JP2011071870A - 通信装置、通信システムおよび通信方法 - Google Patents

Abstract

【課題】端末にソフトウェアを追加することなく、仮想ネットワーク通信を実現することができる通信装置を得ること。
【解決手段】端末識別子と論理網識別子に基づいて通信パケットの転送を行なう中継装置に接続するゲートウェイ装置１であって、端末から受信した、宛先端末識別子と論理網識別子とを用いて生成された仮想宛先アドレスを含む通信パケットに対して、仮想宛先アドレスに基づいて求めた宛先端末識別子および論理網識別子と、送信元アドレスに基づいて求めた送信元端末識別子と、を挿入して中継装置へ送信し、中継装置から受信した通信パケットに含まれる宛先端末識別子に基づいて宛先アドレスを求め、送信元識別子および論理網識別子に基づいて送信元アドレスを求め、受信した通信パケットに対して、アドレスを反映し各識別子を削除して自身に接続する端末に送信するカプセル化処理部１４と、を備える。
【選択図】図２

Description

本発明は、仮想ネットワーク通信を行なう通信装置、通信システムおよび通信方法に関する。

近年、多彩な商品の提供や経営効率化などを目的として、大企業同士での合併や持ち株会社の設立によりグループ企業を統合する事例が相次いでいる。企業の統合の際には、各社（各企業）が個別に構築管理していた企業内情報ネットワークを新しい組織の下で一本化することが想定される。このようにすることにより、各社が管理するデータベースの共有や業務サービスの連携が実現するとともに、通信回線やネットワーク機器を集約して運用コストの削減を図ることも可能となるからである。

しかしながら、企業内の情報ネットワークでは機密性が高い情報を取り扱うことが少なくなく、あらゆる通信端末が情報ネットワークに無秩序に接続されることはセキュリティ面で不適切といえる。そのため、物理的には装置集約によってコスト削減を推し進めつつ、論理的には連携が必要な限られた端末間だけを最小限に接続できるネットワーク構成が求められる。

このような要求に対し、たとえば、下記特許文献１では「分散型仮想ネットワーク」として、通信グループとユーザを一意に示す識別子を格納してカプセル化したパケットを送受信することにより、ネットワークに接続する端末に対して論理的なグループ構成に基づく相互アクセスの機能を実現している。また、下記特許文献１に記載のオーバレイネットワークでは、下記非特許文献１に代表される分散ハッシュテーブル技術を利用してデータベース管理とルーティングを分散化することによって、耐障害性とスケーラビリティを兼ね備えた仮想ネットワーク通信機能を実現している。

特開２００７−１５８５９４号公報 "Ｃｈｏｒｄ： Ａ Ｓｃａｌａｂｌｅ Ｐｅｅｒ―ｔｏ―Ｐｅｅｒ Ｌｏｏｋｕｐ Ｓｅｒｖｉｃｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ａｐｐｌｉｃａｔｉｏｎｓ"， Ｐｒｏｃ． ＡＣＭ ＳＩＧＣＯＭＭ，２００１

しかしながら、上記特許文献１に記載のオーバレイネットワークでは、通信の両端となる端末の内部に仮想的な通信インタフェースとパケットへのラベル付加モジュールを備える構成をとっており、各端末では、通信用のソフトウェアのほかに専用のパケット処理ソフトウェアが動作している必要がある。しかし、大規模な企業連携ネットワークでは参加端末数が数十万から百万台に達する場合もあり、全ての端末にこのようなソフトウェアをインストールするのは非常に手間が掛かる、という問題があった。

また、業務端末などパーソナルコンピュータ以外の端末では、内部がブラックボックス化している場合もあり、このような端末には独自ソフトウェアのインストール自体が不可能である。そのため、上記特許文献１に記載の方法では、ソフトウェアの追加が困難な端末を含む場合にはオーバレイネットワークを利用した仮想ネットワーク通信機能を提供することができない、という問題があった。

本発明は、上記に鑑みてなされたものであって、既存の端末にソフトウェアを追加することなく、仮想ネットワーク通信を実現することができる通信装置、通信システムおよび通信方法を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、端末と、前記端末に接続し前記端末の通信パケットを中継する通信装置と、前記通信装置に接続し、前記端末の識別子である端末識別子と論理網を識別する論理網識別子とに基づいて前記端末の通信パケットの転送を行なう中継装置と、で構成される通信システムにおける前記通信装置であって、自身に接続する前記端末の端末識別子とアドレスとの対応を保持する対応保持手段と、自身に接続する前記端末から、宛先の前記端末の端末識別子である宛先端末識別子と使用する論理網の論理網識別子とを用いて所定の変換規則に基づいて生成された仮想宛先アドレスを宛先アドレスとした通信パケットを受信した場合に、受信した通信パケットに含まれる仮想宛先アドレスと前記所定の変換規則とに基づいて、宛先端末識別子および論理網識別子を求め、また、受信した通信パケットの送信元アドレスを前記対応に基づいて、その通信パケットの送信元の端末の端末識別子である送信元端末識別子を求め、受信した通信パケットの所定の位置に、求めた前記宛先端末識別子、前記送信元識別子および前記論理網識別子を挿入するカプセル化処理を実施し、カプセル化処理後の通信パケットを前記中継装置へ送信するカプセル化処理手段と、前記中継装置から受信した通信パケットに含まれる宛先端末識別子と前記対応に基づいて宛先の前記端末のアドレスである宛先端末アドレスを求め、前記送信元識別子および論理網識別子と前記所定の変換規則とに基づいて求めた仮想アドレスを送信元仮想アドレスとして求め、前記中継装置から受信した通信パケットに対して、宛先アドレスに前記宛先端末アドレスを格納し、かつ送信元アドレスに前記送信元仮想アドレスを格納し、かつ宛先端末識別子、送信元識別子および論理網識別子を削除する、デカプセル処理を実施し、デカプセル処理後の通信パケットを自身に接続する前記端末に送信するデカプセル化処理手段と、を備えることを特徴とする。

本発明によれば、通信装置が、自身が接続する端末からパケットを受信した場合には、仮想ＩＰアドレスに基づいて求めた端末識別子および論理網識別子と、送信元ＩＰアドレスに基づいて求めた送信元端末識別子と、をＩＰアドレスとペイロードの間に挿入して送信して、自身が接続する中継装置へ送信し、また、通信装置は、中継装置からパケットを受信した場合には、そのパケットに対して、パケットに含まれる宛先端末識別子に基づいて求めたＩＰアドレスを宛先ＩＰアドレスとし、論理網識別子および送信元端末識別子に基づいて求めた仮想ＩＰアドレスを送信元ＩＰアドレスとし、パケットに含まれる各識別子を削除して、自身に接続する端末に送信するようにしたので、既存の端末にソフトウェアを追加することなく、仮想ネットワーク通信を実現することができる、という効果を奏する。

図１は、実施の形態１の通信システムの構成例を示す図である。 図２は、実施の形態１のゲートウェイ装置の機能構成例を示す図である。 図３は、ゲートウェイ装置が生成するカプセル化パケットの形式の一例を示す図である。 図４は、仮想ネットワークを利用する端末のＩＰアドレス体系を示す図である。 図５は、カプセル化処理部が保持する端末識別子とＩＰアドレスの変換表の位置例を示す図である。 図６は、ネットワーク接続構成の一例を示す図である。 図７は、送信側のゲートウェイ装置によるパケットのカプセル化処理の一例を示す図である。 図８は、受信側のゲートウェイ装置が実施するパケットのデカプセル化処理を示す図である。 図９は、実施の形態２のゲートウェイ装置の構成例を示す図である。 図１０は、擬似ＤＨＣＰサーバ部が保持する認証済み端末を識別管理する管理表の一例を示す図である。 図１１は、実施の形態２のゲートウェイ装置の参加処理の手順の一例を示す図である。 図１２は、実施の形態２の離脱処理の手順の一例を示す図である。 図１３は、実施の形態３のゲートウェイ装置の構成例を示す図である。 図１４は、擬似ＤＮＳサーバ部を用いた名前解決処理の手順の一例を示す図である。

以下に、本発明にかかる通信装置、通信システムおよび通信方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態１．
図１は、本発明にかかる通信システムの実施の形態１の構成例を示す図である。図１に示すように、本実施の形態の通信システムは、ゲートウェイ装置１−１〜１−４と、端末２−１〜２−４と、中継装置３−１〜３−６と、で構成される。本実施の形態では、本発明にかかる通信装置としてゲートウェイ装置１−１〜１−４を例に説明する。

中継装置３−１〜３−６は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）によって相互通信可能なネットワークを構成しており、中継装置３−１にゲートウェイ装置１−１〜１−３が接続し、中継装置３−５にゲートウェイ装置１−４が接続している。また、ゲートウェイ装置１−３には、端末２−１，２−２が接続し、ゲートウェイ装置１−４には、端末２−３，２−４が接続している。なお、図１の構成は一例であり、ＩＰによるネットワークを構成する中継装置３−１〜３−６の台数はこれに限らず、何台としてもよい。また、１台の中継装置に接続するゲートウェイ装置１−１〜１−４の数は、これに限らず、０台以上の何台としてもよい。また、１台のゲートウェイ装置に接続する端末の数は、これに限らず０台以上の何台としてもよい。

ゲートウェイ装置１−１〜１−４は、同様の構成を有しており、ゲートウェイ装置１−１〜１−４のうちいずれであるかを特定せず一般化して示す場合には、ゲートウェイ装置１として表記する。また、同様に端末２−１〜２−４のうちいずれであるかを特定しない場合には、端末２として表記する。

図２は、本実施の形態のゲートウェイ装置１の機能構成例を示す図である。図２に示すように、ゲートウェイ装置１は、中継装置３−１〜３−６側に接続するネットワークインタフェース部１１と、自身に接続する端末２−１〜２−４側に接続するネットワークインタフェース部１２と、自身が接続する中継装置３−１〜３−６と制御メッセージを送受信する仮想ネットワーク制御部１３と、自身に接続する端末２−１〜２−４から受信したパケットをカプセル化して自身が接続する中継装置３−１〜３−６側に送り出すカプセル化処理部１４と、で構成される。

図３は、ゲートウェイ装置１が生成するカプセル化パケットの形式の一例を示す図である。カプセル化処理部１４は、自身に接続する端末２−１〜２−４から受信したパケットを図３に示すような形式にカプセル化して自身が接続する中継装置３−１〜３−６側に送信する。図３に示すように、本実施の形態のカプセル化パケットは、送信元ＩＰアドレス，宛先ＩＰアドレス，送信元端末識別子，宛先端末識別子，論理網識別子，ペイロードで構成される。通常のＩＰパケットは、ＩＰヘッダの後にペイロードが続く形式であるが、本実施の形態のカプセル化パケットは両者の間に送信元端末の識別子である送信元端末識別子と、宛先端末を示す識別子である宛先端末識別子と、使用する論理通信グループを示す識別子である論理網識別子を挿入している。

図４は、仮想ネットワークを利用する端末２のＩＰアドレス（仮想ＩＰアドレス）体系を示す図である。仮想ＩＰアドレスでは、全長１２８ビットのＩＰｖ６アドレスのうち上位３２ビットを全ての端末で共通な仮想ネットワークプレフィクス（図中では２００１：１：：／３２）とし、下位９６ビットのうち前半３２ビットに論理網識別子を、後半６４ビットに端末識別子をそれぞれマッピングする。ただし、端末２の物理的なネットワークインタフェースに割り当てるホストＩＰアドレスは、グループ識別子部分を０で埋めたものを用いる。

たとえば、端末識別子が５１３番（１６進表記で４０１）となる端末２のホストＩＰアドレスは２００１：１：：４０１であるが、論理グループ８０（１６進表記で５０）番で他の端末２から上記の端末２へパケット送信するときの宛先アドレスは２００１：１：０：５０：：４０１となる。端末２が所属するネットワークのアドレスを２００１：：／６４とすれば、端末２は、論理網識別子を指定したＩＰアドレスを他ネットワークのアドレスとみなす。さらに、端末２のデフォルトゲートウェイとしてゲートウェイ装置を指定するようにすることで、ゲートウェイ装置１は、端末２から送信される仮想ネットワーク通信のパケットを自動的に受信できるようになる。

図５は、各ゲートウェイ装置１のカプセル化処理部１４が保持する端末識別子とＩＰアドレスの変換表の位置例を示す図である。端末に割り当てた識別子（送信元端末識別子または宛先端末識別子）と、その端末が使用するＩＰアドレスを対応づけている。たとえば、図５の最上段のエントリは、０ｘ１０１の識別子をもつ端末のＩＰアドレスが２００１：：１：０：５であることを示している。この変換表は、送信側と受信側で変換表を用いて検索する場合のキーが異なるため、端末識別子からＩＰアドレス，ＩＰアドレスから端末識別子の双方を検索可能な構造をもつ必要がある。なお、各ゲートウェイ装置１は自身に接続している端末２の分だけのエントリを持てばよく、他のゲートウェイ装置１に接続する端末２の分までは管理しない。

図６は、ネットワーク接続構成の一例を示す図である。端末２−１は、ゲートウェイ装置１−１に接続されているとし、端末２−２はゲートウェイ装置２−２に接続されているとする。この場合、端末２−１を送信元とし、端末２−２をあて先とする。端末２−１とゲートウェイ装置１−１は送信側ネットワーク４−１に属し、端末２−２とゲートウェイ装置１−２は受信側ネットワーク４−２に属する。また、ゲートウェイ装置１−１は中継装置３−１に接続し、ゲートウェイ装置１−２は中継装置３−４に接続している。中継装置３−１〜３−６は、図１と同様にＩＰによって相互通信可能なネットワークを構成している。

送信側の端末２−１のＩＰアドレスを２００１：：１：０：１００１とし、ゲートウェイ装置１−１のＩＰアドレスを２００１：：１：１：１とし、受信側の端末２−２のＩＰアドレスを２００１：：５：０：２０５とし、ゲートウェイ装置１−２のＩＰアドレスを２００１：：５：０：１０２とする。

図７は、送信側のゲートウェイ装置１−１によるパケットのカプセル化処理の一例を示す図である。図７は、図６の構成を前提としている。通信を希望する送信側の端末２−１のアプリケーションは、端末自身のＩＰアドレス（２００１：：１：０：１００１）を送信元ＩＰアドレスとし、名前解決により取得した対向端末（宛先の端末２−２）の仮想ＩＰアドレス（２００１：１：０：５０：：４０２）を宛先ＩＰアドレスとするパケットを生成してネットワークに送出する。なお、名前解決の方法はどのような方法を用いてもよいが、たとえば、別途設けたＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバが、名前解決の処理を行い、端末２−１が、宛先のユーザ名とグループ名を通知してＤＮＳサーバに問い合わせ、ＤＮＳサーバが対応する仮想ＩＰアドレスを返信するようにする。この場合、ＤＮＳサーバは、ユーザ名と端末識別子の対応、グループ名と端末識別子の対応を、たとえば、後述の中継装置３−１〜３−６に問い合わせることにより取得する。

ゲートウェイ装置１−１のネットワークインタフェース部１２が端末２−１から送信されたパケットを受信すると、カプセル化処理部１４にそのパケットを転送する。カプセル化処理部１４は、そのパケットに含まれる送信元ＩＰアドレスおよび仮想ＩＰアドレスに基づいて送信元端末識別子、宛先端末識別子および論理網識別子を求め、求めたこれらの各識別子をパケットに挿入する。具体的には、カプセル化処理部１４は、上述の保持している端末識別子とＩＰアドレスの変換表に基づいて、パケットに含まれる送信元ＩＰアドレスに対応する端末識別子を送信元端末識別子として求める。また、上述のように仮想ＩＰアドレスは、図４に例示したように仮想ネットワークプレフィクスの後の下位９６ビットのうち、前半３２ビットに論理網識別子が後半６４ビットに端末識別子が、それぞれ格納されている。したがって、カプセル化処理部１４は、仮想ＩＰアドレスに格納されている論理網識別子を求め、また仮想ＩＰアドレスに格納されている端末識別子を宛先端末識別子として求める。

また、カプセル化処理部１４は、ＩＰヘッダ部分については、送信元ＩＰアドレスを、自装置（ゲートウェイ装置１−１）のネットワークインタフェース部１１に割り当てたＩＰアドレス（２００１：：１：１：１）に書き換え、宛先ＩＰアドレスを、ネットワークインタフェース部１１に接続している中継装置３−１のＩＰアドレスに書き換える。

カプセル化処理部１４は、上述の処理を行った後のパケット（カプセル化パケット）を、ネットワークインタフェース部１１を経由して中継装置３−１に送信する。中継装置３−１〜３−６間のパケット処理では、図３に示した各識別子の部分は変化しない。

中継装置３−１へ送信されたパケットは、中継装置３−１〜３−６が構成するネットワークを経由して中継装置３−４に転送され、中継装置３−４は、接続するゲートウェイ装置１−２へ受信したパケットを転送する。なお、中継装置３−１〜３−６間の転送については、後述する。

図８は、受信側のゲートウェイ装置１−２が実施するパケットのデカプセル化処理を示す図である。ゲートウェイ装置１−２では、ネットワークインタフェース部１１が中継装置３−４から転送されたパケットを受信し、カプセル化処理部１４に受信したパケットを転送する。カプセル化処理部１４は、転送されたパケットに含まれる送信元端末識別子および論理網識別子に基づいて仮想ＩＰアドレスを生成し、また、転送されたパケットに含まれる宛先端末識別子を保持している変換表に基づいてＩＰアドレスに変換する。そして、カプセル化処理部１４は、転送されたパケットに対して、送信元ＩＰアドレスを生成した仮想ＩＰアドレスに書き換え、宛先ＩＰアドレスを変換したＩＰアドレスに書き換え、各識別子（送信元端末識別子，宛先端末識別子，論理網識別子）を削除したＩＰパケットを生成する。カプセル化処理部１４は、生成したＩＰパケットを、ネットワークインタフェース部１２を経由して端末２−２へ送信する。

つぎに、中継装置３−１〜３−６間の転送について説明する。中継装置３−１〜３−６は、通常のＩＰアドレスに基づく転送だけでなく、図３で示したカプセル化パケットの識別子部分を解釈する機能を有していることとし、各識別子に基づいて受信したパケットを転送することとする。具体的には、中継装置３−１〜３−６は、仮想ネットワーク通信を行う（仮想ネットワーク通信を認可する）端末の情報をデータベースとして管理している。データベースとして含まれる内容は、たとえば、端末ごとの、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス，端末識別子，対応する論理網識別子，仮想ネットワーク通信の可否，端末が接続するゲートウェイ装置のアドレスなどが含まれることとする。また、ユーザ名と端末識別子の対応、グループ名と論理網識別子の対応、などもデータベースに含まれることとする。なお、ここでは、端末２とユーザは一意に対応するとする。

なお、データベースは、全ての中継装置３−１〜３−６が同一のデータベースを保持するようにしてもよいし、データベースを分割して分散データベースとし、中継装置３−１〜３−６間が各々の担当する分散データベースを分散管理するようにしてもよい。データベースを分散管理する場合、中継装置３−１〜３−６は、自身が保持する分散データベースに宛先端末識別子に対応する情報がない場合には、他の中継装置３−１〜３−６に問い合わせて情報を取得する。なお、データベースの分散管理の方法については、特に制約はなく、たとえば分散ハッシュテーブル技術を用いる方法等どのような方法を用いてもよい。

なお、本実施の形態では、ゲートウェイ装置１では、カプセル化処理部１４が、送信側のカプセル化処理と、受信側のデカプセル処理の両方を実施するようにしたが、カプセル化処理部とデカプセル化処理部に分けて構成するようにしてもよい。また、その場合、端末識別子とＩＰアドレスの変換表（対応）を保持する記憶手段である変換表（対応）保持部を別途設け、変換表保持部をカプセル化処理部およびデカプセル化処理部が変換表保持部の変換表を参照して上記の処理を行うようにすればよい。

以上のように、本実施の形態では、端末２が、送信するパケットの宛先ＩＰアドレスを宛先の端末識別子と論理網識別子に基づいて生成された仮想ＩＰアドレスを格納し、ゲートウェイ装置１が、自身が接続する端末２からパケットを受信した場合には、仮想ＩＰアドレスに基づいて求めた端末識別子および論理網識別子と、送信元ＩＰアドレスに基づいて求めた送信元端末識別子と、をＩＰアドレスとペイロードの間に挿入して送信して、自身が接続する中継装置３−１〜３−６へ送信する。また、ゲートウェイ装置１は、中継装置３−１〜３−６からパケットを受信した場合には、そのパケットに対して、パケットに含まれる宛先端末識別子に基づいて求めたＩＰアドレスを宛先ＩＰアドレスとし、論理網識別子および送信元端末識別子に基づいて求めた仮想ＩＰアドレスを送信元ＩＰアドレスとし、パケットに含まれる各識別子を削除して、自身に接続する端末２に送信するようにした。そのため、既存の端末にソフトウェアを追加することなく、仮想ネットワーク通信を実現することができる。

実施の形態２．
図９は、本発明にかかるゲートウェイ装置１ａの実施の形態２の構成例を示す図である。図９に示すように、本実施の形態のゲートウェイ装置１ａは、実施の形態１のゲートウェイ装置１に、端末２向けＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）インタフェースを提供するための擬似ＤＨＣＰサーバ部１５を追加する以外は実施の形態１のゲートウェイ装置１と同様である。また、本実施の形態の通信システムの構成は、ゲートウェイ装置１をゲートウェイ装置１ａに換える以外は実施の形態１と同様である。実施の形態１と同様の機能を有する構成要素は、実施の形態１と同一の符号を付して説明を省略する。

従来技術では、ネットワークリソースの提供先を認可された端末に限定するため、仮想ネットワーク通信を行う端末を、あらかじめ中継装置のデータベースに登録しておき、端末が通信を開始する際に認証処理を行い、認証処理により認可されている端末であると判定された場合に通信を許可する。一方、認証処理は制御装置（中継装置）に対するメッセージ交換を伴うため、専用ソフトウェアを搭載しない端末は、単独で認証処理を行うことができない。そこで、本実施の形態では、ゲートウェイ装置１ａに擬似ＤＨＣＰサーバ部１５を付加することで、端末２へのＩＰアドレス割り当ての自動化を行うとともに、端末２の認証処理を実現する。

図１０は、擬似ＤＨＣＰサーバ部１５が保持する認証済み端末を識別管理する管理表の一例を示す図である。一般に認証処理を実施する制御装置は、端末のアカウント情報を、ＭＡＣアドレスを用いて管理する。本実施の形態では、中継装置３−１〜３−６が認証処理を行うこととし、中継装置３−１〜３−６が端末２のアカウント情報をＭＡＣアドレスで管理することとする。したがって、ゲートウェイ装置１ａも自身に接続する端末２が、認証済みであるか否かを、ＭＡＣアドレスを用いて管理する。図１０に示すように、擬似ＤＨＣＰサーバ部１５は管理表として、自装置に接続する認証済みの端末２のＭＡＣアドレスと端末識別子の対応を保持する。

ゲートウェイ装置１ａは、パケットを受信した場合に、上記の管理表を参照し、パケットに含まれるＭＡＣアドレスが管理表にエントリがあるＭＡＣアドレスである場合、認証済みの端末としてパケット処理を行う。また、管理表の各エントリにはＤＨＣＰで配布するＩＰアドレスのリース期間と同期した有効期限を設ける。リース期間の満了後もＩＰアドレスを継続利用する端末はＤＨＣＰＲＥＱＵＥＳＴを再送する。したがって、有効期限が満了するまでに、ＤＨＣＰＲＥＱＵＥＳＴ再送がなかった場合には有効期限が満了した端末２が離脱したものと判定し、その端末２についてのエントリを削除する。

図１１は、本実施の形態のゲートウェイ装置１ａの参加処理（端末認証処理）の手順の一例を示す図である。なお、以下の参加処理のうちゲートウェイ装置１ａの処理は、擬似ＤＨＣＰサーバ部１５が実施する。ゲートウェイ装置１ａをＤＨＣＰサーバとするよう設定された端末２は、ネットワークに接続すると自身が使用するＩＰアドレスを取得するためＤＨＣＰサーバを発見するためのメッセージであるＤＨＣＰＤＩＳＣＯＶＥＲメッセージをブロードキャストする（ステップＳ１１）。ゲートウェイ装置１ａは、端末２からのＤＨＣＰＤＩＳＣＯＶＥＲメッセージの受信をトリガとして端末２の参加処理を開始する。

ゲートウェイ装置１ａは、中継装置３−１〜３−６は上述のように端末２の認証情報はＭＡＣアドレスをキーとするデータベースで管理されるため、自身が接続する中継装置３（中継装置３−１〜３−６のいずれか）へ、ＤＨＣＰＤＩＳＣＯＶＥＲメッセージの送信元ＭＡＣアドレスをキーとしてデータベースの検索を要求する認証情報探索要求を送信する（ステップＳ１２）。

データベース探索要求を受信した中継装置３は、認証情報探索要求に含まれるキー（ＭＡＣアドレス）に基づいて、自身が保持するデータベースを検索し、対応するエントリがあった場合、そのエントリとして登録されている認証情報を含む認証情報探索応答を返信する（ステップＳ１３）。一方、中継装置３は、検索に失敗した場合（認証情報探索要求に含まれるキーに基づいて自身が保持するデータベースを検索し、対応するエントリがなかった場合）、認証情報探索要求に対して応答しない。ゲートウェイ装置１ａは、応答がない場合には、以降の処理を行わないため、端末２はＩＰアドレスが取得できず通信を行うことができない。

認証情報探索応答として含む認証情報には、その端末２に対応する端末識別子とその端末２のユーザが参加可能なグループの識別子とを含める。ゲートウェイ装置１ａは、ステップＳ１３で受信した認証情報探索応答により取得したユーザ識別子に基づいてＩＰアドレスを生成して、端末２に生成したＩＰアドレスを含むＤＨＣＰＯＦＦＥＲメッセージ（ＩＰアドレスの候補を通知するためのメッセージ）を返信する（ステップＳ１４）。

端末２は、ＤＨＣＰＯＦＦＥＲメッセージを受信すると、ＤＨＣＰＯＦＦＥＲメッセージで通知されたＩＰアドレスの取得を依頼するＤＨＣＰＲＥＱＵＥＳＴメッセージをゲートウェイ装置１ａへ送信する（ステップＳ１５）。ゲートウェイ装置１ａは、保持している管理表に端末２に対応するエントリがあるかを検索する（テーブルエントリ検索：ステップＳ１６）。検索の結果、エントリがある場合は、ＩＰアドレスの取得が正常終了したことを通知するＤＨＣＰＡＣＫメッセージを端末２に返送して処理を終了する。

ステップＳ１６の検索の結果、エントリがない場合は、ゲートウェイ装置１ａは、端末２の仮想ネットワーク（ＮＷ）への参加を要求する仮想ＮＷ参加要求メッセージを自身に接続する中継装置３へ送信する（ステップＳ１７）。中継装置３は、データベースを検索し、端末２の仮想ネットワーク通信が認可されている場合には、仮想ＮＷ参加応答をゲートウェイ装置１ａへ返送する（ステップＳ１８）。

ゲートウェイ装置１ａは、仮想ＮＷ参加応答を受信すると、認証情報で指定されたグループへの参加要求メッセージを中継装置３へ送信する（ステップＳ１９）。中継装置３は、データベースを検索し、端末２が指定されたグループの通信を認可されている場合には、グループ参加応答をゲートウェイ装置１ａへ返送する（ステップＳ２０）。

グループ参加応答を受信すると、ゲートウェイ装置１ａは、ステップＳ１３で受信した認証情報に基づいて、図１０に例示した管理表に端末２のＭＡＣアドレスと端末識別子を登録し（テーブルエントリ設定：ステップＳ２１）、ＤＨＣＰＡＣＫメッセージを端末２に送信する（ステップＳ２２）。ＤＨＣＰＡＣＫメッセージにはゲートウェイ装置１ａ自身のＩＰアドレスを格納しておくことで、以後端末２はゲートウェイ装置１ａをデフォルトゲートウェイとして通信するようになる。

なお、中継装置３は、ステップＳ１２，ステップＳ１７，ステップＳ１９の各要求を受信した場合、データベースが分散管理されている場合には、他の中継装置３への問い合わせを実施することもある。

端末２に割り当てたＩＰアドレスのリース期間が満了すると、端末２からＤＨＣＰＲＥＱＵＥＳＴメッセージが再送されるが、同メッセージを送信してきた端末２のＭＡＣアドレスが図１０に例示した管理表に登録されていれば、ゲートウェイ装置１ａは改めて中継装置３に参加要求メッセージ（仮想ＮＷ参加要求，グループ参加要求）を送信しない。

図１２は、本実施の形態の離脱処理の手順の一例を示す図である。端末２の離脱処理は、図１０に例示したテーブルエントリの期限切れ（ＩＰアドレスのリース期間の満了）以外に、端末２から、ＩＰアドレスの解放を要求するＤＨＣＰＲＥＬＥＡＳＥメッセージを受信した場合にも実行される。

ゲートウェイ装置１ａは、端末２からＤＨＣＰＲＥＬＥＡＳＥメッセージを受信する（ステップＳ３１）と、自身が接続する中継装置３に対して、端末２の仮想ネットワークからの離脱を要求する仮想ＮＷ離脱要求を送信する（ステップＳ３２）。ゲートウェイ装置１ａは、仮想ＮＷ離脱要求に対する応答である仮想ＮＷ離脱応答を中継装置３から受信する（ステップＳ３３）と、端末２のグループからの離脱を要求するグループ離脱要求を中継装置３へ送信する（ステップＳ３４）。そして、ゲートウェイ装置１ａは、中継装置３から、グループ離脱要求に対する応答であるグループ離脱応答を受信する（ステップＳ３５）と、管理表からその端末２のエントリを削除し（ステップＳ３６）、端末２にＤＨＣＰＡＣＫメッセージを返送する（ステップＳ３７）。以上述べた以外の本実施の形態の動作は実施の形態１と同様である。

以上のように、本実施の形態では、ゲートウェイ装置１ａが、疑似ＤＨＣＰサーバ部１５を備え、端末２からＤＨＣＰＤＩＳＣＯＶＥＲメッセージを受信した場合に、疑似ＤＨＣＰサーバ部１５が端末２に対する認証情報を中継装置３から取得し、取得した認証情報に基づいてＩＰアドレスを発行し、また、端末２の仮想ネットワークおよびグループへの参加要求を行うようにした。そのため、実施の形態１と同様の効果が得られるとともに、既存の端末２にソフトウェアを追加することなく、端末２の認証処理を実施することができる。

実施の形態３．
図１３は、本発明にかかるゲートウェイ装置の実施の形態３の構成例を示す図である。図１３に示すように、本実施の形態のゲートウェイ装置１ｂは、実施の形態２のゲートウェイ装置１ａに、擬似ＤＮＳサーバ部１６を追加する以外は実施の形態２のゲートウェイ装置１ａと同様である。また、本実施の形態の通信システムの構成は、ゲートウェイ装置１をゲートウェイ装置１ｂに換える以外は実施の形態１と同様である。実施の形態１および実施の形態２と同様の機能を有する構成要素は、実施の形態１および実施の形態２と同一の符号を付して説明を省略する。

本実施の形態の、擬似ＤＮＳサーバ部１６は、端末２からのユーザ名とグループ名を指定した名前解決要求に対し、仮想ＩＰアドレスを返信する。図１４は、擬似ＤＮＳサーバ部１６を用いた名前解決処理の手順の一例を示す図である。

仮想ネットワークではドメイン名は「（ユーザ名）．（グループ名）」のように、ユーザ名とグループ名を１個ずつ含む形式をとることとする。ゲートウェイ装置１ｂの擬似ＤＮＳサーバ部１６は、端末２から宛先のユーザ名とグループ名を含む名前解決要求であるＤＮＳ ｑｕｅｒｙを受信する（ステップＳ４１）と、ＤＮＳ ｑｕｅｒｙからユーザ名とグループ名を抽出し、抽出したユーザ名およびグループ名に対応する情報がＤＮＳキャッシュにあるかを検索する（ステップＳ４２）。

ＤＮＳキャッシュにエントリがない場合、擬似ＤＮＳサーバ部１６は、抽出したユーザ名をキーとするデータベースの探索を要求する探索要求メッセージを自身が接続する中継装置３に送信する（ステップＳ４３）。中継装置３は、ステップＳ４３で送信された探索要求メッセージに含まれるユーザ名をキーとしてデータベースを検索し、ユーザ名に対応する端末識別子を含むデータベース探索応答メッセージをゲートウェイ装置１ｂへ返信する（ステップＳ４４）。

また、ゲートウェイ装置１ｂの擬似ＤＮＳサーバ部１６は、ＤＮＳ ｑｕｅｒｙから抽出したグループ名をキーとするデータベースの探索を要求する探索要求メッセージを自身が接続する中継装置３に送信する（ステップＳ４５）。中継装置３は、ステップＳ４５で送信された探索要求メッセージに含まれるグループ名をキーとしてデータベースを検索し、グループ名に対応する論理網識別子を含むデータベース探索応答メッセージをゲートウェイ装置１ｂへ返信する（ステップＳ４６）。

以上のステップＳ４４およびステップＳ４６で得られた端末識別子および論理網識別子に基づいて実施の形態１で述べたように仮想ＩＰアドレスを生成する。そして、ＤＮＳキャッシュとしてユーザ名およびグループ名と端末識別子および論理網識別子と生成した仮想ＩＰアドレスとの対応を保持し（ステップＳ４７）、生成した仮想ＩＰアドレスを含むＤＮＳ ｒｅｓｐｏｎｄを端末２に返送する（ステップＳ４８）。

ステップＳ４２で、抽出したユーザ名およびグループ名に対応する情報がＤＮＳキャッシュにある場合は、ステップＳ４３〜ステップＳ４７を実施せず、ＤＮＳキャッシュを参照し、ユーザ名およびグループ名に対応する仮想ＩＰアドレスを求め、その仮想ＩＰアドレスを含むＤＮＳ ｒｅｓｐｏｎｄを端末２に返送する。以上述べた以外の本実施の形態の動作は、実施の形態２と同様である。

なお、本実施の形態では、実施の形態２のゲートウェイ装置１ａに擬似ＤＮＳサーバ部１６を追加するようにしたが、実施の形態１のゲートウェイ装置１に擬似ＤＮＳサーバ部１６を追加し、本実施の形態で述べた動作を実施するようにしてもよい。

以上のように、本実施の形態では、ゲートウェイ装置１ｂが擬似ＤＮＳサーバ部１６を備え、擬似ＤＮＳサーバ部１６が端末からのＤＮＳ ｑｕｅｒｙに含まれるユーザ名およびグループ名に基づいて中継装置３へ問い合わせを行って端末識別子および論理網識別子を取得する。そして、取得した端末識別子および論理網識別子に基づいて仮想ＩＰアドレスを生成し、端末２に送信するようにした。そのため、別途ＤＮＳサーバを設けることなく、実施の形態２と同様の効果を得ることができる。

以上のように、本発明にかかる通信装置、通信システムおよび通信方法は、仮想ネットワーク通信を行なう通信システムに有用であり、特に、ソフトウェアの追加ができない端末を備える通信システムに適している。

１，１−１〜１−４，１ａ，１ｂ ゲートウェイ装置
２−１〜２−４ 端末
３−１〜３−６ 中継装置
１１，１２ ネットワークインタフェース部
１３ 仮想ネットワーク制御部
１４ カプセル化処理部
１５ 擬似ＤＨＣＰサーバ部
１６ 擬似ＤＮＳサーバ部

Claims (8)

1. 端末と、前記端末に接続し前記端末の通信パケットを中継する通信装置と、前記通信装置に接続し、前記端末の識別子である端末識別子と論理網を識別する論理網識別子とに基づいて前記端末の通信パケットの転送を行なう中継装置と、で構成される通信システムにおける前記通信装置であって、
   自身に接続する前記端末の端末識別子とアドレスとの対応を保持する対応保持手段と、
   自身に接続する前記端末から、宛先の前記端末の端末識別子である宛先端末識別子と使用する論理網の論理網識別子とを用いて所定の変換規則に基づいて生成された仮想宛先アドレスを宛先アドレスとした通信パケットを受信した場合に、受信した通信パケットに含まれる仮想宛先アドレスと前記所定の変換規則とに基づいて、宛先端末識別子および論理網識別子を求め、また、受信した通信パケットの送信元アドレスと前記対応とに基づいて、その通信パケットの送信元の端末の端末識別子である送信元端末識別子を求め、受信した通信パケットの所定の位置に、求めた前記宛先端末識別子、前記送信元識別子および前記論理網識別子を挿入するカプセル化処理を実施し、カプセル化処理後の通信パケットを前記中継装置へ送信するカプセル化処理手段と、
   前記中継装置から受信した通信パケットに含まれる宛先端末識別子と前記対応に基づいて宛先の前記端末のアドレスである宛先端末アドレスを求め、前記送信元識別子および論理網識別子と前記所定の変換規則とに基づいて求めた仮想アドレスを送信元仮想アドレスとして求め、前記中継装置から受信した通信パケットに対して、宛先アドレスに前記宛先端末アドレスを格納し、かつ送信元アドレスに前記送信元仮想アドレスを格納し、かつ宛先端末識別子、送信元識別子および論理網識別子を削除する、デカプセル処理を実施し、デカプセル処理後の通信パケットを自身に接続する前記端末に送信するデカプセル化処理手段と、
   を備えることを特徴とする通信装置。
2. 前記中継装置が、論理網を用いた通信を許可する前記端末の物理アドレスおよび端末識別子を含む認証情報を保持することとし、
   自身に接続する前記端末からアドレス配布要求を受信した場合には、前記アドレス配布要求の送信元の端末の物理アドレスを含み、その端末の認証情報の有無の検索を要求する認証情報探索要求を前記中継装置へ送信し、前記中継装置から、その端末の端末識別子を含み、その端末の認証情報が存在することを通知する認証情報探索応答を受信すると、受信した認証情報探索応答に含まれる端末識別子に基づいてアドレスを生成し、生成したアドレスを前記アドレス配布要求の送信元の端末に配布する擬似ＤＨＣＰサーバ手段、
   をさらに備えることを特徴とする請求項１に記載の通信装置。
3. 前記中継装置は、論理網を用いた通信へ前記端末を参加させるための所定の参加処理を行うこととし、
   前記擬似ＤＨＣＰサーバ手段は、前記アドレス配布要求の送信元の端末に関して前記所定の参加処理を実施することを要求する参加要求を前記中継装置へ送信し、前記参加要求に対して前記中継装置が正常に前記所定の参加処理を実施したことを示す応答である参加応答を受信した場合に、前記生成したアドレスを前記アドレス配布要求の送信元の端末に配布する、
   ことを特徴とする請求項２に記載の通信装置。
4. 前記擬似ＤＨＣＰサーバ手段は、前記参加応答を受信した場合に、前記アドレス配布要求の送信元の端末の物理アドレスと端末識別子との対応を認証済み端末情報として保持し、さらに、アドレス配布要求を受信すると、そのアドレス配布要求の送信元の端末の物理アドレスが前記認証済み端末情報に含まれない場合に、その端末に関する参加要求を送信し、そのアドレス配布要求の送信元の端末の物理アドレスが前記認証済み端末情報に含まれる場合には、その端末に関する参加要求を送信せずに前記生成したアドレスを前記アドレス配布要求の送信元の端末に配布する、
   ことを特徴とする請求項３に記載の通信装置。
5. 自身に接続する前記端末から宛先の名前を含む名前解決要求を受信した場合に、前記名前に基づいて端末識別子および論理網識別子を求め、前記端末識別子および論理網識別子に基づいて仮想アドレスを生成し、生成した仮想アドレスを名前解決応答に含めて送信する擬似ＤＮＳ手段、
   をさらに備えることを特徴とする請求項１〜４のいずれか１つに記載の通信装置。
6. 前記名前は、端末を使用するユーザのユーザ名と、使用する論理網を示すグループ名と、を含むこととし、
   前記中継装置が、ユーザ名と端末識別子の対応をユーザ名情報として保持し、グループ名と論理網識別子との対応をグループ名情報として保持することとし、
   前記擬似ＤＮＳ手段は、受信した名前解決要求に含まれる名前に基づいて前記ユーザ名およびグループ名を求め、前記ユーザ名に対応する端末識別子と、前記グループ名に対応する論理網識別子と、を前記中継装置へ問い合わせることにより前記端末識別子および論理網識別子を求め、求めた端末識別子および論理網識別子と名前との対応を名前解決情報として保持し、さらに名前解決要求を受信した場合には、その名前解決要求に含まれる名前が前記名前解決情報に存在する場合には、前記名前解決情報に基づいて前記端末識別子および論理網識別子を求める、
   ことを特徴とする請求項５に記載の通信装置。
7. 請求項１〜６のいずれか１つに記載の通信装置と、
   前記通信装置に接続する端末と、
   前記通信装置に接続し、前記端末の識別子である端末識別子と論理網を識別する論理網識別子とに基づいて前記端末の通信パケットの転送を行なう中継装置と、
   を備えることを特徴とする通信システム。
8. 端末と、前記端末に接続し前記端末の通信パケットを中継する通信装置と、前記通信装置に接続し、前記端末の識別子である端末識別子と論理網を識別する論理網識別子とに基づいて前記端末の通信パケットの転送を行なう中継装置と、で構成される通信システムにおける通信方法であって、
   前記通信装置が、自身に接続する前記端末の端末識別子とアドレスとの対応を保持する対応保持ステップと、
   前記端末が、宛先の前記端末の端末識別子である宛先端末識別子と使用する論理網の論理網識別子とを用いて所定の変換規則に基づいて生成された仮想宛先アドレスを宛先アドレスとした通信パケットを送信する端末送信ステップと、
   前記通信装置が、前記端末送信ステップで送信された通信パケットを受信した場合に、受信した通信パケットに含まれる仮想宛先アドレスと前記所定の変換規則とに基づいて、宛先端末識別子および論理網識別子を求め、また、受信した通信パケットの送信元アドレスと前記対応とに基づいて、その通信パケットの送信元の端末の端末識別子である送信元端末識別子を求め、受信した通信パケットの所定の位置に、求めた前記宛先端末識別子、前記送信元識別子および前記論理網識別子を挿入するカプセル化処理を実施し、カプセル化処理後の通信パケットを前記中継装置へ送信するカプセル化処理ステップと、
   前記通信装置が、前記中継装置から受信した通信パケットに含まれる宛先端末識別子と前記対応に基づいて宛先の前記端末のアドレスである宛先端末アドレスを求め、前記送信元識別子および論理網識別子と前記所定の変換規則とに基づいて求めた仮想アドレスを送信元仮想アドレスとして求め、前記中継装置から受信した通信パケットに対して、宛先アドレスに前記宛先端末アドレスを格納し、かつ送信元アドレスに前記送信元仮想アドレスを格納し、かつ宛先端末識別子、送信元識別子および論理網識別子を削除する、デカプセル処理を実施し、デカプセル処理後の通信パケットを自身に接続する前記端末に送信するデカプセル化処理ステップと、
   を含むことを特徴とする通信方法。

Images