JP2010157857A

JP2010157857A - Ｖｐｎ接続装置、パケット制御方法、及びプログラム

Info

Publication number: JP2010157857A
Application number: JP2008334387A
Authority: JP
Inventors: Takamasa Uchiyama; 貴允内山; Hiroyuki Ichikawa; 弘幸市川; Hiroaki Namita; 浩昭波多; Yuka Kamisuiryu; 由香上水流; Tomohiro Nishitani; 智広西谷; Minoru Umeeda; 実梅枝; Zenji Ishiyama; 善治石山; Hiroki Inaba; 洋城稲葉
Original assignee: NTT Communications Corp
Current assignee: NTT Communications Corp
Priority date: 2008-12-26
Filing date: 2008-12-26
Publication date: 2010-07-15
Anticipated expiration: 2028-12-26
Also published as: JP5054666B2

Abstract

【課題】VPN接続される各拠点のホスト装置に付与されるプライベートアドレスに重複があっても、通信を行うことを可能にする技術を提供する。
【解決手段】VPN接続装置において、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置に対応付けられる仮想アドレスを生成する手段と、前記仮想アドレスと、前記VPN接続装置に接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、前記VPN接続装置に接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に送信するパケット制御手段と、を備える。
【選択図】図２

Description

本発明は、VPN（Virtual Private Network）技術に関するものであり、特に、既存のネットワークを変更することなく、VPNを簡易かつ柔軟に導入することを可能とする技術に関するものである。

近年、企業内ネットワークの拠点間接続等に、専用線に代えてVPNが用いられるケースが増えている。VPNは、トンネリング技術を利用して、インターネット等の公衆回線をあたかも専用回線のように利用して拠点間の接続を可能とする技術である。

VPNの導入形態としては種々のものがあるが、VPNを構築しようとする企業等が、通信事業者にVPN構築に係る申し込みを行い、通信事業者が、機器の設置、ネットワークの設定等を行うのが一般的である。

なお、VPNに関する従来技術として例えば特許文献１に記載された技術がある。
特開２００４−０６４１８２号公報

上述したような一般的なVPN構築においては、企業における既存のネットワーク機器の一部をVPN専用の機器に変更したり、既存のネットワーク構成を変更する必要がある。また、新たなVPNの構築が完了するまでにある程度の期間がかかる。

従って、例えば、ある期間だけ特定の拠点間をVPNで接続したいという要望があっても、既存ネットワークの設定変更等の手間やコストを考慮すると、そのような要望に応えることは困難であった。また、ある拠点内での特定のメンバーと、他の拠点内の特定のメンバーのみをVPNに参加させるといった柔軟な接続形態をとることも従来技術では困難であった。

上記従来技術の問題を解消し、既存のネットワークの構成を変更することなく容易にVPNを構築でき、VPNに参加するホスト装置を柔軟に設定可能とした技術があれば、企業内の拠点間、あるいは異なる企業間での拠点間で簡易にVPN構築が可能になる。このような技術として、本発明の実施の形態において前提としている技術がある。

さて、各拠点のプライベートネットワークにおいては、各ホスト装置にプライベートアドレスが割り当てられる。プライベートアドレスは拠点内で閉じたアドレスであるから、VPN接続される一方の拠点で使用されるプライベートアドレスと、他方の拠点で使用されるプライベートアドレスとが重複している可能性がある。プライベートアドレスが重複している場合、一方の拠点のあるホスト装置がその拠点内のホスト装置にアクセスしようとしたにも関わらず、VPN接続された他方の拠点のホスト装置にアクセスしてしまう等、適切に接続を行うことができないという問題が生じる。

上記の問題は、VPN接続される拠点間において、プライベートアドレスを重複しないように各ホスト装置に割り当てれば解決されるが、そのための人為的な手間がかかる。

本発明は上記の点に鑑みてなされたものであり、既存のネットワークの構成を変更することなく容易にVPNを構築可能な技術において、VPN接続される各拠点のホスト装置に付与されるプライベートアドレスに依存せずに、適切にホスト装置間で通信を行うことを可能にする技術を提供することを目的とする。

上記の課題を解決するために、本発明は、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置に対応付けられる仮想アドレスを生成するアドレス生成手段と、前記仮想アドレスと、前記VPN接続装置に前記ホスト装置接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、を備えたことを特徴とするVPN接続装置として構成される。

本発明によれば、VPN接続装置を既存のネットワークに設置することにより容易にVPNを構築できるようになる。また、ホスト装置から送出されるパケットのアドレス等を参照し、VPN転送条件情報に基づきパケットをVPNに送出するかどうかを判定するように構成したため、VPN転送条件情報を適宜設定することによりVPNに参加するホスト装置を柔軟に設定できる。

また、本発明によれば、VPN装置において、対向VPN装置配下のホスト装置に対して仮想アドレスを生成し、ホスト装置が対向側のホスト装置にパケットを送信する際には、当該仮想アドレスを宛先とすることとしたため、拠点間でのプライベートアドレスの割り当てに依存せずに適切に目的のホスト装置にパケットを送信できる。

以下、図面を参照して本発明の実施の形態について説明する。

（システム構成）
図１に本発明の実施の形態に係るシステムの構成図を示す。図１に示すように、本発明の実施の形態に係るシステムは、プライベートネットワーク１００とプライベートネットワーク２００とがインターネット３００を介して接続されるとともに、通信制御サーバ３１０がインターネット３００に接続されている。

プライベートネットワーク１００は、インターネット３００にルータ１１０を介して接続され、プライベートネットワーク２００は、インターネット３００にルータ２１０を介して接続されている。

プライベートネットワーク１００では、ホスト装置１３０、ホスト装置１２０、VPN装置１４０、及びDNSサーバ１６０が備えられる。このDNSサーバ１６０は既存のものである。ホスト装置１３０とVPN装置１４０はLANに接続され、ホスト装置１２０はVPN装置１４０に接続される。このように、既存ネットワーク（LAN)とVPNに参加するホスト装置の間にVPN装置１４０を挟み込む形で設置することにより、VPN装置１４０は、その配下に接続されるホスト装置から送出されるパケットを常時監視可能になっている。

同様に、プライベートネットワーク２００では、ホスト装置２３０、ホスト装置２２０、DNSサーバ２６０、及びVPN装置２４０が備えられる。ホスト装置２３０とVPN装置２４０はLANに接続され、ホスト装置２２０はVPN装置２４０に接続される。

なお、図１に示すシステムでは、２つの拠点が示され、VPN装置配下に１つのホスト装置が示されているが、これらは代表として示されているだけであり、実際にはより多くの拠点及びホスト装置が接続され得る。

図１に示すシステムにおいて、通信制御サーバ３１０は、VPN装置１４０とVPN装置２４０との間にセキュアな通信路であるVPNを構築するための制御を行う装置である。本実施の形態では、通信制御サーバ３１０はSIPサーバであり、VPN装置間での通信制御サーバ３１０を介したSIPによるメッセージ交換により名前解決や鍵交換を行って、VPN装置間でVPNを確立している。このような方式によるセキュアな通信路の確立方法自体は既存技術である。

また、DNSサーバ１６０は、プライベートネットワーク１００内における装置のIPアドレスとホスト名とを対応付けて格納するDNSサーバであり、DNSサーバ２６０は、プライベートネットワーク２００内における装置のIPアドレスとホスト名とを対応付けて格納するDNSサーバである。

図２に、VPN装置１４０の機能構成図を示す。VPN装置２４０はVPN装置１４０と同じ構成であるので、VPN装置１４０のみについて説明する。

図２に示すように、VPN装置１４０は、PVN（プライベートネットワーク）側インターフェース部１４６、制御部１５０、VPN配下端末側インターフェース部１４７、Web設定インターフェース部１４４、データベース１４５を有する。制御部１５０は、アドレス変換機能部１４９、DNS代理応答機能部１４８、パケット取得制御部１４１、通信制御部１４２、NAT制御部１４３を有する。

PVN（プライベートネットワーク）側インターフェース部１４６は、プライベートネットワーク１００を構成するLANとの間でデータの送受信を行うための機能部である。VPN配下端末側インターフェース部１４７は、VPN装置１４０を利用したVPN通信を可能とするためにVPN装置１４０に接続されるホスト装置（端末）との間でパケットの送受信を行うための機能部である。

Web設定インターフェース部１４４は、VPN装置１４０に接続される端末に対してWeb画面を提供し、そのWeb画面から種々の設定情報を入力するための機能部である。データベース１４５は、設定情報を格納するための記憶部である。

制御部１５０における通信制御部１４２は、通信制御サーバ３１０を介して対向側のＶＰＮ装置２４０との間でSIPに基づくメッセージ送受信を行うことにより、VPN装置１４０とVPN装置２４０間でVPNを設定する機能を有する。また、通信制御部１４２は、VPNを用いて相手側にパケットを送信する機能、及び、VPNを介して受信したパケットをパケット取得制御部１４１に渡す機能も有する。更に、通信制御部１４２は、パケットをVPNを介して送信するかどうかの判定を行うためのVPN転送条件に関する情報と、対向側のVPN参加ホスト装置のホスト名を含むDNS代理応答条件の情報を生成し、データベース１４５に格納する機能も有する。

NAT制御部１４３は、ルータ１１０がNAT機能を備える場合に、SIP通信等のパケット通信を正常に行うためにNAT越えのための制御を行う機能部である。NAT越えの技術自体は既存技術を用いることができる。

パケット取得制御部１４１は、VPN装置１４０の配下のホスト装置から受信したパケットに含まれる情報が、データベース１４５に格納されているVPN転送条件に合致するかどうかを調べ、合致する場合に、該当のVPNを用いてパケットを送信することを決定する機能を有する。

DNS代理応答機能部１４８は、VPN装置１４０にVPN配下端末側インターフェース部１４７を介して接続されたホスト装置（本実施の形態ではホスト装置１２０）から送られるDNSクエリパケットを監視し、データベース１４５に格納された情報を参照することにより、対向VPN装置配下のホスト装置に対するDNSクエリパケットを受信したと判定した場合に、データベース１４５に格納された情報からDNSクエリに係るホスト装置のIPアドレスを抽出し、そのIPアドレスをDNS応答に含めて、DNSクエリパケットを送信したホスト装置に返す機能を有する。また、DNS代理応答機能部１４８は、対向側のVPN参加ホスト装置のホスト名を含むDNS代理応答条件の情報を生成し、データベース１４５に格納する機能も有する。

アドレス変換機能部１４９は、対向VPN装置配下のVPN参加ホスト装置の数に応じてアドレスを生成し、生成したアドレスを対向VPN装置配下のVPN参加ホスト装置に対応付けてデータベース１４５に格納する機能を有する。このアドレスは、VPN装置１４０において、対向VPN装置配下のVPN参加ホスト装置に対して仮想的に割り当てられるものであるから、これを仮想アドレスと呼ぶことにする。

この仮想アドレスは、VPN参加ホスト装置間で互いに重複しないとともに、VPN装置１４０が存在するプライベートネットワークにおけるいずれのプライベートアドレスとも重複しなければ、どのようなアドレスでもよい。ただし、実施上の利便性の観点から、仮想アドレスに適したアドレス体系として、同一セグメント内に閉じた通信のみを可能にし、十分に大きなアドレス空間を持ち、枯渇の心配が少なく、自動生成が可能であるものが望ましい。

そのようなアドレスとして、ルータを超えない範囲内のみで有効なIPアドレスであるIPv4リンクローカルアドレスがある。本実施の形態では、アドレス変換機能部１４９は、仮想アドレスとしてIPv4リンクローカルアドレスを生成する。

ＩＰv４リンクローカルアドレスのアドレス空間は169.254.0.0/16であり、非常に大きい。また、ＩＰv４リンクローカルアドレスは、APIPA（Automatic Private IP Addressing）による自動生成が可能である。更に、ＩＰv４リンクローカルアドレスのアドレス体系はルーティングされないアドレス体系であり、プライベートアドレスと重複することはない。

アドレス変換機能部１４９は、また、データベース１４５を参照することにより、パケットのヘッダに含まれる仮想アドレスを、本来のプライベートアドレスに置換する機能も有する。

なお、VPN装置１４０（VPN装置２４０も同様）における処理機能の各機能部への割り振りは上述したものや以下のシステム動作において説明するものに限られない。VPN装置１４０全体として目的とする処理を行うことができればよい。

VPN装置１４０は、例えば、CPUやメモリ等の記憶装置等を有し、通信プログラム、Web用プログラム、データベース用プログラム等の一般的なプログラムを備えたコンピュータに、制御部１５０の機能に対応するプログラムを実行させることにより実現可能である。当該プログラムは、メモリ等の記録媒体に格納しておき、当該記録媒体から上記コンピュータにインストールすることが可能である。

（システムの動作）
以下、図１、図２に示したシステムにおける動作例を図３〜５に示したシーケンスチャートを参照して説明する。以下の例では、プライベートネットワーク１００におけるホスト装置１２０とプライベートネットワーク２００におけるホスト装置２２０間で、VPNを介した通信が行われる。

まず、VPN装置１４０の通信制御部１４２が、通信制御サーバ３１０に対して登録要求メッセージを送信する（ステップ１１）。この登録要求メッセージには、VPN装置１４０の識別情報と、VPN装置１４０に対応するＩＰアドレスが含まれ、通信制御サーバ３１０において、当該識別情報とＩＰアドレスが対応付けて格納されることにより登録が行われる。登録が行われた後、応答メッセージが返される（ステップ１２）。VPN装置２４０においても同様の登録処理が行われる（ステップ１３、１４）。

続いて、プライベートネットワーク１００側のホスト装置１２０のユーザが、ホスト装置１２０からWeb設定I／F部１４４にアクセスすることにより、VPN構築に必要な情報の入力を行う（ステップ１５、１６）。

本実施の形態では、VPN装置１４０の接続相手はVPN装置２４０であり、VPN装置１４０の配下でVPN装置１４０とVPN装置２４０との間のVPNを使用した通信を行うのはホスト装置１２０であることから、ここでは、VPN装置１４０の識別情報（VPN-Aとする）及びVPN装置２４０の識別情報（VPN-Bとする）と、ホスト装置１２０のIPアドレス（アドレスAとする）及びホスト名（host-Aとする）が入力され、これらがデータベース１４５に格納される。なお、本例では、ホスト装置１２０からVPN装置１４０に対する情報設定を行っているが、情報設定は任意の端末から行ってよい。

プライベートネットワーク１００側と同様にして、プライベートネットワーク２００の側では、VPN装置２４０の識別情報（VPN-B）及びVPN装置１４０の識別情報（VPN-A）と、ホスト装置２２０のIPアドレス（アドレスB）及びホスト名（host-Bとする）がデータベース２４５に格納される（ステップ１７、１８）。

続いて、本例では、ホスト装置１２０からWeb設定I/F部１４４に対してVPN装置１４０とVPN装置２４０間でVPNを設定する旨の指示を行う（ステップ１９）。この指示には、それぞれの識別情報（VPN-A、VPN-B）が含まれる。通信制御部１４２は、Web設定I/F部１４４から指示を受けとり、接続要求メッセージ（宛先の識別情報としてVPN-Bが含まれ、送信元の識別情報としてVPN-Aが含まれるINVITEメッセージ）を通信制御サーバ３１０に送信する（ステップ２０、２１）。

接続要求メッセージを受信した通信制御サーバ３１０では、VPN-Bに基づき登録情報からVPN装置２４０のIPアドレスを取得し、そのIPアドレス宛に接続要求メッセージを転送する（ステップ２２）。VPN装置２４０の通信制御部２４２は、接続要求に係る接続がデータベース２４５をに登録されているものであることを確認し、応答メッセージを通信制御サーバ３１０を介してVPN装置１４０に返す（ステップ２４〜２６）。

このような処理により、VPN装置１４０とVPN装置２４０との間でセキュアな通信路であるVPNが確立される（ステップ２７）。

その後、通信制御部１４２は、ステップ１６で保存した情報から、VPN装置１４０の識別情報（VPN-A、対向VPN装置にとってVPNの識別情報でもある)と、その配下のホスト装置１２０のIPアドレス（アドレスA）及びホスト名（host-A）とを読み出し（ステップ２８）、それらをVPNを利用してVPN装置２４０に送信する（ステップ２９）。同様に、VPN装置２４０の通信制御部２４２は、ステップ１８で保存した情報から、自身の識別情報（VPN-B)と、その配下のホスト装置２２０のIPアドレス（アドレスB）及びホスト名（host-B）とを読み出し、それらをVPNを利用してVPN装置１４０に送信する（ステップ３０、３１）。

対向のVPN装置２４０から上記情報を受け取った通信制御部１４２は、既に保存してある情報とあわせて、受け取った情報をテーブルとしてデータベース１４５に格納する（ステップ３２）。この時点でのテーブルを図６に示す。

図６に示すテーブルには、自分（VPN装置１４０）に対してVPN接続される相手のVPN装置２４０の識別情報（VPN-B）、自分（VPN装置１４０）に接続されており、かつ、VPN装置１４０とVPN装置２４０との間のVPNを利用するホスト装置として指定されたホスト装置のアドレス（アドレスA）、及び、VPN装置２４０とVPN装置１４０との間のVPNを利用するホスト装置として相手側で指定されたホスト装置のアドレス（アドレスB)及びそのホスト名（host-B）が格納される。同様にして、VPN装置２４０側のデータベース２４５には、図７に示すテーブルが格納される（図３のステップ３３）。なお、図６には、VPN-Cで識別される対向VPN装置に係る設定も示されている。この設定では、ホスト装置１２０は、VPN-Cで識別される対向VPN装置配下のアドレスCのホスト装置ともVPN通信可能である。

上記の例では、VPN転送条件に係る情報として、IPアドレスを用いているが、IPアドレスの他にMACアドレスを用いてもよい。また、アドレスに加えて、プロトコルを条件として用いてもよい。

また、上記の例では、VPN転送条件に関する情報とDNS代理応答条件に関する情報とを同じタイミングで生成しているが、DNS代理応答条件情報のみを別のタイミングで生成してもよい。例えば、VPNに参加するあるホスト装置のホスト名もしくはアドレスが変更になった場合に、そのホスト装置から変更後のホスト名及びアドレスをVPN装置１４０に入力し、VPN装置１４０のDNS代理応答機能部１４８が当該ホスト名及びアドレスを通信制御部１４２を介して対向VPN装置に送信し、対向VPN装置の側でホスト名及びアドレスを用いてテーブルを更新する。また、VPN装置１４０が新たなホスト名及びアドレスを受信した場合には、DNS代理応答機能部１４８が当該新たなホスト名及びアドレスを用いてテーブルを更新する。

次に、VPN装置１４０のアドレス変換機能部１４９は、テーブル（図６に示したものと同様）を参照することにより、VPN接続先においてVPNを利用してVPN装置１４０側と通信を行うホスト装置の数を決定する（ステップ３４）。本例ではその数は１（ホスト装置２２０のみ）とする。そして、その数の分だけの仮想アドレス（IPv4リンクローカルアドレス）を生成し、生成した仮想アドレスを、VPN装置２４０側のホスト装置に割り当てる。つまり、仮想アドレス（アドレスXとする）をテーブルにおけるVPN装置２４０側のホスト装置２２０のIPアドレス（アドレスB）に対応付けて格納する（ステップ３５）。

本例では、VPN装置２４０側のホスト装置は１つ（ホスト装置２２０）なので、仮想アドレス（アドレスX）は、そのホスト装置２２０に割り当てられられる。その結果、データベース１４５に格納されるテーブルとして、図８に示すテーブルが得られる。

VPN装置２４０側でも同様の処理が行われ（ステップ３６、３７）、データベース２４５には、図９に示すテーブルが格納される。

図８、図９において、対向VPN装置の識別情報、自分配下のVPN利用ホスト装置のアドレス、及び対向VPN装置配下のVPN利用ホスト装置の仮想アドレスをまとめてVPN転送条件情報と呼ぶことができる。また、対向VPN装置配下のVPN利用ホスト装置の仮想アドレス及びホスト名をまとめてDNS代理応答条件情報と呼ぶことができる。

なお、VPN装置１４０が、上記のようにして割り当てられた仮想アドレスと対向側のホスト装置のアドレスとをVPN装置２４０に通知し、VPN装置２４０から同様にして仮想アドレスとアドレスとをVPN装置１４０に通知し、それぞれ、それらの情報をテーブルに加えることとしてもよい。その場合のテーブルの例を図１０、図１１に示す。

次に、ホスト装置１２０からDNSクエリパケットが送出される際の動作について図４を参照して説明する。図４では、DNSクエリパケットを通常のDNSサーバで処理する例１と、DNSクエリパケットに対する応答をVPN装置１４０が（代理で）行う例２を示している。

ホスト装置１２０からDNSクエリパケットが送出され、パケット取得制御部１４１がそれを受信し、パケット取得制御部１４１は当該パケットのヘッダ等から当該パケットがDNSクエリパケットであることを判別し、当該パケットをDNS代理応答機能部１４８に渡す（ステップ４１、４２）。

DNS代理応答機能部１４８は、図８に示したテーブルを検索し、DNSクエリパケットに含まれるホスト名が、当該テーブルに含まれているかどうかを判定する（ステップ４３、４４）。例１では、DNSクエリパケットに含まれるホスト名はテーブルに含まれていないので、DNS代理応答機能部１４８は、DNSクエリパケットをパケット取得制御部１４１及びPVN側インターフェース部１４６を介して外部に送出する（ステップ４５、４６）。DNSクエリパケットは、通常どおり、DNSサーバ１６０もしくはインターネット上のDNSサーバで処理される。

次に例２について説明する。

ホスト装置１２０からDNSクエリパケットが送出され、パケット取得制御部１４１がそれを受信し、パケット取得制御部１４１は当該パケットのヘッダ等から当該パケットがDNSクエリパケットであることを判別し、当該パケットをDNS代理応答機能部１４８に渡す（ステップ５１、５２）。

DNS代理応答機能部１４８は、図８に示したテーブルを検索し、DNSクエリパケットに含まれるホスト名が、当該テーブルに含まれているかどうかを判定する（ステップ５３、５４）。例２では、DNSクエリパケットに含まれるホスト名（host-B）はテーブルに含まれているので、DNS代理応答機能部１４８は、テーブルからhost-Bに対応する仮想アドレス（アドレスX）を取得して（ステップ５４）、当該アドレスBを含むDNS応答パケットを生成し、パケット取得制御部１４１及びVPN配下端末側インターフェース部１４７を介してホスト装置１２０に返す（ステップ５５、５６）。これにより、ホスト装置１２０は、host-Bに対応するアドレスXを取得し、当該アドレスX宛にパケットを送信できる。

本実施の形態では、上記のようなDNS代理応答手段を使用して対向側ホスト装置の名前解決を行うこととしているが、あるホスト装置が対向側ホスト装置にアクセスする際に、アドレス（仮想アドレス）を直接入力することとすれば、上記のようなDNS代理応答手段はなくてもよい。仮想アドレスを直接入力する方式を採用する場合、配下のホスト装置が対向側ホスト装置の実際のアドレスを既に把握していることを前提として、VPN装置１４０は、対向側ホスト装置に割り当てた仮想アドレスと対向側ホスト装置の実際のアドレスとを、配下のホスト装置に事前に通知しておく。

次に、ホスト装置１２０から通信のためのパケットを送信する場合の例１、例２について図５を参照して説明する。

例１は、ホスト装置１２０から送出されるパケットのヘッダに設定される宛先アドレスが、仮想アドレスに該当しないグローバルなアドレスである場合の例である。

この場合、ホスト装置１２０から送出されたパケットは、VPN装置１４０が受信し、VPN装置１４０においてパケット取得制御部１４１により取得される（ステップ６１）。パケット取得制御部１４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得する。そして、パケット取得制御部１４１は、図８に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組がテーブルに存在するかどうかをチェックするための検索を行う（ステップ６２、６３）。例１では、宛先アドレスはテーブルに設定されていないので、検索に失敗する。検索に失敗した場合、パケット取得制御部１４１は、VPNを用いることなくパケットをPVN側インターフェース部１４６を介して送出する。すると、パケットは、VPNを介さずに、通常のルーティングに従って、宛先に届けられる（ステップ６４）。

次に、例２について説明する。例２は、ホスト装置１２０から送出されるパケットのヘッダに設定される宛先アドレスが、対向のホスト装置２２０のアドレス（アドレスB)に対応付けられた仮想アドレス（アドレスX）である場合の例である。

ホスト装置１２０から送出されたパケットは、VPN装置１4０においてパケット取得制御部１4１により取得される（ステップ７１）。パケット取得制御部１４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得する。そして、パケット取得制御部１4１は、図８に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ７２）。例２では、上記送信元アドレス及び宛先アドレスの組であるアドレスAとアドレスXの組がテーブルに設定されているので、検索に成功する。また、パケット取得制御部１4１は、アドレスAとアドレスXの組に対応する接続先のVPN装置２４０の識別情報（VPN-B）を取得し、ホスト装置１２０から受信したパケットを送出すべきVPNは、VPN-Bに対して設定されたVPNであると決定する。

検索に成功したので、パケット取得制御部１4１は、パケットとVPN装置２４０の識別情報（VPN-B）をパケット変換機能部１４９に渡す（ステップ７３）。パケット変換機能部１４９は、図８に示したテーブルを参照し、アドレスXに対応するアドレスBを取得し、パケットのヘッダにおけるアドレスXをアドレスBに置き換える（ステップ７４）。そして、パケット変換機能部１４９は、VPN-Bとパケットを通信制御部１４２に渡し、通信制御部１４２は、パケットを当該VPNを用いて送信する（ステップ７５、７６）。

通信制御部１４２から送信されたパケットは、VPN装置２４０の通信制御部２４２により受信され、通信制御部２４２は受信したパケットをパケット変換機能部２４９に渡す（ステップ７７）。パケット変換機能部２４９は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得し、図９に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ７８）。ここでは、検索に成功し、パケット変換機能部１４９は、送信元アドレス（アドレスA）を、それに対応する仮想アドレス（アドレスY）に置換して、当該パケットを宛先であるホスト装置２２０に送信する（ステップ７９）。

なお、上記の例では、パケットのヘッダにおるアドレスXをアドレスBに置き換える処理をVPN装置１４０側で行い、送信元アドレス（アドレスA)を仮想アドレス（アドレスY）に置換する処理をVPN装置２４０側で行っているが、VPN装置２４０側で図１１に示したテーブルを保持しておくことにより、VPN装置２４０側で宛先のアドレスXをアドレスBに置き換えてもよい。また、VPN装置１４０側で図１０に示したテーブルを保持しておくことにより、VPN装置１４０側で送信元のアドレスAをアドレスYに置き換えてもよい。

以上説明したように、本発明に基づく技術を適用することにより、VPN装置を既存のネットワークに設置するだけで容易にVPNを構築できるようになる。また、VPN装置において、対向VPN装置配下のホスト装置に対し、いずれのプライベートアドレスとも重複しない仮想アドレスを生成し、対向側のホスト装置にパケットを送信する際には、当該仮想アドレスを宛先とすることとしたため、拠点間でのプライベートアドレスの割り当てに依存せずに（重複していても）適切に目的のホスト装置にパケットを送信できる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

本発明の実施の形態に係るシステムの構成図である。 VPN装置１４０の機能構成図である。本発明の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。本発明の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。本発明の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。データベース１４５に格納されるテーブルを示す図である。データベース２４５に格納されるテーブルを示す図である。データベース１４５に格納されるテーブルを示す図である。データベース２４５に格納されるテーブルを示す図である。データベース１４５に格納されるテーブルを示す図である。データベース２４５に格納されるテーブルを示す図である。

符号の説明

１００プライベートネットワーク
２００プライベートネットワーク
３００インターネット
１１０、２１０ルータ
３１０通信制御サーバ
１２０、１３０、２２０、２３０ホスト装置
１４０、２４０ VPN装置
１５０制御部
１４１パケット取得制御部
１４２通信制御部
１４３ NAT制御部
１４４ Web設定インターフェース部
１４５データベース
１４６ PVN（プライベートネットワーク）側インターフェース部
１４７ VPN配下端末側インターフェース部
１４８ DNS代理応答機能部
１４９アドレス変換機能部

Claims

対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、
通信ネットワークに接続するための網接続手段と、
前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置に対応付けられる仮想アドレスを生成するアドレス生成手段と、
前記仮想アドレスと、前記VPN接続装置に前記ホスト装置接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段と、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、
を備えたことを特徴とするVPN接続装置。
前記VPN転送条件情報は、前記対向ホスト装置の仮想アドレスと前記ホスト装置のアドレスとに加えて、VPNの識別情報を有し、前記パケット制御手段は、前記パケットの宛先アドレスと送信元アドレスの組に対応付けられた識別情報で識別されるVPNを利用して前記パケットを送信することを特徴とする請求項１に記載のVPN接続装置。
前記VPNの識別情報と前記ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記VPNの識別情報と前記対向ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報と、前記アドレス生成手段により取得した仮想アドレスとを用いて前記VPN転送条件情報を生成する手段を備えたことを特徴とする請求項１又は２に記載のVPN接続装置。
前記記憶手段は、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと当該対向ホスト装置のホスト名とを含むDNS代理応答条件情報を格納し、前記VPN接続装置は、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からDNSクエリパケットを受信し、当該DNSクエリパケットに含まれる問い合わせに係るホスト名が前記記憶手段に格納されたDNS代理応答条件情報に含まれるかどうかを判定するDNS応答判定手段と、
前記DNS応答判定手段により含まれると判定された場合に、前記DNS代理応答条件情報から前記ホスト名に対応するアドレスを取得し、当該アドレスを含むDNS応答パケットを前記ホスト装置に送信し、前記DNS応答判定手段により含まれないと判定された場合に、前記DNSクエリパケットを前記網接続手段を介して前記通信ネットワークに送出する応答手段と、を備えたことを特徴とする請求項１ないし３のうちいずれか１項に記載のVPN接続装置。
前記仮想アドレスとしてIPv4リンクローカルアドレスを用いることを特徴とする請求項１ないし４のうちいずれか１項に記載のVPN接続装置。
対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置が実行するパケット制御方法であって、
前記VPN接続装置は、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置に対応付けられる仮想アドレスを生成するアドレス生成手段と、
前記仮想アドレスと、前記VPN接続装置に前記ホスト装置接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、を備え、前記パケット制御方法は、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの当該宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定ステップと、
前記判定ステップにより含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御ステップと、
を備えたことを特徴とするパケット制御方法。
コンピュータを、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置として機能させるためのプログラムであって、
前記コンピュータは、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置に対応付けられる仮想アドレスを生成するアドレス生成手段と、
前記仮想アドレスと、前記VPN接続装置に前記ホスト装置接続手段を介して接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納する記憶手段と、を備え、前記プログラムは、前記コンピュータを、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置から、宛先アドレスとして前記仮想アドレスを有するパケットを受信し、当該パケットの当該宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する判定手段、
前記判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段、
として機能させるためのプログラム。