JP2020072313A - 制御システム、制御方法、及びプログラム - Google Patents

Abstract

【課題】クライアントと、ＳａａＳ等のアプリケーションとの間の通信を、複数の経路から選択した経路で実行することを可能とする。【解決手段】拠点装置と宛先アプリケーションとを接続するための制御を実行する制御システムにおいて、前記拠点装置側の複数の入口ハブと、前記宛先アプリケーション側の複数の出口ハブとの間を接続する複数の経路から、前記拠点装置と前記宛先アプリケーションとの間の中継回線の経路を選択する選択手段と、前記選択手段により選択された経路の入口ハブと出口ハブのそれぞれに対し、ルータ機能部を構築する構築手段とを備える。【選択図】図１

Description

本発明は、クライアントとアプリケーションとの間の通信を行うネットワークに対する制御を行う技術に関連するものである。

近年企業ではｏｆｆｉｃｅ３６５（登録商標）に代表されるＳａａＳ（Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）の利用が急速に進んでいる。しかしながら従来の企業ネットワークではインターネットへの接続を本社／データセンタに一本化しているため、ＳａａＳへの接続に最適化されておらず、何等かの形でネットワーク構成の見直しを図る必要がある。

ＳａａＳへの接続の最適化を図る従来技術としては、ＳａａＳへの接続に特化した拠点のインターネット回線にトラフィックを振り分けるローカルブレークアウト方式、ＳａａＳまでの接続ネットワークを特定の事業者のマネージドネットワークで代替するＷａａＳ（ＷＡＮ ａｓ ａ ｓｅｒｖｉｃｅ）、ＳａａＳまでの特定の区間でＷＡＮ高速化を行う技術等が存在する。

特開２００７−３２９５４９号公報

しかし、上述した従来技術では、ＳａａＳに接続する際の通信の経路はインターネット経路のみ、特定のマネージドネットワーク経路のみ等のように固定的であり、複数経路から選択する等の制御ができないため、経路の状況によっては、通信に遅延が生じる等の問題があった。

本発明は上記の点に鑑みてなされたものであり、クライアントと、ＳａａＳ等のアプリケーションとの間の通信を、複数の経路から選択した経路で実行することを可能とする技術を提供することを目的とする。

開示の技術によれば、拠点装置と宛先アプリケーションとを接続するための制御を実行する制御システムであって、
前記拠点装置側の複数の入口ハブと、前記宛先アプリケーション側の複数の出口ハブとの間を接続する複数の経路から、前記拠点装置と前記宛先アプリケーションとの間の中継回線の経路を選択する選択手段と、
前記選択手段により選択された経路の入口ハブと出口ハブのそれぞれに対し、ルータ機能部を構築する構築手段と
を備える制御システムが提供される。

開示の技術によれば、クライアントと、ＳａａＳ等のアプリケーションとの間の通信を、複数の経路から選択した経路で実行することを可能とする技術が提供される。

本発明の実施の形態におけるシステムの全体構成図である。 装置のハードウェア構成の例を示す図である。 ＳａａＳ情報ＤＢに格納される接続先情報の例を示す図である。 情報収集の例を示す図である。 情報収集の経路の例を示す図である。 ＳａａＳ情報ＤＢに格納される測定情報の例を示す図である。 動作の流れを示すフローチャートである。 サービスチェイニングを説明するための図である。 代理証明書発行対象の特定方法を説明するための図である。 代理証明書の表示の例を示す図である。

以下、図面を参照して本発明の実施の形態を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。例えば、本発明の実施の形態においては、ユーザ端末が通信を行う宛先のアプリケーションの例としてＳａａＳを取り上げて説明しているが、本発明は、接続先がＳａａＳでないアプリケーションである場合にも適用可能である。

また、以下で説明する「ＳａａＳ」は、ＳａａＳのアプリケーションを提供するサーバであるが、便宜上、「ＳａａＳ」と記載している。

（システム構成）
図１に、本発明の実施の形態におけるシステムの全体構成図を示す。図１に示すように、本システムは、制御側のシステム（以下、制御システムと呼ぶ）の機能部として、ＳａａＳ接続ポータル１０、中継トポロジー制御コントローラ２０、設備構築コントローラ３０、ＳＤ−ＷＡＮコントローラ４０、ＷＡＮ高速化コントローラ５０、ＳａａＳ情報ＤＢ（データベース）６０、測定コントローラ７０を有する。これら機能部のそれぞれは、１つの装置（コンピュータ）で実現してもよいし、これら機能部のいずれか複数が１つの装置で実現されることで、制御システムが複数の装置で実現されてもよい。また、制御システムが１つの装置で実現されてもよい。また、ＳａａＳ接続ポータル１０、中継トポロジー制御コントローラ２０、設備構築コントローラ３０、ＳＤ−ＷＡＮコントローラ４０、ＷＡＮ高速化コントローラ５０、ＳａａＳ情報ＤＢ（データベース）６０、測定コントローラ７０のうちのいずれか１つ又は複数を有するシステムを「制御システム」と称してもよい。

制御システムを構成する各装置（制御システムが１つの装置で構成される場合の制御システム自身）は、物理的なコンピュータであってもよいし、仮想マシンであってもよい。

ユーザのトラフィックの送受信が行われるネットワーク側は、中継面８０、入口ハブ９０、出口ハブ１００、拠点ＣＰＥ（Ｃｕｓｔｏｍｅｒ Ｐｒｅｍｉｓｅｓ Ｅｑｕｉｐｍｅｎｔ）１１０を有する。なお、接続先としてＳａａＳ１２０が示されている。

拠点ＣＰＥ１１０は、例えばユーザの企業が位置する場所（拠点）に設置される装置であり、その配下に、ユーザ端末（クライアントと呼んでもよい）が接続される。通常、ユーザ端末にはＷｅｂブラウザが搭載されていて、ＷｅｂブラウザによりＳａａＳ１２０が提供するサービスを利用する。ただし、これが一例であり、Ｗｅｂブラウザを使用しない場合もある。

本実施の形態における中継面とは、クラウドサービスにおいて提供される中継網、インターネット等である。図１の例は、中継面８０がクラウドサービスにおいて提供される中継網であることを想定している。例えば、ある会社が提供するクラウドサービス（クラウドサービスＡとする）におけるあるデータセンタの装置が入口ハブ９０となり、当該クラウドサービスＡにおける別のデータセンタの装置が出口ハブ１００となり、入口ハブ９０と出口ハブ１００との間がクラウドサービスＡにより提供される専用の中継回線で接続される。なお、中継回線は、インターネット上の回線であってもよい。本実施の形態では、複数の中継面が使用される。

なお、「中継面」の定義は上記の定義に限定されるわけではない。回線の種類、回線の品質、回線の経路等に応じて、「中継面」を任意に定義してよい。

入口ハブ９０、出口ハブ１００のような「ハブ」は、ソフトウェアでＳＤ−ＷＡＮルータ機能部やＷＡＮ高速化機能部を構築可能な装置（コンピュータ）である。また、拠点ＣＰＥ１１０も、ソフトウェアでＳＤ−ＷＡＮルータ機能部やＷＡＮ高速化機能部を構築可能な装置（コンピュータ）である。

（各機能部について）
以下、制御システムを構成する各機能部の機能概要を説明する。

制御システムにおけるＳａａＳ接続ポータル１０は、ＩＴシステム管理者／システム運用者等（以降、これらを総称してユーザと呼ぶ）の端末（これを管理端末と呼ぶ）からの操作を受ける機能部であり、ＣＰＥの拠点名、及び、ＳａａＳとそのテナント（リージョン）を入力するための画面を管理端末に表示し、ユーザからの入力情報を受け付ける。また、ＳａａＳ接続ポータル１０は、後述するように、クライアントがＳａａＳ１２０を利用する際に必要な代理証明書の発行を行う機能を有する。

中継トポロジー制御コントローラ２０は、ＳａａＳ情報ＤＢ６０に格納された情報に基づいて、接続の対象とする拠点ＣＰＥとＳａａＳに対して、接続に推奨される経路（入口ハブ９０と出口ハブ１００）を決定する。

設備構築コントローラ３０は、中継トポロジー制御コントローラ２０により決定された情報に基づいて、入口ハブ９０及び出口ハブ１００のそれぞれに対し、接続に必要なＳＤ−ＷＡＮ機能部のデプロイ（デプロイを"構築"と言い換えてもよい）、ＷＡＮ高速化機能部のデプロイ、中継回線の設定等を行う。また、設備構築コントローラ３０は、拠点ＣＰＥ１１０に対しても、接続に必要なＳＤ−ＷＡＮ機能部のデプロイ、ＷＡＮ高速化機能部のデプロイ等を行うこととしてもよい。

図１の例では、入口ハブ９０においてＳＤ−ＷＡＮルータ機能部９１が構築され、出口ハブ１００においてＳＤ−ＷＡＮルータ機能部１０１とＷＡＮ高速化機能部１０２が構築され、拠点ＣＰＥ１１０において、ＳＤ−ＷＡＮルータ機能部１１１とＷＡＮ高速化機能部１１２が構築されている。

ＳＤ−ＷＡＮコントローラ４０は、拠点ＣＰＥ１１０と入口ハブ９０との間のトンネリングの設定、及び、拠点ＣＰＥ１１０とＳａａＳサーバ１２０が通信するためのルーティングの設定等を、通信経路の各ＳＤ−ＷＡＮルータ機能部に対して行う。ＷＡＮ高速化コントローラ５０は、各ＷＡＮ高速化機能部における高速化の制御を行う。測定コントローラ７０は、後述する測定の制御を実行する。

（ハードウェア構成例）
制御システムを構成する各装置（あるいは、制御システムが１つの装置として構成される場合のその装置）は、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、当該装置が有する機能は、コンピュータに内蔵されるＣＰＵやメモリ等のハードウェア資源を用いて、当該装置で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。

図２は、上記装置のハードウェア構成例を示す図である。図２の装置は、それぞれバスＢＳで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、及び入力装置１００７等を有する。なお、上述した各装置において、表示装置１００６及び入力装置１００７を備えないこととしてもよい。

当該装置での処理を実現するプログラムは、例えば、ＣＤ−ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って当該装置に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１００６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。

（ＳａａＳ情報ＤＢ６０に格納される情報の詳細）
次に、ＳａａＳ情報ＤＢ６０に格納される情報について詳細に説明する。ＳａａＳ情報ＤＢ６０に格納される情報は、制御システムにおける経路選択等の判断の基となる情報となる。

＜接続先情報＞
図３に、ＳａａＳ情報ＤＢ６０が格納する接続先情報の例を示す。図３に示すように、ＳａａＳ情報ＤＢ６０には、接続先情報として、ＳａａＳ毎にＵＲＬとＩＰアドレスが格納される。例えば、「ＡＡＡＡ」という名前のＳａａＳについて、接続先のＵＲＬがｅｅｅｅ．ｆｆｆ．ｃｏｍであるサービスの宛先のＩＰアドレスはｄ．ｄ．ｄ．０／２４であることが示されている。

一般的にＳａａＳの宛先のＩＰアドレスは定期的に変更される。そこで、本実施の形態では、例えば図４に示すように、ＳａａＳ情報ＤＢ６０がＳａａＳ公開情報サーバ１３０に定期的にリクエストを送信することで、該当ＳａａＳについての最新の情報を保持する。接続先情報を公開していない事業者のＳａａＳに関しては、例えば、定期的にＵＲＬにアクセスすることで、ＤＮＳの名前解決の結果（ＩＰアドレス）を収集し、ＳａａＳ情報ＤＢ６０の情報を更新する。

＜通信品質情報＞
次に、上記のようにして得られる接続先の各ＩＰアドレスに対して、通信経路毎に通信品質を収集する。すなわち、ある拠点から様々な経路によるＳａａＳまでの通信品質の情報を定期的に収集してＳａａＳ情報ＤＢ６０に格納する。

この収集の制御は、測定コントローラ７０が、入口ハブ毎に設置されるプローブ（品質測定装置）に測定指示を発信することにより実行する。また、測定は、例えば、経路毎に所定時間間隔で実行される。プローブを使用する場合、測定結果は、各入口ハブと各ＳａａＳとの間の品質として得られる。ただし、これは一例であり、各拠点（拠点ＣＰＥ）から、経路を指定した測定を行うことで、測定結果として、各拠点と各ＳａａＳとの間の通信品質を得ることとしてもよい。測定コントローラ７０が測定結果をプローブあるいは拠点ＣＰＥから受信し、それをＳａａＳ情報ＤＢ６０に格納することとしてもよいし、プローブあるいは拠点ＣＰＥから測定結果を直接にＳａａＳ情報ＤＢ６０に送信し、格納することとしてもよい。

通信品質として収集する値は、例えば、遅延値である。また、遅延値に加えてジッタ値を収集してもよい。更に、別の値を収集してもよい。

このように、経路毎、ＳａａＳ毎の通信品質を収集することで、ＳａａＳ毎の経路制御を実現することができる。

図５に、測定を行う通信経路の例を示す。図５に示す例では、拠点ＣＰＥ１１０からＳａａＳ１２０への接続において、中継面Ａと中継面Ｂが用いられる。中継面Ａには、入口ハブＡ、出口ハブＡ−１、出口ハブＡ−２が存在し、入口ハブＡにはプローブＡが備えられる。中継面Ｂには、入口ハブＢ、出口ハブＢ−１、出口ハブＢ−２が存在し、入口ハブＢにはプローブＢが備えられる。また、出口ハブＡ−１はＳａａＳ接続点ａに接続され、出口ハブＡ−２はＳａａＳ接続点ｂに接続され、出口ハブＢ−１はＳａａＳ接続点ｃに接続され、出口ハブＢ−２はＳａａＳ接続点ｄに接続されている。

プローブ（あるいは拠点ＣＰＥ）が実施する測定では、単純なｐｉｎｇではなく、ＳａａＳ側のＡＰＩを利用して代表的な操作を実行し、実際のＷｅｂ通信を模擬することで実施する。例えば、プローブは、ＳａａＳにおけるメニュー画面上であるサービスのボタンをクリックしてから、そのサービスのページが表示されるまでの時間を遅延値として測定する。測定において、単純なｐｉｎｇではなく、実際の操作を模擬するような測定方法を使用する理由は下記のとおりである。

ＳａａＳ事業者によってはＳａａＳ接続点と実際のデータ配備場所が物理的に異なり、その間を自前のネットワークで接続している場合がある。図５はそのような場合の一例を示している。つまり、図５に示す例では、ＳａａＳ接続点ａ〜ｄの物理的場所と実際のデータを配備する装置であるＳａａＳ１２０の物理的場所が異なり、その間を自前のネットワーク１２１で接続している。

このような状況下ではｐｉｎｇなどによる単純な測定では、単にプローブからＳａａＳ事業者の接続点までの通信品質の値を測定するだけになってしまい、ＳａａＳのサーバまでとなる実際の通信での通信品質とは大きく異なる計測を行っていることになってしまう。そこで、本実施の形態では、測定の目的となる装置（ＳａａＳのサーバ）にアクセスすることになる方法で測定を行うこととしている。

図６に、上述した手法により収集され、ＳａａＳ情報ＤＢ６０に格納された通信品質情報の例を示す。図６に示す経路番号１〜６は、図５において経路に付された番号１〜６に対応する。また、図６の例では、一例として、２つのＳａａＳ（ＳａａＳ−ＡとＳａａＳ−Ｂ）についての通信品質を示している。このＳａａＳ−ＡとＳａａＳ−Ｂは、異なる会社Ａ，Ｂにより提供されるものであってもよいし、同一の会社により提供される同一サービスのＳａａＳであって、テナント（リージョン）が異なる（例：リーションＡ、リージョンＢ）ものであってもよい。

例えば、経路番号１の経路は、中継面Ａ上の経路であって、入口ハブＡと出口ハブＡ−１を経由する経路である。この経路でのＳａａＳ−Ａの遅延値は１００ｍｓ、ＳａａＳ−Ａのジッタ値はａ、ＳａａＳ−Ｂの遅延値は１３０ｍｓ、ＳａａＳ−Ａのジッタ値はｈである。また、経路番号３、４の経路は、中継面Ａ、Ｂ間をインターネットを経由して跨ぐ経路であり、本実施の形態では、このような経路も選択可能である。

（ＳａａＳ接続までの処理手順）
以下、図７のフローチャートに従って、ある拠点ＣＰＥがＳａａＳと通信を開始するまでの処理手順を説明する。

＜Ｓ１０１：接続元拠点、ＳａａＳ、テナントの指定＞
まず、ユーザが、管理端末からＳａａＳ接続ポータル１０にアクセスし、ＳａａＳ接続ポータル１０により表示される画面から接続元拠点、接続先のＳａａＳ名及びそのテナントの情報を入力する。接続元拠点は、接続元の拠点ＣＰＥが設置される拠点の情報（例えば都市名）である。「テナント」は、地域名（リージョン名）であり、当該地域にＳａａＳのサーバが設置されていることが想定される。

ＳａａＳ接続ポータル１０に入力された情報は中継トポロジー制御コントローラ２０に送信される。

＜Ｓ１０２：経路決定＞
次に、中継トポロジー制御コントローラ２０が、ＳａａＳ接続ポータル１０から受信した情報（接続元拠点、ＳａａＳ、テナント）に基づいて、接続元の拠点ＣＰＥとＳａａＳとを接続するための中継経路を決定する。

一例として、中継トポロジー制御コントローラ２０は、ＳａａＳ情報ＤＢ６０の通信品質情報（例：図６）に基づいて、拠点ＣＰＥが存在する地域と同じ地域にある、あるいは近い地域にある１つ又は複数の入口ハブを入口ハブの候補として選択する。続いて、中継トポロジー制御コントローラ２０は、候補として選択した各入口ハブと各出口ハブとを結ぶ複数経路の中から、通信品質が所定の条件を満たす経路を決定する。所定の条件は、例えば、通信品質が最もよいこと、である。通信品質が最もよいとは、例えば、遅延を重視する場合には、遅延値が最小であることである。また、複数の通信品質のそれぞれに重みを付けて足し合わせた結果を用いて通信品質を評価してもよい。

例えば、図６に示す例において、候補となった入口ハブが入口ハブＡと入口ハブＢであり、接続先のＳａａＳが、ＳａａＳ−Ａであるとする。また、このユーザは、遅延が小さいことを重視しているとする。この場合、中継トポロジー制御コントローラ２０は、候補となる経路１〜６のうち、ＳａａＳ−Ａの遅延が最も小さい経路６を選択する。

また、中継トポロジー制御コントローラ２０は、例えば通信品質の良い順に優先順位を付けて、複数の経路を選択してもよい。このように複数の経路を選択しておくことで、通信が開始された後に、各経路の通信品質に応じて、通信経路をダイナミックに変更するルーティング制御を実現することができる。

なお、上記の例のように、中継トポロジー制御コントローラ２０が自動的に経路を選択することに代えて、ユーザが自分で経路を選択することとしてもよい。この場合、例えば、図６に示すような通信品質の情報をＳａａＳ接続ポータル１０がユーザの管理端末に表示する。また、通信品質の情報に加えて、回線使用料金の情報を表示してもよい。ユーザは、例えば、許容できる料金の範囲内で、最も良い通信品質の経路を選択することができる。ユーザにより選択された経路の情報は、ＳａａＳ接続ポータル１０から中継トポロジー制御コントローラ２０に送信される。

自動的に、もしくはユーザにより選択された経路の情報は、中継トポロジー制御コントローラ２０から設備構築コントローラ３０に送信される。

＜Ｓ１０３：各機能部のデプロイ＞
設備構築コントローラ３０は、中継トポロジー制御コントローラ２０から受信した情報に基づいて、拠点ＣＰＥ、及び選択された経路上のハブに各機能部をデプロイする。

例えば、図１に示す構成例において、拠点ＣＰＥ１１０からＳａａＳ１２０への接続を希望するユーザに対して、入口ハブ９０と出口ハブ１００を接続する経路が選択された場合、いずれの機能部もデプロイされていない状態から、設備構築コントローラ３０は、拠点ＣＰＥ１１０に対してＳＤ−ＷＡＮルータ機能部１１１とＷＡＮ高速化機能部１１２をデプロイし、入口ハブ９０にＳＤ−ＷＡＮルータ機能部９１をデプロイし、出口ハブ１００にＳＤ−ＷＡＮルータ機能部１０１とＷＡＮ高速化機能部１０２をデプロイする。

なお、中継面の入口ハブ及び出口ハブにおいて、各機能部は、ユーザ毎にデプロイしてもよいし、１つの機能部が複数ユーザに使用されてもよい。例えば、ＳＤ−ＷＡＮルータ機能部は、ユーザ毎のルーティングインスタンスを作成することで、複数のユーザに対して使用できる。

また、装置（ＣＰＥ、ハブ）において、既に機能部がデプロイされている場合（あるいは装置そのものがその機能を有している場合）には、当該機能部のデプロイは不要であり、コンフィグレーション（以下、コンフィグ）の設定のみを行えばよい。以下、デプロイについてのより具体的な例を説明する。ここでは、主に図１の構成を例にとって説明する。

例えば、拠点ＣＰＥ１１０は、ＳＤ−ＷＡＮルータ機能部１１１のＯＳのみが存在した状態（つまり、コンフィグが設定されていない状態）で、設置場所への配備を行い、電源を入れてインターネット回線に接続することでＳＤ−ＷＡＮコントローラ４０からコンフィグをダウンロードする。これは一般的なＳＤ−ＷＡＮ機器が備えているＺＴＰ（ｚｅｒｏ ｔｏｕｃｈ ｐｒｏｖｉｓｉｏｎｉｎｇ）機能により実現される。コンフィグが設定されることで拠点ＣＰＥ１１０は自動的に入口ハブ９０に接続することが可能になる。

入口ハブ９０と出口ハブ１００のそれぞれにおいては、ＳＤ−ＷＡＮルータ機能部が存在しない場合に設備構築コントローラ３０からＳＤ−ＷＡＮルータ機能部のデプロイを行う。

予めＳＤ−ＷＡＮルータ機能部がデプロイされている場合には、ユーザごとにルーティングインスタンスを作成し中継面上ではユーザごとに仮想的なネットワークが構成されるようにする。この技術自体は、ＭＰＬＳ／ＢＧＰ−ＶＰＮなどで用いられる技術と同様である。

例えば図５の経路３のように、異なる中継面のハブ間をインターネットで結んだ中継回線を経路として使用する場合、インターネット上でトンネリングを実施するように、入口ハブ及び出口ハブにおけるＳＤ−ＷＡＮルータ機能部に対する設定を行う。

また、図１に示す場合のように入口ハブ及び出口ハブが同一中継面にあって、中継面がインターネットでない場合にはトンネリングを行わなくてもよい。また、中継面上の各ハブ間を接続する回線については、複数のユーザが帯域を共有するが、統計多重効果などを考慮しトラフィックあふれ等が無いように十分な帯域を確保するように設定する。

また、ＷＡＮ高速化機能部を利用する場合には、拠点側と出口ハブ側に設備構築コントローラ３０からＷＡＮ高速化機能部をデプロイする。例えば図１の例では、拠点ＣＰＥ１１０にＷＡＮ高速化機能部１１２がデプロイされ、出口ハブ１００にＷＡＮ高速化機能部１０２がデプロイされる。

このように、最もユーザの端末（クライアント）に近い拠点ＣＰＥ１１０と、最もＳａａＳ１２０に近い出口ハブ１００のそれぞれにＷＡＮ高速化機能部を配備することで旧来の構成で発生する場合のある特定区間のボトルネック化を廃することができる。

図８に示すように、拠点ＣＰＥ１１０のＳＤ−ＷＡＮルータ機能部１１１と出口ハブ１００のＳＤ−ＷＡＮルータ機能部１０１が、ＷＡＮ高速化対象のトラフィックフローをＷＡＮ高速化機能部１１２、１０２に入力するように動作する。図８に示すような、付加機能部による処理の対象となるトラフィックフローを付加機能部を経由させる方法はサービスチェイニングと呼ばれる。なお、ＷＡＮ高速化機能部による処理の対象となるトラフィックフローをＷＡＮ高速化機能部を経由させる方法としてサービスチェイニングを利用することは一例に過ぎない。当該方法としてサービスチェイニング以外の方法を用いてもよい。

＜Ｓ１０４：ルーティング設定＞
Ｓ１０４では、Ｓ１０３で構築したＳＤ−ＷＡＮルータ機能部及びＷＡＮ高速化機能部を利用して、ユーザ端末からＳａａＳ１２０までの接続を実現するように、ＳＤ−ＷＡＮコントローラ４０から各ＳＤ−ＷＡＮルータ機能部に対してルーティング情報を設定することにより、識別されたトラフィックが通過する接続経路を設定する。

接続経路については、第一優先経路、第二優先経路のように、複数の経路を重みを付けて設定することとしてもよい。これにより、中継面の回線障害やハブの障害時に重みの低い経路に迂回することができる。

ＷＡＮ高速化機能部を利用する場合には、ＷＡＮ高速化機能部の処理対象となるトラフィックをＷＡＮ高速化機能部に処理させるようにＳＤ−ＷＡＮルータ機能部の経路設定を行う。

トラフィックが流れる段階では、トラフィックがどのＳａａＳのトラフィックであるかがＳＤ−ＷＡＮルータ機能部（あるいはその他の機能部）により識別され、識別されたＳａａＳ向けの経路でトラフィックの転送がなされる。トラフィックがどのＳａａＳのトラフィックであるかについては、ＤＰＩ（ｄｅｅｐ ｐａｃｋｅｔ ｉｎｓｐｅｃｔｉｏｎ）によるパケット解析で実現してもよいし、宛先ＩＰアドレスとＳａａＳとを対応付けたデータベースを用いて実現してもよい。

本実施の形態では、上述した設定で高速化対象とするトラフィックのみがチェイニングされＷＡＮ高速化機能部を通り、ＷＡＮ高速化機能部は、自身を通過する全トラフィックを高速化対象とする。ただし、これは一例であり、何等かの識別を行って、全トラフィックのうちの一部のみを高速化対象としてもよい。

（ＷＡＮ高速化機能部の設定について）
一般に、ユーザ側のＷＡＮ高速化機能部と、対向となるサーバ側のＷＡＮ高速化機能部とがペアになり、例えば、代理応答やデータのキャッシング等を行うことにより、ユーザ側のＷＡＮ高速化機能部とサーバ側のＷＡＮ高速化機能部との間の通信データ量を削減することでＷＡＮ高速化が実現される。

多くのＳａａＳ事業者のサービスでは利用にあたりＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）／ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）通信（以下ＳＳＬ通信と記載する）などの暗号化通信を用いる必要があるが、ＳａａＳとの通信を高速化する際にはこのＳＳＬ通信に起因する特有の問題がある。

ＷＡＮ高速化を実現するには、ＷＡＮ高速化機能部は、通過する情報を把握する必要があるので、ＳＳＬ通信をＷＡＮ高速化対象とする場合には、ＷＡＮ高速化機能部がＳＳＬ通信のトラフィックを一旦復号し、再度暗号化する必要がある。接続先であるＳａａＳの秘密鍵をＷＡＮ高速化機能部にインストールできればＳＳＬ通信の復号が可能になるが、ＳａａＳの秘密鍵を入手することは困難であり、更に、通信の対象とするＵＲＬも動的に変動し、秘密鍵も動的に変動することが考えられるため、ＳａａＳの秘密鍵をインストールする運用は現実的ではない。そこで、本実施の形態では、この問題を回避するために、以下の動作を実行する。図１の構成を例にとって説明する。

例えば出口ハブ１００側のＷＡＮ高速化機能部１０２が、ＳａａＳの代理として、ＲＦＣ３８２０などで規定される電子証明書（ここでは代理証明書と呼ぶ）をユーザ端末（クライアント）に送信することで、ユーザ端末との間でＳＳＬ通信を行う。また、ＷＡＮ高速化機能部１０２は、ユーザ端末の代理として、ＳａａＳ１２０との間でＳＳＬ通信を行う。つまり、ＷＡＮ高速化機能部１０２は、ユーザ端末からＳＳＬ通信で受信したデータを復号し、ＷＡＮ高速化のための処理を行った後に、データをＳＳＬ通信で暗号化してＳａａＳに送信する。また、ＷＡＮ高速化機能部１０２は、ＳａａＳからＳＳＬ通信で受信したデータを復号し、ＷＡＮ高速化のための処理を行った後に、データをＳＳＬ通信で暗号化してユーザ端末に送信する。

ＷＡＮ高速化機能部１０２は、ユーザ端末との間のＳＳＬ通信のための秘密鍵を保持する。ＷＡＮ高速化機能部１０２は、ユーザ端末との間でＳＳＬ通信を行う場合、認証局から、当該秘密鍵に対応する公開鍵を含む代理証明書の発行を受け、当該代理証明書をユーザ端末に送信する。この認証局は、例えば、本サービスを提供する事業者のサーバであり、本実施の形態では、当該認証局はＳａａＳ接続ポータル１０である。

その後は、通常のＳＳＬ通信と同様に、ユーザ端末は共通鍵を代理証明書に含まれる公開鍵で暗号化してＷＡＮ高速化機能部１０２に送信し、ＷＡＮ高速化機能部１０２は暗号化された共通鍵を秘密鍵で復号し、復号した共通鍵を用いてＳＳＬ通信を行う。

図９を参照して、ＷＡＮ高速化機能部１０２がユーザ端末に代理証明書を送信する場合の処理手順例を説明する。

まず、ＷＡＮ高速化機能部１０２は、ＷＡＮ高速化機能部１０２を通る、ユーザ端末（クライアント）から送信されたパケットから、ＴＬＳハンドシェイクに含まれるＲＦＣ６０６６で規定されるＳＮＩ（Ｓｅｒｖｅｒ Ｎａｍｅ Ｉｎｄｉｃａｔｉｏｎ）を検出した場合に（Ｓ２０１）、ＳＮＩから接続先サーバの名前を読み取る。ＳＮＩは暗号化されず平文で送信されているため読み取ることが可能である。図９の例では、接続先サーバの情報（ＵＲＬ）としてａａ．ｂｂｂ．ｄｄｄｄ．ｃｏｍが読み取られる。

ＷＡＮ高速化機能部１０２は、読み取った接続先サーバの情報をＷＡＮ高速化コントローラ５０に送信し（Ｓ２０２）、ＷＡＮ高速化コントローラ５０は当該接続先サーバの情報をＳａａＳ接続ポータル１０に送信する（Ｓ２０３）。ＳａａＳ接続ポータル１０は、ＳａａＳ情報ＤＢ６０の接続先情報を参照することにより（Ｓ２０４）、ＳａａＳ情報ＤＢ６０に、当該接続先サーバの情報と合致する情報が格納されているかどうかを調べ、格納されている場合に、ＷＡＮ高速化コントローラ５０経由でＷＡＮ高速化機能部１０２に対して代理証明書を発行する（Ｓ２０５、Ｓ２０６）。ＷＡＮ高速化機能部１０２は当該代理証明書をユーザ端末に送信する（Ｓ２０７）。

図１０（ａ）、（ｂ）は、ユーザ端末のＷｅｂブラウザ画面上に表示される証明書の例を示す図である。図１０（ａ）は、代理証明書を受信する前の証明書であり、この例では、発行者がＢＢＢＢ（ＳａａＳの認証局の事業者）であることが示されている。図１０（ｂ）は、代理証明書を受信した後の当該代理証明書であり、この例では、発行者がＣＣＣＣ（本サービスの事業者）であることが示されている。ユーザ端末は、信頼された認証局としてこの認証局を最初に一回登録することで以降は対応不要になる。

証明書の発行対象となるＵＲＬを手動で都度更新し証明書を発行するとなると大変な手間がかかるが、上記のようの自動的に証明書の発行を行う仕組みを設けることで、発行対象を自度的に更新することができる。

なお、上記の例では、ＷＡＮ高速化機能部１０２が、ＳＳＬ通信の代理動作を行うこととしているが、拠点ＣＰＥ１１０におけるＷＡＮ高速化機能部１１２が、上述したＷＡＮ高速化機能部１０２の動作と同様のＳＳＬ通信の代理動作を行うこととしてもよい。この場合、例えば、ＳａａＳ側のＷＡＮ高速化機能部１０２はＳａａＳ１２０との間でＳＳＬ通信を行い、復号動作を行うとともに、拠点ＣＰＥ１１０におけるＷＡＮ高速化機能部１１２との間で暗号化通信の動作を行う。ＷＡＮ高速化機能部１１２は、復号動作を行うとともに、ユーザ端末との間でＳａａＳの代理としてＳＳＬ通信を行う。

（実施の形態に係る課題／効果等のまとめ）
従来のＳａａＳ接続最適化技術においては、例えば下記のような課題があった。

（１）拠点や最終的なＳａａＳのデータが存在する位置にＷＡＮ高速化機能部を配備できなかったため、ＷＡＮ高速化機能を適用可能な区間が限定され、拠点の回線帯域がボトルネックとなるなどして高速化効果が十分に発揮されなかった。

（２）ＳａａＳへの到達がインターネット経由になるので各ＳａａＳへの接続経路をコントロールできず、インターネットプロバイダの品質に左右されてしまう。

（３）ＳａａＳではＳＳＬ通信により暗号化されたＨＴＴＰＳのｗｅｂサイトが多数を占めているが、高速化を行うために復号に使用するＳａａＳ側の秘密鍵を入手することが困難であり中継区間を含めで高速化を行うことが難しい。

本実施の形態に係る技術は下記の特徴を有するため、上記課題が解決される。

（Ａ）接続するＳａａＳ毎に中継回線を構成するハブ上に必要なルータ機能部、ＷＡＮ高速化機能部を個別に自動デプロイするとともに、ＳａａＳまでのルーティングについても自動的に実施可能にする。また、拠点側にもＷＡＮ高速化機能を配備しハブまでの回線が原因で発生するボトルネックを回避する。これにより、上記（１）が解決される。なお、ＷＡＮ高速化機能については同一ＣＰＥ内にＶＮＦとして構成することで、ＳａａＳ利用の有無に応じてＬＡＮ内の構成変更なく動的にデプロイ、アンデプロイできる。

（Ｂ）また、中継経路については複数のパターンから品質重視やコスト重視などで選択可能とし、中継経路はＳａａＳの実際の体感品質に応じて動的に変更可能にするので、上記の（２）が解決される。

（Ｃ）ユーザのトラフィック情報をパケットのヘッダーから読み取り、所定の宛先の場合には、代理証明書をＷＡＮ高速化機能部から送信することで、ＳＳＬ通信時の高速化を容易に実現する。これにより、上記（３）が解決される。

上記（Ａ）〜（Ｃ）を含む本実施の形態に係る技術により、従来のＳａａＳ接続技術では実現が困難であったＳａａＳまでの全区間での高速化を手間をかけずに実現することが可能となり、ＳａａＳ接続の最適化を手間なく高品質で実現できるようになる。

本明細書には少なくとも下記の事項が開示されている。
（第１項）
拠点装置と宛先アプリケーションとを接続するための制御を実行する制御システムであって、
前記拠点装置側の複数の入口ハブと、前記宛先アプリケーション側の複数の出口ハブとの間を接続する複数の経路から、前記拠点装置と前記宛先アプリケーションとの間の中継回線の経路を選択する選択手段と、
前記選択手段により選択された経路の入口ハブと出口ハブのそれぞれに対し、ルータ機能部を構築する構築手段と
を備える制御システム。
（第２項）
前記制御システムは、前記複数の経路における経路毎に、当該経路を経由する通信により前記宛先アプリケーションを使用する際の通信品質を測定する測定手段を更に備え、
前記選択手段は、前記測定手段により測定された経路毎の通信品質に基づいて経路を選択する
第１項に記載の制御システム。
（第３項）
拠点装置と宛先アプリケーションとを接続するための制御を実行する制御システムであって、
前記拠点装置側の複数の入口ハブと、前記宛先アプリケーション側の複数の出口ハブとの間を接続する複数の経路から、前記拠点装置と前記宛先アプリケーションとの間の中継回線の経路を選択するための判断情報を提供する提供手段と、
前記判断情報に基づいて選択された経路の入口ハブと出口ハブのそれぞれに対し、ルータ機能部を構築する構築手段と
を備える制御システム。
（第４項）
前記制御システムは、前記複数の経路における経路毎に、当該経路を経由する通信により前記宛先アプリケーションを使用する際の通信品質を測定する測定手段を更に備え、
前記提供手段は、前記測定手段により測定された経路毎の通信品質の情報を前記判断情報として提供する
第３項に記載の制御システム。
（第５項）
前記構築手段は、前記拠点装置と前記出口ハブのそれぞれにＷＡＮ高速化機能部を構築する
第１項ないし第４項のうちいずれか１項の制御システム。
（第６項）
前記拠点装置に接続されるクライアントから送信されたパケットに基づいて、当該クライアントと前記宛先アプリケーションとの間で暗号化通信のためのハンドシェークが行われていることを検知した場合に、前記拠点装置と前記出口ハブのそれぞれに備えられるＷＡＮ高速化機能部のうちのいずれかのＷＡＮ高速化機能部と前記クライアントとの間で暗号化通信を行うために使用する代理証明書を発行する手段
を更に備える第５項に記載の制御システム。
（第７項）
拠点装置と宛先アプリケーションとを接続するための制御を実行する制御システムにより実行される制御方法であって、
前記拠点装置側の複数の入口ハブと、前記宛先アプリケーション側の複数の出口ハブとの間を接続する複数の経路から、前記拠点装置と前記宛先アプリケーションとの間の中継回線の経路を選択する選択ステップと、
前記選択ステップにより選択された経路の入口ハブと出口ハブのそれぞれに対し、ルータ機能部を構築する構築ステップと
を備える制御方法。
（第８項）
拠点装置と宛先アプリケーションとを接続するための制御を実行する制御システムにより実行される制御方法であって、
前記拠点装置側の複数の入口ハブと、前記宛先アプリケーション側の複数の出口ハブとの間を接続する複数の経路から、前記拠点装置と前記宛先アプリケーションとの間の中継回線の経路を選択するための判断情報を提供する提供ステップと、
前記判断情報に基づいて選択された経路の入口ハブと出口ハブのそれぞれに対し、ルータ機能部を構築する構築ステップと
を備える制御方法。
（第９項）
コンピュータを、第１項ないし第６項のうちいずれか１項に記載の制御システムにおける各手段として機能させるためのプログラム。

以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０ ＳａａＳ接続ポータル
２０ 中継トポロジー制御コントローラ
３０ 設備構築コントローラ
４０ ＳＤ−ＷＡＮコントローラ
５０ ＷＡＮ高速化コントローラ
６０ ＳａａＳ情報ＤＢ
７０ 測定コントローラ
８０ 中継面
９０ 入口ハブ
１００ 出口ハブ
１１０ 拠点ＣＰＥ
９１、１０１、１１１ ＳＤ−ＷＡＮルータ機能部
１０２、１１２ ＷＡＮ高速化機能部
１２０ ＳａａＳ
１２１ ＳａａＳ事業者のネットワーク
１３０ ＳａａＳ公開情報サーバ
１０００ ドライブ装置
１００１ 記録媒体
１００２ 補助記憶装置
１００３ メモリ装置
１００４ ＣＰＵ
１００５ インタフェース装置
１００６ 表示装置
１００７ 入力装置
ＢＳ バス

Claims (9)

1. 拠点装置と宛先アプリケーションとを接続するための制御を実行する制御システムであって、
   前記拠点装置側の複数の入口ハブと、前記宛先アプリケーション側の複数の出口ハブとの間を接続する複数の経路から、前記拠点装置と前記宛先アプリケーションとの間の中継回線の経路を選択する選択手段と、
   前記選択手段により選択された経路の入口ハブと出口ハブのそれぞれに対し、ルータ機能部を構築する構築手段と
   を備える制御システム。
2. 前記制御システムは、前記複数の経路における経路毎に、当該経路を経由する通信により前記宛先アプリケーションを使用する際の通信品質を測定する測定手段を更に備え、
   前記選択手段は、前記測定手段により測定された経路毎の通信品質に基づいて経路を選択する
   請求項１に記載の制御システム。
3. 拠点装置と宛先アプリケーションとを接続するための制御を実行する制御システムであって、
   前記拠点装置側の複数の入口ハブと、前記宛先アプリケーション側の複数の出口ハブとの間を接続する複数の経路から、前記拠点装置と前記宛先アプリケーションとの間の中継回線の経路を選択するための判断情報を提供する提供手段と、
   前記判断情報に基づいて選択された経路の入口ハブと出口ハブのそれぞれに対し、ルータ機能部を構築する構築手段と
   を備える制御システム。
4. 前記制御システムは、前記複数の経路における経路毎に、当該経路を経由する通信により前記宛先アプリケーションを使用する際の通信品質を測定する測定手段を更に備え、
   前記提供手段は、前記測定手段により測定された経路毎の通信品質の情報を前記判断情報として提供する
   請求項３に記載の制御システム。
5. 前記構築手段は、前記拠点装置と前記出口ハブのそれぞれにＷＡＮ高速化機能部を構築する
   請求項１ないし４のうちいずれか１項の制御システム。
6. 前記拠点装置に接続されるクライアントから送信されたパケットに基づいて、当該クライアントと前記宛先アプリケーションとの間で暗号化通信のためのハンドシェークが行われていることを検知した場合に、前記拠点装置と前記出口ハブのそれぞれに備えられるＷＡＮ高速化機能部のうちのいずれかのＷＡＮ高速化機能部と前記クライアントとの間で暗号化通信を行うために使用する代理証明書を発行する手段
   を更に備える請求項５に記載の制御システム。
7. 拠点装置と宛先アプリケーションとを接続するための制御を実行する制御システムにより実行される制御方法であって、
   前記拠点装置側の複数の入口ハブと、前記宛先アプリケーション側の複数の出口ハブとの間を接続する複数の経路から、前記拠点装置と前記宛先アプリケーションとの間の中継回線の経路を選択する選択ステップと、
   前記選択ステップにより選択された経路の入口ハブと出口ハブのそれぞれに対し、ルータ機能部を構築する構築ステップと
   を備える制御方法。
8. 拠点装置と宛先アプリケーションとを接続するための制御を実行する制御システムにより実行される制御方法であって、
   前記拠点装置側の複数の入口ハブと、前記宛先アプリケーション側の複数の出口ハブとの間を接続する複数の経路から、前記拠点装置と前記宛先アプリケーションとの間の中継回線の経路を選択するための判断情報を提供する提供ステップと、
   前記判断情報に基づいて選択された経路の入口ハブと出口ハブのそれぞれに対し、ルータ機能部を構築する構築ステップと
   を備える制御方法。
9. コンピュータを、請求項１ないし６のうちいずれか１項に記載の制御システムにおける各手段として機能させるためのプログラム。

Images