JP4034710B2 - レイヤー３ｖｐｎシステム及びその構築方法 - Google Patents

Description

本発明は、レイヤー３プロバイダ提供ＶＰＮ（仮想私設網）（ＰＰ ＶＰＮ）のアーキテクチャおよびその構築方法に関する。

ＢＧＰ／ＭＰＬＳ ＶＰＮ、ＶＲ ＶＰＮおよびＭＰＬＳ １２ ＶＰＮなどのような実際のアプリケーションにおいて従来のＰＰ ＶＰＮアーキテクチャの異なった実行方法がある。ＢＧＰ／ＭＰＬＳ ＶＰＮ（スイッチ境界ゲートウェイ・プロトコルに基づいたマルチプロトコル・ラベル・スイッチ）、ＰＰ ＶＰＮについては、ＭＰＬＳ技術およびＢＧＰを備えた公衆網におけるＩＰ ＶＰＮサービスを送信するネットワークである。ＢＧＰ／ＭＰＬＳ ＶＰＮアーキテクチャは、主として、複数のサイトおよびＣＥデバイスを備える加入者のＶＰＮと同様に、ＩＳＰによって提供されるＰデバイスおよびＰＥデバイスから構築される、バックボーン・ネットワークを備える。

前記デバイスにおいて、Ｐ（供給者ルーター）デバイスは、主にＭＰＬＳを進める働きをする。ＰＥ（供給者エッジ・ルーター）デバイスは、ＭＰＬＳ／ＢＧＰ ＶＰＮサービスを実現する主要部で、それらが、加入者のＶＰＮの中でサイトの独立したリストを維持し、ＶＰＮトポロジーを検出し、また、ＢＧＰによって内部ＶＰＮルートを学習する。ＣＥ（カスタム・エッジ・ルーター）デバイスは共通のルーターであり、また、それらは、いかなるＭＰＬＳまたはＶＰＮのシグナリング又はプロトコルの支持なしで、加入者のＶＰＮからＰＥのサイトを接続する。

ＢＧＰ／ＭＰＬＳ ＶＰＮアーキテクチャでは、それらが複数のＶＰＮ（特に、ＰＥデバイスのキャパシティが小さい場合には）からのルートを集中させなければならないので、ＰＥデバイスは大規模配備におけるボトルネックであることがある。さらに、ほとんどの従来のＭＰＬＳ ＶＰＮモデルは平面モデルであり、ＰＥデバイスがネットワークにおいて存在するところならどこでも、そのデバイスの実行は他のものと同様であるべきである。このような環境では、ルーターが層ごとに集中するので、ＰＥがエッジの方へ拡張するように、より多くのルートを維持しなければならない。ネットワークがコア・コンベージ・アクセスアーキテクチャを使用した典型的なレイヤー３モデルのために、ネットワークが拡張するように、デバイスの実行は低下し、エッジへのネットワークの拡張の困難性をもたらす。前記問題点を解決するために、多重ＶＲＦ（ＶＰＮルーティング／転送インスタンス）スキームは、ＶＲＦ機能を届けるＣＥデバイスのキャパシティを増強することが提案されている。かかるデバイスはＶＣＥデバイスと呼ばれる。ネットワーキングでは、複数のＶＣＥデバイスおよびＰＥデバイスは分配されたＰＥを形成するために組み合わせられる。図１に示すように、複数のＶＲＦは、ＶＣＥの中で形成され、ＶＲＦは複数のＶＰＮサイトに相当する。各ＶＲＦにおいては、ＶＣＥデバイスに接続するいくつかの下方へインターフェースおよびＰＥデバイスに接続するべき上方へのインターフェースがある。ＰＥデバイスにおいては、同じＶＲＦが相応して形成され、各ＶＲＦは、ＶＣＥデバイスに接続する１つ以上のインターフェースを有している。このように、マルチＶＲＦ ＣＥデバイスは、複数のＣＥデバイスを実際にシミュレートし、個々の仮想ＣＥは複数のＶＰＮ加入者のアクセスのために互いに分離しているが、ＰＥデバイスは、マルチＣＥデバイスまたはＶＣＥデバイスにそれらが接続されるかどうか知ることができない。したがって、いかなる拡張も不必要である。スキームはＰＥデバイスの伸張性の問題点をある程度まで解決するが、また、不都合は明らかである、つまり：
１）制限されたインターフェースおよびＩＰアドレスリソースを消費する大量のインターフェース、サブ−インターフェースがＰＥとＶＣＥのデバイス間で必要である；
２）ＰＥとＣＥｓのデバイス上で複数のＶＲＦを形成しなければならず、それは重労働と反復の作業である。；
３）動的なルート・プロトコルが、ＰＥとＶＣＥのデバイス間のルートと交換に用いられる場合は、ＰＥおよびＶＣＥｓは、複数のインテンスを実行する必要があり、スタティック・ルートが用いられる場合は、配置は重労働作業である；
４）直接接続の代わりにトンネル・インターフェースがＰＥとＶＣＥとの接続に用いられる場合は、各ＶＲＦはトンネルを必要とし、リソースの大きい消費となる；
５）ＰＥデバイス上の負担を減らすＶＰＮメッセージを配送するために異なったＶＣＥｓが互いに接続された場合は、各ＶＲＦはインターフェース／サブ−インターフェースを必要とする。

本発明の目的は、前記のネットワークのための構築方法と同様に、より少数のリソースを消費し小さな配置を必要とする拡張可能なレイヤー３ＰＰ ＶＰＮシステムを提供することである。

上記目的を達成するために、本発明にかかるレイヤー３ＰＰ ＶＰＮシステムは、バックボーン・ネットワーク中のＰデバイスおよびＰＥデバイスと、加入者のＶＰＮの中のいくつかのサイトおよびＣＥデバイスと、を備え、前記ＶＰＮはさらにバックボーン・ネットワークにおけるエッジ・ルーターとしてのＰＥデバイス（ＨｏＰＥ）の階層を備え、バックボーン中のＰデバイスおよびＶＰＮの中のサイトとＣＥデバイスに接続され；
前記ＨｏＰＥは、互いに接続された下層ＰＥ（ＵＰＥ）および最高位のＰＥ（ＳＰＥ）を備え、前記ＵＰＥは、直接接続されたＶＰＮサイトへのルートの維持を保証し、ＶＰＮサイトへのルートに内部ラベルを割り当て、ＶＰＮルートを通るＳＰＥへのラベルを発行し、前記ＳＰＥは、サイトがＵＰＥを経由して接続されたＶＰＮ中の全てのルートの維持を保証し、ＵＰＥへのデフォルトＶＲＦ（ＶＰＮルーティング／転送インスタンス）ルート又は統合されたＶＲＦルートを発行し、ラベルを運搬し、
ラベルを用いて転送されるメッセージ間のインターフェース又はサブインターフェースは、前記ＵＰＥ及びＳＰＥ又は異なるＵＰＥに接続される。

前記ＨｏＰＥは、またＵＰＥとＳＰＥの間でいくつかの中間レベルのＰＥ（ＭＰＥ）を備え；
前記ＭＰＥは、サイトがＵＰＥを経由して接続されるＶＰＮの中ですべてルートを維持することについて保証し、デフォルトＶＲＦ（ＶＰＮルーティング／転送インスタンス）ルート又はあるいは集中されたＵＰＥへのルートを発行し、また、ＳＰＥから発行されたデフォルトＶＲＦルートによって運ばれたラベルを交換し、またＵＰＥにそれらを発行し、ＭＰＥがＶＲＦのためのデフォルト・ルートを生成した場合は、それはＭＰＥの上のＩＬＭ(インカミング・ラベル・マップ)を生成する。

本発明において構成する中のレイヤー３ＶＰＮの構築方法は：
バックボーン・ネットワークにおいてＨｏＰＥデバイスを配置し、前記ＨｏＰＥデバイスはバックボーン・ネットワークにおけるエッジ・ルーターとして機能し、バックボーン・ネットワークとサイトと加入者のＶＰＮの中のＣＥデバイスにおいてＰデバイスに接続され；
前記ＨｏＰＥは、互いに接続された下層ＰＥ（ＵＰＥ）および最高位のＰＥ（ＳＰＥ）を備え；そこに、ＵＰＥは、ＶＰＮサイトへのルートがそれらに直接接続し、ＶＰＮサイトへのルートに内部ラベルを配置し、ＶＰＮルートを通ってＳＰＥへのラベルを発行することを維持し、ＳＰＥは、サイトがＵＰＥを経由して接続されるＶＰＮの中の全てのルートを維持し、デフォルトＶＲＦ（ＶＰＮルーティング／転送インスタンス）ルートを発行し、ＵＰＥへのＶＲＦルートを集中させ、ラベルを搬送し、
インターフェースまたはサブ−インターフェース経由で互いに接続された前記ＵＰＥおよびＳＰＥ及びそれらの間のメッセージは、ラベルと共に転送される。

前記ＨｏＰＥは、またＵＰＥとＳＰＥの間でいくつかの中央のレベルのＰＥ（ＭＰＥ）を備え、前記ＭＰＥは、ＵＰＥによって接続されるＶＰＮ中のルートをすべて維持することを保証し、デフォルトＶＲＦ（ＶＰＮルーティング／転送インスタンス）あるいは，ＵＰＥへの集中ルートを発行し、また、ＳＰＥから発行されたデフォルトＶＲＦルートによって運ばれたラベルを交換し、ＵＰＥにそれらを発行し、ＭＰＥがＶＲＦのためのデフォルト・ルートを生成した場合は、それはＭＰＥの上のＩＬＭを生成する。

メッセージは、ＭＰ−ＢＧＰ（マルチプロトコル境界ゲートウェイ・プロトコル）を経由して互いに接続された前記ＳＰＥ、ＭＰＥ、ＵＰＥの間で交換することができる。

前記ＳＰＥ、ＭＰＥおよびＵＰＥが同じオペレーターによって管理される場合は、前記ＭＰ−ＢＧＰはＭＰ−ＩＢＧＰ（マルチプロトコル内部境界ゲートウェイ・プロトコル）であり；一方、それらが異なったオペレーターによって管理される場合は、前記ＭＰ−ＢＧＰはＭＰ−ＥＢＧＰ（マルチプロトコル外部の境界ゲートウェイ・プロトコル）である。

ＨｏＰＥでは、ＳＰＥは、それに接続されたＵＰＥのすべてのＶＲＦのインポート・ルート・ターゲット・リストの収集にしたがって、他のＰＥからのフィルタ・ルートへのグローバルなインポート・ルート・ターゲット・リストを生成する。

前記グローバル・インポート・ルート・ターゲット・リストは、ＳＰＥとＵＰＥの間で交換された情報にしたがって動的に生成される。また、生みだすプロセスは次のものを含んでいる：ＵＰＥは、ＯＲＦ（外向きのルート・フィルタ）情報を、ＢＧＰ用のルートリフレッシュ情報を通してこれらに接続されたＳＰＥへ発行し、ＯＲＦは拡張グループリストを含み、そのコンテンツはＵＰＥのすべてのＶＲＦのインポート・ルート・ターゲット・リストの集合であり、；前記ＳＰＥは、グローバルリストを生成するためにそれらに接続されたＵＰＥの拡張グループリストを集中させる。

ＨｏＰＥの中では、ＵＰＥが複数のＳＰＥと接続されているときは、ＳＰＥはすべて前記ＵＰＥへのデフォルトＶＲＦルートを発行し、また、ＵＰＥは好ましいルートとしてそれらから１つ選択し、または、ロードシェアリングを実行するために複数のルートを選択する。ＵＰＥが複数のＳＰＥへのＶＰＮルートを出すときに、それは、ロードシェアリングを実行するためにすべてのＳＰＥへのＶＰＮルートまたは各ＳＰＥへの部分的なＶＰＮルートをすべて発行する。

ＨｏＰＥの中で、２つのＵＰＥが互いに接続されているとき、サイトを可能にするために他方へのＶＰＮルートをすべて発行し、サイトは２つのＵＰＥによって接続される。

本発明は、バックボーン・ネットワークにおける、および従来の多重ＶＲＦスキームに対するエッジ・ルーターとしてＨｏＰＥデバイスを使用する。それは次の長所を持つ：
１）１つのインターフェースまたはサブ−インターフェースだけがＳＰＥとＵＰＥとの間で必要であり、制限されたインターフェースおよびＩＰアドレス資源を保存する；
２）ＵＰＥ上に形成されたＶＲＦは、ＳＰＥの上で繰り返し再構成されることが不必要であり、それは配置作業の省略となる；
３）ＭＰ−ＢＧＰは交換ルートを使用され、ＳＰＥとＵＰＥの間でラベルが発行されるため、各ＵＰＥのために反対側の存在が１つのみ必要となり、頭上のプロトコルおよび配置作業を少なくすることができる；
４）ネットワーク（特にＭＰＬＳネットワーク）を介して配備を実行するために、ＳＰＥとＵＰＥは、トンネル・インターフェースのような、いずれかのタイプのインターフェースまたはサブ−インターフェースを通って互いに接続される。その特徴は、階層的ＭＰＬＳ ＶＰＮ中の伸張性を増強する；
５）ＳＰＥの上の負担はＵＰＥの間で直接接続（正規でない接続）によって減らすことができる。更に、１つのインターフェース／サブ−インターフェースだけが２つのＵＰＥの間で必要であり、それはインターフェースとＩＰアドレスの資源を節約する；
６）ＭＰＬＳ ＶＰＮは層ごとに配置される。いくつかのＵＰＥの実行が十分でない場合、あるＭＰＥ又はＳＰＥがＵＰＥを下方へシフトするために付け加えられる。ＳＰＥのアクセス能力が十分でないときに、ＳＰＥはそのために加えられる。このように、ＰＥデバイスを原因とした問題点は解決される。

例として、ＢＧＰ（境界ゲートウェイ・プロトコル）で動作する従来のＭＰＬＳ ＶＰＮでは、ＣＥの分類およびＰＥデバイスは実行するオペレーターと加入者の間の管理境界設定にしたがって主として行われる。ＣＥ及びＰＥデバイスは、オペレーターと加入者の間の境界である。ＣＥ及びＰＥデバイスは、Ｅ−ＢＧＰ（外部の境界ゲートウェイ・プロトコル）またはＩＧＰ（内部ゲートウェイ・プロトコル）ルート・プロトコルを用いること、あるいはスタティック・ルートにより、ルート情報を交換する。それはＭＰＬＳをサポートすることあるいは、ＶＰＮを「知っている。」ことは、ＣＥデバイスに必要でない。ＰＥデバイスはそれらの間で、ＭＰ−ＢＧＰ（マルチプロトコル境界ゲートウェイ・プロトコル）によって、ルート情報を交換する。

ＢＧＰ／ＭＰＬＳ ＶＰＮでは、ＶＰＮは個々がＶＲＦ（ＶＰＮルーティング／転送インスタンス）に相当する複数のサイトを備える。ＶＲＦは主として、ＩＰルート・リスト、ラベル・フォワーディング・リスト、前記ラベル・フォワーディング・リスト及び管理情報（含むＲＤｓ（ルート識別者）、ルート・フィルタリング・ポリシー、メンバー・インターフェース・リストなど）を用いる一連のインターフェースを備える。加入者のサイトおよびＶＰＮの間には、１つから１つへのマッピング関係はない。つまり、サイトは複数のＶＰＮに属する。実際上、各サイトは独立したＶＲＦとして関係している。ＶＰＮの中のサイトに対応するＶＲＦは、現実にサイト用のＶＰＮメンバーシップおよびルートポリシーの組み合わせである。メッセージ・フォワーディング情報は、ＩＰルート・リストおよび各ＶＲＦのラベルを進めるリスト中で格納される。システムは、ＶＰＮの外からのデータの侵入と同様にＶＰＮからのデータ漏洩を回避するために、ルート・リストと各々ＶＲＦのラベル・フォワーディング・リストの独立を維持する。

ＶＰＮ−ＩＰｖ４アドレスがＶＰＮの中で用いられると仮定し、ＰＥがＣＥｓから受け入れられたルートは、ＩＰｖ４ルートであり、またＶＲＦルート・リストへインポートされるべきである。その場合、追加のＲＤは付加されるべきである。実際の実施では、同じＲＤは、同じサイトからのすべてのルートの準備ができている。

ルートによって運ばれた特性では、ルートターゲット特性は、ルートを用いることができるすべてのサイトの収集、つまり、どのサイトがそのルートを受け入れることができるか、また、ＰＥルーターは、サイトからのどこのルートを受け入れることができるか、を同定する。ルートターゲットの中で指定されたサイトに接続されたすべてのＰＥルーターは、ルートを受け入れるだろう。ＰＥルーターがその特性を含んでいるルートを受け入れるときに、それらは対応するルート・リストへそれらを付随する。ＰＥルーターは、特性を含んでいる２つの収集を有している：１つの収集はサイトから受け入れられたルートへ添付されることになっており、それはエクスポートターゲットと呼ばれる；もう１つの収集はサイトのルート・リストへどのルートをインポートすることができるか決めるために用いられ、それはインポートターゲットと呼ばれる。ＶＰＮメンバーシップは、ルートによって運ばれたルートターゲット財産との一致によって得ることができる。一致したルートターゲット財産は、ＰＥルーターによって受け入れられたルート情報をフィルタに用いる。

ＰＥデバイスが複数のＶＰＮからのルートを集中させなければならないので、それらは、特に小さなキャパシティのＰＥデバイスが用いられた時において、大規模配備におけるボトルネックであることがある。その問題点を解決するために、複数のＰＥデバイスが、階層的なＰＥ（ＨｏＰＥ）を形成するために本発明の中で用いられ、中央のＰＥデバイスの機能を搬送するために、それは異なった役割をとり、互いに協働する。ＳＰＥについては、ルーティング及びフォワーディング実行が比較的より高くあるべきであり、一方、ＵＰＥに対しては、対応する実行はより低いことがある。かかるアーキテクチャは、階層的ＢＧＰ／ＭＰＬＳ ＶＰＮの中の拡張性を増強することができる。

本発明は、次の図面にさらに詳細に記載される。

本発明のＰＰ ＶＰＮは、複数のサイトおよび加入者のＶＰＮの中のＣＥデバイスと同様にバックボーン・ネットワークにおけるＰデバイスおよびＰＥデバイス、およびＨｏＰＥデバイスを備える。また、それは、そこでＰＥ（ＨｏＰＥ）の階層を備えるか、前記のＨｏＰＥデバイスはバックボーン・ネットワークにおけるエッジ・ルーターとして機能し、ＶＰＮの中のサイトおよびＣＥデバイスと同様にバックボーン・ネットワークにおけるＰデバイスに接続され；前記ＨｏＰＥデバイスは、そこで互いに接続された下層ＰＥ（ＵＰＥ）および最高位のＰＥ（ＳＰＥ）を備える。スキームでは、ＰＥはＣＥだけでなくＰＥも接続することができる、また、図２に示されるように、それはＭＰＬＳ ＶＰＮと呼ばれる。接続されたネットワークおよび元のネットワークはフレームワーク構造（つまりＰＥ（ＨｏＰＥ）の階層）を組織する。図２では、複数のＵＰＥとＳＰＥは、従来のＰＥの機能を届けるためにＨｏＰＥを構築する：ここで、ＵＰＥは、ＶＰＮの中の他のリモートサイトへのルートではなくそれらにＶＰＮサイトへのルートが直接接続するか、単に集中したルートの維持を保証する。；ＳＰＥは、ＶＰＮの中で、ＵＰＥ（ローカルルートおよびリモートサイトにおけるルートを含んで）によって接続しているルートのすべての維持を保証する。

ＵＰＥはサイトに直接集まったルートに内部ラベルを割り当て、また、それらは、ＶＰＮルートを通ってＳＰＥへの前記ラベルを発行する；ＳＰＥはリモートサイトからＵＰＥまでルートを発行しない、その代りに、デフォルトＶＲＦルート又はＵＰＥへの集中されたルートを発行し、またラベルを転送する。

ＭＰ−ＥＢＧＰまたはＭＰ−ＩＢＧＰはＵＰＥとＳＰＥの間で用いることができる。ＭＰ−ＩＢＧＰが用いられるときに、ＳＰＥはＵＰＥのためのルートリフレクター（ＲＲ）として機能する。また、ＵＰＥはＲＲクライアントとして機能する。しかしながら、ＳＰＥは他のＰＥのためのＲＲとして機能しない。ＭＰ−ＥＢＧＰが用いられるときに、通常、ＵＰＥは個人の自主的なシステム番号を用いる。

ルートはＵＰＥとＳＰＥの間のラベルで進められる。したがって、インターフェースまたはサブインターフェースだけが必要である。インターフェースまたはサブ−インターフェースは、物理的なインターフェースまたはサブ−インターフェース（ＶＬＡＮ、ＰＶＣ（永久の仮想チャンネル）のような）であるか、またはトンネル・インターフェース（ＧＲＥ（一般的なルート・カプセル化プロトコル）またはＬＳＰ（ラベル存在経路）のような）でありえる。トンネル・インターフェースが用いられるときに、ＩＰネットワークまたはＭＰＬＳネットワークはＳＰＥとＵＰＥの間に存在することがある。

外部から観察されると、ＨｏＰＥは従来のＰＥと同一である。したがって、それらはＭＰＬＳネットワークにおける他のＰＥで共存することができる。制限のない他のＰＥを備えたより大きなＨｏＰＥを構築するために、ＨｏＰＥはＵＰＥまたはＳＰＥとして機能することがある。

図３は、サイト１（ＰＥに接続した）から遠隔のサイト２までデータの流れと制御の流れを図示する。図３では、ルートＤｅｓｔ／Ｍａｓｋがサイト２にあると仮定し、ＣＥ２はスタティック・ルート、ＩＧＰ、ＢＧＰを経由してＰＥ２にそれを発行する；その後、ＰＥ２は内部ラベルと共にそれを配置し、ＭＰ−ＩＢＧＰを経由してＳＰＥ１へそれを転送する。ＳＰＥ１の上にＶＲＦルート・リストＶＲＦ１が存在し、それは、サイト１に対応する。ＶＲＦ１は、サイト１が存在するところで、同じＶＰＮに属するすべてのサイトのルートを含んでいる（この場合、ＶＲＦ１は、サイト２のルートを含んでいる。）。ＵＰＥの上のルートを減じるために、ＳＰＥ１は、ＶＲＦ１のルートを集中させる（しかしながら、例外として、ＳＰＥ１は、デフォルト・ルート（それはＶＲＦ１に属し、デフォルトＶＲＦルートと呼ばれる）としてルートを集中させる。）。ＳＰＥ１は、各ＶＲＦのデフォルト・ルートを生成し、それらに異なった内部ラベルを分配する。その後、ＳＰＥ１はＭＰ−ＢＧＰを経由してＵＰＥにデフォルト・ルートを転送する。ＵＰＥとＣＥ１はスタティック・ルート、ＩＧＰ、ＢＧＰによってＩＰｖ４ルートを交換する。最も単純な場合では、ＣＥ１はデフォルト・ルートを経由してＵＰＥにアクセスする。

メッセージがＵＰＥに到着するときに、ＵＰＥは、ＣＥ１のためのＶＲＦによるデフォルトＶＲＦルートを探索し、内部ラベルを押し、ＳＰＥ１へメッセージを転送する。ＳＰＥ１はラベルをポップし、そのラベルに対応するＶＲＦルート・リストの中で探索し、特定のルートと一致した後、共通のＢＧＰ／ＭＰＬＳ ＶＰＮにしたがって流れを進め、内部／外部ラベルを押し、またそれらを転送する。

図４は、図３中でサイト２からサイト１までのデータの流れ及び制御の流れを示す。サイト１中の終点アドレスＤｅｓｔ／Ｍａｓｋはスタティック・ルート、ＩＧＰ、ＢＧＰを経由してＵＰＥに発行される。ＵＰＥはそのために内部ラベルを分配し、ＭＰ−ＢＧＰを経由してＳＰＥ１へのＶＰＮルートとしてラベルを発行する。当該ラベルがローカルエリアにおいて有効なので、ＳＰＥ１はラベルを交換し、次に、ＭＰ−ＩＢＧＰを経由してＰＥ２にＶＰＮルート（新しいラベルを備えた）を出す。また、ＰＥ２はＩＰｖ４ルートとしてルートをリストアし、ＣＥ２へのＩＰｖ４ルートを発行する。

メッセージ・フォワーディングでは、ＰＥ２はＣＥ２からのメッセージのために内部・外部ラベルを押し、ＭＰＬＳネットワークを通ってＳＰＥ１へメッセージを転送する。ＳＰＥ１は、内部ラベルをポップするかわりにメッセージのためのＳＷＡＰ操作を行う。その後、それはＵＰＥへメッセージ（ラベルを備えた）を転送する。ラベルはＵＰＥによってルートに分配される。その後、ＵＰＥは内部ラベルをポップし、ＣＥ１へそれを転送する。

比較によって、ＵＰＥとＳＰＥの間のルート交換およびデータ・フォワーディングは不均斉である。ＵＰＥのＶＰＮルートは全てＳＰＥに発行されるべきである；一方、ＳＰＥは、集中されたＶＰＮルート（デフォルトＶＲＦルートさえ）をＵＰＥに発行する。ＵＰＥからＳＰＥまで送られたメッセージについては、ラベルがポップされるべきであり、また、ＶＲＦフォワーディング・リストがサーチされるべきである； しかしながら、ＳＰＥからＵＰＥまで送られたメッセージについては、ラベルを進めるだけのことが必要である。

図２では、ＳＰＥとＵＰＥの間のＭＰ−ＢＧＰはＭＰ−ＩＢＧＰまたはＭＰ−ＥＢＧＰでありえる。それは、ＳＰＥとＵＰＥが同じオペレーターによって管理されるかどうかに依存する。そうである場合は、ＭＰ−ＩＢＧＰが用いられ、また、ＳＰＥは他のＰＥを除いてＵＰＥのためのルートリフレクターとして機能する。他のＰＥからのルートを拒絶するために、ルートはＶＰＮ中のＰＥに接続したサイトに属さず、ＳＰＥは、ＵＰＥのためのすべてのＶＲＦのインポート・ルート・ターゲット・リストの集中にしたがってＰＥから送られたルートをフィルタするためにグローバル・インポート・ルート・ターゲット・リストを生成する。そのグローバルリストは、ＳＰＥとＵＰＥの間で交換された情報にしたがって、動的に生成するか、または静的に形成する。

前記グローバルなリストの動的な生成に関しては、ＵＰＥが、ＢＧＰルート・リフレッシュ・メッセージを経由してＳＰＥへの１個の（外向きのルート・フィルタ）情報ＯＲＦを発行する。ＯＲＦは拡張したグループリスト（全てのＶＲＦのインポート・ルート・ターゲット・リストの集合であるコンテンツ）を含んでいる。ＳＰＥは、グローバルリストを形成するためにＵＰＥからの拡張されたグループリストを全て統合する。静的リストのために生成されたルールは、動的リストと同一のものである。

ＳＰＥとＵＰＥが異なったオペレーターに所属している場合、ＭＰ−ＥＢＧＰはそれらの間で実行される。グローバル・インポート・ルート・ターゲット・リストもＳＰＥの上で生成される。通常、ＵＰＥは個人の自主的なシステム番号を用いる。また、ＳＰＥが他のＰＥへのルートを発行するときに、システム番号が省略される。

ＳＰＥは、ＭＰ−ＩＢＧＰを経由していくつかのＵＰＥへ、及び、ＭＰ−ＥＢＧＰを経由して他のＵＰＥに接続することが許容される。

ＳＰＥからＵＰＥまで送られたデフォルトＶＲＦルートは、動的に発生するか、または静的に形成することができる。ＨｏＰＥデバイスに接続した全てのサイトに対応するＶＲＦのために、デフォルトＶＲＦルートはどう的に生成され、全てのＵＰＥに発行される。発行中に、フィルタリングは前記ＯＲＦにしたがって行われる。

ＳＰＥとＵＰＥは、いずれかのタイプのインターフェース又はサブ−インターフェースを通って、またはトンネル・インターフェースを通って、互いに接続する。接続がトンネル・インターフェースを経由して実行されるならば、ＩＰネットワークまたはＭＰＬＳネットワークはＳＰＥとＵＰＥの間に位置する。この場合、ＳＰＥとＵＰＥがＭＰ−ＢＧＰを経由して停止するので、ルートは、特別な取り扱いを行うことなくＳＰＥとＵＰＥの間で直接転送することができる。フォワーディングでは、ＵＰＥまたはＳＰＥから発行されたメッセージ（ラベル付き）は、トンネルを通って転送される。トンネルがＧＲＥトンネルであるならば、それはＭＰＬＳメッセージ用のカプセル化を指示するべきである；トンネルがＬＳＰであるならば、中間のネットワークはＭＰＬＳネットワークであるべきである。また、ＬＤＰ／ＲＳＶＰ−ＴＥのようないくつかのプロトコルはＵＰＥとＳＰＥ上で実行されるべきである。

本発明によるネットワークでは、前記ＨｏＰＥデバイスはＵＰＥとＳＰＥの間で複数の中央のレベルＰＥ（ＭＰＥ）を備える、すなわち、ＨｏＰＥは、またＵＰＥとして機能し、また、それは、その方法でそれはＳＰＥとして機能し、ＳＰＥを備えた新しいＨｏＰＥを形成し、また、それは複数のＵＰＥに新しいＨｏＰＥを形成する。この塊は終わりがない。更に、ＳＰＥは、また、個々のＵＰＥに接続することができる一方、ＵＰＥとして機能するＨｏＰＥに接続される。

図５に、ＭＰＥとＵＰＥの間と同様に、ＳＰＥとＭＰＥの間でもＭＰ−ＢＧＰは実行されるレイヤー３ＨｏＰＥの略図を示す。ＭＰ−ＢＧＰがＭＰ−ＩＢＧＰであるならば、ＳＰＥは個々のＭＰＥのためのルートリフレクターである。また、ＭＰＥは個々のＵＰＥのためのルートリフレクターである。ＭＰ−ＢＧＰは、ＵＰＥへのデフォルトＶＲＦルート又はＳＰＥ上の集中されたルートを発行するのみではなく、ＳＰＥへのＵＰＥ上の全てのＶＰＮルートを発行するために用いられる。したがって、ＳＰＥは、ルーターの数が最大であるＨｏＰＥからアクセスされる全てのサイト用のＶＰＮルートを維持する。；ＭＰＥはルーターの数はより大きい部分的なルートを維持する。；一方、ＵＰＥはそれらに直接接続したサイトへのＶＰＮルートのみを維持する。かかるアーキテクチャは、典型的なネットワークにおけるデバイスの能力を合わせることができ、高く拡張可能である。

ＳＰＥから発行されたデフォルトＶＲＦルートは、ラベルを搬送し、また、ラベルはＭＰＥの上で交換され、その後、ＵＰＥに発行される。ＭＰＥがＶＲＦのためのデフォルト・ルートを生成した場合は、それはＭＰＥの上のＩＬＭ（インカミング・レベル・マップ）を生成する。

図２の２層ＨｏＰＥと同様に、ＳＰＥは、不必要なＶＰＮルートからフィルタへのＵＰＥのためのグローバル・インポート・ルート・ターゲット・リストを生成する。詳細には、ＭＰＥは、ＵＰＥ上のすべてのＶＲＦのインポート・ルート・ターゲット・リストの集中にしたがってグローバル・ルート・ターゲット・リストを生成する。また、ＳＰＥは、個々のＭＰＥのグローバル・インポート・ルート・ターゲット・リストの集中にしたがって、グローバル・インポート・ルート・ターゲット・リストを生成する。生成は動的のことがありまたは静的のことがある。動的な場合では、ＭＰＥは、ＵＰＥからＯＲＦを経由してＳＰＥへ発行されたインポート・ルート・ターゲット・リストを搬送する。

メッセージが搬送される中で、ローカルＶＰＮサイトからのメッセージがＵＰＥに到着するときに、ＵＰＥは対応するＶＲＦの中のデフォルト・ルートをサーチし、ラベルを押し、ＭＰＥへメッセージを転送する。ＭＰＥはそのラベルをポップし、デフォルト・ルートのための対応するＶＲＦルート・リストの中をサーチし、次いで、ＳＰＥへメッセージを転送する。ＳＰＥはラベルをポップし、ＶＲＦリストの中をサーチし、内部／外部ラベルを押し、ＢＧＰ／ＭＰＬＳ ＶＰＮのための従来のフォワーディング流れにしたがって、メッセージを転送する。

メッセージがリモートサイトからＭＰＬＳネットワークを経由してＳＰＥに到着するとき、ＭＰＥが終点アドレスに内部ラベルを分配したので、ＳＰＥは、内部ラベルのためのＳＷＡＰ操作を行い、ＭＰＥへメッセージを転送する。同様に、ＵＰＥが終点アドレスに内部ラベルを分配したので、ＭＰＥはラベルをポップし、ローカルサイトへメッセージを転送する。

本発明のスキームでは、ＵＰＥは複数のＳＰＥに接続することができ、また、この場合、ＵＰＥは多重返還経路ＵＰＥと呼ばれる。複数のＳＰＥは、ＵＰＥへのデフォルトＶＲＦルートを発行し、また、ＵＰＥは、好適なルートとしてそれらの内の１つを選択するか、ロードシェアリングを実現するために多くのルートを選択する。これに反して、ＵＰＥが複数のＳＰＥへのＶＰＮルートを発行する場合は、それはすべてのＳＰＥへのすべてのルートを発行し、あるいは、ロードシェアリングをおこなうために個々のＳＰＥへの部分的なＶＰＮルートを発行する。

不正の接続は、ＳＰＥの助けなしでＵＰＥに接続されたサイト間の直接交信を可能にするために、２つのＵＰＥの間で確立することができる。

２つのＵＰＥは同じＳＰＥ又は異なるＳＰＥに接続することができる。

ＵＰＥは、ＭＰ−ＢＧＰを経由して他方へのそれら自身のＶＰＮルートを発行する。ＭＰ−ＩＢＧＰが用いられるならば、反対のＵＰＥはルートリフレクターとして形成されるべきでない。この場合、ＵＰＥはフォワーディング流れとして機能において共通のＰＥと同一である。ネットワークさえ前記ＵＰＥの間に存在することがある。メッセージは、トンネル（ＧＲＥまたはＬＳＰのような）の中でカプセル化され、また、１本のトンネルだけが必要となる。

特別の場合には、例えば、ＳＰＥは２つのＵＰＥ（ＵＰＥ１とＵＰＥ２）に接続され、また、２つのＵＰＥは、同じＶＰＮに属する２つのサイト（サイト１とサイト２）に接続される。２つのサイトはＳＰＥを経由して互いに伝達する。この場合、サイト１からのメッセージがＵＰＥ１に入った後、前方へのフローはフォローイングと表記され、ＵＰＥ１はＶＲＦ１のデフォルト・ルートにしたがってＳＰＥへメッセージを転送する。ＳＰＥはラベルをポップし、ＶＲＦルート・リスト中をサーチし、終点アドレスのためにＵＰＥ２によって配置された内部ラベルを押し、ＵＰＥ２に転送し、次いで、ＵＰＥ２はラベルをポップし、サイト２へ転送する。

他の場合では、ＳＰＥはＣＥとＵＰＥに接続され、その双方は、同じＶＰＮに属する２つのサイト（ＣＥ：サイト１、ＵＰＥ：サイト２）にそれぞれ接続される。この場合、サイト１とサイト２はＳＰＥを経由して互いに交信し、前方へのフローはフォローイングと表記され、また、サイト１からのメッセージ（ラベルなし）がＣＥを経由してＳＰＥに到着するときに、ＳＰＥはＶＲＦルート・リスト中をサーチし、ＵＰＥに分配されたラベルを押し、ＵＰＥに転送する。ＵＰＥはラベルをポップし、サイト２に転送する。サイト２からのメッセージがＵＰＥに到着したときに、それは、デフォルト・ルートにしたがってＳＰＥに到着する。ＳＰＥはラベルをポップし、ＶＲＦルート・リスト中をサーチし、ＣＥへのＩＰメッセージとしてメッセージを転送する。

前記の説明はＢＧＰ／ＭＰＬＳ ＶＰＮに基づく。レイヤー３ＰＰ ＶＰＮを実現するためには他の多くの方法がある。例えば、トンネル・プロトコルＭＰＬＳは、ＧＲＥ、ＩＰＳｅｃ（ＩＰ セキュア プロトコル）および他の同様のプロトコルと置き換えることができる。ＶＰＮ及びラベル分配プロトコルＭＰ−ＢＧＰはＬＤＰ及び他の同様のプロトコルと起きかえることができる。本発明は前記の場合に適している。

図１は、従来のＭＰＬＳ ＶＰＮの中の複数のＶＣＥ及びＰＥのコンビネーションから構成された分配されたＰＥアプリケーション環境のダイアグラムである。 本発明のＨｏＰＥアプリケーション環境のダイアグラムである。 サイト１（ＰＥに接続された）からリモートサイト２までデータの流れと制御ストリームを示す図である。 図３中でサイト２からサイト１へのデータの流れおよび制御ストリームを示す図である。 レイヤー３ＨｏＰＥデバイスの略図である。

Claims (10)

1. バックボーン・ネットワーク中のＰデバイスおよびＰＥデバイスと、加入者のＶＰＮの中のいくつかのサイトおよびＣＥデバイスと、を備え、前記ＶＰＮはさらにバックボーン・ネットワークにおけるエッジ・ルーターとしてのＰＥデバイス（ＨｏＰＥ）の階層を備え、バックボーン中のＰデバイスおよびＶＰＮの中のサイトとＣＥデバイスに接続された、レイヤー３ＰＰ ＶＰＮシステムであって、
   前記ＨｏＰＥは、互いに接続された下層ＰＥ（ＵＰＥ）および最高位のＰＥ（ＳＰＥ）を備え、前記ＵＰＥは、直接接続されたＶＰＮサイトへのルートの維持を保証し、ＶＰＮサイトへのルートに内部ラベルを割り当て、ＶＰＮルートを通るＳＰＥへのラベルを発行し、前記ＳＰＥは、サイトがＵＰＥを経由して接続されたＶＰＮ中の全てのルートの維持を保証し、ＵＰＥへのデフォルトＶＲＦ（ＶＰＮルーティング／転送インスタンス）ルート又は統合されたＶＲＦルートを発行し、ラベルを運搬し、
   ラベルを用いて転送されるメッセージ間のインターフェース又はサブインターフェースは、前記ＵＰＥ及びＳＰＥ又は、異なるＵＰＥに接続されたことを特徴とする、レイヤー３ＶＰＮシステム。
2. 前記ＨｏＰＥは、ＵＰＥとＳＰＥの間にさらにいくつかの中間レベルＰＥ（ＭＰＥ）を備え、
   前記ＭＰＥが前記ＶＲＦのデフォルト・ルートを生成し、前記ＭＰＥ上にＩＬＭを生成する場合には、前記ＭＰＥは、ＵＰＥを経由して接続された前記ＶＰＮ中のすべてのルートを維持し、デフォルトＶＲＦ（ＶＰＮルーティング／転送インスタンス）ルート又はＵＰＥへの統合ルートを発行し、ＳＰＥから発行されたデフォルトＶＲＦルートによって運搬されたラベルを置き換え、前記ラベルをＵＰＥに発行する、請求項１に記載のレイヤー３ＶＰＮシステム。
3. バックボーン・ネットワークにおけるエッジ・ルーターとして前記バックボーン・ネットワークの中にバックボーン・ネットワーク中のＰデバイスおよび加入者のＶＰＮ中のいくつかのサイト及びＣＥデバイスに接続したＨｏＰＥデバイスを配置し、前記ＨｏＰＥデバイスは、下層ＰＥ（ＵＰＥ）および最高位のＰＥ（ＳＰＥ）を備え、前記ＵＰＥは、直接ＵＰＥに接続されたＶＰＮサイトへのルートを維持し、ＶＰＮサイトへのルートに内部ラベルを割り当て、ＶＰＮルートを通ってＳＰＥへのラベルを発行し、前記ＳＰＥは、サイトがＵＰＥを経由して接続されたＶＰＮ中の全てのルートの維持を保証し、ＵＰＥへのデフォルトＶＲＦ（ＶＰＮルーティング／転送インスタンス）ルート又は統合されたＶＲＦルートを発行し、ラベルを運搬し、
   インターフェース又はサブインターフェースを経由して前記ＵＰＥ及びＳＰＥに接続し、当該間のメッセージをラベル付きで転送する、レイヤー３ＶＰＮを構築する方法。
4. 前記ＨｏＰＥは、さらに、ＵＰＥとＳＰＥの間でいくつかの中間レベルのＰＥ（ＭＰＥ）を備え、ＭＰＥがＶＲＦのためのデフォルト・ルートを生成し、ＭＰＥの上のＩＬＭを生成した場合は、前記ＭＰＥは、ＵＰＥを経由して接続されたＶＰＮの中ですべてルートを維持し、デフォルトＶＲＦ（ＶＰＮルーティング／転送インスタンス）ルート又はあるいはＵＰＥへの統合されたルートを発行し、また、ＳＰＥから発行されたデフォルトＶＲＦルートによって運ばれたラベルを置き換え、またＵＰＥに前記ラベルを発行することを特徴とする、請求項３に記載のレイヤー３ＶＰＮを構築する方法。
5. ＭＰ−ＢＧＰ（マルチプロトコル境界ゲートウェイ・プロトコル）が互いに接続された前記ＳＰＥ、ＭＰＥ、ＵＰＥの間でメッセージを交換するために用いられることを特徴とする、請求項４に記載のレイヤー３ＶＰＮを構築する方法。
6. 前記ＳＰＥ、ＭＰＥおよびＵＰＥが同じオペレーターによって管理される場合は、前記ＭＰ−ＢＧＰはＭＰ−ＩＢＧＰ（マルチプロトコル内部境界ゲートウェイ・プロトコル）であり、前記ＳＰＥ、ＭＰＥおよびＵＰＥが異なったオペレーターによって管理される場合は、前記ＭＰ−ＢＧＰはＭＰ−ＥＢＧＰ（マルチプロトコル外部の境界ゲートウェイ・プロトコル）である、請求項５に記載のレイヤー３ＶＰＮを構築する方法。
7. 前記ＨｏＰＥでは、前記ＳＰＥは、ＵＰＥのすべてのＶＲＦのインポート・ルート・ターゲット・リストの収集にしたがって、前記ＳＰＥに接続された他のＰＥからのルートをフィルタするためのグローバル・インポート・ルート・ターゲット・リストを生成する、請求項３，４，５又は６に記載のレイヤー３ＶＰＮを構築する方法。
8. ＳＰＥとＵＰＥの間で交換された情報にしたがって前記グローバル・インポート・ルート・ターゲット・リストを動的に生成するステップを備え、前記生成するステップは、さらに、ＵＰＥが、ＢＧＰ用のルートリフレッシュ情報を経由してＵＰＥに接続されたＳＰＥへのＯＲＦ（外向きのルート・フィルタ）情報を発行し、前記ＯＲＦは、ＵＰＥのすべてのＶＲＦのインポート・ルート・ターゲット・リストの集合である拡張グループリストを含み、前記ＳＰＥは、グローバルリストを生成するために前記ＳＰＥに接続されたＵＰＥの拡張グループリストを統合させることを含む、請求項７に記載のレイヤー３ＶＰＮを構築する方法。
9. 前記ＨｏＰＥの中では、ＵＰＥが複数のＳＰＥと接続されているときは、前記すべてのＳＰＥは前記ＵＰＥへのデフォルトＶＲＦルートを発行し、ＵＰＥは好ましいルートとして前記すべてのＳＰＥから１つ選択し、または、ロードシェアリングを実行するために複数のルートを選択し、前記ＵＰＥが複数のＳＰＥへのＶＰＮルートを発行するときに、ロードシェアリングを実行するためにすべてのＳＰＥへのＶＰＮルートまたは各ＳＰＥへの部分的なＶＰＮルートをすべて発行する、請求項８に記載のレイヤー３ＶＰＮを構築する方法。
10. 前記ＨｏＰＥの中で、２つのＵＰＥが互いに直接接続されているとき、前記２つのＵＰＥのいずれかは、前記２つのＵＰＥが直接交信することにより接続された他のサイトへのＶＰＮルートをすべて発行する、請求項９に記載のレイヤー３ＶＰＮを構築する方法。

Images