JP5084716B2

JP5084716B2 - Ｖｐｎ接続装置、ｄｎｓパケット制御方法、及びプログラム

Info

Publication number: JP5084716B2
Application number: JP2008334388A
Authority: JP
Inventors: 貴允内山; 弘幸市川; 浩昭波多; 由香上水流; 智広西谷; 実梅枝; 善治石山; 洋城稲葉
Original assignee: NTT Communications Corp
Current assignee: NTT Communications Corp
Priority date: 2008-12-26
Filing date: 2008-12-26
Publication date: 2012-11-28
Anticipated expiration: 2028-12-26
Also published as: JP2010157858A

Description

本発明は、VPN（Virtual Private Network）技術に関するものであり、特に、既存のネットワークを変更することなく、VPNを簡易かつ柔軟に導入することを可能とする技術に関連するものである。

近年、企業内ネットワークの拠点間接続等に、専用線に代えてVPNが用いられるケースが増えている。VPNは、トンネリング技術を利用して、インターネット等の公衆回線をあたかも専用回線のように利用して拠点間の接続を可能とする技術である。

VPNの導入形態としては種々のものがあるが、VPNを構築しようとする企業等が、通信事業者にVPN構築に係る申し込みを行い、通信事業者が、機器の設置、ネットワークの設定等を行うのが一般的である。

なお、VPNに関する従来技術として例えば特許文献１に記載された技術がある。
特開２００４−０６４１８２号公報

上述したような一般的なVPN構築においては、企業における既存のネットワーク機器の一部をVPN専用の機器に変更したり、既存のネットワーク構成を変更する必要がある。また、新たなVPNの構築が完了するまでにある程度の期間がかかる。

従って、例えば、ある期間だけ特定の拠点間をVPNで接続したいという要望があっても、既存ネットワークの設定変更等の手間やコストを考慮すると、そのような要望に応えることは困難であった。また、ある拠点内での特定のメンバーと、他の拠点内の特定のメンバーのみをVPNに参加させるといった柔軟な接続形態をとることも従来技術では困難であった。

上記従来技術の問題を解消し、既存のネットワークの構成を変更することなく容易にVPNを構築でき、VPNに参加するホスト装置を柔軟に設定可能とした技術があれば、異なる企業間でも簡易にVPN構築が可能になる。このような技術として、本発明の実施の形態において前提としている技術がある。

しかし、異なる企業間でVPNを構築し、互いに相手企業内のホスト装置の名前を知ったとしても、相手企業の名前解決手段（DNS(Domain Name System)サーバ等）へのアクセスは一般に困難であり、その結果、名前を用いた相手ホスト装置へのアクセスは困難であるという問題がある。

本発明はこの点に鑑みてなされたものであり、既存のネットワークの構成を変更することなく容易にVPNを構築可能な技術において、上記の問題を解決し、対向VPN装置側のホスト装置の名前解決を行う技術を提供することを目的とする。

上記の課題を解決するために、本発明は、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと当該対向ホスト装置のホスト名とを含むDNS代理応答条件情報を格納する記憶手段と、前記ホスト装置のアドレスとホスト名とを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記対向ホスト装置のアドレスとホスト名とを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報を用いて前記DNS代理応答条件情報を生成する手段と、前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からDNSクエリパケットを受信し、当該DNSクエリパケットに含まれる問い合わせに係るホスト名が前記記憶手段に格納されたDNS代理応答条件情報に含まれるかどうかを判定する判定手段と、前記判定手段により含まれると判定された場合に、前記DNS代理応答条件情報から前記ホスト名に対応するアドレスを取得し、当該アドレスを含むDNS応答パケットを前記ホスト装置に送信し、前記判定手段により含まれないと判定された場合に、前記DNSクエリパケットを前記網接続手段を介して前記通信ネットワークに送出する応答手段と、を備えたことを特徴とするVPN接続装置として構成される。

本発明によれば、既存のネットワークの構成を変更することなく容易にVPNを構築可能な技術において、対向VPN装置側のホスト装置のホスト名の名前解決を行うための技術を提供できる。そのため、名前を用いて対向VPN装置側のホスト装置にアクセスすることが可能となり、ユーザの利便性が向上する。

以下、図面を参照して本発明の実施の形態について説明する。

（システム構成）
図１に本発明の実施の形態に係るシステムの構成図を示す。図１に示すように、本発明の実施の形態に係るシステムは、プライベートネットワーク１００とプライベートネットワーク２００とがインターネット３００を介して接続されるとともに、通信制御サーバ３１０がインターネット３００に接続されている。

プライベートネットワーク１００は、インターネット３００にルータ１１０を介して接続され、プライベートネットワーク２００は、インターネット３００にルータ２１０を介して接続されている。

プライベートネットワーク１００では、ホスト装置１３０、ホスト装置１２０、VPN装置１４０、及びDNSサーバ１５０が備えられる。このDNSサーバ１５０は既存のものである。ホスト装置１３０とVPN装置１４０はLANに接続され、ホスト装置１２０はVPN装置１４０に接続される。このように、既存ネットワーク（LAN)とVPNに参加するホスト装置の間にVPN装置１４０を挟み込む形で設置することにより、VPN装置１４０は、その配下に接続されるホスト装置から送出されるパケットを常時監視可能になっている。

同様に、プライベートネットワーク２００では、ホスト装置２３０、ホスト装置２２０、DNSサーバ２５０、及びVPN装置２４０が備えられる。ホスト装置２３０とVPN装置２４０はLANに接続され、ホスト装置２２０はVPN装置２４０に接続される。

なお、図１に示すシステムでは、２つの拠点が示され、VPN装置配下に１つのホスト装置が示されているが、これらは代表として示されているだけであり、実際にはより多くの拠点及びホスト装置が接続され得る。

図１に示すシステムにおいて、通信制御サーバ３１０は、VPN装置１４０とVPN装置２４０との間にセキュアな通信路であるVPNを構築するための制御を行う装置である。本実施の形態では、通信制御サーバ３１０はSIPサーバであり、VPN装置間での通信制御サーバ３１０を介したSIPによるメッセージ交換により名前解決や鍵交換を行って、VPN装置間でVPNを確立している。このような方式によるセキュアな通信路の確立方法自体は既存技術である。

また、DNSサーバ１５０は、プライベートネットワーク１００内における装置のIPアドレスとホスト名とを対応付けて格納するDNSサーバであり、DNSサーバ２５０は、プライベートネットワーク２００内における装置のIPアドレスとホスト名とを対応付けて格納するDNSサーバである。

図２に、VPN装置１４０の機能構成図を示す。VPN装置２４０はVPN装置１４０と同じ構成であるので、VPN装置１４０のみについて説明する。

図２に示すように、VPN装置１４０は、PVN（プライベートネットワーク）側インターフェース部１４６、制御部１４９、VPN配下端末側インターフェース部１４７、Web設定インターフェース部１４４、データベース１４５を有する。制御部１４９は、DNS代理応答機能部１４８、パケット取得制御部１４１、通信制御部１４２、NAT制御部１４３を有する。

PVN（プライベートネットワーク）側インターフェース部１４６は、プライベートネットワーク１００を構成するLANとの間でデータの送受信を行うための機能部である。VPN配下端末側インターフェース部１４７は、VPN装置１４０を利用したVPN通信を可能とするためにVPN装置１４０に接続されるホスト装置（端末）との間でパケットの送受信を行うための機能部である。

Web設定インターフェース部１４４は、VPN装置１４０に接続される端末に対してWeb画面を提供し、そのWeb画面から種々の設定情報を入力するための機能部である。データベース１４５は、設定情報を格納するための記憶部である。

制御部１４９における通信制御部１４２は、通信制御サーバ３１０を介して対向側のＶＰＮ装置２４０との間でSIPに基づくメッセージ送受信を行うことにより、VPN装置１４０とVPN装置２４０間でVPNを設定する機能を有する。また、通信制御部１４２は、パケット取得制御部１４１からパケットを受け取り、VPNを用いて相手側にパケットを送信する機能、及び、VPNを介して受信したパケットをパケット取得制御部１４１に渡す機能も有する。更に、通信制御部１４２は、パケットをVPNを介して送信するかどうかの判定を行うVPN転送条件の情報と、対向側のVPN参加ホスト装置のホスト名を含むDNS代理応答条件の情報を生成し、データベース１４５に格納する機能も有する。

NAT制御部１４３は、ルータ１１０がNAT機能を備える場合に、SIP通信等のパケット通信を正常に行うためにNAT越えのための制御を行う機能部である。NAT越えの技術自体は既存技術を用いることができる。

パケット取得制御部１４１は、VPN装置１４０の配下のホスト装置から受信したパケットに含まれる情報が、データベース１４５に格納されているVPN転送条件に合致するかどうかを調べ、合致する場合に、該当のVPNを用いてパケットを送信することを決定する機能を有する。また、パケット取得制御部１４１は、VPNから受信したパケットに含まれる情報が、データベース１４５に格納されている情報に合致するかどうかを調べることにより、当該パケットを宛先のホスト装置に転送するかどうかを決定する機能も有する。

DNS代理応答機能部１４８は、VPN装置１４０にVPN配下端末側インターフェース部１４７を介して接続されたホスト装置（本実施の形態ではホスト装置１２０）から送られるDNSクエリパケットを監視し、データベース１４５に格納された情報を参照することにより、対向VPN装置配下のホスト装置に対するDNSクエリパケットを受信したと判定した場合に、データベース１４５に格納された情報からDNSクエリに係るホスト装置のIPアドレスを抽出し、そのIPアドレスをDNS応答に含めて、DNSクエリパケットを送信したホスト装置に返す機能を有する。また、DNS代理応答機能部１４８は、対向側のVPN参加ホスト装置のホスト名を含むDNS代理応答条件の情報を生成し、データベース１４５に格納する機能も有する。

VPN装置１４０は、例えば、CPUやメモリ等の記憶装置等を有し、通信プログラム、Web用プログラム、データベース用プログラム等の一般的なプログラムを備えたコンピュータに、制御部１４９の機能に対応するプログラムを実行させることにより実現可能である。当該プログラムは、メモリ等の記録媒体に格納しておき、当該記録媒体から上記コンピュータにインストールすることが可能である。

（システムの動作）
以下、図１、図２に示したシステムにおける動作例を図３〜５に示したシーケンスチャートを参照して説明する。以下の例では、プライベートネットワーク１００におけるホスト装置１２０とプライベートネットワーク２００におけるホスト装置２２０間で、VPNを介した通信が行われる。

まず、VPN装置１４０の通信制御部１４２が、通信制御サーバ３１０に対して登録要求メッセージを送信する（ステップ１１）。この登録要求メッセージには、VPN装置１４０の識別情報と、VPN装置１４０に対応するＩＰアドレスが含まれ、通信制御サーバ３１０において、当該識別情報とＩＰアドレスが対応付けて格納されることにより登録が行われる。登録が行われた後、応答メッセージが返される（ステップ１２）。VPN装置２４０においても同様の登録処理が行われる（ステップ１３、１４）。

続いて、プライベートネットワーク１００側のホスト装置１２０のユーザが、ホスト装置１２０からWeb設定I／F部１４４にアクセスすることにより、VPN構築に必要な情報の入力を行う（ステップ１５、１６）。

本実施の形態では、VPN装置１４０の接続相手はVPN装置２４０であり、VPN装置１４０の配下でVPN装置１４０とVPN装置２４０との間のVPNを使用した通信を行うのはホスト装置１２０であることから、ここでは、VPN装置１４０の識別情報（VPN-Aとする）及びVPN装置２４０の識別情報（VPN-Bとする）と、ホスト装置１２０のIPアドレス（アドレスAとする）及びホスト名（host-Aとする）が入力され、これらがデータベース１４５に格納される。なお、本例では、ホスト装置１２０からVPN装置１４０に対する情報設定を行っているが、情報設定は任意の端末から行ってよい。

プライベートネットワーク１００側と同様にして、プライベートネットワーク２００の側では、VPN装置２４０の識別情報（VPN-B）及びVPN装置１４０の識別情報（VPN-A）と、ホスト装置２２０のIPアドレス（アドレスB）及びホスト名（host-Bとする）がデータベース２４５に格納される（ステップ１７、１８）。

続いて、本例では、ホスト装置１２０からWeb設定I/F部１４４に対してVPN装置１４０とVPN装置２４０間でVPNを設定する旨の指示を行う（ステップ１９）。この指示には、それぞれの識別情報（VPN-A、VPN-B）が含まれる。

通信制御部１４２は、Web設定I/F部１４４から指示を受けとり（ステップ２０）、接続要求メッセージを通信制御サーバ３１０に送信する（ステップ２１）。本実施の形態において、接続要求メッセージはINVITEメッセージであり、INVITEメッセージには、宛先の識別情報としてVPN-Bが含まれ、送信元の識別情報としてVPN-Aが含まれている。

接続要求メッセージを受信した通信制御サーバ３１０では、VPN-Bに基づき登録情報からVPN装置２４０のIPアドレスを取得し、そのIPアドレス宛に接続要求メッセージを転送する（ステップ２２）。接続要求メッセージを受信した通信制御部２４２は、接続要求に係るVPN接続（VPN装置１４０との接続）を行うことが設定されているかどうかをデータベース２４５を参照して確認する（ステップ２３）。ここでは、ステップ１７、１８において設定が行われているので、通信制御部２４２は、応答メッセージを通信制御サーバ３１０を介してVPN装置１４０に返す（ステップ２４〜２６）。

このような処理により、VPN装置１４０とVPN装置２４０との間でセキュアな通信路であるVPNが確立される（ステップ２７）。

その後、通信制御部１４２は、ステップ１６で保存した情報から、VPN装置１４０の識別情報（VPN-A、対向VPN装置にとってVPNの識別情報でもある)と、その配下のホスト装置１２０のIPアドレス（アドレスA）及びホスト名（host-A）とを読み出し（ステップ２８）、それらをVPNを利用してVPN装置２４０に送信する（ステップ２９）。同様に、VPN装置２４０の通信制御部２４２は、ステップ１８で保存した情報から、自身の識別情報（VPN-B)と、その配下のホスト装置２２０のIPアドレス（アドレスB）及びホスト名（host-B）とを読み出し、それらをVPNを利用してVPN装置１４０に送信する（ステップ３０、３１）。

対向のVPN装置２４０から上記情報を受け取った通信制御部１４２は、既に保存してある情報とあわせて、受け取った情報をテーブルとしてデータベース１４５に格納する（ステップ３２）。当該テーブルの例を図６に示す。

図６に示すテーブルには、自分（VPN装置１４０）に対してVPN接続される相手のVPN装置２４０の識別情報（VPN-B）、自分（VPN装置１４０）に接続されており、かつ、VPN装置１４０とVPN装置２４０との間のVPNを利用するホスト装置として指定されたホスト装置のアドレス（アドレスA）、及び、VPN装置２４０とVPN装置１４０との間のVPNを利用するホスト装置として相手側で指定されたホスト装置のアドレス（アドレスB)及びそのホスト名（host-B）が格納される。同様にして、VPN装置２４０側のデータベース２４５には、図７に示すテーブルが格納される（図３のステップ３３）。なお、図６には、VPN-Cで識別される対向VPN装置に係る設定も示されている。この設定では、ホスト装置１２０は、VPN-Cで識別される対向VPN装置配下のアドレスCのホスト装置ともVPN通信可能である。

図６、図７において、対向VPN装置の識別情報、自分配下のVPN利用ホスト装置のアドレス、及び対向VPN装置配下のVPN利用ホスト装置のアドレスをまとめてVPN転送条件情報と呼ぶことができる。また、対向VPN装置配下のVPN利用ホスト装置のアドレス及びホスト名をまとめてDNS代理応答条件情報と呼ぶことができる。

上記の例では、VPN転送条件として、IPアドレスを用いているが、IPアドレスの他にMACアドレスを用いてもよい。また、アドレスに加えて、プロトコルを条件として用いてもよい。

また、上記の例では、VPN転送条件情報とDNS代理応答条件情報とを同じタイミングで生成しているが、DNS代理応答条件情報のみを別のタイミングで生成してもよい。例えば、VPNに参加するあるホスト装置のホスト名もしくはアドレスが変更になった場合に、そのホスト装置から変更後のホスト名及びアドレスをVPN装置１４０に入力し、VPN装置１４０のDNS代理応答機能部１４８が当該ホスト名及びアドレスを通信制御部１４２を介して対向VPN装置に送信し、対向VPN装置の側でホスト名及びアドレスを用いてテーブルを更新する。また、VPN装置１４０が新たなホスト名及びアドレスを受信した場合には、DNS代理応答機能部１４８が当該新たなホスト名及びアドレスを用いてテーブルを更新する。

次に、ホスト装置１２０からDNSクエリパケットが送出される際の動作について図４を参照して説明する。図４では、DNSクエリパケットを通常のDNSサーバで処理する例１と、DNSクエリパケットに対する応答をVPN装置１４０が（代理で）行う例２を示している。

ホスト装置１２０からDNSクエリパケットが送出され、パケット取得制御部１４１がそれを受信し、パケット取得制御部１４１は当該パケットのヘッダ等から当該パケットがDNSクエリパケットであることを判別し、当該パケットをDNS代理応答機能部１４８に渡す（ステップ４１、４２）。

DNS代理応答機能部１４８は、図６に示したテーブルを検索し、DNSクエリパケットに含まれるホスト名が、当該テーブルに含まれているかどうかを判定する（ステップ４３、４４）。例１では、DNSクエリパケットに含まれるホスト名はテーブルに含まれていないので、DNS代理応答機能部１４８は、DNSクエリパケットをパケット取得制御部１４１及びPVN側インターフェース部１４６を介して外部に送出する（ステップ４５、４６）。DNSクエリパケットは、通常どおり、DNSサーバ１５０もしくはインターネット上のDNSサーバで処理される。

次に例２について説明する。

ホスト装置１２０からDNSクエリパケットが送出され、パケット取得制御部１４１がそれを受信し、パケット取得制御部１４１は当該パケットのヘッダ等から当該パケットがDNSクエリパケットであることを判別し、当該パケットをDNS代理応答機能部１４８に渡す（ステップ５１、５２）。

DNS代理応答機能部１４８は、図６に示したテーブルを検索し、DNSクエリパケットに含まれるホスト名が、当該テーブルに含まれているかどうかを判定する（ステップ５３、５４）。例２では、DNSクエリパケットに含まれるホスト名（host-Bとする）はテーブルに含まれているので、DNS代理応答機能部１４８は、テーブルからhost-Bに対応するアドレスBを取得して（ステップ５４）、当該アドレスBを含むDNS応答パケットを生成し、パケット取得制御部１４１及びVPN配下端末側インターフェース部１４７を介してホスト装置１２０に返す（ステップ５５、５６）。これにより、ホスト装置１２０は、host-Bに対応するアドレスBを取得し、当該アドレスB宛にパケットを送信できる。

次に、ホスト装置１２０から通信のためのパケットを送信する場合の例１、例２について図５を参照して説明する。

例１は、ホスト装置１２０から送出されるパケットのヘッダに設定される宛先アドレスが、プライベートネットワーク１００、２００外のグローバルなアドレスである場合の例である。

この場合、ホスト装置１２０から送出されたパケットは、VPN装置１４０が受信し、VPN装置１４０においてパケット取得制御部１４１により取得される（ステップ６１）。パケット取得制御部１４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得する。そして、パケット取得制御部１４１は、図６に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組がテーブルに存在するかどうかをチェックするための検索を行う（ステップ６２、６３）。例１では、宛先アドレスはテーブルに設定されていないので、検索に失敗する。検索に失敗した場合、パケット取得制御部１４１は、VPNを用いることなくパケットをPVN側インターフェース部１４６を介して送出する。すると、パケットは、VPNを介さずに、通常のルーティングに従って、宛先に届けられる（ステップ６４）。

例２は、ホスト装置１２０から送出されるパケットのヘッダに設定される宛先アドレスが、ホスト装置２２０のアドレス（アドレスB)である場合の例である。なお、このアドレスBは、図４の例２の手順で取得されたものである。

ホスト装置１２０から送出されたパケットは、VPN装置１４０が受信し、VPN装置１４０においてパケット取得制御部１４１により取得される（ステップ７１）。パケット取得制御部１４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得する。そして、パケット取得制御部１４１は、図６に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ７２、７３）。例２では、上記送信元アドレス及び宛先アドレスの組であるアドレスAとアドレスBの組がテーブルに設定されているので、検索に成功する。

そして、パケット取得制御部１４１は、アドレスAとアドレスBの組に対応する接続先のVPN装置の識別情報（VPN-B）を取得し（ステップ７３）、ホスト装置１２０から受信したパケットを送出すべきVPNは、VPN-Bに対して設定されたVPNであると判定する。そして、パケット取得制御部１４１は、VPN-Bとパケットを通信制御部１４２に渡し（ステップ７４）、通信制御部１４２は、パケットを当該VPNを用いて送信する（ステップ７５）。なお、パケットの宛先がアドレスCであったならば、図６のテーブルより、VPN-Cに対して設定されたVPNを利用してパケットが送信されることになる。

通信制御部１４２から送信されたパケットは、VPN装置２４０の通信制御部２４０により受信され、通信制御部２４０は受信したパケットをパケット取得制御部２４１に渡す（ステップ７６）。パケット取得制御部２４１は、パケットのヘッダからパケットの送信元アドレス及び宛先アドレスを取得し、図７に示したテーブルを参照し、上記送信元アドレス及び宛先アドレスの組に基づき検索を行う（ステップ７７、７８）。ここでは、検索に成功し、パケット取得制御部２４１は、パケットを宛先であるホスト装置２２０に送信する（ステップ７９）。もし、ここで検索に失敗した場合には、例えば、ホスト装置２２０に送信することなく、パケットを廃棄する。なお、パケットの受信側では、上記のようなテーブルを参照したチェックを行わずにパケットを宛先に送信してもよい。

以上説明したように、本発明に基づく技術を適用することにより、VPN装置を既存のネットワークに設置するだけで容易にVPNを構築できるようになる。また、ホスト装置から送出されるパケットのアドレス等を参照し、VPN転送条件情報に基づきパケットをVPNに送出するかどうかを判定するように構成したため、VPN転送条件情報を適宜設定することによりVPNに参加するホスト装置を柔軟に設定できる。更に、VPN装置においてDNS代理応答条件情報を自動的に生成し、DNS代理応答条件情報に基づき対向VPN装置配下のVPN参加ホスト装置の名前解決を行うこととしたので、例えば、異なる企業間でVPNを構築した場合であっても、名前解決を行うことが可能になり、名前を用いて簡易に対向VPN装置配下のホスト装置にアクセスすることが可能になる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

本発明の実施の形態に係るシステムの構成図である。 VPN装置１４０の機能構成図である。本発明の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。本発明の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。本発明の実施の形態に係るシステムの動作を説明するためのシーケンスチャートである。データベース１４５に格納されるテーブルを示す図である。データベース２４５に格納されるテーブルを示す図である。

符号の説明

１００プライベートネットワーク
２００プライベートネットワーク
３００インターネット
１１０、２１０ルータ
３１０通信制御サーバ
１２０、１３０、２２０、２３０ホスト装置
１５０、２５０ DNSサーバ
１４０ VPN装置ホスト
１４１パケット取得制御部
１４２通信制御部
１４３ NAT制御部
１４４ Web設定インターフェース部
１４５データベース
１４６ PVN（プライベートネットワーク）側インターフェース部
１４７ VPN配下端末側インターフェース部
１４８ DNS代理応答機能部
１４９制御部

Claims

対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置であって、
通信ネットワークに接続するための網接続手段と、
前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと当該対向ホスト装置のホスト名とを含むDNS代理応答条件情報を格納する記憶手段と、
前記ホスト装置のアドレスとホスト名とを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記対向ホスト装置のアドレスとホスト名とを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報を用いて前記DNS代理応答条件情報を生成する手段と、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からDNSクエリパケットを受信し、当該DNSクエリパケットに含まれる問い合わせに係るホスト名が前記記憶手段に格納されたDNS代理応答条件情報に含まれるかどうかを判定する判定手段と、
前記判定手段により含まれると判定された場合に、前記DNS代理応答条件情報から前記ホスト名に対応するアドレスを取得し、当該アドレスを含むDNS応答パケットを前記ホスト装置に送信し、前記判定手段により含まれないと判定された場合に、前記DNSクエリパケットを前記網接続手段を介して前記通信ネットワークに送出する応答手段と、
を備えたことを特徴とするVPN接続装置。
前記記憶手段は、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納し、
前記VPN接続装置は、
前記ホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する転送判定手段と、
前記転送判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段と、
を更に備えたことを特徴とする請求項１に記載のVPN接続装置。
前記VPNの識別情報と前記ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記VPNの識別情報と前記対向ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報を用いて前記VPN転送条件情報を生成する手段を備えたことを特徴とする請求項２に記載のVPN接続装置。
対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置が実行するDNSパケット制御方法であって、
前記VPN接続装置は、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと当該対向ホスト装置のホスト名とを含むDNS代理応答条件情報を格納する記憶手段と、を備え、
前記DNSパケット制御方法は、
前記ホスト装置のアドレスとホスト名とを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記対向ホスト装置のアドレスとホスト名とを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報を用いて前記DNS代理応答条件情報を生成するステップと、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からDNSクエリパケットを受信し、当該DNSクエリパケットに含まれる問い合わせに係るホスト名が前記記憶手段に格納されたDNS代理応答条件情報に含まれるかどうかを判定する判定ステップと、
前記判定ステップにより含まれると判定された場合に、前記DNS代理応答条件情報から前記ホスト名に対応するアドレスを取得し、当該アドレスを含むDNS応答パケットを前記ホスト装置に送信し、前記判定ステップにより含まれないと判定された場合に、前記DNSクエリパケットを前記網接続手段を介して前記通信ネットワークに送出する応答ステップと、
を備えたことを特徴とするDNSパケット制御方法。
前記記憶手段は、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納し、
前記DNSパケット制御方法は、
前記ホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する転送判定ステップと、
前記転送判定ステップにより含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御ステップと、
を更に備えたことを特徴とする請求項４に記載のDNSパケット制御方法。
前記VPNの識別情報と前記ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記VPNの識別情報と前記対向ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報を用いて前記VPN転送条件情報を生成するステップを備えたことを特徴とする請求項５に記載のDNSパケット制御方法。
コンピュータを、対向VPN接続装置との間にVPNを設定する機能を有するVPN接続装置として機能させるプログラムであって、
前記コンピュータは、通信ネットワークに接続するための網接続手段と、前記VPNを利用するホスト装置を接続するためのホスト装置接続手段と、
前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと当該対向ホスト装置のホスト名とを含むDNS代理応答条件情報を格納する記憶手段と、を備え、前記プログラムは、前記コンピュータを、
前記ホスト装置のアドレスとホスト名とを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記対向ホスト装置のアドレスとホスト名とを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報を用いて前記DNS代理応答条件情報を生成する手段、
前記VPN接続装置に前記ホスト装置接続手段を介して接続されたホスト装置からDNSクエリパケットを受信し、当該DNSクエリパケットに含まれる問い合わせに係るホスト名が前記記憶手段に格納されたDNS代理応答条件情報に含まれるかどうかを判定する判定手段、
前記判定手段により含まれると判定された場合に、前記DNS代理応答条件情報から前記ホスト名に対応するアドレスを取得し、当該アドレスを含むDNS応答パケットを前記ホスト装置に送信し、前記判定手段により含まれないと判定された場合に、前記DNSクエリパケットを前記網接続手段を介して前記通信ネットワークに送出する応答手段、
として機能させるためのプログラム。
前記記憶手段は、前記対向VPN接続装置側で前記VPNを利用する対向ホスト装置のアドレスと、前記VPN接続装置に前記ホスト装置接続手段により接続され、前記VPNを利用するホスト装置のアドレスとを含むVPN転送条件情報を格納し、
前記コンピュータを、
前記ホスト装置からパケットを受信し、当該パケットの宛先アドレスと送信元アドレスの組が前記記憶手段に格納されたVPN転送条件情報に含まれるかどうかを判定する転送判定手段、
前記転送判定手段により含まれると判定された場合に、前記パケットを前記VPNを利用して前記対向VPN接続装置側に前記網接続手段を介して送信するパケット制御手段、
として更に機能させるための請求項７に記載のプログラム。
前記コンピュータを、
前記VPNの識別情報と前記ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置に送信し、前記VPNの識別情報と前記対向ホスト装置のアドレスとを含む情報を前記VPNを介して前記対向VPN接続装置から受信し、当該対向VPN接続装置から受信した情報を用いて前記VPN転送条件情報を生成する手段として更に機能させるための請求項８に記載のプログラム。