JP4564057B2 - マルチドメイン仮想プライベートネットワークにおける接続経路の高速判定方法 - Google Patents

Description

技術分野
本発明は、一般的には、通信システムの仮想プライベートネットワークに関するものであり、より詳しくは、マルチドメイン通信システムの仮想プライベートネットワークの接続経路の判定に関するものである。

背景
仮想プライベートネットワーク（ＶＰＮ）は、パブリック（公衆）あるいはプライベート（専用）通信ネットワークを利用して、プライベート通信を管理する。伝統的には、広範囲ネットワークを構築することを望んでいる企業あるいは他のカスタマー（取引先（customer））は、各ノード間に自身が所有する専用線を提供して、接続性を提供しなければならない。しかしながら、このようなソリューションは、一般的には費用がかかりかつ柔軟性に欠ける。最近では、ＶＰＮの概念が急速に発展している。ＶＰＮは、通信ネットワークが多くのカスタマー間で共有されるが、各カスタマーの通信は仮想的に分けられているソリューションを提案している。ＶＰＮ技術は、たいていは、トンネリングの概念に基づいている。ネットワークトンネリングは、論理的なネットワーク接続の確立及び維持を意味するものである。この接続においては、パケットは、いくつかの他の基本あるいは搬送プロトコル内にカプセル化される。次に、それらは、ＶＰＮクライアントとサーバ間を送信され、最終的には、受信側で、逆カプセル化される。認証及びカプセル化は、セキュリティの提供を支援する。

ネットワークノードの数がＶＰＮの成長を早めさせる傾向になっており、それが、大規模でかつ複雑なネットワーク構造及びトポロジーを生み出す結果となっている。このことは、ある程度は、ＶＰＮ上のトラフィックの増加の要因となり、また、ある程度は、ＶＰＮがますます広い地理的エリアを包囲することが要求される要因となっている。あらゆる地域でノードを有するＶＰＮを提供する通信ネットワークが、今日存在している。しかしながら、ノードはますます多くなり、送信対象のトラフィックもますます増え、更には、ＶＰＮの構成もますます複雑になっている。

従来より、ＶＰＮはネットワークオペレータとカスタマー間の協定（アグリーメント：agreement）に従って生成されている。ノードの位置、サービスの品質及び他の状態が取り決められていて、かつネットワークオペレータのプログラマーは、手動で、あるいは構成支援ツールを用いることによって構成（コンフィグレーション：configuration）をセットアップする。通信ネットワークがますます複雑になると、このような構成はますます複雑となり、また時間がかかる。いくつかのドメインに渡る接続を構成する場合、典型的には、いくつかの異なる接続経路が存在する。また、カスタマーが自身のＶＰＮを変更したい場合、全体の処理を繰り返さなければならない。

通信ネットワークの発展における一般的な傾向は、ますます柔軟なソリューションを提供することである。移動体及び無線通信技術は、異なる端末ばかりでなく、異なるネットワークパーティ間で使用される。ネットワーク部分の全体の接続及び切断における柔軟性は、ネットワークが自身の存在を継続的に変更することがますます起こる状況をもたらすことになる。このような動的ネットワークにおけるＶＰＮの構成のタスクは非常に難しい。これは、その状態が、継続的に変化するからである。このことは、手動構成が利用される場合に、特に、難しい。これは、プログラマーが、ネットワークトポロジーにおける変更について常に更新しなければならないからである。このような動的ネットワークでは、高速構成が、通常は、絶対的に最適な条件以上のものがますます要望され得る。これは、この状態が、最適な条件も変更する変更が継続的に起こるからである。

要約
従来技術のソリューションの一般的な問題は、通信ネットワークが、大規模地理的通信範囲及び大量トラフィックの少なくとも一方を有する仮想プライベートネットワークを提供することはかなり複雑になることである。更なる問題は、特に、大規模なトポロジーダイナミックスを有するネットワークにおいては、新規のＶＰＮの構成あるいは既に存在しているＶＰＮの変更は複雑であり、かつ時間がかかることである。更なる問題は、より小範囲の地理的領域を包囲（カバー）するネットワークオペレータの通信リソースは、広範囲ＶＰＮ用に一般的には利用することができないことである。

本発明の一般的な目的は、ＶＰＮの接続経路を判定する方法を改良し、かつその方法を実現する適切なシステム及び装置を提供することである。本発明の更なる目的は、２つ以上のネットワークドメインを利用するＶＰＮの接続経路を検出する方法を提供することである。本発明の更なる目的は、マルチドメインネットワークで使用可能な接続経路をより高速に判定する方法及び装置を実現することである。

上述の目的は、特許請求の範囲に従う方法及び装置によって達成される。一般的には言えば、あるＶＰＮについての情報リクエストが、第１ドメインから隣接ドメインへ送信される。隣接ドメインが、どのようにして対象とするＶＰＮへ到達するかについて利用可能な情報を有している場合、このような接続経路情報が、リクエストを行っているドメインへ返信される。適切な接続経路情報がそのドメインで利用可能でない場合、その情報リクエストは更なる隣接ドメインへ転送され、これによって、その情報リクエストは、次から次へと転送される方法（cascaded method：カスケード化方法）で、通信ネットワークに渡って伝搬される。適切なＶＰＮあるいはその接続経路情報が検出される場合、その情報は、好ましくは、そのリクエストが転送された経路と同一の経路を逆方向に辿る経路に沿って、最初にリクエストを行っているドメインへ返信される。これによって、この接続経路は、カスケード化された情報（cascaded information）のプルメカニズムによって達成される。好ましくは、この方法及び装置は、ネットワークドメイン間の情報リクエストのエンドレスループを抑制する手段を備える。この接続経路情報は、最も単純な形式では、リクエストされたＶＰＮが対象とするドメインを介して到達可能であることを示す、単なる応答確認とすることができる。但し、好ましい実施形態では、使用するリンクについての情報は、接続経路情報を備える。特定の実施形態では、情報リクエストの転送は、ドメインで利用可能なリクエストされたＶＰＮについての情報が存在する場合にも実行される。このことは、リクエストされたＶＰＮへ別のあるいは追加の経路の検出を可能にする。これによって、後の段階での再構成あるいは追加の構成を実行することができる。

本発明の１つの重要な効果は、異なるドメインのオペレータが協働することができる、単純かつ安定したプラットホームを提供することである。ドメインＶＰＮ情報は、本質的には、動的トポロジーを有するネットワークであるマルチドメインシステムのすべてのドメインでＶＰＮ構成を高速な方法で、本質的にサポートするために利用することが可能である。

詳細説明
一般的なＶＰＮプロバイダアーキテクチャ１の実施形態を図１に示す。このＶＰＮプロバイダアーキテクチャでは、５つのＶＰＮプロバイダドメイン１０Ａ−Ｅが存在し、これらはすべて、ドメイン間データ接続１２Ａ−Ｇによって互いに接続されている。１つのオペレータは、１つ以上のこれらのドメイン１０Ａ−Ｅを制御することができる。あるいは、これらは、別々のオペレータによって制御することができる。ドメイン１０−Ｅ間の関係、即ち、ドメイン間データ接続１２Ａ−Ｇの制御は、典型的には、介在するオペレータ間のアグリーメント（協定）、例えば、ＶＰＮサービスレベルアグリーメント（ＳＬＡ）に従って調整される。各ＶＰＮプロバイダドメイン１０Ａは、ＶＰＮエッジ（edge）ノード１４とコアノード１６を備えている。これは、ＶＰＮ ａｗａｒｅ（認識できる）あるいはＶＰＮ ｕｎａｗａｒｅ（認識できない）とすることができる。また、これらのうちのいくつかものだけに、ここでは参照番号を付している。ＶＰＮエッジノード１４は、アーキテクチャ１内の様々なＶＰＮと、様々なカスタマーのカスタマーサイト２０とが、これを介して接続されるノードである。ＶＰＮ ｕｎａｗａｒｅ ノード１６は、ドメインの中間ノードであり、また、ＶＰＮエッジノード１４間でメッセージ及びデータを転送するためだけに使用される。カスタマーは、通信用に使用されるＶＰＮ ｕｎａｗａｒｅノードを認識しない。重要なことは、ＶＰＮエッジノード１４で開始し、終了することである。ドメインで接続されるＶＰＮは、実際の通信が１つあるいはいくつかのＶＰＮ ｕｎａｗａｒｅノード１６を介して発生するとしても、ＶＰＮエッジノード１４間を直線で示すことができる。本発明の以下の開示では、ＶＰＮ ｕｎａｗａｒｅノードの存在は通常は無視される。これは、本発明に従う基本処理ステップは、ＶＰＮ ｕｎａｗａｒｅノード１６の存否に直接には依存しないからである。しかしながら、実際の実装環境では、ＶＰＮ ｕｎａｗａｒｅノード１６は、実際の接続性を提供するために使用されることがある。

ＶＰＮプロバイダドメイン１０Ａ−Ｅは、ＶＰＮ境界（border）ノード１８を介してデータプレーンに接続される。即ち、ドメイン間データ接続１２Ａ−Ｇは、ＶＰＮ境界ノード１８で開始し、終了する。ＶＰＮ境界ノード１８は、同時にＶＰＮエッジノード１４として動作してもしなくても良い。カスタマーサイト２０は、ＶＰＮエッジノード１４の１つに接続される。そして、同一カスタマーのカスタマーサイト２０は、ＶＰＮ２２Ａ−ＣによってＶＰＮプロバイダドメイン１０Ａ−Ｅを介して接続することができる。１つのカスタマーは、異なるＶＰＮ２２Ａ−Ｃに接続されているカスタマーサイト２０を持つことができる。また、２つ以上のカスタマーサイト２０は、同一のＶＰＮエッジノード１４に接続することができるが、他のカスタマーサイト２０の存在と、他のカスタマーサイト２０に接続されているＶＰＮの存在を認識できない。

本実施形態では、３つのＶＰＮ２２Ａ−Ｃが示されている。しかしながら、当業者であれば、実システム内でのＶＰＮの数は通常はもっと多いものであることを理解している。破線で示される第１ＶＰＮ２２Ａは、３つのドメイン１０Ａ、１０Ｃ、１０Ｄに渡って展開されていて、かつこれらのすべてのドメインのカスタマーサイト２０と接続している。点線で示される第２ＶＰＮ２２Ｂは、本実施形態のすべてのドメイン１０Ａ−Ｅに渡って展開されている。そして、一点鎖線で示される第３ＶＰＮ２２Ｃは、ドメイン１０Ｂのカスタマーサイト２０だけに接続している。各カスタマーサイト２０は、他のカスタマーのカスタマーサイト２０の存在と、自身に接続されているＶＰＮ以外のＶＰＮの存在を認識できない。このような状況では、ＶＰＮのプライバシー特徴は保護されているものの、これらのすべては、同一の基本通信リソースを共有している。このことは、本発明が好適に動作する状況となる。

本発明では、ドメイン間、ドメイン内、ユーザプレーン接続、制御プレーン接続、オーバレイ制御接続、ノードとユーザ端末間接続等の様々な接続について説明する。本明細書全体を通して、これらの接続は任意の種類のものとすることができることを想定している。本発明の基本的な概念は、実際の接続技術に依存しない。これは、有線及び無線技術の両方が、これらの接続の任意のものに対して使用できることを意味する。特に、無線接続の使用に関しては、ユーザ端末は、エッジノードに対する移動体とすることができる。ドメイン内のノードは、他のノードに対する移動体とすることができる。ドメインですら、互いに移動体とすることができる。

ここで、新規のカスタマーサイト２０’がドメイン１０ＥのＶＰＮエッジノード１４’に接続されたとする。カスタマーサイト２０’をＶＰＮ２２Ｂに接続したい場合は、その処理はおそらく比較的単純となる。これは、ＶＰＮ２２Ｂが既にドメイン１０Ｅに存在しているからである。従来技術に従う手動あるいは自動ＶＰＮ再構成処理を利用することもできるし、それらを合わせ持ったものを利用することもできる。しかしながら、新規のカスタマーサイト２０’をＶＰＮ２２Ａあるいは２２Ｃに接続したい場合、状況はより複雑となる。従来技術では、ドメイン間ＶＰＮ構成処理は通常は存在しない。

ドメイン１０Ｅのオペレータが、異なるドメイン内及び間で取り得るリンクを含む、図１のネットワーク全体の「マップ」についての情報を持っている場合、リクエストされたＶＰＮ２２Ａあるいは２２Ｖへの経路を検出することができる。しかしながら、動的トポロジーを有するネットワーク、即ち、いくつかのドメイン、ドメイン間の接続及びドメイン内の接続の少なくとも１つが頻繁に変更するネットワークでは、現在のトポロジーについての情報が通知されるすべてのパーティを維持する処理は、かなり大規模になる可能性がある。接続経路が、古いトポロジー情報に従って決定される場合、変更についての情報は、例えば、それ自身のよるものとなり得る。最も現実的なものとしては、一般的なトポロジー状況に従って接続経路が検出されなければならない。

本発明の基本概念の１つは、できる限り高速に、リクエストされたＶＰＮの最良の接続経路を検出することである。任意の再構成あるいは追加の構成は、後になって実行することができる。リクエストされたＶＰＮについての情報リクエストは、通信ネットワークドメインを介して拡散されなければならず、また、経路情報は、できる限り高速に返信されるべきである。本発明では、少なくとも適切な情報がドメイン内で利用可能でない場合に、この情報リクエストは隣接ドメインへ転送される。そして、任意のリプライが、基本的には、リクエストが送信された経路と同一の経路に沿って返信される。

まず、ドメイン情報をどのようにして収集できるかを示すいくつかの例を説明する。これは、図２Ａ−３Ｄに関係する。主要な本発明の概念は、以下に示す。

図２Ａは、ドメインＶＰＮ情報を提供する初期フェーズの実施形態を示している。各ＶＰＮエッジノード１４は、自身が所有する既存のＶＰＮ構成を反映する情報を記憶している。この構成は、少なくとも、どのＶＰＮが、特定のＶＰＮエッジノード１４でカスタマーサイトに接続されているかに関するものである。特定の実施形態では、ＶＰＮエッジノード１４は、どのカスタマーがＶＰＮエッジノード１４に接続されていて、かつ既存のＶＰＮとカスタマーサイト２０間の関係についての情報も持っている。いくつかの実施形態では、例えば、ＶＰＮアドレス空間及びアドレスタイプ（ローカルあるいはグローバル）と、帯域幅、遅延及びジッターのような仕様によって特定されるＶＰＮ品質のサービスクラス、及びＶＰＮセットアップ、即ち、トンネルあるいはフィルタの使用の少なくとも１つのような情報が提供される。暗号プロパティ、透過性レイヤプロパティ、トンネリングプロパティ及びトポロジープロパティのような情報も含めることができる。また、ＶＰＮ境界ノード１８は、自身が属するＶＰＮプロバイダドメインのアイデンティティについての情報を記憶している。

本発明の一実施形態に従えば、各ＶＰＮエッジノード１４に記憶されているドメインＶＰＮ情報あるいはその少なくとも一部は、同一ドメイン１０Ａ−Ｅの各境界ノード１８によって収集される。これについては、図２Ａでは矢印として視覚化されていて、それらの内の一部は参照番号２４が付与されている。このような方法で、所有するドメインについての、収集されたドメインノード情報は、各ドメイン１０Ａ−Ｅの各ＶＰＮ境界ノード１８で利用可能である。通信に対する１つの構成としては、ＢＧＰ（境界ゲートウェイプロトコル（Border Gateway Protocol））に類似する通信プロトコルを使用することであり、これは、どこで情報を必要としているかについての特別な知識なしに、ドメインに渡って情報を拡散する。次に、境界ノードは、すべての必要な情報をピックアップすることができる。この例には、ドメインＶＰＮ情報を配信するためのプッシュメカニズムがある。

図２Ｂは、ドメインＶＰＮ情報を提供する別の実施形態を示していて、ここでは、この情報は、１つのドメイン１０Ｃに集約されている。ＶＰＮ境界ノード１８が、エッジノード１４が同一ドメイン１０Ｃに存在していることについての情報を記憶している場合、ＶＰＮ境界ノード１８は、単に、リクエスト２３を任意のＶＰＮエッジノード１４に行うことで、自身のドメインノード情報２４を返信することができる。リクエストする情報の最も単純な形式では、リクエスト自身をＶＰＮエッジノード１４があるＶＰＮに関係しているかどうかの問い合わせにすることができる。これは、例えば、ドメイン相互接続１２Ｆによって受信される。このような場合には、応答確認メッセージには任意の情報を含まないが、特定のＶＰＮエッジノードにおける特定のＶＰＮの情報を潜在的に送信することになる。この例には、ドメインＶＰＮ情報を配信するためのプルメカニズムがある。

ドメインＶＰＮノード情報は、異なるタイミングで収集することもできる。１つの構成は、利用可能な情報が常に更新されていることを保証するために、境界ノードに、このような情報を継続的にあるいは少なくとも定期的に収集することである。このような実施形態では、この情報は、境界ノード、あるいは、境界ノードから検索可能な場所にある任意の他のノードに記憶されることが好ましく、これについては以下で説明される実施形態を参照されたい。別の構成は、情報収集がいくつかのイベントによって起動されることである。このイベントは、例えば、エッジノードからのブロードキャスティングメッセージとすることができ、これには、なんらかの変更が存在すること、あるいは上述の特定のＶＰＮを検出するリクエストがある。すべてのエッジノードが、ドメインのどの境界ノードが利用可能であるかについての知識を持っている場合、この情報も、このような変更が発生する場合にすべての境界ノードに直接送信することができる。あるＶＰＮを検出するためのリクエストによって起動されることで情報が検索される場合、収集された情報はそのＶＰＮに制限されても良く、また、後に使用するために必要であるとしても記憶されなくても良い。

図２Ｃは、ドメインＶＰＮ情報が集中的に収集される実施形態を示している。異なるエッジノード１４によって提供されるすべてのドメインＶＰＮ情報を記憶するために、記憶装置５４が提供される。このようなドメインＶＰＮ情報を使用する機能は、中央の記憶装置５４からこの情報を検索することができる。

図２Ｄは、ドメインＶＰＮデータの集中収集に基づいている別の実施形態を示している。ここで、リクエスト２３あるいは他の外部信号は、記憶装置５４へのＶＰＮデータ２４の提供を初期化することができる。このリクエスト２３は、記憶装置５４自身から発せられる必要はない。

ドメインノード間でのドメインＶＰＮ情報を収集するための別の構成としては、データ記憶装置からデータを取得することによって、ドメインＶＰＮ情報が提供されても良い。この記憶されたデータは、例えば、上述の処理に従って従前に収集されたデータの結果とすることができる。あるいは、この記憶されたデータは、外部から提供されるものとすることができる。

上述の実施形態では、ドメインのデータの提供は、境界ノードあるいはそれに直接関係のあるノードによって実行される。このような状況は、図３Ａでも示される。ここで、マルチドメインシステムの１つのドメイン１０Ａがより詳細に示される。境界ノード１８は、データ接続１２Ａ及び１２Ｂによる他のドメインとのデータトラフィックを担当する。この境界ノード１８は、特定の実施形態では、例えば、境界ノード１８のプロセッサのソフトウェア機能による、ドメインＶＰＮ情報を収集する手段４１を備える。このドメインＶＰＮ情報は、記憶装置５４に記憶することができる。ドメインに関するドメインＶＰＮ情報を処理するためのＶＰＮ制御ノード４３は、全体として、特定の実施形態では、各境界ノード１８に分散されたローカルの手段４１として実現される。

図３Ｂでは、別の特定の実施形態が示されている。ここでも、境界ノード１８は、ドメインＶＰＮ情報に関係する機能エンティティ４１を備えている。但し、分散されたＶＰＮ制御ノード４３は、この特定の実施形態では、境界ノード１８に配置されるあるいはそれに接続されている、ドメインＶＰＮ情報を提供するための手段４１と、中央データベース５４を備えている。この中央データベース５４には、実際に更新されたＶＰＮ情報と、かつ好ましくは履歴ＶＰＮ情報が記憶される。

図３Ｃでは、更に別の特定の実施形態が示される。ここでは、ＶＰＮ制御ノード４３は中央に配置され、かつドメインＶＰＮ情報を提供する手段４１と、基本的には同一位置に提供される中央データベース５４を備えている。境界ノード１８は、この特定の実施形態では、単に、ＶＰＮ制御ノードと近隣ドメイン間の通信４５を処理するために使用される。実際のデータトラフィックに関係するシグナリングの制御に関わる境界ノード１８の機能は、ＶＰＮ構成に関係する制御メッセージの信号処理を行うようにも利用することができる。

図３Ｄでは、システム内の境界ノードから仮想的に分けられているＶＰＮ制御ノード４３を有する実施形態が示されている。ＶＰＮ制御ノード４３は、このような実施形態では、専用のＶＰＮ制御信号接続４７によって他のドメインのＶＰＮ制御ノードに接続されていて、自身で所有するハイレベルネットワークを生成する。

本発明の特定の実施形態を図４に示す。第１ステップは、各ドメインのＶＰＮ情報の提供である。これは、各ドメインのＶＰＮ制御ノード４３によって実行される。但し、ＶＰＮ制御ノード４３の構成は、異なるドメイン間で異ならせることができる。図４では、ドメイン１０Ａは、図３Ａに示される例と同様のＶＰＮ制御ノード４３を有している。ドメイン１０Ｃは、図３Ｂに示される例と同様のＶＰＮ制御ノード４３を有している。そして、ドメイン１０Ｂ、１０Ｄ及び１０Ｅは、図３Ｃに示される例と同様のＶＰＮ制御ノード４３を有している。ここでは、ＶＰＮ制御ノード４３は、自身が所有するドメインＶＰＮについての情報だけを有している。ＶＰＮ制御ノード４３が、自身が所有するドメイン１０ＥのＶＰＮ制御ノード４３の接続リクエストを開始する場合、それは、自身が所有するデータベースで容易に利用可能な自身のドメインのＶＰＮについての情報だけを有している。但し、ＶＰＮ制御ノード４３は、どのドメインに接続されているかを知っているので、リクエストされたＶＰＮの存在についての情報に関係する情報リクエストを、ドメイン間接続１２Ａ−Ｇを介して近隣の隣接ドメインに送信する。このことは、矢印３２によって示される。ドメイン間接続を介してこのような情報リクエストを受信する制御ノード４３は、自身が所有するデータベースのドメインＶＰＮ情報を調査して、対象とするデータが存在するかを確認する。確認（比較）の結果、リクエストされたＶＰＮに対する接続経路情報が検出される場合、このような接続経路情報は、その情報リクエストを送信するドメインへ返信する。

検出されない場合、ドメイン間接続を介する更なる隣接ドメインへの転送が行われる。これは、リクエストされたＶＰＮについての情報が得られるまで、更なる確認（比較）の開始、返信及び転送動作を行う。つまり、このリクエストは、次から次へと行う方法（cascaded manner：カスケード化方法）で、１回ずつ通信ネットワークを介して拡散される。但し、以下に説明するような更なる状態には、更なる転送が行われることが好ましい。最終的に検出されるこの情報は、発信元（オリジナル）のドメイン１０ＥのＶＰＮ制御ノードへ戻されることになる。この接続経路情報の返信は、情報リクエストが配信された経路と同一の経路を逆方向に辿ることが好ましい。別の実施形態では、接続経路情報の返信は、リクエストと同様の方法で実行することができる。即ち、接続経路情報は、隣接ドメインに返信される。これらのドメインがリクエストを発行するドメインでない場合、接続経路情報は、発信元のドメインに到達するまで、次から次へと行う方法で、更なる隣接ドメインへ転送される。

この特定の実施形態は、システム１全体が、単一のＶＰＮ制御ノード４３毎に更新されなければならないことがないという利点を持っている。

ＶＰＮ ＳＬＡ（図１の記載を参照）は、利用可能な情報をどの程度近隣ドメインに対して利用可能にすべきであるかについての協定（取り決め）を行うことができる。一般的には、ＶＰＮ制御ノードは、利用可能なドメイン内ＶＰＮ情報を、コンパイルされたあるいは処理された、近隣ドメインへの接続経路情報として返信するのに適切なＶＰＮ情報になるように処理する。ドメイン同士が密接に関係している場合、例えば、同一のオペレータに属している場合、ＳＬＡは、ドメインＶＰＮ情報の交換時には全体として透過性を持たせることができる。他の場合には、ＶＰＮ制御ノード４３間を送信される、処理された情報２８をコンパイルされたＶＰＮ情報にするように処理することで、個々のドメインＶＰＮについてのかなり基本的なことだけしか明らかにならないようにすることができる。本実施形態における、ドメイン間接続１２Ａ−Ｇを介して送信されなければならない最低限の情報は、リクエストされたＶＰＮが利用可能である場合には、その情報を返信する境界ノードあるいはドメイン以外の別の場所で利用可能である。

ドメイン間接続１２Ａ−Ｇで返信される情報２８は、これを受信するＶＰＮ制御ノードにおいて、全体として利用可能なＶＰＮ情報の状況の更新あるいは拡張を引き起こすものである。このＶＰＮ情報は、これによって、更なる隣接ドメインによって返信される接続経路情報によって拡張される。このＶＰＮ制御ノードは、ここでも、例えば、どのＶＰＮがドメイン間接続を介して利用可能であるかの情報を有している。より完全な情報が利用可能である場合には、ＶＰＮ制御ノードは、例えば、これらの異なるＶＰＮのうちのどのＶＰＮで、エッジノードアイデンティティが利用可能であるか、ＶＰＮのサービスの品質等を判定することができる。こうして得られるＶＰＮ情報は、ここでは、近隣あるいは隣接ドメインのプロパティとなる。また、ＳＬＡによって許可されている場合には、このＶＰＮ情報は、そのドメインのアクティビティに対して使用することができる。ＶＰＮ制御ノード４３の記憶装置５４に記憶されている情報は、近隣ドメインから受信される情報、あるいはその処理されたもの、その受信される情報を追加、削除あるいは変更したものと同一とすることができる。例えば、この情報には、どのドメインから発信されているかの指示をラベルとして付加することができる。

上述のように、情報リクエストの更なる転送には制限があることが好ましい。図５では、情報リクエストのエンドレスループに対するリスクをもたらす潜在的な状況が示されている。通信ネットワーク１は、５つのドメイン１０Ａ−Ｅを備えている。ドメイン１０Ｅでは、ＶＰＮ２２Ａが利用可能である。ここで、ドメイン１０ＡのカスタマーがＶＰＮ２２へ接続したいことを想定する。ドメイン１０Ａは、ＶＰＮについての内部情報を有していないので、自身の隣接ドメイン１０Ｂ及び１０Ｅの両方への情報リクエストを生成し、送信する。ドメイン１０Ｅからは、リプライが得られ、これは、ＶＰＮ２２Ａへの接続の構成を開始するために必要な情報を与えるものである。

しかしながら、ドメイン１０Ｂでは、ＶＰＮ２２Ａについて利用可能な情報はない。それゆえ、この情報リクエストは、更なる隣接ドメイン１０Ｃ及び１０Ｄへ転送される。これらのドメインは、ＶＰＮ２２Ａについての情報を有していないので、その情報リクエストの更なる転送が実行される。ドメイン１０Ｃは、その情報リクエストをドメイン１０Ｄへ送信し、かつドメイン１０Ｄは、その情報リクエストをドメイン１０Ｃへ送信する。この処理が継続すると、情報リクエストのエンドレスループがドメイン１０Ｂ−Ｄ間で循環することになる。本発明の実施形態では、情報リクエストがエンドレスループで転送されることを抑制する手段が提供される。このような、情報リクエストのループを抑制する手段は、このような情報リクエストの送信あるいは受信する手段とともに提供されることが好ましい。即ち、これらは、新規の隣接ドメインへの実際の転送を抑制する、あるいは受信された情報リクエストの受け入れを抑制するように構成される。転送における制約を課すいくつかの実施形態が可能である。これらのいくつかを、以下に簡単に説明する。

ループ抑制構成の一実施形態では、各情報リクエストがアイデンティティとともに提供される。このアイデンティティは、ある固有のアイデンティティ番号を有する別フィールドとすることができる。ドメインによって受信され、受け付けられた情報リクエストのアイデンティティは記憶装置に記憶される。新規の情報リクエストが到達すると、記憶されたデータとの比較が行われれ、情報リクエストが既に以前に受信されているかを明らかにする。そうである場合、このリクエストは、無視される。そうでない場合、そのリクエストは受け付けられ、また、アイデンティティが記憶装置に追加される。

リクエストされたアイデンティティは、リクエストを最初に発信するドメインのアイデンティティと、リクエストされたＶＰＮのアイデンティティによって構成することもできる。このような場合、リクエストアイデンティティを別にする必要はない。しかしながら、このような場合は、受信された情報リクエストの記憶はある有効期限（ライフタイム）に関連付けられるべきであり、そうすることで、同一のドメインＶＰＮペアに対する新規のリクエストを、ある時間の経過後に可能とすることができる。

この比較も、リクエストの実際の転送とともに実行することができる。このような場合、リクエストアイデンティティは記憶装置に記憶することができ、また、リクエストを転送するための追加の条件は、データベース内には、同一のメッセージアイデンティティは２つあるべきでないということにすることができる。

ループ抑制の別の実施形態は、転送経路についての情報に基づいている。転送処理中にどのドメインを通過するについての情報をリクエスト自身に追加することによって、受信ドメインは、この情報から、自身の所有するアイデンティティを容易に検索することができる。所有するアイデンティティが存在する場合、そのリクエストは無視される。そうでない場合、所有するアイデンティティが追加され、そして、そのリクエストは転送され得る。この比較は、送信側で実行することもできる。リクエストをドメインへ転送する前に、送信側ドメインは、自身の隣接ドメインのアイデンティティに対する転送経路情報を検索する。転送経路内に既に存在しているドメインに対しては、転送は抑制される。

更なる別の実施形態は、ライフタイム（有効期限）に基づいている。あるライフタイムは、オリジナルの情報リクエストを生成する時点、例えば、有効満了期限を決定することによって、設定することができる。このようなリクエストを受信及び転送の少なくとも一方を行う場合、この有効満了期限が、例えば、システム時間に対してチェックされ、有効期限が満了していると、これ以上の転送は実行されない。ライフタイム概念の変形は、残りのライフタイムを設定することであり、これは、各転送に関連して時間が減じられる。残りのライフタイムがなくなると、これ以上の転送は実行されない。この方法も使用することができ、これは、転送数を「時間」の尺度として利用している。即ち、初期設定として、最大転送数が許可されていると言える。各転送に対しては、ユニット毎に残りの数が減じられる。

あるＶＰＮへの接続経路を検出する処理は、典型的には、ＶＰＮへの新規の接続を構成するために使用される。この返信された情報は、典型的には、この構成中に使用される。返信された接続経路情報が経路についての情報を完全に備えている場合、この構成は簡単に実行することができる。この接続経路情報が、単に、ある隣接ドメイン以外のＶＰＮの単なる存在を明らかにしている場合、この構成は、その時点でのドメインで実行されなければならない。

図７に示される例は、ドメイン間ＶＰＮの構成をどのようにして自動化することができるかを示している。ドメイン１０Ｅの新規のカスタマーサイト２０’は、ＶＰＮ２２Ａに接続されても良い。ＶＰＮトンネルが、内側ドメインと、ドメイン間の両方に対するＶＰＮ接続に対して使用されると想定する。これは、以下のステップが採用される。

ドメイン１０ＥのＶＰＮ制御ノードは、接続が「ネクストホップ」１０Ｂを介してＶＰＮをセットアップすることができる接続経路情報を取得する。更に利用可能な情報はない。ドメイン１０ＥのＶＰＮ制御ノードは、カスタマーサイト２０’が接続されているエッジノード１４’から、リンク１２Ｄを介してドメイン１０Ｂに接続されている境界ノード１８：１への、ＶＰＮ２２Ａに対するＶＰＮトンネル７１をセットアップする。ドメイン１０ＥのＶＰＮ制御ノードは、ドメイン１０ＢのＶＰＮ制御ノードとの通信を開始し、かつリンク１２Ｄを介する境界ノード１８：２への、ＶＰＮ２２Ａに対するＶＰＮトンネル７２をセットアップする。ＶＰＮ２２Ａはドメイン１０Ｂに存在しないので、ドメイン１０ＢのＶＰＮ制御ノードは自身のデータベースをチェックし、ＶＰＮ２２Ａが「ネクストホップ」１０Ａ及び１０Ｃで検出できること確認する。

ドメイン１０ＢのＶＰＮ制御ノードは、「ネクストホップ」１０Ａだけを介してＶＰＮをセットアップすることを選択する。これは、リンク１２Ｄを介してドメイン１０Ｂに接続される境界ノード１８：２から、リンク１２Ａを介してドメイン１０Ａに接続される境界ノード１８：３への、ＶＰＮ２２Ａに対するＶＰＮトランジット（通過）トンネル７３をセットアップする。ドメイン１０ＢのＶＰＮ制御ノードは、ドメイン１０Ａの制御ノードとの通信を開始し、リンク１２Ａを介する境界ノード１８：４へのＶＰＮトンネル７４をセットアップする。ＶＰＮ２２Ａがドメイン１０Ａに存在するので、ドメイン１０ＡのＶＰＮ制御ノードは、リンク１２Ａを介してドメイン１０Ｂに接続される境界ノードから、ＶＰＮ２２Ａへ接続される境界ノード１８：５への内部トンネル７５をセットアップすることができる。

上述のように、本発明は、ＶＰＮへの取り得る接続経路の高速判定を提供する。しかながら、この経路は、すべての取り得る状況に対して必ずしも最適条件のものでない可能性もある。このような場合、その後に明らかになる別の接続経路が有益となる場合がある。別の利用可能な経路が存在する場合、そのような別の経路を定義する次のリプライが発信元のドメインへ提供されることになる。また、リクエストされたＶＰＮについての情報を失っているドメインからだけでなく、すべてのドメインから転送対象の情報リクエストを行うことによって、仮想的に取り得る経路のすべてが検出され、かつ発信元のドメインへ返信されることになる。

これによって、発信元のドメインは、好ましくは、接続品質に関しての、別の経路についての更なる情報を評価することができ、これに基づいて任意の動作を実行することができる。より適切な接続経路が検出される場合、１つの構成としては、ＶＰＮを再構成し、かつ、最初の一時的な接続経路を解放して、新規の経路に切り替えることである。別の構成は、追加の接続を構成することである。

本発明に従う機能は、異なるドメインで提供される。リプライの受信、比較、返信及び転送に対する機能は、好ましくは、リクエストの対象となり得るドメインのすべてで利用可能である。オリジナルのリクエストを生成し、かつ送信する機能に加えて、実際の構成を実行する機能は、好ましくは、新規のノードが発生し得るドメインのすべてで利用可能である。このドメインの構成は、典型的には、ドメインのＶＰＮ制御ノード４３で実現される。

図６は、接続経路検出支援構成を提供する本発明に従う、比較的一般的なＶＰＮ制御ノード４３の特定の実施形態のブロック図である。ＶＰＮ制御ノード４３は、ドメインＶＰＮ情報を提供するための手段５２を備えている。この情報は、接続６２によってドメインの他のノードによって提供されても良い。メイン制御通信インタフェース４０は、他のドメインとの通信のために提供される。このインタフェース４０は、ドメイン内接続６２と一緒に構成されても良い。受信機４１は、メイン制御通信インタフェース４０に接続され、かつ着信する情報リクエストを処理するように構成されている。この受信機４１は、更に、任意の更なる隣接ドメインから送信される任意の接続経路情報を受信するように構成されている。リクエストされたＶＰＮのアイデンティティがドメインＶＰＮ情報と一致（マッチ）するかを調査するマッチング（照合）ユニット４９が、比較手段として提供される。また、送信機４２は、任意の一致した接続経路情報についての情報をマッチングユニット４９から隣接ドメインへ返信するために、メイン制御通信インタフェース４０に接続されている。このユニットは、リクエストチェインの後方の任意の更なる隣接ドメインから受信される任意のリプライを転送することも担当する。任意の不一致のリクエストを更に隣接ドメインへ転送する転送ユニット４４も提供される。本実施形態では、ループ抑制機能もこの転送ユニット４４に構成されている。送信機４２と転送ユニット４４は、好ましくは、１つの共通ユニットで実現される。

リクエスト開始ノードとしても機能するＶＰＮ制御ノード４３については、情報リクエストユニット４５が提供される。好ましくは、転送ユニット４４は、情報リクエストを隣接ドメインへ送信するために利用される。構成マシーン４６が提供され、これは、ＶＰＮ接続の構成を開始するために受信した経路接続経路情報を使用するように構成される。この構成マシーン４６は、好ましくは、上述の説明に従う、別の接続経路の評価及び構成を実行するための手段を備える。

本発明に従う方法の実施形態の基本ステップは、図８に示される。この処理は、ステップ２００で開始する。ステップ２１０で、あるＶＰＮの存在についての情報リクエストが生成される。このリクエストは、第１ドメインの第１ノードを、第１ドメインで現在利用可能でないＶＰＮへ接続することに関するものである。ステップ２１２で、その情報リクエストが隣接ドメインへ送信される。ステップ２１４で、その情報リクエストは、隣接ドメインで利用可能なドメインＶＰＮ情報と比較される。ステップ２１６で、適切な経路情報が利用可能であるかどうかが決定される。適切な接続経路情報が利用可能である場合、処理は、ステップ２１８に進み、ここでは、接続経路情報が、情報リクエストを送信するドメインへ返信される。ステップ２９９で処理は終了する。適切な接続経路情報が利用可能でない場合、処理はステップ２２０に進み、ここでは、情報リクエストが隣接ドメインへ更に転送される。転送処理が成功すると、矢印２５０で示されるように、処理はステップ２１４へ戻る。そうでない場合、ステップ２９９で処理は終了する。

上述の実施形態は、本発明のいくつかの例として理解されるべきである。様々な変形、組み合わせ及び変更の実施形態が、本発明の範囲から逸脱しないで実現できることが当業者には理解されるべきである。特に、様々な実施形態における異なる部分のソリューションが、技術的に可能な他の構成と組み合わせることができる。ここで、本発明の範囲は、添付の請求項によって定義される。

仮想プライベートネットワークを提供するマルチドメイン通信ネットワークを示す図である。 本発明の実施形態に従うＶＰＮ情報収集を示す図である。 本発明の他の実施形態に従うＶＰＮ情報収集を示す図である。 本発明の他の実施形態に従うＶＰＮ情報収集を示す図である。 本発明の他の実施形態に従うＶＰＮ情報収集を示す図である。 本発明のドメインのＶＰＮ制御ノード構成に従う実施形態を示す図である。 本発明のドメインのＶＰＮ制御ノード構成に従う実施形態を示す図である。 本発明のドメインのＶＰＮ制御ノード構成に従う実施形態を示す図である。 本発明のドメインのＶＰＮ制御ノード構成に従う実施形態を示す図である。 本発明の実施形態に従う情報リクエスト転送及び接続経路情報リプライを示す図である。 情報リクエスト転送におけるエンドレスループ状況を示す図である。 本発明に従う一般的なＶＰＮ制御ノードの実施形態を示すブロック図である。 本発明の一実施形態に従うＶＰＮ構成を示す図である。 本発明に従う方法の実施形態の主要なステップを示すフロー図である。

Claims (25)

1. 相互に接続されている少なくとも２つのドメインを有する通信ネットワークの、マルチドメイン仮想プライベートネットワーク−ＶＰＮにおいて、第１ドメインの第１ノードと、前記第１ドメインで当初は利用可能でない第１ＶＰＮとの間の接続経路を判定する方法であって、
   前記第１ＶＰＮの存在についての情報リクエストを、前記第１ドメインから隣接ドメインへ送信する工程と、
   前記情報リクエストと、前記隣接ドメインで利用可能なドメインＶＰＮ情報とを比較する工程と、
   前記第１ＶＰＮへの接続経路についての情報が、前記隣接ドメインで利用可能な前記ドメインＶＰＮ情報に存在している場合、接続経路情報を前記隣接ドメインから前記第１ドメインへ返信する工程と、
   前記第１ＶＰＮへの接続経路についての情報が、前記隣接ドメインで利用可能な前記ドメインＶＰＮ情報に存在していない場合、前記第１ＶＰＮの存在についての前記情報リクエストを、前記隣接ドメインから更なる隣接ドメインへ転送する工程と
   を備えることを特徴とする方法。
2. 次から次へと行う方法で、前記比較する工程、前記返信する工程及び前記転送する工程は、前記更なる隣接ドメインにおいて繰り返され、前記更なる隣接ドメインにおける前記転送する工程は、更なる状態下でなされる
   ことを特徴とする請求項１に記載の方法。
3. 前記接続経路情報は、前記情報リクエストが転送された経路と同一の経路を逆方向に辿る経路に沿って、前記第１ドメインへ返信される
   ことを特徴とする請求項２に記載の方法。
4. 現存のドメインで利用可能な前記ドメインＶＰＮ情報は、更なる隣接ドメインによって返信される接続経路情報に拡張され、これによって、前記現在のドメインからの拡張された接続経路情報が、前記情報リクエストを前記現在のドメインへ提供するドメインへ返信される
   ことを特徴とする請求項３に記載の方法。
5. 前記接続経路情報は、前記接続経路情報を隣接ドメインへ次から次へと転送することによって、前記第１ドメインへ返信される
   ことを特徴とする請求項２に記載の方法。
6. 前記第１ＶＰＮへの接続経路についての情報が、前記隣接ドメインで利用可能な前記ドメインＶＰＮ情報に存在する場合に、前記転送する工程を更に実行することができる
   ことを特徴とする請求項１乃至５のいずれか１項に記載の方法。
7. 前記接続経路情報は、前記第１ノードと前記第１ＶＰＮとの間で取り得る経路の存在を検証する情報を備える
   ことを特徴とする請求項１乃至６のいずれか１項に記載の方法。
8. 前記接続経路情報は、前記第１ノードと前記第１ＶＰＮとの間で取り得る経路のリンクのすべての情報を備える
   ことを特徴とする請求項１乃至６のいずれか１項に記載の方法。
9. 前記通信ネットワークにおけるエンドレスループで、前記情報リクエストが転送されることを抑制する工程を更に備える
   ことを特徴とする請求項１乃至８のいずれか１項に記載の方法。
10. 前記抑制する工程は、情報リクエストへの更なる隣接ドメインへの転送前に実行される
    ことを特徴とする請求項９に記載の方法。
11. 前記抑制する工程は、別のドメインから受信する情報リクエストを受け付ける前に実行される
    ことを特徴とする請求項９に記載の方法。
12. 前記抑制する工程は、現在の前記情報リクエストとそれ以前の情報リクエストを示す記憶データとの間の比較に基づいている
    ことを特徴とする請求項９乃至１１のいずれか１項に記載の方法。
13. 前記抑制する工程は、ドメインアイデンティティと、前記情報リクエストに備わる、前記受信する情報リクエストが通過したドメインを示すデータとの間の比較に基づいている
    ことを特徴とする請求項９乃至１１のいずれか１項に記載の方法。
14. 前記抑制する工程は、前記情報リクエストのライフタイムに基づいている
    ことを特徴とする請求項９乃至１１のいずれか１項に記載の方法。
15. マルチドメイン仮想プライベートネットワークを構成する方法であって、
    請求項１乃至１４のいずれか１項に記載の方法に従って、接続経路を判定する工程と、
    前記第１ドメインへ返信される前記接続経路情報に従って、前記第１ノードの前記第１ＶＰＮへの接続を構成する工程と
    を備えることを特徴とする方法。
16. 前記構成する工程が実行された後、前記隣接ドメインからの別の接続経路についての情報を更に取得する工程と、
    前記構成された接続経路の接続品質に関連して、前記別の接続経路の接続品質を評価する工程と、
    前記別の接続経路の接続品質が、前記構成された接続経路の前記接続品質よりも高い場合、前記別の接続経路に従って、前記第１ノードの前記第１ＶＰＮへの前記接続を再構成する工程と
    を更に備えることを特徴とする請求項１５に記載の方法。
17. 前記構成する工程が実行された後、前記隣接ドメインからの別の接続経路についての情報を更に取得する工程と、
    前記別の接続経路に従って、前記第１ノードの前記第１ＶＰＮへの追加の接続を構成する工程と
    を備えることを特徴とする請求項１５に記載の方法。
18. 少なくとも２つのドメインを有する通信ネットワークであって、その内の１つがその通信ネットワークのドメインである通信ネットワークの、マルチドメイン仮想プライベートネットワーク−ＶＰＮにおいて、第１ドメインの第１ノードと、前記第１ドメインで当初は利用可能でない第１ＶＰＮとの間の接続経路の提供を支援する通信ネットワークドメイン装置であって、
    前記第１ＶＰＮの存在についての情報リクエストを、前記第１ドメインから受信する手段と、
    前記情報リクエストと、前記通信ネットワークのドメインで利用可能なドメインＶＰＮ情報とを比較する手段と、
    前記第１ＶＰＮへの接続経路についての情報が、前記通信ネットワークのドメインで利用可能な前記ドメインＶＰＮ情報に存在している場合、接続経路情報を前記第１ドメインへ返信する手段と、
    前記第１ＶＰＮへの接続経路についての情報が、前記通信ネットワークのドメインで利用可能な前記ドメインＶＰＮ情報に存在していない場合、前記第１ＶＰＮの存在についての前記情報リクエストを、前記通信ネットワークのドメインから更なるドメインへ転送する手段と
    を備えることを特徴とする通信ネットワークドメイン装置。
19. 前記転送する手段は、前記第１ＶＰＮへの接続経路についての情報が、前記通信ネットワークのドメインで利用可能な前記ドメインＶＰＮ情報に存在している場合も、前記転送することを実行するように構成されている
    ことを特徴とする請求項１８に記載の通信ネットワークドメイン装置。
20. 前記更なるドメインから接続経路情報を受信する手段と、
    前記受信した接続経路情報を、前記通信ネットワークのドメインについての情報で拡張する手段とを更に備え、
    これによって、前記接続経路情報を前記第１ドメインへ返信する手段は、更に、前記拡張された接続経路情報を前記第１ドメインへ転送するように構成されている
    ことを特徴とする１８または１９に記載の通信ネットワークドメイン装置。
21. 前記接続経路情報は、前記第１ノードと前記第１ＶＰＮとの間で取り得る経路のリンクのすべての情報を備える
    ことを特徴とする請求項１８乃至２０のいずれか１項に記載の通信ネットワークドメイン装置。
22. 前記通信ネットワークにおけるエンドレスループで、前記情報リクエストが転送されることを抑制する手段を更に備える
    ことを特徴とする請求項１８乃至２１のいずれか１項に記載の通信ネットワークドメイン装置。
23. 通信ネットワーク（１）であって、
    請求項１８乃至２２のいずれか１項に記載の少なくとも１つの通信ネットワークドメイン装置と、
    少なくとも１つのネットワークドメインとを備え、
    前記ネットワークドメインは、
    前記第１ＶＰＮの存在についての情報リクエストを生成する手段と、
    請求項１８乃至２２のいずれか１項に記載の通信ネットワークドメイン装置を有する前記通信ネットワークのドメインの隣接ドメインへ、前記情報リクエストを送信する手段と、
    前記隣接ドメインから返信される前記第１ＶＰＮへの接続経路情報を受信する手段と、
    前記隣接ドメインから返信される前記接続経路情報に従って、前記第１ノードの前記第１ＶＰＮへの接続を構成する手段と
    を備えることを特徴とする通信ネットワーク。
24. 前記接続経路情報を受信する手段は、更に、前記隣接ドメインから別の接続経路についての更なる情報を取得するように構成され、
    これによって、前記通信ネットワークドメイン装置は、更に、
    構成された接続経路の接続品質に関連して、前記別の接続経路の接続品質を評価する手段と、
    前記別の接続経路の接続品質が、前記構成された接続経路の前記接続品質よりも高い場合、前記別の接続経路に従って、前記第１ノードの前記第１ＶＰＮへの前記接続を再構成するように構成する手段と
    を備えることを特徴とする請求項２３に記載の通信ネットワーク。
25. 前記接続経路情報を受信する手段は、更に、前記隣接ドメインから別の接続経路についての情報を取得するように構成され、
    これによって、前記構成する手段は、更に、前記別の接続経路に従って、前記第１ノードの前記第１ＶＰＮへの追加の接続を構成するように構成されている
    ことを特徴とする請求項２３に記載の通信ネットワーク。

Images