JP2005210380A

JP2005210380A - Peer-to-peer communication method and communication system

Info

Publication number: JP2005210380A
Application number: JP2004014297A
Authority: JP
Inventors: Kazuhiro Matsuda; 和浩松田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: NTT Inc
Priority date: 2004-01-22
Filing date: 2004-01-22
Publication date: 2005-08-04

Abstract

【課題】ピアツーピア（Ｐ２Ｐ）でのクローズドユーザグループ（ＣＵＧ）通信を行う場合に、通信相手が多数となった場合でも、セキュアアソシエーション（ＳＡ）数の増加を回避できるＰ２ＰでのＣＵＧ通信方法及び通信システムを提供する。
【解決手段】ルータ装置１−１〜１−ｉが接続されるＩＰ網のＷＡＮ回線４において、隣接するルータ装置１−１〜１−ｉ間で、ＩＰＳｅｃのトンネリングモードによりＳＡを確立しＩＰトンネルを生成する。これにより、ルータ装置１−１〜１−ｉ間で論理的なリング網を構成する。
【選択図】図２P2P CUG communication method and communication capable of avoiding an increase in the number of secure associations (SA) even when the number of communication partners is large when performing peer-to-peer (P2P) closed user group (CUG) communication Provide a system.
In a WAN line 4 of an IP network to which router devices 1-1 to 1-i are connected, an SA is established between neighboring router devices 1-1 to 1-i by an IPSec tunneling mode, and an IP tunnel is established. Is generated. Thus, a logical ring network is configured between the router apparatuses 1-1 to 1-i.
[Selection] Figure 2

Description

本発明は、セキュアなクローズドユーザグループ（ＣＵＧ／ＣｌｏｓｅｄＵｓｅｒｓＧｒｏｕｐ／以下、「ＣＵＧ」という。）におけるピアツーピア（Ｐ２Ｐ／ＰｅｅｒＴｏＰｅｅｒ／以下、「Ｐ２Ｐ」という。）通信方式に関するものである。 The present invention relates to a peer-to-peer (P2P / Peer To Peer / hereinafter referred to as “P2P”) communication method in a secure closed user group (CUG / Closed Users Group / hereinafter referred to as “CUG”).

ＩＰ網による通信ネットワークにおいて、ＩＰパケットの完全性や機密性を実現するために、暗号技術を用いたＩＰＳｅｃ（ＳｅｃｕｒｉｔｙＡｒｃｈｉｔｅｃｔｕｒｅｆｏｒｔｈｅＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）が用いられる。このＩＰＳｅｃは、セキュリティサービスを提供するプロトコルであり、セキュアなＩＰ通信を行うため、ＴＣＰ／ＩＰのＩＰユーザデータパケットに対する暗号化機能及び認証機能を備えている（非特許文献１，２を参照。）。 In a communication network using an IP network, IPSec (Security Architecture for the Internet Protocol) using encryption technology is used to realize the integrity and confidentiality of IP packets. This IPSec is a protocol that provides a security service, and has an encryption function and an authentication function for TCP / IP IP user data packets in order to perform secure IP communication (see Non-Patent Documents 1 and 2). ).

従来、ＩＰＳｅｃによるＣＵＧ通信形態には、センタエンド型、ポイントツーポイント型及びフルメッシュ型がある。センタエンド型は、ＩＰＳｅｃを終端する専用装置をセンタ拠点に設置し、この専用装置と、エンド拠点に設置した通信端末またはＩＰＳｅｃを有するルータ装置との間で通信を行うものである。このセンタエンド型は、センタ拠点が明確な企業網を構成するネットワークに用いられるが、各拠点が対等になっているＰ２Ｐ通信には適さない。 Conventionally, there are a center-end type, a point-to-point type, and a full mesh type in the form of CUG communication by IPSec. In the center end type, a dedicated device that terminates IPSec is installed at a center site, and communication is performed between the dedicated device and a communication terminal or a router device that has IPSec installed at the end site. This center end type is used for a network that forms a corporate network with a clear center location, but is not suitable for P2P communication in which each location is the same.

一方、ポイントツーポイント型は、各エンド拠点に設置した通信端末間またはＩＰＳｅｃを有するルータ装置間で通信を行うものである。また、フルメッシュ型は、ポイントツーポイント型の通信形態を複数対地に適用して通信を行うものである。このフルメッシュ型では、ＩＰｓｅｃをＰ２Ｐ通信に適用すると、各ピアは他の全てのピアとの間でセキュアアソシエーション（ＳＡ／ＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎ／以下、「ＳＡ」という。）を確立及び保持する必要がある。また、各ピアは、適切な対地に対してユーザデータパケットを送出するように、対地毎のルーティング規則を設定及び保持する必要もある。 On the other hand, the point-to-point type performs communication between communication terminals installed at each end site or between router devices having IPSec. Further, the full mesh type performs communication by applying a point-to-point type communication form to a plurality of grounds. In this full mesh type, when IPsec is applied to P2P communication, each peer needs to establish and maintain a secure association (SA / Security Association / hereinafter referred to as “SA”) with all other peers. . Each peer also needs to set and maintain a routing rule for each ground so that user data packets are sent to the appropriate ground.

伊東幸夫、他２名，「図解・標準最新ＶＰＮハンドブック」，株式会社秀和システム、２００３年５月２６日、ｐ．１３１−１４１Yukio Ito and two others, “Illustration / Standard Latest VPN Handbook”, Hidekazu System, Inc., May 26, 2003, p. 131-141 “ＡｒｃｓｔａｒＩＰ−ＶＰＮ／ＩＰＳｅｃ接続機能”、［online］、日本電信電話株式会社、［平成１６年１月１３日検索］、インターネット、＜ＵＲＬ：http://www.ntt.com/ip-vpn/service/option.html＞“Arcstar IP-VPN / IPSec connection function”, [online], Nippon Telegraph and Telephone Corporation, [searched on January 13, 2004], Internet, <URL: http://www.ntt.com/ip-vpn /service/option.html>

しかしながら、上述したフルメッシュ型のＣＵＧにおけるＰ２Ｐ通信（以下、「Ｐ２Ｐ／ＣＵＧ通信」という。）では、確立及び保持しなければならないＳＡが対地数に比例して増加するため、通信端末及びルータ装置（通信装置）のプロセッサ資源及びメモリ資源を多く消費し、ユーザデータパケットの転送性能が劣化するという問題があった。また、対地数が増加するに従って、対地毎のルーティング規則の設定が煩雑になるという問題があった。 However, in the above-described P2P communication in the full mesh CUG (hereinafter referred to as “P2P / CUG communication”), the SA that needs to be established and held increases in proportion to the number of grounds. There is a problem that a large amount of processor resources and memory resources of the (communication device) are consumed, and the transfer performance of user data packets deteriorates. Further, as the number of grounds increases, there is a problem that the setting of routing rules for each ground becomes complicated.

このように、従来のフルメッシュ型のＰ２Ｐ／ＣＵＧ通信では、通信端末や通信装置における資源の制約、及びユーザデータパケットの転送性能、及びルーティング規則の設定の観点から、大規模なＰ２Ｐ／ＣＵＧ通信を実現することが困難であった。 As described above, in the conventional full mesh P2P / CUG communication, large-scale P2P / CUG communication is performed from the viewpoints of resource restrictions in the communication terminal and communication device, transfer performance of user data packets, and setting of routing rules. It was difficult to realize.

そこで、本発明は上記の問題に鑑みてなされたものであり、その第１の目的は、少数のＳＡ及びＩＰトンネルにより、容易に通信規模を拡大可能なＰ２Ｐ／ＣＵＧ通信方法及び通信システムを提供することにある。 Therefore, the present invention has been made in view of the above problems, and a first object thereof is to provide a P2P / CUG communication method and a communication system that can easily expand the communication scale with a small number of SAs and IP tunnels. There is to do.

また、本発明の第２の目的は、新たな通信装置をＣＵＧに容易に追加可能なＰ２Ｐ／ＣＵＧ通信方法及び通信システムを提供することにある。 A second object of the present invention is to provide a P2P / CUG communication method and a communication system that can easily add a new communication device to the CUG.

また、本発明の第３の目的は、ＣＵＧから通信装置が離脱した場合または通信装置が故障した場合に、通信を継続して維持可能なＰ２Ｐ／ＣＵＧ通信方法及び通信システムを提供することにある。 A third object of the present invention is to provide a P2P / CUG communication method and communication system capable of continuously maintaining communication when the communication device is disconnected from the CUG or when the communication device fails. .

さらに、本発明の第４の目的は、ＩＰトンネル以外の論理的通信手段を用いて、特定の通信装置間で高速に通信可能なＰ２Ｐ／ＣＵＧ通信方法及び通信システムを提供することにある。 Furthermore, a fourth object of the present invention is to provide a P2P / CUG communication method and a communication system capable of performing high-speed communication between specific communication devices using logical communication means other than IP tunnels.

上記の第１の目的を達成するために、本発明によるＰ２Ｐ通信方法及び通信システムは、通信端末が接続される通信装置を複数備えたＩＰ網の下で、送信元である通信装置または通信端末の発側装置から、送信先である通信装置または通信端末の着側装置へユーザデータパケットを送信する場合に、通信装置は、隣接する通信装置との間でＩＰＳｅｃによるＩＰトンネルを生成してリング網を構成し、着側装置のＩＰアドレスを着側ＩＰアドレスとし、発側装置のＩＰアドレスを発側アドレスとして生成されたユーザデータパケットを暗号化し、当該通信装置に隣接する通信装置のＩＰアドレスをゲートウェイＩＰアドレスとしてユーザデータパケットに付与し、前記ＩＰトンネルを用いてゲートウェイＩＰアドレス宛ての通信装置に前記ユーザデータパケットを送出することを特徴とする。また、ユーザデータパケットを受信した通信装置は、ユーザデータパケットを復号し、ユーザデータパケットの着側ＩＰアドレスと当該自らの通信装置のＩＰアドレスとを比較し、前記ＩＰアドレスが一致した場合、当該自らの通信装置が着側装置であるとしてユーザデータパケットを処理する。また、ユーザデータパケットの着側ＩＰアドレスと当該通信装置の配下として接続される通信端末のＩＰアドレスとを比較し、前記ＩＰアドレスが一致した場合、前記通信端末が着側装置であるとして、通信端末へユーザデータパケットを送信する。また、前記ＩＰアドレスが一致しない場合、暗号化したユーザデータパケットまたは前記復号前のユーザデータパケットを、当該通信装置に隣接する通信装置へ送出する。また、ユーザデータパケットの発側ＩＰアドレスと、当該自らの通信装置のＩＰアドレスまたは当該自らの通信装置の配下として接続される通信端末のＩＰアドレスとを比較し、前記ＩＰアドレスが一致した場合、前記受信したユーザデータパケットを廃棄する。 In order to achieve the first object, a P2P communication method and communication system according to the present invention includes a communication device or a communication terminal that is a transmission source under an IP network including a plurality of communication devices to which communication terminals are connected. When the user data packet is transmitted from the originating device to the destination communication device or the destination device of the communication terminal, the communication device generates an IP tunnel by IPSec with the adjacent communication device to generate a ring. An IP address of a communication device adjacent to the communication device is configured by encrypting a user data packet generated by configuring the network and using the destination device IP address as the destination IP address and the source device IP address as the source address. Is assigned to the user data packet as a gateway IP address, and the user is transmitted to the communication device addressed to the gateway IP address using the IP tunnel. Characterized by delivering The data packets. The communication device that has received the user data packet decodes the user data packet, compares the destination IP address of the user data packet with the IP address of the communication device of its own, and if the IP address matches, The user data packet is processed assuming that its own communication device is the called device. Further, the destination IP address of the user data packet is compared with the IP address of the communication terminal connected as a subordinate of the communication device, and if the IP address matches, the communication terminal determines that the communication terminal is the destination device. A user data packet is transmitted to the terminal. If the IP addresses do not match, the encrypted user data packet or the undecrypted user data packet is sent to a communication device adjacent to the communication device. Further, when the IP address of the user data packet is compared with the IP address of the communication device connected to the IP address of the communication device or the IP address of the communication terminal connected under the control of the communication device, The received user data packet is discarded.

本発明の第１の特徴によれば、通信装置は、最小数２個のＳＡ及びＩＰトンネルによって、ＣＵＧ内の全てのピアと通信することができる。各ピアは、受信したユーザデータパケットが、自らの通信装置宛てであるか、自らの通信装置配下の通信端末宛てであるか、自らの通信装置から送出されたものであるか、自らの通信装置配下の通信端末を送信元として送出されたものであるかを判断することにより、そのユーザデータパケットの送出先を決定することが可能となる。 According to the first feature of the present invention, the communication device can communicate with all peers in the CUG by a minimum number of two SA and IP tunnels. Each peer receives its own user data packet, is addressed to its own communication device, is addressed to its own communication device, is transmitted from its own communication device, or is its own communication device It is possible to determine the transmission destination of the user data packet by determining whether or not the communication terminal is a transmission source.

また、上記の第２の目的を達成するために、本発明によるＰ２Ｐ通信方法及び通信システムは、前記リング網を構成する第１の通信装置と第２の通信装置との間に、新たな第３の通信装置を追加する場合に、第３の通信装置に、当該第３の通信装置に隣接する通信装置のＩＰアドレスとして第２の通信装置のＩＰアドレスが設定され、第１の通信装置に、当該第１の通信装置に隣接する通信装置のＩＰアドレスとして既に設定されている第２の通信装置のＩＰアドレスの代わりに、第３の通信装置のＩＰアドレスが設定され、第１の通信装置と第３の通信装置との間及び第３の通信装置と第２の通信装置との間に、それぞれＩＰＳｅｃによるＩＰトンネルを生成し、新たな第３の通信装置を追加したリング網を構成することを特徴とする。 In order to achieve the second object, a P2P communication method and a communication system according to the present invention provide a new first communication device between a first communication device and a second communication device constituting the ring network. When the third communication device is added, the IP address of the second communication device is set in the third communication device as the IP address of the communication device adjacent to the third communication device. The IP address of the third communication device is set instead of the IP address of the second communication device already set as the IP address of the communication device adjacent to the first communication device, and the first communication device And the third communication device and between the third communication device and the second communication device, an IP tunnel based on IPSec is generated, and a ring network in which a new third communication device is added is configured. It is characterized by that.

本発明の第２の特徴によれば、ＣＵＧへの新たな通信装置の追加は、リング網に追加される第３の通信装置と既存の第１の通信装置との２つの通信装置に、それぞれ隣接する通信装置の情報とＳＡ及びＩＰトンネルの確立により行うことができる。このため、論理的なリング網を構成する通信装置が多数の場合であっても、通信装置のルーティング規則の変更は局所化され、リング網全体に対する影響を小さくすることができる。 According to the second feature of the present invention, the addition of a new communication device to the CUG is performed on two communication devices, a third communication device added to the ring network and an existing first communication device, respectively. This can be done by establishing information on adjacent communication devices and SA and IP tunnels. For this reason, even when there are a large number of communication devices constituting the logical ring network, the change of the routing rule of the communication device is localized, and the influence on the entire ring network can be reduced.

また、上記の第３の目的を達成するために、本発明によるＰ２Ｐ通信方法及び通信システムは、前記複数の通信装置のうちのいずれかの通信装置がリング網から離脱する場合に、前記リング網を構成する通信装置は、隣接する通信装置の離脱を検出し、前記生成した経路情報から、離脱した隣接する通信装置のＩＰアドレスを削除し、新たに隣接する通信装置を選択し、当該新たに隣接する通信装置との間にＩＰＳｅｃによるＩＰトンネルを生成し、離脱した通信装置を除いたリング網を構成することを特徴とする。 In order to achieve the third object, the P2P communication method and communication system according to the present invention provides a ring network when any one of the plurality of communication devices leaves the ring network. The communication device that constitutes the communication device detects the separation of the adjacent communication device, deletes the IP address of the separated adjacent communication device from the generated route information, selects a new adjacent communication device, and An IP tunnel based on IPSec is generated between adjacent communication devices, and a ring network excluding the disconnected communication device is configured.

本発明の第３の特徴によれば、離脱した通信装置に隣接していた通信装置が自律的にＳＡの確立とＩＰトンネルの生成を行うから、ネットワーク管理者等の手続きを必要としないでリング網を再構成することができる。また、通信装置自体の障害または通信ネットワークの障害によって通信装置が意図しないで離脱した場合にも、リング網を自律的に再構成することができ、ＣＵＧ全体の通信が断状態にならないから、信頼性の高い通信ネットワークを実現することができる。 According to the third aspect of the present invention, since the communication device adjacent to the disconnected communication device autonomously establishes the SA and generates the IP tunnel, the ring is not required for the network administrator or the like. The net can be reconfigured. In addition, even when the communication device unintentionally leaves due to a failure of the communication device itself or a communication network, the ring network can be reconfigured autonomously, and communication of the entire CUG does not become disconnected. A highly reliable communication network can be realized.

また、上記の第４の目的を達成するために、本発明によるＰ２Ｐ通信方法及び通信システムは、前記発側装置である通信装置、または発側装置である通信端末に接続される通信装置は、所定の場合に、前記ＩＰＳｅｃによるＩＰトンネルを用いることなく、着側装置である通信装置、または着側装置である通信端末に接続される通信装置へ、ユーザデータパケットを直接送出することを特徴とする。 In order to achieve the fourth object, a P2P communication method and communication system according to the present invention includes a communication device that is the calling side device or a communication device that is connected to a communication terminal that is the calling side device. In a predetermined case, a user data packet is directly transmitted to a communication device that is a destination device or a communication device that is connected to a communication terminal that is a destination device without using an IP tunnel based on IPSec. To do.

本発明の第４の特徴によれば、特定のピア間で高速な通信が可能になる。例えば、特定のピア間で大容量のファイルを交換する場合、ＩＰトンネルによる論理的なリング網を介した通信を行うと、リング網は共用メディアであることから他のピア間の通信によって帯域が制限されてしまう。この場合、例えば特定のポート番号を用いたアプリケーションによりピア間で直接通信を行い、高速通信を実現する。 According to the fourth aspect of the present invention, high-speed communication is possible between specific peers. For example, when exchanging a large capacity file between specific peers, if communication is performed via a logical ring network using an IP tunnel, the ring network is a shared medium, so the bandwidth is reduced by communication between other peers. It will be restricted. In this case, for example, high-speed communication is realized by performing direct communication between peers by an application using a specific port number.

本発明によれば、隣接する通信装置との間でＳＡを確立し、ＩＰトンネルを生成するようにしたから、対地数に比例した多数のＳＡ及びＩＰトンネルは必要ない。これにより、通信装置における資源の制約、パケットの転送性能の劣化、及びルーティング規則の設定の煩雑さを回避できるから、スケーラブルなＰ２Ｐ通信でのセキュアなＣＵＧ通信網を構成することができる。また、ＳＡ及びＩＰトンネルを確立等するためのユーザ設定を簡単にすることができる。 According to the present invention, since an SA is established between adjacent communication devices and an IP tunnel is generated, a large number of SA and IP tunnels proportional to the number of grounds are not necessary. Accordingly, it is possible to avoid resource constraints, deterioration of packet transfer performance, and complicated setting of routing rules in the communication device, and thus a secure CUG communication network in scalable P2P communication can be configured. Also, user settings for establishing SA and IP tunnels can be simplified.

以下、図面を参照して、本発明のＰ２Ｐ／ＣＵＧ通信方法及び通信システムの実施形態を説明する。
〔システム構成〕
図１は、本発明の実施の形態に係るＰ２Ｐ／ＣＵＧ通信システムのリング網を簡略化した構成図である。このＰ２Ｐ／ＣＵＧ通信システムは、ルータ装置１−１〜１−ｉ、ＬＡＮ装置２−１〜２−ｊ及び情報端末３−１〜３−ｋから構成される（ｉ，ｊ，ｋは任意の自然数を表わす。）。ルータ装置１−１〜１−ｉはＷＡＮ回線４を介して接続され、ルータ装置１−１〜１−ｉはＬＡＮ装置２−１〜２−ｊにそれぞれ接続される。また、ＬＡＮ装置２−１はＬＡＮ回線５−１を介して情報端末３−１，３−２に、ＬＡＮ装置２−２はＬＡＮ回線５−２を介して情報端末３−３〜３−５に、ＬＡＮ装置２−３はＬＡＮ回線５−３を介して情報端末３−６〜３−８に、ＬＡＮ装置２−ｊはＬＡＮ回線５−ｍを介して情報端末３−ｋにそれぞれ接続される（ｍは任意の自然数を表わす。）。 Hereinafter, embodiments of a P2P / CUG communication method and a communication system according to the present invention will be described with reference to the drawings.
〔System configuration〕
FIG. 1 is a simplified configuration diagram of a ring network of a P2P / CUG communication system according to an embodiment of the present invention. This P2P / CUG communication system includes router devices 1-1 to 1-i, LAN devices 2-1 to 2-j, and information terminals 3-1 to 3-k (where i, j, and k are arbitrary). Represents a natural number.) The router devices 1-1 to 1-i are connected via the WAN line 4, and the router devices 1-1 to 1-i are connected to the LAN devices 2-1 to 2-j, respectively. The LAN device 2-1 is connected to the information terminals 3-1 and 3-2 via the LAN line 5-1, and the LAN device 2-2 is connected to the information terminals 3-3 to 3-5 via the LAN line 5-2. The LAN device 2-3 is connected to the information terminals 3-6 to 3-8 via the LAN line 5-3, and the LAN device 2-j is connected to the information terminal 3-k via the LAN line 5-m. (M represents an arbitrary natural number).

ルータ装置１−１〜１−ｉは、インターネット、イントラネットまたは専用線等であるＩＰ網であるルータ網を構成するＷＡＮ回線４を介して、他のルータ装置との間でＳＡを確立しＩＰトンネルを生成し通信を行う。また、ルータ装置は、ＬＡＮ装置及びＬＡＮ回線を介して、またはＬＡＮ回線を介して、パーソナルコンピュータ（ＰＣ）等である情報端末と通信を行う。 The router apparatuses 1-1 to 1-i establish an SA with other router apparatuses via the WAN line 4 constituting the router network, which is an IP network such as the Internet, an intranet, or a dedicated line, and establish an IP tunnel. Generate and communicate. The router device communicates with an information terminal such as a personal computer (PC) via a LAN device and a LAN line, or via a LAN line.

図２は、図１に示したルータ装置１−１〜１−ｉ（以下、総称して「ルータ装置１」という。）の機能構成を説明するブロック図である。ルータ装置１は、ＷＡＮ回線受信インタフェース１１、ＷＡＮ回線送信インタフェース１２、ＳＡ処理部１３、ＷＡＮ側ルーティング処理部１４、ＩＰＳｅｃ復号部１５、ＩＰＳｅｃ暗号化部１６、ＬＡＮ側ルーティング処理部１７、ＬＡＮ回線送信インタフェース１８及びＬＡＮ回線受信インタフェース１９を備えている。 FIG. 2 is a block diagram illustrating a functional configuration of the router apparatuses 1-1 to 1-i (hereinafter collectively referred to as “router apparatus 1”) illustrated in FIG. The router device 1 includes a WAN line reception interface 11, a WAN line transmission interface 12, an SA processing unit 13, a WAN side routing processing unit 14, an IPSec decryption unit 15, an IPSec encryption unit 16, a LAN side routing processing unit 17, and a LAN line transmission. An interface 18 and a LAN line reception interface 19 are provided.

ＷＡＮ回線受信インタフェース１１は、他のルータ装置からＷＡＮ回線４を介してユーザデータパケット等を受信し、ＷＡＮ回線送信インタフェース１２は、ＷＡＮ回線４を介して他のルータ装置へユーザデータパケット等を送出する。ＳＡ処理部１３は、ＩＰＳｅｃにおける論理的なコネクションであるＳＡを確立し、ＩＰトンネルを生成し、ＳＡの状態を監視する等の一連を処理を行う。 The WAN line reception interface 11 receives user data packets and the like from other router devices via the WAN line 4, and the WAN line transmission interface 12 sends user data packets and the like to other router devices via the WAN line 4. To do. The SA processing unit 13 performs a series of processes such as establishing an SA that is a logical connection in IPSec, generating an IP tunnel, and monitoring the state of the SA.

ＷＡＮ側ルーティング処理部１４は、ユーザデータパケットの送出先となるゲートウェイＩＰアドレス２０、自ルータ装置ＩＰアドレス２１、隣接するルータ装置のＩＰアドレス等のユーザデータパケットの宛先経路等に関する情報を有する経路情報テーブル２２、ルータ装置１がＷＡＮ回線４側において実行する各種サービスに対応して割り振られた番号を有するポート番号テーブル２５、及び特定のピア間で高速通信を行う場合に用いるデフォルトルータＩＰアドレス２６を備え、ユーザデータパケット等の経路を決定する。 The WAN-side routing processing unit 14 has route information including information on the destination route of the user data packet such as the gateway IP address 20 to which the user data packet is transmitted, the own router device IP address 21, and the IP address of the adjacent router device. A table 22, a port number table 25 having numbers assigned in accordance with various services executed by the router device 1 on the WAN line 4 side, and a default router IP address 26 used when performing high-speed communication between specific peers. And determine the route of the user data packet or the like.

ＩＰＳｅｃ復号部１５は、暗号化されたユーザデータパケットを平文に復号し、ＩＰＳｅｃ暗号化部１６は、平文のユーザデータパケットを暗号化する。ＬＡＮ側ルーティング処理部１７は、自らのルータ装置１の配下にある情報端末のＩＰアドレスを有するＬＡＮ側情報端末ＩＰアドレステーブル２３、及びルータ装置１がＬＡＮ回線５側において実行する各種サービスに対応して割り振られた番号を有するポート番号テーブル２４を備え、ユーザデータパケット等の経路を決定する。 The IPSec decryption unit 15 decrypts the encrypted user data packet into plain text, and the IPSec encryption unit 16 encrypts the plain text user data packet. The LAN side routing processing unit 17 corresponds to the LAN side information terminal IP address table 23 having the IP address of the information terminal under its router device 1 and various services executed by the router device 1 on the LAN line 5 side. And a port number table 24 having numbers allocated in this manner, and determines a route for user data packets and the like.

ＬＡＮ回線送信インタフェース１８は、ＬＡＮ回線５を介して情報端末へデータパケットを送信し、ＬＡＮ回線受信インタフェース１９は、情報端末からＬＡＮ回線５を介してユーザデータパケットを受信する。 The LAN line transmission interface 18 transmits data packets to the information terminal via the LAN line 5, and the LAN line reception interface 19 receives user data packets from the information terminal via the LAN line 5.

〔通信方法〕
次に、情報端末３−１と情報端末３−６とを例にして、通信方法を具体的に説明する。ルータ装置１−１には、予め、ＷＡＮ側ルーティング処理部１４の経路情報テーブル２２に、隣接ルータＩＰアドレスとしてルータ装置１−２のＩＰアドレス、次隣接ルータＩＰアドレスとしてルータ装置１−３のＩＰアドレス、その他のＩＰアドレスがそれぞれ格納され、ＬＡＮ側ルーティング処理部１７のＬＡＮ側情報端末ＩＰアドレステーブル２３に、自ルータ装置１−１配下の情報端末３−１，３−２のＩＰアドレスが格納されているものとする。同様に、ルータ装置１−２には、予め、ＷＡＮ側ルーティング処理部１４の経路情報テーブル２２に、隣接ルータＩＰアドレスとしてルータ装置１−３のＩＰアドレス等が格納され、ＬＡＮ側ルーティング処理部１７のＬＡＮ側情報端末ＩＰアドレステーブル２３に、自ルータ装置１−２配下の情報端末３−３〜３−５のＩＰアドレスが格納されているものとする。また、ルータ装置１−３には、予め、ＷＡＮ側ルーティング処理部１４の経路情報テーブル２２に、隣接ルータＩＰアドレスとしてルータ装置１−ｉのＩＰアドレス等が格納され、ＬＡＮ側ルーティング処理部１７のＬＡＮ側情報端末ＩＰアドレステーブル２３に、自ルータ装置１−３配下情報端末３−６〜３−８のＩＰアドレスが格納されているものとする。さらに、ルータ装置１−ｉには、予め、ＷＡＮ側ルーティング処理部１４の経路情報テーブル２２に、隣接ルータＩＰアドレスとしてルータ装置１−１のＩＰアドレス等が格納され、ＬＡＮ側ルーティング処理部１７のＬＡＮ側情報端末ＩＰアドレステーブル２３に、自ルータ装置１−ｉ配下の情報端末３−ｋのＩＰアドレスが格納されているものとする。尚、ＷＡＮ側ルーティング処理部１４の経路情報テーブル２２に格納された経路情報は、後述する制御パケットの巡回により設定される。〔Communication method〕
Next, the communication method will be specifically described using the information terminal 3-1 and the information terminal 3-6 as examples. The router apparatus 1-1 previously stores the IP address of the router apparatus 1-2 as the adjacent router IP address and the IP address of the router apparatus 1-3 as the next adjacent router IP address in the route information table 22 of the WAN side routing processing unit 14. Addresses and other IP addresses are respectively stored, and the IP addresses of the information terminals 3-1 and 3-2 under the own router device 1-1 are stored in the LAN side information terminal IP address table 23 of the LAN side routing processing unit 17. It is assumed that Similarly, the router apparatus 1-2 stores in advance the IP address of the router apparatus 1-3 as the adjacent router IP address in the route information table 22 of the WAN side routing processing section 14, and the LAN side routing processing section 17 It is assumed that the IP addresses of the information terminals 3-3 to 3-5 subordinate to the own router apparatus 1-2 are stored in the LAN side information terminal IP address table 23. In addition, the router device 1-3 stores in advance the IP address of the router device 1-i as an adjacent router IP address in the route information table 22 of the WAN side routing processing unit 14, and the LAN side routing processing unit 17 Assume that the LAN side information terminal IP address table 23 stores the IP addresses of the information terminals 3-6 to 3-8 under its own router apparatus 1-3. Furthermore, the router device 1-i stores the IP address of the router device 1-1 as an adjacent router IP address in advance in the route information table 22 of the WAN side routing processing unit 14. It is assumed that the IP address of the information terminal 3-k under its own router apparatus 1-i is stored in the LAN side information terminal IP address table 23. Note that the route information stored in the route information table 22 of the WAN side routing processing unit 14 is set by a control packet circulation to be described later.

情報端末３−１は、情報端末３−６のＩＰアドレスを着側ＩＰアドレスとし、自ＩＰアドレスを発側ＩＰアドレスとするユーザデータパケットを作成する。そして、ＬＡＮ回線５−１及びＬＡＮ装置２−１を介してルータ装置１−１へ当該ユーザデータパケットを送信する。 The information terminal 3-1 creates a user data packet having the IP address of the information terminal 3-6 as the destination IP address and the own IP address as the source IP address. Then, the user data packet is transmitted to the router device 1-1 via the LAN line 5-1 and the LAN device 2-1.

ルータ装置１−１のＬＡＮ回線受信インタフェース１９は、ユーザデータパケットを受信し、ＬＡＮ側ルーティング処理部１７は、そのユーザデータパケットを解析する。具体的には、ＬＡＮ側ルーティング処理部１７は、ユーザデータパケットの着側ＩＰアドレスがＬＡＮ側情報端末ＩＰアドレステーブル２３に格納されているか否かを確認し（着側ＩＰアドレスとＬＡＮ側情報端末ＩＰアドレステーブル２３に格納されているＩＰアドレスとが一致するか否かを確認し）、ユーザデータパケットが自ルータ装置配下の情報端末宛てであるか否かを判断する。この場合、ＬＡＮ側ルーティング処理部１７は、ＬＡＮ側情報端末ＩＰアドレステーブル２３に情報端末３−６のＩＰアドレスが格納されていないことを確認し、ユーザデータパケットが自ルータ配下の情報端末宛てではないことを判断する。そして、ＬＡＮ側ルーティング処理部１７は、ユーザデータパケットをＩＰＳｅｃ暗号化部１６に出力し、ＩＰＳｅｃ暗号化部１６は、ＩＰＳｅｃ暗号化を行う。 The LAN line reception interface 19 of the router device 1-1 receives the user data packet, and the LAN side routing processing unit 17 analyzes the user data packet. Specifically, the LAN side routing processing unit 17 confirms whether or not the destination side IP address of the user data packet is stored in the LAN side information terminal IP address table 23 (the destination side IP address and the LAN side information terminal). It is checked whether or not the IP address stored in the IP address table 23 matches, and it is determined whether or not the user data packet is addressed to the information terminal under its own router device. In this case, the LAN side routing processing unit 17 confirms that the IP address of the information terminal 3-6 is not stored in the LAN side information terminal IP address table 23, and the user data packet is not addressed to the information terminal under its own router. Judge that there is no. Then, the LAN side routing processing unit 17 outputs the user data packet to the IPSec encryption unit 16, and the IPSec encryption unit 16 performs the IPSec encryption.

ルータ装置１−１のＷＡＮ側ルーティング処理部１４は、経路情報テーブル２２から隣接ルータＩＰアドレスであるルータ装置１−２のＩＰアドレスを取得し、当該ＩＰパケットをゲートウェイＩＰアドレス２０として付与する。そして、ＷＡＮ回線送信インタフェース１２は、ユーザデータパケットをルータ装置１−２へ送出する。これにより、ユーザデータパケットは、ゲートウェイＩＰアドレス２０であるルータ装置１−２へ送出されることになる。 The WAN side routing processing unit 14 of the router device 1-1 acquires the IP address of the router device 1-2 that is an adjacent router IP address from the route information table 22, and assigns the IP packet as the gateway IP address 20. Then, the WAN line transmission interface 12 sends the user data packet to the router device 1-2. As a result, the user data packet is sent to the router device 1-2 which is the gateway IP address 20.

次に、ルータ装置１−２のＷＡＮ回線受信インタフェース１１は、ユーザデータパケットを受信し、ＩＰＳｅｃ復号部１５は、ＷＡＮ側ルーティング処理部１４を介して入力したユーザデータパケットの復号を行う。ＬＡＮ側ルーティング処理部１７は、ユーザデータパケットを解析する。具体的には、ＬＡＮ側ルーティング処理部１７は、ユーザデータパケットの着側ＩＰアドレスがＬＡＮ側情報端末ＩＰアドレステーブル２３に格納されているか否かを確認し、ユーザデータパケットが自ルータ装置配下の情報端末宛てであるか否かを判断する。この場合、ＬＡＮ側ルーティング処理部１７は、ＬＡＮ側情報端末ＩＰアドレステーブル２３に情報端末３−６のＩＰアドレスが格納されていないことを確認し、ユーザデータパケットが自ルータ配下の情報端末宛てではないことを判断する。そして、ＬＡＮ側ルーティング処理部１７は、ユーザデータパケットをＩＰＳｅｃ暗号化部１６に出力し、ＩＰＳｅｃ暗号化部１６は、ＩＰＳｅｃ暗号化を行う。 Next, the WAN line reception interface 11 of the router device 1-2 receives the user data packet, and the IPSec decoding unit 15 decodes the user data packet input via the WAN side routing processing unit 14. The LAN side routing processing unit 17 analyzes the user data packet. Specifically, the LAN side routing processing unit 17 checks whether or not the destination IP address of the user data packet is stored in the LAN side information terminal IP address table 23, and the user data packet is subordinate to the own router device. It is determined whether it is addressed to the information terminal. In this case, the LAN side routing processing unit 17 confirms that the IP address of the information terminal 3-6 is not stored in the LAN side information terminal IP address table 23, and the user data packet is not addressed to the information terminal under its own router. Judge that there is no. Then, the LAN side routing processing unit 17 outputs the user data packet to the IPSec encryption unit 16, and the IPSec encryption unit 16 performs the IPSec encryption.

ルータ装置１−２のＷＡＮ側ルーティング処理部１４は、経路情報テーブル２２から隣接ルータＩＰアドレスであるルータ装置１−３のＩＰアドレスを取得し、当該ＩＰアドレスをゲートウェイＩＰアドレス２０として付与する。そして、ＷＡＮ回線送信インタフェース１２は、ユーザデータパケットをルータ装置１−３へ送出する。 The WAN side routing processing unit 14 of the router device 1-2 acquires the IP address of the router device 1-3, which is an adjacent router IP address, from the route information table 22, and assigns the IP address as the gateway IP address 20. Then, the WAN line transmission interface 12 sends the user data packet to the router device 1-3.

次に、ルータ装置１−３のＷＡＮ回線受信インタフェース１１は、ユーザデータパケットを受信し、ＩＰＳｅｃ復号部１５は、ＷＡＮ側ルーティング処理部１４を介して入力したユーザデータパケットの復号を行う。ＬＡＮ側ルーティング処理部１７は、上述したように、ユーザデータパケットを解析する。この場合、ＬＡＮ側ルーティング処理部１７は、ＬＡＮ側情報端末ＩＰアドレステーブル２３に情報端末３−６のＩＰアドレスが格納されていることを確認し、ユーザデータパケットが自ルータ配下の情報端末宛てであることを判断する。そして、ＬＡＮ回線送信インタフェース１８は、ＬＡＮ装置２−３及びＬＡＮ回線５−３を介して情報端末３−６へ平文のユーザデータパケットを送信する。 Next, the WAN line reception interface 11 of the router apparatus 1-3 receives the user data packet, and the IPSec decoding unit 15 decodes the user data packet input via the WAN side routing processing unit 14. As described above, the LAN side routing processing unit 17 analyzes the user data packet. In this case, the LAN side routing processing unit 17 confirms that the IP address of the information terminal 3-6 is stored in the LAN side information terminal IP address table 23, and the user data packet is addressed to the information terminal under its own router. Judge that there is. The LAN line transmission interface 18 transmits a plain text user data packet to the information terminal 3-6 via the LAN device 2-3 and the LAN line 5-3.

〔通信方法／受信側の情報端末が存在しない場合〕
次に、情報端末３−１とＣＵＧ内に存在しない情報端末３−ｘとを例にして、受信側の情報端末が存在しない場合の通信方法を具体的に説明する。ルータ装置１−１〜１−ｉにおけるＷＡＮ側ルーティング処理部１４の経路情報テーブル２２、及びＬＡＮ側ルーティング処理部１７のＬＡＮ側情報端末ＩＰアドレステーブル２３には、それぞれ上述したデータが格納されているものとする。 [Communication method / when there is no information terminal on the receiving side]
Next, a communication method when there is no information terminal on the receiving side will be described in detail by taking the information terminal 3-1 and the information terminal 3-x that does not exist in the CUG as an example. The above-described data is stored in the route information table 22 of the WAN side routing processing unit 14 and the LAN side information terminal IP address table 23 of the LAN side routing processing unit 17 in the router apparatuses 1-1 to 1-i, respectively. Shall.

情報端末３−１は、情報端末３−ｘのＩＰアドレスを着側ＩＰアドレスとし、自ＩＰアドレスを発側ＩＰアドレスとするユーザデータパケットを作成する。そして、情報端末３−１は、ＬＡＮ回線５−１及びＬＡＮ装置２−１を介してルータ装置１−１へ当該ユーザデータパケットを送信する。 The information terminal 3-1 creates a user data packet having the IP address of the information terminal 3-x as the destination IP address and the own IP address as the source IP address. Then, the information terminal 3-1 transmits the user data packet to the router device 1-1 via the LAN line 5-1 and the LAN device 2-1.

ルータ装置１−１，１−２は、上述した処理と同じ処理をそれぞれ実行する。同様に、ルータ装置１−３，１−ｉも、上述したルータ装置１−１，１−２の処理と同じ処理を実行する。この場合、ユーザデータパケットの着側ＩＰアドレスである情報端末３−ｘのＩＰアドレスが、それぞれのＬＡＮ側ルーティング処理部１７のＬＡＮ側情報端末ＩＰアドレステーブル２３に格納されていない。従って、それぞれのＬＡＮ側ルーティング処理部１７は、ユーザデータパケットが自ルータ配下の情報端末宛てではないことを判断する。そして、ルータ装置１−ｉのＷＡＮ回線送信インタフェース１２は、ユーザデータパケットをルータ装置１−１へ送出する。 The router apparatuses 1-1 and 1-2 execute the same processes as those described above. Similarly, the router devices 1-3 and 1-i also execute the same processing as the processing of the router devices 1-1 and 1-2 described above. In this case, the IP address of the information terminal 3-x that is the destination IP address of the user data packet is not stored in the LAN-side information terminal IP address table 23 of each LAN-side routing processing unit 17. Accordingly, each LAN side routing processing unit 17 determines that the user data packet is not addressed to the information terminal under its own router. Then, the WAN line transmission interface 12 of the router apparatus 1-i sends the user data packet to the router apparatus 1-1.

次に、ルータ装置１−１のＷＡＮ回線受信インタフェース１１は、ユーザデータパケットを受信し、ＩＰＳｅｃ復号部１５は、ＷＡＮ側ルーティング処理部１４を介して入力したユーザデータパケットの復号を行う。ＬＡＮ側ルーティング処理部１７は、ユーザデータパケットを解析する。具体的には、ＬＡＮ側ルーティング処理部１７は、ユーザデータパケットの発側ＩＰアドレスである情報端末３−１のＩＰアドレスがＬＡＮ側情報端末ＩＰアドレステーブル２３に格納されているか否かを確認し、ユーザデータパケットがリング網のネットワークを巡回したか否かを判断する。この場合、ＬＡＮ側ルーティング処理部１７は、ＬＡＮ側情報端末ＩＰアドレステーブル２３に情報端末３−１のＩＰアドレスが格納されていることを確認し、ユーザデータパケットはリング網のネットワークを巡回したが宛先がないものであると判断する。そして、ルータ装置１−１のＬＡＮ側ルーティング処理部１７は、そのユーザデータパケットを廃棄する。 Next, the WAN line reception interface 11 of the router device 1-1 receives the user data packet, and the IPSec decoding unit 15 decodes the user data packet input via the WAN side routing processing unit 14. The LAN side routing processing unit 17 analyzes the user data packet. Specifically, the LAN side routing processing unit 17 checks whether or not the IP address of the information terminal 3-1 that is the originating side IP address of the user data packet is stored in the LAN side information terminal IP address table 23. Then, it is determined whether or not the user data packet has visited the ring network. In this case, the LAN side routing processing unit 17 confirms that the IP address of the information terminal 3-1 is stored in the LAN side information terminal IP address table 23, and the user data packet circulates through the ring network. It is determined that there is no destination. Then, the LAN side routing processing unit 17 of the router device 1-1 discards the user data packet.

〔経路情報取得方法〕
次に、ルータ装置１−１が経路情報を取得する方法を具体的に説明する。図３に、各ルータ装置から経路情報を収集するための制御パケットのフォーマットの例を示す。制御パケットは、宛先ＩＰアドレス３１及び送信元ＩＰアドレス３２を有するヘッダ３０と、ＩＰアドレステーブル３４を有するペイロード３３とから成る。 [Route information acquisition method]
Next, the method by which the router apparatus 1-1 acquires route information will be specifically described. FIG. 3 shows an example of a format of a control packet for collecting route information from each router device. The control packet includes a header 30 having a destination IP address 31 and a source IP address 32 and a payload 33 having an IP address table 34.

ルータ装置１−１のＷＡＮ側ルーティング処理部１４は、図３に示したペイロード３３のＩＰアドレステーブル３４の末尾に自ＩＰアドレスを追記し、ヘッダ３０の宛先ＩＰアドレス３１に隣接ルータ装置１−２のＩＰアドレスを付与し、ヘッダ３０の送信元ＩＰアドレス３２に自ＩＰアドレスを付与し、制御パケットを作成する。そして、ＷＡＮ回線送信インタフェース１２は、ＷＡＮ回線４を介してルータ装置１−２へ制御パケットを送出する。この場合、ルータ装置１−１が制御パケットを初めて作成したとき、制御パケットのＩＰアドレステーブル３４にはルータ装置１−１のＩＰアドレスのみが格納される。尚、ルータ装置１−１には、隣接するルータ装置１−２のＩＰアドレスが予め設定されているものとする。以下、同様に、ルータ装置１−２〜１−ｉにも、隣接するルータ装置１−３〜１−１のＩＰアドレスが予め設定されているものとする。 The WAN side routing processing unit 14 of the router device 1-1 adds its own IP address to the end of the IP address table 34 of the payload 33 shown in FIG. 3, and the adjacent router device 1-2 is added to the destination IP address 31 of the header 30. And the own IP address is assigned to the source IP address 32 of the header 30 to create a control packet. Then, the WAN line transmission interface 12 sends a control packet to the router device 1-2 via the WAN line 4. In this case, when the router apparatus 1-1 creates a control packet for the first time, only the IP address of the router apparatus 1-1 is stored in the IP address table 34 of the control packet. It is assumed that the IP address of the adjacent router device 1-2 is preset in the router device 1-1. Hereinafter, similarly, it is assumed that the IP addresses of the adjacent router apparatuses 1-3 to 1-1 are set in advance in the router apparatuses 1-2 to 1-i.

ルータ装置１−２のＷＡＮ回線受信インタフェース１１は、ＷＡＮ回線４を介して制御パケットを受信し、ＷＡＮ側ルーティング処理部１４は、ペイロード３３のＩＰアドレステーブル３４の末尾に自ＩＰアドレスを追記し、ヘッダ３０の宛先ＩＰアドレス３１に隣接ルータ装置１−３のＩＰアドレスを付与し、ヘッダ３０の送信元ＩＰアドレス３２に自ＩＰアドレスを付与し、制御パケットを作成する。そして、ＷＡＮ回線送信インタフェース１２は、ＷＡＮ回線４を介してルータ装置１−３へ制御パケットを送出する。 The WAN line reception interface 11 of the router apparatus 1-2 receives the control packet via the WAN line 4, and the WAN side routing processing unit 14 adds its own IP address to the end of the IP address table 34 of the payload 33, The IP address of the adjacent router device 1-3 is assigned to the destination IP address 31 of the header 30, the own IP address is assigned to the transmission source IP address 32 of the header 30, and a control packet is created. Then, the WAN line transmission interface 12 sends a control packet to the router device 1-3 via the WAN line 4.

ルータ装置１−３，１−ｉは、ルータ装置１−１，１−２と同じ処理をそれぞれ実行する。これにより、制御パケットに各ルータ装置１−３，１−ｉのＩＰアドレスが順次追記される。そして、ルータ装置１−１のＷＡＮ回線受信インタフェース１１は、ＷＡＮ回線４を介してルータ装置１−ｉから制御パケットを受信する。図４に、リング網を巡回した後にルータ装置１−１が受信した制御パケットの構成を示す。ルータ装置１−１が受信した制御パケットは、宛先ＩＰアドレス３１にルータ装置１−１のＩＰアドレス、及び送信元ＩＰアドレス３２にルータ装置１−ｉのＩＰアドレスを有するヘッダ３０と、ルータ装置１−１〜１−ｉのＩＰアドレスをＩＰアドレステーブル３４に有するペイロード３３とから成る。ＷＡＮ側ルーティング処理部１４は、受信した制御パケットのＩＰアドレステーブル３４の先頭が自ルータ装置１−１のＩＰアドレスであると判断した場合は、当該ＩＰアドレステーブル３４に基づいて経路情報を生成し、ＷＡＮ側ルーティング処理部１４の経路情報テーブル２２に格納する。 The router devices 1-3 and 1-i execute the same processing as the router devices 1-1 and 1-2, respectively. As a result, the IP addresses of the router apparatuses 1-3 and 1-i are sequentially added to the control packet. Then, the WAN line reception interface 11 of the router apparatus 1-1 receives the control packet from the router apparatus 1-i via the WAN line 4. FIG. 4 shows a configuration of a control packet received by the router device 1-1 after circulating through the ring network. The control packet received by the router device 1-1 includes a header 30 having the IP address of the router device 1-1 as the destination IP address 31, and the IP address of the router device 1-i as the source IP address 32; And a payload 33 having IP addresses of −1 to 1-i in the IP address table 34. If the WAN-side routing processing unit 14 determines that the head of the IP address table 34 of the received control packet is the IP address of the own router device 1-1, the WAN-side routing processing unit 14 generates route information based on the IP address table 34. And stored in the route information table 22 of the WAN side routing processing unit 14.

次に、ルータ装置１−１のＷＡＮ側ルーティング処理部１４は、制御パケットのＩＰアドレステーブル３４の先頭の自ルータ装置１−１のＩＰアドレスを削除し、その末尾に自ＩＰアドレスを追記し、再びヘッダ３０の宛先ＩＰアドレス３１に隣接ルータ装置１−２のＩＰアドレスを付与し、ヘッダ３０の送信元ＩＰアドレス３２に自ＩＰアドレスを付与し、制御パケットを作成する。そして、ＷＡＮ回線送信インタフェース１２は、ＷＡＮ回線４を介してルータ装置１−２へ制御パケットを送出する。 Next, the WAN-side routing processing unit 14 of the router device 1-1 deletes the IP address of the own router device 1-1 at the head of the IP address table 34 of the control packet, and appends the own IP address at the end thereof. The IP address of the adjacent router device 1-2 is assigned to the destination IP address 31 of the header 30 again, the own IP address is assigned to the transmission source IP address 32 of the header 30, and a control packet is created. Then, the WAN line transmission interface 12 sends a control packet to the router device 1-2 via the WAN line 4.

ルータ装置１−２〜１−ｉは、ルータ装置１−１と同じ処理を実行することにより、それぞれ経路情報を生成し、ＷＡＮ側ルーティング処理部１４の経路情報テーブル２２に格納する。このような処理を繰り返すことにより、各ルータ装置１−１〜１−ｉは、制御パケットをリング網のネットワークに巡回させ、リング網全体の最新の経路情報に更新することができる。 The router devices 1-2 to 1-i execute the same processing as that of the router device 1-1 to generate route information and store the route information in the route information table 22 of the WAN side routing processing unit 14, respectively. By repeating such processing, each of the router devices 1-1 to 1-i can circulate the control packet to the network of the ring network and update the latest route information of the entire ring network.

〔ルータ装置の追加方法〕
次に、ルータ装置１−ｙを例にして、新規なルータ装置の追加方法について具体的に説明する。図５は、図１に示したＰ２Ｐ／ＣＵＧ通信システムにおけるルータ装置１−３とルータ装置１−ｉとの間に、新規なルータ装置１−ｙを追加する場合のシステム構成図である。図５において、新規なルータ装置１−ｙには、ネットワーク管理者等により隣接するルータ装置１−ｉのＩＰアドレスが設定される。また、ルータ装置１−３には、隣接するルータ装置１−ｙのＩＰアドレスが設定される。そして、ルータ装置１−３，１−ｙのＳＡ処理部１３は、隣接するルータ装置１−ｙ，１−ｉとの間でそれぞれＳＡを確立し、ＩＰトンネルを生成することにより、新規なルータ装置１−ｙを追加した新たなリング網が再構成される。このように、これらの設定により、新規なルータ装置１−ｙをＰ２Ｐ／ＣＵＧ通信システムのリング網に追加することができる。すなわち、ルータ装置１−１〜１−３，１−ｙ，１−ｉは、それぞれ自らのＩＰアドレスを付記した制御パケットを、この順番に巡回させることができ、各ルータ装置１−１〜１−３，１−ｉにおけるＷＡＮ側ルーティング処理部１４の経路情報テーブル２２には、新規なルータ装置１−ｙを追加した経路情報が格納される。そして、これらの経路情報テーブル２２に基づいて、ユーザデータパケットがリング網に送出される。 [How to add a router device]
Next, a method for adding a new router device will be specifically described with the router device 1-y as an example. FIG. 5 is a system configuration diagram when a new router device 1-y is added between the router device 1-3 and the router device 1-i in the P2P / CUG communication system shown in FIG. In FIG. 5, the IP address of the adjacent router device 1-i is set to the new router device 1-y by a network administrator or the like. The router device 1-3 is set with the IP address of the adjacent router device 1-y. Then, the SA processing unit 13 of the router apparatuses 1-3 and 1-y establishes an SA with the adjacent router apparatuses 1-y and 1-i and generates an IP tunnel, thereby creating a new router. A new ring network to which the device 1-y is added is reconfigured. Thus, with these settings, a new router device 1-y can be added to the ring network of the P2P / CUG communication system. That is, each of the router apparatuses 1-1 to 1-3, 1-y, and 1-i can circulate control packets with their own IP addresses in this order. The route information table 22 of the WAN side routing processing unit 14 in −3, 1-i stores the route information to which the new router device 1-y is added. Based on these route information tables 22, user data packets are sent to the ring network.

〔ルータ装置の離脱方法〕
次に、ルータ装置１−３を例にして、ルータ装置の離脱方法について具体的に説明する。図６は、図１に示したＰ２Ｐ／ＣＵＧ通信システムにおけるルータ装置１−３がそのリング網から離脱する場合のシステム構成図である。ルータ装置１−２のＳＡ処理部１３は、ルータ装置１−３との間のＳＡが消失したことを検出する。ルータ装置１−２のＷＡＮ側ルーティング処理部１４は、ルータ装置１−３との間のＳＡが消失しているため、ユーザデータパケットをＷＡＮ回線４へ送出する際に、経路情報テーブル２２に格納された先頭の隣接ルータＩＰアドレスであるルータ装置１−３のＩＰアドレスを削除する。 [How to disconnect the router]
Next, taking the router apparatus 1-3 as an example, a method for detaching the router apparatus will be specifically described. FIG. 6 is a system configuration diagram when the router apparatus 1-3 in the P2P / CUG communication system shown in FIG. 1 leaves the ring network. The SA processing unit 13 of the router device 1-2 detects that the SA with the router device 1-3 has disappeared. The WAN side routing processing unit 14 of the router device 1-2 stores the user data packet in the route information table 22 when sending the user data packet to the WAN line 4 because the SA with the router device 1-3 has disappeared. The IP address of the router device 1-3 that is the head IP address of the adjacent neighbor router is deleted.

次に、ルータ装置１−２のＷＡＮ側ルーティング処理部１４は、上記削除後の経路情報テーブル２２から、その先頭に格納されているルータ装置１−ｉのＩＰアドレスを取得し、ルータ装置１−ｉのＩＰアドレスを隣接ルータＩＰアドレスとして選択する。ＳＡ処理部１３は、ルータ装置１−ｉとの間のＳＡを確立し、ＩＰトンネルを生成する。そして、ＷＡＮ側ルーティング処理部１４は、ルータ装置１−ｉのＩＰアドレスをゲートウェイＩＰアドレス２０として付与する。そして、ＷＡＮ回線送信インタフェース１２は、ユーザデータパケットをルータ装置１−ｉへ送出する。一方、各ルータ装置１−１〜１−ｉの経路情報は、上述した制御パケットの巡回により順次更新される。 Next, the WAN side routing processing unit 14 of the router apparatus 1-2 acquires the IP address of the router apparatus 1-i stored at the head from the route information table 22 after the deletion, and the router apparatus 1- The IP address of i is selected as the neighboring router IP address. The SA processing unit 13 establishes an SA with the router device 1-i and generates an IP tunnel. Then, the WAN side routing processing unit 14 assigns the IP address of the router device 1-i as the gateway IP address 20. Then, the WAN line transmission interface 12 sends the user data packet to the router apparatus 1-i. On the other hand, the route information of each router apparatus 1-1 to 1-i is sequentially updated by the above-described control packet circulation.

〔特定のピア間における高速通信方法〕
次に、情報端末３−１と情報端末３−６とを例にして、特定のピア間における高速通信方法を、図１を参照して具体的に説明する。尚、ルータ装置１−１〜１−ｉにおけるＷＡＮ側ルーティング処理部１４の経路情報テーブル２２、及びＬＡＮ側ルーティング処理部１７のＬＡＮ側情報端末ＩＰアドレステーブル２３には、それぞれ上述したデータが格納されているものとする。また、ルータ装置１−１のデフォルトルータＩＰアドレス２６には、ルータ装置１−３のＩＰアドレスが格納されているものとする。 [High-speed communication method between specific peers]
Next, taking the information terminal 3-1 and the information terminal 3-6 as examples, a high-speed communication method between specific peers will be specifically described with reference to FIG. The above-described data is stored in the route information table 22 of the WAN side routing processing unit 14 and the LAN side information terminal IP address table 23 of the LAN side routing processing unit 17 in the router apparatuses 1-1 to 1-i, respectively. It shall be. In addition, it is assumed that the IP address of the router device 1-3 is stored in the default router IP address 26 of the router device 1-1.

情報端末３−１は、情報端末３−６のＩＰアドレスを着側ＩＰアドレスとし、自ＩＰアドレスを発側ＩＰアドレスとし、ポート番号をＳとするユーザデータパケットを作成する。そして、情報端末３−１は、ＬＡＮ回線５−１及びＬＡＮ装置２−１を介してルータ装置１−１へ当該ユーザデータパケットを送信する。 The information terminal 3-1 creates a user data packet with the IP address of the information terminal 3-6 as the called IP address, the own IP address as the calling IP address, and the port number as S. Then, the information terminal 3-1 transmits the user data packet to the router device 1-1 via the LAN line 5-1 and the LAN device 2-1.

ルータ装置１−１のＬＡＮ回線受信インタフェース１９は、ユーザデータパケットを受信し、ＬＡＮ側ルーティング処理部１７は、そのユーザデータパケットを解析する。具体的には、ＬＡＮ側ルーティング処理部１７は、ユーザデータパケットの着側ＩＰアドレスがＬＡＮ側情報端末ＩＰアドレステーブル２３に格納されているか否かを確認し、ユーザデータパケットが自ルータ装置配下の情報端末宛てであるか否かを判断する。また、ユーザデータパケットに特別なポート番号Ｓが設定されているか否かを確認し、ユーザデータパケットの直接通信、またはＩＰトンネルによるリング網を介した通信のいずれかを行うことを判断する。この場合、ＬＡＮ側ルーティング処理部１７は、ＬＡＮ側情報端末ＩＰアドレステーブル２３に情報端末３−６のＩＰアドレスが格納されていないことを確認し、ユーザデータパケットが自ルータ配下の情報端末宛てではないことを判断する。また、特別なポート番号Ｓが設定されていることを確認し、ポート番号テーブル２４に格納されたポート番号Ｓに対応する機能を実現するため、暗号化及びＷＡＮ側ルーティング処理を行うことなく直接通信を行うことを判断する。そして、ＷＡＮ回線送信インタフェース１２は、デフォルトルータＩＰアドレス２６であるルータ装置１−３のＩＰアドレスを取得し、当該ＩＰアドレスをゲートウェイアドレスとして付与し、ユーザデータパケットをルータ装置１−３へ送出する。 The LAN line reception interface 19 of the router device 1-1 receives the user data packet, and the LAN side routing processing unit 17 analyzes the user data packet. Specifically, the LAN side routing processing unit 17 checks whether or not the destination IP address of the user data packet is stored in the LAN side information terminal IP address table 23, and the user data packet is subordinate to the own router device. It is determined whether it is addressed to the information terminal. Further, it is confirmed whether or not a special port number S is set in the user data packet, and it is determined that either the direct communication of the user data packet or the communication through the ring network using the IP tunnel is performed. In this case, the LAN side routing processing unit 17 confirms that the IP address of the information terminal 3-6 is not stored in the LAN side information terminal IP address table 23, and the user data packet is not addressed to the information terminal under its own router. Judge that there is no. In addition, in order to confirm that a special port number S is set and realize a function corresponding to the port number S stored in the port number table 24, direct communication is performed without performing encryption and WAN side routing processing. Determine to do. Then, the WAN line transmission interface 12 acquires the IP address of the router device 1-3 that is the default router IP address 26, assigns the IP address as a gateway address, and sends the user data packet to the router device 1-3. .

次に、ユーザデータパケットは、ＷＡＮ回線４のＩＰ転送機能により転送される。ルータ装置１−３のＷＡＮ回線受信インタフェース１１は、ユーザデータパケットを受信し、ＷＡＮ側ルーティング処理部１４は、ユーザデータパケットに特別なポート番号が設定されていることを確認すると、ポート番号テーブル２５に格納されたポート番号Ｓに対応する機能を実現するため、ＩＰＳｅｃ復号部１５を介することなくＬＡＮ側ルーティング処理部１７にユーザデータパケットを直接出力する。ＬＡＮ側ルーティング処理部１７は、ユーザデータパケットの着側ＩＰアドレスがＬＡＮ側情報端末ＩＰアドレステーブル２３に格納されているか否かを確認し、ユーザデータパケットが自ルータ装置配下の情報端末宛てであるか否かを判断する。この場合、ＬＡＮ側ルーティング処理部１７は、ＬＡＮ側情報端末ＩＰアドレステーブル２３に情報端末３−６のＩＰアドレスが格納されていることを確認し、ユーザデータパケットが自ルータ配下の情報端末宛てであることを判断する。そして、ＬＡＮ回線送信インタフェース１８は、ＬＡＮ装置２−３及びＬＡＮ回線５−３を介して情報端末３−６へユーザデータパケットを送信する。 Next, the user data packet is transferred by the IP transfer function of the WAN line 4. When the WAN line reception interface 11 of the router apparatus 1-3 receives the user data packet and the WAN side routing processing unit 14 confirms that a special port number is set in the user data packet, the port number table 25 In order to realize the function corresponding to the port number S stored in the network, the user data packet is directly output to the LAN side routing processing unit 17 without going through the IPSec decoding unit 15. The LAN side routing processing unit 17 confirms whether or not the destination IP address of the user data packet is stored in the LAN side information terminal IP address table 23, and the user data packet is addressed to the information terminal under its own router device. Determine whether or not. In this case, the LAN side routing processing unit 17 confirms that the IP address of the information terminal 3-6 is stored in the LAN side information terminal IP address table 23, and the user data packet is addressed to the information terminal under its own router. Judge that there is. The LAN line transmission interface 18 transmits the user data packet to the information terminal 3-6 via the LAN device 2-3 and the LAN line 5-3.

以上のように、本発明の実施形態によれば、ルータ装置１−１は、ＩＰＳｅｃのトンネリングモードによるＩＰトンネルを用いてルータ装置１−２，１−ｉと接続され、ルータ装置１−２は、ＩＰＳｅｃのトンネリングモードによるＩＰトンネルを用いてルータ装置１−３，１−１と接続され、ルータ装置１−３は、ＩＰＳｅｃのトンネリングモードによるＩＰトンネルを用いてルータ装置１−ｉ，１−２と接続され、ルータ装置１−ｉは、ＩＰＳｅｃのトンネリングモードによるＩＰトンネルを用いてルータ装置１−１，１−３と接続され、ルータ装置１−１〜１−ｉから成る論理的なリング網を構成するようにした。これにより、各ルータ装置１−１〜１−ｉは、２個のＳＡ及びＩＰトンネルによってＣＵＧ内の全てのルータ装置とＰ２Ｐ通信を行うことができる。 As described above, according to the embodiment of the present invention, the router device 1-1 is connected to the router devices 1-2 and 1-i using the IP tunnel in the tunneling mode of IPSec, and the router device 1-2 is Are connected to router apparatuses 1-3 and 1-1 using IP tunnels in IPSec tunneling mode, and router apparatus 1-3 is connected to router apparatuses 1-i and 1-2 using IP tunnels in IPSec tunneling mode. The router device 1-i is connected to the router devices 1-1 and 1-3 using an IP tunnel in IPSec tunneling mode, and is a logical ring network including the router devices 1-1 to 1-i. Was configured. Thereby, each router apparatus 1-1 to 1-i can perform P2P communication with all the router apparatuses in the CUG through two SA and IP tunnels.

また、本発明の実施形態によれば、ルータ装置１−１〜１−ｉは、自らのＩＰアドレスを追記して制御パケットをリング網に巡回させ、経路情報を取得するようにした。これにより、巡回後の制御パケットを受信する毎に、新たな経路情報に更新することができる。 Further, according to the embodiment of the present invention, the router apparatuses 1-1 to 1-i additionally write their own IP addresses to circulate control packets to the ring network and acquire route information. Thereby, whenever it receives the control packet after a circulation, it can be updated to new route information.

また、本発明の実施形態によれば、ＣＵＧに新規なルータ装置１−ｙがルータ装置１−３とルータ装置１−ｉとの間に追加される場合、新規なルータ装置１−ｙ及びこれに隣接する２つのルータ装置１−３，１−ｉに対する経路情報を変更し、ルータ装置１−ｙからルータ装置１−ｉ及びルータ装置１−３からルータ装置１−ｙへのＳＡ及びＩＰトンネルを確立及び保持すれば済むようにした。これにより、論理的なリング網を構成するルータ装置が多数になっても、ルーティング規則の変更は局所化され、リング網全体に対する影響は小さくなるから、容易に新規なルータ装置を追加することができる。 According to the embodiment of the present invention, when a new router device 1-y is added to the CUG between the router device 1-3 and the router device 1-i, the new router device 1-y and The route information for the two router devices 1-3, 1-i adjacent to each other is changed, and the SA and IP tunnels from the router device 1-y to the router device 1-i and the router device 1-3 to the router device 1-y are changed. Can be established and maintained. As a result, even if there are a large number of router devices that make up a logical ring network, changes to the routing rules are localized and the effect on the entire ring network is reduced, so new router devices can be easily added. it can.

また、本発明の実施形態によれば、ＣＵＧからルータ装置１−３が離脱した場合、ルータ装置１−２がそのＳＡを検出し、経路情報テーブル２２からルータ装置１−３のＩＰアドレスを削除し、新たなルータ装置１−ｉを選択してＳＡを確立しＩＰトンネルを生成するようにした。これにより、ルータ装置１−２は、通信システム全体の通信を切断することなく自律的にＳＡの確立とＩＰトンネルの生成を行うことができ、リング網を再構成することができる。 Further, according to the embodiment of the present invention, when the router device 1-3 is disconnected from the CUG, the router device 1-2 detects the SA and deletes the IP address of the router device 1-3 from the route information table 22. Then, a new router device 1-i is selected to establish an SA and generate an IP tunnel. Thereby, the router apparatus 1-2 can autonomously establish an SA and generate an IP tunnel without disconnecting the communication of the entire communication system, and can reconfigure the ring network.

また、本発明の実施形態によれば、特別なポート番号Ｓを用いることにより、ＩＰトンネルによるリング網を介することなく、ルータ装置のピア間で直接通信を行うようにした。これにより、リング網の一部に輻輳が発生した場合であっても、広帯域を確保でき、高速通信を実現することができる。また、ピア間通信のセキュリティについては、例えばポート番号を暗号化しないセキュアソケットレイヤ（ＳＳＬ／ＳｅｃｕｒｅＳｏｃｋｅｔｓＬａｙｅｒ）を適用することにより、維持することができる。 In addition, according to the embodiment of the present invention, by using a special port number S, direct communication is performed between peers of the router device without going through a ring network using an IP tunnel. As a result, even when congestion occurs in a part of the ring network, a wide band can be secured and high-speed communication can be realized. Further, the security of peer-to-peer communication can be maintained by applying a secure socket layer (SSL / Secure Sockets Layer) that does not encrypt the port number, for example.

以上実施形態を挙げて本発明を説明したが、本発明は上記実施形態に限定されるものではなく、その技術思想を逸脱しない範囲で種々変形可能である。例えば、上記実施形態では、図１に示したように、ルータ装置１−１〜１−ｉがＷＡＮ回線４に接続され、情報端末３−１〜３−ｋがＬＡＮ回線５−１〜５−ｍに接続される構成としたが、情報端末にルータ装置の機能を実装させることにより、情報端末をＷＡＮ回線４に直接接続させる構成にしてもよい。この場合、ルータ装置及びルータ装置の機能を実装した情報端末によりリング網が構成される。すなわち、ＷＡＮ回線４に直接接続された情報端末は、ＷＡＮ回線４を介してユーザデータパケットを受信すると、ユーザデータパケットの着側ＩＰアドレスと自らのＩＰアドレスとを比較し、ユーザデータパケットが自情報端末宛てであるか否かを判断する。ＩＰアドレスが一致した場合には、自情報端末宛てのユーザデータパケットとして処理する。一方、ＩＰアドレスが一致しない場合には、ＩＰＳｅｃ暗号化を行い、隣接するルータ装置、またはＷＡＮ回線４に直接接続された他の情報端末へユーザデータパケットを送出する。また、ユーザデータパケットの発側ＩＰアドレスと自らのＩＰアドレスとを比較し、一致した場合には、受信側のルータ装置または情報端末が存在しないとして、当該ユーザデータパケットを廃棄する。 Although the present invention has been described with reference to the embodiments, the present invention is not limited to the above-described embodiments, and various modifications can be made without departing from the technical idea thereof. For example, in the above embodiment, as illustrated in FIG. 1, the router devices 1-1 to 1-i are connected to the WAN line 4, and the information terminals 3-1 to 3-k are connected to the LAN lines 5-1 to 5- However, the information terminal may be directly connected to the WAN line 4 by mounting the function of the router device on the information terminal. In this case, a ring network is configured by the router device and the information terminal in which the router device function is implemented. That is, when an information terminal directly connected to the WAN line 4 receives a user data packet via the WAN line 4, the information terminal compares the destination IP address of the user data packet with its own IP address. It is determined whether it is addressed to the information terminal. If the IP addresses match, it is processed as a user data packet addressed to its own information terminal. On the other hand, if the IP addresses do not match, IPSec encryption is performed, and the user data packet is sent to the adjacent router device or another information terminal directly connected to the WAN line 4. In addition, the originating IP address of the user data packet is compared with its own IP address, and if they match, the receiving router device or information terminal is not present and the user data packet is discarded.

また、上記実施形態では、ルータ装置１−１〜１−ｉは、ＷＡＮ回線４から受信したユーザデータパケットが自ルータ配下の情報端末宛てではないことを判断すると、ユーザデータパケットのＩＰＳｅｃ暗号化を行い、隣接するルータ装置に送出するようにしたが、ＷＡＮ回線４から受信したユーザデータパケットを復号する前に保存しておき、ＩＰＳｅｃ暗号化を行わないで、当該保存した復号前のユーザデータパケットをＷＡＮ回線４に送出するようにしてもよい。 In the above embodiment, when the router apparatuses 1-1 to 1-i determine that the user data packet received from the WAN line 4 is not addressed to the information terminal under its own router, the router apparatus 1-1 to 1-i performs IPSec encryption of the user data packet. The user data packet received from the WAN line 4 is stored before being decrypted, and is stored without decryption, and the stored user data packet before decryption is transmitted. May be sent to the WAN line 4.

また、上記実施形態では、ルータ装置１−１〜１−ｉが自ＩＰアドレスを追記した後に制御パケットを巡回させるようにしたが、その巡回周期が短く、経路情報の更新が頻繁に行われる場合には、適当なタイマ値に基づいて制御パケットを送出することにより、巡回制御を行うようにしてもよい。 Further, in the above embodiment, the router apparatus 1-1 to 1-i circulates the control packet after adding its own IP address. However, when the circulation cycle is short and the route information is frequently updated. Alternatively, cyclic control may be performed by sending a control packet based on an appropriate timer value.

また、上記実施形態では、ルータ装置１−３の離脱は、ＣＵＧから意図して物理的に取り外した場合について説明したが、ルータ装置１−３自体の障害やＷＡＮ回線４の障害により、ルータ装置１−３が意図しないで離脱した場合にも同じ動作となり、通信システム全体の通信を切断することなく自律的にＳＡの確立とＩＰトンネルの生成を行うことができ、リング網を再構成することができる。 In the above-described embodiment, the router device 1-3 has been detached from the CUG and physically removed. However, the router device 1-3 itself or a WAN line 4 may cause a router device 1-3 failure. Even if 1-3 is unintentionally disconnected, the same operation is performed, and the SA can be autonomously established and the IP tunnel can be generated without disconnecting the communication system as a whole, and the ring network can be reconfigured. Can do.

本発明の実施の形態に係るＰ２Ｐ／ＣＵＧ通信システムのリング網を簡略化した図である。It is the figure which simplified the ring network of the P2P / CUG communication system which concerns on embodiment of this invention. 図１のルータ装置の機能構成を示す図である。It is a figure which shows the function structure of the router apparatus of FIG. 制御パケットのフォーマットを示す図である。It is a figure which shows the format of a control packet. リング網を巡回した後の制御パケットの構成を示す図である。It is a figure which shows the structure of the control packet after circulating a ring network. 新規なルータ装置を追加した場合のＰ２Ｐ通信システムを示す図である。It is a figure which shows the P2P communication system at the time of adding a new router apparatus. ルータ装置を離脱させた場合のＰ２Ｐ通信システムを示す図である。It is a figure which shows the P2P communication system at the time of separating a router apparatus.

Explanation of symbols

１，１−１〜１−ｉ，１−ｙルータ装置
２，２−１〜２−ｊＬＡＮ装置
３，３−１〜３−ｋ，３−ｘ情報端末
４ＷＡＮ回線
５，５−１〜５−ｍＬＡＮ回線
１１ＷＡＮ回線受信インタフェース
１２ＷＡＮ回線送信インタフェース
１３ＳＡ処理部
１４ＷＡＮ側ルーティング処理部
１５ＩＰＳｅｃ復号部
１６ＩＰＳｅｃ暗号化部
１７ＬＡＮ側ルーティング処理部
１８ＬＡＮ回線送信インタフェース
１９ＬＡＮ回線受信インタフェース
２０ゲートウェイＩＰアドレス
２１自ルータ装置ＩＰアドレス
２２経路情報テーブル
２３ＬＡＮ側情報端末ＩＰアドレステーブル
２４，２５ポート番号テーブル
２６デフォルトルータＩＰアドレス
３０ヘッダ
３１宛先ＩＰアドレス
３２送信元ＩＰアドレス
３３ペイロード
３４ＩＰアドレステーブル 1, 1-1 to 1-i, 1-y router device 2, 2-1 to 2-j LAN device 3, 3-1 to 3-k, 3-x information terminal 4 WAN line 5, 5-1 to 5-m LAN line 11 WAN line reception interface 12 WAN line transmission interface 13 SA processing unit 14 WAN side routing processing unit 15 IPSec decryption unit 16 IPSec encryption unit 17 LAN side routing processing unit 18 LAN line transmission interface 19 LAN line reception interface 20 Gateway IP address 21 Own router IP address 22 Route information table 23 LAN side information terminal IP address table 24, 25 Port number table 26 Default router IP address 30 Header 31 Destination IP address 32 Source IP address 33 Payload 34 IP address table

Claims

User data packets from the communication device that is the transmission source or the originating device of the communication terminal to the communication device that is the transmission destination or the destination device of the communication terminal under an IP network including a plurality of communication devices to which the communication terminal is connected A peer-to-peer communication method for transmitting
The communication device
Create an IP tunnel by IPSec with an adjacent communication device to configure a ring network,
The user data packet generated using the IP address of the called device as the called IP address and the IP address of the calling device as the calling address is encrypted,
The IP address of the communication device adjacent to the communication device is assigned to the user data packet as a gateway IP address,
A peer-to-peer communication method, comprising: transmitting the user data packet to a communication device addressed to a gateway IP address using the IP tunnel.

The peer-to-peer communication method according to claim 1,
The communication device that has received the user data packet includes:
Decode the user data packet, compare the destination IP address of the user data packet with the IP address of the communication device of its own,
A peer-to-peer communication method characterized in that if the IP addresses match, the user data packet is processed assuming that the communication device is the called device.

The peer-to-peer communication method according to claim 1 or 2,
The communication device that has received the user data packet includes:
Decoding the user data packet, comparing the destination IP address of the user data packet with the IP address of the communication terminal connected as the subordinate of the own communication device,
A peer-to-peer communication method comprising: transmitting a user data packet to a communication terminal assuming that the communication terminal connected as a subordinate of the communication apparatus is a destination apparatus when the IP addresses match.

The peer-to-peer communication method according to claim 2 or 3,
The communication device that has received the user data packet includes:
A peer-to-peer communication method, comprising: transmitting an encrypted user data packet or an undecrypted user data packet to a communication device adjacent to the communication device when the IP addresses do not match.

The peer-to-peer communication method according to claim 2 or 3,
The communication device that has received the user data packet includes:
Decoding the user data packet, comparing the originating IP address of the user data packet with the IP address of the own communication device or the IP address of the communication terminal connected as a subordinate of the own communication device,
A peer-to-peer communication method, comprising: discarding a received user data packet when the IP addresses match.

The peer-to-peer communication method according to any one of claims 1 to 5,
The communication device constituting the ring network is:
A peer-to-peer communication method characterized by sequentially circulating control packets to which an IP address of its own communication device is added to generate route information of the communication devices constituting the ring network.

The peer-to-peer communication method according to claim 6,
When a new third communication device is added between the first communication device and the second communication device constituting the ring network,
The IP address of the second communication device is set as the IP address of the communication device adjacent to the third communication device in the third communication device,
In the first communication device, the IP address of the third communication device is set instead of the IP address of the second communication device already set as the IP address of the communication device adjacent to the first communication device. ,
An IP tunnel was created by IPSec between the first communication device and the third communication device and between the third communication device and the second communication device, and a new third communication device was added. A peer-to-peer communication method comprising a ring network.

The peer-to-peer communication method according to claim 6,
When any one of the plurality of communication devices leaves the ring network,
The communication device constituting the ring network is:
Detects the separation of an adjacent communication device, deletes the IP address of the separated adjacent communication device from the generated route information, selects a new adjacent communication device, and establishes a connection with the newly adjacent communication device A peer-to-peer communication method comprising: forming an IP tunnel by IPSec and configuring a ring network excluding the disconnected communication device.

The peer-to-peer communication method according to any one of claims 1 to 8,
The communication device connected to the communication device that is the calling device or the communication terminal that is the calling device is:
In a predetermined case, a user data packet is directly transmitted to a communication device that is a destination device or a communication device that is connected to a communication terminal that is a destination device without using an IP tunnel based on IPSec. To peer-to-peer communication method.

User data packets from the communication device that is the transmission source or the originating device of the communication terminal to the communication device that is the transmission destination or the destination device of the communication terminal under an IP network including a plurality of communication devices to which the communication terminal is connected A peer-to-peer communication system for transmitting
The communication device
A secure processing unit that creates an IP tunnel by IPSec with an adjacent communication device to form a ring network;
An encryption unit for encrypting a user data packet generated using the IP address of the called device as the called IP address and the IP address of the calling device as the calling address;
A first routing processing unit that assigns an IP address of a communication device adjacent to the communication device to a user data packet as a gateway IP address;
A peer-to-peer communication system comprising: a transmission interface for transmitting the user data packet to a communication device addressed to a gateway IP address using the IP tunnel.

The peer-to-peer communication system according to claim 10,
The communication device constituting the ring network further includes:
A receiving interface for receiving user data packets;
A decoding unit for decoding the received user data packet;
The destination IP address of the user data packet is compared with the IP address of the own communication device or the IP address of the communication terminal connected as a subordinate of the own communication device, and the IP address of the own communication device is If there is a match, the user data packet is processed as if the communication device of interest is the called device, and if the IP address of the communication terminal matches, the user data is transmitted to the communication terminal as if the communication terminal is the called device. Send a packet,
If the IP addresses do not match,
Second routing processing for sending the user data packet encrypted by the encryption unit or the user data packet before decryption to the communication device adjacent to the communication device via the first routing processing unit and the transmission interface A peer-to-peer communication system comprising a unit.

The peer-to-peer communication system according to claim 11,
The second routing processing unit of the communication device configuring the ring network further includes:
Compare the originating IP address of the user data packet with the IP address of the own communication device or the IP address of the communication terminal connected under the control of the own communication device,
A peer-to-peer communication system, wherein when the IP addresses match, the received user data packet is discarded.

In the peer-to-peer communication system according to any one of claims 10 to 12,
The first routing processing unit of the communication device constituting the ring network further includes:
A peer-to-peer communication system characterized in that a control packet to which an IP address of its own communication device is added is sequentially circulated to generate route information of the communication device constituting the ring network.

The peer-to-peer communication system according to claim 13,
When a new third communication device is added between the first communication device and the second communication device constituting the ring network,
In the secure processing unit of the third communication device, the IP address of the second communication device is set as the IP address of the communication device adjacent to the third communication device, and the second communication adjacent to the third communication device using the IP address. Create an IPSec IP tunnel with the device,
The secure processing unit of the first communication device uses the IP address of the third communication device instead of the IP address of the second communication device already set as the IP address of the communication device adjacent to the first communication device. A ring network in which an IP address is set, an IP tunnel by IPSec is generated between the adjacent third communication apparatuses using the IP address, and a new third communication apparatus is added is configured. Peer-to-peer communication system.

The peer-to-peer communication system according to claim 13,
When any one of the plurality of communication devices leaves the ring network,
The first routing processing unit of the communication device constituting the ring network deletes the IP address of the separated adjacent communication device from the generated route information, and selects a new adjacent communication device,
The secure processing unit detects a disconnection of an adjacent communication device, generates an IP tunnel by IPSec with the newly adjacent communication device selected by the routing processing unit, and removes the disconnected communication device A peer-to-peer communication system comprising a network.

The peer-to-peer communication system according to any one of claims 10 to 15,
The communication device connected to the communication device that is the calling device or the communication terminal that is the calling device is:
In a predetermined case, a user data packet is directly transmitted to a communication device that is a destination device or a communication device that is connected to a communication terminal that is a destination device without using an IP tunnel based on IPSec. Peer-to-peer communication system.