JP5986044B2 - Network system, communication control method, communication control apparatus, and program - Google Patents
Network system, communication control method, communication control apparatus, and program Download PDFInfo
- Publication number
- JP5986044B2 JP5986044B2 JP2013139224A JP2013139224A JP5986044B2 JP 5986044 B2 JP5986044 B2 JP 5986044B2 JP 2013139224 A JP2013139224 A JP 2013139224A JP 2013139224 A JP2013139224 A JP 2013139224A JP 5986044 B2 JP5986044 B2 JP 5986044B2
- Authority
- JP
- Japan
- Prior art keywords
- communication
- network
- communication data
- processing unit
- received
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 238000004891 communication Methods 0.000 title claims description 1083
- 238000000034 method Methods 0.000 title claims description 24
- 238000012545 processing Methods 0.000 claims description 260
- 238000012546 transfer Methods 0.000 claims description 103
- 230000005641 tunneling Effects 0.000 claims description 31
- 230000006870 function Effects 0.000 description 65
- 238000005538 encapsulation Methods 0.000 description 51
- 238000010586 diagram Methods 0.000 description 39
- 101100513046 Neurospora crassa (strain ATCC 24698 / 74-OR23-1A / CBS 708.71 / DSM 1257 / FGSC 987) eth-1 gene Proteins 0.000 description 26
- 230000005856 abnormality Effects 0.000 description 21
- 230000005540 biological transmission Effects 0.000 description 21
- 239000002775 capsule Substances 0.000 description 14
- 238000001914 filtration Methods 0.000 description 11
- 101150080773 tap-1 gene Proteins 0.000 description 11
- RTZKZFJDLAIYFH-UHFFFAOYSA-N Diethyl ether Chemical compound CCOCC RTZKZFJDLAIYFH-UHFFFAOYSA-N 0.000 description 4
- 238000005516 engineering process Methods 0.000 description 4
- 230000002159 abnormal effect Effects 0.000 description 2
- 239000000284 extract Substances 0.000 description 2
- 238000007689 inspection Methods 0.000 description 2
- 230000003068 static effect Effects 0.000 description 2
- 102100022210 COX assembly mitochondrial protein 2 homolog Human genes 0.000 description 1
- 101000900446 Homo sapiens COX assembly mitochondrial protein 2 homolog Proteins 0.000 description 1
- 101000826116 Homo sapiens Single-stranded DNA-binding protein 3 Proteins 0.000 description 1
- 102100023008 Single-stranded DNA-binding protein 3 Human genes 0.000 description 1
- 241000700605 Viruses Species 0.000 description 1
- 230000002457 bidirectional effect Effects 0.000 description 1
- 230000000903 blocking effect Effects 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
本発明は、ネットワークシステム、通信制御方法、通信制御装置、およびプログラムに関する。 The present invention relates to a network system, a communication control method, a communication control apparatus, and a program.
従来、ユーザ宅において、ＰＣ（Personal Computer）等のＩＰ（Internet Protocol）装置や、家電製品やセンサ装置などの非ＩＰ装置が接続されたホームネットワーク（ＨＮＷ：Home NetWork）の構築が普及している。このようなＨＮＷは、一般的に同一セグメントのＬＡＮ（Local Area Network）で構築され、ＩＰブロードキャストやＩＰマルチキャストによって接続機器を発見するＵＰｎＰ（Universal Plug and Play）や、ＤＬＮＡ（Digital Living Network Alliance）などを容易に適用させることができる。 2. Description of the Related Art Conventionally, construction of a home network (HNW: Home Network) in which an IP (Internet Protocol) device such as a PC (Personal Computer) or a non-IP device such as a home appliance or a sensor device is connected is popular in a user's home. . Such an HNW is generally constructed by a LAN (Local Area Network) of the same segment, and UPnP (Universal Plug and Play) for discovering connected devices by IP broadcast or IP multicast, DLNA (Digital Living Network Alliance), etc. Can be easily applied.
さらに、近年、ＨＮＷにおける新たなサービスを実現するためにＨＧＷ（Home Gateway）が利用されている。例えば、ＨＧＷは、ＯＳＧｉ（Open Services Gateway initiative）等を利用した制御プログラムが組み込まれ、ＨＮＷ上の家電製品やセンサ装置を制御するサービスを実現する。これにより、ユーザ又はサービス提供者は、遠隔からＨＮＷ上の装置を制御することができるようになる。 Further, in recent years, HGW (Home Gateway) is used to realize a new service in HNW. For example, the HGW incorporates a control program using OSGi (Open Services Gateway initiative) or the like, and realizes a service for controlling home appliances and sensor devices on the HNW. As a result, the user or service provider can remotely control the device on the HNW.
しかしながら、ＨＮＷによって提供されるサービスは、年々、高性能化、多機能化されており、提供されるサービスの数も増加している。そのため、ＨＧＷに求められるハード・ソフトの性能や機能の要求条件が年々高まっている。ＨＧＷは、１つの装置として構成され、ユーザ宅に設置される場合が多い。そのため、設置されているＨＧＷが高い要求条件に対応できなければ、ユーザは、要求条件を満たすスペックを備えたＨＧＷに交換する必要があり、ユーザにとって大きな負担となってしまう。 However, the services provided by the HNW are becoming more sophisticated and multifunctional year by year, and the number of services provided is also increasing. For this reason, requirements for hardware and software performance and functions required for the HGW are increasing year by year. The HGW is often configured as a single device and installed in a user's home. For this reason, if the installed HGW cannot cope with high requirements, the user needs to replace the HGW with specifications that satisfy the requirements, which is a heavy burden on the user.
そのような問題を解決するための技術として、例えば下記非特許文献１には、ＨＮＷ内の非ＩＰ装置（例えば、家電装置やセンサ装置など）の処理及び制御をユーザ宅内のＨＧＷに実行させず、インターネットを介して接続されたクラウド側でプロトコル変換などを実行させる技術が開示されている。かかる技術は、上述した構成により、ＨＮＷに提供されるＨＧＷの機能や性能に関するリソースを容易に拡充することができ、ＨＮＷに対して種々のサービスを提供することができる。
As a technique for solving such a problem, for example, in Non-Patent
しかしながら、上述した従来技術では、ユーザがＨＮＷを十分に利用できない場合があった。 However, in the conventional technology described above, there are cases where the user cannot sufficiently use the HNW.
そこで、本願に係る技術は、上述した従来技術の問題に鑑みてなされたものであって、ユーザがＨＮＷを十分に利用することを可能にすることを目的とする。 Therefore, the technology according to the present application has been made in view of the above-described problems of the conventional technology, and an object thereof is to allow a user to fully use the HNW.
上述した課題を解決し、目的を達成するため、本願に係るネットワークシステムは、例えば、第１の外部ネットワークと通信可能な、第１のネットワーク内の第１の通信制御装置と、少なくとも第２の外部ネットワークと通信可能な、第２のネットワーク内の第２の通信制御装置とを備えるネットワークシステムであって、前記第１の通信制御装置は、前記第１のネットワーク内の機器が前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、前記第１のネットワーク内の機器が前記第２のネットワーク内の機器または前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第２の通信制御装置との間に設定した仮想的な通信路を介して中継し、前記第２の通信制御装置は、前記第２のネットワーク内の機器が前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、前記第２のネットワーク内の機器が前記第１のネットワーク内の機器または前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第１の通信制御装置との間に設定した前記通信路を介して中継することを特徴とする。 In order to solve the above-described problems and achieve the object, a network system according to the present application includes, for example, a first communication control device in a first network capable of communicating with a first external network, and at least a second A network system comprising a second communication control device in a second network capable of communicating with an external network, wherein the first communication control device is configured such that a device in the first network is the first communication device. Relays communication data to and from devices that can communicate via an external network so that devices in the first network can communicate via devices in the second network or the second external network Communication data to be transmitted / received to / from a remote device is relayed via a virtual communication path set between the second communication control device and the second communication control device. The apparatus relays communication data transmitted and received between devices in the second network and devices capable of communicating via the second external network, and the devices in the second network are connected to the first network. Relaying communication data transmitted / received to / from a device in the network or a device communicable via the first external network via the communication path set with the first communication control device. It is characterized by.
本発明によれば、ユーザがＨＮＷを十分に活用することができる。 According to the present invention, the user can fully utilize the HNW.
（第１の実施形態）
まず、本発明の第１の実施形態について、図面を参照しながら説明する。
(First embodiment)
First, a first embodiment of the present invention will be described with reference to the drawings.
図１は、第１の実施形態におけるネットワークシステム１の構成の一例を示すシステム構成図である。ネットワークシステム１は、例えば図１に示すように、ユーザ宅内に構築されたホームネットワーク（ＲＨＮＷ：Real Home Network）２と、データセンタ（ＤＣ：Data Center）１３内に設けられた複数のＶＨＮＷ（Virtual Home Network）３−１，２，３・・・とを有する。
FIG. 1 is a system configuration diagram illustrating an example of a configuration of a
ＤＣ１３内に設けられたそれぞれのＶＨＮＷ３は、それぞれのユーザ宅毎に構築される。ユーザ宅のＲＨＮＷ２に設けられたＨＧＷ２２は、ＩＰｖ６インターネットＧＷの機能を有し、ＩＰｖ６のアクセス網１０を介して、当該ユーザ宅に割り当てられたＶＨＮＷ３内のＶＨＧＷ（Virtual Home Gateway）３２と接続される。それぞれのＶＨＮＷ３内のＶＨＧＷ３２は、ＩＰｖ４インターネットＧＷの機能を有する。また、それぞれのＶＨＮＷ３内のＶＨＧＷ３２は、ＩＰｖ６インターネットＧＷの機能、または、ＩＰｖ６アクセス網との間で通信を行う機能のうち、少なくともいずれかの機能を有する。
Each VHNW 3 provided in the
ＲＨＮＷ２には、ＨＧＷ２２の他、通信制御装置２００および１つ以上の機器２１（機器２１−１，２）が接続される。それぞれの機器２１−１や２は、例えばエアコンや、テレビ、ＰＣ等の情報家電機器である。また、それぞれのＶＨＮＷ３には、ＶＨＧＷ３２の他、通信制御装置３００および１つ以上の機器３１が接続される。機器３１は、例えば、仮想ストレージサーバや、ＲＨＮＷ２内のそれぞれの機器２１の動作を管理する仮想アプリケーションサーバ等である。
In addition to the
ＤＣ１３内に設けられている機器３１は、仮想化技術を用いて、物理的な計算機リソースが各ユーザに割り当てられることにより実現される。そのため、ユーザの要求があった場合、計算機リソースの増減や機能の追加等は、ＤＣ１３内に設けられた豊富な物理リソースを用いて容易に行うことができる。
The
また、ＲＨＮＷ２内の通信制御装置２００と、対応するＶＨＮＷ３内の通信制御装置３００とは、対向する終端装置として仮想的な通信路１１を設定する。当該仮想的な通信路１１は、例えばＬ２−ＶＰＮ（Layer 2 − Virtual Private Network）の技術を用いて設定される。ＲＨＮＷ２とＶＨＮＷ３とが、通信制御装置２００および通信制御装置３００を介して、レイヤ２でトンネル接続されることにより、ＲＨＮＷ２とＶＨＮＷ３とが同一セグメントに属することになる。これにより、ユーザ宅内のＲＨＮＷ２と、遠隔拠点にあるＤＣ１３内のＶＨＮＷ３とは、同一セグメントのＨＮＷ１００として利用することができる。
Further, the
また、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１とが通信する場合、その通信データはアクセス網１０やインターネット網を通過することになる。アクセス網１０やインターネット網は、オープンネットワークである場合があるため、通信データがアクセス網１０やインターネット網を通過する場合、漏えいや改ざん等のセキュリティ上の脅威にさらされる。そこで、本実施形態におけるネットワークシステム１では、ＲＨＮＷ２とＶＨＮＷ３の間に、通信制御装置２００および通信制御装置３００を終端とするＶＰＮを設定し、ＶＰＮを介して通信データを送受信する。これにより、アクセス網１０やインターネット網を介して構築されたＨＮＷ１００内の通信のセキュリティを高めることができる。
When the
なお、通信制御装置２００は、例えばレイヤ２トンネルを終端するために１つのＩＰｖ６アドレスを持つ以外は、レイヤ２スイッチおよびパケットフィルタとして動作する。また、通信制御装置２００はＩＰｖ６を用いてレイヤ２トンネル通信を行うと同時に、ＲＨＮＷ２およびＤＣ１３内のＶＨＮＷ３のＭＡＣ（Media Access Control layer）層ブロードキャストドメイン内にある機器とＩＰｖ６インターネット間の通信をレイヤ２スイッチとして通過させる。これにより、ＭＡＣ層ブロードキャストドメイン内にある機器等が、ＲＨＮＷ２内のＨＧＷ２２経由でＩＰｖ６インターネットと通信することが可能となる。
Note that the
また、通信制御装置２００は、ＨＧＷ２２とＭＡＣ層ブロードキャストドメイン内にある機器等との間のＩＰｖ４による通信を遮断し、ＩＰｖ４インターネットの通信がＲＨＮＷ２内のＨＧＷ２２経由で行われることを防ぐ。これにより、ＩＰｖ４インターネットとの通信は、ＤＣ１３内のＶＨＮＷ３に設けられたＶＨＧＷ３２経由で行われる。
Further, the
次に、ＲＨＮＷ２内に設けられた通信制御装置２００の詳細について説明する。図２は、第１の実施形態における通信制御装置２００の機能構成の一例を示すブロック図である。本実施形態における通信制御装置２００は、例えば図２に示すように、ＬＡＮ通信部２０１、トンネリング処理部２０２、判別部２０３、転送処理部２０４、およびＷＡＮ通信部２０５を有する。
Next, details of the
ＬＡＮ通信部２０１は、ＲＨＮＷ２内の機器２１から通信データを受信した場合に、受信した通信データを転送処理部２０４へ送る。また、ＬＡＮ通信部２０１は、転送処理部２０４から通信データを受け取った場合に、受け取った通信データをＲＨＮＷ２内の機器２１へ送信する。
When receiving communication data from the
ＷＡＮ通信部２０５は、トンネリング処理部２０２または転送処理部２０４から通信データを受け取った場合に、受け取った通信データをＨＧＷ２２へ送信する。また、ＷＡＮ通信部２０５は、ＨＧＷ２２から通信データを受信した場合に、受信した通信データがカプセル化されていれば、当該通信データをトンネリング処理部２０２へ送る。一方、受信した通信データがカプセル化されていなければ、ＷＡＮ通信部２０５は、受信した通信データを転送処理部２０４へ送る。
When the
判別部２０３は、転送処理部２０４が通信データを受け取った場合に、当該通信データのヘッダに含まれている情報を判別し、当該通信データのカプセル化またはデカプセル化の必要性の有無および出力先を判断する。
When the
トンネリング処理部２０２は、ＷＡＮ通信部２０５からカプセル化された通信データを受け取った場合に、当該通信データについてデカプセル化し、デカプセル化した通信データを転送処理部２０４へ送る。また、転送処理部２０４からカプセル化されていない通信データを受け取った場合、トンネリング処理部２０２は、当該通信データについてカプセル化の処理を施し、処理後の通信データをＷＡＮ通信部２０５へ送る。
When receiving the encapsulated communication data from the
なお、本実施形態において、トンネリング処理部２０２は、カプセル化の処理に加えて暗号化の処理を行い、デカプセル化の処理に加えて復号化の処理も行う。これにより、本実施形態のトンネリング処理部２０２は、対向する通信制御装置３００との間でＬ２−ＶＰＮの通信路１１を設定する。
In the present embodiment, the
転送処理部２０４は、ＬＡＮ通信部２０１またはＷＡＮ通信部２０５から通信データを受け取った場合に、判別部２０３によってカプセル化が必要と判断されていれば、当該通信データをトンネリング処理部２０２へ送る。一方、ＬＡＮ通信部２０１またはＷＡＮ通信部２０５から受け取った通信データについて、判別部２０３によってカプセル化が不要と判断されていれば、転送処理部２０４は、当該通信データをＬＡＮ通信部２０１またはＷＡＮ通信部２０５のうち、判別部２０３が判断した出力先へ送る。転送処理部２０４は、トンネリング処理部２０２から通信データを受け取った場合に、受け取った通信データを、ＬＡＮ通信部２０１またはＷＡＮ通信部２０５のうち、判別部２０３が決定した出力先へ送る。
When the
図３は、第１の実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置２００は、Ｌ２−ＶＰＮ処理部２１０、Ｂｒｉｄｇｅ２１１、Ｅｔｈ０、Ｅｔｈ１、およびＥｔｈ２を有する。Ｂｒｉｄｇｅ２１１はソフトウェアスイッチ、Ｅｔｈ０〜２は物理ネットワークインターフェイスであり、Ｔａｐ０は、Ｂｒｉｄｇｅ２１１に設けられる仮想的なインターフェイスである。
FIG. 3 conceptually shows an example of the hardware configuration of the
なお、ＬＡＮ通信部２０１の機能は、例えばＥｔｈ２により実現され、トンネリング処理部２０２の機能は、例えばＬ２−ＶＰＮ処理部２１０により実現され、判別部２０３および転送処理部２０４の機能は、例えばＢｒｉｄｇｅ２１１により実現され、ＷＡＮ通信部２０５の機能は、例えばＥｔｈ０およびＥｔｈ１により実現される。
Note that the function of the
Ｅｔｈ２は、ＲＨＮＷ２内のＬＡＮにケーブル等を介して接続される物理インターフェイスである。Ｅｔｈ０およびＥｔｈ１は、ケーブル等を介してＨＧＷ２２に接続される物理インターフェイスである。また、Ｅｔｈ０には、アクセス網１０やインターネット網で用いられるＩＰｖ６グローバルアドレスが割り当てられ、アクセス網１０やインターネット網を介して受信する通信データの中で、当該アドレス宛て以外の通信データを遮断するＩＰフィルタリングの機能が設けられる。また、Ｅｔｈ１には、ＩＰｖ４の通信データを全て遮断するＩＰフィルタリングの機能が設けられる。
Eth2 is a physical interface connected to the LAN in the RHNW2 via a cable or the like. Eth0 and Eth1 are physical interfaces connected to the
なお、本実施形態において、通信制御装置２００は、ＨＧＷ２２に接続されるＷＡＮ側のインターフェイスとして２つの物理的なインターフェイス（Ｅｔｈ０およびＥｔｈ１）を有するが、本発明はこれに限られず、Ｅｔｈ０およびＥｔｈ１の機能を１つの仮想スイッチで構成して、１つの物理インターフェイスでＨＧＷ２２に接続されてもよい。
In the present embodiment, the
Ｌ２−ＶＰＮ処理部２１０は、対向する通信制御装置３００内のＬ２−ＶＰＮ装置との間でＬ２−ＶＰＮの通信路１１を設定する。なお、Ｅｔｈ０には、ＨＧＷ２２のＲＡ（Router Advertisement）等から取得したＩＰｖ６グローバルアドレスが割り当てられ、Ｌ２−ＶＰＮ処理部２１０は、このアドレスを用いて、対向する通信制御装置３００内のＬ２−ＶＰＮ装置との間で設定されたＬ２−ＶＰＮの通信路１１を終端する。
The L2-
Ｌ２−ＶＰＮ処理部２１０の具体的な処理としては、例えば、Ｔａｐ０を介して通信データを受け付けた場合に、Ｌ２−ＶＰＮ処理部２１０は、受け付けた通信データについてカプセル化および暗号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部２１０は、カプセル化および暗号化の処理を行った通信データを、Ｅｔｈ０を介してＨＧＷ２２へ送信する。また、Ｌ２−ＶＰＮ処理部２１０は、Ｅｔｈ０を介して通信データを受け付けた場合に、受け付けた通信データについてデカプセル化および復号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部２１０は、デカプセル化および復号化の処理を行った通信データを、Ｔａｐ０を介してＢｒｉｄｇｅ２１１へ送る。
As specific processing of the L2-
なお、本実施形態において、Ｌ２−ＶＰＮ処理部２１０はブリッジモードで動作し、ＩＰルーティングは行わない。また、Ｌ２−ＶＰＮ処理部２１０は、Ｌ２−ＶＰＮの手順に従ってレイヤ２トンネルを設定した後、Ｔａｐ０に到着したイーサネット（登録商標）フレームを全てカプセル化してＤＣ１３側の対向Ｌ２−ＶＰＮ装置へ転送する。また、Ｌ２−ＶＰＮ処理部２１０は、ＤＣ１３側の対向Ｌ２−ＶＰＮ装置から届いたパケットからイーサネットフレームを取り出し、Ｔａｐ０へ転送する。また、Ｂｒｉｄｇｅ２１１は、レイヤ２スイッチとして機能し、ＭＡＣアドレスを学習してイーサネットフレームの転送を行う。
In this embodiment, the L2-
図４は、第１の実施形態において通信制御装置２００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置２００が有するＢｒｉｄｇｅ２１１のＭＡＣアドレス学習機能、および、Ｅｔｈ１のＩＰフィルタリング機能により、通信データは、例えば図４に示すような経路で転送される。なお、図４において、入力ポートにある「Ｔａｐ＊（Ｅｔｈ＊）」の記載は、Ｅｔｈ＊を介して受信した通信データが、Ｔａｐ＊から入力されることを示しており、出力ポートにある「Ｔａｐ＊（Ｅｔｈ＊）」の記載は、Ｔａｐ＊から出力した通信データが、Ｅｔｈ＊を介して送信されることを示している。
FIG. 4 is a table summarizing examples of paths of communication data transferred by the
例えば、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＥｔｈ２から出力する。図４の１行目には、このときの転送経路が示されている。図４の１行目は、例えばＲＨＮＷ２内の機器２１同士の通信における通信データの転送経路を示している。
For example, if the destination MAC address is “
また、宛先ＭＡＣアドレスが「ＨＧＷ２２」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＥｔｈ１から出力する。図４の２行目には、このときの転送経路が示されている。図４の２行目は、例えばＲＨＮＷ２内の機器２１とＨＧＷ２２との通信、または、ＲＨＮＷ２内の機器２１によるＨＧＷ２２を介したＩＰｖ６インターネット通信における通信データの転送経路を示している。
If the destination MAC address is “HGW22”, the
また、宛先ＭＡＣアドレスが「機器３１」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ０から出力する。図４の４行目には、このときの転送経路が示されている。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化が施され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。図４の４行目は、例えばＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との同一セグメント内通信における通信データの転送経路を示している。
If the destination MAC address is “
また、宛先ＭＡＣアドレスが「ＶＨＧＷ３２」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ０から出力する。図４の６行目には、このときの転送経路が示されている。図４の６行目は、例えばＲＨＮＷ２内の機器２１とＶＨＮＷ３内のＶＨＧＷ３２との通信、または、ＲＨＮＷ２内の機器２１による、ＶＨＮＷ３内のＶＨＧＷ３２を介したＩＰｖ４インターネット通信における通信データの転送経路を示している。なお、本実施形態では、ＲＨＮＷ２内の機器２１によるＩＰｖ４インターネット通信は、ＲＨＮＷ２内のＨＧＷ２２ではなく、ＶＨＮＷ３内のＶＨＧＷ３２を経由して行われる。
If the destination MAC address is “VHGW32”,
また、宛先ＭＡＣアドレスが「機器３１」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ０から出力する。図４の８行目には、このときの転送経路が示されている。図４の８行目は、例えばＶＨＮＷ３内の機器３１とＲＨＮＷ２内のＨＧＷ２２との通信、または、ＶＨＮＷ３内の機器３１による、ＲＨＮＷ２内のＨＧＷ２２を介したＩＰｖ６インターネット通信における通信データの転送経路を示している。なお、本実施形態では、ＶＨＮＷ３内の機器３１によるＩＰｖ６インターネット通信は、ＶＨＮＷ３内のＶＨＧＷ３２ではなく、ＲＨＮＷ２内のＨＧＷ２２を経由して行われる。
If the destination MAC address is “
なお、Ｂｒｉｄｇｅ２１１は、宛先ＭＡＣアドレスがＭＡＣアドレステーブルにない通信データに対しては、ＭＡＣアドレス学習をして適切なインターフェイスから出力する。その他の通信経路を制御するため、例えば、Ｂｒｉｄｇｅ２１１は、ＩＰｖ６アドレスを持たないＷＡＮ側のインターフェイス（Ｅｔｈ１）において、インバウンド／アウトバウンド双方向のＩＰｖ４トラフィックやアウトバンドからのＡＲＰを全てドロップする。また、Ｂｒｉｄｇｅ２１１は、ＩＰｖ６フィルタ機能を用いて、Ｅｔｈ０をＭＡＣアドレスのソースとするイーサフレーム全てをＥｔｈ１でドロップする。これにより、通信データは図４に記載のような経路をとるよう制御されることとなる。
Note that
なお、通信制御装置２００は、トンネル終端アドレスをＨＧＷ２２からのＲＡによるＩＰｖ６ステートレスアドレス自動設定または静的設定によって取得する。トンネル終端アドレスはＲＨＮＷ２内の他のＩＰｖ６機器が取得するＩＰｖ６アドレスの同じプレフィクスを持つ（すなわち同じサブネットに属する）。
The
また、トンネル終端アドレスからのパケットがＨＧＷ２２のＬＡＮ側のレイヤ２スイッチを経由して通信制御装置２００のＩＰｖ６アドレスを持たないＷＡＮ側のインターフェース（Ｅｔｈ１）に入るとループが発生するため、当該インタフェース（Ｅｔｈ１）において送信元のＭＡＣアドレスがＥｔｈ０であるトラフィック全てをフィルタリングしてループを防止する。
In addition, when a packet from the tunnel end address enters the WAN-side interface (Eth1) that does not have the IPv6 address of the
また、本実施形態のネットワークシステム１では、ＩＰｖ４およびＩＰｖ６アドレスを用いて通信を行う機器２１はＲＨＮＷ２内においては全て通信制御装置２００のＬＡＮ側インタフェース（Ｅｔｈ２）に接続されなければならない。もしＨＧＷ２２のＬＡＮ側インターフェイスと通信制御装置２００のＥｔｈ１との間に機器２１が接続された場合には、その機器２１は、ＤＨＣＰでＩＰｖ４アドレスが払出されないため、ＩＰｖ４通信を行うことができなくなる。また、ＲＨＮＷ２内の機器２１は、ＶＨＮＷ３内にあるＶＨＧＷ３２からのレイヤ２トンネルを経由するＤＨＣＰアドレス自動設定または静的設定によって、ＩＰｖ４アドレスを取得する。以上の通り説明した、各インターフェイスでのフィルタリングは、Ｂｒｉｄｇｅ２１１ではなく直接各インターフェイスに設定されるものであってもよい。
In the
次に、ＶＨＮＷ３内に設けられた通信制御装置３００の詳細について説明する。図５は、第１の実施形態における通信制御装置３００の機能構成の一例を示すブロック図である。本実施形態における通信制御装置３００は、例えば図５に示すように、ＬＡＮ通信部３０１、トンネリング処理部３０２、判別部３０３、転送処理部３０４、およびＷＡＮ通信部３０５を有する。
Next, details of the
ＬＡＮ通信部３０１は、ＶＨＮＷ３内の機器３１から通信データを受信した場合に、受信した通信データを転送処理部３０４へ送る。また、ＬＡＮ通信部３０１は、転送処理部３０４から通信データを受け取った場合に、受け取った通信データをＶＨＮＷ３内の機器３１へ送信する。
When the
ＷＡＮ通信部３０５は、トンネリング処理部３０２または転送処理部３０４から通信データを受け取った場合に、受け取った通信データをＶＨＧＷ３２へ送信する。また、ＷＡＮ通信部３０５は、ＶＨＧＷ３２から通信データを受信した場合に、受信した通信データがカプセル化されていれば、当該通信データをトンネリング処理部３０２へ送る。一方、受信した通信データがカプセル化されていなければ、ＷＡＮ通信部３０５は、受信した通信データを転送処理部３０４へ送る。
When the
判別部３０３は、転送処理部３０４が通信データを受け取った場合に、当該通信データのヘッダに含まれている情報を判別し、当該通信データのカプセル化またはデカプセル化の必要性の有無および出力先を判断する。
When the
トンネリング処理部３０２は、ＷＡＮ通信部３０５からカプセル化された通信データを受け取った場合に、当該通信データについてデカプセル化し、デカプセル化した通信データを転送処理部３０４へ送る。また、転送処理部３０４からカプセル化されていない通信データを受け取った場合、トンネリング処理部３０２は、当該通信データについてカプセル化の処理を施し、処理後の通信データをＷＡＮ通信部３０５へ送る。
When the
なお、本実施形態において、トンネリング処理部３０２は、カプセル化の処理に加えて暗号化の処理を行い、デカプセル化の処理に加えて復号化の処理も行う。これにより、本実施形態のトンネリング処理部３０２は、対向する通信制御装置２００内のトンネリング処理部２０２との間でＬ２−ＶＰＮの通信路１１を設定する。
In the present embodiment, the
転送処理部３０４は、ＬＡＮ通信部３０１またはＷＡＮ通信部３０５から通信データを受け取った場合に、判別部３０３によってカプセル化が必要と判断されていれば、当該通信データをトンネリング処理部３０２へ送る。一方、ＬＡＮ通信部３０１またはＷＡＮ通信部３０５から受け取った通信データについて、判別部３０３によってカプセル化が不要と判断されていれば、転送処理部３０４は、当該通信データをＬＡＮ通信部３０１またはＷＡＮ通信部３０５のうち、判別部３０３が判断した出力先へ送る。転送処理部３０４は、トンネリング処理部３０２から通信データを受け取った場合に、受け取った通信データを、ＬＡＮ通信部３０１またはＷＡＮ通信部３０５のうち、判別部３０３が決定した出力先へ送る。
When the
図６は、第１の実施形態における通信制御装置３００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置３００は、Ｌ２−ＶＰＮ処理部３１０、Ｂｒｉｄｇｅ３１１、Ｅｔｈ００、Ｅｔｈ０１、およびＥｔｈ０２を有する。Ｔａｐ００は、Ｂｒｉｄｇｅ３１１に設けられた仮想的なインターフェイスである。また、Ｅｔｈ００には、アクセス網１０やインターネット網で用いられるＩＰｖ６グローバルアドレスが割り当てられ、アクセス網１０やインターネット網を介して受信する通信データの中で、当該アドレス宛て以外の通信データを遮断するＩＰフィルタリングの機能が設けられる。また、Ｅｔｈ０１には、ＩＰｖ６の通信データを全て遮断するＩＰフィルタリングの機能が設けられる。
FIG. 6 conceptually shows an example of the hardware configuration of the
なお、ＬＡＮ通信部３０１の機能は、例えばＥｔｈ０２により実現され、トンネリング処理部３０２の機能は、例えばＬ２−ＶＰＮ処理部３１０により実現され、判別部３０３および転送処理部３０４の機能は、例えばＢｒｉｄｇｅ３１１により実現され、ＷＡＮ通信部３０５の機能は、例えばＥｔｈ００およびＥｔｈ０１により実現される。
Note that the function of the
Ｅｔｈ０２は、ＶＨＮＷ３内のＬＡＮにケーブル等を介して接続される物理インターフェイスである。Ｅｔｈ００およびＥｔｈ０１は、ケーブル等を介してＶＨＧＷ３２に接続される物理インターフェイスである。
Eth02 is a physical interface connected to the LAN in VHNW3 via a cable or the like. Eth00 and Eth01 are physical interfaces connected to the
Ｌ２−ＶＰＮ処理部３１０は、対向する通信制御装置２００内のＬ２−ＶＰＮ処理部２１０との間でＬ２−ＶＰＮの通信路１１を設定する。なお、Ｅｔｈ００には、ＶＨＧＷ３２のＲＡ等から取得したＩＰｖ６グローバルアドレスが割り当てられ、Ｌ２−ＶＰＮ処理部３１０は、このアドレスを用いて、対向するＬ２−ＶＰＮ処理部２１０との間で設定したＬ２−ＶＰＮの通信路１１を終端する。
The L2-
Ｌ２−ＶＰＮ処理部３１０の具体的な処理としては、例えば、Ｔａｐ００を介して通信データを受け付けた場合に、受け付けた通信データについてカプセル化および暗号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部３１０は、カプセル化および暗号化の処理を行った通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送信する。また、Ｌ２−ＶＰＮ処理部３１０は、Ｅｔｈ００を介して通信データを受け付けた場合に、受け付けた通信データについてデカプセル化および復号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部３１０は、デカプセル化および復号化の処理を行った通信データを、Ｔａｐ００を介してＢｒｉｄｇｅ３１１へ送る。
As specific processing of the L2-
なお、本実施形態において、Ｌ２−ＶＰＮ処理部３１０はブリッジモードで動作し、ＩＰルーティングは行わない。また、Ｌ２−ＶＰＮ処理部３１０は、トンネル終端アドレスへのパケットのみをリスンし、Ｌ２−ＶＰＮの手順に従ってレイヤ２トンネルを設定した後、Ｔａｐ００に到着したイーサネットフレームを全てカプセル化してＲＨＮＷ２側のＬ２−ＶＰＮ処理部２１０へ転送する。また、Ｌ２−ＶＰＮ処理部３１０は、ＲＨＮＷ２側のＬ２−ＶＰＮ処理部２１０から届いたパケットからイーサネットフレームを取り出し、Ｔａｐ００へ転送する。
In this embodiment, the L2-
図７は、第１の実施形態において通信制御装置３００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置３００が有するＢｒｉｄｇｅ３１１のＭＡＣアドレス学習機能、および、Ｅｔｈ０１のＩＰフィルタリング機能により、通信データは、例えば図７に示すような経路で転送される。なお、図７において、入力ポートにある「Ｔａｐ＊＊（Ｅｔｈ＊＊）」の記載は、Ｅｔｈ＊＊を介して受信した通信データが、Ｔａｐ＊＊から入力されることを示しており、出力ポートにある「Ｔａｐ＊＊（Ｅｔｈ＊＊）」の記載は、Ｔａｐ＊＊から出力した通信データが、Ｅｔｈ＊＊を介して送信されることを示している。
FIG. 7 is a table summarizing examples of paths of communication data transferred by the
例えば、宛先ＭＡＣアドレスが「機器３１」であれば、Ｂｒｉｄｇｅ３１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＥｔｈ０２から出力する。図７の１行目には、このときの転送経路が示されている。図７の１行目は、例えばＶＨＮＷ３内の機器３１同士の通信における通信データの転送経路を示している。
For example, if the destination MAC address is “
また、宛先ＭＡＣアドレスが「ＶＨＧＷ３２」であれば、Ｂｒｉｄｇｅ３１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＥｔｈ０１から出力する。図７の２行目には、このときの転送経路が示されている。図７の２行目は、例えばＶＨＮＷ３内の機器３１とＶＨＧＷ３２との通信、または、ＶＨＮＷ３内の機器３１によるＶＨＧＷ３２を介したＩＰｖ４インターネット通信における通信データの転送経路を示している。
If the destination MAC address is “VHGW32”, the
また、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ３１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ００へ出力する。図７の４行目には、このときの転送経路が示されている。Ｔａｐ００へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化が施され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。図７の４行目は、例えばＶＨＮＷ３内の機器３１とＲＨＮＷ２内の機器２１との同一セグメント内通信における通信データの転送経路を示している。
If the destination MAC address is “
また、宛先ＭＡＣアドレスが「ＨＧＷ２２」であれば、Ｂｒｉｄｇｅ３１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ００へ出力する。図７の６行目には、このときの転送経路が示されている。図７の６行目は、例えばＶＨＮＷ３内の機器３１とＲＨＮＷ２内のＨＧＷ２２との通信、または、ＶＨＮＷ３内の機器３１による、ＲＨＮＷ２内のＨＧＷ２２を介したＩＰｖ６インターネット通信における通信データの転送経路を示している。
If the destination MAC address is “HGW22”, the
また、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ３１１は、ＭＡＣアドレス学習機能により、受け取った通信データをＴａｐ００へ出力する。図７の８行目には、このときの転送経路が示されている。図７の８行目は、例えばＲＨＮＷ２内の機器２１とＶＨＮＷ３内のＶＨＧＷ３２との通信、または、ＲＨＮＷ２内の機器２１による、ＶＨＮＷ３内のＶＨＧＷ３２を介したＩＰｖ４インターネット通信における通信データの転送経路を示している。
If the destination MAC address is “
なお、Ｂｒｉｄｇｅ３１１は、宛先ＭＡＣアドレスがＭＡＣアドレステーブルにない通信データに対しては、ＭＡＣアドレス学習をして適切なインターフェイスから出力する。その他の通信経路を制御するため、Ｂｒｉｄｇｅ３１１は、例えば、ＩＰｖ６アドレスを持たないＷＡＮ側のインターフェイス（Ｅｔｈ０１）において、インバウンド／アウトバウンド双方向のＩＰｖ６トラフィックやアウトバンドからのＡＲＰを全てドロップする。また、Ｂｒｉｄｇｅ３１１は、フィルタ機能を用いて、Ｅｔｈ００をＭＡＣアドレスのソースとするイーサフレーム全てをＥｔｈ０１でドロップする。これにより、通信データは図７に記載のような経路をとるよう制御されることとなる。
The
上記説明から明らかなように、Ｂｒｉｄｇｅ３１１は、レイヤ２スイッチとして機能し、ＬＡＮ側インターフェイス（Ｅｔｈ０２）に接続した機器３１からのＲＨＮＷ２やＩＰｖ６インターネットとの間の通信データを、レイヤ２トンネル経由で、対向するＲＨＮＷ２内のＬ２−ＶＰＮ処理部２１０へ転送する。
As is clear from the above description, the
図８は、第１の実施形態において、ＲＨＮＷ２内の機器２１およびＶＨＮＷ３内の機器３１が通信を行う場合の通信データの流れを説明するための概念図である。図８では、特に、ＲＨＮＷ２内の機器２１がＩＰｖ６インターネットを介して通信を行う場合と、ＶＨＮＷ３内の機器３１がＩＰｖ４インターネットを介して通信を行う場合と、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１とが通信路１１を介して通信を行う場合とがそれぞれ示されている。
FIG. 8 is a conceptual diagram for explaining the flow of communication data when the
なお、図８には４種類のＩＰアドレスを区別するために別々の記号が図示されている。ただし、同一の記号が付された機器のアドレスについては、プレフィックスは同じであるが、アドレス自体は異なっている。 In FIG. 8, different symbols are shown to distinguish four types of IP addresses. However, for the addresses of the devices with the same symbol, the prefix is the same, but the address itself is different.
ＲＨＮＷ２内の機器２１がＩＰｖ６インターネットを介して通信を行う場合は、例えば図８に示すように、通信制御装置２００は、機器２１から送信された通信データを、ＨＧＷ２２およびアクセス網１０を介してＩＰｖ６インターネットへ送信する。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の２行目に示されている。
When the
また、ＨＧＷ２２およびアクセス網１０を介してＩＰｖ６インターネットから通信データを受信した場合、通信制御装置２００は、受信した通信データを機器２１へ送信する。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の３行目に示されている。
When communication data is received from the IPv6 Internet via the
また、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１とが通信路１１を介して通信を行う場合、通信制御装置２００は、機器２１から送信された通信データを、通信制御装置３００との間でアクセス網１０上に設定しているＬ２−ＶＰＮの通信路１１を介して通信制御装置３００へ送信する。通信制御装置３００は、通信路１１を介して受信した通信データを機器３１へ送る。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の４行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の５行目に示されている。
In addition, when the
また、通信制御装置３００は、機器３１から送信された通信データを、通信路１１を介して通信制御装置２００へ送信する。通信制御装置２００は、通信路１１を介して受信した通信データを機器２１へ送る。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の５行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の４行目に示されている。
In addition, the
また、ＶＨＮＷ３内の機器３１がＩＰｖ４インターネットを介して通信を行う場合、通信制御装置３００は、機器３１から送信された通信データを、ＶＨＧＷ３２およびアクセス網１０を介してＩＰｖ４インターネットへ送信する。この場合のＢｒｉｄｇｅ３１１の制御は、図７に示した表の２行目に示されている。
When the
また、ＶＨＧＷ３２およびアクセス網１０を介してＩＰｖ４インターネットから通信データを受信した場合、通信制御装置３００は、受信した通信データを機器３１へ送信する。この場合のＢｒｉｄｇｅ３１１の制御は、図７に示した表の３行目に示されている。
When communication data is received from the IPv4 Internet via the
図９は、第１の実施形態において、ＲＨＮＷ２内の機器２１がＩＰｖ４インターネットを介して通信を行う場合の通信データの流れを説明するための概念図である。
FIG. 9 is a conceptual diagram for explaining the flow of communication data when the
通信制御装置２００は、機器２１から送信された通信データを、通信制御装置３００との間でアクセス網１０上に設定している通信路１１を介して通信制御装置３００へ送信する。通信制御装置３００は、通信路１１を介して受信した通信データを、ＶＨＧＷ３２およびアクセス網１０を介してＩＰｖ４インターネットへ送信する。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の６行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の９行目に示されている。
The
また、ＶＨＧＷ３２およびアクセス網１０を介してＩＰｖ４インターネットから通信データを受信した場合、通信制御装置３００は、受信した通信データを、通信路１１を介して通信制御装置２００へ送信する。通信制御装置２００は、通信路１１を介して受信した通信データを機器２１へ送る。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の７行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の８行目に示されている。
When communication data is received from the IPv4 Internet via the
図１０は、第１の実施形態において、ＶＨＮＷ３内の機器３１がＩＰｖ６インターネットを介して通信を行う場合の通信データの流れを説明するための概念図である。
FIG. 10 is a conceptual diagram for explaining a flow of communication data when the
通信制御装置３００は、機器３１から送信された通信データを、通信制御装置２００との間でアクセス網１０上に設定しているＬ２−ＶＰＮの通信路１１を介して通信制御装置２００へ送信する。通信制御装置２００は、通信路１１を介して受信した通信データを、ＨＧＷ２２およびアクセス網１０を介してＩＰｖ６インターネットへ送信する。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の９行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の６行目に示されている。
The
また、ＨＧＷ２２およびアクセス網１０を介してＩＰｖ６インターネットから通信データを受信した場合、通信制御装置２００は、受信した通信データを、通信路１１を介して通信制御装置３００へ送信する。通信制御装置３００は、通信路１１を介して受信した通信データを機器３１へ送る。この場合のＢｒｉｄｇｅ２１１の制御は、図４に示した表の８行目に示されており、Ｂｒｉｄｇｅ３１１の制御は、図７の７行目に示されている。なお、通信路１１はインターネット網を介して構築されるものであってもよい。
When communication data is received from the IPv6 Internet via the
また、第１の実施形態におけるネットワークシステム１の他の例として、ネットワークシステム１は、例えば図１１のように構成されてもよい。図１１は、複数のＲＨＮＷ２をｉＤＣ（インターネットデータセンタ）に設けられたＮＡＰＴで集約する構成の一例を説明するための概念図である。ネットワークシステム１は、例えば図１１に示すように、ＤＣ１３側のＶＨＮＷ３をユーザ毎に作成し、ＩＰｖ４ＮＡＰＴの機能（大規模ＮＡＴの機能）をユーザ間で共用するようにしてもよい。また、この場合、ＮＡＴ装置とＶＰＮ装置とは別個に構成されることになる。なお、図１１中のｖＳｗｉｔｃｈは例えば仮想スイッチのことである。
As another example of the
以上、本発明の第１の実施形態について説明した。 The first embodiment of the present invention has been described above.
上記説明から明らかなように、本実施形態のネットワークシステム１によれば、ユーザがＨＮＷ１００を十分に活用することができる。
As is clear from the above description, according to the
（第２の実施形態）
次に、本発明の第２の実施形態について、図面を参照しながら説明する。第１の実施形態におけるネットワークシステム１では、ＲＨＮＷ２内の機器２１およびＶＨＮＷ３内の機器３１と、ＩＰｖ６インターネットとの通信は、ＲＨＮＷ２内のＨＧＷ２２を経由し、ＩＰｖ４インターネットとの通信は、ＶＨＮＷ３内のＶＨＧＷ３２を経由して行われるが、本実施形態におけるネットワークシステム１では、ＩＰｖ６インターネットとの通信、および、ＩＰｖ４インターネットとの通信のいずれも、ＶＨＮＷ３内のＶＨＧＷ３２を経由して行われる点が異なる。つまり、ＲＨＮＷ２およびＶＨＮＷ３は、ＶＨＧＷ３２からＩＰｖ４アドレスおよびＩＰｖ６プレフィックスを受けることとなる。
(Second Embodiment)
Next, a second embodiment of the present invention will be described with reference to the drawings. In the
図１２は、第２の実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置２００は、Ｌ２−ＶＰＮ処理部２１０、Ｂｒｉｄｇｅ２１１、Ｅｔｈ０、およびＥｔｈ２を有する。なお、本実施形態における通信制御装置３００については、以下に説明する点を除き、図６に示した第１の実施形態における通信制御装置３００と同様の構成であるため、説明を省略する。
FIG. 12 conceptually shows an example of the hardware configuration of the
図１３は、第２の実施形態において、ＲＨＮＷ２内の機器２１がＩＰｖ４およびＩＰｖ６インターネットを介して通信を行う場合の通信データの流れを説明するための概念図である。
FIG. 13 is a conceptual diagram for explaining a flow of communication data when the
本実施形態のネットワークシステム１では、まず、機器２１が、ＩＰｖ６インターネットへの通信データ（例えば、送信元ＭＡＣアドレスが「機器２１」であり、かつ、宛先ＭＡＣアドレスが「ＶＨＧＷ３２」である通信データ）を通信制御装置２００へ送る。通信制御装置２００のＢｒｉｄｇｅ２１１は、Ｅｔｈ２を介してＩＰｖ６インターネットへの通信データを機器２１から受け取り、受け取った通信データをＴａｐ０からＬ２−ＶＰＮ処理部２１０へ送る。
In the
Ｌ２−ＶＰＮ処理部２１０は、Ｔａｐ０を介して受け取った通信データを、カプセル化および暗号化してＥｔｈ０を介してＨＧＷ２２へ送る。ＨＧＷ２２は、通信制御装置２００から受け取った通信データを、アクセス網１０やインターネット網上にＬ２−ＶＰＮ処理部２１０とＬ２−ＶＰＮ処理部３１０との間に設定された通信路１１を介してＶＨＧＷ３２へ送信する。
The L2-
ＶＨＧＷ３２は、通信路１１を介してＨＧＷ２２から通信データを受信し、受信した通信データを通信制御装置３００へ送る。通信制御装置３００のＬ２−ＶＰＮ処理部３１０は、Ｅｔｈ００を介してＶＨＧＷ３２から受け取った通信データについてデカプセル化および復号化の処理を施して、Ｔａｐ００からＢｒｉｄｇｅ３１１へ送る。Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介して受け取った通信データを、Ｅｔｈ０１を介してＶＨＧＷ３２へ送る。ＶＨＧＷ３２は、通信制御装置３００から受け取った通信データをＩＰｖ６インターネットへ送信する。
The
また、ＶＨＧＷ３２は、ＩＰｖ６インターネットを介して機器２１宛の通信データを受信した場合に、受信した通信データの送信元ＭＡＣアドレスを「ＶＨＧＷ３２」とし、宛先ＭＡＣアドレスを「機器２１」として通信制御装置３００へ送る。通信制御装置３００のＢｒｉｄｇｅ３１１は、Ｅｔｈ０１を介してＶＨＧＷ３２から受け取った通信データを、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０へ送る。
Further, when the
Ｌ２−ＶＰＮ処理部３１０は、Ｔａｐ００を介して受け取った通信データに、カプセル化および暗号化の処理を施して、Ｅｔｈ００を介してＶＨＧＷ３２へ送る。ＶＨＧＷ３２は、通信制御装置３００から受け取った通信データを、通信路１１を介してＨＧＷ２２へ送信する。
The L2-
ＨＧＷ２２は、通信路１１を介してＶＨＧＷ３２から通信データを受信し、受信した通信データを通信制御装置２００へ送る。通信制御装置２００のＬ２−ＶＰＮ処理部２１０は、Ｅｔｈ０を介してＨＧＷ２２から受け取った通信データについてデカプセル化および復号化の処理を施して、Ｔａｐ０からＢｒｉｄｇｅ２１１へ送る。Ｂｒｉｄｇｅ２１１は、Ｔａｐ０を介して受け取った通信データを、Ｅｔｈ２を介して機器２１へ送る。
The
以上、本発明の第２の実施形態について説明した。 The second embodiment of the present invention has been described above.
（第３の実施形態）
次に、本発明の第３の実施形態について、図面を参照しながら説明する。第１の実施形態におけるネットワークシステム１では、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との間で送受信される通信データ、ＲＨＮＷ２内の機器２１とＩＰｖ４インターネットとの間で送受信される通信データ、および、ＶＨＮＷ３内の機器３１とＩＰｖ６インターネットとの間で送受信される通信データのいずれもが、Ｌ２−ＶＰＮ処理部２１０およびＬ２−ＶＰＮ処理部３１０の間に設定されたＬ２−ＶＰＮの通信路１１を介してやり取りされる。
(Third embodiment)
Next, a third embodiment of the present invention will be described with reference to the drawings. In the
それに対し、本実施形態のネットワークシステム１では、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との間で送受信される通信データについては、Ｌ２−ＶＰＮ処理部２１０およびＬ２−ＶＰＮ処理部３１０の間に設定されたＬ２−ＶＰＮの通信路１１を介してやり取りされるが、ＲＨＮＷ２内の機器２１とＩＰｖ４インターネットとの間で送受信される通信データ、および、ＶＨＮＷ３内の機器３１とＩＰｖ６インターネットとの間で送受信される通信データについては、暗号化を行わないもう１つの通信路１２を介してやり取りされる点が第１の実施形態とは異なる。
On the other hand, in the
図１４は、第３の実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置２００は、Ｌ２−ＶＰＮ処理部２１０、Ｂｒｉｄｇｅ２１１、カプセリング処理部２１２、Ｅｔｈ０、Ｅｔｈ１、およびＥｔｈ２を有する。Ｔａｐ０およびＴａｐ１は、Ｂｒｉｄｇｅ２１１に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図１４において、図３と同じ符号を付した構成は、図３における構成と同一または同様の機能を有するため説明を省略する。
FIG. 14 conceptually shows an example of the hardware configuration of the
カプセリング処理部２１２は、Ｔａｐ１を介してＢｒｉｄｇｅ２１１から受け取った通信データをカプセル化し、カプセル化した通信データを、Ｅｔｈ０を介してＨＧＷ２２へ送る。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。また、カプセリング処理部２１２は、Ｅｔｈ０を介してＨＧＷ２２から受け取った通信データをデカプセル化し、デカプセル化した通信データを、Ｔａｐ１を介してＢｒｉｄｇｅ２１１へ送る。カプセリング処理部２１２は、通信データの暗号化の処理は行わない。
The encapsulation processing unit 212 encapsulates the communication data received from the
本実施形態におけるＢｒｉｄｇｅ２１１は、通信データの宛先ＭＡＣアドレスがＶＨＮＷ３内の「機器３１」または「ＶＨＧＷ３２」である場合に、ＭＡＣアドレス学習機能やＩＰフィルタにより、Ｅｔｈ０を介して通信データをＶＨＮＷ３へ送信するが、その際、送信元または宛先のＩＰアドレスに基づいて、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０にカプセル化および暗号化させるか、Ｔａｐ１を介してカプセリング処理部２１２にカプセル化させるかを判別する。
The
例えば、Ｅｔｈ２側からの通信データであって（このような通信データの送信元ＩＰアドレスはＨＮＷ１００の内部のアドレスである）、通信データの宛先ＭＡＣアドレスがＶＨＮＷ３内の「機器３１」である場合、Ｂｒｉｄｇｅ２１１は、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０に通信データをカプセル化および暗号化させる。一方、通信データの送信元ＩＰアドレスがＨＮＷ１００の外部のアドレスである場合、Ｂｒｉｄｇｅ２１１は、Ｔａｐ１を介してカプセリング処理部２１２に通信データをカプセル化させる。
For example, in the case of communication data from the Eth2 side (the source IP address of such communication data is an internal address of the HNW 100) and the destination MAC address of the communication data is “
また、例えば、通信データの宛先ＭＡＣアドレスがＶＨＮＷ３内の「ＶＨＧＷ３２」あり、かつ、通信データの宛先ＩＰアドレスがＨＮＷ１００の内部のアドレス、つまりＶＨＧＷ３２のＩＰアドレスである場合、Ｂｒｉｄｇｅ２１１は、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０に通信データをカプセル化および暗号化させる。一方、通信データの宛先ＩＰアドレスがＨＮＷ１００の外部のアドレスである場合、Ｂｒｉｄｇｅ２１１は、Ｔａｐ１を介してカプセリング処理部２１２に通信データをカプセル化させる。
For example, when the destination MAC address of the communication data is “VHGW32” in the VHNW3 and the destination IP address of the communication data is an internal address of the HNW100, that is, the IP address of the VHGW32, the
図１５は、第３の実施形態において通信制御装置２００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置２００が有するＢｒｉｄｇｅ２１１のＭＡＣアドレス学習機能、並びに、Ｔａｐ０、Ｔａｐ１、およびＥｔｈ１のＩＰフィルタリング機能により、通信データは、例えば図１５に示すような経路で転送される。
FIG. 15 is a table summarizing examples of paths of communication data transferred by the
例えば、Ｅｔｈ２側からの通信データであって（このような通信データの送信元ＩＰアドレスは内部アドレスである）、宛先ＭＡＣアドレスが「機器３１」であれば、Ｂｒｉｄｇｅ２１１は、Ｔａｐ０へ通信データを出力する。図１５の４行目には、このときの転送経路が示されている。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。図１５の４行目は、例えばＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との同一セグメント内通信における通信データの転送経路を示している。
For example, if the communication data is from the Eth2 side (the source IP address of such communication data is an internal address) and the destination MAC address is “
また、宛先ＭＡＣアドレスが「ＶＨＧＷ３２」であり、かつ、通信データの宛先ＩＰアドレスが内部アドレス、つまりＶＨＧＷ３２のＩＰアドレスである場合、Ｂｒｉｄｇｅ２１１は、Ｔａｐ０へ通信データを出力する。図１５の６行目には、このときの転送経路が示されている。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。図１５の６行目は、例えばＲＨＮＷ２内の機器２１とＶＨＧＷ３２との通信における通信データの転送経路を示している。
If the destination MAC address is “VHGW32” and the destination IP address of the communication data is an internal address, that is, the IP address of VHGW32,
また、通信データの宛先ＩＰアドレスが外部アドレスであれば、Ｂｒｉｄｇｅ２１１は、Ｔａｐ１へ通信データを出力する。図１５の７行目には、このときの転送経路が示されている。Ｔａｐ１へ出力された通信データは、カプセリング処理部２１２によりカプセル化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。図１５の７行目は、例えばＲＨＮＷ２内の機器２１がＩＰｖ４インターネット通信における通信データの転送経路を示している。
If the destination IP address of the communication data is an external address,
また、Ｅｔｈ１側からの通信データであって（このような通信データの送信元ＭＡＣアドレスはＨＧＷ２２のＭＡＣアドレスである）、宛先ＭＡＣアドレスが「機器３１」であり、かつ、通信データの送信元ＩＰアドレスが内部アドレス、つまりＨＧＷ２２のＩＰアドレスであれば、Ｂｒｉｄｇｅ２１１は、Ｔａｐ０へ通信データを出力する。図１５の１０行目には、このときの転送経路が示されている。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。図１５の１０行目は、例えばＨＧＷ２２とＶＨＮＷ３内の機器３１との通信における通信データの転送経路を示している。
Further, it is communication data from the Eth1 side (the source MAC address of such communication data is the MAC address of the HGW 22), the destination MAC address is “
また、通信データの送信元ＩＰアドレスが外部アドレスであれば、Ｂｒｉｄｇｅ２１１は、Ｔａｐ１へ通信データを出力する。図１５の１０行目には、このときの転送経路が示されている。Ｔａｐ１へ出力された通信データは、カプセリング処理部２１２によりカプセル化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。図１５の１１行目は、例えばＶＨＮＷ３内の機器３１がＩＰｖ６インターネット通信における通信データの転送経路を示している。
If the source IP address of the communication data is an external address,
Ｂｒｉｄｇｅ２１１は、図１５に示したように通信データの経路を制御する結果、Ｔａｐ０において、同一セグメントのＨＮＷ１００内の通信を通過させ、外部ＮＷとの通信（ＲＨＮＷ２とＩＰｖ４インターネットとの通信やＶＨＮＷ３とＩＰｖ６インターネットとの通信）を遮断する。また、Ｂｒｉｄｇｅ２１１は、Ｔａｐ１において、同一セグメントのＨＮＷ１００内の通信を遮断し、外部ＮＷとの通信を通過させる。
As a result of controlling the communication data path as shown in FIG. 15,
なお、同一セグメントのＨＮＷ１００内の通信とは、例えば、ＭＡＣアドレス学習済みの宛先ＭＡＣアドレス宛ての通信、宛先ＩＰアドレスがプライベートＩＰアドレスの通信、宛先ＩＰアドレスがリンクローカルアドレスの通信、宛先ＩＰアドレスが同一セグメントＮＷ内のプレフィックスである通信が考えられる。また、その他の通信としては、例えば、マルチキャストアドレス、ブロードキャストアドレス、Windows（登録商標）が搭載するAutoIP機能で割当てられたアドレス「169.254.0.0〜169.254.255.255」が宛先となる通信、SSDP等のように、宛先ＩＰアドレスが「239.255.255.255」であり、宛先ポート番号が1900番のマルチキャスト通信等が考えられる。
The communication within the
図１６は、第３の実施形態における通信制御装置３００のハードウェア構成の一例を概念的に示す。ＶＨＮＷ３は、Ｌ２−ＶＰＮ処理部３１０、Ｂｒｉｄｇｅ３１１、カプセリング処理部３１２、Ｅｔｈ００、Ｅｔｈ０１、およびＥｔｈ０２を有する。Ｔａｐ００およびＴａｐ０１は、Ｂｒｉｄｇｅ３１１に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図１６において、図６と同じ符号を付した構成は、図６における構成と同一または同様の機能を有するため説明を省略する。
FIG. 16 conceptually shows an example of the hardware configuration of the
カプセリング処理部３１２は、Ｔａｐ０１を介してＢｒｉｄｇｅ３１１から受け取った通信データをカプセル化し、カプセル化した通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送る。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。また、カプセリング処理部３１２は、Ｅｔｈ００を介してＶＨＧＷ３２から受け取った通信データをデカプセル化し、デカプセル化した通信データを、Ｔａｐ０１を介してＢｒｉｄｇｅ３１１へ送る。カプセリング処理部３１２は、通信データの暗号化の処理は行わない。
The
本実施形態におけるＢｒｉｄｇｅ３１１は、通信データの宛先ＭＡＣアドレスがＲＨＮＷ２内の「機器２１」または「ＨＧＷ２２」である場合に、ＭＡＣアドレス学習機能やＩＰフィルタにより、Ｅｔｈ００を介して通信データをＲＨＮＷ２へ送信するが、その際、送信元または宛先のＩＰアドレスに基づいて、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０にカプセル化および暗号化させるか、Ｔａｐ０１を介してカプセリング処理部３１２にカプセル化させるかを判別する。
The
例えば、Ｅｔｈ０２側からの通信データであって（このような通信データの送信元ＩＰアドレスはＨＮＷ１００の内部のアドレスである）、通信データの宛先ＭＡＣアドレスがＲＨＮＷ２内の「機器２１」ある場合、Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０に通信データをカプセル化および暗号化させる。一方、通信データの送信元ＩＰアドレスがＨＮＷ１００の外部のアドレスである場合、Ｂｒｉｄｇｅ３１１は、Ｔａｐ０１を介してカプセリング処理部３１２に通信データをカプセル化させる。
For example, when the communication data is from the Eth02 side (the transmission source IP address of such communication data is an internal address of the HNW 100) and the destination MAC address of the communication data is “
また、例えば、通信データの宛先ＭＡＣアドレスがＲＨＮＷ２内の「ＨＧＷ２２」あり、かつ、通信データの宛先ＩＰアドレスがＨＮＷ１００の内部のアドレス、つまりＨＧＷ２２のＩＰアドレスである場合、Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０に通信データをカプセル化および暗号化させる。一方、通信データの宛先ＩＰアドレスがＨＮＷ１００の外部のアドレスである場合、Ｂｒｉｄｇｅ３１１は、Ｔａｐ０１を介してカプセリング処理部３１２に通信データをカプセル化させる。
For example, when the destination MAC address of the communication data is “HGW22” in the RHNW2 and the destination IP address of the communication data is an internal address of the HNW100, that is, the IP address of the HGW22, the
図１７は、第３の実施形態において通信制御装置３００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置３００が有するＢｒｉｄｇｅ３１１は、のＭＡＣアドレス学習機能、並びに、Ｔａｐ００、Ｔａｐ０１、およびＥｔｈ０１のＩＰフィルタリング機能により、通信データは、例えば図１７に示すような経路で転送される。
FIG. 17 is a table summarizing examples of paths of communication data transferred by the
例えば、Ｅｔｈ０２側からの通信データであって（このような通信データの送信元ＩＰアドレスは内部アドレスである）、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ３１１は、当該通信データをＴａｐ００へ出力する。図１７の４行目には、このときの転送経路が示されている。Ｔａｐ００へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。図１７の４行目は、例えばＶＨＮＷ３内の機器３１とＲＨＮＷ２内の機器２１との同一セグメント内通信における通信データの転送経路を示している。
For example, if it is communication data from the Eth02 side (the transmission source IP address of such communication data is an internal address) and the destination MAC address is “
また、宛先ＭＡＣアドレスが「ＨＧＷ２２」であり、かつ、通信データの宛先ＩＰアドレスが内部アドレス、つまりＨＧＷ２２のＩＰアドレスである場合、Ｂｒｉｄｇｅ３１１は、当該通信データをＴａｐ００へ出力する。図１７の６行目には、このときの転送経路が示されている。Ｔａｐ００へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。図１７の６行目は、例えばＶＨＮＷ３内の機器３１とＨＧＷ２２との通信における通信データの転送経路を示している。
When the destination MAC address is “HGW22” and the destination IP address of the communication data is an internal address, that is, the IP address of the
また、通信データの宛先ＩＰアドレスが外部アドレスであれば、Ｂｒｉｄｇｅ３１１は、当該通信データをＴａｐ０１へ出力する。図１７の７行目には、このときの転送経路が示されている。Ｔａｐ０１へ出力された通信データは、カプセリング処理部３１２によりカプセル化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。図１７の７行目は、例えばＶＨＮＷ３内の機器３１がＩＰｖ６インターネット通信における通信データの転送経路を示している。
If the destination IP address of the communication data is an external address,
また、Ｅｔｈ０２側からの通信データであって（このような通信データの送信元ＩＰアドレスは内部アドレスである）、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ３１１は、当該通信データをＴａｐ００へ出力する。図１７の１０行目には、このときの転送経路が示されている。Ｔａｐ００へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。図１７の１０行目は、例えばＶＨＧＷ３２とＲＨＮＷ２内の機器２１との通信における通信データの転送経路を示している。
If the communication data is from the Eth02 side (the transmission source IP address of such communication data is an internal address) and the destination MAC address is “
また、通信データの送信元ＩＰアドレスが外部アドレスであれば、Ｂｒｉｄｇｅ３１１は、当該通信データをＴａｐ０１へ出力する。図１７の１１行目には、このときの転送経路が示されている。Ｔａｐ０１へ出力された通信データは、カプセリング処理部３１２によりカプセル化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。図１７の１１行目は、例えばＲＨＮＷ２内の機器２１がＩＰｖ４インターネット通信における通信データの転送経路を示している。
If the source IP address of the communication data is an external address,
ここで、ＩＰｖ４またはＩＰｖ６インターネットとの通信データについては、もともとオープンネットワークを介してやり取りされる通信データであるため、ＨＮＷ１００内を通過するときだけ秘匿化する必要はない。そのため、本実施形態における通信制御装置２００および通信制御装置３００は、ＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との間の通信については、Ｌ２−ＶＰＮの通信路１１を介して通信データを送受信することでセキュリティを保つ一方、ＩＰｖ４またはＩＰｖ６インターネットとの通信データについては、暗号化を行わずにカプセル化された通信データを通信路１２を介して送受信する。
Here, since the communication data with the IPv4 or IPv6 Internet is originally communication data exchanged through the open network, it is not necessary to conceal it only when passing through the
これにより、本実施形態のネットワークシステム１は、通信データの過度な秘匿化を防止することで、通信制御装置２００や通信制御装置３００の処理負荷を軽減することができると共に、通信帯域の低下を抑えることができる。
Thereby, the
以上、本発明の第３の実施形態について説明した。 Heretofore, the third embodiment of the present invention has been described.
（第４の実施形態）
次に、本発明の第４の実施形態について、図面を参照しながら説明する。本実施形態では、第３の実施形態における通信制御装置２００および通信制御装置３００の一部の機能を、OpenFlow（参考：http://www.openflow.org/）等のＳＤＮ（Software-Defined Network）を用いて実現している点が異なる。
(Fourth embodiment)
Next, a fourth embodiment of the present invention will be described with reference to the drawings. In the present embodiment, some of the functions of the
図１８は、第４の実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置２００は、Ｌ２−ＶＰＮ処理部２１０、カプセリング処理部２１２、ＳＤＮ−ＳＷ２１３、Ｅｔｈ０、Ｅｔｈ１、およびＥｔｈ２を有する。ｐｏｒｔ１〜４は、ＳＤＮ−ＳＷ２１３に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図１８において、図１４と同じ符号を付した構成は、図１４における構成と同一または同様の機能を有するため説明を省略する。また、例えば、直接接続されているＥｔｈ１とＰｏｒｔ１や、Ｅｔｈ２とＰｏｒｔ２は、それぞれ１つのインターフェイスとして扱ってもよい。なお、ＳＤＮ−ＳＷとは、ＳＤＮに対応したスイッチのことであり、例えば、ＯｐｅｎＦｌｏｗを適用する場合は、ＯｐｅｎＦｌｏｗに対応したスイッチが用いられる。
FIG. 18 conceptually shows an example of the hardware configuration of the
Ｌ２−ＶＰＮ処理部２１０は、ｐｏｒｔ３を介して通信データを受け付けた場合に、受け付けた通信データについてカプセル化および暗号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部２１０は、カプセル化および暗号化の処理を行った通信データを、Ｅｔｈ０を介してＨＧＷ２２へ送信する。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。また、Ｌ２−ＶＰＮ処理部２１０は、Ｅｔｈ０を介して通信データを受け付けた場合に、受け付けた通信データについてデカプセル化および復号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部２１０は、デカプセル化および復号化の処理を行った通信データを、ｐｏｒｔ３を介してＳＤＮ−ＳＷ２１３へ送る。
When the L2-
カプセリング処理部２１２は、ｐｏｒｔ４を介してＳＤＮ−ＳＷ２１３から受け取った通信データをカプセル化し、カプセル化した通信データを、Ｅｔｈ０を介してＨＧＷ２２へ送る。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。また、カプセリング処理部２１２は、Ｅｔｈ０を介してＨＧＷ２２から受け取った通信データをデカプセル化し、デカプセル化した通信データを、ｐｏｒｔ４を介してＳＤＮ−ＳＷ２１３へ送る。
The encapsulation processing unit 212 encapsulates the communication data received from the SDN-
図１９は、第４の実施形態においてＳＤＮ−ＳＷ２１３に設定されるフローテーブルの一例を示す。本実施形態において、図１９に例示したフローテーブルは、例えばＤＣ１３内に設けられたＳＤＮコントローラから配布される。ＳＤＮ−ＳＷ２１３は、ＳＤＮコントローラから配布されたフローテーブルに従って通信データを制御する。また、このフローテーブルによる制御の他にＭＡＣアドレス学習に相当するフローテーブルをＳＤＮコントローラに適宜問合せて配布されることを前提とする。
FIG. 19 shows an example of a flow table set in the SDN-
例えば、図１９に示したフローテーブルの４行目には、ｐｏｒｔ２を介してＥｔｈ２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「機器３１」または宛先ＩＰアドレスが同一セグメント内のアドレスであれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ３へ出力する制御が示されている。Ｐｏｒｔ３へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。これは、例えばＲＨＮＷ２内の機器２１とＶＨＮＷ３内の機器３１との同一セグメント内通信の制御を示している。
For example, in the fourth line of the flow table shown in FIG. 19, when communication data is received from Eth2 via
また、フローテーブルの６行目には、ｐｏｒｔ２を介してＥｔｈ２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「ＶＨＧＷ３２」であり、かつ、宛先ＩＰアドレスがＨＮＷ１００の内部のアドレス（すなわちＶＨＧＷ３２のアドレス）であれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ３へ出力する制御が示されている。ｐｏｒｔ３へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。これは、例えばＲＨＮＷ２内の機器２１とＶＨＧＷ３２との通信の制御を示している。
In the sixth line of the flow table, when communication data is received from Eth2 via
また、フローテーブルの７行目には、ｐｏｒｔ２を介してＥｔｈ２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「ＶＨＧＷ３２」であり、かつ、宛先ＩＰアドレスがＨＮＷ１００の外部のアドレスであれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ４へ出力する制御が示されている。ｐｏｒｔ４へ出力された通信データは、カプセリング処理部２１２によりカプセル化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。これは、例えばＲＨＮＷ２内の機器２１がＩＰｖ４インターネット通信を行う場合の制御を示している。
In the seventh row of the flow table, when communication data is received from Eth2 via
また、フローテーブルの９行目には、ｐｏｒｔ１を介してＥｔｈ１から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「機器３１」であり、かつ、送信元ＩＰアドレスがＨＮＷ１００の内部のアドレス（すなわちＨＧＷ２２のアドレス）であれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ３へ出力する制御が示されている。ｐｏｒｔ３へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮ処理部２１０によってカプセル化および暗号化された通信データを、通信路１１を介してＶＨＧＷ３２へ送信する。これは、例えばＨＧＷ２２とＶＨＮＷ３内の機器３１との通信の制御を示している。
In the ninth line of the flow table, when communication data is received from Eth1 via
また、フローテーブルの１０行目には、ｐｏｒｔ１を介してＥｔｈ１から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「機器３１」であり、かつ、送信元ＩＰアドレスがＨＮＷ１００の外部のアドレスであれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ４へ出力する制御が示されている。ｐｏｒｔ４へ出力された通信データは、カプセリング処理部２１２によりカプセル化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、カプセリング処理部２１２によってカプセル化された通信データを、通信路１２を介してＶＨＧＷ３２へ送信する。これは、例えばＶＨＮＷ３内の機器３１がＩＰｖ６インターネット通信を行う場合の制御を示している。
In the 10th line of the flow table, when communication data is received from Eth1 via
なお、ＳＤＮ−ＳＷ２１３は、フローテーブルに記載されている情報に該当しない通信データについては、対処方法を、例えばＲＨＮＷ２やＶＨＮＷ３内に設けられたＳＤＮコントローラに問い合わせ、必要に応じてフローテーブルを取得するようにしてもよい。または、そのような通信データについては、ドロップするよう明示的に制御するフローテーブルを、初期段階で、または必要に応じて、設定してもよい。
Note that the SDN-
図２０は、第４の実施形態において通信制御装置２００によって転送される通信データの経路の一例をまとめた表である。ＳＤＮ−ＳＷ２１３が、図１９に示したフローテーブルに従って通信データの経路を制御することにより、通信データは例えば図２０に示すような経路で転送されることになる。
FIG. 20 is a table summarizing examples of paths of communication data transferred by the
図２１は、第４の実施形態における通信制御装置３００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置３００は、Ｌ２−ＶＰＮ処理部３１０、カプセリング処理部３１２、ＳＤＮ−ＳＷ３１３、Ｅｔｈ００、Ｅｔｈ０１、およびＥｔｈ０２を有する。ｐｏｒｔ０１〜０４は、ＳＤＮ−ＳＷ３１３に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図２１において、図１６と同じ符号を付した構成は、図１６における構成と同一または同様の機能を有するため説明を省略する。
FIG. 21 conceptually shows an example of the hardware configuration of the
Ｌ２−ＶＰＮ処理部３１０は、ｐｏｒｔ０３を介して通信データを受け付けた場合に、受け付けた通信データについてカプセル化および暗号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部３１０は、カプセル化および暗号化の処理を行った通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送信する。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。また、Ｌ２−ＶＰＮ処理部３１０は、Ｅｔｈ００を介して通信データを受け付けた場合に、受け付けた通信データについてデカプセル化および復号化の処理を行う。そして、Ｌ２−ＶＰＮ処理部３１０は、デカプセル化および復号化の処理を行った通信データを、ｐｏｒｔ０３を介してＳＤＮ−ＳＷ３１３へ送る。
When the L2-
カプセリング処理部３１２は、ｐｏｒｔ０４を介してＳＤＮ−ＳＷ３１３から受け取った通信データをカプセル化し、カプセル化した通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送る。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。また、カプセリング処理部３１２は、Ｅｔｈ００を介してＶＨＧＷ３２から受け取った通信データをデカプセル化し、デカプセル化した通信データを、ｐｏｒｔ０４を介してＳＤＮ−ＳＷ３１３へ送る。
The
図２２は、第４の実施形態においてＳＤＮ−ＳＷ３１３に設定されるフローテーブルの一例を示す。本実施形態において、図２２に例示したフローテーブルは、例えばＤＣ１３内に設けられたＳＤＮコントローラから配布される。ＳＤＮ−ＳＷ３１３は、ＳＤＮコントローラから配布されたフローテーブルに従って通信データを制御する。
FIG. 22 shows an example of a flow table set in the SDN-
例えば、図２２に示したフローテーブルの４行目には、ｐｏｒｔ０２を介してＥｔｈ０２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「機器２１」または宛先ＩＰアドレスが同一セグメント内のアドレスであれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０３へ出力する制御が示されている。ｐｏｒｔ０３へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。これは、例えばＶＨＮＷ３内の機器３１とＲＨＮＷ２内の機器２１との同一セグメント内通信の制御を示している。
For example, in the fourth line of the flow table shown in FIG. 22, when communication data is received from Eth02 via port 02, the destination MAC address of the received communication data is “
また、フローテーブルの６行目には、ｐｏｒｔ０２を介してＥｔｈ０２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「ＨＧＷ２２」であり、かつ、宛先ＩＰアドレスがＨＮＷ１００の内部のアドレス（すなわちＨＧＷ２２のアドレス）であれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０３へ出力する制御が示されている。ｐｏｒｔ０３へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。これは、例えばＶＨＮＷ３内の機器３１とＨＧＷ２２との通信の制御を示している。
In the sixth line of the flow table, when communication data is received from Eth02 via port02, the destination MAC address of the received communication data is “HGW22”, and the destination IP address is within the HNW100. If it is an address (that is, the address of the HGW 22), the SDN-
また、フローテーブルの７行目には、ｐｏｒｔ０２を介してＥｔｈ０２から通信データを受け取った場合に、受け取った通信データの宛先ＭＡＣアドレスが「ＨＧＷ２２」であり、かつ、宛先ＩＰアドレスがＨＮＷ１００の外部のアドレスであれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０４へ出力する制御が示されている。ｐｏｒｔ０４へ出力された通信データは、カプセリング処理部３１２によりカプセル化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。これは、例えばＶＨＮＷ３内の機器３１がＩＰｖ６インターネット通信を行う場合の制御を示している。
In the seventh line of the flow table, when communication data is received from Eth02 via port02, the destination MAC address of the received communication data is “HGW22” and the destination IP address is outside the HNW100. If it is an address, the SDN-
また、フローテーブルの９行目には、ｐｏｒｔ０１を介してＥｔｈ０１から受け取った通信データの宛先ＭＡＣアドレスが「機器２１」であり、かつ、送信元ＩＰアドレスがＨＮＷ１００の内部のアドレス（すなわちＶＨＧＷ３２のアドレス）であれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０３へ出力する制御が示されている。ｐｏｒｔ０３へ出力された通信データは、Ｌ２−ＶＰＮ処理部３１０によりカプセル化および暗号化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、Ｌ２−ＶＰＮ処理部３１０によってカプセル化および暗号化された通信データを、通信路１１を介してＨＧＷ２２へ送信する。これは、例えばＶＨＧＷ３２とＲＨＮＷ２内の機器２１との通信の制御を示している。
In the ninth line of the flow table, the destination MAC address of the communication data received from Eth01 via port01 is “
また、フローテーブルの１０行目には、ｐｏｒｔ０１を介してＥｔｈ０１から受け取った通信データの送信元ＭＡＣアドレスが「ＶＨＧＷ３２」であり、かつ、宛先ＭＡＣアドレスが「機器２１」であり、かつ、送信元ＩＰアドレスがＨＮＷ１００の外部のアドレスであれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０４へ出力する制御が示されている。ｐｏｒｔ０４へ出力された通信データは、カプセリング処理部３１２によりカプセル化され、Ｅｔｈ００を介してＶＨＧＷ３２へ出力される。ＶＨＧＷ３２は、カプセリング処理部３１２によってカプセル化された通信データを、通信路１２を介してＨＧＷ２２へ送信する。これは、例えばＲＨＮＷ２内の機器２１がＩＰｖ４インターネット通信を行う場合の制御を示している。
In the 10th line of the flow table, the transmission source MAC address of communication data received from Eth01 via port01 is “VHGW32”, the destination MAC address is “
なお、ＳＤＮ−ＳＷ３１３は、フローテーブルに記載されている情報に該当しない通信データについては、対処方法を、例えばＲＨＮＷ２やＶＨＮＷ３内に設けられたＳＤＮコントローラに問い合わせ、必要に応じてフローテーブルを取得するようにしてもよい。または、そのような通信データについては、ドロップするよう明示的に制御するフローテーブルを、初期段階で、または必要に応じて、設定してもよい。
For communication data that does not correspond to the information described in the flow table, the SDN-
図２３は、第４の実施形態において通信制御装置３００によって転送される通信データの経路の一例をまとめた表である。ＳＤＮ−ＳＷ３１３が、図２２に示したフローテーブルに従って通信データの経路を制御することにより、通信データは例えば図２３に示すような経路で転送されることになる。
FIG. 23 is a table summarizing examples of paths of communication data transferred by the
上記した第４の実施形態では、通信路１１および通信路１２のいずれかを介して、ＲＨＮＷ２内の通信機器とＶＨＮＷ３内の通信機器との間の通信データが転送されるが、本発明はこれに限られず、１つの通信路を介してＲＨＮＷ２内の通信機器とＶＨＮＷ３内の通信機器との間の通信データが転送されるようにしてもよい。例えば、通信路をＬ２−ＶＰＮの通信路１１のみとする場合、通信制御装置２００では入力ポートおよび出力ポートに設定されているｐｏｒｔ４をｐｏｒｔ３に置き換えればよく、通信制御装置３００では入力ポートおよび出力ポートに設定されているｐｏｒｔ０４をｐｏｒｔ０３に置き換えればよい。これにより、第１の実施形態に示した構成をＳＤＮにより実現することができる。
In the fourth embodiment described above, communication data between the communication device in the RHNW2 and the communication device in the VHNW3 is transferred via either the
以上、本発明の第４の実施形態について説明した。 Heretofore, the fourth embodiment of the present invention has been described.
（第５の実施形態）
次に、本発明の第５の実施形態について、図面を参照しながら説明する。本実施形態におけるネットワークシステム１と、第１の実施形態におけるネットワークシステム１とは、主に以下の点が異なる。すなわち、本実施形態における通信制御装置３００には、ＶＨＮＷ３内を流れる通信データについて、セキュリティ上の脅威があるか否かを判定するセキュリティチェック、またはさらにセキュリティ上の脅威があると判定した場合に脅威の駆除を行う機能が設けられる。また、本実施形態の通信制御装置２００には、ＶＨＮＷ３を介さずにＲＨＮＷ２内でやり取りされる通信データについて、セキュリティチェックが必要か否かを判定する機能が設けられる。そして、通信制御装置２００によってセキュリティチェックが必要と判定された通信データについては、一旦ＶＨＮＷ３内で通信制御装置３００によってセキュリティチェックが行われる。
(Fifth embodiment)
Next, a fifth embodiment of the present invention will be described with reference to the drawings. The
図２４は、第５の実施形態における通信制御装置２００の機能構成の一例を示すブロック図である。本実施形態における通信制御装置２００は、例えば図２４に示すように、ＬＡＮ通信部２０１、トンネリング処理部２０２、判別部２０３、転送処理部２０４、ＷＡＮ通信部２０５、および判定部２０６を有する。なお、以下に説明する点を除き、図２４において、図２と同じ符号を付した構成は、図２における構成と同一または同様の機能を有するため説明を省略する。
FIG. 24 is a block diagram illustrating an example of a functional configuration of the
判定部２０６は、転送処理部２０４から受け取った通信データに含まれている情報に基づいてセキュリティチェックを行う必要のある通信データか否かを判定する。判定部２０６は、例えば、レイヤ１〜４程度の情報に基づいてセキュリティチェックを行う必要がある通信データか否かを判定する。ここでは、少なくとも通常はＶＨＮＷ３を経由しないＲＨＮＷ２内の通信データまたはＲＨＮＷ２とＩＰｖ６インターネットの間の通信データを特定して、判定部２０５に判定させる。その他の通信データについては、判定部２０５の判定を省略してもよい。
The
具体的には、通信制御装置２００内のメモリに予め保存されている、ＩＰアドレスやポート番号等のホワイト・ブラック・グレーリスト等の情報と、通信データのヘッダ内の情報とを突き合わせることにより、判定部２０６は、セキュリティチェックの要否を判定する。例えば、判定部２０６は、通信データの送信元や送信先などの情報が、メモリに保存されているホワイトリストに該当する場合には、セキュリティチェックが不要と判定する。また、判定部２０６は、通信データの送信元や送信先などの情報が、メモリに保存されているメモリに保存されているホワイトリストに該当しない場合や、メモリに保存されているグレーリストに該当する場合には、セキュリティチェックが必要と判定する。なお、通信データの送信元や送信先などの情報が、メモリに保存されているブラックリストに該当する場合には、判定部２０６は、その時点で通信データを破棄してもよい。
Specifically, by matching information such as IP address and port number, such as white, black, and greylist, which is stored in advance in the memory in the
セキュリティ上の脅威があるか否かを判定するセキュリティチェックでは、ペイロードの中身を解析する必要がある場合があり、高い処理能力が必要となる。そのため、通信制御装置２００では、セキュリティチェックが必要か否かを判定する簡易な処理にとどめ、処理負荷の軽減を図っている。
In the security check for determining whether there is a security threat, it may be necessary to analyze the contents of the payload, which requires high processing capability. Therefore, in the
判定部２０６は、セキュリティチェックが不要と判定した通信データについては、転送処理部２０４へ返す。また、セキュリティチェックが必要と判定した通信データについては、通信データのヘッダ等にフラグを埋め込み、トンネリング処理部２０２へ渡す。つまり、このフラグは通常の転送処理による出力先への転送とは異なる出力先へ転送する通信データであることを示すものでもある。
The
本実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す図は、例えば図３と同様である。判定部２０６の機能は、例えばＢｒｉｄｇｅ２１１に組み込まれている、または接続されている図示しないアプリケーションにより実現されるが以下ではこのアプリケーションをＢｒｉｄｇｅ２１１と表記して説明する。
A diagram conceptually showing an example of a hardware configuration of the
本実施形態におけるＢｒｉｄｇｅ２１１は、ＶＨＮＷ３を通過しない通信データについて、セキュリティチェックを行う必要があるか否かを判定する。そして、セキュリティチェックを行う必要があると判定した場合、Ｂｒｉｄｇｅ２１１は、通信データに所定のフラグを埋め込む。そして、Ｂｒｉｄｇｅ２１１は、フラグを埋め込んだ通信データを、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０へ送る。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。ＨＧＷ２２は、Ｌ２−ＶＰＮの通信路１１を介して通信データをＶＨＮＷ３内の通信制御装置３００へ送信する。
The
そして、ＶＨＮＷ３内の通信制御装置３００によってセキュリティ上の脅威があるか否かが判定され、セキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データは、再び通信路１１を介してＥｔｈ０からＬ２−ＶＰＮ処理部２１０へ戻される。Ｌ２−ＶＰＮ処理部２１０は、戻ってきた通信データをデカプセル化および復号化してＴａｐ０を介してＢｒｉｄｇｅ２１１へ送る。Ｂｒｉｄｇｅ２１１は、セキュリティ上の脅威がないと判定された、あるいは、セキュリティ上の脅威が取り除かれた通信データを、本来の送信先へ転送する。
Then, it is determined whether or not there is a security threat by the
図２５は、第５の実施形態において通信制御装置２００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置２００が有するＢｒｉｄｇｅ２１１のＭＡＣアドレス学習機能、および、Ｅｔｈ１のＩＰフィルタリング機能により、通信データは、例えば図２５に示すような経路で転送される。なお、セキュリティチェックの要否判断に基づく制御は、図２５の１〜９行目の制御である。１０〜１６行目までの制御は、図４に示した制御と同様であるため、その説明は省略する。
FIG. 25 is a table summarizing examples of paths of communication data transferred by the
例えば、宛先ＭＡＣアドレスが「機器２１」であれば、Ｂｒｉｄｇｅ２１１は、ＭＡＣアドレス学習機能により、受け取った通信データの出力ポートをＥｔｈ２と判別する。そして、Ｂｒｉｄｇｅ２１１は、通信データのセキュリティチェックが不要と判定すれば、通信データをＥｔｈ２から出力する。図２５の１行目には、この場合の転送経路が示されている。図２５の１行目は、例えばＲＨＮＷ２内の機器２１同士で送受信される通信データについて、セキュリティチェックが不要と判定された場合の通信データの転送経路を示している。
For example, if the destination MAC address is “
一方、通信データのセキュリティチェックが必要と判定すれば、Ｂｒｉｄｇｅ２１１は、通信データをＴａｐ０へ出力する。図２５の２行目には、この場合の転送経路が示されている。Ｔａｐ０へ出力された通信データは、Ｌ２−ＶＰＮ処理部２１０によりカプセル化および暗号化が施され、Ｅｔｈ０を介してＨＧＷ２２へ出力される。図２５の２行目は、例えばＲＨＮＷ２内の機器２１同士で送受信される通信データについて、セキュリティチェックが必要と判定された場合の通信データの転送経路を示している。
On the other hand, if it is determined that a security check of the communication data is necessary, the
また、図２５の３行目には、ＶＨＮＷ３内の通信制御装置３００によってセキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データの転送経路が示されている。
The third line in FIG. 25 shows a transfer path of communication data that has been determined by the
また、図２５の４〜６行目には、ＲＨＮＷ２内の機器２１からＨＧＷ２２へ送信される通信データにおいて、セキュリティチェックが不要と判断された通信データ、セキュリティチェックが必要と判定された通信データ、通信制御装置３００によってセキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データの転送経路がそれぞれ示されている。
25, the communication data transmitted from the
また、図２５の７〜９行目には、ＨＧＷ２２からＲＨＮＷ２内の機器２１へ送信される通信データにおいて、セキュリティチェックが不要と判断された通信データ、セキュリティチェックが必要と判定された通信データ、通信制御装置３００によってセキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データの転送経路がそれぞれ示されている。
25, the communication data transmitted from the
図２６は、第５の実施形態における通信制御装置３００の機能構成の一例を示すブロック図である。本実施形態における通信制御装置３００は、例えば図２６に示すように、ＬＡＮ通信部３０１、トンネリング処理部３０２、判別部３０３、転送処理部３０４、ＷＡＮ通信部３０５、およびセキュリティチェック部３０６を有する。なお、以下に説明する点を除き、図２６において、図５と同じ符号を付した構成は、図５における構成と同一または同様の機能を有するため説明を省略する。
FIG. 26 is a block diagram illustrating an example of a functional configuration of the
セキュリティチェック部３０６は、転送処理部３０４から受け取った通信データに含まれている情報に基づいてセキュリティ上の脅威があるか否かを判定するセキュリティチェックを行う。セキュリティチェック部３０６は、例えば、レイヤ１〜７までの全てのレイヤを対象としてチェックする。上位レイヤの解析には、例えばＩＰＳ（Intrusion Prevention System）、ＳＰＩ（Stateful Packet Inspection）やＷＡＦ（Web Application Firewall）、ＤＰＩ（Deep Packet Inspection）などの技術を適用することができる。この場合、通信制御装置３００に割り当てられた記憶領域には、ＳＰＩ、ＷＡＦ、ＤＰＩ等に必要なパターン情報やウィルス・マルウェア定義パターンなどを記憶しておく。
The
セキュリティチェック部３０６は、セキュリティチェックの結果、異常なしと判定した場合、通信データに含まれているフラグを削除してＲＨＮＷ２に返す。一方、セキュリティチェックの結果、異常ありと判定した場合、セキュリティチェック部３０６は、セキュリティ処理を施してセキュリティ上の脅威を取り除き、異常なしと判定される通信データにして通信を継続するか、あるいは、その時点で通信データを破棄したり、その通信データの送信元からの受信を拒否するように設定する命令を所定のＦＷ（FireWall）、例えばＲＨＧＷ２２やＶＨＧＷ３２内のＦＷに通知する等の処理を行う。
When it is determined that there is no abnormality as a result of the security check, the
本実施形態における通信制御装置３００のハードウェア構成の一例を概念的に示す図は、例えば図６と同様である。セキュリティチェック部３０６の機能は、例えばＢｒｉｄｇｅ３１１に組み込まれている、または接続されている図示しないアプリケーションにより実現される。もしくは、通信制御装置３００の外部の図示しない装置上で動作するものであってもよい。
A diagram conceptually showing an example of the hardware configuration of the
図２７は、第５の実施形態において通信制御装置３００によって転送される通信データの経路の一例をまとめた表である。本実施形態の通信制御装置２００が有するＢｒｉｄｇｅ３１１のＭＡＣアドレス学習機能、および、Ｅｔｈ０１のＩＰフィルタリング機能により、通信データは、例えば図２７に示すような経路で転送される。
FIG. 27 is a table summarizing examples of paths of communication data transferred by the
例えば、宛先ＭＡＣアドレスが「機器３１」であり、かつ、セキュリティチェックの結果「異常なし」と判定された通信データ（セキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データ）であれば、Ｂｒｉｄｇｅ３１１は、当該通信データをＥｔｈ０２へ出力する。図２７の１行目には、このときの転送経路が示されている。図２７の１行目は、例えば、ＶＨＮＷ３内の機器３１同士で送受信される通信データにおいて、セキュリティチェックの結果が「異常なし」となった場合の通信データの転送経路を示している。
For example, if the destination MAC address is “
また、図２７の２〜３行目には、ＶＨＮＷ３内の機器３１がＶＨＧＷ３２との間で送受信する通信データにおいて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。また、図２７の４〜５行目には、ＶＨＮＷ３内の機器３１とＲＨＮＷ２内の機器２１との間で送受信される通信データにおいて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。
The second to third lines in FIG. 27 show the transfer path when the result of the security check is “no abnormality” in the communication data transmitted / received to / from the VHGW 32 by the
また、図２７の６〜７行目には、ＶＨＮＷ３内の機器３１がＲＨＮＷ２内のＨＧＷ２２との間で送受信する通信データにおいて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。また、図２７の８〜９行目には、ＲＨＮＷ２内の機器２１がＶＨＧＷ３２との間で送受信される通信データにおいて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。
In the sixth to seventh lines in FIG. 27, the transfer path when the security check result is “no abnormality” in the communication data transmitted / received between the
また、図２７の１０行目には、ＲＨＮＷ２内の機器２１同士で送受信される通信データであって、セキュリティチェックが必要と判定された通信データについて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。また、図２７の１１〜１２行目には、ＲＨＮＷ２内の機器２１がＩＰｖ６インターネットを介して送受信する通信データであって、セキュリティチェックが必要と判定された通信データについて、セキュリティチェックの結果が「異常なし」となった場合の転送経路が示されている。
In the 10th line in FIG. 27, the communication data transmitted / received between the
なお、セキュリティチェックの結果が「異常あり」となった通信データについては、Ｂｒｉｄｇｅ３１１は、セキュリティ処理を施してセキュリティ上の脅威を取り除き、異常なしと判定される通信データにして通信を継続するか、あるいは、その時点で通信データを破棄したり、その通信データの送信元からの受信を拒否するように設定する命令を所定のＦＷに通知する等の処理を行う。
For communication data whose security check result is “abnormal”, the
ここで、ＲＨＮＷ２内の機器２１がＩＰｖ６インターネットを介して送受信する通信データであって、セキュリティチェックが必要と判定された通信データの流れについて、図２８および図２９を用いて説明する。図２８は、第５の実施形態において、ＲＨＮＷ２内の機器２１からＩＰｖ６インターネットへ送信される通信データの流れを説明するための概念図である。
Here, the flow of communication data that is determined by the
まず、ＲＨＮＷ２内の機器２１は、宛先ＭＡＣアドレスが「ＨＧＷ２２」であり、かつ、宛先ＩＰアドレスが外部のＮＷである通信データを通信制御装置２００へ送る（Ｓ１０）。通信制御装置２００のＢｒｉｄｇｅ２１１は、機器２１から送られた通信データを、Ｅｔｈ２を介して受け取る。そして、Ｂｒｉｄｇｅ２１１は、当該通信データについてセキュリティチェックを行う必要があると判定した場合、当該通信データのヘッダ等にフラグを付けて、当該通信データを、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０へ送る（図２５に示した表の５行目参照）。
First, the
Ｌ２−ＶＰＮ処理部２１０は、Ｔａｐ０を介して受け取った通信データにカプセル化および暗号化の処理を施し、処理後の通信データを、Ｅｔｈ０を介してＨＧＷ２２へ出力する（Ｓ１１）。ＨＧＷ２２は、通信制御装置２００から受け取った通信データを、通信路１１を介してＶＨＧＷ３２へ送信する（Ｓ１２）。
The L2-
次に、ＶＨＧＷ３２は、通信路１１を介して受け取った通信データを通信制御装置３００へ送る（Ｓ１３）。通信制御装置３００のＬ２−ＶＰＮ処理部３１０は、Ｅｔｈ００を介して受け取った通信データについて、デカプセル化および復号化の処理を施し、処理後の通信データを、Ｔａｐ００を介してＢｒｉｄｇｅ３１１へ送る。
Next, the
Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介して受け取った通信データについてセキュリティチェックを行う。セキュリティチェックの結果が「異常なし」である場合、Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介して受け取った通信データからフラグを除去し、フラグを除去した通信データを、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０へ返す（図２７に示した表の１１行目参照）。
Ｌ２−ＶＰＮ処理部３１０は、Ｔａｐ００を介して戻された通信データについてカプセル化および暗号化の処理を施し、処理後の通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送る（Ｓ１４）。ＶＨＧＷ３２は、通信制御装置３００から受け取った通信データを、通信路１１を介してＨＧＷ２２へ送る（Ｓ１５）。ＨＧＷ２２は、受け取った通信データを通信制御装置２００へ送る（Ｓ１６）。
The L2-
通信制御装置２００内のＬ２−ＶＰＮ処理部２１０は、Ｅｔｈ０を介して受け取った通信データについて、デカプセル化および復号化の処理を施し、処理後の通信データを、Ｔａｐ０を介してＢｒｉｄｇｅ２１１へ送る。Ｂｒｉｄｇｅ２１１は、Ｔａｐ０を介して受け取った通信データを、Ｅｔｈ１を介してＨＧＷ２２へ送る（図２５に示した表の６行目参照）（Ｓ１７）。ＨＧＷ２２は、通信制御装置２００から受け取った通信データをＩＰｖ６インターネットへ送信する（Ｓ１８）。
The L2-
図２９は、第５の実施形態において、ＩＰｖ６インターネットからＲＨＮＷ２内の機器２１へ送信される通信データの流れを説明するための概念図である。
FIG. 29 is a conceptual diagram for explaining a flow of communication data transmitted from the IPv6 Internet to the
まず、ＨＧＷ２２は、ＩＰｖ６インターネットから機器２１宛の通信データを受け取った場合に（Ｓ２０）、送信元ＭＡＣアドレスを「ＨＧＷ２２」、送信元ＩＰアドレスを外部のＮＷとし、かつ、宛先ＭＡＣアドレスを「機器２１」とする通信データを通信制御装置２００へ送る（Ｓ２１）。通信制御装置２００内のＢｒｉｄｇｅ２１１は、Ｅｔｈ１を介して受け取った通信データについてセキュリティチェックを行う必要があると判定した場合、当該通信データのヘッダ等にフラグを付けて、当該通信データを、Ｔａｐ０を介してＬ２−ＶＰＮ処理部２１０へ送る（図２５に示した表の８行目参照）。
First, when the
Ｌ２−ＶＰＮ処理部２１０は、Ｔａｐ０を介して受け取った通信データにカプセル化および暗号化の処理を施し、処理後の通信データを、Ｅｔｈ０を介してＨＧＷ２２へ出力する（Ｓ２２）。ＨＧＷ２２は、通信制御装置２００から受け取った通信データを通信路１１を介してＶＨＧＷ３２へ送信する（Ｓ２３）。
The L2-
次に、ＶＨＧＷ３２は、通信路１１を介して受け取った通信データを通信制御装置３００へ送る（Ｓ２４）。通信制御装置３００のＬ２−ＶＰＮ処理部３１０は、Ｅｔｈ００を介して受け取った通信データについて、デカプセル化および復号化の処理を施し、処理後の通信データを、Ｔａｐ００を介してＢｒｉｄｇｅ３１１へ送る。
Next, the
Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介して受け取った通信データについてセキュリティチェックを行う。セキュリティチェックの結果「異常なし」と判定された場合（セキュリティ上の脅威がないと判定された場合、あるいは、セキュリティ上の脅威が取り除かれた場合）、Ｂｒｉｄｇｅ３１１は、Ｔａｐ００を介して受け取った通信データからフラグを除去し、フラグを除去した通信データを、Ｔａｐ００を介してＬ２−ＶＰＮ処理部３１０へ返す（図２７に示した表の１２行目参照）。
Ｌ２−ＶＰＮ処理部３１０は、Ｔａｐ００を介して戻された通信データについてカプセル化および暗号化の処理を施し、処理後の通信データを、Ｅｔｈ００を介してＶＨＧＷ３２へ送る（Ｓ２５）。ＶＨＧＷ３２は、通信制御装置３００から受け取った通信データを、通信路１１を介してＨＧＷ２２へ送る（Ｓ２６）。ＨＧＷ２２は、受け取った通信データを通信制御装置２００へ送る（Ｓ２７）。
The L2-
通信制御装置２００内のＬ２−ＶＰＮ処理部２１０は、Ｅｔｈ０を介して受け取った通信データについて、デカプセル化および復号化の処理を施し、処理後の通信データを、Ｔａｐ０を介してＢｒｉｄｇｅ２１１へ送る。Ｂｒｉｄｇｅ２１１は、Ｔａｐ０を介して受け取った通信データを、Ｅｔｈ２を介して機器２１へ送る（図２５に示した表の９行目参照）（Ｓ２８）。
The L2-
ここで、Ｂｒｉｄｇｅ２１１側では、内部セグメントＮＷ内の通信データ、例えばＲＨＮＷ２内の通信データはセキュアであるとみなして、ＲＨＮＷ２と外部のＮＷとの通信データのみをセキュリティチェックの対象としてもよい。また、ＲＨＮＷ２とＶＨＮＷ３の間はＬ２−ＶＰＮのみを構築していたが、カプセリングのみのトンネルである通信路１２を併用してもよい。この場合、ＲＨＮＷ２内の通信データをセキュリティチェックにかける場合はＬ２−ＶＰＮである通信路１１を経由させ、外部のＮＷとの通信をセキュリティチェックにかける場合はカプセリングによるトンネルである通信路１２を経由させることとなる。また、ＶＨＮＷ３側では、例えば機器３１と外部のＮＷとの通信データのみをセキュリティチェックにかける場合、通信データの宛先ＩＰアドレスや送信元ＩＰアドレスに基づいて、セキュリティチェックにかける通信データであるか否かを確認すればよい。
Here, on the
以上、本発明の第５の実施形態について説明した。 The fifth embodiment of the present invention has been described above.
（第６の実施形態）
次に、本発明の第６の実施形態について、図面を参照しながら説明する。本実施形態は、第４の実施形態と第５の実施形態とを組み合わせたものである。
(Sixth embodiment)
Next, a sixth embodiment of the present invention will be described with reference to the drawings. The present embodiment is a combination of the fourth embodiment and the fifth embodiment.
図３０は、第６の実施形態における通信制御装置２００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置２００は、Ｌ２−ＶＰＮ処理部２１０、カプセリング処理部２１２、ＳＤＮ−ＳＷ２１３、判定処理部２１４、Ｅｔｈ０、Ｅｔｈ１、およびＥｔｈ２を有する。ｐｏｒｔ１〜７は、ＳＤＮ−ＳＷ２１３に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図３０において、図１８と同じ符号を付した構成は、図１８における構成と同一または同様の機能を有するため説明を省略する。
FIG. 30 conceptually shows an example of the hardware configuration of the
判定処理部２１４は、ｐｏｒｔ５を介して通信データを受け取った場合に、当該通信データに含まれている情報に基づいてセキュリティチェックを行う必要のある通信データか否かを判定する。判定処理部２１４は、例えば、レイヤ１〜４程度の情報に基づいてセキュリティチェックを行う必要がある通信データか否かを判定する。
When receiving the communication data via the port 5, the
判定処理部２１４は、セキュリティチェックが不要と判定した通信データについては、ｐｏｒｔ６を介してＳＤＮ−ＳＷ２１３へ送る。また、セキュリティチェックが必要と判定した通信データについては、判定処理部２１４は、ｐｏｒｔ７へ送る。
The
図３１は、第６の実施形態においてＳＤＮ−ＳＷ２１３に設定されるフローテーブルの一例を示す。なお、図３１には、ＲＨＮＷ２内の機器２１同士の通信や機器２１によるＩＰｖ６インターネット通信のように、ＶＨＮＷ３を経由しない通信データについてのフローテーブルが示されている。これ以外の通信（ＶＨＮＷ３を経由する通信）についてのフローテーブルは、図１９に示した表と同様であるため図示および説明を省略する。
FIG. 31 shows an example of a flow table set in the SDN-
例えば、図３１に示したフローテーブルの１〜４行目には、ＲＨＮＷ２内の機器２１同士で送受信される通信データ（すなわち、Ｅｔｈ２から入力され、宛先ＭＡＣアドレスが「機器２１」である通信データ）の制御について示されている。１行目には、ｐｏｒｔ２を介してＥｔｈ２から通信データを受け取った場合に、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ５へ出力する制御が示されている。ｐｏｒｔ５へ出力された通信データは、判定処理部２１４によってセキュリティチェックの要否が判定される。
For example, in the first to fourth lines of the flow table shown in FIG. 31, communication data transmitted / received between the
また、フローテーブルの２行目には、ｐｏｒｔ６を介して通信データを受信した場合、ＳＤＮ−ＳＷ２１３は、受信した通信データを、ｐｏｒｔ２を介してＥｔｈ２へ送る制御が示されている。また、フローテーブルの３行目には、ｐｏｒｔ７を介して通信データを受信した場合、ＳＤＮ−ＳＷ２１３は、受信した通信データを、ｐｏｒｔ３を介してＬ２−ＶＰＮ処理部２１０へ送る制御が示されている。
In the second row of the flow table, when communication data is received via port 6, SDN-
また、フローテーブルの３行目には、ｐｏｒｔ３を介してＬ２−ＶＰＮ処理部２１０から受け取った通信データの宛先ＭＡＣアドレスが「機器２１」であれば、ＳＤＮ−ＳＷ２１３は、受け取った通信データをｐｏｒｔ２へ出力する制御が示されている。これは、例えばＲＨＮＷ２内の機器２１同士で送受信される通信データが、通信制御装置３００によるセキュリティチェックの結果、「異常なし」と判定されてＲＨＮＷ２へ戻された場合の制御を示している。
In the third line of the flow table, if the destination MAC address of the communication data received from the L2-
また、フローテーブルの４〜９行目には、ＲＨＮＷ２内の機器２１とＨＧＷ２２との間で送受信される通信データ（すなわち、Ｅｔｈ２から入力され、宛先ＭＡＣアドレスが「ＨＧＷ２２」である通信データ）の制御について示されている。
In the fourth to ninth lines of the flow table, communication data transmitted / received between the
また、フローテーブルの１０〜１３行目には、ＲＨＮＷ２内のＨＧＷ２２と機器２１との間で送受信される通信データ（すなわち、Ｅｔｈ１から入力され、宛先ＭＡＣアドレスが「機器２１」である通信データ）の制御について示されている。
Further, in the 10th to 13th lines of the flow table, communication data transmitted / received between the
ＳＤＮ−ＳＷ２１３が、図３１に示したように通信データの転送を行うことにより、通信データは、例えば図３２に示すように転送される。図３２は、第６の実施形態において通信制御装置２００によって転送される通信データの経路の一例をまとめた表である。
When the SDN-
図３３は、第６の実施形態における通信制御装置３００のハードウェア構成の一例を概念的に示す。本実施形態における通信制御装置３００は、Ｌ２−ＶＰＮ処理部３１０、カプセリング処理部３１２、ＳＤＮ−ＳＷ３１３、セキュリティチェック処理部３１４、Ｅｔｈ００、Ｅｔｈ０１、およびＥｔｈ０２を有する。ｐｏｒｔ０１〜０６は、ＳＤＮ−ＳＷ３１３に設けられた仮想的なインターフェイスである。なお、以下に説明する点を除き、図３３において、図２１と同じ符号を付した構成は、図２１における構成と同一または同様の機能を有するため説明を省略する。
FIG. 33 conceptually shows an example of the hardware configuration of the
セキュリティチェック処理部３１４は、ｐｏｒｔ０５を介して通信データを受け取った場合に、当該通信データに含まれている情報に基づいてセキュリティチェックを行う。セキュリティチェック処理部３１４は、例えば、レイヤ１〜７までの全てのレイヤを対象としてセキュリティチェックを行う。セキュリティチェック処理部３１４は、セキュリティチェックの結果「異常なし」と判定した通信データ（セキュリティ上の脅威がないと判定された通信データ、あるいは、セキュリティ上の脅威を取り除かれた通信データは）については、ｐｏｒｔ０６を介してＳＤＮ−ＳＷ３１３へ返す。また、セキュリティチェックの結果「異常あり」と判定した通信データ（セキュリティ上の脅威を取り除くことができた通信データを除く）については、その通信データを破棄する。
When the security
図３４は、第６の実施形態においてＳＤＮ−ＳＷ３１３に設定されるフローテーブルの一例を示す。なお、図３４には、ＲＨＮＷ２内の機器２１同士の通信や機器２１によるＩＰｖ６インターネット通信のように、ＶＨＮＷ３を経由しない通信データについてのフローテーブルが示されている。これ以外の通信（ＶＨＮＷ３を経由する通信）についてのフローテーブルは、図１９に示した表と同様であるため説明を省略する。
FIG. 34 shows an example of a flow table set in the SDN-
例えば、図３４に示したフローテーブルの１行目には、ｐｏｒｔ０１〜０４から入力された通信データについては、ＳＤＮ−ＳＷ３１３は、全てｐｏｒｔ０５へ出力する制御が示されている。これは、ｐｏｒｔ０１〜０４から入力された通信データについては、全てセキュリティチェック処理部３１４にセキュリティチェックさせることを示している。
For example, in the first row of the flow table shown in FIG. 34, the SDN-
また、フローテーブルの２〜７行目には、ｐｏｒｔ０６から入力される通信データの制御について示されている。ｐｏｒｔ０６から入力される通信データは、セキュリティチェック処理部３１４によるセキュリティチェックの結果「異常なし」と判定されたものである。
The second to seventh lines of the flow table show control of communication data input from port06. The communication data input from the port 06 is determined as “no abnormality” as a result of the security check by the security
例えば、フローテーブルの３行目には、ｐｏｒｔ０６から入力される通信データの宛先ＭＡＣアドレスが「ＨＧＷ２２」であり、かつ、宛先ＩＰアドレスが「外部」であれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０４へ出力する制御が示されている。これは、例えばＲＨＮＷ２内の機器２１からＩＰｖ６インターネットへ送信される通信データが、通信制御装置３００によるセキュリティチェックの結果「異常なし」と判定された後に、通信路１２を介してＲＨＮＷ２へ戻される場合の制御を示している。
For example, on the third line of the flow table, if the destination MAC address of the communication data input from port 06 is “HGW22” and the destination IP address is “external”, the SDN-
また、フローテーブルの４行目には、ｐｏｒｔ０６から入力される通信データの宛先ＭＡＣアドレスが「機器２１」であり、かつ、送信元ＩＰアドレスが「内部」であれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０３へ出力する制御が示されている。これは、例えばＨＮＷ１００内の機器２１や機器３１等が機器２１との間で送受信する通信データについて、通信制御装置３００によるセキュリティチェックの結果「異常なし」と判定されて通信路１１を介してＲＨＮＷ２へ戻される場合の制御を示している。
On the fourth line of the flow table, if the destination MAC address of the communication data input from port 06 is “
また、フローテーブルの６行目には、ｐｏｒｔ０６から入力される通信データの宛先ＭＡＣアドレスが「機器３１」であれば、ＳＤＮ−ＳＷ３１３は、受け取った通信データをｐｏｒｔ０２へ出力する制御が示されている。これは、例えば機器３１宛の通信データが、通信制御装置３００によるセキュリティチェックの結果「異常なし」と判定されて宛先の機器３１へ転送される場合の制御を示している。
Further, the sixth line of the flow table shows a control in which the SDN-
また、フローテーブルの最下行には、フローテーブルに記述されている通信データ以外の通信データについては、ＳＤＮ−ＳＷ３１３は、通信データを破棄することにより通信を遮断する制御が示されている。なお、ＳＤＮ−ＳＷ３１３は、フローテーブルに記載されている情報に該当しない通信データについては、対処方法を、例えばＶＨＮＷ３内に設けられたＳＤＮコントローラに問い合わせるようにしてもよい。
In the bottom row of the flow table, for communication data other than the communication data described in the flow table, SDN-
ＳＤＮ−ＳＷ３１３が、図３４に示したように通信データの転送を行うことにより、通信データは、例えば図３５に示すように転送される。図３５は、第６の実施形態において通信制御装置３００によって転送される通信データの経路の一例をまとめた表である。
When the SDN-
ここで、ＳＤＮ−ＳＷ２１３側では、内部セグメントＮＷ内の通信データ、例えばＲＨＮＷ２内の通信データはセキュアであるとみなして、ＲＨＮＷ２と外部のＮＷとの通信データのみをセキュリティチェックの対象としてもよい。また、ＲＨＮＷ２とＶＨＮＷ３の間はＬ２−ＶＰＮのみを構築していたが、カプセリングのみのトンネルである通信路１２を併用してもよい。この場合、ＲＨＮＷ２内の通信データをセキュリティチェックにかける場合はＬ２−ＶＰＮである通信路１１を経由させ、外部のＮＷとの通信をセキュリティチェックにかける場合はカプセリングによるトンネルである通信路１２を経由させることとなる。また、ＳＤＮ−ＳＷ３１３を通る任意の通信データのうち、選択的に通信データをセキュリティチェックする場合は、ｐｏｒｔ０５に出力させる通信データの条件をフローテーブルに登録することになる。また、ＶＨＮＷ３側では、例えば機器３１と外部のＮＷとの通信データのみをセキュリティチェックにかける場合、通信データの宛先ＩＰアドレスや送信元ＩＰアドレスに基づいて、ｐｏｒｔ０５に出力させる通信データの条件をフローテーブルに登録することになる。また、ＳＤＮ−ＳＷ２１３側でセキュリティチェックの要否判定することなく、ＲＨＮＷ２内の通信データ、ＲＨＮＷ２と外部のＮＷとの通信データ、またはこの両方をセキュリティチェックにかけることとしてもよい。
Here, on the SDN-
以上、本発明の第６の実施形態について説明した。 The sixth embodiment of the present invention has been described above.
以上、本発明をいくつかの実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に多様な変更または改良を加えることが可能であることが当業者には明らかである。また、そのような変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。 As mentioned above, although this invention was demonstrated using some embodiment, the technical scope of this invention is not limited to the range as described in the said embodiment. It will be apparent to those skilled in the art that various modifications or improvements can be made to the above-described embodiment. In addition, it is apparent from the scope of the claims that the embodiments added with such changes or improvements can be included in the technical scope of the present invention.
例えば、上記した第５または第６の実施形態について、例えば、同一セッションの通信データについては、通信開始から所定数または所定期間内の通信データについて、セキュリティチェックの結果「異常なし」と判定された場合には、それ以降の通信データについては、セキュリティチェックを省略するようにしてもよい。この場合、通信制御装置２００または通信制御装置３００がセッション開始から通信データ数や経過時間を計測して、上限に到達しない間の通信データに対してセキュリティチェックを行わないようにする。また、信頼できる通信先との間で送受信される通信データについては、セキュリティチェックを省略するようにしてもよい。また、同一セグメント内の通信については、安全であるとみなしてセキュリティチェックを省略するようにしてもよい。この場合、通信制御装置２００または通信制御装置３００がこの信頼できる通信先情報や同一セグメントＮＷ内の通信データであること識別できるアドレス等の情報を記憶しておき、宛先や送信元が記憶している情報に該当する場合は、その通信データに対してセキュリティチェックを行わないようにする。
For example, in the fifth or sixth embodiment described above, for communication data of the same session, for example, a predetermined number or a predetermined period of communication data from the start of communication is determined as “no abnormality” as a result of the security check. In this case, the security check may be omitted for communication data after that. In this case, the
また、上記した第６の実施形態では、ＲＨＮＷ２とＶＨＮＷ３の間に通信路１１と通信路１２の２つの通信路を設定するが、本発明はこれに限られず、ＲＨＮＷ２とＶＨＮＷ３の間の通信は、全て暗号化された通信路１１を介して行われてもよい。
Further, in the above-described sixth embodiment, two
また、上記した第３、第４、または第６の実施形態において、カプセリング処理部２１２およびカプセリング処理部３１２は、通信データのカプセリングを行い、通信データの暗号化は行わないが、本発明はこれに限られない。例えば、カプセリング処理部２１２およびカプセリング処理部３１２は、カプセル化の対象となる通信データ内の一部の情報を秘匿化してカプセル化してもよい。通信データ内の一部の情報とは、例えば、送信元ＭＡＣアドレスや宛先ＭＡＣアドレス、送信元ＩＰアドレス、送信元ポート番号等である。また、秘匿化の対象は、送信元ＭＡＣアドレスや宛先ＭＡＣアドレス等の情報の一部（上位／下位数ビットなど）であってもよい。秘匿化とは、例えば、転置式暗号や換字式暗号などのように処理負荷が低い処理により実現するのが望ましい。また、上記した実施形態において、ＩＰｖ６とＩＰｖ４の扱いを対称にしてもよい。例えば、ＩＰｖ４インターネットＧＷをＲＨＮＷ２側に、ＩＰｖ６インターネットＧＷをＶＨＮＷ３側に配置することとしてもよく、カプセリングやＬ２−ＶＰＮはＩＰｖ４通信によって実現してもよい。また、用途によっては、Ｌ２−ＶＰＮに限らずＬ３以上のＶＰＮによって実現してもよく、カプセリング処理は、Ｌ２やＬ３レベルでのカプセリングを行うこととしてもよい。
In the third, fourth, or sixth embodiment described above, the encapsulation processing unit 212 and the
１ ネットワークシステム
１００ ＨＮＷ
１０ アクセス網
１１ 通信路
１３ ＤＣ
２ ＲＨＮＷ
２００ 通信制御装置
３ ＶＨＮＷ
３００ 通信制御装置
1
10
2 RHNW
200 Communication control device 3 VHNW
300 Communication control device
Claims (8)
前記第１の通信制御装置は、
前記第１のネットワーク内を流れる通信データが所定条件に該当するか否かを判定する判定部と、
前記判定部によって、前記第１のネットワーク内を流れる通信データが前記所定条件に該当すると判定された場合に、当該通信データを前記第２の通信制御装置との間に設定した仮想的な通信路を介して前記第２のネットワークへ送信する第１の経路制御部と、
を有し、
前記第１のネットワーク内の機器が前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、
前記第１のネットワーク内の機器が前記第２のネットワーク内の機器または前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記通信路を介して中継し、
前記第２の通信制御装置は、
前記第２のネットワーク内を流れる通信データに基づいてセキュリティ上の脅威の有無を判定するセキュリティ判定部と、
前記第１の経路制御部によって前記第２のネットワークへ送信された通信データについて、前記セキュリティ判定部が、セキュリティ上の脅威があると判定した場合に、当該通信データの通信相手との通信を拒否するように設定する命令を前記第１のネットワーク内、または前記第２のネットワーク内の所定の機器に通知する第２の経路制御部と、
を有し、
前記第２のネットワーク内の機器が前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、
前記第２のネットワーク内の機器が前記第１のネットワーク内の機器または前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記通信路を介して中継することを特徴とするネットワークシステム。 A network comprising a first communication control device in a first network capable of communicating with a first external network, and a second communication control device in a second network capable of communicating with at least a second external network A system,
The first communication control device includes:
A determination unit for determining whether communication data flowing in the first network satisfies a predetermined condition;
When the determination unit determines that the communication data flowing in the first network meets the predetermined condition, a virtual communication path in which the communication data is set between the second communication control device A first path control unit for transmitting to the second network via
Have
Relaying communication data transmitted and received between a device in the first network and a device capable of communicating via the first external network;
The communication data transmitted and received between the first device in the network in the second network device or the second communication apparatus capable via an external network, relayed through the front Symbol communications path And
The second communication control device includes:
A security determination unit for determining presence or absence of a security threat based on communication data flowing in the second network;
When the security determination unit determines that there is a security threat for communication data transmitted to the second network by the first route control unit, the communication data is rejected from communication with the communication partner. A second path control unit for notifying a predetermined device in the first network or the second network of an instruction to set to
Have
Relaying communication data transmitted and received between devices in the second network and devices capable of communicating via the second external network;
The communication data transmitted and received between said second device in the network in the first network device or the first communication apparatus capable via an external network, relayed through the front Symbol communications path A network system characterized by
前記第１のネットワーク内を流れる通信データに含まれている少なくとも一部の情報について、セキュリティ上の脅威の有無を判定すべき通信データに該当する値のリストを予め有しており、
前記リストに含まれている情報を含む、あるいは、前記リストに含まれている情報に類似する情報を含む通信データを、前記所定条件に該当する通信データと判定することを特徴とする請求項１または２に記載のネットワークシステム。 The determination unit
For at least a part of information included in the communication data flowing in the first network, a list of values corresponding to the communication data to be determined whether there is a security threat is included in advance.
Including the information contained in the list, or claim 1, wherein the determining the communication data including information similar to the information contained in the list, the communication data corresponding to the predetermined condition Or the network system of 2.
前記第２の通信制御装置との間に、前記通信路を設定する第１のトンネリング処理部と、
前記第１のネットワーク内を流れる通信データの宛先が、少なくとも前記第１の外部ネットワークを介して通信可能な機器、前記第２のネットワーク内の機器、または前記第２の外部ネットワークを介して通信可能な機器のいずれであるかを判別する第１の判別部と、
前記第１の判別部によって、前記第１のネットワーク内を流れる通信データの宛先が、前記第１の外部ネットワークを介して通信可能な機器であると判別された場合に、当該宛先に従って当該通信データを前記第１の外部ネットワークへ送信し、
前記第１の判別部によって、前記第１のネットワーク内を流れる通信データの宛先が、前記第２のネットワーク内の機器、または、前記第２の外部ネットワークを介して通信可能な機器であると判別された場合に、当該通信データを前記第１のトンネリング処理部が設定した前記通信路を介して前記第２のネットワークへ送信する第１の転送処理部と
を有し、
前記第２の通信制御装置は、
前記第１の通信制御装置との間に、前記通信路を設定する第２のトンネリング処理部と、
前記第２のネットワーク内を流れる通信データの宛先が、少なくとも前記第２の外部ネットワークを介して通信可能な機器、前記第１のネットワーク内の機器、または前記第１の外部ネットワークを介して通信可能な機器のいずれであるかを判別する第２の判別部と、
前記第２の判別部によって、前記第２のネットワーク内を流れる通信データの宛先が、前記第２の外部ネットワークを介して通信可能な機器であると判別された場合に、当該宛先に従って当該通信データを前記第２の外部ネットワークへ送信し、
前記第２の判別部によって、前記第２のネットワーク内を流れる通信データの宛先が、前記第１のネットワーク内の機器、または、前記第１の外部ネットワークを介して通信可能な機器であると判別された場合に、当該通信データを前記第２のトンネリング処理部が設定した前記通信路を介して前記第１のネットワークへ送信する第２の転送処理部と
を有することを特徴とする請求項１に記載のネットワークシステム。 The first communication control device includes:
A first tunneling processing unit for setting the communication path with the second communication control device;
The destination of communication data flowing in the first network can communicate via at least a device capable of communicating via the first external network, a device within the second network, or the second external network. A first discriminating unit for discriminating which of the devices is a device,
When the first determination unit determines that the destination of the communication data flowing in the first network is a device that can communicate via the first external network, the communication data according to the destination To the first external network,
The first determination unit determines that the destination of communication data flowing in the first network is a device in the second network or a device capable of communicating via the second external network. And a first transfer processing unit that transmits the communication data to the second network via the communication path set by the first tunneling processing unit,
The second communication control device includes:
A second tunneling processing unit for setting the communication path with the first communication control device;
Communication the second destination of the communication data flowing through the network, via at least the second communication apparatus capable via an external network, the device of the previous SL in the first network or the first external network, A second determination unit for determining which of the possible devices;
When the second determination unit determines that the destination of the communication data flowing in the second network is a device that can communicate via the second external network, the communication data according to the destination To the second external network,
The second determination unit determines that the destination of communication data flowing in the second network is a device in the first network or a device capable of communicating via the first external network. And a second transfer processing unit configured to transmit the communication data to the first network via the communication path set by the second tunneling processing unit. The network system described in 1.
前記第１の通信制御装置が、
前記第１のネットワーク内を流れる通信データが所定条件に該当するか否かを判定する工程と、
前記所定条件に該当するか否かを判定する工程によって、前記第１のネットワーク内を流れる通信データが前記所定条件に該当すると判定された場合に、当該通信データを前記第２の通信制御装置との間に設定した仮想的な通信路を介して前記第２のネットワークへ送信する工程と、
前記第１のネットワーク内の機器が前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継する工程と、
前記第１のネットワーク内の機器が前記第２のネットワーク内の機器または前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記通信路を介して中継する工程と
を実行し、
前記第２の通信制御装置が、
前記第２のネットワーク内を流れる通信データに基づいてセキュリティ上の脅威の有無を判定する工程と、
前記送信する工程によって前記第２のネットワークへ送信された通信データについて、前記セキュリティ上の脅威の有無を判定する工程が、セキュリティ上の脅威があると判定した場合に、当該通信データの通信相手との通信を拒否するように設定する命令を前記第１のネットワーク内、または前記第２のネットワーク内の所定の機器に通知する工程と、
前記第２のネットワーク内の機器が前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継する工程と、
前記第２のネットワーク内の機器が前記第１のネットワーク内の機器または前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第１の通信制御装置との間に設定した前記通信路を介して中継する工程と
を実行することを特徴とする通信制御方法。 A first communication control unit in a first network connected to a first external network; a second in a second network connected to the first external network and the second external network; A communication control method in a network system comprising a communication control device,
The first communication control device is
Determining whether communication data flowing in the first network satisfies a predetermined condition;
If it is determined in the step of determining whether or not the predetermined condition is satisfied, communication data flowing in the first network is determined to satisfy the predetermined condition, the communication data is transferred to the second communication control device. Transmitting to the second network via a virtual communication path set during
Relaying communication data transmitted and received between a device in the first network and a device capable of communicating via the first external network;
The communication data transmitted and received between the first device in the network in the second network device or the second communication apparatus capable via an external network, relayed through the front Symbol communications path And performing the process
The second communication control device is
Determining the presence or absence of a security threat based on communication data flowing in the second network;
For the communication data transmitted to the second network by the transmitting step, when the step of determining the presence or absence of the security threat determines that there is a security threat, the communication partner of the communication data A step of notifying a predetermined device in the first network or the second network of an instruction to set to refuse communication of the first network;
Relaying communication data transmitted and received between devices in the second network and devices communicable via the second external network;
Communication data transmitted and received between a device in the second network and a device communicable via the device in the first network or the first external network with the first communication control device And a step of relaying through the communication path set in between.
前記第１のネットワーク内を流れる通信データが所定条件に該当するか否かを判定する判定部と、
前記判定部によって、前記第１のネットワーク内を流れる通信データが前記所定条件に該当すると判定された場合に、当該通信データを前記通信路を介して前記第２のネットワークへ送信する第１の経路制御部と、
を有し、
前記第１のネットワーク内の機器が前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、
前記第１のネットワーク内の機器が前記第２のネットワーク内の機器または前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第２のネットワーク内の中継装置との間に設定した仮想的な通信路を介して中継することを特徴とする通信制御装置。 Can communicate with a first external network, provided in the first network, capable of communicating with at least a second external network, a relay device in the second network, the second network A security determination unit that determines the presence or absence of a security threat based on communication data flowing through the first network, and a virtual communication path set between the first network and the second network. For communication data transmitted from the second network to the second network, when the security determination unit determines that there is a security threat, the communication data is set to be refused communication with the communication partner. A second route control unit for notifying a predetermined device in the first network or the second network of a command; A communication control apparatus for communicating with relay device,
A determination unit for determining whether communication data flowing in the first network satisfies a predetermined condition;
A first route for transmitting the communication data to the second network via the communication path when the determination unit determines that the communication data flowing in the first network satisfies the predetermined condition A control unit;
Have
Relaying communication data transmitted and received between a device in the first network and a device capable of communicating via the first external network;
A relay device in the second network for communication data transmitted / received between a device in the first network and a device in the second network or a device communicable via the second external network A communication control device that relays via a virtual communication path set between and.
前記第２のネットワーク内を流れる通信データに基づいてセキュリティ上の脅威の有無を判定するセキュリティ判定部と、
前記通信路を介して、前記中継装置から前記第２のネットワークへ送信された通信データについて、前記セキュリティ判定部が、セキュリティ上の脅威があると判定した場合に、当該通信データの通信相手との通信を拒否するように設定する命令を前記第１のネットワーク内、または前記第２のネットワーク内の所定の機器に通知する第１の経路制御部と、
を有し、
前記第２のネットワーク内の機器が前記第２の外部ネットワークを介して通信可能な機器との間で送受信する通信データを中継し、
前記第２のネットワーク内の機器が前記第１のネットワーク内の機器または前記第１の外部ネットワークを介して通信可能な機器との間で送受信する通信データを、前記第１のネットワーク内の中継装置との間に設定した仮想的な通信路を介して中継することを特徴とする通信制御装置。 Capable of communicating with at least a second external network, provided in a second network, which can communicate with a first external network, a TsugiSo location within the first network, the first network A determination unit that determines whether or not communication data that flows through the first network satisfies a predetermined condition, and the communication unit that determines that the communication data that flows through the first network meets the predetermined condition. Communication with a relay device having a second path control unit that transmits data to the second network via a virtual communication path set between the first network and the second network A communication control device,
A security determination unit for determining presence or absence of a security threat based on communication data flowing in the second network;
With respect to communication data transmitted from the relay device to the second network via the communication path, when the security determination unit determines that there is a security threat, communication with the communication partner of the communication data A first path control unit for notifying a predetermined device in the first network or the second network of an instruction to set to refuse communication;
Have
Relaying communication data transmitted and received between devices in the second network and devices capable of communicating via the second external network;
A relay device in the first network for communication data transmitted / received by a device in the second network to / from a device in the first network or a device communicable via the first external network A communication control device that relays via a virtual communication path set between and.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2013139224A JP5986044B2 (en) | 2013-07-02 | 2013-07-02 | Network system, communication control method, communication control apparatus, and program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2013139224A JP5986044B2 (en) | 2013-07-02 | 2013-07-02 | Network system, communication control method, communication control apparatus, and program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2015012594A JP2015012594A (en) | 2015-01-19 |
| JP5986044B2 true JP5986044B2 (en) | 2016-09-06 |
Family
ID=52305337
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2013139224A Expired - Fee Related JP5986044B2 (en) | 2013-07-02 | 2013-07-02 | Network system, communication control method, communication control apparatus, and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5986044B2 (en) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2017150621A1 (en) * | 2016-03-02 | 2017-09-08 | 日本電気株式会社 | Network system, terminal, sensor data collection method, and program |
| JP7125317B2 (en) * | 2018-09-28 | 2022-08-24 | アズビル株式会社 | UNAUTHORIZED ACCESS MONITORING DEVICE AND METHOD |
Family Cites Families (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP3700671B2 (en) * | 2002-04-10 | 2005-09-28 | 横河電機株式会社 | Security management system |
| JP2005277498A (en) * | 2004-03-23 | 2005-10-06 | Fujitsu Ltd | Communication system |
| JP5893546B2 (en) * | 2012-11-30 | 2016-03-23 | 日本電信電話株式会社 | Network system, communication control method, communication control apparatus, and communication control program |
| JP6075871B2 (en) * | 2013-05-09 | 2017-02-08 | 日本電信電話株式会社 | Network system, communication control method, communication control apparatus, and communication control program |
-
2013
- 2013-07-02 JP JP2013139224A patent/JP5986044B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2015012594A (en) | 2015-01-19 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Durand et al. | Dual-stack lite broadband deployments following IPv4 exhaustion | |
| JP4780477B2 (en) | Tunneling device, tunnel frame distribution method used therefor, and program therefor | |
| US9762484B2 (en) | Role based router functionality | |
| US20100121946A1 (en) | Method and device for identifying and selecting an interface to access a network | |
| US20140181248A1 (en) | Simple Remote Access Through Firewalls For Networked Devices and Applications | |
| US8688842B2 (en) | Methods, apparatuses, system, and related computer program product for user equipment access | |
| EP2489171A1 (en) | Apparatus, logic and method for providing a translation mechanism in a network environment | |
| JPWO2006120751A1 (en) | Peer-to-peer communication method and system enabling incoming and outgoing calls | |
| US11677717B2 (en) | Unified network service that connects multiple disparate private networks and end user client devices operating on separate networks | |
| JP7095102B2 (en) | Systems and methods for creating group networks between network devices | |
| JP2007104440A (en) | Packet transmission system, its method, and tunneling device | |
| US8146144B2 (en) | Method and system for the transparent transmission of data traffic between data processing devices, corresponding computer program product, and corresponding computer-readable storage medium | |
| US9088542B2 (en) | Firewall traversal driven by proximity | |
| JP2009010606A (en) | Tunnel connection system, tunnel control server, tunnel connecting device, and tunnel connection method | |
| JP5986044B2 (en) | Network system, communication control method, communication control apparatus, and program | |
| JP4746978B2 (en) | Local network and remote network operation method, software module, and gateway | |
| Abdulla | Survey of security issues in IPv4 to IPv6 tunnel transition mechanisms | |
| Bhatia et al. | Bidirectional forwarding detection (BFD) on link aggregation group (LAG) interfaces | |
| JP2006191205A (en) | Communication apparatus, communication method, and communication system | |
| KR101712922B1 (en) | Virtual Private Network System of Dynamic Tunnel End Type, Manager Apparatus and Virtual Router for the same | |
| US12107827B2 (en) | Unified network service that connects multiple disparate private networks and end user client devices operating on separate networks | |
| US12101295B2 (en) | Internet protocol security (IPSec) tunnel using anycast at a distributed cloud computing network | |
| Menachi et al. | Scalable, hierarchical, Ethernet transport network architecture (HETNA) | |
| JP5453941B2 (en) | Communication control device | |
| Pandya | Transmission control protocol/internet protocol packet analysis |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20150805 |
|
| RD02 | Notification of acceptance of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7422 Effective date: 20151001 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20151005 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20160414 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A132 Effective date: 20160510 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20160704 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20160802 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20160804 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 5986044 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |