【０００１】
【発明の属する技術分野】
本発明は、インターネット電話が可能なネットワークにおいてパケット中継に用いられるネットワーク機器に係り、特に、あるネットワークにあるエンドポイントがブロードキャストドメインの異なるネットワークにあるゲートキーパの接続サービスを利用する際に好適なネットワーク機器に関するものである。
【０００２】
【従来の技術】
ＶＩＯＰ（Ｖｏｉｃｅ Ｏｖｅｒ ＩＰ）とは、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）による音声通信のことである。以下では、一般に使用されているインターネット電話という呼称で記載する。
【０００３】
インターネット電話において電話機に相当するパソコン等の音声機能付きの端末をエンドポイントと呼ぶ。エンドポイントから他のエンドポイントへのインターネット電話の接続をサービスする機器をゲートキーパと呼ぶ。エンドポイントがゲートキーパから接続サービスを受けるためには、予めゲートキーパにエンドポイントを特定する情報を登録しておく必要がある。この登録は、端末が起動されたとき若しくは端末をエンドポイントとして動作させるソフトウェアが起動されたときに行われるので、エンドポイントとゲートキーパとの間で取り交わされるシーケンスを初期登録シーケンスと呼ぶ。初期登録シーケンスとして、例えば、ＩＴＵ−Ｔ Ｈ．３２３勧告が知られている。以下では、この勧告をＨ．３２３と呼ぶ。Ｈ．３２３に準拠したエンドポイントをＨ．３２３エンドポイント、Ｈ．３２３に準拠したゲートキーパをＨ．３２３ゲートキーパと呼ぶことがある。また、添付図面においては、エンドポイントをＥＰ、ゲートキーパをＧＫと略記する。
【０００４】
Ｈ．３２３における初期登録シーケンスには、２通りの方式がある。まず、第一の方式では、初期登録シーケンスを開始する以前に予めエンドポイントにゲートキーパのＩＰアドレスが設定してあり、エンドポイントはこのＩＰアドレスを宛先としたユニキャストによりゲートキーパに登録のためのパケットを送信する。第二の方式では、エンドポイントは初期登録シーケンスを開始する以前にはゲートキーパのＩＰアドレスを知っておらず、ゲートキーパのＩＰアドレスを調べる（ゲートキーパを探索する）ために探索パケットと呼ばれるパケットをマルチキャストで送信する。この探索パケットを受信したゲートキーパは、そのゲートキーパのＩＰアドレスをエンドポイントに応答して通知する。これにより、エンドポイントはゲートキーパのＩＰアドレスを知ることができたので、このＩＰアドレスを宛先としたユニキャストによりゲートキーパに登録のためのパケットを送信することができる。
【０００５】
エンドポイントからゲートキーパに登録する種々の情報の中には、エイリアスアドレス（ａｌｉａｓ ａｄｄｒｅｓｓ）及び呼制御アドレスの２つのアドレスがある。エイリアスアドレス（別名アドレスとも、或いは単にエイリアスとも呼ばれる）には様々の規格・種類がある。このうち、Ｅ．１６４は、内線電話番号のようなもので、数字のみで記述される。Ｈ．３２３ＩＤは、英数字で記述される。Ｅメールアドレス形式は、Ｅメールで使用されるアドレス形式である。ＵＲＬアドレス形式は、ＵＲＬで使用されるアドレス形式である。これらのエイリアスアドレスのいずれかをゲートキーパに登録しておくことで、ゲートキーパからエイリアスアドレスによる接続サービスを受けることができる。例えば、Ｅメールアドレスが登録してあれば、そのＥメールアドレス宛の電話接続要求がエンドポイントに届くようになる。
【０００６】
第一の方式では、エンドポイントに予めゲートキーパのＩＰアドレスを手動操作により設定しておく必要がある。エンドポイントである端末を初めてネットワークに接続したときに、そのネットワークから利用可能なゲートキーパのＩＰアドレスを、手動操作により設定するのはユーザにとって負担が大きい。その点、第二の方式では、初期登録シーケンスによる自動探索が行われるので、ユーザには負担がなく、好適である。
【０００７】
しかし、第二の方式では、マルチキャストによってゲートキーパを探索しているため、エンドポイントとゲートキーパのブロードキャストドメインが同一であることが必要である。それは、ブロードキャストドメインが異なるネットワークに対してはマルチキャストのパケットを中継できず、探索が成功しないからである。従って、あるネットワークにあるエンドポイントがブロードキャストドメインの異なるネットワークにあるゲートキーパの接続サービスを利用することはできない。しかしながら、ひとつのブロードキャストドメインに全てのエンドポイント及びゲートキーパを収容しようとすると、そのブロードキャストドメインを持つネットワークの規模が膨大になる。このような大規模ネットワークを運用することは事実上不可能である。
【０００８】
また、第一、第二の方式によらず、ゲートキーパのＩＰアドレスをユーザが人為的に知り得た場合、そのユーザはエンドポイントにゲートキーパのＩＰアドレスを手動操作により設定すれば、初期登録シーケンスを行うことができる。一般に、ゲートキーパは、ユーザを制限することなく初期登録シーケンスを受理するので、本来は接続サービスを受ける権利のない不当（不正）なユーザでもこのゲートキーパに対してエンドポイントの初期登録が可能になり、不正利用を防止しにくい。
【０００９】
【特許文献１】
特開２００１−３１３６７６号公報
【００１０】
【発明が解決しようとする課題】
本発明は、ネットワーク間に設けられるネットワーク機器に新規な機能を持たせることにより、前述した諸問題を解決すると共に、インターネット電話の利便性、安全性、確実性をより高めようとするものである。具体的な目論見は、次のとおりである。
【００１１】
１）異なるブロードキャストドメインを持つネットワークにも探索パケットを中継し、同一ブロードキャストドメイン以外においても自動探索できるようにする。これにより、探索の範囲が広がり、異なるブロードキャストドメインのゲートキーパからの接続サービスを受けられるようになる。
【００１２】
２）エンドポイントのＭＡＣアドレスに基づいてエンドポイントの正当性を認定し、不当なエンドポイントには接続サービスを拒否できるようにする。これにより、エンドポイントのモバイビリティ（機動性）とセキュリティが向上する。
【００１３】
３）エンドポイントのＭＡＣアドレスに基づいて、初期登録するゲートキーパの割振りを行うようにする。これにより、エンドポイントを移動させたときなどにおいても、所定のゲートキーパに初期登録させることができるようになる。また、エンドポイントへＩＰアドレスをダイナミックに付与するＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）などの環境においても問題がなくなる。
【００１４】
４）ゲートキーパを常用系と待機系に二重化し、常用系のゲートキーパの稼働状態を監視し、常用系のゲートキーパがダウンしたとき待機系のゲートキーパに切り替えるようにする。
【００１５】
５）エンドポイントの利用をユーザ単位で制御し、同一のエンドポイントにおいてもユーザ毎に利用制限できるようにする。これにより、確実性の高いユーザ認証を実現することができる。
【００１６】
即ち、本発明の目的は、上記課題を解決し、あるネットワークにあるエンドポイントがブロードキャストドメインの異なるネットワークにあるゲートキーパの接続サービスを利用する際に好適なネットワーク機器を提供することにある。
【００１７】
【課題を解決するための手段】
上記目的を達成するために本発明は、エンドポイントが存在しているネットワークと、このネットワークとはブロードキャストドメインを異にし接続サービスを行うゲートキーパが存在しているネットワークとの間に設けられるネットワーク機器であって、ゲートキーパのアドレスを予め記憶しており、エンドポイントがゲートキーパを探索するためにマルチキャストで送信した探索パケットを受信したとき、前記記憶しているゲートキーパのアドレスを前記エンドポイントに対して応答するものである。
【００１８】
２つ以上のゲートキーパのアドレスを予め記憶しており、これらゲートキーパに対して接続サービスが可能な状態かどうか問い合わせ、接続サービスが可能なゲートキーパのアドレスを応答してもよい。
【００１９】
また、本発明は、エンドポイントが存在しているネットワークと、このネットワークとはブロードキャストドメインを異にし接続サービスを行うゲートキーパが存在しているネットワークとの間に設けられるネットワーク機器であって、ゲートキーパのアドレスを予め記憶しており、エンドポイントがゲートキーパを探索するためにマルチキャストで送信した探索パケットを受信したとき、この探索パケットの宛先を前記記憶しているゲートキーパのアドレスに書き替えてユニキャストで送信するものである。
【００２０】
接続サービスを利用できる正当なエンドポイントのアドレスを予め記憶しており、前記探索パケットを送信したエンドポイントのアドレスが前記記憶している正当なエンドポイントのアドレスでないときには、探索を拒否してもよい。
【００２１】
【発明の実施の形態】
以下、本発明の一実施形態を添付図面に基づいて詳述する。
【００２２】
図１に示されるように、本発明に係るネットワーク機器１０１は、エンドポイント（ＥＰ１）１０２が存在しているネットワーク１０３と、このネットワーク１０３とはブロードキャストドメインを異にし接続サービスを行うゲートキーパ（ＧＫ１）１０４が存在しているネットワーク１０５との間に設けられる。このネットワーク機器１０１は、１乃至複数のゲートキーパ１０４のＩＰアドレス１０７をメモリ１０８に予め記憶しており、エンドポイント１０２がゲートキーパ１０４を探索するためにマルチキャストで送信した探索パケット１０６を受信したとき、ゲートキーパ１０４の代わりに応答パケット１１１を送信することにより、メモリ１０８に記憶しているゲートキーパ１０４のＩＰアドレス１０７をエンドポイント１０２に対して応答するようになっている。
【００２３】
このネットワーク機器１０１は、接続サービスを利用できる１乃至複数の正当なエンドポイント１０２のＭＡＣアドレス１０９をメモリ１０８に予め記憶しており、探索パケット１０６を送信したエンドポイント１０２のＭＡＣアドレス（探索パケットに記載されている送信元ＭＡＣアドレス）１１０がメモリ１０８に記憶している正当なエンドポイント１０２のＭＡＣアドレス１０９でないときには、探索を拒否し、探索パケット１０６を送信したエンドポイント１０２に対して探索を拒否する旨を通知するようになっている。
【００２４】
メモリ１０８には、１つのＭＡＣアドレス１０９に対応して２つのゲートキーパ１０４のＩＰアドレス１０７が記憶されているが、これについては後に説明する。
【００２５】
図１のネットワークの動作を説明すると、まず、エンドポイント１０２が自アドレスを送信元ＭＡＣアドレス１１０とするマルチキャストの探索パケット１０６（メッセージ名：ＧＲＱ）を送信する。ＩＴＵ−Ｔの標準では、宛先ＩＰアドレスを２２４．０．１．４１としたものがマルチキャストのパケットとなる。この探索パケット１０６を受信したネットワーク機器１０１は、探索パケット１０６から送信元ＭＡＣアドレス１１０を抽出すると共にメモリ１０８を参照し、送信元ＭＡＣアドレス１１０に一致するＭＡＣアドレス１０９を探し出して、対応するゲートキーパ１０４のＩＰアドレス１０７を読み出す。ネットワーク機器１０１は、このＩＰアドレス１０７を応答パケット１１１（メッセージ名：ＧＣＦ）に格納してエンドポイント１０２宛に送信する。これにより、エンドポイント１０２は、接続サービを受けることのできるゲートキーパ１０４のＩＰアドレス１０７（ＧＫ１）を獲得するので、その後は、このＩＰアドレス１０７を宛先としたユニキャストによりゲートキーパ１０４に登録のためのパケットを送信することができる。
【００２６】
送信元ＭＡＣアドレス１１０に一致するＭＡＣアドレス１０９がメモリ１０８になかったときは、ネットワーク機器１０１は、エンドポイント１０２が不当であると判定して、探索を拒否するパケット（図示せず）（メッセージ名：ＧＲＪ）をエンドポイント１０２宛に送信する。
【００２７】
このように、ネットワーク機器１０１がゲートキーパ１０４の代わりに代理応答をするので、エンドポイント１０２は、自身とは異なるブロードキャストドメインのゲートキーパ１０４との間で初期登録シーケンスを交わし、接続サービスを受けられるようになる。
【００２８】
また、ネットワーク機器１０１がエンドポイント１０２のＭＡＣアドレス１１０に基づいてエンドポイント１０２の正当性を認定し、不当なエンドポイント１０２には接続サービスを拒否するので、不当な端末ハードウェアによる接続サービスの利用を阻止することができる。
【００２９】
次に、ゲートキーパ探索の別の形態を説明する。
【００３０】
図２のネットワーク構成は図１と同じであり、メモリ１０８は図示省略したが図１と同じとする。図２において、ネットワーク機器１０１は、１乃至複数のゲートキーパ１０４のＩＰアドレス１０７をメモリ１０８に予め記憶しており、エンドポイント１０２がゲートキーパ１０４を探索するためにマルチキャストで送信した探索パケット１０６を受信したとき、この探索パケット１０６の宛先をメモリ１０８に記憶しているゲートキーパ１０４のＩＰアドレス１０７に書き替えてユニキャストの探索パケット１１２とし、この探索パケット１１２をゲートキーパ側のネットワーク１０５に送信するようになっている。
【００３１】
図２のネットワークの動作を説明すると、まず、エンドポイント１０２が自アドレスを送信元ＭＡＣアドレス１１０とするマルチキャストの探索パケット１０６（メッセージ名：ＧＲＱ）を送信する。この探索パケット１０６を受信したネットワーク機器１０１は、メモリ１０８を参照し、送信元ＭＡＣアドレス１１０に一致するＭＡＣアドレス１０９を探し出して、対応するゲートキーパ１０４のＩＰアドレス１０７を読み出す。ネットワーク機器１０１は、探索パケット１０６の宛先ＩＰアドレスである２２４．０．１．４１をゲートキーパ１０４のＩＰアドレス１０７であるＧＫ１に書き替えてユニキャストの探索パケット１１２とし、この探索パケット１１２（メッセージ名：ＧＲＱ）をゲートキーパ側のネットワーク１０５に送信する。このとき、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）のポート番号１１４も変更する。
【００３２】
探索パケット１１２を受信したゲートキーパ１０４は、自身のＩＰアドレス１０７を格納した応答パケット１１３（メッセージ名：ＧＣＦ）を送信する。ネットワーク機器１０１は、この応答パケット１１３をエンドポイント１０２に中継する。これにより、エンドポイント１０２は、接続サービを受けることのできるゲートキーパ１０４のＩＰアドレス１０７を獲得するので、その後は、このＩＰアドレス１０７を宛先としたユニキャストによりゲートキーパ１０４に登録のためのパケットを送信することができる。
【００３３】
送信元ＭＡＣアドレス１１０に一致するＭＡＣアドレス１０９がメモリ１０８になければ、ネットワーク機器１０１は、前記と同様、探索を拒否する。
【００３４】
このように、ネットワーク機器１０１が探索パケット１０６をゲートキーパ１０４宛のユニキャストの探索パケット１１２に変更して中継するので、エンドポイント１０２は、自身とはブロードキャストドメインの異なるネットワーク１０５に存在するゲートキーパ１０４との間で初期登録シーケンスを交わし、接続サービスを受けられるようになる。
【００３５】
次に、二重化について説明する。
【００３６】
図１において、メモリ１０８には、１つのエンドポイント１０２のＭＡＣアドレス１０９に対応して２つのゲートキーパ１０４のＩＰアドレス１０７が記憶されている。ネットワーク機器１０１は、これら２つのゲートキーパ１０４を、いずれか一方は常用系に、他方は待機系に適宜切り替えることができる。このメモリ１０８を用いた別のネットワークを図３により説明する。
【００３７】
図３に示されるように、４つのゲートキーパ１０４（ＧＫ１，ＧＫ１’，ＧＫ２，ＧＫ２’）がＩＰ網上に存在している。ネットワーク機器１０１は、１つのエンドポイント１０２（ＥＰ１）に対応してゲートキーパ１０４（ＧＫ１，ＧＫ１’）のＩＰアドレス１０７を記憶し、別のエンドポイント１０２（ＥＰ２）に対応してゲートキーパ１０４（ＧＫ２，ＧＫ２’）のＩＰアドレス１０７を記憶している。仮に、ゲートキーパＧＫ１を常用系、ゲートキーパＧＫ１’を待機系とする。
【００３８】
ネットワーク機器１０１は、常用系のゲートキーパＧＫ１に対してキープアライブポーリングによる問い合わせを行うことにより稼働状態を監視する。キープアライブポーリングには、ＩＣＭＰにおけるＰｉｎｇによる応答確認により、ゲートキーパＧＫ１が稼働しているかいないか調べる方法、ネットワーク機器１０１自身をダミーのエンドポイントとして動作させ、初期登録シーケンスのパケット（ＲＲＱ，ＲＣＦ）のやり取りができるかどうか調べる方法などがある。この監視により、常用系のゲートキーパＧＫ１がシステムダウンしたことを検知したとき、待機系のゲートキーパＧＫ１’を常用系に切り替える。これより後は、探索パケット１０６を送信してきたエンドポイント１０２に対して代理応答するＩＰアドレス１０７又はユニキャストの探索パケット１１２の宛先とするＩＰアドレス１０７をシステムダウンした元常用系のゲートキーパＧＫ１から新規な常用系のゲートキーパＧＫ１’のものにする。
【００３９】
このように、複数のゲートキーパ１０４のＩＰアドレス１０７を予め記憶しておき、接続サービスが可能な状態のゲートキーパ１０４のＩＰアドレス１０７がエンドポイント１０２に通知されるようにしたので、インターネット電話システム全体の信頼性を高めることができる。
【００４０】
次に、ユーザ認証に関する別の実施形態について説明する。
【００４１】
図１又は図２のネットワーク機器１０１は、接続サービスを利用できる正当なエンドポイント１０２のＭＡＣアドレス１０９を予め記憶しており、探索パケット１０６を送信したエンドポイント１０２のＭＡＣアドレス１１０が正当なエンドポイント１０２のＭＡＣアドレス１０９でないときには、探索を拒否した。しかし、次の実施形態ではＭＡＣアドレス１０９はゲートキーパ１０４（ＧＫ１，ＧＫ１’）との対応付けのみに使用し、認証にはエイリアスアドレスを用いるものとする。
【００４２】
エンドポイント１０２となる端末で実行されるインターネット電話のソフトウェアでは、相手をコールする接続サービスをゲートキーパ１０４から受けようとするとき、ユーザに対してユーザ自身のエイリアスアドレスの入力を要求するものとする。ユーザが例えば、Ｈ．３２３ＩＤを入力すると、エンドポイント１０２は接続サービスを要求するパケットに認証用エイリアスアドレスとしてＨ．３２３ＩＤを格納してをゲートキーパ１０４宛に送信する。このパケットを受信したネットワーク機器１０１は、ゲートキーパ１０４に中継する前に、認証用エイリアスアドレスが正当かどうか判別し、正当であれば中継を行うが、不当であれば中継を拒否する。正当かどうかの判別は、ネットワーク機器１０１自身が行う必要はなく、認証サーバに依頼してもよい。
【００４３】
図４に示したネットワークでは、ＩＰ網上に存在する認証サーバ（Ｒａｄｉｕｓ）１２１が認証用エイリアスアドレスの正当性を判別するようになっている。以下、その手順を説明する。
【００４４】
Ｈ．３２３では、Ｈ．３２３エンドポイント１２２とＨ．３２３ゲートキーパ１２４との間で、これまで説明した探索シーケンスの終了後、端末をゲートキーパに登録したり、ゲートキーパからエンドポイントへ通信の許可を出したりするためのＨ．２２５レジストレーションシーケンスを行い、その後、エイリアスアドレスの登録のためにＨ．３２３エンドポイント１２２からエイリアスアドレスを格納したパケットを送信している。そこで、ネットワーク機器１０１は、Ｈ．２２５レジストレーションシーケンスに使用される制御パケット（メッセージ名：ＲＡＳ）をフックする。次いで、Ｈ．３２３エンドポイントが送信したデータパケット（メッセージ名：ＲＲＱ）をフックする（ステップＳ１）。
【００４５】
このデータパケットには、登録しようとしているエイリアスアドレス（Ｈ．３２３ＩＤ、Ｅメールアドレス、Ｅ．１６４など）が格納されているので、ネットワーク機器１０１は、エイリアスアドレスを１種類乃至複数種類抽出し、認証用エイリアスアドレスとする。この認証用エイリアスアドレスを格納した認証問い合わせパケットを認証サーバ１２１に送信する（ステップＳ２）。
【００４６】
認証サーバ１２１は、受信した認証用エイリアスアドレスと予め記憶しているエイリアスアドレスとの比較により認証を行い、その認証結果をネットワーク機器１０１に通知する（ステップＳ３）。
【００４７】
認証結果がＯＫであれば、ネットワーク機器１０１はフックしておいた制御パケット（ＲＡＳ）及びデータパケット（ＲＲＱ）をＨ．３２３ゲートキーパ１２４に中継する。その後、Ｈ．３２３エンドポイント１２２とＨ．３２３ゲートキーパ１２４との間で行われるシーケンスは、従来どおりであり、ネットワーク機器１０１は単なる中継を行う。認証結果がＮＧであれば、ネットワーク機器１０１はＨ．３２３エンドポイント１２２に対して認証結果がＮＧであることを通知するパケット（メッセージ名：ＲＲＪ）を送信する。
【００４８】
この実施形態では、認証にエイリアスアドレスを用いた。認証にＭＡＣアドレスを用いた場合、端末の正当性をチェックできたが、その端末をどのユーザが使っても正当性があることになる。つまり、ＭＡＣアドレスでの認証は、厳密にはユーザ認証ではなく、端末認証となる。エイリアスアドレスで認証をすることにより、ユーザの正当性をチェックでき、セキュリティが向上する。
【００４９】
本発明が適用されるネットワーク機器１０１として、エンドポイント１０２が直接接続されているＬＡＮスイッチやハブがある。これらのネットワーク機器１を管理しているＩＰ網上のネットワーク管理装置１２３（図３，図４）において、接続サービスを利用できるエンドポイント１０２のＭＡＣアドレス１０９と、そのＭＡＣアドレス１０９に対応するゲートキーパ１０４のＩＰアドレス１０７とをリストにして一元管理し、ネットワーク管理装置１２３からネットワーク機器１０１に対してリストを配布することでネットワーク機器１０１のメモリ１０８にＭＡＣアドレス１０９及びＩＰアドレス１０７を記憶させるとよい。ネットワーク管理装置１２３が設置されていないネットワークではネットワーク機器１０１に直接入力してメモリ１０８の内容を設定するようにしてもよい。ネットワーク管理装置１２３が設置されているネットワークでも、ネットワーク管理装置１２３がダウンしているときにはネットワーク機器１０１に直接入力してメモリ１０８の内容を設定するようにしてもよい。上記リストは、複数設置されたネットワーク機器１０１のうちのひとつが一元管理するようにしてもよい。
【００５０】
認証サーバ１２１は、Ｒａｄｉｕｓに限らず、ＬＤＡＰ、Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙなどでもよい。
【００５１】
図１、図２の実施形態では、エンドポイント１０２とゲートキーパ１０４との対応付けのために、エンドポイント１０２についてはＭＡＣアドレス１０９を用いた。また、エンドポイント１０２の認証にＭＡＣアドレス１０９を用いた。従って、パケットを中継するときに送信元ＭＡＣアドレスを書き替えてしまうルータ等のレイヤ３ネットワーク機器がエンドポイント１０２とゲートキーパ１０４との間に存在する場合、そのレイヤ３ネットワーク機器よりエンドポイント１０２側に本発明のネットワーク機器１０１を設置するとよい。例えば、ネットワークのエッジ部分（ルータを介して他のネットワークに繋がる部分）に本発明のネットワーク機器１０１を設置する。これにより、送信元ＭＡＣアドレスが書き替えられる以前の段階でエンドポイント１０２とゲートキーパ１０４との対応付け及びエンドポイント１０２の認証が確実にできる。
【００５２】
エイリアスアドレスを用いたユーザ認証においては、パケットがレイヤ３ネットワーク機器を経由してもエイリアスアドレスは不変であるから、本発明のネットワーク機器１０１の設置場所に制約はない。また、エイリアスアドレスを用いたユーザ認証においては、本発明のネットワーク機器１０１をルータで実現するとよい。また、接続サービスを提供する機器はゲートキーパに限らず初期登録シーケンスを持つＳＩＰサーバでもよい。
【００５３】
本発明は、エンタープライズ（企業）内のＶＩＯＰシステムを構築する際に、セキュリティの向上、管理作業の削減、冗長構成による信頼性の確保などに有用である。また、広域のＶＩＯＰサービスにおいても、本発明のユーザ認証の機能を利用することで、ユーザを限定することができる。
【００５４】
初期登録に対する制限を全く持たない従来のゲートキーパを設置したネットワークにおいても、本発明のネットワーク機器を設置することで初期登録に対する制限を行うことができる。
【００５５】
【発明の効果】
本発明は次の如き優れた効果を発揮する。
【００５６】
（１）あるネットワークにあるエンドポイントがブロードキャストドメインの異なるネットワークにあるゲートキーパの接続サービスを利用することができるようになる。
【図面の簡単な説明】
【図１】本発明の一実施形態によるネットワーク機器で２つのネットワークを接続したネットワークの構成と動作と記憶を示す図である。
【図２】本発明の一実施形態によるネットワーク機器で２つのネットワークを接続したネットワークの構成と動作を示す図である。
【図３】本発明の一実施形態によるネットワーク機器で端末をＩＰ網に接続したネットワークの構成と動作を示す図である。
【図４】本発明の一実施形態によるネットワーク機器で端末をＩＰ網に接続したネットワークの構成と動作を示す図である。
【符号の説明】
１０１ ネットワーク機器
１０２ エンドポイント
１０３ ネットワーク
１０４ ゲートキーパ
１０５ ネットワーク
１０６ 探索パケット
１０７ ゲートキーパのＩＰアドレス
１０８ メモリ
１０９ エンドポイントのＭＡＣアドレス
１１０ 送信元ＭＡＣアドレス
１１１ 応答パケット
１１２ ユニキャストの探索パケット
１１３ 応答パケット[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a network device used for packet relay in a network capable of Internet telephony, and more particularly to a network device suitable for an endpoint in a certain network to use a connection service of a gatekeeper in a network having a different broadcast domain. It is about.
[0002]
[Prior art]
VIOP (Voice Over IP) is voice communication based on IP (Internet Protocol). In the following, description will be made by using a commonly used Internet telephone.
[0003]
In an Internet telephone, a terminal having a voice function such as a personal computer corresponding to a telephone is called an endpoint. Devices that service Internet telephone connections from endpoints to other endpoints are called gatekeepers. In order for an endpoint to receive a connection service from the gatekeeper, it is necessary to register information identifying the endpoint in the gatekeeper in advance. Since this registration is performed when the terminal is activated or when software that operates the terminal as an endpoint is activated, a sequence exchanged between the endpoint and the gatekeeper is called an initial registration sequence. As the initial registration sequence, for example, ITU-TH. The H.323 Recommendation is known. In the following, this recommendation is referred to as H.264. 323. H. The H.323-compliant endpoint is defined as H.323. H.323 endpoint, H.323. H.323 compliant gatekeeper 323 gatekeeper. In the attached drawings, the endpoint is abbreviated as EP and the gatekeeper is abbreviated as GK.
[0004]
H. There are two methods for the initial registration sequence in H.323. First, in the first method, before starting the initial registration sequence, the IP address of the gatekeeper is set in the endpoint in advance, and the endpoint transmits a packet for registration to the gatekeeper by unicast with this IP address as a destination. Send In the second method, the endpoint does not know the IP address of the gatekeeper before starting the initial registration sequence, and multicasts a packet called a search packet to check the IP address of the gatekeeper (search for the gatekeeper). Send. The gatekeeper that has received this search packet notifies the IP address of the gatekeeper in response to the endpoint. As a result, since the endpoint was able to know the IP address of the gatekeeper, a packet for registration can be transmitted to the gatekeeper by unicast with the IP address as a destination.
[0005]
Among various information registered with the gatekeeper from the endpoint, there are two addresses, an alias address and a call control address. There are various standards and types of alias addresses (also called alias addresses or simply aliases). Of these, E. 164 is like an extension telephone number, and is described only by a numeral. H. The 323 ID is described by alphanumeric characters. The email address format is an address format used in email. The URL address format is an address format used in the URL. By registering any of these alias addresses in the gatekeeper, a connection service using the alias address can be received from the gatekeeper. For example, if an e-mail address is registered, a telephone connection request addressed to the e-mail address will arrive at the endpoint.
[0006]
In the first method, it is necessary to manually set the IP address of the gate keeper in the endpoint in advance. When a terminal, which is an endpoint, is connected to a network for the first time, manually setting an IP address of a gatekeeper available from the network places a heavy burden on the user. In this regard, the second method is preferable because the automatic search is performed by the initial registration sequence, so that there is no burden on the user.
[0007]
However, in the second method, since the gatekeeper is searched by multicast, it is necessary that the broadcast domain of the endpoint and the gatekeeper is the same. This is because multicast packets cannot be relayed to networks with different broadcast domains, and the search is not successful. Therefore, an endpoint on one network cannot use the connection service of a gatekeeper on a network with a different broadcast domain. However, if all the endpoints and gatekeepers are to be accommodated in one broadcast domain, the size of the network having the broadcast domain becomes enormous. It is virtually impossible to operate such a large-scale network.
[0008]
In addition, regardless of the first and second methods, when a user artificially knows the IP address of the gatekeeper, the user can manually set the IP address of the gatekeeper to the endpoint, and the initial registration sequence can be started. It can be carried out. In general, a gatekeeper accepts an initial registration sequence without restricting users, so that even an unjust (illegal) user who does not originally have a right to receive a connection service can perform initial registration of an endpoint with this gatekeeper, It is difficult to prevent unauthorized use.
[0009]
[Patent Document 1]
JP 2001-313676 A
[0010]
[Problems to be solved by the invention]
The present invention is intended to solve the above-mentioned problems and to further enhance the convenience, security, and reliability of Internet telephone by giving new functions to network devices provided between networks. . The specific prospects are as follows.
[0011]
1) The search packet is relayed to a network having a different broadcast domain so that an automatic search can be performed in a network other than the same broadcast domain. As a result, the range of search is expanded, and connection services from gatekeepers in different broadcast domains can be received.
[0012]
2) The validity of the endpoint is recognized based on the MAC address of the endpoint, and connection service can be denied to an unauthorized endpoint. This improves the mobility (mobility) and security of the endpoint.
[0013]
3) A gatekeeper to be initially registered is allocated based on the MAC address of the endpoint. As a result, even when the end point is moved, initial registration with a predetermined gatekeeper can be performed. Further, there is no problem in an environment such as DHCP (Dynamic Host Configuration Protocol) for dynamically assigning an IP address to an endpoint.
[0014]
4) The gatekeeper is duplexed into a service system and a standby system, and the operation state of the service system gatekeeper is monitored. When the service system gatekeeper goes down, the gatekeeper is switched to the standby system gatekeeper.
[0015]
5) The use of endpoints is controlled on a user-by-user basis, so that use of the same endpoint can be restricted for each user. As a result, highly reliable user authentication can be realized.
[0016]
That is, an object of the present invention is to solve the above problems and to provide a network device suitable when an endpoint in a certain network uses a connection service of a gatekeeper in a network having a different broadcast domain.
[0017]
[Means for Solving the Problems]
In order to achieve the above object, the present invention provides a network device provided between a network in which an endpoint exists and a network in which a broadcast domain is different from the network and a gatekeeper for providing a connection service exists. The address of the gatekeeper is stored in advance, and when the endpoint receives a search packet transmitted by multicast to search for the gatekeeper, the address of the stored gatekeeper is responded to the endpoint. Things.
[0018]
The addresses of two or more gatekeepers may be stored in advance, an inquiry may be made to these gatekeepers as to whether connection service is possible, and the addresses of the gatekeepers capable of connection service may be returned.
[0019]
The present invention is also a network device provided between a network in which an endpoint exists and a network in which a broadcast domain is different from the network and a gatekeeper that provides a connection service exists, and the network device includes: The address is stored in advance, and when the end point receives a search packet transmitted by multicast to search for the gatekeeper, the destination of the search packet is rewritten to the address of the stored gatekeeper and transmitted by unicast. Is what you do.
[0020]
The address of a valid endpoint that can use the connection service is stored in advance, and if the address of the endpoint that transmitted the search packet is not the address of the stored valid endpoint, the search may be rejected. .
[0021]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, an embodiment of the present invention will be described in detail with reference to the accompanying drawings.
[0022]
As shown in FIG. 1, a network device 101 according to the present invention includes a network 103 in which an endpoint (EP1) 102 exists, and a gatekeeper (GK1) that provides a connection service using a different broadcast domain from the network 103. The network 104 is provided between the network 105 and the network 105. The network device 101 stores the IP addresses 107 of one or more gatekeepers 104 in a memory 108 in advance, and when the endpoint 102 receives a search packet 106 transmitted by multicast to search for the gatekeeper 104, By transmitting a response packet 111 instead of 104, the IP address 107 of the gatekeeper 104 stored in the memory 108 is responded to the endpoint 102.
[0023]
The network device 101 stores in advance a MAC address 109 of one or more valid endpoints 102 that can use the connection service in a memory 108, and stores the MAC address of the endpoint 102 that transmitted the search packet 106 (in the search packet, When the described source MAC address 110 is not the MAC address 109 of the valid endpoint 102 stored in the memory 108, the search is rejected, and the search is rejected for the endpoint 102 that transmitted the search packet 106. Is notified.
[0024]
The memory 108 stores the IP addresses 107 of the two gatekeepers 104 corresponding to one MAC address 109, which will be described later.
[0025]
1 will be described. First, the endpoint 102 transmits a multicast search packet 106 (message name: GRQ) having its own address as the transmission source MAC address 110. According to the ITU-T standard, a packet having a destination IP address of 224.0.1.41 is a multicast packet. Upon receiving the search packet 106, the network device 101 extracts the source MAC address 110 from the search packet 106, refers to the memory 108, searches for a MAC address 109 that matches the source MAC address 110, and searches for the corresponding gatekeeper 104. Of the IP address 107 is read. The network device 101 stores the IP address 107 in a response packet 111 (message name: GCF) and sends it to the endpoint 102. As a result, the endpoint 102 acquires the IP address 107 (GK1) of the gatekeeper 104 that can receive the connection service. Thereafter, the endpoint 102 registers the IP address 107 with the gatekeeper 104 by unicast with the IP address 107 as a destination. Packets can be sent.
[0026]
If there is no MAC address 109 in the memory 108 that matches the transmission source MAC address 110, the network device 101 determines that the endpoint 102 is invalid, and rejects the search (a packet (not shown)) (message name). : GRJ) to the end point 102.
[0027]
As described above, since the network device 101 performs a proxy response in place of the gatekeeper 104, the endpoint 102 exchanges an initial registration sequence with the gatekeeper 104 in a different broadcast domain from the endpoint 102 to receive the connection service. Become.
[0028]
In addition, since the network device 101 recognizes the validity of the endpoint 102 based on the MAC address 110 of the endpoint 102 and rejects the connection service to the unauthorized endpoint 102, the use of the connection service by the illegal terminal hardware is performed. Can be prevented.
[0029]
Next, another form of the gatekeeper search will be described.
[0030]
The network configuration of FIG. 2 is the same as that of FIG. 1, and the memory 108 is omitted from the drawing, but is the same as that of FIG. In FIG. 2, the network device 101 stores in advance the IP addresses 107 of one or more gatekeepers 104 in the memory 108, and receives the search packet 106 transmitted by the endpoint 102 by multicast to search for the gatekeeper 104. At this time, the destination of the search packet 106 is rewritten to the IP address 107 of the gatekeeper 104 stored in the memory 108 to form a unicast search packet 112, and the search packet 112 is transmitted to the network 105 on the gatekeeper side. ing.
[0031]
The operation of the network shown in FIG. 2 will be described. First, the endpoint 102 transmits a multicast search packet 106 (message name: GRQ) having its own address as the source MAC address 110. The network device 101 that has received the search packet 106 looks up the MAC address 109 that matches the transmission source MAC address 110 with reference to the memory 108 and reads the IP address 107 of the corresponding gatekeeper 104. The network device 101 rewrites 224.0.1.14, which is the destination IP address of the search packet 106, with GK1, which is the IP address 107 of the gatekeeper 104, to obtain a unicast search packet 112. The search packet 112 (message name) : GRQ) to the network 105 on the gatekeeper side. At this time, the port number 114 of the UDP (User Datagram Protocol) is also changed.
[0032]
Upon receiving the search packet 112, the gatekeeper 104 transmits a response packet 113 (message name: GCF) storing its own IP address 107. The network device 101 relays the response packet 113 to the endpoint 102. As a result, the endpoint 102 acquires the IP address 107 of the gatekeeper 104 that can receive the connection service, and thereafter transmits a packet for registration to the gatekeeper 104 by unicast with the IP address 107 as a destination. can do.
[0033]
If there is no MAC address 109 that matches the transmission source MAC address 110 in the memory 108, the network device 101 rejects the search as described above.
[0034]
As described above, since the network device 101 changes the search packet 106 into a unicast search packet 112 addressed to the gatekeeper 104 and relays the same, the endpoint 102 communicates with the gatekeeper 104 existing in the network 105 having a different broadcast domain from its own. Exchanges the initial registration sequence between the two, and can receive the connection service.
[0035]
Next, the duplication will be described.
[0036]
In FIG. 1, the memory 108 stores the IP addresses 107 of the two gatekeepers 104 corresponding to the MAC address 109 of one endpoint 102. The network device 101 can appropriately switch one of these two gatekeepers 104 to a normal system and the other to a standby system. Another network using the memory 108 will be described with reference to FIG.
[0037]
As shown in FIG. 3, four gatekeepers 104 (GK1, GK1 ′, GK2, GK2 ′) exist on the IP network. The network device 101 stores the IP address 107 of the gatekeeper 104 (GK1, GK1 ′) corresponding to one endpoint 102 (EP1), and stores the gatekeeper 104 (GK2, GK2) corresponding to another endpoint 102 (EP2). GK2 ′) is stored. It is assumed that the gatekeeper GK1 is a normal system and the gatekeeper GK1 'is a standby system.
[0038]
The network device 101 monitors the operating state by making an inquiry to the regular gatekeeper GK1 by keep-alive polling. In the keep-alive polling, a method of checking whether or not the gatekeeper GK1 is operating by confirming a response by Ping in ICMP, operating the network device 101 itself as a dummy endpoint, and transmitting packets (RRQ, RCF) of the initial registration sequence There is a method to check whether it can be exchanged. When this monitoring detects that the service gatekeeper GK1 has gone down, the standby gatekeeper GK1 'is switched to the service gate. Thereafter, the IP address 107 that makes a proxy response to the endpoint 102 that has transmitted the search packet 106 or the IP address 107 that is the destination of the unicast search packet 112 is newly transmitted from the former regular gatekeeper GK1 that has gone down. The gatekeeper GK1 'is a common gatekeeper.
[0039]
As described above, the IP addresses 107 of the plurality of gatekeepers 104 are stored in advance, and the IP addresses 107 of the gatekeepers 104 in a state where the connection service is available are notified to the endpoint 102. Reliability can be improved.
[0040]
Next, another embodiment relating to user authentication will be described.
[0041]
1 or 2 previously stores the MAC address 109 of the valid endpoint 102 that can use the connection service, and the MAC address 110 of the endpoint 102 that transmitted the search packet 106 is the valid endpoint. When the MAC address 102 is not the MAC address 109, the search is rejected. However, in the following embodiment, the MAC address 109 is used only for association with the gatekeeper 104 (GK1, GK1 '), and the alias address is used for authentication.
[0042]
Internet telephone software executed on the terminal serving as the endpoint 102 requests the user to input his / her own alias address when attempting to receive a connection service for calling the other party from the gatekeeper 104. If the user, for example, When the user inputs the H.323 ID, the endpoint 102 uses the H.323 ID as an authentication alias address in a packet requesting a connection service. 323 ID is stored and transmitted to the gatekeeper 104. Before relaying the packet to the gatekeeper 104, the network device 101 determines whether the authentication alias address is valid. If the authentication alias address is valid, the network device 101 relays the packet. It is not necessary for the network device 101 itself to determine whether it is valid or not, and a request may be made to the authentication server.
[0043]
In the network shown in FIG. 4, an authentication server (Radius) 121 existing on the IP network determines the validity of the authentication alias address. Hereinafter, the procedure will be described.
[0044]
H. In H.323, H.323 H.323 endpoint 122 and H.323. After completion of the above-described search sequence with the H.323 gatekeeper 124, H.323 for registering the terminal with the gatekeeper or issuing a communication permission from the gatekeeper to the endpoint is performed. A H.225 registration sequence is performed. The packet storing the alias address is transmitted from the H.323 endpoint 122. Therefore, the network device 101 uses H.264. Hook a control packet (message name: RAS) used for the 225 registration sequence. Then, H. The data packet (message name: RRQ) transmitted by the H.323 endpoint is hooked (step S1).
[0045]
Since the alias address (H.323 ID, E-mail address, E.164, etc.) to be registered is stored in this data packet, the network device 101 extracts one or more alias addresses and performs authentication. Alias address. The authentication inquiry packet storing the authentication alias address is transmitted to the authentication server 121 (step S2).
[0046]
The authentication server 121 performs authentication by comparing the received authentication alias address with the alias address stored in advance, and notifies the network device 101 of the authentication result (step S3).
[0047]
If the authentication result is OK, the network device 101 converts the hooked control packet (RAS) and data packet (RRQ) to H.264. 323 gatekeeper 124. Then, H. H.323 endpoint 122 and H.323. The sequence performed with the H.323 gatekeeper 124 is the same as the conventional one, and the network device 101 simply relays. If the authentication result is NG, the network device 101 transmits the H.264 certificate. A packet (message name: RRJ) notifying the H.323 endpoint 122 that the authentication result is NG is transmitted.
[0048]
In this embodiment, an alias address is used for authentication. When the MAC address was used for authentication, the validity of the terminal could be checked, but any user using the terminal has validity. That is, the authentication using the MAC address is not strictly user authentication but terminal authentication. By authenticating with an alias address, the legitimacy of the user can be checked and security is improved.
[0049]
Examples of the network device 101 to which the present invention is applied include a LAN switch and a hub to which an endpoint 102 is directly connected. In the network management device 123 (FIGS. 3 and 4) on the IP network that manages these network devices 1, the MAC address 109 of the endpoint 102 that can use the connection service and the gatekeeper 104 corresponding to the MAC address 109 The IP address 107 and the IP address 107 are managed as a list, and the MAC address 109 and the IP address 107 are stored in the memory 108 of the network device 101 by distributing the list from the network management device 123 to the network device 101. In a network where the network management device 123 is not installed, the contents of the memory 108 may be set by directly inputting the data to the network device 101. Even in the network where the network management device 123 is installed, when the network management device 123 is down, the content of the memory 108 may be set by directly inputting the data to the network device 101. In the list, one of the plurality of network devices 101 may be managed in a unified manner.
[0050]
The authentication server 121 is not limited to Radius, but may be LDAP, Active Directory, or the like.
[0051]
In the embodiment shown in FIGS. 1 and 2, the MAC address 109 is used for the endpoint 102 in order to associate the endpoint 102 with the gatekeeper 104. Also, the MAC address 109 was used for authentication of the endpoint 102. Therefore, when a layer 3 network device such as a router that rewrites the source MAC address when relaying a packet exists between the endpoint 102 and the gatekeeper 104, the layer 3 network device is closer to the endpoint 102 than the layer 3 network device. It is preferable to install the network device 101 of the present invention. For example, the network device 101 of the present invention is installed at an edge portion of a network (a portion connected to another network via a router). Thus, the association between the endpoint 102 and the gatekeeper 104 and the authentication of the endpoint 102 can be reliably performed before the source MAC address is rewritten.
[0052]
In user authentication using an alias address, even if a packet passes through a layer 3 network device, the alias address does not change, so there is no restriction on the installation location of the network device 101 of the present invention. In user authentication using an alias address, the network device 101 of the present invention may be realized by a router. The device that provides the connection service is not limited to the gatekeeper, and may be a SIP server having an initial registration sequence.
[0053]
INDUSTRIAL APPLICABILITY The present invention is useful for constructing a VIOP system in an enterprise (company), for improving security, reducing management work, and ensuring reliability by a redundant configuration. Also, in a wide area VIOP service, the user can be limited by using the user authentication function of the present invention.
[0054]
Even in a network in which a conventional gatekeeper having no restriction on the initial registration is installed, the restriction on the initial registration can be performed by installing the network device of the present invention.
[0055]
【The invention's effect】
The present invention exhibits the following excellent effects.
[0056]
(1) An endpoint in a certain network can use a connection service of a gatekeeper in a network having a different broadcast domain.
[Brief description of the drawings]
FIG. 1 is a diagram showing a configuration, operation, and storage of a network in which two networks are connected by a network device according to an embodiment of the present invention.
FIG. 2 is a diagram showing a configuration and operation of a network in which two networks are connected by a network device according to an embodiment of the present invention.
FIG. 3 is a diagram showing a configuration and operation of a network in which a terminal is connected to an IP network by a network device according to an embodiment of the present invention.
FIG. 4 is a diagram showing a configuration and operation of a network in which a terminal is connected to an IP network by a network device according to an embodiment of the present invention.
[Explanation of symbols]
101 Network equipment
102 Endpoint
103 Network
104 Gatekeeper
105 Network
106 search packet
107 Gatekeeper IP Address
108 memory
109 MAC address of endpoint
110 Source MAC address
111 response packet
112 Unicast search packet
113 response packet
