JP3656134B2

JP3656134B2 - VPN selective connection gateway and communication method therefor

Info

Publication number: JP3656134B2
Application number: JP2000081569A
Authority: JP
Inventors: 広一中川; 正雄加納; 千善早瀬
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2000-03-23
Filing date: 2000-03-23
Publication date: 2005-06-08
Anticipated expiration: 2020-03-23
Also published as: JP2001268125A

Description

【０００１】
【発明の属する技術分野】
本発明は、ＡＤＳＬ等の常時接続型アクセス系において、同一ＬＡＮ内の複数のユーザ端末が同時に複数のＮＳＰ（ＮｅｔｗｏｒｋＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒ）への接続を可能にするＶＰＮ選択接続ゲートウェイおよびそれによる通信方法に関する。
【０００２】
【従来の技術】
従来より、既存の電話回線を利用して、電話と共存した映像伝送等のサービスを行うＡＤＳＬ（ＡｓｙｍｍｅｔｒｉｃＤｉｇｉｔａｌＳｕｂｓｃｒｉｂｅｒＬｉｎｅ）技術が知られている。例えば、米国の電話会社では、ＡＤＳＬ技術とディジタル映像圧縮技術のＭＰＥＧ１を利用して、電話サービスと一緒に映画等を呼び出して視聴できるビデオオンデマンドがある。
一方、公衆網を専用網のように利用できるサービスとしてＶＰＮサービス（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋＳｅｒｖｉｃｅ）（仮想私設網）が注目されている。すなわち、加入電話網をあたかも社内の内線電話のように利用でき、例えば２〜７桁の任意の電話番号を設定し、その番号で自由に電話できるようになる。これは、音声ネットワークのみならず、インターネットでもＶＰＮサービスを提供する事業者（例えば、ＮＳＰ（ＮｅｔｗｏｋＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒ）が出ている。
【０００３】
図６は、従来における常時接続ネットワークのシステム構成図である。
ＡＤＳＬ等の常時接続アクセス系におけるネットワークのシステム構成は、図６に示すように、ユーザ端末１−１，１−２からＡＤＳＬモデム（ＡＴＵ−Ｒ）２を経由してアクセス網９に接続され、さらにＤＳＬＡＭ（ＤｉｇｉｔａｌＳｕｂｓｃｒｉｂｅｒＬｉｎｅＡｃｃｅｓｓＭｕｌｔｉｐｌｅｘｅｒ（ディジタル加入者回線アクセス多重化装置））３とＡＴＭスイッチ４を経由してコア網１０に接続され、ＡＴＭスイッチ４を経由して接続先ＮＳＰ５−１，５−２に接続される。ＡＴＵ−Ｒ（ＡＤＳＬＴｒａｎｓｃｅｉｖｅｒＵｎｉｔ−Ｒｅｍｏｔｅ（ユーザ宅内側のＡＤＳＬモデム））２は、８に示すように、ＮＡＴ機能とＤＨＣＰサーバ機能とＨＴＴＰサーバ機能とを備えている。例えば、ユーザ端末１−１からＮＳＰまたは企業ＬＡＮのネットワーク５へ接続するためには、コア網にあるＡＴＭスイッチ４よりユーザが契約時に登録を行ったネットワークに固定的に設定され、契約ネットワークに接続される。ユーザ端末１−１から送信されたパケットは、ＡＴＵ−Ｒ２からＡＤＳＬ網９を通り、一旦はＤＳＬＡＭ３で終端された後、ＡＴＭスイッチ４により当該ネットワークに転送される。
【０００４】
なお、ネットワークの各ノードの下方に示す記号は、該当する位置にあるノードが備えているプロトコルスタックであって、レイヤーごとのプロトコル変換を示している。
なお、ＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）サーバは、ＴＣＰ／ＩＰを利用して通信する場合に、コンピュータにＩＰアドレスやデフォルト、ゲートウェイのアドレスを設定する必要があり、これを自動化するためのプロトコルとして、ＤＨＣＰサーバ上にＩＰアドレスやデフォルト・ゲートウェイのアドレスを登録しておく。また、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）サーバは、ＷＷＷブラウザとファイル等の情報を送受信するために用いるプロトコルを備えたサーバである。
このような構成では、契約時に登録を行ったネットワークに固定的に設定されているため、ユーザの希望する複数のネットワークをオンデマンドで選択することができないのは勿論のこと、複数のユーザ端末がそれぞれ異なるネットワークに接続することもできない。
【０００５】
【発明が解決しようとする課題】
前述のように、従来のＡＤＳＬ等の常時接続アクセス系では、契約時に登録を行ったネットワークに固定的に接続されてしまうため、接続先の選択を行ったり、同時に複数端末により接続先を選択して希望する企業またはＮＳＰに接続することができないという問題があった。
【０００６】
そこで、本発明の目的は、これら従来の課題を解決し、ＡＤＳＬ等の常時接続アクセス系を利用したコンピュータ通信において、接続先のオンデマンド選択（以下、選択接続サービスと記す）と、ユーザ側ＬＡＮの複数のコンピュータが複数のＮＳＰと同時に接続するサービス（以下、同時選択接続サービスと記す）とを実現することができるようなＶＰＮ選択接続ゲートウェイおよびそれによる通信方法を提供することにある。
【０００７】
【課題を解決するための手段】
上記目的を達成するため、本発明のＶＰＮ選択接続ゲートウェイは、ユーザ側に設置する装置として、アドレス解決とアドレス重複を検出するＤＮＳ機能と、送信元アドレス（ＳＡ）および送信先アドレス（ＤＡ）を変換するＴｗｉｃｅ−ＮＡＴ機能と、論理的に独立した複数のルータ機能を持つ仮想ルータ（ＶＲ）機能と、さらにＤＨＣＰ機能、ＨＴＴＰサーバ機能、ＲａｄｉｕｓＣｌｉｅｎｔ機能を備え、これらを組み合わせることにより接続先ネットワークとのＩＰアドレス重複を検出しながら、送信先ＩＰパケットのＳＡと重複があった場合のＤＡの変換も行い、ユーザ端末のＳＡを基準に選択するＶＲを用いて、要求された接続先ＮＳＰへパケットをルーティングする。
これにより、ユーザＰＣと接続ＮＳＰ内のＰＣのＩＰアドレスの重複を許容しながら、複数の接続先に任意に、かつ同時に接続することが可能になる。
【０００８】
【発明の実施の形態】
以下、本発明の実施例を、図面により詳細に説明する。
（第１の実施例）
図１は、本発明の第１の実施例を示すネットワーク構成のシステム構成図であり、図２は図１におけるＶＳＧ（ＶＰＮＳｅｌｅｃｔｉｏｎＧａｔｅｗａｙ）のパケット処理の説明図である。
第１の実施例では、ＶＳＧ６とＡＤＳＬモデム（ＡＴＵ−Ｒ）２とが別個に設けられた場合を示しており、第２の実施例のように、両者が一体化されていない。
図１に示すように、第１の実施例では、アクセス網９のＡＤＳＬモデム（ＡＴＵ−Ｒ）２の前段階に、８１に示すように、Ｔｗｉｃｅ−ＮＡＴ機能、ＶＲ機能（仮想ルータ機能）、ＤＮＳ（ＤｏｍａｉｎＮａｍｅＳｙｓｔｅｍＳｅｒｖｅｒ）サーバ機能、ＤＨＣＰサーバ機能、ＨＴＴＰサーバ機能およびＲａｄｉｕｓＣｌｉｅｎｔ機能を備えたＶＳＧ６を設置したことを特徴としている。なお、ＤＮＳサーバは、アドレス解決を行うサーバであり、Ｔｗｉｃｅ−ＮＡＴのＮＡＴとは、基本的にＳＡ（ＳｏｕｒｃｅＡｄｄｒｅｓｓ）のみをＰｒｉｖａｔｅ←→Ｇｒｏｂａｌの変換を行うが、Ｔｗｉｃｅ−ＮＡＴはＳＡのみならず、ＤＡ（ＤｅｓｔｉｎａｔｉｏｎＡｄｄｒｅｓｓ）についても、変換を行う。ＮＡＴの場合には、接続先のアドレス空間がＧｌｏｂａｌなものを想定している。接続先が社内ＬＡＮ等で、プライベートアドレスを用いている場合には、宅内ＬＡＮ側のプライベートアドレス空間とコンフリクトを起こす場合がある。そのため、ＳＡのみならず、ＤＡについても、アドレス変換を行い、アドレスがコンフリクトしないようにする。
ＤＮＳ（ＤｏｍａｉｎＮａｍｅＳｙｓｔｅｍ）機能は、ＴＣＰ／ＩＰネットワークでは、ドメインと呼ぶ論理的なグループを階層的に設定でき、論理グループ名称であるドメイン名をコンピュータの名前の一部に組み込んで利用している。ＤＮＳサーバは、ホスト名とＩＰアドレスの対応表を持っている。
また、ＲａｄｉｕｓＣｌｉｅｎｔ（ＲｅｍｏｔｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＤｉａｌ−ｉｎＵｓｅｒＳｅｒｖｉｃｅＣｌｉｅｎｔ）は、アクセスサーバ経由で送られてくるユーザＩＤとパスワードを、ユーザ情報の管理テーブルと突き合わせて認証の可否を、アクセスサーバに伝える。このサーバは、ユーザ毎にアプリケーション・サーバのアクセス権限を与えたり、課金情報を収集するなどの管理用サーバである。
【０００９】
図１では、パソコンＰＣ１−１がＮＳＰ＃１のＰＣ（図示省略）と通信し、ＰＣ１−２がＮＳＰ＃２のＰＣ（図示省略）と通信する例を示している。そのため、複数同時選択サービスを行うためには、複数のＰＰＰセッションを張る必要があり、そのためにＬ２ＴＰを用いている。ＰＰＰ（ＰｏｉｎｔｔｏＰｏｉｎｔＰｒｏｔｏｃｏｌ）は、２点間を接続してデータ通信する場合に利用するＷＡＮ用プロトコルである。
ユーザＰＣ１−１から送られたＩＰパケットは、ＳＡによりＶＲが選択され、ＤＨＣＰサーバにより割り当てられたプライベートアドレスをＮＡＴ機能を用いて、ＮＳＰから割り当てられたアドレスに変換する。ＤＮＳサーバにより接続先ＰＣとＩＰアドレスの重複が検出された場合には、ＤＡについても変換を行う。変換されたパケットは、指定のＶＣ（ＶｉｒｔｕａｌＣｈａｎｎｅｌ）を通ってＮＳＰに転送される。これと並行して、他のユーザＰＣが他のＮＳＰに接続要求する場合には、ＳＡを確認して、異なるＶＲを選択するために、複数のＰＣが同時に複数のＮＳＰに接続することが可能になる。
【００１０】
図２では、ＶＳＧにおいて、同時選択接続のためのパケット処理が行われる状態を示している。
図２において、６はＶＳＧ、６−１〜６−４はＶＳＧ６内に実装されたＤＨＣＰサーバ機能、ＲａｄｉｕｓＣｌｉｅｎｔ機能、ＨＴＴＰサーバ機能、およびＤＮＳサーバ機能を示している。６−５〜６−９，６−６−１はＶＳＧ内の参照テーブルであり、詳細には、ＳＡ−ＶＲ対応テーブル６−５、ＶＲ（仮想ルータ）６−６−１、アドレス変換テーブル（プライベート側）６−７、アドレス変換テーブル（グローバル側）６−８、およびＡＲＰテーブル６−９である。６−１０はＬ２ＴＰ、７はダイアルアップだけでなく、ＡＤＳＬやＡＴＭを収容するためのアクセスサーバであるＢＡＳ（ＢｒｏａｄｂａｎｄＡｃｃｅｓｓＳｅｒｖｅｒ）を示している。
ＰＣ１−１，１−２，１−３の電源を投入すると、ＶＳＧのＤＨＣＰサーバ６−１からＩＰアドレスを取得する。なお、ここでは、ＤＨＣＰサーバがＰＣ１−１，１−２，１−３に与えるＩＰアドレスは、ＲＦＣ１９１８に定められた任意のクラスのプライベートアドレスとする。
【００１１】
図３は、本発明の第１の実施例を示すＶＰＮ選択接続ゲートウェイの動作シーケンスチャートである。
ＰＣ１−１は、予めＤＨＣＰにＩＰアドレスを要求し（１０１）、ＤＨＣＰサーバ６−１からＩＰアドレスを取得する（１０２）。
ＰＣ１−１，１−２，１−３がＷｅｂブラウザを用いてＨＴＴＰサーバ６−２に接続し（１０３）、サーバ６−２からＮＳＰ選択画面が表示されることで（１０４）、ＧＵＩ（ＧｒａｐｈｉｃａｌＵｓｅｒＩｎｔｅｒｆａｃｅ）により接続先ＮＳＰを選択し（ＶＲ決定）（１０５）、ユーザ名、パスワードを入力してＲａｄｉｕｓＣｌｉｅｎｔ６−３が選択した接続先ＮＳＰの認証サーバに認証要求を送出して（１０６）、認証を行う（１０８）。なお、認証動作は、接続先ネットワークのＲＡＳ（ＲｅｍｏｔｅＡｃｃｅｓｓＳｅｒｖｅｒ（ダイアルアップユーザを収容し、コア網へパケットを転送する装置））に問い合わせる。ユーザの認証が行われた場合、ＳＡ−ＶＲ対応テーブル６−５の選択ＶＲ名フィールドにＰＣの送出パケットのＳＡと対応付けられた接続ＮＳＰ用のＶＲ名が設定される（１０９）。例えば、ＳＡ：ａ→ＶＲ名：ＶＲ１に、ＳＡ：ｂ→ＶＲ名：ＶＲ２に、それぞれ変換される。同時に、ＮＳＰ側から割り当てられたＩＰアドレス（Ｇａ）とＰＣ１−１に割り当てられているプライベートアドレス（ａ）を対応付けるアドレス変換テーブル６−７を生成する（１１０）。ＰＣ１−２についても、同様に生成する。ＰＣ１−１，１−２が行ったＡＲＰテーブルの処理からＰＣのＩＰアドレスとＭＡＣアドレスを対応付けたＡＲＰテーブル６−９の生成を行う（１１１）。
【００１２】
次に、ＰＣ１−１がＮＳＰ＃１にＩＰパケットを送出する処理手順を述べる。
ＮＳＰ＃１のＰＣ５−１−１と通信するＰＣ１−１は、ＰＣ５−１−１の名前からそのＩＰアドレスを解決するために、ＤＮＳのｑｕｅｒｙパケット（Ｒｅｑｕｅｓｔパケットに対する返答）をＶＳＧ６のＤＳＮサーバ６−４に送信する（１１２）。ＶＳＧ６は、ＶＲ６−６−１により指定されている接続先ＮＳＰ５−１のＤＮＳサーバ５−１−２へ、ＰＣ１−１からのＤＮＳｑｕｅｒｙをフォワードする（１１３）。ＮＳＰ＃１のＤＮＳサーバ５−１−２から、ＰＣ５−１−１のＩＰアドレス（ａ′）がｒｅｓｐｏｎｓｅとして返送される（１１４）。なお、‘ａ’と‘ａ′’とは同じＩＰアドレスである。ところが、ここでＰＣ１−１とＰＣ５−１のＩＰアドレスが共に‘ａ’となって、重複が発生する。そこで、ＤＮＳサーバ６−４は、ＰＣ５−１−１のＩＰアドレス（ａ′）を他の任意のアドレス（Ｇｅ）に変換し、ＶＲ６−６−１のアドレス変換テーブル（グローバル側）６−８にそのマッピングを追加する（１１５）。
【００１３】
このように変更されたＤＮＳのｒｅｓｐｏｎｓｅパケットをＰＣ１−１に送信する（１１６）。これで、ＰＣ１−１の中では、ＰＣ５−１−１のＩＰアドレスは‘Ｇａ’と記憶される。今後、ＰＣ１−１からＰＣ５−１−１宛に送信されるＩＰパケットは、ＳＡ：ａ、ＤＡ：Ｇｅとして送信されることになる。送信されたパケットは、ＶＳＧ６においてパケットのＳＡから適切なＶＲが選択され、ＳＡとＤＡ双方の変換を行う（１１７，１１８）。すなわち、ＳＡ：ａ→Ｇａ、ＤＡ：Ｇｅ→ａ′に変換される。この変換により、パケットはアドレスａ′宛のものとして、Ｌ２ＴＰトンネリング６−１０を用いてＰＰＰ＃１を通り、ＤＳＬＡＭ３およびＢＡＳ７を経由してコア網１０に送出される（図１参照）。
【００１４】
ＮＳＰ＃１のＰＣ５−１−１から送出されるパケット（１１９）は、ＰＰＰ＃１を通りＶＳＧ６に送出され、ＶＳＧ６においてＳＡとＤＡの変換が行われる（ＳＡ：ａ′→Ｇｅ、ＤＡ：Ｇａ→ａ）（１２０）。そして、ＡＲＰテーブル６−９を参照してＰＣ１−１に送信される（１２１）。
同時に、ＰＣ１−２がＮＳＰ＃２と通信を行うことも可能である。ＰＣ１−２はＮＳＰ＃２を選択したものとする。全てのテーブルは、図４のシーケンスチャートに示すように設定され、ＰＣ１−２とその他のＰＣからの送信データは選択ＶＲが異なるため、送出先ＶＣ（ＶｉｒｔｕａｌＣｈａｎｎｅｌ）がＰＣ１−１とは独立している。そのため、ＰＣ１−１からの送出データとＰＣ１−２からの送出データとが混同されるという問題は生じない。
【００１５】
（第２の実施例）
図４は、本発明の第２の実施例を示すネットワークの構成図であり、図５は、図４において、ＡＴＵ−Ｒ機能を内蔵したＶＳＧを用いた常時接続ＡＤＳＬネットワークの図である。
なお、本実施例では、ＰＰＰｏｖｅｒＡＴＭを用いているが、ＩＰｏｖｅｒＡＴＭでも同様に行うことができる。
第２の実施例では、ＶＳＧとＡＴＵ−Ｒ機能を一体化した構成のＶＳＧ６ａを用いた場合を示している（図４の８２参照）。この場合には、第１の実施例とは異なって、ＶＳＧとＡＴＵ−Ｒの間のインターフェイスによる制約がないため、ＡＤＳＬのＡＴＭインターフェイスに直接パケットを転送することができる。すなわち、ＡＴＭ上で、複数ＶＣ（ＶｉｒｔｕａｌＣｈａｎｎｅｌ）を張ることができるため、図１で示したようにＰＰＰセッションを複数張るためＬ２ＴＰプロトコルを用いる必要がない。また、図５のＶＳＧ内の構成についても、図２におけるＬ２ＴＰ６−１０の代りにＡＴＵ−Ｒ機能６−１１が配置されている。それ以外の構成は、ほぼ同一である。
ＩＰパケットの送出処理シーケンスに関しては、図３に示す第１の実施例と同じであるが、ＶＲ（仮想ルータ）には送出先ＶＣ（ＶｉｒｔｕａｌＣｈａｎｎｅｌ）が記述されており、ＩＰパケットＶＣを経由してＢＡＳ７まで転送される点で異なっている。
【００１６】
【発明の効果】
以上説明したように、本発明によれば、ＤＮＳサーバ機能、ＨＴＴＰサーバ機能、ＲａｄｉｕｓＣｌｉｅｎｔ機能、ＤＨＣＰサーバ機能、ＳＡ＋ＶＲルーティング機能を実装したＶＰＮ選択接続ゲートウェイを設けることにより、ユーザ側ＬＡＮと接続するＮＳＰのアドレス重複が発生することがないため、複数のコンピュータが複数のＮＳＰに同時に接続することが可能になる。
【図面の簡単な説明】
【図１】本発明の第１の実施例を示す常時接続ＡＤＳＬネットワークの構成図である。
【図２】図１におけるＶＳＧの詳細構成図である。
【図３】本発明の第１の実施例を示すＡＤＳＬネットワークによる動作シーケンスチャートである。
【図４】本発明の第２の実施例を示す常時接続ＡＤＳＬネットワークの構成図である。
【図５】図４におけるＡＴＵ−Ｒ機能を内蔵したＶＳＧの詳細構成図である。
【図６】従来における常時接続ネットワークの構成図である。
【符号の説明】
１−１，１−２，１−３…ユーザＰＣ、５−１−１…ＮＳＰのＰＣ、
２…ＡＴＵ−Ｒ（ＡＤＳＬモデム）、３…ＤＳＬＡＭ、
４…ＡＴＭスイッチ（交換機）、５−１，５−２，５−３…ＮＳＰ、
６…ＶＳＧ、７…ＢＡＳ、
８１，８２…ＶＰＮ選択接続ゲートウェイ（ＶＳＧ）、
９…アクセス網、１０…コア網、６−１… ＤＨＣＰサーバ機能、
６−２…ＨＴＴＰサーバ機能、６−３…ＲａｄｉｕｓＣｌｉｅｎｔ機能、
６−４…ＤＮＳサーバ機能、６−５…ＳＡ−ＶＲ対応テーブル、
６−６−１…ＶＲ、６−７…アドレス変換テーブル（プライベート側）、
６−８…アドレス変換テーブル（グローバル側）、６−９…ＡＲＰテーブル、
５−１−２…ＮＳＰ側のＤＮＳサーバ。[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a VPN selective connection gateway that enables a plurality of user terminals in the same LAN to connect to a plurality of NSPs (Network Service Providers) at the same time in an always-connected access system such as ADSL and a communication method therefor.
[0002]
[Prior art]
2. Description of the Related Art Conventionally, an ADSL (Asymmetric Digital Subscriber Line) technique that uses an existing telephone line to provide services such as video transmission that coexists with a telephone is known. For example, in a US telephone company, there is a video-on-demand that allows users to call and view movies and the like together with a telephone service using the ADSL technology and the digital video compression technology MPEG1.
On the other hand, a VPN service (Virtual Private Network Service) (virtual private network) has attracted attention as a service that can use a public network like a private network. That is, the subscriber telephone network can be used as if it is an internal extension telephone, for example, an arbitrary telephone number of 2 to 7 digits can be set, and the telephone can be freely called by that number. This is not only a voice network but also a provider (for example, NSP (Network Service Provider)) that provides a VPN service on the Internet.
[0003]
FIG. 6 is a system configuration diagram of a conventional always-on network.
As shown in FIG. 6, the system configuration of the network in the always-on access system such as ADSL is connected to the access network 9 from the user terminals 1-1 and 1-2 via the ADSL modem (ATU-R) 2, Further, it is connected to the core network 10 via the DSLAM (Digital Subscriber Line Access Multiplexer) 3 and the ATM switch 4, and connected to the NSPs 5-1, 5-5 via the ATM switch 4. 2 is connected. The ATU-R (ADSL Transceiver Unit-Remote (ADSL modem inside the user's house)) 2 includes a NAT function, a DHCP server function, and an HTTP server function as shown in FIG. For example, in order to connect from the user terminal 1-1 to the network 5 of the NSP or the corporate LAN, the ATM switch 4 in the core network is fixedly set to the network registered by the user at the time of contract, and connected to the contract network Is done. A packet transmitted from the user terminal 1-1 passes through the ADSL network 9 from the ATU-R 2, is once terminated at the DSLAM 3, and then transferred to the network by the ATM switch 4.
[0004]
A symbol shown below each node of the network is a protocol stack provided in a node at a corresponding position, and indicates protocol conversion for each layer.
Incidentally, DHCP (DynamicHostConfigurationProtocol) server, when the communication using TCP / IP, IP address and default computer, it is necessary to set the address of the gateway, as a protocol for automating this, the DHCP server Register the IP address and default gateway address. An HTTP (Hyper Text Transfer Protocol) server is a server having a protocol used for transmitting and receiving information such as files to and from a WWW browser.
In such a configuration, since the network registered at the time of contract is fixedly set, it is not possible to select a plurality of networks desired by the user on demand. You cannot connect to different networks.
[0005]
[Problems to be solved by the invention]
As described above, in the conventional always-on access system such as ADSL, since it is fixedly connected to the network registered at the time of contract, the connection destination is selected or the connection destination is simultaneously selected by a plurality of terminals. There was a problem that it was not possible to connect to the desired company or NSP.
[0006]
Therefore, an object of the present invention is to solve these conventional problems, and in computer communication using an always-connected access system such as ADSL, on-demand selection of a connection destination (hereinafter referred to as a selection connection service), and a user-side LAN It is an object of the present invention to provide a VPN selective connection gateway and a communication method therefor that can realize a service in which a plurality of computers are simultaneously connected to a plurality of NSPs (hereinafter referred to as a simultaneous selective connection service).
[0007]
[Means for Solving the Problems]
In order to achieve the above object, the VPN selective connection gateway of the present invention, as a device installed on the user side, has a DNS function for detecting address resolution and address duplication, a source address (SA) and a destination address (DA). It has a Twice-NAT function for conversion, a virtual router (VR) function having a plurality of logically independent router functions, a DHCP function, an HTTP server function, and a RadiusClient function. While detecting IP address duplication, DA conversion is also performed when there is duplication with the SA of the destination IP packet, and the packet is sent to the requested connection destination NSP using the VR selected based on the SA of the user terminal. Route.
As a result, it is possible to connect arbitrarily and simultaneously to a plurality of connection destinations while allowing duplication of IP addresses of the user PC and the PC in the connection NSP.
[0008]
DETAILED DESCRIPTION OF THE INVENTION
Embodiments of the present invention will be described below in detail with reference to the drawings.
(First embodiment)
FIG. 1 is a system configuration diagram of a network configuration showing a first embodiment of the present invention, and FIG. 2 is an explanatory diagram of packet processing of the VSG (VPN Selection Gateway) in FIG.
In the first embodiment, a case where the VSG 6 and the ADSL modem (ATU-R) 2 are provided separately is shown, and the two are not integrated as in the second embodiment.
As shown in FIG. 1, in the first embodiment, as shown in 81, a Twice-NAT function, a VR function (virtual router function), and an ADSL modem (ATU-R) 2 of the access network 9 It is characterized by installing VSG 6 having a DNS ( Domain Name System Server) server function, a DHCP server function, an HTTP server function, and a Radius Client function. Note that the DNS server is a server that performs address resolution, and the NAT of Twice-NAT basically converts only Private Address (SA) from Private ← → Global, but Twice-NAT is not limited to SA. , DA ( Destination Address) is also converted. In the case of NAT, it is assumed that the address space of the connection destination is Global. When the connection destination is an in-house LAN or the like and a private address is used, there may be a conflict with the private address space on the home LAN side. Therefore, address conversion is performed not only for SA but also for DA so that the addresses do not conflict.
The DNS (Domain Name System) function allows a logical group called a domain to be set hierarchically in a TCP / IP network, and a domain name that is a logical group name is incorporated into a part of a computer name. . The DNS server has a correspondence table of host names and IP addresses.
A Radius Client (Remote Authentication Dial-in User Service Client) informs the access server whether or not authentication is possible by matching the user ID and password sent via the access server with the management table of user information. This server is a management server that grants access authority to the application server for each user and collects billing information.
[0009]
FIG. 1 shows an example in which the personal computer PC1-1 communicates with an NSP # 1 PC (not shown) and the PC1-2 communicates with an NSP # 2 PC (not shown). Therefore, in order to perform a plurality of simultaneous selection services, it is necessary to establish a plurality of PPP sessions, and therefore L2TP is used. PPP (Point to Point Protocol) is a WAN protocol used when data communication is performed by connecting two points.
For the IP packet sent from the user PC 1-1, VR is selected by the SA, and the private address assigned by the DHCP server is converted into an address assigned by the NSP using the NAT function. When the DNS server detects duplication of the connection destination PC and the IP address, DA is also converted. The converted packet is transferred to the NSP through a designated VC (Virtual Channel). In parallel, when other user PCs request connection to other NSPs, multiple PCs can connect to multiple NSPs at the same time in order to check SA and select different VRs. become.
[0010]
FIG. 2 shows a state in which packet processing for simultaneous selection connection is performed in the VSG.
In FIG. 2, 6 denotes VSG, 6-1 to 6-4 denote DHCP server function, Radius Client function, HTTP server function, and DNS server function implemented in VSG6. Reference numerals 6-5 to 6-9 and 6-6-1 are reference tables in the VSG. Specifically, the SA-VR correspondence table 6-5, the VR (virtual router) 6-6-1 , the address conversion table ( Private side) 6-7, address translation table (global side) 6-8, and ARP table 6-9. 6-10 indicates L2TP, 7 indicates not only dial-up but also BAS ( Broadband Access Server) which is an access server for accommodating ADSL and ATM.
When the PC 1-1, 1-2, 1-3 are powered on, the IP address is acquired from the DHCP server 6-1 of the VSG. Here, the IP address given to the PC 1-1, 1-2, 1-3 by the DHCP server is a private address of an arbitrary class defined in RFC1918.
[0011]
FIG. 3 is an operation sequence chart of the VPN selective connection gateway showing the first embodiment of the present invention.
The PC 1-1 requests an IP address from DHCP in advance (101), and acquires an IP address from the DHCP server 6-1 (102).
When the PC 1-1, 1-2, 1-3 connects to the HTTP server 6-2 using a Web browser (103), and the NSP selection screen is displayed from the server 6-2 (104), a GUI (Graphical) The connection destination NSP is selected by User Interface (VR decision) (105), the user name and password are input, and an authentication request is sent to the authentication server of the connection destination NSP selected by Radius Client 6-3 (106). (108). The authentication operation inquires to the RAS (Remote Access Server (device that accommodates dial-up users and transfers packets to the core network)) of the connection destination network. When the user is authenticated, the VR name for the connected NSP associated with the SA of the PC transmission packet is set in the selected VR name field of the SA-VR correspondence table 6-5 (109). For example, SA: a → VR name: VR1 and SA: b → VR name: VR2 are converted. At the same time, an address conversion table 6-7 for associating the IP address (Ga) assigned from the NSP side with the private address (a) assigned to the PC 1-1 is generated (110). The same is generated for PC1-2. The ARP table 6-9 in which the IP address and the MAC address of the PC are associated is generated from the processing of the ARP table performed by the PC 1-1 and 1-2 (111).
[0012]
Next, a processing procedure in which the PC 1-1 sends an IP packet to NSP # 1 will be described.
The PC 1-1 communicating with the PC 5-1-1 of the NSP # 1 sends a DNS query packet (response to the Request packet) to the DSN server 6 of the VSG 6 in order to resolve the IP address from the name of the PC 5-1-1. -4 is transmitted (112). The VSG 6 forwards the DNS query from the PC 1-1 to the DNS server 5-1-2 of the connection destination NSP5-1 specified by the VR6-6-1 (113). The IP address (a ′) of the PC 5-1-1 is returned as a response from the DNS server 5-1-2 of NSP # 1 (114). Note that 'a' and 'a''are the same IP address. However, the IP addresses of PC1-1 and PC5-1 are both “a”, and duplication occurs. Therefore, the DNS server 6-4 converts the IP address (a ′) of the PC 5-1-1 into another arbitrary address (Ge), and an address conversion table (global side) 6-8 of the VR6-6-1. The mapping is added to (115).
[0013]
The DNS response packet thus changed is transmitted to the PC 1-1 (116). Thus, in the PC 1-1, the IP address of the PC 5-1-1 is stored as “Ga”. In the future, IP packets transmitted from the PC 1-1 to the PC 5-1-1 will be transmitted as SA: a and DA: Ge. For the transmitted packet, an appropriate VR is selected from the SA of the packet in the VSG 6, and both SA and DA are converted (117, 118). That is, SA: a → Ga, DA: Ge → a ′. As a result of the conversion, the packet is addressed to address a ′ , passes through PPP # 1 using L2TP tunneling 6-10, and is sent to the core network 10 via DSLAM3 and BAS7 (see FIG. 1).
[0014]
The packet (119) sent from the PC 5-1-1 of NSP # 1 is sent to VSG6 through PPP # 1, and SA / DA conversion is performed in VSG6 (SA: a ′ → Ge, DA: Ga). → a) (120). Then, it is transmitted to the PC 1-1 with reference to the ARP table 6-9 (121).
At the same time, the PC 1-2 can communicate with NSP # 2. It is assumed that PC1-2 has selected NSP # 2. All the tables are set as shown in the sequence chart of FIG. 4, and transmission data from PC1-2 and other PCs have different selection VRs. Therefore, the destination VC (Virtual Channel) is independent of PC1-1. ing. Therefore, there is no problem that the transmission data from the PC 1-1 and the transmission data from the PC 1-2 are confused.
[0015]
(Second embodiment)
FIG. 4 is a block diagram of a network showing a second embodiment of the present invention, and FIG. 5 is a diagram of an always-on ADSL network using a VSG incorporating an ATU-R function in FIG.
In this embodiment, PPPoverATM is used. However, IPoverATM can be similarly used.
In the second embodiment, a case where a VSG 6a having a configuration in which the VSG and the ATU-R function are integrated is used (see 82 in FIG. 4). In this case, unlike the first embodiment, there is no restriction by the interface between the VSG and the ATU-R, so that the packet can be directly transferred to the ATM interface of ADSL. That is, since a plurality of VCs (Virtual Channels) can be established on the ATM, it is not necessary to use the L2TP protocol to establish a plurality of PPP sessions as shown in FIG. 5 is also provided with an ATU-R function 6-11 instead of the L2TP 6-10 in FIG. The other configuration is almost the same.
The IP packet transmission processing sequence is the same as that of the first embodiment shown in FIG. 3, except that a VR (virtual router) describes a destination VC (Virtual Channel) and passes through the IP packet VC. Is different in that it is transferred to BAS7.
[0016]
【The invention's effect】
As described above, according to the present invention, an NSP connected to a user-side LAN is provided by providing a VPN selective connection gateway that implements a DNS server function, an HTTP server function, a Radius Client function, a DHCP server function, and an SA + VR routing function. Thus, a plurality of computers can be connected to a plurality of NSPs simultaneously.
[Brief description of the drawings]
FIG. 1 is a block diagram of an always-on ADSL network showing a first embodiment of the present invention.
FIG. 2 is a detailed configuration diagram of the VSG in FIG. 1;
FIG. 3 is an operation sequence chart by the ADSL network showing the first embodiment of the present invention.
FIG. 4 is a block diagram of an always-on ADSL network showing a second embodiment of the present invention.
5 is a detailed configuration diagram of a VSG incorporating the ATU-R function in FIG.
FIG. 6 is a configuration diagram of a conventional always-on network.
[Explanation of symbols]
1-1, 1-2, 1-3 ... user PC, 5-1-1 ... NSP PC,
2 ... ATU-R (ADSL modem), 3 ... DSLAM,
4 ... ATM switch (exchange), 5-1, 5-2, 5-3 ... NSP,
6 ... VSG, 7 ... BAS,
81, 82 ... VPN selective connection gateway (VSG),
9 ... Access network, 10 ... Core network, 6-1 ... DHCP server function,
6-2 ... HTTP server function, 6-3 ... RadiusClient function,
6-4 ... DNS server function, 6-5 ... SA-VR correspondence table,
6-6-1 VR , 6-7 Address translation table (private side),
6-8 ... Address conversion table (global side), 6-9 ... ARP table,
5-1-2: DNS server on the NSP side.

Claims

Based on the connection request from the user terminal, an inquiry is made to the DSN server of the connection destination network, and duplication of the IP address is detected from the answer to the inquiry. If there is duplication, the IP address of the connection destination terminal is not used. Converting to an IP address, registering the converted IP address in a table, notifying the user terminal as the IP address of the terminal in the connection destination network,
A source address of an uplink packet addressed to the connection destination network from the user terminal is converted into an IP address distributed to the user terminal by the connection destination network, and is replaced with the non-overlapping address,
A communication method using a VPN selective connection gateway, wherein a plurality of logically independent routes are selected by a plurality of routing tables and the packet is transmitted.

A VPN connection device having a DHCP function of allocating and notifying an IP address in response to a request from a user terminal, and a VPN function including IP address conversion of a packet;
Based on the connection request from the user terminal to which the IP address is assigned by the DHCP function, the DNS function is used to inquire about the IP address of the connection destination terminal to the DSN server of the connection destination network. In addition to notifying the user terminal, when the duplication of the replied IP address is detected, the IP address is converted into an unused IP address and notified to the user terminal. The converted IP address and the IP before conversion DNS means for associating addresses with each other and registering them in the table;
HTTP server means for providing the user terminal with a GUI for selecting a connection destination network at the user terminal requested from the user terminal;
Authentication means for performing an authentication operation between the connection destination networks selected by the user terminal via the GUI provided by the HTTP server means;
If the transmission source address of the packet from the user terminal authenticated by the authentication means is converted by the NAT function and the transmission destination address of the packet is registered in the table by the DNS means, the transmission destination address is Twice-NAT means for converting to the IP address associated with the table;
The logically independent route to the connection destination network selected by the user terminal via the GUI provided by the HTTP server means is associated with the IP address of the user terminal and registered in the routing table, and the Twice A virtual routing means for selecting and sending out the packet from the user terminal whose header has been converted by the NAT means by selecting the logically independent route associated with the source IP address before conversion and the routing table;
A VPN selective connection gateway, characterized by comprising means for making a plurality of PPP connections.