JP3621324B2 - 仮想プライベートネットワーク利用規定管理方法及びその装置 - Google Patents
仮想プライベートネットワーク利用規定管理方法及びその装置 Download PDFInfo
- Publication number
- JP3621324B2 JP3621324B2 JP2000057568A JP2000057568A JP3621324B2 JP 3621324 B2 JP3621324 B2 JP 3621324B2 JP 2000057568 A JP2000057568 A JP 2000057568A JP 2000057568 A JP2000057568 A JP 2000057568A JP 3621324 B2 JP3621324 B2 JP 3621324B2
- Authority
- JP
- Japan
- Prior art keywords
- virtual private
- network
- private network
- vpn
- policy
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、広域ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）網上に構築され、運用される仮想プライベートネットワークにおける利用規定の管理方法及びその装置に関するものである。
【０００２】
【従来の技術】
ネットワーク（以下、ＮＷと略記する。）における利用規程（以下、ポリシーと呼ぶ。）の管理技術については、情報処理学会シンポジウム論文集、ｖｏｌ．９８、Ｎｏ．８、ｐ４１−４８等において既知の技術として公開されており、また、ＩＥＴＦ（Ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ ＴａｓｋＦｏｒｃｅ）のＰｏｌｉｃｙ Ｆｒａｍｅｗｏｒｋ ワーキンググループ（以下、ｐｏｌｉｃｙ ＷＧと略記する。）等においてもポリシー管理技術に関する提案がなされている。
【０００３】
しかし、これらの技術を用いた既存のＮＷポリシー管理装置はユーザＮＷに閉じた範囲を想定したものであり、ポリシー管理者及びエンドユーザという二層の管理構造しか持っておらず、また、仮想的なプライベートネットワーク（以下、ＶＰＮと略記する。）を跨ったポリシーの管理は実現できていない。そのため、第１種及び第２種通信事業者等（以下、キャリアと呼ぶ。）が提供し、複数ユーザがリソースを共有する、ＩＰ ｏｖｅｒ ＦＲ（Ｆｒａｍｅ Ｒｅｌａｙ）やＩＰ ｏｖｅｒ ＡＴＭ等の広域ＩＰ網上にＶＰＮが構築され、運用される場合、ＶＰＮ間でポリシーの競合が発生する可能性があり、対応が困難であった。
【０００４】
従来、広域ＩＰ網は全て広域ＩＰ網管理者が管理していたため、エンドユーザからのサービス要求はユーザ側のＶＰＮ管理者が仲介する形で、広域ＩＰ網管理者へ申し込みを行う必要があった。そのため、サービス要求発生から実際にサービス変更が行われるまでのタイムラグが大きく、仲介する要員の稼働が大きくなるという問題があった。
【０００５】
従来の広域ＩＰ網上のＶＰＮに対するサービス変更の流れの概略を図１に示す。
【０００６】
運用中のＮＷについてのサービス要求はエンドユーザから発生する。具体的にはＶＰＮ間のフィルタリング解除要求や、帯域保証（またはサービス品質）（以下、ＱｏＳと略記する。）要求等である。ＶＰＮ管理者は、これらのサービス要求を受け付け（Ｓ１）、自ＮＷの利用規定に基づいてその要求に対する可否判断を行う（Ｓ２）。自ＮＷ内の構成装置（エレメント）に対してのみ変更の場合は自ＮＷ内で完結する（Ｓ３）が、広域ＩＰ網を跨る設定の場合はサービスを提供する広域ＩＰ網管理者へ依頼する必要がある（Ｓ４）。
【０００７】
要求を受け取った広域ＩＰ網管理者（Ｓ５）は、広域ＩＰ網の利用規定に基づいてその要求に対する可否判断を行った（Ｓ６）後、必要ならサービス要求を実施し（Ｓ７）、完了報告を行う（Ｓ８）。完了報告を受けたＶＰＮ管理者はサービス要求を発生したエンドユーザに完了報告を行う（Ｓ９）。
【０００８】
【発明が解決しようとする課題】
このように、従来のＮＷポリシー管理装置では、ＶＰＮ間相互接続の際、ＶＰＮ間通信に双方のＶＰＮポリシーを反映させることが困難であり、複数のＶＰＮ間でＶＰＮポリシーの競合が発生する。このため、広域ＩＰ網管理者及びＶＰＮ管理者の調整稼動が大きくなり、ＶＰＮの運用形態の変化に柔軟に対応することが困難であった。よって管理負担を軽減し、管理者のポリシーに基づいてＮＷを効率的に制御することが目的のＮＷポリシー管理装置を導入しても、効果が得られないという問題があった。
【０００９】
さらにサービス要求に対して、ＱｏＳやセキュリティ等の各エレメント制御機能を連携して制御する機能を有しておらず、それぞれのエレメントを制御するＮＷポリシー管理装置毎にポリシー設定及びサービス要求を行う必要があり、ポリシー設定に矛盾が発生する恐れのあることも問題であった。
【００１０】
本発明の目的は、広域ＩＰ網管理者及びＶＰＮ管理者の管理負担を軽減し、ＶＰＮ管理者が規定したＶＰＮポリシーに基づいてＱｏＳやセキュリティ等のエレメント制御機能を運用できる、仮想プライベートネットワーク利用規定（ＶＰＮポリシー）管理方法及びその装置を提供することにある。
【００１１】
【課題を解決するための手段】
本発明では、前記課題を解決するため、広域ＩＰ網を管理するキャリア側の広域ＩＰ網管理者は広域ＩＰ網全体に関わるＮＷ管理ポリシーを管理し、個々のＶＰＮ内のＶＰＮポリシーについてはそれぞれのＶＰＮ管理者が管理する。このようにポリシーを階層的に管理することにより、ＶＰＮ管理者は権限の範囲内でＶＰＮの運用形態に応じた柔軟なＶＰＮポリシーの設定、変更が可能となり、ＶＰＮ管理者及び広域ＩＰ網管理者の管理負担を軽減できる。
【００１２】
また、ＶＰＮを跨るサービス要求が発生した場合は要求元のみならず、通信相手先のＶＰＮポリシーとも照合を行うことにより、双方のＶＰＮポリシーを反映したＶＰＮ間通信が可能となる。
【００１３】
また、単一のＶＰＮの管理権限を持つ管理者が複数のＶＰＮを管理する場合、該管理者が管理権限を持つＶＰＮ群をＶＰＮグループとし、ＶＰＮグループ内のＶＰＮ間通信に関わるＶＰＮポリシーの設定の矛盾を自動的に回避することにより、ＶＰＮ間通信に関するポリシー設定作業を簡略化することができる。即ち、一方のＶＰＮにおけるＶＰＮポリシーをＶＰＮ管理者が設定し、その通信相手先のＶＰＮが同一ＶＰＮグループ内であると判断された場合は、通信相手先のＶＰＮにもＶＰＮ間通信に関するＶＰＮポリシーを自動生成する。この際、各々のＶＰＮが異なるアドレス体系を持つ場合も、アドレス変換情報を元にＶＰＮポリシーの自動生成を行う。
【００１４】
さらに、エンドユーザから設定されるＱｏＳ及びＶＰＮを跨った通信の要求を、これらのＶＰＮポリシーで検証した後に、ＱｏＳ制御やＶＰＮ間接続に必要なセキュリティ制御等を行う広域ＩＰ網における各ネットワークエレメントの制御装置の設定情報に変換して配信する。これにより、広域ＩＰ網上でＱｏＳやセキュリティ等のネットワーク機能をポリシーに基づいて連携制御可能とする。
【００１５】
以上の過程をもって上記課題を解決する。
【００１６】
【発明の実施の形態】
以下、図面を用いて本発明の実施の形態を説明する。
【００１７】
図２は本発明の実施の形態の一例を示すもので、複数のユーザ（もしくはユーザＮＷ）１ａ，１ｂ，１ｃ及び２ａ，２ｂ，２ｃがエッジルータ（ＥＲ）を介して広域ＩＰ網３に接続され、それぞれＶＰＮ＃１及びＶＰＮ＃２というＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）を構成するネットワーク全体を示している。
【００１８】
本発明のＶＰＮポリシー管理装置（以下、ＰＭＳと略記する。）１０は、エッジルータを介して広域ＩＰ網３に接続されており、また、網管理用ＮＷ４というＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）にも接続されており、これを用いてＮＷを構成する各装置（エレメント）の制御装置との通信を行う（請求項４）。広域ＩＰ網管理者はＰＭＳ１０のコンソール上において操作を行い、ＶＰＮ管理者及びエンドユーザはＶＰＮ＃１，ＶＰＮ＃２経由でＰＭＳ１０に接続し、設定等の操作を行う。
【００１９】
ＮＷポリシーを構成する情報はＩＥＴＦのｐｏｌｉｃｙ ＷＧによって図３に示すように提案されており、本発明では各構成情報の管理者を図４に示すように階層化、即ちキャリア側の広域ＩＰ網管理者を広域ＩＰ網管理者、ユーザＮＷ側管理者をＶＰＮ管理者として位置付け、それぞれのＶＰＮポリシーについて広域ＩＰ網管理者は各ＶＰＮ契約情報の管理を行い、ＶＰＮ管理者は管理下にあるＶＰＮ内の帯域、セキュリティの運用ルールの管理を行うことにより、ＶＰＮポリシーの管理権限分散を行う。
【００２０】
これによって、従来のサービス要求の際に必要とされた、広域ＩＰ網管理者とＶＰＮ管理者との間での申し込みや受付、エンドユーザとＶＰＮ管理者との間での申し込みや受付等、通常ルーチンで繰り返される手間が省かれることになる（請求項２）。
【００２１】
また、ＶＰＮ間相互接続の際、ＶＰＮを跨るサービス要求が生じた場合、図５に示すように、ユーザが所属するＶＰＮのポリシーだけでなく、通信相手先のＶＰＮのポリシーを参照し（ｉ）、双方で検証されることで、相互のＶＰＮのポリシーに基づくセキュリティの高い通信が可能となる（請求項１）。
【００２２】
さらに、図５に示すように、企業内、学校内等で複数のＶＰＮを部署毎、学部毎に契約している場合は複数のＶＰＮをグループ化し、ＶＰＮグループとしてＶＰＮ管理者が複数ＶＰＮに跨るポリシーを扱うことを可能とする。これによりＶＰＮグループ内でのＶＰＮ相互通信についてはＶＰＮグループ内の１ＮＷ管理ポリシーとして登録し、ユーザ要求時にそれを参照する（ｉｉ）ことで検証が行われ、ＶＰＮポリシーの登録と、ＰＭＳ内での検証手順を簡略化できる（請求項２、３）。
【００２３】
図６はＰＭＳの構成を示すもので、大きく分けて６つの機能ブロックからなっている。即ち、図中、１１はユーザインタフェースを提供するポリシー受付部、１２は要求された内容を検証するポリシー検証機能部、１３はポリシー情報や操作記録を格納するデータベースのポリシー格納部、１４は制御するネットワークエレメントとのやり取りのための共通プラットフォーム部、１５はネットワークエレメントのＱｏＳを制御するＱｏＳ制御装置５との通信を行うＱｏＳポリシー制御部、１６はネットワークエレメントのセキュリティを制御するセキュリティ制御装置６との通信を行うセキュリティポリシー制御部である。
【００２４】
本発明による広域ＩＰ網上のＶＰＮに対するサービス変更に関わる各管理者及びユーザとＰＭＳとのやり取りの概略を図７に示す。
【００２５】
また、図８は広域ＩＰ網ポリシー登録時のフローチャートを、図９はＶＰＮポリシー登録時のフローチャートを、図１０はユーザ要求発生時のフローチャートをそれぞれ示すもので、以下、本発明によるサービス変更について説明する。
【００２６】
ユーザがポリシーサービスの享受を希望した場合、キャリアである広域ＩＰ網管理者は広域ＩＰ網上においてＶＰＮポリシーサービスのサービスユーザ情報の登録を行う。
【００２７】
まず、ＰＭＳ１０のポリシー受付部１１を介してＶＰＮ及びＶＰＮグループの情報を登録し（Ｓ１１）、その管理者情報の登録を行う（Ｓ１２）。その後、サービスの契約条件等に関わる広域ＩＰ網ポリシーを登録し（Ｓ１３）、ポリシー格納部１３に格納する（Ｓ１４）。
【００２８】
上記にて登録されたＶＰＮ管理者はポリシー受付部１１を介して自分が管理するユーザＮＷに対してのＶＰＮポリシーのエントリ登録を行う（Ｓ２１）。ＰＭＳ１０ではポリシー検証機能部１２にて広域ＩＰ網ポリシーに照らし合わせ（Ｓ２２）、広域ＩＰ網ポリシーに違反していないか判断する（Ｓ２３）。
【００２９】
ここで、違反していた場合はエントリを中止し、ポリシー受付部１１を介してＶＰＮ管理者にその旨を通知する（Ｓ３０）。許可され、さらにエントリ登録されたＶＰＮポリシーがＶＰＮグループ内でのＶＰＮ間通信に関するものであると判断された場合（Ｓ２４，Ｓ２５）は通信相手先ＶＰＮポリシーの自動生成を行う（Ｓ２６）。この際、双方のＶＰＮが異なるアドレス体系を用いている場合は、ポリシーに記述されたアドレスの変換も同時に行う。
【００３０】
さらに通信相手先ＶＰＮのＶＰＮポリシー及び広域ＩＰ網ポリシーに照らし合わせ（Ｓ２６）、許可されれば（Ｓ２７）、ポリシー格納部１３にＶＰＮポリシーを格納し（Ｓ２９）、拒否されればエントリを中止し、ポリシー受付部１１を介してＶＰＮ管理者に結果を通知する（Ｓ３０）。
【００３１】
なお、同一ＶＰＮグループ内でないＶＰＮ間通信と判断された場合（Ｓ２４，Ｓ２５）は、自ＶＰＮのＶＰＮポリシーのみをポリシー格納部１３に格納する（Ｓ２９）。
【００３２】
エンドユーザがＶＰＮポリシーサービスを享受しようと欲した場合、エンドユーザは利用要求をＰＭＳ１０のポリシー受付部１１に送る（Ｓ４１）。ＰＭＳ１０は、まずポリシー検証機能部１２にてエンドユーザが所属するＶＰＮのＶＰＮポリシーと利用要求の照合を行い（Ｓ４２）、許可判断を行う（Ｓ４３）。不許可の場合、その旨をポリシー受付部１１を介してエンドユーザに通知して処理を終わる（Ｓ４９）。許可された場合、その利用要求がＶＰＮを跨るかどうかの判断を行う（Ｓ４４）。
【００３３】
跨っていなければＱｏＳ・セキュリティ制御を行う（Ｓ４８）。跨っていた場合、さらに要求がＶＰＮグループを跨るかどうかの判断を行い（Ｓ４５）、跨っていれば相手先ＶＰＮポリシーとの照合を行い（Ｓ４６）、許可判断を行う（Ｓ４７）。許可判断がされればＱｏＳ・セキュリティ制御を行い（Ｓ４８）、結果通知を行う（Ｓ４９）。
【００３４】
また、図１１は前述したＱｏＳ・セキュリティ制御に関する詳細フローチャートを示すものである。
【００３５】
前述したステップＳ４８で発出されたＱｏＳ・セキュリティ制御要求は共通プラットフォーム部１４にてＱｏＳ及びセキュリティ成分に分解され（Ｓ５１）、セキュリティ成分をセキュリティ制御装置６の設定情報に変換する（Ｓ５２）。さらに、その設定情報が既にセキュリティ制御装置６に登録されている内容かどうかを判断し（Ｓ５３）、未設定ならばセキュリティポリシー制御部１６を介してセキュリティ制御装置６に設定する（Ｓ５４）。
【００３６】
また、ＱｏＳ成分をＱｏＳ制御装置５の設定情報に変換し（Ｓ５５）、ＱｏＳポリシー制御部１５を介してＱｏＳ制御装置５に設定する（Ｓ５６）。設定結果はポリシー受付部１１を介してユーザに通知される（Ｓ５７）。
【００３７】
図１２に登録されたＶＰＮポリシーの閲覧画面の一例を、図１３にエンドユーザからのサービス要求の設定画面の一例を示す。
【００３８】
【発明の効果】
以上説明したように、本発明によれば、以下のような優れた効果を奏することができる。
（１）複数ユーザでリソースを共有する広域ＩＰ網上で、各々のＶＰＮの管理者のポリシーに基づいたセキュリティの高いＶＰＮ間通信を行うことが可能となる。
（２）ＶＰＮポリシーを階層的に管理することにより、ＶＰＮ管理者は管理下にあるＶＰＮのポリシーを柔軟に設定変更することが可能となり、ＶＰＮ網管理者及び広域ＩＰ網管理者の稼動が軽減される。さらに、複数のＶＰＮをグループ化し、仮想的な１つのＶＰＮのように見せることでＶＰＮ間のアドレス空間の相違やフィルタリング設定等を意識することなく、一人のＶＰＮ管理者がＶＰＮ間通信のＶＰＮポリシーを簡易に設定することが可能となる。
（３）ＶＰＮを跨るサービス要求に対し、ＱｏＳ制御に連動したＶＰＮ間接続等のセキュリティ制御を自動的に行う等、異なるサービスを制御するエレメントの制御装置を連携制御することにより、設定稼動の軽減と矛盾のない設定が可能となる。
【図面の簡単な説明】
【図１】従来のサービス変更の流れの概略を示すフローチャート
【図２】本発明の実施の形態の一例を示すネットワーク構成図
【図３】ＩＥＴＦ ｐｏｌｉｃｙ ＷＧの提案におけるＮＷポリシーの構成情報を示す説明図
【図４】本発明による階層化されたＶＰＮポリシー管理者と管理内容を示す説明図
【図５】ＶＰＮを跨ったサービス要求に対する検証のようすを示す説明図
【図６】本発明のＶＰＮポリシー管理装置の機能ブロック図
【図７】本発明によるサービス変更に関わるやり取りの概略を示す説明図
【図８】広域ＩＰ網ポリシー登録時のフローチャート
【図９】ＶＰＮポリシー登録時のフローチャート
【図１０】ユーザ要求発生時のフローチャート
【図１１】ＱｏＳ・セキュリティ制御に関する詳細フローチャート
【図１２】ＶＰＮポリシーの閲覧画面の一例を示す図
【図１３】サービス要求の設定画面の一例を示す図
【符号の説明】
１ａ，１ｂ，１ｃ，２ａ，２ｂ，２ｃ：ユーザ、３：広域ＩＰ網、４：網管理用ＮＷ、５：ＱｏＳ制御装置、６：セキュリティ制御装置、１０：ＶＰＮポリシー管理装置、１１：ポリシー受付部、１２：ポリシー検証機能部、１３：ポリシー格納部、１４：共通プラットフォーム部、１５：ＱｏＳポリシー制御部、１６：セキュリティポリシー制御部。
【発明の属する技術分野】
本発明は、広域ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）網上に構築され、運用される仮想プライベートネットワークにおける利用規定の管理方法及びその装置に関するものである。
【０００２】
【従来の技術】
ネットワーク（以下、ＮＷと略記する。）における利用規程（以下、ポリシーと呼ぶ。）の管理技術については、情報処理学会シンポジウム論文集、ｖｏｌ．９８、Ｎｏ．８、ｐ４１−４８等において既知の技術として公開されており、また、ＩＥＴＦ（Ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ ＴａｓｋＦｏｒｃｅ）のＰｏｌｉｃｙ Ｆｒａｍｅｗｏｒｋ ワーキンググループ（以下、ｐｏｌｉｃｙ ＷＧと略記する。）等においてもポリシー管理技術に関する提案がなされている。
【０００３】
しかし、これらの技術を用いた既存のＮＷポリシー管理装置はユーザＮＷに閉じた範囲を想定したものであり、ポリシー管理者及びエンドユーザという二層の管理構造しか持っておらず、また、仮想的なプライベートネットワーク（以下、ＶＰＮと略記する。）を跨ったポリシーの管理は実現できていない。そのため、第１種及び第２種通信事業者等（以下、キャリアと呼ぶ。）が提供し、複数ユーザがリソースを共有する、ＩＰ ｏｖｅｒ ＦＲ（Ｆｒａｍｅ Ｒｅｌａｙ）やＩＰ ｏｖｅｒ ＡＴＭ等の広域ＩＰ網上にＶＰＮが構築され、運用される場合、ＶＰＮ間でポリシーの競合が発生する可能性があり、対応が困難であった。
【０００４】
従来、広域ＩＰ網は全て広域ＩＰ網管理者が管理していたため、エンドユーザからのサービス要求はユーザ側のＶＰＮ管理者が仲介する形で、広域ＩＰ網管理者へ申し込みを行う必要があった。そのため、サービス要求発生から実際にサービス変更が行われるまでのタイムラグが大きく、仲介する要員の稼働が大きくなるという問題があった。
【０００５】
従来の広域ＩＰ網上のＶＰＮに対するサービス変更の流れの概略を図１に示す。
【０００６】
運用中のＮＷについてのサービス要求はエンドユーザから発生する。具体的にはＶＰＮ間のフィルタリング解除要求や、帯域保証（またはサービス品質）（以下、ＱｏＳと略記する。）要求等である。ＶＰＮ管理者は、これらのサービス要求を受け付け（Ｓ１）、自ＮＷの利用規定に基づいてその要求に対する可否判断を行う（Ｓ２）。自ＮＷ内の構成装置（エレメント）に対してのみ変更の場合は自ＮＷ内で完結する（Ｓ３）が、広域ＩＰ網を跨る設定の場合はサービスを提供する広域ＩＰ網管理者へ依頼する必要がある（Ｓ４）。
【０００７】
要求を受け取った広域ＩＰ網管理者（Ｓ５）は、広域ＩＰ網の利用規定に基づいてその要求に対する可否判断を行った（Ｓ６）後、必要ならサービス要求を実施し（Ｓ７）、完了報告を行う（Ｓ８）。完了報告を受けたＶＰＮ管理者はサービス要求を発生したエンドユーザに完了報告を行う（Ｓ９）。
【０００８】
【発明が解決しようとする課題】
このように、従来のＮＷポリシー管理装置では、ＶＰＮ間相互接続の際、ＶＰＮ間通信に双方のＶＰＮポリシーを反映させることが困難であり、複数のＶＰＮ間でＶＰＮポリシーの競合が発生する。このため、広域ＩＰ網管理者及びＶＰＮ管理者の調整稼動が大きくなり、ＶＰＮの運用形態の変化に柔軟に対応することが困難であった。よって管理負担を軽減し、管理者のポリシーに基づいてＮＷを効率的に制御することが目的のＮＷポリシー管理装置を導入しても、効果が得られないという問題があった。
【０００９】
さらにサービス要求に対して、ＱｏＳやセキュリティ等の各エレメント制御機能を連携して制御する機能を有しておらず、それぞれのエレメントを制御するＮＷポリシー管理装置毎にポリシー設定及びサービス要求を行う必要があり、ポリシー設定に矛盾が発生する恐れのあることも問題であった。
【００１０】
本発明の目的は、広域ＩＰ網管理者及びＶＰＮ管理者の管理負担を軽減し、ＶＰＮ管理者が規定したＶＰＮポリシーに基づいてＱｏＳやセキュリティ等のエレメント制御機能を運用できる、仮想プライベートネットワーク利用規定（ＶＰＮポリシー）管理方法及びその装置を提供することにある。
【００１１】
【課題を解決するための手段】
本発明では、前記課題を解決するため、広域ＩＰ網を管理するキャリア側の広域ＩＰ網管理者は広域ＩＰ網全体に関わるＮＷ管理ポリシーを管理し、個々のＶＰＮ内のＶＰＮポリシーについてはそれぞれのＶＰＮ管理者が管理する。このようにポリシーを階層的に管理することにより、ＶＰＮ管理者は権限の範囲内でＶＰＮの運用形態に応じた柔軟なＶＰＮポリシーの設定、変更が可能となり、ＶＰＮ管理者及び広域ＩＰ網管理者の管理負担を軽減できる。
【００１２】
また、ＶＰＮを跨るサービス要求が発生した場合は要求元のみならず、通信相手先のＶＰＮポリシーとも照合を行うことにより、双方のＶＰＮポリシーを反映したＶＰＮ間通信が可能となる。
【００１３】
また、単一のＶＰＮの管理権限を持つ管理者が複数のＶＰＮを管理する場合、該管理者が管理権限を持つＶＰＮ群をＶＰＮグループとし、ＶＰＮグループ内のＶＰＮ間通信に関わるＶＰＮポリシーの設定の矛盾を自動的に回避することにより、ＶＰＮ間通信に関するポリシー設定作業を簡略化することができる。即ち、一方のＶＰＮにおけるＶＰＮポリシーをＶＰＮ管理者が設定し、その通信相手先のＶＰＮが同一ＶＰＮグループ内であると判断された場合は、通信相手先のＶＰＮにもＶＰＮ間通信に関するＶＰＮポリシーを自動生成する。この際、各々のＶＰＮが異なるアドレス体系を持つ場合も、アドレス変換情報を元にＶＰＮポリシーの自動生成を行う。
【００１４】
さらに、エンドユーザから設定されるＱｏＳ及びＶＰＮを跨った通信の要求を、これらのＶＰＮポリシーで検証した後に、ＱｏＳ制御やＶＰＮ間接続に必要なセキュリティ制御等を行う広域ＩＰ網における各ネットワークエレメントの制御装置の設定情報に変換して配信する。これにより、広域ＩＰ網上でＱｏＳやセキュリティ等のネットワーク機能をポリシーに基づいて連携制御可能とする。
【００１５】
以上の過程をもって上記課題を解決する。
【００１６】
【発明の実施の形態】
以下、図面を用いて本発明の実施の形態を説明する。
【００１７】
図２は本発明の実施の形態の一例を示すもので、複数のユーザ（もしくはユーザＮＷ）１ａ，１ｂ，１ｃ及び２ａ，２ｂ，２ｃがエッジルータ（ＥＲ）を介して広域ＩＰ網３に接続され、それぞれＶＰＮ＃１及びＶＰＮ＃２というＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）を構成するネットワーク全体を示している。
【００１８】
本発明のＶＰＮポリシー管理装置（以下、ＰＭＳと略記する。）１０は、エッジルータを介して広域ＩＰ網３に接続されており、また、網管理用ＮＷ４というＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）にも接続されており、これを用いてＮＷを構成する各装置（エレメント）の制御装置との通信を行う（請求項４）。広域ＩＰ網管理者はＰＭＳ１０のコンソール上において操作を行い、ＶＰＮ管理者及びエンドユーザはＶＰＮ＃１，ＶＰＮ＃２経由でＰＭＳ１０に接続し、設定等の操作を行う。
【００１９】
ＮＷポリシーを構成する情報はＩＥＴＦのｐｏｌｉｃｙ ＷＧによって図３に示すように提案されており、本発明では各構成情報の管理者を図４に示すように階層化、即ちキャリア側の広域ＩＰ網管理者を広域ＩＰ網管理者、ユーザＮＷ側管理者をＶＰＮ管理者として位置付け、それぞれのＶＰＮポリシーについて広域ＩＰ網管理者は各ＶＰＮ契約情報の管理を行い、ＶＰＮ管理者は管理下にあるＶＰＮ内の帯域、セキュリティの運用ルールの管理を行うことにより、ＶＰＮポリシーの管理権限分散を行う。
【００２０】
これによって、従来のサービス要求の際に必要とされた、広域ＩＰ網管理者とＶＰＮ管理者との間での申し込みや受付、エンドユーザとＶＰＮ管理者との間での申し込みや受付等、通常ルーチンで繰り返される手間が省かれることになる（請求項２）。
【００２１】
また、ＶＰＮ間相互接続の際、ＶＰＮを跨るサービス要求が生じた場合、図５に示すように、ユーザが所属するＶＰＮのポリシーだけでなく、通信相手先のＶＰＮのポリシーを参照し（ｉ）、双方で検証されることで、相互のＶＰＮのポリシーに基づくセキュリティの高い通信が可能となる（請求項１）。
【００２２】
さらに、図５に示すように、企業内、学校内等で複数のＶＰＮを部署毎、学部毎に契約している場合は複数のＶＰＮをグループ化し、ＶＰＮグループとしてＶＰＮ管理者が複数ＶＰＮに跨るポリシーを扱うことを可能とする。これによりＶＰＮグループ内でのＶＰＮ相互通信についてはＶＰＮグループ内の１ＮＷ管理ポリシーとして登録し、ユーザ要求時にそれを参照する（ｉｉ）ことで検証が行われ、ＶＰＮポリシーの登録と、ＰＭＳ内での検証手順を簡略化できる（請求項２、３）。
【００２３】
図６はＰＭＳの構成を示すもので、大きく分けて６つの機能ブロックからなっている。即ち、図中、１１はユーザインタフェースを提供するポリシー受付部、１２は要求された内容を検証するポリシー検証機能部、１３はポリシー情報や操作記録を格納するデータベースのポリシー格納部、１４は制御するネットワークエレメントとのやり取りのための共通プラットフォーム部、１５はネットワークエレメントのＱｏＳを制御するＱｏＳ制御装置５との通信を行うＱｏＳポリシー制御部、１６はネットワークエレメントのセキュリティを制御するセキュリティ制御装置６との通信を行うセキュリティポリシー制御部である。
【００２４】
本発明による広域ＩＰ網上のＶＰＮに対するサービス変更に関わる各管理者及びユーザとＰＭＳとのやり取りの概略を図７に示す。
【００２５】
また、図８は広域ＩＰ網ポリシー登録時のフローチャートを、図９はＶＰＮポリシー登録時のフローチャートを、図１０はユーザ要求発生時のフローチャートをそれぞれ示すもので、以下、本発明によるサービス変更について説明する。
【００２６】
ユーザがポリシーサービスの享受を希望した場合、キャリアである広域ＩＰ網管理者は広域ＩＰ網上においてＶＰＮポリシーサービスのサービスユーザ情報の登録を行う。
【００２７】
まず、ＰＭＳ１０のポリシー受付部１１を介してＶＰＮ及びＶＰＮグループの情報を登録し（Ｓ１１）、その管理者情報の登録を行う（Ｓ１２）。その後、サービスの契約条件等に関わる広域ＩＰ網ポリシーを登録し（Ｓ１３）、ポリシー格納部１３に格納する（Ｓ１４）。
【００２８】
上記にて登録されたＶＰＮ管理者はポリシー受付部１１を介して自分が管理するユーザＮＷに対してのＶＰＮポリシーのエントリ登録を行う（Ｓ２１）。ＰＭＳ１０ではポリシー検証機能部１２にて広域ＩＰ網ポリシーに照らし合わせ（Ｓ２２）、広域ＩＰ網ポリシーに違反していないか判断する（Ｓ２３）。
【００２９】
ここで、違反していた場合はエントリを中止し、ポリシー受付部１１を介してＶＰＮ管理者にその旨を通知する（Ｓ３０）。許可され、さらにエントリ登録されたＶＰＮポリシーがＶＰＮグループ内でのＶＰＮ間通信に関するものであると判断された場合（Ｓ２４，Ｓ２５）は通信相手先ＶＰＮポリシーの自動生成を行う（Ｓ２６）。この際、双方のＶＰＮが異なるアドレス体系を用いている場合は、ポリシーに記述されたアドレスの変換も同時に行う。
【００３０】
さらに通信相手先ＶＰＮのＶＰＮポリシー及び広域ＩＰ網ポリシーに照らし合わせ（Ｓ２６）、許可されれば（Ｓ２７）、ポリシー格納部１３にＶＰＮポリシーを格納し（Ｓ２９）、拒否されればエントリを中止し、ポリシー受付部１１を介してＶＰＮ管理者に結果を通知する（Ｓ３０）。
【００３１】
なお、同一ＶＰＮグループ内でないＶＰＮ間通信と判断された場合（Ｓ２４，Ｓ２５）は、自ＶＰＮのＶＰＮポリシーのみをポリシー格納部１３に格納する（Ｓ２９）。
【００３２】
エンドユーザがＶＰＮポリシーサービスを享受しようと欲した場合、エンドユーザは利用要求をＰＭＳ１０のポリシー受付部１１に送る（Ｓ４１）。ＰＭＳ１０は、まずポリシー検証機能部１２にてエンドユーザが所属するＶＰＮのＶＰＮポリシーと利用要求の照合を行い（Ｓ４２）、許可判断を行う（Ｓ４３）。不許可の場合、その旨をポリシー受付部１１を介してエンドユーザに通知して処理を終わる（Ｓ４９）。許可された場合、その利用要求がＶＰＮを跨るかどうかの判断を行う（Ｓ４４）。
【００３３】
跨っていなければＱｏＳ・セキュリティ制御を行う（Ｓ４８）。跨っていた場合、さらに要求がＶＰＮグループを跨るかどうかの判断を行い（Ｓ４５）、跨っていれば相手先ＶＰＮポリシーとの照合を行い（Ｓ４６）、許可判断を行う（Ｓ４７）。許可判断がされればＱｏＳ・セキュリティ制御を行い（Ｓ４８）、結果通知を行う（Ｓ４９）。
【００３４】
また、図１１は前述したＱｏＳ・セキュリティ制御に関する詳細フローチャートを示すものである。
【００３５】
前述したステップＳ４８で発出されたＱｏＳ・セキュリティ制御要求は共通プラットフォーム部１４にてＱｏＳ及びセキュリティ成分に分解され（Ｓ５１）、セキュリティ成分をセキュリティ制御装置６の設定情報に変換する（Ｓ５２）。さらに、その設定情報が既にセキュリティ制御装置６に登録されている内容かどうかを判断し（Ｓ５３）、未設定ならばセキュリティポリシー制御部１６を介してセキュリティ制御装置６に設定する（Ｓ５４）。
【００３６】
また、ＱｏＳ成分をＱｏＳ制御装置５の設定情報に変換し（Ｓ５５）、ＱｏＳポリシー制御部１５を介してＱｏＳ制御装置５に設定する（Ｓ５６）。設定結果はポリシー受付部１１を介してユーザに通知される（Ｓ５７）。
【００３７】
図１２に登録されたＶＰＮポリシーの閲覧画面の一例を、図１３にエンドユーザからのサービス要求の設定画面の一例を示す。
【００３８】
【発明の効果】
以上説明したように、本発明によれば、以下のような優れた効果を奏することができる。
（１）複数ユーザでリソースを共有する広域ＩＰ網上で、各々のＶＰＮの管理者のポリシーに基づいたセキュリティの高いＶＰＮ間通信を行うことが可能となる。
（２）ＶＰＮポリシーを階層的に管理することにより、ＶＰＮ管理者は管理下にあるＶＰＮのポリシーを柔軟に設定変更することが可能となり、ＶＰＮ網管理者及び広域ＩＰ網管理者の稼動が軽減される。さらに、複数のＶＰＮをグループ化し、仮想的な１つのＶＰＮのように見せることでＶＰＮ間のアドレス空間の相違やフィルタリング設定等を意識することなく、一人のＶＰＮ管理者がＶＰＮ間通信のＶＰＮポリシーを簡易に設定することが可能となる。
（３）ＶＰＮを跨るサービス要求に対し、ＱｏＳ制御に連動したＶＰＮ間接続等のセキュリティ制御を自動的に行う等、異なるサービスを制御するエレメントの制御装置を連携制御することにより、設定稼動の軽減と矛盾のない設定が可能となる。
【図面の簡単な説明】
【図１】従来のサービス変更の流れの概略を示すフローチャート
【図２】本発明の実施の形態の一例を示すネットワーク構成図
【図３】ＩＥＴＦ ｐｏｌｉｃｙ ＷＧの提案におけるＮＷポリシーの構成情報を示す説明図
【図４】本発明による階層化されたＶＰＮポリシー管理者と管理内容を示す説明図
【図５】ＶＰＮを跨ったサービス要求に対する検証のようすを示す説明図
【図６】本発明のＶＰＮポリシー管理装置の機能ブロック図
【図７】本発明によるサービス変更に関わるやり取りの概略を示す説明図
【図８】広域ＩＰ網ポリシー登録時のフローチャート
【図９】ＶＰＮポリシー登録時のフローチャート
【図１０】ユーザ要求発生時のフローチャート
【図１１】ＱｏＳ・セキュリティ制御に関する詳細フローチャート
【図１２】ＶＰＮポリシーの閲覧画面の一例を示す図
【図１３】サービス要求の設定画面の一例を示す図
【符号の説明】
１ａ，１ｂ，１ｃ，２ａ，２ｂ，２ｃ：ユーザ、３：広域ＩＰ網、４：網管理用ＮＷ、５：ＱｏＳ制御装置、６：セキュリティ制御装置、１０：ＶＰＮポリシー管理装置、１１：ポリシー受付部、１２：ポリシー検証機能部、１３：ポリシー格納部、１４：共通プラットフォーム部、１５：ＱｏＳポリシー制御部、１６：セキュリティポリシー制御部。
Claims (5)
- 広域ＩＰ網上に構築され、運用される仮想プライベートネットワークにおける利用規定の管理方法であって、
複数の仮想プライベートネットワーク毎に定める利用規定の管理を行い、
仮想プライベートネットワーク間通信時のエンドユーザからのサービス要求を、要求元の仮想プライベートネットワークの利用規定と、通信相手先の仮想プライベートネットワークの利用規定との双方で検証する
ことを特徴とする仮想プライベートネットワーク利用規定管理方法。 - 仮想プライベートネットワークの利用規定を、広域ＩＰ網の管理者と、少なくとも１つの仮想プライベートネットワークの管理権限を持つ管理者とで階層的に管理することを特徴とする請求項１記載の仮想プライベートネットワーク利用規定管理方法。
- 単一の仮想プライベートネットワークの管理権限を持つ管理者が複数の仮想プライベートネットワークを管理する場合、これらの仮想プライベートネットワーク間通信に関する仮想プライベートネットワークの利用規定を自動生成することを特徴とする請求項１記載の仮想プライベートネットワーク利用規定管理方法。
- エンドユーザからのサービス要求を、帯域保証制御や仮想プライベートネットワーク間接続に必要なセキュリティ制御等を行う各ネットワーク構成装置の制御装置の設定情報に変換して配信することを特徴とする請求項１記載の仮想プライベートネットワーク利用規定管理方法。
- 広域ＩＰ網上に構築され、運用される仮想プライベートネットワークにおける利用規定の管理装置であって、
広域ＩＰ網の利用規定及び仮想プライベートネットワークの利用規定を格納する格納部と、
広域ＩＰ網の利用規定と仮想プライベートネットワークの利用規程との矛盾や、仮想プライベートネットワーク間通信時のエンドユーザからのサービス要求と要求元及び通信相手先の仮想プライベートネットワークの利用規定との照合を含む登録済の仮想プライベートネットワークの利用規定とエンドユーザからのサービス要求との矛盾を検証する検証機能部と、
仮想プライベートネットワークの管理者からの利用規程の登録要求を受け付け、広域ＩＰ網の利用規定との検証結果に従って格納部に格納するとともに、エンドユーザからのサービス要求を受け付ける受付部と、
サービス要求の検証結果に従ってネットワーク構成装置の帯域保証制御装置及びセキュリティ制御装置に対する設定を行う制御部とを備えた
ことを特徴とする仮想プライベートネットワーク利用規定管理装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000057568A JP3621324B2 (ja) | 2000-03-02 | 2000-03-02 | 仮想プライベートネットワーク利用規定管理方法及びその装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000057568A JP3621324B2 (ja) | 2000-03-02 | 2000-03-02 | 仮想プライベートネットワーク利用規定管理方法及びその装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2001251307A JP2001251307A (ja) | 2001-09-14 |
| JP3621324B2 true JP3621324B2 (ja) | 2005-02-16 |
Family
ID=18578329
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000057568A Expired - Fee Related JP3621324B2 (ja) | 2000-03-02 | 2000-03-02 | 仮想プライベートネットワーク利用規定管理方法及びその装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3621324B2 (ja) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002056176A (ja) | 2000-06-01 | 2002-02-20 | Asgent Inc | セキュリティポリシー構築方法及び装置並びにセキュリティポリシー構築を支援する方法及び装置 |
| US8332483B2 (en) | 2003-12-15 | 2012-12-11 | International Business Machines Corporation | Apparatus, system, and method for autonomic control of grid system resources |
| JP2006333082A (ja) * | 2005-05-26 | 2006-12-07 | Nec Corp | グリッド通信システムおよび方法 |
| JP5111256B2 (ja) | 2008-06-23 | 2013-01-09 | 株式会社日立製作所 | 通信システムおよびサーバ装置 |
-
2000
- 2000-03-02 JP JP2000057568A patent/JP3621324B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2001251307A (ja) | 2001-09-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR100744213B1 (ko) | 자동 접속시스템 | |
| JP3901487B2 (ja) | Ｖｐｎサービス管理システム、ｖｐｎサービスマネージャ及びｖｐｎサービスエージェント | |
| US7925737B2 (en) | System and method for dynamic configuration of network resources | |
| CA2514004C (en) | System and method for controlling network access | |
| US8032630B2 (en) | Method and apparatus for comprehensive network management system | |
| US20020116721A1 (en) | Method and system of expanding a customer base of a data services provider | |
| US20010019559A1 (en) | System, method, and computer program product for end-user self-authentication | |
| US20020116638A1 (en) | System, method, and computer program product for supporting multiple service providers with an integrated operations support system | |
| US20060227786A1 (en) | System and Method for Interconnecting Multiple Virtual Private Networks | |
| CN101160775A (zh) | 通用网管安全管理系统、设备及方法 | |
| JP2000316025A (ja) | 通信品質保証型ネットワークシステム | |
| CN1860467A (zh) | 动态网络策略管理的系统和方法 | |
| WO2002006973A1 (en) | Method and apparatus for automated service provisioning across multiple networking technologies | |
| US6687832B1 (en) | Control of topology views in network management | |
| US20040250136A1 (en) | Method, a network access system, a network access client device, a network access trading device, and a computer software product for establishing a network connection | |
| CN112235239A (zh) | 基于区块链的sd-wan业务系统及其实现方法 | |
| US20020116484A1 (en) | System, method, and computer program product for supporting multiple service providers with a trouble ticket capability | |
| Nguyen et al. | COPS-SLS usage for dynamic policy-based QoS management over heterogeneous IP networks | |
| JP3621324B2 (ja) | 仮想プライベートネットワーク利用規定管理方法及びその装置 | |
| WO2000057296A1 (en) | A network resource administration server for provisioning services over a network | |
| JPH1028144A (ja) | アクセス制御機能付きネットワーク構成方式 | |
| EP1834448B1 (en) | Admission control in a telecommunication network | |
| CN101090515B (zh) | 一种宽带增值业务运营系统 | |
| CN100358326C (zh) | 宽带无线ip网络安全体系结构及实现安全的方法 | |
| CN100362804C (zh) | 一种在下一代网络中进行区域管理的方法和系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20040301 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20040720 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20040914 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20041116 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20041117 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20071126 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20081126 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091126 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101126 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |