WO2011010735A1 - 中継装置 - Google Patents
中継装置 Download PDFInfo
- Publication number
- WO2011010735A1 WO2011010735A1 PCT/JP2010/062465 JP2010062465W WO2011010735A1 WO 2011010735 A1 WO2011010735 A1 WO 2011010735A1 JP 2010062465 W JP2010062465 W JP 2010062465W WO 2011010735 A1 WO2011010735 A1 WO 2011010735A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- relay device
- communication
- address
- communication terminal
- relay
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/44—Distributed routing
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/54—Organization of routing tables
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/64—Routing or path finding of packets in data switching networks using an overlay routing layer
Definitions
- the present invention relates to a technology for connecting a plurality of LANs (Local Area Network) to each other by VPN (Virtual Private Network).
- LANs Local Area Network
- VPN Virtual Private Network
- a VPN router which is a relay device for mutually connecting networks such as a LAN, relays communication data by tunneling and encrypting communication performed between networks.
- IPsec Security Architecture for Internet Protocol
- PPTP Point-to-Point Tunneling Protocol
- L2TP Layer-2 Tunneling Protocol
- VPN settings in VPN routers are often complicated. Therefore, as a configuration that simplifies the setting, technologies for generating setting contents centrally on a server and providing the settings to each router via a network are disclosed in Patent Documents 1 and 2, for example.
- Patent Documents 1 and 2 disclose technologies for generating setting contents centrally on a server and providing the settings to each router via a network.
- the processing load is concentrated on the server, so that it is difficult to apply to a large-scale network, and if the server fails, the entire system does not operate.
- Patent Document 3 discloses a technique that uses a structured overlay such as a distributed hash table in communication between terminals. According to this technology, it is not necessary to change the setting when joining or leaving the communication, and a server that centrally manages information is also unnecessary.
- Patent Document 3 it is possible to realize communication at a site using a structured overlay, but in this case, software for configuring the structured overlay is installed in all terminals participating in the communication. It was necessary to register the settings in advance. In the case of a configuration using conventional IPsec or the like, it is necessary to change the setting of the logical path and the setting of the route with the addition / deletion of all the devices participating in the VPN. Also, in order to realize full mesh communication, it is necessary to set many logical paths and routes according to the number of participating terminals.
- the present invention has been made in view of the above circumstances, and an object thereof is to easily perform communication using VPN between communication terminals connected to different relay apparatuses.
- the present invention connects to another relay apparatus using a VPN (Virtual Private Network), and a communication terminal connected to the other relay apparatus and a communication terminal connected to the own relay apparatus.
- a relay device that relays communication between the communication terminal and the other relay device to form a structured overlay, and using the structured overlay, information related to the private address of the communication terminal and the communication terminal
- An overlay configuration means for managing the route database in association with the information indicating the global address of the relay device connected to the relay device among the relay devices constituting the structured overlay, and the communication connected to the own relay device Destination information indicating communication data transmitted from the terminal and indicating the private address of the communication terminal that is the destination of the communication data
- a first receiving means for receiving communication data having information and a route database managed in a distributed manner, and specifying a global address corresponding to a private address indicated by destination information of the communication data received by the first receiving means
- a second transmitting unit for transmitting communication data received by the first receiving unit to the other relay device in which the global address specified by the specifying unit
- the second transmission means encrypts communication data using a specific encryption key when transmitting the communication data
- the first transmission means receives the communication data received by the second reception means. And is transmitted to the communication terminal related to the destination information of the communication data, and the encryption in the second transmission means is a case of transmitting to any other relay device constituting the structured overlay.
- a common encryption key is used.
- the information associating the global address of the other relay device specified by the specifying means with the information on the private address of the communication terminal used to specify the global address refers to the information stored in the temporary storage means, and the stored information is received by the first reception means. If there is a global address associated with the private address indicated by the destination information of the communication data, the communication data received by the first receiving unit is sent to another relay device in which the global address is set. It is characterized by transmitting.
- the information related to the private address of the communication terminal in the distributed and managed route database indicates a network address including the private address, and the private address of the communication terminal and the network address Storage means for storing a prefix rule table indicating a correspondence relationship, wherein the specifying means refers to the prefix rule table stored in the storage means and the route database managed in a distributed manner; A global address corresponding to the private address indicated in the destination information of the received communication data is specified.
- the distributed database when connected to the other relay device, the distributed database is referred to, and information on private addresses other than the private addresses included in the route database is obtained as a global address of the own relay device.
- communication using VPN can be easily performed between communication terminals connected to different relay apparatuses.
- FIG. 1 It is a block diagram which shows the structure of the communication system which concerns on embodiment of this invention. It is a block diagram which shows the structure of the relay apparatus which concerns on embodiment of this invention. It is a figure explaining the structure which implement
- FIG. 1 is a block diagram showing a configuration of a communication system 1 according to an embodiment of the present invention.
- the communication system 1 includes relay devices 20A, 20B, 20C, and 20D (hereinafter referred to as the relay device 20 when not distinguished from each other) provided at the sites A, B, C, and D, and the relay devices 20 respectively.
- LANs 30A, 30B, 30C, 30D (hereinafter referred to as LAN 30 if they are not distinguished from each other) configured by communication terminals (not shown) connected to.
- Each relay device 20 connects each LAN 30 to a communication network 10 that is a public network such as the Internet, and relays communication from a communication terminal in each LAN 30 to a communication terminal in another LAN 30.
- the relay device 20 is, for example, a VPN router, receives a packet that is a block of data transmitted from the communication network 10 according to a specific communication protocol (for example, IP (Internet Protocol)), and in the connected LAN 30. If the packet is addressed to each communication terminal, the packet is transmitted to the destination communication terminal. On the other hand, a packet transmitted from the LAN 30 is transmitted to the relay device 20 to which the destination communication terminal of the packet is connected.
- the relay device 20 is connected to the other relay device 20 via the VPN via the VPN processing unit 213 (see FIG. 3) described later via the communication network 10. Further, a structured overlay such as a distributed hash table is configured by a structured overlay processing unit 212 (see FIG. 3) described later.
- the configuration of the relay device 20 will be described with reference to FIG.
- FIG. 2 is a block diagram showing a configuration of the relay device 20 according to the embodiment of the present invention.
- the relay device 20 includes a control unit 21, a UI (User ⁇ Interface) unit 22, a first communication IF (Interface) unit 23, a second communication IF unit 24, and a storage unit 25, each of which is configured via a bus 26. Connected.
- the control unit 21 includes a CPU (Central Processing Unit), a ROM (Read Only Memory), a RAM (Random Access Memory), and the like.
- the CPU reads out a control program stored in the ROM, loads it into the RAM, and executes it to control each unit of the relay device 20 via the bus 26, thereby realizing a communication processing function described later.
- the RAM functions as a work area when the CPU processes each data.
- the UI unit 22 is used when various settings are performed by the administrator of the relay device 20, an operation unit such as a keyboard and operation buttons, a display such as a liquid crystal display that performs display according to the control of the control unit 21 such as a setting screen display. Has a part.
- the UI unit 22 outputs data indicating the operation content to the control unit 21.
- the UI unit 22 may not be provided.
- various settings are performed by remote operation in a management apparatus (not shown) via a network such as the communication network 10 and the LAN 30.
- the first communication IF unit 23 and the second communication IF unit 24 are communication means such as NIC (Network Interface Card).
- the first communication IF unit 23 is connected to the LAN 30. More specifically, the first communication IF unit 23 in the relay devices 20A, 20B, 20C, and 20D is connected to the LANs 30A, 30B, 30C, and 30D, respectively.
- the second communication IF unit 24 is connected to the communication network 10.
- the first communication IF unit 23 and the second communication IF unit 24 When the first communication IF unit 23 and the second communication IF unit 24 receive a packet from each connected network, the first communication IF unit 23 and the second communication IF unit 24 output the packet output from the control unit 21 to a network (communication network). 10 or LAN 30).
- the storage unit 25 is, for example, a hard disk or a non-volatile memory, and data is read and written by the control unit 21.
- the storage unit 25 stores, for example, setting information indicating contents set in the relay device 20 by operating the UI unit 22 and a part of the control program.
- a PR (Prefix Rule) table 251 a route table 252, a route record 253, a route cache 254, an encryption key 255 (see FIG. 3), and the like are also stored. Details of these will be described later. The above is the description of the configuration of the relay device 20.
- the communication processing function constitutes a structured overlay with each relay device 20 connected to the communication network 10, and the LAN 30 connected to the communication terminal in the LAN 30 connected to this relay device 20 and the other relay device 20. This is a function for relaying communication with a communication terminal.
- Each configuration in the communication processing function described below may be realized by hardware.
- FIG. 3 is a diagram illustrating a configuration for realizing a communication processing function.
- the packet processing unit 211, the structured overlay processing unit 212, the VPN processing unit 213, the route management unit 214, and the PR table 251, the route table 252, the route record 253 stored in the storage unit 25, The route cache 254 and the encryption key 255 are used.
- storage part 25 is demonstrated.
- FIG. 4 is a diagram for explaining the configuration of the PR table 251.
- the PR table 251 is information indicating a network address including the private address indicated in the destination information of the packet.
- the PR table 251 is a network address serving as a search key when inquiring a route database to be described later, and a prefix length (PL: Prefix Length) is associated.
- PL Prefix Length
- the network address “192.168.100.0” is the prefix length “26”, and “192.168.100.0” to “192.168.100. 63 ”is included. Therefore, for example, if the private address is “192.168.100.7”, the corresponding network address is “192.168.100.0”. Then, those having no network address corresponding to the private address are treated as having a prefix length of “24” as a default.
- the PR table 251 shows the correspondence between the network address and the private address. Note that this PR table 251 is registered in such a manner that the relationship between all the network addresses subordinate to each relay apparatus 20 scheduled to be connected to the communication network 10 and the prefix length are associated in advance. However, if the distributed management is performed using a structured overlay as in a route database described later, it is only necessary to store the correspondence between the network address under its own device and the prefix length.
- route table 252 network addresses that are subordinate to the relay device 20 that stores the route table 252 are registered. That is, it is information in which the network address in the LAN 30 connected to the relay device 20 is associated with the global address set in the relay device 20 itself. Note that the global address of the relay device 20 itself may be registered as a host route. In addition, information corresponding to a routing table such as a routing table used in the conventional technology may be registered.
- the route record 253 stores a part of the route database that is distributedly managed using the structured overlay.
- This route database is obtained by integrating the route table 252 stored in each relay device 20 connected to the communication network 10. Therefore, the route record 253 has contents corresponding to the route table 252 of each relay device 20, and includes, for example, the route table 252 of the own device and a part of the route table 252 of other relay devices 20.
- This route record 253 is stored in the structured overlay when the other relay device 20 connected to the communication network 10 is changed or the route table 252 of the other relay device 20 is changed and the route database is changed.
- the contents are updated by the processing unit 212.
- FIG. 5 is a diagram for explaining the configuration of the route database.
- the route database is distributedly managed as the route record 253 of each relay device 20 by using the structured overlay, and the content of the integrated route table 252 in each relay device 20 as the entire database. It has become. Therefore, the route database associates the network address with the global address of the relay device 20 that has the network address.
- the network address “192.168.100.0” indicates that it is under the relay device 20 with the global address “2xx.100.200.1”.
- a structured overlay processing unit 212 inquires the route database using the network address as a search key, the global address of the corresponding relay device 20 can be acquired as a response.
- the route database is distributedly managed by the structured overlay, so that the route table 252 of each relay device 20 does not have to be the same as the route database.
- the route database may be configured so that the correspondence between the global address of each relay device 20 connected to the communication network 10 and the private address of the communication terminal of the LAN 30 connected to each relay device 20 can be understood. Therefore, the information corresponding to the global address does not have to be represented by the network address, and any information regarding the private address may be used. For example, the information related to the private address may be the private address itself or information specified by a range. Further, if the information is indicated by the network address and the prefix length, the PR table 251 may be omitted.
- the route cache 254 stores the correspondence between the network address acquired as described above and the global address for a certain period of time, and for the same network address, the route cache 254 is stored without inquiring the route database. By referring to this, acquisition of this correspondence is speeded up.
- the encryption key 255 is a key used for encryption and decryption in the VPN processing unit 213 described later. In this example, a common key is used even when encryption is performed for transmission to each relay device 20, but a key corresponding to each relay device 20 may be used. The above is the description of each piece of information stored in the storage unit 25.
- the packet processing unit 211 acquires the received packet.
- This packet includes destination information indicating the private address of the communication terminal that is the destination.
- the packet processing unit 211 refers to the routing table 252 and outputs the packet to the VPN processing unit 213 if the destination private address of the packet is not a communication terminal of the LAN 30 connected to the relay device 20. Then, as an output response, a packet subjected to VPN transmission processing, which will be described later, is acquired and another relay device with a global address determined as described later from the second communication IF unit 24 via the communication network 10 20 is transmitted.
- the packet processing unit 211 acquires the received packet. Then, this packet is output to the VPN processing unit 213. As an output response, a packet that has been subjected to VPN reception processing, which will be described later, is acquired and transmitted from the first communication IF unit 23 to the communication terminal having the private address indicated in the destination information with reference to the route table 252.
- the structured overlay processing unit 212 controls communication with other relay devices 20 performed via the packet processing unit 211 and the second communication IF unit 24 in accordance with a predetermined structured overlay protocol.
- a structured overlay is configured between the relay devices 20 connected to the communication network 10. Then, the structured overlay processing unit 212 distributes and manages the route database as a route record 253 in each relay apparatus 20 using the structured overlay, and makes an inquiry to the route database using the network address as a search key. By acquiring a global address indicating another relay device 20, the global address of the relay device 20 to which the packet is to be transmitted is specified.
- the structured overlay processing unit 212 recognizes the network address corresponding to the private address notified from the VPN processing unit 213 with reference to the PR table 251 and makes an inquiry to the route database as described later. As a search key. Then, the specified global address is notified to the VPN processing unit 213.
- the VPN processing unit 213 When the packet received by the first communication IF unit 23 is input from the packet processing unit 211, the VPN processing unit 213 performs VPN transmission processing.
- the VPN transmission process is performed as follows. First, the private address indicated in the destination information of the input packet is acquired. Then, with reference to the path cache 254, it is determined whether or not there is a global address corresponding to this private address. If there is, the global address is acquired. On the other hand, if it does not exist, this private address is notified to the structured overlay processing unit 212, and a global address that is a response from the route database is acquired. At this time, the correspondence between the private address and the acquired global address is stored in the route cache 254 for a certain period of time.
- the packet is encrypted, and the encrypted packet is transmitted to the relay device 20 with the acquired global address via the packet processing unit 211 and the second communication IF unit 24.
- the above is the VPN transmission process.
- the VPN processing unit 213 performs VPN reception processing when a packet received by the second communication IF unit 24 (packet that has been subjected to VPN transmission processing in the other relay device 20) is input from the packet processing unit 211.
- the VPN reception process is a process of referring to the encryption key 255 and decrypting the encrypted packet and outputting it to the packet processing unit 211.
- the packet is transmitted to the communication terminal having the private address indicated by the packet destination information via the packet processing unit 211 and the first communication IF unit 23.
- the route management unit 214 manages the route in the structured overlay processing unit 212 and updates the route table 252 using a routing protocol such as OSPF (Open Shortest Path First) or RIP (Routing Information Protocol). Note that a route may be set statically without using a routing protocol.
- OSPF Open Shortest Path First
- RIP Raster Image Protocol
- a virtual interface corresponding to each of the transmission destination relay devices is defined, and a route having the destination as the destination is often described.
- the present invention only one virtual interface in which a plurality of transmission destination relay devices 20 are aggregated is defined, and a route destined for this interface may be described. In this way, even if the number of relay devices 20 participating in the network increases or decreases, the operation can be performed without changing the route setting, and the management burden can be reduced.
- the above is the description of the communication processing function.
- the administrator of the relay device 20 sets an initial node, a pre-shared key, and a device name for each relay device 20.
- the initial node is a device that first accesses to participate in the network, and is not a special node such as a server, but is set with an arbitrary node that participates in the network, for example, the global address of another relay device 20.
- the pre-shared key is a key used in the structured overlay processing unit 212 to encrypt a control message such as a structured overlay message.
- the device name is a name for identifying the relay device 20 on the network, and is used as an identifier of the node on the structured overlay.
- Each relay device 20 participates in the network based on these settings, and initializes the route record 253 stored in the own device in the route database distributedly managed using the structured overlay.
- the route database By managing the route database in a distributed manner, even if a new relay device 20 joins the network, if the above setting is made for the new relay device, the setting of the relay device 20 already on the network is changed. do not have to.
- the relay device 20 registers its own route table 252 in the route database distributedly managed using the structured overlay, so that the relay device 20 can register itself with other relay devices 20.
- FIG. 6 is a diagram for explaining the operation of communication processing in data communication between communication terminals.
- communication data is transmitted by packet from the communication terminal AX connected to the relay device 20A, and the destination information of the packet is connected to the relay device 20B (global address “2xx.100.200.1”).
- Communication terminal BY private address “192.168.100.2”).
- PR table 251 has the contents shown in FIG. 4, and the route database distributed and managed using the structured overlay has the contents shown in FIG.
- the communication terminal AX performs data transmission processing to the communication terminal BY (step S110).
- the relay device 20A refers to the destination information of this packet and recognizes the private address of the communication terminal that is the destination (step S120).
- the relay device 20A recognizes the private address “192.168.100.2”
- the relay device 20A refers to the PR table 251 and extracts the corresponding network address as a search key (step S130). The search key thus extracted is the network address “192.168.100.0”.
- the relay device 20A determines whether there is an address corresponding to the search key in the route cache 254 of its own device (step S135), and if there is a corresponding address (step S135; Yes), the address The relay device 20B is recognized as a packet transmission path (step S160).
- step S135 No
- an inquiry is made to the route database (route DB) distributedly managed using the structured overlay using a search key (step S140).
- an address (global address “2xx.100.200.1”) corresponding to the search key obtained as a result of referring to the route database (step S150) is notified to the relay device 20A, and the relay device 20A receives this global address.
- the relay device 20B is recognized as a route for transmitting a packet (step S160).
- the path recognized by referring to the path database is registered in the path cache 254 of the own apparatus.
- the relay device 20A performs VPN transmission processing (step S170) on the packet received from the communication terminal AX, and transmits the encrypted packet to the relay device 20B through the communication network 10 through the virtual interface with the relay device 20B as the destination. To do.
- the relay device 20B receives the packet subjected to the VPN transmission processing in the relay device 20A from the structured overlay network through the virtual interface, and performs the VPN reception processing (step S180) to decode it. Then, the communication terminal (communication terminal BY) having the private address “192.168.100.2” indicated by the destination information of the decrypted packet is recognized (step S190), and the communication terminal BY is decrypted. Sent packets. Then, the communication terminal BY receives the data transmitted from the communication terminal AX by receiving the packet transmitted from the relay device 20B (step S200).
- the relay device 20 refers to the route database distributedly managed using the structured overlay, and corresponds to the destination information of the packet transmitted from the connected communication terminal.
- the communication terminal connected to the transmission destination relay device 20 can receive the packet.
- the route database since the route database is distributedly managed, it is not necessary to change the settings of other relay devices 20 in advance even if the relay device 20 newly joins or leaves the network.
- the data amount of the route table 252 to be stored in the relay device 20 can also be reduced.
- the communication terminal connected to the relay device 20 does not require special software for using the structured overlay, and can be connected to the relay device 20 for communication, and can be used as a single point of failure. Therefore, the system is robust because there is no need to have a server that manages the entire system.
- the network address under the relay device 20 is registered in the route table 252 in advance, but it is not registered, and the network address is registered depending on the case where a subordinate network address is added.
- a network address other than the network addresses under the control of the other relay device 20 may be automatically registered. An example of this registration process will be described with reference to FIG.
- FIG. 7 is a diagram for explaining network address registration processing in the relay device 20 according to the first modification.
- the relay device 20 starts a network address registration process. First, the relay device 20 determines a temporary address that is a candidate for a network address to be registered (step S310). Then, the temporary address is used as a search key, and the route database (DB) distributed and managed using the structured overlay is inquired (step S320).
- DB route database
- step S330 When the corresponding global address is notified as a response to the inquiry (step S330; Yes), the network address determined as the temporary address is under the relay device 20 of the global address. Is changed (step S340), and the route database is again inquired (step S320).
- step S330 when there is no corresponding global address as a response to the inquiry and an error is notified (step S330; No), the network address determined as the temporary address is not under any relay device 20. Thus, this is registered in the route table 252 as a network address under its control and also registered in the route database (step S350). In this way, the network address under control of each relay device 20 does not overlap with other relay devices 20. A private address included in the network address registered in this way may be automatically assigned to a communication terminal connected to the own device.
- the network address registration process may be started by initializing the route table 252 of the own device.
- the correspondence between the network address under the control of the specific relay device 20 and the global address of the relay device 20 is registered in the route database regardless of whether the relay device 20 participates in the network. In this way, it may be reserved so that the network address is not used in another relay apparatus 20.
- the control program in the above-described embodiment is provided in a state stored in a computer-readable recording medium such as a magnetic recording medium (magnetic tape, magnetic disk, etc.), an optical recording medium (optical disk, etc.), a magneto-optical recording medium, or a semiconductor memory. Can do.
- a computer-readable recording medium such as a magnetic recording medium (magnetic tape, magnetic disk, etc.), an optical recording medium (optical disk, etc.), a magneto-optical recording medium, or a semiconductor memory.
- an interface for reading the recording medium may be provided in the relay device 20. It can also be downloaded via a network.
- SYMBOLS 1 Communication system, 10 ... Communication network, 20, 20A, 20B, 20C, 20D ... Relay device, 21 ... Control part, 22 ... UI part, 23 ... 1st communication IF part, 24 ... 2nd communication IF part, 25 DESCRIPTION OF REFERENCE SYMBOLS: Storage unit, 26 ... Bus, 211 ... Packet processing unit, 212 ... Structured overlay processing unit, 213 ... VPN processing unit, 214 ... Path management unit, 251 ... PR table, 252 ... Path table, 253 ... Path record, 254 ... route cache, 255 ... encryption key, 30, 30A, 30B, 30C, 30D ... LAN
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
本発明は、異なる中継装置に接続された通信端末間におけるVPNを用いた通信を容易に行うことを目的とする。本発明の実施形態における中継装置は、構造化オーバレイを利用して分散管理される経路データベースを参照して、接続される通信端末から送信されるパケットの宛先情報に対応した他の中継装置を送信経路として認識し、このパケットを送信経路に従って送信することにより、送信先の中継装置に接続された通信端末に対して受信させることができる。このとき、経路データベースが分散管理されているから、新たに中継装置がネットワークに参加したり、離脱したりしても、他の中継装置の設定を事前に変更する必要はない。さらに、中継装置に接続される通信端末においては、構造化オーバレイを利用するための特別なソフトウエアなどを必要とせず、この中継装置に接続して通信を行えばよい。
Description
本発明は、複数のLAN(Local Area Network)をVPN(Virtual Private Network)により相互に接続する技術に関する。
LANなどのネットワーク間を相互に接続するための中継装置であるVPNルータは、ネットワーク間で行われる通信をトンネリング・暗号化して通信データの中継をする。VPNを実現するプロトコルとしては、IPsec(Security Architecture for Internet Protocol)、PPTP(Point-to-Point Tunneling Protocol)、L2TP(Layer-2 Tunneling Protocol)が広く用いられている。
一般に、VPNルータにおけるVPNの設定は複雑になることが多い。そのため、設定を簡素化する構成として、設定内容をサーバで一元的に生成し、ネットワークを介して各ルータに提供する技術が、例えば、特許文献1、2に開示されている。一方、この構成においては、サーバに処理の負荷が集中するため、大規模なネットワークへの適用が難しく、サーバが故障するとシステム全体が動作しなくなる。
ところで、端末間における通信において、分散ハッシュテーブルなどの構造化オーバレイを用いる技術が、例えば、特許文献3に開示されている。この技術によれば、通信への参加離脱において、設定を変更する必要がなく、情報を一元管理するサーバも不要である。
特許文献3に示すように、構造化オーバレイを用いた拠点の通信を実現することは可能であるが、この場合、通信に参加する端末全てにおいて、構造化オーバレイを構成するためのソフトウエアをインストールして予め設定を登録する必要があった。また、従来のIPsecなどを用いた構成の場合、VPNに参加する全ての機器の追加・削除に伴い、論理パスの設定や経路の設定を変更する必要があった。また、フルメッシュ通信を実現するためには、参加する端末の数に応じて多くの論理パスの設定、経路の設定を行わなくてはならなかった。
本発明は、上述の事情に鑑みてなされたものであり、異なる中継装置に接続された通信端末間におけるVPNを用いた通信を容易に行うことを目的とする。
上述の課題を解決するため、本発明は、VPN(Virtual Private Network)を用いて他の中継装置に接続し、前記他の中継装置に接続される通信端末と自中継装置に接続される通信端末とにおける通信を中継する中継装置であって、前記他の中継装置との接続により構造化オーバレイを構成するとともに、当該構造化オーバレイを利用して、前記通信端末のプライベートアドレスに関する情報と当該通信端末が接続されている中継装置のグローバルアドレスを示す情報とを対応付けた経路データベースを、当該構造化オーバレイを構成する中継装置間で分散管理するオーバレイ構成手段と、自中継装置に接続される前記通信端末から送信される通信データであって、当該通信データの宛先となる前記通信端末のプライベートアドレスを示す宛先情報を有する通信データを受信する第1受信手段と、前記分散管理された経路データベースを参照し、前記第1受信手段によって受信した通信データの宛先情報が示すプライベートアドレスに対応するグローバルアドレスを特定する特定手段と、前記特定手段によって特定されたグローバルアドレスが設定された前記他の中継装置に対して、前記第1受信手段によって受信した通信データを送信する第2送信手段と、前記他の中継装置から送信される前記通信データを受信する第2受信手段と、前記第2受信手段によって受信された通信データを、当該通信データの宛先情報が示すプライベートアドレスの前記通信端末に対して送信する第1送信手段とを具備することを特徴とする中継装置を提供する。
また、別の好ましい態様において、前記第2送信手段は、通信データを送信するときには、特定の暗号鍵を用いて暗号化し、前記第1送信手段は、前記第2受信手段によって受信された通信データを復号化して、当該通信データの宛先情報に係る通信端末に対して送信し、前記第2送信手段における暗号化は、前記構造化オーバレイを構成するどの前記他の中継装置に送信する場合であっても、共通の暗号鍵を用いることを特徴とする。
また、別の好ましい態様において、前記特定手段によって特定された前記他の中継装置のグローバルアドレスと、当該グローバルアドレスを特定するために用いられた前記通信端末のプライベートアドレスに関する情報とを対応付けた情報を一定時間記憶する一時記憶手段をさらに具備し、前記第2送信手段は、前記一時記憶手段に記憶された情報を参照して、当該記憶された情報に、前記第1受信手段によって受信された通信データの宛先情報が示すプライベートアドレスに対応付けられたグローバルアドレスが存在する場合には、前記第1受信手段によって受信された通信データを、当該グローバルアドレスが設定された他の中継装置に対して送信することを特徴とする。
また、別の好ましい態様において、前記分散管理された経路データベースにおける前記通信端末のプライベートアドレスに関する情報とは、当該プライベートアドレスが含まれるネットワークアドレスを示し、前記通信端末のプライベートアドレスと前記ネットワークアドレスとの対応関係を示すプレフィックスルールテーブルを記憶する記憶手段をさらに具備し、前記特定手段は、前記記憶手段に記憶されたプレフィックスルールテーブルおよび前記分散管理された経路データベースを参照し、前記第1受信手段によって受信した通信データの宛先情報に示されるプライベートアドレスに対応するグローバルアドレスを特定することを特徴とする。
また、別の好ましい態様において、前記他の中継装置に接続すると、前記分散管理された経路データベースを参照し、当該経路データベースに含まれるプライベートアドレス以外のプライベートアドレスに関する情報を、自中継装置のグローバルアドレスに対応付けて当該経路データベースに登録する登録手段と、前記登録手段によって登録された情報に係るプライベートアドレスを、自中継装置に接続される前記通信端末に割り当てる割当手段とをさらに具備することを特徴とする。
本発明によれば、異なる中継装置に接続された通信端末間におけるVPNを用いた通信を容易に行うことができる。
以下、本発明の一実施形態について説明する。
<実施形態>
図1は、本発明の実施形態に係る通信システム1の構成を示すブロック図である。通信システム1は、拠点A、B、C、Dのそれぞれに設けられた中継装置20A、20B、20C、20D(以下、それぞれを区別しない場合には、中継装置20という)、および各中継装置20に接続される通信端末(図示略)により構成されるLAN30A、30B、30C、30D(以下、それぞれを区別しない場合には、LAN30という)を有している。各中継装置20は、各LAN30をインターネットなどの公衆網である通信網10に接続し、各LAN30における通信端末から他のLAN30における通信端末への通信を中継する。
図1は、本発明の実施形態に係る通信システム1の構成を示すブロック図である。通信システム1は、拠点A、B、C、Dのそれぞれに設けられた中継装置20A、20B、20C、20D(以下、それぞれを区別しない場合には、中継装置20という)、および各中継装置20に接続される通信端末(図示略)により構成されるLAN30A、30B、30C、30D(以下、それぞれを区別しない場合には、LAN30という)を有している。各中継装置20は、各LAN30をインターネットなどの公衆網である通信網10に接続し、各LAN30における通信端末から他のLAN30における通信端末への通信を中継する。
中継装置20は、例えばVPNルータであり、特定の通信プロトコル(例えば、IP(Internet Protocol))に従って、通信網10から送信されてくるデータのブロックであるパケットを受信し、接続されているLAN30における各通信端末宛てのパケットである場合に、その宛先の通信端末にそのパケットを伝送する。一方、LAN30から送信されてくるパケットについては、パケットの宛先の通信端末が接続されている中継装置20に伝送する。また、中継装置20は、他の中継装置20と通信網10を介して後述するVPN処理部213(図3参照)によってVPNにより接続する。さらに、後述する構造化オーバレイ処理部212(図3参照)によって、分散ハッシュテーブルなどの構造化オーバレイを構成する。中継装置20の構成について図2を用いて説明する。
図2は、本発明の実施形態に係る中継装置20の構成を示すブロック図である。中継装置20は、制御部21、UI(User Interface)部22、第1通信IF(Interface)部23、第2通信IF部24、記憶部25を有し、これらの各構成はバス26を介して接続されている。
制御部21は、CPU(Central Processing Unit)、ROM(Read Only Memory)、RAM(Random Access Memory)などを有する。CPUは、ROMに記憶されている制御プログラムを読み出して、RAMにロードして実行することにより、中継装置20の各部について、バス26を介して制御し、後述する通信処理機能などを実現する。また、RAMは、CPUが各データの加工などを行う際のワークエリアとして機能する。
UI部22は、中継装置20の管理者によって各種設定が行われるときに用いられるキーボード、操作ボタンなどの操作部、設定画面表示など制御部21の制御に応じた表示を行う液晶ディスプレイなどの表示部を有している。UI部22は、操作部が操作されると、その操作内容を示すデータが制御部21へ出力される。なお、このUI部22は無くてもよく、この場合には、通信網10、LAN30などのネットワークを介して、図示しない管理装置における遠隔操作により各種設定を行う。
第1通信IF部23、第2通信IF部24は、NIC(Network Interface Card)などの通信手段である。第1通信IF部23はLAN30に接続し、より詳細には、中継装置20A、20B、20C、20Dにおける第1通信IF部23は、それぞれLAN30A、30B、30C、30Dと接続する。一方、第2通信IF部24は、通信網10と接続する。
第1通信IF部23、第2通信IF部24は、それぞれ接続されるネットワークからパケットを受信すると、制御部21に出力する一方、制御部21から出力されるパケットを接続されるネットワーク(通信網10またはLAN30)に送出する。
記憶部25は、例えば、ハードディスク、不揮発性メモリなどであり、制御部21によりデータの読み出し、書き込みが行われる。記憶部25には、例えば、UI部22の操作などにより中継装置20に設定された内容を示す設定情報、制御プログラムの一部などが記憶されている。また、その他にも、PR(プレフィックスルール(Prefix Rule))テーブル251、経路表252、経路レコード253、経路キャッシュ254、暗号鍵255(図3参照)などについても記憶されている。これらの詳細については後述する。以上が、中継装置20の構成についての説明である。
次に、制御部21が制御プログラムを実行することによって実現される通信処理機能について、図3から図5を用いて説明する。通信処理機能とは、通信網10に接続されている各中継装置20と構造化オーバレイを構成するとともに、この中継装置20に接続されたLAN30における通信端末と他の中継装置20に接続されたLAN30における通信端末との通信を中継する機能である。なお、以下に説明する通信処理機能における各構成については、ハードウエアによって実現してもよい。
図3は、通信処理機能を実現する構成を説明する図である。この通信処理機能の実現には、パケット処理部211、構造化オーバレイ処理部212、VPN処理部213、経路管理部214および記憶部25に記憶されたPRテーブル251、経路表252、経路レコード253、経路キャッシュ254、暗号鍵255を用いる。まず、記憶部25に記憶された各情報について説明する。
図4は、PRテーブル251の構成を説明する図である。PRテーブル251は、パケットの宛先情報に示されるプライベートアドレスが含まれるネットワークアドレスを示す情報であり、後述する経路データベースに問い合わせるときの検索キーとなるネットワークアドレスと、そのネットワークアドレスにおけるプレフィックスレングス(PL:Prefix Length)とを対応付けた情報である。
例えば、図4に示すPRテーブル251においては、ネットワークアドレス「192.168.100.0」は、プレフィックスレングス「26」であり、「192.168.100.0」から「192.168.100.63」の範囲のプライベートアドレスを含んでいることを示す。そのため、例えば、プライベートアドレスが「192.168.100.7」であれば、対応するネットワークアドレスは「192.168.100.0」となる。そして、プライベートアドレスに対応するネットワークアドレスが無いものについては、デフォルトとしてプレフィックスレングスが「24」であるものとして扱われる。
このように、PRテーブル251は、ネットワークアドレスとプライベートアドレスとの対応関係を示すものである。なお、このPRテーブル251は、通信網10に接続されるものとして予定されている中継装置20の各々が配下にもつネットワークアドレス全てとプレフィックスレングスの関係が予め対応付けられて登録されているものとするが、後述する経路データベースのように構造化オーバレイを利用して分散管理するようにすれば、自装置の配下のネットワークアドレスとプレフィックスレングスの対応関係を記憶するだけでもよい。
経路表252は、この経路表252を記憶する中継装置20自身が配下に持つネットワークアドレスが登録されている。すなわち、この中継装置20に接続されるLAN30におけるネットワークアドレスと、この中継装置20自身に設定されているグローバルアドレスとを対応付けた情報である。なお、中継装置20自身のグローバルアドレスをホスト経路として登録してもよい。また、従来の技術で用いられているルーティングテーブルなどの経路表に対応する情報が登録されていてもよい。
経路レコード253は、構造化オーバレイを利用して分散管理される経路データベースの一部を記憶する。この経路データベースは、通信網10に接続される各中継装置20において記憶されている経路表252を統合したものである。そのため、経路レコード253は、各中継装置20の経路表252に応じた内容であり、例えば、自装置の経路表252と、他の中継装置20の経路表252の一部とを含むものである。この経路レコード253は、通信網10に接続される他の中継装置20が変更されたり、他の中継装置20の経路表252が変更されたりして、経路データベースが変更されると、構造化オーバレイ処理部212によって内容が更新される。
図5は、経路データベースの構成を説明する図である。経路データベースは、上述したように、構造化オーバレイを利用して、各中継装置20の経路レコード253として分散管理されるものであり、データベース全体として、各中継装置20における経路表252を統合した内容となっている。したがって、経路データベースは、ネットワークアドレスとそのネットワークアドレスを配下にもつ中継装置20のグローバルアドレスとを対応付けたものとなっている。
例えば、図5に示す経路データベースにおいては、ネットワークアドレス「192.168.100.0」は、グローバルアドレスが「2xx.100.200.1」の中継装置20の配下にあることを示している。後述する構造化オーバレイ処理部212により、ネットワークアドレスを検索キーとして経路データベースに問い合わせると、対応する中継装置20のグローバルアドレスを応答として取得できるようになっている。このように経路データベースを構造化オーバレイにより分散管理することにより、各中継装置20の経路表252を経路データベースと同じものとしなくてよい。
なお、経路データベースは、通信網10に接続される各中継装置20のグローバルアドレスと、各中継装置20に接続されるLAN30の通信端末のプライベートアドレスとの対応関係が分かるような構成となっていればよいから、グローバルアドレスに対応する情報がネットワークアドレスで表されるものでなくてもよく、プライベートアドレスに関する情報であればどのようなものであってもよい。例えば、プライベートアドレスに関する情報を、プライベートアドレスそのものとしてもよいし、範囲で指定した情報であってもよい。また、ネットワークアドレスとプレフィックスレングスとにより示される情報とすれば、PRテーブル251が無くてもよい。
経路キャッシュ254は、上述のようにして取得したネットワークアドレスとグローバルアドレスとの対応関係を一定時間記憶しておき、同じネットワークアドレスについては、経路データベースへの問い合わせをしなくても、経路キャッシュ254を参照することにより、この対応関係の取得を高速化する。
暗号鍵255は、後述するVPN処理部213における暗号化、復号化において用いられる鍵である。この例においては、各中継装置20に対する送信に対して暗号化するときでも共通の鍵を用いるものとするが、中継装置20毎に対応する鍵を用いてもよい。以上が、記憶部25に記憶された各情報についての説明である。
次に、図3に戻って、パケット処理部211、構造化オーバレイ処理部212、VPN処理部213、経路管理部214について説明する。
パケット処理部211は、第1通信IF部23において、この中継装置20に接続されるLAN30の通信端末から送信された通信データであるパケットを受信すると、受信したパケットを取得する。このパケットには、宛先となる通信端末のプライベートアドレスを示す宛先情報が含まれている。パケット処理部211は、経路表252を参照して、このパケットの宛先のプライベートアドレスがこの中継装置20に接続されたLAN30の通信端末でない場合には、このパケットをVPN処理部213に出力する。そして、出力の応答として、後述するVPN送信処理が施されたパケットを取得して第2通信IF部24から通信網10を介して、後述のようにして決められたグローバルアドレスの他の中継装置20に対して送信する。
パケット処理部211は、第2通信IF部24において、通信網10からVPN送信処理が施されたパケットを受信すると、受信したパケットを取得する。そして、このパケットをVPN処理部213に出力する。出力の応答として、後述するVPN受信処理が施されたパケットを取得して、経路表252を参照して第1通信IF部23から宛先情報に示されるプライベートアドレスの通信端末に送信する。
構造化オーバレイ処理部212は、予め決められた構造化オーバレイのプロトコルに則って、パケット処理部211、第2通信IF部24を介して行われる他の中継装置20との通信を制御して、通信網10に接続された中継装置20間で構造化オーバレイを構成する。そして、構造化オーバレイ処理部212は、経路データベースを、構造化オーバレイを利用して各中継装置20で経路レコード253として分散管理し、この経路データベースにネットワークアドレスを検索キーとして問合せを行うと、応答として他の中継装置20を示すグローバルアドレスを取得することにより、パケットを送信すべき中継装置20のグローバルアドレスを特定するようになっている。
構造化オーバレイ処理部212は、後述するようにVPN処理部213から通知されるプライベートアドレスに対応するネットワークアドレスを、PRテーブル251を参照して認識し、このネットワークアドレスを経路データベースに問合せを行うときの検索キーとする。そして、特定したグローバルアドレスをVPN処理部213に通知する。
VPN処理部213は、第1通信IF部23によって受信されたパケットがパケット処理部211から入力されると、VPN送信処理を行う。VPN送信処理は、以下のように行う。まず、入力されたパケットの宛先情報に示されるプライベートアドレスを取得する。そして、経路キャッシュ254を参照して、このプライベートアドレスに対応するグローバルアドレスが存在するか否かを判定し、存在する場合には、そのグローバルアドレスを取得する。一方、存在しない場合には、構造化オーバレイ処理部212に対して、このプライベートアドレスを通知し、経路データベースからの応答であるグローバルアドレスを取得する。このとき、プライベートアドレスと取得したグローバルアドレスとの対応関係を経路キャッシュ254に一定時間記憶させる。
そして、暗号鍵255を参照して、このパケットを暗号化してパケット処理部211、第2通信IF部24を介して、暗号化したパケットを取得したグローバルアドレスの中継装置20に送信する。以上が、VPN送信処理である。
VPN処理部213は、第2通信IF部24によって受信されたパケット(他の中継装置20においてVPN送信処理済みのパケット)がパケット処理部211から入力されると、VPN受信処理を行う。VPN受信処理は、暗号鍵255を参照して、暗号化されたパケットの復号化を行いパケット処理部211に出力する処理である。上述したように、復号化したパケットを出力すると、このパケットは、パケット処理部211、第1通信IF部23を介して、パケットの宛先情報に示されるプライベートアドレスの通信端末に送信される。
経路管理部214は、OSPF(Open Shortest Path First)、RIP(Routing Information Protocol)などのルーティングプロトコルにより、構造化オーバレイ処理部212における経路を管理、および経路表252の更新を行う。なお、ルーティングプロトコルを使用せずに静的に経路を設定してもよい。
一般的に、VPNの経路を設定するときには、送信先の中継装置のそれぞれに対応する仮想的なインターフェースを定義し、それを宛先とするような経路を記述することが多い。しかし、この方法では、ネットワークに参加する中継装置の増減に合わせて経路を変更する必要が生じ、管理の負担が大きくなる。これに対して本発明では、送信先の複数の中継装置20を集約した仮想的なインターフェースを1つだけ定義し、このインターフェースを宛先とする経路を記述すればよい。このようにすることで、ネットワークに参加する中継装置20の増減があっても経路の設定を変えずに運用でき、管理の負担を低減できる。以上が、通信処理機能についての説明である。
次に、中継装置20の動作について説明する。まず、ネットワークに参加するときの動作を説明し、その後、通信端末間の通信を行うときの通信システム1の動作について、図6を用いて説明する。
まず、中継装置20の管理者は、各中継装置20について、初期ノード、事前共有鍵、装置名称を設定する。初期ノードとは、ネットワークに参加するために最初にアクセスする装置を示し、サーバなどの特殊なノードでなく、ネットワークに参加する任意のノード、例えば、他の中継装置20のグローバルアドレスが設定される。事前共有鍵は、VPN処理部213で用いられる暗号鍵255とは異なり、構造化オーバレイ処理部212で用いられ、構造化オーバレイのメッセージなどの制御メッセージを暗号化する鍵である。装置名称とは、ネットワーク上でこの中継装置20を識別するための名前であって、構造化オーバレイ上でのノードの識別子として利用される。
各中継装置20は、これらの設定を元にネットワークに参加し、構造化オーバレイを利用して分散管理される経路データベースのうち、自装置に記憶されている経路レコード253を初期化する。経路データベースが分散管理されることにより、新たに中継装置20がネットワークに参加しても、新たな中継装置に上記設定がされていれば、すでにネットワーク上にある中継装置20については、設定を変更する必要はない。そして、中継装置20は、ネットワークに参加すると、構造化オーバレイを利用して分散管理される経路データベースに対して自装置の経路表252を登録することにより、他の中継装置20に対して自装置の存在を知らせることができる。
図6は、通信端末間のデータの通信における通信処理の動作を説明する図である。この説明においては、中継装置20Aに接続された通信端末A-Xからパケットにより通信データが送信され、パケットの宛先情報は、中継装置20B(グローバルアドレス「2xx.100.200.1」)に接続された通信端末B-Y(プライベートアドレス「192.168.100.2」)を示すものとする。また、PRテーブル251は図4に示す内容であり、構造化オーバレイを利用して分散管理された経路データベースは図5に示す内容であるものとする。
まず、通信端末A-Xは、通信端末B-Yに対するデータ送信の処理を行う(ステップS110)。これにより送信されるデータのパケットが中継装置20Aにおいて受信されると、中継装置20Aは、このパケットの宛先情報を参照して、宛先となる通信端末のプライベートアドレスを認識する(ステップS120)。中継装置20Aは、プライベートアドレス「192.168.100.2」を認識すると、PRテーブル251を参照し、対応するネットワークアドレスを検索キーとして抽出する(ステップS130)。これにより抽出される検索キーは、ネットワークアドレス「192.168.100.0」となる。
そして、中継装置20Aは、自装置の経路キャッシュ254に検索キーに対応したアドレスがあるか否かを判定(ステップS135)し、対応するアドレスがある場合(ステップS135;Yes)には、そのアドレスの中継装置20Bを、パケットを送信する経路として認識する(ステップS160)。一方、対応するアドレスが無い場合(ステップS135;No)には、構造化オーバレイを利用して分散管理される経路データベース(経路DB)に対して、検索キーにより問い合わせを行う(ステップS140)。そして、経路データベースを参照(ステップS150)した結果得られる検索キーに対応したアドレス(グローバルアドレス「2xx.100.200.1」)が中継装置20Aに通知され、中継装置20Aにおいて、このグローバルアドレスの中継装置20Bを、パケットを送信する経路として認識する(ステップS160)。ここで、経路データベースを参照することによって認識した経路については、自装置の経路キャッシュ254に登録しておく。
中継装置20Aは、通信端末A-Xから受信したパケットにVPN送信処理(ステップS170)を施し、中継装置20Bを宛先として、暗号化されたパケットを仮想インターフェースにより通信網10を通して中継装置20Bへ送信する。
中継装置20Bは、仮想インターフェースにより構造化オーバレイのネットワークから、中継装置20AにおいてVPN送信処理が施されたパケットを受信し、VPN受信処理(ステップS180)を施して復号化する。そして、復号化されたパケットの宛先情報が示すプライベートアドレス「192.168.100.2」の通信端末(通信端末B-Y)を認識(ステップS190)し、その通信端末B-Yに復号化されたパケットを送信する。そして、通信端末B-Yは、中継装置20Bから送信されたパケットを受信することによって、通信端末A-Xから送信されたデータを受信する(ステップS200)。
このように、本発明の実施形態における中継装置20は、構造化オーバレイを利用して分散管理される経路データベースを参照して、接続される通信端末から送信されるパケットの宛先情報に対応した他の中継装置20を送信経路として認識し、このパケットを送信経路に従って送信することにより、送信先の中継装置20に接続された通信端末に対して受信させることができる。このとき、経路データベースが分散管理されているから、新たに中継装置20がネットワークに参加したり、離脱したりしても、他の中継装置20の設定を事前に変更する必要はなく、また各中継装置20において記憶すべき経路表252のデータ量も少なくすることができる。さらに、中継装置20に接続される通信端末においては、構造化オーバレイを利用するための特別なソフトウエアなどを必要とせず、この中継装置20に接続して通信を行えばよく、単一障害点となるような全体を管理するサーバが存在しなくてもよいから、システムが堅牢である。
以上、本発明の実施形態について説明したが、本発明は以下のように、さまざまな態様で実施可能である。
<変形例1>
上述した実施形態においては、経路表252には、中継装置20の配下のネットワークアドレスが予め登録されていたが、登録されていない、また配下のネットワークアドレスを追加する場合などにより、ネットワークアドレスの登録指示があったときには、中継装置20がネットワークに参加するときに、他の中継装置20の配下のネットワークアドレス以外のネットワークアドレスを自動的に登録するようにしてもよい。この登録処理の一例について、図7を用いて説明する。
上述した実施形態においては、経路表252には、中継装置20の配下のネットワークアドレスが予め登録されていたが、登録されていない、また配下のネットワークアドレスを追加する場合などにより、ネットワークアドレスの登録指示があったときには、中継装置20がネットワークに参加するときに、他の中継装置20の配下のネットワークアドレス以外のネットワークアドレスを自動的に登録するようにしてもよい。この登録処理の一例について、図7を用いて説明する。
図7は、変形例1に係る中継装置20におけるネットワークアドレス登録処理を説明する図である。中継装置20は、経路表252へのネットワークアドレスの登録指示があると、ネットワークアドレス登録処理を開始する。まず、中継装置20は、登録すべきネットワークアドレスの候補となる仮アドレスを決定する(ステップS310)。そして、その仮アドレスを検索キーとして、構造化オーバレイを利用して分散管理された経路データベース(DB)に問い合わせる(ステップS320)。
問い合わせの応答として、対応するグローバルアドレスが通知された場合(ステップS330;Yes)には、仮アドレスとして決定したネットワークアドレスは、そのグローバルアドレスの中継装置20の配下にあるものであるから、仮アドレスを変更(ステップS340)して、再び経路データベースに問い合わせる(ステップS320)。
一方、問い合わせの応答として、対応するグローバルアドレスがなく、エラーが通知された場合(ステップS330;No)には、仮アドレスとして決定したネットワークアドレスは、どの中継装置20においても配下としていないものであるから、これを自装置の配下のネットワークアドレスとして経路表252に登録するとともに経路データベースにも登録する(ステップS350)。このようにすれば、各中継装置20において配下とするネットワークアドレスが、他の中継装置20と重複することがなくなる。なお、このようにして登録されたネットワークアドレスに含まれるプライベートアドレスを自装置に接続されている通信端末に自動的に割り当ててもよい。
また、中継装置20がネットワークに参加して、経路データベースに配下とするネットワークアドレスを登録するときに、すでにそのネットワークアドレスとグローバルアドレスとの対応関係が登録されているときには、エラー通知をして管理者に変更を促してもよいし、自装置の経路表252を初期化して上記のネットワークアドレス登録処理を開始してもよい。
また、特定の中継装置20の配下となるネットワークアドレスとその中継装置20のグローバルアドレスとの対応関係を、その中継装置20がネットワークに参加しているか否かにかかわらず、経路データベースに登録されるようにして、他の中継装置20においてそのネットワークアドレスが用いられないように予約しておいてもよい。
<変形例2>
上述した実施形態における制御プログラムは、磁気記録媒体(磁気テープ、磁気ディスクなど)、光記録媒体(光ディスクなど)、光磁気記録媒体、半導体メモリなどのコンピュータ読取り可能な記録媒体に記憶した状態で提供し得る。この場合には、記録媒体を読み取るインターフェイスを中継装置20に設ければよい。また、ネットワーク経由でダウンロードさせることも可能である。
上述した実施形態における制御プログラムは、磁気記録媒体(磁気テープ、磁気ディスクなど)、光記録媒体(光ディスクなど)、光磁気記録媒体、半導体メモリなどのコンピュータ読取り可能な記録媒体に記憶した状態で提供し得る。この場合には、記録媒体を読み取るインターフェイスを中継装置20に設ければよい。また、ネットワーク経由でダウンロードさせることも可能である。
1…通信システム、10…通信網、20,20A,20B,20C,20D…中継装置、21…制御部、22…UI部、23…第1通信IF部、24…第2通信IF部、25…記憶部、26…バス、211…パケット処理部、212…構造化オーバレイ処理部、213…VPN処理部、214…経路管理部、251…PRテーブル、252…経路表、253…経路レコード、254…経路キャッシュ、255…暗号鍵、30,30A,30B,30C,30D…LAN
Claims (5)
- VPN(Virtual Private Network)を用いて他の中継装置に接続し、前記他の中継装置に接続される通信端末と自中継装置に接続される通信端末とにおける通信を中継する中継装置であって、
前記他の中継装置との接続により構造化オーバレイを構成するとともに、当該構造化オーバレイを利用して、前記通信端末のプライベートアドレスに関する情報と当該通信端末が接続されている中継装置のグローバルアドレスを示す情報とを対応付けた経路データベースを、当該構造化オーバレイを構成する中継装置間で分散管理するオーバレイ構成手段と、
自中継装置に接続される前記通信端末から送信される通信データであって、当該通信データの宛先となる前記通信端末のプライベートアドレスを示す宛先情報を有する通信データを受信する第1受信手段と、
前記分散管理された経路データベースを参照し、前記第1受信手段によって受信した通信データの宛先情報が示すプライベートアドレスに対応するグローバルアドレスを特定する特定手段と、
前記特定手段によって特定されたグローバルアドレスが設定された前記他の中継装置に対して、前記第1受信手段によって受信した通信データを送信する第2送信手段と、
前記他の中継装置から送信される前記通信データを受信する第2受信手段と、
前記第2受信手段によって受信された通信データを、当該通信データの宛先情報が示すプライベートアドレスの前記通信端末に対して送信する第1送信手段と、
を具備することを特徴とする中継装置。 - 前記第2送信手段は、通信データを送信するときには、特定の暗号鍵を用いて暗号化し、
前記第1送信手段は、前記第2受信手段によって受信された通信データを復号化して、当該通信データの宛先情報に係る通信端末に対して送信し、
前記第2送信手段における暗号化は、前記構造化オーバレイを構成するどの前記他の中継装置に送信する場合であっても、共通の暗号鍵を用いる、
ことを特徴とする請求項1に記載の中継装置。 - 前記特定手段によって特定された前記他の中継装置のグローバルアドレスと、当該グローバルアドレスを特定するために用いられた前記通信端末のプライベートアドレスに関する情報とを対応付けた情報を一定時間記憶する一時記憶手段をさらに具備し、
前記第2送信手段は、前記一時記憶手段に記憶された情報を参照して、当該記憶された情報に、前記第1受信手段によって受信された通信データの宛先情報が示すプライベートアドレスに対応付けられたグローバルアドレスが存在する場合には、前記第1受信手段によって受信された通信データを、当該グローバルアドレスが設定された他の中継装置に対して送信する、
ことを特徴とする請求項1または請求項2に記載の中継装置。 - 前記分散管理された経路データベースにおける前記通信端末のプライベートアドレスに関する情報とは、当該プライベートアドレスが含まれるネットワークアドレスを示し、
前記通信端末のプライベートアドレスと前記ネットワークアドレスとの対応関係を示すプレフィックスルールテーブルを記憶する記憶手段をさらに具備し、
前記特定手段は、前記記憶手段に記憶されたプレフィックスルールテーブルおよび前記分散管理された経路データベースを参照し、前記第1受信手段によって受信した通信データの宛先情報に示されるプライベートアドレスに対応するグローバルアドレスを特定する、
ことを特徴とする請求項1乃至請求項3のいずれか1項に記載の中継装置。 - 前記他の中継装置に接続すると、前記分散管理された経路データベースを参照し、当該経路データベースに含まれるプライベートアドレス以外のプライベートアドレスに関する情報を、自中継装置のグローバルアドレスに対応付けて当該経路データベースに登録する登録手段と、
前記登録手段によって登録された情報に係るプライベートアドレスを、自中継装置に接続される前記通信端末に割り当てる割当手段と、
をさらに具備する、
ことを特徴とする請求項1乃至請求項4のいずれか1項に記載の中継装置。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201080033082.XA CN102474459B (zh) | 2009-07-24 | 2010-07-23 | 中继装置 |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2009-173465 | 2009-07-24 | ||
JP2009173465 | 2009-07-24 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2011010735A1 true WO2011010735A1 (ja) | 2011-01-27 |
Family
ID=43499207
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2010/062465 WO2011010735A1 (ja) | 2009-07-24 | 2010-07-23 | 中継装置 |
Country Status (3)
Country | Link |
---|---|
JP (1) | JP5601067B2 (ja) |
CN (1) | CN102474459B (ja) |
WO (1) | WO2011010735A1 (ja) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103312617A (zh) * | 2012-03-06 | 2013-09-18 | 索尼公司 | 路由器及向该路由器中的存储单元供电的方法 |
Families Citing this family (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2013211684A (ja) * | 2012-03-30 | 2013-10-10 | Brother Ind Ltd | 通信システム、サーバ装置、サーバ処理プログラム、及び接続要求転送方法 |
US11082423B2 (en) | 2016-06-29 | 2021-08-03 | Prosper Creative Co., Ltd. | Communications system, communications device used in same, management device, and information terminal |
WO2019240034A1 (ja) * | 2018-06-15 | 2019-12-19 | 日本電信電話株式会社 | ネットワーク管理システム、管理装置、中継装置、方法およびプログラム |
CN111200816A (zh) * | 2020-01-21 | 2020-05-26 | 南通大学 | 一种无线通信装置及无线通信方法 |
Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH11112577A (ja) * | 1997-10-08 | 1999-04-23 | Hitachi Ltd | Lanシステム間相互接続方式及びネットワークサービスシステム |
JP2006129090A (ja) * | 2004-10-28 | 2006-05-18 | Sky Com:Kk | 通信装置、通信管理装置、通信方法および通信制御プログラム |
JP2007049499A (ja) * | 2005-08-10 | 2007-02-22 | Fractalist Inc | 通信方法および装置 |
JP2007067631A (ja) * | 2005-08-30 | 2007-03-15 | Kddi Corp | Vpnサーバホスティングシステム、およびvpn構築方法 |
JP2007158594A (ja) * | 2005-12-02 | 2007-06-21 | Mitsubishi Electric Corp | データ通信システム、端末装置およびvpn設定更新方法 |
Family Cites Families (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP4225681B2 (ja) * | 2000-12-06 | 2009-02-18 | 富士通株式会社 | 仮想閉域網構築方法及び装置並びに中継装置 |
JP2007104593A (ja) * | 2005-10-07 | 2007-04-19 | Toshiba Corp | 個別ネットワーク相互アクセスシステム |
-
2010
- 2010-07-23 CN CN201080033082.XA patent/CN102474459B/zh active Active
- 2010-07-23 JP JP2010166287A patent/JP5601067B2/ja active Active
- 2010-07-23 WO PCT/JP2010/062465 patent/WO2011010735A1/ja active Application Filing
Patent Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JPH11112577A (ja) * | 1997-10-08 | 1999-04-23 | Hitachi Ltd | Lanシステム間相互接続方式及びネットワークサービスシステム |
JP2006129090A (ja) * | 2004-10-28 | 2006-05-18 | Sky Com:Kk | 通信装置、通信管理装置、通信方法および通信制御プログラム |
JP2007049499A (ja) * | 2005-08-10 | 2007-02-22 | Fractalist Inc | 通信方法および装置 |
JP2007067631A (ja) * | 2005-08-30 | 2007-03-15 | Kddi Corp | Vpnサーバホスティングシステム、およびvpn構築方法 |
JP2007158594A (ja) * | 2005-12-02 | 2007-06-21 | Mitsubishi Electric Corp | データ通信システム、端末装置およびvpn設定更新方法 |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103312617A (zh) * | 2012-03-06 | 2013-09-18 | 索尼公司 | 路由器及向该路由器中的存储单元供电的方法 |
Also Published As
Publication number | Publication date |
---|---|
CN102474459B (zh) | 2016-03-02 |
CN102474459A (zh) | 2012-05-23 |
JP5601067B2 (ja) | 2014-10-08 |
JP2011045050A (ja) | 2011-03-03 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN105847158B (zh) | 用于处理路由数据的方法和系统 | |
JP4016998B2 (ja) | 通信装置およびプログラム | |
JP5601067B2 (ja) | 中継装置 | |
JP2016051921A (ja) | 通信システム | |
CN110537354B (zh) | 用于配置虚拟专用网关的系统和方法 | |
JP4649465B2 (ja) | 仮想網構築プログラム、仮想網構築装置、および仮想網構築方法 | |
JP2016012909A (ja) | 通信装置、通信方法および通信システム | |
JP2023042903A (ja) | 通信装置、通信方法および通信システム | |
JP2016059022A (ja) | 端末装置、ゲートウェイ装置および中継装置 | |
WO2012107983A1 (ja) | 中継サーバ及び中継通信システム | |
WO2011010736A1 (ja) | 中継装置 | |
US20180262473A1 (en) | Encrypted data packet | |
JP2005057693A (ja) | ネットワーク仮想化システム | |
JP5350333B2 (ja) | パケット中継装置及びネットワークシステム | |
JP2015095698A (ja) | 通信制御サーバーおよびサービス提供システム | |
JP5131118B2 (ja) | 通信システム、管理装置、中継装置、及びプログラム | |
JP2018174550A (ja) | 通信システム | |
JP5532993B2 (ja) | 中継装置 | |
JP2006191205A (ja) | 通信装置及び通信方法、通信システム | |
JP5955811B2 (ja) | 管理装置、管理システム、管理方法及び管理プログラム | |
US11888840B2 (en) | Apparatus and method for selection and transmission of server certificate | |
JP2010074225A (ja) | ルータ及びネットワークシステム | |
JP2009206876A (ja) | サービス公開システム、通信中継装置、およびサービス公開装置 | |
JP6223638B2 (ja) | 通信装置及びメッセージ送受信方法及び設定処理方法及びメッセージ送受信プログラム及び設定処理プログラム | |
JP2006074171A (ja) | 動的メッシュ型vpn構築方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
WWE | Wipo information: entry into national phase |
Ref document number: 201080033082.X Country of ref document: CN |
|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 10802355 Country of ref document: EP Kind code of ref document: A1 |
|
NENP | Non-entry into the national phase |
Ref country code: DE |
|
122 | Ep: pct application non-entry in european phase |
Ref document number: 10802355 Country of ref document: EP Kind code of ref document: A1 |