KR20040101933A

KR20040101933A - 데이터 변환 시스템

Info

Publication number: KR20040101933A
Application number: KR1020040037368A
Authority: KR
Inventors: 르페넥쟝-프랑소와; 뷔리노오레리엥; 갤랑끌로드; 기롸르디디어
Original assignee: 에이티 앤드 티 코포레이션
Priority date: 2003-05-26
Filing date: 2004-05-25
Publication date: 2004-12-03
Also published as: US7920589B2; EP1482678B1; US20050025157A1; US7369560B2; JP2004357292A; CA2468480C; DE602004029419D1; CA2468480A1; FR2855697A1; FR2855697B1; EP1482678A1; US20080192771A1

Abstract

본 발명은 제1 프로바이더 에지(PE) 디바이스(24)를 통해 제1 워크스테이션(20)에 접속되고 제2 PE 디바이스(30)를 통해 제2 워크스테이션(26)에 접속되는 IP 스위칭된 네트워크(25)를 포함하는 데이터 전송 시스템에서 IPv4 프로토콜에 기초한 데이터 패킷들을 가상 사설 네트워크(VPN) 상으로 전송되어야 할 IPv6 프로토콜에 기초한 데이터 패킷들로 변환시키는 시스템에 관한 것으로, 이 워크스테이션들은 IPv4 프로토콜에 따라 운영되는 한편, IP 스위칭된 네트워크는 IPv6 프로토콜에 따라 운영된다. 이 시스템은 제1 워크스테이션과 이 제1 워크스테이션으로부터 수신되고 IP 스위칭된 네트워크로 전송된 IPv4 프로토콜에 기초한 임의의 데이터 패킷을 IPv6 프로토콜로 상호적으로 변환시키기 위한 IP 스위칭된 네트워크 간의 제1 패킷 빌더(22) 및 IP 스위칭된 네트워크와 상기 네트워크로부터 수신되고 제2 워크스테이션으로 전송된 IPv6 프로토콜에 기초한 임의의 데이터 패킷을 IPv4 프로토콜로 상호적으로 변환시키기 위한 제2 워크스테이션 간의 제2 패킷 빌더(28)를 포함한다.

Description

데이터 변환 시스템{SYSTEM FOR CONVERTING DATA BASED UPON IPv4 INTO DATA BASED UPON IPv6 TO BE TRANSMITTED OVER AN IP SWITCHED NETWORK}

본 발명은 일반적으로 멀티-프로토콜 라벨 스위칭(MPLS) 네트워크 등의 IP 스위칭된 네트워크 내의 데이터 패킷들의 전송에 관한 것이며, 특히 IPv4에 기초한 데이터를 그러한 네트워크 상으로 전송되어야 할 IPv6에 기초한 데이터로 변환시키는 시스템에 관한 것이다.

디바이스들 간에 사적인 통신들을 가능케 하도록 구현되는 보다 많은 가상의 사적인 네트워크들(Virtual Private Networks:VPNs)이 존재하며, 심지어 일부 또는 모든 이들 통신들은 공용 네트워크 상으로 전송된다. 대부분의 VPNs는 층(3)으로서 IP 프로토콜 규칙들을 지원하고 주로 그 IP 프로토콜의 IPv4 플래버를 지원하도록 구축된다.

오늘날 IPv4 프로토콜이 갖는 문제점은 IPv4 내에 어드레스 공간의 잘 공지된 제한에 의해 증가되지만, 루팅 작용들이 소스 어드레스로 인한 어떠한 영향도 없이 목적지 어드레스에 기초하는 IPv4의 추진 룰들에 의해 증가되는 문제점 역시 존재한다. 임의의 IPv4 네트워크는 전세계 어느 곳이나 배치될 수 있기 때문에, 라우터들은 모든 능동 네트워크에 대한 레코드를 유지해야 한다. 이것은 인터넷 네트워크에 대해서 만이 아니라, VPNs, 인트라넷들 및 엑스트라넷들에 대해서 역시 그러하다.

이들 문제점들에 대한 실질적이고 장기적인 견지의 해결책은 보다 많은 어드레싱 구조, 보다 엄격하지 않은 할당 정략 및 보다 효율적인 루팅을 허용하는 훨씬 더 큰 어드레스 공간이다. 이는 IPv6이 제공하는 것이고, 골격 용도에 대해 매력적이게 한다. IP 스케일 가능성 및 관리의 용이성은 IPv6의 목적들의 일부이다. 그러나, 모든 디바이스들이 v6은 아니고, 오늘날 v6의 장점을 취할 메카니즘을 발견할 필요가 있다. 또한, IPv6 헤드들이 현재 제안한 용도들은 라벨 스위칭 및 멀티-프로토콜 라벨 스위칭(MPLP)과 같은 프로토콜들의 VPN 지원 가능성과 실제로 연관되지 않는다.

IPv6 어드레스 필드들 만에 기초한 IPv6의 자연적인 용도는 IPv4보다 복잡하고, 루트 필터링은 룩업이 수행되어야 하는 어드레스 필드의 길이로 인해 VPNs을 구축하기 위해 사용되는 경우이다. 그러한 "루트 필터링"은 특정 네트워크들이 관심있는 그들 자신의 공통체 내에서 다른 네트워크들(즉, VPN)에 대한 루트들을 수신하도록 루트 전파를 제어하도록 구현될 수 있다.

루트 필터링은 VPN(인터넷 등)을 지지하는 밑에 놓인 IP 네트워크의 일부 네트워크 서브세트가 실질적으로 VPN을 형성한다는 제의에 기초한다. 이러한 네트워크 서브세트와 연관된 루트들은 이들이 VPN을 형성하는 네트워크 서브세트에 접속된 임의의 다른 네트워크(들)로 발표되지 않도록 필터링된다. 결과적으로, 어떠한 다른 비-VPN 경로도 네트워크 서브세트로 발표되지 않는다. IPv4에 대한 루트 필터링은 VPNs가 상이한 어드레스 공간들을 사용하는 것을 의미한다. IPv6은 VPNs가 IP 어드레스 필드에서 식별되기 때문에 이러한 필터링을 단순화시키지만 보안 호울(security hole)을 개방한다.

네트워크-레이어 상의 서비스들의 프라이버시를 위해, 루트-필터링하는 VPN은 VPN 호스트들 중의 임의의 것이 VPN 외부로부터 소스 어드레스들을 포함하는 패킷에 응답하는 것을 제한함으로써 구현된다. 그러한 제한들은 각각의 사용자가 갖는 권리들을 액세스하는 디바이스를 말하는 테이블들인 액세스 제어 리스트들("ACLs")에 기초한다. 즉, ACL은 개개인들 또는 그룹들에 대한 특이적 액세스 권리들을 허락하거나 또는 부인하는 엔트리들의 리스트이다.

그러나, 루트 필터링하는 VPNs는 그와 관련된 여러 가지 곤란점들을 갖는다. 예를 들면, 그러한 배치는 패킷들을 오류로 허용하도록 잘못 배열될 수 있고, 이는 허용되어야 하는 패킷들을 거부하지 않아야 한다. 루트 필터링이 갖는 다른 문제점은 출입구 또는 방화벽 디바이스 뒤로 구축될 때 가입자 네트워크들은 출입구/내화벽에 대해 외부의 라우터를 디폴트 라우터로서 정의할 수 있음으로써, 출입구/내화벽 뒤의 VPN의 사용자들은 이들이 디폴트 라우터 어드레스를 아는 한 (심지어 그것이 광고되지 않더라도) 외부 네트워크들에 도달할 수 있다는 것이다. 이러한 기술의 추가의 단점들은 행정적인 실수들, 디자인에 대한 정적인 특성 및 제공되는 보안에 대한 제한들을 포함한다. 또한, 모든 룰들을 정의하고 유지하는 것에 대한 복잡성이 매우 높음으로써, 그 기술은 매우 잘 또는 매우 용이하게 스케일할 수 없다.

공유된 IP 골격을 가로질러 VPNs을 구축할 때 네트워크 프라이버시의 상이한 레벨들을 달성하는 방향으로 여러 가지 해결책들이 얻어지고 있다. 많은 이들 해결책들은 VPN 추진 능력들 당으로 별개이고, 골격을 가로질러 IP 또는 MPLS-기초터널들을 사용한다. 그러한 터널들은 총경비를 추가하고 터널 피어 디바이스들에서 특히 복잡성을 관리한다. 또한, VPN 도메인에서, 루팅의 경우는 라우터들 사이의 VPN 도달 가능성 정보에 분포하도록 사용된다. 임의의 루팅 프로토콜이 사용될 수 있고, 어떠한 VPN-관련된 변형들 또는 확장들도 VPN 도달 가능성을 달성하기 위한 루팅 프로토콜에 필요치 않다.

VPN을 형성하기 위해 어떠한 기술들 (또는 기타 공지된 기술들)이 사용되는지와 무관하게, 네트워크 보안은 중요함을 이해해야 한다. 사실상, 네트워크 보안은 VPN을 제외한 많은 컨텍스트에서 관심사이고, 일반적으로 공용 네트워크들 상의 원격 액세스의 증가하는 사용 및 인터-비지니스 통신을 위한 인터넷 액세스는 보안 기술의 진화 뒤에 있는 주된 구동력들이다.

네트워크 보안을 위한 많은 기술들은 내화벽의 사용을 거의 포함하고, 이는 일반적으로 2개 이상의 네트워크들 간의 네트워크 트래픽을 통제하는 보안 정책을 구현하기 위해 사용된 하드웨어 및 소프트웨어의 조합으로서 공지되어 있고, 이들 중 일부는 행정적 제어 (예, 조직체의 네트워크들) 하에 있고, 이들 중 일부는 행정적 제어 (예, 인터넷) 하에 있지 않다.

사용된 루팅 기술과 무관하게, 루팅 메카니즘은 통상적으로 보안 정책을 구현하기 위해 사용되지 않는다. 즉, 루팅 메카니즘은 보안 기능들을 수행하기에는 너무 다이내믹하거나 신뢰할 수 없는 것으로 종종 간주된다. 루팅 기능들 및 지원 구조들은 안전하게가 아니라 효율적이고 신뢰할 수 있게 패킷들을 루팅하도록 주로 설계된다. 따라서, 보안 목적들을 위해 내화벽(및/또는 라우터)의 오퍼레이션과관련하여 구현될 수 있는 필터링 기술들이 존재하고, (상기한 바의) 이들 기술의 예는 패킷 필터링, 애플리케이션 프록시들, 및 다이내믹 필터링(스테이트풀 검사)이다. 어떤 필터링이 적용되는 필드들은 신뢰할 수 있는 필드여야 하고, 이는 IPv4 헤더 타입들에 의한 경우에 용이하게 이루어질 수 없다. 그러한 필수적인 필드들 중의 하나는 VPN ID 타입이다.

상기 고찰한 바의 개별적인 VPNs을 구현하고 보증하기 위한 많은 기술들이 존재하더라도, 사용자들에 대해 희생하는 서비스 없이, 예를 들면 2개 (또는 그 이상)의 VPNs 간의 또는 특정 VPN 내에서 통신들의 보안성을 감소시킴 없이 교차-통신할 수 있는 VPNs에 대한 추가의 필요성이 존재한다.

따라서, 본 발명의 주요 목적은 IPv4에 기초한 데이터를 IPv6에 기초한 데이터로 변환시키고 변환된 데이터를 IP 스위칭된 네트워크 상으로 전송하는 시스템을 제공하는 것으로, 그러한 시스템은 루트 필터링과 같은 상기 문제점들을 피할 수 있고, 공유된 IP 골격을 가로질러 VPNs를 구축할 때 네트워크 보안성을 개선할 수 있는 것이다.

도 1은 본 발명을 구현하는 날짜 전송 시스템의 제1 실시예를 나타내는 도면.

도 2a 및 도 2b는 본 발명을 구현하는 IPv6 집합성 글로벌 유니캐스트 어드레스 및 그의 변형들을 각각 나타내는 도면.

도 3은 가상 네트워크의 중개에 의해 정보 서버에 접속된 본 발명에 따른 패킷 빌더들을 보여주는 도면.

도 4는 패킷 빌더의 기능이 PE 디바이스에서 통합되는 본 발명의 제2 실시예를 나타내는 도면.

도 5a 및 도 5b는 본 발명의 제1 및 제2 실시예에서 데이터 패킷 구조물이 소스로부터 목적지로 흐름에 따른 그의 변화를 각각 나태는 도면.

* 도면 주요 부분에 대한 부호의 설명 *

20 : 제1 워크스테이션 24 : 제 1 프로바이더 에지 디바이스

25 : IP 스위칭된 네트워크 26 : 제 2 워크스테이션

30 : 제 2 PE 디바이스

따라서, 본 발명은 제1 프로바이더 에지(Provider Edge:PE) 디바이스를 통해 제1 워크스테이션에 접속되고 제2 PE 디바이스를 통해 제2 워크스테이션에 접속되는 IP 스위칭된 네트워크를 포함하는 데이터 전송 시스템에서 IPv4 프로토콜에 기초한 데이터 패킷들을 다중 가상 사설 네트워크(VPN) 인프라구조 상으로 전송되어야 할 IPv6 프로토콜에 기초한 데이터 패킷들로 변환시키는 시스템에 관한 것으로, 이 워크스테이션들은 IPv4 프로토콜에 따라 운영되는 한편, IP 스위칭된 네트워크는 IPv6 프로토콜에 따라 운영된다. 그러한 시스템은 제1 워크스테이션과 이 제1 워크스테이션으로부터 수신되고 IP 스위칭된 네트워크로 전송된 IPv4 프로토콜에 기초한 임의의 데이터 패킷을 IPv6 프로토콜로 상호적으로 변환시키기 위한 IP 스위칭된 네트워크 간의 제1 패킷 빌더 및 IP 스위칭된 네트워크와 상기 네트워크로부터 수신되고 제2 워크스테이션으로 전송된 IPv6 프로토콜에 기초한 임의의 데이터 패킷을 IPv4 프로토콜로 상호적으로 변환시키기 위한 제2 워크스테이션 간의 제2 패킷 빌더를 포함한다.

본 발명의 상기 목적 및 기타 목적, 특징들 및 장점들은 수반되는 도면과 관련하여 본 발명의 다음 특정 설명을 읽음에 따라 보다 잘 이해하게 될 것이다.

본 발명에 따른 시스템은 도 1에 예시되어 있다. 그러한 시스템에서, 2개의 워크스테이션들(20 및 26)은 IP 스위칭 네트워크(25)를 통해 데이터를 교환한다. 그러한 네트워크는 바람직한 실시 형태에서 각각의 고객 흐름에 대해 네트워크를 가로지르는 물리적 경로를 제한하는 PE(프로바이더 에지) 디바이스들을 제한하는 IP 기술인 MPLS(멀티 프로토콜 라벨 스위칭) 프로토콜에 기초하고, 그러한 경로는 PE1(24)등의 입장 PE로부터 PE2(30) 등의 퇴장 PE에 이르는 경로를 따라 스와프된 라벨들의 세트로서 정의된 것이다.

이미 언급된 바의 MPLS 네트워크인 것이 바람직한 IP 스위칭된 네트워크(25)에서, 여러 VPNs는 에지 디바이스들(24 및 30) 사이에서 구현된다. 본 발명의 환경은 특이적 VPN이 어떻게 확립될 수 있고 IPv6 프로토콜에 제안된 것과 같은 층 3 메카니즘들을 사용하여 어떻게 확고하게 식별되는지에 관련된다.

각각의 워크스테이션(20 및 26)에 의해 전송된 데이터 패킷들은 IPv4에 기초한 것으로 가정된다. 따라서, 워크스케이션들은 각각 워크스테이션(20)에 대해 네트워크(21) 및 워크스테이션(26)에 대해 네트워크(27)인 IPv4 네트워크에 접속된다. 이어서, 워크스테이션(20)으로부터 전송된 IPv4 데이터 흐름은 아래 기재되는 바와 같이 패킷 빌더(P31 22)에 의해 IPv6 데이터 흐름으로 변환된다. 패킷들은 IPv6 네트워크(23)를 통해 입장 PE1(24)로 진행되고, 이어서 이러한 네트워크가 MPLS 네트워크인 경우 라벨 스위칭을 사용하여 네트워크(25)를 통해 전송된다.

네트워크(25)의 출력단에서, IPv6에서 데이터 패킷들은 PE2(30)에 의해 수신되고 IPv6 네트워크(29)를 통해 패킷 빌더 PB2(28)로 전송된다. 아래 기재되는 바와 같이 IPv6으로부터 IPv4로 변환된 패킷들은 IPv4 네트워크(27)를 통해 워크스테이션 ST2(28)로 진행된다. 물론 이러한 데이터 흐름은 워크스테이션(26)으로부터 워크스테이션(20)으로 진행된 패킷들에 대해 역전된다.

본 발명의 원리는 도 2a에 예시된 RFCs 2373 및 2374에서 IETF(엔지니어링 태스크 포스)에 의해 제안된 IP 헤더로부터 유도된 IP 헤더를 사용하는 것이다. 이러한 글로벌 집합성 유니캐스트 어드레스(global aggregatable unicast address)의 포맷은 현행 프로바이더 기초 집합 및 교환들을 위해 사용된 집합의 새로운 유형 모두를 지원하도록 설계된다. 그 조합은 두 사이트들에 대한 효율적인 루팅 집합을 허용하고, 이는 프로바이더들에 직접적으로 접속된다. 사이트들은 집합 지점의 어느 유형에 접속될 선택 사양을 갖는다.

포괄적으로, 도 2a에 예시된 어드레스 포맷에서, 제1의 48 비트들은 공용 기술에 관련되고, 다음 16 비트들은 사이트 위상에 관련되고, 나머지 64 비트들은 인터페이스 식별자에 관련된다. 필드들은 다음과 같다:

FP 집합성 글로벌 유니캐스트 어드레스들에 대한 포맷 프리픽스(3 비트)

TLA ID 상위-레벨 집합 식별자

RES 장래 사용을 위해 보존됨

NLA ID 다음-레벨 집합 식별자

SLA ID 사이트-레벨 집합 식별자

인터페이스 ID 인터페이스 식별자

이러한 기본 구조는 어드레스 룩업 (가장 긴 프리픽스 매치) 등의 IPv6 메카니즘들의 투명한 용도를 제공하기 위해 재사용된다. 불행히도, IPv4 포맷으로부터 IPv6 포맷을 구축하기 위해 사용된 메카니즘은 정적이고 에지 디바이스들에서 수동으로 설정된다.

본 발명이 왜 신규한 IPv6 포맷에 관련되는지는 도 2b에 예시되어 있으며, 여기서 그 필드들은 다음과 같다:

ㆍ 프로바이더 ID (예, AT&T),

ㆍ IP 스위칭된 네트워크(예, 24 또는 30)에 부착된 PE 디바이스 상에 숫자를 포함하는 PE 필드. PE 필드가 정의되는 방식은 또한 제안의 일부이고 다음여러 가지 방법들: 즉, IP 레벨에서 밝혀진 네트워크 관리 기구들에 의해 제공된 공지된 능동 위상학; MPLS 기구들에 의해 주어지고, 강제되거나 또는 미리 정의되는 다이내믹하거나 또는 규칙적인 갱신 기술들에 의한 트레이스라우트 + PE 데이터베이스를 포함함,

ㆍ 계통적 VPN 구조를 제공하기 위해 영역들로 부분 분할될 수 있는 VPN ID,

ㆍ 사이트의 지리적 위치인 위치 ID,

ㆍ 대응하는 IPv4 어드레스를 사용하는 디바이스를 의미하는 호스트 ID. 이 호스트는 서버, 고객, 라우터, 내화벽일 수 있다. 이어서, 상이한 룰들이 적용될 수 있다. 바람직한 실시 형태에서, 그것은 MAC 어드레스가 발견될 수 있고 체크될 수 있는 MAC 어드레스이다. 그것은 보충 프라이버시 정보를 제공하는 독특한 식별을 제공한다. IPv6 어드레스 필드 상의 호스트 ID는 IPv4 어드레스 또는 등가 ID에 대응하는 MAC 어드레스 및 단지 로컬로 유지되는 이들 간의 대응을 포함할 수 있음,

ㆍ 유입되는 패킷에 존재하는 IPv4 어드레스 (소스 또는 목적지)

본 발명의 주요 장점은 목적지 PE가 신규 IPv6 헤더의 목적지 어드레스 필드에 포함되어 있기 때문에 VPN (MPLS VPN)에 대한 라벨 분포 및 관리를 단순히 하기 위한 것이다. 흐름당 VPN 라벨은 MPLS VPN에 대해서 이루어지는 것과 같은 이중 라벨 구현에 대한 필요성이 더 이상 없으므로 지금까지의 라벨들로의 흐름 집합 대신에 사용될 수 있다. 이러한 방법을 사용함으로써, 예를 들면 PE1에 대해 MPLS네트워크(25)를 엔터링하는 패킷은 PE2 등의 목직지인 그의 IPv6 헤더 내에 직접적으로 제공된다. PE1이 어떻게 PE2에 도달하는지를 아는 경우 특별한 경로 식별을 위한 어떠한 필요성도 요구되지 않는다.

마지막으로, IP 스위칭된 네트워크에서 루팅을 위해, 어드레스 필드의 MSB 바이트들 만이 사용되는 한편 액세스에 대해서는 LSB 바이트들 만이 사용된다. 이는 IPv6의 결점들 중의 하나인 PE 레벨에서조차 어드레스 룩업 메카니즘을 단순화시키고, 그 이유는 통상적으로 128 비트 어드레스 룩업이 요구되기 때문이다. 입력 프로토콜로서 현행 PEs 지원 IPv6이 사용될 수 있지만, 루팅 패킷들에 대해 PE 어드레스를 직접적으로 사용하기 위해 IPv6 어드레스 필드의 MSB 파트 내의 서브-필드들을 식별하는 데 있어서 개선될 수도 있다

MPLS 네트워크는 프라이버시가 VPN IN를 포함하는 IPv6 헤드에 의해 보장됨에 따라 MPLS VPN 등의 임의의 추가의 VPN 특징을 구현할 필요가 없다. 이러한 필드는 사용자에 의해 설정되지 않고, 패킷 빌더 디바이스(PB1 또는 PB2)에 의해 설정됨에 따라, 사용자 정의된 IPv6 흐름으로부터 흉내낼 위험이 없다. 모든 안전 필드들은 네트워크의 입장 노드에서 유효화되거나, 부가되거나 또는 대체되어야 한다. 그러한 필드들은 프로바이더 필드, PE 필드, VPN ID 필드, 위치 ID 필드 및 필터링을 위해 사용되는 경우의 호스트 ID 필드를 포함한다. IPv6 패킷이 수신될 때, 그것은 그의 헤더 구조가 로컬 룰들과 매치되어, 이는 그러한 IPv6 흉내내기를 방지하는 것을 검증하도록 분석될 수 있다. 그것이 매치되지 않는 경우, 필드들 및 룰들에 따라, 그것은 변형되거나 또는 폐기될 수 있다. 변형된 경우, 스와프테이블은 스테이트풀 메카니즘 등의 네트워크로부터 유입되는 패킷들에 대한 원시 어드레스 필드를 재구축하기 위해 구성된다. 그것은 그러한 경우에 제안된 룰들과 투명하게 매치되지 않는 IPv6 흐름들을 변환시키기 위해 IPv4 NAT와 같이 작동한다. 그러한 변환은 PB 디바이스들에서 수행된다.

본 발명은 루팅 스케일 가능성을 개선시킨다. 그러한 구현의 네트워크 관리는 IP 헤더가 흐름을 관리하는 데 필요한 모든 필드들을 포함하고, 이것은 오늘날 한쪽 측면 상에 IPv4를 갖고 다른 측면 상에 MPLS를 갖는 경우가 아니기 때문에 단순화된다. 이는 또한 증가된 보안성을 제공한다.

MPLS가 관련되는 한, 현재의 매각제 및 표준 단체들은 v4 MPLS VPN 메카니즘들을 재사용하는 6PE라 칭하는 MPLS를 통해 IPv6 상에서 작업한다. 본 발명은 v4에 기초한 MPLS 및 EGP 메카니즘들을 천연 v6 메카니즘들로 대체하는 것으로 구성되지만, 이것은 여전히 중간 구현으로서 6PE 해결책과 양립한다. IPv6 헤드에 MPLS VPN 지식을 도입하는 장점은 네트워크 내의 임의의 지점에서 필요한 모든 정보를 갖는 단일 전송 소자 내로 수렴되어야 한다는 것이다. MPLS 대 MPLS 인터-작업은 IPv6 헤더가 필요한 크로스오버 정보를 포함하고, 라벨 레벨에서 브리지될 어떠한 필요도 없는 한 보다 안정한 방식으로 구현되고 관리되기에 용이하게 될 것이기도 하다.

본 발명을 구현하기 위해, 소스 및 목적지 어드레스들에 대한 각각의 필드 값을 안정한 방식으로 제공할 서버들을 사용하는 것이 필수적이다. 이들 서버들은 DNS, 후이즈(Whois), 루트 반사기들(Route Reflectors) 및 또한 IPv6 어드레스가안정하게 제공되어야 하기 때문에 인증서 허가를 포함한다. 도 3은 IPv4 네트워크(21 또는 27), IPv6 네트워크(23 또는 29), MPLS 네트워크(25) 또는 이들 네트워크들 중의 하나에 접속되거나 또는 패킷 빌더에 직접적으로 접속된 임의의 다른 네트워크일 수 있는 가상 네트워크(39)에 의해 그러한 서버 디바이스들(31 내지 37)에 패킷 빌더들(22 또는 28)이 로컬 접속되는 것을 나타낸다.

IPv6 소스 또는 목적지 어드레스 재구성은 IPv4 패킷들을 사용하여 IPv6 패킷들을 구축하는 방법이다.

ㆍ DNS 서버(31) 상의 인버스 DNS 룩업 및 서버(32) 상의 후이즈 룩업은 목적지 디바이스의 위치 및 소유자(ISP/고객)를 식별하기 위해 사용된다. 모두는 LOC ID 필드 및 VPN ID 필드를 설정하기 위해 사용된다.

ㆍ 인증서 허가(CA) 서버(33)에 대한 인증서 요청은 안전성 목적으로 소스 및(또는) 목적지 IP 어드레스들 IPv4 및 호스트 ID를 유효화시키기 위해 사용된다. 이는 DNS 및 후이즈 서버들에 덧부쳐 또는 그의 대체물로서 사용될 수 있다.

ㆍ 디렉토리 서버(34)는 인증서 사용을 위한 대체 방법으로서 인증서들을 사용하지 않고 허용된 서브세트들 및 인준된 호스트 IDs를 포함한다. 이러한 서버 또는 CA는 1개 이상의 VPN이 인터페이스 상에서 지원되는 경우 VPN ID를 제공할 수도 있다. 달리 말하자면, VPN ID는 그것이 오늘날 단일 VPN에 대응하는 하나의 물리적 또는 로지컬 (일반적으로 가상 회로)에 의해 행해짐에 따라 일 대 일 매핑 스태틱 테이블을 사용하여 인터페이스에 의해서만 정의될 수 있다.

ㆍ 루트 반사기 RR(35)은 목적지 어드레스에 대한 PE 필드 값을 제공한다.소스 어드레스는 로컬로 첨부된 PE 식별 필드로 충전된다. RR은 VPN 그룹들 또는 흐름들의 유형에 대한 루팅을 제공하도록 허용하는 임의의 유형의 루팅 기술들을 사용하여 IP 스위칭 인프라구조 상으로 루팅을 해결한다.

ㆍ 네트워크 관리 기구 NM(36)은 필요할 경우 다이내믹하게 적용될 수 있는 필터링 룰들을 제공한다. PB는 예를 들면 흉내내기를 피하기 위해 네트워크 입장점에 필터링 룰들을 놓기에 적절한 장소이다. NM은 목적지 네트워크에 대한 공격들을 용이하게 식별할 수 있고 이들 패킷들이 전송되고 적절한 척도들을 취하는 입장점으로부터 밝혀질 수 있다.

ㆍ ARP 프록시 AP(37)는 이러한 기능이 개선된 보안성 및 디바이스 식별을 위해 사용되는 경우 전송 디바이스의 MAC 어드레스를 제공한다. 일부 경우들에서, 프록시는 어떠한 다른 라우터들도 사이에 존재하지 않을 때 단지 디폴트 액세스 라우터일 수 있다. 그러한 경우에, 그러한 라우터는 ARP 요청들에 응답하도록 인에이블되어야 한다. MAC 어드레스는 또한 DNS 또는 디렉토리 서버에 또는 인증서 내에 미리 저장될 수 있다. 디폴트 라우터에 대한 ARP 프록시 또는 ARP 요청의 장점은 MAC 어드레스가 흐름의 소스 IP 어드레스에 반하여 다이내믹하게 유효화된다는 것이다. 따라서, 예를 들면, 공지된 MAC 어드레스는 그것이 규칙적인 LAN 네트워크 상에 접속되지 않은 경우조차 획득될 수 있다. 모든 서버들로부터 공지되지 않은 MAC 어드레스는 룰의 다른 실례로서 일부 네트워크들에 접속되는 것이 금지될 수 있다.

이러한 방식으로 충족되어야 하는 IPv6 필드들은 소스 어드레스 및 목적지어드레스를 포함할 수 있다. 도면은 모든 PB 디바이스들이 소스 및 목적지 어드레스 필드들 모두에 대한 정보를 얻기 위해 모든 서버들에 대해 액세스되는 경우의 구현을 나타낸다. 대안의 구현은 PE2가 서버들로부터가 아니라 PB2로부터 직접적으로 목적 정보를 얻기 위해 PB1에 대한 순으로 목적지로서 주어질 때 목적지 패킷 빌더(PB2 등)의 IP 어드레스를 로컬 루트 반사기가 제공하게 하는 것이다. 그러한 구현의 장점은 각각의 패킷 빌더 디바이스가 연관된 파라메터들을 갖는 모든 로컬로 액세스 가능한 디바이스들의 리스트를 유지하게 하는 성능이다. 따라서, 원격 PB에 이르는 하나의 호출에, 모든 정보가 제공될 수 있다. 원격 PB가 그의 캐쉬에 이러한 디바이스를 갖지 않는 경우, 이러한 분석은 단지 (제1 패킷 상에서) 흐름당 일회로 행하여지고, 수행된 분석 레벨은 패킷이 전송되어야 하는 네트워크에 의존할 것이다. 사실상, 단지 소스 파트(또는 신규한 경우 목적 파트)가 처리되고 정보가 캐쉬에 유지되는 한 그것은 흐름당 일회보다 적고, 이는 그러한 구현의 성능 영향을 최소화시킨다.

다른 실시 형태에 따라, 패킷 빌더는 도 4에 예시된 바의 PE 디바이스에 집적된다. 그러한 경우에, 물론 도 1에 예시된 일반적인 실시 형태에서와 같은 IPv6 네트워크는 없다. 대신에, 패킷 빌더 및 PE 디바이스는 단일 블록을 구성하고, 이는 PB1(22) 및 PE1(24)을 대체하는 블록 V6 PE1(41) 및 PB2(28) 및 PE2(30)를 대체하는 블록 V6 PE2이다.

이와 같이 제안된 구현은 PE 자체에 대한 기능을 수행하기 위해 사용되기도 하고, 이는 어드레스의 PE 필드가 추가의 경로 발견 및 MPLS VPN에 대해서와 같이라벨의 추가의 레벨 없이 MPLS 코어에 대해 전진하는 PE에 의해 직접적으로 사용될 수 있기 때문에 보다 효율적이다. 사실상, 라벨은 완전한 IPv6 헤더를 전송하는 대신에 압축된 헤더로서 사용될 수 있고, 이는 전송 흐름에 의한 하나의 라벨을 의미한다. 두 전송(완전한 IPv6 헤더에 의해 이어지는 라벨)은 용장성이 있지만 가능하다. 여러 가지 양립하는 구현들은 IP 스위칭을 사용하여 패킷 전송을 위해 코어 내에 사용될 수 있다. 그 필요성은 각각의 패킷에 대한 원시 IPv6 헤더를 퇴장 PE 또는 PB에서 회복하는 것이다.

데이터 패킷이 전송하는 워크스테이션으로부터 수신하는 워크스테이션으로 흐름에 따른 데이터 패킷의 변화는 도 5a에 예시되어 있다. 워크스테이션(20)에서, 데이터 패킷은 IPv4 헤더 및 데이터 페이로드를 갖는 표준 IPv4 패킷 포맷이다. 이 패킷은 단계 61에서 PB1 디바이스로 전송된다. 패킷 빌더는 IPv4 헤더 필드들을 유효화시키고, 도 3에 정의된 서버들 덕택에, 대응하는 IPv6 헤더를 구축하기 위해 사용된 필드들에 대한 값을 발견한다. 그것은 주로 IPv6 목적지 어드레스 및 IPv6 소스 어드레스를 주로 포함한다. PB1은 정의되는 경우 추가의 필터링을 수행할 수 있다.

신규 패킷은 단계 62에서 PE1로 진행된다. PE1은 목적지 PE를 식별하고 그 패킷을 단계 63에서 PE2로 진행시킨다. PE1은 코어 내의 패킷 스위칭을 개선시키기 위해 MPLS 라벨과 같은 라벨을 부가할 수 있다. PE2는 패킷을 수신하고 존재하는 경우 스위칭 라벨을 제거한다. 이어서 먼저 필터링을 다시 수행할 수 있는 단계 64에서 패킷은 PB2로 진행되고, 이어서 IPv6 헤더를 제거하고, IPv6 패킷 헤더가 모든 필요한 필드들을 포함하는 한 IPv4 패킷을 용이하게 재구축한다. 이어서, 이러한 IPv4 패킷은 단계 65에서 목적지 워크스테이션(26)으로 진행된다.

이러한 프로세스는 복잡해 보이지만, 사실상 특별히 PB1 및 PB2에 대해 단지 1회 완전히 수행될 필요가 있음에 주의해야 한다. 동일한 흐름의 추가의 패킷들은 단지 동일한 필드 값들을 사용하여 헤더 필드들을 스와핑할 필요가 있다. 따라서, 스와프 테이블은 스와핑 헤드들의 프로세싱에 이르는 속도까지 패킷 빌더들 상에서 구현될 수 있다.

패킷들을 재구축하거나 또는 부가하는 것은 검사용 합계이고 다른 IPv4 헤더 필드들을 재구축하는 것은 이들 기능들이 RFC2766 또는 기타 IFTF RFCs 또는 드래프트들 등의 표준 룰들 및 병진 메카니즘들을 사용하여 이루어질 수 있음에 따라 지금까지 여기에 상세히 설명하지 않았다.

패킷 빌더의 기능이 PE 디바이스에서 통합된 제2 실시 형태가 사용되는 경우, 도 5b에 예시된 바의 데이터 패킷(및 구조 변화)의 흐름은 단순화되지만, 일반 실시 형태의 데이터 흐름과 매우 유사하다.

IPv4에 기초한 데이터를 IPv6에 기초한 데이터로 변환시키고 변환된 데이터를 IP 스위칭된 네트워크 상으로 전송하는 시스템을 제공함으로써, 루트 필터링과 같은 문제점들을 피할 수 있고, 공유된 IP 골격을 가로질러 VPNs를 구축할 때 네트워크 보안성을 개선한다.

Claims

제1 프로바이더 에지(PE) 디바이스(24)를 통해 제1 워크스테이션(20)에 접속되고 제2 PE 디바이스(30)를 통해 제2 워크스테이션(26)에 접속되는 IP 스위칭된 네트워크(25)를 포함하는 데이터 전송 시스템에서 IPv4 프로토콜에 기초한 데이터 패킷들을 다중 가상 사설 네트워크(Virtual Private Network:VPN) 인프라구조를 통해 전송될 IPv6 프로토콜에 기초한 데이터 패킷들로 변환시키고, 상기 워크스테이션들은 IPv4 프로토콜에 따라 동작하는 한편, 상기 IP 스위칭된 네트워크는 IPv6 프로토콜에 따라 동작하는, 데이터 변환 시스템으로서,

상기 제1 워크스테이션과 상기 IP 스위칭된 네트워크 사이에서 상기 제1 워크스테이션으로부터 수신되고 상기 IP 스위칭된 네트워크로 전송되는 상기 IPv4 프로토콜에 기초한 임의의 데이터 패킷을 상기 IPv6 프로토콜로 상호적으로 변환시키기 위한 제1 패킷 빌더(22), 및 상기 IP 스위칭된 네트워크와 상기 제2 워크스테이션 사이에서 상기 네트워크로부터 수신되고 상기 제2 워크스테이션으로 전송되는 상기 IPv6 프로토콜에 기초한 임의의 데이터 패킷을 상기 IPv4 프로토콜로 상호적으로 변환시키기 위한 제2 패킷 빌더(28)를 포함하는 것을 특징으로 하는, 데이터 변환 시스템.
제 1 항에 있어서,

상기 IPv4 프로토콜에 기초한 데이터 패킷을 상기 IPv6 프로토콜에 기초한데이터 패킷으로 변환시키는 데 필요한 정보를 제공하기 위해 상기 제1 및 제2 패킷 빌더들(22, 28) 각각에 의해 액세스된 적어도 하나의 서버(31 내지 37)를 더 포함하는, 데이터 변환 시스템.
제 2 항에 있어서,

상기 패킷 빌더들(22, 28) 중의 하나에 의해 상기 IPv6 프로토콜로 변환된 임의의 데이터 패킷은 소스 PE 또는 목적지 PE로서 사용될 PE(24 또는 30)에 대응하는 PE 필드 및 VPN 식별 필드를 상기 변환 전에 패킷 헤더 내에 존재하는 상기 IPv4 어드레스에 추가로 가지는 패킷 헤더를 포함하는, 데이터 변환 시스템.
제 3 항에 있어서,

상기 패킷 빌더들(22, 28) 중 하나에 의해 상기 IPv6 프로토콜로 변환된 임의의 데이터 패킷은, 사이트의 지리적 위치를 참조하는 LOC 식별 필드 및 상기 데이터 패킷을 전송한 상기 워크스테이션(20, 26)을 참조하는 HOST 식별 필드를 더 포함하는, 데이터 변환 시스템.
제 2 항에 있어서,

상기 IPv4 프로토콜에 기초한 데이터 패킷을 상기 IPv6 프로토콜에 기초한 데이터 패킷으로 변환시키는 데 필요한 정보를 제공하는 상기 서버(들)(31 내지 37)는 가상 네트워크(39)를 통해 상기 제1 및 제2 패킷 빌더들 각각에 의해 액세스될 수 있는, 데이터 변환 시스템.
제 5 항에 있어서,

상기 서버(들)은, 도메인 명칭 서버(31), 후이즈 서버(Whois server:32), 인증서 허가 서버(33), 디렉토리 서버(34), 루트 반사기(35), 네트워크 관리 툴(36) 및 프록시(37)의 여러 서버들 중 하나일 수 있는, 데이터 변환 시스템.
제 1 항 내지 제 6 항 중 어느 한 항에 있어서,

상기 패킷 빌더(22 또는 28)는 상기 IPv6 프로토콜(23 또는 29)에 기초한 네트워크에 의해 상기 PE 디바이스(24 또는 30)에 접속된, 데이터 변환 시스템.
제 1 항 내지 제 6 항 중 어느 한 항에 있어서,

상기 패킷 빌더(22 또는 26)는 상기 PE 디바이스(24 또는 30)에 통합되는, 데이터 변환 시스템.
제1 프로바이더 에지(PE) 디바이스(24)를 통해 제1 워크스테이션(20)에 접속되고 제2 PE 디바이스(30)를 통해 제2 워크스테이션(26)에 접속되는 IP 스위칭된 네트워크(25)를 포함하는 데이터 전송 시스템에서 IPv4 프로토콜에 기초한 데이터 패킷들을 다중 가상 사설 네트워크(VPN) 인프라구조를 통해 전송될 IPv6 프로토콜에 기초한 데이터 패킷들로 변환시키고, 상기 워크스테이션들은 IPv4 프로토콜에따라 동작하는 한편, 상기 IP 스위칭된 네트워크는 IPv6 프로토콜에 따라 동작하는, 데이터 변환 방법으로서,

상기 IPv4 프로토콜에 기초한 임의의 데이터 패킷을, 외부 서버에 의해 제공된 정보를 사용하여 상기 IP 스위칭된 네트워크에 전송하기 전에 상기 IPv6 프로토콜에 기초한 데이터 패킷으로 변환시키는 단계와,

상기 IP 스위칭된 네트워크에 의해 제공된 상기 IPv6 프로토콜에 기초한 임의의 데이터 패킷을 상기 제1 또는 제2 워크스테이션으로 전송하기 전에 상기 IPv4 프로토콜에 기초한 데이터 패킷으로 변환시키는 단계를 포함하는 것을 특징으로 하는, 데이터 변환 방법.
제 9 항에 있어서,

상기 패킷 빌더들(22, 28) 중 하나에 의해 상기 프로토콜 IPv6으로 변환된 임의의 데이터 패킷은 소스 PE 또는 목적지 PE로서 사용될 상기 PE(24 또는 30)에 대응하는 PE 필드 및 VPN 식별 필드를 상기 변환 전에 패킷 헤더 내에 존재하는 상기 IPv4 어드레스에 추가로 가지는 패킷 헤더를 포함하는, 데이터 변환 방법.
제 10 항에 있어서,

상기 패킷 빌더들(22, 28) 중 하나에 의해 상기 프로토콜 IPv6으로 변환된 임의의 데이터 패킷은 사이트의 지리적 위치를 참조하는 LOC 식별 필드 및 상기 데이터 패킷을 전송한 상기 워크스테이션(20, 26)을 참조하는 HOST 식별 필드를 더포함하는, 데이터 변환 방법.
제 11 항에 있어서,

상기 서버(들)은, 도메인 명칭 서버(31), 후이즈 서버(32), 인증서 허가 서버(33), 디렉토리 서버(34), 루트 반사기(35), 네트워크 관리 툴(36) 및 프록시(37)의 여러 서버들 중 하나일 수 있는, 데이터 변환 방법.