JP4495049B2 - パケット通信サービスシステム、パケット通信サービス方法、エッジ側ゲートウェイ装置、およびセンタ側ゲートウェイ装置 - Google Patents

Description

本発明は、パケット通信技術に関し、特に各クライアント端末に対し、当該クライアント端末のＩＰアドレスに対応する通信経路を用いた、異なるサービス種別のパケット通信サービスを提供するパケット通信制御技術に関する。

パケット通信サービスシステムとして、各クライアント端末に対して当該クライアント端末のＩＰアドレスに対応する通信経路を用いたパケット通信サービスをそれぞれ提供するシステムがある。
従来、このようなパケット通信サービスシステムでは、図１５に示すように、サービス種別数と１対１に対応したエッジ側ゲートウェイ装置を用いて複数のサービスを提供するシステム構成をとっていた。図１５は、従来のパケット通信サービスシステムの構成を示すブロック図である。

図１５において、クライアント端末ａはエッジ側ゲートウェイ装置αに接続し、エッジ側ゲートウェイ装置αを介して公衆ネットワークに接続する。クライアント端末ａがＤＨＣＰ手順を用いて動的なＩＰアドレス割り当てを受ける場合には、エッジ側ゲートウェイ装置αからＩＰアドレス割り当てを行う。
クライアント端末ｂはエッジ側ゲートウェイ装置βに接続し、ＶＰＮ(Virtual Private Network)を経由してセンタ側ゲートウェイ装置を介してネットワークに接続する。クライアント端末ｂがＤＨＣＰ(Dynamic Host Configuration Protocol)手順を用いて動的なＩＰアドレス割り当てを受ける場合には、エッジ側ゲートウェイ装置βからＩＰアドレス割り当てを行う。

このようなシステム構成を用いることによって、同一の拠点にあるクライアント端末ａとクライアント端末ｂに対して、これらクライアント端末のサービス種別に応じた通信経路を用いて、パケット通信サービスを提供するものとなっていた。

http://www.furukawa.co.jp/fitelnet/f/nat-traversal_ff.html、「NAT-Traversalの構成」、古河電気工業株式会社 http://www.furukawa.co.jp/fitelnet/f/case1.html、「FITELnet-F40−事例紹介／事例１」、古河電気工業株式会社 http://www.furukawa.co.jp/fitelnet/f/case2.html、「FITELnet-F40−事例紹介／事例２」、古河電気工業株式会社

しかしながら、このような従来技術では、各クライアント端末に対して提供するサービス種別ごとにそれぞれ固有のエッジ側ゲートウェイ装置を必要とするため、効率よくシステムを構成することができないという問題点があった。
例えば、同一拠点のクライアント端末であっても提供するサービス種別が異なる場合には、それぞれのサービス種別に応じたエッジ側ゲートウェイ装置を複数用意する必要があり、システムのハードウェア資源が増大する。

また、クライアント端末に割り当てるＩＰアドレスをエッジ側ゲートウェイ装置ごとに設定する必要があるため、ＩＰサブネットをエッジ側ゲートウェイ装置ごとに設定する必要があり、ＩＰアドレスの利用に無駄が生じ、ネットワーク資源を有効利用できない。
本発明はこのような課題を解決するためのものであり、サービス種別に応じた通信経路を用いて各種のパケット通信サービスを提供する際、ハードウェア資源やネットワーク資源を有効に利用できるパケット通信サービスシステム、方法、エッジ側ゲートウェイ装置、およびセンタ側ゲートウェイ装置を提供することを目的としている。

このような目的を達成するために、本発明にかかるパケット通信サービスシステムは、各クライアント端末に対し、当該クライアント端末のＩＰアドレスに対応する通信経路を用いた、異なるサービス種別のパケット通信サービスをそれぞれ提供するパケット通信サービスシステムであって、第１のＩＰネットワークに接続された１つ以上のエッジ側ゲートウェイ装置と、第１のＩＰネットワークおよび第２のＩＰネットワークに接続されたセンタ側ゲートウェイ装置とを備え、エッジ側ゲートウェイ装置は、クライアント端末を接続する端末接続手段と、第１のＩＰネットワークを介してセンタ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御手段と、第１のサービス種別に応じたＩＰアドレスを持つ第１のクライアント端末と第１のＩＰネットワークに接続された任意のホスト装置との間でパケットを相互に転送するとともに、第２のサービス種別に応じたＩＰアドレスを持つ第２のクライアント端末とセンタ側ゲートウェイ装置との間でＶＰＮを介してパケットを相互に転送するパケット転送手段とを有し、センタ側ゲートウェイ装置は、第１のＩＰネットワークを介してエッジ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御手段と、第２のクライアント端末で送受信されるパケットをエッジ側ゲートウェイ装置と第２のＩＰネットワークに接続された任意のホスト装置との間でＶＰＮを介して相互に転送するパケット転送手段とを有している。

また、本発明にかかるパケット通信サービス方法は、第１のＩＰネットワークに接続された１つ以上のエッジ側ゲートウェイ装置と、第１のＩＰネットワークおよび第２のＩＰネットワークに接続されたセンタ側ゲートウェイ装置とを備えるパケット通信サービスシステムで、各クライアント端末に対し、当該クライアント端末のＩＰアドレスに対応する通信経路を用いた、異なるサービス種別のパケット通信サービスをそれぞれ提供する際に用いられるパケット通信サービス方法であって、エッジ側ゲートウェイ装置は、クライアント端末を接続する端末接続ステップと、第１のＩＰネットワークを介してセンタ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御ステップと、第１のサービス種別に応じたＩＰアドレスを持つ第１のクライアント端末と第１のＩＰネットワークに接続された任意のホスト装置との間でパケットを相互に転送するとともに、第２のサービス種別に応じたＩＰアドレスを持つ第２のクライアント端末とセンタ側ゲートウェイ装置との間でＶＰＮを介してパケットを相互に転送するパケット転送ステップとを有し、センタ側ゲートウェイ装置は、第１のＩＰネットワークを介してエッジ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御ステップと、第２のクライアント端末で送受信されるパケットをエッジ側ゲートウェイ装置と第２のＩＰネットワークに接続された任意のホスト装置との間でＶＰＮを介して相互に転送するパケット転送ステップとを有している。

また、本発明にかかるエッジ側ゲートウェイ装置は、第１のＩＰネットワークに接続された１つ以上のエッジ側ゲートウェイ装置と、第１のＩＰネットワークおよび第２のＩＰネットワークに接続されるセンタ側ゲートウェイ装置とを備え、各クライアント端末に対し、当該クライアント端末のＩＰアドレスに対応する通信経路を用いた異なるサービス種別のパケット通信サービスをそれぞれ提供するパケット通信サービスシステムで用いられるエッジ側ゲートウェイ装置であって、クライアント端末を接続する端末接続手段と、第１のＩＰネットワークを介してセンタ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御手段と、第１のサービス種別に応じたＩＰアドレスを持つ第１のクライアント端末と第１のＩＰネットワークに接続された任意のホスト装置との間でパケットを相互に転送することにより両者間のパケット通信を実現するとともに、第２のサービス種別に応じたＩＰアドレスを持つ第２のクライアント端末とセンタ側ゲートウェイ装置との間でＶＰＮを介してパケットを相互に転送することにより当該クライアント端末と第２のＩＰネットワークに接続された任意のホスト装置との間のパケット通信を実現するパケット転送手段とを備えている。

また、本発明の他のエッジ側ゲートウェイ装置は、第１のＩＰネットワークに接続された１つ以上のエッジ側ゲートウェイ装置と、前記第１のＩＰネットワークおよび第２のＩＰネットワークに接続されるセンタ側ゲートウェイ装置とを備えるパケット通信サービスシステムにより、各クライアント端末に対し、当該クライアント端末のＩＰアドレスに基づいて前記第１のＩＰネットワークもしくは前記第２のＩＰネットワークへの接続を可能とするエッジ側ゲートウェイ装置であって、前記クライアント端末から前記第２のＩＰネットワークに対応するサービス識別子を受信した場合には、第２のＩＰネットワークに接続するためのＩＰアドレス要求を前記センタ側ゲートウェイ装置に転送するアドレス要求転送手段と、前記クライアント端末が前記第２のＩＰネットワーク上の任意のホスト装置と通信接続する場合に、前記第１のＩＰネットワークを介して前記センタ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御手段とを備えている。

この際、パケット転送手段で、第２のクライアント端末からのＩＰアドレス割当要求をＶＰＮを介してセンタ側ゲートウェイ装置に転送するとともに、ＶＰＮを介したセンタ側ゲートウェイ装置からのＩＰアドレス割当応答を当該クライアント端末に転送し、第１のクライアント端末からのＩＰアドレス割当要求に対してＩＰアドレスの割り当てを行うＩＰアドレス割当手段と、センタ側ゲートウェイ装置と連携して第２のクライアント端末で送受信されるＩＰアドレスのパケットに対して任意のフィルタリング処理を行うフィルタ処理手段とをさらに設けてもよい。

また、ＶＰＮ制御手段で、第１のＩＰネットワークとパケット通信が可能な状態になった場合、または当該パケット通信に用いるＩＰアドレスが変更になった場合、第１のＩＰネットワークとのパケット通信に用いる新たなＩＰアドレスを用いたＶＰＮ構築をセンタ側ゲートウェイ装置に要求するようにしてもよい。

また、本発明にかかるセンタ側ゲートウェイ装置は、第１のＩＰネットワークに接続された１つ以上のエッジ側ゲートウェイ装置と、第１のＩＰネットワークおよび第２のＩＰネットワークに接続されるセンタ側ゲートウェイ装置とを備え、各クライアント端末に対し、当該クライアント端末のＩＰアドレスに対応する通信経路を用いた異なるサービス種別のパケット通信サービスをそれぞれ提供するパケット通信サービスシステムで用いられるセンタ側ゲートウェイ装置であって、第１のサービス種別に応じたＩＰアドレスを持つ第１のクライアント端末と第１のＩＰネットワークに接続された任意のホスト装置との間のパケット通信を実現するエッジ側ゲートウェイ装置との間で第１のＩＰネットワークを介してＶＰＮを構築するＶＰＮ制御手段と、第２のサービス種別に応じたＩＰアドレスを持つ第２のクライアント端末で送受信されるパケットをエッジ側ゲートウェイ装置と第２のＩＰネットワークに接続された任意のホスト装置との間でＶＰＮを介して相互に転送するパケット転送手段とを備えている。

この際、パケット転送手段で、エッジ側ゲートウェイ装置により転送された第２のクライアント端末からのＩＰアドレス割当要求をＩＰアドレス割当装置に転送するとともに、ＩＰアドレス割当装置からの第２のクライアント端末に対するＩＰアドレス割当応答をエッジ側ゲートウェイ装置へ転送し、クライアント端末に対する認証を行う認証処理手段と、認証の結果に応じて第２のクライアント端末で送受信されるパケットに対して任意のフィルタリング処理を行うフィルタ処理手段と、認証の結果に応じてエッジ側ゲートウェイ装置でのフィルタリング処理を制御するフィルタ制御手段とをさらに設けてもよい。

また、ＶＰＮ制御手段で、エッジ側ゲートウェイ装置からのＶＰＮ構築要求に応じて、エッジ側ゲートウェイ装置から通知された新たなＩＰアドレスを用いて、エッジ側ゲートウェイ装置１とのＶＰＮを構築するようにしてもよい。

本発明によれば、同一エッジ側ゲートウェイ装置に接続されているクライアント端末について、第１のサービス種別に応じたＩＰアドレスを持つクライアント端末については、第１のＩＰネットワークを介したパケット通信サービスを提供でき、第２のサービス種別に応じたＩＰアドレスを持つクライアント端末については、エッジ側ゲートウェイ装置とセンタ側ゲートウェイ装置との間のＶＰＮおよび第２のＩＰネットワークを介したパケット通信サービスを提供できる。

したがって、サービス種別が異なるクライアント端末に対して、これらサービス種別に共通のエッジ側ゲートウェイ装置により、個別のパケット通信サービスを提供でき、サービス種別ごとにエッジ側ゲートウェイ装置を設ける場合と比較して、パケット通信サービスシステム全体のハードウェア資源を有効に利用できる。
また、同一拠点のクライアント端末を１つのエッジ側ゲートウェイ装置で収容でき、サービス種別ごとにエッジ側ゲートウェイ装置を用いる場合のようにＩＰサブネットを設定する必要がなくなってＩＰアドレスの利用に無駄がなく、ネットワーク資源を有効に利用できる。

また、本発明によれば、第２のクライアント端末からのＩＰアドレス割当要求がＶＰＮを介してセンタ側ゲートウェイ装置に転送されるとともに、ＶＰＮを介したセンタ側ゲートウェイ装置からのＩＰアドレス割当応答が当該クライアント端末に転送されるため、各拠点における第２のクライアント端末へのＩＰアドレス割当をセンタ側ゲートウェイ装置側で一元的に管理することが可能となる。
さらに、第２のクライアント端末に対する認証を行う認証処理手段、およびその認証結果に応じて第２のクライアント端末で送受信されるパケットに対して任意のフィルタリング処理を行うフィルタ処理手段をセンタ側ゲートウェイ装置が提供することで、各拠点における第２のクライアント端末に対して、認証およびネットワークへのアクセス管理をセンタ側ゲートウェイ装置側で一元的に管理することが可能となる。
これらのセンタ側ゲートウェイ装置側での一元管理機能により、例えば各拠点のエッジ側ゲートウェイ装置配下のクライアント端末に対して、インターネットへの公衆アクセス通信サービスを提供することが可能となる。

これにより、既存のパケット通信を拡張して別個の通信サービスを提供することも可能である。例えば店舗事業用パケット通信に用いている無線ＬＡＮ通信システムに、エッジ側ゲートウェイ装置やセンタ側ゲートウェイ装置を導入して、既存の店舗事業用パケット通信を第１のサービス種別として通常のインターネットアクセス通信サービスを提供する一方で、これとは別個の第２のサービス種別として、店舗に来店した一般客に対して認証を前提とした、ＶＰＮ経由での全拠点共通の公衆無線インターネットアクセスの通信サービスを提供でき、新規の通信システムを別個に導入することなく既存の通信システムの拡張による集客効果を期待できる。

次に、本発明の実施の形態について図面を参照して説明する。
［パケット通信サービスシステム］
まず、図１を参照して、本発明の本実施の形態にかかるパケット通信サービスシステムについて説明する。図１は、本実施の形態にかかるパケット通信サービスシステムの構成を示すブロック図である。

このパケット通信サービスシステムは、各クライアント端末に対して当該クライアント端末のＩＰアドレスに対応する通信経路を用いたパケット通信サービスをそれぞれ提供するシステムである。
このパケット通信サービスシステムには、ＩＰネットワーク（第１のＩＰネットワーク）９Ａに接続された１つ以上のエッジ側ゲートウェイ装置１と、ＩＰネットワーク９ＡおよびＩＰネットワーク（第２のＩＰネットワーク）９Ｂに接続されたセンタ側ゲートウェイ装置９Ｂとが設けられている。 また、センタ側ゲートウェイ装置２には、認証装置７とＩＰアドレス割当装置８が接続されている。

本実施の形態は、ＩＰネットワーク９Ａを介してエッジ側ゲートウェイ装置１とセンタ側ゲートウェイとの間でＶＰＮを構築し、エッジ側ゲートウェイ装置１において、第１のサービス種別に応じたＩＰアドレスを持つクライアント端末３ＡについてはＩＰネットワーク９Ａに接続された任意のホスト装置４Ａとの間でパケットを相互に転送するとともに、第２のサービス種別に応じたＩＰアドレスを持つクライアント端末３Ｂについてはセンタ側ゲートウェイ装置２との間でＶＰＮを介してパケットを相互に転送し、センタ側ゲートウェイ装置２において、クライアント端末３Ｂで送受信されるパケットについては、エッジ側ゲートウェイ装置１とＩＰネットワーク９Ｂに接続された任意のホスト装置４Ｂとの間でＶＰＮを介して相互に転送するようにしたものである。

次に、図１を参照して、パケット通信サービスシステムの構成について詳細に説明する。
以下では、クライアント端末３Ａ，３Ｂとして無線ＬＡＮクライアント端末を用い、エッジ側ゲートウェイ装置１に無線ＬＡＮ機能を内蔵している場合を例として説明する。また、エッジ側ゲートウェイ装置１とセンタ側ゲートウェイ装置２との間のＶＰＮとしてＩＰｓｅｃ(IP Security)を用いた場合を例として説明する。なお、ＩＰネットワーク９Ａ，９Ｂとしては、それぞれについてインターネットやイントラネットなど任意のＩＰネットワークを利用できる。

クライアント端末３Ａ，３Ｂとして無線ＬＡＮクライアント端末を用いた場合、エッジ側ゲートウェイ装置１においてクライアント端末３Ａ，３Ｂのサービス種別は、無線ＬＡＮで使用するＳＳＩＤ(Service Set Identifier)によって区別する。
本実施の形態では、ＳＳＩＤ：αを設定している無線ＬＡＮクライアント端末ａ（３Ａ：第１のサービス種別）に対して、エッジ側ゲートウェイ装置１を介して相手先ホスト装置Ａ（４Ａ）と通信を行い、ＳＳＩＤ：βを設定している無線ＬＡＮクライアント端末ｂ（３Ｂ：第２のサービス種別）がエッジ側ゲートウェイ装置１とセンタ側ゲートウェイ装置２間のＶＰＮを経由し、センタ側ゲートウェイ装置２を介して相手先ホスト端末Ｂ（４Ｂ）と通信を行うものとする。

エッジ側ゲートウェイ装置１は、ＡＤＳＬを介してＩＰネットワーク９Ａに接続する機能を有する。ＡＤＳＬの接続方式には複数あるが、本実施の形態ではエッジ側ゲートウェイ装置１がＰＰＰ(Point To Point Protocol)によりＢＡＳ(Broadband Access Server)に接続し、エッジ側ゲートウェイ装置１のＡＤＳＬ接続側のインターフェースにＢＡＳからＩＰアドレスが割り当てられるものとする。
エッジ側ゲートウェイ装置１がＢＡＳから割り当てられたＩＰアドレスについては、エッジ側ゲートウェイ装置１とＢＡＳ間のＰＰＰが切断された場合、切断前に利用していたＩＰアドレスと異なるＩＰアドレスが割り当てられることがあってもよい。

エッジ側ゲートウェイ装置１とセンタ側ゲートウェイ装置２との間のＶＰＮとしてＩＰｓｅｃを用いる。図２は、ＩＰｓｅｃのパケット構成例である。
無線ＬＡＮクライアント端末ｂ（３Ｂ）から送信された相手先ホスト端末Ｂ（４Ｂ）宛のパケットは、エッジ側ゲートウェイ装置１によりＩＰｓｅｃ化される。ここで、このパケット（元のパケット）がセンタ側ゲートウェイ装置２に送信されるパケットであることから、転送外側ＩＰヘッダにおいて、エッジ側ゲートウェイ装置１のセンタ側インターフェースのＩＰアドレスを送信元ＩＰアドレス、センタ側ゲートウェイ装置２のエッジ側インターフェースのＩＰアドレスを宛先ＩＰアドレスとし、元のＩＰヘッダは無線ＬＡＮクライアント端末ｂのＩＰアドレスを送信元ＩＰアドレスとし、相手先ホスト端末ＢのＩＰアドレスを宛先ＩＰアドレスとする。

一方、相手先ホスト端末Ｂから送信された無線ＬＡＮクライアント端末ｂ宛のパケットは、センタ側ゲートウェイ装置２によりＩＰｓｅｃ化される。ここで、このパケット（元のパケット）がエッジ側ゲートウェイ装置１に送信されるパケットであることから、転送外側ＩＰヘッダにおいて、センタ側ゲートウェイ装置２のエッジ側インターフェースのＩＰアドレスを送信元ＩＰアドレス、エッジ側ゲートウェイ装置１のセンタ側ＩＰアドレスを宛先ＩＰアドレスとし、元のＩＰヘッダは相手先ホスト端末のＩＰアドレスとする。

このようなシステム構成において、無線ＬＡＮクライアント端末ａ（３Ａ）を第１のサービス種別のクライアント端末とし、無線ＬＡＮクライアント端末ａから相手先ホスト端末Ａ（４Ａ）宛に送信されたパケットは、エッジ側ゲートウェイ装置１からＤＳＬＡＭ(Digital Subscriber Line Access Multiplexer)５およびＢＡＳ６とＩＰネットワーク９Ａを介して相手先ホスト端末Ａに送信され、また、相手先ホスト端末Ａから無線ＬＡＮクライアント端末ａに送信されたパケットは、前述とは逆方向にＩＰネットワーク９ＡからＢＡＳ６およびＤＳＬＡＭ５とエッジ側ゲートウェイ装置１を介して無線ＬＡＮクライアント端末ａに送信される。

一方、無線ＬＡＮクライアント端末ｂ（３Ｂ）を第２のサービス種別のクライアント端末とし、無線ＬＡＮクライアント端末ｂから相手先ホスト端末Ｂ（４Ｂ）宛に送信されたパケットは、エッジ側ゲートウェイ装置１とセンタ側ゲートウェイ装置２間のＩＰｓｅｃを経由し、さらにセンタ側ゲートウェイ装置２からＩＰネットワーク９Ｂを介して相手先ホスト端末Ｂに送信される。また、相手先ホスト端末Ｂから無線ＬＡＮクライアント端末ｂ宛に送信されたパケットは、ＩＰネットワーク９Ｂおよびセンタ側ゲートウェイ装置２を介し、さらにエッジ側ゲートウェイ装置１とセンタ側ゲートウェイ装置２間のＩＰｓｅｃを経由し、エッジ側ゲートウェイ装置１から無線ＬＡＮクライアント端末ｂに送信される。

［パケット通信サービスシステムの動作］
次に、図３および図４を参照して、本実施の形態にかかるパケット通信サービスシステムの動作について説明する。図３は、本実施の形態にかかるパケット通信サービスシステムの動作のうちエッジ側ゲートウェイ装置が接続されているインターネットのホスト装置と通信を開始する際の動作を示すシーケンス図である。図４は、本実施の形態にかかるパケット通信サービスシステムの動作のうちセンタ側ゲートウェイ装置が接続されているネットワークのホスト装置と通信を開始する際の動作を示すシーケンス図である。

なお、図３および図４において、無線ＬＡＮクライアント端末ａ，ｂがエッジ側ゲートウェイ装置１の内蔵無線ＬＡＮに帰属し、動作開始時点において、エッジ側ゲートウェイ装置１に対してすでにパケットを送信可能な状態にあるものとする。

まず、図３を参照して、第１のサービス種別である無線ＬＡＮクライアント端末ａ（３Ａ）が相手先ホスト装置Ａ（４Ａ）と通信を開始する場合の動作について説明する。
無線ＬＡＮクライアント端末ａは、エッジ側ゲートウェイ装置１に対し、ＤＨＣＰ手順に従ってＩＰアドレス割当を要求する（ステップ３００）。この要求を受信したエッジ側ゲートウェイ装置１は、無線ＬＡＮクライアント端末ａのＳＳＩＤにより第１のサービス種別を希望していることを認識し、無線ＬＡＮクライアント端末ａとＤＨＣＰ手順に従ってパケットをやり取りすることにより、当該エッジ側ゲートウェイ装置１にて割当可能なＩＰアドレスを、無線ＬＡＮクライアント端末ａに対しＤＨＣＰ手順に従って割り当てる（ステップ３０１−３０３）。

このようにしてＩＰアドレスの割当を受けた無線ＬＡＮクライアント端末ａは、そのＩＰアドレスを用いてエッジ側ゲートウェイ装置１を介して、ＩＰネットワーク９Ａに接続されている相手先ホスト装置Ａと通信を開始する（ステップ３０４）。
なお、ＤＨＣＰ手順については公知の技術であり、ここでの詳細な説明は省略する。

次に、図４を参照して、第２のサービス種別である無線ＬＡＮクライアント端末ｂ（３Ｂ）が相手先ホスト装置Ｂ（４Ｂ）と通信を開始する場合の動作について説明する。
なお、図４では、センタ側ゲートウェイ装置２における認証方式として、無線ＬＡＮクライアント端末がウェブブラウザを起動してセンタ側ゲートウェイ装置の認証画面にアクセスし、当該認証画面にＩＤとパスワードを投入することによって認証を行う方式を例として示す。無線ＬＡＮクライアント端末ｂに対する本システムの認証方式としては、無線ＬＡＮシステムに用いられる８０２．１Ｘ認証方式、あるいはその他の認証方式を用いてもよい。

無線ＬＡＮクライアント端末ｂは、エッジ側ゲートウェイ装置１に対し、ＤＨＣＰ手順に従ってＩＰアドレス割当を要求する（ステップ３１０）。この要求を受信したエッジ側ゲートウェイ装置は、無線ＬＡＮクライアント端末ｂのＳＳＩＤにより第２のサービス種別を希望していることを認識し、当該パケットをセンタ側ゲートウェイ装置に中継転送(Relay)する。
エッジ側ゲートウェイ装置１から中継転送されたパケットを受信したセンタ側ゲートウェイ装置２は、当該パケットを中継転送したエッジ側ゲートウェイ装置情報、および当該パケットから当該要求を行った無線ＬＡＮクライアント端末ｂの固有の識別情報（ＭＡＣアドレス）を取得し、当該パケットをＩＰアドレス割当装置８に中継転送する。

センタ側ゲートウェイ装置２から中継転送されたパケットを受信したＩＰアドレス割当装置８は、無線ＬＡＮクライアント端末ｂとＤＨＣＰ手順に従ってパケットをやり取りすることにより、当該ＩＰアドレス割当装置８にて割当可能なＩＰアドレスを無線ＬＡＮクライアント端末ｂに対して割り当て、割当応答パケットをセンタ側ゲートウェイ装置２に送信する（ステップ３１１−３１３）。
ＩＰアドレス割当装置８からＩＰアドレス割当応答を受信したセンタ側ゲートウェイ装置２は、当該パケットから無線ＬＡＮクライアント端末ｂに割り当てられるＩＰアドレス情報およびＭＡＣアドレス情報を取得し、エッジ側ゲートウェイ装置１に中継転送する。
センタ側ゲートウェイ装置２から中継転送されたパケットを受信したエッジ側ゲートウェイ装置１は、当該ＩＰアドレス割当応答を無線ＬＡＮクライアント端末ｂに送信する。

また、センタ側ゲートウェイ装置２は、ＩＰアドレス割当応答をエッジ側ゲートウェイ装置１に送信した際、無線ＬＡＮクライアント端末ｂに割り当てられたＩＰアドレスが、当該無線ＬＡＮクライアント端末ｂの存在するエッジ側ゲートウェイ装置１に存在するという情報に基づき、センタ側ゲートウェイ装置２のルーティング情報を更新する（ステップ３２０：ルーティング制御）。

同様に、センタ側ゲートウェイ装置２は、ＩＰアドレス割当応答をエッジ側ゲートウェイ装置１に送信した際、無線ＬＡＮクライアント端末ｂに割り当てられたＩＰアドレスが、無線ＬＡＮクライアント端末ｂが存在するエッジ側ゲートウェイ装置１に存在するという情報に基づき、センタ側ゲートウェイ装置２のＩＰｓｅｃ情報を更新する（ステップ３２１：ＩＰｓｅｃ制御）。

同様に、センタ側ゲートウェイ装置２は、ＩＰアドレス割当応答をエッジ側ゲートウェイ装置１に送信した際、無線ＬＡＮクライアント端末ｂに割り当てられたＩＰアドレスから認証要求を受信した場合に、当該認証要求がセンタ側ゲートウェイ装置２のフィルタに廃棄されることがないようフィルタ情報を更新する（ステップ３２２：フィルタ制御）。

この際、センタ側ゲートウェイ装置２は、センタ側ゲートウェイ装置２自身のフィルタ情報を更新したとき、無線ＬＡＮクライアント端末ｂが存在するエッジ側ゲートウェイ装置１に対してコマンドを送信し、無線ＬＡＮクライアント端末ｂに割り当てられたＩＰアドレスから認証要求をエッジ側ゲートウェイ装置１が受信した場合に、当該認証要求をエッジ側ゲートウェイ装置１がセンタ側ゲートウェイ装置２に転送するようフィルタ情報を更新する（ステップ３２５：フィルタ制御）。

一方、エッジ側ゲートウェイ装置１は、ＩＰアドレス割当応答を無線ＬＡＮクライアント端末ｂに送信した際、無線ＬＡＮクライアント端末ｂに割り当てられたＩＰアドレスが、エッジ側ゲートウェイ装置１に存在するという情報を、当該エッジ側ゲートウェイ装置のルーティング情報を更新する（ステップ３２３：ルーティング制御）。

同様に、エッジ側ゲートウェイ装置１は、ＩＰアドレス割当応答を無線ＬＡＮクライアント端末ｂに送信した際、無線ＬＡＮクライアント端末ｂに割り当てられたＩＰアドレスが、無線ＬＡＮクライアント端末ｂが存在するエッジ側ゲートウェイ装置１に存在するという情報を、エッジ側ゲートウェイ装置のＩＰｓｅｃ情報を更新する（ステップ３２４：ＩＰｓｅｃ制御）。

このようにしてＩＰアドレスの割当を完了した無線ＬＡＮクライアント端末ｂは、そのＩＰアドレスを用いてエッジ側ゲートウェイ装置１を介してセンタ側ゲートウェイ装置２へ認証画面を要求し（ステップ３３０）、センタ側ゲートウェイ装置２から認証画面を取得する（ステップ３３１）。次に、無線ＬＡＮクライアント端末ｂは、この認証画面にＩＤおよびパスワードを入力して認証要求を行う（ステップ３３２）。
この認証要求は、センタ側ゲートウェイ装置２を介して認証装置７へ転送され、無線ＬＡＮクライアント端末ｂは、認証装置７からの認証結果応答をセンタ側ゲートウェイ装置２を介して受信する（ステップ３３３）。

センタ側ゲートウェイ装置２は、認証成功を示す認証結果応答をエッジ側ゲートウェイ装置１に送信した際、無線ＬＡＮクライアント端末ｂに割り当てられたＩＰアドレスからのパケットを受信した場合に、当該パケットがセンタ側ゲートウェイ装置２のフィルタに廃棄されることがないようフィルタ情報を更新する（ステップ３３５：フィルタ制御）。

また、センタ側ゲートウェイ装置２は、センタ側ゲートウェイ装置２自身のフィルタ情報を更新したとき、無線ＬＡＮクライアント端末ｂが存在するエッジ側ゲートウェイ装置１に対してコマンドを送信し、無線ＬＡＮクライアント端末ｂに割り当てられたＩＰアドレスからのパケットをエッジ側ゲートウェイ装置１が受信した場合に、当該パケットをエッジ側ゲートウェイ装置１がセンタ側ゲートウェイ装置２に転送するようフィルタ情報を更新する（ステップ３３６：フィルタ制御）。

これにより、ＩＰアドレスの割当を受けた無線ＬＡＮクライアント端末ｂは、そのＩＰアドレスを用いてエッジ側ゲートウェイ装置１およびセンタ側ゲートウェイ装置２を介して、ＩＰネットワーク９Ｂに接続されている相手先ホスト装置Ｂと通信を開始する（ステップ３３７）。

［エッジ側ゲートウェイ装置］
次に、図５を参照して、本実施の形態にかかるパケット通信サービスシステムで用いられるエッジ側ゲートウェイ装置１について詳細に説明する。図５は、本実施の形態にかかるパケット通信サービスシステムで用いられるエッジ側ゲートウェイ装置の構成を示す機能ブロック図である。

エッジ側ゲートウェイ装置１には、主な機能部として、フィルタ制御部１００、ルーティング制御部１０１、ＩＰｓｅｃ制御部１０２、ＰＰＰ接続監視部１０３、ＰＰＰ接続処理部１０４、接続情報記憶部１０５、ＩＰアドレス割当処理部１０６、ＤＨＣＰ処理部１０７、ルーティング処理部１０８、センタ側ゲートウェイ連携処理部１０９、無線ＬＡＮ側インターフェース（以下、無線ＬＡＮ側Ｉ／Ｆという）１１０、パケット受信部１１１、フィルタ処理部１１２、無線ＬＡＮ制御部１１３、パケット送信部１１４、ＩＰｓｅｃ処理部１１５、パケット送信部１１６、センタ側インターフェース（以下、センタ側Ｉ／Ｆという）１２０、パケット受信部１２１、ＩＰｓｅｃ処理部１２２、フィルタ処理部１２３、無線ＬＡＮ制御部１２４が設けられている。

これら機能部は、専用の回路部や演算処理部、あるいは記憶装置からそれぞれ構成されている。特に、演算処理部は、ＣＰＵなどのマイクロプロセッサとその周辺回路を有し、これらハードウェア内のメモリや外部の記憶装置からプログラムを読み込んで実行することにより、上記ハードウェアとプログラムとを協働させて各機能部を実現する。

フィルタ制御部（フィルタ処理手段）１００は、予め定められたフィルタのポリシーに従ってフィルタ処理部１１２，１２３のフィルタポリシーを制御する機能と、センタ側ゲートウェイ装置２から指示を受けたフィルタのポリシーに従ってフィルタ処理部１１２，１２３のフィルタポリシーを動的に制御する機能と、ＩＰｓｅｃ制御部１０２からの通知に従ってフィルタ処理部１１２，１２３のフィルタポリシーを動的に制御する機能とを有している。

また、フィルタ制御部１００は、フィルタ処理部１１２，１２３を制御することにより、無線ＬＡＮクライアント端末ａ（３Ａ）、無線ＬＡＮクライアント端末ｂ（３Ｂ）、相手先ホスト装置Ａ（４Ａ）、相手先ホスト装置Ｂ（４Ｂ）、センタ側ゲートウェイ装置を送信元とするパケット、あるいは上記各装置を送信先とするパケットの当該エッジ側ゲートウェイ装置１を介した通信を許可してパケットを転送する機能と、当該エッジ側ゲートウェイ装置１にて予め定めるポリシーに従ってパケットに対して情報の変更や加工を行う機能と、当該エッジ側ゲートウェイ装置１を介した通信を不許可としてパケットを廃棄する機能とを有している。

ルーティング制御部（パケット転送手段）１０１は、ルーティング処理部１０８に対してルーティングのポリシーを制御する機能と、ルーティング処理部１０８に対して予め定められたポリシーに従った制御を行う機能と、無線ＬＡＮクライアント端末が新規にＩＰアドレス割当を受けた場合に新規にルーティングのポリシーを変更する動的な制御を行う機能と、無線ＬＡＮクライアント端末のＩＰアドレスが変更になった場合にルーティングのポリシーを変更する動的な制御を行う機能と、無線ＬＡＮクライアント端末がＩＰアドレスを開放してエッジ側ゲートウェイ装置１に接続できない状態になった場合にルーティングのポリシーを変更する動的な制御を行う機能と、ＩＰｓｅｃ制御部１０２から通知を受けてルーティングのポリシーを変更する動的な制御を行う機能とを有している。

ＩＰｓｅｃ制御部（ＶＰＮ制御手段）１０２は、接続情報記憶部１０５からエッジ側ゲートウェイ装置１のＩＰｓｅｃポリシー情報を取得し、このＩＰｓｅｃポリシーに従ってＩＰｓｅｃ処理部１１５，１２２がＩＰｓｅｃによるカプセル化処理やデカプセル化処理を行うよう制御する機能を有している。これにより、センタ側ゲートウェイ装置２との間でＶＰＮが構築される。

また、ＩＰｓｅｃ制御部１０２は、ＰＰＰ接続監視部１０３と連携し、ＰＰＰ接続監視部１０３からＡＤＳＬへの接続状態に関する情報を受けてＩＰｓｅｃ処理部１１５，１２２を動的に制御する機能を有している。特に、ＰＰＰ接続監視部１０３から当該エッジ側ゲートウェイ装置１がセンタ側ゲートウェイ装置２と通信可能な状態になったという通知を受けた場合、あるいは当該エッジ側ゲートウェイ装置１のセンタ側Ｉ／Ｆ１２０のｌＰアドレス情報が変更しという通知を受けた場合、これらの情報に従ってＩＰｓｅｃ処理部１１５，１２２を制御する。これにより、センタ側ゲートウェイ装置２との間のＶＰＮが再構築される。

本発明の実施の形態では、無線ＬＡＮクライアント端末ａ、無線ＬＡＮクライアント端末ｂという２種類の異なるサービス種別のユーザが、それぞれＳＳＩＤ：αとＳＳＩＤ：βという異なるＳＳＩＤを用いて接続するものとする。

ＳＳＩＤ：αを用いて無線ＬＡＮクライアント端末ａ（３Ａ）に適用される無線ＬＡＮの設定は、エッジ側ゲートウェイ装置１に予め設定された初期値、あるいは無線ＬＡＮクライアント端末ａおよび無線ＬＡＮクライアント端末ａと同様のサービス種別のクライアント端末によって制御された値が設定される。
無線ＬＡＮ制御部１１３は、エッジ側ゲートウェイ装置１に予め設定された初期値、あるいは無線ＬＡＮクライアント端末ａおよび無線ＬＡＮクライアント端末ａと同様のサービス種別のクライアント端末によって制御された値を無線ＬＡＮ側Ｉ／Ｆ１１０に設定する。

一方、ＳＳＩＤ：βを用いて無線ＬＡＮクライアント端末ｂ（３Ｂ）に適用される無線ＬＡＮの設定は、エッジ側ゲートウェイ装置１に予め設定された初期値、あるいは当該初期値を変更する場合にはセンタ側ゲートウェイ装置２から制御された値が設定される。無線ＬＡＮ制御部１２４は、エッジ側ゲートウェイ装置１に予め設定された初期値、あるいはセンタ側ゲートウェイ装置によって制御された値を無線ＬＡＮ側Ｉ／Ｆ１１０に設定する。

図６は、エッジ側ゲートウェイ装置１の接続情報記憶部１０５で記憶する情報例である。ここでは、ＩＰｓｅｃの方式として事前共有秘密鍵を用い、ＸＡＵＴＨ認証を行う場合が例として示されている。

［エッジ側ゲートウェイ装置の動作］
次に、図７を参照して、エッジ側ゲートウェイ装置１の動作のうち、無線ＬＡＮ側Ｉ／Ｆ１１０にてパケットを受信した場合の動作について説明する。図７は、エッジ側ゲートウェイ装置の動作として無線ＬＡＮ側Ｉ／Ｆにてパケットを受信した場合の動作を示す処理フローである。

パケット受信部１１１は、異なるサービス種別のクライアント端末ａ，ｂから送信されるパケットを無線ＬＡＮ側Ｉ／Ｆ（端末接続手段）１１０を介して受信し、フィルタ処理部１１２に引き渡す。
フィルタ処理部１１２は、パケット受信部１１１から受け取ったパケットに基づいてその送信元クライアント端末が、ＳＳＩＤ：α、ＳＳＩＤ：βのいずれのＳＳＩＤにて受信したクライアント端末であるかを判別する。

ここで、ＳＳＩＤ：αにてクライアント端末ａから送信されたパケットである場合（第１のサービス種別）、当該パケットがＩＰアドレスの割当を要求するパケットである場合には当該パケットをＩＰアドレス割当処理部１０６に引き渡し、相手先ホスト装置Ａを宛先とするパケットである場合にはルーティング処理部１０８に引き渡す。
あるいは、ＳＳＩＤ：αにてクライアント端末ａから送信されたパケットである場合（第１のサービス種別）、当該パケットがＳＳＩＤ：αの無線ＬＡＮの設定を制御するパケットである場合には、無線ＬＡＮ制御部１１３に引き渡す。

一方、ＳＳＩＤ：βにてクライアント端末ｂから送信されたパケットである場合（第２のサービス種別）、当該パケットがＤＨＣＰパケットである場合にはＤＨＣＰ処理部１０７に引き渡し、ＤＨＣＰパケット以外のパケットの場合には当該クライアント端末ｂの条件に合致するフィルタ条件を検索し、当該クライアント端末ｂを送信元とするパケットの送信が許可されている場合にはルーティング処理部１０８に引き渡し、当該クライアント端末ｂを送信元とするパケットの送信が許可されていない場合にはパケットを廃棄する。

ＩＰアドレス割当処理部（ＩＰアドレス割当手段）１０６は、フィルタ処理部１１２からＩＰアドレス割当要求を受け取った際、当該クライアント端末ａへのＩＰアドレスが未割当の場合、ＩＰアドレス割当処理部１０６にて割当可能なＩＰアドレスを当該クライアント端末ａに割り当てるための処理を行い、当該クライアント端末ａへのＩＰアドレス割当応答をルーティング処理部１０８に引き渡す。

ＤＨＣＰ処理部１０７は、フィルタ処理部１１２からＤＨＣＰパケットを受け取った際、当該ＤＨＣＰパケットの宛先がセンタ側ゲートウェイ装置２ではない場合は宛先をセンタ側ゲートウェイ装置２のＩＰアドレスに変更し、エッジ側ゲートウェイ装置１にてリレーしたことを示す情報をパケット内に挿入した後、ルーティング処理部１０８に引き渡す。また、ＤＨＣＰ処理部１０７は、フィルタ処理部１１２からＤＨＣＰパケットを受け取った際、当該ＤＨＣＰパケットの宛先がセンタ側ゲートウェイ装置２の場合は、ルーティング処理部１０８に引き渡す。

ルーティング処理部（パケット転送手段）１０８は、フィルタ処理部１１２、ＩＰアドレス割当処理部１０６、またはＤＨＣＰ処理部１０７からパケットを受け取った際、当該パケットの宛先に応じて無線ＬＡＮ側Ｉ／Ｆ１１０のパケット送信部１１４、あるいはセンタ側Ｉ／Ｆ１２０のＩＰｓｅｃ処理部１１５に引き渡す。

ＩＰｓｅｃ処理部（パケット転送手段）１１５は、ルーティング処理部１０８からパケットを受け取った際、当該パケットの宛先ＩＰアドレスがセンタ側ゲートウェイ装置２の場合、あるいは当該パケットの送信元ＩＰアドレスが無線ＬＡＮクライアント端末ｂの場合、当該パケットはＩＰｓｅｃによるカプセル化を要するパケットであると判別し、前述した図２のようにパケットをカプセル化し、パケット送信部１１６に引き渡す。また、当該パケットの送信元ＩＰアドレスが無線ＬＡＮクライアント端末ａの場合、当該パケットを加工することなくパケット送信部１１６に引き渡す。

パケット送信部１１６は、ＩＰｓｅｃ処理部１１５から受け取ったパケットに対して送信処理を行い、センタ側Ｉ／Ｆ１２０からＩＰネットワーク９Ａに対して当該パケットを送信する。

次に、図８を参照して、エッジ側ゲートウェイ装置１の動作のうち、センタ側Ｉ／Ｆ１２０にてパケットを受信した場合の動作について説明する。図８は、エッジ側ゲートウェイ装置の動作としてセンタ側Ｉ／Ｆ１２０にてパケットを受信した場合の動作を示す処理フローである。

パケット受信部１２１は、センタ側Ｉ／Ｆ１２０を介して受信したパケットをＩＰｓｅｃ処理部１２２に引き渡す。
ＩＰｓｅｃ処理部１２２は、パケット受信部１２２からパケットを受け取った際、当該パケットが図２に示すようなカプセル化されているか、あるいはカプセル化されていないパケットが判別する。ここで、カプセル化されているパケットの場合、図２に示すようなカプセル化されたパケットをデカプセル化してフィルタ処理部１２３に引き渡す。また、カプセル化されていないパケットの場合、そのままフィルタ処理部１２３に引き渡す。

フィルタ処理部（フィルタ処理手段）１２３は、ＩＰｓｅｃ処理部１２２から受け取ったパケットについて判別を行う。
ここで、当該パケットの送信元ＩＰアドレスがセンタ側ゲートウェイ装置２の場合、当該パケットをセンタ側ゲートウェイ連携処理部１０９に引き渡し、当該パケットが無線ＬＡＮクライアント端末ｂに対してＩＰアドレス割当を行うためのＤＨＣＰパケットである場合、ＤＨＣＰ処理部１０７に引き渡す。
また、当該パケットの宛先ＩＰアドレスが無線ＬＡＮクライアント端末ｂのパケットの場合、無線ＬＡＮクライアント端末ｂがすでに認証済みで無線ＬＡＮクライアント端末ｂを宛先とするパケットの通信が許可されている場合にはルーティング処理部１０８に引き渡す。上記いずれの条件にも合致しないパケットは廃棄される。

センタ側ゲートウェイ連携処理部１０９は、センタ側ゲートウェイ装置２からエッジ側ゲートウェイ装置１へのコマンド情報を、受信したパケットから取得する。取得した当該コマンド情報に基づき、フィルタ制御部１００あるいは無線ＬＡＮ制御部１２４に制御情報を送る。

ＤＨＣＰ処理部１０７は、センタ側ゲートウェイ装置２からエッジ側ゲートウェイ装置１に転送されたＤＨＣＰパケットを、無線ＬＡＮクライアント端末ｂに割り当てる形式のパケットに変換し、ルーティング処理部１０８に引き渡す。

ルーティング処理部１０８は、フィルタ処理部１２３やＤＨＣＰ処理部１０７からパケットを受け取り、パケットの宛先に応じてパケット送信部１１４に引き渡す。
パケット送信部１１４は、ルーティング処理部１０８から受け取ったパケットに対して送信処理を行い、無線ＬＡＮ側Ｉ／Ｆ１１０から無線ＬＡＮクライアント端末ａ，ｂに対して当該パケットを送信する。

［センタ側ゲートウェイ装置］
次に、図９を参照して、本実施の形態にかかるパケット通信サービスシステムで用いられるセンタ側ゲートウェイ装置２について詳細に説明する。図９は、本実施の形態にかかるパケット通信サービスシステムで用いられるセンタ側ゲートウェイ装置の構成を示す機能ブロック図である。

センタ側ゲートウェイ装置２には、主な機能部として、フィルタ制御部２００、ルーティング制御部２０１、ＩＰｓｅｃ制御部２０２、クライアント情報記憶部２０４、接続情報記憶部２０５、認証処理部２０６、ＤＨＣＰ処理部２０７、ルーティング処理部２０８、エッジ側インターフェース（以下、エッジ側Ｉ／Ｆという）２１０、パケット受信部２１１、ＩＰｓｅｃ処理部２１２、フィルタ処理部２１３、ＩＰｓｅｃ処理部２１４、パケット送信部２１５〜２１７、ネットワーク側インターフェース（以下、ネットワーク側Ｉ／Ｆという）２２０、パケット受信部２２１、フィルタ処理部２２２、ＤＨＣＰ／認証サーバ側インターフェース（以下、ＤＨＣＰ／認証サーバ側Ｉ／Ｆという）２３０、パケット受信部２３１、フィルタ処理部２３２が設けられている。

これら機能部は、専用の回路部や演算処理部、あるいは記憶装置からそれぞれ構成されている。特に、演算処理部は、ＣＰＵなどのマイクロプロセッサとその周辺回路を有し、これらハードウェア内のメモリや外部の記憶装置からプログラムを読み込んで実行することにより、上記ハードウェアとプログラムとを協働させて各機能部を実現する。

フィルタ制御部２００は、予め定められたフィルタのポリシーに従って、フィルタ処理部２１３，２２２，２３２に対してフィルタのポリシーを制御する機能と、クライアント端末ヘのＩＰアドレス割当やユーザ認証に従ってフィルタ処理部のフィルタポリシーを動的に制御する機能とを有している。

また、フィルタ制御部２００は、フィルタ処理部２１３，２２２，２３２を制御することにより、エッジ側ゲートウェイ装置１、無線ＬＡＮクライアント端末ｂを送信元あるいは送信先とするパケットに対して当該センタ側ゲートウェイ装置２を介した通信を許可してパケットを転送する機能と、当該センタ側ゲートウェイ装置２にて予め定めるポリシーに従ってパケットに対して情報の変更や加工を行う機能と、当該センタ側ゲートウェイ装置２を介した通信を不許可としてパケットを廃棄する機能とを有している。

ルーティング制御部（パケット転送手段）２０１は、ルーティング処理部２０８に対してルーティングのポリシーを制御する機能と、ルーティング処理部２０８に対して予め定められたポリシーに従った制御を行う機能と、無線ＬＡＮクライアント端末が新規にＩＰアドレス割当を受けた場合に新規にルーティングのポリシーを変更する動的な制御を行う機能と、無線ＬＡＮクライアント端末のＩＰアドレスが変更になった場合にルーティングのポリシーを変更する動的な制御を行う機能と、無線ＬＡＮクライアント端末がＩＰアドレスを開放して当該エッジ側ゲートウェイ装置１に接続できない状態になった場合にルーティングのポリシーを変更する動的な制御を行う機能と、ＩＰｓｅｃ制御部２０２から通知を受けてルーティングのポリシーを変更する動的な制御を行う機能とを有している。

ＩＰｓｅｃ制御部（ＶＰＮ制御手段）２０２は、接続情報記憶部２０５からエッジ側ゲートウェイ装置１のＩＰｓｅｃポリシー情報を取得し、当該ＩＰｓｅｃポリシーに従ってＩＰｓｅｃ処理部２１２，２１４がＩＰｓｅｃによるカプセル化やデカプセル化処理を行うよう制御する機能を有している。これによりエッジ側ゲートウェイ装置１との間でＶＰＮが構築／再構築される。

図１０は、センタ側ゲートウェイ装置２の接続情報記憶部２０５で記憶する情報例である。ここでは、ＩＰｓｅｃの方式として事前共有秘密鍵を用い、ＸＡＵＴＨ認証を行う場合が例として示されている。図１１は、センタ側ゲートウェイ装置２のクライアント情報記憶部２０４で記憶する情報例である。

［センタ側ゲートウェイ装置の動作］
次に、図１２を参照して、センタ側ゲートウェイ装置２の動作のうち、エッジ側Ｉ／Ｆ２１０にてパケットを受信した場合の動作について説明する。図１２は、センタ側ゲートウェイ装置の動作としてエッジ側Ｉ／Ｆにてパケットを受信した場合の動作を示す処理フローである。

パケット受信部２１１は、エッジ側Ｉ／Ｆ２１０を介して受信したパケットをＩＰｓｅｃ処理部２１２に引き渡す。
ＩＰｓｅｃ処理部２１２は、パケット受信部２１１から受け取ったパケットが、図２に示すようなカプセル化されているか、あるいはカプセル化されていないパケットが判別する。ここで、当該パケットがカプセル化されている場合、図２に示すようなカプセル化されたパケットをデカプセル化し、フィルタ処理部２１３に引き渡す。また、当該パケットがカプセル化されていない場合、そのままフィルタ処理部２１３に引き渡す。

フィルタ処理部２１３は、当該フィルタ処理部２１３のポリシーに従ってパケットの判別を行い、ＤＨＣＰ処理部２０７への引き渡し、認証処理部２０６への引き渡し、ルーティング処理部２０８への引き渡し、パケットの廃棄のいずれかの処理を行う。
まず、当該パケットがＤＨＣＰパケットである場合にはＤＨＣＰ処理部２０７に引き渡す。

また、当該パケットがＤＨＣＰパケット以外のパケットの場合には当該パケットの条件に合致する次のフィルタ条件を検索する。
すなわち、当該パケットの送信元ＩＰアドレスが、当該センタ側ゲートウェイ装置２と接続するＩＰアドレス割当装置８からＩＰアドレスの割当を受けているＩＰアドレスであり、認証画面要求あるいは認証要求のパケットである場合、当該パケットを認証処理部２０７に引き渡す。

ここで、第二の条件に合致しないパケットの場合には当該パケットの条件に合致する次のフィルタ条件を検索する。
すなわち、当該パケットの送信元ＩＰアドレスが、当該センタ側ゲートウェイ装置２にて認証済みのクライアント端末のＩＰアドレスの場合、当該パケットをルーティング処理部２０８に引き渡す。
フィルタ処理部２１３は、この第三の条件に合致しないパケットの場合にはパケットの廃棄を行う。

ＤＨＣＰ処理部２０７は、フィルタ処理部２１３からパケットを受け取り、当該パケットを送信した無線ＬＡＮクライアントｂの固有の識別情報（ＭＡＣアドレス情報）をクライアント情報記憶部２０４に記録した後、ルーティング処理部２０８に引き渡す。

認証処理部２０６は、フィルタ処理部２１３からパケットを受け取り、当該パケットが無線ＬＡＮクライアント端末ｂから送信された認証画面要求の場合、認証画面処理部２０９から認証画面情報を取得し、当該認証画面情報を無線ＬＡＮクライアント端末ｂに送信するためのパケットを生成してルーティング処理部２０８に引き渡す。また、当該パケットが無線ＬＡＮクライアント端末ｂから送信された認証要求の場合、当該無線ＬＡＮクライアント端末ｂのＩＰアドレス情報、ＩＤ情報を取得し、クライアント情報記憶部２０４に記録した後、ルーティング処理部２０８に引き渡す。

ルーティング処理部（パケット転送手段）２０８は、フィルタ処理部２１３、ＤＨＣＰ処理部２０７、認証処理部２０６からパケットを受け取った際、当該パケットの送信先ＩＰアドレス情報から、エッジ側Ｉ／Ｆ２１０のＩＰｓｅｃ処理部２１４、ネットワーク側Ｉ／Ｆ２２０のパケット送信部２１６、ＤＨＣＰ／認証サーバ側Ｉ／Ｆ２３０のパケット送信部２１７に振り分け、パケットの引き渡しを行う。

パケット送信部２１６は、ルーティング処理部２０８から受け取ったパケットに対して送信処理を行い、ネットワーク側Ｉ／Ｆ２２０からＩＰネットワーク９Ｂに対して当該パケットを送信する。

次に、図１３を参照して、センタ側ゲートウェイ装置２の動作のうち、ネットワーク側Ｉ／Ｆ２２０にてパケットを受信した場合の動作について説明する。図１３は、センタ側ゲートウェイ装置の動作としてネットワーク側Ｉ／Ｆにてパケットを受信した場合の動作を示す処理フローである。

パケット受信部２２１は、ネットワーク側Ｉ／Ｆ２２０を介して受信したパケットをフィルタ処理部２２２に引き渡す。

フィルタ処理部２２２は、当該フィルタ処理部２２２のポリシーに従ってパケットの判別を行い、ルーティング処理部２０８への引き渡し、パケットの廃棄のいずれかの処理を行う。ここで、当該パケットの送信先ＩＰアドレスが、センタ側ゲートウェイ装置２にて認証済みのクライアント端末のＩＰアドレスの場合、当該パケットをルーティング処理部２０８に引き渡す。また、条件に合致しないパケットの場合には当該パケットの廃棄を行う。

ルーティング処理部２０８は、フィルタ処理部２２２からパケットを受け取り、ＩＰｓｅｃ処理部２１４に引き渡す。
ＩＰｓｅｃ処理部２１４は、ルーティング処理部２０８からパケットを受け取った際、当該パケットの送信先ＩＰアドレスに対応したカプセル化ポリシーを検索し、当該パケットのカプセル化ポリシーを検出できた場合、当該ポリシーに従って図２に示すようにパケットをカプセル化してパケット送信部２１５に引き渡し、当該パケットのカプセル化ポリシーを検出できなかった場合、当該パケットを廃棄する。

パケット送信部２１５は、ＩＰｓｅｃ処理部２１４から受け取ったパケットに対して送信処理を行い、エッジ側Ｉ／Ｆ２１０からＩＰネットワーク９Ａに対して当該パケットを送信する。

次に、図１４を参照して、センタ側ゲートウェイ装置２の動作のうち、ＤＨＣＰ／認証サーバ側Ｉ／Ｆ２２０にてパケットを受信した場合の動作について説明する。図１４は、センタ側ゲートウェイ装置の動作としてＤＨＣＰ／認証サーバ側Ｉ／Ｆにてパケットを受信した場合の動作を示す処理フローである。

パケット受信部２３１は、ＤＨＣＰ／認証サーバ側Ｉ／Ｆ２３０を介して受信したパケットをフィルタ処理部２３２に引き渡す。
フィルタ処理部２３２は、当該フィルタ処理部２３２のポリシーに従ってパケットの判別を行い、ＤＨＣＰ処理部２０７への引き渡し、認証処理部２０６への引き渡し、パケットの廃棄のいずれかの処理を行う。
まず、当該パケットがＤＨＣＰパケットである場合には、当該パケットをＤＨＣＰ処理部２０７に引き渡す。

また、当該パケットがＤＨＣＰパケット以外のパケットの場合には当該パケットの条件に合致する次のフィルタ条件を検索する。
すなわち、当該パケットの送信元ＩＰアドレスが、センタ側ゲートウェイ装置と接続するＩＰアドレス割当装置からＩＰアドレスの割当を受けているＩＰアドレスであり、認証画面要求あるいは認証要求のパケットである場合、認証処理部２０６に引き渡す。
ここで、第二の条件に合致しないパケットの場合には当該パケットの廃棄を行う。

ＤＨＣＰ処理部２０７は、フィルタ処理部２３２からパケットを受け取った際、当該パケット内から無線ＬＡＮクライアントｂの固有の識別情報（ＭＡＣアドレス情報）と当該無線ＬＡＮクライアント端末ｂに割り当てるＩＰアドレス情報を取得し、クライアント情報記憶部２０４の当該ＭＡＣアドレス情報の記録場所を検索し、当該ＭＡＣアドレス情報の検索に成功した場合、ＩＰアドレス情報を追加して記録し、当該パケットをルーティング処理部２０８へ引き渡す。

認証処理部２０６は、フィルタ処理部２３２からパケットを受け取った際、当該パケットから、当該パケットの送信先ＩＰアドレス情報、認証の成功あるいは失敗情報を取得し、当該パケットの送信先ＩＰアドレス情報からクライアント情報記憶部２０４の当該ＩＰアドレス情報の記録場所を検索し、当該ＩＰアドレス情報の検索に成功した場合、認証の成功あるいは失敗情報を追加して記録し、当該パケットをルーティング処理部２０８へ引き渡す。

ルーティング処理部（パケット転送手段）２０８は、フィルタ処理部２３２、ＤＨＣＰ処理部２０７、認証処理部２０６からパケットを受け取り、そのパケットをＩＰｓｅｃ処理部２１４に引き渡す。
ＩＰｓｅｃ処理部（パケット転送手段）２１４は、ルーティング処理部２０８からパケットを受け取った際、当該パケットの送信先ＩＰアドレスに対応したカプセル化ポリシーを検索し、当該パケットのカプセル化ポリシーを検出できた場合、当該ポリシーに従って図２に示すようにパケットをカプセル化してパケット送信部２１５に引き渡し、当該パケットのカプセル化ポリシーを検出できなかった場合、当該パケットを廃棄する。

パケット送信部２１５は、ＩＰｓｅｃ処理部２１４から受け取ったパケットに対して送信処理を行い、エッジ側Ｉ／Ｆ２１０からＩＰネットワーク９Ａに対して当該パケットを送信する。

このように、本実施の形態は、ＩＰネットワーク９Ａを介してエッジ側ゲートウェイ装置１とセンタ側ゲートウェイとの間でＶＰＮを構築し、エッジ側ゲートウェイ装置１において、第１のサービス種別に応じたＩＰアドレスを持つクライアント端末３ＡについてはＩＰネットワーク９Ａに接続された任意のホスト装置４Ａとの間でパケットを相互に転送するとともに、第２のサービス種別に応じたＩＰアドレスを持つクライアント端末３Ｂについてはセンタ側ゲートウェイ装置２との間でＶＰＮを介してパケットを相互に転送し、センタ側ゲートウェイ装置２において、クライアント端末３Ｂで送受信されるパケットについては、エッジ側ゲートウェイ装置１とＩＰネットワーク９Ｂに接続された任意のホスト装置４Ｂとの間でＶＰＮを介して相互に転送するようにしたものである。

これにより、同一エッジ側ゲートウェイ装置１に接続されているクライアント端末ａ、ｂについて、第１のサービス種別に応じたＩＰアドレスを持つクライアント端末ａ（３Ａ）については、ＩＰネットワーク９Ａを介した宛先ホスト装置Ａ（４Ａ）とのパケット通信サービスを提供でき、第２のサービス種別に応じたＩＰアドレスを持つクライアント端末ｂ（３Ｂ）については、センタ側ゲートウェイ装置２との間のＶＰＮおよびＩＰネットワーク９Ｂを介した宛先ホスト装置Ｂ（４Ｂ）とのパケット通信サービスを提供できる。

したがって、サービス種別が異なるクライアント端末に対して、これらサービス種別に共通のエッジ側ゲートウェイ装置１により、個別のパケット通信サービスを提供でき、サービス種別ごとにエッジ側ゲートウェイ装置を設ける場合と比較して、パケット通信サービスシステム全体のハードウェア資源を有効に利用できる。
また、同一拠点のクライアント端末を１つのエッジ側ゲートウェイ装置１で収容でき、サービス種別ごとにエッジ側ゲートウェイ装置を用いる場合のようにＩＰサブネットを設定する必要がなくなってＩＰアドレスの利用に無駄がなく、ネットワーク資源を有効に利用できる。

また、本発明によれば、第２のクライアント端末からのＩＰアドレス割当要求がＶＰＮを介してセンタ側ゲートウェイ装置に転送されるとともに、ＶＰＮを介したセンタ側ゲートウェイ装置からのＩＰアドレス割当応答が当該クライアント端末に転送されるため、各拠点における第２のクライアント端末へのＩＰアドレス割当をセンタ側ゲートウェイ装置側で一元的に管理することが可能となる。
さらに、第２のクライアント端末に対する認証を行う認証処理手段、およびその認証結果に応じて第２のクライアント端末で送受信されるパケットに対して任意のフィルタリング処理を行うフィルタ処理手段をセンタ側ゲートウェイ装置が提供することで、各拠点における第２のクライアント端末に対して、認証およびネットワークへのアクセス管理をセンタ側ゲートウェイ装置側で一元的に管理することが可能となる。
これらのセンタ側ゲートウェイ装置側での一元管理機能により、例えば各拠点のエッジ側ゲートウェイ装置配下のクライアント端末に対して、インターネットへの公衆アクセス通信サービスを提供することが可能となる。

これにより、既存のパケット通信を拡張して別個の通信サービスを提供することも可能である。例えば店舗事業用パケット通信に用いている無線ＬＡＮ通信システムに、エッジ側ゲートウェイ装置やセンタ側ゲートウェイ装置を導入して、既存の店舗事業用パケット通信を第１のサービス種別として通常のインターネットアクセス通信サービスを提供する一方で、これとは別個の第２のサービス種別として、店舗に来店した一般客に対して認証を前提とした、ＶＰＮ経由での全拠点共通の公衆無線インターネットアクセスの通信サービスを提供でき、新規の通信システムを別個に導入することなく既存の通信システムの拡張による集客効果を期待できる。

本発明の一実施の形態にかかるパケット通信サービスシステムの構成を示すブロック図である。 ＩＰｓｅｃのパケット構成例である。 本実施の形態にかかるパケット通信サービスシステムの動作を示すシーケンス図である。 本実施の形態にかかるパケット通信サービスシステムの他の動作を示すシーケンス図である。 本実施の形態にかかるパケット通信サービスシステムで用いられるエッジ側ゲートウェイ装置の構成を示す機能ブロック図である。 エッジ側ゲートウェイ装置の接続情報記憶部で記憶する情報例である。 エッジ側ゲートウェイ装置の動作を示す処理フローである。 エッジ側ゲートウェイ装置の他の動作を示す処理フローである。 本実施の形態にかかるパケット通信サービスシステムで用いられるセンタ側ゲートウェイ装置の構成を示す機能ブロック図である。 センタ側ゲートウェイ装置の接続情報記憶部で記憶する情報例である。 センタ側ゲートウェイ装置のクライアント情報記憶部で記憶する情報例である。 センタ側ゲートウェイ装置の動作を示す処理フローである。 センタ側ゲートウェイ装置の他の動作を示す処理フローである。 センタ側ゲートウェイ装置の他の動作を示す処理フローである。 従来のパケット通信サービスシステムの構成を示すブロック図である。

符号の説明

１…エッジ側ゲートウェイ装置、２…センタ側ゲートウェイ装置、３Ａ…無線ＬＡＮクライアント端末ａ、３Ｂ…無線ＬＡＮクライアント端末ｂ、４Ａ…相手先ホスト装置Ａ、４Ｂ…相手先ホスト装置Ｂ、５…ＤＳＬＡＭ、６…ＢＡＳ、７…認証装置、８…ＩＰアドレス割当装置、９Ａ…ＩＰネットワーク（第２のネットワーク）、９Ｂ…ＩＰネットワーク（第２のネットワーク）、１００…フィルタ制御部、１０１…ルーティング制御部、１０２…ＩＰｓｅｃ制御部、１０３…ＰＰＰ接続監視部、１０４…ＰＰＰ接続処理部、１０５…接続情報記憶部、１０６…ＩＰアドレス割当処理部、１０７…ＤＨＣＰ処理部、１０８…ルーティング処理部、１０９…センタ側ゲートウェイ連携処理部、１１０…無線ＬＡＮ側Ｉ／Ｆ、１１１…パケット受信部、１１２…フィルタ処理部、１１３…無線ＬＡＮ制御部、１１４…パケット送信部、１１５…ＩＰｓｅｃ処理部、１１６…パケット送信部、１２０…センタ側Ｉ／Ｆ、１２１…パケット受信部、１２２…ＩＰｓｅｃ処理部、１２３…フィルタ処理部、１２４…無線ＬＡＮ制御部、２００…フィルタ制御部、２０１…ルーティング制御部、２０２…ＩＰｓｅｃ制御部、２０４…クライアント情報記憶部、２０５…接続情報記憶部、２０６…認証処理部、２０７…ＤＨＣＰ処理部、２０８…ルーティング処理部、２０９…認証画面処理部、２１０…エッジ側Ｉ／Ｆ、２１１…パケット受信部、２１２…ＩＰｓｅｃ処理部、２１３…フィルタ処理部、２１４…ＩＰｓｅｃ処理部、２１５〜２１７…バケット送信部、２２０…ネットワーク側Ｉ／Ｆ、２２１…パケット受信部、２２２…フィルタ処理部、２３０…ＤＨＣＰ／認証サーバ側Ｉ／Ｆ、２３１…パケット受信部、２３２…フィルタ処理部。

Claims (9)

1. 各クライアント端末に対し、当該クライアント端末のＩＰアドレスに対応する通信経路を用いた、異なるサービス種別のパケット通信サービスをそれぞれ提供するパケット通信サービスシステムであって、
   第１のＩＰネットワークに接続された１つ以上のエッジ側ゲートウェイ装置と、前記第１のＩＰネットワークおよび第２のＩＰネットワークに接続されたセンタ側ゲートウェイ装置とを備え、
   前記エッジ側ゲートウェイ装置は、前記クライアント端末を接続する端末接続手段と、第１のＩＰネットワークを介して前記センタ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御手段と、第１のサービス種別に応じたＩＰアドレスを持つ第１のクライアント端末と前記第１のＩＰネットワークに接続された任意のホスト装置との間でパケットを相互に転送するとともに、第２のサービス種別に応じたＩＰアドレスを持つ第２のクライアント端末と前記センタ側ゲートウェイ装置との間で前記ＶＰＮを介してパケットを相互に転送するパケット転送手段とを有し、
   前記センタ側ゲートウェイ装置は、第１のＩＰネットワークを介して前記エッジ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御手段と、前記第２のクライアント端末で送受信されるパケットを前記エッジ側ゲートウェイ装置と前記第２のＩＰネットワークに接続された任意のホスト装置との間で前記ＶＰＮを介して相互に転送するパケット転送手段とを有する
   ことを特徴とするパケット通信サービスシステム。
2. 第１のＩＰネットワークに接続された１つ以上のエッジ側ゲートウェイ装置と、前記第１のＩＰネットワークおよび第２のＩＰネットワークに接続されたセンタ側ゲートウェイ装置とを備えるパケット通信サービスシステムで、各クライアント端末に対し、当該クライアント端末のＩＰアドレスに対応する通信経路を用いた、異なるサービス種別のパケット通信サービスをそれぞれ提供する際に用いられるパケット通信サービス方法であって、
   前記エッジ側ゲートウェイ装置は、前記クライアント端末を接続する端末接続ステップと、第１のＩＰネットワークを介して前記センタ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御ステップと、第１のサービス種別に応じたＩＰアドレスを持つ第１のクライアント端末と前記第１のＩＰネットワークに接続された任意のホスト装置との間でパケットを相互に転送するとともに、第２のサービス種別に応じたＩＰアドレスを持つ第２のクライアント端末と前記センタ側ゲートウェイ装置との間で前記ＶＰＮを介してパケットを相互に転送するパケット転送ステップとを有し、
   前記センタ側ゲートウェイ装置は、第１のＩＰネットワークを介して前記エッジ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御ステップと、前記第２のクライアント端末で送受信されるパケットを前記エッジ側ゲートウェイ装置と前記第２のＩＰネットワークに接続された任意のホスト装置との間で前記ＶＰＮを介して相互に転送するパケット転送ステップとを有する
   ことを特徴とするパケット通信サービス方法。
3. 第１のＩＰネットワークに接続された１つ以上のエッジ側ゲートウェイ装置と、前記第１のＩＰネットワークおよび第２のＩＰネットワークに接続されるセンタ側ゲートウェイ装置とを備え、各クライアント端末に対し、当該クライアント端末のＩＰアドレスに対応する通信経路を用いた異なるサービス種別のパケット通信サービスをそれぞれ提供するパケット通信サービスシステムで用いられるエッジ側ゲートウェイ装置であって、
   前記クライアント端末を接続する端末接続手段と、
   第１のＩＰネットワークを介して前記センタ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御手段と、
   第１のサービス種別に応じたＩＰアドレスを持つ第１のクライアント端末と前記第１のＩＰネットワークに接続された任意のホスト装置との間でパケットを相互に転送することにより両者間のパケット通信を実現するとともに、第２のサービス種別に応じたＩＰアドレスを持つ第２のクライアント端末と前記センタ側ゲートウェイ装置との間で前記ＶＰＮを介してパケットを相互に転送することにより当該クライアント端末と前記第２のＩＰネットワークに接続された任意のホスト装置との間のパケット通信を実現するパケット転送手段と
   を備えることを特徴とするエッジ側ゲートウェイ装置。
4. 第１のＩＰネットワークに接続された１つ以上のエッジ側ゲートウェイ装置と、前記第１のＩＰネットワークおよび第２のＩＰネットワークに接続されるセンタ側ゲートウェイ装置とを備えるパケット通信サービスシステムにより、各クライアント端末に対し、当該クライアント端末のＩＰアドレスに基づいて前記第１のＩＰネットワークもしくは前記第２のＩＰネットワークへの接続を可能とするエッジ側ゲートウェイ装置であって、
   前記クライアント端末から前記第２のＩＰネットワークに対応するサービス識別子を受信した場合には、第２のＩＰネットワークに接続するためのＩＰアドレス要求を前記センタ側ゲートウェイ装置に転送するアドレス要求転送手段と、
   前記クライアント端末が前記第２のＩＰネットワーク上の任意のホスト装置と通信接続する場合に、前記第１のＩＰネットワークを介して前記センタ側ゲートウェイ装置との間でＶＰＮを構築するＶＰＮ制御手段と
   を備えることを特徴とするエッジ側ゲートウェイ装置。
5. 請求項３に記載のエッジ側ゲートウェイ装置において、
   前記パケット転送手段は、前記第２のクライアント端末からのＩＰアドレス割当要求を前記ＶＰＮを介して前記センタ側ゲートウェイ装置に転送するとともに、前記ＶＰＮを介した前記センタ側ゲートウェイ装置からのＩＰアドレス割当応答を当該クライアント端末に転送し、
   前記第１のクライアント端末からのＩＰアドレス割当要求に対してＩＰアドレスの割り当てを行うＩＰアドレス割当手段と、前記センタ側ゲートウェイ装置と連携して前記第２のクライアント端末で送受信される前記ＩＰアドレスのパケットに対して任意のフィルタリング処理を行うフィルタ処理手段とをさらに備える
   ことを特徴とするエッジ側ゲートウェイ装置。
6. 請求項３に記載のエッジ側ゲートウェイ装置において、
   前記ＶＰＮ制御手段は、前記第１のＩＰネットワークとパケット通信が可能な状態になった場合、または当該パケット通信に用いるＩＰアドレスが変更になった場合、前記第１のＩＰネットワークとのパケット通信に用いる新たなＩＰアドレスを用いたＶＰＮ構築をセンタ側ゲートウェイ装置に要求する
   ことを特徴とするエッジ側ゲートウェイ装置。
7. 第１のＩＰネットワークに接続された１つ以上のエッジ側ゲートウェイ装置と、前記第１のＩＰネットワークおよび第２のＩＰネットワークに接続されるセンタ側ゲートウェイ装置とを備え、各クライアント端末に対し、当該クライアント端末のＩＰアドレスに対応する通信経路を用いた異なるサービス種別のパケット通信サービスをそれぞれ提供するパケット通信サービスシステムで用いられるセンタ側ゲートウェイ装置であって、
   第１のサービス種別に応じたＩＰアドレスを持つ第１のクライアント端末と前記第１のＩＰネットワークに接続された任意のホスト装置との間のパケット通信を実現する前記エッジ側ゲートウェイ装置との間で第１のＩＰネットワークを介してＶＰＮを構築するＶＰＮ制御手段と、
   第２のサービス種別に応じたＩＰアドレスを持つ第２のクライアント端末で送受信されるパケットを前記エッジ側ゲートウェイ装置と前記第２のＩＰネットワークに接続された任意のホスト装置との間で前記ＶＰＮを介して相互に転送するパケット転送手段と
   を備えることを特徴とするセンタ側ゲートウェイ装置。
8. 請求項７に記載のセンタ側ゲートウェイ装置において、
   前記パケット転送手段は、前記エッジ側ゲートウェイ装置により転送された前記第２のクライアント端末からのＩＰアドレス割当要求をＩＰアドレス割当装置に転送するとともに、前記ＩＰアドレス割当装置からの前記第２のクライアント端末に対するＩＰアドレス割当応答を前記エッジ側ゲートウェイ装置へ転送し、
   前記クライアント端末に対する認証を行う認証処理手段と、前記認証の結果に応じて前記第２のクライアント端末で送受信されるパケットに対して任意のフィルタリング処理を行うフィルタ処理手段と、前記認証の結果に応じて前記エッジ側ゲートウェイ装置でのフィルタリング処理を制御するフィルタ制御手段とをさらに備える
   ことを特徴とするセンタ側ゲートウェイ装置。
9. 請求項７に記載のセンタ側ゲートウェイ装置において、
   前記ＶＰＮ制御手段は、前記エッジ側ゲートウェイ装置からのＶＰＮ構築要求に応じて、前記エッジ側ゲートウェイ装置から通知された新たなＩＰアドレスを用いて、前記エッジ側ゲートウェイ装置１とのＶＰＮを構築する
   こと特徴とするセンタ側ゲートウェイ装置。

Images