JP2001313663A - 排他的論理ネットワークアクセス制御方法及び装置 - Google Patents

Abstract

(57)【要約】 【課題】 論理ネットワーク単位での制御を実現し、複
数のＶＰＮ／ＶＬＡＮ技術を統一的に扱うことを可能に
する方法及び装置を提供する。 【解決手段】 論理ネットワークを抽象化する仮想ネッ
トワークインターフェースを提供し、物理ネットワーク
インターフェースと仮想ネットワークインターフェース
と論理ネットワークとの対応を決定し、物理ネットワー
クインターフェースと仮想ネットワークインターフェー
スとに対応付けられたパケットのみを送受信し、仮想ネ
ットワークインターフェースと物理ネットワークインタ
ーフェースとの間でやり取りされるパケットを制御す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、複数の論理ネット
ワークを収容するネットワーク中継ノードにおいて、そ
の中継ノードを利用する複数の論理ネットワークに対し
て各々排他的な制御を可能にする方法及び装置に関する
ものである。

【０００２】

【従来の技術】通信網の構成例を図１に示す。この中
で、特定多数で利用する一つのネットワークに対して不
特定の他者からのアクセスを制限し、それら特定多数で
構成するグループ内で情報を共有すると同時に第三者へ
の情報漏洩を防止することが、ネットワークを利用する
際の重要な要求になってきている。このような要求を満
たす主な技術として次の二つがある。

【０００３】その１は、特定の情報のみを通過させ、そ
れ以外の情報の通過を禁止するフィルタリング技術であ
る。例えば次のようなものがある。・パケットヘッダー
に含まれる送出元アドレス、宛先アドレス等のネットワ
ークレベルの情報を参照して選択するもの。・有害なＷ
ＷＷページへのアクセスを禁止するためにＵＲＬによる
選択を行うような、アプリケーションレベルの識別子を
参照して情報を選択するもの。・電子メールサーバにお
けるウィルスチェックのように、情報本体を参照して情
報の選択を行うもの。

【０００４】また、その２は、論理ネットワークが利用
する物理的な線を不特定多数で利用しながら、その上を
流れる特定の情報に特定の識別子を付与するか又は特定
の鍵によって暗号化することにより、同一の物理的線上
にある複数の論理的ネットワーク間で特定の情報を排他
的に利用する技術である。例えば次のようなものがあ
る。

【０００５】・ＡＴＭ（非同期転送モード）では各セル
（情報の単位）のヘッダーにＶＰＩ／ＶＣＩの値を付与
し、ＡＴＭセルレベルでＶＣ（論理チャネル）を分離す
る。ＡＴＭセルの中継ノードはこのＶＣ毎にセルの経路
制御を行い、無関係の論理的線への情報の漏洩を防ぐ。
これにより、中継ノードの設定を変更することができな
ければ、第三者は情報を見ることができない。・ＩＥＥ
Ｅ802.1Ｑ ＶＬＡＮ（仮想ＬＡＮ）におけるタグ付き
ＶＬＡＮでは、イーサネットフレームにＶＬＡＮタグ値
を付与し、イーサネット（登録商標）フレームレベルで
論理チャネルを分離し、情報の漏洩を防ぐ。・ＩＥＴＦ
で標準化が行われているＭＰＬＳ（マルチプロトコルラ
ベルスイッチング）では、ＩＰパケットの一部にラベル
を付与し、ＩＰレベルで論理チャネルを分離し、情報の
漏洩を防ぐ。・ＩＰＳＥＣ（ＩＰセキュリティプロトコ
ル）ではＩＰパケットをＥＳＰ（インキャプスレイティ
ングセキュリティペイロード）によって暗号化する。そ
のため、パケットが漏洩しても共有鍵を持たないホスト
は復号化できないので、情報の漏洩を防ぐことができ
る。即ち、共有鍵を保持しているホスト間で実質的に論
理チャネルを張っていることになる。

【０００６】上記のその１及び２は相互補完的であり、
これらを組合せたサービスが考えられる。例えば、ＡＴ
Ｍの各ＶＣに対して論理ネットワークを割当て、それぞ
れの論理ネットワークからのパケットに対してファイヤ
ウォールで利用されているパケットフィルタリングを適
用するというように、その２の技術で提供する論理ネッ
トワークに対して、その１の技術で提供するアクセス制
御を組合せることによって、より高いセキュリティを持
つサービスを提供することが可能になる。

【０００７】このようなサービスを提供する場合におい
ては、特に運用コストの観点から、一つの中継ノード上
で、異なる管理ポリシーを持つ複数の論理ネットワーク
に対して、それぞれの管理ポリシーに合致したフィルタ
リング技術を用いてサービスを提供するすることが望ま
れる。しかし、このようなサービスを既存のオペレーテ
ィングシステム上で行う場合、ユーザーのアクセス権限
を論理ネットワーク毎に設定することができず、物理的
ネットワークに対して設定することになる。更に、多様
なＶＰＮ（仮想閉域網）／ＶＬＡＮ技術を統一的に扱う
手法が存在せず、一つ一つのＶＰＮ／ＶＬＡＮ技術に対
して個別に対応せざるを得なかった。

【０００８】

【発明が解決しようとする課題】本発明の目的は、上記
の問題点に鑑み、論理ネットワーク単位での制御を実現
し、複数のＶＰＮ／ＶＬＡＮ技術を統一的に扱うことを
可能にする方法及び装置を提供することにある。

【０００９】

【課題を解決するための手段】本発明の排他的論理ネッ
トワークアクセス制御方法は、論理ネットワークを抽象
化する仮想ネットワークインターフェースを提供するス
テップ、物理ネットワークインターフェースと仮想ネッ
トワークインターフェースと論理ネットワークとの対応
を決定するステップ、物理ネットワークインターフェー
スと仮想ネットワークインターフェースとに対応付けら
れたパケットのみを送受信するステップ、及び、仮想ネ
ットワークインターフェースと物理ネットワークインタ
ーフェースとの間でやり取りされるパケットを制御する
ステップを含むことを特徴とする。

【００１０】また、本発明の排他的論理ネットワークア
クセス制御装置は、論理ネットワークを抽象化する仮想
ネットワークインターフェースを提供する手段、物理ネ
ットワークインターフェースと仮想ネットワークインタ
ーフェースと論理ネットワークとの対応を決定する手
段、物理ネットワークインターフェースと仮想ネットワ
ークインターフェースとに対応付けられたパケットのみ
を送受信する手段、及び、仮想ネットワークインターフ
ェースと物理ネットワークインターフェースとの間でや
り取りされるパケットを制御する手段を具えることを特
徴とする。

【００１１】このような本発明においては、ネットワー
ク中継ノードは、複数の物理ネットワークインターフェ
ースを持ち、それらを用いて複数のネットワークに接続
されている。中継ノード内ではＶＰＮ／ＶＬＡＮ技術を
用いて論理チャネル（例えばＡＴＭの場合はＶＣ、ＩＰ
ＳＥＣの場合はＳＡのような仮想的な通信チャネル）が
提供されており、これらの論理チャネルの集合が論理ネ
ットワークを構成している。論理ネットワークは、中継
ノード上では物理ネットワークインターフェース又はＶ
ＰＮ／ＶＬＡＮ技術に依存する論理チャネルの識別子に
よって識別される。

【００１２】次に、論理ネットワーク即ち論理チャネル
の集合を抽象化するために仮想ネットワークインターフ
ェース層を中継ノード内に設ける。論理ネットワーク一
つに対して一つの仮想ネットワークインターフェースを
設ける。一つの論理チャネルの情報には、同一の物理ネ
ットワークインターフェース内で一意となる識別子を一
つ割当て、物理ネットワークインターフェースは、論理
チャネルの情報とその識別子とのマッピング情報を保持
する。仮想ネットワークインターフェースは、仮想ネッ
トワークと物理ネットワークインターフェースと物理ネ
ットワークインターフェースが持つ論理チャネルの識別
子とのマッピング情報を保持する。

【００１３】論理ネットワークを構成する際、それに対
応する仮想ネットワークインターフェースを作成し、各
種マッピング情報を設定する。仮想ネットワークインタ
ーフェースは、物理ネットワークインターフェースから
対応する論理ネットワークのパケットだけを送受信し、
受け取ったパケットに対してのみ仮想ネットワークイン
ターフェースに対するアクセス制御を実施する。それ
故、この仮想インターフェースを制御することによって
論理ネットワークに対して制御を行うことができ、更
に、その仮想インターフェースにマッピングされている
物理インターフェース内の論理チャネルを統一的に扱う
ことができる。

【００１４】

【発明の実施の形態】次に本発明の実施例を説明する。
図２は本発明によるシステムソフトウェアの構成例を示
す図である。システムソフトウェア100の構成要素とし
て、各ネットワークインターフェースの機能を実現する
物理ネットワークインターフェース、ＶＰＮ／ＶＬＡＮ
の実装（論理ネットワーク）を抽象化する仮想ネットワ
ークインターフェース、物理ネットワークインターフェ
ースと仮想ネットワークインターフェースとＶＰ値との
結び付きを規定するマッピングテーブル10、及び、アク
セス制御を行うアクセス制御処理部11を具える。物理ネ
ットワークインターフェース及び仮想ネットワークイン
ターフェースは図示していないＣＰＵ、メモリー等を含
み、マッピングテーブル10は図示していないメモリー等
を含み、アクセス制御処理部11は図示していないＣＰＵ
等を含む。

【００１５】ＲＮＩは、内部に、各物理ネットワークイ
ンターフェース内で一意となる識別子ＶＰ値と使用され
るＶＰＮ／ＶＬＡＮ技術によって規定される識別子との
対応テーブルを具える。マッピングテーブル10には、物
理ネットワークインターフェースと仮想ネットワークイ
ンターフェースとＶＰ値との対応関係が保持されてい
る。即ち、システムソフトウェア100は、排他的論理ネ
ットワークアクセス制御装置である。

【００１６】図３は上記の実施例の動作を示すフローチ
ャートを示す。先ず、物理ネットワークインターフェー
スＲＮＩ１及びＲＮＩ２に対して、利用する論理ネット
ワーク毎に論理チャネル及びＶＰ値を設定する（ステッ
プＳ11）。次に、利用したい論理ネットワークの分だけ
仮想ネットワークインターフェースを作成し（ステップ
Ｓ12）、マッピングテーブル10に物理ネットワークイン
ターフェースと仮想ネットワークインターフェースとＶ
Ｐ値とを設定する（ステップＳ13）。更に、アクセス制
御処理部11に、仮想ネットワークインターフェースに対
して行いたいアクセス制御ルールを設定する（ステップ
Ｓ14）。

【００１７】システムソフトウェア100は、物理ネット
ワークインターフェースＲＮＩ１又はＲＮＩ２がパケッ
トを受け取ると（ステップＳ15）、マッピングテーブル
10の情報に従って適切な仮想ネットワークインターフェ
ースＶＮＩ１、ＶＮＩ２又はＶＮＩ３にパケットを渡す
（ステップＳ16）。仮想ネットワークインターフェース
ＶＮＩ１、ＶＮＩ２及びＶＮＩ３では、物理ネットワー
クインターフェースＲＮＩ１又はＲＮＩ２から受け取っ
たパケットに対し、アクセス制御処理部11が個々の仮想
ネットワークインターフェース用に指示されたアクセス
制御ルールに基づいてパケットを処理する（ステップＳ
17）。その後、仮想ネットワークインターフェースＶＮ
Ｉ１、ＶＮＩ２及びＶＮＩ３は、アクセス制御の結果に
従い、物理ネットワークインターフェースＲＮＩ１及び
ＲＮＩ２から受け取ったパケットを、マッピングテーブ
ル10の情報に基づいて適切な物理ネットワークインター
フェースＲＮＩ１又はＲＮＩ２に渡す（ステップＳ1
8）。これら一連の処理を終了した後、システムソフト
ウェア100は通常の処理を行うことができる（ステップ
Ｓ19）。

【００１８】図４は上記実施例の処理のタイムチャート
である。システムソフトウェア100において、物理ネッ
トワークインターフェースＲＮＩ１及びＲＮＩ２に対し
て論理チャネル及びＶＰ値を設定する。次に、仮想ネッ
トワークインターフェースを作成し、既に設定した論理
チャネル及びＶＰ値の情報に基づいて仮想ネットワーク
インターフェースとの対応付けを行い、マッピングテー
ブル10に書込む。

【００１９】各論理ネットワーク毎のアクセス制御ルー
ルとそれに対応する仮想ネットワークインターフェース
名をアクセス制御処理部11に対して設定する。物理ネッ
トワークインターフェースＲＮＩ１及びＲＮＩ２は、パ
ケットを受け取った後、マッピングテーブル10を参照
し、受け取ったパケットを適切な仮想ネットワークイン
ターフェースＶＮＩ１、ＶＮＩ２又はＶＮＩ３に渡す。
アクセス制御処理部11は、仮想ネットワークインターフ
ェースＶＮＩ１、ＶＮＩ２及びＶＮＩ３が持つパケット
に対して、既に設定されているアクセス制御ルールに基
づいてアクセス制御を行う。

【００２０】アクセス制御処理が終了した後、送信すべ
きパケットは仮想ネットワークインターフェースＶＮＩ
１、ＶＮＩ２及びＶＮＩ３から物理ネットワークインタ
ーフェースＲＮＩ１及びＲＮＩ２に渡される。物理ネッ
トワークインターフェースＲＮＩ１及びＲＮＩ２は、仮
想ネットワークインターフェースＶＮＩ１、ＶＮＩ２及
びＶＮＩ３から受け取ったパケットをネットワーク上に
転送する。

【００２１】

【発明の効果】上記のように、本発明によれば、複数の
論理ネットワークを収容するネットワーク中継ノードに
おいて、その中継ノードを利用する複数の論理ネットワ
ークに対してそれぞれ排他的な制御が可能になる。

【図面の簡単な説明】

【図１】 通信網の構成例を示す図である。

【図２】 本発明によるシステムソフトウェアの構成例
を示す図である。

【図３】 本発明の実施例の動作を示すフローチャート
を示す。

【図４】 本発明の実施例の処理のタイムチャートであ
る。

【符号の説明】

１０ マッピングテーブル １１ アクセス制御処理部 １００ システムソフトウェア ＲＮＩ 物理ネットワークインターフェース ＶＮＩ 仮想ネットワークインターフェース

Claims (2)

【特許請求の範囲】
1. 【請求項１】 ネットワーク中継ノードにおける排他的
   論理ネットワークアクセス制御方法において、論理ネッ
   トワークを抽象化する仮想ネットワークインターフェー
   スを提供するステップ、物理ネットワークインターフェ
   ースと仮想ネットワークインターフェースと論理ネット
   ワークとの対応を決定するステップ、物理ネットワーク
   インターフェースと仮想ネットワークインターフェース
   とに対応付けられたパケットのみを送受信するステッ
   プ、及び、仮想ネットワークインターフェースと物理ネ
   ットワークインターフェースとの間でやり取りされるパ
   ケットを制御するステップを含むことを特徴とする排他
   的論理ネットワークアクセス制御方法。
2. 【請求項２】 ネットワーク中継ノードにおける排他的
   論理ネットワークアクセス制御装置において、論理ネッ
   トワークを抽象化する仮想ネットワークインターフェー
   スを提供する手段、物理ネットワークインターフェース
   と仮想ネットワークインターフェースと論理ネットワー
   クとの対応を決定する手段、物理ネットワークインター
   フェースと仮想ネットワークインターフェースとに対応
   付けられたパケットのみを送受信する手段、及び、仮想
   ネットワークインターフェースと物理ネットワークイン
   ターフェースとの間でやり取りされるパケットを制御す
   る手段を具えることを特徴とする排他的論理ネットワー
   クアクセス制御装置。