WO2019043827A1 - ネットワーク制御装置、通信システム、ネットワーク制御方法、プログラム、及び記録媒体 - Google Patents

ネットワーク制御装置、通信システム、ネットワーク制御方法、プログラム、及び記録媒体 Download PDF

Info

Publication number
WO2019043827A1
WO2019043827A1 PCT/JP2017/031144 JP2017031144W WO2019043827A1 WO 2019043827 A1 WO2019043827 A1 WO 2019043827A1 JP 2017031144 W JP2017031144 W JP 2017031144W WO 2019043827 A1 WO2019043827 A1 WO 2019043827A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
gateway
vpn
network
quality
Prior art date
Application number
PCT/JP2017/031144
Other languages
English (en)
French (fr)
Inventor
文裕 沈
隆 可児島
健二 新井
毅郎 嵯峨
貴行 亀井
Original Assignee
エヌ・ティ・ティ・コミュニケーションズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by エヌ・ティ・ティ・コミュニケーションズ株式会社 filed Critical エヌ・ティ・ティ・コミュニケーションズ株式会社
Priority to JP2018513384A priority Critical patent/JP6434190B1/ja
Priority to US16/345,138 priority patent/US10924301B2/en
Priority to EP17923954.6A priority patent/EP3518479B1/en
Priority to PCT/JP2017/031144 priority patent/WO2019043827A1/ja
Priority to CN201780066582.5A priority patent/CN109891841B/zh
Publication of WO2019043827A1 publication Critical patent/WO2019043827A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/54—Store-and-forward switching systems 
    • H04L12/56—Packet switching systems
    • H04L12/5691—Access to open networks; Ingress point selection, e.g. ISP selection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/02—Topology update or discovery
    • H04L45/04—Interdomain routing, e.g. hierarchical routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/64—Routing or path finding of packets in data switching networks using an overlay routing layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H04L45/745—Address table lookup; Address filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/54—Store-and-forward switching systems 
    • H04L12/56—Packet switching systems
    • H04L12/5601—Transfer mode dependent, e.g. ATM
    • H04L2012/5619—Network Node Interface, e.g. tandem connections, transit switching
    • H04L2012/5624—Path aspects, e.g. path bundling

Definitions

  • the present invention relates to network control technology in a network such as SD-WAN.
  • SD-WAN Software-defined WAN
  • OGW Open Networking Group
  • an Overlay tunnel is built on the Internet, and there is much traffic via Overlay. Therefore, for example, due to inter-ISP routing, the inter-base delay may become larger than expected, or a large packet loss may occur depending on the region, the ISP, and the time zone. Furthermore, the demand for bandwidth is also increasing due to the increased use of applications such as remote desktops, telephone systems and file sharing.
  • the present invention has been made in view of the above points, and when connecting a plurality of bases via a network, the quality between the plurality of bases can be improved by using a connection method according to the arrangement of the plurality of connected bases.
  • the purpose is to provide improved technology.
  • a network control device that executes control on a system including a plurality of gateway devices connected to a predetermined network and a plurality of terminals, A selection unit that selects a first gateway apparatus used by a first terminal based on the quality between the first terminal and the plurality of gateway apparatuses; A tunnel construction unit that connects the first terminal and each other terminal using the first gateway device by a tunnel; When the second gateway apparatus used by the second terminal to which the first terminal communicates is the same as the first gateway apparatus, the first terminal to the second terminal If traffic passes through a tunnel between the first terminal and the second terminal, and the second gateway device is different from the first gateway device, the second terminal device receives the second terminal device from the first terminal device.
  • a network control apparatus is provided, comprising: a route control unit that performs route control such that traffic to a terminal of the route passes through the predetermined network.
  • a technology is provided to improve the quality between the plurality of bases by using a connection method according to the arrangement of the plurality of bases to be connected.
  • FIG. 1st Embodiment It is a block diagram of the system in 1st Embodiment. It is a block diagram of a VPN terminal. It is a block diagram of a VPN gateway. It is a hardware block diagram of an apparatus. It is a flowchart for demonstrating the operation
  • FIG. It is a figure showing the routing table of VPN gateway E. It is a figure which shows the routing table of VPN gateway F.
  • FIG. It is a block diagram of the system in 2nd Embodiment. It is a flowchart for demonstrating the operation
  • FIG. 1 It is a figure showing the routing table of VPN gateway E. It is a block diagram of the system in 5th Embodiment. It is a figure which shows the routing table of VPN terminal A. FIG. It is a figure showing the routing table of VPN gateway E. It is a figure which shows the routing table of VPN gateway F. FIG.
  • the configuration of the first embodiment is a basic configuration, and the configurations according to the second to fifth embodiments are respectively added to the configurations of the embodiments described above.
  • the first to fifth embodiments may be implemented independently.
  • an apparatus providing an additional function an apparatus providing a security function, an apparatus providing a WAN acceleration function, an apparatus configuring a closed area network for SaaS / cloud connection, etc. are described.
  • apparatuses providing additional functions are not limited to these.
  • an apparatus that provides a Forwarding Equivalence Class (FEC) function may be used.
  • FEC Forwarding Equivalence Class
  • FIG. 1 shows a system configuration in the first embodiment.
  • the system in the first embodiment has VPN terminals A to D, VPN gateways E, F, and an NW control device 100.
  • the VPN terminals A to D are connected to the access NWs 20 and 30, respectively.
  • the VPN gateways E and F are connected to the backbone NW10.
  • VPN terminals A to D, VPN gateways E and F, access NWs 20 and 30, and backbone NW 10 constitute an SD-WAN NW infrastructure.
  • VPN gateway may be abbreviated and it may be called "GW.”
  • the "VPN gateway” may be referred to as a "gateway device”.
  • IP addresses assigned to each VPN terminal are shown.
  • the IP address of the VPN terminal A is A. A. A. It is A / A.
  • Each VPN terminal is assumed to be installed at an individual site as an apparatus for terminating the VPN.
  • Each VPN terminal is, for example, an SD-WAN router and may be called a CPE.
  • the VPN method established between the VPN terminals and between the VPN terminal and the GW is not limited to a specific method, but for example, a VPN using IPsec or DTLS can be used. However, VPN is not limited to them.
  • Each VPN gateway is an apparatus such as an SD-WAN router that accommodates a plurality of VPN terminals, and is assumed to be mainly set as a carrier's central office. However, the installation location of the VPN gateway is not limited thereto.
  • the VPN gateway may be set as a Cloud company or a hub site of a company.
  • Each VPN terminal is connected to a VPN gateway via an access NW.
  • the VPN terminals A and B are connected to the VPN gateway E via the access NW 20
  • the VPN terminals C and D are connected to the VPN gateway F via the access NW 30.
  • the access NW is not limited to a specific NW, but is, for example, Internet, LTE, MPLS or the like. Further, the number of access NWs may not be one, and may be a hybrid NW composed of plural types of NWs.
  • the backbone NW 10 is a high quality NW such as an Internet backbone NW or an MPLS network. However, it is not limited to these. Also, the backbone NW 10 may be referred to as an Underlay backbone NW.
  • Each VPN terminal can communicate with other VPN terminals via a network such as Internet, LTE, or MPLS.
  • the NW control apparatus 100 can communicate with each VPN gateway and each VPN terminal by a control network or the like.
  • FIG. 1 shows that NW control apparatus 100 is connected to VPN terminal A and VPN gateway E as an example, NW control apparatus 100 is also connected to other VPN terminals and VPN gateways. .
  • the NW control device 100 includes a GW quality collection unit 101, a GW automatic selection unit 102, a tunnel construction unit 103, and a VPN path control unit 104.
  • the GW quality collection unit 101 is a functional unit that mainly collects the quality of the access NW between the VPN terminal and the VPN gateway.
  • the GW quality collection unit 101 collects, for example, a delay value as quality data between the VPN terminal and the VPN gateway, but is not limited thereto. Data such as path loss, packet loss, jitter, or bandwidth may be collected.
  • the GW automatic selection unit 102 is a functional unit that determines which VPN gateway a specific VPN terminal is connected to. In the present embodiment, the GW automatic selection unit 102 selects the VPN gateway with the best quality of communication with the VPN terminal based on the quality data collected by the GW quality collection unit 101. As one example, the GW automatic selection unit 102 analyzes the delay value and selects the VPN gateway with the smallest delay. That is, the GW automatic selection unit 102 selects the VPN gateway that is considered to be closest to the VPN terminal.
  • the tunnel construction unit 103 is a functional unit that constructs an Overlay tunnel or the like between the corresponding VPN terminal and the VPN gateway of the connection destination selected by the GW automatic selection unit 102.
  • the tunnel construction unit 103 notifies the VPN terminal of the identification information (example: IP address) of the VPN gateway of the connection destination selected by the GW automatic selection unit 102, and the VPN terminal that has received the notification
  • An Overlay tunnel is established between the VPN terminal and the VPN gateway by accessing the VPN gateway.
  • an Overlay tunnel may be constructed in any way.
  • the tunnel construction unit 103 also has a function of constructing an Overlay tunnel between VPN terminals.
  • the VPN path control unit 104 controls the path so that the communication between the VPN terminals is made to pass, for example, the selected VPN gateway, the backbone NW, the opposite VPN gateway, and the destination VPN terminal in this order. Specifically, the VPN path control unit 104 executes path control by inputting a routing table to each device.
  • FIG. 2 is a functional block diagram of the VPN terminal 200 used as each VPN terminal in the present embodiment.
  • the VPN terminal 200 includes a communication unit 210, a route determination unit 220, and a data storage unit 230.
  • the communication unit 210 has a function of transmitting the input packet toward the route determined by the route determination unit 220.
  • the route determination unit 220 has a function of determining the transmission route of the packet based on the destination IP address of the packet, the routing table, and the like.
  • the data storage unit 230 receives the routing table from the NW control device 100 and stores it.
  • FIG. 3 is a functional block diagram of the VPN gateway 300 used as each VPN gateway in the present embodiment.
  • the VPN gateway 300 includes a communication unit 310, a route determination unit 320, and a data storage unit 330.
  • the communication unit 310 has a function of transmitting the input packet toward the route determined by the route determination unit 320.
  • the route determination unit 320 has a function of determining the transmission route of the packet based on the destination IP address of the packet, the routing table, and the like.
  • the data storage unit 330 receives the routing table from the NW control device 100 and stores it.
  • Each of the above-described devices has a program in which the processing content described in the present embodiment (same in the second to fifth embodiments) is described in a computer. It is realizable by making it run. That is, the function of the device can be realized by executing a program corresponding to a process performed by the device using hardware resources such as a CPU and a memory incorporated in the computer.
  • the program can be recorded on a computer readable recording medium (portable memory or the like), and can be stored or distributed.
  • a network such as the Internet or e-mail.
  • FIG. 4 is a diagram showing an example of the hardware configuration of the above-mentioned apparatus.
  • the device of FIG. 4 includes a drive device 1000, an auxiliary storage device 1002, a memory device 1003, a CPU 1004, an interface device 1005, a display device 1006, an input device 1007, and the like mutually connected by a bus B.
  • the display device 1006 and the input device 1007 may not be provided in the respective devices (the NW control device 100, the VPN terminal 200, and the VPN gateway 300) described above.
  • a program for realizing the processing in the device is provided by a recording medium 1001 such as a CD-ROM or a memory card, for example.
  • a recording medium 1001 such as a CD-ROM or a memory card
  • the program is installed from the recording medium 1001 to the auxiliary storage device 1002 via the drive device 1000.
  • the program does not have to be installed from the recording medium 1001, and may be downloaded from another computer via a network.
  • the auxiliary storage device 1002 stores the installed program and also stores necessary files and data.
  • the memory device 1003 reads out the program from the auxiliary storage device 1002 and stores it when there is an instruction to start the program.
  • the CPU 1004 implements the function related to the device according to the program stored in the memory device 1003.
  • the interface device 1005 is used as an interface for connecting to a network.
  • the display device 1006 displays a graphical user interface (GUI) according to a program.
  • the input device 1007 includes a keyboard and a mouse, buttons, or a touch panel, and is used to input various operation instructions.
  • the GW quality collection unit 101 starts collecting quality data of the access NW between the VPN terminal A and each of all connectable VPN gateways (S101). For example, the VPN terminal A may transmit a packet to the VPN gateway, acquire quality data by receiving a response, and report it to the GW quality collection unit 101, or the VPN gateway acquires the quality data. Then, it may be reported to the GW quality collection unit 101, or another method may be adopted.
  • the GW quality collection unit 101 holds the collected quality data in a memory or the like with an internal data structure shown in FIG. 6, for example.
  • delay values between the VPN terminal A and the VPN gateways E and F are shown.
  • Measuring and holding delay values as quality data is an example.
  • path loss, jitter, or packet loss may be measured and held as quality data.
  • multiple types of quality data eg, delay, path loss, jitter, and packet loss may be measured and held.
  • the GW automatic selection unit 102 selects an optimal GW as a connection destination GW of the VPN terminal A based on the quality data collected by the GW quality collection unit 101 (S102).
  • the VPN gateway with the best access NW quality with the corresponding VPN terminal A is selected.
  • the VPN gateway E is selected as the optimum GW because the delay with the VPN terminal A is the smallest.
  • the GW with the smallest delay is selected as the GW with the best quality.
  • the GW automatic selection unit 102 selects the GW with the smallest path loss as the GW with the best quality, and when using packet loss as the quality, the GW automatic selection unit 102 In the case where the GW with the lowest quality is selected as the GW with the highest quality and the jitter is used as the quality, the GW automatic selection unit 102 selects the GW with the lowest jitter as the GW with the highest quality. In all of the above examples, as the quality, the smaller the value, the better the quality is used. In the case where a higher quality value is used as the quality, the GW automatic selection unit 102 selects the GW with the highest quality as the best GW.
  • the GW automatic selection unit 102 selects the GW with the smallest (or largest) value obtained by weighting and adding each quality as the GW with the best quality. It is also good.
  • the values of the three types of quality are Q1, Q2, and Q3 and the weights by which each quality is multiplied are W1, W2, and W3, values obtained by weighting each quality Becomes “W1 ⁇ Q1 + W2 ⁇ Q2 + W3 ⁇ Q3”.
  • the tunnel construction unit 103 constructs an Overlay tunnel between the corresponding VPN terminal A and the selected GW (here, the VPN gateway E) (S103).
  • the Overlay tunnel it is possible to construct a tunnel using various existing technologies such as IPsec and DTLS.
  • the VPN terminal A and the selected GW may be connected by a connection of a method other than the Overlay tunnel.
  • the Overlay tunnel may be referred to as a tunnel.
  • the tunnel construction unit 103 also overlays the Overlay tunnel between the VPN terminal A and another VPN terminal under the selected GW (here, the VPN gateway E) (that is, tunneled with the VPN gateway E). Construct (S104). Note that the VPN terminal A and another VPN terminal may be connected by a connection of a method other than the Overlay tunnel.
  • the VPN path control unit 104 performs path control in the VPN (S105).
  • the VPN path control in the case of communication between VPN terminals under the same GW, the VPN path control unit 104 controls the path so as to pass through the Overlay tunnel between the VPN terminals.
  • the VPN path control unit 104 controls the path so as to pass through the backbone NW 10.
  • the route control is performed by the VPN route control unit 104 setting a routing table for the corresponding device.
  • FIG. 7 shows an example of a routing table set in the VPN terminal A.
  • the C / C packet is forwarded to the VPN gateway E.
  • the IP address of the VPN terminal B under the same GW B. B. B.
  • a packet destined for B / is forwarded to the VPN terminal B via the tunnel.
  • FIG. 8 shows an example of a routing table set in the VPN gateway E. For example, according to the routing table shown in FIG. C. C.
  • the C / C packet is forwarded to the VPN gateway F.
  • FIG. 9 shows an example of a routing table set in the VPN gateway F. For example, according to the routing table shown in FIG. C. C.
  • the C / C packet is forwarded to the VPN terminal C.
  • the communication from the VPN terminal A to the VPN terminal C becomes communication via the VPN gateways E and F.
  • the description focuses on the traffic sent from the VPN terminal A. However, similar control can be performed for traffic in the direction received by the VPN terminal A. is there.
  • the second embodiment is an embodiment in which a dynamic VPN path control function is added to the first embodiment.
  • the configuration and operation added to the first embodiment will be mainly described below.
  • an Internet network or an MPLS network (Internet / MPLS 40 in the diagram) for connecting access NWs is added.
  • the NW quality collection unit 105 and the VPN path calculation unit 106 are added to the NW control apparatus 100. Also, the tunnel construction unit 103 and the VPN path control unit 104 execute the operation that is not present in the first embodiment. In addition, the NW control apparatus 100 of FIG. 10 has shown only the function part which appears in description of operation
  • the tunnel construction unit 103 performs processing between the corresponding VPN terminal and the opposite VPN terminal. Construct an Overlay tunnel (S201).
  • the VPN terminal and the opposite VPN terminal may be connected by a connection other than the Overlay tunnel.
  • FIG. 10 shows that an Overlay tunnel is established between the VPN terminal A and the VPN terminal C.
  • the NW quality collection unit 105 collects NW quality data of end-to-end (in this example, between the VPN terminal A and the VPN terminal C) (S202).
  • the NW quality collection unit 105 collects two types of NW quality data: NW quality data when going through the backbone NW 10 and NW quality data when not going through the backbone NW 10.
  • FIG. 12 shows NW quality data (delay value in this example) related to communication between the VPN terminal A and the VPN terminal C in the case of passing through the backbone NW 10.
  • FIG. 13 shows NW quality data regarding communication between the VPN terminal A and the VPN terminal C when not going through the backbone NW 10. Note that collecting delay values as NW quality data is merely an example, and other values may be collected.
  • NW quality data concerning communication between the VPN terminal A and the VPN terminal C
  • quality data between the VPN terminal A and the VPN gateway E, VPN gateway E and VPN gateway The quality data between F and F, and the quality data between VPN gateway F and VPN terminal C are collected and held in NW quality collection unit 105.
  • the VPN route calculation unit 106 determines that it is better to directly connect the VPN terminal A and the VPN terminal C, and selects a route (route of tunnel) that directly connects the VPN terminal A and the VPN terminal C. .
  • the VPN path control unit 104 performs VPN path control based on the above determination result (S204). Specifically, for the VPN terminal A, the destination is C.I. C. C. A routing table is set that includes an entry in which the VPN terminal C is the Next-hop of the packet that is C / C.
  • the third embodiment is an embodiment in which the security function is added to the point of presence (PoP) side as compared with the first embodiment or the second embodiment.
  • PoP point of presence
  • the configuration and operation added to the first embodiment or the second embodiment will be mainly described below.
  • “PoP side” may be rephrased as "VPN gateway side”.
  • a security function G is added between the VPN gateway E and the Internet 50.
  • the security function may be added to all of the VPN gateways or may be added to only some of the VPN gateways.
  • the security policy setting unit 107 is added to the NW control device 100.
  • the VPN path control unit 104 executes an operation that is not present in the first embodiment or the second embodiment.
  • the NW control apparatus 100 of FIG. 14 has shown only the function part which appears in the operation
  • the security function G is not limited to a specific one, but is, for example, a commercially available FW, a device having a function such as Proxy or Anti-Virus, or a device having a customized special security function.
  • the security function G may be a functional unit in the VPN gateway E.
  • the end user sets the necessary security policy in the security function G via the security policy setting unit 107 (S301).
  • a security policy for example, there are FW rules, Blacklist of URL Filter, etc., but it is not limited to them, and any security related policy may be set.
  • the VPN path control unit 104 controls the VPN path so that the traffic for the Internet 50 passes through the VPN gateway E and the security function G (S302).
  • FIG. 16 shows an example of a routing table set in the VPN terminal A by the VPN route control unit 104
  • FIG. 17 shows an example of a routing table set in the VPN gateway E by the VPN route control unit 104.
  • the packet whose destination is 0.0.0.0/0 is a packet for the Internet 50.
  • the fourth embodiment is an embodiment in which a WAN acceleration function is added to the first embodiment, the second embodiment, or the third embodiment.
  • a WAN acceleration function is added to the first embodiment, the second embodiment, or the third embodiment.
  • the WAN acceleration function J is added between the VPN gateway E and the backbone NW 10
  • the WAN acceleration function K is added between the VPN gateway F and the backbone NW10.
  • the WAN acceleration function may be added to all VPN gateways or may be added to only some VPN gateways.
  • the WAN acceleration control unit 108 is added to the NW control apparatus 100.
  • the VPN path control unit 104 executes an operation that is not present in the first embodiment, the second embodiment, or the third embodiment.
  • the NW control apparatus 100 of FIG. 18 has shown only the function part which appears in the operation
  • a commercially available WAN acceleration device can be used as the WAN acceleration functions J and K.
  • a device having a customized special WAN acceleration function may be used.
  • the end user can use the WAN acceleration control unit 108 to execute the necessary acceleration policy to the WAN acceleration function J (and / or the WAN acceleration function K). It sets to (S401).
  • the acceleration policy there are, for example, the IP address of the opposing device that is the peer, the size of the cache, the type of protocol, etc., but it is not limited to them.
  • the VPN route control unit 104 controls the VPN route so that the traffic via the backbone NW 10 passes through the WAN acceleration function J (S402).
  • FIG. 20 illustrates an example of a routing table set in the VPN gateway E by the VPN route control unit 104.
  • traffic between the VPN terminal A and the VPN terminal C passes through the WAN acceleration function J.
  • a fifth embodiment a configuration for accelerating access to the SaaS or cloud is added to the first embodiment, the second embodiment, the third embodiment, or the fourth embodiment.
  • Embodiment configurations and operations added to the first embodiment, the second embodiment, the third embodiment, or the fourth embodiment will be mainly described.
  • a closed area network 60 for establishing a closed area connection between the VPN gateway F and the SaaS-H and the cloud I is connected.
  • the closed area network 60 may be additionally connected to the access NW 30 connected to the VPN gateway F, or may be connected instead of the access NW 30.
  • a closed area network connecting SaaS-H or Cloud I may be called a Direct Connect network.
  • the closed network 60 is realized by, for example, an apparatus according to an existing technology such as a transmission apparatus that configures a network such as VLAN or MPLS.
  • the VPN path control unit 104 uses the backbone NW 10 to communicate between the VPN terminal A and the SaaS-H or the cloud I. Control the route to pass through.
  • FIG. 22 is an example of a routing table set in the VPN terminal A by the VPN route control unit 104.
  • FIG. 23 is an example of a routing table set in the VPN gateway E by the VPN route control unit 104.
  • FIG. 24 is an example of a routing table set in the VPN gateway F by the VPN route control unit 104.
  • FIG. 22 to FIG. H. H. H. H / H indicates the IP address of SaaS-H; I. I. I / I indicates the IP address of Cloud I.
  • both the traffic from the VPN terminal A to the SaaS-H and the traffic from the VPN terminal A to the cloud I pass through the backbone NW 10.
  • the quality improvement of inter-base communication is realized by the optimal combination of the Underlay NW and the Overlay NW using the Internet backbone or the Underlay NW platform of the carrier such as MPLS.
  • connection points PoPs
  • connection points closer to the base are automatically selected.
  • the security function and / or the WAN acceleration function etc. in the corresponding PoP it is possible to provide various added values such as secure Internet access and speed-up between PoPs.
  • the present technology makes it possible to maximize the carrier's Underlay NW foundation, and to provide a WAN NW for corporate users with higher quality and security than existing SD-WAN solutions.
  • a network control device that executes control on a system including a plurality of gateway devices connected to a predetermined network and a plurality of terminals, A selection unit that selects a first gateway apparatus used by a first terminal based on the quality between the first terminal and the plurality of gateway apparatuses; A tunnel construction unit that connects the first terminal and each other terminal using the first gateway device by a tunnel; When the second gateway apparatus used by the second terminal to which the first terminal communicates is the same as the first gateway apparatus, the first terminal to the second terminal If traffic passes through a tunnel between the first terminal and the second terminal, and the second gateway device is different from the first gateway device, the second terminal device receives the second terminal device from the first terminal device. And a route control unit for performing route control such that traffic to a terminal of the route passes through the predetermined network.
  • the GW automatic selection unit 102 is an example of the selection unit
  • the tunnel construction unit 103 is an example of the tunnel construction unit
  • the VPN path control unit 104 is an example of the path control unit.
  • (Section 2) A network control device that executes control on a system including a plurality of gateway devices connected to a predetermined network and a plurality of terminals, A selection unit that selects a first gateway apparatus used by a first terminal based on the quality between the first terminal and the plurality of gateway apparatuses; When the second gateway apparatus used by the second terminal to which the first terminal communicates is the same as the first gateway apparatus, the first terminal to the second terminal Traffic does not go through the predetermined network, If the second gateway device is different from the first gateway device, a first route passing through the predetermined network as a route of traffic from the first terminal to the second terminal, or Determining any of the second routes not passing through the predetermined network based on the quality of the first route and the quality of the second route, and from the first terminal to the second terminal Traffic goes through
  • the GW automatic selection unit 102 is an example of the selection unit
  • the VPN route control unit 104 and the VPN route calculation unit 106 are examples of the route control unit.
  • the network control device further includes a tunnel establishing unit that connects the first terminal and each of the other terminals using the first gateway device by a tunnel.
  • the path control unit is configured to use the first terminal according to the first gateway apparatus. The path control may be performed such that traffic to two terminals passes through the tunnel between the first terminal and the second terminal.
  • the selection unit selects, as the first gateway device, a gateway device with the best quality with the first terminal among the plurality of gateway devices.
  • the network control device as described.
  • the system includes an apparatus for providing an additional function, and the path control unit performs path control so that traffic from the first terminal passes through an apparatus for providing the additional function.
  • the network control device according to any one of the items 1 to 3.
  • a communication system comprising: the network control device according to any one of claims 1 to 4; the plurality of gateway devices connected to the predetermined network; and the plurality of terminals.
  • a network control method is executed by a network control device that executes control on a system including a plurality of gateway devices connected to a predetermined network and a plurality of terminals, Selecting the first gateway apparatus used by the first terminal based on the quality between the first terminal and the plurality of gateway apparatuses; A tunnel establishing step of establishing a tunnel connection between the first terminal and each other terminal using the first gateway device; When the second gateway apparatus used by the second terminal to which the first terminal communicates is the same as the first gateway apparatus, the first terminal to the second terminal If traffic passes through a tunnel between the first terminal and the second terminal, and the second gateway device is different from the first gateway device, the second terminal device receives the second terminal device from the first terminal device.
  • (Section 7) A program for causing a computer to function as each unit in the network control device according to any one of the items 1 to 4.
  • (Section 8) The computer-readable recording medium which recorded the program of Claim 7.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

所定のネットワークに接続された複数のゲートウェイ装置と、複数の端末とを備えるシステムに対する制御を実行するネットワーク制御装置において、第１の端末が使用する第１のゲートウェイ装置を、当該第１の端末と前記複数のゲートウェイ装置との間の品質に基づき選択する選択部と、前記第１の端末と、前記第１のゲートウェイ装置を使用する他の各端末との間をトンネルにより接続するトンネル構築部と、前記第１の端末の通信先となる第２の端末が使用する第２のゲートウェイ装置が、前記第１のゲートウェイ装置と同じである場合に、前記第１の端末から前記第２の端末へのトラフィックが前記第１の端末と前記第２の端末との間のトンネルを経由し、前記第２のゲートウェイ装置が、前記第１のゲートウェイ装置と異なる場合に、前記第１の端末から前記第２の端末へのトラフィックが前記所定のネットワークを経由するように経路制御を実行する経路制御部とを備える。

Description

ネットワーク制御装置、通信システム、ネットワーク制御方法、プログラム、及び記録媒体
　本発明は、ＳＤ－ＷＡＮ等のネットワークにおけるネットワーク制御技術に関連するものである。
　北米の大手金融／流通／小売り等の企業のＩＴ責任者を中心に立ち上げたＯＮＵＧ（Ｏｐｅｎ　Ｎｅｔｗｏｒｋｉｎｇ　Ｇｒｏｕｐ）という団体でＳＤ－ＷＡＮ（Ｓｏｆｔｗａｒｅ－ｄｅｆｉｎｅｄ　ＷＡＮ）の技術が提唱されてきた。従来のＷＡＮコストの削減、運用の簡略化、品質の向上等を狙い、多くの企業ユーザが市販のＳＤ－ＷＡＮソリューションを導入し始めた。ＳＤ－ＷＡＮの登場による企業ＷＡＮの変化も大きく見られる。
　まず、拠点間の通信が徐々にＭＰＬＳ網からインターネット網へオフロードしている。業務系トラフィックはＭＰＬＳ網を経由し、その他トラフィックはインターネット網を経由する構成はＤｅ　ｆａｃｔｏ　ｓｔａｎｄａｒｄになりつつある。一部の拠点はインターネットのみでの接続構成も増えている。
　次に、大手ソフトウェア会社や大手ｅコマース会社等により提供されるＰｕｂｌｉｃ　ｃｌｏｕｄへの接続も急増している。多くのＳＤ－ＷＡＮソリューションは仮想ＣＰＥ（ｃｕｓｔｏｍｅｒ　ｐｒｅｍｉｓｅｓ　ｅｑｕｉｐｍｅｎｔ）を用いて、拠点側の物理ＣＰＥと直接にＯｖｅｒｌａｙトンネルを構築することでＰｕｂｌｉｃ　ｃｌｏｕｄとの接続を実現している。また、ＳａａＳアクセスを中心としたＬｏｃａｌ　Ｉｎｔｅｒｎｅｔ　ｂｒｅａｋｏｕｔの利用も要望されている。
特開２００７－３２９５４９号公報
　しかし、既存のＳＤ－ＷＡＮは導入・運用に当たって、まだ多くの課題が存在している。その中で、例えばＩＤＣの調査により、特に、ＮＷの品質の課題が指摘されている。
　ＳＤ－ＷＡＮでは、インターネット上にＯｖｅｒｌａｙトンネルを構築し、Ｏｖｅｒｌａｙ経由のトラフィックが多くなる。そのため、例えば、ＩＳＰ間ルーティングによって、拠点間の遅延が予想以上大きくなったり、地域、ＩＳＰ、時間帯によって大きなパケットロスが発生したりする。更に、リモートデスクトップや、電話システム、ファイル共有等のアプリケーションの利用増によって、帯域に対する要望も高くなっている。
　本発明は上記の点に鑑みてなされたものであり、複数の拠点間をネットワーク接続する際に、接続する複数の拠点の配置に応じた接続方法を用いることで、複数の拠点間の品質を向上させる技術を提供することを目的とする。
　開示の技術によれば、所定のネットワークに接続された複数のゲートウェイ装置と、複数の端末とを備えるシステムに対する制御を実行するネットワーク制御装置であって、
　第１の端末が使用する第１のゲートウェイ装置を、当該第１の端末と前記複数のゲートウェイ装置との間の品質に基づき選択する選択部と、
　前記第１の端末と、前記第１のゲートウェイ装置を使用する他の各端末との間をトンネルにより接続するトンネル構築部と、
　前記第１の端末の通信先となる第２の端末が使用する第２のゲートウェイ装置が、前記第１のゲートウェイ装置と同じである場合に、前記第１の端末から前記第２の端末へのトラフィックが前記第１の端末と前記第２の端末との間のトンネルを経由し、前記第２のゲートウェイ装置が、前記第１のゲートウェイ装置と異なる場合に、前記第１の端末から前記第２の端末へのトラフィックが前記所定のネットワークを経由する、ように経路制御を実行する経路制御部と
　を備えることを特徴とするネットワーク制御装置が提供される。
　開示の技術によれば、複数の拠点間をネットワーク接続する際に、接続する複数の拠点の配置に応じた接続方法を用いることで、複数の拠点間の品質を向上させる技術が提供される。
第１の実施形態におけるシステムの構成図である。 ＶＰＮ端末の構成図である。 ＶＰＮゲートウェイの構成図である。 装置のハードウェア構成図である。 第１の実施形態におけるシステムの動作を説明するためのフローチャートである。 ＶＰＮ端末Ａに関するＧＷの品質データを示す図である。 ＶＰＮ端末Ａのルーティングテーブルを示す図である。 ＶＰＮゲートウェイＥのルーティングテーブルを示す図である。 ＶＰＮゲートウェイＦのルーティングテーブルを示す図である。 第２の実施形態におけるシステムの構成図である。 第２の実施形態におけるシステムの動作を説明するためのフローチャートである。 ＶＰＮ端末ＡとＶＰＮ端末Ｃ間の通信に関するＮＷ品質データ（バックボーンＮＷを経由する場合）を示す図である。 ＶＰＮ端末ＡとＶＰＮ端末Ｃ間の通信に関するＮＷ品質データ（バックボーンＮＷを経由しない場合）を示す図である。 第３の実施形態におけるシステムの構成図である。 第３の実施形態におけるシステムの動作を説明するためのフローチャートである。 ＶＰＮ端末Ａのルーティングテーブルを示す図である。 ＶＰＮゲートウェイＥのルーティングテーブルを示す図である。 第４の実施形態におけるシステムの構成図である。 第４の実施形態におけるシステムの動作を説明するためのフローチャートである。 ＶＰＮゲートウェイＥのルーティングテーブルを示す図である。 第５の実施形態におけるシステムの構成図である。 ＶＰＮ端末Ａのルーティングテーブルを示す図である。 ＶＰＮゲートウェイＥのルーティングテーブルを示す図である。 ＶＰＮゲートウェイＦのルーティングテーブルを示す図である。
　以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。
　以下、第１～第５の実施形態を説明する。以下の説明において、第１の実施形態の構成が基本構成であり、第２～第５の実施形態に係る構成は、それぞれその前までに説明した実施形態の構成に付加されるものである。ただし、第１～第５の実施形態をそれぞれ単独で実施してもよい。なお、以下では、付加機能を提供する装置の例として、セキュリティ機能を提供する装置、ＷＡＮ高速化機能を提供する装置、ＳａａＳ／クラウド接続するための閉域網を構成する装置等を説明しているが、これらは例であり、付加機能を提供する装置はこれらに限られない。例えば、ＦＥＣ（Ｆｏｒｗａｒｄｉｎｇ　Ｅｑｕｉｖａｌｅｎｃｅ　Ｃｌａｓｓ）機能を提供する装置が使用されてもよい。
　（第１の実施形態）
　　＜システム構成＞
　図１に第１の実施形態におけるシステム構成を示す。図１に示すように、第１の実施形態におけるシステムは、ＶＰＮ端末Ａ～Ｄ、ＶＰＮゲートウェイＥ、Ｆ、及びＮＷ制御装置１００を有する。ＶＰＮ端末Ａ～ＤはアクセスＮＷ２０、３０に接続される。また、ＶＰＮゲートウェイＥ、ＦはバックボーンＮＷ１０に接続される。当該システムにおいて、ＶＰＮ端末Ａ～Ｄ、ＶＰＮゲートウェイＥ、Ｆ、アクセスＮＷ２０、３０、バックボーンＮＷ１０は、ＳＤ－ＷＡＮ　ＮＷ基盤を構成している。なお、「ＶＰＮゲートウェイ」を略して「ＧＷ」と称する場合がある。また、「ＶＰＮゲートウェイ」を「ゲートウェイ装置」と称してもよい。
　図１において、各ＶＰＮ端末に割り当てられたＩＰアドレスが示されている。例えば、ＶＰＮ端末ＡのＩＰアドレスはＡ．Ａ．Ａ．Ａ／Ａである。各ＶＰＮ端末はＶＰＮを終端する装置として個々の拠点に設置することを想定する。各ＶＰＮ端末は、例えばＳＤ－ＷＡＮルータであり、ＣＰＥと呼ばれてもよい。本実施形態において、ＶＰＮ端末間及びＶＰＮ端末・ＧＷ間に構築されるＶＰＮの方式は特定の方式に限定されないが、例えばＩＰｓｅｃあるいはＤＴＬＳ等を用いたＶＰＮを使用することができる。ただし、ＶＰＮはそれらに限らない。
　各ＶＰＮゲートウェイは複数のＶＰＮ端末を収容するＳＤ－ＷＡＮルータ等の装置であり、主にキャリアの局舎に設定されることを想定する。ただし、ＶＰＮゲートウェイの設置場所はそれに限られない。ＶＰＮゲートウェイを、Ｃｌｏｕｄ事業者、あるいは企業のＨｕｂ拠点等に設定することとしてもよい。
　各ＶＰＮ端末は、ＶＰＮゲートウェイにアクセスＮＷを介して接続される。図１の例では、ＶＰＮ端末Ａ、ＢがＶＰＮゲートウェイＥにアクセスＮＷ２０を介して接続され、ＶＰＮ端末Ｃ、ＤがＶＰＮゲートウェイＦにアクセスＮＷ３０を介して接続されている。
　アクセスＮＷは、特定のＮＷに限定されないが、例えば、Ｉｎｔｅｒｎｅｔ、ＬＴＥ、ＭＰＬＳ等である。また、アクセスＮＷは一つでなく、複数種類のＮＷから構成されるＨｙｂｒｉｄ　ＮＷであってもよい。
　本実施形態における全てのＶＰＮゲートウェイＥ、Ｆは、バックボーンＮＷ１０によって接続される。バックボーンＮＷ１０は、ＩｎｔｅｒｎｅｔのバックボーンＮＷ、ＭＰＬＳ網等の高品質なＮＷである。ただし、これらに限定されない。また、バックボーンＮＷ１０をＵｎｄｅｒｌａｙのバックボーンＮＷと称してもよい。また、各ＶＰＮ端末は、他のＶＰＮ端末とＩｎｔｅｒｎｅｔ、ＬＴＥ、ＭＰＬＳ等のネットワークを介して通信可能である。
　ＮＷ制御装置１００は、制御ネットワーク等により、各ＶＰＮゲートウェイ及び各ＶＰＮ端末と通信可能である。図１には、例として、ＮＷ制御装置１００がＶＰＮ端末Ａ及びＶＰＮゲートウェイＥと接続されていることが示されているが、ＮＷ制御装置１００は、他のＶＰＮ端末及びＶＰＮゲートウェイとも接続される。
　図１に示すとおり、ＮＷ制御装置１００は、ＧＷ品質収集部１０１、ＧＷ自動選択部１０２、トンネル構築部１０３、ＶＰＮ経路制御部１０４を有する。
　ＧＷ品質収集部１０１は、主にＶＰＮ端末とＶＰＮゲートウェイ間のアクセスＮＷの品質を収集する機能部である。ＧＷ品質収集部１０１は、ＶＰＮ端末とＶＰＮゲートウェイ間の品質データとして例えば遅延値を収集するが、それに限らない。パスロス、パケットロス、ジッタ、又は帯域等のデータを収集してもよい。
　ＧＷ自動選択部１０２は、特定のＶＰＮ端末がどのＶＰＮゲートウェイと接続するかを判断する機能部である。本実施形態では、ＧＷ自動選択部１０２は、ＧＷ品質収集部１０１により収集した品質データに基づいて、ＶＰＮ端末との間の通信の品質が最も良いＶＰＮゲートウェイを選択する。一例として、ＧＷ自動選択部１０２は、遅延値を分析して、遅延の最も小さいＶＰＮゲートウェイを選択する。すなわち、ＧＷ自動選択部１０２は、ＶＰＮ端末に最も近いと考えられるＶＰＮゲートウェイを選択する。
　トンネル構築部１０３は、該当ＶＰＮ端末と、ＧＷ自動選択部１０２により選択された接続先のＶＰＮゲートウェイとの間のＯｖｅｒｌａｙトンネル等を構築する機能部である。一例として、トンネル構築部１０３は、該当ＶＰＮ端末に対し、ＧＷ自動選択部１０２により選択された接続先のＶＰＮゲートウェイの識別情報（例：ＩＰアドレス）を通知し、通知を受けたＶＰＮ端末が当該ＶＰＮゲートウェイにアクセスすることで当該ＶＰＮ端末と当該ＶＰＮゲートウェイとの間にＯｖｅｒｌａｙトンネルが構築される。ただし、これは例であり、いかなる方法でＯｖｅｒｌａｙトンネルを構築してもよい。トンネル構築部１０３は、ＶＰＮ端末間のＯｖｅｒｌａｙトンネルを構築する機能も有する。
　ＶＰＮ経路制御部１０４は、ＶＰＮ端末間の通信を、例えば、選択されたＶＰＮゲートウェイ、バックボーンＮＷ、対向側のＶＰＮゲートウェイ、宛先ＶＰＮ端末の順に経由させるように経路を制御する。具体的には、ＶＰＮ経路制御部１０４は、各装置にルーティングテーブルを投入することで経路制御を実行する。
　図２は、本実施形態における各ＶＰＮ端末として使用されるＶＰＮ端末２００の機能構成図である。図２に示すように、ＶＰＮ端末２００は、通信部２１０、方路決定部２２０、データ格納部２３０を有する。通信部２１０は、入力されたパケットを、方路決定部２２０により決定された方路に向けて送出する機能を有する。方路決定部２２０は、パケットの宛先ＩＰアドレスと、ルーティングテーブル等に基づいて、パケットの送出方路を決定する機能を有する。データ格納部２３０は、ＮＷ制御装置１００からルーティングテーブルを受信し、格納する。
　図３は、本実施形態における各ＶＰＮゲートウェイとして使用されるＶＰＮゲートウェイ３００の機能構成図である。図３に示すように、ＶＰＮゲートウェイ３００は、通信部３１０、方路決定部３２０、データ格納部３３０を有する。通信部３１０は、入力されたパケットを、方路決定部３２０により決定された方路に向けて送出する機能を有する。方路決定部３２０は、パケットの宛先ＩＰアドレスと、ルーティングテーブル等に基づいて、パケットの送出方路を決定する機能を有する。データ格納部３３０は、ＮＷ制御装置１００からルーティングテーブルを受信し、格納する。
　上述した各装置（ＮＷ制御装置１００、ＶＰＮ端末２００、ＶＰＮゲートウェイ３００）はいずれも、コンピュータに、本実施形態（第２～第５の実施形態でも同様）で説明する処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、当該装置が有する機能は、コンピュータに内蔵されるＣＰＵやメモリ等のハードウェア資源を用いて、当該装置で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。
　図４は、上記装置のハードウェア構成例を示す図である。図４の装置は、それぞれバスＢで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、及び入力装置１００７等を有する。なお、上述した各装置（ＮＷ制御装置１００、ＶＰＮ端末２００、ＶＰＮゲートウェイ３００）において、表示装置１００６及び入力装置１００７を備えないこととしてもよい。
　当該装置での処理を実現するプログラムは、例えば、ＣＤ－ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
　メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って当該装置に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１００６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ　Ｕｓｅｒ　Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。
　＜システムの動作＞
　以下、図１に示した本実施形態におけるシステムの動作例について、図５のフローチャートの手順に沿って説明する。
　ＶＰＮ端末ＡがアクセスＮＷに接続すると、ＧＷ品質収集部１０１がＶＰＮ端末Ａと、接続可能な全てのＶＰＮゲートウェイのそれぞれとの間のアクセスＮＷの品質データを収集し始める（Ｓ１０１）。例えば、ＶＰＮ端末Ａが、ＶＰＮゲートウェイにパケットを送信し、応答を受信することで品質データを取得し、それをＧＷ品質収集部１０１に報告することとしてもよいし、ＶＰＮゲートウェイが品質データを取得して、それをＧＷ品質収集部１０１に報告することとしてもよいし、その他の方法を採用してもよい。
　ＧＷ品質収集部１０１は、収集した品質データを例えば図６に示す内部データ構造でメモリ等に保持する。図６に示す例では、ＶＰＮ端末ＡとＶＰＮゲートウェイＥ、Ｆ間の遅延値が示されている。なお、品質データとして遅延値を測定、保持することは一例である。例えば、品質データとして、パスロス、ジッタ、あるいはパケットロスを測定、保持してもよい。また、複数種類の品質データ（例：遅延、パスロス、ジッタ、及びパケットロス）を測定、保持してもよい。
　次に、ＧＷ自動選択部１０２が、ＧＷ品質収集部１０１により収集された品質データに基づいて、ＶＰＮ端末Ａの接続先のＧＷとして最適なＧＷを選択する（Ｓ１０２）。選択基準として、該当ＶＰＮ端末Ａとの間のアクセスＮＷの品質が最良のＶＰＮゲートウェイが選ばれる。図６に示した品質データの場合、ＶＰＮゲートウェイＥがＶＰＮ端末Ａとの間の遅延が最も小さいため、最適なＧＷとして選択される。なお、ここでは、品質として遅延を使用しているため、品質が最良のＧＷとして遅延が最も小さいＧＷを選択している。ただし、これは一例に過ぎない。例えば、品質としてパスロスを使用する場合には、ＧＷ自動選択部１０２は、品質が最良のＧＷとしてパスロスが最も小さいＧＷを選択し、品質としてパケットロスを使用する場合には、ＧＷ自動選択部１０２は、品質が最良のＧＷとしてパケットロスが最も小さいＧＷを選択し、品質としてジッタを使用する場合には、ＧＷ自動選択部１０２は、品質が最良のＧＷとしてジッタが最も小さいＧＷを選択する。なお、上記の例はいずれも、品質として、値が小さいほど良い品質となるものを使用している。品質として、値が大きいほど良い品質となるものを使用する場合には、ＧＷ自動選択部１０２は、品質が最良のＧＷとして当該品質が最も大きいＧＷを選択する。
　また、複数種類の品質を使用する場合には、例えば、ＧＷ自動選択部１０２は、品質が最良のＧＷとして、各品質を重み付け加算した値が最も小さい（あるいは最も大きい）ＧＷを選択することとしてもよい。例えば３種類の品質を使用する場合において、当該３種類の品質の値をＱ１、Ｑ２、Ｑ３とし、各品質に乗算する重みをＷ１、Ｗ２、Ｗ３とした場合において、各品質を重み付け加算した値は、「Ｗ１×Ｑ１＋Ｗ２×Ｑ２＋Ｗ３×Ｑ３」となる。
　ＧＷ自動選択部１０２によりＧＷが選択されると、トンネル構築部１０３が該当ＶＰＮ端末Ａと、選択されたＧＷ（ここではＶＰＮゲートウェイＥ）との間にＯｖｅｒｌａｙトンネルを構築する（Ｓ１０３）。Ｏｖｅｒｌａｙトンネルとして、ＩＰｓｅｃや、ＤＴＬＳ等様々な既存技術を利用したトンネルを構築可能である。なお、ＶＰＮ端末Ａと、選択されたＧＷとの間を、Ｏｖｅｒｌａｙトンネル以外の方式のコネクションで接続することとしてもよい。Ｏｖｅｒｌａｙトンネルをトンネルと称してもよい。
　続いて、トンネル構築部１０３は、ＶＰＮ端末Ａと、選択されたＧＷ（ここではＶＰＮゲートウェイＥ）配下（つまり、ＶＰＮゲートウェイＥとトンネル接続された）他のＶＰＮ端末との間にもＯｖｅｒｌａｙトンネルを構築する（Ｓ１０４）。なお、ＶＰＮ端末Ａと、他のＶＰＮ端末との間を、Ｏｖｅｒｌａｙトンネル以外の方式のコネクションで接続することとしてもよい。
　続いて、ＶＰＮ経路制御部１０４がＶＰＮ内の経路制御を実施する（Ｓ１０５）。経路制御において、同一ＧＷ配下のＶＰＮ端末間の通信の場合、ＶＰＮ経路制御部１０４は、当該ＶＰＮ端末間のＯｖｅｒｌａｙトンネルを経由させるように経路を制御する。一方、異なるＧＷ配下のＶＰＮ端末間通信の場合、ＶＰＮ経路制御部１０４は、バックボーンＮＷ１０を経由させるように経路を制御する。経路制御は、ＶＰＮ経路制御部１０４が該当装置に対してルーティングテーブルを設定することにより行われる。
　図７は、ＶＰＮ端末Ａに設定されたルーティングテーブルの例を示す。図７に示すルーティングテーブルにより、例えば宛先がＣ．Ｃ．Ｃ．Ｃ／ＣのパケットはＶＰＮゲートウェイＥに転送される。また、同一ＧＷ配下のＶＰＮ端末ＢのＩＰアドレスＢ．Ｂ．Ｂ．Ｂ／を宛先とするパケットは、トンネル経由でＶＰＮ端末Ｂに転送される。
　図８は、ＶＰＮゲートウェイＥに設定されたルーティングテーブルの例を示す。図８に示すルーティングテーブルにより、例えば宛先がＣ．Ｃ．Ｃ．Ｃ／Ｃのパケットは、ＶＰＮゲートウェイＦに転送される。
　図９は、ＶＰＮゲートウェイＦに設定されたルーティングテーブルの例を示す。図９に示すルーティングテーブルにより、例えば宛先がＣ．Ｃ．Ｃ．Ｃ／Ｃのパケットは、ＶＰＮ端末Ｃに転送される。
　図７～図９に示すルーティングテーブルの設定によって、ＶＰＮ端末ＡからＶＰＮ端末Ｃへの通信はＶＰＮゲートウェイＥとＦを経由させた通信になる。なお、本実施形態（他の実施形態でも同様）では、ＶＰＮ端末Ａから送出されるトラフィックに着目した説明を行っているが、ＶＰＮ端末Ａが受信する方向のトラフィックについても同様の制御が可能である。
　（第２の実施形態）
　次に、第２の実施形態を説明する。第２の実施形態は、第１の実施形態に対し、動的ＶＰＮ経路制御機能が追加された実施形態である。以下、第１の実施形態に対して追加された構成及び動作を主に説明する。
　図１０に示すように、ＳＤ－ＷＡＮ　ＮＷ基盤において、アクセスＮＷ間を繋ぐためのインターネット網あるいはＭＰＬＳ網（図中のインターネット／ＭＰＬＳ４０）が追加される。
　また、ＮＷ制御装置１００に、ＮＷ品質収集部１０５、ＶＰＮ経路計算部１０６が追加される。また、トンネル構築部１０３、ＶＰＮ経路制御部１０４は、第１の実施形態には無かった動作を実行する。なお、図１０のＮＷ制御装置１００は、本実施形態の動作説明に登場する機能部のみを示している。
　図１１のフローチャートの手順に沿って、第２の実施形態におけるシステムの動作例を説明する。ここでは、前提として、第１の実施形態で説明したＧＷ選択、ＶＰＮ端末とＧＷ間のトンネル構築、同一ＧＷ配下のＶＰＮ端末間のトンネル構築は完了しているものとする。
　第２の実施形態では、動的ＶＰＮ経路制御を実施するために、ＶＰＮ端末と対向ＶＰＮ端末とが異なるＧＷ配下にあっても、トンネル構築部１０３は、該当ＶＰＮ端末と、対向ＶＰＮ端末間にＯｖｅｒｌａｙトンネルを構築する（Ｓ２０１）。なお、ＶＰＮ端末と、対向ＶＰＮ端末との間を、Ｏｖｅｒｌａｙトンネル以外の方式のコネクションで接続することとしてもよい。
　図１０には、ＶＰＮ端末ＡとＶＰＮ端末Ｃとの間にＯｖｅｒｌａｙトンネルが構築されたことが示されている。
　また、ＮＷ品質収集部１０５は、エンド・ツー・エンド（本例ではＶＰＮ端末ＡとＶＰＮ端末Ｃとの間）のＮＷ品質データを収集する（Ｓ２０２）。ＮＷ品質収集部１０５は、バックボーンＮＷ１０を経由する場合のＮＷ品質データと、バックボーンＮＷ１０を経由しない場合のＮＷ品質データの２種類のＮＷ品質データを収集する。
　図１２、図１３は、ＮＷ品質収集部１０５により収集され、保持されるＮＷ品質データの一例を示す。
　図１２は、バックボーンＮＷ１０を経由する場合におけるＶＰＮ端末ＡとＶＰＮ端末Ｃとの間の通信に関するＮＷ品質データ（本例では遅延値）を示す。図１３は、バックボーンＮＷ１０を経由しない場合におけるＶＰＮ端末ＡとＶＰＮ端末Ｃとの間の通信に関するＮＷ品質データを示す。なお、ＮＷ品質データとして遅延値を収集することは一例に過ぎず、その他の値を収集してもよい。
　図１２に示すように、バックボーンＮＷ１０を経由する場合、ＶＰＮ端末ＡとＶＰＮ端末Ｃ間の通信に関するＮＷ品質データとして、ＶＰＮ端末ＡとＶＰＮゲートウェイＥとの間の品質データ、ＶＰＮゲートウェイＥとＶＰＮゲートウェイＦとの間の品質データ、ＶＰＮゲートウェイＦとＶＰＮ端末Ｃとの間の品質データが収集され、ＮＷ品質収集部１０５に保持される。
　一方、図１３に示すように、バックボーンＮＷ１０を経由しない場合、ＶＰＮ端末ＡとＶＰＮ端末Ｃとの間のＯｖｅｒｌａｙ　ＮＷの品質データのみが収集され、ＮＷ品質収集部１０５に保持される。
　次に、ＮＷ品質収集部１０５により収集されたＮＷ品質データに基づいて、ＶＰＮ経路計算部１０６が、ＶＰＮ端末ＡとＶＰＮ端末Ｃとの間の通信に関し、バックボーンＮＷ１０を経由した方がよいか、直接にＶＰＮ端末間Ｏｖｅｒｌａｙトンネルを経由したほうが良いかを判定する（Ｓ２０３）。
　図１２、図１３に示したＮＷ品質データが得られた場合、「１０ｍｓ＋１００ｍｓ＋２０ｍｓ（バックボーンＮＷ１０経由する場合）＞１００ｍｓ（バックボーンＮＷ１０経由しない場合）」が成り立つ。つまり、バックボーンＮＷ１０を経由する場合のほうが、バックボーンＮＷ１０を経由しない場合よりも遅延が大きくなる。よって、ＶＰＮ経路計算部１０６は、直接にＶＰＮ端末ＡとＶＰＮ端末Ｃとを接続したほうがよいと判断し、ＶＰＮ端末ＡとＶＰＮ端末Ｃとを直接に接続する経路（トンネルの経路）を選択する。
　ＶＰＮ経路制御部１０４は、上記の判定結果に基づいて、ＶＰＮ経路制御を実施する（Ｓ２０４）。具体的には、ＶＰＮ端末Ａに対し、宛先がＣ．Ｃ．Ｃ．Ｃ／ＣであるパケットのＮｅｘｔ－ｈｏｐをＶＰＮ端末Ｃとしたエントリを含むルーティングテーブルが設定される。
　（第３の実施形態）
　次に、第３の実施形態を説明する。従来の企業ＷＡＮ等において、セキュリティの課題が指摘されている。これまでの企業ＷＡＮのインターネットへの出口はＨｕｂ拠点に設けられているため、ブランチ拠点側のセキュリティ対策はほとんど考慮されていない。一方、様々な外部からの攻撃が増えていく傾向も予想されている。本実施形態により、このようなセキュリティの課題が解決される。
　第３の実施形態は、第１の実施形態あるいは第２の実施形態に対し、セキュリティ機能がＰｏＰ（Ｐｏｉｎｔ　ｏｆ　Ｐｒｅｓｅｎｃｅ）側に追加された実施形態である。以下、第１の実施形態あるいは第２の実施形態に対して追加された構成及び動作を主に説明する。なお、"ＰｏＰ側"は、"ＶＰＮゲートウェイ側"と言い換えてもよい。
　図１４に示すように、ＶＰＮゲートウェイＥとインターネット５０との間にセキュリティ機能Ｇが追加される。なお、セキュリティ機能は、全てのＶＰＮゲートウェイに追加されてもよいし、一部のＶＰＮゲートウェイのみに追加されることとしてもよい。
　また、ＮＷ制御装置１００に、セキュリティポリシー設定部１０７が追加される。ＶＰＮ経路制御部１０４は、第１の実施形態あるいは第２の実施形態には無かった動作を実行する。なお、図１４のＮＷ制御装置１００は、本実施形態の動作説明に登場する機能部のみを示している。
　セキュリティ機能Ｇは、特定のものに限定されないが、例えば市販のＦＷ、Ｐｒｏｘｙ、Ａｎｔｉ－Ｖｉｒｕｓ等の機能を有する装置、あるいは、カスタマイズされている特殊なセキュリティ機能を有する装置等である。なお、セキュリティ機能Ｇは、ＶＰＮゲートウェイＥ内の機能部であってもよい。
　図１５のフローチャートの手順に沿って、第３の実施形態におけるシステムの動作例を説明する。
　セキュアなインターネットアクセスを実現するために、エンド・ユーザがセキュリティポリシー設定部１０７を介して、必要なセキュリティポリシーをセキュリティ機能Ｇに設定する（Ｓ３０１）。セキュリティポリシーとして例えば、ＦＷルールや、ＵＲＬ　ＦｉｌｔｅｒのＢｌａｃｋｌｉｓｔ等があるが、それらに限定されるわけではなく、いかなるセキュリティに関するポリシーを設定してもよい。
　その後、ＶＰＮ経路制御部１０４が、インターネット５０向けのトラフィックがＶＰＮゲートウェイＥとセキュリティ機能Ｇを経由するようにＶＰＮ経路を制御する（Ｓ３０２）。
　図１６は、ＶＰＮ経路制御部１０４がＶＰＮ端末Ａに設定したルーティングテーブルの一例を示し、図１７は、ＶＰＮ経路制御部１０４がＶＰＮゲートウェイＥに設定したルーティングテーブルの一例を示す。図１６、図１７において、宛先が０．０．０．０／０のパケットは、インターネット５０向けのパケットであることを示す。
　図１６、図１７の経路設定によって、ＶＰＮ端末Ａからインターネット５０に抜けるトラフィックがＶＰＮゲートウェイＥ、及びセキュリティ機能Ｇを経由することになる。
　（第４の実施形態）
　次に、第４の実施形態を説明する。第４の実施形態は、第１の実施形態、第２の実施形態、又は第３の実施形態に対し、ＷＡＮ高速化機能が追加された実施形態である。以下、第１の実施形態、第２の実施形態、又は第３の実施形態に対して追加された構成及び動作を主に説明する。
　図１８に示すように、ＶＰＮゲートウェイＥとバックボーンＮＷ１０との間にＷＡＮ高速化機能Ｊが追加され、ＶＰＮゲートウェイＦとバックボーンＮＷ１０との間にＷＡＮ高速化機能Ｋが追加される。なお、ＷＡＮ高速化機能は、全てのＶＰＮゲートウェイに追加されてもよいし、一部のＶＰＮゲートウェイのみに追加されることとしてもよい。
　また、ＮＷ制御装置１００に、ＷＡＮ高速化制御部１０８が追加される。ＶＰＮ経路制御部１０４は、第１の実施形態、第２の実施形態、又は第３の実施形態には無かった動作を実行する。なお、図１８のＮＷ制御装置１００は、本実施形態の動作説明に登場する機能部のみを示している。
　ＷＡＮ高速化機能Ｊ、Ｋとして、例えば、市販のＷＡＮ高速化装置を使用することができる。また、カスタマイズされている特殊なＷＡＮ高速化機能を有する装置を用いてもよい。
　図１９のフローチャートの手順に沿って、第４の実施形態におけるシステムの動作例を説明する。
　ＶＰＮゲートウェイＥ、Ｆ間の通信を更に高速化させるため、エンド・ユーザがＷＡＮ高速化制御部１０８を介して、必要な高速化ポリシーをＷＡＮ高速化機能Ｊ（及び／又はＷＡＮ高速化機能Ｋ）に設定する（Ｓ４０１）。高速化ポリシーとして、例えば、ピアとなる対向装置のＩＰアドレス、キャッシュのサイズ、プロトコル種類等があるが、それらに限定されず、全てのＷＡＮ高速化に関するポリシーが設定の対象となる。
　その後、ＶＰＮ経路制御部１０４が、バックボーンＮＷ１０経由のトラフィックがＷＡＮ高速化機能Ｊを経由するようにＶＰＮ経路を制御する（Ｓ４０２）。
　図２０は、ＶＰＮ経路制御部１０４が、ＶＰＮゲートウェイＥに設定したルーティングテーブルの一例である。図２０の経路設定によって、ＶＰＮ端末ＡとＶＰＮ端末Ｃとの間のトラフィックがＷＡＮ高速化機能Ｊを経由することになる。
　（第５の実施形態）
　次に、第５の実施形態を説明する。第５の実施形態は、第１の実施形態、第２の実施形態、第３の実施形態、又は第４の実施形態に対し、ＳａａＳあるいはクラウドへのアクセスを高速化するための構成が追加された実施形態である。以下、第１の実施形態、第２の実施形態、第３の実施形態、又は第４の実施形態に対して追加された構成及び動作を主に説明する。
　図２１に示すとおり、ＶＰＮゲートウェイＦの配下に、ＶＰＮゲートウェイＦとＳａａＳ－Ｈ及びクラウドＩとが閉域接続を行うための閉域網６０が接続される。なお、閉域網６０は、ＶＰＮゲートウェイＦに接続されるアクセスＮＷ３０に追加で接続されてもよいし、アクセスＮＷ３０に代えて接続されてもよい。また、ＳａａＳ‐ＨあるいはクラウドＩ等を接続する閉域網をＤｉｒｅｃｔ　Ｃｏｎｎｅｃｔ網と称してもよい。当該閉域網６０は、例えば、ＶＬＡＮや、ＭＰＬＳ等のネットワークを構成する伝送装置等の既存技術に係る装置で実現される。
　本実施形態において、ＶＰＮ端末ＡとＳａａＳ‐Ｈ／クラウドＩとの間の通信を高速化するために、ＶＰＮ経路制御部１０４がＶＰＮ端末ＡとＳａａＳ‐Ｈ又はクラウドＩ間の通信をバックボーンＮＷ１０に経由させるように経路を制御する。
　図２２は、ＶＰＮ経路制御部１０４が、ＶＰＮ端末Ａに設定したルーティングテーブルの一例である。図２３は、ＶＰＮ経路制御部１０４が、ＶＰＮゲートウェイＥに設定したルーティングテーブルの一例である。図２４は、ＶＰＮ経路制御部１０４が、ＶＰＮゲートウェイＦに設定したルーティングテーブルの一例である。図２２～図２４において、Ｈ．Ｈ．Ｈ．Ｈ／ＨはＳａａＳ‐ＨのＩＰアドレスを示し、Ｉ．Ｉ．Ｉ．Ｉ／ＩはクラウドＩのＩＰアドレスを示す。
　図２２～図２４の経路設定によって、ＶＰＮ端末ＡからＳａａＳ‐Ｈへのトラフィック、及び、ＶＰＮ端末ＡからクラウドＩへのトラフィックのいずれもバックボーンＮＷ１０を経由することになる。
　（実施の形態の効果等）
　以上、本明細書で説明した技術では、インターネットバックボーン、あるいはＭＰＬＳ等のキャリアのＵｎｄｅｒｌａｙ　ＮＷ基盤を利用し、Ｕｎｄｅｒｌａｙ　ＮＷとＯｖｅｒｌａｙ　ＮＷの最適な組合せにより、拠点間通信の品質向上を実現する。
　そこで、上述したＵｎｄｅｒｌａｙ　ＮＷを最大限利用するために、より拠点に近い接続ポイント（ＰｏＰ）を自動的に選択することとしている。更に、該当ＰｏＰにおいてセキュリティ機能、及び／又はＷＡＮ高速化機能等と連動し、セキュアなインターネットアクセスや、ＰｏＰ間の高速化等様々な付加価値を提供できる。
　また、閉域網（Ｄｉｒｅｃｔ　ｃｏｎｎｅｃｔ等）を含む各種クラウド／ＳａａＳとのＵｎｄｅｒｌａｙでの接続を利用し、拠点とクラウド間、及び拠点とＳａａＳ間の通信の品質を向上させることができる。
　すなわち、本技術により、キャリアのＵｎｄｅｒｌａｙ　ＮＷ基盤を最大限利用し、既存ＳＤ－ＷＡＮソリューションよりも、高品質、かつセキュアな企業ユーザ向けのＷＡＮ　ＮＷを提供することが可能となる。
　（実施の形態のまとめ）
　本明細書には以下の技術が開示されている。
　（第１項）
　所定のネットワークに接続された複数のゲートウェイ装置と、複数の端末とを備えるシステムに対する制御を実行するネットワーク制御装置であって、
　第１の端末が使用する第１のゲートウェイ装置を、当該第１の端末と前記複数のゲートウェイ装置との間の品質に基づき選択する選択部と、
　前記第１の端末と、前記第１のゲートウェイ装置を使用する他の各端末との間をトンネルにより接続するトンネル構築部と、
　前記第１の端末の通信先となる第２の端末が使用する第２のゲートウェイ装置が、前記第１のゲートウェイ装置と同じである場合に、前記第１の端末から前記第２の端末へのトラフィックが前記第１の端末と前記第２の端末との間のトンネルを経由し、前記第２のゲートウェイ装置が、前記第１のゲートウェイ装置と異なる場合に、前記第１の端末から前記第２の端末へのトラフィックが前記所定のネットワークを経由する、ように経路制御を実行する経路制御部と
　を備えることを特徴とするネットワーク制御装置。
　なお、ＧＷ自動選択部１０２は上記選択部の例であり、トンネル構築部１０３は上記トンネル構築部の例であり、ＶＰＮ経路制御部１０４は上記経路制御部の例である。
（第２項）
　所定のネットワークに接続された複数のゲートウェイ装置と、複数の端末とを備えるシステムに対する制御を実行するネットワーク制御装置であって、
　第１の端末が使用する第１のゲートウェイ装置を、当該第１の端末と前記複数のゲートウェイ装置との間の品質に基づき選択する選択部と、
　前記第１の端末の通信先となる第２の端末が使用する第２のゲートウェイ装置が、前記第１のゲートウェイ装置と同じである場合に、前記第１の端末から前記第２の端末へのトラフィックが前記所定のネットワークを経由せず、
　前記第２のゲートウェイ装置が、前記第１のゲートウェイ装置と異なる場合に、前記第１の端末から前記第２の端末へのトラフィックの経路として、前記所定のネットワークを経由する第１の経路、又は、当該所定のネットワークを経由しない第２の経路のいずれかを、当該第１の経路の品質及び当該第２の経路の品質に基づき決定し、前記第１の端末から前記第２の端末へのトラフィックが、当該決定した経路を経由する、
　ように経路制御を実行する経路制御部と
　を備えることを特徴とするネットワーク制御装置。
　なお、ＧＷ自動選択部１０２は上記選択部の例であり、ＶＰＮ経路制御部１０４及びＶＰＮ経路計算部１０６は上記経路制御部の例である。また、上記第２項の構成において、ネットワーク制御装置は、前記第１の端末と、前記第１のゲートウェイ装置を使用する他の各端末との間をトンネルにより接続するトンネル構築部を更に備え、経路制御部は、前記第１の端末の通信先となる第２の端末が使用する第２のゲートウェイ装置が、前記第１のゲートウェイ装置と同じである場合に、前記第１の端末から前記第２の端末へのトラフィックが前記第１の端末と前記第２の端末との間の前記トンネルを経由するように経路制御を行ってもよい。
（第３項）
　前記選択部は、前記複数のゲートウェイ装置のうち、前記第１の端末との品質が最良となるゲートウェイ装置を前記第１のゲートウェイ装置として選択する
　ことを特徴とする第１項又は第２項に記載のネットワーク制御装置。
（第４項）
　前記システムは付加機能を提供する装置を備え、前記経路制御部は、前記第１の端末からのトラフィックが当該付加機能を提供する装置を経由するように経路制御を実行する
　ことを特徴とする第１項ないし第３項のうちいずれか１項に記載のネットワーク制御装置。
（第５項）
　第１項ないし第４項のうちいずれか１項に記載のネットワーク制御装置と、前記所定のネットワークに接続された前記複数のゲートウェイ装置と、前記複数の端末とを備える通信システム。
（第６項）
　所定のネットワークに接続された複数のゲートウェイ装置と、複数の端末とを備えるシステムに対する制御を実行するネットワーク制御装置が実行するネットワーク制御方法であって、
　第１の端末が使用する第１のゲートウェイ装置を、当該第１の端末と前記複数のゲートウェイ装置との間の品質に基づき選択する選択ステップと、
　前記第１の端末と、前記第１のゲートウェイ装置を使用する他の各端末との間をトンネルにより接続するトンネル構築ステップと、
　前記第１の端末の通信先となる第２の端末が使用する第２のゲートウェイ装置が、前記第１のゲートウェイ装置と同じである場合に、前記第１の端末から前記第２の端末へのトラフィックが前記第１の端末と前記第２の端末との間のトンネルを経由し、前記第２のゲートウェイ装置が、前記第１のゲートウェイ装置と異なる場合に、前記第１の端末から前記第２の端末へのトラフィックが前記所定のネットワークを経由する、ように経路制御を実行する経路制御ステップと
　を備えることを特徴とするネットワーク制御方法。
（第７項）
　コンピュータを、第１項ないし第４項のうちいずれか１項に記載のネットワーク制御装置における各部として機能させるためのプログラム。
（第８項）
　第７項に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
　以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
１０　バックボーンＮＷ
２０、３０　アクセスＮＷ
４０　インターネット／ＭＰＬＳ
５０　インターネット
６０　閉域網
１００　ＮＷ制御装置
１０１　ＧＷ品質収集部
１０２　ＧＷ自動選択部
１０３　トンネル構築部
１０４　ＶＰＮ経路制御部
１０５　ＮＷ品質収集部
１０６　ＶＰＮ経路計算部
１０７　セキュリティポリシー設定部
１０８　ＷＡＮ高速化制御部
２００、Ａ～Ｄ　ＶＰＮ端末
２１０　通信部
２２０　方路決定部
２３０　データ格納部
３００、Ｅ、Ｆ　ＶＰＮゲートウェイ
３１０　通信部
３２０　方路決定部
３３０　データ格納部
Ｈ　ＳａａＳ
Ｉ　クラウド
Ｊ、Ｋ　ＷＡＮ高速化機能
Ｇ　セキュリティ機能
１０００　ドライブ装置
１００１　記録媒体
１００２　補助記憶装置
１００３　メモリ装置
１００４　ＣＰＵ
１００５　インタフェース装置
１００６　表示装置
１００７　入力装置

Claims (8)

  1. 　所定のネットワークに接続された複数のゲートウェイ装置と、複数の端末とを備えるシステムに対する制御を実行するネットワーク制御装置であって、
    　第１の端末が使用する第１のゲートウェイ装置を、当該第１の端末と前記複数のゲートウェイ装置との間の品質に基づき選択する選択部と、
    　前記第１の端末と、前記第１のゲートウェイ装置を使用する他の各端末との間をトンネルにより接続するトンネル構築部と、
    　前記第１の端末の通信先となる第２の端末が使用する第２のゲートウェイ装置が、前記第１のゲートウェイ装置と同じである場合に、前記第１の端末から前記第２の端末へのトラフィックが前記第１の端末と前記第２の端末との間のトンネルを経由し、前記第２のゲートウェイ装置が、前記第１のゲートウェイ装置と異なる場合に、前記第１の端末から前記第２の端末へのトラフィックが前記所定のネットワークを経由する、ように経路制御を実行する経路制御部と
    　を備えることを特徴とするネットワーク制御装置。
  2. 　所定のネットワークに接続された複数のゲートウェイ装置と、複数の端末とを備えるシステムに対する制御を実行するネットワーク制御装置であって、
    　第１の端末が使用する第１のゲートウェイ装置を、当該第１の端末と前記複数のゲートウェイ装置との間の品質に基づき選択する選択部と、
    　前記第１の端末の通信先となる第２の端末が使用する第２のゲートウェイ装置が、前記第１のゲートウェイ装置と同じである場合に、前記第１の端末から前記第２の端末へのトラフィックが前記所定のネットワークを経由せず、
    　前記第２のゲートウェイ装置が、前記第１のゲートウェイ装置と異なる場合に、前記第１の端末から前記第２の端末へのトラフィックの経路として、前記所定のネットワークを経由する第１の経路、又は、当該所定のネットワークを経由しない第２の経路のいずれかを、当該第１の経路の品質及び当該第２の経路の品質に基づき決定し、前記第１の端末から前記第２の端末へのトラフィックが、当該決定した経路を経由する、
    　ように経路制御を実行する経路制御部と
    　を備えることを特徴とするネットワーク制御装置。
  3. 　前記選択部は、前記複数のゲートウェイ装置のうち、前記第１の端末との品質が最良となるゲートウェイ装置を前記第１のゲートウェイ装置として選択する
    　ことを特徴とする請求項１又は２に記載のネットワーク制御装置。
  4. 　前記システムは付加機能を提供する装置を備え、前記経路制御部は、前記第１の端末からのトラフィックが当該付加機能を提供する装置を経由するように経路制御を実行する
    　ことを特徴とする請求項１ないし３のうちいずれか１項に記載のネットワーク制御装置。
  5. 　請求項１ないし４のうちいずれか１項に記載のネットワーク制御装置と、前記所定のネットワークに接続された前記複数のゲートウェイ装置と、前記複数の端末とを備える通信システム。
  6. 　所定のネットワークに接続された複数のゲートウェイ装置と、複数の端末とを備えるシステムに対する制御を実行するネットワーク制御装置が実行するネットワーク制御方法であって、
    　第１の端末が使用する第１のゲートウェイ装置を、当該第１の端末と前記複数のゲートウェイ装置との間の品質に基づき選択する選択ステップと、
    　前記第１の端末と、前記第１のゲートウェイ装置を使用する他の各端末との間をトンネルにより接続するトンネル構築ステップと、
    　前記第１の端末の通信先となる第２の端末が使用する第２のゲートウェイ装置が、前記第１のゲートウェイ装置と同じである場合に、前記第１の端末から前記第２の端末へのトラフィックが前記第１の端末と前記第２の端末との間のトンネルを経由し、前記第２のゲートウェイ装置が、前記第１のゲートウェイ装置と異なる場合に、前記第１の端末から前記第２の端末へのトラフィックが前記所定のネットワークを経由する、ように経路制御を実行する経路制御ステップと
    　を備えることを特徴とするネットワーク制御方法。
  7. 　コンピュータを、請求項１ないし４のうちいずれか１項に記載のネットワーク制御装置における各部として機能させるためのプログラム。
  8. 　請求項７に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
PCT/JP2017/031144 2017-08-30 2017-08-30 ネットワーク制御装置、通信システム、ネットワーク制御方法、プログラム、及び記録媒体 WO2019043827A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2018513384A JP6434190B1 (ja) 2017-08-30 2017-08-30 ネットワーク制御装置、通信システム、ネットワーク制御方法、プログラム、及び記録媒体
US16/345,138 US10924301B2 (en) 2017-08-30 2017-08-30 Network control device, communication system, network control method, program, and recording medium
EP17923954.6A EP3518479B1 (en) 2017-08-30 2017-08-30 Network control device, communication system, network control method, program, and recording medium
PCT/JP2017/031144 WO2019043827A1 (ja) 2017-08-30 2017-08-30 ネットワーク制御装置、通信システム、ネットワーク制御方法、プログラム、及び記録媒体
CN201780066582.5A CN109891841B (zh) 2017-08-30 2017-08-30 网络控制装置、通信系统、网络控制方法、及记录介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/031144 WO2019043827A1 (ja) 2017-08-30 2017-08-30 ネットワーク制御装置、通信システム、ネットワーク制御方法、プログラム、及び記録媒体

Publications (1)

Publication Number Publication Date
WO2019043827A1 true WO2019043827A1 (ja) 2019-03-07

Family

ID=64560718

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/031144 WO2019043827A1 (ja) 2017-08-30 2017-08-30 ネットワーク制御装置、通信システム、ネットワーク制御方法、プログラム、及び記録媒体

Country Status (5)

Country Link
US (1) US10924301B2 (ja)
EP (1) EP3518479B1 (ja)
JP (1) JP6434190B1 (ja)
CN (1) CN109891841B (ja)
WO (1) WO2019043827A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021166080A1 (ja) * 2020-02-18 2021-08-26 日本電信電話株式会社 管理装置、管理方法及び管理プログラム
WO2022185984A1 (ja) * 2021-03-04 2022-09-09 京セラドキュメントソリューションズ株式会社 情報処理装置および情報処理システム

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10454714B2 (en) 2013-07-10 2019-10-22 Nicira, Inc. Method and system of overlay flow control
US10992568B2 (en) 2017-01-31 2021-04-27 Vmware, Inc. High performance software-defined core network
US11706127B2 (en) 2017-01-31 2023-07-18 Vmware, Inc. High performance software-defined core network
US20180219765A1 (en) 2017-01-31 2018-08-02 Waltz Networks Method and Apparatus for Network Traffic Control Optimization
US10778528B2 (en) 2017-02-11 2020-09-15 Nicira, Inc. Method and system of connecting to a multipath hub in a cluster
US11005684B2 (en) 2017-10-02 2021-05-11 Vmware, Inc. Creating virtual networks spanning multiple public clouds
US11115480B2 (en) 2017-10-02 2021-09-07 Vmware, Inc. Layer four optimization for a virtual network defined over public cloud
US10999100B2 (en) 2017-10-02 2021-05-04 Vmware, Inc. Identifying multiple nodes in a virtual network defined over a set of public clouds to connect to an external SAAS provider
US11223514B2 (en) * 2017-11-09 2022-01-11 Nicira, Inc. Method and system of a dynamic high-availability mode based on current wide area network connectivity
US11336482B2 (en) 2019-01-31 2022-05-17 Juniper Networks, Inc. Policy-driven on-demand tunnel creation/deletion based on traffic information in a wide area network (WAN)
US11563601B1 (en) * 2019-08-22 2023-01-24 Juniper Networks, Inc. Proactive tunnel configuration computation for on-demand SD-WAN tunnels
US11171885B2 (en) 2019-08-27 2021-11-09 Vmware, Inc. Providing recommendations for implementing virtual networks
CN111130885A (zh) * 2019-12-25 2020-05-08 深信服科技股份有限公司 网络通信方法、装置、设备及存储介质
US12041479B2 (en) 2020-01-24 2024-07-16 VMware LLC Accurate traffic steering between links through sub-path path quality metrics
US11601356B2 (en) 2020-12-29 2023-03-07 Vmware, Inc. Emulating packet flows to assess network links for SD-WAN
US11777760B2 (en) * 2020-12-30 2023-10-03 Hughes Network Systems, Llc VPN classification to reduce usage costs while retaining responsiveness
US11792127B2 (en) 2021-01-18 2023-10-17 Vmware, Inc. Network-aware load balancing
US11979325B2 (en) 2021-01-28 2024-05-07 VMware LLC Dynamic SD-WAN hub cluster scaling with machine learning
US12009987B2 (en) 2021-05-03 2024-06-11 VMware LLC Methods to support dynamic transit paths through hub clustering across branches in SD-WAN
US12015536B2 (en) 2021-06-18 2024-06-18 VMware LLC Method and apparatus for deploying tenant deployable elements across public clouds based on harvested performance metrics of types of resource elements in the public clouds
US12047282B2 (en) 2021-07-22 2024-07-23 VMware LLC Methods for smart bandwidth aggregation based dynamic overlay selection among preferred exits in SD-WAN
US11943146B2 (en) 2021-10-01 2024-03-26 VMware LLC Traffic prioritization in SD-WAN
US11909815B2 (en) 2022-06-06 2024-02-20 VMware LLC Routing based on geolocation costs
US12034587B1 (en) 2023-03-27 2024-07-09 VMware LLC Identifying and remediating anomalies in a self-healing network
US12057993B1 (en) 2023-03-27 2024-08-06 VMware LLC Identifying and remediating anomalies in a self-healing network

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003092189A1 (fr) * 2002-04-25 2003-11-06 Nec Corporation Systeme de reseau de communication mobile et procede de communication mobile
JP2004104664A (ja) * 2002-09-12 2004-04-02 Telecommunication Advancement Organization Of Japan ネットワーク接続装置
JP2005039744A (ja) * 2003-07-18 2005-02-10 Sony Corp 通信ネットワークシステム、通信経路選択装置、受信サーバ及び情報通信方法
JP2013523021A (ja) * 2010-03-16 2013-06-13 アルカテル−ルーセント セキュアインフラストラクチャを提供する方法、システム、および装置

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004159146A (ja) * 2002-11-07 2004-06-03 Nippon Telegr & Teleph Corp <Ntt> 通信ネットワーク及びパケット転送装置
US7673048B1 (en) * 2003-02-24 2010-03-02 Cisco Technology, Inc. Methods and apparatus for establishing a computerized device tunnel connection
JP2006211360A (ja) 2005-01-28 2006-08-10 Hitachi Information Technology Co Ltd 通信回線監視装置
JP4451398B2 (ja) 2005-10-11 2010-04-14 日本電信電話株式会社 通信システム、位置管理装置、及び、通信経路決定方法
JP2007329549A (ja) 2006-06-06 2007-12-20 Nippon Telegr & Teleph Corp <Ntt> ネットワークシステム及びその経路選択装置
US7992201B2 (en) 2007-07-26 2011-08-02 International Business Machines Corporation Dynamic network tunnel endpoint selection
CN102217244B (zh) * 2008-11-17 2014-11-26 高通股份有限公司 经由安全网关远程接入本地网络
JP5313758B2 (ja) 2009-04-27 2013-10-09 パナソニック株式会社 無線通信経路選択方法
EP2696647A4 (en) * 2011-04-06 2015-09-30 Nec Corp AD-HOC NETWORK, USER N UD, MANAGEMENT SERVER, COMMUNICATION METHOD, AND PROGRAM
JP5821467B2 (ja) * 2011-09-26 2015-11-24 富士通株式会社 無線端末
US20130166759A1 (en) 2011-12-22 2013-06-27 Qualcomm Incorporated Apparatus, systems, and methods of ip address discovery for tunneled direct link setup

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003092189A1 (fr) * 2002-04-25 2003-11-06 Nec Corporation Systeme de reseau de communication mobile et procede de communication mobile
JP2004104664A (ja) * 2002-09-12 2004-04-02 Telecommunication Advancement Organization Of Japan ネットワーク接続装置
JP2005039744A (ja) * 2003-07-18 2005-02-10 Sony Corp 通信ネットワークシステム、通信経路選択装置、受信サーバ及び情報通信方法
JP2013523021A (ja) * 2010-03-16 2013-06-13 アルカテル−ルーセント セキュアインフラストラクチャを提供する方法、システム、および装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3518479A4 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021166080A1 (ja) * 2020-02-18 2021-08-26 日本電信電話株式会社 管理装置、管理方法及び管理プログラム
JPWO2021166080A1 (ja) * 2020-02-18 2021-08-26
JP7318792B2 (ja) 2020-02-18 2023-08-01 日本電信電話株式会社 管理装置、管理方法及び管理プログラム
WO2022185984A1 (ja) * 2021-03-04 2022-09-09 京セラドキュメントソリューションズ株式会社 情報処理装置および情報処理システム

Also Published As

Publication number Publication date
JPWO2019043827A1 (ja) 2019-11-07
US10924301B2 (en) 2021-02-16
US20190288875A1 (en) 2019-09-19
EP3518479A1 (en) 2019-07-31
JP6434190B1 (ja) 2018-12-05
EP3518479A4 (en) 2019-07-31
CN109891841B (zh) 2023-02-21
CN109891841A (zh) 2019-06-14
EP3518479B1 (en) 2021-12-01

Similar Documents

Publication Publication Date Title
JP6434190B1 (ja) ネットワーク制御装置、通信システム、ネットワーク制御方法、プログラム、及び記録媒体
US9736278B1 (en) Method and apparatus for connecting a gateway router to a set of scalable virtual IP network appliances in overlay networks
CN107852604B (zh) 用于提供全局虚拟网络(gvn)的系统
US9871854B2 (en) Interaction with a virtual network
US9979694B2 (en) Managing communications between virtual computing nodes in a substrate network
US9385887B2 (en) Virtualization mapping
US9830179B2 (en) Interaction with a virtual network
US9959132B2 (en) Managing virtual computing nodes using isolation and migration techniques
US8767558B2 (en) Custom routing decisions
US9992107B2 (en) Processing data packets using a policy based network path
US10445124B2 (en) Managing virtual computing nodes using isolation and migration techniques
US20190089557A1 (en) Methods and systems for transmitting information packets through tunnel groups at a network node
US10067781B2 (en) Service manifests
KR20130101663A (ko) 클라우드 네트워킹 장치 및 방법
US20200244482A1 (en) Methods and systems for transmitting information packets through tunnel groups at a network node
US20110113145A1 (en) Stateless Transmission Control Protocol Rendezvous Solution For Border Gateway Function
JP2005136739A (ja) データ中継方法、データ中継装置、データ中継システム
Singh Implementing Cisco Networking Solutions: Configure, implement, and manage complex network designs
Turull et al. Using libNetVirt to control the virtual network
Hamarsheh Examining the impact of link failures and network performance on a 6to4, 6rd, CHANC and D4across6 tunneling-based networks using various routing protocols
Arifin Method And Implementation of MPLS Tunnel Selection On Nokia Metro-E Devices
Sansa-Otim et al. IPv4 to IPv6 transition strategies for enterprise networks in developing countries
Annama Cross-Layer Design in Software-Defined Networks (SDNs): Issues and Possible Solutions

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2018513384

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17923954

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017923954

Country of ref document: EP

Effective date: 20190426

NENP Non-entry into the national phase

Ref country code: DE