CN103636173A - 中继服务器以及中继通信系统 - Google Patents

Abstract

中继服务器（3）存储和自身隶属于同一VPN组的路由设备以及该路由设备的地址即第二路由对象地址等。并且，中继服务器（3）存储该第二路由对象地址和与其他设备不重复的地址即虚拟地址的分配关系。中继服务器（3）进行当从路由会话接收到包时，将包的发送源从实际的地址转换成虚拟地址而朝自身的路由对象装置传送包的控制。中继服务器（3）进行当从自身的路由对象装置接收到包时，将包的目标从虚拟地址转换成实际的地址而朝路由会话传送包的控制。

Description

中继服务器以及中继通信系统

技术领域

本发明主要涉及使得与不同的LAN（Local Area Network，局域网）连接的设备之间的通信成为可能的中继服务器。

背景技术

以往，公知有在设置于在物理上离开的场所的LAN彼此间进行通信的被称作虚拟专用网络（Virtual Private Network，VPN）的通信技术。在专利文献1所示的例子中，在设置于在物理上离开的位置的多个LAN的各个上连接有中继服务器以及通信终端等。通信终端能够利用该VPN朝连接于其他的LAN的通信终端发送包。具体而言，通信终端所发送的包起初朝同一LAN内的中继服务器送出。该中继服务器经由因特网将包朝与目标通信终端处于同一LAN内的中继服务器发送（传送）。进而，接收到该包的中继服务器将包朝目标通信终端发送（传送）。

通过利用该VPN，能够以好像是直接连接的网络那样的方式使用位于遥远地方的其他的LAN。

现有技术文献

专利文献

专利文献1：日本特开2010－268312号公报

发明内容

发明所要解决的课题

然而，在LAN中，并非仅有上述的VPN通信，大部分也进行不利用VPN的通信。在该情况下，包首先被朝作为默认网关发挥功能的设备（路由器等）而非中继服务器发送。作为默认网关发挥功能的设备根据所接收到的包的目标来传送该包。

这样，在进行利用了VPN的通信的情况下，作为包的初始目标需要指定中继服务器，在进行不利用VPN的通信的情况下，作为包的初始目标需要指定作为默认网关发挥功能的设备。因此，需要预先设定与包的最终目标和包的初始目标建立了对应的网关表。

但是，利用VPN通信的相对方的地址多在构筑该VPN后才清楚。因而，网关表需要在每次构筑VPN时更新，处理变得繁杂。

本发明就是鉴于以上情形而完成的，其主要目的在于提供一种能够省略在每次构筑VPN时进行的网关表的更新处理的中继服务器。

用于解决课题的方案及效果

本发明所要解决的课题如以上所述，其次对用于解决该课题的方案及其效果进行说明。

根据本发明的第一观点，提供如下结构的中继服务器。即，该中继服务器具备地址过滤信息存储部、虚拟地址登记信息存储部、虚拟地址分配信息存储部以及控制部。上述地址过滤信息存储部存储位于第一LAN内且能够传送包的第一路由对象装置的地址亦即第一路由对象地址、和位于第二LAN内的第二中继服务器能够传送包的第二路由对象装置的地址亦即第二路由对象地址。上述虚拟地址登记信息存储部存储在上述第一LAN内不重复的地址、且是作为虚拟地址登记的地址。上述虚拟地址分配信息存储部存储上述第二路由对象地址和上述虚拟地址的分配关系。上述控制部朝上述第二中继服务器发送上述第一路由对象地址，并且从上述第二中继服务器接收上述第二路由对象地址，与上述第二中继服务器确立路由会话。上述控制部对上述第二路由对象地址分配上述虚拟地址，并将该分配关系存储于上述虚拟地址分配信息存储部。上述控制部当从上述路由会话接收到以上述第一路由对象地址作为目标的包时，参照上述虚拟地址分配信息存储部将包的发送源地址转换成对上述第二路由对象地址分配的上述虚拟地址而朝作为目标的上述第一路由对象装置传送包。上述控制部在从上述第一路由对象装置接收到以上述虚拟地址作为目标的包时，参照上述虚拟地址分配信息存储部将包的目标地址转换成对上述虚拟地址分配的上述第二路由对象地址而朝上述路由会话传送包。

由此，通过在对目标地址和网关地址建立了对应的网关表中使虚拟地址和中继服务器的地址预先建立对应，能够省略以往在每次构筑VPN时所需要进行的网关表的设定。

在上述中继服务器中，优选能够设定当上述路由会话切断时是否解除针对上述第二路由对象地址的上述虚拟地址的分配。

由此，例如在构筑VPN而进行通信的情况下，对于构筑VPN的频度低的相对方，通过设定成在路由会话切断时解除虚拟地址的分配，使虚拟地址未被占用，因此能够防止能够分配的虚拟地址的数量减少。另一方面，对于构筑VPN的频度高的相对方，通过设定成在路由会话切断时不解除虚拟地址的分配，使得即便并不在每次构筑VPN时进行虚拟地址的分配也无妨，因此能够有效地减轻处理量。并且，由于虚拟地址的分配未被解除，因此能够始终使用相同的虚拟地址进行通信，从而能够使通信的管理等变得简单。

在上述中继服务器中，优选能够设定是对上述第二路由对象地址分配上述虚拟地址而使用该虚拟地址进行通信、还是使用上述第二路由对象地址进行通信。

由此，能够进行基于网络环境以及地址的使用状况等的灵活的通信。

在上述中继服务器中，优选能够针对每个中继服务器设定是使用上述虚拟地址进行通信、还是使用上述第二路由对象地址进行通信。

由此，例如在构筑VPN进行通信的情况下，通过仅针对构筑VPN的频度高的相对方使用实际的地址进行通信，能够防止虚拟地址的占用，并且，即便在路由会话被切断的情况下也能够使用相同的地址进行通信。

根据本发明的第二观点，提供如下结构的中继通信系统。即，该中继通信系统具备：包含第一中继服务器以及第二中继服务器的多个中继服务器；以及客户终端。上述客户终端隶属于上述中继服务器。位于第一LAN内的上述第一中继服务器具备VPN组信息存储部、地址过滤信息存储部、虚拟地址登记信息存储部、虚拟地址分配信息存储部以及控制部。上述VPN组信息存储部由上述中继服务器以及上述客户终端中的作为路由节点发挥功能的路由设备构成，将利用虚拟专用网路相互进行通信的组作为VPN组，存储隶属于相同的上述VPN组的上述路由设备。上述地址过滤信息存储部存储位于第一LAN内且能够传送包的第一路由对象装置的地址亦即第一路由对象地址，和位于第二LAN内的第二中继服务器能够传送包的第二路由对象装置的地址亦即第二路由对象地址。上述虚拟地址登记信息存储部存储在上述第一LAN内不重复的地址、且是作为虚拟地址登记的地址。上述虚拟地址分配信息存储部存储上述第二路由对象地址和上述虚拟地址的分配关系。上述控制部朝上述第二中继服务器发送上述第一路由对象地址，并且从上述第二中继服务器接收上述第二路由对象地址，与上述第二中继服务器确立路由会话。上述控制部对上述第二路由对象地址分配上述虚拟地址，并将该分配关系存储于上述虚拟地址分配信息存储部。上述控制部当从上述路由会话接收到以上述第一路由对象地址作为目标的包时，参照上述虚拟地址分配信息存储部将包的发送源地址转换成对上述第二路由对象地址分配的上述虚拟地址而朝作为目标的上述第一路由对象装置传送包。上述控制部在从上述第一路由对象装置接收到以上述虚拟地址作为目标的包时，参照上述虚拟地址分配信息存储部将包的目标地址转换成对上述虚拟地址分配的上述第二路由对象地址而朝上述路由会话传送包。

由此，通过在上述的网关表中使虚拟地址和中继服务器的地址预先建立对应，能够省略以往在每次构筑VPN时进行的网关表的设定。

附图说明

图1是示出本发明的一个实施方式所涉及的中继通信系统的整体结构的说明图。

图2是中继服务器的功能框图。

图3是示出中继组信息的内容的图。

图4是示出中继服务器信息的内容的图。

图5是示出客户终端信息的内容的图。

图6是示出VPN组信息的内容的图。

图7是示出预先登记于各个中继服务器的地址过滤信息的内容的图。

图8是示出在构筑VPN后地址过滤信息存储部所存储的内容的图。

图9是示出虚拟地址登记信息的内容的图。

图10是示出虚拟地址分配信息的内容的图。

图11是示出在对象终端设定的网关表的内容的图。

图12是示出预先在中继服务器进行的设定的流程图。

图13是示出制作VPN组的处理的流程图。

图14是示出构筑VPN的处理的流程图。

图15是示出构筑VPN的处理的流程图。

图16是示出使用了虚拟地址的路由控制的流程图。

图17是示出使用了虚拟地址的路由控制的说明图。

图18是示出虚拟地址管理信息的内容的图。

具体实施方式

其次，参照附图对本发明的实施方式进行说明。首先，参照图1对本实施方式的中继通信系统100的概要进行说明。图1是示出本实施方式所涉及的中继通信系统100的整体结构的说明图。

如图1所示，该中继通信系统100由连接于广域网（WAN，广域通信网）80的多个LAN10、20、30构成。各个LAN10、20、30是在限定的场所构筑的规模较小的网络。并且，LAN10、20、30分别配置于在物理上离开的场所。另外，在本实施方式中作为WAN80使用因特网。

以下，对各个LAN具体进行说明。如图1所示，在LAN（第二LAN）10上连接有中继服务器（第二中继服务器）1、作为第二路由对象装置的操作PC11、12以及客户终端13。在LAN20上连接有中继服务器2、操作PC21以及客户终端22。在LAN（第一LAN）30上连接有中继服务器（第一中继服务器）3、作为第一路由对象装置的对象终端31、32、33、客户终端34以及路由器35。

各个中继服务器1、2、3不仅连接于LAN10、20、30还连接于WAN80，因此，不仅能够与连接于同一LAN的设备进行通信，而且与配置于其他LAN的中继服务器也能够通信。操作PC11、12、21例如是操作者用于进行操作的个人计算机。对象终端31、32、33是个人计算机或者文件服务器等，例如假想操作者对操作PC11等进行操作而针对对象终端31等要求规定的数据、以及更新对象终端31的存储内容。客户终端13、22、34例如由个人计算机构成，能够经由各自的自身所隶属的中继服务器1、2、3相互进行通信。路由器35是作为LAN30的默认网关发挥功能的设备。

其次，参照图2对中继服务器1、2、3的详细结构进行说明。图2是中继服务器3的功能框图。另外，中继服务器3与中继服务器1、2为大致相同的结构，因此以下主要对中继服务器3进行说明。

如图2所示，中继服务器3具备存储部50、控制部60以及接口部70。

接口部70是将进行通信的设备彼此连接在一起的连接器等。接口部70能够利用专用IP地址与LAN10内的终端进行通信，并且能够利用全局IP地址进行经由WAN80的通信。接口部70对从LAN30侧或者WAN80侧接收到的包进行适当的处理并朝控制部60输出。

控制部60例如是具有控制以及运算功能的CPU，能够借助从存储部50读取出的程序执行各种处理。该控制部60能够对基于TCP/IP、UDP、SIP等协议的各种通信进行控制。具体而言，控制部60针对所接收到的包基于该包所示出的信息和存储于存储部50的信息决定目标，并将该包朝所决定的目标发送。并且，控制部60能够基于从其他终端接收到的信息使存储部50的存储内容更新。

存储部50例如由硬盘或者非易失性RAM构成，能够保存各种数据。存储部50具备中继组信息存储部51、中继服务器信息存储部52、客户终端信息存储部53、VPN组信息存储部54、地址过滤信息存储部55、虚拟地址登记信息存储部56以及虚拟地址分配信息存储部57。另外，中继服务器1、2并不进行使用后述的虚拟地址的通信，因此并不具备虚拟地址登记信息存储部56以及虚拟地址分配信息存储部57。以下，参照图3至图10对存储部50的存储内容进行说明。图3至图10主要是示出中继服务器3的存储部50的存储内容的图（在图5以及图7中也示出中继服务器1、2的存储内容）。图11是示出在对象终端31、32、33中设定的网关表的内容的图。

中继组信息存储部51存储表示中继组和构成该中继组的中继服务器的中继组信息。

如图3所示，在中继组信息中记载有组标签和以该组标签作为母要素的子要素的网站标签（site tag）。在组标签中记载有与中继组相关的组信息511。作为该组信息511，记载有中继组的识别信息（“id”）、最终更新时刻（“lastmod”）以及中继组的名称（“name”）。在网站标签中记载有与构成中继组的中继服务器相关的组构成信息512。在该组构成信息512中记载有该中继服务器的识别信息（“id”）。并且，中继组能够追加制作，在该情况下，对新的中继组附加与其他中继组不同的唯一的识别信息。由此，仅在特定的中继组内进行数据的交换等的设定成为可能。

另外，该中继组信息在构成该中继组的中继服务器1、2、3之间共有。进而，当在某一中继服务器中进行了变更中继组的处理的情况下，对其他中继服务器发送该意思而更新中继组信息。这样，中继组信息被动态共有。

中继服务器信息存储部52存储进行中继通信的中继服务器以及表示隶属于该中继服务器的客户终端的概要的中继服务器信息。

在图4所示的中继服务器信息中记载有针对每个中继服务器记载的网站标签和以上述网站标签作为母要素的子要素的节点标签。在网站标签中记载有与中继服务器1相关的服务器信息521。作为该服务器信息521，记载有中继服务器的识别信息（“id”）、中继服务器的名称（“name”）以及启动信息（“stat”）。另外，“stat”的内容为“active”的情况表示中继服务器登陆了中继通信系统100，“stat”为空栏时表示处于登出状态中。在作为网站标签的子要素的节点标签中记载有表示隶属于中继服务器的客户终端的隶属信息522。作为隶属信息522，记载有所隶属的中继组的名称（“group”）、客户终端的识别信息（“id”）、客户终端的名称（“name”）以及所隶属的中继服务器的识别信息（“site”）。另外，当客户终端并未登陆中继通信系统100时，“site”为空栏。

另外，利用中继组进行的通信基于上述的中继组信息以及中继服务器信息以下述方式进行。例如当从客户终端13朝客户终端22发送包的情况下，首先，客户终端13朝自身所连接的中继服务器亦即中继服务器1发送包。另外，能够基于上述的中继组信息掌握能够进行包的交换的中继服务器，能够基于上述的中继组信息掌握隶属于中继服务器的客户终端的识别信息以及能否进行连接。中继服务器1基于上述信息朝客户终端22所连接的中继服务器亦即中继服务器2传送包。进而，接收到该包后的中继服务器2朝客户终端22传送包。这样，能够在客户终端13、22彼此之间进行中继通信。

关于该中继服务器信息也与中继组信息同样在构成该中继组的中继服务器1、2、3之间共有信息。进而，当在某一中继服务器中进行了变更中继服务器信息的处理的情况下，对其他中继服务器发送该意思而更新中继服务器信息。这样，中继服务器信息被动态共有。

客户终端信息存储部53存储与客户终端相关的详细信息亦即客户终端信息。另外，中继服务器1、2、3仅存储与隶属于自身的客户终端相关的客户终端信息。由于客户终端34隶属于中继服务器3，因此在中继服务器3所具备的客户终端信息存储部53中仅存储有关于客户终端34的客户终端信息。

图5（c）中示出中继服务器3的客户终端信息存储部53所存储的客户终端信息。同样，图5（a）示出中继服务器1所存储的客户终端信息，图5（b）示出中继服务器2所存储的客户终端信息。

在图5所示的客户终端信息中记载有节点标签。在该节点标签中记载有客户终端的专用IP地址（“addr”）、所隶属的中继组的名称（“group”）、识别信息（“id”）、名称（“name”）、用于登录中继服务器的密码（“pass”）以及端口信息（“port”）。

VPN组信息存储部54存储与由构成中继组的中继服务器和从客户终端作为路由节点选择的设备（以下称作路由设备）构成的VPN组相关的信息亦即VPN组信息。通过使隶属于同一VPN组的路由设备彼此之间确立路由会话，能够开始利用VPN的通信。

在图6所示的VPN组信息中记载有vnet标签。在该vnet标签中记载有VPN组基本信息541、路由节点信息542以及路由会话信息543。在VPN组基本信息541中记载有VPN组所隶属的中继组的名称（“group”）、VPN组的识别信息（“id”）、最终更新时刻（“lastmod”）以及VPN组的名称（“name”）。在路由节点信息542中记载有在VPN组之间进行通信时进行路由的路由设备的识别信息。在图6的例子中，作为路由设备记载有中继服务器1和中继服务器3。在路由会话信息543中记载有在VPN组中相互连接的路由设备。在路由会话信息543中，路由设备在用于在VPN组中构筑VPN而开始通信的路由会话确立处理中被分成最初进行通信控制的一侧（“sp（start point）”）和接受该通信控制的一侧“ep（end point）”来确定。另外，在以下的说明中，有时将最初进行用于确立路由会话的通信控制的一侧的路由设备称作“起点”，将接受该通信控制的一侧的路由设备称作“终点”。

从图6所示的VPN组信息可知，VPN组（VPN－GROUP1）由中继服务器1和中继服务器3构成。并且可知，在该VPN组的开始时，从中继服务器3朝中继服务器1进行用于确立路由会话的通信控制。

该VPN组信息也与中继服务器信息以及中继组信息同样在隶属于同一VPN组的中继服务器1、3之间共有。进而，当在某一中继服务器中进行了变更VPN组信息的处理的情况下，对隶属于同一VPN组的其他中继服务器发送该意思而更新VPN组信息。这样，VPN组信息被动态共有。另外，对于制作该VPN组的处理将在后面叙述。

地址过滤信息存储部55存储在进行利用了VPN的路由控制时使用的信息亦即地址过滤信息。地址过滤信息存储部55在VPN的构筑之前存储表示中继服务器3自身能够直接发送包的装置（路由对象装置）的信息（中继服务器3的地址过滤信息）。另外，在地址过滤信息中包含路由对象装置的地址（路由对象地址）和路由对象装置的名称。

图7（c）中示出在中继服务器3自身中预先登记的地址过滤信息的例子。在该例子中，记载有中继服务器3能够直接发送包的设备为对象终端31、32、33的情况。另外，图7（a）中示出在中继服务器1中预先登记的地址过滤信息，图7（b）中示出在中继服务器2中预先登记的地址过滤信息。

这样，中继服务器3的地址过滤信息存储部55在构筑VPN之前仅存储图7（c）所示的地址过滤信息。进而，中继服务器3例如在与中继服务器1确立路由会话时将自身所预先登记的地址过滤信息（图7（c））朝中继服务器1发送，并且从中继服务器1接收地址过滤信息（图7（a））。进而，中继服务器3将中继服务器1的地址过滤信息与该中继服务器1的识别信息建立对应并存储于地址过滤信息存储部55。

由此，在中继服务器3的地址过滤信息存储部55中存储有图8所示的内容。另外，在中继服务器1的VPN组信息存储部54中也存储有相同内容的信息。进而，中继服务器1、3基于该取得的地址进行路由控制（详细的控制将在后面叙述）。另外，以下，有时将包含于自身的地址过滤信息中的路由对象地址称作第一路由对象地址，将包含于其他路由设备的地址过滤信息的路由对象地址称作第二路由对象地址。

在本实施方式中，为如下结构：限于中继服务器3与对象终端31、32、33之间的通信，不使用操作PC11、12的实际地址（上述第二路由对象地址）、而使用虚拟地址进行通信。对于虚拟地址，预先登记在LAN30内不重复的地址（尚未对LAN30内的设备分配或者未进行其预约的地址），并存储于虚拟地址登记信息存储部56。在本实施方式中，作为虚拟地址登记有图9所示的地址。

进而，中继服务器3在以上述方式转换地址过滤信息而取得第二路由对象地址之后，对该第二路由对象地址（实际的地址）分配上述虚拟地址。如图10所示，虚拟地址分配信息存储部57存储第二路由对象地址与虚拟地址的分配关系。进而，在中继服务器3与对象终端31、32、33之间的通信中，不使用实际的地址而使用虚拟地址进行通信。详细的通信流程将在后面叙述，但利用对象终端31朝操作PC11发送包时，作为目标地址使用虚拟地址而非第二路由对象地址。

路由器35如上所述作为LAN30的默认网关发挥功能。因而，对象终端31所发送的包的初始目标（经由对象、网关）原则上是路由器35。路由器35根据所接收到的包的最终目标而传送该包。但是，在进行利用了上述VPN的通信的情况下，对象终端31等发送的包的初始目标需要设为中继服务器3而非该路由器35。因而，在本实施方式中，在对象终端31、32、33中设定图11所示的网关表。图11是对对象终端31、32、33发送的包的最终目标地址（“包的目标地址”）和指定了该目标地址时的网关建立对应的表。如该图11所示，在本实施方式中，当包的最终目标是虚拟地址的情况下，该包的网关是中继服务器3。另一方面，当包的最终目标是虚拟地址以外的情况下，该包的网关是路由器35。

另外，通常直到构筑VPN为止并不清楚第二路由对象地址。因而，以往，每当构筑VPN时需要进行对第二路由对象地址和中继服务器3建立对应的设定（网关表的更新）。对于该点，在本实施方式中，使用虚拟地址，预先设定成以该虚拟地址作为目标的包的网关成为中继服务器3。并且，在利用VPN发送包的情况下，该包的目标成为虚拟地址。由此，无需更新对象终端31、32、33的网关表的设定就能够将基于VPN的包的网关设定为中继服务器3。因此，与以往的结构相比较能够降低处理量。

其次，对用于进行利用VPN的通信的准备进行说明。首先，参照图12对在中继服务器预先进行的设定进行说明，其次，参照图13对制作VPN组时的流程进行说明。图12是示出预先在中继服务器进行的设定的流程图。图13是示出制作VPN组的处理的流程图。

作为在中继服务器预先进行的设定，存在自身（中继服务器）的地址过滤信息的登记（S101）。该登记通过利用中继通信系统100的用户以规定的方法输入作为中继服务器的路由对象装置指定的设备等的地址（上述第一路由对象地址）和名称来进行。

其次，在进行使用虚拟地址的通信的情况下，用户作为虚拟地址登记在中继服务器所连接的LAN内不重复的地址（S102）。此处登记的虚拟地址存储于虚拟地址登记信息存储部56。

以下，对制作VPN组时的流程进行说明。用户首先能够通过对客户终端13、22、34等进行操作而显示VPN组的设定画面。此处，对使用客户终端34进行设定的情况进行说明。在显示于客户终端34的设定画面中显示有该客户终端34所隶属的多个中继组。用户从该多个中继组选择欲构筑VPN组的中继组（S201）。

在选择中继组后，在客户终端34的画面上显示隶属于所选择的中继组、并且能够作为路由节点发挥功能的中继服务器以及客户终端的识别信息的列表（S202）。进而，用户选择在所构筑的VPN组中作为路由节点发挥功能的中继服务器以及客户终端（S203）。在此次的说明中，假设用户选择了中继服务器1和中继服务器3。

进而，基于所选择的中继服务器的识别信息制作路由节点的识别信息以及上述路由会话信息（S204）。进而，通过对上述信息附加VPN组的识别信息等而制作图6所示的VPN组信息。客户终端34将该VPN组信息朝隶属于同一VPN组的中继服务器1、3发送（S205）。进而，中继服务器1、3将所接收到的VPN组信息存储于VPN组信息存储部54。综上，VPN组的构筑处理完成。

其次，参照图14以及图15对在所构筑的VPN组中直到开始利用VPN的通信为止的流程进行说明。图14以及图15是示出直到开始利用VPN的通信为止进行的处理的流程图。

用户能够通过对客户终端13等或者操作PC11等进行操作而使所构筑的VPN组显示于画面。进而，通过从所显示的VPN组中选择恰当的VPN组（S301），能够进行用于构筑VPN的处理。在此次的说明中，对中继服务器3进行上述制作的VPN组（由中继服务器1、3构成的VPN组）的开始处理的例子进行说明。

中继服务器3首先读取与自身建立了对应的地址过滤信息（S302）。此处所读取的信息是在S101中登记的内容（图7（c）所示的内容）。其次，中继服务器3进行隶属于所选择的VPN组的路由节点的读取（S303）。由此，基于图6所示的VPN组信息的内容读取中继服务器1。

中继服务器3基于中继服务器信息首先判断中继服务器1是否处于登录中（“stat”为active还是空栏）（S304）。根据图4所示的中继服务器信息，中继服务器1处于登录中，因此中继服务器3朝中继服务器1发送VPN组的识别信息的同时，发送VPN组的开始命令（S305）。

中继服务器3当接受针对该开始命令的来自中继服务器1的响应时（S306），将中继服务器1作为构筑VPN的准备已完毕的路由节点进行登记（S307）。

其次，中继服务器3进行是否存在隶属于同一VPN组的其他设备的判断（S308）。由于当前制作中的VPN组仅由中继服务器1和中继服务器3构成，因此并不存在其他设备。另外，当假设存在其他设备的情况下，中继服务器3这次以该设备作为对象进行S304～S307的处理。

其次，中继服务器3从VPN组信息存储部54的存储内容提取路由会话信息（图15的S309）。进而，中继服务器3参照所提取出的路由会话信息判断是否记载有自身成为起点的路由会话（S310）。在图6的路由会话信息中，在应当在中继服务器1与中继服务器3之间确立的路由会话中记载自身（中继服务器3）成为起点的情况。

因此，中继服务器3进行用于相对于中继服务器1确立路由会话的通信控制（S311）。另外，在进行该通信控制时，如前面所述，转换地址过滤信息（S311）。由此，在中继服务器3的地址过滤信息存储部55中存储图8所示的内容。

其次，中继服务器3对包含于从中继服务器1接收到的地址过滤信息的第二路由对象地址分配虚拟地址（S312），并将该分配关系存储于虚拟地址分配信息存储部57（S313）。另外，在S312中分配的虚拟地址登记于虚拟地址登记信息存储部56，并且，只要是尚未对第二路由对象地址分配的虚拟地址，则能够分配任意地址。

这样，在本实施方式中，当构筑VPN时，各个路由设备与其他路由设备交换（取得）地址过滤信息，因此能够使用最新的地址过滤信息构筑VPN。因而，即便在VPN开始前的阶段在一部分路由设备中地址过滤信息变更的情况下，由于能够以在所有的路由设备中反映该变更的状态构筑VPN而开始通信，因此能够防止在包的路由中发生矛盾，能够提高可靠性。

其次，中继服务器3判断此外是否还记载有自身成为连接的起点的路由会话（S314）。由于当前制作中的VPN组仅由中继服务器1和中继服务器3构成，因此在VPN组信息中并未记载其他的路由会话。因而，中继服务器3开始包的路由控制（S315）。另外，当假设存在其他路由会话的情况下，中继服务器3再次进行S310～S313的处理。

并且，虽然在图15的流程图中并未记载，但即便是在S310中不存在自身成为连接的起点的路由会话的情况下（自身成为路由的终点的情况下），也接受来自成为起点的路由设备的通信控制而进行路由会话的确立处理以及地址过滤信息的交换。与此同时，在进行使用了虚拟地址的通信的情况下，也进行虚拟地址的分配等。

另外，对于各个路由设备，只要在路由会话信息中并未记载自身成为起点的意思就不进行用于确立路由会话的最初的通信控制，因此能够防止通信控制的冲突，能够通过简单的控制确立设备间的路由会话。

其次，参照图16以及图17等对使用所确立的路由会话进行包的路由的处理进行说明。图6是示出使用了虚拟地址的路由控制的流程图。图17是示出使用了虚拟地址的路由控制的说明图。以下，对从操作PC11朝对象终端31发送包，并从对象终端31朝操作PC11返回包时进行的路由控制进行说明。另外，在本实施方式中，进行使用了虚拟地址的通信的路由设备仅是中继服务器3，因此图16所示的处理是仅由中继服务器3进行的处理。

其次，参照图16以及图17（a）对从操作PC11朝对象终端31发送包时的流程进行说明。如该图17（a）所示，操作PC11作为目标地址指定对象终端31的地址（192.168.0.10），作为发送源地址指定自身的地址（200.1.40.10）而发送包。接收到该包的中继服务器1对所接收到的包的目标地址和所存储的地址过滤信息（图8）进行比较。进而，识别目标地址与中继服务器3建立对应的情况，经由路由会话将包朝中继服务器3传送。

接收到该包的中继服务器3进行所接收到的包是经由路由会话接收到的包还是并非如此（即从自身的路由对象装置接收到的包）的判断（图16的S401）。此处接收到的包是经由路由会话接收到的，因此中继服务器3进行是否存在与发送源地址建立对应的虚拟地址的判断（S402）。此处，如图10所示那样对操作PC11的地址分配了虚拟地址，因此中继服务器3将所接收到的包的发送源地址（200.1.40.10）转换成虚拟地址（150.100.10.1）（S403）。进而，中继服务器3朝目标地址所示的设备（对象终端31）传送包（S404）。

其次，参照图17（b）对该对象终端31朝操作PC11返回包时的流程进行说明。如该图17（b）所示，对象终端31作为目标地址指定从操作PC11接收到的包的发送源地址（150.100.10.1、虚拟地址），作为发送源地址指定自身的地址（192.168.0.10）。

此处，如图11所示，在对象终端31的网关表中记载有当目标是虚拟地址的情况下中继服务器3成为网关的意思。因而，对象终端31将包朝中继服务器3发送。

接收到该包的中继服务器3与上述同样进行所接收到的包是经由路由会话接收到的包还是并非如此的判断（图16的S401）。此处接收到的包是从自身的路由对象装置亦即对象终端31接收到的，因此中继服务器3进行目标地址是否是虚拟地址的判断（S405）。由于该包的目标地址是虚拟地址，因此中继服务器3将所接收到的包的目标地址（150.100.10.1）转换成实际的地址亦即第二路由对象地址（200.1.40.10）（S406）。进而，中继服务器3经由路由会话朝恰当的路由设备发送包（S407）。具体而言，中继服务器3对包的目标地址和所存储的地址过滤信息（图8）进行比较。进而，识别目标地址与中继服务器1建立对应的情况，经由路由会话将包朝中继服务器1传送。

接收到该包的中继服务器1基于目标地址将该包朝操作PC11发送。使用了虚拟地址的路由控制如以上那样进行。

另外，在本实施方式中，为如下结构：当在中继服务器1与中继服务器3之间确立的路由会话切断的情况（发生通信不良的情况或者进行了VPN的结束处理的情况）下，解除对第二路由对象地址的虚拟地址的分配。进而，当在中继服务器1与中继服务器3之间再次确立路由会话时，进行虚拟地址的分配。

如上所示，中继服务器3具备地址过滤信息存储部55、虚拟地址登记信息存储部56、虚拟地址分配信息存储部57以及控制部60。地址过滤信息存储部55存储第一路由对象地址和第二路由对象地址。虚拟地址登记信息存储部56存储在LAN30内不重复的地址、且是作为虚拟地址登记的地址。虚拟地址分配信息存储部57存储第二路由对象地址和虚拟地址的分配关系。控制部60进行朝中继服务器1发送第一路由对象地址，并且从中继服务器1接收第二路由对象地址，在与中继服务器1之间确立路由会话的控制。控制部60进行对第二路由对象地址分配虚拟地址，并将该分配关系存储于虚拟地址分配信息存储部57的控制。控制部60进行当从路由会话接收到包时，将包的发送源地址从实际的地址转换成虚拟地址并朝自身的路由对象装置传送包的控制。控制部60进行当从自身的路由对象装置接收到包时，将包的目标地址从虚拟地址转换成实际的地址并朝路由会话传送包的控制。

由此，在对目标地址和网关地址建立了对应的网关表中，通过预先对虚拟地址和中继服务器的地址建立对应，能够省略以往每当构筑VPN时所需要进行的网关表的设定。

其次，对上述实施方式的变形例进行说明。在本变形例中，是采用上述实施方式的结构、且充实了能够设定的事项的结构。具体而言，在本变形例中，能够设定：（1）当路由会话切断时是否解除相对于第二路由对象地址的虚拟地址的分配；以及（2）是使用上述虚拟地址进行通信，还是使用上述第二路由对象地址进行通信。并且，该（1）以及（2）能够针对每个路由设备单独设定。

具体而言，对于本变形例的中继服务器3，在上述结构的基础上，存储如图18所示的虚拟地址管理信息。图18是示出虚拟地址管理信息的例子的图。在该虚拟地址管理信息中记载有“名称”、“所使用的地址”、以及“会话切断时的虚拟地址的分配”。在“名称”中记载有构筑VPN组的相对方，在“所使用的地址”中记载有关于上述（1）的设定事项，在“会话切断时的虚拟地址的分配”中记载有关于上述（2）的设定事项。

在图18所示的例子中，示出对中继服务器1的路由对象装置分配虚拟地址的情况和在路由会话切断时释放虚拟地址的情况。另外，该结构是与上述实施方式相同的结构。并且，在该例子中，示出对中继服务器2的路由对象装置分配虚拟地址的情况和即便路由会话切断也维持虚拟地址的分配（不删除虚拟地址分配信息的内容）的情况。进而，还示出了不对中继服务器4（在图1中未图示）的路由对象装置分配虚拟地址而进行使用了实际地址的通信的情况。

由此，例如通过设定成针对构筑VPN的频度低的相对方解除虚拟地址的分配，能够防止虚拟地址的占用，从而能够防止所能够分配的虚拟地址的数量减少。另一方面，通过设定成相对于构筑VPN的频度高的相对方不解除虚拟地址的分配，即便不在每次构筑VPN时进行虚拟地址的分配也无妨，因此能够减轻处理量。并且，由于能够始终使用相同的虚拟地址进行通信，因此能够使通信的管理等变得简单。

以上对本发明的优选实施方式以及变形例进行了说明，但上述结构例如能够以下述方式变更。

在上述中，为在与路由会话的确立大致同时进行地址过滤信息的交换的结构。与此相对，也可以为在与VPN组的开始命令的发送（S305）同时发送地址过滤信息，在响应（S306）的同时接收地址过滤信息的结构。

在上述中，操作PC11等个别设备成为路由对象装置，但例如也可以将LAN10整体（200.1.40.0/24）设定成中继服务器1的路由对象装置。在该情况下，如（192.168.0.0/24）这样，对该路由对象装置分配指定范围的虚拟地址。

进行虚拟地址的分配的定时是任意的，例如在与开始命令的发送同时发送地址过滤信息的结构的情况下，能够在更早的定时进行虚拟地址的分配。

在上述中，为仅中继服务器作为路由节点发挥功能的结构，但也可以为客户终端作为路由节点发挥功能的结构。并且，VPN组内的路由节点的数量并不限于两个，也可以是三个以上。并且，一个路由设备也可以隶属于多个VPN组。

储存上述的中继组信息、中继服务器信息、客户终端信息、VPN组信息、地址过滤信息等的形式并不限定于XML形式，能够以恰当的形式储存各信息。

代替上述实施方式的结构，也可以为将在各中继服务器之间的通信中使用的外部服务器设置在因特网上，使其发挥作为SIP（Session InitiaionProtocol，会话发起协议）服务器的功能而进行通信的结构。

标号说明

1中继服务器（第二中继服务器）

3中继服务器（第一中继服务器）

11、12操作PC（第二路由对象装置）

31、32、33对象终端（第一路由对象装置）

10LAN（第二LAN）

30LAN（第一LAN）

54VPN组信息存储部

55地址过滤信息存储部

56虚拟地址登记信息存储部

57虚拟地址分配信息存储部

100中继通信系统

Claims (5)

1.一种中继服务器，其特征在于，具备：

地址过滤信息存储部，存储第一路由对象地址和第二路由对象地址，该第一路由对象地址是位于第一LAN内且能够传送包的第一路由对象装置的地址，该第二路由对象地址是位于第二LAN内的第二中继服务器能够传送包的第二路由对象装置的地址；

虚拟地址登记信息存储部，存储在上述第一LAN内不重复的地址、且是作为虚拟地址登记的地址；

虚拟地址分配信息存储部，存储上述第二路由对象地址和上述虚拟地址的分配关系；以及

控制部，

上述控制部进行如下控制：

朝上述第二中继服务器发送上述第一路由对象地址，并且从上述第二中继服务器接收上述第二路由对象地址，与上述第二中继服务器确立路由会话的控制；

对上述第二路由对象地址分配上述虚拟地址，并将该分配关系存储于上述虚拟地址分配信息存储部的控制；

当从上述路由会话接收到以上述第一路由对象地址作为目标的包时，参照上述虚拟地址分配信息存储部将包的发送源地址转换成对上述第二路由对象地址分配的上述虚拟地址而朝作为目标的上述第一路由对象装置传送包的控制；以及

当从上述第一路由对象装置接收到以上述虚拟地址作为目标的包时，参照上述虚拟地址分配信息存储部将包的目标地址转换成对上述虚拟地址分配的上述第二路由对象地址而朝上述路由会话传送包的控制。

2.根据权利要求1所述的中继服务器，其特征在于，

能够设定当上述路由会话切断时是否解除针对上述第二路由对象地址的上述虚拟地址的分配。

3.根据权利要求1所述的中继服务器，其特征在于，

能够设定是对上述第二路由对象地址分配上述虚拟地址而使用该虚拟地址进行通信、还是使用上述第二路由对象地址进行通信。

4.根据权利要求3所述的中继服务器，其特征在于，

能够针对每个中继服务器设定是使用上述虚拟地址进行通信、还是使用上述第二路由对象地址进行通信。

5.一种中继通信系统，其特征在于，具备：

多个中继服务器，包含第一中继服务器和第二中继服务器；以及

客户终端，隶属于上述中继服务器，

位于第一LAN内的上述第一中继服务器具备：

VPN组信息存储部，由上述中继服务器以及上述客户终端中的作为路由节点发挥功能的路由设备构成，将利用虚拟专用网路相互进行通信的组作为VPN组，存储隶属于相同的上述VPN组的上述路由设备；

地址过滤信息存储部，存储第一路由对象地址和第二路由对象地址，该第一路由对象地址是位于上述第一LAN内且能够传送包的第一路由对象装置的地址，该第二路由对象地址是位于第二LAN内的上述第二中继服务器能够传送包的第二路由对象装置的地址；

虚拟地址登记信息存储部，存储在上述第一LAN内不重复的地址、且是作为虚拟地址登记的地址；

虚拟地址分配信息存储部，存储上述第二路由对象地址和上述虚拟地址的分配关系；以及

控制部，

上述控制部进行如下控制：

朝上述第二中继服务器发送上述第一路由对象地址，并且从上述第二中继服务器接收上述第二路由对象地址，与上述第二中继服务器确立路由会话的控制；

对上述第二路由对象地址分配上述虚拟地址，并将该分配关系存储于上述虚拟地址分配信息存储部的控制；

当从上述路由会话接收到以上述第一路由对象地址作为目标的包时，参照上述虚拟地址分配信息存储部将包的发送源地址转换成对上述第二路由对象地址分配的上述虚拟地址而朝作为目标的上述第一路由对象装置传送包的控制；以及

当从上述第一路由对象装置接收到以上述虚拟地址作为目标的包时，参照上述虚拟地址分配信息存储部将包的目标地址转换成对上述虚拟地址分配的上述第二路由对象地址而朝上述路由会话传送包的控制。

Images