JP2014187614A - 通信装置及び通信システム - Google Patents

Abstract

【課題】ＳＡＭネットワーク環境下にあるＣ−ＳＡＭ装置が、ＶＰＮ接続要求を受け付けられるようにする。
【解決手段】自身のローカルアドレスを送信元アドレスとし、自身が指定したポート番号を送信元ポート番号とするパケットを、自身でＳＡＭ変換した上で上記ＳＴＵＮサーバへ通知する。自己変換後パケットのアドレス宛にＶＰＮ接続要求を受けることで、Ｃ−ＳＡＭ装置自身がＶＰＮ接続できる。
【選択図】図１

Description

この発明は、SAM（Stateless Address Mapping）技術によるIPv6環境下でのIpv4接続下で、WellKnownポートを使ったＶＰＮを利用する方法に関する。

ＩＰｖ４アドレスの枯渇に対応するため、ＩＰｖ６ネットワークへの移行が進められている。しかし、ＩＰｖ４アドレスしか持たないネットワークが数多く残っているため、ＩＰｖ６環境下でＩＰｖ４ネットワークに接続する手段を確保しなければならない。このため、ＩＰｖ６ネットワークに繋がる各家庭用ルータに、ＩＰｖ４のグローバルアドレスを払い出してＩＰｖ４ネットワークにＰＰＰｏＥ（Point to Point Protocol over Ethernet）で接続させ、Ｌ２ＴＰ（Layer 2 Tunneling Protocol）でＩＰｖ６ネットワークをトンネリングさせるトンネル方式が知られている。だが、個々のルータに対して、枯渇状態にあるIPv4グローバルアドレスを払い出す余裕は少なく、IPv4アドレスの共有化を進めることが望ましい。

一方、IPv6ネットワークを提供するにあたっては、各家庭や事業所との直接接続を担う通信事業者と、インターネット接続サービスを提供するＩＳＰ（Internet Service Provider）との間を接続する事業者であるＶＮＥ（Virtual Network Enabler）が必要となる。このＶＮＥは、ネットワーク構成上はIPv6ネットワークのみを提供することになるが、IPv4にも対応できなければ利用者やＩＳＰに不便を強いることになる。そこで、各家庭に設けるゲートウェイ装置に、IPv4パケットをIPv6パケットにカプセル化するＣ−ＳＡＭ（Ｃｏｎｓｕｍｅｒ−ＳＡＭ）機能を持たせた上で、ＶＮＥがIPv4ネットワークに繋がるゲートウェイ装置に、そのカプセル化したIPv4パケットを取り出しアドレス変換するＰ−ＳＡＭ（Ｐｒｏｖｉｄｅｒ−ＳＡＭ）機能を持たせるＳＡＭ方式が提案されている。この方式ならば、Ｐ−ＳＡＭ装置がIPv4ネットワークに対して持っているIPv4グローバルアドレスを、複数のＣ−ＳＡＭ装置で共有しつつIPv4ネットワークに接続することが出来る。

このＳＡＭ方式では、Ｐ−ＳＡＭが有する一つのIPv4グローバルアドレスを複数のＣ−ＳＡＭ装置で共有するために、個々のＣ−ＳＡＭがIPv4ネットワークに対して送出するパケットが使える送信元ポート番号の範囲を強制的に指定する。このため、Ｃ−ＳＡＭが配下の端末からどのような送信元ポート番号のパケットを受け取った場合でも、Ｃ−ＳＡＭがカプセル化する際に、一旦当該Ｃ−ＳＡＭが使うことが許可されたポート番号に変換された上でカプセル化して送出される。これを受け取ったＰ−ＳＡＭでデカプセル化して送出するが、取り出されたIPv4パケットの送信元ポート番号は、当該Ｃ−ＳＡＭに割り当てられた範囲のポート番号に変換された後のものである。このためこのパケットを、ＶＰＮを構築しようとする目標に届けても、その目標は当該パケットのポート番号が変更されているために何を指定したものか判別することができない。このため、ＶＰＮのように特定のポート番号を使うことが約束されているサービスを利用しようとしても、その特定のポート番号でパケットをIPv4ネットワークに送出することができないため、そのサービスを利用することができないという問題があった。

これに対して、IPv4ネットワーク上にSTUN（Simple Traversal of UDP through NATs）サーバを設ける方法が提案されている（非特許文献１）。これはグローバル接続にあたってはNAT（NAPT）変換されるローカルネットワークにある二つの端末が、どちらもＳＴＵＮサーバにメッセージを送信し、STUNサーバはそれぞれのメッセージに対して、相手方端末のグローバルIPアドレスとポート番号とを返信することで成り立っている。この返信されたアドレスとポート番号宛に送信することで、ＮＡＴにてポート番号が逆変換されて、VPNやVoIPなどの相互通信に用いられるWellknownポート番号に戻されるので、これらのサービスを利用することができる。

特許文献１には、ＷＡＮ上に設置されたＳＴＵＮサーバを介して、ＮＡＴ（Network Address Translation）変換するルータで隔てられたＬＡＮにある端末同士で相互にＶＰＮ通信する方法、いわゆるＮＡＴ越えの方法が記載されている。ＮＡＴ変換の種類によっては対応できない場合でも、テストパケットの送信により通信可能性を判定して、アドレスが変更されてもそれに対応することが提案されている。

特開２０１０−２８３５９４号公報

RFC3489

しかしながら、特許文献１ではあくまでＮＡＴ変換までを想定したものであり、IPv4/IPv6の変換を含むＳＡＭを考慮したものではない。このため、特許文献１の技術をＳＡＭ環境下に適用しようとすると、Ｃ−ＳＡＭの配下にある端末がＶＰＮを設定しようとする場合は対応できるが、Ｃ−ＳＡＭの配下にある複数の端末がまるごとＶＰＮに接続しようとした場合には、相手方は個々の端末とＶＰＮ接続を構築しなければならず、端末の個数が多い場合は相手方にかかる負荷が大きかった。また、それぞれのネットワークにおける端末同士の接続しかできないため、相手方のネットワークにある全ての端末と、ＶＰＮ接続することは事実上できなかった。

そこで、Ｃ−ＳＡＭ自体がＶＰＮ装置として動作するように一体化することが考えられる。Ｃ−ＳＡＭ自体がＶＰＮ装置となれば、Ｃ−ＳＡＭの配下にある端末は全てＶＰＮ接続先との間でＶＰＮに参加できることになる。ところが、Ｃ−ＳＡＭ自体がＶＰＮ装置として通信しようとすると、Ｃ−ＳＡＭ自体が送出するパケットのポート番号は、Ｐ−ＳＡＭに依存してランダムで変更されてしまうため、そのままでは通信できない。すなわち、特許文献１のようなＮＡＴ越えの技術は、あくまでＮＡＴを越えるための技術であり、ＮＡＴ自身がＶＰＮ接続する際に生じるこのような問題には対処できなかった。

さらに、通信事業者がＣ−ＳＡＭ装置に割り当てるIPv6ネットワークのアドレスも固定ではないことが多く、アドレスが変更されると追跡することができなかった。

そこでこの発明は、個々の端末が個別に接続したり、そのアドレスの更新作業をしたりするといった設定作業をすることなく、ＶＰＮやＶｏＩＰといったWellKnownポートを利用しなければならないサービスを利用できる環境を構築することを目的とする。

この発明は、
VPN接続要求を受け付け可能なＶＰＮ装置と、
上記ＶＰＮ接続要求を送信可能なＶＰＮ対向装置と、
（ＩＰｖ４ネットワーク上にあり、）上記VPN装置及び上記VPN対向装置からのメッセージを受け付け可能なSTUNサーバとを有するシステムであって、
上記VPN装置は、
自身のローカルアドレスを送信元アドレスとし、自身が指定したポート番号を送信元ポート番号とするIPv4パケットを、自身でＳＡＭ変換した上で上記ＳＴＵＮサーバへ通知する第一自己通知手段と、
上記ＳＴＵＮサーバから受信した、上記ＳＴＵＮサーバに登録された上記ＶＰＮ対向装置からの通知に対応するアドレス及びポート番号を記録する対向アドレス記録手段と、
上記対向アドレス記録手段により記録された上記ＶＰＮ対向装置のアドレス及びポート番号へ、上記ＶＰＮ装置自身がＶＰＮで利用するポート番号を送信元ポート番号に設定したテストパケットを送出する、テストパケット送出手段と、を有し、
上記ＶＰＮ対向装置は、
上記ＳＴＵＮサーバへ送信元アドレス及びポート番号を通知する第二自己通知手段を有し、
上記ＳＴＵＮサーバから受信した、上記ＳＴＵＮサーバに登録された上記ＶＰＮ装置からの通知に対応するアドレス及びポート番号を記録する対象アドレス記録手段と、
上記対象アドレス記録手段により記録された上記ＶＰＮ装置のアドレス及びポート番号へＶＰＮ接続要求を送信する、ＶＰＮ接続要求手段と、を有し、
上記ＳＴＵＮサーバは、
上記第一自己通知手段及び上記第二自己通知手段により通知されたアドレス及びポート番号を接続情報テーブルに登録するテーブル更新手段を有し、
ＶＰＮ接続の対になる上記VPN装置及び上記VPN対向装置のそれぞれのアドレス及びポート番号を宛先に指定して、相手方のアドレス及びポート番号を通知する相互通知手段を有し、
上記VPN装置のアドレス及びポート番号を宛先に指定してテストパケット送出指示を送信する、テストパケット送出指示手段を有する
ＶＰＮ構築システムにより、上記の課題を解決したのである。

ＩＰｖ４ネットワークに上記ＳＴＵＮサーバを設けておくことで、ＶＰＮ対向装置はこのＳＴＵＮサーバからの通知により、Ｃ−ＳＡＭであるＶＰＮ装置自身により自己変換された後の自己変換パケットの送信元アドレス及びポート番号を知ることができる。この変更された後のポート番号へ向けてパケットを送出すれば、Ｃ−ＳＡＭ自体がＳＡＭ変換を逆に行って、自身のローカルアドレスを送信元アドレスとし、ＶＰＮやＶｏＩＰなどのwellknownポートを含む自身が指定したポート番号を送信元ポート番号とするパケットを受け取ることができる。アドレスがＣ−ＳＡＭ機能によるＳＡＭ論理インターフェースにより動的に変更されたとしても、第一自己通知手段によりアドレス及びポート番号をＳＴＵＮサーバに通知するたびに更新登録することで、アドレスの変化が起きても問題なく追随させることが出来る。

複数の組み合わせで上記STUNサーバを用いる場合には、上記VPN装置と上記VPN対向装置とを結びつける判別情報が上記第一自己通知手段及び上記第二自己通知手段による通知に含まれるものとする。その判別情報を上記テーブル更新手段が上記接続情報テーブルに記録する。さらに上記ＳＴＵＮサーバは、この判別情報が一致するか否かの判定を行う一致判定手段を実行した上で、一致した場合のみ、それぞれの上記ＶＰＮ装置と上記ＶＰＮ対向装置の対に対して、上記相互通知手段による通知を行う。この判別情報としては、ユーザごとのＩＤ及びパスワードでもよいし、通知されるＩＰアドレスの範囲によって自動判別するものでもよい。また、判別情報には、暗号化のための暗号鍵情報が含まれていてもよい。

また、ＶＰＮ装置はＳＡＭ機能が有効か否かの判別機能を有すると好ましい。SAM機能が有効なときのみSTUNサーバを用いる必要があり、SAM機能が有効でなければそのままWellknownポートが利用でき、本発明の構成にかかる各手段を実行しなくてもVPNが構築できるので、STUNサーバへのアクセスを省略することができる。

この発明により、ＩＰｖ６とＩＰｖ４の混在したＳＡＭ環境でＶＰＮを利用しようとするユーザが、Ｐ−ＳＡＭによるポート番号の割り当てを意識することなく、Wellknownポートを利用したサービスが利用可能となる。また、ＶｏＩＰやＰ２Ｐアプリケーションなど、特定のポート番号を前提とした動作をするその他のサービス、アプリケーションも、ＳＡＭ環境での利用が可能となる。

また、上記VPN対向装置を所持するユーザが接続場所を移動してネットワーク構成が変化し、IPアドレスやポート番号が変化しても、特段ユーザが操作する必要なく、移動した先のネットワーク環境でVPNの再接続を実施することが出来る。

さらに、VPNの暗号化に必要な鍵情報の通知をIDやパスワードで認証して得ることができるため、秘匿性の高い状態でVPN接続を構築することができる。

（ａ）この発明にかかる実施形態例におけるＶＰＮを構築するシステムの構成図、（ｂ）（ａ）の左半分で実行されるパケットへの変換を示す例図 この発明にかかる実施形態例における機能ブロック図 この発明にかかる実施形態例における接続情報テーブルの例図 VPN装置の接続設定テーブルの例図 この発明にかかる別の実施形態例におけるシーケンス図 この発明にかかる実施形態例におけるSTUNサーバの処理フロー図 この発明を構成するVPN装置がSAM判定を行う場合の処理フロー図 この発明を構成するVPN装置がSAM機能を有効にする場合と無効にする場合における機能上の終端点を示す例図

以下、この発明の実施形態について詳細に説明する。図１（ａ）に、この発明によりＶＰＮを構築する際のシステムの構成例を示す。ここでは、端末２３を抱えるＩＰｖ４ローカル網３１に対して、外部からＶＰＮ接続する。このＩＰｖ４ローカル網３１は、例えば一般家庭や事業所のローカルネットワークである。ＶＰＮの終端点となるＶＰＮ装置１１は、ＩＰｖ４ローカル網３１と事業者ｖ６網３２との間に設けられ、ルータ及びゲートウェイを兼ねている。事業者ｖ６網３２とは、電気通信事業者が管理するＩＰｖ６アドレスによるネットワークであり、例えばＮＧＮが挙げられる。事業者ｖ６網３２は、ＶＮＥにより接続されるＩＰｖ６ネットワークであるＩＳＰｖ６網３３と、ルータ２５を介して繋がっている。ＩＳＰｖ６網３３と、ＩＰｖ４アドレスによる外部ネットワークであるＩＳＰｖ４網３４との間には、Ｐ−ＳＡＭ装置２１が設けられている。Ｐ−ＳＡＭ（Provider−StatelessAddressMapping）装置は、ＩＳＰｖ４網３４に対してＩＰｖ４のグローバルアドレスを一つ有しており、事業者ｖ６網３２に存在する複数のＶＰＮ装置１１が、このグローバルアドレスを共有する。Ｐ−ＳＡＭ装置２１は、これと対になるＣ−ＳＡＭ（Consumer-StatelessAddressMapping）装置であるＶＰＮ装置１１の個々について、使用可能なポート番号を限られた範囲で割り振ることで、この一つのグローバルアドレスを共有する。従って、端末２３から送信されるＩＰｖ４パケットは、Ｃ−ＳＡＭであるＶＰＮ装置１１でその送信元ポート番号を、Ｐ−ＳＡＭ装置２１が当該ＶＰＮ装置１１に割り当てた範囲のポート番号のいずれかに変換されるＳＡＭ処理がされるとともに、送信元アドレスもＮＡＴ変換され、なおかつ、ＩＰｖ６ヘッダを付与されてＩＰｖ６カプセル化を施されて、事業者ｖ６網３２に送信される。

この発明においてＶＰＮを構築するためのアドレス変換の例を図１（ｂ）に示す。ＶＰＮ装置１１自身が、自身のローカルアドレスを送信元アドレスとし、ＶＰＮを利用するために「５００」であるポート番号を有するパケットを生成する。このパケットはそのまま送信するのではなく、一旦Ｃ−ＳＡＭであるＶＰＮ装置１１自身によるＳＡＭ変換により自己変換される。ポート番号は、Ｃ−ＳＡＭに割り当てられた範囲のポート番号である「６６８９」に変更される。同時に送信元アドレスが、Ｐ−ＳＡＭ装置２１がＩＳＰｖ４網３４に対して有しているグローバルアドレスである「１０６．７２．２．１６」に変更される。この自己変換された自己変換後パケット（ＩＰｖ４パケット）を、さらにＩＰｖ６パケットに変換するため、ヘッダとしてＶＰＮ装置１１のＷＡＮ側ＩＰｖ６アドレスを送信元アドレスに、カプセル化して送る終端であるＰ−ＳＡＭのＩＰｖ６アドレスを宛先アドレスに設定したＩＰｖ６ヘッダを付されて送信される。こうしてポート番号を限定された上で、ＩＰｉｎＩＰカプセル化して通信されるＶＰＮ装置１１とＰ−ＳＡＭ装置２１との間を、ＳＡＭネットワーク３６とよぶ。Ｐ−ＳＡＭ装置２１では、これをデカプセル化して、Ｃ−ＳＡＭでＳＡＭ変換及びＮＡＴ変換された後のＩＰｖ４パケットを取り出す。すなわち、ここでは送信元ポート番号はＰ−ＳＡＭ装置２１が割り当てた範囲の「６６８９」になっており、送信元アドレスは、Ｐ−ＳＡＭ装置２１自身のアドレスとなっている。このパケットをＩＳＰｖ４網３４に送出することで、端末２３は、ＩＳＰｖ４網３４やその先にあるネットワークのサーバ、端末等と通信することができる。ただし、このままでは送信元ポート番号はＰ−ＳＡＭ装置２１に割り当てられた範囲の値に限られるため、Ｗｅｌｌｋｎｏｗｎポートを使ったサービスは利用できない。

またここでは、ＩＰｖ４ネットワークを介して繋がるモバイル／スポット網３５から、ＶＰＮ対向装置１２がＶＰＮ接続を試みる形態を例にとり説明する。想定される例としては、外出先からスマートフォンやデータ通信端末などであるＶＰＮ対向装置１２を用い、携帯電話網を介して自宅や職場のＬＡＮ（ＩＰｖ４ローカル網３１）にＶＰＮ接続するというケースである。モバイル／スポット網３５内には、ＬＳＮ（Large Scale NAT）２２が設けられており、ＶＰＮ対向装置１２のアドレス及びポート番号も、ＩＳＰｖ４網３４に対しては、ＬＳＮ２２で一旦ＮＡＰＴ変換された上で送信される。なお、本発明の実施にあたっては特にモバイル網が必要なわけではなく、ＩＳＰｖ４網３４に直接にＶＰＮ対向装置１２が接続されていても実施可能である。

ＩＳＰｖ４網３４には、ＳＴＵＮサーバ１３が設けてあり、ＶＰＮ装置１１とＶＰＮ対向装置１２からの通信を受け付け、通知されたアドレス、ポート番号、及びその他の情報を記録する接続情報テーブル１２２を有する。
なお、このために、ＶＰＮ装置１１とＶＰＮ対向装置１２はいずれも、ＳＴＵＮサーバ１３のＩＰｖ４アドレスを登録済みであるか、または把握可能である必要がある。

図２に、図１の実施形態においてこの発明を実施するそれぞれの装置の手段の機能ブロック図を示す。なお、図示しないが、ＶＰＮ装置１１、ＶＰＮ対向装置１２及びＳＴＵＮサーバ１３はいずれも当然にネットワークインターフェースと、テーブルを保持するための記憶装置と、それらを制御し各々の手段を実行するための演算装置を備えている。

まず第一のステップとして、ＶＰＮ装置１１の第一自己通知手段１０１が、ＳＴＵＮサーバ１３へWellknownポートを送信元ポートとし、ＶＰＮ装置１１のローカルIPv4アドレスを送信元アドレスとしたパケットを自己生成する。この自己生成パケットをSAM変換してメッセージを通知する。ＳＡＭ変換にあたってカプセル化されるｖ４パケットの送信元ポート番号は元のポート番号から、Ｐ−ＳＡＭ装置２１に割り当てられた範囲のポート番号に変換され、送信元アドレスはＰ−ＳＡＭ装置２１のグローバルアドレスに変換される。さらにその上で、IPv6カプセル化される。
このメッセージはそのIPv4パケットヘッダに当然にSAM変換後の送信元アドレス及びポート番号を含むほか、その他の情報を含んでいてよい。特に、ペイロードに、自己生成したパケットの元の送信元アドレス及びポート番号を格納しておくと、後述するSTUNサーバでの格納時に、どのような種類のサービスを利用する意図で送信されたパケットであるかを判別することができる。これにより、一つのSTUNサーバ１３で、複数種類のサービスの接続を行うこともできる。また、受け取ったSTUNサーバ１３がVPN対向装置１２に元の送信元アドレス及びポート番号を通知することで、VPN対向装置１２もVPN装置１１との間で使用するサービスの選択が容易になる。例えば、元のポート番号が５００番である通知であれば、ＩＰｓｅｃでの通信を準備するといった判別が可能になる。

また、このメッセージの通知は定期的に繰り返される。ＶＰＮ装置１１に割り当てられるアドレス及びポート番号が動的に変化することがあるため、できるだけ最新に近い情報に更新しておくことが望ましいためである。ＳＴＵＮサーバ１３のテーブル更新手段１２１は、通知を受けるたびに、接続情報テーブル１２２に記録してあるＶＰＮ装置１１のアドレス及びポート番号として記録されている情報を確認し、更新されているのであれば接続情報テーブル１２２の情報を書き換える。ただしここで記録されるアドレス及びポート番号は、ＶＰＮ装置１１において最初に生成されたパケットのものではなく、ＳＡＭ変換により送信元ポート番号及びアドレスが変換された後のものである。

一方、第二のステップとして、ＶＰＮ対向装置１２の第二自己通知手段１１１も、上記第一のステップと同様に、ＳＴＵＮサーバ１３へメッセージを通知する。ＳＴＵＮサーバ１３では同様にテーブル更新手段１２１により接続情報テーブル１２２の情報を確認、更新する。なお、この第一のステップと第二のステップは順番が逆でもよい。いずれが先でも、後述する紐付けは可能だからである。

ここで、通知されたパケットがどのユーザのものであるかを判別可能とするために、上記メッセージは、ＶＰＮを利用する端末同士の対を識別するためのＩＤ、それに対応するパスワード、さらにはそのＶＰＮで利用する暗号鍵を含むことが望ましい。その場合、テーブル更新手段１２１は上記接続情報テーブル１２２にそれらＩＤ，パスワード、暗号鍵も登録しておく。また、元のパケットの送信元ポート番号や、その他サービスの判別のために有用な情報をペイロードに含めていても良い。

図３に接続情報テーブル１２２の例を示す。この例はＩＤやパスワードによってそれぞれＶＰＮ接続の対となる組み合わせを判別する。ＩＤ及びパスワードが同一となるレコードがあれば、それを対のものとして紐付け、ＩＤ及びパスワードが異なる装置は別の組み合わせのものと判別する。従って、一つのＶＰＮ装置１１に複数のＶＰＮ対向装置１２がＶＰＮ接続をしようとする場合には、それぞれのＶＰＮ対向装置１２ごとに異なるＩＤやパスワードを設定しておくことになる。

ここでＩＤとしては、ＶＰＮ装置１１からの接続とＶＰＮ対向装置１２からの接続で共通のものを使うには、それぞれがユニークなグローバルアドレスを固定して用いる場合に限られる。グローバルアドレスが固定でない場合、通知されるアドレスがそれぞれ対になる装置のものなのか、それとも一つの装置のアドレスが変更になったものか判別できないためである。このため、グローバルアドレスが固定でない場合には、ＶＰＮを構築するそれぞれの装置のＭＡＣアドレスを固有の値（図中「ＭＡＣ１」「ＭＡＣ２」と表記する。）として接続情報テーブル１２２に登録しておき、上記自己生成パケットのペイロードにこのＭＡＣアドレスに含めるとともに、共通のパスワード（図中「ｐａｓｓ」）を含めて通知することで、これらをテーブル上で紐付け、確認することができる。なお、ＳＴＵＮサーバ１３そのものか、又は別途設けた加入状況管理サーバに、それぞれの装置のＭＡＣアドレスを紐付けるＭＡＣアドレス紐付けテーブルを設けることが望ましい。その場合、ＶＰＮ装置１１又はＶＰＮ対向装置１２からの通知を受け取った場合には、そのＭＡＣアドレスがＭＡＣアドレス紐付けテーブルに記録されているか否かを確認し、記録されていなければ、エラー応答又はパケットを破棄する。

また、上記の接続テーブル１２２には、ＶＰＮ装置１１とＶＰＮ対向装置１２から受け取ったパケットの、受け取った時点における送信元アドレス及びポート番号、すなわち、ＳＡＭ変換された後の送信元アドレス及びポート番号だけでなく、ＳＡＭ変換、ＮＡＴ変換される前の、元の送信元アドレス及びポート番号を記録しておくと、利用しようとするサービスの種別をポート番号で判別することができるので好ましい。ただし、パケットそのものの送信元アドレス及びポート番号は送信過程において変換されてしまうため、通知を送信する際に、パケットのペイロード中に元の送信元アドレス及びポート番号を記録しておけばよい。

上記の接続情報テーブル１２２には、ＶＰＮを構築する際に必要な、相互接続プロトコルの指定や、暗号鍵（ＰＳＫ）を記録してもよい。これらは上記の通知のデータ部分に含めて送信するとよい。さらに、後述するその後の手順がどこまで進行したのかを判別するためのフラグとして、テストパケット送出済みフラグや、ＶＰＮ接続完了フラグを有するとよい。ＶＰＮ接続完了フラグが立った組み合わせであれば、ＶＰＮ接続中はアドレスが変更されることは無いので、後述するアドレス変更を確認するための通知が不要となるので、その判別に用いる。なお、ＶＰＮ接続が完了した時点でＳＴＵＮサーバ１３の役目は終了しているので、ＶＰＮ接続が完了した装置の対については、そのレコードを接続情報テーブル１２２から削除してもよい。

なお、ここではＩＤにより対を判別する例を記載したが、接続情報テーブル１２２がＩＤを有しなくても本発明は実施可能である。ただしこれは、ＩＰアドレスの変動がある程度限定された範囲に限られる場合に、その限定された範囲のＩＰアドレスを予め登録しておき、その登録されたＩＰアドレスに該当する装置であれば、紐付けるようにする条件設定を行っておくとよい。

また仮に、送信元ＩＰアドレスの範囲によって、それぞれの通知元が、ＶＰＮ装置、又はＶＰＮ対向装置であるかを判定できるなら、それぞれの通知毎に装置の属性を判別して、データベースを分類してもよい。例えば携帯電話網に対応するアドレスであればほとんどの場合ＶＰＮ対向装置１２であると判別できる。

また、ネットワークサービス提供事業者が直接にＶＰＮ接続サービスを提供する場合は、接続情報テーブル１２２ではなく、事業者自体が有する顧客データベースを用いて接続を確立させることができる。同一の事業者に申し込んだユーザＡ，ユーザＢ間で、ＶＰＮ接続をする場合、事業者はそのユーザＡ，ユーザＢを顧客識別子で認識し、それぞれの家庭用ルータであるＶＰＮ装置１１、ＶＰＮ対向装置１２に割り振ったＩＰアドレスを顧客データベースから求めることができるので、これらを紐付けることができる。

ここで通知される情報であるＩＤ及びパスワードや、使用する暗号化の形式などの情報は、ＶＰＮ装置１１が有する接続設定テーブル１０５に記録されている。この接続設定テーブル１０５の例を図４に示す。設定１がＳＡＭ接続される本件発明における利用項目であり、設定２のように、ＰＰＰｏＥ接続などの他の接続における接続設定を記録するテーブルと一体になっていてもよい。なお、ＫｅｅｐＡｌｉｖｅはＶＰＮ設定の一部であり、ＶＰＮ接続の継続を確認するためにＶＰＮ接続される端末間でやりとりされるＫｅｅｐＡｌｉｖｅパケットがここで指定された送信間隔で、指定の再送回数に亘って応答がなかった場合には、切断されたとみなして、再度ＳＴＵＮサーバ１３への通知からやり直すこととなる。ＮＡＴ越え検知機能については後述する。

また、このテーブルと同一でも別個でもよいが、ＳＴＵＮサーバ１３のアドレス情報を保持している必要がある。

一方、ＶＰＮ対向装置１２も同様に、ＩＤ及びパスワード、ＰＳＫの鍵情報、利用するＶＰＮのプロトコルについての項目を有するＶＰＮ設定テーブル１１５を有するとよい。また、ＶＰＮ装置１１と同様に、ＳＴＵＮサーバ１３のアドレス情報を保持している必要がある。

図２の手順説明に戻る。第三、第四のステップとして、ＳＴＵＮサーバ１３は、相互通知手段１２３を実行する。ＩＤ及びパスワードが同一であるなど、設定された基準で紐付けられた二つのレコードに記録されたアドレス及びポートの対に対して、その対となる相手方のアドレス及びポート番号を通知する。ＶＰＮ装置１１がこの通知を受け取ると、対向アドレス記録手段１０２はその通知された相手方であるＶＰＮ対向装置１２のアドレス及びポート番号を、ＶＰＮ対向テーブル１０６に記録する。一方、同様に、ＶＰＮ対向装置１２もこの通知を受け取ると、対象アドレス記録手段１１２がその通知された相手方であるＶＰＮ装置１１のアドレス及びポート番号を、ＶＰＮ宛先テーブル１１６に記録する。

ここまでの第一から第四のステップは、ＶＰＮ装置１１及びＶＰＮ対向装置１２のアドレスが変更になる可能性があるため、所定の間隔で同じ手順が繰り返され、変更された項目があれば、テーブルの情報を上記の手順に沿って更新することで、できるだけ最新の状態を反映したものとしておく。

また、上記の第三のステップの際に、ＳＴＵＮサーバ１３のテストパケット送出指示手段１２４は、ＶＰＮ装置１１に対して、テストパケットをＶＰＮ対向装置１２宛に送信させる指示を出す。この指示には、対応するＶＰＮ対向装置１２との紐付けに用いられるＩＤなどの情報を含めておくと、ＶＰＮ装置１１がテストパケットを送信する送信先が複数考えられる場合でも、間違えることなくテストパケットを送出できる。ＶＰＮ装置１１がこの指示を受信すると、第五のステップとして、ＶＰＮ装置１１のテストパケット送出手段１０３は、ＶＰＮ対向テーブル１０６に登録してある、指示されたＩＤなどの情報に対応する宛先であるＶＰＮ対向装置１２のアドレス及びポート番号を、宛先アドレス及び宛先ポート番号に設定してテストパケットを送出する。

なお、別の形態として、テストパケット送出指示手段１２４による指示を出すことなく、ＶＰＮ装置１１が相手方となるＶＰＮ対向装置１２のアドレス及びポート番号の通知を受けたら、自動的にそのアドレス及びポート番号へ向かってテストパケットを送出するものとしてもよい。

いずれにせよ、第五のステップとしてこのようにテストパケットを送出させるのは、ＶＰＮ対向装置１２からＶＰＮ装置１１に対して単純にＶＰＮ接続を要求しようとしても、Ｐ−ＳＡＭ装置２１やルータ２５などによって阻まれてしまうためである。テストパケットがＶＰＮ対向装置１２に向けて送信されることで、Ｐ−ＳＡＭ装置２１及びルータ２５は、後述するＶＰＮ対向装置１２からのＶＰＮ接続要求を、前記テストパケットに対する応答とみなして、通過させ得る状態となる。ただし、このテストパケットはＶＰＮ対向装置１２まで到達しない場合がある。例えば途中にＬＳＮ２２などのＮＡＴがある場合には、それより先へは到達できず、テストパケットは廃棄される。それでも、テストパケットがＷＡＮ側へ送信されることで、ＶＰＮ装置１１へのＷＡＮ側からの通信が通るようになる。

ＶＰＮ対向装置１２は、第六のステップとして、ＶＰＮ設定テーブル１１５に設定した情報に従い、ＶＰＮ装置１１のアドレス及びポート番号を宛先に指定して、ＶＰＮの接続を試みるＶＰＮ接続要求手段１１４を実行する。この要求は、ＬＡＮ側からの通信なのでＬＳＮ２２は通過できる。
またこの時点で、既に上記の第五のステップが実行されてテストパケットが送出されていれば、Ｐ−ＳＡＭ装置２１より先では先のテストパケットに対する応答として扱われてＶＰＮ装置１１に到達する。なお、テストパケットの送出より先にＶＰＮ接続要求が発せられる場合もあるが、その場合は途中で要求が破棄されるため、定期的にＶＰＮ接続要求を繰り返し、テストパケットの送出を待つ。ＶＰＮ装置１１はこのＶＰＮ接続要求に対して、接続設定テーブル１０５に記録された情報に従い、一般的なＶＰＮの構築を行うＶＰＮ対応手段１０４を実行する。なお、テストパケットがＶＰＮ対向装置１２まで到達可能な状況であれば、その到達を確認してから第六のステップを実行しても良い。

この発明を実施する別の実施形態を、図５のシーケンス図を用いて説明する。なお、ネットワーク構成は図１と同様とする。
まず、家庭用ルータなどであるＶＰＮ装置１１の設定を、配下のＩＰｖ４ローカル網３１に設けられた端末２３から行い（Ｓ１１）、接続設定テーブル１０５に登録する。この設定は、上記のＩＤやパスワードの登録、使用するＶＰＮの方式の選択など、ＶＰＮを使用するために必要な情報の登録である。なお、設定内容確認（Ｓ１２）は端末２３からその内容をｗｅｂブラウザなどにより確認するものである。

一方、ＶＰＮへの接続要求を行う側であるＶＰＮ対向装置１２も、端末のＶＰＮ設定テーブル１１５に、ＩＤやパスワード、ＶＰＮの方式の選択など、ＶＰＮを使用するために必要な情報を登録する。その上で、第二自己通知手段１１１を実行してＳＴＵＮサーバ１３へＩＤ及びパスワードと、現状におけるアドレス及びポート番号を含むメッセージを送信する。ＳＴＵＮサーバではテーブル更新手段１２１を実行して、接続情報テーブル１２２に通知された情報を登録する（Ｓ２３）。その上で、相互通知手段１２３を実行するが、このときは対になる相手方であるＶＰＮ装置１１の情報が登録されていないので、その旨をＶＰＮ対向装置１２に通知する（Ｓ２４）。

一方、ＶＰＮ装置１１も第一自己通知手段１０１を実行して、同様にＩＤ及びパスワードと、アドレス及びポート番号を含むメッセージをＳＴＵＮサーバ１３に通知する（Ｓ３１）。
ＳＴＵＮサーバではテーブル更新手段１２１を実行して、接続情報テーブル１２２に通知された情報を登録する（Ｓ３２）。その上で、相互通知手段１２３を実行するが、今度は対になる相手方であるＶＰＮ対向装置１２の情報が登録されているので、その旨とともに、ＶＰＮ対向装置１２のアドレス及びポート番号を通知する（Ｓ３３）。これを受けたＶＰＮ装置１１は、相手方が判明したので、テストパケット送出手段１０３を実行して、通知されたアドレス及びポート番号を宛先として、所定の間隔でテストパケットを送出する（Ｓ３５）。このテストパケットはＬＳＮ２２までは到達する。なお、このテストパケットはＶＰＮの構築まで定期的に繰り返す。また、テストパケットをＳＴＵＮサーバ１３にも送信しておくことが望ましい。テストパケットを受け取ったＳＴＵＮサーバ１３は、テストパケット確認手段（図示せず）を実行して接続情報テーブル１２２内の「テストパケット送出」フラグをTrueに変更する。

なお、このシーケンス図ではこのときに既にＶＰＮ対向装置１２があることがわかっているが、この段階でＶＰＮ対向装置１２がＳＴＵＮサーバ１３に登録されていなければ、テストパケットは送信されないことになる。すなわち、Ｓ３４の後、Ｓ３５が行われず、Ｓ３１へと戻る。ＶＰＮが構築されるまで、ＳＴＵＮサーバ１３は登録しているアドレス及びポート番号の更新を繰り返すこととなる。

また一方、ＶＰＮ対向装置１２は、定期的に第二自己通知手段１１１を実行して同様にアドレス及びポート番号をＳＴＵＮサーバ１３に通知する（Ｓ４１）。これにより、移動によりアドレスなどが変更になったとしても、最新の情報が通知される（Ｓ４２）。このときは、対になる相手方であるＶＰＮ装置１１の情報が登録されているので、ＳＴＵＮサーバ１３の相互通知手段１２３は、ＶＰＮ装置１１のアドレス及びポート番号をＶＰＮ対向装置１２に通知する（Ｓ４３）。これを受けたＶＰＮ対向装置１２は、ＶＰＮ接続要求手段１１４を実行して、ＶＰＮ装置１１との間にＶＰＮを構築する（Ｓ４４）。

ＶＰＮが構築されたら（Ｓ５１、Ｓ５２）、ＶＰＮ装置１１とＶＰＮ対向装置１２は、それぞれ、ＶＰＮ完了通知手段（図示せず）を実行して、対となる相手との間にＶＰＮが構築されたことをＳＴＵＮサーバ１３に通知する。通知を受け取ったＳＴＵＮサーバ１３は、ＶＰＮ確認手段（図示せず）を実行して、接続情報テーブル１２２内の「ＶＰＮ接続完了フラグ」をＴｒｕｅにする（Ｓ５５）。これにより、ＳＴＵＮサーバ１３はＶＰＮ装置１１及びＶＰＮ対向装置１２のアドレスやポート番号の変更を追跡する通信を行う必要が無くなる。

その後、ＫｅｅｐＡｌｉｖｅの応答が設定回数以上確認できなかったり、使用者による意識的なＶＰＮ切断処理がされたりして、ＶＰＮが切断されたら（Ｓ６１，Ｓ６２）、再びＶＰＮ接続を行う必要が生じる場合があるので、ＶＰＮ装置１１とＶＰＮ対向装置１２はＶＰＮ切断通知手段（図示せず）を実行して、ＳＴＵＮサーバ１３に対して、ＶＰＮが切断されたことを通知する（Ｓ６３，Ｓ６４）。通知を受け取ったＳＴＵＮサーバ１３は、ＶＰＮ切断確認手段を実行して、接続情報テーブル１２２内の「ＶＰＮ接続完了フラグ」をＦａｌｓｅにする（Ｓ６５）。その後、場合によってはアドレスが変更になった上で（Ｓ７１，Ｓ７２）、第一自己通知手段１０１，第二自己通知手段１１１の実行段階（Ｓ３１，Ｓ４１）に戻る。

ＳＴＵＮサーバ１３側での処理例を図６のフローにより説明する。まず（SS1)、VPN装置１１から通知を受けたら、接続情報テーブル１２２を更新する（SS2)。その上で、ID又はIPアドレスなどで対となる紐づけがされるVPN対向装置１２のアドレス及びポート番号が登録されていなければ（SS3→未完了）、再び通知を待つ（SS2)。対となるVPN対向装置１２が登録されていれば（SS3→完了）、相互通知手段１２３がVPN装置１１及びVPN対向装置１２のそれぞれに、相手方のアドレス、ポート番号、及びPSK情報などを通知する（SS4)。その上で、VPN装置１１からのテストパケットを受信したら、接続情報テーブル１２２のフラグを更新する（SS5)。さらにその後、VPN装置１１及びVPN対向装置１２のそれぞれからのVPN接続の完了通知を待つ（ＳＳ６）。タイムアウトした場合は、通知の待機から再開する（ＳＳ２）。ＶＰＮ接続の完了通知を受信したら（ＳＳ６→受信）、接続情報テーブル１２２のＶＰＮ接続完了フラグを完了に更新し、待機状態になる。その後、ＶＰＮの切断通知や、アドレスの変更通知を受信したら（ＳＳ７）、接続情報テーブル１２２のＶＰＮ接続完了フラグを未接続に更新し、通知を待つ（ＳＳ２）。

上記のＳＴＵＮサーバを介した一連の通信を実施しなければならないのは、Ｐ−ＳＡＭ装置２１によってＣ−ＳＡＭであるＶＰＮ装置１１が使用できるポート番号が限定されている場合に限られる。ＳＡＭネットワーク３６でポート番号が限られている環境でなければ、一連のシステムはそもそも上記の手順を経ることなくＶＰＮを構築できる。
したがって、この発明にかかるＶＰＮ装置１１，ＶＰＮ対向装置１２、ＳＴＵＮサーバ１３は、ＶＰＮ装置１１がＳＡＭ環境にあることを確認する、判定機能を有していることが望ましい。

そのＣ−ＳＡＭとなるＶＰＮ装置１１が上記のＳＡＭ環境にあるか否かを判定するSAM判定手段１０７を実行するフローを図７に示す。まず（Ｓ１０１）、ＶＰＮ機能が設定上有効になっているか否かを判断する（Ｓ１０２）。外部からのＶＰＮ要求に対する応答が無効になっていれば、通常のルータとして動作するのみである（Ｓ１０３）。有効になっているならば（Ｓ１０２→有効）、自身がＰ−ＳＡＭ装置２１によるポート番号管理下にあるか否かを判定する（Ｓ１１１）。ＳＡＭを利用しているのであれば（Ｓ１１１→Ｙｅｓ）、ＶＰＮ装置１１自身がローカルアドレス情報を保持し、これにWellknownポートを付与して特定のwebサービスを利用するパケットを生成可能とする（Ｓ１２１）。
その上で、STUNサーバ１３へのアクセスを行う（Ｓ１２２)。このとき、ローカルアドレスを送信元アドレスとし、サービスを受けるためのWellknownポートを送信元ポート番号としたパケットを一旦生成した後、ＳＡＭ機能によりアドレスをＰ−ＳＡＭ装置２１のグローバルアドレスに、ポート番号をＰ−ＳＡＭ装置２１に割り当てられたポート番号に変換されたパケットをｖ６カプセル化した上でＳＴＵＮサーバ１３に送出することになる。ただし、そのＳＡＭ機能による変換を逆変換する情報も保持することになる。

一方、ＳＡＭを利用しなければ（Ｓ１１１→Ｎｏ）、外部ネットワークとの間にＮＡＴが設けられているか否かを判定する（Ｓ１１２）。ＮＡＴを越えることなく外部ネットワークに接続できるのであれば（Ｓ１２２→無効）、通常のＶＰＮ接続が可能となる（Ｓ１１３）。この場合は、意図しないＳＴＵＮサーバ１３への定期的な通信を停止するとよい。ＮＡＴを越えている場合、ＶＰＮ装置１１はＳＴＵＮサーバ１３の利用にあたって、ＶＰＮ装置のＷＡＮ側インターフェースに割り当てられたグローバルアドレスを使用する（Ｓ１１４→Ｓ１２２）。

ＳＴＵＮサーバへの通知は（Ｓ１２２）、ＶＰＮ対向装置１２についての通知が来るまで、接続設定テーブル１０５に記録された通知間隔で定期的に繰り返す（Ｓ１２３→Ｓ１２４→Ｓ１２２）。ＶＰＮ対向装置１２についての通知が来たら（Ｓ１２３→有）、通知されたアドレス及びポート番号へテストパケットを送出する（Ｓ１２５）。このテストパケットによる通知についてのセッションがタイムアウトするまでにＶＰＮ接続要求が来たら（Ｓ１２６）、ＶＰＮ接続要求を確立する（Ｓ１２７）。タイムアウトしたら（Ｓ１２６→タイムアウト）、再びＳＴＵＮサーバ１３に通知して（１２２）、ＶＰＮ対向装置１２についての通知を待つ（Ｓ１２３→Ｓ１２５）。ＶＰＮの接続が切断されたら（Ｓ１２８）、再び、ＳＴＵＮサーバ１３への通知に戻る。

このような、ＳＡＭ機能やＶＰＮ機能の有り無しのどちらにも対応できるＶＰＮ装置１１の構成例を図８に示す。図中のトンネルのうち、ＩＰｖ６ＷＡＮ−ＩＦをそのまま使う左方のトンネルは、ＳＡＭ機能無しに直接通信する際のラインである。具体的には、ここで用いるアドレスは事業者ｖ６網３２から取得するＩＰｖ６のグローバルアドレスであり、図７におけるＳ１１４に対応する。一方、ＳＡＭ機能を利用する本発明の実施形態では、図中右側のトンネルを利用する。この場合、図中下方のＬＡＮ論理ＩＦが、図７中Ｓ１２１で有するローカルアドレスに対応する。すなわち、ＩＰｖ４として処理されるものの、途中にあるＳＡＭ論理ＩＦが、Ｐ−ＳＡＭ装置２１からの指定によってポート番号を限定させるとともに、Ｐ−ＳＡＭ装置２１のグローバルアドレスを受け取って、そのアドレスとして振る舞うことになる。

１１ ＶＰＮ装置
１２ ＶＰＮ対向装置
１３ ＳＴＵＮサーバ
２１ Ｐ−ＳＡＭ装置
２２ ＬＳＮ
２３ 端末
２５、２６ ルータ
３１ ＩＰｖ４ローカル網
３２ 事業者ｖ６網
３３ ＩＳＰｖ６網
３４ ＩＳＰｖ４網
３５ モバイル／スポット網
３６ ＳＡＭネットワーク
＜Ｃ−ＳＡＭ（ＶＰＮ装置）＞
１０１ 第一自己通知手段
１０２ 対向アドレス記録手段
１０３ テストパケット送出手段
１０４ ＶＰＮ対応手段
１０５ 接続設定テーブル
１０６ ＶＰＮ対向テーブル
１０７ ＳＡＭ判定手段
＜端末（ＶＰＮ対向装置）＞
１１１ 第二自己通知手段
１１２ 対象アドレス記録手段
１１４ ＶＰＮ接続要求手段
１１５ ＶＰＮ設定テーブル
１１６ ＶＰＮ宛先テーブル
＜ＳＴＵＮサーバ＞
１２１ テーブル更新手段
１２２ 接続情報テーブル
１２３ 相互通知手段
１２４ テストパケット送出指示手段

Claims (2)

1. ＶＰＮ接続要求を受け付け可能なＶＰＮ装置と、
   上記ＶＰＮ接続要求を送信可能なＶＰＮ対向装置と、
   ＩＰｖ４ネットワーク上にあり、上記ＶＰＮ装置及び上記ＶＰＮ対向装置からのメッセージを受け付け可能なＳＴＵＮサーバと、を有するシステムであって、
   上記ＶＰＮ装置は、
   自身のローカルアドレスを送信元アドレスとし、自身が指定したポート番号を送信元ポート番号とするＩＰｖ４パケットを、自身でＳＡＭ変換した上で上記ＳＴＵＮサーバへ通知する第一自己通知手段と、
   上記ＳＴＵＮサーバから受信した、上記ＳＴＵＮサーバに登録された上記ＶＰＮ対向装置からの通知に対応するアドレス及びポート番号を記録する対向アドレス記録手段と、
   上記対向アドレス記録手段により記録された上記ＶＰＮ対向装置のアドレス及びポート番号へ、上記ＶＰＮ装置自身がＶＰＮで利用するポート番号を送信元ポート番号に設定したテストパケットを送出する、テストパケット送出手段と、を有し、
   上記ＶＰＮ対向装置は、
   上記ＳＴＵＮサーバへ送信元アドレス及びポート番号を通知する第二自己通知手段を有し、
   上記ＳＴＵＮサーバから受信した、上記ＳＴＵＮサーバに登録された上記ＶＰＮ装置からの通知に対応するアドレス及びポート番号を記録する対象アドレス記録手段と、
   上記対象アドレス記録手段により記録された上記ＶＰＮ装置のアドレス及びポート番号へＶＰＮ接続要求を送信する、ＶＰＮ接続要求手段と、を有し、
   上記ＳＴＵＮサーバは、
   上記第一自己通知手段及び上記第二自己通知手段により通知されたアドレス及びポート番号を接続情報テーブルに登録するテーブル更新手段を有し、
   ＶＰＮ接続の対になる上記VPN装置及び上記VPN対向装置のそれぞれのアドレス及びポート番号を宛先に指定して、相手方のアドレス及びポート番号を通知する相互通知手段を有し、
   上記VPN装置のアドレス及びポート番号を宛先に指定してテストパケット送出指示を送信する、テストパケット送出指示手段を有する
   ＶＰＮ構築システム。
2. 上記第一自己通知手段及び上記第二自己通知手段による通知が、ＩＤ及びパスワードを含み、
   上記ＳＴＵＮサーバは、上記接続情報テーブルに記録されるＩＤ及びパスワードが共通した上記ＶＰＮ装置及び上記ＶＰＮ対向装置を、上記ＶＰＮ接続の対になるものと判断する、請求項１に記載のＶＰＮ構築システム。

Images