JP4571761B2 - 仮想私設ネットワークにすでに接続されているユーザが、この仮想私設ネットワークに属さない通信デバイスと通信できるようにする方法および対応するネットワークアクセスサーバ - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、データ通信システムに関し、詳細には、エンドユーザがコアネットワークへアクセスするのを可能にするための、ネットワークアクセスサーバにおいて実施されるアクセス方法に関する。
【０００２】
【従来の技術】
本発明のフレームワークは、個人と企業が、相互接続されたデータ通信ネットワークにアクセス権を与えられる方法に関する。相互接続されたデータ通信ネットワークは、たとえば、パブリックインターネットと、サードパーティによって運営される複数の仮想私設ネットワーク（ＶＰＮ）とから構成される。これらのサードパーティＶＰＮは、たとえばファイアウォールによって外部アクセスが厳重に規制される企業のイントラネットである。しかし、たとえば出張中の社員が、位置する場所に関係なくラップトップによって企業のイントラネットにアクセスしたり、在宅勤務用に企業のイントラネットにアクセスするために、サードパーティＶＰＮへの外部アクセスが許可されなければならない。サードパーティＶＰＮへのこの種の外部アクセスは、通常、ネットワークアクセスサーバ（ＮＡＳ）を所有するアクセスサービスプロバイダによって提供される。
【０００３】
【発明が解決しようとする課題】
アクセスサービスプロバイダによって提案されるいくつかの付加価値サービスは、エンドユーザが、ＮＡＳを介して１つのサードパーティＶＰＮに接続しながら、ＮＡＳに関連付けられており通常はアクセスサービスプロバイダによって運営されているローカルＶＰＮと呼ばれるローカルサービスネットワークにサードパーティＶＰＮから切断せずに同時にアクセスできることを必要とする。
【０００４】
この種の同時アクセスに関わる問題は、アドレス指定方式によるものである。異種相互接続ネットワークは、インターネットプロトコルＩＰまたはその変形形態のどれかをすべてがサポートすることによって調和される。通常、アクセスサービスプロバイダに使用可能なＩＰアドレスの数が限られているため、ＮＡＳは、様々なＶＰＮに対して重複アドレスプールを使用する。したがって、同じＮＡＳを介して２つの異なるサードパーティＶＰＮに接続されている二人のユーザには、同じＩＰアドレスがその属性とされている場合がある。ＩＰアドレスとメッセージの送信元であるＶＰＮの識別により、ＮＡＳは、同じＩＰアドレスを有する二人のユーザを一義的に識別することができる。
【０００５】
これらのユーザの一人が、対応するサードパーティＶＰＮへの接続を解放せずに、１つの同一の別の通信デバイスに同時に接続されることを望む場合、これは問題となる。そのような通信デバイスは、ローカルＶＰＮと呼ばれるＶＰＮに属するサーバであり、ＮＡＳに関連付けられてアクセスサービスプロバイダによって所有される場合がある。この場合、両方が同じＩＰアドレスを有し、同じローカルＶＰＮからメッセージを獲得するので、ＮＡＳは、もはやそれらを識別することができない。
【０００６】
この問題を解決するための一般的な方法は、ＮＡＳにネットワークアドレス変換（ＮＡＴ）を導入することである。この手法では、ローカルＶＰＮのサーバに向けた通信のために各ユーザが唯一のＩＰアドレスを有するように見えるように、ユーザのＩＰアドレスがＮＡＳ自体において変換される。この手法は、いくつかの重大な欠点を有する。まず第１に、この手法は、ユーザとローカルＶＰＮとの間を流れる各ＩＰパケットが変換される必要があり、その結果、変更される必要があるので、ＮＡＳに重い負荷を課す。ＩＰｓｅｃなどのＩＰプロトコルの最新の変形形態は、ＮＡＴがそれらを変更するにもかかわらず、パケットがエンドポイント間で変更されるべきではないという事実に依存する。その結果、この解決法は、使用可能なプロトコルにいくつかの制約を課し、したがって、提供されることができるサービスにもいくつかの制約を課す。
【０００７】
この問題を解決する別の方法は、複数のＩＰアドレスをユーザに割り振ることである。所与のアプリケーションがサードパーティＶＰＮまたはローカルＶＰＮのサービスに関連するかどうかに基づいて、アプリケーションは、そのパケットを送信するために異なるＩＰアドレスを使用する。この解決法は、所与の時点でどのＩＰアドレスを使用しなければならないかを各アプリケーションに指定するための、よく制御された機構があると想定する。ユーザがＶＰＮ１のＵＲＬからＶＰＮ２のＵＲＬにブラウジングする場合などのように、同じアプリケーションが異なるＶＰＮのサービスに続いてアクセスするために使用される場合には、これを保証することは非常に困難である。すなわち、典型的には、アクセスサービスプロバイダはユーザ端末で実行中のアプリケーションおよびプロトコルスタックへの制御権を持たないので、この解決法は、実現するには非常に複雑である。
【０００８】
【課題を解決するための手段】
本発明の特定の目的は、複数のＩＰアドレスを識別するための機構に関してエンドユーザが気にする必要がないためにエンドユーザに透過的でありつづけられる方法を提供することである。
【０００９】
本発明の別の目的は、ＮＡＳに過度に負荷を掛けすぎない方法を提供することである。
【００１０】
これらの目的および後述する他の目的は、ＮＡＳがデータ通信ネットワークを介して通信デバイスおよび複数のＶＰＮにアクセスすることができ、ホストＶＰＮと呼ばれるＶＰＮにすでに接続されたものとしてＮＡＳに登録されているユーザが、ホストＶＰＮに属さない少なくとも１つの通信デバイスと通信できるようにする方法によって達成される。この方法は、ＮＡＳと通信デバイスとの間の論理チャネルを介して、ユーザと通信デバイスとの間の通信に属するメッセージを送信するステップを含む。この際、論理チャネルは、ホストＶＰＮの識別子を参照する。
【００１１】
この方法は、ＩＰパケットの変更を必要としない点で有利である。
【００１２】
本発明は、請求項８および９に記載のネットワークアクセスサーバにも関する。
【００１３】
本発明の他の特徴および利点は、限定的でない例示によって示された好ましい実施形態の以下の説明を読み、また添付の図面から明らかとなろう。
【００１４】
【発明の実施の形態】
図１に、パブリックインターネットや専用回線などのコアネットワーク１４を介して相互接続されるいくつかのＶＰＮ１５１、１５２、１５３およびアクセスネットワーク１２１、１２２を備える、相互接続されたデータ通信ネットワークの物理的アーキテクチャを示す。
【００１５】
エンドユーザ１１１、…、１１４は、アクセスネットワーク１２１、１２２を介してＮＡＳ１３１、１３２に接続される。ＮＡＳ１３１、１３２は、エンドユーザ１１１、…１１４のコアネットワーク１４および相互接続されたデータ通信ネットワーク１５１、…１５３へのアクセスを可能にする。異なるＶＰＮ１５１、…１５３に属するいくつかのサーバ１６１、…１６４を一例として図面に示す。サーバ１６１および１６２はＶＰＮ１５１に属し、サーバ１６３はＶＰＮ１５２に属し、サーバ１６４はＶＰＮ１５３に属する。これらのサーバは、ＶＰＮに特有の情報を含み、認証および許可などの機能をサポートすることが好ましい。
【００１６】
ＶＰＮ１５１は、ＮＡＳ１３１に好適に関連付けられる点で優先的な役割を果たし、以下ではローカルＶＰＮと呼ぶ。たとえば、ＮＡＳならびにローカルＶＰＮは、単一のアクセスサービスプロバイダによって所有される。ただし、これは、本発明の要件ではない。ＶＰＮ１５２および１５３は、企業のイントラネットなどのサードパーティのＶＰＮ１５１であることが好ましい。
【００１７】
ローカルＶＰＮ１５１は、図に示すように、コアネットワーク１４に相互接続することができる。あるいは、ローカルＶＰＮ１５１は、ＮＡＳ１３１に直接に接続されることもできる。いくつかの異なるＮＡＳ１３１、１３２を、同じローカルＶＰＮ１５１に関連付けることができる。
【００１８】
アクセスネットワーク１２１および１２２は、ＰＳＴＮまたはＩＳＤＮなどの通常の電話ネットワーク、またはケーブルネットワークならびに無線ネットワークであってよい。
【００１９】
アクセスネットワーク１２１、１２２が通常の電話ネットワークである場合、ＮＡＳ１３１、１３２は、ＰＳＴＮアナログ接続を終端するためにアナログ・モデムを備える。ＩＳＤＮデジタル接続の場合、信号は復調される必要はない。ＮＡＳ１３１、１３２は、コアネットワークへのルータ機能とゲートウェイも備える。
【００２０】
以下の説明で、本発明を説明するために一例が使用される。この例では、ユーザ１１１は、ＶＰＮ１５２に属するサーバ１６３と通信すると想定する。この通信は、ＮＡＳ１３１を介して実施される。ユーザ１１２は、ＶＰＮ１５３に属するサーバ１６４と通信することも想定される。この通信は、ＮＡＳ１３１を介して実施される。接続が、現行でユーザ１１１とＶＰＮ１５２との間で確立しており、ならびにユーザ１１２とＶＰＮ１５３との間で確立している状況を想定することが好ましい。これらの接続は、それぞれに、ユーザ１１１および１１２とＮＡＳ１３１および１３２との間で、ＮＡＳ１３１と１３２における適切なルーティングテーブルの設定と組み合せて、ＰＰＰ（ポイントツーポイントプロトコル）接続として実現することが好ましい。アクセスネットワークで通常に使用される他のいかなるタイプの接続も想定することができる。
【００２１】
接続セットアップ中に、ＩＰアドレスは、接続を必要とするユーザに割り当てられ、接続期間中割り当てられる。接続セットアップ中に、各ユーザ１１１、１１２は、どのＶＰＮに接続を希望するかもＮＡＳ１３１に示す。
【００２２】
ＮＡＳ１３１は、通常、ＩＰアドレスの有限のプールを自由裁量で有するので、ユーザが異なるＶＰＮに接続されることを希望するならば、単一ＩＰを、ＮＡＳ１３１に同時に接続されている異なるユーザに割り振ることができる。この点で、ＩＰアドレスだけでは、ユーザは一義的に識別されない。したがって、ユーザが接続されるＶＰＮとそのＩＰアドレスの結合だけが、ユーザをＮＡＳで一義的に識別する。この例では、ユーザ１１１およびユーザ１１２は、接続セットアップ中に、ＮＡＳ１３１によって同じＩＰアドレスに割り振られると想定する。両者が異なるＶＰＮに接続を希望するので、これは前述の説明に準拠する。
【００２３】
接続セットアップ中に、ＮＡＳ１３１は、ＮＡＳ１３１に接続されているユーザ１１１、１１２およびＶＰＮ１５２、１５３の間で確立される接続に関する情報を含むテーブルに書き込む。この情報は、接続期間を通して、テーブルに保持される。このテーブルの項目は、アクセスネットワーク１２１に特有のユーザ識別（たとえば、呼出し番号）、ユーザに割り振られたＩＰアドレス、およびユーザが現行で接続しているＶＰＮを示すＶＰＮ識別子を含むことが好ましい。
【００２４】
すでに確立した接続に平行して、ユーザ１１１が、ＶＰＮ１５２への接続を解放せずに、ローカルＶＰＮ１５１に位置するサーバ１６１と同時に通信することを希望すると想定する。ユーザ１１１のソースアドレスならびにサーバ１６１の宛先ＩＰアドレスを含むサーバ１６１に向けられたメッセージが、ＮＡＳ１３１に送信される。ＮＡＳ１３１は、ユーザ１１１がすでにＶＰＮ１５２に接続していても、サーバ１６１の宛先ＩＰアドレスを含むメッセージはＶＰＮ１５１に向けて送られるべきであることを検出する。
【００２５】
サーバ１６１は、ユーザ１１１に向けて送られる回答メッセージによってこのメッセージに回答する場合、受信したメッセージにあるユーザ１１１のＩＰアドレスを宛先アドレスとして含むＩＰメッセージが構築される。ＮＡＳ１３１は、この回答メッセージを受信すると、ユーザ１１２も同じＩＰアドレスを有するので、この回答メッセージがユーザ１１１に向けて送られていることを一義的に識別することができない。
【００２６】
本発明により、ＮＡＳ１３１が、ユーザ１１１がすでに接続されたものとして登録されているＶＰＮ１５２に属さないサーバ１６１に向けてメッセージが送信されることを検出するとすぐに、メッセージは、ユーザ１１１がすでに接続されたものとして登録されているＶＰＮ１５２の識別子を論理チャネル識別子として有する論理チャネルで送信される。
【００２７】
そのような論理チャネルの原理は、一般に当業者によって知られており、いくつかの技術によって実現されている。
【００２８】
ＮＡＳ１３１およびＶＰＮ１５１の間の論理チャネルの実現は、たとえば、カプセル化によって実施される。ＮＡＳ１３１は、サーバ１６１に向けて送られる各メッセージを、ユーザ１１１がすでに接続されたものとして登録されているＶＰＮの識別子をそのヘッダ部分に含むパケットにカプセル化するべきである。トンネル伝送と呼ばれるカプセル化の特別な形式を使用することもできる。トンネル伝送の１つの原理は、ＯＳＩ通信モデルのある層に対応するプロトコルデータを、ＯＳＩ通信モデルの同じ層に対応する別のプロトコルデータにカプセル化することである。これは、プライバシーおよび機密保護の問題に関して異質ネットワークにおいて有利である。
【００２９】
ユーザ１１１によって送信され、論理チャネル識別子としてＶＰＮ１５２の識別子を有する論理チャネルを介して受信したメッセージに、サーバ１６１が回答しなければならない場合、サーバ１６１は、同じ論理チャネルを介して回答メッセージを送信して戻す。ＮＡＳ１３１で回答メッセージを受信すると、ＮＡＳ１３１は、メッセージが受信された論理チャネルの論理チャネル識別子を識別し、論理チャネルからメッセージを抽出する。ＮＡＳ１３１は、回答メッセージに含まれるＩＰアドレスへのアクセス権ならびにユーザがすでに接続されているＶＰＮの識別子を有するので、回答メッセージがどのユーザに向けて送られるかを一義的に識別することができる。このいくつかの情報によって、ＮＡＳは、ユーザ１１１を一義的に識別することができる。
【００３０】
この方法の利点は、これがエンドユーザに透過的であるということである。
【００３１】
図２に、本発明によるＮＡＳの１実施形態を示す。ＮＡＳ２０は、転送エンジン（ｆｏｒｗａｒｄｉｎｇ ｅｎｇｉｎｅ）２１、論理チャネルコントローラ２２、ルーティング部分２３およびテーブル２４を備える。ＮＡＳ２０は、３つのインターフェースも備える。すなわち、アクセスネットワークおよびユーザへの第１のインターフェース２０１、ローカルＶＰＮ（図１に示すローカルＶＰＮ１５１）への第２のインターフェース２０２、およびサードパーティＶＰＮ（図１に示すＶＰＮ１５２および１５３）への第３のインターフェース２０３である。
【００３２】
第１のインターフェース２０１は、論理チャネルコントローラ２２ならびにルーティング部分２３に接続されている転送エンジン２１に接続されている。論理チャネルコントローラ２２は第２のインターフェースに接続されており、ルーティング部分は第３のインターフェース２０３に接続されている。論理チャネルコントローラ２２ならびにルーティング部分２３は、テーブル２４にアクセスすることができる。テーブル２４は、ユーザとサードパーティＶＰＮとの間ですでに確立された接続を登録している項目を含むデータベースである。各項目は、ユーザが接続されているアクセスネットワークに特有のユーザの識別子、そのユーザのＩＰアドレス、およびユーザが接続されているサードパーティＶＰＮの識別子を含む。各項目では、他の情報も入手可能である。
【００３３】
第１のインターフェース２０１でメッセージを受信すると、転送エンジン２１は、このメッセージが、ローカルＶＰＮと、ユーザがすでに接続されているサードパーティＶＰＮのどちらに向けて送られているかをチェックする。このチェックは、メッセージに含まれる宛先ＩＰアドレスを分析することによって実行される。
【００３４】
メッセージがサードパーティＶＰＮに向けて送られている場合、メッセージは、ルーティング部分２３に透過的に伝達され、第３のインターフェース２０３を介して送信される。
【００３５】
メッセージがローカルＶＰＮに向けて送られている場合、メッセージは、論理チャネルコントローラ２２に送信される。論理チャネルコントローラ２２は、メッセージに含まれるソースＩＰアドレスをチェックし、テーブル２４をサーチしてユーザがすでになんらかのサードパーティＶＰＮに接続しているかどうかを調べる。接続している場合、ユーザがすでに接続しているサードパーティＶＰＮ識別子を抽出する。次いで、論理チャネルコントローラ２２は、そのメッセージを、サードパーティＶＰＮ識別子または一義的にその識別子に由来するなんらかの識別子を論理チャネル識別子として有する論理チャネル上に導く。ユーザが、どのＶＰＮにも接続していない場合、ローカルＶＰＮにメッセージを送信するために、デフォルト予約論理チャネル識別子（ｄｅｆａｕｌｔ ｒｅｓｅｒｖｅｄ ｌｏｇｉｃａｌ ｃｈａｎｎｅｌ ｉｄｅｎｔｉｆｉｅｒ）が使用される。
【００３６】
第２のインターフェース２０１でメッセージを受信すると、論理チャネルコントローラ２２は、このメッセージが送られるユーザがすでに接続されているＶＰＮがもしあるならば、どのＶＰＮに接続されているかを発見する役目を果たす。この目的で、論理チャネルコントローラ２２は、インターフェース２０２を介してメッセージが受信されたチャネルから論理チャネル識別子を抽出する。ＶＰＮ識別子は、論理チャネル識別子と同一であっても、図２には示さない関連テーブルを使用してその論理チャネル識別子から一義的に推定されてもよい。
【００３７】
論理チャネルコントローラ２２は、メッセージに含まれる宛先ＩＰアドレスも抽出する。次いで、論理チャネルコントローラ２２は、そのＩＰアドレスおよびＶＰＮ識別子に対応するユーザをテーブル２４でサーチする。これで、メッセージが送信されるべきユーザが一義的に識別される。このメッセージは、次いで、識別されたユーザに第１のインターフェース２０１でメッセージを送信する転送エンジン２１に送信される。
【００３８】
上記で説明した実施形態の別法として、テーブル２４は、ＮＡＳ２０に含まれない場合がある。テーブル２４は、スタンドアロンであってもよく、ＮＡＳ２０だけでなくＮＡＳの外部に位置する他のモジュール、具体的にはローカルＶＰＮのサーバに常駐するモジュールによってもアクセス可能であってよい。テーブル２４は、様々なＮＡＳによって共有することもできる。
【００３９】
本発明の別の実施形態では、２つの別個のＮＡＳが、第１のインターフェース２００のメッセージの受信と、第２のインターフェース２０２のメッセージの受信を別個に取り扱うことを想定することができる。
【図面の簡単な説明】
【図１】本発明の適用可能な、相互接続されたデータ通信ネットワークの物理的アーキテクチャを示す図である。
【図２】本発明による、ＮＡＳの実施形態を示す図である。
【符号の説明】
１４ コアネットワーク
２２ 論理チャネルコントローラ
２４ データベース
１１１ ユーザ
１２１、１２２ アクセスネットワーク
２０、１３１ ネットワークアクセスサーバ
１５１ ローカルＶＰＮ
１５２ 仮想私設ネットワーク
１６１、１６２、１５２、１６４ サーバ

Claims (9)

1. ホスト仮想私設ネットワークと呼ばれる仮想私設ネットワーク（１５２）にすでに接続されているものとしてネットワークアクセスサーバ（１３１）に登録されているユーザ（１１１）が、前記ホスト仮想私設ネットワーク（１５２）の外部の少なくとも１つの通信デバイス（１６１）と通信できるようにする方法であって、前記ネットワークアクセスサーバ（１３１）が、前記通信デバイス（１６１）と、前記ホスト仮想私設ネットワークを備える複数の仮想私設ネットワーク（１５１、１５２、１５３）とにデータ通信ネットワーク（１４、１５１）を介してアクセスすることができ、前記方法は、前記ネットワークアクセスサーバ（１３１）と前記通信デバイス（１６１）との間の論理チャネルを介して、前記ユーザ（１１１）と前記通信デバイス（１６１）との間の通信に属するメッセージを送信するステップを含み、前記論理チャネルが、前記ホスト仮想私設ネットワーク（１５２）の識別子を参照することを特徴とする方法。
2. さらに、前記ネットワークアクセスサーバ（１３１）で、前記ユーザ（１１１）から前記通信デバイス（１６１）に向けて送られるメッセージを検出するステップと、
   前記ネットワークアクセスサーバ（１３１）から、前記メッセージを、前記仮想私設ネットワーク（１５２）の識別子を参照する論理チャネルを介して前記通信デバイス（１６１）に転送するステップとを含むことを特徴とする、請求項１に記載の方法。
3. さらに、仮想私設ネットワーク（１５２）の識別子を参照する論理チャネルで前記ネットワークアクセスサーバ（１３１）において受信される前記通信デバイス（１６１）からのメッセージを検出するステップであって、前記メッセージがユーザ宛先アドレスを含むステップと、
   すでに前記仮想私設ネットワーク（１５２）に接続されたものとして前記ネットワークアクセスサーバ（１３１）に登録されかつ前記宛先アドレスに対応するユーザ（１１１）を判定するステップと、
   前記ネットワークアクセスサーバ（１３１）からの前記メッセージを前記ユーザ（１１１）に転送するステップとを含むことを特徴とする、請求項１に記載の方法。
4. 前記ユーザ（１１１）と前記通信デバイス（１６１）との間の通信に属する前記メッセージがデータパケットにカプセル化され、前記データパケットが、前記ホスト仮想私設ネットワーク（１５２）の前記識別子または前記識別子に由来する指示を含むフィールドを含むことを特徴とする、請求項１から３のいずれか一項に記載の方法。
5. 前記ユーザ（１１１）と前記通信デバイス（１６１）との間の通信に属する前記メッセージが、前記ホスト仮想私設ネットワーク（１５２）の前記識別子をトンネル識別子として有するトンネルを介して送信されることを特徴とする、請求項４に記載の方法。
6. 前記メッセージが前記ユーザ（１１１）のＩＰアドレスを含むＩＰパケットから構成されることを特徴とする、請求項１から５のいずれか一項に記載の方法。
7. 前記通信デバイス（１６１）が、前記ネットワークアクセスサーバ（１３１）に関連付けられ前記ホスト仮想私設ネットワークと異なるローカル仮想私設ネットワークと呼ばれる仮想私設ネットワーク（１５１）に属するサーバであることを特徴とする、請求項１に記載の方法。
8. ユーザと通信デバイスとの間の通信を可能にするためのネットワークアクセスサーバ（２０）であって、前記ユーザが、ホスト仮想私設ネットワークと呼ばれる仮想私設ネットワークにすでに接続されたものとして前記ネットワークアクセスサーバに登録されており、前記通信デバイスが、前記ホスト仮想私設ネットワークの外部にあり、前記ネットワークアクセスサーバが、前記ユーザの識別子を前記ホスト仮想私設ネットワークの識別子に関連付けるデータベースにアクセスすることができ、前記ネットワークアクセスサーバがさらに、前記ユーザから発信されるメッセージを、前記ネットワークアクセスサーバと前記通信デバイスとの間の論理チャネルで前記通信デバイスに向けて送信するための手段を含み、前記論理チャネルが、前記ホスト仮想私設ネットワークの前記識別子を参照することを特徴とするネットワークアクセスサーバ（２０）。
9. 通信デバイスによって送信され前記ネットワークアクセスサーバで受信されるメッセージの宛先である一人のユーザを複数のユーザから一義的に取り出すためのネットワークアクセスサーバ（２０）であって、前記ユーザが、前記ネットワークアクセスサーバを介して、前記通信デバイスを備えない仮想私設ネットワークにすでに接続されており、前記ネットワークアクセスサーバが、前記ユーザの識別子を前記ユーザがすでに接続されている前記仮想私設ネットワークの識別子に関連付けるデータベース（２４）にアクセスすることができ、前記ネットワークアクセスサーバが、
   前記ネットワークアクセスサーバで前記メッセージが受信される１つの論理チャネルの論理チャネル識別子を判定する論理チャネルコントローラ（２２）と、前記データベースの前記論理チャネル識別子と前記ユーザ項目に従って、前記メッセージの宛先であるユーザをリトリーブする手段とを含むことを特徴とするネットワークアクセスサーバ（２０）。

Images