WO2014156009A1 - 転送装置 - Google Patents

転送装置 Download PDF

Info

Publication number
WO2014156009A1
WO2014156009A1 PCT/JP2014/001338 JP2014001338W WO2014156009A1 WO 2014156009 A1 WO2014156009 A1 WO 2014156009A1 JP 2014001338 W JP2014001338 W JP 2014001338W WO 2014156009 A1 WO2014156009 A1 WO 2014156009A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
communication device
address
network
virtual private
Prior art date
Application number
PCT/JP2014/001338
Other languages
English (en)
French (fr)
Inventor
崇弘 宮本
Original Assignee
Kddi株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Kddi株式会社 filed Critical Kddi株式会社
Priority to EP14775639.9A priority Critical patent/EP2981030B1/en
Priority to JP2015508016A priority patent/JP5997367B2/ja
Publication of WO2014156009A1 publication Critical patent/WO2014156009A1/ja
Priority to US14/862,891 priority patent/US20160014074A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/25—Mapping addresses of the same type
    • H04L61/2503—Translation of Internet protocol [IP] addresses
    • H04L61/2521—Translation architectures other than single NAT servers
    • H04L61/2535—Multiple local networks, e.g. resolving potential IP address conflicts
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks

Definitions

  • the present invention relates to a name resolution technique in a virtual private network (VPN).
  • VPN virtual private network
  • VPNs are used to interconnect local area networks (LANs) at multiple corporate sites. Communication devices in the LAN use only private IP (Internet Protocol) addresses, except for communication devices disclosed on the Internet. Therefore, there may be a case where two communication devices connected to different LANs use the same IP address. For this reason, Patent Document 1 discloses a configuration in which address translation is performed when IP addresses in different LANs overlap. Patent Document 2 discloses a VPN management device that collectively controls VPN devices that connect a plurality of LANs via VPN.
  • IP Internet Protocol
  • VPNs are starting to be used to interconnect LANs of different companies.
  • communication between any communication devices connected to the LANs of different companies is not permitted, and communication via VPN is a specific communication device. It is necessary to limit as much as possible between.
  • DNS Domain Name System
  • communication devices in a LAN usually use private IP addresses, DNS (Domain Name System) available on the Internet resolves names of communication devices connected only to a corporate LAN. Can not do.
  • two communication devices connected to LANs of different companies may use overlapping IP addresses.
  • Patent Document 1 discloses a configuration for converting duplicate IP addresses, but it cannot be controlled so as to permit communication only with a specific communication device.
  • the methods described in Patent Documents 1 and 2 cannot resolve the name of a communication device connected to a LAN of another company that is a communication destination.
  • the first network and the virtual private network are connected for communication between the communication device of the first network and the communication device of the second network via the virtual private network.
  • a transfer device that transfers packets between the first network and the virtual private network, the first communication device of the first network to the second of the second network
  • Determination means for determining, the virtual private network of the first communication device and the second communication device If the communication is permitted, the first communication device determines a destination address used when communicating with the second communication device, and notifies the first communication device of the destination address. And an address determination means.
  • FIG. 6 is a sequence diagram of name resolution and address assignment according to an embodiment.
  • FIG. 6 is a sequence diagram of name resolution and address assignment according to an embodiment.
  • FIG. 1 is a system configuration diagram used for explaining an embodiment.
  • a VPN apparatus 11 is connected to VPN apparatuses 12 and 13 via a VPN 4.
  • the VPN apparatus means a transfer apparatus that relays between a VPN (Virtual Private Network) and a LAN (Local Area Network).
  • the LANs 31, 32, and 33 are assumed to be corporate networks of different companies.
  • a terminal 51, a server 52, and a server 53, which are communication devices, are connected to a LAN 31, a LAN 32, and a LAN 33, respectively.
  • the controller 2 is installed by a telecommunications carrier that provides the VPN 4, and which communication device of which company is permitted to communicate, and the address used in the VPN 4 for communication between the permitted devices. Holds connection information.
  • the LANs 31, 32, and 33 are also connected to the Internet.
  • the embodiment will be described by taking the configuration of FIG. 1 as an example.
  • connection information held by the controller 2 is shown in FIG. 5A.
  • the entry of number # 1 in FIG. 5A indicates that communication via the VPN 4 is permitted between the terminal 51 of the LAN 31 and the server 52 of the LAN 32. Further, when the LAN 51 terminal 51 and the LAN 32 server 52 communicate with each other via the VPN 4, the entry of the number # 1 uses the address X as the address of the terminal 51 in the VPN 4 and the address A as the address of the server 52. It is used as an address. Note that the combination of the terminal 51 of the LAN 31 and the server 53 of the LAN 33 is not included in the connection information of FIG. 5A. Therefore, the connection information in FIG. 5A indicates that communication via the VPN 4 between the terminal 51 of the LAN 31 and the server 53 of the LAN 33 is not permitted.
  • FIG. 3 shows a sequence when the terminal 51 of the LAN 31 communicates with the server 52 of the LAN 32.
  • the terminal 51 performs an authentication process with the VPN device 11.
  • the authentication process for example, a method according to IEEE 802.1X can be used.
  • the VPN apparatus 11 transmits authentication information that the terminal 51 transmits in the authentication process to the controller 2, the controller 2 authenticates the terminal 51, and transmits the authentication result to the VPN apparatus 11. Yes.
  • the VPN device 11 may perform authentication.
  • the VPN apparatus 11 stores that fact for a predetermined period. With this configuration, when the VPN apparatus 11 already holds information indicating that the authentication of the terminal 51 has been successful, the process between the VPN apparatus 11 and the controller 2 in S11 can be omitted.
  • the VPN apparatus 11 assigns the IP address of the terminal 51. If an IP address has already been assigned to the terminal 51, the process of S12 is omitted.
  • the terminal 51 transmits a communication request to the server 52 to the VPN device 11 in order to communicate with the server 52.
  • the communication request is a message for inquiring about the IP address of the server 52, including the identification information of the server 52.
  • the identification information of the server 52 for example, a fully qualified domain name can be used.
  • the VPN apparatus 11 inquires of the controller 2 whether communication between the terminal 51 and the server 52 via the VPN 4 is permitted. In this example, as shown in FIG. 5A, since the communication between the terminal 51 and the server 52 via the VPN 4 is permitted, the controller 2 stores the connection information corresponding to the entry of number # 1 in FIG. To the VPN device 11.
  • the VPN apparatus 11 When the VPN apparatus 11 receives the connection information from the controller 2, the VPN apparatus 11 generates an address used by the terminal 51 as a destination address in communication between the terminal 51 and the server 52 in S16. Here, it is assumed that 10.0.0.1 is generated. In step S17, the VPN apparatus 11 notifies the terminal 51 of the address generated in step S16. Further, as shown in FIG. 5C, the VPN apparatus 11 manages the address notified as the address of the server 52 in association with the address assigned to the terminal 51.
  • the VPN apparatus 11 When the terminal 51 transmits a packet with the address of the server 52 as the destination address in S18, the VPN apparatus 11 follows the information shown in FIG. 5C in S19, that is, the transmission source address, that is, 192.168.0.1. Destination addresses, that is, 10.0.0.1 are converted to address X and address A, respectively, and transmitted to the VPN apparatus 12 in S20.
  • the VPN apparatus 12 inquires the controller 2 when the communication apparatus on the LAN 32 corresponding to the destination address A cannot be specified.
  • the VPN apparatus 11 since the VPN apparatus 11 stores the information shown in FIG. 5C, when a packet with a destination address of 10.0.0.1 is received from the terminal 51 thereafter, the information shown in FIG. Packets are transferred, and the processing from S11 to S17 is not necessary.
  • the information illustrated in FIG. 5C may be configured such that, for example, an expiration date is provided and discarded after the expiration date. Thereby, even when the setting of the controller 2 is changed, the change can be reflected in the VPN apparatus 11.
  • the VPN apparatus inquires of the controller 2 that manages the VPN 4 whether or not communication between communication apparatuses of different LANs is permitted.
  • the address to be used is determined and notified to the communication device that is the communication request source.
  • an address that does not overlap with the address of the communication device of the LAN to which the VPN device is connected can be determined regardless of the address used by the actual communication partner.
  • the address to be determined can be an address of a subnet different from the LAN to which the VPN device is connected.
  • the address to be determined may not overlap with the address notified to each communication device of the LAN to which the VPN device is already connected as the destination address.
  • the address to be determined is different from that already notified as the destination address to the communication device requesting communication. good.
  • the VPN apparatus receives the packet, the VPN apparatus identifies the destination communication apparatus based on the combination of the transmission source address and the destination address, and converts it to an address used in VPN4.
  • the degree of freedom in determining the destination address in the VPN device increases.
  • communication via VPN 4 can be limited to communication devices permitted.
  • FIG. 4 shows a sequence when the terminal 51 of the LAN 31 communicates with the server 53 of the LAN 33.
  • the server 53 is a server that is open to the Internet. Therefore, it is assumed that the terminal 51 and the server 53 can communicate via the Internet.
  • step S ⁇ b> 33 the terminal 51 sends the identification information of the server 53 to the VPN apparatus 11 to inquire about the IP address of the server 53 in order to communicate with the server 53.
  • step S34 the VPN apparatus 11 inquires of the controller 2 whether communication between the terminal 51 and the server 53 via the VPN 4 is permitted. In this example, since the communication between the terminal 51 and the server 53 via the VPN 4 is not permitted, the controller 2 notifies the VPN apparatus 11 that it is not permitted in S35.
  • the VPN apparatus 11 inquires the IP address of the server 53 to an external DNS server and accesses the server 53 via the Internet in S36. Get the IP address. Thereafter, the VPN apparatus 11 notifies the terminal 51 of the IP address of the server 53 acquired in S36 in S37. In S38, the terminal 51 accesses the server 53 via the Internet using the IP address notified from the VPN apparatus 11.
  • the server 53 is a communication device that is not open to the Internet
  • the VPN device 11 cannot acquire the IP address of the server 53 in S36, and therefore notifies the terminal 51 of that fact in S37. To do.
  • the controller 2 holds information indicating a set of two communication devices that can communicate via the VPN 4.
  • the controller 2 manages a plurality of communication devices that can communicate with each other as a group, as shown in FIG. 5B. Can do.
  • FIG. 5B shows that there are two groups # 1 and # 2, and the terminal 51 belongs to both groups.
  • any two of the communication devices in the group # 1 are all permitted to communicate via the VPN 4, even if they belong to different LANs. Therefore, for example, when receiving an inquiry as to whether or not communication between the terminal 51 and the server 52 is received in S14 of FIG.
  • the controller 2 transmits the group information of the group # 1 shown in FIG. 5B to the VPN apparatus 11 as connection information. You can also. Or the form which transmits only the VPN side address about the terminal 51 of the group information and the server 52, and a group identifier may be sufficient.
  • the VPN apparatus 11 also manages the received group identifier in addition to the information shown in FIG. 5C. For example, by receiving the same group identifier from the controller 2 in name resolution in communication between other communication devices, the VPN device 11 can communicate with this other communication device and the terminal 51 or the server 52 via the VPN 4. The determination can be made without making an inquiry to the controller 2.
  • FIG. 2 is a schematic configuration diagram of a VPN apparatus according to an embodiment.
  • the transmission / reception unit 105 transmits / receives a packet to / from the LAN, and the transmission / reception unit 107 transmits / receives a packet to / from the VPN 4.
  • the conversion unit 106 performs address conversion of packets transmitted and received between the LAN and the VPN 4 based on the address conversion information of FIG. 5C held by the address management unit 104.
  • the address management unit 104 also performs an address assignment process in S12 of FIG. 3, an address determination process in S16, and a destination address notification process in S17. Further, an inquiry is made to the DNS server in S36.
  • the authentication management unit 103 performs an authentication process shown in S11 of FIG. Further, the authentication management unit 103 executes the processes of S14 and S15 to determine whether the communication device that has inquired the IP address is permitted to communicate with the communication device to be inquired via the VPN 4 or not. Or by the information shown in FIG. 5C.
  • the controller cooperation unit 101 performs communication processing with the controller 2.
  • the DNS cooperation unit 102 performs an IP address acquisition process from the external DNS server in S36 of FIG.
  • the present invention is not limited to the above embodiment, and various changes and modifications can be made without departing from the spirit and scope of the present invention.
  • the LANs 31, 32, and 33 are networks of different companies, but the present invention can be applied even if they belong to the same company. This is because even in the same company, there is an advantage that it is not necessary to adjust addresses between bases. Therefore, in order to make the scope of the present invention public, the following claims are attached.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

第１のネットワーク及び仮想プライベート・ネットワークに接続し、第１のネットワークと仮想プライベート・ネットワークとの間でのパケットの転送を行う転送装置は、第１のネットワークの第１の通信装置から第２のネットワークの第２の通信装置との通信要求又は前記第２の通信装置のアドレスの問い合わせを受信すると、第１の通信装置と第２の通信装置の仮想プライベート・ネットワーク経由での通信が許可されているかを判定する判定部と、第１の通信装置と第２の通信装置の仮想プライベート・ネットワーク経由での通信が許可されていると、第１の通信装置が第２の通信装置と通信する際に使用する宛先アドレスを決定し、宛先アドレスを第１の通信装置に通知するアドレス決定部と、を備えている。

Description

転送装置
　本発明は、仮想プライベート・ネットワーク（ＶＰＮ）における名前解決技術に関する。
　企業の複数の拠点のローカル・エリア・ネットワーク（ＬＡＮ）を相互接続するために、ＶＰＮが使用されている。ＬＡＮ内の通信装置は、インターネット上で公開されている通信装置を除き、プライベートＩＰ（インターネット・プロトコル）アドレスのみを使用している。したがって、異なるＬＡＮに接続された２つの通信装置が同じＩＰアドレスを使用している場合が存在し得る。このため、特許文献１は、異なるＬＡＮ内のＩＰアドレスが重複する場合にアドレス変換する構成を開示している。また、特許文献２は、複数のＬＡＮ間をＶＰＮ経由で接続するＶＰＮ装置を一括制御するＶＰＮ管理装置を開示している。
特開２００５－１４２７０２号公報 特開２００３－１０１５６９号公報
　現在、ＶＰＮは、異なる企業のＬＡＮを相互接続するためにも使用され始めている。異なる企業間のＬＡＮをＶＰＮで接続する場合、セキュリティの関係上、異なる企業のＬＡＮに接続された任意の通信装置間での通信を許可することはなく、ＶＰＮ経由での通信を特定の通信装置間でのみ可能な様に制限する必要がある。また、通常、ＬＡＮ内の通信装置はプライベートＩＰアドレスを使用しているため、インターネット上で利用可能なＤＮＳ（ドメイン・ネーム・システム）では、企業内のＬＡＮのみに接続された通信装置の名前解決を行うことはできない。さらに、異なる企業のＬＡＮに接続された２つの通信装置が重複したＩＰアドレスを使用している場合もある。
　特許文献１は、重複したＩＰアドレスを変換する構成を開示しているが、特定の通信装置でのみ通信を許可する様に制御することはできない。また、特許文献１及び２に記載の方法では、通信先である、他の企業のＬＡＮに接続された通信装置の名前解決ができない。
　本発明の一態様によると、第１のネットワークの通信装置と第２のネットワークの通信装置との仮想プライベート・ネットワーク経由での通信のために、前記第１のネットワーク及び前記仮想プライベート・ネットワークに接続し、前記第１のネットワークと前記仮想プライベート・ネットワークとの間でのパケットの転送を行う転送装置であって、前記第１のネットワークの第１の通信装置から前記第２のネットワークの第２の通信装置との通信要求又は前記第２の通信装置のアドレスの問い合わせを受信すると、前記第１の通信装置と前記第２の通信装置の前記仮想プライベート・ネットワーク経由での通信が許可されているかを判定する判定手段と、前記第１の通信装置と前記第２の通信装置の前記仮想プライベート・ネットワーク経由での通信が許可されていると、前記第１の通信装置が前記第２の通信装置と通信する際に使用する宛先アドレスを決定し、前記宛先アドレスを前記第１の通信装置に通知するアドレス決定手段と、を備えていることを特徴とする。
　本発明のその他の特徴及び利点は、添付図面を参照とした以下の説明により明らかになるであろう。なお、添付図面においては、同じ若しくは同様の構成には、同じ参照番号を付す。
　添付図面は明細書に含まれ、その一部を構成し、本発明の実施の形態を示し、その記述と共に本発明の原理を説明するために用いられる。
一実施形態によるシステム構成図。 一実施形態によるＶＰＮ装置の構成図。 一実施形態による名前解決及びアドレス割り当てのシーケンス図。 一実施形態による名前解決及びアドレス割り当てのシーケンス図。 一実施形態によるコントローラが保持する情報を示す図。 一実施形態によるコントローラが保持する情報を示す図。 一実施形態によるＶＰＮ装置が保持する情報を示す図。
　以下、本発明の例示的な実施形態について図面を参照して説明する。なお、以下の各図においては、実施形態の説明に必要ではない構成要素については図から省略する。
　図１は、一実施形態の説明に使用するシステム構成図である。図１において、ＶＰＮ装置１１は、ＶＰＮ装置１２及び１３と、ＶＰＮ４を介して接続している。なお、本実施形態において、ＶＰＮ装置とは、ＶＰＮ（Ｖｉｒｔｕａｌ　Ｐｒｉｖａｔｅ　Ｎｅｔｗｏｒｋ）とＬＡＮ（Ｌｏａｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）との中継を行う転送装置を意味する。また、図１の例において、ＬＡＮ３１、３２及び３３は、それぞれ、異なる企業の企業内ネットワークであるものとする。なお、図１においては、通信装置である、端末５１、サーバ５２、サーバ５３がそれぞれ、ＬＡＮ３１、ＬＡＮ３２、ＬＡＮ３３に接続されている。コントローラ２は、例えば、ＶＰＮ４を提供する通信事業者が設置し、どの企業のどの通信装置間での通信が許可されるかと、許可された装置間での通信について、ＶＰＮ４内において使用するアドレスとを示す接続情報を保持している。なお、図示しないが、ＬＡＮ３１、３２、３３はインターネットにも接続している。以下、図１の構成を例にして、実施形態の説明を行う。
　コントローラ２が保持する接続情報の例を図５Ａに示す。図５Ａの番号＃１のエントリは、ＬＡＮ３１の端末５１とＬＡＮ３２のサーバ５２が、ＶＰＮ４経由での通信が許可されていることを示している。さらに、番号＃１のエントリは、ＬＡＮ３１の端末５１と、ＬＡＮ３２のサーバ５２がＶＰＮ４経由で通信する際に、ＶＰＮ４内においては、アドレスＸを端末５１のアドレスとして使用し、アドレスＡをサーバ５２のアドレスとして使用することを示している。なお、ＬＡＮ３１の端末５１と、ＬＡＮ３３のサーバ５３との組み合わせは、図５Ａの接続情報には含まれていないものとする。よって、図５Ａの接続情報は、ＬＡＮ３１の端末５１と、ＬＡＮ３３のサーバ５３とのＶＰＮ４経由での通信は許可されていないことを示している。
　図３は、ＬＡＮ３１の端末５１が、ＬＡＮ３２のサーバ５２と通信する際のシーケンスを示している。Ｓ１１において、端末５１は、ＶＰＮ装置１１との間で認証処理を行う。なお、認証処理には、例えば、ＩＥＥＥ８０２．１Ｘに従う方法を使用することができる。本実施形態においては、端末５１が認証処理において送信する認証情報を、ＶＰＮ装置１１はコントローラ２に送信し、コントローラ２が端末５１の認証を行って、認証結果をＶＰＮ装置１１に送信するものとしている。しかしながら、ＶＰＮ装置１１で認証を行っても良い。また、ＶＰＮ装置１１は、端末５１の認証が成功すると、その旨を所定期間保存しておく。この構成により、既に端末５１の認証が成功したとの情報をＶＰＮ装置１１が保持している場合、Ｓ１１におけるＶＰＮ装置１１とコントローラ２との間の処理については省略することができる。
　Ｓ１２で、ＶＰＮ装置１１は、端末５１のＩＰアドレスを割り当てる。なお、既に端末５１にＩＰアドレスを割り当てている場合にはＳ１２の処理は省略される。Ｓ１３で、端末５１は、サーバ５２と通信するために、サーバ５２への通信要求をＶＰＮ装置１１に送信する。通信要求は、サーバ５２の識別情報を含み、サーバ５２のＩＰアドレスを問い合わせるためのメッセージである。なお、サーバ５２の識別情報には、例えば、完全修飾ドメイン名を使用できる。ＶＰＮ装置１１は、Ｓ１４で、端末５１とサーバ５２とのＶＰＮ４経由での通信が許可されているかをコントローラ２に問い合わせる。本例では、図５Ａに示す様に、端末５１とサーバ５２とのＶＰＮ４経由での通信が許可されているため、コントローラ２は、図５Ａの番号＃１のエントリに対応する接続情報を、Ｓ１５でＶＰＮ装置１１に送信する。
　ＶＰＮ装置１１は、コントローラ２から接続情報を受信すると、Ｓ１６で、端末５１とサーバ５２との通信において、端末５１が宛先アドレスとして使用するアドレスを生成する。ここでは、１０．０．０．１を生成したものとする。ＶＰＮ装置１１は、Ｓ１７において、Ｓ１６で生成したアドレスを端末５１に通知する。また、ＶＰＮ装置１１は、図５Ｃに示す様に、サーバ５２のアドレスとして通知したアドレスを、端末５１に割り当てたアドレスに対応づけて管理しておく。
　Ｓ１８で、端末５１が、サーバ５２のアドレスを宛先アドレスとするパケットを送信すると、ＶＰＮ装置１１は、Ｓ１９で図５Ｃに示す情報に従い、送信元アドレス、つまり、１９２．１６８．０．１と、宛先アドレス、つまり、１０．０．０．１を、それぞれ、アドレスＸ、アドレスＡに変換して、Ｓ２０でＶＰＮ装置１２に送信する。
　なお、ＶＰＮ装置１２は、宛先アドレスＡに対応するＬＡＮ３２上の通信装置が特定できない場合には、コントローラ２に問い合わせを行う。また、Ｓ１６において、図５Ｃに示す情報をＶＰＮ装置１１は保存するため、以後、端末５１から宛先アドレスを１０．０．０．１としたパケットを受信した際には、図５Ｃに示す情報に従いパケットを転送することになり、Ｓ１１からＳ１７の処理は不要となる。なお、図５Ｃに示す情報については、例えば、有効期限を設け、有効期限経過後に廃棄する構成としても良い。これにより、コントローラ２の設定が変更された場合でも、その変更をＶＰＮ装置１１において反映することができる。
　以上、本実施形態によるＶＰＮ装置は、異なるＬＡＮの通信装置間での通信が許可されているかを、ＶＰＮ４を管理するコントローラ２に問い合わせ、許可されている場合には、ＶＰＮ装置自身が、宛先として使用するアドレスを決定して、通信の要求元の通信装置に通知する。ここで決定するアドレスは、ＶＰＮ装置が接続しているＬＡＮの通信装置のアドレスと重複しないアドレスを、実際の通信相手が使用しているアドレスとは無関係に決定できる。例えば、決定するアドレスは、ＶＰＮ装置が接続しているＬＡＮとは異なるサブネットのアドレスとすることができる。なお、決定するアドレスは、既に宛先アドレスとして、ＶＰＮ装置が接続しているＬＡＮの各通信装置に通知したアドレスと重複しないものとすることができる。しかしながら、送信元アドレスと宛先アドレスとの組で、宛先アドレスが示す通信装置を特定する場合、決定するアドレスを、通信の要求元の通信装置に既に宛先アドレスとして通知したものと異なるものとすれば良い。この場合、ＶＰＮ装置は、パケットを受信すると、送信元アドレスと宛先アドレスの組に基づき、宛先の通信装置を特定して、ＶＰＮ４で使用するアドレスに変換する。この構成により、ＶＰＮ装置における宛先アドレス決定の自由度が増加する。以上の構成により、異なるＬＡＮ間のＶＰＮ４経由での接続において、ＩＰアドレス重複の問題を解決し、名前解決を提供することができる。また、ＶＰＮ４経由での通信を許可された通信装置間に限定することができる。
　図４は、ＬＡＮ３１の端末５１が、ＬＡＮ３３のサーバ５３と通信する際のシーケンスを示している。なお、既に説明した様に、端末５１とサーバ５３とは、ＶＰＮ４経由での通信が許可されていない。なお、本例では、サーバ５３は、インターネットに公開されているサーバであり、よって、端末５１とサーバ５３とはインターネット経由での通信は可能であるものとする。
　図４のＳ３１及びＳ３２は、図３のＳ１１及びＳ１２と同様であり、再度の説明は省略する。Ｓ３３で、端末５１は、サーバ５３と通信するために、サーバ５３の識別情報をＶＰＮ装置１１に送信して、サーバ５３のＩＰアドレスを問い合わせる。ＶＰＮ装置１１は、Ｓ３４で、端末５１とサーバ５３とのＶＰＮ４経由での通信が許可されているかをコントローラ２に問い合わせる。本例では、端末５１とサーバ５３とのＶＰＮ４経由での通信が許可されていないため、コントローラ２は、Ｓ３５で許可されていない旨をＶＰＮ装置１１に通知する。
　この場合、端末５１とサーバ５３との通信は、インターネット経由となるため、ＶＰＮ装置１１は、Ｓ３６で、サーバ５３のＩＰアドレスを、外部のＤＮＳサーバに問い合わせて、サーバ５３にインターネット経由でアクセスする際のＩＰアドレスを取得する。その後、ＶＰＮ装置１１は、Ｓ３７において、Ｓ３６で取得したサーバ５３のＩＰアドレスを端末５１に通知する。Ｓ３８において、端末５１は、ＶＰＮ装置１１から通知されたＩＰアドレスを使用して、インターネット経由でサーバ５３にアクセスする。なお、本例において、サーバ５３がインターネットに公開されていない通信装置である場合、ＶＰＮ装置１１は、サーバ５３のＩＰアドレスをＳ３６で取得できず、よって、Ｓ３７においてはその旨を端末５１に通知する。
　なお、説明した実施形態において、コントローラ２は、ＶＰＮ４経由で通信可能な２つの通信装置の組を示す情報を保持していた。しかしながら、例えば、複数の通信装置の任意の２つの間での通信が可能である場合、コントローラ２は、図５Ｂに示す様に、相互に通信が可能な複数の通信装置をグループとして管理することができる。例えば、図５Ｂでは、２つのグループ＃１及び＃２が存在し、端末５１は、両グループに属することが示されている。ここで、例えば、グループ＃１内の各通信装置の任意の２つは、たとえ、異なるＬＡＮに属するものであっても、総て、ＶＰＮ４経由での通信が許可されている。したがって、例えば、図３のＳ１４で、端末５１とサーバ５２との通信可否の問い合わせを受けると、コントローラ２は、図５Ｂに示すグループ＃１のグループ情報を接続情報としてＶＰＮ装置１１に送信することもできる。或いは、グループ情報の端末５１とサーバ５２についてのＶＰＮ側アドレスと、グループ識別子のみを送信する形態であっても良い。ＶＰＮ装置１１は、受信したグループ識別子も図５Ｃに示す情報に追加して管理しておく。例えば、他の通信装置間の通信における名前解決で同一グループ識別子をコントローラ２から受信することで、ＶＰＮ装置１１は、この他の通信装置と、端末５１又はサーバ５２とがＶＰＮ４経由で通信できることを、コントローラ２に問い合わせることなく判定することができる。
　図２は、一実施形態によるＶＰＮ装置の概略的な構成図である。送受信部１０５は、ＬＡＮとの間でパケットを送受信し、送受信部１０７はＶＰＮ４との間でパケットの送受信を行う。また、変換部１０６は、アドレス管理部１０４が保持する図５Ｃのアドレス変換情報に基づきＬＡＮとＶＰＮ４との間で送受信されるパケットのアドレス変換を行う。なお、アドレス管理部１０４は、図３のＳ１２におけるアドレス割り当て処理や、Ｓ１６におけるアドレス決定処理や、Ｓ１７における宛先アドレスの通知処理も行う。さらに、Ｓ３６におけるＤＮＳサーバへの問い合わせも行う。
　認証管理部１０３は、図３のＳ１１に示す認証処理を行う。さらに、認証管理部１０３は、Ｓ１４及びＳ１５の処理を実行して、ＩＰアドレスの問い合わせを行った通信装置について、問い合わせ対象の通信装置とのＶＰＮ４経由での通信が許可されているかを、コントローラ２に問い合わせることで、或いは、図５Ｃの情報により判定する。コントローラ連携部１０１は、コントローラ２との通信処理を行う。ＤＮＳ連携部１０２は、図４のＳ３６における外部ＤＮＳサーバからのＩＰアドレスの取得処理を行う。
　本発明は上記実施の形態に制限されるものではなく、本発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。例えば、説明した実施形態では、ＬＡＮ３１、３２、３３は、異なる企業のネットワークであるものとしたが、同じ企業に属するものであっても本発明を適用可能である。これは、同じ企業であっても、拠点間でのアドレスの調整等が不要になる利点があるからである。従って、本発明の範囲を公にするために、以下の請求項を添付する。
　本願は、２０１３年３月２６日提出の日本国特許出願特願２０１３－０６４８７２を基礎として優先権を主張するものであり、その記載内容の全てを、ここに援用する。

Claims (8)

  1. 　第１のネットワークの通信装置と第２のネットワークの通信装置との仮想プライベート・ネットワーク経由での通信のために、前記第１のネットワーク及び前記仮想プライベート・ネットワークに接続し、前記第１のネットワークと前記仮想プライベート・ネットワークとの間でのパケットの転送を行う転送装置であって、
    　前記第１のネットワークの第１の通信装置から前記第２のネットワークの第２の通信装置との通信要求又は前記第２の通信装置のアドレスの問い合わせを受信すると、前記第１の通信装置と前記第２の通信装置の前記仮想プライベート・ネットワーク経由での通信が許可されているかを判定する判定手段と、
    　前記第１の通信装置と前記第２の通信装置の前記仮想プライベート・ネットワーク経由での通信が許可されていると、前記第１の通信装置が前記第２の通信装置と通信する際に使用する宛先アドレスを決定し、前記宛先アドレスを前記第１の通信装置に通知するアドレス決定手段と、
    を備えている転送装置。
  2. 　前記アドレス決定手段が決定する宛先アドレスは、前記第１のネットワークに接続する通信装置と重複しないアドレスである請求項１に記載の転送装置。
  3. 　前記判定手段は、前記第１の通信装置と前記第２の通信装置の前記仮想プライベート・ネットワーク経由での通信が許可されているとの情報を保持していない場合、前記仮想プライベート・ネットワークのコントローラに前記第１の通信装置と前記第２の通信装置の前記仮想プライベート・ネットワーク経由での通信が許可されているかを問い合わせる請求項１又は２に記載の転送装置。
  4. 　前記第１の通信装置から、前記決定した宛先アドレスを含むパケットを受信すると、前記パケットの前記宛先アドレスと、前記パケットの送信元アドレスを、前記仮想プライベート・ネットワークで使用する所定のアドレスに変換して前記仮想プライベート・ネットワークに送信する送信手段をさらに備えている請求項１から３のいずれか１項に記載の転送装置。
  5. 　前記送信手段は、前記パケットの前記宛先アドレスと、前記パケットの送信元アドレスの組み合わせに応じて、前記仮想プライベート・ネットワークで使用する所定のアドレスへの変換を行う請求項４に記載の転送装置。
  6. 　前記仮想プライベート・ネットワークで使用する所定のアドレスは、前記仮想プライベート・ネットワークのコントローラから取得したものである請求項４又は５に記載の転送装置。
  7. 　前記アドレス決定手段は、前記第１の通信装置と前記第２の通信装置の前記仮想プライベート・ネットワーク経由での通信が許可されていないと、インターネットのサーバに前記第２の通信装置のアドレスを問い合わせ、前記インターネットのサーバから前記第２の通信装置のアドレスを取得できると、前記取得したアドレスを前記第１の通信装置に通知することを特徴とする請求項１から６のいずれか１項に記載の転送装置。
  8. 　前記判定手段は、前記第１のネットワークの複数の通信装置の任意の１つと、前記第２のネットワークの複数の通信装置の任意の１つとの前記仮想プライベート・ネットワーク経由での通信が許可されている場合、前記第１のネットワークの前記複数の通信装置と前記第２のネットワークの前記複数の通信装置を１つのグループとして管理することを特徴とする請求項１から７のいずれか１項に記載の転送装置。
PCT/JP2014/001338 2013-03-26 2014-03-10 転送装置 WO2014156009A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP14775639.9A EP2981030B1 (en) 2013-03-26 2014-03-10 Transfer device
JP2015508016A JP5997367B2 (ja) 2013-03-26 2014-03-10 転送装置
US14/862,891 US20160014074A1 (en) 2013-03-26 2015-09-23 Transfer apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2013064872 2013-03-26
JP2013-064872 2013-03-26

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/862,891 Continuation US20160014074A1 (en) 2013-03-26 2015-09-23 Transfer apparatus

Publications (1)

Publication Number Publication Date
WO2014156009A1 true WO2014156009A1 (ja) 2014-10-02

Family

ID=51623030

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/001338 WO2014156009A1 (ja) 2013-03-26 2014-03-10 転送装置

Country Status (4)

Country Link
US (1) US20160014074A1 (ja)
EP (1) EP2981030B1 (ja)
JP (1) JP5997367B2 (ja)
WO (1) WO2014156009A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003101569A (ja) 2001-09-25 2003-04-04 Mitsubishi Electric Corp Ｖｐｎ管理装置
JP2005142702A (ja) 2003-11-05 2005-06-02 Nec Corp ネットワークアクセスゲートウェイ及びネットワークアクセスゲートウェイの制御方法並びにプログラム
JP2008154066A (ja) * 2006-12-19 2008-07-03 Fujitsu Ltd 中継装置、通信方法、通信プログラム
JP2012080274A (ja) * 2010-09-30 2012-04-19 Brother Ind Ltd 通信装置、通信方法、及び通信プログラム

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7418504B2 (en) * 1998-10-30 2008-08-26 Virnetx, Inc. Agile network protocol for secure communications using secure domain names
JP4186446B2 (ja) * 2001-09-11 2008-11-26 株式会社日立製作所 アドレス変換方法
US7469294B1 (en) * 2002-01-15 2008-12-23 Cisco Technology, Inc. Method and system for providing authorization, authentication, and accounting for a virtual private network
JP4056849B2 (ja) * 2002-08-09 2008-03-05 富士通株式会社 仮想閉域網システム
US7949785B2 (en) * 2003-03-31 2011-05-24 Inpro Network Facility, Llc Secure virtual community network system
US7814541B1 (en) * 2006-05-19 2010-10-12 Array Networks, Inc. Virtual routing for virtual local area networks having overlapping IP addresses
US8295285B2 (en) * 2008-03-20 2012-10-23 Telefonaktiebolaget Lm Ericsson (Publ) Method and apparatus for communication of data packets between local networks
JP5332544B2 (ja) * 2008-11-21 2013-11-06 富士通株式会社 呼制御装置、呼制御システム、呼制御方法及びコンピュータプログラム
WO2010127610A1 (zh) * 2009-05-04 2010-11-11 成都市华为赛门铁克科技有限公司 一种虚拟专用网节点信息的处理方法、设备及***

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003101569A (ja) 2001-09-25 2003-04-04 Mitsubishi Electric Corp Ｖｐｎ管理装置
JP2005142702A (ja) 2003-11-05 2005-06-02 Nec Corp ネットワークアクセスゲートウェイ及びネットワークアクセスゲートウェイの制御方法並びにプログラム
JP2008154066A (ja) * 2006-12-19 2008-07-03 Fujitsu Ltd 中継装置、通信方法、通信プログラム
JP2012080274A (ja) * 2010-09-30 2012-04-19 Brother Ind Ltd 通信装置、通信方法、及び通信プログラム

Also Published As

Publication number Publication date
EP2981030B1 (en) 2019-07-31
EP2981030A1 (en) 2016-02-03
JP5997367B2 (ja) 2016-09-28
EP2981030A4 (en) 2016-11-02
US20160014074A1 (en) 2016-01-14
JPWO2014156009A1 (ja) 2017-02-16

Similar Documents

Publication Publication Date Title
JP4727126B2 (ja) 近距離無線コンピューティング装置用のセキュア・ネットワーク・アクセスの提供
US7616615B2 (en) Packet forwarding apparatus for connecting mobile terminal to ISP network
US10284659B2 (en) Hybrid unicast/multicast DNS-based service discovery
JP4988143B2 (ja) コンピュータネットワーク
US20100014521A1 (en) Address conversion device and address conversion method
AU2015264883A1 (en) Access control method and system, and access point
US8400990B1 (en) Global service set identifiers
EP2789152B1 (en) Method for providing access of an user end device to a service provided by an application function within a network structure and a network structure
US8705471B2 (en) Method and system for implementing ID/locator mapping
JP5261432B2 (ja) 通信システム、パケット転送方法、ネットワーク交換装置、アクセス制御装置、及びプログラム
WO2011120365A1 (zh) 多穴终端建立连接的方法和***
JP5241665B2 (ja) 通信装置、通信システムおよび通信方法
JP5997367B2 (ja) 転送装置
WO2006075823A1 (en) Internet protocol address management system co-operated with authentication server
JP3947141B2 (ja) ネットワーク間通信方法及び管理サーバ並びにユーザ網管理サーバ
JP3743500B2 (ja) 中継サーバ
KR100428771B1 (ko) 모바일 아이피 시스템 및 그 시스템내에서의 단말기 등록및 아이피 어드레스 할당 방법
EP2485450A1 (en) Method and system for realizing information interaction in next generation network
JP7450524B2 (ja) ネットワークシステム、通信制御装置、及び通信制御方法
WO2011103744A1 (zh) 移动切换的实现方法、***和装置
JP3696816B2 (ja) アドレス秘匿通信方法、システムおよびプライバシーゲートウェイ
JP2007027818A (ja) 仮想プライベートネットワークにおけるアドレス管理方法、サーバ装置及びクライアント装置
KR20050002337A (ko) 프락시 서버, 그리고 이를 이용한 동적 ｄｎｓ 서비스시스템 및 방법
JP2002218145A (ja) ファクシミリシステム
Kanematsu et al. A Proposal and Implementation of Communication Control Function for NTMobile

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14775639

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015508016

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2014775639

Country of ref document: EP