JP5453941B2 - 通信制御装置 - Google Patents

Description

この発明はローカルネットワークとインターネットサービスプロバイダー（ＩＳＰ）ネットワークの間で通信を行う通信システムおよびこの通信システムで用いられる通信制御装置に関するものである。

インターネットや通信事業者の持つ公衆回線を用いる従来の通信システムでは、ＩＰアドレス取得のためのレイヤ２経路確保や、セキュリティの問題によって、ローカルネットワークのアクセスポイント（ＡＰ）とインターネットサービスプロバイダー（ＩＳＰ）ネットワークの間に、トンネルを構築する通信方法が用いられている。このトンネリング技術は、拠点同士を仮想的に接続するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）やＬ２ＴＰ（Ｌａｙｅｒ ２ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）などの技術に用いられており、パケットに新たなヘッダを挿入するカプセル化によって実現されている（例えば、特許文献１参照）。

図７に、ローカルネットワークとＩＳＰネットワークの通信例を示す。ローカルネットワーク１にあるユーザ端末５は、同ネットワーク内のアクセスポイント４とＩＳＰネットワーク３のトンネル終端装置７の間で構築されるトンネル６を経由することで、公衆回線２を用いてＩＳＰネットワーク３へ接続する。ＩＳＰネットワークには、ＩＰアドレスを割り当てるＤＨＣＰサーバ９や公衆回線接続装置１２などが配備される。

トンネル内で送信されるパケットのフレームフォーマットを、図８に示す。ここでは、Ｌ２ＴＰを用いたＰＰＰ（Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ Ｐｒｏｔｏｃｏｌ）通信を例としている。公衆回線やインターネットへ送信されるデータ１４に対して、Ｌ２ＴＰヘッダとＵＤＰヘッダ、トンネル用のＩＰヘッダを用いてカプセル化し、トンネル内データ１３を構築する。トンネル用のＩＰヘッダは、ローカルネットワークのＡＰとＩＳＰネットワークのトンネル終端装置間のアドレスとなる。この技術を用いることで、クライアントやサーバからは、あたかも専用回線のように見え、通信経路の確保、およびセキュアな通信を実現することができる。

特開平１１−１４６０１６号公報

以上のようなシステムにおいては、例えばローカルネットワーク固有のローカルサーバへのアクセスのように、ＩＳＰネットワークにアクセスする必要がないローカルネットワークに閉じた通信がアクセスポイント４からは不可能であるという課題があった。

この発明は、インターネットサービスプロバイダネットワークとインターネットサービスプロバイダーネットワーク用トンネリングを使用して通信を行うアクセスポイントを備えるローカルネットワーク内に設けられる通信制御装置であって、当該通信制御装置を通過するパケットの宛先アドレスを監視し、該宛先アドレスが上記ローカルネットワーク内に設けられたローカルサーバのアドレスであれば、上記インターネットサービスプロバイダーネットワーク用トンネリングを終端して上記アクセスポイントと上記ローカスサーバ間のローカルサーバアクセス用トンネリングを行う機能と、上記宛先アドレスが上記ローカルサーバのアドレス以外であれば上記インターネットサービスプロバイダーネットワーク用トンネリングルをそのまま使用するよう制御するようにしたものである。

本発明によれば、トンネリング技術を用いた通信においても、ローカルサーバとの通信が可能となる。

実施の形態１のローカルサーバアクセス機能を示すシステム構成図である。 実施の形態１における通信制御装置の構成例を示す図である。 実施の形態１における通信制御装置のパケット処理例を示すフローチャートである。 実施の形態２における通信制御装置の構成例を示す図である。 実施の形態２における通信制御装置のＤＮＳ処理例を示すフローチャートである。 実施の形態２における外部アクセス制御メッセージのフレームフォーマット例を示す図である。 既存トンネリング技術を用いた通信システムの構成を示す図である。 既存トンネリング技術に用いられるカプセル化フレームフォーマットの例を示す図である。

実施の形態１．
図１は、この発明のローカルサーバアクセス機能を示すシステム構成図である。

図１において、ローカルネットワーク１では、アクセスポイント４とトンネル終端装置７の間に、通信制御装置１５を配置し、アクセスポイント４と通信制御装置１５の間にトンネル１７を、通信制御装置１５とトンネル終端装置７の間にトンネル１９を構築する。ローカルサーバ１６は、通信制御装置１５と接続されており、通信制御装置１５とローカルサーバ１６の間にトンネル１８を構築する。

さらに、通信制御装置１５は、図２に示すように、トンネル終端／構築機能部２２とパケット監視機能部２３とから構成される。

次に動作について説明する。
まず、アクセスポイント４とトンネル終端装置７間に、トンネル１７およびトンネル１９を構築する。ここでは、トンネル１７とトンネル１９を便宜上分割して記載しているが、この２つのトンネルは同一のものである。ユーザ端末５は、上記トンネル１７および１９を使用して、ＩＳＰネットワークとの認証処理やＩＰアドレス取得など、接続の確立などを実施する。

通信制御装置１５は、パケット監視機能部２３においてユーザ端末５から送信されるパケットの宛先アドレスを監視してこの宛先アドレスをトンネル終端／構築機能部２２に通知し、トンネル終端／構築機能部２２は宛先アドレスが指定される宛先アドレス以外であれば、トンネル１７からトンネル１９へパケットを透過させる。一方、指定される宛先アドレスであれば、ローカルサーバ用のトンネル１８への付け替え処理を行う。ここで、指定される宛先アドレスは、ローカルサーバのアドレスであり、通信制御装置のパラメータで指定しても良いし、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）を用いて遠隔操作で設定しても良いし、その方法によって本発明の効果が限定されるものではない。

また、ＩＳＰネットワーク側から受信されるパケットについても同様で、パケット監視機能部２３においてパケットの宛先アドレスを監視し、この宛先アドレスをトンネル終端／構築機能部２２に通知し、トンネル終端／構築機能部２２は宛先アドレスが指定されるアドレス以外であればトンネル１９からトンネル１７へパケットを透過し、指定されるアドレスであればローカルサーバ用のトンネル１８への付け替え処理を行う。
一方、ローカルサーバから受信されるパケットについては、ユーザ端末宛であればトンネル１７へ付け替えを行い、それ以外の宛先であればトンネル１９へ付け替えを行う。

図３に、通信制御装置の動作を表すフローチャート図を示す。まず、通信制御装置では、受信したパケットの受信ポート判定２４を行う。ユーザ端末側ポートからパケットを受信した場合、宛先アドレス判定２５を行う。宛先アドレスが、指定されるアドレス以外であれば、トンネル１７からトンネル１９へパケットを透過２６し、ＩＳＰネットワーク側へ送信２７する。また、宛先アドレスが、指定アドレスであれば、ＩＳＰネットワーク用のトンネル１７を終端２８し、ローカルサーバ用のトンネル１８を構築２９した後、ローカルサーバ側へ送信３０する。ここで、トンネルの終端は、カプセル化されたパケットのうちトンネル用に用いられるプロトコルを終端する機能である。また、トンネルの構築は、パケットをカプセル化する機能を示している。

また、受信ポート判定２４において、ＩＳＰネットワーク側ポートからパケットを受信した場合、宛先アドレス判定３１を行う。宛先アドレスが、指定されるアドレス以外であれば、トンネル１９からトンネル１７へパケットを透過３２し、ユーザ端末側へ送信３３する。また、宛先アドレスが指定アドレスであれば、ＩＳＰネットワーク用のトンネル１９を終端３４し、ローカルサーバ用のトンネル１８を構築３５した後、ローカルサーバ側へ送信３６する。

さらに、受信ポートの判定２４において、ローカルサーバ側ポートからパケットを受信した場合、宛先アドレス判定３７を行う。宛先アドレスが、ユーザ端末のアドレス、またはそれを含むネットワークアドレスである場合、ローカルサーバ用のトンネル１８を終端３８し、ＩＳＰネットワーク用のトンネル１７を構築３９した後、ユーザ端末側へ送信４０する。一方、宛先アドレスがＩＳＰネットワーク側のアドレスであれば、ローカルサーバ用のトンネル１８を終端４１し、ＩＳＰネットワーク用のトンネル１９を構築４２した後、ＩＳＰネットワーク側へ送信４３する。

本実施の形態では、受信ポートによって通信制御装置の処理を判別しているが、送信元アドレスやネットワークアドレスによって判別しても良い。また、受信トンネルの識別子によって、処理を判別することも可能である。さらに、宛先アドレスによる判別処理においても、送信先を判別できる識別子であれば、同様の処理を行うことが可能である。

さらに、本実施の形態では、図１に示すようにアクセスポイントと独立した装置として通信制御装置を設置するシステム構成例を示したが、アクセスポイントと一体型の装置として動作させることにより、トンネルの終端／構築処理を少なくすることが可能となる。

以上のように、ローカルネットワーク内に通信制御装置を設置し、宛先アドレスによってトンネルを終端／構築することで、トンネリング技術を用いた通信においても、ローカルサーバとの通信が可能となる。これにより、設備や場所に特徴を持つ情報を、ローカルネットワーク内に配信することが可能となる。上記使用例としては、列車内への運行情報や路線沿いの地域情報配信、公共設備内への設備情報やイベント情報などが挙げられる。上記効果に加え、ローカルネットワーク内に閉じた通信となるため、遅延の少ない通信を実現できると共に、公衆網の回線負荷の軽減効果が得られる。この効果は、特に、公衆回線が無線伝送となる携帯電話網やＷｉＭＡＸ網などに有効である。

実施の形態２．
以上の実施の形態１では、ローカルサーバ通信を実現するようにしたものであるが、次にローカルネットワーク利用を促し、外部ネットワークのアクセス制御を行うための実施の形態を示す。

図４は、このような場合の通信制御装置の構成図を示したものである。
図４では、ローカルサーバ通信を実現するパケット監視機能部２３とトンネル終端／構築機能部２２に加えて、ＤＮＳを用いたアクセス制御を行うＤＮＳエージェント機能部２０と、ユーザ端末毎にアクセス制御状態を管理するアクセス制御状態管理部２１から構成する。

次に、通信制御装置によるアクセス制御動作を示す。
本実施の形態では、ユーザ端末から外部サーバへアクセスする際に送信されるＤＮＳメッセージを利用したアクセス制御を行う。ＤＮＳは、ユーザ端末からＤＮＳサーバに対して、ＤＮＳリクエストメッセージを用いたドメイン問合せを行い、ＤＮＳサーバは、問合せのあったドメインに対応するＩＰアドレスを、ＤＮＳレスポンスを用いて通知する動作である。

パケット監視機能部２３は、ユーザ端末から受信されるパケットを監視し、ＤＮＳリクエストメッセージであれば、ＤＮＳエージェント機能部２０へ通知を行う。ＤＮＳエージェント機能部２０は、アクセス制御状態管理部２１へ当該ＭＳのアクセス制御状態を問合せ、外部ネットワークへのアクセス許可状態であれば、ＤＮＳリクエストをそのままＩＳＰネットワークへ送信する。一方、当該ＭＳのアクセス制御状態が、外部ネットワークへのアクセス制限状態であれば、ＤＮＳレスポンスを用いてローカルサーバのＩＰアドレスを通知する。

図５に、アクセス制御のフローチャートを示す。ユーザ端末からＤＮＳリクエスト受信４４した場合、アクセス制御状態の判定４５を行う。外部アクセス制限状態であれば、全てのＤＮＳリクエストに対してローカルサーバＩＰアドレスの通知４６、ユーザ端末へＤＮＳレスポンス送信４７行い、外部アクセスの制限を実施する。一方、アクセス制御状態が外部アクセス許可状態であれば、ＤＮＳリクエストをＤＮＳサーバへそのまま送信４８する。

ローカルサーバでは、ユーザ端末の外部アクセス制限または許可を判定し、通信制御装置へ外部アクセス制御メッセージを用いて通知を行う。ローカルサーバでの上記判定は、ユーザＩＤとパスワードによる認証や、その他認証アルゴリズムを用いても良い。また、タイマー等によってアクセス許可時間を設定し、タイムアウト時に外部アクセス許可状態から外部アクセス制限状態へ移行し、通信制御装置へ外部アクセス制御メッセージを用いた通知を行う方法も考えられる。通信制御装置への外部アクセス制御メッセージは、例えば、図６に示すようなフレーム構成を持ち、ユーザ端末の識別子４９、外部アクセス許可／制限５０を通知可能なメッセージとする。
外部アクセス制御メッセージを受信した通信制御装置は、アクセス制御状態管理部２１において、ユーザ端末毎に外部アクセス制御状態を管理する。

また、外部アクセス許可状態である場合、ＤＮＳエージェント機能部２０は、ローカルサーバへのＤＮＳリクエストを用いた問合せに対して、ローカルサーバのＩＰアドレスを、ＤＮＳレスポンスメッセージを用いて代理応答する。

本実施の形態では、ローカルサーバにおいてユーザ端末の認証を行い、通信制御装置へ通知する構成例を示したが、通信制御装置に認証機能を持たせることも可能である。上記構成では、外部アクセス制御メッセージは不要となる。

以上のように、本実施の形態ではＤＮＳメッセージを用いた外部アクセス制御機能によって、ユーザ端末の外部アクセス許可／制限状態を制御することで、ユーザ端末に対してローカルネットワークの利用を促し、ネットワークのトラヒック負荷を軽減することができる。また、外部ネットワークへのユーザ端末認証を実施することで正規ユーザ端末の識別を行い、セキュアな通信が可能となる。

以上のように、この発明はトンネルを用いたネットワーク間通信に適用可能である。

１ ローカルネットワーク、２ 公衆回線、３ ＩＳＰネットワーク、４ アクセスポイント、５ ユーザ端末、７ トンネル終端装置、１５ 通信制御装置、１６ ローカルサーバ、１７ トンネル、１８ トンネル、１９ トンネル、２０ ＤＮＳエージェント機能部、２２ トンネル終端／構築機能部、２３ パケット機能監視部、４９ ユーザ端末識別子、５０ アクセス許可／制限。

Claims (3)

1. パケットの宛先アドレスとパケットがＤＮＳリクエストメッセージか否かとを監視して通知するパケット監視機能部と、
   前記パケット監視機能部から通知されるパケットの宛先アドレスに基づいて、パケットをカプセル化して送信するトンネルを終端し及び構築するトンネル終端／構築機能部と、
   ローカルネットワーク内のローカルサーバから通知されるユーザ端末の外部サーバへのアクセス許可又は制限を示すアクセス制御メッセージに基づいて前記ユーザ端末のアクセス制御状態を通知するアクセス制御状態管理部と、
   前記アクセス制御状態管理部から通知される前記アクセス制御状態に基づいて、前記パケット監視機能部から通知されるＤＮＳリクエストメッセージを前記外部サーバへ送信するか判定するＤＮＳエージェント機能部と、
   を備え、
   前記トンネル終端／構築機能部は、前記ローカルネットワーク内のアクセスポイントとインターネットサービスプロバイダーネットワーク内のトンネル終端装置との間にインターネットサービスプロバイダーネットワーク用トンネルを構築し、
   前記パケット監視機能部から通知されるパケットの宛先アドレスが前記ローカルサーバのアドレスであれば、前記インターネットサービスプロバイダーネットワーク用トンネルを終端し、前記ローカルサーバとの間にローカルサーバアクセス用トンネルを構築し、通知されるパケットを送信し、
   前記パケット監視機能部から通知されるパケットの宛先アドレスが前記ローカルサーバのアドレス以外であれば、通知されるパケットを前記インターネットサービスプロバイダーネットワーク用トンネルで送信することを特徴とする通信制御装置。
2. 前記ＤＮＳエージェント機能部は、前記ユーザ端末が外部アクセス制限状態であれば、ＤＮＳリクエストメッセージに対して前記ローカルサーバのアドレスを応答することを特徴とする請求項１に記載の通信制御装置。
3. 前記ＤＮＳエージェント機能部は、前記ユーザ端末が外部アクセス許可状態であれば、前記ローカルサーバへ問合せをするＤＮＳリクエストメッセージに対して前記ローカルサーバのアドレスを応答し、その他のＤＮＳリクエストメッセージを前記外部サーバへ送信することを特徴とする請求項１又は２に記載の通信制御装置。

Images