JP2021087190A

JP2021087190A - ネットワークシステム及び接続方法

Info

Publication number: JP2021087190A
Application number: JP2019217168A
Authority: JP
Inventors: 友英鷹野; Tomohide Takano
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2019-11-29
Filing date: 2019-11-29
Publication date: 2021-06-03
Anticipated expiration: 2039-11-29
Also published as: JP7419771B2

Abstract

【課題】セキュリティを確保しつつ、オンプレミスとクラウド環境の接続環境を容易に構築可能とする。【解決手段】ネットワークシステム１は、クラウド上に配置されるクラウドサーバ２と、オンプレミス上に配置される印刷サーバ３と、クラウドサーバ２と印刷サーバ３とをＨＴＴＰリクエストベースのＶＰＮで接続する仮想Ｎ／Ｗアプライアンス４と、を備える。仮想Ｎ／Ｗアプライアンス４は、オンプレミス上のローカルエリア向けにネットワークアドレスを仮想化する。クラウドサーバ２は、クラウド上のコンテナの有効／無効情報を保持するサービスリスト２４と、サービスリスト２４の有効／無効情報をクラウドサーバ２の稼働状態に応じて更新するＮＡＰＴ管理モジュール２５と、を有する。仮想Ｎ／Ｗアプライアンス４は、ＮＡＰＴの動作モード情報を自動更新する。【選択図】図３

Description

本発明は、ネットワークシステム及び接続方法に関する。

大学や病院などの大型の施設内に点在する拠点（教室や研究室、図書室等）においてインターネット経由のリモートサービス（以下、例示としてリモート印刷として記述）を導入するには、クラウドにサービスの受け口を設けてオンプレミスに配置されるプリンタへ印刷データを送ることになる。そしてこの機能の実現には、何らかの手段でFW（Fire Wall）やProxyを超える仕組みが必要となる。

一般に、VPN（Virtual Private Network）技術を利用してクラウドとオンプレミスを接続して実現する方法がある。またVPNを張ることが難しい場合には、クラウドへのポーリング機能を持つプリンタを利用する方法もある。

しかし、VPNを張るには拠点単位ではなく構内網の基幹側の管轄であるFWやProxyに手を加える必要があり、容易ではない。

またクラウドへのポーリング機能を持つプリンタを使う案についても、既設のプリンタを置き換える必要があり容易ではない。

さらには、拠点が個別にクラウドサービスを導入しようとした場合、基幹側のネットワーク管理者が定めるセキュリティルールを満たせない可能性があり、管理者を説得するためにセキュリティが担保できていることの根拠が必要となる。

このように、既存環境を活かしつつ、クラウドサービスを活用することは難しい。

本発明は、セキュリティを確保しつつ、オンプレミスとクラウド環境の接続環境を容易に構築することを目的とする。

上述した課題を解決するために、本発明の一観点に係るネットワークシステムは、クラウド上に配置される第１のサーバと、オンプレミス上に配置される第２のサーバと、前記第１のサーバと前記第２のサーバとをＨＴＴＰリクエストベースのＶＰＮで接続する接続装置と、を備え、前記接続装置は、前記オンプレミス上のローカルエリア向けにネットワークアドレスを仮想化し、前記第１のサーバは、前記クラウド上のコンテナの有効／無効情報を保持するリストと、前記リストの有効／無効情報を前記第１のサーバの稼働状態に応じて更新する更新部と、を有し、前記接続装置は、ＮＡＰＴの動作モード情報を自動更新する。

セキュリティを確保しつつ、オンプレミスとクラウド環境の接続環境を容易に構築できる。

実施形態に係るネットワークシステムの全体構成を示す図仮想Ｎ／Ｗアプライアンスの機能モジュール構成図ＮＡＰＴ設定の自動更新の流れを示す図サービスリストのｙａｍｌ形式のフォーマット例実施形態に係るネットワークシステムの大学への適用イメージＰＣ（サーバ）のハードウェア構成図

以下、添付図面を参照しながら実施形態について説明する。説明の理解を容易にするため、各図面において同一の構成要素に対しては可能な限り同一の符号を付して、重複する説明は省略する。

図１は、実施形態に係るネットワークシステム１の全体構成を示す図である。図１に示すネットワークシステム１は、オンプレミス環境において、クラウドサービスを簡易に活用する環境を提供する。例えば、基幹ネットワーク側の規制が厳しい大学の教室や研究室、図書室等において、構内網外からのリモート印刷を実現することを可能とする。

図１に示すように、ネットワークシステム１は、クラウドＡ上に配置されたクラウドサーバ２（第１のサーバ）と、例えば大学内の構内網などのオンプレミスＢ上に配置され、クラウド連携可能なサーバ３（図１では印刷サーバ。以下では「印刷サーバ３」とも表記する）（第２のサーバ）と、オンプレミスＢ上に配置される仮想ネットワーク（Ｎ／Ｗ）アプライアンス４（接続装置）と、を備える。

オンプレミス環境Ｂには、印刷サーバ３の他にプリンタ、個人利用のＰＣ、認証装置、ＬＤＡＰ（Lightweight Directory Access Protocol）サーバ、共有印刷クライアントなどの他のネットワークリソース群５が既存ＬＡＮ６を介して印刷サーバ３と通信可能に接続されている。図１の例では、オンプレミスＢに配置されるネットワークリソース群の中で、印刷サーバ３のみがクラウド連携が可能であり、他のリソース群５はクラウドＡ側からアクセスできないよう配置されている。

本実施形態のネットワークシステム１では、オンプレミス環境Ｂの外部にいる利用者Ｘが所持するスマートフォンなどの端末装置７から発行される印刷ジョブをクラウドサーバ２、仮想Ｎ／Ｗアプライアンス４経由で、オンプレミスＢ上の印刷サーバ３に転送して、オンプレミス環境Ｂ下のプリンタで印刷を行うことができる。

本実施形態のネットワークシステム１は、次の構成を備える。

構成１：ＨＴＴＰリクエストを活用したＶＰＮの実現
クラウドＡ上のクラウドサーバ２と、オンプレミスＢ上の印刷サーバ３は、ＨＴＴＰリクエストベースのＶＰＮ（Virtual Private Network、仮想専用ネットワーク）で接続する通信方式を備える。本実施形態では、ＶＰＮｏｖｅｒＷｅｂｓｏｃｋｅｔを活用する。ＶＰＮｏｖｅｒＷｅｂｓｏｃｋｅｔにより、基幹側（ルータ、ファイアウォール（ＦＷ）等)の変更が不要となる。言い換えると、例えば図１に図示されるオンプレミス環境Ｂのファイアウォール（ＦＷ）やプロキシ（Ｐｒｏｘｙ）８を、ＶＰＮ用に設定変更する必要がない。また、ＶＰＮによりサーバプッシュが可能になり、オンプレミスＢ下の既存プリンタをそのまま活用可能となる。

構成２：オンプレ向きのＮＡＴ化
ＶＰＮ構築において、仮想Ｎ／Ｗアプライアンス４を内向け（オンプレミスの内部に配置され、外部からアクセスさせたくない他のネットワークリソース群５に向けて）にＮＡＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ）化することで、クラウドＡ側のＩＰアドレス体系も自由度を持たせることを実現する。また、お客様環境（オンプレミス環境Ｂ）のネットワークリソースであるＩＰアドレスの消費を軽減できる。

構成３：ＮＡＴ設定の自動構築
また、仮想Ｎ／Ｗアプライアンス４は、ＮＡＴだけではなく、ポートフォワード、ブリッジの動作モードを可能とする。この動作モード情報とクラウド上に構築するサーバ情報（ＩＰアドレス、ポート番号）に応じて、オンプレミス環境の仮想Ｎ／Ｗアプライアンス４は、仮想的なＥｔｈｅｒｎｅｔＩ／Ｆを自動生成する。

構成４：安全なクラウドサービスの利用環境構築
Ｏｃｔａｖｅｒ機能により、クラウド側からのアクセス範囲を隔離ネットワーク技術にて制限することで、安全性も確保する。

図２は、仮想Ｎ／Ｗアプライアンス４の機能モジュール構成図である。図２に示すように、仮想Ｎ／Ｗアプライアンス４は、ハードウェア（Ｈ／Ｗ）層Ｌ１と、カーネル（ｋｅｒｎｅｌ）層Ｌ２と、ルートファイルシステム（ｒｏｏｔｆｓ）層Ｌ３とを備える。

仮想Ｎ／Ｗアプライアンス４のハードウェア構成は、ＩｏＴＧａｔｗａｙなどで使われるＣＰＵ４１、ＲＡＭ４２などのメモリ、ストレージ４３、Ｅｔｈｅｒｎｅｔ（登録商標）４４を備える一般的なＬｉｎｕｘ（登録商標）Ｂｏｘを想定している。図２の例では、Ｈ／Ｗ層Ｌ１にＣＰＵ４１、ＲＡＭ４２、ストレージ４３、Ｅｔｈｅｒｎｅｔ４４が設けられる。

カーネル層Ｌ２には、Ｌｉｎｕｘ共通部４５と、ＩＰパケットの送信フィルタ４６と、ＮＡＰＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＰｏｒｔＴｒａｎｓｌａｔｉｏｎ）モジュール４７と、ＥｔｈｅｒｎｅｔＩ／Ｆ４８と、ＥｔｈｅｒｎｅｔＩ／Ｆ（ＶＰＮ用）４９とが設けられる。

ＩＰパケットの送信フィルタ４６は、ＩＰヘッダの送信ＩＰアドレスを用いてフィルタ処理を行うモジュールである。

ＮＡＰＴモジュール４７は、２つのネットワークをポートフォワードにより接続するモジュールである。

ＥｔｈｅｒｎｅｔＩ／Ｆ４８は、Ｈ／Ｗ層Ｌ１のＥｔｈｅｒｎｅｔデバイス４４に対して送受信を行うモジュールであり、ＥｔｈｈｅｒｎｅｔＩ／Ｆ（ＶＰＮ用）４９は、ＶＰＮでカプセル化するための仮想的なＥｔｈｅｒｎｅｔモジュールである。

ｒｏｏｔｆｓ層Ｌ３には、Ｌｉｎｕｘ基本コマンド群５０と、ＮＡＰＴ更新アプリ５１と、ＶＰＮＣｌｉｅｎｔアプリ５２と、ＷｅｂＳｏｃｋｅｔモジュール５３とが設けられる。

ＮＡＰＴ更新アプリ５１は、カーネル層Ｌ２のＮＡＰＴモジュール４７に対して設定の変更を行うモジュールである。

ＶＰＮＣｌｉｅｎｔアプリ５２は、ＷｅｂＳｏｃｋｅｔモジュール５３を用いて、ＶＰＮ接続を確立するモジュールである。

図３を参照して本実施形態のネットワークシステム１の動作を説明する。図３は、ＮＡＰＴ設定の自動更新の流れを示す図である。図３には、実施形態に係るネットワークシステム１の主な構成が図示されている。以下、各ステップごとに説明する。

ＳＴＥＰ１：
利用者Ｘは何らかのリモートサービス（本例ではロケーションフリーの印刷サービス）を利用するために、クラウドＡ上に構築されたサーバにアクセスする。

ＳＴＥＰ２：
ＡＷＳやＡｚｕｒｅといった一般的にクラウドサービスＡ１は、一時窓口となるＡＰＩＧａｔｅｗａｙ２１を備え、アクセスされたＵＲＬに応じて実際のデータ処理を行うサーバに転送する。このとき稼働率の低いサーバモジュール（以下「コンテナ」とも表記。ＡＷＳで例えるとＡｍａｚｏｎＥｌａｓｔｉｃＣｏｎｔａｉｎｅｒＳｅｒｖｉｃｅやＡｍａｚｏｎＥｌａｓｔｉｃＣｏｍｐｕｔｅＣｌｏｕｄで稼働するサーバモジュール）は停止させている場合があり、必要に応じて立ち上げ処理が行われる。図３の例では、クラウドサービス提供環境Ａ１には、印刷クラウドサービスコンテナ２２と、ストレージリモートアクセスサービスコンテナ２３が例示され、ＡＰＩＧａｔｅｗａｙ２１は利用者Ｘからのアクセスを印刷クラウドサービスコンテナ２２に転送している。

ＳＴＥＰ３：
起動したサービスコンテナ（図３の例では印刷クラウドサービスコンテナ２２）は、ＶＰＮ接続を管理するＶＰＮクラウド統括システムＡ２上のサービスリスト２４（リスト）の有効／無効の情報を更新する。サービスリスト２４はｙａｍｌ形式やＩＮＦ形式でｋｅｙ、ｖａｌｕｅでパラメータをファイルとして保持する。サービスリスト２４のｙａｍｌ形式のフォーマット例を図４に示す。

ＳＴＥＰ４：
ＳＴＥＰ３にて更新されたサービスリスト２４に従い、ＶＰＮクラウド総括システムＡ２上のＮＡＰＴ管理モジュール２５（更新部）は、オンプレミスＢ上に配置される仮想Ｎ／Ｗアプライアンス４（図３中の「ＶＰＮＢｏｘ」）のＮＡＰＴ設定を更新する。例えば、仮想Ｎ／Ｗアプライアンス４内のＮＡＰＴ更新アプリ５１が、ＮＡＰＴモジュール４７に対して設定の変更を行う。

ＳＴＥＰ５：
本例では、オンプレミスＢ上に配置されるプリンタ３が、アクセス禁止エリアから共有エリアに推移することになり、クラウドＡ上の印刷クラウドサービスコンテナ２２からオンプレミスＢ上のプリンタ３へＰｕｓｈ通信による印刷ジョブの送信が可能となる。

なお、図３に示したＡＰＩＧａｔｅｗａｙ２１と、印刷クラウドサービスコンテナ２２と、ストレージリモートアクセスサービスコンテナ２３と、サービスリスト２４及びＮＡＰＴ管理モジュール２５を有するＶＰＮサーバ２６と、ＶＰＮクラウドルーティングサービスＡ３のリレーサーバ２７は、図１に示したクラウドサーバ２に含まれる。

以上の仕組みにより、以下のメリットを得られる。
（１）リモートからの不正な印刷ジョブを投入されるリスクを減らすことができる。
（２）印刷クラウドサービスコンテナ２２を必要なタイミングのみ起動しておけばよく、クラウドサービス利用の経費を削減できる。

本実施形態の適用先は、例えば大学が考えられる。図５は、実施形態に係るネットワークシステム１の大学への適用イメージである。

図５に示すように、本実施形態の適用により、大学内の構内網（オンプレミスＢ）において、基幹側Ｂ１に影響を与えずに、ある教室Ｂ２の印刷サーバ３のみを利用できる構成となる。例えば、自宅や屋外の利用者Ｘがスマートフォンなどの端末７からの印刷要求を送信すると、クラウドＡ上のＷｅｂアップロードサーバ２、オンプレミスＢ上の仮想Ｎ／Ｗアプライアンス４を介して、大学内の構内網Ｂのうち、ある教室Ｂ２の印刷サーバ３のみに転送できる。

図５に示すように、Ｗｅｂｓｏｃｋｅｔを利用することで、ルータの設定を変更せずにＶＰＮ構築が可能である（図中の１）。また、隔離Ｎ／Ｗ技術でクラウドＡからの通信可能範囲を限定でき、これにより安全にクラウドサービスの利用環境を構築できる。（図中の２）

このように、本実施形態に係るネットワークシステム１では、仮想Ｎ／Ｗアプライアンス４がクラウドＡからのデータをフィルタすることで、隔離ネットワークを実現し、クラウドＡ側からのアクセス範囲を隔離ネットワーク技術にて制限することで、安全性も確保している。この結果、本実施形態に係るネットワークシステム１は、セキュリティを確保しつつ、オンプレミスBとクラウド環境Aの接続環境を容易に構築することができる。また、オンプレミスB上のレガシーシステムを安全にクラウドA経由で利用可能となる。

上記で説明した実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路により実装されるプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたASIC（Application Specific Integrated Circuit）、DSP（digital signal processor）、FPGA（field programmable gate array）や従来の回路モジュール等のデバイスを含むものとする。

上記実施形態に記載された装置群は、本明細書に開示された実施形態を実施するための複数のコンピューティング環境のうちの1つを示すものにすぎない。

ある実施形態では、仮想Ｎ／Ｗアプライアンス４は、サーバクラスタといった複数のコンピューティングデバイスを含む。複数のコンピューティングデバイスは、ネットワークや共有メモリなどを含む任意のタイプの通信リンクを介して互いに通信するように構成されており、本明細書に開示された処理を実施する。同様に、クラウドサーバ２は、互いに通信するように構成された複数のコンピューティングデバイスを含むことができる。

なお、仮想Ｎ／Ｗアプライアンス４は、通信機能を備えた装置であれば、図２に示したＬｉｎｕｘＢｏｘに限られない。情報処理装置１０は、例えば、ＰＪ（Projector：プロジェクタ）、ＩＷＢ（Interactive White Board：相互通信が可能な電子式の黒板機能を有する白板）、デジタルサイネージ等の出力装置、ＨＵＤ（Head Up Display）装置、産業機械、撮像装置、集音装置、医療機器、ネットワーク家電、自動車（Connected Car）、ノートＰＣ（Personal Computer）、携帯電話、スマートフォン、タブレット端末、ゲーム機、ＰＤＡ（Personal Digital Assistant）、デジタルカメラ、ウェアラブルＰＣまたはデスクトップＰＣ等であってもよい。

例えば、仮想Ｎ／Ｗアプライアンス４は、図６に示すハードウェア構成を有する、ＰＣ９であってもよい。

図６は、ＰＣ（サーバ）のハードウェア構成図である。ここでは、サーバ９のハードウェア構成について説明する。

図６に示されているように、サーバ９は、コンピュータによって構築されており、図６に示されているように、ＣＰＵ９０１、ＲＯＭ９０２、ＲＡＭ９０３、ＨＤ９０４、ＨＤＤ(Hard Disk Drive)コントローラ９０５、ディスプレイ９０６、外部機器接続Ｉ／Ｆ(Interface)９０８、ネットワークＩ／Ｆ９０９、データバス９１０、キーボード９１１、ポインティングデバイス９１２、ＤＶＤ−ＲＷ(Digital Versatile Disk Rewritable)ドライブ９１４、メディアＩ／Ｆ９１６を備えている。

これらのうち、ＣＰＵ９０１は、サーバ９全体の動作を制御する。ＲＯＭ９０２は、ＩＰＬ等のＣＰＵ９０１の駆動に用いられるプログラムを記憶する。ＲＡＭ９０３は、ＣＰＵ９０１のワークエリアとして使用される。ＨＤ９０４は、プログラム等の各種データを記憶する。ＨＤＤコントローラ９０５は、ＣＰＵ９０１の制御にしたがってＨＤ９０４に対する各種データの読み出し又は書き込みを制御する。ディスプレイ９０６は、カーソル、メニュー、ウィンドウ、文字、又は画像などの各種情報を表示する。外部機器接続Ｉ／Ｆ９０８は、各種の外部機器を接続するためのインターフェースである。この場合の外部機器は、例えば、ＵＳＢ(Universal Serial Bus)メモリやプリンタ等である。ネットワークＩ／Ｆ９０９は、通信ネットワーク１００を利用してデータ通信をするためのインターフェースである。バスライン９１０は、図６に示されているＣＰＵ９０１等の各構成要素を電気的に接続するためのアドレスバスやデータバス等である。

また、キーボード９１１は、文字、数値、各種指示などの入力のための複数のキーを備えた入力手段の一種である。ポインティングデバイス９１２は、各種指示の選択や実行、処理対象の選択、カーソルの移動などを行う入力手段の一種である。ＤＶＤ−ＲＷドライブ９１４は、着脱可能な記録媒体の一例としてのＤＶＤ−ＲＷ９１３に対する各種データの読み出し又は書き込みを制御する。なお、ＤＶＤ−ＲＷに限らず、ＤＶＤ−Ｒ等であってもよい。メディアＩ／Ｆ９１６は、フラッシュメモリ等の記録メディア９１５に対するデータの読み出し又は書き込み（記憶）を制御する。

以上、具体例を参照しつつ本実施形態について説明した。しかし、本開示はこれらの具体例に限定されるものではない。これら具体例に、当業者が適宜設計変更を加えたものも、本開示の特徴を備えている限り、本開示の範囲に包含される。前述した各具体例が備える各要素およびその配置、条件、形状などは、例示したものに限定されるわけではなく適宜変更することができる。前述した各具体例が備える各要素は、技術的な矛盾が生じない限り、適宜組み合わせを変えることができる。

１ネットワークシステム
２クラウドサーバ（第１のサーバ）
３印刷サーバ（第２のサーバ）
４仮想Ｎ／Ｗアプライアンス（接続装置）
２４サービスリスト（リスト）
２５ＮＡＰＴ管理モジュール（更新部）
Ａクラウド
Ｂオンプレミス

特許第６４４９８９６号公報

Claims

クラウド上に配置される第１のサーバと、
オンプレミス上に配置される第２のサーバと、
前記第１のサーバと前記第２のサーバとをＨＴＴＰリクエストベースのＶＰＮで接続する接続装置と、を備え、
前記接続装置は、前記オンプレミス上のローカルエリア向けにネットワークアドレスを仮想化し、
前記第１のサーバは、
前記クラウド上のコンテナの有効／無効情報を保持するリストと、
前記リストの有効／無効情報を前記第１のサーバの稼働状態に応じて更新する更新部と、を有し、
前記接続装置は、ＮＡＰＴの動作モード情報を自動更新する、
ネットワークシステム。
前記接続装置は、前記クラウド側からのアクセス範囲を制限する隔離ネットワークを構築する、
請求項１に記載のネットワークシステム。
前記クラウド上の前記コンテナは、サービス利用が一定時間経過しても発生しない場合に停止する、
請求項１または２に記載のネットワークシステム。
クラウド上に配置される第１のサーバと、
オンプレミス上に配置される第２のサーバと、
前記第１のサーバと前記第２のサーバとをＨＴＴＰリクエストベースのＶＰＮで接続する接続装置と、を備えるネットワークシステムの接続方法であって、
第１のサーバが、前記クラウド上のコンテナの有効／無効情報を保持するリストの有効／無効情報を前記第１のサーバの稼働状態に応じて更新する更新ステップと、
前記接続装置が、前記更新ステップに応じて、ＮＡＰＴの動作モード情報を自動更新する自動更新ステップと、
を含む接続方法。