TW201308942A - 中繼伺服器及中繼通訊系統 - Google Patents

Abstract

中繼伺服器(3)係記憶著與自身隸屬於同一VPN群組的路由機器及該當路由機器的位址亦即第2路由對象位址等。又，中繼伺服器(3)係將該第2路由對象位址、與不和其他機器重複之位址亦即虛擬位址的指派關係，加以記憶。中繼伺服器(3)係在從路由會談收到封包之際，進行將封包的送訊來源從實際位址轉換成虛擬位址然後向自身之路由對象裝置傳輸封包之控制。中繼伺服器(3)係在從自身之路由對象裝置收到封包之際，進行將封包之目的地從虛擬位址轉換成實際位址然後向路由會談傳輸封包之控制。

Description

中繼伺服器及中繼通訊系統

本發明主要是有關於，使得被不同LAN(Local Area Network)所連接之機器間可以通訊的中繼伺服器。

先前以來，在被設置於實體性分隔之場所的LAN彼此間進行通訊的一種稱作虛擬私人網路(Virtual Private Network、VPN)的通訊技術，已為人知。在專利文獻1所示的例子中，被設置在實體性分隔之位置的複數LAN上，分別被連接有中繼伺服器及通訊終端等。通訊終端係可利用該VPN，而向其他LAN上所連接的通訊終端，發送封包。具體而言，通訊終端所發送的封包，是首先被送往同一LAN內的中繼伺服器。該中繼伺服器，係透過網際網路，向與目的地之通訊終端在同一LAN內的中繼伺服器，發送(傳輸)封包。然後，接收到該封包的中繼伺服器，係向目的地之通訊終端，發送(傳輸)封包。

藉由利用該VPN，就可將位於遠端的其他LAN，當作恰似直接連接之網路來使用。

〔先前技術文獻〕 〔專利文獻〕

[專利文獻1]日本特開2010-268312號公報

順便一提，在LAN中，不只有如上記的VPN通訊，大部分情形是還會進行不利用VPN的通訊。此時，封包最初不是送往中繼伺服器而是被發送至身為預設閘道之機能的機器(路由器等)。身為預設閘道之機能的機器，係隨應於已接收之封包的目的地，來傳輸該當封包。

如此，在進行利用VPN之通訊時，必須要將中繼伺服器指定成為封包的一次性目的地，在進行未利用VPN之通訊時，必須要將身為預設閘道之機能的機器指定成為封包的一次性目的地。因此，必須要事先設定好將封包的最終目的地、與封包的一次性目的地予以建立對應的閘道表。

可是，利用VPN而進行通訊的對方之位址，經常是在該當VPN建構之後才會得知。因此，閘道表係必須在每次VPN建構時就進行更新，導致處理繁複。

本發明係有鑑於以上事情而研發，其主要目的為，提供一種能夠省略每次VPN建構時所進行之閘道表之更新處理的中繼伺服器。

本發明所欲解決之課題係如上述，以下說明用以解決課題之手段和其效果。

若依據本發明的第1觀點，則可提供以下構成的中繼伺服器。亦即，該中繼伺服器係具備：位址過濾器資訊記 憶部、虛擬位址登錄資訊記憶部、虛擬位址指派資訊記憶部、控制部。前記位址過濾器資訊記憶部，係將位於第1LAN內並可傳輸封包之第1路由對象裝置之位址亦即第1路由對象位址、與位於第2LAN內並可由第2中繼伺服器來傳輸封包之第2路由對象裝置之位址亦即第2路由對象位址，加以記憶。前記虛擬位址登錄資訊記憶部，係將在前記第1LAN內不重複之位址且已被登錄成為虛擬位址的位址，加以記憶。前記虛擬位址指派資訊記憶部，係將前記第2路由對象位址與前記虛擬位址的指派關係，加以記憶。前記控制部，係向前記第2中繼伺服器發送前記第1路由對象位址，同時，從前記第2中繼伺服器接收前記第2路由對象位址，而與前記第2中繼伺服器建立路由會談。前記控制部，係對前記第2路由對象位址指派前記虛擬位址，將其指派關係，記憶在前記虛擬位址指派資訊記憶部。前記控制部，係從前記路由會談接收到以前記第1路由對象位址為目的地之封包之際，參照前記虛擬位址指派資訊記憶部，而將封包的送訊來源位址轉換成前記第2路由對象位址所被指派之前記虛擬位址，以向目的地之前記第1路由對象裝置傳輸封包。前記控制部，係從前記第1路由對象裝置接收到以前記虛擬位址為目的地之封包之際，參照前記虛擬位址指派資訊記憶部，而將封包之目的地位址轉換成前記虛擬位址所被指派之前記第2路由對象位址，以向前記路由會談傳輸封包。

藉此，在將目的地位址與閘道位址建立對應而成的閘 道表中，藉由事前將虛擬位址與中繼伺服器之位址建立對應，就可省略先前每次建構VPN時就必須進行之閘道表的設定。

於前記之中繼伺服器中，可以設定：在前記路由會談的切斷時，是否解除前記虛擬位址對前記第2路由對象位址的指派，較為理想。

藉此，例如在建構VPN而進行通訊時，對於建構VPN之頻繁度較低的對象，設定成在路由會談切斷時就解除虛擬位址之指派，藉此而不會佔用虛擬位址，因此可防止可指派之虛擬位址的數量減少。另一方面，對於建構VPN之頻繁度較高的對象，設定成在路由會談切斷時不會解除虛擬位址之指派，藉此，每次建構VPN時就不需要進行虛擬位址之指派，因此可有效減輕處理量。又，由於虛擬位址之指派未被解除，因此可總是以相同虛擬位址來進行通訊，所以可使通訊的管理等單純化。

在前記之中繼伺服器中，可以設定：對前記第2路由對象位址指派前記虛擬位址然後使用該當虛擬位址來進行通訊，或是使用前記第2路由對象位址來進行通訊，較為理想。

藉此，就可隨著網路環境及位址的使用狀況等，進行靈活的通訊。

在前記之中繼伺服器中，可對每台中繼伺服器設定：使用前記虛擬位址來進行通訊，或是使用前記第2路由對象位址來進行通訊，較為理想。

藉此，例如在建構VPN而進行通訊時，藉由僅對建構VPN之頻繁度較高的對象，使用實際位址來進行通訊，就可防止虛擬位址的佔用，同時，即使路由會談被切斷，仍可使用同一位址來進行通訊。

若依照本發明的第2觀點，則可提供以下構成的中繼通訊系統。亦即，該中繼通訊系統係具備：含有第1中繼伺服器及第2中繼伺服器的複數中繼伺服器、和客戶端終端。前記客戶端終端，係隸屬於前記中繼伺服器。位於第1LAN內的前記第1中繼伺服器，係具備：VPN群組資訊記憶部、位址過濾器資訊記憶部、虛擬位址登錄資訊記憶部、虛擬位址指派資訊記憶部、控制部。前記VPN群組資訊記憶部，係將由前記中繼伺服器及前記客戶端終端當中身為路由端點之機能的路由機器所構成、藉由虛擬私人網路而彼此進行通訊的群組，視為VPN群組，將相同之前記VPN群組中所屬的前記路由機器，加以記憶。前記位址過濾器資訊記憶部，係將位於第1LAN內並可傳輸封包之第1路由對象裝置之位址亦即第1路由對象位址、與位於第2LAN內並可由第2中繼伺服器來傳輸封包之第2路由對象裝置之位址亦即第2路由對象位址，加以記憶。前記虛擬位址登錄資訊記憶部，係將在前記第1LAN內不重複之位址且已被登錄成為虛擬位址的位址，加以記憶。前記虛擬位址指派資訊記憶部，係將前記第2路由對象位址與前記虛擬位址的指派關係，加以記憶。前記控制部，係向前記第2中繼伺服器發送前記第1路由對象位址，同 時，從前記第2中繼伺服器接收前記第2路由對象位址，而與前記第2中繼伺服器建立路由會談。前記控制部，係對前記第2路由對象位址指派前記虛擬位址，將其指派關係，記憶在前記虛擬位址指派資訊記憶部。前記控制部，係從前記路由會談接收到以前記第1路由對象位址為目的地之封包之際，參照前記虛擬位址指派資訊記憶部，而將封包的送訊來源位址轉換成前記第2路由對象位址所被指派之前記虛擬位址，以向目的地之前記第1路由對象裝置傳輸封包。前記控制部，係從前記第1路由對象裝置接收到以前記虛擬位址為目的地之封包之際，參照前記虛擬位址指派資訊記憶部，而將封包之目的地位址轉換成前記虛擬位址所被指派之前記第2路由對象位址，以向前記路由會談傳輸封包。

藉此，在上述的閘道表中，藉由事前將虛擬位址與中繼伺服器之位址建立對應，就可省略先前每次建構VPN時就會進行之閘道表的設定。

接著，參照圖面來說明本發明的實施形態。首先，參照圖1，說明本實施形態的中繼通訊系統100的概要。圖1係本實施形態所述之中繼通訊系統100的全體構成之說明圖。

如圖1所示，此中繼通訊系統100，係由連接至Wide Area Network(WAN、廣域通訊網)80的複數的LAN10, 20,30所構成。各個LAN10,20,30係在限定之場所中所架構的規模較小之網路。又，LAN10,20,30係皆被配置在實體性分隔的場所。此外，在本實施形態中，是使用網際網路來作為WAN80。

以下具體說明各個LAN。如圖1所示，LAN(第2LAN)10上係連接有：中繼伺服器(第2中繼伺服器)1、作為第2路由對象裝置的操作PC11,12、客戶端終端13。在LAN20上係連接有：中繼伺服器2、操作PC21、客戶端終端22。LAN(第1LAN)30上係連接有：中繼伺服器(第1中繼伺服器)3、作為第1路由對象裝置的對象終端31,32,33、客戶端終端34、路由器35。

各個中繼伺服器1,2,3，係不只連接LAN10,20,30還連接著WAN80，因此不只可和被連接在同一LAN上的機器進行通訊，還可和被配置於其他LAN上的中繼伺服器進行通訊。操作PC11,12,21，係為例如用來讓操作員進行操作的個人電腦。對象終端31,32,33，係為個人電腦或檔案伺服器等，例如想定操作員係會操作著操作PC11等，向對象終端31等要求所定之資料，及，更新對象終端31的記憶內容。客戶端終端13,22,34，係例如由個人電腦所構成，可分別透過自身所屬的中繼伺服器1,2,3而彼此通訊。路由器35，係為LAN30的身為預設閘道之機能的機器。

接著，參照圖2，說明中繼伺服器1,2,3的詳細構成。圖2係中繼伺服器3的機能區塊圖。此外，中繼伺服器 3係和中繼伺服器1,2大致相同之構成，因此以下主要針對中繼伺服器3來作說明。

如圖2所示，中繼伺服器3係具備：記憶部50、控制部60、介面部70。

介面部70，係為用來連接進行通訊之機器彼此間的連接器等。介面部70，係可利用私人1P位址，而與LAN10內的終端進行通訊，同時，可利用全球IP位址，透過WAN80而進行通訊。介面部70，係將從LAN30側或WAN80側所接收到之封包進行適宜處理然後輸出至控制部60。

控制部60係例如具有控制及演算機能的CPU，藉由從記憶部50讀出的程式，而可執行各種處理。該控制部60係可控制，依照TCP/IP、UDP、SIP等之協定的各種通訊。具體而言，控制部60係針對已接收之封包，基於該當封包所示之資訊與記憶部50中所記憶之資訊來決定目的地，向已決定之目的地，發送該當封包。又，控制部60係可基於從其他終端所接收到之資訊，來更新記憶部50的記憶內容。

記憶部50，係例如由硬碟或非揮發性RAM所構成，可保存各種資料。記憶部50係具備：中繼群組資訊記憶部51、中繼伺服器資訊記憶部52、客戶端終端資訊記憶部53、VPN群組資訊記憶部54、位址過濾器資訊記憶部55、虛擬位址登錄資訊記憶部56、虛擬位址指派資訊記憶部57。此外，中繼伺服器1,2係不進行後述的使用虛擬 位址之通訊，因此並不具備虛擬位址登錄資訊記憶部56及虛擬位址指派資訊記憶部57。以下，參照圖3至圖10，說明記憶部50的記憶內容。圖3至圖10係主要圖示了中繼伺服器3的記憶部50的記憶內容(圖5及圖7中係也順便圖示了中繼伺服器1,2的記憶內容)。圖11係對象終端31,32,33中所被設定之閘道表之內容的圖示。

中繼群組資訊記憶部51，係記憶著中繼群組資訊，其係用來表示中繼群組、和構成該當中繼群組的中繼伺服器。

如圖3所示，中繼群組資訊中係描述有：group標籤、將該group標籤當作母要素的子要素之site標籤。group標籤中係描述有，關於中繼群組的群組資訊511。作為該群組資訊511係描述有：中繼群組的識別資訊(「id」)、最終更新時刻(「lastmod」)、中繼群組的名稱(「name」)。site標籤中係描述有，關於構成中繼群組之中繼伺服器的群組構成資訊512。該群組構成資訊512中係描述有，該當中繼伺服器的識別資訊(「id」)。又，中繼群組係可追加作成，此時，對新的中繼群組係會賦予與其他中繼群組不同的唯一識別資訊。藉此，僅在特定中繼群組內進行資料交換等之設定，就成為可能。

此外，該中繼群組資訊係在構成該當中繼群組的中繼伺服器1,2,3之間被分享。而且，當某台中繼伺服器裡進行了變更中繼群組之處理時，該意旨會對其他中繼伺服器發送而更新中繼群組資訊。如此一來，中繼群組資訊係 被動態地共用。

中繼伺服器資訊記憶部52，係記憶著中繼伺服器資訊，其係表示進行中繼通訊之中繼伺服器及隸屬於該當中繼伺服器之客戶端終端的概要。

在圖4所示的中繼伺服器資訊中係描述有，對每台中繼伺服器而描述的site標籤、和將前記site標籤當作母要素的子要素之node標籤。site標籤中係描述有，關於中繼伺服器1的伺服器資訊521。作為該伺服器資訊521係描述有，中繼伺服器的識別資訊(「id」)、中繼伺服器的名稱(「name」)、啟動資訊(「stat」)。此外，當「stat」的內容是「active」時係表示中繼伺服器已登入至中繼通訊系統100，當stat是空欄時則表示係為登出中。site標籤之子要素的node標籤中係描述有，表示中繼伺服器裡所屬之客戶端終端的所屬資訊522。作為所屬資訊522係描述有，所屬之中繼群組的名稱(「group」)、客戶端終端的識別資訊(「id」)、客戶端終端的名稱(「name」)、所屬目標之中繼伺服器的識別資訊(「site」)。此外，客戶端終端未登入至中繼通訊系統100時，「site」係為空欄。

此外，中繼群組所致之通訊，係基於上記之中繼群組資訊及中繼伺服器資訊，而進行如下。例如當從客戶端終端13向客戶端終端22發送封包時，首先，客戶端終端13係向自己所連接之中繼伺服器亦即中繼伺服器1，發送封包。此外，可交換封包的中繼伺服器，係可基於上記之中 繼群組資訊來掌握，中繼伺服器底下所屬之客戶端終端的識別資訊及連接可否，係可基於上記的中繼伺服器資訊來掌握。中繼伺服器1，係基於這些資訊，而向客戶端終端22所連接之中繼伺服器亦即中繼伺服器2，傳輸封包。然後，接收到該封包的中繼伺服器2，係向客戶端終端22傳輸封包。如此一來，就可在客戶端終端13,22彼此間進行中繼通訊。

關於該中繼伺服器資訊也是和中繼群組資訊同樣地，係在構成該當中繼群組的中繼伺服器1,2,3之間，被資訊分享。而且，當某台中繼伺服器裡進行了變更中繼伺服器資訊之處理時，該意旨會對其他中繼伺服器發送而更新中繼伺服器資訊。如此一來，中繼伺服器資訊係被動態地共用。

客戶端終端資訊記憶部53，係記憶著關於客戶端終端的詳細資訊亦即客戶端終端資訊。此外，中繼伺服器1,2,3係僅記憶著，關於自己底下所屬之客戶端終端的客戶端終端資訊。由於在中繼伺服器3下係有客戶端終端34隸屬其下，因此在中繼伺服器3所具備的客戶端終端資訊記憶部53中，係僅記憶著關於客戶端終端34的客戶端終端資訊。

中繼伺服器3的客戶端終端資訊記憶部53所記憶的客戶端終端資訊，係示於圖5(c)。同樣地，中繼伺服器1所記憶的客戶端終端資訊係示於圖5(a)，中繼伺服器2所記憶的客戶端終端資訊係示於圖5(b)。

在圖5所示的客戶端終端資訊中，係描述有node標籤。在該node標籤中係描述有：客戶端終端的私人IP位址(「addr」)、所屬之中繼群組的名稱(「group」)、識別資訊(「id」)、名稱(「name」)、用來登入至中繼伺服器所需之密碼(「pass」)、連接埠資訊(「port」)。

VPN群組資訊記憶部54係記憶著，從構成中繼群組之中繼伺服器及客戶端終端中被當成路由端點而選擇出來的機器(以下稱作路由機器)所構成之VPN群組所相關的資訊亦即VPN群組資訊。藉由在同一VPN群組中所屬之路由機器彼此間建立路由會談，就可開始利用VPN之通訊。

在圖6所示的VPN群組資訊中，係描述有vnet標籤。在該vnet標籤中係描述有：VPN群組基本資訊541、路由端點資訊542、路由會談資訊543。VPN群組基本資訊541中係描述有：VPN群組所屬之中繼群組的名稱(「group」)、VPN群組的識別資訊(「id」)、最終更新時刻(「lastmod」)、VPN群組的名稱(「name」)。在路由端點資訊542中係描述有，在VPN群組間進行通訊時，進行路由之路由機器的識別資訊。於圖6的例子中，作為路由機器係描述有：中繼伺服器1、中繼伺服器3。在路由會談資訊543中係描述有，於VPN群組中被彼此連接之路由機器。在路由會談資訊543中，路由機器係被區分成：在VPN群組中用來建構VPN而開始通訊所需 之路由會談建立處理中，最初進行通訊控制的一側(「sp(start point)」)、和接受其通訊控制的一側(「ep(end point)」，而被制定。此外，在以下的說明中，將最初進行路由會談建立所需之通訊控制之一側的路由機器稱作「起點」，將接受其通訊控制之一側的路由機器稱作「終點」。

根據圖6所示的VPN群組資訊，可知VPN群組(VPN-GROUP1)，係由中繼伺服器1與中繼伺服器3所構成。又，可知此VPN群組開始時，會進行從中繼伺服器3往中繼伺服器1建立路由會談所需的通訊控制。

該VPN群組資訊也是和中繼伺服器資訊及中繼群組資訊同樣地，在相同VPN群組中所屬之中繼伺服器1,3之間被分享。然後，當在某台中繼伺服器裡進行了變更VPN群組資訊之處理時，該意旨會對相同VPN群組中所屬之其他中繼伺服器發送，而更新VPN群組資訊。如此一來，VPN群組資訊係被動態地共用。此外，關於該VPN群組的作成處理，將於後述。

位址過濾器資訊記憶部55，係記憶著利用VPN進行路由控制之際所會使用的資訊，亦即位址過濾器資訊。位址過濾器資訊記憶部55，係在VPN建構前，是記憶著用來表示中繼伺服器3本身能夠直接發送封包之裝置(路由對象裝置)的資訊(中繼伺服器3的位址過濾器資訊)。此外，位址過濾器資訊中係會含有路由對象裝置之位址(路由對象位址)、和路由對象裝置的名稱。

在圖7(c)中係圖示了中繼伺服器3本身所被預先登錄的位址過濾器資訊的例子。在此例子中係描述了，中繼伺服器3可直接發送封包之機器，係為對象終端31,32,33。此外，在圖7(a)中係圖示了中繼伺服器1裡所被預先登錄的位址過濾器資訊，在圖7(b)中係圖示了中繼伺服器2裡所被預先登錄的位址過濾器資訊。

如上述，中繼伺服器3的位址過濾器資訊記憶部55,係在VPN架構之前，是僅記憶著圖7(c)所示的位址過濾器資訊。然後，中繼伺服器3係例如當要與中繼伺服器1建立路由會談時，除了會將自身所被預先登錄之位址過濾器資訊(圖7(c))發送給中繼伺服器1，並且也會從中繼伺服器1接收位址過濾器資訊(圖7(a))。然後，中繼伺服器3係將中繼伺服器1的位址過濾器資訊，與該當中繼伺服器1的識別資訊建立對應，而記憶在位址過濾器資訊記憶部55中。

藉此，在中繼伺服器3的位址過濾器資訊記憶部55裡，就會記憶著圖8所示的內容。此外，中繼伺服器1的VPN群組資訊記憶部54中也會記憶著相同內容的資訊。然後，中繼伺服器1,3係基於該所取得之位址，進行路由控制(詳細控制將於後述)。此外，以下有時候會將自身的位址過濾器資訊中所含有之路由對象位址稱作第1路由對象位址，將其他路由機器的位址過濾器資訊中所含有之路由對象位址稱作第2路由對象位址。

在本實施形態中係構成為，只有中繼伺服器3與對象 終端31,32,33之間的通訊，不會使用操作PC11,12的實際位址(前記第2路由對象位址)，而是使用虛擬位址來進行通訊。虛擬位址，係預先登錄了在LAN30內不會重複之位址(尚未指派給LAN30內的機器，或是未被預計指派之位址)，記憶在虛擬位址登錄資訊記憶部56中。在本實施形態中，係有圖9所示的位址，被登錄成為虛擬位址。

然後，中繼伺服器3係在如上記般地交換位址過濾器資訊而取得第2路由對象位址之後，對該當第2路由對象位址(實際位址)，指派前記虛擬位址。如圖10所示，虛擬位址指派資訊記憶部57係記憶著第2路由對象位址與虛擬位址的指派關係。然後，中繼伺服器3與對象終端31,32,33之間的通訊，係不是使用實際位址而是使用虛擬位址來進行通訊。關於詳細的通訊流程將於後述，但例如對象終端31往操作PC11發送封包之際，作為目的地位址，係不使用第2路由對象位址而是使用虛擬位址。

路由器35，係如上述，是身為LAN30的預設閘道之機能。因此，對象終端31所發送的封包的一次性目的地(經由點、閘道)，原則上係為路由器35。路由器35，係隨應於所收到之封包的最終目的地，來傳輸該當封包。可是，若進行利用上記VPN之通訊時，則對象終端31等所發送之封包的一次性目的地，必須設成不是該路由器35，而是中繼伺服器3。因此，在本實施形態中，圖11所示的閘道表，會被設定至對象終端31,32,33。圖11係為， 對象終端31,32,33所發送封包的最終目的地位址(「封包之目的地位址」)、與該當目的地位址被指定之際的閘道，所建立對應而成的表。如該圖11所示，在本實施形態中，若封包的最終目的地是虛擬位址，則該當封包的閘道會是中繼伺服器3。另一方面，若封包的最終目的地是虛擬位址以外的情形，則該當封包的閘道會是路由器35。

此外，第2路由對象位址通常在VPN建構之前係為不明。因此，先前係每次VPN建構時，必須要進行第2路由對象位址與中繼伺服器建立對應之設定(閘道表之更新)。這點，在本實施形態中係使用虛擬位址，而預先設定成，以該當虛擬位址為目的地之封包的閘道，會是中繼伺服器3。又，當利用VPN來發送封包時，該當封包的目的地會是虛擬位址。藉此，就不會更新對象終端31,32,33的閘道表之設定，就可將VPN所致之封包的閘道，設成中繼伺服器3。因此，相較於先前之構成，可降低處理量。

接著說明，為了進行利用VPN之通訊所需的準備。首先，參照圖12來說明對中繼伺服器欲先進行之設定，接著，參照圖13來說明VPN群組作成時的流程。圖12係事前對中繼伺服器進行之設定的流程圖。圖13係VPN群組作成處理的流程圖。

對中繼伺服器預先進行的設定，係有自身(中繼伺服器)的位址過濾器資訊之登錄(S101)。該登錄係藉由利用中繼通訊系統100的使用者，將指定成為中繼伺服器之 路由對象裝置的機器等的位址(前記第1路由對象位址)、名稱，以所定方法加以輸入而為之。

接著，在進行使用虛擬位址之通訊時，使用者係將中繼伺服器所連接之LAN內未重複之位址，登錄成為虛擬位址(S102)。此處所被登錄的虛擬位址，係被記憶在虛擬位址登錄資訊記憶部56中。

以下說明VPN群組作成時的流程。使用者係首先，藉由操作客戶端終端13,22,34等，就可令VPN群組的設定畫面被顯示出來。此處係說明使用客戶端終端34來進行設定的情形。令客戶端終端34所顯示的設定畫面中係顯示有，該當客戶端終端34所屬之複數中繼群組。使用者係從該複數中繼群組中，選擇出欲建構VPN群組的中繼群組(S201)。

一旦選擇了中繼群組，則在客戶端終端34的畫面上係顯示出，隸屬於已選擇之中繼群組，且可成為路由端點而發揮機能的中繼伺服器及客戶端終端的識別資訊之一覽(S202)。然後，使用者係在所建構之VPN群組中，選擇出令其作為路由端點而發揮機能的中繼伺服器及客戶端終端(S203)。在本次的說明中，係假設中繼伺服器1、中繼伺服器3，是被使用者所選擇。

然後，基於已被選擇之中繼伺服器的識別資訊，作成路由端點的識別資訊及前記路由會談資訊(S204)。然後，藉由對這些資訊中附加VPN群組的識別資訊等，就作成了圖6所示的VPN群組資訊。客戶端終端34，係將該 VPN群組資訊，發送至同一VPN群組中所屬的中繼伺服器1,3(S205)。然後，中繼伺服器1,3，係將所接收到的VPN群組資訊，記憶至VPN群組資訊記憶部54。藉由以上，就完成了VPN群組之建構處理。

接著，關於在已建構之VPN群組中開始利用VPN之通訊之前的流程，參照圖14及圖15來說明。圖14及圖15係開始利用VPN之通訊之前所進行之處理的流程圖。

使用者係藉由操作客戶端終端13等或操作PC11等，而可令已建構之VPN群組，被顯示在畫面上。然後，藉由從已被顯示之VPN群組中選擇出適當的VPN群組(S301)，就可進行用來建構VPN所需之處理。在本次的說明中，是說明上記所作成之VPN群組(中繼伺服器1,3所構成之VPN群組)的開始處理是由中繼伺服器3來進行的例子。

中繼伺服器3，係首先將自己所被建立對應到的位址過濾器資訊，予以讀出(S302)。此處所被讀出的資訊，係為S101中所被登錄之內容(圖7(c)所示的內容)。接著，中繼伺服器3係將已選擇之VPN群組中所屬的路由端點，予以讀出(S303)。藉此，基於圖6所示之VPN群組資訊的內容，而讀出中繼伺服器1。

中繼伺服器3，係基於中繼伺服器資訊，首先判斷中繼伺服器1是否為登入中(「stat」係為active還是空欄)(S304)。若依據圖4所示的中繼伺服器資訊，則中繼伺服器1係已登入，因此中繼伺服器3係向中繼伺服器1 發送VPN群組的識別資訊、以及VPN群組的開始命令(S305)。

中繼伺服器3係一旦從中繼伺服器1收到針對該開始命令的回應(步驟S306)，則將中繼伺服器1登錄成為已經完成建構VPN之準備的路由端點(S307)。

接著，中繼伺服器3係判斷是否有相同VPN群組中所屬的其他機器(S308)。由於目前作成中的VPN群組，係僅由中繼伺服器1與中繼伺服器3所構成，因此沒有其他機器存在。此外，假設有其他機器存在時，中繼伺服器3這回就會以該當機器為對象而進行S304~S307之處理。

接著，中繼伺服器3係從VPN群組資訊記憶部54的記憶內容中，抽出路由會談資訊(圖15的S309)。然後，中繼伺服器3係參照已抽出之路由會談資訊，判斷是否有描述以自己為起點之路由會談(S310)。在圖6的路由會談資訊中描述有，於中繼伺服器1與中繼伺服器3之間所應建立的路由會談中，自身(中繼伺服器3)係為起點。

因此，中繼伺服器3係對中繼伺服器1，進行用來建立路由會談所需的通訊控制(S311)。此外，在進行該通訊控制之際，如前述，會交換位址過濾器資訊(S311)。藉此，在中繼伺服器3的位址過濾器資訊記憶部55裡，就會記憶著圖8所示的內容。

接著，中繼伺服器3係對從中繼伺服器1所接收到的 位址過濾器資訊中所含之第2路由對象位址，指派虛擬位址(S312)，將該指派關係，記憶在虛擬位址指派資訊記憶部57中(S313)。此外，在S312中所被指派的虛擬位址，係只要是有被登錄在虛擬位址登錄資訊記憶部56中，且尚未被指派給第2路由對象位址的虛擬位址，則可指派任意之位址。

如此，在本實施形態中，在建構VPN之際，由於各個路由機器會與其他路由機器交換(取得)位址過濾器資訊，因此可使用最新的位址過濾器資訊來建構VPN。因此，在VPN開始前的階段下即使一部分路由機器中的位址過濾器資訊有被變更，仍可在已經將該變更反映至所有路由機器的狀態下建構VPN然後開始通訊，因此可防止封包繞送時發生矛盾，可提升信賴性。

接著，中繼伺服器3係判斷是否還描述有其他以自己為連接起點的路由會談(S314)。由於目前作成中的VPN群組，係僅由中繼伺服器1與中繼伺服器3所構成，因此其他路由會談係未被記述在VPN群組資訊中。因此，中繼伺服器3係開始封包的路由控制(S315)。此外，假設有其他路由會談存在時，中繼伺服器3就會再次進行S310~S313之處理。

又，雖然在圖15的流程圖中並未記載，但S310中即使沒有自身為連接起點之路由會談存在時(自身是路由終點的情況)，仍可接受來自身為起點之路由機器的通訊控制，而進行路由會談之建立處理及位址過濾器資訊的交換 。同時，在進行使用虛擬位址之通訊時，也會進行虛擬位址之指派等。

此外，各個路由機器，係如果路由會談資訊中沒有描述讓自己成為起點之意旨則不會進行路由會談建立所需之最初之通訊控制，因此可防止通訊控制的碰撞，可以簡單的控制就能建立起機器間的路由會談。

接著，參照圖16及圖17，說明使用已建立之路由會談來進行封包繞送之處理。圖16係使用虛擬位址的路由控制的流程圖。圖17係使用虛擬位址的路由控制的說明圖。以下係說明，從操作PC11往對象終端31發送封包，從對象終端31往操作PC11回送封包時所進行的路由控制。此外，在本實施形態中，進行使用虛擬位址之通訊的路由機器，係只有中繼伺服器3，因此圖16所示之處理，是只有中繼伺服器3會進行之處理。

首先，針對從操作PC11往對象終端31發送封包時的流程，參照圖16及圖17(a)來說明。如該圖17(a)所示，操作PC11係指定對象終端31的位址(192.168.010)來作為目的地位址，並指定自身的位址(200.1.40.10)來作為送訊來源位址，而發送封包。接收到該封包的中繼伺服器1，係將所接收到的封包之目的地位址、和所記憶的位址過濾器資訊(圖8)，進行比較。然後，辨認出目的地位址是與中繼伺服器3建立對應，而透過路由會談，將封包傳輸給中繼伺服器3。

接收到該封包的中繼伺服器3，係判斷已接收之封包 是否為透過路由會談所收到之封包，或並非如此(亦即，是否為從自身的路由對象裝置所收到的封包)(圖16的S401)。由於此處已接收之封包係為透過路由會談所收到，因此中繼伺服器3係判斷是否有對送訊來源位址建立對應的虛擬位址存在(S402)。此處，由於對操作PC11的位址係指派了如圖10所示的虛擬位址，因此中繼伺服器3係將已接收之封包的送訊來源位址(200.1.40.10)，轉換成虛擬位址(150.100.10.1)(S403)。然後，中繼伺服器3係將向目的地位址所示的機器(對象終端31)，傳輸封包(S404)。

接著，針對該對象終端31往操作PC11回送封包時的流程，參照圖17(b)來說明。如該圖17(b)所示，對象終端31，係指定從操作PC11所接收到之封包的送訊來源位址(150.100.10.1，虛擬位址)以作為目的地位址，指定自身的位址(192.168.010)以作為送訊來源位址。

此處，如圖11所示，對象終端31的閘道表中係描述，若目的地是虛擬位址時則中繼伺服器3係為閘道之意旨。因此，對象終端31係將封包發送至中繼伺服器3。

接收到該封包的中繼伺服器3，係和上記同樣地，判斷已接收之封包是否為透過路由會談所收到之封包，或並非如此(圖16的S401)。此處已接收之封包係為從自身之路由對象裝置亦即對象終端31所接收到的，因此中繼伺服器3係判斷目的地位址是否為虛擬位址(S405)。由於該封包之目的地位址係為虛擬位址，因此中繼伺服器3 係將已接收之封包之目的地位址(150.100.10.1)轉換成實際位址亦即第2路由對象位址(200.1.40.10)(S406)。然後，中繼伺服器3係透過路由會談，向適切的路由機器，發送封包(S407)。具體而言，中繼伺服器3係將封包之目的地位址、和所記憶的位址過濾器資訊(圖8)，進行比較。然後，辨認出目的地位址是與中繼伺服器1建立對應，而透過路由會談，將封包傳輸給中繼伺服器1。

接收到該封包的中繼伺服器1，係基於目的地位址，而將該當封包，發送至操作PC11。使用虛擬位址的路由控制，係被進行如上。

此外，在本實施形態中係構成為，當中繼伺服器1與中繼伺服器3之間所被建立的路由會談被切斷時(發生通訊不良時或者進行了VPN結束控制時)，則虛擬位址對第2路由對象位址之指派，會被解除。然後，中繼伺服器1與中繼伺服器3之間再次建立路由會談之際，會進行虛擬位址之指派。

如以上所示，中繼伺服器3係具備：位址過濾器資訊記憶部55、虛擬位址登錄資訊記憶部56、虛擬位址指派資訊記憶部57、控制部60。位址過濾器資訊記憶部55，係將第1路由對象位址、和第2路由對象位址，加以記憶。虛擬位址登錄資訊記憶部56，係將在LAN30內不重複之位址且已被登錄成為虛擬位址的位址，加以記憶。虛擬位址指派資訊記憶部57，係記憶著第2路由對象位址與虛擬位址的指派關係。控制部60係進行，向中繼伺服器1 發送第1路由對象位址，同時，從中繼伺服器1接收第2路由對象位址，並與中繼伺服器1之間建立路由會談之控制。控制部60係進行，對第2路由對象位址指派虛擬位址，將該指派關係記憶在虛擬位址指派資訊記憶部57中之控制。控制部60係在從路由會談收到封包之際，進行將封包的送訊來源位址從實際位址轉換成虛擬位址然後向自身之路由對象裝置傳輸封包之控制。控制部60係在從自身之路由對象裝置收到封包之際，進行將封包之目的地位址從虛擬位址轉換成實際位址然後向路由會談傳輸封包之控制。

藉此，在將目的地位址與閘道位址建立對應而成的閘道表中，藉由事前將虛擬位址與中繼伺服器之位址建立對應，就可省略先前每次建構VPN時就必須進行之閘道表的設定。

接著說明上記實施形態的變形例。在本變形例中，係採用上記實施形態之構成，同時增加了可設定事項之構成。具體而言，在本變形例中係可設定：(1)在路由會談的切斷時，是否解除虛擬位址對第2路由對象位址之指派；以及，(2)是否使用前記虛擬位址來進行通訊，還是使用前記第2路由對象位址來進行通訊。又，該(1)及(2)，係可針對每一路由機器做個別設定。

具體而言，本變形例的中繼伺服器3，係除了上記之構成外，還記憶有如圖18所示的虛擬位址管理資訊。圖18係虛擬位址管理資訊之例子的圖示。在該虛擬位址管理 資訊中，係描述有「名稱」、「使用之位址」、「會談切斷時的虛擬位址之指派」。在「名稱」中係描述了建構VPN群組的對象，「使用之位址」中係描述了關於上記(1)的設定事項，「會談切斷時的虛擬位址之指派」中係描述了關於上記(2)的設定事項。

在圖18所示的例子中，係表示了，對中繼伺服器1的路由對象裝置指派虛擬位址，和在路由會談切斷時要釋放虛擬位址。此外，該構成係為和上記實施形態相同之構成。又，在此例中，係表示了，對中繼伺服器2的路由對象裝置指派虛擬位址，和即使路由會談被切斷仍維持虛擬位址之指派(不刪除虛擬位址指派資訊之內容)。而且還表示了，不對中繼伺服器4(圖1中未圖示)的路由對象裝置指派虛擬位址而使用實際位址來進行通訊。

藉此，例如對於建構VPN之頻繁度較低的對象係設定成要解除虛擬位址之指派，藉此可防止虛擬位址的佔用，可防止可指派之虛擬位址的數量減少。另一方面，對於建構VPN之頻繁度較高的對象，設定成不會解除虛擬位址之指派，藉此，每次建構VPN時就不需要進行虛擬位址之指派，因此可減輕處理量。又，由於可總是使用相同的虛擬位址來進行通訊，所以可使通訊的管理等單純化。

以上雖然說明本發明的理想實施形態及變形例，但上記構成係可例如做以下的變更。

上記的構成係為，與路由會談之建立大略同時，進行位址過濾器資訊之交換。相對於此，亦可構成為，與VPN 群組的開始命令之送訊(S305)同時地發送位址過濾器資訊，將回應(S306)連同位址過濾器資訊一起收訊。

在上記中雖然是，操作PC11等之個別機器被視為路由對象裝置，但亦可為例如將LAN10全體(200.1.40.0/24)視為中繼伺服器1的路由對象裝置。此時，對該當路由對象裝置，係指派像是(192.168.0.0/24)這種指定範圍的虛擬位址。

進行虛擬位址之指派的時點係為任意，例如，若為開始命令之送訊連同位址過濾器資訊一起發送之構成，則可在更早的時點上進行虛擬位址之指派。

上記雖然是構成為，只有中繼伺服器會成為路由端點之機能，但亦可由客戶端終端來成為路由端點之機能的構成。又，VPN群組內的路由端點數係不限於2個，亦可為3個以上。又，1個路由機器亦可隸屬於複數個VPN群組中。

上記之中繼群組資訊、中繼伺服器資訊、客戶端終端資訊、VPN群組資訊、位址過濾器資訊等的儲存格式係不限定於XML格式，可以適宜的格式來儲存各資訊。

亦可取代上記實施形態之構成，而將各中繼伺服器間之通訊時所使用的外部伺服器設置在網際網路上，使其發揮SIP(Session Initiaion Protocol)之機能而進行通訊之構成。

1‧‧‧中繼伺服器(第2中繼伺服器)

3‧‧‧中繼伺服器(第1中繼伺服器)

11：12‧‧‧操作PC(第2路由對象裝置)

31,32,33‧‧‧對象終端(第1路由對象裝置)

10‧‧‧LAN(第2LAN)

30‧‧‧LAN(第1LAN)

54‧‧‧VPN群組資訊記憶部

55‧‧‧位址過濾器資訊記憶部

56‧‧‧虛擬位址登錄資訊記憶部

57‧‧‧虛擬位址指派資訊記憶部

100‧‧‧中繼通訊系統

[圖1]本發明之一實施形態所論之中繼通訊系統的全體構成之說明圖。

[圖2]中繼伺服器的機能區塊圖。

[圖3]中繼群組資訊之內容的圖示。

[圖4]中繼伺服器資訊之內容的圖示。

[圖5]客戶端終端資訊之內容的圖示。

[圖6]VPN群組資訊之內容的圖示。

[圖7]各台中繼伺服器中所被預先登錄之位址過濾器資訊之內容的圖示。

[圖8]VPN建構後，位址過濾器資訊記憶部所記憶之內容的圖示。

[圖9]虛擬位址登錄資訊之內容的圖示。

[圖10]虛擬位址指派資訊之內容的圖示。

[圖11]對象終端中所被設定之閘道表之內容的圖示。

[圖12]事前對中繼伺服器進行之設定的流程圖。

[圖13]VPN群組作成處理的流程圖。

[圖14]VPN之建構處理的流程圖。

[圖15]VPN之建構處理的流程圖。

[圖16]使用虛擬位址的路由控制的流程圖。

[圖17]使用虛擬位址的路由控制的說明圖。

[圖18]虛擬位址管理資訊之內容的圖示。

1‧‧‧中繼伺服器

3‧‧‧中繼伺服器

11‧‧‧操作PC

31‧‧‧對象終端

Claims (5)

1. 一種中繼伺服器，其特徵為，具備：位址過濾器資訊記憶部，係將位於第1LAN內並可傳輸封包之第1路由對象裝置之位址亦即第1路由對象位址、與位於第2LAN內並可由第2中繼伺服器來傳輸封包之第2路由對象裝置之位址亦即第2路由對象位址，加以記憶；和虛擬位址登錄資訊記憶部，係將在前記第1LAN內不重複之位址且已被登錄成為虛擬位址的位址，加以記憶；和虛擬位址指派資訊記憶部，係將前記第2路由對象位址與前記虛擬位址的指派關係，加以記憶；和控制部；前記控制部係進行：向前記第2中繼伺服器發送前記第1路由對象位址，同時，從前記第2中繼伺服器接收前記第2路由對象位址，而與前記第2中繼伺服器建立路由會談之控制；和對前記第2路由對象位址指派前記虛擬位址，將其指派關係，記憶在前記虛擬位址指派資訊記憶部之控制；和從前記路由會談接收到以前記第1路由對象位址為目的地之封包之際，參照前記虛擬位址指派資訊記憶部，而將封包的送訊來源位址轉換成前記第2路由對象位址所被指派之前記虛擬位址，以向目的地之前記第1路由對象裝 置傳輸封包之控制；和從前記第1路由對象裝置接收到以前記虛擬位址為目的地之封包之際，參照前記虛擬位址指派資訊記憶部，而將封包之目的地位址轉換成前記虛擬位址所被指派之前記第2路由對象位址，以向前記路由會談傳輸封包之控制。
2. 如請求項1所記載之中繼伺服器，其中，可以設定：在前記路由會談的切斷時，是否解除前記虛擬位址對前記第2路由對象位址的指派。
3. 如請求項1所記載之中繼伺服器，其中，可以設定：對前記第2路由對象位址指派前記虛擬位址然後使用該當虛擬位址來進行通訊，或是使用前記第2路由對象位址來進行通訊。
4. 如請求項3所記載之中繼伺服器，其中，可對每台中繼伺服器設定：使用前記虛擬位址來進行通訊，或是使用前記第2路由對象位址來進行通訊。
5. 一種中繼通訊系統，其特徵為，具備：含有第1中繼伺服器及第2中繼伺服器的複數中繼伺服器；和前記中繼伺服器下所屬的客戶端終端；位於第1LAN內的前記第1中繼伺服器，係具備：VPN群組資訊記憶部，係將由前記中繼伺服器及前記客戶端終端當中身為路由端點之機能的路由機器所構成、藉由虛擬私人網路而彼此進行通訊的群組，視為VPN群 組，將相同之前記VPN群組中所屬的前記路由機器，加以記憶；和位址過濾器資訊記憶部，係將位於前記第1LAN內並可傳輸封包之第1路由對象裝置之位址亦即第1路由對象位址、與位於前記第2LAN內並可由前記第2中繼伺服器來傳輸封包之第2路由對象裝置之位址亦即第2路由對象位址，加以記憶；和虛擬位址登錄資訊記憶部，係將在前記第1LAN內不重複之位址且已被登錄成為虛擬位址的位址，加以記憶；和虛擬位址指派資訊記憶部，係將前記第2路由對象位址與前記虛擬位址的指派關係，加以記憶；和控制部；前記控制部係進行：向前記第2中繼伺服器發送前記第1路由對象位址，同時，從前記第2中繼伺服器接收前記第2路由對象位址，而與前記第2中繼伺服器建立路由會談之控制；和對前記第2路由對象位址指派前記虛擬位址，將其指派關係，記憶在前記虛擬位址指派資訊記憶部之控制；和從前記路由會談接收到以前記第1路由對象位址為目的地之封包之際，參照前記虛擬位址指派資訊記憶部，而將封包的送訊來源位址轉換成前記第2路由對象位址所被指派之前記虛擬位址，以向目的地之前記第1路由對象裝置傳輸封包之控制；和 從前記第1路由對象裝置接收到以前記虛擬位址為目的地之封包之際，參照前記虛擬位址指派資訊記憶部，而將封包之目的地位址轉換成前記虛擬位址所被指派之前記第2路由對象位址，以向前記路由會談傳輸封包之控制。