JP2007159012A

JP2007159012A - 中継装置及びクライアント機器とサーバとの接続方法

Info

Publication number: JP2007159012A
Application number: JP2005354886A
Authority: JP
Inventors: Atsushi Kitamura; 淳北村; Shinpei Yashima; 新平屋島; Hiroki Ishida; 宏樹石田
Original assignee: Freebit Co Ltd
Current assignee: Freebit Co Ltd
Priority date: 2005-12-08
Filing date: 2005-12-08
Publication date: 2007-06-21
Anticipated expiration: 2025-12-08
Also published as: HK1123649A1; WO2007066752A1; CN101326782A; CN101326782B; EP1971092B1; US20100054250A1; EP1971092A4; US8774183B2; KR20080080140A; KR100977176B1; JP4038221B2; EP1971092A1; ES2544748T3

Abstract

【課題】簡易な手段で家庭内ネットワークとインターネットを介した仮想ネットワーク通信を可能にする。
【手段】中継装置４を、ネットワーク・プロトコルスタック１３とネットワークデバイス１０、１１との間に設けられ、自己宛、ＶＬＡＮ、ブロードキャストの要求パケット以外はブリッジするブリッジモジュール１２、サーバのグローバルアドレスを記憶するサーバアドレス記憶部１７、このグローバルアドレスに基づきサーバとの間にトンネリング接続を確立するトンネリングセッション確立部２０、発信元アドレスをカプセリングしトンネリング接続を介してサーバへ送出するカプセリング処理部２１、及び自己宛パケットをディカプセリングし、このパケットに含まれるあて先仮想ネットワークアドレスをクライアント機器のＬＡＮ上のプライベートＩＰアドレスに変換して前記ブリッジモジュールを介してＬＡＮ上に流す仮想ＩＰアドレス・プライベートＩＰアドレス変換部２２で構成した。
【選択図】図２

Description

この発明は、ＩＰｖ４（Internet Protocol version 4）が普及した現状のインフラ環境の下で、比較的簡易な手段により異なるＬＡＮに属する端末同士を、インターネットを通してかつセキュリティの高い方法で双方向の通信を可能とする、中継装置及びクライアント機器とサーバとの接続方法に関するものである。

一般に、インターネットを中心とした公衆ネットワークを通したサービス提供環境においては、全ての情報の価値は、クライアント側ではなく、サーバ側に集まるようになっている。

すなわち、各クライアントである端末機器は、基本的にインターネット上の情報を閲覧するための単なるビューワーにしか過ぎない。また、各クライアントはインターネット側に様々な情報の要求を発しており、インターネット側ではそのような各クライアントの情報を得ることができる。すなわち、全ての情報は、インターネット側に集められ、インターネット側からは定型的な情報が一方的に与えられるに過ぎない。このため、クライアント端末機を製造しているメーカーは付加価値が生み出しづらい状況となっている。

このような状況を変えるためには、アクセス方向を逆行させ、サーバとクライアントの立場を逆転させることが必要である。すなわち、インターネットに接続される家庭内ネットワークがある場合、インターネット側から家庭内ネットワークへのアクセスが開始され、家庭内ネットワーク側からインターネット側へサービスが提供されるような状態を作り出す必要がある。

このためには、ホームネットワークに接続された機器のそれぞれが、インターネット側からユニークに特定できること、家庭内のルーティングの問題、セキュリティの問題を解決する必要がある。このような課題に対応し、ひとつの解決を見出せる技術として、ＩＰｖ６（Internet Protocol version 6: 第６世代インターネットプロトコル）がある。

しかしながら、現在の日本のキャリアやインターネットサービスプロバイダを取り巻く環境を鑑みると、ＩＰｖ６の普及にはかなりの時間がかかるものと考えられる。例えば、現在使用しているＩＰｖ４の機材償却に最低２年〜３年は必要であり、テスト的なサービスが行われているのみである。

今すぐにメーカーがＩＰｖ６対応ネットワークを実現するには、ＩＳＰレベルのサービスにまで手を出すしかないが、非常にコストがかかることであり、多くのメーカーにとって現実的ではない。家庭内ネットワークの事情が様々で非常に大きく異なることや、キャリアやＩＳＰによって接続の仕組みが大きく異なることもあり、これらの差を吸収して画一的なアプローチでＩＰｖ６環境を実現するための仕組みが必要である。

この出願に係る発明の新規性や進歩性を否定するものではないが、上述した事情に関連する先行技術文献として以下のものがある。
特開２００１−２７４８４５号公報

従来のＩＰｖ４環境下で、ＩＰｖ６ネットワークで実現されるような家庭内ネットワークとインターネットとの間の双方向のアクセスを実現しようとする場合、以下のような問題がある。

例えば、現在のＩＰｖ４環境下においては、自宅にネットワーク家電を設置する場合、自宅ネットワークを通して、インターネットに接続されたルータに繋げて使用する。このため、ネットワーク家電のＩＰアドレスは、プライベートアドレスになってしまい、自宅ネットワーク以外からはアクセスすることはできない。

そこで、従来は、自宅のネットワーク家電にアクセスするために、ネットワーク家電をコントロールする機能を有する専用のルータを使用したり、ネットワーク家電をコントロールするための情報を一度インターネット上に設置されたデータセンターに蓄積し、ネットワーク家電からポーリングを行って取りに行く必要があった。

しかし、専用のルータを使用した場合、汎用性が低くなりコストも嵩む。ポーリングを行ってコントロール情報を取りに行く場合、リアルタイムでのアクセスは行えず、ネットワークやサーバへの負荷も高くなる。

このような課題を解決するため、本出願人が２００５年５月２０日に提出した国際出願ＰＣＴ／ＪＰ２００５／９２８０号に開示されたネットワーク接続方法及び中継装置がある（ＰＣＴ／ＪＰ２００５／９２８０号は、この言及によりこの明細書に組み込まれる）。この発明によれば、プライベートネットワーク内のコンピュータシステムとインターネット上のInterServerとの間にトンネリング接続のセッションを確立することにより比較的簡易な手段により家庭内ネットワークとインターネット間の双方向の通信が可能になる。

しかしながら、この出願に開示された中継装置は主にルータとして動作するもの若しくは各クライアント機器に仮想デバイスドライバ及びプログラムの形でインストールされるものであったため、以下のような改善の余地がある。すなわち、ルータとして動作するようなものでなく、かつ、仮想デバイスドライバ等としてインストールできない機器、例えばプリンタ、カメラ、スキャナなどが接続されたネットワーク上でも上記出願と同様の接続が確立できる手段を提供することである。

この発明はこのような事情に鑑みてなされたもので、仮想デバイスドライバがインストールできない機器が接続されたプライベートネットワーク環境において、ルータを取り替える必要がなく、比較的簡易な手段により家庭内ネットワークとインターネットを介した仮想ネットワーク通信を可能とするインターネット接続システムを提供することを目的とするものである。

上記目的を達成するため、この発明の主要な観点によれば、ＬＡＮ上のクライアント機器を、インターネット上のサーバを通した仮想ネットワークに接続するために、前記ＬＡＮ上の前記クライアント機器の上流側に設置される中継装置であって、この中継装置は、ブリッジモジュールを有し、このブリッジモジュールは、ローカル通信プロトコルスタックとネットワークデバイスとの間に設けられ、自己宛、ブロードキャスト及び仮想ネットワークのアドレス宛の要求パケット以外のパケットはローカル通信プロトコルスタックに渡さずに単に前記ＬＡＮの上流側と下流側とをブリッジするものであり、この中継装置は、さらに、前記インターネット上のサーバのグローバルアドレスを記憶するサーバアドレス記憶部と、前記サーバのグローバルアドレスに基づき、この中継装置とサーバとの間にトンネリング接続を確立するためのトンネリング接続確立部と、前記ブリッジモジュールにより前記クライアント機器からの上記仮想ネットワーク上の仮想ネットワークアドレスを含む要求パケットを捕捉し、発信元アドレスとして前記クライアント機器の仮想ネットワークアドレスを付したものをカプセリングし、前記トンネリング接続を介して前記サーバへ送出するカプセリング処理部と、前記ローカル通信プロトコルスタックを通して受け取ったトンネリング接続における自己宛パケットをディカプセリングすると共に、このディカプセリングしたパケットに含まれる宛先仮想ネットワークアドレスを前記クライアント機器のＬＡＮ上のプライベートＩＰアドレスに変換し、このパケットをブリッジモジュールにより当該クライアント機器に送出するディカプセリング処理部とを有することを特徴とする中継装置が提供される。

このような構成によれば、ＬＡＮ上のクライアント機器と、他の特定のＬＡＮ上にある他のクライアント機器を、前記サーバを通した仮想ネットワークにより双方向通信可能に接続することができる。この中継装置によれば、上記クライアント機器やルータを含むＬＡＮの構成要素はなんら変更することなく、この中継装置を設置するだけで上記仮想ネットワークによる通信が可能になる。

また、この中継装置は、仮想ネットワークアドレスを含むパケットのみを捕捉し、その他のパケット（ブロードキャストも含む）は単にブリッジ（透過）させるのみであるので、この中継装置を挟んで位置するネットワーク下流側機器と上流側機器は同じＬＡＮにある機器としてシームレスに通信することができるし、下流側機器は上流側にあるルータを介してインターネットに接続することもできる。

このような特徴を備えているため仮想ネットワークドライバをインストールできないプリンタやWebカメラなどの機器を、上記仮想ネットワークドライバをインストールすることなく仮想ネットワークに参加させることができ、かつ、今までのLAN環境を全く損なわないというものである。すなわち、この中継装置は、ＬＡＮネットワークの配線の一本のケーブルをこの中継装置に置き換えるだけで動作するものである。
好ましい１の実施形態によれば、前記中継装置は、インターネット上に設けられたトンネル仲介サーバに接続し、この仲介サーバから前記サーバのグローバルアドレスを受け取るものである。
また、１の実施形態によれば、前記中継装置は、クライアント機器に割り当てる仮想ネットワークアドレスを前記サーバから受け取り、各クライアント機器のＬＡＮ上のプライベートＩＰアドレスとこのクライアントに割り当てた仮想ネットワークアドレスを関連付けて記憶するものである。ここで、この中継装置は、前記ＬＡＮ下流側のネットワークデバイスに到達する全てのパケットを監視することで前記クライアント機器のプライベートＩＰアドレス及びＭＡＣアドレスを検出する下流側クライアント機器検出部を有することが好ましい。また、この下流側クライアント機器検出部は、ブロードキャストの応答要求を定期的若しくは任意にＬＡＮの下流側に送信し、前記クライアント機器の応答を促す機能を有することがさらに好ましい。
また、別の好ましい１の実施形態によれば、前記クライアント機器は、ネットワーク対応の家電であるが、ユーザが仮想ネットワークドライバ等をインストールできない家電を含むものである。また、前記クライアント機器は、前記中継装置とは通信可能であるが、自らはインターネットに接続することができない周辺装置を含むものであっても良い。
さらに、この発明の他の主要な観点によれば、ＬＡＮ上のクライアント機器と、このＬＡＮ上の前記クライアント機器の上流側に接続された中継装置と、前記クライアント機器がインターネットを介して接続されるサーバと、を有するインターネット接続環境において実行される、前記クライアント機器とサーバとの接続方法であって、
（ａ）前記中継装置が前記サーバのグローバルＩＰアドレスを受け取り格納する工程と、
（ｂ）前記中継装置が、前記で通知されたグローバルＩＰアドレスを使用して前記中継装置と前記サーバとの間で、トンネリング接続によるＴＣＰ／ＩＰセッションを確立する工程と、
（ｃ）前記中継装置が、前記クライアント機器に仮想ネットワークＩＰアドレスを割り当て、前記サーバから前記トンネリング接続を通して受け取った仮想ネットワークＩＰアドレス宛のパケットを前記クライアント機器のＬＡＮ上のプライベートＩＰアドレス宛に書き換えて前記ＬＡＮの下流側に送出する工程と、
（ｄ）前記中継装置が、前記クライアント機器からの上記仮想ネットワークＩＰアドレスを含むパケットを捕獲し、前記トンネリング接続を通して前記サーバへ送出する工程と
を有することを特徴とする接続方法が提供される。
この場合、前記中継装置は、前記クライアント機器の属するＬＡＮ上に設置されるものであり、この方法は、この中継装置宛、ブロードキャスト及び仮想ネットワークのアドレス宛の要求パケット以外のパケットは前記（ｃ）、（ｄ）工程を行なわずにＬＡＮ上で単にブリッジするものである。
また、好ましい１の実施形態によれば、この方法は、さらに、前記サーバが前記中継装置に前記クライアント機器用の仮想ネットワークＩＰアドレスを通知する工程を有する。さらに、好ましい１の実施形態によれば、この方法は、前記中継装置が、インターネット上に設けられたトンネル仲介サーバに接続し、この仲介サーバから前記サーバのグローバルアドレスを受け取る工程をさらに有するものである。
また、更なる他の好ましい１の実施形態によれば、この方法は、前記中継装置が、前記クライアント機器に割り当てる仮想ネットワークアドレスを前記サーバから受け取り、各クライアント機器のＬＡＮ上のプライベートＩＰアドレスとこのクライアントに割り当てた仮想ネットワークアドレスを関連付けて記憶する工程をさらに有するものである。この場合、前記中継装置が、前記ＬＡＮ下流側のネットワークデバイスに到達する全てのパケットを監視することで前記クライアント機器のプライベートＩＰアドレス及びＭＡＣアドレスを検出する工程をさらに有し、この工程では、前記中継装置が、ブロードキャストの応答要求を定期的若しくは任意にＬＡＮの下流側に送信し、前記クライアント機器の応答を促す機能を有することが好ましい。
なお、この発明の更なる他の特徴と顕著な効果は次の発明を実施するための最良の形態の項に記載された実施形態及び図面を参照することによって当業者にとって理解される。

以下、この発明の一実施形態を図面を参照して説明する。

図１は、この実施形態に係るネットワーク構成の例を示したものである。

図中１は、ＩＰｖ４（第１の通信プロトコル）で通信を行う各種クライアント機器（ＰＣ、カメラ、プリンタ、スキャナ）が接続されてなるＬＡＮである。

このＬＡＮ１は、ゲートウェイとなるルータ２と、このルータ２に接続された上流側イーサネット（登録商標）３と、この上流側イーサネット（登録商標）３の下流側に接続された中継装置４と、この中継装置４の下流側に接続された下流側イーサネット（登録商標）５とからなる。そして、下流側イーサネット（登録商標）５に、仮想ネットワークに接続したい各種クライアント機器６ａ〜６ｄが接続されている。このようなクライアント機器としては、それぞれネットワーク接続に対応したプリンタ６ａ、カメラ６ｂ、スキャナ６ｃがある。また、上記ＰＣＴ出願に開示したような仮想デバイスをインストールしないＰＣ６ｄもこれに含まれる。

すなわち、各クライアント機器６ａ〜６ｄには、仮想ネットワーク接続をするための機能はなんらインストールされていないものである。

したがって、このＬＡＮ１は、前記中継装置４を除けば、職場や家庭に見られるような通常の構成であり、ただ単に、前記中継装置４が前記クライアント機器６ａ〜６ｄが接続されたイーサネット（登録商標）５の上流側、すなわちルータ２との間に位置するように導入されているだけである。

したがって、各クライアント機器６ａ〜６ｄは、前記ルータ２及び通信キャリア／ＩＳＰ（インターネットサービスプロバイダ：図示せず）を介してインターネット７に接続することができ、このインターネット７上の各種コンピュータとＩＰｖ４を用いて通信が行なわれるようになっている。

そして、このインターネット７上には、前記仮想ネットワーク上の通信を制御するためのＥＬサーバ８（この発明の「サーバ」、ＥＬは発明者らが考案した識別符号、ＰＣＴ出願のＩｎｔｅｒＳｅｒｖｅｒに対応するもので同様の構成を有するもの）が接続されている。このＥＬサーバ８は、後で詳しく説明するように、このＬＡＮ１上の前記クライアント機器６ａ〜６ｄと、他のＬＡＮ９上のクライアント機器（図示せず）との間の仮想ネットワークを通した双方向通信、及びインターネット７上からの前記クライアント機器６ａ〜６ｄとの間の双方向通信すべてを仲介する機能を有するものである。

ここで、中継装置４とＥＬサーバ８は、同じメーカー若しくは統一された規格の下に製造されることが意図されており、予め連動するように設計されたものである。そして、中継装置４には、後で説明するように、ＥＬサーバ８から仮想ネットワーク接続用のプライベートアドレス／グローバルアドレスが付与され、ＩＳＰやキャリアを問わず前記ＥＬサーバ８にトンネリング接続によるＴＣＰ／ＩＰセッションが確立されて通信ができるようになっている。また、この中継装置４は、前記ＥＬサーバ８から割り当てられたクライアント機器用の仮想ネットワーク接続用アドレスを記憶するようになっている。

なお、前記クライアント機器６ａ〜６ｄのアドレスが常にユニークに生成できるのであれば、この中継装置４によって生成されるようになっていても構わない。

また、前記クライアント機器６ａ〜６ｄが自らはインターネットに接続できないビデオやテレビのような家電である場合には、前記中継装置４とそのクライアント機器は所定の通信インタフェース（ＩＥＥＥ１３９４）を介して接続され、それぞれに仮想ＩＰアドレスを割り付けておけば良い。

図２は、中継装置４を示す概略構成図である。

この中継装置４は、この実施形態では、ＯＳとしてリナックス（商品名、以下同じ）がインストールされてなるものである。

図中１０、１１は、パケットを送受信する通信インタフェースとしてのイーサネット（登録商標）ワークデバイスである。ここではeth0が上流ネットワーク３、eth1が下流ネットワーク５に接続されている。

また、図中１２は、ＥＬブリッジモジュール（この発明のブリッジモジュール）である。このブリッジモジュール１２は、リナックスのカーネルに組み込まれるものであり、パケットを解釈し所定の場所に届けるネットワーク・プロトコルスタック１３より先にパケットを受け取り、以下の動作を行う。
（１）イーサネット（登録商標）のパケットをeth0から受信した場合、
・パケットの形式がIPではない場合はそのままブリッジ（一点鎖線で示す経路を参照）してeth1から送信する。

・あて先のIPアドレスが自分（中継装置４）と関係ないアドレスの場合、ブリッジしてeth1から送信する。

・あて先のIPアドレスが自分宛であればネットワーク・プロトコルスタック１３にパケットを返す。

・あて先のパケットがブロードキャストであれば、パケットを複製して、eth1から送信するとともに、受け取ったパケットをネットワーク・プロトコルスタック１３に返す。従ってこのブリッジモジュール１２はブロードキャストを通過させるとともに、自身もパケットを受け取る。
（２）イーサネット（登録商標）のパケットをeth1から受信した場合
・パケットの形式がIPでない場合はそのままeth0から送信する。

・あて先のIPアドレスが仮想ネットワークのものであれば、そのようなパケットが来たことを上位層１５へ伝えパケットの内容を蓄える。

・あて先のパケットがブロードキャストであれば、パケットを複製して、eth1から送信するとともに、受け取ったパケットをネットワーク・プロトコルスタック１３に返す。従ってこのブリッジモジュール１２はブロードキャストを通過させるとともに、自身もパケットを受け取る。
（３）上位層１５からパケットを渡された場合は、内容を確認せずeth1から送信する。
（４）上位層１５から要求があった場合は、蓄えてあった仮想ネットワークアドレス向けのパケットを渡す。
（５）eth1から受信したパケットのIPアドレスとMACアドレスの対の一覧を持ち、上位層から要求があった場合は、その一覧を渡す。

そして、上位層１５には、プログラムもしくは記憶領域として、前記ＥＬサーバのＩＰｖ４でのグローバルアドレスを記憶するサーバアドレス記憶部１７と、この中継装置４に割り当てられた仮想ネットワーク上でのプライベートアドレス（仮想ＩＰアドレス）を記憶する中継装置アドレス記憶部１８と、仮想プライベートネットワークを構成するための、前記ＥＬサーバ８から割当られたクライアント機器の仮想ＩＰアドレス（１若しくはそれ以上）を記憶するクライアント機器用仮想ＩＰアドレス記憶部１９と、ＥＬサーバ８のアドレスに基づいてＥＬサーバ８との間でトンネリング接続を確立するトンネリングセッション（接続）確立部２０と、ＩＰｖ４／ＩＰｖ６でのパケットをＩＰｖ４でカプセリング／ディカプセリングして前記ＥＬサーバ８との間でトンネリング送受信を行うためのカプセリング処理部２１と、クライアント機器６ａ〜６ｄの仮想ＩＰアドレスとＬＡＮ上のプライベートＩＰアドレスとを変換する仮想ＩＰアドレス・プライベートＩＰアドレス変換部２２と、前記ＬＡＮ下流側のクライアント機器６ａ〜６ｄのプライベートＩＰアドレス及びＭＡＣアドレスを検出するクライアント機器検出部２３とを有する
を有する。前記ＥＬサーバ８との間で送受信されるパケットは、このアドレス変換部２２を介して前記ブリッジモジュール１２／ネットワーク・プロトコルスタック１３との間で受け渡される。

このような構成によれば、ブリッジモジュール１２はリナックスカーネルのネットワーク・プロトコルスタックの間にデータの受信口と送信口を持つので、リナックスのネットワーク機能を使わずにパケットの送受信を行うことができる。

そして、eth0とeth1との間のパケットの転送はアドレスのみを判断基準として行われるので、もしパケットの中身が壊れていてもそのことには中継装置は一切関知しない。このため通常は、この中継装置４は、通常ネットワークにとってケーブルと全く同じ機能のもの（すなわちブリッジ）となる。

また上位層１５からの送信要求されたパケットは中身を解釈せず送信するので、パケットの発信元アドレスが自分自身ではないパケットも自由に送信できる。ただし、ネットワーク・プロトコルスタック１３を通さないため、規格に則ったパケットを作成するのは全て上位層１５のアプリケーションの責任となる。

また、このブリッジモジュール１２は、eth1で受信したパケットのIPアドレスとMACアドレスの一覧を保持しているため、下流側ネットワーク５に繋がる機器６ａ〜６ｄのアドレスを検知することができる。

指定の条件に合致するパケットは蓄えて、そのパケットを受信したことを上位層１５に伝える機能があるため、仮想ネットワーク向けのパケットを横取りすることで仮想ネットワークを構成することができる。この機能のため下流側に繋がっている機器は従来のVLANルータと異なり、機器の存在を知る必要が無く特別な設定を行わずに仮想ネットワークの構成要素となることができる。

また、ブロードキャストを通過させるため下流側機器と上流側機器は同じLANにある機器としてシームレスに使用することができる。

そして、以上のような特徴を備えているため、仮想ネットワークドライバをインストールできないプリンタやウェブカメラなどの機器を設定なしで仮想ネットワークに参加させることができるとともに、今までのLAN環境を全く損なわないという利点がある。

なお、ここで、上記「トンネリング」とは、ＩＰｖ４やＩＰｖ６のネットワーク（ルータ）同士をＩＰｖ４ネットワークを介して接続するための技術であり、特に、ここでは、異なるネットワークに属する機器同士を仮想ネットワーク（ＶＰＮ：バーチャル・プライベート・ネットワーク）で終端するためにトンネリングするものをいう。そして、この実施形態では、機器間で通信されるＩＰｖ４パケットをＩＰｖ４でカプセリングしてやり取りする。
なお、上記では、IPプロトコルのみブリッジするように記載されているが、ether上で動作するappletalk等のIPも素通しするように構成されている。

また、上記中継装置４の前記各構成要素は、実際には例えば、コンピュータシステムに設けられたハードディスク等のＲＡＭ若しくはＲＯＭ等のメモリに確保された一定の領域及びそこにインストールされたコンピュータソフトウエアプログラム、これらのメモリを制御して前記プログラムを読み出して実行するためのＣＰＵ、一時記憶装置その他入出力装置等の周辺機器から構成される。また、ＯＳ等のプログラムは表示していないが、実際にはこの実施形態の各構成要素はＯＳと協働して動作する場合がある。

また、前記ＥＬサーバ８は、負荷を分散するために互いに接続された複数のコンピュータシステムから構成されていることが好ましい。１つのＥＬサーバ８で複数の異なる仮想ネットワークに対応する場合が通常であると考えられるからである。

次に、上記中継装置４の各構成の詳細な構成及び機能を、図３の通信例を参照して詳しく説明する。

図３は、中継装置４が接続されているＬＡＮ１上のクライアント機器６ａ〜６ｄと、他のＬＡＮ９にある他のクライアント機器（これに限られないが）とが、前記ＥＬサーバ８を介して通信を行う場合を示したものである。上記他のＬＡＮ９にも、当該ＬＡＮ１と同様の構成で中継装置が設けられているものとする。

まず、中継装置４とＥＬサーバ８との間でトンネリングセッションが確立される。

この場合、前記中継装置４は、まず、通常のインターネット接続方法で、図に２５で示すトンネルブローカーに接続する。このトンネルブローカー２５は、アドレスデータベースからトンネル接続を確立する先のＥＬサーバ８を選択し、前記中継装置４にこのＥＬサーバ８のＩＰｖ４アドレスを通知する。このことで、前記中継装置４はＥＬサーバ８を識別可能になり、ユーザ認証を行った後、ＥＬサーバ８から受け取った仮想ＩＰアドレスを用いてトンネリングセッションを確立し通信を行うことができる。

すなわち、前記中継装置４がＥＬサーバ８に接続すると接続確立のための認証が行われ、これに基づいてＥＬサーバ８から中継装置４に対して特定の仮想プライベートネットワーク用の仮想ＩＰアドレスの割り当てが行われる。また、このとき、ＥＬサーバ８からは、前記クライアント機器６ａ〜６ｄのための数個の仮想ＩＰアドレスの割り当ても行なわれ、このクライアント機器用仮想ＩＰアドレスはクライアント機器用仮想ＩＰアドレス記憶部１９に格納される。
また、前記アドレス変換部２２は、このクライアント機器用仮想ＩＰアドレスと、各クライアント機器に割り当てられたこのＬＡＮ１上のＩＰアドレスとの変換表（変換ルール）を保持する。この変換表は、この実施形態では、前記クライアント機器検出部２３が前記クライアント機器を検出することで自動的に作成されるようになっている。すなわち、前記中継装置のブリッジモジュールは、前記クライアント機器のブロードキャスト通信を含む下流側のパケットをすべて監視できるので、このクライアント機器検出部２３は、前記クライアント機器のＬＡＮ１上のＩＰアドレス及びＭＡＣアドレスを検出することができる。また、このクライアント機器検出部２３は、さらに、ブロードキャストの応答要求（ICMP ECHO）を定期的若しくは任意にＬＡＮの下流側に送信し、前記クライアント機器の応答（ICMP REPLYパケット）を促すことで、確実に下流側のクライアント機器を検出する機能を有する。なお、このような自動検出を使用しない場合には、ユーザが手動で前記ＬＡＮ１のＩＰアドレスを入力し、かつ仮想アドレスとの割り当てを行って前記変換ルールを生成できるようになっていても良い。また、この場合、前記割当てのみを自動で行なうようにしても良いし、自動／手動をユーザが選択できるように構成されていても良い。なお、各クライアント機器へのＬＡＮ１上のＩＰアドレスは、前記ルータ２によって割り当てられたものである。

図３の符号２６で示す経路は、前記ＥＬサーバ８のアドレス、中継装置４に割当てられた仮想ＩＰアドレスに基づき、前記トンネリングセッション確立部２０により前記中継装置４との間でトンネリング接続内の通信セッションを確立されている状態を示している。また、他のＬＡＮ９との間にも同様にトンネリング接続による通信セッションが確立されている（経路２７）。そして、このＬＡＮ１とＬＡＮ９とは、同一の仮想ネットワーク（ＶＬＡＮ）に属するものとしてグループ化されるものとする。

この状態において、前記クライアント機器６ａ〜６ｄへのパケットは、前記カプセリング処理部２１によって前記中継装置４向けのＩＰｖ４パケットでカプセリングされて送信される。中継装置４は、カプセリング処理部２１がそのパケットをディカプセリングすると共に、前記変換部２２が送信先アドレスを当該プライベートネットワークのプライベートＩＰアドレスに変換して前記ブリッジモジュール１２に受け渡す。ブリッジモジュール１２は、受け取ったパケットをそのままeth0から下流側に流す。このようにして、例えば家庭内のＬＡＮ１上のクライアント機器６ａ〜６ｄへの接続を、外部にあるサーバ８や他のＬＡＮ９側からの起動により行うことができる。

また、前記クライアント機器６ａ〜６ｄからの仮想ネットワークへの通信は、仮想ＩＰアドレス宛に送出される。この仮想ＩＰアドレスを含むパケットが下流側のデバイスeth1から中継装置４に入ると、このパケットは前記ブリッジモジュール１２に捕捉され、前記上位層１５で前記ＥＬサーバ宛のパケットにカプセリングされ、前記ローカル通信プロトコルスタック、eth0を介してトンネリング接続により前記サーバ８に送出される。

このような構成によれば、例えば、前記クライアント機器６ａ〜６ｄが自宅のＬＡＮに接続されたネットワーク対応の家庭内監視カメラであるとすると、前記中継装置４により前記カメラに仮想ＩＰアドレスが割り当てられ、他のネットワークの中継装置４との間に形成された仮想ネットワークにより他のネットワーク上から直接操作できるようになる。

また、この中継装置４は、前記ＥＬサーバ８が仮想ネットワーク上のハブのように動作する場合であっても、ハブを介さないＰＰＰ接続の場合であっても同じように対応することができる。

以上のような構成によれば、仮想ネットワークを通したクライアント機器６ａ〜６ｄとの通信は、すべて、キャリアやＩＳＰに関らず、前記ＥＬサーバ８を通して行われることになるから、家庭や職場のホームネットワーク上のクライアント機器６ａ〜６ｄをＥＬサーバ８側から自由に設定・制御することが可能になる。これにより、従来問題であった、インターネット上のサーバからのプライベートネットワーク中のネットワーク家電の個体認識、家庭内ルーティング及びセキュリティの問題を全て解決でき、極めてオープンかつ、クローズドなネットワークの構築を実現することが可能になる。

なお、以上説明した実施形態は、この発明の一つの実施形態に過ぎないのであって、その要旨を変更しない範囲で種々の形態をとりうることはいうまでもない。

例えば、上記一実施形態では、ＩＰｖ４・ＯＶＥＲ・ＩＰｖ４によるカプセリングであったが、ＬＡＮのプロトコルがＩＰｖ６であってもよい。また、他のＬＡＮのプロトコルもＩＰｖ６であってもよい。さらに、両方ともに上記以外のプロトコルであっても良い。
また、上記一実施形態では、前記中継装置は、独立した装置として開示されていたが、ＬＡＮ１上のいずれかのコンピュータにソフトウエアとしてインストールされたものであっても良い。
さらに、上記一実施形態では、中継装置のＯＳはリナックスであったが、これに限定されるものではないことは当然である。

この発明の一実施形態に係るネットワーク構成の例を示す図。同じく中継装置の例を示す概略構成図。同じく通信例を示す図。

符号の説明

１…ＬＡＮ
２…ルータ
３…上流側イーサネット（登録商標）
４…中継装置
５…下流側イーサネット（登録商標）
６ａ…プリンタ
６ｂ…カメラ
６ｃ…スキャナ
６ｄ…ＰＣ
７…インターネット
８…ＥＬサーバ
９…ＬＡＮ
１０…イーサネット（登録商標）ワークデバイス
１１…イーサネット（登録商標）ワークデバイス
１２…ブリッジモジュール
１３…ネットワーク・プロトコルスタック
１５…上位層
１７…サーバアドレス記憶部
１８…中継装置アドレス記憶部
１９…ＩＰアドレス記憶部
２０…トンネリングセッション確立部
２１…カプセリング処理部
２２…仮想ＩＰアドレス・プレイベートＩＰアドレス変換部
２３…クライアント機器検出部
２５…トンネルブローカー
２６、２７…経路

Claims

ＬＡＮ上のクライアント機器を、インターネット上のサーバを通した仮想ネットワークに接続するために、前記ＬＡＮ上の前記クライアント機器の上流側に設置される中継装置であって、
この中継装置は、ブリッジモジュールを有し、このブリッジモジュールは、ローカル通信プロトコルスタックとネットワークデバイスとの間に設けられ、自己宛、ブロードキャスト及び仮想ネットワークのアドレス宛の要求パケット以外のパケットはローカル通信プロトコルスタックに渡さずに単に前記ＬＡＮの上流側と下流側とをブリッジするものであり、
この中継装置は、さらに、
前記インターネット上のサーバのグローバルアドレスを記憶するサーバアドレス記憶部と、
前記サーバのグローバルアドレスに基づき、この中継装置とサーバとの間にトンネリング接続を確立するためのトンネリング接続確立部と、
前記ブリッジモジュールにより前記クライアント機器からの上記仮想ネットワーク上の仮想ネットワークアドレスを含む要求パケットを捕捉し、発信元アドレスとして前記クライアント機器の仮想ネットワークアドレスを付したものをカプセリングし、前記トンネリング接続を介して前記サーバへ送出するカプセリング処理部と、
前記ローカル通信プロトコルスタックを通して受け取ったトンネリング接続における自己宛パケットをディカプセリングすると共に、このディカプセリングしたパケットに含まれる宛先仮想ネットワークアドレスを前記クライアント機器のＬＡＮ上のプライベートＩＰアドレスに変換し、このパケットをブリッジモジュールにより当該クライアント機器に送出するディカプセリング処理部と
を有することを特徴とする中継装置。
請求項１記載の中継装置において、
前記中継装置は、前記ＬＡＮにおいて、クライアント機器からルータに至る経路の途中に設置されるものであることを特徴とする中継装置。
請求項１記載の中継装置において、
前記中継装置は、インターネット上に設けられたトンネル仲介サーバに接続し、この仲介サーバから前記サーバのグローバルアドレスを受け取るものである
ことを特徴とする中継装置。
請求項１記載の中継装置において、
前記中継装置は、
クライアント機器に割り当てる仮想ネットワークアドレスを前記サーバから受け取り、
各クライアント機器のＬＡＮ上のプライベートＩＰアドレスとこのクライアントに割り当てた仮想ネットワークアドレスを関連付けて記憶するものである
ことを特徴とする中継装置。
請求項４記載の中継装置において、
前記ＬＡＮ下流側のネットワークデバイスに到達する全てのパケットを監視することで前記クライアント機器のプライベートＩＰアドレス及びＭＡＣアドレスを検出する下流側クライアント機器検出部を有するものである
ことを特徴とする中継装置。
請求項５記載の中継装置において、
前記下流側クライアント機器検出部は、ブロードキャストの応答要求を定期的若しくは任意にＬＡＮの下流側に送信し、前記クライアント機器の応答を促す機能を有する
ことを特徴とする中継装置。
請求項１記載の中継装置において、
前記クライアント機器は、ネットワーク対応の家電であるが、ユーザが仮想ネットワークドライバ等をインストールできない家電を含むことを特徴とする中継装置。
請求項１記載の中継装置において、
前記クライアント機器は、前記中継装置とは通信可能であるが、自らはインターネットに接続することができない周辺装置を含むものであることを特徴とする中継装置。
請求項１記載の中継装置において、
前記ブリッジモジュールは、ブロードキャストの要求パケットは、前記通信プロトコルスタックに渡すと共に、前記ブリッジするものであることを特徴とする中継装置。
ＬＡＮ上のクライアント機器と、このＬＡＮ上の前記クライアント機器の上流側に接続された中継装置と、前記クライアント機器がインターネットを介して接続されるサーバと、を有するインターネット接続環境において実行される、前記クライアント機器とサーバとの接続方法であって、
（ａ）前記中継装置が前記サーバのグローバルＩＰアドレスを受け取り格納する工程と、
（ｂ）前記中継装置が、前記で通知されたグローバルＩＰアドレスを使用して前記中継装置と前記サーバとの間で、トンネリング接続によるＴＣＰ／ＩＰセッションを確立する工程と、
（ｃ）前記中継装置が、前記クライアント機器に仮想ネットワークＩＰアドレスを割り当て、前記サーバから前記トンネリング接続を通して受け取った仮想ネットワークＩＰアドレス宛のパケットを前記クライアント機器のＬＡＮ上のプライベートＩＰアドレス宛に書き換えて前記ＬＡＮの下流側に送出する工程と、
（ｄ）前記中継装置が、前記クライアント機器からの上記仮想ネットワークＩＰアドレスを含むパケットを捕獲し、前記トンネリング接続を通して前記サーバへ送出する工程と
を有することを特徴とする接続方法。
請求項１０記載の接続方法において、
前記中継装置は、前記クライアント機器の属するＬＡＮ上に設置されるものであり、
この方法は、この中継装置宛、ブロードキャスト及び仮想ネットワークのアドレス宛の要求パケット以外のパケットは前記（ｃ）、（ｄ）工程を行なわずにＬＡＮ上で単にブリッジするものである
ことを特徴とする方法。
請求項１０記載の方法において、
さらに、前記サーバが前記中継装置に前記クライアント機器用の仮想ネットワークＩＰアドレスを通知する工程を有することを特徴とする方法。
請求項１０記載の方法において、
前記中継装置が、インターネット上に設けられたトンネル仲介サーバに接続し、この仲介サーバから前記サーバのグローバルアドレスを受け取る工程をさらに有する
ことを特徴とする方法。
請求項１０記載の方法において、
前記中継装置が、前記クライアント機器に割り当てる仮想ネットワークアドレスを前記サーバから受け取り、各クライアント機器のＬＡＮ上のプライベートＩＰアドレスとこのクライアントに割り当てた仮想ネットワークアドレスを関連付けて記憶する工程をさらに有するものである
ことを特徴とする方法。
請求項１４記載の方法において、
前記中継装置が、前記ＬＡＮ下流側のネットワークデバイスに到達する全てのパケットを監視することで前記クライアント機器のプライベートＩＰアドレス及びＭＡＣアドレスを検出する工程をさらに有する
ことを特徴とする方法。
請求項１５記載の方法において、
前記中継装置が、ブロードキャストの応答要求を定期的若しくは任意にＬＡＮの下流側に送信し、前記クライアント機器の応答を促す機能を有する
ことを特徴とする方法。