JP2007027818A - 仮想プライベートネットワークにおけるアドレス管理方法、サーバ装置及びクライアント装置 - Google Patents

Abstract

【課題】仮想プライベートネットワークにおけるアドレス管理方法、サーバ装置及びクライアント装置に関し、同一の仮想プライベートネットワーク（ＶＰＮ）に接続された通信機器へＩＰアドレスが重複することなく自動的に割当てる。
【解決手段】ＶＰＮクライアント１−１及びＶＰＮサーバ１−２により仮想プライベートネットワーク（ＶＰＮ）を構築し、ＶＰＮサーバ１−２のアドレス管理部１−２２は、ＶＰＮクライアント１−１からのＩＰアドレス割当て要求に対し、自身が保持及び管理しているＩＰアドレスで未割当のものの中から複数個のＩＰアドレスを動的に割当て、ＶＰＮクライアント１−１はその配下に接続された通信端末１−３へ、該ＶＰＮサーバ１−２と連携して取得したＩＰアドレスによりＩＰアドレスの再割当てを行う。更に、ＶＰＮクライアント１−１は、ＶＰＮサーバ１−２とパケット転送ポリシーを交渉する手段を備える。
【選択図】 図１

Description

本発明は、仮想プライベートネットワークにおけるアドレス管理方法、サーバ装置及びクライアント装置に関する。事業会社の本店と支店間の通信等のように特定の閉領域でのみ通信を行うための閉域網を、高価な専用線を用いずに、安価なＩＰ（Internet Protocol）ネットワーク上で同等の閉域網として構築する仮想プライベートネットワーク（ＶＰＮ：Virtual Private Network）が、多くの通信サービス事業者から提供されている。本発明は、仮想プライベートネットワーク上の各通信端末にそれぞれのＩＰアドレスを重複させずに効率よく付与するためのものである。

仮想プライベートネットワーク（ＶＰＮ）を構築する技術としては、ＩＰｓｅｃ（Security Architecture for Internet Protocol）やＰＰＴＰ（Point-to-Point Tunneling Protocol）、Ｌ２ＴＰ（Layer 2 Tunneling Protocol）などがある。ＩＰｓｅｃは、ＩＰレイヤ以降をトンネリング化し、ＰＰＴＰ及びＬ２ＴＰは、レイヤ２以降をトンネリング化することにより、仮想的なプライベートネットワークを構築する。

仮想プライベートネットワーク（ＶＰＮ）は、サーバ装置（以下、ＶＰＮサーバという）とクライアント装置（以下、ＶＰＮクライアントという）とから構成され、ＶＰＮクライアントは、ＶＰＮサーバからＩＰアドレスを取得し、ＩＰ通信が可能となる。

なお、ＩＰｓｅｃ関連規格についてはＲＦＣ２４０１〜ＲＦＣ２４０６，ＲＦＣ３４５６等に、ＰＰＴＰ関連規格についてはＲＦＣ２６３７に、Ｌ２ＴＰ関連規格についてはＲＦＣ２６６１により公開されている。ここで、ＲＦＣ（Request For Comment）は、インターネットに関する技術の標準を定める団体であるＩＥＴＦが正式に発行する文書である。

仮想プライベートネットワークは、図５に示すように、ＶＰＮクライアント５−１とＶＰＮサーバ５−２とで構成される。ＶＰＮクライアント５−１及びＶＰＮサーバ５−２は、パーソナルコンピュータ等の情報通信機器によって構成されることもあるが、ルータなどの通信機器によって構成される。複数のネットワーク間を仮想的に接続する場合は、後者の構成となる。

レイヤ２仮想プライベートネットワーク（ＶＰＮ）の構成の場合、ＶＰＮクライアント５−１及びＶＰＮサーバ５−２の通信機器によってその間にレイヤ２のＶＰＮトンネルを構成し、ＶＰＮクライアント５−１及びＶＰＮサーバ５−２の通信機器それぞれに接続された通信端末５−３，５−４の間で相互に仮想プライベートネットワーク（ＶＰＮ）による通信を行うことができる。

本発明に関連する先行技術文献として、所定の管理範囲内に存在する通信端末からの割当要求を受けるたびに、自身が保管しているアドレスのうち未割当のアドレスの中から選択したアドレスを動的に割当てる動的アドレス割当サーバを有するアドレス割当システムにおいて、動的アドレス割当サーバと複数の通信端末との間に介在するアドレス割当中継システムを設け、当該アドレス割当中継システムは、動的アドレス割当サーバと連携して、複数の通信端末のため、各通信端末が実際に割当要求を送信する前にアドレスを確保するアドレス予約処理を実行するアドレス割当システムが下記の特許文献１に記載されている。
特開２００４−１２９１２６号公報

複数のサブネット、例えばサブネット＃１とサブネット＃２とを同一の仮想プライベートネットワーク（ＶＰＮ）に所属させる場合、サブネット＃１とサブネット＃２とに属する通信端末のＩＰアドレスが重複しないように各ＩＰアドレス設定する必要がある。しかし、現在の通信機器ではＩＰアドレスを手動で設定しなければならず、これを行うには専門的な知識及び厳密なアドレス管理が必要となる。

また、ユーザによっては、既に構築したネットワークの運用の途中から、仮想プライベートネットワーク（ＶＰＮ）の利用を開始する場合もある。このような場合、通信端末のＩＰアドレスが重複して設定されてしまう可能性が大きくなり、ＩＰアドレスの再割当てが必要となることがある。

本発明は、同一の仮想プライベートネットワーク（ＶＰＮ）に接続された通信機器へ、ＩＰアドレスを重複させることなく自動的に割当てることが可能なアドレス管理方法並びに該方法の実施に使用するサーバ装置及びクライアント装置を提供することを目的とする。

本発明の仮想プライベートネットワークにおけるアドレス管理方法は、（１）サーバ装置及びクライアント装置により構築される仮想プライベートネットワークにおけるＩＰアドレス管理方法であって、前記サーバ装置において、仮想プライベートネットワークに接続された通信機器からのＩＰアドレス割当て要求に対し、該サーバ装置で保持及び管理しているＩＰアドレスで未割当てのものの中から、仮想プライベートネットワーク接続のためのＩＰアドレスを動的に割当てるステップと、前記クライアント装置において、該クライアント装置の配下に接続された通信端末に対して、仮想プライベートネットワークを構築する以前に該通信端末に動的に割当てられたＩＰアドレスを無効にし、前記サーバ装置により割当てられた仮想プライベートネットワーク接続のためのＩＰアドレスを再割当てするステップと、を含むことを特徴とする。

また、本発明の仮想プライベートネットワークにおけるサーバ装置は、（２）クライアント装置との間に仮想プライベートネットワークが構築されるサーバ装置であって、前記仮想プライベートネットワークに接続された通信機器からのＩＰアドレス割当て要求に対し、該サーバ装置で保持及び管理しているＩＰアドレスで未割当てのものの中から、仮想プライベートネットワーク接続のためのＩＰアドレスを動的に割当てる手段と、前記クライアント装置からの仮想プライベートネットワーク接続のためのＩＰアドレスの要求に対して、前記動的に割当てた仮想プライベートネットワーク接続のためのＩＰアドレスを該クライアント装置に通知する手段と、を備えたことを特徴とする。

また、本発明の仮想プライベートネットワークにおけるクライアント装置は、（３）サーバ装置との間に仮想プライベートネットワークが構築されるクライアント装置であって、前記サーバ装置に対して、仮想プライベートネットワーク接続のためのＩＰアドレスを要求し、該サーバ装置から仮想プライベートネットワーク接続のためのＩＰアドレスを受け取る手段と、該クライアント装置の配下に接続された通信端末に対して、仮想プライベートネットワークを構築する以前に該通信端末に動的に割当てられたＩＰアドレスを無効にし、前記サーバ装置により受け取った仮想プライベートネットワーク接続のための未割当てのＩＰアドレスを割当てる手段と、を備えたことを特徴とする。

また、（４）前記クライアント装置において、配下の通信端末からの動的なＩＰアドレス割当て要求を前記サーバ装置へ転送することなく、該クライアント装置で集約し、前記サーバ装置から受け取ったＩＰアドレスを、該サーバ装置の代わりに前記通信端末へ動的に配布する手段を備えたことを特徴とする。

また、（５）前記クライアント装置において、前記サーバ装置と前記仮想プライベートネットワークへの転送条件について交渉する手段と、該交渉の結果により、配下の通信端末からのパケットを、該仮想プライベートネットワーク又は他の通信経路へ振り分けて転送する手段と、を備えたことを特徴とする。

本発明によれば、ＩＰアドレスを管理するサーバ装置によって割り振られた未割当てのＩＰアドレスをクライアント装置が自動的に各通信機器に割当てることにより、論理的に同一の仮想プライベートネットワーク（ＶＰＮ）に接続された通信機器に、ＩＰアドレスを重複させることなく自動的に割当てることが可能となる。

また、クライアント装置において、サーバ装置と前記仮想プライベートネットワークへの転送条件について交渉する手段を備えたことにより、今まで仮想プライベートネットワーク（ＶＰＮ）構築のために必要なＩＰアドレスやパケット転送ポリシー等を手動で設定する必要がなくなり、それらが自動設定されることにより、誤設定の防止及び管理コストの低減を図ることができる。それにより、仮想プライベートネットワーク（ＶＰＮ）の導入が容易となり、多くのユーザにとって仮想プライベートネットワーク（ＶＰＮ）が利用し易いものとなる。

本発明によるＶＰＮクライアント及びＶＰＮサーバの機能構成を図１の（ａ）及び（ｂ）に示す。図１の（ａ）に示すＶＰＮクライアント１−１において、ＶＰＮ部１−１１は、ＶＰＮサーバ１−２との間にレイヤ２の仮想プライベートネットワーク（ＶＰＮ）のトンネルを生成し、対象パケットを転送する機能を有する。

アドレス管理部１−１２は、ＶＰＮ部１−１１から取得したＩＰアドレス又は自身で保持しているＩＰアドレスからＩＰアドレスを選択して動的アドレス配布部１−１３へ送出し、通信端末１−３に割当てるＩＰアドレスを管理する機能を有する。動的アドレス配布部1−１３は、ＶＰＮクライアント１−１に接続された通信端末１−３に対し、前述のアドレス管理部１−１２から割当てられたＩＰアドレスを動的に配布する機能を有する。

また、転送条件管理部１−１４は、ＶＰＮサーバ１−２と仮想プライベートネットワーク（ＶＰＮ）への転送条件について交渉し、該交渉の結果により、配下の通信端末１−３からのパケットを、該仮想プライベートネットワーク（ＶＰＮ）又は他の通信経路へ振り分ける機能を有する。

図１の（ｂ）に示すＶＰＮサーバ１−２において、ＶＰＮ部１−２１は、前述のＶＰＮクライアント１−１との間にレイヤ２の仮想プライベートネットワーク（ＶＰＮ）のトンネルを生成しパケットを転送する機能を有する。アドレス管理部１−２２は、ＶＰＮサーバ１−２に接続される通信機器１−４及びＶＰＮクライアント１−１へ割当てるＩＰアドレスを管理する機能を有する。動的アドレス配布部１−２３は、該ＩＰアドレスを通信端末１−４及びＶＰＮクライアント１−１へ配布する機能を有する。

また、転送条件管理部１−１２は、ＶＰＮクライアント１−１と仮想プライベートネットワーク（ＶＰＮ）への転送条件について交渉し、該転送条件をＶＰＮクライアント１−１に通知する機能を有する。

ＶＰＮクライアント１−１及びＶＰＮサーバ１−２により、仮想プライベートネットワーク（ＶＰＮ）を構築し、ＶＰＮサーバ１−２のアドレス管理部１−２２は、該仮想プライベートネットワーク（ＶＰＮ）に接続された通信機器からのＩＰアドレス割当て要求に対し、自身が保持及び管理しているＩＰアドレスで未割当のものの中から、ＩＰアドレスを動的に割当て、該ＶＰＮサーバ１−２と仮想プライベートネットワーク（ＶＰＮ）を構築する通信機器（ＶＰＮクライアント１−１）の配下に接続された通信端末１−３へ、該ＶＰＮサーバ１−２と連携して取得したＩＰアドレスの再割当てを行う。

図２は、本発明によるアドレス管理のシーケンスチャートを示し、ＶＰＮサーバ１−２は、自装置配下の通信端末１−４ヘプライベートのＩＰアドレスを配布する（シーケンス２−１）。ＶＰＮクライアント１−１は、ＶＰＮサーバ１−２とＶＰＮトンネルを確立（シーケンス２−２）した後、配下の通信端末１−３へ配布するための複数のＩＰアドレスをＶＰＮサーバ１−２へ要求する（シーケンス２−３）。

ＶＰＮサーバ１−２は前記要求に対し、ＶＰＮサーバ１−２内に保持しているＩＰアドレスの中から未割当ての複数個のＩＰアドレスを配布する（シーケンス２−４）。ＶＰＮクライアント１−１は、通信端末１−３のアドレス要求（シーケンス２−５）に対し、前述のＶＰＮサーバ１−２から取得した複数のＩＰアドレスの中から未割当てのＩＰアドレスを割当てる（シーケンス２−６）。これにより、仮想的に通信端末１−４と同一のネットワークに所属することになる。

図３は、本発明によるＩＰアドレス再割当てのシーケンスチャートを示す。ＶＰＮクライアント１−１は、ＶＰＮサーバ１−２との間に仮想プライベートネットワーク（ＶＰＮ）を構築する以前に、通信端末１−３からのＩＰアドレス要求（シーケンス３−１）に対し、自身で保持しているプライベートのＩＰアドレスを割当てているものとする（シーケンス３−２）。

次に、ＶＰＮクライアント１−１とＶＰＮサーバ１−２との間に仮想プライベートネットワーク（ＶＰＮ）接続のためのＶＰＮトンネルが確立すると（シーケンス３−３）、ＶＰＮクライアント１−１は、ＶＰＮサーバ１−２に対して複数のＩＰアドレスを要求する（シーケンス３−４）。

ＶＰＮサーバ１−２は、ＶＰＮクライアント１−１からの上記ＩＰアドレス要求に対して、該仮想プライベートネットワーク（ＶＰＮ）で使用する複数のＩＰアドレスを割当ている（シーケンス３−５）。ＶＰＮクライアント１−１は配下の通信端末１−３に対してＩＰアドレスの割当て更新を要求する（シーケンス３−６）。

ＶＰＮクライアント１−１からＩＰアドレスの割当て更新の要求を受けた通信端末１−３は、今まで割当てられていたＩＰアドレスを解放し、新ＩＰアドレスの割当て要求をＶＰＮクライアント１−１に対して送信する（シーケンス３−７）。ＶＰＮクライアント１−１は、該通信端末１−３からのＩＰアドレスの割当て要求に対して、前述のＶＰＮサーバ１−２から取得したＩＰアドレスの中から未割当てのＩＰアドレスを該通信端末１−３に対して配布する（シーケンス３−８）。

こうすることにより、ＶＰＮクライアント１−１の制御により、仮想プライベートネットワーク（ＶＰＮ）構築以前に通信端末１−３に動的に割当てたＩＰアドレスから、ＶＰＮサーバ１−２から取得した仮想プライベートネットワーク（ＶＰＮ）接続のためのＩＰアドレスに再割当てを行ってＩＰアドレスを更新することが可能となる。

また、通信端末１−３とＶＰＮサーバ１−２との間に設置されるＶＰＮクライアント１−１において、通信端末１−３からの動的なＩＰアドレス割当て要求のパケットを、ＶＰＮサーバ１−２のアドレス管理部１−２２へ直接転送せず、該ＶＰＮクライアント１−１で全て集約し、ＶＰＮクライアント１−１がＶＰＮサーバ１−２のアドレス管理部１−２２から割当てられたＩＰアドレスを、該ＶＰＮサーバに代わって通信端末１−３へ動的に配布する。

これにより、ＶＰＮクライアント１−１は、通信端末１−３からＩＰアドレス割当て要求のパケットを代理中継する機能を有し、ＶＰＮクライアント１−１に接続された通信端末に対して、最適なＩＰアドレスを割当てることが可能となる。

図４は本発明によるパケット転送ポリシー交渉のシーケンスチャートを示す。ＶＰＮクライアント１−１は、ＶＰＮサーバ１−２との間にＶＰＮトンネルを確立した後（シーケンス４−１）、転送条件管理部１−１４よりＶＰＮサーバ１−２に対してパケット転送ポリシーを要求する（シーケンス４−２）。

ＶＰＮサーバ１−２は、上記パケット転送ポリシーをＶＰＮクライアント１−１から受けると、転送条件管理部１−２４より該ＶＰＮクライアント１−１にパケット転送ポリシーを通知する。（シーケンス４−３）。パケット転送ポリシーはＶＰＮトンネルへの転送条件であり、ＶＰＮクライアント１−１の転送条件管理部１−１４は、該転送条件に応じて、通信端末１−３からのパケットをＶＰＮトンネル又は他の通信経路へ振り分けを行う。

転送条件の具体例としては、送信先ＩＰアドレス若しくはＭＡＣアドレス、送信元ＩＰアドレス若しくはＭＡＣアドレス、又はプロトコルの種類等によって、転送先を振分けたりフィルタリングを行ったりするなどのパケット転送ポリシーが挙げられる。

このように、ＶＰＮサーバ１−２とＶＰＮクライアント１−１との間で、仮想プライベートネットワーク（ＶＰＮ）におけるパケット転送ポリシーを交換する手段を備えることにより、ＶＰＮクライアント１−１では該パケット転送ポリシーによるパケット転送が可能となる。

以下、本発明の仮想プライベートネットワーク（ＶＰＮ）におけるアドレス管理の具体的な例を挙げて説明する。仮想プライベートネットワーク（ＶＰＮ）は、ＶＰＮ接続を構成するＶＰＮクライアント１−１及びＶＰＮサーバ１−２、並びにそれらに接続される通信機器によって構成されるものとする。

ＶＰＮクライアント１−１とＶＰＮサーバ１−２との間に構成されるＶＰＮ接続の種類にはＩＰｓｅｃ、ＰＰＴＰ、Ｌ２ＴＰ等があるが、ここではレイヤ２のトンネルによるＶＰＮ接続が構成されているものとする。ＶＰＮトンネル確立後、ＶＰＮクライアント１−１は、該ＶＰＮトンネルを経由して、ＶＰＮサーバ１−２からＩＰアドレスを取得する。

上記ＩＰアドレスを取得する方法は、ＤＨＣＰ（Dynamic Host Configuration Protocol）のプロトコルを使用してＶＰＮサーバ１−２のＤＨＣＰサーバからアドレスを取得する方法と、独自プロトコルの拡張により取得する方法とがある。

ＶＰＮサーバ１−２がＶＰＮクライアント１−１に割当てるＩＰアドレスは、ＶＰＮサーバ１−２で保持しているＩＰアドレスから未割当てのものを使用するか、或いは仮想プライベートネットワーク（ＶＰＮ）用に新規にサブネットワークを構成するＩＰアドレスを作成する構成としてもよい。該ＩＰアドレスとして連続したアドレスを配布することも、不揃いのアドレスを配布することも可能である。

ＶＰＮクライアント１−１は、ＩＰアドレス取得と同時に、転送条件管理部１−１４により、ＶＰＮサーバ１−２から対象パケットをＶＰＮトンネル経由で転送するためのポリシーやルールを取得する。取得する方法は、既存プロトコルを拡張しても行っても良いし、また該ポリシーやルールに関するテキストデータを配布して行うことも可能である。

ＩＰｖ４の場合の動的ＩＰアドレス割当てには、ＤＨＣＰのプロトコルを用いることが多い。この場合、ＩＰアドレス取得後、ＶＰＮクライアント１−１は、通信機器に対し、ＤＨＣＰのプロトコルにおけるＦｏｒｃｅＲＥＮＥＷのプロトコルを用いて、割当て済みのＩＰアドレスを解放させ、再びＤＨＣＰによりＩＰアドレスを取得させる（図３のシーケンス３−６）。この手法を用いることにより、通信端末１−３のアドレスを自動的に更新させることが可能となる。

ＩＰｖ６の場合は、ルータ広告（ＲＡ：Router Advertisement）のプロトコルによりプレフィックスを通知することで、通信端末１−３にＩＰアドレスを付与することが可能である。そのため、ＶＰＮクライアント１−１においては、ＶＰＮサーバ１−２からのルータ広告（ＲＡ）を通信端末１−３へ中継することで、通信端末１−３へＩＰｖ６アドレスが付与され、仮想プライベートネットワーク（ＶＰＮ）を経由したＩＰｖ６通信が可能となる。

通信端末１−３においてＩＰｖ６アドレスを複数個保有することは可能であり、そのため通信端末自身でパケット転送先が自動的に決まり、最適な経路へパケットを送信することができる。また、ゲートウェイのＩＰアドレスをＶＰＮクライアント１−１に割当てられたＩＰアドレスとすることにより、ＶＰＮクライアント１−１で全てのパケットを集約することが可能となり、ＶＰＮクライアント１−１で前述のパケット転送ポリシーやルールに従って、パケットを転送させることが可能となる。

本発明によるＶＰＮクライアント及びＶＰＮサーバの機能構成を示す図である。 本発明によるアドレス管理のシーケンスチャートである。 本発明によるＩＰアドレス再割当てのシーケンスチャートである。 本発明によるパケット転送ポリシー交渉のシーケンスチャートである。 仮想プライベートネットワーク（ＶＰＮ）の構成を示す図である。

符号の説明

１−１ ＶＰＮクライアント
１−１１ ＶＰＮ部
１−１２ アドレス管理部
１−１３ 動的アドレス配布部
１−２ ＶＰＮサーバ
１−２１ ＶＰＮ部
１−２２ アドレス管理部
１−２３ 動的アドレス配布部
１−３ 通信端末
１−４ 通信端末

Claims (5)

1. サーバ装置及びクライアント装置により構築される仮想プライベートネットワークにおけるＩＰアドレス管理方法であって、
   前記サーバ装置において、前記クライアント装置からのＩＰアドレス割当て要求に対し、該サーバ装置で保持及び管理しているＩＰアドレスで未割当てのものの中から、仮想プライベートネットワーク接続のためのＩＰアドレスを動的に割当てるステップと、
   前記クライアント装置において、該クライアント装置の配下に接続された通信端末に対して、仮想プライベートネットワークを構築する以前に該通信端末に動的に割当てられたＩＰアドレスを無効にし、前記サーバ装置により割当てられた仮想プライベートネットワーク接続のためのＩＰアドレスの中から未割当てのものを割当てするステップと、
   を含むことを特徴とする仮想プライベートネットワークにおけるアドレス管理方法。
2. クライアント装置との間に仮想プライベートネットワークが構築されるサーバ装置であって、
   前記仮想プライベートネットワークに接続された通信機器からのＩＰアドレス割当て要求に対し、該サーバ装置で保持及び管理しているＩＰアドレスで未割当てのものの中から、仮想プライベートネットワーク接続のためのＩＰアドレスを動的に割当てる手段と、
   前記クライアント装置からの仮想プライベートネットワーク接続のためのＩＰアドレスの要求に対して、前記動的に割当てた仮想プライベートネットワーク接続のためのＩＰアドレスを該クライアント装置に通知する手段と、
   を備えたことを特徴とする仮想プライベートネットワークにおけるサーバ装置。
3. サーバ装置との間に仮想プライベートネットワークが構築されるクライアント装置であって、
   ＩＰアドレスを保持及び管理するサーバ装置に対して、仮想プライベートネットワーク接続のためのＩＰアドレスを要求し、該サーバ装置から仮想プライベートネットワーク接続のためのＩＰアドレスを受け取る手段と、
   該クライアント装置の配下に接続された通信端末に対して、仮想プライベートネットワークを構築する以前に該通信端末に動的に割当てられたＩＰアドレスを無効にし、前記サーバ装置により受け取った仮想プライベートネットワーク接続のためのＩＰアドレスの中から未割当てのものを割当てる手段と、
   を備えたことを特徴とする仮想プライベートネットワークにおけるクライアント装置。
4. 請求項３に記載のクライアント装置において、配下の通信端末からの動的なＩＰアドレス割当て要求を前記サーバ装置へ転送することなく、該クライアント装置で集約し、前記サーバ装置から受け取ったＩＰアドレスを、該サーバ装置の代わりに前記通信端末へ動的に配布する手段を備えたことを特徴とする仮想プライベートネットワークにおけるクライアント装置。
5. 請求項３に記載のクライアント装置において、前記サーバ装置と前記仮想プライベートネットワークへの転送条件について交渉する手段と、該交渉の結果により、配下の通信端末からのパケットを、該仮想プライベートネットワーク又は他の通信経路へ振り分けて転送する手段と、を備えたことを特徴とする仮想プライベートネットワークにおけるクライアント装置。
   

Images