JP2005136739A - Data relay method, data relay device and data relay system - Google Patents
Data relay method, data relay device and data relay system Download PDFInfo
- Publication number
- JP2005136739A JP2005136739A JP2003371157A JP2003371157A JP2005136739A JP 2005136739 A JP2005136739 A JP 2005136739A JP 2003371157 A JP2003371157 A JP 2003371157A JP 2003371157 A JP2003371157 A JP 2003371157A JP 2005136739 A JP2005136739 A JP 2005136739A
- Authority
- JP
- Japan
- Prior art keywords
- data relay
- path
- data
- logical
- logical path
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
Description
本発明は、たとえばＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）などの仮想ネットワークによって構築されるバックボーンネットワークと特定ユーザのネットワーク間に論理的パスを確立して、データ中継を行うデータ中継方法、データ中継装置、データ中継システムに関するものである。 The present invention relates to a data relay method, a data relay device, and a data relay that perform data relay by establishing a logical path between a backbone network constructed by a virtual network such as VPN (Virtual Private Network) and a network of a specific user. It is about the system.
従来のＶＰＮでは、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）にセキュリティ機能を付加するＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ ｐｒｏｔｏｃｏｌ）を用いて、ＩＰ層での通信におけるセキュリティを確保するものがある。 Some conventional VPNs use IPsec (IP security protocol), which adds a security function to TCP / IP (Transmission Control Protocol / Internet Protocol), to ensure security in communication at the IP layer.
このＩＰｓｅｃを用いてデータ中継を行うためには、仮想ネットワーク上に設けた少なくとも２台のＩＰｓｅｃを用いたデータ中継装置（以下、「ＩＰｓｅｃ装置」という）間で、ＴＣＰ／ＩＰで通信できる環境条件が必要であり、このＩＰｓｅｃ装置間で論理的パスを確立し、特定のネットワークから取り込んだデータを暗号化して、相手のＩＰｓｅｃ装置と通信していた。このようなデータ中継では、ＩＰｓｅｃ装置がお互いに１対１で論理的パスを確立するので、データを複数経路に割り振る負荷分散を行うことには適していなかった。 In order to perform data relay using this IPsec, an environmental condition in which communication using TCP / IP is possible between at least two IPsec data relay devices (hereinafter referred to as “IPsec devices”) provided on the virtual network. Therefore, a logical path is established between the IPsec devices, data captured from a specific network is encrypted, and communication is performed with the other IPsec device. In such a data relay, since IPsec apparatuses establish a logical path on a one-to-one basis, it is not suitable for load distribution in which data is allocated to a plurality of paths.
ところが、近年のインターネットＶＰＮ環境下では、たとえば特許文献１に示すように、センター側のＩＰｓｅｃ装置が２本の回線リソース（異なるインターフェース）を有し、それぞれのインターフェースにＩＰアドレス（グローバルアドレス）を割り当てて、このインターフェースごとに相手の特定ネットワーク（拠点）に接続されているＩＰｓｅｃ装置と論理的パスを確立して、データ中継を行うものが用いられるようになってきた。
However, under the recent Internet VPN environment, for example, as shown in
しかしながら、このＩＰｓｅｃ装置では、たとえば一方の論理的パスが確立された物理回線に障害が発生した際には、その回線に接続された拠点との通信が途絶えることとなる場合があり、データ中継の中継性能が劣化するという問題があった。 However, in this IPsec device, for example, when a failure occurs in a physical line in which one logical path is established, communication with a base connected to that line may be interrupted, and data relay There was a problem that the relay performance deteriorated.
本発明は、上記問題に鑑みてなされたものであって、一方の論理的パスを用いた通信が、たとえば障害などによって途絶えた場合でも、他方の論理的パスを使用してデータ中継を行うことで、データ中継の中継性能を向上させることができるデータ中継方法、データ中継装置およびデータ中継システムを提供することを目的とする。 The present invention has been made in view of the above problems, and even when communication using one logical path is interrupted due to a failure, for example, data relay is performed using the other logical path. An object of the present invention is to provide a data relay method, a data relay device, and a data relay system that can improve the relay performance of data relay.
上述した課題を解決し、目的を達成するために、本発明にかかるデータ中継方法は、仮想ネットワークによって構築されるバックボーンネットワークに設けられたデータ中継装置を介して、特定ユーザのネットワーク間でデータ中継用の論理的パスを確立して、データ中継を行うデータ中継方法において、前記特定ユーザのネットワーク間で複数の論理的パスを確立するパス確立工程と、予め設定された選択情報に基づいて、前記論理的パスのうちから、前記データ中継を行うための論理的パスを決定するパス決定工程と、前記決定された論理的パスを用いてデータ中継を行うデータ中継工程と、を含むことを特徴とする。 In order to solve the above-described problems and achieve the object, the data relay method according to the present invention is a data relay between networks of a specific user via a data relay device provided in a backbone network constructed by a virtual network. In a data relay method for establishing a logical path for data relay and performing data relay, a path establishing step for establishing a plurality of logical paths between the networks of the specific user, and based on selection information set in advance, A path determination step for determining a logical path for performing the data relay from among logical paths, and a data relay step for performing data relay using the determined logical path, To do.
また、請求項２にかかるデータ中継方法は、上記発明において、前記設定された選択情報に基づいて、前記論理的パスの状態を管理する管理工程を、さらに含み、前記パス決定工程では、前記論理的パスの状態に基づいて、論理的パスを決定することを特徴とする。
The data relay method according to
また、請求項３にかかるデータ中継方法は、上記発明において、前記設定された選択情報を通知する通知工程を、さらに含み、前記データ中継工程では、前記通知に応じて送信されるデータを、前記決定された論理的パスを用いてデータ中継することを特徴とする。
In addition, the data relay method according to
また、請求項４にかかるデータ中継装置は、仮想ネットワークによって構築されるバックボーンネットワークに設けられるとともに、特定ユーザのネットワーク間でデータ中継用の論理的パスを確立して、データ中継を行うデータ中継装置において、前記特定ユーザのネットワーク間で複数の論理的パスを確立するパス確立手段と、予め設定された選択情報を記憶する記憶手段と、前記記憶された選択情報に基づいて、前記論理的パスのうちから、前記データ中継を行うための論理的パスを決定するパス決定手段と、前記決定された論理的パスを用いてデータ中継を行うデータ中継手段と、を備えたことを特徴とする。
The data relay apparatus according to
また、請求項５にかかるデータ中継装置は、仮想ネットワークによって構築されるバックボーンネットワークに設けられるとともに、特定ユーザのネットワーク間でデータ中継用の論理的パスを確立して、データ中継を行うデータ中継装置において、前記特定ユーザのネットワーク間で前記論理的パスを確立するパス確立手段と、同一ネットワーク内の他のデータ中継装置が確立する論理的パスと、前記パス確立手段が確立する論理的パスの予め設定された優先順位の情報を記憶する記憶手段と、前記記憶された優先順位の情報に基づいて、データ中継を行うデータ中継手段と、を備えたことを特徴とする。
The data relay device according to
また、請求項６にかかるデータ中継装置は、仮想ネットワークによって構築されるバックボーンネットワークに設けられるとともに、特定ユーザのネットワーク間でデータ中継用の論理的パスを確立して、データ中継を行うデータ中継装置において、前記特定ユーザのネットワーク間で複数の前記論理的パスを確立するパス確立手段と、同一ネットワーク内の他のデータ中継装置が確立する論理的パスと、前記パス確立手段が確立する論理的パスの予め設定された優先順位の情報を記憶する記憶手段と、前記記憶された優先順位の情報に基づいて、前記論理的パスのうちから、前記データ中継を行うための論理的パスを決定するパス決定手段と、前記決定された論理的パスを用いてデータ中継を行うデータ中継手段と、を備えたことを特徴とする。
The data relay device according to
また、請求項７にかかるデータ中継装置は、上記発明において、前記予め設定された優先順位の情報を、前記特定ユーザのネットワークに通知する通知手段を、さらに備えたことを特徴とする。 According to a seventh aspect of the present invention, in the above invention, the data relay device further comprises notification means for notifying the predetermined user's network of the information on the priority order set in advance.
また、請求項８にかかるデータ中継システムは、仮想ネットワークによって構築されるバックボーンネットワークと特定ユーザのネットワーク間でデータ中継用の論理的パスを確立して、データ中継を行うデータ中継システムにおいて、前記バックボーンネットワークに請求項４〜７のいずれか一つに記載のデータ中継装置を、備え、予め設定された所定情報に基づいて、データ中継を行うための論理的パスを決定することを特徴とする。
The data relay system according to
本発明にかかるデータ中継方法は、予め設定された選択情報に基づいて、複数の論理的パスの中から論理的パスを決定し、この論理的パスを用いてデータ中継を行うので、一方の論理的パスを用いた通信が、たとえば障害などによって途絶えた場合でも、他方の論理的パスを使用してデータ中継を行うことで、データ中継の中継性能を向上させることができるという効果を奏する。 In the data relay method according to the present invention, a logical path is determined from a plurality of logical paths based on selection information set in advance, and data relay is performed using this logical path. Even if communication using the target path is interrupted due to a failure, for example, data relay is performed using the other logical path, so that the relay performance of data relay can be improved.
本発明にかかるデータ中継装置は、記憶手段に予め設定されて記憶された選択情報に基づいて、パス決定手段が論理的パスを決定し、データ中継手段がこの論理的パスを使用してデータ中継を行うので、一方の論理的パスを用いた通信が、たとえば障害などによって途絶えた場合でも、他方の論理的パスを使用してデータ中継を行うことで、データ中継の中継性能を向上させることができるという効果を奏する。 In the data relay device according to the present invention, the path determination unit determines a logical path based on the selection information preset and stored in the storage unit, and the data relay unit uses this logical path to perform data relay. Therefore, even if communication using one logical path is interrupted due to a failure, for example, data relay using the other logical path can improve the relay performance of data relay. There is an effect that can be done.
本発明にかかるデータ中継システムは、請求項４〜７のいずれか一つに記載のデータ中継装置を備え、予め設定された所定情報に基づいて、論理的パスを決定し、この論理的パスを用いてデータ中継を行うので、一方の論理的パスを用いた通信が、たとえば障害などによって途絶えた場合でも、他方の論理的パスを使用してデータ中継を行うことで、データ中継の中継性能を向上させることができるという効果を奏する。
A data relay system according to the present invention includes the data relay device according to any one of
以下に、本発明にかかるデータ中継方法、データ中継装置およびデータ中継システムの実施の形態を図１〜図１９の図面に基づいて詳細に説明する。なお、本発明は、これらの実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲で種々の変更実施の形態が可能である。 Embodiments of a data relay method, a data relay device, and a data relay system according to the present invention will be described below in detail with reference to the drawings of FIGS. The present invention is not limited to these embodiments, and various modifications can be made without departing from the scope of the present invention.
（実施の形態１）
図１は、本発明にかかるデータ中継システムの実施の形態１の構成を示すシステム構成図である。図において、インターネットなどのバックボーンネットワーク１０には、本発明にかかるセンター側のＩＰｓｅｃ装置２０と、各特定ネットワーク（この実施の形態では、Ａ〜Ｄ拠点側の各ネットワーク）に接続されるＩＰｓｅｃ装置３１〜３４がそれぞれ接続されている。このシステムでは、センター側と拠点側で、ＩＰｓｅｃの論理的パス（以下、「ＳＡ」という。ＳＡ：Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）を、複数確立してセンター側と拠点側との間でのデータ中継を可能にしている。
(Embodiment 1)
FIG. 1 is a system configuration diagram showing the configuration of the data relay system according to the first embodiment of the present invention. In the figure, a
すなわち、この実施の形態では、ＩＰｓｅｃ装置２０は、２つのインターフェースを有し、それぞれにＩＰアドレス（グローバルアドレス）“＃１”、“＃２”が割り当てられている。そして、この実施の形態では、ＩＰｓｅｃ装置２０が、Ａ〜Ｄ拠点側の各ネットワークに対して、ＩＰアドレス“＃１”にも、“＃２”にもＳＡを確立させておく。ただし、このＳＡを確立させただけでは、上述の背景技術に示したように、ＴＣＰ／ＩＰの通信においては、一方の通信しか有効にならないので、負荷分散を機能させることはできない。 In other words, in this embodiment, the IPsec apparatus 20 has two interfaces, and IP addresses (global addresses) “# 1” and “# 2” are assigned to the two interfaces, respectively. In this embodiment, the IPsec apparatus 20 establishes SAs for both the IP addresses “# 1” and “# 2” for each of the networks at the A to D bases. However, only by establishing this SA, as shown in the background art described above, only one communication is effective in TCP / IP communication, and load distribution cannot be functioned.
そこで、この実施の形態では、このＩＰｓｅｃの負荷分散を機能させるために、通常のＴＣＰ／ＩＰの経路情報とは別に、ＩＰｓｅｃ装置２０の内部にＩＰｓｅｃ負荷分散用の後述するセレクタ情報テーブルに負荷分散フラグ情報を新たに備える。そして、この実施の形態では、データを中継する際に、このセレクタ情報テーブルに予め設定、記憶されている選択情報であるセレクタ情報に基づいて、送信の宛先を切り換えて、データの中継制御を行う。 Therefore, in this embodiment, in order to make this IPsec load distribution function, load distribution is performed in a selector information table (to be described later) for IPsec load distribution in the IPsec apparatus 20 separately from the normal TCP / IP route information. Flag information is newly provided. In this embodiment, when data is relayed, the transmission destination is switched based on selector information that is selection information that is preset and stored in the selector information table to perform data relay control. .
図２は、図１に示したセンター側のＩＰｓｅｃ装置２０の構成を示す構成図である。この図において、ＩＰｓｅｃ装置２０は、従来のＩＰｓｅｃ装置が通常備える、経路情報管理テーブル２１、経路検索部２２、中継経路決定部２３、ＩＰｓｅｃ処理部２４、フレーム中継処理部２５を備えるとともに、予め設定されたセレクタ情報を記憶するセレクタ情報テーブル２６と、ＳＡの確立または未確立の状態を記憶するＳＡ状態管理テーブル２７と、ＳＡの状態を管理するＳＡ管理部２８と、ＳＡの状態に基づいて、宛先ごとの負荷分散処理を行う負荷分散処理部２９とを備える。
FIG. 2 is a configuration diagram showing the configuration of the center side IPsec apparatus 20 shown in FIG. In this figure, the IPsec device 20 includes a route information management table 21, a
経路情報管理テーブル２１は、図３に示すように、送信先ネットワークのＩＰアドレス、この実施の形態では、全てのネットワークのＩＰアドレスと、このアドレスに対応する送信インターフェースのＩＰアドレス、この実施の形態では、ＩＰアドレス“＃１”を記憶している。また、経路検索部２２は、中継用のフレームに対する経路情報を検索し、その検索結果に基づいて、中継経路決定部２３が中継経路の決定を行う。
As shown in FIG. 3, the route information management table 21 includes an IP address of a destination network, in this embodiment, an IP address of all networks, and an IP address of a transmission interface corresponding to this address. Then, the IP address “# 1” is stored. The
セレクタ情報テーブル２６は、図４〜図７に示すように、図２に示したＡ拠点〜Ｄ拠点に向けたそれぞれのセレクタ情報を記憶するテーブルを有している。それぞれのセレクタ情報テーブルのエントリ項目は、同一なので、ここでは代表して図４のＡ拠点に向けたセレクタ情報テーブルの場合を説明する。図４において、セレクタ情報テーブルのエントリ項目としては、送信インターフェースのＩＰアドレス、この実施の形態では、“＃１”、“＃２”に対して、それぞれ送信元ネットワークのＩＰアドレス、この実施の形態では、センター側ネットワークのＩＰアドレスと、送信先ネットワークのＩＰアドレス、この実施の形態では、Ａ拠点のネットワークのＩＰアドレスと、セレクタ番号、この実施の形態では、“１”、“１”と、ピア番号“１”、“２”と、負荷分散フラグ、この実施の形態では、“対象”、“対象”が記憶されている。このセレクタ情報テーブル２６は、たとえば初期設定の段階で、操作者などによって、図示しないキーボードなどの入力手段を用いて、予め各エントリ項目が入力されて、記憶されている。 As shown in FIGS. 4 to 7, the selector information table 26 has a table for storing respective selector information for the A base to the D base shown in FIG. 2. Since the entry items of the respective selector information tables are the same, here, the case of the selector information table directed to the site A in FIG. 4 will be described as a representative. In FIG. 4, as an entry item of the selector information table, the IP address of the transmission interface, in this embodiment, “# 1” and “# 2”, respectively, the IP address of the transmission source network, this embodiment Then, the IP address of the center side network, the IP address of the destination network, in this embodiment, the IP address of the network of the A base and the selector number, in this embodiment, “1”, “1”, Peer numbers “1” and “2”, a load distribution flag, and “target” and “target” in this embodiment are stored. In the selector information table 26, for example, at the initial setting stage, each entry item is previously input and stored by an operator or the like using an input unit such as a keyboard (not shown).
なお、この実施の形態では、Ａ拠点に向けたセレクタ情報のうち、セレクタ番号は、“１”、“１”に、またピア番号は、“１”、“２”に設定されているが、Ｂ拠点に向けたセレクタ情報においては、セレクタ情報は、“２”、“２”に、またピア番号は、“３”、“４”に、Ｃ拠点に向けたセレクタ情報においては、セレクタ情報は、“３”、“３”に、またピア番号は、“５”、“６”に、Ｄ拠点に向けたセレクタ情報においては、セレクタ情報は、“４”、“４”に、またピア番号は、“７”、“８”にそれぞれ設定されている。 In this embodiment, among the selector information for the A site, the selector number is set to “1” and “1”, and the peer number is set to “1” and “2”. In the selector information for the B site, the selector information is “2” and “2”, the peer numbers are “3” and “4”, and in the selector information for the C site, the selector information is , “3”, “3”, and the peer number is “5”, “6”. In the selector information for the D site, the selector information is “4”, “4”, and the peer number. Are set to “7” and “8”, respectively.
また、ＳＡ状態管理テーブル２７は、図８に示すように、Ａ〜Ｄのそれぞれの拠点向けに対して、それぞれ２つのＳＡの確立が可能なので、２つのＳＡ番号と、１つのセレクタ番号と、２つのピア番号と、ＳＡの状態を示す状態情報が記憶している。ここで、ＳＡ番号は、セレクタ番号とピア番号の組み合わせによる番号で、この実施の形態では、ピア番号と同一の番号が付記されている。また、セレクタ番号は、送信元ネットワークと送信先ネットワークの組み合わせによる番号で、上述した“１”〜“４”の番号が付記され、ピア番号は、ＳＡを確立する宛先のＩＰネットワークにより、上述した“１”〜“８”の番号が付記されている。また、状態の情報は、設定されるＳＡの“確立”または“未確立”を示す情報が付記されている。 Further, as shown in FIG. 8, the SA state management table 27 can establish two SAs for each of the sites A to D, so two SA numbers, one selector number, Two peer numbers and state information indicating the SA state are stored. Here, the SA number is a combination of a selector number and a peer number, and in this embodiment, the same number as the peer number is added. The selector number is a combination of the transmission source network and the transmission destination network, the numbers “1” to “4” described above are appended, and the peer number is determined according to the destination IP network that establishes the SA. Numbers “1” to “8” are appended. In addition, the status information includes information indicating “established” or “not established” of the SA to be set.
このような構成におけるＩＰｓｅｃ装置のデータ中継動作を、図９のフローチャートに基づいて説明する。図９において、センタ側ＩＰｓｅｃ装置２０において、フレーム中継処理部２５が、接続されているネットワークからデータフレームを取り込むと、フレーム中継処理を開始し（ステップ１０１）、中継経路決定部２３は、経路検索部２２に対し、取り込んだデータの経路検索を行わせ（ステップ１０２）、中継先の経路情報があるかどうか判断する（ステップ１０３）。
The data relay operation of the IPsec device having such a configuration will be described with reference to the flowchart of FIG. In FIG. 9, in the center side IPsec apparatus 20, when the frame
ここで、中継先の経路情報が検索されない場合には、このデータフレームを破棄し（ステップ１０４）、また中継先の経路情報が検索された場合には、中継経路決定部２３は、中継経路の決定を行うとともに（ステップ１０５）、ＩＰｓｅｃ処理部２４にセレクタ情報の検索指示を与え、ＩＰｓｅｃ処理部２４がセレクタ情報テーブル２６内のセレクト情報の検索を実行する（ステップ１０６）。そして、セレクタ情報テーブル２６内のセレクト情報に適合するものがあるかどうか判断する（ステップ１０７）。
If the relay destination route information is not searched, the data frame is discarded (step 104). If the relay destination route information is searched, the relay route determination unit 23 In addition to making the determination (step 105), the
ここで、適合するセレクタ情報がない場合には、前記中継経路決定部２３で決定した経路情報に基づいて、送信インターフェース及び宛先を指定してフレームの送信を行う（ステップ１１３）。また、適合するセレクタ情報がある場合には、そのセレクタ情報が負荷分散対象かどうか、宛先の拠点向けセレクタ情報テーブルを検索し（ステップ１０８）、負荷分散対象でない場合には、ＩＰｓｅｃ処理部２４によるデータの暗号化の処理を行なって（ステップ１１２）、フレーム送信を行う（ステップ１１３）。また、このフレームが負荷分散対象の場合には、次にＳＡが２本確立しているかどうか判断する（ステップ１０９）。宛先の拠点とのＳＡが２本確立しているかどうか判断することで、いずれの回線にも障害が発生していないことを検出する。 If there is no suitable selector information, the frame is transmitted by designating the transmission interface and the destination based on the route information determined by the relay route determination unit 23 (step 113). If there is suitable selector information, the selector information table for the destination base is searched to determine whether the selector information is a load distribution target (step 108). Data encryption processing is performed (step 112), and frame transmission is performed (step 113). If this frame is a load distribution target, it is next determined whether two SAs have been established (step 109). By determining whether two SAs have been established with the destination base, it is detected that no failure has occurred in any of the lines.
ここで、いずれかの回線に障害が発生してＳＡが未確立の状態にある場合には、負荷分散処理を行なわずに、ＩＰｓｅｃ処理部２４によるデータの暗号化の処理を行なって（ステップ１１２）、フレーム送信を行う（ステップ１１３）。また、ＳＡが２本確立している場合には、負荷分散処理の対象と判断して、負荷分散処理部２９による負荷分散処理を実行する（ステップ１１０）。次に、中継経路決定部２３による中継経路の再決定を行ない（ステップ１１１）、さらにＩＰｓｅｃ処理部２４によるデータの暗号化の処理を行なって（ステップ１１２）、フレーム送信を行う（ステップ１１３）。なお、中継経路決定部２３による中継経路の再決定を行なう際には、たとえばハッシュ関数による計算を行い、その計算結果からデータ中継を行うＳＡの中継経路を決定しても良いし、または予め設定したＳＡの中継経路を用いても良いし、取り込まれるフレームに対して、異なるＳＡを交互に用いるように設定しても良い。
Here, when a failure occurs in any of the lines and the SA is in an unestablished state, data encryption processing is performed by the
このように、この実施の形態では、予め設定されたセレクタ情報に基づいて、複数のＳＡの中から所定のＳＡを決定し、このＳＡを用いて相手先のＩＰｓｅｃ装置との間でデータフレームのデータ中継を行うので、ＴＣＰ／ＩＰの経路情報管理テーブルでは、どのフレームも送信インターフェース＃１を介して中継するものとなっていたものを、もう一方の送信インターフェース＃２を介して中継することが可能となる。したがって、この実施の形態では、たとえば一方のＳＡを用いた通信が、障害などによって途絶えた場合でも、他方のＳＡを使用してデータ中継を行うことができ、これによりデータ中継の冗長構成が実現できるとともに、データ中継の中継性能を向上できる。
As described above, in this embodiment, a predetermined SA is determined from a plurality of SAs based on selector information set in advance, and data frames are exchanged with the other IPsec apparatus using this SA. Since data relay is performed, in the TCP / IP route information management table, any frame that was relayed via the
（実施の形態２）
図２は、本発明にかかるデータ中継システムの実施の形態２の構成を示すシステム構成図である。この実施の形態において、実施の形態１と異なる点は、センタ側のＩＰｓｅｃ装置を２台設け、それぞれのＩＰｓｅｃ装置２０，４０の送信インターフェースは１つの構成からなっている。また、このＩＰｓｅｃ装置２０，４０は、両者が正常にデータ中継の機能を実行する通常状態の時に、いずれのＩＰｓｅｃ装置が優先的にデータ中継を行うかがＡ〜Ｄの拠点毎に設定されている。
(Embodiment 2)
FIG. 2 is a system configuration diagram showing the configuration of
各ＩＰｓｅｃ装置２０，４０は、Ａ〜Ｄの拠点に対して設定される優先度を、自装置内の経路情報管理テーブルに予め設定、記憶させておき、さらにこの経路情報管理テーブルの経路情報を経路制御プロトコル、たとえばＲＩＰ（Ｒｏｕｔｉｎｇ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＢＧＰ（Ｂｏｒｄｅｒ Ｇａｔｅｗａｙ Ｐｒｏｔｏｃｏｌ）を用いて広告し、複数のデータ中継装置間で経路情報を共有させるように構成する。 Each of the IPsec devices 20 and 40 previously sets and stores the priority set for the bases A to D in the route information management table in the own device, and further stores the route information in the route information management table. A route control protocol, for example, RIP (Routing Information Protocol) or BGP (Border Gateway Protocol) is used for advertisement, and the route information is shared among a plurality of data relay apparatuses.
この実施の形態では、個々のＩＰｓｅｃ装置においては、負荷分散の機能を示さない（すなわち、この実施の形態では、図２に示した構成のうち、負荷分散処理部２９を除いた構成となる）が、複数のＩＰｓｅｃ装置が組み合わされてセンター側のネットワークに接続されることで、負荷分散の機能を実行することができる。すなわち、ＩＰｓｅｃ装置２０，４０の送信インターフェースのＩＰアドレスが“＃１”と“＃２”に設定されている場合に、図１１及び図１２にこのＩＰｓｅｃ装置２０，４０が備える経路情報管理テーブルの構成の一例を示す。ＩＰｓｅｃ装置２０の経路情報管理テーブルは、図１１に示すように、送信先ネットワークであるＡ〜Ｄ拠点毎に送信インターフェースのＩＰアドレス、この実施の形態では、全て“＃１”と、対応する優先度の情報、この実施の形態では、Ａ拠点とＢ拠点に対しては“優先”の情報、Ｃ拠点とＤ拠点に対しては、“非優先”の情報が記憶されている。また、ＩＰｓｅｃ装置４０の経路情報管理テーブルは、図１２に示すように、送信先ネットワークであるＡ〜Ｄ拠点毎に送信インターフェースのＩＰアドレス、この実施の形態では、全て“＃２”と、対応する優先度の情報、この実施の形態では、ＩＰｓｅｃ装置とは逆に、Ａ拠点とＢ拠点に対しては“非優先”の情報、Ｃ拠点とＤ拠点に対しては、“優先”の情報が記憶されている。 In this embodiment, the individual IPsec devices do not exhibit the load distribution function (that is, in this embodiment, the configuration shown in FIG. 2 is the configuration excluding the load distribution processing unit 29). However, the load balancing function can be executed by combining a plurality of IPsec devices and connecting them to the network on the center side. That is, when the IP addresses of the transmission interfaces of the IPsec devices 20 and 40 are set to “# 1” and “# 2”, the path information management table of the IPsec devices 20 and 40 shown in FIGS. An example of the configuration is shown. As shown in FIG. 11, the route information management table of the IPsec apparatus 20 has an IP address of the transmission interface for each of the A to D bases that are the transmission destination networks. In this embodiment, all of them are “# 1” and the corresponding priority. In this embodiment, “priority” information is stored for the A and B sites, and “non-priority” information is stored for the C and D sites. Further, as shown in FIG. 12, the route information management table of the IPsec device 40 corresponds to the IP address of the transmission interface for each of the A to D bases that are the transmission destination networks, and in this embodiment, all correspond to “# 2”. In this embodiment, contrary to the IPsec device, “non-priority” information for the A and B sites, and “priority” information for the C and D sites. Is remembered.
また、それぞれのＩＰｓｅｃ装置２０，４０のセレクタ情報テーブルは、図１３〜図１６に示すように、実施の形態１と同様のエントリ項目から構成されており、異なる点は、ＩＰｓｅｃ装置２０と４０毎にこれらのエントリ項目が設定されて点である。また、ピア番号は、それぞれのＩＰｓｅｃ装置２０と４０毎に設定されており、負荷分散フラグは全て“対象外”が記憶されている。これらのＡ〜Ｄ拠点に向けたセレクタ情報テーブルは、ＩＰｓｅｃ装置２０，４０ともに同一の内容が記憶されている。 Further, as shown in FIGS. 13 to 16, the selector information tables of the respective IPsec devices 20 and 40 are composed of the same entry items as those in the first embodiment, and are different in each IPsec device 20 and 40. These entry items are set in the point. Further, the peer number is set for each of the IPsec devices 20 and 40, and all of the load distribution flags are stored as “not applicable”. The same information is stored in the selector information tables for these A to D bases in both the IPsec apparatuses 20 and 40.
さらに、ＩＰｓｅｃ装置２０のＳＡ状態管理テーブルは、図１７に示すように、Ａ〜Ｄのそれぞれの拠点向けに対して、それぞれ１つのＳＡの確立が可能なので、１つずつのＳＡ番号と、セレクタ番号と、ピア番号と、ＳＡの状態を示す状態情報が記憶している。 Furthermore, as shown in FIG. 17, the SA state management table of the IPsec apparatus 20 can establish one SA for each of the bases A to D. Therefore, each SA number and selector A number, a peer number, and status information indicating the SA status are stored.
またさらに、経路情報の広告を行うフレームは、図１９に示すような構成からなっている。この図１９では、ＲＩＰで用いるフレームの構成の一例を代表して示す。図１９において、ＲＩＰのフレームには、先頭からＭＡＣヘッダ、ＩＰヘッダ、ＵＤＰが付与されており、その後にＲＩＰヘッダ及びＲＩＰデータが連なって構成されている。また、ＲＩＰデータは、宛先ネットワークのＩＰアドレスが格納される宛先ネットワークの領域と、全て“０”の情報が格納される２つのｍｕｓｔ ｂｅ ｚｅｒｏの領域と、メトリックの領域から構成されている。この実施の形態では、メトリックの領域を用いて、各宛先ネットワークに対して、優先度を規定している。この実施の形態では、同じ宛先ネットワークの情報を受信した場合には、メトリック領域の値の小さい情報を優先している。 Furthermore, a frame for advertising route information has a configuration as shown in FIG. FIG. 19 representatively shows an example of a frame configuration used in RIP. In FIG. 19, an RIP frame is provided with a MAC header, an IP header, and UDP from the beginning, and thereafter, the RIP header and RIP data are connected. The RIP data includes a destination network area in which the IP address of the destination network is stored, two must be zero areas in which all “0” information is stored, and a metric area. In this embodiment, a priority is defined for each destination network using a metric area. In this embodiment, when information on the same destination network is received, priority is given to information having a small value in the metric area.
このＲＩＰのフレームは、センター側のネットワークの各端末装置などにも取り込まれており、この端末装置は、この経路情報に基づいて、優先度の高いＩＰｓｅｃ装置を選択して、各拠点へのデータフレームを送信することができる。 This RIP frame is also captured in each terminal device of the center side network, and this terminal device selects an IPsec device having a high priority based on this route information, and transmits data to each base. A frame can be transmitted.
このような構成におけるＩＰｓｅｃ装置のデータ中継動作では、図９に示したフローチャートにおいて、データが全て負荷分散対象ではないので（ステップ１０８でＮｏとなるので）、ＩＰｓｅｃ処理部での暗号化処理に移行されることになり（ステップ１１２）、中継経路決定部で最初に経路情報管理テーブルの内容から検索された経路情報に基づいて、フレーム送信が行われることとなる。 In the data relay operation of the IPsec device having such a configuration, since not all data is load distribution target in the flowchart shown in FIG. 9 (No in step 108), the process proceeds to the encryption processing in the IPsec processing unit. Thus, the frame transmission is performed based on the route information first retrieved from the contents of the route information management table by the relay route determination unit (step 112).
このように、この実施の形態では、予め経路情報の中に、各拠点向けに対応させて優先度の情報を設定しておき、この情報に基づいて、センター側のネットワークから送信されるデータフレームをＩＰｓｅｃ装置でデータ中継するので、宛先である拠点毎に優先度をつけてデータフレームを、対応するＩＰｓｅｃ装置に負荷分散させて送信することが可能となる。したがって、この実施の形態では、たとえば一方のＩＰｓｅｃ装置で確立されたＳＡを用いた通信が、障害などによって途絶えた場合でも、他方のＩＰｓｅｃ装置で確立されたＳＡを使用してデータ中継を行うことができ、これによりデータ中継の冗長構成が実現できるとともに、データ中継の中継性能を向上できる。 As described above, in this embodiment, priority information is set in advance in the route information so as to correspond to each base, and based on this information, a data frame transmitted from the network on the center side is set. Since the data is relayed by the IPsec apparatus, it is possible to assign a priority to each destination base and transmit the data frame with load distribution to the corresponding IPsec apparatus. Therefore, in this embodiment, for example, even when communication using the SA established in one IPsec apparatus is interrupted due to a failure or the like, data relay is performed using the SA established in the other IPsec apparatus. As a result, a redundant configuration of data relay can be realized, and the relay performance of data relay can be improved.
また、本発明は、これら実施例に限定されるものではなく、たとえば複数の送信インターフェースを備えたＩＰｓｅｃ装置を、複数組み合わせることも可能である。この場合には、１つのＩＰｓｅｃ装置内での負荷分散が可能となるとともに、複数の組み合わされたＩＰｓｅｃ装置間での負荷分散も可能となるので、さらにデータ中継の冗長性が向上するとともに、データ中継の中継性能を向上できる。 Further, the present invention is not limited to these embodiments, and for example, a plurality of IPsec devices having a plurality of transmission interfaces can be combined. In this case, load distribution within one IPsec device is possible, and load distribution among a plurality of combined IPsec devices is also possible, so that the redundancy of data relay is further improved and data Relay performance can be improved.
１０ バックボーンネットワーク
２０，３１〜３４，４０ ＩＰｓｅｃ装置
２１ 経路情報管理テーブル
２２ 経路検索部
２３ 中継経路決定部
２４ ＩＰｓｅｃ処理部
２５ フレーム中継処理部
２６ セレクタ情報テーブル
２７ ＳＡ状態管理テーブル
２８ ＳＡ管理部
２９ 負荷分散処理部
DESCRIPTION OF
Claims (8)
前記特定ユーザのネットワーク間で複数の論理的パスを確立するパス確立工程と、
予め設定された選択情報に基づいて、前記論理的パスのうちから、前記データ中継を行うための論理的パスを決定するパス決定工程と、
前記決定された論理的パスを用いてデータ中継を行うデータ中継工程と、
を含むことを特徴とするデータ中継方法。 In a data relay method for establishing a logical path for data relay between specific user networks via a data relay device provided in a backbone network constructed by a virtual network and performing data relay,
Establishing a plurality of logical paths between the networks of the specific users;
A path determination step for determining a logical path for performing the data relay out of the logical paths based on selection information set in advance;
A data relay step of relaying data using the determined logical path;
A data relay method comprising:
さらに含み、前記パス決定工程では、前記論理的パスの状態に基づいて、論理的パスを決定することを特徴とする請求項１に記載のデータ中継方法。 The data relay method includes a management step of managing the state of the logical path based on the set selection information.
The data relay method according to claim 1, further comprising: determining a logical path based on a state of the logical path in the path determining step.
さらに含み、前記データ中継工程では、前記通知に応じて送信されるデータを、前記決定された論理的パスを用いてデータ中継することを特徴とする請求項１に記載のデータ中継方法。 The data relay method includes a notification step of notifying the set selection information.
The data relay method according to claim 1, further comprising: in the data relay step, data transmitted in response to the notification is relayed using the determined logical path.
前記特定ユーザのネットワーク間で複数の論理的パスを確立するパス確立手段と、
予め設定された選択情報を記憶する記憶手段と、
前記記憶された選択情報に基づいて、前記論理的パスのうちから、前記データ中継を行うための論理的パスを決定するパス決定手段と、
前記決定された論理的パスを用いてデータ中継を行うデータ中継手段と、
を備えたことを特徴とするデータ中継装置。 In a data relay apparatus that is provided in a backbone network constructed by a virtual network and establishes a logical path for data relay between networks of specific users and performs data relay,
Path establishing means for establishing a plurality of logical paths between the networks of the specific users;
Storage means for storing selection information set in advance;
Path determining means for determining a logical path for performing the data relay out of the logical paths based on the stored selection information;
Data relay means for relaying data using the determined logical path;
A data relay device comprising:
前記特定ユーザのネットワーク間で前記論理的パスを確立するパス確立手段と、
同一ネットワーク内の他のデータ中継装置が確立する論理的パスと、前記パス確立手段が確立する論理的パスの予め設定された優先順位の情報を記憶する記憶手段と、
前記記憶された優先順位の情報に基づいて、データ中継を行うデータ中継手段と、
を備えたことを特徴とするデータ中継装置。 In a data relay apparatus that is provided in a backbone network constructed by a virtual network and establishes a logical path for data relay between networks of specific users and performs data relay,
Path establishment means for establishing the logical path between the networks of the specific users;
Storage means for storing logical paths established by other data relay devices in the same network, and information on preset priorities of logical paths established by the path establishment means;
Data relay means for relaying data based on the stored priority information;
A data relay device comprising:
前記特定ユーザのネットワーク間で複数の前記論理的パスを確立するパス確立手段と、
同一ネットワーク内の他のデータ中継装置が確立する論理的パスと、前記パス確立手段が確立する論理的パスの予め設定された優先順位の情報を記憶する記憶手段と、
前記記憶された優先順位の情報に基づいて、前記論理的パスのうちから、前記データ中継を行うための論理的パスを決定するパス決定手段と、
前記決定された論理的パスを用いてデータ中継を行うデータ中継手段と、
を備えたことを特徴とするデータ中継装置。 In a data relay apparatus that is provided in a backbone network constructed by a virtual network and establishes a logical path for data relay between networks of specific users and performs data relay,
Path establishment means for establishing a plurality of the logical paths between the networks of the specific users;
Storage means for storing logical paths established by other data relay devices in the same network, and information on preset priorities of logical paths established by the path establishment means;
Path determining means for determining a logical path for performing the data relay out of the logical paths based on the stored priority information;
Data relay means for relaying data using the determined logical path;
A data relay device comprising:
前記予め設定された優先順位の情報を、前記特定ユーザのネットワークに通知する通知手段を、
さらに備えたことを特徴とする請求項４〜６のいずれか一つに記載のデータ中継装置。 The data relay device
A notification means for notifying the information of the preset priority to the network of the specific user;
The data relay device according to any one of claims 4 to 6, further comprising:
前記バックボーンネットワークに請求項４〜７のいずれか一つに記載のデータ中継装置を、
備え、予め設定された所定情報に基づいて、データ中継を行うための論理的パスを決定することを特徴とするデータ中継システム。 In a data relay system that relays data by establishing a logical path for data relay between a backbone network constructed by a virtual network and a network of a specific user,
The data relay device according to any one of claims 4 to 7 is provided in the backbone network.
A data relay system comprising: determining a logical path for performing data relay based on predetermined information set in advance.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003371157A JP2005136739A (en) | 2003-10-30 | 2003-10-30 | Data relay method, data relay device and data relay system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003371157A JP2005136739A (en) | 2003-10-30 | 2003-10-30 | Data relay method, data relay device and data relay system |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2005136739A true JP2005136739A (en) | 2005-05-26 |
Family
ID=34647938
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003371157A Pending JP2005136739A (en) | 2003-10-30 | 2003-10-30 | Data relay method, data relay device and data relay system |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2005136739A (en) |
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008301072A (en) * | 2007-05-30 | 2008-12-11 | Ricoh Co Ltd | Encryption communication line restoration method, encryption communications device, and encryption communication system |
| JP2012034259A (en) * | 2010-08-02 | 2012-02-16 | Nippon Telegr & Teleph Corp <Ntt> | Tunnel termination system, tunnel termination method, tunnel termination controller, tunnel termination control method and program therefor |
| JP2012177942A (en) * | 2012-06-07 | 2012-09-13 | Ricoh Co Ltd | Encryption communication line restoration method, encryption communications device, and encryption communication system |
| US20140304503A1 (en) * | 2009-11-25 | 2014-10-09 | Security First Corp. | Systems and methods for securing data in motion |
| JP2015515210A (en) * | 2012-03-30 | 2015-05-21 | ホアウェイ・テクノロジーズ・カンパニー・リミテッド | Improved IPsec communication performance and security against eavesdropping |
| WO2015181931A1 (en) * | 2014-05-29 | 2015-12-03 | 三菱電機株式会社 | Management device, management method, and program |
| US9871770B2 (en) | 2004-10-25 | 2018-01-16 | Security First Corp. | Secure data parser method and system |
-
2003
- 2003-10-30 JP JP2003371157A patent/JP2005136739A/en active Pending
Cited By (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9871770B2 (en) | 2004-10-25 | 2018-01-16 | Security First Corp. | Secure data parser method and system |
| US11178116B2 (en) | 2004-10-25 | 2021-11-16 | Security First Corp. | Secure data parser method and system |
| US9992170B2 (en) | 2004-10-25 | 2018-06-05 | Security First Corp. | Secure data parser method and system |
| US9985932B2 (en) | 2004-10-25 | 2018-05-29 | Security First Corp. | Secure data parser method and system |
| US9935923B2 (en) | 2004-10-25 | 2018-04-03 | Security First Corp. | Secure data parser method and system |
| US9906500B2 (en) | 2004-10-25 | 2018-02-27 | Security First Corp. | Secure data parser method and system |
| JP2008301072A (en) * | 2007-05-30 | 2008-12-11 | Ricoh Co Ltd | Encryption communication line restoration method, encryption communications device, and encryption communication system |
| US20140304503A1 (en) * | 2009-11-25 | 2014-10-09 | Security First Corp. | Systems and methods for securing data in motion |
| US9516002B2 (en) * | 2009-11-25 | 2016-12-06 | Security First Corp. | Systems and methods for securing data in motion |
| JP2015039213A (en) * | 2009-11-25 | 2015-02-26 | セキュリティー ファースト コープ． | Systems and methods for securing data in motion |
| JP2012034259A (en) * | 2010-08-02 | 2012-02-16 | Nippon Telegr & Teleph Corp <Ntt> | Tunnel termination system, tunnel termination method, tunnel termination controller, tunnel termination control method and program therefor |
| JP2015515210A (en) * | 2012-03-30 | 2015-05-21 | ホアウェイ・テクノロジーズ・カンパニー・リミテッド | Improved IPsec communication performance and security against eavesdropping |
| JP2012177942A (en) * | 2012-06-07 | 2012-09-13 | Ricoh Co Ltd | Encryption communication line restoration method, encryption communications device, and encryption communication system |
| WO2015181931A1 (en) * | 2014-05-29 | 2015-12-03 | 三菱電機株式会社 | Management device, management method, and program |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10778564B2 (en) | Proxy of routing protocols to redundant controllers | |
| US9954769B2 (en) | Inter-domain fast reroute methods and network devices | |
| US20190007312A1 (en) | Techniques for routing and forwarding between multiple virtual routers implemented by a single device | |
| EP3399703B1 (en) | Method for implementing load balancing, apparatus, and network system | |
| US20040210892A1 (en) | Dynamic routing on networks | |
| US20070086363A1 (en) | Switch meshing using multiple directional spanning trees | |
| CN101326762A (en) | Constructing and implementing backup paths in autonomous systems | |
| US20130151445A1 (en) | Method and System for Survival of Data Plane Through a Total Control Plane Failure | |
| EP3989512A1 (en) | Method for controlling traffic forwarding, device, and system | |
| KR101323852B1 (en) | Virtual Firewall system and the control method for using based on commonness security policy | |
| US10530873B1 (en) | Techniques for optimizing EVPN-IRB for IPv6-enabled data centers with top-of-rack deployments | |
| CN101692654B (en) | Method, system and equipment for HUB-Spoken networking | |
| JP3587633B2 (en) | Network communication method and apparatus | |
| US20150012664A1 (en) | Routing data based on a naming service | |
| JP2005136739A (en) | Data relay method, data relay device and data relay system | |
| CN108289044B (en) | Data forwarding method, link state method for determining static route and network equipment | |
| Cisco | OSPF Sham-Link Support for MPLS VPN | |
| EP3883196B1 (en) | Utilizing domain segment identifiers for inter-domain shortest path segment routing | |
| JP2004274112A (en) | Route switching device | |
| Cisco | Configuring OSPF | |
| US8135834B1 (en) | Method and system for causing intra-AS network traffic to be more evenly balanced | |
| JP4044007B2 (en) | Route information management method and route information management device | |
| JP4357310B2 (en) | Communication method and communication apparatus for simultaneous connection to a plurality of networks | |
| KR100431207B1 (en) | Exteranet ip-vpn service provinding methode in mpls based network | |
| JP2004282252A (en) | Access management apparatus for network apparatus |