JP2003188906A - Ｖｐｎポリシー管理装置 - Google Patents

Abstract

(57)【要約】 【課題】 ＶＰＮを構築しようとしている設定経路上の
複数の装置に対する設定データを容易に生成することが
できるＶＰＮポリシー管理装置を得ること。 【解決手段】 ＶＰＮを構築するために必要な機能で表
現した複数のロールからなる経路モデルと、前記経路モ
デルに対応して作成され、該経路モデルを構成する各ロ
ールに対して定義される一部に他のロールをパラメータ
として含むＶＰＮポリシーと、前記設定経路上に存在す
る装置についてのアドレス情報を含む構成情報と、前記
設定経路上の二つのエンドポイントに、前記経路モデル
のエンドロールが割当てられると、前記経路モデルのロ
ールを前記設定経路上の装置に割当てるとともに、他の
ロールをパラメータとして使用しているＶＰＮポリシー
に、前記構成情報から抽出した前記他のロールに対応す
る装置のアドレス情報を代入して設定データを生成し、
該設定データを各装置に設定するＶＰＮ構築手段３を備
える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、ＩＰネットワー
ク上における端末間の通信をＶＰＮ（Virtual Private
Network）で行う際に、ＶＰＮの構築および周辺装置の
動作設定を簡易に行うことが可能なＶＰＮポリシー管理
装置に関するものである。

【０００２】

【従来の技術】ＶＰＮ（Virtual Private Network）
は、インターネットなどの信頼性の低いネットワークを
介したプロジェクトメンバ間の通信において通信データ
を暗号化し、プロジェクトメンバ以外のユーザに対して
通信を解読させないようにすることで、プロジェクトメ
ンバだけの仮想的な専用線を提供するシステムである。
図１７は、複数拠点に分散したプロジェクトメンバのた
めに構築したＶＰＮを示す図である。図１７の５００〜
５０２はプロジェクトメンバが分散している距離の離れ
たサイトを、５１０〜５１５はそれぞれのサイトに存在
するプロジェクトメンバが利用するホストを、５２０〜
５２２はそれぞれのサイトに存在するＶＰＮ装置を、５
３０〜５３２はそれぞれのサイト５００〜５０２に存在
するＶＰＮ装置５２０〜５２２間のＶＰＮをそれぞれ表
わしている。サイト５００〜５０２間はインターネット
などの外部ネットワークで接続されている。

【０００３】サイト５００〜５０２間において、ＶＰＮ
５３０〜５３２を利用せずに、そのまま外部ネットワー
クを利用すると外部ネットワーク上の他のユーザにサイ
ト５００〜５０２間の通信データを盗聴される恐れがあ
る。そのためサイト５００〜５０２間の通信を、ＶＰＮ
装置５２０〜５２２を用いて暗号化することで、ＶＰＮ
（仮想専用線）５３０〜５３２を提供することができ
る。ＶＰＮ装置５２０〜５２２は各サイト５００〜５０
２の入り口に存在し、あるサイトのホストが他のサイト
のホストと通信する際、あるホストと同じサイト上のＶ
ＰＮ装置が通信データを暗号化した後に外部ネットワー
クにデータを出力し、このデータを相手サイトのＶＰＮ
装置が受け取り復号化した後、発信先のホストに平文
（暗号化していないデータ）のデータを送付する。この
ようなＶＰＮを構築するためには、図１７のＶＰＮ装置
５２０〜５２２間に対して暗号通信を行うためのトンネ
ルを定義しなければならない。トンネルの定義は両端の
ＶＰＮ装置５２０〜５２２に対して設定され、例えば、
図１７のＶＰＮ装置５２０には、二つのトンネルすなわ
ちＶＰＮ５３０、５３１に関する設定が行われる。

【０００４】また、ＶＰＮを定義するには、ＶＰＮ装置
５２０〜５２２の設定だけでなく通信の経路上にある図
示しない複数種類の装置の設定も行わなければならない
場合がある。図１８は、サイト内にファイアウォール装
置を備える場合のＶＰＮの構成を模式的に示す図であ
る。この図１８のサイト５５０において、５５１はＶＰ
Ｎ装置、５５２はファイアウォール装置である。このよ
うにＶＰＮ装置５５１の外側にファイアウォール装置５
５２が設置されている場合、該ファイアウォール装置５
５２のパケットフィルタリング機能に対して暗号化され
たパケットを通過させる設定を行わなければならない。
またファイアウォール装置５５２がアドレス変換を行っ
ている場合、暗号化プロトコルの種類によっては暗号化
されたパケットのポート番号が変わると正しく処理でき
ない場合があるので、暗号化されたパケットのポート番
号を変更しないように設定を行う必要がある。

【０００５】図１９は、ＶＰＮ機能を持ったモバイル端
末を用いて自宅等のサイト外からサイト内に接続するリ
モートアクセスＶＰＮの構成を模式的に示す図である。
ここで、５６０はサイトを、５６１はサイト５６０のＶ
ＰＮ装置を示している。５６２はリモートアクセスサー
バであり、リモートアクセスによる接続をサイト５６０
内に接続する役割を有する。そして、５６４はインター
ネットアクセスプロバイダのアクセスポイントを示して
いる。

【０００６】このようなリモートアクセスＶＰＮでは、
組織の建屋内からのアクセスであることが保証されてい
るサイト間ＶＰＮと異なり、モバイル端末からアクセス
してきたユーザが本当にそのプロジェクトのメンバであ
るかどうかを確認するためにリモートアクセスサーバで
はユーザ認証と呼ばれるプロセスを実行する。このた
め、リモートアクセスＶＰＮでは、接続を許されたユー
ザのリストや各ユーザの接続先、使用可能なサービスな
どについての設定も必要となる。また、リモートアクセ
スＶＰＮの中でも、アクセスサーバの設置方法には様々
な形態があるので、通信経路上に必要とされる装置がそ
れらの形態によって異なるものとなる。

【０００７】このように、ＶＰＮの設定では、設定経路
上に存在する複数種類の装置の設定を行わなくてはなら
ず、またＶＰＮを構築する対象ネットワークの形態によ
って設定対象装置が異なる。すなわち、設定対象ネット
ワークの個々の装置に対してそれぞれＶＰＮの設定を行
わなければならなかった。

【０００８】しかし、ＩＥＴＦ（Internet Engineering
Task Force）のポリシーフレームワーキンググループ
が開発したＰＣＩＭ（Policy Core Information Mode
l）およびＰＣＩＭｅ（Policy Core Information Model
Extentions）では、装置に対してロール（役割）を割
付け、ロールに対してポリシーを定義することを可能と
した。ここで、ポリシーとは、ネットワークを構成する
装置に対する設定を簡易にするための方法の一つであ
り、設定データを装置ベンダ固有の形式に依存しない抽
象化されたデータ構造で記述するものである。これらの
方法を用いることで、すべての装置に対して別々にポリ
シーを定義することが避けられ、ポリシー定義の作業効
率が向上した。

【０００９】

【発明が解決しようとする課題】しかしながら、これら
のＰＣＩＭやＰＣＩＭｅを用いた方法では、ＶＰＮ経路
上の複数の装置の相互動作を考慮した上で設定を行わな
ければならない点は従来と同様であり、ＶＰＮ経路上の
装置の設定はＶＰＮポリシー管理者の作業を煩雑にする
ものであるという問題点があった。

【００１０】この発明は、上記に鑑みてなされたもの
で、ＶＰＮを構築しようとしている設定経路上に存在す
る複数の装置に対するＶＰＮの設定データを容易に生成
することができるＶＰＮポリシー管理装置を得ることを
目的とする。

【００１１】

【課題を解決するための手段】上記目的を達成するた
め、この発明にかかるＶＰＮポリシー管理装置は、ＶＰ
Ｎを構築するために必要な機能で表現した複数のロール
からなる経路モデルと、前記経路モデルに対応して作成
され、該経路モデルを構成する各ロールに対して定義さ
れる一部に他のロールをパラメータとして含むＶＰＮポ
リシーと、前記設定経路上に存在する装置についての機
能、アドレス情報、および設定経路上での装置間の配置
関係を含む構成情報と、前記設定経路上の二つのエンド
ポイントに、前記経路モデルの終端部を定義するエンド
ロールが割当てられると、前記経路モデルのロールを前
記設定経路上の装置に割当てるとともに、前記ＶＰＮポ
リシーの中で他のロールをパラメータとして使用してい
るＶＰＮポリシーに、前記構成情報から抽出した前記他
のロールに対応する装置のアドレス情報を代入して設定
データを生成し、該設定データを前記設定経路上の各装
置に設定するＶＰＮ構築手段と、を備えることを特徴と
する。

【００１２】この発明によれば、インターネットを介し
て接続される設定経路上の二つのエンドポイント間にＶ
ＰＮを構築するためのＶＰＮポリシー管理装置が提供さ
れる。該ＶＰＮポリシー管理装置には、ＶＰＮを構築す
るために必要な機能で表現した複数のロールからなる経
路モデルと、前記経路モデルに対応して作成され、該経
路モデルを構成する各ロールに対して定義される一部に
他のロールをパラメータとして含むＶＰＮポリシーと、
前記設定経路上に存在する装置についての機能、アドレ
ス情報、および設定経路上での装置間の配置関係を含む
構成情報とが格納されている。そして、ＶＰＮ構築手段
によって、前記設定経路上の二つのエンドポイントに、
前記経路モデルの終端部を定義するエンドロールが割当
てられると、前記経路モデルのロールが前記設定経路上
の装置に割当てられる。また、前記ＶＰＮポリシーの中
で他のロールをパラメータとして使用しているＶＰＮポ
リシーに、前記構成情報から抽出された前記他のロール
に対応する装置のアドレス情報が代入され、設定データ
が生成される。そして、該設定データが前記設定経路上
の各装置に設定される。

【００１３】つぎの発明にかかるＶＰＮポリシー管理装
置は、ＶＰＮを構築するために必要な機能で表現した複
数のロールからなる経路モデルを格納している経路モデ
ル定義データベースと、前記経路モデルに対応して作成
され、該経路モデルを構成する各ロールに対して定義さ
れる一部に他のロールをパラメータとして含むＶＰＮポ
リシーを格納しているＶＰＮポリシー定義データベース
と、ＶＰＮを構築しようとするインターネットを介して
接続される二つのエンドポイント間の設定経路上に存在
する装置についての機能、アドレス情報、および設定経
路上での装置間の配置関係を含む構成情報を有するネッ
トワーク装置構成情報データベースと、前記設定経路と
適合する経路モデルが前記経路モデル定義データベース
から選択される経路モデル選択手段と、前記経路モデル
が選択されると、該経路モデルに対応するＶＰＮポリシ
ーが前記ＶＰＮポリシー定義データベースから選択され
るＶＰＮポリシー選択手段と、前記設定経路中に存在す
る装置またはセグメントをノードとし、前記エンドポイ
ントへ向かう方向に該ノードに隣接して接続されるセグ
メントまたは装置を子ノードとして幅優先で配置し、同
じノードが二度以上出現した場合であって、同じ経路に
出現したときには該ノードは配置せずにそこでノードの
展開処理を終了し、別の経路に出現したときには該ノー
ドを配置してそこでノードの展開処理を終了し、前記設
定経路中のインターネットをルートノードとしてこれら
のノードを階層化して配置したツリー構造を前記構成情
報に基づいて生成するツリー構造生成機能と、前記エン
ドポイントに対応するノードに前記経路モデルの終端部
を定義するエンドロールが割当てられると、前記経路モ
デルを満たす前記ノード間の前記ツリー構造上における
一以上の経路を抽出し、該一以上の経路の中から前記経
路モデルを満たすノードの配置関係を有する一の経路が
選択されるとともに、該経路上の装置に前記経路モデル
のロールを割当てるロール割当機能と、を含む経路モデ
ル割当手段と、前記経路上の装置にロールが割当てられ
ると、前記ＶＰＮポリシーの中で他のロールをパラメー
タとして使用しているＶＰＮポリシーに、前記ネットワ
ーク装置構成情報データベースに格納されている構成情
報から抽出した前記他のロールに対応する装置のアドレ
ス情報を代入して設定データを生成する設定データ生成
手段と、該生成された設定データを前記設定経路上の装
置に設定する設定手段と、を備えることを特徴とする。

【００１４】この発明によれば、インターネットを介し
て接続される二つのエンドポイント間の通信経路上にＶ
ＰＮを構築するためのＶＰＮポリシー管理装置が提供さ
れる。経路モデル定義データベースによって、ＶＰＮを
構築するために必要な機能で表現した複数のロールから
なる経路モデルが格納される。また、ＶＰＮポリシー定
義データベースによって、前記経路モデルに対応して作
成され、該経路モデルを構成する各ロールに対して定義
される一部に他のロールをパラメータとして含むＶＰＮ
ポリシーが格納される。そして、ネットワーク装置構成
情報データベースによって、ＶＰＮを構築しようとする
インターネットを介して接続される二つのエンドポイン
ト間の設定経路上に存在する装置についての機能、アド
レス情報、および設定経路上での装置間の配置関係を含
む構成情報が格納される。

【００１５】まず、経路モデル選択手段のツリー構造生
成手段によって、前記設定経路と適合する経路モデルが
前記経路モデル定義データベースから選択される。つぎ
に、ＶＰＮポリシー選択手段によって、前記経路モデル
が選択されると、該経路モデルに対応するＶＰＮポリシ
ーが前記ＶＰＮポリシー定義データベースから選択され
る。そして、経路モデル割当手段のツリー構造生成機能
によって、前記設定経路中に存在する装置またはセグメ
ントがノードとされ、前記エンドポイントへ向かう方向
に該ノードに隣接して接続されるセグメントまたは装置
が子ノードとして幅優先で配置される。この際、同じノ
ードが二度以上出現した場合であって、同じ経路に出現
したときには該ノードは配置されずにそこでノードの展
開処理が終了され、別の経路に出現したときには該ノー
ドが配置されてそこでノードの展開処理が終了される。
また、前記設定経路中のインターネットをルートノード
としてこれらのノードを階層化して配置したツリー構造
が前記構成情報に基づいて生成される。

【００１６】また、経路モデル選択手段のロール割当機
能によって、前記エンドポイントに対応するノードに前
記経路モデルの終端部を定義するエンドロールが割当て
られると、前記経路モデルを満たす前記ノード間の前記
ツリー構造上における一以上の経路が抽出され、該一以
上の経路の中から前記経路モデルを満たすノードの配置
関係を有する一の経路が選択されるとともに、該経路上
の装置に前記経路モデルのロールが割当てられる。

【００１７】つぎに、設定データ生成手段によって、前
記経路上の装置にロールが割当てられると、前記ＶＰＮ
ポリシーの中で他のロールをパラメータとして使用して
いるＶＰＮポリシーに、前記ネットワーク装置構成情報
データベースに格納されている構成情報から抽出した前
記他のロールに対応する装置のアドレス情報を代入して
設定データが生成される。そして、設定手段によって、
該生成された設定データが前記設定経路上の装置に設定
される。

【００１８】つぎの発明にかかるＶＰＮポリシー管理装
置は、上記の発明において、前記経路モデルは、ロール
ごとに、該ロールが必要とする機能条件、前記設定経路
上での位置が規定される構成条件、および前記ロールが
前記経路モデル中で必要とされる数が定義されているこ
とを特徴とする。

【００１９】この発明によれば、ロールごとに、該ロー
ルが必要とする機能条件、前記設定経路上での位置が規
定される構成条件、および前記ロールが前記経路モデル
中で必要とされる数が前記経路モデルに定義される。こ
の経路モデルによって、ＶＰＮ経路を構築するにあたっ
て必要な装置の情報が、機能や構成で表現される。

【００２０】

【発明の実施の形態】以下に、添付図面を参照して、こ
の発明にかかるＶＰＮポリシー管理装置の好適な実施の
形態について詳細に説明する。

【００２１】実施の形態１．図１は、この発明にかかる
ＶＰＮポリシー管理装置の実施の形態１を示すブロック
図である。ＶＰＮポリシー管理装置１は、管理用入出力
部２と、ＶＰＮ構築手段３と、経路モデル定義格納部４
と、ＶＰＮポリシー定義格納部５と、ネットワーク装置
構成情報格納部６とを備えている。ＶＰＮ構築手段３
は、さらに、経路モデル選択部１１と、ＶＰＮポリシー
選択部１２と、経路モデル割当部１３と、設定データ生
成部１４と、設定部１５と、選択／割当情報記憶部１６
とを含む構成となっている。また、設定部１５はＶＰＮ
経路上の各装置２０とネットワークなどの接続線２１を
介して接続されている。

【００２２】管理用入出力部２によって、ポリシー設計
者が経路モデルやＶＰＮポリシーの定義を行い、そして
ＶＰＮ管理者がネットワークを構成する装置の構成情報
やＶＰＮの設定を行う。経路モデル定義格納部４には、
ポリシー設計者によって定義された経路モデルが格納さ
れる。ＶＰＮポリシー定義格納部５には、ポリシー設計
者によって定義されたＶＰＮポリシーが格納される。こ
こで、ＶＰＮポリシー定義格納部５に格納されているＶ
ＰＮポリシーは、経路モデル定義格納部４に格納されて
いる経路モデルのいずれかと関連付けされている。ま
た、一つの経路モデルに対するＶＰＮポリシーは複数定
義することも可能である。ネットワーク装置構成情報格
納部６には、ＶＰＮ管理者によって予めネットワークを
構成する装置の構成情報が格納されている。ＶＰＮ構築
手段３は、ＶＰＮ管理者がＶＰＮを構築するための手段
であり、詳細についてはＶＰＮポリシー管理装置の動作
処理手順の箇所で後述する。

【００２３】最初に、この発明で重要な役割を果たす経
路モデルについて説明する。図２は、経路モデル定義格
納部４に格納される定義された経路モデルの一例を示す
図である。経路モデルとは、ＶＰＮの経路上に存在する
設定対象装置の列を、役割（以下、ロールという）の順
序列として抽象化して表現したものである。より詳しく
は、設定対象となるネットワーク上の装置列を、具体的
な装置名で定義するのではなく、要求される機能すなわ
ちロールという形で順序化して表現したものである。こ
の経路モデルは、ＶＰＮの形態別に定義される。そし
て、経路モデルの各ロールには、各ロールが実際の装置
に割当てるために必要な適用条件が定義されている。

【００２４】例えば、図２に示される経路モデルは、サ
イト間ＶＰＮを定義するものであり、この経路モデルを
定義する適用条件の項目として、「ロール名」、「機能
条件」、「構成条件」、「最小数」および「最大数」が
設定されている。

【００２５】ここで、「ロール名」は、経路モデル中で
ロールを一意に識別するための名称である。また、「機
能条件」は、装置に各ロールを割当てる場合に装置が持
つべき機能に関する条件である。

【００２６】「構成条件」は、装置に各ロールを割当て
る場合に、その装置が他のロールとの位置関係において
満たすべき条件である。この構成条件は、例えば一つの
経路内におけるインターネットなどの信頼できないネッ
トワークからの距離によって表現される。図２では、不
等号を用いて距離の大小を表し、不等号の小さい方がよ
りインターネットに近いことを表している。また、この
構成条件において、表中のある行はその行より上位の行
で定義済みのロールとの関係で位置が決められるように
なっている。ここで、構成条件の不等号にイコール
（＝）が含まれている場合には、その両側のロールが同
一装置に割当てられてもよいことを示している。

【００２７】「最小数」は、そのロールを割当てる装置
数の最小数である。この値が０である場合には、ＶＰＮ
を構築するにあたりそのロールに対応する装置は必ずし
も存在する必要はないことを意味している。また、「最
大数」は、そのロールを割当てる装置数の最大数であ
る。ネットワーク上では異なる目的で設置された装置で
あってもＶＰＮにとって同じ役割を持つ場合には、それ
ら複数の装置に対して同じロールが割当てられる。

【００２８】つぎに、この図２に示されたサイト間ＶＰ
Ｎの経路モデルを構成する各ロールについて説明する。

【００２９】最初に、ロール名「第一エンド」、「第二
エンド」について説明する。「第一エンド」、「第二エ
ンド」というロールは通信の両端のエンドポイントを指
すものである。機能条件として、「送受信機能」と定義
されているが、エンドポイントに配置される装置として
送受信機能を有することが必要なことを示している。エ
ンドポイントは最優先に決められるべきロールであるた
め、構成条件はエンドポイントに対しては存在しない。
したがって、図２中ではなんの条件も定義されていな
い。また、エンドポイントは必須の構成要件であるため
に、最小数は「１」と定義されている。最大数について
は、エンドポイントはグループであってもよいので、図
２中では最大数が複数と設定されている。

【００３０】つぎに、ロール名「第一ＶＰＮ」、「第二
ＶＰＮ」について説明する。「第一ＶＰＮ」、「第二Ｖ
ＰＮ」というロールは、ＶＰＮのトンネルの端点となる
ＶＰＮ装置を表わすものである。このロールに対する機
能条件として、ＩＰｓｅｃ機能を有すること、そして、
構成条件として、インターネットとエンドノード（エン
ドポイントを構成する機器）との中間に位置することが
定義されている。この構成条件中で、第一ＶＰＮと第一
エンドの位置関係にイコール（＝）が含まれているの
は、第一エンドを割当てられたノードがＩＰｓｅｃ機能
を持つ場合、このノードにさらに、第一ＶＰＮのロール
を割当て、該ノードが二つのロールを有してもよいこと
を意味している。第二ＶＰＮと第二エンドとの関係も同
様である。また、最小数、最大数ともに「１」であるの
で、第一ＶＰＮおよび第二ＶＰＮはそれぞれ一台必要で
ある。

【００３１】同様に、「第一外部ファイアウォール（図
中では「第一外部ＦＷ」と表記する）」、「第二外部フ
ァイアウォール（図中では「第二外部ＦＷ」と表記す
る）」というロールは、機能条件として、パケットフィ
ルタリング（ＰＦ）機能を有し、構成条件として、第一
ＶＰＮまたは第二ＶＰＮよりも外側でインターネットよ
りも内側に位置する装置であり、この経路モデルでは無
くてもよいし、複数設けてもよいことを表している。ま
た、「第一内部ファイアウォール（図中では「第一内部
ＦＷ」と表記する）」 、「第二内部ファイアウォール
（図中では「第二内部ＦＷ」と表記する）」というロー
ルは、機能条件として、パケットフィルタリング（Ｐ
Ｆ）機能を有し、構成条件として、第一ＶＰＮまたは第
二ＶＰＮよりも内側で第一エンドポイントまたは第二エ
ンドポイントよりも外側に位置する装置であり、この経
路モデルでは無くてもよいし、複数設けてもよいことを
表している。

【００３２】なお、上述した構成条件の説明において、
「内側」および「外側」という表現は、各エンドポイン
トからインターネットへ向かう方向を「外側」と定義し
たときの相対的な位置関係を表している。

【００３３】上述した経路モデルの構成条件に示された
インターネットとの位置関係から、第一エンド、第一Ｖ
ＰＮ、第一外部ファイアウォールおよび第一内部ファイ
アウォールが一つのサイトに存在すること、第二エン
ド、第二ＶＰＮ、第二外部ファイアウォールおよび第二
内部ファイアウォールが別の一つのサイトに存在するこ
とが表されている。

【００３４】つぎに、上述した経路モデルとともに、こ
の発明で重要な役割を果たすＶＰＮポリシーについて説
明する。図３および図４は、ＶＰＮポリシー定義格納部
５に格納される定義されたＶＰＮポリシーの一例であっ
て、図２に示された経路モデル定義に対して作成された
ＶＰＮポリシー定義を示す図である。すなわち、図２の
経路モデルに関連付けされて作成されたＶＰＮポリシー
を示す図である。

【００３５】この図３および図４に例示されるＶＰＮポ
リシーは、プロジェクトにおけるプロジェクトサーバと
プロジェクトに所属する端末との間のポリシーを定義し
た「プロジェクトサーバポリシー」である。このＶＰＮ
ポリシーには、プロジェクトに所属する端末からプロジ
ェクトサーバへのｔｅｌｎｅｔ（テルネット）接続を暗
号化通信により行うための規則が定義されている。

【００３６】図２の経路モデルを構成するロールのうち
このＶＰＮポリシーにおいて設定対象となるロール名
は、第一ＶＰＮ、第一外部ファイアウォール、第一内部
ファイアウォール、 第二ＶＰＮ、 第二外部ファイアウ
ォールおよび第二内部ファイアウォールである。したが
って、この図３および図４に示されるＶＰＮポリシーの
例ではこれらの各ロールに対するポリシーが定義されて
いる。

【００３７】このＶＰＮポリシーの中で、「設定先ロー
ル」には上記した設定対象となるロール名が格納され
る。この「設定先ロール」に対するＶＰＮポリシーとし
て「規則」が設けられる。ＶＰＮポリシーは、「規則」
の集合として定義されるので、一つのＶＰＮポリシーに
対して複数規則が存在することもある。この「規則」
は、発信元、発信先、サービスなどの設定項目を含む
「条件」と、アクション、対向装置、割当などの設定項
目を含む「アクション」との組み合わせとして記述され
る。そのため、図３および図４では、「規則」は「条
件」と「アクション」のさらに細かな項目からなる。ポ
リシー設定者がこれらを記述することによって、「「設
定先ロール」が「条件」を満たす場合には「アクショ
ン」が実行される」、という形式のＶＰＮポリシーが定
義される。

【００３８】つぎに、各設定先ロールに定義される規則
の内容について説明する。まず、「設定先ロール」がＶ
ＰＮの場合、「規則」の「条件」は、方向、発信元（Ｓ
ｒｃ）アドレス、発信先（Ｄｓｔ）アドレス、サービス
（Ｓｅｒｖｉｃｅ）などからなる。方向は、エンドポイ
ントからインターネットに向かう方向を外側と定義した
場合の該ロールに対応する装置を通過する情報の向きを
定めるものである。例えば、エンドポイントからインタ
ーネットへ向かう場合には“ｏｕｔ”、逆の場合には
“ｉｎ”となる。発信元アドレスと発信先アドレスは、
コンピュータやサブネット、ユーザなど、通信を自発的
に送受信するエンドポイントを定める。また、サービス
は、プロトコルやＴＣＰ／ＵＤＰ（Transmission Contr
ol Protocol／User Datagram Protocol）のポート番
号、ＩＣＭＰ（Internet Control Message Protocol）
のタイプやコードによって識別されるＩＰネットワーク
上の通信アプリケーションを指定するものである。

【００３９】一方、「規則」の「アクション」は、アク
ション（Ａｃｔｉｏｎ）、対向装置、割当（Ｐｒｏｐｏ
ｓａｌ）などからなる。アクションは発信元アドレス、
発信先アドレス、サービスで定義される「条件」に一致
したパケットを受信した装置が行うべき動作を定義する
ものである。対向装置は、該ロールを割当てられたＶＰ
Ｎ装置と対になるＶＰＮ装置を定めるものである。ま
た、割当は、暗号のアルゴリズムとしてどの方法を用い
るのかなどの定義を定めるものである。なお、ロール
「ＶＰＮ」に定義されるアクションには、つぎの三つの
種類が存在する。 （１）通過：受信したパケットをそのまま送信する。 （２）廃棄：受信したパケットを廃棄する。 （３）暗号化：受信したパケットを指定された方法で暗
号化または復号（暗号を解く）した後送信する。暗号化
の場合は暗号化の方法もアクションの一部として定義さ
れる。

【００４０】つぎに、「設定先ロール」がファイアウォ
ールの場合、「規則」の「条件」は、方向、発信元アド
レス、発信先アドレス、サービスからなり、これらに記
述する内容はＶＰＮの場合と同様である。一方の「アク
ション」は、アクションのみである。このアクション
は、ＶＰＮの場合と異なり、通過と廃棄の二種類となる
が、これらに記述する内容はＶＰＮと同様である。

【００４１】「設定先ロール」がアドレス変換（ＮＡ
Ｔ）装置の場合、「規則」の「条件」は、方向、発信元
アドレス、発信先アドレス、サービスからなり、これら
に記述する内容はＶＰＮの場合と同様である。一方の
「アクション」は、アクションのみである。このアクシ
ョンに記述する内容は、ＶＰＮやファイアウォールの場
合とは異なり、つぎのようになる。 （１）変換：受信したパケットのＩＰアドレス等を変換
した後送信する。変換の場合は変換方法も定義される。 （２）無変換：受信したパケットをそのまま送信する。

【００４２】このようにして、経路モデルの各ロールに
対してＶＰＮポリシーが記述される。例えば、図３にお
ける「設定先ロール」が第一ＶＰＮであるポリシーには
二つの規則が規定されており、そのうちの一つの「条
件」は「方向＝ｏｕｔ；Ｓｒｃ＝第一エンド；Ｄｓｔ＝
第二エンド；Ｓｅｒｖｉｃｅ＝ｔｅｌｎｅｔ」であり、
この条件に対する「アクション」は「Ａｃｔｉｏｎ＝暗
号；対向装置＝第二ＶＰＮ；Ｐｒｏｐｏｓａｌ＝ＡＢ
Ｃ」となっている。ここで、条件の「方向＝ｏｕｔ」は
第一エンドから第一ＶＰＮの外側に送信される通信を意
味している。そして、「Ｓｒｃ＝第一エンド」は発信元
ＩＰアドレスが第一エンドで指定される装置であること
を、「Ｄｓｔ＝第二エンド」は発信先ＩＰアドレスが第
二エンドで指定される装置であることを示している。ま
た、「Ｓｅｒｖｉｃｅ＝ｔｅｌｎｅｔ」はサービスとし
てｔｅｌｎｅｔ接続を使用する場合を定めている。一
方、アクションの「Ａｃｔｉｏｎ＝暗号」は上記の「条
件」を満たす場合の通信は暗号化することを示してい
る。「対向装置＝第二ＶＰＮ」は暗号化された通信の送
られる装置が第二ＶＰＮで定義されている装置であるこ
とを示している。そして、「Ｐｒｏｐｏｓａｌ＝ＡＢ
Ｃ」は暗号化のアルゴリズムとして“ＡＢＣ”という名
称のアルゴリズムを割当てることを示している。

【００４３】すなわち、「発信元アドレスとして第一エ
ンドを、発信先アドレスとして第二エンドを有し、ｔｅ
ｌｎｅｔ接続して第一ＶＰＮを外側に向かって流れる情
報であるならば、“ＡＢＣ”という暗号化方法によって
該情報を暗号化して第二ＶＰＮまで送信する」ことを定
義している。

【００４４】図３および図４中において、枠線で囲まれ
ている表示部分が、経路モデル内のロールを用いたパラ
メータである。これらの経路モデルへのＶＰＮポリシー
においては、発信元ＩＰアドレスなど具体的な装置が決
まらないと入力できない値を経路モデル内のロールをパ
ラメータとして表現できることを特徴とする。すなわ
ち、経路モデルに対するＶＰＮポリシーは、経路モデル
に含まれる各ロールに対して、経路モデルに含まれる自
分および他のロールをパラメータとして用いることを許
されたＶＰＮポリシー定義方法によって作成される。し
たがって、経路モデル中の各ロールは、それぞれ関連付
けされたポリシーによって構成されている。

【００４５】つぎに、この発明にかかるＶＰＮポリシー
管理装置１を用いたＶＰＮポリシー管理方法について説
明する。ただし、以下に説明するＶＰＮポリシー管理方
法において、ポリシー設計者によって予め経路モデル定
義格納部４に経路モデルが、また、ＶＰＮポリシー定義
格納部５にＶＰＮポリシーが、それぞれ既に格納されて
いる場合を前提とする。

【００４６】また、ＶＰＮを構築したいと考えている実
際のネットワーク（以下、実ネットワークという）上の
設定経路として、ＶＰＮ管理者は図５に示される経路を
考えているものとする。この図５において、実ネットワ
ーク１００はサイトＡとサイトＢとがインターネットを
介して接続されている。サイトＡ内にサーバＡ１０１、
ホストＢ１０２およびＶＰＮ装置Ｃ１０３が存在し、Ｖ
ＰＮ装置Ｃ１０３はサイトＡとインターネットとの境界
に配置されている。また、サイトＢ内には、ファイアウ
ォール装置Ｄ（図中では「ＦＷ装置Ｄ」と表記する）１
０４、ＶＰＮ装置Ｅ１０５、ホストＦ１０６、ホストＧ
１０７およびホストＨ１０８が存在しサイトＢとインタ
ーネットとの境界にファイアウォール装置Ｄ１０４が配
置されている。なお、この発明において、セグメントと
は、直結関係を含めたすべての装置間接続のことをいう
ものとする。

【００４７】図６は、図５に示される実ネットワーク上
の装置の構成情報である。また、この図６に示される構
成情報は、ネットワーク装置構成情報格納部６に格納さ
れているデータの形態でもある。この図に示されるよう
に、構成情報は、装置名、ＩＰアドレス、機能を含む情
報である。「装置名」には、実ネットワーク上の装置名
が格納されており、「ＩＰアドレス」は該装置のＩＰア
ドレスが、そして「機能」には該装置の有する機能が格
納されている。

【００４８】ここで、図５および図６から、サイトＡで
は、ＶＰＮ装置Ｃ１０３がパケットフィルタリング機能
とＩＰｓｅｃ機能とを有している。また、サイトＢで
は、サイトＢとインターネットとの入り口にあるファイ
アウォール装置Ｄ１０４がパケットフィルタリング機能
を有し、それよりも内側に位置するＶＰＮ装置Ｅ１０５
がＩＰｓｅｃ機能を有している。

【００４９】この図５に示される実ネットワーク１００
において、サイトＡとサイトＢにまたがったプロジェク
トが存在し、サイトＡのサーバＡ１０１がプロジェクト
サーバで、サイトＢのホストＦ１０６およびホストＧ１
０７がプロジェクトに参加する端末であり、サーバＡ１
０１と、ホストＦ１０６およびホストＧ１０７からなる
グループ（以下、グループＦＧという）１０９との間に
ＶＰＮを張る場合のＶＰＮポリシーの処理手順について
説明する。

【００５０】図７は、ＶＰＮポリシー管理装置の動作処
理手順を示すフローチャートである。まず、ＶＰＮ管理
者は、実ネットワーク上で、ＶＰＮを構築したい端末間
の経路を抽出する。ここでは、サーバＡ４０１とグルー
プＦＧ４１０間が、ＶＰＮを構築したい端末間の経路で
ある。ＶＰＮポリシー管理装置１の経路モデル選択部１
１は、管理用入出力部２を介してＶＰＮ管理者に対し
て、経路モデル定義格納部４に格納されている経路モデ
ルを表示する（ステップＳ１）。ＶＰＮ管理者は、表示
された経路モデルの中から、抽出した実ネットワークの
経路と合致すると思われる経路モデルを管理用入出力部
２から入力する。経路モデル選択部１１は、ＶＰＮ管理
者によって入力された経路モデルを経路モデル定義格納
部４より選択し、選択／割当情報記憶部１６に格納する
（ステップＳ２）。ここで、ＶＰＮ管理者が、図２に示
される経路モデルを選択したものとする。図８は、この
図２に対応する経路モデルのロール列を示す図である。

【００５１】つぎに、ＶＰＮポリシー選択部１２は、選
択／割当情報記憶部１６に格納された経路モデルと関連
付けされたＶＰＮポリシーをＶＰＮポリシー定義格納部
５より抽出し、管理用入出力部２を介してＶＰＮ管理者
に対して表示する（ステップＳ３）。ＶＰＮ管理者は、
表示されたＶＰＮポリシーの中からさらに構築しようと
しているＶＰＮに適当なＶＰＮポリシーを管理用入出力
部２から選択する。ＶＰＮポリシー選択部１２は、ＶＰ
Ｎ管理者によって入力されたＶＰＮポリシーをＶＰＮポ
リシー定義格納部５より選択し、選択／割当情報記憶部
１６に格納する（ステップＳ４）。ここで、ＶＰＮ管理
者は、図３に示されるＶＰＮポリシーを選択したものと
する。

【００５２】ＶＰＮ管理者は、管理用入出力部２から、
選択した経路モデル中のエンドポイントの二つのロール
を実ネットワーク上の装置に割当てる。図３に示される
ＶＰＮポリシーを図５の実ネットワーク１００上に適用
する場合に、図２または図８の経路モデル２００におけ
る第一エンド２１１が図５のサーバＡ１０１（プロジェ
クトサーバ）に、図２または図８の第二エンド２１９が
図５のグループＦＧ１０９（プロジェクトに所属する端
末）に対応している。したがって、ＶＰＮ管理者は、サ
ーバＡ１０１に「第一エンド２１１」を、グループＦＧ
１０９に「第二エンド２１９」を割当てる。これらの割
当てられた情報は、経路モデル割当部１３によって、選
択／割当情報記憶部１６に格納される（ステップＳ
５）。

【００５３】つぎに、ＶＰＮ管理者は、二つのエンドポ
イント間の経路上に存在するロールを、実ネットワーク
上の各装置に割当てる処理を行う。割当てにあたって、
最小数が１すなわち必須となっているロールから順に割
当を行う（ステップＳ６）。この際、ＶＰＮ管理者は、
図６に示される実ネットワーク上に存在する装置の構成
情報を参照しながら割当を行う。

【００５４】図２の経路モデルでは、第一ＶＰＮ２１３
および第二ＶＰＮ２１７が必須のロールであるので、ま
ず、これらの第一ＶＰＮ２１３および第二ＶＰＮ２１７
について割当てを行う。図５および図６より、サイト
Ａ、ＢのどちらにもＩＰｓｅｃ機能を有する装置が一つ
しかなく、そのいずれもが各エンドノード（エンドポイ
ント）とインターネットの中間に位置するという構成条
件を満たすので、経路モデル割当部１３は、サイトＡの
ＶＰＮ装置Ｃ１０３にロール「第一ＶＰＮ２１３」を、
サイトＢのＶＰＮ装置Ｅ１０５にロール「第二ＶＰＮ２
１７」を割当てる。そして、割当てられた結果は、選択
／割当情報記憶部１６に格納される。

【００５５】その後、最小数が０であるロールを順に割
当て、その結果を選択／割当情報記憶部１６に格納する
（ステップＳ７）。図５および図６より、サイトＢ間の
ファイアウォール装置Ｄ１０４はパケットフィルタリン
グ機能を有し、第二ＶＰＮ２１７に対応するＶＰＮ装置
Ｅ１０５とインターネットとの中間に位置しているの
で、ロール「第二外部ファイアウォール２１６」の適用
条件を満たしている。したがって、経路モデル割当部１
３は、ＶＰＮ管理者からの指示により、ファイアウォー
ル装置Ｄ１０４にロール「第二外部ファイアウォール２
１６」を割当てる。

【００５６】一方、図２または図８の経路モデル２００
中の「第一外部ファイアウォール２１４」というロール
は、パケットフィルタリング機能を有し、第一エンド２
１１よりもインターネットの側に位置する条件を有する
ものであるが、図５および図６より、実ネットワーク１
００上にはこれに対応する装置が存在しない。また、最
小数が“０”であるので、この「第一外部ファイアウォ
ール２１４」というロールは必須ではない。したがっ
て、図２のロール「第一外部ファイアウォール２１４」
は、図５の実ネットワーク１００上の装置には割当てら
れない。同様にして、図２または図８に示される経路モ
デル２００中の他のロール「第一内部ファイアウォール
２１２」および「第二内部ファイアウォール２１８」を
満たす装置も、図５の実ネットワーク１００上の装置に
は存在しないので、これらのロールは割当てられない。
このように、すべてのロールについて割当てを行った後
に、経路モデル割当部１３によるロールの割当作業は終
了する。

【００５７】図９は、経路モデル割当部１３によって割
当てられた実ネットワーク１００上の装置と経路モデル
２００のロールとの対応関係を示す図である。図９中の
点線３０１〜３０５が、実ネットワーク１００内の装置
と割当てたロールとの対応関係を示している。上述した
ように経路モデル２００への割当ての結果、サーバＡ１
０１に第一エンド２１１のロールが、グループＦＧ１０
９に第二エンド２１９のロールが、ＶＰＮ装置Ｃ１０３
に第一ＶＰＮ２１３のロールが、ＶＰＮ装置Ｅ１０５に
第二ＶＰＮ２１７のロールが、そしてファイアウォール
装置Ｄ１０４に第二外部ファイアウォール２１６のロー
ルが、それぞれ割当てられることになる。そして、これ
らの割当て結果は、上述したように選択／割当情報記憶
部１６に格納されている。

【００５８】つぎに、設定データ生成部１４は、これら
の割当結果と、ネットワーク装置構成情報格納部６に格
納されている装置の構成情報と、ＶＰＮポリシーとを用
いて、割当てられたこれらの個々の装置に対して設定デ
ータを生成する（ステップＳ８）。すなわち、これらの
割当てられた装置のそれぞれに対して、図３に示される
ＶＰＮポリシーが適用されるように設定される。ここ
で、設定データ生成部１４は、ＶＰＮポリシーに含まれ
るロールの部分に、割当結果である実ネットワーク１０
０上の装置の構成情報を代入する処理を行う。具体的に
は、ＶＰＮポリシーに含まれるロールの部分に、実ネッ
トワーク１００上の装置の構成情報に含まれるＩＰアド
レスが代入される。なお、ネットワーク装置構成情報格
納部６が無い場合やネットワーク装置構成情報格納部６
に該当する構成情報が入力されていない場合には、ここ
で管理用入出力部２よりそれぞれの装置の構成情報を入
力してもよい。このようにして、各装置に適用されるＶ
ＰＮポリシーが生成される。

【００５９】図１０は、この処理の結果として生成され
た設定データを表す図である。この図は、図３に示され
るＶＰＮポリシーのパラメータとしてロール名が入力さ
れている部分に、実ネットワーク上のＩＰアドレスが入
力され、不要の装置についてのロールを削除したもので
ある。そして、この設定データは、設定データ生成部１
４によって選択／割当情報記憶部１６に格納される。

【００６０】その後、設定部１５は、選択／割当情報記
憶部１６に格納された設定データにしたがって、実ネッ
トワーク上の各装置に対して設定を行う（ステップＳ
９）。設定部１５は、ネットワークなどの接続線２１を
介して実ネットワーク上の各装置と接続されており、設
定情報を各装置に送信し、設定することができる。そし
て、ＶＰＮを構築しようとする実ネットワーク上の装置
に対するＶＰＮポリシーの設定が終了する。

【００６１】以上説明したように、この実施の形態１に
よれば、装置の備えるべき機能で表現されたロール列か
らなる経路モデルと、該経路モデルを構成する各ロール
に対して定義されたＶＰＮポリシーに基づいて、設定経
路にＶＰＮポリシーを設定するようにしたので、設定経
路上の装置にＶＰＮポリシーを割当てるだけで、各装置
に対する設定データを生成することができる。また、Ｖ
ＰＮポリシーには、各装置間の関係が関連付けされてい
るので、ＶＰＮの構築を容易にすることができる。そし
て、それまで装置ごとに行っていた設定作業を、一つの
経路を単位として行う設定作業とすることができ、ＶＰ
Ｎ構築の作業時におけるＶＰＮ管理者の作業負担を軽減
することができるという効果を奏する。

【００６２】実施の形態２．図１１は、この発明にかか
るＶＰＮポリシー管理装置の実施の形態２を示すブロッ
ク図である。この図１１において、実施の形態１と異な
る箇所は、ネットワーク装置構成情報格納部６に、実ネ
ットワーク上の装置の配置構成を示す情報についても格
納される点、および経路モデル割当部１３がツリー構造
生成機能１３ａとロール割当機能１３ｂとを有するよう
に構成されている点である。その他の構成要素であって
上述した実施の形態１と同一の構成要素には、同一の符
号を付してその説明を省略している。

【００６３】ネットワーク装置構成情報格納部６には、
ＶＰＮを構築しようとしている実ネットワーク上の設定
経路における他の装置との配置関係がさらに格納され
る。図１２は、ネットワーク装置構成情報格納部６に格
納される設定経路上の各装置の構成情報およびセグメン
ト情報の一例を示す図である。また、図１３は図１２に
格納されている各装置の構成情報およびセグメント情報
の基となるＶＰＮを構築しようとしている設定経路の模
式図を示すものである。

【００６４】図１２（Ａ）に示される設定経路上の装置
の構成情報は、図６に示される構成情報に加えて、各装
置間の配置位置が規定される項目としての「保有インタ
フェース」が設けられている。この保有インタフェース
には、隣接する装置との間のインタフェース名が格納さ
れる。また、図１２（Ｂ）は、ネットワーク装置構成情
報格納部６に上述した（Ａ）の構成情報とは別に格納さ
れるセグメント情報の一例を示す図である。このセグメ
ント情報には、各装置間を接続する「セグメント名」と
その「接続インタフェース」が格納される。ここで、図
１３に示されるように各装置とインターネット側のセグ
メントとのインタフェースは、各装置の英数字に「１」
を付して表し、それとは反対側の各装置とセグメントと
のインタフェースは、各装置の英数字に「２」を付して
表している。例えば、図１３において、ＶＰＮ装置Ｃ４
０３は、インタフェースＣ１とＣ２の二つのインタフェ
ースを有し、そのうちインタフェースＣ１はインターネ
ット側のセグメント１と接続され、インタフェースＣ２
はエンドポイント側のセグメント２と接続される。

【００６５】また、ツリー構造生成機能１３ａは、ネッ
トワーク装置構成情報格納部６に格納されている設定経
路上の装置からツリーを生成する機能を有し、ロール割
当機能１３ｂは、ツリー構造生成機能１３ａによって生
成されたツリーから経路モデルに適合するエンドポイン
ト間の経路を選択し、該経路上の装置にロールを割当て
る機能を有する。

【００６６】つぎに、ＶＰＮポリシー管理装置１によっ
て、エンドポイント間の装置を自動検出する動作処理手
順について図１４を参照しながら説明する。図１５は、
図１３に示される設定経路を有する装置同士の隣接関係
をツリー表示した図である。なお、この実施の形態２で
の経路モデルおよびＶＰＮポリシーは上述した実施の形
態１で使用した図２および図３を用いるものとする。

【００６７】まず、ＶＰＮ管理者によって、管理用入力
部２から図１３に示されるサーバＡおよびホストＦ４０
７とホストＧ４０８からなるグループＦＧ４１０との間
に、ＶＰＮを構築しようとしている設定経路が設定され
る（ステップＳ１１）。この設定においては、ＶＰＮ管
理者は、ネットワーク装置構成情報格納部６より設定経
路上に存在する装置を選択し、さらに該装置の配置情報
を管理用入力部２より入力する。ここで入力される配置
情報は、図１２（Ａ）の構成情報中の「保有インタフェ
ース」および（Ｂ）のセグメント情報である。

【００６８】つぎに、実施の形態１の図７で説明したス
テップＳ１〜Ｓ５と同じ処理を行って、設定経路上の装
置に経路モデル上のエンドロールを割当てる（ステップ
Ｓ１２〜Ｓ１６）。すなわち、経路モデルと該経路モデ
ルに対応するＶＰＮポリシーを選択した後に、設定経路
上のサーバＡ４０１に図２に例示される経路モデルの第
一エンドを、グループＦＧ４１０に同じく第二エンドを
割当て、選択／割当情報記憶部１６に格納する。

【００６９】その後、経路モデル割当部１３のツリー構
造生成機能１３ａによって、ステップＳ１１で入力され
た設定経路から図１５に示されるツリー構造が生成され
る（ステップＳ１７）。ここで、このツリー構造を生成
するための動作処理手順を図１６に示すフローチャート
を参照しながら説明する。

【００７０】まず、経路モデル割当部１３のツリー構造
生成機能１３ａは、ＶＰＮ管理者によって入力された設
定経路から、インターネットなどの信頼性の低いネット
ワークをルートとして設定する（ステップＳ２１）。そ
して、設定したルートを最初の処理中のノードとし（ス
テップＳ２２）、該処理中のノードからエンドポイント
方向に隣接して接続される装置またはセグメントを該ノ
ードの子ノードとして、幅優先で配置する（ステップＳ
２３）。

【００７１】ツリー構造生成機能１３ａは、子ノードと
して配置されたノードを、つぎに処理中のノードとして
設定する（ステップＳ２４）。そして、該処理中のノー
ドに子ノードに対応する装置またはセグメントが存在す
るか否かを判断する（ステップＳ２５）。ここで、子ノ
ードに対応する装置またはセグメントとは、処理中のノ
ードにエンドポイント方向に隣接して接続される装置ま
たはセグメントのことをいう。もし、処理中のノードに
子ノードに対応する装置またはセグメントが存在しない
と判断された場合（ステップＳ２５でＮｏの場合）に
は、その経路でのツリーの展開処理は該ノードで終了す
る。これに対して、もし、処理中のノードに子ノードに
対応する装置またはセグメントが存在する場合（ステッ
プＳ２５でＹｅｓの場合）には、該子ノードに対応する
装置またはセグメントが、ツリー全体で既に存在してい
るか否かを判断する（ステップＳ２６）。子ノードに対
応する装置またはセグメントが、ツリー全体で存在して
いないと判断された場合（ステップＳ２６でＮｏの場
合）には、該装置またはセグメントを処理中のノードの
子ノードとして配置する（ステップＳ２７）。その後、
ステップＳ２４に戻って、ツリー構造生成機能１３ａに
よって、上述した工程が繰り返し実行される。

【００７２】一方、ステップＳ２６において、子ノード
に対応する装置またはセグメントが、ツリー全体で既に
存在していると判断された場合（ステップＳ２６でＹｅ
ｓの場合）には、既に存在しているその装置またはセグ
メントに対応するノードが、処理中のノードが展開して
いる経路中に存在するのか否かについて判断を行う（ス
テップＳ２８）。もし、既に存在している装置またはセ
グメントに対応するノードが現在展開している経路中に
存在するのであれば（ステップＳ２８でＹｅｓの場
合）、子ノードに対応する装置またはセグメントの配置
処理は行われず（ステップＳ２９）、その経路でのツリ
ーの展開処理が終了する。これに対して、もし、既に存
在しているノードが現在展開している経路中に存在して
いないのであれば（ステップＳ２８でＮｏの場合）、子
ノードに対応する装置またはセグメントを処理中のノー
ドの子ノードとして配置する処理を行い（ステップＳ３
０）、その経路でのツリーの展開処理は該配置したノー
ドで終了する。このようにして全ての経路の展開が中止
すると、すべての処理は終了する。

【００７３】このようにツリー構造生成機能１３ａによ
って、図１５に示されるツリーが図１３に示される設定
経路から生成される。そして、生成されたツリーにおい
て、任意の二つのノード間の経路は、実際のネットワー
ク上での経路と一致するものとなる。

【００７４】再び図１４に戻り、経路モデル割当部１３
のロール割当機能１３ｂは、ツリー構造生成機能１３ａ
によって生成されたツリー上のノードに経路モデルのロ
ールを割当てる処理を行う（ステップＳ１８）。

【００７５】ロール割当機能１３ｂは、ＶＰＮ管理者に
よって設定されたエンドポイント間の経路を、図１５に
示されるツリーから求める。この例の場合には、つぎの
二つの場合が存在することがわかる。経路（Ａ）サーバ
Ａ４０１−セグメント２−ＶＰＮ装置Ｃ４０３−セグメ
ント１−インターネット４１１−セグメント３−ルータ
Ｉ４０４−セグメント４−ファイアウォール装置Ｄ４０
５−セグメント５−グループＦＧ４１０経路（Ｂ）サー
バＡ４０１−セグメント２−ＶＰＮ装置Ｃ４０３−セグ
メント１−インターネット４１１−セグメント３−ルー
タＩ４０４−セグメント４−ＶＰＮ装置Ｅ４０６−セグ
メント５−グループＦＧ４１０

【００７６】つぎに、ロール割当機能１３ｂは、割当て
の必須なロールである第一ＶＰＮおよび第二ＶＰＮの割
当てを行う。第一ＶＰＮおよび第二ＶＰＮにはＩＰｓｅ
ｃ機能が必要であり、またそれはインターネットと第一
エンドまたは第二エンドとの中間に配置される必要があ
る。しかし、上記（Ａ）の経路には、ＩＰｓｅｃ機能を
有する第二ＶＰＮに該当する装置が存在しないことがわ
かる。これに対して、（Ｂ）の経路では、ＶＰＮ装置Ｃ
４０３に第一ＶＰＮを、ＶＰＮ装置Ｅ４０６に第二ＶＰ
Ｎをそれぞれ割当てることができる。したがって、ロー
ル割当機能１３ｂは、第一エンドと第二エンドとの間を
結ぶ経路として、（Ｂ）の経路を選択する。

【００７７】そして、ロール割当機能１３ｂは、選択さ
れた（Ｂ）の経路のうち、図２に示される経路モデル中
の他のロールの機能および構成条件、具体的には、最小
数が“０”であるロールの機能および構成条件を満たす
装置を求める。この図１３および図１５に示される例で
は、最小数が“０”のロールとして、第一外部ファイア
ウォール、第二外部ファイアウォール、第一内部ファイ
アウォールおよび第二内部ファイアウォールがあるが、
これらのロールの機能条件と構成条件の両者を満足する
装置は（Ｂ）の経路上には存在しない。したがって、ロ
ール割当機能１３ｂは、これらの最小数が“０”である
ロールを割当てる装置が存在しないと判断し、これらの
割当処理を行わない。これらの割当結果は、選択／割当
情報記憶部１６に格納される。このようにしてすべての
ロールに対して割当処理が行われた後に、設定経路上の
装置の検出が終了する。

【００７８】その後、設定データ生成部１４は、これら
の割当結果と、ネットワーク装置構成情報格納部６に格
納されている構成情報と、ＶＰＮポリシーとを用いて、
これらの個々の装置に対して設定データを生成し、選択
／割当情報記憶部１６に格納する（ステップＳ１９）。
そして、設定部１５は、選択／割当情報記憶部１６に格
納された設定データにしたがって、接続線２１を介して
接続された設定経路上の各装置に対して設定を行う（ス
テップＳ２０）。そして、ＶＰＮを構築しようとする実
ネットワーク上の装置に対するＶＰＮポリシーの設定が
終了する。

【００７９】以上説明したように、この実施の形態２に
よれば、インターネットをルートとした隣接関係のツリ
ーを生成し、ツリーのエンドノードに経路モデルのエン
ドロールを割当てることによって、エンドノード間の経
路を自動的に求めることが可能となる。そして、この方
法によって、ＶＰＮ管理者は、ＶＰＮを張りたいエンド
ポイントを指定することにより、エンドポイント間に存
在する装置構成を意識することなくＶＰＮを構築できる
ようになり、ＶＰＮ管理の作業効率がさらに向上する。

【００８０】

【発明の効果】以上説明したように、この発明によれ
ば、ＶＰＮを構築するために必要な機能で表現した複数
のロールからなる経路モデルと、前記経路モデルに対応
して作成され、該経路モデルを構成する各ロールに対し
て定義される一部に他のロールをパラメータとして含む
ＶＰＮポリシーとを備え、設定経路上の二つのエンドポ
イントに経路モデルの終端部を定義するエンドロールが
割当てられると、経路モデルのロールを設定経路上の装
置に割当てて、ＶＰＮポリシーから設定データを生成す
るＶＰＮ構築手段とを備えるように構成したので、ＶＰ
Ｎを構築する設定経路上の各装置間の関係が関連付けさ
れ、ＶＰＮの構築を容易にすることができる。また、Ｖ
ＰＮの構築にあたって、設定作業を装置ごとではなく、
一つの経路を単位として行うことができ、ＶＰＮ管理者
の作業負担を軽減することができるという効果を奏す
る。

【００８１】つぎの発明によれば、設定経路中に存在す
る装置またはセグメントの接続関係を、インターネット
をノードとしたツリー構造を生成し、該ツリー構造を用
いて設定経路上の装置に経路モデルのロールを割当てる
ように構成したので、ＶＰＮ管理者は、ＶＰＮを張りた
いエンドポイントを指定するだけで、エンドポイント間
に存在する装置構成を意識することなくＶＰＮを構築で
きるようになり、ＶＰＮ管理の作業効率がさらに向上す
るという効果を奏する。

【００８２】つぎの発明によれば、経路モデルが、必要
とする機能条件、前記設定経路上での位置が規定される
構成条件、および経路モデル中で必要とされる数によっ
て定義された、複数のロールによって構成されているの
で、装置に依存しない汎用性の高い設定条件を提供する
ことができるという効果を奏する。また、同じような構
成のＶＰＮを構築する際において、経路モデルを備える
ことにより、ＶＰＮを構築するたびに装置の動作処理条
件を設定しなくてすむので、ＶＰＮ管理者の作業効率を
向上させることができるという効果も奏する。

【図面の簡単な説明】

【図１】 この発明の実施の形態１のＶＰＮポリシー管
理装置の構成を示すブロック図である。

【図２】 経路モデルの一例を示す図である。

【図３】 図２の経路モデルに対応するＶＰＮポリシー
の一例を示す図である（その１）。

【図４】 図２の経路モデルに対応するＶＰＮポリシー
の一例を示す図である（その２）。

【図５】 ＶＰＮを構築しようとしている実際のネット
ワーク上の経路の一例を示す図である。

【図６】 図５の実際のネットワーク上の経路を構成す
る装置の構成情報の一例を示す図である。

【図７】 ＶＰＮ構築の処理手順を示すフローチャート
である。

【図８】 図２の経路モデルのロール名を構成条件にし
たがって配列した図である。

【図９】 図５の実際のネットワーク上の経路と、図８
の経路モデルとの対応関係を示す図である。

【図１０】 ＶＰＮ構築手段によって生成された設定デ
ータの一例を示す図である。

【図１１】 この発明の実施の形態２のＶＰＮポリシー
管理装置の構成を示すブロック図である。

【図１２】 ネットワーク装置構成情報格納部に格納さ
れている装置の構成情報の一例を示す図であり、（Ａ）
は装置の構成情報を、（Ｂ）はセグメント情報を示して
いる。

【図１３】 この発明の実施の形態２を説明するための
実際のネットワーク上の経路の一例を示す図である。

【図１４】 ＶＰＮ構築の処理手順を示すフローチャー
トである。

【図１５】 実施の形態２の方法によって、図１３のネ
ットワーク構成をツリー表示した図である。

【図１６】 設定経路からツリー構造を生成する処理手
順を示すフローチャートである。

【図１７】 従来のＶＰＮの構成を示す図である。

【図１８】 従来のＶＰＮの構成を示す図である。

【図１９】 従来のＶＰＮの構成を示す図である。

【符号の説明】

１ ＶＰＮポリシー管理装置、２ 管理用入出力部、３
ＶＰＮ構築手段、４経路モデル定義格納部、５ ＶＰ
Ｎポリシー定義格納部、６ ネットワーク装置構成情報
格納部、１１ 経路モデル選択部、１２ ＶＰＮポリシ
ー選択部、１３ 経路モデル割当部、１３ａ ツリー構
造生成機能、１３ｂ ロール割当機能、１４ 設定デー
タ生成部、１５ 設定部、１６ 選択／割当情報記憶
部、２０装置、２１ 接続線。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 高野 啓 東京都千代田区丸の内二丁目２番３号 三 菱電機株式会社内 (72)発明者 金枝上 敦史 東京都千代田区丸の内二丁目２番３号 三 菱電機株式会社内 Ｆターム(参考） 5K030 GA15 GA17 HA08 HC01 JA10 KA07 LB05 MD04 MD06

Claims (3)

【特許請求の範囲】
1. 【請求項１】 インターネットを介して接続される二つ
   のエンドポイント間の通信経路上にＶＰＮを構築するた
   めのＶＰＮポリシー管理装置であって、 ＶＰＮを構築するために必要な機能で表現した複数のロ
   ールからなる経路モデルと、 前記経路モデルに対応して作成され、該経路モデルを構
   成する各ロールに対して定義される一部に他のロールを
   パラメータとして含むＶＰＮポリシーと、 前記設定経路上に存在する装置についての機能、アドレ
   ス情報、および設定経路上での装置間の配置関係を含む
   構成情報と、 前記設定経路上の二つのエンドポイントに、前記経路モ
   デルの終端部を定義するエンドロールが割当てられる
   と、前記経路モデルのロールを前記設定経路上の装置に
   割当てるとともに、前記ＶＰＮポリシーの中で他のロー
   ルをパラメータとして使用しているＶＰＮポリシーに、
   前記構成情報から抽出した前記他のロールに対応する装
   置のアドレス情報を代入して設定データを生成し、該設
   定データを前記設定経路上の各装置に設定するＶＰＮ構
   築手段と、を備えることを特徴とするＶＰＮポリシー管
   理装置。
2. 【請求項２】 ＶＰＮを構築するために必要な機能で表
   現した複数のロールからなる経路モデルを格納している
   経路モデル定義データベースと、 前記経路モデルに対応して作成され、該経路モデルを構
   成する各ロールに対して定義される一部に他のロールを
   パラメータとして含むＶＰＮポリシーを格納しているＶ
   ＰＮポリシー定義データベースと、 ＶＰＮを構築しようとするインターネットを介して接続
   される二つのエンドポイント間の設定経路上に存在する
   装置についての機能、アドレス情報、および設定経路上
   での装置間の配置関係を含む構成情報を有するネットワ
   ーク装置構成情報データベースと、 前記設定経路と適合する経路モデルが前記経路モデル定
   義データベースから選択される経路モデル選択手段と、 前記経路モデルが選択されると、該経路モデルに対応す
   るＶＰＮポリシーが前記ＶＰＮポリシー定義データベー
   スから選択されるＶＰＮポリシー選択手段と、 前記設定経路中に存在する装置またはセグメントをノー
   ドとし、前記エンドポイントへ向かう方向に該ノードに
   隣接して接続されるセグメントまたは装置を子ノードと
   して幅優先で配置し、同じノードが二度以上出現した場
   合であって、同じ経路に出現したときには該ノードは配
   置せずにそこでノードの展開処理を終了し、別の経路に
   出現したときには該ノードを配置してそこでノードの展
   開処理を終了し、前記設定経路中のインターネットをル
   ートノードとしてこれらのノードを階層化して配置した
   ツリー構造を前記構成情報に基づいて生成するツリー構
   造生成機能と、前記エンドポイントに対応するノードに
   前記経路モデルの終端部を定義するエンドロールが割当
   てられると、前記経路モデルを満たす前記ノード間の前
   記ツリー構造上における一以上の経路を抽出し、該一以
   上の経路の中から前記経路モデルを満たすノードの配置
   関係を有する一の経路が選択されるとともに、該経路上
   の装置に前記経路モデルのロールを割当てるロール割当
   機能と、を含む経路モデル割当手段と、 前記経路上の装置にロールが割当てられると、前記ＶＰ
   Ｎポリシーの中で他のロールをパラメータとして使用し
   ているＶＰＮポリシーに、前記ネットワーク装置構成情
   報データベースに格納されている構成情報から抽出した
   前記他のロールに対応する装置のアドレス情報を代入し
   て設定データを生成する設定データ生成手段と、 該生成された設定データを前記設定経路上の装置に設定
   する設定手段と、を備えることを特徴とするＶＰＮポリ
   シー管理装置。
3. 【請求項３】 前記経路モデルは、ロールごとに、該ロ
   ールが必要とする機能条件、前記設定経路上での位置が
   規定される構成条件、および前記ロールが前記経路モデ
   ル中で必要とされる数が定義されていることを特徴とす
   る請求項１または２に記載のＶＰＮポリシー管理装置。