JP4925130B2

JP4925130B2 - 通信制御方法およびシステム

Info

Publication number: JP4925130B2
Application number: JP2007323264A
Authority: JP
Inventors: 大輔荒井; 賢治堀; 彰井戸上; 健神山; 淳遠藤
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2007-12-14
Filing date: 2007-12-14
Publication date: 2012-04-25
Anticipated expiration: 2027-12-14
Also published as: JP2009147695A; US7773613B2; US20090154480A1

Description

本発明は、通信制御方法およびシステムに係り、特に、従来技術では満足できなかった様々な要求や条件を満足しながら、複数の閉域網が一つの物理サーバを共有できる通信制御方法およびシステムに関する。

企業の拠点間や企業間の通信の安全性を確保するために、閉域網を利用してイントラネットやエクストラネットを構築する技術としてVPN(Virtual Private Network)が普及している。近年、閉域網は大企業のみならず、中小企業においても導入が検討されるなど、その利用者は増加している。閉域網にサーバサービスを提供する場合、図５に一例を示したように、サーバ装置A，B，Cを閉域網NWa，NWb，NWc毎に設置する方法がある。しかしながら、閉域網ごとにサーバ装置を設けると設備や運用のコスト負担が大きくなる。

このような技術課題に対して、図６に一例を示したように、単一の共有サーバ装置を複数の閉域網NWa，NWb，NWcで共有することが考えられる。しかしながら、各閉域網NWa，NWb，NWcでIPアドレスを独自に割り当てるとIPアドレスに重複が生じる可能性がある。このような場合には、共有サーバ装置からみてIPアドレスが同一のホストが複数存在することになるので、共有サーバ装置から各閉域網内のホストへの接続性の確保が課題となる。非特許文献１および特許文献１〜４には、複数の閉域網が一つのサーバ装置を共有するシステムにおいて、ホストのIPアドレスの重複を解決する技術が開示されている。

非特許文献１には、LANをインターネットに接続する状況を典型的な例として、LAN側で使用されるプライベートIPアドレスをインターネット側で使用されるグローバルIPアドレスに変換する技術が開示されている。

特許文献１には、複数の閉域網とサーバ装置と間の通信を実現するために、閉域網内のホストと閉域網とのペアに対してサーバ装置側で識別可能な一意のIPアドレスをサーバ装置が割り当てて管理し、このIPアドレスと閉域網内のホストに割り当てられたIPアドレスとを対応付けることにより、ホストとサーバとの通信を可能にする技術が開示されている。

特許文献２には、複数の閉域網内のホストとサーバ装置との通信を実現するために、閉域網を識別するIDと、重複が考えられる閉域網内のホストのIPアドレスとの組に対して、サーバ装置が一意に識別可能なIPアドレスを割り当てる技術が開示されている。

特許文献３には、各ホストの閉域網を識別するため、各閉域網に固有の識別タグをホストから送信されるパケットに付与し、サーバ装置がパケットを受信した際に識別タグにより送信元ホストを識別し、この識別タグに基づいて、利用者毎に起動されたサーバアプリケーションへのパケット転送を制御する技術が開示されている。この特許文献３にはさらに、サーバ装置から閉域網内のホストに接続する場合、サーバアプリケーションが送信するパケットに、利用者ごとに固有の識別タグを付与して送信する技術が開示されている。

特許文献４には、サーバ装置が閉域網へ応答パケットを返す際、応答先のIPアドレスに関係なく、受信パケットのレイヤ２フレーム内の送信元ゲートウェイのMACアドレスを応答パケットのレイヤ２フレーム内の宛先MACアドレスに設定することにより、IPアドレスが重複する閉域網内のホストへのサーバ装置からの応答を実現する技術が開示されている。
RFC1631"The IP Network Address Translator" 特開2001-16255号公報特開2002-204252号公報特開2003-167805号公報特開2004-179853号公報

上記した非特許文献１の技術では、閉域網内のホストからサーバ装置への接続要求によりアドレスの変換を動的に行うため、サーバ装置を起点とする通信ができない。さらに、サーバ装置は閉域網の識別を行うことができないため、各閉域網に固有のサービスや情報を提供することが困難であった。

上記した特許文献１の技術では、それぞれの閉域網から見たサーバ装置のIPアドレスを異なるものとする必要があるため、利用者がサーバ装置のIPアドレスを自由に決定できなかった。

上記した特許文献２の技術では、サーバ装置から任意の閉域網内のホストへの接続を保証できず、また、サーバ装置は閉域網の識別を行うことができないため、各閉域網に固有のサービスや情報を提供することが難しかった。

上記した特許文献３の技術では、サーバ装置において、識別タグを識別する機能や、識別タグにより特定のサーバアプリケーションへのパケット転送を行う機能や、サーバ装置からの送付の際に利用者ごとに識別タグを付与する機能などを実装する必要があり、すでに使用されているサーバ装置や、そのアプリケーションの流用が難しかった。

上記した特許文献４の技術では、一般的なプロトコルスタックにおいては、宛先IPアドレスより次にパケットを転送する装置が決定され、送信先のMACアドレスが決定される。そのため、特許文献４の技術を実現するには、レイヤ２フレームの特殊なルーティングの実装がサーバ装置に必要となり、すでに使用されているサーバ装置やそのアプリケーションの流用が難しかった。さらに、サーバ装置を起点とした通信の確立が難しかった。

以上をまとめると、図７に一覧表示したように、複数の閉域網が一つの物理サーバを共有するに当たっては、以下の要件(1)〜(5)が満足されることが望ましいが、これら全ての要件を満足する技術が存在しなかった。
(1)サーバ装置を基点とする通信が可能であること
(2)サーバ装置が各閉域網内のホストを一意に識別可能であること
(3)サーバ装置のIPアドレスを閉域網毎に自由に決定可能であること
(4)既存のサーバ装置に対する新たな機能の実装が不要であること
(5)サーバ装置から見た各閉域網内のホストのIPアドレスが閉域網内で使用されているアドレスと同じであること

本発明の目的は、上記した従来技術の課題を解決し、様々な要求や条件を満足しながら、複数の閉域網が一つの物理サーバを共有できる通信制御方法およびシステムを提供することにある。

上記した目的を達成するために、本発明は、複数の閉域網と物理的に一つの共有サーバ装置とのパケット交換を制御し、閉域網ごとに固有のサーバアドレスが共有サーバ装置に割り当てられた通信制御システムにおいて、以下のような手段を講じた点に特徴がある。

(1)各閉域網と接続される複数の物理ポートおよびゲートウエイ側ポートを備えたスイッチと、スイッチと共有サーバ装置との間に接続されたゲートウエイ装置とを具備し、前記スイッチが、各物理ポートから入力されたパケットに、当該物理ポートに固有の識別タグを付与してゲートウエイ側ポートから出力する手段と、ゲートウエイ側ポートから入力されたパケットを、当該パケットに付与された識別タグに応じた物理ポートから出力する手段とを備え、前記ゲートウエイ装置が、識別タグとサーバアドレスとの対応関係を管理する変換テーブルと、スイッチから受信したゲートウエイ宛のパケットに付与された識別タグを検知する手段と、前記検知された識別タグに対応したサーバアドレスを前記変換テーブルから検索する第１検索手段と、前記パケットの宛先アドレスを、前記検索されたサーバアドレスに書き換える第１パケット書換手段と、共有サーバ装置から受信した閉域網宛のパケットの送信元アドレスに対応した識別タグを前記変換テーブルから検索する第２検索手段と、前記共有サーバ装置から受信したパケットに前記検索された識別タグを付与し、その送信元アドレスをゲートウエイアドレスに書き換える第２パケット書換手段とを含むことを特徴とする。

(2)前記ゲートウエイ装置には、閉域網ごとに固有のゲートウエイアドレスが割り当てられ、前記ゲートウエイ装置の変換テーブルは、識別タグとゲートウエイアドレスとサーバアドレスとの対応関係を管理し、前記第２検索手段は、共有サーバ装置から受信したパケットの送信元アドレスに対応した識別タグおよびゲートウエイアドレスを前記変換テーブルから検索し、前記第２パケット書換手段は、前記共有サーバ装置から受信したパケットに前記検索された識別タグを付与し、その送信元アドレスを前記検索されたゲートウエイアドレスに書き換えることを特徴とする。

本発明によれば、複数の閉域網がタグVLAN機能の実装されたスイッチの異なる物理ポートに接続されており、物理ポートに応じてパケットに付与される識別タグと、共有サーバにおいて予め各閉域網に割り当てられたサーバIPアドレスとに基づいてアドレス変換が行われるので、以下のような効果が達成される。
(1)各閉域網と共有サーバ装置との間で、予め設定されている固定的な情報のみに基づいてアドレス変換が行われるので、共有サーバ装置は、自身のIPアドレスを送信元アドレスとして設定し、相手ホストのIPアドレスを宛先アドレスとして設定するだけで、サーバ装置を起点とした通信が可能になる。
(2)各ホストから共有サーバ装置宛のパケットの宛先アドレスが、ゲートウエイ装置において、パケットの識別タグと対応付けられたサーバアドレスに書き換えられるので、各閉域網のホストに同一アドレスが割り当てられている場合でも、共有サーバ装置では、受信パケットの宛先アドレスに基づいて相手ホストを一意に識別できるようになる。
(3)各ホストにおいて、共有サーバ装置宛のパケットの宛先アドレスにゲートウエイ装置のアドレスが設定され、ゲートウエイ装置では、受信パケットの宛先アドレスが識別タグと対応付けられたサーバアドレスに書き換えられるので、各ホストから共有サーバ装置宛のパケットの宛先アドレスを自由に設定できるようになる。
(4)共有サーバ装置へは、汎用のアプリケーション（IPエイリアス）を利用して複数のアドレスを割り当てるのみで十分であり、固有の機能を追加する必要がない。
(5)ホストの識別が、当該ホストのIPアドレスのみならず、当該ホストの閉域網が接続されたタグVLAN機能を有するスイッチが付与した、当該閉域網を識別するための識別子をも参照して行われるので、ホストのIPアドレスとして各閉域網でのアドレスを維持したままで各ホストを識別できるようになる。

以下、図面を参照して本発明の最良の実施の形態について詳細に説明する。図１は、本発明に係る通信制御システムの構成を示したブロック図であり、ここでは、２つの閉域網NWa，NWbが一つの共有サーバ装置３を共有するシステムを例にして説明する。

利用者Aの拠点ネットワークaは、そのCEルータおよび利用者Aが所属する閉域網NWaを経由してスイッチ(SW)１の物理ポートP1に接続され、利用者Bの拠点ネットワークbは、そのCEルータおよび利用者Bが所属する閉域網NWbを経由してSW１の物理ポートP2に接続されている。

前記SW１は、IEEE802.1qに準拠するタグVLAN機能を実装し、各閉域網が接続される複数の物理ポートP1，P2…を備え、各物理ポートで受信されたパケットのヘッダに、当該物理ポートに固有の識別タグを付加して、所定のトランクポートTPからゲートウエイ側へ送出する一方、ゲートウエイ側のTPポートから受信した応答パケットに付与されている識別タグを参照し、当該識別タグに対応した物理ポートへ応答パケットを送出する。

ゲートウエイ(GW)装置２は、前記タグVLAN機能を有するSW１と共有サーバ装置３との間に接続されてパケットのアドレス変換や識別タグの付与／削除を行う。本実施形態では、各閉域網NWa，NWbにおいてサーバアドレスを自由に設定できるように、このGW装置２にIPエイリアス機能を実装し、物理的に一つのインターフェースに対して閉域網ごとに異なるIPアドレス（[192.168.3.250]，[192.168.3.251]を割り当ているが、各閉域網から見たサーバIPアドレスを唯一のアドレスに特定しても良ければ、当該IPエイリアス機能は不要である。

共有サーバ装置３は、閉域網ごとに独立したサーバアプリケーションを備え、各サーバアプリケーションの論理デバイスインターフェースには、前記IPエイリアス機能を利用することで、閉域網ごとに固有のサーバIPアドレスが割り当てられている。ここでは、利用者Aの閉域網NWaと通信するサーバアプリケーションの論理デバイスインターフェースにサーバIPアドレス[192.168.2.2]が割り当てられ、利用者Bの閉域網NWbと通信するサーバアプリケーションの論理デバイスインターフェースにサーバIPアドレス[192.168.2.3]が割り当てられている。

図２は、前記GW装置２の主要部の構成を示した機能ブロック図であり、インターフェース５１から入力されたパケットは受信バッファ５２に一時記憶され、その後、SW１から受信したパケットは第１変換部５４へ送られて処理され、共有サーバ装置３から受信したパケットは第２変換部５５に送られて処理される。変換テーブル５６には、識別タグと、各閉域網から見た当該GW装置２のIPアドレス（以下、閉域網視点サーバIPアドレスと表現する）と、共有サーバ装置３が各閉域網NWa，NWbに提供するアプリケーションごとに割り当てられたサーバアプリIPアドレスとの対応関係が予め記憶されている。

前記第１変換部５４において、識別タグ検知部５４１は、受信パケットのヘッダに付与されている識別タグを検知する。テーブル検索部５４２は、前記検知された識別タグに対応したサーバアプリIPアドレスを前記変換テーブル５６から検索する。パケット書換部５４３は、受信パケットの宛先アドレスを前記検索されたサーバアプリIPアドレスに書き換えると共に、パケットに付与されていた識別タグを削除する。宛先アドレスを書き換えられた受信パケットは、送信バッファ５３からインターフェース５１経由で共有サーバ装置３へ転送される。

前記第２変換部５５において、アドレス検知部５５１は、共有サーバ装置３から転送されたパケットの送信元アドレスを検知する。テーブル検索部５５２は、検知された送信元アドレス(サーバアプリIPアドレス)に対応した識別タグおよび閉域網視点サーバIPアドレスを前記変換テーブル５６から検索する。パケット書換部５５３は、検索された識別タグをパケットのヘッダに追加すると共に、パケットの送信元アドレスを閉域網視点サーバIPアドレスに書き換える。識別タグが付与され、送信元アドレスが書き換えられたパケットは、送信バッファ５３からインターフェース５１経由でSW１へ転送される。

次いで、図３、４のフローチャートを参照して、本実施形態の動作を詳細に説明する。図３は、前記タグSW１の動作を示したフローチャートであり、図４は、前記GW装置２の動作を示したフローチャートである。ここでは初めに、図１のホストAから共有サーバ装置３へパケットを送信する場合を例にして本実施形態の動作を説明する。

ホストAのCEルータからは、ヘッダの宛先アドレスフィールドにGW装置２のIPアドレス（閉域網視点サーバIPアドレス）[192.168.3.250]が登録され、送信元アドレスフィールドにホストAのIPアドレス[192.168.1.2]が登録されたパケットが送信される。このパケットは、閉域網NWaを経由してSW１の物理ポートP1に入力される。

SW１では、図３のステップＳ１１で前記パケットの受信が検知されるとステップＳ１２へ進み、パケットの受信ポートP1と対応付けられた識別タグが検索される。ここでは、識別タグ「A」が検索されたものとして説明を続ける。ステップＳ１３では、この識別タグ「A」が受信パケットのヘッダに付与される。ステップＳ１４では、当該受信パケットがトランクポートTPからGW装置側へ送出される。

図４のフローチャートへ進み、GW装置２では、ステップＳ３１で前記パケットが受信されるとステップＳ３２へ進み、ヘッダに付加されている識別タグが前記第１変換部５４の識別タグ検知部５４１で検知される。ステップＳ３３では、前記識別タグと対応付けられたサーバアプリIPアドレスが、前記テーブル検索部５４２により前記変換テーブル５６から検索される。ここで、サーバアプリIPアドレスとして[192.168.2.2]が検索される。ステップＳ３４では、受信パケットの宛先アドレスが、前記パケット書換部５４３により前記サーバアプリIPアドレスに書き換えられると共に、ヘッダに付与されていた識別タグが削除される。ステップＳ３５では、当該受信パケットが送信バッファ５３を経由してインターフェース５１から共有共通サーバ装置へ転送される。

共有サーバ装置３は、GW装置２から受信したパケットを、その宛先アドレス（サーバアプリIPアドレス）と対応付けられたアプリケーションで処理して応答パケットを返信する。

GW装置２では、図４のステップＳ３６で前記応答パケットが受信されるとステップＳ３７へ進み、その送信元アドレス[192.168.2.2]が、前記第２検知部５５のアドレス検知部５５１で検知される。ステップＳ３８では、送信元アドレスの識別結果と対応付けられた識別タグ「A」および閉域網視点サーバIPアドレス[192.168.3.50]が、前記テーブル検索部５５２により前記変換テーブル５６から検索される。ステップＳ３９では、前記パケット書換部５５３により、検索された識別タグ「A」が応答パケットのヘッダに付与されると共に、当該応答パケットの送信元アドレスが閉域網視点サーバIPアドレス[192.168.3.250]に書き換える。ステップＳ４０では、この応答パケットが送信バッファ５３を経由してインターフェース５１からSW１へ転送される。

SW１では、図３のステップＳ１５で前記応答パケットが受信されるとステップＳ１６へ進み、その識別タグ「A」が検知される。ステップＳ１７では、当該識別タグがヘッダから削除される。ステップＳ１８では、前記検知された識別タグ[A]に対応した物理ポートP1から前記応答パケットが送出される。すなわち、応答パケットが閉域網NWaへ転送される。

次いで、図１のホストBから共有サーバ装置３へパケットを送信する場合を例にして本実施形態の動作を説明する。

ホストBのCEルータからは、ヘッダの宛先アドレスフィールドにGW装置２のIPアドレス（閉域網視点サーバIPアドレス）[192.168.3.251]が登録され、送信元アドレスフィールドにホストBのIPアドレス[192.168.1.2]が登録されたパケットが送信される。

SW１では、図３のステップＳ１１で前記パケットの受信が検知されるとステップＳ１２へ進み、パケットの受信ポートP2と対応付けられた識別タグ「B」が検索される。ステップＳ１３では、この識別タグ「B」が受信パケットのヘッダに付与される。ステップＳ１４では、当該受信パケットがトランクポートTPから共有サーバ装置側へ送出される。

図４のフローチャートへ進み、GW装置２では、ステップＳ３１で前記パケットが受信されるとステップＳ３２へ進み、ヘッダに付加されている識別タグ「B」が検知される。ステップＳ３３では、前記識別タグ「B」と対応付けられたサーバアプリIPアドレスが前記変換テーブル５６から検索される。ここで、サーバアプリIPアドレスとして[192.168.2.3]が検索される。ステップＳ３４では、受信パケットの宛先アドレスが前記サーバアプリIPアドレスに書き換えられると共に、ヘッダに付与されていた識別タグ「B」が削除される。ステップＳ３５では、当該受信パケットが送信バッファ５３を経由してインターフェース５１から共有共通サーバ装置へ転送される。

GW装置２では、図４のステップＳ３６で前記応答パケットが受信されるとステップＳ３７へ進み、その送信元アドレス[192.168.2.3]が検知される。ステップＳ３８では、送信元アドレスの識別結果と対応付けられた識別タグ「B」および閉域網視点サーバIPアドレス[192.168.3.251]が前記変換テーブル５６から検索される。ステップＳ３９では、検索された識別タグ「B」が受信パケットのヘッダに付与されると共に、応答パケットの送信元アドレスが閉域網視点サーバIPアドレス[192.168.3.251]に書き換える。ステップＳ４０では、この応答パケットが送信バッファ５３を経由してインターフェース５１からSW１へ転送される。

SW１では、図３のステップＳ１５で前記応答パケットが受信されるとステップＳ１６へ進み、その識別タグ「B」が検知される。ステップＳ１７では、当該識別タグがヘッダから削除される。ステップＳ１８では、前記検知された識別タグ[B]に対応した物理ポートP2から前記応答パケットが送出される。すなわち、応答パケットが閉域網NWbへ転送される。

本発明に係るネットワーク通信システムの構成を示したブロック図である。 GW装置の主要部の構成を示した機能ブロック図である。タグVLAN機能を有するスイッチの動作を示したフローチャートである。 GW装置の動作を示したフローチャートである。閉域網にサーバサービスを提供する従来のネットワーク構成を示した図である。閉域網でサーバを共有する従来のネットワーク構成を示した図である。本発明と先行技術との機能を比較した図である。

符号の説明

１…タグVLAN機能を有するスイッチ(SW)，２…ゲートウエイ(GW)装置，３…共有サーバ装置，５１…インターフェース(I/F)，５２…受信バッファ，５３…送信バッファ，５４…第１変換部，５５…第２変換部，５６…変換テーブル，NWa・・・利用者A閉域網，NWb…利用者B閉域網

Claims

複数の閉域網と物理的に一つの既存の共有サーバ装置とのパケット交換を制御し、閉域網ごとに固有のサーバアドレスが共有サーバ装置に割り当てられた通信制御システムにおいて、
各閉域網と接続される複数の物理ポートおよびゲートウエイ側ポートを備えたスイッチと、
前記スイッチと共有サーバ装置との間に接続されたゲートウエイ装置とを具備し、
前記スイッチが、
各物理ポートから入力されたパケットに、当該物理ポートに固有の識別タグを付与してゲートウエイ側ポートから出力する手段と、
ゲートウエイ側ポートから入力されたパケットを、当該パケットに付与された識別タグに応じた物理ポートから出力する手段とを備え、
前記ゲートウエイ装置が、
識別タグとサーバアドレスとの対応関係を管理する変換テーブルと、
スイッチから受信したゲートウエイ宛のパケットに付与された識別タグを検知する手段と、
前記検知された識別タグに対応したサーバアドレスを前記変換テーブルから検索する第１検索手段と、
前記パケットの宛先アドレスを、前記検索されたサーバアドレスに書き換える第１パケット書換手段と、
共有サーバ装置から受信した閉域網宛のパケットの送信元アドレスに対応した識別タグを前記変換テーブルから検索する第２検索手段と、
前記共有サーバ装置から受信したパケットに前記検索された識別タグを付与し、その送信元アドレスをゲートウエイアドレスに書き換える第２パケット書換手段とを含むことを特徴とする通信制御システム。
前記ゲートウエイ装置には、閉域網ごとに固有のゲートウエイアドレスが割り当てられ、
前記ゲートウエイ装置の変換テーブルは、識別タグとゲートウエイアドレスとサーバアドレスとの対応関係を管理し、
前記第２検索手段は、共有サーバ装置から受信したパケットの送信元アドレスに対応した識別タグおよびゲートウエイアドレスを前記変換テーブルから検索し、
前記第２パケット書換手段は、前記共有サーバ装置から受信したパケットに前記検索された識別タグを付与し、その送信元アドレスを前記検索されたゲートウエイアドレスに書き換えることを特徴とする請求項１に記載の通信制御システム。
複数の閉域網が、スイッチおよびゲートウエイ装置を介して、物理的に一つの既存の共有サーバ装置と接続され、閉域網ごとに固有のサーバアドレスが共有サーバ装置に割り当てられた通信制御方法において、
閉域網内のホストが、共有サーバ装置宛のパケットとして、送信元アドレスがホストアドレスで宛先アドレスがゲートウエイアドレスのパケットを送信する手順と、
前記スイッチにおいて、閉域網から物理ポートに入力したパケットに、当該物理ポートに固有の識別タグを付与して転送する手順と、
前記ゲートウエイ装置において、スイッチから受信したパケットに付与された識別タグに対応したサーバアドレスを検索する手順と、
前記ゲートウエイ装置において、前記パケットの宛先アドレスを前記検索されたサーバアドレスに書き換えて転送する手順とを含み、さらに、
共有サーバ装置が、送信元アドレスがサーバアドレスで宛先アドレスがホストアドレスのパケットを送信する手順と、
前記ゲートウエイ装置において、共有サーバ装置から受信したパケットの送信元アドレスに対応した識別タグを検索する手順と、
前記ゲートウエイ装置において、共有サーバ装置から受信したパケットに前記検索された識別タグを付与し、その送信元アドレスをゲートウエイアドレスに書き換えて転送する手順と、
前記スイッチにおいて、ゲートウエイ装置から受信したパケットを、当該パケットに付与された識別タグに対応した物理ポートから転送する手順とを含むことを特徴とする通信制御方法。