JP4753314B2 - 仮想閉域網を１つのレイヤ３スイッチとして設定管理するシステム及びプログラム - Google Patents

Description

本発明は、仮想閉域網（ＶＰＮ:Virtual Private Network）のシステム及びプログラムに関する。

企業のような組織は、地理的に分散する複数の拠点を有し、これら拠点間でネットワークを構築する場合がある。このような秘匿性を要するネットワークは、仮想閉域網（以下「ＶＰＮ」という）によって構築される場合が多い。ＶＰＮサービスは、通常、プロバイダ（通信事業者）の設備であるＶＰＮサービス網を用いて提供される。

図１は、従来技術におけるＶＰＮサービス網のシステム構成図である。

図１によれば、プロバイダは、ＶＰＮサービス網を、網側（プロバイダ）エッジルータ（Provider Edge Router、以下「ＰＥルータ」という）１と、プロバイダルータ（Provider Router、以下「Ｐルータ」という）４とによって構成する。ＰＥルータは、ユーザ拠点をＶＰＮサービス網へ収容する装置である。Ｐルータは、ＶＰＮサービス網内で、ＶＰＮ専用のパケットラベルを用いて、ＰＥルータ間のユーザフレームを転送する。

一方で、ユーザは、各拠点に１台以上のユーザ側ルータ（Customer Router、以下「ＣＥルータ」という）２を配置する。ＣＥルータ２は、通常、ＩＰ(Internet Protocol)ルータ又はレイヤ３スイッチである。

図１によれば、ユーザＡは、拠点１〜４を有し、ユーザＢは拠点１を有する。ユーザの各拠点に配置されたＣＥルータ２は、アクセス回線を介して、ＰＥルータ１に接続する。ＣＥルータ２は、転送すべきユーザフレームをＰＥルータ１へ送信する。ＰＥルータ１とＣＥルータ２との間には、例えば、ＲＩＰｖ２(Routing Information Protocol Version 2)、ＯＳＰＦ(Open Shortest Path First)、ＢＧＰ(Border Gateway Protocol)等のダイナミックルーティングプロトコルが用いられる。

ＶＰＮサービス網には、複数のユーザＶＰＮが相乗りする。図１によれば、ユーザＡ及びＢのユーザＶＰＮが構成されている。ここで、ユーザＶＰＮは、必ずしも相互に固有のＩＰアドレス体系を用いるとは限らない。図１によれば、ユーザＡの拠点２と、ユーザＢの拠点１とは、同一のＩＰプレフィックス(10.2.0.0/16)を利用している。従って、ＶＰＮサービス網におけるユーザフレームは、ユーザパケットの宛先ＩＰアドレスと無関係であって、且つ、特定のユーザＶＰＮの中でのみ転送されなければならない。

ホスト端末５は、各ユーザＶＰＮ内に閉じたＩＰアドレス体系を用いる。このため、ＣＥルータ２（又はＣＰＥルータ）は、ユーザパケットの宛先ＩＰアドレスに基づいて経路制御をする。尚、ＣＥルータ２が、そのユーザの他の拠点やＩＰサブネットへの経路を学習できるように、ＶＰＮサービス網は、ＣＥルータ間で交換されるユーザ経路広告の転送を、サポートする必要がある。

ＶＰＮサービス網は、機能上、レイヤ２ＶＰＮとレイヤ３ＶＰＮとに大別できる。レイヤ２ＶＰＮは、ユーザフレームをレイヤ２メディア（例えばイーサネット（登録商標））フレームによって転送し、レイヤ２のヘッダの情報を用いて経路を制御する（例えば非特許文献１参照）。

一方、レイヤ３ＶＰＮは、ユーザフレームをレイヤ３（例えばＩＰ）パケットによって転送し、レイヤ３のヘッダの情報を用いて経路を制御する（例えば非特許文献２参照）。

ここで、レイヤ２ＶＰＮは、図１のユーザＡ拠点１とユーザＡ拠点２のように、複数拠点に跨るイーサネットブロードキャストドメイン（ＶＬＡＮ−ＩＤ）を設定することができる。これによって、レイヤ２ＶＰＮは、複数拠点を同一ＩＰサブネットに所属させるような、柔軟なネットワーク構成、例えば、拠点のネットワークの結合及び分離が容易となる。

一方、レイヤ３ＶＰＮは、ＰＥルータによってＩＰサブネットが分断されるために、複数拠点を同一ＩＰサブネットに所属させるようなネットワーク構成を採用することが原則としてできない。このために、ネットワーク構成の自由度を求める場合、ユーザは、レイヤ２ＶＰＮを利用することになる。

尚、従来のＶＰＮサービス網の代表的な実現方式として、ＢＧＰ／ＭＰＬＳ(Border Gateway Protocol / Multi Protocol Label Switching) ＶＰＮ（例えば非特許文献１及び２参照）がある。ＢＧＰ／ＭＰＬＳ ＶＰＮの場合、Ｐルータ間及びＰルータ−ＰＥルータ間のパケット転送にＭＰＬＳを用いることにより、ユーザパケットの宛先ＩＰアドレスと無関係なパケット転送を実現している。

L. Andersson及びE. Rosen、「Framework for Layer 2 Virtual PrivateNetworks (L2VPNs)」、IETF RFC4664、２００６年９月 E. Rosen及びY. Rekhter、「BGP/MPLS IP VirtualPrivate Networks (ＶＰＮs)」、IETF RFC4364、２００６年２月 「Administering Customer Edge Routers」、インターネット＜URL:http://www.cisco.com/univercd/cc/td/doc/product/rtrmgmt/vpnsc/mpls/1_2/prov_gd/vpn_ug7.pdf＞、２０００年１２月

しかし、レイヤ２ＶＰＮの自由度の高さを最大限享受しようとする場合、ユーザ拠点に配置されるＣＥルータの設定が、レイヤ３ＶＰＮの場合よりも複雑となる。具体的には、遠隔地に分散した複数のＣＥルータに対して、矛盾無くＶＬＡＮ設定をすることは、ユーザにとって大きな負担となる。ユーザは、全拠点にＶＬＡＮ技術を理解するネットワーク運用者を配備する必要がある。

例えば、図１によれば、ユーザＡは、拠点１のＣＥルータ１と拠点２のＣＥルータ２に対して、同一のイーサネットブロードキャストドメインに属するようにＶＬＡＮ設定をしなければならなない。

具体的には、ユーザフレームの送信側ＣＥルータ１は、ある物理ポート（例えばＣＥ１のポート１）から入力されるユーザフレームに、ＶＬＡＮタグ（例えばＶＬＡＮ−ＩＤ＝１）を付与する必要がある。また、受信側ＣＥルータ２は、受信したユーザフレームのＶＬＡＮタグを識別し、対応する物理ポート（例えばＣＥルータ２のポート１）へ転送するように設定する必要がある。このように、ユーザは、拠点間に跨ってＶＬＡＮ設定をする必要があり、これら設定に矛盾や誤りを生じる可能性も高い。

また、このようなＶＬＡＮ設定を可能とするＣＥルータは、レイヤ２ＶＰＮで用いるようなＣＥルータと比較して、一般的に高コストである。

ここで、プロバイダ運用者が、遠隔制御によってＣＥルータの制御管理を代行することにより、ユーザの設定作業負担を軽減する方法も考えられる。ＭＰＬＳに基づくＶＰＮによれば、プロバイダからＣＥルータへの遠隔管理網を確保する方式がある（例えば非特許文献３参照）。しかし、非常に多数のＣＥルータを制御するプロバイダ運用者が、ユーザの要求に応じて速やかにＶＬＡＮ設定を変更するには、多大な設備コストを要する。プロバイダ運用者は、ＣＥルータに対して遠隔管理可能な状態におくことも必要となる。

そこで、本発明は、ユーザにＣＥルータの設定作業の負担をかけることなく、ネットワーク構成を比較的自由に設定することができるＶＰＮサービス網のためのシステム及びプログラムを提供することを目的とする。

本発明によれば、仮想閉域網（ＶＰＮ:Virtual Private Network）に複数の網側エッジルータ（ＰＥルータ：Provider Edge Router）が接続されており、該網側エッジルータの物理ポートにユーザ側ネットワークが接続されるシステムにおいて、
網側エッジルータは、物理ポート毎に、ブロードキャストドメインを設定可能であって、
システムは、トポロジ管理サーバ及び仮想スイッチサーバを有し、
トポロジ管理サーバは、網側エッジルータの識別子及び物理ポート番号に対応付けて、ユーザ毎に割り当てた仮想プロセス番号と、当該ユーザによって管理されるユーザ側ネットワーク毎に割り当てた仮想ポート番号と、該仮想ポート番号に割り当てるブロードキャストドメインとを記憶した対応関係表を有し、
仮想スイッチサーバは、
トポロジ管理サーバの対応関係表を更新する対応関係更新手段と、
ユーザ毎に仮想プロセスを有し、該仮想プロセス毎に、対応関係表を更新するためのユーザ設定インタフェースを提供し、ブロードキャストドメインをユーザから設定可能とするユーザ設定インタフェース手段と、
対応関係表に応じて、網側エッジルータへ、物理ポート番号毎にブロードキャストドメインの割り当てを指示する網側エッジルータ制御手段と
を有することを特徴とする。

本発明によれば、仮想閉域網（ＶＰＮ）に複数の網側エッジルータ（ＰＥルータ）が接続されており、該網側エッジルータの物理ポートにユーザ側ネットワークが接続され、網側エッジルータは、物理ポート毎に、ブロードキャストドメインを設定可能であるシステムにおけるトポロジ管理サーバに搭載されたコンピュータを機能させる第１のプログラムと、トポロジ管理サーバと通信可能な仮想スイッチサーバに搭載されたコンピュータを機能させる第２のプログラムとから構成されており、
トポロジ管理サーバ用の第１のプログラムは、網側エッジルータの識別子及び物理ポート番号に対応付けて、ユーザ毎に割り当てた仮想プロセス番号と、当該ユーザによって管理されるユーザ側ネットワーク毎に割り当てた仮想ポート番号と、該仮想ポート番号に割り当てるブロードキャストドメインとを記憶した対応関係表を有するようにコンピュータを機能させ、
仮想スイッチサーバ用の第２のプログラムは、
トポロジ管理サーバの対応関係表を更新する対応関係更新手段と、
ユーザ毎に仮想プロセスを有し、該仮想プロセス毎に、対応関係表を更新するためのユーザ設定インタフェースを提供し、ブロードキャストドメインをユーザから設定可能とするユーザ設定インタフェース手段と、
対応関係表に応じて、網側エッジルータへ、物理ポート番号毎にブロードキャストドメインの割り当てを指示する網側エッジルータ制御手段と
してコンピュータを機能させることを特徴とする。

本発明のトポロジ管理サーバ用のプログラムによれば、ブロードキャストドメインは、ＶＬＡＮ−ＩＤであることも好ましい。

本発明におけるＶＰＮサービス網のシステム及びプログラムによれば、ユーザにＣＥルータの設定作業の負担をかけることなく、ネットワーク構成を比較的自由に設定することができる。

以下では、図面を用いて、本発明を実施するための最良の形態について詳細に説明する。

図２は、本発明におけるＶＰＮサービス網の第１のシステム構成図である。

図２によれば、図１と比較して、ユーザ拠点に、ＣＥルータが配置されていない。一方で、ＶＰＮサービス網に、トポロジ管理サーバ６と、仮想スイッチサーバ（ＶＳＷ−ＯＳ）７とが接続されている。図１によれば、ＣＥルータによってフレームにＶＬＡＮ−ＩＤが付与されていたのに対し、図２によれば、ＰＥルータ１によってフレームにＶＬＡＮ−ＩＤが付与される。各ＰＥルータ１の物理ポート毎に割り当てられるＶＬＡＮ−ＩＤは、仮想スイッチサーバ７からの設定指示に基づく。従って、ユーザ側ネットワークに配置されるルータが、ＶＬＡＮ−ＩＤの設定を考慮する必要がない。

トポロジ管理サーバ６は、対応関係表を有する。対応関係表は、ＰＥルータのＩＤ及び物理ポート番号に対応付けて、ユーザ毎に割り当てた仮想プロセス番号と、当該ユーザによって管理されるユーザ側ネットワーク毎に割り当てた仮想ポート番号と、該仮想ポート番号に割り当てるブロードキャストドメインとを記憶する。ブロードキャストドメインとしては、例えばＶＬＡＮ−ＩＤである。ユーザは、少なくともＶＬＡＮ−ＩＤの部分について自由に設定可能となる。

図２によれば、ユーザＡには、仮想プロセス番号１が割り当てられており、仮想ポート番号１〜４が付与されている。ユーザＡにとっては、ＶＰＮサービス網が１つのレイヤ３スイッチであって、そのレイヤ３スイッチにポート１〜４が存在すると想定することができる。そこで、ユーザＡは、拠点１のネットワークは仮想ポート番号３に接続し、拠点２のネットワークは仮想ポート番号１に接続し、拠点３のネットワークは仮想ポート番号４に接続し、拠点４のネットワークは仮想ポート２に接続する。

また、ユーザＡは、拠点１のネットワークと拠点２のネットワークとについて、同一のブロードキャストドメイン、即ちＩＰサブネット[10.1.0.0/16]に割り当てるとする。このとき、ユーザＡは、拠点１の仮想ポート番号３と、拠点２の仮想ポート番号１とに、同じＶＬＡＮ−ＩＤ１を割り当てる。また、図２によれば、ユーザＡは、拠点２のＩＰサブネット[10.2.0.0/16]にＶＬＡＮ−ＩＤ２を割り当て、拠点４のＩＰサブネット[10.3.0.0/16]にＶＬＡＮ−ＩＤ３を割り当てる。

対応関係表によれば、前述した仮想プロセスに対し、現実のＰＥルータのＩＤ及び物理ポート番号が割り当てられている。拠点１のネットワークは、ＰＥルータ３の物理ポート番号１に接続されており、拠点２のネットワークは、ＰＥルータ１の物理ポート番号１に接続されており、拠点３のネットワークは、ＰＥルータ３の物理ポート番号２に接続されており、拠点４のネットワークは、ＰＥルータ２の物理ポート番号１に接続されている。

図２によれば、ユーザＡの拠点１のネットワーク及び拠点２のネットワークとは、同一のＶＬＡＮに属しており、イーサネットブロードキャストされるユーザフレームは、そのＶＬＡＮの中でブロードキャストされる。例えば、ＰＥルータ３のポート１に入力されたユーザフレームは、ＶＰＮサービス網を介して、ＰＥルータ１のポート１から出力される。

図３は、本発明におけるＶＰＮサービス網の第２のシステム構成図である。

図３によれば、図２と比較して、ユーザＡの拠点３のネットワークを、拠点１及び２のネットワークと同一のドメインに参加させようとしている。この場合、ユーザＡは、トポロジ管理サーバ６の対応関係表における仮想ＶＬＡＮ−ＩＤを変更することができる。

ユーザＡは、拠点３のネットワークが、対応関係表の仮想ポート番号４に対応していることを理解している。ここで、ユーザＡは、仮想ポート番号４のＶＬＡＮ−ＩＤ２（図２の場合）を、仮想ポート番号１及び３のＶＬＡＮ−ＩＤと同じＶＬＡＮ−ＩＤ１に変更する。ユーザＡにとっては、ＶＰＮサービス網が１つのレイヤ３スイッチであって、そのレイヤ３スイッチのポート４のＶＬＡＮ−ＩＤ２を、ポート１及び３のＶＬＡＮ−ＩＤ１に変更したにすぎない。

トポロジ管理サーバ６の対応関係表の変更は、仮想スイッチサーバ７を介して実行される。仮想スイッチサーバ７は、ユーザの端末に対して、対応関係表を更新するためのユーザ設定インタフェースを提供する。仮想スイッチサーバ７は、変更された対応関係表に基づいて、ＰＥルータへ、物理ポート番号毎にＶＬＡＮ−ＩＤの割り当てを指示する。

ユーザは、仮想スイッチサーバ７のユーザ設定インタフェースを通じて、自らのネットワークが使用するＶＬＡＮ−ＩＤを変更できる。仮想スイッチサーバ７は、ユーザ毎に仮想プロセスを有し、仮想プロセス毎の設定が、ユーザ設定インタフェースに表示される。従って、あるユーザの対応関係表の内容は、他のユーザからは隠蔽される。

仮想スイッチサーバ７によって提供されるユーザ設定インタフェースは、例えばtelnetやsshサーバ経由で提供されるＣＬＩを利用したものや、Ｗｅｂサーバ又は独自のサーバプログラムを経由して提供されるＧＵＩ形式のものなど、多様な形式で提供され得る。

図３によれば、ユーザＡの拠点１のネットワークと、拠点２のネットワークと、拠点３のネットワークとは、同一のＶＬＡＮに属しており、イーサネットブロードキャストされるユーザフレームは、そのＶＬＡＮの中でブロードキャストされる。例えば、ＰＥルータ３のポート１に入力されたユーザフレームは、ＰＥルータ３のポート２からも出力されると共に、ＶＰＮサービス網を介して、ＰＥルータ１のポート１からも出力される。

図４は、本発明における仮想スイッチサーバの機能構成図である。

図４によれば、仮想スイッチサーバ７は、対応関係更新部７１と、ユーザ設定インタフェース部７２と、ＰＥルータ制御部７３とを有する。これら機能部は、仮想スイッチサーバに搭載されたコンピュータを機能させるプログラムを実行することによっても実現できる。

対応関係更新部７１は、トポロジ管理サーバ６と通信し、対応関係表を更新する。ユーザ設定インタフェース部７２によってユーザに更新された対応関係表を、トポロジ管理サーバ６へ送信する。

ユーザ設定インタフェース部７２は、ユーザの端末に対して、仮想プロセス毎に、対応関係表を更新するためのユーザ設定インタフェースを提供する。ユーザ毎に仮想プロセスを有するために、あるユーザの対応関係表の内容は、他のユーザからは隠蔽される。

ＰＥルータ制御部７３は、対応関係表に応じて、ＰＥルータへ、物理ポート番号毎にＶＬＡＮ−ＩＤの割り当てを指示する。これにより、ＰＥルータは、各物理ポートに、指示されたＶＬＡＮ−ＩＤを割り当てる。

以上、詳細に説明したように、本発明におけるＶＰＮサービス網のシステム及びプログラムによれば、ユーザにＣＥルータの設定作業の負担をかけることなく、ネットワーク構成を比較的自由に設定することができる。

従来技術によれば、ユーザは、各拠点のユーザネットワークにおけるレイヤ２ＶＬＡＮの結合・分離操作を、ＣＥルータ個別に設定する必要があった。

これに対し、本発明によれば、ユーザは、ユーザ設定インタフェースに基づく集中一括的な操作によって、比較的容易に、レイヤ２ＶＰＮの設定をすることができる。また、ユーザは、複数のＣＥルータ間におけるユーザＶＰＮの設定の矛盾について、配慮する必要もない。

また、従来技術によれば、プロバイダは、ＰＥルータの物理ポートの設定変更について、即ち、物理ポートをどのＶＬＡＮに所属させるかについて、ユーザに許可していない。ユーザが、設定変更を希望した場合、プロバイダは、ネットワーク全体のＶＬＡＮを考慮する必要があり、直ちにＶＬＡＮ設定を変更できるものでもない。これは、あるユーザが、他のユーザを収容するＰＥルータの物理ポートを、誤って設定変更してしまうことにより、他のユーザのユーザフレーム転送に影響を及ぼすからである。

これに対し、本発明によれば、当該ユーザに関係しないＰＥルータの物理ポートの設定は、仮想スイッチサーバ７によって完全に隠蔽されている。従って、他のユーザによって設定変更がなされることはない。そして、当該ユーザが設定可能な情報のみが公開される。ユーザにとっては、仮想ポート番号に対する仮想ＶＬＡＮ−ＩＤのみが設定できればよい。ユーザＡにとっては、ＶＰＮサービス網が１つのレイヤ３スイッチであって、そのレイヤ３スイッチに複数のポートが存在すると想定することができる。

更に、本発明によれば、複雑な設定を必要とし且つ高価なＣＥルータを必要としないので、ユーザが導入し維持するコスト負担を軽減することもできる。

前述した本発明における種々の実施形態によれば、当業者は、本発明の技術思想及び見地の範囲における種々の変更、修正及び省略を容易に行うことができる。前述の説明はあくまで例であって、何ら制約しようとするものではない。本発明は、特許請求の範囲及びその均等物として限定するものにのみ制約される。

従来技術におけるＶＰＮサービス網のシステム構成図である。 本発明におけるＶＰＮサービス網の第１のシステム構成図である。 本発明におけるＶＰＮサービス網の第２のシステム構成図である。 本発明における仮想スイッチサーバの機能構成図である。

符号の説明

１ ＰＥルータ、網側エッジルータ
２ ＣＥルータ、ユーザ側ルータ
４ Ｐルータ
５ ホスト
６ トポロジ管理サーバ
７ 仮想スイッチサーバ
７１ 対応関係更新部
７２ ユーザ設定インタフェース部
７３ ＰＥルータ制御部

Claims (4)

1. 仮想閉域網（ＶＰＮ:Virtual Private Network）に複数の網側エッジルータ（ＰＥルータ：Provider Edge Router）が接続されており、該網側エッジルータの物理ポートにユーザ側ネットワークが接続されるシステムにおいて、
   前記網側エッジルータは、物理ポート毎に、ブロードキャストドメインを設定可能であって、
   前記システムは、トポロジ管理サーバ及び仮想スイッチサーバを有し、
   前記トポロジ管理サーバは、前記網側エッジルータの識別子及び物理ポート番号に対応付けて、ユーザ毎に割り当てた仮想プロセス番号と、当該ユーザによって管理される前記ユーザ側ネットワーク毎に割り当てた仮想ポート番号と、該仮想ポート番号に割り当てるブロードキャストドメインとを記憶した対応関係表を有し、
   前記仮想スイッチサーバは、
   前記トポロジ管理サーバの前記対応関係表を更新する対応関係更新手段と、
   ユーザ毎に仮想プロセスを有し、該仮想プロセス毎に、前記対応関係表を更新するためのユーザ設定インタフェースを提供し、前記ブロードキャストドメインをユーザから設定可能とするユーザ設定インタフェース手段と、
   前記対応関係表に応じて、前記網側エッジルータへ、前記物理ポート番号毎に前記ブロードキャストドメインの割り当てを指示する網側エッジルータ制御手段と
   を有することを特徴とするシステム。
2. 前記ブロードキャストドメインは、ＶＬＡＮ−ＩＤ(Virtual Local Area Interface - IDentifier)であることを特徴とする請求項１に記載のシステム。
3. 仮想閉域網（ＶＰＮ）に複数の網側エッジルータ（ＰＥルータ）が接続されており、該網側エッジルータの物理ポートにユーザ側ネットワークが接続され、前記網側エッジルータは、物理ポート毎に、ブロードキャストドメインを設定可能であるシステムにおけるトポロジ管理サーバに搭載されたコンピュータを機能させる第１のプログラムと、前記トポロジ管理サーバと通信可能な仮想スイッチサーバに搭載されたコンピュータを機能させる第２のプログラムとから構成されており、
   前記トポロジ管理サーバ用の第１のプログラムは、前記網側エッジルータの識別子及び物理ポート番号に対応付けて、ユーザ毎に割り当てた仮想プロセス番号と、当該ユーザによって管理される前記ユーザ側ネットワーク毎に割り当てた仮想ポート番号と、該仮想ポート番号に割り当てるブロードキャストドメインとを記憶した対応関係表を有するようにコンピュータを機能させ、
   前記仮想スイッチサーバ用の第２のプログラムは、
   前記トポロジ管理サーバの前記対応関係表を更新する対応関係更新手段と、
   ユーザ毎に仮想プロセスを有し、該仮想プロセス毎に、前記対応関係表を更新するためのユーザ設定インタフェースを提供し、前記ブロードキャストドメインをユーザから設定可能とするユーザ設定インタフェース手段と、
   前記対応関係表に応じて、前記網側エッジルータへ、前記物理ポート番号毎に前記ブロードキャストドメインの割り当てを指示する網側エッジルータ制御手段と
   してコンピュータを機能させる
   ことを特徴とするプログラム。
4. 前記ブロードキャストドメインは、ＶＬＡＮ−ＩＤであることを特徴とする請求項３に記載のプログラム。

Images