JP2005033702A

JP2005033702A - 通信装置

Info

Publication number: JP2005033702A
Application number: JP2003273352A
Authority: JP
Inventors: Hiroaki Obata; 洋昭小幡; Kazuhito Hayashi; 和仁林; Yuichi Suwa; 裕一諏訪; Takao Shibata; 高穂柴田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-07-11
Filing date: 2003-07-11
Publication date: 2005-02-03
Anticipated expiration: 2023-07-11
Also published as: JP4060764B2

Abstract

【課題】ＶＰＮに属する通信端末と、グローバルネットワークに属する通信端末との間において、暗号化技術を用いたＳＩＰ通信を可能とする。
【解決手段】複数の仮想私設網とグローバルネットワークが接続されるＶＰＮ収容装置に接続される通信装置であって、通信アプリケーションプラットフォームが、前記ＶＰＮ収容装置から受信したＳＩＰメッセージをＳＩＰＰｒｏｘｙ手段に送信し、ＳＩＰＰｒｏｘｙ手段が、通信アプリケーションプラットフォームから受信したＳＩＰメッセージにＳＩＰＰｒｏｘｙ処理を施した後に、当該ＳＩＰメッセージを通信アプリケーションプログラムに送信し、通信アプリケーションプログラムが、ＳＩＰＰｒｏｘｙ手段から受信したＳＩＰメッセージ内のＩＰアドレスを適切なアドレス体系のＩＰアドレスに変換する。
【選択図】図２

Description

本発明は、ＳＩＰを用いた通信サービスを実現するＰｒｏｘｙ手段を備える通信装置に係わり、特に、仮想私設網（ＶＰＮ；Virtual Private Network）とグローバルネットワーク間の通信において、ＳＩＰ（Session Initiation Protocol）を用いて電話サービスやテレビ会議サービスを実現する方法に関する。

ＶＰＮ収容装置に収容される仮想私設網（ＶＰＮ；Virtual Private Network、以下、単に、ＶＰＮという。）に属する端末が、グローバルネットワークに属する端末とＳＩＰ（Session Initiation Protocol）のシグナリングを行うためには、ＳＩＰメッセージ内のＩＰアドレスを適切に変換する必要がある。
そこで、ＶＰＮ収容装置と、ＳＩＰアプリケーションレベルゲートウェイ（Session Initiation Protocol-Application Level Gateway）装置（以下、単に、ＳＩＰ−ＡＬＧ装置という）が連携し、ＳＩＰセッションは終端せずにＳＩＰ用のアドレス変換専用装置として、前述のＳＩＰシグナリングを実現する方法が提案されている（下記特許文献参照）。

なお、本願発明に関連する先行技術文献としては以下のものがある。
Internet Draft "A SIP Application Level Gateway for Network Address Translation" http://www.iptel.org/info/players/ietf/firewall/draft-biggs-sip-nat-00.txt 信学技報 "ＳＩＰアプリケーションレベルゲートウェイ（ＳＩＰ−ＡＬＧ）におけるアドレス変換エントリの管理方法に関する一考察" NS2002-188,PS2002-62(2002-12) p25-28 特願２００２−３３２３００号（ＡＰＩおよびそれを用いた通信装置）特願２００２−３３３５４１号（アプリケーションレイヤにおけるアドレス変換装置）特願２００２−３３０３００号（アドレス組の生存時間取得・計算を可能としたＡＬＧ装置）

前述した提案方式では、ＳＩＰセッションを終端しないため、ＩＰｓｅｃ（IP Security Protocol）等の暗号化技術を使用した通信ではＳＩＰメッセージ内のＩＰアドレスを変換することができない。
また、ＶＰＮ収容装置に収容されるＶＰＮ内でＳＩＰを用いた電話サービス等を提供する場合、各ＶＰＮ毎にＳＩＰＰｒｏｘｙサーバを設置しなければならず、収容するＶＰＮの数が増加すると設備投資に必要な費用も比例して大きくなるという問題がある。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、仮想私設網（ＶＰＮ）に属する通信端末と、グローバルネットワークに属する通信端末との間において、暗号化技術を用いたＳＩＰ通信を可能とする技術を提供することにある。
また、本発明の他の目的は、仮想私設網（ＶＰＮ）内あるいは仮想私設網（ＶＰＮ）の間でのＳＩＰ通信を低コストで実現することが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。

本発明では、ＶＰＮ収容装置に接続される通信装置に、ＳＩＰＰｒｏｘｙ手段を搭載することにより、前述の課題を解決する。
通信装置内のＳＩＰＰｒｏｘｙ手段において、ＳＩＰのセッションは通信装置において一度終端されるため、暗号化された通信においてもＳＩＰメッセージ内のＩＰアドレスを適切に変換することが可能となる。
また、ＶＰＮ収容装置に収容される仮想私設網（以下、ＶＰＮという）内の通信端末は、通信装置内のＳＩＰＰｒｏｘｙ手段に登録することにより、属するＶＰＮ内のＳＩＰシグナリングはもちろん、異なるＶＰＮ間でのＳＩＰシグナリングが可能となる。
しかも、複数のＶＰＮに対して１台の設備投資でＶＰＮ内あるいはＶＰＮ間の電話サービス等が実現できるため、設備投資に必要となる費用も最小限に抑えることができる。

しかし、通信装置内のＳＩＰＰｒｏｘｙ手段において、ＳＩＰセッションを終端するため、ＳＩＰＰｒｏｘｙ手段が通信アプリケーションプラットフォームより受信するＳＩＰメッセージの送信先及び送信元情報と、ＳＩＰＰｒｏｘｙ手段が通信アプリケーションプラットフォームヘ送信するＳＩＰメッセージの送信先及び送信元情報は異なるため、通信アプリケーションプラットフォームからＶＰＮ収容装置へＳＩＰメッセージを含むＩＰパケットをカプセル化して送信する際、ＩＰパケットのヘッダ部分を再生成する必要がある。
本発明では、ＳＩＰＰｒｏｘｙ手段において、ＳＩＰメッセージ内の情報からＳＩＰメッセージの送信先及び送信元情報を特定し、それらの情報をＳＩＰメッセージとともに、通信アプリケーションプラットフォームに送信し、通信アプリケーションプラットフォームでは受信した情報を基にカプセル化内部のＩＰパケットのヘッダ部分を生成することにより、前述の問題を解決する。

本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
（１）本発明によれば、仮想私設網（ＶＰＮ）に属する通信端末と、グローバルネットワークに属する通信端末との間において、暗号化技術を用いたＳＩＰ通信が可能となり、セキュアな電話サービスやテレビ会議サービスを実現することが可能となる。
（２）本発明によれば、仮想私設網（ＶＰＮ）内あるいは仮想私設網（ＶＰＮ）の間でのＳＩＰ通信を低コストで実現することが可能となる。

以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
本発明では、ＳＩＰアプリケーションレベルゲートウェイ装置（以下、ＳＩＰ−ＡＬＧ装置という）に、ＳＩＰＰｒｏｘｙ機能を搭載して、前述の目的を実現する。このＳＩＰ−ＡＬＧ装置が、本発明の通信装置を構成する。
図１は、本発明の実施例のＳＩＰ−ＡＬＧ装置が適用されるシステム構成を示すブロック図である。
同図において、１０はＳＩＰ−ＡＬＧ装置、２０はＶＰＮ収容装置、３０はＶＰＮ収容装置２０に収容されるＶＰＮの１つ、４０はＶＰＮ３０に属する通信端末、５０はグローバルネットワーク、６０はグローバルネットワーク５０に属する通信端末である。
ＳＩＰ−ＡＬＧ装置１０は、ＶＰＮ収容装置２０に接続される。ＶＰＮ収容装置２０には、複数のＶＰＮとグローバルネットワーク５０が接続される。
ＶＰＮ収容装置２０は、ＶＰＮとグローバルネットワークと通信する際に必要となる、ネットワークアドレス変換機能（ＮＡＴ）が論理的にＶＰＮ毎に配備されており、さらに、ＳＩＰ信号を含むパケットを受信した場合、前記パケットをカプセル化し、ＳＩＰ−ＡＬＧ装置１０に送信する機能を有する。
通信端末４０が通信端末６０との間で、ＳＩＰを用いてインターネット電話サービスを実現しようとする場合、通信端末４０は、ＳＩＰメッセージを、ＶＰＮ３０を通じてＳＩＰ−ＡＬＧ装置１０に向けて送信する。
このＳＩＰメッセージは、一度、ＶＰＮ収容装置２０で受信された後、カプセル化されてＳＩＰ−ＡＬＧ装置１０に転送される。

図２は、本実施例のＳＩＰ−ＡＬＧ装置１０の概略構成を示すブロック図である。
図２に示すように、本実施例のＳＩＰ−ＡＬＧ装置１０は、通信アプリケーションプログラム１１と、アプリケーション・プログラミング・インターフェース（ＡＰＩ；Application Program Interface、以下、単に、ＡＰＩという。）（１２，１３）と、ＳＩＰＰｒｏｘｙ機能１４と、インターフェース（以下、単に、ＩＦという）（１５，１７）と、通信アプリケーションプラットフォーム１６とを有する。
通信アプリケーションプラットフォーム１６は、ＩＦ（１７）を通じてＶＰＮ収容装置２０から受信した、カプセル化されたＳＩＰメッセージをデカプセル化して、取り出したＳＩＰメッセージを、ＩＦ（１５）を利用してＳＩＰＰｒｏｘｙ機能１４に渡す。
ＳＩＰＰｒｏｘｙ機能１４は、受信したＳＩＰメッセージにＳＩＰＰｒｏｘｙ処理を実施、即ち、ＳＩＰメッセージを解析して、当該ＳＩＰメッセージをどこに転送するのかを判断した後、ＳＩＰＰｒｏｘｙ処理済みのＳＩＰメッセージをＡＰＩ（１２）を通じて、通信アプリケーションプログラム１１に渡す。
通信アプリケーションプログラム１１は、ＡＰＩ（１２）を通じて渡されたＳＩＰメッセージ内のＩＰアドレスを適切なアドレス体系のＩＰアドレスに書き換える。即ち、通信アプリケーションプログラム１１は、ＳＩＰメッセージ内のＩＰアドレスを適切なアドレス体系のＩＰアドレスに変換する。ここでは、ＳＩＰメッセージ内のＶＰＮ３０のアドレス体系からグローバルネットワーク５０のアドレス体系に書き換えることになる。

ＳＩＰメッセージ内のＩＰアドレスを書き換えた後、通信アプリケーションプログラム１１はＡＰＩ（１２）を通じてＩＰアドレス書き換え後（ＩＰアドレス変換後）のＳＩＰメッセージをＳＩＰＰｒｏｘｙ機能１４に渡す。
ＳＩＰＰｒｏｘｙ機能１４は、受信したＳＩＰメッセージから、そのＳＩＰメッセージの送信先ＩＰアドレスと、送信先ポート番号と、送信元ＩＰアドレスと、送信元ポート番号とを特定し、これらの情報をＳＩＰメッセージに付加して拡張ＳＩＰメッセージを生成し、ＩＦ（１５）を通じて通信アプリケーションプラットフォーム１６に渡す。
ＩＦ（１５）を通じて通信アプリケーションプラットフォーム１６に渡されるデータのフォーマットを図３に示す。
通信アプリケーションプラットフォーム１６では、受信した拡張ＳＩＰメッセージ内の送信先ＩＰアドレスと、送信先ポート番号と、送信元ＩＰアドレスと、送信元ポート番号からＳＩＰメッセージを送信するためのＩＰパケットのヘッダ部分を生成し、さらにそのパケットをカプセル化してＩＦ（１７）を通じてＶＰＮ収容装置２０に送信する。
ＶＰＮ収容装置２０では、受信したパケットをデカプセル化し、カプセル化内部のＩＰパケットを取り出し、ヘッダ情報を基に、そのＩＰパケットをルーティングすることにより、通信端末４０が送信したＳＩＰメッセージがグローバルネットワーク５０へ送出され、通信端末６０に届き、端末４０と通信端末６０との間のＳＩＰ通信が実現される。

図４は、図１に示すシステム構成において、ＶＰＮ３０に属する通信端末４０から、グローバルネットワーク５０に属する通信端末６０に、ＳＩＰメッセージを送信する場合の処理手順を示すフローチャートである。
通信端末４０が、通信端末６０に向けたＳＩＰメッセージをＳＩＰＰｒｏｘｙ機能１４に送信する（ステップ１０１）。
ＶＰＮ収容装置２０は、受信したＳＩＰメッセージをカプセル化し、通信アプリケーションプラットフォーム１６に送信する（ステップ１０２）。
通信アプリケーションプラットフォーム１６は、カプセル化されたＳＩＰメッセージをデカプセル化し、ＳＩＰメッセージを取り出しＳＩＰＰｒｏｘｙ機能１４へ送信する（ステップ１０３）。
ＳＩＰＰｒｏｘｙ機能１４は、受信したＳＩＰメッセージにＳＩＰＰｒｏｘｙ機能処理を実施し（ステップ１０４）、通信アプリケーションプログラム１１にＳＩＰメッセージを送信する（ステップ１０５）。
通信アプリケーションプログラム１１は、ＳＩＰメッセージ内のＩＰアドレスを変換し（ステップ１０６）、ＩＰアドレスを変換したＳＩＰメッセージをＳＩＰＰｒｏｘｙ機能１４へ送信する（ステップ１０７）。

ＳＩＰＰｒｏｘｙ機能１４は、ＳＩＰメッセージの送信先・送信元のＩＰアドレスとポート番号を特定し（ステップ１０８）、特定した情報を、ＩＰアドレスを変換したＳＩＰメッセージに付加した拡張ＳＩＰメッセージを生成し、通信アプリケーションプラットフォーム１６に送信する（ステップ１０９）。
通信アプリケーションプラットフォーム１６は、拡張ＳＩＰメッセージの送信先・送信元のＩＰアドレスとポート番号からＩＰパケットを生成し（ステップ１１０）、ＳＩＰメッセージをカプセル化して、ＶＰＮ収容装置２０に送信する（ステップ１１１）。
ＶＰＮ収容装置２０は、受信したＩＰパケットをデカプセル化し、ＩＰヘッダの情報を基に、ＳＩＰメッセージをルーティングする（ステップ１１２）。
これにより、通信端末６０が、ＳＩＰメッセージを受信する（ステップ１１３）。
なお、通信端末６０から通信端末４０に、ＳＩＰメッセージを送信する場合も、前述の同様の処理手順で実行される。
また、前述の説明では、ＶＰＮ３０に属する通信端末４０から、グローバルネットワーク５０に属する通信端末６０に、ＳＩＰメッセージを送信する場合について説明したが、ＶＰＮ収容装置２０に収容されるＶＰＮ内の通信端末を、ＳＩＰ−ＡＬＧ１０内のＳＩＰＰｒｏｘｙ機能１４に登録することにより、前述の手順と同様の手順により、属するＶＰＮ内のＳＩＰシグナリングはもちろん、異なるＶＰＮ間でのＳＩＰシグナリングが可能となる。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

本発明の実施例のＳＩＰ−ＡＬＧ装置が適用されるシステム構成を示すブロック図である。本発明の実施例のＳＩＰ−ＡＬＧ装置の概略構成を示すブロック図である。本発明の実施例のＳＩＰ−ＡＬＧ装置において、ＳＩＰＰｒｏｘｙ機能から第１のインターフェース（ＩＦ）を通じて、通信アプリケーションプラットフォームに渡されるデータのフォーマットの一例を示す図である。図１に示すシステム構成において、ＶＰＮに属する通信端末から、グローバルネットワークに属する通信端末に、ＳＩＰメッセージを送信する場合の処理手順を示すフローチャートである。

符号の説明

１０ＳＩＰアプリケーションレベルゲートウェイ装置（ＳＩＰ−ＡＬＧ装置）
１１通信アプリケーションプログラム
１２アプリケーション・プログラミング・インターフェース（ＡＰＩ）
１３アプリケーション・プログラミング・インターフェース（ＡＰＩ）
１４ＳＩＰＰｒｏｘｙ機能
１５インターフェース（ＩＦ）
１７インターフェース（ＩＦ）
１６通信アプリケーションプラットフォーム
２０ＶＰＮ収容装置
３０ＶＰＮ
４０通信端末
６０通信端末
５０グローバルネットワーク。

Claims

複数の仮想私設網とグローバルネットワークとが接続されるＶＰＮ収容装置に接続される通信装置であって、
通信アプリケーションプラットフォームと、
ＳＩＰＰｒｏｘｙ手段と、
通信アプリケーションプログラムとを有し、
前記通信アプリケーションプラットフォームは、前記ＶＰＮ収容装置から受信したＳＩＰメッセージを前記ＳＩＰＰｒｏｘｙ手段に送信するとともに、前記ＳＩＰＰｒｏｘｙ手段から受信したＩＰアドレスが変換されたＳＩＰメッセージを前記ＶＰＮ収容装置に送信し、
前記ＳＩＰＰｒｏｘｙ手段は、前記通信アプリケーションプラットフォームから受信したＳＩＰメッセージにＳＩＰＰｒｏｘｙ処理を施した後に、当該ＳＩＰメッセージを前記通信アプリケーションプログラムに送信するとともに、前記通信アプリケーションプログラムから受信したＩＰアドレスが変換されたＳＩＰメッセージを、前記通信アプリケーションプラットフォームに送信し、
前記通信アプリケーションプログラムは、前記ＳＩＰＰｒｏｘｙ手段から受信したＳＩＰメッセージ内のＩＰアドレスを適切なアドレス体系のＩＰアドレスに変換し、当該ＩＰアドレスを変換したＳＩＰメッセージを前記ＳＩＰＰｒｏｘｙ手段に送信することを特徴とする通信装置。
前記ＳＩＰＰｒｏｘｙ手段は、前記通信アプリケーションプログラムから受信したＳＩＰメッセージに、当該ＳＩＰメッセージの送信先ＩＰアドレスと、送信先ポート番号と、送信元ＩＰアドレスと、送信元ポート番号とを付加したＳＩＰ拡張メッセージを生成し、当該ＳＩＰ拡張メッセージを前記通信アプリケーションプラットフォームに送信することを特徴とする請求項１に記載の通信装置。
前記通信アプリケーションプラットフォームは、前記ＳＩＰＰｒｏｘｙ手段から受信した前記ＳＩＰ拡張メッセージ内の送信先ＩＰアドレスと、送信先ポート番号と、送信元ＩＰアドレスと、送信元ポート番号とに基づき、前記ＳＩＰメッセージを前記ＶＰＮ収容装置に送信するためのＩＰパケットを生成することを特徴とする請求項２に記載の通信装置。