JP2006074171A - Dynamic mesh type vpn structuring method - Google Patents
Dynamic mesh type vpn structuring method Download PDFInfo
- Publication number
- JP2006074171A JP2006074171A JP2004252380A JP2004252380A JP2006074171A JP 2006074171 A JP2006074171 A JP 2006074171A JP 2004252380 A JP2004252380 A JP 2004252380A JP 2004252380 A JP2004252380 A JP 2004252380A JP 2006074171 A JP2006074171 A JP 2006074171A
- Authority
- JP
- Japan
- Prior art keywords
- node
- vpn
- address
- virtual
- network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Abstract
Description
この発明は、インターネット網内に、メッシュ型構造を有するＶＰＮ（Virtual Private Network ；仮想閉成網）を構築するための、動的メッシュ型ＶＰＮ構築方法に関する。 The present invention relates to a dynamic mesh VPN construction method for constructing a VPN (Virtual Private Network; virtual closed network) having a mesh structure in an Internet network.
ＶＰＮ通信においては、公衆網であるインターネット網内に閉じた通信網であるＶＰＮを形成することによって、あたかも専用線のように通信を行うものであって、仮想私設網とも呼ばれている。
従来のＶＰＮ通信システムにおける接続形態は、Point-to-Point型であって、インターネット網を経由して、相手方ノードとの間で対向でＶＰＮ接続を行うものであった。
In VPN communication, a VPN, which is a closed communication network, is formed in the Internet network, which is a public network, to perform communication as if it were a dedicated line, and is also called a virtual private network.
A connection form in the conventional VPN communication system is a point-to-point type, and VPN connection is performed in a facing manner with a counterpart node via the Internet network.
従来のＶＰＮ通信においては、パケットは、一般にＵＤＰヘッダとＩＰヘッダとでカプセル化されることによって、インターネット網内をトンネリングして、対向するノード（Noad a，Noad b）間に閉じた通信路を形成して伝送される。
このように、従来のＶＰＮ通信はPoint-to-Point型であって、基本的に対向する二つのノード間で１：１の関係で行われるものであった。従って、１：多の関係でＶＰＮ通信を行おうとする場合には、一つのノードと、他の複数のノードとの間で、それぞれ１：１でＶＰＮ接続を行って通信を行うようにしていた。
In conventional VPN communication, a packet is generally encapsulated by a UDP header and an IP header, so that a tunnel is routed in the Internet network and a closed communication path is established between opposing nodes (Noad a, Noad b). Formed and transmitted.
As described above, the conventional VPN communication is a point-to-point type, and is basically performed in a 1: 1 relationship between two opposing nodes. Therefore, when VPN communication is to be performed in a 1: many relationship, VPN connection is performed by 1: 1 connection between one node and a plurality of other nodes. .
このような、従来のＶＰＮ接続のための接続プロトコルとしては、ＩＰプロトコルおよびＵＤＰプロトコル以外に、例えばインターネット経由でＬＡＮ（Local Area Network）どうしを接続するための通信プロトコルであるＰＰＴＰ（非特許文献１参照）や、二つのネットワーク間でレイヤ２（データリンク層）レベルでパケットのカプセル化を実現して、インターネット網内におけるトンネリングを可能にするためのプロトコルであるＬ２ＴＰ（非特許文献２参照）が知られている。また、ＶＰＮ網内におけるパケットの暗号化や鍵管理手順及び認証に関するプロトコルとして、ＩＰｓｅｃ（非特許文献３参照）等が知られている。
従来のインターネット網を使用するＶＰＮ通信システムにおける接続形態は、Point-to-Point型であって、インターネット網を経由して、同時に多地点のノードとのＶＰＮ接続を行うためには、接続相手と同数のネットワークインタフェースを必要とし、特に地点数が増加すると、ネットワーク処理機構を複雑にするため、ＶＰＮ通信に要する処理時間が無視できなくなり、ＶＰＮ通信速度を低下させることになる。そのため、同時に多地点のノードとの接続を行う目的には適当でなかった。 A connection form in a conventional VPN communication system using the Internet network is a point-to-point type, and in order to perform VPN connection with a multipoint node simultaneously via the Internet network, If the same number of network interfaces are required and the number of points increases, in particular, the network processing mechanism becomes complicated, so that the processing time required for VPN communication cannot be ignored, and the VPN communication speed is reduced. Therefore, it was not suitable for the purpose of connecting to multi-point nodes at the same time.
また、インターネット網における通信のトラフィック量を低減することが課題となっているが、従来のＶＰＮ接続ではPoint-to-Point型接続方式のため、中継ノードや中継ノード群を必要とした。例えばソフトイーサによる通信では、ノード間にソフトハブと呼ばれる中継ノードが必要である。この場合、中継ノード，中継ノード群を経由することによって、インターネット網の全体の通信トラフィック量が増大することを避けられなかった。 Further, although it has been a problem to reduce the amount of communication traffic in the Internet network, the conventional VPN connection requires a relay node or a relay node group because it is a point-to-point connection method. For example, in communication by soft ether, a relay node called a soft hub is required between nodes. In this case, it is inevitable that the communication traffic amount of the entire Internet network increases due to the relay node and the relay node group.
この発明は上述の事情に鑑みてなされたものであって、単一の物理ネットワークインタフェースを持つノードが、インターネット網を介して同時に多地点のノードとの間でＶＰＮ通信を行うことが可能であるとともに、このような通信を行う場合にも通信トラフィック量が増大することがない動的メッシュ型ＶＰＮ構築方法を提供することを目的としている。 The present invention has been made in view of the above circumstances, and a node having a single physical network interface can simultaneously perform VPN communication with a multipoint node via the Internet network. Another object of the present invention is to provide a dynamic mesh VPN construction method in which the amount of communication traffic does not increase even when such communication is performed.
上記課題を解決するため、請求項１記載の発明は動的メッシュ型ＶＰＮ構築方法に係り、インターネット網内のノードが、ノード情報登録手段に、当該ノードに対する接続時に必要となるノード情報を登録することによって、上記インターネット網内における上記ノード情報登録手段が支配する仮想同一セグメントに参加し、該仮想同一セグメントに含まれる複数の他のノードとの間で、上記ノード情報登録手段が提供するノード情報を用いて、相互にＶＰＮ（Virtual Private Network ）接続を確立して通信可能になることを特徴としている。
In order to solve the above-mentioned problem, the invention according to
また、請求項２記載の発明は、請求項１記載の動的メッシュ型ＶＰＮ構築方法に係り、上記ノード情報登録手段に登録されるノード情報が、当該ノードがインターネット網内において割り当てられるＩＰ（Internet Protocol ）アドレスと、当該ノードがＶＰＮ網内において割り当てられるＶＰＮアドレスと、当該ノードが持つ上記仮想同一セグメント内の識別アドレスである仮想イーサネット（登録商標）ＭＡＣ（Media Access Control）アドレスと、当該ノードに関する補足的情報であるユーザ補足情報とからなることを特徴としている。 According to a second aspect of the present invention, there is provided the dynamic mesh VPN construction method according to the first aspect, wherein the node information registered in the node information registering means is an IP (Internet Protocol) to which the node is assigned in the Internet network. Protocol) address, a VPN address assigned to the node in the VPN network, a virtual Ethernet (registered trademark) MAC (Media Access Control) address which is an identification address in the virtual same segment of the node, and the node It is characterized by comprising user supplementary information which is supplementary information.
また、請求項３記載の発明は、請求項２記載の動的メッシュ型ＶＰＮ構築方法に係り、上記ＩＰアドレスが、固定グローバルＩＰアドレスであるか、又はノードがインターネット網接続時に動的に割り当てられるグローバルＩＰアドレスである場合に、上記ＶＰＮ接続が可能になることを特徴としている。 The invention according to claim 3 relates to the dynamic mesh VPN construction method according to claim 2, wherein the IP address is a fixed global IP address, or a node is dynamically assigned when the Internet network is connected. In the case of a global IP address, the VPN connection is possible.
また、請求項４記載の発明は、請求項２又は３記載の動的メッシュ型ＶＰＮ構築方法に係り、上記仮想イーサネットＭＡＣアドレスが、当該ノードが保持する実イーサネットインタフェースＭＡＣアドレスから計算して求められたユニークな仮想イーサネットインタフェースＭＡＣアドレスであることを特徴としている。 The invention according to claim 4 relates to the dynamic mesh VPN construction method according to claim 2 or 3, wherein the virtual Ethernet MAC address is calculated from the actual Ethernet interface MAC address held by the node. It is characterized by a unique virtual Ethernet interface MAC address.
本発明の動的メッシュ型ＶＰＮ構築方法によれば、単一の物理ネットワークインタフェースを持つノードが、インターネット網を介して同時に多地点のノードとの間でＶＰＮ通信を行うことができるとともに、この際、通信トラフィック量の増大を避けることができる。 According to the dynamic mesh VPN construction method of the present invention, a node having a single physical network interface can simultaneously perform VPN communication with nodes at multiple points via the Internet network. An increase in communication traffic volume can be avoided.
インターネット網内のノードが、位置登録・ブロードキャストサーバに、自ノードに対する接続時に必要となるノード情報を登録することによって、インターネット網内における位置登録・ブロードキャストサーバが支配する仮想同一セグメントに参加し、この仮想同一セグメントに含まれる複数の他のノードとの間で、位置登録・ブロードキャストサーバが提供するノード情報を用いて、相互にＶＰＮ接続を確立して通信を行う。 Nodes in the Internet network register with the location registration / broadcast server in order to register the node information required when connecting to the local node, thereby participating in the virtual same segment controlled by the location registration / broadcast server in the Internet network. Communication is performed with a plurality of other nodes included in the same virtual segment by establishing a VPN connection with each other using node information provided by the location registration / broadcast server.
図１は、メッシュ型仮想ネットワークにおけるノード間のインタフェースを示す図、図２は、本発明の一実施例である動的メッシュ型ＶＰＮにおけるネットワーク構成を示す図、図３は、本実施例におけるＭＡＣアドレスの形式を示す図、図４は、本実施例におけるパケットの形式を示す図、図５は、位置登録・ブロードキャストサーバ情報を示す図、図６は、ＥＡＲＰパケットのフォーマットを示す図、図７は、ユニキャストの場合の通信手順を示す図、図８は、ブロードキャストの場合の通信手順を示す図である。 FIG. 1 is a diagram showing interfaces between nodes in a mesh virtual network, FIG. 2 is a diagram showing a network configuration in a dynamic mesh VPN according to an embodiment of the present invention, and FIG. 3 is a MAC diagram in this embodiment. FIG. 4 is a diagram showing a format of a packet in this embodiment, FIG. 5 is a diagram showing location registration / broadcast server information, FIG. 6 is a diagram showing a format of an EARP packet, and FIG. FIG. 8 is a diagram showing a communication procedure in the case of unicast, and FIG. 8 is a diagram showing a communication procedure in the case of broadcast.
最初、この例の動的メッシュ型ＶＰＮの機能について説明する。
従来のインターネット網に接続されているノードは、そのノードが属する部分的なネットワークすなわち同一セグメント外と通信を行うためには、ノードが属するセグメントと外部ネットワークとの接続点にあるルータ等に、通信先経路情報等を登録しておく必要があった。
しかしながら、この例の動的メッシュ型ＶＰＮでは、同一セグメント内のノードは、予め位置登録・ブロードキャストサーバにそのノード情報を登録することによって、仮想同一セグメント内において、この例の動的メッシュ型ＶＰＮ通信に参加することができるようになる。
First, the function of the dynamic mesh VPN of this example will be described.
In order to communicate with a partial network to which the node belongs, that is, outside the same segment, a node connected to the conventional Internet network communicates with a router or the like at a connection point between the segment to which the node belongs and an external network. It was necessary to register destination route information.
However, in the dynamic mesh type VPN of this example, nodes in the same segment register the node information in advance in the location registration / broadcast server, so that the dynamic mesh type VPN communication of this example is performed in the virtual same segment. You will be able to participate in.
ここで、仮想同一セグメントは、位置登録・ブロードキャストサーバが支配するセグメントを指し、従来のインターネット網のセグメントから独立して、任意に構成できるセグメントである。位置登録・ブロードキャストサーバは、一つまたは複数の仮想セグメントを支配することができ、また、仮想同一セグメント内に、複数の位置登録・ブロードキャストサーバを配置することもできる。 Here, the virtual same segment refers to a segment controlled by the location registration / broadcast server, and can be arbitrarily configured independently of the segment of the conventional Internet network. The location registration / broadcast server can dominate one or a plurality of virtual segments, and a plurality of location registration / broadcast servers can be arranged in the same virtual segment.
そして、仮想同一セグメントにおいて位置登録・ブロードキャストサーバを設置したことによって、仮想同一セグメントに含まれる複数のノードは、この仮想同一セグメントに含まれる多地点の複数ノードとの間で、同時にインターネット網を介するＶＰＮ接続を行うことができる。
位置登録・ブロードキャストサーバは、通信を要求するノードに対して、通信に必要な接続情報を提供する。
なお、仮想同一セグメントに含まれるノードが二つだけであって、１：１で通信を行う場合は、従来のPoint-to-Point型接続方式の場合と同様に、位置登録・ブロードキャストサーバは不要である。
Then, by installing the location registration / broadcast server in the virtual same segment, a plurality of nodes included in the virtual same segment simultaneously pass through the Internet network with a plurality of nodes at multiple points included in the virtual same segment. VPN connection can be made.
The location registration / broadcast server provides connection information necessary for communication to a node that requests communication.
Note that if there are only two nodes in the same virtual segment and communication is performed 1: 1, a location registration / broadcast server is not required, as in the case of the conventional point-to-point connection method. It is.
この例の動的メッシュ型ＶＰＮ接続を行うためには、ノードは、ＩＰ（非特許文献４参照）アドレスとして、固定グローバルＩＰアドレスを持つか、またはインターネット網接続時に、ＤＨＣＰ（非特許文献５参照）等の手順によって動的に割り当てられるグローバルＩＰアドレスを持つことが必要である。 In order to perform the dynamic mesh type VPN connection in this example, the node has a fixed global IP address as an IP (see Non-Patent Document 4) address, or DHCP (see Non-Patent Document 5) when connected to the Internet network. ) Etc., it is necessary to have a global IP address dynamically assigned.
仮想同一セグメント内のノードは、一つの物理ネットワークインタフェースにおいて、単一の仮想ネットワークインタフェースを構築し、この仮想同一セグメント内にある他のすべてのノードとの間で、直接、インターネットＶＰＮ接続を行うことができる。仮想ネットワークインタフェースを複数使用して、同時に異なるセグメントに対してアクセスすることも可能である。 Nodes in the same virtual segment construct a single virtual network interface in one physical network interface, and perform direct Internet VPN connection with all other nodes in this virtual same segment. Can do. A plurality of virtual network interfaces can be used to simultaneously access different segments.
図１は、メッシュ型仮想ネットワークにおけるノード間のインタフェースを示すものであって、複数のノードＮ１，Ｎ２，Ｎ３，Ｎ４，…は、それぞれのノード間の通信路Ｐ１２，Ｐ１３，Ｐ１４，Ｐ１５，…，Ｐ２３，Ｐ２４，Ｐ２５，…，Ｐ３４，Ｐ３５，…を介して、相互に直接、ＶＰＮ接続を行って通信を行うことができる。
従来のＶＰＮ通信では、Point-to-Point型接続方式であったため、多地点との接続を行うためには、各ノードは、それぞれ一つの物理ネットワークインタフェース上に複数の仮想ネットワークインタフェースを形成する必要があったが、本発明のメッシュ型仮想ネットワークインタフェースでは、図１に示すように、ノード間を直接、接続できるので、セグメント内の中継ノードが不要となって、インターネット網のトラフィックを不要に増加させることがなくなる。
FIG. 1 shows an interface between nodes in a mesh type virtual network. A plurality of nodes N1, N2, N3, N4,... Are communication paths P12, P13, P14, P15,. , P23, P24, P25,..., P34, P35,.
Since conventional VPN communication is a point-to-point connection method, each node needs to form multiple virtual network interfaces on one physical network interface in order to connect to multiple points. However, in the mesh type virtual network interface of the present invention, as shown in FIG. 1, since the nodes can be directly connected, there is no need for a relay node in the segment, and traffic on the Internet network is unnecessarily increased. It will not let you.
また、従来、インターネット網内のＬＡＮ（Local Area Network）であるイーサネット（Ethernet：登録商標）では、ノードの識別のためのＭＡＣ（Media Access Control）アドレスとして、IEEE802.3 で規定する Ethernet インタフェースアドレスを使用していたが、この例の動的メッシュ型ＶＰＮでは、仮想同一セグメント内のノードと通信を行うための仮想インタフェースＭＡＣアドレスとして、ノードが保有する実 Ethernet インタフェースアドレスから計算して求められたユニークな仮想 Ethernet インタフェースＭＡＣアドレスを使用する。
従って、ノードは、物理 Ethernet インタフェースアドレスを使用して、実際にイーサネットにおいて通信を行うことができるとともに、仮想 Ethernet インタフェースアドレスを使用して、仮想同一セグメント内のノードとＶＰＮ通信を行うことができる。
なお従来のPoint-to-Point型接続方式のＶＰＮでは、ユニークな仮想ＭＡＣインタフェースアドレスの割り当ては実現されていなかった。
Conventionally, Ethernet (registered trademark), which is a LAN (Local Area Network) in the Internet network, uses an Ethernet interface address specified by IEEE802.3 as a MAC (Media Access Control) address for identifying a node. In the dynamic mesh type VPN of this example, the unique virtual interface MAC address for communication with the nodes in the same virtual segment was calculated from the actual Ethernet interface address held by the node. Use a valid virtual Ethernet interface MAC address.
Therefore, the node can actually communicate in Ethernet using the physical Ethernet interface address, and can perform VPN communication with the node in the virtual same segment using the virtual Ethernet interface address.
In the conventional point-to-point connection type VPN, the assignment of a unique virtual MAC interface address has not been realized.
次に、この例の動的メッシュ型ＶＰＮ構築方法の実施の形態について説明する。
図２は、この例の動的メッシュ型ＶＰＮ構築方法におけるネットワーク構成を示したものである。
この例の動的メッシュ型ＶＰＮ構築方法では、図２に示されるように、インターネット網１内に設けられた仮想同一セグメント２内に、少なくとも一つの位置登録・ブロードキャストサーバ３を設ける。
Next, an embodiment of the dynamic mesh VPN construction method of this example will be described.
FIG. 2 shows a network configuration in the dynamic mesh VPN construction method of this example.
In the dynamic mesh VPN construction method of this example, as shown in FIG. 2, at least one location registration / broadcast server 3 is provided in the virtual same segment 2 provided in the
例えば、ＶＰＮ通信を行おうとする問い合わせ元ノード（Node A) が、希望接続先ノード（Node B) 名によって位置登録・ブロードキャストサーバ３に問い合わせることによって、位置登録・ブロードキャストサーバ３が、希望接続先ノード（Node B) のＩＰアドレス，ＶＰＮアドレス，仮想イーサネットＭＡＣアドレスおよびユーザ補足情報を問い合わせ元ノード（Node A) に通知するので、問い合わせ元ノード（Node A) は、位置登録・ブロードキャストサーバ３から得た情報によって、希望接続先ノード（Node B) との間でＶＰＮ接続を確立することが可能になる。 For example, an inquiry source node (Node A) that is to perform VPN communication makes an inquiry to the location registration / broadcast server 3 by a desired connection destination node (Node B) name, so that the location registration / broadcast server 3 (Node B) IP address, VPN address, virtual Ethernet MAC address and user supplementary information are notified to the inquiry source node (Node A), so the inquiry source node (Node A) is obtained from the location registration / broadcast server 3 The information makes it possible to establish a VPN connection with the desired connection destination node (Node B).
また、ダイヤルアップ接続によってプロバイダ経由でインターネット網に接続する際に、プロバイダからその都度ＩＰアドレスを割り当てられる場合等のように、接続先ノード（Node B) のＩＰアドレスが、動的に割り当てられる場合には、接続先ノード（Node B) はＩＰアドレスが確定した時点で、位置登録・ブロードキャストサーバ３へそのＩＰアドレスを登録する。従って、ＩＰアドレスが動的アドレス指定プロトコルであるＤＨＣＰ等のアドレス割り当て機構によって動的に変化する場合でも、ＶＰＮ接続を行うことが可能である。
そのため、問い合わせ元ノード（Node A) が接続先ノード（Node B) とのＶＰＮ接続を維持しながら、新たに他の接続先ノード（Node C) とのＶＰＮ接続を行う場合には、上記と同様の手順で他の接続先ノード（Node C) とのＶＰＮ接続を行うことができる。他の接続先ノード（Node C) がさらに他の接続先ノード（Node D) とのＶＰＮ接続を行うような場合も同様である。
Also, when connecting to the Internet network via a provider via dial-up connection, when the IP address of the connection destination node (Node B) is dynamically assigned, such as when the provider assigns an IP address each time The destination node (Node B) registers the IP address in the location registration / broadcast server 3 when the IP address is determined. Therefore, even when the IP address is dynamically changed by an address assignment mechanism such as DHCP which is a dynamic addressing protocol, a VPN connection can be performed.
Therefore, when the inquiry source node (Node A) maintains a VPN connection with the connection destination node (Node B) and newly makes a VPN connection with another connection destination node (Node C), the same as above. The VPN connection with the other connection destination node (Node C) can be performed by the procedure described above. The same applies to a case where another connection destination node (Node C) performs VPN connection with another connection destination node (Node D).
この例の動的メッシュ型ＶＰＮ構築方法では、実際にＶＰＮデータを送信する物理ネットワークインタフェースから、ノードを識別するためのＭＡＣアドレスを読み出す。
図３においては、この例の動的メッシュ型ＶＰＮ構築方法においてノード間で使用されるＭＡＣアドレスのフォーマットが例示されている。
このＭＡＣアドレス１０は、IEEE802.3 規格によって定められたものであって、図示のように全４８ビットからなるユニークな値を有するものであり、先頭にユニキャストアドレスとマルチキャストアドレスとの別を示すビットＢ１が設けられ、次にユニバーサルアドレスとローカルアドレスとの別を示すビットＢ２が設けられている。
ビットＢ１は、ユニキャストアドレスの場合には０とされ、マルチキャストアドレスの場合には１とされる。ビットＢ２は、イーサネットＭＡＣアドレスの場合には０とされ、この例の動的メッシュ型ＶＰＮにおける仮想ＭＡＣアドレスの場合には１とされる。
In the dynamic mesh VPN construction method of this example, a MAC address for identifying a node is read from a physical network interface that actually transmits VPN data.
In FIG. 3, the format of the MAC address used between nodes in the dynamic mesh VPN construction method of this example is illustrated.
This MAC address 10 is defined by the IEEE802.3 standard and has a unique value consisting of all 48 bits as shown in the figure, and indicates the distinction between a unicast address and a multicast address at the beginning. Bit B1 is provided, and then bit B2 indicating the distinction between the universal address and the local address is provided.
Bit B1 is 0 for a unicast address and 1 for a multicast address. Bit B2 is 0 in the case of an Ethernet MAC address, and 1 in the case of a virtual MAC address in the dynamic mesh VPN of this example.
図４においては、この例の動的メッシュ型ＶＰＮ構築方法において、ノード間で使用されるパケットフォーマットの例が示されている。このパケットは、後述する図７に示すユニキャスト（Node A→Node B）の場合、および図８に示すブロードキャスト（Node A→Node B，Node C) の場合の、データ部分のパケット形式を示したものであって、（ａ）は全体の構成を示し、（ｂ）はユーザペイロードの形態を示す。
従来方式のイーサネット網通信で使用されるパケットは、この例の動的メッシュ型ＶＰＮ構築方法では、イーサネットヘッダを含めてユーザペイロードとして取り扱われる。図４は、ユーザペイロードを、ＵＤＰ／ＩＰでカプセル化してトンネリングする場合のパケットフォーマットの例である。
FIG. 4 shows an example of a packet format used between nodes in the dynamic mesh VPN construction method of this example. This packet shows the packet format of the data part in the case of unicast (Node A → Node B) shown in FIG. 7 and the broadcast (Node A → Node B, Node C) shown in FIG. (A) shows the overall configuration, and (b) shows the form of the user payload.
In the dynamic mesh VPN construction method of this example, a packet used in conventional Ethernet network communication is handled as a user payload including an Ethernet header. FIG. 4 shows an example of a packet format when the user payload is encapsulated by UDP / IP and tunneled.
この例のパケットフォーマットでは、図４（ａ）に示すように、イーサネットヘッダ，ＩＰヘッダ，ＵＤＰ（非特許文献６参照）ヘッダ，トンネル（Tunnel）部，ユーザペイロードの順に配列されている。
イーサネットヘッダは、ユーザペイロードがイーサネットフレームであることを示す。ＩＰヘッダは、ネットワーク層がＩＰプロトコルによることを示す。ＵＤＰヘッダは、トランスポート層がＵＤＰプロトコルによることを示す。トンネル部は、トンネリングのためのデータのバージョン情報（１バイト）と、トンネルヘッダのデータ長（１バイト）と、暗号化の有無を示すビットＢ１１と、ユニキャストとブロードキャストの別を示すビットＢ１２とからなっている。ビットＢ１１は、非暗号化の場合には０とされ、ＲＣ４による暗号化の場合には１とされる。ビットＢ１２は、ユニキャストの場合には０とされ、ブロードキャストの場合には１とされる。なお、ＩＰヘッダ，ＵＤＰヘッダは、従来と同じ形式である。
この例の動的メッシュ型ＶＰＮにおいては、従来方式のイーサネット網通信で使用される、イーサネットヘッダとＩＰヘッダとデータ部とからなるパケットは、図４（ａ）に示すようにそのままユーザペイロードとして取り扱われる。
In the packet format of this example, as shown in FIG. 4A, an Ethernet header, an IP header, a UDP (see Non-Patent Document 6) header, a tunnel portion, and a user payload are arranged in this order.
The Ethernet header indicates that the user payload is an Ethernet frame. The IP header indicates that the network layer is based on the IP protocol. The UDP header indicates that the transport layer is based on the UDP protocol. The tunnel unit includes version information (1 byte) of data for tunneling, a data length (1 byte) of the tunnel header, a bit B11 indicating presence / absence of encryption, and a bit B12 indicating whether unicast and broadcast are different. It is made up of. Bit B11 is 0 in the case of non-encryption and 1 in the case of encryption by RC4. Bit B12 is 0 for unicast and 1 for broadcast. The IP header and UDP header have the same format as before.
In the dynamic mesh VPN of this example, a packet composed of an Ethernet header, an IP header, and a data portion used in conventional Ethernet network communication is handled as it is as a user payload as shown in FIG. It is.
図４のパケットフォーマットでは、暗号化のために、ビルトインで実装するＲＣ４（Rivest's Cipher 4)暗号を使用する。ＲＣ４暗号は、Rivest Code, Ron's Code または Rivest's Code等とも言われる、ＲＳＡ社が提供するする暗号方式の一種である。
さらに、ユーザペイロードは図４（ｂ）に示すように、非暗号化の場合はそのまま使用し、ＲＣ４暗号化の場合は、前に４バイトのＩＶ（Initialization Vector ）を付し、後に４バイトのＩＣＶ（Integrity Check Value ）を付す。
In the packet format of FIG. 4, RC4 (Rivest's Cipher 4) encryption implemented in built-in is used for encryption. The RC4 cipher is a kind of encryption method provided by RSA, also called Rivest Code, Ron's Code, or Rivest's Code.
Further, as shown in FIG. 4 (b), the user payload is used as it is in the case of non-encryption, and in the case of RC4 encryption, a 4-byte IV (Initialization Vector) is added before, and a 4-byte later is added. ICV (Integrity Check Value) is attached.
この例の動的メッシュ型ＶＰＮ構築方法においては、各ノードのＩＰアドレスとＶＰＮアドレスとの対応をとるための情報を、位置登録・ブロードキャストサーバに置く必要がある。
図５は、位置登録・ブロードキャストサーバの登録情報を示したものであって、各ノードのＩＰアドレスとＶＰＮアドレスとの対応関係を表す複数行のテーブルからなっている。
位置登録・ブロードキャストサーバ情報２０において、各行のデータは、ＩＰアドレスと、ＶＰＮアドレスと、仮想イーサネットＭＡＣアドレスと、ユーザ補足情報とからなっている。
ＩＰアドレスは、ノードがインターネット網内において識別のために割り当てられるアドレスである。ＶＰＮアドレスは、ノードの仮想ネットワークインタフェースがＶＰＮ網内において識別のために割り当てられるアドレスである。仮想イーサネットＭＡＣアドレスは、ノードが使用しているイーサネットＭＡＣアドレスから求められたものであって、ＶＰＮ網内における仮想ネットワークインタフェースのハードウエアアドレスの識別のために用いられる。ユーザ補足情報は、ノードにおけるユーザの固有情報を補足するために用いられるものである。
In the dynamic mesh VPN construction method of this example, it is necessary to place information for taking correspondence between the IP address of each node and the VPN address in the location registration / broadcast server.
FIG. 5 shows the registration information of the location registration / broadcast server, and is composed of a table with a plurality of rows representing the correspondence between the IP address and VPN address of each node.
In the location registration / broadcast server information 20, each row of data includes an IP address, a VPN address, a virtual Ethernet MAC address, and user supplementary information.
An IP address is an address to which a node is assigned for identification within the Internet network. The VPN address is an address to which the virtual network interface of the node is assigned for identification in the VPN network. The virtual Ethernet MAC address is obtained from the Ethernet MAC address used by the node, and is used for identifying the hardware address of the virtual network interface in the VPN network. The user supplementary information is used to supplement user specific information in the node.
この例の動的メッシュ型ＶＰＮ構築方法においては、従来、イーサネットにおいてＭＡＣアドレスとＩＰアドレスとを関連付けるために使用されている、ＡＲＰ（非特許文献７参照）パケットを拡張して、この例の動的メッシュ型ＶＰＮで使用する仮想ＭＡＣアドレスとＩＰアドレスとを関連付けて、動的メッシュ型ＶＰＮ接続を実現するために使用する。以下においては、この場合のパケットをＥＡＲＰ（Extended ARP）パケットと呼ぶ。
仮想ＭＡＣアドレスとＩＰアドレスとの関連付けの方法は、従来の実イーサネットＭＡＣアドレスとＩＰアドレスとの関連付けと同じ方式である。
In the dynamic mesh VPN construction method of this example, an ARP (see Non-Patent Document 7) packet, which has been conventionally used for associating a MAC address and an IP address in Ethernet, is extended to perform the dynamic behavior of this example. The virtual MAC address and the IP address used in the dynamic mesh VPN are associated with each other and used to realize the dynamic mesh VPN connection. Hereinafter, the packet in this case is referred to as an EARP (Extended ARP) packet.
The method for associating the virtual MAC address with the IP address is the same as the method for associating the conventional real Ethernet MAC address with the IP address.
図６は、ＥＡＲＰのパケットフォーマットを示したものである。以下、ＥＡＲＰのパケット構成について説明する。
ＥＡＲＰパケットフォーマット３０は、複数行の３２ビットのデータからなっている。最初の行には、各８ビットからなる、オペレーションコード（ＯＰ）と、ハードウエアタイプ（htype ）と、ハードウエアアドレス長（hlen）と、情報の最大伝達段階数（hops）のデータが配置されている。
FIG. 6 shows an EARP packet format. The EARP packet configuration will be described below.
The
オペレーションコードは、ＥＡＲＰパケットの種類を示すものであって、数字１で表示されるEARP-Req（EARP-Request）と、数字２で表示されるEARP-Rep（EARP-Reply）と、数字３で表示されるEARP-Add（EARP-Addition)と、数字４で表示されるEARP-Del（EARP-Delete)とがある。
EARP-Reqは、相手側に対する問い合わせのＥＡＲＰパケットであることを表し、EARP-Rrpは、相手側からの問い合わせに対する応答のＥＡＲＰパケットであることを表す。EARP-Addは、位置登録・ブロードキャストサーバに対する登録要求のＥＡＲＰパケットであることを表し、EARP-Delは、位置登録・ブロードキャストサーバに対する登録削除要求のＥＡＲＰパケットであることを表す。
The operation code indicates the type of EARP packet. The EARP-Req (EARP-Request) indicated by the
EARP-Req represents an EARP packet for an inquiry to the other side, and EARP-Rrp represents an EARP packet for a response to the inquiry from the other side. EARP-Add represents an EARP packet for a registration request to the location registration / broadcast server, and EARP-Del represents an EARP packet for a registration deletion request to the location registration / broadcast server.
次に、伝送されるメッセージの固有識別子を表す３２ビットのトランザクションＩＤ（Transaction ID）と、フォーマット内の将来必要になったときのための空きスペースを示す３２ビットのＲＦＵ（Reserved for Future ）と、３２ビットのＩＰアドレスと、３２ビットのＶＰＮアドレスと、４８ビットの仮想ＭＡＣアドレス（VPN MAC ADDR）と、（１６＋３２＋３２）ビットのユーザ補足情報（User Specific ）とが配置されている。
なお、図６中、VPN MAC ADDR部と User Specific部とは、この例のＥＡＲＰパケットにおいて、ＡＲＰパケットに対して追加されたものである。
Next, a 32-bit transaction ID (Transaction ID) representing a unique identifier of a message to be transmitted, a 32-bit RFU (Reserved for Future) indicating an empty space for future use in the format, A 32-bit IP address, a 32-bit VPN address, a 48-bit virtual MAC address (VPN MAC ADDR), and (16 + 32 + 32) -bit user supplement information (User Specific) are arranged.
In FIG. 6, the VPN MAC ADDR part and the User Specific part are added to the ARP packet in the EARP packet of this example.
次に、動的メッシュ型ＶＰＮにおける通信手順として、最初に、ユニキャストの場合を説明する。
図７は、この例の場合の、二つのノード間( Node A→Node B）におけるユニキャストの通信手順を示したものである。
最初、仮想同一セグメント内のノード（Node A，Node B）は、EARP-Addパケットを使用して、位置登録・ブロードキャストサーバに対して、予め自己のＩＰアドレスと仮想ＭＡＣアドレスとを登録しておく。
Next, as a communication procedure in the dynamic mesh type VPN, the case of unicast will be described first.
FIG. 7 shows a unicast communication procedure between two nodes (Node A → Node B) in this example.
First, the nodes (Node A, Node B) in the same virtual segment register their own IP address and virtual MAC address in advance with the location registration / broadcast server using the EARP-Add packet. .
Node AがNode Bとのコネクションを張る場合、Node Aは、位置登録・ブロードキャストサーバに対して、EARP-Reqパケットによるコネクション要求を通知する。位置登録・ブロードキャストサーバが、Node Bとのコネクションを承認する場合は、図５に示された位置登録・ブロードキャストサーバ情報に設定されているテーブルを参照して、EARP-Repパケットによって、Node BのＩＰアドレスと仮想ＭＡＣアドレスとをNode Aに通知する。
この際、位置登録・ブロードキャストサーバ上に、要求されたNode Bのエントリが存在しない場合には、位置登録・ブロードキャストサーバは、Node Bに対してEARP-Reqパケットを送出して、Node Bの仮想ＭＡＣアドレス等を問い合わせ、これに対してNode BがEARP-Repパケットによって所要の情報を応答することによって、位置登録・ブロードキャストサーバは、Node Bに関する、図５に示されたような情報を作成する。
When Node A establishes a connection with Node B, Node A notifies the location registration / broadcast server of a connection request using an EARP-Req packet. When the location registration / broadcast server approves the connection with Node B, refer to the table set in the location registration / broadcast server information shown in FIG. The node A is notified of the IP address and the virtual MAC address.
At this time, if the requested Node B entry does not exist on the location registration / broadcast server, the location registration / broadcast server sends an EARP-Req packet to Node B, The location registration / broadcast server creates information related to Node B as shown in FIG. 5 by inquiring about the MAC address, etc., and Node B responding to it with the required information using an EARP-Rep packet. .
これによって、位置登録・ブロードキャストサーバに、この例の動的メッシュ型ＶＰＮ接続に必要な情報が準備される。
次にNode Aは、位置登録・ブロードキャストサーバに対して、イーサネットのＡＲＰプロトコルによって問い合わせのためのARP-Req パケットを送出して、Node BのイーサネットＭＡＣアドレスを問い合わせ、これに対して、位置登録・ブロードキャストサーバは、応答のためのARP-Rep パケットによって所要の情報を返送する。なお、この場合のARP-Req パケットおよびARP-Rep パケットには、図４に示されたデータの場合と同様にトンネリングのための情報が付加されているので、ＶＰＮ通信によって伝送される。
これによって、以後、Node AとNode Bとは、図４に示されたフォーマットによるパケットをデータパケットとして使用して、相互にＶＰＮ接続による通信を実行してデータのやりとりを行う。
As a result, information necessary for the dynamic mesh VPN connection in this example is prepared in the location registration / broadcast server.
Next, Node A sends an ARP-Req packet for inquiry to the location registration / broadcast server using the Ethernet ARP protocol to inquire about the Ethernet MAC address of Node B. The broadcast server returns the required information by an ARP-Rep packet for response. In this case, since the information for tunneling is added to the ARP-Req packet and the ARP-Rep packet as in the case of the data shown in FIG. 4, it is transmitted by VPN communication.
As a result, Node A and Node B subsequently use the packet in the format shown in FIG. 4 as a data packet, and perform communication by VPN connection with each other to exchange data.
次に、動的メッシュ型ＶＰＮにおける通信手順として、ブロードキャストの場合を説明する。
図８は、この例の動的メッシュ型ＶＰＮにおいて、Node Aがブロードキャストを実行する場合の通信手順を示したものであって、Node A→Node B，Node Cの通信の場合を例示している。
最初、仮想同一セグメント内のノード（Node A，Node B，Node C）は、EARP-Addパケットを使用して、位置登録・ブロードキャストサーバに対して、予め自己のＩＰアドレスと仮想ＭＡＣアドレスを登録しておく。
Node AがNode B，Node Cに対してデータをブロードキャストしようとするときは、Node Aは位置登録・ブロードキャストサーバに対して図４に示されたパケットフォーマットを用いてブロードキャストデータを送信し、これによって位置登録・ブロードキャストサーバは、図４に示されたパケットフォーマットを用いて、Node Aから送信されたデータをユニキャストによってNode Bに送信し、次に同じデータをNode Cに対してユニキャストによって送信することによって、Node AからNode B，Node Cに対する、データのブロードキャストが行われる。
Next, the case of broadcast will be described as a communication procedure in the dynamic mesh type VPN.
FIG. 8 shows a communication procedure when Node A performs broadcasting in the dynamic mesh VPN of this example, and illustrates the case of Node A → Node B, Node C communication. .
First, nodes (Node A, Node B, Node C) in the same virtual segment register their IP address and virtual MAC address in advance with the location registration / broadcast server using the EARP-Add packet. Keep it.
When Node A tries to broadcast data to Node B and Node C, Node A sends broadcast data to the location registration / broadcast server using the packet format shown in FIG. The location registration / broadcast server uses the packet format shown in FIG. 4 to transmit the data transmitted from Node A to Node B by unicast, and then transmits the same data to Node C by unicast. By doing so, data is broadcast from Node A to Node B and Node C.
以上説明したところから明らかなように、この例の動的メッシュ型ＶＰＮ構築方法によれば、仮想同一セグメント内の多地点にあるノード間の通信路は直接、接続されるので、従来のＶＰＮ通信のように、中継ノード用のサーバ等への通信負荷の集中を回避することができる。また、この際、仮想同一セグメントを構成する実インターネット網内の通信は、従来と同じ通信方式を使用することができる。
さらにこの例の動的メッシュ型ＶＰＮ構築方法によれば、ノードどうしの間で直接、通信を行うので、インターネット網の通信トラフィック量を低減することができるとともに、中継ノードが不要になる。
As is apparent from the above description, according to the dynamic mesh VPN construction method of this example, communication paths between nodes at multiple points in the virtual same segment are directly connected, so conventional VPN communication As described above, it is possible to avoid the concentration of the communication load on the relay node server or the like. At this time, the communication in the real Internet network constituting the virtual same segment can use the same communication method as the conventional one.
Furthermore, according to the dynamic mesh VPN construction method of this example, since communication is performed directly between nodes, the amount of communication traffic in the Internet network can be reduced, and a relay node is not required.
また、この例の動的メッシュ型ＶＰＮ構築方法によれば、ユニークな仮想イーサネットＭＡＣアドレスの使用によって、仮想同一セグメント内に存在する各ノードは、同一セグメント内に存在するように振る舞うことができ、イーサネット網で使用される通信プロトコルを無制約に使用できるようになる。
例えば、ノベル社のネットワーク層プロトコルであるＩＰＸ（Internetwork Packet Exchange Protocol Netware ）や、ＩＢＭ社が開発したユーザインタフェースであるＮｅｔＢＥＵＩ（Net-BIOS Extended User Interface）等の、ＩＰプロトコル以外のプロトコルも、インターネット網で使用可能である。
Further, according to the dynamic mesh VPN construction method of this example, by using a unique virtual Ethernet MAC address, each node existing in the virtual same segment can behave as if existing in the same segment, The communication protocol used in the Ethernet network can be used without restriction.
For example, protocols other than IP protocols such as IPX (Internetwork Packet Exchange Protocol Netware), which is a network layer protocol of Novell, and NetBEUI (Net-BIOS Extended User Interface), which is a user interface developed by IBM, are also available on the Internet network. Can be used.
以上、この発明の実施例を図面により詳述してきたが、具体的な構成はこの実施例に限られたものではなく、この発明の要旨を逸脱しない範囲の設計の変更等があってもこの発明に含まれる。例えば、ＥＡＲＰパケットの種類としては、実施例に示されたEARP-Req，EARP-Rep，EARP-AddおよびEARP-Delとに限らず、位置登録・ブロードキャストサーバに登録を希望するノードの認証のために必要なパケット等を追加することも可能である。 The embodiment of the present invention has been described in detail with reference to the drawings. However, the specific configuration is not limited to this embodiment, and even if there is a design change or the like without departing from the gist of the present invention. Included in the invention. For example, the types of EARP packets are not limited to EARP-Req, EARP-Rep, EARP-Add, and EARP-Del shown in the embodiment, but for authentication of nodes that wish to register with the location registration / broadcast server. It is also possible to add necessary packets and the like.
この発明の動的メッシュ型ＶＰＮ構築方法は、インターネット網におけるＶＰＮ通信において広く利用可能なものである。 The dynamic mesh VPN construction method of the present invention can be widely used in VPN communication in the Internet network.
１ インターネット網
２ 仮想同一セグメント
３ 位置登録・ブロードキャストサーバ（ノード情報登録手段）
Ｎ１，Ｎ２，Ｎ３，Ｎ４，Ｎ５，…，Node A，Node B, Node C，Node D ノード
１０ ＭＡＣアドレス
２０ 位置登録・ブロードキャストサーバ情報
３０ ＥＡＲＰパケットフォーマット
1 Internet network 2 Virtual same segment 3 Location registration / broadcast server (node information registration means)
N1, N2, N3, N4, N5, ..., Node A, Node B, Node C, Node D Node 10 MAC address 20 Location registration /
Claims (4)
4. The dynamic mesh VPN according to claim 2, wherein the virtual Ethernet MAC address is a unique virtual Ethernet interface MAC address calculated from a real Ethernet interface MAC address held by the node. Construction method.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004252380A JP2006074171A (en) | 2004-08-31 | 2004-08-31 | Dynamic mesh type vpn structuring method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004252380A JP2006074171A (en) | 2004-08-31 | 2004-08-31 | Dynamic mesh type vpn structuring method |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2006074171A true JP2006074171A (en) | 2006-03-16 |
Family
ID=36154353
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2004252380A Pending JP2006074171A (en) | 2004-08-31 | 2004-08-31 | Dynamic mesh type vpn structuring method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2006074171A (en) |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100466576C (en) * | 2007-04-30 | 2009-03-04 | 深圳市深信服电子科技有限公司 | Method for reducing disposition VPN network through self-organization field |
| JP2010117855A (en) * | 2008-11-12 | 2010-05-27 | Hitachi Ltd | Thin client system, thin client system configuration method, peripheral equipment connection device and computer constituting thin client system |
| JP2012528552A (en) * | 2009-05-28 | 2012-11-12 | マイクロソフト コーポレーション | Agile data center network architecture |
| US9391716B2 (en) | 2010-04-05 | 2016-07-12 | Microsoft Technology Licensing, Llc | Data center using wireless communication |
| US9954751B2 (en) | 2015-05-29 | 2018-04-24 | Microsoft Technology Licensing, Llc | Measuring performance of a network using mirrored probe packets |
-
2004
- 2004-08-31 JP JP2004252380A patent/JP2006074171A/en active Pending
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN100466576C (en) * | 2007-04-30 | 2009-03-04 | 深圳市深信服电子科技有限公司 | Method for reducing disposition VPN network through self-organization field |
| JP2010117855A (en) * | 2008-11-12 | 2010-05-27 | Hitachi Ltd | Thin client system, thin client system configuration method, peripheral equipment connection device and computer constituting thin client system |
| JP2012528552A (en) * | 2009-05-28 | 2012-11-12 | マイクロソフト コーポレーション | Agile data center network architecture |
| US9497039B2 (en) | 2009-05-28 | 2016-11-15 | Microsoft Technology Licensing, Llc | Agile data center network architecture |
| US9391716B2 (en) | 2010-04-05 | 2016-07-12 | Microsoft Technology Licensing, Llc | Data center using wireless communication |
| US10110504B2 (en) | 2010-04-05 | 2018-10-23 | Microsoft Technology Licensing, Llc | Computing units using directional wireless communication |
| US9954751B2 (en) | 2015-05-29 | 2018-04-24 | Microsoft Technology Licensing, Llc | Measuring performance of a network using mirrored probe packets |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP7419510B2 (en) | BIER Transfer Item Construction Method, Apparatus, and System | |
| CN110832813A (en) | Ethernet virtual private network using segmented routing | |
| US8179890B2 (en) | Mobile IP over VPN communication protocol | |
| JP6106750B2 (en) | Method and system for integrating virtual and physical networks | |
| US7643488B2 (en) | Method and apparatus for supporting multiple customer provisioned IPSec VPNs | |
| US20010036184A1 (en) | Method for packet communication and computer program stored on computer readable medium | |
| JP4764737B2 (en) | Network system, terminal and gateway device | |
| KR20230101903A (en) | BIER packet forwarding method, device and system | |
| US20080008168A1 (en) | Methods and apparatus for providing optimal identification and processing of layer 3 control channels | |
| CN110474829B (en) | Method and device for transmitting message | |
| JP2019515555A (en) | Anonymous Identification Information and Protocol of Identification Information Oriented Network | |
| CN109246016B (en) | Cross-VXLAN message processing method and device | |
| TWI493946B (en) | Virtual private network communication system, routing device and method thereof | |
| CN108632126B (en) | Message forwarding channel establishing method and device and message forwarding method and device | |
| JP4074283B2 (en) | COMMUNICATION DEVICE, COMMUNICATION SYSTEM, AND COMMUNICATION METHOD | |
| JP2002354006A (en) | Network system for duplicate address | |
| JP2006074171A (en) | Dynamic mesh type vpn structuring method | |
| WO2011010735A1 (en) | Relay device | |
| JP2009212739A (en) | Data processing system, data processing method, and data processing program | |
| JP7322088B2 (en) | Packet detection method and first network device | |
| WO2021077991A1 (en) | Message detection method, connectivity negotiation relationship establishment method, and related device | |
| JP2015095698A (en) | Communication control server and service provision system | |
| Garg et al. | MAC and logical addressing (A Review Study) | |
| JP2007174583A (en) | Network repeater | |
| US20240154936A1 (en) | Proxy address resolution protocol for distributed local area network communications |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060509 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20070116 |