JP6127622B2 - Ｄｎｓサーバ装置、ネットワーク機器、および通信システム - Google Patents

Description

この発明は、ＶＰＮ（Virtual Private Network）によりデータ通信の秘匿性を確保する技術に関する。

ＶＰＮとは、ルータなどのネットワーク機器間に暗号化通信のための仮想通信路をインターネットなどの一般公衆網を介して確立し、データ通信の秘匿性を確保する通信技術のことをいう。ＶＰＮを利用することで、ネットワーク機器間の接続に専用線を用いる場合に比較してコストを抑えつつ、データ通信の秘匿性を確保することができる。

ＶＰＮの構築によりデータ通信の秘匿性確保を実現する場合、各ネットワーク機器に仮想通信路の確立先となる他の拠点のネットワーク機器の通信アドレスを漏れなく設定するといった作業を行わねばならない。さらに、ＶＰＮの構築に先立って、そのＶＰＮに参加させる各ネットワーク機器の選定やそれらネットワーク機器の通信アドレスを調べ上げるといった作業も勿論必要となる。従来これらの作業はネットワーク管理者により手動で行われており、ネットワーク管理者の作業負担が大きかった。このため、このようなネットワーク管理者の作業負担を軽減するための技術が従来より種々提案されており、その一例としては、特許文献１および特許文献２に開示の技術が挙げられる。

特許文献１に開示の技術は、ＶＰＮ接続管理装置へのＶＰＮ接続機器情報の登録およびＶＰＮ接続機器自体の認証を行うことで拠点間ＶＰＮを自動的に構築できるようにするものである。より詳細に説明すると、ＶＰＮ接続管理装置にＶＰＮ接続機器のネットワークアドレスと装置の識別子とを登録しておくことで、ＶＰＮ接続機器のＩＰ（Internet Protocol）アドレスが変化した場合でも、構築されていたＶＰＮ接続の切断処理および新しいＩＰアドレスでの再接続処理に必要な情報をＶＰＮ接続管理装置からＶＰＮ接続機器に通知し、自動的にＶＰＮ接続が確立される。特許文献２に開示の技術では、拠点に設置されたルータと制御サーバの間でＩＰｓｅｃによる制御用ＶＰＮを構築し、その制御用ＶＰＮを介して他の拠点に設置されたルータとのＶＰＮ接続用設定を制御サーバから取得し、そのＶＰＮ接続用設定にしたがって各ルータにＶＰＮを確立させている。

特開２００６−１６６０２８号公報 特開２００５−０１２４８５号公報

特許文献１に開示された技術では、ＶＰＮに参加させるネットワーク機器（ＶＰＮ接続機器）を選定し、それらＶＰＮ接続機器の情報をＶＰＮ接続管理装置に予め登録しておかなければならない。このため、選定作業に要する手間は軽減されない。また、特許文献２に開示の技術では、各拠点に設置されたルータと制御サーバとの間に制御用のＶＰＮを構築する必要がある。このため、制御サーバとの間に制御用ＶＰＮを確立するための各種情報（パスワード等）を各拠点のルータに予め設定しておかねばならず、また、制御サーバにも制御用ＶＰＮを確立するための情報を予め設定しておかねばならない。つまり、特許文献２に開示の技術では、新たな作業負担が発生し、ネットワーク管理者の作業負担が全体として軽減されるのかについて疑問が残る。

本発明は上記課題に鑑みて為されたものであり、ネットワーク管理者の作業負担を軽減しつつ、ＶＰＮを利用して秘匿性の高いデータ通信を実現することを可能にする技術を提供することを目的とする。

上記課題を解決するために本発明は、ネットワーク機器に割り当てられた通信アドレスに対応付けて当該ネットワーク機器に割り当てられた１または複数のドメインネームが格納される管理テーブルを有し、当該管理テーブルを参照してドメインネームサービスを提供するＤＮＳサーバ装置において、ドメインネームおよび通信アドレスが前記管理テーブルに格納されているネットワーク機器をドメインネームに含まれるドメインでグループ分けするグループ分け手段と、前記グループ分け手段により生成されたグループのうち複数のネットワーク機器の属するグループについて、当該グループに属するネットワーク機器の各々に対して同じグループに属する他のネットワーク機器の通信アドレスを仮想通信路の確立先の通信アドレスとして通知する確立先通知処理を実行する確立先通知手段とを有することを特徴とするＤＮＳサーバ装置、を提供する。

上記確立先通知処理をどのようなタイミングで実行するのかについては種々の態様が考えられる。例えば、通信アドレスおよびドメインネームの組を管理テーブルに登録する毎に確立先通知処理を実行する態様が考えられる。このような態様によれば、ＶＰＮに参加させる各ネットワーク機器に自装置のドメインネームおよび通信アドレスをＤＮＳサーバ装置に登録するだけで、ネットワーク管理者が他に特段の作業を行わなくても、各ネットワーク機器間に仮想通信路が確立され、ＶＰＮが構築される。また、通信アドレスおよびドメインネームの組を管理テーブルに登録する毎に上記確立先通知処理を実行することに加えて（或いは、代えて）、ネットワーク機器からの要求に応じて、当該ネットワーク機器の属するグループに属する各ネットワーク機器に対して同じグループに属する他のネットワーク機器の通信アドレスを仮想通信路の確立先の通信アドレスとして通知する処理を確立先通知手段に実行させても良い。なお、本発明の別の態様として、コンピュータをＤＮＳサーバ装置および上記各手段として機能させるプログラムを提供する態様も考えられる。

ここで、フルメッシュ型のＶＰＮを構築する場合には、ドメインネームから機器固有の機器固有識別子を除いた上位ドメインが同一の複数のネットワーク機器からなるグループに属する各ネットワーク機器に対して、同じグループに属する他の全てのネットワーク機器の通信アドレスを仮想通信路の確立先として通知すれば良く、ハブアンドスポーク型のＶＰＮを構築する場合には、上位ドメインが同一の複数のネットワーク機器のうちに何れか１つをセンタネットワーク機器として選択し、当該センタネットワーク機器に対しては、他の全てのネットワーク機器の通信アドレスを仮想通信路の確立先として通知する一方、これら他のネットワーク機器の各々に対してはセンタネットワーク機器の通信アドレスを通知するようにすれば良い。なお、センタネットワーク機器をどのように選択するのかについては種々の態様が考えられる。例えば、通信アドレスが最も若いものをセンタネットワーク機器として選択する態様や処理能力の最も高いもの或いは処理負荷の最も軽いものをセンタネットワーク機器として選択する態様が考えられる。

また、上記課題を解決するために本発明は、自装置に割り当てられた通信アドレスとドメインネームとをＤＮＳサーバ装置に通知する機器情報通知手段と、前記ＤＮＳサーバ装置から通知された他のネットワーク機器との間に仮想通信路を確立する仮想通信路確立手段と、を有することを特徴とするネットワーク機器を提供する。このようなネットワーク機器を各拠点に設置してインターネットなどの一般公衆網に接続し、かつ当該一般公衆網に本発明のＤＮＳサーバ装置を接続しておけば、これらネットワーク機器が上位ドメインでグループ分けされ、複数のネットワーク機器からなるグループに属する各ネットワーク機器に対して同じグループに属する他のネットワーク機器の通信アドレスが仮想通信路の確立先の通信アドレスとして通知される。

この発明の実施形態の通信システム１の構成例を示す図である。 通信システム１に含まれるＤＮＳサーバ装置１０の構成例を示す図である。 ＤＮＳサーバ装置１０の不揮発性記憶部１４４に格納されている管理テーブル１４４ｂの一例を示す図である。 ＤＮＳサーバ装置１０による制御下で実現されるＶＰＮのネットワークトポロジの一例を示す図である。 通信システム１に含まれるネットワーク機器２０Ａおよび２０Ｂの構成例を示す図である。 同通信システム１における通信の流れ、ＤＮＳサーバ装置１０、ネットワーク機器２０Ａおよびネットワーク機器２０Ｂの動作を説明するための図である。 上記動作の後にＤＮＳサーバ装置１０の不揮発性記憶部１４４に格納されている管理テーブル１４４ｂの一例を示す図である。 変形例（３）を説明するための図である。

以下、図面を参照しつつ本発明の実施形態を説明する。
（Ａ：構成）
図１は、この発明の一実施形態の通信システム１の構成例を示す図である。
通信システム１は、ＤＮＳサーバ装置１０、ネットワーク機器２０Ａおよびネットワーク機器２０Ｂを含んでいる。ＤＮＳサーバ装置１０、ネットワーク機器２０Ａおよびネットワーク機器２０Ｂは、インターネットなどの一般公衆網である通信網３０に接続されている。

ＤＮＳサーバ装置１０は、ＤＮＳ（すなわち、クライアント装置から送信されたドメインネームを当該ドメインネームの付与されているネットワーク機器のＩＰアドレスに変換して返信するサービス）を提供するためにＤＮＳ事業者によって運営管理されているコンピュータ装置である。なお、ドメインネームとは、ネットワーク機器を運用する組織（企業や学校、公的機関など）の名称や種別、国籍等を表す各文字列およびネットワーク機器に付与される名称を表す文字列を所定の区切り文字（例えば、ピリオド）を介して連結して得られる文字列である。以下では、ドメインネームのうちネットワーク機器の名称を表す部分を機器固有識別子と呼び、その他の部分を上位ドメインと呼ぶ。

ネットワーク機器２０Ａおよびネットワーク機器２０Ｂは、ＤＮＳの利用者である組織（本実施形態では、企業）により運用管理されるルータであり、上記企業の本店や支店などの各拠点に設置されている。ネットワーク機器２０Ａおよびネットワーク機器２０Ｂの各々は、自装置の設置されている拠点内に敷設されたＬＡＮ（Local Area Network：図１では図示略）を通信網３０に接続し、これにより、上記企業における社内情報システムが形成される。本実施形態では、ネットワーク機器２０Ａとネットワーク機器２０Ｂの間に仮想通信路を確立してＶＰＮを構築することで、上記社内情報システムにおけるデータ通信の秘匿性が担保される。本実施形態では、ネットワーク機器２０Ａとネットワーク機器２０Ｂの構成は同一であるため、両者を区別する必要がない場合には「ネットワーク機器２０」と表記する。

ネットワーク機器２０の通信網３０側の通信インタフェース部には、通信網３０において当該ネットワーク機器を一意に示すグローバルＩＰアドレス（以下、単に「ＩＰアドレス」と呼ぶ）がＰＰＰｏＥによって動的に割り振られる。また、ネットワーク機器２０には、上記企業におけるネットワーク管理者によってドメインネームが付与される。前述したように、このドメインネームは、ネットワーク機器２０毎に固有の機器固有識別子と当該ネットワーク機器を所有する組織の名称等を表す上位ドメインとを含んでいる。このドメインネームとＩＰアドレスは、ＤＮＳサーバ装置１０に登録され、ＤＮＳの適用対象となる。本実施形態の特徴は、ＤＮＳサーバ装置１０、ネットワーク機器２０に本発明特有の処理を実行させることで、ネットワーク機器２０Ａとネットワーク機器２０Ｂとの間に容易に仮想通信路を確立し、ＶＰＮを容易に構築できるようにした点である。以下、本実施形態の特徴を顕著に示すＤＮＳサーバ装置１０およびネットワーク機器２０を中心に説明する。

図２は、ＤＮＳサーバ装置１０の構成例を示す図である。
図２に示すようにＤＮＳサーバ装置１０は、制御部１１０、通信インタフェース（以下、「Ｉ／Ｆ」と略記）部１２０、ユーザＩ／Ｆ部１３０、記憶部１４０、およびこれら構成要素間のデータ授受を仲介するバス１５０を含んでいる。制御部１１０は、例えばＣＰＵ（Central Processing Unit）である。制御部１１０は、記憶部１４０（より正確には、不揮発性記憶部１４４）に記憶されているサーバプログラム１４４ａを実行することにより、ＤＮＳサーバ装置１０の制御中枢として機能する。制御部１１０がサーバプログラム１４４ａにしたがって実行する処理の詳細については後に明らかにする。

通信Ｉ／Ｆ部１２０は、例えばＮＩＣ(Network Interface Card)であり、通信網３０に接続されている。通信Ｉ／Ｆ部１２０は、通信網３０から送信されてくるデータブロックを受信し、制御部１１０に引き渡す一方、制御部１１０から引き渡されるデータブロックを通信網３０へと送出する。なお、上記データブロックの一例としては、ＩＰにしたがって送受信されるパケットが挙げられる。ユーザＩ／Ｆ部１３０は、液晶ディスプレイなどの表示装置と、キーボードやマウスなどの入力装置とを含んでいる。ユーザＩ／Ｆ部１３０の表示装置には、ＤＮＳの適用対象となるネットワーク機器のドメインネームやＩＰアドレスを入力するための入力画面が表示される。ユーザＩ／Ｆ部１３０の入力装置は、各種指示や、上記ドメインネームやＩＰアドレスを運用管理者に入力させるためのものである。本実施形態では、表示装置および入力装置の両方がユーザＩ／Ｆ部１３０に含まれていたが、これら入力装置および表示装置の何れか一方（或いは両方）をＤＮＳサーバ装置１０に接続される別個の装置としても勿論良い。

記憶部１４０は、図２に示すように、揮発性記憶部１４２と不揮発性記憶部１４４とを含んでいる。揮発性記憶部１４２は例えばＲＡＭ(Random Access Memory)である。揮発性記憶部１４２は、各種プログラムを実行する際のワークエリアとして制御部１１０によって利用される。不揮発性記憶部１４４は、例えばハードディスクである。不揮発性記憶部１４４には、サーバプログラム１４４ａと管理テーブル１４４ｂが格納されている。

図３（Ａ）は、管理テーブル１４４ｂの一例を示す図である。図３（Ａ）に示すように、管理テーブル１４４ｂには、ネットワーク機器のドメインネームに含まれる機器固有識別子および上位ドメインと、当該ネットワーク機器のＩＰアドレスと、ＤＮＳの適用対象であるか否かの認証の際に利用されるパスワードとが上位ドメイン毎にグループ分けされて格納される。本実施形態では、管理テーブル１４４ｂの格納内容に基づいて前述したＤＮＳの提供が行われる。例えば、クライアント装置から、ドメインネームが“router1. company.example.jp”であるネットワーク機器のＩＰアドレスを問い合わせるパケットを受信した場合には、ＤＮＳサーバ装置１０は、上位ドメイン“company.example.jp”と機器固有識別子“router1”とに対応付けて管理テーブル１４４ｂに格納されているＩＰアドレス（図３（Ａ）に示す例では、“Ａ．Ａ．Ａ．Ａ”）をペイロード部に書き込んだパケットを返信するといった具合である。

１つのネットワーク機器についての各種情報（上位ドメイン、機器固有識別子、ＩＰアドレスおよびパスワード）の管理テーブル１４４ｂへの登録は、以下のように段階的に行われる。ＤＮＳの利用者から上位ドメインの登録申請を受理するとＤＮＳ事業者は、登録申請された上位ドメインと同一の上位ドメインが既に登録されていないか、登録申請された上位ドメインが公序良俗に反しないかなどの所定の登録要件の審査を行い、登録要件を満たしている場合には、当該利用者に配布するパスワードを生成する。そして、上記ＤＮＳ事業者は、当該パスワードと上記上位ドメインとを対応付けて管理テーブル１４４ｂに書き込み、登録完了を通知する書面に上記パスワードを書き込んで登録申請者に返送する。以降、ＤＮＳサーバ装置１０では、上記登録申請者（すなわち、ＤＮＳの利用者）のネットワーク機器から当該ネットワーク機器のドメインネームと、当該ドメインネームおよび上記パスワードから所定の単方向ハッシュ関数を用いて生成された暗号化文字列（以下、認証用文字列）とがペイロード部に書き込まれた登録要求パケットを受信する毎に機器情報登録処理が実行される。この機器情報登録処理では、制御部１１０は、まず、受信した登録要求パケットのペイロード部に書き込まれているドメインネームと認証用文字列を読み出し、当該ドメインネームおよび認証用文字列を用いて送信元の認証を行う。この認証処理の具体的な内容についてはサーバプログラム１４４ａについての説明の際に明らかにする。そして、制御部１１０は、ＤＮＳの適用対象であるとの認証結果が得られた場合には当該ドメインネームに含まれている機器固有識別子と当該パケットの送信元アドレスとを当該ドメインネームに含まれている上位ドメインと対応付けて管理テーブル１４４ｂに書き込む。これにより、ＤＮＳを提供する際に必要となる情報（機器固有識別子、上位ドメイン、およびＩＰアドレス）が全てそろい、当該情報のそろったネットワーク機器についてＤＮＳを提供することが可能になる。

図３（Ｂ）は、管理テーブル１４４ｂの他の具体例を示す図である。図３（Ｂ）に示す管理テーブル１４４ｂでは、一般的なＤＮＳサーバ装置におけるものと同様に、ＤＮＳの適用対象となるネットワーク機器のドメインネームに対応付けて当該ネットワーク機器のＩＰアドレスとパスワード情報とが格納されている点が図３（Ａ）に示す管理テーブル１４４ｂと異なる。管理テーブル１４４ｂについては、図３（Ａ）に示す構成のものと図３（Ｂ）に示す構成のもののどちらを用いても良いが、本実施形態では、図３（Ａ）に示す構成のものが採用されている。また、図３（Ａ）では詳細な図示を省略したが、管理テーブル１４４ｂには、ネットワーク機器に関する情報（すなわち、上位ドメイン、機器固有識別子、ＩＰアドレスおよびパスワード）に対応付けてアドレス範囲情報も格納されている。アドレス範囲情報とは、ネットワーク機器の配下のＬＡＮにて使用されるＩＰアドレスの範囲としてＤＮＳサーバ装置が一意に割り当てたＩＰアドレスの範囲を示す情報のことを言いう。

サーバプログラム１４４ａは、ＤＮＳを制御部１１０に実現させるためのソフトウェアである。制御部１１０は、ＤＮＳサーバ装置１０の電源（図示略）が投入されたことを契機として、サーバプログラム１４４ａを不揮発性記憶部１４４から揮発性記憶部１４２に読み出してその実行を開始する。サーバプログラム１４４ａにしたがって作動している制御部１１０は、ドメイン登録処理、機器情報登録処理、アドレス解決処理および確立先通知処理の４種類の処理を実行する。

ドメイン登録処理は、ＤＮＳの利用者から登録申請のあった上位ドメインおよび前述したパスワードを運用管理者等に登録させる処理である。サーバプログラム１４４ａにしたがって作動している制御部１１０は、ユーザＩ／Ｆ部１３０を介してドメイン登録処理の実行開始を指示されたことを契機として当該処理を開始する。このドメイン登録処理では、制御部１１０は、上位ドメインおよびパスワード情報の入力を促す入力画面を表示装置に表示させ、ユーザＩ／Ｆ部１３０を介して入力された上位ドメインおよびパスワード情報を互いに対応付けて管理テーブル１４４ｂに書き込む。なお、管理テーブル１４４として図３（Ｂ）に示す構成のものを用いる場合には、上位ドメインではなく、機器固有識別子を含むドメインネームをＤＮＳの利用者に登録申請させ、ドメインネームとパスワード情報とを対応付けて管理テーブル１４４ｂに書き込む処理をドメイン登録処理として制御部１１０に実行させるようにすれば良い。

前述したように、機器情報登録処理は、登録要求パケットを通信Ｉ／Ｆ部１２０を介して受信したことを契機として実行される処理である。制御部１１０は、通信Ｉ／Ｆ部１２０を介して登録要求パケットを受信すると、当該パケットのペイロード部に書き込まれているドメインネームと認証用文字列を読み出し、当該パケットの送信元のネットワーク機器がＤＮＳの適用対象の機器であるか否かの認証を行う。

具体的には、制御部１１０は、受信した登録要求パケットのペイロード部から読み出したドメインネームに含まれている上位ドメインを検索キーとして管理テーブル１４４ｂを検索し、当該上位ドメインに対応するパスワードを取得する。次いで、制御部１１０は、当該ドメインネームと当該パスワードとから前述した単方向ハッシュ関数（すなわち、ネットワーク機器におけるものと同じ単方向ハッシュ関数）を用いて認証用文字列を生成する。制御部１１０は、このようにして生成した認証用文字列と受信した登録要求パケットのペイロード部から読み出した認証用文字列とを比較し、両者が一致した場合に、登録要求パケットの送信元はＤＮＳに適用対象であると認証する。そして、制御部１１０は、ＤＮＳの適用対象であるとの認証結果が得られた場合には、受信した登録要求パケットのヘッダ部に書き込まれている送信元アドレスと上記ドメインネームに含まれている機器固有識別子とを、該当する上位ドメインおよびパスワードの組に対応付けて管理テーブル１４４ｂに書き込む。本実施形態では、管理テーブル１４４ｂとして図３（Ａ）に示す構成のものが用いられているため、上記機器情報登録処理を実行することで、ネットワーク機器のドメインネームおよび通信アドレスが上位ドメイン毎にグループ分けされて管理テーブル１４４ｂに格納されることになる。つまり、本実施形態のサーバプログラム１４４ｂは制御部１１０を、上記グループ分けを実行するグループ分け手段として機能させるのである。なお、管理テーブル１４４ｂとして図３（Ｂ）に示す構成のものが用いられている場合には、上記認証結果に応じてＩＰアドレスのみを登録するようにすれば良く、上記グループ分けについては、後述する確立先通知処理を実行する際にその前処理として実行するようにすれば良い。

アドレス解決処理は、管理テーブル１４４ｂの格納内容に基づいて、ＤＮＳ（すなわち、クライアント装置から送信されたドメインネームを当該ドメインネームの付与されているネットワーク機器のＩＰアドレスに変換して返信するサービス）を提供する処理である。このアドレス解決処理については既存のＤＮＳサーバ装置におけるものと特段に変わるところはないため、詳細な説明を省略する。

確立先通知処理は、ドメインネームおよびＩＰアドレスの組が管理テーブル１４４ｂに登録される毎（本実施形態では、機器情報登録処理が実行される毎）に実行される処理である。この確立先通知処理では、制御部１１０は、複数のネットワーク機器の属するグループであって、属するネットワーク機器の数に増減が生じたグループ、または機器情報に変化が生じたネットワーク機器を含むグループを処理対象とし、当該処理対象のグループに属するネットワーク機器の各々に対して同じグループに属する他のネットワーク機器の通信アドレスを仮想通信路の確立先の通信アドレスとして通知する。つまり、本実施形態のサーバプログラム１４４ａは制御部１１０を、本実施形態の特徴を顕著に示す上記確立先通知処理を実行する確立先通知手段として機能させるのである。なお、管理テーブル１４４として図３（Ｂ）に示す構成のものが用いられている場合には、機器情報登録処理の実行後、上位ドメインによるグループ分けを行った後に当該確立先通知処理を実行するようにすれば良い。

例えば、アドレス登録処理が実行された結果、管理テーブル１４４ｂの格納内容が図３（Ａ）に示すものとなった場合には、制御部１１０は、上位ドメインが“university.example.jp”であるネットワーク機器のみを対象として仮想通信路の確立先を通知する。上位ドメインが“company.example.jp”であるネットワーク機器、および上位ドメインが“club.example.jp”であるネットワーク機器はそれぞれ１台だけだからである。

ここで上位ドメインが“university.example.jp”であるネットワーク機器に対する仮想通信路の確立先の通知の仕方のついても種々の態様が考えられる。例えば、図４（Ａ）に示すメッシュ型のＶＰＮを構築する場合には、各ネットワーク機器に対して同じグループに属する他の全てのネットワーク機器のＩＰアドレスとアドレス範囲情報とを通知するようにすれば良い。これに対して、図４（Ｂ）に示すハブアンドスポーク型のＶＰＮを構築する場合には、当該ＶＰＮの中心とするネットワーク機器（図４（Ｂ）に示す例では、機器固有識別子がplace1であるネットワーク機器）には、同じグループに属する他の全てのネットワーク機器のＩＰアドレスとアドレス範囲情報とを通知し、これら他のネットワーク機器の各々には当該中心とするネットワーク機器のＩＰアドレスとアドレス範囲情報とを通知するようにすれば良い。

なお、ハブアンドスポーク型のＶＰＮの中心となるネットワーク機器の選び方については種々の態様が考えられる。例えば、ＩＰアドレスが最も若いものを選択する態様や、機器固有識別子の辞書順が最も若いものを選択する態様が考えられる。また、ドメインネームやパスワード情報の他に、自装置の処理能力を示す情報や自装置にかかっている処理負荷を示す情報を登録要求パケットのペイロード部に書き込んで送信する処理をネットワーク機器２０に実行させ、機器情報登録処理では、処理能力（或いは処理負荷）を示す情報を管理テーブル１４４ｂに書き込み、処理能力が最も高いもの（または処理負荷が最も軽いもの）をハブアンドスポーク型のＶＰＮの中心として選択するようにしても良い。
以上がＤＮＳサーバ装置１０の構成である。

次いで、図５を参照しつつネットワーク機器２０の構成を説明する。
図５に示すようにネットワーク機器２０は、制御部２１０、第１通信Ｉ／Ｆ部２２０、第２通信Ｉ／Ｆ部２３０、記憶部２４０、およびこれら構成要素間のデータ授受を仲介するバス２５０を含んでいる。制御部２１０は、制御部１１０と同様、ＣＰＵであり、ネットワーク機器２０の制御中枢として機能する。第１通信Ｉ／Ｆ部２２０および第２通信Ｉ／Ｆ部２３０は、通信Ｉ／Ｆ部１２０と同様、ＮＩＣである。第１通信Ｉ／Ｆ部２２０は通信網３０に接続されており、第２通信Ｉ／Ｆ部２３０はネットワーク機器２０の設置されている拠点内のＬＡＮに接続されている。記憶部２４０は、記憶部１４０と同様に揮発性記憶部２４２と不揮発性記憶部２４４とを含んでいる。

不揮発性記憶部２４４には、クライアントプログラム２４４ａが格納されている。このクライアントプログラム２４４ａは、ネットワーク機器２０本来の機能を実現する処理（本実施形態では、通信網３０を介してデータ通信を行うための各種パラメータをネットワーク管理者等に設定させる設定支援処理、およびパケットの送信先アドレスに基づく転送制御処理）を制御部２１０に実現させるためのプログラムである。なお、通信網３０を介してデータ通信を行うための各種パラメータの具体例としては、ＤＮＳサーバ装置１０のＩＰアドレス、ネットワーク機器２０に付与するドメインネーム（機器固有識別子および上位ドメイン）、およびパスワードが挙げられる。設定支援処理にて設定されたこれらパラメータは不揮発性記憶部２４４に格納される。制御部２１０は、ネットワーク機器２０の電源（図示略）投入を契機として、クライアントプログラム２４４ａを不揮発性記憶部２４４から揮発性記憶部２４２に読み出し、その実行を開始する。クライアントプログラム２４４ａにしたがって作動している制御部２１０は、設定支援処理および転送制御処理の他に、機器情報送信処理および仮想通信路確立処理を実行する。

設定支援処理は、ネットワーク機器２０の接続されているＬＡＮに接続されている他のコンピュータ装置（例えば、パーソナルコンピュータ）からパラメータ設定指示を与えられたことを契機として実行される処理であり、転送制御処理は第１通信Ｉ／Ｆ部２２０または第２通信Ｉ／Ｆ部２３０を介してパケットを受信したことを契機として実行される処理である。設定支援処理および転送制御処理については一般的なルータにおけるものと特段に変わるところはないため、詳細な説明を省略する。

機器情報送信処理は、前述した登録要求パケットの送信指示を与えられたことを契機として実行される処理である。この送信指示については、ネットワーク機器２０の接続されているＬＡＮに接続されている他のコンピュータ装置（例えば、パーソナルコンピュータ）から当該ＬＡＮを介して与えるようにすれば良い。この機器情報送信処理では、制御部２１０は、前述した登録要求パケットを生成し、第１通信Ｉ／Ｆ部２２０により通信網３０へ送出する。この登録要求パケットのヘッダ部には、送信先アドレスとしてＤＮＳサーバ装置１０のＩＰアドレスが、送信元アドレスとしてＰＰＰｏＥ等によって第１通信Ｉ／Ｆ部２２０に割り当てられたＩＰアドレスが夫々書き込まれており、同ペイロード部にはネットワーク機器２０に付与されたドメインネームを表す文字列データとパスワードとが書き込まれている。

仮想通信路確立処理は、ＤＮＳサーバ装置１０から通知されたＩＰアドレスを仮想通信路の確立先としてネットワーク管理者に提示し、それら確立先との間に仮想通信路を確立する際に使用する各種パラメータをネットワーク管理者に設定させ、当該パラメータにしたがって仮想通信路を確立する処理である。この仮想通信路確立処理は、ＤＮＳサーバ装置１０から仮想通信路の確立先のＩＰアドレスを通知される毎に実行され、複数のＩＰアドレスが通知された場合には、ＩＰアドレス毎に実行される。
以上がネットワーク機器２０の構成である。

（Ｂ：動作）
次いで、本実施形態の動作について説明する。以下に説明する動作例では、ネットワーク機器２０Ａおよびネットワーク機器２０Ｂを所有する企業の上位ドメイン（company.example.jp）は既に登録済であるとともに、ネットワーク機器２０Ａの機器情報も登録済であり、ＤＮＳサーバ装置１０の不揮発性記憶部１４４には、図３（Ａ）に示す管理テーブルが格納されているものとする。以下、このような状況下でネットワーク機器２０Ｂの機器情報を登録する場合について説明する。なお、ネットワーク機器２０Ｂにおいては、前述した設定支援処理により、ＤＮＳサーバ装置１０のＩＰアドレス、ネットワーク機器２０Ｂに付与するドメインネーム（router2.company.example.jp）、ＤＮＳ事業者によって配布されたパスワード（“password”）が設定されており、また、第１通信Ｉ／Ｆ部２２０のＩＰアドレスとして“Ｂ．Ｂ．Ｂ．Ｂ”がＰＰＰｏＥによって設定済であるとする。

図６に示すように、ネットワーク機器２０Ｂの制御部２１０は、ネットワーク管理者等によって登録要求パケットの送信指示を与えられたことを契機として機器情報送信処理を実行する（ステッププＳＡ１００）。この機器情報送信処理においてネットワーク機器２０Ｂの制御部２１０は、不揮発性記憶部２４４に格納されているドメインネーム、パスワード、自装置およびＤＮＳサーバ装置１０のＩＰアドレスを読み出し、前述した登録要求パケットを生成し、第１通信Ｉ／Ｆ部２２０により通信網３０へ送信する。前述したように、この登録要求パケットのヘッダ部には、送信先アドレスとしてＤＮＳサーバ装置１０のＩＰアドレスが、送信元アドレスとしてＩＰアドレス“Ｂ．Ｂ．Ｂ．Ｂ”が夫々書き込まれており、同ペイロード部にはネットワーク機器２０Ｂのドメインネーム（router2.company.example.jp）を表す文字列と当該ドメインネームおよびパスワード（“password”）を用いて単方向ハッシュ関数により生成された認証用文字列とが書き込まれている。このようにしてネットワーク機器２０Ｂから送信された登録要求パケットは通信網３０に含まれる他のネットワーク機器によりルーティングされ、ＤＮＳサーバ装置１０に到達する。

ＤＮＳサーバ装置１０の制御部１１０は、通信Ｉ／Ｆ部１２０を介して登録要求パケットを受信すると、この登録要求パケットのペイロード部に含まれているドメインネームおよびパスワード情報を利用して送信元の認証を行う（ステップＳＢ１００）。前述したようにこの認証処理では、制御部１１０は、受信した登録要求パケットのペイロード部に含まれているドメインネームと当該ドメインネームに含まれる上位ドメインに対応付けて管理テーブル１４４ｂに格納されているパスワードとを用いて単方向ハッシュ関数により生成した認証用文字列と同ペイロード部に含まれている認証用文字列との比較により当該登録要求パケットの送信元の認証を行う。

本動作例においては制御部１１０がネットワーク機器２０Ｂから受信した登録要求パケットのペイロード部に含まれているドメインネームは“router2.company.example.jp”であり、当該ドメインネームに含まれている上位ドメインは“company.example.jp”である。また、同ペイロード部に含まれている認証用文字列は当該ドメインネームとパスワード“password”を用いて単方向ハッシュ関数により生成されたものである。一方、図３（Ａ）に示すように上記上位ドメイン“company.example.jp”に対応付けて管理テーブル１４４ｂに格納されているパスワードは“password”である。本実施形態では、ＤＮＳサーバ装置１０とネットワーク機器２０Ｂとで同一の単方向ハッシュ関数が用いられている。したがって、本動作例においては制御部１１０がネットワーク機器２０Ｂから受信した登録要求パケットのペイロード部に含まれている認証用文字列と上記認証処理にて生成される認証用文字列とは一致する。このため、ステップＳＢ１００の判定結果は“Ｙｅｓ”（すなわち、認証ＯＫ）となり、制御部１１０は、機器情報登録処理を実行する（ステップＳＢ１１０）。その結果、管理テーブル１４４ｂの格納内容は図７に示す内容へと更新される。

そして、制御部１１０は、前述した確立先通知処理（ステップＳＢ１２０）を実行する。管理テーブル１４４ｂの格納内容が図７に示す内容へと更新された結果、上記ドメインが“university.example.jp”であるネットワーク機器のグループ、および上位ドメインが“company.example.jp”であるネットワーク機器のグループが、夫々「複数のネットワーク機器からなるグループ」となる。しかし、図３（Ａ）と図７とを対比すれば明らかように、前者のグループについては、属するネットワーク機器の数に増減は生じておらず、また、機器情報の変化も生じてはいない。このため、後者のグループのみが処理対象グループとなり、仮想通信路の確立先の通知が行われる。より詳細に説明すると。図６に示すように、ネットワーク機器２０Ａに対しては、ネットワーク機器２０ＢのＩＰアドレスとアドレス範囲情報が通知され、ネットワーク機器２０Ｂに対してはネットワーク機器２０ＡのＩＰアドレスおよびアドレス範囲情報が通知される。そして、ネットワーク機器２０Ａおよび２０Ｂの各々では、ＤＮＳサーバ装置１０から通知されたこれら情報に基づいて仮想通信路確立処理（ステップＳＡ１１０ＡおよびステップＳＡ１１０Ｂ）が実行され、ネットワーク機器２０Ａおよび２０Ｂの間に仮想通信路が確立される。

以上に説明した動作が為される結果、ネットワーク機器２０Ａとネットワーク機器２０Ｂとの間に仮想通信路が確立され、ＶＰＮが構築される。ここで注目すべき点は、上記動作例における場合のように、新たなネットワーク機器を導入する場合であっても、仮想通信路の確立先となるネットワーク機器の選択や各ネットワーク機器配下の通信装置に割り当てられるアドレス範囲の調査などの作業をネットワーク管理者が行う必要はないとう点である。このため、ネットワーク管理者は、ネットワーク機器２０の新規設置時でもネットワーク知識の乏しいユーザ（例えば各拠点に勤務する一般ユーザ）に環境の構築を任せることができる。また、既存の拠点の設定も自動変更されるため、ネットワーク管理者がネットワーク機器の新規設置の際に他の拠点に出向いて設定変更を行う必要もない。

また、ＰＰＰｏＥセッションのタイムアウト等により、ネットワーク機器２０のＩＰアドレスが変化した場合でも、ＩＰアドレスに変化が生じたことを契機として登録要求パケットがネットワーク機器２０から送信され、管理テーブル１４４ｂの更新を契機として確立先通知処理が再度実行されるため、ネットワーク管理者が特段の作業を行わなくてもＶＰＮが自動的に再構築される。

（Ｃ：変形）
以上本発明の一実施形態について説明したが、これら実施形態に以下の変形を加えても勿論良い。
（１）上記実施形態では、通信システム１に２台のネットワーク機器（ネットワーク機器２０Ａおよび２０Ｂ）が含まれていたが、３台以上のネットワーク機器が含まれていても勿論良い。また、上記実施形態では、各ネットワーク機器に付与されるドメインネームから機器固有識別子を除いた上位ドメインでネットワーク機器をグループ分けする場合について説明したが、それらネットワーク機器を所有する組織の名称を表すドメインのみを用いてグループ分けしても良い。要は、ネットワーク機器に付与されるドメインネームに含まれるドメインネームでネットワーク機器をグループ分けする態様であれば良い。

（２）上記実施形態では、複数のネットワーク機器の属するグループであって、属するネットワーク機器の数に増減が生じたグループ、または機器情報に変化が生じたネットワーク機器を含むグループを処理対象グループとしたが、属するネットワーク機器の数に増減が生じたか否かや機器情報に変化が生じたか否かを問わず、複数のネットワーク機器の属するグループを常に処理対象グループとしても良い。また、上記実施形態では、機器情報登録処理の実行（すなわち、管理テーブル１４４ｂの格納内容の更新）を契機として、確立先通知処理を制御部１１０に実行させたが、確立先通知処理の実行を要求するパケットをネットワーク機器２０から受信したことを契機として、当該ネットワーク機器２０の属するグループを処理対象グループとして確立先通知処理を制御部１１０に実行させるようにしても良い。この場合、ネットワーク機器２０の制御部２１０には、ネットワーク管理者等によって当該パケットの送信指示を与えられたことを契機として当該パケットの送信を実行させても良く、また、一定時間が経過する毎に（すなわち、周期的に）当該パケットの送信を実行させるようにしても良い。

（３）上記実施形態では、１つのネットワーク機器２０に対して１つのドメインネームを付与する場合について説明した。しかし、１つのネットワーク機器２０に対して複数のドメインネームを付与し、それら複数のドメインネーム（或いは各ドメインネームを構成する上位ドメインと機器固有識別子の組み合わせ）に対応付けて１つのＩＰアドレスを管理テーブル１４４ｂに格納しても良い。１つのネットワーク機器２０に対して複数のドメインネームを付与したとしても、ＤＮＳの提供（すなわち、ドメインネームから通信アドレスへの変換）に特段の支障が生じることはない。加えて、既に付与されているドメインネームに含まれる上位ドメインとは異なる上位ドメインを含むドメインネームを新たに付与することによって、上位ドメインが異なるＶＰＮ間に仮想通信路を確立し、新たなＶＰＮとすることができるといった効果が奏される。

例えば、管理テーブル１４４ｂの格納内容が図７に示す内容であり、図８（Ａ）に示すハブアンドスポーク型のＶＰＮが構築されていた状況下で、ネットワーク機器２０Ａから、ドメインネーム“place5.university.example.jp”と上位ドメイン“university.example.jp”に対応するパスワード情報とを含んだ登録要求パケットを受信したことを契機として管理テーブル１４４ｂの格納内容を図８（Ｂ）に示すように更新させ、更新後の管理テーブル１４４ｂの格納内容に基づいて、図８（Ａ）にて点線で示す仮想通信路を追加確立するようにＶＰＮを再構築させるのである。また、このようなドメインネームの登録を一定期間だけ認める（例えば、登録から一定時間経過後に削除する処理を制御部１１０に実行させる）ことで、当該一定期間の間だけ、上位ドメインが“university.example.jp”である組織と上位ドメインが“company.example.jp”である組織との間で秘匿性を確保したデータ通信を行わせることが可能になる。

（４）上記実施形態では、管理テーブル１４４ｂにドメインネームおよびＩＰアドレスが格納されているネットワーク機器を上位ドメインが共通するもの同士でグループ分けし、グループ毎にＶＰＮを構築させる場合について説明した。しかし、ハブアンドスポーク型のＶＰＮを構築する場合には、上位ドメインをさらにサブドメイン毎にグループ分けし、まず、サブドメインが共通する毎にＶＰＮを構築し、さらにそれらＶＰＮ間に仮想通信路を確立して１つのＶＰＮに統合するようにしても良い。

（５）上記実施形態では、ＤＮＳサーバ装置１０の制御部１１０に本発明の特徴を顕著に示す処理を実行させるサーバプログラムが不揮発性記憶部１４４に予め記憶されていた。しかし、ＣＤ−ＲＯＭ（Compact Disk Read Only）などのコンピュータ読み取り可能な記録媒体に当該プログラムを書き込んで配布しても良く、また、インターネットなどの電気通信回線経由のダウンロードにより当該プログラムを配布しても良い。このようにして配布されるプログラムにしたがってコンピュータを作動させることによって一般的なコンピュータを上記実施形態のＤＮＳサーバ装置１０として機能させることが可能になる。同様に、クライアントプログラム２４４ａをコンピュータ読み取り可能な記録媒体に書き込んで配布しても良く、また、インターネットなどの電気通信回線経由のダウンロードにより配布しても良い。

１０…ＤＮＳサーバ装置、２０Ａ，２０Ｂ…ネットワーク機器、１１０，２１０…制御部、１２０…通信Ｉ／Ｆ部、１３０…ユーザＩ／Ｆ部、２２０…第１通信Ｉ／Ｆ部、２３０…第２通信Ｉ／Ｆ部、１４０，２４０…記憶部、１４２，２４２…揮発性記憶部、１４４，２４４…不揮発性記憶部、１５０，２５０…バス、３０…通信網。

Claims (9)

1. ネットワーク機器に割り当てられた通信アドレスに対応付けて当該ネットワーク機器に割り当てられた１または複数のドメインネームが格納される管理テーブルを有し、当該管理テーブルを参照してドメインネームサービスを提供するＤＮＳサーバ装置において、
   ドメインネームおよび通信アドレスが前記管理テーブルに格納されているネットワーク機器をドメインネームに含まれるドメインでグループ分けするグループ分け手段と、
   前記グループ分け手段により生成されたグループのうち複数のネットワーク機器の属するグループについて、当該グループに属するネットワーク機器の各々に対して同じグループに属する他のネットワーク機器の通信アドレスを仮想通信路の確立先の通信アドレスとして通知する確立先通知処理を実行する確立先通知手段と
   を有することを特徴とするＤＮＳサーバ装置。
2. 前記確立先通知手段は、ネットワーク機器からの要求に応じて、当該ネットワーク機器の属するグループに属する各ネットワーク機器に対して同じグループに属する他のネットワーク機器の通信アドレスを仮想通信路の確立先の通信アドレスとして通知することを特徴とする請求項１に記載のＤＮＳサーバ装置。
3. 前記管理テーブルには、ネットワーク機器に割り当てられた通信アドレスおよびドメインネームに対応付けて当該ネットワーク機器の処理能力が高い程または当該ネットワーク機器にかかっている処理負荷が低い程、高い優先順位を表す優先順位データが格納されており、
   前記確立先通知手段は、ＶＰＮを構築する旨の設定が為されたグループに属するネットワーク機器のうち前記優先順位データの示す優先順位が最も高いものがハブアンドスポーク型トポロジの中心となるように各ネットワーク機器の仮想通信路の確立先を定めることを特徴とする請求項１または２に記載のＤＮＳサーバ装置。
4. 自装置に割り当てられた通信アドレスと自装置に割り当てられたドメインネームとを、ドメインネームに含まれているドメインでネットワーク機器のグループ分けを行うＤＮＳサーバ装置に送信し記憶させる機器情報送信手段と、
   前記ＤＮＳサーバ装置からの通知であって、自装置と同じグループに属する他のネットワーク機器の通信アドレスを含む通知を受信し、当該通信アドレスの示す他のネットワーク機器との間に仮想通信路を確立する仮想通信路確立手段と
   を有することを特徴とするネットワーク機器。
5. 請求項１〜３の何れか１項に記載のＤＮＳサーバ装置を有するとともに、請求項４に記載のネットワーク機器を複数有する通信システム。
6. ネットワーク機器に割り当てられた通信アドレスに対応付けて当該ネットワーク機器に割り当てられた１または複数のドメインネームが格納される管理テーブルを有し当該管理テーブルを参照してドメインネームサービスを提供するＤＮＳサーバ装置によりドメインネームサービスを提供されるネットワーク機器間に仮想通信路を確立する仮想通信路確立方法において、
   ドメインネームおよび通信アドレスが前記管理テーブルに格納されているネットワーク機器をドメインネームに含まれるドメインで前記ＤＮＳサーバ装置がグループ分けするグループ分けステップと、
   前記グループ分けステップにて生成されたグループのうち複数のネットワーク機器の属するグループについて、当該グループに属するネットワーク機器の各々に対して同じグループに属する他のネットワーク機器の通信アドレスを仮想通信路の確立先の通信アドレスとして前記ＤＮＳサーバ装置が通知する確立先通知ステップと
   を含むことを特徴とする仮想通信路確立方法。
7. ネットワーク機器に割り当てられた通信アドレスに対応付けて当該ネットワーク機器に割り当てられた１または複数のドメインネームが格納される管理テーブルを有し当該管理テーブルを参照してドメインネームサービスを提供するＤＮＳサーバ装置であって、ドメインネームに含まれているドメインでネットワーク機器のグループ分けを行うＤＮＳサーバ装置によりドメインネームサービスを提供されるネットワーク機器間に仮想通信路を確立する仮想通信路確立方法において、
   前記ネットワーク機器が、自装置に割り当てられた通信アドレスと自装置に割り当てられたドメインネームとを、前記ＤＮＳサーバ装置に送信し記憶させる機器情報送信ステップと、
   前記ネットワーク機器が、前記ＤＮＳサーバ装置からの通知であって、自装置と同じグループに属する他のネットワーク機器の通信アドレスを含む通知の受信し、当該通信アドレスの示す他のネットワーク機器との間に仮想通信路を確立する仮想通信路確立ステップと
   を含むことを特徴とする仮想通信路確立方法。
8. コンピュータを、
   ネットワーク機器に割り当てられた通信アドレスに対応付けて当該ネットワーク機器に割り当てられた１または複数のドメインネームを管理テーブルに格納し、当該管理テーブルを参照してドメインネームサービスを提供する手段と、
   ドメインネームおよび通信アドレスが前記管理テーブルに格納されているネットワーク機器をドメインネームに含まれるドメインでグループ分けするグループ分け手段と、
   前記グループ分け手段により生成されたグループのうち複数のネットワーク機器の属するグループについて、当該グループに属するネットワーク機器の各々に対して同じグループに属する他のネットワーク機器の通信アドレスを仮想通信路の確立先の通信アドレスとして通知する確立先通知処理を実行する確立先通知手段と
   して機能させるプログラム。
9. コンピュータを、
   当該コンピュータに割り当てられた通信アドレスと当該コンピュータに当てられたドメインネームとを、ドメインネームに含まれているドメインでネットワーク機器のグループ分けを行うＤＮＳサーバ装置に送信し記憶させる機器情報送信手段と、
   前記ＤＮＳサーバ装置からの通知であって、当該コンピュータと同じグループに属する他のネットワーク機器の通信アドレスを含む通知を受信し、当該通信アドレスの示す他のネットワーク機器との間に仮想通信路を確立する仮想通信路確立手段と
   して機能させるプログラム。

Images