JP4922267B2 - Gateway device, route control method and program thereof - Google Patents

Gateway device, route control method and program thereof Download PDF

Info

Publication number
JP4922267B2
JP4922267B2 JP2008223301A JP2008223301A JP4922267B2 JP 4922267 B2 JP4922267 B2 JP 4922267B2 JP 2008223301 A JP2008223301 A JP 2008223301A JP 2008223301 A JP2008223301 A JP 2008223301A JP 4922267 B2 JP4922267 B2 JP 4922267B2
Authority
JP
Japan
Prior art keywords
address
gateway device
termination
route
establishment request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2008223301A
Other languages
Japanese (ja)
Other versions
JP2010062618A (en
Inventor
和規 石村
藤嗣彦 田村
祥行 天野
智治 本野
晴樹 佐藤
恭之 市川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2008223301A priority Critical patent/JP4922267B2/en
Publication of JP2010062618A publication Critical patent/JP2010062618A/en
Application granted granted Critical
Publication of JP4922267B2 publication Critical patent/JP4922267B2/en
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Description

本発明は、トンネル終端装置（以下、端末装置と呼ぶ）がトンネル終端ゲートウェイ装置（以下、ゲートウェイ装置）に対して、ＩＰｓｅｃ（Internet Protocol security）やＬ２ＴＰ（layer 2 tunneling protocol）等のトンネリングプロトコルを用いてＶＰＮ（Virtual Private Network）を構築する場合における、ゲートウェイ装置の冗長化技術に関する。   In the present invention, a tunnel termination device (hereinafter referred to as a terminal device) uses a tunneling protocol such as IPsec (Internet Protocol security) or L2TP (layer 2 tunneling protocol) for a tunnel termination gateway device (hereinafter referred to as a gateway device). The present invention relates to a redundancy technology for a gateway device when a VPN (Virtual Private Network) is constructed.

ＩＰネットワークにおいて、ゲートウェイ装置を冗長化する方法として、以下の２つの方法がある。   In the IP network, there are the following two methods for making the gateway device redundant.

（１）ＶＲＲＰ(Virtual Router Redundancy Protocol)を用いる方法
このＶＲＲＰは、同じプレフィックスのネットワーク内に複数のゲートウェイ装置を設置し、ＶＲＲＰグループを構成する。そして、そのＶＲＲＰグループのゲートウェイ装置間で同じ仮想ＩＰアドレスおよび仮想ＭＡＣアドレス（Media Access Control address）を設定するものである。ここで、これらのうち１台のゲートウェイ装置を、通常時ＡＣＴ（アクティブ）ゲートウェイ装置として動作する主系ゲートウェイ装置とする。また、その他Ｎ台のゲートウェイ装置を、通常時ＳＢＹ（スタンバイ）ゲートウェイ装置として待機する待機系ゲートウェイ装置とする。この状態で、主系ゲートウェイ装置が故障した場合、待機系ゲートウェイ装置のうち最も優先度の高いゲートウェイ装置が、主系ゲートウェイ装置に替わってＡＣＴゲートウェイ装置に切り替わり、残ったＮ-１台の待機系ゲートウェイ装置が、ＳＢＹゲートウェイ装置となる（非特許文献１参照）。 (1) Method Using VRRP (Virtual Router Redundancy Protocol) In this VRRP, a plurality of gateway devices are installed in a network having the same prefix to form a VRRP group. The same virtual IP address and virtual MAC address (Media Access Control address) are set between the gateway devices of the VRRP group. Here, one of these gateway devices is assumed to be a main gateway device that operates as a normal ACT (active) gateway device. Further, the other N gateway devices are standby gateway devices that stand by as normal SBY (standby) gateway devices. In this state, when the primary gateway device fails, the gateway device with the highest priority among the standby gateway devices is switched to the ACT gateway device instead of the primary gateway device, and the remaining N-1 standby systems The gateway device becomes an SBY gateway device (see Non-Patent Document 1).

（２）ダイナミックルーティングを用いる方法
このダイナミックルーティングの例としては、ＯＳＰＦ（Open Shortest Path First）、ＢＧＰ（Border Gateway Protocol）を用いたルーティングが挙げられる。ダイナミックルーティングを用いる場合、ＩＰネットワーク内に配置した複数のゲートウェイ装置において、主系ゲートウェイ装置Ｎ台分のトンネル終端アドレスを、待機系ゲートウェイ装置から、各主系ゲートウェイ装置よりも優先度を下げて経路広告を行う。このようにすることで、主系ゲートウェイ装置が故障した場合、より優先度の高い待機系ゲートウェイ装置への経路情報をもとにルーティングが行われる。よって、主系ゲートウェイ装置に替わってこの待機系ゲートウェイ装置がＡＣＴゲートウェイ装置となる。つまり、Ｎ台の主系ゲートウェイ装置に対して、１台の待機系ゲートウェイ装置を用いてゲートウェイ装置の冗長化を実現できる（非特許文献２，３参照）。
Virtual Router Redundancy Protocol、RFC2338、[online]、[平成20年8月12日検索]、インターネット、<URL: http://www.ietf.org/rfc/rfc2338.txt?number=2338 > OSPF Version 2、RFC2328、[online]、[平成20年8月12日検索]、インターネット、<URL: http://www.ietf.org/rfc/rfc2328.txt?number=2328 > Protection of BGP Sessions via the TCP MD5 Signature Option、RFC2385、[online]、[平成20年8月12日検索]、インターネット、<URL: http://www.ietf.org/rfc/rfc2385.txt?number=2385> (2) Method Using Dynamic Routing Examples of the dynamic routing include routing using OSPF (Open Shortest Path First) and BGP (Border Gateway Protocol). When using dynamic routing, in a plurality of gateway devices arranged in the IP network, the tunnel termination addresses for N main gateway devices are routed from the standby gateway device with a lower priority than each main gateway device. Make an advertisement. In this way, when the primary gateway device fails, routing is performed based on the route information to the standby gateway device with higher priority. Therefore, this standby gateway device becomes an ACT gateway device instead of the main gateway device. That is, the redundancy of the gateway device can be realized by using one standby gateway device for N main gateway devices (see Non-Patent Documents 2 and 3).
Virtual Router Redundancy Protocol, RFC2338, [online], [Search August 12, 2008], Internet, <URL: http://www.ietf.org/rfc/rfc2338.txt?number=2338> OSPF Version 2, RFC2328, [online], [Search August 12, 2008], Internet, <URL: http://www.ietf.org/rfc/rfc2328.txt?number=2328> Protection of BGP Sessions via the TCP MD5 Signature Option, RFC2385, [online], [Search August 12, 2008], Internet, <URL: http://www.ietf.org/rfc/rfc2385.txt?number = 2385>

しかし、前記したＶＲＲＰでは、主系ゲートウェイ装置と待機系ゲートウェイ装置とを異なるプレフィックス内に設置できないという問題点がある。よって、例えば、全国にＶＰＮサービスを展開する通信キャリアが、主系ゲートウェイ装置と待機系ゲートウェイ装置とを拠点を分けて配置するといったことができない。つまり、災害発生時等により、主系ゲートウェイ装置と待機系ゲートウェイ装置の両方のゲートウェイ装置が被害をこうむる可能性がある。また、ダイナミックルーティングを利用して、Ｎ台の主系ゲートウェイ装置に対して、１台の待機系ゲートウェイ装置を用いるようにした場合、この待機系ゲートウェイ装置に対するＳＢＹゲートウェイ装置は存在しない。よって、この待機系ゲートウェイ装置に障害が発生した場合、通信が停止してしまうおそれがある。ここで、主系ゲートウェイ装置それぞれに対し１台の待機系ゲートウェイ装置を用意することも考えられるが、ネットワーク内に２Ｎ個のゲートウェイ装置を用意しなければならなくなり、コストが高くなる。   However, the VRRP described above has a problem in that the main gateway device and the standby gateway device cannot be installed in different prefixes. Therefore, for example, a communication carrier that develops a VPN service throughout the country cannot place the main gateway device and the standby gateway device separately from each other. That is, when a disaster occurs, both the gateway device of the primary gateway device and the standby gateway device may suffer damage. In addition, when one standby gateway apparatus is used for N main gateway apparatuses using dynamic routing, there is no SBY gateway apparatus for the standby gateway apparatus. Therefore, if a failure occurs in this standby gateway device, communication may be stopped. Here, it is conceivable to prepare one standby gateway device for each main gateway device, but 2N gateway devices must be prepared in the network, which increases costs.

さらに、前記したダイナミックルーティングを利用してゲートウェイ装置の冗長化を行った場合、主系ゲートウェイ装置と待機系ゲートウェイ装置とは互いに状態監視を行わない。このため、主系ゲートウェイ装置の障害発生後、復旧すると、待機系ゲートウェイ装置系への経路が、この主系ゲートウェイ装置への経路に振り戻ってしまうという問題がある。つまり、この主系ゲートウェイ装置は、待機系ゲートウェイ装置系よりも優先度の高い経路情報を広告しているので、この主系ゲートウェイ装置が復旧すれば、この主系ゲートウェイ装置へ経路が振り戻ってしまう。このような経路の振り戻しは、通信の瞬断等を招くおそれがある。また、主系ゲートウェイ装置が不安定にリブートを引き起こすような場合、経路が主系ゲートウェイ装置と待機系ゲートウェイ装置との間で何度も切り替わり、通信が極めて不安定になる。   Furthermore, when the gateway device is made redundant by using the dynamic routing described above, the main gateway device and the standby gateway device do not monitor each other. For this reason, there is a problem that when the failure occurs in the main gateway device, the route to the standby gateway device system is returned to the route to the main gateway device when it is restored. In other words, since this primary gateway device advertises route information having a higher priority than the standby gateway device system, when this primary gateway device is restored, the route is returned to this primary gateway device. End up. Such a return of the route may cause an instantaneous interruption of communication. Further, when the primary gateway device causes an unstable reboot, the path is switched between the primary gateway device and the standby gateway device many times, and communication becomes extremely unstable.

本発明は、前記した問題を解決し、ゲートウェイ装置を冗長化する場合の通信の信頼性を向上させ、かつ、コストを削減することを目的とする。   An object of the present invention is to solve the above-described problems, improve the reliability of communication when a gateway device is made redundant, and reduce the cost.

前記した課題を解決するため請求項１に記載の発明は、ＯＳＰＦ（Open Shortest Path First）またはＢＧＰ（Border Gateway Protocol）を用いたダイナミックルーティングにより経路制御され、同じ終端アドレスを保持するゲートウェイ装置を複数備えるネットワークにおけるゲートウェイ装置であって、自身のゲートウェイ装置の保持する１以上の終端アドレスごとに、自身のゲートウェイ装置経由で当該終端アドレスへ接続するときの経路およびその優先度を記憶する記憶部と、自身のゲートウェイ装置の保持する終端アドレスと、この自身のゲートウェイ装置経由で終端アドレスへ接続する経路の優先度とを含む経路情報を、ネットワーク内へ広告する経路情報広告部と、ネットワーク経由で、端末装置からトンネル確立要求を受け付ける接続処理部とを備え、受け付けたトンネル確立要求の宛先となる終端アドレスが、自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じとき、経路情報広告部は、その終端アドレスへ接続する経路の優先度を、この終端アドレスに関する他のいずれの経路情報よりも高くなるよう変更した経路情報をネットワークへ広告することを特徴とする。 In order to solve the above-described problem, the invention described in claim 1 includes a plurality of gateway devices that are route-controlled by dynamic routing using OSPF (Open Shortest Path First) or BGP (Border Gateway Protocol) and that hold the same termination address. A storage device for storing a route and a priority for connecting to the terminal address via the gateway device for each of the one or more terminal addresses held by the gateway device in a gateway device provided with the gateway device; and the end address held in its gateway device, route information including the priority of the route that connects to the end address via this own gateway device, a route information advertisement unit for ad into the network, via the network, Connection processing that accepts tunnel establishment requests from terminal devices When the termination address that is the destination of the accepted tunnel establishment request is the same as any of the termination addresses held by its gateway device, the route information advertising unit determines the priority of the route connected to the termination address. The route information changed so as to be higher than any other route information related to the termination address is advertised to the network.

請求項５に記載の発明は、ＯＳＰＦまたはＢＧＰを用いたダイナミックルーティングにより経路制御され、同じ終端アドレスを保持するゲートウェイ装置を複数備えるネットワークにおいて、自身のゲートウェイ装置の保持する１以上の終端アドレスごとに、自身のゲートウェイ装置経由で当該終端アドレスへ接続するときの経路およびその優先度を記憶する記憶部を備えるゲートウェイ装置が、自身のゲートウェイ装置の保持する終端アドレスと、この自身のゲートウェイ装置経由で終端アドレスへ接続する経路の優先度とを含む経路情報を、ネットワーク内へ広告するステップと、ネットワーク経由で、端末装置からトンネル確立要求を受け付けるステップと、受け付けたトンネル確立要求の宛先となる終端アドレスが、自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じとき、その終端アドレスへ接続する経路の優先度を、この終端アドレスに関する他のいずれの経路情報よりも高くなるよう変更した経路情報を広告するステップとを実行することを特徴とする。 According to a fifth aspect of the present invention, in a network including a plurality of gateway devices that are route-controlled by dynamic routing using OSPF or BGP and that have the same termination address, for each one or more termination addresses held by the gateway device of its own A gateway device having a storage unit for storing a route and its priority when connecting to the termination address via its gateway device is terminated via the termination address held by the gateway device and the gateway device. route information including the priority of the route that connects to the address, the method comprising: advertising into the network, via the network, comprising the steps of: receiving a tunnel establishment request from the terminal device, terminating the of the accepted tunnel establishment request destination address But its own gateway A) advertising the route information in which the priority of the route connected to the terminal address is changed to be higher than any other route information related to the terminal address when the same as any one of the terminal addresses held by the device; It is characterized by performing.

このようにすることで、主系ゲートウェイ装置に障害等が発生すると、ネットワーク内の経路制御により、この主系ゲートウェイ装置と同じ終端アドレスを持ち、この主系ゲートウェイ装置の次に優先度の高い待機系ゲートウェイ装置への経路が選択される。そして、端末装置は、この待機系ゲートウェイ装置へ新たなトンネル確立要求を送信する。待機系ゲートウェイ装置は、この端末装置からのトンネル確立要求を機に、自身と同じ終端アドレスを持つ主系ゲートウェイ装置に障害等が発生したことを知る。そして、この待機系ゲートウェイ装置が、この端末装置との間にトンネルを確立し、ＡＣＴゲートウェイ装置となるとき、自身が広告していた経路情報の優先度を、他のいずれの経路情報の優先度よりも、高くしてネットワーク内へ広告する。これにより、この障害が発生した主系ゲートウェイ装置について復旧したとき、この経路の振り戻しが起こらないようにできる。また、ゲートウェイ装置は、１以上の終端アドレスを保持する。そして、その終端アドレスごとに、自身のゲートウェイ装置経由で当該終端アドレスへ接続する経路の優先度を記憶し、その終端アドレスおよび優先度を含む経路情報をネットワーク内に広告する。よって、ゲートウェイ装置は、複数の主系ゲートウェイ装置のＳＢＹゲートウェイ装置となることができる。また、この待機系ゲートウェイ装置以外のゲートウェイ装置にも同じ終端アドレスで、この待機系ゲートウェイ装置よりも優先度を低く設定しておけば、この待機系ゲートウェイ装置に障害が発生したときのＳＢＹゲートウェイ装置となることができる。   In this way, when a failure or the like occurs in the primary gateway device, the route control in the network has the same termination address as this primary gateway device, and the standby with the next highest priority after this primary gateway device. A route to the system gateway device is selected. Then, the terminal device transmits a new tunnel establishment request to this standby gateway device. The standby gateway device knows that a failure or the like has occurred in the main gateway device having the same termination address as itself upon receiving a tunnel establishment request from this terminal device. Then, when this standby gateway device establishes a tunnel with this terminal device and becomes an ACT gateway device, the priority of the route information advertised by itself becomes the priority of any other route information. Rather than advertising it into the network. As a result, when the main gateway device in which the failure has occurred is recovered, the route cannot be returned. Further, the gateway device holds one or more termination addresses. Then, for each of the terminal addresses, the priority of the path connected to the terminal address via its gateway device is stored, and the path information including the terminal address and the priority is advertised in the network. Therefore, the gateway device can be an SBY gateway device of a plurality of primary gateway devices. Further, if the gateway device other than the standby gateway device is set to have the same termination address and a lower priority than the standby gateway device, the SBY gateway device when a failure occurs in the standby gateway device Can be.

請求項２に記載の発明は、受け付けたトンネル確立要求の宛先となる終端アドレスが、自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じ場合において、そのゲートウェイ装置の保持する終端アドレスに、トンネル確立要求の宛先となる終端アドレス以外の終端アドレスがあるとき、接続処理部は、トンネル確立要求の宛先となる終端アドレス以外の終端アドレスをシャットダウンし、経路情報広告部は、そのトンネル確立要求の宛先となる終端アドレス以外の終端アドレスに関する経路情報を削除するよう指示する情報を、ネットワークへ広告することを特徴とする。   According to the second aspect of the present invention, when the termination address that is the destination of the accepted tunnel establishment request is the same as any termination address held by its own gateway device, the tunnel address is assigned to the termination address held by the gateway device. When there is a termination address other than the termination address that is the destination of the establishment request, the connection processing unit shuts down the termination address other than the termination address that is the destination of the tunnel establishment request, and the route information advertisement unit is the destination of the tunnel establishment request. Information for instructing to delete the route information related to the termination address other than the termination address is advertised to the network.

請求項４に記載の発明は、請求項３に記載のゲートウェイ装置において、受け付けたトンネル確立要求の宛先となる終端アドレスが、自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じ場合において、そのゲートウェイ装置の保持する終端アドレスに、トンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスがあるとき、接続処理部は、トンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスをシャットダウンし、経路情報広告部は、そのトンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスに関する経路情報を削除するよう指示する情報を、ネットワークへ広告することを特徴とする。 According to a fourth aspect of the present invention, in the gateway device according to the third aspect, when the termination address that is the destination of the accepted tunnel establishment request is the same as any one of the termination addresses held by its own gateway device, When the termination address held by the gateway device has a termination address other than the address group to which the termination address serving as the destination of the tunnel establishment request belongs, the connection processing unit transmits information other than the address group to which the termination address serving as the destination of the tunnel establishment request belongs. shut down the end address, routing information advertisement section, characterized in that advertising information that instructs to delete the route information on termination address other than the address group of the end address serving as a destination of the tunnel establishment request, the network And

請求項６に記載の発明は、請求項５に記載の経路制御方法において、ゲートウェイ装置は、受け付けたトンネル確立要求の宛先となる終端アドレスが、自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じ場合において、そのゲートウェイ装置の保持する終端アドレスに、トンネル確立要求の宛先となる終端アドレス以外の終端アドレスがあるとき、トンネル確立要求の宛先となる終端アドレス以外の終端アドレスをシャットダウンするステップと、そのトンネル確立要求の宛先となる終端アドレス以外の終端アドレスに関する経路情報を削除するよう指示する情報を、ネットワークへ広告するステップとを実行することを特徴とする。   According to a sixth aspect of the present invention, in the route control method according to the fifth aspect, the gateway device is configured such that the termination address that is the destination of the accepted tunnel establishment request is one of the termination addresses held by its gateway device. In the same case, when the termination address held by the gateway device has a termination address other than the termination address that is the destination of the tunnel establishment request, the step of shutting down the termination address other than the termination address that is the destination of the tunnel establishment request; A step of advertising to the network information for instructing to delete the route information related to the termination address other than the termination address which is the destination of the tunnel establishment request.

請求項８に記載の経路制御方法は、請求項７に記載の経路制御方法において、ゲートウェイ装置が、受け付けたトンネル確立要求の宛先となる終端アドレスが、自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じ場合において、そのゲートウェイ装置の保持する終端アドレスに、トンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスがあるとき、接続処理部は、トンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスをシャットダウンするステップと、そのトンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスに関する経路情報を削除するよう指示する情報を、ネットワークへ広告するステップとを実行することを特徴とする。 The route control method according to claim 8 is the route control method according to claim 7, wherein the gateway device has a termination address that is a destination of a tunnel establishment request accepted by the gateway device as one of the terminations held by the gateway device. In the same case as the address, when the termination address held by the gateway device has a termination address other than the address group to which the termination address serving as the destination of the tunnel establishment request belongs, the connection processing unit terminates the termination serving as the destination of the tunnel establishment request. a step of shutting down the end address other than the address group including address, the information for instructing to delete the route information on termination address other than the address group of the end address serving as a destination of the tunnel establishment request, advertising network Step and perform And butterflies.

このようにすることで、複数の主系ゲートウェイ装置のＳＢＹゲートウェイ装置であったゲートウェイ装置が、端末装置とトンネルを確立し、ＡＣＴゲートウェイ装置となったとき、他の主系ゲートウェイ装置のＳＢＹゲートウェイ装置とならないようにできる。つまり、自身のゲートウェイ装置は、他の終端アドレスに関する経路情報を削除するように指示するので、この終端アドレスを保持する他の主系ゲートウェイ装置に障害が発生した場合でも、自身のゲートウェイ装置への経路が選択されることはない。また、この障害の発生した主系ゲートウェイ装置とトンネルを確立していた端末装置が、自身のゲートウェイ装置にトンネル確立要求を送信してきたとしても、この他の終端アドレスについてはシャットダウンしているので、この端末装置とのトンネルを確立しないようにできる。   By doing in this way, when the gateway device that is the SBY gateway device of the plurality of primary gateway devices establishes a tunnel with the terminal device and becomes the ACT gateway device, the SBY gateway device of the other primary gateway device It can be avoided. In other words, since the gateway device itself instructs to delete the route information related to the other end address, even if a failure occurs in the other main gateway device that holds the end address, The route is never selected. In addition, even if the terminal device that has established a tunnel with the failed primary gateway device has sent a tunnel establishment request to its own gateway device, the other end addresses are shut down, It is possible not to establish a tunnel with this terminal device.

請求項３に記載の発明は、請求項１に記載のゲートウェイ装置における記憶部が、１以上の終端アドレスの属するアドレスグループの情報をさらに含み、受け付けたトンネル確立要求の宛先となる終端アドレスが、自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じとき、経路情報広告部は、その終端アドレスの属するアドレスグループ内の各終端アドレスへ接続する経路の優先度を、このアドレスグループ以外の終端アドレスに関するいずれの経路情報よりも高くなるよう変更した経路情報をネットワークへ広告することを特徴とする。   According to a third aspect of the present invention, the storage unit in the gateway device according to the first aspect further includes information of an address group to which one or more termination addresses belong, and the termination address that is the destination of the accepted tunnel establishment request is: When it is the same as one of the end addresses held by its own gateway device, the route information advertising unit assigns the priority of the route connected to each end address in the address group to which the end address belongs to the end address other than this address group. The route information changed so as to be higher than any of the route information is advertised to the network.

請求項７に記載の発明は、請求項５に記載の経路制御方法において、記憶部が、１以上の終端アドレスの属するアドレスグループの情報をさらに含み、ゲートウェイ装置は、受け付けたトンネル確立要求の宛先となる終端アドレスが、自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じとき、その終端アドレスの属するアドレスグループ内の各終端アドレスへ接続する経路の優先度を、このアドレスグループ以外の終端アドレスに関するいずれの経路情報よりも高くなるよう変更した経路情報をネットワークへ広告することを特徴とする。   According to a seventh aspect of the present invention, in the route control method according to the fifth aspect, the storage unit further includes information on an address group to which one or more termination addresses belong, and the gateway device receives the destination of the accepted tunnel establishment request. Is the same as one of the termination addresses held by its own gateway device, the priority of the path connected to each termination address in the address group to which the termination address belongs is set to the termination address other than this address group. The route information changed so as to be higher than any of the route information is advertised to the network.

このようにすることで、待機系ゲートウェイ装置は、同じアドレスグループのいずれかの終端アドレスについてのトンネル確立要求の受信を機に、そのアドレスグループ内の終端アドレスへ接続する経路の優先度をまとめて、他のいずれの経路情報よりも高くなるよう変更し、ＡＣＴゲートウェイ装置になる。よって、複数のＶＰＮを提供する主系ゲートウェイ装置に障害が発生し、各ＶＰＮの経路が待機系ゲートウェイ装置への経路の切り替わった後、この主系ゲートウェイ装置が復旧した場合でも、その経路それぞれについて復旧後のゲートウェイ装置への経路の振り戻るのを防止できる。   By doing so, the standby gateway device collects the priorities of the paths connected to the termination addresses in the address group upon receiving the tunnel establishment request for any termination address of the same address group. , It is changed to be higher than any other route information, and becomes an ACT gateway device. Therefore, even if a failure occurs in the primary gateway device that provides a plurality of VPNs, and the route of each VPN is switched to the standby gateway device, the primary gateway device is restored, and each route is restored. It is possible to prevent the route back to the gateway device after restoration.

請求項９に記載の発明は、請求項５ないし請求項８のいずれか１項に記載の経路制御方法を、コンピュータに実行させるためのプログラムである。   The invention according to claim 9 is a program for causing a computer to execute the path control method according to any one of claims 5 to 8.

このようなプログラムによれば、コンピュータに請求項５ないし請求項８のいずれか１項に記載の経路制御方法を実行させることができる。   According to such a program, it is possible to cause a computer to execute the route control method according to any one of claims 5 to 8.

本発明によれば、ゲートウェイ装置を冗長化する場合の通信の信頼性を向上させ、かつ、コストを削減することができる。   ADVANTAGE OF THE INVENTION According to this invention, the reliability of communication when making a gateway apparatus redundant can be improved, and cost can be reduced.

以下、本発明を実施するための最良の形態（以下、実施の形態という）について説明する。まず、図１および図２を用いて、本実施の形態のゲートウェイ装置（ＧＷ装置）を含むネットワークの経路制御について説明する。図１および図２は、本実施の形態のゲートウェイ装置を含むシステムの構成例を示した図である。   Hereinafter, the best mode for carrying out the present invention (hereinafter referred to as an embodiment) will be described. First, the route control of the network including the gateway device (GW device) of the present embodiment will be described using FIG. 1 and FIG. 1 and 2 are diagrams showing a configuration example of a system including a gateway device according to the present embodiment.

ここでは、図１に示すようにシステムは、端末装置２０と、複数のゲートウェイ装置１０が設置されるネットワーク３０とを含む。そして、端末装置２０同士が、ＩＰｓｅｃトンネルによりゲートウェイ装置１０経由で接続し、ＶＰＮを構成する場合を例に説明する。なお、このネットワーク３０は、ＯＳＰＦで経路制御が行われるネットワークである。   Here, as shown in FIG. 1, the system includes a terminal device 20 and a network 30 in which a plurality of gateway devices 10 are installed. Then, a case will be described as an example where the terminal devices 20 are connected to each other via the gateway device 10 via an IPsec tunnel to form a VPN. The network 30 is a network in which route control is performed by OSPF.

ここで、ゲートウェイ装置１０にはそれぞれ、論理アドレスによりＩＰｓｅｃ終端アドレス（終端アドレス）が割り当てられる。ここでは、ネットワーク３０内において同じ終端アドレスを持つゲートウェイ装置１０を複数用意しておく。   Here, an IPsec termination address (termination address) is assigned to each gateway device 10 by a logical address. Here, a plurality of gateway devices 10 having the same termination address in the network 30 are prepared.

そして、ゲートウェイ装置１０は、ネットワーク３０に対して、この終端アドレスについてＯＳＰＦコスト（コスト）を含む経路情報を広告する。なお、このＯＳＰＦコストは、当該終端アドレス宛の経路のコストを示した値であり、ネットワーク３０内のルータ（図示省略）が、当該終端アドレス宛のパケットの経路の選択を行う際に参照する値である。ここでは、ネットワーク３０において同じ終端アドレスに対する経路が複数あったとき、そのコストができるだけ小さい経路が選択される。つまり、経路情報に含まれるコストは、ネットワーク３０における経路選択の優先度として参照される。よって、同じ終端アドレスを保持するゲートウェイ装置１０がコストの異なる経路情報を広告することで、ＶＰＮを構成するときの経路を冗長化できる。   Then, the gateway device 10 advertises route information including the OSPF cost (cost) for the termination address to the network 30. The OSPF cost is a value indicating the cost of the route addressed to the terminal address, and is a value that is referred to when a router (not shown) in the network 30 selects a route of the packet addressed to the terminal address. It is. Here, when there are a plurality of routes for the same termination address in the network 30, a route having the smallest possible cost is selected. That is, the cost included in the route information is referred to as a route selection priority in the network 30. Therefore, the gateway device 10 having the same termination address advertises route information with different costs, so that the route when configuring the VPN can be made redundant.

例えば、ゲートウェイ装置１０Ａは、エリアＡ（例えば、東京）に設置され、ゲートウェイ装置１０Ｂは、エリアＢ（例えば、大阪）に設置され、ゲートウェイ装置１０Ｃは、エリアＣ（例えば、名古屋）に設置される。また、このゲートウェイ装置１０Ｄは、エリアＤ（例えば、札幌）に設置され、ゲートウェイ装置１０Ｅは、エリアＥ（例えば、福岡）に設置される。このようにゲートウェイ装置１０をそれぞれ別拠点に設置することで、ある拠点に災害が発生したときに、複数のゲートウェイ装置１０が一挙に被害をこうむることがなくなる。   For example, the gateway device 10A is installed in an area A (for example, Tokyo), the gateway device 10B is installed in an area B (for example, Osaka), and the gateway device 10C is installed in an area C (for example, Nagoya). . The gateway device 10D is installed in an area D (for example, Sapporo), and the gateway device 10E is installed in an area E (for example, Fukuoka). By installing the gateway devices 10 at different bases in this way, when a disaster occurs at a certain base, the plurality of gateway devices 10 do not suffer damage at once.

ゲートウェイ装置１０Ａ，１０Ｂ，１０Ｃは、主系ゲートウェイ装置であり、ゲートウェイ装置１０Ｄ，１０Ｅは、待機系ゲートウェイ装置である。なお、本実施の形態でコストとして用いる値は、ダイナミックルーティングにおける経路選択時の優先度となるメトリックやリンクコスト（コスト）の値である。このコストは、ゲートウェイ装置１０において任意の値を設定可能である。ここでは、例えば、ゲートウェイ装置１０Ａは、終端アドレス「Ａ」、コスト「１００」を設定した経路情報を広告する。また、ゲートウェイ装置１０Ｂは、終端アドレス「Ｂ」、コスト「１００」を設定した経路情報を広告する。さらに、ゲートウェイ装置１０Ｃは、終端アドレス「Ｃ」、コスト「１００」の経路情報を広告する。また、ゲートウェイ装置１０Ｄは、終端アドレス「Ａ」、「Ｂ」、「Ｃ」それぞれについて、それぞれコスト「２００」を設定した経路情報を広告する。さらに、ゲートウェイ装置１０Ｅは、終端アドレス「Ａ」、「Ｂ」、「Ｃ」それぞれについて、コスト「３００」を設定した経路情報を広告する。このように同じ終端アドレスについてコストの値に差を設けることで、ネットワーク３０内でその経路が選択される優先度を設けることができる。   Gateway devices 10A, 10B, and 10C are primary gateway devices, and gateway devices 10D and 10E are standby gateway devices. The value used as the cost in the present embodiment is a metric or link cost (cost) that is a priority when selecting a route in dynamic routing. This cost can be set to an arbitrary value in the gateway device 10. Here, for example, the gateway device 10A advertises route information in which the end address “A” and the cost “100” are set. Further, the gateway device 10B advertises route information in which the end address “B” and the cost “100” are set. Further, the gateway device 10C advertises route information of the end address “C” and the cost “100”. Further, the gateway device 10D advertises route information in which the cost “200” is set for each of the end addresses “A”, “B”, and “C”. Furthermore, the gateway device 10E advertises route information in which the cost “300” is set for each of the end addresses “A”, “B”, and “C”. Thus, by providing a difference in the cost value for the same termination address, it is possible to provide a priority for selecting the route within the network 30.

つまり、ネットワーク３０内において、経路情報に示されるコストに基づき、終端アドレス「Ａ」宛の経路は、ゲートウェイ装置１０Ａへの経路＞ゲートウェイ装置１０Ｄへの経路＞ゲートウェイ装置１０Ｅへの経路という優先順位で選択される。また、終端アドレス「Ｂ」宛の経路は、ゲートウェイ装置１０Ｂへの経路＞ゲートウェイ装置１０Ｄへの経路＞ゲートウェイ装置１０Ｅへの経路という優先順位で選択される。さらに、終端アドレス「Ｃ」宛の経路は、ゲートウェイ装置１０Ｃへの経路＞ゲートウェイ装置１０Ｄへの経路＞ゲートウェイ装置１０Ｅへの経路という優先順位で選択される。つまり、ゲートウェイ装置１０Ｄ，１０Ｅはそれぞれ、ゲートウェイ装置１０Ａ，１０Ｂ，１０ＣのＳＢＹゲートウェイ装置として機能し、このゲートウェイ装置１０Ｄに障害が発生した際には、ゲートウェイ装置１０ＥがＳＢＹゲートウェイ装置として機能するようにできる。つまり、同じ終端アドレスのゲートウェイ装置１０を冗長化することができる。   That is, in the network 30, based on the cost indicated by the route information, the route addressed to the end address “A” has the priority order of the route to the gateway device 10A> the route to the gateway device 10D> the route to the gateway device 10E. Selected. The route addressed to the end address “B” is selected in the order of priority: route to gateway device 10B> route to gateway device 10D> route to gateway device 10E. Further, the route addressed to the end address “C” is selected in the order of priority: the route to the gateway device 10C> the route to the gateway device 10D> the route to the gateway device 10E. That is, the gateway devices 10D and 10E function as SBY gateway devices of the gateway devices 10A, 10B, and 10C, respectively, and when a failure occurs in the gateway device 10D, the gateway device 10E functions as the SBY gateway device. it can. That is, the gateway device 10 having the same end address can be made redundant.

なお、主系ゲートウェイ装置に設定するコストの値は、このダイナミックルーティングにおいて設定可能な最小値よりも大きな値としておく。これは、本実施の形態において主系ゲートウェイ装置に障害が発生し、待機系ゲートウェイ装置への経路切り替えが行われると、この待機系ゲートウェイ装置は、コストを最小値にした経路情報を広告する。ここで、この障害が発生した主系ゲートウェイ装置のコストも最小値であると、この主系ゲートウェイ装置が復旧したときに、この主系ゲートウェイ装置への経路の振り戻しが発生するおそれがあるからである。   The cost value set in the main gateway device is set to a value larger than the minimum value that can be set in this dynamic routing. This is because, when a failure occurs in the primary gateway device in the present embodiment and the route switching to the standby gateway device is performed, this standby gateway device advertises route information with a minimum cost. Here, if the cost of the primary gateway device in which this failure has occurred is also a minimum value, there is a possibility that when the primary gateway device is restored, the route to the primary gateway device may be returned. It is.

端末装置２０は、ネットワーク３０経由で終端アドレス「Ａ」、「Ｂ」、「Ｃ」に対してＩＰｓｅｃトンネルを確立可能であり、通常時はネットワーク３０内のＯＳＰＦコスト制御により選択されたゲートウェイ装置１０との間でＩＰｓｅｃトンネルを確立する。例えば、端末装置２０は、終端アドレス「Ａ」についてゲートウェイ装置１０Ａとの間でＩＰｓｅｃトンネルを確立し、グループＡのＶＰＮを構成する。また、同様にグループＢの端末装置２０は、終端アドレス「Ｂ」についてゲートウェイ装置１０Ｂとの間で、ＩＰｓｅｃトンネルを確立し、グループＢのＶＰＮを構成する。さらに、グループＣの端末装置２０は、終端アドレス「Ｃ」についてゲートウェイ装置１０Ｃとの間で、ＩＰｓｅｃトンネルを確立し、グループＣのＶＰＮを構成する。   The terminal device 20 can establish an IPsec tunnel for the termination addresses “A”, “B”, and “C” via the network 30, and the gateway device 10 selected by the OSPF cost control in the network 30 in normal times. Establish an IPsec tunnel with. For example, the terminal device 20 establishes an IPsec tunnel with the gateway device 10A with respect to the termination address “A”, and configures a VPN of group A. Similarly, the terminal device 20 of the group B establishes an IPsec tunnel with the gateway device 10B with respect to the termination address “B”, and configures the VPN of the group B. Further, the terminal device 20 of the group C establishes an IPsec tunnel with the gateway device 10C with respect to the termination address “C”, and configures a VPN of the group C.

次に、このようなシステム構成において、ゲートウェイ装置１０Ｂに障害が発生したときのネットワーク３０における経路制御について、図２を用いて説明する。   Next, route control in the network 30 when a failure occurs in the gateway device 10B in such a system configuration will be described with reference to FIG.

ゲートウェイ装置１０Ｂに障害が発生すると、ネットワーク３０内で終端アドレス「Ｂ」宛の経路は、ゲートウェイ装置１０Ｄ宛の経路に切り替わる。つまり、ゲートウェイ装置１０Ｄが終端アドレス「Ｂ」のＡＣＴゲートウェイ装置になる。そして、端末装置２０は、このゲートウェイ装置１０Ｄとの間のＩＰｓｅｃトンネル確立のため、このゲートウェイ装置１０Ｄは、端末装置２０から終端アドレス「Ｂ」宛のパケットを受信する。これを機に、ゲートウェイ装置１０Ｄは、終端アドレス「Ｂ」の経路情報のコストを「２００」から「１（最小）」に変更し、終端アドレス「Ａ」、「Ｃ」をシャットダウンする。また、この終端アドレス「Ａ」、「Ｃ」の経路情報を削除する。これより、グループＢの端末装置２０は、ゲートウェイ装置１０Ｄと接続し、ＶＰＮを構築することになる。また、ゲートウェイ装置１０Ｄは、終端アドレス「Ｂ」の経路情報のコストを「２００」から「１」に変更する。つまり、経路制御における優先度を最高にする。よって、ゲートウェイ装置１０Ｂが復旧したとしても、このゲートウェイ装置１０Ｂへの経路の振り戻しが起こらない。また、終端アドレス「Ａ」、「Ｃ」をシャットダウンすることで、このゲートウェイ装置１０Ｄが、ゲートウェイ装置１０Ａ，１０ＣのＳＢＹゲートウェイ装置にならなくて済む。   When a failure occurs in the gateway device 10B, the route addressed to the termination address “B” in the network 30 is switched to the route addressed to the gateway device 10D. That is, the gateway device 10D becomes the ACT gateway device having the end address “B”. The terminal device 20 receives a packet addressed to the termination address “B” from the terminal device 20 in order to establish an IPsec tunnel with the gateway device 10D. On this occasion, the gateway device 10D changes the cost of the route information of the termination address “B” from “200” to “1 (minimum)”, and shuts down the termination addresses “A” and “C”. Further, the route information of the termination addresses “A” and “C” is deleted. As a result, the terminal device 20 of group B is connected to the gateway device 10D to construct a VPN. Further, the gateway device 10D changes the cost of the route information of the end address “B” from “200” to “1”. In other words, the priority in route control is maximized. Therefore, even if the gateway device 10B is restored, the route back to the gateway device 10B does not occur. Further, by shutting down the termination addresses “A” and “C”, the gateway device 10D does not have to become the SBY gateway device of the gateway devices 10A and 10C.

次に、図３を用いて、このようなゲートウェイ装置１０の構成を詳細に説明する。図３は、図１および図２のゲートウェイ装置の構成を示したブロック図である。   Next, the configuration of such a gateway device 10 will be described in detail with reference to FIG. FIG. 3 is a block diagram showing a configuration of the gateway device of FIGS. 1 and 2.

ゲートウェイ装置１０は、前記したＯＳＰＦにより、ネットワーク３０内へ経路情報の広告等を行う通信装置である。また、このゲートウェイ装置１０は、端末装置２０同士を接続しＶＰＮを構成するときのゲートウェイとして機能する。このゲートウェイ装置１０の機能は、入出力インタフェース部１１と、処理部１２と、記憶部１３と、ネットワークインタフェース部１４とに分けられる。   The gateway device 10 is a communication device that advertises route information into the network 30 by the above-described OSPF. The gateway device 10 functions as a gateway when the terminal devices 20 are connected to each other to form a VPN. The function of the gateway device 10 is divided into an input / output interface unit 11, a processing unit 12, a storage unit 13, and a network interface unit 14.

入出力インタフェース部１１は、このゲートウェイ装置１０への設定情報の入力等を受け付ける。ここでの設定情報とは、このゲートウェイ装置１０の終端アドレスや、広告する経路情報に付加するコスト等を含むものである。例えば、このゲートウェイ装置１０を終端アドレス「Ａ」に関する主系ゲートウェイ装置としたい場合、そのコストを、同じ終端アドレス「Ａ」を持つ他のゲートウェイ装置１０よりも低く設定しておく。一方、このゲートウェイ装置１０を終端アドレス「Ａ」に関する待機系ゲートウェイ装置としたい場合、同じ終端アドレス「Ａ」を持つ他のゲートウェイ装置１０よりも高いコストを設定しておけばよい。   The input / output interface unit 11 accepts input of setting information to the gateway device 10. The setting information here includes the termination address of the gateway device 10 and the cost added to the advertised route information. For example, when this gateway device 10 is desired to be a main gateway device related to the termination address “A”, its cost is set lower than other gateway devices 10 having the same termination address “A”. On the other hand, if this gateway device 10 is to be a standby gateway device related to the termination address “A”, a higher cost than the other gateway devices 10 having the same termination address “A” may be set.

処理部１２は、端末装置２０との間でＩＰｓｅｃトンネルを確立し、データの転送を行ったり、ネットワーク３０内に経路情報の広告をしたりする。このような処理部１２は、経路情報広告部１２１と、接続処理部１２２と、経路制御部１２３とを備える。   The processing unit 12 establishes an IPsec tunnel with the terminal device 20, performs data transfer, and advertises route information in the network 30. Such a processing unit 12 includes a route information advertising unit 121, a connection processing unit 122, and a route control unit 123.

経路情報広告部１２１は、ネットワークインタフェース部１４経由でネットワーク３０内へ経路情報の広告を行う。ここで広告する経路は、自身のゲートウェイ装置１０に設定された終端アドレスおよびその終端アドレス宛の経路のコストとを含む。なお、このコストはネットワーク３０において、その終端アドレス宛の経路を選択するときの優先度として参照される。   The route information advertising unit 121 advertises route information into the network 30 via the network interface unit 14. The route advertised here includes the termination address set in its gateway device 10 and the cost of the route addressed to the termination address. This cost is referred to as a priority when selecting a route addressed to the end address in the network 30.

この経路情報広告部１２１は、優先度変更部１２１１を備える。この優先度変更部１２１１は、後記する接続処理部１２２により、端末装置２０から、自身の保持する終端アドレス宛のトンネル確立要求を受け付けたとき、記憶部１３に記憶される自身のゲートウェイ装置１０の終端アドレス宛の経路の優先度を最高値に変更する。ここでは、自身のゲートウェイ装置１０の保持するいずれかの終端アドレスについてＳＢＹゲートウェイ装置からＡＣＴゲートウェイ装置になるとき、そのＡＣＴゲートウェイ装置の終端アドレスについてコスト（ＯＳＰＦコスト）を最小値に変更する。そして、経路情報広告部１２１は、このコスト変更後の経路情報をネットワーク３０内に広告する。これにより、経路の振り戻しを抑制できる。また、経路情報広告部１２１は、終端アドレス宛の経路の優先度を最高値に変更した終端アドレス以外の終端アドレスに関する経路情報を削除するよう指示する情報を、ネットワーク３０へ広告する。これにより、自身のゲートウェイ装置１０がＡＣＴゲートウェイ装置になったとき、他のゲートウェイ装置のＳＢＹゲートウェイ装置にならないで済む。   The route information advertising unit 121 includes a priority changing unit 1211. When the priority changing unit 1211 receives a tunnel establishment request addressed to its terminal address from the terminal device 20 by the connection processing unit 122 described later, the priority changing unit 1211 stores its own gateway device 10 stored in the storage unit 13. Change the priority of the route to the end address to the highest value. Here, when the SBY gateway device changes from the SBY gateway device to the ACT gateway device for any of the terminal addresses held by its own gateway device 10, the cost (OSPF cost) is changed to the minimum value for the terminal address of the ACT gateway device. Then, the route information advertising unit 121 advertises the route information after the cost change in the network 30. Thereby, the return of the route can be suppressed. Further, the route information advertising unit 121 advertises to the network 30 information instructing to delete the route information related to the termination address other than the termination address whose priority is changed to the highest value. As a result, when the gateway device 10 of its own becomes an ACT gateway device, it does not have to be an SBY gateway device of another gateway device.

接続処理部１２２は、図１の端末装置２０からのトンネル確立要求に基づき、この端末装置２０との間の接続処理を実行する。例えば、接続処理部１２２は、グループＡの端末装置２０から、ＩＫＥ（Internet Key Exchange）によりＩＰｓｅｃトンネル確立要求を受け付けると、この端末装置２０との間でＩＰｓｅｃトンネルを確立する。また、この接続処理部１２２は、受け付けたトンネル確立要求の宛先となる終端アドレスが、自身のゲートウェイ装置１０の保持するいずれかの終端アドレスと同じ場合において、そのゲートウェイ装置の保持する終端アドレスに、このトンネル確立要求の宛先となる終端アドレス以外の終端アドレスがあるとき終端アドレス以外の終端アドレスをシャットダウンする。   The connection processing unit 122 executes connection processing with the terminal device 20 based on the tunnel establishment request from the terminal device 20 of FIG. For example, when the connection processing unit 122 receives an IPsec tunnel establishment request from the group A terminal device 20 by IKE (Internet Key Exchange), the connection processing unit 122 establishes an IPsec tunnel with the terminal device 20. In addition, when the termination address that is the destination of the accepted tunnel establishment request is the same as any termination address held by its gateway device 10, the connection processing unit 122 sets the termination address held by the gateway device to When there is a termination address other than the termination address that is the destination of this tunnel establishment request, the termination address other than the termination address is shut down.

経路制御部１２３は、記憶部１３の経路情報１３１（後記）を参照して、端末装置２０から受信したパケット等の転送処理等を行う。   The route control unit 123 refers to the route information 131 (described later) in the storage unit 13 and performs transfer processing of the packet received from the terminal device 20 and the like.

記憶部１３は、経路情報１３１を記憶する。この経路情報１３１は、自身のゲートウェイ装置１０の保持する終端アドレス、その終端アドレス宛の経路のコスト（優先度）を示した情報である。この経路情報１３１の情報は、入出力インタフェース部１１経由で入力される設定情報により設定される。なお、自身のゲートウェイ装置１０が端末装置２０とＩＰｓｅｃトンネルを確立したときには、この記憶部１３には、そのＩＰｓｅｃトンネルに関するセキュリティポリシやセキュリティアソシエーションの結果等が記憶される。この情報は、端末装置２０間で確立されたＩＰｓｅｃトンネルを用いて暗号化パケットの転送を行う際に参照される。   The storage unit 13 stores route information 131. The route information 131 is information indicating the termination address held by the gateway device 10 of itself and the cost (priority) of the route addressed to the termination address. The information of the route information 131 is set by setting information input via the input / output interface unit 11. When the gateway device 10 of itself establishes an IPsec tunnel with the terminal device 20, the storage unit 13 stores a security policy related to the IPsec tunnel, a result of security association, and the like. This information is referred to when the encrypted packet is transferred using the IPsec tunnel established between the terminal devices 20.

ネットワークインタフェース部１４は、端末装置２０からトンネル確立要求を受け付けたり、経路情報広告部１２１から出力される経路情報をネットワーク３０へ広告したりする。また、端末装置２０との間でパケットの送受信を行う。   The network interface unit 14 accepts a tunnel establishment request from the terminal device 20 and advertises route information output from the route information advertisement unit 121 to the network 30. In addition, packets are transmitted to and received from the terminal device 20.

処理部１２は、このゲートウェイ装置１０が備えるＣＰＵ（Central Processing Unit）によるプログラム実行処理や、専用回路等により実現される。さらに、記憶部１３は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、フラッシュメモリ等の記憶媒体から構成される。なお、ゲートウェイ装置１０をプログラム実行処理により実現する場合、記憶部１３には、このゲートウェイ装置１０の機能を実現するためのプログラムが格納される。   The processing unit 12 is realized by a program execution process by a CPU (Central Processing Unit) included in the gateway device 10, a dedicated circuit, or the like. Further, the storage unit 13 includes a storage medium such as a random access memory (RAM), a read only memory (ROM), a hard disk drive (HDD), and a flash memory. When the gateway device 10 is realized by a program execution process, the storage unit 13 stores a program for realizing the function of the gateway device 10.

次に、図１〜図３を参照しつつ、図４を用いて、待機系ゲートウェイ装置であるゲートウェイ装置１０の処理手順を説明する。図４は、図３のゲートウェイ装置の処理手順を示したフローチャートである。   Next, a processing procedure of the gateway device 10 that is a standby gateway device will be described with reference to FIGS. 1 to 3 and FIG. 4. FIG. 4 is a flowchart showing a processing procedure of the gateway device of FIG.

ここでは、図１のネットワーク３０内の各ゲートウェイ装置１０は、経路情報広告部１２１により、自身の保持する終端アドレスと、その終端アドレス宛の経路のコストとを含む経路情報を広告済みであるものとする。そして、このような経路情報の広告により、ネットワーク３０内において、最もコストが小さい経路が選択され、端末装置２０はその経路によりゲートウェイ装置１０との間でＩＰｓｅｃトンネルを確立しているものとする。つまり、端末装置２０は、主系ゲートウェイ装置との接続を確立し、ＶＰＮを構成しているものとする。ここでは、この主系ゲートウェイ装置に障害が発生し、経路制御により、この待機系ゲートウェイ装置系への経路が選択され、端末装置２０は、この待機系ゲートウェイ装置へ新たなＩＰｓｅｃトンネル確立要求を送信する場合を例に説明する。   Here, each gateway device 10 in the network 30 of FIG. 1 has already advertised route information including the termination address held by the route information advertisement unit 121 and the cost of the route addressed to the termination address. And It is assumed that the route with the lowest cost is selected in the network 30 by the advertisement of the route information, and the terminal device 20 has established an IPsec tunnel with the gateway device 10 through the route. That is, it is assumed that the terminal device 20 establishes a connection with the main gateway device and configures a VPN. Here, a failure occurs in the main gateway device, and a route to the standby gateway device is selected by route control, and the terminal device 20 transmits a new IPsec tunnel establishment request to the standby gateway device. An example of this will be described.

待機系ゲートウェイ装置であるゲートウェイ装置１０の接続処理部１２２は、端末装置２０から新たなＩＰｓｅｃトンネル確立要求を受信すると（Ｓ１）、このＩＰｓｅｃトンネル確立要求に含まれるアドレスを終端アドレスとするＩＰｓｅｃトンネルを端末装置２０との間に確立する（Ｓ２）。つまり、待機系ゲートウェイ装置が、端末装置２０から、自身の保持する終端アドレスと同じ終端アドレスを含むＩＰｓｅｃトンネル確立要求を受信すると、この終端アドレスの主系ゲートウェイ装置に障害が発生したことを知ることができる。   When the connection processing unit 122 of the gateway device 10 which is a standby gateway device receives a new IPsec tunnel establishment request from the terminal device 20 (S1), the connection processing unit 122 creates an IPsec tunnel whose end address is the address included in the IPsec tunnel establishment request. Established with the terminal device 20 (S2). That is, when the standby gateway device receives an IPsec tunnel establishment request including the same termination address as the termination address held by the standby gateway device 20, it knows that a failure has occurred in the primary gateway device of this termination address. Can do.

そして、このゲートウェイ装置１０の接続処理部１２２は、このＩＰｓｅｃトンネル確立要求を受け入れて、この端末装置２０とのＩＰｓｅｃトンネルを確立する（Ｓ３）。これにより、待機系ゲートウェイ装置は、ＡＣＴゲートウェイ装置となる。   Then, the connection processing unit 122 of the gateway device 10 accepts the IPsec tunnel establishment request and establishes an IPsec tunnel with the terminal device 20 (S3). As a result, the standby gateway device becomes an ACT gateway device.

また、ゲートウェイ装置１０の経路情報広告部１２１は、経路情報１３１のうち、このＩＰｓｅｃトンネル確立要求の宛先である終端アドレスに関する経路情報のコストを、最小値に変更する。つまり、ネットワーク３０において、この終端アドレス宛の経路が選択される優先度を最高値にする。そして、この経路情報広告部１２１は、このコストを変更した経路情報をネットワーク３０内に広告する（Ｓ３）。また、障害が発生した主系ゲートウェイ装置の障害復旧後、この主系ゲートウェイ装置への経路の振り戻しが発生しないようにできる。   Further, the route information advertising unit 121 of the gateway device 10 changes the cost of the route information related to the termination address that is the destination of the IPsec tunnel establishment request in the route information 131 to the minimum value. That is, the priority for selecting the route addressed to the end address in the network 30 is set to the highest value. Then, the route information advertising unit 121 advertises the route information whose cost has been changed in the network 30 (S3). Further, after the failure of the main gateway device in which the failure has occurred, the route back to the main gateway device can be prevented from occurring.

この後、ゲートウェイ装置１０の接続処理部１２２は、記憶部１３に記憶される経路情報１３１に示される終端アドレスのうち、当該ＩＰｓｅｃトンネルを確立した終端アドレス以外のアドレスをシャットダウンする（Ｓ４）。つまり、接続処理部１２２は、ネットワークインタフェース部１４の当該終端アドレスに関するポートをシャットダウンする。   Thereafter, the connection processing unit 122 of the gateway device 10 shuts down addresses other than the termination address that established the IPsec tunnel among the termination addresses indicated in the path information 131 stored in the storage unit 13 (S4). That is, the connection processing unit 122 shuts down the port related to the termination address of the network interface unit 14.

次に、図１〜図３を参照しつつ、図５を用いて、ゲートウェイ装置１０の処理手順の例を説明する。図５は、図３のゲートウェイ装置の処理手順を例示した図である。ここでは、図１のグループＢの端末装置２０とＩＰｓｅｃトンネルを確立し、通信を行っていたゲートウェイ装置１０Ｂに障害が発生し、ゲートウェイ装置１０Ｄへ経路を切り替える場合を例に説明する。   Next, an example of a processing procedure of the gateway device 10 will be described with reference to FIGS. 1 to 3 and FIG. FIG. 5 is a diagram illustrating a processing procedure of the gateway device of FIG. Here, a case will be described as an example in which an IPsec tunnel is established with the terminal device 20 of group B in FIG. 1 and a failure occurs in the gateway device 10B that has been communicating, and the route is switched to the gateway device 10D.

まず、ネットワーク３０はＯＳＰＦによる経路制御により、グループＢの端末装置２０はそれぞれ、終端アドレス「Ｂ」について、ゲートウェイ装置１０Ｂ経由の経路が選択され、このゲートウェイ装置１０ＢとのＩＰｓｅｃトンネルを確立しているものとする。   First, the route of the network 30 is controlled by OSPF, and the terminal device 20 of the group B selects the route via the gateway device 10B for the termination address “B”, and establishes an IPsec tunnel with the gateway device 10B. Shall.

グループＢの端末装置２０はそれぞれ、ゲートウェイ装置１０Ｂに対し暗号化通信用のＥＳＰパケットを送信し、ゲートウェイ装置１０Ｂは、この暗号化パケットの復号および転送処理を実行する（Ｓ１１）。   Each of the group B terminal devices 20 transmits an ESP packet for encrypted communication to the gateway device 10B, and the gateway device 10B executes decryption and transfer processing of the encrypted packet (S11).

そして、このゲートウェイ装置１０Ｂに障害が発生すると（Ｓ１２）、ネットワーク３０において優先経路への自動切り替えが行われる（Ｓ１３）。つまり、ネットワーク３０において、同じ終端アドレスアドレス（終端アドレス「Ａ」）について２番目の優先経路である、ゲートウェイ装置１０Ｄへの経路が選択される。   When a failure occurs in the gateway device 10B (S12), automatic switching to the priority route is performed in the network 30 (S13). That is, in the network 30, the route to the gateway device 10 </ b> D, which is the second priority route for the same end address (end address “A”), is selected.

そして、このゲートウェイ装置１０Ｄは、このグループＢの端末装置２０から、ＥＳＰパケットを受信する。また、同様に、ゲートウェイ装置１０Ｄは、このグループＢの端末装置２０から、ＩＰｓｅｃトンネルの死活状況を監視するライブネス監視用のＩＫＥパケットを受信する（Ｓ１４）。しかし、このゲートウェイ装置１０Ｄの接続処理部１２２は、受信したＥＳＰパケットの復号鍵（ＣＨＩＬＤ＿ＳＡ）を保持していないため、このＥＳＰパケットを破棄する。また、接続処理部１２２は、受信したＩＫＥパケットの復号鍵（ＩＫＥ＿ＳＡ）を保持していないため、このＩＫＥパケットも破棄する（Ｓ１５）。   And this gateway apparatus 10D receives an ESP packet from the terminal apparatus 20 of this group B. Similarly, the gateway device 10D receives an IKE packet for liveness monitoring that monitors the lifespan of the IPsec tunnel from the terminal device 20 of group B (S14). However, since the connection processing unit 122 of the gateway device 10D does not hold the decryption key (CHILD_SA) of the received ESP packet, the connection processing unit 122 discards the ESP packet. Further, since the connection processing unit 122 does not hold the decryption key (IKE_SA) of the received IKE packet, the connection processing unit 122 also discards the IKE packet (S15).

これにより、グループＢの端末装置２０は、今までグループＢのＶＰＮで用いていたゲートウェイ装置１０Ｂに障害が発生したことを知ることができる。   Thereby, the terminal device 20 of the group B can know that a failure has occurred in the gateway device 10B that has been used in the VPN of the group B until now.

しばらくして、グループＢの端末装置２０は、ライブネス監視の満了により、ＩＰｓｅｃトンネル（トンネル）の切断要求となるＤｅｌｅｔｅのＩＫＥパケットをゲートウェイ装置１０Ｄへ送信する（Ｓ１６）。ここでもゲートウェイ装置１０Ｄの接続処理部１２２は、受信したＩＫＥパケットの復号鍵（ＩＫＥ＿ＳＡ）を保持していないため、このＩＫＥパケットも破棄する（Ｓ１７）。   After a while, the terminal device 20 of the group B transmits a Delete IKE packet that is a request for disconnecting the IPsec tunnel (tunnel) to the gateway device 10D due to the expiration of the liveness monitoring (S16). Again, since the connection processing unit 122 of the gateway device 10D does not hold the decryption key (IKE_SA) of the received IKE packet, the IKE packet is also discarded (S17).

このような処理の後、ゲートウェイ装置１０Ｄの接続処理部１２２は、グループＢの端末装置２０からＩＫＥによりトンネル確立要求（ＩＫＥ＿ＳＡ＿ＩＮＩＴ＿ｒｅｑ）を受信し（Ｓ１８）、トンネル確立要求を受諾し、端末装置２０へその応答を返す（Ｓ１９）。つまり、ＩＫＥにより端末装置２０へトンネル確立応答（ＩＫＥ＿ＳＡ＿ＩＮＩＴ＿ｒｅｓ）を返す（Ｓ２０）。そして、グループＢの端末装置２０からＩＫＥにより認証要求（ＩＫＥ＿ＡＵＴＨ＿ｒｅｑ）を受信し（Ｓ２１）、認証要求を受諾し、端末装置２０へその応答を返す（Ｓ２２）。つまり、ＩＫＥにより端末装置２０へ認証応答（ＩＫＥ＿ＳＡ＿ＡＵＴＨ＿ｒｅｓ）を返す（Ｓ２３）。   After such processing, the connection processing unit 122 of the gateway device 10D receives a tunnel establishment request (IKE_SA_INIT_req) from the terminal device 20 of group B by IKE (S18), accepts the tunnel establishment request, and sends it to the terminal device 20. The response is returned (S19). That is, the IKE returns a tunnel establishment response (IKE_SA_INIT_res) to the terminal device 20 (S20). Then, the authentication request (IKE_AUTH_req) is received from the terminal device 20 of group B by IKE (S21), the authentication request is accepted, and the response is returned to the terminal device 20 (S22). That is, an authentication response (IKE_SA_AUTH_res) is returned to the terminal device 20 by IKE (S23).

このようにして、ゲートウェイ装置１０Ｄの接続処理部１２２は、グループＢの端末装置２０との間でＩＫＥ＿ＳＡおよびＣＨＩＬＤ＿ＳＡを確立し、ＩＰｓｅｃトンネルを確   In this way, the connection processing unit 122 of the gateway device 10D establishes the IKE_SA and CHILD_SA with the group B terminal device 20, and establishes the IPsec tunnel.

そして、ゲートウェイ装置１０Ｄの接続処理部１２２は、端末装置２０からＣＨＩＬＤ＿ＳＡで暗号化されたＥＳＰパケットを受信し（Ｓ２４）、このＥＳＰパケットを復号化し、転送処理を行う（Ｓ２５）。ここで、ゲートウェイ装置１０Ｄの接続処理部１２２において、端末装置２０から送信されたＥＳＰパケットが復号できたことを契機に、ＡＣＴゲートウェイ装置であるゲートウェイ装置１０Ｂに障害が発生したと判断する。そして、自身が終端アドレス「Ｂ」のＡＣＴゲートウェイ装置になるため、ゲートウェイ装置１０Ｄの優先度変更部１２１１は、終端アドレス「Ｂ」のコストを、最優先となる「１」に変更したことを伝えるＬＳ Ｕｐｄａｔｅパケットを送信する（Ｓ２６）。これにより、この終端アドレス「Ｂ」について、コスト「１００」が設定されたゲートウェイ装置１０Ｂよりも、コスト「１」が設定されたゲートウェイ装置１０Ｄがネットワーク３０内の全領域で優先経路となる。よって、ゲートウェイ装置１０Ｂが復旧したときも、このゲートウェイ装置１０Ｄの経路が優先経路となるので、ゲートウェイ装置１０Ｂの経路への切り戻しを抑制できる。   Then, the connection processing unit 122 of the gateway device 10D receives the ESP packet encrypted with CHILD_SA from the terminal device 20 (S24), decrypts the ESP packet, and performs transfer processing (S25). Here, the connection processing unit 122 of the gateway device 10D determines that a failure has occurred in the gateway device 10B, which is an ACT gateway device, when the ESP packet transmitted from the terminal device 20 has been decoded. Then, since the terminal device itself becomes the ACT gateway device having the terminal address “B”, the priority changing unit 1211 of the gateway device 10D notifies that the cost of the terminal address “B” has been changed to “1” which is the highest priority. An LS Update packet is transmitted (S26). As a result, for this terminal address “B”, the gateway device 10D for which the cost “1” is set becomes the priority route in the entire area in the network 30 rather than the gateway device 10B for which the cost “100” is set. Therefore, even when the gateway device 10B is restored, the route of the gateway device 10D becomes the priority route, so that switching back to the route of the gateway device 10B can be suppressed.

そして、このゲートウェイ装置１０Ｄの接続処理部１２２は、終端アドレス「Ａ」と「Ｃ」のアドレスをシャットダウンする。そして、ゲートウェイ装置１０Ｄは、当該ゲートウェイ装置１０Ｄから広告していた終端アドレス「Ａ」、「Ｃ」の経路情報を削除したことを伝えるＬＳ Ｕｐｄａｔｅパケットをネットワーク３０内へ送信する（Ｓ２７）。これにより、ゲートウェイ装置１０Ｄは、ゲートウェイ装置１０Ａ，１０Ｃの１番優先のＳＢＹゲートウェイ装置を辞退し、かわりにゲートウェイ装置１０Ｅがゲートウェイ装置１０Ａ，１０Ｃ，１０Ｄの１番優先のＳＢＹゲートウェイ装置になる。   Then, the connection processing unit 122 of the gateway device 10D shuts down the end addresses “A” and “C”. Then, the gateway device 10D transmits an LS Update packet informing that the route information of the termination addresses “A” and “C” advertised from the gateway device 10D has been deleted into the network 30 (S27). As a result, the gateway device 10D declines the first priority SBY gateway device of the gateway devices 10A and 10C, and instead the gateway device 10E becomes the first priority SBY gateway device of the gateway devices 10A, 10C, and 10D.

このようにすることで、ゲートウェイ装置１０は互いの状態を監視しなくても、端末装置２０からのＩＰｓｅｃトンネル確立要求の受信を契機に、ＡＣＴゲートウェイ装置の故障を検知し、自身がＳＢＹゲートウェイ装置からＡＣＴゲートウェイ装置に切り替わることができる。   By doing in this way, even if the gateway device 10 does not monitor each other's state, the failure of the ACT gateway device is detected when the IPsec tunnel establishment request is received from the terminal device 20, and the SBY gateway device itself detects To an ACT gateway device.

なお、前記した実施の形態において、各ゲートウェイ装置１０は、複数の終端アドレスを用いて、複数のＶＰＮを提供するゲートウェイ装置であってもよい。この場合の実施の形態を、適宜図３を参照しつつ、図６および図７を用いて説明する。前記した実施の形態と同様の構成要素は、同じ符号を付して説明を省略する。図６および図７は、本実施の形態のゲートウェイ装置を含むシステムの構成例を示した図である。   In the above-described embodiment, each gateway device 10 may be a gateway device that provides a plurality of VPNs using a plurality of termination addresses. The embodiment in this case will be described with reference to FIGS. 6 and 7 while appropriately referring to FIG. Constituent elements similar to those of the above-described embodiment are denoted by the same reference numerals and description thereof is omitted. 6 and 7 are diagrams showing a configuration example of a system including the gateway device according to the present embodiment.

ここでは、図６に示すように、主系ゲートウェイ装置であるゲートウェイ装置１０Ｂは、終端アドレスＢ１，Ｂ２，Ｂ３を保持し、それぞれコスト「１００」の経路情報を広告している。これにより、ゲートウェイ装置１０Ｂは、グループＢ１，Ｂ２，Ｂ３というＶＰＮを提供しているものとする。また、ゲートウェイ装置１０Ｄは、待機系ゲートウェイ装置として、終端アドレスＢ１，Ｂ２，Ｂ３について、それぞれコスト「２００」の経路情報を広告している。さらに、ゲートウェイ装置１０Ｅは、待機系ゲートウェイ装置として、終端アドレスＢ１，Ｂ２，Ｂ３についてそれぞれコスト「３００」の経路情報を広告している。なお、グループＢ１，Ｂ２，Ｂ３を同じグループＢとして扱うため、ゲートウェイ装置１０Ｂ，１０Ｃ，１０Ｄにおいて、この終端アドレスＢ１，Ｂ２，Ｂ３は、同じアドレスグループに属する終端アドレスとして設定されているものとする。その他の条件は、前記した図１および図２と同じなので説明を省略する。そして、ゲートウェイ装置１０は、新たなＩＰｓｅｃトンネルの確立受け付けたとき、このトンネル確立要求の宛先となる終端アドレスが、自身のゲートウェイ装置１０の保持するいずれかの終端アドレスと同じとき、その終端アドレスの属するアドレスグループ内の各終端アドレスへ接続する経路の優先度を、このアドレスグループ以外の終端アドレスに関するいずれの経路情報よりも高くなるよう変更した経路情報をネットワーク３０へ広告する。   Here, as shown in FIG. 6, gateway device 10B, which is the main gateway device, holds termination addresses B1, B2, and B3 and advertises route information of cost “100” respectively. Thereby, it is assumed that the gateway device 10B provides VPNs of groups B1, B2, and B3. Further, the gateway device 10D advertises route information of the cost “200” for each of the end addresses B1, B2, and B3 as a standby gateway device. Further, the gateway device 10E advertises route information of the cost “300” for the end addresses B1, B2, and B3 as standby gateway devices. Since the groups B1, B2, and B3 are handled as the same group B, the end addresses B1, B2, and B3 are set as end addresses belonging to the same address group in the gateway devices 10B, 10C, and 10D. . Since other conditions are the same as those in FIGS. When the gateway device 10 accepts the establishment of a new IPsec tunnel, when the termination address that is the destination of this tunnel establishment request is the same as any of the termination addresses held by its own gateway device 10, the gateway device 10 The network 30 is advertised with route information in which the priority of the route connected to each end address in the address group to which it belongs is changed to be higher than any route information related to the end address other than this address group.

例えば、ゲートウェイ装置１０Ｂに障害が発生したとき（図７参照）、ネットワーク３０の経路制御により、終端アドレスＢ１，Ｂ２，Ｂ３宛の経路は、ゲートウェイ装置１０Ｄ経由の経路に切り替わる。そして、ゲートウェイ装置１０Ｄは、終端アドレスＢ１，Ｂ２，Ｂ３のいずれかを宛先とするＩＰｓｅｃトンネルの確立要求を受信することになる。ここで、ゲートウェイ装置１０Ｄが、例えば、グループＢ２の端末装置２０から、終端アドレスＢ２を宛先とするＩＰｓｅｃトンネルの確立要求を受信したとする。この場合、ゲートウェイ装置１０Ｄの経路情報広告部１２１（図３参照）は、この終端アドレスＢ２について、コストを「２００」から「１」に変更した経路情報を広告し、また、この終端アドレスＢ２と同じアドレスグループの終端アドレスＢ１，Ｂ３についても、コストを「２００」から「１」に変更した経路情報を広告する。つまり、ゲートウェイ装置１０の経路情報広告部１２１は、ある終端アドレスを宛先とするＩＰｓｅｃトンネルの確立要求を受信したとき、その終端アドレスの属するアドレスグループ内のすべての終端アドレスについても、コストを最小（つまり優先度を最高値）にした経路情報を広告する。そして、ゲートウェイ装置１０の接続処理部１２２は、そのアドレスグループ以外の終端アドレスについてシャットダウンし、経路情報を削除するようにする。例えば、ゲートウェイ装置１０Ｄは、終端アドレスＡ，Ｃについてアドレスをシャットダウンし、その終端アドレスＡ，Ｃの経路情報を削除するようにする。このようにすることで、複数のＶＰＮを提供しているゲートウェイ装置１０について、このゲートウェイ装置１０に障害が発生し、その後復旧した場合でも、このゲートウェイ装置１０への経路の振り戻しを防止できる。なお、この各終端アドレスの属するアドレスグループの情報は、図３の経路情報１３１に設定されているものとする。   For example, when a failure occurs in the gateway device 10B (see FIG. 7), the route addressed to the end addresses B1, B2, and B3 is switched to the route via the gateway device 10D by the route control of the network 30. Then, the gateway device 10D receives an IPsec tunnel establishment request destined for one of the termination addresses B1, B2, and B3. Here, it is assumed that the gateway device 10D receives, for example, a request for establishing an IPsec tunnel destined for the termination address B2 from the terminal device 20 of the group B2. In this case, the route information advertising unit 121 (see FIG. 3) of the gateway device 10D advertises the route information whose cost has been changed from “200” to “1” for the end address B2, and the end address B2 For the end addresses B1 and B3 of the same address group, the route information whose cost is changed from “200” to “1” is advertised. That is, when the route information advertising unit 121 of the gateway device 10 receives an IPsec tunnel establishment request destined for a certain termination address, the cost is minimized for all termination addresses in the address group to which the termination address belongs ( In other words, the route information with the highest priority) is advertised. Then, the connection processing unit 122 of the gateway device 10 shuts down the terminal addresses other than the address group and deletes the route information. For example, the gateway device 10D shuts down the addresses for the end addresses A and C, and deletes the route information of the end addresses A and C. By doing in this way, about the gateway apparatus 10 which provides several VPN, even if a failure generate | occur | produces in this gateway apparatus 10 and it recovers after that, the return of the path | route to this gateway apparatus 10 can be prevented. Note that the information on the address group to which each terminal address belongs is set in the path information 131 of FIG.

また、前記した実施の形態において、ゲートウェイ装置１０は、端末装置２０との間で用いるトンネリングプロトコルはＩＰｓｅｃとしたが、Ｌ２ＴＰ（Layer 2 Tunneling Protocol）であってもよい。また、ネットワーク３０において用いられるダイナミックルーティングプロトコルは、ＯＳＰＦとしたが、ＢＧＰであってもよい。この場合、経路情報の優先度の変更は、例えば、ＢＧＰメッセージのＭＥＤ（Multi-Exit-Discriminator）属性の値を変更することにより行われる。なお、ＭＥＤの値はその値が小さい程、優先的に選択されるので、優先度を最高にするときには、その値を最も小さい値にすればよい。また、ゲートウェイ装置１０は、終端アドレス宛の優先度を変更するとき、および終端アドレスへの経路を削除するときには、Updateメッセージを送信する。   In the above-described embodiment, the tunneling protocol used between the gateway device 10 and the terminal device 20 is IPsec, but may be L2TP (Layer 2 Tunneling Protocol). Further, although the dynamic routing protocol used in the network 30 is OSPF, it may be BGP. In this case, the priority of the route information is changed, for example, by changing the value of the MED (Multi-Exit-Discriminator) attribute of the BGP message. The MED value is preferentially selected as the value is smaller. Therefore, when the priority is maximized, the value may be set to the smallest value. Further, the gateway device 10 transmits an Update message when changing the priority addressed to the termination address and when deleting the route to the termination address.

なお、ゲートウェイ装置１０が、Radius認証を用いている場合もある。このような場合、ゲートウェイ装置１０がＳＢＹゲートウェイ装置からＡＣＴゲートウェイ装置になり、端末装置２０から新たなＩＰｓｅｃ確立要求を受信したとき、このゲートウェイ装置１０経由で接続されるRadiusサーバ（課金Radiusサーバ、図示省略）へAccounting‐Onを送出する。このようにすることで、このゲートウェイ装置１０との間でＩＰｓｅｃトンネルを確立していた端末装置２０が、Radiusサーバに、二重ログインしたと認識されることを避けることができる。   The gateway device 10 may use Radius authentication. In such a case, when the gateway device 10 changes from the SBY gateway device to the ACT gateway device and receives a new IPsec establishment request from the terminal device 20, a Radius server (billing Radius server, illustrated) connected via the gateway device 10 is shown. Send Accounting-On to (omitted). By doing in this way, it can avoid that the terminal device 20 which has established the IPsec tunnel with this gateway apparatus 10 is recognized as having double-logged in to the Radius server.

本実施の形態に係るゲートウェイ装置１０は、前記したような処理を実行させるプログラムによって実現することができ、そのプログラムをコンピュータによる読み取り可能な記憶媒体（ＣＤ−ＲＯＭ等）に記憶して提供することが可能である。また、そのプログラムを、インターネット等のネットワークを通して提供することも可能である。   The gateway device 10 according to the present embodiment can be realized by a program that executes the processing as described above, and the program is stored in a computer-readable storage medium (CD-ROM or the like) and provided. Is possible. It is also possible to provide the program through a network such as the Internet.

本実施の形態のゲートウェイ装置を含むシステムの構成例を示した図である。It is the figure which showed the structural example of the system containing the gateway apparatus of this Embodiment. 本実施の形態のゲートウェイ装置を含むシステムの構成例を示した図である。It is the figure which showed the structural example of the system containing the gateway apparatus of this Embodiment. 図１および図２のゲートウェイ装置の構成を示したブロック図である。It is the block diagram which showed the structure of the gateway apparatus of FIG. 1 and FIG. 図３のゲートウェイ装置の処理手順を示したフローチャートである。It is the flowchart which showed the process sequence of the gateway apparatus of FIG. 図３のゲートウェイ装置の処理手順を例示した図である。It is the figure which illustrated the processing procedure of the gateway apparatus of FIG. 本実施の形態のゲートウェイ装置を含むシステムの構成例を示した図である。It is the figure which showed the structural example of the system containing the gateway apparatus of this Embodiment. 本実施の形態のゲートウェイ装置を含むシステムの構成例を示した図である。It is the figure which showed the structural example of the system containing the gateway apparatus of this Embodiment.

符号の説明Explanation of symbols

１０（１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ，１０Ｅ） ゲートウェイ装置（ＧＷ装置）
１１ 入出力インタフェース部
１２ 処理部
１３ 記憶部
１４ ネットワークインタフェース部
２０ 端末装置
３０ ネットワーク
１２１ 経路情報広告部
１２２ 接続処理部
１２３ 経路制御部
１３１ 経路情報
１２１１ 優先度変更部
10 (10A, 10B, 10C, 10D, 10E) Gateway device (GW device)
DESCRIPTION OF SYMBOLS 11 Input / output interface unit 12 Processing unit 13 Storage unit 14 Network interface unit 20 Terminal device 30 Network 121 Route information advertisement unit 122 Connection processing unit 123 Route control unit 131 Route information 1211 Priority change unit

Claims (9)

ＯＳＰＦ（Open Shortest Path First）またはＢＧＰ（Border Gateway Protocol）を用いたダイナミックルーティングにより経路制御され、同じ終端アドレスを保持するゲートウェイ装置を複数備えるネットワークにおける前記ゲートウェイ装置であって、
自身のゲートウェイ装置の保持する１以上の終端アドレスごとに、前記自身のゲートウェイ装置経由で当該終端アドレスへ接続するときの経路およびその優先度を記憶する記憶部と、
前記自身のゲートウェイ装置の保持する終端アドレスと、この自身のゲートウェイ装置経由で前記終端アドレスへ接続する経路の優先度とを含む経路情報を、前記ネットワーク内へ広告する経路情報広告部と、
ネットワーク経由で端末装置からトンネル確立要求を受け付ける接続処理部とを備え、
前記受け付けたトンネル確立要求の宛先となる終端アドレスが、前記自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じとき、
前記経路情報広告部は、その終端アドレスへ接続する経路の優先度を、この終端アドレスに関する他のいずれの経路情報よりも高くなるよう変更した経路情報を前記ネットワークへ広告することを特徴とするゲートウェイ装置。 The gateway device in a network including a plurality of gateway devices that are route-controlled by dynamic routing using OSPF (Open Shortest Path First) or BGP (Border Gateway Protocol) and hold the same termination address,
For each one or more terminal addresses held by its own gateway device, a storage unit that stores a path and its priority when connecting to the terminal address via the gateway device;
And the end address held in the own gateway device, a route information advertisement section the route information including the priority of the route that connects to the end address through the gateway device the own advertising into the network,
A connection processing unit that receives a tunnel establishment request from a terminal device via a network,
When the termination address that is the destination of the accepted tunnel establishment request is the same as any termination address held by the gateway device of its own,
The route information advertising unit advertises to the network route information in which the priority of a route connected to the end address is changed to be higher than any other route information related to the end address. apparatus. 前記受け付けたトンネル確立要求の宛先となる終端アドレスが、前記自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じ場合において、そのゲートウェイ装置の保持する終端アドレスのうち、前記トンネル確立要求の宛先となる終端アドレス以外の終端アドレスがあるとき、
前記接続処理部は、前記トンネル確立要求の宛先となる終端アドレス以外の終端アドレスをシャットダウンし、
前記経路情報広告部は、そのトンネル確立要求の宛先となる終端アドレス以外の終端アドレスに関する経路情報を削除するよう指示する情報を、前記ネットワークへ広告することを特徴とする請求項１に記載のゲートウェイ装置。 When the termination address that is the destination of the accepted tunnel establishment request is the same as any of the termination addresses held by the gateway device of its own, the destination of the tunnel establishment request among the termination addresses held by the gateway device When there is a termination address other than
The connection processing unit shuts down a termination address other than a termination address that is a destination of the tunnel establishment request,
The gateway according to claim 1, wherein the route information advertising unit advertises information instructing to delete route information related to a termination address other than a termination address that is a destination of the tunnel establishment request to the network. apparatus. 前記記憶部は、前記１以上の終端アドレスの属するアドレスグループの情報をさらに含み、
前記受け付けたトンネル確立要求の宛先となる終端アドレスが、前記自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じとき、
前記経路情報広告部は、その終端アドレスの属するアドレスグループ内の各終端アドレスへ接続する経路の優先度を、このアドレスグループ以外の終端アドレスに関するいずれの経路情報よりも高くなるよう変更した経路情報を前記ネットワークへ広告することを特徴とする請求項１に記載のゲートウェイ装置。 The storage unit further includes information on an address group to which the one or more termination addresses belong,
When the termination address that is the destination of the accepted tunnel establishment request is the same as any termination address held by the gateway device of its own,
The route information advertising unit changes the priority of the route connected to each terminal address in the address group to which the terminal address belongs so that the route information changed so as to be higher than any route information related to the terminal address other than the address group. The gateway device according to claim 1, wherein the gateway device advertises to the network. 前記受け付けたトンネル確立要求の宛先となる終端アドレスが、前記自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じ場合において、そのゲートウェイ装置の保持する終端アドレスのうち、前記トンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスがあるとき、
前記接続処理部は、前記トンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスをシャットダウンし、
前記経路情報広告部は、そのトンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスに関する経路情報を削除するよう指示する情報を、前記ネットワークへ広告することを特徴とする請求項３に記載のゲートウェイ装置。 When the termination address that is the destination of the accepted tunnel establishment request is the same as any of the termination addresses held by the gateway device of its own, the destination of the tunnel establishment request among the termination addresses held by the gateway device When there is a termination address other than the address group to which the termination address belongs,
The connection processing unit shuts down termination addresses other than the address group to which the termination address that is the destination of the tunnel establishment request belongs,
The route information advertisement section, claim that the information for instructing to delete the route information on the destination to become the terminating address end address other than the address group of the scan of the tunnel establishment request, wherein the advertising to the network 3. The gateway device according to 3. ＯＳＰＦ（Open Shortest Path First）またはＢＧＰ（Border Gateway Protocol）を用いたダイナミックルーティングにより経路制御され、同じ終端アドレスを保持するゲートウェイ装置を複数備えるネットワークにおいて、前記自身のゲートウェイ装置の保持する１以上の終端アドレスごとに、前記自身のゲートウェイ装置経由で当該終端アドレスへ接続するときの経路およびその優先度を記憶する記憶部を備える前記ゲートウェイ装置が、
自身のゲートウェイ装置の保持する終端アドレスと、この自身のゲートウェイ装置経由で前記終端アドレスへ接続する経路の優先度とを含む経路情報を、前記ネットワーク内へ広告するステップと、
ネットワーク経由で端末装置からトンネル確立要求を受け付けるステップと、
前記受け付けたトンネル確立要求の宛先となる終端アドレスが、前記自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じとき、
その終端アドレスへ接続する経路の優先度を、この終端アドレスに関する他のいずれの経路情報よりも高くなるよう変更した経路情報を広告するステップとを実行することを特徴とする経路制御方法。 In a network including a plurality of gateway devices that are controlled by dynamic routing using OSPF (Open Shortest Path First) or BGP (Border Gateway Protocol) and have the same termination address, one or more terminations held by the gateway device itself For each address, the gateway device including a storage unit that stores a route when connecting to the terminal address via the gateway device of its own and the priority thereof,
And the end address held in its gateway device; the route information including the priority of the route that connects to the end address through the gateway device the own advertising into the network,
Receiving a tunnel establishment request from a terminal device via a network;
When the termination address that is the destination of the accepted tunnel establishment request is the same as any termination address held by the gateway device of its own,
And a step of advertising route information in which the priority of a route connected to the end address is changed to be higher than any other route information related to the end address. 前記ゲートウェイ装置は、
前記受け付けたトンネル確立要求の宛先となる終端アドレスが、前記自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じ場合において、そのゲートウェイ装置の保持する終端アドレスのうち、前記トンネル確立要求の宛先となる終端アドレス以外の終端アドレスがあるとき、
前記トンネル確立要求の宛先となる終端アドレス以外の終端アドレスをシャットダウンするステップと、
そのトンネル確立要求の宛先となる終端アドレス以外の終端アドレスに関する経路情報を削除するよう指示する情報を、前記ネットワークへ広告するステップとを実行することを特徴とする請求項５に記載の経路制御方法。 The gateway device is
When the termination address that is the destination of the accepted tunnel establishment request is the same as any of the termination addresses held by the gateway device of its own, the destination of the tunnel establishment request among the termination addresses held by the gateway device When there is a termination address other than
Shutting down a termination address other than the termination address that is the destination of the tunnel establishment request;
6. The route control method according to claim 5, further comprising the step of advertising to the network information instructing to delete route information related to a termination address other than a termination address that is a destination of the tunnel establishment request. . 前記記憶部は、前記１以上の終端アドレスの属するアドレスグループの情報をさらに含み、
前記ゲートウェイ装置は、
前記受け付けたトンネル確立要求の宛先となる終端アドレスが、前記自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じとき、
その終端アドレスの属するアドレスグループ内の各終端アドレスへ接続する経路の優先度を、このアドレスグループ以外の終端アドレスに関するいずれの経路情報よりも高くなるよう変更した経路情報を前記ネットワークへ広告することを特徴とする請求項５に記載の経路制御方法。 The storage unit further includes information on an address group to which the one or more termination addresses belong,
The gateway device is
When the termination address that is the destination of the accepted tunnel establishment request is the same as any termination address held by the gateway device of its own,
Advertising to the network route information in which the priority of the route connected to each end address in the address group to which the end address belongs is changed to be higher than any route information related to the end address other than this address group. The route control method according to claim 5, wherein: 前記ゲートウェイ装置は、
前記受け付けたトンネル確立要求の宛先となる終端アドレスが、前記自身のゲートウェイ装置の保持するいずれかの終端アドレスと同じ場合において、そのゲートウェイ装置の保持する終端アドレスのうち、前記トンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスがあるとき、
前記接続処理部は、前記トンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスをシャットダウンするステップと、
そのトンネル確立要求の宛先となる終端アドレスの属するアドレスグループ以外の終端アドレスに関する経路情報を削除するよう指示する情報を、前記ネットワークへ広告するステップとを実行することを特徴とする請求項７に記載の経路制御方法。 The gateway device is
When the termination address that is the destination of the accepted tunnel establishment request is the same as any of the termination addresses held by the gateway device of its own, the destination of the tunnel establishment request among the termination addresses held by the gateway device When there is a termination address other than the address group to which the termination address belongs,
The connection processing unit shuts down a termination address other than an address group to which a termination address serving as a destination of the tunnel establishment request belongs;
Information instructing to delete the route information on the destination to become the terminating address end address other than the address group of the scan of the tunnel establishment request, to claim 7, characterized in that and a step of advertising to the network The routing control method described. 請求項５ないし請求項８のいずれか１項に記載の経路制御方法を、コンピュータに実行させるためのプログラム。   A program for causing a computer to execute the route control method according to any one of claims 5 to 8.
JP2008223301A 2008-09-01 2008-09-01 Gateway device, route control method and program thereof Expired - Fee Related JP4922267B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2008223301A JP4922267B2 (en) 2008-09-01 2008-09-01 Gateway device, route control method and program thereof

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2008223301A JP4922267B2 (en) 2008-09-01 2008-09-01 Gateway device, route control method and program thereof

Publications (2)

Publication Number Publication Date
JP2010062618A JP2010062618A (en) 2010-03-18
JP4922267B2 true JP4922267B2 (en) 2012-04-25

Family

ID=42188999

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008223301A Expired - Fee Related JP4922267B2 (en) 2008-09-01 2008-09-01 Gateway device, route control method and program thereof

Country Status (1)

Country Link
JP (1) JP4922267B2 (en)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5115771B2 (en) * 2010-07-14 2013-01-09 Ｎｅｃインフロンティア株式会社 Network system, router device, and redundancy method used therefor
KR101523457B1 (en) * 2011-03-18 2015-05-27 알까뗄 루슨트 System and method for session restoration at geo-redundant gateways
JP5372057B2 (en) * 2011-03-31 2013-12-18 三菱電機株式会社 Communication system and communication method
CN102711234B (en) * 2012-05-22 2018-03-27 中兴通讯股份有限公司 The method and VRRP equipment of active and standby VRRP equipment rooms synchronization ARP table
CN106936683B (en) * 2015-12-31 2019-09-17 北京网御星云信息技术有限公司 A kind of method and device for realizing tunnel configuration
WO2017206045A1 (en) * 2016-05-31 2017-12-07 Thomson Licensing Method and device for providing a backup link

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3292238B2 (en) * 1998-03-06 2002-06-17 日本電気株式会社 Network system with redundant connection equipment and connection failure avoidance method
JP4134916B2 (en) * 2003-02-14 2008-08-20 松下電器産業株式会社 Network connection device and network connection switching method

Also Published As

Publication number Publication date
JP2010062618A (en) 2010-03-18

Similar Documents

Publication Publication Date Title
US7769886B2 (en) Application based active-active data center network using route health injection and IGP
US7609619B2 (en) Active-active data center using RHI, BGP, and IGP anycast for disaster recovery and load distribution
US8825867B2 (en) Two level packet distribution with stateless first level packet distribution to a group of servers and stateful second level packet distribution to a server within the group
US9954769B2 (en) Inter-domain fast reroute methods and network devices
US8432791B1 (en) Network route injections
US7647422B2 (en) VPN failure recovery
US8331220B2 (en) Edge node redundant system
US8020203B2 (en) Techniques for high availability of virtual private networks (VPN&#39;s)
TWI429241B (en) System, method and program for re-routing internet packets
US9342575B2 (en) Providing high availability in an active/active appliance cluster
JP2020522925A (en) Separate control plane and data plane synchronization for IPSEC geographical redundancy
TW201134151A (en) RSVP-TE graceful restart under fast re-route conditions
JP7176095B2 (en) COMMUNICATION METHOD, COMMUNICATION DEVICE AND COMMUNICATION SYSTEM
JP6350839B2 (en) Network relay device, gateway redundancy system, program, and redundancy method
JP4922267B2 (en) Gateway device, route control method and program thereof
JP2005130228A (en) Communication device for path control between as and path control method therefor
JP7306642B2 (en) Loop avoidance communication method, loop avoidance communication device and loop avoidance communication system
WO2021217872A1 (en) Method and apparatus for configuring gateway node on the basis of virtual private cloud, and medium
WO2008031334A1 (en) Route updating method, system and router
EP3031188B1 (en) Reconciliation protocol after icr switchover during bulk sync
Thorat et al. Rapid recovery from link failures in software-defined networks
US9537761B2 (en) IP address allocation in split brain ICR scenario
Uttaro et al. Best Practices for Advertisement of Multiple Paths in IBGP
WO2012088909A1 (en) Method and device for updating vpn routing
US8923312B2 (en) OSPF nonstop routing synchronization nack

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20100721

RD02 Notification of acceptance of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7422

Effective date: 20110811

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20110928

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20111108

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20111228

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20120124

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20120203

R150 Certificate of patent or registration of utility model

Ref document number: 4922267

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20150210

Year of fee payment: 3

S531 Written request for registration of change of domicile

Free format text: JAPANESE INTERMEDIATE CODE: R313531

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350

LAPS Cancellation because of no payment of annual fees