: JP2007143068A
Authority: JP
Inventors: 泰之古川
Original assignee: Fuji Xerox Co Ltd; Fujifilm Business Innovation Corp
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2007-05-30
Filing date: 2007-05-30
Publication date: 2011-11-16
Anticipated expiration: 2027-05-30
Also published as: US7830878B2; JP2008301024A; CN101316230B; CN101316230A; KR101082876B1; US20080298367A1; KR20080105961A

Description

本発明は、仮想ネットワーク接続システム及び装置に関する。

近年、ＶＰＮ(Virtual Private Network：仮想私設ネットワーク)サービスが普及している。ＶＰＮサービスは、ホスト又は拠点と他のホスト又は拠点とがインターネット等の公衆ネットワークを介して専用線のように排他的に通信できるようにするサービスである。複数の拠点をＶＰＮ等の仮想ネットワークで接続する場合、各拠点で利用しているプライベートアドレスの衝突が生じる場合がある。このような場合、プライベートアドレスを送信元又は宛先として用いて通信することはできない。

特許文献１に示されるシステムでは、拠点間の接続境界点にアドレス変換装置を設置し、ＶＰＮ接続する拠点の各ホストに対し、それら拠点の間で重複しない別名アドレスを用意する。拠点内のホストは、送出するパケットの送信元アドレスには当該拠点内のプライベートアドレスを用い、宛先アドレスには別名アドレスを用いる。アドレス変換装置は、第１の拠点から第２の拠点へパケットを受け渡す際に、そのパケットの宛先アドレスを第２の拠点におけるプライベートアドレスに、送信元アドレスを送信元のホストの別名アドレスに、それぞれ変換する。

特許文献２に示されるシステムでは、複数の独立ＩＰアドレス空間を、管理ネットワークアドレス変換手段を介して管理ネットワークに接続する。管理ネットワークアドレス変換手段は、各独立ＩＰアドレス空間を識別するための識別情報を有する通信データに対して、その識別情報と独立ＩＰアドレス空間のアドレスとの組合せで、ＳＮＭＰのアドレスも含めて管理ネットワークのアドレスに変換する。

特許文献３のシステムでは、各プライベートアドレス空間は、ＶＬＡＮの識別情報としてＶＬＡＮ−ＩＤを有している。重複ネットワークアドレス変換装置は、各プライベートアドレス空間とインターネットとを接続する場合、各プライベートアドレス空間のＶＬＡＮ−ＩＤとプライベートアドレスのペアで、そのプライベートアドレスとインターネットのグローバルアドレスとの相互変換を行う。

特開２０００−２２８６７４号公報特開２００３−１６９０７０号公報特開２００２−２０４２５２号公報

本発明は、仮想ネットワークのために各拠点内の情報処理装置に仮想アドレスを割り当てた場合でも、情報処理装置の名前に対応する仮想アドレスが解決できるようにすることを目的とする。

請求項１に係る発明は、仮想ネットワークを構成する各拠点からそれぞれ当該拠点内の情報処理装置の実アドレスを収集する収集手段と、前記収集手段が収集した実アドレスのなかで重複する実アドレスを持つ各情報処理装置に対して、前記各拠点内の他の情報処理装置と重複しない仮想アドレスを割り当てる割当手段と、前記割当手段が割り当てた仮想アドレスと実アドレスとの対応関係を表す第１の対応情報を生成する第１の生成手段と、前記各拠点の仮想ネットワーク接続装置に対し、前記第１の対応情報に基づき仮想ネットワーク接続のための設定情報を生成して提供する第１の提供手段と、情報処理装置の実アドレスと当該情報処理装置の名前との対応関係を示す第２の対応情報を、当該情報処理装置の属する前記拠点から取得する取得手段と、前記第１の対応情報と前記第２の対応情報とに基づき、前記仮想アドレスと前記情報処理装置の名前との対応関係を表す第３の対応情報を生成する第２の生成手段と、前記各拠点の仮想ネットワーク接続装置に対して、前記第３の対応情報を提供する第２の提供手段と、を備える仮想ネットワーク接続システムである。

請求項２に係る発明は、拠点内の情報処理装置の実アドレスと、仮想ネットワークにおける当該情報処理装置の仮想アドレスとの対応関係を表す第１の対応情報を記憶する第１の記憶手段と、前記第１の対応情報を参照して、前記拠点内の情報処理装置と前記拠点外の情報処理装置との間の伝送情報のアドレス変換を行うアドレス変換手段と、前記拠点内の情報処理装置の名前と実アドレスとの対応関係を表す第２の対応情報を記憶した第２の記憶手段と、前記第１の対応情報と前記第２の対応情報とに基づき、前記拠点内の情報処理装置の名前と仮想アドレスとの対応関係を表す第３の対応情報を作成する作成手段と、前記仮想ネットワークを構成する他の拠点に対し、前記第３の対応情報を提供する提供手段と、を備える仮想ネットワーク接続装置である。

請求項３に係る発明は、コンピュータに、仮想ネットワークを構成する各拠点からそれぞれ当該拠点内の情報処理装置の実アドレスを収集するステップと、収集された実アドレスのなかで重複する実アドレスを持つ各情報処理装置に対して、前記各拠点内の他の情報処理装置と重複しない仮想アドレスを割り当てるステップと、割り当てられた仮想アドレスと実アドレスとの対応関係を表す第１の対応情報を生成するステップと、前記各拠点の仮想ネットワーク接続装置に対し、前記第１の対応情報に基づき仮想ネットワーク接続のための設定情報を生成して提供するステップと、情報処理装置の実アドレスと当該情報処理装置の名前との対応関係を示す第２の対応情報を、当該情報処理装置の属する前記拠点から取得するステップと、前記第１の対応情報と前記第２の対応情報とに基づき、前記仮想アドレスと前記情報処理装置の名前との対応関係を表す第３の対応情報を生成するステップと、前記各拠点の仮想ネットワーク接続装置に対して、前記第３の対応情報を提供するステップと、を実行させるためのプログラム、を提供する。

請求項４に係る発明は、コンピュータに、拠点内の情報処理装置の実アドレスと仮想ネットワークにおける当該情報処理装置の仮想アドレスとの対応関係を表す第１の対応情報を記憶した第１の記憶手段を参照して、前記拠点内の情報処理装置と前記拠点外の情報処理装置との間の伝送情報のアドレス変換を行うステップと、前記拠点内の情報処理装置の名前と実アドレスとの対応関係を表す第２の対応情報を記憶した第２の記憶手段から、前記第２の対応情報を取得するステップと、前記第１の対応情報と前記第２の対応情報とに基づき、前記拠点内の情報処理装置の名前と仮想アドレスとの対応関係を表す第３の対応情報を作成するステップと、前記仮想ネットワークを構成する他の拠点に対し、前記第３の対応情報を提供するステップと、を実行させるためのプログラム、を提供する。

請求項１に係る発明によれば、仮想ネットワークのために各拠点内の情報処理装置に仮想アドレスを割り当てた場合でも、情報処理装置の名前に対応する仮想アドレスが解決できる。

請求項２に係る発明によれば、情報処理装置の名前に対応する仮想アドレスを解決するための情報を他の拠点に提供できる。

請求項３に係る発明によれば、仮想ネットワークのために各拠点内の情報処理装置に仮想アドレスを割り当てた場合でも、情報処理装置の名前に対応する仮想アドレスが解決できる。

請求項４に係る発明によれば、情報処理装置の名前に対応する仮想アドレスを解決するための情報を他の拠点に提供できる。

まず、図１を参照して、実施形態のネットワーク構成の一例を説明する。この例は、３つの拠点Ａ，Ｂ及びＣのＬＡＮ（ローカルエリアネットワーク）の間で１つのＶＰＮ（仮想私設ネットワーク）を構成する場合の例である。

拠点Ａ，Ｂ及びＣにはそれぞれＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃが設けられている。ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃは、それぞれインターネット３００に接続されている。またＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃは、拠点Ａ，Ｂ及びＣのＬＡＮ２００Ａ，２００Ｂ及び２００Ｃにそれぞれ接続されている。ＬＡＮ２００Ａにはコンピュータ２２０Ａ及びマスタＤＮＳ(Domain Name System)２４０Ａが接続され、ＬＡＮ２００Ｂにはコンピュータ２２０Ｂ及びマスタＤＮＳ２４０Ｂが接続されている。ＬＡＮ２００Ｃにも、同様にコンピュータ及びマスタＤＮＳが接続されている（図示省略）。図示例では、ＬＡＮ２００Ａ及び２００Ｂには、同じプライベートネットワークアドレス 10.0.0.0/24 が設定されている。

この例では、ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃは、ＩＰ(Internet Protocol)ルーティングのためのルータ機能とＶＰＮ接続制御機能とを備える。図示例では、ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃのインターネット３００側のＶＰＮ用のインタフェースには、グローバルＩＰアドレス 1.1.0.1，1.2.0.1，及び1.3.0.1 が、それぞれ割り当てられている。また、図示例では、ＶＰＮルータ１００ＡのＬＡＮ２００Ａ側のインタフェースにはプライベートＩＰアドレス 10.0.0.2 が割り当てられ、ＶＰＮルータ１００ＢのＬＡＮ２００Ｂ側のインタフェースにはプライベートＩＰアドレス 10.0.0.2 が割り当てられている。ここで、グローバルＩＰアドレスとは、インターネットに接続された機器に対しインターネット上で一意に割り当てられたＩＰアドレスをいう。これに対し、プライベートＩＰアドレスとは、組織内のネットワーク（例えばＬＡＮ）に接続された機器に組織内で一意に割り当てられたＩＰアドレスである。プライベートＩＰアドレスの割り当ては組織ごとに行われるので、異なる組織内の機器のプライベートＩＰアドレス同士が同じ値となる場合がある。なお、各ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃは、ＶＰＮ用のグローバルＩＰアドレス以外のグローバルＩＰアドレスを有していてもよく、ＶＰＮ以外の通信には後者のグローバルＩＰアドレスを用いてもよい。

コンピュータ２２０Ａ及び２２０Ｂは、パーソナルコンピュータ、ワークステーション、又はサーバなどの情報処理装置である。コンピュータ２２０ＡにはＬＡＮ２００Ａ内のプライベートＩＰアドレス10.0.0.1 が、コンピュータ２２０ＢにはＬＡＮ２００Ｂ内のプライベートＩＰアドレス10.0.0.1 が割り当てられている。

マスタＤＮＳ２４０Ａは、ＬＡＮ２００Ａ上の各コンピュータのホスト名とＩＰアドレスとの対応関係を記憶している。マスタＤＮＳ２４０Ｂは、ＬＡＮ２００Ｂ上の各コンピュータのホスト名とＩＰアドレスとの対応関係を記憶している。コンピュータのＩＰアドレスは、プライベートＩＰアドレスの場合もあれば、グローバルＩＰアドレスの場合もある。また、ＬＡＮ２００Ａ及び２００Ｂ上のコンピュータに対し、ＤＨＣＰ(Dynamic Host Configuration Protocol)等により動的にＩＰアドレスが割り当てられる場合には、マスタＤＮＳ２４０Ａ及び２４０ＢとしてダイナミックＤＮＳを用いればよい。図示は省略したが、ＬＡＮ２００Ｃには、ＬＡＮ２００Ａ上の各コンピュータのホスト名とＩＰアドレスとの対応関係を記憶したマスタＤＮＳが設置されている。

このような３拠点Ａ，Ｂ及びＣの間で１つのＶＰＮを構成する場合、コンピュータ２２０Ａと２２０ＢのプライベートＩＰアドレスが重複しているため、このままではそれら両者の間でＶＰＮ経由の通信ができない。そこで、この例では、ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃが１つのシステムとして協働することで、ＶＰＮを構成する拠点群の中にＩＰアドレスが重複するコンピュータが存在する場合でも、ＶＰＮ経由の通信を可能とする。

すなわち、このシステムでは、ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃが持つ経路制御情報を収集することで、拠点Ａ，Ｂ及びＣの中に、プライベートＩＰアドレスが重複するコンピュータが存在するか否かを調べる。そして、ＩＰアドレスが重複するコンピュータに対して、それら拠点群の中で重複しない仮想的（言い換えれば、疑似的）なＩＰアドレス（以下、仮想ＩＰアドレスと呼ぶ）を付与することで、それらコンピュータもＶＰＮに参加可能とする。

上述のようにシステムが自動的に仮想的なＩＰアドレスを付与した場合、ＶＰＮに参加する各コンピュータは、どのコンピュータにどのような仮想ＩＰアドレスが付与されたのかを知らないと、ＶＰＮ経由での通信を行うことができない。そこで、このシステムでは、ＤＮＳ（Domain Name System）に対して、自動的に付与した仮想ＩＰアドレスを反映させることで、コンピュータのホスト名から仮想ＩＰアドレスを解決できるようにする。

このシステムでは、一例として、ＶＰＮルータ１００Ａがマスタとして他の各ＶＰＮルータ１００Ｂ及び１００Ｃから経路制御情報を収集し、収集した情報に従って仮想ＩＰアドレスの付与処理を実行する。図２を参照して、マスタであるＶＰＮルータ１００Ａの機能的な構成を説明する。

ＶＰＮルータ１００Ａは、ルータ部１１０，ＶＰＮ接続制御部１２０，ＶＰＮ設定部１３０，仮想側ＤＮＳ部１４０及びＤＮＳ設定部１５０を備える。ルータ部１１０は、ネットワーク間で通信されるパケットの経路制御（ルーティング）を行う。ルータ部１１０は、経路制御のために、経路制御情報１１２を参照する。ルータ部１１０としては従来のルータと同様のものを用いればよく、経路制御情報１１２も従来と同様のものを用いればよい。

ＶＰＮ接続制御部１２０は、ＶＰＮを経由した通信のための処理を行う機能モジュールである。ＶＰＮ接続制御部１２０は、例えばＩＰｓｅｃ(Internet Protocol Security)を用いてＶＰＮ通信を行う。なお、ＩＰｓｅｃはあくまで一例に過ぎない。ＶＰＮ接続制御部１２０は、他のＶＰＮ実現方式を用いてもよい。ＶＰＮ接続制御部１２０は、ＶＰＮ接続設定情報１２２に基づき、ＶＰＮ通信を行う。ＶＰＮ接続設定情報１２２には、例えば、ＶＰＮを構成する他のＶＰＮルータ１００Ｂ及び１００ＣのグローバルＩＰアドレスの情報が含まれる。またＶＰＮ接続設定情報１２２には、例えば、どのようなＩＰパケットをＶＰＮ経由で通信するかを表すセキュリティポリシーの情報が含まれる。セキュリティポリシーは、例えばＶＰＮ経由で通信すべきＩＰパケットの送信元アドレスと宛先アドレスとの組合せの情報を含む。

図３に、ＶＰＮ接続設定情報１２２の一例を示す。この例は、拠点Ａ，Ｂ及びＣからなるＶＰＮのための、ＶＰＮルータ１００Ａが有するＶＰＮ接続設定情報１２２の例である。この例のＶＰＮは、ＶＰＮルータ１００Ａから見れば、拠点ＡＢ間のＶＰＮ接続と拠点ＡＣ間のＶＰＮ接続から構成される。ＶＰＮ接続設定情報１２２には、それぞれのＶＰＮ接続について個別の設定情報が含まれる。

ＶＰＮ接続設定情報において、「ローカル側セレクタ」及び「リモート側セレクタ」の組は、ＶＰＮ経由のパケットを選択するための選択条件を示す。「ローカル側セレクタ」は、ＶＰＮルータ１００Ａから見てＶＰＮ接続のローカル側（すなわち当該ＶＰＮルータ１００Ａが管理するＬＡＮ２００Ｂ内）の拠点内のアドレスに関する条件である。「ローカル側セレクタ」には、出力パケットについての条件と入力パケットについての条件がある。出力パケットについてのローカル側セレクタはＬＡＮからインターネットへ出力されるパケットの送信元ＩＰアドレスに関する条件であり、入力パケットについてのローカル側セレクタはインターネットからＬＡＮ内に入力されるパケットの宛先ＩＰアドレスに関する条件である。また、「リモート側セレクタ」は、ＶＰＮルータ１００Ａから見てＶＰＮ接続の相手方の拠点内のアドレスに関する条件である。また、「ローカル側ピア」は当該ＶＰＮルータ１００ＡがＶＰＮ接続に用いるインタフェースのグローバルＩＰアドレスであり、「リモート側ピア」はＶＰＮ接続の相手側のＶＰＮルータ１００Ｂ又は１００ＣのグローバルＩＰアドレスである。

例えば、図３の接続ＡＢについての設定情報は、（１）「ＬＡＮ２００Ａ内から受け取ったパケットの送信元ＩＰアドレスの上位２４桁が 10.0.0 に一致し、宛先ＩＰアドレスの上位２４桁が30.0.0 に一致する場合には、そのパケットをカプセル化し、カプセル化したパケットを当該ＶＰＮルータ１００Ａのアドレス1.1.0.1から相手のＶＰＮルータ１００Ｂのアドレス1.2.0.1へと送信する」という規則と、（２）「1.2.0.1(ＶＰＮルータ１００Ｂ)から1.1.0.1(ＶＰＮルータ１００Ａ)に送られてきたパケットの宛先ＩＰアドレスの上位２４桁が 20.0.0 に一致し、送信元ＩＰアドレスの上位２４桁が30.0 に一致する場合には、そのパケットのカプセル化を解除し、カプセル化解除の結果得られたパケットをＬＡＮ２００Ａ上のコンピュータへと送信する」という規則とを表している。

なお、ＶＰＮ接続設定情報１２２のうち、「ローカル側ピア」及び「リモート側ピア」は、ＶＰＮを構成するＶＰＮルータ群により決まる固定的な値であり、例えば各ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃを管理する管理者が設定しておけばよい。これに対し、「ローカル側セレクタ」及び「リモート側セレクタ」は仮想ＩＰアドレスとなる場合があるので、仮想ＩＰアドレスの割り当てが決定した後、その割り当てに応じて自動的に設定されるようにすればよい。例えば、ローカル側セレクタ 20.0.0.0/24は、仮想ＩＰアドレスで表現されている。

なお、図３に例示したＶＰＮ接続設定情報１２２の項目はあくまで一例に過ぎない。ＶＰＮ接続設定情報１２２には、この他に送信元ポート番号又は宛先ポート番号、使用するプロトコルなどといった他の項目が含まれてもよい。また、ＶＰＮルータ１００Ａが異なる複数のＶＰＮの接続制御を行う場合、それら個々のＶＰＮごとに、図３に例示したような設定情報が作成され、利用される。

ＶＰＮ接続制御部１２０は、ＮＡＴ(Network Address Translator)部１２４を備える。ＮＡＴ部１２４は、変換ルール１２６を参照して、送信元又は宛先の実ＩＰアドレス（すなわち元のプライベートＩＰアドレス）と仮想ＩＰアドレスとの変換を行う。ＶＰＮルータ１００Ａが持つ変換ルール１２６の例を、図４に示す。図４に例示した変換ルールは、ＶＰＮ接続設定情報１２２によりＶＰＮ経由と判定されたパケットに対して適用される。この例のルールは、（１）ＬＡＮ２００Ａからインターネットに出る出力パケットについては、送信元ＩＰアドレスをプライベートＩＰアドレス 10.0.0.x から仮想ＩＰアドレス20.0.0.x に変換すること、（２）インターネットからＬＡＮ２００Ａに入る入力パケットについては、宛先ＩＰアドレスを仮想ＩＰアドレス 20.0.0.x から実アドレス（プライベートＩＰアドレス）10.0.0.x に変換すること、を規定する。この変換ルール１２６は、仮想ＩＰアドレスの割り当てが決定した後に設定される。

ＶＰＮルータ１００Ａが異なる複数のＶＰＮの接続制御を行う場合、それら個々のＶＰＮごとに、図４に例示したような変換ルールが作成され、利用される。

なお、ＬＡＮ２００Ａ内からインターネットへの出力パケットの送信元ＩＰアドレスが10.0.0.xであったとしても、宛先ＩＰアドレスがＶＰＮ接続の相手拠点以外のものである場合、変換ルール１２６は適用されない。このような場合は、例えば送信元ＩＰアドレスを、ルータが持つグローバルＩＰアドレスに変換するなどといった、通常のＮＡＴやＩＰマスカレードの領域であり、ＶＰＮとは直接には関係がない。なお、ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃがそのような通常のＮＡＴ、又はＮＡＰＴ(Network Address Port Translation)又はＩＰマスカレードの機能を持っていてももちろんよい。ここで、ＮＡＰＴ及びＩＰマスカレードは、インターネットに接続された企業などで、一つのグローバルＩＰアドレスを複数のコンピュータで共有する技術である。ＮＡＰＴは例えばRFC 2663 "NAT Terminology and Considerations"にて定義されている。

ＶＰＮ設定部１３０は、ＶＰＮのための設定処理を実行する機能モジュールである。ＶＰＮルータ１００ＡのＶＰＮ設定部１３０は、経路制御情報収集部１３２，仮想アドレス割当部１３４，設定部１３６，設定情報提供部１３８を備える。経路情報収集部１３２は、１つのＶＰＮを構成する各拠点のＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃから、経路制御情報１１２を収集する。ＶＰＮルータ１００Ａが持つ経路制御情報１１２は、ルータ部１１０から取得すればよい。またＶＰＮルータ１００Ｂ及び１００ＣのグローバルＩＰアドレスはＶＰＮ接続設定情報１２２から分かるので、経路制御情報収集部１３２は、そのＩＰアドレス宛に経路制御情報の要求を行えばよい。

仮想アドレス割当部１３４は、１つのＶＰＮを構成するすべてのＶＰＮルータから収集した経路制御情報に基づき、各拠点Ａ，Ｂ及びＣ内のコンピュータのプライベートＩＰアドレスの中に重複するものがあるか否かを調べる。そして、重複するプライベートＩＰアドレスがあれば、そのようなプライベートＩＰアドレスに対して、当該ＶＰＮ内で重複しない仮想ＩＰアドレスを割り当てる。なお、ＶＰＮ内の他のコンピュータとプライベートＩＰアドレスが重複するコンピュータだけでなく、重複しないコンピュータに対しても仮想ＩＰアドレスを割り当てるようにしてもよい。

なお、仮想ＩＰアドレスの割当は、上述のようにコンピュータ単位で行ってもよいが、ＬＡＮ単位で行ってもよい。すなわち、この場合、ＶＰＮを構成する拠点のＬＡＮのうちプライベートのネットワークアドレスが重複するＬＡＮに対し、それら拠点群の中で重複しない仮想ネットワークアドレスを割り当てる。そして、それらのＬＡＮ内の各コンピュータには、その仮想ネットワークアドレスに属する仮想ＩＰアドレスを割り当てる。例えば、コンピュータの元のプライベートＩＰアドレスのうち、ホスト部は残し、ネットワーク部を仮想ネットワークアドレスに置き換えることで、そのコンピュータの仮想ＩＰアドレスを決定すればよい。

図１の例では、拠点Ａ，Ｂ及びＣから収集した経路制御情報から、ＬＡＮ２００Ａ及び２００Ｂが共に10.0.0.0/24 というネットワークアドレスを有し、ＬＡＮ２００Ｃが172.16.0.0/24というネットワークアドレスを有することが分かる。仮想アドレス割当部１３４は、ＬＡＮ２００ＡとＬＡＮ２００Ｂとでプライベートのネットワークアドレスが重複しているため、仮想ネットワークアドレスとして前者には例えば20.0.0.0/24を、後者には例えば30.0.0.0/24を、それぞれ割り当てる。一方、ＬＡＮ２００ＣはＶＰＮ内の他のＬＡＮとネットワークアドレスが重複しないので、元のネットワークアドレスをそのまま用いる。ただし、ＬＡＮ２００Ｃに、ＶＰＮ内の他のＬＡＮと重複しない仮想ネットワークアドレスを割り当ててもよい。

この例のシステムでは、ＬＡＮ内のコンピュータのＩＰアドレスとして、当該ＬＡＮの内部ではプライベートＩＰアドレスを用い、当該ＬＡＮ外部では仮想ＩＰアドレスを用いる。例えば、図１の例では、拠点Ａのコンピュータ２２０Ａから拠点Ｂのコンピュータ２２０Ｂへ送信されるパケットの送信元アドレスは、拠点Ａ内では10.0.0.1であるが、インターネット３００に出る際にＶＰＮルータ１００Ａで20.0.0.1に置き換えられる。

なお、仮想アドレス割当部１３４は、プライベートＩＰアドレスとして予約されている範囲から仮想ＩＰアドレス又は仮想ネットワークアドレスを割り当てればよい。ただし、図１等の例では、表記上の煩雑さを避けるため、仮想ＩＰアドレスとしてプライベートＩＰアドレスの範囲外の比較的単純なアドレスを用いている。

設定部１３６は、仮想アドレス割当部１３４による割当結果に基づき、ＶＰＮ接続設定情報１２２及び変換ルール１２４の設定を行う。例えば、図１の例では、ＶＰＮルータ１００Ａ自身が属する拠点Ａ（プライベートのネットワークアドレス10.0.0.0/24）には仮想ネットワークアドレス20.0.0.0/24が割り当てられた結果を受けて、設定部１３６は、図４に例示した規則内容を変換ルール１２６として設定する。また、設定部１３６は、ＶＰＮ接続設定情報１２２の入力パケット用のローカル側セレクタとして20.0.0.0/24を設定する（なお、出力用はプライベートネットワークアドレスをそのまま設定すればよい）。また、グローバルＩＰアドレスが1.2.0.1であるＶＰＮルータ１００Ｂの属するＬＡＮ２００Ｂに対して仮想ネットワークアドレス30.0.0.0/24が割り当てられた結果を受けて、ＶＰＮ接続設定情報１２２の接続ＡＢについてのリモート側セレクタを30.0.0.0/24に設定する。また、拠点Ｃに対しては仮想ネットワークアドレスが割り当てられないので、ＶＰＮ接続設定情報１２２の接続ＡＣについてのリモート側セレクタには、ＬＡＮ２００Ｃのプライベートネットワークアドレス172.16.0.0/24を設定すればよい。

設定情報提供部１３８は、仮想アドレス割当部１３４による割当結果に基づき、ＶＰＮを構成する他の拠点のＶＰＮルータ１００Ｂ及び１００Ｃのための設定情報をそれぞれ生成し、それら各ルータ１００Ｂ及び１００Ｃに提供する。

あるＶＰＮルータのための設定情報には、同じＶＰＮを構成する他の各ＶＰＮルータのＶＰＮ用のグローバルＩＰアドレスと、それら各ルータの属するＬＡＮ上の各コンピュータの当該ＶＰＮ内でのＩＰアドレスと、の対応関係の情報が含まれる。コンピュータのＶＰＮ内でのＩＰアドレスは、そのコンピュータに対してＶＰＮのための仮想ＩＰアドレスを付与した場合はその仮想ＩＰアドレスである。また、そのコンピュータの元々のプライベートＩＰアドレスがＶＰＮ内で重複がない場合は、プライベートＩＰアドレスをそのままＶＰＮ内のアドレスとして用いてよい。この場合は対応関係の情報にはプライベートＩＰアドレスが含まれる。なお、ＬＡＮ上の個々のコンピュータのＶＰＮ内でのＩＰアドレスの代わりに、そのＬＡＮのＶＰＮ内でのネットワークアドレスを、対応関係の情報に含めてもよい。

例えば、ＶＰＮルータ１００Ｂのための設定情報には、ＶＰＮルータ１００Ａ及び１００Ｃのそれぞれについて、上述の対応関係の情報が含まれる。例えばＶＰＮルータ１００Ａについての対応関係の情報には、ＶＰＮルータ１００ＡのグローバルＩＰアドレス1.1.0.1と、ＬＡＮ２００Ａの仮想ネットワークアドレス20.0.0.0/24（またはＬＡＮ２００Ａ内のコンピュータやルータの仮想ＩＰアドレス）とが含まれる。また、ＬＡＮ２００Ｃのプライベートネットワークアドレスは、ＶＰＮ内では重複するものがないので、ＶＰＮ内で利用してもよい。プライベートネットワークアドレスをＶＰＮ内でも利用する場合、ＶＰＮルータ１００Ｃについての対応関係の情報には、グローバルＩＰアドレス1.3.0.1と、ＬＡＮ２００Ｃのプライベートネットワークアドレス172.16.0.0/24（またはＬＡＮ２００Ｃ内のコンピュータ等のプライベートＩＰアドレス）とが含まれる。

マスタであるＶＰＮルータ１００Ａから設定情報を受け取ったＶＰＮルータ１００Ｂ及び１００Ｃは、設定情報に含まれる上述の対応関係の情報に基づき、ＶＰＮ接続設定情報１２２内のリモート側セレクタの値を設定する。例えば、ＶＰＮルータ１００Ｂは、受け取った対応関係の情報に基づき、拠点Ａとの接続についてのリモート側セレクタに対し、拠点Ａのリモート側ピア1.1.0.1に対応する仮想ネットワークアドレス20.0.0.0/24を設定し、拠点Ｃとの接続についてのリモート側セレクタに対し、拠点Ｃのリモート側ピア1.3.0.1に対応するネットワークアドレス172.16.0.0/24を設定する。このような設定情報の取得はＶＰＮルータ１００Ｂ及び１００Ｃ内の情報取得部１６４が、その設定情報に基づくＶＰＮ接続設定情報１２２の設定は設定部１３６ａが、それぞれ行う（図５参照）。

また、設定情報提供部１３８がＶＰＮルータ１００Ｂに提供する設定情報には、当該ＶＰＮルータ１００Ｂが属するＬＡＮ２００Ｂ上の各コンピュータの元のプライベートＩＰアドレス（実ＩＰアドレス）と、それら各コンピュータに割り当てられた仮想ＩＰアドレスとの対応関係の情報が含まれる。コンピュータごとの実ＩＰアドレスと仮想ＩＰアドレスの対応関係の代わりに、ＬＡＮ２００Ｂのプライベートネットワークアドレス（実ネットワークアドレス）と仮想ネットワークアドレスとの対応関係の情報を、設定情報に含めてもよい。設定情報を受け取ったＶＰＮルータ１００Ｂは、その情報に基づき、ＶＰＮ接続設定情報１２２内の、拠点Ａとの接続についての「ローカル側セレクタ（入力）」を、例えば仮想ネットワークアドレス30.0.0.0/24に設定する。また、ＶＰＮルータ１００Ｂは、その情報に基づき、当該ＶＰＮについての変換ルール１２６として、出力パケットについては送信元アドレスをプライベートアドレス10.0.0.0/24から仮想アドレス30.0.0.0/24に変換するルールを、入力パケットについては宛先アドレスを仮想アドレス30.0.0.0/24からプライベートアドレス10.0.0.0/24に変換するルールを、それぞれＮＡＴ部１２４に設定する。これらの処理は、ＶＰＮルータ１００Ｂ内の情報取得部１６４及び設定部１３６ａにより行われる。

なお、ＬＡＮ２００ＣのＶＰＮ用のアドレスとして元々のプライベートアドレスを用いる場合は、仮想アドレスの割当が行われないので、ＶＰＮルータ１００Ｃに提供する設定情報には、実アドレスと仮想アドレスの対応情報は含まれない。ＶＰＮルータ１００Ｃの
ＶＰＮ接続設定情報１２２の「ローカル側セレクタ（入力）」の値は「ローカル側セレクタ（出力）」と同じ172.16.0.0/24に設定され、変換ルール１２６は空になる（すなわちＶＰＮのためのアドレス変換は行われない）。

再び図２の説明に戻り、ＶＰＮルータ１００Ａの仮想側ＤＮＳ部１４０は、ＶＰＮ側からの名前解決要求に応じて、その名前（ホスト名）に対応するＬＡＮ２００Ａ内のコンピュータのＶＰＮ内でのＩＰアドレスを回答する。この処理のために、仮想側ＤＮＳ部１４０は、ゾーン情報１４２を参照する。ゾーン情報１４２には、ＬＡＮ２００Ａ内の各コンピュータについて、そのホスト名とＶＰＮ内でのＩＰアドレスとの対応関係の情報が含まれる。ＶＰＮ設定部１３０による仮想ＩＰアドレスの割当により、ゾーン情報１４２に含まれるＶＰＮ内でのＩＰアドレスが決まる。したがって、ゾーン情報１４２は、ＶＰＮ設定部１３０の処理に応じて、作成又は更新される。この作成又は更新は、ＤＮＳ設定部１５０により行われる。

なお、図示は省略したが、ＶＰＮルータ１００Ａは、ＬＡＮ２００Ａのコンピュータからの名前解決要求に応答するためのＬＡＮ側ＤＮＳを備えていてもよい。ＶＰＮルータ１００ＡにＬＡＮ側ＤＮＳを設ける代わりに、マスタＤＮＳ２４０ＡをＬＡＮ側ＤＮＳとして用いてもよい。

ＤＮＳ設定部１５０は、ゾーン情報取得部１５２，ゾーン情報修正部１５４及び通知部１５６を備える。ＶＰＮルータ１００Ａのゾーン情報取得部１５２は、ＬＡＮ２００Ａ上のマスタＤＮＳ２４０Ａからゾーン情報を取得する。このゾーン情報には、前述のように、ＬＡＮ２００Ａ上の各コンピュータのホスト名と実ＩＰアドレスの対応関係の情報が含まれる。ゾーン情報修正部１５４は、ゾーン情報取得部１５２が取得したゾーン情報と、変換ルール１２６とに基づき、ＶＰＮ向けのゾーン情報１４２を生成する。例えば、ＶＰＮルータ１００Ａのゾーン情報修正部１５４は、変換ルール１２６から、ＬＡＮ２００Ａのプライベートアドレス10.0.0.0/24がＶＰＮでは仮想アドレス20.0.0.0/24に変換されることが分かるので、マスタＤＮＳ２４０Ａから取得したゾーン情報中の各コンピュータのプライベートアドレス10.0.0.xの上位２４桁を20.0.0に置き換えることで、ゾーン情報１４２を生成する。

図６は、図１の例におけるマスタＤＮＳ２４０Ａが持つゾーン情報の一例である。この例では、拠点Ａのドメイン名が foo.com である。また例えばコンピュータ２２０Ａのホスト名はPC_A1.foo.com、プライベートＩＰアドレスは10.0.0.1である。このゾーン情報と、図４に例示したような変換ルールとに基づき、図７に示す内容を持つゾーン情報１４２が生成される。図７の例では、ゾーン情報１４２には、各コンピュータのＩＰアドレスとして20.0.0.0/24に属する仮想ＩＰアドレスが登録されている。

ＶＰＮルータ１００Ａの通知部１５６は、ＶＰＮを構成する他のＶＰＮルータ１００Ｂ及び１００Ｃに対し、名前解決要求のフォワード（転送）設定のための情報として、拠点Ａのドメイン名とＶＰＮルータ１００ＡのＶＰＮ用のグローバルＩＰアドレス1.1.0.1との組を通知する。通知を受けたＶＰＮルータ１００Ｂ及び１００Ｃは、その情報に基づき、拠点Ａのドメイン名を含むホスト名についての名前解決要求をＶＰＮルータ１００ＡのＶＰＮ用インタフェースのグローバルＩＰアドレス1.1.0.1にフォワードするよう、ＬＡＮ２００Ｂ又は２００Ｃ用のＬＡＮ側ＤＮＳを設定する。これにより、例えば、コンピュータ２２０Ｂからコンピュータ２２０Ａのホスト名についての名前解決要求が発せられた場合、ＬＡＮ２００Ｂ用のＬＡＮ側ＤＮＳは、その要求をＶＰＮルータ１００ＡのＶＰＮ用グローバルＩＰアドレスに転送する。ＶＰＮ用のグローバルＩＰアドレスに対して名前解決要求を受けたＶＰＮルータ１００Ａは、仮想側ＤＮＳ部１４０にその名前解決要求に対応するＩＰアドレスを求めさせ、そのＩＰアドレスをＬＡＮ２００ＢのＬＡＮ側ＤＮＳに返す。このＬＡＮ側ＤＮＳは、そのＩＰアドレスをコンピュータ２２０Ｂに対して回答する。

次に、マスタでないＶＰＮルータ１００Ｂの構成について、図５を用いて説明する。ＶＰＮルータ１００Ｃも、ＶＰＮルータ１００Ｂ同様の構成を持つ。図５において、図２に示した要素に相当する要素には、同一符号を付して説明を省略する。

ＶＰＮルータ１００ＢがマスタのＶＰＮルータ１００Ａと異なる部分は、ＶＰＮ設定部１３０ａである。ＶＰＮ設定部１３０ａの経路制御情報収集部１３２ａは、マスタのＶＰＮルータ１００Ａからの指示に応じて、ＶＰＮルータ１００Ｂ内のルータ部１１０の経路制御情報を収集する。収集された経路制御情報は、経路制御情報送信部１６２によりＶＰＮルータ１００Ａに送信される。情報取得部１６４は、マスタのＶＰＮルータ１００ＡからＶＰＮ接続設定情報及び変換ルールについての設定情報を取得する。設定部１３６ａは、その設定情報に基づき、前述のようにＶＰＮ接続設定情報１２２及び変換ルール１２６を設定する。また情報取得部１６４は、ＶＰＮを構成する他のＶＰＮルータ１００Ａ及び１００Ｃの通知部１５６から、名前解決要求のフォワード設定のための情報を取得する。設定部１３６ａは、その情報に基づきＬＡＮ側ＤＮＳにフォワード設定を行う。

このようなＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃが協働することで、各ＬＡＮ２００Ａ，２００Ｂ及び２００Ｃ内のコンピュータに仮想ＩＰアドレスが付与された場合でも、そのコンピュータのホスト名からその仮想ＩＰアドレスが解決されるようになる。

次に、図８を参照して、マスタのＶＰＮルータ１００Ａの、ＶＰＮ設定のための処理の手順を説明する。この処理手順は、例えば、管理者からＶＰＮルータ１００Ａに対し、ＶＰＮ設定の開始が指示された場合に実行される。

この手順では、まずＶＰＮルータ１００Ａの経路制御情報収集部１３２が、ルータ部１１０及び他のＶＰＮルータ１００Ｂ及び１００Ｃから経路制御情報１１２を収集する（Ｓ１）。他のＶＰＮルータ１００Ｂ及び１００ＣのＶＰＮ用のグローバルＩＰアドレスは例えばＶＰＮ接続設定情報１２２のリモート側ピア情報としてあらかじめ登録されているので、この情報を用いて各ルータ１００Ｂ及び１００Ｃに問合せを行えばよい。次に、収集された経路制御情報に基づき、仮想アドレス割当部１３４が、拠点Ａ，Ｂ及びＣのＬＡＮ又はコンピュータのプライベートアドレスの中で、他と重複するものを検出する（Ｓ２）。そして、重複するプライベートアドレスを持つ各ＬＡＮ又はコンピュータに対し、ＶＰＮ内で他と重複しない仮想ＩＰアドレスをそれぞれ割り当てる（Ｓ３）。なお、ここで、アドレスが重複するか否かによらず、ＶＰＮ内のすべてのＬＡＮ又はコンピュータに対し、ＶＰＮ内で一意な仮想アドレスを割り当ててもよい。仮想アドレス割当部１３４は、仮想アドレスを割り当てた各ＬＡＮ又はコンピュータについて、割り当てた仮想アドレスと元のプライベートアドレスとの対応関係の情報を生成する（Ｓ４）。そして、設定部１３６は、その対応関係の情報に基づき、ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃの各々のための設定情報を生成する（Ｓ５）。ここで生成される設定情報は、前述のように、ＶＰＮ接続設定情報１２２及び変換ルール１２６の設定に用いられる。設定情報提供部１３８は、ＶＰＮルータ１００Ｂ及び１００Ｃに対し、それぞれ対応する設定情報を送信する（Ｓ６）とともに、ＶＰＮルータ１００Ａ自身のための設定情報に従ってＶＰＮ接続設定情報１２２及び変換ルール１２６を設定する（Ｓ７）。

次に、ゾーン情報取得部１５２が、マスタＤＮＳ２４０Ａからゾーン情報を取得し（Ｓ８）、そのゾーン情報とステップＳ７で設定された変換ルール１２６とに基づき、前述のようにしてゾーン情報１４２を生成し、仮想側ＤＮＳ部１４０に設定する（Ｓ９）。また、通知部１５６が、ＶＰＮルータ１００Ｂ及び１００Ｃに対し、名前解決要求のフォワード設定のための情報を送信する（Ｓ１０）。

次に、図９を参照して、マスタでないＶＰＮルータ１００Ｂの処理手順を説明する。なお、ＶＰＮルータ１００Ｃの実行する処理手順も同様である。

この手順は、ＶＰＮルータ１００Ｂが、ＶＰＮルータ１００Ａから経路制御情報の要求を受け取った時点から開始する（Ｓ１１）。すると、経路制御情報収集部１３２ａがルータ部１１０の経路制御情報を収集し、この経路制御情報を経路制御情報送信部１６２がＶＰＮルータ１００Ａに送信する（Ｓ１２）。その後、情報取得部１６４がＶＰＮルータ１００ＡからＶＰＮ接続設定のための設定情報を受け取ると（Ｓ１３）、設定部１３６ａがその設定情報に従い、前述のようにＶＰＮ接続設定情報１２２及び変換ルール１２６を設定する（Ｓ１４）。そして、ゾーン情報取得部１５２が、マスタＤＮＳ２４０Ｂからゾーン情報を取得し（Ｓ１５）、そのゾーン情報とステップＳ１４で設定された変換ルール１２６とに基づき、前述のようにしてゾーン情報１４２を生成し、仮想側ＤＮＳ部１４０に設定する（Ｓ１６）。そして通知部１５６が、ＶＰＮルータ１００Ａ及び１００Ｃに対し、名前解決要求のフォワード設定のための情報を送信する（Ｓ１７）。

以上のような処理により、ＶＰＮ経由の通信が可能な状態となる。次に、図１０を参照して、ＶＰＮ経由の通信の流れを例示する。ここでは、図１に示すようなネットワーク構成例において、コンピュータ２２０Ａとコンピュータ２２０Ｂとの間でＶＰＮ経由の通信を行う場合の例を説明する。なお、この例の流れに先立ち、コンピュータ２２０Ａは、ＬＡＮ２００Ａ内のＬＡＮ側ＤＮＳに問合せを行うことで、コンピュータ２２０Ｂの仮想ＩＰアドレスを取得済みであるとする。

この流れでは、まずコンピュータ２２０Ａがコンピュータ２２０Ｂ宛のＩＰパケットを送出する。このパケットのＩＰヘッダの送信元アドレスはコンピュータ２２０Ａのプライベートアドレス10.0.0.1であり、宛先アドレスはコンピュータ２２０Ｂの仮想アドレス30.0.0.1である。ＶＰＮルータ１００Ａは、このパケットの送信元及び宛先の組がＶＰＮ接続設定情報１２２（図３参照）のローカル側セレクタ（出力）とリモート側セレクタの組に合致すると判定する。これに応じ、ＶＰＮルータ１００Ａは、変換ルール１２６（図４参照）に従い、そのパケットの送信元アドレスを仮想アドレス20.0.0.1に置き換える。そして、ＶＰＮルータ１００Ａは、ＩＰｓｅｃ等のＶＰＮ方式に従ってそのパケットをカプセル化し、カプセル化されたパケットをＶＰＮルータ１００Ｂまでインターネット３００をトンネリングして送信する。カプセル化されたパケットを受け取ったＶＰＮルータ１００Ｂは、カプセル化を解除し、その結果得られた元のパケットの送信元及び宛先が当該ＶＰＮルータ１００ＢのＶＰＮ接続設定情報１２２のローカル側セレクタ（入力）とリモート側セレクタの組に合致すると判定する。これに応じ、ＶＰＮルータ１００Ｂは、そのパケットの宛先アドレスを変換ルール１２６に従って10.0.0.1に変換し、ＬＡＮ２００Ｂ内へと送出する。この結果、コンピュータ２２０Ｂはそのパケットを受信する。コンピュータ２２０Ｂからコンピュータ２２０Ａへの返信パケットは、以上とは逆の流れで処理される。

以上の例では、各拠点のコンピュータに特別なプロトコルを実装しなくても、ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃの協働により、ホスト名から仮想ＩＰアドレスが解決され、ＶＰＮによる通信が実現される。

以上の例では、ＶＰＮルータ１００Ａが拠点Ａ内のコンピュータの仮想アドレスを求めるためのゾーン情報１４２を生成し、ＶＰＮルータ１００Ｂ及び１００Ｃは拠点Ａ内のコンピュータに対する名前解決要求を受けるとその要求をＶＰＮルータ１００Ａにフォワードした。しかしこれは一例に過ぎない。この代わりに、ＶＰＮルータ１００Ａがゾーン情報１４２を生成するとそれをＶＰＮルータ１００Ｂ及び１００Ｃに送信し、ＶＰＮルータ１００Ｂ及び１００Ｃがそのゾーン情報１４２をそれぞれ自分のＬＡＮ２００Ｂ又は２００Ｃ内のＬＡＮ側ＤＮＳに設定するようにしてもよい。この場合、ＶＰＮルータ１００Ａは仮想側ＤＮＳ１４０を持たなくてもよい。

また以上の例では、ＶＰＮルータは、ルータ部１１０とＶＰＮ接続制御部１２０と仮想側ＤＮＳ部１４０の機能を兼ね備えていたが、これは一例に過ぎない。それら各機能モジュールがＬＡＮ上の別々のハードウエア装置に実装されていてもよい。

また以上では、３つの拠点からなるＶＰＮを例にとって説明したが、当業者には、同様の方式が２以上の拠点からなるＶＰＮ一般に適用可能であることが理解されよう。

また以上の例では、ＶＰＮを構成するＶＰＮルータのうちの１つがマスタとして設定されており、そのマスタが他のＶＰＮルータから経路制御情報を収集し、仮想アドレスを割り当て、その割り当て結果に基づき生成した設定情報をそれら他のＶＰＮルータに提供した。しかし、このような仕組みは一例に過ぎない。１つのＶＰＮルータをマスタとする代わりに、そのようなマスタ機能、すなわち経路制御情報収集部１３２，仮想アドレス割当部１３４及び設定情報提供部１３８の機能を備えたマスタ管理装置をインターネット３００上に設ける構成を採用してもよい。この場合、ＶＰＮを構成する各ＶＰＮルータは、マスタでないＶＰＮルータ１００Ｂ（図５参照）と同様の機能を持てばよい。

以上に例示した各ＶＰＮルータ１００Ａ，１００Ｂ及び１００Ｃは、例えば、汎用のコンピュータに上述の各機能モジュールの処理を表すプログラムを実行させることにより実現される。ここで、コンピュータは、例えば、ハードウエアとして、図１１に示すように、ＣＰＵ４００等のマイクロプロセッサ、ランダムアクセスメモリ（ＲＡＭ）４０２およびリードオンリメモリ（ＲＯＭ）４０４等のメモリ（一次記憶）、ＨＤＤ（ハードディスクドライブ）４０６を制御するＨＤＤコントローラ４０８、各種Ｉ／Ｏ（入出力）インタフェース４１０、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース４１２等が、たとえばバス４１４を介して接続された回路構成を有する。また、そのバス４１４に対し、例えばＩ／Ｏインタフェース４１０経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ４１６、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダライタ４１８、などが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、ＶＰＮルータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭ４０２に読み出されＣＰＵ４００等のマイクロプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。なお、それら機能モジュール群のうちの一部又は全部を、専用ＬＳＩ(Large Scale Integration)、ＡＳＩＣ（Application Specific Integrated Circuit、特定用途向け集積回路）又はＦＰＧＡ（Field Programmable Gate Array）等のハードウエア回路として構成してもよい。

ネットワーク構成の一例を示す図である。マスタとして動作するＶＰＮルータの一例の機能ブロック図である。ＶＰＮ接続設定情報の一例を示す図である。ＮＡＴ部の変換ルールの一例を示す図である。マスタでないＶＰＮルータの一例の機能ブロック図である。マスタＤＮＳのゾーン情報の一例を示す図である。図６のゾーン情報に基づき生成された仮想側ＤＮＳ部のゾーン情報の一例を示す図である。マスタとして動作するＶＰＮルータの、ＶＰＮ設定のための処理手順を示すフローチャートである。マスタでないＶＰＮルータの、ＶＰＮ設定のための処理手順を示すフローチャートである。ＶＰＮ通信の流れの一例を示す図である。コンピュータのハードウエアの一例を示す図である。

符号の説明

１００Ａ，１００Ｂ，１００ＣＶＰＮルータ、２００Ａ，２００Ｂ，２００ＣＬＡＮ、２２０Ａ，２２０Ｂコンピュータ、２４０Ａ，２４０ＢマスタＤＮＳ。

Claims

仮想ネットワークを構成する各拠点からそれぞれ当該拠点内の情報処理装置の実アドレスを収集する収集手段と、
前記収集手段が収集した実アドレスのなかで重複する実アドレスを持つ各情報処理装置に対して、前記各拠点内の他の情報処理装置と重複しない仮想アドレスを割り当てる割当手段と、
前記割当手段が割り当てた仮想アドレスと実アドレスとの対応関係を表す第１の対応情報を生成する第１の生成手段と、
前記各拠点の仮想ネットワーク接続装置に対し、前記第１の対応情報に基づき仮想ネットワーク接続のための設定情報を生成して提供する第１の提供手段と、
情報処理装置の実アドレスと当該情報処理装置の名前との対応関係を示す第２の対応情報を、当該情報処理装置の属する前記拠点から取得する取得手段と、
前記第１の対応情報と前記第２の対応情報とに基づき、前記仮想アドレスと前記情報処理装置の名前との対応関係を表す第３の対応情報を生成する第２の生成手段と、
前記各拠点の仮想ネットワーク接続装置に対して、前記第３の対応情報を提供する第２の提供手段と、
を備える仮想ネットワーク接続システム。
拠点内の情報処理装置の実アドレスと仮想ネットワークにおける当該情報処理装置の仮想アドレスとの対応関係を表す第１の対応情報を記憶する第１の記憶手段と、
前記第１の対応情報を参照して、前記拠点内の情報処理装置と前記拠点外の情報処理装置との間の伝送情報のアドレス変換を行うアドレス変換手段と、
前記拠点内の情報処理装置の名前と実アドレスとの対応関係を表す第２の対応情報を記憶した第２の記憶手段と、
前記第１の対応情報と前記第２の対応情報とに基づき、前記拠点内の情報処理装置の名前と仮想アドレスとの対応関係を表す第３の対応情報を作成する作成手段と、
前記仮想ネットワークを構成する他の拠点に対し、前記第３の対応情報を提供する提供手段と、
を備える仮想ネットワーク接続装置。
コンピュータに、
仮想ネットワークを構成する各拠点からそれぞれ当該拠点内の情報処理装置の実アドレスを収集するステップと、
収集された実アドレスのなかで重複する実アドレスを持つ各情報処理装置に対して、前記各拠点内の他の情報処理装置と重複しない仮想アドレスを割り当てるステップと、
割り当てられた仮想アドレスと実アドレスとの対応関係を表す第１の対応情報を生成するステップと、
前記各拠点の仮想ネットワーク接続装置に対し、前記第１の対応情報に基づき仮想ネットワーク接続のための設定情報を生成して提供するステップと、
情報処理装置の実アドレスと当該情報処理装置の名前との対応関係を示す第２の対応情報を、当該情報処理装置の属する前記拠点から取得するステップと、
前記第１の対応情報と前記第２の対応情報とに基づき、前記仮想アドレスと前記情報処理装置の名前との対応関係を表す第３の対応情報を生成するステップと、
前記各拠点の仮想ネットワーク接続装置に対して、前記第３の対応情報を提供するステップと、
を実行させるためのプログラム。
コンピュータに、
拠点内の情報処理装置の実アドレスと仮想ネットワークにおける当該情報処理装置の仮想アドレスとの対応関係を表す第１の対応情報を記憶した第１の記憶手段を参照して、前記拠点内の情報処理装置と前記拠点外の情報処理装置との間の伝送情報のアドレス変換を行うステップと、
前記拠点内の情報処理装置の名前と実アドレスとの対応関係を表す第２の対応情報を記憶した第２の記憶手段から、前記第２の対応情報を取得するステップと、
前記第１の対応情報と前記第２の対応情報とに基づき、前記拠点内の情報処理装置の名前と仮想アドレスとの対応関係を表す第３の対応情報を作成するステップと、
前記仮想ネットワークを構成する他の拠点に対し、前記第３の対応情報を提供するステップと、
を実行させるためのプログラム。