JP2006128803A

JP2006128803A - ネットワーク中継装置及びネットワークシステム

Info

Publication number: JP2006128803A
Application number: JP2004311137A
Authority: JP
Inventors: Hideki Yoshii; 英樹吉井; Makoto Murakami; 誠村上; Shinya Tanaka; 伸哉田中; Takeshi Hashimoto; 健橋本
Original assignee: Japan Telecom Co Ltd
Current assignee: SoftBank Corp
Priority date: 2004-10-26
Filing date: 2004-10-26
Publication date: 2006-05-18

Abstract

【課題】入力されたＬ３パケットのＬ３アドレスに応じて、若しくは当該Ｌ３アドレスを割り当てられたユーザに応じて、或いは当該ユーザが属するグループに応じて、送信先のVLANを決定可能とする。
【解決手段】本発明の一態様は、入力されたレイヤ３パケットの送信元のレイヤ３アドレス、当該レイヤ３アドレスを割り当てられたユーザ、当該ユーザが属するグループのいずれかに基づいて、上記レイヤ３パケットの送信元アドレスを変換すると共に接続先のバーチャルローカルエリアネットワークを特定する識別子を付与し、変換後のパケットを転送するよう制御する制御手段を有することを特徴とするネットワーク中継装置である。
【選択図】図１

Description

本発明は、ネットワーク中継装置及びネットワークシステムに関する。

従来、社内ネットワークについては、バーチャルローカルエリアネットワーク(VLAN; Virtual Local Area Network)の利用が急速に広まっている。

また、広域LANサービスや所謂Managed VLANサービス等はVLANをより便利でセキュアに利用できる環境を構築しつつある。

ここで、Managed VLANサービスとは、ユーザ認証やユーザ端末認証、及びユーザ端末のセキュリティ対策状況に応じて、ユーザ端末のネットワークアクセスをレイヤ２（以下、L2と称する）レベルで制御するシステムをいうものとする。

さらに、今日ではリモートアクセスユーザに対してもVLANを切り分ける仕組みが標榜されている。このリモートアクセスの際に経由する一般的な接続用ルータは、IPSecやL2TP、PPPといったトンネリングプロトコルをサポートしている。

また、レイヤ3のアドレス変換については、プライベートアドレスとグローバスアドレスを変換することでプライベートアドレスを持つ端末とグローバルアドレスを持つ端末との通信を実現するNAT(Network Address Translation)機能が一般に用いられる。このNATについては、例えば特許文献１では、NAT装置を介して第２のネットワークに接続されている第１の情報処理装置が、第２の情報処理装置の第１のネットワークのアドレスを直接管理することなく、第２の情報処理装置がいずれのネットワークに接続されている場合においても、直接通信することを可能としたシステムが開示されている。
特開２００４−１７３２４０号公報

しかしながら、現在利用されているVLANの多くは所謂Port-Based VLANと呼ばれているものであり、これではリモートアクセスユーザに対しては適用できない。

VLANに関しては、入力されるイーサネット（登録商標）フレームの送信元MACアドレスに基づいてVLAN IDを割り当てるといった機能を持つインテリジェントなスイッチも開発されている。しかし、IPSec等を用いたリモートアクセスにおいては、IPパケットが複数のルータをホップしてくるため、入力されるイーサネット（登録商標）フレームの送信元MACアドレスに、リモートアクセスユーザの端末のMACアドレスは入らないため、このスイッチを利用することはできない。

また、VLAN内で通信可能とするためには、リモートアクセスユーザのレイヤ3アドレスのネットワークアドレス部を、そのVLANのネットワークアドレスと同じにし、かつVLAN内に既に割り当てられているホスト部アドレス以外のものにしなければならない。そのため、リモートアクセスユーザにVLANを割り当てるためには、リモートアクセスユーザに割り当てられたレイヤ3アドレスと割り当てたVLAN中のレイヤ3アドレスの整合性を図る必要がある。すなわちNATのような機能が必要となるが、特許文献１に開示されているようなNAT装置は、単にIPアドレスの変換を行うのみであり、リモートアクセスの際にユーザ毎、ユーザ端末毎、ユーザが属するグループ毎、或いはリモートアクセスに用いているユーザ端末のセキュリティ対策状況に対応するVLANに接続する、すなわちVLAN IDを割り当てるようなことはできない。

さらに、リモートアクセスを終端するルータと、NAT、及び上記インテリジェントなスイッチを組み合わせたとしても、リモートアクセスの際にユーザ毎、ユーザ端末毎、ユーザが属するグループ毎、或いはリモートアクセスに用いているユーザ端末のセキュリティ対策状況に対応するVLANに接続する、すなわちVLAN IDを割り当てるようなことはできない。

本発明の目的とするところは、入力されたレイヤ３(以下、L3と称する)パケットのL3アドレス、当該L3アドレスを割り当てられたユーザ、当該ユーザが属するグループ、当該ユーザの使用している端末のセキュリティ対策状況のいずれかの情報に応じて、送信先のVLANを決定可能とすることにある。この発明は、リモートアクセスのみならず、データセンターのサーバ群をセキュアに管理するといった利用方法にもなんら機能変更を加えることなく利用できる。

上記目的を達成するために、本発明の第１の態様では、入力されたレイヤ３パケットの送信元のレイヤ３アドレス、当該レイヤ３アドレスを割り当てられたユーザ、当該ユーザが属するグループのいずれか、及び接続先のバーチャルローカルエリアネットワークに基づいて、上記レイヤ３パケットの送信元アドレスを変換すると共に接続先のバーチャルローカルエリアネットワークを特定する識別子を付与し、変換後のパケットを転送するよう制御する制御手段を有することを特徴とするネットワーク中継装置が提供される。

本発明の第２の態様では、接続先のバーチャルローカルエリアネットワークは、レイヤ３パケットの送信元のセキュリティ対策状況に応じて決定することを更に特徴とするネットワーク中継装置が提供される。

本発明の第３の態様では、上記送信元のレイヤ３アドレスと、変換後の送信元のアドレス及び接続先のバーチャルローカルエリアネットワークを特定する識別子とを対応付けて記憶する記憶手段を更に有し、上記制御手段は、上記記憶手段に上記送信元のレイヤ３アドレスに対応する変換後の送信元アドレス及び識別子が複数記憶されている場合には、上記レイヤ３パケットの宛先アドレスに基づいて変換後の送信元アドレス及び識別子を特定することを更に特徴とするネットワーク中継装置が提供される。

本発明の第４の態様では、第１のネットワークから送信されたレイヤ３パケットを第２のネットワークを構成する複数のバーチャルエリアネットワークのうちの少なくともいずれかに転送するネットワーク中継装置を備えたシステムであって、上記ネットワーク中継装置は、上記送信元のレイヤ３アドレスと、変換後の宛先アドレス及び接続先のバーチャルローカルエリアネットワークを特定する識別子を対応付けて記憶する記憶手段と、上記記憶手段を参照して、上記第１のネットワークを介して送信されたレイヤ３パケットの送信元のレイヤ３アドレス、当該レイヤ３アドレスを割り当てられたユーザ、当該ユーザが属するグループのいずれかに基づいて、上記レイヤ３パケットの送信元アドレスを変換すると共に接続先のバーチャルローカルエリアネットワークを特定する識別子を付与し、変換後のパケットを転送するよう制御する制御手段と、を有し、上記制御手段は、上記記憶手段に上記送信元のレイヤ３アドレスに対応する変換後の送信元アドレス及び識別子が複数記憶されている場合には、上記レイヤ３パケットの宛先アドレスに基づいて変換後の送信元アドレス及び識別子を特定することを特徴とするネットワーク中継システムが提供される。

本発明の第５の態様では、上記第４の態様において、上記第１のネットワークは複数のバーチャルエリアネットワークで構築されていることを更に特徴とするネットワーク中継システムが提供される。

本発明の第６の態様では、上記第４の態様において、上記第１のネットワークは、トンネリング技術を用いてアクセスされるネットワークで構築されていることを更に特徴とするネットワーク中継システムが提供される。

本発明の第７の態様では、上記第４の態様において、端末のセキュリティポリシーを管理し、端末からのセキュリティ対策状況データに基づいて、結果を返す機能を持つポリシー管理サーバ、第１のネットワークからアクセスする端末のセキュリティ対策状況を検査し、その検査結果に応じてアクセス可能な第２のネットワーク中のバーチャルローカルエリアネットワークを割り当てる制御手段と、をさらに有し、第１のネットワークからアクセスする端末のセキュリティ対策状況に応じて、その端末のアクセス可能なバーチャルローカルエリアネットワークを決定することを更に特徴とするネットワーク中継システムが提供される。

本発明の第８の態様では、上記第４の態様において、第２のネットワーク中にネットワーク監視装置、ネットワークのセキュリティポリシーを管理し、ネットワーク監視装置のデータに基づいて、メッセージを発する機能を持つポリシー管理サーバ、ポリシー管理サーバの発するメッセージに基づいて第１のネットワークからアクセスする端末の接続先バーチャルネットワークを変更、及びアクセス拒否といった制御を可能とする手段と、をさらに有し、第１のネットワークからアクセスする端末が、第２のネットワークにおいて、ネットワークのセキュリティポリシーに反する振る舞いを行った場合、それを検知し、その端末のアクセスを規制することを更に特徴とするネットワーク中継システムが提供される。

本発明によれば、入力されたL3パケットのL3アドレス、当該L3アドレスを割り当てられたユーザ、或いは当該ユーザが属するグループのいずれかの情報に応じて、送信先のVLANを決定可能とするネットワーク中継装置及びネットワークシステムを提供することができる。

以下、図面を参照して、本発明の実施の形態について説明する。

図１には、本発明の一実施の形態に係るネットワーク中継装置としてのVLAN NAT装置及びその周辺機器との接続関係を示し説明する。

図１に示されるように、ユーザ端末１ａ（IPアドレス164.32.23.4），１ｂ(IPアドレス164.32.23.5)…（以下、ユーザ端末を総称するときは符号１を用いる）は、VLAN NAT装置２（外側IPアドレス164.32.23.1（ユーザ端末１にとってのDefault GW））を介してVLAN1（IPアドレス192.168.3.0）,VLAN2（IPアドレス192.168.4.0）,…,VLANn(IPアドレス10.0.1.0)（nは整数)のいずれかに接続される。

ここで、一般にNATとは、例えば社内のみで通用するプライベートIPアドレスをグローバルIPアドレスに変換する機能をいうが、この実施の形態に係るネットワーク中継装置としてのVLAN NAT装置２は、ユーザ端末１から入力されたL3パケットから、送信元のＬ３アドレスに応じて、若しくは当該L3アドレスを割り当てられたユーザに応じて、或いは当該ユーザが属するグループに応じて、出力すべきL2フレームのVLAN ID及び出力すべきL3パケットの送信元のL3アドレスを決定して変換する仕組み、及びその逆の仕組みを用いるものである。また、VLAN NAT装置２では、必要に応じて宛先L3アドレスをVLAN ID及び送信元L3アドレスの決定に利用する。

そして、VLAN NAT装置２は、以上の機能を図２に示されるようなテーブルにより実現する。即ち、このテーブルでは、ユーザ端末１(送信元)のIPアドレスと接続すべきVLAN1,2,…,nのIPアドレス及びVLAN IDが対応付けられて記憶されている。この例ではVLAN IDをIPアドレスに続けて括弧書きで(1)，(2)，(n)の如く示している。

例えば、図２に示されるように、ユーザ端末１ａ(IPアドレス164.32.23.4)からのL3パケットは、VLAN２（IPアドレス192.168.4.4）へと送られるようにVLAN NAT装置２により送信元のL3アドレスが変換されVLAN ID(2)が付される。この実施の形態に係るVLAN NAT装置２では、宛先に応じてIPアドレスを変更することもできるので、図２に示されるように、同じ送信元からのL3パケットに対しても、宛先により送信元のIPアドレスを異なるIPアドレスに変換し、異なるVLAN IDを付することもできる。

以下、図３乃至図６の概念図を参照して、VLAN NAT装置２によるL3アドレスの変換処理（IPアドレスの変遷）について更に詳細に説明する。

先ず、送信元と宛先が１対１に対応する場合を例に挙げて説明する。

図３の例は、VLAN NAT装置２が、ユーザ端末１から送信されたL3パケットのヘッダ部の宛先のIPアドレスを参照することなく送信元のL3アドレスを変換し、接続先のVLANを示すVLAN IDを付与する場合を示している。即ち、宛先IPアドレスが192.168.4.x（xはVLAN2のサブネットのいずれかである）、送信元のIPアドレスが164.32.23.4であるL3パケットがVLAN NAT装置２に入力されると、当該VLAN NAT装置２は当該L3パケットの送信元のIPアドレスに対応するIPアドレス及びVLAN IDを図２のテーブルより読み出し、送信元のIPアドレスを変換しVLAN IDを付与する。これにより、送信元のIPアドレス164.32.23.4は192.168.4.4に変換され、VLAN2を示すVLAN ID(2)が付与される。これとは逆に、VLAN2を介して宛先のIPアドレスが192.168.4.4であり送信元のIPアドレスが192.168.4.xであるL3パケットがVLAN NAT装置２に入力されると、当該VLAN NAT装置２は、図２を参照して、宛先のIPアドレス192.168.4.4を164.32.23.4に変換して当該IPアドレス164.32.23.4のユーザ端末１ａにL3パケットを送信する。

一方、図４の例は、VLAN NAT装置２が、宛先が別セグメント(100.0.0.x)であることから当該宛先アドレスを参照してユーザ端末１から送信されたL3パケットを変換し、接続先のVLANを示すVLAN IDを付与する場合を示している。即ち、宛先のIPアドレスが100.0.0.x（別セグメント）、送信元のIPアドレスが164.32.23.4であるL3パケットがVLAN NAT装置２に入力されると、当該VLAN NAT装置２は当該L3パケットの宛先アドレスを参照して別セグメントであることを検出し、送信元のIPアドレスに対応するIPアドレス及びVLAN IDを図２のテーブルより読み出し、送信元のIPアドレスを変換しVLAN IDを付与する。この例では、送信元のIPアドレス164.32.23.4はIPアドレス192.168.4.4に変換され、VLAN2を示すVLAN ID (2)が付与される。これとは逆に、別セグメントよりVLAN2を介して宛先のIPアドレスが192.168.4.4であり送信元のIPアドレスが100.0.0.xであるL3パケットがVLAN NAT装置２に入力されると、当該VLAN NAT装置２は、図２を参照して、宛先のIPアドレス192.168.4.4を164.32.23.4に変換して当該IPアドレス164.32.23.4のユーザ端末１ａに送信する。

次に、送信元が複数の宛先（複数のVLAN、ネットワーク等）に対応する場合、つまりユーザ端末１が複数のVLAN等に接続され得る場合を例に挙げて説明する。

図５の上段の例では、VLAN NAT装置２が、ユーザ端末１から送信されたL3パケットの宛先アドレスを参照し、当該宛先のIPアドレスが100.0.1.xであることからVLANnに接続すべき旨を検出し、図２のテーブルを参照して、送信元のIPアドレスを10.0.1.5に変換し、接続先のVLANを示すVLAN ID (n)を付与する。これとは逆に、VLANnを介して宛先のIPアドレスが10.0.1.5であり送信元のIPアドレスが10.0.0.xであるL3パケットがVLAN NAT装置２に入力されると、当該VLAN NAT装置２は、図２のテーブルを参照し、当該L3パケットの宛先のIPアドレス10.0.1.5を164.32.23.5に変換して当該IPアドレス164.32.23.5のユーザ端末１ｂに送信する。

同様に、図５の下段の例では、VLAN NAT装置２が、ユーザ端末１から送信されたL3パケットの宛先アドレスを参照し、当該宛先アドレスが192.168.3.xであることからVLAN1に接続すべき旨を検出し、図２のテーブルを参照して、送信元のアドレスを192.168.3.5に変換し、接続先のVLANを示すVLAN ID (1)を付与する。これとは逆に、VLAN1を介して宛先のIPアドレスが192.168.3.5であり送信元のIPアドレスが192.168.3.xであるL3パケットがVLAN NAT装置２に入力されると、当該VLAN NAT装置２は、図２を参照し、宛先のIPアドレス192.168.3.5を164.32.23.5に変換して当該IPアドレス164.32.23.5のユーザ端末１ｂにL3パケットを送信する。

一方、図６の例では、VLAN NAT装置２が、宛先が別セグメント(100.0.0.x)であることから当該宛先アドレスを参照してユーザ端末１から送信されたL3パケットを変換し、接続先のVLANを示すVLAN IDを付与する場合を想定している。

すなわち、図６に示されるように宛先のIPアドレスが100.0.0.x、送信元のIPアドレスが164.32.23.5であるＬ３パケットがVLAN NAT装置２に入力されると、当該VLAN NAT装置２は当該L3パケットの宛先のIPアドレスを参照して別セグメントであることを検出し、送信元のIPアドレスに対応するIPアドレス及びVLAN IDを図２のテーブルより読み出し、送信元のIPアドレスを変換しVLAN IDを付与する。このとき、VLAN NAT装置２は、送信元のIPアドレス164.32.23.5に対応するのがVLANnであることを認識し、当該VLANnのIPアドレス10.0.1.0に送信すべく、送信元のIPアドレスを10.0.1.5に変換し、VLAN ID(n)を付与する。これとは逆に、別セグメントよりVLANnを介して宛先のIPアドレスが10.0.1.5であり送信元のIPアドレスが100.0.0.xであるL3パケットがVLAN NAT装置２に入力されると、当該VLAN NAT装置２は、図２を参照して、宛先のIPアドレス110.0.1.5を164.32.23.5に変換して当該IPアドレス164.32.23.5のユーザ端末１ｂにL3パケットを送信する。

尚、本発明の一実施の形態に係るネットワーク中継装置としてのVLAN NAT装置２は動的なVLAN ID変更のためのAPI(Application Programming Interface)を有しており、当該VLAN NAT装置２とリモートアクセス端末、セキュリティポリシー管理ツールを組み合わせることで、所謂Managed VLANをリモートアクセス端末に拡張することができる。

次に図７には本発明の一実施の形態に係るネットワーク中継装置にIPsecトンネリング技術を適用したネットワークシステムの構成を更に具体的に示して説明する。

図７に示されるように、ユーザ端末１ａ（IPsec終端L3アドレス172.18.82.4），１ｂ（IPsec終端L3アドレス172.18.82.5）とIPsec終端装置３(IPsec終端装置外側IPアドレス172.18.82.1（ユーザ端末１にとってのDefaultGW）)との間ではIPsecトンネルが構築されており、IPsec終端装置２はVLAN NAT装置２（VLAN NAT外側IPアドレス164.32.23.1）を介してVLAN１(192.168.3.0)，VLAN2（192.168.4.0）,VLANn(10.0.1.0)に接続される。

このような構成において、VLAN NAT装置２は、IPsec終端装置３より得られるユーザ端末のIPsec終端L3アドレスをキーとして、図８に示されるようなテーブルを参照してL3パケットを対応するVLAN1,2,…，nに振り分ける。即ち、ユーザ端末１ａからのL3パケットであれば対応するVLAN2に送信し（図７中、符号Ａで示す）、ユーザ端末１ｂからのL3パケットであれば図８を参照して宛先アドレスに応じてVLAN2或いはVLANnに送信する（図７中、符号Ｂで示す）。

更に、本発明の一実施の形態に係るネットワーク中継装置によれば、図９に示すようにハブといった非VLAN対応のネットワークデバイスが混在するLAN環境の中で、既存のネットワーク構成を変更することなく、VLAN対応のネットワークを構築できる。この構成では、VLAN NAT装置２がハブ１２ａ，１２ｂに接続された複数のユーザ端末１１ａ，１１ｂについてVLAN IDを割り振ることで、セグメント（ユーザ）毎に種々のVLAN（この図では、業務用VLAN１４とセキュリティ対策用VLAN１５）に送信先（接続先）を振り分けることができる。このような機能をネットワーク中継装置としてのVLAN NAT装置２を用いるだけで、他は既存のネットワーク環境を用いたままで実現できる。

以下、図１０乃至図１３を参照して、本発明の一実施の形態に係るネットワーク中継装置としてのVLAN NAT装置２の構成を更に具現化して示し説明する。

図１０に示されるように、L3パケット受信部２１がL3パケットを受信すると、実L3アドレス抽出部２２が当該L3パケットのヘッダに含まれている送信元のL3アドレス（これを実L3アドレスと定義する）を抽出し、VLAN ID決定部２３に送る。

この例ではIPsec終端装置３にとってのDefaultGWをVLAN NAT装置２の外側インタフェースのIPアドレスと定義している。

VLAN ID決定部２２の詳細な構成は図１２に示される。即ち、VLAN ID決定部２２では、入力データである実L3アドレスに基づいてユーザＩＤ決定部４１がユーザＩＤを決定し、VLAN ID決定部４２が当該ユーザＩＤに基づいてVLAN IDを決定し、出力データとして実L3アドレスとVLAN IDを出力する。尚、ユーザＩＤを決定する方法としては、認証ＤＨＣＰのログを利用する方法やVPN終端装置のログを利用する方法がある。

仮想L3アドレス決定部２４の詳細な構成は図１３に示される。即ち、入力データとしての実L3アドレスとVLAN IDとを受けると、割り当て仮想L3アドレス−実L3アドレス記憶部５１においてVLAN IDに基づいて仮想L3アドレスを生成し、このVLAN IDから宛先のアドレスにあたる仮想L3アドレスを決定し、実L3アドレスと仮想L3アドレス、仮想L3アドレスとVLAN IDとの関係を示すテーブルを作成し、実L3−仮想L3テーブル５２に格納する。そして、出力データとして仮想L3アドレス（サブネット）とDefaultGW（VLAN NAT装置２の外側IPアドレス）、及び必要に応じてDNSを出力する。

尚、この実施の形態に係るVLAN NAT装置２により実現される仮想インタフェースはVLAN毎に作成し、複数の仮想L3アドレスに対応可能としている。

図１０に説明を戻し、仮想インタフェース存在確認部２５は、対応する仮想インタフェースの存在を確認し、存在しない場合には仮想インタフェース作成部２６により仮想インタフェースを作成する。この仮想インタフェース作成部２６では、入力データとしての仮想L3アドレス（サブネット）、とDefaultGW（VLAN NAT装置２の外側IPアドレス）、及び必要に応じてDNS、実L3パケットのボディ部を受けると、仮想インタフェースが作成され、L2パケット送信部２７はL2パケットを生成し対応するVLANに送信する。

ここで、図１４を参照して、L2パケット送信部２７におけるL2パケット生成の流れを更に詳細に説明する。ユーザ端末から送信されたL3パケットのヘッダには宛先L3アドレスと実L3アドレスが含まれている。このL3パケットは、ユーザ端末１からIPsec技術によるトンネルを介してIPsec終端装置３に送られる。このIPsec終端装置３では、このL3パケットのヘッダにVLAN NAT装置２の外側L2アドレスとIPsec終端装置３のL2アドレスとを付してL2パケットとして出力する。VLAN NAT装置２は、この実L3アドレスを仮想L3アドレスに変換し、VLAN IDを付与し、更に宛先L2アドレスとVLAN NAT内側L2アドレスを付加してL2パケットとして出力する。

一方、図１１に示されるように、逆の場合には、L2パケット受信部３１でVLANからのL2パケットが受信されると、VLAN ID抽出部３２によりVLAN IDが抽出され、仮想インタフェース決定部３３により当該VLAN IDに基づいて仮想インタフェースが決定される。そして、実L3アドレス決定部３４により実L3アドレス、つまりこの場合は宛先のユーザ端末１のIPアドレスが決定され、L3パケット送信部３５より当該IPアドレスに向けてパケットが送信される。

ここで、図１５を参照して、Ｌ２パケット受信部３１による処理を詳細に説明する。

VLAN NAT装置２が受信するL2パケットのヘッダ部には、VLAN NAT装置２の内側L2アドレスと発信元L2アドレス、VLAN ID、仮想L3アドレス、発信元L3アドレスが含まれている。VLAN NAT装置２は、このL2パケットを受信すると、IPsec終端装置３のL2アドレスとVLAN NAT装置２の外側L2アドレスを付与し、仮想L3アドレスを実L3アドレス（VPN終端装置割り当てL3アドレス）に変換し、L2パケットとしてIPsec終端装置３へと出力する。IPsec終端装置３は、IPsecトンネリングにより実L3アドレスと発信元L3アドレスをヘッダ部に含むL3パケットをユーザ端末１へと送信する。

以上説明したように、本発明の一実施の形態に係るネットワーク中継装置によればIPSecやL2TP、PPP等といったのようなトンネリング技術を用いたLANにもVLAN機能を利用することができるようになる。さらに、ハブといった非VLAN対応のネットワークデバイスが混在するLANの中で既存のネットワーク構成を変更することなく、VLAN対応のネットワークとすることができる。また、低価格なVLAN切り替え機能付きL2デバイスとして、現在のハブとインテリジェントスイッチの技術的な狭間を埋めることが可能となる。

以上、本発明の実施の形態について説明したが、本発明はこれに限定される事なくその趣旨を逸脱しない範囲で種々の改良・変更が可能であることは勿論である。例えば、上記実施の形態では、IPsecトンネリング技術への適用例を示したが、これに限定されず種々の技術に応用できることは勿論である。また、本実施の形態のネットワーク中継装置はラン・トゥー・ランでのネットワーク環境にも適用し得る。

本発明の一実施の形態に係るネットワーク中継装置としてのVLAN NAT装置２及びその周辺機器との接続関係を示す図である。 VLAN NAT装置２が保持するテーブルの一例を示す図である。 VLAN NAT装置２によるL3アドレスの変換処理（送信元と宛先が１対１に対応する場合）について更に詳細に説明するための図である。 VLAN NAT装置２によるL3アドレスの変換処理（送信元と宛先が１対１に対応し、宛先が別セグメントである場合）について更に詳細に説明するための図である。 VLAN NAT装置２によるL3アドレスの変換処理（送信元がが複数の宛先に対応する場合）について更に詳細に説明するための図である。 VLAN NAT装置２によるL3アドレスの変換処理（送信元が複数の宛先に対応する場合）について更に詳細に説明するための図である。本発明の一実施の形態に係るネットワーク中継装置にIPsecトンネリング技術を適用したネットワークシステムの構成を更に具体的に示す図である。 VLAN NAT装置２が保持するテーブルの一例を示す図である。本発明の一実施の形態に係るネットワーク中継装置により、ハブといった非VLAN対応のネットワークデバイスが混在するLAN環境の中で、既存のネットワーク構成を変更することなく、VLAN対応のネットワークを構築する様子を示す図である。本発明の一実施の形態に係るネットワーク中継装置としてのVLAN NAT装置２の構成を更に具現化して示す図である。本発明の一実施の形態に係るネットワーク中継装置としてのVLAN NAT装置２の構成を更に具現化して示す図である。 VLAN ID決定部２３の詳細な構成を示す図である。仮想L3アドレス決定部２４の詳細な構成を示す図である。 L2パケット送信部２７におけるL2パケット生成の流れを示す図である。Ｌ２パケット受信部３１による処理を示す図である。

符号の説明

１ａ，１ｂ・・・ユーザ端末、２・・・VLAN NAT装置、３・・・IPsec終端装置、１１ａ，１１ｂ・・・ユーザ端末、１２ａ，１２ｂ・・・ハブ、１３・・・VLAN NAT装置、１４・・・業務用VLAN、１５・・・セキュリティ対策用VLAN、２１・・・L3パケット受信部、２２・・・実L3アドレス抽出部、２３・・・VLAN ID決定部、２４・・・仮想L3アドレス決定部、２５・・・仮想インタフェース存在確認部、２６・・・仮想インタフェース作成部、２７・・・Ｌ２パケット送信部、３１・・・L2パケット受信部、３２・・・VLAN ID抽出部、３３・・・仮想インタフェース決定部、３４・・・実L3アドレス抽出部、３５・・・L3パケット送信部、４１・・・ユーザID決定部、４２・・・VLAN ID決定部、５１・・・割り当て仮想L3アドレス-実L3アドレス記録部、５２・・・実L3-仮想L3テーブル。

Claims

入力されたレイヤ３パケットの送信元のレイヤ３アドレス、当該レイヤ３アドレスを割り当てられたユーザ、当該ユーザが属するグループのいずれか、及び接続先のバーチャルローカルエリアネットワークに基づいて、上記レイヤ３パケットの送信元アドレスを変換すると共に接続先のバーチャルローカルエリアネットワークを特定する識別子を付与し、変換後のパケットを転送するよう制御する制御手段を有することを特徴とするネットワーク中継装置。
接続先のバーチャルローカルエリアネットワークは、レイヤ３パケットの送信元のセキュリティ対策状況に応じて決定することを更に特徴とする請求項１に記載のネットワーク中継装置。
上記送信元のレイヤ３アドレスと、変換後の送信元のアドレス及び接続先のバーチャルローカルエリアネットワークを特定する識別子とを対応付けて記憶する記憶手段を更に有し、上記制御手段は、上記記憶手段に上記送信元のレイヤ３アドレスに対応する変換後の送信元アドレス及び識別子が複数記憶されている場合には、上記レイヤ３パケットの宛先アドレスに基づいて変換後の送信元アドレス及び識別子を特定することを更に特徴とする請求項１に記載のネットワーク中継装置。
第１のネットワークから送信されたレイヤ３パケットを第２のネットワークを構成する複数のバーチャルエリアネットワークのうちの少なくともいずれかに転送するネットワーク中継装置を備えたシステムであって、
上記ネットワーク中継装置は、
上記送信元のレイヤ３アドレスと、変換後の宛先アドレス及び接続先のバーチャルローカルエリアネットワークを特定する識別子を対応付けて記憶する記憶手段と、
上記記憶手段を参照して、上記第１のネットワークを介して送信されたレイヤ３パケットの送信元のレイヤ３アドレス、当該レイヤ３アドレスを割り当てられたユーザ、当該ユーザが属するグループのいずれかに基づいて、上記レイヤ３パケットの送信元アドレスを変換すると共に接続先のバーチャルローカルエリアネットワークを特定する識別子を付与し、変換後のパケットを転送するよう制御する制御手段と、
を有し、上記制御手段は、上記記憶手段に上記送信元のレイヤ３アドレスに対応する変換後の送信元アドレス及び識別子が複数記憶されている場合には、上記レイヤ３パケットの宛先アドレスに基づいて変換後の送信元アドレス及び識別子を特定することを特徴とするネットワーク中継システム。
上記第１のネットワークは複数のバーチャルエリアネットワークで構築されていることを更に特徴とする請求項４に記載のネットワーク中継システム。
上記第１のネットワークは、トンネリング技術を用いてアクセスされるネットワークで構築されていることを更に特徴とする請求項４に記載のネットワーク中継システム。
請求項４において、
端末のセキュリティポリシーを管理し、端末からのセキュリティ対策状況データに基づいて、結果を返す機能を持つポリシー管理サーバ、
第１のネットワークからアクセスする端末のセキュリティ対策状況を検査し、その検査結果に応じてアクセス可能な第２のネットワーク中のバーチャルローカルエリアネットワークを割り当てる制御手段と、
をさらに有し、第１のネットワークからアクセスする端末のセキュリティ対策状況に応じて、その端末のアクセス可能なバーチャルローカルエリアネットワークを決定することを更に特徴とする請求項４に記載のネットワーク中継システム。
請求項４において、
第２のネットワーク中にネットワーク監視装置、
ネットワークのセキュリティポリシーを管理し、ネットワーク監視装置のデータに基づいて、メッセージを発する機能を持つポリシー管理サーバ、
ポリシー管理サーバの発するメッセージに基づいて第１のネットワークからアクセスする端末の接続先バーチャルネットワークを変更、及びアクセス拒否といった制御を可能とする手段と、
をさらに有し、第１のネットワークからアクセスする端末が、第２のネットワークにおいて、ネットワークのセキュリティポリシーに反する振る舞いを行った場合、それを検知し、その端末のアクセスを規制することを更に特徴とする請求項４に記載のネットワーク中継システム。