JP4202286B2 - Ｖｐｎ接続制御方法及びシステム - Google Patents

Description

本発明は、複数のネットワークを接続して広域なネットワークサービスを提供するネットワークシステムの技術に関し、特に、多数のイーサネット（登録商標）技術を有するネットワークをグループ化することにより、そのグループ内で仮想的に閉域な接続を提供し、さらに、グループ間の相互接続を提供するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）サービスに好適なイーサネット（登録商標）通信におけるＶＰＮ接続制御技術に関するものである。

現在、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）技術をＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）サービスに展開したレイヤ２ＶＰＮサービス（広域イーサネット（登録商標）サービス）が、企業のイントラネット構築のために広く用いられている。このレイヤ２ＶＰＮサービスは、特にレイヤ３以上のプロトコルがレイヤ３ＶＰＮ（ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）−ＶＰＮ）のようにＩＰに限定されないこと、及び加入者拠点に設置される装置とサービスプロバイダ側に設置される装置とがレイヤ２の機能までを実現するため、価格が安く、設定及び運用コストが低いことから、従来のレイヤ３ＶＰＮサービス（ＩＰ−ＶＰＮサービス）に置き換わってきている。レイヤ２ＶＰＮサービスは、レイヤ２におけるＣＵＧ（Ｃｌｏｓｅｄ Ｕｓｅｒ Ｇｒｏｕｐ）通信を行うためのＶＬＡＮ（Ｖｅｒｔｕａｌ ＬＡＮ）タグを階層化することによって、プロバイダが定義する企業単位のＣＵＧとユーザが定義するイントラネット内のＣＵＧとを階層的に構成することができる。

ここで、ＣＵＧ内でセキュアな通信を実現する必要性から、ＣＵＧをＶＬＡＮタグにより論理的に分離したいという要求がある。また、業務フローの効率化を図るために、社内の複数の部署や社外におけるＣＵＧ間で通信を行いたいという要求もある。

しかしながら、従来は、それぞれのＣＵＧが、ＶＬＡＮにより固定的に分離されているため、ルータやレイヤ３スイッチ等のレイヤ３転送機能を有する装置を設定し、ＣＵＧ間を相互に接続する必要があった。この場合、接続されるＣＵＧ対毎に物理的または論理的なルータが必要となるため、加入者側は設備投資が増加し、プロバイダ側はサービス提供コストが増大するという問題があった。また、レイヤ２ＶＰＮサービスは、レイヤ３以上のプロトコルを自由に選択または組み合わせて使用できるという利点があるが、レイヤ３による接続サービスを提供するとなると、特定のレイヤ３プロトコル（例えば、ＩＰ）以外のプロトコルを使用して通信を行うことができなくなるという問題があった。

これに対して、例えば、レイヤ２によるＣＵＧ間の接続を可能にする改良技術が、本出願時に未公開である特許出願の特許請求の範囲及び明細書に記載されている（特願２００４−９４８２号公報の請求項８及び９を参照）。具体的には、プロバイダ網におけるレイヤ２のエッジ転送装置において、加入者網からユーザＭＡＣフレームを受信した場合に、当該フレームにおける加入者ポートとＶＬＡＮタグとにより、接続するＶＰＮと当該ＶＰＮ内のＶＬＡＮとを選択する。

しかし、前述の改良技術では、ＶＰＮ接続設定が固定的である。そのため、当該レイヤ２ＶＰＮサービスに加入している任意のユーザが任意の加入者網から特定のＶＰＮへの接続を可能にするサービスを提供するには、加入者網装置及びプロバイダ網装置に対して、ＶＰＮサービスを提供している全てのＶＰＮ／ＶＬＡＮの設定を予め行う必要があり、管理コストの低減やスケーラビリティの向上が困難であった。

また、前述のサービス（ユーザが任意の加入者網から特定のＶＰＮへと接続を可能にするサービス）を提供するために、動的なＶＰＮ／ＶＬＡＮ接続制御を実現する技術が開示されている。例えば、ユーザの生理学的特性または行動特性を検査することにより、バイオメトリックシステムが、ユーザの識別を確認し、ユーザによりアクセス可能なＶＬＡＮをユーザ識別データとして決定し、当該ユーザ識別データをスイッチングノードに提供する。これにより、そのＶＬＡＮに対応するネットワークインターフェースを使用することが可能になる（例えば、特許文献１を参照。）。

しかし、この動的なＶＰＮ／ＶＬＡＮ接続制御を実現する技術では、加入者網装置がＶＰＮ／ＶＬＡＮの接続制御を行うため、異なるＶＰＮ間でＶＬＡＮ−ＩＤが重複した場合には、それらのＶＬＡＮ−ＩＤを区別することができないという問題があった。

また、通信端末の接続時に、網内情報管理装置が、通信端末から通知された認証情報と、アクセス認証情報管理データベースに格納されている認証情報とを比較し、当該通信端末が正規ユーザであることを確認した場合には、空き状態にあるＶＬＡＮ−ＩＤを網内識別子として設定し、そして、無線アクセスポイントまたはエッジスイッチが、前記通信端末から送信されたデータフレームに前記ＶＬＡＮ−ＩＤを登録する技術が開示されている（例えば、特許文献２を参照。）。

しかし、前述の技術では、網が通信端末に割り当てるＶＬＡＮ−ＩＤを管理するため、ＶＰＮ毎にユーザ独自のＶＬＡＮ−ＩＤを構成することができなかった。また、ＶＰＮ毎にＶＬＡＮ−ＩＤを管理し払い出す機能を網に追加したとしても、同一の加入者網に異なるＶＰＮの通信端末が接続され、当該通信端末におけるそれぞれのＶＬＡＮ−ＩＤが重複した場合には、前記通信端末の通信を区別することができないという問題があった。

特開２００２−３７３１５３号公報（段落〔０００８〕〔０００９〕） 特開２００３−２４９９４７号公報（段落〔０００５〕）

そこで、本発明は、上記の問題を解決するためになされたものであり、その目的は、レイヤ２ＶＰＮサービスに加入している任意のユーザによる認証や切断の要求に連携して、加入者網内のＶＬＡＮ識別子を動的に割り当て及び解放することにより、任意の加入者網から特定のＶＰＮにおける特定のユーザ独自のＶＬＡＮへの接続や切断を可能とするＶＰＮ接続制御方法及びシステムを提供することにある。

本発明では、上記課題を解決するために、認証サーバに、ユーザの認証情報として、ユーザが接続権限を有する接続先ＶＰＮ識別子と接続先ＶＬＡＮ識別子とを保持する機能と、通知される認証要求に応じて、前記接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子を含む認証応答をエッジ転送装置へ通知する機能とを備えさせる。

また、加入者網転送装置に、ユーザ端末から送信されたレイヤ２ＶＰＮ接続を行う認証要求に応じて、当該加入者網において未使用の加入者網内ＶＬＡＮ識別子を生成する機能と、前記ユーザ端末が接続されているユーザ端末側ポートまたはユーザ端末の識別子と、加入者網内ＶＬＡＮ識別子とを対応付けて管理する機能と、ユーザ端末から送信されたレイヤ２ＶＰＮ接続の切断を行う切断要求に応じて、前記ユーザ端末が接続されているユーザ端末側ポートまたはユーザ端末の識別子と対応付けて管理している加入者網内ＶＬＡＮ識別子を解放する機能と、当該加入者網転送装置に接続されているユーザ端末の識別子を保持する機能と、ユーザ端末からのユーザＭＡＣフレームを所定時間の間受信しない場合に、前記ユーザ端末の識別子を抽出し、当該ユーザ端末識別子と対応付けて管理している加入者網内ＶＬＡＮ識別子を解放する機能と、加入者網内ＶＬＡＮ識別子をエッジ転送装置へ通知する機能とを備えさせる。

また、エッジ転送装置に、加入者網転送装置から通知された加入者網内ＶＬＡＮ識別子を認証サーバへ通知する機能と、加入者網転送装置から通知された加入者網内ＶＬＡＮ識別子と、認証サーバから通知された接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子とを対応付けて管理する機能と、加入者網転送装置から通知された加入者網内ＶＬＡＮ識別子と対応付けて管理している接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子を解放する機能とを備えさせる。

本発明によれば、予め接続設定がなされていないユーザ端末からの認証要求に連携して加入者網内ＶＬＡＮ識別子を割り当て、当該加入者網内ＶＬＡＮ識別子と接続先のＶＰＮ／ＶＬＡＮとを変換設定することにより、全ての加入者網転送装置及びエッジ転送装置に対して、ＶＰＮサービスを提供する全てのＶＰＮ／ＶＬＡＮの設定を予め行うことなく、任意の加入者網から任意のＶＬＡＮへの接続が可能となる。

また、本発明によれば、ユーザ端末からの切断要求に連携して加入者網内ＬＡＮ識別子を解放することにより、他のユーザ端末が解放された加入者網内ＬＡＮ識別子を再利用することができるため、その加入者網から接続することが可能なＶＰＮ／ＶＬＡＮの数が、ＶＬＡＮの表現により制限されている加入者網内ＬＡＮ識別子の制限数である４０９４個を有効に活用することが可能となる。

また、ユーザ端末からのユーザＭＡＣフレームが受信される間隔を監視し、所定時間の間受信しない場合にはユーザ端末がダウンしていると判断し、ＶＰＮ／ＶＬＡＮ接続設定の解除を行うことにより、ユーザ端末が切断要求を行わない場合であっても、ユーザ端末のダウンを検知し、加入者網内のＶＬＡＮの解放を行うことが可能となる。

本発明によれば、全ての加入者網転送装置及びエッジ転送装置に対して、ＶＰＮサービスを提供する全てのＶＰＮ／ＶＬＡＮの設定を予め行う必要がない。また、加入者網内のユーザ端末が未接続である場合には、加入者網内ＶＬＡＮ識別子を占有することはない。また、ユーザ端末がダウンした場合にも、当該ユーザ端末に対するＶＰＮ／ＶＬＡＮ接続設定が残存することはない。

以下、添付の図面を参照して、本発明の実施の形態における構成及び動作を説明する。
〔構成の説明〕
図１は、本発明の一実施形態であるＶＰＮ接続制御方法及びシステムの適用場面を示した構成図である。図中、コア網１は、複数のエッジ転送装置３Ａ，３Ｂ、及び当該エッジ転送装置３Ａ，３Ｂと接続される認証サーバ６を備えている。各エッジ転送装置３は、複数の加入者網転送装置４との間でアクセス網２を構成する。加入者網５Ａは、加入者網転送装置４Ａを介してエッジ転送装置３Ａと接続され、加入者網５Ｂは、加入者網転送装置４Ｂを介してエッジ転送装置３Ａと接続され、加入者網５Ｃは、加入者網転送装置４Ｃを介してエッジ転送装置３Ｂと接続され、加入者網５Ｄは、加入者網転送装置４Ｄを介してエッジ転送装置３Ｂと接続される。また、加入者網５Ａは、加入者が独自に使用しているＶＬＡＮである加入者ＶＬＡＮ５Ａ−１，５Ａ−２を、加入者網５Ｂは加入者ＶＬＡＮ５Ｂ−１，５Ｂ−２を、加入者網５Ｃは加入者ＶＬＡＮ５Ｃ−１，５Ｃ−２を、加入者網５Ｄは加入者ＶＬＡＮ５Ｄ−１，５Ｄ−２をそれぞれ構成する。

ここで、認証サーバ６は、ユーザの認証情報として、ユーザが接続権限を有するＶＰＮ識別子とＶＬＡＮ識別子を保持する。また、認証サーバ６は、加入者網５内のユーザ端末からの認証要求に応じて、前記ＶＰＮ識別子とＶＬＡＮ識別子をプロバイダ網内のＶＰＮ識別子（Ｐ−ＶＰＮ識別子）とプロバイダ網内のＶＬＡＮ識別子（Ｐ−ＶＬＡＮ識別子）として扱い、当該Ｐ−ＶＰＮ識別子とＰ−ＶＬＡＮ識別子をエッジ転送装置３へ通知する機能を有する。

図２は、本発明を実施する加入者網転送装置４の内部構成図である。図中、加入者網転送装置４は、ユーザ端末との間でユーザＭＡＣフレームを送受信する複数の端末側ポート（加入者網側ポート）１０Ａ，１０Ｂ、エッジ転送装置３との間でユーザＭＡＣフレームを送受信する単一のアクセス網側ポート１１、ＶＬＡＮテーブル１２、未使用ＶＬＡＮスタック１３、接続制御部１４、エージング機能部１５及び転送部１６を備えている。尚、前記ユーザＭＡＣフレームは、ＩＥＥＥ８０２標準に準拠したフレームである。

ＶＬＡＮテーブル１２は、図４（１）に示すように、「ユーザ端末識別子」と「加入者網内ＶＬＡＮ識別子（Ｕ−ＶＬＡＮ識別子）」とを対応付けて管理する機能を有する。

未使用ＶＬＡＮスタック１３は、当該加入者網転送装置４が設置されている加入者網５内において使用されていないＵ−ＶＬＡＮの識別子を保持する機能を有する。

接続制御部１４は、ユーザ端末から認証要求を受信した場合に、未使用ＶＬＡＮスタック１３から１つのＵ−ＶＬＡＮ識別子を取得し、ＶＬＡＮテーブル１２に対して、当該ユーザ端末の識別子とＵ−ＶＬＡＮ識別子とを対応付けて管理させる機能を有する。また、接続制御部１４は、未使用ＶＬＡＮスタック１３から取得したＵ−ＶＬＡＮ識別子を認証要求に記述し、エッジ転送装置３へプロキシする機能を有する。

さらに、接続制御部１４は、ユーザ端末から切断要求を受信した場合に、ＶＬＡＮテーブル１２から当該ユーザ端末の識別子と対応付けられたＵ−ＶＬＡＮ識別子を取得し、当該Ｕ−ＶＬＡＮ識別子を未使用ＶＬＡＮスタック１３に保持させ、ＶＬＡＮテーブル１２から前記ユーザ端末識別子及びＵ−ＶＬＡＮ識別子を削除する機能を有する。また、接続制御部１４は、未使用ＶＬＡＮスタック１３に保持させたＵ−ＶＬＡＮ識別子を切断要求に記述し、エッジ転送装置３へプロキシする機能を有する。

エージング機能部１５は、加入者網転送装置４がユーザ端末からユーザＭＡＣフレームを最後に受信してからの時間を、ユーザ端末の識別子毎に計時して管理し、当該時間が所定の閾値を超えた場合には、当該ユーザ端末の識別子をＶＬＡＮテーブル１２において保持しているか否かを検査する機能を有する。エージング機能部１５は、当該ユーザ端末識別子を保持していると判断した場合には、当該ユーザ端末識別子と対応付けられたＵ−ＶＬＡＮ識別子を未使用ＶＬＡＮスタック１３に保持させ、ＶＬＡＮテーブル１２から前記ユーザ端末識別子及びＵ−ＶＬＡＮ識別子を削除する機能を有する。また、エージング機能部１５は、未使用ＶＬＡＮスタック１３に保持させたＵ−ＶＬＡＮ識別子を含む解放要求をエッジ転送装置３へ通知する機能を有する。

転送部１６は、アドレス学習により、ユーザＭＡＣフレームの送信先ＭＡＣアドレスに応じたポート番号を保持する転送テーブル１６−１を備え、ユーザＭＡＣフレームを転送すべきポート番号を当該転送テーブル１６−１を用いて決定し、そのポートへユーザＭＡＣフレームを転送する機能を有する。

また、転送部１６は、端末側ポート１０からユーザＭＡＣフレームを受信した場合に、当該ユーザＭＡＣフレームの送信元ＭＡＣアドレスをキーとしてＶＬＡＮテーブル１２を検索し、ヒットしたエントリのＵ−ＶＬＡＮ識別子をＶＬＡＮタグとしてユーザＭＡＣフレームに付加する機能を有する。また、転送部１６は、転送テーブル１６−１を用いて決定したポート番号が端末側ポート１０であった場合には、受信したユーザＭＡＣフレームからＶＬＡＮタグを外して転送する機能を有する。

さらに、転送部１６は、アクセス網側ポート１１からユーザＭＡＣフレームを受信した場合に、当該ユーザＭＡＣフレームを転送するポートを転送テーブル１６−１を用いて決定し、当該ポートが端末側ポート１０であった場合には、受信したユーザＭＡＣフレームからＶＬＡＮタグを外して転送する機能を有する。

図３は、本発明を実施するエッジ転送装置３の内部構成図である。図中、エッジ転送装置３は、加入者網転送装置４との間でユーザＭＡＣフレームを送受信する複数の加入者側ポート２０Ａ，２０Ｂ、コア網１との間で中継ＭＡＣフレームを送受信する複数のコア網側ポート２１Ａ，２１Ｂ、ＶＰＮ／ＶＬＡＮ変換テーブル２２、接続制御部２３及び転送部２４を備えている。

ＶＰＮ／ＶＬＡＮ変換テーブル２２は、図４（２）に示すように、「加入者側ポート番号」及び「Ｕ−ＶＬＡＮ識別子」と、「Ｐ−ＶＰＮ識別子」及び「Ｐ−ＶＬＡＮ識別子」とを対応付けて管理する機能を有する。

接続制御部２３は、加入者網転送装置４から認証要求を受信した場合に、当該認証要求を受信した加入者側ポート２０のポート番号を「加入者側ポート番号」とし、認証要求に記述されたＵ−ＶＬＡＮ識別子を「Ｕ−ＶＬＡＮ識別子」とし、ＶＰＮ／ＶＬＡＮ変換テーブル２２に新たなエントリを作成する機能と、当該認証要求を認証サーバ６へプロキシする機能とを有する。

また、接続制御部２３は、認証サーバ６から認証応答を受信した場合に、当該認証応答に記述されたＶＰＮ識別子及びＶＬＡＮ識別子を、前記エントリの「Ｐ−ＶＰＮ識別子」及び「Ｐ−ＶＰＮ識別子」としてＶＰＮ／ＶＬＡＮ変換テーブル２２に保持させる機能と、当該認証応答を加入者網転送装置４へプロキシする機能とを有する。

また、接続制御部２３は、加入者網転送装置４から切断要求を受信した場合に、当該切断要求を受信した加入者側ポート２０のポート番号と認証要求に記述されたＵ−ＶＬＡＮ識別子とをキーとしてＶＰＮ／ＶＬＡＮ変換テーブル２２を検索し、ヒットしたエントリを削除する機能と、当該切断要求を認証サーバ６へプロキシする機能とを有する。

さらに、接続制御部２３は、加入者網転送装置４から解放要求を受信した場合に、当該解放要求を受信した加入者側ポート２０のポート番号と解放要求に記述されたＵ−ＶＬＡＮ識別子とをキーとしてＶＰＮ／ＶＬＡＮ変換テーブル２２を検索し、ヒットしたエントリを削除する機能を有する。

転送部２４は、加入者側ポート２０からユーザＭＡＣフレームを受信した場合に、当該加入者側ポート２０のポート番号とユーザＭＡＣフレームのＶＬＡＮタグとをキーとしてＶＰＮ／ＶＬＡＮ変換テーブル２２を検索する機能、及び受信したユーザＭＡＣフレームの転送先を決定する機能を有する。また、転送部２４は、転送先がコア網１である場合には、前記検索でヒットしたエントリのＰ−ＶＬＡＮ識別子をユーザＭＡＣフレームのＶＬＡＮタグと置換し、当該エントリのＰ−ＶＰＮ識別子をＶＰＮタグとしてユーザＭＡＣフレームに付加し、前記置換及び付加したユーザＭＡＣフレームを中継ＭＡＣフレームとして作成する機能、及び当該中継ＭＡＣフレームをコア網側ポート２１を介してコア網１へ転送する機能を有する。また、転送部２４は、転送先が加入者網５である場合には、前記検索でヒットしたエントリのＰ−ＶＬＡＮ識別子をユーザＭＡＣフレームのＶＬＡＮタグと置換し、当該置換したユーザＭＡＣフレームを加入者網転送装置４へ転送する機能を有する。

また、転送部２４は、コア網側ポート２１から中継ＭＡＣフレームを受信した場合に、当該中継ＭＡＣフレームのＶＰＮタグ及びＶＬＡＮタグをキーとしてＶＰＮ／ＶＬＡＮ変換テーブル２２を検索する機能を有する。また、転送部２４は、ヒットしたエントリのＵ−ＶＬＡＮ識別子を中継ＭＡＣフレームのＶＬＡＮタグと置換し、中継ＭＡＣフレームからＶＰＮタグを外し、中継ＭＡＣフレームをユーザＭＡＣフレームとして作成する機能と、当該ユーザＭＡＣフレームを加入者側ポート２０を介して加入者網転送装置４へ転送する機能を有する。

〔動作の説明〕
図５は、本発明の一実施形態であるＶＰＮ接続制御方法及びシステムの適用場面を示した動作を説明する図である。図５に示すネットワークの構成は図１に示した構成と同等であり、同じ機能を有する網または装置等には同一の番号を付す。図中、加入者網転送装置４Ａは、エッジ転送装置３Ａの加入者側ポート２０Ａ（ポート番号「１」）に接続され、加入者網転送装置４Ｂは、エッジ転送装置３Ａの加入者側ポート２０Ｂ（ポート番号「２」）に接続される。また、加入者網５Ａ及び加入者網５ＣはＶＰＮ１００を構成し、加入者網５Ｂ及び加入者網５ＤはＶＰＮ２００を構成する。

加入者網５Ａには、Ｕ−ＶＬＡＮ「１０」である端末５Ａ−１１（ＭＡＣアドレス：ｍａｃ−ａ１）が接続されており、端末５Ａ−２１（ＭＡＣアドレス：ｍａｃ−ａ２）は未だ接続されていないものとする。従って、端末５Ａ−２１にはＵ−ＶＬＡＮが割り当てられていない。また、加入者網５Ｂには、Ｕ−ＶＬＡＮ「１０」である端末５Ｂ−１１（ＭＡＣアドレス：ｍａｃ−ｂ１）及びＵ−ＶＬＡＮ「２０」である端末５Ｂ−２１（ＭＡＣアドレス：ｍａｃ−ｂ２）が接続され、加入者網５Ｃには、Ｕ−ＶＬＡＮ「１０」である端末５Ｃ−１１（ＭＡＣアドレス：ｍａｃ−ｃ１）及びＵ−ＶＬＡＮ「２０」である端末５Ｃ−２１（ＭＡＣアドレス：ｍａｃ−ｃ２）が接続され、加入者網５Ｄには、Ｕ−ＶＬＡＮ「１０」である端末５Ｄ−１１（ＭＡＣアドレス：ｍａｃ−ｄ１）及びＵ−ＶＬＡＮ「２０」である端末５Ｄ−２１（ＭＡＣアドレス：ｍａｃ−ｄ２）が接続されているものとする。

ここで、端末５Ａ−２１を使用するユーザのユーザＩＤ（ｕ−ＩＤ）が「××」であり、当該ユーザは、ＶＰＮ「２００」ＶＬＡＮ「１０」への接続権限を有しているものとする。すなわち、認証サーバ６の認証情報テーブル３０に、「ｕ−ＩＤ／××」「ＶＰＮ識別子／２００」「ＶＬＡＮ識別子／１０」が保持されている。また、認証サーバ６をＲａｄｉｕｓ（Ｒｅｍｏｔｅ ａｕｔｅｈｎｔｉｃａｔｉｏｎ ｄｉａｌ−ｉｎ ｕｓｅｒ ｓｅｒｖｉｃｅ）サーバとする。

図６は、ユーザ「××」が端末５Ａ−２１を用いて接続認証を行う前における、加入者網転送装置４ＡのＶＬＡＮテーブル１２及び未使用ＶＬＡＮスタック１３、並びにエッジ転送装置３ＡのＶＰＮ／ＶＬＡＮ変換テーブル２２の構成図である。ＶＬＡＮテーブル１２は、加入者網５Ａ内の端末であって既に接続認証済みの端末５Ａ−１１について、「ユーザ端末識別子」として端末５Ａ−１１のｍａｃアドレス「ｍａｃ−ａ１」を、「Ｕ−ＶＬＡＮ識別子」として端末５Ａ−１１のＶＬＡＮ「１０」をそれぞれ保持し、「ユーザ端末識別子／ｍａｃ−ａ１」と「Ｕ−ＶＬＡＮ識別子／１０」とを対応付けて管理している。一方、未接続である端末５Ａ−２１については、エントリを保持していない。

未使用ＶＬＡＮスタック１３は、加入者網５Ａ内で使用されているＵ−ＶＬＡＮ識別子「１０」以外の識別子を保持している。

ＶＰＮ／ＶＬＡＮ変換テーブル２２は、加入者網５Ａ内の端末であって既に接続認証済みの端末５Ａ−１１について、「加入者側ポート番号」として加入者網転送装置４Ａが接続されているポート番号「１」を、「Ｕ−ＶＬＡＮ識別子」として端末５Ａ−１１のＵ−ＶＬＡＮ「１０」を、「Ｐ−ＶＰＮ識別子」として端末５Ａ−１１のＰ−ＶＰＮ「１００」を、「Ｐ−ＶＬＡＮ識別子」として端末５Ａ−１１のＰ−ＶＬＡＮ「１０」をそれぞれ保持し、「加入者側ポート番号／１」及び「Ｕ−ＶＬＡＮ識別子／１０」と、「Ｐ−ＶＰＮ識別子／１００」及び「Ｐ−ＶＬＡＮ識別子／１０」とを対応付けて管理している。また、加入者網５Ｂ内の既に接続認証済みの端末５Ｂ−１１について、「加入者側ポート番号／２」及び「Ｕ−ＶＬＡＮ識別子／１０」と、「Ｐ−ＶＰＮ識別子／２００」及び「Ｐ−ＶＬＡＮ識別子／１０」とを対応付けて管理している。また、加入者網５Ｂ内の既に接続認証済みの端末５Ｂ−２１について、「加入者側ポート番号／２」及び「Ｕ−ＶＬＡＮ識別子／２０」と、「Ｐ−ＶＰＮ識別子／２００」及び「Ｐ−ＶＬＡＮ識別子／２０」とを対応付けて管理している。

図７は、認証サーバ６に備えた認証情報テーブル３０の構成図である。認証情報テーブル３０は、ユーザ「××」のエントリに、ユーザ「××」が接続権限を有する「ＶＰＮ識別子」としてＶＰＮ「２００」を、「ＶＬＡＮ識別子」としてＶＬＡＮ「１０」をそれぞれ保持し、管理している。

次に、ユーザ「××」が端末５Ａ−２１を加入者網転送装置４Ａに接続し、Ｒａｄｉｕｓ認証要求を行う場合の動作について説明する。加入者網転送装置４Ａは、端末５Ａ−２１からＲａｄｉｕｓ認証要求を受信する。加入者網転送装置４Ａの接続制御部１４は、未使用ＶＬＡＮスタック１３からＶＬＡＮ「２０」を取得し、図８のＶＬＡＮテーブル１２に示すように、端末５Ａ−２１の識別子「ｍａｃ−ａ２」と対応付けて保持させる。さらに、接続制御部１４は、ＶＬＡＮ「２０」をＲａｄｉｕｓ認証要求のＶＳＡ（Ｖｅｎｄｅｒ Ｓｐｅｃｉｆｉｃ Ａｔｔｒｉｂｕｔｅ）に記述し、エッジ転送装置３Ａへプロキシする。

エッジ転送装置３Ａは、加入者網転送装置４ＡからＲａｄｉｕｓ認証要求を受信する。エッジ転送装置３Ａの接続制御部２３は、ＶＰＮ／ＶＬＡＮ変換テーブル２２に、Ｒａｄｉｕｓ認証要求を受信した加入者側ポート２０Ａのポート番号「１」と、Ｒａｄｉｕｓ認証要求のＶＳＡに記述されたＶＬＡＮ「２０」とを保持させる。さらに、接続制御部２３は、Ｒａｄｉｕｓ認証要求を認証サーバ６へプロキシする。

認証サーバ６は、エッジ転送装置３ＡからＲａｄｉｕｓ認証要求を受信する。認証サーバ６は、Ｕ−ＩＤ「××」をキーとして認証情報テーブル３０を検索し、ヒットしたＶＰＮ識別子「２００」ＶＬＡＮ識別子「１０」をＲａｄｉｕｓ認証応答のＶＳＡに記述し、エッジ転送装置３Ａへ認証応答する。

エッジ転送装置３Ａは、認証サーバ６からＲａｄｉｕｓ認証応答を受信する。エッジ転送装置３Ａの接続制御部２３は、図８のＶＰＮ／ＶＬＡＮ変換テーブル２２に示すように、Ｒａｄｉｕｓ認証応答のＶＳＡに記述されたＶＰＮ「２００」及びＶＬＡＮ「１０」を、ＶＰＮ／ＶＬＡＮ変換テーブル２２における前記エントリの「Ｐ−ＶＰＮ識別子」及び「Ｐ−ＶＬＡＮ識別子」に保持させる。さらに、エッジ転送装置３Ａは、Ｒａｄｉｕｓ認証応答を加入者網転送装置４Ａへプロキシする。

加入者網転送装置４Ａは、エッジ転送装置３ＡからＲａｄｉｕｓ認証応答を受信する。加入者網転送装置４Ａの転送部１６は、Ｒａｄｉｕｓ認証応答を端末５Ａ−２１へプロキシする。

以上の動作により、予め接続設定がなされていない端末５Ａ−２１についても、認証と連携して、動的に接続制御を行うことが可能となる。これにより、全ての加入者網転送装置４とエッジ転送装置３に対して、ＶＰＮサービスを提供する全てのＶＰＮ／ＶＬＡＮの設定を予め行う必要があるという従来の問題を解決することができる。また、異なるＶＰＮ間においてＶＬＡＮ識別子の重複を許容することができる。

次に、ユーザ「××」が端末５Ａ−２１を用いてＲａｄｉｕｓ切断要求を行う場合の動作について説明する。加入者網転送装置４Ａは、加入者網５−２１からＲａｄｉｕｓ切断要求を受信する。加入者網転送装置４Ａの接続制御部１４は、図８に示したＶＬＡＮテーブル１２において、端末５Ａ−２１の識別子「ｍａｃ−ａ２」と対応付いているＶＬＡＮ「２０」を未使用ＶＬＡＮスタック１３に保持させ、ＶＬＡＮテーブル１２の当該エントリを削除し、未使用ＶＬＡＮスタック１３に保持させたＶＬＡＮ「２０」をＲａｄｉｕｓ切断要求のＶＳＡに記述し、エッジ転送装置３Ａへプロキシする。

エッジ転送装置３Ａは、加入者網転送装置４ＡからＲａｄｉｕｓ切断要求を受信する。エッジ転送装置３Ａの接続制御部２３は、Ｒａｄｉｕｓ認証要求を受信した加入者側ポート２０のポート番号「１」と、Ｒａｄｉｕｓ認証要求のＶＳＡに記述されたＶＬＡＮ「２０」とをキーとして図８に示したＶＰＮ／ＶＬＡＮ変換テーブル２２を検索し、ヒットしたエントリを削除する（図６のＶＰＮ／ＶＬＡＮ変換テーブル２２を参照）。さらに、接続制御部２３は、Ｒａｄｉｕｓ切断要求を認証サーバ６にプロキシする。

以上の動作により、端末５Ａ−２１からの切断要求と連携して、加入者網５Ａ内のＶＬＡＮの解放と、ＶＰＮ接続の切断とを行うことが可能となる。これにより、加入者網５Ａ内の端末５Ａ−２１が未接続のときにＶＬＡＮを占有することはない。

次に、Ｒａｄｉｕｓ切断要求がなされずに、端末５Ａ−２１がダウンした場合の動作について説明する。加入者網転送装置４Ａのエージング機能部１５は、端末５Ａ−２１からのユーザＭＡＣフレームを、所定の閾値以上の時間受信していないことを検知する。エージング機能部１５は、図８に示したＶＬＡＮテーブル１２がユーザ端末識別子「ｍａｃ−ａ２」を保持しているか否かを検査し、当該識別子を保持しているので、当該エントリのＶＬＡＮ識別子「２０」を未使用ＶＬＡＮスタック１３に保持させ、ＶＬＡＮテーブル１２の当該エントリを削除する（図６のＶＬＡＮテーブル１２を参照）。そして、エージング機能部１５は、未使用ＶＬＡＮスタック１３に保持させたＶＬＡＮ識別子「２０」を解放要求に記述し、エッジ転送装置３Ａへ通知する。

エッジ転送装置３Ａは、加入者網転送装置４Ａから解放要求を受信する。エッジ転送装置３Ａの接続制御部２３は、解放要求を受信した加入者側ポート２０のポート番号「１」と、解放要求に記述されたＶＬＡＮ「２０」とをキーとして図８に示したＶＰＮ／ＶＬＡＮ変換テーブル２２を検索し、ヒットしたエントリを削除する（図６のＶＰＮ／ＶＬＡＮ変換テーブル２２を参照）。

以上の動作により、端末５Ａ−２１が切断要求を行わない場合であっても、端末５Ａ−２１のダウンを検知し、加入者網５Ａ内のＶＬＡＮの解放と、ＶＰＮ接続の切断とを行うことが可能となる。これにより、ダウンした端末５Ａ−２１に対するＶＰＮ／ＶＬＡＮ接続設定が残存することはない。

上記のエッジ転送装置３、加入者網転送装置４及び認証サーバ６は、ＣＰＵ、ＲＡＭ等の揮発性の記憶媒体、ＲＯＭ等の不揮発性の記憶媒体、キーボードやポインティングデバイス等の入力装置、画像やデータを表示するモニタ装置、及び外部の装置と通信をするためのインタフェースを備えたコンピュータ装置によってそれぞれ構成されるようにしてもよい。この場合、エッジ転送装置３に備えたＶＰＮ／ＶＬＡＮ変換テーブル２２、接続制御部２３及び転送部２４、加入者網転送装置４に備えたＶＬＡＮテーブル１２、未使用ＶＬＡＮスタック１３、接続制御部１４、エージング機能部１５及び転送部１６、並びに認証サーバ６に備えた各機能は、これらの機能を記述したプログラムをＣＰＵに実行させることにより実現される。また、これらのプログラムは、磁気ディスク（フロッピィーディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ等の記憶媒体に格納して頒布することもできる。

以上、実施形態を挙げて本発明を説明したが、上記の説明は、本発明の理解を助けるものであって、本発明の特許請求の範囲を制限するものではない。従って、本発明の要旨を逸脱しない限り、種々変形が可能であり、本発明の目的を達し、効果を奏する範囲において、適宜変更して実装等することが可能である。

例えば、上記の実施形態においては、加入者網５内のＬＡＮ数を２に、加入者網転送装置４の数を４に、エッジ転送装置３の数を２に、加入者側ポート２０の数を２にしたが、それぞれの数を制限するものではない。また、加入者網転送装置４からエッジ転送装置３へのＵ−ＶＬＡＮ識別子の通知や、認証サーバ６からエッジ転送装置３へのＰ−ＶＰＮ識別子及びＰ−ＶＬＡＮ識別子の通知をＲａｄｉｕｓプロトコルの機能を用いて実現したが、通知方法を制限するものではない。また、加入者網転送装置４のＶＬＡＮテーブル１２は、ユーザ端末識別子とＵ−ＶＬＡＮ識別子とを対応付けて管理するようにしたが、加入者網転送装置４の端末側ポート１０のポート番号とＵ−ＶＬＡＮ識別子とを対応付けて管理するようにしてもよい。

また、図１及び５に示した加入者網転送装置４とエッジ転送装置３とは、加入者網転送装置４のアクセス網側ポート１１及びエッジ転送装置３の加入者側ポート２０により１つのポートを介して接続するようにしたが、複数のポートを介して接続するようにしてもよい。また、認証サーバ６は、認証要求に応じて、保持しているＶＰＮ識別子及びＶＬＡＮ識別子を、接続先のプロバイダ網内のＶＰＮ識別子及びＶＬＡＮ識別子として扱うようにしたが、プロバイダ網に限定するものではなく、接続先である他の通信網内の識別子として扱うようにしてもよい。また、その他の形式についても、上記の実施形態に制限されるものではない。

本発明の一実施形態であるＶＰＮ接続制御方法及びシステムの適用場面を示した構成図である。 本発明を実施する加入者網転送装置４の内部構成図である。 本発明を実施するエッジ転送装置３の内部構成図である。 加入者転送装置４に備えたＶＬＡＮテーブル１２、及びエッジ転送装置３に備えたＶＰＮ／ＶＬＡＮ変換テーブル２２の構成図である。 本発明の一実施形態であるＶＰＮ接続制御方法及びシステムの適用場面を示した動作を説明する図である。 認証前におけるＶＬＡＮテーブル１２、未使用ＶＬＡＮスタック１３及びＶＰＮ／ＶＬＡＮ変換テーブル２２の構成図である。 認証サーバ６に備えた認証情報テーブル３０の構成図である。 認証後におけるＶＬＡＮテーブル１２、未使用ＶＬＡＮスタック１３及びＶＰＮ／ＶＬＡＮ変換テーブル２２の構成図である。

符号の説明

１ コア網
２ アクセス網
３，３Ａ，３Ｂ エッジ転送装置
４，４Ａ〜４Ｄ 加入者網転送装置
５，５Ａ〜５Ｄ 加入者網
５Ａ−１，５Ａ−２，５Ｂ−１，５Ｂ−２〜５Ｄ−２ 加入者ＶＬＡＮ
５Ａ−１１，５Ａ−２１，５Ｂ−１１，５Ｂ−２１〜５Ｄ−２１ 端末
６ 認証サーバ
１０，１０Ａ，１０Ｂ 端末側ポート
１１ アクセス網側ポート
１２ ＶＬＡＮテーブル
１３ 未使用ＶＬＡＮスタック
１４ 接続制御部
１５ エージング機能部
１６ 転送部
１６−１ 転送テーブル
２０，２０Ａ，２０Ｂ 加入者側ポート
２１，２１Ａ，２１Ｂ コア網側ポート
２２ ＶＰＮ／ＶＬＡＮ変換テーブル
２３ 接続制御部
２４ 転送部
３０ 認証情報テーブル

Claims (8)

1. ユーザ端末及び加入者網転送装置が加入者網内に設置され、エッジ転送装置及び認証サーバがコア網内に設置されたネットワークの下で、
   ユーザ端末から受信したユーザＭＡＣフレームに加入者網内ＶＬＡＮ識別子のタグを付加し、エッジ転送装置へ転送する加入者網転送装置、及び
   加入者網転送装置との間でユーザＭＡＣフレームを送受信する加入者ポートと、コア網に対して中継ＭＡＣフレームを送受信する中継ポートとを備え、受信したユーザＭＡＣフレームから加入者網内ＶＬＡＮタグを外して接続先ＶＬＡＮ識別子のタグを付加した中継ＭＡＣフレームを生成し、中継ポートを介してコア網へ前記中継ＭＡＣフレームを転送すると共に、受信した中継ＭＡＣフレームから接続先ＶＬＡＮ識別子のタグを外して加入者網内ＶＬＡＮ識別子のタグを付加したユーザＭＡＣフレームを生成し、加入者ポートを介して加入者網転送装置へ前記ユーザＭＡＣフレームを転送するエッジ転送装置により提供されるＶＰＮサービスに関し、ユーザ端末をレイヤ２におけるＶＰＮにより接続する方法であって、
   認証サーバが、ユーザの認証情報として、ユーザが接続権限を有する接続先ＶＰＮ識別子と接続先ＶＬＡＮ識別子とを保持し、
   ユーザ端末が、レイヤ２ＶＰＮ接続を行う認証要求を加入者網転送装置へ送信し、
   加入者網転送装置が、前記認証要求に応じて、当該加入者網において未使用の加入者網内ＶＬＡＮ識別子を生成し、前記ユーザ端末が接続されているユーザ端末側ポートまたはユーザ端末の識別子と、加入者網内ＶＬＡＮ識別子とを対応付けて管理し、当該加入者網内ＶＬＡＮ識別子をエッジ転送装置へ通知し、
   エッジ転送装置が、前記加入者網内ＶＬＡＮ識別子を認証サーバへ通知し、
   認証サーバが、前記加入者網内ＶＬＡＮ識別子に応じて、接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子をエッジ転送装置へ通知し、
   エッジ転送装置が、前記加入者網内ＶＬＡＮ識別子と、接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子とを対応付けて管理することを特徴とするＶＰＮ接続制御方法。
2. 請求項１に記載のＶＰＮ接続制御方法において、
   前記ユーザ端末が、レイヤ２ＶＰＮ接続の切断を行う切断要求を加入者網転送装置へ送信し、
   前記加入者網転送装置が、切断要求に応じて、前記ユーザ端末が接続されているユーザ端末側ポートまたはユーザ端末の識別子と対応付けて管理している加入者網内ＶＬＡＮ識別子を解放し、当該加入者網内ＶＬＡＮ識別子をエッジ転送装置へ通知し、
   前記エッジ転送装置が、加入者網転送装置から通知された加入者網内ＶＬＡＮ識別子と対応付けて管理している接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子を解放することを特徴とするＶＰＮ接続制御方法。
3. 請求項１または２に記載のＶＰＮ接続制御方法において、
   前記加入者網転送装置が、当該加入者網転送装置に接続されているユーザ端末の識別子を保持し、ユーザ端末からのユーザＭＡＣフレームを所定時間の間受信しない場合に、前記ユーザ端末の識別子を抽出し、当該ユーザ端末識別子と対応付けて管理している加入者網内ＶＬＡＮ識別子を解放し、当該加入者網内ＶＬＡＮ識別子をエッジ転送装置へ通知し、
   前記エッジ転送装置が、加入者網転送装置から通知された加入者網内ＶＬＡＮ識別子と対応付けて管理している接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子を解放することを特徴とするＶＰＮ接続制御方法。
4. 請求項１から３までのいずれか一項に記載のＶＰＮ接続制御方法において、
   前記認証サーバをＲａｄｉｕｓサーバとし、Ｒａｄｉｕｓプロトコルを用いることを特徴とするＶＰＮ接続制御方法。
5. ユーザ端末及び加入者網転送装置が加入者網内に設置され、エッジ転送装置及び認証サーバがコア網内に設置されたネットワークの下で、
   加入者網転送装置との間でユーザＭＡＣフレームを送受信する加入者ポートと、コア網に対して中継ＭＡＣフレームを送受信する中継ポートとを備え、受信したユーザＭＡＣフレームから加入者網内ＶＬＡＮタグを外して接続先ＶＬＡＮ識別子のタグを付加した中継ＭＡＣフレームを生成し、中継ポートを介してコア網へ前記中継ＭＡＣフレームを転送すると共に、受信した中継ＭＡＣフレームから接続先ＶＬＡＮ識別子のタグを外して加入者網内ＶＬＡＮ識別子のタグを付加したユーザＭＡＣフレームを生成し、加入者ポートを介して加入者網転送装置へ前記ユーザＭＡＣフレームを転送するエッジ転送装置により提供されるＶＰＮサービスに関し、ユーザ端末をレイヤ２におけるＶＰＮにより接続するシステムであって、
   認証サーバは、ユーザの認証情報として、ユーザが接続権限を有する接続先ＶＰＮ識別子と接続先ＶＬＡＮ識別子とを保持する機能と、通知される加入者網内ＶＬＡＮ識別子に応じて、前記接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子をエッジ転送装置へ通知する機能とを有し、
   加入者網転送装置は、ユーザ端末から送信されたレイヤ２ＶＰＮ接続を行う認証要求に応じて、当該加入者網において未使用の加入者網内ＶＬＡＮ識別子を生成する機能と、前記ユーザ端末が接続されているユーザ端末側ポートまたはユーザ端末の識別子と、加入者網内ＶＬＡＮ識別子とを対応付けて管理する機能と、当該加入者網内ＶＬＡＮ識別子をエッジ転送装置へ通知する機能とを有し、
   エッジ転送装置は、加入者網転送装置から通知された加入者網内ＶＬＡＮ識別子を認証サーバへ通知する機能と、加入者網転送装置から通知された加入者網内ＶＬＡＮ識別子と認証サーバから通知された接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子とを対応付けて管理する機能とを有することを特徴とするＶＰＮ接続制御システム。
6. 請求項５に記載のＶＰＮ接続制御子システムにおいて、
   前記加入者網転送装置は、ユーザ端末から送信されたレイヤ２ＶＰＮ接続の切断を行う切断要求に応じて、前記ユーザ端末が接続されているユーザ端末側ポートまたはユーザ端末の識別子と対応付けて管理している加入者網内ＶＬＡＮ識別子を解放する機能と、当該加入者網内ＶＬＡＮ識別子をエッジ転送装置へ通知する機能を有し、
   前記エッジ転送装置は、加入者網転送装置から通知された加入者網内ＶＬＡＮ識別子と対応付けて管理している接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子を解放する機能を有することを特徴とするＶＰＮ接続制御システム。
7. 請求項５または６に記載のＶＰＮ接続制御システムにおいて、
   前記加入者網転送装置は、当該加入者網転送装置に接続されているユーザ端末の識別子を保持する機能と、ユーザ端末からのユーザＭＡＣフレームを所定時間の間受信しない場合に、前記ユーザ端末の識別子を抽出し、当該ユーザ端末識別子と対応付けて管理している加入者網内ＶＬＡＮ識別子を解放する機能と、当該加入者網内ＶＬＡＮ識別子をエッジ転送装置へ通知する機能とを有し、
   前記エッジ転送装置は、加入者網転送装置から通知された加入者網内ＶＬＡＮ識別子と対応付けて管理している接続先ＶＰＮ識別子及び接続先ＶＬＡＮ識別子を解放する機能を有することを特徴とするＶＰＮ接続制御システム。
8. 請求項５から７までのいずれか一項に記載のＶＰＮ接続制御システムにおいて、
   前記認証サーバをＲａｄｉｕｓサーバとし、Ｒａｄｉｕｓプロトコルを用いることを特徴とするＶＰＮ接続制御システム。

Images