JP2023067459A

JP2023067459A - 情報処理システム、ルータ、管理サーバ、方法およびプログラム

Info

Publication number: JP2023067459A
Application number: JP2021178721A
Authority: JP
Inventors: 直樹山田; Naoki Yamada
Original assignee: EVRIKA Inc
Current assignee: EVRIKA Inc
Priority date: 2021-11-01
Filing date: 2021-11-01
Publication date: 2023-05-16

Abstract

【課題】グローバルアドレスが変更され得る拠点を含むＶＰＮの管理を容易にすることを課題とする。【解決手段】ルータに、当該ルータ配下の端末のグローバルアドレスを取得する端末情報取得部と、当該ルータのグローバルアドレス及び当該ルータ配下の端末のグローバルアドレスを管理サーバに通知するネットワーク情報通知部と、他のルータのグローバルアドレス及び当該他のルータ配下の端末のグローバルアドレスを含むネットワーク情報を管理サーバから取得するネットワーク情報取得部と、ネットワーク情報を用いて他のルータとの間にＶＰＮを構築するＶＰＮ構築部と、ネットワーク情報に従ってルータ配下の端末による通信に対するＶＰＮ処理及びルーティングを行うルーティング部と、を備えた。【選択図】図３

Description

本開示は、仮想プライベートネットワークのための技術に関する。

従来、仮想プライベートネットワークの運用における利便性を向上させるための技術が種々提案されている（例えば、特許文献１を参照）。

特開２０１１－１８８４４８号公報

仮想プライベートネットワーク（以下、「ＶＰＮ」）内で端末が互いに通信するためには、ＶＰＮ接続された拠点間で互いに相手方ＬＡＮ内端末のアドレスを知る必要がある。しかし、インターネットプロトコルバージョン６（以下、「ＩＰｖ６」）ではローカルエリアネットワーク（以下、「ＬＡＮ」）内端末もグローバルアドレスを用いて通信を行い、また、グローバルアドレスはインターネットプロバイダからの割り当て方式に従って変更され得る。このため、ＶＰＮに属する何れかの拠点においてグローバルアドレスが変更されてしまった場合、当該拠点との間でのＶＰＮ内通信ができなくなってしまう。

加えて、ＶＰＮ構築のためにはＶＰＮ接続を担当するルータは相手方ルータのグローバルアドレスを知る必要があるが、これらのルータのグローバルアドレスも、プロバイダからの割り当て方式に従って変更され得る。

本開示は、上記した問題に鑑み、グローバルアドレスが変更され得る拠点を含むＶＰＮの管理を容易にすることを課題とする。

本開示の一例は、管理サーバ、及び該管理サーバによって管理される複数のルータを備える情報処理システムであって、前記複数のルータの夫々は、該ルータのＩＰｖ６グローバルアドレスを設定するルータアドレス設定手段と、該ルータによって中継される通信を監視することで、該ルータ配下の端末のＩＰｖ６グローバルアドレスを取得する端末情報取得手段と、前記ルータアドレス設定手段によって設定された該ルータのＩＰｖ６グローバルアドレス、及び前記端末情報取得手段によって取得された前記端末のＩＰｖ６グローバルアドレスを、前記管理サーバに通知するネットワーク情報通知手段と、前記管理サーバによって管理されている他のルータのＩＰｖ６グローバルアドレス及び該他のルータ配下の端末のＩＰｖ６グローバルアドレスを含むネットワーク情報を、前記管理サーバから取得するネットワーク情報取得手段と、前記ネットワーク情報を用いて前記他のルータとの間にＶＰＮを構築するＶＰＮ構築手段と、前記ネットワーク情報に従って前記ルータ配下の端末による通信に対するＶＰＮ処理及びルーティングを行うルーティング手段と、を備え、前記管理サーバは、前記複数のルータに係る情報を管理する情報管理手段と、前記複数のルータの夫々から、該ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスの通知を受け付ける通知受付手段と、前記通知受付手段によって通知を受けた、前記ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスを含む前記ネットワーク情報を、前記複数のルータに提供するネットワーク情報提供手段と、を備える、情報処理システムである。

また、本開示の別の側面は、複数のルータを管理する管理サーバと通信可能なルータであって、該ルータのＩＰｖ６グローバルアドレスを設定するルータアドレス設定手段と、該ルータによって中継される通信を監視することで、該ルータ配下の端末のＩＰｖ６グローバルアドレスを取得する端末情報取得手段と、前記ルータアドレス設定手段によって設定された該ルータのＩＰｖ６グローバルアドレス、及び前記端末情報取得手段によって取得された前記端末のＩＰｖ６グローバルアドレスを、前記管理サーバに通知するネットワーク情報通知手段と、前記管理サーバによって管理されている他のルータのＩＰｖ６グローバルアドレス及び該他のルータ配下の端末のＩＰｖ６グローバルアドレスを含むネットワーク情報を、前記管理サーバから取得するネットワーク情報取得手段と、前記ネットワーク情報を用いて前記他のルータとの間にＶＰＮを構築するＶＰＮ構築手段と、前記ネットワーク情報に従って前記ルータ配下の端末による通信に対するＶＰＮ処理及びルーティングを行うルーティング手段と、を備えるルータである。

また、本開示の別の側面は、複数のルータを管理する管理サーバであって、前記複数のルータに係る情報を管理する情報管理手段と、前記複数のルータの夫々から、該ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスの通知を受け付ける通知受付手段と、前記通知受付手段によって通知を受けた、前記ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスを含む前記ネットワーク情報を、前記複数のルータに提供するネットワーク情報提供手段と、を備える管理サーバである。

本開示は、情報処理装置、システム、コンピュータによって実行される方法またはコンピュータに実行させるプログラムとして把握することが可能である。また、本開示は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものとしても把握できる。ここで、コンピュータ等が読み取りコンピュータとは、データやプログラム等の情報を電気的、磁気的、光学的、機械的または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。

本開示によれば、グローバルアドレスが変更され得る拠点を含むＶＰＮの管理を容易にすることが可能となる。

実施形態に係るシステムの構成を示す概略図である。実施形態に係るシステムのハードウェア構成を示す図である。実施形態に係るシステムの機能構成の概略を示す図である。実施形態に係るＶＰＮ管理処理の流れの概要を示すフローチャートである。実施形態に係るルーティング処理の流れの概要を示すフローチャートである。実施形態に係るネットワーク情報管理処理の流れの概要を示すフローチャートである。

以下、本開示に係る情報処理装置、方法およびプログラムの実施の形態を、図面に基づいて説明する。但し、以下に説明する実施の形態は、実施形態を例示するものであって、本開示に係る情報処理装置、方法およびプログラムを以下に説明する具体的構成に限定するものではない。実施にあたっては、実施の態様に応じた具体的構成が適宜採用され、また、種々の改良や変形が行われてよい。

本実施形態では、本開示に係る情報処理装置、方法およびプログラムを、複数のルータが接続されることで、これらのルータ配下のクライアントが属するＶＰＮを構成するシステムにおいて実施した場合の実施の形態について説明する。但し、本開示に係る情報処理装置、方法およびプログラムは、ＶＰＮの管理のための技術について広く用いることが可能であり、本開示の適用対象は、本実施形態において示した例に限定されない。

＜システムの構成＞
図１は、本実施形態に係るシステム１の構成を示す概略図である。本実施形態に係るシステム１は、互いにＶＰＮ接続される複数のネットワーク２ａ、２ｂ及び２ｃと、管理サーバ５０とを備える。ネットワーク２ａ、２ｂ及び２ｃの夫々は、複数の情報処理端末９０（以下、「クライアント９０」と称する）、及びクライアント９０に係る通信を中継するためのＶＰＮルータ２０と、を備える。また、ネットワーク２ａ、２ｂ及び２ｃ内のクライアント９０は、インターネットや広域ネットワークを介して遠隔地において接続された各種のサーバと、ＶＰＮルータ２０を介して通信可能である。本実施形態において、ＶＰＮルータ２０は、ネットワーク２ａ、２ｂ及び２ｃにおいて、クライアント９０とインターネットとの間に接続されることで、通過するパケットを取得し、設定されたポリシー及びルーティングテーブルに従ってパケットを処理する。

図２は、本実施形態に係るＶＰＮルータ２０及び管理サーバ５０のハードウェア構成を示す図である。ＶＰＮルータ２０は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）１１、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）１２、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）１３、ＥＥＰＲＯＭ（ＥｌｅｃｔｒｉｃａｌｌｙＥｒａｓａｂｌｅａｎｄＰｒｏｇｒａｍｍａｂｌｅＲｅａｄＯｎｌｙＭｅｍｏｒｙ）やＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）等の記憶装置１４、ＮＩＣ（ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）等の通信ユニット１５、等を備えるコンピュータである。但し、ＶＰＮルータ２０の具体的なハードウェア構成に関しては、実施の態様に応じて適宜省略や置換、追加が可能である。また、ＶＰＮルータ２０は、単一の装置に限定されない。ＶＰＮルータ２０は、所謂クラウドや分散コンピューティングの技術等を用いた、複数の装置によって実現されてよい。

管理サーバ５０は、ＣＰＵ５１、ＲＯＭ５２、ＲＡＭ５３、記憶装置５４、通信ユニット５５、等を備えるコンピュータである。但し、管理サーバ５０の具体的なハードウェア構成に関しては、実施の態様に応じて適宜省略や置換、追加が可能である。また、管理サーバ５０は、単一の装置に限定されない。管理サーバ５０は、所謂クラウドや分散コンピューティングの技術等を用いた、複数の装置によって実現されてよい。

図３は、本実施形態に係るＶＰＮルータ２０及び管理サーバ５０の機能構成の概略を示す図である。ＶＰＮルータ２０は、記憶装置１４に記録されているプログラムが、ＲＡＭ１３に読み出され、ＣＰＵ１１によって実行されることで、ルータアドレス設定部２１、プレフィックス通知部２２、端末情報取得部２３、ネットワーク情報通知部２４、ネットワーク情報取得部２５、ＶＰＮ構築部２６、監視部２７、ルーティング部２８及び名前解決部２９を備える情報処理装置として機能する。なお、本実施形態では、ＶＰＮルータ２０が備える各機能は、汎用プロセッサであるＣＰＵ１１によって実行されるが、これらの機能の一部または全部は、１または複数の専用プロセッサによって実行されてもよい。また、これらの機能の一部または全部は、クラウド技術等を用いて、遠隔値に設置された装置や、分散設置された複数の装置によって実行されてもよい。

ルータアドレス設定部２１は、当該ＶＰＮルータ２０に割り当てられたＩＰｖ６プレフィックスを用いて、当該ＶＰＮルータ２０のＩＰｖ６グローバルアドレスを設定する。本実施形態では、ＩＰｖ６プレフィックスには、ＩＳＰ又は上位のルータから割り当てられたＩＰｖ６プレフィックスが用いられる。具体的には、ルータアドレス設定部２１は、ＶＰＮルータ２０の起動時等に、ＩＳＰ等に対してＲｏｕｔｅｒＳｏｌｉｃｉｔａｔｉｏｎ（ＲＳ）を送信し、ＲＳに対する応答としてＩＳＰ等から送信されたＲｏｕｔｅｒＡｄｖｅｒｔｉｓｅｍｅｎｔ（ＲＡ）を受信する。ＲＡが受信されると、ルータアドレス設定部２１は、受信されたＲＡに含まれる、ＩＳＰ等から発行されたＩＰｖ６プレフィックスを用いて、ＶＰＮルータ２０のＩＰｖ６グローバルアドレスを設定する。

なお、ＩＳＰ等から発行されたＩＰｖ６プレフィックスは、その他の手段を用いてＶＰＮルータ２０に通知されてもよい。例えば、ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ（ＤＨＣＰ）のＰｒｅｆｉｘＤｅｌｅｇａｔｉｏｎ（ＤＨＣＰｖ６－ＰＤ）を用いる場合、ＩＳＰ又は上位のルータは、Ｏｔｈｅｒフラグ（Ｏフラグ）及びＭａｎａｇｅｍｅｎｔフラグ（Ｍフラグ）が設定されたＲＡをＶＰＮルータ２０に対して送信し、ルータアドレス設定部２１は、受信したＲＡにＯフラグ及びＭフラグが設定されている場合、ＩＳＰ等に対してＤＨＣＰｖ６のリクエストを送信し、リクエストに対する応答としてＩＳＰ等から送信されたＰｒｅｆｉｘＤｅｌｅｇａｔｉｏｎ（ＰＤ）を受信する。ＰＤが受信されると、ルータアドレス設定部２１は、受信されたＰＤに基づいてＩＰｖ６プレフィックスを決定し、決定されたＩＰｖ６プレフィックスを用いて、ＶＰＮルータ２０のＩＰｖ６グローバルアドレスを設定する。

また、ルータアドレス設定部２１は、ＩＳＰ又は上位のルータから新たなＩＰｖ６プレフィックスが割り当てられると、新たに割り当てられたＩＰｖ６プレフィックスを用いて当該ＶＰＮルータ２０のＩＰｖ６グローバルアドレスを再設定する。即ち、本実施形態では、ＶＰＮルータ２０のＩＰｖ６グローバルアドレスは固定アドレスではない。

プレフィックス通知部２２は、ＩＰｖ６プレフィックスを当該ＶＰＮルータ２０配下のクライアント９０に通知することで、当該ＶＰＮルータ２０配下のクライアント９０に当該クライアント９０のＩＰｖ６グローバルアドレスを設定させる。具体的には、プレフィックス通知部２２は、クライアント９０から送信されたＲＳを受信すると、クライアント用のＩＰｖ６プレフィックスを含むＲＡを、ＲＳの送信元クライアント９０に対して送信する。ＲＡを受信したクライアント９０は、ＶＰＮルータ２０から発行されたクライアント用のＩＰｖ６プレフィックスを用いて、当該クライアント９０のＩＰｖ６グローバルアドレスを設定する。ここで、クライアント用のＩＰｖ６プレフィックスには、ＩＳＰ又は上位のルータから発行されたＩＰｖ６プレフィックスがそのまま用いられてもよいし、ＩＳＰ等から発行されたＩＰｖ６プレフィックスにサブネットワーク用のアドレスを追加することでＶＰＮルータ２０によって生成されたＩＰｖ６プレフィックスが用いられてもよい。

端末情報取得部２３は、当該ＶＰＮルータ２０によって中継される通信を監視することで、当該ＶＰＮルータ２０配下のクライアント９０のＩＰｖ６グローバルアドレス（例えば、「２ｘ０１：：２／６４」等）及び名前（例えば、「ｃｌｉｅｎｔ０１」等）を取得する。ここで、端末情報取得部２３によって監視される通信には、クライアント９０によって送受信される通常のアプリケーション通信の他、近隣探索（ＮＤ）のための通信、Ｌｉｎｋ－ｌｏｃａｌＭｕｌｔｉｃａｓｔＮａｍｅＲｅｓｏｌｕｔｉｏｎ（ＬＬＭＮＲ）、Ｂｏｎｊｏｕｒ、マルチキャストＤＮＳ（ｍＤＮＳ）、Ａｖａｈｉ等が含まれる。

ネットワーク情報通知部２４は、ルータアドレス設定部２１によって設定された当該ＶＰＮルータ２０のＩＰｖ６グローバルアドレスと、端末情報取得部２３によって取得されたクライアント９０のＩＰｖ６グローバルアドレス及び名前の組合せとを含むネットワーク情報を管理サーバ５０に通知する。ネットワーク情報通知部２４は、これらの情報が更新される都度、管理サーバ５０に対して、最新のネットワーク情報を通知する。管理サーバ５０は、通知されたネットワーク情報を蓄積し更新することで、管理下の各ＶＰＮルータ２０に係るネットワーク情報を最新の状態に管理する。

ネットワーク情報取得部２５は、管理サーバ５０によって情報が管理されている他のＶＰＮルータ２０のＩＰｖ６グローバルアドレスと、当該他のＶＰＮルータ２０配下のクライアント９０のＩＰｖ６グローバルアドレス及び名前の組合せとを含むネットワーク情報を、管理サーバ５０から取得する。本実施形態において、ネットワーク情報取得部２５は、他のＶＰＮルータ２０のネットワーク情報を、管理サーバ５０に対して問い合わせることで、上記ネットワーク情報を取得する。問い合わせのタイミングは、例えば、監視部２７によってＶＰＮ内の通信に不具合が生じたことが検知されたタイミングや、ＶＰＮ接続された相手方ＶＰＮルータ２０のＩＰｖ６グローバルアドレスの変更が検知されたタイミング、一定間隔、等である。このような方式が採用されることで、ＶＰＮルータ２０側にファイアウォール等の管理サーバ５０との間の通信を制限する構成が存在する場合にも、ファイアウォール等への通信許可設定等を行うことなく、ネットワーク情報を取得することが出来る。

但し、ネットワーク情報の取得方法は、本実施形態において例示された、管理サーバ５０に対して問い合わせを行うことで取得する所謂プル方式に限定されない。例えば、ネットワーク情報の取得方法には、管理サーバ５０から各ＶＰＮルータ２０に対してプッシュ通知がなされる方式が採用されてもよい。プッシュ方式が採用された場合には、管理サーバ５０においてネットワーク情報の更新が検知されたタイミングで遅滞なく各ＶＰＮルータ２０に対して更新されたネットワーク情報を通知することが出来る。

ＶＰＮ構築部２６は、ネットワーク情報を用いて他のＶＰＮルータ２０との間にＶＰＮを構築する。ここで、ＶＰＮ構築のための処理の詳細は、従来技術を用いてよいため、説明を省略する。また、ＶＰＮ構築部２６は、ＶＰＮ接続された相手方ＶＰＮルータ２０のＩＰｖ６グローバルアドレスの変更が検知された場合に、管理サーバ５０から得られた変更後のネットワーク情報を用いて、相手方ＶＰＮルータ２０との間にＶＰＮを再構築する。

監視部２７は、ＶＰＮ構築部２６によって構築されたＶＰＮ内の通信状況を監視する。上述の通り、本実施形態では、ＶＰＮルータ２０のＩＰｖ６グローバルアドレスは固定アドレスではなく、ＩＳＰ又は上位のルータより提供されたＩＰｖ６プレフィックスを用いてＶＰＮルータ２０のＩＰｖ６グローバルアドレスが設定されるため、ＩＳＰ等によって提供されるＩＰｖ６プレフィックスが変更されると、ＶＰＮルータ２０のＩＰｖ６グローバルアドレスが変更されてしまう。そして、ＶＰＮ接続された相手方ＶＰＮルータ２０のＩＰｖ６グローバルアドレスが変更されると、相手方のＶＰＮルータ２０にＶＰＮ通信が到達できなくなり、ＶＰＮ通信に不具合が生じる。このため、本実施形態において、監視部２７は、ＶＰＮ構築部２６によってＶＰＮ接続された相手方ＶＰＮルータ２０のＩＰｖ６グローバルアドレスを監視する。監視部２７によって相手方ＶＰＮルータ２０のグローバルアドレスの変更が検知された場合、ＶＰＮルータ２０は、ネットワーク情報取得部２５による相手方ＶＰＮルータ２０の最新のネットワーク情報の取得、及びＶＰＮ構築部２６によるＶＰＮの再構築を行う。

ルーティング部２８は、ＶＰＮルータ２０配下のクライアント９０によって送受信される通信に対するＶＰＮ処理及びルーティングを行う。ここで、ルーティング部２８は、当該ＶＰＮルータ２０に設定された通常のルーティング情報に加えて、ネットワーク情報取得部２５によって取得されたネットワーク情報に基づいて設定されたルーティング情報及びＶＰＮポリシー（ＶＰＮにＩＰＳｅｃを用いる場合、ＩＰＳｅｃのポリシー）を参照して、パケットへのＶＰＮ処理（カプセル化又はカプセル解除）及びルーティングを行う。

具体的には、ルーティング部２８は、ＶＰＮ構築部２６によってＶＰＮが構築されている状態において、当該ＶＰＮルータ２０の配下にあるＶＰＮ内クライアントと、ＶＰＮ接続先である他のＶＰＮルータ２０の配下にあるＶＰＮ内クライアントとの通信が、ＶＰＮルータ２０間のＶＰＮ通信に乗るように、ルーティング情報及びＶＰＮポリシーを設定し、これらのルーティング情報及びＶＰＮポリシーに従ってクライアント間の通信に対するＶＰＮ処理（具体的には、カプセル化及びカプセル解除）及びルーティングを行う。例えば、ネットワーク２ａとネットワーク２ｂとの間でＶＰＮが構築されている場合、ネットワーク２ａのＶＰＮルータ２０のルーティング部は、ネットワーク２ａ内のクライアント９０からネットワーク２ｂ内のクライアント９０に対して送信されるパケットを、当該ＶＰＮポリシーに従ったカプセル化処理を施した上でカプセル化パケットをネットワーク２ｂのＶＰＮルータ２０に送信するルーティングを行う。そして、ネットワーク２ｂのＶＰＮルータ２０のルーティング部は、受信したパケットをカプセル解除し、ネットワーク２ｂ内のクライアント９０に対して送信するルーティングを行う。

また、ルーティング部２８は、当該ＶＰＮルータ２０配下のクライアント９０から送信された名前解決のための通信を受信した場合、当該通信に含まれる名前解決対象が、管理サーバ５０のネットワーク情報提供部６３から提供されたクライアント９０のＩＰｖ６グローバルアドレスと当該クライアント９０の名前との組合せ（以下、「名前解決情報」又は「エイリアス情報」と称する）に含まれるか否かを判定する。判定の結果、名前解決対象が管理サーバ５０から提供された名前解決情報に含まれていると判定された場合、ルーティング部２８は、当該通信を名前解決サーバに転送せず、名前解決部２９に名前解決を実行させる。一方、名前解決対象が管理サーバ５０から提供された名前解決情報に含まれないと判定された場合、ルーティング部２８は、当該通信を名前解決サーバに転送する。

名前解決部２９は、当該ＶＰＮルータ２０配下のクライアント９０から送信された名前解決のための通信に含まれる名前解決対象が、管理サーバ５０のネットワーク情報提供部６３によって提供されたクライアント９０のＩＰｖ６グローバルアドレスと当該クライアント９０の名前との組合せ（名前解決情報）に含まれる場合に、この名前解決情報を参照して、当該ＶＰＮルータ２０配下のクライアント９０から送信された名前解決のための通信に対して応答する。

管理サーバ５０は、記憶装置５４に記録されているプログラムが、ＲＡＭ５３に読み出され、ＣＰＵ５１によって実行されることで、情報管理部６１、通知受付部６２及びネットワーク情報提供部６３を備える情報処理装置として機能する。なお、本実施形態では、管理サーバ５０が備える各機能は、汎用プロセッサであるＣＰＵ５１によって実行されるが、これらの機能の一部または全部は、１または複数の専用プロセッサによって実行されてもよい。また、これらの機能の一部または全部は、クラウド技術等を用いて、遠隔値に設置された装置や、分散設置された複数の装置によって実行されてもよい。

情報管理部６１は、複数のＶＰＮルータ２０に係る情報を管理する。具体的には、情報管理部６１は、予め登録された、ＶＰＮを構築するＶＰＮルータ２０の情報を有しており、更に、登録されている各ＶＰＮルータ２０から通知されるネットワーク情報を蓄積し更新することで、管理下の各ＶＰＮルータ２０に係るネットワーク情報を最新の状態に管理する。

通知受付部６２は、複数のＶＰＮルータ２０の夫々から、当該ＶＰＮルータ２０のＩＰｖ６グローバルアドレスと、当該ＶＰＮルータ２０配下のクライアント９０のＩＰｖ６グローバルアドレス及び名前の組合せとを含むネットワーク情報の通知を受け付ける。受け付けられたネットワーク情報は、情報管理部６１によって管理される。

ネットワーク情報提供部６３は、ＶＰＮルータ２０による問い合わせに応じて、ネットワーク情報を問い合わせ元のＶＰＮルータ２０に対して、通知受付部６２によって通知を受けた、ＶＰＮルータ２０のＩＰｖ６グローバルアドレスと、当該ＶＰＮルータ２０配下のクライアント９０のＩＰｖ６グローバルアドレス及び名前の組合せとを含むネットワーク情報を、複数のＶＰＮルータ２０に提供する。

＜処理の流れ＞
次に、本実施形態に係るシステム１によって実行される処理の流れを、フローチャートを用いて説明する。なお、以下に説明するフローチャートに示された処理の具体的な内容および処理順序は、本開示を実施するための一例である。具体的な処理内容および処理順序は、本開示の実施の形態に応じて適宜選択されてよい。

図４は、本実施形態に係るＶＰＮ管理処理の流れの概要を示すフローチャートである。本実施形態に係るＶＰＮ管理処理は、ＶＰＮルータ２０においてＶＰＮ接続が自動実行されるか、又は管理者によるＶＰＮ接続の指示が入力されたことを契機として実行される。

ステップＳ１０１からステップＳ１０５では、ＶＰＮ接続の相手方ＶＰＮルータ２０のネットワーク情報が取得される。ＶＰＮルータ２０のネットワーク情報取得部２５は、ＶＰＮ接続の相手方ＶＰＮルータ２０のネットワーク情報を、管理サーバ５０に対して問い合わせる（ステップＳ１０１）。管理サーバ５０のネットワーク情報提供部６３は、問い合わせを受信すると（ステップＳ１０２）、情報管理部６１から最新のネットワーク情報を読み出し（ステップＳ１０３）、問合せ元のＶＰＮルータ２０に対して提供する（ステップＳ１０４）。ＶＰＮルータ２０のネットワーク情報取得部２５は、管理サーバ５０から送信されたネットワーク情報を受信することで、ＶＰＮ接続の相手方ＶＰＮルータ２０のネットワーク情報を取得する（ステップＳ１０５）。その後、処理はステップＳ１０６へ進む。

ステップＳ１０６では、ＶＰＮが構築される。ＶＰＮルータ２０のＶＰＮ構築部２６は、ネットワーク情報を用いて他のＶＰＮルータ２０との間にＶＰＮを構築する。具体的には、ＶＰＮルータ２０のＶＰＮ構築部２６は、ステップＳ１０５で取得されたネットワーク情報に含まれる相手方ＶＰＮルータ２０のＩＰｖ６グローバルアドレスを通信相手としてＶＰＮ構築のための通信を行い、当該ＶＰＮルータ２０配下のクライアント９０と相手方ＶＰＮルータ２０配下のクライアント９０とが接続されたＶＰＮを構築する。なお、ＶＰＮ構築のための通信においては、相手方のＶＰＮルータ２０も、ステップＳ１０１からステップＳ１０５の処理を実行することで、当該ＶＰＮルータ２０のネットワーク情報を得ている。ＶＰＮが構築されると、処理はステップＳ１０７へ進む。

ステップＳ１０７からステップＳ１０９では、ＶＰＮ通信の状況が監視される。監視部２７は、ステップＳ１０６でＶＰＮ接続された相手方ＶＰＮルータ２０のＩＰｖ６グローバルアドレスを監視する（ステップＳ１０７）。監視の結果、相手方ＶＰＮルータ２０のグローバルアドレスの変更が検知された場合（ステップＳ１０８のＹＥＳ）、ＶＰＮルータ２０は、変更が検知された相手方ＶＰＮルータ２０との間でのＶＰＮ接続を切断する（ステップＳ１０９）。そして、処理はステップＳ１０１へ戻る。即ち、監視の結果、相手方ＶＰＮルータ２０のグローバルアドレスの変更が検知された場合、ＶＰＮルータ２０は、相手方ＶＰＮルータ２０の最新のネットワーク情報に従ってＶＰＮを再構築する（ステップＳ１０１からステップＳ１０６）。本フローチャートに示された処理は、管理者によってＶＰＮの切断指示が入力されたり、ＶＰＮルータ２０の電源が落とされたりするまで繰り返し実行される。

図５は、本実施形態に係るルーティング処理の流れの概要を示すフローチャートである。本実施形態に係るルーティング処理は、ＶＰＮルータ２０によってパケットが受信される毎に実行される。

ステップＳ２０１及びステップＳ２０２では、受信パケットの属性が判定される。ルーティング部２８は、パケットを受信すると（ステップＳ２０１）、受信されたパケットのプロトコルや宛先、送信元等を参照し、予め設定されたポリシーやルーティング情報（ルーティングテーブル）に照会することでパケットの属性を判定する（ステップＳ２０２）。その後、処理はステップＳ２０３へ進み、判定されたパケットの属性に応じた処理が実行される。

ステップＳ２０３及びステップＳ２０４では、ＶＰＮ対象パケットに対するＶＰＮ処理及びルーティングが実行される。ステップＳ２０１で受信されたパケットが、ＶＰＮ処理の対象である場合（ステップＳ２０３のＹＥＳ）、ルーティング部２８は、ルーティング情報及びＶＰＮポリシーを参照して、パケットへのＶＰＮ処理及びルーティングを行う。具体的には、ステップＳ２０１で受信されたパケットの宛先が、ＶＰＮ内で他のＶＰＮルータ２０配下にあるクライアント９０としてルーティングテーブルに記載されている場合、ルーティング部２８は、当該パケットをＶＰＮ対象通信と判定し、当該宛先クライアント９０が属する相手方ＶＰＮルータ２０へのＶＰＮパケットとしてカプセル化を行い、カプセル化されたパケットを相手方ＶＰＮルータ２０に対して転送する。また、ステップＳ２０１で受信されたパケットが、カプセル化された当該ＶＰＮルータ２０宛のパケットである場合、ルーティング部２８は、当該ＶＰＮパケットをカプセル解除し、取り出されたパケットを当該ＶＰＮルータ２０配下のクライアント９０に対して転送する。その後、本フローチャートに示された処理は終了する。

一方、ステップＳ２０１で受信されたパケットが、ＶＰＮ処理の対象でない場合（ステップＳ２０３のＮＯ）、処理はステップＳ２０５へ進む。

ステップＳ２０５及びステップＳ２０６では、名前解決パケットに対する処理が実行される。ステップＳ２０１で受信されたパケットが当該ＶＰＮルータ２０配下のクライアント９０から送信された名前解決パケットであり、且つ当該パケットに含まれる名前解決対象が、管理サーバ５０のネットワーク情報提供部６３から提供された名前解決情報に含まれる場合（ステップＳ２０５のＹＥＳ）、ルーティング部２８は、当該パケットをパケットに示されている宛先（例えば、名前解決サーバ）に転送しない。そして、名前解決部２９は、名前解決情報を参照して、パケットの送信元クライアント９０に対して、名前に対応するＩＰｖ６グローバルアドレス、又はＩＰｖ６グローバルアドレスに対応する名前を回答する（ステップＳ２０６）。即ち、本実施形態において、名前解決部２９は、名前解決サーバに代わり、管理サーバ５０から提供された名前解決情報に従ってＶＰＮ内の名前解決を実行する。名前解決が実行されると、その後本フローチャートに示された処理は終了する。

一方、ステップＳ２０１で受信されたパケットが名前解決のためのパケットであるが、名前解決対象が管理サーバ５０から提供された名前解決情報に含まれない場合（ステップＳ２０５のＮＯ）、処理はステップＳ２０７へ進み、通常のルーティングが行われる。即ち、この場合、ルーティング部２８は、名前解決のための当該パケットを、パケットに示されている宛先（例えば、名前解決サーバ）に転送する。また、ステップＳ２０１で受信されたパケットが名前解決のためのパケットでない場合も（ステップＳ２０５のＮＯ）、処理はステップＳ２０７へ進み、通常のルーティングが行われる。

ステップＳ２０７では、通常のルーティングが実行される。ステップＳ２０１で受信されたパケットが、ＶＰＮ処理の対象でなく（ステップＳ２０３のＮＯ）、且つ名前解決部２９によって名前解決可能なパケットでもない（ステップＳ２０５のＮＯ）場合、ルーティング部２８は、通常のルーティングテーブルに従ってパケットをルーティングする。その後、本フローチャートに示された処理は終了する。

図６は、本実施形態に係るネットワーク情報管理処理の流れの概要を示すフローチャートである。本実施形態に係るネットワーク情報管理処理は、ＶＰＮルータ２０の起動中、定期的に実行される。

ステップＳ３０１では、クライアント９０の端末情報が取得される。ＶＰＮルータ２０の端末情報取得部２３は、ＶＰＮルータ２０によって中継される通信を監視することで、ＶＰＮルータ２０配下のクライアント９０のＩＰｖ６グローバルアドレス及び名前を含む端末情報を取得する。ここで、端末情報取得部２３は、既に端末情報を取得済みのクライアント９０についても通信の監視を継続し、当該クライアント９０のグローバルアドレス又は名前に変更があった場合には、取得済みの端末情報を更新する。その後、処理はステップＳ３０２へ進む。

ステップＳ３０２からステップＳ３０４では、クライアント９０の端末情報を含むネットワーク情報が管理サーバ５０に通知され、管理サーバ５０において管理されているネットワーク情報が最新の状態に管理される。ＶＰＮルータ２０のネットワーク情報通知部２４は、当該ＶＰＮルータ２０のＩＰｖ６グローバルアドレスと、ステップＳ３０１で取得又は更新されたクライアント９０のＩＰｖ６グローバルアドレス及び名前の組合せとを含むネットワーク情報を管理サーバ５０に通知する（ステップＳ３０２）。管理サーバ５０の通知受付部６２は、ＶＰＮルータ２０から、ネットワーク情報の通知を受け付ける（ステップＳ３０３）。そして、管理サーバ５０の情報管理部６１は、通知されたネットワーク情報を蓄積し更新することで、管理下の各ＶＰＮルータ２０に係るネットワーク情報を最新の状態に管理する（ステップＳ３０４）。その後、処理はステップＳ３０５へ進む。

ステップＳ３０５からステップＳ３０９では、ＶＰＮ接続の相手方ＶＰＮルータ２０のネットワーク情報が取得される。ステップＳ３０５からステップＳ３０９における具体的な処理は、図４を参照して説明したＶＰＮ管理処理のステップＳ１０１からステップＳ１０５と概略同様であるため、説明を省略する。このようにすることで、クライアント９０が再起動された等の理由で当該クライアント９０の端末情報に変更があった場合でも、ＶＰＮ内のクライアント９０の端末情報が最新の状態に保たれ、ＶＰＮルータ２０は、ルーティング処理（図５を参照）等を最新のネットワーク情報に基づく名前解決情報を参照して実行することで、ＶＰＮにおけるクライアント９０間の通信を維持することが出来る。その後、本フローチャートに示された処理は終了する。

上記説明した実施形態によれば、ＩＰｖ６グローバルアドレスが変更され得る拠点を含むＶＰＮの管理が容易となる。

１システム
２０ＶＰＮルータ
５０管理サーバ
９０クライアント

Claims

管理サーバ、及び該管理サーバによって管理される複数のルータを備える情報処理システムであって、
前記複数のルータの夫々は、
該ルータのＩＰｖ６グローバルアドレスを設定するルータアドレス設定手段と、
該ルータによって中継される通信を監視することで、該ルータ配下の端末のＩＰｖ６グローバルアドレスを取得する端末情報取得手段と、
前記ルータアドレス設定手段によって設定された該ルータのＩＰｖ６グローバルアドレス、及び前記端末情報取得手段によって取得された前記端末のＩＰｖ６グローバルアドレスを、前記管理サーバに通知するネットワーク情報通知手段と、
前記管理サーバによって管理されている他のルータのＩＰｖ６グローバルアドレス及び該他のルータ配下の端末のＩＰｖ６グローバルアドレスを含むネットワーク情報を、前記管理サーバから取得するネットワーク情報取得手段と、
前記ネットワーク情報を用いて前記他のルータとの間にＶＰＮを構築するＶＰＮ構築手段と、
前記ネットワーク情報に従って前記ルータ配下の端末による通信に対するＶＰＮ処理及びルーティングを行うルーティング手段と、を備え、
前記管理サーバは、
前記複数のルータに係る情報を管理する情報管理手段と、
前記複数のルータの夫々から、該ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスの通知を受け付ける通知受付手段と、
前記通知受付手段によって通知を受けた、前記ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスを含む前記ネットワーク情報を、前記複数のルータに提供するネットワーク情報提供手段と、を備える、
情報処理システム。
前記ルータアドレス設定手段は、該ルータに割り当てられたＩＰｖ６プレフィックスを用いて該ルータのＩＰｖ６グローバルアドレスを設定する、
請求項１に記載の情報処理システム。
前記ルータは、
前記ＩＰｖ６プレフィックスを該ルータ配下の端末に通知することで、該ルータ配下の端末に該端末のＩＰｖ６グローバルアドレスを設定させるプレフィックス通知手段を更に備える、
請求項１又は２に記載の情報処理システム。
前記ルータの前記ネットワーク情報取得手段は、前記他のルータのネットワーク情報を、前記管理サーバに対して問い合わせ、
前記管理サーバの前記ネットワーク情報提供手段は、前記ルータによる問い合わせに応じて、前記ネットワーク情報を問い合わせ元のルータに提供する、
請求項１から３のいずれか一項に記載の情報処理システム。
前記ルータは、前記ＶＰＮ構築手段によって構築された前記ＶＰＮ内の通信状況を監視する監視手段を更に備え、
前記ネットワーク情報取得手段は、前記監視手段によってＶＰＮ内の通信に不具合が生じたことが検知された際に、前記管理サーバに対して前記他のルータのネットワーク情報を問い合わせる、
請求項４に記載の情報処理システム。
前記監視手段は、前記ＶＰＮ構築手段によってＶＰＮ接続された相手方ルータのＩＰｖ６グローバルアドレスを監視し、
前記ネットワーク情報取得手段は、ＶＰＮ接続された相手方ルータのＩＰｖ６グローバルアドレスの変更が検知された場合に、前記管理サーバに対して前記他のルータのネットワーク情報を問い合わせ、
前記ＶＰＮ構築手段は、ＶＰＮ接続された相手方ルータのＩＰｖ６グローバルアドレスの変更が検知された場合に、前記管理サーバから得られた変更後の前記ネットワーク情報を用いて、前記相手方ルータとの間にＶＰＮを構築する、
請求項５に記載の情報処理システム。
前記ルータの前記端末情報取得手段は、該ルータ配下の端末のＩＰｖ６グローバルアドレスと併せて、該端末の名前を取得し、
前記ルータの前記ネットワーク情報通知手段は、前記端末情報取得手段によって取得された前記端末のＩＰｖ６グローバルアドレスと該端末の名前との組合せを前記管理サーバに通知し、
前記ルータの前記ネットワーク情報取得手段は、他のルータ配下の端末のＩＰｖ６グローバルアドレスと該端末の名前との組合せを前記管理サーバから取得し、
前記管理サーバの前記通知受付手段は、前記端末のＩＰｖ６グローバルアドレスと該端末の名前との組合せの通知を受け付け、
前記管理サーバの前記ネットワーク情報提供手段は、前記端末のＩＰｖ６グローバルアドレスと該端末の名前との組合せを、前記複数のルータに提供し、
前記ルータは、
前記端末のＩＰｖ６グローバルアドレスと該端末の名前との組合せを参照して、該ルータ配下の端末から送信された名前解決のための通信に対して応答する名前解決手段を更に備える、
請求項１から６のいずれか一項に記載の情報処理システム。
前記ルータの前記名前解決手段は、該ルータ配下の端末から送信された名前解決のための通信に含まれる名前解決対象が、前記管理サーバの前記ネットワーク情報提供手段によって提供された前記端末のＩＰｖ６グローバルアドレスと該端末の名前との組合せに含まれる場合に、該ルータ配下の端末から送信された名前解決のための通信に対して名前解決サーバに代わって応答し、
前記ルータの前記ルーティング手段は、該ルータ配下の端末から送信された名前解決のための通信に含まれる名前解決対象が、前記管理サーバの前記ネットワーク情報提供手段によって提供された前記端末のＩＰｖ６グローバルアドレスと該端末の名前との組合せに含まれない場合に、該通信を前記名前解決サーバに転送する、
請求項７に記載の情報処理システム。
複数のルータを管理する管理サーバと通信可能なルータであって、
該ルータのＩＰｖ６グローバルアドレスを設定するルータアドレス設定手段と、
該ルータによって中継される通信を監視することで、該ルータ配下の端末のＩＰｖ６グローバルアドレスを取得する端末情報取得手段と、
前記ルータアドレス設定手段によって設定された該ルータのＩＰｖ６グローバルアドレス、及び前記端末情報取得手段によって取得された前記端末のＩＰｖ６グローバルアドレスを、前記管理サーバに通知するネットワーク情報通知手段と、
前記管理サーバによって管理されている他のルータのＩＰｖ６グローバルアドレス及び該他のルータ配下の端末のＩＰｖ６グローバルアドレスを含むネットワーク情報を、前記管理サーバから取得するネットワーク情報取得手段と、
前記ネットワーク情報を用いて前記他のルータとの間にＶＰＮを構築するＶＰＮ構築手段と、
前記ネットワーク情報に従って前記ルータ配下の端末による通信に対するＶＰＮ処理及びルーティングを行うルーティング手段と、
を備えるルータ。
複数のルータを管理する管理サーバであって、
前記複数のルータに係る情報を管理する情報管理手段と、
前記複数のルータの夫々から、該ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスの通知を受け付ける通知受付手段と、
前記通知受付手段によって通知を受けた、前記ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスを含む前記ネットワーク情報を、前記複数のルータに提供するネットワーク情報提供手段と、
を備える管理サーバ。
複数のルータを管理する管理サーバと通信可能なルータのコンピュータが、
該ルータのＩＰｖ６グローバルアドレスを設定するルータアドレス設定ステップと、
該ルータによって中継される通信を監視することで、該ルータ配下の端末のＩＰｖ６グローバルアドレスを取得する端末情報取得ステップと、
前記ルータアドレス設定ステップで設定された該ルータのＩＰｖ６グローバルアドレス、及び前記端末情報取得ステップで取得された前記端末のＩＰｖ６グローバルアドレスを、前記管理サーバに通知するネットワーク情報通知ステップと、
前記管理サーバによって管理されている他のルータのＩＰｖ６グローバルアドレス及び該他のルータ配下の端末のＩＰｖ６グローバルアドレスを含むネットワーク情報を、前記管理サーバから取得するネットワーク情報取得ステップと、
前記ネットワーク情報を用いて前記他のルータとの間にＶＰＮを構築するＶＰＮ構築ステップと、
前記ネットワーク情報に従って前記ルータ配下の端末による通信に対するＶＰＮ処理及びルーティングを行うルーティングステップと、
を実行する方法。
複数のルータを管理する管理サーバのコンピュータが、
前記複数のルータに係る情報を管理する情報管理ステップと、
前記複数のルータの夫々から、該ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスの通知を受け付ける通知受付ステップと、
前記通知受付ステップで通知を受けた、前記ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスを含む前記ネットワーク情報を、前記複数のルータに提供するネットワーク情報提供ステップと、
を実行する方法。
複数のルータを管理する管理サーバと通信可能なルータのコンピュータを、
該ルータのＩＰｖ６グローバルアドレスを設定するルータアドレス設定手段と、
該ルータによって中継される通信を監視することで、該ルータ配下の端末のＩＰｖ６グローバルアドレスを取得する端末情報取得手段と、
前記ルータアドレス設定手段によって設定された該ルータのＩＰｖ６グローバルアドレス、及び前記端末情報取得手段によって取得された前記端末のＩＰｖ６グローバルアドレスを、前記管理サーバに通知するネットワーク情報通知手段と、
前記管理サーバによって管理されている他のルータのＩＰｖ６グローバルアドレス及び該他のルータ配下の端末のＩＰｖ６グローバルアドレスを含むネットワーク情報を、前記管理サーバから取得するネットワーク情報取得手段と、
前記ネットワーク情報を用いて前記他のルータとの間にＶＰＮを構築するＶＰＮ構築手段と、
前記ネットワーク情報に従って前記ルータ配下の端末による通信に対するＶＰＮ処理及びルーティングを行うルーティング手段と、
として機能させるプログラム。
複数のルータを管理する管理サーバのコンピュータを、
前記複数のルータに係る情報を管理する情報管理手段と、
前記複数のルータの夫々から、該ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスの通知を受け付ける通知受付手段と、
前記通知受付手段によって通知を受けた、前記ルータのＩＰｖ６グローバルアドレス及び該ルータ配下の端末のＩＰｖ６グローバルアドレスを含む前記ネットワーク情報を、前記複数のルータに提供するネットワーク情報提供手段と、
として機能させるプログラム。